Sprzeciw wobec przetwarzania danych osobowych

Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z 27.04.2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) – dalej RODO – przewiduje, że osoba może sprzeciwić się temu, aby jej dane były przetwarzane przez administratora. Skuteczny sprzeciw względem przetwarzania danych powinien spowodować zaprzestanie przetwarzania danych objętych sprzeciwem.

Wyróżniamy dwa typy sprzeciwu :

• przeciw z uwagi na swoją szczególną sytuację oraz
• Sprzeciw względem marketingu bezpośredniego (sprzeciw „dowolny”, bo nie wymaga uzasadnienia ani warunków skuteczności) – w tym przypadku administrator musi po prostu zaprzestać przetwarzania.

W razie otrzymania sprzeciwu opartego na szczególnej sytuacji administratorowi nie wolno już przetwarzać danych, chyba że wykaże:

• istnienie ważnych, prawnie uzasadnionych podstaw do przetwarzania, nadrzędnych wobec interesów, praw i wolności osoby, której dane dotyczą, lub
• istnienie podstaw do ustalenia, dochodzenia lub obrony roszczeń
• niezbędność przetwarzania do wykonania zadania realizowanego w interesie publicznym – jeżeli sprzeciw odnosi się do przetwarzania w celu badań naukowych lub historycznych lub do celów statystycznych (na mocy  89 ust. 1RODO).

Za przetwarzanie danych osobowych w usprawiedliwionym celu uznać należy przetwarzanie w celach związanych z zapewnieniem bezpieczeństwa sieci teleinformatycznej. Jak wskazano w motywie 49 preambuły do RODO, przetwarzanie danych osobowych w zakresie bezwzględnie niezbędnym i proporcjonalnym do zapewnienia bezpieczeństwa sieci i informacji – tj. zapewnienia odporności sieci lub systemu informacyjnego na danym poziomie poufności na przypadkowe zdarzenia albo niezgodne z prawem lub nieprzyjazne działania naruszające dostępność, autentyczność, integralność i poufność przechowywanych lub przesyłanych danych osobowych – oraz bezpieczeństwa związanych z nimi usług oferowanych lub udostępnianych poprzez te sieci i systemy przez organy publiczne, zespoły reagowania na zagrożenia komputerowe, zespoły reagowania na komputerowe incydenty naruszające bezpieczeństwo, dostawców sieci i usług łączności elektronicznej oraz dostawców technologii i usług w zakresie bezpieczeństwa jest prawnie uzasadnionym interesem administratora, którego sprawa dotyczy. 

Administrator może odrzucić sprzeciw niedotyczący marketingu bezpośredniego, jeżeli wykaże:

• istnienie ważnych prawnie uzasadnionych podstaw do przetwarzania danych, nadrzędnych wobec interesów, praw i wolności osoby, której dane dotyczą, lub
• istnienie podstaw do ustalenia, dochodzenia lub obrony roszczeń.

Prawo do wniesienia sprzeciwu w odniesieniu do przetwarzania danych osobowych nie ma charakteru bezwzględnego i nie może zostać zastosowane zawsze. Wyjątkiem jest przetwarzanie danych w celach marketingowych, kiedy prawo do złożenia sprzeciwu powinno działać zawsze. Co więcej,  wykorzystanie prawa do sprzeciwu nie prowadzi powoduje usunięcia wszystkich naszych  informacji, które o nas posiada, a jedynie przestanie z ich korzystać.