Wchodząca niebawem w życie ustawa zapewniająca stosowanie RODO przewiduje pewne ułatwienia dla mikroprzedsiębiorców* w zakresie obowiązku informacyjnego.
Do ustawy o prawach konsumenta zostanie dodany przepis stanowiący, że w zakresie umów zawieranych z konsumentami:
- poza lokalem przedsiębiorstwa lub na odległość (czyli m.in. umowy zawierane za pośrednictwem Internetu w ramach e-handlu),
- innych niż te, o których mowa powyżej (np. sklepie stacjonarnym czy lokalu usługodawcy)
przedsiębiorca – administrator wykonuje obowiązek informacyjny z art. 13 RODO (pozyskanie danych osobowych bezpośrednio od klienta) przez wywieszenie w widocznym miejscu w lokalu przedsiębiorstwa lub na swojej stronie internetowej stosownej informacji.
W przypadku umieszczenia informacji na stronie internetowej, powinna być ona łatwo dostępna, np. w osobnej zakładce o nazwie „RODO”.
Nie ma natomiast wymogu, aby klauzula informacyjna RODO miała postać wyskakującego okienka, pojawiającego się zaraz po wejściu na stronę www. Tym bardziej, że taka praktyka irytuje wielu użytkowników serwisów internetowych.
Wprowadzane rozwiązanie jest o tyle korzystne, że w zasadzie przesądza, iż faktyczne wykonanie przez mikroprzedsiębiorcę obowiązku informacyjnego we wskazany przez ustawodawcę sposób, będzie zgodne z zasadą rozliczalności. Wystarczy zapewnienie możliwości zapoznania się z klauzulą informacyjną przez jej zamieszczenie w widocznym miejscu. W świetle brzmienia nowego przepisu trudno uznać odbieranie przez mikroprzedsiębiorcę potwierdzeń zapoznania się z klauzulą informacyjną od osób, których dane dotyczą, za obligatoryjne.
Ewentualnie w wewnętrznej dokumentacji może on wskazać, że w zakresie umów z konsumentami obowiązek informacyjny jest realizowany w taki sposób. Generalnie rzecz biorąc, użycie przez ustawodawcę słowa „wykonuje” należy jednak interpretować jako obowiązek wykonania obowiązku informacyjnego RODO w taki sposób.
Powstaje oczywiście pytanie, na ile ogólna lub szczegółowa powinna być informacja udostępniana przez mikroprzedsiębiorcę. Moim zdaniem, w przypadku usługodawców oferujących szeroki zakres usług, pomiędzy którymi występują różnice w zakresie sposobu przetwarzania danych osobowych klientów (np. inne okresy przechowywania danych, różni odbiorcy danych, itp.), lepszym rozwiązaniem jest stosowanie dedykowanych klauzul. Mogą one być wprowadzone do treści samej umowy lub stanowić specjalny załącznik.
Powyższe regulacje dotyczą przypadków, w których będą przetwarzane tylko dane „zwykłe”, czyli nieposiadające statusu szczególnie chronionych (dane wrażliwe). Nie obejmują również przypadku udostępniania danych osobowych innemu administratorowi, chyba że osoba, której dane dotyczą, wyraziła na to zgodę lub jest to niezbędne do wykonania obowiązku informacyjnego ciążącego na administratorze.
* Zgodnie z ustawą z dnia 6 marca 2018 r. mikroprzedsiębiorca to przedsiębiorca, który w co najmniej jednym roku z dwóch ostatnich lat obrotowych spełniał łącznie następujące warunki:
a) zatrudniał średniorocznie mniej niż 10 pracowników oraz
b) osiągnął roczny obrót netto ze sprzedaży towarów, wyrobów i usług oraz z operacji finansowych nieprzekraczający równowartości w złotych 2milionów euro, lub sumy aktywów jego bilansu sporządzonego na koniec jednego z tych lat nie przekroczyły równowartości w złotych 2 milionów euro.