Poprawne jest stwierdzenie: "Nie jest konieczne uzyskanie zgody osoby, której dane dotyczą, jeśli dane te są niezbędne do wykonania umowy." W praktyce biurowej często przetwarza się dane, aby zrealizować konkretne zobowiązanie: przygotować dokumenty, wystawić fakturę, wysłać towar, umówić usługę lub prowadzić kontakt w sprawie realizacji zamówienia. W takich sytuacjach zgoda nie jest wymagana, bo istnieje inna, adekwatna podstawa legalności przetwarzania.
Dlaczego pozostałe stwierdzenia są błędne?
- "Dane osobowe mogą być przechowywane na niezabezpieczonym serwerze, o ile osoba (…) wyraziła na to zgodę."
To rozumowanie myli zgodę z obowiązkiem zapewnienia bezpieczeństwa. Nawet jeśli jakaś czynność miałaby podstawę w zgodzie, administrator nadal musi stosować odpowiednie środki ochrony danych (organizacyjne i techniczne). Zgoda nie zwalnia z odpowiedzialności za poufność i zabezpieczenie zasobów IT. - "Dane osobowe mogą być przekazywane dowolnej osobie bez zgody osoby, której dane dotyczą."
Udostępnianie danych wymaga istnienia podstawy oraz ograniczenia do podmiotów uprawnionych i celu przetwarzania. "Dowolnej osobie" oznacza brak kontroli odbiorców i brak weryfikacji uprawnienia, co jest sprzeczne z zasadą legalności i minimalizacji. - "Wszystkie powyższe stwierdzenia są prawdziwe."
To zdanie jest fałszywe, ponieważ co najmniej dwa wcześniejsze stwierdzenia opisują niedopuszczalne praktyki (brak zabezpieczeń, swobodne przekazywanie danych).
Wskazówka egzaminacyjna: jeżeli w odpowiedzi pojawia się teza, że "zgoda pozwala na wszystko", potraktuj ją jako sygnał ostrzegawczy. Zgoda jest tylko jedną z możliwych podstaw, a obowiązki w zakresie bezpieczeństwa i ograniczenia dostępu do danych pozostają aktualne niezależnie od tego, jaka podstawa została wybrana.
