Source: http://e-prawnik.pl/artykuly/prawo-cywilne-1/obowiazek-zaktualizowania-zgody-na-przetwarzanie-danych-po-wejsciu-w-zycie-rodo.html
Timestamp: 2018-04-22 21:45:35+00:00
Document Index: 16905727

Matched Legal Cases: ['art. 29', 'art. 29', 'art. 7', 'art. 13', 'Art. 29', 'art. 13', 'Art. 29', 'art. 4', 'art. 6', 'art. 9', 'Art. 29']

Obowiązek zaktualizowania zgody na przetwarzanie danych po wejściu w życie RODO - Prawo cywilne - e-prawnik.pl
e-prawnik.pl Prawo na co dzień Prawo cywilneObowiązek zaktualizowania zgody na przetwarzanie danych po wejściu w życie RODO
Kiedy dotychczasowa zgoda będzie dalej ważna?
Zgodnie z RODO, jeżeli przetwarzanie ma za podstawę zgodę w myśl dyrektywy 95/46 i odpowiada ona warunkom przewidzianym w ustawie o ochronie danych osobowych z 1997 r., to będzie ona ważna również po 24 maja 2018 r. W takim przypadku administrator może kontynuować przetwarzanie w oparciu o „starą” zgodę.
Grupa Robocza art. 29 w wytycznych przyjętych 28 listopada 2017 r. w sposób jasny stwierdziła, że zgody zbierane przed rozpoczęciem stosowania RODO i zgodnie z krajowymi przepisami o ochronie danych osobowych nie muszą być automatycznie zbierane ponownie po 25 maja 2018 r. Jednak zgoda zachowa ważność wyłącznie wtedy, jeśli jest zgodna z zasadami określonymi w RODO. Na te zasady składa się szereg elementów, takich jak np. konieczność przekazania szeregu informacji przy zbieraniu danych osobowych.
Grupa stwierdziła wyraźnie, że niepodanie przy zbieraniu danych informacji, które trzeba podawać na gruncie RODO, a których wcześniej podawać nie trzeba było, nie powoduje automatycznie, że tak udzielone zgody stracą ważność. Przykładem takiej sytuacji może być właśnie kwestia informowania o możliwości odwołania zgody.
Przepisy RODO nakładają na administratorów nieistniejący dotąd obowiązek poinformowania o prawie do odwołania zgody, na etapie gromadzenia danych. W ocenie Ministra Cyfryzacji zasada aktualności obowiązująca w prawie administracyjnym wyłącza uznanie, że pozyskanie zgodne z prawem zgody przed 25 maja 2018 r. powinny być po tej dacie uzupełniane o obowiązek poinformowania o prawie do ich odwołania. Przemawia za tym również orzecznictwo NSA. W wyroku z 8 lipca 2011 r., sygn. I OSK 389/11, NSA wskazał, że późniejsza zmiana przepisów stanowiących podstawę rozstrzygnięcia administracyjnego nie ma znaczenia dla oceny prawidłowości wydanej pod rządami poprzednio obowiązującej regulacji decyzji.
Należy jednak zastrzec, że polski organ nadzorczy lub instytucje unijne mogą wyrazić inne stanowisko w sprawie, co będzie rodziło wątpliwości Ministra Cyfryzacji, ale może prowadzić do odmiennego rozumienia tego obowiązku.
Definicja zgody w RODO zawiera 2 nowe przesłanki w porównaniu do zgody określonej w dyrektywie 95/46, a więc i w ustawie o ochronie danych osobowych z 1997 roku, są to:
przesłanka jednoznacznego okazania woli;
Zgodnie z RODO, spełnienie przesłanki afirmatywnej formy okazania woli może natomiast polegać między innymi na:
innym oświadczeniu lub zachowaniu, które w danym kontekście jasno wskazuje, że osoba, której dane dotyczą, zaakceptowała proponowane przetwarzanie jej danych osobowych.
Również GIODO potwierdził, iż zgody na przetwarzanie danych osobowych zebrane na podstawie ustawy o ochronie danych osobowych nie tracą ważności. Należy się jednak upewnić, czy zostały pozyskane zgodnie z wymaganiami określonymi w RODO, tak aby zapewnić osobom wyrażającym zgodę swobodę wyboru.
Zgoda, która dotychczas została pozyskana, jest nadal ważna, o ile jest ona zgodna z warunkami określonymi w rozporządzeniu. Takie stanowisko wynika bezpośrednio z treści motywu 171 preambuły ogólnego rozporządzenia o ochronie danych (RODO), wdług którego: „jeżeli przetwarzanie ma za podstawę zgodę w myśl dyrektywy 95/46/WE, osoba, której dane dotyczą, nie musi ponownie wyrażać zgody, jeżeli pierwotny sposób jej wyrażenia odpowiada warunkom niniejszego rozporządzenia; dzięki temu administrator może kontynuować przetwarzanie po dacie rozpoczęcia stosowania niniejszego rozporządzenia”. RODO nie przewiduje przepisów przejściowych w stosunku do dyrektywy 95/46/WE. Ważność zachowuje zatem zgoda, która została pierwotnie zebrana w sposób gwarantujący osobie, której dane dotyczą, złożenie oświadczenia spełniającego następujące kryteria:
Zagadnienie to zostało omówione szerzej w Wytycznych Grupy Roboczej do art. 29 dotyczących zgody (WP259). Wytyczne wyjaśniają kwestie pozyskiwania zgód, w tym również kwestię ważności zgód zebranych przed 25 maja 2018 r., czyli przed dniem, w którym zaczniemy stosować RODO. W związku z licznymi pytaniami, ten ostatni aspekt – ważności zgód zebranych na podstawie ustawy o ochronie danych osobowych – wymagał dodatkowych wyjaśnień. Szczególnie w kontekście warunków wyrażenia zgody określonych w art. 7 RODO.
Co więcej, na każdym administratorze ciąży obowiązek poinformowania osoby, której dane dotyczą, o możliwości odwołania zgody, zanim ta zgoda zostanie wyrażona. Ma to związek z zasadą przejrzystości i koniecznością poinformowania osób, których dane dotyczą, o sposobie realizacji ich praw (motyw 39 preambuły RODO wskazuje że „osobom fizycznym należy uświadomić ryzyka, zasady, zabezpieczenia i prawa związane z przetwarzaniem danych osobowych oraz sposoby wykonywania praw przysługujących im w związku z takim przetwarzaniem”). Unijny ustawodawca zdecydował się wyróżnić ten konkretny obowiązek informacyjny administratora sytuując go w przepisie określającym warunki wyrażenia zgody. Wydaje się, że przekazanie tej informacji należy rozumieć w szerszym kontekście konieczności stworzenia mechanizmów zapewniających możliwość łatwego wycofania zgody, jako jeden z aspektów autonomii informacyjnej osób, których dane dotyczą. Informacje, jak wycofać zgodę, mają w tym kontekście zasadnicze znaczenie.
Oczywiście każdy administrator, który opiera operacje przetwarzania danych na zgodzie osoby musi spełnić szereg obowiązków informacyjnych określonych w art. 13 RODO. W praktyce, właściwa realizacja tych obowiązków jest niezbędna do uznania, że zgoda została wyrażona w sposób świadomy. Jak podkreślono jednak w ostatnich Wytycznych Grupy Roboczej Art. 29 dotyczących zgody (WP 259), art. 13 ust. 2 RODO należy rozumieć w sposób, który nie wyklucza ważności zebranych zgód w sytuacji kiedy nie wszystkie informacje określone w tym przepisie zostały przekazane osobie, której dane dotyczą w momencie pozyskiwania zgody (zostały np. zawarte w polityce prywatności). „Jako że nie wszystkie elementy wymienione w artykułach 13 i 14 muszą zawsze występować jako warunek świadomej zgody, rozszerzone obowiązki informacyjne na mocy RODO niekoniecznie przeciwstawiają się ciągłości zgody wyrażonej przed wejściem w życie RODO” - czytamy w Wytycznych.
GIODO zachęca więc do przeglądu stosowanych klauzul i mechanizmów pozyskiwania zgody i upewnienia się, że spełniają standardy określone w ogólnym rozporządzeniu i nie ma potrzeby zbierania zgód raz jeszcze. Co więcej, pamiętając o zasadzie rozliczalności, warto dokumentować wszelkie czynności związane z pozyskiwaniem zgód – np. kiedy i w jakich okolicznościach zostały pozyskane oraz w jaki sposób spełniono obowiązek informacyjny.
Stanowisko GIODO w sprawie zachowania ważności zgód na przetwarzanie danych, odnoszące się do dyskusji publicznej na ten temat, opiera się na Wytycznych Grupy Roboczej Art. 29 dotyczących zgody na mocy rozporządzenia 2016/679 (WP259), których tekst został przetłumaczony na język polski przez Biuro GIODO - zob niżej.
Kiedy trzeba uzyskać nową zgodę na przetwarzanie danych?
Zgodnie z RODO, milczenie, okienka zaznaczone domyślnie lub niepodjęcie działania, nie powinny oznaczać zgody. Dlatego też, jeśli administrator zbierał zgody w takiej formie, to będzie musiał zbierać nowe zgody. Istotne jest także wdrożenie nowych mechanizmów i rozwiązań, takich jak zapewnienie rozliczalności, czy danie możliwości łatwego odwołania zgody, na co zwraca uwagę w opinii Grupa Robocza.
rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych; RODO; Dziennik Urzędowy Unii Europejskiej L z 2016 r. nr 119, str. 1) - motywy preambuły 32, 40-57, 171 oraz art. 4 pkt 11, art. 6, art. 9-11;
Wytyczne Grupy Roboczej Art. 29 dotyczące zgody na przetwarzanie danych osobowych, dostępne na: http://ec.europa.eu/newsroom/just/item-detail.cfm?item_id=50083 i w języku angielskim dostępne są pod adresem: http://giodo.gov.pl/pl/1520281/10292; zob. Wytyczne dotyczące zgody na mocy rozporządzenia 2016/679 (tłumaczenie nieoficjalne)
Komentarze: Obowiązek zaktualizowania zgody na przetwarzanie danych po wejściu w życie RODO
RODO administrator dane osobowe obowiązek ochrona danych