GDPR – Privolitev

Obdelava osebnih podatkov je na splošno prepovedana, razen če je izrecno dovoljena z zakonom ali če je posameznik, na katerega se nanašajo osebni podatki, privolil v obdelavo. Čeprav je privolitev ena izmed bolj znanih pravnih podlag za obdelavo osebnih podatkov, je le ena od šestih podlag, omenjenih v Splošni uredbi o varstvu podatkov (GDPR). Druge so: pogodba, pravne obveznosti, življenjski interesi posameznika, javni interes in zakoniti interesi, kot je navedeno v členu 6(1) GDPR.

Osnovne zahteve za učinkovitost veljavnega pravnega soglasja so opredeljene v 7. členu in podrobneje opredeljene v uvodni izjavi 32 GDPR. Soglasje mora biti dano prostovoljno, specifično, informirano in nedvoumno. Da bi dosegli prostovoljno dano soglasje, mora biti dano na prostovoljni osnovi. Element “prostovoljno” pomeni resnično izbiro posameznika, na katerega se nanašajo osebni podatki. Vsak element neprimernega pritiska ali vpliva, ki bi lahko vplival na rezultat te izbire, naredi soglasje neveljavno. Pri tem pravni tekst upošteva določeno neravnovesje med upravljavcem in posameznikom, na katerega se podatki nanašajo. Na primer, v odnosu delodajalec-zaposleni: zaposleni se lahko skrbi, da bi njegova zavrnitev soglasja lahko imela resne negativne posledice na njegov delovni odnos, zato je lahko soglasje zakonita osnova za obdelavo le v nekaj izjemnih okoliščinah. Poleg tega velja tako imenovana “prepoved vezave”. Tako izvedba pogodbe ne sme biti odvisna od soglasja za obdelavo nadaljnjih osebnih podatkov, ki niso potrebni za izvedbo te pogodbe.

Da je privolitev obveščena in specifična, mora biti posameznik, na katerega se nanašajo osebni podatki, vsaj obveščen o identiteti upravljavca, kakšne vrste podatkov bodo obdelovani, kako bodo uporabljeni in namen obdelave kot zaščita pred ‘razširitvijo funkcije’. Posameznik mora biti tudi obveščen o svoji pravici, da kadarkoli umakne privolitev. Umik mora biti enako enostaven kot dajanje privolitve. Kjer je ustrezno, mora upravljavec tudi obvestiti o uporabi podatkov za avtomatizirano sprejemanje odločitev, morebitnih tveganjih prenosa podatkov zaradi odsotnosti ustrezne odločbe ali drugih ustreznih zaščitnih ukrepov.

Soglasje mora biti povezano z enim ali več določenimi nameni, ki morajo biti nato dovolj pojasnjeni. Če naj bi soglasje predstavljalo pravno podlago za obdelavo posebnih kategorij osebnih podatkov, mora biti informacija za posameznika, na katerega se podatki nanašajo, izrecno usmerjena na to.
Vedno mora biti jasna razlika med informacijami, potrebnimi za informirano soglasje, in informacijami o drugih pogodbenih zadevah.

Na koncu, soglasje mora biti nedvoumno, kar pomeni, da zahteva bodisi izjavo ali jasno potrdilno dejanje. Soglasja ni mogoče nakazati in vedno mora biti dano z možnostjo opt-in, izjavo ali aktivnim dejanjem, tako da ni nesporazuma, da je posameznik, na katerega se podatki nanašajo, privolil v določeno obdelavo. Kljub temu ni obrazca, ki bi bil potreben za soglasje, četudi je pisno soglasje priporočljivo zaradi odgovornosti upravljavca. Zato ga je mogoče dati tudi v elektronski obliki. V zvezi s tem je soglasje otrok in mladostnikov v povezavi s storitvami informacijske družbe poseben primer. Za tiste, ki so mlajši od 16 let, je potrebno dodatno soglasje ali pooblastilo osebe, ki ima starševsko odgovornost. Starostna meja je odvisna od klavzule o prilagodljivosti. Države članice lahko predpišejo nižjo starost z nacionalno zakonodajo, če ta starost ni nižja od 13 let. Ko je ponudba storitve izrecno ne naslovljena na otroke, je izvzeta iz tega pravila. Vendar to ne velja za ponudbe, ki so naslovljene na otroke in odrasle.

Kot je razvidno, privolitev ni čudežna rešitev za obdelavo osebnih podatkov. Zlasti če upoštevamo, da so evropski organi za varstvo podatkov jasno povedali, “da če upravljavec izbere privolitev za kateri koli del obdelave, mora biti pripravljen spoštovati to izbiro in prenehati z delom obdelave, če posameznik umakne privolitev.” Strogo interpretirano to pomeni, da upravljavec ne sme preiti z pravne podlage privolitve na zakoniti interes, ko posameznik umakne privolitev. To velja tudi, če je zakoniti interes sprva obstajal. Zato bi morala biti privolitev vedno zadnja možnost za obdelavo osebnih podatkov.