Zgoda na przetwarzanie danych osobowych – jak powinna wyglądać

W skrócie

Zgoda jest ważna, gdy jest dobrowolna, konkretna, świadoma i jednoznaczna – i gdy potrafisz wykazać, że została wyrażona. Musi wskazywać, kto zbiera dane i po co, a jej wycofanie ma być równie łatwe jak wyrażenie. Ale najpierw sprawdź, czy w ogóle jej potrzebujesz: zgoda to jedna z sześciu podstaw przetwarzania z art. 6 RODO, a przy realizacji zamówienia, wystawieniu faktury czy dochodzeniu roszczeń działasz na innej.

Zgoda na przetwarzanie danych osobowych – co to jest i kiedy jest potrzebna

RODO definiuje zgodę wąsko i każde słowo tej definicji coś znaczy.

11) „zgoda” osoby, której dane dotyczą oznacza dobrowolne, konkretne, świadome i jednoznaczne okazanie woli, którym osoba, której dane dotyczą, w formie oświadczenia lub wyraźnego działania potwierdzającego, przyzwala na przetwarzanie dotyczących jej danych osobowych;

Ważniejsze jest to, czego w definicji nie ma: nie ma w niej słowa o tym, że zgoda jest normalnym sposobem legalizowania przetwarzania danych. Bo nie jest – jest jednym z sześciu.

Jak powinna wyglądać zgoda: cztery warunki ważności

Dobrowolna znaczy, że odbiorca mógł odmówić bez straty. Jeden ze sposobów, w jaki firmy tę dobrowolność psują, rozporządzenie nazywa wprost.

4. Oceniając, czy zgodę wyrażono dobrowolnie, w jak największym stopniu uwzględnia się, czy między innymi od zgody na przetwarzanie danych nie jest uzależnione wykonanie umowy, w tym świadczenie usługi, jeśli przetwarzanie danych osobowych nie jest niezbędne do wykonania tej umowy.

Wytyczne Europejskiej Rady Ochrony Danych idą dalej. Jeżeli powiążesz zgodę z wykonaniem umowy przy danych, które do tej umowy nie są potrzebne, przyjmuje się z góry, że zgoda nie jest dobrowolna (pkt 26 wytycznych 05/2020). Żeby było inaczej, to Ty musisz to wykazać – nie odbiorca.

Konkretna znaczy: jedna zgoda na jeden cel. Wytyczne nazywają to szczegółowością i nie zostawiają miejsca na interpretację. Jeżeli formularz nie pozwala zgodzić się osobno na każdą rzecz, którą chcesz zrobić z danymi, cała zgoda przestaje być dobrowolna (pkt 43). Ten warunek zazębia się więc z poprzednim. Przykład podany w wytycznych jest niemal opisem typowego polskiego formularza. Sprzedawca w jednym zapytaniu łączy zgodę na e-mail marketing ze zgodą na udostępnienie danych spółkom z grupy. Taka zgoda jest nieważna (pkt 45).

Świadoma znaczy, że w momencie zaznaczania odbiorca wie, kto będzie administratorem i w jakim celu przetwarza dane. Nie po kliknięciu, nie w polityce prywatności pod trzema linkami.

Jednoznaczna znaczy: działanie, nie bierność.

Dane szczególnych kategorii wymagają zgody wyraźnej

Cztery warunki wyżej to standard dla zwykłych danych. Przy danych szczególnych kategorii – zdrowiu, poglądach politycznych, przynależności związkowej, danych o seksualności, pochodzeniu etnicznym, przekonaniach religijnych i danych biometrycznych – obowiązuje standard ostrzejszy.

a) osoba, której dane dotyczą, wyraziła wyraźną zgodę na przetwarzanie tych danych osobowych w jednym lub kilku konkretnych celach, chyba że prawo Unii lub prawo państwa członkowskiego przewidują, iż osoba, której dane dotyczą, nie może uchylić zakazu, o którym mowa w ust. 1;

Słowo „wyraźną” przesądza sprawę: przy takich danych nie wystarczy działanie potwierdzające, jak przy zwykłej zgodzie z RODO. Potrzebne jest jednoznaczne oświadczenie, z którego wprost wynika, na co człowiek się zgadza. W praktyce oznacza to osobne, wyraźnie opisane okienko – nigdy zgodę wywiedzioną z zachowania.

Do tego dochodzi warunek piąty, który nie jest cechą samej zgody, tylko Twoim obowiązkiem. Musisz umieć wykazać, że zgoda została wyrażona. Ciężar leży po Twojej stronie, nie po stronie człowieka, który zgody rzekomo udzielił.

Zgoda to nie jedyna podstawa przetwarzania danych

Tu leży błąd, który kosztuje najwięcej pracy. Firmy zbierają zgody na rzeczy, które i tak wolno im robić, a potem nie wiedzą, co zrobić, gdy ktoś tę zgodę wycofa.

1. Przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy – i w takim zakresie, w jakim – spełniony jest co najmniej jeden z poniższych warunków: a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów; b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy; c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze; d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej; e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi; f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem.

Zgoda to litera a – pierwsza z brzegu, nie domyślna.

Praktyczna konsekwencja jest niewygodna: zgoda jest najsłabszą z sześciu podstaw, bo można ją wycofać w każdej chwili. Jeżeli zbierzesz ją tam, gdzie wystarczyłby obowiązek prawny albo wykonanie umowy, sam rzucasz sobie kłody pod nogi.

Czym różni się zgoda od klauzuli informacyjnej RODO

Te dwie rzeczy mylą się nagminnie, a są przeciwieństwami.

Zgoda to oświadczenie, które składa odbiorca. Potrzebna tylko wtedy, gdy przetwarzasz dane na podstawie zgody z RODO.

Klauzula informacyjna to informacja, którą podajesz Ty. Wymaga jej RODO i jest potrzebna niezależnie od podstawy przetwarzania – także wtedy, gdy żadnej zgody nie zbierasz. Żadna z sześciu podstaw z tego obowiązku nie zwalnia.

Stąd wniosek, który zaskakuje: firma przetwarzająca dane wyłącznie na podstawie umowy nie potrzebuje ani jednej zgody, ale klauzulę informacyjną mieć musi. Odwrotna sytuacja – zgoda bez klauzuli – jest po prostu wadliwa.

Dwa zastrzeżenia, bo „zawsze” byłoby tu za mocnym słowem. Art. 13 dotyczy danych zbieranych bezpośrednio od osoby, której dotyczą. Gdy dane pochodzą skądinąd – z rejestru, od pośrednika, z kupionej bazy – obowiązek wynika z art. 14 i ma inny zakres oraz inne terminy. A jeśli odbiorca część tych informacji już zna, tej części nie musisz powtarzać (art. 13 ust. 4).

Jak napisać zgodę na przetwarzanie danych osobowych – wzór

Wzór jest punktem wyjścia, nie gotowym dokumentem. Poniższa klauzula dotyczy podstawy przetwarzania; jeżeli zbierasz też zgodę na kontakt e-mailem albo telefonem, to osobne okienko i osobna treść.

Wyrażam zgodę na przetwarzanie moich danych osobowych w zakresie
[imię i nazwisko, adres e-mail] przez [pełna nazwa i forma prawna,
adres siedziby, NIP] w celu [konkretny cel, np. udziału w rekrutacji
na stanowisko X / zachowania mojego zgłoszenia na potrzeby przyszłych
rekrutacji przez okres 12 miesięcy].

Dane będą przetwarzane przez [okres albo kryterium ustalenia okresu].

Wiem, że zgoda jest dobrowolna i że mogę ją wycofać w każdej chwili,
pisząc na [adres e-mail]. Wycofanie zgody nie wpływa na zgodność
z prawem przetwarzania, którego dokonano przed jej wycofaniem.

Pięć elementów, bez których ta klauzula nie działa: kto (administrator z pełną nazwą), po co (cel, nie „w celach marketingowych”), jakie dane, jak długo, jak wycofać. Brak któregokolwiek z nich psuje warunek świadomości.

Po stronie technicznej zapisz przy każdej zgodzie kiedy i w jaki sposób została wyrażona – datę i godzinę. Zapisz też, czy zgoda poszła przez formularz, pole wyboru przy zamówieniu, czy potwierdzenie double opt-in. Bez tego nie wykażesz niczego.

Osobno trzymaj historię brzmienia klauzuli. Zgoda zebrana w marcu dotyczy treści, która obowiązywała w marcu – i to ją musisz umieć odtworzyć, gdy ktoś zapyta.

Zgoda na przetwarzanie danych a zgoda na kontakt marketingowy

To dwie różne zgody z dwóch różnych ustaw i jedna nie zastępuje drugiej.

Zgoda z RODO odpowiada na pytanie, czy wolno Ci te dane przetwarzać. Zgoda z art. 398 Prawa komunikacji elektronicznej odpowiada na pytanie, czy wolno Ci wysłać wiadomość na ten adres albo zadzwonić na ten numer. Możesz mieć pierwszą i nie mieć drugiej – i wtedy legalnie trzymasz dane, których nie wolno Ci użyć do kontaktu.

Wzór zgody na kanał i sankcje za jej brak rozkładamy osobno, w tekście Zgoda marketingowa – jak ją uzyskać i udokumentować.

Kto może wyrazić zgodę: dziecko, pracownik, kandydat do pracy

Dziecko. Przy usługach internetowych oferowanych bezpośrednio dziecku – rozporządzenie mówi o usługach społeczeństwa informacyjnego – granicą jest szesnaście lat.

1. Jeżeli zastosowanie ma art. 6 ust. 1 lit. a), w przypadku usług społeczeństwa informacyjnego oferowanych bezpośrednio dziecku, zgodne z prawem jest przetwarzanie danych osobowych dziecka, które ukończyło 16 lat. Jeżeli dziecko nie ukończyło 16 lat, takie przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy zgodę wyraziła lub zaaprobowała ją osoba sprawująca władzę rodzicielską lub opiekę nad dzieckiem oraz wyłącznie w zakresie wyrażonej zgody. Państwa członkowskie mogą przewidzieć w swoim prawie niższą granicę wiekową, która musi wynosić co najmniej 13 lat.

Ostatnie zdanie tego przepisu jest źródłem częstej pomyłki. RODO pozwala państwom obniżyć granicę do trzynastu lat – i bywa, że podaje się trzynaście tak, jakby Polska z tej możliwości skorzystała. Nie skorzystała. Sprawdziliśmy tekst jednolity ustawy z 10 maja 2018 r. o ochronie danych osobowych: nie ma w niej ani jednego przepisu o wieku dziecka przy zgodzie. W Polsce obowiązuje więc wprost próg szesnastu lat z RODO.

Pracownik. Zgoda pracownika jest problematyczna z powodu, który wytyczne 05/2020 nazywają wprost w pkt 21: przy zależności służbowej trudno mówić o dobrowolności. Nie znaczy to, że jest wykluczona – znaczy, że nie nadaje się tam, gdzie pracownik odczuje konsekwencje odmowy. Wizerunek na stronie firmy zgody wymaga; dane do listy płac nie, bo tam podstawą są przepisy prawa pracy.

Kandydat do pracy. Na dane wymagane przepisami zgoda nie jest potrzebna. Jest potrzebna na zachowanie zgłoszenia na przyszłe rekrutacje. Poza nią na etapie rekrutacji zgoda zwykle nie jest do niczego potrzebna.

Wszystkie trzy przypadki rozbieramy szerzej w hubie Twoje dane i RODO.

Jak wycofać zgodę na przetwarzanie danych osobowych

3. Osoba, której dane dotyczą, ma prawo w dowolnym momencie wycofać zgodę. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej wycofaniem. Osoba, której dane dotyczą, jest o tym informowana, zanim wyrazi zgodę. Wycofanie zgody musi być równie łatwe jak jej wyrażenie.

Zdanie ostatnie jest tym, na którym firmy się wykładają: równie łatwo. Jeżeli zgodę dało się wyrazić jednym kliknięciem, to wycofanie nie może wymagać listu poleconego, logowania do konta ani podania przyczyny.

Ta sprawa jest warta uwagi z jednego powodu: karę nałożono między innymi za to, że utrudniono wycofanie zgody. Ten wątek organ potraktował samodzielnie, niezależnie od tego, jak zgoda została zebrana. Warunek z ostatniego zdania tego przepisu jest egzekwowany osobno.

Wycofanie zgody działa na przyszłość. Nie unieważnia tego, co zrobiono wcześniej zgodnie z prawem – i nie usuwa danych, które przetwarzasz na innej podstawie, na przykład faktur. To jest praktyczny powód, żeby nie zbierać zgody tam, gdzie wystarczy inna podstawa: wycofanie dotyczy wtedy tylko zgody, a nie całej relacji z klientem.

Formularz zgody – pytania, które zostają

Czym jest zgoda w przypadku danych osobowych?+

To dobrowolne, konkretne, świadome i jednoznaczne okazanie woli, którym osoba pozwala na przetwarzanie swoich danych. Ma formę oświadczenia albo wyraźnego działania potwierdzającego (art. 4 pkt 11 RODO). Bierność, milczenie i pole zaznaczone z góry zgodą nie są.

Kto może wyrazić zgodę na przetwarzanie danych osobowych?+

Osoba, której dane dotyczą. Przy usługach internetowych oferowanych bezpośrednio dziecku – RODO mówi o usługach społeczeństwa informacyjnego – granicą jest 16 lat; poniżej zgodę wyraża lub zatwierdza osoba sprawująca władzę rodzicielską. RODO pozwala państwom obniżyć tę granicę do 13 lat, ale Polska tego nie zrobiła – obowiązuje 16.

Jak wycofać zgodę na przetwarzanie danych osobowych?+

Wystarczy oświadczenie skierowane do administratora – bez uzasadnienia. Art. 7 ust. 3 RODO wymaga, żeby wycofanie było równie łatwe jak wyrażenie zgody. Wycofanie działa na przyszłość i nie podważa przetwarzania sprzed tej chwili.

Czy zgoda może być ustna?+

Przepisy nie narzucają formy – liczy się treść i sposób wyrażenia. Problemem jest dowód: to administrator musi wykazać, że zgoda została wyrażona (art. 7 ust. 1 RODO). Zgoda ustna bez nagrania albo notatki jest w praktyce nie do udowodnienia.

Czy zgoda to to samo co klauzula informacyjna RODO?+

Nie, to przeciwieństwa. Zgodę składa osoba, której dane dotyczą, i tylko wtedy, gdy przetwarzanie opiera się na art. 6 ust. 1 lit. a. Klauzulę informacyjną podaje administrator i jest ona potrzebna niezależnie od podstawy przetwarzania – także gdy żadnej zgody nie zbierasz. Art. 13 dotyczy danych zbieranych bezpośrednio od osoby; dla danych pozyskanych skądinąd obowiązek wynika z art. 14.

Czy zgoda jest jedyną podstawą przetwarzania danych?+

Nie. Art. 6 ust. 1 RODO wymienia sześć: zgodę, wykonanie umowy, obowiązek prawny, ochronę żywotnych interesów, interes publiczny i prawnie uzasadniony interes administratora. Zgoda jest przy tym najsłabsza, bo można ją wycofać w każdej chwili.

Czy do CV trzeba dołączyć zgodę na przetwarzanie danych osobowych?+

Na udział w konkretnej rekrutacji – nie, bo podstawą są przepisy prawa pracy i działania przed zawarciem umowy. Zgoda jest potrzebna dopiero wtedy, gdy pracodawca ma zachować zgłoszenie na przyszłe rekrutacje. Klauzula wklejana odruchowo do każdego CV zwykle niczego nie zmienia.

Czy jednoosobowa działalność ma dane osobowe?+

Tak. Adres, telefon czy e-mail osoby prowadzącej jednoosobową działalność to jej dane osobowe, niezależnie od wpisu w CEIDG. To samo dotyczy imiennego adresu pracownika spółki.

Co zapamiętać o zgodzie na przetwarzanie danych

Zanim napiszesz klauzulę, zadaj sobie pytanie w odwrotnej kolejności niż zwykle: nie „jak sformułować zgodę”, tylko „czy na pewno jej potrzebuję”. W czterech z ośmiu sytuacji z tabeli wyżej odpowiedź brzmi „nie”. Zebrana na wyrost zgoda tylko daje odbiorcy przycisk, którym może wyłączyć coś, co i tak wolno Ci robić.

Więcej o tym, kiedy zgoda jest zbędna i jak wygląda legalny kontakt marketingowy, znajdziesz w hubie Zgody i RODO w marketingu.