GDPR – Съгласие

Обработването на лични данни е по принцип забранено, освен ако не е изрично позволено от закона или субектът на данните не е дал съгласие за обработването. Въпреки че е една от по-известните правни основания за обработване на лични данни, съгласието е само една от шестте основания, споменати в Общия регламент за защита на данните (GDPR). Другите са: договор, законови задължения, жизненоважни интереси на субекта на данните, обществен интерес и легитимен интерес, както е посочено в Член 6(1) от GDPR.

Основните изисквания за ефективността на валидно правно съгласие са дефинирани в член 7 и уточнени по-подробно в съображение 32 на GDPR. Съгласието трябва да бъде дадено свободно, конкретно, информирано и недвусмислено. За да се получи съгласие, дадено свободно, то трябва да бъде дадено на доброволна основа. Елементът „свободно“ предполага реален избор от страна на субекта на данни. Всеки елемент на неподходящ натиск или влияние, който може да повлияе на резултата от този избор, прави съгласието невалидно. В този контекст законовият текст взема предвид известен дисбаланс между администратора и субекта на данни. Например, в отношенията между работодател и служител: Служителят може да се притеснява, че отказът му да даде съгласие може да има сериозни негативни последствия върху трудовата му връзка, поради което съгласието може да бъде законна основа за обработка само в няколко изключителни обстоятелства. Освен това се прилага така наречената „забрана за свързване“ или „забрана за обвързване или свързване“. Така, изпълнението на даден договор не може да бъде обусловено от съгласието за обработка на допълнителни лични данни, които не са необходими за изпълнението на този договор.

За да бъде съгласието информирано и конкретно, субектът на данни трябва, поне, да бъде уведомен за идентичността на администратора, какъв вид данни ще бъдат обработвани, как ще бъдат използвани и целта на операциите по обработване като защита срещу „ползване за други цели“. Субектът на данни също трябва да бъде информиран за правото си да оттегли съгласието по всяко време. Оттеглянето трябва да бъде толкова лесно, колкото да се даде съгласие. Когато е уместно, администраторът също трябва да информира за използването на данните за автоматизирано вземане на решения, възможните рискове от предаване на данни поради липса на решение за адекватност или други подходящи гаранции.

Съгласието трябва да бъде обвързано с една или няколко посочени цели, които след това трябва да бъдат достатъчно ясно обяснени. Ако съгласието трябва да легитимира обработването на специални категории лични данни, информацията за субекта на данните трябва изрично да се отнася към това.
Винаги трябва да има ясна разграничение между информацията, необходима за информираното съгласие, и информацията за други договорни въпроси.

Не на последно място, съгласието трябва да бъде недвусмислено, което означава, че изисква или изявление, или ясен утвърдителен акт. Съгласието не може да бъде подразбиращо се и винаги трябва да бъде дадено чрез избиране, декларация или активно действие, така че да няма недоразумение, че субектът на данните е дал съгласие за конкретната обработка. Това казано, няма изискване за форма за съгласие, дори ако писмено съгласие е препоръчително поради отчетността на администратора. То може следователно да бъде дадено и в електронна форма. В този контекст, съгласието на деца и юноши във връзка с услугите на информационното общество е специален случай. За тези, които са под 16 години, има допълнителнo изискване за съгласие или разрешение от притежателя на родителска отговорност. Ограничението за възраст е предмет на клауза за гъвкавост. Държавите членки могат да предвидят по-ниска възраст по националното право, при условие че тази възраст не е под 13 години. Когато даденa услуга явно не е насочена към деца, тя е освободена от това правило. Това обаче не важи за предложения, които са насочени както към деца, така и към възрастни.

Както се вижда, съгласието не е панацея, когато става въпрос за обработката на лични данни. Особено като се има предвид, че европейските органи за защита на данните ясно са заявили, че “ако администратор реши да се позове на съгласие за която и да е част от обработката, трябва да бъде подготвен да уважи този избор и да спре тази част от обработката, ако дадено лице оттегли съгласието си.” Строгото тълкуване на това означава, че администраторът няма право да премине от правното основание съгласие към легитимен интерес, след като субектът на данните оттегли съгласието си. Това важи дори и ако първоначално е съществувал валиден легитимен интерес. Следователно, съгласието винаги трябва да се избира като последен вариант за обработка на лични данни.