Obowiązki informacyjne administratora

Przepisy obecnie obowiązującej ustawy o ochronie danych osobowych zobowiązują administratorów danych pozyskujących dane osobowe do przekazywania osobom, których te dane dotyczą, takich informacji, jak: adres i siedziba administratora danych, cel zbierania danych czy źródło tych danych. RODO rozszerza zakres tych informacji.

Motyw 60 preambuły do ogólnego rozporządzenia stanowi, że osoba, której dane dotyczą, musi być poinformowana o prowadzeniu operacji przetwarzania i o jej celach. Administrator powinien podać takiej osobie wszelkie inne informacje niezbędne do zapewnienia rzetelności i przejrzystości przetwarzania, uwzględniając konkretne okoliczności i konkretny kontekst przetwarzania danych osobowych. Ponadto musi poinformować osobę, której dane dotyczą, o fakcie profilowania oraz o konsekwencjach takiego profilowania. Jeżeli dane osobowe są gromadzone, należy ją też poinformować, czy ma ona obowiązek je podać, oraz o konsekwencjach ich niepodania.

Informacji powinien udzielać na piśmie lub w inny sposób, w tym w stosownych przypadkach - elektronicznie. Jeżeli osoba, której dane dotyczą, tego zażąda, informacji można udzielić ustnie, o ile innymi sposobami potwierdzi się tożsamość osoby, której dane dotyczą. Wszelkie informacje przekazywane osobom, których dane będą przetwarzane muszą być wolne od opłat. Informacje, jakie administrator danych będzie przekazywał osobom w przypadku pobierania od nich danych, określa art. 13 RODO. Zgodnie z nim ADO będzie musiał podawać:

• swoją tożsamość i dane kontaktowe oraz, gdy ma to zastosowanie, tożsamość i dane kontaktowe swojego przedstawiciela,
   
• dane kontaktowe inspektora ochrony danych - jeżeli go powoła,
   
• cele przetwarzania danych osobowych oraz podstawę prawną przetwarzania,
   
• prawnie uzasadnione interesy realizowane przez administratora lub przez stronę trzecią - jeżeli przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora,
   
• informacje o odbiorcach danych osobowych lub o kategoriach odbiorców,
   
• informacje o zamiarze przekazania danych osobowych do państwa trzeciego lub organizacji międzynarodowej.

Poza tymi informacjami podczas pozyskiwania danych osobowych administrator podaje osobie, której dane dotyczą, również inne informacje:

• okres, przez który dane osobowe będą przechowywane, a gdy nie jest to możliwe, kryteria ustalania tego okresu,
   
• informacje o prawie do żądania od administratora dostępu do danych osobowych dotyczących osoby, której dane dotyczą, ich sprostowania, usunięcia lub ograniczenia przetwarzania lub o prawie do wniesienia sprzeciwu wobec przetwarzania, a także o prawie do przenoszenia danych,
   
• informacje o prawie do cofnięcia zgody w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej cofnięciem,
   
• informacje o prawie wniesienia skargi do organu nadzorczego,
   
• informacje, czy podanie danych osobowych jest wymogiem ustawowym lub umownym lub warunkiem zawarcia umowy oraz czy osoba, której dane dotyczą, jest zobowiązana do ich podania i jakie są ewentualne konsekwencje niepodania danych,
   
• informacje o zautomatyzowanym podejmowaniu decyzji, w tym o profilowaniu oraz - przynajmniej w tych przypadkach - istotne informacje o zasadach ich podejmowania, a także o znaczeniu i przewidywanych konsekwencjach takiego przetwarzania dla osoby, której dane dotyczą.

Powyższe informacje powinny znaleźć się w tzw. klauzulach informacyjnych przekazywanych osobom, od których dane będą pobierane np. w procesie rekrutacyjnym, podczas zawierania umowy.