Firma nie jest podmiotem danych

Przede wszystkim RODO dotyczy jedynie danych osobowych osób fizycznych. RODO nie reguluje spraw związanych z informacjami dotyczącymi firmy (nazwa firmy/adres/inne informacje). Dlatego też w przypadku, gdy firma będzie umieszczać informacje o wygranej swojego podwykonawcy, który jest firmą - regulacje RODO nie będą mieć zastosowania.

Do publikacji danych osoby fizycznej wymagana podstawa prawna

Nieco inaczej przedstawia się kwestia dotycząca danych osobowych osób fizycznych, które są wykonawcami/podwykonawcami na rzecz firmy ABC sp. z o.o. Informacje o tym, że takie osoby wygrały przetarg będzie traktowana jak informacja o ich danych osobowych. Zgodnie bowiem z art. 4 pkt 1 RODO "dane osobowe" oznaczają wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej ("osobie, której dane dotyczą"); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej.

Aby móc rozpowszechniać dane (rozpowszechnianie danych jest formą ich przetwarzania) administrator (W tym przypadku firma ABC sp. z o.o.) musi mieć podstawę prawną do takiego działania. Podstawy można podzielić na dwa rodzaje: przetwarzanie na podstawie zgody osoby zainteresowanej oraz przetwarzanie bez zgody osoby zainteresowanej. W tym drugim przypadku art. 6 ust. 1 RODO wskazuje, że bez zgody osoby zainteresowanej można przetwarzać dane osobowe w ściśle określonym celu. Zgodnie bowiem z uregulowaniami RODO bez zgody osoby zainteresowanej jej własne dane osobowe można przetwarzać jedynie gdy:

• przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy;
• przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze;
• przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej;
• przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi;
• przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem.

Żadna ze wskazanych przesłanek nie daje podmiotowi prywatnemu przetwarzania danych osobowych jego wykonawcy/podwykonawcy w ten sposób, że będą takie dane przetwarzane na stronie internetowej. Publikacja danych wykonawcy będącego osobą fizyczną na stronie internetowej nie jest więc dopuszczalna bez jego zgody.

Więcej porad ekspertów dotyczących przetwarzania danych osobowych znajdziesz na stronie https://www.poradyodo.pl/porady-ekspertow-97.

Podstawa prawna:

• Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.Urz. UE.L nr 119, str. 1) - art. 4, art. 6.

Monika Brzozowska-Pasieka
adwokat, ekspert portalu PoradyODO.pl