W tym miesiącu w Komunikacie IOD-y rozpoczynamy nową serię poświęconą podstawom przetwarzania szczególnych kategorii danych osobowych. Jako pierwsza z nich przybliżona zostanie zgoda osoby, której dane dotyczą.
ZASADY PRZETWARZANIA SZCZEGÓLNYCH KATEGORII DANYCH
RODO wyróżnia szczególne kategorie danych osobowych, określane również jako dane wrażliwe. Należą do nich dane ujawniające pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub światopoglądowe, przynależność do związków zawodowych, a także dane genetyczne, dane biometryczne przetwarzane w celu jednoznacznego zidentyfikowania osoby fizycznej, dane dotyczące zdrowia oraz o seksualności lub orientacji seksualnej.
W przypadku tego rodzaju danych prawodawca przyjął inną konstrukcję niż w art. 6 RODO. Art. 9 ust. 1 wprowadza generalny zakaz przetwarzania szczególnych kategorii danych, natomiast w ust. 2 wskazuje sytuacje, w których zakaz ten nie ma zastosowania. Katalog tych przesłanek jest zamknięty, a dla dopuszczalności przetwarzania konieczne jest wystąpienie co najmniej jednej z nich. Nie zwalnia to jednak administratora z konieczności ustalenia odpowiedniej podstawy prawnej przetwarzania tych danych na gruncie art. 6 RODO.
CHARAKTER ZGODY JAKO PODSTAWY PRZETWARZANIA DANYCH
Jedną z przesłanek uchylających zakaz przetwarzania szczególnych kategorii danych jest wyraźna zgoda osoby, której one dotyczą. Zgodnie z art. 9 ust. 2 lit. a RODO przetwarzanie jest dopuszczalne, jeżeli „osoba, której dane dotyczą, wyraziła wyraźną zgodę na przetwarzanie tych danych osobowych w jednym lub kilku konkretnych celach, chyba że prawo Unii lub prawo państwa członkowskiego przewidują, iż osoba, której dane dotyczą, nie może uchylić zakazu, o którym mowa w ust. 1”.
Podobnie jak w przypadku art. 6 ust. 1 lit. a RODO, zgoda osoby powinna być dobrowolna, konkretna, świadoma i jednoznaczna. W odniesieniu do szczególnych kategorii danych prawodawca wprowadził jednak dodatkowy wymóg – zgoda musi być wyraźna.
WYRAŹNA ZGODA
Wymóg wyraźności stanowi dodatkowy warunek skuteczności zgody, o której mowa w art. 9 ust. 2 lit. a RODO. Oznacza on, że przyzwolenie na przetwarzanie szczególnych kategorii danych powinno zostać wyrażone w sposób niebudzący wątpliwości.
Konsekwencją tego wymogu jest konieczność złożenia przez osobę oświadczenia, z którego jednoznacznie wynika jej wola przetwarzania dotyczących jej danych wrażliwych. Nie jest zatem wystarczające wywodzenie zgody wyłącznie z określonego zachowania osoby, nawet jeżeli mogłoby ono wskazywać na akceptację przetwarzania (jak w przypadku zgody zwykłej). Jednocześnie RODO nie wymaga szczególnej formy dla zgody wyraźnej. Może ona zostać udzielona pisemnie, za pomocą formularza internetowego, a także ustnie, o ile sposób jej wyrażenia pozwala jednoznacznie ustalić, że osoba rzeczywiście udzieliła zgody.
Podwyższony standard zgody powinien przekładać się również na szczególną staranność administratora przy jej pozyskiwaniu. Administrator powinien zadbać nie tylko o odpowiednią treść oświadczenia, ale również o taki sposób jego odebrania i utrwalenia, który pozwoli wykazać, że osoba świadomie i wyraźnie przyzwoliła na przetwarzanie wrażliwych danych w konkretnym celu.
OGRANICZENIA W STOSOWANIU ZGODY
Możliwość oparcia przetwarzania szczególnych kategorii danych na zgodzie osoby, której dane dotyczą, nie ma charakteru bezwzględnego. Zgodnie z art. 9 ust. 2 lit. a RODO prawo Unii Europejskiej lub prawo państwa członkowskiego może przewidywać, że zakaz przetwarzania określonych danych nie może zostać uchylony przez zgodę osoby, której dane dotyczą. W takim przypadku nawet uzyskanie zgody wyraźnej i spełniającej pozostałe wymagania RODO nie będzie stanowiło wystarczającej podstawy przetwarzania.
Administrator, zanim oprze przetwarzanie szczególnych kategorii danych na zgodzie, powinien zatem zweryfikować, czy w odniesieniu do danego rodzaju danych lub konkretnego kontekstu ich przetwarzania przepisy szczególne nie wyłączają możliwości posłużenia się tą przesłanką. Ma to znaczenie zwłaszcza w tych obszarach, w których ustawodawca wprowadza szczególne reguły dotyczące przetwarzania danych ze względu na potrzebę zapewnienia osobie, której dane dotyczą, zwiększonej ochrony. Przykładem takich szczególnych regulacji są przepisy prawa pracy – zgodnie z art. 22¹b § 1 Kodeksu pracy zgoda pracownika może stanowić podstawę przetwarzania szczególnych kategorii danych wyłącznie w przypadku, gdy przekazanie tych danych następuje z inicjatywy pracownika.
WYCOFANIE ZGODY
Do zgody na przetwarzanie danych wrażliwych zastosowanie mają również ogólne zasady określone w art. 7 RODO. Osoba, której dane dotyczą, ma prawo w dowolnym momencie wycofać udzieloną zgodę. A administrator powinien zapewnić, aby procedura jej wycofania nie była bardziej skomplikowana niż procedura zastosowana przy jej udzielaniu.
Jeżeli zgoda stanowi podstawę przetwarzania szczególnych kategorii danych, administrator powinien zapewnić odpowiednie rozwiązania organizacyjne i techniczne pozwalające na sprawne odnotowanie wycofania zgody oraz zaprzestanie przetwarzania danych w oparciu o tę przesłankę.
PODSUMOWANIE
Zgoda nie będzie właściwą podstawą przetwarzania szczególnych kategorii danych w każdej sytuacji – art. 9 ust. 2 RODO przewiduje również inne przesłanki pozwalające na ich przetwarzanie. Przed jej zastosowaniem administrator powinien ocenić, czy odpowiada ona charakterowi i okolicznościom konkretnego procesu przetwarzania.
Szczególna ostrożność jest uzasadniona ze względu na charakter danych wymienionych w art. 9 RODO oraz konsekwencje posłużenia się zgodą jako podstawą ich przetwarzania. Jeżeli warunki jej skuteczności nie zostaną spełnione, administrator nie będzie mógł powołać się na art. 9 ust. 2 lit. a RODO jako przesłankę uchylającą zakaz przetwarzania tych danych.