Trybunał Sprawiedliwości UE w dniu 11 listopada 2020 roku wydał wyrok w sprawie C-61/19, w którym ponownie wyjaśnił, w jaki sposób należy rozumieć warunki1 zgodnej z prawem zgody na przetwarzanie danych osobowych.

Wyrok zapadł na kanwie decyzji o nałożeniu na rumuńską spółkę grzywny za przechowywanie kopii dokumentów tożsamości klientów bez wykazania, że wyrazili na to ważną zgodę oraz o nałożeniu na tę spółkę obowiązku zniszczenia ww. kopii.

W toku sprawy Sąd Okręgowy w Bukareszcie (Tribunalul București) skierował do Trybunału następujące pytania prejudycjalne:

„1)     Jakie warunki muszą zostać spełnione, aby dane oświadczenie woli można było uznać za konkretne i świadome?

2)      Jakie warunki muszą zostać spełnione, aby dane oświadczenie woli można było uznać za dobrowolnie wyrażone?”.

Na wstępie Trybunał przypomniał, że art. 7 Dyrektywy 95/462 i art. 6 Rozporządzenia 2016/6793 przewidują zamknięty i wyczerpujący wykaz przypadków, w których przetwarzanie danych osobowych może zostać uznane za zgodne z prawem. W katalogu tym znajduje się m.in. podstawa oparta na zgodzie osoby, której dane dotyczą.

Zgodnie z Dyrektywą 95/46 „zgoda osoby, której dane dotyczą” oznacza konkretne i świadome, dobrowolne wskazanie przez osobę, której dane dotyczą na to, że wyraża przyzwolenie na przetwarzanie odnoszących się do niej danych osobowych.

Z kolej Rozporządzenie 2016/679 stanowi, że "zgoda" osoby, której dane dotyczą oznacza dobrowolne, konkretne, świadome i jednoznaczne okazanie woli, którym osoba, której dane dotyczą, w formie oświadczenia lub wyraźnego działania potwierdzającego, przyzwala na przetwarzanie dotyczących jej danych osobowych.

Czynne działanie

Trybunał podkreślił, że rozpatrując zagadnienie „zgody” należy brać pod uwagę wyłącznie czynne zachowanie tej osoby mające na celu wyrażenie zgody. Musi być to bowiem wyraźne działanie potwierdzające.

Konkretność

Odnosząc się do wymogu konkretności zgody Trybunał wskazał, że oświadczenie zawierające zgodę musi odnosić się dokładnie do określonego przetwarzania danych. Takiego oświadczenia nie można w żaden sposób domniemywać z treści innego wyrażenia woli mającego inny cel.

Świadomość

Dodatkowo oświadczenie o wyrażeniu zgody przygotowane przez administratora danych osobowych powinno zostać przedstawione w łatwo dostępnej, zrozumiałej formie. Musi zostać zatem wyrażone jasnym i prostym językiem. Administrator powinien dostarczyć osobie, która ma udzielić swojej zgody, wszelkich informacji dotyczących okoliczności związanych z przetwarzaniem jej danych. Osoba taka musi być w stanie dowiedzieć się w szczególności:

- kto jest administratorem danych osobowych;

- jakiego rodzaju dane będą przetwarzane przez administratora;

- przez jaki czas będzie dochodziło do przetwarzania danych;

- w jakich celach będą przetwarzane jej dane osobowe.

Powyższe ma przede wszystkim doprowadzić osobę do łatwego ustalenia konsekwencji zgody, którą wyraża, a także gwarantować, że zgoda ta zostanie udzielona przy pełnej znajomości stanu rzeczy.

Dobrowolność

Trybunał wskazał także na istotny czynnik jakim jest rzeczywistość swobody dokonania wyboru przez osobę, która ma wyrazić swoją zgodę. Administrator zatem nie powinien wprowadzać takiej osoby w błąd, przykładowo co do możliwości zawarcia z nim umowy, nawet jeśli osoba ta odmawia wyrażenia zgody na przetwarzanie jej danych w innych celach. Trybunał podkreślił, że w innym przypadku nie można uznać, że zgoda tej osoby na przetwarzanie jej danych osobowych została wyrażona zarówno w sposób dobrowolny jak również świadomy.

Rozliczalność

W wyroku zwrócono także uwagę na spoczywającym na administratorze ciężarze dowodu w zakresie spełnienia wymogów przetwarzania danych osobowych zgodnie z prawem. Jeżeli zatem do przetwarzania przez administratora danych dochodzi na podstawie wyrażonej zgody, każdorazowo taki administrator musi być w stanie wykazać, że osoba, której dane dotyczą wyraziła ważną zgodę.

Oświadczenie o niewyrażeniu zgody

Warto także na marginesie wspomnieć, że w stanie faktycznym sprawy administrator w przypadku braku wyrażenia zgody na przetwarzanie danych osobowych w postaci okazania dokumentu tożsamości oraz przechowywania kopii tego dokumentu, wymagał odstępując od zwykłej procedury prowadzącej do zawarcia umowy, aby dany klient złożył pisemne oświadczenie, że takiej zgody nie wyraża.

Ten dodatkowy wymóg został oceniony negatywnie przez Trybunał, który wyjaśnił, że taki wymóg może w bezpodstawny sposób wpłynąć na swobodne podjęcie decyzji o odmowie wyrażenia zgody. Trybunał wskazał, że administrator nie może wymagać, aby osoby poprzez czynne zachowanie wyrażały swoją odmowę w zakresie przetwarzania danych osobowych.

Podsumowanie

Na podstawie stanu faktycznego sprawy Trybunał orzekł, że nie można uznać, aby osoba wyraziła skuteczną zgodę na przetwarzanie danych osobowych, w szczególności jeżeli:

1. okienko wyboru odnoszące się do tej klauzuli zostało zaznaczone przez administratora danych przed podpisaniem umowy, lub gdy

2. postanowienia umowy mogą wprowadzać osobę, której dane dotyczą, w błąd co do możliwości zawarcia tej umowy pomimo odmowy udzielenia zgody na przetwarzanie danych, lub gdy

3. administrator bezpodstawnie wpłynął na swobodne podjęcie decyzji o sprzeciwieniu się skopiowaniu i przechowywaniu kopii dokumentu tożsamości, poprzez ustanowienie wymogu, aby w wypadku odmowy udzielenia zgody osoba, której dane dotyczą, wypełniła dodatkowy formularz dokumentujący tę odmowę.

Zespół Kancelarii

1 Trybunał w swoim wyroku nie odnosił się do warunku jakim jest umożliwienie wycofania zgody na przetwarzanie danych osobowych bez niekorzystnych konsekwencji.

2 Dyrektywa 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (obecnie uchylona Rozporządzeniem 2016/679 – RODO).

3 Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) – RODO.