Source: http://www.abi-expert.pl/wydania/pazdziernik-grudzien-2019/art,2510,podwojne-podstawy-prawne-przetwarzania-danych-wrazliwych.html
Timestamp: 2019-12-12 23:41:30
Legal References Found: art. 9
 art. 9
 art. 6
 art. 23
 art. 27
 art. 27
 art. 23
 art. 6
 art. 9
 art. 29
 art. 6
 art. 9
 art. 9
 art. 6
 art. 9
 art. 29
 art. 29
 art. 29
 art. 7
 art. 6
 art. 8
 art. 9
 art. 29
 art. 7
 art. 6
 art. 8
 art. 9
 art. 29
 art. 29
 art. 8
 art. 9
 art. 7
 art. 6
 art. 9
 art. 8
 art. 7
 art. 6
 art. 29
 art. 6
 art. 9

Document Content:
Październik-grudzień 2019 / Wydania / Kwartalnik ABI EXPERT
Strona główna WydaniaPaździernik-grudzień 2019
Podwójne podstawy prawne przetwarzania danych wrażliwych
13-11-2019 Autor: Iga Małobęcka-Szwast Katarzyna Syska
Podstawą prawną przetwarzania danych wrażliwych (szczególnych kategorii danych, wymienionych w art. 9 ust. 1 rodo) powinna być przesłanka wskazywana zarówno w art. 9 ust. 2 rodo, jak i w art. 6 ust. 1 rodo. W niniejszym tekście udowadniamy nasze stanowisko w tej sprawie
W zakresie podstaw prawnych przetwarzania danych osobowych przepisy nieobowiązującej już ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jedn. DzU z 2016 r., poz. 922 ze zm.; dalej: uodo 1997) interpretowano w ten sposób, że ustawa ta przewidywała odrębne przesłanki przetwarzania danych tzw. zwykłych i odrębne przesłanki przetwarzania danych wrażliwych1. Podstawy prawne przetwarzania danych zwykłych przewidziane były w art. 23 ust. 1 uodo 1997, a podstawy przetwarzania danych wrażliwych – w art. 27 ust. 2 uodo 1997. Innymi słowy, aby móc przetwarzać dane wrażliwe, wystarczające byłoby spełnienie jednej z przesłanek wskazanych w art. 27 ust. 2 uodo 1997. Natomiast przesłanki wskazane w art. 23 ust. 1 uodo 1997 nie były uznawane za relewantne w odniesieniu do danych wrażliwych.
Stanowisko to zostało przeniesione na grunt rodo. W polskiej literaturze prawniczej dominuje interpretacja, że podstawy prawne przetwarzania danych zwykłych i danych wrażliwych zostały określone odrębnie dla obu kategorii danych także w rodo2. Polscy komentatorzy wskazują, że przesłanki przetwarzania danych zwykłych zostały określone w art. 6 ust. 1 rodo, a dla danych wrażliwych – w art. 9 ust. 2 rodo.
Stanowiska organów nadzorczych w zakresie podstaw prawnych przetwarzania danych wrażliwych
Stanowiska Grupy Roboczej art. 29 (obecnie: Europejska Rada Ochrony Danych) oraz organów ochrony danych z innych państw członkowskich zdają się jednak przeczyć ugruntowanej w polskiej doktrynie tezie o odrębności i niezależności obu kategorii przesłanek legalizacyjnych (tj. z art. 6 ust. 1 i art. 9 ust. 2 rodo). Organy brytyjski, irlandzki, niemiecka Datenschutzkonferenz3, a także Europejska Rada Ochrony Danych (dalej: EROD) stoją na stanowisku, że podstawą prawną przetwarzania danych wrażliwych nie jest wyłącznie przesłanka z art. 9 ust. 2 rodo, lecz przesłanka z art. 6 ust. 1 łącznie z warunkiem dopuszczalności z art. 9 ust. 2 rodo. Innymi słowy, oba przepisy należy stosować łącznie jako przesłankę legalizującą przetwarzanie danych wrażliwych.
W dalszej części tekstu przyjrzymy się tym stanowiskom.
Stanowisko Grupy Roboczej art. 29
Grupa Robocza art. 29 poruszyła kwestię podstaw prawnych przetwarzania danych wrażliwych w swojej opinii dotyczącej pojęcia prawnie uzasadnionego interesu z 2014 r.4 (dalej: Opinia Grupy Roboczej art. 29). Opinia wydana została na gruncie poprzednio obowiązującej dyrektywy 95/46/WE5, jednakże można ją powoływać także pod rządami rodo, ponieważ przesłanki wskazane w art. 7 dyrektywy 95/46/WE są tożsame z przesłankami z art. 6 ust. 1 rodo, a przesłanki z art. 8 dyrektywy 95/46/WE są bardzo zbliżone do przesłanek z art. 9 ust. 2 rodo.
Grupa Robocza art. 29 nie przesądziła jednoznacznie w tej opinii o tym, czy ogólne przesłanki przetwarzania danych wskazane w art. 7 dyrektywy 95/46/WE (teraz: art. 6 ust. 1 rodo) powinny być stosowane łącznie z przesłankami z art. 8 dyrektywy 95/46/WE (teraz: art. 9 ust. 2 rodo). Grupa Robocza art. 29 podkreśliła jednak, że przesłanki te powinny być stosowane łącznie, jeżeli zapewnia to wyższy poziom ochrony danych wrażliwych. Celem regulacji jest bowiem właśnie zapewnienie dodatkowej ochrony w przypadku przetwarzania danych wrażliwych.
Grupa Robocza art. 29 podała między innymi następujące przykłady:
Fakt, że ktoś upublicznił dotyczące go dane wrażliwe, nie oznacza, że zgodnie z art. 8 ust. 2 lit. e dyrektywy 95/46/WE (teraz: art. 9 ust. 2 lit. e rodo) możliwe jest wszelkiego rodzaju przetwarzanie takich danych, bez dokonania testu równowagi (oceny prawnie uzasadnionego interesu) zgodnie z art. 7 lit. f dyrektywy 95/46/WE (teraz: art. 6 ust. 1 lit. f rodo).
Fakt, że „przetwarzanie jest niezbędne do celów profilaktyki zdrowotnej lub medycyny pracy, do oceny zdolności pracownika do pracy, diagnozy medycznej, zapewnienia opieki zdrowotnej lub zabezpieczenia społecznego, leczenia lub zarządzania systemami i usługami opieki zdrowotnej lub zabezpieczenia społecznego” (co jest przewidziane w art. 9 ust. 2 lit. h rodo; niegdyś: art. 8 ust. 3 dyrektywy 95/46/WE) nie wystarcza, aby zapewnić legalność przetwarzania. Na mocy art. 7 dyrektywy 95/46/WE (teraz: art. 6 ust. 1 rodo) wymagana będzie podstawa prawna, taka jak:
a) umowa z pacjentem (art. 6 ust. 1 lit. b rodo);
b) obowiązek prawny (art. 6 ust. 1 lit. c rodo);
c) realizacja zadania wykonywanego w interesie publicznym (art. 6 ust. 1 lit. e rodo) lub
d) realizacja prawnie uzasadnionego interesu administratora lub osoby trzeciej (art. 6 ust. 1 lit. f rodo).
Grupa Robocza art. 29 zaleca każdorazową analizę, czy stosowanie dwóch przesłanek łącznie zapewni osobom, których dane dotyczą, wyższy poziom ochrony.Należy dodać, że EROD zapowiedziała aktualizację omawianej opinii dotyczącej pojęcia prawnie uzasadnionych interesów w 2019 r. albo w 2020 r. Być może EROD odniesie się wówczas do kwestii podstaw prawnych przetwarzania danych wrażliwych i relacji między art. 6 ust. 1 a art. 9 ust. 2 rodo.
Iga Małobęcka-Szwast – autorka jest doktorantką w Katedrze Prawa Europejskiego na Wydziale Prawa i Administracji Uniwersytetu Warszawskiego i prawniczką w kancelarii Traple Konarski Podrecki i Wspólnicy.
Katarzyna Syska – autorka jest adwokatem specjalizującym się w prawie ochrony danych osobowych. Współpracuje z kancelarią Traple Konarski Podrecki i Wspólnicy.