Obowiązek informacyjny RODO – na czym polega i kogo dotyczy?

Obowiązek informacyjny jest jednym z podstawowych obowiązków administratora danych wynikających z RODO. Jego celem jest zapewnienie osobie fizycznej przejrzystej informacji o tym, kto, w jakim celu i na jakiej podstawie przetwarza jej dane osobowe. Zakres przekazywanych informacji regulują przede wszystkim art. 13 i 14 RODO. Pierwszy znajduje zastosowanie, gdy dane pozyskiwane są bezpośrednio od osoby, której dotyczą, natomiast drugi – gdy administrator uzyskał je z innego źródła. Prawidłowa realizacja obowiązku ma istotne znaczenie dla zgodności całego procesu przetwarzania danych z prawem oraz realizacji praw osób fizycznych.

Co to jest obowiązek informacyjny RODO?

Obowiązek informacyjny RODO polega na przekazaniu osobie, której dane dotyczą, określonych prawem informacji o przetwarzaniu jej danych osobowych. Administrator powinien zrobić to w sposób zwięzły, przejrzysty, zrozumiały i łatwo dostępny, używając jasnego i prostego języka.

Jeżeli dane zbierane są bezpośrednio od danej osoby, informacje powinny zostać przekazane w momencie ich pozyskiwania. Jeżeli pochodzą z innego źródła, art. 14 RODO przewiduje odrębne terminy – zasadniczo powinno nastąpić to w rozsądnym terminie, nie później niż w ciągu miesiąca, z uwzględnieniem szczególnych przypadków wskazanych w rozporządzeniu.

Za prawidłową realizację obowiązku odpowiada administrator danych. Jeżeli w organizacji został wyznaczony inspektor ochrony danych, jego dane kontaktowe również powinny zostać przekazane osobie, której dane są przetwarzane.

Co powinna zawierać klauzula informacyjna RODO?

Prawidłowo przygotowana klauzula informacyjna RODO powinna przede wszystkim wskazywać tożsamość i dane kontaktowe administratora, cele oraz podstawę prawną przetwarzania, a także – jeżeli przetwarzanie opiera się na prawnie uzasadnionym interesie – określać ten interes.

W zależności od konkretnej sytuacji należy poinformować również o odbiorcach lub kategoriach odbiorców danych, okresie ich przechowywania albo kryteriach jego ustalania, przysługujących osobie prawach oraz możliwości wniesienia skargi do organu nadzorczego. Znaczenie mogą mieć także informacje dotyczące przekazywania danych poza Europejski Obszar Gospodarczy oraz zautomatyzowanego podejmowania decyzji, w tym profilowania.

Nie istnieje zatem jeden uniwersalny klauzula informacyjna wzór, który można bezpiecznie zastosować w każdym procesie. Treść dokumentu powinna odpowiadać rzeczywistemu sposobowi przetwarzania danych w danej organizacji.

Czy obowiązek informacyjny RODO dotyczy pracowników?

Pracodawca jest administratorem szeregu danych osobowych swoich pracowników, dlatego powinien przekazać im wymagane informacje dotyczące ich przetwarzania. Klauzula informacyjna RODO pracownik powinna uwzględniać specyfikę stosunku pracy oraz zakres danych wykorzystywanych przez pracodawcę.

Dotyczy to między innymi danych przetwarzanych w związku z prowadzeniem dokumentacji pracowniczej, wypłatą wynagrodzenia, rozliczeniami podatkowymi i ubezpieczeniowymi czy realizacją obowiązków wynikających z prawa pracy. Sam fakt, że pracodawca ma ustawową podstawę do przetwarzania danych, nie powoduje automatycznie wyłączenia obowiązku informacyjnego.

Czy obowiązek informacyjny RODO dotyczy klientów biznesowych?

RODO chroni osoby fizyczne, a nie osoby prawne jako takie. Nie oznacza to jednak, że współpraca B2B pozostaje poza zakresem rozporządzenia. Jeżeli administrator przetwarza dane przedsiębiorcy prowadzącego jednoosobową działalność gospodarczą albo dane osób reprezentujących kontrahenta, jego pracowników czy osób kontaktowych, co do zasady należy przeanalizować obowiązek informacyjny.

Zakres obowiązku zależy między innymi od źródła danych. Inne zasady mogą znaleźć zastosowanie, gdy informacje zostały przekazane bezpośrednio przez daną osobę, a inne, gdy administrator otrzymał je przykładowo od jej pracodawcy. W tym drugim przypadku znaczenie ma art. 14 RODO oraz przewidziane w nim wyjątki.

W naszej kancelarii prawnej pomożemy zachować zgodność z przepisami RODO w ramach naszej obsługi prawnej spółek i firm.

FAQ – pytania i odpowiedzi

Czy można ustnie spełnić obowiązek RODO?

RODO dopuszcza przekazanie informacji ustnie, jeżeli osoba, której dane dotyczą, tego zażąda i jej tożsamość zostanie potwierdzona w odpowiednich przypadkach, jednak administrator powinien pamiętać o zasadzie rozliczalności i możliwości wykazania prawidłowej realizacji obowiązku.

Kto jest zobowiązany do spełnienia obowiązku informacyjnego RODO?

Obowiązek spoczywa na administratorze danych osobowych, czyli podmiocie ustalającym cele i sposoby przetwarzania danych. Wykonanie określonych czynności organizacyjnych może zostać powierzone innym osobom, ale nie zmienia to odpowiedzialności administratora wynikającej z RODO.

Jak długo należy przechowywać dokumentację potwierdzającą spełnienie obowiązku informacyjnego?

RODO nie ustanawia jednego, uniwersalnego terminu przechowywania takich dowodów. Okres powinien zostać określony z uwzględnieniem zasady rozliczalności, celu przetwarzania, okresu przechowywania danych oraz czasu, przez który administrator może potrzebować wykazania zgodności swoich działań z przepisami.