GDPR – Zmeny v súhlase dotknutej osoby

Nariadenie je priamo uplatniteľné, ale ochranu osobných údajov neupravuje úplne komplexne. Právnu úpravu časti inštitútov prenecháva národnej právnej úprave, čo viedlo k prijatiu zákona č. 18/2018 Z. z. o ochrane osobných údajov a zmene a doplnení niektorých zákonov (ďalej ako „nový zákon o ochrane osobných údajov“), ktorý taktiež nadobudne účinnosť dňa 25.05.2018. V dnešnom článku si priblížime, ako bude po novom upravené poskytnutie súhlasu dotknutej osoby so spracovaním jej osobných údajov. 

Súhlas dotknutej osoby je jedným z právnych základov spracúvania osobných údajov podľa súčasnej (zakotvenej v zákone č. 122/ 2013 Z. z. o ochrane osobných údajov a o zmene a doplnení niektorých zákonov), aj podľa novej právnej úpravy. Nová právna úprava však oproti súčasnej bližšie vymedzuje obsahové aj formálne podmienky súhlasu. 

Súhlas dotknutej osoby je v novom zákone o ochrane osobných údajov v ustanovení § 5 písm. a) legálne definovaný ako: „akýkoľvek vážne a slobodne daný, konkrétny, informovaný a jednoznačný prejav vôle dotknutej osoby vo forme vyhlásenia alebo jednoznačne potvrdzujúceho úkonu, ktorým dotknutá osoba vyjadruje súhlas so spracúvaním svojich osobných údajov.“ 

Podľa čl. 7 bodu 2 Nariadenia: „ak dá dotknutá osoba súhlas v rámci písomného vyhlásenia, ktoré sa týka aj iných skutočností, žiadosť o vyjadrenie súhlasu musí byť predložená tak, aby bola jasne odlíšiteľná od týchto iných skutočností.“ Ak by žiadosť o vyjadrenie súhlasu so spracovaním osobných údajov nebola jasne odlíšiteľná, zrozumiteľná, ľahko, jednoducho a jasne formulovaná, predmetná časť vyhlásenia by bola považovaná za porušenie Nariadenia a nebola by záväzná. 

Podľa nového zákona o ochrane osobných údajov bude pre posúdenie toho, či bol súhlas poskytnutý slobodne, dôležité aj, či sa plnenie zmluvy vrátane poskytnutia služby podmieňuje poskytnutím súhlasu so spracovaním osobných údajov, ktorý nie je na plnenie predmetnej zmluvy nevyhnutný. 

Aby podľa nového zákona o ochrane osobných údajov mohli byť osobné údaje v súvislosti s ponukou služieb na základe súhlasu dotknutej osoby spracúvané zákonne, musí byť dotknutou osobou, ktorá udelila súhlas, osoba, ktorá dovŕšila 16 rokov veku. Ak je dotknutá osoba mladšia, je na spracúvanie jej osobných údajov potrebný súhlas jej zákonného zástupcu. 

Z uvedeného vyplýva povinnosť prevádzkovateľa vynaložiť primerané úsilie, aby si pri spracúvaní osobných údajov maloletých dotknutých osôb overil, či zákonný zástupca udelil súhlas alebo schválil súhlas maloletého. 

Podľa Nariadenia členské štáty môžu stanoviť aj nižšiu vekovú hranicu ako 16 rokov, nie však menej ako 13 rokov. 

Podľa súčasnej právnej úpravy a rovnako aj podľa nového zákona o ochrane osobných údajov, ak sa vyžaduje súhlas so spracovaním osobných údajov dotknutej osoby, ktorá už nežije, môže namiesto takejto osoby poskytnúť súhlas jej blízka osoba podľa Občianskeho zákonníka (príbuzný v priamom rade, súrodenec a manžel a iné osoby v rodinnom alebo obdobnom pomere, ak by ujmu, ktorú utrpela jedna z nich druhá dôvodne pociťovala ako vlastnú ujmu). Jedná sa o jeden z prípadov, ktoré nový zákon o ochrane osobných údajov zaraďuje medzi osobitné situácie spracúvania osobných údajov. 

Súhlas poskytnutý blízkou osobou však nie je platný, ak čo len jedna blízka osoba so spracovaním osobných údajov zosnulej osoby písomne vyslovila nesúhlas. Samozrejme, aj naďalej ostáva v platnosti právna úprava ochrany osobnosti a súkromia podľa Občianskeho zákonníka. 

Dotknutá osoba, ktorá poskytla súhlas so spracovaním svojich osobných údajov má právo súhlas kedykoľvek odvolať. Takéto oprávnenie jej vyplýva jednak z ustanovenia § 14 ods. 3 nového zákona o ochrane osobných údajov, ale aj z článku 7 bod 3 Nariadenia. Odvolanie súhlasu pritom musí byť rovnako jednoduché, ako jeho poskytnutie.