Przetwarzanie danych osobowych to niemal każda operacja wykonywana na danych osoby możliwej do zidentyfikowania, od ich zebrania, przez przechowywanie, aż po usunięcie. Zgodnie z definicją z art. 4 pkt 2 RODO pojęcie to obejmuje działania zautomatyzowane i niezautomatyzowane, a więc zarówno pracę w systemie informatycznym, jak i trzymanie dokumentów w segregatorze. Co istotne, przetwarzaniem jest również samo posiadanie danych, nawet jeśli nikt aktywnie z nich nie korzysta.
To pytanie pojawia się na początku niemal każdej rozmowy o RODO i niemal zawsze towarzyszy mu to samo zaskoczenie, gdy okazuje się, jak szeroko ustawodawca zdefiniował to pojęcie. Z mojego doświadczenia wynika, że wielu administratorów utożsamia przetwarzanie wyłącznie z aktywnym używaniem danych, podczas gdy RODO obejmuje znacznie więcej, w tym działania pozornie neutralne albo czysto techniczne. Poniżej wyjaśniam, co dokładnie mieści się w tej definicji i jakie ma to praktyczne konsekwencje.
Spis treści
Definicja przetwarzania według RODO
Zgodnie z art. 4 pkt 2 RODO przetwarzanie oznacza operację lub zestaw operacji wykonywanych na danych osobowych w sposób zautomatyzowany lub niezautomatyzowany. Rozporządzenie wymienia przykładowo szereg czynności, które dla przejrzystości można pogrupować według etapu, na którym się pojawiają.
Pozyskiwanie i utrwalanie danych
Pierwsza grupa obejmuje zbieranie, utrwalanie, organizowanie i porządkowanie danych. To moment, w którym dane trafiają do organizacji, na przykład gdy klient wypełnia formularz, pracownik wpisuje kontakt do systemu albo firma otrzymuje CV. Już samo zebranie danych jest przetwarzaniem, dlatego podstawę prawną trzeba mieć zanim dane w ogóle znajdą się w naszych zasobach, a nie dopiero wtedy, gdy zaczynamy z nich korzystać. W praktyce spotykam sytuacje, w których organizacja gromadzi dane „na zapas”, bez ustalonego celu, licząc, że przydadzą się później. To jeden z najczęstszych błędów, ponieważ zbieranie bez celu i podstawy jest przetwarzaniem niezgodnym z prawem od pierwszej chwili.
Przechowywanie i wykorzystywanie danych
Druga grupa to przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie i wykorzystywanie danych. Tu mieści się codzienna praca na danych, ale też ich bierne trzymanie. W praktyce to właśnie przechowywanie bywa najczęściej pomijane, ponieważ nie wygląda na aktywne działanie, a mimo to w pełni podlega RODO. Warto zwrócić uwagę, że nawet samo przeglądanie danych, bez ich zmiany, jest już przetwarzaniem, co ma znaczenie na przykład przy kontroli dostępu pracowników do systemów. Podgląd akt osobowych przez osobę nieupoważnioną jest naruszeniem, mimo że formalnie nic w danych nie zostało zmienione.
Udostępnianie i usuwanie danych
Trzecia grupa obejmuje ujawnianie przez przesłanie, rozpowszechnianie lub udostępnianie, a także dopasowywanie, łączenie, ograniczanie, usuwanie i niszczenie. Co może zaskakiwać, przetwarzaniem jest również usunięcie danych, a więc czynność, która pojęciowo kończy ich obecność w organizacji. Oznacza to, że nawet pozbycie się danych musi odbywać się w sposób kontrolowany i zgodny z zasadami, na przykład z zachowaniem właściwej metody trwałego niszczenia nośników. Do tej grupy należy też udostępnianie danych na zewnątrz, które zawsze wymaga odrębnej podstawy prawnej, ponieważ przekazanie danych innemu podmiotowi jest osobną operacją przetwarzania.
Przetwarzaniem jest także samo przechowywanie
Oznacza to, że przetwarzaniem jest nie tylko świadome działanie, ale również samo posiadanie danych. Jeżeli dokument leży w szafie, plik znajduje się na serwerze, a kopia zapasowa istnieje w chmurze, to dane są przetwarzane. Nawet brak działania, czyli sytuacja, w której administrator nie robi z danymi nic, nadal mieści się w definicji, ponieważ dane są przechowywane.
Znaczenia nie ma przy tym forma. Przetwarzaniem jest zarówno praca na systemie informatycznym, jak i trzymanie akt w kartonie w magazynie. To jedno z najczęstszych nieporozumień, jakie spotykam, ponieważ administratorzy skupiają się na systemach IT, zapominając, że papierowa teczka z danymi pracowników podlega tym samym regułom co baza danych. Konsekwencja jest praktyczna, bo dla starych, zapomnianych zbiorów danych, na przykład dokumentacji po zakończonych rekrutacjach czy archiwalnych umów, również trzeba mieć podstawę i określony okres przechowywania. Samo „zawsze tak leżało” nie jest wystarczającym wyjaśnieniem wobec organu nadzorczego.
Jakie konsekwencje ma tak szerokie ujęcie
Skoro niemal każda czynność jest przetwarzaniem, to niemal każda musi mieć podstawę prawną, realizować określony cel i podlegać zasadom z art. 5 RODO oraz zasadzie rozliczalności. Nie wystarczy stwierdzić, że dane „tylko są w systemie” albo „leżą na wszelki wypadek”. Jeżeli są, to muszą mieć cel, podstawę prawną i określony okres przechowywania. Ta z pozoru teoretyczna zasada ma bardzo konkretny wymiar podczas kontroli, gdy organ pyta nie o to, co organizacja robi z danymi, lecz dlaczego w ogóle je posiada i jak długo zamierza je trzymać.
Podstawę prawną dla danych zwykłych określa art. 6 ust. 1 RODO, wskazując między innymi zgodę, wykonanie umowy, obowiązek prawny czy prawnie uzasadniony interes administratora. W przypadku danych szczególnych kategorii, obejmujących na przykład dane o zdrowiu czy pochodzeniu, konieczne jest spełnienie surowszego warunku z art. 9 ust. 2 RODO. Dobór właściwej podstawy jest kluczowy, ponieważ jej brak lub błędne wskazanie oznacza, że całe przetwarzanie jest niezgodne z prawem. Obowiązek posiadania podstawy to jedna z podstawowych zasad przetwarzania danych, obok celowości, minimalizacji i rozliczalności, które razem wyznaczają ramy każdego legalnego przetwarzania.
Konsekwencją szerokiej definicji jest również to, że przetwarzanie nie zaczyna się dopiero w chwili, gdy ktoś analizuje dane czy wykorzystuje je marketingowo. Zaczyna się znacznie wcześniej, często w momencie, którego administrator w ogóle nie zauważa. Właśnie dlatego RODO nie jest regulacją o systemach informatycznych czy dokumentach, lecz o świadomym zarządzaniu informacją o ludziach, które wpisuje się dziś w szerszy system zarządzania danymi w gospodarce cyfrowej.
Przetwarzanie a dane osobowe i dane wrażliwe
Przetwarzanie zawsze dotyczy danych osobowych, czyli informacji o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej. Zakres tego, co uznaje się za dane osobowe w rozumieniu RODO, jest równie szeroki jak samo pojęcie przetwarzania i obejmuje nie tylko imię i nazwisko, ale też dane, które pozwalają zidentyfikować osobę pośrednio.
Wśród danych osobowych szczególny reżim obejmuje dane szczególnych kategorii, potocznie nazywane wrażliwymi. Ich przetwarzanie jest co do zasady zakazane i dopuszczalne tylko w ściśle określonych sytuacjach, dlatego rozpoznanie, czy w danym procesie występują dane wrażliwe podlegające surowszej ochronie, jest jednym z pierwszych kroków przy ocenie legalności przetwarzania.
Jeśli chcesz ustalić, czy i na jakiej podstawie Twoja organizacja przetwarza dane osobowe oraz czy robi to zgodnie z RODO, pomożemy przeanalizować procesy przetwarzania i wskazać ich prawidłową podstawę.
