Wielu przedsiębiorców uważa, że podstawą każdorazowego przetwarzania danych osobowych musi być zgoda osoby, której dane dotyczą. To poważny błąd. RODO przewiduje szereg różnych podstaw prawnych, a jedną z najważniejszych jest art. 6 ust. 1 lit. b RODO – czyli niezbędność przetwarzania danych do wykonania umowy lub podjęcia działań przed jej zawarciem.
Ta podstawa prawna ma ogromne znaczenie w działalności gospodarczej – obejmuje bowiem wszystkie sytuacje, w których przetwarzanie danych wynika z realizacji obowiązków umownych wobec klienta czy kontrahenta. W praktyce często zastępuje ona konieczność zbierania zgody – która w takich przypadkach nie tylko nie jest potrzebna, ale wręcz stanowi nadużycie.
Kiedy można oprzeć się na art. 6 ust. 1 lit. b RODO?
Warunki zastosowania
Aby powołać się na tę podstawę prawną, muszą zostać spełnione łącznie trzy przesłanki:
- Istnieje umowa – zawarta lub będąca w fazie przygotowania.
- Osoba, której dane dotyczą, jest stroną umowy – a więc nie chodzi o osoby trzecie, lecz o klienta, kontrahenta czy kandydata na pracownika.
- Przetwarzanie danych jest niezbędne do wykonania umowy – czyli bez tych danych realizacja obowiązków wynikających z kontraktu byłaby niemożliwa.
Przykład 1 – sklep internetowy
Pani Marta zamawia książkę w sklepie internetowym. Aby zrealizować zamówienie, sklep potrzebuje jej imienia, nazwiska, adresu do wysyłki i danych kontaktowych. Tu podstawą przetwarzania nie jest zgoda, lecz art. 6 ust. 1 lit. b RODO, bo dane są niezbędne do wykonania umowy sprzedaży.
Nie można natomiast powołać się na tę przesłankę przy przetwarzaniu danych w celach dodatkowych, np. marketingowych – tam potrzebna będzie odrębna podstawa (zgoda lub uzasadniony interes).
Dane osób trzecich a art. 6 ust. 1 lit. b RODO ⚠️
Bardzo ważne jest to, że art. 6 ust. 1 lit. b RODO nie pozwala na przetwarzanie danych osób, które nie są stroną umowy.
Przykład:
Pan Jan kupuje bilet lotniczy i podaje dane osoby, którą chce obdarować podróżą. Linia lotnicza nie może oprzeć przetwarzania danych obdarowanego na art. 6 ust. 1 lit. b RODO, bo nie jest on stroną umowy. W takim przypadku administrator musi wskazać inną podstawę (np. uzasadniony interes).
Działania przed zawarciem umowy
Art. 6 ust. 1 lit. b RODO obejmuje nie tylko samą realizację umowy, ale także działania podjęte przed jej zawarciem, pod warunkiem że:
- inicjatywa wychodzi od osoby, której dane dotyczą,
- dane są potrzebne, aby przygotować umowę lub ocenić możliwość jej zawarcia.
Przykłady działań przedumownych:
- złożenie wniosku o udzielenie kredytu,
- przedstawienie oferty ubezpieczeniowej po zbadaniu ryzyka,
- przesłanie dokumentów aplikacyjnych w procesie rekrutacji,
- negocjacje handlowe między firmami.
Przykład 2 – ocena zdolności kredytowej
Pan Michał składa wniosek o kredyt hipoteczny. Bank, aby rozpatrzyć jego wniosek, przetwarza dane dotyczące jego dochodów, historii kredytowej i zobowiązań. Podstawą tego przetwarzania jest art. 6 ust. 1 lit. b RODO – są to bowiem działania podejmowane na żądanie pana Michała przed zawarciem umowy.
Przykład 3 – rekrutacja
Pani Katarzyna wysyła CV do firmy budowlanej w odpowiedzi na ogłoszenie o pracę. Firma może przetwarzać jej dane na podstawie art. 6 ust. 1 lit. b RODO, ponieważ kandydatka sama podjęła inicjatywę zmierzającą do zawarcia umowy o pracę.
Natomiast jeśli pracodawca chciałby wykorzystać jej dane w przyszłych rekrutacjach, musi uzyskać odrębną zgodę.
Granice stosowania przesłanki
⚠️ Przedsiębiorca musi pamiętać, że art. 6 ust. 1 lit. b RODO:
- nie obejmuje działań z inicjatywy administratora – jeśli firma zbiera dane na własne potrzeby, a nie na żądanie osoby, której dane dotyczą, nie może powołać się na tę przesłankę,
- dotyczy wyłącznie realizacji umowy – nie można pod jej pretekstem gromadzić danych do celów dodatkowych (np. analityki czy reklamy).
Najczęstsze błędy przedsiębiorców
W praktyce bardzo często administratorzy:
- Żądają zgody na przetwarzanie danych, gdy podstawą jest umowa
- Błąd: sklep internetowy w formularzu zamówienia wymaga zgody na przetwarzanie danych w celu realizacji umowy sprzedaży.
- Prawidłowo: podstawą prawną jest art. 6 ust. 1 lit. b RODO, zgoda nie jest potrzebna.
- Łączą cele w jednej podstawie
- Dane potrzebne do realizacji umowy można przetwarzać bez zgody, ale jeśli przedsiębiorca chce te same dane wykorzystać do marketingu, musi wskazać osobną podstawę (zgodę lub uzasadniony interes).
- Próbują rozszerzać podstawę na osoby trzecie
- Błąd: biuro podróży przetwarza dane osoby, dla której klient wykupił wycieczkę, na podstawie art. 6 ust. 1 lit. b RODO.
- Prawidłowo: ta osoba nie jest stroną umowy, więc nie można się powołać na tę przesłankę.
Praktyczne przykłady zastosowania w biznesie
📦 Sklep internetowy
Dane klienta (adres, numer telefonu, e-mail) są niezbędne do dostarczenia towaru. Podstawa: art. 6 ust. 1 lit. b RODO.
➡️ Ale newsletter już wymaga osobnej zgody.
🏦 Bank
Przetwarzanie danych kredytobiorcy w celu oceny zdolności kredytowej. Podstawa: art. 6 ust. 1 lit. b RODO (działania przed zawarciem umowy).
➡️ Ale dane użyte do celów marketingowych banku – inna podstawa.
👷 Proces rekrutacji
Kandydat sam przesyła CV w odpowiedzi na ogłoszenie. Pracodawca przetwarza dane na podstawie art. 6 ust. 1 lit. b RODO (działania przed zawarciem umowy o pracę).
➡️ Ale aby zachować CV do przyszłych rekrutacji – potrzebna odrębna zgoda.
Podsumowanie – kluczowe zasady dla przedsiębiorcy
- Art. 6 ust. 1 lit. b RODO obejmuje dane stron umowy – a więc klientów, kontrahentów czy kandydatów na pracowników.
- Przetwarzanie jest dopuszczalne tylko wtedy, gdy dane są niezbędne do realizacji umowy lub do działań podjętych na żądanie osoby, której dane dotyczą, przed jej zawarciem.
- Nie wolno powoływać się na tę podstawę przy przetwarzaniu danych osób trzecich ani przy działaniach, które wynikają z inicjatywy administratora.
- Nie należy żądać zgody na przetwarzanie danych w celu wykonania umowy – zgoda w takich przypadkach jest nadmiarowa i wprowadza w błąd.
- Dodatkowe cele (np. marketing, analityka) wymagają osobnej podstawy prawnej.
Podstawa prawna
- art. 6 ust. 1 lit. b – Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. (RODO)
Tematy porad zawartych w poradniku
- przetwarzanie danych na podstawie umowy RODO
- art. 6 ust. 1 lit. b RODO przykłady
- dane osobowe a rekrutacja RODO
- działania przed zawarciem umowy RODO
Przydatne linki do urzędowych źródeł
- https://uodo.gov.pl/
- https://eur-lex.europa.eu/legal-content/PL/TXT/?uri=CELEX%3A32016R0679
- https://edpb.europa.eu/
📌 Kategoria: Prawo
📌 Podkategoria: Ochrona danych osobowych (RODO)