Przetwarzanie danych w związku ze świadczeniem usług online - na jakiej podstawie

Najbardziej oczywistą podstawą przetwarzania danych w przypadku świadczenia usług jest art. 6 ust. 1 lit. b RODO, zgodnie z którym przetwarzanie danych osobowych zwykłych będzie możliwe, gdy jest ono konieczne do:

• wykonania umowy, której stroną jest osoba, której dane dotyczą, lub
• podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy.

Nie jest wykluczone oparcie przetwarzania w związku ze świadczeniem usług online na innych przesłankach niż wymieniona w art. 6 ust. 1 lit. b RODO. Przetwarzanie dokładnie tych samych danych jest bowiem możliwe w więcej niż jednym celu. Co więcej, jak wskazuje EROD, nie należy powoływać się na art. 6 ust. 1 lit. b RODO, gdy dane przetwarzanie nie będzie konieczne do wykonania umowy z użytkownikiem.

Według EROD administrator powołujący się na art. 6 ust. 1 lit. b RODO powinien wykazać, w jaki sposób główny przedmiot konkretnej umowy zawartej z użytkownikiem nie będzie mógł zostać faktycznie realizowany bez przetwarzania danych osobowych. Innymi słowy ADO powinien wykazać związek między danymi osobowymi i operacjami przetwarzania a możliwością wykonania usługi świadczonej na podstawie umowy.

Czy taki związek występuje w przypadku przetwarzania danych osobowych w celu wyświetlania reklam? W ocenie Rady, co do zasady przetwarzanie danych osobowych do celów reklamy behawioralnej nie jest niezbędne do wykonania umowy na usługi online. I to nawet wówczas, gdy reklama częściowo finansuje dane przedsięwzięcie biznesowe.

Zatem w celu wyświetlania reklam należy powołać się na inną podstawę przetwarzania danych osobowych - zależnie od konkretnego modelu biznesowego, rodzaju przetwarzanych danych oraz kontekstu przetwarzania. Najczęściej będzie to art. 6 ust. 1 lit. a RODO tj. zgoda podmiotu danych a w przypadku marketingu bezpośredniego – art. 6 ust. 1 lit. f RODO.

Powołanie się na art. 6 ust. 1 lit. b RODO w związku z reklamą może mieć miejsce w jednym przypadku. Stanie się tak wtedy, gdy głównym przedmiotem umowy jest wykonanie usługi polegającej na wyświetlaniu użytkownikom spersonalizowanych reklam np. w oparciu o wypełnione przez nich testy.

W tym miejscu warto odnieść się do stanowiska przyjętego przez Europejską Radę Ochrony Danych. W stanowisku tym przytoczono przypadek, gdy użytkownik dokonuje bezpośrednich płatności za usługi online, a korzyścią usługodawcy jest w tym przypadku zwłaszcza czerpanie zysków ze sprzedaży usług reklamowych online. EROD wskazała, że: „do celów takiej reklamy zachowanie użytkownika śledzi się często w sposób, którego użytkownik nie jest świadomy i może nie wynikać bezpośrednio z charakteru świadczonej usługi, co w praktyce prawie uniemożliwia osobie, której dane dotyczą, dokonanie świadomego wyboru co do wykorzystania jej danych”. W takim przypadku administrator narusza nie tylko art. 6 RODO, ale też ogólne zasady przetwarzania zawarte w art. 5 RODO.

Jaki z tego wniosek? Nie wystarczy sam wybór podstawy przetwarzania danych. Należy też zachować zgodność z ogólnymi zasadami przetwarzania danych, o których mowa w RODO. W szczególności należy pamiętać, że dane osobowe muszą być przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą.

Należy także zwrócić uwagę na regułę ograniczenia celu przetwarzania. Cel przetwarzania musi być wyraźnie wskazany usługobiorcy.

Wreszcie nie można zapominać o regule rozliczalności (art. 5 ust. 2 RODO), w myśl której administrator musi być gotowy do wykazania istnienia konkretnej umowy z użytkownikiem, w związku z którą przetwarzane są dane osobowe użytkownika

Ponadto obowiązuje nas nadrzędna zasada rozliczalności (art. 5 ust. 2 RODO). Zgodnie z nią musimy wykazać istnienie konkretnej umowy z użytkownikiem, na potrzeby której przetwarzamy jego dane.

Na koniec warto odnieść się do przetwarzania danych szczególnej kategorii, o których mowa w art. 9 RODO (np. danych o stanie zdrowia). Nie można z góry wykluczyć możliwości ich przetwarzania w związku ze świadczeniem usług online. Nie znaczy to jednak, że takie przetwarzanie będzie powszechne. Sama niezbędność wykonywania umowy w takim przypadku nie wystarczy, ponieważ art. 9 RODO nie przewiduje odpowiednika przesłanki z art. 6 ust. 1 lit. b RODO. Jak wskazano w Wytycznych Grupy Roboczej Art. 29: „(w) art. 9 ust. 2 nie przewidziano, by charakter danych »niezbędnych do wykonania umowy« był wyjątkiem od ogólnego zakazu przetwarzania szczególnych kategorii danych. (…).

Oznacza, to że jeśli administrator świadczący usługi online zamierza przetwarzać dane szczególnej kategorii, to musi powołać się na jedną ze szczególnych przesłanek z art. 9 ust. 2 RODO. Najczęściej będzie to wyraźna zgoda osoby, której dane dotyczą. Zgoda ta nie może być dorozumiana i powinna być udzielona na przetwarzanie konkretnych danych w konkretnym celu.