Składanie życzeń urodzinowych klientowi wymaga jego zgody

Przedsiębiorstwa przetwarzają obecnie znaczną ilość danych osobowych swoich klientów. Wśród nich często pojawia się data urodzenia (szczególnie w przypadku banków czy innych podmiotów, które świadczą usługi objęte ograniczeniami wiekowymi). Niektóre firmy wykorzystują takie informacje do składania klientowi życzeń urodzinowych lub z tej właśnie okazji kierują do niego specjalną ofertę. Jak należałoby ocenić takie postępowanie w świetle przepisów RODO?

Pewne wątpliwości może budzić już sama kwalifikacja prawna takiego postępowania, zwłaszcza, gdy wiadomość przesłana w dniu urodzin nie zawiera konkretnej informacji handlowej i ogranicza się jedynie do życzeń urodzinowych. Dr Paweł Litwiński, adwokat z kancelarii Barta Litwiński, będący również członkiem Społecznego Zespołu Ekspertów przy Prezesie UODO, wskazuje, że niezależnie od treści użytych sformułowań, zawsze będzie to forma promocji:

– Czy będą to życzenia w stylu „oferty urodzinowej”, kiedy będziemy wprost promować towary lub usługi administratora danych, czy będzie to skromne „wszystkiego najlepszego”, towarzyszące promocji wizerunku administratora danych jako dbającego o relacje z klientami, to zawsze będziemy mieć do czynienia z własnym celem promocyjnym administratora – podkreśla ekspert.

Dlatego jeśli celem przetwarzania danych jest promocja administratora, to można mówić o przetwarzaniu w oparciu o prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO).

– Oczywiście trzeba wykonać test nadrzędności interesów, ale uważam, że w typowych przypadkach rezultat tego test będzie pozytywny – wskazuje Paweł Litwiński.

Wytyczne EROD wskazują na konieczność zgody

Ekspert zwraca jednak uwagę na wytyczne Europejskiej Rady Ochrony Danych (EROD)  1/2024, z których wynika, że w takim przypadku w grę wchodzi wyłącznie przetwarzanie na podstawie zgody klienta. W wytycznych wskazano bowiem (pkt 114) że: „zgodnie z dyrektywą ePrivacy, wysyłanie  niezamówionych wiadomości w celach marketingu bezpośredniego przez e-mail, SMS’y, MMS’y lub inne podobne formy komunikacji, może odbywać się wyłącznie za uprzednią zgodą poszczególnych odbiorców. Dlatego należy zauważyć, że uzyskana zgoda powinna spełniać wymogi określone w art. 4 ust. 11 RODO. W związku z tym przetwarzanie danych w celach marketingu bezpośredniego nie może opierać się na art. 6 ust. 1 lit. f) RODO”.

Pojawia się jednak kolejne pytanie: „Czy wymagana jest zatem osobna zgodna na tę konkretną formę marketingu?” Godząc się bowiem na wykorzystywanie danych w celach marketingowych, przeciętny konsument ma raczej na myśli dane kontaktowe, a nie datę urodzenia.

– Moim zdaniem, skoro składanie życzeń urodzinowych traktujemy po prostu jako marketing własny, to zgoda mogłaby być zbierana właśnie w jego zakresie. Bez konieczności uzyskania konkretnie takiej odrębnej zgody na składanie życzeń urodzinowych – wskazuje Paweł Litwiński i dodaje: – Zgoda może być zbierana przez wyraźne działanie potwierdzające, czyli np. świadome podanie adresu e-mail. Nie ma przy tym konieczności posługiwania się jakimiś rozbudowanymi klauzulami.

Zgody wymaga też prawo komunikacji elektronicznej

Nie można jednak zapomnieć, że jeśli tego rodzaju życzenia będą wysyłane za pomocą automatycznych systemów wywołujących lub urządzeń telekomunikacyjnych (tj. wspomnianego wyżej e-mail’a, SMS/MMS’a lub podobnego sposoby kontaktu) to w grę, oprócz RODO, wchodzić będą jeszcze przepisy Prawa komunikacji elektronicznej. Inaczej będzie w przypadku tradycyjnego marketingu, np. prowadzonego za pomocą tradycyjnej poczty. Konkretnie chodzi tu o art. 398 PKE, który ustanowił wymóg pozyskania uprzedniej zgody.

Jak wskazał TSUE w wyroku w sprawie  C 654/23:

Artykuł 13 ust.2 dyrektywy 2002/58, zmienionej dyrektywą 2009/136, w związku z art.95 RODO należy interpretować w ten sposób, że: w przypadku gdy administrator wykorzystuje adres poczty elektronicznej użytkownika w celu wysłania mu niezamówionego komunikatu zgodnie z tym art.13 ust.2, warunki zgodności przetwarzania z prawem przewidziane w art.6 ust.1 tego rozporządzenia nie mają zastosowania.

Z powyższego wynika, że zasady wyrażania zgody przewidziane w RODO nie mają zastosowania do zgody przewidzianej w przywołanej dyrektywie. Ponadto powołanie się na  prawnie uzasadniony interes jako podstawę przetwarzania nie wchodzi jednak w grę, gdy klient nie wyraził zgody na wysyłanie mu komunikatów marketingowych.

Podsumowując, o ile w świetle samego RODO można istotnie argumentować za formą przetwarzania danych w oparciu o prawnie uzasadniony interes, to jest to wątpliwe w świetle wytycznych EROD. Ponadto PKE wprost wprowadza wymóg uzyskania takiej zgody w przypadku marketingu prowadzonego drogą elektroniczną. Nie jest tu jednak wymagana odrębna zgoda, ponieważ już samo podanie danych osobowych można uznać za jej wyrażenie.