Nie jest jasne, czy pierwszy rodzaj wiadomości e-mail jest legalny. Francuskie stowarzyszenie la Quadrature du Net planuje 28 maja wszcząć pozew zbiorowy przeciwko pięciu dużym firmom technologicznym (słynny „GAFAM”) w związku z tą praktyką. Oto podsumowanie ich argumentów:

• Artykuł 6 ust.1 RODO wymienia sześć przypadków legalnego przetwarzania danych osobowych, jednym z nich jest zgoda użytkownika;
• Artykuł 4 § 11 stanowi, że zgodę należy uzyskać w sposób, który jasno, konkretny, świadomy i jednoznaczny wskazuje na wolę użytkownika;
• W preambule RODO wyjaśniono, że zgoda musi być pozytywnego działania, a zgoda nie może być wyrażona w przypadku milczenia, wstępnie zaznaczonych pól lub braku działania;
• Artykuł 7 ust. 4 stanowi, że przy uzyskiwaniu zgody należy rozważyć, czy przetwarzanie danych osobowych jest bezwzględnie niezbędne do świadczenia usługi.

W konsekwencji „G29”, grupa krajowych organów ochrony danych w UE, potwierdziła, że ​​jeśli użytkownik nie ma rzeczywistego wyboru, czuje się skrępowany lub będzie miał negatywne konsekwencje w przypadku odmowy zgody, wówczas wyrażona zgoda jest nieważna. G29 stwierdziła zatem, że RODO gwarantuje, że wyrażenie zgody na przetwarzanie danych osobowych nie może być odpowiednikiem świadczenia usług.

Ponadto, jeśli firma prosi o zgodę jako podstawę prawną przetwarzania danych osobowych, to zabronione jest wykorzystanie innych podstaw prawnych artykułu 6 do uzasadnienia ich przetwarzania.

(Rozumowanie jest bardziej szczegółowe, jeśli znasz język francuski. To, co napisałem powyżej, to tylko podsumowanie).

Tak więc pierwsza wiadomość e-mail w istocie stanowi dla Ciebie mocną broń do zaakceptowania czegoś nielegalnego. Jeśli pozwy zbiorowe, o których wspomniałem powyżej, zakończą się sukcesem, możesz oczekiwać, że mniejsze firmy pójdą w ich ślady i przestaną wysyłać e-maile pierwszego rodzaju (lub poniosą poważne konsekwencje prawne).

Kilka cytatów z ustawy o RODO:

[...] Zgoda powinna być wyrażona w postaci wyraźnego, potwierdzającego aktu stanowiącego dobrowolne, konkretne, świadome i jednoznaczne wskazanie zgody podmiotu danych przetwarzanie danych osobowych, które jej dotyczą, na przykład za pomocą pisemnego oświadczenia, w tym drogą elektroniczną, lub ustnego. Może to obejmować zaznaczenie pola wyboru podczas odwiedzania strony internetowej, wybór ustawień technicznych usług społeczeństwa informacyjnego lub inne oświadczenie lub zachowanie, które w tym kontekście wyraźnie wskazuje, że osoba, której dane dotyczą, akceptuje proponowane przetwarzanie jej danych osobowych. Milczenie, wstępnie zaznaczone pola lub brak aktywności nie powinny zatem stanowić zgody. Zgoda powinna obejmować wszystkie czynności przetwarzania wykonywane w tym samym celu lub celach. Gdy przetwarzanie ma wiele celów, należy wyrazić zgodę na wszystkie z nich. Jeżeli zgoda osoby, której dane dotyczą, ma zostać wyrażona w następstwie żądania przesłanego drogą elektroniczną, żądanie musi być jasne, zwięzłe i nie może niepotrzebnie zakłócać korzystania z usługi, dla której jest świadczone. [...]

[...] Jeżeli przetwarzanie odbywa się na podstawie zgody na podstawie dyrektywy 95/46 / WE, nie jest konieczne, aby osoba, której dane dotyczą, ponownie wyraziła zgodę, jeżeli w którym zgoda została wyrażona zgodnie z warunkami niniejszego rozporządzenia [...]

[...] „zgoda” osoby, której dane dotyczą, oznacza dobrowolnie udzieloną, konkretną, świadomą i jednoznaczną wskazanie woli osoby, której dane dotyczą, poprzez oświadczenie lub wyraźną akcję potwierdzającą, wyrażającą zgodę na przetwarzanie dotyczących jej danych osobowych; [...]

[...] Oceniając, czy zgoda jest dobrowolna, w najwyższym stopniu uwzględnia się, między innymi, czy wykonanie umowy, w tym świadczenie usługi, jest pod warunkiem wyrażenia zgody na przetwarzanie danych osobowych, które nie jest niezbędne do wykonania tej umowy. [...]

RODO wymaga wyraźnej zgody. Jeśli serwis zbierał dane osobowe, a Ty nie wyraziłeś na to wyraźnej zgody, musi ponownie poprosić o Twoją zgodę, wyraźnie. Wierzę w teorii, że usługa musi również ponownie prosić o wyraźną zgodę za każdym razem, gdy modyfikuje swoją politykę prywatności, chociaż nie mogę znaleźć oświadczenia na ten temat. Dlatego uważam, że Twój przykład „pseudo-dorozumianej rezygnacji” nie jest legalny w żadnym przypadku, nawet jeśli wcześniej wyraziłeś zgodę wyraźnie w sposób zgodny z RODO (i wątpię w to), ponieważ zmieniają teraz swoją politykę prywatności i prosząc cię o niejawne zaakceptowanie tego, po prostu kontynuując korzystanie z ich usług.

Pierwsza kategoria to duże firmy (takie jak duzi dostawcy poczty e-mail), które i tak będą robić, co chcą, a ponieważ chcesz skorzystać z ich usług, musisz zaakceptować ich warunki. Jeśli tego nie zrobisz, nie będziesz mógł korzystać z ich usług.

Druga kategoria to te bardziej uczciwe, które pytają Cię, czy chcesz otrzymywać od nich informacje, czy nie. Zwykle są to firmy komercyjne i rezygnacja z otrzymywania ich ofert nie przeszkodzi Ci w prowadzeniu z nimi interesów.

Po pierwsze, nie ma jeszcze orzecznictwa, a różni prawnicy interpretują zasady na różne sposoby: niektórzy grają bardzo bezpiecznie, inni płyną bliżej wiatru. Niektórzy prawdopodobnie uważają, że jest mało prawdopodobne, aby znajdowali się wysoko na liście osób, które warto ścigać. (Spójrzmy prawdzie w oczy, nikt nie będzie ścigał klubu sportowego za przechowywanie informacji o tym, kto ostatnio naprawiał kosiarkę).

Po drugie, zgoda jest tylko jednym ze sposobów, w jaki można zezwolić na przechowywanie danych. Inne obejmują istnienie umowy, konieczność przestrzegania prawa i regulacji oraz „uzasadnione interesy” (które są bardzo otwarte na interpretację: ale na przykład firma ubezpieczeniowa może zachować historię roszczeń, aby móc wykryć wzór fałszywe roszczenia).

Po trzecie, wbrew pozorom, dotychczasowe zgody nie muszą być odnawiane dla RODO; jeśli wyraziłeś zgodę w zeszłym roku, to (prawdopodobnie!) wystarczająco dobrze.

IANAL - chociaż zapoznałem się z regulaminem.

Jak stwierdzono w innych odpowiedziach, RODO wymaga wyraźnej, świadomej i jednoznacznej zgody. Ponadto, zgodnie z zasadą odpowiedzialności, administratorzy danych powinni być w stanie to wykazać. Teoretycznie:

1. Organizacje, które wysyłają e-maile z rezygnacją, już wcześniej odpowiednio zarejestrowały Twoją wyraźną zgodę (np. kiedy zapisałeś się do newslettera lub podpisałeś umowę), a być może aktualizują swoją politykę prywatności, aby lepiej dostosować ją do RODO, a tym samym wysyłają Ci e-mail i przypominają, że zawsze możesz z niej zrezygnować .
2. Organizacje, które wysyłają e-maile z możliwością wyrażenia zgody, nie mają zarejestrowanej odpowiedniej zgody i spieszą się, aby zapisać Twoją zgodę i zapisać ją w swoich zupełnie nowych narzędziach do zarządzania RODO.
ol>

W praktyce:

1. Niektóre organizacje, które wysyłają e-maile z rezygnacją, mogą chodzić po cienkim lodzie i ufają, że ich starodawne zgody zostaną uznane przez władze, gdy do tego doszło.
2. Niektóre organizacje, które wysyłają e-maile z prośbą o zgodę, były już poza prawem (w odniesieniu do poprzednia dyrektywa i przepisy państw członkowskich), ale teraz żałują, że boją się grzywien.

Lub zależy to od prawnika, którego każdy z nich zatrudnił.

Oprócz wyżej wymienionych obszarów znajduje się sekcja RODO dotycząca zatrzymywania danych. Wiele e-maili, w których proszą ludzi (a przynajmniej te, które otrzymuję) o wyrażenie zgody, zawiera również informację, że nie mieli ze mną żadnej interakcji (a raczej od kilku lat), dlatego jeśli nadal chcę otrzymywać ich e-maile, konieczna jest ponowna rejestracja. Dzięki temu wiedzą, że ich dane są aktualne i wszystko inne można usunąć.

Chociaż brytyjska ustawa o ochronie danych już stanowi, że danych nie można przechowywać dłużej niż to konieczne, została ona w dużej mierze zignorowana, a listy mailingowe nadal się rozrastały. RODO wymaga jednak, aby dane były usuwane po rozsądnym czasie. Jeśli wyrazisz zgodę, resetujesz zegar, aby ich dane były istotne.

W grę wchodzą 2 rzeczy:

• zawsze, gdy stara zgoda jest nadal ważna, ponieważ została zapytana w sposób, który był już zgodny z tym nowym prawem (co sprawia wrażenie opt-out, ale jest to jedynie kontynuacja Twojej starej zgody) w porównaniu z poprzednią zgodą, która została uznana za niewystarczającą lub nieważną, więc musisz ją odnowić, np. ponieważ pole wyboru było zaznaczone domyślnie (w rzeczywistości była to wtedy rezygnacja, więc musi zostać zastąpiona przez zupełnie nową opcję).
• zawsze, gdy firma chce, aby wszystko działało tak, jak było ( znowu, stara opcja opt-in, która teraz wydaje się być rezygnacją), czy też korzystają z okazji, aby poprosić Cię o więcej uprawnień niż już posiadali (zdecyduj się na coś zupełnie nowego, na przykład e-maile).

Wygląda na to, że masz tutaj do czynienia z pierwszym przypadkiem. Pierwsza firma po prostu zaktualizowała swoje zasady i uznała stare zgody za wystarczająco dobre, podczas gdy druga uznała Twoją starą zgodę za nieważną zgodnie z nowym prawem i prosi o ponowne wyrażenie zgody.

RODO nie jest nowe, tutaj, gdzie mieszkam, miało 2 lata vacatio legis, więc w teorii strony można przygotowywać co najmniej od 2 lat. Można sobie wyobrazić, że niektóre zgody są już zgodne (w rzeczywistości nikogo to nie obchodziło, dopóki ustawa nie wejdzie w życie).

Jeśli chodzi o sprawę numer 2, jest przykład na https://gdprhallofshame.com/, gdzie zoom próbuje dokładnie to zrobić.