Jakie warunki musi spełniać zgoda na przetwarzanie danych klientów zagranicznych według RODO

Ogólne rozporządzenie o ochronie danych (RODO) znajdzie zastosowanie do przetwarzania danych osobowych w związku z działalnością administratora danych w Unii Europejskiej, niezależnie od tego, czy przetwarzanie danych odbywa się na jej terytorium. RODO będzie stosowane więc także, gdy przetwarzane będą dane osób przebywających w UE przez administratora lub podmiot przetwarzający niemający jednostek organizacyjnych w Unii, jeżeli tylko czynności przetwarzania mają cechy wskazane w RODO. Ogólne rozporządzenie o ochronie danych może być więc stosowane nie tylko do podmiotów unijnych, ale także tych, które dokonują przetwarzania danych osobowych, ze skutkiem na terytorium Unii.

Zgoda na przetwarzanie danych według RODO powinna być, podobnie jak w polskiej ustawie o ochronie danych osobowych, dobrowolna, konkretna, świadoma i jednoznaczna. Może być udzielona w formie oświadczenia lub wyraźnego działania potwierdzającego, z którego wynika, że osoba przyzwala na przetwarzanie dotyczących jej danych osobowych. RODO wskazuje, jakie przykładowe zachowania osoby fizycznej i w jakich okolicznościach można uznać za wyrażenie zgody, a jakie nie. Przede wszystkim jednak określa warunki, które muszą być spełnione przez administratora danych, aby mógł on przetwarzać dane na podstawie zgody osoby, której dane dotyczą.

W myśl motywu 42 preambuły RODO administrator powinien być w stanie wykazać, że osoba, której dane dotyczą, wyraziła zgodę na operację przetwarzania. W szczególności w przypadku pisemnego oświadczenia składanego w innej sprawie powinny istnieć gwarancje, że osoba, której dane dotyczą, jest świadoma wyrażenia zgody oraz jej zakresu. Oświadczenie o wyrażeniu zgody powinno mieć zrozumiałą i łatwo dostępną formę, być sformułowane jasnym i prostym językiem i nie powinno zawierać nieuczciwych warunków.

Aby wyrażenie zgody było świadome, osoba, której dane dotyczą, powinna znać przynajmniej tożsamość administratora oraz zamierzone cele przetwarzania danych osobowych. Wyrażenia zgody nie należy uznawać za dobrowolne, jeżeli osoba, której dane dotyczą, nie ma rzeczywistego lub wolnego wyboru oraz nie może odmówić ani wycofać zgody bez niekorzystnych konsekwencji. Co ważne, RODO wskazuje na konieczność uprzedniego poinformowania osoby fizycznej o możliwości wycofania zgody w dowolnym momencie oraz wymaga, by wycofanie zgody było równie łatwe, jak jej wyrażenie.