Co nowego w RODO:

Zgoda na gruncie Rozporządzenia

• Ogólne rozporządzenie o ochronie danych ustanawia wysoki standard dla zgody.
• Rozporządzenie wymaga aby dokonać przeglądu posiadanych zgód i sprawdzić czy spełniają one wymogi GDPR.
• Zgoda oznacza oferowanie osobom, których dane dotyczą prawdziwego wyboru i kontroli nad udzieleniem zgody.
• Zgoda wymaga pozytywnego działania, nie jest możliwe używanie z góry oznaczonych pól lub stosowanie zgody domyślnej.
• Wyrażenie zgody wymaga bardzo jasnego i konkretnego oświadczenia oraz oddzielenia jej od innych kwestii i warunków.
• Blankietowa i niejasna zgoda nie jest wystarczająca.
• Koniecznym jest łatwe wycofanie zgody w każdym momencie i poinformowanie o możliwości wycofania zgody i jak to zrobić.
• Koniecznym jest zachowanie dowodów udzielenia zgody - kto, kiedy, jak i na co wyraził zgodę.
• Dla władzy publicznej i pracodawców przetwarzanie danych na podstawie zgody, może być trudne tj. konieczne jest poszukiwanie innych podstaw
• Nie zawsze potrzebne jest wyrażenie zgody, gdy inne podstawy są właściwe.
• Trzeba dokonać przeglądu zgód i dokonać koniecznych zmian. Jeśli zgoda spełnia wymagania rozporządzenia nie jest koniecznym jej ponowne uzyskanie.

Dyrektywa 95/46/WE PARLAMENTU EUROPEJSKIEGO I RADY z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych definiuje zgodę w następujący sposób:

zgoda osoby, której dane dotyczą oznacza konkretne i świadome, dobrowolne wskazanie przez osobę, której dane dotyczą na to, że wyraża przyzwolenie na przetwarzanie odnoszących się do niej danych osobowych

General Data Protection Regulation GDPR definiuje zgodę w ten sposób:

zgoda osoby, której dane dotyczą oznacza dobrowolne, konkretne, świadome i jednoznaczne okazanie woli, którym osoba, której dane dotyczą, w formie oświadczenia lub wyraźnego działania potwierdzającego, przyzwala na przetwarzanie dotyczących jej danych osobowych.

W Rozporządzeniu dodano, iż ma być to oświadczenie jednoznaczne oraz, iż wymaga działania aktywnego. Ponadto kilka nowych przepisów zawiera bardziej szczegółowe wymagania. W szczególności Artykuł 7 określa różne warunki dotyczące zgody, w tym przechowywanie potwierdzeń udzielonych zgód, jasność i wydzielenie pytań o zgodę, prawo wycofania i unikanie stosowania zgody jako warunku umowy. W motywach 32, 42 i 43 znajdują się również bardziej szczegółowe wytyczne dotyczące różnych elementów definicji.

Rozporządzenie wprowadziło nowe przepisy dotyczące udzielania zgody przez dzieci oraz zgody dla celów naukowych. Zgoda może legitymizować przetwarzanie danych w przypadku ograniczenia przetwarzania (Art. 18 ust. 2 RODO), a także w przypadku automatycznego podejmowania decyzji w indywidualnych przypadkach, w tym profilowania (Art. 22 ust. 2 RODO). Przetwarzanie danych w oparciu o zgodę wpływa na prawa szersze prawa podmiotów danych tj. prawo do bycia zapomnianym czy prawo do przenoszenia danych.

Jakie są kluczowe zmiany w praktyce?

Koniecznym jest:

• Podzielenie – koniecznym jest oddzielenie pytania  o zgodę od innych  zagadnień i warunków. Podpisanie zgody nie powinno być warunkiem koniecznym usługi
• Aktywowanie opcji opt-in – automatycznie zaznaczony box zgody jest nieprawidłowy, użyj niezaznaczonych pól albo innej metody aktywnego wyrażenia zgody (przykład - dwa boxy niezaznaczone, podmiot musi wybrać jedną z opcji zgoda/brak zgody)
• Rozdzielność –  dajemy szczegółowe możliwości zgody dla różnych operacji przetwarzania
• Nazwanie  – nazwanie administratora i podmiotów trzecich
• Dokumentowanie – trzymanie potwierdzeń udzielonych zgód, zawierających informację jak, kiedy i na co została wyrażona zgoda
• Łatwe wycofanie – powiedz osobom udzielającym zgody o prawie do jej cofnięcia oraz jak to zrobić. Wycofanie zgody musi być tak łatwe jak jej udzielenie. To znaczy, że będziesz potrzebował łatwych i efektywnych mechanizmów wycofania zgody.
• Zapewnienie równości – zgoda nie powinna być stosowana kiedy nie ma równowagi pomiędzy stronami, dla władzy publicznej i pracodawców przetwarzanie danych wymaga poszukiwania innych podstaw.

Źródło: www.ico.org.uk