(2022/C 258/06)
(Dz.U.UE C z dnia 5 lipca 2022 r.)
22 marca 2022 r. Komisja Europejska przyjęła wniosek dotyczący rozporządzenia Parlamentu Europejskiego i Rady w sprawie bezpieczeństwa informacji w instytucjach, organach i jednostkach organizacyjnych Unii ("wniosek").
EIOD z zadowoleniem przyjmuje cel wniosku, którym jest poprawa bezpieczeństwa informacji przetwarzanych przez instytucje, organy i jednostki organizacyjne Unii poprzez ustanowienie wspólnych zasad bezpieczeństwa informacji oraz promowanie spójnej kultury bezpieczeństwa informacji w ramach określonego instrumentu prawnego.
EIOD zauważa, że zakres bezpieczeństwa danych osobowych przewidziany w rozporządzeniu EUDPR tylko częściowo pokrywa się z zakresem bezpieczeństwa informacji przewidzianym we wniosku. W tym ostatnim skoncentrowano się na poufności informacji, podczas gdy w EUDPR zapewniono także integralność i dostępność. Ponadto przepisy EUDPR dotyczące bezpieczeństwa danych osobowych odnoszą się w szczególności do zagrożeń dla praw i wolności osób fizycznych.
Zgodnie z wnioskiem od instytucji, organów i jednostek organizacyjnych Unii wymaga się przyjęcia środków na rzecz bezpieczeństwa informacji, co nieuchronnie wiąże się z przetwarzaniem danych osobowych i danych z łączności elektronicznej, w tym danych o ruchu. Zdaniem EIOD należy wyraźnie zaznaczyć, że wszystkie środki na rzecz bezpieczeństwa informacji wiążące się z przetwarzaniem danych osobowych powinny być zgodne z obecnymi ramami prawnymi dotyczącymi ochrony danych i prywatności, a instytucje UE powinny podjąć odpowiednie zabezpieczenia techniczne i organizacyjne, aby zapewnić tę zgodność w sposób odpowiedzialny.
Aby osiągnąć pewność prawną i przewidywalność oraz zapewnić zgodność z EUDPR, EIOD zdecydowanie zaleca, aby we wniosku lub przynajmniej w akcie delegowanym, który ma zostać przyjęty przez Komisję w późniejszym terminie, jasno zdefiniować działania związane z przetwarzaniem danych osobowych, dozwolone dla celów tego rozporządzenia. EIOD zwraca również uwagę na konieczność zapewnienia zgodności z zasadami EUDPR dotyczącymi przekazywania danych osobowych do państw trzecich i organizacji międzynarodowych. Ponadto EIOD zaleca wyjaśnienie w motywie, że zastosowanie będą miały wszystkie przepisy EUDPR, w tym zasady transferów międzynarodowych.
EIOD podkreśla, jak ważne jest, aby uwzględnić perspektywy prywatności i ochrony danych w zarządzaniu bezpieczeństwem informacji w celu osiągnięcia pozytywnej synergii między wnioskiem a przepisami dotyczącymi prywatności i ochrony danych. Przedstawia również konkretne zalecenia dotyczące sposobu osiągnięcia takiej synergii, w tym: szczególne zobowiązanie urzędników UE odpowiedzialnych za bezpieczeństwo informacji do ścisłej współpracy z inspektorem ochrony danych wyznaczonym zgodnie z art. 43 EUDPR; włączenie pełnego szyfrowania transmisji do wykazu minimalnych środków bezpieczeństwa zawartego we wniosku, w stosownych przypadkach, a w szczególności przy wymianie szczególnie chronionych informacji jawnych; oraz promowanie zintegrowanego zarządzania ryzykiem w związku z bezpieczeństwem informacji i zintegrowanego procesu obsługi incydentów, które służą zarówno bezpieczeństwu informacji, jak i obowiązkom w zakresie ochrony danych dotyczącym powiadomień o naruszeniu danych.
1. WPROWADZENIE I INFORMACJE OGÓLNE
1. 22 marca 2022 r. Komisja Europejska przyjęła wniosek dotyczący rozporządzenia Parlamentu Europejskiego i Rady w sprawie bezpieczeństwa informacji w instytucjach, organach i jednostkach organizacyjnych Unii 1 ("wniosek").
2. W tym samym dniu Komisja Europejska przyjęła kolejny wniosek dotyczący rozporządzenia ustanawiającego środki na rzecz wysokiego wspólnego poziomu cyberbezpieczeństwa w instytucjach, organach i jednostkach organizacyjnych Unii 2 ("Wniosek w sprawie cyberbezpieczeństwa").
3. Oba wnioski przewidziano w strategii UE w zakresie cyberbezpieczeństwa na cyfrową dekadę przedstawionej 16 grudnia 2020 r. 3 ("strategia"). Głównym założeniem strategii było wzmocnienie strategicznej autonomii Unii w dziedzinie cyberbezpieczeństwa oraz poprawa jej odporności i zbiorowej reakcji, a także stworzenie globalnego i otwartego internetu z silną ochroną w celu przeciwdziałania zagrożeniom dla bezpieczeństwa oraz dla podstawowych praw i wolności obywateli w Europie 4 .
4. Wniosek stanowi jedną z inicjatyw regulacyjnych strategii, w szczególności w dziedzinie cyberbezpieczeństwa instytucji, organów i jednostek organizacyjnych Unii. Zgodnie ze strategią cel wniosku jest dwojaki:
- ułatwienie interoperacyjności systemów informacji niejawnych umożliwiającej bezproblemowy transfer informacji między różnymi podmiotami oraz
- umożliwienie przyjęcia międzyinstytucjonalnego podejścia do postępowania z informacjami niejawnymi UE oraz szczególnie chronionymi informacjami jawnymi, które mogłoby również służyć za wzór interoperacyjności między państwami członkowskimi; stwierdza się, że UE powinna również dalej rozwijać swoją zdolność do bezpiecznego komunikowania się z odpowiednimi partnerami, opierając się w miarę możliwości na istniejących ustaleniach i procedurach.
5. EIOD zauważa, że przedmiot omawianego wniosku jest również bezpośrednio związany z wnioskiem dotyczącym dyrektywy Parlamentu Europejskiego i Rady w sprawie środków na rzecz wysokiego wspólnego poziomu cyberbezpie- czeństwa w całej Unii, uchylającej dyrektywę (UE) 2016/1148 ("wniosek w sprawie NIS 2.0"). EIOD przypomina, że wydał opinię 5/2021 w sprawie strategii cyberbezpieczeństwa 5 oraz dyrektywy NIS 2.0 ("opinia NIS 2.0") 6 . Z tego powodu niniejsza opinia odnosi się do opinii NIS 2.0.
6. Zgodnie z uzasadnieniem wniosku ze względu na stale rosnącą liczbę szczególnie chronionych informacji jawnych oraz informacji niejawnych UE, którymi instytucje, organy i jednostki organizacyjne Unii muszą się wymieniać, a także bio- rąc pod uwagę gwałtowny rozwój zagrożeń, administracja europejska jest narażona na ataki we wszystkich obszarach swojej działalności. Informacje przetwarzane przez instytucje, organy i jednostki organizacyjne Unii są bardzo atrakcyjne dla agresorów i muszą być odpowiednio chronione.
7. Zgodnie z uzasadnieniem wniosek:
- ustanowiłby zharmonizowane i kompleksowe kategorie informacji, a także wspólne zasady postępowania dla wszystkich instytucji, organów i jednostek organizacyjnych Unii;
- utworzyłby uproszczony program współpracy w zakresie bezpieczeństwa informacji między instytucjami UE, który mógłby przyczynić się do stworzenia spójnej kultury bezpieczeństwa informacji w całej administracji europejskiej;
- zmodernizowałby politykę bezpieczeństwa informacji na wszystkich poziomach klasyfikacji lub kategorii dla wszystkich instytucji, organów i jednostek organizacyjnych Unii z uwzględnieniem transformacji cyfrowej i rozwoju telepracy jako praktyki strukturalnej.
8. 22 marca 2022 r. Komisja konsultowała się z Europejskim Inspektorem Ochrony Danych na podstawie art. 42 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2018/1725 ("EUDPR") 7 . Uwagi i zalecenia zawarte w tej opinii ograniczają się do tych przepisów wniosku, które są najistotniejsze z punktu widzenia ochrony danych oraz prywatności.
4. WNIOSKI
31. W świetle powyższego EIOD wydaje następujące główne zalecenia:
- EIOD zdecydowanie zaleca, aby we wniosku jasno zdefiniować działania związane z przetwarzaniem danych osobowych, dozwolone dla celów tego rozporządzenia, w tym: cel(e) przetwarzania; kategorie danych osobowych; kategorie osób, których dane dotyczą; określenie roli w stosownych przypadkach (administrator, podmiot przetwarzający, współadministratorzy), okresy zatrzymywania danych, odbiorcy w przypadku przekazywania danych podmiotom niepodlegającym EUDPR. EIOD uważa, że elementy te powinny zostać wyraźnie przewidziane we wniosku lub przynajmniej w akcie delegowanym, który zostanie przyjęty przez Komisję w późniejszym terminie. We wniosku powinno przewidzieć się takie przekazanie uprawnień.
- EIOD zaleca wyjaśnienie w motywie, że zastosowanie będą miały wszystkie przepisy EUDPR, w tym zasady transferów międzynarodowych. Motyw 6 można również wykorzystać do uwzględnienia wszelkich innych ogólnych zaleceń dotyczących ochrony danych zawartych w niniejszej opinii, które nie mają na celu zmiany przepisów materialnych.
- EIOD zdecydowanie zaleca włączenie pełnego szyfrowania transmisji do wykazu minimalnych środków bezpieczeństwa zawartego we wniosku, w stosownych przypadkach, a zwłaszcza w przypadku wymiany szczególnie chronionych informacji jawnych.
- EIOD zaleca dodanie w art. 5 ust. 3 zapisu, że wśród czynników branych pod uwagę w procesie zarządzania ryzykiem w zakresie bezpieczeństwa informacji należy również uwzględnić zagrożenia wynikające z dostępu na podstawie jurysdykcji państw trzecich (np. przez ich organy publiczne).
- EIOD zdecydowanie zaleca, aby w odpowiednim motywie wyjaśnić korzyści płynące z posiadania zintegrowanego zarządzania ryzykiem w związku z bezpieczeństwem informacji oraz zintegrowanego procesu obsługi incydentów, które służą zarówno bezpieczeństwu informacji, jak i obowiązkom w zakresie ochrony danych dotyczącym powiadomień o naruszeniu danych.
- EIOD zdecydowanie zaleca, aby we wniosku przewidziano nałożenie na urzędników UE odpowiedzialnych za bezpieczeństwo informacji szczególnego zobowiązania do ścisłej współpracy z inspektorem ochrony danych wyznaczonym zgodnie z art. 43 EUDPR. w takich działaniach jak: uwzględnianie ochrony danych już w fazie projektowania i domyślnej ochrony informacji w środkach bezpieczeństwa, wybór środków bezpieczeństwa, które obejmują dane osobowe, zintegrowane zarządzanie ryzykiem, zintegrowany proces obsługi cyberincydentów.
Bruksela, dnia 17 maja 2022 r.
Wojciech Rafał WIEWIÓROWSKI
Janów Podlaski, Stanisławów, Małkinia Górna, Staroźreby, Branice, Janów - te miejscowości 1 stycznia 2026 r. uzyskają status miast. Jedna z gmin zmieni nazwę, a w przypadku 21 gmin miejskich i wiejskich dojdzie do zmiany granic gmin. Rada Ministrów zmieniała w wielu wypadkach granice, mimo negatywnej opinii niektórych samorządów, których zmiany dotyczą. MSWiA zapowiedział nowelizację przepisów, tak aby ograniczyć konflikty.
31.12.2025
Określenie wysokości opłat za krew i jej składniki wydawane przez jednostki organizacyjne publicznej służby krwi, obowiązujące przez cały kolejny rok zawiera rozporządzenie Ministra Zdrowia, które wchodzi w życie 1 stycznia 2026 r. Zakłada ono, że od przyszłego roku stawki za poszczególne składniki krwi znacznie wzrosną w porównaniu do 2025 r., przekraczając znacznie poziom inflacji.
31.12.2025
Przełom roku to okres, kiedy wchodzi w życie wiele nowych regulacji prawnych. Dużo zmian czeka zarówno przedsiębiorców, jak i zwykłego Kowalskiego. Przybywa obowiązków podatkowych, ale za to biznes ma odczuć pozytywnie skutki tegorocznych wysiłków deregulacyjnych - albo znikną niektóre bariery, albo przynajmniej małe i średnie firmy będą nimi mniej ograniczane. Trendem jest większa ilość elektroniki, Polacy muszą też jednak zaktualizować sobie wiedzę o ojczystym języku.
31.12.2025
Od 1 stycznia 2026 roku do stażu pracy, który ma wpływ na uprawnienia pracownicze takie jak np. długość urlopu wypoczynkowego, zaliczana będzie praca na umowie zleceniu czy prowadzenie działalności gospodarczej. Wzrośnie też minimalne wynagrodzenie za pracę oraz minimalna stawka godzinowa i wyniesie odpowiednio 4806 zł brutto i 31,40 zł brutto. Do 7 tys. zł wzrośnie zasiłek pogrzebowy, a ZUS przeliczy świadczenia emerytom czerwcowym. A to nie jedyne zmiany w prawie, które warto odnotować.
31.12.2025
13 grudnia 2025 r. weszła w życie ustawa o układach zbiorowych pracy i porozumieniach zbiorowych. Nowe przepisy upraszczają procedury zawierania i ewidencjonowania układów, przewidują możliwość skorzystania ze wsparcia mediatorki lub mediatora w rokowaniach oraz pozwalają regulować m.in. kwestie godzenia życia zawodowego i prywatnego, równości płci, procedur antymobbingowych czy wykorzystywania nowych technologii, w tym sztucznej inteligencji.
30.12.2025
Wskaźnik referencyjny POLSTR, który za dwa lata ma definitywnie zastąpić WIBOR, po raz pierwszy pojawił się w powszechnie obowiązujących przepisach. Jego stawkę określił resort finansów w obwieszeniu dotyczącym tzw. safe harbour przy cenach transferowych obowiązującym od 1 stycznia 2026 r.
29.12.2025| Identyfikator: | Dz.U.UE.C.2022.258.7 |
| Rodzaj: | Informacja |
| Tytuł: | Streszczenie opinii Europejskiego Inspektora Ochrony Danych na temat wniosku dotyczącego rozporządzenia w sprawie bezpieczeństwa informacji w instytucjach, organach i jednostkach organizacyjnych Unii (Pełny tekst niniejszej opinii jest dostępny w wersji angielskiej, francuskiej i niemieckiej na stronie internetowej EIOD www.edps.europa.eu) |
| Data aktu: | 05/07/2022 |
| Data ogłoszenia: | 05/07/2022 |