W przeciwieństwie do kalifornijskiej ustawy dotyczącej ochrony danych RODO nie pozwala wprost na wykorzystywanie danych otrzymanych od administratora w innych celach niż określone przez administratora. Dlatego też pomocne może okazać się niedawno opublikowane wytyczne francuskiego organu.

Po pierwsze francuski organ potwierdza, że dane mogą być wykorzystywane przez podmiot przetwarzający we własnych celach, ale pod pewnymi warunkami. Na takie nowe wykorzystywanie danych musi wyrazić zgodę pierwotny administratora danych, a nowy cel musi być powiązany, zgodny z celem pierwotnego przetwarzania danych. Wobec czego podmiot przetwarzający musi w sposób jednoznaczny wskazać w jakich celach chce wykorzystywać dane, a pierwotny administrator musi przeanalizować czy nowe cele są zgodne z pierwotnym. Wobec czego przetwarzanie danych osobowych w celach określonych przez podmiot przetwarzający może się odbyć jedynie jeśli pierwotny administrator wyrazi na to zgodę.

Wyrażona zgoda powinna być szczegółowa, wskazywać jakie dane i w jakim celu będą wykorzystywane przez podmiot przetwarzający, zgoda zdaniem organu nie może być ogólna. Organ wskazuje, że ulepszenie usługi przetwarzania w chmurze może zostać uznane za powiązane z pierwotnym celem, podczas gdy cele marketingowe nie.

Co ważne, wykorzystywanie danych osobowych przez podmiot przetwarzający w swoich celach może się odbywać jedynie jeśli pierwotne przetwarzanie oparte było na innej podstawie prawnej niż zgoda. Jeśli podstawą jest zgoda, taka zgoda musiałby być pozyskana przez podmiot przetwarzającego od podmiotu danych.

Organ również wskazuje, ze wraz z przetwarzaniem danych osobowych we własnych celach podmiot przetwarzający staje się administratorem danych i musi wywiązać się ze wszystkich obowiązków nałożonych przez RODO na administratora. W tym m.in. musi określić podstawę prawną przetwarzania jak i wykonać obowiązek informacyjny, który może zostać wykonany przez niego osobiście lub oddelegowany na pierwotnego administratora.

Pomimo, wskazania przez CNIL, że wykorzystanie danych przez podmiot przetwarzający we własnych celach jest możliwe wydaje się, że spełnienie wymagań określonych przez organ może okazać się niełatwe.

Źródło: https://iapp.org/news/a/cnil-sets-parameters-for-processors-reuse-of-data-for-product-improvement/