RODO: Czy podstawą prawną przetwarzania danych osobowych przez organy administracji publicznej może być zgoda osoby, której dane dotyczą?

Przepisy RODO ani przepisy prawa krajowego nie zabraniają organom administracji publicznej przetwarzania danych osobowych na podstawie zgody osoby, od której dane te pochodzą. Zgodnie z art. 6 ust. 1 zdanie ostatnie RODO, organy publiczne, w ramach realizacji zadań, nie mogą jedynie przetwarzać danych osobowych w oparciu o przesłankę prawnie uzasadnionych interesów (art. 6 ust. 1 lit. f RODO). RODO nie zawiera jednak takiego zakazu w odniesieniu do przetwarzania wykonywanego na podstawie innych przesłanek, w tym zgody osoby, której dane dotyczą.

Jeżeli jednak przetwarzanie danych osobowych odbywa się na podstawie zgody osoby, której dane dotyczą, ma ona możliwość jej wycofania, a także prawo żądania od organu administracji publicznej niezwłocznego usunięcia swoich danych. Organ administracji publicznej może odmówić uwzględnienia tego żądania, jeżeli istnieje inna niż zgoda podstawa prawna przetwarzania. Sytuacja taka może mieć miejsce w szczególności w przypadku, gdy osoba której dane dotyczą wystąpiła do organu z pismem, które nie jest załatwiane w trybie postępowania administracyjnego. Pismo takie podlega jednak rejestracji w organie i udzielana jest na nie odpowiedź, która może podlegać obowiązkowi archiwizacji, zgodnie z przepisami o narodowym zasobie archiwalnym.

Zobacz: RODO 2018

Innym przykładem przetwarzania danych na podstawie zgody przez organ administracji publicznej jest sytuacja, w której urzędowy formularz (którego zakres reguluje przepis prawa) będzie dodatkowo przewidywał możliwość podania przez osobę, której dane dotyczą, jej danych kontaktowych (nr telefonu, adres e-mail). Wówczas przesłanką przetwarzania tych dodatkowych danych, udostępnianych na zasadzie dobrowolności, stanowić będzie zgoda osoby (art. 6 ust. 1 lit. a RODO). W takiej sytuacji konieczne jednak będzie poinformowanie osoby, której dane dotyczą, o możliwości wycofania zgody oraz dobrowolności jej wyrażenia, a także wyraźne wskazanie w klauzuli informacyjnej, że zgoda dotyczy wyłącznie dodatkowych danych, pozostałe są bowiem pozyskiwane na podstawie uregulowanego w przepisach prawa obowiązku.

Źródło: Ministerstwo Cyfryzacji