Ogólne Rozporządzenie o Ochronie Danych Osobowych (RODO) wprowadza wiele istotnych zmian dla instytucji gromadzących dane osobowe. Oprócz kar pieniężnych, które będzie wymierzało GIODO (lub Urząd Ochrony Danych Osobowych – UODO), przetwarzanie danych będzie wymagało przestrzegania określonych zasad. Jedną z nich jest minimalizacja danych. W RODO szeroko unormowano tę zasadę. Z czym wiąże się zasada minimalizacji danych?
Minimalizacja danych – wymóg prawny
Zgodnie z art. 5 ust. 1 pkt c RODO dane osobowe muszą być adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane. Zasada minimalizacji danych została wymieniona wśród innych zasad przetwarzania takich jak ograniczenie celu czy prawidłowość. Zasada minimalizacji danych osobowych nierozerwalnie wiąże się z celami, w których dane osobowe mają być przetwarzane. RODO wymaga, aby podmiot zbierający i przetwarzający dane (administrator danych osobowych) gromadził i wykorzystywał tylko te dane, które są rzeczywiście zgodne z celami, które chce on osiągnąć przy pomocy tych danych osobowych. Innymi słowy, administrator danych osobowych jest zobowiązany do gromadzenia tylko takich danych, jakie są niezbędne dla określonego celu przetwarzania.
Minimalizacja danych w RODO – praktyka
Jako przykład praktycznego zastosowania zasady minimalizacji może posłużyć zbieranie danych przy zawieraniu jednorazowej umowy. Jeżeli klient kupuje ubranie w sklepie stacjonarnym i płaci gotówką, to sklep nie potrzebuje do zawarcia umowy sprzedaży gromadzić danych osobowych klienta. Potrzeba gromadzenia danych osobowych klienta może wyniknąć jednak w związku ze złożoną przez niego reklamacją. Wtedy do rozpatrzenia reklamacji konieczne będą dane osobowe klienta jak jego imię i nazwisko czy numer telefonu do kontaktu. Zasada minimalizacji danych nie pozwoli jednak sklepowi na zbieranie danych do rozpoznania reklamacji, które nie będą związane z jej rozpatrywaniem. Jako przykład można wskazać dane o wykształceniu czy miejscu pracy – takie dane nie są niezbędne do rozpatrzenia reklamacji. Również zbieranie danych wrażliwych nie będzie w takim przypadku uznane za spełnienie zasady minimalizacji.
Minimalizacja danych – różnicowanie dostępów do danych
Zasadę minimalizacji, w naszej ocenie, należy rozumieć szeroko. Zasada minimalizacji powinna zostać wdrożona nie tylko przy gromadzeniu danych, ale przy ich dalszym wykorzystywaniu. W praktyce zasadę minimalizacji danych należy również wprowadzić jako podstawę przetwarzania danych przez różnych pracowników administratora danych osobowych. Oznacza to, że administrator danych powinien tak zorganizować pracę z danymi osobowymi, aby tylko pracownicy, których praca łączy się z operacjami na danych mieli do nich dostęp. Ponadto, dostęp ten powinien zostać zróżnicowany i powinien odpowiadać faktycznemu zakresowi zadań danego pracownika. Jeżeli zakres zadań pracownika nie uzasadnia dostępu do pełnych danych zgromadzonych przez administratora, to nie powinien mieć on do nich dostępu. Dostęp do danych może zostać ograniczony np. przez ich pseudonimizację.
Minimalizacja danych – wyzwanie dla administratorów
Prawidłowe obowiązku minimalizacji danych z pewnością będzie wyzwaniem dla administratorów danych osobowych. Zasada minimalizacji danych może powodować konkretne wyzwania dla administratorów danych osobowych. Pamiętać trzeba, że zgodnie z art. 5 ust. 2 RODO administrator jest odpowiedzialny za przestrzeganie zasady minimalizacji i musi być w stanie wykazać jej przestrzeganie. UODO (GIODO) z pewnością będzie zwracało na to uwagę przy kontrolach administratorów i wymierzaniu kar pieniężnych.
