Rozporządzenie RODO jest chyba najlepiej znanym unijnym aktem prawnym. W Polsce obowiązuje ono od kilku lat i wciąż stanowi problematyczną kwestię dla wielu przedsiębiorców. Z kwestiami RODO wiążą się specjalne testy równowagi, o których musi pamiętać każdy administrator danych osobowych. Dowiedz się jak sprawdzić, czy prawnie uzasadniony interes administratora, faktycznie występuje jako prawnie uzasadniony interes RODO.
Przetwarzanie danych osobowych a RODO
RODO to skrót od nazwy Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 roku w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych). Jego głównym celem jest prawne zabezpieczenie danych osobowych, które mogą być gromadzone, przetwarzane i udostępniane przez podmioty trzecie na ściśle określonych warunkach. Stosowanie zasad RODO ma istotne znaczenie z punktu widzenia bezpieczeństwa każdego człowieka. Rozporządzenie to nakłada bardzo wysokie kary finansowe w sytuacji, gdy podmioty obowiązane do stosowania unijnych przepisów robią to niepoprawnie lub wcale nie zamierzają chronić powierzonych im danych osobowych.
RODO bardzo konkretnie odnosi się do kwestii przetwarzania danych osobowych. Zgodnie z treścią art. 4 pkt 2 omawianego rozporządzenia przetwarzanie to operacje lub zestaw operacji wykonywanych na danych osobowych albo zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, takie jak:
- zbieranie, utrwalanie;
- organizowanie, porządkowanie;
- przechowywanie, adaptowanie lub modyfikowanie;
- pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie;
- rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie;
- łączenie, ograniczanie, usuwanie lub niszczenie.
Powyższy katalog czynności jest otwarty, co oznacza, że przetwarzanie danych osobowych może być wykonywane także w inny sposób warunkujący przestrzeganie rozporządzenia RODO.
Prawnie uzasadniony interes RODO, czyli jaki test przeprowadzić, by sprawdzić swoją firmę pod kątem RODO
Zgodnie z treścią art. 6 ust. 1 RODO przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy – i w takim zakresie, w jakim – spełniony jest co najmniej 1 z poniższych warunków:
- osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie swoich danych osobowych w 1 lub większej liczbie określonych celów;
- przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy;
- przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze;
- przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej;
- przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi;
- przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności, gdy osoba, której dane dotyczą, jest dzieckiem (nie ma to jednak zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań).
Przetwarzanie cudzych danych osobowych powinno być warunkowane m.in. posiadaniem prawnego uzasadnionego interesu administratora takich danych. W tym właśnie zakresie dokonywane są testy równowagi RODO, które pozwalają ustalić, czy w danym przypadku zachodzi przedmiotowy interes. Jeśli uzasadniony prawny interes administratora przeważa nad prawami i wolnościami osób, których dane dotyczą, to wówczas przetwarzanie jest prawnie legalne i dopuszczalne. Jeśli jednak test równowagi RODO da nam odpowiedź negatywną, to administrator danych może być oskarżony o łamanie unijnego rozporządzenia i nielegalne przetwarzanie danych osobowych innych ludzi.
Wykonanie testu równowagi RODO powinno nastąpić jeszcze przed przystąpieniem do przetwarzania cudzych danych osobowych, tj. przede wszystkim przed ich przejęciem. Jeśli administrator danych zapomniał przeprowadzić omawianego testu, powinien to zrobić możliwie jak najszybciej, również, gdy przetwarzanie rozpoczęło się już jakiś czas temu. Test należy wykonać tylko, gdy dana osoba przetwarza lub zamierza przetwarzać dane osobowe wyłącznie na podstawie prawnie uzasadnionego interesu. W innych przypadkach wykonanie testu nie jest obowiązkowe, np. wtedy, gdy dana osoba sama wyraziła zgodę na przetwarzanie jej danych, gdy przetwarzanie danych jest prawnym obowiązkiem administratora, gdy wynika to z uprzednio zawartej umowy z daną osobą.
Przykład 1.
Przedsiębiorstwo A i przedsiębiorstwo B podpisały umowę współpracy. W treści kontraktu znalazły się dane osobowe pracowników obu firm i postanowienia pozwalające na ich wzajemnie przetwarzanie przez partnerów. Czy w tym przypadku należy przeprowadzić test równowagi RODO?
Nie, ponieważ przetwarzanie danych wynika z umowy zawartej przez strony i jest uregulowane w jej treści.
Przykład 2.
Pan Konrad prowadzi jednoosobową działalność gospodarczą, w której gromadzi dane swoich klientów. Przed zaoferowaniem jakiejkolwiek usługi lub nawiązaniem kontaktu prosi każdego użytkownika o wyrażenie zgody na przetwarzanie jego danych osobowych. Czy w tym przypadku przedsiębiorca musi przeprowadzić test równowagi RODO?
Nie, ponieważ przetwarzanie danych osobowych klientów odbywa się na podstawie ich wyrażonej zgody.
Przykład 3.
Spółka z o.o. świadczy usługi i przetwarza dane osobowe swoich klientów na podstawie ich zgody wyrażonej na piśmie. Przedsiębiorstwo prowadzi także działalność marketingową, która polega na wysyłaniu maili i wiadomości SMS do osób wskazanych przez aktualnych klientów. Z adresatami takich wiadomości spółka nie ma żadnych umów, nie odebrała od nich także żadnych zgód na przetwarzanie ich danych osobowych. Czy w tym przypadku należy przeprowadzić test równowagi RODO?
Tak, choć obowiązek ten będzie dotyczył wyłącznie osób wskazanych przez klientów spółki, z którymi kontaktuje się ona poprzez maile i wiadomości SMS. Spółka nie musi przeprowadzać testu równowagi względem klientów, którzy wyrazili zgodę na przetwarzanie ich danych osobowych. Należy mieć jednak na uwadze, że w omawianym przypadku wysłanie mailowo informacji handlowej będzie wymagać uzyskania zgody odbiorców treści marketingowych zgodnie z art. 398 Ustawy z dnia 12 lipca 2024 roku – Prawo komunikacji elektronicznej.
Jak przeprowadzić test równowagi RODO?
Administrator danych osobowych, który powinien przeprowadzić test równowagi RODO, ma do dyspozycji 2 rozwiązania – albo skorzysta z gotowych testów, które są dostępne w internecie, albo samodzielnie odpowie na pytanie, czy jego interes prawny w zakresie administrowania cudzymi danymi przeważa nad interesem prawnym takich osób. W tym drugim przypadku test równowagi polega tak naprawdę na porównaniu interesu administratora z interesem każdej osoby, której dane są lub mają być przetwarzane. Wymaga również zgromadzenia odpowiednich argumentów i dowodów przemawiających na korzyść administratora, jeśli będzie on chciał wykazać, że ma uzasadniony interes prawny do przetwarzania danych innych osób bez ich zgody.
Według Grupy Roboczej, organu doradczego w zakresie ochrony danych i prywatności, uzasadniony interes administratora danych występuje, gdy przetwarzanie dotyczy:
- bezpieczeństwa fizycznego, informatycznego oraz sieciowego, np. w celu wykrywania potencjalnych zagrożeń;
- monitoringu pracowników dla celów zapewnienia bezpieczeństwa lub zarządzania, np. przesyłanie danych pracowników w celach administracyjnych;
- egzekucji roszczeń prawnych, np. niewykonanych zobowiązań, gdy sprawa nie została skierowana do sądu;
- wykonywania prawa do wolności wypowiedzi w internecie;
- marketingu bezpośredniego lub pośredniego.
Administrator, który decyduje się na samodzielnie przeprowadzenie testu równowagi, powinien zwrócić szczególną uwagę na następujące elementy:
- rodzaj przetwarzanych danych – czy są to dane zwykłe (np. imię i nazwisko), czy szczególnej kategorii (np. wyznanie, preferencje polityczne, kwestie zdrowotne);
- skalę i charakter przetwarzania danych;
- rodzaj interesów danej osoby;
- relacje pomiędzy administratorem i daną osobą.
Wyniki przeprowadzonego testu równowagi powinny być udokumentowane, zwłaszcza gdy administrator może na ich podstawie przetwarzać dane innych osób bez ich wyraźnej zgody. Negatywny wynik testu nie zawsze oznacza zakaz przetwarzania danych osobowych, choć dalsze przetwarzanie będzie musiało zostać w takim przypadku zmodyfikowane, np. administrator będzie musiał zmniejszyć częstotliwość gromadzenia i wykorzystywania cudzych danych.
Podsumowanie
Test równowagi RODO jest procesem pozwalającym na uzyskanie odpowiedzi, czy administrator danych może przetwarzać je na podstawie swojego uzasadnionego interesu prawnego. W tym celu może posłużyć się gotowymi testami dostępnymi w internecie albo samodzielnie zważyć i porównać interes zarówno swój, jak i osób, których dane przetwarza lub zamierza to robić. Wyniki testu powinny być utrwalone i przechowywane przez administratora.
