W tym miesiącu kontynuujemy serię poświęconą podstawom przetwarzania danych osobowych, które zostały uregulowane przez prawodawcę unijnego w art. 6 RODO. Dzisiaj zostanie omówiona sytuacja, gdy przetwarzanie jest niezbędne do wykonania umowy.
CHARAKTER WYKONANIA UMOWY JAKO PODSTAWY PRZETWARZANIA DANYCH
Kwestię wykonania umowy jako podstawy przetwarzania reguluje art. 6 ust. 1 lit. b RODO, zgodnie z którym przetwarzanie danych jest zgodne z prawem, jeżeli „jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy”.
W praktyce oznacza to, że przesłanka ta może mieć zastosowanie zarówno na etapie poprzedzającym zawarcie umowy, jak i w trakcie jej realizacji. Kluczowe znaczenie ma jednak „niezbędność” – przetwarzanie danych musi być obiektywnie konieczne do wykonania umowy lub jej zawarcia.
PRZED ZAWARCIEM UMOWY
Warunkiem skorzystania z omawianej podstawy przed zawarciem umowy jest wyraźna inicjatywa osoby, której dane dotyczą. Oznacza to, że podmiot danych musi w sposób jednoznaczny wykazać zainteresowanie zawarciem umowy, np. poprzez zapytanie ofertowe czy akceptację publicznie przedstawionej oferty.
Podstawa ta może znaleźć zastosowanie także na wczesnych etapach procesu kontraktowania, takich jak procedury przetargowe, negocjacje, zawieranie umów przedwstępnych czy umów ramowych. W każdym przypadku konieczne jest jednak wykazanie, że działania podejmowane przez administratora są odpowiedzią na realne zainteresowanie ze strony osoby, której dane dotyczą. Może być to szczególnie istotne, gdy do zawarcia umowy nie dojdzie.
Jednocześnie należy podkreślić, że art. 6 ust. 1 lit. b RODO nie może stanowić podstawy do działań marketingowych prowadzonych z inicjatywy administratora, takich jak przesyłanie ofert czy informacji handlowych. Wyjątkiem są sytuacje, w których to osoba fizyczna sama nawiązuje kontakt i wyraża rzeczywiste zainteresowanie usługą – wówczas możliwe jest przedstawienie oferty, a więc podjęcie działań na żądanie osoby.
W praktyce oznacza to, że jeżeli administrator nie jest w stanie wykazać, że podmiot danych faktycznie był zainteresowany zawarciem umowy, nie powinien opierać przetwarzania na tej przesłance. W takiej sytuacji konieczne jest rozważenie innej podstawy przewidzianej w art. 6 ust. 1 RODO, o ile istnieją przesłanki do jej zastosowania.
STRONY UMOWY
Podstawa przetwarzania danych osobowych związana z wykonaniem umowy dotyczy wyłącznie stron tej umowy, które są osobami fizycznymi. Nie może być stosowana wobec innych osób, nawet jeżeli umowa ich dotyczy lub wpływa na ich sytuację. Przykładowo przetwarzanie danych pracownika przez pracodawcę może być oparte na tej podstawie, ponieważ pracownik jest stroną stosunku pracy. Nie oznacza to jednak, że pracodawca może na tej samej podstawie przetwarzać dane członków rodziny pracownika, gdy korzystają oni z benefitów przysługującym osobom bliskim. Osoby te nie są bowiem stroną umowy o pracę, dlatego przetwarzanie ich danych wymaga odrębnej podstawy prawnej.
Błędy pojawiają się również w przypadku umów zawieranych przez osoby prawne lub jednostki organizacyjne. Choć w treści umowy wskazywane są dane osób reprezentujących dany podmiot, nie oznacza to, że są one stroną umowy – działają one jedynie w imieniu reprezentowanego podmiotu. W związku z tym opieranie przetwarzania ich danych na podstawie realizacji umowy jest nieprawidłowe. Właściwą podstawą przetwarzania danych takich osób jest prawnie uzasadniony interes administratora (który będzie omówiony w ostatnim odcinku z serii poświęconej podstawom przetwarzania danych).
PODSUMOWANIE
Wykonanie umowy jako podstawa przetwarzania danych nie może być stosowane automatycznie w każdej sytuacji związanej z relacją umowną. Kluczowe znaczenie ma wykazanie, że przetwarzanie jest rzeczywiście niezbędne do zawarcia lub realizacji umowy oraz że dotyczy wyłącznie jej stron, będących osobami fizycznymi. Błędem jest rozszerzanie tej podstawy na inne osoby, w tym osoby prawne, reprezentantów lub pracowników podmiotów czy osoby trzecie.
Zainteresowani pogłębioną analizą tematu, więcej informacji mogą znaleźć w tym artykule.