obowiązek informacyjny rodo

Treść i forma klauzuli informacyjnej według RODO

Przypomnijmy, że w celu spełnienia obowiązku informacyjnego RODO należy przekazać podmiotom danych informację, której treść reguluje art. 13 RODO - w przypadku podania danych osobowych bezpośrednio przez podmiot danych. Zaś w przypadku innych źródeł pozyskiwania danych przekazuje się informację o treści uregulowanej w art. 14 RODO. Ogólne rozporządzenie o ochronie danych wymaga, by informacje te były przekazane w zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej formie, jasnym i prostym językiem. Innymi słowy, osoba, której dane dotyczą, powinna otrzymać informację o swoich danych osobowych w jak najbardziej przystępnej postaci.

Jak zrealizować obowiązek informacyjny RODO – 4 wytyczne dla administratora danych osobowych

Art. 13 i 14 RODO wskazują, jakie informacje należy przekazać osobom, których dotyczą przetwarzane dane osobowe. Nie precyzuje jednak sposobów przekazania tej informacji. Niemniej z RODO wynikają 4 wytyczne, według których należy spełnić obowiązek informacyjny wobec podmiotów danych:

1. obowiązek przekazania informacji kompletnych - administratorzy danych nie są uprawnieni do zawężenia zakresu informacji, o których mowa w art. 13 RODO (bądź art. 14 RODO), mogą natomiast go rozszerzyć,

2. obowiązek przekazania informacji w konkretnym momencie – wymagane informacje należy przekazać w momencie pozyskiwania danych osobowych od osoby, której dotyczą (w przypadku, gdy są one zbierane bezpośrednio od tej osoby – zgodnie z art. 13 ust. 1 RODO) albo w terminach przewidzianych w art. 14 ust. 3 RODO (w przypadku zbierania danych z innych źródeł),

3. jednokrotność przekazywania informacji – obowiązek informacyjny co do zasady realizowany jest jednokrotnie (w przypadku zmiany informacji przekazuje się je jedynie w takim zakresie, w którym uległy zmianie),

4. rozliczalność - administrator zobowiązany jest do przestrzegania przepisów RODO oraz musi być w stanie wykazać ich przestrzeganie (dlatego należy przekazać klauzulę informacyjną RODO w taki sposób, by administrator był w stanie wykazać, że to zrobił).

Ogólnie rzecz ujmując, obowiązek informacyjny powinien zostać spełniony:

• z niezbędnym zakresem informacji,

• w odpowiednim czasie w związku ze zbieraniem danych osobowych,

• w sposób zapewniający potwierdzenie jej udostępnienia osobie, której dane dotyczą.

Administrator musi zapewnić możliwość zapoznania się z treścią informacji. Natomiast samo zapoznanie się leży już w interesie adresata. To, co zrobi z klauzulą adresat, zależy od jego wyboru.

Obowiązek informacyjny na 2 sposoby

W zdecydowanej większości przypadków placówka medyczna będzie zbierać dane osobowe bezpośrednio od pacjentów. W takim przypadku należy stosować art. 13 RODO.

Zdarza się jednak, że placówki medyczne zbierają dane osobowe nie od osoby, której dane dotyczą.

Przykład

Pacjent wypełnia formularz, w którym musi podać dane członków rodziny do kontaktu w razie potrzeby. Względem tych członków rodziny również należy spełnić obowiązek informacyjny.

W takich sytuacjach zastosowanie znajduje art. 14 RODO.

W dalszej części artykułu przeczytasz o tym:

• jak formułować klauzule informacyjną w placówce medycznej
• jakie treści powinna zawierać taka klauzula,
• jak spełnić obowiązek informacyjny w rozmowie telefonicznej,
• jak wykazać spełnienie obowiązku informacyjnego w sieci.

Zakres informacji, które należy podać osobom fizycznym, zgodnie z art. 13 i 14 RODO