Source: https://www.poradyodo.pl/rodo/dowiedz-sie-czy-wobec-obecnych-klientow-trzeba-ponownie-spelniac-obowiazek-informacyjny-wedlug-rodo-8475.html
Timestamp: 2020-01-20 02:53:19+00:00
Document Index: 122826594

Matched Legal Cases: ['art. 24', 'art. 32', 'art. 25', 'art. 13', 'art. 14', 'art. 13']

Obowiązek informacyjny według RODO - Ochrona danych osobowych
Wciąż obowiązująca ustawa z 29 sierpnia 1997 r. o ochronie danych osobowych ustanawia pewne obowiązki nałożone na administratora danych zwane łącznie potocznie obowiązkami informacyjnymi. Artykuł 24 i 25 ustawy wskazują, o czym administrator danych powinien poinformować osobę, której dane dotyczą. Obowiązek ten różni się w zależności od tego, czy administrator pozyskuje dane osobowe bezpośrednio od tej osoby, czy też od innego podmiotu. Jeżeli zbiera dane osobowe od osoby, której one dotyczą, musi ją poinformować o:
adresie swojej siedziby i pełnej nazwie, a w przypadku gdy jest osobą fizyczną – o miejscu swojego zamieszkania oraz imieniu i nazwisku,
celu zbierania danych, a w szczególności o znanych mu w czasie udzielania informacji lub przewidywanych odbiorcach bądź kategoriach odbiorców danych,
Obowiązek informacyjny wobec osób, od których dane są zbieranie, nie istnieje tylko, jeżeli:
osoba, której dane dotyczą, ma już informacje, o których w art. 24 ustawy.
Jeżeli administrator zbiera dane osobowe nie od osoby, której dotyczą, musi poinformować ją bezpośrednio po utrwaleniu zebranych danych o:
uprawnieniach wynikających z art. 32 ust. 1 pkt 7 i 8, czyli o prawie wniesienia pisemnego, umotywowanego żądania zaprzestania przetwarzania jej danych ze względu na jej szczególną sytuację oraz o prawie wniesienia sprzeciwu wobec przetwarzania jej danych, gdy zamierza je przetwarzać w celach marketingowych lub wobec przekazywania jej danych osobowych innemu administratorowi danych.
Obowiązek ten nie istnieje, gdy:
dane są przetwarzane na podstawie przepisów prawa przez administratora „publicznego” lub niepublicznego, ale realizującego zadania publiczne,
osoba, której dane dotyczą, ma już informacje, o których mowa w art. 25 ustawy.
Nie trzeba informować osoby, której dane dotyczą, o powierzeniu danych innemu podmiotowi na podstawie umowy powierzenia.
Co w obowiązkach informacyjnych zmienia RODO
Artykuły 13 i 14 RODO określają, jakie informacje powinny zostać przekazane osobie, której dane dotyczą i od której są zbierane (art. 13 RODO), oraz osobie, której dane dotyczą, ale zostały pozyskane z innego źródła (art. 14 RODO). Katalog informacji do przekazania jest znacznie bogatszy od tego w ramach „starego” obowiązku informacyjnego i obejmuje m.in. informacje o:
odbiorcach danych osobowych lub o kategoriach odbiorców, jeżeli istnieją,
Podobnie jak w przypadku obecnych regulacji także RODO przewiduje wyjątki od obowiązku informacyjnego. Osoby, której dane dotyczą, nie trzeba informować, jeżeli dysponuje już ona tymi informacjami. Ten sam wyjątek ma zastosowanie do podmiotów, których dane zostały pozyskane od innych osób, ale w tym wypadku obowiązek informacyjny nie musi być spełniany także gdy:
pozyskiwanie lub ujawnianie jest wyraźnie uregulowane prawem Unii Europejskiej bądź prawem państwa członkowskiego, któremu podlega administrator,
Czy musisz jeszcze raz realizować obowiązek informacyjny
do 25 maja 2018 r. osoby, których dane dotyczą, są informowane w innym (zasadniczo węższym) zakresie, niż będzie to się odbywało po 25 maja 2018 r.,
przepisy RODO nie zawierają żadnych przepisów tymczasowych lub przejściowych,
to powstaje pytanie, czy po 25 maja 2018 r. wystarczy dochowywać nowego obowiązku informacyjnego wyłącznie wobec nowych osób, od których dane są pobierane, czy też trzeba ponownie wykonać obowiązek informacyjny wobec starych klientów, ale tym razem zgodnie z art. 13 lub 14 RODO? W mojej ocenie nie ma potrzeby powtarzania tego obowiązku.
Zgodnie z motywem 171 RODO, jeżeli przetwarzanie ma za podstawę zgodę w myśl dyrektywy 95/46/WE (czyli de facto zgoda została udzielona na podstawie obecnej polskiej ustawy o ochronie danych osobowych), osoba, której dane dotyczą, nie musi ponownie wyrażać zgody, jeżeli pierwotny sposób jej wyrażenia odpowiada warunkom RODO. Dzięki temu administrator może kontynuować przetwarzanie danych po dacie rozpoczęcia stosowania RODO. Wydaje się, że nie ma powodu, aby podobnej zasady nie stosować w stosunku do obowiązku informacyjnego.
Trzeba zwrócić uwagę na zasadę aktualności, która nakazuje opierać się na przepisach obowiązujących w chwili wydawania decyzji, a nie na przepisach zmienionych w późniejszym czasie. Mówiąc wprost, zmiana przepisów dotyczących obowiązków informacyjnych nie może skutkować zmianą oceny prawidłowości dopełnienia obowiązku informacyjnego przed 25 maja 2018 r., skoro w tamtym okresie przepisy RODO nie obowiązywały. Względy racjonalności nakazują też założyć, że gdyby unijny prawodawca chciał obciążyć administratorów danych tak pracochłonnym i kosztownym obowiązkiem, to zapisałby go wprost w przepisach RODO.
obowiązek informacyjny administratora danychobowiązek informacyjny ADO w rodoogólne rozporządzenie o ochronie danych osobowychrodo
Przepisy wdrażające RODO do polskiego prawa przekazane do Komitetu do Spraw Europejskich