Mogą być problemy ze starymi zgodami na przetwarzanie danych

Firmy i instytucje wykorzystujące dane osobowe nie wiedzą, czy po 25 maja będą mogły przetwarzać dane osobowe na podstawie dotychczasowych zgód, czy też będą zmuszone prosić o nowe. Opinie ekspertów są podzielone, ale wszyscy są zgodni, że będzie z tym duży problem.

W momencie wejścia w życie unijnego rozporządzenia ogólnego o ochronie danych osobowych w przestrzeni obowiązków związanych z pozyskiwaniem zgód na przetwarzanie danych funkcjonować będzie ogromna ilość takich deklaracji. Przed administratorami tych danych stanie więc pytanie, czy po 25 maja 2018 r. możliwe będzie powoływanie się na zgody udzielone przed wejściem w życie RODO. - Wniosek przeciwny wymuszać będzie pozyskanie takich zgód ponownie i skonstruowanie ich na kształt kryteriów przewidzianych w unijnym rozporządzeniu. Zagadnienie komplikuje się w sytuacji, gdy przy zgodzie udzielonej przed 25 maja 2018 r. nie poinformowano osoby, której dane dotyczą o możliwości jej wycofania w dowolnym momencie. Czy brak taki można uzupełnić czy też zachodzi konieczność pozyskania zgody ponownie? – zastanawia się adwokat Rafał Rozwadowski z kancelarii Mamiński i Wspólnicy.

Więcej: Potrzebne będą nowe zgody na przetwarzanie danych?>>

Rangę problemu docenia też adwokat dr Paweł Litwiński z kancelarii Barta Litwiński. - Sprawa zachowania ważności zgód na przetwarzanie danych osobowych udzielonych przez 25 maja 2018 r. to jeden z najważniejszych praktycznych problemów związanych ze stosowaniem RODO - mówi. I dodaje, że wynika on stąd, że samo RODO tej kwestii nie rozstrzyga w sposób jednoznaczny, ponieważ w tej regulacji w ogóle brak jest przepisów przejściowych, co samo w sobie sprawia problemy.

RODO wytycza kierunek
Zdaniem eksperta jedynym punktem odniesienia jest motyw 171 preambuły do RODO, który stanowi, że „Jeżeli przetwarzanie ma za podstawę zgodę w myśl dyrektywy 95/46/WE, osoba, której dane dotyczą, nie musi ponownie wyrażać zgody, jeżeli pierwotny sposób jej wyrażenia odpowiada warunkom niniejszego rozporządzenia; dzięki temu administrator może kontynuować przetwarzanie po dacie rozpoczęcia stosowania niniejszego rozporządzenia.”

Zdaniem dr. Litwińskiego rację ma GIODO, kiedy pisze w opinii dot. ważności zgód, że sposób wyrażenia zgody to spełnienie – lub nie – przez zgodę tych wymagań, które dla zgody właśnie przewiduje RODO. - A więc zgoda, żeby zachować ważność na gruncie RODO, powinna zostać udzielona dobrowolnie, świadomie, być konkretna i jednoznaczna. Są to warunki przewidziane przez RODO w art. 4 pkt 11. I oczywiście w ten sposób prawo działa wstecz, bo oceniamy, czy zgoda udzielna na gruncie ustawy o ochronie danych osobowych jest zgodna z RODO, czyli z aktem prawnym nie obowiązującym wtedy – stwierdza.

A adw. Rozwadowski dodaje, że nie będzie też potrzeby udzielania zgody na piśmie w sytuacji gdy przetwarzane są dane wrażliwe, od maja 2018 r. w tych sytuacjach wystarczy już zgoda wyraźna. - Wobec pewnego „poluzowania” charakteru prawnego zgód, wydaje się, że większość otrzymanych dotychczas zgód zachowa ważność także pod rządami ogólnego rozporządzenia - stwierdza. Zastrzega jednak, że pod warunkiem, że poinformowano osobę, której dane dotyczą o możliwości wycofania zgody w dowolnym momencie, a wycofanie zgody jest równie łatwe jak jej wyrażenie. Ekspert zachęca firmy do przeglądu stosowanych klauzul i mechanizmów pozyskiwania zgody i upewnienia się, ze spełniają standardy określone w ogólnym rozporządzeniu i nie ma potrzeby zbierania zgód raz jeszcze.

Zgoda aktualna i zgoda historyczna
Zdaniem adwokata Michała Kluski z kancelarii Domański Zakrzewski Palinka, administratorzy danych osobowych powinni być przygotowani na to, że organ kontroli zapyta ich w takich sytuacjach zarówno o aktualną jak i o historyczną treść zgody. – Jeśli jakiś podmiot ma takie dane na podstawie zgody udzielonej wiele lat temu, to jako administrator musi on umieć wykazać tę podstawę, czyli treść zgody. A to często może być trudne. Gdy do organu nadzoru trafiać będą skargi, to będzie on żądał od firm i instytucji wykazania, na jakiej podstawie przetwarzane są takie dane, a jeżeli jest to zgoda, to będzie oczekiwał dostarczenia jej treści – mówi. I dodaje, że w dotychczasowej praktyce kontrolnej GIODO pytał z reguły o zgody aktualne, ale w związku ze zmianą prawa po 25 maja nowy organ nadzoru może interesować się też zgodami wcześniejszymi, szczególnie jeśli te dane będą nadal przetwarzane.

Zdaniem adw. Kluski problem wyjaśnia motyw 171 preambuły do RODO który mówi, że jeżeli sposób pozyskania zgody był zgodny z RODO, to zgoda jest nadal aktualna. – Dla mnie to oznacza, że ten fragment rozporządzenia w ogóle nie odnosi się do treści zgody, tylko do sposobu jej pozyskania. Jeśli są spełnione kryteria wymagane przez RODO, zgoda nadal może obowiązywać – mówi.

Kontynuacja, ale nie automatyczna
Także radca prawny Robert Prętki z kancelarii Sołtysiński Kawecki Szlęzak uważa, że powoływanie się na zgody udzielone przed rozpoczęciem stosowania RODO będzie nadal możliwe, aczkolwiek nie może tu być mowy o żadnym automatyzmie. - Jeśli bowiem przetwarzanie danych osobowych odbywa się na podstawie przesłanki uzyskanej zgody, ponowne wyrażanie zgody nie będzie konieczne o tyle, o ile pierwotna zgoda odpowiada warunkom RODO - mówi. I sugeruje by pamiętać, że po 25 maja 2018 r. nie będzie w tym zakresie już żadnych dalszych „okresów przejściowych”. - Od dnia wejścia w życie RODO (24 maja 2016 r.) do dnia rozpoczęcia jego stosowania (25 maja 2018 r.) administratorzy mają czas na to, aby dostosować się do jego przepisów - podkeśla.

Również dr Krzysztof Wygoda z Uniwersytetu Wrocławskiego uważa, że zgoda udzielona na gruncie ustawy o ochronie danych osobowych, jeśli była właściwie udokumentowana i nie pozostawia wątpliwości w jakim celu jej udzielono (i czy obejmuje przetwarzanie w przyszłości), nie wymaga żadnych dodatkowych czynności. - Prawa informacyjne przysługują jednostce w oparciu o art. 15 RODO i nie ma sensu ich dublować. Mamy coś takiego jak domniemanie znajomości prawa powszechnie obowiązującego po jego publikacji, więc podmiot danych powinien wiedzieć o możliwości wycofania zgody. Sytuacja zmieni się jeśli nie mamy prawidłowo udokumentowanej zgody lub jej cel jest nieczytelny - wtedy traci ona ważność, bo i na gruncie dotychczasowej ustawy jest przecież wątpliwa – mówi dr Wygoda.

A adw. Litwiński dodaje, że żeby ocenić, czy zgoda udzielona np. w 2005 r. zachowa ważność po 25 maja 2018 r. trzeba ocenić, czy ta zgoda – w chwili jej zbierania – spełniała kryteria dobrowolności, świadomości, konkretności i jednoznaczności. - Co przy tym ważne, te kryteria były w polskim prawie znane od lat – podkreśla.
- Z dużym prawdopodobieństwem można więc założyć, że jeżeli zgoda została zebrana przed 25 maja 2018 r. i w chwili zbierania była zgodna z ustawą o ochronie danych osobowych, orzecznictwem sądowym i zaleceniami GIODO, to spełnia kryteria dobrowolności, świadomości, konkretności i jednoznaczności – podsumowuje dr Paweł Litwiński.