Zakres gromadzonych danych powinien ściśle odpowiadać celom przetwarzania

autor zdjęcia: Robert Gardziński

źródło: Fotorzepa

Wojciech Rafał Wiewiórowski

Jeżeli klienta można skutecznie zidentyfikować na podstawie imienia, nazwiska i przypisanego mu numeru, to po co jeszcze pytać go o PESEL? Taka praktyka może zostać zakwestionowana jako nieprawidłowa.

Zgodnie z art. 26 ust. 1 ustawy o ochronie danych osobowych (DzU z 2002 r. nr 101, poz. 926 ze zm.) administrator przetwarzający dane powinien dołożyć szczególnej staranności w celu ochrony interesów osób, których one dotyczą, a w szczególności jest obowiązany zapewnić, aby dane te były:

- przetwarzane zgodnie z prawem,

- zbierane dla oznaczonych, zgodnych z prawem celów,

- niepoddawane dalszemu przetwarzaniu niezgodnemu z tymi celami,

- merytorycznie poprawne,

- adekwatne w stosunku do celów, w jakich są przetwarzane.

Omawiany przepis, w szczególności jego punkty  2 i 3, wprowadza tzw. zasadę adekwatności przetwarzania danych osobowych. Zgodnie z nią przetwarzane (gromadzone) dane swym rodzajem i swą treścią nie powinny wykraczać poza potrzeby wynikające z celu ich zbierania. Powyższy wymóg sprzeciwia się też zbieraniu wszelkich danych do realizacji tego celu nieistotnych, niemających znaczenia, jak i danych o większym niż, uzasadniony z tego względu, stopniu szczegółowości....