Do zgodnego z prawem zbierania i wykorzystywania zwykłych danych osobowych osób fizycznych niezbędne jest oparcie się przez administratora danych na jednej z przesłanek legalności przetwarzanej zawartej w rozporządzeniu RODO. Zawarty w RODO katalog przesłanek jest zamknięty co oznacza, że zawiera wszystkie i zarazem jedyne dopuszczalne przesłanki legalnego przetwarzania danych.

Przetwarzaniem danych osobowych jest w zasadzie każda czynność wykonywana na danych osobowych. Zbieranie, utrwalanie, przechowywanie oraz wiele innych operacji na danych jest przetwarzaniem danych osobowych i podlega reżimowi prawnemu przewidzianemu przez Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych), zwane dalej RODO.

RODO rozróżnia dane osobowe na dane zwykłe oraz dane wrażliwe. W zależności od tego z jakim rodzajem danych mamy do czynienia inny będzie reżim prawny regulujący ich legalne przetwarzanie.

W art. 6 ust. 1 RODO zawarty jest zamknięty katalog przesłanek legalnego przetwarzania danych zwykłych. O legalnym przetwarzaniu zwykłych danych osobowych mówimy kiedy zostanie spełniona jedna z poniższych przesłanek:

• osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów;
• przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy;
• przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze;
• przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej;
• przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi;
• przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem.

Do legalnego przetwarzania zwykłych danych osobowych wystarczy zastosowanie jednej z wyżej wymienionych przesłanek. Każda z nich pojedynczo jest tak samo ważna i wystarczająca dla legalności przetwarzania.

Może oczywiście zdarzyć się sytuacja, że w danym stanie faktycznym będzie istniała więcej niż jedna przesłanka legalności przetwarzania. Należy jednak w takim wypadku zachować ostrożność, gdyż wybór przesłanki legalności przetwarzania musi być uprzedni czyli dokonany przed przystąpieniem do przetwarzania. W związku z tym w zasadzie nie można zmienić podstawy przetwarzania po jakimś czasie. Ma to ścisłe powiązanie z obowiązkiem informacyjnym.

Wszystkie przesłanki z art. 6 RODO są tak samo ważne i wystarczające, aby legalnie przetwarzać zwykłe dane osobowe, jednakże w zależności od zastosowania danej przesłanki różnić się będzie zestaw uprawnień osoby, której dane dotyczą. Również z tego powodu wybór przesłanki legalności przetwarzania powinien mieć miejsce przed przystąpieniem do przetwarzania.