Podstawy przetwarzania danych osobowych (art. 6 RODO)

Art. 6 ust. 1 lit. a RODO: Zgoda osoby, której dane dotyczą

Jest to prawdopodobnie najbardziej znana, ale mimo wszystko nie tak prosta do zrozumienia, podstawa przetwarzania danych.

Jeśli przetwarzasz dane, bo dana osoba wyraziła na to zgodę, robisz prawidłowo. Trzeba jednak wiedzieć, że zgoda musi spełniać określone warunki, które znajdują się w art. 7 RODO i motywach 32, 42 i 43 preambuły. Te precyzują, że zgoda:

• musi być dobrowolna, konkretna, świadoma i jednoznaczna,

• nie może być warunkiem skorzystania z usługi (chyba że dane są do tego niezbędne),

• musi być łatwa do wycofania, w taki sam sposób, jak była udzielona,

• nie może być domniemana – brak sprzeciwu lub milczenie to zbyt mało.

Warto poruszyć tutaj kwestię checkboxów typu: „Wyrażam zgodę na przetwarzanie danych osobowych w celu marketingowym.” Jak wskazują przepisy, muszą być one odznaczone domyślnie. Oznacza to, że osoba, której dane mają być przetwarzane, musi samodzielnie je zaznaczyć.

Przykład:

E-commerce z odzieżą oferuje 10% rabatu na kolejne zakupy online w zamian za zapisanie się do newslettera. Klient podaje imię i adres e-mail, a zgoda na przetwarzanie danych w celach marketingowych jest udzielana poprzez zaznaczenie checkboxa. Jeśli w każdej wiadomości e-mail znajduje się link umożliwiający łatwe wycofanie zgody, jest to poprawne zastosowanie podstawy zgody. W tym przypadku klient sam decyduje, że chce otrzymywać informacje handlowe.

Art. 6 ust. 1 lit. b RODO: Wykonanie umowy lub działania przed jej zawarciem

Podstawą przetwarzania danych osobowych jest również konieczność wykonania umowy, której stroną jest osoba, której dane dotyczą, lub podjęcie działań na jej żądanie przed zawarciem umowy. Co to dokładnie oznacza?

Ta podstawa prawna ma zastosowanie w przypadku:

• przygotowania oferty dla klienta na jego prośbę (może to być np. wycena usługi czy kalkulacja kosztów),

• zawarcia umowy sprzedaży, zlecenia, najmu itp.,

• realizacji tej umowy (np. wysyłka zamówienia, kontakt w sprawie dostawy czy obsługa złożonej reklamacji).

Uwaga! Podstawa z art. 6 ust. 1 lit. b RODO nie obejmuje działań e-marketingu, nawet jeśli dotyczą tej samej umowy! Wysyłanie newslettera, udostępnianie ankiet czy ofert dodatkowych są już innymi celami. Wobec tego wymagają osobnej podstawy prawnej, np. udzielenia zgody, zgodnie z lit. a., lub prawnie uzasadnionego interesu zgodnie z lit. f., którą omawiamy w dalszej części.

Jeśli chodzi o art. 6. ust. 1. lit .b:

• Przetwarzanie danych musi być bezpośrednio związane z wykonaniem umowy. Nie może być około umowne.

• Nie możesz zbierać danych na zapas, jeśli nie mają znaczenia dla wykonania usługi.

• Po rozwiązaniu umowy dane można przetwarzać tylko w zakresie niezbędnym do rozliczeń, archiwizacji lub ewentualnych roszczeń, ale wtedy zmienia się podstawa prawna.

Przykład:

Osoba X zapisuje się na kurs językowy online. Podaje swoje imię, nazwisko, adres e-mail, numer telefonu i wybiera termin zajęć. Dane te są niezbędne do realizacji umowy, bo kurs musi być dostosowany do grupy, a kontakt telefoniczny adres e-mail są potrzebne w razie odwołania zajęć lub przesunięcia terminu.

W tym przypadku przetwarzanie danych opiera się na art. 6 ust. 1 lit. b RODO. Bez tych informacji umowa nie mogłaby być wykonana.

Art. 6 ust. 1 lit. c RODO: Wypełnienie obowiązku prawnego ciążącego na administratorze

Kolejna podstawa legalizująca przetwarzanie danych osobowych to obowiązek prawny. Mówiąc prosto: jeżeli konkretne przepisy prawa nakazują Ci zbierać lub przetwarzać dane osobowe, możesz robić to właśnie na podstawie art. 6 ust. 1 lit. c RODO.

Jest to najczęściej stosowana podstawa w przypadku pracodawców w kontekście obowiązków wynikających z Kodeksu pracy i ubezpieczeń społecznych, przedsiębiorców podlegających obowiązkom księgowym i podatkowym oraz instytucji publicznych w przypadku rekrutacji urzędników czy postępowaniach administracyjnych.

Najważniejsze warunki, o których warto pamiętać:

• Obowiązek przetwarzania danych musi wynikać wprost z przepisów prawa krajowego lub unijnego (ustawa, rozporządzenie).

• Administrator nie może przetwarzać więcej danych niż wymagają przepisy. Przykładowo nie możesz zbierać numerów PESEL, jeśli ustawa tego nie wymaga.

• Dane mogą być przetwarzane tak długo, jak długo trwa obowiązek prawny. Przeczytaj: Jak długo przechowywać dane osobowe?

Przykład:

Pracodawca zatrudnia nowego pracownika. W związku z tym musi przekazać jego dane do ZUS i urzędu skarbowego. Musi także przechowywać jego dokumentację kadrową przez wymagany okres. Wszystko to odbywa się na podstawie przepisów Kodeksu pracy, ustawy o ubezpieczeniach społecznych i ustawy o rachunkowości.

Podstawą prawną przetwarzania tych danych jest w tym przypadku właśnie art. 6 ust. 1 lit. c RODO: wypełnianie obowiązku prawnego ciążącego na administratorze.

Art. 6 ust. 1 lit. d RODO: Ochrona żywotnych interesów osoby, której dane dotyczą

Ta podstawa prawna jest stosowana najrzadziej. Mimo to pełni bardzo ważną rolę, szczególnie w sytuacjach nagłych, kiedy zagrożone jest życie lub zdrowie człowieka. Umożliwia przetwarzanie danych osobowych bez zgody osoby, gdy jest to konieczne do ratowania jej żywotnych interesów.

Kiedy możesz się na nią powołać?

• Gdy osoba nie może wyrazić zgody, ponieważ jest nieprzytomna, niezdolna do komunikacji, a sytuacja wymaga szybkiej reakcji.

• Kiedy nie ma innej podstawy prawnej, a przetwarzanie danych jest niezbędne dla dobra tej osoby.

• W kontekście ratownictwa medycznego, wypadków, nagłych zachorowań, ochrony życia dzieci, seniorów czy osób z niepełnosprawnością.

Przykład:

Ratownik medyczny podejrzewa zawał serca u nieprzytomnego pacjenta. Przeszukuje jego portfel w poszukiwaniu dokumentów tożsamości, aby uzyskać dane kontaktowe i historię choroby. W tej sytuacji przetwarza dane osobowe, mimo że nie ma na to zgody pacjenta. Robi to w oparciu o art. 6 ust. 1 lit. d RODO, ponieważ jest to konieczne dla ochrony żywotnych interesów osoby fizycznej.

Pamiętaj!

• Ta podstawa prawna nie obejmuje sytuacji, gdy możesz spokojnie poczekać na zgodę lub oprzeć się na innej podstawie prawnej lub umownej.

• Nie może być nadużywana. Powinna być stosowana wyłącznie w wyjątkowych, uzasadnionych przypadkach.

Art. 6 ust. 1 lit. e RODO: Wykonanie zadania realizowanego w interesie publicznym lub sprawowanie władzy publicznej

Art. 6 ust. 1 lit. e dotyczy przede wszystkim organów administracji publicznej, szkół, uczelni, sądów, policji, szpitali publicznych i innych podmiotów wykonujących zadania o charakterze publicznym.

Dane osobowe mogą być przetwarzane bez zgody, jeśli jest to konieczne do realizacji obowiązków wynikających z prawa, które zostały nałożone w interesie publicznym.

Interes publiczny oznacza sytuacje, w których działania instytucji służą społeczeństwu: ich bezpieczeństwu, zdrowiu publicznemu, edukacji, ochronie środowiska i porządkowi publicznemu. Muszą być one określone w przepisach prawa.

Przykłady:

• Urząd Gminy przetwarza dane mieszkańców w celu realizacji świadczeń socjalnych.

• Szkoła publiczna prowadzi dzienniki elektroniczne zawierające dane uczniów i rodziców, aby realizować obowiązek edukacyjny.

• Sanepid zbiera dane zakażonych i osób przebywających na kwarantannie, aby zapobiegać szerzeniu się chorób zakaźnych.

• Policja przetwarza dane sprawców wykroczeń i przestępstw w celu realizacji zadań wynikających z ustawy.

• Sąd przetwarza dane uczestników postępowania.

Uwaga! Podmiot przetwarzający dane na tej podstawie musi działać zgodnie z prawem. Nie wystarczy ogólne powołanie się na interes publiczny. Zakres przetwarzania danych nie może wykraczać poza to, co wynika z przepisów.

Art. 6 ust. 1 lit. f RODO: Prawnie uzasadniony interes administratora

Tę podstawę prawną stosuje się najczęściej w sektorze prywatnym. Dotyczy ona sytuacji, gdy administrator danych nie potrzebuje zgody, ponieważ ma tzw. uzasadniony interes, np. w zakresie marketingu, dochodzenia roszczeń lub zapewnienia bezpieczeństwa.

Ważne! Podstawa wymaga zawsze przeprowadzenia testu równowagi, czyli sprawdzenia, czy interes administratora nie przeważa nad interesami lub prawami osoby, której dane dotyczą.

Prawnie uzasadniony interes jest celem zgodnym z prawem, realnym i konkretnym, a jego realizacja nie narusza praw i wolności osoby, której dane dotyczą.

W związku z tym administrator musi:

1. Określić swój uzasadniony interes.

2. Sprawdzić, czy przetwarzanie danych jest konieczne do jego realizacji.

3. Ocenić, czy interes administratora nie koliduje z prawami osoby fizycznej.

4. Udokumentować test w polityce prywatności lub rejestrze czynności przetwarzania.

Przykłady przetwarzania danych wg. omawianej podstawy:

• Monitoring wizyjny na terenie firmy w celu ochrony mienia i zapewnienia bezpieczeństwa.

• Marketing bezpośredni – np. wysyłanie informacji handlowych do aktualnych klientów (ale nie potencjalnych, jeśli nie ma wcześniejszej relacji).

• Windykacja należności – przekazanie danych dłużnika do firmy windykacyjnej.

• Utrzymywanie relacji z klientem – przypomnienie o zbliżającej się wizycie, przesyłanie faktur, analiza satysfakcji z wykonanej usługi.

• Zapewnienie cyberbezpieczeństwa – rejestrowanie logów, wykrywanie prób włamań, ochrona danych przed nieautoryzowanym dostępem.

Kiedy nie można stosować tej podstawy prawnej? Nie dotyczy ona organów publicznych, realizujących zadania publiczne, które nie mogą powoływać się na uzasadniony interes. Nie można stosować jej rownież wtedy, gdy przetwarzanie danych jest wymagane prawem. Wówczas podstawą będzie art. 6. ust. 1 lit. C RODO. Nie można powoływać się na przepisy z lit. f., gdy osoba, której dane dotyczą, ma wyraźne podstawy do sprzeciwu. Może to być sytuacja dot. profilowania marketingowego.

W czym może pomóc nasza kancelaria?

W obszarze RODO istnieje wiele wyzwań, a zastosowanie odpowiedniej podstawy prawnej jest jednym z najważniejszych. Wymaga to znajomosci przepisów i doświadczenia w ich zastosowaniu praktycznym. Dlatego nasza kancelaria wspiera firmy w wyborze właściwych podstaw przetwarzania, aby były one zgodne z prawem, zrozumiałe dla klientów i zabezpieczające w razie kontroli.

Pomagamy w:

• Analizie procesów i danych – ustalamy, która podstawa przetwarzania będzie najbardziej adekwatna do sytuacji.

• Przygotowaniu dokumentacji RODO – klauzul informacyjnych, rejestrów czynności, wzorów zgód.

• Weryfikacji zgodności z przepisami – sprawdzamy, czy działania marketingowe, HR-owe czy sprzedażowe są legalne pod względem przetwarzania danych.

Wsparciu w razie kontroli UODO – zapewniamy pomoc prawną w kontaktach z urzędem i podczas postępowań.

Pytania i odpowiedzi

Zaufali nam