W grudniu na naszym blogu opublikowany został artykuł, który rozpoczął serię poświęconą realizacji praw osób, których dane dotyczą. Jest on przywoływany na początku każdej publikacji z cyklu, aby podkreślić, że każde z uprawnień podmiotu danych powinno być realizowane z uwzględnieniem trybu wykonywania praw oraz ogólnych zasad przejrzystej komunikacji. Zostały one sprecyzowane w art. 12 RODO, który został przeanalizowany w grudniowej publikacji.
W niniejszym artykule przybliżone zostanie kolejne z uprawnień, jakim jest prawo do ograniczenia przetwarzania.
Po lekturze czytelnik dowie się:
- Czym jest prawo do ograniczenia przetwarzania?
- Kiedy podmiot danych może żądać od administratora ograniczenia przetwarzania danych?
- W jakich sytuacjach mimo ograniczenia przetwarzania na danych można wykonywać inne operacje?
- Co administrator powinien zrobić przed uchyleniem ograniczeniem przetwarzania?
- Kiedy nie można zrealizować prawa do ograniczenia przetwarzania danych?
- W jakich sytuacjach najczęściej korzysta się z prawa do ograniczenia przetwarzania danych?
Czym jest prawo do ograniczenia przetwarzania?
Ograniczenie przetwarzana zostało zdefiniowane w art. 4 pkt. 3 RODO, zgodnie z którym jest to „oznaczenie przechowywanych danych osobowych w celu ograniczenia ich przyszłego przetwarzania”.
Prawo do ograniczenia przetwarzania zostało uregulowane w art. 18 RODO. Kluczowym elementem tego uprawienia jest zakaz wykonywania na danych osobowych innych operacji niż przechowywanie. Zdaniem dr Edyty Bielak-Jomma (wyrażonym w publikacji: M. Czerniawski [w:] RODO. Ogólne rozporządzenie o ochronie danych. Komentarz, red. E. Bielak-Jomaa, D. Lubasz, Warszawa 2018, art. 18) „(…) prawo do ograniczenia przetwarzania jest szczególnym, restrykcyjnym sposobem sprawowania kontroli przez podmiot danych nad dotyczącymi go informacjami. Wpisuje się ono w przyświecający ogólnemu rozporządzeniu cel polegający na zwiększaniu kontroli sprawowanej przez podmiot danych nad dotyczącymi go danymi”. Uprawnienie to przysługuje wyłącznie osobie, której dane dotyczą, w związku z czym nie można żądać ograniczenia przetwarzania danych innych osób.
Kiedy podmiot danych może żądać od administratora ograniczenia przetwarzania danych?
Treść art. 18 ust. 1 RODO składa się z zamkniętego katalogu okoliczności, na podstawie których podmiot danych może żądać od administratora ograniczenia przetwarzania jego danych osobowych.
Osoba, której dane dotyczą może żądać od administratora ograniczenia przetwarzania dotyczących jej danych osobowych w następujących przypadkach:
a) osoba, której dane dotyczą, kwestionuje prawidłowość danych osobowych – na okres pozwalający administratorowi sprawdzić prawidłowość tych danych;
Pierwsza przesłanka jest związana z zasadą prawidłowości, uregulowaną w art. 5 ust. 1 lit. d RODO, zgodnie z którą dane osobowe powinny być „ (…) prawidłowe i w razie potrzeby uaktualniane; należy podjąć wszelkie rozsądne działania, aby dane osobowe, które są nieprawidłowe w świetle celów ich przetwarzania, zostały niezwłocznie usunięte lub sprostowane”. Powołując się na tę przesłankę podmiot danych podnosi zarzut nieprawidłowości jego danych osobowych. Na czas sprawdzenia czy dane są prawidłowe administrator musi ograniczyć ich przetwarzanie wyłącznie do przechowywania. Zatem po dokonaniu weryfikacji będzie mógł wznowić dotychczasowe operacje. Przy czym poprawienie danych (jeśli rzeczywiście były nieprawidłowe) może mieć wpływ na procesy przetwarzania po ich zmianie. Warto jeszcze dodać, że osoba, której dane dotyczą nie musi wcale podawać prawidłowej jej zdaniem treści danych, ponieważ może jej nawet znać. To administrator musi być w stanie wykazać, że przetwarzanie spełnia wymagania zasady prawidłowości. Jeśli jednak ADO sam nie jest w stanie uaktualnić danych, osoba, której one dotyczą może skorzystać z prawa do sprostowania danych, podając ich poprawną treść.
b) przetwarzanie jest niezgodne z prawem, a osoba, której dane dotyczą, sprzeciwia się usunięciu danych osobowych, żądając w zamian ograniczenia ich wykorzystywania;
Powyższa przesłanka dotyczy zasady „zgodności z prawem, rzetelności i przejrzystości”. Wspomniana zasada legalności nakłada na administratora obowiązek zapewnienia, że wszystkie dane osobowe przetwarzane są bez naruszenia jakichkolwiek przepisów prawa.
Aby dane były przetwarzane zgodnie z prawem, czynności przetwarzania podejmowane przez administratora muszą być realizowane zgodnie z przesłankami dopuszczalności przetwarzania (wyrażonymi w art. 6, 9 i 10 RODO). Jeżeli tak nie jest, osoba, której dane dotyczą może wystąpić z wnioskiem o ich usunięcie. Natomiast w sytuacji, kiedy nie chce, aby dane zostały usunięte może zawnioskować o ograniczenie ich przetwarzania.
c) administrator nie potrzebuje już danych osobowych do celów przetwarzania, ale są one potrzebne osobie, której dane dotyczą, do ustalenia, dochodzenia lub obrony roszczeń;
Dane mogą przestać być administratorowi potrzebne m.in. w sytuacji, kiedy zrealizowany został cel ich przetwarzania (minął ustalony okres przechowywania). Przesłanka ta ma pośredni związek z zasadą ograniczenia przechowywania, zgodnie z którą dane osobowe muszą być „przechowywane w formie umożliwiającej identyfikację osoby, której dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane”.
W przypadku żądania podmiotu danych administrator nie może ich usunąć nawet po zrealizowaniu celu przetwarzania. W niektórych sytuacjach mogą być one potrzebne wnioskodawcy do realizacji innych jego uprawnień (np. prawa dostępu), bądź dochodzenia roszczeń. Przykłady takich sytuacji zostały przedstawione w dalszej części artykułu.
d) osoba, której dane dotyczą, wniosła sprzeciw na mocy art. 21 ust. 1 wobec przetwarzania – do czasu stwierdzenia, czy prawnie uzasadnione podstawy po stronie administratora są nadrzędne wobec podstaw sprzeciwu osoby, której dane dotyczą.
Ostatnia okoliczność związana jest z wniesieniem sprzeciwu wobec przetwarzania danych przez osobę, której dotyczą. Prawo do sprzeciwu jest uprawnieniem, które zostanie opisane w naszym kolejnym artykule.
W takiej sytuacji należy ograniczyć przetwarzanie danych wnioskodawcy do czasu stwierdzenia zasadności wniosku.
W jakich sytuacjach mimo ograniczenia przetwarzania na danych można wykonywać inne operacje?
Realizacja prawa do ograniczenia przetwarzania nie zawsze oznacza, że dane mogą być jedynie przechowywane. Unijny prawodawca w art. 18 ust. 2 dopuszcza sytuacje, kiedy mimo ograniczenia przetwarzania można wykonywać na danych osobowych również inne operacje. Jest to dopuszczalne w następujących przypadkach:
- wyłącznie za zgodą osoby, której dane dotyczą, lub
- w celu ustalenia, dochodzenia lub obrony roszczeń, lub
- w celu ochrony praw innej osoby fizycznej lub prawnej, lub
- z uwagi na ważne względy interesu publicznego Unii lub państwa członkowskiego.
Co administrator powinien zrobić przed uchyleniem ograniczeniem przetwarzania?
Po ustaniu przesłanek z art. 18 ust. 1 RODO administrator uchyla zrealizowane prawo ograniczenia przetwarzania. Załóżmy, że konkretna osoba zakwestionowała poprawność swoich danych. Administrator, na podstawie art. 18 ust. 1 lit. a, na czas weryfikacji wniosku ograniczył przetwarzanie danych. Jeżeli przedmiotowy wniosek został przeanalizowany (a więc ustały przesłanki z art. 18 ust. 1) ADO – niezależnie od wyników weryfikacji – uchyla ograniczenie przetwarzania danych, tzn. może ponownie realizować wcześniejsze operacje.
Zgodnie z art. 18 ust. 3 RODO o fakcie tym powiadamia osobę, której dane dotyczą. Zawiadomienie (jak cała komunikacja z podmiotem danych) odbywa się z zastosowaniem art. 12 RODO, który został opisany w naszym grudniowym artykule.
Poinformowanie o uchyleniu ograniczenia przetwarzania ma umożliwić podmiotowi danych skorzystanie z innych uprawnień przysługujących mu na mocy RODO.
Kiedy nie można zrealizować prawa do ograniczenia przetwarzania danych?
Zgodnie z art. 23 RODO prawodawca unijny lub krajowy może ograniczyć realizację praw określonych w art. 15-22 RODO. Polski prawodawca wprowadził do porządku prawnego szereg przepisów, które zawężają zastosowanie prawa do ograniczenia przechowywania.
Jako przykład można podać art. 2a § 3 kodeksu postepowania administracyjnego (k.p.a.) praz art. 1a § 3 ustawy z dnia 29 sierpnia 1997 r. ordynacja podatkowa (t.j. Dz. U. z 2022 r. poz. 2651 z późn. zm.). Zgodnie z przywołanymi przepisami wystąpienie z żądaniem ograniczenia przetwarzania danych nie wpływa na tok i wynik postępowania (a w przypadku ordynacji podatkowej na tok i wynik procedur podatkowych). Przepisy te zapobiegają sytuacji, kiedy ograniczenie przetwarzania danych mogłoby uniemożliwić lub znacznie utrudnić prowadzone postępowanie.
Przykłady ograniczenia przedmiotowego uprawnienia można znaleźć w regulacjach dotyczących wykonywania zawodów prawniczych, tj.: art. 16a ust. 1 ustawy z 26 maja 1982 r. – Prawo o adwokaturze (t.j. Dz. U. z 2022 r. poz. 1184 z późn. zm.), art. 5a ust. 1 ustawy z 6 lipca 1982 r. o radcach prawnych (t.j. Dz. U. z 2022 r. poz. 1166) oraz w art. 78b § 1 ustawy z 14 lutego 1991 r. – Prawo o notariacie (t.j. Dz. U. z 2022 r. poz. 1799). W przedstawionych aktach prawnych wskazano m.in., że prawo do ograniczenia przetwarzania danych stosuje się w zakresie, w jakim nie narusza ono obowiązku zachowania tajemnicy zawodowej przez osoby, których dotyczą w/w ustawy.
W jakich sytuacjach najczęściej korzysta się z prawa do ograniczenia przetwarzania danych?
Z prawa do ograniczenia przetwarzania danych można skorzystać w sytuacji kiedy dane są przetwarzane w kilku celach, a jeden z nich został zrealizowany. Przykładowo, po ustaniu stosunku pracy pracodawca wciąż przetwarza dane pracownika na podstawie obowiązków lub uprawnień wynikających z przepisów prawa. Celów przetwarzania może być w tym przypadku kilka – np. realizacja obowiązków wynikających z przepisów prawa podatkowego lub ochrona przed roszczeniami ze stosunku pracy. Jeżeli ustał jeden z w/w celów dane w stosownym zakresie powinny zostać usunięte.
Można wyobrazić sobie jednak, że pracodawca nie usunął danych zgodnie z zasadą ograniczenia przechowywania i wykorzystywał je do innych celów (np. marketingowych), co należałoby uznać za przetwarzanie niezgodne z prawem. W takim przypadku podmiotowi danych przysługuje przede wszystkim prawo do usunięcia danych, ale może on mieć inne intencje, a RODO daje mu więcej możliwości.
Może skorzystać również z uprawnienia z art. 18 RODO. Administrator wciąż będzie wówczas w posiadaniu jego danych osobowych, jednak nie będzie mógł wykonywać na nich innych operacji niż przechowywanie (dla zakresu danych, dla którego cel ADO został osiągnięty).
Kilka celów przetwarzania danych nie występuje wyłącznie w relacji pomiędzy pracodawcą a pracownikiem. Podobna sytuacja może mieć miejsce również w przypadku przetwarzania danych byłego lub obecnego klienta.
Inny przykład realizacji prawa do ograniczenia przetwarzania można zobrazować w oparciu o przetwarzanie danych osobowych w ramach monitoringu wizyjnego. Jeżeli organizacja realizuje monitoring, przechowuje nagrania zawierające wizerunki osób przez określony czas, a potem dane te zostają usunięte (nadpisane). Może się zdarzyć, że monitoring uchwycił sytuację istotną z perspektywy nagranej osoby a nie administratora. Wówczas zapis nie jest już potrzebny ADO i mógłby zostać standardowo nadpisany, natomiast osoba pokrzywdzona może zawnioskować (w oparciu o art. 18 ust. 1 lit. c) o zabezpieczenie danych, na poczet dochodzenia roszczeń. W takim przypadku administrator powinien nadal przechowywać te dane, co najmniej do czasu przekazania ich uprawnionym organom lub przedawnienia potencjalnych roszczeń.
Podsumowanie
Prawo do ograniczenia przetwarzania należy do uprawnień o charakterze czynnym, ponieważ pozwala osobie fizycznej na kontrolowanie operacji wykonywanych z użyciem jej danych osobowych.
Przedmiotowe uprawnienie nie jest tak często stosowane jak na przykład prawo do usunięcia danych („prawo do bycia zapomnianym”). Może to wynikać z niezrozumienia przez podmioty danych jego sensu oraz korzyści z niego wynikających. W rzeczywistości prawo do ograniczenia przetwarzania danych jest niezwykle korzystne dla osoby, której dane dotyczą zwłaszcza wtedy, gdy danych nie można usunąć lub mogłyby one zostać usunięte za wcześnie.