Wśród szeregu obowiązków, jakie narzuciło na przedsiębiorców RODO, znajduje się uzyskanie zgody na przetwarzanie danych osobowych. Taki obowiązek może wprowadzić nie lada chaos, jeżeli nie będziemy posiadać podstawowej wiedzy. Niniejszy artykuł poświęcony jest głównym zasadom dotyczącym zgody na przetwarzanie danych osobowych. Dowiecie się z niego między innymi, kiedy zgoda jest wymagana i jak należy ją pozyskiwać.
Często popełniane błędy
Na początek zwróćmy uwagę na sytuacje, które bywają szczególnie trudne dla administratorów danych osobowych. Administratorem danych osobowych jest osoba (podmiot), która ustala cele przetwarzania danych, np. potrzeby, dla jakich dane mają być zbierane lub archiwizowane.
Często prosimy o wyrażenie zgody na przetwarzanie danych w sytuacjach, w których nie jest ona konieczna. Udzielenie zgody, jak się okazuje, nie zawsze jest wymagane. Zgoda nie jest nam potrzebna m.in. wtedy, gdy:
- przetwarzania danych wymaga sytuacja prawna (istnieje obowiązek prawny przetwarzania danych),
- dane przetwarzane są w sprawach dotyczących realizacji umowy bądź usługi,
- firma posiada uzasadniony interes przetwarzania danych osobowych. Może nim być na przykład zapewnienie bezpieczeństwa, do którego się zobowiązujemy jako administratorzy danych.
Sytuacje, które nie wymagają wyrażenia zgody na przetwarzanie danych osobowych to na przykład złożenie zamówienia w sklepie internetowym. Podczas jego składania widzimy adnotację, że dokonując zakupu jednocześnie akceptujemy regulamin (słusznie) ale i wyrażamy zgodę na przetwarzanie danych osobowych. Dlaczego jest to błąd? Ponieważ dajemy wówczas nieprawdziwe wrażenie, które sugeruje, że zgoda jest skuteczna i można ją odwołać. W sytuacjach, gdy umowa wymaga przetwarzania danych i nie ma innej możliwości jej realizacji – adnotacja o wyrażeniu zgody na przetwarzanie danych jest niepotrzebna.
Jaka powinna być zgoda na przetwarzanie danych osobowych?
Czy powyższe pytanie nie brzmi nieco dziwnie? Otóż okazuje się, że zgoda na przetwarzanie danych osobowych powinna spełniać szereg warunków i posiadać kilka niezbędnych cech, które wymieniamy poniżej.
- Konkretność – zgoda nie może być zbyt ogólna i poddawać w wątpliwość fakt, w jakim celu została wyrażona (lub też nie). Informacja dotycząca wyrażenia wspomnianej zgody powinna zawierać informację – komu przekazujemy nasze dane do przetwarzania, w jakim celu i zakresie.
- Świadomość – osoba, którą pytamy o zgodę na przetwarzanie jej danych osobowych musi posiadać wszelkie niezbędne informacje dotyczące przetwarzania przez nas jej danych. Nie można pozostawić tej kwestii obojętnie – człowiek wyrażający zgodę powinien mieć pełną świadomości, na co dokładnie się godzi i z czym (z jaką podstawą prawną, z jakim okresem przechowywania danych, z jakimi odbiorcami) się to wiąże.
- Dobrowolność – zgoda na przetwarzanie danych osobowych musi koniecznie być wyrażona dobrowolnie, nie może być wymuszona na użytkowniku. W sytuacji, gdy nie zadbamy o ten podpunkt – osoba zastanawia się, czy brak wyrażenia zgody nie sprawi, że poniesie ona jakieś konsekwencje. Nie możemy uzależnić realizacji podstawowego celu przetwarzania – np. dostarczenia zamówienia w sklepie on-line od wyrażenia zgody na zupełnie dodatkowy newsletter z informacjami o nowościach w tym sklepie.
- Jednoznaczność – wyrażenie zgody musi odbyć się w formie niepozostawiającej jakichkolwiek wątpliwości. Zgoda musi być więc wyraźna – wyrażona w formie TAK lub NIE lub w formie checkboxów, które możemy dowolnie zaznaczyć zyskując pewność, czy zgodę wyraziliśmy, czy też nie. W ten sposób unikniemy sytuacji, w której klient może zarzucić, że nie wyrażał żadnej zgody.
Obowiązek wykazania posiadanej zgody
Administrator danych osobowych ma obowiązek kontrolowania wszystkich warunków dotyczących wyrażania zgody. Musimy być w stanie jednoznacznie udowodnić, że właściciel danych wyraził zgodę, byśmy te dane przetwarzali. Co ważne – ustawodawca zobowiązuje nas, by poinformować użytkownika nie tylko o wszystkim, czego dotyczy sama zgoda, ale także o możliwości jej wycofania. Należy pamiętać, że w przypadku osób, które nie osiągnęły jeszcze 16. roku życia wyrażana zgoda musi być potwierdzona przez rodzica lub opiekuna prawnego.
Właściciel danych osobowych musi być poinformowany o wszystkich szczegółach, o których mówi art. 13 rozporządzenia o ochronie danych osobowych, czyli między innymi znać:
- nasz dokładny adres, siedzibę, wszystkie dane kontaktowe;
- cel przetwarzania danych;
- okres przechowywania danych;
- jeżeli powołaliśmy Inspektora Ochrony Danych – także jego pełne dane.
