Art. 9 ust. 2 RODO – kiedy legalnie można przetwarzać dane szczególnych kategorii?
Art. 9 ust. 2 RODO określa wyjątki od ogólnego zakazu przetwarzania danych szczególnych kategorii, czyli tzw. danych wrażliwych. Choć zgodnie z ust. 1 ich przetwarzanie jest co do zasady zabronione, rozporządzenie przewiduje sytuacje, w których administrator może działać legalnie – pod warunkiem spełnienia ściśle określonych przesłanek.
Do najważniejszych podstaw należą: wyraźna zgoda osoby, której dane dotyczą, konieczność realizacji obowiązków z zakresu prawa pracy i zabezpieczenia społecznego, ochrona żywotnych interesów osoby fizycznej, dochodzenie roszczeń czy ważny interes publiczny wynikający z przepisów prawa. Szczególną kategorię stanowi również przetwarzanie danych w celach medycznych, np. diagnostyki i leczenia.
Art. 9 ust. 2 RODO – przesłanki legalnego przetwarzania danych wrażliwych
Art. 9 ust. 2 RODO określa sytuacje, w których możliwe jest legalne przetwarzanie szczególnych kategorii danych osobowych, mimo że co do zasady jest ono zakazane. Przepis ten zawiera zamknięty katalog wyjątków, które muszą być interpretowane ściśle i stosowane wyłącznie wtedy, gdy są rzeczywiście spełnione.
Do najważniejszych przesłanek należą m.in. wyraźna zgoda osoby, realizacja obowiązków wynikających z prawa pracy, ochrona żywotnych interesów, dochodzenie roszczeń czy przetwarzanie danych w celach medycznych.
Ogólny zakaz przetwarzania danych szczególnych kategorii
Zgodnie z art. 9 ust. 1 RODO przetwarzanie danych szczególnych kategorii, czyli tzw. danych wrażliwych, jest co do zasady zabronione. Oznacza to, że administrator nie może ich zbierać, przechowywać ani wykorzystywać, chyba że spełni jedną z wyjątkowych przesłanek wskazanych w ust. 2.
Zakaz dotyczy m.in. danych o zdrowiu, pochodzeniu rasowym lub etnicznym, poglądach politycznych, przekonaniach religijnych, danych genetycznych i biometrycznych.
Art. 9 ust. 2 RODO – kiedy i na jakich zasadach można legalnie przetwarzać dane szczególnych kategorii (dane wrażliwe)?
Art. 9 ust. 2 RODO wskazuje zamknięty katalog sytuacji, w których przetwarzanie danych wrażliwych jest dopuszczalne. Administrator może je przetwarzać wyłącznie wtedy, gdy spełniona jest jedna z wyraźnie określonych przesłanek oraz gdy przetwarzanie jest niezbędne do realizacji konkretnego celu.
Do najważniejszych podstaw należą:
- wyraźna zgoda osoby, której dane dotyczą,
- realizacja obowiązków z zakresu prawa pracy i zabezpieczenia społecznego,
- ochrona żywotnych interesów osoby fizycznej,
- ustalenie, dochodzenie lub obrona roszczeń,
- przetwarzanie w celach medycznych i diagnostycznych,
- ważny interes publiczny określony w przepisach prawa.
Najczęstsze błędy administratorów przy stosowaniu art. 9 ust. 2 RODO
Stosowanie wyjątków z art. 9 ust. 2 RODO w praktyce często budzi wątpliwości i prowadzi do błędów, które mogą skutkować naruszeniem przepisów. Najczęstszym problemem jest traktowanie przesłanek dopuszczalności jako ogólnej podstawy przetwarzania, bez dokładnej analizy, czy są one rzeczywiście spełnione.
Do najczęstszych błędów należą:
- opieranie przetwarzania danych wrażliwych na „zwykłej” zgodzie zamiast na wyraźnej zgodzie,
- brak wykazania niezbędności przetwarzania do konkretnego celu,
- powoływanie się na interes publiczny bez wyraźnej podstawy w przepisach prawa,
- niewdrożenie podwyższonych środków bezpieczeństwa,
- brak dokumentacji uzasadniającej wybór przesłanki z art. 9 ust. 2.
Najczęściej zadawane pytania
Czy dane wrażliwe można przetwarzać na podstawie zwykłej zgody?
Nie, wymagana jest wyraźna zgoda zgodnie z art. 9 ust. 2 RODO.
Czy dane o zdrowiu zawsze wymagają szczególnej podstawy prawnej?
Tak, są to dane szczególnych kategorii i podlegają art. 9 RODO.
Czy można powołać się na interes publiczny bez przepisu prawa?
Nie, musi istnieć wyraźna podstawa w przepisach krajowych lub unijnych.