RODO i stare zgody na przetwarzanie danych osobowych

Zgoda osoby fizycznej na przetwarzanie danych osobowych jest jedną z dopuszczalnych podstaw przetwarzania tych danych.

Obecnie szczegółowe wymogi dotyczące zgody są określone w ustawie z dnia 29 sierpnia 1997 r. o ochronie danych osobowych[1] (dalej: ustawa). Zgodnie z art. 25 ustawy należy m.in. poinformować osobę fizyczną, kto będzie administratorem danych osobowych, podać cel przetwarzania danych osobowych i wskazać na dobrowolność udzielenia zgody. Działając na podstawie ustawy, przedsiębiorcy przez wiele lat zbierali zgody na przetwarzanie danych osobowych, w szczególności dla celów marketingowych.

W dniu 25 maja 2018 r. wejdzie w życie rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (dalej: RODO). RODO wprowadza nowe wymagania odnośnie zgody na przetwarzanie danych osobowych. Tytułem przykładu, RODO modyfikuje zasady powiadamiania osoby fizycznej, że ma prawo w dowolnym momencie wycofać zgodę. Osoba fizyczna musi być poinformowana o tym prawie zanim wyrazi zgodę, a wycofanie zgody musi być równie łatwe, jak jej wyrażenie (por. art. 7 ust. 3 RODO).

Powstaje pytanie, czy zgoda na przetwarzanie danych osobowych, udzielona zgodnie z polską ustawą, zachowa ważność po dniu 24 maja 2018 r. Przepisy RODO nie regulują tej kwestii wprost. Jednocześnie motyw 171 do RODO brzmi:

„(171) Niniejszym rozporządzeniem należy uchylić dyrektywę 95/46/WE. Przetwarzanie, które w dniu rozpoczęcia stosowania niniejszego rozporządzenia już  się toczy, powinno w terminie dwóch lat od wejścia niniejszego rozporządzenia w życie zostać dostosowane do jego przepisów. Jeżeli przetwarzanie ma za podstawę zgodę w myśl dyrektywy 95/46/WE, osoba, której dane dotyczą, nie musi ponownie wyrażać zgody, jeżeli pierwotny sposób jej wyrażenia odpowiada warunkom niniejszego rozporządzenia; dzięki temu administrator może kontynuować przetwarzanie po dacie rozpoczęcia stosowania niniejszego rozporządzenia. Decyzje przyjęte przez Komisję oraz zezwolenia wydane przez organy nadzorcze na podstawie dyrektywy 95/46/WE pozostają w mocy do czasu ich zmiany, zastąpienia lub uchylenia”.

W rezultacie powyższego należy uznać, że możliwość dalszego przetwarzania danych osobowych na podstawie zgód udzielonych do dnia 24 maja 2018 r. będzie zależeć od treści tych zgód oraz warunków ich udzielenia. Każdy podmiot przetwarzający dane osobowe na podstawie zgody powinien przeanalizować obowiązujące u niego zasady zbierana zgód i porównać je z wymogami stawianymi przez RODO. Taka analiza pozwoli ocenić, czy jakieś zgody na przetwarzanie danych osobowych wygasną z dniem 25 maja 2018 r. i trzeba je ponownie zebrać zgodnie z zasadami RODO. Celem ograniczenia potrzeby ponownego zbierania zgód w 2018 roku, zainteresowane podmioty powinny już teraz dostosować swoje procedury do RODO i zacząć uzyskiwać kolejne zgody z zachowaniem wymogów RODO.

Podkreślić należy, że RODO znajduje bezpośrednie zastosowanie w polskim systemie prawnym. Projektowana nowa ustawa o ochronie danych osobowych będzie jedynie regulować kwestie wyraźnie przekazane przez RODO lub doprecyzuje jego postanowienia. Nowa ustawa o ochronie danych osobowych jest obecnie na etapie projektowania w Ministerstwie Cyfryzacji.