Czy zakup marketingowej bazy danych (wraz ze zgodami marketingowymi pobranymi około 2014 roku) to bezpieczne rozwiązanie? Czy taka zgoda wystarczy by skutecznie kierować do klienta komunikaty marketingowe? Jakie obowiązki ma administrator, który takiego zakupu dokonał? I co najważniejsze: jak daleko sięga obowiązek usunięcia danych osobowych na wniosek osoby, której dane dotyczą? Odpowiedzi na te pytania znajdziemy w niepublikowanej decyzji Prezesa Urzędu Ochrony Danych Osobowych w postępowaniu, którego stroną był autor niniejszego tekstu.
Stan faktyczny
W 2014 roku zarejestrowałem się w pewnym polskim serwisie internetowym poświęconym kinomatografii. Kliknąłem chyba przy tym jakieś zgody marketingowe. Tak przynajmniej twierdzi firma Graweza Sp. z o.o., która w 2022 roku kupiła ten serwis internetowy i niezwłocznie na przełomie 2022 i 2023 roku zaczęła – na zlecenie swoich klientów – wysyłać mi potok wiadomości marketingowych.
Zwróciłem się do administratora danych osobowych z prośbą o informacje skąd mają moje dane, w jakim celu je przetwarzają. Żądałem nadto usunięcia moich danych, zgłosiłem sprzeciw wobec ich przetwarzaniu w celu marketingowym i zażądałem wydania kopii wszystkich moich danych osobowych.
Zgoda marketingowa
Zgodnie z omawianą decyzją UODO, zgoda marketingowa udzielona podczas rejestracji w serwisie internetowym w 2014 roku spełniała wszystkie wymogi wynikające z RODO i obowiązującego wówczas Prawa Komunikacji Elektronicznej. Jest to pierwszy znany mi przypadek uznania, że taka pre-RODOwska zgoda została uznana za faktycznie ważną podczas kontroli realizowanej przez organ ochrony danych.
Wymagany poziom precyzji przy wniosku o usunięcie danych osobowych i cofnięciu zgody marketingowej
Gdy w 2014 roku rejestrowałem się we wspomnianym serwisie, podałem adres daniel.taberski[at]poczta.wp.pl (by być precyzyjnym to trochę inny, ale to nie istotne dla naszej sprawy). Kilka lat później dostawca mojej poczty elektronicznej skrócił adresy – i można było posługiwać się adresem z domeną @wp.pl (choć adres w @poczta.wp.pl nadal działał). Po zakupie bazy danych maile marketingowe przychodziły na adres w domenie @poczta.wp.pl, ale tego nie zauważyłem, gdy wysłałem do administratora sprzeciw wobec przetwarzaniu danych osobowych i żądanie ich usunięcia. Administrator potwierdził usunięcie mojego adresu z bazy (w polu nadawca było daniel.taberski[at]wp.pl), po czym dalej wysyłał wiadomości marketingowe na adres daniel.taberski[at]poczta.wp.pl. Dopiero później, gdy połapałem się w tej różnicy wysłałem drugiego maila do administratora moich danych osobowych, który skutkował zaprzestaniem przysyłania wiadomości marketingowych.
UODO po przeprowadzeniu postępowania uznał, że administrator danych dochował należytej staranności przy moim pierwszym wniosku o usunięcie danych osobowych. Nie można – zdaniem UODO – wymagać od administratora, by przeszukiwał całą swoją bazę danych w poszukiwaniu rekordów podobnych do tego, którego usunięcia żąda osoba, której dane dotyczą. To bardzo cenny wniosek – szczególnie dla podmiotów, które często otrzymują wnioski o usunięcie danych osobowych.
Obowiązek informacyjny
Przy okazji postępowania prowadzonego z mojej skargi UODO wziął też pod lupę sposób realizowania wobec mnie obowiązku informacyjnego z art. 13/14 RODO. I znalazł tu trochę nieprawidłowości:
- W pierwszym doręczonym mi obowiązku informacyjnym zabrakło informacji o prawie do złożenia skargi do UODO. Okoliczność, że mimo tego braku i tak taką skargę złożyłem najwyraźniej nie sanowała uchybienie administratora – albowiem otrzymał za ten brak upomnienie.
- Drugi mój kontakt z administratorem UODO uznał za „nową” (w związku z poprzednim wnioskiem o usunięcie moich danych) sytuację, w której aktualizował się obowiązek doręczenia osobie, której dane dotyczą, obowiązku informacyjnego z art. 13 RODO. Tego administrator nie zrobił, w związku z czym otrzymał drugie upomnienie.
Prawo do kopii danych osobowych
W odpowiedzi na mój wniosek o kopię danych osobowych otrzymałem informację o tym, jakie moje dane administrator przetwarza (adres e-mail, data wyrażenia zgody marketingowej, gdzie ją wyrażono, itp.). Prezes UODO w opisywanej decyzji potwierdził uznane stanowisko doktryny, zgodnie z którym to administrator podejmuje decyzję w jakiej formie dokonuje wydania kopii danych. Mogą to być kopie dokumentów je zawierających, ale może to być sama treść danych tam zawartych.
Jednocześnie jednak organ odkrył nieprawidłowość w przekazanej kopii danych – albowiem w odpowiedzi na zapytanie z adresu e-mail daniel.taberski[at]wp.pl doszło do udostępnienia danych osobowych przypisanych do adresu daniel.tabersk[at]poczta.wp.pl. Opisane powyżej niedopatrzenie oczywiście nie stanowiło incydentu ochrony danych osobowych, albowiem udostępniono mi moje dane (a nie dane osoby trzeciej). tylko przypisane do innego rekordu w bazie danych. Niedopatrzenie to doprowadziło jednak do udzielania administratorowi trzeciego upomnienia.
Wnioski
Z opisanej powyżej, niepublikowanej decyzji UODO wynika szereg praktycznych wniosków dla administratorów danych osobowych – wskazujących przyjmowany przez organ kierunek interpretacji przepisów. W mojej ocenie najważniejsze to:
- administrator danych przy realizacji wniosków podmiotów danych nie ma obowiązku przeszukiwania swoich zasobów w poszukiwaniu rekordów podobnych do wnioskowanego;
- konieczne jest dołączanie pełnej klauzuli informacyjnej (lub odnośnika do niej) do każdej korespondencji z podmiotem danych;
- klauzule informacyjne muszą być kompletne (jak widać nawet fakt, że podmiot danych złożył skargę do UODO nie sanuje braku polegającego na uchybieniu obowiązkowi pouczenia o prawie to złożenia takiej skargi);
- konieczne jest każdorazowo dochowanie wysokiej staranności przy korespondencji z podmiotami danych osobowych – zawarte w niej błędy i omyłki mogą być podstawą do stwierdzenia naruszenia przepisów o ochronie danych osobowych.
Czy ta decyzja oznacza, że wszystkie zgody marketingowe udzielone przed wejściem w życie RODO są ważne i można korzystać z takich starych baz danych? Oczywiście nie – każdy taki przypadek musi być oceniany indywidualnie. Jak widać, w pewnych okolicznościach zakup takiej bazy może się obronić.
Materiał opracowano na podstawie decyzji Prezesa Urzędu Ochrony Danych Osobowych z dnia 17.07.2026 r. w sprawie o sygn. DS.523.199.2023.AZ (decyzja niepublikowana przez organ). Decyzja jest ostateczna.
