Zgoda na przetwarzanie danych osobowych jest jedną z podstaw legalizujących przetwarzanie na gruncie art. 6 ust. 1 lit. a RODO. Aby była ważna, musi być dobrowolna, konkretna, świadoma i jednoznaczna, a w przypadku szczególnych kategorii danych często musi być wyraźna. Nie jest jednak podstawą „domyślną” ani uniwersalną: administrator może przetwarzać dane także wtedy, gdy podstawą prawną jest umowa, obowiązek prawny, żywotne interesy, zadanie realizowane w interesie publicznym albo prawnie uzasadniony interes.
Pytanie, kiedy potrzebna jest zgoda na przetwarzanie danych, wraca w praktyce bardzo często, zwłaszcza w e-commerce, marketingu, rekrutacji i relacjach pracodawca-pracownik. Najczęstszy błąd polega na tym, że przedsiębiorca zbiera zgodę „na wszelki wypadek”, choć w danej sytuacji właściwa jest inna podstawa przetwarzania danych osobowych. To podejście jest ryzykowne: jeśli zgoda została zebrana wadliwie albo mogła zostać swobodnie odmówiona tylko pozornie, całe przetwarzanie może okazać się niezgodne z RODO.
Zgoda jako podstawa przetwarzania danych osobowych nie zawsze jest potrzebna
RODO nie wymaga zgody w każdym przypadku. Zgodnie z art. 6 ust. 1 RODO dane osobowe można przetwarzać, jeżeli spełniona jest co najmniej jedna z przesłanek legalności. Zgoda jest tylko jedną z nich.
W praktyce zgoda nie jest potrzebna, gdy przetwarzanie jest niezbędne do wykonania umowy lub do podjęcia działań na żądanie osoby przed zawarciem umowy, zgodnie z art. 6 ust. 1 lit. b RODO. Nie potrzeba jej także wtedy, gdy przetwarzanie wynika z obowiązku prawnego ciążącego na administratorze, co przewiduje art. 6 ust. 1 lit. c RODO. Typowe przykłady to prowadzenie dokumentacji księgowej, rozliczenia podatkowe, obsługa reklamacji w zakresie wymaganym prawem czy realizacja obowiązków pracodawcy wynikających z Kodeksu pracy.
Z tego powodu sklep internetowy nie powinien prosić klienta o zgodę na przetwarzanie danych potrzebnych do realizacji zamówienia. Takie dane przetwarza, ponieważ przetwarzanie jest niezbędne do wykonania umowy sprzedaży i obowiązków posprzedażowych. Podobnie pracodawca nie opiera przetwarzania danych osobowych pracownika wymaganych przez przepisy prawa pracy na zgodzie, lecz na odpowiedniej podstawie ustawowej.
Kiedy potrzebna jest zgoda na przetwarzanie danych osobowych
Zgoda jest potrzebna wtedy, gdy administrator chce przetwarzać dane, a nie ma innej adekwatnej podstawy prawnej z art. 6 ust. 1 RODO albo gdy przepisy szczególne wymagają zgody w określonym obszarze działania. Dotyczy to zwłaszcza sytuacji, w których osoba fizyczna ma mieć realny wybór, czy jej dane będą wykorzystywane w dodatkowym celu.
Najczęstsze przykłady obejmują:
- działania marketingowe, które nie mogą być oparte na innej podstawie lub dodatkowo wymagają zgody na gruncie przepisów sektorowych,
- publikację wizerunku, gdy brak jest innej podstawy prawnej i nie zachodzi wyjątek przewidziany w przepisach prawa autorskiego,
- udział w akcjach promocyjnych, newsletterach lub programach lojalnościowych, jeżeli zakres danych i cel wykraczają poza wykonanie umowy,
- przetwarzanie szczególnych kategorii danych na podstawie art. 9 ust. 2 lit. a RODO, gdy brak innej przesłanki z art. 9 ust. 2,
- pozostawienie CV na potrzeby przyszłych rekrutacji, gdy pracodawca chce przetwarzać dane po zakończeniu bieżącego naboru.
Kluczowe jest ustalenie celu przetwarzania danych. Jeżeli administrator chce przetwarzać dane osobowe w celu realizacji umowy i jednocześnie w celu marketingowym, powinien oddzielić te cele oraz przypisać im odrębne podstawy przetwarzania. To właśnie tutaj najczęściej pojawia się odpowiedź na pytanie, kiedy potrzebna jest zgoda na przetwarzanie danych: wtedy, gdy cel jest dodatkowy, fakultatywny i nie da się go rzetelnie oprzeć na innej podstawie prawnej.
Warunki ważności zgody według RODO
Definicję zgody zawiera art. 4 pkt 11 RODO, a dalsze wymogi wynikają z art. 7 RODO. Zgoda musi być wyrażona przez oświadczenie lub wyraźne działanie potwierdzające. Nie wystarczy więc ogólna akceptacja relacji z administratorem ani bierne zachowanie użytkownika.
Dobrowolność zgody
Dobrowolność oznacza realny wybór. Osoba, której dane dotyczą, musi móc odmówić lub wycofać zgodę bez negatywnych konsekwencji. Zgodnie z art. 7 ust. 4 RODO zgoda nie może warunkować wykonania umowy lub usługi, jeśli dane nie są niezbędne do jej realizacji. Jeżeli więc przedsiębiorca uzależnia zakup od zgody na marketing, choć marketing nie jest konieczny do wykonania umowy, zgoda jest co najmniej poważnie wadliwa, a często nieważna.
Problem dobrowolności szczególnie wyraźnie widać w stosunkach podporządkowania, np. pracowniczych. W relacji pracodawca-pracownik zgoda bywa oceniana restrykcyjnie, ponieważ pracownik może nie czuć pełnej swobody decyzji.
Konkretność zgody
Konkretność oznacza, że zgoda odnosi się do jasno określonego celu lub celów przetwarzania. Nie wolno łączyć wielu odmiennych celów w jednej formule, jeśli osoba nie może zdecydować o każdym z nich osobno. W praktyce nie należy łączyć realizacji umowy i marketingu w jeden checkbox. Jeżeli podstawą ma być art. 6 ust. 1 lit. a RODO, zgoda powinna dotyczyć konkretnego, odrębnego celu przetwarzania danych.
Świadomość zgody
Świadomość oznacza, że osoba wie, kto przetwarza dane, po co, w jakim zakresie i jakie ma prawa. Zgodnie z art. 7 ust. 2 RODO prośba o zgodę musi być przedstawiona w zrozumiałej i łatwo dostępnej formie, jasnym i prostym językiem. Nie może być ukryta w regulaminie, napisana niezrozumiałym językiem prawniczym ani połączona z innymi oświadczeniami w sposób utrudniający zrozumienie.
Jednoznaczność i zakaz domniemania zgody
Jednoznaczność oznacza aktywne zachowanie osoby. Zgoda musi być wyrażona w sposób, który nie pozostawia wątpliwości co do zamiaru. Niedopuszczalne są domyślnie zaznaczone checkboxy, tak zwane pre-ticked boxes. Nie wolno też wywodzić zgody z milczenia, bezczynności, dalszego korzystania ze strony internetowej bez wyraźnej akcji czy z samego faktu kontaktu z przedsiębiorcą.
Jeżeli administrator chce przetwarzać dane na podstawie zgody, musi być w stanie wykazać, że zgoda została rzeczywiście udzielona. Wynika to z art. 7 ust. 1 RODO.
Wyraźna zgoda przy szczególnych kategoriach danych
Jeżeli przetwarzanie dotyczy szczególnych kategorii danych, o których mowa w art. 9 ust. 1 RODO, takich jak dane o zdrowiu, poglądach politycznych, pochodzeniu rasowym lub etnicznym czy przekonaniach religijnych, sama zwykła zgoda może nie wystarczyć. Wówczas podstawą może być wyraźna zgoda z art. 9 ust. 2 lit. a RODO, chyba że zastosowanie ma inna przesłanka z tego przepisu.
Jak powinna wyglądać zgoda na przetwarzanie danych osobowych
Poprawna zgoda nie sprowadza się do jednego zdania „wyrażam zgodę”. Liczy się cały mechanizm jej uzyskania, treść komunikatu oraz możliwość wykazania, że osoba fizyczna rzeczywiście świadomie wyraziła zgodę na przetwarzanie swoich danych osobowych.
Dobrze skonstruowana zgoda powinna:
- wskazywać administratora danych,
- określać dokładny cel przetwarzania,
- oddzielać zgodę od innych oświadczeń, np. od akceptacji regulaminu,
- umożliwiać odrębne wyrażenie zgody dla różnych celów,
- być napisana prostym i zrozumiałym językiem,
- zawierać informację o prawie do wycofania zgody w dowolnym momencie,
- być udokumentowana po stronie administratora.
Sama zgoda nie zastępuje obowiązku informacyjnego. Zgodnie z art. 13 RODO klauzula informacyjna musi określać m.in. tożsamość administratora, cele i podstawy przetwarzania, odbiorców danych oraz okres ich retencji, a także informować o prawach osoby, której dane dotyczą, w tym o prawie cofnięcia zgody, jeżeli to ona jest podstawą przetwarzania.
Klauzula zgody a klauzula informacyjna to nie to samo
W praktyce pojęcia te są często mylone. Klauzula zgody to oświadczenie woli osoby, która chce wyrazić zgodę na przetwarzanie danych. Klauzula informacyjna to zestaw informacji, które administrator musi przekazać na podstawie art. 13 albo art. 14 RODO.
Można je umieścić obok siebie, ale nie należy ich utożsamiać. Błąd polega często na tym, że administrator przedstawia długi tekst informacyjny i uznaje, że samo jego przeczytanie oznacza zgodę. Nie oznacza. Potrzebne jest jeszcze odrębne, jednoznaczne działanie potwierdzające.
Dopuszczalność i wymogi dowodowe zgody ustnej
RODO nie wyklucza zgody ustnej. Teoretycznie można więc wyrazić zgodę także w rozmowie telefonicznej lub bezpośredniej. Problemem jest jednak dowód. Zgodnie z art. 7 ust. 1 RODO to administrator musi wykazać, że osoba wyraziła zgodę na przetwarzanie danych osobowych.
W praktyce zgoda ustna jest dopuszczalna tylko wtedy, gdy administrator potrafi ją wiarygodnie udokumentować. Może to oznaczać nagranie rozmowy, protokół, potwierdzenie treści zgody albo inny trwały zapis. Jeżeli brak narzędzi dowodowych, opieranie przetwarzania wyłącznie na zgodzie ustnej jest obarczone dużym ryzykiem.
Wycofanie zgody musi być proste i skuteczne
Osoba, której dane dotyczą, ma prawo w dowolnym momencie wycofać zgodę na mocy art. 7 ust. 3 RODO, a jej cofnięcie musi być równie proste jak jej wyrażenie. Administrator nie może nakładać opłat ani utrudniać procedury rezygnacji, na przykład wymagać wizyty osobistej, gdy zgodę wyrażono przez formularz online.
Wycofanie zgody nie działa wstecz. Oznacza to, że przetwarzanie danych przed cofnięciem zgody pozostaje zgodne z prawem, o ile sama zgoda była ważna. Od momentu cofnięcia administrator musi jednak zaprzestać przetwarzania w zakresie opartym na zgodzie, chyba że istnieje inna samodzielna podstawa prawna do dalszego przetwarzania tych danych.
W praktyce warto zapewnić prosty mechanizm wycofania zgody:
- link rezygnacji w newsletterze,
- ustawienia konta użytkownika,
- dedykowany adres e-mail,
- krótki formularz online.
Zgoda dzieci i przetwarzanie danych osobowych dziecka
Odrębne zasady dotyczą usług społeczeństwa informacyjnego oferowanych bezpośrednio dziecku. Zgodnie z art. 8 ust. 1 RODO, jeżeli podstawą przetwarzania jest zgoda, a dziecko nie ukończyło 16 lat, zgoda jest skuteczna tylko wtedy, gdy została wyrażona lub zaaprobowana przez osobę sprawującą władzę rodzicielską. Państwa członkowskie mogą obniżyć ten próg do 13 lat; w Polsce przyjmuje się granicę 13 lat na podstawie przepisów krajowych wdrażających RODO.
Administrator powinien podjąć rozsądne starania, aby zweryfikować, czy zgoda rodzica lub opiekuna rzeczywiście została udzielona. Zakres tych działań zależy od ryzyka, charakteru usługi i dostępnych środków technicznych. Nie chodzi o absolutną pewność, lecz o procedurę adekwatną do okoliczności.
Zgoda w rekrutacji i wzór zgody do CV
Rekrutacja to obszar, w którym pytanie o udzielenie zgody pojawia się wyjątkowo często. Nie zawsze jednak zgoda jest potrzebna. Dane kandydata wskazane w Kodeksie pracy pracodawca może przetwarzać na podstawie przepisów prawa, bez zgody, w zakresie wymaganym dla bieżącej rekrutacji. Jeżeli jednak kandydat przekazuje dane wykraczające poza ten zakres albo chce uczestniczyć w przyszłych rekrutacjach, zgoda może być właściwą podstawą.
Przykładowy wzór zgody do CV na potrzeby przyszłych rekrutacji może brzmieć:
„Wyrażam zgodę na przetwarzanie moich danych osobowych zawartych w CV przez [nazwa administratora] w celu prowadzenia przyszłych procesów rekrutacyjnych.”
Jeżeli rekrutacja dotyczy wyłącznie bieżącego naboru, taka klauzula nie zawsze jest konieczna. Warto też pamiętać, że zgoda nie powinna być łączona z nadmiernym zakresem danych. Pracodawca nie powinien zachęcać do przekazywania informacji, których nie potrzebuje.
Kiedy zgoda jest nieważna
Zgoda jest nieważna, jeżeli nie spełnia warunków z RODO albo została użyta zamiast właściwej podstawy prawnej. W praktyce najczęstsze wady to:
- brak dobrowolności, np. uzależnienie usługi od zgody na zbędny marketing,
- łączenie kilku celów w jedno oświadczenie,
- ukrycie zgody w regulaminie lub długim tekście,
- domyślnie zaznaczone pola wyboru,
- brak możliwości łatwego wycofania zgody,
- brak możliwości wykazania, kiedy i na jaką treść osoba wyraziła zgodę,
- powołanie się na zgodę tam, gdzie przetwarzanie jest niezbędne do wykonania umowy lub wynika z obowiązku prawnego.
Jeżeli administrator przetwarza dane osobowe z naruszeniem zasad dotyczących zgody, naraża się nie tylko na zarzut braku podstawy legalności, ale również na naruszenie zasady rozliczalności z art. 5 ust. 2 RODO.
Jak ocenić, czy potrzebna jest zgoda na przetwarzanie
Praktyczny test jest prosty: najpierw należy ustalić cel przetwarzania, a następnie sprawdzić, czy istnieje inna podstawa prawna z art. 6 ust. 1 RODO. Dopiero gdy odpowiedź brzmi „nie”, warto rozważyć zgodę jako podstawę przetwarzania danych osobowych.
Pomocne pytania kontrolne:
- Czy przetwarzanie jest niezbędne do wykonania umowy?
- Czy obowiązek przetwarzania wynika z ustawy?
- Czy cel jest dodatkowy i fakultatywny z perspektywy osoby?
- Czy osoba może realnie odmówić bez szkody?
- Czy da się oddzielić zgodę dla każdego celu?
- Czy administrator potrafi udowodnić udzielenie zgody i obsłużyć jej wycofanie?
Jeżeli na etapie projektowania procesu przetwarzania odpowiedzi na te pytania nie są jasne, zwykle oznacza to, że model oparty na zgodzie wymaga dopracowania albo w ogóle nie jest właściwy.
FAQ
Jak brzmi zgoda na przetwarzanie danych osobowych?
Nie ma jednej ustawowej formuły. Zgoda powinna jasno wskazywać administratora i konkretny cel, na przykład: „Wyrażam zgodę na przetwarzanie moich danych osobowych przez [nazwa administratora] w celu przesyłania informacji handlowych drogą e-mail.” Treść trzeba dostosować do rzeczywistego celu przetwarzania danych, a sama zgoda musi być dobrowolna, konkretna, świadoma i jednoznaczna.
Jak brzmi aktualna klauzula RODO?
Nie istnieje jedna „aktualna klauzula RODO” odpowiednia dla wszystkich przypadków. RODO wymaga, aby treść informacji była dopasowana do konkretnego administratora, celu przetwarzania, podstawy prawnej, odbiorców danych i okresu przechowywania. Jeżeli chodzi o klauzulę informacyjną, jej elementy określa przede wszystkim art. 13 RODO, a przy danych pozyskanych nie od osoby – art. 14 RODO.
Jak powinna wyglądać zgoda na przetwarzanie danych osobowych?
Powinna być oddzielona od innych oświadczeń, sformułowana prostym językiem i przypisana do konkretnego celu. Nie może wynikać z milczenia ani z domyślnie zaznaczonego pola. Administrator musi też umożliwić łatwe wycofanie zgody i wykazać, że została udzielona.
Jak powinna brzmieć klauzula RODO?
Powinna być konkretna i dopasowana do procesu przetwarzania. Klauzula informacyjna powinna wskazywać co najmniej administratora, dane kontaktowe, cele i podstawy przetwarzania, odbiorców danych, okres przechowywania, prawa osoby, informację o prawie wniesienia skargi do Prezesa UODO oraz – gdy podstawą jest zgoda – informację o możliwości jej cofnięcia. Nie należy kopiować uniwersalnych wzorów bez sprawdzenia, czy odpowiadają rzeczywistemu sposobowi, w jaki administrator zamierza przetwarzać dane.
Czy zgoda na przetwarzanie danych osobowych może być obowiązkowa?
Nie, jeśli mowa o zgodzie w rozumieniu RODO. Zgoda musi być dobrowolna. Jeżeli przetwarzanie jest faktycznie konieczne do zawarcia lub wykonania umowy albo wynika z przepisu prawa, właściwą podstawą nie jest zgoda, lecz odpowiednio art. 6 ust. 1 lit. b albo lit. c RODO.
Czy po cofnięciu zgody trzeba usunąć wszystkie dane?
Nie zawsze. Trzeba zakończyć przetwarzanie w zakresie opartym na zgodzie. Jeżeli jednak część danych musi być dalej przetwarzana na innej podstawie, na przykład dla celów podatkowych, księgowych albo obrony przed roszczeniami, administrator może zachować te dane w odpowiednim zakresie i przez uzasadniony okres.
