Više informacija u Smjernicama o privoli u skladu s Uredbom 2016/679
Privola je jedna od šest mogućih pravnih temelja za obradu osobnih podataka. Da bi obrada osobnih podataka na temelju privole bila zakonita, privola mora ispunjavati stroge uvjete propisane Općom uredbom o zaštiti podataka.
Prema Općoj uredbi o zaštiti podataka, privola ispitanika znači svako dobrovoljno, posebno, informirano i nedvosmisleno izražavanje želja ispitanika kojim on izjavom ili jasnom potvrdnom radnjom daje pristanak za obradu osobnih podataka koji se na njega odnose.
Drugim riječima, privola je valjana samo ako ispitanik stvarno zna na što pristaje, ako ima mogućnost slobodno odlučiti želi li dati privolu ili ne, ako privolu daje za točno određenu svrhu te ako je njegov pristanak izražen jasnom radnjom.
Kada se privola može koristiti?
Privola može biti odgovarajuća pravna osnova kada ispitanik ima stvaran izbor i nadzor nad svojim osobnim podacima. To znači da mora moći slobodno odlučiti hoće li dati privolu, odbiti je ili kasnije povući, bez negativnih posljedica.
Privola, međutim, nije uvijek prikladna pravna osnova. Ako se obrada osobnih podataka mora provoditi na temelju zakona, radi izvršenja ugovora, radi izvršavanja zadaće od javnog interesa ili javne ovlasti, privola najčešće neće biti odgovarajući temelj. Voditelj obrade mora za svaku svrhu obrade unaprijed utvrditi odgovarajuću pravnu osnovu i o tome jasno informirati ispitanika.
Privola se ne smije koristiti kao “rezervni” ili dodatni pravni temelj samo kako bi se obrada učinila prividno sigurnijom. Ako se određena obrada stvarno temelji na zakonskoj obvezi, ugovoru ili javnoj ovlasti, tada ispitaniku ne treba stvarati dojam da može slobodno odlučiti o obradi ako se istaionako mora provesti.
Uvjeti valjane privole
Da bi privola bila valjana, mora biti:
Dobrovoljna – ispitanik mora imati stvaran izbor. Privola neće biti dobrovoljna ako je davanje privole uvjet za korištenje usluge, iako ti podaci nisu nužni za pružanje te usluge, ili ako bi ispitanik zbog odbijanja ili povlačenja privole mogao trpjeti štetne posljedice.
Posebna – privola se mora odnositi na točno određenu svrhu obrade. Nije dovoljno zatražiti općenitu privolu za “obradu osobnih podataka”. Ako se osobni podaci obrađuju u više različitih svrha, privola se u pravilu mora zatražiti odvojeno za svaku svrhu.
Informirana – prije davanja privole ispitanik mora dobiti jasne, razumljive i lako dostupne informacije o obradi. Informacije ne smiju biti skrivene u dugim, složenim ili nejasnim tekstovima.
Nedvosmislena – privola mora biti dana jasnom potvrdnom radnjom. Šutnja, unaprijed označena kućica, neaktivnost, nastavak pregledavanja internetske stranice ili općenita suglasnost s uvjetima korištenja ne predstavljaju valjanu privolu.
Što znači informirana privola?
Kako bi privola bila informirana, ispitanika je potrebno prije davanja privole obavijestiti najmanje o:
- identitetu voditelja obrade;
- svrsi ili svrhama obrade za koje se traži privola;
- vrsti osobnih podataka koji će se prikupljati i obrađivati;
- pravu na povlačenje privole;
- načinu na koji se privola može povući;
- ako je primjenjivo, činjenici da će se podaci koristiti za automatizirano donošenje odluka, uključujući izradu profila;
- ako je primjenjivo, prijenosu osobnih podataka u treće zemlje ili međunarodne organizacije te mogućim rizicima takvog prijenosa ako ne postoji odluka Europske komisije o primjerenosti ili odgovarajuće zaštitne mjere.
Informacije moraju biti napisane jasnim i jednostavnim jezikom. Voditelj obrade mora voditi računa o tome kome se obraća. Ako se privola traži od djece, informacije moraju biti prilagođene njihovoj dobi i razini razumijevanja.
Primjer nevaljane privole
Mobilna aplikacija za uređivanje fotografija traži od korisnika uključivanje GPS lokacije kao uvjet za korištenje aplikacije. Aplikacija istodobno navodi da će podatke o lokaciji koristiti u promidžbene svrhe.
Ako geolokacija nije nužna za osnovnu uslugu uređivanja fotografija, a korisnik ne može koristiti aplikaciju bez pristanka na takvu obradu, privola nije dobrovoljna. Korisnik nema stvaran izbor jer je korištenje aplikacije uvjetovano davanjem privole za obradu koja nije nužna za pružanje osnovne usluge.
Povlačenje privole
Ispitanik ima pravo u svakom trenutku povući privolu. Povlačenje privole mora biti jednako jednostavno kao i njezino davanje.
Ako je privola dana klikom na internetskoj stranici ili u aplikaciji, ispitaniku u pravilu treba omogućiti da je povuče na jednako jednostavan način, primjerice kroz korisnički račun, postavke privatnosti, poveznicu za odjavu ili drugi jednostavan elektronički mehanizam.
Voditelj obrade mora ispitanika prije davanja privole jasno obavijestiti da privolu može povući u svakom trenutku. Povlačenje privole ne utječe na zakonitost obrade koja se temeljila na privoli prije njezina povlačenja. Međutim, nakon povlačenja privole voditelj obrade mora prestati s obradom koja se temeljila na toj privoli, osim ako postoji druga zakonita osnova za daljnju obradu.
Ako ne postoji druga zakonita osnova za daljnju pohranu ili obradu, osobne podatke koji su se obrađivali na temelju privole potrebno je izbrisati.
Voditelj obrade mora moći dokazati privolu
Kada se obrada temelji na privoli, teret dokazivanja je na voditelju obrade. Voditelj obrade mora moći dokazati da je ispitanik dao valjanu privolu, kada ju je dao, za koju svrhu, koje su mu informacije u tom trenutku bile dostupne te na koji način je privola dana.
To ne znači da se privole moraju čuvati neograničeno dugo. Podatke potrebne za dokazivanje privole treba čuvati onoliko dugo koliko je nužno za dokazivanje zakonitosti obrade, uz poštovanje načela smanjenja količine podataka i ograničenja pohrane.
Privola u radnim odnosima
U radnim odnosima privolu treba koristiti osobito oprezno. Zbog odnosa ovisnosti između poslodavca i radnika često postoji neravnoteža moći, zbog čega je upitno može li radnik doista slobodno dati ili odbiti privolu bez straha od negativnih posljedica.
Za većinu obrada osobnih podataka radnika privola neće biti odgovarajuća pravna osnova. Obrada osobnih podataka radnika najčešće se temelji na izvršenju ugovora o radu, ispunjavanju pravnih obveza poslodavca ili drugim odgovarajućim pravnim osnovama, ovisno o konkretnoj svrsi obrade.
Privola radnika može biti valjana samo iznimno, kada radnik ima stvaran i slobodan izbor te kada odbijanje ili povlačenje privole za njega nema nikakve štetne posljedice. Primjerice, privola bi mogla biti prikladna za neobveznu objavu fotografije radnika u internom glasilu ili na mrežnim stranicama poslodavca, ako radnik bez posljedica može odbiti takvu objavu.
S obzirom na ovisnost koja proizlazi iz odnosa poslodavac/zaposlenik, nije vjerojatno da ispitanik može uskratiti svojem poslodavcu privolu za obradu podataka bez straha ili stvarnog rizika od štetnih učinaka zbog odbijanja. Nije vjerojatno da bi zaposlenik mogao slobodno odgovoriti na zahtjev svojeg poslodavca za privolu te je malo vjerojatno da će privola biti dobrovoljna. Za većinu takve obrade podataka na radnom mjestu, zakonita osnova ne može i ne bi smjela biti privola zaposlenika (zbog prirode odnosa između poslodavca i zaposlenika) već se obrada osobnih podataka radnika prvenstveno temelji na ugovoru o radu koji radnik sklapa sa poslodavcem te na obvezu izvršavanja pravnih obveza voditelja obrade (poslodavca) propisanih posebnim propisima (Zakon o radu, Zakon o mirovinskom osiguranju, Zakon o zaštiti na radu, Pravilnik o sadržaju i načinu vođenja evidencije o radnicima i dr.)
Privola radnika može biti pravni temelj za obradu osobnih podataka koje poslodavac nije obvezan prikupljati i obrađivati sukladno posebnim propisima (primjerice: osobna fotografija radnika ili prikupljanje biometrijskih podataka kao što je otiskak prsta u svrhu evidentiranja radnog vremena).
Privola djece
Kada se privola traži u vezi s nuđenjem usluga informacijskog društva izravno djetetu, obrada osobnih podataka djeteta zakonita je ako dijete ima najmanje 16 godina. Ako je dijete mlađe od 16 godina, privolu mora dati ili odobriti nositelj roditeljske odgovornosti nad djetetom, u mjeri u kojoj je to potrebno prema Općoj uredbi o zaštiti podataka i nacionalnom zakonodavstvu. Za djecu s prebivalištem u Republici Hrvatskoj primjenjuje se dobna granica od 16 godina.
Na što voditelji obrade trebaju posebno paziti?
Voditelji obrade trebaju prije početka obrade procijeniti je li privola zaista odgovarajuća pravna osnova. Ako se odluče osloniti na privolu, moraju osigurati da je ona dobrovoljna, posebna, informirana i nedvosmislena, da se može jednostavno povući te da mogu dokazati da je valjano dana.
Nevaljana privola znači da obrada nema odgovarajuću pravnu osnovu, što može dovesti do nezakonite obrade osobnih podataka i povrede Opće uredbe o zaštiti podataka.
