Zgoda stanowi w świetle RODO jedną z przesłanek pozwalających na legalne przetwarzanie danych osobowych. Pojęcie zgody jest przez nową regulację UE definiowane jako dobrowolne, konkretne, świadome i jednoznaczne okazanie woli, którym osoba, której dane dotyczą, w formie oświadczenia lub wyraźnego działania potwierdzającego, przyzwala na przetwarzanie dotyczących jej danych osobowych.
Przepisy RODO zwracają szczególną uwagę na jednoznaczność, świadomość, konkretność i dobrowolność wyrażenia zgody.
Zgoda powinna być wyrażona w drodze jednoznacznej, potwierdzającej czynności, która wyraża odnoszące się do określonej sytuacji dobrowolne, świadome i jednoznaczne przyzwolenie osoby, których dane dotyczą, na przetwarzanie dotyczących jej danych osobowych i która ma na przykład formę pisemnego (w tym elektronicznego) lub ustnego oświadczenia. Może to polegać na zaznaczeniu okienka wyboru podczas przeglądania strony internetowej, na wyborze ustawień technicznych do korzystania z usług społeczeństwa informacyjnego lub też na innym oświadczeniu bądź zachowaniu, które w danym kontekście jasno wskazuje, że osoba, której dane dotyczą, zaakceptowała proponowane przetwarzanie jej danych osobowych.
W rozporządzeniu wskazano też w sposób jednoznaczny, że milczenie, okienka domyślnie zaznaczone lub niepodjęcie działania nie mogą oznaczać wyrażenia zgody.
Jednoznaczność zgody
Musi istnieć jednoznaczne wskazanie, że podmiot, którego dane są przetwarzane udziela zgody na takie działania. Treść zgody powinna zostać sformułowana w taki sposób, by nie ulegało żadnym wątpliwościom, że dana osoba udzieliła swojego pozwolenia na określone działanie administratora danych.
Dobrowolność zgody
Według zapisów RODO wyrażenia zgody nie można uznać za dobrowolne, jeżeli osoba, której dane dotyczą nie ma rzeczywistego lub wolnego wyboru oraz nie może odmówić ani wycofać zgody bez niekorzystnych konsekwencji.
Zgoda nie jest również uznawana za dobrowolną, jeżeli nie można jej wyrazić oddzielnie na różne operacje przetwarzania danych osobowych, mimo że w danym przypadku byłoby to stosowne. Kolejnym przypadkiem, w którym zgoda nie jest dobrowolna jest sytuacja, w które od jej wyrażenia uzależnione jest wykonanie umowy.
Konkretność zgody
Zgoda powinna być zawsze udzielona w odniesieniu do poszczególnego celu, w jakim dane są przetwarzane. Jeżeli te same dane przetwarzane są w różnych celach, to wymagane jest uzyskanie osobnych zgód na przetwarzanie dla każdego z celów.
Świadomość zgody
Osoby, których dane są przetwarzane muszą zostać poinformowane o tożsamości administratora danych oraz celach, w jakich dane będą przetwarzane. Należy upewnić się, że dana osoba jest świadoma zakresu zgody (np. w przypadku gdy dane mogą być udostępniane podmiotom trzecim).
Zgodnie z wymaganiami RODO, osoby, których dane są przetwarzane muszą przed wyrażeniem zgody zostać poinformowane o swoim prawie do jej wycofania w każdej chwili.
Forma udzielenia zgody
Według regulacji RODO zgoda może zostać udzielona w formie oświadczenia lub wyraźnego działania potwierdzającego przyzwolenie na przetwarzanie dotyczących jej danych osobowych (wyraźnego działania tej osoby).
Jeżeli osoba, której dane dotyczą, ma wyrazić zgodę w odpowiedzi na elektroniczne zapytanie, zapytanie takie musi być jasne, zwięzłe i nie zakłócać niepotrzebnie korzystania z usługi, której dotyczy.
Ciężar dowodu
W przypadku wątpliwości co do tego czy zgoda została wyrażona, to do obowiązków administratora danych należy udowodnienie, że osoba, której dane są przetwarzane udzieliła takiej zgody (jeżeli przetwarzanie odbywa się na podstawie zgody). Podmiot przetwarzający powinien zatem upewnić się, że jest w stanie udokumentować, iż posiada odpowiednie zgody wszystkich osób, których dane przetwarza.
Wycofanie zgody
Każda osoba, która wyraziła zgodę musi mieć możliwość wycofania jej w każdej chwili. O możliwości tej powinna zostać poinformowana przed wyrażeniem zgody. Wycofanie zgody musi być równie proste jak jej udzielenie.
Dotychczas pozyskane zgody
Ze stanowiska ogłoszonego przez GIODO wynika, że zgody na przetwarzanie danych osobowych zebrane na podstawie ustawy o ochronie danych osobowych nie tracą ważności. Należy się jednak upewnić, czy zostały pozyskane zgodnie z wymaganiami określonymi w RODO, tak by zapewnić osobom wyrażającym zgodę swobodę wyboru. Zgoda, która dotychczas została pozyskana, jest nadal ważna, o ile jest ona zgodna z warunkami określonymi w rozporządzeniu.
Odpowiedz