Zgoda jako podstawa prawna przetwarzania danych osobowych

Zgoda na przetwarzanie danych osobowych stała się najpopularniejszą podstawą prawną przetwarzania danych osobowych. W niniejszym artykule przeanalizujemy jej wady i zalety z jakimi musi liczyć się administrator danych osobowych.

Katalog podstaw przetwarzania danych osobowych jest zamknięty i zawarty w art. 6 i 9 Rozporządzenia. Przesłanki te są sobie równe i mogą dotyczyć różnych celów i procesów przetwarzania. Nie zawsze będziemy mieć możliwość zastosowania więcej niż jednej podstawy prawnej przetwarzania, niemniej jest wiele sytuacji, w których  podstawa ta zależy od naszego wyboru i w takim przypadku powinniśmy rozważyć jakie korzyści i jakie ewentualne zagrożenia ze sobą niesie zastosowanie danej podstawy.

Z jednej strony zgoda na przetwarzanie danych daje swoisty rodzaj pewności, że przetwarzanie jest zgodne z prawem – osoba, której dane dotyczą osobiście nam na takie przetwarzanie zezwoliła. Należy jednak mieć na uwadze zasadę rozliczalności – administrator danych osobowych powinien móc wykazać, że zgoda została mu faktycznie udzielona.

Należy mieć na uwadze, że istotą zgody jest jej dobrowolność (w niektórych relacjach, taka dobrowolność może być kwestionowana np. w stosunkach pomiędzy pracownikiem a pracodawcą). Planując przetwarzanie na tej podstawie należy, więc liczyć się z możliwością otrzymania odmowy.

Kolejną immanentną cechą zgody jest jej odwoływalność (prawo do wycofania zgody), co z jednej strony stanowi plus z punktu widzenia osoby, której dane dotyczą, z drugiej zaś jest dużym minusem z punktu widzenia administratora danych osobowych. Cofnięcie zgody może nastąpić w dowolnym momencie, co prawda pozostanie ono bez wpływu na zgodność z prawem przetwarzania, którego dokonano przed jej wycofaniem, niemniej administrator powinien liczyć się z tym, że zostanie pozbawiony podstawy prawnej do przetwarzania danych w istniejącym procesie.

Co więcej, ze zgodą wiąże się prawo żądania do bycia zapomnianym –  zgodnie z art. 17 RODO osoba, której dane dotyczą, ma prawo żądania od administratora niezwłocznego usunięcia dotyczących jej danych osobowych, a administrator ma obowiązek bez zbędnej zwłoki usunąć dane osobowe, jeżeli nie ma innej podstawy prawnej przetwarzania (np. roszczenie).

Opierając przetwarzanie na zgodzie, musimy więc przewidzieć sytuacje, w których zgoda ta zostanie cofnięta bądź osoba której dane dotyczą wniesie żądanie usunięcia swoich danych osobowych z bazy administratora. Organizacja powinna, więc opracować właściwe procedury związane z zaprzestaniem przetwarzania takich danych.