Jak określić podstawę przetwarzania danych osobowych?

Ogólne rozporządzenie o ochronie danych osobowych określa sytuacje, w których przetwarzanie jest legalne. Wystarczy, że jest spełniony jeden z warunków z artykułów 6, 9 lub 10 (a w przypadku zgody i przetwarzania danych dzieci także należy uwzględnić wymagania artykułów 7 i 8) i możemy uznać przetwarzanie danych osobowych za zgodne z przepisami prawa.

Wydaje się bardzo proste, ale to tylko pozory. W praktyce okazuje się, że często trudno jest jednoznacznie wskazać podstawę legalizującą przetwarzanie, nawet gdy działa się zgodnie z konkretnym przepisem prawa, ciężko jest uzasadnić, że to właśnie ten przepis reguluje celowość oraz adekwatność przetwarzania danych, w szczególności zakres niezbędnych do realizacji celu danych. Należy także zwrócić uwagę, że przesłanki legalizujące przetwarzanie mogą zachodzić jednocześnie (nie są wykluczające).

Punkt wyjścia: przed rozpoczęciem szukania przesłanki legalizującej przetwarzanie danych osobowych, należy najpierw przeczytać artykuły 6-10 RODO. Często, szczególnie przy przetwarzaniu danych szczególnych kategorii, można odnaleźć od razu informację, że dane przetwarzanie jest legalne, jeżeli służy wskazanym celom.

Polecamy: RODO na przykładach. Najczęściej zadawane pytania

Krok 1 – szukanie przepisu prawa

Szukanie uzasadnienia dla przetwarzania danych w przepisach wymaga cierpliwości oraz minimalnej wiedzy w zakresie tego, jakie przepisy regulują podstawy działania administratora danych (czyli gdzie szukać).

Znalezienie odpowiedniego przepisu prawa legalizującego przetwarzanie nie oznacza końca pracy. Należy ustalić celowość i adekwatność zakresu przetwarzanych danych.

Tutaj zwracam szczególną uwagę, na art. 6 ust. 1 lit. e: przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi. Bardzo często przepis wskazuje obowiązek wykonania pewnych działań, jednak nie określa wprost uprawnienia do przetwarzania danych osobowych. Jednocześnie realizacja obowiązku wynikającego z przepisu prawa byłaby niemożliwa, bez przetwarzania danych osobowych.

Krok 2 – rozłożenie przetwarzania na „czynniki pierwsze”

Jeżeli nie udało się znaleźć uzasadnienia w przepisach prawa lub nie ma pewności, czy jest to wystarczające, należy odpowiedzieć sobie na pytanie: do czego są potrzebne te dane? Czy na pewno z osobą, której dane dotyczą nie zostanie zawarta umowa (konsumencka, zlecenie, itp.)? Czy przetwarzanie tych danych jest niezbędne podmiotowi publicznemu do realizacji jego obowiązków ustawowych? Może zapewnienie bezpieczeństwa (czyli prawnie usprawiedliwiony interes administratora) jest wystarczającym uzasadnieniem? Jeżeli na żadne z zadanych pytań nie ma pozytywnej odpowiedzi, należy sięgnąć po zgodę. Jednakże powinna to być ostateczność. W Internecie (szczególnie na archiwalnych stronach GIODO) znajduje się dużo cennych wytycznych w zakresie legalności przetwarzania danych. Sama chętnie sięgam po poradnik Urzędu Ochrony Danych Osobowych, czy wytyczne ERODO (dawniej Grupa Robocza 29). Szczególnie te ostatnie są źródłem bardzo rzetelnej wiedzy, z której korzystam bardzo często. Moim ostatnim odkryciem jest Kodeks RODO dla branży medycznej (na razie jest to propozycja Kodeksu złożona do certyfikacji) – naprawdę wiele tematów (wykraczających poza branżę medyczną) zostało tam omówionych bardzo rzeczowo i kompleksowo.