Sutikimas pagal Bendrąjį duomenų apsaugos reglamentą (BDAR) – tai laisva valia duotas, konkretus, informuotas ir nedviprasmiškas duomenų subjekto valios išreiškimas, kuriuo jis pareiškimu arba aiškiu veiksmu sutinka, kad būtų tvarkomi jo asmens duomenys (BDAR 4 str. 11 p.). Kad sutikimas būtų galiojantis, turi būti tenkinamos visos keturios sąlygos, o valdytojas privalo gebėti įrodyti, kad subjektas sutiko (7 str. 1 d.). Sutikimas yra tik vienas iš šešių teisinių tvarkymo pagrindų (6 str.) – jo tinkamumas priklauso nuo konkretaus tvarkymo ir tikros pasirinkimo laisvės. Tarp 6 straipsnio pagrindų nėra bendros hierarchijos, o papildomos taisyklės gali būtent reikalauti sutikimo.
Praktikoje daugiausiai klaidų kyla dėl iš anksto pažymėtų langelių, susieto sutikimo ir neaiškių formuluočių. Šiame straipsnyje pateikiu keturias galiojimo sąlygas, teisingų ir neteisingų formuluočių pavyzdžius bei atšaukimo taisykles.
Keturios sutikimo galiojimo sąlygos
- Laisva valia. Subjektas turi turėti realų pasirinkimą. Sutikimas nelaikomas laisvu, jei jis susietas su paslaugos teikimu, nors nėra būtinas jai teikti (7 str. 4 d.), arba jei tarp šalių yra aiškus disbalansas (pavyzdžiui, darbdavys–darbuotojas).
- Konkretumas. Sutikimas duodamas konkrečiam tikslui. Vienas bendras sutikimas keliems skirtingiems tikslams negalioja – kiekvienam tikslui reikia atskiro sutikimo (BDAR 32 konstatuojamoji dalis).
- Informuotumas. Prieš duodamas sutikimą subjektas turi žinoti valdytojo tapatybę, tvarkymo tikslus, duomenų rūšis ir teisę atšaukti sutikimą.
- Nedviprasmiškumas. Sutikimas išreiškiamas aiškiu patvirtinamuoju veiksmu. Tyla, iš anksto pažymėti langeliai ar neveikimas nėra sutikimas (BDAR 32 konstatuojamoji dalis).
Kai specialių kategorijų duomenų tvarkymas grindžiamas BDAR 9 str. 2 d. a punktu, reikalingas aiškus (explicit) sutikimas. Kiti 9 str. 2 d. atvejai numato atskiras sąlygas, todėl sutikimas nėra privalomas kiekvienam sveikatos duomenų naudojimui. Praktinę teisėto naudojimo ir gavėjų ribą padeda nustatyti sveikatos duomenų prieigos matrica.
Sutikimas turi būti atskirtas
7 straipsnio 2 dalis reikalauja, kad prašymas duoti sutikimą būtų aiškiai atskirtas nuo kitų klausimų, pateiktas suprantama ir aiškia kalba. Sutikimas, „paslėptas" bendrose paslaugų teikimo sąlygose, negalioja. Todėl privatumo politikoje sutikimas paprastai neprašomas – ji tik informuoja; sutikimas renkamas atskiru veiksmu.
Teisingų ir neteisingų formuluočių pavyzdžiai
Neteisinga (iš anksto pažymėtas, susietas, neaiškus):
☑ Sutinku su privatumo politika ir sutinku gauti rinkodaros pranešimus bei kad mano duomenys būtų perduoti partneriams.
Ši formuluotė netinka, nes: langelis pažymėtas iš anksto, sujungti keli tikslai (politika, rinkodara, perdavimas), o partneriai neįvardyti.
Teisinga (atskira, konkreti, aktyvus veiksmas):
☐ Sutinku gauti [Įmonės pavadinimas] naujienlaiškį el. paštu apie produktus ir akcijas. Sutikimą galiu bet kada atšaukti paspaudęs nuorodą laiške arba parašęs adresu privatumas@imone.lt.
Kitas teisingas pavyzdys – atskiras sutikimas slapukams:
☐ Statistikos slapukai (padeda suprasti, kaip naudojatės svetaine) ☐ Rinkodaros slapukai (rodo jums pritaikytą reklamą). Būtinieji slapukai veikia visada. Pasirinkimą galite keisti bet kada.
Rinkodaros sutikimą svarbu susieti su saugojimo ribojimu: duomenys tvarkomi iki sutikimo atšaukimo, o atšaukus – ištrinami, jei nėra kito pagrindo. Verta atsiminti, kad sutikimu grįstas automatizuotas tvarkymas patenka ir į teisės į duomenų perkeliamumą apimtį.
Sutikimo atšaukimas
7 straipsnio 3 dalis nustato, kad subjektas turi teisę bet kada atšaukti sutikimą, ir tai turi būti taip pat lengva, kaip ir jį duoti. Atšaukimas negalioja atgaline data – iki jo atliktas tvarkymas lieka teisėtas. Prieš duodamas sutikimą subjektas turi būti informuotas apie atšaukimo teisę. Praktiškai tai reiškia, kad naujienlaiškyje turi būti atsisakymo nuoroda, o slapukų nustatymus turi būti galima pakeisti taip pat lengvai, kaip ir juos priimti.
Kaip užregistruoti pasirinkimą ir įgyvendinti jo atšaukimą skirtinguose kanaluose, parodo opt-in ir opt-out pasirinkimų modelis.
Kada nesirinkti sutikimo
Sutikimas nėra „numatytasis“ pagrindas kiekvienam veiksmui. Darbo užmokesčio mokėjimui ar įstatymo reikalaujamam pranešimui pasirinkite tikrą sutartinę ar teisinę būtinybę, nes žmogus negali laisvai sustabdyti tokios prievolės atšaukdamas tariamą sutikimą. Kitai operacijai gali tikti teisėtas interesas, patvirtintas pusiausvyros testu, tačiau jis neturi bendros pirmenybės ir nepakeičia papildomų sutikimo reikalavimų. Atšaukus sutikimą negalima atgaline data pervadinti to paties tvarkymo pagrindo.
VDAI ir sutikimo kontekstas
Sutikimo galiojimas glaudžiai susijęs su skaidrumu ir atskaitomybe. 2024 m. VDAI 2 385 276 eurų byloje prieš UAB „Vinted" konstatavo, be kita ko, skaidrumo ir teisėtumo principų (BDAR 5 str. 1 d. a p.) bei atskaitomybės (5 str. 2 d.) pažeidimus. Nors byla tiesiogiai nesusijusi tik su sutikimu, ji rodo bendrą principą: valdytojas turi ne tik surinkti teisinį pagrindą, bet ir gebėti jį įrodyti. Sutikimo atveju tai reiškia saugoti įrašą, kada, kaip ir dėl ko subjektas sutiko. Asociacijoje narių duomenų valdymo modelis padeda atskirti narystės administravimą nuo pasirenkamo viešinimo ar rinkodaros, kad vienas įstojimo parašas netaptų tariamu sutikimu visiems tikslams.
Dažnos klaidos
- Iš anksto pažymėti langeliai. Sutikimas turi būti aktyvus veiksmas; pažymėtas langelis negalioja.
- Susietas sutikimas. Vienas langelis keliems tikslams (politika + rinkodara + perdavimas) neatitinka konkretumo reikalavimo.
- Tariamas sutikimas privalomam tvarkymui. Sutartinėms ar teisinėms prievolėms remkitės atitinkamu 6 str. pagrindu, ne sutikimu.
- Įrodymo nesaugojimas. Reikia dokumentuoti, kada ir kaip gautas sutikimas (7 str. 1 d.).
Sutikimas slapukams ir vaiko sutikimas
Dažniausias sutikimo taikymo atvejis praktikoje – slapukai ir tiesioginė rinkodara. Neprivalomiems slapukams (statistikos, rinkodaros) reikia išankstinio sutikimo prieš juos įrašant; būtinieji slapukai, be kurių svetainė neveiktų, sutikimo nereikalauja. Slapukų juosta turi leisti taip pat lengvai atsisakyti, kaip ir sutikti – „Priimti visus" mygtukas be lygiaverčio „Atmesti visus" neatitinka laisvos valios reikalavimo. Tiesioginėje el. rinkodaroje sutikimas paprastai renkamas atskiru langeliu, o kiekviename laiške turi būti aiški atsisakymo nuoroda.
Lietuvoje svarbi ir vaiko sutikimo taisyklė. BDAR 8 straipsnis leidžia valstybėms narėms nustatyti amžiaus ribą tarp 13 ir 16 metų, kada vaikas gali pats duoti sutikimą informacinės visuomenės paslaugoms. Asmens duomenų teisinės apsaugos įstatymas šią ribą Lietuvoje nustato ties 14 metų: jaunesniam vaikui sutikimą turi duoti arba patvirtinti tėvų pareigų turėtojas. Tai aktualu tiesiogiai vaikui siūlomoms informacinės visuomenės paslaugoms, kai remiamasi sutikimu. Šio amžiaus testo nereikia automatiškai perkelti į vaikų nuotraukų viešinimą mokykloje: ten atskirai vertinamas atstovavimas, paskirtis ir publikavimo kanalas.
Praktinis patarimas – atskirti sutikimo rinkimą nuo paslaugos teikimo taip, kad atsisakymas nekliudytų naudotis pagrindine paslauga. Jei prieiga prie turinio sąlygojama sutikimu tvarkyti duomenis rinkodaros tikslais, kurie nėra būtini paslaugai, toks sutikimas nelaikomas laisvu (7 str. 4 d.). Ši „susietumo" problema ypač aktuali svetainėse su slapukų sienomis.
Sutikimo dokumentavimas
7 straipsnio 1 dalis reikalauja gebėti įrodyti sutikimą, todėl kiekvieno sutikimo įrašas turėtų fiksuoti: kas sutiko, kada, dėl ko (konkretus tikslas ir formuluotė, kurią matė subjektas) ir kokiu būdu. Skaitmeninėje aplinkoje tai gali būti žurnalo įrašas su laiko žyma ir sutikimo formuluotės versija. Kai sutikimo formuluotė keičiama, seni sutikimai gali tapti nebegaliojantys – todėl versijas svarbu saugoti. Šis įrašas yra ir atskaitomybės dalis: be jo net teisingai gautas sutikimas neatlaiko patikros.
Dažnai užduodami klausimai
Ar iš anksto pažymėtas langelis yra galiojantis sutikimas?
Ne. Sutikimas turi būti išreikštas aiškiu patvirtinamuoju veiksmu. Iš anksto pažymėtas langelis, tyla ar neveikimas nelaikomi sutikimu (BDAR 32 konstatuojamoji dalis, ESTT praktika).
Ar galima vienu langeliu paprašyti sutikimo keliems tikslams?
Ne. Sutikimas turi būti konkretus kiekvienam tikslui. Skirtingiems tikslams (pavyzdžiui, naujienlaiškiui ir duomenų perdavimui partneriams) reikia atskirų sutikimų.
Ar sutikimą galima atšaukti?
Taip, bet kada, ir tai turi būti taip pat lengva, kaip ir jį duoti (7 str. 3 d.). Atšaukimas negalioja atgaline data – iki jo atliktas tvarkymas lieka teisėtas.
Kada geriau nesiremti sutikimu?
Kai žmogus neturi tikro pasirinkimo arba operacija vykdoma pagal konkrečią sutartinę ar teisinę būtinybę, įvertinkite atitinkamą pagrindą. Teisėtas interesas nėra automatiškai pirmesnis už sutikimą; papildomos elektroninių ryšių ar kitos taisyklės gali reikalauti sutikimo.
Ar galioja anksčiau, pagal ankstesnę tvarką, gautas sutikimas?
Tik jei jis atitinka BDAR reikalavimus – buvo laisvas, konkretus, informuotas ir nedviprasmiškas, ir tai galima įrodyti. Sutikimai, gauti iš anksto pažymėtais langeliais arba be aiškaus tikslo, negalioja ir turi būti renkami iš naujo. Todėl senus sutikimų rinkinius, sukauptus dar iki BDAR, verta peržiūrėti ir, jei reikia, atnaujinti.
Išvada
Galiojantis sutikimas turi būti laisvas, konkretus, informuotas ir nedviprasmiškas, o valdytojas – gebėti jį įrodyti. Vengti iš anksto pažymėtų langelių, susieto sutikimo ir neaiškių formuluočių; sutikimą atskirti nuo kitų sąlygų ir suteikti lengvą atšaukimo galimybę. Svarbiausia – prieš tvarkymą pasirinkti tam veiksmui tinkamą pagrindą, laikytis papildomų sutikimo reikalavimų, kai jie taikomi, ir kiekvieną sutikimą dokumentuoti. Teisingai suformuluotas sutikimas apsaugo tiek subjekto teisę pasirinkti, tiek organizaciją nuo pažeidimo.
Teisinė informacija: BDAR 7 straipsnis (EUR-Lex) · Asmens duomenų teisinės apsaugos įstatymas (e-seimas) · VDAI.