Kategorie

Obowiązek informacyjny z art. 13 RODO w świetle wykładni Prezesa Urzędu Ochrony Danych Osobowych

Małgorzata Pundyk-Glet
dr nauk prawnych
Obowiązek informacyjny wynikający z RODO powinien być spełniany w chwili pozyskiwania danych, fot. shutterstock
Każdy przedsiębiorca powinien rozeznać, w jakim momencie pozyskuje dane i odpowiednio przygotować klauzulę z art. 13 RODO. Warto zapoznać się z decyzjami Prezesa Urzędu Ochrony Danych Osobowych, ponieważ w nich znajduje się wykładnia przepisów, która może się różnić od wykładni zawartej w dostępnych komentarzach.

W ubiegłym roku wdrożyłam RODO u ponad 100 podmiotów. Większość z nich nie posiadała żadnej polityki w zakresie ochrony danych i nie podejmowała w tym temacie żadnych działań także w reżimie poprzedniej ustawy.

Znaczna część osób powołanych do wdrożenia w danej firmie RODO sprowadzała obowiązki związane z RODO do skopiowania gotowych regułek, które bezrefleksyjnie miały być wdrażane w przedsiębiorstwach.

Polecamy: RODO Jak przygotować się do kontroli

Najbardziej niechętnie podchodzono o obowiązku informacyjnego, o którym mowa w art. 13 RODO. Zgodnie z tym przepisem:

1. Jeżeli dane osobowe osoby, której dane dotyczą, zbierane są od tej osoby, administrator podczas pozyskiwania danych osobowych podaje jej wszystkie następujące informacje:

  1. swoją tożsamość i dane kontaktowe oraz, gdy ma to zastosowanie, tożsamość i dane kontaktowe swojego przedstawiciela;
  2. gdy ma to zastosowanie – dane kontaktowe inspektora ochrony danych;
  3. cele przetwarzania danych osobowych, oraz podstawę prawną przetwarzania;
  4. jeżeli przetwarzanie odbywa się na podstawie art. 6 ust. 1 lit. f) – prawnie uzasadnione interesy realizowane przez administratora lub przez stronę trzecią;
  5. informacje o odbiorcach danych osobowych lub o kategoriach odbiorców, jeżeli istnieją;
  6. gdy ma to zastosowanie – informacje o zamiarze przekazania danych osobowych do państwa trzeciego lub organizacji międzynarodowej oraz o stwierdzeniu lub braku stwierdzenia przez Komisję odpowiedniego stopnia ochrony lub w przypadku przekazania, o którym mowa w art. 46, art. 47 lub art. 49 ust. 1 akapit drugi, wzmiankę o odpowiednich lub właściwych zabezpieczeniach oraz informacje o sposobach uzyskania kopii zabezpieczeń lub o miejscu ich udostępnienia.

2. Poza informacjami, o których mowa w ust. 1, podczas pozyskiwania danych osobowych administrator podaje osobie, której dane dotyczą, następujące inne informacje niezbędne do zapewnienia rzetelności i przejrzystości przetwarzania:

  1. okres, przez który dane osobowe będą przechowywane, a gdy nie jest to możliwe, kryteria ustalania tego okresu;
  2. informacje o prawie do żądania od administratora dostępu do danych osobowych dotyczących osoby, której dane dotyczą, ich sprostowania, usunięcia lub ograniczenia przetwarzania lub o prawie do wniesienia sprzeciwu wobec przetwarzania, a także o prawie do przenoszenia danych;
  3. jeżeli przetwarzanie odbywa się na podstawie art. 6 ust. 1 lit. a) lub art. 9 ust. 2 lit. a) – informacje o prawie do cofnięcia zgody w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej cofnięciem;
  4. informacje o prawie wniesienia skargi do organu nadzorczego;
  5. informację, czy podanie danych osobowych jest wymogiem ustawowym lub umownym lub warunkiem zawarcia umowy oraz czy osoba, której dane dotyczą, jest zobowiązana do ich podania i jakie są ewentualne konsekwencje niepodania danych;
  6. informacje o zautomatyzowanym podejmowaniu decyzji, w tym o profilowaniu, o którym mowa w art. 22 ust. 1 i 4, oraz – przynajmniej w tych przypadkach – istotne informacje o zasadach ich podejmowania, a także o znaczeniu i przewidywanych konsekwencjach takiego przetwarzania dla osoby, której dane dotyczą.

3. Jeżeli administrator planuje dalej przetwarzać dane osobowe w celu innym niż cel, w którym dane osobowe zostały zebrane, przed takim dalszym przetwarzaniem informuje on osobę, której dane dotyczą, o tym innym celu oraz udziela jej wszelkich innych stosownych informacji, o których mowa w ust. 2.

4. Ust. 1, 2 i 3 nie mają zastosowania, gdy – i w zakresie, w jakim – osoba, której dane dotyczą, dysponuje już tymi informacjami.

Reklama

Obowiązek informacyjny powinien być spełniany w chwili pozyskiwania danych, dlatego ja wdrożyłam odpowiednie klauzule w umowach z klientami, druku zamówienia, emailu, na stronie internetowej. Każdy przedsiębiorca powinien rozeznać, w jakim momencie pozyskuje dane i odpowiednio przygotować klauzulę z art. 13 RODO.

Większość podmiotów przekazuje informację w sposób możliwie lakoniczny, co nie jest jakimś specjalnym uchybieniem. Niepokojąca jest jednak wykładnia Prezesa Urzędu Ochrony Danych w zakresie odbiorców danych osobowych. W rozumieniu RODO pojęcie odbiorca oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, któremu ujawnia się dane osobowe, niezależnie od tego, czy jest stroną trzecią. Organy publiczne, które mogą otrzymywać dane osobowe w ramach konkretnego postępowania zgodnie z prawem Unii lub prawem państwa członkowskiego, nie są jednak uznawane za odbiorców; przetwarzanie tych danych przez te organy publiczne musi być zgodne z przepisami o ochronie danych mającymi zastosowanie stosownie do celów przetwarzania.

W decyzji z dnia 06.04.2019 roku nr ZSPU.421.2.2018 Prezes wskazał, że

„Ponadto, zarówno klauzula informacyjna, jak i rejestr czynności przetwarzania, nie zawierają informacji o wszystkich odbiorcach danych, w tym o stronach i uczestnikach postępowań administracyjnych w sprawach o zameldowanie lub wymeldowanie. Obowiązkiem administratora jest, na podstawie art. 12 ust. 1 ogólnego rozporządzenia o ochronie danych osobowych, podjęcie odpowiednich środków, aby w zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej formie, jasnym i prostym językiem udzielić osobie, której dane dotyczą, wszelkich informacji, o których mowa w art. 13 i 14 ogólnego rozporządzenia o ochronie danych osobowych. W ramach podjętych środków, zadaniem administratora jest zidentyfikowanie i ujęcie w klauzuli informacyjnej danych o wszystkich odbiorcach danych osobowych, którym dane są przekazywane w ramach poszczególnych czynności przetwarzania danych osobowych. Odbiorcą danych zgodnie z definicją odbiorcy określoną w art. 4 pkt 9 zd. 1 ogólnego rozporządzenia o ochronie danych jest osoba fizyczna lub prawna, organ publiczny, jednostka lub inny podmiot, któremu ujawnia się dane osobowe, niezależnie od tego czy jest stroną trzecią. W związku z prowadzonymi przez Prezydenta Miasta W. postępowaniami administracyjnymi w sprawach o zameldowanie lub wymeldowanie, odbiorcami danych są strony oraz uczestnicy tych postępowań administracyjnych. Informację o tych odbiorcach należy ująć również w rejestrze czynności przetwarzania dla czynności związanej z prowadzeniem rejestru mieszkańców. Tymczasem, w załączonych do pisma Prezydenta Miasta W. z dnia […] grudnia 2018 r., […], klauzuli informacyjnej oraz rejestrze czynności przetwarzania informacje o stronach i uczestnikach postępowań administracyjnych w sprawach o zameldowanie lub wymeldowanie nie zostały ujęte.

[…]

Jednocześnie, na podstawie złożonych przez Prezydenta Miasta W. wyjaśnień oraz innych przedstawionych dowodów należy uznać, że w toku postępowania usunięte zostały pozostałe uchybienia w procesie przetwarzania danych osobowych, stanowiące przedmiot postępowania, tj.:

  1. W umowie z A. S.A. nr […] z dnia […] października 2018 roku, której przedmiot stanowi świadczenie usługi asysty technicznej i konserwacji oprogramowania systemu A., ujęto zapisy dotyczące wsparcia przez podmiot przetwarzający administratora danych w zakresie wypełnienia obowiązków ciążących na administratorze zgodnie z art. 28 ust. 3 lit. e), f) i h) ogólnego rozporządzenia o ochronie danych.
  2. Zamontowano przegrody pionowe pomiędzy stanowiskami obsługi klientów w sposób zapewniający osobom spełniającym obowiązek meldunkowy poufność przetwarzania danych osobowych, zgodnie z art. 5 ust. 1 lit. f) ogólnego rozporządzenia o ochronie danych, realizując tym samym obowiązek wdrożenia odpowiednich środków technicznych wynikający z art. 24 ust. 1 ogólnego rozporządzenia o ochronie danych.
  3. W klauzuli informacyjnej ujęto informację o A. S.A., jako odbiorcy danych.”
Reklama

Należy zwrócić szczególną uwagę na pkt.3. przytoczonego wyżej uzasadnienia. Z tego punktu wynika, że w klauzuli informacyjnej należy zamieszczać informację także o nazwie odbiorcy- w tym przypadku- podmiotu przetwarzającego, jeśli znamy jego tożsamość. Taka wykładnia będzie kłopotliwa w realizacji, bowiem wielu przedsiębiorców korzysta z licznych podmiotów przetwarzających, np. właścicieli serwerów, różnego rodzaju chmur, biur rachunkowych itp. Wydaje się, że przedsiębiorcy nie zdają sobie sprawy, że Prezes Urzędu może oczekiwać, aby zamieszczać dane tych podmiotów w klauzuli informacyjnej. Samo zidentyfikowanie wszystkich odbiorców może nastręczać trudności, np. w przypadku pracownika często odbiorcą danych będzie inny upoważniony pracownik, np. kadrowa, księgowa.

Wdrożenie RODO nie jest trudne, jednak przyjęte procedury i wzory wymagają przeglądów w celu uaktualnienia. Zachęcam do lektury decyzji Prezesa Urzędu, ponieważ w nich znajduje się wykładnia przepisów, która może się różnić od wykładni zawartej w dostępnych komentarzach.

Polecamy serwis: RODO w firmie

Źródło: INFOR
Czy ten artykuł był przydatny?
tak
nie
Dziękujemy za powiadomienie
Jeśli nie znalazłeś odpowiedzi na swoje pytania w tym artykule, powiedz jak możemy to poprawić.
UWAGA: Ten formularz nie służy wysyłaniu zgłoszeń . Wykorzystamy go aby poprawić artykuł.
Jeśli masz dodatkowe pytania prosimy o kontakt

Komentarze(0)

Uwaga, Twój komentarz może pojawić się z opóźnieniem do 10 minut. Zanim dodasz komentarz -zapoznaj się z zasadami komentowania artykułów.
    QR Code

    © Materiał chroniony prawem autorskim - wszelkie prawa zastrzeżone. Dalsze rozpowszechnianie artykułu za zgodą wydawcy INFOR PL S.A.

    Moja firma
    1 sty 2000
    20 cze 2021
    Zakres dat:
    Zapisz się na newsletter
    Zobacz przykładowy newsletter
    Zapisz się
    Wpisz poprawny e-mail

    Tydzień Przedsiębiorcy 21-25 czerwca

    Tydzień Przedsiębiorcy 21-25 czerwca. W dniu 21 czerwca przypada Dzień Przedsiębiorcy. Z tej okazji Ministerstwo Rozwoju, Pracy i Technologii zaprasza w tym roku firmy i przedsiębiorców, w tym szczególności z sektora MŚP, na specjalnie zorganizowane wydarzenia. Potrwają one do 25 czerwca 2021 r. Podczas organizowanych w tym celu spotkań, telekonferencji, webinariów i podcastów MRPiT chce wesprzeć małe i średnie przedsiębiorstwa praktyczną wiedzą, doświadczeniem i kontaktami na rzecz rozwoju ich działalności biznesowej tak w kraju, jak i na rynkach Unii Europejskiej, a także pozaunijnych.

    Które firmy stać na sztuczną inteligencję?

    Sztuczna inteligencja odmieniana jest przez wszystkie przypadki. Chociaż średnie i małe firmy nie mają embarga na technologie wykorzystujące SI, praktyka pokazuje, że istnieje wewnętrzny opór. Dlaczego tak się dzieje?

    Firma w Czechach. Przedsiębiorcy pomału odpuszczają

    Nawet o kilkaset procent wzrosła w ostatnich tygodniach liczba pytań kierowanych do firm pomagających prowadzić firmę w Czechach. Ale jak podkreślają eksperci, nie każdy biznes można przenieść do Czech czy na Słowację. Wyjaśniamy dlaczego.

    Handel hurtowy i detaliczny szuka pracowników

    Przedsiębiorcy z sektora handlu detalicznego i hurtowego w najbliższych trzech miesiącach mają zamiar dość intensywnie rozbudowywać swoje zespoły. Kogo głównie poszukują pracodawcy?

    Tokenizacja - słowo klucz w nowoczesnym biznesie. Co można stokenizować?

    Tokenizacja to termin zdobywający ostatnimi czasy olbrzymią popularność, w szczególności w środowiskach biznesowych. Przedsiębiorcy zaczynają żywiej interesować się możliwościami, jakie oferuje ta oparta na technologii blockchain forma cyfryzacji. Pytanie tylko, cyfryzacji… czego? Jak działa blockchain? Czym jest tokenizacja? Co to jest token? Jakie są rodzaje tokenów? Co można stokenizować? Jak przeprowadzić cyfryzację biznesu poprzez tokenizację? Wyjaśniają eksperci z Kancelarii Prawnej RPMS Staniszewski & Wspólnicy

    Ceny mieszkań rosną wolniej niż zarobki

    Ceny mieszkań. W trakcie trwającej hossy mieszkaniowej pensje Polaków wzrosły o prawie 53% - sugerują dane GUS. To prawie tyle, o ile zdrożały w międzyczasie nieruchomości. W ostatnim kwartale znowu pensje wyprzedziły ceny. Oby nie na chwilę.

    Odejście od chowu klatkowego jest niemożliwe

    Resort rolnictwa przygląda się działaniom KE ws. chowu klatkowego. Tymczasem branża stoi na stanowisku, że rezygnacja z chowu klatkowego nie jest możliwa.

    Przedsiębiorcy częściej źle oceniają jakość pracy zdalnej

    Po upływie kilkunastu miesięcy model pracy zdalnej przynosi gorsze efekty zdaniem co trzeciego pracodawcy. Najmniej zadowoleni z home office są przedstawiciele handlu, przemysłu i mikrofirm.

    Działalność gospodarcza a status osoby bezrobotnej

    Czy osoba prowadząca działalność gospodarczą z wpisem do CEIDG może uzyskać status osoby bezrobotnej? Jak wygląda sytuacja spółek prawa handlowego i działalności nierejestrowej?

    Dariusz Bliźniak: dlaczego drzewa i zieleń stają się kapitałem?

    Ślad węglowy to jedno z największych wyzwań XXI wieku, które nie pozostaje obojętne zarówno pojedynczym obywatelom, jak i całym rządom poszczególnych państw - mówi Dariusz Bliźniak.

    PR w firmie. Czym jest pozycjonowanie eksperckie?

    Pozycjonowanie eksperckie - na czym polega ten rodzaj prowadzenia dialogu z publicznością (a docelowo – przyszłymi klientami)? Jakie narzędzia są niezbędne w skutecznym pozycjonowaniu eksperckim?

    Audi RS e-tron GT: w 3,2 sek. do setki w elektryku! Pierwsza jazda.

    Audi e-tron GT choć jest elektryczny, powstaje w tej samej fabryce co R8. Choć nie emituje spalin, generuje potężną ilość emocji.

    Jacek Czauderna: Panie Premierze, przedsiębiorcy czekają na konkrety [PODCAST]

    Polski Ład to kolejna piękna, marketingowa, ale polityczna akcja – mówi Jacek Czauderna. Na co mogą liczyć przedsiębiorcy? Zapraszamy do wysłuchania podcastu.

    Opłacalność fotowoltaiki - co się zmieni od 2022 roku?

    Opłacalność fotowoltaiki. Szykują się duże zmiany na rynku fotowoltaiki. Ministerstwo Klimatu i Środowiska przekazało do konsultacji publicznych projekt ustawy, który m.in. reguluje nowe zasady dla prosumentów. Co to oznacza? Jak mówi Jakub Jadziewicz, Członek Zarządu Alians OZE - „Magazyny energii staną się niezbędnym elementem instalacji fotowoltaicznej”. Dla rynku PV niebawem rozpocznie się nowy rozdział.

    Uproszczone Postępowanie Restrukturyzacyjne to już 84% wszystkich spraw

    UPR okazało się niewątpliwie czarnym koniem restrukturyzacji ostatnich kilkunastu miesięcy. Na koniec czwartego kwartału ubiegłego roku UPR stanowiło 52% wszystkich postępowań restrukturyzacyjnych. Na czym polega UPR?

    Zastaw rejestrowy na pojeździe. Czym jest i kiedy jest wpisywany?

    Zastaw rejestrowy na pojeździe. Czyli dziś opowiemy o tym, czemu pojawia się taka adnotacja w dokumentach pojazdu i jak się jej pozbyć.

    Małgorzata Ławnik: oszczędność na pracownikach to pierwszy krok do strat w biznesie

    Zignorowanie potencjału, jaki niosą ze sobą pracownicy, jest jednym z największych błędów przedsiębiorstw, ponieważ to właśnie od zatrudnionych osób zależy przyszłość firmy – mówi Małgorzata Ławnik, dyrektor Pionu Personalnego Kaufland Polska.

    Nadanie nowego numeru VIN. Na czym polega?

    Nadanie nowego numeru VIN może być konieczne po poważnej modyfikacji pojazdu. jak przeprowadzić procedurę zgodnie z przepisami?

    Polski Ład napędzi ceny mieszkań. Będzie drożej

    Polski Ład. Mieszkania to wciąż atrakcyjna lokata kapitału, dlatego ich ceny pomimo pandemii idą cały czas w górę. Eksperci prognozują, że wprowadzenie Polskiego Ładu przyczyni się do zwiększenia inflacji, a tym samym do jeszcze wyższych wzrostów cen mieszkań. W praktyce może być trudniej uzyskać kredyt hipoteczny, a tym samym kupić nowe lokum.

    Jaką rolę w transformacji cyfrowej firm odgrywa chmura obliczeniowa?

    Chmura obliczeniowa w trakcie pandemii zyskała na znaczeniu. Korzyści płynące z jej wdrożenia to m.in. optymalizacja kosztów, zwiększenie efektywności operacyjnej, ale przed wszystkim wzrost biznesu. Co jeszcze zyskują firmy w chmurze?

    Wydanie dowodu rejestracyjnego zatrzymanego przez Policje

    Wydanie dowodu rejestracyjnego zatrzymanego przez Policje. Czyli jak odzyskać dokumenty pojazdu po kontroli funkcjonariuszy?

    Jaki jest cel nowelizacji ustawy odległościowej?

    Ustawa odległościowa to jedno z założeń transformacji energetycznej. Lądowa energetyka wiatrowa ma być korzyścią dla branży, dostawców energii wiatrowej, ale też mieszkańców i samorządów. Na czym mają polegać zmiany?

    Będą zmiany w ustawie o cudzoziemcach

    Ustawa o cudzoziemcach - będą zmiany dotyczące cudzoziemców prowadzących działalność gospodarczą w Polsce i będących uczestnikami programów wsparcia.

    Jak branża gastronomiczna może na nowo zdobyć klientów?

    Przed branżą gastronomiczną pojawiło się nowe wyzwanie. W jaki sposób ponownie pozyskać kandydatów do pracy? Czy pomoże im w tym pozytywny wizerunek pracodawcy?

    Praca w IT - home office, ale projekty nierozwojowe

    Warunki zatrudnienia na rynku pracy IT są lepsze niż przed pandemią – wynika z najnowszego badania przeprowadzonego przez firmę HRK S.A. Zdaniem 39% specjalistów pracujących w IT COVID-19 miał pozytywny wpływ na ich branżę.