Art 6 RODO – podstawy przetwarzania danych i praktyczne decyzje

Art. 6 RODO nie opisuje ogólnych wartości, ale podaje konkretne podstawy prawne, bez których przetwarzanie danych osobowych nie powinno się odbywać. Najpierw trzeba ustalić cel przetwarzania, a dopiero później dobrać podstawę prawną.

Jeżeli cel jest jeden, a czynności kilka, warto sprawdzić, czy wszystkie rzeczywiście mieszczą się w tej samej podstawie. Częsty błąd polega na tym, że jedna podstawa obejmuje zawarcie i wykonanie umowy, ale już nie dodatkowy marketing lub profilowanie.

Nie ma ustawowej zasady, że zgoda jest podstawą "bezpieczniejszą" od innych. Przeciwnie, jeśli przetwarzanie wynika z umowy albo obowiązku prawnego, sięganie po zgodę może osłabić legalność, bo sugeruje możliwość wycofania czegoś, co w rzeczywistości jest konieczne z innego powodu.

Przed decyzją sprawdź aktualną ustawę albo kodeks, właściwy formularz, załączniki i termin wynikający z dokumentu.

Dobór podstawy zaczyna się od prostego pytania: po co dokładnie przetwarzane są dane osobowe. Jeżeli cel można osiągnąć bez części danych lub bez części operacji, pojawia się ryzyko, że wybrana podstawa nie spełnia kryterium niezbędności.

Drugi krok to sprawdzenie, czy istnieje przepis, umowa albo sytuacja wyjątkowa, które wprost uzasadniają przetwarzanie. Dopiero gdy nie ma wyraźnej podstawy ustawowej lub kontraktowej, zwykle rozważa się zgodę albo prawnie uzasadniony interes.

Trzeci krok to dokumentacja. Samo wskazanie podstawy w rejestrze czynności lub klauzuli informacyjnej nie wystarcza, jeśli organizacja nie potrafi pokazać, dlaczego ta podstawa odpowiada konkretnemu celowi i zakresowi danych.

Art. 6 ust. 1 lit. b RODO dotyczy sytuacji, w których przetwarzanie jest niezbędne do wykonania umowy albo do działań podjętych na żądanie osoby przed jej zawarciem. Chodzi o dane potrzebne do przygotowania oferty, kontaktu w sprawie zamówienia, realizacji usługi lub rozliczenia tego, co bezpośrednio wiąże się z umową.

Ta podstawa nie obejmuje automatycznie wszystkiego, co administrator uzna za przydatne. Jeżeli dana czynność służy odrębnemu celowi, np. osobnemu marketingowi, analizom zachowań lub budowaniu bazy kontaktów, trzeba ocenić inną podstawę.

Art. 6 ust. 1 lit. f RODO pozwala oprzeć przetwarzanie na prawnie uzasadnionym interesie administratora lub strony trzeciej. Najczęściej chodzi o dochodzenie roszczeń, podstawowe zabezpieczenie systemów, zapobieganie nadużyciom albo ograniczone działania organizacyjne. Tu kluczowy jest test równowagi: interes musi być rzeczywisty, przetwarzanie niezbędne, a wpływ na osobę proporcjonalny.

Art. 6 RODO działa w praktyce razem z innymi przepisami. Sam wybór podstawy prawnej nie kończy analizy. Trzeba jeszcze sprawdzić, czy organizacja spełnia zasady z art. 5 RODO, obowiązek informacyjny, reguły retencji, bezpieczeństwo danych oraz warunki dalszego przetwarzania.

Szczególne znaczenie ma prawo Unii lub prawo państwa członkowskiego, gdy administrator powołuje się na obowiązek prawny albo zadanie publiczne. W takich sytuacjach podstawa nie wynika z samej potrzeby organizacyjnej, lecz z przepisu, który określa zakres działania.

Jeżeli zmienia się cel przetwarzania, trzeba ocenić, czy dotychczasowa podstawa nadal wystarcza. Nie każda zmiana celu oznacza automatycznie zakaz dalszego przetwarzania, ale wymaga nowej analizy zgodności i dokumentacji.

Najczęstszy błąd to wskazywanie kilku podstaw prawnych dla jednej czynności bez wyjaśnienia, która z nich naprawdę uzasadnia przetwarzanie. Taki zapis wygląda ostrożnie, ale często pokazuje, że analiza nie została wykonana do końca.

Drugi typowy problem to utożsamianie wygody z niezbędnością. To, że określone dane są przydatne biznesowo, nie oznacza jeszcze, że można oprzeć ich zbieranie na umowie, obowiązku prawnym albo uzasadnionym interesie.

Trzeci błąd pojawia się przy zgodzie: formularz zawiera checkbox, ale osoba nie ma realnej alternatywy. Wtedy zgoda może nie być dobrowolna, a cała konstrukcja podstawy staje się wątpliwa.

Czwarty błąd dotyczy uzasadnionego interesu. Organizacja wpisuje tę podstawę do dokumentacji, ale nie ma notatki z testu równowagi, opisu interesu, uzasadnienia retencji ani procedury rozpatrywania sprzeciwu.

Sklep internetowy może przetwarzać dane adresowe klienta na podstawie art. 6 ust. 1 lit. b RODO, bo są potrzebne do realizacji zamówienia. Jeżeli jednak chce później używać tych samych danych do odrębnych działań marketingowych, nie oznacza to automatycznie, że nadal działa w ramach umowy.

Pracodawca lub przedsiębiorca może przetwarzać część danych na podstawie obowiązku prawnego, gdy przepisy nakładają obowiązek rozliczeń lub archiwizacji. Tu kluczowe jest wskazanie przepisu, a nie ogólnego twierdzenia, że "prawo tego wymaga".

Administrator systemu może opierać podstawowe logi bezpieczeństwa lub działania przeciw nadużyciom na art. 6 ust. 1 lit. f RODO, ale tylko wtedy, gdy zakres danych i czas przechowywania są proporcjonalne. Im większa ingerencja w prywatność, tym trudniej obronić tę podstawę.

W sytuacji ratunkowej podmiot medyczny lub inna osoba pomagająca może sięgać do podstawy żywotnych interesów, ale nie należy traktować jej jako wygodnego zamiennika dla standardowych podstaw codziennego przetwarzania.

Przed wpisaniem podstawy do dokumentacji warto przejść krótką listę kontrolną. To etap, który pozwala wychwycić nadmiar danych, niewłaściwe cele i zbyt szerokie odwołanie do uzasadnionego interesu.

Dobra praktyka polega na tym, żeby sprawdzenie podstawy przeprowadzać nie tylko na starcie, ale także przy zmianie formularza, regulaminu, integracji systemowej albo sposobu kontaktu z klientem. Właśnie wtedy najłatwiej niepostrzeżenie poszerzyć zakres przetwarzania.

Jeżeli po tej weryfikacji nadal nie da się jednoznacznie wskazać podstawy, bezpieczniej jest wrócić do projektu procesu niż maskować problem ogólnym zapisem w polityce prywatności.

Art. 6 RODO pokazuje, kiedy przetwarzanie danych osobowych może być legalne na poziomie podstawy prawnej. To punkt wyjścia do całej oceny zgodności.

Sam art. 6 RODO nie rozstrzyga jednak wszystkiego. Nie zastępuje analizy minimalizacji danych, okresu przechowywania, obowiązku informacyjnego, bezpieczeństwa, zasad dalszego przetwarzania ani szczególnych reguł dotyczących wybranych kategorii danych.

W praktyce oznacza to prostą hierarchię decyzji: najpierw wybór podstawy z art. 6 ust. 1, potem sprawdzenie niezbędności i zakresu, następnie dopięcie pozostałych obowiązków. Taka kolejność porządkuje dokumentację i zmniejsza ryzyko, że organizacja oprze cały proces na podstawie, której nie potrafi obronić.