Artykuł 6 GDPR: sześć podstaw prawnych, a nie tylko zgoda

Artykuł 6 GDPR wymienia sześć podstaw prawnych przetwarzania danych osobowych: zgodę, wykonanie umowy, obowiązek prawny, ochronę żywotnych interesów, wykonanie zadania realizowanego w interesie publicznym oraz prawnie uzasadnione interesy. Wiele osób błędnie uważa, że zgoda jest jedyną możliwością, choć stanowi zaledwie jedną z sześciu podstaw. Przykładowo pracodawca przetwarzający dane na potrzeby naliczania wynagrodzeń nie potrzebuje zgody — opiera przetwarzanie na obowiązku prawnym lub wykonaniu umowy. Kluczowa różnica polega na tym, że zgoda wymaga wyraźnego działania potwierdzającego ze strony osoby, której dane dotyczą, podczas gdy pozostałe podstawy często wynikają z obowiązków prawnych lub potrzeb organizacyjnych.

Aby wyeliminować błędne odpowiedzi, najpierw sprawdź, czy przetwarzanie jest wymagane przez prawo lub umowę — jeśli tak, zgoda nie jest potrzebna. Po drugie, pamiętaj, że „żywotne interesy” mają zastosowanie wyłącznie w sytuacjach zagrożenia życia lub śmierci, takich jak udzielanie pomocy medycznej w nagłym przypadku. Po trzecie, „prawnie uzasadnione interesy” są najszerszą podstawą, ale nie mogą być nadrzędne wobec praw osoby, której dane dotyczą; często obejmują zapobieganie oszustwom lub marketing bezpośredni. Szybka metoda eliminacji: jeśli sytuacja dotyczy organu publicznego, prawdopodobną podstawą jest „wykonanie zadania realizowanego w interesie publicznym”, a nie zgoda.

Aby sprawdzić swoją wiedzę, zapytaj: „Czy przetwarzanie odbywa się ze względu na obowiązek prawny, umowę lub konieczność ratowania życia?”. Jeśli tak, skreśl zgodę. Jako pomoc w zapamiętaniu potraktuj sześć podstaw jak ciąg „C-C-L-V-P-L” (Consent — zgoda, Contract — umowa, Legal obligation — obowiązek prawny, Vital interests — żywotne interesy, Public task — zadanie realizowane w interesie publicznym, Legitimate interests — prawnie uzasadnione interesy). Ćwicz przyporządkowywanie każdej podstawy do przykładu z życia, takiego jak naliczanie wynagrodzeń (umowa/obowiązek prawny) w odróżnieniu od zapisania się do newslettera (zgoda).