Zmiana danych osobowych

Zmiana danych osobowych, tj. ich modyfikacja, może występować z inicjatywy różnych osób.

Poniżej wyjaśniamy, kiedy przetwarzane dane osobowe mogą być zmienione.

Zmiana danych osobowych może nastąpić zarówno z inicjatywy osoby, której dane dotyczą, jak i innych – niekoniecznie upoważnionych osób.

Zmiana danych osobowych z inicjatywy osoby, której dane dotyczą

W pierwszym przypadku, osoba fizyczna najczęściej będzie chciała sprostować lub uzupełnić swoje dane osobowe. Przykładowo, jeśli kandydat do pracy przez pomyłkę przesłał nieaktualne CV, po zorientowaniu się będzie chciał naprawić ten błąd i przesłać dokument opisujący aktualne doświadczenie kwalifikacje zawodowe. W innym przykładzie, zmiana danych osobowych nastąpi z inicjatywy osoby, której dane dotyczą, gdy zauważy ona, że przetwarzane dane są niekompletne (np. odmowa przyznania kredytu ze względu na brak dowodów wiarygodności), lub nieaktualne (np. nastąpiła zmiana nazwiska po wyjściu za mąż).

W każdym z tych przykładów, inicjatywa osoby, której dane dotyczą, jest zarazem realizacją prawa do sprostowania danych, które przyznaje każdemu art. 16 RODO. Realizacji takiego prawa można odmówić jedynie wtedy, gdy brak pewności co do prawidłowości danych, które mają zastąpić dane dotychczasowe. Zmiana danych osobowych nie może więc polegać na wprowadzeniu danych nieprawdziwych lub nieprawidłowych w świetle celów przetwarzania. W ramach art. 16 RODO nie możemy więc żądać uzupełnienia danych osobowych o dane zbędne do realizacji celów przetwarzania (np. dokumentów aplikacyjnych do pracy – o dane o stanie zdrowia czy przynależności do partii politycznych).

Zmiana danych osobowych z inicjatywy innych osób

Zgodnie z art. 5 ust. 1 lit. d RODO, administrator powinien nie tylko zapewnić prawidłowość i kompletność danych, ale także w razie potrzeby je uaktualniać. Jeżeli więc przy zbieraniu albo w toku przetwarzania, dane osobowe okażą się nieprawidłowe, to administrator sam powinien je uaktualnić. Przykładowo, jeśli adres do wysyłki okazał się nieprawidłowy i przyszedł zwrot, to administrator powinien innym kanałem komunikacji ustalić adres prawidłowy i stosownie zmienić dane osobowe.

Zmiana danych osobowych może nastąpić w sposób nieuprawniony – np. poprzez modyfikację konta bankowego, na który ma być dokonany przelew – w celu uzyskania korzyści majątkowej. Jak wynika z art. 24 i 32 RODO, administrator jest obowiązany chronić dane osobowe przed taką nieuprawnioną modyfikacją. Przykłady możliwych zabezpieczeń to ograniczenie dostępu do danych zgodnie z zasadami wiedzy koniecznej, wdrożenie zasady czystego biurka i ekranu, czy też ograniczenie uprawnień do edycji plików zawierających dane osobowe.