Artykuły i porady

Wypełnienie obowiązku informacyjnego jest jednym z najważniejszych zadań administratora danych, wynikających z Rozporządzenia Parlamentu Europejskiego i Rady z dnia 27 kwietnia 2016 roku w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE.

Powyższe potwierdziła również decyzja Prezesa Urzędu Ochrony Danych Osobowych, nakładająca pierwszą karę finansową, która odnosiła się wprost do nieodpowiedniego informowania osoby fizycznej o przysługujących jej uprawnieniach.

Zgodnie z treścią art. 13 ogólnego rozporządzenia o ochronie danych osobowych na etapie pozyskiwania danych, osoba której dane dotyczą powinna być poinformowana m. in. o:

• tożsamości administratora i jego danych kontaktowych
• danych kontaktowych inspektora ochrony danych
• celu przetwarzania danych
• podstawie prawnej przetwarzania
• prawnie uzasadnionym interesie administratora lub osoby trzeciej
• odbiorcach danych
• zamiarze przekazywania danych do państwa trzeciego
• okresie, przez który dane osobowe będą przechowywane
• prawie dostępu do danych, do ich sprostowania, usunięcia lub ograniczenia przetwarzania
• prawie do wniesienia sprzeciwu wobec przetwarzania, prawie do przenoszenia danych
• prawie do cofnięcia zgody
• prawie do wniesienia skargi do organu nadzorczego
• tym czy podanie danych jest wymogiem ustawowym, umownym lub warunkiem zawarcia umowy
• zautomatyzowanym podejmowaniu decyzji

Zgodnie z zaleceniami Prezesa Urzędu Ochrony Danych Osobowych, w sytuacji weryfikowania tożsamości, czy prowadzenia ewidencji wejść i wyjść w budynkach firm prywatnych lub instytucji publicznych, administrator danych jest zobowiązany do spełnienia obowiązku informacyjnego wynikającego z przepisów rozporządzenia. Klauzula powinna być dobrze widoczna, czytelna i zrozumiała, oraz znajdować się z miejscu „pozyskiwania danych osobowych”, tak aby zapewnić osobie, której dane dotyczą do niej łatwy dostęp.

Poza samym poinformowaniem osoby, której dane dotyczą, administrator powinien opracować procedury zapewniające gromadzenie danych zgodnie z zasadą „minimalizacji”, a więc tylko takich, które są niezbędne do osiągnięcia zamierzonego celu. Dopuszczalne będzie pobranie danych w postaci: imienia i nazwiska oraz numeru dokumentu tożsamości wraz z jego nazwą.

Administrator powinien także określić, jak długo będzie przechowywał zebrane dane. Zgodnie z treścią art. 5 ust. 1 lit. e ogólnego rozporządzenia o ochronie danych osobowych, przechowywanie danych nie powinno trwać dłużej, niż jest to niezbędne do celów, w których te dane są przetwarzane.

Należy pamiętać, iż najważniejszym obowiązkiem jest zastosowanie odpowiednich zabezpieczeń, tak aby uchronić dane przed utratą czy dostępem osób nieupoważnionych. Administrator i podmiot przetwarzający powinien wdrożyć takie środki techniczne i organizacyjne, aby ryzyko naruszenia było jak najniższe.

https://uodo.gov.pl/pl/138/883

Jeśli utrwalasz dane osób wchodzących do budynku lub na teren obiektu, pamiętaj aby zapewnić osobom, których dane dotyczą możliwość łatwego dostępu do informacji określonych w art. 13 RODO.

Potrzebujesz pomocy w stworzeniu Klauzuli Informacyjnej? Zapraszamy do kontaktu z Kancelarią.