Wyższe standardy
W ustawie o świadczeniu usług drogą elektroniczną (uśude) występują dwa rodzaje zgód – zgoda na przesyłanie informacji handlowej (art. 10 ust. 2 uśude) oraz zgoda na przetwarzanie innych danych niż niezbędne do świadczenia usługi drogą elektroniczną, dla celów reklamy, badania rynku oraz zachowań i preferencji usługobiorców z przeznaczeniem wyników tych badań na potrzeby polepszenia jakości usług świadczonych przez usługodawcę (art. 18 ust. 4 uśude). W tym drugim przypadku usługodawca musi teraz wyraźnie wskazać, jakie dane nie są niezbędne do świadczenia przez niego usług (art. 18 ust. 3 RODO).
Czytaj także: RODO: jakie błędy wciąż popełniają pracodawcy
Istotna zmiana dotyczy sposobu wyrażania zgód: od tej pory zgody zbierane na podstawie uśude powinny spełniać wymogi RODO. Oznacza to, że zgoda powinna być:
• dobrowolna – nie powinna stanowić warunku świadczenia usługi lub wykonania umowy, a jej wycofanie powinno być równie łatwe jak jej wyrażenie,
• konkretna – powinna dotyczyć przetwarzania danych w precyzyjnie określonym celu (np. wysyłka newslettera). W razie kilku celów (np. marketingu produktów własnych i cudzych) należy odbierać odrębne oświadczenia. Zbyt ogólne sformułowanie zgody było jedną z głównych przyczyn, dla których francuski organ nadzorczy nałożył na Google karę 50 mln euro,
• świadoma – osoba, której dane dotyczą, przed wyrażeniem zgody powinna znać przynajmniej tożsamość administratora, cel przetwarzania i rodzaj danych, wiedzieć, czy na podstawie danych będzie dochodziło do zautmatyzowanego podejmowania decyzji i czy dane będą przekazywane poza Europejski Obszar Gospodarczy, a także powinna zostać poinformowana o możliwości wycofania zgody,
• jednoznaczna – wyrażona w formie oświadczenia lub działania wyraźnie wskazującego na jej udzielenie. Zgoda nie może być zatem dorozumiana.
Przykład jednoznacznej zgody: „Przesunięcie paska na ekranie, machnięcie przed inteligentną kamerą, obrócenie smartfona zgodnie z ruchem wskazówek zegara lub zakreślenie ósemki mogą być wariantami wyrażenia zgody, o ile zapewnione są jasne informacje i nie ulega wątpliwości, że dany ruch oznacza zgodę w odpowiedzi na konkretne zapytanie".
Przykład dorozumianej zgody: „Przewijanie w dół lub przeglądanie strony internetowej nie spełnia wymogu wyraźnego i potwierdzającego działania. Wynika to z faktu, że ostrzeżenie informujące, iż kontynuowanie przewijania zostanie uznane za zgodę, może być trudne do odróżnienia i może zostać przeoczone".
Źródło przykładów: Grupa Robocza art. 29, wytyczne dotyczące zgody na mocy rozporządzenia 2016/679 (17/PL WP259 rev.01), przyjęte 28 listopada 2017 r., ostatnio zmienione i przyjęte 10 kwietnia 2018 r., s. 19.
Zmiany w Prawie telekomunikacyjnym
Wyżej opisane warunki zgód dotyczą także Prawa telekomunikacyjnego. Zgody na używanie telekomunikacyjnych urządzeń końcowych i automatycznych systemów wywołujących dla celów marketingu bezpośredniego także powinny spełniać wymogi RODO, co wynika z nowego brzmienia art. 174 Prawa telekomunikacyjnego. Oznacza to m.in. obowiązek odbierania oddzielnej zgody na każdy konkretny kanał komunikacji (np. SMS, e-mail).
Co ciekawe, kary za naruszenia RODO, wynikające z nieprawidłowego stosowania przepisów Prawa telekomunikacyjnego, na dostawców publicznie dostępnych usług telekomunikacyjnych nakłada Prezes UODO (art. 210a Prawa telekomunikacyjnego). W pozostałym zakresie sankcje za naruszenia Prawa telekomunikacyjnego stosuje Prezes UKE.
Łatwiejsze obowiązki
Jak wynika ze zmian w ustawie o prawach konsumenta, w przypadku umów z konsumentami – zawieranymi zarówno w lokalu, jak i poza lokalem przedsiębiorstwa i na odległość – mikroprzedsiębiorca może ograniczyć się do udostępnienia klauzuli informacyjnej RODO na stronie internetowej lub w lokalu przedsiębiorstwa – bez aktywnego przekazywania jej każdemu klientowi.
Powyższy wyjątek nie ma zastosowania, gdy przedsiębiorca przetwarza dane szczególnej kategorii, tzn. dane ujawniające pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych, dane genetyczne, biometryczne albo dotyczące zdrowia, seksualności lub orientacji seksualnej.
Autor: Dr Paweł Mielniczek, ekspert ds. ochrony danych, ODO 24