Obowiązki informacyjne

Realizacja uprawnień osób, których dotyczą dane, w znacznej mierze uzależniona jest od prawidłowego wywiązywania się przez administratora danych z obowiązku informacyjnego, o którym mowa w art. 24 i 25 ustawy z dnia 29 sierpnia 1997 roku o ochronie danych osobowych[1]. Pierwszy z tych przepisów dotyczy sytuacji, gdy dane zbierane są bezpośrednio od osoby, której dotyczą, natomiast drugi odnosi się do przypadków gromadzenia danych ze źródeł pośrednich.

Zgodnie z art. 24 ust. 1 powoływanej ustawy, w przypadku zbierania danych osobowych od osoby, której dane dotyczą, administrator danych jest obowiązany poinformować tę osobę o adresie swojej siedziby i pełnej nazwie, celu zbierania danych, a w szczególności o odbiorcach danych, prawie dostępu do treści swoich danych i ich poprawiania oraz o dobrowolności albo obowiązku podania danych, a jeżeli taki obowiązek istnieje, o jego podstawie prawnej. Zgodnie zaś z art. 25 ust. 1 tejże ustawy, w przypadku zbierania danych osobowych nie od osoby, której one dotyczą, administrator danych jest zobowiązany poinformować tę osobę, bezpośrednio po utrwaleniu zebranych danych, poza informacjami wymienionych w art. 24 ust. 1, również o źródle danych oraz o uprawnieniach wynikających z art. 32 ust. 1 pkt 7 i 8 Uodo, czyli o prawie do wniesienia, w przypadkach wymienionych w art. 23 ust. 1 pkt 4 i 5 tej ustawy, pisemnego, umotywowanego żądania zaprzestania przetwarzania danych tej osoby ze względu na jej szczególną sytuację oraz wniesienia sprzeciwu wobec przetwarzania jej danych w przypadkach, wymienionych w art. 23 ust. 1 pkt 4 i 5 Uodo, gdy administrator danych zamierza je przetwarzać w celach marketingowych lub wobec przekazywania jej danych osobowych innemu administratorowi danych.

Poza wyżej opisanym obowiązkiem informacyjnym realizowanym z inicjatywy administratora danych, istnieje obowiązek informacyjny realizowany na wniosek zainteresowanego, uregulowany w art. 32 i art. 33 Uodo. Artykuł 33 w ust. 1 tej ustawy stanowi, iż na wniosek osoby, której dane dotyczą, administrator danych jest zobowiązany, w terminie 30 dni, poinformować o przysługujących jej prawach oraz udzielić odnośnie jej danych osobowych, informacji wymienionych w art. 32 ust. 1 pkt. 1-5a tej ustawy, a w szczególności podać w formie zrozumiałej: jakie dane osobowe zawiera zbiór, w jaki sposób zebrano dane, w jakim celu i zakresie dane są przetwarzane, w jakim zakresie oraz komu dane zostały udostępnione. Na wniosek osoby zainteresowanej wymienionych informacji udziela się również na piśmie.

Należy zauważyć, że ustawodawca przewidział również wyjątki od obowiązku informowania, które to zostały doprecyzowane odpowiednio w art. 24 ust. 2 w zw. z art. 24 ust. 1, art. 25 ust. 2 w zw. z art. 25 ust. 1 oraz w art. 34 Uodo.

Wywiązywanie się przez banki z obowiązków informacyjnych może być przedmiotem badania przez Generalnego Inspektora Ochrony Danych Osobowych w ramach postępowania administracyjnego wszczętego z urzędu lub na wniosek osoby, wobec której obowiązek ten nie został zrealizowany[2]. W kontekście realizacji obowiązków informacyjnych należy również zwrócić uwagę na art. 54 ustawy. Przewiduje on odpowiedzialność karną i sankcje w postaci kary grzywny, ograniczenia wolności albo pozbawienia wolności do roku wobec administratora danych niedopełniającego obowiązku poinformowania osoby, której dane dotyczą, o jej prawach lub nieprzekazującego jej informacji umożliwiających korzystanie z tych praw.