Dane osobowe a dodatkowa zgoda na przetwarzanie na potrzeby umowy

Wciąż się zdarza, że firmy ?i inne podmioty wymuszają na swoich klientach, aby ci udzielili zgody na przetwarzanie obejmujących ich danych osobowych. Dzieje się tak, gdy w treść umowy, jaką chce podpisać klient w celu zakupu jakiegoś produktu lub skorzystania z konkretnej usługi, wpleciona jest klauzula zgody. Wygląda to w ten sposób, że osoba zgadzająca się na zaproponowane warunki umowy zgadza się jednocześnie na przetwarzanie danych w celu wykonania tej umowy, jak ?i często w innych celach wskazanych przez przedsiębiorcę, w tym na wykonywanie innych operacji na danych osobowych, np. ich przekazywanie innym podmiotom, udostępnianie, przekazywanie za granicę lub wykorzystywanie w celach marketingowych.

Błędne postępowanie

Warto zauważyć, że takie postępowania administratorów danych jest nieprawidłowe. Z takiej konstrukcji klauzuli zgody wynika bowiem, że jeśli klient nie zgodzi się na wykorzystywanie jego danych osobowych w sposób określony przez firmę w treści klauzuli, to tym samym nie zgodzi się na ich wykorzystywanie w celu wykonania umowy. Formularze zawierające takie zapisy są przedkładane do podpisu klientowi. Tym samym, klienci, przy okazji wypełniania przygotowanych przez różne firmy formularzy czy druków, są niejako zmuszani do wyrażania zgody na wykorzystywanie ich danych osobowych do określonych w klauzuli celów. Przy tym pozostają w przekonaniu, że bez wyrażenia tej zgody nie będą mogli skorzystać z produktów lub usług świadczonych przez firmę, czyli nie będą mogli zrealizować umowy.

Zapewne istnieją dwie podstawowe przyczyny takiego stanu rzeczy. Z jednej strony taka praktyka może być stosowana przez przedsiębiorców, którzy nie są świadomi, że nie muszą mieć oddzielnej zgody klienta na przetwarzanie danych, gdy są one niezbędne do realizacji umowy. I na wszelki wypadek, żeby nie narazić się na zarzut złamania prawa, w każdej umowie umieszczają klauzulę zgody. Z drugiej strony może chodzić o przedsiębiorców, którzy robią to ?z premedytacją. Specjalnie chcą wywrzeć na kliencie wrażenie, że bez udzielenia zgody na przetwarzanie jego danych nie będzie on mógł skorzystać z usługi lub nabyć interesującego go produktu. ?I wykorzystując tę sytuację, proszą o wyrażenie zgody nie tylko na przetwarzanie danych w celu wykonania umowy (co jest samo w sobie bez sensu), ale i w wielu innych celach. ?A zdezorientowany klient na to się godzi. Tymczasem oświadczenie o wyrażeniu zgody na przetwarzanie danych powinno być udzielone świadomie, niezależnie od oświadczeń ?o innej treści i na pewno nie pod przymusem.

Zgodnie z prawem

Przedsiębiorcom, którzy zamieszczają takie klauzule ?w umowach z ostrożności, prosząc o wyrażenie zgody na przetwarzanie danych w celu wykonania kontraktu, warto przypomnieć, co na ten temat mówią przepisy. I tak zgodnie z art. 23 ustawy o ochronie danych osobowych (DzU ?z 2014 r., poz. 1182) przetwarzanie danych (chodzi tu o tzw. dane zwykłe) jest dopuszczalne tylko wtedy, gdy:

Jak wyraźnie wynika z tego przepisu, do wykorzystywania danych w celu zawarcia lub wykonania umowy ?w ogóle nie jest potrzebna odrębna zgoda. Jednym z podstawowych warunków zgodnego z prawem przetwarzania danych osobowych jest bowiem spełnienie tylko jednego ?z pięciu warunków wymienionych w art. 23 ust. 1. Zatem jeśli zgodnie z pkt 3 tego przepisu wykorzystywanie danych jest uzasadnione koniecznością realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną, lub gdy jest to konieczne do podjęcia koniecznych działań przed zawarciem takiej umowy, to dodatkowe żądanie zgody na przetwarzanie danych w celu realizacji umowy jest zbędne. Jeśli przedsiębiorca gromadzi dane swoich przyszłych klientów i ma zamiar wykorzystywać je jedynie do celu realizacji umów, które z nimi zawiera, nie powinien zwracać się ?o zgodę na przetwarzanie danych. Natomiast gdyby firma zamierzała wykorzystać dane swoich klientów w innym celu niż do realizacji lub wykonania umowy zawartej z klientem, nie spełniając przy tym żadnego z warunków określonych w art. 23 ust. 1 ?pkt 2–5 ustawy, o taką zgodę powinna się zwrócić.

Wyodrębnione oświadczenie

Jednak nie oznacza to, że taka klauzula może być wrzucona do treści umowy. Powinna być ona wyraźnie wydzielona. Czym innym jest bowiem podpisanie umowy przez klienta i wyrażenie zgody na związanie się jej treścią, ?a czym innym wyrażenie zgody na udostępnienie danych >patrz ramka. Zgodnie z art. 23 ust. 1 pkt 1 ustawy administrator danych jest uprawniony do wykorzystywania danych osobowych, jeśli osoba, której dane dotyczą, wyrazi na to zgodę. Co istotne, ustawa precyzuje pojęcie zgody. I tak, zgodą jest oświadczenie woli pochodzące od osoby, której dane dotyczą, którego treścią jest zgoda na przetwarzanie danych tego, kto składa to oświadczenie. Zgoda nie może być domniemana lub dorozumiana z oświadczenia woli ?o innej treści. Ponadto może być w każdym czasie odwołana (art. 7 pkt 5 ustawy).

Wprawdzie z tej definicji nie wynikają szczegółowe zasady formułowania klauzuli zgody, ale warto podkreślić, że zgodnie z nią z treści zgody na przetwarzanie danych powinno w sposób niebudzący wątpliwości wynikać, w jakim celu, w jakim zakresie i przez kogo dane osobowe będą przetwarzane. Wyrażający zgodę musi mieć pełną świadomość tego, na co się godzi. Jednocześnie podkreślenia wymaga czynnik woli osoby wyrażającej zgodę. Oświadczenie o wyrażeniu zgody musi być zgodne z zamiarem osoby. Nie może ona czuć się zmuszona do złożenia oświadczenia o wyrażeniu zgody.

W związku z tym można przyjąć, że przedsiębiorca, który przy okazji zawierania umowy zamierza również pozyskać zgodę na przetwarzanie danych klienta do innych celów, zobowiązany jest do wyodrębnienia oświadczenia, którego treścią jest zgoda na ich przetwarzanie, od oświadczenia wyrażającego chęć związania się postanowieniami umowy. Nie można bowiem utożsamiać woli zawarcia umowy ze złożeniem oświadczenia woli, na podstawie którego osoba, której dane dotyczą, zgadza się na wykorzystywanie jej danych osobowych do innych celów.

Zdaniem naczelnego sądu administracyjnego

W sprawach formułowania klauzul o wyrażenie zgody na przetwarzanie danych osobowych, a także umieszczania ich w umowach wielokrotnie wypowiadał się generalny inspektor danych osobowych, podkreślając, że powinny być one wyraźnie oddzielone od innych oświadczeń. W tej sprawie wypowiadały się także sądy. Przykładowo zgodnie z orzeczeniem Naczelnego Sądu Administracyjnego z 19 listopada 2001 r. (II SA 2748/00) „nie ulega wątpliwości, iż celem osoby zawierającej umowę jest chęć nabycia oferowanego produktu za ustaloną opłatą, a nie chęć pozbycia się swojego prawa do ochrony danych osobowych określonego w art. 1 ust. 1 ustawy. Tym samym uznać należy, że działania osób dokonujących zamówienia jednego z oferowanych przez spółkę produktów zmierzają do zawarcia stosownej umowy, a nie wyrażenia zgody na przetwarzanie dotyczących ich danych osobowych". W tym wyroku NSA stwierdził także, że udostępnienie danych osobowych podmiotom trzecim powinno być odrębnym oświadczeniem woli, dana osoba nie musi się bowiem godzić na udostępnienie swoich danych osobom trzecim.