Zgoda osoby, której dane dotyczą, jest tylko jedną z przesłanek legalizujących proces przetwarzania danych osobowych. Do innych, które wskazuje art. 23 ustawy o ochronie danych osobowych, zalicza się m.in. przetwarzanie w sytuacji, gdy uprawnienie do tego albo wręcz obowiązek wynika z przepisów innych ustaw, gdy dotyczy to danych potrzebnych do zawarcia i realizacji umowy, której dana osoba jest stroną. Prawidłowe przetwarzanie następuje także wówczas, gdy jest niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. W szczególności za taki prawnie usprawiedliwiony cel traktuje się wykorzystanie ich do celów marketingowych.
Jednak to, że firma pozyskała dane w sposób legalny i miała prawo je przetwarzać, nie oznacza, że może to robić w nieskończoność i w dowolnym celu. W pewnym momencie prawo to może zostać ograniczone do przetwarzania ich w celach wymaganych przez odrębne przepisy albo w celach archiwizacji, ale już nie do ich aktywnego wykorzystania, np. na wspomnianym polu reklamy i marketingu.
Z życia wzięte
Do biura generalnego inspektora ochrony danych osobowych wpłynęła skarga kobiety, która kilka lat wcześniej skorzystała z pożyczki i którą spłaciła do końca 2008 r. Jednak później zdarzyło się, że pożyczkodawca próbował kontaktować się z nią, oferując nowe pożyczki, i przesłał w tym celu na jej adres materiały reklamowe.
Kobieta zwróciła się do niego o zaprzestanie wykorzystywania jej danych w celach marketingowych. Jednak po jakimś czasie znów dostała przesyłkę reklamową. I właśnie wówczas skierowała skargę do GIODO.
Obowiązki firmy
Należy zauważyć, że w okresie obowiązywania umowy pożyczki podstawą prawną przetwarzania danych osobowych skarżącej w celach marketingowych był art. 23 ust. 1 pkt 5 ustawy. Jednak już po jej wykonaniu przedsiębiorca nie powinien był przetwarzać tych danych w takich celach bez wyraźnej zgody skarżącej. W związku z powyższym sprzeciw na przetwarzanie danych nie był tak naprawdę wymagany. Wymagana natomiast była zgoda zainteresowanej na przetwarzanie danych przez przedsiębiorcę w celach marketingowych już po wygaśnięciu umowy, co nie znaczy, że nie miał on prawa przetwarzać tych informacji w innych celach.
