Cele przetwarzania danych osobowych. Prawnie uzasadniony interes administratora jako podstawa przetwarzania danych

W jakim celu administrator danych może wykorzystać podane dane osobowe? Czym są prawnie uzasadnione cele oraz zasady przetwarzania danych osobowych? Jakie procedery są zgodne z prawem o ochronie danych osobowych, a w których przypadkach dochodzi do ich naruszenia?

Odpowiedzi na te pytania znajdziecie w tym artykule.

Kiedy i w jaki sposób można przetwarzać dane osobowe? Na czym ten proces polega?

Zanim dowiemy się, jakie są cele przetwarzania danych osobowych, należy pamiętać o tym, co te dane stanowią oraz w jaki sposób odbywa się ich przetwarzanie.

Warto przytoczyć definicję przetwarzania danych osobowych, która zamieszczona jest w art. 4 pkt 2 rozporządzenia RODO:

"„przetwarzanie” oznacza operację lub zestaw operacji wykonywanych na danych osobowych, lub zestawach danych osobowych w sposób zautomatyzowany, lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie".

Zatem, samo posiadanie danych osób, których dane dotyczą stanowi już ich przetwarzanie. Przetwarzaniem danych osobowych są także każde podejmowane akcje związane z nimi, takie jak: udostępnianie, przeglądanie, bądź usuwanie.

Zasady przetwarzania danych osobowych — wypełnienie obowiązku prawnego przez administratora

Przetwarzając dane osobowe osób fizycznych, należy przestrzegać art. 5 rozporządzenia o ochronie danych osobowych. Osoba zarządzająca danymi osobowymi powinna dopilnować szeregu zasad, aby móc operować danymi w sposób bezpieczny. Do zasad tych zaliczamy: zgodność z prawem, rzetelność i przejrzystość, ograniczenie celu, minimalizacja danych, prawidłowość, ograniczenie przechowywania oraz integralność i poufność.

Zgodnie z art. 5 rozporządzenia RODO:

Dane osobowe powinny być:  

• przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą („zgodność  z prawem, rzetelność i przejrzystość”);  
• zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nie przetwarzane dalej w sposób niezgodny  z tymi celami; dalsze przetwarzanie do celów archiwalnych w interesie publicznym, do celów badań naukowych  lub historycznych lub do celów statystycznych nie jest uznawane w myśl art. 89 ust. 1 za niezgodne z pierwotnymi  celami („ograniczenie celu”);  
• adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane („minimalizacja  danych”);  

  
  

  

• prawidłowe i w razie potrzeby uaktualniane; należy podjąć wszelkie rozsądne działania, aby dane osobowe, które są  nieprawidłowe w świetle celów ich przetwarzania, zostały niezwłocznie usunięte lub sprostowane („prawidłowość”); 
• przechowywane w formie umożliwiającej identyfikację osoby, której dane dotyczą, przez okres nie dłuższy, niż jest to  niezbędne do celów, w których dane te są przetwarzane; dane osobowe można przechowywać przez okres dłuższy,  o ile będą one przetwarzane wyłącznie do celów archiwalnych w interesie publicznym, do celów badań naukowych  lub historycznych lub do celów statystycznych na mocy art. 89 ust. 1, z zastrzeżeniem że wdrożone zostaną  odpowiednie środki techniczne i organizacyjne wymagane na mocy niniejszego rozporządzenia w celu ochrony praw  i wolności osób, których dane dotyczą („ograniczenie przechowywania”);  
• przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed  niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub  uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych („integralność i poufność”).  

Administrator jest odpowiedzialny za przestrzeganie przepisów ust. 1 i musi być w stanie wykazać ich  przestrzeganie („rozliczalność”). 

Więcej o zasadzie minimalizacji danych oraz ograniczeniu przechowywania danych przeczytasz w naszych artykułach.

Przetwarzanie danych osobowych w prawnie uzasadnionych celach

Uzasadnionym prawnie celem przetwarzania danych osobowych może być jedynie działalność, jaką prowadzi administrator danych osobowych. Nie ma konieczności usprawiedliwiania korzystania z tych informacji przy pomocy danego aktu prawnego. Konieczne jest jednak przestrzeganie, aby przetwarzane dane osobowe nie były w żaden sposób sprzeczne z ogólnymi zasadami prawnymi, moralnymi oraz społecznymi. Oznacza to, że mogą być one wykorzystane np. do celów badań naukowych. Natomiast używanie ich m.in. do zastraszenia, zaszantażowania czy wymuszenia jakiegoś dobra jest zabronione.

Marketing w formie bezpośredniej oraz dochodzenie roszczeń mogą być przykładami prawnie uzasadnionych celów użycia danych osoby, której dane dotyczą. Dane osobowe muszą być przetwarzane także do dochodzenia ewentualnych roszczeń i ochrony przed roszczeniami.

Kolejną przesłanką jest także przekazywanie danych innym przedsiębiorstwom w celu administracji wewnętrznej. Najważniejszym aspektem w tym działaniu jest zapobieganie oszustwom, a także nieuprawnionemu dostępowi do informacji.

To właśnie do administratorów danych należy obowiązek udowodnienia czy dane zostały użyte zgodnie z tymi celami. Zatem czy ten cel nie mógłby zostać osiągnięty bez ich wykorzystania. Należy pamiętać, że osoba, której dane dotyczą, ma odpowiednią podstawę prawną do poznania konkretnych, wyraźnych celów przetwarzania danych.

Sprawdź artykuł LexDigital: Dane osobowe wrażliwe, a dane osobowe zwykłe

Inne cele przetwarzania danych osobowych

Oprócz prawnie uzasadnionych celów, istnieją także inne przesłanki świadczące o konieczności przetwarzania danych.

Podstawy przetwarzania danych osobowych określa art. 6 RODO. Zgodnie z ustanowionymi przepisami, można przetwarzać dane, kiedy jest to niezbędne do:

• wykonania umowy lub podjęcia działań przed zawarciem umowy, na żądanie osoby fizycznej, która jest stroną umowy,
• wypełnienia obowiązku prawnego ciążącego na administratorze,
• ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej,
• wykonania zadania realizowanego w interesie publicznym.

Przetwarzanie danych jest niezbędne nie tylko w celu realizacji umowy, lecz także przed jej podpisaniem w celu podjęcia określonych działań.

Dane, którymi administrator może operować są wszelkie informacje podane na podstawie zgody osoby, której te dane dotyczą.

Zakaz naruszania praw i wolności osób, których dane osobowe dotyczą

Ważną kwestią jest również to, że przetwarzanie danych nawet w usprawiedliwionym celu nie może naruszać praw i wolności osoby, których dane dotyczą. Interes właściciela danych jest priorytetowy względem interesu administratora danych osobowych. Nawet gdy administrator zarządza danymi osobowymi w sposób prawidłowy, to osoba fizyczna, której te dane dotyczą, może wnieść zarzut z powodu naruszenia praw i wolności. Wyjątkiem jest jednak sytuacja, kiedy przetwarzanie danych osobowych jest niezbędne do wykonania zadania realizowanego w interesie publicznym.

Skarga dotycząca naruszenia przepisów o ochronie danych osobowych

Należy pamiętać o tym, że każda osoba, której dane dotyczą, ma możliwość wniesienia skargi do UODO, czyli Urzędu Ochrony Danych Osobowych. Jest to możliwe w przypadku, kiedy dane te są wykorzystywane w sposób niezgodny z prawem. Administrator upoważniony do przetwarzania personalnych danych ma obowiązek poinformowania właściciela danych o takim rozwiązaniu.

Według przepisów określonych w RODO możliwe jest złożenie skargi nawet w sytuacji, w której zaistnieją wątpliwości wobec tego, czy dane te są przetwarzane wyłącznie w sposób ustalony w zawartej umowie.

Jakie są konkretne sytuacje naruszenia rozporządzenia o ochronie danych? Poniżej przedstawiamy listę naruszeń, w których złożenie skargi do UODO jest szczególnie istotne:

• doszło do naruszenia zasad przetwarzania danych, w tym tych oznaczonych szczególną kategorią,
• podstawy prawne przetwarzania danych zostały złamane,
• wymogi dotyczące przejrzystości komunikacji i informowania nie zostały spełnione,
• administrator danych nie zastosował się do warunków wyrażenia zgody na przetwarzanie danych,
• naruszone zostały prawa do usunięcia, sprostowania lub ograniczenia administrowania danymi,
• właściciel danych nie został poinformowany o sprostowaniu bądź usunięciu jego danych.

Warto również zaznaczyć, iż wniesienie skargi do organu nadzorczego jest szczególnie istotne w przypadku, w którym naruszenie danych spowodowało szkody u osoby fizycznej. Można wtedy ubiegać się o odszkodowanie od zarządzającego danymi.

Jak złożyć skargę do UODO? W jaki sposób powinien wyglądać taki dokument oraz co zawierać, aby spełnił założony cel?

Marketing bezpośredni. Dochodzenie roszczeń z tytułu prowadzonej działalności gospodarczej

Do usprawiedliwionych celów należy również marketing bezpośredni (wykorzystywany np. na potrzeby reklamowania i sprzedaży własnych produktów i usług), a także dochodzenie roszczeń z tytułu prowadzonej działalności gospodarczej.

Marketing bezpośredni jest pojęciem stanowiącym o bezpośrednich kontaktach sprzedawcy z klientem w celach reklamowych lub sprzedażowych. Osoba pozyskująca dane może przetwarzać je do dalszych celów marketingowych, pod warunkiem, że będą to jej własne oferowane produkty i usługi. Zabronione jest zatem reklamowanie cudzego dorobku.

Przykładem przetwarzania danych osobowych w celu dochodzenia roszczeń z tytułu prowadzonej gospodarczej działalności jest przetwarzania dany osób zadłużonych bez ich zgody przysługujące przedsiębiorcy. Cel przetwarzania danych osobowych w takim przypadku oznacza dochodzenie uzasadnionych roszczeń. Dłużnik może powoływać się na to, że oskarżenia przedsiębiorcy godzą w jego prawa oraz wolności osobiste. Jednakże argumentacja ta jest uznawana za nieuzasadnioną, ponieważ zaszkodziłoby to dobru osoby wnoszącej o dochodzenie własnych roszczeń.

Cele przetwarzania danych osobowych mogą odnosić się do różnych sytuacji. Jednak prawidłowe ustalenie przez administratora jaki jest cel przetwarzania, wskazanie tego, jaka przesłanka i podstawa prawna jest właściwa w każdym konkretnym przypadku jest konieczne do tego, by ochrona danych osobowych w firmie była dotrzymana na właściwym poziomie.