Uzasadniony interes w RODO. Konsekwencje braku podstawy prawnej

›Uzasadniony interes administratora to jedna z sześciu podstaw prawnych przetwarzania danych osobowych w RODO (art. 6 ust. 1 lit. f). Nie jest jednak uniwersalnym usprawiedliwieniem dla każdej aktywności handlowej. Wymaga przeprowadzenia testu równowagi, dokumentacji uzasadnienia i respektowania praw osób, których dane dotyczą, w tym prawa sprzeciwu i prawa do usunięcia danych. Bezpodstawne powoływanie się na tę przesłankę naraża firmę na kary do 20 mln euro lub 4% rocznego obrotu.

Co pokazuje komiks

Random rozmawia przez telefon z osobą, która prosi o usunięcie jej danych z bazy firmy. Zamiast zrealizować to żądanie, lekceważy obowiązki wynikające z RODO i powołuje się na uzasadniony interes administratora jako argument przeciwko żądaniu. W drugiej planszy posuwa się dalej i deklaruje wprost, że interes firmy jest ważniejszy od zgód i praw osób fizycznych, a rozmowa służy jednemu celowi, którym jest sprzedaż produktu.
Norman, dotychczas niewidoczny w scenie, pojawia się w trzeciej planszy z decyzją Prezesa Urzędu Ochrony Danych Osobowych (PUODO) doręczoną pocztą poleconą. Ostatnia plansza pokazuje skalę konsekwencji finansowych. Norman komentuje sytuację z gorzką ironią, parafrazując sformułowania użyte wcześniej przez Randoma. Jedynym prawdziwym uzasadnionym interesem firmy ma być od jutra uzbieranie środków na spłatę kary nałożonej przez organ nadzorczy.

Wymagania RODO obecne w scence

Scenka uruchamia cztery równoległe linie wymagań RODO. Każda z nich odnosi się do innego elementu legalności przetwarzania danych osobowych, a naruszenie jednej z nich zwykle pociąga za sobą konsekwencje w pozostałych obszarach.

Art. 6 RODO. Podstawa prawna przetwarzania danych
Każda operacja na danych osobowych musi mieć przypisaną jedną z sześciu podstaw prawnych wymienionych w art. 6 ust. 1 RODO, zanim się rozpocznie. Należą do nich zgoda osoby, której dane dotyczą, niezbędność do wykonania umowy, obowiązek prawny administratora, ochrona żywotnych interesów, zadanie realizowane w interesie publicznym oraz uzasadniony interes administratora lub strony trzeciej.
Przesłanka uzasadnionego interesu z lit. f nie ma charakteru otwartego. Administrator musi wykazać, że jego interes jest rzeczywisty i konkretny, że przetwarzanie jest niezbędne do jego realizacji oraz że interes ten nie jest przeważony przez interesy lub podstawowe prawa i wolności osoby, której dane dotyczą. Tę analizę nazywa się testem równowagi i sporządza w formie pisemnej, przed rozpoczęciem przetwarzania.
Random powołuje się na uzasadniony interes, nie pokazuje jednak ani jego treści, ani dokumentacji testu równowagi. Sformułowanie z drugiej planszy ujawnia tezę odwrotną do tego, co RODO uznaje za uzasadnioną podstawę przetwarzania. RODO nie dopuszcza interesu firmy, który ignoruje prawa osób fizycznych. Wymaga interesu, który z tymi prawami koegzystuje i jest w stosunku do nich proporcjonalny.

Art. 5 ust. 1 lit. a RODO. Zasady zgodności z prawem, rzetelności i przejrzystości
Każde przetwarzanie danych osobowych musi być zgodne z prawem, rzetelne i przejrzyste wobec osoby, której dane dotyczą. To pierwsza i najszersza z sześciu zasad przetwarzania zapisanych w RODO. Obejmuje całą drogę danych w organizacji, od zbierania, przez przechowywanie, aż po przekazywanie i usunięcie.
Zgodność z prawem to coś więcej niż samo posiadanie podstawy prawnej z art. 6. Obejmuje także zgodność z innymi przepisami, na przykład z prawem komunikacji elektronicznej przy marketingu telefonicznym lub z ustawą o prawach konsumenta przy oferowaniu produktów na odległość.
Rzetelność to obowiązek przetwarzania danych w sposób uczciwy wobec osoby, której dane dotyczą. Nie wolno tej osoby wprowadzać w błąd, ukrywać przed nią prawdziwego celu przetwarzania ani działać wbrew jej rozsądnym oczekiwaniom.
Przejrzystość to obowiązek poinformowania osoby fizycznej o tym, kto przetwarza jej dane, w jakim celu, na jakiej podstawie prawnej, jak długo i komu są one przekazywane. Random nie spełnia żadnego z tych warunków. Lekceważy żądanie usunięcia danych, traktuje rozmówcę jak przeszkodę w realizacji sprzedaży i otwarcie deklaruje, że interes firmy ma pierwszeństwo nad prawami osoby fizycznej.

Art. 17 RODO. Prawo do usunięcia danych
Osoba, której dane dotyczą, ma prawo żądać od administratora niezwłocznego usunięcia jej danych osobowych, jeżeli zachodzi jedna z przesłanek wskazanych w art. 17 ust. 1 RODO. Należą do nich między innymi sytuacja, w której dane nie są już niezbędne do celów, dla których zostały zebrane, osoba cofnęła zgodę i nie ma innej podstawy prawnej, osoba wniosła skuteczny sprzeciw wobec przetwarzania, dane były przetwarzane niezgodnie z prawem albo obowiązek usunięcia wynika z innego przepisu prawa.
W odniesieniu do marketingu bezpośredniego prawo sprzeciwu osoby, której dane dotyczą, działa bezwzględnie. Po jego zgłoszeniu administrator ma obowiązek zaprzestać przetwarzania danych w tym celu, niezależnie od podstawy prawnej, na której wcześniej opierał działania marketingowe. Jeżeli nie ma innego, niezależnego tytułu do przetwarzania tych danych, ma także obowiązek je usunąć.
Random ignoruje żądanie usunięcia danych już w pierwszej planszy. Zamiast je rozpatrzyć, kontynuuje rozmowę handlową i przechodzi do argumentu o uzasadnionym interesie firmy, który w tej sytuacji w żaden sposób nie wyłącza prawa sprzeciwu wobec marketingu.

Art. 83 RODO. Administracyjne kary pieniężne
Naruszenia RODO są zagrożone karami administracyjnymi w dwóch poziomach. Dla naruszeń mniej dotkliwych górny próg wynosi 10 mln euro lub 2% całkowitego rocznego światowego obrotu firmy z poprzedniego roku obrotowego, w zależności od tego, która kwota jest wyższa. Dla naruszeń poważniejszych, w tym dotyczących podstawowych zasad przetwarzania oraz praw osób, których dane dotyczą, próg sięga 20 mln euro lub 4% rocznego obrotu.
Naruszenie art. 5 ust. 1 lit. a, art. 6 i art. 17 RODO mieści się w wyższym progu kary. Organ nadzorczy bierze pod uwagę charakter, wagę i czas trwania naruszenia, liczbę poszkodowanych osób, umyślność lub nieumyślność działania, działania zaradcze administratora oraz stopień jego współpracy z organem.
W Polsce organem nadzorczym jest Prezes Urzędu Ochrony Danych Osobowych (PUODO). Decyzja, którą Norman pokazuje w trzeciej planszy, jest formalnym aktem administracyjnym, od którego przysługuje skarga do wojewódzkiego sądu administracyjnego.

Dlaczego sytuacja z komiksu narusza RODO

Random nie posiada żadnej legalnej podstawy do przetwarzania danych rozmówcy w celu marketingu telefonicznego, a powołanie się na uzasadniony interes jest pozorne. Sytuacja narusza kilka wymagań RODO jednocześnie i tworzy warunki do nałożenia kary administracyjnej w wyższym progu.
Uzasadniony interes administratora nie jest dowolnym interesem komercyjnym wymienionym w zdaniu w trakcie rozmowy handlowej. Ma być rzeczywisty, konkretny i udokumentowany. Random nie wykazuje żadnej z tych cech. Traktuje przesłankę jak słowo wytrych, którym zamierza zamknąć każde żądanie ze strony osoby, której dane dotyczą.
Nawet gdyby uzasadniony interes był prawidłowo udokumentowany, nie wyłącza on prawa sprzeciwu osoby fizycznej wobec marketingu bezpośredniego. Sprzeciw zgłoszony w pierwszej planszy działa natychmiast i bezwzględnie. Random ma obowiązek zakończyć rozmowę, zarejestrować żądanie, usunąć dane z bazy marketingowej i potwierdzić wykonanie tej operacji wobec osoby, której dane dotyczą.
Sama deklaracja z drugiej planszy idzie dalej niż błąd operacyjny. Random formułuje w niej jasną tezę o pierwszeństwie interesu firmy nad prawami osób fizycznych. Tego rodzaju oświadczenie, gdyby trafiło do akt sprawy przed PUODO, stanowi dowód umyślnego naruszenia, co prawo traktuje jako okoliczność obciążającą przy wymierzaniu kary.

Konsekwencje sytuacji dla organizacji

Naruszenie ujawnione w scence prowadzi do trzech kategorii skutków. Pierwsza obejmuje konsekwencje prawne w postaci kary administracyjnej. Druga obejmuje konsekwencje operacyjne w postaci konieczności reorganizacji procesów. Trzecia obejmuje konsekwencje reputacyjne w postaci utraty zaufania klientów i partnerów handlowych.
Konsekwencje prawne pokazuje czwarta plansza. Decyzja PUODO z kwotą zapisaną symbolicznie cyframi „000 000 000” jest hiperbolą scenkową, ale skala kar nakładanych przez PUODO w sprawach dotyczących marketingu bezpośredniego i nieuzasadnionego powołania się na podstawę z lit. f sięgała w Polsce kilku milionów złotych. Można domniemywać, że w realiach komiksu firma stanie przed karą wymierzoną proporcjonalnie do skali naruszenia ujawnionego w toku postępowania.
Konsekwencje operacyjne wykraczają poza samą zapłatę kary. Po decyzji PUODO firma ma zwykle obowiązek dostosowania procesów przetwarzania danych do wymagań RODO w wyznaczonym terminie. Oznacza to audyt podstaw prawnych każdej operacji na danych, korektę klauzul informacyjnych, przegląd polityk retencji, modyfikację skryptów rozmów handlowych i przeszkolenie zespołów sprzedażowych.
Konsekwencje reputacyjne są trudniejsze do oszacowania, ale w praktyce dotkliwsze niż sama kara. Decyzje PUODO są publicznie dostępne i pojawiają się w wyszukiwarkach przy zapytaniach o nazwę firmy. Partnerzy biznesowi i klienci instytucjonalni mogą wymagać od dostawców statusu „bez decyzji organu nadzorczego” jako warunku współpracy. Utrata jednego dużego klienta z tego powodu często przewyższa kwotę samej kary.
W typowych realiach organizacyjnych konsekwencje obejmą również wewnętrzne ustalenie odpowiedzialności osób, które zaprojektowały i zatwierdziły proces sprzedaży telefonicznej w obecnej formie. Random nie działa w próżni. Jego sposób prowadzenia rozmowy odzwierciedla brak mechanizmów kontrolnych w całym procesie obsługi klienta.

Jak prawidłowo spełnić wymagania RODO

Prawidłowe spełnienie wymagań RODO w sytuacji analogicznej do komiksu wymaga ustalenia podstawy prawnej każdej operacji na danych jeszcze przed jej rozpoczęciem, przygotowania dokumentacji uzasadniającej tę podstawę oraz wdrożenia procedur obsługi praw osób, których dane dotyczą. Poniżej przedstawiam kilka możliwych ścieżek dojścia do zgodności.
Jednym ze sposobów jest oparcie marketingu telefonicznego na zgodzie osoby, której dane dotyczą, zebranej w sposób spełniający wymagania art. 4 pkt 11 i art. 7 RODO oraz prawa komunikacji elektronicznej. Zgoda ma być dobrowolna, konkretna, świadoma i jednoznaczna. Osoba musi wiedzieć, kto będzie ją dzwonił, w jakim celu i przez jak długi czas dane będą przetwarzane. Wycofanie zgody musi być tak proste jak jej udzielenie.
Drugą możliwością jest oparcie marketingu na uzasadnionym interesie administratora przy łącznym spełnieniu trzech warunków. Po pierwsze, sporządzenie testu równowagi w formie pisemnej, w którym administrator zestawia swój interes z interesami i prawami osoby fizycznej i argumentuje, dlaczego ten pierwszy nie jest przeważony. Po drugie, zapewnienie pełnej przejrzystości wobec osób, których dane dotyczą, w tym poinformowanie ich o prawie sprzeciwu w sposób wyraźny i zrozumiały, najpóźniej przy pierwszym kontakcie. Po trzecie, wdrożenie procesu natychmiastowej obsługi sprzeciwu i żądania usunięcia danych, łącznie z usunięciem rekordu z bazy marketingowej i ze wszystkich systemów pochodnych.
Organizacja powinna na bieżąco współpracować z Inspektorem Ochrony Danych (IOD), wewnętrznym lub w modelu outsourcingu. IOD czuwa nad zgodnością procesów z RODO, doradza w ocenie podstaw prawnych, wspiera w realizacji praw osób fizycznych i pełni rolę punktu kontaktowego z PUODO. W mniejszych organizacjach outsourcing IOD jest często rozwiązaniem ekonomicznie korzystniejszym niż etatowa rola, a przy tym zapewnia bieżący dostęp do wiedzy o orzecznictwie i wytycznych organu nadzorczego.
Możliwym rozwiązaniem na poziomie kultury organizacyjnej jest cykliczne szkolenie zespołów sprzedażowych z zakresu RODO ze szczególnym naciskiem na obsługę żądań osób, których dane dotyczą. Skrypty rozmów handlowych powinny zawierać jasne instrukcje na wypadek zgłoszenia sprzeciwu lub żądania usunięcia danych. Pracownik telefonicznej obsługi klienta nie jest zobowiązany do dyskusji z osobą fizyczną o zasadności jej żądania. Jego zadaniem jest zarejestrować żądanie, zakończyć rozmowę w sposób profesjonalny i przekazać sprawę do dalszej obsługi.
Wdrożenie wymagań standardu ISO/IEC 27701 wobec systemu zarządzania informacjami o prywatności (PIMS, czyli Privacy Information Management System) jako rozszerzenia ISO/IEC 27001 daje strukturalne ramy do zarządzania zgodnością z RODO i innymi regulacjami o ochronie danych. Standard ten nie jest obowiązkowy, jednak dla organizacji obsługujących duże wolumeny danych osobowych stanowi praktyczne narzędzie udokumentowania należytej staranności wobec organu nadzorczego i partnerów biznesowych.
Każda z powyższych propozycji jest jedną z możliwości, a nie jedyną drogą. Wybór konkretnej ścieżki zależy od skali przetwarzania danych w organizacji, profilu jej działalności, dotychczasowego poziomu dojrzałości procesów oraz oceny ryzyka. Punktem wyjścia w każdym przypadku pozostaje audyt obecnych podstaw prawnych i identyfikacja luk wobec wymagań RODO.

Najczęściej zadawane pytania (FAQ):

Zapraszamy do korzystania z naszych usług w zakresie ochrony danych osobowych RODO oraz systemu zarządzania bezpieczeństwem informacji ISO/IEC 27001

• Wdrażanie wymagań RODO czytaj więcej …

• Wdrażanie systemu ISO/IEC 27001 czytaj więcej …

• Audyty systemów zarządzania czytaj więcej …

• Szkolenia z bezpieczeństwa informacji czytaj więcej …