Mikroporady

Słownik pojęć

Czy wiesz, że aż 96% mikro firm zapewnia 75% wszystkich wpływów z podatków i wytwarza 51% zysku gospodarki kraju?

A tylko niewielkiej liczbie udaje się utrzymać na rynku dłużej niż rok bez dostatecznej wiedzy i znajomości przepisów.

A czy wiesz, że...

Ty też możesz coś zrobić, abyśmy mogli dalej działać i skutecznie Cię wspierać?

KRS 0000318482

Przejdź do Twój e-PIT

	O
Obowiązek informacyjny RODO	Jedną z podstawowych zasad ochrony danych osobowych jest przejrzystość przetwarzania. Osoba, której dane dotyczą, powinna wiedzieć, kto przetwarza jej dane, w jakim celu są one wykorzystywane, jak długo będą przechowywane oraz jakie prawa jej przysługują. Realizacji tej zasady służy obowiązek informacyjny wynikający z przepisów RODO. W praktyce obowiązek informacyjny jest jednym z najczęściej realizowanych obowiązków administratora danych. Spotykamy się z nim podczas zawierania umów, rekrutacji pracowników, korzystania ze sklepów internetowych, formularzy kontaktowych czy usług świadczonych drogą elektroniczną. Jednocześnie jest to obszar, w którym przedsiębiorcy i instytucje publiczne najczęściej popełniają błędy.Obowiązek informacyjny polega na przekazaniu osobie, której dane dotyczą, określonych informacji związanych z przetwarzaniem jej danych osobowych.Jego celem jest zapewnienie osobie fizycznej pełnej wiedzy o tym, co dzieje się z jej danymi oraz umożliwienie skutecznego korzystania z praw przyznanych przez RODO.Zakres informacji, które należy przekazać, zależy przede wszystkim od tego, czy dane zostały pozyskane bezpośrednio od osoby, której dotyczą, czy też pochodzą z innego źródła. Obowiązek informacyjny został uregulowany w: art. 13 RODO – gdy dane są pozyskiwane bezpośrednio od osoby, której dane dotyczą; art. 14 RODO – gdy dane zostały pozyskane z innego źródła. Choć zakres przekazywanych informacji jest w obu przypadkach podobny, istnieją pewne różnice dotyczące sposobu oraz terminu realizacji obowiązku. Jeżeli administrator zbiera dane bezpośrednio od osoby fizycznej, obowiązek informacyjny powinien zostać zrealizowany najpóźniej w chwili pozyskiwania danych. Przykładowo obowiązek ten powinien zostać spełniony podczas: zawierania umowy; wypełniania formularza kontaktowego; składania zamówienia w sklepie internetowym; rekrutacji pracownika; zapisania się do newslettera. Osoba powinna mieć możliwość zapoznania się z informacjami jeszcze przed podjęciem decyzji o przekazaniu swoich danych. Jeżeli dane osobowe zostały pozyskane z innego źródła niż osoba, której dotyczą, administrator powinien przekazać wymagane informacje: w rozsądnym terminie, nie później niż w ciągu miesiąca od pozyskania danych; przy pierwszej komunikacji z osobą, której dane dotyczą; najpóźniej przy pierwszym ujawnieniu danych innemu odbiorcy. Termin zależy od okoliczności konkretnej sprawy i sposobu wykorzystania danych. Zakres obowiązku informacyjnego został szczegółowo określony w RODO. W szczególności należy wskazać: Dane administratora – administrator powinien wskazać swoją tożsamość oraz dane kontaktowe. Jeżeli został wyznaczony inspektor ochrony danych, należy również podać dane umożliwiające kontakt z tą osobą. Cele i podstawy przetwarzania – osoba, której dane dotyczą, musi wiedzieć dlaczego jej dane są przetwarzane i na jakiej podstawie prawnej odbywa się przetwarzanie. Przykładowo podstawą może być zgoda, wykonanie umowy, obowiązek prawny lub prawnie uzasadniony interes administratora. Odbiorcy danych- administrator powinien poinformować o kategoriach odbiorców lub konkretnych odbiorcach danych osobowych, jeżeli jest to możliwe. Okres przechowywania danych – należy wskazać okres przechowywania danych lub kryteria wykorzystywane do jego ustalenia. Osoba powinna mieć możliwość ustalenia, jak długo jej dane będą przetwarzane. Informacje o prawach osoby – klauzula informacyjna powinna zawierać informacje o prawie do: dostępu do danych; sprostowania danych; usunięcia danych; ograniczenia przetwarzania; przenoszenia danych; wniesienia sprzeciwu; cofnięcia zgody, jeżeli przetwarzanie odbywa się na jej podstawie. Prawo wniesienia skargi – administrator powinien poinformować o możliwości wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych. Informacje o profilowaniu – jeżeli administrator stosuje zautomatyzowane podejmowanie decyzji lub profilowanie, powinien poinformować o zasadach działania takich mechanizmów oraz ich potencjalnych konsekwencjach dla osoby, której dane dotyczą. RODO nie narzuca jednej konkretnej formy realizacji obowiązku informacyjnego. Najważniejsze jest jednak, aby informacje były: przekazane jasnym i prostym językiem; łatwo dostępne; przejrzyste; zrozumiałe dla przeciętnego odbiorcy. Najczęściej obowiązek realizowany jest poprzez: klauzule informacyjne; polityki prywatności; formularze internetowe; dokumentację przekazywaną przy zawieraniu umów; wiadomości elektroniczne. RODO przewiduje określone wyjątki od obowiązku informacyjnego. Dotyczy to w szczególności sytuacji, gdy: osoba posiada już wszystkie wymagane informacje; przekazanie informacji okazuje się niemożliwe lub wymagałoby niewspółmiernie dużego wysiłku; pozyskiwanie lub ujawnianie danych wynika wprost z przepisów prawa; dane są objęte obowiązkiem zachowania tajemnicy zawodowej. Wyjątki powinny być jednak interpretowane w sposób ścisły i nie mogą być stosowane automatycznie. W praktyce najczęściej spotykane naruszenia dotyczą: stosowania zbyt skomplikowanego języka; kopiowania nieaktualnych klauzul informacyjnych; pomijania informacji o prawach osób; niewskazywania okresu przechowywania danych; nieaktualizowania klauzul po zmianie sposobu przetwarzania danych; realizowania obowiązku informacyjnego po terminie. Błędy te mogą skutkować naruszeniem zasady przejrzystości oraz odpowiedzialnością administratora za nieprzestrzeganie przepisów RODO. Obowiązek informacyjny stanowi fundament transparentnego przetwarzania danych osobowych. Dzięki niemu osoba fizyczna może świadomie decydować o udostępnianiu swoich danych oraz skutecznie korzystać z praw gwarantowanych przez przepisy RODO. Z punktu widzenia administratora prawidłowa realizacja obowiązku informacyjnego pozwala wykazać zgodność przetwarzania z zasadą rozliczalności oraz ogranicza ryzyko sporów z osobami, których dane dotyczą. Podstawa prawna: Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. U. UE. L. z 2016 r. Nr 119, str. 1 z późn. zm.). Zobacz także: Venture Capital Łańcuch wartości

Obowiązek informacyjny RODO

Jedną z podstawowych zasad ochrony danych osobowych jest przejrzystość przetwarzania. Osoba, której dane dotyczą, powinna wiedzieć, kto przetwarza jej dane, w jakim celu są one wykorzystywane, jak długo będą przechowywane oraz jakie prawa jej przysługują. Realizacji tej zasady służy obowiązek informacyjny wynikający z przepisów RODO. W praktyce obowiązek informacyjny jest jednym z najczęściej realizowanych obowiązków administratora danych. Spotykamy się z nim podczas zawierania umów, rekrutacji pracowników, korzystania ze sklepów internetowych, formularzy kontaktowych czy usług świadczonych drogą elektroniczną. Jednocześnie jest to obszar, w którym przedsiębiorcy i instytucje publiczne najczęściej popełniają błędy.Obowiązek informacyjny polega na przekazaniu osobie, której dane dotyczą, określonych informacji związanych z przetwarzaniem jej danych osobowych.Jego celem jest zapewnienie osobie fizycznej pełnej wiedzy o tym, co dzieje się z jej danymi oraz umożliwienie skutecznego korzystania z praw przyznanych przez RODO.Zakres informacji, które należy przekazać, zależy przede wszystkim od tego, czy dane zostały pozyskane bezpośrednio od osoby, której dotyczą, czy też pochodzą z innego źródła.

Obowiązek informacyjny został uregulowany w:

art. 13 RODO – gdy dane są pozyskiwane bezpośrednio od osoby, której dane dotyczą;
art. 14 RODO – gdy dane zostały pozyskane z innego źródła.

Choć zakres przekazywanych informacji jest w obu przypadkach podobny, istnieją pewne różnice dotyczące sposobu oraz terminu realizacji obowiązku.

Jeżeli administrator zbiera dane bezpośrednio od osoby fizycznej, obowiązek informacyjny powinien zostać zrealizowany najpóźniej w chwili pozyskiwania danych. Przykładowo obowiązek ten powinien zostać spełniony podczas:

zawierania umowy;
wypełniania formularza kontaktowego;
składania zamówienia w sklepie internetowym;
rekrutacji pracownika;
zapisania się do newslettera.

Osoba powinna mieć możliwość zapoznania się z informacjami jeszcze przed podjęciem decyzji o przekazaniu swoich danych.

Jeżeli dane osobowe zostały pozyskane z innego źródła niż osoba, której dotyczą, administrator powinien przekazać wymagane informacje:

w rozsądnym terminie, nie później niż w ciągu miesiąca od pozyskania danych;
przy pierwszej komunikacji z osobą, której dane dotyczą;
najpóźniej przy pierwszym ujawnieniu danych innemu odbiorcy.

Termin zależy od okoliczności konkretnej sprawy i sposobu wykorzystania danych.

Zakres obowiązku informacyjnego został szczegółowo określony w RODO. W szczególności należy wskazać:

Dane administratora – administrator powinien wskazać swoją tożsamość oraz dane kontaktowe. Jeżeli został wyznaczony inspektor ochrony danych, należy również podać dane umożliwiające kontakt z tą osobą.
Cele i podstawy przetwarzania – osoba, której dane dotyczą, musi wiedzieć dlaczego jej dane są przetwarzane i na jakiej podstawie prawnej odbywa się przetwarzanie. Przykładowo podstawą może być zgoda, wykonanie umowy, obowiązek prawny lub prawnie uzasadniony interes administratora.
Odbiorcy danych- administrator powinien poinformować o kategoriach odbiorców lub konkretnych odbiorcach danych osobowych, jeżeli jest to możliwe.
Okres przechowywania danych – należy wskazać okres przechowywania danych lub kryteria wykorzystywane do jego ustalenia. Osoba powinna mieć możliwość ustalenia, jak długo jej dane będą przetwarzane.
Informacje o prawach osoby – klauzula informacyjna powinna zawierać informacje o prawie do:
- dostępu do danych;
- sprostowania danych;
- usunięcia danych;
- ograniczenia przetwarzania;
- przenoszenia danych;
- wniesienia sprzeciwu;
- cofnięcia zgody, jeżeli przetwarzanie odbywa się na jej podstawie.
- Prawo wniesienia skargi – administrator powinien poinformować o możliwości wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych.
- Informacje o profilowaniu – jeżeli administrator stosuje zautomatyzowane podejmowanie decyzji lub profilowanie, powinien poinformować o zasadach działania takich mechanizmów oraz ich potencjalnych konsekwencjach dla osoby, której dane dotyczą.

RODO nie narzuca jednej konkretnej formy realizacji obowiązku informacyjnego. Najważniejsze jest jednak, aby informacje były:

przekazane jasnym i prostym językiem;
łatwo dostępne;
przejrzyste;
zrozumiałe dla przeciętnego odbiorcy.

Najczęściej obowiązek realizowany jest poprzez:

klauzule informacyjne;
polityki prywatności;
formularze internetowe;
dokumentację przekazywaną przy zawieraniu umów;
wiadomości elektroniczne.

RODO przewiduje określone wyjątki od obowiązku informacyjnego. Dotyczy to w szczególności sytuacji, gdy:

osoba posiada już wszystkie wymagane informacje;
przekazanie informacji okazuje się niemożliwe lub wymagałoby niewspółmiernie dużego wysiłku;
pozyskiwanie lub ujawnianie danych wynika wprost z przepisów prawa;
dane są objęte obowiązkiem zachowania tajemnicy zawodowej.

Wyjątki powinny być jednak interpretowane w sposób ścisły i nie mogą być stosowane automatycznie.

W praktyce najczęściej spotykane naruszenia dotyczą:

stosowania zbyt skomplikowanego języka;
kopiowania nieaktualnych klauzul informacyjnych;
pomijania informacji o prawach osób;
niewskazywania okresu przechowywania danych;
nieaktualizowania klauzul po zmianie sposobu przetwarzania danych;
realizowania obowiązku informacyjnego po terminie.

Błędy te mogą skutkować naruszeniem zasady przejrzystości oraz odpowiedzialnością administratora za nieprzestrzeganie przepisów RODO.

Obowiązek informacyjny stanowi fundament transparentnego przetwarzania danych osobowych. Dzięki niemu osoba fizyczna może świadomie decydować o udostępnianiu swoich danych oraz skutecznie korzystać z praw gwarantowanych przez przepisy RODO. Z punktu widzenia administratora prawidłowa realizacja obowiązku informacyjnego pozwala wykazać zgodność przetwarzania z zasadą rozliczalności oraz ogranicza ryzyko sporów z osobami, których dane dotyczą.

Podstawa prawna:

Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. U. UE. L. z 2016 r. Nr 119, str. 1 z późn. zm.).

Zobacz także:

Chcesz nas wesprzeć?

Jak widzisz, serwis mikroPorady.pl jest wolny od reklam. Działamy dzięki ofiarności naszych użytkowników, którzy przekazują nam wpłaty i darowizny. Nawet w bardzo niewielkich kwotach.

Twoja pomoc pozwoli na: