Zgodne z prawem przetwarzanie danych osobowych

Jakie rodzaje podstaw prawnych określa RODO?

Administratorzy danych mogą przetwarzać dane osobowe wyłącznie w jednej z następujących sytuacji:

• za zgodą osób fizycznych, których sprawa dotyczy;
• jeżeli istnieje zobowiązanie umowne (umowa między Twoją organizacją a osobą fizyczną);
• w celu wypełnienia obowiązku prawnego wynikającego z przepisów unijnych lub krajowych;
• gdy przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym na mocy przepisów unijnych lub krajowych;
• w celu ochrony żywotnych interesów osoby fizycznej;
• ze względu na prawnie uzasadnione interesy Twojej organizacji (z wyjątkiem sytuacji, gdy interesy lub prawa podstawowe osób fizycznych mają charakter nadrzędny w stosunku do nich).

W RODO ustanowiono ponadto dodatkowe warunki dotyczące przetwarzania danych wrażliwych.

Zgoda

Twoja organizacja może zdecydować się na korzystanie z zgody na przetwarzanie danych osobowych.

Jeżeli administrator danych wykorzystuje zgodę jako podstawę prawną przetwarzania danych osobowych, to musi zapewnić, aby zgoda ta była dobrowolna, świadoma, konkretna i jednoznaczna. Oznacza to, że osoby fizyczne muszą mieć rzeczywiście swobodę wyboru co do tego, czy zgadzają się na przetwarzanie ich danych osobowych; należy im zapewnić informacje wystarczające do tego, by mogły one zrozumieć, jakie dane są przetwarzane, w jakim celu i w jaki sposób; oraz muszą mieć one możliwość dobrowolnego wycofania zgody (bez żadnych negatywnych konsekwencji), jeżeli później zmienią zdanie.

Jeżeli organizacja musi przetwarzać dane i nie może faktycznie umożliwić osobom fizycznym wycofania zgody, oznacza to, że zgoda nie jest odpowiednią podstawą prawną przetwarzania i należy ocenić, czy może mieć zastosowanie inna podstawa prawna.

Warunki wyrażenia zgody

Dobrowolna

Zgoda ma charakter dobrowolny, jeżeli osoby fizyczne mogą odmówić je udzielenia i wycofać swoją zgodę bez ryzyka zewnętrznej presji lub negatywnych konsekwencji. Osoby fizyczne muszą mieć również prawo do wycofania zgody w dowolnym momencie; proces ten musi być łatwy do przeprowadzenia dla osób fizycznych (musi być równie łatwy, jak samo udzielenie zgody). Wycofanie zgody nie może mieć wpływu na przetwarzanie danych osobowych osoby fizycznej, które miało miejsce przed jej cofnięciem, kiedy to zgoda nadal obowiązywała.

mNa przykład: pracownicy nie będą mogli co do zasady swobodnie wyrazić zgody na przetwarzanie wykonywane przez pracodawcę, ponieważ mogą mieć odczucie, że nie są w stanie sprzeciwić się prośbie pracodawcy.

Konkretna

Aby zgoda była ważna, musi również odnosić się do konkretnego celu przetwarzania. Warunek ten jest ściśle związany z warunkiem świadomego wyrażenia zgody: osoby fizyczne muszą być informowane o konkretnych celach za pomocą prostego i łatwego do zrozumienia języka, tak aby miały jasny obraz tego,  w jakich celach ich dane są przetwarzane. Oznacza to również, że w przypadku zmiany celów operacji przetwarzania lub dodania dodatkowych operacji przetwarzania, osoby fizyczne powinny zostać ponownie poproszone o wyrażenie zgody. Podobnie - jeśli operacja przetwarzania jest realizowana w związku z wieloma celami, należy wyrazić zgodę na każdy z nich.

Na przykład – dostawca usługi transmisji strumieniowej zbiera dane osobowe swoich klientów, aby zaoferować im dostosowane do ich potrzeb sugestie dotyczące oglądanych treści. Po pewnym czasie dostawca usługi transmisji strumieniowej postanawia udostępnić dane osobowe swoich klientów stronom trzecim, aby mogły one wysyłać klientom ukierunkowane reklamy, na podstawie wybieranych przez klientów do oglądania treści. Ponieważ jest to nowy cel, dostawca usługi przesyłania strumieniowego będzie musiał poprosić swojego klienta o zgodę.

Świadoma

Zwracając się o zgodę do osoby fizycznej, organizacja musi zapewnić, aby zapytanie zostało jej przekazane w zrozumiałej i łatwo dostępnej formie, przy użyciu jasnego i prostego języka. Należy podać informacje o celach, tożsamości administratora, kategoriach danych, odbiorcach i prawie do wycofania zgody.

Jednoznaczna

Aby zgoda była jednoznaczna, powinno zostać wykonane wyraźne działanie potwierdzające (bez zaznaczonych z góry pól, oddzielnie od mających zastosowanie warunków ogólnych).

Zaleca się odświeżanie zgody w odpowiednich odstępach czasu. Ponadto musisz być w stanie wykazać, że osoba, której dane są przetwarzane, wyraziła na to zgodę - na przykład poprzez pisemne lub podpisane oświadczenie lub celowe działanie, takie jak zaznaczenie pola.

Wykonanie umowy

Przetwarzanie danych osobowych osoby fizycznej w celu wykonania umowy stanowi ważną podstawę prawną, na przykład w następujących przypadkach:

• Twoja organizacja musi przetwarzać dane osobowe osoby fizycznej w celu świadczenia usługi.
• Potencjalny klient poprosił Cię o wykonanie jakiejś czynności przed zawarciem umowy z Twoją organizacją – może on na przykład zażyczyć sobie oferty na świadczone przez Ciebie usługi, w związku z którymi być może będziesz musiał przetworzyć niektóre z jego danych osobowych.

Przetwarzanie musi być niezbędne do wykonania umowy. W praktyce oznacza to, że Twoja organizacja nie może przystąpić do realizacji umowy lub usługi bez przedmiotowych danych osobowych. Zaleca się, aby Twoja organizacja udokumentowała powody, dla których przetwarzanie danych osoby fizycznej jest niezbędne do wykonania umowy.

Ponadto, należy starać się zbierać jak najmniej danych osobowych niezbędnych do wykonania usługi umownej lub do podjęcia odpowiednich kroków przed zawarciem umowy. W szczególności nie można wykorzystywać umowy do sztucznego rozszerzania zakresu kategorii danych osobowych lub rodzajów operacji przetwarzania. Należy raczej upewnić się, że istnieje rzeczywiste wzajemne zrozumienie celu umowy, oparte na oczekiwaniach przeciętnej osoby fizycznej przy zawieraniu umowy.

Owa podstawa prawna może mieć również zastosowanie do niektórych działań związanych z gwarancją umowną oraz do niektórych działań, które mogą być racjonalnie przewidziane i konieczne w ramach zwykłej relacji umownej , takich jak wysyłanie formalnych przypomnień o zaległych płatnościach lub korygowanie błędów bądź opóźnień w wykonaniu umowy.

Ta podstawa prawna nie ma jednak zastosowania, jeżeli chcesz przetwarzać dane osobowe osoby fizycznej do celów marketingowych, w celu zapobiegania oszustwom, w związku z reklamą ukierunkowaną lub do jakichkolwiek innych celów związanych z modelem biznesowym Twojej organizacji. W takich przypadkach mogą być dostępne inne podstawy prawne, takie jak zgoda lub prawnie uzasadniony interes - pod warunkiem, że spełnione są odpowiednie kryteria.

Prawodawstwo może również narzucać przetwarzanie danych osobowych, nawet po rozwiązaniu umowy (na przykład w celu prowadzenia ewidencji do celów księgowych).

Oczywiście umowa musi być również ważna zgodnie z obowiązującym prawem.

W praktyce

• Jesteś firmą, która sprzedaje ubrania - zarówno przez Internet, jak i w sklepie stacjonarnym. Być może będziesz musiał przetwarzać niektóre dane osobowe swoich klientów, takie jak dane karty kredytowej, aby móc obsługiwać zakupy dokonane przez klientów. W takim przypadku przetwarzanie danych osobowych klientów może być niezbędne do wykonania umowy.
• Jesteś firmą oferującą ubezpieczenia domów. Potencjalny klient poprosił o wycenę polisy. W związku z tym niektóre z jego danych osobowych mogą być konieczne, aby przedstawić mu dokładną cenę za ubezpieczenie domu.
• Jesteś firmą, która sprzedaje książki, a niektórzy klienci dokonali ich zakupu. Podczas realizacji zakupu, być może zebrałeś niektóre z ich danych osobowych, które były niezbędne do przetworzenia transakcji. Teraz chcesz przetwarzać dane osobowe tych klientów, w tym dane dotyczące ich poprzednich zakupów, aby polecić im inne książki, które mogą ich zainteresować. W takim przypadku nie można powoływać się na podstawę prawną związaną z przetwarzaniem danych osobowych w celu wykonania umowy, ponieważ przetwarzanie danych klientów w celu reklamowania innych książek nie jest konieczne do wykonania umowy.
  W związku z tym Twoja firma będzie musiała zwrócić się do klientów z zapytaniem o zgodę na reklamowanie im innych książek lub - w zależności od okoliczności - może powoływać się na swój prawnie uzasadniony interes.
   

Przestrzeganie obowiązku prawnego ciążącego na administratorze

RODO przewiduje inną podstawę prawną, a mianowicie: przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego, który ciąży na administratorze danych.

Na tą podstawę prawną można się powołać w przypadku, gdy operacja przetwarzania jest narzucona organizacji na mocy przepisów unijnych lub krajowych. Dokładniej rzecz ujmując, muszą zostać spełnione cztery warunki:

• obowiązek prawny musi być określony w prawie unijnym lub krajowym, któremu podlega administrator;
• owe przepisy prawne muszą ustanawiać jasny i konkretny obowiązek przetwarzania tych danych osobowych;
• przepisy te muszą przynajmniej określać cele przetwarzania;
• obowiązek ten powinien zostać nałożony na administratora, a nie na osoby, których dane dotyczą.

Jeżeli warunki te nie są spełnione, operacja przetwarzania nie może opierać się na obowiązku prawnym i należy szukać innej podstawy prawnej.

RODO przewiduje wiele różnych okoliczności, w których administratorzy danych są prawnie zobowiązani do przetwarzania danych osobowych swoich klientów. Pracodawcy zwykle muszą na przykład przetwarzać dane osobowe swoich pracowników do celów ubezpieczenia społecznego lub przedsiębiorstwo często musi przetwarzać dane osobowe swoich klientów do celów podatkowych.

Żywotne interesy osoby fizycznej

Na przetwarzaniu danych w celu ochrony żywotnych interesów osoby fizycznej można polegać tylko w rzadkich i szczególnych przypadkach. Może tak być na przykład w przypadku konieczności przetwarzania danych osobowych w celu ochrony czyjegoś życia. Z RODO wynika jednak, że owa podstawa prawna ma bardzo ograniczony zakres i można się na nią powoływać wyłącznie w sytuacjach nadzwyczajnych.

W praktyce

Twoja organizacja oferuje wycieczki raftingowe. Podczas jednej ze zorganizowanych przez Ciebie wypraw jeden z uczestników został poważnie ranny. Stracił przytomność i musi uzyskać pilną opiekę medyczną w szpitalu. Twoja organizacja może być zmuszona do przekazania (= przetworzenia) danych osobowych tej osoby szpitalowi, który musi zastosować leczenie, by uratować jej  życie. W tym kontekście możesz przetwarzać dane tej osoby w celu ochrony jej żywotnego interesu. 

Interes publiczny

W niektórych szczególnych przypadkach Twoja organizacja może być w stanie przetwarzać dane osobowe osób fizycznych na potrzeby zadania realizowanego w interesie publicznym. W takim przypadku przetwarzanie musi mieć podstawę w prawie unijnym lub krajowym. Jego cel musi zostać określony w owej podstawie prawnej lub musi być niezbędny do wykonania zadania realizowanego w interesie publicznym bądź w ramach sprawowania władzy publicznej powierzonej administratorowi danych. W związku z tym owa podstawa prawna może być mieć zastosowanie, w szczególności dla operacji przetwarzania prowadzonych przez organy publiczne w celu wykonywania ich zadań.

W praktyce

Twoja organizacja jest praktyką medyczną, w której pracuje dentysta i lekarz rodzinny. Być może będziesz musiał przetwarzać zarówno dane osobowe dentysty, jak i lekarza rodzinnego, aby upewnić się, że ich kwalifikacje, a także moralne i etyczne postępowanie spełniają normy określone w kraju, w którym znajduje się Twoja praktyka medyczna. 

Prawnie uzasadniony interes

Twoja organizacja może przetwarzać dane osób fizycznych w sprawach dotyczących prawnie uzasadnionych interesów, pod warunkiem, że interesy te (handlowe, dotyczące ochrony własności itp.) nie powodują braku równowagi ze szkodą dla praw i interesów osób fizycznych.

Chociaż RODO i odpowiednie orzecznictwo Trybunału Sprawiedliwości Unii Europejskiej (TSUE) zawierają przykłady prawnie uzasadnionych interesów, nie istnieje ich wyczerpujący wykaz.

Musisz jednak upewnić się, że interes ten spełnia pewną liczbę wymogów:

• musi być zgodny z prawem, jasny, rzeczywisty i obecny;
• przetwarzanie musi być niezbędne do realizacji tego interesu;
• prawnie uzasadniony interes musi uwzględniać prawa osoby fizycznej do ochrony danych, których nie można uchylić. W kontekście tego wymogu administrator musi wyważyć swój prawnie uzasadniony interes oraz interesy lub podstawowe prawa i wolności osób fizycznych, a także rozważyć, czego mogą one racjonalnie oczekiwać. Równoważenie to musi być dokonywane w świetle konkretnych warunków, w jakich operacje te są przeprowadzane.

W praktyce

Prowadzisz firmę remontową. Jeden z Twoich klientów kwestionuje jakość remontu kuchni i odmawia zapłaty rachunku w całości. W pierwszej kolejności przekazujesz dane klienta swojemu prawnikowi w celu wynegocjowania ugody z klientem.  Ponieważ klient nadal odmawia zapłaty, angażujesz agencję windykacyjną. Przekazujesz jej tylko dane osobowe niezbędne do przeprowadzenia przez nią procedury windykacji długu, a agencja przeprowadza tylko ograniczone kontrole w celu potwierdzenia danych kontaktowych klienta i wszczęcia postępowania sądowego.

Chociaż pierwszy krok może nadal wchodzić w zakres przetwarzania niezbędnego do wykonania umowy, to dalsze podjęte kroki, takie jak zaangażowanie agencji windykacyjnej, można uznać za leżące w prawnie uzasadnionym interesie administratora. Ponieważ działania podejmowane przez agencję nie są zbyt inwazyjne, a ich wpływ na klienta jest ograniczony, prawnie uzasadniony interes może być odpowiednią podstawą prawną.

Przetwarzanie wrażliwych danych osobowych

Dodatkowe wymogi mają zastosowanie w przypadku zamiaru przetwarzania danych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe bądź przynależność do związków zawodowych, a także w przypadku przetwarzania danych genetycznych, danych biometrycznych w celu jednoznacznego zidentyfikowania osoby fizycznej, danych dotyczących zdrowia, seksualności bądź orientacji seksualnej osoby fizycznej. Te szczególne kategorie danych są powszechnie nazywane „danymi wrażliwymi”.

Przetwarzanie danych wrażliwych jest zasadniczo zabronione, z wyjątkiem następujących przypadków szczególnych.

• Osoba fizyczna udzieliła wyraźnej zgody na przetwarzanie jej danych wrażliwych.
• Przetwarzanie danych wrażliwych jest niezbędne do wypełnienia przez administratora danych obowiązków, w szczególności w kontekście zatrudnienia, zabezpieczenia społecznego i ochrony socjalnej. Administrator danych może być na przykład zmuszony do przetwarzania danych wrażliwych danej osoby, aby móc ustalić, czy jest ona uprawniona do niektórych świadczeń z zabezpieczenia społecznego lub stypendiów pracowniczych.
• Przetwarzanie danych wrażliwych jest niezbędne do ochrony żywotnych interesów osoby fizycznej, jeżeli jest ona fizycznie lub prawnie niezdolna do wyrażenia zgody. Jeśli dana osoba jest na przykład nieprzytomna w wyniku wypadku i wymaga natychmiastowej opieki medycznej, jej szczególne kategorie danych osobowych mogą wymagać przetwarzania w celu zapewnienia odpowiedniej opieki medycznej.
• Przetwarzanie danych wrażliwych odbywa się w kontekście uprawnionej działalności fundacji, stowarzyszenia lub innego niezarobkowego podmiotu o celach politycznych, światopoglądowych, religijnych lub związkowych i wyłącznie w celu przetwarzania danych osobowych członków lub byłych członków tego podmiotu lub osób utrzymujących z nim stałe kontakty.
• Dane wrażliwe zostały w sposób oczywisty upublicznione przez osoby fizyczne.
• Przetwarzanie danych szczególnie chronionych jest niezbędne w kontekście postępowania prawnego.
• Przetwarzanie danych wrażliwych jest niezbędne w sprawach leżących w istotnym interesie publicznym.
• Przetwarzanie danych wrażliwych jest niezbędne do celów profilaktyki zdrowotnej lub medycyny pracy. Ocena danych wrażliwych danej osoby fizycznej, takich jak jej dane medyczne, może być na przykład konieczna do określenia jej zdolności do wykonywania pracy.
• Przetwarzanie danych wrażliwych jest niezbędne w sprawach zdrowia publicznego, na podstawie prawa UE lub prawa krajowego. Przetwarzanie danych szczególnie chronionych osób fizycznych może być na przykład konieczne do zapewnienia wysokiej jakości opieki zdrowotnej i wysokiej jakości produktów medycznych lub w celu zwalczania poważnych zagrożeń dla zdrowia, takich jak wirusy.
• Przetwarzanie danych wrażliwych jest niezbędne do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych. Przetwarzanie danych wrażliwych może być na przykład konieczne do dostarczenia dokładnych statystyk dotyczących sytuacji danego kraju w danej dziedzinie.

Lista kontrolna dotycząca przetwarzania wrażliwych danych osobowych

• Zadaj sobie pytanie, czy do celów planowanego przetwarzania musisz przetwarzać szczególne kategorie danych osobowych danej osoby fizycznej.
• Określ podstawę prawną (= uzasadnienie prawne) przetwarzania danych osobowych osoby fizycznej. Zapoznaj się z art. 6 RODO.
• Określ, czy spełnione są dodatkowe warunki przetwarzania danych wrażliwych. Zapoznaj się z art. 9 RODO.
• Określ ryzyka i zabezpieczenia w zakresie ochrony danych, takie jak środki techniczne i organizacyjne, które Twoja organizacja może być zmuszona wprowadzić przy przetwarzaniu szczególnych kategorii danych osobowych osób fizycznych.
• Nie zapomnij o prowadzeniu rejestru powodów przetwarzania szczególnych kategorii danych osobowych danej osoby fizycznej, ryzyka, z jakim może się to wiązać oraz środków wprowadzonych w celu ograniczenia owego ryzyka.