Czym jest prawnie usprawiedliwiony cel

Artykuł 23 ust. 1 ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych wylicza wyczerpująco sytuacje, w których możliwe jest przetwarzanie danych osobowych.

Oprócz zgody osoby, której dane dotyczą, czy też potrzeby realizacji umowy, mamy także możliwość przetwarzania danych osobowych, gdy „jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą”.

Ustawa pomaga nieco w ustaleniu, czym jest ów prawnie usprawiedliwiony cel, wskazując w art. 23 ust. 4, że może nim być:

• „marketing bezpośredni własnych produktów lub usług administratora danych”;

• „dochodzenie roszczeń z tytułu prowadzonej działalności gospodarczej”.

Poza dwoma sytuacjami wyraźnie określonymi w art. 23 ust. 4 ustawy każdy przypadek wymaga osobnej analizy pod kątem uznania go za prawnie usprawiedliwiony. Przede wszystkim dane, które miałyby być przetwarzane na potrzeby prawnie usprawiedliwionego celu, muszą być do jego realizacji niezbędne, czyli konieczne, a nie tylko przydatne czy potrzebne.

Jednym z przykładów prawnie usprawiedliwionego celu jest też przetwarzanie danych osobowych dla dochodzenia praw przed sądem (decyzja Generalnego Inspektora Ochrony Danych Osobowych z 8 sierpnia 2008 r., DOLiS/DEC-466/08).

Jak wyjaśnił GIODO w decyzji z 25 kwietnia 2013 r. (DOLiS/DEC-483/13/26104), wykorzystanie danych w celu dochodzenia swoich praw nie może być uznane za naruszenie praw i wolności osób, których te dane dotyczą. Inaczej uznalibyśmy, że ze względu na prawo do prywatności dłużnika nie można go pozwać bez jego uprzedniej zgody na wykorzystanie jego danych, np. przez ich wpisanie do formularza pozwu.

Wydaje się, że możliwość wykorzystania danych w celu dochodzenia roszczenia jest zresztą dopuszczalna także przed etapem postępowania sądowego. Za prawnie usprawiedliwiony cel GIODO uznał także bowiem szeroko rozumianą windykację należności (decyzja GIODO z 15 maja 2012 r., DOLiS/DEC-424/12/30051).

Co więcej, można udostępnić dane osobowe na stronie internetowej (przynajmniej w zakresie imienia, nazwiska, nazwy prowadzonej działalności gospodarczej, adresu ze wskazaniem miasta i kodu pocztowego lecz bez nazwy ulicy i numeru nieruchomości i lokalu oraz NIP), a usprawiedliwiającym takie działanie celem administratora danych może być podejmowanie działań zmierzających do zawarcia umowy sprzedaży wierzytelności i oferowanie tej wierzytelności w Internecie.

Jednak już udostępnianie danych na potrzeby prowadzonego postępowania sądowego (innemu podmiotowi) nie wiąże się z przedmiotem działalności administratora danych osobowych lub jego odbiorcy i jako takie nie mieści się w art. 23 ust. 1 pkt 5 ustawy (wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z 26 stycznia 2010 r., II SA/Wa 1686/09).

Ponadto można powołać się na art. 23 ust. 1 pkt 5 ustawy, jeżeli przetwarzanie danych osobowych ma się odbyć w celu sporządzenia opinii grafologicznych mających na celu ustalenie możliwości popełnienia przestępstwa na szkodę podmiotu przetwarzającego dane (decyzja GIODO z 4 września 2012 r., DOLiS/DEC-834/12/53897).

Trzecim przykładem prawnie usprawiedliwionego celu przetwarzania danych osobowych jest udzielenie przez byłego pracodawcę nowemu pracodawcy informacji, czy pracownik korzystał u niego z urlopu bezpłatnego i przez jaki okres. Pod warunkiem że jest to spowodowane koniecznością ustalenia przez nowego pracodawcę, czy pracownikowi należy się nagroda jubileuszowa (decyzja GIODO z 5 lutego 2013 r., DOLiS/DEC-96/13).