Obowiązek informacyjny w RODO

W artykule o klauzulach RODO opisaliśmy, w jaki sposób powinny wyglądać prawidłowo przygotowane klauzule informacyjne i co powinny zawierać. Poniżej wyjaśniamy, w jaki sposób zapewnić, że spełnimy go terminowo wobec wszystkich osób. 

Obowiązek informacyjny powinniśmy spełnić wobec każdej osoby, której dane przetwarzamy jako administrator. Jeśli jesteśmy podmiotem przetwarzającym i np. udostępniamy innej organizacji system informatyczny lub archiwizujemy czy niszczymy dla niej dokumenty, to nie musimy spełniać obowiązku informacyjnego wobec osób, których dane są nam powierzane.

W przypadku zbierania danych od osoby, której dotyczą, obowiązek informacyjny powinniśmy spełnić „podczas pozyskiwania danych osobowych” (art. 13 ust. 1 RODO). Oznacza to, że np. w przypadku otrzymania zapytania ofertowego na nasz adres mailowy, ze spełnieniem obowiązku informacyjnego nie możemy czekać np. miesiąc do czasu aż przygotujemy ofertę – powinniśmy zapewnić, że składający zapytanie otrzyma stosowną klauzulę niezwłocznie.

W przypadku zbierania danych w inny sposób niż od osoby, której dotyczą, obowiązek informacyjny powinniśmy spełnić najpóźniej w ciągu miesiąca, zaś jeśli dane osobowe mają być wykorzystane do komunikacji z osobą, której dane dotyczą – najpóźniej przy pierwszym kontakcie. Jeśli dane mają zostać ujawnione na zewnątrz naszej organizacji – najpóźniej w momencie ich ujawnienia.

Spełnianie obowiązku informacyjnego może przybrać postać żmudnego odpisywania na każdą wiadomość, która do nas spływa. Aby tego uniknąć, warto odpowiedzieć na dwa pytania: jakie są kanały, którymi pozyskujemy dane osobowe, oraz w jaki sposób najłatwiej dostarczyć wszystkim odpowiednie klauzule, bez konieczności wykonywania dodatkowych czynności. Dobrym pomysłem jest tu odwołanie do polityki prywatności, w której zawiera informacje przydatne dla różnych kategorii osób (np. kandydatów do pracy, kontrahentów, osób składających zapytanie ofertowe).