Art. 174. Do uzyskania zgody abonenta lub użytkownika końcowego stosuje się
przepisy o ochronie danych osobowych.

Art. 174¹. Dostawca publicznie dostępnych usług telekomunikacyjnych
obowiązany jest wdrożyć odpowiednie techniczne i organizacyjne środki ochrony
zapewniające bezpieczeństwo przetwarzania danych osobowych. Niezależnie od
wymogów wskazanych w rozporządzeniu Parlamentu Europejskiego i Rady (UE)
2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku
z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich
danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie
danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, z późn. zm.), zwanym dalej
„rozporządzeniem 2016/679”, środki ochrony co najmniej:
1) zapewniają, aby dostęp do danych osobowych miała osoba posiadająca pisemne
upoważnienie wydane przez administratora danych, oraz
2) chronią przechowywane lub przekazywane dane osobowe przed przypadkowym
lub bezprawnym zniszczeniem, przypadkową utratą lub zmianą oraz nieuprawnionym lub bezprawnym przechowywaniem, przetwarzaniem, dostępem lub ujawnieniem, oraz
3) zapewniają wdrożenie polityki bezpieczeństwa w odniesieniu do przetwarzania
danych osobowych.

Art. 174a. 1. Dostawca publicznie dostępnych usług telekomunikacyjnych
zawiadamia Prezesa Urzędu Ochrony Danych Osobowych o naruszeniu danych
osobowych w terminie i na zasadach określonych w rozporządzeniu Komisji (UE)
nr 611/2013 z dnia 24 czerwca 2013 r. w sprawie środków mających zastosowanie
przy powiadamianiu o przypadkach naruszenia danych osobowych, na mocy
dyrektywy 2002/58/WE Parlamentu Europejskiego i Rady o prywatności i łączności
elektronicznej (Dz. Urz. UE L 173 z 26.06.2013, str. 2), zwanym dalej
„rozporządzeniem 611/2013”.
2. Przez naruszenie danych osobowych rozumie się przypadkowe lub bezprawne
zniszczenie, utratę, zmianę, nieuprawnione ujawnienie lub dostęp do danych
osobowych przetwarzanych przez przedsiębiorcę telekomunikacyjnego w związku ze
świadczeniem publicznie dostępnych usług telekomunikacyjnych.
2a. Prezes Urzędu Ochrony Danych Osobowych zapewnia bezpieczne środki
elektroniczne służące do powiadamiania o przypadkach naruszenia danych
osobowych, o których mowa w ust. 1, oraz informacje dotyczące trybu dostępu do
tych środków i ich stosowania.
3. W przypadku gdy naruszenie danych osobowych może mieć niekorzystny
wpływ na prawa abonenta lub użytkownika końcowego będącego osobą fizyczną,
dostawca publicznie dostępnych usług telekomunikacyjnych niezwłocznie
zawiadamia o takim naruszeniu również abonenta lub użytkownika końcowego na
zasadach określonych w rozporządzeniu 611/2013, z zastrzeżeniem ust. 5.
3a. Zgodę, o której mowa w art. 3 ust. 5 rozporządzenia 611/2013, Prezes
Urzędu Ochrony Danych Osobowych wydaje w drodze decyzji.
4. Przez naruszenie danych osobowych, które może wywrzeć niekorzystny
wpływ na prawa abonenta lub użytkownika końcowego będącego osobą fizyczną,
rozumie się takie naruszenie, które w szczególności może skutkować nieuprawnionym
posługiwaniem się danymi osobowymi, szkodą majątkową, naruszeniem dóbr
osobistych, ujawnieniem tajemnicy bankowej lub innej ustawowo chronionej
tajemnicy zawodowej.
5. Zawiadomienie, o którym mowa w ust. 3, nie jest wymagane, jeżeli dostawca
publicznie dostępnych usług telekomunikacyjnych wykazał wdrożenie
technologicznych środków ochrony, o których mowa w art. 4 ust. 1 i 2 rozporządzenia
611/2013, które uniemożliwiają odczytanie danych przez osoby nieuprawnione oraz
zastosowanie tych środków do danych, których ochrona została naruszona.
5a. Dostawca publicznie dostępnych usług telekomunikacyjnych wykazuje
spełnienie warunków, o których mowa w ust. 5, przekazując niezwłocznie Prezesowi
Urzędu Ochrony Danych Osobowych odpowiednią dokumentację.
6. Jeżeli dostawca publicznie dostępnych usług telekomunikacyjnych nie
zawiadomił abonenta lub użytkownika końcowego będącego osobą fizyczną o fakcie
naruszenia danych osobowych, Prezes Urzędu Ochrony Danych Osobowych może
nałożyć, w drodze decyzji, na dostawcę obowiązek przekazania abonentom lub
użytkownikom końcowym, będącym osobami fizycznymi, takiego zawiadomienia,
biorąc pod uwagę możliwe niekorzystne skutki naruszenia.
7. (uchylony)
8. (uchylony)
9. W przypadku gdy naruszenie danych osobowych ma wpływ na abonentów lub
użytkowników końcowych będących osobami fizycznymi z innych państw
członkowskich, Prezes Urzędu Ochrony Danych Osobowych informuje inne
zainteresowane organy z państw członkowskich.

Art. 174b. Do sprawowanej przez Prezesa Urzędu Ochrony Danych Osobowych
kontroli wykonywania przez dostawcę publicznie dostępnych usług
telekomunikacyjnych obowiązków, o których mowa w art. 174¹, art. 174a oraz
art. 174d, stosuje się odpowiednio przepisy ustawy z dnia 10 maja 2018 r. o ochronie
danych osobowych (Dz. U. z 2019 r. poz. 1781).

Art. 174c. Prezes Urzędu Ochrony Danych Osobowych, kierując wystąpienie,
o którym mowa w art. 52 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych
osobowych, do dostawcy publicznie dostępnych usług telekomunikacyjnych
uwzględnia wytyczne Komisji Europejskiej dotyczące realizacji obowiązku
powiadomienia abonenta lub użytkownika końcowego będącego osobą fizyczną
o naruszeniu jego danych osobowych i wskazuje okoliczności, formę i sposób takiego
powiadomienia. Prezes Urzędu Ochrony Danych Osobowych może udostępniać
wystąpienia w Biuletynie Informacji Publicznej na swojej stronie podmiotowej, o ile
nie będą one zawierać informacji stanowiących tajemnicę przedsiębiorstwa.

Art. 174d. 1. Dostawca publicznie dostępnych usług telekomunikacyjnych
prowadzi rejestr naruszeń danych osobowych, w tym faktów towarzyszących
naruszeniom, ich skutków i podjętych działań, zawierający w szczególności:
1) opis charakteru naruszenia danych osobowych;
2) informacje o zaleconych przez dostawcę publicznie dostępnych usług
telekomunikacyjnych środkach mających na celu złagodzenie ewentualnych
niekorzystnych skutków naruszenia danych osobowych;
3) informacje o działaniach podjętych przez dostawcę publicznie dostępnych usług
telekomunikacyjnych;
4) informacje o fakcie poinformowania lub braku poinformowania abonenta lub
użytkownika końcowego będącego osobą fizyczną o wystąpieniu naruszenia
danych osobowych;
5) opis skutków naruszenia danych osobowych;
6) opis zaproponowanych przez dostawcę publicznie dostępnych usług
telekomunikacyjnych środków naprawczych.
2. Dostawca publicznie dostępnych usług telekomunikacyjnych może
powierzyć, w drodze umowy, innemu przedsiębiorcy prowadzenie rejestru, o którym
mowa w ust. 1.

Prawo telekomunikacyjne art. 174

DODAJ