Zgoda na przetwarzanie danych osobowych: wzór i klauzule RODO

Art. 6 ust. 1 lit. a RODO pozwala przetwarzać dane, gdy osoba, której dane dotyczą, wyraziła zgodę w jednym lub większej liczbie konkretnych celów. Art. 7 RODO dodaje cztery warunki:

1. Wykazanie. Administrator musi być w stanie wykazać, że osoba wyraziła zgodę.
2. Wyodrębnienie. Jeśli zgoda jest częścią dokumentu dotyczącego także innych spraw, prośba o zgodę musi być wyraźnie odróżniona od reszty, w zrozumiałej formie, jasnym i prostym językiem.
3. Wycofanie. Osoba może wycofać zgodę w dowolnym momencie, a wycofanie musi być równie łatwe jak wyrażenie zgody.
4. Dobrowolność. Oceniając, czy zgoda jest dobrowolna, bierze się pod uwagę, czy wykonanie umowy uzależniono od zgody na przetwarzanie danych, które do jej wykonania nie są niezbędne.

Formuła „wyrażam zgodę na przetwarzanie moich danych osobowych zgodnie z ustawą” pochodzi z czasów przed RODO. Nie wskazuje celu ani administratora, więc dziś jest bezużyteczna.

Kodeks pracy określa, jakich danych pracodawca może żądać od kandydata. Art. 22(1) § 1 KP wymienia: imię i nazwisko, datę urodzenia, dane kontaktowe, wykształcenie, kwalifikacje zawodowe i przebieg dotychczasowego zatrudnienia. Na te dane zgoda nie jest potrzebna, bo podstawą jest przepis prawa.

Zgoda wchodzi w grę dla danych dodatkowych: zdjęcia, zainteresowań, adresu zamieszkania podanego przez kandydata. Art. 22(1a) § 1 KP stanowi, że zgoda kandydata „może stanowić podstawę przetwarzania przez pracodawcę innych danych osobowych” niż te z katalogu, z wyjątkiem danych o wyrokach i przestępstwach. Art. 22(1a) § 2 KP zakazuje niekorzystnego traktowania kandydata, który zgody nie wyraził albo ją wycofał.

Osobnej zgody wymaga wykorzystanie CV w przyszłych rekrutacjach, bo to inny cel niż bieżące ogłoszenie. Stąd dwie klauzule we wzorze. Klauzula do CV, którą kandydat dopisuje pod dokumentem, jest więc potrzebna tylko wtedy, gdy CV zawiera dane spoza katalogu albo ma być użyte w przyszłości.

Klauzula informacyjna i zgoda to dwa różne dokumenty. Klauzulę informacyjną z art. 13 RODO przekazujesz zawsze, gdy zbierasz dane od osoby, niezależnie od podstawy przetwarzania. Zgodę zbierasz tylko wtedy, gdy jest podstawą.

Klauzula informacyjna zawiera między innymi: tożsamość i dane kontaktowe administratora, dane inspektora ochrony danych (jeśli jest), cele i podstawę prawną przetwarzania, odbiorców danych, okres przechowywania, prawa osoby (dostęp, sprostowanie, usunięcie, ograniczenie, sprzeciw, przenoszenie, wycofanie zgody), prawo skargi do Prezesa UODO i informację, czy podanie danych jest wymogiem ustawowym lub umownym. Klauzula informacyjna RODO dla pracownika wskazuje dodatkowo przepisy prawa pracy jako podstawę.

Jeżeli dane przetwarza dla Ciebie inna firma, na przykład biuro rachunkowe, potrzebujesz jeszcze umowy powierzenia. O jej podpisywaniu piszemy na stronie umowa powierzenia RODO z podpisem elektronicznym.

Zgoda nie musi być podpisana. Checkbox na stronie jest w pełni dopuszczalny, pod warunkiem że zapisujesz, kto, kiedy, na jaki cel i w jakim brzmieniu klauzuli wyraził zgodę. Kłopot zaczyna się po latach, gdy formularz zmieniono trzy razy, a baza przechowuje tylko wartość „tak”.

Gdy potrzebujesz mocniejszego dowodu, na przykład zgody pracowników na publikację danych w materiałach firmy albo zgody kandydatów na przyszłe rekrutacje, możesz zebrać ją jako podpisany dokument:

1. Zapisz oświadczenie o zgodzie z klauzulą informacyjną jako jeden PDF.
2. Użyj masowej wysyłki: jeden PDF do wielu osób, każda dostaje własny egzemplarz i własną Kartę Podpisów.
3. Osoba otwiera link, czyta dokument i podpisuje w przeglądarce, bez zakładania konta. Może też odrzucić dokument z uzasadnieniem.
4. Karta Podpisów zapisuje imię i nazwisko, e-mail, adres IP, znaczniki czasu i skrót SHA-256, czyli dokładne brzmienie zgody w chwili jej wyrażenia.

Pamiętaj o drugiej stronie: wycofanie zgody ma być równie łatwe. Wystarczy adres e-mail wskazany w klauzuli. Nie wymagaj podpisu pod wycofaniem, jeśli zgoda była wyrażona kliknięciem.

• Zgoda tam, gdzie podstawą jest prawo lub umowa. Jeżeli pracownik wycofa zgodę na dane, które i tak musisz przetwarzać, powstaje chaos. Wybierz właściwą podstawę z art. 6 RODO.
• Jedno pole na wiele celów. Zgoda na rekrutację, newsletter i wizerunek naraz nie jest konkretna.
• Pola zaznaczone domyślnie. To nie jest jednoznaczne działanie osoby.
• Uzależnianie usługi od zgody marketingowej. Narusza dobrowolność z art. 7 ust. 4 RODO.
• Brak archiwum brzmienia klauzuli. Bez niego nie wykażesz, na co dokładnie osoba się zgodziła.