Do czego nie stosuje się RODO.

Do czego nie stosuje się RODO.

Choć RODO dotyczy bardzo szerokiego zakresu działania – od zatrudniania pracowników, poprzez rejestrację pacjentów a kończąc chociażby na sprzedaży prowadzonej przez sklep internetowy. Jednak od jego stosowania istnieją wyjątki – nie jest ich wiele – jednak warto wiedzieć, w jakich sytuacjach nie trzeba np. realizować obowiązku informacyjnego czy wyszukiwać podstawy prawnej.

Przetwarzanie w ramach czynności o czysto osobistym lub domowym charakterze

Najistotniejszym wyjątkiem jest przetwarzanie danych przez osobę fizyczną w ramach czynności o czysto osobistym lub domowym charakterze (tzw. „household exemption”), o którym wprost stanowi art. 2 ust. 2 lit. c RODO. Pojęcie to jest doprecyzowane w motywie 18 preambuły – jako działanie, które pozostaje „bez związku z działalnością zawodową lub handlową(…)Działalność osobista lub domowa może między innymi polegać na korespondencji i przechowywaniu adresów, podtrzymywaniu więzi społecznych oraz działalności internetowej podejmowanej w ramach takiej działalności.”

Inaczej to ujmując, chodzi o wszelkie działania, które podejmujemy „prywatnie” a nie „służbowo” – i też nie do końca. Dodatkową komplikację stanowi linia orzecznicza Europejskiego Trybunału Sprawiedliwości, który w sprawie C‑212/13 (Ryneš vs Úřad)[Link] stwierdził, że zamontowanie przed bramą prywatnej posesji kamery, która rejestruje także część publicznie dostępnego chodnika przed tą bramą wykracza poza definicję użytku osobistego.

W przytaczanej sprawie, gdyby kamera obejmowała wyłącznie prywatny ogródek – możliwe byłoby mówienie o użytku osobistym – ale z uwagi na możliwość rejestrowania wizerunku przechodniów system monitoringu podlega pod przepisy o ochronie danych osobowych (to orzeczenie wydane zostało jeszcze przed RODO, natomiast jego podstawą był bliźniaczy przepis dyrektywy a 1995 roku, która je poprzedzała – należy wiec przyjąć, że ta argumentacja pozostaje aktualna).

Pamiętajmy – że z powyższego nie wynika zakaz montowania kamer przed prywatnymi posesjami, a jedynie obowiązek robienia tego przy poszanowaniu pewnych zasad – np. dokładne oznaczenie zamontowanej kamery.

Przykładem, w którym nie będzie wątpliwości co do zastosowania tego wyłączenia będzie np. prywatna lista kontaktów do znajomych zawarta w telefonie lub skrzynce mailowej – tu RODO nie stosujemy… ale – wyłącznie w sytuacji, w której te dane w ten sposób wykorzystujemy, należy pamiętać, że jeżeli dane „prywatne” wykorzystamy np. w celu przekazanie innym osobom w celu przeprowadzenia kampanii dyskredytacyjnej, zorganizowanej i opłacanej (jak na przykład miało to miejsce w głośnej sprawie sędziów z Ministerstwa Sprawiedliwości) – to takie wykorzystanie danych (choćby pozyskanych prywatnymi, towarzyskimi kanałami) nie może korzystać z wyłączenia opisanego w art. 2 ust. 2 lit. c RODO – organ nadzorczy może też w taki sytuacji ukarać finansowo bezpośrednio osobę fizyczną, która w nieodpowiedni sposób dane wykorzystała.

Przetwarzanie  w sposób zautomatyzowany i zbiór danych

Jak to ujęto w art. 2 ust. 1 RODO, ma ono zastosowanie do: „do przetwarzania danych osobowych w sposób całkowicie lub częściowo zautomatyzowany oraz do przetwarzania w sposób inny niż zautomatyzowany danych osobowych stanowiących część zbioru danych lub mających stanowić część zbioru danych

Z czego wynika (a contrario, czyli wnioskując z tego, czego nie napisano) że RODO nie stosujemy do niezautomatyzowanego przetwarzania, o ile dane osobowe nie stanowią części zbioru danych. A ujmując to prościej: do danych przetwarzanych w formie elektronicznej stosujemy RODO, niezależnie od tego, czy zbiór danych istnieje, czy nie, a do danych „na papierze” tylko pod warunkiem istnienia zbioru danych. Zautomatyzowane przetwarzanie to pojęcie pochodzące jeszcze z konwencji nr 108 Rady Europy z 1982 roku – i – nie wchodząc w szczegóły to wszystko to, co odbywa się w formie elektronicznej: „operacje wykonane w całości lub częściowo za pomocą   procedur   zautomatyzowanych:   gromadzenie danych, stosowanie do nich operacji logicznych  i/lub  arytmetycznych,  ich  modyfikowanie, usuwanie, wybieranie lub rozpowszechnianie;”.

Pozostałe wyłączenia

Zawarte w art. 2 ust. 2 RODO: działalność nieobjęta zakresem prawa Unii, działalność państw członkowskich w ramach wykonywania działań wchodzących w zakres wspólnej polityki zagranicznej i bezpieczeństwa (tytuł V rozdział II TUE), działania podejmowane przez właściwe organy do celów zapobiegania przestępczości, prowadzenia postępowań przygotowawczych, wykrywania i ścigania czynów zabronionych lub wykonywania kar, w tym ochrony przed zagrożeniami dla bezpieczeństwa publicznego i zapobiegania takim zagrożeniom (z tzw. Dyrektywy policyjnej, regulowane odrębnie).

Wyłączenia częściowe

Przykładem wyłączenia częściowego jest korzystanie z wolności wypowiedzi i informacji – RODO pozwala, by prawo krajowe przewidywało tu pewne odstępstwa – a wprost w samym rozporządzeniu przewidziano wyłączenie od stosowania prawa do bycia zapomnianym właśnie w sytuacji, gdy pozostawienie określonej informacji (np. wpisu na blogu, artykułu na serwisie internetowym) jest niezbędne do korzystania z prawa do wolności wypowiedzi i informacji.

Nie mówimy tu jednak o pełnym wyłączeniu stosowalności RODO, a jedynie o wyłączeniu spod konkretnych, ściśle określonych przez konkretne przepisy obowiązków – np. jak to określono w art. 2 nowej ustawy o ochronie danych osobowych: „Do  działalności  polegającej  na  redagowaniu,  przygotowywaniu, tworzeniu  lub  publikowaniu  materiałów  prasowych  w rozumieniu  ustawy  (…)  Prawo  prasowe(…)nie  stosuje się przepisów  art.5–9,  art.11,  art.13–16, art.18–22,  art.27, art.28ust.2–10 oraz art. 30rozporządzenia 2016/679”.

Dodaj komentarz