Zgoda na przetwarzanie danych – kiedy jest naprawdę dobrowolna?

Czy zgoda to zawsze dobra podstawa przetwarzania danych?

Właściciele sklepów internetowych często traktują zgodę klienta jako uniwersalne rozwiązanie. "Wyraża zgodę" i już? Nie do końca. RODO wskazuje wyraźnie, że zgoda to tylko jedna z sześciu podstaw prawnych przetwarzania danych i powinna być stosowana wyłącznie wtedy, gdy żadna inna podstawa nie ma zastosowania. W przeciwnym razie może zostać uznana za wymuszoną – a to oznacza poważne ryzyko naruszenia przepisów. W praktyce oznacza to, że nie możesz opierać np. wysyłki faktury, potwierdzenia zamówienia czy kontaktu z klientem na zgodzie, jeśli te działania są wymagane do realizacji zamówienia. Podstawą będzie wtedy nie zgoda, ale wykonanie umowy (art. 6 ust. 1 lit. b RODO). Zgoda jest potrzebna wtedy, gdy chcesz przetwarzać dane np. w celach marketingowych, do profilowania czy udostępniania partnerom. Ale tylko pod warunkiem, że klient może jej odmówić bez konsekwencji.

Nie mniej istotne jest to, że pozyskanie zgody musi być działaniem aktywnym ze strony użytkownika – nie wystarczy, że checkbox będzie zaznaczony domyślnie, a klient się nie zorientuje. Takie działanie nie tylko nie spełnia warunków RODO, ale może zostać zakwestionowane w razie kontroli. Co więcej, w niektórych przypadkach nawet pozorna dobrowolność może zostać zakwestionowana, np. gdy zgoda jest łączona z inną usługą lub gdy jej brak skutkuje ograniczeniem dostępu do pełnej funkcjonalności sklepu.

Czym jest dobrowolna zgoda według RODO?

Zgodnie z art. 4 pkt 11 RODO, zgoda to:

• dobrowolne,

• konkretne,

• świadome i

• jednoznaczne okazanie woli.

RODO dodaje też w art. 7 ust. 4, że oceniając, czy zgoda została wyrażona dobrowolnie, należy zwrócić uwagę m.in. na to, czy wykonanie usługi nie jest uzależnione od jej wyrażenia.

W praktyce oznacza to, że:

• Klient nie może być zmuszany do wyrażenia zgody, np. poprzez brak możliwości zakupu bez zaznaczenia checkboxa.

• Musi mieć realny wybór: zgadzam się na marketing – otrzymuję newsletter, nie zgadzam się – nie otrzymuję i nadal mogę zrealizować zakupy.

• Zgoda nie może być domyślna (np. checkbox zaznaczony z góry).

• Wycofanie zgody musi być tak łatwe, jak jej udzielenie.

W e-commerce najczęstsze naruszenia dotyczą właśnie braku dobrowolności. W praktyce oznacza to, że wielu właścicieli sklepów internetowych naraża się na zarzut wymuszania zgody, choć nie są tego świadomi. Przy projektowaniu formularzy warto więc sprawdzić, czy klient ma rzeczywisty wybór i czy jego odmowa nie ogranicza mu możliwości korzystania ze sklepu. Kolejnym istotnym elementem jest rozdzielenie zgód. Jeśli chcesz prosić użytkownika o zgodę na newsletter i jednocześnie na przekazanie danych partnerom – musisz umożliwić ich osobne zatwierdzenie. Łączenie takich zgód w jedną jest niezgodne z zasadą dobrowolności. Dobrowolność może być także kwestionowana, gdy klient nie rozumie, na co się zgadza. Zbyt ogólne sformułowania, brak jasnego języka, nadmiar treści prawnych – to wszystko może zostać uznane za niedostateczną przejrzystość, a tym samym za nieważną zgodę.

Przykłady niedozwolonej zgody w e-commerce

1. Zgoda ukryta w regulaminie: "Wyrażam zgodę na przetwarzanie danych w celach marketingowych" wpisana w treść akceptowanego regulaminu – klient nie ma możliwości jej odrzucenia.

2. Brak podziału na cele: jedna zgoda na marketing sklepu, jego partnerów, analizę zachowań i kontakt telefoniczny. RODO wymaga rozdzielenia zgód.

3. Zgoda jako warunek zakupu: bez zaznaczenia zgody nie da się przejść do finalizacji zamówienia. Taka zgoda nie jest dobrowolna.

4. Domyślnie zaznaczone checkboxy: klient odwiedza sklep, a pola zgody są już „zaznaczone”. To nie spełnia wymogu jednoznacznego działania.

5. Nieczytelna treść zgody: zawiłe sformułowania, język prawniczy, brak wskazania celu przetwarzania – to wszystko dyskwalifikuje zgodę.

6. Brak możliwości łatwego wycofania zgody: jeśli klient musi pisać e-mail lub kontaktować się telefonicznie, zamiast kliknąć link – naruszasz RODO.

Kiedy zgoda jest wymagana?

Zgoda jest potrzebna, jeśli:

• prowadzisz newsletter lub wysyłasz oferty handlowe drogą mailową,

• stosujesz pliki cookies do celów marketingowych (np. Facebook Pixel, Google Ads),

• udostępniasz dane klientów innym podmiotom,

• zbierasz dane w celach rekrutacyjnych poza zakresem kodeksu pracy,

• przetwarzasz dane wrażliwe (np. alergie w formularzach kosmetycznych).

W pozostałych przypadkach lepiej oprzeć przetwarzanie na innej podstawie, np. wykonaniu umowy, obowiązku prawym lub uzasadnionym interesie.

Ważne jest także, by dokumentować udzielenie zgody. Jeśli decydujesz się na jej pozyskanie – musisz być w stanie wykazać, kto, kiedy, na co i w jaki sposób ją wyraził. To obowiązek administratora. Pamiętaj również, że zgoda nie jest wieczna. Powinieneś ją okresowo weryfikować, a w niektórych przypadkach także odnawiać – np. po zmianie celu przetwarzania lub zmodyfikowaniu treści zgody.

Co powinieneś zrobić jako właściciel e-commerce?

• Sprawdź, czy Twoje zgody są rozbite na cele (np. marketing sklepu vs. marketing partnerów).

• Zadbaj, by każda zgoda była dobrowolna i świadoma.

• Umożliw klientowi wycofanie zgody w prosty sposób (np. link w stopce newslettera).

• Unikaj formuł typu: "Zgoda na marketing jest niezbędna do realizacji zamówienia" – to błąd.

• Zadbaj o przejrzysty i prosty język komunikatów zgody.

• Nie ukrywaj zgody w regulaminach czy politykach – musi być osobna i czytelna.

• Przetestuj swoje formularze – sprawdź, czy klient może przejść proces zakupowy bez wyrażenia zgód marketingowych.

• Zapewnij mechanizm wycofania zgody tak samo dostępny, jak jej wyrażenie.

Dobrowolność zgody to fundament jej legalności. W e-commerce często o niej zapominamy, traktując zgody jak formalność do "odhaczenia". Tymczasem to jeden z najczęstszych powodów kar ze strony UODO. Dlatego jeśli chcesz uniknąć ryzyka, zadbaj o przejrzyste i zgodne z prawem mechanizmy pozyskiwania zgody. W razie wątpliwości warto skorzystać z pomocy inspektora ochrony danych lub skontaktuj się z naszymi specjalistami: [email protected] telefon: 22 390 91 05.  Prawidłowo przygotowane checkboxy, właściwe treści zgód i jasne cele przetwarzania mogą być kluczowe nie tylko przy kontroli, ale też w budowaniu zaufania klientów.