fbTrack

Firma

RODO: klient musi wiedzieć, na co się godzi

123rf
Poinformowana osoba to taka, która posiada odpowiednią wiedzę - mówi Dominik Lubasz w rozmowie z Szymonem Cydzikiem.

Czy po wejściu w życie nowego unijnego rozporządzenia będą ważne dotychczasowe zgody na przetwarzanie danych osobowych?

Dr Dominik Lubasz, Kancelaria Lubasz i Wspólnicy: Ogólne rozporządzenie nie wprowadza żadnych przepisów przejściowych. Nie reguluje dopuszczalności przetwarzania danych osobowych, dokonywanego na podstawie dotychczasowych przepisów po 25 maja 2018 r. Jedyne odniesienie do kwestii dotychczasowych zgód znajduje się w motywach rozporządzenia, czyli w części nienormatywnej. Brzmi mniej więcej tak: przetwarzanie, które trwa w dniu rozpoczęcia stosowania rozporządzenia i dalej będzie się toczyło, powinno być dostosowane do przepisów rozporządzenia przed tym dniem. Jeśli chodzi o zgodę jako przesłankę legalizacyjną przetwarzania, napisano, że administratorzy nie muszą jej ponownie odbierać, jeżeli pierwotny sposób jej wyrażenia odpowiada warunkom rozporządzenia. Cały problem w tym, czy dotychczas pobierane zgody spełniają warunki rozporządzenia czy nie.

A jak to określić?

Rozporządzenie przewiduje cztery kryteria oceny: dobrowolności, konkretności, świadomości i jednoznaczności. Nie wchodząc w szczegóły, warto wskazać, że RODO różnicuje standard uzyskiwania zgody w stosunku do obowiązującego stanu prawnego, zwłaszcza przy kryterium jednoznaczności. Z przepisów wynika, że zgoda nie musi być uzyskiwana tylko poprzez oświadczenie, ale także poprzez inne wyraźne działania potwierdzające. To obniżenie standardu z obowiązującej ustawy o ochronie danych osobowych. Dzisiaj zgoda musi być wyraźna. Niemożliwe jest zatem uzyskiwanie jej w formie dorozumianej. Po wejściu RODO będzie to możliwe. Może być jednak problem w zakresie świadomości zgody.

Na czym on polega?

Świadomość to wiedza osoby, której dane dotyczą, na temat istotnych aspektów przetwarzania danych osobowych, w szczególności osoby administratora i celu przetwarzania. Ze świadomością związane jest prawidłowe wykonanie obowiązków informacyjnych, choć nie w każdym przypadku niezapewnienie osobie, której dane dotyczą wszystkich informacji, o których mowa w art. 13 rozporządzenia, będzie przesądzało o braku świadomości zgody. Zgoda świadoma, inaczej mówiąc – poinformowana, to taka, w której podmiot ją wyrażający ma odpowiednią wiedzę – przede wszystkim o zakresie, celu i podmiocie, który będzie przetwarzał dane, ale także potencjalnie innych aspektach związanych z obowiązkami nałożonymi na administratora, pozwalającą mu na podjęcie świadomej decyzji o wyrażeniu lub odmowie zgody. Warto podkreślić, że rozporządzenie zawiera dużo szerszy katalog obowiązków informacyjnych niż dotychczasowa ustawa. W RODO wprowadzono wymóg informacyjny, , że administrator przed rozpoczęciem przetwarzania musi poinformować osobę, która udziela zgody, o tym, że ma prawo do wycofania tej zgody w każdym momencie. Tego wymogu wcześniej nie było. Pytanie: skoro obowiązku nie było i administratorzy o tym nie informowali, to czy zgoda bez takiej informacji jest ważna? To pytanie pozostanie otwarte do wydania przez przyszły organ nadzorczy pierwszych decyzji.

A pana zdaniem trzeba o tym informować?

Przy odbieraniu zgód na przyszłość – trzeba, to wynika wprost z przepisów. Natomiast nieuzasadnione byłoby pozbawianie arbitralnie zgód dotychczas udzielonych, jeśli spełniają wszystkie inne kryteria, tylko z tego powodu, że nie poinformowano o prawie do wycofania zgody i skutkach skorzystania z tego prawa. W tym zakresie warto po prostu dopełnić obowiązku informacyjnego i uzupełnić go wobec osób, które udzieliły zgody przed wejściem w życie RODO, na przetwarzania, które będą trwały również po 25 maja 2018 r. Aczkolwiek może to być stanowisko kontrowersyjne, bowiem przepis wymaga uprzedniego poinformowania.

Czy musi być indywidualna informacja do każdego klienta, czy wystarczy zmienić politykę prywatności albo regulamin na stronie?

Uważam, że podmioty udzielające zgody powinny zostać poinformowane w sposób maksymalnie zindywidualizowany. Forma zmiany polityki prywatności czy innego elementu na stronie internetowej na pewno musiałaby być dokonana w taki sposób, by osobie, której dane dotyczą, przekazano informację nie tylko o fakcie zmiany, ale również jej zakresie. Nie wystarczy moim zdaniem po prostu poinformować, że zmieniła się polityka prywatności. Nie ma jednakże żadnego narzuconego w rozporządzeniu sposobu spełnienia obowiązku informacyjnego, a zatem obowiązek ten można zrealizować na wiele różnych sposobów, posiłkując się np. wytycznymi z art. 7 ust. 2 rozporządzenia. Wymaga on, by relewantne informacje, związane z udzielaną zgodą, przedstawiane były w sposób pozwalający wyraźnie odróżnić je od pozostałych kwestii, w zrozumiałej i łatwo dostępnej formie, jasnym i prostym językiem. Pamiętać również należy, że mówimy tu o elementach konstrukcyjnych prawidłowej zgody, a zatem dobierany sposób uzupełniania informacji powinien być zbliżony stosowanego modelu pozyskiwania zgody, z wykorzystaniem używanych do komunikacji z podmiotem danych kanałów komunikacyjnych, tak by zapewnić możliwie największą przejrzystość i skuteczność komunikatu.

Brak poinformowania grozi tym, że zgoda będzie uznana za nieważną, a w związku z tym – za przetwarzanie na jej podstawie grożą kary przewidziane w rozporządzeniu?

Mocno upraszczając – tak. Generalnie uznanie, że zgoda dotychczas odebrana nie spełnia wymogów konstrukcyjnych zgody z RODO, spowoduje, że nie będzie dopuszczalne na tej podstawie dalsze przetwarzanie danych osobowych po 25 maja 2018 r. Dlatego kluczowa jest ocena, czy dotychczasowego zgody spełniają przesłanki dobrowolności, konkretności, jednoznaczności i świadomości. Dodatkowe wymogi informacyjne, które pozwalałyby na świadome działania osób, których dane dotyczą, choćby w zakresie wycofania zgody lub też korzystania z przysługujących im nowych praw na gruncie RODO, powinny być moim zdaniem zrealizowane przed dniem rozpoczęcia stosowania rozporządzenia.

—rozmawiał Szymon Cydzik

Dr Dominik Lubasz, Kancelaria Lubasz i Wspólnicy

Źródło: Rzeczpospolita

REDAKCJA POLECA

NAJNOWSZE Z RP.PL