Czy w klauzuli informacyjnej trzeba zamieścić podstawę prawną

Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych, tzw. RODO) będzie skuteczne w Polsce od 25 maja 2018 r. Obecnie kwestia zgodności postępowania administratora danych z RODO nie może być np. przedmiotem kontroli przeprowadzanej przez Generalnego Inspektora Ochrony Danych Osobowych. Część administratorów zmienia już jednak swoje klauzule informacyjne, dostosowując ich treść do wymogów RODO.

Zakres informacji, które powinny być podawane osobie, od której administrator danych bezpośrednio pozyskuje dane, określa art. 13 RODO. Katalog tych informacji jest znacznie szerszy, niż wynika to z obecnie obowiązującej ustawy o ochronie danych osobowych. Część informacji administratorzy powinni przekazywać podmiotowi danych zawsze i niezależnie od okoliczności związanych z przetwarzaniem danych. Niektóre zaś z informacji administratorzy muszą przekazać osobie, której dane dotyczą, z uwagi na podstawę prawną przetwarzania danych czy zasady przetwarzania. W przypadku pozyskania danych na podstawie zgody administrator będzie musiał podać osobie, której dane dotyczą:

a) swoją tożsamość i dane kontaktowe oraz (gdy ma to zastosowanie) tożsamość i dane kontaktowe swojego przedstawiciela,

b) gdy ma to zastosowanie – dane kontaktowe inspektora ochrony danych,

c) cele przetwarzania danych osobowych oraz podstawę prawną przetwarzania,

d) informacje o odbiorcach danych osobowych lub o kategoriach odbiorców, jeżeli istnieją,

e) gdy ma to zastosowanie – informacje o zamiarze przekazania danych osobowych do państwa trzeciego lub organizacji międzynarodowej oraz o stwierdzeniu lub braku stwierdzenia przez Komisję odpowiedniego stopnia ochrony lub wzmiankę o odpowiednich lub właściwych zabezpieczeniach oraz o możliwościach uzyskania kopii danych lub o miejscu udostępnienia danych.

Poza tymi informacjami administrator podaje osobie, której dane dotyczą, następujące inne informacje niezbędne do zapewnienia rzetelności i przejrzystości przetwarzania:

a) okres, przez który dane osobowe będą przechowywane, a gdy nie jest to możliwe, kryteria ustalania tego okresu,

b) informacje o prawie do żądania od administratora dostępu do danych osobowych dotyczących osoby, której dane dotyczą, ich sprostowania, usunięcia lub ograniczenia przetwarzania lub o prawie do wniesienia sprzeciwu wobec przetwarzania, a także o prawie do przenoszenia danych,

c) informacje o prawie do cofnięcia zgody w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej cofnięciem,

d) informacje o prawie wniesienia skargi do organu nadzorczego,

e) informację, że podanie danych osobowych jest dobrowolne i jakie są ewentualne konsekwencje niepodania danych,

f) jeśli ma zastosowanie – informacje o zautomatyzowanym podejmowaniu decyzji, w tym o profilowaniu, oraz – przynajmniej w tych przypadkach – istotne informacje o zasadach ich podejmowania, a także o znaczeniu i przewidywanych konsekwencjach takiego przetwarzania dla osoby, której dane dotyczą.

Pobierz wzór klauzuli informacyjnej zgodnej z RODO