Marketing zawsze był i będzie tym obszarem, który dostarcza nowych pytań. Tym co skłoniło nas by zająć się tym tematem było pytanie, czym jest w istocie pozostawienie pustego tzw. checkbox’a i czy może to mieć konsekwencje prawne? Czy oznacza odwołanie wcześniej wyrażonej zgody? W końcu nie powiedzieliśmy „tak”, ale czy powiedzieliśmy „nie’?
Ale problemów jest oczywiście więcej, zaczniemy zatem od samego początku.
-
Zgoda i odbieranie zgody wygoda
Aby zgoda mogła być uznana za legalną musi oczywiście spełniać określone warunki.
Za udzielenie ważnej zgody na przetwarzanie danych osobowych w celach marketingowych będzie uważane takie działanie podmiotu danych, które polega na świadomym i aktywnym wyrażeniu wobec administratora zezwolenia na przetwarzanie danych osobowych tego podmiotu, np. poprzez zaznaczenie / kliknięcie odpowiedniego (pustego) miejsca wyznaczonego i opisanego przez administratora. Przed udzieleniem zgody podmiot danych musi zostać poinformowany m.in. kim jest administrator, jaki będzie cel oraz podstawy przetwarzania danych osobowych. Oczywistym jest dla wszystkich zajmujących się RODO, że udzielona zgoda może być odwołana w każdej chwili i w sposób równie łatwy jak została udzielona. I co bardzo ważne, a o czym czasem administratorzy zapominają, świadczenie innej usługi nie będzie w jakikolwiek sposób uzależnione od wyrażenia zgody na przetwarzanie danych osobowych dla celów marketingowych.
Więcej na ten temat pisaliśmy tutaj: https://gdpr.pl/aktualnosci/dzien-z-zycia-rodo-czyli-developer-whisky-i-zgody-marketingowe
Przedstawione wyżej zagadnienia nie były problematyczne, co też potwierdził Urząd w swojej odpowiedzi skierowanej do nas stwierdzając, że „ogólne rozporządzenie o ochronie danych osobowych daje administratorom dużą swobodę w kształtowaniu swoich procesów. W związku z tym nie ma jednego słusznego sposobu np. odbierania zgód. W całym procesie ważne jest, by zostały spełnione przy tym zasady wynikające z RODO (…) podstawowymi przesłankami konstrukcyjnymi zgody są dobrowolność, konkretność, świadomość i jednoznaczność” [1].
Prezes Urzędu podkreślił jednak, że kluczowym obowiązkiem administratora jest zapewnienie wyrażającemu zgodę rzetelnej informacji, w jakim celu i na czyją rzecz zgoda ma zostać wyrażona.
Co bardzo ciekawe Urząd wskazał dalej, że „w treści zgody, powinny zostać jednoznacznie wskazane kanały komunikacji, które obejmuje zgoda (np. sms, telefon/telekomunikacyjne urządzenie końcowe, e-mail)”.
Ponadto w odpowiedzi podkreślono niedopuszczalność odbierania zgody na przetwarzanie danych osobowych w przypadku istnienia innej przesłanki legalizacyjnej upoważniającej administratora do przetwarzania danych osobowych w tym samym zakresie i celu. Wbrew pozorom takie nieprawidłowe działania administratorów danych wciąż często występują w praktyce. Najlepszym przykładem może być kara greckiego organu ds. ochrony danych osobowych, nałożona na spółkę, która zbierała zgody od swoich pracowników na przetwarzanie danych kadrowych.
-
Zgoda zawsze przed kontaktem marketingowym
Organ nadzorczy odniósł się również do praktyki polegającej na pozyskiwaniu zgody od konsumenta na kontakt marketingowy w trakcie zapoczątkowanej już rozmowy telefonicznej. Stanowisko Urzędu jest w powyższym zakresie niezmienne od wielu lat i spójne z poglądami wyrażanymi przez Urząd Ochrony Konkurencji i Konsumentów. Prezes Urzędu wyraźnie podkreślił, że: „zgodę na marketing bezpośredni należy uzyskać nie w trakcie, lecz przed rozpoczęciem działań marketingowych (przed skierowaniem do konsumenta informacji handlowej). Uzyskanie zgody jest konieczne do legalnego kontynuowania prowadzonych działań marketingowych, a praktykę uzyskiwania zgody na kontakt w celu marketingu bezpośredniego w trakcie kontaktu telefonicznego nawiązanego z konsumentem, który nie wyraził na to uprzedniej zgody, należy uznać za nieprawidłową, niezgodną z przepisami. (…) Wyrażenie zgody w marketingu bezpośrednim, w związku z art. 172 Prawa telekomunikacyjnego, wymaga określonej akcji od podmiotu danych o określonym natężeniu jednoznaczności i wyraźności (w przypadku działania potwierdzającego). Oznacza to, że wszelkie modele wykorzystujące bierność, milczenie osoby, której dane dotyczą, lub jej nieuwagę, a także ustawienia domyślne, domyślnie zaznaczone okienka zgód itp. są niedopuszczalne”
-
Tajemnica pustego pola
To co nas i naszych czytelników szczególnie interesowało, to pytanie, czy pozostawienie pustego checkbox’a przez osobę, którą prosimy o wyrażenie zgody, a która już wcześniej ją wyraziła, może być traktowane jako jej odwołanie? To zagadnienie było efektem wątpliwości jakie możemy mieć patrząc na bardzo rygorystyczne podejście do zagadnienia zgód. Jeśli bowiem ktoś, kogo pytamy o zgodę, jej nie potwierdził, to czy może z tego domniemywać, że ją wycofuje?
W odpowiedzi jaką otrzymaliśmy z Urzędu na szczęście wskazano, że „RODO określa zasady udzielania zgód na przetwarzanie danych. Nic nie mówi o oświadczeniu dotyczącym ich nieudzielenia. (…) Jeżeli podstawą przetwarzania danych osobowych jest zgoda osoby, której dane dotyczą, to nie ma konieczności jej udzielania za każdym razem. Wobec tego pozostawienie pustego pola nie jest równoznaczne z odwołaniem zgody”.
Czy jednak na pewno nie będzie żadnego problemu, wszak pytamy tą sama osobę wielokrotnie o to samo, co może w jej rozumieniu oznaczać, że jej kolejne milczenie może być rozumiane jako brak woli współpracy. Dostrzegamy takie ryzyko i zdaje się, że Urząd także nie rekomenduje takich praktyk. „Niemniej jednak pytanie o zgodę za każdym razem, np. w formie formularza internetowego, może wprowadzać osoby w błąd. Dlatego dobrym rozwiązaniem byłoby skonstruowanie formularza w taki sposób, by nie pojawiał się (lub nie by wręczany przy osobistym kontakcie) osobom, które wcześniej tej zgody udzieliły”. Takie stanowisko Urzędu wyraźnie sugeruje, by zmienić proces pozyskiwania zgód, jeśli mamy do czynienia z powtarzającym się pytaniem o zgodę, bowiem finalnie może to być ryzykowne dla administratora. Urząd zwrócił także, w kontekście minimalizacji danych, uwagę na fakt, że w przedstawionym zagadnieniu nie wiadomo, czy w przypadku odmowy wyrażenia zgody nie dochodzi jednak do przetwarza danych osoby wraz z jej oświadczeniem o odmowie.
Podsumowanie
Pomimo praktyki, wykładni i bogatego orzecznictwa jakiego się doczekaliśmy, w obszarze marketingu wciąż są pytania, które zaskakują. Zagadnieniem, które stało się przyczynkiem do powstania niniejszego artykułu było pytanie o to, jakie w istocie konsekwencje może mieć milczenie przy odbieraniu zgody. Z satysfakcją odnotować można, że wykładnia proponowana przez Urząd jest rozsądna, ale jednocześnie skłania do spojrzenia na zbieranie zgód, jako na logicznie i konsekwentnie budowany proces.
[1] Dodatkowo Prezes Urzędu Ochrony Danych Osobowych w swojej odpowiedzi zachęcił do zapoznania się z nowowydanymi wytycznymi dotyczącymi zgody, które niedawno zostały opublikowane na stronie Europejskiej Rady Ochrony Danych: https://edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-052020-consent-under-regulation-2016679_en.