Checkboxy zgody, które obronią się jako dowód

Art. 6 ust. 1 RODO wymienia sześć podstaw prawnych, a zgoda jest tylko jedną z nich. Która pasuje, zależy od tego, co robisz z danymi, a nie od samego formularza.

• Odpowiadanie na zapytanie. Osoba zapytała Cię o coś i oczekuje odpowiedzi. Zwykle obsługuje się to na podstawie art. 6 ust. 1 lit. b, czyli działań podjętych na żądanie osoby przed zawarciem umowy, lub lit. f, czyli prawnie uzasadnionego interesu. Checkbox zgody wnosi tu niewiele, a ma swoją cenę: zgodę można wycofać w każdej chwili (art. 7 ust. 3), po czym musiałbyś przestać przetwarzać dane na tej podstawie.
• E-mail marketingowy lub newsletter. Dopisanie kogoś do listy mailingowej wykracza poza to, o co ta osoba prosiła. To klasyczny przypadek dla osobnego, opcjonalnego checkboxa zgody. Marketing e-mailowy regulują też krajowe przepisy wdrażające dyrektywę o prywatności w łączności elektronicznej (ePrivacy), które w większości przypadków także wymagają uprzedniej zgody.
• Przechowywanie danych na później. Przechowywanie CV kandydata do wykorzystania przy przyszłych rekrutacjach albo przekazywanie danych partnerowi do jego własnych celów to odrębne cele. Każdy wymaga własnej podstawy, a często właśnie zgoda jest tą pasującą.
• Dane szczególnych kategorii. Dane o zdrowiu i inne kategorie z art. 9 wymagają, oprócz podstawy prawnej, jednego z warunków z art. 9 ust. 2; jednym z nich jest wyraźna zgoda.

Art. 4 pkt 11 definiuje zgodę jako dobrowolną, konkretną, świadomą i jednoznaczną. Art. 7 dodaje warunki. W kontekście formularzy oznacza to:

• Pole startuje jako niezaznaczone. Milczenie, wstępnie zaznaczone pola i bezczynność nie są zgodą (motyw 32).
• Jedno pole na każdy cel, oddzielone od akceptacji regulaminu (art. 7 ust. 2).
• Usługa nie zależy od zaznaczenia pola, gdy dane nie są do niej potrzebne (art. 7 ust. 4).
• Osoba może wycofać zgodę równie łatwo, jak ją wyraziła, i jest o tym poinformowana przed jej wyrażeniem (art. 7 ust. 3).
• Możesz wykazać, że osoba wyraziła zgodę i na jakie brzmienie (art. 7 ust. 1).

Europejska Rada Ochrony Danych omawia każdy z warunków szczegółowo, z przykładami, w Wytycznych 05/2020 dotyczących zgody.

Dobra treść zgody mówi, kto jest administratorem, do czego dokładnie służy zgoda i jak ją wycofać. Brzmi jak zdanie, na które człowiek mógłby się zgodzić, a nie jak klauzula prawnicza. Na przykład:

Wysyłaj mi miesięczny newsletter studia Acme Studio o nowych kursach. Mogę zrezygnować w dowolnym momencie, korzystając z linku w każdej wiadomości. Przeczytaj politykę prywatności.

Sformułowania, których lepiej unikać: „Zgadzam się na regulamin i politykę prywatności” (zgody połączone w jedną i brak konkretnego celu), „Wyrażam zgodę na przetwarzanie moich danych” (jakie przetwarzanie i w jakim celu?) albo cokolwiek, co uzależnia wysłanie zapytania od zapisu na listę mailingową.

Każdy formularz ma ustawienie zgody RODO w swoich ustawieniach prywatności, dostępne w każdym planie, również w planie Free. Włączasz zbieranie zgód, wpisujesz treść zgody (do 2000 znaków) i wybierasz, czy zgoda jest wymagana.

• Formularze hostowane automatycznie pokazują pole wyboru, niezaznaczone, z Twoją treścią obok.
• Wymagana zgoda. Gdy zgoda jest wymagana, zgłoszenie bez zaznaczonego pola zostaje odrzucone z kodem 422 consent_required, zanim zostanie zapisane lub policzone w limicie Twojego planu.
• Dowód. Gdy osoba zaznaczy pole, Formward zapisuje obok zgłoszenia treść zgody skonfigurowaną w formularzu oraz czas jego wysłania. Oba elementy widać w widoku zgłoszenia. Treść jest zapisem migawkowym: jeśli zmienisz jej brzmienie później, wcześniejsze zgłoszenia zachowają treść, którą zobaczyli nadawcy.
• Zgoda opcjonalna. Jeśli zgoda nie jest wymagana, a pole pozostanie niezaznaczone, zgłoszenie zostaje przyjęte i nie jest dla niego zapisywana żadna zgoda.

Formward rejestruje zgody, ale nie zarządza za Ciebie ich wycofywaniem. Jeśli ktoś wycofa zgodę, zakończ przetwarzanie, które na niej polegało (w przypadku newslettera wypisz go w swoim narzędziu mailingowym), a jeśli o to poprosi, usuń jego zgłoszenia.

W formularzu hostowanym samodzielnie dodaj pole wyboru o nazwie _consent. Formward traktuje wartości on, true, 1 i yes jako udzieloną zgodę. Przeglądarka wysyła on dla zaznaczonego pola i nic dla niezaznaczonego.

Copy<form action="https://forms.formward.eu/f/<FORM_ID>" method="POST">
  <label>Email <input type="email" name="email" required /></label>
  <label>Message <textarea name="message" required></textarea></label>

  <!-- Optional and unticked. Same wording as the form's consent text. -->
  <label>
    <input type="checkbox" name="_consent" />
    Email me Acme Studio's monthly newsletter about new courses.
    I can unsubscribe at any time with the link in every email.
  </label>

  <input type="text" name="_gotcha" style="display:none" tabindex="-1" autocomplete="off" />
  <button type="submit">Send</button>
</form>

Etykieta musi być identyczna z treścią zgody w ustawieniach formularza. Formward zapisuje skonfigurowaną treść, nigdy tekstu przesłanego przez przeglądarkę, więc obie wersje muszą się zgadzać, aby zapis opisywał to, co osoba faktycznie widziała. Sama wartość _consent nie jest zapisywana razem z odpowiedziami.