Zgodnie z definicją zgody zawartą w RODO, powinna ona być dobrowolna, konkretna, świadoma i jednoznaczna. Przepisy Roporządzenia mocno podkreślają kwestię „dobrowolności” zgody.
Milczenie, okienka domyślnie zaznaczone lub niepodjęcie działania nie powinny zatem oznaczać zgody. Zgoda powinna dotyczyć wszystkich czynności przetwarzania dokonywanych w tym samym celu lub w tych samych celach, jeżeli przetwarzanie służy różnym celom, potrzebna jest zgoda na wszystkie te cele.
Jeżeli przetwarzanie odbywa się na podstawie zgody, administrator musi być w stanie wykazać, że osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie swoich danych osobowych.
Zgoda powinna być wyrażona w drodze jednoznacznej, potwierdzającej czynności, która wyraża odnoszące się do określonej sytuacji dobrowolne, świadome i jednoznaczne przyzwolenie osoby, których dane dotyczą, na przetwarzanie dotyczących jej danych osobowych i która ma na przykład formę pisemnego (w tym elektronicznego) lub ustnego oświadczenia.
Jeśli przetwarzanie odbywa się na podstawie zgody osoby, której dane dotyczą, administrator powinien być w stanie wykazać, że osoba, której dane dotyczą, wyraziła zgodę na operację przetwarzania.
Osoba, której dane dotyczą, ma prawo w dowolnym momencie wycofać zgodę. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej wycofaniem. Osoba, której dane dotyczą, jest o tym informowana, zanim wyrazi zgodę. Wycofanie zgody musi być równie łatwe jak jej wyrażenie.
Przepisy Rodo w sposób wyraźny akcentują możłiwość wycofania zgody. Wymagania jakie stawia unijny ustawodawca to przede wszystkim obowiązek poinformowania – jeszcze przed wyrażeniem zgody – o możliwości jej wycofania oraz o tym, że wycofanie zgody nie wpływa na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej wycofaniem.
Kolejne wymaganie dotyczy obowiązku zapewnienia przez administratora, aby wycofanie zgody było tak łatwe jak jej wyrażenie. Jeżeli administrator planuje uzyskiwać zgodę, powinien już na tym wstępnym etapie przewidzieć mechanizm jej wycofania, a więc zastanowić się, jak zgodę tę będzie można odwołać. Dodatkowo, wycofanie zgody ma być tak łatwe, jak jej wyrażenie.
Treść zgody należy skonstruować w taki sposób, aby nie dopuszczać do sutuacji polegających na tym, iż zgodę możemy wyrazić poprzez kliknięcie na stronie internetowej, ale jeśli chcemy ją wycofać musimy wysłać tradycyjną pocztą pisemne oświadczenie.
Analizująć przepisy dotyczące prawa wycofania zgody należy zadać sobie pytanie: co się stanie ze zgodami uzyskanymi na podstawie aktualnych przepisów?
Odpowiedź na to pytanie znajdziemy w motywie 171 preambuły.
„(…) przetwarzanie, które w dniu rozpoczęcia stosowania niniejszego rozporządzenia już się toczy, powinno w terminie dwóch lat od wejścia niniejszego rozporządzenia w życie zostać dostosowane do jego przepisów. Jeżeli przetwarzanie ma za podstawę zgodę w myśl dyrektywy 95/46/WE, osoba, której dane dotyczą, nie musi ponownie wyrażać zgody, jeżeli pierwotny sposób jej wyrażenia odpowiada warunkom niniejszego rozporządzenia; dzięki temu administrator może kontynuować przetwarzanie po dacie rozpoczęcia stosowania niniejszego rozporządzenia. (…)”.
Od dnia 24 maja 2016 roku (dzień wejścia w życie) do dnia 24 maja 2018 (dzień przyjęcia do stosowania) istnieje okres przejściowy, w którym wszelkie elementy, które mogą powodować niezgodność z przepisami RODO powinny zostać dostosowane do nowych przepisów.
Stosując lteralną wykładnię tych przepisów należałoby dojść do wniosku że do dnia 24 maja należy odebrać prawidłowe zgody, inaczej nie będzie można przetwarzać danych osobowych na podstawie zgód niezgodnych z RODO.
Potwierdza to stanowisko GIODO przedstawione w ramach cyklu „ROK DO RODO – SPRAWDZIAN GOTOWOŚCI cz. 6. ZGODA NA PRZETWARZANIE DANYCH” publikowanego na stronie internetowej organu. W zamieszczonym materiale wskazano, że „ większość otrzymanych dotychczas zgód zachowa ważność także pod rządami ogólnego rozporządzenia. , a wycofanie zgody jest równie łatwe jak jej wyrażenie. Zachęcamy więc do przeglądu stosowanych klauzul i mechanizmów pozyskiwania danych i upewnienia się, że spełniają standardy określone w ogólnym rozporządzeniu i nie ma potrzeby zbierania zgód raz jeszcze”.
Natomiast w wytycznych Grupy Roboczej czytamy iż nie można wymagać, by zachowały ważność jedynie te zgody, przy zbieraniu których przekazano wszystkie informacje wymagane przez art. 13 i 14 RODO. W wytycznych czytamy: „Nie wszystkie elementy wymienione w artykułach 13 i 14 RODO muszą zawsze występować jako warunek świadomej zgody, zatem rozszerzone obowiązki informacyjne na mocy RODO niekoniecznie przeciwstawiają się ciągłości zgody wyrażonej przed wejściem w życie RODO.”
Jeśli chcesz dowiedzieć się więcej na temat zmian w przepisach o ochronie danych osobowych zapraszamy na szkolenie RODO - ZMIANY W OCHRONIE DANYCH OSOBOWYCH organizowane przez Fundację Rozwoju Rachunkowości.
Menu
Menu
