Zgoda na przetwarzanie danych osobowych w celach marketingowych

Zgoda na przetwarzanie danych osobowych

Zgodnie z RODO, zgoda na przetwarzanie danych w jednym lub w większej liczbie określonych celów jest tylko jedną z podstaw przetwarzania zgodnego z prawem. Inną jest m.in. możliwość przetwarzania danych, które jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora, jednak od tej zasady istnieją zasadnicze wyjątki. Na potrzeby niniejszego opracowania skupimy się wyłącznie na przesłance zgody.

W zdecydowanej większości firm zgody na przetwarzanie danych osobowych w celach marketingowych były zbierane na długo przed wejściem w życie RODO. Zasadniczym problemem w takim przypadku jest odpowiedź na pytanie, czy zgody te pozostają ważne pod rządami nowego prawa unijnego. Odpowiedź na to pytanie jest typowo prawnicza: „to zależy” od tego, czy wcześniej zbierane zgody spełniały aktualne wymagania RODO. Jakie to są warunki? Otóż zgoda na gruncie RODO oznacza:

• dobrowolne,
• konkretne,
• świadome i
• jednoznaczne

okazanie woli, w formie oświadczenia lub wyraźnego działania potwierdzającego. Zgoda powinna być wyrażona w drodze jednoznacznej, potwierdzającej czynności, która wyraża odnoszące się do określonej sytuacji dobrowolne, świadome i jednoznaczne przyzwolenie osoby, których dane dotyczą, na przetwarzanie dotyczących jej danych osobowych i która ma na przykład formę pisemnego (w tym elektronicznego) lub ustnego oświadczenia. Może to polegać na zaznaczeniu okienka wyboru podczas przeglądania strony internetowej, na wyborze ustawień technicznych do korzystania z usług społeczeństwa informacyjnego lub też na innym oświadczeniu bądź zachowaniu, które w danym kontekście jasno wskazuje, że osoba, której dane dotyczą, zaakceptowała proponowane przetwarzanie jej danych osobowych. Milczenie, okienka domyślnie zaznaczone lub niepodjęcie działania nie powinny zatem oznaczać zgody. Zgoda powinna dotyczyć wszystkich czynności przetwarzania dokonywanych w tym samym celu lub w tych samych celach. Jeżeli przetwarzanie służy różnym celom, potrzebna jest zgoda na wszystkie te cele. Jeżeli osoba, której dane dotyczą, ma wyrazić zgodę w odpowiedzi na elektroniczne zapytanie, zapytanie takie musi być jasne, zwięzłe i nie zakłócać niepotrzebnie korzystania z usługi, której dotyczy.

W związku z powyższym, jeżeli wcześniej zbierane zgody polegały na tym, że klient akceptował domyślnie zaznaczone checkboxy, to takiej zgody nie można uznać za zgodnej z RODO. Wyrażenie zgody musi być bowiem wyraźnym działaniem klienta – czyli w omawianym przykładzie to on samodzielnie powinien zaznaczyć checkboxy, które odpowiadają jego woli.

Jak poprawnie sformułować zgodę? Aktualna klauzula RODO do CV 2024.

Wyrażenie zgody na przetwarzanie danych osobowych

Jak więc powinna zostać wyrażona zgoda, żeby można było przetwarzać dane osobowe określonej osoby w celach marketingowych? Przykładowe klauzule oświadczenia o przetwarzaniu danych osobowych poniżej:

• Wyrażam zgodę na przetwarzanie moich danych osobowych w celach marketingowych, poprzez przesyłanie informacji handlowych za pomocą poczty elektronicznej, na podany adres e-mail.
• Wyrażam zgodę na przetwarzanie moich danych osobowych w celu przesyłania na mój adres e-mail newslettera.

Klauzule te mogą być bardziej rozbudowane, za każdym jednak razem powinny dotyczyć tylko jednego celu – tak aby osoba fizyczna miała możliwość wyboru, w jakich celach jej dane mają być przetwarzane.

Odwołanie zgody na przetwarzanie danych osobowych

Wyrażenie zgody na przetwarzanie danych osobowych w celach marketingowych nie oznacza, że osoba która ją wyraziła, nie może w żaden sposób jej odwołać. Wręcz przeciwnie, na gruncie RODO potężny nacisk kładzie się na to, by w każdym przypadku możliwe było wycofanie zgody na przetwarzanie danych osobowych.

Cofnięcie zgody na przetwarzanie danych osobowych powinno być możliwe w dowolnym momencie i musi być równie łatwe, co jej wyrażenie. Jednak – to co istotne – wycofanie zgody nie wpływa na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej wycofaniem. Należy o tym poinformować osobę, której dane dotyczą, jeszcze zanim wyrazi ona zgodę.

Na marginesie warto wskazać, że wskutek wyrażenia zgody na przetwarzanie danych może dojść do przekazania danych do podmiotów świadczących usługi np. wysyłki newslettera. Administrator danych powinien o tym poinformować osobę, której dane dotyczą.

Prawo do bycia zapomnianym

Z cofnięciem zgody na przetwarzanie danych osobowych w celach marketingowych wiąże się prawo do usunięcia danych (prawo do bycia zapomnianym). Zgodnie z przepisami ustanawiającymi takie prawo, osoba, której dane dotyczą, ma prawo żądania od administratora niezwłocznego usunięcia dotyczących jej danych osobowych, a administrator ma obowiązek bez zbędnej zwłoki usunąć dane osobowe. Działanie takie musi nastąpić m.in. w następujących wypadkach:

• dane osobowe nie są już niezbędne do celów, w których zostały zebrane lub w inny sposób przetwarzane,
• osoba, której dane dotyczą, cofnęła zgodę, na której opiera się przetwarzanie i nie ma innej podstawy prawnej przetwarzania;
• osoba, której dane dotyczą, wnosi sprzeciw wobec przetwarzania i nie występują nadrzędne prawnie uzasadnione podstawy przetwarzania;
• dane osobowe były przetwarzane niezgodnie z prawem;
• dane osobowe muszą zostać usunięte w celu wywiązania się z obowiązku prawnego przewidzianego w prawie Unii lub prawie państwa członkowskiego, któremu podlega administrator;
• dane osobowe zostały zebrane w związku z oferowaniem usług społeczeństwa informacyjnego.

Administrator nie powinien jednak usuwać danych w zakresie, w jakim przetwarzanie jest niezbędne:

• do korzystania z prawa do wolności wypowiedzi i informacji;
• do wywiązania się z prawnego obowiązku wymagającego przetwarzania na mocy prawa Unii lub prawa państwa członkowskiego, któremu podlega administrator, lub do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi;
• z uwagi na względy interesu publicznego w dziedzinie zdrowia publicznego;
• do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych;
• do ustalenia, dochodzenia lub obrony roszczeń.

Telemarketing

Kwestia zgody na przetwarzanie danych powinna również zostać odrębnie rozpatrzona w  przypadku świadczenia usług telemarketingu. Zgodnie bowiem z prawem telekomunikacyjnym, zakazane jest używanie telekomunikacyjnych urządzeń końcowych (np. telefonów) i automatycznych systemów wywołujących dla celów marketingu bezpośredniego, chyba że abonent lub użytkownik końcowy uprzednio wyraził na to zgodę. Żeby więc móc zadzwonić do swojego klienta z nową ofertą, należy w pierwszej kolejności odebrać od niego zgodę, na warunkach określonych w RODO, a omówionych powyżej. 

Sprawdź również:

• Dane biometryczne. Ochrona szczególnej kategorii danych
• Urządzenia mobilne pracowników a RODO
• Klauzula CV – zgoda na przetwarzanie danych w rekrutacji