Obowiązki informacyjne wymagane przez RODO - zmiany w ochronie danych osobowych cz. 7

RODO bardzo duży nacisk kładzie na wszechstronne i klarowne informowanie osób, których dane są przetwarzane. Administrator danych osobowych jest zobowiązany powziąć odpowiednie środki, aby w zwięzłej, przejrzystej i łatwo dostępnej formie, jasnym i prostym językiem udzielić osobie wszelkich informacji wymaganych przez RODO oraz prowadzić z nią wszelką komunikację w sprawie przetwarzania. Informacji udziela się na piśmie, dopuszczalna jest korespondencja elektroniczna. Informacji można też udzielić ustnie, o ile można potwierdzić tożsamość osoby, do której informacja jest kierowana. RODO, nie oczekuje od nas informowania w określonym języku, jednak ze względu na charakter naszych usług i docelowego odbiorcę informacji być może konieczne okaże się przygotowanie informacji w języku zrozumiałym dla odbiorcy. Zakładając racjonalność ustawodawcy, nie można też przyjąć, że każdy otrzyma informacje w swoim języku ojczystym, natomiast może jednak zasadnie oczekiwać informacji w języku chociażby angielskim. Musimy się więc liczyć z kosztami przygotowania tłumaczeń na co najmniej język angielski.


W szeregu przypadków wykonywania praw związanych z danymi osobowymi (jak chociażby w przypadku prawa do sprostowania danych), administrator dysponuje maksymalnie terminem jednego miesiąca by poinformować żądającego o jego decyzji, wskazać na jej powody oraz na możliwość wniesienia skargi do organu nadzorczego oraz skorzystania ze środków ochrony prawnej przed sądem. Dla administratora takie żądania mogą być oczywiście uciążliwe, zwłaszcza, że sami wiemy, iż potrafią się zdarzyć takie osoby, które bardzo skwapliwie będą zarzucać nas swoimi roszczeniami. Za czas pracy osoby, która będzie odpowiadać na takie żądania, na koniec dnia zapłaci administrator. Informacje takie co do zasady są wolne od opłat, jednak jeżeli żądania osoby, której dane dotyczą, są ewidentnie nieuzasadnione lub nadmierne, w szczególności ze względu na swój ustawiczny charakter, administrator może pobrać rozsądną opłatę, uwzględniającą administracyjne koszty udzielenia informacji, prowadzenia komunikacji lub podjęcia żądanych działań albo odmówić podjęcia działań w związku z żądaniem. Teoretycznie zatem choć w niektórych przypadkach zwrócą się nam choćby np. koszty zagranicznych rozmów telefonicznych. 

Administrator podczas pozyskiwania danych osobowych w typowym przypadku zobowiązany jest podać wszystkie poniższe informacje: swoją tożsamość i dane kontaktowe oraz, gdy ma to zastosowanie, tożsamość i dane kontaktowe swojego przedstawiciela; gdy ma to zastosowanie – dane kontaktowe inspektora ochrony danych, cele przetwarzania danych osobowych, oraz podstawę prawną przetwarzania (w typowym przypadku celem jest wykonanie usługi i dalszy marketing naszego produktu, zaś podstawą jest zgoda osoby, której dane dotyczą); informacje o odbiorcach danych osobowych lub o kategoriach odbiorców, jeżeli istnieją (tylko nasza spółka, grupa spółek itd.). Poza tymi informacjami, podczas pozyskiwania danych osobowych administrator podaje osobie, której dane dotyczą, następujące inne informacje niezbędne do zapewnienia rzetelności i przejrzystości przetwarzania: okres, przez który dane osobowe będą przechowywane, a gdy nie jest to możliwe, kryteria ustalania tego okresu (w praktyce jeden z trudniejszych aspektów, rzadko kiedy powiemy klientowi, że będziemy np. przetwarzać jego dane przez rok, określenie zaś kryteriów ustalenia tego okresu wymaga też pogłówkowania); informacje o prawie do żądania od administratora dostępu do danych osobowych dotyczących osoby, której dane dotyczą, ich sprostowania, usunięcia lub ograniczenia przetwarzania lub o prawie do wniesienia sprzeciwu wobec przetwarzania, a także o prawie do przenoszenia danych; informacje o prawie do cofnięcia zgody na przetwarzanie danych osobowych w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej cofnięciem; informacje o prawie wniesienia skargi do organu nadzorczego; informację, czy podanie danych osobowych jest wymogiem ustawowym lub umownym lub warunkiem zawarcia umowy oraz czy osoba, której dane dotyczą, jest zobowiązana do ich podania i jakie są ewentualne konsekwencje niepodania danych. Wzmiankując jedynie skrótowo, należy jeszcze podać informacje o zautomatyzowanym podejmowaniu decyzji, w tym o profilowaniu. Pół biedy, jeśli osoba korzysta z naszych usług za pomocą strony internetowej, gorzej te wszystkie informacje podawać ustnie – rzadko kto zechce dotrwać do końca. Musimy więc mieć gotowe karty/formularze informacyjne.


Pozostałe posty o RODO znajdziesz tu (klik).


Aleksandra Dalecka
adwokat
Kancelaria Zdanowicz i Wspólnicy
Kontakt: blog@zdanowiczlegal.pl