W prostych słowach o ... RODO cz. 2, Podstawy prawne przetwarzania
cze 102018
Kiedy przedsiębiorca może przetwarzać dane osobowe (zwykłe dane) osób fizycznych?
Przede wszystkim dane osobowe osoby fizycznej muszą być przetwarzane zgodnie z prawem (art. 5 RODO). Oznacza to, że przedsiębiorca może przetwarzać dane osobowe tylko, gdy istnieje podstawa prawna przetwarzania. Podstawy prawne przetwarzania określa samo RODO, w artykule 6 RODO wprowadziło katalog podstaw prawnych przetwarzania danych osobowych. Katalog ten ma charakter zamknięty.
Zatem zgodnie z art. 6 RODO Przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy – i w takim zakresie, w jakim – spełniony jest co najmniej jeden z poniższych warunków:
a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów;
b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy;
c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze;
d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej;
e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi;
f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem.
Przedsiębiorca może zatem w najbardziej typowych sytuacjach przetwarzać zwykłe dane osobowe, gdy:
1. Uzyskał zgodę osoby fizycznej na przetwarzanie (warunki wyrażenia zgody –art. 7. RODO);
2. Przetwarzanie jest niezbędne do wykonania umowy lub chęć zawarcia umowy wyraża osoba fizyczna i np. podaje dane w celu przygotowania umowy;
3. Przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze –np. wystawianie faktur i innych dokumentów księgowych, rozpatrywanie reklamacji, gdyż odpowiednie przepisy wprowadzają obowiązek udzielenia odpowiedzi na reklamację i jej termin (przepisy o rękojmi art. 561 i następne k.c.);
NATOMIAST POZOSTAŁE PRZYPADKI, KIEDY PRZEDSIĘBIORCA MOŻE PRZETAWARZAĆ DANE OSOBOWE TO:
4. przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej – w tym przypadku z pomocą przychodzą motywy RODO tj. motyw 46 - przykład gdy przetwarzanie jest niezbędne do celów humanitarnych, w tym monitorowania epidemii i ich rozprzestrzeniania się lub w nadzwyczajnych sytuacjach humanitarnych, w szczególności w przypadku klęsk żywiołowych i katastrof spowodowanych przez człowieka.
5. przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi – również w tym zakresie RODO w motywach (motyw 45) wprowadza pewne reguły interpretacyjne i przykład : „Prawo Unii lub prawo państwa członkowskiego powinno określać także, czy administratorem wykonującym zadanie realizowane w interesie publicznym lub w ramach sprawowania władzy publicznej powinien być organ publiczny czy inna osoba fizyczna lub prawna podlegająca prawu publicznemu lub prawu prywatnemu, na przykład zrzeszenie zawodowe, jeżeli uzasadnia to interes publiczny, w tym cele zdrowotne, takie jak zdrowie publiczne, ochrona socjalna oraz zarządzanie usługami opieki zdrowotnej”;
6. prawnie uzasadniony interes – do tej przesłanki odnoszą się zwłaszcza motywy 47 i 49, a także motyw 50 (in fine). Jako przykłady należy wskazać zapobieganie oszustwom, przetwarzanie danych osobowych do celów marketingu bezpośredniego, zapewnienia odporności sieci lub systemu informacyjnego, wskazanie przez administratora ewentualnych czynów zabronionych czy zagrożeń dla bezpieczeństwa publicznego oraz przesłanie odpowiednich danych osobowych właściwemu organowi. Nie wykluczam, że przesłanka ta może być wykorzystywana także przez przedsiębiorców przy dochodzeniu roszczeń, zwłaszcza sprzedaży wierzytelności.
Adwokat Łukasz Witański
inne wpisy o tematyce RODO :
http://adwokatwitanski.pl/blog/index.php?controller=post&action=view&id_post=3
http://adwokatwitanski.pl/blog/index.php?controller=post&action=view&id_post=6
http://adwokatwitanski.pl/blog/index.php?controller=post&action=view&id_post=8
