Blog

Test równowagi a test zgodności celów. Dalsze przetwarzanie.

Jedną z zasad przetwarzania danych osobowych jest zasada ograniczenia celu, o której mowa w art. 5 ust. 1 lit. b rodo. Zgodnie z tą zasadą szczególnie ważną dla procesu przetwarzania danych operacją jest zbieranie danych.

Zbieranie danych

Zbieranie danych musi odbywać się w z góry uświadomionym przez administratora celu, zamiar administratora musi ponadto być zakomunikowany osobie, której dane dotyczą podczas zbierania, jeżeli osoba ta jest źródłem danych. Jeśli w trakcie przetwarzania ujawnią się cele, ewentualnie jeśli są już podczas zbierania przewidywane przez administratora, które są zgodne z pierwotnym, głównym celem (celami), to mogą być one realizowane w ramach tzw. dalszego przetwarzania. O dalszym przetwarzaniu administrator musi poinformować osobę zgodnie z art. 13 ust. 3 i 14 ust. 4 rodo – podczas zbierania albo w późniejszym momencie, kiedy taki cel się ujawni.

Test zgodności celów

Aby dalsze przetwarzanie w innym (ale zgodnym z pierwotnym) celu było prawnie dopuszczalne, należy przeprowadzić tzw. test zgodności celów, o którym mowa w art. 6 ust. 4 rodo. Przebiega on w oparciu o następujące kryteria:

a) wszelkie związki między celami, w których zebrano dane osobowe, a celami zamierzonego dalszego przetwarzania;

b) kontekst, w którym zebrano dane osobowe, w szczególności relację (powiązania) między osobami, których dane dotyczą, a administratorem;

c) charakter danych osobowych, w szczególności czy przetwarzane są szczególne kategorie danych osobowych zgodnie z art. 9 lub dane osobowe dotyczące wyroków skazujących i czynów zabronionych zgodnie z art. 10;

d) ewentualne konsekwencje zamierzonego dalszego przetwarzania dla osób, których dane dotyczą;

e) istnienie odpowiednich zabezpieczeń, w tym ewentualnie szyfrowania lub pseudonimizacji.

Kryteria te uzupełnia motyw 50 rodo przez dodanie jeszcze jednego, można powiedzieć zbiorczego, któremu służą te w/w szczegółowe:

  • rozsądne przesłanki pozwalające osobom, których dane dotyczą, oczekiwać dalszego wykorzystania danych oparte na rodzaju ich powiązania z administratorem.

Brzmienie art. 6 ust. 4 rodo, który mówi że o ile przetwarzanie w celu innym niż pierwotny nie opiera się na zgodzie albo przepisie prawa, będzie ono dopuszczalne po przejściu testu zgodności celów, może sugerować, że ten test jest przeprowadzany dla zidentyfikowania innej jeszcze podstawy, przede wszystkim mogłoby chodzić o prawnie uzasadniony interes (art. 6 ust. 1 lit. f rodo). Czy w takim razie art. 6 ust. 4 rodo:

  1. stanowi samodzielną podstawę legalizacyjną dla celu zgodnego z pierwotnym,
  2. rozciąga pierwotną podstawę na kolejny (występujący zamiast albo obok) cel zgodny z pierwotnym,
  3. upoważnia do znalezienia kolejnej podstawy, która w związku z nim zalegalizuje przetwarzanie?

Na to pytanie odpowiedź daje motyw 50 rodo, który stwierdza wyraźnie, że dla dalszego przetwarzania nie trzeba szukać innej podstawy prawnej niż podstawa pierwotna legalizująca cele, dla których dane zostały zebrane. Przy tym jedynym kryterium wskazanym przez samego prawodawcę unijnego, dla ustalenia prawnie uzasadnionego interesu, jest zgodnie z motywem 47 rodo odpowiedź na pytanie:

  • czy w czasie i w kontekście, w którym zbierane są dane osobowe, osoba, której dane dotyczą, ma rozsądne przesłanki by spodziewać się, że może nastąpić przetwarzanie danych w tym celu.

Główna przesłanka obydwu testów

Test równowagi

Widać więc, że zarówno test równowagi jak i test zgodności celów, opierają się na głównej przesłance, która polega na tym że przeciętne doświadczenie życiowe osoby, której dane dotyczą pozwala jej oczekiwać (spodziewać się) przetwarzania danych w celu, który jest przedmiotem tych testów. Test równowagi jest zaś uzupełniany przez doktrynę o szczegółowe przesłanki podane przez prawodawcę dla testu zgodności celów (art. 6 ust. 4 lit. b – e rodo), i ewentualnie jeszcze inne zależnie od konkretnych okoliczności. Należy podkreślić, że w obydwu przypadkach ten brak zaskoczenia po stronie podmiotu danych, że dojdzie do przetwarzania w określonym celu, nie oznacza, że będzie ono zgodne z jego interesem. Przykładowo dłużnik poddany windykacji pozasądowej a następnie sądowej, spodziewa się takiego przetwarzania, chociaż nie jest z niego zadowolony. Chociaż szczegółowe punkty tych testów są takie same, to cel testów jest inny, test zgodności ma zbadać czy cel planowany jest zgodny z aktualnym, a test równowagi czy interesy podmiotu danych nie są nadrzędne nad interesami ado lub strony trzeciej, także test równowagi jest w większym stopniu nastawiony na zadbanie o interes podmiotu danych. Można więc powiedzieć, że zbadanie czy interes podmiotu danych jest nadrzędny wobec uzasadnionego interesu administratora, jest dodatkowym punktem testu równowagi, którego nie ma w teście zgodności celów. Z kolei w teście równowagi nie ma punktu dotyczącego związku między celami. Sumując test równowagi polega na ustaleniu:

  • czy istnieje relacja (powiązanie) między osobami, których dane dotyczą, a administratorem,
  • charakteru danych osobowych, w szczególności czy przetwarzane są szczególne kategorie danych osobowych zgodnie z art. 9 lub dane osobowe dotyczące wyroków skazujących i czynów zabronionych zgodnie z art. 10,
  • ewentualnych konsekwencji zamierzonego przetwarzania dla osób, których dane dotyczą,
  • czy istnieją odpowiednie zabezpieczenia, w tym szyfrowanie lub pseudonimizacja,
  • czy w czasie i w kontekście, w którym zbierane są dane osobowe, osoba, której dane dotyczą, ma rozsądne przesłanki by spodziewać się, że może nastąpić przetwarzanie danych w tym celu,
  • czy interes podmiotu danych nie jest nadrzędny wobec uzasadnionego interesu administratora.
Dochodzenie roszczeń na lit. b jako cel zgodny

Przetwarzanie w celu dochodzenia roszczeń z niewykonanej umowy, stanowi przetwarzanie w celu zgodnym z celem dla którego dane zostały zebrane, jednak praktyka ukształtowała się w ten sposób, że w klauzulach informacyjnych dla tego celu zwykle wskazywana jest podstawa z art. 6 ust. 1 lit. f rodo. Jak stanowi motyw 50 rodo, nie jest potrzebne szukanie innej podstawy od podstawy pierwotnej, czyli w tym wypadku art. 6 ust. 1 lit. b rodo. Jednak wskazanie dla dalszego przetwarzania podstawy prawnie uzasadnionego interesu nie jest błędem, ponieważ na tej podstawie można oprzeć nawet przetwarzanie w celu niezgodnym z celem pierwotnym, o ile tylko przejdzie test równowagi. Art. 6 ust. 4 legalizuje dalsze przetwarzanie w celu zgodnym, ale nie oznacza to, że na zasadach ogólnych (art. 6 ust. 1 lit. a – f rodo), administrator nie może dokonać dalszego przetwarzania, którego cel nie jest zgodny z celem pierwotnym.

Art. 6 ust. 4 rodo rozciąga pierwotną podstawę na zgodny cel

Test zgodności celów i test równowagi, właściwie biorą pod uwagę tożsame przesłanki aby stwierdzić, że przetwarzanie jest legalne. Jedyną konsekwencją różnicującą zastosowanie nowej podstawy prawnie uzasadnionego interesu dla dalszego przetwarzania w celu zgodnym, jest możliwość zmiany siły pozycji na jakiej stoi osoba której dane dotyczą. Przykładowo jeśli dla celu pierwotnego była właściwa zgoda, którą można w każdej chwili odwołać, przeskoczenie na prawnie uzasadniony interes osłabia pozycję osoby, z kolei jeśli pierwotną przesłanką było wykonanie umowy, zmiana na prawnie uzasadniony interes wzmacnia tę pozycję. Z tego względu i wobec kategorycznego brzmienia motywu 50 rodo, należy przyjąć, że art. 6 ust. 4 rodo rozciąga pierwotną podstawę, ze wszelkimi tego konsekwencjami na inny ale zgodny z pierwotnym cel przetwarzania.

Test równowagi może zastąpić test zgodności celów

Reasumując, test równowagi i test zgodności celów polegają na zbadaniu tych samych kryteriów, jednak przejście testu zgodności celów, zachowuje te same prawa które osoba miała wobec pierwotnego celu ponieważ nie zmienia się podstawa przetwarzania, natomiast zastosowanie testu równowagi ma miejsce niezależnie od tego czy nowy cel jest zgodny z pierwotnym, ale właśnie dlatego osoba nabywa uprawnienie do sprzeciwu (art. 21 rodo), a sam test ma zbadać czy interesy osoby nie są nadrzędne. Test równowagi i przesłanka prawnie uzasadnionego interesu może więc zawsze zastąpić test zgodności celów i poleganie na dotychczasowej przesłance, właściwej dla celu pierwotnego.

Oczywiście osoba może kwestionować również test zgodności celów, tak jak i przetwarzanie na którejkolwiek przesłance, ale nie w trybie sprzeciwu, który jest instrumentem specjalnie przewidzianym dla przesłanki z art. 6 ust. 1 lit. e lub f rodo.