Uchwalona przez Sejm RP 10 maja 2018 roku ustawa o ochronie danych osobowych przyjęta została bez poprawek w Senacie RP ( druk sejmowy 2410, druk senacki 811 ). Nadaje ona kształt instytucjonalny stosowania norm RODO ( ogólnego rozporządzenia o ochronie danych, rozporządzenia 2016/679 ) w Polsce. Zgodnie z treścią artykułu 176 ustawa wejść ma w życie 25 maja 2018 roku.

Niezależnie od uchwalenia tej ustawy normy rozporządzenia RODO od 25 maja 2018 roku byłyby stosowane w krajowym porządku prawnym na zasadzie art. 288 TFUE ( Traktatu o Funkcjonowaniu Unii Europejskiej ). Fakt ten ma znaczenie, gdyż rozporządzenie RODO daje narzędzia prawne pozwalające na egzekwowanie zasad ochrony danyach osobowych nie tylko instytucjom publicznoprawnym. Daje ono je również osobom fizycznym, których dane dotyczą. Będą to w szczególności klienci pośrednika w obrocie nieruchomościami.

Kilka rozwiązań legislacyjnych zawartych w ustawie wymaga szczególnej analizy. W niektórych przypadkach bowiem normy prawa krajowego oddają w ręce organów państwowych i osób, których dane dotyczą środki prawne idące jeszcze dalej od przewidzianych w rozporządzeniu 2016/679 ( RODO ).

1. Polski organ nadzorczy o którym mowa w rozporządzeniu RODO ( rozporządzeniu 2016/679 ) ma nazywać się Prezesem Urzędu Ochrony Danych Osobowych ( zgodnie z art. 7 nowej ustawy o ochronie danych osobowych w związku z art. 34 nowej ustawy o ochronie danych osobowych ). Z dniem wejścia w życie ustawy Generalny Inspektor Ochrony Danych Osobowych ma stać się Prezesem Urzędu Ochrony Danych Osobowych ( zgodnie z artykułem 166 ust. 1 nowej ustawo o ochronie danych osobowych ).

2. Zakres odpowiedzialności karnej. Projekt ustawy o ochronie danych osobowych osobowych pierwotnie nie przewidywał sankcji karnych za naruszenie norm Rozporządzenia. Wyjątkiem były działania polegające na utrudnianiu działania organu nadzorczego, czyli tzw. obstrukcja postępowania. Miało to na celu zabezpieczenie działań organu nadzorczego przed paraliżem wywołanym działaniami osób, które uczestniczyły w kontrolowanym przetwarzaniu. Ostatecznie jednak przyjęto, że karze grzywny, ograniczenia wolności lub pozbawienia wolności do lat dwóch lub do trzech lat podlegać będzie również osoba, która przetwarza dane osobowe, choć ich przetwarzanie nie jest dopuszczalne albo do ich przetwarzania nie jest uprawniona. Wyższa górna granica kary związana jest z przetwarzaniem wymienionych w przepisie danych specjalnego charakteru.

Trudno ocenić na obecnym etapie jaką politykę karną wobec stosowania niniejszej normy przyjmą jednostki prokuratury oraz sądy powszechne. Sama konstrukcja przepisu karnego pozwala jednak na objęcie zakresem penalizacji większości naruszeń zasad ochrony danych.

3. Szerokie uprawnienia kontrolne. Według ustawy w przyjętej przez Sejm RP treści organ nadzorczy – Prezes Urzędu Ochrony Danych Osobowych będzie uprawniony w szczególności do wstępu do wszelkich budynków, lokali i innych pomieszczeń od 6.00 do 22.00 ( art. 84 ust. 1 pkt 1 nowej ustawy ). W razie potrzeby Prezes Urzędu będzie mógł na zasadzie art. 85 ustawy korzystać z pomocy policji. W toku czynności kontrolnym możliwe będzie również przesłuchiwanie w charakterze świadków szerokiego kręgu osób mogących mieć istotną dla sprawy wiedzę. Informacje powzięte w toku czynności kontrolnych mają również być podstawą wszczęcia z urzędu postępowania o naruszenie zasad ochrony danych osobowych o którym mowa w art. 77 Rozporządzenia 2016/679. Model działania Prezesa Urzędu przypomina w zauważalnym stopniu uprawnienia organów skarbowych przewidziane przez Ordynację Podatkową.