Szczególne przesłanki przetwarzania danych

Oprócz ogólnych przesłanek przetwarzania danych osobowych, można wskazać także szczególne przesłanki przetwarzania tych danych.   

Są to: zbieranie danych osobowych, podejmowanie automatycznych rozstrzygnięć, numerowanie, udostępnianie danych, zlecenie przetwarzania danych, przekazywanie do państwa trzeciego

Zbieranie danych osobowych

W art. 7 ust. 2) zbieranie wymieniono jako jeden z rodzajów przetwarzania danych osobowych. Zbieranie danych oznacza aktywność administratora podejmowaną w celu pozyskania danych osobowych[1]. Ustawa o ochronie danych osobowych wyróżnia dwie formy w jakiej dane mogą być zbierane:

·       Zbieranie danych od osoby, której one dotyczą;

·       Zbieranie danych nie od osoby, której one dotyczą.

Ze zbieraniem danych łączy się obowiązek informacyjny, tzn. konieczność podania do wiadomości osoby, której dane dotyczą informacji umożliwiających korzystanie jej z przyznanych w ustawie uprawnień[2].

a)      Zbieranie danych od osoby, której one dotyczą

Zbieranie danych wprost od osoby, której dane dotyczą, nakłada na administratora obowiązek powiadomienia jej o:

a) swojej nazwie (nazwisku), siedzibie (miejscu zamieszkania); dane te powinny być ścisłe, pełne i aktualne, tak aby umożliwiały zainteresowanemu wystąpienie z roszczeniami informacyjnymi, o których mowa w art. 32 ust. 1 u.o.d.o.;

b) celu zbierania danych, w tym przewidywanych odbiorcach danych; gdy w czasie zbierania danych nie można jeszcze ich dokładnie określić, podać należy przynajmniej kategorię potencjalnych odbiorców;

c) prawie dostępu do treści swoich danych i do ich poprawiania;

d) dobrowolności albo obowiązku podania danych, a jeśli taki obowiązek istnieje - o jego prawnej podstawie[3].

Wykonanie obowiązku powiadomienia ciąży na administratorze danych. Nie ma jednak żadnych przeszkód, aby posłużył się on w tym zakresie innym podmiotem (dyrektywa 95/46/WE wyraźnie wskazuje taką możliwość). Posłużenie się innym podmiotem będzie zazwyczaj konieczne i celowe, jeżeli to on, a nie administrator zbiera dane osobowe[4]. W przypadku pierwotnego zbierania danych osobowych, art. 24 OchrDanOsU nie wskazuje chwili przekazania informacji – należy jednak zgodzić się ze stanowiskiem nauki prawa i przyjąć, że powiadomienie powinno nastąpić przed zebraniem danych osobowych[5].

b)      Zbieranie danych nie od osoby, której one dotyczą

W praktyce przetwarzania danych osobowych mogą wystąpić sytuacje, w których administrator gromadzi dane za pośrednictwem innych osób, np. kupując cudzą bazę danych osobowych[6].

Osoba, której dane są zbierane bez jej udziału, powinna być poinformowana przez administratora bezpośrednio po utrwaleniu danych o:

1) jego nazwie (nazwisku), siedzibie (miejscu zamieszkania);

2) celu i zakresie zbierania danych, w tym przewidywanych odbiorcach danych; obowiązek informowania o "zakresie zbieranych danych" zobowiązuje - jak można przyjąć - do podania rodzaju zbieranych danych, natomiast nie wynika z niego powinność informowania o treści danych;

3) źródle danych;

4) prawie dostępu do treści swoich danych i do ich poprawiania;

5) prawie wniesienia

a) umotywowanego żądania zaprzestania przetwarzania danych ze względu na jej szczególną sytuację oraz

b) sprzeciwu co do przetwarzania jej danych:

- gdy chodzi o przetwarzanie niezbędne do wykonania zadań określonych prawem, a realizowanych dla dobra publicznego, lub

- wobec przetwarzania niezbędnego do osiągania prawnie usprawiedliwionych celów administratorów danych albo odbiorców danych (gdy administrator zamierza je przetwarzać w celach marketingowych lub wobec przekazywania danych innemu administratorowi).

Na administratorze nie ciąży, w świetle komentowanego przepisu, obowiązek informowania o tym, "jakie" dane osobowe zebrał i ma. Gdyby zainteresowany chciał się tego dowiedzieć, musiałby z własnej inicjatywy wystąpić ze stosownym roszczeniem informacyjnym z art. 32 ust. 1 pkt 3 u.o.d.o[7].

Przesłanki zwolnienia z obowiązku informacyjnego. Oprócz wyłączenia z punktu 1 ustawa przewiduje dodatkowe dwie przesłanki w pkt 3 i 5 ust. 2 art. 25 OchrDanOsU. Pierwsza z nich dotyczy zwolnienia z obowiązku informacyjnego w sytuacji, gdy:

·       dane są niezbędne do prowadzenia badań naukowych, dydaktycznych, historycznych, statystycznych lub badania opinii publicznej;

·       przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą;

·       dostarczenie informacji wymagałoby nadmiernych nakładów lub zagrażałoby realizacji celu badania[8]

PS. Z uwagi na bardzo szeroki zakres tej tematyki, osobom zainteresowanym polecam Komentarz o ochronie danych osobowych J. Barty, P. Fajgielskiego i R. Markiewicza oraz Komentarz P. Barty i P. Litwińskiego Ustawa o ochronie danych osobowych.