Czy prawidłową praktyką jest zamieszczanie w treści umowy zawieranej z klientem klauzuli zgody na przetwarzanie danych osobowych tak, by osoba zgadzająca się na zaproponowane warunki umowy, zgadzała się jednocześnie na przetwarzanie danych w celu wykonania tej umowy lub w innych celach wskazanych przez administratora?
Nie, gdyż nie można uzależniać wykonania umowy od wyrażenia zgody na przetwarzanie danych osobowych w określonym celu. Ponadto, na wykorzystywanie danych w celu zawarcia lub wykonania umowy zgoda w ogóle nie jest potrzebna.
Uzasadnienie
Do Generalnego Inspektora Ochrony Danych Osobowych zwracają się osoby, które czują się zmuszane do wyrażania zgody na przetwarzanie ich danych osobowych. Do takich sytuacji dochodzi najczęściej, przy okazji zawierania różnego rodzaju umów. Sprzedawcy lub świadczeniodawcy usług sporządzają kwestionariusze, formularze zawierające w ich treści klauzulę zgody na przetwarzanie danych osobowych. Takie klauzule, obejmują zgodę na przetwarzanie danych w celu wykonania zawieranej umowy, a dodatkowo zgodę na wykonywanie innych operacji na danych osobowych np. ich przekazywanie innym podmiotom, udostępnianie, przekazywanie za granicę lub wykorzystywanie w celach marketingowych.
Z takiej konstrukcji klauzuli zgody wynika, że jeśli klient nie zgodzi się na wykorzystywanie jego danych osobowych w sposób określony przez firmę w treści klauzuli, to tym samym nie zgodzi się na ich wykorzystywanie w celu wykonania umowy. Formularze zawierające takie klauzule zgody są przedkładane do podpisu klientowi. Tym samym, klienci, przy okazji wypełniania przygotowanych przez różne firmy formularzy czy druków, są niejako zmuszani do wyrażania zgody na wykorzystywanie ich danych osobowych do określonych w klauzuli zgody celów, pozostając w przekonaniu, że bez wyrażenia tej zgody nie będą mogli skorzystać z produktów lub usług świadczonych przez firmę, czyli nie będą mogli zrealizować umowy.
Tymczasem, zgodnie z ustawą o ochronie danych osobowych, na wykorzystywanie danych w celu zawarcia lub wykonania umowy zgoda w ogóle nie jest potrzebna. Jednym z podstawowych warunków zgodnego z prawem przetwarzania danych osobowych jest bowiem spełnienie tylko jednego z pięciu warunków określonych w art. 23 ust. 1 ustawy o ochronie danych osobowych. Zatem, jeśli zgodnie z pkt 3 tego przepisu, wykorzystywanie danych uzasadnia konieczność realizacji umowy, gdy osoba, której dane dotyczą jest jej stroną, lub gdy jest to konieczne do podjęcia koniecznych działań przed zawarciem takiej umowy, to dodatkowe żądanie zgody na przetwarzanie danych w celu realizacji umowy, jest zbędne. Jeśli firma gromadzi dane swojego przyszłego klienta i ma zamiar wykorzystywać je jedynie do celu realizacji umowy, którą z nim zawiera, nie powinna zwracać się o zgodę na przetwarzanie danych. Natomiast, gdyby firma zamierzała wykorzystać dane swoich klientów w innym celu niż do realizacji lub wykonania umowy zawartej z klientem nie spełniając przy tym żadnego z warunków określonych w art. 23 ust. 1 pkt 2 - 5 ustawy, o taką zgodę powinna się zwrócić.
Zgodnie z art. 23 ust. 1 pkt 1 ustawy, administrator danych jest uprawniony do wykorzystywania danych osobowych, jeśli osoba, której dane dotyczą wyrazi na to zgodę. Ustawa o ochronie danych osobowych precyzuje pojęcie zgody. Zgodą (art. 7 pkt 5 ustawy) jest oświadczenie woli pochodzące od osoby, której dane dotyczą, którego treścią jest zgoda na przetwarzanie danych tego, kto składa to oświadczenie; zgoda nie może być domniemana lub dorozumiana z oświadczenia woli o innej treści; zgoda może być w każdym czasie odwołana.
Z definicji tej nie wynikają szczegółowe zasady formułowania klauzuli zgody, ale warto podkreślić, że, zgodnie z tą definicją, z treści zgody na przetwarzanie danych osobowych powinno w sposób nie budzący wątpliwości wynikać, w jakim celu, w jakim zakresie i przez kogo dane osobowe będą przetwarzane. Wyrażający zgodę musi mieć pełną świadomość tego, na co się godzi. Jednocześnie, podkreślenia wymaga czynnik woli osoby wyrażającej zgodę. Oświadczenie o wyrażeniu zgody musi być zgodne z zamiarem osoby. Nie może ona czuć się zmuszona do złożenia oświadczenia o wyrażeniu zgody.
Z powyższego wynika, że podmiot, który przy okazji zawierania umowy zamierza również pozyskać zgodę na przetwarzanie danych osobowych kontrahenta, zobligowany jest do wyodrębnienia oświadczenia, którego treścią jest zgoda na przetwarzanie danych osobowych, od oświadczenia wyrażającego chęć związania się postanowieniami umowy. Nie można bowiem utożsamiać woli zawarcia umowy ze złożeniem oświadczenia woli, na podstawie którego osoba, której dane dotyczą, zgadza się na wykorzystywanie jej danych osobowych do innych celów.
Powyższe stanowisko Generalnego Inspektora Ochrony Danych Osobowych znajduje potwierdzenie zarówno w orzecznictwie sądów administracyjnych, jak i doktrynie. Zgodnie z ugruntowanym w literaturze przedmiotu poglądem: jeżeli osoba zbierająca, czy w inny sposób przetwarzająca dane osobowe zwraca się o zgodę, musi to zostać sformułowane w sposób jednoznaczny i wyróżniać się spośród innych pochodzących od tej osoby informacji i oświadczeń (J. Barta, R. Markiewicz, Ochrona danych osobowych - komentarz, Zakamycze 2001, s. 311). Zgodnie treścią wyroku Naczelnego Sądu Administracyjnego z dnia 19 listopada 2001 r. (sygn. akt II SA 2748/00) "nie ulega wątpliwości, iż celem osoby zawierającej umowę jest chęć nabycia oferowanego produktu za ustaloną opłatą, a nie chęć pozbycia się swojego prawa do ochrony danych osobowych określonego w art. 1 ust. 1 ustawy. Tym samym uznać należy, że działanie osób dokonujących zamówienia jednego z oferowanych przez Spółkę produktów zmierzają do zawarcia stosownej umowy a nie wyrażenia zgody na przetwarzanie dotyczących ich danych osobowych." Przytoczyć można również wyrok z dnia 19 listopada 2001 r. (sygn. akt II SA 2748/00), w którym Naczelny Sąd Administracyjny stwierdził, iż udostępnienie danych osobowych podmiotom trzecim powinno być odrębnym oświadczeniem woli, nie musi bowiem dana osoba godzić się na udostępnienie swoich danych osobom trzecim. W literaturze przedmiotu prezentowany jest pogląd, iż jeśli oświadczenie woli o wyrażaniu zgody na przetwarzanie danych nie obejmowało możliwości udostępnienia danych innemu administratorowi, działanie takie jest niedopuszczalne, dla udostępnienia danych innym podmiotom konieczna jest dodatkowa zgoda osoby, której dane dotyczą (Janusz Barta, Ryszard Markiewicz Ochrona danych osobowych Komentarz, Zakamycze 2002 s. 388, S. Grynhoffi P. Woźny "Ochrona Danych Osobowych w praktyce" pkt 2/2, s. 7-11).
źródło: GIODO