Biznesowo o prawie i podatkach.

4 maja 2019 r. weszła w życie tzw. ustawa sektorowa RODO o zmianie niektórych ustaw w związku z zapewnieniem stosowania rozporządzenia 2016/679, której celem jest zharmonizowanie 168 polskich ustaw z Rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE.

Zmianie uległy m.in. przepisy dotyczące obowiązku informacyjnego wobec konsumentów, z którymi przedsiębiorca zawiera umowy w lokalu (i poza lokalem) przedsiębiorstwa lub na odległość (np. przez Internet), przewidzianego w ustawie z dnia 30 maja 2014 r. o prawach konsumenta.

Zgodnie z dodanym art. 4a tej ustawy – przedsiębiorcy, których obrót roczny netto nie przekracza 2 mln zł rocznie, a zatrudnienie średnioroczne nie przekracza 10 pracowników, nie muszą przy zawieraniu umowy z konsumentem informować go bezpośrednio o przetwarzaniu jego danych osobowych. Nie oznacza to jednak, że taki przedsiębiorca w ogóle nie musi informować swoich klientów – konsumentów o przetwarzaniu danych. Obowiązek informacyjny może być spełniony przez takiego przedsiębiorcę w sposób „ogólny” np. poprzez udostępnienie klauzuli informacyjnej na stronie internetowej lub w lokalu przedsiębiorstwa.

Powyższa regulacja zawiera jednak małe pułapki – przewiduje, że w pewnych sytuacjach przedsiębiorca będzie jednak zobowiązany udzielić indywidualnej informacji o przetwarzaniu danych osobowych, chociaż wydawałoby się na pierwszy rzut oka, że nie ma takiego obowiązku.

Pierwsza z nich wyłącza możliwość odstąpienia od ogólnego informowania konsumenta o przetwarzaniu jego danych osobowych, gdy konsument nie ma możliwości zapoznania się z powszechnie udostępnioną klauzulą informacyjną. W takim przypadku należy poinformować go indywidualnie. Jednocześnie ustawodawca nie wyjaśnił, ani nie wskazał przypadków, na czym miałaby polegać „niemożność” zapoznania się konsumenta z klauzulą informacyjną. W pierwszej kolejności przychodzi na myśl przypadek braku dostępu konsumenta do Internetu, trudno jednak wykluczyć, że pojawią się inne sytuacje, których obecnie nie można przewidzieć.

Drugi wyjątek zachodzi, jeżeli przedsiębiorca przetwarza szczególne kategorie danych osobowych wskazanych w art. 9 ust. 1 Rozporządzenia. Przepis ten dotyczy: pochodzenia rasowego lub etnicznego, poglądów politycznych, przekonań religijnych lub światopoglądowych, przynależności do związków zawodowych oraz przetwarzania danych genetycznych, danych biometrycznych w celu jednoznacznego zidentyfikowania osoby fizycznej lub danych dotyczących zdrowia, seksualności lub orientacji seksualnej. Niewielu przedsiębiorców zdaje sobie sprawę, że spełnia to kryterium. Wystarczy, że przedsiębiorca, jako pracodawca przetwarza dane osobowe w zakresie zwolnień lekarskich swoich pracowników – spełnia tym samym wyjątek odnośnie przetwarzania danych dotyczących zdrowia. Powoduje to jednocześnie, że przy zawieraniu umowy z konsumentem ma obowiązek poinformować go bezpośrednio o przetwarzaniu jego danych osobowych.

Dlatego mimo wszystko każdy przedsiębiorca powinien zapobiegawczo przesyłać klientowi – konsumentowi klauzulę informacyjną np. w potwierdzeniu przyjęcia zamówienia, na fakturze czy po prostu w specjalnym mailu informacyjnym. Warto o tym pamiętać, zwłaszcza, że pierwsza kara za naruszenie przepisów RODO w Polsce została nałożona właśnie za niedopełnienie obowiązku informacyjnego.

A może powiadomienie o kolejnych ważnych publikacjach i artykułach? Zapraszam do zapisu na naszą mailową prenumeratę informacyjną – raz w miesiącu przesyłamy ważne informacje na temat nadchodzących zmian w prawie oraz zestawienie opublikowanych artykułów z naszego bloga.