Podstawy przetwarzania danych osobowych

Zgodnie z art. 23 ustawy z dnia 29 sierpnia 1997 roku o ochronie danych osobowych[1] przetwarzanie, tzw. „zwykłych” danych osobowych (w odróżnieniu od tzw. „wrażliwych”, dla których przesłanki przetwarzania określa art. 27 ustawy) dopuszczalne jest gdy:

1. następuje za zgodą osoby zainteresowanej;
2. oparte jest o uprawnienie lub obowiązek wynikający z przepisów prawa;
3. jest niezbędne w celu realizacji umowy, której stroną jest osoba, której dane dotyczą;
4. jest niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą;
5. jest niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego;
6. jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, a nie jest możliwe uzyskanie zgody osoby zainteresowanej;
7. jest niezbędne do wypełnienia prawnie usprawiedliwionych celów (takich jak np. marketing bezpośredni własnych produktów lub usług lub dochodzenia roszczeń z tytułu prowadzenia działalności gospodarczej) przez administratorów danych lub odbiorców danych; ustawa zastrzega jednak w tym przypadku, że warunkiem dopuszczalności przetwarzania danych jest to, aby przetwarzanie takie nie naruszało praw i wolności osoby, której dane dotyczą.

Zgodnie natomiast z art. 27 ust. 1 Uodo zabrania się przetwarzania tzw. „danych wrażliwych”[2], w tym m.in. danych o stanie zdrowia. Jednakże zgodnie z art. 27 ust. 2 Uodo, przetwarzanie przedmiotowych danych jest dopuszczalne m.in. jeżeli:

1. osoba, której dane dotyczą, wyrazi na to zgodę na piśmie, chyba że chodzi o usunięcie dotyczących jej danych;
2. przepis szczególny innej ustawy zezwala na przetwarzanie takich danych bez zgody osoby, której dane dotyczą, i stwarza pełne gwarancje ich ochrony;
3. przetwarzanie takich danych jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby, gdy osoba, której dane dotyczą, nie jest fizycznie lub prawnie zdolna do wyrażenia zgody, do czasu ustanowienia opiekuna prawnego lub kuratora;
4. przetwarzanie jest niezbędne do wykonania zadań administratora danych odnoszących się do zatrudnienia pracowników i innych osób, a zakres przetwarzanych danych jest określony w ustawie;
5. przetwarzanie jest prowadzone w celu ochrony stanu zdrowia, świadczenia usług medycznych lub leczenia pacjentów przez osoby trudniące się zawodowo leczeniem lub świadczeniem innych usług medycznych, zarządzania udzielaniem usług medycznych i są stworzone pełne gwarancje ochrony danych osobowych.

W doktrynie prawniczej[3], orzecznictwie[4]oraz w opiniach Generalnego Inspektora Ochrony Danych Osobowych, dostępnych na stronie internetowej Biura Generalnego Inspektora Ochrony Danych Osobowych, podkreśla się, że każda z tych przesłanek jest równoprawna, a spełnienie każdej z nich legalizuje przetwarzanie danych i stanowi samodzielną podstawę do przetwarzania danych, co oznacza, że jeśli zachodzi choć jedna przesłanka przetwarzania danych osobowych opisana, w przypadku danych „zwykłych” – w art. 23 ust. 1 pkt 1 – 5, a w przypadku danych „wrażliwych” – w art. 27 ust. 2 Uodo, zbędne jest wskazywanie posiłkowo innej i np. żądanie zgody od osoby, której dane dotyczą.