Kto musi zmieniać klauzule zgód w związku z unijnym rozporządzeniem

Zgodnie z ogólnym rozporządzeniem jedną z przesłanek przetwarzania danych osobowych jest zgoda na przetwarzanie danych osobowych uzyskana od osoby, której dane dotyczą. Artykuł 4 pkt 11 rozporządzenia wskazuje, zgoda osoby, której dane dotyczą, powinna być:

• dobrowolna,
• konkretna,
• świadoma,
• jednoznaczna,
• odrębna,
• zawarta w formie oświadczenia lub wyraźnego działania potwierdzającego, które przyzwala na przetwarzanie jej danych osobowych.

Przede wszystkim zgoda musi być dobrowolna. Nie można więc uzależniać wykonania umowy od udzielenia zgody na przetwarzanie danych, jeśli przetwarzanie danych nie jest niezbędne do jej realizacji.

Zgoda na przetwarzanie danych osobowych powinna być udzielona w sposób świadomy. Udzielający zgody musi wiedzieć, na co się zgadza. Oznacza to, że administrator danych powinien go poinformować o wszystkich istotnych aspektach przetwarzania danych osobowych, m.in. o celu i zakresie przetwarzania danych.

Zgodnie z ogólnym rozporządzeniem zgoda na przetwarzanie danych osobowych musi być jednoznaczna i konkretna. Nie może być więc domniemana ani dorozumiana z innego oświadczenia woli lub innego zachowania osoby, której dane dotyczą. Z kolei cele przetwarzania danych muszą być w niej wyraźnie wymienione.

Ogólne rozporządzenie nie wymaga, aby zgoda na przetwarzanie zwykłych danych osobowych była udzielana w formie pisemnej. Jednak administrator danych musi być w stanie wykazać, że określona osoba fizyczna udzieliła mu zgody na przetwarzanie swoich konkretnych danych osobowych w ustalonym celu, bądź celach. Klauzulę zgody na przetwarzanie danych osobowych trzeba też wyraźnie oddzielić od oświadczeń składanych przez daną osobę fizyczną w innych celach.

W myśl reguł rozporządzenia ogólnego dotyczących udzielania zgody na przetwarzanie danych osobowych wyrażenie zgody musi zawierać w sobie element działania.  Oznacza to, że zgoda nie może zostać udzielona w sposób bierny, np. poprzez brak reakcji osoby, której dane dotyczą.

Rozporządzenie ogólne wprowadza szczególne zasady dotyczące uzyskiwania zgody na przewarzanie danych osobowych od osób małoletnich. Jeżeli administrator świadczy na rzecz małoletnich internetowe usługi na odległość, np. usługi handlu elektronicznego lub oferujące dostęp do gier, muzyki, filmów (tzw. usługi społeczeństwa informacyjnego), musi pamiętać, że rodo uznaje za zgodne z prawem przetwarzanie danych osobowych dziecka, które ukończyło 16 lat.

Warto zatem, aby jeszcze przed nastaniem obowiązku stosowania ogólnego rozporządzenia, dokonać przeglądu zgromadzonych oświadczeń o przetwarzaniu danych osobowych. Jeśli spełniają one warunki opisane powyżej, nie będziesz trzeba ponownie zbierać zgód na przetwarzanie danych osobowych.