GDPR – Συγκατάθεση

Η επεξεργασία προσωπικών δεδομένων γενικά απαγορεύεται, εκτός αν υπάρχει ρητή άδεια από το νόμο ή αν το υποκείμενο των δεδομένων έχει συναινέσει στην επεξεργασία. Αν και είναι μία από τις πιο γνωστές νομικές βάσεις για την επεξεργασία προσωπικών δεδομένων, η συγκατάθεση είναι μόνο μία από τις έξι βάσεις που αναφέρονται στον Γενικό Κανονισμό Προστασίας Δεδομένων (GDPR). Οι άλλες είναι: η σύμβαση, οι νομικές υποχρεώσεις, τα ζωτικά συμφέροντα του υποκειμένου των δεδομένων, το δημόσιο συμφέρον και το έννομο συμφέρον όπως ορίζεται στο Άρθρο 6(1) του GDPR.

Οι βασικές απαιτήσεις για την αποτελεσματικότητα μιας έγκυρης νομικής συγκατάθεσης καθορίζονται στο Άρθρο 7 και προσδιορίζονται περαιτέρω στην αιτιολογική σκέψη 32 του ΓΚΠΔ. Η συγκατάθεση πρέπει να δίνεται ελεύθερα, να είναι συγκεκριμένη, ενημερωμένη και αδιαμφισβήτητη. Για να επιτευχθεί ελεύθερα δοσμένη συγκατάθεση, πρέπει να δοθεί σε εθελοντική βάση. Το στοιχείο «ελεύθερα» υποδηλώνει μια πραγματική επιλογή από το υποκείμενο των δεδομένων. Οποιοδήποτε στοιχείο ακατάλληλης πίεσης ή επιρροής που θα μπορούσε να επηρεάσει το αποτέλεσμα αυτής της επιλογής καθιστά τη συγκατάθεση άκυρη. Κάνοντας αυτό, το νομικό κείμενο λαμβάνει υπόψη μια ορισμένη ανισορροπία μεταξύ του υπεύθυνου επεξεργασίας και του υποκειμένου των δεδομένων. Για παράδειγμα, στη σχέση εργοδότη-εργαζομένου: ο εργαζόμενος μπορεί να ανησυχεί ότι η άρνησή του να δώσει συγκατάθεση μπορεί να έχει σοβαρές αρνητικές συνέπειες στη σχέση εργασίας του, επομένως η συγκατάθεση μπορεί να αποτελεί νόμιμη βάση επεξεργασίας μόνο σε λίγες εξαιρετικές περιπτώσεις. Επιπλέον, εφαρμόζεται η λεγόμενη «απαγόρευση σύνδεσης» ή «απαγόρευση σύνδεσης ή δεσίματος». Έτσι, η εκτέλεση μιας σύμβασης δεν μπορεί να εξαρτάται από τη συγκατάθεση για επεξεργασία περαιτέρω προσωπικών δεδομένων, τα οποία δεν χρειάζονται για την εκτέλεση αυτής της σύμβασης.

Για να είναι η συγκατάθεση ενημερωμένη και συγκεκριμένη, το υποκείμενο των δεδομένων πρέπει τουλάχιστον να ενημερώνεται για την ταυτότητα του υπεύθυνου επεξεργασίας, τι είδους δεδομένα θα υποβληθούν σε επεξεργασία, πώς θα χρησιμοποιηθούν και τον σκοπό των πράξεων επεξεργασίας ως προφύλαξη έναντι της ‘ανάπτυξης λειτουργιών’. Το υποκείμενο των δεδομένων πρέπει επίσης να ενημερώνεται για το δικαίωμα του να ανακαλέσει τη συγκατάθεση οποιαδήποτε στιγμή. Η ανάκληση πρέπει να είναι το ίδιο εύκολη με την παροχή της συγκατάθεσης. Όπου είναι σχετικό, ο υπεύθυνος επεξεργασίας πρέπει επίσης να ενημερώνει για τη χρήση των δεδομένων για αυτοματοποιημένη λήψη αποφάσεων, τους πιθανούς κινδύνους μεταφοράς δεδομένων λόγω απουσίας απόφασης επάρκειας ή άλλων ενδεδειγμένων διασφαλίσεων.

Η συγκατάθεση πρέπει να συνδέεται με έναν ή περισσότερους συγκεκριμένους σκοπούς που πρέπει στη συνέχεια να εξηγούνται επαρκώς. Εάν η συγκατάθεση προορίζεται να νομιμοποιήσει την επεξεργασία ειδικών κατηγοριών δεδομένων προσωπικού χαρακτήρα, οι πληροφορίες προς το υποκείμενο των δεδομένων πρέπει να αναφέρονται ρητά σε αυτό.
Πρέπει πάντα να υπάρχει σαφής διάκριση μεταξύ των πληροφοριών που χρειάζονται για τη τεκμηριωμένη συγκατάθεση και των πληροφοριών σχετικά με άλλες συμβατικές υποθέσεις.

Τέλος, η συγκατάθεση πρέπει να είναι ξεκάθαρη, που σημαίνει ότι απαιτεί είτε δήλωση είτε ρητή θετική ενέργεια. Η συγκατάθεση δεν μπορεί να υπονοείται και πρέπει πάντοτε να δίδεται μέσω επιλογής ενεργού συμμετοχής, δήλωσης ή ενεργητικής κίνησης, ώστε να μην υπάρχει καμία παρεξήγηση ότι το υποκείμενο των δεδομένων έχει συγκατατεθεί στην συγκεκριμένη επεξεργασία. Παρά ταύτα, δεν υπάρχει απαίτηση μορφής για τη συγκατάθεση, ακόμη και αν η γραπτή συγκατάθεση συνιστάται λόγω της λογοδοσίας του υπεύθυνου επεξεργασίας. Επομένως, μπορεί επίσης να δοθεί σε ηλεκτρονική μορφή. Σε αυτό το πλαίσιο, η συγκατάθεση παιδιών και εφήβων σε σχέση με υπηρεσίες της κοινωνίας της πληροφορίας αποτελεί ειδική περίπτωση. Για όσους είναι κάτω των 16 ετών, υπάρχει πρόσθετη απαίτηση συγκατάθεσης ή έγκριση από τον κάτοχο της γονικής μέριμνας. Το ηλικιακό όριο υπόκειται σε ρήτρα ευελιξίας. Τα κράτη μέλη μπορούν να προβλέπουν χαμηλότερη ηλικία με εθνική νομοθεσία, υπό την προϋπόθεση ότι αυτή η ηλικία δεν είναι κατώτερη των 13 ετών. Όταν μια προσφορά υπηρεσίας δεν απευθύνεται ρητά σε παιδιά, απαλλάσσεται από αυτόν τον κανόνα. Ωστόσο, αυτό δεν ισχύει για προσφορές που απευθύνονται τόσο σε παιδιά όσο και σε ενήλικες.

Όπως μπορεί κανείς να δει, η συγκατάθεση δεν είναι μια πανάκεια όταν πρόκειται για την επεξεργασία προσωπικών δεδομένων. Ιδιαίτερα λαμβάνοντας υπόψη ότι οι ευρωπαϊκές αρχές προστασίας δεδομένων έχουν καταστήσει σαφές ότι, εάν ένας υπεύθυνος επεξεργασίας επιλέξει να βασιστεί στη συγκατάθεση για οποιοδήποτε μέρος της επεξεργασίας, πρέπει να είναι προετοιμασμένος να σεβαστεί αυτήν την επιλογή και να σταματήσει αυτό το μέρος της επεξεργασίας αν ένα άτομο αποσύρει τη συγκατάθεσή του. Αυστηρά ερμηνευμένο, αυτό σημαίνει ότι ο υπεύθυνος επεξεργασίας δεν επιτρέπεται να αλλάξει από τη νομική βάση της συγκατάθεσης στην έννομη συμφέρον μόλις το υποκείμενο των δεδομένων αποσύρει τη συγκατάθεσή του. Αυτό ισχύει ακόμη και αν αρχικά υπήρχε έγκυρο έννομο συμφέρον. Επομένως, η συγκατάθεση πρέπει πάντα να επιλέγεται ως τελευταία επιλογή για την επεξεργασία προσωπικών δεδομένων.