Odbiorca danych w klauzuli informacyjnej nie musi być wskazany z nazwy

Zgodnie z art. 13 RODO podczas pozyskiwania danych od osoby fizycznej trzeba spełnić wobec niej obowiązek informacyjny. Obowiązek ten istnieje również, gdy dane są pozyskiwane z innych źródeł niż od osoby, której dane dotyczą (art. 14 RODO).

Jedną z informacji, jaką należy podać takiej osobie, jest informacja o odbiorcach danych osobowych lub o kategoriach odbiorców, jeżeli istnieją (art. 13 ust. 1 lit. e i art. 14 ust. 1 lit. e RODO). Przepisy nie przesądzają więc wprost, że w klauzuli obowiązku informacyjnego należy wskazać konkretnych odbiorców z nazwy. Administrator danych ma więc wybór – może wskazać nazwy konkretnych odbiorców (np. "firma windykacyjna Dług sp. z o.o.") lub kategorie odbiorców (np. "podmioty, którym powierzono dane w celu zapewnienia bezpieczeństwa świadczonych usług", "firmy windykacyjne" itd.).

Drugie rozwiązanie, tzn. wskazanie kategorii odbiorców danych, a nie wymienianie ich nazw, jest wskazane zwłaszcza wtedy, gdy administrator danych przekazuje te dane wielu odbiorcom danych – wówczas unikamy nadmiernego wydłużania klauzuli informacyjnej, co może spowodować, że osoba, której dane dotyczą, zniechęci się do zapoznania się z klauzulą. Jest to również dobre rozwiązanie, gdy konkretni odbiorcy danych często się zmieniają lub pojawiają się nowi odbiorcy – wówczas unikamy sytuacji, w której klauzule informacyjne szybko stają się nieaktualne i trzeba je często uzupełniać.