Je subjekt údajů povinen udělit správci souhlas se zpracováním?

Subjekt údajů není povinen udělit správci souhlas se zpracováním svých osobních údajů.
Úřad pro ochranu osobních údajů upozornil v souvislosti s právním rámcem ochrany osobních údajů (GDPR), že udělit souhlas se zpracováním osobních údajů je pouze možnost, nikoli povinnost.

Časté dotazy, adresované Úřadu ohledně změn v některých tradičních institutech ochrany osobních údajů, se týkají situací, kdy je lidem při sjednávání služeb a podepisování smluv předkládána k podpisu papírová dokumentace, jejíž součástí je vynucován souhlas se zpracováním osobních údajů.

Obecné nařízení ve svém čl. 7 podrobně stanovuje pravidla pro získání, udělení a využití souhlasu, zejména:

srozumitelnost – vyjádření souhlasu musí být srozumitelné a od ostatních závazků a jiných skutečností odlišitelné,
dobrovolnost – každý poskytuje svůj souhlas dobrovolně a každý může svůj souhlas odvolat.

Právní úprava souhlasu tedy vylučuje praxi, kdy mnoho správců souhlas automaticky zahrnuje do smluvního ujednání, od kterého se fyzická osoba nemůže odchýlit. Souhlas se zpracováním osobních údajů nemůže být považován za nezbytnou podmínku ani za právní titul pro zpracování osobních údajů v rámci poskytování služby či koupě zboží. Souhlas lze tedy využít pouze pro jiná, další zpracování, nad rámec poskytování služby či koupě zboží.

Z pohledu obecného nařízení bude platný jen takový souhlas, který byl shromážděn transparentním způsobem, a dotčená osoba jej udělila svobodně. Za neplatný je nutno naopak považovat každý souhlas, kdy byl zákazník při získání služby či výrobku nucen zároveň souhlasit se zpracováním osobních údajů (např. souhlasem zakomponovaným v obchodních podmínkách).

Pokud správci osobních údajů sbírají nové souhlasy ke zpracování osobních údajů, musí sběr provádět korektně a transparentně a sběr odůvodnit konkrétním účelem, pro který chtějí údaje zpracovat. V žádném případě nelze vyžadovat souhlas, coby nezbytnou podmínku pro další poskytování služby („pro potřeby smluvních partnerů“, udělení souhlasu „vyžaduje nová legislativa dle GDPR“). Stejně tak není možné vzbuzovat v subjektech údajů pocit, že souhlas musí udělit, resp. že jej musí dát někdy v budoucnu.

Úřad doporučuje každému, kdo je požádán o udělení souhlasu a o podpis příslušné listiny, aby se pečlivě seznámil s konkrétním účelem, pro který má souhlas poskytnout. Při sjednávání služby a podpisu listin pak v žádném případě není nutno se o udělení či odmítnutí souhlasu rozhodnout ihned, neboť se nejedná o formalitu nezbytnou k poskytnutí vlastní služby či plnění smlouvy.

Je potřeba si uvědomit, že udělení souhlasu je pouze jeden z právních titulů, které můžete použít a to pouze v případech, kdy jste vyčerpali všechny možnosti a nemůžeme zpracování tzv. "napasovat" na některý ze základních právních titulů. Proto využívejte tento titul pouze výjimečně a hlavně jej ničím nepodmiňujte. Je to dobrovolný akt subjektu údajů a lze jej kdykoli odvolat.