Czy trzeba poinformować o przetwarzaniu danych

Czytelnik zamierza otworzyć firmę zajmująca się m.in. promowaniem przedsiębiorców za pośrednictwem internetu.

- W tym celu będę korzystał z zakupionych baz danych osobowych. Czy przed skorzystaniem z danych muszę poinformować osoby, których dane dotyczą, że będę wykorzystywał je do celów marketingowych - pyta Przemysław z Węgrowa.

Tak. W ocenie Generalnego Inspektora Ochrony Danych Osobowych (decyzja DOLiS-035-2296/09) jest to konieczne, gdyż zobowiązują do tego przepisy ustawy o ochronie danych osobowych. Zgodnie z jej art. 25 ust. 1, w przypadku zbierania danych osobowych nie od osoby, której one dotyczą, administrator danych jest zobowiązany poinformować tę osobę, bezpośrednio po utrwaleniu zebranych danych, o adresie swojej siedziby i pełnej nazwie (imieniu, nazwisku, miejscu zamieszkania - w przypadku gdy administratorem jest osoba fizyczna), celu i zakresie zbierania danych, a w szczególności o tym, komu zostały one przekazane. Ponadto trzeba poinformować o źródle danych, prawie dostępu do treści swoich danych oraz ich poprawiania, a także o uprawnieniach wynikających z art. 32 ust. 1 pkt 7 i 8 ustawy. Do tych uprawnień zalicza się prawo do wniesienia pisemnego, umotywowanego żądania zaprzestania przetwarzania danych osobowych ze względu na szczególną sytuację i prawo do wniesienia sprzeciwu wobec przetwarzania danych osobowych. Spełnienie obowiązku informacyjnego wiąże się z przekazaniem osobie, której dane dotyczą, pewnych informacji, istotnych ze względu na to, aby mogła skorzystać z przysługujących jej uprawnień, np. wspomnianego prawa do wniesienia sprzeciwu wobec przetwarzania jej danych czy ewentualnej skargi na administratora danych.

Niewykonanie obowiązku powiadomienia ustanowionego w art. 25 ustawy podlega odpowiedzialności karnej. Osoba, która administrując zbiorem danych nie dopełnia obowiązku poinformowania osoby, której dane dotyczą, o jej prawach lub przekazania tej osobie informacji umożliwiających korzystanie z praw przyznanych jej w ustawie, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do roku. Warto przytoczyć stanowisko Wojewódzkiego Sądu Administracyjnego w Warszawie, który w wyroku z 22 stycznia 2004 r. (sygn. akt II SA 2665/2002) wskazał, że firma, która nabyła zbiór danych osobowych od innego administratora danych, powinna powiadomić klientów, że posiada ich dane, oraz dać im czas, aby mieli szansę wnieść sprzeciw na ich przetwarzanie do celów marketingowych. Niedotrzymanie tych warunków łamie przepisy o ochronie danych osobowych.

Adam Makosz

Ustawa z 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.U. z 2002 r. nr 101, poz. 926 z późn. zm.).