Jeśli strona internetowa jest adresowana do odbiorców w innych państwach, to obowiązek informacyjny RODO należy wypełnić także w obcych językach. Potwierdza to niedawna decyzja austriackiego organu ochrony danych wydana wobec polskiego przedsiębiorcy.

Skargę złożyła obywatelka Austrii Brigitte A., która otrzymała list od polskiego producenta okuć okiennych. Skontaktował się z nią, gdyż wcześniej kupiła okna, a po czasie okazało się, że część z nich może mieć wadliwe zamknięcia. Austriaczkę zaniepokoiło to, że kontaktuje się wytwórca okuć, a nie okien, nie informując na dodatek, w jaki sposób pozyskał dane. Dlatego też złożyła skargę do Die Datenschutzbehörde, austriackiego organu ochrony danych. Ten w swej decyzji stwierdził naruszenie obowiązku informacyjnego i nakazał dopełnienie go wobec skarżącej. Jednocześnie z decyzji płyną też dalej idące wnioski, które powinni sobie wziąć do serca polscy przedsiębiorcy prowadzący strony internetowe w językach innych niż polski.
– W decyzji organ odwołał się do art. 3 ust. 2 RODO, stwierdzając, że „ze względu na nieodłączną w RODO zasadę lokalizacji rynkowej należy przyjąć, że informacje i zawiadomienia muszą być co do zasady tłumaczone na języki tych państw, w których przedsiębiorca oferuje dane usługi, z uwzględnieniem obywatelstwa lub miejsca zamieszkania osoby, której dane dotyczą” – zwraca uwagę Tomasz Borys, ekspert zajmujący się ochroną danych osobowych.
Mówiąc wprost – jeśli firma za pośrednictwem strony internetowej adresuje swą ofertę do zagranicznych odbiorców i podaje ją w obcych językach, to w każdym z nich powinna wypełnić obowiązek informacyjny. Niestety pobieżny przegląd polskich stron obcojęzycznych pokazuje, że mało który administrator zdaje sobie z tego sprawę.
– W RODO nie ma bezpośredniej regulacji co do języka narodowego, w którym powinno być napisane oświadczenie o ochronie danych. Wskazówkę co do wymagań odnośnie do formy i treści znajdujemy w art. 12. Odwiedzający stronę internetową powinien zrozumieć wszystkie podane informacje – wyjaśnia Tomasz Borys.
– Jeśli polska firma ma swoją siedzibę w Polsce i prowadzi polskojęzyczną stronę internetową, a zatem ta strona jest skierowana do odwiedzających z Polski, wystarczające jest polskie oświadczenie o ochronie danych. To, że odwiedzający, który nie mówi po polsku, ma do tej strony dostęp, nie będzie tu miało znaczenia. Inaczej gdy naszą grupą docelową są odbiorcy z innych obszarów. W takiej sytuacji należy udostępnić pełną informację w języku, w którym chcemy dotrzeć do klienta – dodaje.
Austriacki organ poprzestał na stwierdzeniu naruszenia i nakazaniu prawidłowego poinformowania skarżącej m.in. o tym, w jaki sposób producent okuć pozyskał jej dane osobowe. Ignorowanie obowiązku informacyjnego może jednak zakończyć się karą finansową. To bowiem jeden z podstawowych obowiązków nałożonych przez RODO i każda kontrola zaczyna się od sprawdzenia, czy jest on prawidłowo wypełniany. O tym, jakiego rodzaju informacje trzeba wskazać, decyduje sposób pobierania danych. Pierwszy to taki, gdy są one zbierane bezpośrednio od osoby, której dotyczą (art. 14 RODO), drugi, gdy pozyskuje się je ze źródeł pośrednich (art. 15 RODO; ten przepis był podstawą w opisanej sprawie). W każdym przypadku należy powiadomić o samym fakcie przetwarzania i jego celach oraz przekazać wszelkie inne informacje niezbędne do zapewnienia rzetelności i przejrzystości tego procesu. To dzięki temu osoba zainteresowana może realizować swe uprawnienia, np. do usunięcia czy sprostowania danych.
Ignorowanie obowiązku informacyjnego może zakończyć się karą finansową. To bowiem jeden z podstawowych obowiązków nałożonych przez RODO i każda kontrola zaczyna się od sprawdzenia, czy jest on prawidłowo wypełniany