Dane osobowe matek, które właśnie urodziły dziecko, dane dzieci oraz ich ojców do kwestionariusza Programu Edukacji Zdrowotnej zbierała dla spółki z o.o. Acxiom z Warszawy firma z Bydgoszczy Piękne Narodziny. Spółka oferowała je następnie innym firmom zainteresowanym sprzedażą swoich produktów i usług.
Ułomne klauzule
– Niezbędnym warunkiem przekazania danych z kwestionariusza do bazy elektronicznej spółki była zgoda matek – wyjaśniał Naczelnemu Sądowi Administracyjnemu adwokat Jan Byrski, pełnomocnik Acxiom. – Gdy zgody nie podpisało żadne z rodziców, ich danych nie wprowadzano do bazy spółki i nie udostępniano współpracującym firmom – mówił. – W razie zgłoszenia sprzeciwu bądź wycofania zgody przez matkę i jej partnera informacje przechowywano w bazie danych wycofań. Zgodnie z art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych można przetwarzać dane bez zgody osób, których dotyczą, gdy jest to niezbędne dla prawnie usprawiedliwionych celów realizowanych przez administratorów danych. Takimi celami były tu rozwój produktów i usług, analiza i badanie, marketing.
Kontrola generalnego inspektora ochrony danych osobowych ujawniła klauzule zgody, podpisane tylko przez matkę, tylko przez jej partnera albo w ogóle niepodpisane.
– GIODO nakazał usunięcie takich danych. Gdy zgody nie ma lub została cofnięta, lub też zgłoszono sprzeciw, nie wolno ich przetwarzać w żaden sposób – mówił podczas rozprawy kasacyjnej w NSA radca prawny Piotr Wójcik, pełnomocnik GIODO. – Spółka musi też zapewnić możliwość udzielenia bądź nieudzielenia odrębnej zgody na każdy z celów wymienionych w klauzuli zgody.
Iluzoryczna ochrona
Wojewódzki Sąd Administracyjny w Warszawie oraz Naczelny Sąd Administracyjny (sygn. akt I OSK 1760/13) oddaliły skargi spółki. Sędzia NSA Małgorzata Borowiec powiedziała, że klauzula zgody na przetwarzanie danych osobowych musi jasno określać, o jakie dane chodzi, o jakie ich przetworzenie, i do jakich celów. Spółka nie mogła ich przetwarzać na podstawie art. 23 ust. 1 pkt 5, czyli w prawnie usprawiedliwionych celach. Trzeba wtedy wykazać, że chodzi o taki właśnie cel i że przekazanie danych jest niezbędne.
