W poprzednich artykułach wskazaliśmy, w jaki sposób zagwarantować dobrowolność i konkretność zgody. W dzisiejszym artykule poruszamy kolejną, równie istotną przesłankę legalnej zgody – świadomość.

Co w zasadzie oznacza świadomość zgody?

O świadomej zgodzie możemy mówić wówczas, gdy osoba posiada pewne minimum informacji, które pozwalają jej ocenić na co faktycznie się godzi. Oznacza to, że przed zaznaczeniem danego checkboxa (udzieleniem zgody), administrator powinien przedstawić taki zestaw informacji, który pozwala zrozumieć osobie fizycznej przede wszystkim kto, po co, w jaki sposób i w jakim celu chce przetwarzać jej dane oraz konsekwencje udzielonej zgody, w tym uświadomienie o możliwość jej wycofania w każdym czasie. Tym samym, gwarantem tego elementu zgody jest spełnienie obowiązku informacyjnego zgodnie z przepisami RODO.

Obowiązek informacyjny zawiera szerszy zakres informacji niż ten, który jest wymagany do uznania, iż zgoda została udzielona świadomie (wskazany powyżej). Grupa Robocza Art. 29 ds. Ochrony Danych w swoich wytycznych[1] wskazała bowiem minimalne wymogi, które są kluczowe do dokonania wyboru, a tym samym gwarantujące świadomość zgody. Oczywiście w tym momencie nie namawiamy do niewykonania obowiązku informacyjnego (wręcz przeciwnie: zalecamy, bo jest on obligatoryjny i wręcz niezbędny niczym powietrze! 🙂), a wskazujemy jedynie,  że podanie chociażby części informacji składających się na ten obowiązek pozwala ocenić, że administrator pozyskał świadomą zgodę 🙂

Minimalne wymogi świadomości zgody

Jak wskazuje Grupa Robocza Art. 29 ds. Ochrony Danych do uzyskania ważnej zgody wymagane są co najmniej następujące informacje:

• tożsamość administratora, czyli dane go identyfikujące w sposób możliwie precyzyjny,

• wskazanie podmiotów, którym dane będą przekazywane,

• wskazanie celu/celów, którym mają służyć dane,

• wskazanie, o podanie jakich konkretnie danych zwraca się administrator,

• o możliwości wycofania zgody w każdym czasie,

•  wyjaśniające wykorzystywanie danych do decyzji opartych jedynie na zautomatyzowanym przetwarzaniu, w tym profilowaniu – jeżeli administrator zwróci się o udzielenie zgody w takim zakresie,

• o możliwych zagrożeniach związanych z przekazywaniem danych do krajów trzecich w przypadku braku decyzji stwierdzającej odpowiedni stopień ochrony oraz odpowiednich zabezpieczeń – jeżeli administrator chciałby przekazywać dane do krajów trzecich.

Czy samo przekazanie informacji jest wystarczające?

Faktem jest, że kluczowym działaniem gwarantującym spełnienie wymogu świadomości zgody jest podanie wskazanych powyżej informacji. Należy jednakże pamiętać, aby zachować odpowiednią formę i treść.  RODO co prawda nie określa formy, w jakiej informacje powinny być przekazane w celu spełnienia wymogu świadomej zgody. Zgodnie z zasadą rozliczalności wynikającą z RODO, zasadne jest jednakże zachowanie formy pisemnej, aby możliwe było wykazanie spełnienia tego wymogu. Jeżeli chodzi o treść, to należy wskazać, iż zarówno treść prośby o udzielenie zgody (klauzuli zgody) jak i wykaz informacji, powinny być sformułowane w jasnym i prostym języku. Treść powinna być zrozumiała dla przeciętnej osoby, w związku z tym administratorzy powinni stronić od prawniczych formułek 🙂

Jak praktycznie zrealizować ten wymóg?

Najlepszym sposobem jest przekazanie obowiązku informacyjnego przed wyrażeniem zgody. Wykaz informacji składających się na obowiązek informacyjny zawiera w sobie bowiem wskazane przez Grupę Roboczą Art. 29 ds. Ochrony Danych minimum informacji gwarantujących świadomość zgody. Ważne, aby wykaz taki miał formę pisemną, a pod wypunktowanymi informacjami znalazł się podpis osoby wyrażającej zgodę (w celu uhonorowania zasady rozliczalności 🙂).  Administratorze, pamiętaj także o prostocie i jasności języka 🙂

W artykule poświęconym dobrowolności zgody wskazywaliśmy, iż administratorzy powinni położyć duży nacisk na dwa aspekty: świadomość przepisów wobec siebie oraz na transparentność wobec osób fizycznych, których danymi chcą się posługiwać. W przypadku świadomości zgody te aspekty pozostają aktualne, jednakże zasadny zdaje się być wniosek, iż świadomość i transparentność powinna być spełniona łącznie wobec osób fizycznych, których danymi administratorzy chcą się posługiwać 🙂

Wpis nie stanowi porady ani opinii prawnej w rozumieniu przepisów prawa  oraz ma charakter wyłącznie  informacyjny. Stanowi  wyraz poglądów jego autora na tematy prawnicze związane z treścią przepisów prawa, orzeczeń sądów, interpretacji organów państwowych i publikacji prasowych. Kancelaria Ostrowski i Wspólnicy Sp.K. i autor wpisu nie ponoszą odpowiedzialności za ewentualne skutki decyzji podejmowanych na jego podstawie.

[1] Wytyczne dotyczące zgody na mocy rozporządzenia 2016/679 przyjęte 28 listopada 2017 r., 17/PL WP259