Od 25 maja 2018 roku wszyscy przedsiębiorcy będą mieli nowe obowiązki dotyczące informowania konsumentów o ochronie danych osobowych. Zgodnie z RODO, czyli ogólnym rozporządzeniem o ochronie danych osobowych, przedsiębiorcy i administratorzy danych powinni zapewnić, że każda osoba, której dane są przetwarzane, będzie rozumiała i wiedziała, jakie informacje, w jakim zakresie i w jakich celach będą wykorzystywane – mówi agencji Newseria Biznes Piotr Drobek z Biura Generalnego Inspektora Ochrony Danych Osobowych.

Nowe prawo dotyczące ochrony danych osobowych oznacza nowe obowiązki dla wszystkich firm i podmiotów, które gromadzą i przetwarzają dane o klientach. Te będą musiały m.in. wdrożyć odpowiednie rozwiązania informatyczne i organizacyjne, które zagwarantują maksymalny poziom takich informacji, przeszkolić pod tym kątem pracowników oraz wyznaczyć wewnętrznego inspektora ochrony danych osobowych. Nowe przepisy szczegółowo precyzują, jakie informacje dotyczące sposobu i celu przetwarzania danych osobowych muszą zostać przekazane klientom.

Zakres tych informacji został rozszerzony. Trzeba będzie informować klientów na przykład o danych kontaktowych inspektora ochrony danych, możliwości przekazywania danych do państw trzecich, co wiąże się z nowymi zagrożeniami, oraz o okresie ich przechowywania. Trzeba pomyśleć o tym, czy zmienić formuły informacyjne i jak na nowo informować osoby, których te dane dotyczą – podkreśla Piotr Drobek.

Obecnie obowiązujące przepisy zobowiązują administratora do przekazania klientom jedynie podstawowych informacji: swojego adresu i siedziby, celu gromadzenia danych osobowych i źródła, z którego pochodzą. RODO znacznie wydłuży tę listę.  

Od większości firm i podmiotów nowe obowiązki informacyjne wobec klientów będą wymagały wymiany wszystkich klauzul i papierowych formularzy dotyczących zgód na przetwarzanie danych (oraz zmiany ich treści).

Chodzi nie tylko o to, żeby były to noty pisane przez prawników i dla prawników – bo obecnie trochę tak to właśnie wygląda. Teraz musimy w większym stopniu skoncentrować się na tym, aby informacja była jasna, klarowna i zrozumiała dla odbiorcy. To wymaga większego skoncentrowania się na treści i sposobie przekazania informacji – podkreśla Piotr Drobek.

Ekspert GIODO ocenia, że dotychczas klienci na ogół niewiele rozumieli z przedstawianych im do podpisu klauzul i zgód na wykorzystywanie ich danych. Natomiast nowe prawo wymaga, żeby wszelkie informacje kierowane do osób, których dotyczą dane osobowe, były formułowane jasnym i prostym językiem, były zwięzłe i zrozumiałe. Zwłaszcza w przypadku komunikatów kierowanych do dzieci, które muszą je bez trudu zrozumieć (RODO wprowadza wymóg uzyskania zgody na przetwarzanie danych osobowych bezpośrednio od dziecka, które ukończyło 16 rok życia, poniżej tej granicy wiekowej konieczna będzie zgoda rodzica albo opiekuna prawnego dziecka).

Teraz trzeba zmienić założenia. Chodzi nie tylko o noty informacyjne, lecz także o cały sposób komunikowania się, na każdym etapie współpracy z klientem – ma on być zrozumiały, jasny i przyjazny dla konsumenta – podkreśla Piotr Drobek.

RODO wymaga, żeby firma każdorazowo informowała klienta o wycieku albo kradzieży jego danych osobowych. Kolejną zmianą jest zakaz profilowania – firmy będą mieć obowiązek otrzymania zgody na profilowanie oraz surowy obowiązek informowania o tym fakcie.

Poza nowymi obowiązkami dla firm unijne prawo przyznaje też szereg przywilejów konsumentom, którzy mają dzięki nim lepiej sprawować kontrolę nad swoimi danymi osobowymi. Nowością w przepisach jest prawo do bycia zapomnianym (na jego podstawie klient może zażądać wykasowania z systemu wszystkich informacji o sobie), prawo do żądania przeniesienia danych oraz wzmocnienie prawa dostępu konsumenta do wglądu w swoje własne dane osobowe.

GIODO zachęca firmy i przedsiębiorców do zapoznania się z art. 13 i art. 14 unijnego rozporządzenia, przejrzenia stosowanych do tej pory klauzul informacyjnych oraz zanalizowania, które treści należy zmienić lub uzupełnić, żeby dopasować się do nowych obowiązków informacyjnych RODO.