Wykonanie umowy jako podstawa przetwarzania danych

Przetwarzanie danych osobowych musi opierać się na konkretnej podstawie prawnej – prawda stara jak świat (a właściwie jako prawo ochrony danych!). Jedną z podstaw, które przewiduje RODO jest tzw. wykonanie umowy, a uściślając: administrator może przetwarzać dane osobowe, jeżeli przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy (art. 6 ust. 1 lit. b RODO).

Ta podstawa wśród wielu administratorów niestety budzi wielkie zdziwienie: „Jak to, nie muszę się zgadzać?”, „Ale przecież trzeba wyrazić zgodę!” – to tylko niektóre z twierdzeń, które padają, gdy mówi się o tym, że samo wykonanie umowy jest podstawą prawną do przetwarzania danych. I to uświadamianie jest bardzo potrzebne. Każda z podstaw przetwarzania danych wskazana w art. 6 RODO ma bowiem charakter autonomiczny i równoważny względem pozostałych podstaw. Oznacza to, że każda podstawa jest tak samo ważna, a zgoda wcale nie jest „najważniejszą” i „najmocniejszą” (O! to już na pewno nie!) podstawą przetwarzania.

Co jednak musi się stać, aby można było skorzystać z podstawy „wykonania umowy”?

Przede wszystkim sam fakt zawartej umowy i jej wykonywanie (jak sama nazwa wskazuje) stanowi niewątpliwie podstawę do przetwarzania danych strony umowy. Należy pamiętać, że ta podstawa dotyczy tylko stron umowy. Na jej podstawie nie można przetwarzać danych innych osób np. pracowników drugiej strony umowy czy też jej podwykonawców.

Ponadto dane kontrahenta lub klienta (generalnie: drugiej strony umowy) można przetwarzać wtedy, gdy wprawdzie umowa nie jest jeszcze zawarta, ale druga strona (osoba, której dane dotyczą) podejmuje takie działanie, które ma zmierzać do zawarcia umowy. Chodzi tutaj o „żądanie osoby”, o którym mowa w art. 6 ust. 1 lit. b. Zatem, aby móc powołać się na tę podstawę przetwarzania, nie może dojść sytuacji, w której to administrator podejmuje takie działania mające na celu zawarcie umowy. Propozycja zawarcia umowy nie musi jednak stanowić oferty w rozumieniu przepisów Kodeksu cywilnego. Na omawianą podstawę administrator będzie mógł jednak powołać wtedy, gdy najpierw sam przedstawi propozycję zawarcia umowy, a druga osoba (której dane dotyczą) wyrazi co najmniej rzeczywiste zainteresowanie propozycją zawarcia umowy. Zainteresowanie powinno być konkretne i przyjąć formę odpowiedniego oświadczenia woli tej osoby. Przedstawiania propozycji zawarcia umowy nie można jednak nadużywać w ramach art. 6 ust. 1 lit. b RODO np. ten przepis nie będzie legalizował wydzwaniania do potencjalnych klientów z propozycją zawarcia umowy czy też wysyłania niezamówionych maili (spamu).

Oczywiście sam fakt oparcia przetwarzania danych na wykonaniu umowy nie uchyla jakichkolwiek obowiązków z RODO czyli m.in. przestrzegania wszelkich zasad z art. 5 RODO np. nie można w oparciu o wykonanie umowy przetwarzać danych „nadmiarowych” czyli niekoniecznie potrzebnych do wykonania umowy. Ponadto każdorazowo należy pamiętać o wykonywaniu obowiązku informacyjnego i wskazywaniu konkretnej podstawy przetwarzania w ramach tego obowiązku.

Skomentuj

Wprowadź swoje dane lub kliknij jedną z tych ikon, aby się zalogować:

Logo WordPress.com

Komentujesz korzystając z konta WordPress.com. Wyloguj /  Zmień )

Zdjęcie na Google

Komentujesz korzystając z konta Google. Wyloguj /  Zmień )

Zdjęcie z Twittera

Komentujesz korzystając z konta Twitter. Wyloguj /  Zmień )

Zdjęcie na Facebooku

Komentujesz korzystając z konta Facebook. Wyloguj /  Zmień )

Połączenie z %s