GI-DEC-DS-94/03
2007-05-04
Warszawa, dnia 9 czerwca 2003 r.
(dotyczy oświadczenia zgody na przetwarzanie danych osobowych klienta przez Spółkę i oświadczenia wyrażającego wolę zakupienia jednego z oferowanych produktów Spółki)
DECYZJA
Na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2000 r. Nr 98, poz. 1071 z późn. zm.) oraz art. 12 pkt 2 i art. 18 ust. 1 pkt 1w związku z art. 23 ust. 1 pkt 1, art. 26 ust. 1 pkt 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926), po przeprowadzeniu postępowania administracyjnego wszczętego z urzędu, w sprawie przetwarzania danych osobowych przez Spółkę,
nakazuję Spółce usunięcie uchybień w procesie przetwarzania danych osobowych poprzez:
1) wprowadzenie do formularza zamówienia oferowanych produktów odrębnej klauzuli dotyczącej wyrażenia przez osobę dokonującą zamówienia oferowanego produktu zgody na wielokrotne przetwarzanie i transfer danych osobowych
w celach promocyjno-handlowych oraz na udostępnienie ich podmiotom trzecim, zgodnie z art. 23 ust. 1 pkt 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926),
2) modyfikację procedury przyjmowania zamówień drogą telefoniczną mającą na celu oddzielenie pozyskiwania zgody klientów na przetwarzanie dotyczących ich danych osobowych od oświadczenia wyrażającego wolę zakupienia jednego z oferowanych produktów.
Uzasadnienie
Generalny Inspektor Ochrony Danych Osobowych, zwany dalej również Generalnym Inspektorem, prowadząc postępowanie w sprawie przetwarzania przez Spółkę, reprezentowaną przez prokurenta Panią X, danych osobowych jednego z klientów (sygn. akt GI-DS-430/742/02) uzyskał informację, iż ww. spółka utożsamia oświadczenie woli, mocą którego klient wyraża wolę zakupienia jednego z oferowanych przez Spółkę produktów,
z oświadczeniem, w którym następuje wyrażenie zgody na przetwarzanie danych osobowych. Generalny Inspektor uznał za stosowne przeprowadzić w niniejszej sprawie postępowanie
z urzędu.
W toku postępowania przeprowadzonego w niniejszej sprawie, Generalny Inspektor ustalił, co następuje:
1. „Umieszczenie podpisu klienta na kuponie zamówienia zawierającego tekst oświadczenia
o wyrażeniu zgody i informację o przysługujących jej prawach, traktowane jest jako wyrażenie zgody na przetwarzanie danych osobowych klienta”.
2. Złożenie zamówienia drogą telefoniczną jest traktowane jako wyrażenie zgody na przetwarzanie danych osobowych klienta w celach promocyjno-handlowych oraz udostępnianie ich osobom trzecim. Zgodnie z zebranym w toku postępowania wyjaśniającego materiałem dowodowym, telemarketer Spółki po przyjęciu zamówienia nie pyta czy osoba składająca zamówienie wyraża zgodę na przetwarzanie dotyczących jej danych, lecz jedynie odczytuje informację „informuję Panią/Pana, że Pani/Pana dane osobowe zostały przeze mnie zapisane w bazie danych Spółki. Składając zamówienie wyraża Pan/Pani zgodę aby dane Pani/Pana mogły być przetwarzane przez Spółkę
w celach promocyjno-handlowych i udostępniane osobom trzecim z zapewnieniem prawa wglądu, poprawy i kontroli zgodnie z ustawą o ochronie danych osobowych z dnia
29 sierpnia”.
Po zapoznaniu się z całością materiału zgromadzonego w sprawie, Generalny Inspektor Ochrony Danych Osobowych zważył, co następuje:
Ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r.
Nr 101, poz. 926), zwana dalej ustawą, określa zasady postępowania przy przetwarzaniu danych osobowych oraz prawa osób fizycznych, których dane są lub mogą być przetwarzane w zbiorach danych osobowych (art. 2 ust. 1 ustawy). Zgodnie z art. 26 ust. 1 pkt 1 ustawy, administrator przetwarzający dane powinien dołożyć szczególnej staranności w celu ochrony interesów osób, których dane dotyczą, a w szczególności zapewnić, aby dane te były przetwarzane zgodnie z prawem. Jednym z podstawowych warunków zgodnego z prawem przetwarzania danych osobowych jest spełnienie jednej z przesłanek przetwarzania danych enumeratywnie wymienionych w art. 23 ust. 1 ustawy.
Zgodnie z treścią wyżej powołanego przepisu przetwarzanie danych osobowych jest dopuszczalne m.in., gdy osoba, której dane dotyczą, wyrazi na to zgodę, chyba że chodzi
o usunięcie dotyczących jej danych (pkt 1) lub jest konieczne do realizacji umowy,
gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia koniecznych działań przed zawarciem umowy (pkt 3).
Jednocześnie, w myśl art. 7 pkt 5 ustawy przez zgodę osoby, której dane dotyczą rozumie się oświadczenie woli, którego treścią jest zgoda na przetwarzanie danych osobowych tego, kto składa oświadczenie; zgoda nie może być domniemana lub dorozumiana z oświadczenia woli o innej treści. Ponadto, art. 60 ustawy z dnia 23 kwietnia 1964 r. Kodeks cywilny (Dz. U. Nr 16, poz. 93 z późn. zm.) stanowi, iż z zastrzeżeniem wyjątków w ustawie przewidzianych, wola osoby dokonującej czynności prawnej może być wyrażona przez każde zachowanie się tej osoby, które ujawnia jej wolę w sposób dostateczny (…). Zgodnie z treścią art. 65 § 1 ustawy Kodeks Cywilny, zgodę, jako oświadczenie woli należy tak tłumaczyć, jak tego wymagają ze względu na okoliczności, w których złożone zostało, zasady współżycia społecznego oraz ustalone zwyczaje. Jednocześnie w myśl § 2 powołanego przepisu
w umowach należy raczej badać, jaki był zgodny zamiar stron i cel umowy, aniżeli opierać
się na jej dosłownym brzmieniu.
Zgodnie z ugruntowanym w literaturze przedmiotu poglądem jeżeli osoba zbierająca, czy w inny sposób przetwarzająca dane osobowe zwraca się o zgodę, musi to zostać sformułowane w sposób jednoznaczny i wyróżniać się spośród innych pochodzących od tej osoby informacji i oświadczeń (J. Barta, R. Markiewicz, Ochrona danych osobowych – komentarz, ZAKAMYCZE 2001, s. 311). Powyższe stwierdzenie oznacza, że podmiot,
który przy okazji zawierania umowy sprzedaży bądź umowy o świadczenie usług zamierza również pozyskać zgodę na przetwarzanie danych osobowych kontrahenta, zobligowany jest do wyodrębnienia oświadczenia, którego treścią jest zgoda na przetwarzanie danych osobowych, od oświadczenia wyrażającego chęć związania się postanowieniami umowy.
Mając powyższe na uwadze uznać należy, że zawarcie umowy sprzedaży legalizuje przetwarzanie przez Spółkę danych osobowych klientów jedynie w celu realizacji zawartej umowy. Przetwarzanie danych osobowych klientów do celów marketingowych, na podstawie przesłanki określonej w art. 23 ust. 1 pkt 1 ustawy, możliwe jest dopiero po uzyskaniu wyodrębnionej spośród innych oświadczeń zgody osoby, której dane dotyczą, na tego rodzaju przetwarzanie. Wyodrębnienie takie może polegać zarówno na zamieszczeniu na kuponie zamówienia osobnego postanowienia, pod którym klient może umieścić swój podpis, jak i na umożliwieniu klientowi wypowiedzenia się w trakcie przyjmowania zamówienia drogą telefoniczną co do istnienia zgody na przetwarzanie dotyczących go danych osobowych
lub jej braku. Nie można jednak, co należy ponownie podkreślić, utożsamiać okoliczności zawarcia umowy kupna z wyrażeniem oświadczenia woli, na podstawie którego osoba,
której dane dotyczą, zgadza się na wykorzystywanie jej danych osobowych do celów marketingowych oraz przekazywania ich innym podmiotom.
Powyższe stanowisko Generalnego Inspektora Ochrony Danych Osobowych znajduje podstawę również w orzecznictwie Naczelnego Sądu Administracyjnego. Zgodnie bowiem ze stanowiskiem Naczelnego Sądu Administracyjnego wyrażonym w wyroku z dnia 19 listopada 2001 r. (sygn. akt II SA 2748/00) nie ulega wątpliwości, iż celem osoby zawierającej umowę jest chęć nabycia oferowanego produktu za ustaloną opłatą, a nie chęć pozbycia się swojego prawa do ochrony danych osobowych określonego w art. 1 ust. 1 ustawy. Tym samym uznać należy, że działanie osób dokonujących zamówienia jednego
z oferowanych przez Spółkę produktów zmierzają do zawarcia stosownej umowy a nie wyrażenia zgody na przetwarzanie dotyczących ich danych osobowych. W przedmiotowym przypadku dochodzi zatem jedynie do złożenia oświadczenia woli powodującego zawarcie umowy, klient nie składa natomiast oświadczenia uprawniającego Spółkę do przetwarzania danych osobowych klienta na podstawie art. 23 ust. 1 pkt 1 ustawy. W konsekwencji, stanowisko Spółki, zgodnie z którym złożenie zamówienia drogą telefoniczną bądź przesłanie wypełnionego i podpisanego formularza zamówienia jest równoznaczne z wyrażeniem zgody na przetwarzanie danych osobowych podanych w celu realizacji umowy, należy uznać za nie znajdujące uzasadnienia w przepisach ustawy o ochronie danych osobowych. W świetle powyższych przepisów oraz ustalonego stanu faktycznego należy stwierdzić, iż wyżej opisane działanie Spółki polegające na utożsamieniu tych dwóch oświadczeń pozostaje w oczywistej sprzeczności z treścią art. 7 pkt 5 zd. 2 ustawy, w związku z czym konieczne jest wyodrębnienie postanowień dotyczących wyrażenia zgody na przetwarzanie danych osobowych w celach marketingowych, jako osobnego oświadczenia woli.
W tym stanie prawnym i faktycznym, Generalny Inspektor Ochrony Danych Osobowych rozstrzygnął, jak w sentencji.
Decyzja niniejsza jest ostateczna. Stronie, na podstawie art. 21 ust. 1 ustawy
o ochronie danych osobowych przysługuje, w terminie 14 dni od daty doręczenia niniejszej decyzji, prawo złożenia do Generalnego Inspektora Ochrony Danych Osobowych wniosku
o ponowne rozpatrzenie sprawy (adres: Biuro Generalnego Inspektora Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa).
