Zgoda na przetwarzanie danych

Zgoda na przetwarzanie danych osobowych może być podstawą przetwarzania zarówno danych zwykłych (art. 6 ust. 1 lit a) RODO, jak i danych szczególnej kategorii (art. 9 ust. 2 lit. b RODO). Oznacza to, że zgoda na przetwarzanie danych osobowych nie może być wyrażona jedynie, gdy dane te dotyczą wyroków skazujących, czynów zabronionych lub powiązanych środków bezpieczeństwa – wtedy wymagany jest szczególny przepis prawa (jest nim np. ustawa o Krajowym Rejestrze Karnym).

Plusem oparcia przetwarzania na zgodzie jest jej jasność, prostota i właściwie nieograniczony zakres – zgodę na przetwarzanie danych można powiązać z dowolnym legalnym celem. Dzięki niej, do przetwarzania danych nie jest konieczne zawarcie umowy, czy w przypadku danych szczególnej kategorii – konkretna ustawa.

Zgoda na przetwarzanie danych podlega jednak pewnym warunkom. Po pierwsze, nie każde zezwolenie jest zgodą. Po pierwsze, zgoda na przetwarzanie danych musi być dobrowolna. Oznacza to, że od jej wyrażenia nie może być uzależnione świadczenie usługi czy wykonanie umowy. W przypadku braku równowagi stron (np. pracodawca odbiera zgody na przetwarzanie danych od pracownika), wytyczne Grupy Roboczej art. 29 dot. zgody zalecają zbadać, czy występuje jakikolwiek element niewłaściwej presji.

Po drugie, zgoda na przetwarzanie danych musi być konkretna, a więc dotyczyć przetwarzania danych osobowych w jasno sprecyzowanym celu. Przykładowo, zbyt ogólna będzie zgoda na przetwarzanie naszych danych w celach marketingowych. W takim przypadku, należy jasno określić, czy marketing będzie polegał na przysyłaniu nam biuletynu, personalizowaniu reklam, udziale w programie lojalnościowym, czy też na zamieszczeniu naszych zdjęć w mediach społecznościowych – i w razie więcej niż jednego z takich celów, zbierać na każdy z nich odrębne zgody.

Po trzecie, zgoda na przetwarzanie danych musi być świadoma, a więc nie może być odebrana jako efekt nieświadomego, czy przypadkowego działania osoby, która ją wyraża. Dotyczy to w szczególności komunikatów elektronicznych, które często odruchowo zamykamy, zamiast się z nimi zapoznać.

Po czwarte, zgoda na przetwarzanie danych musi być jednoznacznym okazaniem woli, a więc jak wskazują wytyczne Grupy Roboczej art. 29, „musi być oczywiste, że osoba, której dane dotyczą, zgodziła się na określone przetwarzanie”. Oznacza to, że jeżeli nie zbieramy zgód w formie oświadczeń, to mogą być one wyrażone tylko w formie wyraźnego działania, jednoznacznie wskazującego na wyrażenie zgody. Dla przykładu, takim jednoznacznym działaniem nie jest samo przewinięcie elektronicznego komunikatu do końca, co niektórzy administratorzy próbowali uznawać za zgodę na przetwarzanie danych.