Zgoda na przetwarzanie danych osobowych
Przetwarzanie danych osobowych osób fizycznych przez administratora danych osobowych wiąże się z koniecznością spełnienia określonych obowiązków na gruncie przepisów rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dn. 27.04.2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 2016 Nr 119, s. 1, zwanego dalej RODO), ustawy z dn. 10.05.2018 r. o ochronie danych osobowych (Dz. U. z 2019, poz. 1781 tj. z późn. zm.), a także innych ustaw szczególnych. Już na wstępie warto zaznaczyć, iż dla zgodnego z prawem przetwarzania danych osobowych konieczne jest wskazanie podstawy prawnej przetwarzania danych osobowych. Zgodnie z art. 6 ust. 1 RODO przetwarzanie danych jest zgodne z prawem wyłącznie wtedy, gdy spełniony jest co najmniej jeden z poniższych warunków: Jedną z podstaw prawnych, w wyniku których przetwarzanie danych osobowych danej osoby fizycznej staje się legalne – jest zgoda osoby, której dane dotyczą, na przetwarzanie danych osobowych. Choć zgoda wymieniona została w Rozporządzeniu RODO jako pierwsza, to zazwyczaj nie jest najlepszą i najpewniejszą przesłanką legalnego przetwarzania danych. Generalnie przyjmuje się zasadę, zgodnie z którą zgodę odbieramy wówczas, gdy w danym stanie faktycznym i prawnym nie ma innej podstawy, która pozwoliłaby zalegalizować przetwarzanie danych osobowych. Innymi słowy, jeśli konieczność przetwarzania określonych danych wynika wprost z obowiązujących przepisów to nie musimy w tym zakresie uzyskiwać zgody od osoby, której dane zamierzamy przetwarzać. Zgodnie z art. 4 pkt 11 RODO zgoda to dobrowolne, konkretne, świadome i jednoznaczne okazanie woli, którym osoba, której dane dotyczą, w formie oświadczenia woli lub wyraźnego działania potwierdzającego przyzwala na przetwarzanie dotyczących jej danych osobowych. Zatem prawidłowo udzielona zgoda musi spełniać następujące warunki: Zgodnie z RODO, nie można mówić o udzieleniu zgody, a już na pewno wiążącej – jeśli zgoda zostanie pozyskana w wyniku manipulacji, sugestii, wstępnego zaznaczenia pożądanej opcji czy milczenia. W motywie 42 preambuły RODO wskazano również, że „Aby wyrażenie zgody było świadome, osoba, której dane dotyczą, powinna znać przynajmniej tożsamość administratora oraz zamierzone cele przetwarzania danych osobowych”. Przedstawiona powyżej definicja zgody (art. 4 pkt 11 RODO) wskazuje, że występują dwie formy wyrażenia zgody: oświadczenie woli lub wyraźne działanie potwierdzające. Złożeni e oświadczenie jest raczej zrozumiałe. Jeśli zaś mowa o wyraźnym działaniu potwierdzającym, to oznacza ono, że osoba przez czynność dorozumianą, np. zaznaczenie okna wyboru na stronie internetowej (tzw. checkboxa)- zaakceptowała proponowane jej warunki przetwarzania danych osobowych. Warto zauważyć, iż w motywie 32 preambuły RODO wskazano, że: „Milczenie, okienka domyślnie zaznaczone lub niepodjęcie działania nie powinny oznaczać zgody”. Tak w przypadku zgody, jak i innych podstaw zbierania danych osobowych – Administrator obowiązany jest spełnić obowiązek informacyjny w stosunku do osób, których dane dotyczą. Klauzula informacyjna ma szczególne znaczenie w przypadku gromadzenia danych osobowych na podstawie zgody, gdyż prawidłowo zrealizowany obowiązek informacyjny może istotnie wpływać na powyższe warunki jej wyrażenia, tj. dobrowolność, świadomość, konkretność i jednoznaczność. To właśnie bowiem z klauzuli informacyjnej dana osoba pozyskuje wiedzę m.in. na temat celu i warunków przetwarzania, a także swoich praw, przez co w konsekwencji może w pełni świadomie wyrazić zgodę, rozumiejąc, na co się zgadza. Warto pamiętać, iż w myśl art. 7 RODO, osoba udzielająca zgody ma prawo w dowolnym momencie ją wycofać, przy czym wycofanie zgody nie wpływa na zgodność z prawem przetwarzania, którego dokonano na jej podstawie przed jej wycofaniem. Innymi słowy, wycofanie zgody ma skutek jedynie na przyszłość – nie delegalizuje przetwarzania dokonanego na jej podstawie przed jej wycofaniem, o czym również należy poinformować zanim dana osoba wyrazi zgodę. Co więcej i co należy podkreślić, zgodnie z RODO odwołanie zgody powinno przebiegać w równie łatwy sposób, co wyrażenie zgody oraz za pomocą tego samego kanału informacyjnego, który użyty został do pozyskania zgody. Tym co należy podkreślić, jest fakt, iż udzielenie zgody na określone czynności związane z przetwarzaniem danych osobowych może wynikać również z innych przepisów niż RODO. Przykładowo, w myśl RODO zapis do newslettera jest formą marketingu bezpośredniego i w tym przypadku przetwarzanie danych zalegalizowane jest przez prawnie uzasadniony interes administratora (przetwarzanie danych na podstawie art. 6 ust. 1 lit. f RODO). W konsekwencji czego nie jest wymagana zgoda na podstawie art. 6 ust. 1 lit. a RODO. Niemniej jednak, do legalnego przetwarzania danych w przypadku newslettera konieczne jest uprzednie pozyskanie wyraźnej zgody na podstawie innych przepisów prawa, a konkretnie na podstawie ustawy o świadczeniu usług drogą elektroniczną oraz prawa telekomunikacyjnego.