Cofnięcie zgody musi być równie łatwe jak jej udzielenie
Art. 7 ust. 3 RODO zawiera zdanie łamane w praktyce niemal wszędzie: cofnięcie musi być równie łatwe jak udzielenie. Dwa kliknięcia tam, siedem z powrotem – to nie spełnia wymogu.
Cofnięcie nie jest przypadkiem szczególnym, lecz drugą połową zgody. Bez niego akceptacja byłaby decyzją jednorazową i ostateczną – a więc czymś innym niż to, co rozporządzenie rozumie przez zgodę.
Co musi uruchomić cofnięcie zgody
- Przetwarzanie się kończyOd tej chwili, na przyszłość. Co wcześniej działo się zgodnie z prawem, takie pozostaje – cofnięcie nie działa wstecz.
- Magazyny zostają opróżnioneCookies, local storage, IndexedDB – wszystko, co opierało się na cofniętej zgodzie, nie tylko pliki cookie.
- Odbiorcy zostają powiadomieniJeśli dane przekazano dalej, cofnięcie musi tam dotrzeć. Przy Consent Mode dzieje się to przez sygnały.
- Cofnięcie zostaje zaprotokołowaneZ momentem – jako dowód, od kiedy przetwarzanie ustało. Dowód wcześniejszej zgody pozostaje obok.
Miernik dla „równie łatwo”
Zgoda padła przez baner, który sam wysunął się na pierwszy plan i dał się załatwić jednym kliknięciem. Cofnięcie musi być możliwe porównywalną drogą: dostępne z każdej strony, bez logowania, bez formularza, bez e-maila na adres, którego trzeba najpierw szukać.
W praktyce oznacza to trwale widoczne wejście – zwykle mały przycisk przy krawędzi ekranu albo pozycję w stopce otwierającą ponownie ten sam wybór.
Dwie drogi powrotne
Czego cofnięcie nie powoduje
- Nie działa wstecz. Co działo się do tej pory, pozostaje zgodne z prawem, o ile zgoda była ważna.
- Nie zastępuje żądania usunięcia. Kto chce też usunięcia dotychczasowych danych, musi zażądać tego osobno – samo cofnięcie kończy jedynie dalsze przetwarzanie.
- Nie dotyka innych podstaw prawnych. Co opiera się na umowie, trwa dalej – cofnięcie dotyczy tylko tego, co opierało się na zgodzie.
Na to ostatnie rozróżnienie trzeba wskazać przed cofnięciem: art. 7 ust. 3 wymaga, by osoba została poinformowana przed udzieleniem zgody, że cofnięcie jest możliwe i co powoduje. Informacja pojawiająca się dopiero po kliknięciu przychodzi za późno.