W Dz.U. z 2019 r. pod poz. 730 opublikowano ustawę z 21.2.2019 r. o zmianie niektórych ustaw w związku z zapewnieniem stosowania rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27.4.2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych).
1. Drogi publiczne
W ustawie z 21.3.1985 r. o drogach publicznych (t.j. Dz.U. z 2018 r. poz. 2068 ze zm.; dalej: DrPublU) wprowadzono zmiany dotyczące obowiązku informacyjnego z art. 13 RODO w związku z poborem opłat z art. 13 ust. 1 pkt 1 DrPublU, zgodnie z którym korzystający z dróg publicznych mają obowiązek ponosić opłaty za postój pojazdów samochodowych na drogach publicznych w strefie płatnego parkowania.
Przypomnijmy, że zgodnie z art. 13 ust. 1 RODO, jeżeli dane osobowe osoby, której dane dotyczą, zbierane są od tej osoby, administrator podczas pozyskiwania danych osobowych podaje wszystkie następujące informacje:
a) swoją tożsamość i dane kontaktowe oraz, gdy ma to zastosowanie, tożsamość i dane kontaktowe swojego przedstawiciela;
b) gdy ma to zastosowanie – dane kontaktowe inspektora ochrony danych;
c) cele przetwarzania danych osobowych, oraz podstawę prawną przetwarzania;
d) jeżeli przetwarzanie odbywa się na podstawie art. 6 ust. 1 lit. f) RODO – prawnie uzasadnione interesy realizowane przez administratora lub przez stronę trzecią;
e) informacje o odbiorcach danych osobowych lub o kategoriach odbiorców, jeżeli istnieją;
f) gdy ma to zastosowanie – informacje o zamiarze przekazania danych osobowych do państwa trzeciego lub organizacji międzynarodowej oraz o stwierdzeniu lub braku stwierdzenia przez Komisję odpowiedniego stopnia ochrony lub w przypadku przekazania, o którym mowa w art. 46, art. 47 lub art. 49 ust. 1 akapit drugi RODO, wzmiankę o odpowiednich lub właściwych zabezpieczeniach oraz o możliwościach uzyskania kopii danych lub o miejscu udostępnienia danych.
Zgodnie z art. 13g ust. 8-11 DrPublU, zarząd drogi albo zarządca drogi wykonuje obowiązek, o którym mowa w:
- art. 13 ust. 1 lit. a-c RODO – pobierając wspomnianą wyżej opłatę w szczególności zamieszczając stosowne informacje w miejscu, w którym opłata ta jest wnoszona;
- art. 13 ust. 1 lit. d-f i ust. 2 RODO – udostępniając informacje w BIP na swojej stronie podmiotowej, o czym informuje w powyższy sposób osoby, których dane osobowe są przetwarzane.
Zarząd drogi albo zarządca drogi udostępnia stosowne informacje w miejscu, w którym opłata jest wnoszona, w BIP na swojej stronie podmiotowej oraz w miejscu widocznym w siedzibie.
Dane osobowe przetwarzane w związku z poborem tych opłat przechowuje się przez okres ustalony zgodnie z przepisami wydanymi na podstawie art. 6 ust. 2b ustawy z 14.7.1983 r. o narodowym zasobie archiwalnym i archiwach (t.j. Dz.U. z 2019 r. poz. 553 ze zm.). Patrz: rozporządzenie Prezesa Rady Ministrów z 18.1.2011 r. w sprawie instrukcji kancelaryjnej, jednolitych rzeczowych wykazów akt oraz instrukcji w sprawie organizacji i zakresu działania archiwów zakładowych (Dz.U. z 2011 r. Nr 14, poz. 67).
Dane osobowe w tym zakresie podlegają zabezpieczeniom zapobiegającym nadużyciom lub niezgodnemu z prawem dostępowi lub przekazywaniu polegającym co najmniej na dopuszczeniu do przetwarzania danych osobowych wyłącznie osób posiadających pisemne upoważnienie wydane przez administratora danych, a także pisemnym zobowiązaniu osób upoważnionych do przetwarzania danych osobowych do zachowania ich w tajemnicy.
W związku z poborem opłaty dodatkowej oraz opłaty elektronicznej pobierający opłatę wykonuje obowiązek informacyjny z art. 13 ust. 1 i 2 RODO, przy pierwszej czynności skierowanej do osoby, której dane dotyczą, chyba że posiada ona te informacje, a ich zakres lub treść nie uległy zmianie, oraz za pośrednictwem strony internetowej zawierającej informacje dotyczące poboru opłaty elektronicznej (art. 13f ust. 4 i art. 13hba ust. 1 DrPublU).
Dodano też art. 20h DrPublU, zgodnie którym m.in. jeżeli przepisy odrębne nie stanowią inaczej, właściwy podmiot lub osoba przez niego upoważniona, na podstawie pisemnego wniosku, udostępnia nieodpłatnie dane osobowe przetwarzane w związku z poborem opłaty elektronicznej oraz wykonywaniem zadania, o którym mowa w art. 20 pkt 12 DrPublU (chodzi o przeciwdziałanie niszczeniu dróg przez ich użytkowników): Policji, Inspekcji Transportu Drogowego, Żandarmerii Wojskowej, Straży Granicznej, Biuru Nadzoru Wewnętrznego, Agencji Bezpieczeństwa Wewnętrznego, Agencji Wywiadu, Centralnemu Biuru Antykorupcyjnemu, Służbie Kontrwywiadu Wojskowego, Służbie Wywiadu Wojskowego, prokuratorowi, sądom, Szefowi Krajowej Administracji Skarbowej, dyrektorowi izby administracji skarbowej, naczelnikowi urzędu celno-skarbowego, a także Służbie Ochrony Państwa – w zakresie niezbędnym do realizacji ich ustawowych zadań.
2. Autostrady płatne
W ustawie z 27.10.1994 r. o autostradach płatnych oraz o Krajowym Funduszu Drogowym (t.j. Dz.U. z 2018 r. poz. 2014 ze zm.; dalej: AutostrPłatneU) wprowadzono podobne zmiany jak w DrPublU. Dodano bowiem przepisy art. 37aa i 37ab.
W związku z poborem opłat za przejazd autostradą właściwe podmioty wykonują obowiązek, o którym mowa w art. 13 ust. 1 i 2 RODO przy pierwszej czynności skierowanej do osoby, której dane dotyczą, chyba że posiada ona te informacje, a ich zakres lub treść nie uległy zmianie, oraz za pośrednictwem strony internetowej zawierającej informacje dotyczące poboru opłat za przejazd autostradą. Przy czym, wystąpienie z żądaniem z art. 18 ust. 1 RODO nie wpływa na obowiązek wniesienia opłat za przejazd autostradą.
W art. 37ab AutostrPłatneU wprowadzono analogiczny jak w art. 20h DrPublU obowiązek informowania wymienionych tam służb.
3. Transport drogowy
W podobnym duchu zmiany wprowadzono też w ustawie z 6.9.2001 r. o transporcie drogowym (t.j. Dz.U. z 2019 r. poz. 58 ze zm.; dalej: TransDrogU). Zgodnie z art. 55a ust. 11-13 TransDrogU, Inspekcja Transportu Drogowego (ITD) jest uprawniona do wydawania rozstrzygnięć w indywidualnych przypadkach w oparciu o zautomatyzowane przetwarzanie danych, w tym profilowanie w związku z realizacją zadań, o których mowa w art. 129a ust. 1 pkt 3 lit. b i art. 129g ustawy z 20.6.1997 r. – Prawo o ruchu drogowym (t.j. Dz.U. z 2018 r. poz. 1990 ze zm.) – chodzi o naruszenie przepisów ruchu drogowego, w przypadku zarejestrowania tego naruszenia przy użyciu przenośnych albo zainstalowanych w pojeździe albo na statku powietrznym urządzeń rejestrujących, a także ujawnianie za pomocą stacjonarnych urządzeń rejestrujących zainstalowanych w pasie drogowym dróg publicznych następujących naruszeń przepisów ruchu drogowego.
W związku z realizacją zadań, o których mowa w art. 50 TransDrogU, ITD wykonuje obowiązek informacyjny z art. 13 ust. 1 i 2 RODO przy pierwszej czynności skierowanej do osoby, której dane dotyczą, chyba że posiada ona te informacje, a ich zakres lub treść nie uległy zmianie. Wystąpienie z żądaniem, o którym mowa w art. 18 ust. 1 RODO nie wpływa na wykonywanie przez inspekcję tych zadań.
Ponadto, zgodnie z art. 55b ust. 1 TransDrogU, jeżeli przepisy odrębne nie stanowią inaczej, Główny Inspektor Transportu Drogowego oraz wojewódzcy inspektorzy lub osoby przez nich upoważnione udostępniają nieodpłatnie, na podstawie pisemnego wniosku, dane osobowe przetwarzane w związku z realizacją zadań określonych w ustawie służbom wymienionym w art. 37ab AutostrPłatneU oraz w art. 20h DrPublU.