Source: https://odo24.pl/blog-post.obowiazek-informacyjny-na-gruncie-rodo
Timestamp: 2019-12-06 17:33:32+00:00

Document:
﻿ Obowiązek informacyjny w świetle pierwszej kary PUODO - ODO24.pl
w świetle pierwszej kary PUODO
15 marca 2019 r. – ta data może zapaść w pamięć każdemu administratorowi, inspektorowi ochrony danych, a także osobom zajmującym się ochroną danych osobowych.
W tym dniu bowiem Prezes Urzędu Ochrony Danych Osobowych wydał pierwszą w historii obowiązywania przepisów RODO karę administracyjną.
Jak się okazało, podstawowym przewinieniem, za które nałożono blisko milionową karę, był brak realizacji obowiązku informacyjnego. Przypomnijmy zatem najważniejsze kwestie w zakresie jego spełniania przez administratora.
Interesują Cię szczegóły dotyczące pierwszej w Polsce kary administracyjnej na gruncie RODO? – zachęcamy do przeczytania artykułu: "Milion za niezgodność z RODO".
Obowiązek informacyjny – czym jest i dlaczego jest taki ważny
Każdy podmiot przetwarzający dane osobowe, będący administratorem, jest obarczony licznymi obowiązkami na gruncie RODO. Jednym z nich jest spełnienie tzw. obowiązku informacyjnego. Ze względu na interes osoby, której dane są przetwarzane, jest to jedno z najważniejszych zobowiązań administratora. To właśnie dzięki obowiązkowi informacyjnemu osoba ta może uzyskać podstawowe informacje na temat przetwarzania jej danych osobowych.
Realizacja omawianego obowiązku polega na podaniu osobie, której dane dotyczą, wszelkich informacji wymaganych przepisami RODO. Grupa Robocza art. 29 (obecnie: Europejska Rada Ochrony Danych) w swoich wytycznych dotyczących przejrzystości słowo „podaje” rozumie jako czynne działania administratora w celu udzielenia wszelkich informacji lub czynne skierowanie tej osoby do miejsca, w którym znajdują się takie informacje. Co istotne, osoba, której dane dotyczą, nie powinna być zmuszona do samodzielnego szukania informacji odpowiadających obowiązkowi informacyjnemu pośród innych treści, np. w ramach obszernych regulaminów.
Kluczowe w tym zakresie są dwa przepisy, tj. art. 13 oraz art. 14 RODO. Wybór jednego z przywołanych przepisów zależy od źródła, z którego administrator pozyskał dane osobowe. Artykuł 13 RODO znajdzie bowiem zastosowanie, gdy administrator pozyskuje dane osobowe bezpośrednio od osoby, której dane dotyczą. W wytycznych dotyczących przejrzystości Grupa Robocza art. 29 wskazuje następujące przykłady takich sytuacji:
osoba, której dane dotyczą, samodzielnie przekazuje administratorowi dane osobowe (np. wypełniając formularz internetowy),
administrator samodzielnie pozyskuje dane od osoby, której one dotyczą, w drodze obserwacji (np. przy zastosowaniu automatycznych rejestratorów, takich jak kamery czy urządzenia sieciowe).
Natomiast art. 14 RODO administrator będzie musiał uwzględnić, jeżeli dane osobowe zostały przez niego pozyskane nie bezpośrednio od osoby, której one dotyczą. Przywołane wytyczne w sprawie przejrzystości wskazują jako przykłady konieczności zastosowania tego przepisu m.in.:
pozyskanie danych osobowych od zewnętrznego administratora danych (np. udostępnienie danych osobowych przez kontrahenta, partnera biznesowego, właściciela bazy danych),
pozyskanie danych osobowych ze źródeł publicznie dostępnych (np. pozyskanie danych z CEIDG, KRS lub GUS),
pozyskanie danych osobowych od innych osób (np. pozyskanie danych dotyczących członków rodzin, podanych przez pracowników).
Jeżeli dane osobowe pozyskujemy bezpośrednio od osoby, której one dotyczą, prawidłowo sformułowany obowiązek informacyjny, stosownie do art. 13 RODO, powinien zawierać:
tożsamość i dane kontaktowe administratora (ewentualnie jego przedstawiciela),
wyjaśnienie prawnie uzasadnionego interesu realizowanego przez administratora lub przez stronę trzecią (jeżeli podstawą przetwarzania danych jest art. 6 ust. 1 lit. f RODO),
listę odbiorców danych osobowych lub ich kategorie (jeżeli przetwarzane dane osobowe będą przekazywane np. do podmiotów przetwarzających dane lub innych administratorów danych),
informacje o zamiarze przekazania danych osobowych do państwa trzeciego lub organizacji międzynarodowej oraz o stwierdzeniu lub braku stwierdzenia przez Komisję odpowiedniego stopnia ochrony lub w przypadku przekazania, o którym mowa w art. 46, art. 47 lub art. 49 ust. 1 akapit drugi, wzmiankę o odpowiednich lub właściwych zabezpieczeniach oraz informację o sposobach uzyskania kopii tych zabezpieczeń lub o miejscu ich udostępnienia;
informacje o prawie do żądania od administratora dostępu do danych osobowych dotyczących osoby, której dane dotyczą, ich sprostowania, usunięcia lub ograniczenia przetwarzania albo o prawie do wniesienia sprzeciwu wobec przetwarzania, a także o prawie do przenoszenia danych,
informacje o prawie do cofnięcia zgody (jeżeli stanowiła ona podstawę prawną przetwarzania danych),
informację, czy podanie danych osobowych jest wymogiem ustawowym lub umownym albo warunkiem zawarcia umowy oraz czy osoba, której dane dotyczą, jest zobowiązana do ich podania i jakie są ewentualne konsekwencje niepodania danych,
informacje o zautomatyzowanym podejmowaniu decyzji, w tym o profilowaniu, z uwzględnieniem informacji o zasadach ich podejmowania, a także o znaczeniu i przewidywanych konsekwencjach takiego przetwarzania dla osoby, której dane dotyczą.
Jeżeli podstawą realizacji obowiązku informacyjnego będzie art. 14 RODO, oprócz wyżej wymienionych informacji administrator jest zobowiązany podać:
kategorie danych, które przetwarza,
Z przykładową klauzulą informacyjną można zapoznać się w materiale: "Klauzule RODO".
Jeżeli administrator będzie pozyskiwać dane osobowe bezpośrednio od osoby fizycznej, powinien zrealizować obowiązek informacyjny podczas pozyskiwania tych danych. Realizacja obowiązku informacyjnego powinna zatem nastąpić najpóźniej przed zakończeniem zbierania danych osobowych. Rekomenduje się jednak, aby do spełnienia obowiązku informacyjnego doszło jeszcze przed pozyskaniem danych osobowych. W praktyce będzie się to odnosiło do umożliwienia osobie, której dane dotyczą, zapoznania się treścią klauzuli informacyjnej. Jako przykłady rozwiązań w tym zakresie można wskazać:
umieszczenie klauzuli informacyjnej w treści formularza służącego do pozyskiwania danych osobowych,
spełnienie obowiązku informacyjnego na wstępie rozmowy telefonicznej (dotyczy to np. telefonicznych biur obsługi klienta),
przekazanie podstawowych informacji – takich jak tożsamość administratora danych, cele przetwarzania danych, opis praw przysługujących osobie, do której należą dane osobowe – z jednoczesnym odesłaniem do pełnej treści klauzuli informacyjnej, np. poprzez podany link (tzw. warstwowy obowiązek informacyjny).
Termin na spełnienie obowiązku informacyjnego, w sytuacji gdy dane osobowe administrator pozyskuje nie od osoby, której dane dotyczą, jest dłuższy (art. 14 ust. 3 RODO). W takim scenariuszu administrator ma maksymalnie miesiąc na zrealizowanie tego obowiązku od momentu pozyskania danych osobowych. Termin ten może ulec skróceniu, jeżeli:
dane są wykorzystywane do komunikacji z osobą, której te dane dotyczą – wówczas obowiązek informacyjny powinien zostać spełniony podczas pierwszego kontaktu z tą osobą,
dane mają zostać ujawnione innemu odbiorcy – wówczas administrator powinien zrealizować obowiązek informacyjny najpóźniej przy pierwszym ujawnianiu.
Przy podejmowaniu decyzji odnośnie do terminu przekazania informacji o przetwarzaniu danych osobowych administrator powinien uwzględnić rozsądne oczekiwania osób, których dane są przetwarzane, oraz wpływ tego przetwarzania na te osoby i ich prawa.
Jeżeli administratora dotyczy przypadek wskazany w art. 14 RODO, sposoby realizacji obowiązku informacyjnego mogą być następujące:
przesłanie e-maila lub listu pocztą tradycyjną z klauzulą informacyjną lub odesłaniem do strony WWW, na której znajduje się pełna treść klauzuli,
załączenie klauzuli informacyjnej do pierwszej wiadomości e-mailowej lub do listu przesłanego pocztą tradycyjną,
zawarcie na stałe w stopce e-maila klauzuli informacyjnej lub odesłania do pełnej treści klauzuli
Omawiając sposób realizacji obowiązku informacyjnego, warto zwrócić uwagę na stanowisko Grupy Roboczej art. 29, zawarte w cytowanych już wytycznych. Zgodnie z nim wszelkie informacje, które zostały przekazane osobie (np. w liście, e-mailu lub formularzu do pozyskiwania danych), powinny być dla niej dostępne niezależnie w innym miejscu lub w ramach innego dokumentu. Takie miejsce lub taki dokument powinny być łatwo dostępne, jeżeli osoba, której dane są przetwarzane, chciałaby zapoznać się ponownie z całością klauzuli informacyjnej (przykładem takich rozwiązań są zakładki pojawiające się na stronach internetowych administratorów, np. „Polityki prywatności”, „Zasady przetwarzania danych osobowych”, „RODO”).
Wyłączenia (teoretyczne) realizacji obowiązku informacyjnego
Przepisy RODO przewidują kilka sytuacji, w których realizowanie obowiązku informacyjnego może zostać wyłączone (tak stanowi teoria). Przykładem może być taki stan rzecz (wskazany w art. 13 ust. 4 RODO), gdy administrator przetwarza dane osoby, które pozyskał bezpośrednio od niej, i osoba ta dysponuje już wszelkimi informacjami z art. 13 ust. 1, 2 i 3 RODO, wymienionymi w niniejszym artykule w części „Treść obowiązku informacyjnego”.
W przypadku zaś pośredniego pozyskiwania danych osobowych, zgodnie z art. 14 ust. 5 RODO, administrator może nie realizować obowiązku przekazywana informacji na temat przetwarzania danych osobowych, jeżeli:
osoba, której dane dotyczą, dysponuje już informacjami w zakresie przetwarzania jej danych osobowych przez administratora,
udzielenie takich informacji okazuje się niemożliwe lub wymagałoby niewspółmiernie dużego wysiłku; w szczególności w przypadku przetwarzania do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych, z zastrzeżeniem warunków i zabezpieczeń, o których mowa w art. 89 ust. 1 RODO,
Niezależnie od powyższego zwolnieniem z obowiązku informacyjnego z art. 14 ust. 1 i 2 RODO objęto administratorów wykonujących zadania publiczne, jeżeli takie zwolnienie służy realizacji zadania publicznego. Podstawę zwolnienia w tym przypadku stanowi art. 4 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. z 2018 r. poz. 1000 ze zm.). Przywołana ustawa w art. 2 przewiduje również całościowe wyłączenia stosowania art. 13 i art. 14 RODO w przypadku działalności polegającej na redagowaniu, przygotowywaniu, tworzeniu lub publikowaniu materiałów prasowych w rozumieniu ustawy z dnia 26 stycznia 1984 r. – Prawo prasowe (t.j. Dz.U. z 2018 r. poz. 1914).
Warto w tym miejscu wskazać, że realizacja obowiązku informacyjnego nie będzie wymagana wówczas, gdy administrator danych nie przetwarza danych teleadresowych (np. numer telefonu, adres e-mailowy, adres miejsca zamieszkania/korespondencyjny) osób znajdujących się w jego systemach. Pozyskanie takich danych tylko w celu dokonania obowiązku informacyjnego nie jest konieczne (zważywszy na treść art. 11 ust. 1 RODO), a nawet może zostać uznane za złamanie zasady minimalizacji danych, gdyż nie są one potrzebne administratorowi do realizacji podstawowego celu ich przetwarzania.
Wpływ pierwszej kary za naruszenie RODO
na realizację obowiązku informacyjnego – apetyt na ryzyko
Więcej na ten temat w artykule: "Milion za niezgodność z RODO".
Przed podjęciem decyzji o realizacji obowiązku informacyjnego administrator powinien w pierwszej kolejności poszukać odpowiedzi na pytania:
skąd będą pochodzić dane osobowe (czy bezpośrednio od osoby, której one dotyczą, czy z innego źródła)?
jakie dokładnie dane osobowe administrator będzie przetwarzał?
Pytania te powinny być dla administratora szczególnie istotne przy podejmowaniu decyzji, czy w ogóle będzie realizować obowiązek informacyjny (mając na względzie art. 11 ust. 1 RODO), a jeżeli tak, to w jaki sposób – ten uregulowany w art. 13 czy też w art. 14 RODO. Ustalenia w tym zakresie pozwolą również na precyzyjne określenie terminu, w jakim administrator powinien przekazać klauzulę informacyjną.
Należy podkreślić, że administrator powinien udzielić odpowiedzi na powyższe pytania już na etapie projektowania danego procesu przetwarzania danych. Wówczas niezbędne jest również ustalenie dalszych bardzo ważnych kwestii, mianowicie:
jaki jest cel oraz jaka jest podstawa prawna przetwarzania?
przez jaki czas administrator będzie przetwarzać dane osobowe?
jakiemu odbiorcy administrator będzie udostępniać/powierzać dane osobowe?
czy dane będą podlegały zautomatyzowanemu przetwarzaniu?
Dopiero tak usystematyzowana wiedza pozwoli administratorowi na przygotowanie prawidłowej klauzuli informacyjnej. Podobne informacje należy zawrzeć i na bieżąco aktualizować w rejestrze czynności przetwarzania, o którym piszemy w artykule: "Nowy dokument z zakresu ochrony danych osobowych już od 25 maja 2018r.".
4.53/5 (43) 1
przy ul. Kamionkowskiej 45. Twoje dane są przetwarzane w celu świadczenia usługi biuletyn informacyjny

References: art. 29
 art. 13
 art. 14
 art. 29
 art. 14
 art. 13
 art. 6
 art. 46
 art. 47
 art. 49
 art. 14
 art. 14
 art. 29
 art. 13
 art. 13
 art. 14
 art. 89
 art. 14
 art. 4
 art. 2
 art. 13
 art. 14
 art. 11
 art. 11
 art. 13
 art. 14