Nowe rozporządzenie dotyczące ochrony osób fizycznych w związku z przetwarzaniem danych osobowych (RODO) przyznaje szereg uprawnień ludziom, których dane mają być przetwarzane przez firmy, urzędy i inne instytucje. Niektóre z nich wydają się być do siebie podobne, co prowadzi niestety do drobnych pomyłek.
Przykładowo, w treści rozporządzenia wskazano na możliwość żądania usunięcia przetwarzanych danych osobowych, jak również możliwość złożenia sprzeciwu wobec przetwarzania danych osobowych. Na pierwszy rzut oka cel zastosowania obu żądań jest podobny – administrator danych nie będzie mógł przetwarzać tych danych osobowych, które należą do osoby zgłaszającej żądanie. Stąd też niektórzy mylą prawo do sprzeciwu wobec przetwarzania danych osobowych z żądaniem usunięcia danych osobowych. Dlatego zdecydowałem się napisać o tym, czym właściwie jest prawo do sprzeciwu wobec przetwarzania danych osobowych.
Kiedy można złożyć sprzeciw wobec przetwarzania danych?
Zgodnie z RODO, prawo do złożenia sprzeciwu dotyczącego przetwarzania naszych danych może zostać wniesione w dwóch przypadkach:
Gdy dane przetwarzane są przez administratora w celu wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi,
Gdy dane przetwarzane są w celu realizacji przez administratora jego prawnie uzasadnionych interesów.
Czy administrator może odmówić uwzględnienia naszego sprzeciwu?
Zgłaszając sprzeciw, osoba której dane dotyczą, musi go jakoś umotywować – wskazać na swoją szczególną sytuację, z uwagi na którą jego dane nie powinny być przetwarzane. Administrator ma prawo odmówić uwzględnienia sprzeciwu gdy wykaże, że:
istnieją ważne, prawnie uzasadnione podstawy do przetwarzania, nadrzędnych wobec interesów, praw i wolności osoby, której dane dotyczą,
istnieją podstawy do ustalenia, dochodzenia lub obrony roszczeń.
W przypadku gdy żadna z powyższych przyczyn nie zachodzi, administrator powinien zaprzestać przetwarzania danych osobowych po rozpatrzeniu sprzeciwu danej osoby.
Co gdy tym interesem administratora jest marketing bezpośredni?
Wyjątkiem jest sytuacja, gdy administrator danych przetwarza dane osobowe w celu realizowania zadań związanych z marketingiem bezpośrednim. W takim przypadku sprzeciw jest wiążący dla administratora danych, który już nie może zasłaniać się swoimi uzasadnionymi interesami. Ponadto, sprzeciw w odniesieniu do przetwarzania danych w celach marketingowych nie wymaga uzasadnienia.
Podsumowując – prawo do wniesienia sprzeciwu w odniesieniu do przetwarzania danych osobowych nie ma charakteru bezwzględnego i nie może zostać zastosowane zawsze. Wyjątkiem jest przetwarzanie danych w celach marketingowych, gdzie rzeczywiście prawo do złożenia sprzeciwu powinno działać zawsze.
Trzeba też wskazać, że wykorzystanie prawa do sprzeciwu nie prowadzi do tego, że administrator danych automatycznie usunie wszystkie informacje, które o nas posiada, a jedynie przestanie z ich korzystać.
A do tego, żeby dane zostały usunięte, konieczne jest skorzystanie z drugiego prawa - do bycia zapomnianym (do żądania usunięcia danych).
