Uzasadniony interes: pułapka czy zbawienie?

Z uwagi na dużą popularność ostatniego wpisu „Wykonanie umowy jako podstawa przetwarzania danych”, kontynuujemy tematykę podstaw przetwarzania danych, ale nie będziemy tego robić po kolei i encyklopedycznie, bo byłoby po prostu nudno. Dlatego w tym wpisie przeskakujemy z litery b od razu do litery f. Pod magicznym przepisem art. 6 ust. 1 lit f kryje się bowiem równie magiczna podstawa przetwarzania danych, której problematyka przekracza ramy jednego wpisu. Dlatego skupimy się głównie na tym, dlaczego podstawa z litery f to jednocześnie pułapka i zbawienie.

Pułapka

Uzasadniony interes stanowi podstawę przetwarzania, która jest najtrudniejsza do zrealizowania pod kątem rozliczalności. Przepis art. 6 ust. 1 lit. f wyraźnie mówi o tym, że administrator, chcąc oprzeć przetwarzanie w oparciu o swój uzasadniony interes, musi sprawdzić czy przypadkiem prawa i wolności osób, których dane dotyczą nie mają charakteru nadrzędnego na tym interesem. Gdyby tak było, wtedy nie można przetwarzać danych w oparciu o tę podstawę. Jak to zbadać? Najpopularniejszym i najczęściej zalecanym sposobem jest przeprowadzenie tzw. testu równowagi (ang. balancing test). Ten test polega na szczegółowym zbadaniu zamierzonego przetwarzania oraz praw i wolności podmiotów danych. Celem testu jest „zważenie” interesu administratora lub osoby trzeciej oraz praw i wolności osób, których dane dotyczą. Test powinien być udokumentowany i przygotowany do okazania podczas ewentualnej kontroli. Brak wykazania przeprowadzenia badania wymaganego w art. 6 ust. 1 lit. f to typowa pułapka tej podstawy przetwarzania, w która można wpaść przez własną niewiedze lub lenistwo.

Kolejną pułapką jest konieczność identyfikacji podstaw przetwarzania, a w szczególności odróżnienia lit. f od lit. a i b. O ile bardzo często dojdzie do konieczności wyboru między uzasadnionym interesem a zgodą (np. przy marketingu bezpośrednim) i każdy z tych wyborów może być trafny (byleby trzymać się go przez cały czas), to rozróżnienie lit. b i lit. f może napotkać trudności. Przykład znany z poprzedniego wpisu: podstawę z „wykonania umowy” z lit. b wykorzystujemy do przetwarzania danych strony umowy. Jeśli jednak strona umowy ma pracowników lub współpracowników, którzy będą brać udział w realizacji tej umowy, to nie można przetwarzać danych tych osób w oparciu o lit. b. W takiej sytuacji dochodzi do klasycznego oparcia przetwarzania na podstawie uzasadnionego interesu czyli lit. f.

Zbawienie

Uzasadniony interes to nie tylko pułapka, ale również (a nawet przede wszystkim!) zbawienie. Podobna podstawa przetwarzania istniała w poprzednio obowiązującej ustawie o ochronie danych osobowych z 1997 r., jednak tam mowa była o „prawnie uzasadnionych celach” zamiast o „uzasadnionym interesie”. Wtedy jednak ta podstawa nie cieszyła się dużą popularnością, gdyż była zbyt ogólna i – można rzec – tajemnicza. Dzisiaj w dobie RODO i całej paniki z tym związanej (w szczególności w zakresie kar administracyjnych), administratorzy w celu poprawnego zaszeregowania danego przetwarzania do jego podstaw muszą korzystać z każdej podstawy przetwarzania, która jest wymagana lub możliwa w danym wypadku. Wiele przypadków nie pozwala na skorzystanie z „najbezpieczniejszych” podstaw przetwarzania np. zgody, wykonania umowy czy obowiązku prawnego. W takiej sytuacji zwykle trzeba sięgnąć właśnie do lit. f i na niej oprzeć swoje przetwarzanie. Gdyby nie ta podstawa przetwarzania, administrator nie miałby żadnej „furtki” pozwalającej mu na przetwarzanie danych, gdyby inne podstawy nie istniały. Oczywiście nie oznacza to, że w oparciu o lit. f można przetwarzać wszystko i zawsze, jednak ta podstawa pozwala na większą swobodę w interpretacji (a czasem nawet ratowaniu legalności swojego przetwarzania) aniżeli pozostałe podstawy.

Ponadto uzasadniony interes należy rozumieć szeroko pod kątem podmiotowym. Dotyczy on nie tylko uzasadnionego interesu administratora, ale również osoby trzeciej. Można nawet uznać, że w wyżej podanym przykładzie dotyczącym pracowników i współpracowników administratora, należy dopatrywać się zarówno interesu samego administratora (przetwarzanie przez niego danych tych osób jest potrzebne do poprawnego wykonania umowy i kontrolowania tego wykonania przez kontrahenta), ale również interesu tych osób (wykonują one umowę z kontrahentem administratora za wynagrodzeniem, a zatem przetwarzanie danych przez tego administratora leży w ich interesie). Możliwość uwzględnienia nie tylko interesu samego administratora, ale również osoby trzeciej z pewnością pozwala na szersze zastosowanie tej podstawy przetwarzania, aniżeli w sytuacji, gdyby przepis pozwalał jedynie na uwzględnienie interesu administratora.

A zatem bardziej pułapka czy bardziej zbawienie? Z pewnością: bardziej zbawienie, ale na pułapki też trzeba uważać.

Skomentuj

Wprowadź swoje dane lub kliknij jedną z tych ikon, aby się zalogować:

Logo WordPress.com

Komentujesz korzystając z konta WordPress.com. Wyloguj /  Zmień )

Zdjęcie na Google

Komentujesz korzystając z konta Google. Wyloguj /  Zmień )

Zdjęcie z Twittera

Komentujesz korzystając z konta Twitter. Wyloguj /  Zmień )

Zdjęcie na Facebooku

Komentujesz korzystając z konta Facebook. Wyloguj /  Zmień )

Połączenie z %s