Baza danych pozyskanych z powszechnie dostępnych źródeł – czy można ją sprzedać

W doktrynie dość zgodnie zauważa się, że ustawa o ochronie danych osobowych nie zabrania pozyskiwania danych osobowych ze źródeł powszechnie dostępnych (ale również wyraźnie na to nie zezwala). Powołując się na stanowisko Generalnego Inspektora Ochrony Danych Osobowych, należy stwierdzić, że dane ze źródeł powszechnie dostępnych można pozyskiwać. Wówczas wystarcza, aby zbierając takie dane, administrator danych wypełnił wymogi opisane szeroko w art. 25 ust. 1 ustawy o ochronie danych osobowych (chodzi o poinformowanie osób o swoim adresie, celu i zakresie zbierania danych, źródle danych itd.).

Problem tkwi w tym, czy poszczególne strony internetowe (np. portale w rodzaju LinkedIn, Goldenline, Facebook lub podobne im serwisy) to źródła powszechnie dostępne. Aby można było uznać źródło za powszechnie dostępne, GIODO wymaga, by dane były zawarte „w zbiorze danych, z którymi może zapoznać się bez szczególnego nakładu sił i środków nieograniczony krąg podmiotów”. Można przyjąć, że dane z portali podobnych do LinkedIn, Goldenline, Facebook itd. są powszechnie dostępne, bo każdy może, podając dowolny adres e-mail, szybko uzyskać dostęp do ich zawartości. A nie jest to specjalny nakład sił i środków. Bez wątpienia takim źródłem powszechnie dostępnym jest natomiast Centralna Ewidencja i Informacja o Działalności Gospodarczej i Krajowy Rejestr Sądowy.

Z bazy danych pozyskanej z powszechnie dostępnych źródeł można korzystać w ramach tego, na co pozwala art. 23 ustawy o ochronie danych osobowych. W mojej ocenie art. 23 ust. 1 pkt 5 w związku z ust. 4 pkt 1 tej ustawy pozwala administratorowi danych np. na przetwarzanie tych danych w celu własnego marketingu bezpośredniego. Trzeba jednak pamiętać o ograniczeniach dotyczących rozsyłania niezamówionej informacji handlowej nałożonych ustawą z 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną. Ponadto podmiot danych (osoba fizyczna, której dane są przetwarzane) ma prawo dostępu do własnych danych i ich poprawiania, ale również – co znacznie bardziej istotne – prawo do żądania zaprzestania przetwarzania danych oraz sprzeciwu, jeżeli administrator zamierza wykorzystać dane do celów marketingowych.