brak informacji o podstawie prawnej

Brak informacji o podstawie prawnej to naruszenie zasady RODO wymagającej wskazania przesłanki uzasadniającej przetwarzanie danych.

Brak informacji o podstawie prawnej – czym jest to uchybienie

Brak informacji o podstawie prawnej oznacza sytuację, w której osoba, której dane dotyczą, nie otrzymuje jasnej wiadomości o tym, z jakiego powodu organizacja uznaje przetwarzanie danych za dopuszczalne. W praktyce nie wystarcza samo ogólne stwierdzenie, że dane są przetwarzane zgodnie z RODO. Należy wskazać konkretną przesłankę prawną odnoszącą się do danego celu, zakresu danych i sposobu ich wykorzystywania.

Podstawa prawna nie jest wyłącznie formalnym elementem klauzuli informacyjnej. Pozwala ocenić, czy administrator ma uprawnienie do zebrania danych, czy może przechowywać je przez określony czas oraz czy wolno mu przekazać je innemu podmiotowi. Bez tej informacji trudniej zweryfikować legalność operacji, skorzystać z prawa sprzeciwu albo ustalić, czy właściwe będzie wycofanie zgody. Naruszenie może polegać zarówno na całkowitym pominięciu podstawy, jak i na użyciu sformułowania zbyt ogólnego, niejednoznacznego albo niedopasowanego do konkretnego celu.

W przypadku wielu celów przetwarzania powinno się rozważyć odrębne wskazanie przesłanki dla każdego z nich. Inna podstawa może uzasadniać wykonanie umowy, inna wypełnienie obowiązku prawnego, a jeszcze inna ochronę prawnie uzasadnionego interesu. Zgoda osoby jest tylko jedną z możliwych podstaw i nie powinna być przedstawiana jako uniwersalne rozwiązanie dla każdej operacji.

Brak informacji o podstawie prawnej a przejrzystość obowiązków

Obowiązek informacyjny powinien być zrozumiały dla osoby, która przekazuje dane lub której dane są pozyskiwane z innego źródła. Sama obecność rozbudowanej polityki prywatności nie usuwa problemu, jeżeli najważniejsza informacja została ukryta w nieczytelnym fragmencie albo zastąpiona wyrażeniem o nieustalonym znaczeniu. Przejrzystość wymaga przedstawienia informacji w sposób pozwalający szybko odpowiedzieć na pytania: po co dane są potrzebne, na jakiej podstawie są wykorzystywane, jak długo mogą być przechowywane i jakie prawa przysługują osobie.

Ważne jest rozróżnienie pomiędzy podstawą prawną a celem przetwarzania. Cel opisuje, do czego dane mają służyć, natomiast podstawa wyjaśnia, dlaczego prawo pozwala na wykonanie określonej operacji. Przykładowo, wysłanie informacji związanej z realizacją zamówienia może mieć związek z wykonaniem umowy, ale późniejsze przesyłanie treści o innym charakterze wymaga osobnej oceny. Nie powinno się automatycznie przyjmować, że jeden cel obejmuje wszystkie przyszłe działania.

Weryfikacji wymaga także treść formularzy, wiadomości elektronicznych, nagrań rozmów, dokumentów papierowych i ekranów, na których przekazywana jest klauzula informacyjna. Jeżeli w jednym miejscu znajduje się informacja o zgodzie, a w innym opis obowiązku ustawowego, niezbędne jest ustalenie, do których czynności odnoszą się poszczególne fragmenty. Brak spójności może powodować, że osoba nie jest w stanie ustalić rzeczywistej podstawy dla konkretnego użycia danych.

Brak informacji o podstawie prawnej – typowe problemy w dokumentach

Jednym z częstych problemów jest kopiowanie uniwersalnych wzorów bez dopasowania ich do rzeczywistego procesu. Taki dokument może zawierać listę wielu możliwych podstaw, lecz nie wskazywać, która z nich dotyczy danego celu. Innym błędem jest powołanie przepisu bez objaśnienia jego znaczenia, przez co odbiorca widzi numer jednostki redakcyjnej, ale nadal nie wie, z jakiego powodu dane są wykorzystywane.

• Pomijanie podstawy prawnej przy formularzu kontaktowym, rejestracji konta albo obsłudze zgłoszenia.
• Wskazywanie zgody tam, gdzie przetwarzanie jest niezbędne do wykonania umowy lub spełnienia obowiązku prawnego.
• Łączenie kilku celów w jeden opis i przypisywanie im jednej przesłanki bez uzasadnienia.
• Brak aktualizacji klauzuli po zmianie procesu, zakresu danych albo odbiorców danych.
• Umieszczanie informacji wyłącznie w dokumencie trudnym do znalezienia podczas zbierania danych.
• Brak wyjaśnienia, czy podanie danych jest wymagane, dobrowolne, czy konieczne do zawarcia lub wykonania umowy.

Nieprawidłowość może powstać również wtedy, gdy podstawa była wskazana początkowo, lecz później zmieniono sposób wykorzystywania danych. Zmiana celu nie powinna być traktowana jako czysto redakcyjna korekta. Należy ustalić, czy dotychczasowa przesłanka nadal pasuje do nowej czynności, czy osoba została o niej poinformowana oraz czy nie trzeba ograniczyć zakresu danych albo usunąć informacji z określonych zbiorów.

Problematyczne bywają także sytuacje, w których dokument odsyła do innego regulaminu, lecz nie wskazuje, gdzie dokładnie znajduje się informacja o podstawie. Odesłanie może być pomocne, jednak nie powinno utrudniać zrozumienia kluczowej treści. W dokumentach kierowanych do szerokiego grona odbiorców warto stosować prosty język, krótkie akapity i logiczne przyporządkowanie podstaw do celów.

Brak informacji o podstawie prawnej – praktyczne wskazówki weryfikacyjne

Przegląd warto rozpocząć od sporządzenia listy procesów, w których dane osobowe są pozyskiwane, utrwalane, porządkowane, wykorzystywane, udostępniane lub usuwane. Następnie dla każdego procesu należy określić cel, kategorie danych, osoby, których dane dotyczą, odbiorców oraz okres przechowywania. Dopiero na tym tle można ocenić, jaka podstawa prawna odpowiada konkretnej czynności.

Przydatne jest porównanie trzech warstw informacji: rzeczywistego przebiegu procesu, wewnętrznych procedur oraz treści przekazywanej osobie. Jeżeli dokument wskazuje inną podstawę niż ta wynikająca z praktyki, konieczne może być wstrzymanie niektórych działań do czasu wyjaśnienia rozbieżności. Nie powinno się poprawiać samej klauzuli bez sprawdzenia formularzy, skryptów rozmów, ustawień systemów i zasad dostępu.

Warto także udokumentować przyjęte uzasadnienie. Powinno być jasne, dlaczego dana przesłanka została uznana za właściwą, jakie ograniczenia z niej wynikają i kiedy należy przeprowadzić ponowną ocenę. Dokumentacja pomaga wykazać, że wybór podstawy nie był przypadkowy. Ułatwia również przygotowanie odpowiedzi na pytanie osoby, która chce wiedzieć, dlaczego jej dane są wykorzystywane.

Przy aktualizacji informacji należy zachować zgodność pomiędzy krótkim komunikatem a pełną klauzulą. Skrót może być używany w formularzu, lecz powinien prowadzić do kompletnego wyjaśnienia. Należy unikać języka sugerującego, że zgoda jest wymagana w każdej sytuacji, ponieważ może to wpływać na dobrowolność decyzji. Gdy kilka podstaw występuje w ramach jednego procesu, warto opisać ich zakres osobno i wskazać, jakie konsekwencje ma brak podania danych albo cofnięcie zgody.

Kiedy zgłosić brak informacji o podstawie prawnej do analizy

Wsparcie przydaje się szczególnie wtedy, gdy nie wiadomo, czy przedstawiony dokument spełnia wymogi przejrzystości, gdy przetwarzanie rozpoczęto na podstawie starego wzoru albo gdy w jednym procesie pojawia się kilka celów. Analizy wymaga także sytuacja, w której osoba otrzymała ogólną informację, lecz nie potrafi ustalić, jaka przesłanka odnosi się do jej danych. W takim przypadku warto zebrać treść komunikatów, formularzy, regulaminów i opis faktycznego przebiegu procesu.

Do uporządkowania dokumentacji można wykorzystać pomoc Warszawskiego Pogotowia Komputerowego 24/7 przy przygotowaniu cyfrowych materiałów, ich bezpiecznym uporządkowaniu oraz sprawdzeniu, czy pliki i urządzenia wykorzystywane przy pracy działają prawidłowo. Sama ocena podstawy prawnej powinna jednak uwzględniać charakter prawny procesu i w razie potrzeby zostać skonsultowana z osobą posiadającą odpowiednie kompetencje z zakresu ochrony danych.

Jeżeli stwierdzono brak informacji, warto najpierw ustalić jego zakres i wpływ na osoby, których dane dotyczą. Następnie należy poprawić komunikat, określić właściwą podstawę dla każdego celu, uzupełnić dokumentację oraz sprawdzić, czy podobny problem nie występuje w innych kanałach. W zależności od okoliczności konieczne może być ponowne przekazanie informacji osobom, których dane są nadal przetwarzane. Najważniejsze jest, aby wyjaśnienie było konkretne, aktualne i możliwe do odczytania bez specjalistycznej wiedzy.