Mógłbyś, ale skąd firmy, które chcą postępować z Twoimi danymi, powinny o tym wiedzieć? Jeśli nie otrzymają od Ciebie potwierdzenia, że ​​zezwalasz im na przetwarzanie Twoich danych w jakikolwiek inny sposób niż te, na które mają już pozwolenie ze względu na wyjątki, muszą - zgodnie z RODO - założyć, że nie chcesz, aby przetwarzali Twoje dane i dlatego muszę cię o to zapytać.

2016/679 („RODO”) określa obowiązki podmiotów przetwarzających i administratorów danych (z zastrzeżeniem zakresu przepisów). Osoba fizyczna może zadeklarować, co chce, ale ci przetwarzający i administratorzy będą nadal związani przepisami.

W wielu przypadkach zgoda będzie nieistotna - to tylko jedna z legalnych podstaw przetwarzania:

(a)

osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów;

(b)

przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy;

(c )

przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego, któremu podlega administrator;

(d)

przetwarzanie jest niezbędne do ochrony kluczowych interesy osoby, której dane dotyczą, lub innej osoby fizycznej;

(e)

przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach władzy publicznej powierzonej administratorowi;

(f)

przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub stronę trzecią, z wyjątkiem przypadków, gdy takie interesy nadrzędny wobec interesów lub podstawowych praw i wolności osoby, której dane dotyczą, które wymagają ochrony danych osobowych, w szczególności gdy osobą, której dane dotyczą, jest dziecko.

Osoba fizyczna może oświadczyć, że każdy może swoich danych lub tego, że nikt nie mógł, a podmioty przetwarzające i administratorzy nadal byliby związani przepisami. Możliwe, że mogliby użyć tej deklaracji do wykazania legalnej podstawy (a), ale, jak wspomina Trish, tylko wtedy, gdyby wiedzieli, że oświadczenie zostało złożone i tylko wtedy, gdy proces wskazujący im na oświadczenie był zgodny z paragrafem 32:

Zgoda powinna być wyrażona w postaci wyraźnego, potwierdzającego aktu, który zawiera dobrowolne, konkretne, świadome i jednoznaczne wskazanie, że osoba, której dane dotyczą, wyraża zgodę na przetwarzanie dotyczących jej danych osobowych, na przykład w formie pisemnego oświadczenia, w tym elektronicznego środków lub oświadczenie ustne. Może to obejmować zaznaczenie pola wyboru podczas odwiedzania strony internetowej, wybór ustawień technicznych dla usług społeczeństwa informacyjnego lub inne oświadczenie lub zachowanie, które w tym kontekście wyraźnie wskazuje, że osoba, której dane dotyczą, akceptuje proponowane przetwarzanie jej danych osobowych. Milczenie, wstępnie zaznaczone pola lub brak aktywności nie powinny zatem stanowić zgody. Zgoda powinna obejmować wszystkie czynności przetwarzania wykonywane w tym samym celu lub celach. Gdy przetwarzanie ma wiele celów, należy wyrazić zgodę na wszystkie z nich. Jeżeli zgoda osoby, której dane dotyczą, ma zostać wyrażona w następstwie wniosku złożonego drogą elektroniczną, wniosek musi być jasny, zwięzły i nie może niepotrzebnie zakłócać korzystania z usługi, w ramach której jest świadczona.

Trudno jest wyobrazić sobie, w jaki sposób ogólne stwierdzenie bez innego kontekstu mogłoby sprostać „konkretnej” i „poinformowanej” części tego akapitu.

Jeśli opierały się na jednej z pozostałych legalnych podstaw przetwarzania, oświadczenie niczego by nie zmienił.

Odpowiadając na pierwotne pytanie, 2016/679 nie oznacza niczego dla osoby fizycznej w odniesieniu do jej własnych danych osobowych, z wyjątkiem wykonywania praw wynikających z rozdziału III. Staje się to bardziej istotne w przypadku przetwarzania danych dotyczących kogoś innego.

[Edytuj po poprawce NotThatGuy do pytania głównego, co upraszcza odpowiedź: nie podlega RODO, ponieważ osoba, której dane dotyczą, nie została poinformowana „o„ szczególnym ”charakterze„ proponowanego przetwarzania ”- zob. pkt 32.]

Nie możesz złożyć wiążącej deklaracji

Jeśli chcesz, możesz złożyć publiczne oświadczenie, że wyrażasz zgodę na jakiekolwiek przetwarzanie swoich danych. Prawdopodobnie musiałbyś być bardziej szczegółowy (zgoda musi być świadoma i konkretna) - prawdopodobnie musiałbyś wyczerpująco określić, że tak, wiesz, że obejmuje to również ten i ten konkretny cel oraz szczególne chronione dane (np. Art. i 9.2 (a) dotyczące szczególnych kategorii danych), a oświadczenie o wyrażeniu zgody musiałoby wykazać, że jest to świadoma zgoda, np. że jesteś świadomy potencjalnych konsekwencji i zagrożeń; ale ogólnie rzecz biorąc, jeśli administrator może wykazać, że wyraziłeś zgodę na przetwarzanie, powinno to wystarczyć zgodnie z art. Musieliby jednak jakoś Cię zidentyfikować - jeśli ktoś opublikuje w Internecie „Ja, John Doe, wyrażam zgodę na całe przetwarzanie”, nadal będziesz potrzebować uzasadnionej pewności, że to właściwie John Doe opublikował to zamiast swojego kumpla-żartownisia.

Nie możesz jednak wyrazić wiążącej, nieodwołalnej zgody - zgodnie z RODO (art. 7 ust. 3) masz prawo do cofnięcia tej zgody w dowolnym momencie; i gdybyś znalazł lukę, która skutkowałaby sytuacją, która skutecznie pozwala podmiotowi przetwarzającemu dane uniemożliwić Ci wycofanie tej zgody, to generalnie (z zastrzeżeniem interpretacji przez lokalny organ ochrony danych) nie liczy się to jako dobrowolnie udzielone zgody już więcej - a zgoda, która nie została wyrażona dobrowolnie, nie jest legalną podstawą przetwarzania danych.

Firmy nadal muszą więc oczekiwać, że w każdej chwili masz prawo zmienić zdanie, cofnąć zgodę zażądać wszystkich posiadanych przez siebie danych, w stosownych przypadkach zażądać ich usunięcia itp.

Jak inni zauważyli, problem polega na tym, że posiadacze informacji muszą wiedzieć, że wydałeś tę uniwersalną zgodę.

Teoretycznie, jakaś organizacja może zarządzać centralną bazą danych, w której każdy, kto chce zgłoszenie takiej deklaracji jest rejestrowane, a posiadacze informacji mogą to sprawdzić przed wyraźnym zapytaniem o zgodę. Ale wtedy wymagałoby to jakiegoś uniwersalnego identyfikatora dla każdego, a przynajmniej dla tych, którzy chcieliby skorzystać z tej usługi.

Facebook staje się tak popularny (używa go około 28% światowej populacji ), że mógłby świadczyć tego rodzaju usługi (pomyśl o wszystkich witrynach, które umożliwiają logowanie przez połączenie z kontem FB). Ale biorąc pod uwagę wszystkie obawy dotyczące prywatności na Facebooku, czy naprawdę chciałbyś, aby zarządzali danymi, których inne organizacje używają do zarządzania prywatnością?