--- a/DU/2011/657 Dz.U. 2018 poz. 2219 (2019-04-01)
+++ b/DU/2011/657 Dz.U. 2019 poz. 730 (2019-05-04)
@@ -5,7 +5,7 @@
 Art. 1 ust. 3 | Przepisów ustawy nie stosuje się do podmiotów leczniczych dla osób pozbawionych wolności udzielających świadczeń zdrowotnych na podstawie art. 102 pkt 1 i art. 115 § 1 ustawy z dnia 6 czerwca 1997 r. - Kodeks karny wykonawczy.
 Art. 1 ust. 4 | Przepisów ustawy nie stosuje się do podmiotów leczniczych funkcjonujących w formie jednostki wojskowej w rozumieniu art. 2 ust. 1 pkt 1a ustawy z dnia 15 kwietnia 2011 r. o działalności leczniczej.
 Art. 2 | Użyte w ustawie określenia oznaczają:
-Art. 2 pkt 1 | administrator danych - administratora danych, o którym mowa w art. 7 pkt 4 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych;
+Art. 2 pkt 1 | administrator danych - administratora, o którym mowa w art. 4 pkt 7 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, z późn. zm.);
 Art. 2 pkt 2 | administrator systemu - podmiot odpowiedzialny za techniczno-organizacyjną obsługę systemu teleinformatycznego;
 Art. 2 pkt 2a | apteka - aptekę ogólnodostępną i punkt apteczny w rozumieniu ustawy z dnia 6 września 2001 r. - Prawo farmaceutyczne;
 Art. 2 pkt 3 | certyfikat do uwierzytelniania danych - poświadczenie elektroniczne, wydawane na wniosek usługodawcy przez system, o którym mowa w art. 7 ust. 1, służące do potwierdzania pochodzenia i integralności danych przekazywanych lub udostępnianych przez usługodawcę;
@@ -177,7 +177,7 @@
 Art. 8c | Systemy, o których mowa w art. 6 ust. 1, art. 7 ust. 1, art. 10 ust. 1, art. 17 ust. 1, art. 22 ust. 1 i art. 26 ust. 1, oraz systemy teleinformatyczne usługodawców i podmiotów prowadzących rejestry medyczne umożliwiają Agencji Bezpieczeństwa Wewnętrznego zarządzanie danymi, o których mowa w art. 35 ust. 4 ustawy z dnia 24 maja 2002 r. o Agencji Bezpieczeństwa Wewnętrznego oraz Agencji Wywiadu, zapewniając właściwy poziom ich zabezpieczenia.
 Art. 9 | (uchylony)
 Art. 9a ust. 1 | Administrator danych, o którym mowa w art. 10 ust. 8, art. 23 ust. 6, art. 24 ust. 6, art. 26 ust. 6, art. 28 ust. 2, art. 29 ust. 5 i 6, art. 30 ust. 3, art. 30a ust. 4 oraz art. 31a ust. 6, w celu zapewnienia eksploatacji systemów teleinformatycznych, o których mowa w art. 10 ust. 1 i 2, art. 23 ust. 1 i 2, art. 24 ust. 1 i 2, art. 26 ust. 1 i 2, art. 28 ust. 1, art. 29 ust. 1 i 2, art. 30 ust. 1 i 2, art. 30a ust. 1 i 2 oraz art. 31a ust. 1, może upoważnić administratora systemu, o którym mowa w art. 10 ust. 7, art. 23 ust. 5, art. 24 ust. 7, art. 26 ust. 8, art. 28 ust. 2a, art. 29 ust. 7, art. 30 ust. 4, art. 30a ust. 3 oraz art. 31a ust. 5, do powierzania przetwarzania danych przetwarzanych w tych systemach podmiotom wyspecjalizowanym w zapewnianiu obsługi technicznej systemów teleinformatycznych.
-Art. 9a ust. 2 | Podmioty wyspecjalizowane w zapewnianiu obsługi technicznej systemów teleinformatycznych, o których mowa w ust. 1, są obowiązane do stworzenia warunków organizacyjnych i technicznych zapewniających ochronę przetwarzanych danych, w szczególności zabezpieczenia danych przed nieuprawnionym dostępem, nielegalnym ujawnieniem lub pozyskaniem, a także ich modyfikacją, uszkodzeniem, zniszczeniem lub utratą. Dane przetwarzane w systemach, o których mowa w ust. 1, podlegają ochronie na poziomie wysokim, o którym mowa w przepisach wydanych na podstawie art. 39a ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych.
+Art. 9a ust. 2 | Podmioty wyspecjalizowane w zapewnianiu obsługi technicznej systemów teleinformatycznych, o których mowa w ust. 1, są obowiązane do stworzenia warunków organizacyjnych i technicznych zapewniających ochronę przetwarzanych danych, w szczególności zabezpieczenia danych przed nieuprawnionym dostępem, nielegalnym ujawnieniem lub pozyskaniem, a także ich modyfikacją, uszkodzeniem, zniszczeniem lub utratą.
 Art. 9a ust. 3 | Administrator danych, o którym mowa w ust. 1, może kontrolować podmioty wyspecjalizowane w zapewnianiu obsługi technicznej systemów teleinformatycznych, o których mowa w ust. 1, w zakresie realizacji wymagań, o których mowa w ust. 2, oraz sposobu realizacji celów powierzenia danych przetwarzanych w systemach, o których mowa w ust. 1.
 Art. 9a ust. 4 | Podmioty wyspecjalizowane w zapewnianiu obsługi technicznej systemów teleinformatycznych, o których mowa w ust. 1, nie mogą powierzać innym podmiotom przetwarzania danych przetwarzanych w systemach, o których mowa w ust. 1.
 Art. 9a ust. 5 | W przypadku zaprzestania przetwarzania danych przetwarzanych w systemach, o których mowa w ust. 1, przez podmioty wyspecjalizowane w zapewnianiu obsługi technicznej systemów teleinformatycznych, o których mowa w ust. 1, w szczególności w związku z ich likwidacją, są one obowiązane do przekazania tych danych administratorowi danych, o którym mowa w ust. 1. Administrator danych może upoważnić administratora systemu SIM, o którym mowa w ust. 1, do przyjęcia tych danych.
@@ -455,16 +455,11 @@
 Art. 19 ust. 4a pkt 1 | w ramach środków przeznaczonych na finansowanie programu polityki zdrowotnej, o którym mowa w art. 48 ust. 1 ustawy z dnia 27 sierpnia 2004 r. o świadczeniach opieki zdrowotnej finansowanych ze środków publicznych, jeżeli zakres działania rejestru medycznego jest zgodny z celami programu polityki zdrowotnej lub
 Art. 19 ust. 4a pkt 2 | w formie dotacji celowej udzielonej podmiotowi prowadzącemu rejestr medyczny.
 Art. 19 ust. 4b | Udzielając dotacji celowej, o której mowa w ust. 4a pkt 2, minister właściwy do spraw zdrowia kieruje się wynikami analizy, o której mowa w ust. 3, przy zachowaniu kryterium przejrzystości, racjonalności i efektywności funkcjonowania rejestru medycznego.
-Art. 19 ust. 5 | Administrator danych zawartych w rejestrze medycznym, o którym mowa w ust. 1, jest obowiązany do usunięcia z tego rejestru wszelkich danych umożliwiających identyfikację osoby, w przypadku wniesienia przez nią sprzeciwu wobec przetwarzania tych danych, chyba że ich przetwarzanie jest niezbędne w celu uniknięcia zagrożenia dla życia i zdrowia ludzi.
+Art. 19 ust. 5 | (uchylony)
 Art. 19 ust. 6 | (uchylony)
-Art. 19 ust. 7 | Dane zawarte w rejestrach medycznych, o których mowa w ust. 1, mogą być udostępniane do celów statystycznych i naukowo-badawczych jedynie w formie uniemożliwiającej ich powiązanie z konkretną osobą fizyczną.
+Art. 19 ust. 7 | Dane zawarte w rejestrach medycznych, o których mowa w ust. 1, mogą być udostępniane w celu prowadzenia badań naukowych i do celów statystycznych w formie uniemożliwiającej ich powiązanie z konkretną osobą fizyczną.
 Art. 19 ust. 8 | Usługodawcy oraz podmioty prowadzące rejestry publiczne i rejestry medyczne są obowiązani do nieodpłatnego przekazywania danych do rejestrów medycznych, o których mowa w ust. 1. Przepis ust. 15 stosuje się odpowiednio.
-Art. 19 ust. 9 | Podmiot prowadzący rejestr określony w przepisach wydanych na podstawie art. 20 ust. 1 jest obowiązany, w terminie 30 dni od dnia rozpoczęcia przetwarzania danych osobowych, poinformować każdą osobę, której dane dotyczą i są przetwarzane w rejestrze o:
-Art. 19 ust. 9 pkt 1 | adresie swojej siedziby i pełnej nazwie;
-Art. 19 ust. 9 pkt 2 | celu, zakresie i sposobie przetwarzania dotyczących jej danych;
-Art. 19 ust. 9 pkt 3 | prawie dostępu do treści swoich danych oraz ich poprawiania;
-Art. 19 ust. 9 pkt 4 | kategoriach odbiorców, którym dane z rejestru są udostępniane;
-Art. 19 ust. 9 pkt 5 | dobrowolności albo obowiązku podania danych, które są przetwarzane w rejestrze, a jeżeli taki obowiązek istnieje, o jego podstawie prawnej.
+Art. 19 ust. 9 | (uchylony)
 Art. 19 ust. 10 | Podmiot prowadzący rejestr medyczny określony w przepisach wydanych na podstawie art. 20 ust. 1 jest obowiązany nieodpłatnie przekazywać ministrowi właściwemu do spraw zdrowia, na jego wniosek, dane zawarte w rejestrze medycznym w sposób uniemożliwiający identyfikację osoby, której dotyczą, lub dane statystyczne na podstawie danych zawartych w rejestrze medycznym, w terminie i w formie wskazanej przez tego ministra.
 Art. 19 ust. 11 | Podmiot prowadzący rejestr medyczny określony w przepisach wydanych na podstawie art. 20 ust. 1 nieodpłatnie udostępnia Narodowemu Funduszowi Zdrowia dane gromadzone w rejestrze, obejmujące:
 Art. 19 ust. 11 pkt 1 | dane, o których mowa w art. 4 ust. 3 pkt 1 lit. a, g, i, r oraz t, oraz pkt 2;
@@ -480,7 +475,7 @@
 Art. 19 ust. 12 pkt 3 lit. c | prowadzenia profilaktyki zdrowotnej.
 Art. 19 ust. 13 | Dane, o których mowa w ust. 11, są udostępniane na pisemny wniosek Narodowego Funduszu Zdrowia, zawierający zakres danych podlegających udostępnieniu.
 Art. 19 ust. 14 | Podmiot prowadzący rejestr medyczny określony w przepisach wydanych na podstawie art. 20 ust. 1 udostępnia dane gromadzone w prowadzonym przez niego rejestrze w terminie 30 dni od dnia otrzymania wniosku, o którym mowa w ust. 13, z zachowaniem poufności i ochrony danych osobowych.
-Art. 19 ust. 15 | Podmiot prowadzący rejestr medyczny określony w przepisach wydanych na podstawie art. 20 ust. 1 jest obowiązany do stworzenia warunków organizacyjnych i technicznych zapewniających ochronę przetwarzanych danych przed nieuprawnionym dostępem, nielegalnym ujawnieniem lub pozyskaniem, a także ich modyfikacją, uszkodzeniem, zniszczeniem lub utratą. Dane gromadzone w tym rejestrze medycznym podlegają ochronie na poziomie wysokim, o którym mowa w przepisach wydanych na podstawie art. 39a ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych.
+Art. 19 ust. 15 | Podmiot prowadzący rejestr medyczny określony w przepisach wydanych na podstawie art. 20 ust. 1 jest obowiązany do stworzenia warunków organizacyjnych i technicznych zapewniających ochronę przetwarzanych danych przed nieuprawnionym dostępem, nielegalnym ujawnieniem lub pozyskaniem, a także ich modyfikacją, uszkodzeniem, zniszczeniem lub utratą.
 Art. 19 ust. 16 | Podmiot prowadzący rejestr medyczny określony w przepisach wydanych na podstawie art. 20 ust. 1 opracowuje, wdraża, nadzoruje, utrzymuje oraz w uzasadnionych przypadkach modyfikuje system zarządzania bezpieczeństwem informacji, zgodnie z przepisami wydanymi na podstawie art. 18 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne.
 Art. 20 ust. 1 | Tworzenie rejestrów medycznych, o których mowa w art. 19 ust. 1, następuje w drodze rozporządzenia. W rozporządzeniu minister właściwy do spraw zdrowia określa:
 Art. 20 ust. 1 pkt 1 | (uchylony)