Marketing a RODO

Od dnia 25 maja 2018 r., tj. od dnia wej­ścia w życie Roz­po­rzą­dze­nia Par­la­men­tu Euro­pej­skie­go i Rady (UE) 2016/679 (dalej: „RODO”, „Roz­po­rzą­dze­nie”) zmie­ni­ły się moż­li­wo­ści przed­się­bior­ców w zakre­sie pro­wa­dze­nia dzia­łań mar­ke­tin­go­wych. Poni­żej wyja­śni­my w jakich oko­licz­no­ściach przed­się­bior­ca musi pozy­skać zgo­dę oso­by na pro­wa­dze­nie dzia­łań mar­ke­tin­go­wych, a kie­dy zgo­da taka nie będzie wymagana.

Przetwarzanie danych dla celów marketingowych

Dany­mi oso­bo­wy­mi są wszel­kie infor­ma­cje o ziden­ty­fi­ko­wa­nej lub moż­li­wej do ziden­ty­fi­ko­wa­nia oso­bie fizycz­nej (np. imię i nazwi­sko, numer tele­fo­nu, adres e‑mail itp.). Prze­twa­rza­niem danych oso­bo­wych jest nato­miast ope­ra­cja lub zestaw ope­ra­cji wyko­ny­wa­nych na danych oso­bo­wych (zbie­ra­nie, utrwa­la­nie, prze­cho­wy­wa­nie itp.).

Prze­twa­rza­nie danych oso­bo­wych jest zgod­ne z RODO, jeże­li:

1. wyra­żo­na zosta­ła zgo­da na przetwarzanie;
2. jest nie­zbęd­ne do wyko­na­nia umowy;
3. jest nie­zbęd­ne do wyko­na­nia obo­wiąz­ku praw­ne­go cią­żą­ce­go na administratorze;
4. jest nie­zbęd­ne do ochro­ny żywot­nych inte­re­sów oso­by, któ­rej dane doty­czą lub innej oso­by fizycznej;
5. jest nie­zbęd­ne do wyko­na­nia zada­nia w inte­re­sie publicz­nym bądź spra­wo­wa­nia wła­dzy publicz­nej przez administratora;
6. jest nie­zbęd­ne dla praw­nie uza­sad­nio­nych inte­re­sów administratora.

Pod­sta­wą do prze­twa­rza­nia danych oso­bo­wych przed przed­się­bior­cę (admi­ni­stra­to­ra) dla celów mar­ke­tin­go­wych mogą być wyłącz­nie nastę­pu­ją­ce oko­licz­no­ści, a mianowicie:

1. zgo­da oso­by, któ­rej dane doty­czą oraz
2. praw­nie uza­sad­nio­ny inte­res administratora.

Zgoda osoby, której dane dotyczą

Pierw­szą i głów­ną pod­sta­wą prze­twa­rza­nia danych oso­bo­wych w celach mar­ke­tin­go­wych jest zgo­da oso­by, któ­rej dane doty­czą. Zgo­da, według defi­ni­cji zawar­tej w RODO ozna­cza oka­za­nie woli oso­by, któ­rej dane doty­czą. Oka­za­nie takie win­no być dobro­wol­ne, kon­kret­ne, jed­no­znacz­ne oraz świa­do­me. Wyra­zić je moż­na zarów­no w for­mie oświad­cze­nia (np. pisem­ne­go bądź ust­ne­go) lub wyraź­ne­go dzia­ła­nia (np. zazna­cze­nie okien­ka na stro­nie inter­ne­to­wej). Zgo­dy ogól­ne nie są bowiem uzna­wa­ne za pra­wi­dło­we pod­sta­wy do prze­twa­rza­nia danych osobowych. 

RODO, w jed­nym w swych moty­wów pre­cy­zu­je, iż mil­cze­nie lub nie­pod­ję­cie dzia­ła­nia nie ozna­cza wyra­że­nia zgo­dy. Na grun­cie prze­pi­sów RODO obec­nie wyra­że­nie zgo­dy nie może być ukry­te np. w regu­la­mi­nie wpro­wa­dzo­nym u admi­ni­stra­to­ra bądź zapi­sa­ne tzw. „małym drucz­kiem” na dole stro­ny. 
Z całą pew­no­ścią admi­ni­stra­tor musi być w sta­nie wyka­zać wyra­że­nie zgo­dy na prze­twa­rza­nie danych oso­bo­wych, w tym dla celów mar­ke­tin­go­wych. War­to wska­zać, iż zgo­da może być w każ­dej chwi­li wyco­fa­na. Nota­be­ne rów­nież dziec­ko, któ­re ukoń­czy­ło 16 lat może wyra­zić zgo­dę na prze­twa­rza­nie jego danych oso­bo­wych jed­nak­że wyłącz­nie, gdy prze­twa­rza­nie to doty­czy tzw. usług spo­łe­czeń­stwa informacyjnego. 

Uzasadniony interes administratora 

Dru­gą z pod­staw prze­twa­rza­nia danych oso­bo­wych jest uza­sad­nio­ny inte­res admi­ni­stra­to­ra. Jed­no­cze­śnie nale­ży pamię­tać, że pod­sta­wa ta może być sto­so­wa­na wyłącz­nie w zakre­sie mar­ke­tin­gu bez­po­śred­nie­go. Nie moż­na jed­nak się powo­ły­wać na uza­sad­nio­ny inte­res admi­ni­stra­to­ra, gdy nad­rzęd­ny inte­res wobec nie­go mają inte­re­sy oraz pra­wa i wol­no­ści oso­by, któ­rej dane doty­czą (np. oso­ba ta jest dzieckiem). 

Zgod­nie z jed­nym z moty­wów RODO praw­nie uza­sad­nio­ny inte­res ist­nie­je, gdy zacho­dzi istot­ny rodzaj powią­za­niamię­dzy oso­bą, któ­rej dane doty­czą, a admi­ni­stra­to­rem (np. rela­cja sprze­daw­ca – klient). Nale­ży mieć jed­nak na uwa­dze, iż ist­nie­nie uza­sad­nio­ne­go inte­re­su zawsze win­no być oce­nia­ne w kon­kret­nym sta­nie fak­tycz­nym, dla­te­go też przed­się­bior­cy win­ni pod­sta­wę tę sto­so­wać wyłącz­nie, gdy nie mają wąt­pli­wo­ści, czy w danej sytu­acji rela­cja taka zacho­dzi, aby nie nara­zić się na zarzut bra­ku pod­sta­wy do prze­twa­rza­nia danych oso­bo­wych i wią­żą­cych się z tym sank­cji prawnoadministracyjnych. 

Mar­ke­ting bez­po­śred­ni korzy­sta z form komu­ni­ka­cji bez­po­śred­niej z klien­tem, któ­ry otrzy­mu­je ofer­tę dopa­so­wa­ną do jego indy­wi­du­al­nych potrzeb i ocze­ki­wań (np. za pośred­nic­twem pocz­ty elek­tro­nicz­nej czy pod­czas roz­mo­wy tele­fo­nicz­nej). W przy­pad­ku mar­ke­tin­gu bez­po­śred­nie­go, oso­ba, któ­rej dane doty­czą musi mieć zagwa­ran­to­wa­ne pra­wo wnie­sie­nia sprze­ci­wu wobec prze­twa­rza­nia jej danych oso­bo­wych. Sprze­ciw taki może być wnie­sio­ny w dowol­nym momen­cie, o czym nale­ży ją poinformować.

Bazy marketingowe

Admi­ni­stra­to­rzy two­rzą­cy bazy mar­ke­tin­go­we win­ni prze­cho­wy­wać treść całych zgód na prze­twa­rza­nie danych oso­bo­wych celem posia­da­nia dowo­du potwier­dza­ją­ce­go ich uzyskanie. 

Nad­to, prze­twa­rza­nie danych oso­bo­wych doko­ny­wa­ne od tej pory może być doko­ny­wa­ne wyłącz­nie w okre­ślo­nym celu i cza­sie. Nie moż­na więc danych oso­bo­wych uzy­ska­nych w okre­sach wcze­śniej­szych prze­cho­wy­wać w bazach danych przed­się­bior­ców przez czas nie­ozna­czo­ny, po wyga­śnię­ciu celu, dla któ­re­go zosta­ły zebrane.

Podsumowanie

Pod­kre­ślić nale­ży, że wpro­wa­dzo­ne prze­pi­sy Roz­po­rzą­dze­nia nie zaka­zu­ją two­rze­nia baz danych oso­bo­wych dla celów mar­ke­tin­go­wych. Jest to dopusz­czal­ne na pod­sta­wie zgód osób, któ­rych dane są prze­twa­rza­ne bądź w opar­ciu o praw­nie uza­sad­nio­ny inte­res admi­ni­stra­to­ra. Na admi­ni­stra­to­rów nało­żo­no jed­nak nowe obo­wiąz­ki, któ­rych dotych­czas nie było. Wśród nich jest m. in. obo­wią­zek infor­ma­cyj­ny czy obo­wią­zek prze­strze­ga­nia praw osób do bycia zapomnianym). 

Powrót do spe­cja­li­za­cji — Szko­le­nie RODO