Informační povinnost je jednou z povinností správce, kterou se uspokojují práva subjektu údajů. Informační povinnost plní správce sám bez žádosti subjektu údajů, a to v závislosti na tom, jestli získává osobní údaje přímo od subjektu údajů nebo z jiných zdrojů (např. z vlastní činnosti, od jiného správce nebo z veřejných zdrojů).

Pokud správce získává osobní údaje přímo od subjektu údajů, musí informační povinnost splnit vždy (bezvýjimečně) v okamžiku získání osobních údajů. Informace musí obsahovat zejména tyto údaje:

• totožnost a kontaktní údaje správce a jeho případného zástupce
• případně kontaktní údaje pověřence pro ochranu osobních údajů
• účely zpracování a právní základ pro zpracování
• případné příjemce nebo kategorie příjemců osobních údajů
• případný úmysl správce předat osobní údaje do třetí země nebo mezinárodní organizaci
• doba, po kterou budou osobní údaje uloženy
• informace o právech subjektu údajů
• informace o povinnosti/dobrovolnosti poskytnutí osobních údajů
• informace o tom, že dochází k automatizovanému rozhodování, včetně profilování.

V případě, že správce získává osobní údaje z jiných zdrojů, musí subjekt údajů informovat nejpozději do 1 měsíce od získání osobních údajů nebo v okamžiku, kdy poprvé dojde ke komunikaci se subjektem údajů, nebo při prvním zpřístupnění osobních údajů příjemci. Informace v tomto případě musí obsahovat výše uvedené údaje a dále informaci o kategoriích osobních údajů a zdroji osobních údajů. Z této informační povinnosti existuje několik výjimek:

• subjekt údajů již informace má
• poskytnutí takové informace není možné nebo by vyžadovalo nepřiměřené úsilí (např. archivace ve veřejném zájmu, vědecký nebo historický výzkum, statistické účely, znemožnění nebo ztížení dosažení cílů zpracování)
• získávání nebo zpřístupnění osobních údajů je výslovně stanoveno právem EU nebo členského státu
• osobní údaje musí zůstat důvěrné s ohledem na povinnost dodržovat služební tajemství, včetně zákonné povinnosti mlčenlivosti.

Informační povinnost lze plnit písemně, elektronicky nebo na žádost subjektu údajů i ústně, vždy je však nutné zjistit a prokázat identitu subjektu údajů, aby nedošlo k neoprávněnému sdělení informací jiné osobě. Tam, kde je mezi správcem a subjektem údajů běžná komunikace elektronickými prostředky, je možné plnit informační povinnost i elektronicky, písemná forma není nutná.

Podle českého zákona o zpracování osobních údajů (č. 110/2019 Sb.) je možné splnit informační povinnost ve vztahu ke zpracováním nezbytným pro plnění právní povinnosti nebo splnění úkolu prováděného ve veřejném zájmu nebo při výkonu své pravomoci také zveřejněním informací způsobem umožňujícím dálkový přístup (internetové stránky).