Nie tylko zgoda, czyli 6 podstaw przetwarzania zwykłych danych osobowych

Podstawa przetwarzania zwykłych danych osobowych

Objaśnienie

niezbędność przetwarzania do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy

Przetwarzanie danych nie wymaga zgody osoby, której te dane dotyczą, jeżeli następuje w celu realizacji obowiązków i uprawnień potrzebnych do wykonania tej umowy (mogą one wynikać z samej umowy lub z załączników np. OWU). Dlatego zbędne jest wprowadzanie klauzuli zgody do treści umowy, gdy zgoda ta ma obejmować przetwarzanie danych drugiej jej strony oraz na cele związane z jej wykonaniem.

Podjęciem działań na żądanie podmiotu danych przed zawarciem umowy są np.:

• negocjacje,
• przetarg, aukcja,
• weryfikacja zdolności kredytowej,
• rezerwacja danej usługi (przykładowo pokoju hotelowego).

Gdy zatem konkretna osoba zwraca się do administratora z prośbą o przesłanie oferty, bądź udzielenie odpowiedzi na pytania związane z oferowaną przez nas usługą lub towarem, czy też o przesłanie wzoru umowy, itp. to administrator nie musi odbierać jej zgody na wykorzystanie danych osobowych w celu związanym z jej żądaniem.

Z drugiej strony przesłanka ta nie może być stosowana, gdy z inicjatywą wychodzi administrator danych osobowych, a nie osoba, której dane dotyczą.

niezbędność przetwarzania do wypełnienia obowiązku prawnego ciążącego na administratorze

Obowiązek prawny musi wynikać z prawa unijnego lub krajowego. Podstawa prawna musi określać cel przetwarzania. Tylko taki przepis uprawni do przetwarzania danych. Musimy więc odwołać się nie tylko do RODO ale także do innego przepisu unijnego lub krajowego.

Przykładem jest tu obowiązek:

• przechowywania faktur i paragonów przez okres wymagany przepisami prawa podatkowego,
• przechowywania dokumentacji pracowniczej.

niezbędność przetwarzania do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej

Należy zwrócić uwagę na szczególną doniosłość tego warunku ze względu na okoliczności, które legalizuje. Chodzi tu przede wszystkim o przypadki ochrony życia i zdrowia osoby, której dane dotyczą lub innej osoby (motyw 46 preambuły RODO).

Żywotny interes innej osoby fizycznej powinien być podstawą przetwarzania danych osobowych wyłącznie w przypadkach, gdy ewidentnie przetwarzania tego nie można oprzeć na innej podstawie prawnej. Jest to więc ostateczność.

Przykład. W następstwie wypadku komunikacyjnego przetwarzanie danych osobowych, która ucierpiała w wypadku jest konieczne, aby ochronić jej zdrowie, a może nawet życie. W tej sytuacji przetwarzanie musi nastąpić niezwłocznie, jako że najważniejszą rolę odgrywa wiedza i czas.

niezbędność przetwarzania do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi

W tym przypadku podstawa prawna także musi być w prawie unijnym lub krajowym i określać cel przetwarzania.

niezbędność przetwarzania do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią

Nie można powołać się na tę podstawę, jeżeli nadrzędny charakter wobec wskazanych interesów administratora lub osoby trzeciej mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem.

Podstawa ta nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań.

Jak rozumieć mało precyzyjne sformułowanie „prawnie uzasadniony interes”. Jest to m.in.:

• marketing bezpośredni (zobacz niżej),
• zapobieganie oszustwom,
• dochodzenie roszczeń bądź obrona przed roszczeniami podmiotu danych,
• przesyłanie danych osobowych w ramach grupy przedsiębiorstw do wewnętrznych celów administracyjnych,
• zapewnienie odporności sieci lub systemu informacyjnego na danym poziomie poufności na przypadkowe zdarzenia albo niezgodne z prawem lub nieprzyjazne działania naruszające dostępność, autentyczność, integralność i poufność przechowywanych lub przesyłanych danych osobowych.