Projektowane przepisy dotyczące ochrony danych i cyberbezpieczeństwa przewidują nowe obowiązki dla podmiotów przetwarzających dane osobowe. Nowe regulacje nakładają szczególne wymagania na podmioty, które obsługują znaczną liczbę administratorów lub przetwarzają dane osobowe powyżej 100 tys. osób. W takich przypadkach administratorzy będą mogli uzyskać bardziej szczegółowe informacje o stosowanych środkach bezpieczeństwa, miejsc przetwarzania danych osobowych, czy informacje o dalszych podmiotach przetwarzających.

Nowelizacja nakłada również dodatkowe wymogi na podmioty przetwarzające dane zawarte w dokumentacji medycznej. Takie dane będą mogły zostać powierzone jedynie podmiotom, które posiadają odpowiedni certyfikat w zakresie procesów zarządzania cyberbezpieczeństwem. Obowiązek ten zostanie nałożony na każdy taki podmiot niezależnie od skali jego działalności.

Projektowane regulacje przewidują także możliwość przekazywania do CSIRT NASK danych pozwalających na identyfikację osób, których dane zostały bezprawnie pozyskane lub ujawnione w związku z incydentem albo cyberzagrożeniem. Informacje te mają służyć zwiększeniu skuteczności usługi „Bezpieczne Dane” i umożliwiać szybsze reagowanie na przypadki naruszenia bezpieczeństwa danych osobowych.

źródło: Serwis Rzeczypospolitej Polskiej, Wykaz prac legislacyjnych i programowych Rady Ministrów, Projekt ustawy o zmianie niektórych ustaw w celu wzmocnienia ochrony danych i cyberbezpieczeństwa, numer projektu: UD504, data publikacji: 10.11.2026 r., dostęp: 12.11.2026 r.