Съгласието може да бъде използвано като правно основание за обработване на лични данни само ако субектът на данните има реален избор дали да приеме или отхвърли условията, без това да води до неблагоприятни последици за него.

Поради факта, че съгласието може да бъде оттеглено по всяко време, то се счита за „най-крехкото“ основание за обработване. Поради това администраторите на лични данни трябва да разгледат възможността за прилагане на друго правно основание за законосъобразното обработване на данните.

Срок на валидност на съгласието

Съгласието трябва да бъде получено преди администраторът да започне обработването на лични данни, когато това е правното основание за обработването.

Общият регламент за защита на данните (GDPR) не определя конкретен срок на валидност на даденото съгласие. Въпреки това, надзорните органи препоръчват периодичното му подновяване като добра практика.

Изисквания към валидността на съгласието

За да бъде правно валидно, съгласието на субекта на данните трябва да отговаря на няколко основни изисквания, които администраторът е длъжен да докаже при евентуална проверка от надзорния орган.

Съгласието трябва да бъде свободно изразено

За да се счита за свободно, съгласието трябва да дава на субекта на данните реален избор и контрол.

Съгласието няма да бъде валидно, ако субектът на данни се чувства принуден да го даде, поради страх от неблагоприятни последици.

Например, в рамките на трудово правоотношение, служителят може да не се чувства свободен да откаже да предостави своето съгласие за обработване на личните му данни, поради риск от негативни последици. Поради това надзорните органи препоръчват работодателите да използват друго правно основание за обработването на личните данни на своите настоящи или бъдещи служители.

Това обаче не означава, че работодателите изобщо не могат да разчитат на съгласието като правно основание.

Също така, не се счита за допустимо съгласието да бъде включено в общите условия „в пакет“ при предоставянето на услуга или при подписването на договор, ако обработването на данните не е необходимо за изпълнението на този договор.

При уеб сайтовете, за да бъде съгласието свободно, достъпът до услугите не трябва да бъде обвързан с изискването потребителят да даде съгласие за обработване на личните му данни.

Например, ако потребителят не може да разглежда съдържанието на уеб сайта, без да натисне „Приемам бисквитките“, това не се счита за свободно дадено съгласие.

Съгласието трябва да бъде конкретно

Субектът на данни трябва да даде своето съгласие за конкретна цел или цели на обработването.

Ако администраторът обработва лични данни на база съгласие, но впоследствие реши да обработва данните и за друга цел, то той е длъжен да поиска допълнително съгласие, освен ако друго правно основание е по-подходящо за ситуацията.

Съгласието трябва да бъде информирано

Преди да получи съгласието на субекта на данни, администраторът е длъжен да предостави определена информация, която включва:

• Данни за администратора;
• Цел на всяка обработка, за която се изисква съгласие;
• Видовете лични данни, които ще бъдат обработвани;
• Правото на субекта да оттегли съгласието си по всяко време;
• Използват ли се данните за автоматизирано вземане на решения;
• Ще бъдат ли предавани данните на администратори извън ЕС и какви са свързаните гаранции и рискове.

Ако данните ще бъдат предоставени на други администратори, които ще разчитат на първоначално даденото съгласие, те трябва да бъдат ясно посочени.

Предоставянето на тази информация може да бъде направено писмено, устно, чрез аудио или видео съобщение. Важно е тя да бъде изразена на разбираем и ясен език.

Декларацията за поверителност (Privacy Notice) трябва да бъде кратка, точна и ясна, за да не затруднява потребителя.

При уеб сайтовете се препоръчва стъпаловидно представяне на информацията, за да се избегне прекомерно натоварване на потребителя.

 Съгласието трябва да бъде дадено чрез изявление или ясно потвърждаващо действие

Субектът на данни трябва да изрази съгласието си чрез декларация или активно действие.

Съгласието може да бъде дадено чрез:

• Попълване на електронна форма;
• Изпращане на електронно писмо;
• Качване на сканиран документ с подпис;
• Електронен подпис.

„Мълчаливото съгласие“ не е валидно!
Продължаването на използването на услугата не се счита за съгласие!
Използването на предварително отметнати полета също не е валидно съгласно GDPR!

Ако се нуждаете от консултация, изготвяне на документи или обучение във връзка със защитата на личните данни, свържете се с нас на телефон: 0887550706 или по e-mail: philipiliev@mail.bg