Obowiązek informacyjny w nowych przepisach UE o ochronie danych

Osoba, której dane osobowe dotyczą, powinna być informowana o prowadzeniu operacji przetwarzania i o jej celach. Administrator danych powinien podać osobie, której dane dotyczą, wszelkie informacje niezbędne do zapewnienia rzetelności i przejrzystości przetwarzania, uwzględniając konkretne okoliczności i konkretny kontekst przetwarzania danych.

Ten obowiązek nie istnieje, gdy:

• przepis innej ustawy przewiduje lub dopuszcza zbieranie danych osobowych bez wiedzy osoby, której dane dotyczą,

• dane te są niezbędne do badań naukowych, dydaktycznych, historycznych, statystycznych lub badania opinii publicznej, ich przetwarzanie nie narusza praw lub wolności osoby, której dane dotyczą, a spełnienie wymagań określonych w ust. 1 wymagałoby nadmiernych nakładów lub zagrażałoby realizacji celu badania,

• dane są przetwarzane na podstawie przepisów prawa przez administratora publicznego lub niepublicznego, ale realizującego zadania publiczne,

• osoba, której dane dotyczą, posiada już informacje, o których mowa powyżej.

W ogólnym rozporządzeniu o ochronie danych osobowych utrzymany jest dualizm regulacji w zależności od tego, czy dane są pozyskiwane bezpośrednio od osoby, której dotyczą, czy też od innego podmiotu.

Jeżeli gromadzi się dane od osoby, której dotyczą, należy ją też poinformować, czy ma ona obowiązek je podać, oraz o konsekwencjach ich niepodania. Informacje te można przekazać w połączeniu ze standardowymi znakami graficznymi, które w widoczny, zrozumiały i czytelny sposób przedstawią sens zamierzonego przetwarzania. Jeżeli znaki te są przedstawione elektronicznie, powinny nadawać się do odczytu maszynowego. Informacje należy podać w momencie zbierania danych.

Z kolei w przypadku gromadzenia danych z innego źródła niż od osoby, której dotyczą, informacje o przetwarzaniu należy podać „w rozsądnym terminie, zależnie od okoliczności”.

Jeżeli dane można, zgodnie z prawem, ujawnić innemu odbiorcy, należy poinformować o tym osobę, której dane dotyczą, w momencie pierwszorazowego ujawnienia danych temu odbiorcy.

Jeżeli ADO planuje przetwarzać dane osobowe w celu innym niż cel, w którym dane zostały zebrane, powinien on przed takim dalszym przetwarzaniem poinformować osobę, której dane dotyczą, o tym innym celu. Powinien także dostarczyć jej innych niezbędnych informacji.

Obowiązek informacyjny nie ciąży na ADO:

• gdy osoba, której dane dotyczą, dysponuje już tymi informacjami,

• jeżeli utrwalenie lub ujawnienie danych są wyraźnie przewidziane prawem,

• jeżeli poinformowanie osoby, której dane dotyczą, okazuje się niemożliwe lub wymagałoby niewspółmiernie dużego wysiłku.

Czy trzeba informować o profilowaniu

Nowe regulacje niosą także za sobą rozbudowanie obowiązku informacyjnego przy tzw. zautomatyzowanym podejmowaniu decyzji, w tym o profilowaniu w drodze analizy Big Data. Administrator danych musi poinformować osobę, której dane dotyczą, o fakcie profilowania oraz o konsekwencjach takiego profilowania. Informacja powinna obejmować zasady podejmowania decyzji oraz znaczenie i przewidywane konsekwencje takiego przetwarzania dla osoby, której dane dotyczą. Uzyskanie samej zgody na takie profilowanie wiąże się zresztą z obowiązkiem spełnienia obostrzonych kryteriów.

Jeżeli dojdzie do naruszenia ochrony danych osobowych, to ADO powinien bez zbędnej zwłoki poinformować o tym osobę, której dane dotyczą, jeżeli to naruszenie może powodować wysokie ryzyko naruszenia praw lub wolności tej osoby.