Zasada adekwatności

Skąd masz wiedzieć, czy zakres przetwarzanych przez Ciebie danych osobowych jest adekwatny w rozumieniu RODO, i co powinieneś zrobić, jeśli uznasz, że nie?

Formy pieniądza ewoluują od tysięcy lat – od wymiany towaru za towar, przez pojawienie się pieniądza z kruszcu, mającego określoną wartość, który zamienił się w obecnie nam znane bilony i pieniądze papierowe, aż w końcu po kryptowaluty i… dane osobowe. O tych ostatnich nie bez powodu mówi się jako o nowej walucie – obrót cyfrowymi danymi personalnymi od 2020 r. ma przynosić europejskim organizacjom zyski rzędu 330 mld rocznie.

Pamiętaj, że im mniej informacji o sobie udostępniasz, tym bezpieczniej możesz się czuć. Postaw się jednak po drugiej stronie. z perspektywy organizacji przetwarzającej dane – niezależnie od tego, czy będzie ona dużą firmą produkcyjną, deweloperską, czy agencją marketingową – ważne jest to, aby w razie ewentualnej kontroli Urzędu Ochrony Danych Osobowych wykazać, że do przetwarzania danych dochodzi z możliwie najmniejszą ingerencją w sferę prywatności osób fizycznych, czyli że dane są przetwarzane zgodnie z zasadą adekwatności.

W myśl tej zasady administratorzy powinni przetwarzać wyłącznie dane niezbędne do celów, w których są przetwarzane. Chodzi o ograniczenie zakresu danych osobowych do minimum wystarczającego do realizacji celu przetwarzania.

Przykładowo:

• aby wysłać newsletter, zazwyczaj niezbędny będzie tylko adres e-mail – po co zatem prosić o podanie daty urodzenia czy miejsca zamieszkania?
• do sprawnego przeprowadzenia rekrutacji nie jest potrzebne zdjęcie kandydata – jaki sens ma w takim razie umieszczanie w treści ogłoszenia prośby o zamieszczenie wizerunku w CV?
• podczas realizacji zamówienia najczęściej zbędny jest numer PESEL zamawiającego czy numer jego dokumentu tożsamości – jeśli to możliwe, lepiej zrezygnować ze zbierania takich danych.

Skąd masz wiedzieć, jakie dane są adekwatne do celu przetwarzania?

Czasem zakres danych, które można zbierać, określa ustawodawca – przykładowo Kodeks pracy reguluje zakres danych zbieranych przez pracodawców w toku rekrutacji i zatrudnienia. Zazwyczaj jednak administratorzy sami muszą ocenić, jakich danych potrzebują i czy są one faktycznie niezbędne ze względu na cel, któremu służą.

Nie oznacza to, że istnieją niepisane i nienaruszalne zasady, określające, kiedy i jakie dane można przetwarzać – ta kwestia każdorazowo musi zostać poddana weryfikacji. Co prawda do dostarczenia pizzy faktycznie niezbędny jest wyłącznie adres, ale bez numeru telefonu pracownik restauracji mógłby mieć problem z doręczeniem zamówienia. Podobnie z datą urodzenia przy organizacji konkursu – konkurs można przeprowadzić i bez niej, ale jeśli jest adresowany jedynie do osób powyżej 18. roku życia, zbieranie tego rodzaju danych może zostać uznane za mechanizm weryfikacji uczestników.

Jaka jest Twoja rola i czego Twój pracodawca oczekuje od Ciebie?

Oczywiste jest, że to administrator danych decyduje o kształcie poszczególnych procesów przetwarzania oraz o tym, jakie formularze mają być wykorzystywane i jakie dane zbierane. Jeśli jednak przy wykonywaniu codziennych obowiązków nabierzesz podejrzeń, że dane zbierane przez organizację są nieadekwatnedo celów przetwarzania, część zbieranych danych jest niepotrzebna czy zbierana na zapas i bez wyraźnego powodu, poinformuj o tym swojego przełożonego lub inspektora ochrony danych – być może dochodzi do naruszenia zasady adekwatności.