W dniu 4 maja br. weszła w życie ustawa z dnia 21 lutego 2019 r. o zmianie niektórych ustaw w związku z zapewnieniem stosowania rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE., która znowelizowała 162 ustawy w polskim porządku prawnym. W przypadku wielu ustaw sprowadzało się to do dodania odrębnych rozdziałów poświęconych danym osobowym, tak by dostosować je do RODO i ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych. Z wieloma znowelizowanymi ustawami znamienna cześć czytelników tego artykułu nie ma zapewne styczności na co dzień i niejako wprowadzone zmiany nie wpływają na sytuację większości z Was (Nas). Natomiast, jako konsumenci na pewno każdego dnia począwszy od wejścia w życie RODO zderzamy się natomiast z tzw. obowiązkiem informacyjnym, który dociera do nas od przedsiębiorcy przetwarzającego nasze dane, lub to my jesteśmy przedsiębiorcami i musimy dopełnić tego obowiązku w stosunku do konsumenta zgodnie z art. 13 RODO, czyli poinformować konsumenta m.in. o tym: kto jest administratorem jego danych osobowych, w jaki celu dane są przetwarzane i jakie są to dane, komu dane są przekazywane oraz przekazać inne obligatoryjne informacje, do czego obliguje RODO.
Ustawa z dnia 21 lutego 2019 r. o zmianie niektórych ustaw w związku z zapewnieniem stosowania rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE znowelizowała m. in. ustawę z dnia 30 maja 2014 r. o prawach konsumenta, o której swego czasu było bardzo głośno tuż przed Bożym Narodzeniem w 2014 w zakresie konieczności wprowadzania zmian do regulaminów sklepów internetowych.
W ustawie z dnia 30 maja 2014 r. o prawach konsumenta dodano art. 4a dotyczący zasad realizacji obowiązku informacyjnego na temat przetwarzania danych osobowych konsumentów przez przedsiębiorców, w przypadku zawierania umów poza lokalem przedsiębiorstwa lub na odległość i innych umów.
Zgodnie z art. 4a ww. ustawy:
1. Administrator będący przedsiębiorcą, o którym mowa w art. 7 ust. 1 pkt 1 ustawy z dnia 6 marca 2018 r. – Prawo przedsiębiorców (Dz. U. poz. 646, 1479, 1629, 1633 i 2212), wykonuje obowiązki, o których mowa w art. 13 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, z późn. zm.86)), zwanego dalej „rozporządzeniem 2016/679”, w zakresie umów, o których mowa w rozdziałach 2 i 3, przez wywieszenie w widocznym miejscu w lokalu przedsiębiorstwa lub udostępnienie na swojej stronie internetowej stosownych informacji.
2. Przepisu ust. 1 nie stosuje się, jeżeli osoba, której dane dotyczą, nie ma możliwości zapoznania się z informacjami, o których mowa w art. 13 rozporządzenia 2016/679.
3. Przepisu ust. 1 nie stosuje się do administratora danych, który:
1) przetwarza dane, o których mowa w art. 9 ust. 1 rozporządzenia 2016/679, lub
2) udostępnia dane, o których mowa w art. 9 ust. 1 rozporządzenia 2016/679, innym administratorom, z wyjątkiem przypadku gdy:
a) osoba, której dane dotyczą, wyraziła zgodę na udostępnienie swoich danych albo
b) udostępnienie danych jest niezbędne do wypełnienia obowiązku ciążącego na administratorze.
Mając powyższe na uwadze, wskazać należy, że w celu spełnienia tego obowiązku, należy w pierwszej kolejności odróżnić mikroprzedsiębiorców świadczących usługi stacjonarnie (np. małe sklepy rodzinne, stacjonarne agencje ubezpieczeniowe, niewielkie warsztaty samochodowe) od przedsiębiorców świadczących usługi drogą elektroniczną (np. sklepy internetowe czy portale internatowe).
W przypadku pierwszej grupy do dopełnienia obowiązku informacyjnego, którego elementarne składniki zostały określone w art. 13 RODO, konieczne będzie wywieszenie w widocznym miejscu w lokalu przedsiębiorstwa klauzuli informacyjnej na temat przetwarzania danych osobowych. Oznacza to, że obowiązek informacyjny może być spełniony niejako w sposób uproszczony wskazany powyżej i nie ma aktualnie potrzeby aby przedsiębiorca, nazwijmy go w uproszczeniu stacjonarny każdorazowo wyręczał klientowi klauzulę informacyjną spełniającą wymogi określone w art. 13 RODO.
Inaczej ma się rzecz w przypadku tzw. e- przedsiębiorców. Taki przedsiębiorca może dopełnić obowiązku informacyjnego poprzez umieszczenie klauzuli informacyjnej bezpośrednio w regulaminie prowadzonego przez siebie portalu lub w ramach tzw. polityki prywatności.
Obowiązku informacyjnego nie można dopełnić w opisany wyżej uproszczony sposób, jeżeli osoba, której dane dotyczą nie ma możliwości zapoznania się z klauzulą informacyjną. Możemy sobie wyobrazić sytuację, że do małej agencji ubezpieczeniowej przychodzi osoba, która jest niewidoma i nie ma możliwości przeczytania klauzuli informacyjnej. W takiej sytuacji należy informacje określone w art. 13 RODO przekazać jej podczas bezpośredniej rozmowy.
Z uproszczonego obowiązku uproszczonego nie może także skorzystać przedsiębiorca, który przetwarza lub udostępnia dane wrażliwe m.in. dotyczące stanu zdrowia, pochodzenia etnicznego czy przynależności związkowej.
Jednakże, w przypadku udostępnienia danych wrażliwych innemu administratorowi za zgodą osoby, której dane dotyczą lub w sytuacji gdy udostępnienie jest niezbędne do wypełnienia obowiązku ciążącego na administratorze (np. niewielka przychodnia prywatna ma obowiązek udostępnić dane ministrowi, instytutowi badawczemu, sądom czy organom ścigania) nadal wchodzi w grę uproszczony obowiązek informacyjny poprzez wywieszenie w tym zakresie klauzuli informacyjnej.
Podsumowując wskazać należy, że uproszczony obowiązek informacyjny wprowadzony do ustawy prawo konsumenta, daje mikroprzedsiębiorcom możliwość w prosty, szybki i przede wszystkim tani sposób trafić do konsumenta z informacjami, do których przekazania przez przedsiębiorcę obliguje RODO. Dzięki temu przedsiębiorca nie musi przedkładać każdemu klientowi oddzielnie klauzuli informacyjnej, co jest również wygodne dla konsumenta, chyba że umowa zawierana jest poza lokalem przedsiębiorstwa, wówczas takiemu klientowi należy taki dokument przedstawić do zapoznania (np. przedstawiciel operatora telefonicznego pojawił się w mieszkaniu konsumenta w celu zawarcia z konsumentem umowy).
Należy, jednak zauważyć, że artykuł 5 ust. 1 RODO ustanawia tzw. zasadę rozliczalności, zgodnie z którą to administrator musi być w stanie wykazać przestrzeganie przepisów RODO. Z tych powodów to administrator powinien więc potrafić wykazać, że spełnił ciążący na nim obowiązek informacyjny, bowiem to na nim spoczywa ciężar dowodzenia w tym zakresie. Dlatego też, jeśli chodzi o obowiązek informacyjny zamieszczany na stronie internetowej mikroprzedsiębiorcy, który będzie przetwarzał dane konsumenta w związku z zawieraną z konsumentem umową drogą elektroniczną, ważne jest aby w ramach dokonywanej transakcji konsument miał możliwość potwierdzenia, że zapoznał się z regulaminem oraz polityką prywatności, w którym zamieszczona będzie klauzula informacyjna zawierająca informacje z art. 13 RODO w dacie dokonywanej transakcji.
Co więcej, w sytuacji, gdy dane zbierane są bezpośrednio od konsumenta w celu zawarcia umowy realizacja obowiązku informacyjnego powinna nastąpić najpóźniej przed zakończeniem zbierania danych osobowych. Rekomenduje się jednak, aby do spełnienia obowiązku informacyjnego doszło jeszcze przed pozyskaniem danych osobowych. W praktyce będzie się to odnosiło do umożliwienia osobie, której dane dotyczą, zapoznania się treścią klauzuli informacyjnej poprzez zamieszczenie w formularzu służącym do pozyskania danych osobowych odesłania (linku) bezpośrednio do klauzuli znajdującej się w regulaminie portalu lub polityce prywatności.
adw. Piotr Stankiewicz