Firma

Audyt GIODO – uchybienia w zakresie przetwarzania danych w działaniach marketingowych

Zadania GIODO określa art. 12 uODO, choć nie jest to zbiór enumeratywny. W praktyce najbardziej doniosłe zadanie stanowi kontrolowanie zgodności przetwarzania danych z przepisami o ochronie danych osobowych, a także wydawanie decyzji administracyjnych i rozpatrywanie skarg w sprawach wykonania przepisów o ochronie danych osobowych. Owoce pracy GIODO można znaleźć na jego stronie internetowej. Znajdziemy tam decyzje wydane przez GIODO w prowadzonych przez niego postępowaniach, a także oficjalne stanowiska, wypowiedzi oraz materiały powstałe z udziałem GIODO [strona internetowa: http://www.giodo.gov.pl/]. W ostatnich latach zauważalna staje się tendencja do coraz częstszego eksploatowania tematu "działań marketingowych". Warto więc spojrzeć, na co można sobie pozwolić, pod jakimi warunkami oraz na co porywać się nie warto.

W celu prowadzenia działań marketingowych niezbędne jest dysponowanie danymi klientów oraz podstawą ich przetwarzania. Właśnie na tym etapie szczególną rolę odgrywać może audyt GIODO oraz wykonywanie przez niego funkcji kontrolnych. Jeśli przedsiębiorca będzie prowadził działania marketingowe z wykorzystaniem danych klientów (numer telefonu, adres e-mail), jest zobowiązany do dysponowania jedną z podstaw zezwalających mu na przetwarzanie tych danych. Podstawy enumeratywnie wymienia art. 23 ust. 1 uODO. Dla uznania działań marketingowych przedsiębiorcy za zgodne z prawem wystarczające jest legitymowanie się jedną z podstaw. Przykładowo warto wskazać na bardzo praktyczne zastosowanie art. 23 ust. 1 pkt 3 uODO, zgodnie z którym podstawę przetwarzania danych osobowych stanowi umowa łącząca przedsiębiorcę z klientem, a także pkt 5 wspominający o prawnie usprawiedliwionych celach, które mogą stanowić przykłady wskazane w ust. 4 art. 23.

Przede wszystkim należy wyróżnić grupę działań marketingowych świadczonych drogą elektroniczną. W tym zakresie szczególną rolę odgrywa "informacja handlowa", którą definiuje art. 2 pkt 2 ustawy z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną (uUDE) jako każdą informację przeznaczoną bezpośrednio lub pośrednio do promowania towarów, usług lub wizerunku przedsiębiorcy lub osoby wykonującej zawód, której prawo do wykonywania zawodu jest uzależnione od spełnienia wymagań określonych w odrębnych ustawach (jednocześnie w przepisie tym zawarte zostały pewne wyłączenia). Informacją handlową będzie więc np. przesyłanie newsletter'a, z zawartością wskazaną powyżej.

Przepis art. 10 ust. 1 uUDE ustanawia zakaz przesyłania drogą elektroniczną niezamówionej informacji handlowej. Ust. 2 wspomnianego przepisu wskazuje zaś na przesłanki, których spełnienie pozwoli przedsiębiorcy na tego typu działania, a jest nią zgoda osoby, do którego będzie skierowana informacja. Nie można jednakże zapomnieć o zmianach, które zaszły w odniesieniu do prawnych możliwości prowadzenia telemarketingu. Znowelizowany art. 172 ustawy z dnia 16 lipca 2004 r. Prawo telekomunikacyjne (PrTel), który wszedł w życie 25.12.2014 r., ustanawia zakaz używania telekomunikacyjnych urządzeń końcowych i automatycznych systemów wywołujących dla celów marketingu bezpośredniego, chyba że abonent lub użytkownik końcowy uprzednio wyraził na to zgodę. Telekomunikacyjne urządzenia końcowe to każde urządzenie podłączone do sieci, a więc: telefon stacjonarny i komórkowy, tablet, faks oraz komputer, zaś marketing bezpośredni jest rozumiany jako dostarczanie bezpośrednio klientom informacji lub propozycji dotyczących sprzedaży towarów i usług. Pojęcie to nie zostało zdefiniowane w obecnie obowiązujących przepisach, jednak opierając się na analizie poszczególnych regulacji możliwe jest stwierdzenie, że stanowi on pojęcie szersze od informacji handlowej (wspomnianej wyżej). Mogłoby się więc wydawać, że nowelizacja wprowadziła drobną zmianę redakcyjną do PrTel, tymczasem w rzeczywistości znacznie zawęziło to możliwości aktywności marketingowych. W celu prowadzenia telemarketingu muszą oni pozyskać zgodę osoby, do której będzie on kierowany.

Działania GIODO będą więc polegały na zbadaniu, czy przedsiębiorca dysponuje podstawą przetwarzania danych osobowych, które wykorzystuje w prowadzeniu działalności marketingowej. Jednakże gdy dostrzeże nieprawidłowości odnoszące się do obowiązku pozyskania zgód, może on zadecydować o podjęciu działań zmierzających do zaprowadzenia stanu zgodnego z prawem.

Na zakończenie warto wskazać, iż dalsze działania GIODO będą zależne od wyników audytu ochrony danych osobowych. Może on zdecydować o zastosowaniu środków administracyjnoprawnych przyznanych mu przepisami uODO. W zależności od wagi i stopnia naruszeń pewne ryzyko stanowi również pociągnięcie do odpowiedzialności karnej, jak i zgłoszenie nieprawidłowości do właściwych organów. Znaczny komfort przedsiębiorcy zapewni wcześniej przeprowadzony niezależny audyt bezpieczeństwa informacji przeprowadzony przez profesjonalny podmiot. Może stać się on dla przedsiębiorstwa szansą na optymalizację oraz wdrożenie prawidłowych reguł postępowania odnoszących się do ochrony danych osobowych. Sporządzenie szczegółowego raportu, w tym w zakresie przetwarzania danych osobowych dla celów marketingowych, pozwoli zorientować się, jak funkcjonuje przedsiębiorstwo w zakresie przetwarzania danych, jakie stosuje się praktyki oraz czy stosowane środki organizacyjno- techniczne są wystarczające, a nade wszystko czy zapewniają bezpieczeństwo danych przedsiębiorcy.