Członek OFE ma wiedzieć, co podpisuje

Zgoda na przetwarzanie danych osobowych w celach marketingowych oraz na odbieranie informacji handlowych drogą elektroniczną muszą być wyrażone oddzielnie

Otwarte fundusze emerytalne nie mogą zapominać o dyrektywie UE o ochronie danych osobowych i prywatności w sektorze łączności elektronicznej. Przypomniał o tym w swoim wyroku Naczelny Sąd Administracyjny (sygnatura akt I OSK 1317-1318/11), oddalając skargi kasacyjne Otwartego Funduszu Emerytalnego (OFE) ING Nationale-Nederlanden Polska oraz spółki ING Usługi Finansowe SA.

Formularz deklaracji o przystąpieniu do OFE ING Nationale-Nederlanden, zamieszczony na stronie internetowej, zawierał cztery zakładki  stanowiące integralną część deklaracji. Były to dane przystępującego drogą elektroniczną do OFE, adres i kontakt, osoby uposażone oraz dyspozycje i oświadczenia. Oświadczenie w ostatniej zakładce dotyczyło zgody na przetwarzanie danych osobowych w celach marketingowych oraz na przesyłanie na adres poczty elektronicznej informacji handlowych.

Zakwestionował to generalny inspektor ochrony danych osobowych. Oświadczenie  zamieszczone w deklaracji przystąpienia do OFE nie może zawierać  obu rodzajów takich zgód – stwierdził. Decyzjami z września i listopada 2010 r. nakazał modyfikację klauzuli, tak  aby powstały dwa odrębne oświadczenia: zgody na przetwarzanie danych osobowych dla celów marketingowych w rozumieniu art. 7 ust. 5 ustawy o ochronie danych osobowych oraz zgody na przekazywanie informacji handlowych drogą elektroniczną, wymaganej przepisami ustawy o świadczeniu usług drogą elektroniczną. Art. 7 ust. 5 ustawy mówi, że zgoda nie może być domniemana ani dorozumiana z oświadczenia woli o innej treści. Musi być wyraźna i dotyczyć przetwarzania danych w konkretnym celu, wskazanym przez administratora danych.

Zgoda na przetwarzanie danych osobowych ma być wyraźna, a nie domniemana

ING OFE Nationale-Nederlanden oraz spółka ING Usługi Finansowe, która na mocy umowy z N-N prowadzi rejestr i obsługę członków OFE, zaskarżyły decyzje GIODO do Wojewódzkiego Sądu Administracyjnego w Warszawie, a po niekorzystnym dla nich wyroku złożyły skargi kasacyjne do NSA.

– Nakaz rozdzielenia zgody na przetwarzanie danych w celach marketingowych od zgody na otrzymywanie informacji handlowych drogą elektroniczną nie ma oparcia w przepisach. Ustawa o ochronie danych osobowych tego nie zakazuje – przekonywali pełnomocnicy skarżących podczas rozprawy kasacyjnej w NSA.

Ustawa rzeczywiście nie zakazuje wyrażenia w jednym oświadczeniu zgody na dwa rodzaje przesyłania danych osobowych – stwierdziły oba sądy. Jednakże umieszczenie w jednym zdaniu zgody na dwa, w istocie różne, sposoby przetwarzania danych osobowych, bez ich rozdzielenia, powoduje, że nie wiadomo, czego właściwie ona dotyczy. Jest to sprzeczne z art. 7 ust. 5 ustawy o ochronie danych osobowych.

– Wymaga tego nie tylko polskie prawo, ale również dyrektywa wspólnotowa – powiedziała sędzia Barbara Adamiak, uzasadniając wyrok NSA oddalający skargi kasacyjne. – Inna jest bowiem sfera bezpieczeństwa, gdy przekazuje się dane osobowe w formie tradycyjnej, a inna, gdy wprowadza się je do sieci. Kierując się dyrektywą, należy w sposób wyraźny wyodrębnić klauzule zgody, ażeby ten, kto je podpisuje, wiedział, na co właściwie się zgadza. Musi też mieć możliwość odwołania zgody.