listy mam pisać do Kalisza, nie Wrocławia:
"RODO nie wymaga obowiązkowo podawania NIP-u w polityce prywatności. Natomiast wymaga, żeby osoba, której dane dotyczą, mogła zidentyfikować administratora danych. W tym przypadku problem polega na tym, że:
strona podaje tylko nazwę projektu „ratajwatches.com”,
jest e-mail Gmail,
jest adres w Kaliszu,
nie ma nazwy firmy,
nie ma imienia i nazwiska administratora,
nie ma informacji, czy to JDG, spółka czy osoba prywatna,
nie ma NIP-u ani danych rejestrowych,
użytkownik nie wie, komu faktycznie wysyła swoje dane przez formularz.
Z samej treści polityki wynika jedynie: „we are the data controller” oraz adres i e-mail.
Jeżeli po wysłaniu formularza kontaktowego nie jesteś w stanie ustalić:
kto jest administratorem,
jaki podmiot prawny odpowiada za przetwarzanie,
do kogo skierować żądanie usunięcia danych,
kogo ewentualnie pozwać lub zgłosić do UODO,
to można argumentować, że obowiązek informacyjny nie został wykonany w sposób wystarczająco przejrzysty i zrozumiały, czego wymagają art. 12 i 13 RODO.
To nie jest sytuacja typu:
„nie ma żadnej polityki prywatności”.
Bo polityka jest.
Bardziej:
„administrator jest opisany tak nieprecyzyjnie, że przeciętny użytkownik nie potrafi ustalić, kto faktycznie odpowiada za jego dane”.
I to jest już realny problem zgodności.
Dodatkowo, jeśli na Kickstarterze komunikują się jako projekt z Wrocławia, a w polityce prywatności pojawia się adres w Kaliszu, bez wyjaśnienia kto prowadzi projekt, to przejrzystość jeszcze bardziej spada. Użytkownik powinien móc bez wysiłku ustalić, czy jego dane trafiają do konkretnej osoby fizycznej prowadzącej działalność, spółki czy innego podmiotu.
Gdyby taka sprawa trafiła do Urząd Ochrony Danych Osobowych, najbardziej prawdopodobne pytanie kontrolne brzmiałoby nie „czy używacie Shopify?”, lecz:
„Proszę wskazać, kto jest administratorem danych i gdzie użytkownik jest o tym jednoznacznie informowany.”
Jeżeli odpowiedź wymagałaby samodzielnego śledztwa użytkownika po Kickstarterze, domenach i mediach społecznościowych, to trudno uznać taki obowiązek informacyjny za wzorcowo wykonany.