Zgoda na przetwarzanie danych osobowych, wzór i jak ją zebrać z dowodem

Zgoda na przetwarzanie danych osobowych bywa wymagana, gdy nie ma innej podstawy prawnej, na przykład umowy lub obowiązku ustawowego. Jeśli administrator opiera się na zgodzie, musi umieć wykazać, że ją uzyskał. To oznacza, że sama kratka w formularzu często nie wystarcza, bo trzeba potrafić pokazać, kto, kiedy i na jaką treść się zgodził. Poniżej omawiamy elementy dobrej zgody i sposób jej udokumentowania. Tekst ma charakter informacyjny i nie jest poradą prawną.

Kiedy zgoda jest właściwą podstawą

RODO przewiduje kilka podstaw przetwarzania danych. Zgoda nie jest ani jedyną, ani zawsze najlepszą. Jeśli dane są potrzebne do wykonania umowy, zwykle opiera się na niej samej. Zgoda sprawdza się tam, gdzie osoba ma realny wybór, na przykład przy newsletterze, publikacji wizerunku czy dodatkowych celach, które wykraczają poza umowę. Warto więc najpierw ustalić, czy zgoda jest potrzebna, a dopiero potem ją zbierać.

Cechy ważnej zgody

Zgoda powinna być dobrowolna, konkretna, świadoma i jednoznaczna. W praktyce przekłada się to na kilka zasad.

• Osoba wyraża zgodę aktywnym działaniem, na przykład podpisem lub zatwierdzeniem kodem. Domyślnie zaznaczona kratka nie jest dobrym rozwiązaniem.
• Każdy cel wymaga osobnej zgody, bez łączenia różnych zakresów w jedną pozycję.
• Zgoda nie może być warunkiem usługi, jeśli dane nie są do niej potrzebne.
• Osoba musi wiedzieć, kto jest administratorem i w jakim celu dane będą używane.
• Wycofanie zgody powinno być równie łatwe jak jej udzielenie.

Co powinna zawierać treść zgody

Dobry wzór zawiera nazwę administratora i dane kontaktowe, wskazanie celu przetwarzania, zakres danych, informację o okresie przechowywania lub kryteriach jego ustalenia, informację o prawie do wycofania zgody w każdej chwili oraz wskazanie, że wycofanie nie wpływa na zgodność z prawem przetwarzania sprzed wycofania. Dobrze, gdy język jest prosty, a treść krótka. Gotowe punkty wyjścia znajdziesz w szablonie zgody marketingowe, który możesz dostosować do swojej działalności.

Jak zebrać zgodę w formie elektronicznej

Proces online może być prosty i jednocześnie dobrze udokumentowany. Osoba otrzymuje link, czyta treść, a następnie potwierdza swoją tożsamość kodem wysłanym na e-mail lub telefon. Może też złożyć podpis palcem na ekranie. Po zatwierdzeniu powstaje plik PDF, a każdy krok jest zapisywany w dzienniku zdarzeń.

Dzięki temu w razie pytania od osoby, której dane dotyczą, albo od organu nadzorczego, można pokazać konkretną treść, datę, godzinę i kanał potwierdzenia. To znacznie mocniejszy materiał niż wiersz w arkuszu.

Dowód zgody, czyli co warto zachować

Administrator odpowiada za wykazanie, że zgoda została udzielona. Warto zatem zachować kilka rzeczy.

• Dokładną treść, którą widziała osoba w chwili zgody, razem z jej wersją.
• Datę i godzinę zatwierdzenia oraz dane kontaktowe użyte do potwierdzenia.
• Gotowy plik PDF z sumą kontrolną SHA-256, która pozwala wykryć późniejszą zmianę treści.
• Dziennik zdarzeń pokazujący kolejne kroki procesu.
• Informację o ewentualnym wycofaniu zgody i jego dacie.

Wycofanie zgody i rejestr

Zgoda nie jest dana raz na zawsze. Osoba może ją wycofać, a firma powinna to uwzględnić bez zwłoki. Dlatego przydaje się rejestr, w którym widać, które zgody są aktywne, a które wycofane, i w którym wycofanie zapisuje się razem z datą. Taki rejestr pomaga też przy kontroli, gdy trzeba wykazać stan na konkretny dzień. Więcej o tym, jak to działa w praktyce, znajdziesz na stronie elektroniczne zgody.

Chcesz zobaczyć, jak wygląda cały proces od strony osoby wyrażającej zgodę i od strony firmy. Wypróbuj demo na stronie głównej i sprawdź, jakie dowody zostają po zatwierdzeniu.