Czy trzeba wyrazić zgodę na przetwarzanie danych osobowych?

Czy trzeba wyrazić zgodę na przetwarzanie danych osobowych? Kary

Zrozumienie, czy trzeba wyrazić zgodę na przetwarzanie danych osobowych, stanowi kluczowy obowiązek każdej organizacji. Lekceważenie zasad ochrony prywatności oraz brak prawnych podstaw skutkuje surową odpowiedzialnością. Rosnąca świadomość obywateli sprawia, że natarczywy telemarketing i handel bazami spotykają się ze stanowczą reakcją. Dokładna znajomość przepisów chroni organizację przed problemami.

Czy trzeba wyrazić zgodę na przetwarzanie danych osobowych w każdym przypadku?

To zależy od konkretnej sytuacji, ponieważ zgoda jest tylko jedną z kilku niezależnych podstaw prawnych umożliwiających legalne korzystanie z informacji o nas. W codziennym życiu często ulegamy złudzeniu, że bez kliknięcia odpowiedniego okienka żadna firma ani urząd nie mogą dotknąć naszych danych. To błędne założenie. Europejskie i krajowe przepisy o ochronie danych osobowych przewidują szereg sytuacji, w których przetwarzanie danych osobowych bez zgody odbywa się w pełni legalnie bez naszej wiedzy lub wyraźnej akceptacji. Wszystko zależy od celu, w jakim dane są gromadzone.

Powszechna praktyka zasypywania internautów powiadomieniami o plikach cookies oraz wielostronicowymi formularzami sprawiła, że czujemy zmęczenie tym tematem. Często bezrefleksyjnie akceptujemy wszystko, co podsuwa nam ekran. Pamiętam, jak podczas analizy wdrożeń systemów w pewnym biurze rachunkowym pracownicy byli przekonani, że muszą zbierać pisemne oświadczenia od każdego klienta przychodzącego po fakturę. Efektem były segregatory pełne niepotrzebnych papierów. Przetwarzanie danych nie opiera się wyłącznie na zgodzie. Czasem podanie danych to przymus.

Kiedy zgoda na RODO jest wymagana, a kiedy nie trzeba jej składać?

Zgoda staje się koniecznością przede wszystkim wtedy, gdy przedsiębiorca chce wykorzystać nasze dane do celów niezwiązanych bezpośrednio z realizacją podstawowej usługi, na przykład w marketingu podmiotów trzecich lub profilowaniu behawioralnym. Przepisy precyzują sześć niezależnych przesłanek legalności, a zgoda znajduje się na pierwszej pozycji tej listy wyłącznie z powodów redakcyjnych, a nie ze względu na wyższy priorytet. Jeśli firma chce wysyłać nam newsletter promocyjny, musi uzyskać naszą dobrowolną, jednoznaczną i konkretną zgodę.

Zupełnie inaczej wygląda sytuacja w obrocie gospodarczym. Branżowe analizy i statystyki pokazują, że legalność przetwarzania danych opiera się na zgodzie w mniejszości procesów biznesowych, podczas gdy wiele sprawdzanych procedur w firmach dotyczy innych podstaw, takich jak prawnie uzasadniony interes lub wykonanie umowy. Przykładowo, kiedy kupujesz bilet lotniczy lub zamawiasz paczkę do paczkomatu, przewoźnik przetwarza Twoje imię, nazwisko oraz adres dostawy, ponieważ jest to obiektywnie niezbędne do realizacji usługi. Żądanie dodatkowej zgody w takim momencie jest błędem formalnym administratora.

Prawnie uzasadniony interes i obowiązki ustawowe jako podstawy bez zgody

Administratorzy danych bardzo często korzystają z możliwości przetwarzania informacji bez zgody, powołując się na konieczność wypełnienia obowiązków prawnych lub realizację własnych, uzasadnionych celów. Najlepszym przykładem są przepisy podatkowe. Sklep internetowy po dokonaniu sprzedaży musi wystawić fakturę i przechowywać ją przez określony czas, niezależnie od tego, czy klient sobie tego życzy. Podobnie banki zbierają szereg informacji w celu przeciwdziałania praniu pieniędzy, realizując zadania narzucone odgórnie przez prawo.

Drugim potężnym filarem jest tak zwany prawnie uzasadniony interes administratora. Pozwala on na działania takie jak montaż monitoringu wizyjnego na terenie sklepu w celu ochrony mienia przed kradzieżą czy dochodzenie roszczeń przed sądem. Zanim jednak firma powoła się na tę podstawę, musi przeprowadzić test równowagi, udowadniając, że jej interesy nie naruszają podstawowych praw i wolności człowieka. To delikatna granica. Sam przekonałem się o tym, gdy doradzałem przedsiębiorcy chcącemu rejestrować wszystkie rozmowy telefoniczne pracowników bez ich wiedzy - w tym przypadku prawa do prywatności przeważyły i pomysł musiał zostać zarzucony.

Co grozi za przetwarzanie danych osobowych bez zgody i bez podstawy prawnej?

Ignorowanie przepisów i przetwarzanie danych przy braku jakiejkolwiek podstawy prawnej wiąże się z dotkliwymi konsekwencjami finansowymi oraz prawnymi dla organizacji. Krajowy organ nadzorczy stale zaostrza kurs wobec podmiotów lekceważących zasady rozliczalności. Łączna wysokość kar pieniężnych nałożonych w Polsce gwałtownie wzrosła z niespełna 14 milionów złotych w latach wcześniejszych do poziomu aż 64,4 miliona złotych. ^[2] Pokazuje to dobitnie, że okres pobłażliwości dla firm, które traktowały ochronę danych wyłącznie jako formalność na papierze, bezpowrotnie minął.

Warto pamiętać, że oprócz administracyjnych kar nakładanych przez urząd, bezprawne przetwarzanie danych jest w określonych przypadkach czynem zabronionym. Co grozi za przetwarzanie danych bez zgody lub innej przesłanki prawnej? Grozi za to odpowiedzialność karna z ograniczeniem lub pozbawieniem wolności do lat dwóch włącznie. Ponadto obywatele są coraz bardziej świadomi swoich praw. Liczba oficjalnych skarg wnoszonych przez osoby fizyczne wzrosła skokowo o 61% w skali jednego roku, osiągając poziom 12.986 zgłoszeń. ^[3] Ludzie nie chcą już tolerować natarczywego telemarketingu ani handlu bazami danych bez ich wyraźnej zgody.

Zgoda a inne podstawy przetwarzania danych

Dobrowolna zgoda (Art. 6 ust. 1 lit. a)

Pełna - użytkownik może odmówić bez negatywnych konsekwencji dla usługi

Niska - może zostać wycofana w dowolnym momencie przez klienta

Cele marketingowe, wysyłka newsletterów, udział w opcjonalnych konkursach

Niezbędność do umowy (Art. 6 ust. 1 lit. b)

Skutkuje brakiem możliwości zawarcia lub wykonania danej umowy

Wysoka - trwa przez cały okres obowiązywania i rozliczania kontraktu

Realizacja zakupów online, wysyłka towaru, założenie konta użytkownika

Uzasadniony interes (Art. 6 ust. 1 lit. f)

Użytkownik może wnieść sprzeciw ze względu na swoją sytuację

Zmienna - zależy od wyniku tak zwanego testu równowagi praw

Stosowanie monitoringu, dochodzenie długów, marketing bezpośredni

Konsekwencje wymuszania zgód w e-sklepie

Tomasz, właściciel rozwijającej się marki odzieżowej z Gdańska, postanowił zwiększyć bazę odbiorców newslettera przed wyprzedażami. Zablokował możliwość finalizacji zakupów w koszyku, jeśli klient nie zaznaczył pola z akceptacją komunikatów marketingowych.

Klienci natychmiast zauważyli zmianę i zaczęli masowo porzucać koszyki zakupowe, a kilku z nich zgłosiło sprawę bezpośrednio do urzędu, zarzucając marce brak dobrowolności przy zbieraniu oświadczeń.

Po otrzymaniu oficjalnego pisma z wezwaniem do wyjaśnień, Tomasz zrozumiał, że uzależnianie realizacji umowy od zgody marketingowej wprost narusza europejskie przepisy i grozi wysoką grzywną.

W ciągu trzech dni przedsiębiorca zmienił układ formularza na w pełni opcjonalny, co ustabilizowało sytuację prawną firmy i przywróciło zaufanie kupujących w kolejnym kwartale.