W relacji firma–klient firma zwykle występuje jako administrator danych, czyli podmiot decydujący o celach i sposobach przetwarzania. Jedną z podstawowych zasad ochrony danych jest przejrzystość: osoba, której dane dotyczą, powinna wiedzieć, że jej dane są przetwarzane oraz w jakim celu, na jakiej podstawie, jak długo, komu mogą być ujawniane i jakie ma prawa.
Dlatego prawidłowa jest odpowiedź mówiąca, że firma musi informować klientów o przetwarzaniu danych osobowych niezależnie od tego, czy dane są przekazywane innym podmiotom. Udostępnianie danych innym odbiorcom może wpływać na zakres przekazywanych informacji, ale nie stanowi jedynego warunku powstania obowiązku informacyjnego.
Dlaczego pozostałe odpowiedzi są błędne?
- "Nie, firma nie musi informować…" – przeczy zasadzie przejrzystości i typowym obowiązkom administratora wobec osoby, której dane dotyczą.
- "Tak, tylko gdy są przekazywane innym podmiotom." – to częsty błąd: obowiązek informacyjny powstaje już przy samym zbieraniu/wykorzystywaniu danych przez firmę, a nie dopiero przy ich dalszym udostępnianiu.
- "Tylko wtedy, gdy jest to wymagane przez prawo." – brzmi rozsądnie, ale jest mylące: w realnych procesach biznesowych prawo co do zasady właśnie wymaga przekazania informacji. Odpowiedź sugeruje, że informowanie jest wyjątkowe, a nie standardowe.
W praktyce (np. w dokumentacji sprzedażowej i księgowej) obowiązek realizuje się przez klauzule informacyjne w umowach, formularzach lub na stronie internetowej oraz przez wskazanie kanału kontaktu do spraw danych.
