Pozyskiwanie zgody na przetwarzanie danych osobowych – najczęstsze błędy

Kto chociaż raz zetknął się z zagadnieniem pozyskiwania zgody wie, że temat jest tylko pozornie łatwy. W praktyce ten proces budzi wiele wątpliwości zaczynając od formy pozyskania, na treści zgody kończąc.

Definicja zgody na przetwarzanie danych osobowych

Ustawa o ochronie danych osobowych: Zgoda osoby, której dane dotyczą (podmiotu danych), to oświadczenie woli, którego treścią jest zgoda na przetwarzanie danych osobowych tego, kto składa oświadczenie; zgoda nie może być domniemana lub dorozumiana z oświadczenia woli o innej treści; zgoda może być odwołana w każdym czasie.

Ogólne rozporządzenie o ochronie danych osobowych: zgoda osoby, której dane dotyczą oznacza dobrowolne, konkretne, świadome i jednoznaczne okazanie woli, którym osoba, której dane dotyczą, w formie oświadczenia lub wyraźnego działania potwierdzającego, przyzwala na przetwarzanie dotyczących jej danych osobowych

Zgodnie z motywem 40 preambuły RODO: Aby przetwarzanie danych było zgodne z prawem, powinno się odbywać na podstawie zgody osoby, której dane dotyczą, lub na innej uzasadnionej podstawie przewidzianej prawem: albo w niniejszym rozporządzeniu, albo w innym akcie prawnym Unii lub w prawie państwa członkowskiego, o których mowa w niniejszym rozporządzeniu, w tym musi się ono odbywać z poszanowaniem obowiązku prawnego, któremu podlega administrator, lub z poszanowaniem umowy, której stroną jest osoba, której dane dotyczą, lub w celu podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy.

Mówiąc krótko, zgoda nie zawsze jest konieczna. Pisałam o tym szerzej tutaj. https://sylwiaczub.pl/pytanie-czy-zawsze-konieczna-jest-zgoda/

Brak dowodu pozyskania zgody

Zgoda jest oświadczeniem woli, może być wyrażona w dowolny sposób. Jednakże to na administratorze danych spoczywa obowiązek udowodnienia, że uzyskał zgodę.

Motyw 32 RODO bardzo dokładnie określa zasady i sposoby pozyskiwania zgody:

Zgoda powinna być wyrażona w drodze jednoznacznej, potwierdzającej czynności, która wyraża odnoszące się do określonej sytuacji dobrowolne, świadome i jednoznaczne przyzwolenie osoby, których dane dotyczą, na przetwarzanie dotyczących jej danych osobowych i która ma na przykład formę pisemnego (w tym elektronicznego) lub ustnego oświadczenia.

Przepisy nie ograniczają administratora danych w formie pozyskiwania zgody. Równie dobrze można wyrazić zgodę poprzez zaznaczenie okna w elektronicznym formularzu, jak i ustnie (np. przed nagraniem wypowiedzi).

Traktowanie braku sprzeciwu jako zgody

Jednym z częściej popełnianych błędów jest wywodzenie zgody, z braku sprzeciwu. Typowym przykładem jest uznanie przez fotografa, że pozowanie do zdjęcia oznacza zgodę na jego wykorzystanie. Taka zgoda jest dorozumiana. Podobnie domyślnie zaznaczone okienka przy zgodzie na przetwarzanie danych, należy uznać za dorozumienie zgody, ponieważ nie została ona wyrażona świadomie i w jednoznaczny sposób (podmiot danych mógł uznać, że okienka muszą być zaznaczone).

Zgoda na przetwarzanie danych osobowych w regulaminie

Niestety często stosowane rozwiązanie. Jest ono niezgodne z przepisami o ochronie danych osobowych, gdyż zgodnie z definicją zgody, nie może ona wynikać z oświadczenia innej treści. Pisałam o tym tutaj.

Zgoda powinna stanowić odrębne oświadczenie, nie może być zawarta w umowie na świadczenie usługi ani regulaminie.

Jedna zgoda na wiele celów przetwarzania

Jedna zgoda na jeden cel przetwarzania. Oznacza to, że często będzie potrzebne pozyskanie kilku zgód. Zgodnie z motywem 32 RODO: Zgoda powinna dotyczyć wszystkich czynności przetwarzania dokonywanych w tym samym celu lub w tych samych celach. Jeżeli przetwarzanie służy różnym celom, potrzebna jest zgoda na wszystkie te cele.

Przykład:

Firma X robi konkurs. Chce wykorzystać dane osobowe uczestników do jego przeprowadzenia, wręczenia im nagród, rozliczenia podatku. Ile zgód potrzebuje?
W tym przypadku potrzebna jest tylko jedna zgoda na przetwarzanie danych osobowych w celu realizacji konkursu.
Firma X robi konkurs. Oprócz przetwarzania danych uczestników w celu jego realizacji, chciałaby później wykorzystać dane zwycięzców (imię, nazwisko, miejscowość) i ich prace, do promocji swojej marki. Ile zgód potrzebuje?
Przeprowadzanie konkursu do działalność marketingowa, mająca na celu promocję marki. Należy uznać, że wykorzystanie danych zwycięzców i ich prac, wpisuje się w cel przeprowadzenia konkursu. Wystarczy jedna zgoda, należy tylko pamiętać o szczegółowym określeniu celu, aby uczestnik konkursu, wiedział że jego dane mogą być wykorzystywane w celach promocyjnych, także po zakończeniu konkursu.

Firma X chciałaby po zakończeniu konkursu wysyłać wszystkim uczestnikom podziękowanie za udział oraz informacje o jej produktach (ewentualnie zaproszenie do zapoznania się z ofertą). Ile zgód jest potrzebnych?
Samo podziękowanie za udział w konkursie nie wymaga oddzielnej zgody, jednakże każda wzmianka o działalności firmy X, zaproszenie do zapoznania się z jej ofertą, itd., jest już dodatkową, niewpisującą się w cel realizacji konkursu czynnością. Potrzebna będzie dodatkowa zgoda na przetwarzanie danych osobowych.
Jednocześnie firma X chce przekazać dane zwycięzców firmie Y, która wyśle im nagrody.
Takie działanie wymaga zawarcia umowy powierzenia danych osobowych pomiędzy firmą X oraz firmą Y. Wówczas nie jest już potrzebna dodatkowa zgoda podmiotu danych na przekazanie jego danych firmie Y, wskazane byłoby jednak, aby administrator danych poinformował, że będzie dokonywał takiej czynności.

Różne cele przetwarzania to na przykład:

Przeprowadzanie konkursu i wszystkie czynności związane z jego przeprowadzeniem
Wysyłanie newslettera
Zgoda na marketing (mailowy, telefoniczny – powinna być wskazana forma działań)
Badanie satysfakcji klienta
Przeprowadzanie badań naukowych

Wskazywanie ustawy o ochronie danych osobowych, jako podstawy przetwarzania danych

Ustawa o ochronie danych osobowych (a docelowo RODO) nie stanowi sama w sobie podstawy prawnej do przetwarzania danych. Zgodnie z art. 23 ust. 1 ustawy podstawę przetwarzania może stanowić:

– zgoda
– przepis prawa
– umowa zawarta z podmiotem danych
– realizacja celów dla dobra publicznego
– prawnie usprawiedliwiony cel administratora danych, jeżeli nie narusza praw i wolności podmiotu danych

Mówiąc najprościej, samo wyrażenie zgody stanowi podstawę prawną przetwarzania danych osobowych i nie wskazuje się wówczas innych przepisów. Natomiast wskazanie podstawy prawnej następuje wtedy, gdy dane są przetwarzane na podstawie innej przesłanki, wtedy np. wskazuje się, że dane są przetwarzane na podstawie Kodeksu Pracy lub ustawy o bibliotekach.

Zgoda na udostępnianie danych w celach marketingowych innym podmiotom

Zgoda jest wyrażana dla konkretnego administratora danych. Jeżeli ten administrator chciałby udostępniać pozyskane dane innym administratorom, aby mogli je wykorzystywać do własnych celów (najczęściej marketingowych), powinien pozyskać odrębną zgodę. Każde udostępnienie danych powinno być odnotowywane przez administratora, aby zachować zasadę rozliczalności.

Więcej na temat zgody i tego jak powinna wyglądać

Obszerny mój artykuł na temat wyrażania i pozyskiwania zgody na przetwarzanie danych jest tutaj.

Dodatkowo warto przeczytać o obowiązkach informacyjnych, które należy spełnić przy pozyskiwaniu zgody w świetle nowych przepisów o ochronie danych osobowych (pisałam o tym tutaj).

Autorką tekstu jest Sylwia Czub-Kiełczewska, specjalista ds. ochrony danych osobowych oraz certyfikowany audytor wewnętrzny ISO 27001

Spodobał Ci się ten wpis?