Kiedy nie ma obowiązku informacyjnego RODO?

Kiedy nie ma obowiązku informacyjnego rodo: Wyjątki od zasady

Obowiązek informacyjny RODO nie ma zastosowania w każdej sytuacji przetwarzania danych. Przepisy przewidują określone wyjątki, takie jak posiadanie informacji przez osobę, której dane dotyczą, niewspółmiernie duży wysiłek związany z ich przekazaniem czy szczególne regulacje ustawowe. Prawidłowe rozpoznanie tych przypadków pozwala stosować przepisy zgodnie z ich celem.

Kiedy nie ma obowiązku informacyjnego RODO - wprowadzenie do wyjątków

Pytanie o wyłączenie stosowania klauzul ochrony danych pojawia się niezwykle często i może być interpretowane na wiele różnych sposobów w zależności od specyfiki działalności. Ogólne Rozporządzenie o Ochronie Danych (RODO) przewiduje jasne sytuacje, w których administrator jest zwolniony z przekazywania klauzuli informacyjnej, zwłaszcza gdy osoba już te informacje posiada lub gdy wymagałoby to niewspółmiernie dużego wysiłku. Sytuacja ta zależy mocno od kontekstu biznesowego, dlatego nie ma jednej uniwersalnej zasady dla każdej branży.

Prawidłowe stosowanie wyjątków od obowiązku informacyjnego bywa jednym z trudniejszych elementów zgodności z RODO. Zarówno nadmierne przekazywanie klauzul, jak i nieuzasadnione pomijanie tego obowiązku może prowadzić do błędów organizacyjnych. Szczególną uwagę warto zwrócić na przetwarzanie danych do celów archiwalnych, badawczych i statystycznych, ponieważ właśnie w tych obszarach najczęściej pojawiają się wątpliwości dotyczące art 13 i 14 rodo wyłączenia.^[1]

Gdy osoba której dane dotyczą posiada już te informacje

Zwolnienie z realizacji obowiązku informacyjnego następuje automatycznie w sytuacji, gdy osoba, której dane dotyczą, dysponuje już pełnym pakietem wymaganych informacji. Dotyczy to zarówno przypadków zbierania danych bezpośrednio od danej osoby, co reguluje artykuł 13 RODO, jak i ze źródeł zewnętrznych, opisywanych w artykule 14 RODO.

Wyobraźmy sobie stałego klienta, który regularnie dokonuje zakupów w tym samym sklepie internetowym i przy pierwszej transakcji otrzymał kompletną klauzulę. Ponowne wysyłanie tego samego tekstu przy każdym kolejnym zamówieniu mija się z celem. W mojej codziennej pracy z przedsiębiorcami często spotykam się z oporem przed upraszczaniem tych procedur. Wielu doradców zaleca wysyłanie klauzul za każdym razem, na wszelki wypadek. To generuje niepotrzebny szum informacyjny. Odbiorca po prostu przestaje czytać jakiekolwiek komunikaty. Jeśli treść polityki prywatności nie uległa zmianie, ponowne informowanie jest zbędne. To kluczowe rozróżnienie.

Pozyskiwanie danych z innych źródeł niż bezpośrednio od osoby

W sytuacjach, gdy dane osobowe są pozyskiwane ze źródeł zewnętrznych, administrator nie musi przekazywać klauzuli informacyjnej, jeśli przepisy prawa wyraźnie regulują to zbieranie lub gdy w grę wchodzi obwarowanie tajemnicą zawodową. Te wyłączenia chronią stabilność obrotu prawnego i poufność relacji specjalistycznych.

Tajemnica zawodowa i ustawowa poufność

Klasycznym przykładem jest sytuacja, w której lekarz, adwokat czy radca prawny przetwarza dane w ramach wykonywania swoich ustawowych obowiązków. W takich warunkach obowiązek informacyjny ustępuje przed nadrzędną zasadą zachowania tajemnicy zawodowej. Podobnie sprawa wygląda, gdy pozyskanie lub ujawnienie danych jest wyraźnie określone przez unijne lub krajowe przepisy prawa, które dbają o ochronę interesów danej osoby. To zabezpiecza administratora przed koniecznością dublowania procedur informacyjnych.

Niemożliwość spełnienia obowiązku lub niewspółmiernie duży wysiłek

Administrator danych jest zwolniony z indywidualnego informowania osób, jeśli wykaże, że dotarcie do nich jest obiektywnie niemożliwe lub wymagałoby to niewspółmiernie dużego wysiłku. Wyjątek ten ma zastosowanie przede wszystkim przy przetwarzaniu danych do celów archiwalnych, badawczych lub statystycznych.

Wyjątek związany z niewspółmiernie dużym wysiłkiem znajduje zastosowanie przede wszystkim przy dużych zbiorach danych wykorzystywanych do celów archiwalnych, badawczych lub statystycznych. Samo powołanie się na trudności organizacyjne nie jest jednak wystarczające. Administrator powinien być w stanie wykazać, że indywidualne poinformowanie osób byłoby obiektywnie nieproporcjonalne, a jednocześnie zastosować alternatywne środki udostępnienia informacji, na przykład poprzez publikację odpowiedniej klauzuli.^[2]

Wyłączenie o charakterze prywatnym i domowym

Przepisy ogólnego rozporządzenia o ochronie danych w ogóle nie mają zastosowania do przetwarzania danych przez osobę fizyczną w ramach działalności o charakterze czysto osobistym lub domowym. W takich okolicznościach kiedy nie trzeba stosować klauzuli rodo po prostu nie istnieje. Wtedy przepis odpada.

Prowadzenie prywatnego notesu z numerami telefonów znajomych, zapisywanie adresów e-mail rodziny czy tworzenie prywatnej książki adresowej to czynności całkowicie wyłączone spod reżimu prawnego. Nie ma tu mowy o działalności komercyjnej czy zawodowej. To logiczne i naturalne podejście chroniące sferę prywatną każdego człowieka przed nadmierną biurokracją.

Porównanie sytuacji wyłączenia obowiązku informacyjnego

Wiedza osoby (Art. 13 i 14 RODO)

Brak - nie trzeba podejmować żadnych dodatkowych kroków informacyjnych

Kolejny zakup stałego klienta w tym samym sklepie internetowym

Osoba fizyczna posiada już wszystkie wymagane informacje o przetwarzaniu

Niewspółmierny wysiłek

Obowiązkowe upublicznienie klauzuli na stronie internetowej lub w prasie

Przetwarzanie starych ksiąg adresowych w celach czysto statystycznych

Koszt lub nakład pracy uniemożliwia bezpośrednie dotarcie do osób

Działalność domowa

Brak - przepisy RODO w ogóle nie obejmują takiego działania

Prywatny spis telefonów i adresów e-mail do znajomych

Przetwarzanie ma charakter wyłącznie osobisty i niekomercyjny

Hajda i partnerzy: Wyzwanie z archiwalną bazą danych

Marta, właścicielka małego biura rachunkowego w Krakowie, stanęła przed wyzwaniem po przejęciu dokumentacji kadrowej od likwidowanej spółki. Baza zawierała dane kilkuset byłych pracowników sprzed piętnastu lat, bez aktualnych numerów telefonów czy adresów e-mail. Marta czuła ogromną presję i lęk przed karami finansowymi.

W pierwszej chwili Marta postanowiła odszukać każdą osobę indywidualnie, wysyłając tradycyjne listy polecone na stare adresy zameldowania. Próba ta przyniosła ogromną frustrację - wiele listów wróciło jako nieodebrane, a koszty korespondencji zaczęły gwałtownie obciążać budżet jej firmy.

Po zarwanej nocy i analizie przepisów Marta doznała olśnienia. Zrozumiała, że w przypadku celów archiwalnych i braku realnych możliwości kontaktu, indywidualne informowanie stanowi podręcznikowy przykład niewspółmiernego wysiłku. Przestała ślepo słać listy.

Zamiast tego Marta umieściła szczegółową klauzulę informacyjną na głównej stronie internetowej swojego biura oraz w widocznym miejscu w sekretariacie. To działanie pozwoliło na pełne zalegalizowanie procesu i zaoszczędzenie funduszy, dając jej upragniony spokój psychiczny.