ADWOKAT URSZULA DANILCZUK-KARNAS TEL.:

Transkrypt

1 ADWOKAT URSZULA DANILCZUK-KARNAS TEL.:

2 PRZETWARZANIE DANYCH OSOBOWYCH W ZATRUDNIENIU NA PODSTAWIE PRAWNIE UZASADNIONYCH INTERESÓW ADMINISTRATORA A ZASADA CELOWOŚCI

3 ART. 5 UST. 1 LIT. B RODO DANE OSOBOWE MUSZĄ BYĆ: ZBIERANE W KONKRETNYCH, WYRAŹNYCH I PRAWNIE UZASADNIONYCH CELACH I NIEPRZETWARZANE DALEJ W SPOSÓB NIEZGODNY Z TYMI CELAMI; DALSZE PRZETWARZANIE DO CELÓW ARCHIWALNYCH W INTERESIE PUBLICZNYM, DO CELÓW BADAŃ NAUKOWYCH LUB HISTORYCZNYCH LUB DO CELÓW STATYSTYCZNYCH NIE JEST UZNAWANE W MYŚL ART. 89 UST. 1 ZA NIEZGODNE Z PIERWOTNYMI CELAMI ( OGRANICZENIE CELU )

4 MOTYW 39 RODO W szczególności konkretne cele przetwarzania danych osobowych powinny być wyraźne, uzasadnione i określone w momencie ich zbierania. Dane osobowe powinny być adekwatne, stosowne i ograniczone do tego, co niezbędne do celów, dla których są one przetwarzane. Wymaga to w szczególności zapewnienia ograniczenia okresu przechowywania danych do ścisłego minimum. Dane osobowe powinny być przetwarzane tylko w przypadkach, gdy celu przetwarzania nie można w rozsądny sposób osiągnąć innymi sposobami.

5 ART. 6 UST. 1 LIT. F RODO PRZETWARZANIE JEST ZGODNE Z PRAWEM WYŁĄCZNIE W PRZYPADKACH, GDY - I W TAKIM ZAKRESIE, W JAKIM JEST NIEZBĘDNE DO CELÓW WYNIKAJĄCYCH Z PRAWNIE UZASADNIONYCH INTERESÓW REALIZOWANYCH PRZEZ ADMINISTRATORA LUB PRZEZ STRONĘ TRZECIĄ, Z WYJĄTKIEM SYTUACJI, W KTÓRYCH NADRZĘDNY CHARAKTER WOBEC TYCH INTERESÓW MAJĄ INTERESY LUB PODSTAWOWE PRAWA I WOLNOŚCI OSOBY, KTÓREJ DANE DOTYCZĄ, WYMAGAJĄCE OCHRONY DANYCH OSOBOWYCH, W SZCZEGÓLNOŚCI GDY OSOBA, KTÓREJ DANE DOTYCZĄ, JEST DZIECKIEM.

6 ART. 6 UST. 1 LIT. F RODO AKAPIT PIERWSZY LIT. F NIE MA ZASTOSOWANIA DO PRZETWARZANIA, KTÓREGO DOKONUJĄ ORGANY PUBLICZNE W RAMACH REALIZACJI SWOICH ZADAŃ.

7 ART. 6 UST. 4 RODO Jeżeli przetwarzanie w celu innym niż cel, w którym dane osobowe zostały zebrane, nie odbywa się na podstawie zgody osoby, której dane dotyczą, ani prawa Unii lub prawa państwa członkowskiego stanowiących w demokratycznym społeczeństwie niezbędny i proporcjonalny środek służący zagwarantowaniu celów, o których mowa w art. 23 ust. 1, administrator - aby ustalić, czy przetwarzanie w innym celu jest zgodne z celem, w którym dane osobowe zostały pierwotnie zebrane - bierze pod uwagę między innymi:

8 ART. 6 UST. 4 RODO a) wszelkie związki między celami, w których zebrano dane osobowe, a celami zamierzonego dalszego przetwarzania; b) kontekst, w którym zebrano dane osobowe, w szczególności relację między osobami, których dane dotyczą, a administratorem; c) charakter danych osobowych, w szczególności czy przetwarzane są szczególne kategorie danych osobowych zgodnie z art. 9 lub dane osobowe dotyczące wyroków skazujących i czynów zabronionych zgodnie z art. 10; d) ewentualne konsekwencje zamierzonego dalszego przetwarzania dla osób, których dane dotyczą; e) istnienie odpowiednich zabezpieczeń, w tym ewentualnie szyfrowania lub pseudonimizacji.

9 MOTYW 47 RODO Podstawą prawną przetwarzania mogą być prawnie uzasadnione interesy administratora, w tym administratora, któremu mogą zostać ujawnione dane osobowe, lub strony trzeciej, o ile w świetle rozsądnych oczekiwań osób, których dane dotyczą, opartych na ich powiązaniach z administratorem nadrzędne nie są interesy lub podstawowe prawa i wolności osoby, której dane dotyczą. Taki prawnie uzasadniony interes może istnieć na przykład w przypadkach, gdy zachodzi istotny i odpowiedni rodzaj powiązania między osobą, której dane dotyczą, a administratorem, na przykład gdy osoba, której dane dotyczą, jest klientem administratora lub działa na jego rzecz.

10 MOTYW 47 RODO Prawnie uzasadnionym interesem administratora, którego sprawa dotyczy, jest również przetwarzanie danych osobowych bezwzględnie niezbędne do zapobiegania oszustwom. Za działanie wykonywane w prawnie uzasadnionym interesie można uznać przetwarzanie danych osobowych do celów marketingu bezpośredniego.

11 MOTYW 48 RODO Administratorzy, którzy są częścią grupy przedsiębiorstw lub instytucji powiązanych z podmiotem centralnym, mogą mieć prawnie uzasadniony interes w przesyłaniu danych osobowych w ramach grupy przedsiębiorstw do wewnętrznych celów administracyjnych, co dotyczy też przetwarzania danych osobowych klientów lub pracowników. Pozostaje to bez wpływu na ogólne zasady przekazywania danych osobowych w ramach grupy przedsiębiorstw przedsiębiorstwu mieszczącemu się w państwie trzecim.

12 MOTYW 50 RODO Przetwarzanie danych osobowych do celów innych niż cele, w których dane te zostały pierwotnie zebrane, powinno być dozwolone wyłącznie w przypadkach, gdy jest zgodne z celami, w których dane osobowe zostały pierwotnie zebrane. Aby ustalić, czy cel dalszego przetwarzania danych osobowych jest zgodny z celem, w którym dane te zostały pierwotnie zebrane, administrator - po spełnieniu wszystkich wymogów warunkujących zgodność pierwotnego przetwarzania z prawem - powinien uwzględnić między innymi: wszelkie powiązania pomiędzy tymi celami a celami zamierzonego dalszego przetwarzania; kontekst, w którym dane osobowe zostały zebrane, w szczególności rozsądne przesłanki pozwalające osobom, których dane dotyczą, oczekiwać dalszego wykorzystania danych oparte na rodzaju ich powiązania z administratorem; charakter danych osobowych; konsekwencje zamierzonego dalszego przetwarzania dla osób, których dane dotyczą; oraz istnienie odpowiednich zabezpieczeń zarówno podczas pierwotnej, jak i zamierzonej operacji dalszego przetwarzania.

13 OGÓLNE ROZPORZĄDZENIE O OCHRONIE DANYCH OSOBOWYCH. KOMENTARZ, (RED.) DR M. SAKOWSKA-BARYŁA, A. NERKA Przesłanka wyrażona w art. 6 ust. 1 lit. f jest ukierunkowana przede wszystkim na ochronę interesów podmiotów sektora gospodarczego. Jej konstrukcja oparta na klauzuli generalnej umożliwia dokonywanie przetwarzania danych w sytuacjach uzasadnionych prowadzoną działalnością biznesową. Zważywszy bowiem na społeczne funkcje przepisów statuujących ochronę danych osobowych, nie można ich interpretować jako ograniczeń uderzających w rozwój sektora biznesowego, w którym prowadzenie określonej działalności polegającej m.in. na oferowaniu towarów bądź usług niejednokrotnie wymaga wykorzystania danych.

14 OGÓLNE ROZPORZĄDZENIE O OCHRONIE DANYCH OSOBOWYCH. KOMENTARZ, (RED.) DR M. SAKOWSKA-BARYŁA, A. NERKA TEST PROPORCJONALNOŚCI. warunkiem prawidłowości powołania się na realizacje prawnie uzasadnionego celu ADO jest spełnienie łączne następujących wymogów: 1) identyfikacja prawnie uzasadnionego interesu, który jest realizowany przez administratora lub przez stronę trzecią, 2) zweryfikowanie niezbędności przetwarzania dla realizacji celu wynikającego z przedmiotowego interesu; 3) ocena, czy nie jest spełniona przesłanka o charakterze negatywnym w postaci występowania w danym stanie faktycznym interesów lub podstawowych praw i wolności podmiotu danych, które mają charakter nadrzędny wobec prawnie uzasadnionych interesów administratora lub strony trzeciej.

15 OGÓLNE ROZPORZĄDZENIE O OCHRONIE DANYCH OSOBOWYCH. KOMENTARZ, (RED.) DR M. SAKOWSKA-BARYŁA, A. NERKA Mamy tutaj do czynienia ze swoistym testem proporcjonalności, ponieważ administrator musi dokonać wyważenia dwóch dóbr chronionych prawem, tj. prawnie uzasadnionego interesu administratora lub strony trzeciej z jednej strony i interesów, podstawowych praw oraz wolności podmiotu danych z drugiej. Ponadto zgodnie z motywem 47 administrator przy ważeniu dóbr powinien wziąć pod uwagę rozsądne oczekiwania osób, których dane dotyczą, oparte na ich powiązaniach z administratorem, czyli np. uwzględnić pozostawanie w relacji z klientem administratora lub gdy osoba działa na jego rzecz. Charakterystyka wskazanych kryteriów oceny została dokonana przez Grupę Roboczą Art. 29 [Opinia 3/2013 w sprawie ograniczenia celu (WP 203), s ].

16 PRZETWARZANIE DANYCH OSOBOWYCH W MIEJSCU PRACY PRZEKAZYWANIE DANYCH PRACOWNIKÓW OSOBOM TRZECIM Opinia Grupy roboczej art. 29 2/2017 na temat przetwarzania danych w miejscu pracy Przyjęta w dniu 8 czerwca 2017 r. Przedsiębiorstwa coraz częściej przekazują dane swoich pracowników klientom, aby zagwarantować sprawniejsze świadczenie stosownych usług. W zależności od zakresu świadczonych usług tego rodzaju dane mogą być stosunkowo szczegółowe (np. mogą obejmować fotografię z wizerunkiem pracownika). Z uwagi na nierównowagę sił pozycja pracowników jest jednak zbyt słaba, aby można było w ich przypadku mówić o dobrowolnym udzielaniu zgody na przetwarzanie ich danych osobowych przez ich pracodawcę, a w przypadku stwierdzenia, że takie przetwarzanie danych nie jest proporcjonalne, pracodawca nie posiada tytułu prawnego do tego rodzaju przetwarzania danych.

17 PRZETWARZANIE DANYCH OSOBOWYCH W MIEJSCU PRACY PRZEKAZYWANIE DANYCH PRACOWNIKÓW OSOBOM TRZECIM Przykład: Przedsiębiorstwo kurierskie przesyła swoim klientom wiadomość zawierającą link odsyłający do strony zawierającej informacje o imieniu i nazwisku kuriera (pracownika) oraz o jego lokalizacji. Przedsiębiorstwo udostępnia również zdjęcie paszportowe kuriera. Przedsiębiorstwo wyszło z założenia, że posiada tytuł prawny do przetwarzania danych z uwagi na swój uzasadniony interes (art. 7 lit. f) dyrektywy) polegający na zapewnieniu klientowi możliwości sprawdzenia, czy dostawca jest faktycznie osobą, za którą się podaje. Ujawnienie klientom danych dotyczących imienia i nazwiska oraz wizerunku dostawcy nie jest jednak konieczne. Z uwagi na brak innych podstaw prawnych uzasadniających takie przetwarzanie należy uznać, że przedsiębiorstwo kurierskie nie jest uprawnione do udostępniania klientom tego rodzaju danych osobowych.

18 Urszula Danilczuk-Karnas Adwokat m: f: a: ul. Kopernika 30 lok Warszawa e: