Zgodność z prawem przetwarzania danych osobowych wynika z tego, czy istnieje co najmniej jedna podstawa prawna z art. 6 ust. 1 RODO. Zgoda jest tylko jedną z kilku równorzędnych podstaw (obok m.in. umowy, obowiązku prawnego czy prawnie uzasadnionego interesu). Dlatego samo "przetwarzanie bez zgody" może być w pełni legalne, jeśli opiera się na innej podstawie.
W tym pytaniu kluczowe jest sformułowanie: bez podstawy prawnej. Taka sytuacja oznacza naruszenie art. 6 RODO, bo przetwarzanie nie ma legalnego uzasadnienia. Najbardziej właściwą i pierwszą reakcją administratora jest niezwłoczne zaprzestanie przetwarzania (zatrzymanie operacji na danych), aby nie pogłębiać naruszenia. Dopiero potem administrator powinien ocenić dalsze obowiązki, w tym możliwość usunięcia danych (art. 17 ust. 1 lit. d RODO – gdy dane były przetwarzane niezgodnie z prawem) oraz ewentualne działania związane z naruszeniem (art. 33–34 RODO).
Dlaczego pozostałe odpowiedzi są nieprawidłowe?
- "Uzyskać zgodę" – nie naprawia automatycznie naruszenia i nie zawsze jest właściwą podstawą. Ponadto zgoda musi spełniać warunki ważności; nie jest "uniwersalnym lekarstwem" na brak podstawy.
- "Udostępnić dane wszystkim pracownikom" – zwiększa zakres przetwarzania i ryzyko, co jest sprzeczne z zasadą minimalizacji oraz z koniecznością ograniczenia naruszenia.
- "Przekazać dane odbiorcy w celu dalszego używania" – pogłębia niezgodne z prawem przetwarzanie, zamiast je przerwać.
W praktyce (np. w biurze rachunkowym, kadrach, dziale sprzedaży) właściwe podejście to: najpierw zatrzymać proces, następnie ustalić, jaka podstawa powinna mieć zastosowanie, oraz udokumentować działania. To pomaga ograniczyć skutki i przygotować się do dalszych obowiązków wynikających z RODO.
