Dobre praktyki – kiedy i w jaki sposób informować klientów o przetwarzaniu danych osobowych w korespondencji e-mail.
RODO (ROZPORZĄDZENIE PARLAMENTU EUROPEJSKIEGO I RADY (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych)) pozostawia nam dowolność w zakresie sposobu spełnienia obowiązku informacyjnego. RODO w artykule 13 ust. 1 stanowi tak: jeżeli dane osobowe zbierane są od osoby, której dane osobowe dotyczą, to administrator podczas pozyskiwania danych osobowych ma obowiązek podać informacje wymienione w art. 13 RODO. Podczas pozyskiwania danych, czyli w momencie ich zbierania. Osoba, której dane dotyczą, świadomie przekazuje administratorowi danych (np. wypełniając formularz internetowy); lub administrator danych pozyskuje od osoby, której dane dotyczą, w drodze obserwacji (np. przy zastosowaniu automatycznych rejestratorów danych lub oprogramowania rejestrującego dane, np. kamer, urządzeń sieciowych, śledzenia sieci Wi-Fi, RFID lub innych rodzajów sensorów).
Więcej czasu posiada Administrator w przypadku pozyskiwania danych osobowych w sposób inny niż od osoby, której dane dotyczą. Zbieranie danych z innych źródeł – zewnętrzni administratorzy danych; źródła dostępne publicznie; pośrednicy danych; lub inne osoby, których dane dotyczą. W takiej sytuacji obowiązek informacyjny należy spełnić (zgodnie z art. 14 ust. 3 RODO):
- w rozsądnym terminie po pozyskaniu danych osobowych – najpóźniej w ciągu miesiąca
- jeżeli dane osobowe mają być stosowane do komunikacji z osobą, której dane dotyczą – najpóźniej przy pierwszej takiej komunikacji z osobą
- jeżeli planuje się ujawnić dane osobowe innemu odbiorcy – najpóźniej przy ich pierwszym ujawnieniu.
Istotną kwestią jest sytuacja w momencie otworzenia maila z danymi osobowymi; nie pozyskujemy danych osobowych – my już je posiadamy. Wydaje się, że moment spełniania obowiązku informacyjnego w świetle RODO, został ujęty dość nieprecyzyjnie. Umieszczanie obowiązku informacyjnego w stopce maila do dobra praktyka. Przede wszystkim obowiązek informacyjny musi zostać spełniony, więc mail to dobre rozwiązanie. Kiedy zdecydujemy się na umieszczenie klauzuli informacyjnej w firmowym mailu, musimy wybrać odpowiedni sposób. Oto kilka przykładów, które mogą być pomocne:
- Możemy dopisać klauzulę informacyjną zawierającą wszystkie cele przetwarzania przez nas realizowane
- Możemy dopisać skróconą wersję klauzuli informacyjnej, która będzie zawierała podstawowe informacje, a w pozostałym zakresie odesłać do strony internetowej, gdzie umieszczone są wszystkie informacje
- Możemy wskazać linka (z odnośnikiem do klauzuli), z którym osoba, której dane osobowe przetwarzamy się zapozna
- Możemy załączyć plik z klauzulą informacyjną (np. pdf)
- Możemy ustawić autorespondera, który z automatu będzie wysyłał klauzulę informacyjną.
Warto wspomnieć, że powinno być to łatwe dla osoby, której dane dotyczą. Nie możemy wymuszać podjęcia dodatkowych działań, zainstalowania dodatkowych aplikacji aby odczytać załącznik, a umieszczenie samego linka, wiąże się z ryzykiem, że może przestać działać, jak również, że osoba go nie otworzy i nie zapozna się z treścią klauzuli, abyśmy mogli spełnić swój obowiązek. Link lub plik niejako wymusza na osobie, której dane dotyczą podjęcie dodatkowych działań. Każdy administrator musi sam zdecydować czy będzie umieszczał w stopce firmowego maila informacje z art. 13 i 14 ROO czy w inny sposób spełni obowiązek informacyjny. Dobrą praktyką w stopce maila jest umieszczenie podstawowych informacji dotyczącej Administratora z odnośnikiem do pełnej klauzuli. Musimy także pamiętać, że obowiązek informacyjny powinien być napisany prostym językiem w zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej formie, na piśmie lub w inny sposób, w tym elektronicznie, a jeżeli osoba, której dane dotyczą, tego zażąda, ustnie (o ile potwierdzimy tożsamość tej osoby). Administrator musi jednak być w stanie wykazać przestrzeganie przez siebie przepisów RODO, czy udzielił osobie, której dane dotyczą, wszystkich informacji, o których mowa w art. 13 i 14 RODO. Kluczowe w tym zakresie będzie zatem dobranie przez administratora odpowiedniej formy komunikacji. Przepisy RODO nie wymagają odbierania od podmiotów danych oświadczeń o zapoznaniu się z klauzulą informacyjną.
Pełny zakres przekazywanych informacji przy zbieraniu danych, od osoby, której dane dotyczą art. 13 ust. 1 i 2
- tożsamość i dane kontaktowe administratora;
- gdy ma to zastosowanie – tożsamość i dane kontaktowe przedstawiciela administratora;
- gdy ma to zastosowanie – dane kontaktowe inspektora ochrony danych;
- cele przetwarzania danych osobowych;
- podstawy prawne przetwarzania;
- jeżeli przetwarzanie odbywa się na podstawie prawnie uzasadnionych interesów administratora lub strony trzeciej, te realizowane interesy;
- informacje o odbiorcach danych osobowych lub o kategoriach odbiorców, jeżeli istnieją;
- gdy ma to zastosowanie – informacje o zamiarze przekazania danych osobowych do państwa trzeciego lub organizacji międzynarodowej oraz warunkach tego przekazania;
- okres, przez który dane osobowe będą przechowywane, a gdy nie jest to możliwe, kryteria ustalania tego okresu;
- informacje o przysługujących osobie, której dane dotyczą prawach;
- jeżeli przetwarzanie odbywa się na podstawie zgody, informacje o prawie do jej cofnięcia; w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania, którego dokonano na jej podstawie jej cofnięciem;
- informacje o prawie wniesienia skargi do organu nadzorczego;
- informacje, czy podanie danych osobowych jest wymogiem ustawowym lub umownym lub warunkiem zawarcia umowy oraz czy osoba, której dane dotyczą, jest zobowiązana do ich podania i jakie są ewentualne konsekwencje niepodania danych;
- informacje o zautomatyzowanym podejmowaniu decyzji, w tym o profilowaniu;
Pełny zakres przekazywanych informacji przy zbieraniu danych w sposób inny niż od osoby, której dane dotyczą art. 14 ust. 1 i 2
- tożsamość i dane kontaktowe administratora;
- gdy ma to zastosowanie – tożsamość i dane kontaktowe przedstawiciela administratora;
- gdy ma to zastosowanie – dane kontaktowe inspektora ochrony danych;
- cele przetwarzania danych osobowych;
- podstawy prawne przetwarzania;
- kategorie odnośnych danych;
- informacje o odbiorcach danych osobowych lub o kategoriach odbiorców, jeżeli istnieją;
- gdy ma to zastosowanie – informacje o zamiarze przekazania danych osobowych do państwa trzeciego lub organizacji międzynarodowej oraz warunkach tego przekazania;
- okres, przez który dane osobowe będą przechowywane, a gdy nie jest to możliwe, kryteria ustalania tego okresu;
- jeżeli przetwarzanie odbywa się na podstawie prawnie uzasadnionych interesów administratora lub strony trzeciej, te realizowane interesy;
- informacje o przysługujących osobie, której dane dotyczą prawach;
- jeżeli przetwarzanie odbywa się na podstawie zgody, informacje o prawie do jej cofnięcia; w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania, którego dokonano na jej podstawie jej cofnięciem;
- informacje o prawie wniesienia skargi do organu nadzorczego;
- źródło pochodzenia danych, a gdy ma to zastosowanie informacja czy dane pochodzą ze źródeł publicznie dostępnych;
- informacje o zautomatyzowanym podejmowaniu decyzji, w tym o profilowaniu;
Źródło:
- ROZPORZĄDZENIE PARLAMENTU EUROPEJSKIEGO I RADY (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych)
- https://uodo.gov.pl/pl/138/727 – „Obowiązek informacyjny” – szkolenie dla IOD , 28 lutego 2019 r.