GDPR – Piekrišana

Personas datu apstrāde parasti ir aizliegta, ja vien to nepārprotami neļauj likums vai datu subjekts nav devis piekrišanu apstrādei. Lai arī piekrišana ir viena no plašāk zināmajām juridiskajām pamatēm personas datu apstrādei, tā ir tikai viena no sešām bāzēm, kas minētas Vispārīgajā datu aizsardzības regulā (GDPR). Pārējās ir: līgums, juridiski pienākumi, datu subjekta vitāli svarīgās intereses, sabiedrības intereses un leģitīmās intereses, kā norādīts GDPR 6. panta 1. daļā.

GDPR 7. pantā ir definētas pamatprasības attiecībā uz derīgas tiesiskas piekrišanas efektivitāti un turpmāk precizētas 32. apsvērumā. Piekrišanai jābūt brīvi dotai, specifiskai, apzinātai un nepārprotamai. Lai iegūtu brīvi dotu piekrišanu, tai jābūt sniegtai brīvprātīgi. Elements “brīvi” nozīmē datu subjekta īstas izvēles iespēju. Jebkurš nepiemērota spiediena vai ietekmes elements, kas varētu ietekmēt tās izvēles iznākumu, padara piekrišanu nederīgu. Tādējādi tiesību teksts ņem vērā noteiktu līdzsvara trūkumu starp pārzini un datu subjektu. Piemēram, darba devēja un darbinieka attiecībās: Darbinieks var uztraukties, ka atteikšanās sniegt piekrišanu varētu nopietni negatīvi ietekmēt viņa darba attiecības, tādējādi piekrišana var būt tiesisks pamats apstrādei tikai dažos izņēmuma gadījumos. Turklāt ir spēkā tā saucamais “saistīšanas aizliegums”. Tādējādi līguma izpilde nedrīkst būt atkarīga no papildu personas datu apstrādes piekrišanas, kas nav nepieciešama šī līguma izpildei.

Lai piekrišana būtu informēta un konkrēta, datu subjektam ir vismaz jābūt informētam par pārziņa identitāti, kāda veida dati tiks apstrādāti, kā tie tiks izmantoti un apstrādes operāciju mērķi kā aizsardzības līdzeklis pret “funkcijas novirzi”. Datu subjektam ir arī jābūt informētam par viņa vai viņas tiesībām jebkurā laikā atsaukt piekrišanu. Atsaukšanai jābūt tikpat vienkāršai kā piekrišanas došanai. Gadījumā, ja tas ir būtiski, pārziņam ir arī jāinformē par datu izmantošanu automatizētai lēmumu pieņemšanai, par iespējamiem riskiem datu pārraidei, ja nav pieņemts lēmums par piemērotību vai citiem atbilstošiem aizsardzības pasākumiem.

Piekrīšanai jābūt saistītai ar vienu vai vairākiem noteiktiem nolūkiem, kuriem pēc tam jābūt pietiekami izskaidrotiem. Ja piekrišanai ir jālegitimē īpašu personas datu kategoriju apstrāde, informācijai par datu subjektu tam skaidri jānorāda.
Vienmēr jābūt skaidrai atšķirībai starp informāciju, kas nepieciešama informētās piekrišanas saņemšanai, un informāciju par citiem līguma jautājumiem.

Visbeidzot, piekrišanai jābūt nepārprotamai, kas nozīmē, ka tā prasa vai nu paziņojumu, vai skaidru apstiprinošu rīcību. Piekrišana nevar būt netieša un tai vienmēr jābūt sniegtai caur izvēles aktivēšanu, paziņojumu vai aktīvu darbību, lai nebūtu pārpratumu, ka datu subjekts ir piekritis konkrētai apstrādei. Tas nozīmē, ka piekrišanai nav nepieciešama noteikta forma, lai gan rakst’veida piekrišana ir ieteicama, ņemot vērā pārziņa atbildību. Tāpēc to var sniegt arī elektroniskā formā. Šajā sakarā bērnu un pusaudžu piekrišana attiecībā uz informācijas sabiedrības pakalpojumiem ir īpašs gadījums. Tiem, kas ir jaunāki par 16 gadiem, ir nepieciešama papildu piekrišana vai atļauja no vecāku atbildības turētāja. Vecuma ierobežojums ir pakļauts elastības klauzulai. Dalībvalstis var paredzēt zemāku vecumu, ko nosaka nacionālie tiesību akti, ja vien šis vecums nav mazāks par 13 gadiem. Kad pakalpojuma piedāvājums ir skaidri neadresēts bērniem, no šī noteikuma tas tiek atbrīvots. Tomēr tas neattiecas uz piedāvājumiem, kas adresēti gan bērniem, gan pieaugušajiem.

Kā redzams, piekrišana nav universāls risinājums personas datu apstrādes kontekstā. Īpaši, ņemot vērā, ka Eiropas datu aizsardzības iestādes ir skaidri norādījušas, “ka, ja pārzinis izvēlas paļauties uz piekrišanu jebkurai apstrādes daļai, viņiem jābūt gataviem ievērot šo izvēli un pārtraukt šo apstrādes daļu, ja persona atsauc savu piekrišanu.” Stingri tulkojot, tas nozīmē, ka pārzinim nav atļauts mainīt juridisko pamatu no piekrišanas uz likumīgajām interesēm, ja datu subjekts atsauc savu piekrišanu. Tas attiecas pat tad, ja sākotnēji pastāvēja pamatota likumīga interese. Tāpēc piekrišana vienmēr būtu jāizvēlas kā pēdējā iespēja personas datu apstrādei.