Baza danych osobowych – wymogi i ryzyka wykorzystywania jej do celów reklamowych.

• 24.12.2018

• Autor: Michał Rogoziński

• analizy

Jednym z podstawowych zadań działów sprzedażowych i marketingowych w firmach jest pozyskiwanie nowych klientów. W dzisiejszych czasach sukces tych działań w dużej mierze opiera się na pozyskaniu danych osobowych klienta, takich jak: imię i nazwisko, adres e-mail lub numer telefonu. Z punktu widzenia RODO kanały pozyskiwania danych osobowych podzielone są na dwie kategorie:

1. od osoby, której dane dotyczą (np. poprzez wypełnienie formularza na stronie internetowej);

2. w sposób inny niż od osoby, której dane dotyczą (np. zakupując dane osobowe potencjalnych klientów z bazy danych innego właściciela).

Aktualnie, na rynku jest wiele podmiotów, które oferują bazy danych zawierające tzw. leady, czyli podstawowe informacje np. o konsumencie, pozwalające na wykonanie kampanii mailingowej lub telefonicznej. Jest to popularny sposób na pozyskiwanie danych osobowych potencjalnych klientów, ale należy mieć świadomość obowiązków, które trzeba przy tej okazji spełnić oraz ryzyka, które wiąże się z przetwarzaniem tak pozyskanych danych.

Przy zakupie bazy danych zastosowanie ma rozszerzony obowiązek informacyjny, określony w art. 14 RODO. Zgodnie z jego brzmieniem należy poinformować osoby, których dane zostały pozyskane m.in. o źródle ich pozyskania oraz o tym jakie kategorie danych osobowych zostały pozyskane – stanowi to istotne rozszerzenie katalogu informacji w porównaniu do sytuacji, gdy pozyskujemy dane osobowe bezpośrednio od osoby, której one dotyczą.

Poza opracowaniem sposobu przekazania i treści informacji ważny jest również termin, w którym należy to zrobić. RODO określa trzy przypadki, które determinują termin spełnienia obowiązku informacyjnego:

1. w rozsądnym terminie po pozyskaniu danych osobowych, ale najpóźniej w ciągu miesiąca od ich pozyskania;
2. najpóźniej przy pierwszej komunikacji z osobą, której dane pozyskaliśmy, jeżeli dane osobowe mają być stosowane do komunikacji z tą osobą;
3. najpóźniej przy pierwszym ujawnieniu danych osobowych innemu odbiorcy, jeżeli planuje się ujawnić dane osobowe.

Przed pozyskaniem bazy danych osobowych z zewnętrznego źródła warto zastanowić się w jaki sposób zamierzamy spełnić obowiązek informacyjny. Jeżeli konsument nie będzie wiedział jaka firma się z nim kontaktuje oraz skąd dysponuje jego danymi, ryzyko narażenia się na skargę z jego strony wzrasta.

Zdecydowanie więcej problemów może sprawić zapewnienie podstawy prawnej do wykorzystania zakupionych danych w celu prowadzenia działalności marketingowej. Zgodnie z przepisami na komunikację za pośrednictwem poczty elektronicznej lub telefonu konieczne jest pozyskanie dobrowolnej zgody od osoby, do której kierowana będzie komunikacja. W przypadku zakupu bazy danych od innego podmiotu nie mamy wpływu na to, jakiego rodzaju zgodami dysponuje sprzedający lub czy dysponuje jakimikolwiek zgodami. Nie wiemy też czy zostały one pozyskane zgodnie z prawem.

Dostawcy baz danych często zbierają zgody marketingowe o treści wskazującej, że dotyczą one „partnerów” dostawcy lub „firm współpracujących”. Jednocześnie brak jest informacji gdzie można zapoznać się z listą tych podmiotów, co często powoduje, że w praktyce mamy do czynienia ze zgodą in blanco – konsument zgadza się na otrzymywanie informacji marketingowych od nieograniczonej

liczby podmiotów. Można mieć słuszne wątpliwości, czy jako firma korzystająca z takiej bazy będziemy w stanie uzasadnić podstawę prawną do kontaktu w celach marketingowych.

Warto pamiętać, iż firma po zakupie bazy danych staje się jej administratorem i ponosi wszelkie konsekwencje ich przetwarzania: podstawa prawna przetwarzania, obowiązek informacyjny, zgody na komunikację marketingową – wszystkie te elementy „obciążają” nowego administratora. W konsekwencji, w sporze z konsumentem nie będziemy mogli zasłonić się umową z dostawcą bazy danych.

Oczywiście, można zadbać, aby w umowie znalazły się postanowienia nakładające na dostawcę odpowiedzialność za ewentualne kary, które nasza firma zapłaci z powodu wykorzystywania zakupionych danych, ale nie zmienia to faktu, że najpierw ewentualna kara będzie nałożona na nas.

Wdrożenie RODO

Zewnętrzny Inspektor Ochrony Danych

Audyt RODO

Autor

Michał Rogoziński

Specjalista w dziedzinie ochrony danych osobowych - Inspektor Ochrony Danych (Data Protection Officer), doświadczony praktyk. Doradza polskim przedsiębiorcom przy budowaniu i rozwijaniu bezpiecznego biznesu.