GI-DEC-DS-106/06
2007-05-03
Decyzja Generalnego Inspektora Ochrony Danych Osobowych nakazująca Spółce usunięcie uchybień w procesie przetwarzania danych osobowych osób biorących udział w organizowanych przez tę Spółkę konkursach, poprzez umieszczenie w treści kuponów konkursowych odrębnego oświadczenia o wyrażeniu przez uczestników konkursów zgody na przetwarzanie ich danych osobowych w celach marketingowych i udostępnianie ich innym podmiotom oraz wypełnianie wobec osób biorących udział w konkursach organizowanych przez Spółkę obowiązku informacyjnego określonego w art. 24 ust. 1 pkt 2 ustawy o ochronie danych osobowych, poprzez poinformowanie ich o wszystkich celach zbierania danych.
Warszawa, dnia 31 marca 2006 r.
DECYZJA
Na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. – Kodeks postępowania administracyjnego (Dz. U. z 2000 r. Nr 98, poz. 1071 z późn. zm.) oraz art. 12 pkt 2, art. 18 ust. 1 pkt 1 w związku z art. 7 pkt 5, art. 23 ust. 1 pkt 1 oraz art. 24 ust. 1 pkt 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.), po przeprowadzeniu postępowania administracyjnego wszczętego z urzędu w sprawie pozyskiwania, za pomocą kuponów konkursowych, przez SPÓŁKĘ S.A., z siedzibą w Warszawie przy (...), danych osobowych uczestników konkursów organizowanych przez SPÓŁKĘ S.A.,
nakazuję SPÓŁCE S.A., z siedzibą w Warszawie przy (...), usunięcie uchybień w procesie przetwarzania danych osobowych osób biorących udział w organizowanych przez SPÓŁKĘ S.A konkursach, poprzez:
1) umieszczenie w treści kuponów konkursowych odrębnego oświadczenia o wyrażeniu przez uczestników konkursów zgody na przetwarzanie ich danych osobowych w celach marketingowych i udostępnianie ich innym podmiotom,
2) wypełnianie wobec osób biorących udział w konkursach organizowanych przez SPÓŁKĘ S.A. obowiązku informacyjnego określonego w art. 24 ust. 1 pkt 2 ustawy o ochronie danych osobowych, poprzez poinformowanie ich o wszystkich celach zbierania danych.
Uzasadnienie
Generalny Inspektor Ochrony Danych Osobowych, korzystając z kompetencji przyznanych mu ustawą z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.), zwanej dalej również ustawą, wszczął z urzędu postępowanie w sprawie pozyskiwania za pomocą kuponów konkursowych przez SPÓŁKĘ S.A., z siedzibą w Warszawie przy ul. (...), zwaną dalej również Spółką, danych osobowych uczestników organizowanych przez nią konkursów.
Generalny Inspektor Ochrony Danych Osobowych uzyskał bowiem informację, iż osoby wyrażające wolę skorzystania z możliwości otrzymania książki pt. „Religie świata”, stanowiącej specjalny 21 tom Encyklopedii „Gazety Wyborczej”, zobowiązane są przesłać na adres wskazany przez Spółkę, określoną ilość wypełnionych kuponów konkursowych drukowanych w „Gazecie Wyborczej”. Jednym z elementów tego kuponu jest klauzula dotycząca przetwarzania danych osobowych, która brzmi w następujący sposób: „(...) Wyrażam zgodę na przetwarzanie moich danych osobowych przez SPÓŁKĘ S.A. z siedzibą w Warszawie, ul. (...), nie wyłączając przetwarzania tych danych obecnie lub w przyszłości do celów marketingowych. Agora może udostępniać te dane innym podmiotom wyłącznie w ww. celach, dotyczących promocji produktów SPÓŁKI S.A. SPÓŁKA S.A. zapewnia ochronę danych osobowych zgodnie z Ustawą o ochronie danych osobowych – Dz. U. Nr 133 poz. 883 z 1997 r. Przyjmuję do wiadomości, że podanie danych jest dobrowolne i przysługuje mi prawo wglądu do nich oraz ich poprawienia.(...)”.
Klauzula tej samej treści została również zamieszona na kuponie konkursowym, który na wskazany przez Spółkę adres są zobowiązane przesłać osoby chcące otrzymać specjalny dodatek do wydanej przez „Gazetę Wyborczą” Kolekcji Klasyka XIX wieku, tj. książkę na płytach CD „Rękopis znaleziony w Saragossie”.
W toku prowadzonego w przedmiotowej sprawie postępowania SPÓŁKA S.A. przesłała inne formularze konkursowe stosowne w organizowanych przez nią konkursach, tj. kupon stosowany w konkurach „Puccini, Rossini, Verdi” oraz „Podróże Marzeń”.
Na kuponie wykorzystywanym w konkursie „Puccini, Rossini, Verdi” umieszczona jest klauzula o następującej treści: „(...) Wyrażam zgodę na przetwarzania moich danych osobowych przez SPÓŁKĘ S.A.., z siedzibą w Warszawie przy ul. (...) do celów marketingowych SPÓŁKI S.A. oraz w celu otrzymywania od SPÓŁKI ofert promocyjnych innych podmiotów lub ich produktów. SPÓŁKA S.A. zapewnia ochronę danych osobowych zgodnie z Ustawą o ochronie danych osobowych (Dz. U. 133, poz. 883 z 1997 r.). Przyjmuję do wiadomości, że podanie danie danych jest dobrowolne i przysługuje mi prawo dostępu do danych i ich poprawienia. (...)”.
Osoby uczestniczące w konkursie „Podróże Marzeń” zobowiązane są podpisać kupon, na którym znajduje się klauzula identyczna co przy konkursie, w którym nagrodą było otrzymanie książki „Religie świata”.
Mając na względzie powyższe okoliczności, Generalny Inspektor Ochrony Danych Osobowych zważył, co następuje.
I. Umieszczane na stosowanych przez SPÓŁKĘ S.A. kuponach konkursowych klauzule dotyczące przetwarzania danych osobowych nie spełniają wymogów określonych w przepisach ustawy o ochronie danych osobowych. Zauważyć bowiem należy, iż pozyskiwane przez SPÓŁKĘ S.A. za pomocą przedmiotowych kuponów dane osobowe są przetwarzane w związku z organizowanymi przez ww. podmiot konkursami. Uczestnicy konkursów wypełniając stosowny kupon wyrażają zatem zgodę na przetwarzanie ich danych osobowych w celach konkursowych. Spółka natomiast łączy zgodę na przetwarzanie danych osobowych w tych celach, ze zgodą na przetwarzanie danych w celu marketingu własnych lub cudzych produktów i usług, ewentualnie udostępnianie ich innym podmiotom. Stosownie zaś do przepisów ustawy o ochronie danych osobowych SPÓŁKA S.A. powinna posiadać odrębną zgodę dysponenta danych osobowych na przetwarzanie jego danych w ww. celach.
Wskazać bowiem należy, iż w myśl art. 7 pkt 5 ustawy, ilekroć w ustawie jest mowa o zgodzie osoby, której dane dotyczą – rozumie się przez to oświadczenie woli, którego treścią jest zgoda na przetwarzanie danych osobowych tego, kto składa oświadczenie; zgoda nie może być domniemana lub dorozumiana z oświadczenia woli o innej treści. Podkreślenia także wymaga, iż w literaturze przedmiotu wskazuje się, iż „(...) jeżeli osoba zbierająca dane osobowe czy w inny sposób przetwarzająca dane osobowe zwraca się o zgodę, musi to zostać sformułowane w sposób jednoznaczny i wyróżniać się spośród innych pochodzących od tej osoby informacji i oświadczeń (...)” (J. Barta, P. Fajgielski, R. Markiewicz, Ochrona danych osobowych, Komentarz, Zakamycze 2004, s. 416). Klauzula zgody na przetwarzanie danych w celach marketingowych powinna być zatem skonstruowana w taki sposób, aby dysponent danych podejmował świadomą decyzję co do udostępnienia swoich danych osobowych ściśle określonym podmiotom i dla jednoznacznie wskazanych celów oraz aby treść jego oświadczenia woli nie budziła wątpliwości. Ponadto, decyzja w sprawie wyrażenia zgody powinna być podjęta swobodnie i mieć charakter samodzielny, tzn. nie może być wymuszona poprzez konieczność złożenia innych oświadczeń. Warto również wskazać, że Naczelny Sąd Administracyjny w wyroku z dnia 4 kwietnia 2003 r. (sygn. akt II SA 2135/2002) przyjął, iż „(..) zgoda na przekazywanie danych musi mieć charakter wyraźny, a jej wszystkie aspekty muszą być jasne dla podpisującego w momencie jej wyrażania (...)”. Natomiast w wyroku z dnia 11 kwietnia 2003 r. (sygn. akt II SA 3942/04) Naczelny Sąd Administracyjny podniósł, że „(...) zgoda (...) nie może mieć charakteru abstrakcyjnego, lecz winna odnosić się do skonkretyzowanego stanu faktycznego, obejmując tylko określone dane oraz sprecyzowany sposób i cel ich przetwarzania (...)”.
Z powyższego wynika zatem, że Spółka powinna obok klauzuli zgody na przetwarzanie danych osobowych dla celów konkretnego konkursu, umieścić drugą i całkowicie niezależną klauzulę zgody na przetwarzanie danych osobowych w innych – wskazanych w jej treści – celach, tj. np. w celu marketingu własnych (lub cudzych) produktów i usług, ewentualnie przekazywania danych innym administratorom danych. Klauzula w stosowanej obecnie postaci prowadzi bowiem do tego, że wraz ze zgodą na udział w konkursie wymuszana jest w istocie zgoda na przetwarzanie danych osobowych uczestników konkursów także w celach marketingowych.
II. Wskazać również należy, iż zgodnie z art. 24 ustawy o ochronie danych osobowych, w przypadku zbierania danych od osoby, której one dotyczą, administrator danych jest obowiązany poinformować tę osobę o: adresie swojej siedziby i pełnej nazwie, a w przypadku gdy administratorem danych jest osoba fizyczna – o miejscu swojego zamieszkania oraz imieniu i nazwisku (pkt 1), celu zbierania danych, a w szczególności o znanych mu w czasie udzielania informacji lub przewidywanych odbiorcach lub kategoriach odbiorców danych (pkt 2), prawie dostępu do treści swoich danych oraz ich poprawiania (pkt 3), dobrowolności albo obowiązku podania danych, a jeżeli taki obowiązek istnieje, o jego podstawie prawnej (pkt 4).
Mając na względzie przytoczony wyżej przepis, zauważyć trzeba, że w treści kuponów konkursowych stosowanych przez SPÓŁKĘ S.A. nie umieszczono pełnych informacji o tym, w jakich celach będą przetwarzane dane osobowe uczestników konkursów. Spółka pozyskuje bowiem dane osobowe w związku z organizowanymi przez siebie konkursami, a ich potencjalni uczestnicy są informowani wyłącznie o tym, że udostępnione przez nich dane będą przetwarzane w celach marketingowych. Dla zapewnienia zgodności przetwarzania danych osobowych przez SPÓŁKĘ S.A. z przepisami ustawy o ochronie danych osobowych konieczne jest zatem wskazanie w treści stosowanych prze nią kuponów informacji o tym, że dane uczestników będą przetwarzane nie tylko w celu marketingu własnych - ewentualnie cudzych - produktów i usług (co wynika z brzmienia obecnie stosowanych klauzul), ale również w celach konkursowych.
Niezależnie od powyższego podnieść należy, iż SPÓŁKA S.A. jako publikator ustawy o ochronie danych osobowych wskazuje „(...) Dz. U. nr 133 poz. 887 z 1997 r. (...)”, tymczasem tekst jednolity przedmiotowej ustawy został opublikowany w Dzienniku Ustaw Nr 101 z 2002 roku – pozycja 926, to tym czasie dokonano również nowelizacji ustawy, okoliczność ta powinna zatem również zostać uwzględniona w treści kuponów konkursowych.
W tym stanie faktycznym i prawnym Generalny Inspektor Ochrony Danych Osobowych rozstrzygnął, jak w sentencji.
Decyzja jest ostateczna. Stronom, na podstawie art. 21 ust. 1 ustawy o ochronie danych osobowych oraz art. 129 § 2 w zw. z art. 127 § 3 Kodeksu postępowania administracyjnego przysługuje, w terminie 14 dni od dnia doręczenia niniejszej decyzji, prawo złożenia do Generalnego Inspektora Ochrony Danych Osobowych wniosku o ponowne rozpatrzenie sprawy (adres: Biuro Generalnego Inspektora Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa).
