Czy przesłanką przetwarzania przez organy publiczne może być art. 6 ust. 1 lit. f RODO?

Z uwagi na sprzeczne opinie, z którymi można się spotkać na szkoleniach oraz w literaturze przedmiotu, zwracam się z prośbą o udzielenie informacji w zakresie możliwości stosowania art. 6 ust. 1 lit. f RODO przez podmioty publiczne.

Przepis art. 6 ust. 1 lit. f RODO stanowi, iż przetwarzanie jest zgodne z prawem w przypadku gdy jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem.

Wyżej wymieniona podstawa prawna przetwarzania danych osobowych ma zastosowanie w sytuacji gdy administrator nie posiada zgody osoby, której dane dotyczą, nie istnieje żaden przepis, który mógłby stanowić podstawę do przetwarzania danych osobowych oraz gdy administrator nie może powołać się na realizację umowy, a mimo to przetwarzanie danych należy uznać za legalne z uwagi na „prawnie uzasadniony interes” administratora lub strony trzeciej. Przesłanka ta ma charakter dodatkowy, uzupełniający pozostałe podstawy dopuszczalności przetwarzania.

W treści powołanego wyżej przepisu znajduje się zastrzeżenie, iż podstawa prawna wskazana w lit. f nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań. Analiza tej normy prowadzi do wniosku, że omawiana przesłanka może być stosowana również przez podmioty publiczne, jednakże nie w sytuacji, w której realizują one swoje zadania określone w przepisach jako ustawowe kompetencje.

Zastosowanie powyższej podstawy prawnej powinno mieć miejsce w sytuacji, gdy administrator nie może powołać się na żadną inną podstawę przetwarzania danych. Administrator będący podmiotem publicznym określając legalność przetwarzania danych powinien sprawdzić, czy nie istnieje żaden przepis prawa, który mógłby stanowić podstawę do przetwarzania danych (art. 6 ust. 1 lit. c), a w następnej kolejności dokonać analizy czy przetwarzanie danych jest niezbędne do wykonywania zadania realizowanego w interesie publicznym (art. 6 ust. 1 lit. e).

Podkreślenia wymaga, że oparcie przetwarzania danych osobowych na przepisie art. 6 ust. 1 lit. f wymaga kumulatywnego spełnienia dwóch przesłanek pozytywnych. Po pierwsze, musi występować prawnie uzasadniony interes, który jest realizowany przez administratora lub przez stronę trzecią. Po drugie, niezbędna jest weryfikacja, czy przetwarzanie danych osobowych jest niezbędne dla realizacji celu wynikającego z prawnie uzasadnionych interesów. Nie wystarczy zatem samo występowanie takich interesów, lecz dodatkowo ich realizacja musi wymagać przetwarzania danych osobowych.

Następnie należy ocenić, czy nie jest spełniona przesłanka o charakterze negatywnym
w postaci występowania w danym stanie faktycznym interesów lub podstawowych praw
i wolności podmiotu danych, które mają charakter nadrzędny wobec prawnie uzasadnionych interesów administratora lub strony trzeciej. Stosowanie tej negatywnej przesłanki polega w istocie na wyważeniu dwóch dóbr chronionych prawem, tj. prawnie uzasadnionego interesu administratora lub strony trzeciej z jednej strony i interesów, podstawowych praw oraz wolności podmiotu danych z drugiej. Z treści motywu 47 wynika, że aby stwierdzić istnienie prawnie uzasadnionego interesu, należałoby w każdym przypadku przeprowadzić dokładną ocenę, w tym ocenę tego, czy w czasie i w kontekście, w którym zbierane są dane osobowe, osoba, której dane dotyczą, ma rozsądne przesłanki by spodziewać się, że może nastąpić przetwarzanie danych w tym celu.

Wobec powyższego w przypadku, gdyby administrator chciał skorzystać z tej podstawy przetwarzania danych, powinien przeprowadzić tzw. test równowagi, tzn. dokonać oceny, czy interes administratora lub strony trzeciej, przemawiający za przetwarzaniem danych, jest prawnie uzasadniony, czy przetwarzanie jest niezbędne do realizacji celu wynikającego z tego interesu, a następnie rozważyć, czy interesy lub podstawowe prawa i wolności osoby, której dane dotyczą nie przeważają nad prawnie uzasadnionym interesem administratora lub strony trzeciej.

Przy interpretacji przepisów dotyczących prawnie uzasadnionego interesu oraz przy przeprowadzaniu testu równowagi, pomocne mogą być wskazówki zawarte w Opinii 6/2014 Grupy Roboczej Art. 29 w sprawie pojęcia prawnie uzasadnionych interesów administratora danych na mocy art. 7 dyrektywy 95/46/WE (dostępnej na archiwalnej stronie UODO pod linkiem: https://archiwum.giodo.gov.pl/pl/1520203/7813), które mimo zmiany stanu prawnego, w znacznej mierze zachowują swoją aktualność.

Jednocześnie informuję, że zgodnie art. 13 ust.1 lit. d i art. 14 ust. 2 lit. d RODO, jeżeli przetwarzanie odbywa się na podstawie art. 6 ust. 1 lit. f osobie, której dane dotyczą, należy przekazać informację na temat prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią. W Wytycznych w sprawie przejrzystości na podstawie rozporządzenia 2016/679 (dostępnych pod linkiem: https://uodo.gov.pl/pl/3/1343) Grupa Robocza Art. 29 wskazuje, że „w ramach najlepszej praktyki administrator może również przedstawić osobie, której dane dotyczą, informacje uzyskane w wyniku testu równowagi, który należy przeprowadzić, aby można było oprzeć się na art. 6 ust.1 lit. f jako podstawie prawnej przetwarzania, zanim jakiekolwiek dane osobowe osoby, której dane dotyczą, zostaną zebrane. Aby nie przytłoczyć odbiorcy informacjami, można je włączyć do warstwowego oświadczenia o ochronie prywatności / warstwowej informacji o polityce prywatności. W każdym przypadku stanowisko GR29 jest takie, że z informacji udzielonych osobie, której dane dotyczą, powinno jasno wynikać, iż informacje dotyczące testu równowagi mogą uzyskać na żądanie. Jest to istotne dla skutecznej przejrzystości w przypadku gdy osoby, których dane dotyczą, mają wątpliwości, czy test równowagi przeprowadzono rzetelnie lub chcą złożyć skargę do organu nadzorczego.”

2020-09-24