Co to jest przetwarzanie danych osobowych?

Dookreślanie przepisów wymaga zwrócenia uwagi na główne pojęcie w rozporządzeniu. Co to jest przetwarzanie danych osobowych? Definicja przetwarzania danych osobowych uregulowana została w art. 4 pkt 2 Rozporządzania RODO¹.

„przetwarzanie” oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak:

• zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub
• modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub
• innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie.

Na gruncie dyrektywy 95/46/WE² zdefiniowane zostało wyrażenie „przetwarzanie danych osobowych”

„przetwarzanie danych osobowych” („przetwarzanie”) oznacza każdą operację lub zestaw operacji dokonywanych na danych osobowych przy pomocy środków zautomatyzowanych lub innych, jak np.

• gromadzenie, rejestracja, porządkowanie, przechowywanie, adaptacja lub
• modyfikacja, odzyskiwanie, konsultowanie, wykorzystywanie, ujawnianie poprzez transmisję, rozpowszechnianie lub
• udostępnianie w inny sposób, układanie lub kompilowanie, blokowanie, usuwanie lub niszczenie.

Jak wynika z definicji, przetwarzanie danych osobowych to proces składający się z wielu czynności.

Przykładowe czynności przetwarzania danych osobowych:

• zbieranie CV od kandydatów do pracy;
• wprowadzanie danych osobowych pracowników do programu kadrowego;
• przechowywanie teczek pracowników zgodnie z obowiązującymi przepisami;
• wprowadzanie danych osobowych do systemu finansowano-księgowego w celu wystawienia faktury;
• modyfikowanie danych osobowych klientów w systemie CRM;
• niszczenie danych osobowych np. przy wykorzystaniu niszczarki;
• zapis z monitoringu wizyjnego;
• publikowanie wizerunku pracowników na stronie internetowej firmy.

Przetwarzanie danych osobowych musi odbywać się zgodnie z obowiązującymi zasadami wynikającymi m.in. z Rozporządzanie RODO

Zasady ogólne przetwarzania danych osobowych:

• zgodność z prawem, rzetelność i przejrzystość,
• ograniczenie celu
• minimalizacja danych
• prawidłowość
• ograniczenie przechowywania
• integralność i poufność
• rozliczalność

Zaprzestanie przetwarzania danych osobowych

Jedną z form zaprzestania przetwarzania danych osobowych jest skuteczne wniesienie sprzeciwu, czyli realizacja prawa uregulowanego w art. 21 Rozporządzenie RODO. Sprzeciw może zostać wniesiony, przez osobę, której dane dotyczą w dwóch sytuacjach:

• z przyczyn związanych z jej szczególną sytuacją – dotyczy danych osobowych przetwarzanych na podstawie art. 6 ust. 1 lit. e) lub f), w tym profilowanie
• dane osobowe są przetwarzane na potrzeby marketingu bezpośredniego

W takiej sytuacji Administrator danych osobowych musi zaprzestać przetwarzania danych osobowych. Natomiast, obowiązek ten nie będzie miał miejsca w sytuacji wykazania przez Administratora danych osobowych istnienia ważnych prawnie uzasadnionych podstaw do przetwarzania, nadrzędnych wobec interesów, praw i wolności osoby, której dane dotyczą, lub podstaw do ustalenia, dochodzenia lub obrony roszczeń. Zaprzestanie przetwarzania danych osobowych w praktyce jest trudne do wyegzekwowania, ponieważ wiele instytucji korzystając z ogólnych zapisów dotyczących tego odstępstwa, nadal je wykorzystuje. Jest to skomplikowane do ustalenia, ponieważ dotyczy nagminnych działań na pograniczu prawa, a sami konsumenci rzadko kiedy zgłaszają podobne przypadki jako naruszenie przepisów.

Na przykład odstępstwo to nie dotyczy marketingu bezpośredniego. W praktyce wiele firm telemarketingowych / call center nadal przetwarza nasze dane osobowe w celu realizacji marketingu bezpośredniego mimo wniosków dotyczących sprzeciwu na przetwarzanie danych osobowych. Wykonując kolejne połączenia telefonicznie, nie zaprzestają przetwarzania danych osobowych.

¹ Rozporządzenie Parlamentu Europejskiego i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE

² Dyrektywa 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych