RODO – Zgoda

Przetwarzanie danych osobowych jest zazwyczaj zabronione, chyba że jest wyraźnie dozwolone przez prawo lub osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie. Chociaż zgoda jest jednym z bardziej znanych podstaw prawnych przetwarzania danych osobowych, jest tylko jedną z sześciu podstaw wymienionych w Ogólnym rozporządzeniu o ochronie danych (RODO). Pozostałe to: umowa, obowiązki prawne, żywotne interesy osoby, której dane dotyczą, interes publiczny i uzasadniony interes, jak określono w art. 6 ust. 1 RODO.

Podstawowe wymagania dotyczące skuteczności ważnej zgody prawnej są określone w artykule 7 i doprecyzowane w motywie 32 RODO. Zgoda musi być wyrażona dobrowolnie, konkretnie, świadomie i jednoznacznie. Aby uzyskać zgodę wyrażoną dobrowolnie, musi być ona udzielona na zasadzie dobrowolności. Element „dobrowolny” oznacza realny wybór ze strony podmiotu danych. Jakikolwiek element nieodpowiedniej presji lub wpływu, który mógłby wpłynąć na wyniki tego wyboru, czyni zgodę nieważną. W ten sposób tekst prawny uwzględnia pewną nierównowagę między administratorem a podmiotem danych. Na przykład w relacji pracodawca-pracownik: Pracownik może obawiać się, że jego odmowa wyrażenia zgody może mieć poważne negatywne konsekwencje dla jego relacji zawodowej, w związku z czym zgoda może być uzasadnioną podstawą przetwarzania tylko w kilku wyjątkowych sytuacjach. Dodatkowo obowiązuje tzw. „zakaz wiązania” lub „zakaz sprzężenia”. W związku z tym wykonanie umowy nie może być uzależnione od zgody na przetwarzanie dalszych danych osobowych, które nie są potrzebne do realizacji tej umowy.

Aby zgoda była poinformowana i szczegółowa, osoba, której dane dotyczą, musi być przynajmniej powiadomiona o tożsamości administratora, jaki rodzaj danych będzie przetwarzany, jak będą one używane oraz celu operacji przetwarzania jako zabezpieczenia przed „pełzaniem funkcji”. Osoba, której dane dotyczą, musi być również poinformowana o prawie do wycofania zgody w dowolnym momencie. Wycofanie zgody musi być równie łatwe, jak jej udzielenie. W odpowiednich przypadkach administrator musi również poinformować o używaniu danych do zautomatyzowanego podejmowania decyzji, możliwych ryzykach związanych z transferem danych z powodu braku decyzji stwierdzającej odpowiedni stopień ochrony lub innych odpowiednich zabezpieczeń.

Zgoda musi być związana z jednym lub kilkoma określonymi celami, które muszą być następnie dostatecznie wyjaśnione. Jeśli zgoda ma legitymizować przetwarzanie szczególnych kategorii danych osobowych, informacje dla podmiotu danych muszą wyraźnie się do tego odnosić.
Zawsze musi być wyraźne rozróżnienie między informacjami potrzebnymi do świadomej zgody a informacjami o innych kwestiach umownych.

Ostatni, ale nie mniej ważny, to fakt, że zgoda musi być jednoznaczna, co oznacza, że wymaga ona oświadczenia lub wyraźnego działania afirmatywnego. Zgoda nie może być domniemana i musi być zawsze wyrażona za pośrednictwem opcji opt-in, deklaracji lub aktywnego działania, aby nie było nieporozumień w kwestii, czy osoba, której dane dotyczą, wyraziła zgodę na konkretne przetwarzanie. Należy zauważyć, że nie ma wymogu formy co do zgody, nawet jeśli zalecane jest uzyskanie pisemnej zgody ze względu na odpowiedzialność administratora. Może być więc udzielona również w formie elektronicznej. W tym kontekście zgoda dzieci i młodzieży w odniesieniu do usług społeczeństwa informacyjnego jest szczególnym przypadkiem. Dla osób poniżej 16 roku życia wymagana jest dodatkowa zgoda lub autoryzacja ze strony osoby sprawującej władzę rodzicielską. Granica wiekowa podlega klauzuli elastyczności. Państwa członkowskie mogą przewidzieć w prawie krajowym niższy wiek, pod warunkiem, że będzie on nie niższy niż 13 lat. Kiedy oferta usług jest wyraźnie nie skierowana do dzieci, jest zwolniona z tej zasady. Jednakże nie dotyczy to ofert skierowanych zarówno do dzieci, jak i dorosłych.

Jak widać, zgoda nie jest cudownym rozwiązaniem, jeśli chodzi o przetwarzanie danych osobowych. Szczególnie biorąc pod uwagę, że europejskie organy ochrony danych wyraźnie stwierdziły, „że jeśli administrator zdecyduje się polegać na zgodzie na jakąś część przetwarzania, musi być gotów uszanować ten wybór i zaprzestać tej części przetwarzania, jeśli osoba fizyczna wycofa zgodę.” Ściśle interpretując, oznacza to, że administratorowi nie wolno przejść z podstawy prawnej zgody na uzasadniony interes, gdy osoba, której dane dotyczą, wycofa swoją zgodę. Dotyczy to nawet sytuacji, gdy początkowo istniał uzasadniony interes. Dlatego zgoda powinna być zawsze wybierana jako ostatnia opcja przetwarzania danych osobowych.