RODO – Prawo do ograniczenia przetwarzania

rodoPrawo do ograniczenia przetwarzania, choć brzmi niewinnie, jest jednym z najbardziej restrykcyjnych obowiązków nałożonych na administratorów.

Zgodnie z art. 4 pkt 3, ograniczenie przetwarzania to oznaczenie przechowywanych danych osobowych w celu ograniczenia ich przyszłego przetwarzania. Szersze omówienie tej definicji znalazło się w jednym z poprzednich opracowań.

Z żądaniem ograniczenia przetwarzania może wystąpić tylko osoba, której dane dotyczą – bezpośrednio do administratora. Kluczowe jest jednak to, że uprawniony nie możne dowolnie żądać ograniczenia przetwarzania – może to zrobić wyłącznie w czterech przypadkach wskazanych przez rozporządzenie.

Ograniczenie przetwarzania będzie zatem obowiązkiem administratora w sytuacji, gdy:

  1. osoba, której dane dotyczą, kwestionuje prawidłowość danych osobowych – na okres pozwalający administratorowi sprawdzić prawidłowość tych danych;
  2. przetwarzanie jest niezgodne z prawem, a osoba, której dane dotyczą, sprzeciwia się usunięciu danych osobowych, żądając w zamian ograniczenia ich wykorzystywania;
  3. administrator nie potrzebuje już danych osobowych do celów przetwarzania, ale są one potrzebne osobie, której dane dotyczą, do ustalenia, dochodzenia lub obrony roszczeń;
  4. osoba, której dane dotyczą, wniosła sprzeciw na mocy art. 21 ust. 1 wobec przetwarzania – do czasu stwierdzenia, czy prawnie uzasadnione podstawy po stronie administratora są nadrzędne wobec podstaw sprzeciwu osoby, której dane dotyczą.

Jeśli doszło do ograniczenia przetwarzania, dane można jedynie przechowywać (nie można ich natomiast usunąć!). I tutaj jednak prawodawca unijny wprowadził szereg wyjątków. Inne rodzaje przetwarzania są bowiem możliwe w sytuacji, gdy:

  1. administrator posiada zgodę osoby na takie przetwarzanie;
  2. są konieczne do ustalenia, dochodzenia lub obrony roszczeń;
  3. są niezbędne do ochrony praw innej osoby fizycznej lub prawnej;
  4. przemawiają za tym ważne względy interesu publicznego Unii lub państwa członkowskiego.

Administrator powinien także pamiętać, że jeśli zamierza uchylić ograniczenie przetwarzania, musi o tym poinformować osobę, która wystąpiła z pierwotnym żądaniem takiego ograniczenia.

Warto jeszcze zwrócić uwagę na techniczny aspekt ograniczenia przetwarzania poruszony w preambule. Zgodnie z motywem 67, wśród metod pozwalających ograniczyć przetwarzanie danych osobowych mogą się znaleźć między innymi: czasowe przeniesienie wybranych danych osobowych do innego systemu przetwarzania, uniemożliwienie użytkownikom dostępu do wybranych danych, lub czasowe usunięcie opublikowanych danych ze strony internetowej. W zautomatyzowanych zbiorach danych przetwarzanie należy zasadniczo ograniczyć środkami technicznymi w taki sposób, by dane osobowe nie podlegały dalszemu przetwarzaniu ani nie mogły być zmieniane. Fakt ograniczenia przetwarzania danych osobowych należy wyraźnie zaznaczyć w systemie.

Michał Wysocki

Bibliografia:

  1. E. Bielak-Jomaa, D. Lubasz (red.), RODO. Ogólne rozporządzenie o ochronie danych. Komentarz, Wolters Kluwer Polska, 2017;
  2. P. Litwiński (red.), Rozporządzenie UE w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i swobodnym przepływem takich danych. Komentarz, C.H. Beck, 2018

Dodaj komentarz

Twój adres e-mail nie zostanie opublikowany. Pola, których wypełnienie jest wymagane, są oznaczone symbolem *

Możesz użyć następujących tagów oraz atrybutów HTML-a: <a href="" title=""> <abbr title=""> <acronym title=""> <b> <blockquote cite=""> <cite> <code> <del datetime=""> <em> <i> <q cite=""> <s> <strike> <strong>