Otrzymałem przesyłkę ze stacji kontroli pojazdów, w której zapraszają mnie do przeprowadzenia obowiązkowych badań mojego samochodu. Czy takie wykorzystanie moich danych osobowych jest legalne? A przyjmując, że tak, to czy mogę zażądać jego zaprzestania – pyta czytelnik.

TAK

Istnieje możliwość zażądania od firmy, która dysponuje naszymi danymi osobowymi, aby wstrzymała się z ich przetwarzaniem, w tym w szczególności na potrzeby realizowania jej własnych działań reklamowych lub marketingowych. Z takim przypadkiem mamy tu bowiem do czynienia.

Przynajmniej tak można wywnioskować z treści pytania. Warto zauważyć, że stacje diagnostyczne mają obowiązek prowadzenia rejestru przeprowadzonych badań i czynności podjętych w ich trakcie. Kwestie te reguluje rozporządzenie ministra infrastruktury w sprawie zakresu i sposobu przeprowadzania badań technicznych pojazdów oraz wzorów dokumentów stosowanych przy tych badaniach (DzU z 2009r. nr 155 poz. 1232 ze zm.).

Załącznik ósmy do tego aktu prawnego określa zakres danych wpisywanych do takiego systemu. Jednak nie ma tam mowy o danych osobowych, takich jak imię, nazwisko czy adres właściciela pojazdu. Oczywiście firma może je pozyskać, np. w celu wystawienia faktury za wykonaną usługę. I w ten sposób wejść w posiadanie danych. Jednak nie oznacza to, że do końca życia będziemy skazani na otrzymywanie od niej informacji o zbliżającym się terminie wygaśnięcia badań technicznych. Można bowiem zażądać, aby przedsiębiorca zaprzestał wykorzystywania danych.

Legalność przetwarzania

Przejdźmy do przepisów. W świetle zapisów ustawy o ochronie danych osobowych (DzU z 2002r. nr 101, poz. 926 ze zm.) o legalności przetwarzania danych osobowych można mówić wówczas, gdy zachodzi jedna z przesłanek określonych w art. 23 ust. l ustawy.

Zgodnie z jego treścią przetwarzanie danych jest dopuszczalne tylko wtedy, gdy: osoba, której dane dotyczą, wyrazi na to zgodę, chyba że chodzi o usunięcie dotyczących jej danych (pkt 1), jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa (pkt 2), jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy, na żądanie osoby, której dane dotyczą (pkt 3), jest niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego (pkt 4), jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów, realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą (pkt 5).

Ten ostatni punkt może się m.in. odnosić do wykorzystania danych w celach marketingowych lub dochodzenia roszczeń. Każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny. Oznacza to, że są one równoprawne, a wobec tego spełnienie co najmniej jednej z nich stanowi o zgodnym z prawem przetwarzaniu danych osobowych.

Brak zgody

Tym samym jedną z przesłanek legalizujących proces przetwarzania danych jest zgoda zainteresowanego. W myśl art. 7 pkt 5 przez zgodę osoby, której dane dotyczą – rozumie się oświadczenie woli, którego treścią jest zgoda na przetwarzanie danych osobowych tego, kto składa oświadczenie. Jak wielokrotnie podkreślał w swoich decyzjach Wojciech Rafał Wiewiórowski, generalny inspektor ochrony danych osobowych, zgoda nie może być domniemana lub dorozumiana z oświadczenia woli o innej treści.

Ponadto zgoda taka może być odwołana w każdym czasie. A stanowi o tym art. 32 ust. 1 pkt 8 ustawy, zgodnie z którym każdej osobie przysługuje prawo do kontroli przetwarzania danych, które jej dotyczą, zawartych w zbiorach danych, a zwłaszcza prawo do wniesienia sprzeciwu wobec przetwarzania jej danych w przypadkach wymienionych w art. 23 ust. 1 pkt 4 i 5, czyli m.in. wtedy, gdy administrator danych zamierza je przetwarzać w celach marketingowych lub wobec przekazywania jej danych osobowych innemu administratorowi danych.

Bezwzględny zakaz

Z kolei w świetle art. 32 ust. 3 ustawy o ochronie danych, w razie wniesienia takiego sprzeciwu dalsze przetwarzanie danych jest niedopuszczalne. Jeszcze raz należy podkreślić, że prawo to przysługuje, gdy dane mają być lub są przetwarzane przez administratora w celach marketingowych lub są przekazywane innemu administratorowi danych. Jak wskazuje Wojciech Rafał Wiewiórowski, wniesienie sprzeciwu wywołuje bezwzględny obowiązek zaprzestania przetwarzania danych, a dalsze przetwarzanie kwestionowanych danych jest niedopuszczalne.

WNIOSEK

W opisanym przypadku konsument powinien wystąpić do administratora danych, czyli w tym wypadku stacji diagnostycznej, z żądaniem zaprzestania wykorzystywania jego danych osobowych.

Ten powinien zastosować się do prośby. Jeżeli klient w dalszym ciągu otrzymywałby kartki zapraszające na wizytę kontrolną, może zwrócić się do generalnego inspektora ochrony danych osobowych.

Ten po przeprowadzeniu postępowania, w drodze decyzji administracyjnej, będzie mógł nakazać firmie zaprzestania przetwarzania danych.