Co to jest "przetwarzanie danych osobowych"?

W kontekście coraz większej liczby naruszeń prywatności w sieci oraz rosnącej liczby przepisów regulujących ten obszar, zrozumienie pojęcia przetwarzania danych osobowych jest kluczowe dla każdej osoby korzystającej z internetu oraz dla firm i organizacji, które zbierają i przetwarzają dane swoich klientów.

Z niniejszego artykułu dowiesz się:

• Czy wszystkie operacje wykonywane na danych osobowych (a więc informacjach pozwalających na jednoznaczną identyfikację osoby) to przetwarzanie danych?
• Co to jest przetwarzanie danych osobowych?
• Czy forma przetwarzania danych ma znaczenie?
• Jak legalnie przetwarzać dane?
• Jakie prawa przysługują osobom fizycznym w związku z przetwarzaniem ich danych?

Odnosząc się bezpośrednio do Ogólnego rozporządzenia o ochronie danych (RODO), a konkretnie do art. 4 pkt 2:

"przetwarzanie oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie, a zwłaszcza te, które wykonuje się w systemach informatycznych".

Można zatem, bez wątpienia stwierdzić, że przetwarzanie to jakiekolwiek operacje wykonywane na danych osobowych lub zestawach danych osobowych (nawet jeśli jest to tylko przechowywanie danych).

Przetwarzanie odnosi się zatem do działań na danych utrwalonych w formie papierowej, elektronicznej, dźwiękowej i wizyjnej, a dla każdej z tych form przetwarzania administrator danych osobowych musi wdrożyć adekwatne do ryzyka przetwarzania środki bezpieczeństwa.

Jakie są zadania administratora danych?

Administrator powinien zapewnić, że przetwarzanie danych osobowych osób fizycznych nie narusza praw i wolności tych osób. Ochrona danych osobowych wdrożona w organizacji powinna podlegać stałemu monitorowaniu i doskonaleniu. Każdy, kto przetwarza dane w organizacji, powinien być zapoznany z zasadami ich przetwarzania i zapewnienia im bezpieczeństwa.

Osoby, których dane dotyczą, powinny mieć poczucie, że mogą administratorowi powierzać swoje dane bez obaw co do ich nielegalnego wykorzystania, zniszczenia, nieuprawnionego zmodyfikowania itd. Administrator powinien wykazać się szczególną dbałością, jeżeli dane dotyczą np. zdrowia, orientacji seksualnej, poglądów politycznych, informacjo o tym, czy podmiot danych działa w związkach zawodowych itd.

Dane te zawierają się bowiem w katalogu danych szczególnych kategorii i podlegają większej ochronie (przy czym należy zwrócić uwagę, że ogólne ani ogólne rozporządzenie, ani żadna inne przepisy nie wskazują konkretnych środków dla zapewnienia tej ochrony).

Przykładami procesów przetwarzania mogą być:

1. Rejestracja użytkowników na stronie internetowej — podczas rejestracji zbierane są dane osobowe, takie jak imię, nazwisko, adres e-mail i hasło.
2. Prowadzenie ksiąg podatkowych — dane osobowe klientów, takie jak imię, nazwisko, adres, numer identyfikacyjny, są przechowywane w księgach podatkowych i wykorzystywane do celów podatkowych.
3. Przetwarzanie płatności — podczas dokonywania płatności za produkty lub usługi, zbierane są dane osobowe klientów, takie jak imię, nazwisko, numer karty kredytowej i adres.
4. Rekrutacja pracowników — podczas rekrutacji zbierane są dane osobowe kandydatów, takie jak imię, nazwisko, dane kontaktowe (np. nr telefonu, adres e-mail), wykształcenie i doświadczenie.

Legalne przetwarzanie danych — obowiązki administratorów danych — zasada rozliczalności

Jednym z podstawowych obowiązków administratorów danych osobowych jest właściwa ochrona danych osobowych podmiotów danych. Jakiekolwiek operacje wykonywane na danych osobowych muszą odbywać się w zgodzie z przepisami prawa. Każda operacja wykonywana na danych osobowych oznacza de facto ich przetwarzanie.

Operacje wykonywane na danych powinny być prawidłowo opisane i rejestrowane, a przetwarzanie danych w systemach informatycznych powinno zapewniać ich bezpieczeństwo (np. poprzez właściwą konfigurację systemu, ograniczony dostęp do systemu, monitorowanie bezpieczeństwa sieci itd.).

Przetwarzanie danych osobowych jest legalne tylko wtedy, gdy osoba, której dane dotyczą, wyraziła na to zgodę; gdy jest to niezbędne do wykonania umowy, której jest stroną (a także do podjęcia działań przed zawarciem umowy); gdy jest to niezbędne do spełnienia obowiązku prawnego; gdy jest to niezbędne do ochrony życia lub zdrowia osoby; gdy jest to niezbędne do wykonania zadania realizowanego dla dobra publicznego lub w ramach sprawowania władzy publicznej; lub gdy jest to niezbędne do usprawiedliwionych celów realizowanych przez administratora danych, lub osoby trzeciej.

Każdy musi wiedzieć o przetwarzaniu danych osobowych, każdy podlega ochronie danych

W związku z przetwarzaniem danych osobowych administrator zobowiązany jest do podjęcia działań wobec osób, których dane przetwarza polegających m.in. na spełnieniu obowiązku wynikającego z art. 13 i 14 RODO — Ogólne rozporządzenie wskazuje m.in., że każdej osobie fizycznej, której dane są przetwarzane, należy udostępnić informacje m.in. o tym, kto jest administratorem jej danych, jaka jest podstawa prawna przetwarzania danych (a więc czy przetwarzanie wynika np. z realizacji umowy, czy też stosowania przepisu prawa), jakie będą kategorie odbiorców danych, którym dane będą ujawnianie itd.

Celem spełnienia obowiązku wynikającego z wyżej wskazanych artykułów jest przejrzyste poinformowanie osoby o tym, jak jej dane będą przetwarzane, jak długo będzie trwało ich przetwarzanie, kto będzie miał do nich dostęp itd.

Prawa osób w związku z przetwarzaniem danych osobowych

Należy podkreślić, że każda osoba, której dane są przetwarzane, posiada szereg praw, których spełnienie powinien zagwarantować każdy administrator, który przetwarza dane.

Do tych praw należą:

• prawo dostępu do danych (art. 15 RODO),
• prawo do sprostowania danych (art. 16 RODO),
• prawo do bycia zapomnianym, tj. do usunięcia danych (art. 17 RODO),
• prawo do ograniczenia przetwarzania (art. 18 RODO),
• prawo do przenoszenia danych (art. 20 RODO),
• prawo do sprzeciwu (art. 21 RODO),
• prawo do tego, by nie podlegać decyzji, która opiera się wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, i wywołuje wobec tej osoby skutki prawne lub w podobny sposób istotnie na nią wpływa (art. 22 RODO).

Niektóre organizacje zapewniają możliwość zrealizowania niektórych z tych praw bezpośrednio przez osoby, których dane dotyczą w przystosowanych do tego systemach informatycznych.

Fakt wniesienia żądania o spełnienie prawa nie zawsze jest jednak jednoznaczny z możliwością zrealizowania uprawnienia. Dotyczy to w szczególności prawa do usunięcia danych osobowych, które nie będzie mogło być zrealizowane np. w przypadku, w którym obowiązek dalszego przechowywania danych wynika z przepisów prawa. Żądanie osoby w takiej sytuacji nie będzie mogło być zrealizowane lub nie będzie mogło być zrealizowane w pełnym zakresie.

Podsumowanie

Trudno sobie dzisiaj wyobrazić działanie organizacji bez przetwarzania danych osobowych. Wiadomo, że przetwarzanie danych wszelkiego rodzaju wymaga podjęcia działań stosownych do stwierdzonego ryzyka co do tego przetwarzania.

Dane stają się coraz bardziej cenne, są coraz częściej przedmiotem ataków w celu ich nielegalnego wykorzystania. Na administratorach spoczywa nie tylko obowiązek właściwego, zgodnego z prawem ich zabezpieczenia, ale także ciągłego doskonalenia systemu ochrony danych. Celem jest ochrona osób fizycznych, ich praw, wolności, ich prywatności, co z kolei może przyczynić się do budowania zaufania wobec administratorów.