Czy można przetwarzać dane wrażliwe zgodnie z prawem?

Czy można przetwarzać dane wrażliwe zgodnie z prawem? Tak, ale tylko wyjątkowo i pod ścisłymi warunkami, ponieważ co do zasady ich przetwarzanie jest zakazane i wymaga spełnienia szczególnych przesłanek z art. 9 RODO oraz równoległej podstawy z art. 6 RODO [1][2][3].

Czym są dane wrażliwe?

Dane wrażliwe, nazywane w RODO szczególnymi kategoriami danych, obejmują pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych, dane genetyczne, dane biometryczne używane do jednoznacznej identyfikacji, dane o zdrowiu oraz dane dotyczące życia seksualnego i orientacji seksualnej [1][2].

Ochrona jest szczególnie rygorystyczna, a w przypadku danych biometrycznych dotyczy sytuacji, gdy służą jednoznacznej identyfikacji osoby. Samo wykorzystanie technologii biometrycznej nie przesądza jeszcze, że są to dane szczególnej kategorii [1][2].

Czy przetwarzanie danych wrażliwych jest z zasady zakazane?

Tak. Zasadą jest zakaz przetwarzania tych danych. Legalność pojawia się wyłącznie wtedy, gdy administrator wykaże istnienie odpowiedniego wyjątku z art. 9 RODO oraz odrębnej podstawy przetwarzania z art. 6 RODO. Dla danych tej kategorii sam art. 6 nie wystarcza [1][2][3].

Mechanizm jest dwustopniowy. Najpierw należy ustalić podstawę ogólną z art. 6, a następnie spełnić jedną z wyjątkowych przesłanek z art. 9. Artykuł 9 nie zastępuje artykułu 6, lecz działa jako dodatkowy filtr legalności [3].

Jakie są najczęstsze wyjątki z art. 9 RODO?

W przewodnikach organów nadzorczych najczęściej omawiane jest 10 wyjątków, które mogą dopuścić przetwarzanie danych wrażliwych [4][3]:

• wyraźna zgoda osoby
• obowiązki i uprawnienia w dziedzinie prawa pracy oraz zabezpieczenia społecznego i ochrony socjalnej
• ochrona żywotnych interesów osoby
• przetwarzanie w ramach działalności uprawnionych organizacji o celach niezarobkowych
• dane w oczywisty sposób upublicznione przez osobę
• ustalenie, dochodzenie lub obrona roszczeń prawnych albo działanie sądów
• ważny interes publiczny na podstawie prawa
• profilaktyka zdrowotna, medycyna pracy, diagnoza i leczenie oraz zarządzanie systemami i usługami opieki zdrowotnej lub społecznej
• zdrowie publiczne
• cele archiwalne w interesie publicznym, badania naukowe lub historyczne oraz statystyka

Konieczne jest także zachowanie zgodności z pozostałymi wymogami RODO, w szczególności z zasadami ograniczenia celu i minimalizacji [4][3].

Jaka jest różnica między art. 6 a art. 9 RODO?

Dla zwykłych danych osobowych wystarczy jedna z podstaw z art. 6 RODO. W przypadku danych szczególnych potrzebna jest dodatkowo jedna z przesłanek z art. 9 RODO. Innymi słowy, art. 9 działa obok art. 6 i nigdy go nie zastępuje. Dopiero łączne spełnienie obu poziomów legalności otwiera drogę do przetwarzać dane wrażliwe zgodnie z prawem [3].

Jak rozumieć wyraźną zgodę?

Wyraźna zgoda to zgoda jednoznaczna, świadoma i odnosząca się do konkretnego celu. Zgoda zwykła nie jest wystarczająca dla tej kategorii danych. Sam fakt uzyskania zgody nie zwalnia z konieczności wykazania pozostałych wymogów przetwarzania zgodnie z RODO [1][3].

Jakie warunki trzeba spełnić, aby przetwarzać dane wrażliwe zgodnie z prawem?

Podstawowe elementy legalności obejmują precyzyjnie określony cel, właściwą podstawę prawną z art. 6, właściwą przesłankę z art. 9, zasadę minimalizacji danych, ścisłe ograniczenie dostępu oraz adekwatne zabezpieczenia techniczne i organizacyjne. Wszystkie te elementy muszą złożyć się na spójną i rozliczalną całość [1][4][3].

Gdy przetwarzanie opiera się na przepisach krajowych, ustawa powinna szczegółowo określać cel oraz gwarancje ochrony praw osób, których dane dotyczą. Ma to szczególne znaczenie w sektorze publicznym i w relacjach pracodawca pracownik [5].

Jeśli dane zostały upublicznione przez osobę, dalsze przetwarzanie może być dopuszczalne tylko w granicach celu i przy spełnieniu wszystkich innych wymogów RODO, w tym zasad proporcjonalności i zabezpieczeń [4][3].

Dlaczego dane zdrowotne, genetyczne i biometryczne są szczególnie chronione?

To jedne z najczęściej przetwarzanych, a zarazem najbardziej wrażliwych kategorii danych. W ochronie zdrowia legalność przetwarzania opiera się zwykle na przepisach prawa oraz na konieczności zapewnienia opieki zdrowotnej lub ochrony zdrowia publicznego. W badaniach naukowych i statystyce dopuszczalność zależy od podstawy prawnej i wdrożenia dodatkowych środków ochrony, w tym ograniczeń celu i dostępu [1][2][4][3].

Wobec ich znaczenia legislacje krajowe i wytyczne organów nadzorczych coraz precyzyjniej regulują wymogi sektorowe dla zdrowia, badań, pracy i usług publicznych [4][3][5].

Jakie zabezpieczenia i praktyki są niezbędne?

Administrator powinien wdrożyć ocenę ryzyka, ścisłą kontrolę dostępu, szyfrowanie, polityki retencji i mechanizmy rozliczalności. Potrzebna jest też konsekwentna minimalizacja oraz ograniczanie przetwarzania do ściśle niezbędnego zakresu. Wymogi te wynikają z podwyższonego ryzyka naruszenia praw i wolności osób, którego źródłem jest charakter tych danych [1][4][3].

Kiedy dane wrażliwe ujawnione publicznie można dalej przetwarzać?

Tylko wtedy, gdy osoba w oczywisty sposób je upubliczniła oraz gdy dalsze operacje mieszczą się w zgodnym z prawem i przejrzystym celem, przy zachowaniu zasad RODO i odpowiednich zabezpieczeń. Upublicznienie nie znosi obowiązków administratora, a jedynie może otworzyć możliwość przetwarzania w ściśle wyznaczonych granicach [4][3].

Co wymagają przepisy krajowe?

Jeśli podstawą dopuszczalności jest prawo krajowe, powinno ono precyzyjnie wskazywać cel, zakres oraz gwarancje ochrony praw osób. Dotyczy to szczególnie podmiotów publicznych i pracodawców, którzy nie mogą opierać działań na ogólnym interesie organizacji, lecz na wyraźnym upoważnieniu ustawowym [5].

Na czym polega obecny kierunek rozwoju regulacji?

Widoczna jest tendencja do doprecyzowywania i uszczegóławiania warunków przetwarzania dla sektorów o wysokiej wrażliwości danych. Najwięcej uwagi koncentruje się na zdrowiu, badaniach naukowych, zatrudnieniu i usługach publicznych, aby zapewnić realne bezpieczeństwo i zgodność praktyk z RODO [4][3].

Podsumowanie

Można przetwarzać dane wrażliwe, ale tylko w warunkach wyjątkowych i łącząc podstawę z art. 6 z przesłanką z art. 9 RODO, przy jednoczesnym dochowaniu zasad celu, minimalizacji, ograniczenia dostępu oraz wdrożeniu silnych zabezpieczeń. Taki model jest konieczny, aby chronić prawa i wolności jednostki i działać w pełni zgodnie z prawem [1][2][4][3][5].