Art. 11 RODO – Przetwarzanie niewymagające identyfikacji

• 10.09.2019

• Autor: Joanna Peryt

• definicje i pojęcia w RODO

Wiele wątpliwości interpretacyjnych wzbudza art. 11 RODO, który dotyczy przetwarzania danych osoby niewymagającego jej identyfikacji.

Artykuł ten w ust. 1. odnosi się do sytuacji kiedy cele, w których administrator przetwarza dane osobowe, nie wymagają lub już nie wymagają zidentyfikowania przez administratora osoby, której dane dotyczą. W takiej sytuacji administrator nie jest zobowiązany do zachowania czy uzyskania dodatkowych informacji, aby móc zidentyfikować osobę, której dane dotyczą wyłącznie w celu spełnienia obowiązków wynikających z RODO (np. realizacja obowiązku informacyjnego). Jest to ściśle związane z zasadą minimalizacji danych, zgodnie z którą dane osobowe muszą być adekwatne, stosowne oraz ograniczone do celów, w których są przetwarzane. W praktyce administrator powinien przetwarzać tylko taki zakres danych, który pozwoli mu na zrealizowanie celu przetwarzania.

Również treść ust. 2. tegoż artykułu budzi wątpliwości. Wynika z niej, że jeśli administrator może wykazać, że nie jest w stanie zidentyfikować osoby, której dane dotyczą, w miarę możliwości informuje ją o tym. Nasuwa się zatem pytanie w jaki sposób administrator może poinformować tę osobę, skoro nie jest możliwe jej zidentyfikowanie? W komentarzu do RODO pod red. Edyty Bielak-Jomaa i Dominika Lubasza czytamy, że prawdopodobnie chodzi tu o sytuację, kiedy administrator nie zamierza zachować danych osobowych podmiotu danych, ponieważ przetwarzanie ich stało się niecelowe. I właśnie w takim przypadku powinien powiadomić osobę, której dane dotyczą o tej okoliczności.

W związku z powyższymi regulacjami nie mają zastosowania przepisy art. 15-20, czyli realizacja praw podmiotów danych:

1. Prawa dostępu do danych osobowych.
2. Prawa do sprostowania danych osobowych.
3. Prawa do usunięcia danych osobowych.
4. Prawa do ograniczenia przetwarzania danych osobowych.
5. Prawa do uzyskania informacji o odbiorcach danych osobowych.
6. Prawa do przenoszenia danych.

Powyższe uprawnienia będą jednak miały zastosowanie, jeśli osoba, której dane dotyczą, w celu wykonania przysługujących jej praw, dostarczy dodatkowych informacji, które pozwolą na jej identyfikację. W motywie 57 czytamy, że administrator nie powinien odmawiać przyjęcia dodatkowych danych od osoby, której dane dotyczą, by ułatwić wykonanie jej praw.

Przykładem zastosowania art. 11 może być sytuacja, kiedy administrator nie może spełnić obowiązku informacyjnego, gdyż nie przetwarza w swoich bazach danych teleadresowych osób, jak adres korespondencyjny czy adres e-mail. Pozyskanie tych danych tylko w celu spełnienia powyższego obowiązku nie jest konieczne, zwłaszcza że działanie takie byłoby sprzeczne z zasadą minimalizmu, która zobowiązuje administratorów do przetwarzania tylko takiego zakresu danych, który pozwoli zrealizować im główny cel przetwarzania.

Autor

Joanna Peryt

Z uwagi na posiadaną wiedzę specjalizuje się w zagadnieniach związanych z ochroną danych w prawie pracy. Przez kilkanaście lat zrealizowała wiele audytów bezpieczeństwa danych osobowych oraz projektów wdrożeniowych. Pełniła rolę Inspektora ochrony danych dla wielu klientów Audytela.