Jesteś mikroprzedsiębiorcą? Sprawdź jak wypełnić obowiązek informacyjny według nowych przepisów

Celem tzw. ustawy wdrażającej RODO (ustawy z 21 lutego 2019 r. o zmianie niektórych ustaw w związku z zapewnieniem stosowania rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE) było wprowadzenie ułatwień w realizacji obowiązków wynikających z RODO. Ułatwienia takie przewidziano – w zakresie realizacji obowiązku informacyjnego – dla mikroprzedsiębiorców.

Na czym polega uproszczenie? Otóż mikroprzedsiębiorca może zrealizować obowiązek informacyjny względem konsumentów poprzez:

• wywieszenie stosownych informacji w widocznym miejscu w lokalu przedsiębiorstwa lub
• udostępnienie tych informacji na swojej stronie internetowej.

Czy ułatwienie dotyczy każdego przypadku? Otóż nie. Przede wszystkim obejmuje wyłącznie przypadki pozyskiwania danych osobowych bezpośrednio od osób, których te dane dotyczą.

Nowe rozwiązanie nie dotyczy umów zawieranych pomiędzy przedsiębiorcami.

Poza tym udogodnienie to nie obejmuje wszystkich umów zawieranych z konsumentami. Wyłączono tu bowiem umowy wskazane w art. 3 i 4 ustawy o prawach konsumenta m.in. umowy dotyczące usług finansowych (niezależnie od tego czy są zawierane na odległość czy też nie), w szczególności takich jak:

• czynności bankowe,
• umowy kredytu konsumenckiego,
• czynności ubezpieczeniowe,
• umowy nabycia lub odkupienia jednostek uczestnictwa funduszu inwestycyjnego otwartego albo specjalistycznego funduszu inwestycyjnego otwartego
• umowy nabycia lub objęcia certyfikatów inwestycyjnych funduszu inwestycyjnego zamkniętego,
• usługi płatnicze.

Z ułatwienia nie skorzysta również mikroprzedsiębiorca, który:

• przetwarza dane szczególnej kategorii,
• udostępnia dane szczególnej kategorii innym administratorom, z wyjątkiem przypadku gdy osoba, której dane dotyczą, wyraziła zgodę na udostępnienie swoich danych albo udostępnienie danych jest niezbędne do wypełnienia obowiązku ciążącego na administratorze.

Nie można także stosować nowego rozwiązania, jeśli podmiot danych nie ma możliwości zapoznania się z informacjami, o których mowa w art. 13 RODO. Jak bowiem wskazano w uzasadnieniu projektu ustawy wdrażającej RODO: „Warunkiem uznania ww. obowiązków informacyjnych za spełnione jest jednocześnie to, że osoba fizyczna, której dane dotyczą, będzie miała faktyczną możliwość zapoznania się z ww. informacjami.”

Nie zmienił się natomiast zakres informacji, jaki powinien zostać przekazany osobie, od której pozyskano dane (które zresztą tej osoby dotyczą). Niezależnie od sposobu realizacji obowiązku informacyjnego należy przekazać jej następujące treści:

• tożsamość i dane kontaktowe administratora danych osobowych oraz (gdy ma to zastosowanie) tożsamość i dane kontaktowe przedstawiciela ADO,
• dane kontaktowe inspektora ochrony danych (gdy ma to zastosowanie),
• cele przetwarzania danych osobowych, oraz podstawę prawną przetwarzania;
• prawnie uzasadnione interesy realizowane przez administratora lub przez stronę trzecią (jeżeli dane są przetwarzane na zasadzie art. 6 ust. 1 lit. f RODO),
• informacje o odbiorcach danych osobowych lub o kategoriach odbiorców (jeżeli istnieją)
• informacje o zamiarze przekazania danych osobowych do państwa trzeciego lub organizacji międzynarodowej oraz o stwierdzeniu lub braku stwierdzenia przez Komisję odpowiedniego stopnia ochrony lub w przypadku przekazania, o którym mowa w art. 46, art. 47 lub art. 49 ust. 1 akapit drugi RODO, wzmiankę o odpowiednich lub właściwych zabezpieczeniach oraz o możliwościach uzyskania kopii danych lub o miejscu udostępnienia danych (gdy ma to zastosowanie),
• okres, przez który dane osobowe będą przechowywane, a gdy nie jest to możliwe, kryteria ustalania tego okresu;
• informacje o prawie do żądania od administratora dostępu do danych osobowych dotyczących osoby, której dane dotyczą, ich sprostowania, usunięcia lub ograniczenia przetwarzania lub o prawie do wniesienia sprzeciwu wobec przetwarzania, a także o prawie do przenoszenia danych;
• jeżeli przetwarzanie odbywa się na podstawie zgody podmiotu danych – informacje o prawie do cofnięcia zgody w dowolnym momencie bez wpływu na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej cofnięciem;
• informacje o prawie wniesienia skargi do organu nadzorczego (Prezesa UODO),
• informację, czy podanie danych osobowych jest wymogiem ustawowym lub umownym lub warunkiem zawarcia umowy oraz czy osoba, której dane dotyczą, jest zobowiązana do ich podania i jakie są ewentualne konsekwencje niepodania danych;
• informacje o zautomatyzowanym podejmowaniu decyzji, w tym o profilowaniu, o którym mowa w art. 22 ust. 1 i 4 RODO, oraz (przynajmniej w tych przypadkach) istotne informacje o zasadach ich podejmowania, a także o znaczeniu i przewidywanych konsekwencjach takiego przetwarzania dla osoby, której dane dotyczą (art. 13 ust. 1 i 2 RODO).