Zgoda, czyli prawo do samostanowienia informacyjnego, to jedna z przesłanek legalności przetwarzania danych osobowych w kontekście RODO. Po 25 maja każdy z nas zdecyduje kto, kiedy i w jaki sposób będzie mógł przetwarzać nasze dane osobowe. Rzecz jasna, będziemy mogli również takiej zgody nie wyrazić, tym samym nie pozwalając na legalne przetwarzanie danych osobowych. Jednak by zgoda była prawidłowa, musi dojść do spełnienia kilku warunków – wyrażenie woli musi być dobrowolne, konkretne, świadome i jednoznaczne.

Zgoda w RODO musi być autonomiczną decyzją

Zgoda w ujęciu RODO bardzo jasno realizuje autonomię informacyjną, uregulowaną w Konstytucji RP oraz w Karcie Praw Podstawowych Unii Europejskiej pozwalając obywatelom UE na podjęcie autonomicznej decyzji w zakresie zgody na przetwarzanie danych osobowych>: „Zgoda powinna być wyrażona w drodze jednoznacznej, potwierdzającej czynności, która wyraża odnoszące się do określonej sytuacji dobrowolne, świadome i jednoznaczne przyzwolenie osoby, których dane dotyczą, na przetwarzanie dotyczących jej danych osobowych.” (Art. 7 RODO).

Jak prawidłowo wyrazić zgodę?

Czytając Rozporządzenie uzyskujemy informację, że zgoda „ma na przykład formę pisemnego (w tym elektronicznego) lub ustnego oświadczenia”. Wśród przykładowych form na wyrażenie zgody wymienić można:

• zaznaczenie okienka wyboru w trakcie przeglądania strony www,
• wybór ustawień technicznych do korzystania z usług społeczeństwa informacyjnego,
• inne zachowanie jasno wskazujące akceptację proponowanego przetwarzania.

Kiedy zgoda uzyskiwana jest w sposób nieprawidłowy?

RODO definiuje również, jak zgody NIE NALEŻY zdobywać. Przykłady, o których czytamy w Rozporządzeniu to:

• milczenie,
• okienka domyślnie zaznaczone,
• niepodjęcie działania nie może oznaczać zgody.

Różne cele czynności przetwarzania = 1 zgoda?

Przetwarzanie danych osobowych może służyć różnym celom. By uzyskać zgodę w takiej sytuacji, niezbędna będzie zgoda na wszystkie cele, którym służy przetwarzanie.

Zgoda dobrowolna, konkretna, świadoma i jednoznaczna, czyli jaka?

W art. 4 RODO, definicja zgody brzmi: „ „zgoda” osoby, której dane dotyczą oznacza dobrowolne, konkretne, świadome i jednoznaczne okazanie woli, którym osoba, której dane dotyczą, w formie oświadczenia lub wyraźnego działania potwierdzającego, przyzwala na przetwarzanie dotyczących jej danych osobowych;”. Definicja kładzie mocny nacisk na 4 przymiotniki:

• dobrowolne,
• konkretne,
• świadome,
• jednoznaczne,

czyli jakie? Przyjrzyjmy się temu.

Dobrowolne okazanie woli

RODO przedstawia kilka okoliczności, w których zgoda nie będzie wyrażona dobrowolnie. Mowa tu o sytuacjach gdy:

• osoba nie może odmówić ani wycofać zgody bez niekorzystnych konsekwencji,
• osoba nie może jej wyrazić oddzielnie dla różnych operacji przetwarzania,
• od wyrażenia zgody zależy wykonanie umowy.

Konkretne okazanie woli

W tej sytuacji wrócimy do jednego z powyższych akapitów. By zgoda została wyrażona w sposób właściwy, jeśli przetwarzanie danych osobowych ma różne cele, niezbędne będzie otrzymanie zgód na każdy z tych celów.

Świadome okazanie woli

Jak wspomnieliśmy wcześniej, Administrator ma obowiązek powiadomić osobę o możliwości wycofania zgody na przetwarzanie danych osobowych. Łączy się to ze świadomością zgody. Ponadto, osoba, która ma wyrazić zgodę, musi znać tożsamość Administratora oraz cel przetwarzania, czyli podjąć decyzję w pełni świadomie.

Jednoznaczne okazanie woli

By zgoda była wyrażona prawidłowo, RODO zaleca, by jednoznacznie wskazać, że podmiot udziela zgody na przetwarzanie danych osobowych. Treść zgody musi być przedstawiona w łatwo dostępnej, zrozumiałem formie przy użyciu jasnego i prostego języka. Tylko wtedy wyrażający zgodę, zrobi to świadomie i podejmie jednoznaczną decyzję, nie budzącej wątpliwości.

Czy zgodę można wycofać?

Zgodnie z RODO, osoba, której dane dotyczą, może w każdej chwili wycofać zgodę w równie łatwy sposób, jak ją wyrazić. Takie zachowanie (wycofanie zgody) nie wpływa na zgodność z prawem przetwarzania, do którego służyła uprzednio uzyskana zgoda. Zresztą Administrator ma konieczność poinformowania o tym, zanim uzyska zgodę.

O czym musi pamiętać Administrator Danych Osobowych?

Uzyskanie zgody przez Administratora Danych Osobowych to szereg czynności, które musi spełnić, by zgoda była prawidłowa w kontekście RODO. Wywiązując się z obowiązku informacyjnego musi przedstawić:

• dane kontaktowe administratora i Inspektora Ochrony Danych,
• czas, przez który dane będą przechowywane,
• wytyczne odnośnie sprostowania, usunięcia lub ograniczenia przetwarzania,
• wytyczne odnośnie możliwości cofnięcia zgody.

A co ze starymi zgodami?

Obecnie zgody uzyskane zostały na podstawie ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych. W jej myśl wystarczyło powiadomić kto będzie administratorem danych, jaki będzie cel przetwarzania oraz zaznaczyć dobrowolność zgody. Jak możemy przeczytać we wcześniejszych akapitach, RODO wprowadza sporo zmian. Czy w związku z tym, stare zgody, od 25 maja, będą nieprawidłowe?

Niestety, w Rozporządzeniu nie pojawia się wprost informacja w tym temacie. Jednak z motywu 171 RODO wynika, że zgody udzielone przed 24 maja 2018 r. będą prawidłowe, jeśli będą zgodne z RODO – wówczas nie trzeba pozyskiwać nowej „Jeżeli przetwarzanie ma za podstawę zgodę w myśl dyrektywy 95/46/WE, osoba, której dane dotyczą, nie musi ponownie wyrażać zgody, jeżeli pierwotny sposób jej wyrażenia odpowiada warunkom niniejszego rozporządzenia”. W przeciwnym wypadku nie obejdzie się bez pozyskania nowych zgód, zgodnych z RODO.