Przetwarzanie jakich danych może być przedmiotem sprzeciwu?
Podmiot danych nie jest uprawniony do wniesienia sprzeciwu w nieograniczonym zakresie, a jedynie w stosunku do danych przetwarzanych:
a) w zakresie niezbędnym do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi (art. 6 ust. 1 lit. e RODO) oraz celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub stronę trzecią (art. 6 ust. 1 lit. f RODO), w tym także wobec profilowania na podstawie ww. przepisów – z przyczyn związanych ze szczególną sytuacją osoby, której dane dotyczą,
b) na potrzeby marketingu bezpośredniego, w tym także do sprzeciwu wobec profilowania – w zakresie, w jakim ich przetwarzanie jest związane z marketingiem bezpośrednim,
c) do celów badań naukowych lub historycznych, a także statystycznych na mocy art. 89 ust. 1 RODO – z przyczyn związanych z jej szczególną sytuacją chyba, że przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym.
Po wniesieniu sprzeciwu, do czasu stwierdzenia, czy prawnie uzasadnione podstawy po stronie administratora faktycznie są nadrzędne wobec podstaw sprzeciwu osoby fizycznej, może dojść do tzw. ograniczenia przetwarzania, czyli czasowego bądź stałego powstrzymania się od przetwarzania danych w żądanym przez osobę fizyczną zakresie. W takiej sytuacji inne operacje na danych osobowych można wykonywać jedynie: (a) za zgodą osoby, której dane dotyczą, (b) w celu ustalenia, dochodzenia lub obrony roszczeń, (c) w celu ochrony praw innej osoby fizycznej lub prawnej, lub (d) z uwagi na ważne względy interesu publicznego Unii Europejskiej lub państwa członkowskiego.
Polecamy: RODO - ochrona danych osobowych. Przewodnik po zmianach
Jak wnieść skuteczny sprzeciw?
RODO nie precyzuje formy, w jakiej podmiot danych powinien wnieść sprzeciw. Może on zostać zatem wniesiony w formie dowolnej, tj. zarówno w drodze pisemnej, ustnej, jak i elektronicznej (zwłaszcza, gdy dane osobowe są przetwarzane drogą elektroniczną) czy chociażby faksem. Jednocześnie motyw 59 preambuły do RODO statuuje, iż administrator powinien wdrożyć odpowiednie procedury umożliwiające i ułatwiające podmiotowi danych wykonywanie prawa do sprzeciwu. Jeśli chodzi natomiast o kwestię odpłatności realizacji prawa do sprzeciwu, RODO nie odrzuca możliwości uzależnienia realizacji tegoż prawa od wniesienia stosownej opłaty. Z jednym jednak wyjątkiem – sprzeciwem wobec przetwarzania danych do celów marketingu bezpośredniego, który w żaden sposób nie powinien wiązać się z jakąkolwiek formą odpłatności po stronie podmiotu danych (motyw 70 preambuły do RODO).
Żądanie zaprzestania przetwarzania danych powinno być wyraźne, a jego treść niebudząca wątpliwości. Mimo że w doktrynie pojawiały się głosy, iż sprzeciw wobec przetwarzania może być dorozumiany z oświadczenia woli o innej treści lub z innej czynności prawnej, na gruncie najbardziej aktualnych komentarzy takie stanowisko jest stopniowo odrzucane, a utrwalona praktyka zaczyna skłaniać się ku konieczności wyrażenia sprzeciwu w sposób jednoznaczny i konkretny.
Zobacz: RODO w firmie
Jakie obowiązki ciążą na administratorze w związku z realizacją prawa do sprzeciwu?
Wniesienia sprzeciwu wobec przetwarzania danych osobowych nie należy utożsamiać z powstaniem po stronie administratora obowiązku do uczynienia zadość żądaniu osoby, której dane dotyczą. Taki sprzeciw, nawet w przypadku, gdy nie opiera się na żadnej argumentacji i nie jest w żaden sposób uzasadniony, jest dla administratora wiążący tylko gdy dotyczy danych przetwarzanych na potrzeby marketingu bezpośredniego.
W sytuacji, w której podmiot na podstawie art. 6 ust. 1 lit. e lub f RODO zgłasza sprzeciw wobec przetwarzania danych dotyczących jego osoby musi go w odpowiedni sposób umotywować i wykazać, iż przyczyną sformułowanego sprzeciwem żądania jest jego szczególna sytuacja. Przez sytuację taką należy rozumieć okoliczności nieistniejące w momencie zbierania danych od osoby, której one dotyczą, a w przypadku pozyskiwania danych osobowych w sposób inny niż bezpośrednio od osoby, której dane dotyczą, okoliczności, które – nawet jeśli w momencie pozyskania danych istniały – nie były znane zarządzającemu nimi administratorowi. Drugi warunek, który spełniony powinien zostać przy wnoszeniu sprzeciwu, to zagrożenie szeroko pojętego interesu osoby, której dane dotyczą. Warto mieć na uwadze, iż podmiot danych nie musi udowadniać, że do jakiegokolwiek naruszenia doszło, a wyłącznie, iż takie ryzyko w ogóle istnieje.
Jeśli żądanie osoby, której dane dotyczą jest uzasadnione, tj. spełnia wyżej opisane przesłanki, administrator musi uczynić jemu zadość i zaprzestać przetwarzania danych. Odmowa uwzględnienia sprzeciwu wobec przetwarzania danych może mieć miejsce wyłącznie w sytuacji, gdy administrator wykaże, iż:
- istnieją ważne prawnie uzasadnione podstawy do przetwarzania, nadrzędne wobec interesów, praw i wolności osoby, której dane dotyczą, lub
- istnieją podstawy do ustalenia, dochodzenia lub obrony roszczeń.
Natomiast w obliczu sprzeciwu na mocy art. 89 ust. 1 RODO skierowanego wobec przetwarzania danych do celów badań naukowych lub historycznych, a także statystycznych konieczne jest wykazanie przez podmiot danych istnienia po jego stronie tzw. szczególnej sytuacji. Należy jednak zwrócić uwagę, iż administrator może odmówić uwzględnienia sprzeciwu jedynie wtedy, gdy przetwarzanie takich danych jest niezbędne do wykonania zadania realizowanego w interesie publicznym.
Jeśli w ocenie administratora nie będzie żadnych z przesłanek uzasadniających dalsze przetwarzanie danych objętych sprzeciwem, po stronie administratora materializuje się obowiązek zaprzestania ich dalszego przetwarzania. Co jednak w sytuacji, w której administrator i podmiot danych reprezentują sprzeczne stanowiska co do zasadności wniesionego sprzeciwu? Art. 77 RODO wyposaża każdą osobę, której dane dotyczą, a która sądzi, że przetwarzanie ich narusza przepisy RODO, w prawo wniesienia skargi do organu nadzorczego. Organ ten, po przeprowadzeniu postępowania wyjaśniającego w zakresie złożonej skargi, może skorzystać z przysługującego mu uprawnienia naprawczego i nakazać administratorowi spełnienie żądania osoby wnoszącej sprzeciw wobec przetwarzania jej danych osobowych (art. 58 ust. 2 lit. c RODO).
Zobacz: Prawo dla firm
Autor: Agata Kłodzińska, Specjalista ds. ochrony danych, ODO 24.