RODO – Rozszerzony obowiązek informacyjny administratora danych
Wraz z wprowadzeniem RODO zakres informacji, które musza być zakomunikowane podmiotowi danych zwiększył się trzykrotnie. Prawodawca unijny znacznie rozszerzył katalog informacji, jakie należy przekazać takiej osobie w porównaniu do przepisów „starej” ustawy o ochronie danych osobowych.
Motyw 60 preambuły RODO wskazuje że osoba, której dane dotyczą, musi być poinformowana o fakcie prowadzenia operacji przetwarzania jej danych osobowych i o celach takiego przetwarzania. Co więcej administrator powinien podać wszelkie inne informacje niezbędne do zapewnienia rzetelności i przejrzystości przetwarzania, uwzględniając konkretne okoliczności i kontekst przetwarzania danych osobowych.
RODO – obowiązek informacyjny
Generalnie RODO nakazuje spełnianie obowiązku informacyjnego w dwóch sytuacjach. Po pierwsze w momencie, gdy dane zbierane są bezpośrednio od osoby, której one dotyczą, po drugie w przypadku gromadzenia danych ze źródeł pośrednich, tj. nie od osoby, której one dotyczą.
Od 25 maja 2018 r. administratorzy danych muszą poinformować również m.in. o okresie, przez który dane osobowe będą przetwarzane (retencja danych), o ewentualnym fakcie profilowania i jego konsekwencjach czy tez o danych kontaktowych inspektora ochrony danych, jeśli został on wyznaczony.
Zgodnie z RODO, do niezbędnych elementów informacyjnych zaliczyć należy podanie:
- swojej tożsamości i danych kontaktowych;
- gdy ma to zastosowanie – danych kontaktowych inspektora ochrony danych;
- celu przetwarzania danych osobowych, oraz podstawy prawnej przetwarzania;
- informacji o odbiorcach danych osobowych lub o kategoriach odbiorców;
- informacji o zamiarze transferu danych osobowych do państwa trzeciego;
- okresie, przez który dane osobowe będą przechowywane, a gdy nie jest to możliwe, kryteriach ustalania tego okresu;
- informacji o prawie do żądania od administratora dostępu do swoich danych osobowych ich sprostowania, usunięcia lub ograniczenia przetwarzania lub o prawie do wniesienia sprzeciwu wobec przetwarzania, a także o prawie do przenoszenia danych;
- jeżeli przetwarzanie odbywa się na podstawie wcześniej wyrażonej zgody – informacji o prawie do cofnięcia zgody w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej cofnięciem;
- informacji o prawie wniesienia skargi do organu nadzorczego;
- informacji czy podanie danych osobowych jest wymogiem ustawowym, umownym lub warunkiem zawarcia umowy oraz czy osoba, której dane dotyczą, jest zobowiązana do ich podania i jakie są ewentualne konsekwencje niepodania danych;
- informacji o zautomatyzowanym podejmowaniu decyzji, w tym o profilowaniu jeśli taki występuje.Konsekwencje wprowadzenia rozszerzonego obowiązku informacyjnego są dwojakie: z jednej strony osoby fizyczne są bardziej świadome swoich praw związanych z przetwarzaniem ich danych osobowych, z drugiej strony jest to też większe obciążenie dla administratora, który musi obszerniej opisywać fakt przetwarzania danych oraz realizować prawa osób, których dane przetwarza.
Inspektor ochrony danych zamiast Administratora Bezpieczeństwa Informacji
Wraz z pojawieniem się podstawowego rozporządzenia o ochronie danych osobowych (RODO) pojawi się nowa funkcja, inspektora ochrony danych osobowych, który zastąpi obecnie funkcjonujących ABI – Administratorów Bezpieczeństwa Informacji. Zadania ABI zawarte były w art. 36a ust. 2 ustawy o ochronie danych osobowych – mówiąc ogólnie jego celem było sprawowanie pieczy nad bezpieczeństwem danych osobowych w danym podmiocie. Zmieniła się nie tylko nazwa funkcji, ale także jej kompetencje i zadania.
Powoływanie ABI nie było obowiązkiem, a uprawnieniem. Natomiast powołanie inspektora ochrony danych osobowych jest w pewnych przypadkach obowiązkiem administratora danych.
Zadania i kompetencje inspektora danych osobowych określone są przede wszystkim w art. 39 RODO.
Do jego zadań należą m.in.: informowanie administratora, podmiotu przetwarzającego oraz pracowników, którzy przetwarzają dane osobowe, o obowiązkach, jakie na nich spoczywają; współpraca z GIODO; monitorowanie przestrzegania wszystkich przepisów dotyczących ochrony danych osobowych; działania zwiększające świadomość; szkolenia pracowników przetwarzających dane osobowe; przeprowadzanie audytów.
Potrzebujesz pomocy prawnej w powyższej materii? Skontaktuj się z nami.
