Stan prawny na dzień: 10.03.2021 r.
Wpis na blogu nie stanowi porady prawnej. Artykuł odnosi się do ogólnej sytuacji prawnej, dlatego nie może stanowić rozwiązania dla indywidualnego problemu. Jeżeli potrzebujesz indywidualnej konsultacji, zapraszam do kontaktu.
Prowadzisz działalność gospodarczą i w ramach tej działalności pozyskujesz od swoich Klientów dane: ich imię, nazwisko, nr telefonu, adres zamieszkania, adres e-mail, NIP itp. Wstępujesz wtedy w rolę administratora danych osobowych. Zgoda na przetwarzanie danych osobowych jest jedną z podstaw pozwalających na legalne przetwarzanie danych osobowych Twoich klientów, ale nie zawsze obowiązek pozyskania takiej zgody będzie konieczny. Chcesz poznać odpowiedź na poniższe pytania związane ze zgodą na przetwarzanie danych osobowych, to koniecznie zapoznaj się z moim artykułem.
- Zgoda – podstawa prawna przetwarzania danych zwykłych, danych szczególnych kategorii.
- Czym jest zgoda na przetwarzanie danych osobowych?
- Czy zgoda może być wyrażona ustnie czy pisemnie, a może w formie elektronicznej?
- Co powinna zwierać?
- Od kiedy taką zgodę trzeba posiadać?
- Zgoda a inne podstawy prawne przetwarzania danych osobowych?
Zgoda na przetwarzanie danych osobowych jako podstawa prawna przetwarzania danych
Artykuł 6 ust. 1 lit. a RODO:
Przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy – i w takim zakresie, w jakim – spełniony jest co najmniej jeden z poniższych warunków:
a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów.
Zgoda na przetwarzanie danych osobowych szczególnych kategorii (art. 9 ust. 2 RODO)
Zabrania się przetwarzania danych osobowychujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych oraz przetwarzania danych genetycznych, danych biometrycznych w celu jednoznacznego zidentyfikowania osoby fizycznej lub danych dotyczących zdrowia, seksualności lub orientacji seksualnej tej osoby.
Powyższe nie ma jednak zastosowania, jeżeli spełniony jest jeden z poniższych warunków:
a) osoba, której dane dotyczą, wyraziła wyraźną zgodę na przetwarzanie tych danych osobowych w jednym lub kilku konkretnych celach, chyba że prawo Unii lub prawo państwa członkowskiego przewidują, iż osoba, której dane dotyczą, nie może uchylić zakazu, o którym mowa w ust. 1.
Zgoda na przetwarzanie danych osobowych – co oznacza?
Zgoda to dobrowolne, konkretne, świadome i jednoznaczne okazanie woli, którym osoba, której dane dotyczą, w formie oświadczenia woli lub wyraźnego działania potwierdzającego przyzwala na przetwarzanie dotyczących jej danych osobowych.
W jakiej formie powinna być wyrażona zgoda – ustna, pisemna czy elektroniczna?
RODO w przypadku danych osobowych zwykłych takich jak: imię, nazwisko, nr telefonu, adres zamieszkania, adres e-mail itp. – nie nakłada wymogu posiadania zgody pisemnej. Dlatego zgoda w przypadku pozyskiwania danych zwykłych może być wyrażona w formie ustnej, pisemnej lub elektronicznej.
W sytuacji, gdy będziesz przetwarzał dane osobowe szczególnych kategorii np. dane o stanie zdrowia, to obowiązują te same zasady, czyli dowolność wyboru formy zgody.
Z drugiej jednak strony, trzeba pamiętać o jednej z podstawowych zasad określonych w RODO tj. o zasadzie rozliczalności. Chodzi o to, że to na Tobie jako administratorze, będzie spoczywał obowiązek wykazania, że osoba rzeczywiście taką zgodę wyraziła.
Treść zgody – co powinna zawierać?
To bardzo prosta formułka. Powinna zawierać konkretne i wyraźne sformułowanie, że Klient wyraża zgodę na przetwarzanie jego danych osobowych przez Ciebie jako administratora w zakresie potrzebnym do realizacji konkretnej usługi (kiedy brak innych podstaw prawnych do przetwarzania danych osobowych). Dalej informujesz go, że w dowolnym momencie może tę zgodę cofnąć przez wysłanie np. wiadomości e-mail na adres Twojej elektronicznej skrzynki pocztowej lub przez oświadczenie złożone na piśmie wysłane na Twój adres do doręczeń.
Pamiętaj o tym, żeby znalazła się tam także informacja o miejscu i dacie wyrażenia zgody. Zgoda powinna być podpisana przez Twojego Klienta. Jeden egzemplarz zostaje u Ciebie, a drugi przekazujesz Klientowi.
Warto zwrócić uwagę, że przy pozyskiwaniu zgody, należy spełnić takie warunki jak:
- rozliczalność zgody, czyli administrator ma wykazać, że osoba rzeczywiście wyraziła zgodę,
- język ma być prosty, jasny, zrozumiały, a forma oświadczenia o wyrażeniu zgody łatwo dostępna,
- oświadczenie o wyrażeniu zgody ma się odróżniać od innych oświadczeń,
- Klient ma możliwość wycofać zgodę w dowolnym momencie i nie będzie sprawiało mu to żadnych trudności,
- poinformowanie Klienta, że może w każdej chwili wycofać zgodę.
Od kiedy masz obowiązek pozyskać zgodę od Klienta?
Zgodę na przetwarzanie danych osobowych Klienta pozyskujesz od niego przed przystąpieniem do przetwarzania jego danych osobowych.
Do kiedy zgoda jest ważna?
Należy przyjąć, że zgoda jest ważna do momentu jej cofnięcia przez Klienta, którego dane osobowe są przetwarzane. Pamiętaj o tym, że w przypadku zmiany operacji przetwarzania, ich znacznego przekształcenia, to zgoda przestaje być świadoma. W takiej sytuacji będzie konieczne pozyskanie nowej zgody i poinformowanie Klienta o nowym, pełnym zakresie przetwarzania danych osobowych (o celach, zakresie i operacjach przetwarzania).
W przypadku cofnięcia zgody, odpada podstawa prawna do przetwarzania tych danych w zakresie objętym zgodą. Jednak administrator może posiadać inne podstawy prawne do dalszego przetwarzania np. dochodzenie roszczeń lub obronę przed roszczeniami (do upływu ogólnych terminów przedawnienia). Wtedy przetwarza dane osobowe dalej na innych podstawach prawnych niż zgoda. W przypadku braku tych innych podstaw prawnych masz obowiązek zaprzestać przetwarzania i usunąć dane osobowe.
Zgoda a inne podstawy prawne przetwarzania danych osobowych?
Inne podstawy prawne przetwarzania danych osobowych:
DANE ZWYKŁE:
Przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy – i w takim zakresie, w jakim – spełniony jest co najmniej jeden z poniższych warunków:
b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy;
c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze;
d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej;
e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi;
f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem.
Akapit pierwszy lit. f) nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań.
DANE SZCZEGÓLNYCH KATEGORII:
Art. 9 RODO:
Ust. 1 nie ma zastosowania, jeżeli spełniony jest jeden z poniższych warunków:
b) przetwarzanie jest niezbędne do wypełnienia obowiązków i wykonywania szczególnych praw przez administratora lub osobę, której dane dotyczą, w dziedzinie prawa pracy, zabezpieczenia społecznego i ochrony socjalnej, o ile jest to dozwolone prawem Unii lub prawem państwa członkowskiego, lub porozumieniem zbiorowym na mocy prawa państwa członkowskiego przewidującymi odpowiednie zabezpieczenia praw podstawowych i interesów osoby, której dane dotyczą;
c) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej, a osoba, której dane dotyczą, jest fizycznie lub prawnie niezdolna do wyrażenia zgody;
d) przetwarzania dokonuje się w ramach uprawnionej działalności prowadzonej z zachowaniem odpowiednich zabezpieczeń przez fundację, stowarzyszenie lub inny niezarobkowy podmiot o celach politycznych, światopoglądowych, religijnych lub związkowych, pod warunkiem że przetwarzanie dotyczy wyłącznie członków lub byłych członków tego podmiotu lub osób utrzymujących z nim stałe kontakty w związku z jego celami oraz że dane osobowe nie są ujawniane poza tym podmiotem bez zgody osób, których dane dotyczą;
e) przetwarzanie dotyczy danych osobowych w sposób oczywisty upublicznionych przez osobę, której dane dotyczą;
f) przetwarzanie jest niezbędne do ustalenia, dochodzenia lub obrony roszczeń lub w ramach sprawowania wymiaru sprawiedliwości przez sądy;
g) przetwarzanie jest niezbędne ze względów związanych z ważnym interesem publicznym, na podstawie prawa Unii lub prawa państwa członkowskiego, które są proporcjonalne do wyznaczonego celu, nie naruszają istoty prawa do ochrony danych i przewidują odpowiednie i konkretne środki ochrony praw podstawowych i interesów osoby, której dane dotyczą;
h) przetwarzanie jest niezbędne do celów profilaktyki zdrowotnej lub medycyny pracy, do oceny zdolności pracownika do pracy, diagnozy medycznej, zapewnienia opieki zdrowotnej lub zabezpieczenia społecznego, leczenia lub zarządzania systemami i usługami opieki zdrowotnej lub zabezpieczenia społecznego na podstawie prawa Unii lub prawa państwa członkowskiego lub zgodnie z umową z pracownikiem służby zdrowia i z zastrzeżeniem warunków i zabezpieczeń, o których mowa w ust. 3;
i) przetwarzanie jest niezbędne ze względów związanych z interesem publicznym w dziedzinie zdrowia publicznego, takich jak ochrona przed poważnymi transgranicznymi zagrożeniami zdrowotnymi lub zapewnienie wysokich standardów jakości i bezpieczeństwa opieki zdrowotnej oraz produktów leczniczych lub wyrobów medycznych, na podstawie prawa Unii lub prawa państwa członkowskiego, które przewidują odpowiednie, konkretne środki ochrony praw i wolności osób, których dane dotyczą, w szczególności tajemnicę zawodową;
j) przetwarzanie jest niezbędne do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych zgodnie z art. 89 ust. 1, na podstawie prawa Unii lub prawa państwa członkowskiego, które są proporcjonalne do wyznaczonego celu, nie naruszają istoty prawa do ochrony danych i przewidują odpowiednie, konkretne środki ochrony praw podstawowych i interesów osoby, której dane dotyczą.
Zgoda a inne podstawy przetwarzania danych osobowych:
Każda z przesłanek przetwarzania danych osobowych wskazanych w art. 6 ust. 1 i 9 ust. 2 RODO ma charakter samodzielny i niezależny.
W sytuacji, gdy ADO posiada inną przesłankę przetwarzania danych osobowych niż zgoda, to wtedy nie powinien pozyskiwać zgody.
Pozyskiwanie zgody na zapas, przy posiadaniu innych podstaw prawnych, powoduje, że zgoda jest nieważna, a także dojdzie do naruszenia zasady rzetelności i transparentności.
Ważne: ADO jest obowiązany posiadać właściwą podstawę prawną do każdego z określonych celów przetwarzania oraz zakresów danych osobowych.
Poinformowanie użytkowników strony internetowej o tym, w jaki sposób Ty (lub np. spółka) – właściciel strony i jednocześnie administrator danych osobowych, przetwarzasz dane osobowe, to Twój obowiązek.
Pamiętaj też, że strona internetowa to Twoja wizytówka. Może świadczyć o profesjonalizmie, rzetelności i wysokiej jakości świadczonych usług albo wręcz odwrotnie.
Aby pomoc Ci w zrealizowaniu obowiązku informacyjnego RODO dla użytkowników strony internetowej, a także budować wiarygodny i profesjonalny obraz Twoich usług, przygotowałam dla Ciebie wzór kompleksowej Polityki Prywatności i plików cookies. Dostępny tutaj.
Jeżeli spodobał Ci się ten artykuł albo masz pytania związane z tym tematem, to podziel się tym w komentarzu:) Zapraszam także do kontaktu.
0 komentarzy