W praktyce zgoda może być podstawą do przetwarzania danych, gdy nie występują inne przesłanki legalizujące, które są określone w art. 6 ust. 1 RODO. Z przepisu tego wynika, że nasze dane mogą być przetwarzane, gdy jest to niezbędne do wykonania umowy, do wypełnienia obowiązku prawnego ciążącego na administratorze, do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej. Dane można przetwarzać także wtedy, gdy jest to niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi albo administrator musi zrealizować cel wynikający z prawnie uzasadnionych interesów.
Zgoda może być podstawą do przetwarzania danych osobowych dopiero wówczas, gdy nie mają zastosowania wymienione przesłanki legalizacyjne - przypomina Urząd Ochrony Danych Osobowych. Podkreśla przy tym, że niedopuszczalne jest odbieranie zgody na przetwarzanie danych osobowych w przypadku, gdy istnieje inna przesłanka legalizacyjna upoważniająca administratora do przetwarzania danych osobowych w tym samym zakresie i celu.
- Takie działanie wprowadza w błąd osobę, która udziela zgody. Jest bowiem przekonana, że to na tej podstawie przetwarzane są jej dane i gdy ja wycofa, to administrator zaprzestanie dalszego przetwarzania. Tymczasem administrator może mieć wręcz obowiązek przetwarzania naszych danych, gdy mają zastosowania przedstawione przesłanki. Pozyskiwanie zgody w tej sytuacji może więc prowadzić do naruszenia zasady przejrzystości i rzetelności, o których mowa w art. 5 ust. 1 lit a RODO - wskazuje Urząd.
Skuteczna zgoda ograniczona w czasie
Zgoda musi spełniać odpowiednie wymagania, jeśli ma być podstawą przetwarzania danych. W przeciwnym razie może zostać zakwestionowana.
Wedle art. 4 pkt 11 RODO, zgoda osoby, której dotyczą dane, to „dobrowolne, konkretne, świadome i jednoznaczne okazanie woli, którym osoba, której dane dotyczą, w formie oświadczenia lub wyraźnego działania potwierdzającego, przyzwala na przetwarzanie dotyczących jej danych osobowych".
Zgoda udzielona przed rozpoczęciem przetwarzania danych osobowych powinna być: wyrażona wprost, określać osobę, która zgody udziela oraz której dane osobowe mają być udostępnione. Osoby te muszą wiedzieć, komu udzielają zgody na przetwarzanie danych, jaki jest ich zakres. Powinny też wiedzieć, przez jaki okres i w jakim celu dane te będą przetwarzane.
Administrator ma obowiązek zadbać o to, by jego działania były zgodne z zasadami przetwarzania danych osobowych, zwłaszcza z art. 5 oraz art. 7 RODO. Powinien ocenić, jakie ryzyka dla praw osób, mogą wiązać się z przetwarzaniem ich danych osobowych w konkretnym celu. Musi również przygotować jasne i rzetelne klauzule informacyjne.
Wymuszona zgoda jest nieskuteczna
- Nikt nie ma prawa wymuszać na nikim wyrażenia zgody. Taka zgoda jest nieważna. Warto pamiętać, że z wymuszeniem zgody spotykamy się, gdy klauzula o wyrażeniu zgody znajduje się pomiędzy wieloma innymi punktami umowy - podkreśla Urząd. I podaje przykład: klauzula o zgodzie na otrzymywanie informacji handlowych nie może znaleźć się we wzorcu wniosku o udzielenie pożyczki pomiędzy innymi postanowieniami oraz formularzem określającym m.in. dane osobowe kredytobiorcy. W tak skonstruowanym dokumencie konsument nie ma możliwości odmowy wyrażenia zgody, ponieważ składa podpis pod całością wniosku, przez co jego zgoda nie jest swobodna i niezależna od innych oświadczeń woli (art. 4 ustawy o świadczeniu usług drogą elektroniczną).
Z wymuszeniem zgody mamy również do czynienia, gdy instytucja publiczna lub niepubliczna realizująca zadanie publiczne uzależnia jego realizację od zgody, pomimo że z przepisów wynika uprawnienie lub obowiązek przetwarzania danych dla tych celów. Przykład? Podczas rejestracji samochodu w urzędzie, urząd nie może żądać od nas wyrażenia zgody i uzależnić od niej wydanie decyzji o rejestracji pojazdu, bo z przepisów wynika obowiązek przetwarzania danych w tym celu.
Wycofanie zgody tak łatwe, jak udzielenie
W myśl art. 7 ust. 3 RODO zgoda jest odwoływalna i uprawnienie to przysługuje osobie, której dane dotyczą, w każdym czasie. Osoba ta ma więc prawo w dowolnym momencie wycofać zgodę. Przepis nakłada na administratora obowiązek poinformowania osoby o tym prawie, zanim wyrazi zgodę. Wycofanie zgody musi być tak samo łatwe jak jej wyrażenie.
- Dlatego jeżeli np. na stronie internetowej istniał mechanizm do wyrażenia zgody, to powinien być również podobny do jej wycofania. Rozwiązanie takie nie powinno być w żaden sposób ukryte. Podobnie gdy administrator odbierał zgodę drogą mailową czy telefoniczną, to w tym wypadku jej odwołanie powinno być możliwe w ten sam sposób - podaje UODO.
Uprawnienie osoby do rzeczywistego wycofania zgody łączy się z wymogiem dobrowolności zgody.
Telemarketing bez zgody zabroniony
Szczególną czujnością kierujmy się, gdy mamy do czynienia z działaniami marketingowymi. O ile zgoda na marketing bezpośredni nie jest wymagana, o tyle sytuacja się zmienia, gdy taka forma komunikacji jest realizowana telefonicznie.
Prawo telekomunikacyjne w art. 172 zakazuje wykonywania połączeń do celów marketingu bezpośredniego, chyba że abonent lub użytkownik końcowy uprzednio wyraził na nie zgodę.
Okienka zgód nie mogą wyręczać
UODO zaznacza, że wszelkie modele wykorzystujące przy wyrażaniu zgody bierność, milczenie osoby, której dane dotyczą, lub jej nieuwagę, a także ustawienia domyślne, domyślnie zaznaczone okienka zgód itp., są niedopuszczalne. Wskazał na to m.in. Europejski Trybunał Sprawiedliwości w wyroku z 1 października 2019 r. (sygn. akt. C-673/17).
Grupa Robocza Art. 29 w Wytycznych dotyczących zgody na mocy rozporządzenia 2016/679 wskazała, że osoba wyrażająca zgodę musi podjąć celowe działanie, aby wyrazić zgodę na określone przetwarzanie jej danych.
- To my sami mamy decydować o tym, na co się zgadzamy i świadomie to zaznaczać. Tymczasem domyślnie zaznaczone okienka możemy przez nieuwagę i pośpiech pominąć - podkreśla UODO.
Gdzie z żądaniami?
Każdy, kto uważa, że jego dane osobowe są przetwarzane niezgodnie z prawem, może dochodzić swoich praw przed sądem powszechnym (art. 79 RODO). Jeżeli dana osoba uzna, że w wyniku naruszenia przepisów RODO poniosła szkodę majątkową lub niemajątkową, ma też prawo żądać od administratora lub podmiotu przetwarzającego odszkodowania (art. 82 RODO).
Możliwość skorzystania z powyższych praw w przypadku zgody może mieć miejsce, gdy np. wycofujemy zgodę, a administrator to utrudnia albo nie respektuje naszego żądania i w dalszym ciągu przetwarza nasze dane, a nie ma innej przesłanki legalizującej takie działanie.
