OPUBLIKOWANO: 12 MARCA 2018
Czy należy zbierać nowe zgody na przetwarzanie danych osobowych?
Uzyskanie zgody na przetwarzanie danych osobowych wymaga również obecnie obowiązująca ustawa o ochronie danych osobowych. Pytanie zatem zachodzi, czy wejście w życie RODO skutkować będzie koniecznością uzyskania ponownie zgód od osób, którzy je już wyrazili na podstawie obecnego stanu prawnego?
Wydaje się jednak, że ponowne uzyskanie zgody nie jest konieczne, a dotychczasowe zgody na przetwarzanie danych zachowają swoją ważność. Zauważyć należy, że zgodnie z motywem 171 preambuły do RODO przetwarzanie, które w dniu rozpoczęcia stosowania niniejszego rozporządzenia już się toczy, powinno w terminie dwóch lat od wejścia niniejszego rozporządzenia w życie zostać dostosowane do jego przepisów. Jeżeli przetwarzanie ma za podstawę zgodę w myśl dyrektywy 95/46/WE, osoba, której dane dotyczą, nie musi ponownie wyrażać zgody, jeżeli pierwotny sposób jej wyrażenia odpowiada warunkom niniejszego rozporządzenia; dzięki temu administrator może kontynuować przetwarzanie po dacie rozpoczęcia stosowania niniejszego rozporządzenia. Decyzje przyjęte przez Komisję oraz zezwolenia wydane przez organy nadzorcze na podstawie dyrektywy 95/46/WE pozostają w mocy do czasu ich zmiany, zastąpienia lub uchylenia.
Jeżeli zatem zgoda została wyrażona w celu przetwarzania danych przez DPS, to cel wyrażenia danej zgody nie ulegnie zmianie pod rządami RODO.
Można tu przytoczyć stanowisko GIODO na temat ważności zgód dotychczas pozyskanych, dostępne na stronie internetowej https://www.giodo.gov.pl/pl/1520281/10303. Czytamy w nim:
Zgody na przetwarzanie danych osobowych zebrane na podstawie ustawy o ochronie danych osobowych nie tracą ważności. Należy się jednak upewnić, czy zostały pozyskane zgodnie z wymaganiami określonymi w RODO, tak by zapewnić osobom wyrażającym zgodę swobodę wyboru.
Zgoda, która dotychczas została pozyskana, jest nadal ważna, o ile jest ona zgodna z warunkami określonymi w rozporządzeniu. Takie stanowisko wynika bezpośrednio z treści motywu 171 ogólnego rozporządzenia o ochronie danych (RODO): „jeżeli przetwarzanie ma za podstawę zgodę w myśl dyrektywy 95/46/WE, osoba, której dane dotyczą, nie musi ponownie wyrażać zgody, jeżeli pierwotny sposób jej wyrażenia odpowiada warunkom niniejszego rozporządzenia; dzięki temu administrator może kontynuować przetwarzanie po dacie rozpoczęcia stosowania niniejszego rozporządzenia”. RODO nie przewiduje przepisów przejściowych w stosunku do dyrektywy 95/46/WE. Ważność zachowuje zatem zgoda, która została pierwotnie zebrana w sposób gwarantujący osobie, której dane dotyczą, złożenie oświadczenia spełniającego następujące kryteria:
