Łączenie w jednym oświadczeniu składanych przez klientów różnych zgód, tj. np. zgody na przetwarzanie danych osobowych w celach marketingowych i zgody na prowadzenie określonych działań marketingowych, np. przy użyciu telefonu, jest wciąż dość powszechnym zjawiskiem na rynku, mimo wielu już decyzji organów (zarówno PUODO, jak i GIODO) wydanych w tym zakresie.
Tym razem, w powyższej sprawie głos zabrał Naczelny Sąd Administracyjny (dalej: NSA), który w wyroku z dnia 20.04.2021 r. (sygn. akt III OSK 161/21) potwierdził, iż łączenie w jednym oświadczeniu zgody na przetwarzanie danych osobowych w celach marketingowych (tj. marketingu bezpośredniego produktów własnych i produktów innych podmiotów należących do tej samej grupy kapitałowej) oraz zgody na telemarketing, o którym mowa w art. 172 ustawy Prawo telekomunikacyjne, jest niezgodne z przepisami prawa. Wprawdzie w zakresie przepisów dot. ochrony danych osobowych wyrok NSA dotyczył stanu prawnego sprzed obowiązywania przepisów RODO, ale rozważania dokonane w wyroku pozostają aktualne także na gruncie obecnie obowiązujących przepisów.
Istota sprawy będącej przedmiotem wyroku NSA dotyczyła treści zgody pozyskiwanej przez instytucję finansową przy zawieraniu umowy pożyczki – zgodnie z jej treścią, klient mógł wyrazić jedynie zgodę łączną na przetwarzanie danych osobowych w celu marketingu usług własnych tej spółki, jak i innych podmiotów należących do jej grupy kapitałowej, z jednoczesnym wyrażeniem zgody na używanie telekomunikacyjnych urządzeń końcowych i automatycznych systemów wywołujących do celów marketingu bezpośredniego.
W swoim wyroku NSA wskazał, że w spornej klauzuli zawarto trzy różne oświadczenia woli: zgodę na przetwarzanie danych osobowych potencjalnych klientów i klientów spółki w celach marketingowych produktów i usług spółki, zgodę na przetwarzanie danych osobowych potencjalnych klientów i klientów spółki w celach marketingowych produktów i usług podmiotów należących do grupy kapitałowej oraz zgodę na używanie telekomunikacyjnych urządzeń końcowych i automatycznych systemów wywołujących w celu przeprowadzenia marketingu bezpośredniego. Każde z tych oświadczeń, zdaniem NSA, wymagało jednak wyrażenia odrębnej zgody.
NSA podkreślił, iż zgoda może obejmować różne cele przetwarzania danych osobowych, jednak przy ich przetwarzaniu należy zapewnić osobie, której dane osobowe będą wykorzystywane, maksimum ochrony prawnej, zwłaszcza gdy dane te będą wykorzystywane w celach marketingowych. Należy zatem takiej osobie umożliwić wyrażenie zgody nie tylko w układzie tak bądź nie, lecz również „zgody rozbudowanej”, odnoszącej się do poszczególnych sfer wykorzystania oznaczonych danych. Takiego wyboru nie zapewniała jednak ujawniona praktyka stosowana przez spółkę, albowiem udzielający zgody nie mógł udzielić jej tylko w części. Zawarcie kilku zgód w treści jednego oświadczenia skutkuje brakiem możliwości wyboru zgody, którą zamierza się wyrazić, a to oznacza, że osoba, której dane dotyczą, nie ma pełnej swobody w dysponowaniu swoimi danymi osobowymi.
Ponadto, NSA przypomniał, iż w motywie 42 preambuły RODO określone zostały warunki, jakie powinny zostać spełnione, aby przetwarzanie danych mogło odbywać się na podstawie zgody. Po pierwsze, administrator danych powinien być w stanie wykazać, że osoba której dane dotyczą wyraziła zgodę na operacje przetwarzania. Po drugie, w przypadku oświadczenia składanego w innej sprawie powinny istnieć gwarancje, że osoba której dane dotyczą, jest świadoma wyrażenia zgody oraz jej zakresu. Po trzecie, oświadczenie powinno mieć zrozumiałą i łatwo dostępną formę, być sformułowane jasnym i prostym językiem i nie powinno zawierać nieuczciwych warunków. Po czwarte, osoba której dane dotyczą, powinna znać przynajmniej tożsamość administratora oraz zamierzone cele przetwarzania danych osobowych, aby wyrażenie zgody było świadome. Po piąte, jeżeli osoba, której dane dotyczą, nie ma rzeczywistego lub wolnego wyboru oraz nie może odmówić ani wycofać zgody bez niekorzystnych konsekwencji, nie można uznawać, iż zgoda została wyrażona dobrowolnie.
W tym miejscu warto zauważyć, iż sprawa, w której zapadł przedmiotowy wyrok, dotyczyła decyzji GIODO z 2017 r., a wówczas za naruszenie przepisów o ochronie danych osobowych nie groziły jeszcze kary finansowe. Obecnie kwestia ta uległa zmianie i zgodnie z art. 83 ust. 5 RODO za tego rodzaju naruszenia grożą administracyjne kary pieniężne w wysokości do 20.000.000 EUR, a w przypadku przedsiębiorstwa – w wysokości do 4 proc. jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa.
Rekomendacja CZTR:
Rekomendujemy weryfikację i dostosowanie treści odbieranych zgód do wymogów wskazanych powyżej. Przy ich weryfikacji na uwadze należy mieć wymóg, aby decyzja w sprawie wyrażenia zgody na przetwarzanie danych osobowych w określonym celu mogła być podjęta przez daną osobę swobodnie i miała charakter samodzielny. Jak podkreślił NSA, musi ona bowiem być przejawem wolnej i nieskrępowanej woli danej osoby, a to znaczy, że nie może być wymuszona przez konieczność złożenia innych (łącznych) oświadczeń woli.
