Sześć podstaw prawnych w RODO
Każde przetwarzanie danych osobowych wymaga podstawy z listy sześciu. Lista jest zamknięta, podstawy są równorzędne – a raz dokonanego wyboru nie da się później podmienić.
RODO działa na zasadzie zakazu z zastrzeżeniem zezwolenia: bez zezwolenia przetwarzanie jest zabronione. Dozwolone jest tylko wtedy, gdy zachodzi dokładnie jedna z sześciu podstaw. To odwrócenie zaskakuje wielu – zwykle dozwolone jest to, co nie jest zakazane.
Sześć podstaw, od częstych do rzadkich
- UmowaTo, co konieczne do wykonania: adres dostawy, faktura, dane logowania. Nie umowa o reklamę.
- Uzasadniony interesWymaga wyważenia, które musi być udokumentowane. Nie obejmuje dostępu do urządzenia końcowego.
- ZgodaDobrowolna, świadoma, jednoznaczna – i w każdej chwili odwoływalna. Podstawa stojąca za banerem zgody.
- Obowiązek prawnyNa przykład terminy przechowywania z prawa podatkowego. Obowiązek musi wynikać z ustawy, nie z umowy.
- Zadanie publiczneDla organów publicznych i podmiotów z powierzonymi zadaniami. Dla firmy praktycznie nigdy.
- Żywotne interesySytuacja nagła: życie i zdrowie. Na stronie internetowej niemal nigdy.
Jeden cel, jedna podstawa
Podstawa prawna wiąże się z celem, nie z rekordem danych. Ten sam adres e-mail może opierać się na umowie przy wysyłce potwierdzenia zamówienia i na zgodzie przy newsletterze. Dwa cele, dwie podstawy, dwie odrębne decyzje.
Stąd bierze się najczęstszy błąd w praktyce: cel zostaje po cichu rozszerzony o drugi – z obsługi zamówienia robi się reklama – bez własnej podstawy dla nowego celu.
Co na czym się opiera na typowej stronie
Dwie podstawy w bezpośrednim porównaniu
Prawa kolumna jest krótsza, niż wielu oczekuje. Wynika to stąd, że „przydatne w prowadzeniu strony” i „bezwzględnie konieczne dla zamówionej usługi” to dwa różne mierniki. Drugi jest wąski i ocenia się go z perspektywy osoby otwierającej stronę.
Wybór trzeba podać na zewnątrz
Wybrana podstawa prawna nie jest notatką wewnętrzną. Należy do polityki prywatności, wskazana osobno dla każdego celu. Polityka wymieniająca wszystkie sześć podstaw i pozostawiająca otwartym, która do czego się odnosi, nie spełnia obowiązku informacyjnego – przerzuca jedynie pracę na czytającego.