Czy żądanie danych osobowych jest już ich przetwarzaniem?

Definicja przetwarzania danych osobowych

Zgodnie z art. 7 pkt 2 ustawy o ochronie danych osobowych przetwarzanie danych osobowych to jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych.
Ustawodawca nie wyjaśnia jednak znaczenia poszczególnych form przetwarzania, dlatego też należy je interpretować w znaczeniu słownikowym.

W ujęciu słownika języka polskiego (PWN) zbieranie to zgromadzenie jakiś rzeczy czy też przedmiotów. W przypadku danych osobowych kandydata lub pracownika będą to oczywiście informacje dotyczące tych osób. Utrwalać (według PWN) to „zarejestrować dźwięki, obrazy na taśmach, płytach, w pamięci komputera itp. w celu ich późniejszego odtworzenia; też: zapisać tekst”.

Wskazany w art. 7 pkt 2 ustawy katalog czynności w ramach „przetwarzania” ma charakter przykładowy na co wskazuje określenie „jakiekolwiek”. Kolejność aktywności administratora danych nie jest jednak przypadkowa. Rozpoczyna się od zbierania a kończy na usuwaniu. Można więc podsumować, iż o przetwarzaniu danych osobowych mówimy od momentu gromadzenia tych danych.

Zasady ochrony danych osobowych / sankcje za naruszenie przepisów ustawy

Ustalenie momentu początkowego przetwarzania danych jest niezwykle istotne zarówno z punktu widzenia zasad, jakie obowiązują przy przetwarzaniu tych danych, jak również ze względu na sankcje przewidziane w ustawie. Reguły postępowania z danymi osobowymi zostały wskazane w art. 26 ustawy. Należą do nich:
 

• zasada legalności (przetwarzanie zgodnie z prawem),
• zasada celowości (zbieranie dla oznaczonych, zgodnych z prawem celów i niepoddawane dalszemu przetwarzaniu niezgodnemu z tymi celami z wyjątkami przewidzianymi w ustawie)
• zasada merytorycznej poprawności,
• zasada adekwatności danych,
• zasada ograniczenia czasowego (przechowywanie w postaci umożliwiającej identyfikację osób, których dotyczą, nie dłużej niż jest to niezbędne do osiągnięcia celu przetwarzania).

Sankcje za naruszenie przepisów ustawy o ochronie danych osobowych odnajdziemy natomiast w art. 49 i n. ustawy. Należą do nich: grzywna, ograniczenie wolności lub też pozbawienie wolności.

Zdaniem Naczelnego Sądu Administracyjnego…

W jednym ze swoich wyroków Naczelny Sąd Administracyjny wypowiedział się w kwestii „statusu” żądania danych osobowych. W orzeczeniu z 28.06.2011r. (I OSK 1264/10) NSA stwierdził, iż „(…) Pierwszą czynnością na danych osobowych, do której zastosowanie ma omawiana ustawa jest zbieranie danych. W ustawie nie zdefiniowano tego pojęcia, przez co jego rozumienie może budzić pewne wątpliwości. (…) "zbieranie" to pozyskanie, wejście w posiadanie danych osobowych, czyli uzyskanie faktycznego władztwa nad danymi przez inny podmiot niż osoba, której dane dotyczą. Pojęciem tym w żaden sposób nie można obejmować samego żądania udostępnienia danych osobowych. "Żądanie" danych osobowych jest bowiem czynnością faktyczną, która poprzedza zbieranie danych osobowych. Nie stanowi ono jeszcze przetwarzania danych osobowych, a tym samym nie jest to czynność objęta działaniem ustawy o ochronie danych osobowych.”.