מתי הסכמה לעיבוד מידע אישי נחשבת להסכמה תקפה לפי GDPR?

עיבוד מידע אישי יעשה אך ורק אם יש בסיס חוקי לכך. הסכמה של נשוא המידע לעיבוד מידע אודותיו נחשבת לבסיס חוקי לצורך עיבוד המידע.

ההסכמה צריכה להיות חופשית ופוזיטיבית (opt-in). דהיינו, לנשוא המידע צריכה להיות שליטה מלאה על הסכמתו ואפשרות בחירה אמיתית שלא להסכים. במקרה שבו קיימת תיבת סימון (כגון: "אני מסכים לכלול את פרטי במאגר מידע"), אסור שהיא תהיה מסומנת כברירת מחדל (unchecked).

הבקשה לקבל הסכמה מנשוא המידע צריכה להיות מופרדת ומובדלת מתניות הסכמיות אחרות או מתנאי שימוש אחרים. סוגי מידע שונים מחייבים דרישות הסכמה פרטניות נפרדות. ההסכמה צריכה להיות מובנת, מפורשת וברורה, ולהתייחס למידע ספציפי. "הסכמת שמיכה" (blanket consent) אינה נחשבת להסכמה ברורה, אינה פרטנית ואינה מספקת.

ההסכמה צריכה להתייחס במפורש לזהות בעל השליטה במידע ולזהות מעבד המידע.

כמו כן, האפשרות לבטל את ההסכמה צריכה להיות גלויה, קלה, ברורה, מובנת ופשוטה.

בכל מקרה, יש לתעד את ההסכמה בכתב, ובכלל זה בנוגע לפרטים של מי שהסכים? מתי הסכים? כיצד הסכים? מה המצגים שהוצגו לו לפני ההסכמה? וכו'.

ראו עוד: ס' 32, 42, 43 להקדמה; ס' 4(11), 7, 6(1)(a) ל- GDPR.