Jednym z głównych obowiązków nałożonych na administratorów danych osobowych przez przepisy RODO jest obowiązek informacyjny, który w określonych sytuacjach musi być spełniony w stosunku do osoby, której dane dotyczą.
Osoby których dane dotyczą po wejściu w życie RODO mają prawo do uzyskania szerokiego wachlarza informacji na temat przetwarzania ich danych osobowych przez administratora. Motyw 60 preambuły RODO wskazuje że osoba, której dane dotyczą, musi być poinformowana o fakcie prowadzenia operacji przetwarzania jej danych osobowych i o celach takiego przetwarzania. Co więcej administrator powinien podać wszelkie inne informacje niezbędne do zapewnienia rzetelności i przejrzystości przetwarzania, uwzględniając konkretne okoliczności i kontekst przetwarzania danych osobowych.
Kluczowe w tym zakresie są dwa przepisy, tj. art. 13 oraz art. 14 RODO. Wybór jednego z przywołanych przepisów zależy od źródła, z którego administrator pozyskał dane osobowe. Artykuł 13 RODO znajdzie bowiem zastosowanie, gdy administrator pozyskuje dane osobowe bezpośrednio od osoby, której dane dotyczą. W wytycznych dotyczących przejrzystości Grupa Robocza art. 29 (obecnie: Europejska Rada Ochrony Danych) wskazuje następujące przykłady takich sytuacji:
- osoba, której dane dotyczą, samodzielnie przekazuje administratorowi dane osobowe (np. wypełniając formularz www, zapis do newslettera),
- administrator samodzielnie pozyskuje dane od osoby, której one dotyczą, w drodze obserwacji (np. przy zastosowaniu automatycznych rejestratorów, takich jak kamery czy urządzenia sieciowe).
Natomiast art. 14 RODO administrator będzie musiał uwzględnić, jeżeli dane osobowe zostały przez niego pozyskane nie bezpośrednio od osoby, której one dotyczą. Przywołane wytyczne w sprawie przejrzystości wskazują jako przykłady konieczności zastosowania tego przepisu m.in. gdy:
- pozyskuje dane osobowe od zewnętrznego administratora danych (np. udostępnienie danych osobowych przez kontrahenta, partnera biznesowego, właściciela bazy danych),
- pozyskuje dane osobowe ze źródeł publicznie dostępnych (np. pozyskanie danych z CEIDG, KRS lub GUS),
- pozyskuje dane osobowe od innych osób (np. pozyskanie danych dotyczących członków rodzin, podanych przez pracowników).
Ponadto administrator powinien poinformować osobę o przetwarzaniu jej danych w przypadku, gdy zmienia lub dodaje nowy cel przetwarzania oraz pod czas wykonywania żądania dostępu do danych.
Obowiązek informacyjny wynikający zarówno z art. 13, jak i 14 RODO może być spełniony w różnorodny sposób. Najważniejsze żeby komunikacja z osobą, której dane dotyczą, była prowadzona w zwięzłej, przejrzystej i łatwo dostępnej formie, językiem zrozumiałym dla przeciętnego odbiorcy, z prostą konstrukcją zdań.
Informacje udziela się na piśmie, poprzez umieszczenie treści obowiązku na tablicy ogłoszeń, w postaci elektronicznej (np. strona www) lub na żądanie osoby, informacji można udzielić ustnie.
Obowiązek informacyjny to jeden z kluczowych elementów przy wdrożeniu RODO. Warto poświęcić mu odpowiednią ilość uwagi, bo osoby są coraz bardziej świadome wymogów związanych z ochroną danych osobowych i mogą pokusić się o skargę, gdy go zaniedbasz.
Nie ma żadnego gotowego szablonu obowiązku informacyjnego, który będzie pasował do wszystkich sytuacji. Pamiętaj, że informacje przekazywane w ramach realizacji obowiązku muszą być dostosowane do rzeczywistej sytuacji, szczególnie w zakresie celu i podstawy prawnej przetwarzania oraz okresu przechowywania.
Pamiętaj, że w razie kontroli administrator będzie musiał wykazać, że obowiązek informacyjny został przez niego spełniony (art. 5 ust. 1 lit. a RODO). Jeśli potrzebujesz pomocy w zakresie obowiązku informacyjnego czy innych wymogów ochrony danych osobowych skontaktuj się z nami kontakt@rodo-online.eu więcej na https://rodo-online.eu/.