W artykule kontynuujemy wyjaśnianie zasad przetwarzania danych osobowych opisanych w artykule 5  ROZPORZĄDZENIA PARLAMENTU EUROPEJSKIEGO I RADY (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (RODO).

Drugą z zasad przetwarzania danych osobowych jest zasada celowości, nazywana także zasadą „ograniczenia celem” lub „związania celem” przetwarzania. Zgodnie z treścią przepisu ust. 1 lit. b komentowanego artykułu, dane osobowe powinny być zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami.

Przy czym dalsze przetwarzanie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych nie jest uznawane w myśl art. 89 ust. 1 za niezgodne z pierwotnymi celami („ograniczenie celu”).

Z brzmienia przytoczonego powyżej przepisu wynika kilka wymogów odnoszących się do zbierania danych oraz do dalszego przetwarzania danych.

Cel, dla realizacji którego dane są gromadzone, powinien być konkretny i wyraźny. Oznacza to, że nie może mieć on charakteru abstrakcyjnego i powinien być łatwy do rozpoznania. Niezgodne z omawianym wymogiem byłoby np. zbieranie danych dla realizacji bliżej nieoznaczonych celów (np. stwierdzenie „przetwarzanie danych dla ważnych celów administratora” bez sprecyzowania, o jakie konkretne cele chodzi), jak również gromadzenie danych bez wskazania celu, z nastawieniem, że kiedyś dane mogą się przydać. W motywie 39 preambuły wyjaśniono, że „konkretne cele przetwarzania danych osobowych powinny być wyraźne, uzasadnione i określone w momencie ich zbierania”.

Cel przetwarzania danych należy oznaczyć w sposób możliwie jak najbardziej precyzyjny. Przy gromadzeniu danych powinny być podane wszystkie cele jednostkowe, do których administrator zamierza wykorzystywać dane.

Z wymogu wyraźnego oznaczenia celu, w którym dane mają być przetwarzane, można wyprowadzić następujące wnioski:

• oznaczenie celu powinno z zasady być zrealizowane w formie pisemnej, gdyż zdecydowanie ułatwia to później dokonywanie ocen co do przestrzegania zasady związania celem;
• wszelkie niejasności w zakresie wyznaczenia celu, jego zakresu, należy interpretować na korzyść osoby, której dane są przetwarzane (lub z drugiej strony, na niekorzyść administratora), w tym znaczeniu, że osoba ta powinna mieć możność zadecydowania o spornym wykorzystaniu jej danych.

Wymóg prawnego uzasadnienia celu można odczytywać jako nawiązanie do zasady zgodności z prawem, przy czym nie jest właściwe pojmowanie zawartego w tym przepisie sformułowania jako konieczności wskazania konkretnego przepisu, który uzasadnia realizację celu przetwarzania. Wystarczająca jest okoliczność, że cel nie jest z prawem sprzeczny, a swoistym „prawnym uzasadnieniem” przetwarzania jest wskazanie odpowiedniej podstawy dopuszczalności przetwarzania danych (o których mowa w art. 6, 9 i 10 RODO).

W przypadku podmiotów publicznych cele przetwarzania danych powinny być określone w przepisach prawa, co wynika z zasady legalności działań administracji publicznej. W przypadku podmiotów prywatnych (np. przedsiębiorców), oprócz realizacji celów określonych przepisami, administratorzy mogą sami wyznaczać dodatkowe cele przetwarzania danych (np. cele marketingowe).

Wymóg dotyczący dalszego przetwarzania danych nakazuje nieprzetwarzanie (np. niewykorzystywanie) danych w sposób niezgodny z celami określonymi przy zbieraniu danych. W praktyce rzadko zdarza się, że administrator przetwarza dane osobowe tylko w jednym celu, zdecydowanie częściej dane przetwarzane są w wielu różnych celach. Istotne jest, aby te cele były określone i przetwarzanie danych służyło ich realizacji.

Cele te nie mogą być niezgodne z celami określonymi przy zbieraniu danych, co oznacza, że istnieje możliwość zmiany celu przetwarzania (przetwarzania w innym celu, o ile nie jest on niezgodny z celami, dla których dane były gromadzone).

Przepis art. 6 ust. 4 RODO określa przesłanki pozwalające ustalić, czy przetwarzanie w innym celu jest zgodne z celem, w którym dane osobowe zostały pierwotnie zebrane. Przepis ten dopuszcza przetwarzanie danych w innym celu niż ten, w którym dane zostały zebrane, na podstawie zgody lub przepisu prawa, natomiast w innych przypadkach dla ustalenia, czy przetwarzanie w innym celu jest zgodne z celem, dla realizacji którego dane zostały pierwotnie zebrane, prawodawca nakazuje uwzględnić: związki między celami przetwarzania; kontekst w którym zebrano dane; charakter danych; ewentualne konsekwencje zamierzonego przetwarzania danych oraz istnienie odpowiednich zabezpieczeń.

Zasada celowości ma szczególne znaczenie w kontekście przetwarzania danych w wielkich zbiorach

W końcowej części art. 5 ust. 1 lit. b wskazano odstępstwo od ogólnej zasady ograniczenia celem, dotyczące dalszego przetwarzania danych do celów: archiwalnych, badań naukowych lub historycznych oraz statystycznych.

Przetwarzanie danych do celów archiwalnych, badań naukowych lub historycznych oraz statystycznych nie jest uznawane w rozporządzeniu za niezgodne z pierwotnymi celami, choć faktycznie cele realizowane w tego rodzaju przypadkach są odmienne.

Prawodawca unijny uznał jednak, że przetwarzanie danych w ramach działalności archiwalnej, naukowej, historycznej oraz statystycznej powodowane jest ważnym interesem publicznym, co uzasadnia potrzebę wprowadzenia wyjątku od omawianej zasady. Ponadto stosunkowo często dane osobowe są konieczne do prowadzenia badań i realizacji tych szczególnych celów, natomiast wyniki tych badań są zazwyczaj prezentowane w sposób uniemożliwiający określenie tożsamości konkretnych osób.

Dodatkowe wymogi odnoszące się do przetwarzania danych we wskazanych w komentowanym przepisie dziedzinach określa art. 89 RODO.

 

Źródła:

Ogólne rozporządzenie o ochronie danych. Ustawa o ochronie danych osobowych.

Komentarz pod red. Pawła Fajgielskiego

MvL