Kiedy jest potrzebna zgoda na przetwarzanie danych osobowych?
Zgoda na przetwarzanie danych osobowych to kluczowa formalność, wymagana przez RODO. Nie we wszystkich sytuacjach jest ona jednak konieczna, a jej sposoby jej uzyskania mogą się różnić. Sprawdź, co konkretnie mówią przepisy o ochronie danych i jak zastosować je w praktyce.
Czym są dane osobowe
Warto najpierw dowiedzieć się, czego dokładnie dotyczy zgoda. Według rozporządzenia RODO „dane osobowe” oznaczają:
informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej („osobie, której dane dotyczą”); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej
Wymogi zgody na przetwarzanie danych
Zgoda na przetwarzanie danych musi spełniać odpowiednie wymagania. W przeciwnym razie może zostać zakwestionowana jako podstawa do przetwarzania danych osobowych.
Pojęcie zgody osoby, której dotyczą dane, definiuje art. 4 pkt 11 Ogólnego Rozporządzenia o Ochronie Danych Osobowych (RODO).
Oznacza ono dobrowolne, konkretne, świadome i jednoznaczne przyzwolenie osoby, której dane dotyczą, w formie oświadczenia lub wyraźnego działania potwierdzającego, przyzwalającego na przetwarzanie dotyczących jej danych osobowych.
Idąc za tym, zgoda powinna być wyrażona w drodze jednoznacznej, potwierdzającej czynności, która wyraża odnoszące się do określonej sytuacji dobrowolne, świadome i jednoznaczne przyzwolenie osoby, których dane dotyczą, na przetwarzanie dotyczących jej danych osobowych i która ma na przykład formę pisemnego (w tym elektronicznego) lub ustnego oświadczenia.
Wg motywu 32 preambuły RODO może to polegać na zaznaczeniu okienka wyboru podczas przeglądania strony internetowej, na "wyborze ustawień technicznych do korzystania z usług społeczeństwa informacyjnego" lub też na innym oświadczeniu bądź zachowaniu, które w danym kontekście jasno wskazuje, że osoba, której dane dotyczą, zaakceptowała proponowane przetwarzanie jej danych osobowych.
Zgoda powinna dotyczyć wszystkich czynności przetwarzania dokonywanych w tym samym celu lub w tych samych celach. Jeżeli przetwarzanie służy różnym celom, potrzebna jest zgoda na wszystkie te cele.
Jeżeli osoba ma wyrazić zgodę w odpowiedzi na elektroniczne zapytanie, zapytanie takie musi być jasne, zwięzłe i nie zakłócać niepotrzebnie korzystania z usługi, której dotyczy.
Jak czytamy na stronie Urzędu Ochrony Danych Osobowych, zgoda udzielona przed rozpoczęciem przetwarzania danych osobowych powinna być wyrażona wprost, określać osobę, która zgody udziela oraz której dane osobowe mają być udostępnione.
Osoby te muszą wiedzieć, komu udzielają zgody na przetwarzanie danych i jaki jest ich zakres. Powinny też wiedzieć, przez jaki okres i w jakim celu dane te będą przetwarzane
Warunki wyrażenia zgody
Zgoda na przetwarzanie danych osobowych musi spełnić określone warunki, wymienione w RODO.
Sprawdź także: Akta osobowe pracownika. Jedno z najważniejszych narzędzi w dziedzinie zarządzania zasobami ludzkimi
Przede wszystkim, administrator musi być w stanie wykazać, że osoba, której dotyczą dane, wyraziła zgodę na przetwarzanie danych osobowych.
Jeżeli osoba, której dane dotyczą, wyrażą zgodę w pisemnym oświadczeniu, które dotyczy także innych kwestii, zapytanie o zgodę musi zostać przedstawione w sposób pozwalający wyraźnie odróżnić je od pozostałych kwestii, w zrozumiałej i łatwo dostępnej formie, jasnym i prostym językiem. Część takiego oświadczenia osoby, której dane dotyczą, stanowiąca naruszenie niniejszego rozporządzenia nie jest wiążąca.
– art. 7. pkt 2) Ogólnego Rozporządzenia o Ochronie Danych Osobowych.
Poza tym trzeba pamiętać, że w dowolnym momencie można wycofać zgodę na przetwarzanie danych. Musi to być równie łatwe jak jej wyrażenie.
Przepisy nie pozostawiają wątpliwości - oceniając, czy zgodę wyrażono dobrowolnie, w jak największym stopniu uwzględnia się, czy między innymi od zgody na przetwarzanie danych nie jest uzależnione wykonanie umowy, w tym świadczenie usługi, jeśli przetwarzanie danych osobowych nie jest niezbędne do wykonania tej umowy.
Aby zapewnić dobrowolność, zgoda nie powinna stanowić ważnej podstawy prawnej przetwarzania danych osobowych w szczególnej sytuacji, w której istnieje wyraźny brak równowagi między osobą, której dotyczą dane, a administratorem, w szczególności gdy administrator jest organem publicznym i dlatego jest mało prawdopodobne, by w tej konkretnej sytuacji zgodę wyrażono dobrowolnie we wszystkich przypadkach.
Zgoda - ale na jakie dane?
Konieczne jest rozróżnienie zgody na przetwarzanie danych osobowych zwykłych i zgody na przetwarzanie danych szczególnej kategorii.
W przypadku danych osobowych zwykłych (czyli takich danych, które umożliwiają identyfikację osoby fizycznej, przykładowo imię i nazwisko, numer telefonu, adres, adres e-mail, NIP, PESEL) mają zastosowanie przepisy z art. 6 RODO.
Według niego przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy – i w takim zakresie, w jakim – spełniony jest co najmniej jeden z poniższych warunków:
- osoba, której dotyczą dane wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów
- przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy
- przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze
- przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej
- przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi
- przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem
Przepisy RODO skonstruowano tak, że spełnienie zaledwie jednego z powyższych warunków pozwala legalnie przetwarzać dane.
Sprawdź nasz artykuł: Klauzula CV – zgoda na przetwarzanie danych w rekrutacji
Jak zbierać zgody na przetwarzanie szczególnych kategorii danych?
Spraw komplikuje się, gdy chcesz przetwarzać szczególne kategorie danych osobowych. Według art. 9 ust. 1 RODO:
Zabrania się przetwarzania danych osobowych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych oraz przetwarzania danych genetycznych, danych biometrycznych w celu jednoznacznego zidentyfikowania osoby fizycznej lub danych dotyczących zdrowia, seksualności lub orientacji seksualnej tej osoby.
Powyższe dane mogą być przetwarzane, jeśli zostanie spełniony jeden z kilku warunków wymienionych w Rozporządzeniu. Oto jeden z nich:
osoba, której dane dotyczą, wyraziła wyraźną zgodę na przetwarzanie tych danych osobowych w jednym lub kilku konkretnych celach, chyba że prawo Unii lub prawo państwa członkowskiego przewidują, iż osoba, której dane dotyczą, nie może uchylić zakazu, o którym mowa w ust. 1;
– art 9 ust. 2 lit. a) RODO.
Dane osobowe wrażliwe, a dane osobowe zwykłe. Więcej przeczytasz tutaj
Zgoda na przetwarzanie danych osobowych. Cechy zgody
Polska Agencja Rozwoju Przedsiębiorczości w Biuletynie Euro Info (7/2021) wymienia, na czym polegają cechy zgody.
- Dobrowolność zgody – to nic innego jak rzeczywista i wolna od form przymusu/nacisku możliwość dokonania wyboru udzielenia zgody, odmowy udzielenia zgody lub jej cofnięcia na późniejszym etapie przetwarzania danych osobowych.
- Jednoznaczność zgody – osoba fizyczna, która udziela zgody ADO dokonuje tego poprzez złożenie oświadczenia woli lub wyraźne działanie potwierdzające, które nie budzą żadnych wątpliwości co do celu wyrażenia zgody na przetwarzanie danych osobowych (podjęcie celowych działań). Formy wyrażenia woli w postaci wyraźnych działań potwierdzających, nie należy łączyć ze zgodą na przetwarzanie danych osobowych szczególnych kategorii (tutaj pamiętamy o tym, że zgoda ma być wyraźna).
- Konkretność zgody – to jasne określenie, jaki jest cel i zakres przetwarzania danych osobowych przez ADO w kontekście odebranej zgody. Chodzi tutaj o takie cechy jak zrozumiałość, wyraźność i precyzyjność. Zgoda powinna dotyczyć wszystkich czynności przetwarzania dokonywanych w tym samym celu lub w tych samych celach. Jak wyjaśniono w motywie 32 RODO, jeżeli przetwarzanie ma służyć różnym celom, potrzebna jest zgoda na każdy z tych celów.
- Świadomość zgody – wiąże się z przejrzystością przekazania osobie przed odebraniem zgody, informacji w zakresie podejmowanych przez ADO względem tej osoby czynności wpisujących się w proces przetwarzania danych osobowych. Istotnym czynnikiem mogącym wpływać na stan świadomości podmiotu danych jest realizacja obowiązku informacyjnego, dzięki któremu osoba może poznać okoliczności przetwarzania i podjąć decyzję, zdając sobie sprawę z jej następstw
Autorzy przywołują motyw 42 preambuły RODO, gdzie wskazano, że aby wyrażenie zgody było świadome, osoba, której dane dotyczą, powinna znać przynajmniej tożsamość administratora oraz zamierzone cele przetwarzania danych osobowych.
Wymuszenie zgody
Należy pamiętać, że nikt nie ma prawa wymuszać na nikim, by wyraził zgodę na przetwarzanie danych. Taka zgoda jest nieważna.
Warto pamiętać, że z wymuszeniem zgody spotykamy się, gdy klauzula o wyrażeniu zgody znajduje się pomiędzy wieloma innymi punktami umowy. Przykładowo, klauzula o zgodzie na otrzymywanie informacji handlowych nie może znaleźć się we wzorcu wniosku o udzielenie pożyczki pomiędzy innymi postanowieniami oraz formularzem określającym m.in dane osobowe kredytobiorcy. W tak skonstruowanym dokumencie konsument nie ma możliwości odmowy wyrażenia zgody, ponieważ składa podpis pod całością wniosku, przez co jego zgoda nie jest swobodna i niezależna od innych oświadczeń woli (art. 4 ustawy o świadczeniu usług drogą elektroniczną).
– czytamy na stronie UODO.
Urząd podkreśla, że z wymuszeniem zgody mamy również do czynienia, gdy instytucja publiczna lub niepubliczna realizująca zadanie publiczne uzależnia jego realizację od zgody, pomimo że z przepisów wynika uprawnienie lub obowiązek przetwarzania danych dla tych celów.
Przykładowo: podczas rejestracji samochodu w urzędzie, urząd ten nie może żądać od nas wyrażenia zgody i uzależnić od niej wydanie decyzji o rejestracji pojazdu, bo z przepisów i tak wynika obowiązek przetwarzania danych dla tego celu.
Wymuszenia na RODO – czego nie musisz zrobić?
Zgoda na potrzeby badań naukowych
Autorzy rozporządzenia RODO zwrócili uwagę, że w momencie zbierania danych często nie da się w pełni zidentyfikować celu przetwarzania danych osobowych na potrzeby badań naukowych. Dlatego osoby, których dane dotyczą, powinny móc wyrazić zgodę na niektóre obszary badań naukowych, o ile badania te są zgodne z uznanymi normami etycznymi w zakresie badań naukowych. Osoby, których dane dotyczą, powinny móc wyrazić zgodę tylko na niektóre obszary badań lub elementy projektów badawczych, o ile umożliwia to zamierzony cel.
Zgoda na przetwarzanie danych osobowych dziecka
Rozporządzenie RODO reguluje zagadnienia związane z ochroną danych osobowych wszystkich obywateli, w tym także dzieci. Unijny prawodawca położył nacisk na ochronę tej szczególnej kategorii osób, określając zasady przetwarzania danych osobowych dzieci. Precyzyjnie zostały określone warunki uzyskania zgody na przetwarzanie danych osobowych dziecka w celach marketingowych.
Zgodne z RODO jest przetwarzanie danych osobowych dziecka, które ukończyło 16 lat i wyraziło na to zgodę. Zapis dotyczy usług społeczeństwa informacyjnego, oferowanych bezpośrednio dziecku. Więcej na ten temat przeczytasz w naszym artykule.
Zgoda na przetwarzanie danych w celu prowadzenia rekrutacji
Tworząc CV, kluczowe jest dołączenie tzw. "klauzuli RODO", niezbędnej do realizacji procesu rekrutacji zgodnie z przepisami. Pominięcie zgody na przetwarzanie danych praktycznie przekreśla naszą aplikację.
Zgodę na przetwarzanie danych może mieć postać tzw. klauzuli prostej, na potrzeby jednej rekrutacji, lub też klauzuli rozszerzonej, pozwalającej firmie na przetwarzanie informacji zawartych w CV w celu prowadzenia przyszłych rekrutacji.
Ustawienia domyślne
UODO przypomina, że wszelkie modele wykorzystujące bierność, milczenie osoby, której dane dotyczą, lub jej nieuwagę, a także ustawienia domyślne, domyślnie zaznaczone okienka zgód itp., są niedopuszczalne.
Grupa Robocza Art. 29 w Wytycznych dotyczących zgody na mocy rozporządzenia 2016/679 wskazała, że osoba wyrażająca zgodę musi podjąć celowe działanie, aby wyrazić zgodę na określone przetwarzanie jej danych.
To my sami mamy decydować o tym na co się zgadzamy i świadomie to zaznaczać. Tymczasem domyślnie zaznaczone okienka możemy przez nieuwagę i pośpiech pominąć.
– czytamy na stronie UODO.
Zgoda a inne podstawy przetwarzania danych osobowych
Wiele osób jest przekonanych, że jeśli nie wyraziło zgody na przetwarzanie swoich danych osobowych, to nie można tego robić. Jednak według art. 6 RODO dane można przetwarzać na innych podstawach, np. wtedy, gdy jest to niezbędne do wykonania umowy, do wypełnienia obowiązku prawnego ciążącego na administratorze, do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej.
Nasze dane mogą być przetwarzane także wtedy, gdy jest to niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi.
Dopiero gdy nie mają zastosowania powyższe przesłanki, to podstawą do przetwarzania danych osobowych może być zgoda. Należy jednak pamiętać, że niedopuszczalne jest odbieranie zgody na przetwarzanie naszych danych osobowych w przypadku istnienia innej przesłanki legalizacyjnej upoważniającej administratora do przetwarzania danych osobowych w tym samym zakresie i celu.
Takie działanie wprowadza w błąd osobę, która udziela zgody. Jest bowiem przekonana, że to na tej podstawie przetwarzane są jej dane i gdy ja wycofa, to administrator zaprzestanie dalszego przetwarzania. Tymczasem administrator może mieć wręcz obowiązek przetwarzania naszych danych, gdy mają zastosowania przedstawione powyżej przesłanki. Pozyskiwanie zgody w tej sytuacji może więc prowadzić do naruszenia zasady przejrzystości i rzetelności, o których mowa w art. 5 ust. 1 lit a RODO.
– podkreśla UODO.
Łączenie zgód do celów marketingowych?
W przywołanym kilka akapitów wyżej biuletynie Polskiej Agencji Rozwoju Przedsiębiorczości przywołano rozstrzygnięcie Naczelnego Sądu Administracyjnego, które odnosi się do kwestii pozyskania zgody w celu marketingu bezpośredniego.
Sprawa o sygnaturze akt: III OSK 161/21 dotyczyła tego, „czy na gruncie obowiązujących przepisów jest dopuszczalne wyrażenie jednej zgody na dokonywanie przetwarzania danych osobowych w celu marketingu bezpośredniego produktów V. Sp. z o.o. i innych podmiotów należących do grupy kapitałowej "(...)" oraz używanie telekomunikacyjnych urządzeń końcowych i automatycznych systemów wywołujących w celu prowadzenia tego marketingu, o której mowa w art. 172 ust. 1 Ustawy z dnia 16 lipca 2004 r. Prawo telekomunikacyjne.
Naczelny Sąd Administracyjny orzekł, że:
- zawarcie kilku zgód w treści jednego oświadczenia prowadzi do tego, że osoba, której dane dotyczą, nie ma pełnej swobody w dysponowaniu swoimi danymi osobowymi;
- podmiot zwracający się do osoby fizycznej o wyrażenie zgody w celach marketingowych musi to zrobić w sposób wyraźny, jednoznaczny, wyróżniający się spośród innych pochodzących od tego podmiotu informacji i oświadczeń;
- osoba wyrażająca zgodę musi zrozumieć istotę zgody, jej cel i skutki, posiadać pełne rozeznanie konkretnie przez kogo i w jakim ściśle określonym celu jej dane będą przetwarzane.
Czy numer telefonu to dane osobowe? Ważne stanowiska UODO i sądu
Wycofanie zgody
W myśl art. 7 ust. 3 RODO zgoda jest odwoływalna i uprawnienie to przysługuje osobie, której dane dotyczą, w każdym czasie. Osoba ta ma więc prawo w dowolnym momencie wycofać zgodę. Przepis nakłada na administratora obowiązek poinformowania osoby o tym prawie, zanim wyrazi zgodę. Wycofanie zgody musi być tak samo łatwe jak jej wyrażenie.
Dlatego jeżeli np. na stronie internetowej istniał mechanizm do wyrażenia zgody, to powinien być również podobny do jej wycofania. Rozwiązanie takie nie powinno być w żaden sposób ukryte. Podobnie gdy administrator odbierał zgodę drogą mailową czy telefoniczną, to w tym wypadku jej odwołanie powinno być możliwe w ten sam sposób.
Uprawnienie osoby do rzeczywistego wycofania zgody łączy się z wymogiem dobrowolności zgody.
Kary za nieprzestrzeganie przepisów RODO
Nieprzestrzeganie przepisów RODO może skutkować nałożeniem na spółkę administracyjnej kary pieniężnej w wysokości aż do 10 000 000 euro, a w przypadku przedsiębiorstwa w wysokości do 2% jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa, lub w wysokości do 20 000 000 euro, a w przypadku przedsiębiorstwa – w wysokości do 4% jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa.
Więcej na temat kar, które może nałożyć Urząd Ochrony Danych Osobowych przeczytasz tutaj.
.png)
