W jednym z poprzednich opracowań wskazałem, jakie warunki musi spełnić zgoda według RODO, by zostać skutecznie udzieloną. To o tyle ważne, że zgoda osoby, której dane dotyczą, stanowi pierwszą podstawę prawną przetwarzania danych umieszczoną w rozporządzeniu.

Dla przypomnienia, zgodnie z art. 4 pkt 11 przesłankami skutecznego złożenia zgody są jej dobrowolność, konkretność, świadomość osoby udzielającej zgody oraz jednoznaczność. Dalszą materię regulują natomiast art. 7, 8, 9, 22 i 49.

Art. 7 ust. 1 jest wyrazem zasady rozliczalności. Stwierdza on, że to na administratorze ciąży obowiązek wykazania, że posiada ważną zgodę na przetwarzanie danych osobowych. Jeśli zgoda znajduje się w pisemnym oświadczeniu dotyczącym także innych kwestii, część jej dotycząca musi się wyraźnie odróżniać od reszty dokumentu oraz być napisana jasnym i prosty językiem. Jeśli których z tych warunków nie został spełniony, zgoda nie jest wiążąca.

RODO reguluje także zasady dotyczące cofnięcia zgody. Nie można ograniczyć tego prawa osobie, której dane dotyczą, jednak cofnięcie zgody nie wpływa na prawidłowość danych przetwarzanych w okresie od udzielenia zgody do jej cofnięcia. O możliwości cofnięcia zgody podmiot musi zostać poinformowany przed jej udzieleniem, a samo wycofanie powinno być tak samo łatwe, jak wyrażenie zgody.

Art. 7 ust. 4 zawiera z kolei wskazówki interpretacyjne, które znajdą zastosowanie przy ocenie, czy zgodę wyrażono dobrowolnie. Według jego zaleceń powinno się w największym stopniu uwzględniać czy od zgody zależy wykonanie umowy, jeśli zgoda nie jest niezbędna do jej wykonania.

Modyfikację powyższych zasad znajdziemy w art. 8 dotyczącym zgody wyrażanej przez dziecko. W przypadku usług społeczeństwa informacyjnego oferowanych bezpośrednio dziecku (np. portale społecznościowe), możliwe jest uzyskanie zgody od osoby, która skończyła 16 lat. W innych przypadkach zgodę musi wyrazić lub zaaprobować osoba sprawująca władzę rodzicielską lub opiekę. Administrator powinien podjąć rozsądne działania by zweryfikować powyższe okoliczności.

Dalsza modyfikacja zasad ogólnych znalazła się w art. 9 ust. 2 lit. a dotyczącym danych wrażliwych. Na przetwarzanie takich danych podmiot może wyrazić zgodę, chyba że prawo Unii lub prawo państwa członkowskiego przewidują, iż osoba, której dane dotyczą, nie może uchylić zakazu przetwarzania tych danych.

Zgoda osoby, której dane dotyczą potrzebna jest również do stosowania wobec niej profilowania (art. 22 ust. 2 lit. c) oraz do przekazania danych osobowych do państwa trzeciego lub organizacji międzynarodowej w określonych w art. 49 sytuacjach.

Michał Wysocki

Bibliografia:

  1. E. Bielak-Jomaa, D. Lubasz (red.), RODO. Ogólne rozporządzenie o ochronie danych. Komentarz, Wolters Kluwer Polska, 2017;
  2. P. Litwiński (red.), Rozporządzenie UE w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i swobodnym przepływem takich danych. Komentarz, C.H. Beck, 2018