keyboard_tab Digital Governance Act 2022/0868 PL

1.   Podmiot, który spełnia wymogi art. 18, może złożyć wniosek o rejestrację w publicznym krajowym rejestrze uznanych organizacji altruizmu danych w tym państwie członkowskim, w którym ma jednostkę organizacyjną

2.   Podmiot, który spełnia wymogi art. 18 i ma swoje jednostki organizacyjne w więcej niż jednym państwie członkowskim, może złożyć wniosek o rejestrację w publicznym krajowym rejestrze uznanych organizacji altruizmu danych w tym państwie członkowskim, w którym znajduje się jego główna_jednostka_organizacyjna.

3.   Podmiot, który spełnia wymogi art. 18, ale nie ma w Unii jednostki organizacyjnej, wyznacza przedstawiciela prawnego w jednym z państw członkowskich, w których oferowane są usługi oparte na altruizmie danych.

Do celów zapewnienia przestrzegania niniejszego rozporządzenia przedstawiciel_prawny musi być upoważniony przez podmiot, by organy właściwe do spraw rejestracji organizacji altruizmu danych lub osoby, których dane dotyczą, i posiadacze danych mogli się zwracać jednocześnie do przedstawiciela prawnego i podmiotu albo do przedstawiciela prawnego zamiast do podmiotu we wszystkich kwestiach dotyczących tego podmiotu. Przedstawiciel prawny współpracuje z organami właściwymi do spraw rejestracji organizacji altruizmu danych i na żądanie szczegółowo przedstawia im działania i przepisy wprowadzone przez dany podmiot w celu zapewnienia przestrzegania niniejszego rozporządzenia.

Uznaje się, że podmiot podlega jurysdykcji tego państwa członkowskiego, w którym znajduje się jego przedstawiciel_prawny. Taki podmiot może złożyć wniosek o rejestrację w publicznym krajowym rejestrze uznanych organizacji altruizmu danych w tym państwie członkowskim. Wyznaczenie przedstawiciela prawnego przez podmiot pozostaje bez uszczerbku dla działań prawnych, które mogą zostać podjęte przeciwko podmiotowi.

4.   Wnioski o rejestrację, o których mowa w ust. 1, 2 i 3, zawierają następujące informacje:

a)	nazwę podmiotu;

b)	status prawny oraz formę prawną podmiotu, a w przypadku gdy podmiot jest zarejestrowany w publicznym rejestrze krajowym – jego numer rejestracyjny;

c)	statut podmiotu, stosownie do przypadku;

d)	źródła dochodu podmiotu;

e)	adres głównej jednostki organizacyjnej podmiotu w Unii, jeżeli ma to zastosowanie, oraz drugorzędnego oddziału w innym państwie członkowskim, o ile takowy istnieje, lub adres przedstawiciela prawnego;

f)	ogólno dostępną stronę internetową, na której można znaleźć kompletne i aktualne informacje o podmiocie oraz jego działalności, w tym co najmniej informacje, o których mowa w lit. a), b), d), e) i h);

g)	osoby wyznaczone do kontaktów przez podmiot i  dane kontaktowe tych osób;

h)	cele leżące w interesie ogólnym, które podmiot zamierza wspierać przy gromadzeniu danych;

i)	charakter danych, które podmiot zamierza kontrolować lub przetwarzać, a w przypadku danych osobowych – wskazanie ich kategorii;

j)	wszelkie inne dokumenty, które wykazują, że wymagania art. 18 zostały spełnione.

5.   W przypadku gdy podmiot przedłożył wszystkie niezbędne informacje zgodnie z ust. 4, organ właściwy do spraw rejestracji organizacji altruizmu danych – po przeprowadzeniu oceny wniosku o rejestrację i stwierdzeniu, że podmiot ten spełnia wymogi art. 18 – rejestruje ten podmiot w publicznym krajowym rejestrze uznanych organizacji altruizmu danych w terminie 12 tygodni od otrzymania wniosku o rejestrację. Rejestracja jest ważna we wszystkich państwach członkowskich.

Organ właściwy do spraw rejestracji organizacji altruizmu danych powiadamia Komisję o wszelkich rejestracjach. Komisja uwzględnia rejestrację w publicznym unijnym rejestrze uznanych organizacji altruizmu danych.

6.   Informacje, o których mowa w ust. 4 lit. a), b), f), g) i h), są publikowane w odpowiednim publicznym krajowym rejestrze uznanych organizacji altruizmu danych.

7.   Uznana organizacja altruizmu danych powiadamia odpowiedni organ właściwy do spraw rejestracji uznanych organizacji altruizmu danych o wszelkich zmianach informacji przekazanych zgodnie z ust. 4 w terminie 14 dni od dnia, w którym nastąpiła zmiana.

Organ właściwy do spraw rejestracji organizacji altruizmu danych niezwłocznie powiadamia Komisję o każdym takim powiadomieniu drogą elektroniczną. Na podstawie takiego powiadomienia Komisja niezwłocznie aktualizuje publiczny unijny rejestr uznanych organizacji altruizmu danych.

1.   Uznana organizacja altruizmu danych prowadzi pełną i dokładną dokumentację dotyczącą:

a)	wszystkich osób fizycznych lub prawnych, które otrzymały możliwość przetwarzania danych będących w posiadaniu tej uznanej organizacji altruizmu danych, oraz ich dane kontaktowe;

b)	daty lub czasu trwania przetwarzania danych osobowych lub wykorzystywania danych nieosobowych;

c)	celu przetwarzania zadeklarowanego przez osobę fizyczną lub prawną, która otrzymała możliwość przetwarzania;

d)	opłat uiszczonych przez osoby fizyczne lub prawne przetwarzające dane.

2.   Uznana organizacja altruizmu danych sporządza i przekazuje odpowiedniemu organowi właściwemu do spraw rejestracji organizacji altruizmu danych roczne sprawozdanie z działalności, które zawiera co najmniej:

a)	informację o działalności uznanej organizacji altruizmu danych;

b)	opis sposobu, w jaki w ciągu danego roku obrotowego wspierano cele leżące w interesie ogólnym, dla których dane były gromadzone;

c)

wykaz wszystkich osób fizycznych i prawnych, którym zezwolono na przetwarzanie posiadanych danych, w tym skrócony opis celów leżących w interesie ogólnym, którym służy takie przetwarzanie danych, oraz opis zastosowanych do tego celu środków technicznych, wraz z opisem technik stosowanych w celu zachowania prywatności i ochrony danych;

d)	w stosownych przypadkach podsumowanie wyników przetwarzania danych, na które zezwoliła uznana organizacja altruizmu danych;

e)	informacje o źródłach dochodów uznanej organizacji altruizmu danych, w szczególności o wszystkich dochodach z tytułu zezwolenia na dostęp do danych, oraz o wydatkach.

1.   Uznana organizacja altruizmu danych informuje w jasny i łatwo zrozumiały sposób osoby, których dane dotyczą, lub posiadaczy danych, przed przetwarzaniem ich danych, o:

a)

celach leżących w interesie ogólnym oraz, w stosownych przypadkach, o konkretnym, wyraźnym i zgodnym z prawem celu przetwarzania danych osobowych, dla których uznana organizacja altruizmu danych pozwala na przetwarzanie danych osób, których dane dotyczą, lub posiadaczy danych przez użytkowników danych;

b)	miejscu przetwarzania oraz celach leżących w interesie ogólnym, dla których uznana organizacja altruizmu danych pozwala na przetwarzanie w państwie trzecim, jeżeli przetwarzania dokonuje uznana organizacja altruizmu danych.

2.   Uznana organizacja altruizmu danych nie może wykorzystywać danych do celów innych niż cele leżące w interesie ogólnym, w odniesieniu do których osoba, której dane dotyczą, lub posiadacz_danych zezwolili na przetwarzanie. Uznana organizacja altruizmu danych nie może stosować wprowadzających w błąd praktyk marketingowych, by nakłaniać do przekazywania danych.

3.   Uznana organizacja altruizmu danych zapewnia narzędzia umożliwiające uzyskanie zgody od osób, których dane dotyczą, lub pozwoleń na przetwarzanie danych u dostępnianych przez posiadaczy danych. Uznana organizacja altruizmu danych zapewnia także narzędzia umożliwiające łatwe wycofanie takiej zgody lub takiego pozwolenia.

4.   Uznana organizacja altruizmu danych podejmuje środki w celu zapewnienia odpowiedniego poziomu bezpieczeństwa przechowywania i przetwarzania danych nieosobowych, które zgromadziła w ramach altruizmu danych.

5.   Uznana organizacja altruizmu danych niezwłocznie informuje posiadaczy danych w przypadku gdy nastąpiły niedozwolone przekazanie, dostęp lub wykorzystanie danych nieosobowych, którymi się podzieliła.

6.   W przypadku gdy uznana organizacja altruizmu danych ułatwia osobom trzecim przetwarzanie danych, w tym poprzez zapewnianie narzędzi umożliwiających uzyskanie zgody od osób, których dane dotyczą, lub pozwoleń na przetwarzanie danych u dostępnionych przez posiadaczy danych, określa – w stosownych przypadkach –jurysdykcję państwa trzeciego, w których ma się odbywać wykorzystywanie danych.

1.   Komisja przyjmuje zgodnie z art. 32 akty delegowane w celu uzupełnienia niniejszego rozporządzenia przez ustanowienie zbioru zasad określającego:

a)

odpowiednie wymogi informacyjne w celu zapewnienia, aby osoby, których dane dotyczą, i posiadacze danych otrzymali przed wyrażeniem zgody lub udzieleniem pozwolenia na altruizm_danych wystarczająco szczegółowe, jasne i przejrzyste informacje dotyczące wykorzystywania danych, narzędzi wyrażania zgody lub udzielania pozwolenia i ich wycofywania oraz środków podejmowanych w celu uniknięcia nieprawidłowego wykorzystywania danych, którymi podzielono się z organizacją altruizmu danych;

b)	odpowiednie wymogi techniczne i wymogi bezpieczeństwa, by zapewnić odpowiedni poziom bezpieczeństwa przy przechowywaniu i przetwarzaniu danych, a także w odniesieniu do narzędzi wyrażania zgody lub udzielania pozwolenia i ich wycofywania;

c)

plany działania w zakresie komunikacji zakładające multidyscyplinarne podejście do budowania wśród odpowiednich interesariuszy – w szczególności posiadaczy danych i osób, których dane dotyczą, potencjalnie dzielących się swoimi danymi – świadomości na temat altruizmu danych, określania mianem „uznanej w Unii organizacji altruizmu danych” oraz na temat zbioru zasad;

d)	zalecenia dotyczące odpowiednich standardów interoperacyjności.

2.   Zbiór zasad, o którym mowa w ust. 1, jest przygotowywany w ścisłej współpracy z organizacjami altruizmu danych i odpowiednimi interesariuszami.

1.   Organy właściwe do spraw rejestracji organizacji altruizmu danych monitorują i nadzorują spełnianie przez uznane organizacje altruizmu danych wymogów określonych w niniejszym rozdziale. Organ właściwy do spraw rejestracji organizacji altruizmu danych może również monitorować i nadzorować spełnianie tych wymogów przez takie uznane organizacje altruizmu danych na podstawie wniosków osób fizycznych lub prawnych.

2.   Organy właściwe do spraw rejestracji organizacji altruizmu danych są uprawnione do zwracania się do uznanych organizacji altruizmu danych z wnioskiem o informacje niezbędne do zweryfikowania spełniania wymogów określonych w niniejszym rozdziale. Każdy wniosek o informacje musi być proporcjonalny do wykonywanego zadania i musi być uzasadniony.

3.   W przypadku ustalenia przez organ właściwy do spraw rejestracji organizacji altruizmu danych, że uznana organizacja altruizmu danych nie spełnia co najmniej jednego wymogu określonego w niniejszym rozdziale, organ ten powiadamia tę uznaną organizację altruizmu danych o swoich ustaleniach i daje jej możliwość przedstawienia swojego stanowiska w terminie 30 dni od dnia otrzymania powiadomienia.

4.   Organ właściwy do spraw rejestracji organizacji altruizmu danych jest uprawniony do żądania zaprzestania naruszeń, o których mowa w ust. 3, niezwłocznie albo w rozsądnym terminie, a także przyjmuje odpowiednie i proporcjonalne środki służące zapewnieniu spełnianiu wymogów.

5.   Jeżeli uznana organizacja altruizmu danych nie spełnia co najmniej jednego wymogu określonego w niniejszym rozdziale, nawet po otrzymaniu od organu właściwego do spraw rejestracji organizacji altruizmu danych powiadomienia zgodnie z ust. 3, ta uznana organizacja altruizmu danych:

a)	traci prawo do posługiwania się w swojej komunikacji pisemnej i ustnej oznakowaniem „uznana w Unii organizacja altruizmu danych”;

b)	zostaje usunięta z odpowiedniego publicznego krajowego rejestru uznanych organizacji altruizmu danych oraz z publicznego unijnego rejestru uznanych organizacji altruizmu danych.

Decyzja o pozbawieniu prawa do posługiwania się oznakowaniem „uznana w Unii organizacja altruizmu danych” podjęta na podstawie akapitu pierwszego lit. a) jest podawana do wiadomości publicznej przez organ właściwy do spraw rejestracji organizacji altruizmu danych.

6.   Jeżeli uznana organizacja altruizmu danych ma swoją główną jednostkę organizacyjną lub swojego przedstawiciela prawnego w państwie członkowskim, ale prowadzi działalność w innych państwach członkowskich, organ właściwy do spraw rejestracji organizacji altruizmu danych państwa członkowskiego, w którym znajdują się główna_jednostka_organizacyjna lub przedstawiciel_prawny, oraz organy właściwe do spraw rejestracji organizacji altruizmu danych innych państw członkowskich, w których podmiot prowadzi działalność, współpracują i udzielają sobie wzajemnej pomocy. Taka pomoc i współpraca mogą obejmować wymianę między zainteresowanymi organami właściwymi do spraw rejestracji organizacji altruizmu danych informacji do celów ich zadań na podstawie niniejszego rozporządzenia oraz uzasadnione wnioski o wprowadzenie środków, o których mowa w niniejszym artykule.

W przypadku gdy organ właściwy do spraw rejestracji organizacji altruizmu danych jednego państwa członkowskiego zwraca się o pomoc do organu właściwego do spraw rejestracji organizacji altruizmu danych innego państwa członkowskiego, przedkłada przy tym uzasadniony wniosek. Organ właściwy do spraw rejestracji organizacji altruizmu danych, do którego zwrócono się z takim wnioskiem, udziela odpowiedzi bez zbędnej zwłoki i w terminie proporcjonalnym do pilności wniosku.

Wszelkie informacje wymieniane w ramach pomocy, o którą zwraca się i której udziela się na podstawie niniejszego ustępu, są wykorzystywane jedynie w odniesieniu do kwestii, w której o nie wnioskowano.

1.   Podmiot sektora publicznego, osoba fizyczna lub prawna, którym przyznano prawo do ponownego wykorzystywania danych na podstawie rozdziału II, dostawca usług pośrednictwa danych lub uznana organizacja altruizmu danych wprowadzają wszelkie uzasadnione środki techniczne, prawne i organizacyjne, w tym uzgodnienia umowne, w celu zapobiegania międzynarodowemu przekazywaniu danych nieosobowych będących w posiadaniu Unii lub międzynarodowemu dostępowi administracji rządowej do takich danych, w przypadku gdy takie przekazywanie lub dostęp pozostawały w sprzeczności z prawem Unii lub prawem krajowym danego państwa członkowskiego, bez uszczerbku dla ust. 2 lub 3.

2.   Orzeczenia lub wyroki sądu lub trybunału państwa trzeciego oraz decyzje organu administracyjnego państwa trzeciego nakazujące podmiotowi sektora publicznego, osobie fizycznej lub prawnej, której przyznano prawo do ponownego wykorzystywania danych na podstawie rozdziału II, dostawcy usług pośrednictwa danych lub uznanej organizacji altruizmu danych przekazanie objętych zakresem stosowania niniejszego rozporządzenia danych nieosobowych będących w posiadaniu Unii lub udzielenie do nich dostępu uznaje się lub podlegać wykonuje wyłącznie wtedy, gdy są oparte na obowiązującej między wzywającym państwem trzecim a Unią umowie międzynarodowej, takiej jak umowa o wzajemnej pomocy prawnej, lub na umowie tego rodzaju między wzywającym państwem trzecim a państwem członkowskim.

3.   Przy braku umowy międzynarodowej, o której mowa w ust. 2 niniejszego artykułu, w przypadku gdy podmiot_sektora_publicznego, osoba fizyczna lub prawna, której przyznano prawo do ponownego wykorzystywania danych na podstawie rozdziału II, dostawca usług pośrednictwa danych lub uznana organizacja altruizmu danych jest adresatem orzeczenia lub wyroku sądu lub trybunału państwa trzeciego lub decyzji organu administracyjnego państwa trzeciego nakazującej przekazanie objętych zakresem stosowania niniejszego rozporządzenia danych nieosobowych będących w posiadaniu Unii lub udzielenia do nich dostępu, a zastosowanie się do takiej decyzji wiązałoby się dla adresata z ryzykiem pozostawania w sprzeczności z prawem Unii lub z prawem krajowym danego państwa członkowskiego, przekazanie takich danych organowi państwa trzeciego lub udzielenie mu dostępu do takich danych może mieć miejsce wyłącznie gdy:

a)

system państwa trzeciego wymaga, aby powody i proporcjonalność takiego orzeczenia, wyroku lub decyzji zostały określone oraz aby takie orzeczenie, wyrok lub decyzja miały szczególny charakter, na przykład poprzez ustanowienie wystarczającego związku z niektórymi osobami podejrzanymi lub naruszeniami;

b)	uzasadniony sprzeciw adresata podlega kontroli właściwego sądu lub trybunału państwa trzeciego; oraz

c)

właściwy sąd lub trybunał państwa trzeciego wydający orzeczenie lub wyrok lub dokonujący kontroli decyzji organu administracyjnego jest upoważniony na podstawie prawa tego państwa trzeciego do należytego uwzględnienia odpowiednich interesów prawnych dostawcy danych chronionych na podstawie prawa Unii lub prawa krajowego danego państwa członkowskiego.

4.   Jeżeli warunki określone w ust. 2 lub 3 są spełnione, podmiot_sektora_publicznego, osoba fizyczna lub prawna, którym przyznano prawo do ponownego wykorzystywania danych na podstawie rozdziału II, dostawca usług pośrednictwa danych lub uznana organizacja altruizmu danych dostarczają minimalną ilość danych dozwoloną w odpowiedzi na wniosek, na podstawie racjonalnej interpretacji wniosku.

5.   Podmiot sektora publicznego, osoba fizyczna lub prawna, którym przyznano prawo do ponownego wykorzystywania danych na podstawie rozdziału II, dostawca usług pośrednictwa danych oraz uznana organizacja altruizmu danych informują – przed zastosowaniem się do tego wniosku – posiadacza danych o istnieniu wniosku organu administracyjnego państwa trzeciego o  dostęp do jego danych, z wyjątkiem gdy wniosek służy celom ścigania przestępstw, i tak długo, jak jest to konieczne do zachowania skuteczności działań w zakresie ścigania przestępstw.

1.   Państwa członkowskie ustanawiają przepisy dotyczące kar mających zastosowanie w przypadku naruszeń obowiązków dotyczących przekazywania danych nieosobowych do państw trzecich zgodnie z art. 5 ust. 14 i art. 31, obowiązku dostawców usług pośrednictwa danych dotyczącego zgłoszeń zgodnie z art. 11, warunków świadczenia usług pośrednictwa danych zgodnie z art. 12 oraz warunków rejestracji jako uznana organizacja altruizmu danych zgodnie z art. 18, 20, 21 i 22 oraz podejmują wszelkie niezbędne środki w celu zapewnienia ich wykonywania. Przewidziane kary muszą być skuteczne, proporcjonalne i odstraszające. W przepisach dotyczących kar państwa członkowskie uwzględniają zalecenia Europejskiej Rady ds. Innowacji w zakresie Danych. Państwa członkowskie powiadamiają Komisję o tych przepisach i środkach do dnia 24 września 2023 r., a także powiadamiają ją niezwłocznie o wszelkich późniejszych zmianach, które ich dotyczą.

2.   Przy nakładaniu na dostawców usług pośrednictwa danych i uznane organizacje altruizmu danych kar za naruszenia przepisów niniejszego rozporządzenia, państwa członkowskie – stosownie do przypadku – uwzględniają następujące niewyczerpujące i orientacyjne kryteria:

a)	charakter, wagę, skalę i czas trwania naruszenia;

b)	działania podjęte przez dostawcę usług pośrednictwa danych lub uznaną organizację altruizmu danych, aby złagodzić lub naprawić szkodę spowodowaną naruszeniem;

c)	wcześniejsze naruszenia ze strony dostawcy usług pośrednictwa danych lub uznanej organizacji altruizmu danych;

d)	korzyści majątkowe uzyskane przez dostawcę usług pośrednictwa danych lub uznaną organizację altruizmu danych lub straty, których uniknęli, wskutek naruszenia, o ile takie korzyści lub straty można oszacować w sposób wiarygodny;

e)	inne czynniki obciążające lub łagodzące mające zastosowanie w okolicznościach danej sprawy.