У листі до редакції Читач написав:

Перед святами я припаркував автомобіль на території торгового центру на вулиці Jeleniogórska (біля лікарні). На жаль, виникла проблема з друкуванням квитка. […] ці паркомати залишають бажати кращого.

І додав:

Після чергової невдалої спроби я махнув на це рукою, бо мусив швидко зробити покупки. Коли повернувся, то знайшов на автомобілі, під склоочисником, штраф за відсутність паркувального квитка.

Звичайно, є можливість подати скаргу, тим більше що я маю чеки та рахунки-фактури за покупки, які свідчать про те, що я був там за покупками, а не хотів скористатися безкоштовною парковкою.

Читач хотів подати скаргу, але відмовився від цього. Чому? Заявник пояснює:

Бо я вирішив, що на цьому етапі компанія ATPark, відповідальна за паркомати, вимагає у формі скарги надто багато персональних даних, наприклад PESEL! Питання: навіщо їм стільки детальних даних? Мало б вистачити контактних даних, тобто номера телефону та електронної пошти, адже все одно все вирішується в електронному форматі.

І додає: – Я не довіряю цій компанії, бо не маю впевненості, як використовуватимуть мої дані. Вважаю, що вимога надати таку детальну інформацію є зловживанням.

Ми офіційно запитали про це згадану компанію:

З якою метою під час подання скарги вимагають вказувати номер PESEL?

Ми отримали таку відповідь від Відділу розгляду скарг ATPark:

Відповідно до чинних норм обробка персональних даних є законною, якщо виконано принаймні одну з визначених у статті 6 частині 1 Регламенту Європейського парламенту і Ради (ЄС) № 2016/679 від 27 квітня 2016 року про захист фізичних осіб у зв’язку з обробкою персональних даних і про вільний рух таких даних, а також про скасування Директиви 95/46/ЄС (далі: Регламент GDPR) матеріальних передумов обробки персональних даних. Відповідно до вищезазначеного положення обробка персональних даних є законною виключно за умови виконання однієї з наведених умов:
а) особа, якої стосуються дані, дала згоду на обробку своїх персональних даних для однієї або кількох конкретних цілей;
б) обробка необхідна для виконання договору, стороною якого є особа, якої стосуються дані, або для вжиття заходів на вимогу цієї особи до укладення договору;
в) обробка необхідна для виконання юридичного обов’язку, покладеного на адміністратора;
г) обробка необхідна для захисту життєво важливих інтересів особи, якої стосуються дані, або іншої фізичної особи;
ґ) обробка необхідна для виконання завдання, здійснюваного в суспільному інтересі або в межах здійснення державних повноважень, покладених на адміністратора;
д) обробка необхідна для цілей, що випливають із законних інтересів, реалізованих адміністратором або третьою стороною, за винятком ситуацій, коли перевагу над цими інтересами мають інтереси або основоположні права і свободи особи, якої стосуються дані, що потребують захисту персональних даних, зокрема коли цією особою є дитина.

Обов’язок розглянути скаргу орендаря паркувального місця випливає з чинного Регламенту. Дані, які вимагаються від орендарів паркувальних місць, що подають скаргу, є даними, що ідентифікують конкретну особу. Слід зазначити, що ім’я та прізвище, навіть у поєднанні з адресою електронної пошти, не є достатніми даними для ідентифікації заявника скарги. Відповідно до чинних правил подання скарг, щоб дані, які отримує компанія, не були надмірними, заявник має право вибрати дані, що ідентифікують його особу. Через онлайн-систему подання скарг ATPARK spółka z ograniczoną odpowiedzialnością sp.k. заявник вказує своє ім’я та прізвище, а також номер PESEL, натомість у разі вибору ідентифікаційних даних у вигляді місця проживання заявника просять подати скаргу в письмовій формі на адресу місцезнаходження компанії. Очевидно, що ідентифікація заявника необхідна та служить розгляду скарги. Слід зазначити, що ім’я в поєднанні з прізвищем є даними, які можуть повторюватися, тому в разі потенційних вимог компанії до двох осіб з однаковими іменами та прізвищами вказання номера PESEL або адреси проживання дає змогу віднести скаргу до належної особи. Отже, слід визнати, що обробка даних у вигляді імені, прізвища та номера PESEL/адреси проживання має на меті реалізацію законного інтересу заявника скарги. Можливість вибору заявником ідентифікаційних даних у вигляді адреси проживання дає змогу подати скаргу також особам, які не мають номера PESEL. Водночас слід зазначити, що жодна з чинних норм не покладає на підприємця обов’язку розглядати скаргу в електронній формі, тому вибір способу подання скарги, а отже й надання згоди на передачу компанії персональних даних — номера PESEL або адреси проживання — належить заявнику.

Слід підкреслити, що представлена компанія як адміністратор персональних даних дотримується позиції, що головним принципом під час отримання персональних даних є принцип мінімізації, а отже ATPARK spółka z ograniczoną odpowiedzialnością sp.k. обмежує кількість ідентифікаторів фізичної особи, які отримує та обробляє. Зверніть увагу, що компанія, наприклад, не вимагає вказувати номер і серію посвідчення особи.

Отже, слід визнати, що персональні дані заявників скарг збираються відповідно до змісту статті 5 Регламенту GDPR, тобто з конкретною, чітко визначеною та законно обґрунтованою метою (ідентифікація заявника скарги, розгляд скарги), а також є адекватними, доречними й обмеженими тим, що необхідне для реалізації зазначених вище цілей (мінімізація даних).