Zgodnie z art. 6 UK GDPR organizacja może wykorzystywać dane osobowe tylko wtedy, gdy zachodzi co najmniej jedna podstawa prawna (lawful basis). Administrator musi wybrać właściwą przed rozpoczęciem i poinformować o niej w informacji o prywatności.
Podstawy prawne
- Zgoda. Osoba wyraźnie się zgodziła.
- Umowa. Wykorzystanie jest potrzebne do wykonania umowy z osobą lub do działań, o które prosi przed zawarciem umowy. Przykładem jest dostarczenie zamówienia.
- Obowiązek prawny. Wykorzystanie jest potrzebne, by przestrzegać prawa, np. dokumentacja płacowa i podatkowa.
- Żywotne interesy. Wykorzystanie jest potrzebne do ochrony czyjegoś życia, np. w nagłym wypadku medycznym.
- Zadanie publiczne. Wykorzystanie jest potrzebne do zadania realizowanego w interesie publicznym lub funkcji wynikającej z prawa. Dotyczy to głównie podmiotów publicznych.
- Prawnie uzasadnione interesy. Wykorzystanie jest potrzebne dla prawnie uzasadnionych interesów organizacji lub osoby trzeciej, chyba że przeważają nad nimi prawa osoby. Organizacja musi zważyć obie strony.
Data (Use and Access) Act 2025 dodaje siódmą drogę, zwaną uznanymi prawnie uzasadnionymi interesami (recognised legitimate interests). Dotyczy krótkiej listy celów wskazanych w prawie, takich jak zapobieganie przestępczości i safeguarding (ochrona dzieci i osób zagrożonych). To pracodawca zdecyduje, kiedy z niej skorzystać. Ty jej nie wybierasz.
Dane szczególnych kategorii wymagają więcej
Dla danych szczególnych kategorii (zdrowie, religia, członkostwo w związku zawodowym itd.) organizacja potrzebuje podstawy prawnej oraz odrębnego warunku z art. 9. Wiele z tych warunków określa załącznik 1 do DPA 2018. Typowe przykłady to prawo pracy i opieka zdrowotna. Dlatego z dokumentacją zdrowotną, zwolnieniami lekarskimi i podobnymi informacjami obchodź się ze szczególną ostrożnością.
Jak wygląda ważna zgoda
Zgoda to tylko jedna z możliwości, i często nie najlepsza. Jeśli jest stosowana, musi być:
- dobrowolna. Osoba ma prawdziwy wybór. Zgoda rzadko bywa dobrowolna, gdy istnieje nierównowaga sił, np. między pracodawcą a pracownikiem;
- konkretna, dotyczyć jasnego celu;
- świadoma. Osoba wie, kto prosi i w jakim celu;
- jednoznaczna, wyrażona wyraźnym, pozytywnym działaniem. Zaznaczone z góry pola, milczenie i bierność nie są zgodą;
- łatwa do wycofania w każdej chwili, i tak samo łatwa do wycofania, jak do udzielenia.
Organizacja musi umieć udowodnić, że ma zgodę.
Pracodawcy i zgoda
Dane pracowników wykorzystuje się głównie na innych podstawach, takich jak umowa (wynagrodzenie) i obowiązek prawny (sprawdzanie prawa do pracy, podatki). Pracodawca nie powinien prosić o zgodę tam, gdzie pracownik nie może odmówić bez obawy.
Dlaczego to ważne dla ciebie
Nie wybierasz podstawy prawnej. Warto jednak znać podstawy:
- Jeśli klient podał adres e-mail, by dostać potwierdzenie zakupu, nie dodawaj go do listy marketingowej. To inny cel.
- Jeśli ktoś wycofa zgodę, powiedz o tym właściwej osobie od razu, aby zaktualizować rekord.
- Jeśli kolega prosi o dane osoby „z ciekawości”, nie masz podstawy prawnej, by mu je przekazać. Udostępniaj tylko dane potrzebne do pracy.
Rzetelność i przejrzystość
Sama podstawa prawna nie wystarczy. Wykorzystanie danych musi być też rzetelne i jawne. Ludzie nie powinni być zaskoczeni tym, co robisz z ich danymi. Informacja o prywatności wyjaśnia, kim jest administrator, jakie dane są wykorzystywane, po co, na jakiej podstawie prawnej, kto je otrzymuje, jak długo są przechowywane i jakie prawa mają ludzie. Pracodawcy muszą ją udostępnić. Jeśli ktoś zapyta, gdzie ją znaleźć, wskaż mu ją.