Moduł 2 z 8 · Około 15 minut
Zasady i podstawy prawne
Zasady, które musi spełniać każde przetwarzanie, oraz jak wybrać i udokumentować podstawę prawną.
Zasady z art. 5
- Zgodność z prawem, rzetelność i przejrzystość.
- Ograniczenie celu: konkretne, wyraźne i prawnie uzasadnione cele, bez dalszego przetwarzania niezgodnego z nimi.
- Minimalizacja danych: adekwatne, stosowne i ograniczone do niezbędnych.
- Prawidłowość: prawidłowe i w razie potrzeby uaktualniane.
- Ograniczenie przechowywania: w formie umożliwiającej identyfikację nie dłużej, niż to niezbędne.
- Integralność i poufność: odpowiednie bezpieczeństwo.
- Rozliczalność: administrator odpowiada za przestrzeganie zasad i musi być w stanie to wykazać.
Sześć podstaw prawnych
Art. 6 ust. 1 przewiduje sześć podstaw: zgodę; umowę; obowiązek prawny; żywotne interesy; zadanie realizowane w interesie publicznym; oraz prawnie uzasadniony interes, na który organy publiczne nie mogą się powoływać przy przetwarzaniu w ramach wykonywania swoich zadań. Podstawę należy wybrać przed rozpoczęciem przetwarzania, udokumentować i wyjaśnić w klauzuli informacyjnej. Nie należy jej później zmieniać tylko dlatego, że pierwszy wybór okazał się niewygodny.
Zgoda musi być dobrowolna, konkretna, świadoma i jednoznaczna, wyrażona wyraźnym działaniem potwierdzającym, i musi dać się wycofać równie łatwo, jak ją wyrażono. Przy wyraźnej nierównowadze sił, na przykład między pracodawcą a pracownikiem, zgoda rzadko jest dobrowolna. Prawnie uzasadniony interes wymaga trzyetapowego testu – celu, niezbędności i równowagi – który warto spisać.
Szczególne kategorie i dane dotyczące przestępstw
Art. 9 zakazuje przetwarzania danych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe albo przynależność do związków zawodowych oraz danych genetycznych, danych biometrycznych w celu identyfikacji, danych dotyczących zdrowia, seksualności lub orientacji seksualnej, chyba że zachodzi jeden z warunków art. 9 ust. 2 – np. wyraźna zgoda, prawo pracy i zabezpieczenia społecznego, żywotne interesy lub ważny interes publiczny. Dane dotyczące wyroków skazujących i czynów zabronionych (art. 10) wymagają nadzoru władzy publicznej lub podstawy w prawie Unii lub państwa członkowskiego. Wiek, od którego dziecko może samodzielnie wyrazić zgodę na usługi online, wynosi od 13 do 16 lat w zależności od państwa członkowskiego.
Najważniejsze wnioski
- Rozliczalność oznacza możliwość wykazania zgodności, a nie tylko jej osiągnięcie.
- Podstawę prawną należy wybrać, udokumentować i opublikować przed rozpoczęciem przetwarzania.
- Zgoda to tylko jedna z sześciu podstaw i często nie najlepsza dla pracodawców czy podmiotów publicznych.
- Dane szczególnych kategorii wymagają podstawy z art. 6 i warunku z art. 9.
Sprawdź się
Pracodawca chce oprzeć monitorowanie służbowej poczty na zgodzie pracowników. Dlaczego to słaba podstawa?
Pokaż odpowiedź: Z powodu nierównowagi sił zgoda raczej nie będzie dobrowolna; zwykle właściwszy jest prawnie uzasadniony interes z udokumentowanym testem równowagi.
Jakie dwa elementy są potrzebne do zgodnego z prawem przetwarzania danych o zdrowiu?
Pokaż odpowiedź: Podstawa prawna z art. 6 i warunek z art. 9 ust. 2.