Source: https://e-prawnik.pl/artykuly/kiedy-mozna-przetwarzac-dane-osobowe.html
Timestamp: 2019-01-17 02:13:38+00:00

Document:
Kiedy można przetwarzać dane osobowe? - Ochrona danych osobowych - e-prawnik.pl
Zawsze to administrator danych winien móc wykazać, iż dysponuje odpowiednią podstawą przetwarzania danych. Jest to prawny obowiązek administratora danych wynikający z tzw. zasady rozliczalności. Zasada ta sprawia, że to na administratora zostaje narzucony oboeiązek wykazania, że spełnia wymogi RODO.
Ile danych osobowych można zbierać zgodnie z RODO?
Zgodnie z wprowadzoną przez RODO zasadą minimalizacji danych osobowych, można przetwarzać wyłącznie takie daneosobowe, które są niezbędne do osiągnięcia celu przetwarzania danych.
Przetwarzanie danych powinno zatem być ograniczone do takich danych, bez których nie można osiągnąć celu przetwarzania danych. Jeśli np. celem przetwarzania danych jest realizacja zamówienia w sklepie internetowym, to przetwarzanie danycho sytuacji rodzinnej lub finansowej klienta nie jest dopuszczalne. Przetwarzanie takich danych byłoby dopuszczalne, lecz w innym celu, np. w celach marketingowych, na innej podstawie prawnej.
Jak uzyskiwać zgodę na przetwarzanie danych osobowych?
Zgoda to dobrowolne, konkretne, świadome i jednoznaczne okazanie woli, którym osoba fizyczna, w formie oświadczenia lub wyraźnego działania potwierdzającego, przyzwala na przetwarzanie dotyczących jej danych osobowych.
Każda zgoda na przetwarzanie danych powinna więc charakteryzować się następującymi cechami:
dobrowolność – zgoda może być ważna jedynie, jeśli osoba, której dane dotyczą, ma możliwość dokonania rzeczywistego wyboru, przy czym nie zachodzi ryzyko wprowadzenia jej w błąd, zastraszenia, przymusu bądź znaczących negatywnych konsekwencji, gdyby nie wyraziła zgody. Jeśli konsekwencje wyrażenia zgody nie dają się pogodzić ze swobodą wyboru, to zgoda nie jest dobrowolna;
konkretność – żeby zgoda była ważna, musi być konkretna; tzn. niedopuszczalna jest ogólna zgoda bezokreślenia dokładnego celu przetwarzania
świadomość – zgoda na przetwarzanie danych osobowych nie może mieć charakteru abstrakcyjnego, ale winna odnosić się do skonkretyzowanego stanu faktycznego, obejmując tylko określone dane oraz sprecyzowany sposób i cel ich przetwarzania;
jednoznaczność – zgoda musi mieć charakter wyraźny, a jej wszystkie aspekty muszą być jasne dla podpisującegow momencie jej wyrażania.
Zgoda może zostać wyrażona w dowolnej formie – jednak zawsze w przypadku wątpliwości to administrator danych powinienwykazać, że zgoda została udzielona. Decyzja o tym, jaki konkretnie sposób zbierania – i archiwizowania – zgód należy zastosować winna być podjęta świadomie przez administratora danych.
RODO nakazuje, żeby przy gromadzeniu danych przekazywać osobie, której dane dotyczą, szereg informacji:
o tożsamości administratora danych i o jego danych kontaktowych,
jeżeli administrator danych powołał Inspektora Ochrony Danych (IOD) – o danych kontaktowych IOD,
o celach i podstawie przetwarzania danych, a jeśli przetwarzanie odbywa się na tej podstawie, że jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora bądź przez stronę trzecią – o tych prawnie uzasadnionych interesach,
o odbiorcach danych osobowych lub o kategoriach odbiorców, jeżeli istnieją
kiedy ma to zastosowanie – informacje o zamiarze przekazania danych osobowych do państwa trzeciego,
o okresie czasu, przez który dane osobowe będą przechowywane, a gdy nie jest to możliwe, kryteria ustalaniatego okresu,
o prawie do żądania od administratora dostępu do danych osobowych dotyczących osoby, której dane dotyczą, ich sprostowania, usunięcia lub ograniczenia przetwarzania bądź o prawie do wniesienia sprzeciwu wobec przetwarzania,a także o prawie do przenoszenia danych,
jeśli przetwarzanie odbywa się na podstawie zgody – o prawie do cofnięcia zgody w dowolnym momencie,
o tym, czy podanie danych osobowych jest wymogiem ustawowym lub umownym bądź warunkiem zawarciaumowy oraz czy osoba, której dane dotyczą, jest zobowiązana do ich podania i jakie są ewentualne konsekwencjeniepodania danych,
jeżeli dochodzi do tzw. zautomatyzowanego podejmowania decyzji lub profilowania – należy poinformowaćo tym fakcie oraz podać istotne informacje o zasadach automatycznego podejmowania decyzji, a także o znaczeniui przewidywanych konsekwencjach takiego przetwarzania dla osoby, której dane dotyczą.
Odbiorcy danych to również podmioty przetwarzające dane osobowe na zlecenie administratora danych, zatem trzeba poinformować także o tych podmiotach.Te szerokie obowiązki informacyjne w przypadku zgody na przetwarzanie danych osobowych przybierają najczęściej postać tzw. klauzuli zgody na przetwarzanie danych.
Klauzula zgodna z RODO może brzmieć następująco: "Wyrażam zgodę na przetwarzanie moich danych osobowych przez spółkę ABCD sp. z o.o. z siedzibą w ……….., ul. ……………., w celach ……………. (np. marketingowych). Podanie danych jest dobrowolne. Podstawą przetwarzania danych jest moja zgoda. Odbiorcami danych mogą być ………….. (np. podmioty zajmujące się obsługą informatyczną administratora danych). Mam prawo wycofania zgodyw dowolnym momencie. Dane osobowe będą przetwarzane ………….. (np. do czasu ew. odwołania zgody, a po takim odwołaniu - przez okres przedawnienia roszczeń przysługujących administratorowi danych i w stosunku do niego). Mam prawo żądania od administratora dostępu do moich danych osobowych, ich sprostowania, usunięcia lub ograniczenia przetwarzania oraz prawo wniesienia skargi do organu nadzorczego. W razie pytań dotyczących przetwarzania danych osobowych, prosimy o kontakt z Inspektorem Ochrony Danych pod adresem ……………. (jeśli został wyznaczony)". Należy też podać informacje o prawie do przenoszenia danych, jeżeli przysługuje, a także jeżeli dochodzi do profilowania - informacje dotyczące profilowania.
Obowiązki informacyjne powinny być wykonywane w zwięzłej, przejrzystej, zrozumiałej oraz łatwo dostępnej formie, jasnym i prostym językiem.
Zgodnie z propozycją Ministerstwa Cyfryzacji, te rozbudowane obowiązki informacyjne mają zostać wyłączone w stosunku do przedsiębiorców zatrudniających mniej niż 250 osób, przetwarzających dane osobowe niezbędne do wykonywania działalności gospodarczej, w szczególności w celu zawierania umów i prowadzenia rachunkowości.
Kiedy nie potrzeba zgody na przetwarzanie danych?
Zgoda na przetwarzanie danych jest tylko jedną z podstaw prawnych przetwarzania danych. Zgody na przetwarzanie danych nie trzeba zbierać w szczególności wówczas, kiedy:
przetwarzanie danych jest niezbędne do wykonania umowy – np. sklep internetowy sprzedaje wysyłkowo obrazki; nie musi w takim wypadku prosić o zgodę na przetwarzanie danych, a przetwarzanie danych będzie zgodne z RODO jako niezbędne do wykonania umowy (sprzedaży),
przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze – np. przetwarzanie danych w celach związanych z prowadzeniem ksiąg rachunkowych nie wymaga zgody osób, których dane dotyczą - jego podstawą są przepisy ustawy o rachunkowości,
przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora bądź przez stronę trzecią – np. skierowanie do sądu pozwu o zapłatę przeciwko nieuczciwemu klientowi nie wymaga jego zgody na przetwarzanie danych, zaś podstawą przetwarzania danych w takiej sytuacji jest realizacja prawnie uzasadnionego interesu administratora danych.
Prawnie uzasadnionym interesem realizowanym przez administratora danych jest również marketing jego produktów czy usług. Przetwarzanie danych w takim celu – marketingowym w stosunku do produktów i usług administratora danych – nie wymaga zgody na przetwarzanie danych osobowych. Jednakże pewne formy kontaktu z osobami, których dane dotyczą, wymagają zgody.
Przetwarzanie szczególnych kategorii danych osobowych (tzw. danych wrażliwych)
RODO wprowadza zamknięty katalog szczególnych kategorii danych, których przetwarzanie jest zabronione poza sytuacjami wymienionymi w rozporządzeniu. Są to tzw. dane wrażliwe. Dane wrażliwe to dane ujawniające pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych oraz dane genetyczne, biometryczne bądź dotyczące zdrowia, seksualności lub orientacji seksualnej osoby fizycznej.
Organizacja może je przetwarzać tylko pod specjalnymi warunkami i musi się liczyć z koniecznością wdrożenia dodatkowych zabezpieczeń, takich jak np. szyfrowanie.
RODO – inaczej, niż to ma miejsce na gruncie ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych – nie wymaga, by zgoda na przetwarzanie danych zaliczonych do szczególnych kategorii danych osobowych była wyrażona na piśmie. Na gruncie RODO taka zgoda powinna być zgodą „wyraźną” – oznacza to, iż zgoda może zostać udzielona np. na stronie internetowej - poprzez zaznaczenie odpowiedniego pola wyboru. Oczywiście nadal będzie można zbierać zgody na piśmie.
Przetwarzanie danych nieletnich
W przypadku usług oferowanych bezpośrednio dziecku, np. w Internecie, zgodnie z prawem można przetwarzać dane osobowe dziecka, które ukończyło 16 lat. Jeżeli dziecko nie ukończyło 16 lat, to takie przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy zgodę wyraziła lub zaakceptowała ją osoba sprawująca władzę rodzicielską lub opiekę nad dzieckiem oraz wyłącznie w zakresie wyrażonej zgody.
Jeżeli więc organizacja kieruje swoją ofertę do dzieci i młodzieży, to zgodę na przetwarzanie danych mogą wyrazić samodzielnie osoby powyżej 16 roku życia. W przypadku zaś młodszych osób - zgodę musi wyrazić opiekun prawny albo rodzic.
"(…) Przetwarzanie, które w dniu rozpoczęcia stosowania niniejszego rozporządzenia już się toczy, powinno w terminie dwóch lat od wejścia niniejszego rozporządzenia w życie zostać dostosowane do jego przepisów (…)". - Tak sformułowane zdanie motywu 171 ogólnego rozporządzenia o ochronie danych jest bardzo wyraźnym wskazaniem, że to właśnie teraz jest czas na dokonywanie przeglądu i weryfikacji stosowanych dotąd rozwiązań z zakresu ochrony danych osobowych.
Zanim jeszcze będziemy stosować rozporządzenie, warto dokonać swego rodzaju audytu przygotowawczego i udokumentować, jakie dane osobowe przetwarza się, skąd pochodzą i co uprawnia administratora do ich wykorzystywania, czy i komu je udostępnia oraz jak zabezpiecza. Rzetelnie przeprowadzona analiza wszystkich operacji przetwarzania danych w organizacji będzie pierwszym krokiem do prowadzenia rejestru czynności przetwarzania, który od 25 maja 2018 r. będzie obowiązkowy dla wielu podmiotów (z całą pewnością dla tych zatrudniających więcej niż 250 pracowników oraz tych, którzy przetwarzają tzw. dane wrażliwe). W wielu przypadkach trzeba zaktualizować zgody na przetwarzanie danych.
Na każdym administratorze danych ciąży obowiązek zapewnienia, że przetwarzane przez niego dane są prawidłowe i aktualne. Dane osobowe, które są nieprawidłowe w świetle celów ich przetwarzania, muszą zostać niezwłocznie usunięte lub sprostowane. Taki audyt przygotowawczy może pomóc w aktualizacji wszystkich przetwarzanych danych i uporządkować dokumentację oraz procedury przetwarzania danych.
Może również pomóc administratorowi danych w realizacji zasady rozliczalności, która wymaga, aby każdy, kto przetwarza dane osobowe, był w stanie wykazać, że robi to w zgodzie z zasadami przyjętymi w rozporządzeniu.
Tę zgodność można wykazać na przykład poprzez wdrożenie efektywnych polityk i procedur przetwarzania danych.
rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych; RODO; Dziennik Urzędowy Unii Europejskiej L z 2016 r. nr 119, str. 1) - art. 6 i 9, art. 4 pkt 7 i 8, art. 5 ust. 1 pkt c, art. 12 i 13;
ustawa o świadczeniu usług drogą elektroniczną - art. 10;
ustawa - Prawo telekomunikacyjne - art. 172.
Tagi: przetwarzanie, dane osobowe, zgoda, RODO, ochrona danych osobowych, prywatność, zgoda, administrator danych
Dane osobowe i wypowiedzi na publicznym forum
"Czy w przypadku braku chęci dalszego uczestnictwa w internetowym forum dyskusyjnym lub na skutek usunięcia (...)"
"Firma przechowuje w systemie CRM następujące dane: imię, nazwisko, stanowisko, firma, adres firmy, (...)"

References: art. 6
 art. 4
 art. 5
 art. 12
 art. 10
 art. 172