Jednym z podstawowych obowiązków administratora jest poinformowanie osoby, której dane pozyskuje o tym m.in. kto, po co i jak długo będzie te dane przetwarzał oraz jakie prawa przysługują ww. osobie[1].
Obowiązek ten powinien zostać zrealizowany przez administratora w sposób przejrzysty, tak by informacje były sformułowane jasnym i prostym językiem, zrozumiale dla odbiorcy[2]. RODO proponuje rozwiązanie polegające na połączeniu informacji ze standardowymi znakami graficznymi, które w widoczny, zrozumiały i czytelny sposób przedstawią sens zamierzonego przetwarzania[3]. Zdawałoby się zatem, że ilość informacji wymaganych do wyczerpującego wypełnienia obowiązku z art. 13 i 14 RODO wymusi wypracowanie zwięzłej formy przekazu. Tymczasem, praktyka sprowadza się zwykle do przedstawienia zapisanej ciągłym tekstem strony A4 lub systemowego odsyłania do równie rozległego komunikatu. W konsekwencji, niewiele osób zapoznaje się z klauzulą w ogóle.
Problem przejrzystości w kontekście obowiązku informacyjnego dostrzegła również Grupa Robocza Art. 29 (obecnie Europejska Rada Ochrony Danych) (dalej: GR29), wskazując: „W RODO istnieje pewien kontrast między, z jednej strony, wymogami przekazania osobom, których dane dotyczą, wyczerpujących informacji wymaganych na podstawie RODO, a z drugiej strony wymogami przekazania tych informacji w zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej formie”.[4] Jednocześnie w swoich wytycznych GR29 zaproponowała rozwiązanie w postaci warstwowych klauzul informacyjnych. Przy ich zastosowaniu obligatoryjne informacje zostają przekazywane sukcesywnie:
- Pierwsza warstwa to zestaw informacji, z którymi osoba zapoznaje się w pierwszej kolejności. Są to szczegóły na temat:
- Tożsamości administratora.
- Celów przetwarzania.
- Opisu przysługujących osobie praw.[5]
- Druga warstwa to zestaw pozostałych informacji, do których osoba ma dostęp za pośrednictwem innych środków, np. po kliknięciu w link, otrzymania w wiadomości e-mail lub pojawienia się we wskazanym miejscu.[6]
