W jednym zdaniu. Zgoda na przetwarzanie danych osobowych to dobrowolne, konkretne, świadome i jednoznaczne oświadczenie osoby (art. 4 pkt 11 i art. 7 RODO) — musi być tak samo łatwa do wycofania, jak do udzielenia, a jej utrudnianie kosztowało spółkę ClickQuickNow karę UODO w wysokości ok. 201 tys. zł.
Zanim sięgniesz po wzór zgody, zadaj jedno pytanie: czy zgoda jest tu w ogóle potrzebna? W praktyce połowa formularzy zgody, które widzę podczas audytów, jest zbędna albo wręcz szkodliwa — bo firma opiera na zgodzie przetwarzanie, które ma solidniejszą podstawę w umowie lub obowiązku prawnym. Poniżej wyjaśniam, kiedy zgoda jest właściwą podstawą, podaję gotowe wzory klauzul dla czterech sytuacji oraz wzór wycofania zgody.
Najważniejsze punkty
- Zgoda musi być dobrowolna, konkretna, świadoma i jednoznaczna (art. 4 pkt 11).
- Administrator musi umieć wykazać, że osoba wyraziła zgodę (art. 7 ust. 1).
- Wycofanie zgody musi być tak samo łatwe jak jej udzielenie (art. 7 ust. 3).
- Zgoda w CV zwykle nie jest potrzebna — podstawą jest art. 22¹ Kodeksu pracy.
- Zgody nie można domniemywać z milczenia ani z domyślnie zaznaczonego okienka.
- Kara ClickQuickNow (~201 tys. zł, UODO 2019) dotyczyła utrudniania wycofania zgody.
Kiedy zgoda jest właściwą podstawą — a kiedy nie
Zgoda to jedna z sześciu podstaw z art. 6 ust. 1 RODO, nie podstawa domyślna. Sięgasz po nią dopiero wtedy, gdy żadna inna nie pasuje. Do wykonania umowy służy art. 6 ust. 1 lit. b, do obowiązków księgowych — lit. c, do dochodzenia roszczeń — lit. f. Pełną mapę podstaw omawiam w przewodniku o podstawach prawnych z art. 6.
Najczęstszy błąd dotyczy rekrutacji. Kandydat nie musi zamieszczać w CV klauzuli zgody na przetwarzanie danych do celów bieżącej rekrutacji — podstawą jest art. 22¹ Kodeksu pracy w związku z art. 6 ust. 1 lit. b i c RODO. Zgoda jest potrzebna tylko dla danych wykraczających poza katalog kodeksowy (np. zdjęcie) oraz gdy chcesz zachować CV na przyszłe rekrutacje. Więcej o granicach przetwarzania danych zatrudnionych i kandydatów piszę w tekście o danych pracowników.
Kluczowa jest też dobrowolność. Zgoda nie jest dobrowolna, jeśli jest warunkiem zawarcia umowy, choć nie jest do niej niezbędna (art. 7 ust. 4). Nie możesz uzależnić sprzedaży produktu od zgody na marketing — to klasyczny przypadek zgody wadliwej.
Cztery wzory klauzul zgody
Poniższe klauzule to szkielety do dostosowania. Każda powinna wskazywać administratora, cel i informację o prawie do wycofania.
Zgoda na przyszłe rekrutacje. “Wyrażam zgodę na przetwarzanie moich danych osobowych zawartych w dokumentach aplikacyjnych przez [nazwa] na potrzeby przyszłych procesów rekrutacyjnych przez okres [np. 12 miesięcy]. Wiem, że zgodę mogę wycofać w każdej chwili.”
Zgoda marketingowa. “Wyrażam zgodę na otrzymywanie od [nazwa] informacji handlowych na podany adres e-mail / numer telefonu.” Pamiętaj, że sama zgoda RODO nie wystarcza — marketing elektroniczny wymaga też zgody na kanał komunikacji. Reguły łączenia tych podstaw omawiam w tekście o marketingu bezpośrednim.
Zgoda na wykorzystanie wizerunku. “Wyrażam zgodę na nieodpłatne wykorzystanie mojego wizerunku utrwalonego podczas [wydarzenie] przez [nazwa] w celach [np. promocyjnych na stronie i w mediach społecznościowych].” Wizerunek to dane osobowe, a często i element dóbr osobistych — warto rozdzielić zgodę RODO od zgody na rozpowszechnianie wizerunku z prawa cywilnego.
Zgoda na newsletter. “Zapisując się, wyrażam zgodę na przetwarzanie adresu e-mail przez [nazwa] w celu wysyłki newslettera. Zgodę mogę wycofać klikając link w każdej wiadomości.” Zwróć uwagę na ostatnie zdanie — to ono realizuje art. 7 ust. 3.
Zgoda na cookies rządzi się osobnymi regułami i tu jej nie omawiam — szczegóły znajdziesz w tekście o zgodzie na pliki cookies.
Warunki ważnej zgody wg art. 7
Art. 7 RODO stawia cztery wymogi, których naruszenie unieważnia zgodę:
| Wymóg | Podstawa | Co to znaczy w praktyce |
|---|---|---|
| Rozliczalność | art. 7 ust. 1 | musisz udowodnić, że i kiedy zgoda padła |
| Odróżnialność | art. 7 ust. 2 | zgoda wyraźnie oddzielona od innych oświadczeń |
| Łatwe wycofanie | art. 7 ust. 3 | wycofanie tak proste jak udzielenie |
| Dobrowolność | art. 7 ust. 4 | zgoda nie może być warunkiem umowy |
Najczęściej łamany jest wymóg z ust. 3. Firma zbiera zgodę jednym kliknięciem, ale by ją wycofać, każe napisać list polecony albo zadzwonić na infolinię. Właśnie taką asymetrię UODO ukarał w sprawie ClickQuickNow — mechanizm wycofania zgody był tak skonstruowany, że skutecznie zniechęcał i utrudniał rezygnację. Osoba, która chciała cofnąć zgodę, była kierowana przez kolejne kroki i formularze, a samo oświadczenie o wycofaniu bywało traktowane jako niewystarczające. Organ uznał to za naruszenie zasady, że wycofanie ma być równie proste jak udzielenie zgody, i za realne pozbawienie osób kontroli nad ich danymi. Praktyczny wniosek jest prosty: jeśli udzielenie zgody zajmuje jedno kliknięcie, jej wycofanie również powinno zajmować jedno kliknięcie — link rezygnacji, przełącznik w koncie, prosty formularz.
Przypadki szczególne: dziecko i dane wrażliwe
Dwa konteksty wymagają odrębnej uwagi. Pierwszy to zgoda dziecka w usługach społeczeństwa informacyjnego (art. 8 RODO). Polska nie skorzystała z derogacji przewidzianej w art. 8 ust. 1 RODO, dlatego obowiązuje domyślny próg 16 lat — poniżej tego wieku zgodę wyraża lub aprobuje rodzic albo opiekun. Administrator kierujący usługę do nastolatków musi wdrożyć rozsądny mechanizm weryfikacji wieku i zgody rodzicielskiej, co w praktyce jest trudne i bywa źródłem naruszeń.
Drugi to dane szczególnych kategorii z art. 9 (o zdrowiu, o poglądach, o orientacji, biometryczne). Ich przetwarzanie na podstawie zgody wymaga zgody wyraźnej (art. 9 ust. 2 lit. a) — nie wystarcza zwykły standard z art. 6. Wyraźność oznacza tu jeszcze wyższy poziom jednoznaczności: osoba musi świadomie potwierdzić przetwarzanie właśnie danych wrażliwych, a nie zgodzić się na nie mimochodem w ramach szerszej klauzuli. Klauzula zgody na dane zwykłe nie legalizuje przetwarzania danych z art. 9 — to dwa różne oświadczenia. Przy przetwarzaniu danych wrażliwych na dużą skalę często konieczna jest też ocena skutków dla ochrony danych (DPIA).
Wzór wycofania zgody
Osobie należy udostępnić prosty kanał wycofania. Wzór oświadczenia:
“Ja, [imię i nazwisko], wycofuję zgodę na przetwarzanie moich danych osobowych w celu [cel] udzieloną [data]. Proszę o zaprzestanie przetwarzania w tym celu.”
FAQ
Czy zgoda musi być na piśmie?
Nie. RODO nie wymaga formy pisemnej — zgoda może być wyrażona przez wyraźne działanie potwierdzające (np. zaznaczenie checkboxa, kliknięcie przycisku). Kluczowe jest, byś umiał wykazać, że zgoda padła (art. 7 ust. 1), dlatego w praktyce utrwala się ją elektronicznie z datą.
Czy domyślnie zaznaczone okienko to ważna zgoda?
Nie. Zgoda musi być jednoznacznym, aktywnym działaniem osoby. Domyślnie zaznaczony checkbox, milczenie lub bezczynność nie stanowią zgody — potwierdził to TSUE w wyroku Planet49. Użytkownik musi sam podjąć działanie potwierdzające.
Czy po wycofaniu zgody muszę usunąć dane?
Nie zawsze. Wycofanie zgody kończy przetwarzanie oparte na tej zgodzie, ale jeśli te same dane przetwarzasz też na innej podstawie (np. wystawiona faktura — obowiązek księgowy), zachowujesz je w tym zakresie. Usuwasz tylko to, co opierało się wyłącznie na wycofanej zgodzie, i informujesz osobę o zakresie, w jakim dane pozostają przetwarzane oraz na jakiej innej podstawie.
Źródła: Art. 7 RODO w EUR-Lex (CELEX 32016R0679) · UODO · EDPB — wytyczne 05/2020 dot. zgody