Kiedy wyrażenie zgody podlega prawu GDPR?

Wymogi dotyczące skutecznego wyrażenia zgody – podsumowanie

Zgoda jest kluczową podstawą prawną w zakresie ochrony danych osobowych. Jednak dla firm i osób odpowiedzialnych często nie jest jasne, kiedy przetwarzanie danych może faktycznie opierać się na wyrażeniu zgody oraz jakie konkretne wymagania prawne należy spełnić.

Wobec znacznych ryzykow w wymiarze prawnym i ekonomicznym w przypadku braku lub nieważności zgody, kluczowe znaczenie ma uzyskiwanie zgód od samego początku w sposób prawnie wiarygodny.

Zgoda jako możliwa podstawę prawną przetwarzania danych

Zgoda jest regulowana w art. 6 ust. 1 lit. a RODO jako jedna z sześciu możliwych podstaw prawnych przetwarzania danych osobowych. Jest to wyraz prawa do samostanowienia informacyjnego: każda osoba powinna w zasadzie móc sama decydować, komu i w jakim celu udostępniać swoje dane.

W praktyce jednak wyrażenie zgody jest właściwym wyborem jedynie w przypadku gdy nie istnieje inna podstawę prawna przewidziana w art. 6 RODO. W przypadku przetwarzania danych osobowych w celu wypełnienia zobowiązań umownych (litera b), w celu wypełnienia obowiązków prawnych (litera c) lub na podstawie uzasadnionych interesów (litera f), wyrażenie zgody nie jest wymagane ani uzasadnione.

Zgoda jest typowo właściwym podstawą prawną przetwarzania, które odbywa się dobrowolnie i wykracza poza konieczne do zawarcia umowy.

Typowymi przykładami zastosowań są:

Prawnych wymogów skutecznego wyrażenia zgody

Rozporządzenie GDPR definiuje wyrażenie zgody w art. 4 ust. 11 rozporządzenia GDPR jako „każde wyrażone dobrowolnie w danym przypadku, świadomie i jednoznacznie wyrażone postanowienie [..].“. Z tego wynikają cztery kluczowe warunki, które muszą zostać spełnione jednocześnie.

1. Wolność

Zgoda musi w pierwszej kolejności opierać się na prawdziwym i swobodnym wyrazie woli danej osoby. Dotknięta osoba musi więc móc odmówić lub wycofać zgodę bez ponoszenia żadnych szkód. Zgoda nie może w szczególności być uzyskana pod presją lub przymusem.

W tym kontekście szczególne znaczenie ma zakaz łączenia w myśl art. 7 ust. 4 RODO. Zgodnie z tym przepisem świadczenie usługi nie może w zasadzie być uzależnione od udzielenia zgody, która nie jest niezbędna do wykonania umowy.

Także mylące sformułowania, pochlebiające słownictwo, nadmierna ilość informacji oraz wizualna konstrukcja, która kieruje użytkowników w sposób celowy do podania zgody (tzw. dark patterns) mogą wpływać na wolność wyboru.

2. Informowanie

Skuteczne wyrażenie zgody nadal wymaga, aby dotknięta osoba została w wyprzedzającym okresie poinformowana w sposób wszechstronny i zrozumiały o zamierzonej przetwarzaniu danych.

Informacje muszą być łatwo dostępne, przejrzyste i sformułowane w jasnym języku oraz w szczególności wskazywać, kto przetwarzanie danych prowadzi oraz w jakie konkretne cele ma ono miejsce. Zgodnie z aktualnymi wytycznymi Europejskiego Komitetu ds. Ochrony Danych Osobowych, należy dostarczyć osobie, której dane dotyczą, informacje na temat rodzaju przetwarzanych danych, prawa do wycofania zgody oraz możliwych decyzji podejmowanych w sposób zautomatyzowany oraz przekazywanych do państw trzecich.

Dodatkowe informacje mogą zostać podane w formie informacji o ochronie danych osobowych, do której należy wyraźnie i jednoznacznie odwoływać się.

3. Dokładność

Ponadto zgoda musi dotyczyć jednoznacznie zdefiniowanego celu przetwarzania. Zgody o charakterze ogólnym lub zbyt szeroko sformułowane są niedozwolone.

W przypadku realizacji wielu celów, w zasadzie dla każdego celu konieczna jest osobna zgoda.

Zbiórka jest dozwolona jedynie w wyjątkowych przypadkach, gdy cele te stanowią tak ścisły związek zawartościowy, że osobna próba wyszukania nie jest sensowna.

4. Jednostronne potwierdzające działanie

W końcu wymaga to jednoznacznego wyrażenia woli przez aktywne działanie danej osoby (tzw. opt-in).

Rozporządzenie GDPR zasadniczo przewiduje swobodę formy. Zgoda może zatem zostać udzielona na piśmie, ale także drogą elektroniczną, np. poprzez kliknięcie pola wyboru lub przycisku, wybranie ustawień technicznych lub inną formą wyrażenia zgody lub aktywnego zachowania (np. ustnie).

Milczenie, już wypełnione polaczniki (tzw. opt-out) lub bezczynność, takie jak ponowne korzystanie z usługi, nie stanowią wyrażenia zgody. Także nie wystarcza, gdy zgoda jest zawarta w ogólnych warunkach użytkowania, bez wyraźnego jej podkreślenia.

Zgodnie z art. 7 ust. 1 RODO odpowiedzialny musi móc wykazać, że istnieje skuteczna zgoda. Dlatego wybrana forma musi umożliwiać wiarygodną dokumentację.

Częste przypadki i szczególne wymagania

W określonych sytuacjach obowiązują wyższe wymagania dotyczące zgody.

1. Przetwarzanie danych wrażliwych

W przypadku przetwarzania szczególnych kategorii danych w rozumieniu art. 9 RODO zasadniczo wymagana jest „wyraźna“ zgoda (patrz poniżej).

2. Automatyzowana decyzja

Jeśli decyzje podejmowane w sposób zautomatyzowany (art. 22 RODO) opierają się na wyrażeniu zgody, konieczna jest również „wyraźna“ zgoda.

3. Pracownicy

Zgodnie z § 26 ust. 2 BDSG, zgoda powinna być udzielana na zasadzie pisemnej umowy, chyba że ze względu na szczególne okoliczności jest właściwa inna forma.

Ze względu na istniejące relacje uzależnienia, zgody w ramach stosunku pracy są regularnie krytycznie kwestionowane. Skuteczne wyrażenie zgody w tym przypadku jest możliwe jedynie w wyjątkowych przypadkach, w szczególności gdy pracownicy otrzymują korzyści prawne lub ekonomiczne dzięki przetwarzaniu danych, lub gdy obie strony wykazują równoważny interes.

4. Dzieci

Dzieci cieszą się w zakresie ochrony danych osobowych szczególnym zabezpieczeniem, ponieważ często mniej zdają sobie sprawę z zagrożeń i konsekwencji przetwarzania danych.

W odniesieniu do przetwarzania danych w związku z usługami społeczeństwa informacyjnego art. 8 RODO określa szczególne warunki wyrażania zgody. Zgodnie z tym przepisem wyrażenie zgody jest skuteczne wyłącznie w przypadku osiągnięcia przez dziecko określonego wieku minimalnego lub w przypadku wyrażenia zgody przez rodziców lub opiekunów prawnych. W Niemczech wiek ten wynosi 16 lat.

Co do innych form przetwarzania danych, RODO nie przewiduje żadnych wyraźnych ograniczeń wiekowych. Jednak z przyczyn uzasadniających wynika, że informacje muszą być dostarczane w języku jasnym i zrozumiałym dla dzieci.

5. Badania

W obszarze badań naukowych wyrażenie zgody może być udzielane na podstawie szczególnych warunków, jeśli konkretny cel przetwarzania nie został jeszcze w pełni ustalone w momencie zbierania danych. Jednakże zakres przetwarzania musi pozostawać widoczny.

Warunki „wyraźnej“ zgody

„Wyraźne“ wyrażenie zgody wymaga szczególnie jasnej i jednoznacznej informacji przekazywanej przez osobę, której dotyczy. Milczenie lub zachowanie niejawne nie wystarczą. Ponadto wyrażenie zgody musi być wyrażone w sposób szczególnie precyzyjny, zwłaszcza w odniesieniu do konkretnego celu przetwarzania oraz wrażliwości danych osobowych.

Wycofanie zgody

Prawo do odstąpienia od umowy jest niezbędnym uzupełnieniem umowy o wyrażeniu zgody. Dotknięta osoba może w dowolnym momencie odwołać swoją zgodę zgodnie z art. 7 ust. 3 RODO bez podawania przyczyny, z skutkiem od dnia następnego po otrzymaniu zgody.

To prawo należy uprzednio poinformować o tym, zanim dana osoba wyrazi zgodę. Zrezygnacja z zgody musi być tak samo łatwa do dokonania jak jej udzielenie. Dlatego nie może być ona niepotrzebnie utrudniona i powinna w zasadzie odbywać się w tym samym trybie (np. poprzez kliknięcie, wiadomość e-mail lub odpowiednią funkcję w kontze użytkownika).

Przetwarzanie dokonane do czasu anulowania pozostaje legalne; jednak od momentu anulowania przetwarzanie na podstawie zgody nie może być kontynuowane.

Czasowa ważność zgody

Rozporządzenie GDPR nie przewiduje stałego okresu ważności. Zgoda pozostaje zatem zasadniczo skuteczna, dopóki nie zostanie ona odwołana, cel przetwarzania danych nie ulega zmianie i okoliczności nie uległy znaczącej zmiany.

Zgoda może jednak stracić ważność, jeśli nie będzie wykorzystywana przez dłuższy okres czasu i osoba dotknięta nie będzie już musiała liczyć na jej wykorzystanie. W orzecznictwie okresy od około 1,5 do 2 lat bez kontaktu są uznawane za krytyczne, zob. LG Berlin (orzeczenie z 2.7.2004 – 15 O 653/03); LG Hamburg (orzeczenie z 17.2.2004 – 312 O 645/02); LG München (orzeczenie z 8.4.2010 – 17 HK O 138/10).

Przed użyciem należy zatem zawsze sprawdzić, czy wyrażenie zgody jest nadal aktualne. Ponadto zaleca się wyraźnie określić w jej treści, że zgoda w zasadzie pozostaje w mocy do czasu jej wycofania, aby uczynić jej czasowe obowiązywanie bardziej przejrzystym.

Podsumowanie

Zgoda jest prawnie wymagającym instrumentem z jasnymi wymogami prawnymi. Jej skuteczność zależy w znacznym stopniu od prawidłowego uregulowania prawnego, przejrzystego opracowania i konsekwentnej realizacji. W praktyce powinna być ona stosowana w celach określonych, a nie jako standardowe rozwiązanie.