Ochrona danych osobowych - o czym każdy deweloper powinien pamiętać?

Z tego postu dowiesz się:

1. czym są dane osobowe,
2. co oznacza ich przetwarzanie,
3. kiedy można przetwarzać dane osobowe.

Czym są dane osobowe?

Pojęcie danych osobowych i zasady postępowania z nimi określa szczegółowo ustawa z dnia 29 sierpnia 1997 roku o ochronie danych osobowych. Zgodnie z nią, za dane osobowe uważa się wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej.

Osobą fizyczną jest każdy człowiek. Co oznacza, że jest on „możliwy do zidentyfikowania”? Osobą możliwą do zidentyfikowania jest osoba, której tożsamość można określić bezpośrednio lub pośrednio, w szczególności przez powołanie się na numer identyfikacyjny albo jeden lub kilka specyficznych czynników określających jej cechy fizyczne, fizjologiczne, umysłowe, ekonomiczne, kulturowe lub społeczne. Informacji nie uważa się za umożliwiającą określenie tożsamości osoby, jeżeli wymagałoby to nadmiernych kosztów, czasu lub działań.

Danymi osobowymi są więc i dane, które pozwalają na określenie tożsamości konkretnego człowieka, jak i takie, które pozwalają na jego identyfikację przy pewnym (ale niezbyt wysokim) nakładzie kosztów, czasu i działań (np. numer telefonu).

Klasycznym przykładem danych osobowych będą imię i nazwisko, przy czym na tyle oryginalne, by jednoznacznie wskazać, o jaką osobę chodzi. Na przykład pojedyncza informacja „Jan Kowalski” nie jest daną osobową w rozumieniu ustawy o ochronie danych osobowych, ponieważ odnosi się do bardzo szerokiego kręgu osób. Ale już w zestawieniu z adresem zamieszkania („Jan Kowalski, zamieszkały w Pszczynie przy ul. Nowej 12”) pozwoli na ustalenie tożsamości konkretnej osoby i wówczas należy traktować ją jako daną podlegającą ochronie. Z kolei numer PESEL, unikalny dla każdego człowieka, zawsze będzie daną osobową (nawet jeśli nie mamy innych informacji o tej osobie).

Daną osobową mogą być również numer telefonu, adres e-mail, data i miejsce urodzenia, imiona rodziców, wysokość wynagrodzenia lub informacje o sytuacji finansowej danego człowieka (w połączeniu z innymi danymi). Za dane osobowe można uznać także zdjęcia, DNA, grupę krwi. Katalog informacji stanowiących dane osobowe nie jest zamknięty. Przy rozstrzyganiu, czy analizowana informacja jest daną osobową, konieczna będzie wnikliwa ocena, uwzględniająca konkretne okoliczności oraz rodzaj środków czy metod potrzebnych w określonej sytuacji do ustalenia tożsamości osoby.

Przetwarzanie danych

Co to znaczy, że ktoś „przetwarza dane osobowe”? Przetwarzanie danych to wszelkie czynności wykonywane na danych osobowych – ich zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie, a także usuwanie. Przetwarzaniem danych będzie na przykład samo zapisanie w notesie danych potencjalnego klienta lub ich wykreślenie, przygotowanie przez dewelopera zestawienia klientów, którzy nabyli mieszkanie w danej inwestycji, opracowanie umowy z wykorzystaniem danych klienta. Podmiot, który decyduje o celach i sposobach przetwarzania danych, nazywany jest ich administratorem.

Kiedy można przetwarzać dane osobowe?

Aby przedsiębiorca mógł zgodnie z prawem przetwarzać dane osobowe, musi podać tzw. podstawę przetwarzania danych osobowych. Najczęściej wymienianą podstawa przetwarzania danych jest zgoda osoby, której dane dotyczą. Nie zawsze jest ona jednak potrzebna. Administrator może przetwarzać dane, gdy jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa (na tej podstawie zwykle przetwarzają dane podmioty publiczne, urzędy itp.).

Dane można przetwarzać także wtedy, gdy jest to niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego. Dla przedsiębiorców kluczowe są dwie kolejne podstawy: przetwarzanie danych jest możliwe, gdy jest konieczne do realizacji umowy, jeżeli osoba, której dane dotyczą, jest jej stroną, lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą. Oznacza to, że na przykład przetwarzanie danych klientów w związku z wykonywaniem umowy deweloperskiej lub umowy o pośrednictwo w handlu nieruchomościami zasadniczo nie wymaga odrębnej zgody na takie przetwarzanie, jeżeli jego jedynym celem jest prawidłowe wykonanie umowy. 

Na przetwarzanie danych pozwala również tzw. prawnie usprawiedliwiony cel realizowany przez administratora danych albo odbiorcę danych, pod warunkiem, że przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Jako przykłady interesu administratora danych uzasadniającego powołanie się na tę przesłankę wskazuje się m.in. marketing bezpośredni, korzystanie z prawa do wolności wypowiedzi, wysyłanie niezamówionych wiadomości, ale o charakterze niekomercyjnym, przeciwdziałanie praniu pieniędzy, walkę z nadużyciami ze strony klientów, monitorowanie miejsca pracy, ale wyłącznie w celu zapewnienia bezpieczeństwa i porządku organizacyjnego, dochodzenie roszczeń.

O czym jeszcze pamiętać?

Niezależnie od podstawy przetwarzania danych, na administratorze danych ciąży szereg obowiązków, m.in. konieczność zgłoszenia zbioru danych do GIODO, odpowiednie informowanie klientów o przetwarzaniu ich danych, właściwe zabezpieczenie danych, opracowanie prawidłowej dokumentacji dotyczącej przetwarzania. Opiszemy je bliżej w kolejnych artykułach.