PODSTAWY PRZETWARZANIA DANYCH OSOBOWYCH
RODO określa szczegółowo, w jakich sytuacjach przetwarzanie danych osobowych jest dozwolone. Poza enumeratywnie wymienionymi przypadkami, zasadą jest zakaz przetwarzania informacji o osobie w przypadku danych należących do szczególnych kategorii (art. 9 ust. 1 RODO). Analogicznie jest w przypadku danych „zwykłych”, co do których nie ma mowy wprost o zakazie, ale o dopuszczalności w przypadku zaistnienia jednej z przesłanek. Mówiąc prościej, RODO wprost wskazuje nam, jakie warunki musimy spełnić, aby legalnie dokonywać działań na danych osobowych. Zadaniem administratora jest wskazanie przynajmniej jednej przesłanki, która umożliwia zbieranie i dalsze wykorzystywanie danych osobowych.
W stosunku do danych „zwykłych” lista została wskazana w art. 6 ust. 1 RODO i obejmuje następujące sytuacje:
- osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów;
- przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy;
- przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze;
- przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej;
- przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi;
- przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem.
Natomiast dla danych należących do „szczególnej kategorii” (tj. danych osobowych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych oraz przetwarzania danych genetycznych, danych biometrycznych w celu jednoznacznego zidentyfikowania osoby fizycznej lub danych dotyczących zdrowia, seksualności lub orientacji seksualnej tej osoby) prawodawca wskazał następujące przesłanki (art. 9 ust. 2 RODO):
- osoba, której dane dotyczą, wyraziła wyraźną zgodę na przetwarzanie tych danych osobowych w jednym lub kilku konkretnych celach, chyba że prawo Unii lub prawo państwa członkowskiego przewidują, iż osoba, której dane dotyczą, nie może uchylić zakazu, o którym mowa w ust. 1;
- przetwarzanie jest niezbędne do wypełnienia obowiązków i wykonywania szczególnych praw przez administratora lub osobę, której dane dotyczą, w dziedzinie prawa pracy, zabezpieczenia społecznego i ochrony socjalnej, o ile jest to dozwolone prawem Unii lub prawem państwa członkowskiego, lub porozumieniem zbiorowym na mocy prawa państwa członkowskiego przewidującymi odpowiednie zabezpieczenia praw podstawowych i interesów osoby, której dane dotyczą;
- przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej, a osoba, której dane dotyczą, jest fizycznie lub prawnie niezdolna do wyrażenia zgody;
- przetwarzania dokonuje się w ramach uprawnionej działalności prowadzonej z zachowaniem odpowiednich zabezpieczeń przez fundację, stowarzyszenie lub inny niezarobkowy podmiot o celach politycznych, światopoglądowych, religijnych lub związkowych, pod warunkiem że przetwarzanie dotyczy wyłącznie członków lub byłych członków tego podmiotu lub osób utrzymujących z nim stałe kontakty w związku z jego celami oraz że dane osobowe nie są ujawniane poza tym podmiotem bez zgody osób, których dane dotyczą;
- przetwarzanie dotyczy danych osobowych w sposób oczywisty upublicznionych przez osobę, której dane dotyczą;
- przetwarzanie jest niezbędne do ustalenia, dochodzenia lub obrony roszczeń lub w ramach sprawowania wymiaru sprawiedliwości przez sądy;
- przetwarzanie jest niezbędne ze względów związanych z ważnym interesem publicznym, na podstawie prawa Unii lub prawa państwa członkowskiego, które są proporcjonalne do wyznaczonego celu, nie naruszają istoty prawa do ochrony danych i przewidują odpowiednie i konkretne środki ochrony praw podstawowych i interesów osoby, której dane dotyczą;
- przetwarzanie jest niezbędne do celów profilaktyki zdrowotnej lub medycyny pracy, do oceny zdolności pracownika do pracy, diagnozy medycznej, zapewnienia opieki zdrowotnej lub zabezpieczenia społecznego, leczenia lub zarządzania systemami i usługami opieki zdrowotnej lub zabezpieczenia społecznego na podstawie prawa Unii lub prawa państwa członkowskiego lub zgodnie z umową z pracownikiem służby zdrowia i z zastrzeżeniem warunków i zabezpieczeń, o których mowa w ust. 3;
- przetwarzanie jest niezbędne ze względów związanych z interesem publicznym w dziedzinie zdrowia publicznego, takich jak ochrona przed poważnymi transgranicznymi zagrożeniami zdrowotnymi lub zapewnienie wysokich standardów jakości i bezpieczeństwa opieki zdrowotnej oraz produktów leczniczych lub wyrobów medycznych, na podstawie prawa Unii lub prawa państwa członkowskiego, które przewidują odpowiednie, konkretne środki ochrony praw i wolności osób, których dane dotyczą, w szczególności tajemnicę zawodową;
- przetwarzanie jest niezbędne do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych zgodnie z art. 89 ust. 1, na podstawie prawa Unii lub prawa państwa członkowskiego, które są proporcjonalne do wyznaczonego celu, nie naruszają istoty prawa do ochrony danych i przewidują odpowiednie, konkretne środki ochrony praw podstawowych i interesów osoby, której dane dotyczą.
W niniejszym artykule omówimy pierwszy i najpopularniejszy z warunków legalnego przetwarzania danych osobowych, jakim jest uzyskanie (wyraźnej) zgody od osoby, której dane dotyczą.
ZGODA JAKO KRÓLOWA PRZESŁANEK LEGITYMIZUJĄCYCH PRZETWARZANIA DANYCH OSOBOWYCH
Zgoda na przetwarzanie danych osobowych w dużym uproszczeniu polega na wyrażeniu przez osobę, której dane dotyczą, woli na udostępnienie swoich danych osobowych administratorowi danych. Wraz ze zgodą administrator uzyskuje możliwość przetwarzania danych osobowych, tj. ich przechowywania, wykorzystywania do realizacji określonych celów, ewentualnego modyfikowania i usuwania.
W praktyce ze zgodą na przetwarzanie danych osobowych spotykamy się bardzo często. Jest to jedna z najbardziej rozpowszechnionych metod pozyskiwania danych osobowych, zwłaszcza na stronach internetowych.
Rysunek 1: Przykładowe zgody na przetwarzanie danych osobowych. Źródło: antyweb.pl, onet.pl
Zgodę na przetwarzanie naszych danych osobowych udzielamy zaznaczając checkboxy na stronach internetowych, czy podpisując przygotowane formularze w różnego rodzaju placówkach, urzędach, gabinetach lekarskich itd. Pozyskanie zgody na przetwarzanie danych osobowych wydaje się najłatwiejszym sposobem na ich dalsze wykorzystywanie. Wymaga jedynie podpisu, zaznaczenia checkboxa i kliknięcia OK, ewentualnie e-mailowego potwierdzenia. Zgoda, jeżeli tylko administrator jest w stanie wykazać, że została mu udzielona, może mieć również formę ustną (art. 7 ust. 1 RODO).
DLACZEGO ZGODA NA PRZETWARZANIE DANYCH OSOBOWYCH NIE ZAWSZE JEST NAJLEPSZYM POMYSŁEM?
Zgoda na przetwarzanie danych osobowych często wykorzystywana jest przez administratorów danych w sposób nieadekwatny, błędny. Zdarza się, że administratorzy pozyskują zgodę, mimo iż mają możliwość skorzystania z innej przesłanki pozwalającej przetwarzać dane osobowe (np. w ramach zawieranej umowy lub gdy przetwarzanie jest niezbędne do celów profilaktyki zdrowotnej). Często też zgody są formułowane w sposób błędny. Nie spełniają wymogów, które wyznaczają przepisy. Niestety nie zawsze najlepszym pomysłem jest korzystanie z generatorów zgód bądź gotowców, które nie są dostosowane do naszej działalności. Jeżeli mamy wątpliwości czy sformułowane przez nas zgody są prawidłowe warto skonsultować je z prawnikiem bądź zlecić specjaliście przygotowanie zgód na przetwarzanie danych osobowych.
Musimy również pamiętać, że zgoda na przetwarzanie danych osobowych jest przesłanką pozwalającą na „szybkie” pozyskanie danych osobowych, ale i jednocześnie umożliwiającą równie łatwe wycofanie zgody. Przepis art. 7 ust. 3 RODO stanowi bowiem wprost: „Wycofanie zgody musi być równie łatwe jak jej wyrażenie”. Zatem, jeżeli chcielibyśmy mieć pewność, że dane osobowe nie zostaną szybko wycofane i będziemy mogli z nich korzystać przez dłuższy czas, warto zastanowić się nad wyborem innej przesłanki dopuszczającej przetwarzanie danych osobowych.
JAK FORMUŁOWAĆ ZGODY NA PRZETWARZANIE DANYCH OSOBOWYCH?
W art. 4 pkt 11 RODO zgoda została zdefiniowana w sposób następujący:
„zgoda” osoby, której dane dotyczą oznacza dobrowolne, konkretne, świadome i jednoznaczne okazanie woli, którym osoba, której dane dotyczą, w formie oświadczenia lub wyraźnego działania potwierdzającego, przyzwala na przetwarzanie dotyczących jej danych osobowych.
Zatem zgoda musi być: dobrowolna, konkretna, świadoma i jednoznaczna.
Dobrowolność zgody na przetwarzanie danych osobowych polega na wolnym wyborze osoby o możliwości udzielenia bądź nieudzielenia zgody. Zatem nie można wymuszać na osobie konieczności udzielenia zgody. Brak udzielenia zgody nie może wiązać się z żadnymi konsekwencjami dla osoby, której dane dotyczą. Nie można zatem powiązać np. wykonania umowy od konieczności udzielenia zgody.
Konkretność zgody na przetwarzanie danych osobowych polega na konieczności przekazania treści zgody w sposób wyraźny, zrozumiały oraz precyzyjny. Osoba, której dane dotyczą, musi mieć możliwość zapoznania się z celem przetwarzania danych i zakresem przetwarzanych danych. Zgoda nie może zatem brzmieć:
„Wyrażam zgodę na przetwarzanie danych osobowych”
Zgoda powinna być bardziej rozbudowana, np.
„Wyrażam zgodę na przetwarzanie danych osobowych w celu wysyłki newslettera. Pełna treść polityki prywatności dostępna jest TUTAJ”.
Bądź:
„Wyrażam zgodę na przetwarzanie danych osobowych przez 111ABC sp. z o.o. w celu zbierania informacji o satysfakcji naszej obsługi. Informujemy, że Państwa dane osobowe mogą być przekazywane spółce NajlepszeOpinie sp. z o.o. Szczegółowe informacje na temat przetwarzania danych osobowych i przysługujących Państwu Praw znajdą Państwo w naszej Polityce Prywatności. Jednocześnie informujemy, że mogą Państwo wycofać zgodę w dowolnym momencie.”.
Należy również pamiętać, że każda zgoda musi mieć skonkretyzowany cel. Zatem nie można przygotować jednej zgody dla kilku różnych celów. Osoba, której dane dotyczą, musi mieć możliwość dokonania wyboru wyłącznie tych celów, dla których zgadza się na przetwarzanie swoich danych osobowych przez administratora. Przygotowując zgodę należy ją również przygotowywać indywidualnie, po analizie stanu faktycznego. Niestety często powielanie (kopiowanie) znalezionych wzorców może spowodować więcej szkód niż korzyści.
Świadomość zgody na przetwarzanie danych osobowych jest powiązana z konkretnością zgody. Świadomość wymaga bowiem, aby administrator zadbał o to, aby osoba, której dane dotyczą, miała kontrolę nad swoimi danymi, znała swoje prawa, a cały proces przetwarzania danych był w pełni przejrzysty. Jeżeli administrator udostępnia dane innym podmiotom, osoba, której dane dotyczą, powinna być tego świadoma. Powinna także zdawać sobie sprawę z zakresu przetwarzanych danych i kontekstu ich przetwarzania.
Jednoznaczność zgody na przetwarzanie danych osobowych jest powiązana z pewnością, że osoba, której dane dotyczą udziela zgody, zgodnie ze swoją wolą. Zgoda nie może być zatem w żaden sposób zakamuflowana, nie może być szersza niż to wynika z treści zgody. Ważne jest też, żeby osoba, której dane dotyczą, jednoznacznie potwierdziła chęć udostępnienia swoich danych osobowych.
PODSUMOWUJĄC
Przy konstruowaniu zgody na przetwarzanie danych osobowych musimy pamiętać, aby zgoda odzwierciedlała cel i zakres przetwarzanych danych. Musimy również zwrócić uwagę, aby w przypadku zbierania danych osobowych do realizacji kilku różnych celów, dla każdego z nich zbierać odrębne zgody. Zgoda na przetwarzanie danych osobowych nie może być dorozumiana. Milczenie strony nie oznacza udzielenie zgody. Podobnie, domyślnie zaznaczony checkbox w formularzu nie spełnia tej przesłanki. Warto również pamiętać, że przy konstruowaniu zgody konieczne jest ustalenie, czy bardziej adekwatną nie jest inna przesłanka z art. 6 ust. 1 lub art. 9 ust. 2 RODO. Zgodę bowiem można zawsze wycofać, a w takim przypadku administrator danych musi usunąć informacje, które uzyskał na podstawie udzielonej zgody. Tak niestabilna przesłanka do przetwarzania danych osobowych powinna być zatem stosowana w sytuacjach, kiedy żadna inna nie jest odpowiednia.
CEZARY ZAPAŁA
APLIKANT RZECZNIKOWSKI, ADMINISTRATOR PORTFOLIO ZNAKÓW TOWAROWYCH I WZORÓW PRZEMYSŁOWYCH
Aplikant rzecznikowski, administrator portfolio znaków towarowych i wzorów przemysłowych Klientów Kancelarii. Specjalizuje się w zagadnieniach dotyczących prawa ochrony danych osobowych, prawa własności przemysłowej, prawa nowych technologii oraz prawa rolnego. Uczestnik, prelegent oraz koordynator wielu konferencji oraz szkoleń. Wykładowca na studiach podyplomowych z ochrony danych osobowych na Wydziale Prawa i Administracji Uniwersytetu Marii Curie-Skłodowskiej w Lublinie. Autor publikacji naukowych z zakresu prawa rolnego, ochrony danych osobowych i prawa nowych technologii.
