Kancelaria Prawna RESPO
Podstawy prawne przetwarzania danych osobowych na podstawie RODO
Podstawy prawne przetwarzania danych osobowych na podstawie RODO - artykuł 6 RODO
Każdy podmiot gospodarczy przetwarza w jakimś zakresie dane osobowe. Mogą to być dane osobowe potencjalnych klientów, obecnych klientów, a także pracowników lub podwykonawców. Jednocześnie, aby przetwarzanie danych osobowych było zgodne z prawem, muszą zostać spełnione określone warunki. Przepisy ogólnego rozporządzenia o ochronie danych osobowych (RODO) zawierają wyczerpujący katalog podstaw przetwarzania danych osobowych, które muszą być spełnione, aby można było mówić o legalnym przetwarzaniu danych osobowych. Jakie są podstawy przetwarzania danych osobowych na gruncie RODO?
Spis treści:
1. Dwa reżimy przetwarzania danych osobowych na podstawie przepisów RODO
2. Podstawy przetwarzania danych osobowych przez administratora
3. Przetwarzanie danych osobowych zwykłych
1) Zgoda osoby jako podstawa przetwarzania danych osobowych
2) Umowa
3) Obowiązek prawny wynikający z przepisów prawa
4) Ochrona żywotnych interesów
5) Realizacja zadania publicznego
6) Prawnie uzasadnione interesy
4. Podsumowanie
Pomoc prawna w sprawach ochrony danych osobowych
1. Dwa reżimy przetwarzania danych osobowych na podstawie przepisów RODO
Rozporządzenie 2016/679 (General Data Protection Regulation (GDPR)) określa 2 reżimy dopuszczalności przetwarzania danych osobowych:
1) Pierwszy dotyczy danych zwykłych i określa go art. 6 rozporządzenia. Dane zwykłe to wszystkie te dane, niezaliczane do kategorii danych szczególnych, które standardowo wykorzystywane są w zwykłej praktyce obrotu gospodarczego, takie jak: imię i nazwisko, adres, PESEL, NIP.
2) Drugi reżim dopuszczalności przetwarzania danych dotyczy natomiast szczególnych kategorii danych. Podstawy prawne przetwarzania danych wrażliwych określone są w art. 9 rozporządzenia. Dane wrażliwe określone w art. 9 RODO to dane osobowe, co do których istnieje ogólny zakaz przetwarzania, chyba ze zajdą określone podstawy. Szczególne kategorie danych osobowych zgodnie z RODO to dane: ujawniające pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych oraz przetwarzania danych genetycznych, danych biometrycznych w celu jednoznacznego zidentyfikowania osoby fizycznej lub danych dotyczących zdrowia, seksualności lub orientacji seksualnej tej osoby. Ponadto art. 10 RODO reguluje przetwarzanie danych osobowych dotyczących wyroków skazujących i naruszeń prawa.
Rozporządzenie RODO nie ma zastosowania do przetwarzania danych osobowych przez osobę fizyczną w ramach działalności czysto osobistej lub domowej, czyli bez związku z działalnością zawodową lub handlową. Działalność osobista lub domowa może między innymi polegać na korespondencji i przechowywaniu adresów.
W tym wpisie skupię na pierwszym z wyżej wymienionych reżimów, dotyczącym danych zwykłych, jako tym, który będzie standardowo stosowany w zwykłej praktyce obrotu.
2. Podstawy przetwarzania danych osobowych przez administratora
Zgodnie z art. 6 ust. 1 RODO:
Przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy – i w takim zakresie, w jakim – spełniony jest co najmniej jeden z poniższych warunków:
a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów;
b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy;
c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze;
d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej;
e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi;
f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem.
Aby przetwarzanie danych było zgodne z prawem musi opierać się na jednej z wyżej wymienionych podstaw. Możliwe jest równoczesne występowanie więcej niż jednej podstawy w odniesieniu do danego przetwarzania. Należy jednak unikać sytuacji uzyskiwania zgody na przetwarzanie danych, w przypadku, gdy administrator dysponuje inną podstawą przetwarzania, np. gdy przetwarzanie danych jest niezbędne do wykonania umowy. Administrator mógłby wówczas spowodować u podmiotu danych błędne przeświadczenie o dobrowolności podania danych na podstawie zgody, w sytuacji, gdy zachodzi inna podstawa przetwarzania. Osoba, której dane są przetwarzane, mogłaby wówczas błędnie zakładać, że posiada prawo do wycofania zgody na przetwarzanie jej danych.
Ponadto przetwarzanie danych osobowych do celów innych niż cele, w których dane te zostały pierwotnie zebrane, powinno być dozwolone wyłącznie w przypadkach, gdy jest zgodne z celami, w których dane osobowe zostały pierwotnie zebrane.
Zgodnie z motywem 81 rozporządzenia: aby zapewnić przestrzeganie wymogów niniejszego rozporządzenia w przypadku przetwarzania, którego w imieniu administratora ma dokonać podmiot przetwarzający, administrator powinien, powierzając podmiotowi przetwarzającemu czynności przetwarzania, korzystać z usług wyłącznie podmiotów przetwarzających, które zapewniają wystarczające gwarancje – w szczególności jeżeli chodzi o wiedzę fachową, wiarygodność i zasoby – wdrożenia środków technicznych i organizacyjnych odpowiadających wymogom niniejszego rozporządzenia, w tym wymogom bezpieczeństwa przetwarzania. Jest to istotne, gdyż administrator powinien zapewnić środki zapewniające zgodność z prawem i rzetelność przetwarzania oraz co do zasady ponosi odpowiedzialność za wszelkiego rodzaju procesie przetwarzania danych osobowych. Administrator danych osobowych powinien zawsze informować o zakresie przetwarzania danych osobowych
3. Przetwarzanie danych osobowych zwykłych
W RODO mamy 6 podstaw przetwarzania danych zwykłych. Jak wspomniałem istnieje możliwość łącznego wystąpienia więcej niż jednej podstawy przetwarzania danych. Przetwarzanie określonych danych może równocześnie wynikać z niezbędności do realizacji umowy i konieczności wypełnienia obowiązku prawnego ciążącego na administratorze.
PRZYKŁAD:
Z sytuacją łącznego wystąpienia więcej niż jednej podstawy przetwarzania danych, będziemy mieli do czynienia, gdy podanie danych dotyczących imienia i nazwiska oraz adresu zamieszkania będzie niezbędne zarówno do wykonania umowy, jak i do realizacji obowiązków podatkowych.
1) Zgoda osoby jako podstawa przetwarzania danych osobowych
Przetwarzanie jest zgodne z prawem, gdy osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów.
Zgoda osoby, której dane dotyczą oznacza dobrowolne, konkretne, świadome i jednoznaczne okazanie woli, którym osoba, której dane dotyczą, w formie oświadczenia lub wyraźnego działania potwierdzającego, przyzwala na przetwarzanie dotyczących jej danych osobowych.
Zgodnie z motywem 32 preambuły RODO: Zgoda powinna być wyrażona w drodze jednoznacznej, potwierdzającej czynności, która wyraża odnoszące się do określonej sytuacji dobrowolne, świadome i jednoznaczne przyzwolenie osoby, których dane dotyczą, na przetwarzanie dotyczących jej danych osobowych i która ma na przykład formę pisemnego (w tym elektronicznego) lub ustnego oświadczenia.
Jak wcześniej wspomniałem należy unikać sytuacji uzyskiwania zgody na przetwarzanie danych osobowych, w przypadku, gdy administrator dysponuje w danej sytuacji inną podstawą przetwarzania, np. gdy dane osobowe w postaci imienia i nazwiska oraz adresu będziemy przetwarzać w celu wykonania umowy. Wówczas uzyskiwanie zgody na przetwarzanie tych danych jest zbędne. Może jednak zachodzić sytuacja, gdy administrator chciałby wykorzystać dane osobowe również w celu przedstawienia informacji handlowej. W takim przypadku powinien uzyskać osobną zgodę na kontakt w celu przedstawienia informacji handlowych. Takie zgody marketingowe powinny być wyrażone osobno w odniesieniu do każdej formy komunikacji (telefonicznej, mailowej i SMS), gdyż dana osoba może zgadzać się na kontakt mailowy i smsowy, a nie życzyć sobie np. kontaktu telefonicznego.
Warunki przetwarzania na podstawie zgody:
♦ Udzielenie zgody jest dobrowolne i musi być udzielona swobodnie: nie może zachodzić ryzyko wprowadzenia w błąd podmiotu danych.
♦ Zgoda jako podstawa przetwarzania musi zostać wyrażona zanim administrator przystąpi do przetwarzania danych osobowych.
♦ Oświadczenie o zgodzie powinno wskazywać cel przetwarzania.
♦ Zgoda może być w dowolnym momencie wycofana (klient administratora może zawsze odwołać zgodę na przetwarzanie jego danych osobowych), jednak wycofanie zgody nie pozbawia zgodności z prawem przetwarzania, którego dokonano na podstawie zgody przed jej wycofaniem. O prawie do wycofania zgody (zaprzestania przetwarzania) należy poinformować osobę zanim wyrazi zgodę. Wycofanie zgody powinno być tak samo proste, jak jej udzielenie.
♦ Zgoda powinna stanowić odrębne i wyraźnie oświadczenie. Ponadto powinna być oparta na systemie opt-in, który polega na podjęciu określonej aktywności przez podmiot danych w celu wyrażenia zgody na przetwarzanie, w przeciwieństwie do systemów opt-out, w których zgoda jest domyślnie zaznaczona i opiera się na bierności lub milczącej aktywności, a nawet nieuwadze podmiotu danych.
♦ Zgoda nie może być domniemana, np. samo przekazanie dokumentu do skopiowania nie stanowi zgody. Również milczenie nie stanowi zgody. RODO wymaga żeby administrator był w stanie wykazać, że uzyskano zgodę, dlatego domniemane zgody nie spełniają wymagań rozporządzenia.
♦ Zgoda musi być wyodrębniona spośród innych oświadczeń osoby: należy stosować klauzule zgody wyodrębnione spośród ogólnych warunków, regulaminów lub treści umowy.
♦ Zgoda musi być poprzedzona udzieleniem informacji o przetwarzaniu danych osobowych (tzw. klauzula informacyjna).
♦ Treść zgody musi być zrozumiała, tj. powinna być formułowana jasnym i prostym językiem.
2) Umowa
Przetwarzanie może nastąpić również, gdy jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy.
Przesłanka ta legalizuje przetwarzanie danych osobowych w celu realizacji umowy lub podejmowania czynności przed jej zawarciem.
PRZYKŁAD:
Przetwarzanie danych na tej podstawie dotyczy danych osoby, która jest stroną umowy lub która występuje do nas o podjęcie działań przed zawarciem umowy (jest inicjatorem tych działań), co dotyczyć będzie np. przygotowania oferty na prośbę osoby, której dane dotyczą, udziału w negocjacjach, weryfikacji klienta przed zawarciem z nim umowy oraz przygotowania projektu umowy do podpisania.
Zakres danych, jakie można przetwarzać na tej podstawie, jest różny w zależności od konkretnej umowy. W przepisie jest mowa o tym, że chodzi o dane, które są „niezbędne”, a więc konieczne do realizacji umowy. Nie chodzi tu jednak o wymóg absolutnej konieczności, ponieważ zbytnio zawężałoby to zakres danych, które mogą być przetwarzane na tej podstawie. Na podstawie tej przesłanki można przetwarzać dane, gdy – rozsądnie rzecz biorąc – celu przetwarzania nie można osiągnąć innymi sposobami. Pamiętać należy jednocześnie o zasadzie minimalizacji danych, zgodnie z którą zbierane dane muszą być ograniczone do tego co jest niezbędne do osiągnięcia celu przetwarzania. Nie można zbierać danych, które są zbędne, nie można również zbierać danych „na zapas” („na wszelki wypadek”), które nie są potrzebne do realizacji danego celu.
PRZYKŁAD:
Jeżeli prowadzisz sklep internetowy, to w celu wykonania umowy na odległość zwartej z klientem, będziesz potrzebował takich danych jak: imię i nazwisko, adres, e-mail i numer telefonu. W typowym przypadku będą to dane niezbędne do wykonania umowy. Żądanie zgody na przetwarzanie danych w tym celu będzie niezasadne. Jednak przetwarzanie innych danych, wykraczających poza przesłankę niezbędności, nie będzie możliwe na tej podstawie. Przykładowo może chodzić o dane dotyczące zainteresowań, których podanie nie jest niezbędne do wykonania umowy. Aby zatem przetwarzać dane w zakresie wykraczającym poza niezbędność do wykonania umowy, będziesz musiał skorzystać z innej podstawy przetwarzania, np. uzyskać osobną zgodę podmiotu danych na ich przetwarzanie.
Natomiast po wygaśnięciu umowy lub odstąpieniu od umowy, przetwarzanie danych będzie możliwe już nie na podstawie tej przesłanki, ale w oparciu o istnienie uzasadnionych interesów po stronie administratora danych. Jest to jedna z podstaw przetwarzania danych, która zostanie omówiona w dalszej części wpisu.
Ponadto przetwarzanie danych na podstawie umowy nie jest możliwe w odniesieniu do danych innej osoby trzeciej, której dane pojawiają się w umowie, np. osoby uposażonej w umowie ubezpieczenia. Jednakże przetwarzanie danych takiej osoby trzeciej będzie można oceniać w kontekście podstawy prawnie uzasadnionych interesów administratora.
3) Obowiązek prawny wynikający z przepisów prawa
Artykuł 6 RODO wskazuje, że przetwarzanie może również nastąpić, gdy jest to niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze.
Podstawa takiego obowiązku prawnego ciążącego na administratorze musi być wprost określona w przepisach prawa krajowego lub prawa Unii Europejskiej. Przedmiotowy obowiązek wynikający z przepisów może dotyczyć zarówno podmiotu prywatnego, jak i publicznego.
Również i w przypadku tej podstawy mowa jest o „niezbędności” do wypełniania obowiązku prawnego. Przyjmuje się, że zakres danych, które mogą być przetwarzane na tej podstawie należy rozumieć wąsko i zasadniczo ograniczać się do tych danych, które wynikają z przepisu stanowiącego podstawę obowiązku prawnego. Administrator powinien zweryfikować czy istnieją przepisy stanowiące podstawę do przetwarzania danych w określonej sytuacji.
PRZYKŁAD:
Przetwarzanie na podstawie przesłanki niezbędności do wypełnienia obowiązku prawnego ciążącego na administratorze zachodzić będzie w przypadku konieczności zgłoszenia pracownika do obowiązkowych ubezpieczeń społecznych w zakresie danych, które są do tego wymagane, np. adres zameldowania, nazwisko rodowe pracownika – wymagane w formularzu ZUS ZUA.
4) Ochrona żywotnych interesów
Zgodność przetwarzania z prawem zachodzi również, gdy jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej.
Jest to przesłanka wyjątkowa, co oznacza, że powinna być podstawą przetwarzania tylko, gdy ewidentnie przetwarzania nie da się oprzeć na innej podstawie.
Żywotny interes stanowiący podstawę prawną do przetwarzania to interes mający istotne znaczenie dla życia osoby. W przypadku tej podstawy może chodzić o sytuacje ochrony lub ratowania życia lub zdrowia oraz ochronę majątku podmiotu danych lub innej osoby fizycznej. Nie może zatem dochodzić do przetwarzania na tej podstawie danych w związku z ochroną interesów osoby prawnej lub innej jednostki organizacyjnej.
W przepisie jest mowa o tym, że chodzi o dane, które są „niezbędne”. Na podstawie tej przesłanki można zatem przetwarzać dane, gdy – rozsądnie rzecz biorąc – jest to potrzebne do ochrony żywotnych interesów osoby fizycznej.
Przetwarzanie na tej podstawie może mieć miejsce zarówno w odniesieniu do ochrony żywotnych interesów podmiotu danych, jak również innej osoby fizycznej.
PRZYKŁAD:
Przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej, gdy powstaje potrzeba przekazania danych w związku z pilną potrzebą interwencji medycznej.
5) Realizacja zadania publicznego
Podstawą przetwarzania danych osobowych zgodnie z RODO może być też niezbędność do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi.
Jest to podstawa określona w przepisach prawa krajowego lub prawa Unii Europejskiej, w tym sensie, że zadania publiczne i sprawowanie władzy publicznej powinny być określone w przepisie prawa.
Prawo Unii lub prawo państwa członkowskiego powinno określać także czy administratorem wykonującym zadanie realizowane w interesie publicznym lub w ramach sprawowania władzy publicznej powinien być organ publiczny, czy inna osoba fizyczna lub prawna podlegająca prawu publicznemu lub prawu prywatnemu, na przykład zrzeszenie zawodowe, jeżeli uzasadnia to interes publiczny, w tym cele zdrowotne, takie jak zdrowie publiczne, ochrona socjalna oraz zarządzanie usługami opieki zdrowotnej.
PRZYKŁAD:
Przetwarzaniem niezbędnym do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej jest świadczenie pomocy socjalnej, zaspokajanie potrzeb zbiorowych społeczeństwa (nauka, opieka zdrowotna, wywóz śmieci), np. gdy organ gminy wykorzystuje dane osobowe na potrzeby postępowania w sprawie przyznania świadczeń socjalnych itp.
6) Prawnie uzasadnione interesy
Przetwarzanie na tej podstawie może nastąpić, gdy jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem.
Podstawą prawną przetwarzania mogą być prawnie uzasadnione interesy administratora, w tym administratora, któremu mogą zostać ujawnione dane osobowe lub strony trzeciej, o ile w świetle rozsądnych oczekiwań osób, których dane dotyczą, opartych na ich powiązaniach z administratorem, nadrzędne nie są interesy lub podstawowe prawa i wolności osoby, której dane dotyczą. Taki prawnie uzasadniony interes może istnieć na przykład w przypadkach, gdy zachodzi istotny i odpowiedni rodzaj powiązania między osobą, której dane dotyczą, a administratorem, na przykład gdy osoba, której dane dotyczą, jest klientem administratora lub działa na jego rzecz.
Aby stwierdzić, czy istnieje uzasadniony interes, należy w każdym przypadku przeprowadzić ocenę tego, czy w czasie i w kontekście w którym dane są zbierane, osoba, której dane dotyczą ma rozsądne przesłanki spodziewać się, że może nastąpić przetwarzanie w tym celu.
Żeby oprzeć przetwarzanie danych na tej podstawie interesy i prawa podstawowe osoby, której dane dotyczą, nie mogą być nadrzędne wobec interesu administratora danych. Za działanie wykonywane w prawnie uzasadnionym interesie można uznać przetwarzanie danych osobowych do celów marketingu bezpośredniego.
PRZYKŁAD:
Przetwarzaniem niezbędnym do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora będzie przetwarzanie w celu prowadzenia marketingu bezpośredniego własnych produktów. Jeśli na stronie sklepu internetowego dany klient dokona zakupu określonego produktu, to na jego stronie mogą pojawiać się propozycje zakupu innych produktów dostosowane do poprzedniego zakupu.
Z tym, że w zakresie działań marketingowych istnieją również przepisy szczególne, które wprowadzają dodatkowe warunki takiego marketingu: o czym jest mowa w art. 10 ustawy o świadczeniu usług drogą elektroniczną oraz art. 172 ustawy Prawo telekomunikacyjne.
PRZYKŁAD:
Kolejnym przykładem prawnie uzasadnionego interesu administratora będzie przetwarzanie danych do czasu przedawnienia na wypadek dochodzenia roszczeń. Jeżeli np. umowa zostanie rozwiązana lub wygaśnie, to administrator uprawniony jest do dalszego przetwarzania danych już nie na podstawie przesłanki niezbędności do wykonania umowy, ale w oparciu o uzasadnione interesy polegające na możliwości dochodzenia roszczeń od klienta lub na wypadek dochodzenia roszczeń przez klienta od administratora. Przetwarzanie następuje w tym przypadku w celach dowodowych na potrzeby ewentualnego procesu sądowego. Przetwarzanie na tej podstawie powinno następować nie później niż do czasu przedawnienia roszczeń, których terminy są zróżnicowane i zależą od treści stosunku prawnego łączącego dłużnika z wierzycielem.
Jeżeli jesteś zainteresowany tematem przedawnienia, możesz zapoznać się z wpisem na blogu: Przedawnienie – kiedy przedawniają się długi?.
PRZYKŁAD:
Prawnie uzasadnionym interesem administratora, którego sprawa dotyczy, jest również przetwarzanie danych osobowych bezwzględnie niezbędne do zapobiegania oszustwom. Chodzić może na przykład o monitoring osób, które mają dostęp do pieniędzy w danym podmiocie albo o monitoring miejsc w sklepach, w których może dochodzić do kradzieży. Za prawnie uzasadniony interes administratora uważa się również przetwarzanie danych osobowych w zakresie bezwzględnie niezbędnym i proporcjonalnym do zapewnienia bezpieczeństwa sieci i informacji. Może to obejmować na przykład przetwarzanie niezbędne w celu zapobiegania nieuprawnionemu dostępowi do sieci łączności elektronicznej i rozprowadzaniu złośliwych kodów.
PRZYKŁAD:
Administratorzy, którzy są częścią grupy przedsiębiorstw lub instytucji powiązanych z podmiotem centralnym, mogą mieć prawnie uzasadniony interes w przesyłaniu danych osobowych w ramach grupy przedsiębiorstw do wewnętrznych celów administracyjnych, co dotyczy też przetwarzania danych osobowych klientów lub pracowników.
3. Podsumowanie
⇒ Rozporządzenie 2016/679 określa 2 reżimy dopuszczalności przetwarzania danych osobowych. Pierwszy dotyczy danych zwykłych i określa go art. 6 rozporządzenia. Drugi reżim dopuszczalności przetwarzania danych dotyczy natomiast szczególnych kategorii danych i określa go art. 9 rozporządzenia.
⇒ W RODO mamy 6 podstaw przetwarzania danych zwykłych:
1) Zgoda
2) Umowa
3) Obowiązek prawny wynikający z przepisów prawa
4) Ochrona żywotnych interesów
5) Realizacja zadania publicznego
6) Prawnie uzasadnione interesy
⇒ Możliwe jest równoczesne występowanie więcej niż jednej podstawy w odniesieniu do danego przetwarzania. Na przykład przetwarzanie określonych danych może równocześnie wynikać z niezbędności do realizacji umowy i konieczności wypełnienia obowiązku prawnego ciążącego na administratorze.
⇒ Należy unikać sytuacji uzyskiwania zgody na przetwarzanie danych, w przypadku, gdy administrator dysponuje inną podstawą przetwarzania. Administrator mógłby wówczas spowodować u podmiotu danych błędne przeświadczenie o dobrowolności podania danych na podstawie zgody, w sytuacji, gdy zachodzi inna podstawa przetwarzania. Osoba, której dane są przetwarzane, mogłaby wówczas błędnie zakładać, że posiada prawo do wycofania zgody na przetwarzanie.
Pomoc prawna w sprawach ochrony danych osobowych
Jeżeli potrzebujesz pomocy w sprawach ochrony danych osobowych, to zapraszam do kontaktu z moją Kancelarią Prawną we Wrocławiu. Jako radca prawny od lat doradzam podmiotom gospodarczym różnej wielkości i kategorii w sprawach związanych z ochroną danych osobowych w firmie.
Zapewniam kompleksową ofertę i wsparcie dostosowane do Twoich potrzeb, a także doraźną pomoc specjalisty od danych osobowych i możliwość ustalenia indywidualnych warunków zlecenia.
Źródła:
– Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych)
– Bielak-Jomaa Edyta (red.), Lubasz Dominik (red.), RODO. Ogólne rozporządzenie o ochronie danych. Komentarz, WKP 2018, komentarz do art. 6,
– Andrzej Krasulski, Ochrona danych osobowych na podstawie RODO, Warszawa 2018.
Potrzebujesz pomocy w swojej sprawie?
