fot.: © goodluz – Fotolia.com

Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (tzw. RODO) najwięcej zmieniło właśnie w odniesieniu do obowiązków informacyjnych administratorów danych osobowych. Ponieważ w rozumieniu RODO administratorem danych osobowych jest każdy, kto samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych, to obowiązki informacyjne ciążą na naprawdę wielu podmiotach. Takim administratorem jest na przykład zawodowy fotograf, który wykonując zdjęcia zbiera dane osobowe w postaci wizerunku, a następnie decyduje, czy zdjęcie to zapisać na dysku komputera i w jakim celu je wykorzystać. Kiedy więc i o czym powinni informować klientów fotografowie?

Nowe przepisy dość dokładnie określają moment, w którym należy dopełnić obowiązku informacyjnego. Dla ustalenia tego momentu istotne jest dokonanie rozróżnienia między pierwotnym i wtórnym gromadzeniem danych osobowych. Do pierwotnego gromadzenia danych osobowych dochodzi wtedy, gdy dane zostały zebrane bezpośrednio od osoby, której dotyczą. Przykładowo, będzie to miało miejsce wtedy, gdy klient umawiając się z fotografem na wykonanie sesji sam poda mu swoje imię, nazwisko i numer telefonu, a następnie pozwoli utrwalić swój wizerunek na zdjęciu. Za pierwotne gromadzenie danych osobowych uważa się również sytuację, gdy klientem będzie rodzic dziecka, które będzie fotografowane, choć w istocie dane dziecka fotograf otrzymał od rodzica, a nie od samego dziecka, którego dane osobowe dotyczą. Wtórne gromadzenie danych osobowych polega właśnie na pozyskiwaniu ich ze  źródeł innych niż osoba, której dotyczą (np. poprzez zakup bazy marketingowej czy zdjęcia ze stocku).

Jeśli dochodzi do tzw. pierwotnego gromadzenia danych osobowych, to zgodnie z RODO administrator danych osobowych powinien spełnić obowiązek informacyjny już w momencie gromadzenia danych. W praktyce obowiązek ten jest najczęściej realizowany w ten sposób, że przy wprowadzaniu przez klienta danych do formularza internetowego, jednocześnie musi on zapoznać się z klauzulą informacyjną i fakt ten potwierdzić klikając w odpowiedni check box. Administrator danych musi bowiem być w stanie wykazać, że dopełnił obowiązków informacyjnych. Taką klauzulę można też zamieścić w stopce maila lub – jeśli klient przychodzi bezpośrednio „z ulicy” – jej wydruk wręczyć za pokwitowaniem jeszcze przed wykonaniem usługi.