W niektórych przypadkach przetwarzanie danych osobowych przez firmy oraz instytucje jest możliwe wyłącznie po uzyskaniu zgody osoby, której te dane dotyczą. Czym jest i jak w praktyce może ona zostać wyrażona? Jakie są możliwości związane ze zbieraniem oraz dokumentowaniem zgód? Sprawdźmy!
1. Czym jest zgoda na przetwarzanie danych w rozumieniu RODO?
Zgoda na przetwarzanie danych osobowych jest jedną z przesłanek wskazanych w RODO, dzięki której można legalnie przetwarzać dane osobowe.
Zgodnie z przepisami zgoda na przetwarzanie danych osobowych to dobrowolne, konkretne, świadome i jednoznaczne okazanie woli, którym osoba, której dane dotyczą, w formie oświadczenia lub wyraźnego działania potwierdzającego, przyzwala na przetwarzanie dotyczących jej danych osobowych.
Zgoda musi być więc:
- dobrowolna –nie można stosować przymusu w celu uzyskania takiej zgody, osoba której dane dotyczą powinna mieć możliwość odmowy;
- konkretna – pytanie o zgodę musi być zrozumiałe i zwięzłe, a w jej klauzuli powinien zostać określony cel przetwarzania danych (wraz z ich zakresem), jeżeli zaś przetwarzanie służy różnym celom, potrzebna jest zgoda na wszystkie te cele;
- świadoma – osoba wyrażająca zgodę podejmuje decyzje w sposób świadomy, powinna także znać tożsamość administratora oraz zostać poinformowana prostym językiem, czego dotyczy przetwarzanie danych osobowych;
- jednoznaczna – nie mogą pojawiać się żadne wątpliwości związane z intencją osoby, która wyraziła zgodę, a jej treść powinna wyróżniać się na tle pozostałych treści danego formularza;
- możliwa do wycofania w każdym czasie– osoba, której dane dotyczą, jest o tym informowana, zanim wyrazi zgodę. Wycofanie zgody musi być równie łatwe jak jej wyrażenie.
Należy zaznaczyć, że zgodnie z prawem, to administrator danych powinien być w stanie wykazać, że osoba, której dotyczy przetwarzanie danych, wyraziła na to zgodę.
Warto podkreślić, że zgoda jest jedynie jedną z kilku możliwych podstaw przetwarzania, zatem nie jest wymagana w każdym przypadku. Jeżeli dane osobowe są wykorzystywane w celu zawarcia lub wykonania umowy, której dana osoba jest jedną ze stron lub gdy dane przetwarzane są na podstawie przepisów prawa, nie ma potrzeby uzyskiwania zgody na przetwarzanie danych.
Najczęściej zgodę taką przedsiębiorca musi uzyskać, gdy chce wysłać nowym klientom niezamówioną ofertę handlowa, informację marketingową, newsletter, czy też wykorzystać wizerunek osoby fizycznej w celach promocyjnych.
Zatem, co do zasady, zgodę powinniśmy wykorzystywać wtedy, gdy nie zaistnieją inne, ważniejsze przesłanki do przetwarzania informacji, o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej.
Wyrażenia zgody nie należy nigdy uznawać za dobrowolne, jeżeli osoba, której dane dotyczą, nie ma rzeczywistego lub wolnego wyboru oraz nie może odmówić ani wycofać zgody bez niekorzystnych konsekwencji.
2. W jaki sposób może być wyrażona zgoda na przetwarzanie danych osobowych?
Wyrażenie zgody na przetwarzanie danych osobowych może mieć formę wyraźnego działania potwierdzającego albo oświadczenia woli. Co to oznacza? Że możliwe jest uzyskanie zgody nie tylko na piśmie z własnoręcznym podpisem. Zgodnie z art. 60 Kodeksu cywilnego, wola osoby dokonującej czynności prawnej może być wyrażona przez każde zachowanie się tej osoby, które ujawnia jej wolę w sposób dostateczny, w tym również przez ujawnienie tej woli w postaci elektronicznej (oświadczenie woli).
W praktyce oznacza to, że zgodę na przetwarzanie danych osobowych można wyrazić na kilka sposobów, między innymi poprzez:
- złożenie podpisu na dokumencie w wersji papierowej;
- złożenie podpisu na dokumencie w wersji elektronicznej;
- zaznaczenie okna wyboru (checkbox) podczas przeglądania witryny internetowej lub kliknięcie w odpowiedni przycisk z wyrażeniem zgody;
- ustnego oświadczenie;
- wybór ustawień np. w przeglądarce internetowej;
- wysłanie wiadomości e-mail ze zgodą na przetwarzanie danych.
Należy przy tym pamiętać, że samo milczenie, okienka domyślnie zaznaczone lub niepodjęcie działania nie mogą być uznane za wyrażenie zgody.
3. Zgoda na czynność a zgoda na przetwarzanie danych – rozpoznawanie rodzajów zgód
Warto zwrócić uwagę, że czym innym jest zgoda na przetwarzanie danych w rozumieniu RODO, a czym innym zgoda na dokonanie danej czynności. Istnieje szereg innych zgód, które należy pozyskiwać od klientów na gruncie obowiązujących przepisów.
Przykładem jest tu zgoda marketingowa wyrażona na podstawie Prawa telekomunikacyjnego lub Ustawy o świadczeniu usług drogą elektroniczną.
Jeśli przedsiębiorca chce wysłać maila informującego np. o nowych produktach do swoich klientów, to zgodnie z RODO podstawą takiego działania nie musi być wyłącznie zgoda na przetwarzanie danych w celu marketingowym (choć oczywiście może). Taką akcję można przeprowadzić w oparciu o uzasadniony interes administratora. Nie zmienia to jednak faktu, że przedsiębiorca powinien, mimo wszystko, dysponować tzw. „zgodą marketingową” tego klienta na gruncie w/w przepisów odrębnych.
Zgodą na dokonanie danej czynności będzie także zgoda na wykonanie zabiegu medycznego w podmiotach leczniczych. Nie oznacza to jednak, że pacjent powinien wyrazić zgodę na przetwarzanie danych osobowych, gdyż lekarz przetwarza jego dane na podstawie właściwych przepisów sektorowych.
Również zgoda na rozpowszechnianie wizerunku danej osoby, w myśl ustawy o prawie autorskim i prawach pokrewnych, nie jest zgodą na przetwarzanie danych w myśl RODO. Tworzymy treść zgody, należy pamiętać, aby zawrzeć w niej informacje zarówno na temat przetwarzania danych (jeśli dotyczy), jak i przepisu odrębnego, który nakazuje nam zebranie określonej zgody.
Często zatem, realizacja kreślonego działania, może wiązać się z koniecznością pozyskania kilku odrębnych od siebie zgód, stąd ważne jest aby poprawnie sformułować ich treść.
4. Nowe technologie w zbieraniu zgód – czy warto z nich korzystać?
Zbieranie, dokumentowanie, archiwizowanie zgód na przetwarzanie danych osobowych często w praktyce okazuje się kosztowne i czasochłonne. Na pomoc przedsiębiorcom przychodzą nowe rozwiązania technologiczne. Mowa tu między innymi o tabletach wyposażonych w specjalne systemy albo aplikacje do zbierania zgód. Bardzo przydatne okazują się technologie e-podpisów czy NFC/RFID, które ułatwiają proces digitalizowania dokumentów i ograniczają koszty związane z ich przechowywaniem.
Czy warto korzystać z nowych technologii?
Z pewnością znacznie ułatwiają one nie tylko zbieranie, ale i dokumentowanie zgód na przetwarzanie danych osobowych. Dzięki temu usprawniają funkcjonowanie firm, czy instytucji oraz ułatwiają w praktyce wywiązanie się z obowiązków narzuconych przez RODO i ustawy szczególne.
Wdrażając jednak nowe rozwiązanie, każdy administrator powinien pamiętać, że powinno ono spełniać wymogi RODO w zakresie bezpieczeństwa, w tym w szczególności zachowania poufności, dostępności i integralności danych, warto zatem, zanim zdecydujemy się na zastosowanie nowej technologii, upewnić się, że jej dostawca jest w stanie wykazać zgodność z przepisami RODO.
