Az adatkezelés során kiemelkedő jelentősége van az adatkezelés céljának.
A GDPR egyik legfontosabb alapelve az ún. célhoz kötöttség elve, amely szerint a személyes adatok gyűjtése csak meghatározott, egyértelmű és jogszerű célból történjen, és azokat ne kezeljék ezekkel a célokkal össze nem egyeztethető módon.
A célhoz kötöttség segíti kiszámíthatóvá tenni az adatkezelést és ezzel segítséget nyújt az alanyoknak a jogérvényesítésben.
Adatkezelés előfeltétele
Amennyiben nincsen megfelelő cél, akkor az adatkezelés jogellenes. A cél megléte tehát előfeltétele az adatkezelés megkezdésének, ugyanakkor végigvonul az adatkezelés teljes életútján, mivel az adatkezelés minden egyes pillanatában érvényesülnie kell.
Mikor kell tehát meghatározni az adatkezelési célt?
Az adatkezelőnek még az adatkezelési tevékenység megkezdését megelőzően kell meghatározni a célt.
Meghatározott, egyértelmű, jogszerű cél
Fontos, hogy meghatározott legyen a cél, vagyis explicit módon, világosan és érthetően kell meghatározni azt, így nem elfogadható, ha az adatkezelő azért gyűjti a személyes adatokat, mert „azokra majd valamikor úgyis szükség lesz”. Ezt a megfelelő cél nélküli, előre pontosan nem meghatározott felhasználásra vonatkozó adatkezelést hívja a jog ún. készletező adatgyűjtésnek, amely szigorúan tilos.
Egyértelmű legyen a cél, vagyis például a „feladat ellátása” célmeghatározás túl általános, tág, ezért nem tekinthető egyértelműnek.
Jogszerű legyen a cél, azaz nem ütközhet valamely jogszabályba.
Az adatkezelő a célhoz kötöttség mentén az alábbi tevékenységeket hajtja végre
- az adatkezelés megkezdését megelőzően meg kell, hogy tervezze az adatkezelés menetét, folyamatát
- meghatározza a jogszerű (legitim) célt
- fel kell mérni, hogy a fentiekhez milyen személyes adatokat kell kezelnie
- fel kell mérnie azt is, hogy mi lesz várhatóan az adatkezelésnek az érintett személyekre gyakorolt hatása
- az adatalanyok felé (akiknek az adatait kezelni fogja) világos kommunikáció az adatkezelésről.
Cél megszűnése
Amennyiben megszűnik a cél, akkor a személyes adatokat törölni vagy anonimizálni kell.