GDPR – Hozzájárulás

A személyes adatok kezelése általában tilos, kivéve, ha a törvény kifejezetten megengedi, vagy az érintett hozzájárult az adatkezeléshez. Bár a személyes adatok kezelésének egyik legismertebb jogalapja a hozzájárulás, ez csak egy a hat alap közül, amelyeket az Általános Adatvédelmi Rendelet (GDPR) említ. A többi: szerződés, jogi kötelezettségek, az érintett létfontosságú érdekei, közérdek és jogos érdek, ahogy az a GDPR 6. cikk (1) bekezdésében szerepel.

A jogszerű jogi beleegyezés érvényességi feltételeit a GDPR 7. cikke határozza meg, és a 32. preambulumbekezdés további részleteket tartalmaz. A beleegyezésnek önkéntesen adott, konkrét, tájékozott és egyértelműnek kell lennie. Az önkéntesen adott beleegyezés megszerzése érdekében azt önálló döntés alapján kell megadni. Az „önkéntes” elem valódi választási lehetőséget jelent az érintett számára. Bármilyen nem megfelelő nyomás vagy befolyásoló tényező, amely befolyásolhatja a választás eredményét, érvénytelenné teszi a beleegyezést. Ezzel a jogi szöveg figyelembe vesz bizonyos egyensúlyhiányt az adatkezelő és az érintett között. Például egy munkáltató-munkavállaló viszonyban: A munkavállaló attól tarthat, hogy a beleegyezés megtagadása súlyos negatív következményekkel járhat a munkaviszonyára nézve, ezért a beleegyezés csak néhány kivételes esetben lehet a feldolgozás jogalapja. Emellett érvényesül az úgynevezett „összekapcsolási tilalom” vagy az „összekapcsolás vagy kötés tilalma”. Ezért egy szerződés teljesítése nem tehető függővé további személyes adatok feldolgozásához való beleegyezés megszerzésétől, amelyek nem szükségesek a szerződés teljesítéséhez.

Annak érdekében, hogy a hozzájárulás tájékozott és konkrét legyen, az érintettet legalább értesíteni kell az adatkezelő személyéről, arról, hogy milyen típusú adatokat fognak kezelni, hogyan fogják azokat felhasználni, és az adatkezelési műveletek céljáról, amely ‘funkciókúszás’ elleni védelemként szolgál. Az érintettet tájékoztatni kell arról is, hogy bármikor visszavonhatja a hozzájárulását. A visszavonásnak ugyanolyan egyszerűnek kell lennie, mint a hozzájárulás megadásának. Adott esetben az adatkezelőt tájékoztatni kell az adatok automatizált döntéshozatalra történő felhasználásáról, az adattovábbításból eredő esetleges kockázatokról, amelyek megfelelőségi határozat vagy egyéb megfelelő biztosítékok hiánya miatt állnak fenn.

A hozzájárulást egy vagy több meghatározott célhoz kell kötni, amelyeket aztán kellően meg kell magyarázni. Ha a hozzájárulásnak különleges kategóriájú személyes adatok kezelését kell legitimálnia, az érintett számára nyújtott tájékoztatásban erre kifejezetten utalnia kell.
Mindig világos megkülönböztetést kell tenni az előzetes tájékoztatáson alapuló hozzájáruláshoz szükséges információk és más szerződéses ügyekről szóló információk között.

Végül, de nem utolsósorban, a hozzájárulásnak egyértelműnek kell lennie, ami azt jelenti, hogy nyilatkozatot vagy egyértelmű, beleegyező cselekedetet igényel. A hozzájárulás nem lehet hallgatólagos, és mindig valamilyen aktív tevékenységgel, nyilatkozattal vagy aktív mozdulattal kell történnie, hogy ne legyen félreértés abban, hogy az érintett hozzájárult az adott adatkezeléshez. Ennek ellenére nincs formai követelmény a hozzájáruláshoz, bár az írásbeli hozzájárulás ajánlott az adatkezelő elszámoltathatósága miatt. Ezért elektronikus formában is adható. Ebben a tekintetben a gyermekek és serdülők hozzájárulása az információs társadalommal kapcsolatos szolgáltatásokhoz különleges eset. Azok számára, akik 16 évnél fiatalabbak, további hozzájárulás vagy engedély szükséges a szülői felügyeletet gyakorló személytől. Az életkorhatárra rugalmassági záradék vonatkozik. A tagállamok alacsonyabb életkort is megállapíthatnak nemzeti joguk által, feltéve, hogy az életkor nem alacsonyabb 13 éves kor alatt. Amikor a szolgáltatási ajánlat kifejezetten nem gyermekeknek szól, mentesül ezen szabály alól. Azonban ez nem vonatkozik azokra az ajánlatokra, amelyek mind gyermekeket, mind felnőtteket megcéloznak.

Amint látható, a hozzájárulás nem csodafegyver a személyes adatok feldolgozása terén. Különösen tekintettel arra, hogy az európai adatvédelmi hatóságok világossá tették, „hogy ha az adatkezelő a hozzájárulásra támaszkodik a feldolgozás bármely részére, fel kell készülnie arra, hogy tiszteletben tartja ezt a döntést, és leállítja a feldolgozás azon részét, ha az egyén visszavonja a hozzájárulását.” Szigorúan értelmezve ez azt jelenti, hogy az adatkezelő nem válthat át a hozzájárulás jogalapjáról a jogos érdek jogalapjára, miután az érintett visszavonja hozzájárulását. Ez akkor is érvényes, ha kezdetben egy érvényes jogos érdek létezett. Ezért a hozzájárulást mindig a személyes adatok feldolgozásának utolsó lehetőségeként kell választani.