Czy można przetwarzać dane osób wskazanych w umowie jako osoby kontaktowe bez zgody

Pytanie dotyczy dwóch kwestii:

1) podstawy prawnej przetwarzania danych osobowych osób, które zawarły z firmą umowy (np. danych osobowych osób prowadzących jednoosobowe działalności gospodarcze),

2) podstawy prawnej przetwarzania danych osobowych osób, które w zawartych umowach zostały wskazane jako osoby do kontaktu (i nie są to strony umowy).

Dane kontrahentów firma może przetwarzać na podstawie art. 23 ust. 1 pkt 3 ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych. Zgodnie z tym przepisem przetwarzanie danych jest dopuszczalne, gdy jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą.

Natomiast dane kontaktowe wskazywane w umowie nie są danymi stron umowy, więc wskazana wyżej podstawa prawna nie ma do nich zastosowania. Podstawy prawnej przetwarzania danych osób kontaktowych bez ich zgody należy upatrywać w art. 23 ust. 1 pkt 5 ustawy. Przepis ten pozwala bowiem na przetwarzanie danych osobowych, gdy jest to niezbędne do wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą.

Nie trzeba rejestrować zbiorów zawierających dane osób kontaktowych kontrahentów, jeżeli będą one przetwarzane wyłącznie w ramach współpracy, w tym w celu realizacji umów. Zgodnie z art. 40 ustawy administrator danych zobowiązany jest zgłosić zbiór danych osobowych do rejestracji GIODO, z wyjątkiem przypadków wskazanych w art. 43 ust. 1 ustawy. Zgodnie zaś z art. 43 ust. 1 pkt 11 ustawy administrator danych przetwarzanych w zakresie drobnych bieżących spraw życia codziennego nie musi rejestrować zbioru takich danych.

Przetwarzanie danych w celu utrzymywania kontaktu z osobą reprezentującą określony podmiot oraz w zakresie niezbędnym do realizacji tego celu służy usprawnieniu działalności administratora danych, a więc zbiór takich danych ma charakter wyłącznie pomocniczy i tym samym dane w nim zawarte traktować można jako przetwarzane w zakresie drobnych bieżących spraw życia codziennego. Co za tym idzie – nie podlegają rejestracji.