Zgoda na przetwarzanie danych osobowych to jedna z najczęściej stosowanych podstaw legalności przetwarzania informacji wrażliwych w firmach, instytucjach i relacjach z klientami. Choć wydaje się formalnością, jej znaczenie w świetle RODO jest ogromne. W praktyce zgoda pełni rolę ochronną – zarówno dla osoby, której dane dotyczą, jak i administratora, który nimi zarządza. Warto wiedzieć, jak prawidłowo ją sformułować i w jakich sytuacjach jest ona wymagana.

Kiedy zgoda jest konieczna i jak powinna wyglądać?

Zgodnie z ogólnym rozporządzeniem o ochronie danych (RODO), zgoda na przetwarzanie danych osobowych musi spełniać kilka warunków, by była skuteczna. Przede wszystkim musi to być jednoznaczne okazanie woli – np. zaznaczenie checkboxa, podpisanie oświadczenia lub inne wyraźne działanie potwierdzające. Sama zgoda nie może być domniemana. Nie wystarczy więc milczenie, bezczynność lub brak sprzeciwu.

Aby przetwarzanie danych było zgodne z prawem, osoba, której dane dotyczą, powinna:

  • znać przynajmniej tożsamość administratora oraz cel, w jakim dane są przetwarzane,
  • mieć realną możliwość odmowy wyrażenia zgody, bez negatywnych konsekwencji,
  • móc wycofać zgodę w dowolnym momencie w równie prosty sposób, w jaki została wyrażona.

Prawidłowo przygotowana zgoda powinna zawierać konkretne informacje – nie można jej formułować zbyt ogólnie. Zgodnie z RODO dopuszczalne jest wyrażenie jednej zgody dla większej liczby określonych celów, ale każdy z nich musi być jasno opisany.

Czy zgoda zawsze jest potrzebna? Alternatywne podstawy przetwarzania

Choć zgoda to popularny sposób legalizacji przetwarzania swoich danych osobowych, nie zawsze jest konieczna. Istnieją inne podstawy przetwarzania danych osobowych, które pozwalają firmom i instytucjom działać zgodnie z prawem – bez konieczności uzyskiwania zgody.

Najważniejsze z nich to:

  • wypełnienia obowiązku prawnego ciążącego na administratorze (np. prowadzenie księgowości),
  • realizacji procesu rekrutacji (jeśli kandydat sam udostępnia dane w swoim CV),
  • ochrony żywotnych interesów osoby, której dane dotyczą,
  • realizacji prawnie uzasadnionych interesów realizowanych przez administratora, np. ochrona mienia firmy,
  • przetwarzanie w celu prowadzenia przyszłych rekrutacji – jeśli osoba wyraziła zgodę, np. poprzez klauzulę CV.

Warto zaznaczyć, że dane wrażliwe, takie jak przetwarzanie danych genetycznych, wymagają dodatkowych zabezpieczeń i jednoznacznej zgody.

Przetwarzanie danych osobowych: RODO – jakie informacje powinny znaleźć się w klauzuli zgody?

By zgoda była ważna i zgodna z RODO, musi spełniać określone wymagania formalne. W klauzuli zgody powinny znaleźć się następujące elementy:

  • cel wyrażenia zgody – np. marketing, udział w rekrutacji, otrzymywanie informacji handlowych,
  • zakres danych, jakie będą przetwarzane,
  • informacja o przysługujących prawach, np. wycofania zgody,
  • tożsamość administratora danych i ewentualnych podmiotów przetwarzających,
  • wskazanie, czy zgoda dotyczy używania telekomunikacyjnych urządzeń końcowych (np. newslettery, SMS-y),
  • wzmianka o tym, że przetwarzanie odbywa się zgodnie z przepisami o ochronie danych,
  • informacja, że zgoda może zostać wycofana w każdej chwili bez wpływu na zgodność przetwarzania sprzed jej wycofania.

Dobrą praktyką jest także poinformowanie o konsekwencjach odmowy udzielenia zgody – np. braku możliwości udziału w kolejnych rekrutacjach.

Jak rozumieć dokonywanie przetwarzania danych osobowych i jakie są jego granice?

Dokonywanie przetwarzania danych osobowych oznacza każdą czynność wykonywaną na danych, niezależnie od tego, czy odbywa się w sposób zautomatyzowany. Może to być zbieranie, utrwalanie, przechowywanie, przeglądanie, wykorzystywanie, modyfikowanie, a nawet usuwanie danych. Wszystko to zalicza się do katalogu operacji, które podlegają regulacjom prawnym. W praktyce oznacza to, że już samo przyjęcie dokumentów aplikacyjnych czy zapisanie danych klienta w arkuszu kalkulacyjnym to przetwarzanie.

Ważne, aby każda z tych czynności odbywała się zgodnie z przepisami o ochronie danych – w szczególności RODO oraz ustawą o ochronie danych osobowych. Administrator danych powinien działać w sposób proporcjonalny, zgodny z celem zbierania informacji i zapewniający bezpieczeństwo przetwarzanych danych.

W przypadku realizacji procesu rekrutacji zgodnie z przepisami, pracodawca może przetwarzać dane zawarte w CV bez dodatkowej zgody, o ile dotyczą bieżącej rekrutacji. Jeśli jednak zamierza zachować dokumenty na potrzeby przyszłych naborów, musi uzyskać od kandydata jednoznaczną, odrębną zgodę.

Warto pamiętać, że dokonywanie przetwarzania danych osobowych nie może naruszać praw osób fizycznych. Niedopuszczalne jest więc np. przekazywanie danych osobom trzecim bez zgody, a także przetwarzanie ich w celach niezgodnych z tym, o których poinformowano osobę, której dane dotyczą. Zgodność z RODO to nie tylko obowiązek, ale także budowanie zaufania wobec marki i organizacji.

Jak chronić dane wymagające szczególnej ochrony i kiedy trzeba uważać najbardziej?

Niektóre informacje określane są jako dane wymagające ochrony danych osobowych, czyli tzw. dane wrażliwe. Zgodnie z przepisami, należą do nich między innymi dane ujawniające pochodzenie rasowe lub etniczne, przekonania religijne, przynależność do związków zawodowych, dane genetyczne, biometryczne czy dotyczące zdrowia. Przetwarzanie ich jest co do zasady zabronione, chyba że zachodzą określone przesłanki – np. wyraźna zgoda osoby, której dane dotyczą, lub obowiązek wynikający z przepisów prawa.

Administrator, który przetwarza takie informacje, powinien stosować szczególne środki techniczne i organizacyjne w ochronie danych. Należą do nich m.in. szyfrowanie, ograniczenie dostępu, cykliczne audyty oraz przeszkolenie pracowników mających styczność z tymi danymi. Przepisy wskazują także, że prawo państwa członkowskiego przewidują dodatkowe warunki dla określonych kategorii danych, co oznacza, że np. w Polsce dane dotyczące zdrowia pacjentów są objęte jeszcze bardziej restrykcyjnymi przepisami.

W przypadku procesów takich jak realizacja procesu rekrutacji zgodnie z RODO, szczególną uwagę należy zwrócić na to, czy kandydat nie ujawnia danych wrażliwych, które nie są wymagane. Przykładowo, nie ma potrzeby zamieszczania w CV informacji o stanie zdrowia, przekonaniach religijnych czy orientacji seksualnej – nawet jeśli kandydat robi to dobrowolnie.

Ochrona danych wymagających szczególnej uwagi powinna być traktowana priorytetowo. Nawet drobne zaniedbania w tym zakresie mogą skutkować poważnymi konsekwencjami – zarówno prawnymi, jak i wizerunkowymi.

Czym różni się wyrażenie zgody w postaci wyraźnych działań potwierdzających od zwykłego potwierdzenia?

Zgodnie z przepisami RODO, zgoda na przetwarzanie danych osobowych musi być wyrażona przez jednoznaczne okazanie woli. Co jednak oznacza, że musi to być zgoda w postaci wyraźnych działań potwierdzających? Nie wystarczy bierna postawa – np. brak sprzeciwu lub milczenie. Aby zgoda była ważna, konieczne jest działanie takie jak zaznaczenie pola wyboru (checkboxa), kliknięcie przycisku „akceptuję” lub podpisanie formularza zgody.

W przypadku przetwarzania danych osobowych w różnych celach – np. marketingowym i rekrutacyjnym – dopuszczalne jest wyrażenie jednej zgody, ale tylko wtedy, gdy cele te są jasno określone. Najlepiej jednak oddzielić zgody dla poszczególnych celów, by zapewnić przejrzystość i uniknąć wątpliwości co do ich zakresu.

Administrator danych powinien również pamiętać, że osoba, której dane dotyczą, musi mieć możliwość łatwego wycofania zgody w dowolnym momencie. Dlatego też ważne jest, by zapewnić odpowiednią funkcjonalność – np. link do cofnięcia zgody w wiadomości e-mail lub opcję odwołania zgody w panelu użytkownika.

Zgoda wyrażona w postaci wyraźnych działań potwierdzających wzmacnia bezpieczeństwo prawne administratora i minimalizuje ryzyko zarzutu nielegalnego przetwarzania. Takie podejście buduje też pozytywny wizerunek firmy jako podmiotu, który poważnie traktuje zasady ochrony danych osobowych.

Źródło zdjęcia: https://pixabay.com/pl/photos/akta-papier-gabinet-1614223/