Obowiązek informacyjny RODO to nie formalność, ale realny wymóg przekazania osobie jasnych informacji o tym, kto i po co będzie przetwarzać jej dane. Wynika z art. 13 i 14 roda i ma znaczenie praktyczne: od treści klauzuli, momentu jej wręczenia i języka komunikacji zależy, czy administrator rzeczywiście spełnił swoje obowiązki.
To ważne także dlatego, że przejrzystość jest jednym z podstawowych wymagań Ogólnego rozporządzenia o ochronie danych. Dla administratorów danych osobowych w Polsce oznacza to konieczność takiego przygotowania komunikatu, by podmiot danych rozumiał temat przetwarzania, a nie tylko otrzymał długi tekst napisany urzędowym stylem.
Na czym polega obowiązek informacyjny RODO i dlaczego nie jest to zwykła checklista
Obowiązek informacyjny polega na tym, że administrator ma przekazać osobie informacje na temat przetwarzania jej danych w sposób przejrzysty, zrozumiały i łatwo dostępny. Tak rozumiany obowiązek wynika z art. 12 rodo oraz z art. 13 i 14 rodo. Nie chodzi więc o samo wklejenie formułki, ale o skuteczną komunikację o przetwarzaniu jej danych.
W praktyce administrator powinien najpierw ustalić, jaki podmiot ma otrzymać komunikat, jaki jest temat przetwarzania, w jakiej relacji pozostają strony i czy odbiorca potrzebuje prostszego języka, większej czcionki lub krótszej struktury tekstu. Realizacja obowiązku informacyjnego musi być dopasowana do kontekstu. Inaczej należy przekazać informację kandydatowi do pracy, inaczej klientowi, a jeszcze inaczej osobie, której dane osobowe pozyskano z rejestru publicznego.
Zgodnie z wytycznych grupy roboczej art. 29 oraz aktualnym podejściem organów nadzorczych, treść ma być podana jasnym i prostym językiem. Dotyczy to zwłaszcza sytuacji, gdy administrator zamierza przetwarzać dane osobowe konsumentów, pracowników, seniorów albo dzieci.
Art. 13 RODO i 14 RODO – kiedy administrator musi przekazać informacje
Podstawowe rozróżnienie jest proste. Jeżeli administrator zbiera dane osobowe bezpośrednio od osoby, stosuje art. 13 rodo. Jeżeli dane pozyskuje inaczej, zastosowanie ma art. 14 rodo. To rdzeń zagadnienia określanego jako obowiązek informacyjny rodo.
W modelu z art. 13 rodo informację trzeba przekazać w momencie zbierania danych. Jeżeli więc administrator danych odbiera formularz kontaktowy, zawiera umowę, prowadzi rekrutację lub przyjmuje zgłoszenie reklamacyjne, obowiązek powstaje od razu przy pozyskiwania danych.
W modelu z art. 14 rodo chodzi o sytuację, w której administrator będzie przetwarzać dane, choć nie otrzymał ich od samej osoby. Wtedy informację trzeba przekazać w rozsądnym terminie, nie później niż w ciągu miesiąca, a jeżeli dane mają służyć do kontaktu z osobą – najpóźniej przy pierwszej takiej komunikacji. Gdy administrator planuje ujawnić dane innemu odbiorcy, obowiązek należy wykonać najpóźniej przy pierwszym ujawnieniu. Tak działa 14 rodo.
To rozróżnienie z 13 i 14 rodo trzeba uwzględniać już na etapie projektowania formularzy, procedur sprzedażowych i procesów HR. Bez tego trudno spełnić obowiązek informacyjny prawidłowo.
Jak dobrać treść i język komunikacji do odbiorcy – obowiązek informacyjny, administrator i podmiot danych
Prawidłowo przygotowany obowiązek informacyjny uwzględnia kategorię osób, cel, relację i nośnik komunikatu. Inaczej powinien działać administrator danych wobec przedsiębiorcy, inaczej wobec konsumenta, a jeszcze inaczej wobec seniora. Tę samą zasadę stosuje się, gdy podmiot danych nie posługuje się biegle językiem polskim.
Tłumaczenie dokumentów nie musi obejmować wszystkiego. W praktyce na języki obce warto przekazać tylko te klauzule, które dotyczą procesów, w których cudzoziemcy realnie uczestniczą, np. rekrutacji, obsługi klienta lub zawierania umów. Nie ma obowiązku tłumaczyć całej wewnętrznej dokumentacji, jeśli dany podmiot nie ma z nią styczności.
Dla seniorów i osób ze szczególnymi potrzebami liczy się nie tylko treść, ale też forma. Dostępny komunikat powinien mieć wyraźny kontrast co najmniej 4.5:1, odpowiednio większy stopień pisma oraz krótkie akapity, najlepiej po 30-50 słów. Jeżeli administrator chce przetwarzać dane w sposób zgodny z zasadą przejrzystości, nie może ukrywać sensu komunikatu w gęstym bloku tekstu.
Warto też pamiętać, że informacje nie powinny być rozproszone. Zgodnie z podejściem wynikającym z art. 12 rodo, osoba powinna znaleźć kluczowe informacje w jednym miejscu albo maksymalnie w 1-2 warstwach. Jeśli administrator odsyła z formularza do kilku linków na stronie internetowej, łatwo naruszyć wymóg przejrzystości.
Klauzula informacyjna – jakie elementy musi zawierać zgodnie z art RODO
Każda klauzula informacyjna powinna odpowiadać na podstawowe pytania: kto, po co, na jakiej podstawie i jak długo będzie przetwarzać dane. Zakres informacji zależy od tego, czy stosujemy art. 13 czy 14 rodo, ale katalog minimalny jest zbliżony.
| Element | Co powinien przekazać administrator |
|---|---|
| Tożsamość i kontakt | Tożsamości administratora, jego dane kontaktowe oraz – jeśli wyznaczono – dane kontaktowe inspektora ochrony danych. |
| Cel i podstawa | Cele przetwarzania i podstawy przetwarzania, np. umowa, obowiązek prawny, zgoda, uzasadniony interes; w praktyce często będzie to podstawie art. 6 ust. 1 lit. b, c lub f rodo. |
| Odbiorcy i transfery | Informacja o odbiorcach danych lub ich kategoriach oraz o przekazywaniu poza EOG, jeśli występuje. |
| Okres przechowywania | Jak długo administrator będzie przetwarzać dane albo według jakich kryteriów ustala ten okres. |
| Prawa osoby | Prawo żądania sprostowania, usunięcia, ograniczenia przetwarzania, dostępu do danych, sprzeciwu oraz przenoszenia danych, jeśli ma zastosowanie. |
| Skarga i obowiązek podania | Prawo wniesienia skargi do prezes urzędu ochrony danych osobowych oraz informacja, czy podanie danych jest wymogiem ustawowym, umownym lub warunkiem zawarcia umowy. |
| Dodatkowo przy art. 14 | Źródło danych, kategorie danych oraz informacje wymagane przez 14 rodo. |
W wielu przypadkach administrator danych powinien też wskazać, czy stosuje zautomatyzowane podejmowanie decyzji. Jeżeli podstawą jest obowiązek prawny, można odwołać się do konkretnego przepisu, np. art. 6 ust. 1 lit. c rodo. Jeżeli podstawą jest prawnie uzasadniony interes, chodzi o art. 6 ust. 1 lit. f rodo.
Wzorcowy układ prostej klauzuli informacyjnej RODO
Poniżej nie zamieszczamy gotowego formularza do pobrania, ale pokazujemy układ, dzięki któremu administrator może przygotować prosty komunikat. Taki Obowiązek informacyjny RODO wzór powinien być krótki, logiczny i dostosowany do procesu.
- Administrator danych: wskazanie firmy, adresu i kanału kontaktu.
- Kontakt do IOD: jeśli wyznaczono inspektora ochrony danych.
- Po co przetwarzamy dane: krótki opis celu.
- Na jakiej podstawie: wskazanie właściwego art. roda i przesłanki.
- Komu możemy przekazać dane: kategorie odbiorców.
- Jak długo będziemy przetwarzać: konkretny termin albo kryteria.
- Jakie prawa ma podmiot danych: zwięzła lista uprawnień.
- Czy podanie danych jest konieczne: skutki odmowy, jeśli występują.
- Skarga: informacja o organie nadzorczym w Polsce.
Taka konstrukcja pomaga spełnić obowiązek informacyjny bez nadmiaru zbędnych sformułowań i lepiej porządkuje informacji na temat przetwarzania.
Najczęstsze błędy przy sporządzaniu klauzul – realizacja obowiązku informacyjnego w praktyce
Najczęstszy błąd polega na tym, że administrator chce przetwarzać dane zgodnie z prawem, ale posługuje się tekstem niezrozumiałym dla odbiorcy. Problemem bywa też mieszanie podstaw, nieprecyzyjny opis celu i pomijanie okresu retencji.
Drugi częsty błąd to kopiowanie jednej klauzuli do wszystkich procesów. Tymczasem obowiązek informacyjny trzeba dopasować do konkretnego procesu, bo inny jest temat przetwarzania danych przy rekrutacji, inny przy obsłudze umowy, a jeszcze inny przy monitoringu. Jeżeli administrator danych zamierza przetwarzać różne kategorie danych, treść również musi się zmieniać.
Trzeci błąd to ukrywanie informacji w regulaminach, politykach i odsyłaczach. Rozproszony model utrudnia podmiotowi zrozumienie, kto będzie przetwarzać jego dane osobowe. Dla oceny zgodności liczy się rzeczywista dostępność komunikatu.
Wreszcie, nie wolno zapominać o poprawnym nazewnictwie ról. Administrator to nie zawsze ten sam podmiot co procesor. Błędne oznaczenie roli wpływa na zakres obowiązków administratora i całej komunikacji z osobą.
Wyjątki od obowiązku informacyjnego zgodnie z art RODO
Obowiązek informacyjny nie jest absolutny. Przy modelu z art. 13 rodo informacja nie musi być ponownie przekazywana, jeżeli dana osoba już nimi dysponuje. To jednak wyjątek, który trzeba oceniać ostrożnie.
Przy art. 14 rodo katalog wyłączeń jest szerszy. Administrator nie musi wykonywać obowiązku, gdy osoba posiada już te informacje, gdy okazuje się to niemożliwe albo wymaga niewspółmiernie dużego wysiłku, zwłaszcza przy przetwarzaniu do celów archiwalnych, naukowych, historycznych lub statystycznych, z zastrzeżeniem zabezpieczeń z 2 rodo i innych przepisów. Wyłączenie może też wynikać z tajemnicy zawodowej lub ustawowego obowiązku poufności. To jednak nie jest automatyczna ulga dla każdego podmiotu.
W praktyce administrator danych powinien umieć wykazać, dlaczego nie mógł przekazać informacji. Sama wygoda organizacyjna nie wystarcza. Takie przypadki warto dokumentować na potrzeby rozliczalności, o której mowa zgodnie z art. 5 ust. 2 rodo.
FAQ – obowiązek informacyjny rodo w pytaniach praktycznych
Kiedy nie ma obowiązku informacyjnego RODO?
Najczęściej wtedy, gdy osoba ma już pełne informacje, a przy 14 rodo także wtedy, gdy ich przekazanie jest niemożliwe lub wymaga niewspółmiernie dużego wysiłku. Każdy taki przypadek administrator powinien ocenić indywidualnie, bo wyjątki interpretuje się zawężająco.
Jaki jest obowiązek informacyjny, o którym mowa w art. 14 RODO?
Chodzi o sytuację, gdy administrator pozyskuje dane nie od osoby, lecz z innego źródła. Musi wtedy przekazać m.in. swoją tożsamość, cele, podstawę, źródło danych, kategorie danych i prawa osoby. Taki obowiązek informacyjny rodo trzeba zrealizować w terminach wskazanych przez art. 14.
Na czym polega obowiązek informacyjny?
Na zapewnieniu, że podmiot danych rozumie, kto będzie przetwarzać jego dane osobowe, po co, jak długo i jakie prawa mu przysługują na gruncie ochronie danych osobowych. To element przejrzystości, a nie wyłącznie techniczny dodatek do formularza.
O czym mówi artykuł 34 RODO?
Art. 34 roda dotyczy obowiązku zawiadomienia osoby o naruszeniu ochrony danych, jeżeli może ono powodować wysokie ryzyko naruszenia praw lub wolności. To odrębny obowiązek informacyjny niż ten z art. 13 i 14, ale również wymaga jasnej i szybkiej komunikacji.
Podsumowanie – jak administrator powinien przetwarzać dane i przekazać informację
Jeżeli administrator chce zgodnie z Prawem i Rozporządzeniem przetwarzać Dane osobowe, musi najpierw ustalić źródło danych, cel, podstawę i odbiorcę komunikatu. Dopiero potem można przygotować poprawny komunikat informacyjny. W tym sensie obowiązek informacyjny rodo to narzędzie realnej przejrzystości, a nie dokument tworzony „na wszelki wypadek”.
Znaczenie mają zarówno treść, jak i moment oraz forma. Administrator danych powinien przetwarzać Dane w sposób zrozumiały dla osoby, której dotyczą, z poszanowaniem zasad ochrony danych, reguł Ochrona danych osobowych i praktyki organu nadzorczego w Polska. Dotyczy to każdego podmiotu, niezależnie od branży – od spółek handlowych po jednostki publiczne, takie jak Generalny Dyrektor Ochrony Środowiska. W razie sporu znaczenie mogą mieć także przepisy krajowe, w tym Ustawa, właściwe regulacje konsumenckie i procedury dochodzenia roszczeń przed Państwowymi organami oraz sądami.
Treść ma charakter wyłącznie informacyjny i nie stanowi porady prawnej. Jeżeli potrzebna jest analiza konkretnej klauzuli, procesu przetwarzanie danych osobowych lub wsparcie we wdrożeniu RODO, zapraszamy do kontaktu z Kancelarią Adwokacką adwokata Mateusza Orlickiego.
