Súhlas so spracúvaním osobných údajov

Čo to znamená

Súhlas so spracúvaním osobných údajov je slobodný, konkrétny, informovaný a jednoznačný prejav vôle, ktorým človek povolí spracúvať svoje údaje na určitý účel. Podľa GDPR je to jeden zo šiestich právnych základov spracúvania, nie jediný a často ani nie ten najvhodnejší.

Slobodný znamená, že odmietnutie nesmie mať pre človeka nepriaznivé následky a súhlas nemôže byť podmienkou služby, ktorá ho nepotrebuje. Konkrétny znamená, že sa týka jasne určeného účelu, napríklad zasielania newslettera. Pri viacerých účeloch treba súhlas získať ku každému zvlášť.

Súhlas sa dá kedykoľvek odvolať a odvolanie musí byť rovnako jednoduché ako jeho udelenie. Na rozdiel od oprávneného záujmu či plnenia zmluvy sa súhlas hodí najmä tam, kde človek má skutočnú voľbu, napríklad pri e-mailovom marketingu či analytických a marketingových cookies.

Ako to funguje v praxi

Pri revízii ochrany údajov u klientov často zisťujeme, že firma zbiera súhlas tam, kde ho nepotrebuje, napríklad na spracúvanie údajov zamestnancov na mzdy. Tam je správnym základom plnenie zmluvy a zákonná povinnosť. Nadbytočný súhlas mätie, lebo ak ho človek odvolá, firma aj tak údaje spracúvať musí.

Pri newsletteroch odporúčame double opt-in, teda potvrdenie odberu kliknutím v e-maile. Firma tak vie preukázať, že súhlas udelil skutočne majiteľ adresy, a má záznam o čase a spôsobe udelenia. Takýto dôkaz je pri kontrole rozhodujúci.

Súhlas musí byť oddelený od ostatných podmienok. Predvyplnené políčka, súhlas skrytý vo všeobecných podmienkach či formulácia typu „pokračovaním súhlasíte“ nie sú platným súhlasom. Pri deťoch v určitom veku je potrebný súhlas rodiča.

Na čo si dať pozor

Po odvolaní súhlasu musí firma spracúvanie na daný účel ukončiť a údaje, ak nemá iný základ, vymazať. Ak ich ďalej používa, napríklad naďalej posiela newsletter, porušuje zákon. Odvolanie je často spojené aj so žiadosťou o vymazanie.

Rizikom je aj súhlas získaný „na všetko“. Všeobecný súhlas na „marketingové účely a spoluprácu s partnermi“ nie je dostatočne konkrétny. Pri kontrole ho úrad nemusí uznať a spracúvanie tak zostane bez platného právneho základu.