Na gruncie RODO jedną z przesłanek dopuszczalności przetwarzania będzie nadal uzyskanie zgody osoby, której dane dotyczą. Doprecyzowane zostały jednak warunki, jakie ta zgoda musi spełniać. Na początku warto przyjrzeć się definicji zgody w stosowanej obecnie ustawie z dnia 29 sierpnia 1997 r. o ochronie danych osobowych oraz tej, którą przewidział ustawodawca europejski:

Jak możemy zauważyć, definicja zgody została skonkretyzowana oraz wyraźnie został podkreślony  fakt, że to oświadczenie woli musi być dobrowolne, konkretne, świadome i jednoznaczne, co jest zgodne także z treścią motywu 32 Preambuły RODO. Poza pewnymi wytycznymi zawartymi w motywach rozporządzenia, szczegółowe warunki wyrażenia zgody na przetwarzanie danych osobowych zostały uregulowane w przepisie art. 7 RODO.

Aby zgoda była zgodna z regulacjami, które już niebawem będą nas obowiązywać, będzie musiała spełniać następujące warunki:

1. Administrator danych osobowych będzie musiał być w stanie wykazać, że osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie swoich danych osobowych. W przypadku np. skargi osoby, której dane dotyczą, do administratora będzie należało udowodnienie, że dana osoba wyraziła zgodę na przetwarzanie przez niego danych.
2. Jeżeli zgoda będzie wyrażana w pisemnym oświadczeniu, które dotyczy także innych kwestii, zapytanie o zgodę musi zostać przedstawione:

​            – w sposób pozwalający wyraźnie odróżnić je od pozostałych kwestii,

– w zrozumiałej i łatwo dostępnej formie, jasnym i prostym językiem.

Warunek ten jest o tyle istotny, że w przypadku jego niespełnienia, część takiego oświadczenia osoby nie będzie wiążąca. Gdyby zatem administrator, będący na przykład organizatorem szkolenia, umieścił klauzulę zgody na przetwarzanie danych osobowych wśród innych oświadczeń w ten sposób, że nie spełniałaby ona ww. warunków, a rozpocząłby przetwarzanie danych, wówczas należy uznać, że przetwarza te dane bezprawnie.

3. Osoba, której dane dotyczą, będzie miała prawo w dowolnym momencie wycofać zgodę. Musi być to tak łatwe, jak samo wyrażenie zgody. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej wycofaniem, o czym osoba powinna zostać poinformowana jeszcze przez wyrażeniem zgody.

W przypadku wycofania zgody, jeśli administrator danych nie ma innej podstawy przetwarzania (którą może być np. niezbędność dla wykonania umowy), musi zaprzestać przetwarzania danych.

4. Z uwagi na tak podkreślaną konieczność zapewnienia dobrowolności wyrażenia zgody, przy jej ocenie w jak największym stopniu będzie uwzględniać się, czy między innymi od zgody na przetwarzanie danych nie jest uzależnione wykonanie umowy, w tym świadczenie usługi, jeśli przetwarzanie danych osobowych nie jest niezbędne do wykonania tej umowy.

Warto także dodać, że w związku ze szczególną ochroną, jaką w rozporządzeniu obejmowane są dzieci, w art. 7 RODO zawarta została szczególna regulacja, określająca warunki wyrażenia zgody przez dziecko w przypadku usług społeczeństwa informacyjnego. Usługa społeczeństwa informacyjnego oznacza usługę w rozumieniu art. 1 ust. 1 lit. b) dyrektywy Parlamentu Europejskiego i Rady (UE) 2015/1535 a więc usługę normalnie świadczoną za wynagrodzeniem, na odległość, drogą elektroniczną i na indywidualne żądanie odbiorcy usług. W przypadku zatem świadczenia takich usług, jeżeli usługobiorcą jest dziecko, które nie ukończyło 16 lat, zgodę na przetwarzanie jego danych osobowych w przypadku może wyrazić tylko osoba sprawująca nad nim władzę rodzicielską lub opiekę. Państwa członkowskie mają możliwość obniżenia tej granicy wiekowej, ale nie może być ona niższa niż 13 lat.

Na gruncie nowych przepisów jedną z podstaw przetwarzania danych osobowych nadal będzie zgoda.

Biorąc pod uwagę zarówno definicję, jak i warunki wyrażenia zgody zawarte w przepisach ogólnego rozporządzenia o ochronie danych, należy pamiętać, że od 25 maja 2018 r., aby wyrażenie zgody było zgodnie z prawem, zgoda ta powinna:

• być dobrowolna,
• zostać sformułowana w sposób jasny i zrozumiały,
• być wyrażona w formie oświadczenia bądź poprzez wyraźne i jednoznaczne działanie, np. w Internecie – poprzez zaznaczenie tzw. checkboxa,
• zostać wyrażona na przetwarzanie w określonym celu lub kilku celach,
• wyraźnie odróżniać się od innych treści, jeżeli zawarta jest w oświadczeniu dotyczącym także innych kwestii,
• informować o możliwości jej wycofania,
• umożliwiać wycofanie w łatwy sposób,
• uwzględniać zasady pozyskiwania zgody na przetwarzanie danych osobowych dzieci.

Aby być pewnym, że przetwarzamy dane osobowe w naszej firmie zgodnie z aktualnym prawem warto wziąć udział w profesjonalnym  szkoleniu RODO  lub zdecydować się na skorzystanie z usług specjalisty, który dokona audytu oraz wdrożenia  w naszym przedsiębiorstwie.