Jak legalnie przetwarzać dane osobowe? Rozwiewamy wątpliwości

Słów kilka o fundamentalnych zasadach obowiązujących w ochronie danych osobowych

Trudno byłoby zliczyć ile razy podczas codziennej pracy jako specjalista ds. ochrony danych osobowych czy w roli inspektora ochrony danych osobowych spotykamy się ze skierowanym do administratora danych osobowych pytaniem czy stwierdzeniem:

A na jakiej podstawie Państwo wykorzystują moje dane osobowe?

Ja na nic nie wyrażałem zgody!

W takiej sytuacji kluczowa jest dobra znajomość przepisów, na mocy których mamy do czynienia z przetwarzaniem danych osobowych.

Co to w ogóle oznacza, że administrator danych przetwarza dane osobowe?

Cofnijmy się na moment do podstaw i wyjaśnijmy w jaki sposób przepisy rozporządzenia definiują kluczowe pojęcia, które będą przewijać się w poniższym tekście.

Definicja, która ma swoje źródło w artykule 4 RODO wskazuje 19 czynności, które kryją się pod pojęciem przetwarzania. Należą do nich:

[...] zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie;

Niemniej jednak należy pamiętać, że pomimo tak szczegółowego wskazania czynności przetwarzania danych osobowych, katalog ten jest katalogiem otwartym. I należy rozszerzyć go o wszelkie możliwe operacje wykonywane na tych danych lub ich zestawach. Danych utrwalonych zarówno w formie papierowej jak i elektronicznej, dźwiękowej czy wizyjnej.

Podstawy ochrony danych osobowych

Dla przypomnienia warto także wyjaśnić, co w ogóle określamy danymi osobowymi.

Ogólne rozporządzenie parlamentu europejskiego (RODO) wskazuje dwa katalogi danych osobowych:

1. Dane osobowe, potocznie nazywane "danymi zwykłymi" (artykuł 4 RODO) m.in:
   • imię, nazwisko,
   • adres zamieszkania,
   • dane kontaktowe,
   • identyfikatory internetowe,
   • pliki cookies, czyli informacje generowane przez nasze urządzenia, monitorujące nasz cyfrowy ślad w Internecie,
   • numer PESEL, który pozwala na jednoznaczną identyfikację osoby fizycznej,
   • wizerunek, zdjęcia lub inne szczegóły, które w pewnych okolicznościach mogą prowadzić do jednoznacznego zidentyfikowania osoby fizycznej.
2. Dane wymagające szczególnej ochrony w tym:
   1. szczególne kategorie danych osobowych (artykuł 9 RODO), w tym szereg danych ujawniających pochodzenie rasowe, etniczne, poglądy polityczne, przekonania religijne, przynależność do związków zawodowych, danych biometrycznych. Danych dotyczących zdrowia, także dane genetyczne, dane dotyczące seksualności, orientacji seksualnej przetwarzanych w celu jednoznacznego zidentyfikowania osoby fizycznej.
   2. dane dotyczące wyroków skazujących oraz naruszeń prawa (artykuł 10 RODO).

Po przypomnieniu powyższych definicji możemy przejść do kwestii jak wyeliminować nielegalne przetwarzanie danych osobowych i w jaki sposób połączyć te dwie definicje, czyli przetwarzanie oraz dane osobowe, zarówno "zwykłe" jak i te, które wymagają od administratora danych ich szczególnej ochrony.

RODO. Czego nie wolno? Naruszenia ochrony danych

Dopóki nie znajdziemy odpowiedniej podstawy prawnej, na której możemy oprzeć przetwarzanie danych osobowych, niestety nie będziemy mogli tego przetwarzania realizować.

Zasady ochrony danych określają, że do przetwarzania danych osobowych potrzebujemy jednej podstawy prawnej, a każda z dostępnych podstaw jest tak samo ważna.

Kiedy przetwarzanie danych jest dopuszczalne? W przypadku danych "zwykłych" odpowiedź znajduje się w artykule 6 RODO, który określa prawne podstawy przetwarzania danych osobowych. Do dyspozycji mamy sześć podstaw prawnych.

Ochrona danych osobowych. Co z tą zgodą?

Zgoda jest wymieniona jako pierwsza przesłanka legalizująca przetwarzanie danych, ale to nie oznacza, że jest najważniejszą podstawą prawną. Jest to sytuacja, w której osoba, której dane dotyczą, wyraziła dobrowolną zgodę na ich przetwarzanie w jednym lub kilku określonych celach.

Z punktu widzenia osób zajmujących się tematyką ochrony danych osobowych jest to podstawa dość problematyczna. To o czym w kontekście zgody musimy pamiętać jest fakt, że zgoda może być w dowolnym momencie odwołana przez każdą z osób fizycznych, których dane przetwarzane są właśnie w oparciu o zgodę. Dlatego wybierając tę podstawę, należy zawsze zadać sobie pytanie: Co stanie się jeśli osoba, której dane dotyczą wycofa swoją zgodę, a więc niejako stracimy tę podstawę? Czy wówczas nie zablokuje to procesu, dla którego zgoda została zebrana?

W tym miejscu należy podkreślić także, że nie ma konieczności zbierania zgód na przetwarzanie oparte o inną podstawę prawną, a więc nieprawidłowym będzie następujące brzmienie klauzuli zgody:

Wyrażam zgodę na przetwarzanie moich danych osobowych w celu realizacji umowy.
lub
Wyrażam zgodę na przetwarzanie moich danych osobowych w celu udzielenia mi świadczeń zdrowotnych.

W powyższych przykładach połączone zostały dwie podstawy przetwarzania danych osobowych - w pierwszym przypadku zgoda i wykonanie umowy, w drugim zgoda oraz obowiązek prawny ciążący na administratorze danych, czyli udzielanie świadczeń zdrowotnych i inne związane z tym czynności, które są oparte na przepisach prawa, w szczególności ustawy o prawach pacjenta i Rzeczniku Praw Pacjenta i ustawy o działalności leczniczej.

Zatem w jakich procesach zgoda będzie właściwą podstawą?

• przetwarzanie danych osobowych na potrzeby przyszłych rekrutacji,
• wykorzystanie do kontaktu prywatnych danych kontaktowych pracownika,
• wykorzystanie wizerunku na funpageu administratora danych,
• przesyłanie newslettera do subskrybentów.

GRC – czym jest i kogo obowiązuje? Sprawdź nasz artykuł!

Realizacja umowy

Druga podstawa, czyli sytuacja gdy przetwarzanie danych jest niezbędne do realizacji umowy, której stroną jest osoba, której dane dotyczą lub do podjęcia działań na jej żądanie przed zawarciem umowy. Obejmuje to wszystkie działania przygotowawcze oraz pozyskiwanie informacji w celu dostosowania do umowy. Pamiętajmy, że inicjatywa zawarcia umowy powinna pochodzić od tej osoby, a nie od administratora.

Jakie procesy oprzemy zatem na tej podstawie prawnej? M.in.:

• przetwarzanie danych osobowych w celu obsługi zapytań ofertowych,
• przetwarzanie danych w celu realizacji zamówienia złożonego w sklepie internetowym,
• kontakt z klientem w związku z realizacją zawartej umowy.
• wszędzie tam, gdzie korzystanie z danej usługi związane jest z akceptacją regulaminu.

Wymagania ustawy o KSC oraz dyrektywy NIS2 a wdrożenie norm ISO 27001 oraz 22301

Obowiązek prawny ciążący na administratorze danych

Trzecia podstawa, która może pozwolić nam na legalne przetwarzanie danych osobowych to wypełnienie obowiązku prawnego ciążącego na administratorze danych. Co to oznacza w praktyce. Wszystkie procesy, gdzie obowiązek przetwarzania danych osobowych wynika z odrębnych przepisów np. kodeksu pracy, prawa księgowego, prawa bankowego możemy, a wręcz musimy oprzeć na tej właśnie podstawie. Administratorzy często podlegają szeregowi regulacji, które nakładają na nich konieczność przetwarzania danych osobowych.

Jakie procesy w organizacji opierają się na tej podstawie? Są to między innymi:

• przetwarzanie danych pracowników zatrudnionych na umowę o pracę,
• wystawianie i przechowywanie faktur oraz innych dokumentów księgowych,
• rozpatrywanie skarg i reklamacji,
• nadawanie upoważnień dla osoby, która w organizacji przetwarza dane osobowe,
• wydawanie upoważnień ogólnych i szczegółowych do reprezentowania Spółki,
• obsługa pracowniczych planów kapitałowych.

Ochrona żywotnych interesów

Kolejną podstawą prawną przetwarzania danych osobowych jest ochrona żywotnych interesów osoby, której dane dotyczą. Co to oznacza w praktyce? Ochrona żywotnych interesów odnosi się do każdej sytuacji, w których przetwarzanie danych jest niezbędne do zabezpieczenia fundamentalnych interesów mających znaczenie dla życia osoby. Zaliczymy tutaj: cele humanitarne, monitorowanie epidemii i ich rozprzestrzenianie się, a także radzenie sobie z nadzwyczajnymi sytuacjami, takimi jak klęski żywiołowe czy katastrofy spowodowane przez człowieka.

Należy jednak pamiętać, że ochrona żywotnego interesu jest przesłanką ostateczną i skorzystamy z niej tylko w przypadku braku jakiejkolwiek innej podstawy prawnej.

Wykonanie zadania realizowanego w interesie publicznym

Z przesłanki tej skorzystają przede wszystkim organy publiczne, gdy przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi. Należy podkreślić, że wszystkie te czynności muszą być przewidziane w przepisach prawa, a przetwarzanie nie może być realizowane w sposób dowolny m.in.: dostęp do informacji publicznej.

Cele wynikające z prawnie uzasadnionych interesów administratora danych

Ostatnią, szóstą podstawą prawną przetwarzania danych osobowych jest sytuacja, w której przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub stronę trzecią.

Wyjątkiem są sytuacje, w których nadrzędny charakter wobec tych interesów mają interesy oraz podstawowe prawa i wolności osób fizycznych!

I trzeba przyznać, że jest najbardziej otwarta przesłanka umożliwiająca bardzo szeroki zakres przypadków przetwarzania danych osobowych. Niemniej jednak aby organizacja nie została posądzona o nielegalne przetwarzanie danych osobowych, administrator musi być w stanie wykazać, że w danym procesie przetwarzanie danych jest konieczne oraz, że nie narusza praw i wolności osoby, na tle interesów administratora lub strony trzeciej. Jeżeli interesy administratora przeważają, może on oprzeć przetwarzanie na tej podstawie.

Procesy biznesowe oparte na powyższej przesłance to m.in.:

• zarządzanie dostępem do pomieszczeń biurowych,
• gromadzenie informacji o leadach,
• obsługa gości na terenie organizacji,
• praca zdalna,
• przetwarzanie wizerunku dla celów bezpieczeństwa- monitoring,
• działania windykacyjne,
• budowanie relacji z partnerami biznesowymi,
• prowadzenie działań marketingowych,
• dodatkowe świadczenia socjalne.

Miejmy nadzieję, że świadomość administratorów do wybierania odpowiednich podstaw prawnych przełoży się na całkowite wyeliminowanie następujących zapisów w klauzulach informacyjnych:

Wyrażam zgodę na przetwarzanie moich danych osobowych w celu realizacji umowy, co stanowi prawnie uzasadniony interes administratora.

Co jeśli przetwarzam dane genetyczne, o stanie zdrowia, o przynależności do związków zawodowych czy inne szczególne kategorie danych osobowych, noszące także miano danych wrażliwych?

Przetwarzanie danych należących do szczególnej kategorii danych osobowych legalizują podstawy wskazane w artykule 9 RODO. Wśród przesłanek znajdziemy m.in: wyraźną zgodę osoby, której dane dotyczą, ochronę żywotnych interesów osoby, przetwarzanie niezbędne do profilaktyki zdrowotnej, czy wypełnienie obowiązków i wykonywanie szczególnych praw przez administratora lub osobę, której dane dotyczą. I to właśnie na wskazanej jako ostatnia skupimy się w odniesieniu do procesów biznesowych.

W jakich procesach wystąpi konieczność przetwarzania danych na tej właśnie podstawie? M.in:

• organizowanie podróży służbowych (w ramach przetwarzania dane na temat chorób w przypadku podróży zagranicznych),
• obsługa wypadków przy pracy w ramach BHP,
• prowadzenie Zakładowego Funduszu Świadczeń Socjalnych,
• wykorzystanie danych biometrycznych przetwarzanych w celu ograniczenia ryzyka udostępnienia haseł osobom trzecim (odcisk palca na laptopie).

Zakazane praktyki według art. 5 AI Act - analiza LexDigital

Dane osobowe dotyczące wyroków skazujących oraz czynów zabronionych lub powiązanych środków bezpieczeństwa

W przypadku tych danych przetwarzania nie zalegalizujemy żadną z powyżej wskazanych przesłanek. Nie będzie dopuszczalne, nawet za zgodą osoby przetwarzanie danych osobowych dotyczących wyroków oraz czynów zabronionych lub powiązanych środków bezpieczeństwa. Podstawą przetwarzania tego rodzaju danych musi być wyraźny przepis prawa.

W polskim porządku prawnym sytuacje, w których przetwarzanie tego rodzaju danych jest dozwolone na mocy wyraźnych przepisów prawa odnajdziemy m.in w:

• Ustawie o Policji - Policja, jako organ ścigania, ma prawo do przetwarzania danych osobowych, w tym dotyczących wyroków skazujących i czynów zabronionych, w ramach swoich ustawowych zadań. Ustawa ta szczegółowo określa zasady gromadzenia, przetwarzania i ochrony danych osobowych przez Policję.

Obowiązek legitymowania się podstawą przetwarzania danych

W legalnym przetwarzaniu danych osobowych kluczowe jest przestrzeganie zapisów zawartych w artykułach 6 i 9 RODO, które opisują przesłanki prawne umożliwiające przetwarzanie danych osobowych.

Każdy administrator danych, bez względu na branżę czy wielkość organizacji musi pamiętać o ochronie danych osobowych, zapewniając każdej osobie, której dane przetwarza, że jej dane osobowe są należycie zabezpieczone zarówno od strony prawnej, proceduralnej jak i fizycznej. Stosowanie odpowiednich środków zabezpieczających przetwarzanie danych jest fundamentem wynikającym z przepisów o ochronie danych osobowych.

Dane biometryczne to m.in fotografie, jeśli zdjęcia są przetwarzane specjalnymi metodami technicznymi, umożliwiającymi jednoznaczną identyfikację osoby fizycznej lub potwierdzenie jej tożsamości. Dowiedz się więcej!

Przetwarzanie danych osobowych bez legalnej podstawy może prowadzić do poważnych konsekwencji. Może skutkować także nałożeniem kary administracyjnej.

W kontekście RODO, które stanowi o ochronie danych osobowych oraz dotyczy swobodnego przepływu danych osobowych, przetwarzanie m.in danych biometrycznych, danych genetycznych, danych ujawniających poglądy polityczne, przekonania religijne, pochodzenie rasowe, ale także danych zwykłych nie posiadając jasnej podstawy prawnej jest surowo zakazane. Administratorzy danych muszą także przestrzegać przepisów RODO planując udostępnienie danych osobowych. Należy pamiętać, że każde nielegalne przetwarzanie danych osobowych może spowodować wszczęcie postępowania administracyjnego. Ryzyko związane z nałożeniem kary administracyjnej powinno być przestrogą dla tych, którzy lekceważą regulacje mówiące o ochronie danych osobowych.

Dyrektywa NIS 2. Lista branż dotkniętych zmianą prawa