GDPR – Sutikimas

Asmens duomenų tvarkymas paprastai yra draudžiamas, nebent tai aiškiai leidžia įstatymai arba duomenų subjektas davė sutikimą jų tvarkymui. Nors tai yra viena iš labiau žinomų teisinių pagrindų asmens duomenų tvarkymui, sutikimas yra tik viena iš šešių pagrindų, paminėtų Bendrojo duomenų apsaugos reglamento (BDAR). Kitos yra: sutartis, teisiniai įsipareigojimai, esminiai duomenų subjekto interesai, viešasis interesas ir teisėti interesai, kaip nurodyta BDAR 6(1) straipsnyje.

Pagrindiniai galiojančio teisinio sutikimo veiksmingumo reikalavimai apibrėžti BDAR 7 straipsnyje ir toliau detalizuoti 32 konstatuojamojoje dalyje. Sutikimas turi būti duotas laisva valia, konkretus, informuotas ir nedviprasmiškas. Norint gauti sutikimą duotą laisva valia, jis turi būti duotas savanoriškai. Elementas „laisva“ reiškia, kad duomenų subjektas turi tikrą pasirinkimo galimybę. Bet koks netinkamo spaudimo ar įtakos elementas, galintis paveikti pasirinkimo rezultatą, daro sutikimą negaliojančiu. Tai darydamas, teisinis tekstas atsižvelgia į tam tikrą nesubalansuotumą tarp valdytojo ir duomenų subjekto. Pavyzdžiui, darbdavio-darbuotojo santykiuose: Darbuotojas gali nerimauti, kad atsisakymas duoti sutikimą gali turėti rimtų neigiamų pasekmių jo darbo santykiams, todėl sutikimas gali būti teisėtas pagrindas tvarkyti tik keliais išimtiniais atvejais. Be to, taikomas vadinamasis „siejimo draudimas“ arba „draudimas sieti ar pinti“. Taigi sutarties vykdymas negali būti priklausomas nuo sutikimo tvarkyti tolesnius asmeninius duomenis, kurie nėra būtini sutarties vykdymui.

Kad sutikimas būtų informuotas ir konkretus, duomenų subjektas turi bent jau būti informuotas apie duomenų valdytojo tapatybę, kokie duomenys bus tvarkomi, kaip jie bus naudojami ir tvarkymo operacijų tikslas kaip apsauga nuo ‘funkcijos dreifo’. Duomenų subjektas taip pat turi būti informuotas apie savo teisę bet kada atsiimti sutikimą. Atšaukimas turi būti toks pat lengvas kaip ir sutikimo davimas. Jei taikoma, duomenų valdytojas taip pat privalo informuoti apie duomenų naudojimą automatizuotam sprendimų priėmimui, galimas duomenų perdavimo rizikas dėl tinkamumo sprendimo nebuvimo arba kitų tinkamų apsaugos priemonių.

Sutikimas turi būti susietas su vienu ar keliomis nurodytomis tikslais, kurie turi būti tinkamai paaiškinti. Jei sutikimas turėtų teisinti specialių kategorijų asmens duomenų tvarkymą, informaciją duomenų subjektui reikia aiškiai paminėti.
Turi būti aiškus skirtumas tarp informacijos, reikalingos informuotam sutikimui, ir informacijos apie kitus sutartinius klausimus.

Paskutinis, bet ne mažiau svarbus dalykas yra tas, kad sutikimas turi būti nedviprasmiškas, tai reiškia, kad jis reikalauja arba pareiškimo, arba aiškaus teigiamo veiksmo. Sutikimas negali būti numanomas ir visada turi būti suteiktas per pasirinkimo patvirtinimą, pareiškimą ar aktyvų veiksmą, kad nebūtų nesusipratimų, jog duomenų subjektas sutiko su konkrečiu tvarkymu. Nepaisant to, sutikimui nėra formos reikalavimo, nors rašytinis sutikimas yra rekomenduojamas dėl duomenų valdytojo atskaitomybės. Todėl jis gali būti suteiktas ir elektronine forma. Šiuo atžvilgiu vaikų ir paauglių sutikimas, susijęs su informacinės visuomenės paslaugomis, yra ypatingas atvejis. Tiems, kurie yra jaunesni nei 16 metų, yra papildomas sutikimo ar įgaliojimo reikalavimas iš tėvų atsakomybės turėtojo. Amžiaus riba yra numanoma lankstumo sąlyga. Valstybės narės, vadovaudamosi nacionaliniais teisės aktais, gali nustatyti žemesnį amžių, jei toks amžius nėra mažesnis nei 13 metų. Kai paslauga aiškiai nėra skirta vaikams, ji yra atleidžiama nuo šios taisyklės. Tačiau tai netaikoma pasiūlymams, kurie skirti tiek vaikams, tiek suaugusiems.

Kaip matyti, sutikimas nėra universalus sprendimas, kai kalbama apie asmens duomenų tvarkymą. Ypač atsižvelgiant į tai, kad Europos duomenų apsaugos institucijos aiškiai nurodė, jog „jei valdytojas nusprendžia remtis sutikimu bet kuriai duomenų tvarkymo daliai, jis privalo būti pasirengęs gerbti šį pasirinkimą ir nutraukti tą tvarkymo dalį, jei asmuo atšaukia sutikimą.” Griežtai interpretuojant, tai reiškia, kad valdytojui neleidžiama pereiti nuo teisinio pagrindo sutikimo prie teisėto intereso, kai duomenų subjektas atšaukia savo sutikimą. Tai galioja net jei iš pradžių buvo galiojantis teisėtas interesas. Todėl sutikimas visada turėtų būti pasirenkamas kaip paskutinė galimybė asmens duomenų tvarkymui.