Na pewno wielu czytelników spotkało się z problemem, gdy przedsiębiorca prosił o pozostawienie dowodu osobistego jako swoistego zabezpieczenia w przypadku korzystania z jego sprzętu. Na przykład przy wypożyczaniu łódki nad jeziorem, korzystaniu ze sprzętu do gry w bilard, braniu roweru na przejażdżkę po okolicy, w której spędzamy wakacje, a nawet wypożyczaniu końcówki do kompresora umożliwiającej napompowanie kół na stacji benzynowej. Czy przedsiębiorca ma prawo tak postępować? Czy używanie dowodu osobistego jako przedmiotu zastawu jest w ogóle dopuszczalne? Odpowiedź jest właściwie jednoznaczna. Przedsiębiorca, postępując w ten sposób, narusza przepisy. I to od razu dwóch ustaw. Zarówno tej dotyczącej ochrony danych osobowych (DzU z 2002 r. nr 101, poz. 926 ze zm.), jak i ustawy o ewidencji ludności i dowodach osobistych (DzU z 2006 r. nr 139, poz. 993 ze zm.). Zacznijmy od uregulowań zawartych w pierwszej z nich.
Liczą się przesłanki...
Przede wszystkim należy zwrócić uwagę na to, że na administratorze danych przetwarzającym dane osobowe (a zgodnie z art. 7 pkt 2 wskazanej ustawy rozumie się przez to jakiekolwiek operacje wykonywane na danych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie) ciążą określone obowiązki, warunkujące legalność ich przetwarzania. W szczególności jest to obowiązek wykazania jednej ?z przesłanek legalizujących proces ich przetwarzania, które ?w odniesieniu do tzw. danych zwykłych, jak np. imię, nazwisko, adres zamieszkania czy nr telefonu, określone zostały w art. 23 ?ust. 1 pkt 1–5 ustawy. Zgodnie ?z nim przetwarzanie danych jest dopuszczalne w następujących przypadkach:
W odniesieniu do danych szczególnie chronionych (np. dane ujawniające pochodzenie rasowe lub etniczne czy też poglądy polityczne) spełnione muszą być dodatkowe warunki (jeden ?z warunków określonych w art. 27 ust. 2 pkt 1–10 ustawy). Dla uznania legalności działania przedsiębiorcy wystarczy, że tylko jedna ?z tych przesłanek będzie miała zastosowanie. Można więc przyjąć, że firma, która wypożycza sprzęt klientowi, realizuje pewną umowę. I na tej podstawie ma prawo pozyskać dane osobowe. Istnieje przesłanka, która legalizuje ten proces (art. 23 ust. 1 ?pkt 3). Jednak prawo do pozyskania danych osobowych w celu realizacji umowy nie oznacza, że przedsiębiorca ma prawo pozyskać wszystkie dane z dowodu osobistego. Dlaczego? Ponieważ gromadzone dane (ich zakres) powinny być adekwatne do celu, w jakim są pozyskiwane.
...oraz cel przetwarzania
Administrator danych, oprócz legitymowania się jedną z przywołanych wyżej przesłanek, obowiązany jest także – zgodnie ?z art. 26 ust. 1 pkt 1–4 ustawy – dołożyć szczególnej staranności w celu ochrony interesów osób, których dane dotyczą, a w szczególności jest obowiązany zapewnić, aby dane te były:
Przepis ten nakazuje administratorowi danych przeprowadzić rzetelną analizę, czy i dla jakich celów przetwarzanie określonego rodzaju danych może następować na etapie poprzedzającym dokonywanie jakiejkolwiek operacji na danych osobowych (np. ich pozyskiwania). Tym samym cel zbierania danych powinien być oznaczony i zgodny z prawem, a dalsze przetwarzanie danych niezgodne z tym celem jest niedopuszczalne. Co istotne, jak wielokrotnie wskazywał generalny inspektor ochrony danych osobowych, cel przetwarzania danych osobowych nie może być wynikiem arbitralnej decyzji administratora danych (przedsiębiorcy), oderwanym od okoliczności przetwarzania. Ustalając cel, zawsze indywidualnie należy go ocenić i odwołać się do kontekstu przetwarzania. Cel przetwarzania danych powinien zostać zakomunikowany przed ich pozyskaniem, tj. zainteresowany powinien znać cel przetwarzania jego danych najpóźniej ?w momencie, w którym są one zbierane. W szczególności zatem zakres każdorazowo żądanych danych powinien być merytorycznie poprawny i adekwatny ?w stosunku do celów, w jakich są przetwarzane. Z kolei adekwatność danych w stosunku do celu ich przetwarzania powinna być rozumiana jako równowaga pomiędzy uprawnieniem osoby do dysponowania swymi danymi ?a interesem administratora danych. Równowaga będzie zachowana, jeżeli administrator zażąda danych tylko w takim zakresie, ?w jakim jest to niezbędne do wypełnienia celu, w jakim dane są przez niego przetwarzane.
