Sprawdź, jak przetwarzać dane powszechnie dostępne

RODO nie zabrania pozyskiwania danych osobowych ze źródeł powszechnie dostępnych. Czy zatem CEIDG albo strony internetowe podmiotów danych stanowią źródło powszechnie dostępne? Jak wynikało z interpretacji GIODO, źródło było powszechnie dostępne, jeżeli dane były zawarte w zbiorze danych, z którymi może zapoznać się bez szczególnego nakładu sił i środków nieograniczony krąg podmiotów. Dla uznania powszechnej dostępności danych osobowych nie miało znaczenia, jakich osób dane te dotyczą. Chodziło bowiem o samą możliwość dostępu do danych nieograniczonego kręgu podmiotów i okoliczność, że można się z nimi zapoznać bez szczególnego nakładu sił i środków. W ocenie autora interpretacja ta może być przydatna także w aktualnym stanie prawnym.

Niemniej jednak administrator danych osobowych uzyskanych ze źródeł powszechnie dostępnych, jak każdy inny administrator danych, musi legitymować się jedną z przesłanek przetwarzania danych osobowych (art. 6 i 9 RODO). W przypadku danych pozyskanych ze źródeł powszechnie dostępnych w grę może wchodzić zgoda osoby, której dane dotyczą lub prawnie usprawiedliwiony interes administratora danych. Powołanie się na prawnie usprawiedliwiony interes nie może jednak dotyczyć sytuacji, w których nadrzędny charakter wobec tego interesu mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych. Wydaje się, że w przypadku przedsiębiorców, których dane są dostępne w CEiDG lub same udostępniają te dane na własnych stronach, z tym wyjątkiem nie mamy do czynienia.

Zgodnie z RODO zgoda powinna być dobrowolna, konkretna, świadoma i jednoznaczna. Forma udzielenia zgody jest dowolna tzn. może być udzielona w formie oświadczenia lub wyraźnego działania potwierdzającego, z którego wynika, że osoba przyzwala na przetwarzanie danych osobowych jej dotyczących. Zgoda nie może być zatem udzielona milcząco, zakazane są okienka domyślnie zaznaczone. Jeżeli przetwarzanie służy różnym celom, potrzebna jest zgoda na wszystkie te cele. W przypadku gdy osoba, której dane dotyczą, ma wyrazić zgodę w odpowiedzi na elektroniczne zapytanie, zapytanie takie musi być jasne, zwięzłe i nie zakłócać niepotrzebnie korzystania z usługi, której dotyczy. Przed wyrażeniem zgody osoba, której dane dotyczą powinna być poinformowana o możliwości wycofania zgody w dowolnym momencie. Ponadto administrator danych powinien zapewnić, aby wycofanie zgody było równie łatwe jak jej wyrażenie.

Podmiot, który uzyskał dane osobowe ze źródeł powszechnie dostępnych musi wypełnić obowiązek informacyjny. Obecnie jest on regulowany przepisami RODO. Wywiązanie się z niego jest konieczne dla zgodnego z prawem przetwarzania danych powszechnie dostępnych. Z uwagi na fakt, że dane są zbierane nie bezpośrednio od osób, których dotyczą, administrator danych powinien przekazać tej osobie informacje określone w art. 14 RODO. Wskazany obowiązek informacyjny ma co do zasady charakter bezwzględny. Jedynie w kilku przypadkach RODO przewiduje zwolnienie z tego obowiązku np. w sytuacji gdy osoba, której dane dotyczą, dysponuje już tymi informacjami lub gdy udzielenie takich informacji jest niemożliwe lub wymagałoby niewspółmiernie dużego wysiłku, w szczególności w przypadku przetwarzania do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych.

W przypadku danych osobowych przedsiębiorców wpisanych do CEIDG czy udostępnionych na ich stronach internetowych wskazane wyżej wyjątki zasadniczo nie zachodzą i trzeba zawsze wykonywać obowiązek informacyjny.

Co więcej wszelkie działania marketingowe podejmowane telefonicznie, mailowo, SMSem, MMSem wymagają zgody osoby, której dane dotyczą. Konieczność pozyskiwania zgody na otrzymywanie informacji handlowych drogą elektroniczną wynika bowiem z przepisów ustawy o świadczeniu usług drogą elektroniczną oraz z Prawa telekomunikacyjnego. Tym samym na potrzeby kontaktu elektronicznego (np. wysyłania SMSów do klientów) potrzebna jest odrębna zgoda.