Sutikimo reikia tada, kai duomenų nereikia nei sutarčiai vykdyti, nei įstatymo prievolei įvykdyti, o kitas pagrindas netinka arba įstatymas sutikimo reikalauja tiesiogiai, pavyzdžiui, reklamai el. paštu fiziniams asmenims (ERĮ 81 str. 1 d.). Savo klientams, kurių el. pašto adresą gavote parduodami prekes ar teikdami paslaugas, panašių savo prekių ar paslaugų reklamą el. paštu galima siųsti ir be sutikimo, jei galimybė atsisakyti suteikta renkant adresą ir kiekvienoje žinutėje (ERĮ 81 str. 2 d.). Sutikimas negalioja, jei jis nebuvo laisvas, konkretus, informuotas ir nedviprasmiškas (BDAR 4 str. 11 p.) arba jei be jo žmogus negalėjo gauti paslaugos, kuriai tie duomenys nereikalingi (BDAR 7 str. 4 d., 43 konstatuojamoji dalis). O jei valdytojas negali įrodyti, kad sutikimą gavo, juo remtis negali (BDAR 7 str. 1 d.).
Klaida gali būti ne ta, kad sutikimo trūksta, o ta, kad jo prašoma ten, kur jis netinka. Tada atšaukimas sustabdo tvarkymą, kurio organizacijai iš tikrųjų reikia. Čia – kada sutikimas yra tinkamas pagrindas, kas jį padaro negaliojantį, kas nutinka jį atšaukus ir kaip jį įrodyti.
Kada sutikimo reikia, o kada jo prašyti neverta
BDAR 6 str. 1 d. išvardija šešis teisėto tvarkymo pagrindus. Sutikimas yra tik vienas iš jų: žmogus sutinka, kad jo duomenys būtų tvarkomi vienu ar keliais konkrečiais tikslais (BDAR 6 str. 1 d. a p.). Europos duomenų apsaugos valdyba (EDPB) gairėse 05/2020 dėl sutikimo nurodo, kad sutikimas tinka tik tada, kai žmogus turi realų pasirinkimą ir gali atsisakyti nepatirdamas žalos (3 punktas).
Paprastas testas: jei duomenis tvarkytumėte vis tiek, net jei žmogus atsakytų „ne“, sutikimas netinka. Tada reikia kito pagrindo.
Užklausos forma svetainėje. Viena įmonė svetainės konsultacijos užklausos formoje turėjo privalomą varnelę „Sutinku, kad mano asmens duomenys būtų tvarkomi pagal privatumo politiką“. Be jos formos nebuvo galima išsiųsti. Mūsų teisininkė atsakė, kad pagrindas čia pasirinktas neteisingai. Žmogus pats prašo paslaugos, todėl tinka veiksmai jo prašymu prieš sudarant sutartį (BDAR 6 str. 1 d. b p.). O privaloma varnelė nėra laisvas sutikimas, nes be jos paslaugos negausi. Siūlėme dvi dalis: informacinį sakinį su nuoroda į privatumo politiką ir atskirą, neprivalomą varnelę, jei įmonė nori rinkti sutikimus naujienlaiškiui.
Dovana prie užsakymo. E. parduotuvė klausė, ar reikia pirkėjo sutikimo, kad į siuntinį būtų įdėta dovana. Atsakymas: ne. Sutikimo reikia reklamai, siunčiamai elektroninėmis priemonėmis. Kitoje formoje žmogus galėjo įvesti el. paštą, kad gautų savo testo rezultatą. Toks sutikimas nėra sutikimas gauti reklamą ateityje. Rinkodarai reikia atskiros, iš anksto nepažymėtos varnelės. Kada reklamai reikia sutikimo, o kada užtenka atsisakymo galimybės, rašome straipsnyje apie tiesioginę rinkodarą el. paštu ir SMS.
Kai tvarkymo reikalauja įstatymas arba kai tarp šalių yra aiškus padėties disbalansas, sutikimas paprastai netinka. BDAR 43 konstatuojamoji dalis kaip pavyzdį nurodo valdžios institucijas. Darbo santykiuose tas pats principas veikia beveik visada – kodėl, rašėme straipsnyje apie darbuotojo sutikimą. Jei svarstote teisėtą interesą, žr. kada jo užtenka.
Kai sutikimas tikrai reikalingas: elektroninė reklama fiziniams asmenims, išskyrus savo klientų išimtį (ERĮ 81 str. 1 ir 2 d.), specialių kategorijų duomenys, kai netaikoma jokia kita išimtis ir žmogus aiškiai sutinka (BDAR 9 str. 2 d. a p.), ir kiti atvejai, kai spręsti turi pats žmogus. Kada slapukams reikia sutikimo ir kaip vertinama sutikimo juosta, rašome straipsnyje Slapukai ir sutikimo juosta: ko reikalauja ERĮ ir BDAR.
Kada sutikimas negalioja
Jis nebuvo laisvas. Labiausiai vertinama, ar sutarties vykdymui ar paslaugai nustatyta sąlyga duoti sutikimą tvarkyti duomenis, kurie tam nebūtini (BDAR 7 str. 4 d.). Sutikimas taip pat nelaikomas laisvu, jei negalima duoti atskiro sutikimo atskiroms tvarkymo operacijoms, nors tai būtų tikslinga (BDAR 43 konstatuojamoji dalis).
Jis nebuvo aiškus veiksmas. Tyla, iš anksto pažymėti langeliai ar neveikimas nelaikomi sutikimu (BDAR 32 konstatuojamoji dalis). EDPB priduria, kad sutikimu negalima laikyti ir vien tolesnio naudojimosi paslauga (gairių 79 punktas). Todėl renginio skelbimas, kad dalyvaudami žmonės sutinka būti fotografuojami, sutikimo nesukuria. Tai tik informavimas. Apie darbuotojų nuotraukas plačiau rašome straipsnyje Darbuotojo nuotrauka svetainėje ir socialiniuose tinkluose.
Jis buvo paslėptas tarp kitų dalykų. Jei sutikimas duodamas rašytiniu pareiškimu, kuris susijęs ir su kitais klausimais, prašymas turi būti aiškiai atskirtas nuo kitų klausimų (BDAR 7 str. 2 d.). Bendros sąlygos su įterptu sutikimu šio reikalavimo neatitinka.
Žmogus nežinojo, kam sutinka. Jis turi žinoti bent valdytojo tapatybę ir tvarkymo tikslus (BDAR 42 konstatuojamoji dalis). Apie teisę atšaukti sutikimą jis informuojamas prieš duodamas sutikimą (BDAR 7 str. 3 d.).
Sutikimą davė vaikas. Kai vaikui tiesiogiai siūlomos informacinės visuomenės paslaugos, pavyzdžiui, programėlė ar paskyra, Lietuvoje jo sutikimas galioja nuo 14 metų (ADTAĮ 6 str.). Jaunesnio vaiko atveju sutikimą duoda arba tvarkyti duomenis leidžia tėvų pareigų turėtojas (BDAR 8 str. 1 d.). Valdytojas turi dėti pagrįstas pastangas tai patikrinti (BDAR 8 str. 2 d.).
Atšaukimas: ką jis reiškia valdytojui
Žmogus gali atšaukti sutikimą bet kuriuo metu. Atšaukimas nedaro poveikio iki jo atlikto tvarkymo teisėtumui, o atšaukti turi būti taip pat lengva, kaip duoti (BDAR 7 str. 3 d.). EDPB nurodo, kad jei sutikimas duotas svetainėje ar programėlėje, jį turi būti galima atšaukti per tą pačią sąsają (gairių 114 punktas). Skambutis į klientų aptarnavimo centrą darbo valandomis to neatitinka (gairių 115 punktas, 22 pavyzdys).
Atšaukus sutikimą, tvarkymą tuo tikslu reikia nutraukti. Jei kito teisinio pagrindo nėra, duomenis reikia ištrinti (BDAR 17 str. 1 d. b p.).
Čia slypi didžiausia rizika. EDPB aiškiai nurodo, kad valdytojas negali tam pačiam tvarkymui pakeisti sutikimo kitu pagrindu. Ypač negalima atgaline data remtis teisėtu interesu, kai paaiškėja, kad sutikimas negalioja (gairių 123 punktas). Kitu pagrindu galima toliau tvarkyti tik tuos duomenis, kurie nuo pradžių buvo tvarkomi ir kitu tikslu, pavyzdžiui, sutarčiai vykdyti, ir apie tai reikia informuoti patį asmenį (gairių 118, 120 ir 121 punktai). Pasakyti žmonėms, kad tvarkote sutikimo pagrindu, o iš tikrųjų remtis kitu pagrindu, EDPB vadina iš esmės nesąžiningu (122 punktas). Todėl pagrindą reikia pasirinkti prieš pradedant rinkti duomenis, kiekvienam tikslui atskirai.
Kaip įrodyti sutikimą
Įrodyti turi valdytojas, ne žmogus (BDAR 7 str. 1 d.). Reglamentas nenustato, kaip tai daryti. EDPB siūlo saugoti įrašą, iš kurio matyti, kaip ir kada sutikimas gautas ir kokią informaciją žmogus tuo metu matė. Internete – seanso duomenis ir to meto sutikimo teksto kopiją. Vien dabartinės svetainės struktūros nepakanka (gairių 108 punktas).
Įrodymą reikia saugoti tol, kol vyksta tvarkymas. Po to – ne ilgiau, nei reikia teisinei prievolei įvykdyti ar teisiniams reikalavimams apginti (107 punktas). Nustatyto sutikimo galiojimo termino nėra: jis priklauso nuo aplinkybių, sutikimo apimties ir žmogaus lūkesčių. Tačiau jei tvarkymas reikšmingai pasikeičia ar išsiplečia, reikia naujo sutikimo (110 punktas).
Kas nutinka, kai sutikimas netinkamas
Pirma rizika – tvarkymas be pagrindo. Jei sutikimas negalioja, žmogus turi tik tariamą kontrolę, o pati tvarkymo veikla yra neteisėta (EDPB gairių 3 punktas). Praktiškai tai reiškia, kad per kelerius metus surinktas rinkodaros sąrašas gali tapti nenaudojamas, o duomenis tenka ištrinti.
Antra rizika – įrodinėjimas. Kai VDAI ar žmogus paklausia, kada ir kaip sutikimas gautas, atsakyti tenka Jums. Formos, kurios nebėra, ir tekstas, kurio niekas neišsaugojo, nieko neįrodo.
Trečia rizika – baudos. Už pagrindinių tvarkymo principų, įskaitant sutikimo sąlygas pagal BDAR 5, 6, 7 ir 9 str., pažeidimą taikoma griežčiausia baudų grupė: iki dvidešimties milijonų eurų arba, jei tai įmonė, iki 4 % visos jos ankstesnių finansinių metų pasaulinės metinės apyvartos, atsižvelgiant į tai, kuri suma didesnė (BDAR 83 str. 5 d. a p.).
Kada kreiptis į teisininką
- kai nežinote, ar tvarkymui tinka sutikimas, sutartis ar teisėtas interesas;
- kai sutikimas susietas su paslauga, sutartimi, nuolaida ar dalyvavimu renginyje;
- kai tvarkote sveikatos ar kitus specialių kategorijų duomenis;
- kai jūsų paslauga skirta ir vaikams;
- kai žmogus atšaukė sutikimą, o duomenis norėtumėte tvarkyti toliau;
- kai VDAI paprašė įrodyti, kad sutikimai buvo gauti.
Dažni klausimai
Ar sutikimas turi būti raštu?
Ne. BDAR 32 konstatuojamoji dalis leidžia rašytinį, įskaitant elektroninį, ar žodinį pareiškimą, taip pat langelio pažymėjimą svetainėje. Tačiau valdytojas turi gebėti įrodyti, kad sutikimas duotas (BDAR 7 str. 1 d.), todėl žodinis sutikimas be įrašo praktiškai beveik nieko neįrodo.
Ar galima prašyti sutikimo „dėl visa ko“, nors remiamės kitu pagrindu?
Ne. EDPB nurodo, kad jei žmonėms sakoma, kad tvarkymas grindžiamas sutikimu, o iš tikrųjų remiamasi kitu pagrindu, tai iš esmės nesąžininga. Pagrindą reikia pasirinkti iš anksto. Paaiškėjus, kad sutikimas negalioja, negalima atgaline data remtis teisėtu interesu, o atšaukus sutikimą – tyliai pereiti prie kito pagrindo.
Kiek laiko galioja sutikimas?
Reglamentas termino nenustato. Kiek sutikimas galioja, priklauso nuo aplinkybių, nuo to, kam jis buvo duotas, ir nuo to, ko žmogus pagrįstai tikisi (EDPB gairių 110 punktas). Jis bet kuriuo atveju baigiasi, kai žmogus jį atšaukia arba kai tvarkymas reikšmingai pasikeičia ar išsiplečia. EDPB rekomenduoja sutikimus tinkamais intervalais atnaujinti (111 punktas).
Ar atšaukus sutikimą reikia ištrinti duomenis?
Taip, jei nėra kito teisinio pagrindo juos tvarkyti (BDAR 17 str. 1 d. b p.). Tai, kas buvo atlikta iki atšaukimo, lieka teisėta (BDAR 7 str. 3 d.). Jei tie patys duomenys tvarkomi ir kitu tikslu, pavyzdžiui, sutarčiai vykdyti, tuo tikslu juos galima tvarkyti toliau.
Kaip pradėti
Surašykite, kur šiandien prašote sutikimo: formose, sutartyse, renginiuose, programėlėje. Prie kiekvieno parašykite, kas nutiktų, jei žmogus atsakytų „ne“ arba sutikimą atšauktų. Atsiųskite šias formas – pasakysime, kur sutikimas tinka, kur keistinas pagrindas ir ko trūksta įrodymui.
Ar Jūsų organizacijai privalomas tvarkymo veiklų registras, galite pasitikrinti Linden kuriamu Privacio įrankiu.
El. paštas info@linden.lt
Plačiau apie šią paslaugą: BDAR auditas, atitikties dokumentai ir konsultacijos.