Cofnięcie zgody na przetwarzanie danych osobowych

Przeczytaj także: Ochrona danych osobowych a cloud computing

Przepisy ustawy o ochronie danych osobowych przewidują możliwość odwołania zgody przez osobę, która ją wcześniej wyraziła. Regulacja taka znajduje się w art. 7 pkt 5) tej ustawy, zgodnie z którym, jeżeli w ustawie jest mowa o zgodzie osoby, której dane dotyczą - rozumie się przez to oświadczenie woli, którego treścią jest zgoda na przetwarzanie danych osobowych tego, kto składa oświadczenie; zgoda nie może być domniemana lub dorozumiana z oświadczenia woli o innej treści; zgoda może być odwołana w każdym czasie. Dotyczy to jednak przypadku, w którym już na przetwarzanie danych osoba taka wyraża zgodę. Natomiast, w sytuacji, w której dane są przetwarzane w celu wykonania umowy, oświadczenie (zgoda) takiej osoby nie jest potrzebna. Takie rozumienie potwierdza m. in. decyzja GIODO z dnia 24 czerwca 2005 roku (GI-DEC-DS-159/05) mówiąca, że wskazane w przywołanym powyżej art. 23 ust. 1 ww. ustawy przesłanki przetwarzania danych osobowych należy traktować rozłącznie, tzn. w przypadku zaistnienia jednej z nich, zbędne jest wykazywanie posiadania pozostałych, a oświadczenie o wyrażeniu zgody przez osobę, której dane dotyczą, nie jest wyłączną przesłanką przetwarzania jej danych osobowych. Również Wojewódzki Sąd Administracyjny w Warszawie w jednym ze swoich wyroków podkreślił, że przepisy ustawy nie nakładają na strony umów cywilnoprawnych obowiązku wprowadzania do ich treści postanowień dotyczących przetwarzania danych osobowych (por. wyrok z 6.02.2007 r., II SA/WA 1786/06, Legalis).

Przed udzieleniem odpowiedzi na postanowione powyżej pytanie warto jeszcze przyjrzeć się samemu znaczeniu „odwołania” lub „cofnięcia” zgody na przetwarzanie danych osobowych. W literaturze oba te pojęcia traktuje się równoznacznie, przyjmując zarazem, że odwołanie (cofnięcie) zgody odnosi skutek na przyszłość i oznacza brak możliwości dalszego przetwarzania danych osobowych na podstawie dotychczasowej zgody. W tym miejscu jednak znowu następuje powrót do kwestii przetwarzania danych osobowych w oparciu o zgodę, a nie w związku z umową. Co w takim razie, gdy przetwarzanie danych następuje w oparciu o dwie ww. przesłanki albo tylko o jedną z nich, którą jest realizacja umowy?

W takim przypadku przyjmuje się, że przetwarzanie danych osobowych w oparciu o więcej niż jedną przesłankę po wygaśnięciu jednej z nich (tutaj cofnięciu zgody) można wykonywać operacje na danych w oparciu o drugą z nich (o ile jest ona wystarczająca dla danego zakresu (kategorii) tych danych). Wyjaśnia to sytuację, w której dane byłyby pozyskiwane w oparciu o samą zgodą lub zgodę i umowę i następuje cofnięcie tej zgody. W pierwszym przypadku dalsze operacje na danych byłyby wykluczone, w drugim – możliwe w oparciu o drugą przesłanką legalizującą, jaką jest umowa, ale w takim zakresie, w jakim daje ona możliwość wykonywania tych operacji. W zależności od okoliczności może być on większy lub mniejszy niż wynikający z udzielonej równolegle zgody. Co w takim razie, gdy dane osobowe są przetwarzane „jedynie” w celu realizacji umowy, a więc zebrane zostały bez zgody w powyższym rozumieniu, ale następnie strona oświadcza, że nie wyraża zgody na dalsze wykonywanie czynności na tych danych? Skoro, zgodnie z powyższym, przesłanki przetwarzania danych są niezależne, należałoby przyjąć, że samo oświadczenie o braku zgody na (dalsze) przetwarzanie danych osobowych nie powinno wpływać na dokonywanie takiej czynności w związku z umową – w niezbędnym zakresie i w celu jej realizacji. Czyli właśnie w oparciu o przesłankę art. 23 ust.1 pkt 3) ww. ustawy. Dopiero rezygnacja z umowy (zakończenie obowiązywania umowy) uniemożliwiałoby dalsze przetwarzanie danych osobowych w takim przypadku.

Taką interpretację potwierdza również stanowisko wyrażone przez GIODO (z dnia 15 marca 2011 roku, zamieszczone na stronie jego stronie internetowej giodo.gov.pl/1520001/id_art/4019/j/pl/). Wynika z niego, że jeśli przedsiębiorca dysponuje danymi niezbędnymi do realizacji określonej umowy, która pozostaje w mocy, to chcąc skutecznie cofnąć zgodę w pierwszej kolejności należałoby poczekać na wygaśnięcie lub zakończenie w inny sposób takiej umowy. Analogicznie należałoby, w ocenie GIODO, postąpić również z danymi, które są niezbędne np. do rozliczenia kontraktu.

Skuteczne cofnięcie zgody mogłoby natomiast dotyczyć przetwarzania innych danych (innych niż niezbędne i bezpośrednio związane z realizacją umowy). Jako przykład wskazuje się wykorzystywanie danych w celach marketingowych lub przekazywanie ich innym podmiotom. Wtedy nawet przy trwającej umowie dopuszcza się możliwość odwołania zgody (por. GIODO w ww. wypowiedzi). Z uwagi jednak na opisaną niezależność przesłanek legalizujących przetwarzanie danych osobowych, innych niż zgoda osoby, należałoby się zastanowić, czy w takim przypadku przetwarzanie danych osobowych w celach marketingowych nie będzie dozwolone w oparciu o kolejną przesłankę – z art. 23 ust. 1 pkt 5) w zw. ust. 4 ww. ustawy.