6 podstaw prawnych przetwarzania danych osobowych zwykłych w firmie

Prowadzisz działania marketingowe w swojej firmie? Kontaktujesz się z klientami? A możesz masz własny sklep online lub stronę www? Jeśli chociaż na jedno pytanie odpowiedź brzmi „tak”, musisz wiedzieć więcej na temat przepisów RODO. Jednym z niezwykle istotnych zagadnień jest kwestia podstaw przetwarzania danych, dziś wyróżniamy ich 6. Czy znasz je wszystkie? W tym artykule krok po kroku przeprowadzę Cię po dostępnych opcjach, a to pomoże Ci spełnić obowiązki wynikające z rozporządzenia. Sprawdź!

Czym są podstawy przetwarzania danych osobowych i gdzie ich szukać?

Zasady dotyczące przetwarzania danych osobowych są określone w Rozporządzeniu o Ochronie Danych Osobowych, a proces ich przetwarzania będzie legalny tylko wtedy, gdy spełnisz odpowiednie warunki. Rozporządzenie określa dwie główne zasady:

• przetwarzanie danych standardowych jest dozwolone, o ile spełniona jest przynajmniej jedna z podstaw wymienionych w art. 6 ust. 1 RODO;
• istnieje generalny zakaz przetwarzania danych szczególnie wrażliwych, chyba że występują wyjątki określone w art. 9 ust. 2 RODO.

Powyższe ograniczenia w przetwarzaniu danych osobowych, określone w RODO, nie mają zastosowania do osób fizycznych przetwarzających dane w celach osobistych, np. przechowywanie adresów e-mail w prywatnej skrzynce pocztowej.

Kiedy możesz przetwarzać dane osobowe zwykłe (art. 6 ust. 1)

Każda z tych podstaw może wystarczyć indywidualnie, co oznacza, że jeśli spełnisz (jako Administrator Danych) tylko jedną z nich, to wypełnisz zasady legalności przetwarzania danych. Możliwe jest też, że kilka z nich wystąpi równocześnie, ale pamiętaj, że są one równorzędne i żadna nie przeważa nad inną. Przyjrzyjmy się teraz każdej z podstaw.

Przetwarzanie na podstawie zgody

Wyrażenie zgody jest jedną z najczęściej używanych podstaw przetwarzania. Często np. udzielamy zgody na wysyłkę oferty handlowej czy newslettera. Samo wyrażenie zgody zgodnie z RODO jest oparte na systemie opt-in, czyli wymaga określonej aktywności osoby, która tę zgodę ma wyrazić np. w jakimś formularzu zaznacza checkbox.

Jako Administrator masz obowiązek umożliwić również cofnięcie zgody. Jest to prawo osoby, której dane dotyczą. Co więcej, może z tego prawa skorzystać w dowolnym momencie. Dlatego cofnięcie zgody powinno być równie proste, jak jej udzielenie. Jak to wygląda w praktyce? Jeśli np. zgoda była pozyskana przez zaznaczenie checkboxa przy zapisywaniu się na newsletter, jej wycofanie powinno być możliwe poprzez link umieszczony w stopce otrzymywanych e-maili. Jednocześnie po wycofaniu zgody, gdy nie posiadasz innej podstawy przetwarzania danych, dalsze ich przetwarzanie jest niedozwolone.

Pamiętaj, że korzystanie ze zgody jako podstawy przetwarzania nie zwalnia Cię z obowiązku przestrzegania innych zasad określonych w art. 5 ust. 1 RODO, takich jak:

• rzetelność,
• przejrzystość,
• ograniczenie celu,
• minimalizacja danych oraz ich poprawność.

Zgoda nie powinna być udzielana, jeśli jest nieadekwatna lub nadmierna w stosunku do celu, dla którego dane zbierasz.

Przetwarzanie niezbędne do wykonania umowy

Drugą najczęściej wykorzystywaną podstawą prawną jest przetwarzanie danych osobowych niezbędne do wykonania umowy. Tę podstawę można rozłożyć na dwie główne kategorie:

a)Przetwarzanie danych w celu podjęcia działań przed zawarciem umowy.
W życiu gospodarczym często zdarza się, że strony wymieniają informacje jeszcze przed sfinalizowaniem umowy. To etap nawiązywania relacji, ustalania szczegółów współpracy i formułowania warunków, które zostaną później podpisane lub zaakceptowane. Zakres przekazywanych danych różni się w zależności od typu umowy oraz charakteru relacji między stronami. RODO nie określa konkretnej formy, w jakiej powinno nastąpić żądanie podjęcia działań przed zawarciem umowy, co oznacza, że może ono przyjąć formę elektroniczną, pisemną czy bezpośrednią.

b)Przetwarzanie danych w celu wykonania umowy.
Ta podstawa ma miejsce, gdy:

• umowa jest zawarta bezpośrednio z osobą, której dane dotyczą;
• bez przetwarzania danych osobowych tej osoby niemożliwe jest prawidłowe wykonanie umowy (przetwarzanie jest niezbędne);
• dane osobowe są przetwarzane wyłącznie w celu realizacji umowy.

W przeciwieństwie do przetwarzania opartego na zgodzie korzystanie z podstawy konieczności wykonania umowy ogranicza się tylko do zwykłych danych osobowych, bez danych wrażliwych - nie możesz ich przetwarzać na tej podstawie do wykonania umowy.
Istotne jest również to, jak długo dane mogą być przetwarzane na tej podstawie. Skoro przetwarzanie jest niezbędne do wykonania umowy, możesz je przetwarzać tak długo, jak obowiązuje umowa łącząca Cię z podmiotem danych.

W praktyce rynkowej często zdarza się, że Administrator musi współpracować z podmiotami trzecimi w celu realizacji obowiązków wynikających z umowy, np. zleca część prac podwykonawcom, a tym samym musi im przekazać lub powierzyć część danych, które otrzymał. RODO określa dwie podstawy prawne dla przekazywania danych osobowych tym podmiotom:

• Udostępniasz dane innemu Administratorowi Danych Osobowych.

Sytuacja ma miejsce, gdy dane są przekazywane między podmiotami pełniącymi rolę administratora danych. Przykład? Usługi kurierskie - Administrator, któremu dane przekazujesz, ma własne cele i podstawy prawne do ich przetwarzania.

• Powierzasz przetwarzanie danych osobowych Podmiotowi Przetwarzającemu.

Może się zdarzyć tak, że dane przekażesz podmiotom, które będą je przetwarzać w imieniu i na rzecz Administratora (czyli Ciebie) np. przy zleceniu usług księgowych. Warunkiem legalnego przetwarzania w takim przypadku jest zawarcie umowy o powierzenie przetwarzania danych.

Przetwarzanie niezbędne do spełnienia obowiązku prawnego administratora

Czyli obowiązek przetwarzania danych osobowych, do którego zobowiązuje Cię konkretny przepis prawa, a najbardziej oczywistym przykładem jest przetwarzanie danych związanych z umową o pracę. Jako pracodawca lub pracodawczyni przetwarzasz nie tylko dane niezbędne do zawarcia umowy, ale także te wymagane przez Kodeks pracy oraz dodatkowe informacje o pracowniku, które są konieczne do wypełnienia obowiązków emerytalnych i podatkowych.

Przetwarzanie niezbędne do ochrony żywotnych interesów

Przykładem zastosowania tej podstawy może być szpital, w którym leczony jest pacjent po wypadku drogowym. Szpital nie potrzebuje zgody na wykorzystanie danych z jego dowodu tożsamości. Bez niej może np. sprawdzić, czy w bazie danych szpitala znajduje się wcześniejsza dokumentacja medyczna pacjenta (np. alergie na określone leki) lub skontaktować się z jego rodziną.

Przetwarzanie niezbędne do wykonania zadania realizowanego w interesie publicznym

Kolejna podstawa prawna, ale rzadko stosowana w praktyce rynkowej (głównie korzystają z niej organy władzy publicznej lub inne podmioty, które realizują zadania w interesie publicznym). W obrocie gospodarczym, gdzie występują prywatne działalności, możesz się spotkać z przetwarzaniem danych na tej podstawie np. w stowarzyszeniach zawodowych, takich jak izba lekarska, mogą one korzystać z tej podstawy do przeprowadzania postępowań dyscyplinarnych wobec swoich członków.

Przetwarzanie zgodnie z prawnie uzasadnionym interesem Administratora

Ostatnią podstawą przetwarzania danych osobowych określoną w RODO jest przetwarzanie konieczne do realizacji prawnie uzasadnionych interesów administratora danych. Ponieważ RODO nie definiuje szczegółowo, co rozumie się pod pojęciem „prawnie uzasadniony interes”, zakres tej podstawy jest szeroki i wymaga ostrożnego podejścia.

Podczas oceny możliwości przetwarzania danych na tej podstawie, musisz przeprowadzić tzw. Test równowagi , który porównuje Twoje interesy jako administratora z interesami oraz podstawowymi prawami i wolnościami osób, których dane dotyczą. Dane osobowe nie mogą być przetwarzane w ramach prawnie uzasadnionych interesów, jeśli interesy lub prawa i wolności tych osób mają charakter nadrzędny i wymagają ochrony danych osobowych. Przykładem zastosowania tej podstawy może być przetwarzanie danych w celu zapewnienia bezpieczeństwa sieci i informacji, np. przez tworzenie kopii zapasowych.
 

Innym spotykanym przykładem jest przetwarzanie danych w celach marketingowych. Chociaż wielu ekspertów rynkowych zaleca uzyskanie zgody na przetwarzanie danych w celach marketingowych, motyw 47 RODO wskazuje, że marketing bezpośredni może być traktowany jako prawnie uzasadniony interes administratora. Ten przypadek pokazuje właśnie element ostrożnego podejścia, ponieważ Ty jako administrator, zawsze masz obowiązek przeprowadzenia analizy, czy w danym przypadku zastosowanie tej podstawy jest możliwe i uzasadnione.

O czym musisz pamiętać

Gdy przetwarzasz dane osobowe i jesteś Administratorem Danych Osobowych, musisz zadbać o to, aby właściwe ustalić podstawę prawną ich przetwarzania w celu zapewnienia zgodności z przepisami. Przed rozpoczęciem przetwarzania danych zbadaj dokładnie, czy istnieją specyficzne przepisy prawne, które mogą stanowić samodzielną podstawę do ich przetwarzania. W swojej analizie weź pod uwagę również inne warunki określone w art. 6 RODO, ponieważ uzyskanie zgody nie zawsze jest najlepszym wyborem i powinno być traktowane jako środek ostatniej szansy, jeśli nie istnieje inna podstawa do przetwarzania danych. Pamiętaj też, że zgoda może być cofnięta przez osobę, która jej udzieliła, w każdej chwili, co w dłużej perspektywie może być przeszkodą w przetwarzaniu jej danych i realizacji Twoich celów biznesowych.

Źródła:

https://uodo.gov.pl
https://commission.europa.eu
https://archiwum.uodo.gov.pl