Принимая во внимание статью 70 (1)(e) Регламента 2016/679/ЕС Европейского парламента и Европейского Совета от 27 апреля 2016 года по защите физических лиц в отношении обработки персональных данных и о свободном перемещении таких данных, и отменяя Директиву 95/46 / EC], (далее- «GDPR»),
Принимая во внимание Соглашение ЕЭЗ и, в частности, Приложение XI и Протокол к нему с поправками, внесенными Решением Объединенного комитета ЕЭЗ № 154/2018 от 6 июля 2018 года [1],
10 апреля 2018 года Рабочая группа 29-ой статьи приняла Руководство о согласии в соответствии с Регламентом 2016 / 679, которое было одобрено Европейским Советом по защите данных (далее “EDPB”) на его первом пленарном заседании. Настоящий документ представляет собой обновленную версию этого Руководства. Любая ссылка на Руководство РГ29 о согласии отныне должна толковаться как ссылка на это Руководство.
1. Данное Руководство содержит тщательный анализ понятия “согласие”, закрепленного в Регламенте 2016/679, Общий регламент защиты персональных данных (далее: GDPR). Понятие “согласие”, используемое в Директиве о защите персональных данных (далее: Директива 95/46/EC) и в Директиве об электронной приватности, на сегодняшний день претерпело изменения. GDPR предусматривает дополнительное разъяснение и уточнение требований к получению и проявлению действительного согласия. Данное Руководство фокусируются на этих изменениях (предоставляя практические указания для соблюдения GDPR) и основано на Мнении Рабочей Группы 29-ой статьи о понятии “согласие” от 15/2011. На контролерах лежит обязанность внедрять инновации, чтобы находить новые решения, которые соответствуют закону и эффективно обеспечивают защиту персональных данных и интересов субъектов данных.
2. Согласие является одним из шести правовых оснований для обработки персональных данных, перечисленных в статье 6 GDPR. [2] Инициируя деятельность, связанную с обработкой персональных данных, контролер обязан проанализировать, какое правовое основание будет подходящим для предполагаемой обработки.
[2] Статья 9 GDPR предусматривает перечень возможных исключений из запрета на обработку специальных категорий данных. Одним из исключений является ситуация, когда субъект данных дает отчётливое согласие на использование этих данных.
3. Как правило, согласие может считаться подходящим правовым основанием только в том случае, когда субъект данных получает контроль и ему предлагается реальный выбор в отношении принятия или отклонения предложенных условий без каких-либо негативных последствий для него. Запрашивая согласие, контролер обязан оценить, соответствует ли он всем необходимым требованиям для получения действительного согласия. Если же такое согласие получено в полном соответствии с GDPR, то это дает субъектам данных контроль над тем, будут ли их персональные данные обработаны или нет. Если же нет, то контроль субъекта данных становится иллюзорным, и согласие будет недействительным основанием для обработки. В таком случае, обработка будет считаться незаконной. [3]
[3] См. также Мнение 15/2011 о понятии согласия (РГ 187), стр. 6-8 и / или Мнение 06/2014 о понятии легитимных интересов контролера данных в соответствии со статьей 7 Директивы 95/46 / ЕС ( РГ 217), стр. 9, 10, 13 и 14.
5. РГ29 во Мнении от 15/2011 указывает, что предложение субъектам согласиться на операцию по обработке данных должно подлежать строгим требованиям, поскольку такая операция связана с фундаментальными правами субъектов, и контроллер производит обработку данных, которая без согласия субъекта была бы незаконной.[5] Ключевая роль согласия подчеркивается статьями 7 и 8 Хартии Европейского Союза по правам человека. Более того, получение согласия также не отменяет и никоим образом не уменьшает обязанности контролера соблюдать принципы обработки, закрепленные в GDPR, особенно в статье 5, по вопросам справедливости, необходимости и соразмерности, а также качества данных. Даже если обработка персональных данных основана на согласии субъекта, это приведет к незаконному сбору данных, если предоставление согласия не является необходимым по отношению к определенной цели обработки и является априори несправедливым. [6]
[13] В Преамбуле 42 указано, что заявление о согласии, составленное контролером данных, должно быть представлено в понятной и легкодоступной форме, с использованием ясного и простого языка, и в нем не должно содержаться недобросовестных положений.
6. Между тем, EDPB принимает во внимание пересмотр Директивы об электронной конфиденциальности (2002/58/EC). Понятие согласия в проекте Регламента об электронной конфиденциальности взаимосвязано с понятием согласия в GDPR.[7] Организациям может потребоваться согласие (в рамках документа об электронной конфиденциальности) для маркетинговых сообщений или маркетинговых звонков, а также для онлайн-отслеживаний, в том числе с использованием файлов cookie или приложений, или другого программного обеспечения. EDPB уже предоставил рекомендации и указания Европейскому законодательному органу для проекта Регламента об электронной конфиденциальности.[8]
[7] В соответствии со статьей 9 проекта Регламента об электронной конфиденциальности применяются определение и условия согласия, предусмотренные в статьях 4 (11) и 7 GDPR.
7. Что касается действующей Директивы об электронной конфиденциальности, EDPB отмечает, что ссылки на отмененную Директиву 95/46/EC следует понимать как ссылки на GDPR. [9] Это также относится к ссылкам на согласие в действующей Директиве 2002/58/EC, в случае, если Регламент об электронной конфиденциальности не вступит в силу с 25 мая 2018 года, как планировалось. В соответствии с 95 статьей GDPR, дополнительные обязательства в отношении обработки, касающейся предоставления общедоступных услуг электронной связи в сетях общего пользования, не должны налагаться, так как Директива об электронной конфиденциальности накладывает конкретные обязательства с той же целью. EDPB отмечает, что требования о согласии в рамках GDPR рассматриваются не как «дополнительное обязательство», а скорее как условия для законной обработки. Поэтому условия GDPR для получения действительного согласия применимы в ситуациях, подпадающих под действие Директивы об электронной конфиденциальности.
8. Статья 4 (11) GDPR определяет согласие как: “добровольное, конкретное, информированное и однозначное волеизъявление, в котором субъект данных с помощью заявления или четкого утвердительного действия дает согласие на обработку своих персональных данных”
9. Данная концепция согласия является аналогичной той, которая закреплена в Директиве 95/46/EC, и согласие является одним из правовых оснований, на которых должна основываться обработка персональных данных, в соответствии со статьей 6 GDPR.[10] Помимо измененного определения в Статье 4 (11), GDPR предоставляет дополнительные указания в Статье 7 и преамбулах 32, 33, 42 и 43 относительно того, как контролер должен действовать, чтобы соответствовать основным элементам требования о согласии.
[10] Согласие в Директиве 95/46 / ЕС было определено как «любое добровольное, конкретное и информированное волеизъявление, которым субъект данных дает свое согласие на обработку персональных данных, относящихся к нему», которое должно быть “однозначным”, чтобы обработка персональных данных была законной (Статья 7 (а) Директивы 95/46 / ЕС)). См. Мнение Рабочей группы 29 статьи от 15/2011 о понятии согласия (РГ 187), где приведены примеры уместного согласия в качестве правового основания. В этом Мнении Рабочая группа 29 статьи предоставила инструкции, чтобы отличить, где согласие является целесообразным правовым основанием, от тех, где достаточно опираться на легитимный интерес (вероятно, с возможностью отказаться) или подходящим основанием будет контракт. См. также Мнение Рабочей группы 29 статьи от 06/2014, параграф III.1.2, стр.14 и далее. Явно выраженное согласие также является одним из исключений в отношении запрета на обработку специальных категорий данных: См. статью 9 GDPR.
11. Статья 4 (11) GDPR гласит, что согласие субъекта данных означает любое: – добровольное – конкретное – информированное – однозначное волеизъявление в котором субъект данных с помощью заявления или четкого утвердительного действия дает согласие на обработку своих персональных данных.
13. Элемент “свободный” предполагает реальный выбор и контроль для субъектов данных. По общему правилу GDPR предписывает, что если субъект данных не имеет реального выбора, вынужден согласиться или потерпит негативные последствия, если не согласится, то согласие не будет являться действительным.[13] Если согласие рассматривается в качестве безоговорочной части условия, то предполагается, что оно не было дано добровольно. Соответственно, согласие не будет считаться свободным, если субъект данных не может отказаться или отозвать свое согласие без ущерба для себя.[14] Понятие дисбаланса власти между контролером и субъектом данных также принимается во внимание GDPR.
[14] См. преамбулы 42,43 GDPR и Мнение Рабочей группы 29-й статьи от 15/2011 о понятии согласия, принятое 13.07.2011 (РГ 187), стр.12.
14. При оценке того, дается ли согласие свободно, следует учитывать не только конкретную ситуацию, связанную с закреплением согласия в контрактах или с предоставлением услуги, как описано в статье 7(4). Статья 7(4) была сформулирована в неисчерпывающей форме, что подтверждается выражением «среди прочего». Это означает, что может существовать ряд других ситуаций, которые охватываются этим положением. В общих чертах, любой элемент ненадлежащего давления или влияния на субъекта данных (который может проявляться разными способами), который не позволяет субъекту данных осуществлять свою волю в свободной форме, делает согласие недействительным.
15. [Пример 1] Сервис по редактированию фотографий запрашивает согласие на обработку геолокационных данных о месте нахождения человека. Сервис уведомляет пользователя, что данные о месте нахождения собираются, чтобы изучить поведение пользователя и рекламировать товары и услуги. Для предоставления услуги редактирования фотографий не требуются данные о месте нахождения, данные о поведении пользователя и реклама в Интернете, поэтому согласие выходит за рамки предоставления основной услуги. Так как пользователи не могут использовать приложение без согласия с перечисленными целями, согласие не может считаться добровольным.
16. В преамбуле 43 [15] четко указывается, что государственные органы редко могут полагаться на согласие при обработке данных, так как в тех ситуациях, когда контролер является государственным органом, чаще всего существует явный дисбаланс в отношениях между контролером и субъектом данных. Также очевидно, что в большинстве случаев у субъекта данных не будет реальных альтернатив по принятию обработки (условий) этого контролера. EDPB считает, что существуют иные правовые основания, которые стоит применять в отношениях с деятельностью органов государственной власти.[15]
[15] Преамбула 43 GDPR гласит: “Для обеспечения добровольности согласия, оно не должно предоставлять допустимое правовое основание для обработки персональных данных в отдельных случаях, когда имеет место явное неравенство между субъектом данных и контролёром, особенно когда контролёр является публичным органом власти и поэтому низка вероятность того, что во всех условиях данного отдельного случая согласие дано свободно. (…)”
17. Не затрагивая эти общие аспекты, использование согласия в качестве правового основания для обработки данных государственными органами полностью не исключается в соответствии с правовой базой GDPR. Следующие примеры показывают, что использование согласия может быть целесообразным при определенных обстоятельствах.
18. [Пример 2] Местный муниципалитет планирует ремонтные работы. Поскольку дорожные работы могут нарушить движение на долгое время, муниципалитет предлагает гражданам подписаться на рассылку, чтобы получать обновления о ходе работ и ожидаемых задержках. Муниципалитет ясно дает понять, что данная возможность носит добровольный характер, и просит дать согласие на использование адресов электронной почты только для этой (исключительной) цели. Граждане, которые не дают согласие, не лишаются услуг, предлагаемые муниципалитетом или реализации какого-либо права, поэтому они могут свободно давать согласие или отказываться. Вся информация о дорожных работах также будет доступна на сайте муниципалитета.
19. [Пример 3] Лицо, владеющее землей, нуждается в определенных разрешениях как от своего местного муниципалитета, так и от провинциальных органов власти, которым принадлежит муниципалитет. Оба государственных органа требуют идентичную информацию для выдачи разрешения, но не имеют доступа к базам данных друг друга. Поэтому они запрашивают одну и ту же информацию, и собственник земли отправляет сведения в оба государственных органа. Муниципалитет и провинциальная власть просят дать согласие на объединение файлов, чтобы избежать дублирования процедур и переписки. Оба государственных органа гарантируют, что это действие не является обязательным, и что запросы на разрешение будут по-прежнему обрабатываться отдельно, если субъект решит не соглашаться на слияние своих данных. Владелец земли добровольно может дать согласие властям с целью объединения файлов.
20. [Пример 4] Государственная школа просит студентов дать согласие на использование их фотографий в студенческом журнале. Согласие в таких ситуациях будет реальным выбором, если учащимся не будет отказано в образовании или услугах, и они могут отказаться от использования этих фотографий без какого-либо ущерба.[16]
[16] Для целей данного примера, государственная школа означает государственную школу или любое образовательное учреждение, которое в соответствии с национальным законодательством квалифицируется как государственное учреждение.
21. Дисбаланс власти также возникает в контексте занятости.[17] Учитывая иерархию, которая возникает в результате отношений между работодателем и работником, маловероятно, что субъект данных сможет отказать своему работодателю в согласии на обработку данных, не испытывая страха или реального риска неблагоприятных последствий в результате отказа. Сложно представить, что работник сможет свободно давать согласие, например, активировать системы мониторинга, такие как камеры наблюдения на рабочем месте, или заполнять формы оценки, не чувствуя никакого давления.[18] Таким образом, EDPB считает проблематичным для работодателей обрабатывать персональные данные нынешних или будущих сотрудников, опираясь на такое основание как согласие, поскольку вряд ли они будут предоставлены свободно. Для большей части такой обработки данных на работе законным основанием не может и не должно быть согласие работников (статья 6 (1а)) из-за характера отношений между работодателем и работником.[19]
[17] См. также статья 88 GDPR, где подчеркивается необходимость защиты особых интересов работников и допускаются изъятия в законодательстве государства-члена. Смотрите также преамбулу 155.
[18] См. также Мнение от 15/2011 о понятии согласия (РГ 187), стр.12-14, Мнение от 8/2001 об обработке персональных данных в контексте занятости (РГ 48), раздел 10, Рабочий документ о наблюдении за электронными средствами связи на рабочем месте (РГ 55), параграф 4.2 и Мнение от 2/2017 об обработке данных в трудовых отношениях (РГ 249), параграф 6.2.
22. Однако это не означает, что работодатели никогда не могут ссылаться на согласие в качестве правового основания для обработки данных. Могут быть ситуации, когда работодатель может продемонстрировать, что согласие в действительности дается свободно. Учитывая дисбаланс власти между работодателем и его сотрудниками, последние могут дать свободное согласие только в исключительных обстоятельствах, когда это не будет иметь неблагоприятных последствий для них, независимо от того, дано согласие или нет. [20]
23. [Пример 5] Съемочная группа собирается снимать в конкретной части офиса. Работодатель просит всех сотрудников, которые сидят на своих рабочих местах, дать согласие на съемку, поскольку они могут появиться на заднем плане видео. Те, кто не хочет, чтобы их снимали, ни в коем случае не наказываются, а вместо этого получают эквивалентные рабочие места в других частях офиса на время съемок.
24. Дисбаланс власти не ограничивается государственными органами и работодателями, они также могут возникать в других ситуациях. Как подчеркивала РГ29 в нескольких Мнениях, согласие может быть действительным, только если субъект данных может сделать реальный выбор, и нет риска обмана, запугивания, принуждения или значительных негативных последствий (например, существенных дополнительных затрат), если он/она не дает согласия. Согласие не будет свободным в тех случаях, когда есть какой-либо элемент принуждения, давления или отсутствие свободы волеизъявления.
[21] Статья 7(4) GDPR: “При оценке, выражено ли согласие добровольно, наибольшее внимание следует уделить, помимо всего прочего, тому, не обуславливается ли выполнение договора (в том числе исполнение услуги) дачей согласия на обработку персональных данных, которые не нужны для выполнения договора.” См. также преамбула 43 GDPR, которая гласит: “Согласие не считается данным свободно, когда нет возможности установить, что оно было дано на конкретную операцию по обработке персональных данных, даже если оно подходит для отдельного случая, или если исполнение договора, включая предоставление услуг, зависит от согласия, несмотря на то, что такое согласие не является необходимым для исполнения договора.” Более подробную информацию и примеры см. во Мнении от 06/2014 о понятии легитимных интересов контролера согласно 7 статьи Директивы 95/46/ЕС, принятой Рабочей группой 29-й статьи 9 апреля 2014 года, стр. 16-17 (РГ 217).
26. Статья 7(4) GDPR указывает, что, в частности, ситуация “связывания” согласия с принятием условий или положений, а также “привязки” выполнения договора или предоставление услуги к запросу о согласии на обработку персональных данных, которые не являются необходимыми для выполнения этого контракта или услуги, считается крайне нежелательной. Если в этой ситуации дается согласие, то предполагается, что оно не дается свободно (преамбула 43). Статья 7(4) направлена на обеспечение того, чтобы цель обработки персональных данных не скрывалась и не увязывалась с предоставлением договора об оказании услуг, для которых эти персональные данные не являются необходимыми. При этом GDPR гарантирует, что обработка персональных данных, на которую запрашивается согласие, не может прямо или косвенно стать поводом для исполнения контракта. Таким образом, существует два разных основания для законной обработки: согласие и контракт, которые, в свою очередь, не могут быть объединены либо размыты.
27. Принуждение к согласию на использование дополнительных персональных данных, кроме тех, которые являются действительно необходимыми для получения, ограничивает выбор субъекта данных и препятствует свободному согласию. Поскольку закон о защите персональных данных направлен на защиту фундаментальных прав, контроль индивида над своими персональными данными является действительно значимым. Существует строгая презумпция, что согласие на обработку персональных данных, которое не является необходимым, не может рассматриваться как обязательный элемент для исполнения контракта или оказание услуги.
28. Таким образом, когда запрос о согласии связан с исполнением договора контролером, субъект данных, который не желает предоставлять свои персональные данные для обработки, рискует получить отказ в услугах, которые он запросил.
29. Чтобы оценить, существуют ли ситуации с таким объединением или связыванием, важно определить, какова сфера действия контракта и какие данные будут необходимы для исполнения этого контракта.
30. Согласно Мнению от 06/2014 РГ29, термин “необходимо для исполнения контракта” подлежит строгому толкованию. Обработка персональных данных является необходимым элементом при исполнении контракта с каждым субъектом данных. Это может включать, например, обработку адресов субъекта данных, чтобы доставить продукты, которые были приобретены онлайн, или обработку данных кредитной карточки для удобной оплаты. В контексте занятости, это основание может применяться, например, при обработке информации о заработной плате и данных банковского счёта, чтобы заработная плата могла быть начислена.[22] Необходимо установить прямую и объективную связь между обработкой данных и целью исполнения контракта.
31. Если контролер собирается обрабатывать персональные данные, которые фактически необходимы для выполнения контракта, то согласие не является действительным правовым основанием.
32. Статья 7 (4) относится только к тем случаям, когда запрашиваемые данные не являются необходимыми для выполнения контракта (включая предоставление услуги), и выполнение этого контракта обусловлено получением этих данных на основе согласие. И наоборот, если обработка необходима для выполнения договора (в том числе для предоставления услуги), то статья 7 (4) не применяется.
33. [Пример 6] Банк просит у клиентов согласие на использование их данных об оплате для целей маркетинга. Эта обработка не является необходимой для исполнения контракта и предоставления обычных банковских услуг. Если отказ клиента дать согласие на эту обработку приведет к отказу в предоставлении банковских услуг, закрытию банковского счета или увеличению комиссии, то очевидно, что согласие не может носить свободный характер и быть отозвано.
34. Выбор законодателя выделить обусловленность, среди прочего, как факт отсутствия свободы при согласии, показывает, что возникновение обусловленности должно быть тщательно изучено. Термин “наибольшее внимание” в статье 7(4) предполагает, что контролер должен проявлять особую осторожность, когда в связи с исполнением договора (который может включать предоставление услуги) есть запрос на согласие на обработку персональных данных.
35. Поскольку формулировка статьи 7(4) не толкуется в безоговорочном смысле, случаи, когда эта обусловленность не повлечет недействительность согласия, будут довольно редкими. Однако термин “предполагаемый” в преамбуле 43, четко указывает, что такие случаи будут носить исключительный характер.
36. В любом случае, бремя доказывания лежит на контролере (в соответствии со статьей 7(4)).[23]Эта конкретная норма отражает общий принцип подотчетности, который закреплен в GDPR. Однако, когда применяется статья 7(4), у контролера могут возникнуть сложности при доказывании, что субъект данных дал согласие добровольно.[24]
[23] См. также статью 7(1) GDPR, которая гласит, что контролеру необходимо продемонстрировать, что согласие субъекта данных было дано свободно.
[24] В определенной степени, введение этого пункта является кодификацией существующих рекомендаций Рабочей группы 29-й статьи. Как описано во Мнении 15/2011, когда субъект данных находится в зависимости от контролера данных (из-за характера отношений или особых обстоятельств) может быть веское основание полагать, что свобода согласия является ограниченной (например, в трудовых отношениях или если сбор данных осуществляется государственным органом). С учетом статьи 7(4) контролеру будет труднее доказать, что согласие было предоставлено субъектом данных свободно. См.: Мнение от 15/2011 о понятии согласия (РГ 187), стр. 12-17.
37. Контролер может утверждать, что его организация предлагает субъектам данных реальный выбор, если они могли выбрать между услугами, одна из которых включает согласие на использование персональных данных в дополнительных целях, и другая, которая не предполагает согласие на использование данных в дополнительных целях. Если существует возможность исполнения контракта или предоставления контролером услуг по контракту без согласия на другое/дополнительное использование данных, о котором идет речь, это означает, что предоставление услуги не зависит от каких-либо условий. В любом случае, обе услуги должны быть действительно равноценными.
38. EDPB считает, что согласие не может считаться добровольным, если контроллер утверждает, что существует выбор между его услугой, которая включает согласие на использование персональных данных для дополнительных целей, с одной стороны, и эквивалентной услугой, предлагаемой другим контроллером, с другой стороны. В таком случае свобода выбора будет зависеть от того, что делают другие участники рынка, и от того, сочтет ли отдельный субъект данных услуги других контролеров действительно равноценными. Кроме того, это будет означать, что контроллеры обязаны следить за развитием рынка, чтобы обеспечить постоянную действительность согласия на их действия по обработке данных, поскольку конкурент может изменить свою услугу на более позднем этапе. Следовательно, использование этого аргумента означает, что это согласие не соответствует GDPR.
39. Для того, чтобы согласие было дано свободно, необходимо, чтобы доступ к услугам и функциональным возможностям не был обусловлен согласием пользователя на хранение информации или на получение доступа к уже сохраненной информации в используемом устройстве пользователя (т.н. cookie walls)
[25] Как пояснено выше, условия для получения действительного согласия, установленные GDPR, применимы к ситуациям, которые подпадают под сферу действия e-Privacy Directive – Директивы об электронной конфиденциальности.
40. [Пример 6а]: веб-разработчик создает скрипт, который блокирует отображение контента, кроме как отображение запроса на прием файлов cookies и на получение информации о том, какие cookies уже установлены на устройство и для каких целей данные будут обрабатываться. Таким образом, нет возможности получить доступ к содержанию сайта без нажатия на кнопку “Принять cookies”. Поскольку субъекту данных не предоставляется реальный выбор, такое согласие нельзя квалифицировать как данное свободно.
42. Предоставление услуги может включать несколько операций по обработке данных для более чем одной цели. В таких случаях, субъекты данных должны иметь право выбирать, какую именно цель они принимают, вместо того, чтобы соглашаться на все цели сразу. В данном случае может быть получено несколько согласий на начальном этапе предоставления услуги в соответствии с GDPR.
43. Преамбула 43 уточняет, что предполагается, что согласие не является свободным, если невозможно дать отдельного согласия на разные операции по обработке персональных данных (например, только для некоторых операций обработки, а не для всех), несмотря на то, что оно в конкретном случае было бы уместным. Преамбула 32 гласит: “Согласие должно охватывать все способы обработки персональных данных, осуществляемые для достижения одной и той же цели.В случае, если обработка персональных данных имеет несколько целей, необходимо получить согласие для каждой из них.”
44. Если контролер объединил несколько целей для обработки и не попытался получить отдельное согласие для каждой цели, то это означает отсутствие свободы. Эта гранулированность тесно связано с необходимостью конкретности согласия, речь об этом пойдет далее в разделе 3.2. Когда обработка данных выполняется для достижения нескольких целей, для действительного согласия нужно соблюсти такое условие гранулированности, то есть дробление этих целей и получения согласия для каждой из них.
45. [Пример 7] Розничный торговец (англ. retailer) запрашивает у своих клиентов согласие на использование их данных для отправки маркетинговых сообщений по электронной почте, а также для передачи их данных другим компаниям в рамках одной группы. Это согласие не является гранулированным, поскольку нет отдельных согласий для этих двух отдельных целей, поэтому согласие не будет действительным. В этом случае необходимо получить конкретное согласие на отправку контактных данных коммерческим партнерам. Такое конкретное согласие будет считаться действительным для каждого партнера (см. также раздел 3.3.1), чья личность была предоставлена субъекту данных во время сбора его или ее согласия, поскольку оно направляется им для той же цель (в этом примере: для целей маркетинга).
46. Контролер должен продемонстрировать, что можно отказаться или отозвать согласие без ущерба (преамбула 42). Например, контролер должен доказать, что отзыв согласия не приводит к каким-либо расходам для субъекта данных и, таким образом, не имеет явных неблагоприятных условий для тех, кто отзывает согласие.
47. Другими примерами отрицательного эффекта являются обман, запугивание, принуждение или значительные негативные последствия, если субъект данных не дает согласия. Контролер должен иметь возможность доказать, что субъект данных имел свободный или реальный выбор в отношении принятия согласия и что его можно было отозвать без ущерба для субъекта данных.
48. Если контроллер может продемонстрировать, что предоставление услуги включает в себя возможность отозвать согласие без каких-либо негативных последствий, например,без снижения эффективности услуги в ущерб пользователю, это может означать, что согласие было дано свободно. GDPR не исключает всех поощрений, но ответственность за то, чтобы согласие по-прежнему давалось свободно при любых обстоятельствах, лежит на контролере.
49. [Пример 8] При загрузке мобильного приложения, оно запрашивает согласие на доступ к акселерометру телефона. Это не обязательно для работы приложения, но это полезно для контролера, который хочет узнать больше о движениях и уровнях активности своих пользователей. Когда пользователь позже отзывает это согласие, он обнаруживает, что приложение теперь работает только в ограниченном режиме. Это пример ущерба, который подразумевается в преамбуле 42, что означает, что согласие никогда не являлось действительным (и, следовательно, контролер должен удалить все личные данные о перемещениях пользователей, собранных таким образом).
50. [Пример 9] Субъект данных подписывается на рассылку модной одежды со скидками. Ритейлер запрашивает у субъекта данных согласие на сбор дополнительных данных о предпочтениях покупок, чтобы адаптировать предложения к его или ее предпочтениям на основе истории покупок или вопросника, который можно заполнить добровольно. Когда субъект данных позднее отзывает согласие, он или она снова получит не персонализированные скидки. Это не наносит ущерба, поскольку было потеряно только допустимое поощрение.
51. [Пример 10] Журнал моды предлагает читателям доступ к покупке новых продуктов для макияжа до официального запуска.
52. Продукты вскоре будут доступны для продажи, но читателям этого журнала предлагается эксклюзивный предварительный просмотр этих продуктов. Чтобы воспользоваться этим преимуществом, люди должны указать свой почтовый адрес и согласиться на подписку в списке рассылки журнала. Почтовый адрес необходим для доставки, а список рассылки используется для отправки коммерческих предложений на такие товары, как косметика или футболки, круглый год.
55. Статья 6(1а) подтверждает, что согласие субъекта данных должно быть дано в в отношении “одной или нескольких конкретных” целей и что субъект данных может сделать выбор в пользу каждого из них.[26] Требование о том, что согласие должно быть всегда конкретным, направлено на обеспечение определенной степени контроля и прозрачности для субъекта данных. Это требование не было изменено в GDPR и остается тесно связанным с требованием “информированного” согласия. В то же время оно должно толковаться в соответствии с требованиями “гранулирования” для получения “свободного” согласия. [27]Подводя итог, для соответствия элементу “конкретный” контролер должен применять: i Указание цели как защита от “функции ползучести” (англ. function creep) ii Гранулирование запросов о согласии и iii Четкое разделение информации, которая связана с получением согласия на действие по обработке данных, от информации, которая связана с другими вопросами.
[26] Дальнейшие указания по определению «целей» можно найти в Мнении от 3/2013 об ограничении целей (РГ 203).
[27] Преамбула 43 гласит, что разделение согласия для разных операций по обработке действует в тех случая, где это целесообразно/уместно. Необходимо предоставить варианты гранулированного согласия, которые будут позволять субъектам данных давать отдельное согласие на отдельные цели.
56. Пункт (i): В соответствии со статьей 5(1b) GDPR, получение действительного согласия всегда предшествует определению конкретной, явной и легитимной цели для предполагаемой обработки данных.[28] Необходимость конкретного согласия в совокупности с понятием ограничение целью в соответствии со статьей 5(1b) GDPR, служит гарантией от постепенного расширения или размытия целей, для которых обрабатываются данные, после того, как субъект данных дал согласие на первоначальный сбор данных. Это явление, также известное как “function creep”, представляет риск для субъектов данных, так как оно может привести к неожиданному использованию персональных данных контролером или третьими лицами, а также субъект данных может потерять контроль над персональными данными.
[28] См. Мнение Рабочей Группы 29-й статьи от 3/2013 об ограничении целей (РГ 203), стр. 16, : “По этим причинам неопределенные или общие цели, такие как, например, “улучшение опыта пользователей”, “маркетинговые цели”, “цели ИТ-безопасности” или “дальнейшие исследования”, не будут, как правило, отвечать критериям “конкретности”.”
57. Если контролер ссылается на статью 6 (1а), субъекты данных всегда должны давать согласие для конкретной цели обработки.[29] В соответствии с концепцией ограничение целью, а также статьей 5 (1b) и преамбулой 32, согласие может охватывать различные операции, если эти операции служат одной и той же цели. Безусловно, конкретное согласие может быть получено только в том случае, когда субъекты данных конкретно информированы о предполагаемых целях использования их данных.
[29] Это соответствует Мнению Рабочей группы 29-й статьи от 15/2011 о понятии согласия (РГ 187), например, если обратить внимание на стр. 17.
58. Несмотря на положения о совместимости целей, согласие должно соответствовать конкретной цели. Субъекты данных дадут свое согласие при условии, что они контролируют ситуацию, и их данные будут обрабатываться только для указанных целей. Если контроллер обрабатывает данные на основе согласия и желает обрабатывать данные и для другой цели, этому контроллеру необходимо запросить дополнительное согласие для этой другой цели, если только нет другого правового основания, который лучше отражает ситуацию.
59. [Пример 11] Сеть кабельного ТВ собирает персональные данные подписчиков, основываясь на их согласии, чтобы показывать им новые фильмы в соответствии с их индивидуальными предпочтениями, которые будут выявлены на основе просмотренных фильмов. После всего этого сеть кабельного ТВ решает привлечь третьих лиц, которые будут отправлять (или отображать) таргетинговую рекламу, основываясь на предпочтениях подписчиков. При выявлении новой цели, новое согласие необходимо.
60. Пункт (ii): Механизм согласия должен быть не только гранулированным чтобы отвечать требованию “свободный”, но также должен отвечать элементу “конкретный”. Это означает, что контролер, который запрашивает согласие на различные цели должен обеспечить отдельную подписку(opt-in) для каждой цели, чтобы позволить пользователям давать конкретное согласие для конкретных целей.
61. Пункт (iii): Наконец, контролер должен предоставлять конкретную информацию с каждым конкретным согласием о том, какие данные обрабатываются и для каких целей, для того, чтобы субъекты данных знали о последствиях и значении различных вариантов выбора, которые они имеют. Вследствие чего, субъекты данных могут дать конкретное согласие. Этот аспект частично совпадает с требованием о том, чтобы контролеры предоставляли четкую информацию, как описано ниже, в пункте 3.3.
62. GDPR усиливает требование о том, что согласие должно быть информированным. На основании статьи 5 GDPR требование прозрачности является одним из основополагающих принципов, тесно связанных с принципами справедливости и законности. Предоставление информации субъектам данных до получения согласия необходимо для того, чтобы они могли принимать осознанные решения, понимать, с чем они согласны, и, например, осуществлять свое право на отзыв своего согласия. Если контроллер не предоставляет доступную информацию, пользовательский контроль становится иллюзорным, и согласие будет недействительным основанием для обработки.
64. Для того, чтобы согласие было информированным, необходимо сообщить субъекту данных о некоторых элементах, которые имеют решающее значение для принятия решения. Исходя из этого, EDPB считает, что для получения действительного согласия требуется, как минимум, следующая информация: i. личность контролера [30], ii. цели для каждой операции обработки, для которых было запрошено согласие [31], iii. какие данные (категории) будут собираться и использоваться [32], iv. наличие права на отзыв своего согласия [33], v. информация об использовании данных для принятия решений, основанных исключительно на автоматизированной обработке, включая профилирование, в соответствии со статьей 22(2) [34] и vi. о возможных рисках передачи данных из-за отсутствия решения об адекватности и соответствующих гарантий, как описано в статье 46. [35].
[30] См. также преамбулу 42 GDPR: “[…] Информированным согласие является когда субъект данных осведомлен, по крайней мере, о наименовании контролёра и целях обработки, для которых предназначаются персональные данные. […]”
[34] См. также Руководство по автоматизированному принятию индивидуальных решений и профилированию для целей положения Регламента 2016/679 (РГ 251), пункт IV.B, стр. 20 и последующие.
[35] В соответствии со статьей 49 (1)(а), когда требуется явное согласие, необходима конкретная информация об отсутствии гарантий, описанных в статье 46. Cм. также Мнение от 15/2011 о понятии согласия (РГ 187), стр. 19.
65. В отношении пунктов (i) и (iii) EDPB отмечает, что в случае, когда на запрашиваемое согласие ссылаются несколько (совместных) контроллеров или если данные должны передаваться или обрабатываться другими контролерами, которые желают ссылаться на первоначальное согласие, все эти организации должны быть перечислены. Процессоры не должны быть перечислены, в соответствии с требованиями для согласия, но для того, чтобы соответствовать статьям 13 и 14 GDPR, контролерам необходимо будет предоставить полный список получателей или категорий получателей, включая процессоров. В заключение, EDPB указывает, что в зависимости от обстоятельств и контекста определенной ситуации может потребоваться больше информации, чтобы позволить субъекту данных в полной мере понять выполняемые операции обработки.
66. GDPR не предусматривает форму, в которой должна предоставляться информация для выполнения требования информированного согласия. Это означает, что действительная информация может быть представлена различными способами, такими как письменные или устные заявления, аудио- или видеосообщения. Однако GDPR устанавливает несколько требований к информированному согласию, в особенности в статье 7 (2) и преамбуле 32. Данные положения предписывают высокие стандарты на предмет того, что информация должна быть четкой и ясной.
67. При получении согласия контролеры должны убедиться, что они используют понятный и ясный язык во всех случаях. Это означает, что не только юристы, но и обычный человек должен легко понять суть согласия. Контролеры не могут использовать длинные и неразборчивые политики приватности или заявления, которые наполнены огромным количеством юридической лексики. Согласие должно быть четким, оно должно легко отличаться от других вопросов и предоставляться в доступной и понятной форме. По факту, это требование означает, что информация, которая касается осознанного выбора: соглашаться или нет, не должна быть “спрятана” в общих положениях и условиях.[36]
[36] Заявление о согласии так и должно называться. Такие формулировки как, например, «Я знаю, что …», не отвечает требованию ясного языка.
68. Контролер должен гарантировать, что согласие предоставляется на основе информации, которая позволяет субъектам данных легко определить, кем является контроллер, и понять, с чем конкретно они согласны. Контролер должен четко описать цель обработки данных, для которых запрашивается согласие.[37]
69. Другие конкретные указания, касающиеся доступности, были даны в Руководстве РГ29 по прозрачности. Если согласие должно быть дано с помощью электронных средств, запрос должен быть четким и кратким. Поэтапная (многоуровневая) и гранулированная информация может стать подходящим способом справиться с двойной обязанностью быть точной и полной, с одной стороны, и понятной, с другой стороны.
70. Контролер обязан проанализировать, какая именно аудитория предоставляет им персональные данные. Например, если целевая аудитория потенциально может состоять из субъектов данных, которые являются несовершеннолетними, то ожидается, что контролер должен удостовериться, что информация понятна в том числе и для них.[38] После того, как контролеры установили, кто составляет их аудиторию, они должны определить, какую информацию они должны предоставить, а затем как они будут представлять эту информацию субъектам данных.
71. В статье 7(2) рассматриваются предварительно сформулированные письменные заявления о согласии, которые также касаются других вопросов. Когда согласие запрашивается в рамках (бумажного) контракта, просьба о согласии должна четко отличаться от других вопросов. Если письменный контракт включает в себя много аспектов, не связанных с вопросом о согласии на использование персональных данных, вопрос о согласии должен решаться явно выделяться или быть прописан в в отдельном документе. Аналогичным образом, если согласие запрашивается с помощью электронных средств, запрос на согласие должен быть отдельным и должен отличаться от других вопросов, оно не может быть прописано в виде обычного параграфа в общих положениях и условиях в соответствии с преамбулой 32.[39] Чтобы разместить информацию на маленьких экранах или если мы имеет дело с ограниченным пространством для размещения информации, можно использовать многоуровневый способ предоставления информации, чтобы избежать чрезмерного нарушения пользовательского опыта или проектирования продукта.
[39] См. также преамбулу 42 и Директиву 93/13/ЕС, в частности, статью 5 (понятный язык, в случае сомнений толкование будет в пользу потребителя) и статью 6 (недействительность несправедливых условий, договор продолжает существовать без этих условий только в том случае, если он все еще имеет смысл)
72. Контролер, который ссылается на согласие субъекта данных, должен также выполнять отдельные информационные обязанности, изложенные в статьях 13 и 14, для того, чтобы соответствовать требованиям GDPR. На практике, соблюдение информационных обязанностей и соблюдение требований информированного согласия во многих случаях может привести к комплексному подходу. Однако этот раздел написан с учетом того, что действительное «информированное» согласие может существовать, даже если не все элементы статей 13 и/или 14 упоминаются в процессе получения согласия (эти пункты, конечно, следует упомянуть в других местах, например, в уведомлении о приватности компании). РГ29 опубликовала отдельное руководство о требовании по прозрачности.
73. [Пример 12] Компания X (контролер) получила жалобы на то, что субъектам данных неясно, для каких целей, при даче согласия, будут использоваться их персональные данные. Компания решает проверить, понятна ли ее информация в заявлении на согласие субъектам данных. Группы набираются с учетом принципа независимости и на основе стандартов, которые обеспечивают репрезентативный, непредвзятый результат. Участники получают вопросник и указывают, что они поняли из этой информации и как они оценивают ее с точки зрения понятности и важности. Контроллер продолжает тестирование, пока результаты не покажут, что информация понятна. X составляет отчет об испытании и делает его доступным для дальнейшего использования. В этом примере показан возможный способ для X продемонстрировать, что субъекты данных получали четкую информацию, прежде чем дать согласие на обработку персональных данных X.
74. [Пример 13] Компания занимается обработкой данных на основе согласия. Компания использует многоуровневое уведомление о приватности, которое включает запрос на согласие. Компания раскрывает все основные сведения о контроллере и предусмотренных действиях по обработке данных.[40] Однако компания не указывает, как можно связаться с их сотрудником по защите данных в уведомлении. В целях наличия действительного правового основания, как указано в статье 6, этот контролер получил действительное «информированное» согласие, даже если контактные данные сотрудника по защите данных не были сообщены субъекту данных (на первом информационном уровне) в уведомление о приватности, в соответствии со статьей 13 (1b) или 14 (1b) GDPR.
[40] Обратите внимание, что когда личность контроллера или цель обработки не очевидна из первого информационного уровня многоуровневого уведомления о приватности (и расположены на дополнительных подуровнях), контроллеру данных будет трудно продемонстрировать, что субъект данных дал информированное согласие, если только контроллер данных не может продемонстрировать, что рассматриваемый субъект данных получил доступ к этой информации до того, как дал согласие.
75. Из текста GDPR ясно вытекает, что согласие может выражаться в форме заявления субъекта данных или какого-либо четкого утвердительного действия, что означает, что оно должно быть получено путем активного действия или заявления. Очевидно, что субъект должен быть согласен на конкретную обработку данных.
76. Статья 2(h) Директивы ЕС 95/46/EC определяет согласие как “наличие волеизъявления, путем которого субъект данных выражает свое согласие на обработку касающихся его данных”. Статья 4(11) GDPR, основанная на этом определении, уточняет, что действительное согласие требует однозначного указания посредством заявления или четкого утвердительного действия, что соответствует предшествующим руководящим принципам РГ29.
77. «Четкое утвердительное действие» означает, что для согласия на конкретную обработку субъект данных должен предпринять осознанное действие.[41] Преамбула 32 содержит дополнительные указания по этому вопросу. Согласие может быть получено путем письменного или (записанного) устного заявления, в том числе полученного с помощью электронных средств.
[41] См. Рабочий документ сотрудников Комиссии, Оценка воздействия, Приложение 2, с. 20, а также с. 105–106: “Как также указывалось в мнении, принятом РГ29 о согласии, представляется важным пояснить, что для действительного согласия требуется использование механизмов, которые не оставляют сомнений в намерении субъекта данных дать согласие, при этом ясно, что – в контексте онлайн-среды – использование параметров по умолчанию, которые субъект данных должен изменить, чтобы отклонить обработку (“согласие, основанное на молчании”), само по себе не является однозначным согласием. Это дало бы людям больше контроля над своими собственными данными, когда обработка основана на их согласии. Что касается воздействия на контролеров данных, это не окажет существенного влияния, так как оно только поясняет и лучше разъясняет последствия действующей Директивы в отношении условий для действительного и осознанного согласия субъекта данных. В частности, в той мере, в какой “явное” согласие прояснило бы (путем замены “однозначного”) условия и качество согласия и что оно не предназначено для расширения случаев и ситуаций, когда (явное) согласие должно использоваться в качестве основания для обработки, воздействие этой меры на контролеров данных, как ожидается, не будет значительным.”
78. Возможно, самый буквальный способ соблюдения критерия “письменного заявления” – убедиться, что субъект данных пишет письмо или печатает электронное письмо контролеру, объясняя в нем, на что именно он согласен. Однако, как правило, это нереально. Письменные заявления могут иметь различные формы и размеры, соответствующие требованиям GDPR.
79. Без ущерба для существующего (национального) договорного права, согласие может быть получено посредством записанного устного заявления, хотя необходимо должным образом учитывать информацию, доступную субъекту данных, до указания согласия. Использование предварительно отмеченных полей недействительно в рамках GDPR. При этом молчание или бездействие со стороны субъекта данных, а также простое обращение к услуге не могут рассматриваться как активное указание выбора.
80. [Пример 14] При установке программного обеспечения приложение запрашивает у субъекта данных согласие на использование идентифицирующих пользователя отчетов о сбоях для улучшения программного обеспечения. Многоуровневое уведомление о приватности, содержащее необходимую информацию, сопровождается запросом о согласии. Самостоятельно устанавливая флажок «Я согласен», пользователь может правильно выполнить требование «четкого подтверждения», чтобы дать согласие на обработку.
81. Контролер также должен помнить, что согласие не может быть получено посредством того же самого действия, что и согласие на заключение контракта или принятие общих условий предоставления услуг. Полное принятие общих положений и условий не может рассматриваться как четкое подтверждающее действие по согласию на использование персональных данных. GDPR не позволяет контроллерам предлагать предварительно отмеченные флажки или конструкции отказа, которые требуют от субъекта данных дополнительных действий, чтобы избежать “предоставление согласия” (например, «блоки отказа»).[42]
[42] См. Статью 7 (2). См. Также Рабочий Документ 02/2013 о получении согласия на файлы cookie (РГ 208), стр. 3-6.
82. Когда согласие должно быть дано после запроса с помощью электронных средств, запрос на согласие не должен создавать излишние помехи для использования услуги, на которую предоставляется согласие.[43] Активное подтверждающее действие, посредством которого субъект данных указывает на согласие, может быть необходимо, когда менее нарушающий способ может привести к двусмысленности. Таким образом, может потребоваться, чтобы запрос на согласие в некоторой степени прервал процесс использования, чтобы сделать этот запрос эффективным.
83. Тем не менее, в соответствии с требованиями GDPR, контролеры имеют право разрабатывать согласие, которое подходит их организации. В связи с этим физические движения могут быть квалифицированы как четкое подтверждение в соответствии с GDPR.
84. Контролеры должны разрабатывать механизмы согласия, понятные субъектам данных. Контролеры должны избегать двусмысленности и должны гарантировать, что действие, на которое дается согласие, можно отличить от других действий. Следовательно, простое продолжение обычного использования веб-сайта не является поведением, из которого можно сделать вывод о том, что субъект данных желает указать свое согласие на предлагаемую операцию обработки.
85. [Пример 15] Проведение пальцем по экрану, отказ от смарт-камеры, поворот смартфона по часовой стрелке или движение по восьмерке могут быть вариантами, указывающими на согласие, если предоставляется четкая информация, и ясно, что рассматриваемое движение означает согласие на конкретный запрос (например, если вы проведете эту полосу влево, вы соглашаетесь на использование информации X для цели Y. Повторите движение, чтобы подтвердить). Контролер должен иметь возможность продемонстрировать, что согласие было получено таким образом, при этом субъекты данных должны иметь возможность отозвать согласие так же легко, как оно было дано.
86. [Пример 16] Основываясь на пункте 32, такие действия, как прокрутка или пролистывание веб-страницы или аналогичные действия пользователя, ни при каких обстоятельствах не удовлетворяют требованию четкого и подтверждающего действия: такие действия могут быть трудно отличимы от других действий пользователя, и поэтому заявление о том, что было получено однозначное согласие, будет невозможным. Кроме того, в данном случае будет трудно предоставить пользователю возможность отозвать свое согласие таким же простым способом, как и предоставить его.
87. В цифровом виде многим службам для работы требуются персональные данные, поэтому субъекты данных получают множество запросов о согласии, которые требуют ответы посредством щелчков и смахиваний каждый день. Это может привести к некоторой степени утомляемости от подобных однообразных действий: так как, когда такие щелчки встречаются слишком часто, фактический эффект предупреждения механизмов согласия уменьшается.
88. Это приводит к ситуации, когда вопросы о согласии больше читаются. Что представляет особый риск для субъектов данных, поскольку, как правило, требуется согласие на действия, которые без его получения считаются незаконными. GDPR возлагает на контролеров обязанность разработать способы решения данной проблемы.
89. Часто упоминаемый пример для этого в онлайн-контексте – получение согласия пользователей Интернета через настройки браузера. Такие параметры должны разрабатываться в соответствии с условиями для действительного согласия в GDPR, например, что согласие должно быть гранулированным для каждой из предусмотренных целей и что информация, которая предоставляется, должна содержать имена контролеров.
90. В любом случае, согласие всегда должно быть получено до того, как контроллер начнет обработку персональных данных, для которых требуется согласие. РГ29 всегда придерживалась в своих предыдущих мнениях, что согласие должно быть дано до обработки.[44] Хотя GDPR буквально не предписывает в Статье 4 (11), что согласие должно быть дано до обработки, это явно подразумевается. Заголовок Статьи 6 (1) и формулировка «дал согласие» в Статье 6 (1a) подтверждают это толкование. Из статьи 6 и преамбулы 40 логически следует, что перед началом обработки данных должно быть действительно правовое основание на это действие. Поэтому, согласие должно быть дано до начала обработки. В принципе, может быть достаточно один раз запросить согласие субъекта данных. Однако контролерам необходимо получить новое и конкретное согласие, если цели обработки данных изменились после получения согласия или если предусмотрена дополнительная цель.
91. Отчетливое согласие требуется в определенных ситуациях, например, когда возникает серьезный риск защиты данных, и, следовательно, когда высокий уровень индивидуального контроля над личными данными считается целесообразным. В рамках GDPR отчетливое согласие упоминается в статье 9 об обработке специальных категорий данных, в положениях о передаче данных третьим странам или международным организациям при отсутствии адекватных гарантий в статье 49 [45] и в статье 22 об автоматизированном индивидуальном решении, в том числе профилирование.[46]
[45] В соответствии со статьей 49 (1a) GDPR, явное согласие может снять запрет на передачу данных в страны без надлежащего уровня закона о защите данных. Также обратите внимание на рабочий документ по общему толкованию статьи 26 (1) Директивы 95/46 / ЕС от 24 октября 1995 г. (РГ 114), стр. 11, где РГ29 указала, что согласие на передачу данных, которое происходит периодически или на постоянной основе, является неуместным.
[46] В статье 22 GDPR предусматривается положения для защиты субъектов данных от принятия решений, основанных исключительно на автоматизированной обработке, включая профилирование. Решения, принятые на этой основе, допускаются при определенных правовых условиях. Согласие играет ключевую роль в этом механизме защиты, поскольку в статье 22 (2c) GDPR четко указывается, что контролер может приступить к автоматизированному принятию решений, включая профилирование, которые могут оказать существенное влияние на личность, с отчетливого согласия субъекта данных. РГ29 разработал отдельные руководящие принципы по этому вопросу: РГ29 Руководящие указания по автоматизированному принятию решений и профилированию для целей Регламента 2016/679 от 3 октября 2017 года (РГ 251).
92. GDPR предписывает, что «заявление или четкое утвердительное действие» является предварительным условием для обычного согласия. Поскольку «требование об обычном согласии в GDPR уже повышено до более высокого стандарта по сравнению с требованием о согласии в Директиве 95/46 / EC, необходимо уточнить, какие дополнительные усилия должен предпринять контролер для получения отчетливого согласия субъект данных в соответствии с GDPR.
93. Термин «отчетливое» относится к способу выражения согласия субъектом данных. Это означает, что субъект данных должен дать явное заявление о согласии. Очевидный способ убедиться, что согласие является отчетливым, состоит в том, чтобы прямо подтвердить согласие в письменном заявлении. В соответствующих случаях контролер может убедиться, что письменное заявление подписано субъектом данных, чтобы устранить все возможные сомнения и потенциальное отсутствие доказательств в будущем.[47]
94. Однако такое подписанное заявление не является единственным способом получения отчетливого согласия, и также нельзя утверждать, что GDPR указывает, что при любых обстоятельствах, которые требуют отчетливого согласия, должны быть подписанные заявления в письменном виде. Например, в цифровом или интерактивном контексте субъект данных может предоставить требуемое заявление, заполнив электронную форму, отправив электронное письмо, загрузив отсканированный документ с подписью субъекта данных или используя электронную подпись. Теоретически, использование устных заявлений также может быть достаточно, чтобы получить действительное отчетливое согласие, однако контролеру будет трудно доказать, что все условия для действительного отчетливого согласия были выполнены при регистрации заявления.
95. Организация может также получить отчетливое согласие посредством телефонного разговора при условии, что информация о выборе является справедливой, понятной и ясной, и она запрашивает конкретное подтверждение от субъекта данных (например, нажатие кнопки или предоставление устного подтверждения).
96. [Пример 17] Контроллер данных может также получить явное согласие посетителя на своем веб-сайте, предложив на экране отчетливое согласие, которое содержит флажки “Да” и “Нет”, при условии, что в тексте четко указано согласие, например “Я, настоящим подтверждением, даю согласие на обработку моих данных”, а не, например, “Мне ясно, что мои данные будут обработаны”. Само собой разумеется, что должны быть выполнены условия для информированного согласия, а также другие условия для получения действительного согласия.
97. Пример [18] Клиника косметологической хирургии запрашивает у пациента отчетливое согласие на передачу его медицинской карты специалисту, у которого запрашивается мнение о состоянии пациента. Медицинская карта – это цифровой файл. Учитывая специфический характер соответствующей информации, клиника запрашивает электронную подпись субъекта данных для получения действительного отчетливого согласия и возможности продемонстрировать, что отчетливое согласие было получено.[48]
[48] Этот пример не затрагивает Регламент ЕС (ЕС) № 910/2014 Европейского Парламента и Совета от 23 июля 2014 года об электронной идентификации и удостоверительных сервисах для электронных трансакций на внутреннем рынке.
98. Двухэтапная проверка согласия также может быть способом проверки достоверности отчетливого согласия. Например, субъект данных получает электронное письмо с уведомлением о намерении контроллера обработать запись, содержащую медицинские данные. Контроллер объясняет в электронном письме, что он запрашивает согласие на использование определенной информации для конкретной цели. Если субъекты данных соглашаются на обработку этих данных, контролер запрашивает ответ по электронной почте, содержащий утверждение «Я согласен». После отправки ответа субъект данных получает ссылку для подтверждения, которую необходимо нажать, или SMS-сообщение с кодом подтверждения для подтверждения соглашения.
99. Статья 9 (2) не предусматривает «необходимое для исполнения договора» как исключение из общего запрета на обработку специальных категорий данных. Поэтому контролерам и государствам-членам, имеющим дело с этой ситуацией, следует изучить конкретные исключения в подпунктах (b) – (j) статьи 9 (2). Если ни одно из исключений (b) – (j) не применяется, получение отчетливого согласия в соответствии с условиями действительного согласия в GDPR остается единственным возможным законным исключением для обработки таких данных.
100. [Пример 19] Авиакомпания Holiday Airways предлагает услугу помощи пассажирам, которые не могут путешествовать без посторонней помощи, например, из-за инвалидности. Клиент заказывает рейс из Амстердама в Будапешт и запрашивает помощь в путешествии, чтобы иметь возможность сесть на самолет. Компания Holiday Airways требует, чтобы человек предоставил информацию о состоянии своего здоровья, чтобы иметь возможность организовать для него соответствующие услуги (следовательно, существует множество вариантов, например, инвалидная коляска у ворот прибытия или помощник, путешествующий с ним из А в B.) Holiday Airways просит отчетливое согласие на обработку данных о состоянии здоровья этого клиента с целью организации запрашиваемой помощи в поездках. -Данные, обработанные на основе согласия, должны быть необходимы для запрашиваемой услуги. Кроме того, рейсы в Будапешт остаются доступными и без помощи в путешествиях. Обратите внимание, что поскольку эти данные необходимы для предоставления запрошенной услуги, статья 7 (4) не применяется.
101. [Пример 20] Успешная компания специализируется на предоставлении индивидуальных лыжных и сноубордических очков и других видов индивидуальных очков для занятий спортом на открытом воздухе. Идея в том, что люди могут носить их без собственных очков. Компания получает заказы в центральном пункте и поставляет продукцию из одного места по всему ЕС.
102. Чтобы иметь возможность предоставлять свои индивидуальные продукты клиентам, у которых поставлен диагноз “близорукость”, этот контроллер запрашивает согласие на использование информации о состоянии глаз клиентов. Клиенты предоставляют необходимые данные о состоянии здоровья, такие как данные о рецептах, в режиме онлайн, когда они размещают свой заказ. Без этого невозможно предоставить запрошенные индивидуальные очки. Компания также предлагает серию защитных очков со стандартными коррекционными значениями. Клиенты, которые не хотят предоставлять данные о состоянии здоровья, могут выбрать стандартные варианты. Следовательно, требуется отчетливое согласие в соответствии со статьей 9, и согласие можно считать добровольным.
103. GDPR устанавливает требования к контролерам для принятия дополнительных мер для обеспечения того, чтобы они получали, поддерживали и могли продемонстрировать действительное согласие. В статье 7 GDPR изложены данные дополнительные условия для действительного согласия с конкретными положениями о ведении записей о согласии и праве с легкостью отозвать согласие. Статья 7 также применяется к согласию, указанному в других статьях GDPR, например, Статьи 8 и 9. Инструкции о дополнительном требовании для подтверждения действительного согласия и об отзыве согласия приведены ниже.
104. В статье 7(1) GDPR четко определяется обязательство контролера продемонстрировать согласие субъекта данных. Бремя доказывания будет лежать на контролере, в соответствии со статьей 7 (1).
105. Преамбула 42 гласит: “Если обработка осуществляется на основании согласия субъекта данных, контролёр должен быть в состоянии продемонстрировать, что субъект данных дал согласие на операцию по обработке.”
106. Контролеры вправе свободно разрабатывать методы для соблюдения этого положения таким образом, чтобы они соответствовали их каждодневной работе. В то же время, обязанность продемонстрировать, что действительное согласие было получено контроллером, сама по себе не должна приводить к чрезмерным объемам дополнительной обработки данных. Это означает, что у контроллеров должно быть достаточно данных, чтобы сослаться на обработку (чтобы показать, что согласие было получено), но они не должны собирать больше информации, чем необходимо.
107. Контролер должен доказать, что действительное согласие было получено от субъекта данных. GDPR не указывает, как именно это должно быть сделано. Тем не менее, контроллер должен быть в состоянии доказать, что субъект данных в определенном случае дал свое согласие. До тех пор, пока рассматриваемая деятельность по обработке данных длится, существует обязанность продемонстрировать согласие. После того, как обработка заканчивается, доказательство о наличии согласия больше не должно быть строго необходимо для соблюдения юридического обязательства или для установления, осуществления или защиты законных претензий, в соответствии со статьей 17 (3b) и (3e).
108. Например, контролер может вести учет полученных заявлений о согласии, чтобы он мог продемонстрировать, как и когда было получено согласие, и информация, предоставленная субъекту данных в то время, тоже должна быть наглядной. Контролер также должен иметь возможность продемонстрировать, что субъект данных был проинформирован, и рабочий процесс контроллера удовлетворял всем соответствующим критериям для получения действительного согласия. Суть этого обязательства в GDPR заключается в том, что контролеры должны нести ответственность за получение действительного согласия субъектов данных и за механизмов согласия, которые они создали. Например,если рассматривать получение согласия онлайн, контроллер может сохранять информацию о сеансе, в котором выражено согласие, вместе с документацией процесса согласования во время сеанса и копией информации, которая была представлена субъекту данных в то время. Недостаточно просто указать правильную конфигурацию соответствующего веб-сайта.
109. [Пример 21] Больница устанавливает программу научных исследований, которая называется «Проект X», для которой необходимы стоматологические записи существующих пациентов. Участников, а именно – пациентов, которые добровольно согласились быть в списке кандидатов и к которым можно было обратиться с данной целью, набирают с помощью телефонных звонков. Контролер запрашивает явное согласие субъектов данных на использование их зубной карты. Согласие получается во время телефонного звонка путем записи устного заявления субъекта данных, в котором субъект данных подтверждает, что он согласен на использование своих данных для целей Проекта X.
110. В GDPR нет конкретных временных рамок для продления срока действия согласия. Срок действия согласия зависит от содержания, объема первоначального согласия и требований субъекта данных. Если операции обработки изменяются: обычно или значительно, то первоначальное согласие больше не является действительным. В таком случае, необходимо получить новое согласие.
111. EDPB рекомендует, в качестве оптимальной практики, чтобы согласие обновлялось через соответствующие промежутки времени. Повторное предоставление всей информации помогает гарантировать, что субъект данных до сих пор хорошо информирован о том, как используются его данные и как он может осуществлять свои права.[49]
112. Отзыв согласия занимает особое место в GDPR. Положения и комментарии об отмене согласия в Регламенте можно рассматривать как кодификацию существующего толкования этого вопроса в Мнениях РГ 29.[50]
[50] PГ29 обсудила этот вопрос в своем Мнении о согласии (см. Мнение 15/2011 о понятии согласия (РГ 187), стр. 9, 13, 20, 27 и 32-33) и, в частности, в своем Мнении об использовании данных о местоположении. (см. Мнение 5/2005 об использовании данных о местоположении с целью предоставления дополнительных услуг (РГ 115), стр. 7).
113.Cтатья 7 (3) GDPR предусматривает, что контролер должен обеспечить возможность для субъекта данных отозвать свое согласие так же просто, как и дать его в любой момент времени. При этом в GDPR не говорится, что предоставление и отзыв согласия всегда должны осуществляться одним и тем же действием.
114. Однако, когда согласие получено с помощью электронных средств всего лишь одним щелчком мыши, свайпом или нажатием клавиши, субъекты данных должны на практике иметь возможность отозвать это согласие также легко. В тех случаях, когда согласие получается посредством использования интерфейса пользователя (например, через веб-сайт, приложение, учетную запись для входа в систему, интерфейс устройства IoT или по электронной почте), субъект данных, несомненно должен иметь возможность отозвать согласие через тот же электронный интерфейс, поскольку переключение на другой интерфейс по единственной причине – отзыва согласия – потребует чрезмерных усилий. Кроме того, субъект данных должен иметь возможность отозвать свое согласие без ущерба. Это означает, в частности, что контроллер должен сделать для субъекта данных отзыв согласия бесплатным или без снижения уровня обслуживания.[51]
[51] См. также Мнение РГ29 4/2010 о Европейском кодексе поведения FEDMA для использования персональных данных в прямом маркетинге (РГ 174) и Mнение об использовании данных о местонахождении с целью предоставления дополнительных услуг (РГ 115 )
115. [Пример 22] Музыкальный фестиваль продает билеты через онлайн-агента по продаже билетов. При каждой продаже билетов через Интернет запрашивается согласие на использование контактных данных в маркетинговых целях. Чтобы указать согласие для этой цели, клиенты могут выбрать «Нет» или «Да». Контроллер сообщает клиентам, что у них есть возможность отозвать согласие. Для этого они могут бесплатно связаться с колл-центром в рабочие дни с 8:00 до 17:00. Контролер в этом примере не соответствует статье 7 (3) GDPR. Так как для отзыва согласия в этом случае требуется телефонный звонок в рабочее время, а это более обременительно, чем один щелчок мыши необходимый для получения согласия через онлайн-продавца билетов, который открыт 24/7.
116. Требование легкого отзыва согласия описывается как необходимый аспект явного согласия в GDPR. Если право отзыва не соответствует требованиям GDPR, то механизм запроса согласия со стороны контролера соответственно тоже противоречит Регламенту. Как упомянуто в разделе 3.1 о необходимости соблюдения условия информированного согласия, контролер должен сообщить субъекту данных о праве отзыва согласия до его фактического предоставления в соответствии со статьей 7 (3) GDPR. Кроме того, для соблюдения принципа прозрачности контроллер должен информировать субъекта данных о том, как именно осуществлять свои права.[52]
[52] Преамбула 39 GDPR, которая ссылается на статьи 13 и 14, гласит, что “физические лица должны быть осведомлены о рисках, правилах, средствах защиты и правах в отношении обработки персональных данных и о том, как реализовать свои права в связи с такой обработкой.”
117. Как правило, в случае отзыва согласия все операции обработки данных, которые были основаны на согласии и проводились до его отзыва – и в соответствии с GDPR – остаются законными, однако после контроллер должен незамедлительно прекратить соответствующие действия по обработке. Если нет других правовых оснований, оправдывающих обработку данных (например, дальнейшее хранение) контроллер должен их удалить.[53]
118. Как упоминалось ранее в данном Руководстве, очень важно, чтобы контролеры оценивали цели, для которых данные фактически обрабатываются, и правовые основания, на которых они основаны, до сбора данных. Часто компании нуждаются в персональных данных для нескольких целей, и обработка производится на более чем одним законным основанием, например данные клиента могут быть основаны на контракте и согласии. Следовательно, отзыв согласия не означает, что контролер должен стереть данные, обрабатывающихся с целью, которая основана на исполнении контракта с субъектом данных. Поэтому с самого начала контролеры должны четко представлять себе, какая цель применима к каждому компоненту данных и на какое правовое основание они опираются.
119. Контролеры обязаны удалять данные, которые были обработаны на основе согласия, после того, как это согласие было отозвано, при условии, что нет другой цели, оправдывающей продолжение хранения.[54] Помимо этой ситуации, описанной в статье 17 (1) (b), субъект данных может запросить удаление других данных, касающихся его, которые обрабатываются на в связи с другим правовым основанием, например, на основании, упомянутом в статье 6 (1) (b).[55] Контролеры обязаны оценивать целесообразность продолжения обработки данных, даже при отсутствии запроса на удаление от субъекта данных.[56]
[54] В этом случае другая цель, оправдывающая обработку, должна иметь свое отдельное правовое основание. Это не означает, что контроллер может изменить согласие на другое правовое основание, см. раздел 6 ниже.
120. В тех случаях, когда субъект данных отзывает свое согласие и контроллер желает продолжить обработку персональных данных на ссылаясь на другое правовое основание, он не может молча переключиться с согласия (которое отозвано) на это другое правовое основание. Кроме того, любое изменение в правовом основании для обработки должно быть сообщено субъекту данных в соответствии с требованиями к информации в статьях 13 и 14 и в соответствии с общим принципом прозрачности.
121. Статья 6 закрепляет условия для законной обработки персональных данных и описывает шесть правовых оснований, на которые может опираться контролер. Применение одного из этих шести оснований должно быть установлено до обработки и в отношении конкретной цели.[57]
[57] В соответствии со статьями 13 (1) (c) и / или 14 (1) (c) контролер должен сообщить об этом субъекту данных.
122. Здесь важно отметить, что если контроллер ссылается на согласие для какой-либо части обработки, он должен быть готов учесть этот выбор и прекратить эту часть обработки, если физическое лицо отзывает свое согласие. Отправка сообщения о том, что данные будут обрабатываться на основе согласия, в то время как на самом деле используется какое-то другое правовое основание, была бы принципиально несправедливой по отношению к отдельным лицам.
123. Иными словами, контролер не может менять правовые основания. Например, не разрешается ретроспективно использовать легитимный интерес в качестве основания для обработки, когда возникли проблемы с действительностью согласия. В связи с требованием раскрыть правовое основание, на которое опирается контролер во время сбора персональных данных, контролеры должны были заблаговременно решить, какое правовое основание применимо.
124. По сравнению с действующей Директивой, GDPR создает дополнительный уровень защиты, где обрабатываются личные данные уязвимых физических лиц, особенно детей. Статья 8 вводит дополнительные обязательства по обеспечению повышенного уровня защиты данных детей в отношении услуг информационного общества. Причины усиленной защиты указаны в преамбуле 38: “[…] они могут быть менее осведомлены о рисках, последствиях, гарантиях и правах, связанных с обработкой персональных данных […]” Преамбула 38 также гласит: “Такая особая защита должна, в частности, применяться к использованию персональных данных детей в маркетинговых целях или для создания персональных (пользовательских) профилей и сбора персональных данных, связанных с детьми, в процессе использования ими услуги, ориентированные непосредственно на детей.” Слова «в частности» указывают на то, что конкретная защита не ограничивается маркетингом или профилированием, а включает более широкий «сбор персональных данных, связанных с детьми».
125. Статья 8 (1) гласит, что в тех случаях, когда согласие применяется в отношении предложения услуг информационного общества непосредственно ребенку, обработка персональных данных ребенка является законной, при условии, что ребенку не менее 16 лет. Если ребенок не достиг 16-летнего возраста, такая обработка является законной только в том случае, если согласие дано или разрешено лицом, несущим родительскую ответственность за ребенка.[58] Что касается предельного возраста действительного согласия, то GDPR обеспечивает гибкость – государства-члены могут по закону установить более низкий возраст, но этот возраст не может быть ниже 13 лет.
[58] Без ущерба для возможности, при котором законодательство государств-членов может отойти от возрастного ограничения, см. статью 8 (1).
126. Как указано в разделе 3.1, при информированном согласии информация должна быть понятна аудитории, к которой обращается контролер, уделяя особое внимание положению детей. Чтобы получить «информированное согласие» от ребенка, контролер должен объяснить на простом и понятном для детей языке, как он намеревается обрабатывать данные, которые собирает.[59] Если предполагается, что это согласие принадлежит родителю, то может потребоваться тот набор информации, который поможет взрослым принимать обоснованное решение.
[59] Преамбула 58 GDPR подтверждает это обязательство, заявляя, что, где это уместно, контролер должен убедиться, что предоставленная информация понятна для детей.
127. Из вышеизложенного ясно, что статья 8 применяется только при соблюдении следующих условий: – Обработка связана с предложением услуг информационного общества непосредственно ребенку. [60],[61] – Обработка основана на согласии.
[60] В соответствии со статьей 4 (25) GDPR услуга информационного общества означает услугу, определенную в пункте (b) статьи 1 (1) Директивы 2015/1535: «(b)«услуга» означает любые услуги информационного общества, а именно любые услуги, обычно оказываемые за вознаграждение, дистанционно, с помощью электронных средств связи и по индивидуальному запросу получателя услуг. В целях настоящего определения: (i) «дистанционно» означает, что услуга предоставляется в отсутствие сторон; (ii) «с помощью электронных средств связи» означает, что услуга подлежит отправлению в исходном виде и получению в месте назначения с помощью электронного оборудования для обработки (включая цифровое сжатие) и хранения данных и полностью передана, доставлена и получена с помощью телеграфа, радиосвязи, оптических или других электромагнитных средств связи; (iii) «по индивидуальному запросу получателя услуг» означает, что услуга предоставляется посредством передачи данных по индивидуальному запросу». Примерный перечень услуг, не подпадающих под перечень данного определения, указан в Приложении I к настоящей Директиве. См. также преамбулу 18 Директивы 2000/31.
[61] В соответствии со статьей 1 Конвенции ООН о правах ребенка, “[…] ребенком является каждое человеческое существо до достижения 18-летнего возраста, если по закону, применимому к данному ребенку, он не достигает совершеннолетия ранее.” См. ООН, резолюция 44/25 Генеральной Ассамблеи от 20 ноября 1989 года (Конвенция о правах ребенка).
128. Чтобы определить область применения термина «информационное общество» в GDPR, в статье 4 (25) GDPR дается ссылка на Директиву 2015/1535.
129. При оценке сферы применения этого определения, EDPB также ссылается на прецедентное право Европейского Суда.[62] Европейский суд постановил, что услуги информационного общества охватывают контракты и другие услуги, которые заключаются или передаются в режиме онлайн. Если услуга имеет два экономически независимых компонента, один из которых является онлайн-компонентом, таким как предложение и принятие предложения, в контексте заключения договора или информации, касающейся продуктов или услуг, включая маркетинговую деятельность, этот компонент определяется как услуга информационного общества, а другой компонент, представляющий собой реальную доставку или распределение товаров, не охватывается понятием услуги информационного общества. Предоставление услуги в режиме онлайн подпадает под действие термина «информационное общество» в статье 8 GDPR.
[62] См. решение Европейского суда от 2 декабря 2010 г., Дело C-108/09 (Ker-Optika), пункты 22 и 28. В отношении «комплексных услуг» EDPB также ссылается на дело C-434/15 (Asociacion Profesional Elite Taxi v Uber Systems Spain SL), пункт 40, в котором говорится, что услуга информационного общества, являющаяся неотъемлемой частью общей услуги, основной компонент которой не является услуга информационного общества (в данном случае транспортной услугой), не должна квалифицироваться как «услуга информационного общества»
130. Употребление формулировки «предлагается непосредственно ребенку» означает, что статья 8 предназначена для применения к некоторым, а не ко всем услугам информационного общества. В этом отношении, если поставщик услуг информационного общества дает понять потенциальным пользователям, что он предлагает свои услуги только лицам в возрасте 18 лет и старше, и это не идет в разрез с другими доказательствами (такими как содержание сайта или маркетинговые планы) тогда услуга не будет считаться «предложенной непосредственно ребенку», и статья 8 не будет применяться.
131. GDPR указывает, что “Государства-члены могут законодательно предусмотреть меньший возраст для указанных целей при условии, что такой возраст не ниже 13 лет.” Контролер должен знать об этих национальных законах, принимая во внимание аудиторию, на которую ориентированы его услуги. В частности, следует отметить, что контролер, предоставляющий трансграничную услугу, не всегда может полагаться на соблюдение только законодательства государства-члена, в котором он имеет свое юридическое лицо, но может нуждаться в соблюдении соответствующих национальных законов каждого государства-члена, в котором предлагает услуги информационного общества. Это зависит от того, решит ли государство-член использовать место регистрации контролера в качестве отправной точки в своем национальном законодательстве или место жительства субъекта данных. Прежде всего, государства-члены должны учитывать все возможные интересы ребенка при выборе. Рабочая группа призывает государства-члены искать согласованное решение по этому вопросу.
133. Если пользователи заявляют, что они старше возраста цифрового согласия, то контроллер может выполнить соответствующие проверки, чтобы убедиться, что это является правдой. Хотя необходимость предпринять разумные усилия для проверки возраста явно не указана в GDPR, это требуется косвенно, поскольку, если ребенок дает согласие, будучи еще недостаточно взрослым, чтобы предоставить действительное согласие от своего имени, это сделает обработку данных незаконной.
134. Если пользователь заявляет, что он / она не достиг возраста цифрового согласия, то контроллер может принять это заявление без дальнейших проверок, но ему необходимо будет получить разрешение родителей и убедиться, что лицо, предоставляющее такое согласие, является законным представителем (родители).
135. Проверка возраста не должна приводить к чрезмерной обработке данных. Механизм, выбранный для проверки возраста субъекта данных, должен включать оценку риска предлагаемой обработки. В некоторых ситуациях с низким риском может быть целесообразным потребовать от нового подписчика услуги указать год своего рождения или заполнить форму с указанием того, являются ли они несовершеннолетними.[63] Если возникают сомнения, контролер должен пересмотреть свои механизмы проверки возраста в конкретном случае и рассмотреть вопрос о необходимости альтернативных проверок.[64]
136. Что касается разрешения законных представителей (родителей), GDPR не указывает практические способы получения согласия родителя или установления того, что кто-то имеет право выполнять это действие.[65] Поэтому EDPB рекомендует принять пропорциональный подход в соответствии со статьей 8 (2) GDPR и статьей 5 (1) (c) GDPR (минимизация данных). Пропорциональный подход может заключаться в том, чтобы сосредоточиться на получении ограниченного объема информации, такой как контактные данные родителя или опекуна.
[65] РГ29 отмечает, что не всегда тот, у кого есть родительские права, является кровный родитель ребенка, и что иметь родительские права могут иные стороны, в число которых могут входить как юридические, так и физические лица.
137. Понять, что является разумным, как с точки зрения проверки того, что пользователь достаточно взрослый, чтобы предоставить свое согласие, так и с точки зрения проверки того, что лицо, дающее согласие от имени ребенка, является законным представителем, может зависеть от рисков, присущих обработке, а также доступных технологий. В случаях низкого риска может быть достаточным подтверждение родительских прав по электронной почте. И наоборот, в случаях высокого риска может быть целесообразным запросить дополнительные доказательства, чтобы контроллер мог проверить и сохранить информацию в соответствии со статьей 7 (1) GDPR.[66] Доверенные внешние службы проверки могут предлагать решения, которые сводят к минимуму количество персональных данных, которые контроллер должен обработать сам.
[66] Например, родителю или опекуну может быть предложено произвести платеж в размере 0,01 евро контроллеру посредством банковской транзакции, включая краткое подтверждение в строке описания транзакции, что владелец банковского счета является законным представителем Пользователя. Там, где это уместно, следует предусмотреть альтернативный метод проверки для предотвращения дискриминационного обращения с лицами, не имеющими банковского счета.
138. [Пример 23] Игровая онлайн-платформа хочет, чтобы несовершеннолетние клиенты подписывались на ее услуги только с согласия их родителей или опекунов. Контроллер выполняет следующие действия:
139. Шаг 1: попросите пользователя указать, не достигли ли они возраста 16 лет (или альтернативного возраста цифрового согласия). Если пользователь заявляет, что он не достиг возраста цифрового согласия:
140. Шаг 2: сервис информирует ребенка о том, что родитель или опекун должен дать согласие или разрешить обработку, прежде чем услуга будет оказана ребенку. Пользователю предлагается указать адрес электронной почты родителя или опекуна. Шаг 3: служба связывается с родителем или опекуном и получает их согласие по электронной почте для обработки и принимает подходящие меры, чтобы подтвердить, что у взрослого есть родительские права.
141. Шаг 4: в случае жалоб, платформа предпринимает дополнительные шаги для проверки возраста подписчика.
142. Если платформа удовлетворяет другим требованиям согласия, платформа может соответствовать дополнительным критериям Статьи 8 GDPR, выполнив следующие действия.
143. Пример демонстрирует, что контролер может поставить себя в положение, позволяющее доказать, что были предприняты разумные усилия для обеспечения получения действительного согласия в отношении услуг, предоставляемых ребенку. Статья 8(2), в частности, добавляет, что “В таких случаях контролёр, учитывая доступные технологические возможности, должен принять разумные усилия для того, чтобы удостовериться, что согласие было дано лицом, обладающим родительскими правами в отношении ребенка, или было дано с его одобрения.”
144. Именно контролер должен определить, какие меры подходят в конкретном случае. Как правило, контролеры должны избегать дополнительных проверок, которые сами по себе предполагают чрезмерный сбор персональных данных.
145. EDPB признает, что могут быть случаи, когда проверка сопряжена с некоторыми трудностями (например, когда дети, дающие свое собственное согласие, еще не установили “присутствие личности” (англ. identity footprint), или когда нелегко проверить наличие родительских прав). Это можно принять во внимание при принятии решения о том, какие разумные меры следует предпринимать, но ожидается, что контролеры также будут постоянно следить за своими процессами и доступными технологиями.
146. Что касается самостоятельности субъекта персональных данных давать согласие на обработку своих персональных данных и осуществлять полный контроль за их обработкой, то согласие законного представителя на обработку персональных данных детей может быть подтверждено, изменено или отозвано только до того момента, когда субъект персональных данных достигнет возраста цифрового согласия.
147. На практике это означает, что если ребенок не предпринимает каких-либо действий, согласие, данное законным представителем, ответственным за обработку персональных данных, предоставленных до достижения возраста цифрового согласия, останется действительным основанием для обработки.
148. После достижения возраста цифрового согласия ребенок будет иметь возможность отозвать согласие самостоятельно, в соответствии со статьей 7 (3). В соответствии с принципами справедливости и ответственности контролер должен проинформировать ребенка об этой возможности.[67]
[67] Кроме того, субъекты данных должны знать о праве быть забытым, как это предусмотрено в статье 17, которая особенно важна для согласия, полученного, когда субъект данных еще был ребенком, см. преамбулу 63.
149. Важно отметить, что в соответствии с преамбулой 38, согласие родителя или опекуна не требуется в контексте предупредительных или консультационных услуг, предлагаемых непосредственно ребенку. Например, предоставление услуг по защите детей, предлагаемых ребенку в Интернете посредством онлайн-чата, не требует предварительного разрешения родителей.
150. Наконец, GDPR гласит, что положения, касающиеся требований к родительскому разрешению в отношении несовершеннолетних, не должны препятствовать «общему договорному праву государств-членов, затрагивая нормы о действительности, заключения сделки или правовых последствиях сделки в отношении ребенка». Таким образом, требования к действительному согласию на использование данных о детях являются частью правовой базы, которая должна рассматриваться отдельно от национального договорного права. Таким образом, это Руководство не затрагивает вопрос о том, является ли законным для несовершеннолетнего заключение онлайн-контрактов. Оба правовых режима могут применяться одновременно, и сфера действия GDPR не включает гармонизацию национальных положений договорного права.
151. Определение целей научных исследований имеет существенные последствия для целого ряда действий по обработке данных, которые может выполнять контроллер. Термин «научные исследования» не определен в GDPR. Преамбула 159 гласит “(…) В рамках настоящего Регламента обработка персональных данных для целей научного исследования должна трактоваться расширительно. (…)”, однако EDPB считает, что понятие не может быть расширено за пределы его общего значения, и исходит из того, что “научные исследования” в этом контексте означают исследовательский проект, созданный в соответствии с соответствующими отраслевыми методологическими и этическими стандартами в соответствии с передовой практикой.
152. Когда согласие является правовым основанием для проведения исследований в соответствии с GDPR, это согласие на использование персональных данных следует отличать от других требований о согласии, которые служат этическим стандартом или процессуальным обязательством. Пример такого процессуального обязательства, когда обработка основана не на согласии, а на другом правовом основании, можно найти в Регламенте о клинических испытаниях (Clinical Trials Regulation). В контексте законодательства о защите данных, последняя форма согласия может рассматриваться как дополнительная гарантия.[68] В то же время GDPR не ограничивает применение статьи 6 только согласием в отношении обработки данных в исследовательских целях. Пока имеются соответствующие гарантии, такие как требования согласно статье 89 (1), и пока обработка является справедливой, законной, прозрачной и соответствует стандартам минимизации данных и индивидуальным правам, могут быть доступны и другие законные основания, таким как статья 6 (1) ( е) или (f).[69] Это также относится к специальным категориям данных в соответствии с исключением из статьи 9 (2) (j).[70]
[69] Статья 6 (1) (с) может также применяться к отдельным элементам операций по обработке, которые конкретно требуются по закону, например, для сбора достоверных и надежных данных в соответствии с протоколом, утвержденным государством-членом в соответствии с Регламентом о клинических испытаний.
[70] Специальное тестирование лекарственных средств может проводиться на основании законодательства ЕС или национального законодательства в соответствии со статьей 9 (2) (i).
153. Преамбула 33, как можно заметить, обеспечивает своеобразную гибкость в конкретизации и детализации согласия в контексте научного исследования. Преамбула 33 гласит: “Зачастую невозможно в полной мере определить цель обработки персональных данных, предназначенных для научных исследований в момент сбора данных. Поэтому субъектам данных должна предоставляться возможность дать своё согласие для отдельных сфер научных исследований, исходя из соответствия их целей признанным этическим стандартам научных исследований. Субъекты данных должны иметь возможность давать своё согласие только в отношении отдельных сфер исследований или части научно-исследовательских проектов в соответствии с поставленной целью.”
154. Во-первых, следует отметить, что преамбула 33 не нарушает обязательства в отношении требования конкретного согласия. Это означает, что научно-исследовательские проекты могут включать персональные данные только на основании согласия, если они имеют четко описанную цель. Для случаев, когда цели обработки данных в рамках проекта научных исследований не могут быть определены с самого начала, преамбула 33 допускает в качестве исключения, что цель может быть описана в более общих чертах.
155. Учитывая строгие условия, установленные статьей 9 GDPR в отношении обработки специальных категорий данных, EDPB отмечает, что, когда специальные категории данных обрабатываются на основе явного согласия, применение гибкого подхода преамбулы 33 будет подвергаться более строгой интерпретации и будет требовать высокой степени проверки.
156. В целом, GDPR нельзя толковать как документ, позволяющий контроллеру обойти ключевой принцип определения целей, для которых запрашивается согласие субъекта данных.
157. В тех случаях, когда цели исследования не могут быть полностью определены, контролер должен искать другие способы обеспечения наилучшего выполнения требований о согласии, например, чтобы субъекты данных могли дать согласие на исследовательскую цель в более общих чертах и на конкретные этапы исследовательского проекта, которые уже известны с самого начала. По мере продвижения исследований, согласие на последующие этапы в проекте может быть получено до начала следующего этапа. Тем не менее, такое согласие должно по-прежнему соответствовать применимым этическим стандартам для научных исследований.
158. Кроме того, контроллер может применять дополнительные меры безопасности в таких случаях. Например, в статье 89 (1) подчеркивается необходимость гарантий при обработке для целей научного или исторического исследования или в статистических целях. Эти цели: “подлежит соответствующим гарантиям, согласно настоящему Регламенту, в отношении прав и свобод субъекта данных.” В качестве возможных гарантий упоминаются минимизация данных, анонимизация и защита данных.[71] Анонимизация является предпочтительным решением, как только цель исследования может быть достигнута без обработки персональных данных. Как только цель исследования может быть достигнута без обработки персональных данных, предпочтительным решением является анонимизация.
[71] См., например, преамбулу 156. Обработка персональных данных в научных целях должна также соответствовать другим соответствующим законам, таким как клинические испытания, см. преамбулу 156, в котором упоминается Регламент (ЕС) № 536/2014 Европейского парламента и Совета от 16 апреля 2014 года о клинических испытаниях лекарственных средств, предназначенных для использования человеком. См. также Мнение РГ29 от 15/2011 о понятии согласия (РГ 187), стр.7: “Более того, получение согласия также не отменяет и никоим образом не уменьшает обязанности контролера соблюдать принципы обработки, закрепленные в GDPR, особенно в статье 6, по вопросам справедливости, необходимости и соразмерности, а также качества данных. Даже если обработка персональных данных основана на согласии субъекта, это приведет к незаконному сбору данных, если предоставление согласия не является необходимым по отношению к определенной цели обработки/ […] В принципе, согласие должно рассматриваться не как исключение из других принципов защиты данных, а как гарантия. Это прежде всего основание для законности, и оно не исключает применения других принципов.”
159. Прозрачность является дополнительной гарантией, когда обстоятельства исследования не позволяют получить конкретное согласие. Отсутствие конкретизации цели может быть компенсировано информацией о разработке цели, которая регулярно предоставляется контролерами в ходе выполнения исследовательского проекта, так что со временем согласие будет настолько конкретным, насколько это возможно. При этом субъект данных имеет, по крайней мере, базовое представление о состоянии исполнения, позволяющее ему оценить, следует ли использовать, например, право отозвать согласие в соответствии со статьей 7(3).[72]
[72] Другие меры прозрачности также могут иметь значение. Когда контролеры занимаются обработкой данных в научных целях, хотя полная информация не может быть предоставлена с самого начала, они могут назначить конкретное контактное лицо для субъектов данных для решения вопросов.
160. Кроме того, комплексный план исследований доступен для субъектов данных, чтобы они могли с ним ознакомиться, прежде чем дать согласие. Данная возможность может компенсировать отсутствие конкретизации цели.[73] В этом плане исследований должны быть указаны вопросы исследования и методы работы, изложенные как можно более четко. План исследований также может способствовать соблюдению Статьи 7(1), поскольку контролерам необходимо показать, какая информация была доступна субъектам данных на момент получения согласия, чтобы иметь возможность продемонстрировать, что согласие является действительным.
[73] Такую возможность можно найти в статье 14 (1) действующего Закона о персональных данных Финляндии (Henkilötietolaki, 523/1999).
161. Важно отметить, что, если согласие используется в качестве правового основания для обработки, у субъекта данных должна быть возможность отозвать это согласие. EDPB отмечает, что отзыв согласия может нанести ущерб видам научных исследований, которые требуют данных, которые могут быть связаны с определенными лицами, однако GDPR устанавливает, что согласие может быть отозвано, и контролеры должны действовать в соответствии с этим – нет никаких исключений из этого требования для научных исследований. Если контролер получает запрос на отзыв согласия, он, в принципе, должен немедленно удалить персональные данные, несмотря на то, что он хочет продолжать использовать эти данные для целей исследования.[74]
162. Если деятельность по обработке данных основана на согласии субъекта данных, это значительно повлияет на его права. Субъекты данных могут иметь право на переносимость данных (статья 20), если обработка основана на согласии. В то же время, право на возражение (статья 21) не применяется, когда обработка основана на согласии, хотя право отозвать согласие в любое время может обеспечить аналогичный результат.
164. Контролерам, которые в настоящее время обрабатывают данные на основании согласия в соответствии с законодательством о защите данных, не требуется автоматически обновлять все существующие отношения согласия с субъектами данных при подготовке к соответствию GDPR. Согласие, полученное до настоящего времени, остается в силе, поскольку оно соответствует условиям, изложенным в GDPR.
165. Важно, чтобы контролеры детально изучили текущие обработки и записи до 25 мая 2018 года, чтобы убедиться, что существующие соглашения соответствуют стандарту GDPR (см. преамбулу 171 GDPR [76]). На практике GDPR поднимает планку в отношении внедрения механизмов согласия и вводит несколько новых требований, которые требуют от контроллеров изменять механизмы согласия, а не всего лишь переписывать политику приватности.[77]
[76] Преамбула 171 GDPR гласит: “Директива 95/46/ЕС заменяется настоящим Регламентом. Обработка, уже осуществляемая на момент принятия настоящего Регламента, должна быть приведена в соответствии с Регламентом в течение двух лет после его вступления в силу. Если обработка основана на согласии в соответствии с Директивой 95/46/ЕС, субъекту данных необязательно давать свое согласие снова, если способ, которым было получено согласие, соответствует условиям настоящего Регламента, что позволяет контролёру продолжить указанную обработку после даты принятия настоящего Регламента. Решения Европейской Комиссии и разрешения надзорных органов, принятые на основе Директивы 95/46/ЕС, сохраняют свою силу до тех пор, пока они не будут изменены, заменены или отменены.”
[77] Как указано во введении, GDPR обеспечивает дальнейшее уточнение и конкретизацию требований для получения и демонстрации действительного согласия. Многие новые требования основаны на Мнении 15/2011 о понятии согласия.
166. Например, поскольку GDPR требует, чтобы контролер был в состоянии продемонстрировать, что было получено действительное согласие, все предполагаемые согласия, ссылки на которые не сохраняются, автоматически будут ниже стандарта согласия GDPR и должны будут быть обновлены. Точно так же, как GDPR требует “заявления или четкого активного действия”, все предполагаемые согласия, которые были основаны на “подразумеваемой форме” действий субъекта данных (например, предварительно отмеченный флажок согласия), также не будут соответствовать стандарту согласия GDPR.
167. Кроме того , чтобы иметь возможность продемонстрировать, что согласие было получено, или обеспечить более детальную информацию о пожеланиях субъекта данных, операциям и ИТ-системам может потребоваться пересмотр. Кроме того, должны быть доступны механизмы, позволяющие субъектам данных легко отозвать свое согласие и предоставить информацию о том, как отозвать согласие. Если существующие процедуры получения и управления согласием не соответствуют стандартам GDPR, контролерам потребуется получить новое согласие в соответствии с GDPR.
168. С другой стороны, поскольку не все элементы, названные в статьях 13 и 14, должны всегда присутствовать в качестве условия для информированного согласия, расширенные информационные обязательства в рамках GDPR не всегда противоречат преемственности согласия, которое было предоставлено до вступления в силу GDPR. (см. стр. 15 выше). В соответствии с Директивой 95/46/EC отсутствовало требования информировать субъектов данных об основании, на котором проводилась обработка.
169. Если контролер обнаружит, что согласие, ранее полученное в соответствии со старым законодательством, не будет соответствовать стандарту согласия GDPR, тогда контролеры должны предпринять действия для соблюдения этих стандартов, например, путем обновления согласия в соответствии с GDPR. В рамках GDPR невозможно переключаться с одного правового основания на другой. Если контролер не может обновить согласие соответствующим образом, а также не может – в качестве разовой ситуации – привести свою деятельность в соответствии с GDPR, основывая обработку данных на другом законном основании, и при этом обеспечивая непрерывную и справедливую обработку, операции все равно должны быть остановлены. В любом случае контролеру необходимо соблюдать принципы законной, справедливой и прозрачной обработки.
