RODO 6: jak przygotować wniosek albo oświadczenie?

Ogólne Rozporządzenie o Ochronie Danych (RODO) zrewolucjonizowało podejście do prywatności i ochrony informacji w całej Unii Europejskiej. Sercem tego aktu prawnego jest artykuł 6, który definiuje warunki zgodności z prawem przetwarzania danych osobowych. Każda firma, instytucja publiczna, stowarzyszenie czy jednoosobowa działalność gospodarcza, która gromadzi i przetwarza dane, musi opierać swoje działania na co najmniej jednej z sześciu podstaw prawnych wymienionych w tym artykule. W codziennej praktyce oznacza to konieczność ciągłego posługiwania się dwoma rodzajami dokumentów: oświadczeniami o wyrażeniu zgody (gdy to administrator inicjuje proces) oraz wnioskami o realizację praw (gdy to osoba, której dane dotyczą, zgłasza określone żądanie). Prawidłowe przygotowanie tych pism ma kluczowe znaczenie dla uniknięcia dotkliwych kar finansowych oraz sporów przed Urzędem Ochrony Danych Osobowych (UODO). W niniejszym poradniku szczegółowo analizujemy, jak krok po kroku sporządzić te dokumenty, na co zwrócić szczególną uwagę oraz jakich błędów unikać.

Zrozumieć artykuł 6 RODO: podstawy prawne przetwarzania

Zanim przystąpimy do sporządzania jakiegokolwiek dokumentu, musimy zrozumieć, dlaczego artykuł 6 RODO jest tak istotny. Przepis ten wprowadza tak zwaną zasadę legalności przetwarzania. Oznacza ona, że przetwarzanie danych osobowych jest zgodne z prawem wyłącznie w przypadkach, gdy spełniony jest co najmniej jeden z poniższych warunków:

Zgoda (art. 6 ust. 1 lit. a RODO): osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów.
Wykonanie umowy (art. 6 ust. 1 lit. b RODO): przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie tej osoby przed zawarciem umowy.
Obowiązek prawny (art. 6 ust. 1 lit. c RODO): przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze (np. obowiązki podatkowe, rachunkowe).
Ochrona żywotnych interesów (art. 6 ust. 1 lit. d RODO): przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej (np. w sytuacjach zagrożenia życia).
Zadanie publiczne (art. 6 ust. 1 lit. e RODO): przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej.
Prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO): przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią.

Większość interakcji komercyjnych opiera się na zgodzie, umowie lub prawnie uzasadnionym interesie. Przygotowanie odpowiedniego wniosku lub oświadczenia bezpośrednio wiąże się z tymi kategoriami.

Jak przygotować oświadczenie o wyrażeniu zgody?

Zgoda jest jedną z najczęściej stosowanych podstaw prawnych, ale jednocześnie najbardziej wymagającą pod kątem formalnym. Aby oświadczenie o wyrażeniu zgody było ważne w świetle prawa, musi spełniać rygorystyczne warunki określone w artykule 7 RODO. Zgoda musi być dobrowolna, konkretna, świadoma oraz jednoznaczna.

Warunki skuteczności oświadczenia o zgodzie

Dobrowolność: Osoba musi mieć realny wybór. Niedopuszczalne jest uzależnianie wykonania umowy lub świadczenia usługi od wyrażenia zgody na przetwarzanie danych w celach marketingowych, jeśli nie jest to niezbędne do realizacji tej usługi.
Konkretność: Zgoda musi precyzyjnie określać cel przetwarzania. Jeśli chcemy przetwarzać dane w kilku różnych celach (np. wysyłka newslettera i profilowanie), na każdy z tych celów należy przygotować osobne oświadczenie.
Świadomość: Osoba składająca oświadczenie musi wiedzieć, kto jest administratorem jej danych, jakie dane będą przetwarzane, w jakim celu i jak długo. Informacje te must być podane prostym, zrozumiałym językiem.
Jednoznaczność: Zgoda wymaga wyraźnego działania potwierdzającego. Niedozwolone są zatem domyślnie zaznaczone checkboxy czy zgody dorozumiane z samego faktu milczenia lub braku sprzeciwu.

Struktura wzorowego oświadczenia o zgodzie

Prawidłowo skonstruowane oświadczenie powinno zawierać następujące elementy:

Dane administratora: Pełna nazwa firmy, adres siedziby oraz dane kontaktowe.
Cel przetwarzania: Jasno określony cel, na przykład w celu przesyłania informacji handlowych drogą elektroniczną.
Zakres danych: Wskazanie, jakie dane będą przetwarzane (np. imię, nazwisko, adres e-mail).
Informacja o prawie do wycofania zgody: Kluczowy element. Oświadczenie must zawierać jasną informację, że zgoda może być wycofana w dowolnym momencie, a wycofanie zgody nie wpływa na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej wycofaniem.
Odesłanie do polityki prywatności: Gdzie znajduje się pełna klauzula informacyjna zgodna z artykułem 13 RODO.

Wniosek o realizację praw osoby, której dane dotyczą

Obywatele mają prawo kontrolować, jak ich dane są przetwarzane przez różne podmioty. RODO przyznaje osobom, których dane dotyczą, szereg uprawnień, w tym prawo do dostępu do danych, sprostowania, usunięcia danych (prawo do bycia zapomnianym), ograniczenia przetwarzania, przenoszenia danych oraz sprzeciwu.

Kiedy przygotowujemy wniosek o realizację tych praw, musimy zadbać o to, aby administrator mógł nas jednoznacznie zidentyfikować oraz precyzyjnie zrozumieć nasze żądanie. Wniosek powinien mieć formę pisemną lub elektroniczną.

Jak sformułować wniosek o sprzeciw lub usunięcie danych?

Oto kluczowe elementy, które należy zawrzeć we wniosku kierowanym do administratora:

Dane wnioskodawcy: Imię, nazwisko, adres zamieszkania, numer telefonu lub adres e-mail, który był powiązany z usługą.
Dane odbiorcy: Pełna nazwa i adres firmy, do której kierujemy wniosek.
Tytuł pisma: Na przykład: Wniosek o realizację praw na podstawie RODO lub Sprzeciw wobec przetwarzania danych osobowych.
Treść żądania: Jasne sformułowanie, czego się domagamy. Na przykład: Na podstawie artykułu 17 RODO wnoszę o niezwłoczne usunięcie wszystkich moich danych osobowych przetwarzanych przez Państwa firmę.
Uzasadnienie (opcjonalne): W przypadku sprzeciwu wobec przetwarzania na podstawie prawnie uzasadnionego interesu (art. 6 ust. 1 lit. f RODO), warto wskazać szczególną sytuację uzasadniającą sprzeciw. Przy marketingu bezpośrednim uzasadnienie nie jest wymagane.

Obowiązki administratora po otrzymaniu wniosku

Otrzymanie wniosku od osoby, której dane dotyczą, nakłada na administratora szereg obowiązków. Przede wszystkim administrator musi zweryfikować tożsamość wnioskodawcy. Administrator nie może udostępnić danych ani ich usunąć na żądanie osoby, której tożsamości nie jest pewien. Jeśli ma uzasadnione wątpliwości, może poprosić o dodatkowe informacje niezbędne do potwierdzenia tożsamości.

Kolejnym krokiem jest przeanalizowanie zasadności wniosku. Nie każde żądanie usunięcia danych musi być spełnione. Jeśli dane są przetwarzane na podstawie umowy lub obowiązku prawnego, prawo do bycia zapomnianym może być ograniczone. Na koniec administrator musi udzielić odpowiedzi – poinformować wnioskodawcę o podjętych działaniach lub o odmowie uwzględnienia wniosku wraz z podaniem przyczyn i pouczeniem o prawie wniesienia skargi do organu nadzorczego.

Termin na rozpatrzenie wniosku i konsekwencje jego przekroczenia

Zgodnie z artykułem 12 ustęp 3 RODO, administrator ma obowiązek udzielić odpowiedzi na wniosek bez zbędnej zwłoki, a w każdym razie nie później niż w terminie miesiąca od otrzymania żądania. Termin ten liczy się od dnia wpływu wniosku do administratora.

W wyjątkowych sytuacjach, z uwagi na skomplikowany charakter żądania lub liczbę wniosków, termin ten może zostać przedłużony o kolejne dwa miesiące. W takim przypadku administrator musi jednak w ciągu pierwszego miesiąca poinformować wnioskodawcę o przedłużeniu terminu wraz z podaniem przyczyn opóźnienia. Przekroczenie tego terminu lub brak jakiejkolwiek odpowiedzi stanowi rażące naruszenie przepisów RODO i otwiera wnioskodawcy drogę do interwencji przed organem nadzorczym.

Rola organu nadzorczego – skarga do UODO

W Polsce organem nadzorczym odpowiedzialnym za przestrzeganie przepisów o ochronie danych osobowych jest Prezes Urzędu Ochrony Danych Osobowych (PUODO). Jeżeli administrator ignoruje nasze wnioski, odmawia realizacji praw bez uzasadnienia lub przetwarza dane bez odpowiedniej podstawy z artykułu 6 RODO, mamy prawo wnieść skargę do UODO.

Skarga do organu powinna zawierać dokładny opis zaistniałej sytuacji, dowody na to, że kontaktowaliśmy się z administratorem (np. kopia wysłanego wniosku wraz z potwierdzeniem nadania), oraz jasne żądanie nakazania administratorowi spełnienia naszego wniosku. Postępowanie przed UODO może zakończyć się wydaniem decyzji administracyjnej nakazującej administratorowi określone działanie, a w rażących przypadkach – nałożeniem kary finansowej.

Najczęstsze błędy przy sporządzaniu dokumentów RODO

Analizując decyzje Prezesa Urzędu Ochrony Danych Osobowych, można wskazać najczęstsze błędy popełniane przy tworzeniu oświadczeń i wniosków:

Agregowanie zgód (tak zwane zgody wiązane): zmuszanie użytkownika do wyrażenia jednej zgody na kilka różnych czynności (np. regulamin sklepu i newsletter w jednym checkboxie).
Brak informacji o prawie do wycofania zgody: oświadczenie bez tej klauzuli jest wadliwe prawnie.
Utrudnianie wycofania zgody: na przykład wymaganie wysłania listu poleconego w celu wycofania zgody, która została wyrażona jednym kliknięciem na stronie internetowej.
Nieprecyzyjne określenie tożsamości administratora: używanie ogólnych sformułowań bez ich dokładnego wskazania.
Ignorowanie wniosków przez administratorów: brak odpowiedzi w ustawowym terminie jednego miesiąca, często wynikający z braku procedur wewnętrznych.

Praktyczne przykłady dokumentów

Przykład 1: Oświadczenie o wyrażeniu zgody na cele marketingowe

Wyrażam zgodę na przetwarzanie moich danych osobowych w postaci adresu e-mail przez [Nazwa Administratora] z siedzibą w [Miejscowość] w celu przesyłania informacji handlowych i marketingowych drogą elektroniczną (newsletter). Przyjmuję do wiadomości, że niniejsza zgoda jest dobrowolna i może być wycofana w każdym czasie, bez wpływu na zgodność z prawem przetwarzania dokonanego przed jej wycofaniem. Więcej informacji o przetwarzaniu danych osobowych znajduje się w Polityce Prywatności.

Przykład 2: Wniosek o wycofanie zgody i usunięcie danych (żądanie klienta)

Miejscowość, Data.
Do: [Nazwa i adres Administratora]
Nadawca: [Imię, Nazwisko, Adres, E-mail powiązany z usługą]

WNIOSEK O WYCOFANIE ZGODY I USUNIĘCIE DANYCH OSOBOWYCH

Na podstawie artykułu 7 ustęp 3 oraz artykułu 17 RODO, niniejszym wycofuję wszelkie udzielone przeze mnie zgody na przetwarzanie moich danych osobowych przez Państwa firmę. Jednocześnie żądam niezwłocznego usunięcia moich danych osobowych z Państwa baz danych, w szczególności adresu e-mail oraz numeru telefonu. Proszę o potwierdzenie realizacji niniejszego wniosku drogą elektroniczną na wyżej wskazany adres e-mail w ustawowym terminie jednego miesiąca.

[Podpis]

Podsumowanie

Przygotowanie wniosku lub oświadczenia na gruncie artykułu 6 RODO wymaga precyzji i zrozumienia ról obu stron stosunku prawnego. Prawidłowo sformułowany dokument chroni interesy zarówno osoby, której dane dotyczą, jak i administratora, minimalizując ryzyko sporu przed organem nadzorczym. Warto zadbać o jasny język, kompletność danych oraz przestrzeganie ustawowych terminów.