Cel przetwarzania danych osobowych nie może być wynikiem arbitralnej decyzji, oderwanym od okoliczności, w jakich dane te miałyby być wykorzystywane. Rodzaj danych oraz ich treść nie powinny wykraczać poza te potrzeby — przypomniał Generalny Inspektor Danych Osobowych (GIODO), rozpatrując zgłoszony mu problem podawania danych na fakturze VAT.
Nie chodziło o dane odbiorcy tego dokumentu, ale jego pracownika odpowiedzialnego za zaopatrzenie. Wątpliwości firmy wywołało żądanie wpisania na fakturze numeru dowodu osobistego zaopatrzeniowca. GIODO przyznał, że kontrahent współpracujący z pracodawcą powinien posiadać dane osobowe pracownika reprezentującego go, dla potrzeb identyfikacji. Jak stwierdził, przedsiębiorca musi mieć pewność, że przekazuje fakturę osobie upoważnionej do jej otrzymania.
Niemniej wątpliwe jest, czy dokument stanowiący dowód dokonanej sprzedaży, a zatem umowy pomiędzy dwoma podmiotami, powinien zawierać także numer dowodu osobistego osoby będącej pracownikiem jednej ze stron transakcji. GIODO ocenił, że wystarczy zamieszczenie na dokumencie imienia i nazwiska pracownika.
W odpowiedzi na zgłoszony problem wyliczono, jakich danych na fakturze wymagają przepisy wydane przez ministra finansów (MF). Są to np. imiona i nazwiska lub nazwy bądź nazwy skrócone sprzedawcy i nabywcy oraz ich adresy, ich numery identyfikacji podatkowej, numer kolejny faktury, daty wystawienia faktury, nazwa (rodzaj) towaru lub usługi, ich ilości, cena, wartość czy kwoty podatku. Dane określone przepisami MF to tzw. minimum wymagane przez ustawodawcę. GIODO zwrócił uwagę, że w zasadzie nie powinny być one rozszerzane o inne informacje o sprzedawcy czy nabywcy oraz o innych osobach. GIODO podkreślił, że dane muszą być adekwatne do celu ich przetwarzania, czyli musi być zachowana równowaga pomiędzy uprawnieniem osoby do dysponowania swoimi danymi a interesem administratora danych.
Obowiązki administratora
Administrator danych powinien dołożyć szczególnej staranności w celu ochrony interesów osób, których dane dotyczą, a w szczególności jest obowiązany zapewnić, aby dane te były zbierane dla oznaczonych, zgodnych z prawem celów i niepoddawane dalszemu przetwarzaniu niezgodnemu z tymi celami, merytorycznie poprawne i adekwatne w stosunku do celów, w jakich są przetwarzane (art. 26 ustawy o ochronie danych osobowych).