Zgoda na przetwarzanie danych osobowych – jakie warunki musi spełniać

Zajmę się dziś tematem szerokim jakim rzeka, a mianowicie zgodą na przetwarzanie danych osobowych w kontekście oświadczenia woli z kodeksu cywilnego (Ustawa z dnia 23 kwietnia 1964 r. Kodeks cywilny – Dz.U.1964.16.93 z późn. zm., zwanej dalej „kodeksem cywilnym”). Zgoda jest uważana za podstawową przesłankę legalności przetwarzania danych osobowych. W mojej opinii jest bardzo często przeceniana oraz z drugiej strony Administratorzy Danych nie wystarczająco często po nią sięgają.

Po pierwsze, nieporozumieniem jest stwierdzenie, iż zgoda jako jedna z przesłanek ujętych w art. 23 ustawy o ochronie danych osobowych (Ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych – Dz.U.2002.101.926 z późn. zm., zwanej dalej „uodo”) jest ważniejsza od innych.

Zarówno GIODO, jak i orzecznictwo sądów administracyjnych potwierdzają równość każdej z przesłanek zawartych w art. 23 uodo.

Zgoda jest bardzo wygodnym narzędziem pozwalającym na legalizację przetwarzania danych osobowych. Jeśli tylko istnieje taka możliwość, Administrator Danych powinien zabiegać o uzyskanie pisemnej (dla celów dowodowych) zgody na przetwarzanie danych osobowych. Dopiero gdy nie jest to możliwe, należy szukać możliwości wykorzystania jednej z pozostałych przesłanek legalności przetwarzania danych osobowych. Nie ulega wątpliwości, że zgoda jest najczęściej wykorzystywaną przesłanką.

Obejrzyj nasz poradnik video o zgodzie na przetwarzanie danych…

… albo posłuchaj w formie podcastu

Rodzaje zgód

Należy pamiętać o tym, że pomimo iż w ustawie o ochronie danych osobowych spotykamy trzy „rodzaje” zgody, wyróżnione ze względu na treść oraz wymaganą formę, to jest to jedna i ta sama konstrukcja prawa. Poniżej spis czynności którym może towarzyszyć wyrażenie zgody przez osobę, której dane dotyczą:

1. zgoda na przetwarzanie danych tzw. „zwykłych” (brak wymogu co do zachowania szczególnej formy),
2. zgoda na przetwarzanie danych wrażliwych (wymagana forma pisemna),
3. zgoda na przekazanie danych osobowych do państwa trzeciego (wymagana forma pisemna).

Zasady poprawnego konstruowania klauzul zgód

Aby konstruować zgodę poprawnie oraz mieć świadomość jej budowy, funkcji oraz zagrożeń jakie ze sobą niesie, konieczne jest odniesienie się do przepisów kodeksy cywilnego. Jest to konsekwencją treści przepisu art. 7 pkt 5 uodo, który stanowi:

zgoda osoby, której dane dotyczą – rozumie się przez to oświadczenie woli, którego treścią jest zgoda na przetwarzanie danych osobowych tego, kto składa oświadczenie; zgoda nie może być domniemana lub dorozumiana z oświadczenia woli o innej treści

Z przywołanej definicji oraz braku w uodo definicji pojęcia oświadczenia woli płyną następujące wnioski:

1. wobec braku definicji pojęcia oświadczenia woli w uodo, do zgody z uodo należy stosować definicję oświadczenia woli z kodeksu cywilnego,
2. zgoda nie może być domniemana lub dorozumiana z oświadczenia o innej treści

Ad. 1. Definicję oświadczenia woli znajdziemy w art. 60 kodeksu cywilnego, zgodnie z brzmieniem przywołanego przepisu:

z zachowaniem wyjątków w ustawie przewidzianych, wola osoby dokonywającej czynności prawnej może być wyrażona przez każde zachowanie się tej osoby, które ujawnia jej wolę w sposób dostateczny (oświadczenie woli)

Bardzo ważnym wnioskiem płynącym z powyższej definicji jest fakt, iż zgoda to oświadczenie woli, a nie czynność prawna. Fakt ten będzie determinował ograniczoną możliwość powoływania się na przepisy dotyczące oświadczenia woli z kodeksu cywilnego względem zgody z uodo. Nie będzie zatem możliwość badania ważności złożonej zgody na przetwarzanie danych osobowych poprzez pryzmat przepisów kodeksu cywilnego dotyczących wad oświadczenia woli lub zdolności do złożenia oświadczenia.

Wady oświadczenia woli to inaczej sytuacje, okoliczności i stany psychiki lub wiedzy, towarzyszące przejawowi woli lub występujące przy podjęciu decyzji, które system prawny uwzględnia, określając w sposób negatywny (tzn. jakie nieprawidłowości powodują wadliwość prawną złożonego oświadczenia woli) ich wpływ na ważność czynności prawnej.

W doktrynie istnieje rozbieżność co do możliwości stosowania przepisów dotyczących wad oświadczenia woli z kodeksu cywilnego względem zgody na przetwarzanie danych osobowych.

Łączenie i domniemanie zgód

Ad. 2. Oświadczenia woli będącego zgodą na przetwarzanie danych osobowych nie można łączyć z oświadczeniem innej treści. Zgoda powinna być wyrażona w sposób samoistny. Wbrew prawu jest praktyka pytania o „zgodę na przetwarzanie danych osobowych”, która równocześnie będzie innym oświadczeniem woli, np. wolą skorzystania z danej usługi. Administrator Danych powinien zawsze w przypadku zbierania zgody na przetwarzanie danych osobowych umożliwić osobie, której dane dotyczą, złożenie – odrębnego od innych – oświadczenia woli (zgody na przetwarzanie danych osobowych).

Z powyższym zagadnieniem łączy się ściśle także temat domniemania zgody z oświadczenia woli innej treści. Aby wyjaśnić powyższe posłużę się przykładem. Nie wolno np. z oświadczenia woli wyrażającego zgodę na skorzystanie przez klienta z danej usługi domniemywać, że skoro złożył określone oświadczenie to tym samym zgodził się na przetwarzanie swoich danych osobowych (nie wyklucza to oczywiście możliwości legalnego przetwarzania danych osobowych w takiej sytuacji na podstawie innej przesłanki zawartej w art. 23 uodo).

Mimo że nie ma takiego wymogu co do zgody na przetwarzanie danych osobowych tzw. zwykłych, to w interesie Administratora Danych jest, by zbierał zgody w formie pisemnej. Umożliwi to w razie konieczności łatwe i bezsprzeczne udowodnienie faktu wyrażenia zgody na przetwarzanie danych osobowych przez osobę, której dane dotyczą.

Dla prawidłowego złożenia zgody ustawodawca wymaga by spełnione zostały łącznie kolejne cztery wymogi, a mianowicie:

1. osoba której dane dotyczą, musi rozumieć informacje przekazane jej przez Administratora Danych na podstawie art. 24 uodo (tzw. obowiązek informacyjny),
2. osoba które dane dotyczą, musi być w stanie ocenić skutki swojej decyzji,
3. zgoda musi być skonkretyzowana,
4. zgoda nie może być wymuszona.

Zdolność wyrażenia zgody uzależniona jest od działania z rozeznaniem. Jeżeli osoba, której dane dotyczą, nie jest w stanie działać z rozeznaniem, to zgodę na przetwarzanie jej danych osobowych może wyrazić opiekun prawny lub kurator.

Nieważność zgody na przetwarzanie danych

Często zadawane jest pytanie kiedy można uznać zgodę na przetwarzanie danych osobowych za nieważną. Poniżej przedstawiam podsumowanie i wyliczenie takich wypadków:

1. oświadczenie woli o wyrażeniu zgody złożone przez osobę, która z jakichkolwiek powodów znajdowała się w stanie wyłączającym świadome albo swobodne powzięcie decyzji i wyrażenie woli (art. 82 kodeksu cywilnego),
2. oświadczenie woli o wyrażeniu zgody złożone drugiej stronie za jej zgodą dla pozoru (art. 83 § 1 kodeksu cywilnego,
3. zgoda domniemana lub dorozumiana z oświadczenia woli o innej treści art. 7 pkt 5 uodo),

Porównanie zgody z kodeksu cywilnego ze zgodą z ustawy o ochronie danych

Na koniec, na podstawie powyższych wywodów można pokusić się o wskazanie różnić pomiędzy oświadczeniem woli w rozumieniu kodeksu cywilnego, a pojęciem zgody z uodo (która jest szczególnym oświadczeniem woli w rozumieniu kodeksu cywilnego).

Zapraszamy również do kolejnego artykułu poświęconego zgodzie na przetwarzanie danych.