Згода на обробку персональних даних

Що це означає

Згода на обробку персональних даних - вільне, конкретне, поінформоване й однозначне волевиявлення, яким людина дозволяє обробляти свої дані для певної мети. За GDPR це одна з шести правових підстав обробки, не єдина й часто не найдоречніша.

Вільна означає, що відмова не повинна мати для людини несприятливих наслідків, а згода не може бути умовою послуги, якій вона не потрібна. Конкретна означає, що вона стосується чітко визначеної мети, наприклад розсилки. За кількох цілей згоду треба отримувати на кожну окремо.

Згоду можна відкликати будь-коли, і відкликання має бути таким самим простим, як надання. На відміну від законного інтересу чи виконання договору згода пасує передусім там, де людина має реальний вибір, наприклад під час e-mail-маркетингу чи аналітичних і маркетингових cookies.

Як це працює на практиці

Під час ревізії захисту даних у клієнтів ми часто бачимо, що фірма збирає згоду там, де вона не потрібна, наприклад на обробку даних працівників для зарплат. Там правильна підстава - виконання договору й обов’язок за законом. Зайва згода плутає: якщо людина її відкличе, фірма однаково мусить обробляти дані.

Для розсилок ми радимо double opt-in, тобто підтвердження підписки кліком у листі. Так фірма може довести, що згоду надав справді власник адреси, і має запис про час і спосіб. Такий доказ під час перевірки вирішальний.

Згода має бути відокремлена від інших умов. Заздалегідь позначені прапорці, згода, прихована в загальних умовах, чи формулювання «продовжуючи, ви погоджуєтеся» - не дійсна згода. Для дітей певного віку потрібна згода батьків.

На що звернути увагу

Після відкликання згоди фірма має припинити обробку для цієї мети й, якщо немає іншої підстави, видалити дані. Якщо вона й далі їх використовує, наприклад надсилає розсилку, вона порушує закон. Відкликання часто супроводжується й запитом на видалення.

Ризик і в згоді, отриманій «на все». Загальна згода на «маркетингові цілі й співпрацю з партнерами» недостатньо конкретна. Під час перевірки відомство може її не визнати, і обробка залишиться без дійсної правової підстави.