W serwisach internetowych klauzule zgody na przetwarzanie danych osobowych czasami są, a czasami ich nie ma. Kiedy muszą być, a kiedy nie? Czy zawsze muszą być tej samej treści, czy może to zależy od naszego uznania? Jakie są wymogi prawa w tym zakresie? Co grozi za brak klauzuli, czyli nie uzyskanie zgody użytkownika?
Czy świadczę usługi drogą elektroniczną?
Pierwsze pytanie które musimy sobie zadać posiadając stronę internetową brzmi: Czy strona jest prowadzona w celach zawodowych lub zarobkowych? Trudno w to uwierzyć ale jest znaczna ilość osób, które prowadzą strony internetowe w celach osobistych lub hobbystycznie — innymi słowy „pro publico bono”. W takim przypadku nie trzeba się martwić o zgody, bo zgodnie z zapisami ustawy o ochronie danych osobowych nie jesteśmy tzw. administratorem danych osobowych podanych na naszej stronie internetowej. Kolejne pytanie — czy świadczymy usługi drogą elektroniczną? Tu już gorzej, bo wystarczy „Newsletter” czy chociażby „Formularz kontaktowy” i już świadczymy takie usługi. – Ustawa o świadczeniu usług drogą elektroniczną określa w sposób jednoznaczny, że jeżeli po stronie użytkownika naszej strony internetowej dochodzi do żądania spełnienia jakiejś usługi, a po naszej stronie do spełnienia tej usługi to mamy do czynienia ze świadczeniem usług drogą elektroniczną. – mówi Konrad Gałaj-Emiliańczyk, ekspert ds. Ochrony Danych Osobowych z firmy ODO 24 – Natomiast w przypadku gdy nie świadczymy żadnych usług, a nasza strona jest czysto informacyjna nie musimy się przejmować klauzulami zgody, bo użytkownik naszej strony internetowej nie ma ich gdzie podać. – dodaje Gałaj-Emiliańczyk.
W tym miejscu warto rozróżnić dwa różne rodzaje zgód, które muszą być rozdzielone. Jedna z nich to zgoda na przetwarzanie danych osobowych, a druga to zgoda na świadczenie usług drogą elektroniczną. Trzeba pamiętać, że nie wolno ich łączyć.
Dlaczego muszę uzyskać zgodę?
Najlepszym przykładem jest Newsletter czy inaczej Biuletyn Informacyjny. By móc przetwarzać dane osobowe w postaci adresów mailowych (a takie w naszej bazie mailingowej mogą się trafić np. imię.nazwisko@domena.pl) musimy wykazać jedną z podstaw przetwarzania. Jakie są podstawy przetwarzania danych osobowych? Po pierwsze zgoda osoby, której dane dotyczą, po drugie umowa, po trzecie przepis powszechnie obowiązującego prawa, po czwarte cel publiczny i po piąte usprawiedliwiony prawnie cel administratora danych osobowych. Wszystkie pozostałe podstawy poza zgodą są trudne lub wręcz niemożliwe do udowodnienia, dlatego pozostaje nam jedynie zgoda. Jeżeli zatem nie będziemy w stanie wykazać podstawy przetwarzania danych osobowych, to grożą nam konsekwencje wynikające z przepisów karny z art. 49 UoODO, czyli grzywna, ograniczenie wolności lub nawet pozbawienie wolności do lat 2!
Najczęściej występujące klauzule zgody
Pierwsza klauzula wynika z powyższego obowiązku posiadania podstawy przetwarzania i może brzmieć np. tak:
”Wyrażam zgodę na przetwarzanie moich danych osobowych podanych w powyższym formularzu, w celu otrzymania cennika usług, przez XYZ Sp. z o.o.”
– Brak wyrażenia zgody blokuje dostęp do usługi, jeżeli ktoś jej nie wyrazi, my nie możemy przetwarzać jego danych osobowych, czyli świadczyć usługi, gdyż złamalibyśmy prawo (konkretnie przepis karny UoODO) – podkreśla Maciej Kaczmarski, prezes firmy ODO 24 – Wydawałoby się, że wyrażenie zgody tutaj jest obowiązkowe, ale tak nie jest. Zgoda jest dobrowolna z tym, że jej brak uniemożliwia świadczenie usługi – dodaje.
Druga najczęściej występująca klauzula zgody jest już czysto dobrowolna tzn. nie możemy nikogo zmusić do jej wyrażenia w żaden sposób, nie może też ona blokować dostępu do usług. Co więcej nie może ona być domyślnie zaznaczona, osoba musi ją sama zaznaczyć. Ta tak zwana klauzula marketingowa może brzmieć następująco:
„Wyrażam zgodę na przetwarzanie moich danych osobowych w powyższym formularzu w celach handlowych i marketingowych własnych produktów i usług przez XYZ Sp. z o.o. oraz podmioty trzecie”.
Taka zgoda pozwala nam na sprzedaż danych podanych w formularzu innym podmiotom. W praktyce jak już raz gdziekolwiek wyrazimy zgodę na takie właśnie przetwarzanie naszych danych osobowych to musimy się liczyć z tym, że nasze dane mogą być przetwarzane nawet przez nieograniczoną liczbę podmiotów i zahamowanie tego procesu jest już praktycznie niemożliwe. Inna rzecz, że te podmioty powinny nas poinformować o uzyskaniu naszych danych, bo takie jest prawo.
Trzecia najczęściej występująca klauzula zgody dotyczy samego jedynie świadczenia usług drogą elektroniczną i może brzmieć następująco:
„Wyrażam zgodę na otrzymywanie informacji handlowych drogą elektroniczną na podany powyżej adres poczty elektronicznej wysyłanych przez XYZ Sp. z.o.o.”
Jeżeli ktoś wyrazi zgodę na taką klauzulę to będziemy mogli takiej osobie w pełni legalnie wysyłać mailing. Bez takiej zgody będziemy dopuszczali się czynu zabronionego ściganego na wniosek, powszechnie znanego jako „spam”. Sama ta zgoda nie upoważnia do przetwarzania danych osobowych, dlatego najczęściej występuje wraz z dodatkową klauzulą.
Nieznajomość prawa szkodzi
Zgodnie z prawem. Mało który przedsiębiorca świadczący usługi drogą elektroniczną przejmuje się klauzulami zgody. Najczęściej dlatego, że nie jest świadomy swoich obowiązków wynikających z prawa. Jednak do czasu. Jak pokazuje życie, baza marketingowa z której przedsiębiorca może być bardzo dumny może być zagrożona. Nie jest niczym niezwykłym, że po kontroli u przedsiębiorcy GIODO nakazuje usunięcie danych osobowych, gdyż ich przetwarzanie jest „niedopuszczalne” bo nie np. ma zgody osób, których dane dotyczą. Wszystko zależy od apetytu na ryzyko…, ale po co niepotrzebnie ryzykować?
