Dobrowolność zgody na gruncie RODO
Zgoda na gruncie RODO
Zgoda osoby, której dane dotyczą, jest jedną z podstaw prawnych przetwarzania danych osobowych wskazanych w art. 6 Ogólnego rozporządzenia o ochronie danych (RODO), której „odmiana” stanowi również jedno z wyłączeń zakazu przetwarzania danych szczególnie chronionych, zawartego w art. 9 RODO. Zgodnie z definicją zawartą w art. 4 pkt 11, zgoda ta oznacza „dobrowolne, konkretne, świadome i jednoznaczne okazanie woli, którym osoba, której dane dotyczą, w formie oświadczenia lub wyraźnego działania potwierdzającego, przyzwala na przetwarzanie dotyczących jej danych osobowych”. Oznacza to, że każda zgoda musi spełnić cztery wymogi wskazane w przytoczonym przepisie. By być uznaną za legalną na gruncie przepisów o ochronie danych osobowych. O ile konkretność, świadomość i jednoznaczność okazania woli nie budzi większych wątpliwości, o tyle interpretacja dobrowolności bywa zróżnicowana.
Istota dobrowolności zgody
Zgodnie z definicją PWN, dobrowolnym jest coś wynikającego z czyjejś własnej woli, jak również działanie bez przymusu. W podobnym tonie odnosi się do tego unijny ustawodawca. Wskazując w motywie 42 RODO, iż „wyrażenia zgody nie należy uznawać za dobrowolne, jeżeli osoba, której dane dotyczą, nie ma rzeczywistego lub wolnego wyboru oraz nie może odmówić ani wycofać zgody bez niekorzystnych konsekwencji”. Oznacza to, że zgoda nie może być w żaden sposób wymuszona. Wyrażenie jej powinno być tylko i wyłącznie zależne od woli osoby, której dane dotyczą. Brak takiej woli nie może negatywnie wpływać na daną osobę. Co do zasady, świadomi administratorzy, opierając przetwarzanie danych na zgodzie osoby, której dane dotyczą, mają na uwadze ten aspekt jej legalności i nie budzi on większych problemów. W szczególności biorąc pod uwagę fakt, iż jeżeli określone dane osobowe są określonemu podmiotowi potrzebne w realizacji jego uzasadnionych celów, to w razie braku możliwości zastosowania realnie dobrowolnej zgody, najpewniej może oprzeć się na jednej z pozostałych podstaw prawnych zawartych w art. 6 RODO. Jednakże, problem pojawia się przy przetwarzaniu danych szczególnie chronionych określonych w art. 9 RODO.
Zgoda “niezbędna”
Katalog włączeń stosowania zakazu przetwarzania danych szczególnie chronionych zawiera aż dziesięć pozycji. Większość odnosi się do skonkretyzowanego zakresu przepisów krajowych lub unijnych, bezpośrednio umożliwiających przetwarzanie takich danych. Jednakże, co powinien zrobić podmiot, który świadczy usługi na rzecz osoby fizycznej, wymagające, chociażby, informacji na temat jej stanu zdrowia? Przykładem może być salon kosmetyczny, który wymaga od swoich klientów wskazania określonych alergii, jakie posiadają. Nie ulega wątpliwości, iż takie informacje dotyczą stanu zdrowia, a więc kwalifikuje się jako dane szczególnie chronione. Sam cel przetwarzania tych danych jest również bezapelacyjnie uzasadniony – podmiot jest zobowiązany świadczyć swoje usługi w sposób bezpieczny. Nie wiedząc, czy określona osoba jest uczulona na składniki danego kosmetyku. Stosując go, przytoczony podmiot może narazić tego klienta na utratę zdrowia. Dlatego też, można zakwalifikować przetwarzanie tych danych jako niezbędne do właściwej realizacji umowy. Między osobą, której dane dotyczą, a salonem kosmetycznym. Niestety, taki wyjątek od stosowania zakazu zawartego w art. 9 RODO nie występuje. Oznacza to, iż salon kosmetyczny w przytoczonej sytuacji nie ma innego wyjścia. Musi pozyskać wyraźną zgodę od osoby, której dane dotyczą. Zgodnie z art. 9 ust. 2 lit. a), która to zgoda w praktyce jest niezbędna do realizacji umowy.
Czy “niezbędna” zgoda może być dobrowolna?
Pomocny jest tutaj ust. 4 zawarty w opisującym warunki wyrażenia zgody art. 7 RODO. Stanowi on, iż: „oceniając, czy zgodę wyrażono dobrowolnie, w jak największym stopniu uwzględnia się, czy między innymi od zgody na przetwarzanie danych nie jest uzależnione wykonanie umowy, w tym świadczenie usługi, jeśli przetwarzanie danych osobowych nie jest niezbędne do wykonania tej umowy”. Konstrukcja tego przepisu pozwala zakładać, iż uzależnienie wykonania umowy od udzielenia zgody nie pozwala zakwalifikować ją jako dobrowolną. Jeśli nie jest to niezbędne do wykonania tej umowy. Czy w takim razie, taka właśnie zgoda, nie musi być w pełni dobrowolna? Cała istota dobrowolności opiera się na tym, że brak wyrażenia zgody nie może mieć negatywnych konsekwencji. Jednakże, w przytoczonym przykładzie, takie skutki by wystąpiły. Uniemożliwienie skorzystania z usługi, którą w pewnych przypadkach uznać można za niezwykle istotną dla danej osoby, jest jednoznacznie negatywnym stanem rzeczy. Podejściem, jakie można zastosować, jest powołanie się na specyficzne „wyłączenie stosowania” oceny dobrowolności pod kątem uzależnienia realizacji umowy od udzielonej zgody, zawarte w art. 7 ust. 4 RODO, przy jednoczesnym uznaniu jej dobrowolności wynikającej z samej decyzyjności osoby fizycznej przy zawieraniu lub niezawieraniu danej umowy. Jednakże, podejście takie może potencjalnie budzić uzasadnione wątpliwości.
Właściwa ochrona gwarancją bezpieczeństwa
W tak trudnych do oceny sytuacjach, jak ta przedstawiona powyżej, niezwykle przydatna okazać się może pomoc np. firmy zewnętrznej. Wyspecjalizowanej w zakresie ochrony danych osobowych, w tym IOD-a. Stanowi ona nieocenione wsparcie w podobnych przypadkach, jak i w wielu innych problematycznych zagadnieniach związanych z danymi osobowymi. W szczególności w razie kontroli Urzędu Ochrony Danych Osobowych. Te i wiele innych usług w zakresie ochrony danych osobowych świadczy Inspektorzy ODO sp. z o.o, których szczegóły można znaleźć pod adresem Ochrona danych osobowych – Inspektorzy ODO.