Kto powołuje się na zgodę, musi ją wykazać
RODO odwraca ciężar dowodu: to nie osoba musi wykazać, że nigdy się nie zgodziła. To administrator musi wykazać, że zgoda padła – i to lata później oraz w konkretnym przypadku.
Art. 7 ust. 1 RODO to krótkie zdanie o dużych skutkach: jeśli przetwarzanie opiera się na zgodzie, administrator musi być w stanie wykazać, że została udzielona. Bez tego wykazania przetwarzanie zostaje bez podstawy – tak jakby zgody nigdy nie było.
Co zawiera wiarygodny protokół
- MomentData i godzina decyzji, w możliwej do prześledzenia strefie czasowej.
- Treść decyzjiKtóre cele przyjęto, a które odrzucono – pojedynczo, nie jako wynik zbiorczy.
- PrzypisanieIdentyfikator pozwalający odnaleźć decyzję później – bez adresu IP w jawnej postaci.
- Wersja, którą pokazanoTeksty, lista celów i wygląd z tamtego czasu – albo numer wersji, za którym stoi niezmieniony stan.
Dlaczego przeglądarka nie wystarcza jako miejsce zapisu
Wiele wdrożeń zapisuje decyzję wyłącznie na urządzeniu osoby, której dane dotyczą. Do wyświetlenia banera to wystarcza – do wykazania nie, i to z trzech powodów.
Wpis leży poza zasięgiem administratora: przy skardze nie da się go przedłożyć. Można go w każdej chwili zmienić, także przypadkiem, i nie ma żadnej ochrony przed modyfikacją. A znika przy czyszczeniu danych przeglądarki, podczas gdy oparte na nim przetwarzanie trwa dalej.
Jak długo przechowywać
Rozporządzenie nie podaje sztywnego terminu. Miernik wynika z celu: dowód jest potrzebny tak długo, jak trwa przetwarzanie, a ponadto tak długo, jak dopuszczalne jest wywodzenie z niego roszczeń.
W praktyce sprowadza się to do czasu trwania zgody plus okresu przedawnienia. Po cofnięciu zgody przetwarzanie się kończy – dowód wcześniejszej zgody pozostaje jednak konieczny, bo wykazuje, że dotychczasowe przetwarzanie było zgodne z prawem.
Dwa protokoły przed tym samym organem
Dowód musi wykazać pojedynczy przypadek. Wypowiedź o konfiguracji systemu jest wypowiedzią o systemie, nie o tej jednej zgodzie.