Czym jest zgoda w przypadku danych osobowych i kiedy jest wymagana?

Zgoda w ochronie danych osobowych to dobrowolne, konkretne, świadome i jednoznaczne okazanie woli, które pozwala na zgodne z prawem przetwarzanie danych dla jasno wskazanego celu. Jest jedną z sześciu równorzędnych podstaw prawnych przetwarzania, ale nie jest wymagana zawsze, ponieważ administrator w pierwszej kolejności ocenia, czy nie zachodzi inna przesłanka legalizująca, taka jak wykonanie umowy lub obowiązek prawny. Zgoda powinna być stosowana zwłaszcza wtedy, gdy osoba ma realny wybór i może odmówić bez negatywnych konsekwencji.

Czym jest zgoda w rozumieniu RODO?

Zgoda według RODO to wyrażone oświadczeniem lub wyraźnym działaniem potwierdzającym przyzwolenie na przetwarzanie dotyczących osoby danych, pod warunkiem że jest dobrowolna, konkretna, świadoma i jednoznaczna. To podstawowa definicja, która wymaga aktywnego działania i wyklucza domniemanie woli.

W kontekście systemu prawnego RODO zgoda to jedna z sześciu podstaw legalizujących przetwarzanie obok wykonania umowy, obowiązku prawnego, ochrony żywotnych interesów, zadania realizowanego w interesie publicznym oraz prawnie uzasadnionych interesów administratora. Każdorazowo musi być powiązana z jasno określonym celem oraz zakresem danych i nie może maskować innych operacji przetwarzania.

Kiedy zgoda jest wymagana?

Zgoda jest właściwą podstawą wtedy, gdy osoba, której dane dotyczą, ma rzeczywisty wybór, może odmówić bez szkody oraz gdy brak jest innej odpowiedniej przesłanki legalizującej przetwarzanie. Dotyczy to zwłaszcza sytuacji, w których prawo wprost wymaga zgody albo gdy administrator planuje działania wykraczające poza niezbędność dla umowy czy obowiązku prawnego.

Zgoda musi zostać uzyskana przed rozpoczęciem przetwarzania, którego dotyczy, co oznacza, że bez aktywnego potwierdzenia nie wolno podejmować operacji na danych dla danego celu. Administrator ma obowiązek móc wykazać, że zgoda została udzielona zgodnie z RODO, w tym kiedy, w jaki sposób i na co została wyrażona.

Kiedy zgoda nie jest odpowiednią podstawą?

Zgoda nie jest wymagana zawsze i nie powinna być wybierana automatycznie. Jeśli przetwarzanie jest konieczne do wykonania umowy, wynika z obowiązku prawnego lub opiera się na innej adekwatnej przesłance, należy zastosować tę przesłankę zamiast zgody. Próba oparcia przetwarzania na zgodzie w warunkach braku realnej dobrowolności może prowadzić do nieważności zgody.

W relacjach, w których istnieje nierównowaga stron, dobrowolność może być trudna do wykazania, dlatego częściej zasadne jest poszukiwanie innej podstawy prawnej, zgodnej z celem i zakresem planowanych operacji na danych. Zgoda nie może też być włączona do ogólnych warunków w sposób ukryty ani uzależniać dostępu do usługi od przetwarzania, które nie jest niezbędne do jej świadczenia.

Jakie warunki musi spełniać ważna zgoda?

Ważna zgoda jest dobrowolna, konkretna, świadoma, jednoznaczna i odwoływalna. Dobrowolność oznacza realną możliwość odmowy bez konsekwencji. Konkretność wymaga powiązania z jasno określonym celem. Świadomość zakłada przekazanie informacji o administratorze, celach, rodzaju danych i prawie do wycofania. Jednoznaczność wymaga aktywnego działania. Odwoływalność oznacza, że zgodę można cofnąć w dowolnym momencie.

Brak reakcji, milczenie, bezczynność, domyślnie zaznaczone pola lub samo korzystanie z usługi nie stanowią prawidłowej zgody, ponieważ nie obejmują wyraźnego działania potwierdzającego. Jeżeli przetwarzanie obejmuje kilka niezależnych celów, zgoda powinna być rozdzielona i udzielana osobno dla każdego z nich.

Jak przygotować informację o zgodzie?

Komunikat o zgodzie powinien być jasny, zwięzły i sformułowany zrozumiałym językiem, bez klauzul niejednoznacznych. Powinien określać tożsamość administratora, cele przetwarzania, rodzaj danych oraz informować o prawie do wycofania zgody. Jeżeli występuje zautomatyzowane podejmowanie decyzji lub profilowanie, informacja o tym musi być przekazana przed udzieleniem zgody.

Polityka prywatności pełni funkcję informacyjną i nie zastępuje aktywnego potwierdzenia woli. Zgoda nie może być ukryta w regulaminie ani wiązana z czynnościami, które nie są konieczne dla realizacji podstawowego świadczenia.

Jak prawidłowo uzyskać i udokumentować zgodę?

Uzyskanie zgody wymaga aktywnego działania osoby, której dane dotyczą. Zgoda musi poprzedzać przetwarzanie, być niezależna dla odrębnych celów i powiązana z jednoznacznym komunikatem. Administrator powinien wdrożyć interfejs i mechanizmy, które ułatwiają zrozumienie treści zgody oraz pozwalają na jej udzielenie bez presji i bez domyślnych zaznaczeń.

Rozliczalność wymaga utrzymywania dowodu, że zgoda została udzielona prawidłowo. Rejestr zgód powinien obejmować co najmniej datę, treść komunikatu, zakres zgody i sposób jej udzielenia oraz umożliwiać weryfikację, kto i na co wyraził zgodę. Administrator powinien okresowo weryfikować, czy treść zgody nadal odpowiada aktualnym celom i czy nie nastąpiła zmiana, która wymaga ponownego zebrania zgody.

Jak działa wycofanie zgody?

Osoba może wycofać zgodę w dowolnym momencie, w prosty sposób, który nie jest bardziej uciążliwy niż jej udzielenie. Wycofanie nie może powodować negatywnych konsekwencji i powinno być zrealizowane szybko, z poszanowaniem praw osoby. Po wycofaniu zgody administrator zaprzestaje przetwarzania danych w zakresie, w jakim opierało się ono wyłącznie na zgodzie, chyba że wskaże inną adekwatną podstawę prawną.

Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania, które miało miejsce przed jej cofnięciem. Dalsze przechowywanie danych może być dopuszczalne, jeśli wynika to z innych przepisów lub jest konieczne do ustalenia, dochodzenia lub obrony roszczeń, z poszanowaniem zasad minimalizacji i ograniczenia przechowywania.

Jaka jest rola zgody przy danych szczególnych i dzieciach?

Przetwarzanie danych szczególnych kategorii, takich jak zdrowie czy biometria, wymaga spełnienia dodatkowych warunków, a niekiedy uzyskania zgody wyraźnej, która musi wynikać z wyraźnego oświadczenia, a nie jedynie z ogólnego działania użytkownika. W tych przypadkach standardy jasności komunikatu oraz jednoznaczności działania są szczególnie rygorystyczne.

W przypadku usług społeczeństwa informacyjnego oferowanych bezpośrednio dziecku zgoda jest co do zasady ważna od ukończenia 16 lat, przy czym państwa członkowskie mogą obniżyć ten próg, nie niżej niż do 13 lat, co wymaga uwzględnienia regulacji krajowych przy ocenie ważności zgody na przetwarzanie danych osobowych dziecka.

Dlaczego zgoda nie legalizuje wszystkiego?

Nawet prawidłowo zebrana zgoda nie zwalnia administratora z przestrzegania zasad legalności, rzetelności, przejrzystości, ograniczenia celu, minimalizacji danych, ograniczenia przechowywania, integralności i poufności oraz rozliczalności. Dane zebrane dla jednego celu nie mogą być używane dla innego celu niezgodnego z pierwotnym, a zakres danych powinien pozostawać nie większy niż to konieczne.

Zgoda na działania marketingowe nie jest tożsama ze zgodą na przetwarzanie danych w rozumieniu RODO, ponieważ obowiązują również przepisy dotyczące komunikacji elektronicznej i telemarketingu. Dodatkowo przy plikach cookie i podobnych technologiach zgoda może być wymagana niezależnie od wybranej podstawy z RODO z uwagi na regulacje dotyczące prywatności w łączności elektronicznej.

Jak zarządzać zgodami w organizacji?

Skuteczne zarządzanie zgodami zaczyna się od identyfikacji celu i dobrania właściwej podstawy prawnej, a następnie od przygotowania przejrzystego komunikatu oraz mechanizmu udzielania i wycofywania zgody. Każdy niezależny cel powinien posiadać własną klauzulę i własny rejestr zgód.

Administrator utrzymuje kontrolę dostępu do danych, prowadzi rejestr zgód, monitoruje zmiany w treści komunikatów oraz dba o retencję, czyli ustala okres przechowywania danych zgodny z celem i podstawą prawną. Po wycofaniu zgody przetwarzanie oparte na zgodzie jest wstrzymywane, a dalsze działania są dopuszczalne tylko wtedy, gdy istnieje inna ważna podstawa prawna oraz są zgodne z zasadami RODO.

Co jest bezwzględnie niedozwolone przy zgodzie?

Niedozwolone jest stosowanie domyślnie zaznaczonych pól, brak realnej możliwości odmowy, łączenie zgody z niezbędnym dostępem do usługi, ukrywanie zgody w złożonych dokumentach oraz uznawanie braku reakcji za potwierdzenie woli. Tego typu praktyki naruszają wymogi jednoznaczności, dobrowolności i przejrzystości.

Niedopuszczalne jest także rozpoczynanie przetwarzania przed uzyskaniem zgody oraz brak możliwości jej łatwego wycofania. Administrator musi zawsze móc wykazać, że zgoda została pozyskana i zarządzana zgodnie z wymogami RODO, w tym w zakresie treści, czasu i zakresu.