Nowe regulacje w zakresie ochrony danych osobowych coraz bliżej. W trakcie przygotowań i weryfikacji, niezbędnej do wdrożenia RODO nie można zapominać o najważniejszym z punktu widzenia legalności przetwarzania danych osobowych aspekcie- o zgodzie osoby fizycznej 🙂 Czy zmieni się sposób udzielania zgody ? Będzie można ją odwołać? Co z już udzielonymi zgodami ? Oto lista zmian w zakresie zgody na przetwarzanie danych osobowych.

Już na samym wstępie dzisiejszego wpisu z radością zapowiadamy nowy cykl na RODOkompasie – ” W ZGODZIE z RODO „, gdzie w lutym obierzemy kierunek na wszystkie aspekty jakie są związane z wyrażeniem zgody przez osoby fizyczne. Pod wnikliwą RODOlupą znajdą się cechy jakie musi mieć zgoda po 25 maja 2018 – oczywiście każda z osobna (dziś zostaną one wskazane jedynie hasłowo). Wyjaśnimy jak poprawnie zbierać zgody i czego unikać w tym procesie 🙂.

Wymaga się aby, przy przetwarzaniu danych osobowych (zaznaczmy- nie tylko dla zbierania i przechowywania, ale także by można było dokonywać na nich rozmaitych operacji) administrator legitymował się ważną podstawą prawną dla takiego działania. Jedną z nich, zarówno na gruncie jeszcze obowiązującej ustawy o ochronie danych osobowych jak i RODO, wśród innych podstaw do przetwarzania danych, jest właśnie ZGODA🙂

Dziś nie będziemy porównywać zgody z obecnej ustawy i z rozporządzenia- skupimy się na tym jak zgoda będzie wyglądać po 25 maja 2018 r 🙂.

Zgoda po nowemu

Definicja zgody w RODO zawarta jest w artykule 4 ust 11.

Zgoda w rozporządzeniu występuje jako „dobrowolne, konkretne, świadome i jednoznaczne okazanie woli, którym osoba, której dane dotyczą, w formie oświadczenia lub wyraźnego działania potwierdzającego, przyzwala na przetwarzanie dotyczących jej danych osobowych. ” Ponadto do zgody odnosi się art. 6 – poprzez zawarcie zgody jako jednej z przesłanek dla podstaw zgodności przetwarzania z prawem. Dodatkowe wytyczne zawiera art. 7 (w zakresie formy wyrażenia i cofnięcia zgody) oraz motywy 32, 33, 42, 43. Zgoda też nie jest dana raz na zawsze. Jest to decyzja odwracalna osoby fizycznej, może być bowiem ona w każdym czasie cofnięta.

Kiedy podstawą może być zgoda?

Zgoda to odpowiednia podstawa prawna, wówczas, gdy osoba, której dane dotyczą, ma zapewnione sprawowanie kontroli oraz rzeczywistą możliwość wyboru, co do zaakceptowania lub odrzucenia proponowanych warunków bądź też ich odrzucenia bez negatywnych dla siebie konsekwencji. Co to zatem oznacza? Osoba fizyczna musi mieć możliwość kontroli nad tym czy jej dane osobowe będą przetwarzane czy też nie. Iluzoryczność takiej kontroli osoby fizycznej oznacza w zasadzie nieważność zgody jako podstawy samej w sobie przetwarzania danych = niezgodności z prawem przetwarzania. Administratorzy zanim rozpoczną masowe zbieranie zgód, muszą przeanalizować czy w danym procesie to nie zgoda lecz inna podstawa prawna jest przesłanką do przetwarzania. Pochopne opieranie się na zgodzie jest błędne.

Administratorzy muszą jednak pamiętać o dodatkowych wymogach jakie RODO od nich wymaga, których celem jest zapewnienie, że uzyskują i posiadają i są w stanie wykazać ważną zgodę osoby fizycznej. Jeżeli osoba fizyczna wyraża swoją zgodę poprzez pisemne oświadczenie, które w swojej treści dotyczy także innych kwestii (np. zgoda zawarta jest w umowie), to zapytanie o zgodę musi być tak przedstawione alby można było je wyraźnie odróżnić od pozostałych kwestii. Ważnym też jest aby zachować zrozumiałą i łatwo dostępną formę. Zapytanie o zgodę musi być sformułowane jasnym i prostym językiem. W przeciwnym razie zgoda nie będzie wiążąca.

Tak samo jak udzielenie zgody zapewnione i to równie łatwe co samo wyrażenie przyzwolenia na przetwarzanie, musi być wycofanie zgody. Osoba fizyczna w każdym momencie może odmówić aprobaty dla przetwarzania jej danych osobowych. O tym prawie należy osobę której dane dotyczą poinformować zanim wyrazi na to zgodę. Z wycofaniem zgody wiąże się także prawo do bycia zapomnianym (art. 17 RODO). Jednym z przypadków korzystania z tego prawa jest sytuacja w której osoba fizyczna wycofała swoją zgodę na przetwarzanie jej danych i nie ma innej podstawy prawnej pozwalającej admiratorowi na dalsze przetwarzanie. Skorzystanie z tego prawa oznacza de facto usunięcie danych osoby fizycznej bez zbędnej zwłoki administratora.

Zgoda ogranicza obowiązki administratora?

Otóż nie ! Uzyskanie zgody nie „wyłącza” zobowiązań administratora danych osobowych do przestrzegania w dalszym ciągu zasad przetwarzania zawartych w RODO:

• rzetelności

• konieczności

• proporcjonalności

• jakości

Przykładowo gdy przetwarzanie jest oparte na zgodzie, nie oznacza to prawa do gromadzenia danych, które nie jest konieczne dla określonego cel przetwarzania a przez to jest nierzetelne.

Co z udzielonymi już zgodami?

Nie wymaga się rzecz jasna od administratorów automatycznego całkowitego zbierania zgód na nowo. Muszą jednak oni dokonać szczegółowej analizy obecnego procesu i rejestrów przed 25 maja 2018 r. i sprawdzenia czy na tle RODO są spełnione wszystkie przesłanki ważności zgody- czy „stara” zgoda odpowiada nowym przepisom. Jeżeli tak, to administrator może być spokojny- nie trzeba zbierać zgód na nowo. Czujność budzić powinien w administratorach obowiązek wykazania ważności zgody. RODO odmawia domniemana dla zgód, wobec których nie przechowuje się informacji czy też które były oparte na takiej formie działania osoby której dane dotyczą jak chociażby ignorowanie już zaznaczonych pól wyrażenia zgody w formularzu. W takich sytuacjach zgody będą musiały być zebrane na nowo.

Jak widać dokładna znajomość nowych przepisów w zakresie zgody osoby fizycznej na przetwarzanie jej danych jest niezwykle kluczowa. Zapraszamy zatem do śledzenia lutowego cyklu artykułów poświęconych szczegółowym zagadnieniom związanych z tą przesłanką przetwarzania.

Wpis nie stanowi porady ani opinii prawnej w rozumieniu przepisów prawa  oraz ma charakter wyłącznie  informacyjny. Stanowi  wyraz poglądów jego  autora na tematy prawnicze związane z treścią przepisów prawa, orzeczeń sądów, interpretacji organów państwowych i publikacji prasowych. Kancelaria Ostrowski i Wspólnicy Sp.K. i autor wpisu nie ponoszą odpowiedzialności za ewentualne skutki decyzji podejmowanych na jego podstawie.