Przetwarzanie danych osobowych – jaką podstawę prawną zastosować?

Wstęp

Każda organizacja pozarządowa w ramach swojego codziennego funkcjonowania przetwarza dane osobowe. Proces przetwarzania danych osobowych polega na wykonywaniu jakichkolwiek działań na danych osobowych. W związku z powyższym procesem przetwarzania danych osobowych będzie m.in. kontakt z darczyńcami, pracownikami czy koordynatorami prowadzonych projektów. Jednakże, aby organizacja pozarządowa mogła skutecznie przetwarzać gromadzone dane osobowe musi posiadać przesłankę legalizującą ich zbierania. 

Przesłanka legalizująca. 

Przesłanki legalizujące stanowią zbiór określonych podstaw prawnych umożliwiających legalne przetwarzanie danych osobowych. Zmaterializowanie się co najmniej jednej z nich, skutkuje możliwością legalnego przetwarzania danych. W związku z powyższym, każda organizacja pozarządowa, aby móc zgodnie z prawem przetwarzać dane osobowe musi być w stanie wykazać, że przetwarzanie opiera się na jednej z przewidzianych w RODO^[1] przesłanek. 

Artykuł 6 ust. 1 RODO enumeratywnie wymianie przesłanki legalizujące przetwarzanie danych zwykłych (np. imię, nazwisko, adres e-mail, czy numer PESEL):

1. zgoda osoby, której dane będą przetwarzane (np. przesyłanie newslettera, zapisy na wydarzenia organizowane przez organizację pozarządową);
2. realizacja umowy lub czynności zmierzające do zawarcia umowy (np. przetwarzanie danych osobowych wynikających z umów z pracownikami, przetwarzanie danych osobowych zawartych na patronite, przetwarzanie danych osobowych członków organizacji pozarządowych);
3. przetwarzanie danych jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze (np. przekazywanie do ZUS danych pracowników, przechowywanie faktur i dokumentów);
4. przetwarzanie danych jest niezbędne do ochrony interesów osoby, której dane dotyczą lub innej osoby fizycznej (np. dochodzenie należności, windykacja);
5. przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi;
6. przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią (np. przesyłanie marketingu bezpośredniego, postępowanie dyscyplinarne).

Podstawowe przesłanki legalizujące dla organizacji pozarządowych

W odniesieniu do organizacji sektora pozarządowego najczęściej wykorzystywanymi przesłankami legalizującymi będą:

1. Zgoda osoby, której dane będą przetwarzane;
2. Przetwarzanie danych jest niezbędne dla realizacja umowy lub czynności zmierzające do zawarcia umowy;
3. Przetwarzanie danych jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze;
4. przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią

Zgoda osoby, której dane będą przetwarzane 

Jedną z podstawowych przesłanek legalizujących jest zgoda osoby, której dane będą przetwarzane. Co do zasady zgoda może być wrażona w dowolnej formie. Powinna jednak charakteryzować się następującymi cechami: dobrowolność, świadomość, konkretność i jednoznaczność. 

Zgoda może stanowić podstawę przetwarzania danych osobowych w zakresie: (i) przesyłania newslettera, zapisów na organizowane wydarzenia czy prowadzenia formularza kontaktowego na stronie internetowej.

Przetwarzanie danych jest niezbędne dla realizacji umowy lub czynności zmierzających do jej zawarcia

Przesłanka ta pozwala organizacjom pozarządowym przetwarzać dane osobowe w związku z prowadzeniem wszelkiego rodzaju negocjacji zmierzających do zawarcia umów oraz ich późniejszej realizacji.

Oznacza to, że jeżeli chcemy pozyskać dane osobowe pracowników czy wolontariuszy, to nie musimy uzyskiwać dodatkowej zgody. Tak samo przesłanka ta będzie stanowiła podstawę przetwarzania w zakresie pozyskiwania danych adresowych oraz osobowych darczyńców, którym w ramach podziękowań będą przesyłane różne gadżety.  

Przetwarzanie danych jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze

Przesłanka ta odnosi się do sytuacji w których organizacja pozarządowa na mocy przepisów krajowych lub unijnych ma obowiązek prawny przekazania danych osobowych 

Przykładem przepisów, które nakładają na organizacje pozarządową obowiązek przetwarzania danych osobowych konkretnych osób, będą przepisy prawa pracy, przepisy ubezpieczeniowe i przepisy podatkowe

Przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią

Przesłanka ta ma charakter klauzuli generalnej. Umożliwia ona przetwarzanie danych osobowych w sytuacjach w których organizacja nie jest w stanie wykazać innej przesłanki legalizującej, z wyłączeniem sytuacji, w których nadrzędny charakter wobec interesów administratora mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą. Podkreślić należy, że pojęcia „prawnie” nie należy utożsamiać́ z koniecznością̨ legitymowania się̨ podstawą prawną wynikającą z przepisów prawa krajowego czy unijnego.

Przykłady tych interesów zostały wymienione w RODO i są to np.: zapobieganie oszustwom, przetwarzanie w celu marketingu bezpośredniego, oraz zapewnienie bezpieczeństwa sieci i informacji.

 

Za każdym razem gromadząc dane osobowe: członków organizacji, sympatyków, czy darczyńców musimy dobrać określoną przesłankę legalizacyjną, która pozwoli przetwarzać te dane zgodnie z prawem. 

---

^[1] Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. U. UE. L. z 2016 r. Nr 119, str. 1 z późn. zm. „RODO”).