Jakie są podstawy prawne przetwarzania danych osobowych?

Zgodnie z art. 6 ust. 1 RODO przetwarzanie danych jest zgodne z prawem wyłącznie wtedy, gdy spełniony jest co najmniej jeden z poniższych warunków:

1. 

   Odbierz pakiet bezpłatnych poradników i mikroszkoleń RODO

   Dołącz do grona czytelników naszego biuletynu, odbierz bezpłatny pakiet i trzymaj rękę na pulsie.

   ODBIERZ PAKIET
   osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym celu lub większej liczbie określonych celów,
2. przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy,
3. przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze,
4. przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej,
5. przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi,
6. przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności, gdy osoba, której dane dotyczą, jest dzieckiem.

Czy zgoda to najlepsza podstawa przetwarzania?

Zgoda, choć wymieniona w RODO jako pierwsza, nie zawsze jest najwygodniejszym i najpewniejszym wyborem, kiedy szukamy przesłanek legalnego przetwarzania danych. Wręcz przeciwnie – co do zasady zgodę odbieramy wówczas, gdy w konkretnym stanie faktycznym i prawnym nie sposób znaleźć innej podstawy przetwarzania. Warto pamiętać, że każda z podstaw ma niezależny byt i samodzielny charakter. Jeśli więc spełniony jest inny warunek z art. 6 ust. 1 RODO, np. konieczność pozyskania określonych danych wynika wprost z obowiązujących przepisów, nie tylko nie musimy, ale wręcz nie powinniśmy odbierać w tym zakresie zgody od osoby, której dane zamierzamy przetwarzać. Taka „kumulacja podstaw” jest zbędna, niepoprawna, a przy tym narusza zasadę przejrzystości – jedną z podstawowych zasad legalnego przetwarzania danych.

Jak napisać zgodę na przetwarzanie danych, by była zgodna z RODO?

Nie każda zgoda wiąże osobę, która jej udzieliła. Żeby zgoda wywoływała skutki prawne (innymi słowy, żeby gwarantowała istnienie legalnej podstawy prawnej przetwarzania danych) musi spełniać następujące warunki:

1. być dobrowolna – wyrażona bez nacisku, przymusu, obowiązku,
2. być świadoma – wyrażona przez osobę, która rozumie, na co się zgadza,
3. być jednoznaczna – niebudząca wątpliwości co do tego, na co faktycznie się zgodzono.

Każda zgoda pozyskana w wyniku manipulacji, sugestii, wstępnego zaznaczenia pożądanej opcji czy milczenia nie będzie uznawana za zgodę w rozumieniu RODO, a w konsekwencji nie będzie wiążąca.

Zgoda na przetwarzanie danych a klauzula informacyjna

Jak w każdym przypadku zbierania danych również wtedy, gdy robimy to na podstawie zgody, jesteśmy zobowiązani spełnić obowiązek informacyjny w stosunku do osób, których dane dotyczą. W przypadku zgody klauzula informacyjna dodatkowo zyskuje na znaczeniu, ponieważ prawidłowo zrealizowany obowiązek informacyjny może istotnie wpływać na ocenę świadomości jej wyrażenia.

Przejrzystość i kompletność informacji udzielonych przy okazji odbierania zgody to niejednokrotnie czynnik decydujący o stanie świadomości osoby, która tej zgody udziela. To właśnie w tym momencie podmiot danych poznaje okoliczności przetwarzania informacji na własny temat, konsekwencje tego przetwarzania i przysługujące mu w związku z tym prawa, przez co w konsekwencji może w pełni świadomie wyrazić zgodę, rozumiejąc, na co się zgadza.

Jak stanowi motyw 42 RODO: „Aby wyrażenie zgody było świadome, osoba, której dane dotyczą, powinna znać przynajmniej tożsamość administratora oraz zamierzone cele przetwarzania danych osobowych”. Mówiąc inaczej, w przypadku przetwarzania danych na podstawie zgody klauzula informacyjna oznacza nie tylko samo spełnienie obowiązku informacyjnego aktualnego dla każdej z podstaw przetwarzania, lecz dodatkowo stanowi element mogący nawet decydować o tym, czy w konkretnym przypadku w ogóle dysponujemy podstawą prawną przetwarzania (jeśli zgoda nie jest świadoma, to nie wiąże, a jeśli nie wiąże, to nie może stanowić podstawy prawnej przetwarzania danych). Dlatego przy okazji formułowania treści zgody tak ważna jest jednoczesna i uważna realizacja obowiązku informacyjnego. Jego zaniedbanie może udaremnić skuteczne oparcie przetwarzania danych na zgodzie osoby, której dane dotyczą.

Czy zgodę na przetwarzanie danych można wycofać?

Jak stanowi art. 7 RODO, osoba udzielająca zgody ma prawo w dowolnym momencie ją wycofać, przy czym wycofanie zgody nie wpływa na zgodność z prawem przetwarzania, którego dokonano na jej podstawie przed jej wycofaniem. Powyższe oznacza, że wycofanie zgody ma skutek jedynie na przyszłość – nie delegalizuje przetwarzania dokonanego na jej podstawie przed jej wycofaniem. Co ważne, osoba, której dane dotyczą, powinna być o tym poinformowana, zanim wyrazi zgodę. Dobrą praktyką będzie zatem umieszczenie takiego zastrzeżenia już w treści samej zgody lub w treści klauzuli informacyjnej znajdującej się przed miejscem na podpis osoby wyrażającej zgodę, przed/nad checkboxem przeznaczonym do jej wyrażenia, tak by istniała możliwość wygodnego rozliczenia się z wykonania powyższego obowiązku.

Warto również pamiętać, że wycofanie zgody musi być równie łatwe jak jej wyrażenie. W praktyce oznacza to konieczność stworzenia takich mechanizmów, które umożliwią bezproblemowe i bezwarunkowe „wypisanie się” z tych procesów przetwarzania danych, na które wcześniej wyrażono zgodę. Jak argumentował Wojewódzki Sąd Administracyjny w Warszawie w wyroku z 21 lutego 2021 r. (sygn. akt II SA/Wa 2378/20), nawet samo zapytanie o powód chęci cofnięcia zgody będzie jedną z form utrudnienia jej cofnięcia lub wręcz może prowadzić do uniemożliwienia realizacji tego prawa. Proces odwołania zgody powinien przebiegać w łatwy sposób i za pomocą tego samego kanału informacyjnego co użyty do pozyskania zgody.

Zgoda wymagana na gruncie innych przepisów niż RODO

Zdarza się, że udzielenia zgody na określone czynności związane z przetwarzaniem danych osobowych wymagają odrębne przepisy. Przykładem może być chociażby zapis na newsletter. Newsletter to nic innego jak marketing bezpośredni, który RODO uważa za realizację prawnie uzasadnionego interesu administratora. To z kolei oznacza, że przetwarzanie danych w tym celu odbywa się na podstawie art. 6 ust. 1 lit. f RODO, a nie na podstawie art. 6 ust. 1 lit. a RODO (czyli nie na podstawie zgody, a właśnie w ramach realizacji uzasadnionego interesu administratora). Nie zmienia to jednak faktu, że do legalnego przetwarzania danych w omawianym celu konieczne jest uprzednie pozyskanie wyraźnej zgody, ponieważ taki wymóg wynika z ustawy o świadczeniu usług drogą elektroniczną oraz z Prawa telekomunikacyjnego.

Zgoda na przetwarzanie danych – praktyczne przykłady

Znamy już podstawowe zasady formułowania zgody i warunki jej skuteczności, a więc przejdźmy do konkretnych przykładów. Poniżej zamieszczamy propozycje zgód opatrzonych klauzulami informacyjnymi przeznaczonymi ściśle dla konkretnego celu przetwarzania danych. W zależności od indywidualnego stanu faktycznego i prawnego poniższe propozycje będą oczywiście wymagać modyfikacji i/lub uzupełnienia.

Zgoda na przetwarzanie danych na potrzeby przyszłych rekrutacji

Zgoda

Praktyczny kurs IOD
potwierdzi Twoje wysokie kompetencje

Przygotuj się do pełnienia funkcji inspektora ochrony danych. Jakość kursu potwierdził Mazowiecki Kurator Oświaty. Zapraszamy!

WYBIERZ TERMIN

Mam świadomość, że powyższą zgodę mogę wycofać w każdym momencie, co nie wpływa na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej wycofaniem.

Klauzula informacyjna

1. Administratorem Twoich danych osobowych jest [nazwa administratora] z siedzibą w [adres siedziby administratora].
2. Twoje dane osobowe będą przetwarzane w celu uwzględnienia Twojej kandydatury w ramach przyszłych procesów rekrutacyjnych (na podstawie Twojej zgody – art. 6 ust. 1 lit. a RODO).
3. Odbiorcami Twoich danych osobowych będą firmy świadczące usługi informatyczne lub dostarczające nam rozwiązań informatycznych, firmy świadczące usługi kurierskie i pocztowe, dostawcy usług publikacji ogłoszeń o pracę.
4. Twoje dane osobowe będą przechowywane przez okres [do roku] od daty wyrażenia zgody na przetwarzanie danych.
5. Twoje dane osobowe nie będą przekazywane poza Europejski Obszar Gospodarczy ani nie będą przedmiotem zautomatyzowanego podejmowania decyzji, w tym profilowania.
6. W granicach przewidzianych przez RODO przysługuje Ci prawo dostępu do swoich danych osobowych, prawo do ich przenoszenia, prawo do ich sprostowania, prawo do ich usunięcia, prawo do ograniczenia przetwarzania, prawo do wniesienia sprzeciwu wobec przetwarzania i cofnięcia zgody w dowolnym momencie, co nie wpływa na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej wycofaniem.
7. Jeśli uznasz, że przetwarzanie Twoich danych narusza przepisy RODO, przysługuje Ci prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych.
8. Podanie danych jest dobrowolne, ale konieczne do uwzględnienia w przyszłych procesach rekrutacyjnych.

Zgoda na wykorzystanie prywatnych danych kontaktowych pracownika

Zgoda

Wyrażam zgodę na przetwarzanie przez pracodawcę [nazwa i siedziba administratora] wskazanych przeze mnie prywatnych danych kontaktowych w postaci numeru telefonu i/lub adresu e-mail w celu kontaktowania się ze mną w sprawach służbowych.

Mam świadomość, że powyższą zgodę mogę wycofać w każdym momencie, co nie wpływa na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej wycofaniem.

Klauzula informacyjna

1. Administratorem Twoich danych osobowych jest [nazwa administratora] z siedzibą w [adres siedziby administratora].
2. Twoje dane osobowe będą przetwarzane w celu kontaktu w sprawach służbowych (na podstawie Twojej zgody – art. 6 ust. 1 lit. a RODO).
3. Odbiorcami Twoich danych osobowych będą firmy świadczące usługi informatyczne lub dostarczające nam rozwiązań informatycznych.
4. Twoje dane osobowe będą przechowywane przez okres zatrudnienia.
5. Twoje dane osobowe nie będą przekazywane poza Europejski Obszar Gospodarczy ani nie będą przedmiotem zautomatyzowanego podejmowania decyzji, w tym profilowania.
6. W granicach przewidzianych przez RODO przysługuje Ci prawo dostępu do swoich danych osobowych, prawo do ich przenoszenia, prawo do ich sprostowania, prawo do ich usunięcia, prawo do ograniczenia przetwarzania, prawo do wniesienia sprzeciwu wobec przetwarzania i cofnięcia zgody w dowolnym momencie, co nie wpływa na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej wycofaniem.
7. Jeśli uznasz, że przetwarzanie Twoich danych narusza przepisy RODO, przysługuje Ci prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych.
8. Podanie danych jest dobrowolne.

Zgoda na kontakt w celu uzyskania referencji

Zgoda

Wyrażam zgodę na przetwarzanie moich danych osobowych przez [nazwa i siedziba administratora] w celu kontaktu z moim poprzednim pracodawcą, pozyskania referencji i korzystania z nich na potrzeby prowadzonej rekrutacji.

Mam świadomość, że powyższą zgodę mogę wycofać w każdym momencie, co nie wpływa na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej wycofaniem.

Klauzula informacyjna

1. Administratorem Twoich danych osobowych jest [nazwa administratora] z siedzibą w [adres siedziby administratora].
2. Twoje dane osobowe będą przetwarzane w celu kontaktu z Twoim poprzednim pracodawcą, pozyskania referencji i korzystania z nich na potrzeby prowadzonej rekrutacji (na podstawie Twojej zgody – art. 6 ust. 1 lit. a RODO).
3. Odbiorcami Twoich danych osobowych będą firmy świadczące usługi informatyczne lub dostarczające nam rozwiązań informatycznych.
4. Twoje dane osobowe będą przechowywane przez okres bieżącej rekrutacji, tj. nie dłużej niż 3 miesiące od daty wyrażenia zgody na przetwarzanie danych.
5. Twoje dane osobowe nie będą przekazywane poza Europejski Obszar Gospodarczy ani nie będą przedmiotem zautomatyzowanego podejmowania decyzji, w tym profilowania.

6. W granicach przewidzianych przez RODO przysługuje Ci prawo dostępu do swoich danych osobowych, prawo do ich przenoszenia, prawo do ich sprostowania, prawo do ich usunięcia, prawo do ograniczenia przetwarzania, prawo do wniesienia sprzeciwu wobec przetwarzania i cofnięcia zgody w dowolnym momencie, co nie wpływa na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej wycofaniem.
7. Jeśli uznasz, że przetwarzanie Twoich danych narusza przepisy RODO, przysługuje Ci prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych.
8. Podanie danych jest dobrowolne.

Zgoda na newsletter

Zgoda

Wyrażam zgodę na wysyłanie przez [nazwa i siedziba administratora] informacji handlowych i reklamowych na podany przeze mnie adres e-mail.

Mam świadomość, że powyższą zgodę mogę wycofać w każdym momencie, co nie wpływa na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej wycofaniem.

Klauzula informacyjna

1. Administratorem Twoich danych osobowych jest [nazwa administratora] z siedzibą w [adres siedziby administratora].
2. Twoje dane osobowe będą przetwarzane na podstawie art. 6 ust. 1 lit. f RODO w celu wysyłania informacji handlowych i reklamowych na podany przez Ciebie adres e-mail (co stanowi realizację naszego prawnie uzasadnionego interesu rozumianego jako marketing własnych towarów i usług oraz realizacja uprawnień wynikających z wyrażonej przez Ciebie zgody, o której mowa w ustawie o świadczeniu usług drogą elektroniczną oraz Prawie telekomunikacyjnym). Twoje dane osobowe będą również przetwarzane w celu realizacji obowiązków wynikających z ustawy o świadczeniu usług drogą elektroniczną oraz Prawa telekomunikacyjnego (na podstawie art. 6 ust. 1 lit. c RODO).
3. Odbiorcami Twoich danych osobowych będą firmy świadczące usługi informatyczne lub dostarczające nam rozwiązań informatycznych oraz firmy prowadzące działania marketingowe.
4. Twoje dane osobowe będą przechowywane do czasu wycofania zgody lub wniesienia sprzeciwu, tj. okazania nam w dowolny sposób, że nie życzysz sobie pozostawać z nami w kontakcie ani otrzymywać informacji o podejmowanych przez nas działaniach.
5. Twoje dane osobowe nie będą przekazywane poza Europejski Obszar Gospodarczy ani nie będą przedmiotem zautomatyzowanego podejmowania decyzji, w tym profilowania.
6. W granicach przewidzianych przez RODO przysługuje Ci prawo dostępu do swoich danych osobowych, prawo do ich przenoszenia, prawo do ich sprostowania, prawo do ich usunięcia, prawo do ograniczenia przetwarzania, prawo do wniesienia sprzeciwu wobec przetwarzania i cofnięcia zgody w dowolnym momencie, co nie wpływa na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej wycofaniem.
7. Jeśli uznasz, że przetwarzanie Twoich danych narusza przepisy RODO, przysługuje Ci prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych.
8. Podanie danych jest dobrowolne.

Zgoda na wykorzystanie wizerunku pracownika

Zgoda

Wyrażam zgodę na utrwalenie, używanie i rozpowszechnianie mojego wizerunku przez [nazwa i siedziba administratora] w celach reklamowych, promocyjnych oraz marketingowych, związanych z jego działalnością gospodarczą, na zasadach opisanych poniżej.

Niniejsza zgoda nie jest ograniczona terytorialnie i obowiązuje w okresie [np. w okresie obowiązywania umowy o pracę, umowy zlecenia, umowy o dzieło lub innej umowy cywilnoprawnej łączącej osobę wyrażającą zgodę z administratorem], a także przez [wskazać dodatkowy okres] od jej rozwiązania lub wygaśnięcia w dowolnym trybie.

Niniejsza zgoda obejmuje wyłącznie publikację mojego wizerunku na stronie internetowej [nazwa administratora] działającej w domenie [nazwa domeny] i dotyczy wizerunku utrwalonego wyłącznie na fotografiach wykonanych podczas pełnienia obowiązków służbowych lub w związku z ich pełnieniem.

Mój wizerunek może być przedmiotem kadrowania czy kompozycji, bez obowiązku akceptacji produktu końcowego, lecz nie w formach obraźliwych lub ogólnie uznanych za nieetyczne.

Oświadczam, że jestem świadomy(-ma), że mój wizerunek będzie zestawiony z wizerunkami innych pracowników lub współpracowników [nazwa administratora]. Jestem również świadomy(-ma), że mój wizerunek będzie zestawiony z treścią dotyczącą przedmiotu działalności [nazwa administratora], w tym także z treścią o charakterze marketingowym i promocyjnym.

Klauzula informacyjna

1. Administratorem Twoich danych osobowych jest [nazwa administratora] z siedzibą w [adres siedziby administratora].
2. Twoje dane osobowe będą przetwarzane w związku z wykorzystaniem Twojego wizerunku w celach reklamowych, promocyjnych i marketingowych administratora. Podstawą prawną przetwarzania Twoich danych osobowych jest art. 6 ust. 1 lit. f RODO – prawnie uzasadniony interes administratora rozumiany jako reklama, promocja i marketing jego działalności oraz realizacja jego uprawnień wynikających z udzielonej przez Ciebie prawno-autorskiej zgody na rozpowszechnianie wizerunku.
3. Odbiorcami Twoich danych osobowych będą firmy prowadzące działania marketingowe, firmy świadczące usługi informatyczne lub dostarczające nam rozwiązań informatycznych, firmy świadczące usługi fotograficzne i graficzne, a także użytkownicy strony internetowej administratora.
4. Twoje dane osobowe będą przechowywane przez czas obowiązywania udzielonej przez Ciebie prawno-autorskiej zgody.
5. Twoje dane osobowe nie będą przekazywane poza Europejski Obszar Gospodarczy ani nie będą przedmiotem zautomatyzowanego podejmowania decyzji, w tym profilowania.
6. W granicach przewidzianych przez RODO przysługuje Ci prawo dostępu do swoich danych osobowych, prawo do ich przenoszenia, prawo do ich sprostowania, prawo do ich usunięcia, prawo do ograniczenia przetwarzania, prawo do wniesienia sprzeciwu wobec przetwarzania.
7. Jeśli uznasz, że przetwarzanie Twoich danych narusza przepisy RODO, przysługuje Ci prawo wniesienia skargi do Prezesa Urzędu Ochrony Danych Osobowych.
8. Podanie danych jest dobrowolne.