"Zgoda” osoby, której dane dotyczą w rozumieniu art. 4 pkt 11; art. 6 ust. 1 lit. a) i art. 7 RODO

Zgodnie z motywem 42 RODO wyrażenia zgody nie można uznać za dobrowolne, jeżeli osoba, której dane dotyczą, nie ma rzeczywistego lub wolnego wyboru oraz nie może odmówić ani wycofać zgody bez niekorzystnych konsekwencji.

Zgodnie z motywem 43 tego rozporządzenia aby zapewnić dobrowolność tej zgody, nie może ona stanowić ważnej podstawy prawnej przetwarzania danych osobowych w szczególnej sytuacji, w której istnieje wyraźny brak równowagi między osobą, której dane dotyczą, a administratorem. W motywie tym wyjaśniono też, że zgody nie uważa się za dobrowolną, jeżeli nie można jej wyrazić z osobna na różne operacje przetwarzania danych osobowych, mimo że w danym przypadku byłoby to stosowne.

Art. 7 ust. 4 RODO stanowi, że przy ocenianiu tego, czy zgodę wyrażono dobrowolnie, w jak największym stopniu uwzględnia się między innymi, czy wykonanie umowy, w tym świadczenie usługi, jest uzależnione od zgody na przetwarzanie danych osobowych, które nie jest niezbędne do wykonania tej umowy.

Wyrok TSUE z dnia 4 lipca 2023 r., C-252/21

Standard: 84142 (pełna treść orzeczenia)

Art. 4 pkt 11 i art. 6 ust. 1 lit. a) RODO należy interpretować w ten sposób, iż to do administratora danych należy wykazanie, że osoba, której dane dotyczą, poprzez czynne zachowanie wyraziła zgodę na przetwarzanie swych danych osobowych i że uprzednio uzyskała ona dotyczące wszelkich okoliczności związanych z przetwarzaniem tych danych informacje mające zrozumiałą i łatwo dostępną formę, wyrażone jasnym i prostym językiem oraz umożliwiające tej osobie łatwe ustalenie konsekwencji jej zgody, w efekcie czego uzyskuje się gwarancję, że zgoda ta została udzielona przy pełnej znajomości stanu rzeczy.

Art. 4 pkt 11 RODO wymaga „dobrowolnego, konkretnego, świadomego i jednoznacznego” wyrażenia woli przez osobę, której dane dotyczą, w postaci oświadczenia lub „wyraźnego działania potwierdzającego” oznaczającego zgodę tej osoby na przetwarzanie dotyczących jej danych osobowych. Czynna zgoda jest zatem obecnie wyraźnie przewidziana w rozporządzeniu 2016/679 (zob. podobnie wyrok z dnia 1 października 2019 r., Planet49, C-673/17).

Chociaż w motywie 32 tego rozporządzenia wskazano, że wyrażenie zgody może nastąpić w szczególności poprzez zaznaczenie okienka wyboru podczas przeglądania strony internetowej, to jednak wykluczono istnienie zgody „w przypadku milczeni[a], okien[ek] domyślnie zaznaczon[ych] lub niepodjęci[a] działania”. W takim przypadku praktycznie niemożliwe wydaje się ustalenie w sposób obiektywny, czy użytkownik strony internetowej rzeczywiście wyraził zgodę na przetwarzanie jego danych osobowych poprzez to, że nie usunął domyślnego zaznaczenia okienka wyboru, a w każdym razie czy zgoda ta została udzielona w sposób świadomy. Nie można bowiem wykluczyć, że wspomniany użytkownik nie przeczytał informacji towarzyszących domyślnie zaznaczonemu okienku wyboru czy wręcz nie zwrócił uwagi na to okienko przed podjęciem dalszej aktywności na odwiedzanej przezeń stronie internetowej (zob. podobnie wyrok z dnia 1 października 2019 r., Planet49, C-673/17).

Art. 4 pkt 11 rozporządzenia 2016/679 wymaga, aby wyrażenie woli było „konkretne”, co oznacza, że musi ono odnosić się dokładnie do określonego przetwarzania danych i nie może zostać wywnioskowane z treści wyrażenia woli mającego inny cel [zob. wyrok z dnia 1 października 2019 r., Planet49, C-673/17].

Art. 7 ust. 2 zdanie pierwsze tego rozporządzenia wskazano, że jeżeli osoba, której dane dotyczą, wyraża zgodę w pisemnym oświadczeniu, które dotyczy także innych kwestii, zapytanie o zgodę musi zostać przedstawione w sposób pozwalający wyraźnie odróżnić je od pozostałych kwestii. W szczególności z tego ostatniego przepisu w związku z motywem 42 wspomnianego rozporządzenia wynika, że takie oświadczenie musi zostać przedstawione w zrozumiałej i łatwo dostępnej formie oraz musi zostać wyrażone jasnym i prostym językiem, w szczególności gdy chodzi o oświadczenie o wyrażeniu zgody przygotowane przez administratora danych osobowych.

Co się tyczy wymogu wynikającego z art. 4 pkt 11 rozporządzenia 2016/679, zgodnie z którym zgoda powinna być „świadoma”, wymóg ten oznacza, zgodnie z z art. 13 tego rozporządzenia, interpretowanym w świetle jego motywu 42, że administrator danych dostarczy osobie, której dane dotyczą, informacje na temat wszelkich okoliczności związanych z przetwarzaniem danych mające zrozumiałą i łatwo dostępną formę oraz wyrażone jasnym i prostym językiem, przy czym osoba ta powinna w szczególności być w stanie dowiedzieć się, jakiego rodzaju dane będą przetwarzane, kto jest administratorem danych, przez jaki czas i w jaki sposób dane te będą przetwarzane oraz w jakich celach. Rzeczone informacje powinny umożliwić takiej osobie łatwe ustalenie konsekwencji zgody, której może udzielić, oraz gwarantować, że zgoda ta zostanie udzielona przy pełnej znajomości stanu rzeczy (zob. analogicznie wyrok z dnia 1 października 2019 r., Planet49, C-673/17).

Z art. 13 ust. 2 lit. b) i c) rozporządzenia 2016/679 w związku z motywem 42 tego rozporządzenia wynika, że w celu zapewnienia osobie, której dane dotyczą, rzeczywistej swobody wyboru postanowienia umowne nie powinny wprowadzać tej osoby w błąd co do możliwości zawarcia umowy, nawet jeśli odmawia ona wyrażenia zgody na przetwarzanie jej danych. W braku tego rodzaju informacji nie można uznać, że zgoda tej osoby na przetwarzanie jej danych osobowych została wyrażona w sposób dobrowolny, ani też że została ona udzielona w sposób świadomy.

Na podstawie art. 5 ust. 1 lit. a) rozporządzenia 2016/679, administrator danych osobowych jest zobowiązany zapewnić w szczególności zgodność z prawem przetwarzania tych danych i – jak stanowi art. 5 ust. 2 – powinien być w stanie wykazać tę zgodność z prawem. Artykuł 7 ust. 1 wskazanego rozporządzenia stanowi, że jeżeli przetwarzanie odbywa się na podstawie zgody, administrator musi być w stanie wykazać, że osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie swoich danych osobowych.

Wyrok TSUE z dnia 11 listopada 2020 r., C-61/19

Standard: 84075 (pełna treść orzeczenia)