Zgodę na przetwarzanie danych osobowych należy definitywnie odróżnić od Klauzuli informacyjnej o przetwarzaniu danych osobowych. Nagminne mylenie tych różnych przecież – nawet znaczeniowo – pojęć i wprowadzanie przez osoby zajmujące się ochroną danych osobowych bałaganu prawnego, przyczynia się do zastraszania RODO oraz drukowania tysięcy stron klauzul informacyjnych i ich podpisywania, a przecież RODO tego nie wymaga, stanowi natomiast w art. 12, że „Administrator podejmuje odpowiednie środki, aby w zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej formie, jasnym i prostym językiem – w szczególności gdy informacje są kierowane do dziecka – udzielić osobie, której dane dotyczą, wszelkich informacji. Informacji udziela się na piśmie lub w inny sposób, w tym w stosownych przypadkach – elektronicznie”.
Pomocne w rozróżnieniu Klauzuli informacyjnej od Zgody na przetwarzanie danych osobowych są również przepisy wprowadzające do RODO, tzw. motywy np. 61, 62 czy 63. Informacje o przetwarzaniu danych osobowych dotyczących osoby, której dane dotyczą, należy przekazać tej osobie w momencie zbierania danych, a jeżeli danych nie uzyskuje się od osoby, której dane dotyczą, lecz z innego źródła – w rozsądnym terminie, zależnie od okoliczności. Jeżeli dane osobowe można zgodnie z prawem ujawnić innemu odbiorcy, należy poinformować o tym osobę, której dane dotyczą, w momencie pierwszorazowego ujawnienia danych temu odbiorcy. Jeżeli administrator planuje przetwarzać dane osobowe w celu innym niż cel, w których dane osobowe zostały zebrane, powinien on przed takim dalszym przetwarzaniem poinformować osobę, której dane dotyczą, o tym innym celu oraz dostarczyć jej innych niezbędnych informacji. Jeżeli osobie, której dane dotyczą, nie można podać pochodzenia danych osobowych, ponieważ korzystano z różnych źródeł, informacje należy przedstawić w sposób ogólny (61).
Zgoda jest aktem woli każdego z nas, rodzajem oświadczenia, natomiast obowiązek informacyjny polega na skutecznym poinformowaniu obywatela o fakcie przetwarzania danych osobowych, np. na tablicy ogłoszeń i stronie internetowej. Wyrażenie zgody na przetwarzanie danych osobowych wynika z prawa swobody podejmowania decyzji. Możemy udzielać zgody na przetwarzanie danych osobowych bądź odmówić jej, a nasza wolę Administrator powinien respektować bez względu na motywację ideologiczna czy osobistą. Zgoda powinna dotyczyć wszystkich czynności przetwarzania dokonywanych w tym samym celu lub w tych samych celach. Jeżeli przetwarzanie służy różnym celom, potrzebna jest zgoda na wszystkie te cele.
Prawo rozróżnia zgodę świadomą od zgodny tzw. informacyjnej czy poinformowanej albo aprobującej. Doktryna prawa cywilnego traktuje zgodę, jako akt woli odnoszący się do przysługujących człowiekowi dóbr osobistych. Charakter zgody bywa interpretowany dwojako: jako uzewnętrznione oświadczenie woli albo oświadczenie woli sensu stricto, czyli działanie zmierzające do wywołania określonego skutku prawnego. Przepisy wprowadzające RODO w tzw. motywie 32. stanowią, że „Zgoda powinna być wyrażona w drodze jednoznacznej, potwierdzającej czynności, która wyraża odnoszące się do określonej sytuacji dobrowolne, świadome i jednoznaczne przyzwolenie osoby, których dane dotyczą, na przetwarzanie dotyczących jej danych osobowych i która ma na przykład formę pisemnego (w tym elektronicznego) lub ustnego oświadczenia. Może to polegać na zaznaczeniu okienka wyboru podczas przeglądania strony internetowej, na wyborze ustawień technicznych do korzystania z usług społeczeństwa informacyjnego lub też na innym oświadczeniu bądź zachowaniu, które w danym kontekście jasno wskazuje, że osoba, której dane dotyczą, zaakceptowała proponowane przetwarzanie jej danych osobowych”.
Świadoma zgoda na przetwarzanie danych osobowych uwarunkowana jest rzetelnym – a zarazem prostym i jasnym językiem – poinformowaniem dlatego RODO wyklucza w motywie 32. tzw. zgodę blankietową: „Milczenie, okienka domyślnie zaznaczone lub niepodjęcie działania nie powinny zatem oznaczać zgody”..
Klauzula informacyjna nie jest utożsamiana ze świadomą Zgodą na przetwarzanie danych osobowych, ponieważ ta pierwsza zakłada zdolność do podejmowania decyzji w oparciu o posiadane informacje, a Zgoda wywołuje skutki prawne wobec osoby, która jej udzieli i w takim zakresie w jakim to uczyni. Zgodnie z art. 74 k.c. zastrzeżenie formy pisemnej bez rygoru nieważności ma ten skutek, że w razie niezachowania zastrzeżonej formy nie jest w sporze dopuszczalny dowód ze świadków ani dowód z przesłuchania stron na fakt dokonania czynności. Oznacza to, że zgodę można wyrazić ustnie lub poprzez każde zachowanie nie budzące wątpliwości i jest ona prawem zarówno osoby dorosłej, jaki i małoletniego, który ukończył lat 16.
Dyrektywa RODO reguluje w art. 13 i 14 sytuację wycofania (odwołania) zgody, jednak z uwagi na dokonane już czynności przetwarzania „informacje o prawie do cofnięcia zgody w dowolnym momencie pozostaje bez wpływu na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej cofnięciem”.
Z uwagi na ogólne zasady prawa przyjąć należy, że wycofanie zgody, a więc zmiana decyzji, powinna przybrać tę samą formę, co zgoda czyli – co do zasady – powinna mieć formę pisemną lub być wyraźnie zakomunikowana w inny sposób. Podobnie rzecz ma się ze sprzeciwem, uregulowanym w art. 17 ust. 1 lit. C ora w art. 21 RODO. Powinno się wyrażać go w formie pisemnej, a jeżeli nie może tego zrobić w tej formie, wtedy sprzeciw powinien zostać wyrażony w formie dorozumianej: „1. Osoba, której dane dotyczą, ma prawo w dowolnym momencie wnieść sprzeciw – z przyczyn związanych z jej szczególną sytuacją – wobec przetwarzania dotyczących jej danych osobowych opartego na art. 6 ust. 1 lit. e) lub f), w tym profilowania na podstawie tych przepisów. Administratorowi nie wolno już przetwarzać tych danych osobowych, chyba że wykaże on istnienie ważnych prawnie uzasadnionych podstaw do przetwarzania, nadrzędnych wobec interesów, praw i wolności osoby, której dane dotyczą, lub podstaw do ustalenia, dochodzenia lub obrony roszczeń. 2. Jeżeli dane osobowe są przetwarzane na potrzeby marketingu bezpośredniego, osoba, której dane dotyczą, ma prawo w dowolnym momencie wnieść sprzeciw wobec przetwarzania dotyczących jej danych osobowych na potrzeby takiego marketingu, w tym profilowania, w zakresie, w jakim przetwarzanie jest związane z takim marketingiem bezpośrednim. 3. Jeżeli osoba, której dane dotyczą, wniesie sprzeciw wobec przetwarzania do celów marketingu bezpośredniego, danych osobowych nie wolno już przetwarzać do takich celów”.