Kontynuujemy serię poświęconą zasadom przetwarzania danych osobowych, które zostały uregulowane w art. 5 RODO. Tym razem przybliżona zostanie zasada „ograniczenie celu”.
OGRANICZENIE CELU
Zasada „ograniczenie celu” została uregulowana w art. 5 ust. 1 lit. b RODO, zgodnie z którym dane osobowe muszą być: „zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami; dalsze przetwarzanie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych nie jest uznawane w myśl art. 89 ust. 1 za niezgodne z pierwotnymi celami („ograniczenie celu”).
Z powyższego wynika, że dane osobowe muszą być zbierane w wyraźnie określonych i uzasadnionych celach. Wykorzystywanie danych w inny sposób niż to pierwotnie określono jest zabronione (wyjątek dotyczy celów archiwalnych, badawczych i statystycznych, o czym mowa nieco dalej).
JAK PRZETWARZAĆ DANE ZGODNIE Z ZASADĄ „OGRANICZENIE CELU”
Zastosowanie zasady „ograniczenie celu” w praktyce wymaga od administratora szczególnej staranności już na etapie planowania procesu przetwarzania. RODO wskazuje trzy cechy, które musi spełniać każdy cel, aby można było uznać, że przetwarzanie danych jest zgodne z tą zasadą.
Po pierwsze, cel musi być konkretny, czyli jasno określony, realny i możliwy do osiągnięcia. Nie może mieć charakteru hipotetycznego ani ogólnego. Administrator powinien więc dokładnie wiedzieć, w jakim celu dane są zbierane i jak zostaną wykorzystane.
Po drugie, cel musi być wyraźny. Oznacza to, że powinien być łatwy do zrozumienia zarówno dla pracowników administratora, jak i dla podmiotu danych. Nie może być opisany w sposób niejednoznaczny, zbyt skomplikowany lub taki, który mógłby budzić wątpliwości interpretacyjne.
Po trzecie, cel musi być prawnie uzasadniony. Oznacza to, że nie może on naruszać przepisów prawa, a w przypadku podmiotów publicznych powinien wynikać wprost z odpowiednich przepisów krajowych lub międzynarodowych.
Administrator ma obowiązek określić cel przetwarzania jeszcze przed rozpoczęciem gromadzenia danych osobowych. Nie jest dopuszczalne zbieranie danych bez uprzedniego zdefiniowania celu ani tym bardziej „na zapas” — na potrzeby ewentualnych przyszłych działań, których nie zaplanowano.
PRZETWARZANIE NIENARUSZAJĄCE ZASADY „OGRANICZENIE CELU”
Zasada „ograniczenia celu” nie wyklucza całkowicie możliwości dalszego przetwarzania danych po osiągnięciu pierwotnego celu. RODO dopuszcza wyjątki, po spełnieniu określonych wymagań.
Zgodnie z omawianym przepisem oraz 89 ust. 1 RODO dalsze przetwarzanie danych może odbywać się w celach archiwalnych w interesie publicznym, do celów badań naukowych, historycznych lub statystycznych, o ile administrator zastosuje odpowiednie środki ochrony danych.
Najważniejszymi z tych środków są minimalizacja danych oraz pseudonimizacja. Oznacza to, że należy ograniczyć zakres przetwarzanych informacji wyłącznie do tych, które są niezbędne do realizacji nowego celu oraz (w miarę możliwości) odseparować dane pozwalające na identyfikację osoby od pozostałych. Im bardziej administrator będzie dążył do ograniczenia możliwości identyfikacji osób, tym lepiej będzie realizował zasadę „ograniczenia celu”.
PODSUMOWANIE
Zasada „ograniczenie celu” wymaga zadbania, aby dane osobowe były wykorzystywane wyłącznie w jasno określonych i zgodnych z prawem celach. Dzięki niej administrator dokładnie wie, po co zbiera dane, a w konsekwencji jak długo i w jakim zakresie będzie je przetwarzać oraz jakie środki będą potrzebne do realizacji tych działań.
Osoby zainteresowane pogłębioną analizą tematu, więcej informacji mogą znaleźć w tym artykule.