Zgoda na przetwarzanie danych osobowych — art. 7 RODO

Kiedy zgoda jest właściwą podstawą, a kiedy szkodzi

Art. 6 ust. 1 RODO wymienia sześć podstaw przetwarzania i żadna z nich nie jest domyślna ani nadrzędna. Zgoda z lit. a jest jedną z sześciu, nie pierwszą z brzegu. Jeżeli przetwarzanie wynika z przepisu prawa, jest niezbędne do wykonania umowy albo do realizacji zadania publicznego, podstawą jest właśnie to, a nie zgoda — i pytanie o zgodę jest wtedy błędem, nie ostrożnością.

Mechanizm szkody jest prosty i widać go w praktyce co tydzień. Urząd, który na wniosku o świadczenie dokłada rubrykę „wyrażam zgodę na przetwarzanie moich danych”, mówi obywatelowi nieprawdę dwa razy: sugeruje, że mógłby danych nie podać, choć obowiązek wynika z ustawy, oraz obiecuje prawo wycofania, którego w tej sytuacji nie ma. Gdy ktoś taką zgodę wycofa, jednostka i tak musi przetwarzać dane dalej — i musi to wyjaśnić, tracąc wiarygodność.

Stąd bierze się druga zasada, o której łatwo zapomnieć: podstawy nie wolno podmienić po fakcie. Administrator, który zebrał dane „na zgodę”, a po jej wycofaniu ogłasza, że właściwie od początku działał w prawnie uzasadnionym interesie, nie ratuje sytuacji — powiększa naruszenie. Podstawę ustala się przed rozpoczęciem przetwarzania i zapisuje w rejestrze czynności.

Zgoda jest natomiast podstawą naturalną i trudną do zastąpienia tam, gdzie przetwarzanie jest dodatkowe wobec sprawy: newsletter, publikacja zdjęć z wydarzenia, przekazanie numeru telefonu dla wygody kontaktu, udział w wydarzeniu nieobowiązkowym, przetwarzanie danych po zakończeniu rekrutacji na poczet przyszłych naborów. Cecha wspólna: gdyby osoba odmówiła, sprawa toczyłaby się tak samo.

Odrębnie trzeba pamiętać o motywie 43 RODO, który dotyczy wprost naszych klientów z sektora publicznego: przy wyraźnej nierównowadze stron — a taka zachodzi w relacji organ–obywatel i pracodawca–pracownik — zgoda rzadko bywa dobrowolna, więc rzadko bywa ważna.

Cztery cechy zgody ważnej

Art. 4 pkt 11 definiuje zgodę jako dobrowolne, konkretne, świadome i jednoznaczne okazanie woli w formie oświadczenia lub wyraźnego działania potwierdzającego. Cztery przymiotniki, z których każdy potrafi samodzielnie unieważnić dokument:

• Dobrowolna — osoba mogła odmówić bez konsekwencji. Art. 7 ust. 4 każe przy ocenie dobrowolności sprawdzić, czy wykonania umowy nie uzależniono od zgody na przetwarzanie danych, które do tej umowy nie są niezbędne. Zgoda będąca warunkiem załatwienia sprawy dobrowolna nie jest.
• Konkretna — dotyczy wskazanego celu. Jedno okienko obejmujące „cele marketingowe, statystyczne i inne cele administratora” nie jest zgodą na żaden z nich. Przy kilku celach zbiera się kilka odrębnych zgód.
• Świadoma — osoba przed wyrażeniem zgody wie, kto będzie przetwarzał dane, w jakim celu, jak długo, komu je przekaże i że zgodę może wycofać. To ostatnie wynika z art. 13 ust. 2 lit. c i musi paść przed, a nie po.
• Jednoznaczna — potrzebne jest działanie. Motyw 32 wyklucza wprost okienko zaznaczone z góry, milczenie i bezczynność. Brak sprzeciwu nie jest zgodą.

Dla danych szczególnych kategorii — o zdrowiu, pochodzeniu, przekonaniach, przynależności związkowej, życiu seksualnym, a także dla danych biometrycznych i genetycznych — art. 9 ust. 2 lit. a wymaga zgody wyraźnej. Samo działanie potwierdzające tu nie wystarczy: potrzebne jest oświadczenie, z którego widać, że osoba obejmuje świadomością właśnie tę kategorię danych.

Jest jeszcze warunek redakcyjny z art. 7 ust. 2, pomijany najczęściej ze wszystkich. Jeżeli zgodę zbiera się w dokumencie dotyczącym także innych spraw — w umowie, wniosku, formularzu zgłoszeniowym — zapytanie o zgodę musi być wyraźnie odróżnione od pozostałej treści, zrozumiałe i napisane jasnym językiem. Przepis kończy się zdaniem, które warto znać dosłownie: część oświadczenia naruszająca RODO nie jest wiążąca. Zgoda schowana w paragrafie 14 regulaminu nie jest więc zgodą wadliwą — jej po prostu nie ma.

Co trzeba umieć wykazać

Art. 7 ust. 1 przenosi ciężar dowodu: administrator musi być w stanie wykazać, że osoba wyraziła zgodę. Nie osoba — że jej nie wyraziła. To jedno zdanie decyduje o tym, jak wygląda dokumentacja zgód, bo wykazać trzeba nie sam fakt, ale całą jego treść:

1. kto wyraził zgodę — i czy we własnym imieniu, czy jako przedstawiciel ustawowy albo pełnomocnik,
2. kiedy — z datą, bo od niej liczy się okres obowiązywania,
3. na co dokładnie — cel, zakres danych, odbiorcy, okres,
4. jaką treść osoba widziała — brzmienie klauzuli obowiązujące w dniu wyrażenia zgody, a nie to, które obowiązuje dzisiaj,
5. w jakiej formie — oświadczenie pisemne, podpis elektroniczny, wiadomość e-mail, oświadczenie ustne, zaznaczenie okienka, akceptacja regulaminu,
6. czy i kiedy została wycofana.

Wniosek praktyczny jest niewygodny, ale jednoznaczny: zgoda, której nie odnotowano, prawnie nie istnieje, choćby faktycznie padła. Papierowa teczka z podpisanymi drukami spełnia ten obowiązek tylko dopóty, dopóki ktoś potrafi w ciągu kilku minut odpowiedzieć na pytanie: „na jakiej podstawie przetwarzacie dane tej konkretnej osoby i czy ona tego nie odwołała”. Przy kilkuset osobach to pytanie przestaje być łatwe.

Wycofanie zgody i los danych

Art. 7 ust. 3 daje prawo wycofania zgody w dowolnym momencie i stawia trzy warunki, z których każdy jest osobnym obowiązkiem:

• wycofanie nie działa wstecz — nie podważa zgodności z prawem przetwarzania, które odbyło się wcześniej,
• osoba musi być o tym prawie poinformowana przed wyrażeniem zgody,
• wycofanie ma być równie łatwe jak wyrażenie. Jeżeli zgodę zbiera się jednym kliknięciem, wycofanie nie może wymagać listu poleconego ani wizyty w siedzibie.

Najwięcej kłopotu sprawia to, co dzieje się potem. Wycofanie zgody nie jest tożsame z żądaniem usunięcia danych, choć w praktyce przychodzi zwykle w jednym piśmie. Przetwarzanie oparte na zgodzie trzeba przerwać; ale jeżeli te same dane są przetwarzane równolegle na innej podstawie — bo trwa umowa, bo przepis nakazuje przechowywanie dokumentacji, bo toczy się sprawa — w tym zakresie zostają, co wynika z art. 17 ust. 3.

Odpowiedź do osoby powinna więc rozdzielić te dwie warstwy: co zostało zaprzestane od razu, co zostaje, na jakiej podstawie i jak długo. Odpowiedź „usunęliśmy wszystkie Pani dane”, wysłana przez jednostkę, która za chwilę wyśle tej samej osobie decyzję administracyjną, jest nieprawdziwa i wraca do nadawcy jako skarga.

Wycofania nie wolno przy tym „skasować” razem ze zgodą — jest dowodem, że administrator zachował się prawidłowo. Historia zgody musi obejmować obie chwile: udzielenie i odwołanie.

Zgoda pracownika, zgoda dziecka

Zgoda pracownika ma w Polsce własny reżim. Art. 22^1a Kodeksu pracy dopuszcza zgodę jako podstawę przetwarzania wyłącznie danych innych niż te, których pracodawca może żądać na podstawie art. 22¹ — a więc nie zastępuje ona podstawy dla imienia, nazwiska, PESEL-u czy wykształcenia, tylko otwiera furtkę dla rzeczy dodatkowych: zdjęcia na identyfikatorze, prywatnego numeru telefonu, danych dziecka do paczki świątecznej. Przepis dodaje warunek, który przesądza o dobrowolności: brak zgody ani jej wycofanie nie mogą być podstawą niekorzystnego traktowania ani powodować negatywnych konsekwencji.

Dla danych szczególnych kategorii art. 22^1b zawęża to jeszcze mocniej: zgoda działa tylko wtedy, gdy przekazanie danych następuje z inicjatywy pracownika lub kandydata. Pracodawca nie może o takie dane poprosić i przyjąć zgody w odpowiedzi.

Zgoda dziecka dotyczy w RODO węższego pola, niż się powszechnie sądzi. Art. 8 odnosi się do usług społeczeństwa informacyjnego oferowanych bezpośrednio dziecku i ustala granicę 16 lat, której polski ustawodawca nie obniżył. Poza tym polem — a więc w szkole, przedszkolu, ośrodku kultury czy klubie sportowym — rozstrzyga zdolność do czynności prawnych i zasady przedstawicielstwa, więc zgodę wyraża rodzic albo opiekun prawny, przy czym w sprawach dotyczących nastolatka warto odnotować także jego stanowisko.

Wizerunek — dwa zezwolenia, nie jedno

Publikacja zdjęcia jest najczęstszym powodem, dla którego jednostki zbierają zgody — i najczęstszym miejscem, w którym dokument jest niekompletny. Rozpowszechnianie wizerunku wymaga bowiem zezwolenia z art. 81 ustawy o prawie autorskim i prawach pokrewnych, które jest instytucją odrębną od zgody na przetwarzanie danych osobowych. Jedno nie zastępuje drugiego: zgoda z RODO legalizuje przetwarzanie, zezwolenie z prawa autorskiego — publikację.

Poprawna klauzula powołuje więc obie podstawy i opisuje konkretnie pole eksploatacji: gdzie zdjęcie się ukaże (strona internetowa, profil w serwisie społecznościowym, gazetka, kronika), na jak długo i czy będzie podpisane imieniem i nazwiskiem. Zgoda „na wykorzystanie wizerunku w celach promocyjnych” nie spełnia warunku konkretności z żadnego z dwóch przepisów.

Art. 81 ust. 2 przewiduje dwa przypadki, w których zezwolenie nie jest potrzebne: osoby powszechnie znanej, jeżeli wizerunek wykonano w związku z pełnieniem funkcji, oraz osoby stanowiącej jedynie szczegół większej całości — zgromadzenia, krajobrazu, imprezy publicznej. Zdjęcie zespołowe, na którym każdy jest rozpoznawalny i celowo ustawiony, szczegółem całości nie jest.

Pięć błędów, które widać najczęściej

1. Zgoda na wszelki wypadek. Dokładana obok podstawy rzeczywistej — osłabia ją, bo osoba dostaje prawo, którego nie ma, i tworzy obowiązek obsługi wycofań, które niczego nie zmienią.
2. Zgoda zbiorcza. Jedno okienko na kilka celów. Unieważnia zgodę na wszystkie, a nie tylko na ten cel, który budził wątpliwość.
3. Klauzula z archiwum. Druk aktualizowany przez lata, ale w dokumentacji nie ma śladu, którą wersję podpisała dana osoba. Przy sporze administrator nie jest w stanie wykazać treści zgody.
4. Wycofanie trudniejsze niż udzielenie. Zgoda przez okienko na stronie, wycofanie wyłącznie pismem na adres siedziby. Wprost sprzeczne z art. 7 ust. 3 zdanie czwarte.
5. Brak daty końcowej i brak przeglądu. Zgody „do odwołania” są dopuszczalne, ale bez przeglądu zamieniają się w zbiór, o którym nikt nie wie, czy jeszcze obowiązuje. Zasady ograniczenia przechowywania z art. 5 ust. 1 lit. e nie da się wtedy wykazać.

Najczęstsze pytania

W praktyce

Jak wygląda rejestr zgód w SZODO

Wpisem nie jest pojedyncze okienko, tylko oświadczenie złożone przez konkretną osobę, a w nim tyle pozycji, na ile celów zgoda została udzielona. Taka budowa bierze się wprost z warunku konkretności: każda pozycja ma własny rodzaj zgody, własny okres i własny stan, więc wycofanie jednej nie unieważnia pozostałych. Status całego oświadczenia aplikacja wylicza z pozycji — nowa, aktywna, częściowo aktywna, wygasła albo wycofana.

Okres obowiązywania ustawia się na cztery sposoby: do odwołania, do wskazanej daty, na liczbę miesięcy albo do zdarzenia. Ponieważ część z nich zależy od kalendarza, moduł ma osobny ekran zgód wygasających — to jedyne miejsce w aplikacji, gdzie stan wpisu zmienia się sam z upływem czasu, bez niczyjej ingerencji.

Odnotowuje się też to, czego wymaga art. 7 ust. 1: kto złożył oświadczenie i w jakim charakterze (osoba, przedstawiciel ustawowy, pełnomocnik), w jakiej z ośmiu form, na jakiej podstawie — art. 6 ust. 1 lit. a, art. 9 ust. 2 lit. a, obie naraz albo wizerunek z art. 81 prawa autorskiego. Przy wyborze obejmującym dane szczególnych kategorii aplikacja przypomina, że zgoda musi być wyraźna.

Z wpisu powstają trzy dokumenty: druk zgody do podpisania, klauzula informacyjna z art. 13 i potwierdzenie wycofania. Wycofanie ma własny ekran i niczego nie kasuje — zgoda zostaje w historii razem z datą odwołania, bo to ona jest dowodem prawidłowego zachowania. Osoby można wprowadzić z pliku albo wskazać spośród pracowników z modułu Osoby, a jeżeli wycofanie przyjdzie jako pismo, jednym ruchem zakłada się z niego wpis w rejestrze żądań — i odwrotnie.

Asystent AI pomaga zredagować, nie ocenia dobrowolności

Po podłączeniu Asystenta AI można poprosić o projekt treści klauzuli zgody dla konkretnego celu. Granice są takie same jak w pozostałych modułach: wypełnia wyłącznie pola puste, nic nie zapisuje się samo, a ocena, czy zgoda w tej sytuacji jest właściwą podstawą i czy jest dobrowolna, pozostaje po stronie człowieka. To jest dokładnie ta decyzja, od której zależy ważność całego dokumentu.