Zgodnie z art. 7 ust. 3 RODO cofnięcie zgody na przetwarzanie danych osobowych musi być równie łatwe jak jej wyrażenie i nie może być uzależnione od podania przyczyny. Administrator, który utrudnia wycofać zgodę, naraża się na zarzut naruszenia zasad, jakie przewiduje Ogólne rozporządzenie o ochronie danych, a w praktyce także na interwencję organu nadzorczego.
W praktyce problem nie dotyczy wyłącznie formularza „unsubscribe”. Równie ważne jest to, jak sformułowana jest sama zgoda na przetwarzanie danych, czy osoba może ją świadomie wyrazić, a potem równie prosto wycofać, niezależnie od kanału komunikacji. To istotne zarówno dla firm prowadzących marketing, jak i dla osób, których dane dotyczą.
Zasady i warunki wycofania zgody na gruncie art. 7 ust. 3 RODO
Art. 7 ust. 3 RODO nakłada na administratora obowiązek zapewnienia procedury wycofania zgody, która jest co najmniej tak prosta, jak jej udzielenie. Z treści art. 7 ust. 3 RODO wynikają cztery podstawowe zasady: zgoda może zostać cofnięta w każdym czasie, wycofanie zgody nie wpływa na wcześniejszą zgodność działań z prawem, procedura ma być prosta i bezpłatna, a osoba musi zostać o tym poinformowana przed tym, zanim wyrazić zgodę.
Na gruncie RODO zgoda na przetwarzanie danych osobowych jest ważna tylko wtedy, gdy ma charakter dobrowolny, konkretny, świadomy i jednoznaczne. Co do zasady zgoda powinna być wyrażona w formie oświadczenia lub wyraźnego działania, a gdy chodzi o szczególnych kategorii danych osobowych, standard jest jeszcze wyższy. Jeżeli więc przedsiębiorca chce przetwarzać dane marketingowo, musi zadbać nie tylko o treści zgody, ale i o późniejsze wycofywaniem zgody.
To oznacza również, że administrator nie może konstruować procesu tak, aby łatwo było wyrazić akceptację, ale trudno było ją odwołać. W relacji z osobą, której dane dotyczą, zgoda nie może być pułapką proceduralną. Ma to znaczenie także wtedy, gdy ktoś udziela zgody podczas rejestracji na stronie internetowej, przy zamówieniu usługi, a nawet przy okazji zawarcia umowy, jeśli zgoda nie jest niezbędna do jej wykonania.
Zasada równoważności formy – wycofanie zgody tak łatwe, jak jej wyrażenie
Najważniejszy praktyczny wniosek z art. 7 ust. 3 RODO jest prosty: cofnięcie ma być równie łatwe jak jej wyrażenie. Jeżeli użytkownik mógł wyrazić zgodę jednym kliknięciem na stronie internetowej, administrator powinien umożliwić podobnie prostą ścieżkę, aby cofnąć zgodę na przetwarzanie danych. Nie oznacza to konieczności użycia identycznego kanału, ale równoważny poziom prostoty.
Jeżeli zgoda na przetwarzanie danych została zebrana online, a osoba wysyła e-mail zamiast korzystać z panelu klienta, administrator powinien taki wniosek przyjąć i obsłużyć. RODO nie pozwala zamykać drogi tylko dlatego, że ktoś chce wycofać zgodę innym kanałem. W świetle przepisów o ochronie danych osoba, której dane dotyczą, ma prawo w dowolnym momencie zakończyć przetwarzanie jej danych osobowych w zakresie opartym na zgodzie.
W audytach, które prowadzę dla klientów biznesowych, częstym błędem jest rozdzielenie procesu: łatwo wyrazić marketingową zgodę, ale aby ją odwołać, trzeba zalogować się do kilku zakładek albo napisać odrębny formularz. Z perspektywy RODO taki interfejs jest ryzykowny. Dobrą praktyką jest prosty link w wiadomości, jasna opcja w panelu oraz możliwość zgłoszenia e-mailowego. Warto też dodać na stronie internetowej zrzuty ekranu pokazujące poprawnie zaprojektowany mechanizm cofnięcia, bo to wzmacnia przejrzystość i dokumentuje zgodność procesu.
Procedura ma być też całkowicie bezpłatna. Ani administrator, ani administrator danych nie może pobierać opłat za to, że ktoś chce cofnąć zgody, wycofać zgodę albo ograniczyć marketingowe przetwarzanie danych osobowych.
Konsekwencje utrudniania procedury – kara dla ClickQuickNow za wymóg podania przyczyny
Praktyczną ilustracją naruszenia tej zasady jest sprawa spółki ClickQuickNow. Istota problemu sprowadzała się do tego, że procedura cofnięcia była obudowana dodatkowymi warunkami, w tym wymogiem wskazania powodu. Tego rodzaju wymóg jest sprzeczny z logiką RODO, ponieważ zgoda ma charakter dobrowolny, a jej odwołanie nie wymaga uzasadnienia.
Jeżeli osoba, której dane dotyczą, chce wycofać zgodę na przetwarzanie danych, administrator nie powinien pytać „dlaczego”, jeśli odpowiedź ma warunkować realizację żądania. Można zbierać dobrowolny feedback dla celów poprawy usług, ale nie wolno uzależniać skuteczności cofnięcia od podania przyczyny. W przeciwnym razie zgoda przestaje być realnie odwoływalna.
Z perspektywy polskiego prawa takie praktyki mogą zainteresować nie tylko prezes urzędu ochrony danych osobowych, ale także wywołać spór konsumencki, jeżeli komunikacja z klientem wprowadza w błąd co do jego praw. W postępowaniach dowodowych liczy się to, czy administrator umie wykazać, że osoba mogła łatwo wyrazić i równie łatwo wycofać zgodę na przetwarzanie danych.
Co musi zawierać wniosek o wycofanie zgody na przetwarzanie danych?
Skuteczne cofnięcie nie wymaga rozbudowanej formy. Co do zasady wystarczy oświadczenie, z którego jasno wynika wola, by cofnąć zgody albo zakończyć przetwarzanie dotyczących jej danych osobowych w określonym celu. W praktyce administrator powinien przyjmować takie wnioski przez te kanały, którymi zwykle komunikuje się z klientem: e-mail, formularz, panel klienta, pismo, a czasem także infolinię, jeśli da się utrwalić oświadczenie.
Wniosek powinien zawierać:
- dane identyfikujące osobę, której dane dotyczą;
- wskazanie, jakiej zgody dotyczy żądanie, np. newsletter, kontakt telefoniczny, profilowanie marketingowe;
- jaszne oświadczenie, że osoba chce wycofać lub cofnąć zgody;
- w razie potrzeby dane kontaktowe do potwierdzenia realizacji;
- podpis, jeśli forma komunikacji tego wymaga.
Nie trzeba używać ustawowych formuł. Wystarczy np. komunikat: „cofam zgodę na przetwarzanie danych osobowych w celu marketingu e-mailowego”. Jeżeli jednak firma zbiera kilka odrębnych zgód, warto wskazać konkretny kanał lub cel. To ogranicza ryzyko nieporozumień i ułatwia administratorowi danych osobowych prawidłowe wykonanie obowiązku.
| Element | Czy potrzebny | Uwagi praktyczne |
|---|---|---|
| Identyfikacja osoby | Tak | Wystarczy zakres konieczny do ustalenia, kogo dane dotyczą |
| Wskazanie celu zgody | Zalecane | Ważne przy kilku zgodach marketingowych |
| Uzasadnienie | Nie | Zgoda może zostać cofnięta bez podania przyczyny |
| Podpis | Zależnie od kanału | Przy e-mailu zwykle nie jest konieczny |
| Opłata | Nie | Procedura musi być bezpłatna |
Co daje wycofanie zgody na przetwarzanie danych osobowych?
Daje obowiązek, by administrator przestał przetwarzać dane w celu opartym na zgodzie. Jeżeli więc zgoda na przetwarzanie danych dotyczyła marketingu, po jej cofnięciu firma nie powinna już przetwarzać danych w tym właśnie celu.
Jak cofnąć zgodę na przetwarzanie danych osobowych?
Najprościej przez kanał udostępniony przez administratora: link, e-mail, formularz, panel klienta lub pismo. Kluczowe jest jednoznaczne oświadczenie, że chcesz wycofać zgodę.
Jak wycofać zgodę na przetwarzanie danych w RODO?
RODO nie narzuca jednego formularza. Wystarczy, że osoba, której dane dotyczą, złoży czytelne oświadczenie, a administrator zapewni prostą, bezpłatną procedurę.
Jak zrezygnować z zgody na przetwarzanie danych osobowych?
Można to zrobić w każdym czasie. Rezygnacja nie wymaga wyjaśniania motywów i nie może być ograniczana dodatkowymi formalnościami.
Skutki odwołania zgody a obowiązek usunięcia danych i podstawy dalszego przetwarzania
Po cofnięciu zgody administrator musi zaprzestać działań, dla których zgoda była podstawę przetwarzania danych. To jednak nie zawsze oznacza natychmiastowe i całkowite usunięcie wszystkich informacji z każdego systemu. RODO rozróżnia konkretny cel i konkretną podstawy przetwarzania danych osobowych.
Jeżeli firma musi nadal przetwarzać dane z innego powodu, np. dla rozliczeń podatkowych, obrony przed roszczeniami albo wykonania obowiązków ustawowych, może zachować część danych. Inaczej mówiąc, cofnięciu zgody na przetwarzanie nie należy utożsamiać automatycznie z pełnym obowiązkiem usunięcia danych. Kluczowe jest ustalenie, czy istnieje inna legalna podstawę przetwarzania danych.
W tym sensie art. 7 ust. 3 RODO stanowi, że zgody nie wpływa na zgodność wcześniejszych operacji, czyli zgodność z prawem przetwarzania sprzed cofnięcia pozostaje zachowana. To właśnie oznacza formuła, że wycofanie zgody nie wpływa na legalności przetwarzania danych osobowych przed jej cofnięciem.
Zasada bezpłatności procedury i zakaz pobierania opłat za cofnięcie zgody
RODO nie pozostawia tu pola do interpretacji: możliwość, by wycofać zgodę, ma być realna, prosta i darmowa. Administrator nie może naliczać opłat, żądać wykonania płatnego połączenia, wymagać wizyty osobistej ani tworzyć wieloetapowej ścieżki tylko po to, by zniechęcić osobę, której dane dotyczą.
To ważne także przy projektowaniu komunikatów marketingowych. Jeżeli formularz pozwala szybko wyrazić zgodę, ale cofnięcie wymaga kontaktu listownego, skanu dokumentu albo odrębnej reklamacji, trudno mówić o zgodności z RODO. Zgoda osoby na marketing ma być naprawdę dobrowolny wyborem, a nie mechanizmem jednostronnym.
Wycofanie zgody a sprzeciw wobec przetwarzania danych – kluczowe różnice
To dwa różne uprawnienia. Zgoda na przetwarzanie danych osobowych jest jedną z podstaw legalizujących, czyli może być przesłanką legalizującą przetwarzanie danych. Jeżeli firma przetwarza dane na podstawie zgody, właściwym ruchem jest jej cofnięcie. Jeżeli zaś administrator opiera działania na prawnie uzasadnionym interesie, częściej stosuje się sprzeciw.
W praktyce trzeba najpierw ustalić, jaka jest zgody jako podstawy przetwarzania danych albo inna podstawa. Jeżeli ktoś nie chce otrzymywać marketingu, ale firma nigdy nie zbierała od niego odrębnej zgody, samo żądanie może być sprzeciwem, a nie cofnięciem. Z punktu widzenia osoby, której dane dotyczą, efekt bywa podobny, lecz dla administratora podstawa prawna i dokumentacja są inne.
Przy zgodzie trzeba pamiętać, że osoba najpierw ją udziela zgody, czyli może ją świadomie wyrażać zgodę lub odmówić. Przy sprzeciwie nie cofa się wcześniejszej akceptacji, tylko kwestionuje dalsze przetwarzanie danych osobowych z innej podstawy.
Wycofanie zgody na przetwarzanie danych w banku i BIK po spłacie zobowiązania
Frazy takie jak Cofnięcie zgody na przetwarzanie danych osobowych w banku, Cofnięcie zgody na przetwarzanie danych osobowych BIK czy Wycofanie zgody na przetwarzanie danych osobowych po spłacie zobowiązania często pojawiają się po zamknięciu kredytu. Trzeba jednak odróżnić marketing od przetwarzania dla celów wynikających z prawa bankowego albo z przepisów o rachunkowości i roszczeniach.
Jeżeli zgoda na przetwarzanie danych dotyczyła marketingu usług finansowych, po jej cofnięciu bank nie powinien dalej przetwarzać danych w tym celu. Jeżeli jednak chodzi o historię spłaty, ocenę ryzyka lub obowiązki ustawowe, administrator może nadal przetwarzać wybrane dane osobowe, o ile ma odrębną podstawę prawną. Dlatego Wycofanie zgody na przetwarzanie danych osobowych po spłacie zobowiązania wzór z internetu nie zawsze rozwiązuje sprawę bez analizy celu i podstawy.
W takich przypadkach warto precyzyjnie wskazać, czy chodzi o marketing, udostępnianie danych do Baza danych informacji kredytowej, czy o inne usługi. To ogranicza ryzyko, że administrator potraktuje pismo zbyt wąsko albo błędnie. Samo odwołanie zgody nie blokuje wszystkich operacji na dane, jeśli przepisy nadal pozwalają je przetwarzać.
Przy tworzeniu klauzul warto pamiętać, że zgoda na przetwarzanie danych osobowych dla marketingu powinna być odrębna od innych oświadczeń, jasno opisywać cel, zakres i ewentualne kategorii danych osobowych, a osoba musi wiedzieć, jak ją potem wycofać. Im prostsza i bardziej przejrzysta treści zgody, tym mniejsze ryzyko sporu z organem nadzorczym lub klientem. Dotyczy to także obszarów takich jak ochrona danych osobowych, ochrona danych osobowych w e-commerce, relacje B2B i sektor finansowy.
RODO, czyli roda w potocznym zapisie, nie wymaga szczególnej magii legislacyjnej. Wymaga natomiast, by zgoda była dobrowolny, świadome i jednoznaczne, by dało się ją łatwo wyrazić, a potem równie łatwo cofnąć zgody. To podstawowy standard, jaki wynika z przepisów o ochronie danych osobowych i z praktyki ich stosowania przez organ nadzorczy, o czym regularnie przypominają publikacje branżowe poświęcone ochronie danych osobowych.
Jeżeli potrzebują Państwo przeanalizować własne zgody marketingowe, proces wyrażania zgody na przetwarzanie albo sposób obsługi żądań typu Wniosek o wycofanie zgody na przetwarzanie danych osobowych czy Nie wyraża zgody na przetwarzanie danych osobowych rodo wzór, warto przeprowadzić audyt całej ścieżki. W praktyce to właśnie interfejs, komunikaty na Strona internetowa i wewnętrzne procedury najczęściej decydują, czy administrator może bezpiecznie przetwarzać dane zgodnie z Rozporządzenie i zasadami ochronie danych.
Treść ma charakter informacyjny i nie stanowi porady prawnej. Jeżeli chcą Państwo ocenić konkretną zgodę na przetwarzanie danych, przygotować zgodne z RODO klauzule lub wdrożyć procedurę cofania zgód, zapraszamy do kontaktu z Kancelarią Adwokacką adwokata Mateusza Orlickiego.
