Ograniczenie przetwarzania to nie ograniczenie, ale "oznaczenie" w celu ograniczenia...

Przyglądając się definicji ograniczenia przetwarzania w RODO trochę zgłupiałem... i uznałem, że jednak podzielę się swoimi przemyśleniami...

Na użytek niniejszego rozporządzenia: (...) „ograniczenie przetwarzania” oznacza oznaczenie przechowywanych danych osobowych w celu ograniczenia ich przyszłego przetwarzania;

Według słownika języka polskiego ograniczenie to:

1. «norma, przepis, zarządzenie krępujące czyjąś swobodę działania»
2. «brak szerszych horyzontów myślowych»
3. «ograniczony charakter czegoś»

A według RODO ograniczenie przetwarzania to nie "ograniczenie", ale oznakowanie informacji tak, aby było wiadomo, że w przyszłości tj. tuż po oznakowaniu - tych informacji w pełni nie przetwarzać, ale w ograniczonym stopniu. Ale nie wiemy, jaki to jest ten ograniczony stopień.

Ograniczenie przetwarzania pojawia się w art. 5: 

Dane osobowe muszą być: (...) przechowywane w formie umożliwiającej identyfikację osoby, której dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane; dane osobowe można przechowywać przez okres dłuższy, o ile będą one przetwarzane wyłącznie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych na mocy art. 89 ust. 1, z zastrzeżeniem że wdrożone zostaną odpowiednie środki techniczne i organizacyjne wymagane na mocy niniejszego rozporządzenia w celu ochrony praw i wolności osób, których dane dotyczą („ograniczenie przechowywania”);

Hmmm... dane trzeba usuwać, gdy skończą się cele, ale można dłużej, gdy są to cele archiwalne (ale w interesie publicznym), badania naukowe lub historyczne, lub cele statystyczne o ile zostaną wdrożone odpowiednie środki które... no właśnie - co? mają ograniczyć przechowywanie? czyli środki, które pozwolą oznaczyć dane? Tak nie do końca wiadomo.

Przeszukując rozporządzenie dalej pod kątem owego ograniczania doszukujemy  się a art. 15 ust. 1 zapisu, że 

Osoba, której dane dotyczą, jest uprawniona do uzyskania od administratora potwierdzenia, czy przetwarzane są dane osobowe jej dotyczące, a jeżeli ma to miejsce, jest uprawniona do uzyskania dostępu do nich oraz następujących informacji: 
(...) e) informacje o prawie do żądania od administratora sprostowania, usunięcia lub ograniczenia przetwarzania danych osobowych dotyczącego osoby, której dane dotyczą, oraz do wniesienia sprzeciwu wobec takiego przetwarzania;

Czyli osoba dowiaduje się jakie ma prawa i jednym z nich jest prawo do "oznaczenia przechowywanych danych osobowych" po to, aby ograniczyć ich przyszłe przetwarzanie. Ale ograniczyć - do czego? Cały art. 18 poświęcony jest prawu do ograniczenia przetwarzania, może tam coś będzie? 

1.   Osoba, której dane dotyczą, ma prawo żądania od administratora ograniczenia przetwarzania w następujących przypadkach:
a) osoba, której dane dotyczą, kwestionuje prawidłowość danych osobowych – na okres pozwalający administratorowi sprawdzić prawidłowość tych danych;
b) przetwarzanie jest niezgodne z prawem, a osoba, której dane dotyczą, sprzeciwia się usunięciu danych osobowych, żądając w zamian ograniczenia ich wykorzystywania;
c) administrator nie potrzebuje już danych osobowych do celów przetwarzania, ale są one potrzebne osobie, której dane dotyczą, do ustalenia, dochodzenia lub obrony roszczeń;
d) osoba, której dane dotyczą, wniosła sprzeciw na mocy art. 21 ust. 1 wobec przetwarzania – do czasu stwierdzenia, czy prawnie uzasadnione podstawy po stronie administratora są nadrzędne wobec podstaw sprzeciwu osoby, której dane dotyczą.

Można żądać oznaczenia danych w celu ograniczenia przetwarzania, ale wciąż dalej nic nie wiemy. To może coś w ust. 2 tego samego artykułu?

2.   Jeżeli na mocy ust. 1 przetwarzanie zostało ograniczone, takie dane osobowe można przetwarzać, z wyjątkiem przechowywania, wyłącznie za zgodą osoby, której dane dotyczą, lub w celu ustalenia, dochodzenia lub obrony roszczeń, lub w celu ochrony praw innej osoby fizycznej lub prawnej, lub z uwagi na ważne względy interesu publicznego Unii lub państwa członkowskiego.

Jak to tłumaczyć? Jeśli osoba zażądała ograniczenia przetwarzania na mocy ust. 1, to można te dane tylko przechowywać, a cokolwiek więcej z nimi można zrobić tylko wtedy gdy:

  • osoba wyrazi na to zgodę
  • w celu ustalenia, dochodzenia lub obrony roszczeń
  • w celu ochrony praw innej osoby fizycznej lub prawnej
  • z uwagi na ważne względy interesu publicznego UE lub danego kraju członkowskiego

Czyli ograniczenie przetwarzania to przetwarzanie zminimalizowane do przechowywania informacji. To nie można było tak napisać w definicji???