Kategorie

Nowe obowiązki informacyjne wobec podmiotu danych po wejściu w życie RODO

Sylwia Czub-Kiełczewska
Specjalista ds. ochrony danych osobowych i informacji niejawnych
Nowe obowiązki informacyjne wobec podmiotu danych po wejściu w życie RODO/ Fot. Fotolia
Wraz z wejściem unijnych przepisów rozszerza się katalog praw osób, których dane dotyczą (podmiotów danych). Przede wszystkim RODO podkreśla prawo do przejrzystego i jasnego komunikowania o zasadach przetwarzania danych. Poza tym podmiot danych może w każdej chwili żądać wyczerpujących informacji na temat przetwarzania swoich danych, ich sprostowania, usunięcia (o ile nie stoi to w sprzeczności z przepisami prawa), zaprzestania przetwarzania (jeżeli jest to uzasadnione), przeniesienia lub ograniczenia przetwarzania. Administrator danych ma obowiązek w momencie pozyskiwania danych wypełnić obowiązek informacyjny wynikający z przepisów o ochronie danych osobowych wobec każdej osoby, której dane pozyskał.

Oznacza to, że obowiązek informacyjny należy wykonać zarówno wtedy, gdy pozyskujemy zgodę na przetwarzanie danych, ale także gdy dane są przetwarzane na podstawie innych przesłanek, np. przepisów prawa, dla dobra publicznego, czy zostały udostępnione ADO. Obowiązek informacyjny można wypełnić poprzez umieszczenie odpowiednich informacji bezpośrednio w treści zgody na przetwarzanie danych, w regulaminie usługi, czy poprzez wysłanie maila. Należy to zrobić tak, aby być w stanie udowodnić, że faktycznie został wypełniony.

Ulega rozszerzeniu zakres danych, o których należy poinformować osobę, której dane dotyczą, podczas zbierania jej danych.

Najpierw zobaczmy, jak to wygląda obecnie. Zgodnie z art. 24 i 25 UODO administrator danych w momencie pozyskiwania danych jest zobligowany do podania podmiotowi danych informacji:

  1. Dane ADO w postaci pełnej nazwy i adresu
  2. Celu zbierania danych
  3. Odbiorcach lub kategoriach odbiorców, którym dane będą udostępniane
  4. Prawie dostępu i poprawiania danych
  5. Dobrowolności lub obowiązku podania danych wraz ze wskazaniem przepisu prawa, który narzuca obowiązek podania danych
  6. Źródle pozyskania danych oraz prawie wniesienia sprzeciwu lub żądania zaprzestania przetwarzania danych w przypadku zbierania danych nie bezpośrednio od podmiotu danych

Obowiązku informacyjnego nie trzeba wypełniać, jeżeli wskazuje na to wprost przepis prawa (będzie to na przykład dotyczyło postępowań prowadzonych przez ABW) oraz gdy podmiot danych, posiada już powyższe informacje, jednak bardzo przestrzegam przed lekkomyślnym powoływaniem się na ten argument, gdyż wymaga rzetelnego udowodnienia, że rzeczywiście tak jest, co w praktyce okaże się bardzo trudne (szczególnie, że podmiot danych, może stwierdzić, że nie miał wystarczającej wiedzy). Interes prawny ADO wymaga, aby nie unikał on wypełniania obowiązku informacyjnego.

Od maja 2018 roku oprócz danych, które ADO podawał do tej pory, będzie musiał dodatkowo informować podmiot danych o (art. 14 RODO) o:

  1. Danych kontaktowych ADO oraz Inspektora Ochrony Danych (jeżeli został powołany), np. e-mail i telefon
  2. Gdy przetwarzanie odbywa się na mocy przepisu prawa, należy wskazać ten przepis
  3. Gdy przetwarzanie odbywa się na podstawie prawnie uzasadnionego interesu ADO lub strony trzeciej, należy go wskazać
  4. Gdy przetwarzanie odbywa się na podstawie zgody podmiotu danych o prawie do cofnięcia zgody w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej cofnięciem
  5. Gdy dane zostały pozyskane nie bezpośrednio od podmiotu danych, źródło pochodzenia danych osobowych, a gdy ma to zastosowanie – czy pochodzą one ze źródeł publicznie dostępnych
  6. Informacji o zamiarze przekazywania danych do państwa trzeciego lub organizacji międzynarodowej oraz o stwierdzeniu lub braku stwierdzenia przez Komisję Europejską odpowiedniego stopnia ochrony. W przypadku przekazania do państwa nie gwarantującego odpowiedniego poziomu ochrony należy podać informację o odpowiednich lub właściwych zabezpieczeniach oraz o możliwościach uzyskania kopii danych lub o miejscu udostępnienia danych.
  7. Okresie, przez który dane osobowe będą przechowywane, a gdy nie jest to możliwe, kryteria ustalania tego okresu
  8. Prawie do żądania od ADO dostępu do danych osobowych dotyczących osoby, której dane dotyczą, ich sprostowania, usunięcia lub ograniczenia przetwarzania oraz o prawie do wniesienia sprzeciwu wobec przetwarzania, a także o prawie do przenoszenia danych
  9. Prawie wniesienia skargi do organu nadzorczego (Obecnie do GIODO)
  10. Zautomatyzowanym podejmowaniu decyzji, w tym o profilowaniu oraz – przynajmniej w tych przypadkach – istotne informacje o zasadach ich podejmowania, a także o znaczeniu i przewidywanych konsekwencjach takiego przetwarzania dla osoby, której dane dotyczą.

Od momentu stosowania nowych obowiązków informacyjnych zgody na przetwarzanie danych staną się o wiele, wiele dłuższe.

Wcześniej już wspomniałam, że jest wiele form wypełniania obowiązku informacyjnego, jednakże obecnie najczęściej realizuje się go bezpośrednio umieszczając w treści zgody na przetwarzanie danych. O nowej zgodzie na przetwarzanie pisałam tutaj. Jeżeli złożymy zgodę i obowiązek informacyjny może się okazać, że będzie on bardzo długi.

Reklama

Jednym z nowych obowiązków jest także wynikający z art. 19 RODO obowiązek powiadomienia o sprostowaniu lub usunięciu danych: Administrator informuje o sprostowaniu lub usunięciu danych osobowych lub ograniczeniu przetwarzania, (...) każdego odbiorcę, któremu ujawniono dane osobowe, chyba że okaże się to niemożliwe lub będzie wymagać niewspółmiernie dużego wysiłku. Administrator informuje osobę, której dane dotyczą, o tych odbiorcach, jeżeli osoba, której dane dotyczą, tego zażąda. Porównajmy to do art. 35 ust. 3 UODO: Administrator danych jest obowiązany poinformować bez zbędnej zwłoki innych administratorów, którym udostępnił zbiór danych, o dokonanym uaktualnieniu lub sprostowaniu danych.

Subtelna, jednakże ogromna różnica. Obowiązująca ustawa o ochronie danych osobowych obliguje powiadomić o zmianie danych tylko tych administratorów, którym został udostępniony cały zbiór danych, natomiast RODO wyraźnie wskazuje, że powiadomienia należy dokonać nawet wtedy, gdy udostępnieniu uległy tylko dane jednej osoby. Administrator danych będzie musiał gromadzić dane podmiotów, którym udostępnił dane wraz z kontaktem, na który można będzie dokonać powiadomienia (warto rozważyć już we wniosku o udostępnienie wskazanie formy powiadomienia o zmianie danych podmiotu danych, aby potem nie mieć problemu ze skutecznym wywiązaniem się z tego obowiązku, w szczególności nie narażać się na koszty wysyłania tradycyjnych listów). Pozostaje w mocy zapis, że podmiot danych będzie o tym informowany tylko na żądanie.

Czy ten artykuł był przydatny?
tak
nie
Dziękujemy za powiadomienie
Jeśli nie znalazłeś odpowiedzi na swoje pytania w tym artykule, powiedz jak możemy to poprawić.
UWAGA: Ten formularz nie służy wysyłaniu zgłoszeń . Wykorzystamy go aby poprawić artykuł.
Jeśli masz dodatkowe pytania prosimy o kontakt

Komentarze(0)

Uwaga, Twój komentarz może pojawić się z opóźnieniem do 10 minut. Zanim dodasz komentarz -zapoznaj się z zasadami komentowania artykułów.
    QR Code
    Prawo
    1 sty 2000
    7 maja 2021
    Zakres dat:

    Emerytury stażowe. Prezydent powołał Radę ds. Społecznych

    Wypracowanie propozycji tzw. emerytury stażowej ma być jednym z zadań Rady ds. Społecznych, którą powołał prezydent.

    Czy biuro podróży może wymagać od turysty szczepienia?

    Szczepień przeciw COVID-19 może wymagać organizujące wyjazd biuro podróży, przyjmujący turystę hotel czy przewoźnik. Czy jest to zgodne z prawem?

    Internet popularny w komunikacji z administracją publiczną

    Internet na Mazowszu ma coraz większe znaczenie jako kanał komunikacji z administracją publiczną. Jakie są statystyki?

    Rzecznik TSUE o polskim systemie odpowiedzialności dyscyplinarnej sędziów

    Według opinii rzecznika generalnego TSUE trybunał powinien orzec, iż polskie prawo w sprawie systemu odpowiedzialności dyscyplinarnej sędziów jest sprzeczne z prawem unijnym.

    Bezpieczne hasło - czyli jakie?

    Bezpieczne hasło jest pierwszą linią obrony przed cyberprzestępcami. Jak skutecznie tworzyć hasło i nie dać się hakerom?

    Szczepienia w zakładach karnych - projekt

    Szczepienia w zakładach karnych zakłada projekt rozporządzenia, który przygotowało Ministerstwo Zdrowia. To nie jedyne miejsce, o które zostanie rozszerzony katalog miejsc, w których będą wykonywane szczepienia.

    SMS-y z pytaniem o alimenty nękaniem? SN uchylił wyrok

    SMS-y z pytaniem o alimenty zostały przez męża uznane za nękanie. Zdaniem Sądu Najwyższego nie można bez wątpliwości uznać, iż doszło do popełnienia występku.

    Zadłużeni emeryci. Co mogą zrobić w ciężkiej sytuacji finansowej?

    Emeryci znajdują się w coraz gorszych sytuacjach finansowych. Według danych Krajowego Rejestru Długów, zadłużonych w tej grupie przybywa.

    Po roku większa liczba bezrobotnych – porównanie [TABELA]

    Liczba bezrobotnych w Polsce w 2021 r. wzrosła w porównaniu do roku ubiegłego. Jak wygląda porównanie w poszczególnych województwach?

    Z jakich wydatków zrezygnują konsumenci w II kwartale 2021 r.?

    Wydatki zakupowe planuje ograniczyć 40% Polaków. Z deklaracji konsumentów wynika, że głównym powodem ograniczeń są rosnące ceny.

    Rejestracja na szczepienie COVID - 4 sposoby

    Rejestracja na szczepienie COVID może odbyć się na 4 sposoby - infolinia, online, SMS i kontakt z konkretnym punktem szczepień. Jak zapisać się na szczepienie?

    Od osób starszych łatwiej wyłudzić dane osobowe

    Osoby po 45. roku życia są bardziej podatne na wyłudzenie danych osobowych. Tak wynika z raportu przeprowadzonego pod patronatem UODO.

    Karta EKUZ z dłuższym terminem ważności

    Karta EKUZ ma dłuższy termin ważności. Nowe zasady obowiązują od 28 kwietnia 2021 r. Co się zmieniło?

    Fałszywe e-sklepy w pandemii częstym problemem

    Na fałszywy e-sklep w pandemii nietrudno się natknąć. Czy potrafimy je rozpoznawać?

    Jak nocować w lesie w 2021 r.?

    Jak nocować w lesie? Od 1 maja 2021 r. można wybrać jedno z ponad czterystu nadleśnictw, realizujących program „Zanocuj w lesie”.

    Skrócenie izolacji dla chorych z COVID-19 – projekt zmian

    Skrócenie izolacji dla chorych z COVID-19 zakłada aktualnie rozpatrywany projekt rozporządzenia Ministra Zdrowia. Co to może oznaczać dla pacjentów?

    Wyrok TSUE w sprawie kredytów frankowych

    TSUE wydał wyrok w sprawie kredytów we frankach szwajcarskich. Jakie stanowisko zajął trybunał?

    Majówka - czego unikać? [ranking szkód]

    Majówka wyróżnia się większą ilością zgłaszanych szkód. Co może się przytrafić podczas długiego weekendu?

    Na co emeryci wydadzą trzynastki?

    Z danych GUS wynika, że comiesięczne wydatki emeryta pochłaniają średnio ¾ dochodów. Na co warto przeznaczyć trzynastą emeryturę, by zadbać o swoje bezpieczeństwo finansowe?

    Zasady kwarantanny granicznej po majówce

    Zasady kwarantanny granicznej po majówce nie zmienią się . Nadal obejmowani nią będą wszyscy przekraczający granicę Polski - przybywający zarówno z państw Strefy Schengen, jak i pozostałych.

    Spis powszechny – loteria

    Spis powszechny i loteria? To możliwe w przypadku samospisu. Podpowiadamy co i jak można wygrać.

    Zadośćuczynienie za naruszenie więzi rodzinnych - co się zmieni?

    Zadośćuczynienie za naruszenie więzi rodzinnych ma być łatwiejsze do uzyskania. Czy nowe przepisy rozwieją dotychczasowe wątpliwości?

    Obostrzenia maj 2021

    Obostrzenia na maj 2021 r. zostały przedstawione podczas środowej konferencji prasowej. Które branże zostaną otwarte?

    Problematyka żołnierza OT na gruncie Kodeksu karnego

    Czy żołnierze OT są funkcjonariuszami publicznymi w rozumieniu ustawy karnej? Co ze szczególną ochroną przewidzianą dla służb mundurowych?

    Przetwarzanie danych biometrycznych w dowodach osobistych

    Kwestie przetwarzania danych biometrycznych w nowych dowodach osobistych ureguluje rozporządzenie Ministra Cyfryzacji, które zostało skierowane do opiniowania.