RODO a zgoda na przetwarzanie danych osobowych
Przesłanki legalizujące przetwarzanie danych osobowych są niezbędne, aby móc zagwarantować, że przetwarzanie odbywa się zgodnie z prawem. Jedną z przesłanek legalizujących przetwarzanie danych osobowych według RODO jest zgoda osoby, której dane dotyczą, częstym tego przypadkiem jest klauzula CV.
Zgoda na przetwarzanie danych osobowych a RODO
Artykuł 4 RODO wskazuje, że zgoda powinna mieć charakter dobrowolnego, konkretnego, świadomego i jednoznacznego okazania woli osoby, której dane dotyczą.
W świetle RODO zgoda może przyjąć nie tylko formę oświadczenia, ale również wyraźnego działania potwierdzającego. Zapytanie o zgodę nie może zakłócać korzystania z danej usługi i powinno być wyodrębnione na tle innych treści - zgoda nie może być “wpleciona” w treść regulaminu usługi, umowy itd.
Ogólne rozporządzenie o ochronie danych osobowych wskazuje możliwości wyrażenia zgody w formie pisemnej, elektronicznej lub ustnej. Mechanizm wyrażania zgody może mieć charakter: checkbox’a, ustawienia w profilu, podpisu pod klauzulą, zgody ustnej, bądź jednoznacznego działania. Niezależnie od formy wyrażenia zgody Administrator Danych Osobowych, ma obowiązek poinformowania osoby, której dane dotyczą o swojej tożsamości oraz planowanym celu przetwarzania. Poza wskazaniem danych ADO oraz celu przetwarzania osoba, której dane dotyczą musi zostać poinformowana o możliwości wycofania zgody.
Istotnym elementem wymagań RODO co do zgody na przetwarzanie danych osobowych jest cecha dobrowolności jej wyrażenia. Dobrowolność oznacza sytuacje, w których zgoda na przetwarzanie nie jest uzależniona od wykonania umowy, czy świadczenia usług, jeśli przetwarzanie danych osobowych nie jest niezbędne do wykonania tej umowy. Osobie wyrażającej zgodę należy zagwarantować rzeczywisty i wolny wybór w momencie jej udzielenia oraz brak niekorzystnych konsekwencji w momencie jej wycofania.
W aktualnym porządku prawnym nie ma konieczności zbierania dowodów potwierdzających uzyskanie zgody. Jednak w momencie, w którym ADO przetwarza dane na podstawie zgody ale nie posiada z tego tytułu dowodu jest to równoznaczne z tym, że nie dysponuje podstawą prawną pozwalającą na przetwarzanie danych osobowych.
Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania, które odbywało się na podstawie zgody przed jej wycofaniem. Warto zwrócić uwagę na fakt, iż rozporządzenie o ochronie danych osobowych nakłada na ADO obowiązek zapewnienia, że wycofanie zgody jest tak łatwe jak jej wyrażenie. Administrator musi przewidzieć mechanizm wycofania zgody już na etapie planowania procesu przetwarzania danych osobowych.
W praktyce oznacza to ustalenie kanałów komunikacji w celu wycofania zgody, najczęściej tymi samymi kanałami komunikacji, w których zgoda została pozyskana. Jeżeli zgoda została wyrażona poprzez formularz na stronie internetowej, w którym osoba odznacza tzw. checkboxy, w dodatkowej zakładce powinna się pojawić możliwość wycofania zgody. W przypadku udzielenia zgody w rozmowie telefonicznej, ADO powinien umożliwić wycofanie zgody za pomocą tego kanału komunikacyjnego. Łatwość wycofania zgody ma za zadanie nie dopuszczać do sytuacji, w których zgodę można udzielić za pomocą kilku kliknięć na stronie internetowej, natomiast aby ją wycofać należy wystosować oświadczenie w formie listu wysłanego tradycyjną pocztą.
Zgoda na przetwarzanie danych osobowych dziecka
Nowe przepisy w obszarze ochrony danych osobowych regulują warunki wyrażania zgody w przypadku usług społeczeństwa informacyjnego, oferowanych bezpośrednio dziecku. Zgodnie z Artykułem 8 RODO, jeżeli zastosowanie ma zgoda na przetwarzanie danych osobowych, w przypadku usług społeczeństwa informacyjnego oferowanych bezpośrednio dziecku, zgodne z prawem jest przetwarzanie danych osobowych dziecka, które ukończyło 16 lat. W przypadku dzieci poniżej 16 roku życia zgodę na przetwarzanie ich danych osobowych muszą wyrazić osoby sprawujące władzę rodzicielską lub opiekę nad dzieckiem.
Państwa członkowskie realizujące wymagania RODO mogą ustalić w swoim prawie niższą granicę wieku - musi ona wynosić co najmniej 13 lat.
Klauzula CV - zgoda na przetwarzanie danych w procesie rekrutacji
Istotną kwestią dotyczącą zgody na przetwarzanie danych osobowych jest zbieranie zgody w procesie rekrutacji pracownika. Należy informować kandydatów do pracy o konieczności umieszczania zgody na przetwarzanie danych osobowych przez potencjalnego pracodawcę. Tzw. klauzula CV jest niezbędna, aby pracodawca mógł skorzystać z przesłanego dokumentu w procesie rekrutacji. Zgoda wyrażona przez kandydata jest równoznaczna z możliwością wykorzystania danych wyłącznie w celu aplikowania na jedno konkretne stanowisko. W przypadku chęci wykorzystania danych w innym procesie rekrutacji niezbędne jest poinformowanie o tym kandydata. Zgoda powinna znaleźć się zarówno w CV, jak i liście motywacyjnym przesyłanym przez kandydata. Praktyką jest umieszczanie jej jako dolnej stopki w dokumencie. Rozporządzenie nie narzuca konkretnej treści wyrażenia zgody na przetwarzanie danych osobowych osoby ubiegającej się o rekrutację, daje jednak przykłady jak może wyglądać. Przeczytaj więcej na ten temat w osobnym artykule dotyczącym klauzul w CV.
Profilowanie - nowa zgoda na przetwarzanie danych osobowych
Rozporządzenie unijne wprowadza również wymagania dotyczące działań Administratorów związanych z profilowaniem. Podmioty, które zamierzają profilować swoich klientów, użytkowników czy pracowników powinny zapewnić, że profilowanie prowadzone jest w oparciu o jedną z podstaw przetwarzania danych np. zgodę. Potwierdzenie tego odnaleźć można w opinii Grupy Roboczej Art. 29, która wskazuje, że profilowanie indywidualnych osób, ujawniające ich osobiste preferencje powinno zostać poprzedzone uzyskaniem zgody osoby, której dane dotyczą.
Żądanie usunięcia danych osobowych - jak zrealizować swoje prawa?
Aktualność zgody wyrażonej w oparciu o ustawę o ochronie danych osobowych
Po 25 maja 2018 roku Administratorzy Danych Osobowych będą mogli korzystać ze zgód zebranych na podstawie obecnej ustawy o ochronie danych osobowych. Pozostaje jeden warunek - zgody te muszą spełniać warunki ich wyrażenia przewidziane w nowych przepisach. ADO, którzy zbierali zgody, zgodnie z wymaganiami UODO oraz uwzględniali stanowiska GIODO oraz orzecznictwo, nie będą zmuszeni zbierać nowych zgód.
Podstawowym elementem niezgodności między formą zgody według UODO a RODO jest wyrażenie zgody w sposób nieświadomy oraz brak dobrowolności.
Jako wzór zgody oraz obowiązku informacyjnego będącego podstawą do przetwarzania danych osobowych umieszczanych przez osoby w formularzu kontaktowym na stronie internetowej wskazujemy poniższe zapisy:
Wyrażam zgodę na przetwarzanie danych osobowych przez (nazwa firmy) z siedzibą w (adres firmy) w celu przesyłania treści marketingowych na mój adres e-mail podany powyżej w formularzu kontaktowym.
Informujemy, że Państwa zgoda może zostać cofnięta w dowolnym momencie przez wysłanie wiadomości e-mail na adres naszego ABI/IOD (adres e-mail) spod adresu, którego zgoda dotyczy. Informujemy, że nie jesteście Państwo profilowani. Państwa dane nie będą przekazywane poza EOG ani udostępniane organizacjom międzynarodowym.
Podsumowanie
Zmiany, które obejmują swoim zakresem kwestie zgody na przetwarzanie danych osobowych nie stanowią rewolucji wobec aktualnych wymagań w tym obszarze. RODO ma za zadanie uszczegółowić regulacje w kontekście warunków wyrażenia zgody oraz doprowadzić do przetwarzania danych osobowych zgodnie z prawem i zachowaniem odpowiednich dowodów tego przetwarzania.
Pamiętajmy, że brak zgód lub zbieranie ich w sposób niezgodny z wymaganiami RODO może narazić Administratorów na bardzo wysokie kary finansowe.
Poszukujesz wsparcia w obszarach ochrony danych osobowych? Sprawdź nasze główne usługi:
Sprawdź również:
.png)
