Kiedy zgoda w rozumieniu RODO jest ważna?

Wymogi dotyczące ważnej zgody – przegląd

Zgoda jest jedną z kluczowych podstaw prawnych w ochronie danych. Firmy i inni administratorzy często nie wiedzą jednak, kiedy przetwarzanie danych można rzeczywiście oprzeć na zgodzie i jakie konkretne wymogi prawne trzeba przy tym spełnić.

Ze względu na poważne ryzyko prawne i finansowe związane z brakiem zgody lub jej nieważnością kluczowe jest, aby od początku pozyskiwać zgody w sposób zgodny z prawem.

Zgoda jako możliwa podstawa prawna przetwarzania danych

Zgoda jest uregulowana w art. 6 ust. 1 lit. a RODO jako jedna z sześciu możliwych podstaw prawnych przetwarzania danych osobowych. Jest wyrazem prawa do informacyjnego samostanowienia: każdy powinien co do zasady sam decydować, kto i w jakim celu wykorzystuje jego dane.

W praktyce zgoda jest jednak właściwym wyborem tylko wtedy, gdy nie ma zastosowania żadna inna podstawa prawna z art. 6 RODO. Jeśli dane osobowe są przetwarzane w celu wykonania umowy (lit. b), wypełnienia obowiązku prawnego (lit. c) lub na podstawie prawnie uzasadnionego interesu (lit. f), zgoda nie jest ani wymagana, ani celowa.

Zgoda jest zazwyczaj właściwą podstawą prawną dla przetwarzania, które jest dobrowolne i wykracza poza to, co niezbędne do wykonania umowy.

Typowe przykłady to:

Wymogi prawne dotyczące ważnej zgody

RODO definiuje zgodę w art. 4 pkt 11 jako „dobrowolne, konkretne, świadome i jednoznaczne okazanie woli [..]”. Z tego wynikają cztery kluczowe warunki, które muszą zostać spełnione jednocześnie.

1. Dobrowolność

Zgoda musi przede wszystkim opierać się na rzeczywistej i swobodnej decyzji osoby, której dane dotyczą. Osoba ta musi więc mieć możliwość odmowy lub wycofania zgody bez ponoszenia negatywnych konsekwencji. W szczególności zgoda nie może być wyrażona pod presją ani przymusem.

Szczególne znaczenie ma w tym kontekście zakaz uzależniania z art. 7 ust. 4 RODO. Zgodnie z nim wykonanie usługi co do zasady nie może być uzależnione od zgody, która nie jest niezbędna do wykonania umowy.

Dobrowolność mogą też ograniczać mylące sformułowania, upiększający język, nadmiar informacji oraz projekt graficzny, który celowo nakłania użytkowników do wyrażenia zgody (tzw. dark patterns).

2. Świadomość

Ważna zgoda wymaga ponadto, aby osoba, której dane dotyczą, została wcześniej wyczerpująco i zrozumiale poinformowana o planowanym przetwarzaniu danych.

Informacje muszą być łatwo dostępne, przejrzyste i sformułowane jasnym językiem, a w szczególności muszą wskazywać, kto przetwarza dane i w jakich konkretnych celach. Zgodnie z aktualnymi wytycznymi Europejskiej Rady Ochrony Danych (EROD) w sprawie zgody osobie, której dane dotyczą, należy też przekazać informacje o rodzaju przetwarzanych danych, o prawie do wycofania zgody oraz o ewentualnym zautomatyzowanym podejmowaniu decyzji i przekazywaniu danych do państw trzecich.

Dodatkowe informacje można przekazać w polityce prywatności, do której zgoda jasno i jednoznacznie odsyła.

3. Konkretność

Zgoda musi też dotyczyć jasno określonego celu przetwarzania. Zgody ogólne lub sformułowane zbyt szeroko są niedopuszczalne.

Jeśli przetwarzanie służy kilku celom, co do zasady na każdy cel potrzebna jest odrębna zgoda.

Łączenie zgód jest dopuszczalne tylko wyjątkowo – gdy cele są ze sobą tak ściśle powiązane, że odrębne pytanie o zgodę nie miałoby sensu.

4. Jednoznaczne działanie potwierdzające

Wreszcie potrzebne jest jednoznaczne okazanie woli poprzez aktywne działanie osoby, której dane dotyczą (tzw. opt-in).

RODO co do zasady nie przewiduje szczególnej formy. Zgoda może więc zostać wyrażona na piśmie, ale też elektronicznie, np. przez zaznaczenie pola wyboru lub kliknięcie przycisku, wybór ustawień technicznych albo inne oświadczenie lub aktywne zachowanie (np. ustnie).

Zgody nie stanowią milczenie, wstępnie zaznaczone pola wyboru (tzw. opt-out) ani sama bezczynność, np. dalsze korzystanie z usługi. Nie wystarczy też, jeśli zgoda jest zawarta w ogólnych warunkach korzystania i nie została w nich odrębnie wyróżniona.

Zgodnie z art. 7 ust. 1 RODO administrator musi być w stanie wykazać, że uzyskał ważną zgodę. Wybrana forma musi więc umożliwiać rzetelne udokumentowanie zgody.

Sytuacje szczególne i dodatkowe wymagania

W określonych sytuacjach obowiązują wyższe wymagania dotyczące zgody.

1. Przetwarzanie danych wrażliwych

W przypadku przetwarzania szczególnych kategorii danych w rozumieniu art. 9 RODO zasadniczo wymagana jest „wyraźna” zgoda (patrz poniżej).

2. Zautomatyzowane podejmowanie decyzji

Jeżeli zautomatyzowane podejmowanie decyzji (art. 22 RODO) ma opierać się na zgodzie, również wymagana jest zgoda „wyraźna”.

3. Pracownicy

Zgodnie z § 26 ust. 2 BDSG (niemieckiej federalnej ustawy o ochronie danych) zgoda powinna co do zasady zostać wyrażona na piśmie, chyba że ze względu na szczególne okoliczności właściwa jest inna forma.

Ze względu na istniejący stosunek zależności zgody udzielane w ramach stosunku pracy są regularnie poddawane krytycznej ocenie. Skuteczna zgoda wchodzi tu w grę tylko w wyjątkowych przypadkach, w szczególności gdy pracownicy uzyskują dzięki przetwarzaniu danych korzyść prawną lub ekonomiczną albo gdy obie strony realizują zbieżne interesy.

4. Dzieci

Dzieci korzystają w zakresie ochrony danych ze szczególnej ochrony, ponieważ często w mniejszym stopniu zdają sobie sprawę z ryzyka i konsekwencji przetwarzania danych.

W odniesieniu do przetwarzania danych w związku z usługami społeczeństwa informacyjnego art. 8 RODO określa szczególne warunki wyrażania zgody. Zgodnie z tym przepisem wyrażenie zgody jest skuteczne wyłącznie w przypadku osiągnięcia przez dziecko określonego wieku minimalnego lub w przypadku wyrażenia zgody przez rodziców lub opiekunów prawnych. W Niemczech wiek ten wynosi 16 lat.

W przypadku innych operacji przetwarzania RODO nie przewiduje wyraźnych granic wiekowych. Z motywów RODO wynika jednak, że informacje muszą być przekazywane dzieciom jasnym i zrozumiałym dla nich językiem.

5. Badania

W obszarze badań naukowych zgoda może pod pewnymi warunkami mieć szerszy zakres, jeżeli w momencie zbierania danych konkretny cel przetwarzania nie jest jeszcze w pełni określony. Ramy przetwarzania muszą jednak pozostać rozpoznawalne.

Warunki „wyraźnej” zgody

Zgoda „wyraźna” wymaga szczególnie jasnego i jednoznacznego oświadczenia osoby, której dane dotyczą. Milczenie ani zachowanie dorozumiane nie są tu wystarczające. Ponadto treść zgody musi być sformułowana szczególnie precyzyjnie, zwłaszcza w odniesieniu do konkretnego celu przetwarzania i wrażliwości danych.

Wycofanie zgody

Prawo do wycofania zgody jest jej niezbędnym dopełnieniem. Zgodnie z art. 7 ust. 3 RODO osoba, której dane dotyczą, może w każdej chwili wycofać zgodę bez podawania przyczyn, ze skutkiem na przyszłość.

O tym prawie należy poinformować jeszcze przed wyrażeniem zgody. Wycofanie zgody musi być przy tym równie łatwe jak jej wyrażenie. Nie można go zatem niepotrzebnie utrudniać i co do zasady powinno być możliwe tą samą drogą (np. kliknięciem, e-mailem lub za pomocą odpowiedniej funkcji w koncie użytkownika).

Przetwarzanie dokonane przed wycofaniem zgody pozostaje zgodne z prawem; od chwili wycofania nie wolno jednak kontynuować przetwarzania danych na podstawie zgody.

Okres ważności zgody

RODO nie przewiduje stałego okresu ważności zgody. Zgoda pozostaje zatem co do zasady skuteczna, dopóki nie zostanie wycofana, cel przetwarzania nadal istnieje, a okoliczności nie uległy istotnej zmianie.

Zgoda może jednak utracić ważność, jeżeli przez dłuższy czas nie jest wykorzystywana, a osoba, której dane dotyczą, nie musi już liczyć się z jej użyciem. W orzecznictwie za krytyczne uznaje się okresy ok. 1,5–2 lat bez kontaktu, zob. LG Berlin (wyrok z 2.7.2004 – 15 O 653/03); LG Hamburg (wyrok z 17.2.2004 – 312 O 645/02); LG München (wyrok z 8.4.2010 – 17 HK O 138/10).

Przed wykorzystaniem zgody należy więc zawsze sprawdzić, czy jest ona nadal aktualna. Zaleca się również wyraźnie wskazać w jej treści, że zgoda obowiązuje co do zasady do czasu jej wycofania – dzięki temu okres jej obowiązywania jest przejrzysty.

Podsumowanie

Zgoda jest instrumentem wymagającym z prawnego punktu widzenia, obwarowanym jasnymi wymogami. Jej skuteczność zależy w dużej mierze od prawidłowej kwalifikacji prawnej, przejrzystej formy i konsekwentnego wdrożenia. W praktyce należy stosować ją celowo, a nie traktować jako rozwiązania standardowego.