Obowiązek informacyjny RODO

RODO wskazuje, że obowiązek ten powinien zostać spełniony w dwóch sytuacjach. Gdy dane pozyskujemy bezpośrednio od osoby, której one dotyczą oraz w sytuacji gdy gromadzimy dane z innych źródeł – pośrednich. Jak wskazuje motyw 60 preambuły RODO obowiązek ten ma na celu poinformowanie osoby, której dane są przetwarzane o fakcie przetwarzania jej danych oraz o celach takiego przetwarzania. Obowiązek taki powinien zawierać szereg informacji, które mają zapewnić rzetelność i przejrzystość przetwarzania.

Jak wspomniano powyżej zakres obowiązku informacyjnego zależy od tego od kogo pozyskujemy dane osobowe. W przypadku gdy dane osobowe pozyskujemy bezpośrednio od osoby, które dane dotyczą obowiązek informacyjny jest wykonywany w oparciu o art. 13 ust. 1 i 2 RODO. Informacje jakie powinny znaleźć się w klauzuli informacyjnej to m.in.:

• Tożsamość i dane kontaktowe administratora oraz Inspektora Ochrony Danych  jeśli został on ustanowiony;
• Cele oraz podstawy przetwarzania danych,
• Jeśli podstawą przetwarzania jest art. 6 ust. 1 lit. f RODO należy wskazać jaki jest prawnie uzasadniony interes realizowany przez administratora,
• Informacja o odbiorcach danych,
• o przekazaniu danych do państw trzecich lub organizacji międzynarodowych jeśli ma to miejsc,
• o okresie przechowywania danych.

ROK Z RODO: Obowiązki informacyjne

Wszystkie te dane powinny znaleźć się w przygotowanej klauzuli informacyjnej. Obowiązek informacyjny powinien zostać wypełniony w momencie zbierania danych od osoby, której dane dotyczą lub bezpośrednio przed ich zebraniem. W przypadku gdy administrator chce przetwarzać w innych celach niż te o których poinformował osobę, musi ponownie wykonać wobec tej osoby obowiązek informacyjny. Ponadto jeżeli zaczynamy zbierać dane w szerszym zakresie niż dotychczas, obowiązek informacyjny powinien zostać wykonany, tak by obejmował wszystkie aktualne informacje.

Czym obowiązek informacyjny różni się od zgody?

RODO pozostawia swobodę administratorowi w zakresie wyboru formy spełnienia obowiązku informacyjnego. Forma spełnienia obowiązku może zostać dopasowana do sposobu zbierania danych osobowych. W przypadku elektronicznych formularzy obowiązek informacyjny może zostać spełniony w formie elektronicznej. Za to w przypadku formularza papierowego, treść obowiązku informacyjne może znaleźć się na formularzu papierowym.

W przypadku pozyskania danych osobowych z innego źródła niż od osoby, której dane dotyczą administrator musi również wypełnić obowiązek informacyjny, co wynika z art. 14 RODO. Administrator musi  w takiej sytuacji przekazać wszystkie te informacje, które wynikają z art. 13 RODO, a ponadto informacje skąd posiada dane osobowe oraz jeśli pochodzą one ze źródła publicznie dostępnego również o tym fakcie.

Obowiązek informacyjny w praktyce – po co, kiedy i gdzie?

Obowiązek informacyjny powinien zostać spełniony:

• w rozsądnym terminie od pozyskania danych, ale nie później niż w ciągu miesiąca;
• przy pierwszym kontakcie jeśli dane mają być wykorzystywane do komunikacji.

Administrator może odstąpić od obowiązku informacyjnego niezależnie od źródła pozyskania danych osobowych gdy osoba, której dane są przetwarzane posiada już tę informację. W przypadku wykonywania obowiązku na podstawie art. 14 RODO, administrator może nie wykonać obowiązku informacyjnego gdy wykonanie jego jest niemożliwe lub wymagałoby niewspółmiernie dużego wysiłku lub też pozyskanie danych uregulowane jest w sposób wyraźny przepisami prawa.