To już ostatni Komunikat IOD-y z serii poświęconej podstawom przetwarzania danych osobowych uregulowanym w art. 6 RODO. Tym razem omówiona zostanie przesłanka określona w art. 6 ust. 1 lit. f RODO, czyli prawnie uzasadniony interes administratora lub strony trzeciej.
CHARAKTER PRAWNIE UZASADNIONEGO INTERESU JAKO PODSTAWY PRZETWARZANIA DANYCH
Zgodnie z art. 6 ust. 1 lit. f RODO przetwarzanie danych osobowych jest zgodne z prawem, jeżeli „(…) jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem”. Pojęcie „prawnie uzasadnionego interesu” nie oznacza, że interes administratora musi wynikać wprost z konkretnego przepisu prawa. Może nim być uzasadniony cel związany z prowadzoną przez administratora działalnością lub szczególną sytuacją, w której się znalazł. Nie każdy jednak interes administratora może automatycznie stanowić podstawę przetwarzania danych osobowych.
Zastosowanie art. 6 ust. 1 lit. f RODO wymaga bowiem spełnienia trzech warunków. Po pierwsze, administrator musi zidentyfikować prawnie uzasadniony interes realizowany przez siebie lub przez stronę trzecią. Po drugie, przetwarzanie danych musi być niezbędne do osiągnięcia celu związanego z tym interesem. Po trzecie, interes administratora lub strony trzeciej nie może mieć charakteru podrzędnego wobec interesów oraz praw i wolności osoby, której dane dotyczą.
OCENA PRAWNIE UZASADNIONEGO INTERESU
Pierwszym krokiem jest określenie interesu, który administrator zamierza realizować. Powinien on być rzeczywisty, konkretny i zgodny z prawem (dozwolony przepisami lub nie zabroniony). Administrator powinien zatem potrafić wskazać, jaki cel chce osiągnąć poprzez przetwarzanie danych oraz jakie znaczenie ma jego realizacja. Prawnie uzasadnionym interesem może być przykładowo zapewnienie bezpieczeństwa osób i mienia, dochodzenie lub obrona przed roszczeniami, zapobieganie nadużyciom czy utrzymywanie relacji z klientami. Samo wskazanie takiego interesu nie przesądza jednak jeszcze o możliwości zastosowania art. 6 ust. 1 lit. f RODO.
Kolejnym etapem jest ocena niezbędności przetwarzania. Administrator powinien ustalić, czy przetwarzanie danych rzeczywiście służy osiągnięciu zamierzonego celu oraz czy tego samego celu nie można racjonalnie osiągnąć w inny sposób, mniej ingerujący w prywatność osoby, której dane dotyczą. Znaczenie ma również zakres wykorzystywanych danych – powinien być ograniczony do danych rzeczywiście potrzebnych do realizacji określonego interesu.
TEST RÓWNOWAGI
Samo istnienie prawnie uzasadnionego interesu oraz niezbędność przetwarzania danych nie są wystarczające. Administrator powinien również ocenić, czy interesy, podstawowe prawa lub wolności osoby, której dane dotyczą nie przeważają nad jego interesem. Ocena ta określana jest jako test równowagi. Przeprowadzając test równowagi, należy uwzględnić w szczególności charakter przetwarzanych danych, sposób i zakres ich wykorzystywania, możliwe konsekwencje przetwarzania dla osoby oraz jej uzasadnione oczekiwania. Znaczenie ma zatem m.in. to, czy osoba może racjonalnie spodziewać się, że jej dane będą wykorzystywane w określonym celu, biorąc pod uwagę okoliczności, w których zostały zebrane. Jeżeli z przeprowadzonej oceny wynika, że interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, mają charakter nadrzędny wobec interesu administratora lub strony trzeciej, art. 6 ust. 1 lit. f RODO nie może stanowić podstawy przetwarzania danych.
PRZYKŁADY PRAWNIE UZASADNIONEGO INTERESU
Prawnie uzasadniony interes może stanowić podstawę przetwarzania danych m.in. w sytuacji, gdy przepisy prawa nie nakładają na administratora obowiązku określonego działania, lecz przyznają mu określone uprawnienie. W takim przypadku podstawą przetwarzania nie będzie art. 6 ust. 1 lit. c RODO (opisany w Komunikacie IOD-y). Jeżeli administrator zdecyduje się skorzystać z przysługującego mu uprawnienia, podstawą przetwarzania może być art. 6 ust. 1 lit. f RODO, pod warunkiem spełnienia przesłanek określonych w tym przepisie.
Przykładem jest monitoring wizyjny w zakładzie pracy. Zgodnie z art. 22² § 1 Kodeksu pracy pracodawca może wprowadzić monitoring, jeżeli jest to niezbędne m.in. do zapewnienia bezpieczeństwa pracowników lub ochrony mienia. Przepis nie nakłada zatem na pracodawcę obowiązku stosowania monitoringu, lecz przyznaje mu takie uprawnienie.
Innym przykładem jest przetwarzanie danych w celu ustalenia, dochodzenia lub obrony przed roszczeniami. Administrator nie ma obowiązku dochodzenia przysługujących mu roszczeń, jednak ma prawo podjąć działania służące ochronie swoich interesów. Przetwarzanie danych niezbędnych do realizacji tego celu może zatem odbywać się na podstawie art. 6 ust. 1 lit. f RODO.
PODSUMOWANIE
Prawnie uzasadniony interes jest podstawą przetwarzania, która znajduje zastosowanie w wielu sytuacjach, w których administrator realizuje własne uzasadnione cele lub korzysta z uprawnień przyznanych mu przez przepisy prawa. Nie oznacza to jednak pełnej swobody w wykorzystywaniu danych osobowych – możliwość powołania się na art. 6 ust. 1 lit. f RODO zawsze zależy od celu i okoliczności konkretnej czynności przetwarzania.
W praktyce szczególnie istotne jest prawidłowe rozpoznanie charakteru planowanego przetwarzania i dobranie do niego właściwej podstawy prawnej. Sam fakt, że określone działanie jest dla administratora korzystne lub zostało prawnie dopuszczone, nie przesądza jeszcze o możliwości powołania się na prawnie uzasadniony interes.
Pogłębiona analiza tematu znajduje się w tym artykule.