Zgodnie z art. 23 ust. 1 pkt 5 ustawy z 29 sierpnia 1997 r. ?o ochronie danych osobowych (DzU nr 133, poz. 883 ze zm.) dopuszczalne jest przetwarzanie danych osobowych bez zgody osób, których dane te dotyczą, jeżeli jest to niezbędne do wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Prawnie usprawiedliwionym celem administratora danych jest więc marketing bezpośredni własnych produktów i usług.
Zawsze można się sprzeciwić przetwarzaniu swoich danych osobowych
Jednak w myśl art. 25 wymienionej ustawy w przypadku zbierania danych osobowych nie od osoby, której one dotyczą, administrator danych, czyli w tym przypadku firma, która kupiła bazę danych osobowych, jest obowiązany poinformować tę osobę bezpośrednio po utrwaleniu zebranych danych o:
Osoba ta może zażądać zaprzestania przetwarzania danych osobowych ze względu na szczególną sytuację oraz wnieść sprzeciw wobec przetwarzania jej danych osobowych.
W opisanym zatem przez czytelnika przypadku poinformowanie każdej z osób znajdujących się bazie jest konieczne. Osoby te powinny wiedzieć o przetwarzaniu ich danych oraz mieć możliwość i czas na złożenie sprzeciwu wobec tego faktu.
Przedsiębiorca, który nie dopełni tego obowiązku, naraża się na sankcje karne. Stosownie do art. 54 ustawy o ochronie danych osobowych osoba, która – administrując zbiorem danych – nie dopełnia obowiązku poinformowania osoby, której dane dotyczą, o jej prawach lub przekazania tej osobie informacji umożliwiających korzystanie z praw przyznanych jej w cytowanej ustawie, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do roku.
