1. W związku z przetwarzaniem danych osobowych, o których mowa w art. 120 ust. 1, ogranicza się stosowanie przepisów art. 12 i art. 15 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1), w ten sposób, że prawa osoby, której dane dotyczą, określone w tych przepisach realizowane są bezpłatnie raz na 6 miesięcy. W pozostałych przypadkach administrator ma prawo pobrać opłatę w wysokości odpowiadającej kosztom sporządzenia odpowiedzi lub kopii danych.
2. Do przetwarzania danych osobowych, o których mowa w art. 120 ust. 1, przepisu art. 14 rozporządzenia, o którym mowa w ust. 1, nie stosuje się w zakresie, w jakim dane te są niezbędne do zapewnienia prawidłowej realizacji zadań określonych w rozdziałach 2 i 10–12.
3. Przepisu art. 34 rozporządzenia, o którym mowa w ust. 1, nie stosuje się, jeśli administrator w terminie 72 godzin od stwierdzenia naruszenia ochrony danych osobowych wyda komunikat o naruszeniu i ogłosi go w Biuletynie Informacji Publicznej na stronie podmiotowej urzędu obsługującego ministra.
4. Administrator ogłasza ograniczenia, o których mowa w ust. 1 i 2, w Biuletynie Informacji Publicznej na stronie podmiotowej urzędu obsługującego ministra.
5. Dane osobowe, o których mowa w art. 120, podlegają zabezpieczeniom zapobiegającym przetwarzaniu ich niezgodnie z przepisami prawa oraz nadużyciom przy ich przetwarzaniu i są przechowywane wyłącznie przez okres niezbędny do realizacji albo wykonania:
1) zadań, o których mowa w rozdziałach 2 i 10–12, przez ministra;
2) czynności, o których mowa w art. 120 ust. 2–4, przez organizację zbiorowego zarządzania;
3) obowiązków, o których mowa w rozdziałach 5 i 6, przez użytkownika;
4) celu, o którym mowa w art. 48, przez organizacje zbiorowego zarządzania i podmioty udzielające informacji lub udostępniające dokumenty, o których mowa w art. 48.
6. Zabezpieczenia, o których mowa w ust. 5, polegają co najmniej na:
1) dopuszczeniu do przetwarzania danych osobowych wyłącznie osób posiadających upoważnienie nadane przez administratora;
2) pisemnym zobowiązaniu osób upoważnionych do przetwarzania danych osobowych do zachowania ich w tajemnicy.