Ochrona danych osobowych w ogólnym postępowaniu administracyjnym jest przedmiotem ustawy z 21.2.2019 r. o zmianie niektórych ustaw w związku z zapewnieniem stosowania rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27.4.2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (dalej: RODO). Wprowadza ona szereg zmian w ustawie z 14.6.1960 r. Kodeks postępowania administracyjnego (dalej: KPA). Jedną z nich jest dodanie art. 2a, który wskazuje, że w KPA zostaje unormowany obowiązek informacyjny z art. 13 ust. 1 i 2 RODO a jednocześnie realizacja tego obowiązku nie może wpływać na tok i wynik postępowania. Oznacza to, że organ administracji publicznej powinien prowadzić postępowanie w sposób wynikający m.in. z zasad ogólnych i równolegle dbać o realizację uprawnień stron i uczestników postępowania wynikających bezpośrednio z RODO. Obowiązek informacyjny wprowadzany analizowaną ustawą nie może być przy tym utożsamiany z wynikającą z art. 9 KPA zasadą udzielania informacji, która odnosi się do okoliczności faktycznych i prawnych wpływających na ustalenie praw i obowiązków będących przedmiotem postępowania administracyjnego. Ten ostatni obowiązek dotyczy więc wyłącznie kwestii merytorycznych rozstrzyganych w postępowaniu administracyjnym.
W przypadku osoby wezwanej do udziału w podejmowanych czynnościach, złożenia wyjaśnień lub zeznań na mocy dodanego § 1a do art. 54 KPA w treści wezwania należy zrealizować obowiązek informacyjny wynikający z art. 13 ust. 1 i 2 RODO, chyba że wzywany posiada już te informacje a ich zakres lub treść nie uległy zmianie. Z powyższego wynika ogólny wniosek, że organ prowadzący postępowanie ma co do zasady zrealizować obowiązek informacyjny RODO wyłącznie raz. Jeśli zatem do udziały w podejmowanych czynnościach zostałaby wezwana strona, to zapewne nie będzie potrzeby realizowania obowiązku informacyjnego, ponieważ został on już na poprzednich etapach postępowania zrealizowany w oparciu o dodany do art. 61 § 5 KPA. Wynika z niego, że strona, której dane zostały pozyskane, powinna zostać poinformowana o tym fakcie oraz wynikających z RODO uprawnieniach przy pierwszej czynności do niej skierowanej. W praktyce będzie oznaczało to konieczność zawarcia stosownych informacji w piśmie zawiadamiającym o wszczęciu postępowania. Jeśli jednak wniosek będący podstawą takiego wszczęcia zostałby skierowany do niewłaściwego organu, to organ ten informując wnioskodawcę w trybie art. 65 § 1 KPA o braku swojej właściwości i przekazaniu sprawy do organu właściwego powinien również na podstawie dodanego § 1a zrealizować obowiązek informacyjny RODO. Podobnie obowiązek ten należy zrealizować, jeśli podanie dotyczy kilku spraw podlegających rozpoznaniu przez różne organy. Wymagane informacje są wtedy przekazywane w piśmie zawiadamiającym wnioskodawcę, że tylko jedna bądź niektóre sprawy mogą być załatwione zgodnie z właściwością adresata wniosku, a pozostałe z nich powinny być przedmiotem odrębnych wniosków skierowanych do właściwych organów.
Inaczej wygląda realizacja obowiązku informacyjnego z art. 13 ust. 1 i 2 RODO w przypadku spraw załatwianych milczącą zgodą. W takim przypadku stosowne informacje należy zamieścić w Biuletynie Informacji Publicznej na stronie podmiotowej organu prowadzącego postępowanie, na własnej stronie internetowej (niebędącej stroną BIP) oraz w widocznym miejscu w siedzibie organu. Jeśli jednak w sprawie załatwianej w trybie milczącej zgody miałoby dojść do podjęcia jakiejkolwiek czynności bezpośrednio względem konkretnej strony, np. doręczenia wymaganego przepisami szczególnymi, to przy tej czynności na podstawie dodanego art. 122h KPA należy zrealizować opisywany obowiązek informacyjny. Na powyższe nie ma wpływu wcześniejsze zamieszczenie wymaganych informacji na stronach BIP.
