Przetwarzanie danych

Jak wskazuje art 7 pkt 2) Ustawy przez przetwarzanie danych osobowych należy rozumieć jakiekolwiek informacje wykonywane na tych danych, takiej jak zbieranie, utrwalanie, przechowywanie, opracowanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych. Przyjęcie wyłącznie potocznego rozumienia terminu „przetwarzanie” może być mylące, bowiem potoczne rozumienie słowa „przetwarzać”, to przerobić, przekształcać, zmieniać coś, nadając inny kształt, wygląd i postać, opracowywać zebrane dane, wykorzystując na przykład technikę komputerową[1]. Za przetwarzanie uznaje się więc dokonywanie wszelkich działań faktycznych na danych osobowych. Wystarczy zatem, że wykonywana jest którakolwiek z podanych operacji (np. samo zbieranie), a nawet operacja inna niż wymieniona w tym przepisie, mająca za przedmiot dane osobowe, aby należało uznać, ze dochodzi do przetwarzania danych[2]. Przetwarzanie danych może przebiegać w sposób niezautomatyzowany albo zautomatyzowany, całkowicie lub częściowo. W literaturze zagranicznej niekiedy wyróżniane są trzy podstawowe kategorie, czy innymi słowy, stadia związane z posługiwaniem się danym osobowymi:

a)     stadium wstępne – zbieranie

b)    przetwarzanie

c)     stadium końcowe – wykorzystanie[3].

Wyjaśnić należy pojęcie zbierania danych jako elementu definicji zawartej w art. 7 pkt 2) u.o.d.o.. Zbieranie zachodzi wówczas, gdy administrator otrzymuje dane na trwałym nośniku (lub umożliwia mu się naniesienie ich na taki nośnik). Okazanie lub ustne przekazanie informacji osobie uzyskującej wiadomość o danych nie stanowi zbierania danych w rozumieniu Ustawy[4]. Dane mogą być zbierane bezpośrednio od osób, których dotyczą, jak również pośrednio, np. w drodze umowy sprzedaży bazy danych[5].  Dane osobowe zebrane znajdują się pod ochroną wynikającą z ustawy tylko wtedy, gdy, jak stanowi art. 2 pkt 2) u.o.d.o. są przetwarzane w zbiorach ewidencyjnych – kartoteki, skorowidze, księgi  i wykazy oraz w systemach informatycznych, nawet wtedy, gdy są przetwarzane poza zbiorem danych. Analizując korelację między pojęciem „zbiór ewidencyjny” a „zbiór danych”, należy za definicją z art. 7 pkt 1) wskazać, że jest to każdy posiadający strukturę zestaw danych o charakterze osobowym, dostępnych według określonych kryteriów, niezależnie od tego czy zestaw ten jest rozporoszony czy podzielony funkcjonalnie. Aby zbiór informacji został uznany za zbiór danych musi spełniać kumulatywnie następujące warunki: zawierać dane osobowe, mieć określoną własną strukturę, oraz zapewniać dostęp do danych osobowych według określonych kryteriów[6].  Ilość kryteriów  decyduje o tym, czy zbiór stanowi zbiór danych czy zbiór ewidencyjny. Jeżeli kryterium jest jedno, zbiór taki będzie zbiorem ewidencyjnym, a w przypadku wielości kryteriów – zbiorem danych[7].

Przetwarzanie danych nie jest czynnością prawną, lecz czynnością realną, faktyczną, co oczywiście nie wyklucza, że wypłyną z niej konsekwencje prawne. W doktrynie prawa administracyjnego tego typu działania określ się mianem czynności materialno – technicznych[8].

W niektórych zagranicznych porządkach prawnych przyjęto rozwiązanie, które poza zakresem pojęcia przetwarzania danych wskazuje na dwie odrębne kategorie:

a)     zbierania danych

b)    wykorzystywania danych

Konsekwencją tego rozróżnienia jest odrębne traktowanie ograniczeń w sferze przetwarzanai i w sferze wykorzystywania danych. Rozwiązanie to nie przyjęło się na gruncie polskiego porządku prawnego[9].