ABC wybranych zagadnień z ustawy o ochronie danych osobowych

III. ZASADY PRZETWARZANIA DANYCH OSOBOWYCH


4. Zasada adekwatności


Zgodnie z zasadą adekwatności administrator powinien przetwarzać tylko takiego rodzaju dane i tylko o takiej treści, które są niezbędne ze względu na cel zbierania danych. Relewantność (adekwatność) danych powinna być oceniania najpóźniej w momencie ich zbierania. Zatem administrator ma obowiązek dokonania w tym względzie oceny. Zakres danych osobowych adekwatnych do celu przetwarzania oceniać trzeba każdorazowo z uwzględnieniem określonego stosunku prawnego, w związku z którym administrator przetwarza dane osobowe (wyrok NSA z dnia 27 listopada 2003 r., II SA 209/2003). W odniesieniu do umów uwzględnić należy ich charakter i znaczenie (wyrok NSA z dnia 19 grudnia 2001 r., II SA 2869/2000, ONSA 2003, nr 1, poz. 29).

Niekiedy ustawodawca wskazuje wprost w przepisach prawa na zakres danych adekwatnych do celu przetwarzania. Przepisy takie mają charakter lex specialis i wyłączają stosowanie zasady adekwatności. Przykładem takiej sytuacji jest art. 112b ustawy – Prawo bankowe, zgodnie z którym banki mogą przetwarzać, w celach prowadzonej działalności bankowej, informacje zawarte w dokumentach tożsamości osób fizycznych.

Z kolei za nieadekwatne należy uznać pozyskiwanie danych o wykształceniu i stanie cywilnym przy zawieraniu umów odpowiedzialności cywilnej posiadacza pojazdu mechanicznego (wyrok WSA z dnia 5 lutego 2003 r., sygn. akt II SA 3505/01) czy też zbieranie przez bank danych osobowych klientów w zakresie poprzednich adresów zameldowania, kategorii i daty nadania uprawnienia do kierowania pojazdem silnikowym oraz danych zawartych w świadectwie pracy, dotyczących przebiegu zatrudnienia (wyrok WSA z dnia 24 listopada 2005 r., sygn. akt II SA/Wa 1335/05). Przy stosowaniu zasady adekwatności należy zwrócić uwagę, że:

  • posłużenie się określoną techniką zbierania danych (np. kopiowanie dokumentów) nie przesądza o naruszeniu tej zasady (wyrok NSA z dnia 19 grudnia 2001 r., sygn. akt II SA 2869/2000, ONSA 2003, nr 1, poz. 29),
  • dane osobowe nie mogą być zbierane na zapas, „na wszelki wypadek”, tj. bez wykazania celowości ich pozyskania i niezbędności dla realizacji zadań administratora danych.