Nõusolek

Nõusolek peab olema vabalt antud, st kui andmesubjektil ei ole tegelikku valikut, ta tunneb end olevat sunnitud nõustuma või on keeldumisel negatiivsed tagajärjed, siis nõusolek ei kehti. Kui nõusolek on antud tüüptingimuste osana, siis eeldatakse, et see ei ole antud vabatahtlikult.

On vähetõenäoline, et riigiasutused saaksid isikuandmete töötlemiseks nõusolekule tugineda, sest alati, kui vastutav töötleja on avaliku sektori asutus, esineb vastutava töötleja ja andmesubjekti vahelistes suhetes sageli selge tasakaalustamatus. Võimude tasakaalustamatus esineb ka tööhõive kontekstis. See ei tähenda siiski, et tööandjad ei saa kunagi tugineda nõusolekule kui töötlemise seaduslikule alusele.

Äärmiselt ebasoovitavaks peetakse olukorda, kus nõusolek on seotud tingimustega nõustumisega või lepingu või teenuse osutamisega, mis on seotud nõusoleku taotlemisega isikuandmete töötlemiseks, mis ei ole kõnealuse lepingu või teenuse täitmiseks vajalikud. Kui sellises olukorras antakse nõusolek, eeldatakse, et see ei ole antud vabatahtlikult.

Vastutav töötleja peab tõendama, et nõusoleku tagasivõtmine ei too andmesubjektile kaasa mingeid kulusid ega tekita seega nõusoleku tagasivõtjatele selget kahju.

Andmesubjekti nõusolek tuleb anda seoses ühe või mitme konkreetse eesmärgiga ja andmesubjektil on neist igaühe suhtes valikuvõimalus.  Nõue, et nõusolek peab olema konkreetne, on mõeldud selleks, et tagada teatav kasutajate kontroll ja läbipaistvus andmesubjekti jaoks.

Andmesubjektidele enne nõusoleku saamist teabe andmine on oluline selleks, et võimaldada neil teha teadlikke otsuseid, mõista, millega nad nõustuvad, ja näiteks kasutada oma õigust nõusolek tagasi võtta. Kui vastutav töötleja ei esita kättesaadavat teavet, on nõusolek kui töötlemise alus kehtetu.

Nõusoleku saamiseks on vaja teavitada andmesubjekti teatavatest elementidest, mis on valiku tegemiseks hädavajalikud: vastutava töötleja isik, töötlemistoimingute eesmärgid, mis liiki andmeid kogutakse, nõusoleku tagasivõtmise õigus, teave automatiseeritud otsuse tegemise kohta, andmete edastamise võimalikud riskid.

Peab olema ilmne, et andmesubjekt on konkreetse töötlemisega nõustunud. Andmesubjekt peab olema võtnud teadliku meetme, et anda nõusolek konkreetseks töötlemiseks.

Andmesubjekt peab andma selgesõnalise nõusoleku. Selge viis tagada, et nõusolek on selgesõnaline, oleks nõusoleku selgesõnaline kinnitamine kirjalikus avalduses. Teoreetiliselt võib suuliste ütluste kasutamine olla piisavalt selge, et saada kehtiv selgesõnaline nõusolek, kuid vastutaval töötlejal võib olla raske tõendada, et kõik kehtiva selgesõnalise nõusoleku tingimused olid avalduse salvestamisel täidetud.

Isikuandmete kaitse üldmääruse artikli 7 lõikes 1 on selgelt sätestatud vastutava töötleja sõnaselge kohustus tõendada andmesubjekti nõusolekut. Tõendamiskohustus lasub vastutaval töötlejal vastavalt artikli 7 lõikele 1. Isikuandmete kaitse üldmääruses ei ole täpselt ette nähtud, kuidas seda teha.

Vastutav töötleja peab tagama, et andmesubjekt saab nõusoleku igal ajal tagasi võtta sama lihtsalt kui nõusoleku andmine. Isikuandmete kaitse üldmääruses ei ole öeldud, et nõusoleku andmine ja tagasivõtmine peab alati toimuma sama tegevuse kaudu.

Suuniste peatükis 7 on toodud välja konkreetsed murevaldkonnad, sh seoses lastega, teadusuuringutega ning andmesubjekti õigustega.

Nõusoleku küsimise kohta vaata lähemalt isikuandmete töötleja üldjuhendi 9. peatükist.