GDPR – Nõusolek

Isikuandmete töötlemine on üldiselt keelatud, välja arvatud juhul, kui seadus on seda selgesõnaliselt lubanud või andmesubjekt on töötlemiseks nõusoleku andnud. Kuigi see on isikuandmete töötlemise üks tuntumaid õiguslikke aluseid, on nõusolek ainult üks kuuest alusest, mis on mainitud isikuandmete kaitse üldmääruses (GDPR). Teised on: leping, juriidilised kohustused, andmesubjekti elulised huvid, avalik huvi ja õigustatud huvi, nagu on sätestatud GDPR artikkel 6 lõikes 1.

Kehtiva õiguspärase nõusoleku tõhususe põhitingimused on määratletud isikuandmete kaitse üldmääruse artiklis 7 ja täpsustatud veel preambulis 32. Nõusolek peab olema vabatahtlikult antud, konkreetne, teadlik ja ühemõtteline. Vabatahtliku nõusoleku saamiseks peab see olema antud vabatahtlikult. Element “vaba” eeldab andmesubjekti reaalset valikut. Mistahes ebasobiv surve või mõjutamine, mis võiks mõjutada selle valiku tulemust, muudab nõusoleku kehtetuks. Sellisel juhul arvestab õigustekst teatud tasakaalustamatust kontrollija ja andmesubjekti vahel. Näiteks tööandja-töötaja suhtes: töötaja võib muretseda, et nõusoleku andmisest keeldumine võib avaldada tema töösuhtes tõsiseid negatiivseid tagajärgi, seega võib nõusolek olla õiguspärane töötlemise alus vaid mõnel erakorralisel juhul. Lisaks kehtib niinimetatud “sidumiskeeld” või “sidumise või seostamise keeld”. Seega ei tohi lepingu täitmist muuta sõltuvaks täiendavate isikuandmete töötlemiseks antavast nõusolekust, mis ei ole vajalik selle lepingu täitmiseks.

Selleks et nõusolek oleks informeeritud ja konkreetne, tuleb andmesubjekti teavitada vähemalt vastutava töötleja isikust, milliseid andmeid töödeldakse, kuidas neid kasutatakse ja töötlemisoperatsioonide eesmärkidest kui ‘funktsiooni hiilimise’ kaitsemeetmest. Samuti tuleb andmesubjekti teavitada õigusest oma nõusolek igal ajal tagasi võtta. Tagasivõtmine peab olema sama lihtne kui nõusoleku andmine. Vajaduse korral peab vastutav töötleja andma teavet ka andmete kasutamise kohta automatiseeritud otsuste tegemisel, andmeedastuste võimalike riskide kohta vastavusotsuse puudumise või muude asjakohaste kaitsemeetmete tõttu.

Nõusolek peab olema seotud ühe või mitme kindlaksmääratud eesmärgiga, mis tuleb seejärel piisavalt selgitada. Kui nõusolek peaks õigustama isikuandmete eriliikide töötlemist, peab andmesubjektile antav teave sellele selgesõnaliselt viitama.
Alati peab olema selge vahe informeeritud nõusolekuks vajaliku teabe ja muude lepinguliste asjaolude kohta käiva teabe vahel.

Lõpetuseks peab nõusolek olema ühemõtteline, mis tähendab, et see eeldab kas avaldust või selget nõusolekut väljendavat tegevust. Nõusolekut ei saa tuletada ja see tuleb alati anda aktiivse liitumise, deklaratsiooni või aktiivse tegevuse kaudu, et ei tekiks arusaamatust selle üle, kas andmesubjekt on konkreetse töötlemisega nõustunud. Siiski ei ole nõusoleku vorminõudeid, isegi kui kirjalikku nõusolekut soovitatakse vastutava töötleja vastutuse tõttu. Seetõttu võib see olla antud ka elektrooniliselt. Seoses sellega on laste ja noorukite nõusolek infoteenuste suhtes erandiks. Neile, kes on alla 16-aastased, kehtib täiendav nõusoleku või loa nõue vanemliku vastutuse kandjalt. Vanusepiirang on paindlikkuse klausliga reguleeritud. Liikmesriigid võivad sätestada madalama vanuse riigisiseste seaduste alusel tingimusel, et see vanus ei ole alla 13 aasta. Kui teenuse pakkumine ei ole selgelt lastele suunatud, ei kohaldu see reegel. Kuid see ei kehti pakkumiste puhul, mis on suunatud nii lastele kui ka täiskasvanutele.

Nagu näha, ei ole nõusolek isikuandmete töötlemisel imerohi. Eriti arvestades, et Euroopa andmekaitseasutused on selgelt välja öelnud, et kui vastutav töötleja otsustab tugineda töötlemise osas nõusolekule, peavad nad olema valmis seda valikut austama ja lõpetama selle töötlemise osa, kui inimene nõusoleku tagasi võtab. Kui seda rangelt tõlgendada, tähendab see, et vastutav töötleja ei tohi nõusolekult õiguslikule alusele nagu õigustatud huvi üle minna, kui andmesubjekt oma nõusoleku tagasi võtab. See kehtib isegi siis, kui algselt eksisteeris kehtiv õigustatud huvi. Seetõttu tuleks nõusolek alati valida isikuandmete töötlemiseks viimase võimalusena.