GDPR – Prawo do bycia informowanym

Istnieje potrzeba przejrzystości w zakresie zbierania i wykorzystywania danych, aby umożliwić obywatelom UE korzystanie z prawa do ochrony danych osobowych. Dlatego też Ogólne Rozporządzenie o Ochronie Danych (RODO) daje jednostkom prawo do uzyskania informacji na temat zbierania i wykorzystywania ich danych osobowych, co prowadzi do różnorodnych obowiązków informacyjnych po stronie administratora.
Prawo rozróżnia dwie sytuacje: z jednej strony, gdy dane osobowe są zbierane bezpośrednio od osoby, której dotyczą (art. 13 RODO), a z drugiej strony, gdy tak nie jest (art. 14 RODO).

Gdy dane są pozyskiwane bezpośrednio, osoba musi zostać natychmiast poinformowana, czyli w momencie pozyskania danych. Co do treści, obowiązek administratora do informowania obejmuje jego tożsamość, dane kontaktowe Inspektora Ochrony Danych (jeśli jest dostępny), cele przetwarzania oraz podstawę prawną, wszelkie realizowane prawnie uzasadnione interesy, odbiorców przy przekazywaniu danych osobowych oraz jakiekolwiek intencje przekazania danych osobowych do państw trzecich. Ponadto, prawo do informacji obejmuje również informacje o czasie przechowywania, prawach osoby, której dane dotyczą, możliwości wycofania zgody, prawie do wniesienia skargi do organów oraz czy podanie danych osobowych jest wymogiem ustawowym lub umownym. Dodatkowo, osobę, której dane dotyczą, należy poinformować o wszelkich działaniach polegających na automatycznym podejmowaniu decyzji, w tym profilowaniu. Tylko w przypadku, gdy osoba, której dane dotyczą, jest już świadoma powyższych informacji, nie jest konieczne ich przekazywanie.

Jeśli dane osobowe nie zostały pozyskane od osoby, której dotyczą, należy przekazać jej informacje w rozsądnym czasie, jednak najpóźniej po miesiącu. W przypadkach, gdy zebrane informacje są używane do bezpośredniego kontaktu z osobą, której dane dotyczą, ma ona prawo do natychmiastowego poinformowania w momencie nawiązania kontaktu. Odnośnie treści, administrator zobowiązany jest do przekazania tych samych konkretnych informacji, jak gdyby dane osobowe były pozyskane bezpośrednio od osoby, której dotyczą. Jedynym wyjątkiem jest informacja o obowiązkach dotyczących dostarczenia danych osobowych, gdyż w tym przypadku administrator nie ma uprawnień decyzyjnych. Ponadto administrator ma obowiązek poinformowania, z jakiego źródła pochodzą dane osobowe oraz czy były publicznie dostępne. Osoba, której dane dotyczą, ma prawo do uzyskania informacji w precyzyjnej, przejrzystej, zrozumiałej i łatwo dostępnej formie. Obowiązek informacyjny można spełnić w formie pisemnej lub elektronicznej. Wyraźnie zaznaczone jest, że tzw. „standardowe symbole graficzne” mogą być również używane w celu przedstawienia w zrozumiałej, jasnej i przejrzystej formie znaczącego przeglądu planowanego przetwarzania.

W przypadku, gdy dane osobowe nie są zbierane od osoby, której dotyczą, w wyjątkowych przypadkach nie ma obowiązku informowania. Dotyczy to sytuacji, gdy podanie informacji jest niemożliwe lub wiąże się z nieproporcjonalnymi kosztami, zbieranie i/lub przekazywanie jest wymagane prawem, lub jeśli dane muszą pozostać poufne ze względu na tajemnicę zawodową lub inne ustawowe obowiązki zachowania tajemnicy.