Kryteria legalności przetwarzania danych

Z artykułu 7 lit. f) dyrektywy 95/46/WE w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych oraz swobodnego przepływu tych danych wynika, że Państwa Członkowskie zapewniają, że dane osobowe mogą być przetwarzane tylko wówczas gdy przetwarzanie danych jest konieczne dla potrzeb wynikających z uzasadnionych interesów administratora danych lub osoby trzeciej, lub osobom, którym dane są ujawniane, z wyjątkiem sytuacji, kiedy interesy takie podporządkowane są interesom związanym z podstawowymi prawami i wolnościami osoby, której dane dotyczą, które gwarantują ochronę na podstawie art. 1 ust. 1.

Innymi słowy, jak wynika z omawianej opinii, artykuł 7 lit. f) pozwala na przetwarzanie podlegające testowi wyważenia prawnie uzasadnionych interesów administratora – lub strony trzeciej lub osób, którym dane są ujawniane – oraz interesów i praw podstawowych osób, których dane dotyczą.

W związku z powyższym Grupa Robocza Art. 29 przedstawiła w opinii 6/2014 w sprawie pojęcia prawnie uzasadnionych interesów administratora danych na mocy artykułu 7 dyrektywy 95/46/WE  wytyczne odnośnie tego, jak stosować artykuł 7 lit. f) zgodnie z obecnymi ramami prawnymi.

Test równowagi                                                             

Jak już wspomniano, omawiany przepis art. 7 lit. f) dyrektywy 95/46/WE wzywa do przeprowadzenia testu równowagi: to, co jest konieczne dla potrzeb wynikających z prawnie uzasadnionych interesów administratora danych (lub osoby trzeciej), musi być wyważone z interesami lub prawami podstawowymi i wolnościami osoby, której dane dotyczą. Wynik testu równowagi określa, czy można polegać na artykule 7 lit. f) jako na podstawie prawnej przetwarzania.

Jednakże, jak zauważa Grupa Robocza Art. 29 w opinii, art. 7 lit. f) to nie jedyny test równowagi przewidziany w dyrektywie. Na przykład artykuł 9 wzywa do wyważenia prawa do ochrony danych osobowych oraz wolności wypowiedzi i pozwala, aby państwa członkowskie przewidziały konieczne wyłączenia i odstępstwa w przypadku przetwarzania danych osobowych prowadzonego wyłącznie w celach dziennikarskich lub w celu uzyskania wyrazu artystycznego lub literackiego, gdy jest to konieczne dla pogodzenia prawa do zachowania prywatności z przepisami dotyczącymi wolności wypowiedzi.

Ponadto, jak czytamy w opinii, wiele innych przepisów dyrektywy również wymaga analizy konkretnych przypadków, takie są m.in. przepisy dotyczące konieczności, proporcjonalności oraz ograniczenia celu, wyłączenia z artykułu 13, oraz badania naukowe.

Artykuł 7 lit. f dyrektywy o ochronie danych osobowych - przegląd

Jak zauważa Grupa Robocza Art. 29 w opinii, obecne brzmienie artykułu 7 lit. f) dyrektywy ma charakter elastyczny. Oznacza to, że można na nim polegać w szeregu różnych sytuacji, o ile zostaną spełnione jego wymogi (w tym test równowagi). Jednakże należy wziąć pod uwagę, że taka elastyczność może mieć także negatywne skutki.

Z treści opinii wynika także, że art. 7 wymaga, aby dane osobowe były przetwarzane jedynie wtedy, gdy przynajmniej jedna z sześciu podstaw prawnych wymienionych w tym artykule znajduje zastosowanie.

Art. 7 dyrektywy wnosi, że Państwa Członkowskie zapewniają, że dane osobowe mogą być przetwarzane tylko wówczas gdy:

a) osoba, której dane dotyczą, jednoznacznie wyraziła na to zgodę; lub

b) przetwarzanie danych jest konieczne dla realizacji umowy, której stroną jest osoba, której dane dotyczą, lub w celu podjęcia działań na życzenie osoby, której dane dotyczą, przed zawarciem umowy; lub

c) przetwarzanie danych jest konieczne dla wykonania zobowiązania prawnego, któremu administrator danych podlega; lub

d) przetwarzanie danych jest konieczne dla ochrony żywotnych interesów osób, których dane dotyczą; lub

e) przetwarzanie danych jest konieczne dla realizacji zadania wykonywanego w interesie publicznym lub dla wykonywania władzy publicznej przekazanej administratorowi danych lub osobie trzeciej, przed którą ujawnia się dane; lub

f) przetwarzanie danych jest konieczne dla potrzeb wynikających z uzasadnionych interesów administratora danych lub osoby trzeciej, lub osobom, którym dane są ujawniane, z wyjątkiem sytuacji, kiedy interesy takie podporządkowane są interesom związanym z podstawowymi prawami i wolnościami osoby, której dane dotyczą, które gwarantują ochronę na podstawie art. 1 ust. 1.

Podstawy:

- lit. a), skupia się na zgodzie osoby, której dane dotyczą, jako podstawie legalności. Pozostałe podstawy, przeciwnie, pozwalają na przetwarzanie – z zastrzeżeniem zabezpieczeń – w sytuacjach, gdzie, niezależnie od zgody, odpowiednie i konieczne jest przetwarzanie danych w pewnym kontekście w dążeniu do określonego prawnie uzasadnionego interesu.

- ustępy b), c), d) oraz e), określają konkretny kontekst, w którym przetwarzanie danych osobowych może być uznane za legalne,

 - ustęp f) odnosi się do każdego rodzaju prawnie uzasadnionego interesu administratora (w jakimkolwiek kontekście). Jednakże ten ogólny przepis poddany jest dodatkowemu testowi równowagi, który wymaga, aby prawnie uzasadnione interesy administratora – lub osoby lub osób trzecich, przed którymi ujawnia się dane – wyważone były względem interesów lub podstawowych praw osób, których dane dotyczą.

Jak zauważa Grupa Robocza Art. 29, aby być uznanym za „prawnie uzasadniony” i być istotnym na mocy art. 7 lit. f), interes będzie musiał być zgodny z prawem, to jest zgodny z prawem UE i prawem krajowym. Co ważne, musi być również wystarczająco jasno określony i wystarczająco konkretny, aby pozwolić na przeprowadzenie testu równowagi wobec interesów i praw podstawowych osoby, której dane dotyczą. Jest konieczne także, aby stanowił rzeczywisty i obecny interes, tj. nie może być spekulacją.