Jak długo jest ważna zgoda na przetwarzanie danych osobowych?
W teorii odpowiedź na to pytanie jest prosta, ale w praktyce okazuje się, że warto jednak zastanowić się nad tym zagadnieniem. W przepisach RODO odpowiedzi należy szukać w artykule 7, zgodnie z którym zgoda jest wyrażona poprzez dobrowolne i świadome działanie (oświadczenie woli). Natomiast nie określono w nim ograniczenia czasowego zgody, a jedynie warunki jej wycofania. W praktyce można zatem przyjąć, że zgoda jest ważna aż do momentu jej wycofania, czyli bezterminowo. Tym samym osoba, której dane dotyczą nie musi „odświeżać” swojej zgody, jeżeli przetwarzanie danych w oparciu o zgodę jest długotrwałe i stałe. Można w oparciu o raz wyrażoną zgodę przetwarzać dane latami. Dopiero jej wycofanie zastopuje proces.
Przetwarzanie może zakończyć się także z powodu ustania celu przetwarzania, np. administrator postanawia przestać wysyłać informacje marketingowe lub kończy swoją działalność.
Stąd w klauzulach informacyjnych pojawia się określenie, że dane będą przetwarzane do czasu wycofania zgody lub jej wyrażenia.
Takie podejście zazwyczaj będzie poprawne. Jednak warto zwrócić uwagę, że nie uwzględnia bardzo ważnego czynnika, jakim jest „świadomość” wyrażania zgody, a także przetwarzanie przez czas niezbędny do osiągnięcia celu, w jakim zgoda została wyrażona.
Teoretycznie administrator może wykazywać, że osoba, której dane dotyczą wyraziła zgodę świadomie, bo wiedziała na jakiego rodzaju przetwarzanie i w jakim celu się zgadza. Realizuje to poprzez treść zgody oraz klauzulę informacyjną, w której podaje niezbędne informacje w najbardziej przystępniej i jasnej formie (oczywiście nie jest to łatwe, bo przepis sam w sobie wymaga podania tylu informacji, że stoi to w sprzeczności z jasnym i prostym przekazem).
Należy jeszcze uwzględnić kwestię zasad współżycia społecznego oraz oczekiwań osoby, której dane dotyczą. Powiedzmy, że zgodzi się ona na przeprowadzenie testu jej predyspozycji zawodowych, na potrzeby rekrutacji. Takie działanie nie jest niezbędne i odbywa się na podstawie dobrowolnej zgody. Może zatem oczekiwać, że jej dane będą przetwarzane do oceny na potrzeby konkretnej rekrutacji. Po zakończeniu rekrutacji, kandydat spodziewa się, że dane związane z tą oceną zostaną usunięte, tak samo jak inne dokumenty dotyczące tej rekrutacji. Natomiast administrator uznaje, że zgoda jest ważna bezterminowo, zatem może przechowywać uzyskane informacje do czasu jej wycofania. W praktyce może mieć to negatywny wpływ na osobę, której dane dotyczą. I należy uznać, że przechowywanie danych w oparciu o wyrażoną wcześniej zgodę jest wadliwe, a zatem stanowi naruszenie przepisów RODO. Jeżeli ustał cel przetwarzania – tu ocena kandydata na potrzeby aktualnej rekrutacji – zgoda przestaje mieć zastosowanie i dane powinny zostać usunięte. Tym samym nie można uznać, że zgoda była bezterminowa. Obowiązywała przez okres realizowania przez administratora celu wskazanego w tej zgodzie.
„Konieczność uzyskania konkretnej zgody w połączeniu z pojęciem ograniczenia celu zawartym w art. 5 ust. 1 lit. b) stanowi zabezpieczenie przed stopniowym rozszerzaniem lub zacieraniem celów, w których dane są przetwarzane, po wyrażeniu przez osobę, której dane dotyczą, zgody na pierwotne gromadzenie danych. Zjawisko to, znane również jako zmiana celu, stanowi ryzyko dla osób, których dane dotyczą, ponieważ może prowadzić do niespodziewanego wykorzystania danych osobowych przez administratora lub przez osoby trzecie oraz do utraty kontroli przez osobę, której dane dotyczą” (Wytyczne EROD 05/2020)
Wynik oceny mógłby być przechowywany po zakończeniu rekrutacji, na podstawie dodatkowej zgody. Jednak tu także czas tego przechowywania powinien być ograniczony (np. do 2 lat), a w przypadku kolejnego procesu rekrutacji, kandydat powinien móc zadecydować, czy zgadza się na wykorzystanie wyników poprzedniego testu predyspozycji, przeprowadzić nowy lub w ogóle odmówić takiego działania. Wówczas można byłoby mówić o dobrowolności i świadomości zgody. Wykorzystanie wyników testu na podstawie zgody sprzed kilku miesięcy, bez poinformowania o tym, a nawet potwierdzenia, ponownie może prowadzić do naruszenia przepisów RODO, poprzez uznanie zgody za wadliwą.
Powyższy przykład pokazuje jak trudną materią jest przetwarzanie danych osobowych w oparciu o zgodę. Zagadnienie komplikuje się jeszcze bardziej, gdy dochodzi do rozpowszechniania wizerunku w oparciu o zgodę. Cele wykorzystania wizerunku są zazwyczaj opisane szeroko i ogólnie w treści zgody, aby dać szerokie możliwości wykorzystania. W praktyce osoba, która wyraziła taką zgodę może być zaskoczona działaniami administratora. Szczególnie, gdy wizerunki będą w materiałach marketingowych rozpowszechnianych masowo. Należy liczyć się z tym, że osoba, której wizerunek wykorzystuje się w taki sposób, może nie tylko wycofać zgodę, ale stwierdzić, że naruszono jej dobra osobiste. To administrator musi wykazać, że wyrażając zgodę wiedziała, jaki może być zakres wykorzystania wizerunku i powinna była spodziewać się działań, które podjął. W praktyce często zgoda jest bardzo ogólna, nie określa pól eksploatacji, ani czasu wykorzystania, co daje punkt wyjścia do podważenia jej świadomego wyrażenia.
„W RODO wzmocniono wymóg, zgodnie z którym zgoda musi być świadoma. Zgodnie z art. 5 RODO wymóg przejrzystości stanowi jedną z podstawowych zasad, ściśle związaną z zasadami rzetelności i zgodności z prawem. Zapewnianie informacji osobom, których dane dotyczą, przed uzyskaniem ich zgody jest niezbędne do umożliwienia im podejmowania świadomych decyzji, zrozumienia, na co wyrażają zgodę, oraz na przykład wykonania przysługującego im prawa wycofania zgody. Jeżeli administrator nie zapewnia dostępnych informacji, kontrola ze strony użytkownika staje się złudna, a zgoda będzie nieważną podstawą przetwarzania.” (Wytyczne EROD 05/2020)
