Zgody według ogólnego rozporządzenia – trzeba zebrać na nowo czy tylko poinformować o nowych prawach

Ogólne rozporządzenie o ochronie danych nie wprowadza rewolucyjnych zmian w kwestii zasad pozyskiwania zgody na przetwarzanie danych osobowych. W niektórych aspektach wręcz liberalizuje wymogi odnoszące się do warunków jej uzyskania. Niewątpliwie jednak przewiduje nieco odmienne niż ustawa o ochronie danych osobowych okoliczności i warunki udzielania zgody.

Według ogólnego rozporządzenia o ochronie danych zgoda osoby, której dane dotyczą, może być udzielona w formie oświadczenia lub wyraźnego działania potwierdzającego, z którego wynika, że osoba ta przyzwala na przetwarzanie dotyczących jej danych osobowych. Dla skuteczności zgody nie będzie już zatem wymagane złożenie przez osobę fizyczną odrębnego oświadczenia woli (w dodatku pisemnego, gdy chodzi o przetwarzanie jej danych wrażliwych). Wystarczające będzie „wyraźne działanie potwierdzające”, z którego będzie wynikać, że dana osoba fizyczna przyzwala na przetwarzanie danych osobowych. Przy czym administrator danych będzie musiał być w stanie wykazać, że osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie swoich danych osobowych. Ogólne rozporządzenie precyzuje, jakie zachowanie osoby fizycznej i w jakich okolicznościach można uznać za wyrażenie zgody. Zgoda niezależnie od formy jej wyrażenia powinna być dobrowolna, konkretna, świadoma i jednoznaczna.

Zdecydowana większość standardów rodo dotyczących zgód na przetwarzanie danych osobowych jest spełniona, gdy chodzi o dotychczas uzyskane zgody na podstawie polskich przepisów. Oczywiście, pod warunkiem że administratorzy danych przy ich pozyskiwaniu stosowali się do przepisów uodo i zaleceń wynikających z orzecznictwa.

Problematyczna jest jednakże kwestia dotycząca spełnienia przez polskich administratorów danych jednego z wymogów rodo, tj. uprzedniego poinformowania osoby wyrażającej zgodę na przetwarzanie danych o prawie do wycofania zgody. Zgodnie bowiem z regulacjami rodo osoba, której dane dotyczą, ma prawo w dowolnym momencie wycofać zgodę i powinna być o tym poinformowana, zanim wyrazi zgodę. Przy czym wycofanie zgody musi być równie łatwe jak jej wyrażenie.

Inaczej ta kwestia została uregulowana w uodo. Ważność zgody według uodo nie zależy od wcześniejszego poinformowania osoby o możliwości odwołania zgody. Uodo przewiduje jedynie uprawnienie osoby do odwołania zgody na każdym etapie przetwarzania danych osobowych. Natomiast nie nakazuje administratorowi danych informowania jej o tym uprawnieniu zanim wyrazi ona zgodę na przetwarzanie danych.

Odpowiadając na pytanie o ważność uzyskanych dotychczas zgód Generalny Inspektor Ochrony Danych Osobowych (GIODO) wyraził pogląd, że większość zgód zachowa ważność, jednakże pod warunkiem że poinformowano osobę, której dane dotyczą o możliwości wycofania zgody w dowolnym momencie, a wycofanie zgody jest równie łatwe jak jej wyrażenie.

GIODO przyjął zatem literalną, a zarazem restrykcyjną wykładnię przepisu przejściowego rodo (artykuł 171), uznając, że stare zgody muszą odpowiadać wszystkim warunkom rodo. Jeśli zatem administrator nie poinformował osoby o prawie do wycofania zgody, zanim ta osoba zgodę wyraziła, wówczas powinien na nowo uzyskać zgodę, żeby przetwarzanie jej danych osobowych było zgodne z rodo. Postępowanie według wskazówek GIODO jest z pewnością rozwiązaniem najbezpieczniejszym dla administratora danych, ale i najbardziej kosztownym i pracochłonnym.

Jeśli administrator nie zdecyduje się na ponowne pozyskiwanie zgód, powinien rozważyć uzupełnienie tych dotychczasowych o informację o możliwości wycofania zgody. Może zatem skierować do osób, których dane dotyczą, taką informację na piśmie lub drogą elektroniczną, bądź telefonicznie. Powinien przy tym pamiętać o udokumentowaniu tych czynności, biorąc pod uwagę fakt, że będzie musiał wykazać, że zgoda została pozyskana przy zachowaniu standardów rodo.

Przekazanie tej informacji powinno być powiązane z zapewnieniem osobom, których dane dotyczą, narzędzi pozwalających na skorzystanie z prawa do wycofania zgody zgodnie z zasadą, że wycofanie zgody jest tak łatwe jak jej wyrażenie.