Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (dalej RODO) wchodzi do polskiego porządku prawnego w dniu 25 maja 2018 r.

Do dnia wejścia w życie RODO – co oczywiste – w przestrzeni obowiązków związanych z pozyskiwaniem zgód na przetwarzanie danych funkcjonuje niezliczona ilość zgód.

Czytaj:  Administratorzy danych mogą mieć problem ze starymi zgodami na przetwarzanie>>

Zagadnieniem pozostaje natomiast czy możliwym będzie po 25 maja 2018 r. powoływanie się na zgody udzielone przed wejściem w życie RODO. Wniosek przeciwny wymusza pozyskanie takich zgód ponownie i skonstruowanie ich na kształt kryteriów przewidzianych w unijnym rozprowadzeniu. Zagadnienie komplikuje się w sytuacji, gdy przy zgodzie udzielonej przed 25 maja 2018 r. nie poinformowano osoby, której dane dotyczą o możliwości jej wycofania w dowolnym momencie. Czy brak taki można uzupełnić czy też zachodzi konieczność pozyskania zgody ponownie?

We wstępie do rozważań, wypada przytoczyć fragment stanowiska GIODO, prezentowanego w ramach cyklu informacyjnego pt. „Rok do RODO – sprawdzian gotowości, odcinek 6” z dnia 2 czerwca 2017 r., zawarte na stronie GIODO pod adresem: http://www.giodo.gov.pl/pl/1520281/10014

Większość zgód zachowa ważność
Zasadniczym pytaniem, jakie pojawia sie wobec wejścia w życie ogólnego rozporządzenia jest to czy dotychczas pozyskane zgody na przetwarzanie danych będą nadal ważne po 25 maja 2018 r. Zasadniczo nie zmieniły sie warunki pozwalające uznać dane oświadczenie za prawnie wiążącą zgodę (jak wspomniany wymóg dobrowolności). Co więcej zmianie ulegnie charakter prawny zgody w porównaniu z obecnym stanem prawnym. Zwykła zgoda wyraźną w rozumieniu ustawy o ochronie danych osobowych zastąpi zgoda jednoznaczna – wyraźne oświadczenie woli zastąpi wiec jednoznaczne, nie pozostawiające wątpliwości przyzwolenie osoby w formie oświadczenia lub działania potwierdzającego. Nie będzie też potrzeby udzielania zgody na piśmie w sytuacji gdy przetwarzamy dane wrażliwe, od maja 2018 r. w tych sytuacjach wystarczy już zgoda wyraźna. Wobec tego „poluzowania” charakteru prawnego zgód, wydaje się, że większość otrzymanych dotychczas zgód zachowa ważność także pod rządami ogólnego rozporządzenia. Pod warunkiem, że poinformowano osobę, której dane dotyczą o możliwości wycofania zgody w dowolnym momencie, a wycofanie zgody jest równie łatwe jak jej wyrażenie. Zachęcamy więc do przeglądu stosowanych klauzul i mechanizmów pozyskiwania zgody i upewnienia się, ze spełniają standardy określone w ogólnym rozporządzeniu i nie ma potrzeby zbierania zgód raz jeszcze.

Pogrubione wyżej zdanie z fragmentu stanowiska GIODO identyfikuje istotne dla owej oceny elementy. tj. obowiązek poinformowania osoby, której dane dotyczą, o możliwości wycofania zgody.

Artykuł 7 ust 3 RODO, stanowi, iż: osoba, której dane dotyczą, ma prawo w dowolnym momencie wycofać zgodę. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej wycofaniem. Osoba, której dane dotyczą, jest o tym informowana, zanim wyrazi zgodę. Wycofanie zgody musi być łatwe jak jej wyrażenie.

Nowa zgoda niekonieczna
Jednocześnie zgodne z motywem 171 RODO: niniejszym rozporządzeniem należy uchylić dyrektywę 95/46/WE. Przetwarzanie, które w dniu rozpoczęcia stosowania niniejszego rozporządzenia już się toczy, powinno w terminie dwóch lat od wejścia w niniejszego rozporządzenia w życie zostać dostosowane do jego przepisów. Jeżeli przetwarzanie ma za podstawę zgodę w myśl dyrektywy 95/46/WE, osoba, której dane dotyczą nie musi ponownie wyrażać zgody, jeżeli pierwotny sposób jej wyrażenia odpowiada warunkom niniejszego rozporządzenia, dzięki temu administrator może kontynuować przetwarzanie po dacie rozpoczęcia stosowania niniejszego rozporządzenia.

Osobiście nie podzielam stanowiska, iż pierwotny brak poinformowania o możliwości wycofania zgody, skutkuje zawsze koniecznością ponownego zebrania oświadczeń zgody.

Po pierwsze nie wynika to wprost z treści RODO, w tym z art. 7 i motywu 171 omawianego rozporządzenia. Wprawdzie art. 7 ust 3 RODO wprost mówi o tym, że informacja owa winna być komunikowana zanim osoba wyrazi zgodę, niemniej:

a)    art. 7 dotyczy stanu kompletowania zgód na warunkach z RODO to jest pierwszorzędnie takiej sytuacji gdy zapytanie o zgodę jest adresowane po raz pierwszy do dedykowanej osoby,
b)    stan który określa art. 7 ust 3 RODO to świadomość osoby dotycząca możliwości wycofania zgody w każdym czasie, który można osiągnąć mniej restrykcyjnym i bardziej biznesowo uzasadnionym trybem, np. poprzez poinformowanie o takiej możliwości osoby w sytuacji gdy wyraziła ona uprzednio zgodę na przetwarzanie danych, nie adresując „ponownego” zapytania o zgodę.

Problematyczny obowiązek informacyjny
Jednocześnie, motyw 171 RODO wprost stanowi, że jeżeli sposób uprzednio (przed obowiązywaniem RODO) wyrażonej zgody odpowiada warunkom RODO to osoba nie musi ponownie wyrażać zgody. Problematycznym – z pewnością zaś nie jednoznacznym – jest próba znalezienia wspólnych elementów „obowiązku informacyjnego” i „sposobu wyrażenia zgody”. Z zasady obowiązek informacyjny, chociaż jest skorelowany ze sposobem wyrażania zgody (art. 4 pkt 11 RODO – dobrowolne, konkretne, świadome i jednoznaczne okazanie woli) to nie koniecznie musi przesądzać o tymże sposobie wyrażenia zgody. Innymi słowy, jakiekolwiek braki/nieprawidłowości w wykonaniu obowiązku informacyjnego nie stanowią - automatycznie – o brakach/nieprawidłowościach w zakresie formułowania oświadczenia wyrażającego zgodę. Fakt, iż po stronie podmiotu, którego dane są przetwarzane, nie ma przeświadczenia o możliwości wycofania zgody nie przesądza, iż zgoda nie została wyrażona wedle zasad wskazanych wyżej. Warto przy tym wspomnieć, że częstokroć decyzja o kolejnym wystąpieniu o wyrażenie zgody stanowi duży koszt, nadto niesie ze sobą ryzyko zignorowania owego zapytania i w rezultacie zawężenie zbioru osób, których dane mogą być przetwarzane.

Nowa zgoda w konkretnych sytuacjach
W rezultacie, opowiadam się za poglądem, iż decyzja o konieczności pozyskania nowej zgody na przetwarzanie danych, po wejściu w życie przepisów RODO, też w sytuacji braku pierwotnego poinformowania o możliwości wycofania udzielonej zgody, powinna być poprzedzona indywidualną analizą każdego przypadku. Unikałbym ferowania w tym obszarze jednoznacznych wniosków tak jak uciążliwym jest kategoryczna ocena czy dana zgoda spełnia nieostre wszak kryteria z RODO, tj. jest  dobrowolna, konkretna, świadoma i jednoznaczna.

Autora: Rafał Rozwadowski, adwokat