Wykorzystanie adresu osoby fizycznej pozyskanego z Internetu do budowy bazy klientów jest przetwarzaniem danych osobowych. W RODO legalność przetwarzania opiera się na dwóch niezależnych wymaganiach, które trzeba spełnić łącznie:
- Podstawa prawna przetwarzania – musi wynikać z jednej z przesłanek wskazanych w art. 6 RODO (np. zgoda, wykonanie umowy, obowiązek prawny, ochrona żywotnych interesów, zadanie publiczne, prawnie uzasadniony interes).
- Obowiązek informacyjny – gdy dane pozyskano pośrednio (np. z Internetu), administrator co do zasady musi poinformować osobę zgodnie z art. 14 RODO (m.in. kto przetwarza dane, w jakim celu, na jakiej podstawie prawnej, skąd dane pochodzą, jakie prawa przysługują).
Odpowiedź "Posiadanie podstawy prawnej przetwarzania (art. 6 RODO) oraz spełnienie obowiązku informacyjnego (art. 14 RODO)" jest poprawna, bo łączy oba elementy: legalną przesłankę oraz transparentność wobec osoby, której dane dotyczą. W praktyce agencja reklamowa często rozważa prawnie uzasadniony interes w marketingu, ale powinna też pamiętać o prawie do sprzeciwu i o udokumentowaniu zgodności (zasada rozliczalności).
Odpowiedź "Wyłącznie uzyskanie zgody osoby zainteresowanej." jest niepełna: zgoda jest tylko jedną z możliwych podstaw z art. 6 RODO i nie zawsze jest najlepsza lub konieczna. Nawet przy zgodzie zwykle nadal trzeba spełnić obowiązek informacyjny (transparentność nie znika tylko dlatego, że jest zgoda).
Odpowiedź "Wyłącznie spełnienie obowiązku informacyjnego." jest błędna, bo obowiązek informacyjny nie jest podstawą prawną przetwarzania. Poinformowanie osoby nie "uprawnia" do przetwarzania, jeśli brakuje przesłanki z art. 6 RODO.
Odpowiedź "Zgłoszenie do PUODO." także nie stanowi podstawy przetwarzania. Organ nadzorczy nie zastępuje przesłanek legalności; w RODO kluczowe jest, aby administrator sam potrafił wykazać, że przetwarza dane zgodnie z przepisami.
