GDPR – Privola

Obrada osobnih podataka općenito je zabranjena, osim ako nije izričito dopuštena zakonom ili ako je ispitanik pristao na obradu. Iako je jedan od poznatijih pravnih osnova za obradu osobnih podataka, pristanak je samo jedna od šest osnovica navedenih u Općoj uredbi o zaštiti podataka (GDPR). Ostale su: ugovor, pravne obveze, vitalni interesi ispitanika, javni interes i legitimni interes kako je navedeno u članku 6(1) GDPR-a.

Osnovni zahtjevi za učinkovitost valjane pravne privole definirani su u članku 7. i dodatno specificirani u uvodnoj izjavi 32. GDPR-a. Privola mora biti dana slobodno, specifično, informirano i nedvosmisleno. Kako bi se postigla slobodno dana privola, mora biti dana na dobrovoljnoj osnovi. Element “slobodno” podrazumijeva stvarni izbor od strane ispitanika. Svaki element neprikladnog pritiska ili utjecaja koji bi mogao utjecati na ishod tog izbora čini privolu nevažećom. U tom smislu, pravni tekst uzima u obzir određenu neravnotežu između voditelja obrade i ispitanika. Na primjer, u odnosu poslodavca i zaposlenika: Zaposlenik može brinuti da bi njegovo odbijanje davanja privole moglo imati ozbiljne negativne posljedice na njegov radni odnos, stoga privola može biti pravna osnova za obradu samo u nekoliko iznimnih okolnosti. Osim toga, primjenjuje se tzv. “zabrana povezivanja” ili “zabrana sparivanja”. Tako, izvršenje ugovora ne smije biti uvjetovano privolom za obradu dodatnih osobnih podataka koji nisu potrebni za izvršenje tog ugovora.

Kako bi pristanak bio informiran i specifičan, ispitanik mora barem biti obaviješten o identitetu voditelja obrade, o vrsti podataka koji će biti obrađeni, kako će se koristiti i svrsi obradnih aktivnosti kao zaštita protiv ‘eksponencijalnog rasta funkcija’. Ispitanik također mora biti obaviješten o svom pravu da u bilo kojem trenutku povuče pristanak. Povlačenje mora biti jednako jednostavno kao i davanje pristanka. Kada je relevantno, voditelj obrade mora također informirati o korištenju podataka za automatizirano donošenje odluka, mogućim rizicima prijenosa podataka zbog nepostojanja odluke o primjerenosti ili drugih odgovarajućih zaštitnih mjera.

Privola mora biti povezana s jednom ili više određenih svrha koje se zatim moraju dovoljno objasniti. Ako bi privola trebala legitimirati obradu posebnih kategorija osobnih podataka, informacije za ispitanika moraju izričito upućivati na to.
Uvijek mora postojati jasna razlika između informacija potrebnih za informirani pristanak i informacija o drugim ugovornim pitanjima.

Na kraju, ali ne manje važno, pristanak mora biti nedvosmislen, što znači da zahtijeva ili izjavu ili jasan afirmativni čin. Pristanak ne može biti impliciran i uvijek ga se mora dati putem opt-ina, deklaracije ili aktivnog pokreta, kako ne bi bilo nesporazuma da je nositelj podataka pristao na određenu obradu. Uz to, nema oblikovnih zahtjeva za pristanak, iako se preporučuje pisani pristanak zbog odgovornosti voditelja obrade. Stoga ga se može dati i u elektroničkom obliku. U tom smislu, pristanak djece i adolescenata u odnosu na usluge informacijskog društva je poseban slučaj. Za osobe mlađe od 16 godina postoji dodatni zahtjev za pristanak ili ovlaštenje od strane nositelja roditeljske odgovornosti. Starosna granica podliježe klauzuli o fleksibilnosti. Države članice mogu predvidjeti nižu dob putem nacionalnog zakona, pod uvjetom da ta dob nije ispod 13 godina. Kada ponuda usluge nije izričito namijenjena djeci, oslobođena je ovog pravila. Međutim, to se ne odnosi na ponude koje su namijenjene i djeci i odraslima.

Kao što se može vidjeti, pristanak nije čarobno rješenje kada je riječ o obradi osobnih podataka. Posebno s obzirom na činjenicu da su europska tijela za zaštitu podataka jasno dala do znanja “da ako voditelj obrade odluči osloniti se na pristanak za bilo koji dio obrade, mora biti spreman poštovati taj izbor i zaustaviti taj dio obrade ako pojedinac povuče pristanak.” Strogo tumačeno, to znači da voditelj obrade nije dopušteno prebaciti se s pravne osnove pristanka na legitimni interes nakon što ispitanik povuče svoj pristanak. To vrijedi čak i ako je u početku postojao valjan legitimni interes. Stoga bi se pristanak uvijek trebao birati kao posljednja opcija za obradu osobnih podataka.