Zgoda jako podstawa przetwarzania danych osobowych

Wymogi prawne, które musi spełnić administrator to:

• poprawne sformułowanie oświadczenie (zgody) na przetwarzanie danych osobowych oraz
• zgodne z prawem odebranie zgody, od osoby której dane dotyczą.

O sposobie tworzenia zgód tekstów było już sporo, dlatego w pierwszej kolejności skupimy się na tym jak poprawnie odebrać zgodę, następnie o elementach niezbędnych oświadczenia (zgody).

Jak odebrać zgodę na przetwarzanie danych osobowych?

Zgoda to dobrowolne, konkretne, świadome i jednoznaczne okazanie woli, w którym osoba której dane dotyczą, w formie oświadczenia (np. checkbox na stronie internetowej) lub wyraźnego działania potwierdzającego (np. wysłanie CV do pracodawcy) przyzwala na przetwarzanie jej danych osobowych.

Najważniejsza jest aktywność osoby, której dane dotyczą!

No właśnie, zgoda może być wyrażona przez akceptację oświadczenia lub wyraźne działanie potwierdzające tzw. system opt-in, ponieważ tylko tego rodzaju aktywność, osoby której dane dotyczą, wypełni znamiona jednoznacznego okazania woli. W niektórych przypadkach mechanizm ten jest modyfikowany i wymaga podwójnej aktywności tzw. system double opt-in – mechanizm ten ma zastosowanie np. w przypadku zasubskrybowania newslettera, osoba zapisująca się otrzymuje na swojego maila link aktywujący, co skutkuje dopisaniem się do listy dopiero, gdy kliknie w link.

Przeciwieństwem wyżej opisanego działania jest niedozwolony mechanizm opt-out czyli system oparty na bierności, milczeniu, nieuwadze np. domyślnie zaznaczone okienka zgód (checkboxy). Wykluczone jest także udzielnie zgody poprzez akceptację regulaminu lub polityki prywatności, w którym jednym z elementów jest zgoda na przetwarzanie danych osobowych. Warto również podkreślić, iż postanowienie w regulaminie sformułowane w następujący sposób np. Z chwilą akceptacji regulaminu wyrażasz zgodę na przetwarzanie swoich danych osobowych. Może zostać uznany za klauzulę niedozwoloną, a działanie administratora za czyn naruszający interesy konsumenta.

Jak poprawnie stworzyć oświadczenie (zgodę) na przetwarzanie danych osobowych?

Tworząc oświadczenie związane z przetwarzaniem danych osobowych należy pamiętać, aby było przede wszystkim zrozumiałe dla odbiorcy. Należy jednak pamiętać, że RODO nakazuje, aby przy gromadzeniu danych przekazywać osobie, której dane dotyczą, szereg informacji:

• tożsamości administratora danych i o jego danych kontaktowych,

• jeżeli administrator danych powołał Inspektora Ochrony Danych (IOD) – o danych kontaktowych IOD,

• o celach i podstawie przetwarzania danych,

• o odbiorcach danych osobowych lub o kategoriach odbiorców, jeżeli istnieją

• o okresie czasu, przez który dane osobowe będą przechowywane, a gdy nie jest to możliwe, kryteria ustalania tego okresu,

• o prawie do żądania od administratora dostępu do danych osobowych dotyczących osoby, której dane dotyczą, ich sprostowania, usunięcia lub ograniczenia przetwarzania lub o prawie do wniesienia sprzeciwu wobec przetwarzania, a także o prawie do przenoszenia danych,

• jeżeli przetwarzanie odbywa się na podstawie zgody – o prawie do cofnięcia zgody w dowolnym momencie,

• o prawie wniesienia skargi do organu nadzorczego,

• jeżeli dochodzi do tzw. zautomatyzowanego podejmowania decyzji lub profilowania – należy poinformować o tym fakcie oraz podać istotne informacje o zasadach automatycznego podejmowania decyzji, a także o znaczeniu i przewidywanych konsekwencjach takiego przetwarzania dla osoby, której dane dotyczą.

Poniżej przykładowa klauzula zgody na przetwarzanie danych osobowych:

Zgadzam się na przetwarzanie moich danych osobowych przez …………….. [dane przedsiębiorcy tj. firma, adres, NIP i REGON], w celu ……………. [np. marketingowym]. Podanie danych jest dobrowolne. Podstawą przetwarzania danych jest moja zgoda. Odbiorcami danych mogą być …………. [np. podmioty zajmujące się obsługą informatyczną administratora danych]. Dane osobowe są przetwarzane do czasu odwołania zgody lub przez okres 6 lat. Mam prawo wycofania zgody w dowolnym momencie. Mam prawo żądania od administratora dostępu do moich danych osobowych, ich sprostowania, usunięcia lub ograniczenia przetwarzania, a także prawo wniesienia skargi do organu nadzorczego.