Zgoda marketingowa w świetle prawa

Podstawy prawne

Zgoda na przetwarzanie danych osobowych stanowi jedną z przesłanek legalizujących operacje na danych, przewidzianych w art. 6 ust. 1 lit. a RODO. Aby była skuteczna, musi spełniać przesłanki wskazane w art. 4 pkt 11 RODO – tj. być dobrowolna, konkretna, świadoma i jednoznaczna. Przepisy wyraźnie podkreślają, że osoba, której dane dotyczą, powinna mieć rzeczywistą możliwość wyboru, bez ryzyka negatywnych konsekwencji w przypadku odmowy.

Dobrowolność i „zgoda warunkowa”

W praktyce rynkowej często spotykane jest uzależnianie udzielenia rabatu czy dostępu do określonej usługi od wyrażenia zgody marketingowej. Budzi to poważne wątpliwości prawne. Europejska Rada Ochrony Danych w swoich wytycznych (np. Wytyczne 05/2020) wskazuje, że dobrowolność zgody jest iluzoryczna, gdy od jej wyrażenia uzależnia się możliwość skorzystania z podstawowej usługi, a alternatywa faktycznie nie istnieje. W podobnym duchu wypowiada się Prezes UODO, uznając takie praktyki za mogące stanowić naruszenie zasady dobrowolności.

Marketing własny a marketing podmiotów trzecich

Kolejnym zagadnieniem jest różnica między marketingiem własnych produktów i usług administratora danych a przekazywaniem danych partnerom biznesowym. Zgoda wyrażona na rzecz jednego podmiotu nie może być automatycznie podstawą dla działań marketingowych innych przedsiębiorców. Każdy przypadek przekazywania danych podmiotom trzecim wymaga odrębnej, wyraźnej zgody, precyzyjnie określającej odbiorców.

Problemy praktyczne

W praktyce konsumenci często nie są świadomi, że zgoda obejmuje znacznie szerszy zakres, niż im się wydaje. Stosowanie długich i nieczytelnych klauzul informacyjnych prowadzi do sytuacji, w której spełnione jest formalne wymaganie uzyskania zgody, lecz trudno mówić o jej rzeczywistej „świadomości”. W konsekwencji pojawia się ryzyko uznania, że dane są przetwarzane bez ważnej podstawy prawnej, co otwiera drogę do interwencji organów nadzorczych.

Nadużycia w praktykach rynkowych

Nieuczciwe wykorzystanie zgód marketingowych

W praktyce przedsiębiorcy często pozyskują zgody w sposób wątpliwy – poprzez tzw. dark patterns w formularzach internetowych, automatyczne zaznaczanie pól wyboru czy ukrywanie odmowy w mniej widocznych miejscach. Konsumenci w konsekwencji nie zawsze są świadomi, że wyrazili zgodę na przetwarzanie danych przez wiele powiązanych podmiotów. Rezultatem jest fala niechcianych telefonów i wiadomości od firm oferujących produkty i usługi całkowicie oderwane od pierwotnego kontekstu.

Nieuczciwe praktyki rynkowe w świetle ustawy

Zgodnie z ustawą o przeciwdziałaniu nieuczciwym praktykom rynkowym (Dz.U. 2007 nr 171 poz. 1206 ze zm.) za nieuczciwą praktykę można uznać m.in. wywieranie nieuprawnionej presji na konsumenta w celu uzyskania określonej decyzji dotyczącej umowy. UOKiK wielokrotnie wskazywał, że oferowanie rabatu czy dodatkowej usługi wyłącznie pod warunkiem wyrażenia szerokiej zgody marketingowej może wypełniać tę definicję, jeśli konsument nie ma realnej alternatywy.

Odpowiedzialność za korzystanie z baz danych nabytych w sposób nielegalny

Firmy często sięgają po bazy danych nabyte od pośredników, nie weryfikując należycie, czy zgody zostały pozyskane zgodnie z prawem. Z punktu widzenia RODO administrator danych odpowiada jednak za legalność przetwarzania niezależnie od źródła danych. W decyzjach UODO podkreśla się, że brak należytej staranności w ustaleniu podstawy prawnej do przetwarzania danych stanowi poważne naruszenie zasady rozliczalności.

Przykłady sankcji

1. W 2019 r. UODO nałożył karę na spółkę Bisnode (dziś Dun & Bradstreet Poland) za niedopełnienie obowiązku informacyjnego wobec osób, których dane pozyskano z rejestrów publicznych i wykorzystywano do celów marketingowych.
2. UOKiK prowadził postępowania przeciwko operatorom telekomunikacyjnym za praktykę łączenia promocji cenowych z obowiązkiem udzielenia zgody na kontakt marketingowy ze strony licznych partnerów.
3. W 2022 r. UODO ukarał spółkę Fortum Marketing and Sales Polska m.in. za nieprawidłowe pozyskiwanie zgód i brak właściwej kontroli nad działaniami partnerów telemarketingowych.

Sankcje administracyjne i cywilne

Naruszenie obowiązków wynikających z RODO wiąże się z ryzykiem wysokich kar administracyjnych (art. 83 RODO – do 20 mln euro lub 4% rocznego obrotu). Równocześnie konsument może dochodzić ochrony w drodze powództwa cywilnego (np. o zaniechanie praktyk, usunięcie skutków, odszkodowanie).

Szczególny problem: kandydaci do pracy

Zakres danych osobowych w rekrutacji

Kodeks pracy (art. 22¹ § 1) precyzyjnie określa katalog danych, których pracodawca może żądać od kandydata na etapie rekrutacji: imię i nazwisko, data urodzenia, dane kontaktowe, wykształcenie oraz przebieg dotychczasowego zatrudnienia – o ile jest to niezbędne do wykonywania pracy określonego rodzaju. Pozyskiwanie innych danych, np. o stanie zdrowia czy preferencjach konsumenckich, jest niedopuszczalne, chyba że obowiązek ich przetwarzania wynika z przepisów szczególnych.

Zgoda na przetwarzanie danych a dobrowolność

Art. 22¹b § 1 Kodeksu pracy dopuszcza przetwarzanie danych innych niż wskazane w ustawie, jeśli kandydat wyrazi na to zgodę. Problem w tym, że zgoda w rekrutacji – podobnie jak na gruncie RODO – musi być w pełni dobrowolna. W orzecznictwie i stanowiskach UODO podkreśla się, że dobrowolność jest iluzoryczna, gdy kandydat czuje się zmuszony do jej wyrażenia w obawie przed odrzuceniem aplikacji.

Nielegalne łączenie rekrutacji z marketingiem

Coraz częściej zdarzają się praktyki, w których pracodawca lub agencja rekrutacyjna „przemyca” w formularzu aplikacyjnym dodatkowe zgody marketingowe – np. na otrzymywanie ofert finansowych, usług medycznych czy materiałów promocyjnych partnerów biznesowych. Takie działanie stoi w sprzeczności zarówno z zasadą celowości przetwarzania danych (art. 5 ust. 1 lit. b RODO), jak i z zasadami prawa pracy, które ograniczają zakres danych do niezbędnych dla rekrutacji.

Asymetria stron i ryzyko nadużyć

Sytuacja kandydata do pracy cechuje się strukturalną nierównowagą – pracodawca ma pozycję dominującą, a odmowa podpisania dodatkowej zgody marketingowej może być postrzegana jako ryzykowna. Kandydat często podpisuje więc klauzulę „dla świętego spokoju”, co podważa realną dobrowolność wyrażonej zgody. EROD i UODO konsekwentnie wskazują, że w relacjach pracownik–pracodawca zgoda powinna być stosowana wyjątkowo, a nie jako standardowa podstawa przetwarzania.

Konsekwencje prawne

1. Dla pracodawcy/agencji: możliwość nałożenia kar administracyjnych przez UODO za naruszenie zasad przetwarzania danych, sankcje z ustawy o ochronie danych osobowych, a także ryzyko zarzutu stosowania nieuczciwych praktyk rynkowych.
2. Dla kandydata: potencjalne narażenie na wykorzystanie danych w celach niepowiązanych z rekrutacją, a w skrajnych przypadkach – na handel jego danymi kontaktowymi.
3. Odpowiedzialność cywilna: kandydat może dochodzić roszczeń o naruszenie dóbr osobistych (art. 23 i 24 k.c.) lub o odszkodowanie na podstawie art. 82 RODO.

Ochrona konsumenta i kandydata – dostępne środki prawne

Skarga do Prezesa UODO

1. • Każdy, kto uważa, że jego dane są przetwarzane niezgodnie z RODO, może wnieść skargę do organu nadzorczego (art. 77 RODO).
   • Skarga może dotyczyć np. braku dobrowolności zgody, przetwarzania danych bez podstawy prawnej, czy nieuprawnionego przekazywania danych podmiotom trzecim.
   • W praktyce UODO nakładał już wysokie kary na firmy telemarketingowe, agencje rekrutacyjne i dostawców usług energetycznych, którzy nadużywali zgód marketingowych.

Skarga do UOKiK

1. • W przypadku podejrzenia stosowania nieuczciwych praktyk rynkowych (np. uzależnianie rabatu od zgody na szeroki marketing, brak realnej alternatywy), konsument może zawiadomić Prezesa Urzędu Ochrony Konkurencji i Konsumentów.
   • UOKiK posiada kompetencje do wszczynania postępowań i nakładania kar finansowych, a także do zakazania stosowania określonych praktyk.

Środki cywilnoprawne

1. • Konsument lub kandydat może żądać:
     • zadośćuczynienia za naruszenie dóbr osobistych (art. 23 i 24 k.c.), np. prawa do prywatności,
     • odszkodowania na podstawie art. 82 RODO, jeśli wykaże, że poniósł szkodę majątkową lub niemajątkową wskutek naruszenia przepisów.
   • Możliwe jest także dochodzenie unieważnienia zgody jako wadliwego oświadczenia woli (art. 82 k.c.), gdy była wymuszona lub wprowadzająca w błąd.

Droga sądowa i zbiorowa ochrona praw

1. • W sytuacjach masowego nadużywania zgód marketingowych konsumenci mogą korzystać z instytucji pozwów zbiorowych (ustawa z 17 grudnia 2009 r. o dochodzeniu roszczeń w postępowaniu grupowym).
   • Organizacje konsumenckie mają prawo reprezentować interesy poszkodowanych i występować w ich imieniu przed sądem.

Praktyczne kroki dla konsumenta i kandydata

1. • Sprawdzenie treści zgody – warto zwracać uwagę, czy zgoda jest jasno sformułowana, czy obejmuje jedynie administratora danych, czy także jego partnerów.
   • Wycofanie zgody – art. 7 ust. 3 RODO gwarantuje możliwość wycofania zgody w każdym momencie, co powinno być równie łatwe, jak jej wyrażenie.
   • Dokumentowanie naruszeń – zachowywanie kopii e-maili, screenów formularzy, treści ogłoszeń rekrutacyjnych, które mogą być dowodem w postępowaniu.
   • Korzystanie z pomocy Rzecznika Praw Konsumenta lub organizacji pozarządowych specjalizujących się w ochronie praw obywateli.

Kierunki zmian i rekomendacje

Potrzeba większej przejrzystości

Obecny model pozyskiwania zgód marketingowych często opiera się na niejasnych, wielostronicowych klauzulach informacyjnych. Wymaga on uproszczenia – wprowadzenia zasady „jednoznacznej i zrozumiałej zgody”, gdzie odbiorca już na pierwszym etapie wie, kto i w jakim celu będzie korzystał z jego danych. De lege ferenda warto rozważyć obowiązek standaryzacji formularzy zgód, podobnie jak w przypadku oznaczeń produktów spożywczych.

Wyraźny zakaz łączenia rekrutacji z marketingiem

Przepisy Kodeksu pracy (art. 22¹ i 22¹b) powinny zostać doprecyzowane poprzez dodanie wyraźnej normy zakazującej pozyskiwania zgód marketingowych w ramach procesów rekrutacyjnych. Taki przepis jednoznacznie rozstrzygałby wątpliwości dotyczące dobrowolności zgody w relacji kandydat–pracodawca.

Wzmocnienie pozycji kandydata i konsumenta

1. • Możliwość łatwiejszego wycofania zgody (np. za pomocą jednolitego „centrum zarządzania zgodami”, niezależnego od usługodawcy).
   • Rozszerzenie odpowiedzialności przedsiębiorców za działania partnerów biznesowych, którym powierzają dane pozyskane w drodze zgód.
   • Rozważenie wprowadzenia sankcji karnych za uporczywe, masowe nadużywanie zgód marketingowych, podobnie jak w przypadku spamu w komunikacji elektronicznej.

Rola organów nadzorczych

1. • UODO powinien kontynuować praktykę nakładania kar na podmioty nadużywające zgód, a także prowadzić programy edukacyjne skierowane do konsumentów i pracowników.
   • UOKiK mógłby częściej korzystać z instytucji decyzji zobowiązujących, zmuszających firmy do zmiany praktyk rynkowych w zamian za złagodzenie sankcji finansowych.

Edukacja i samoregulacja rynku

1. • Warto promować kodeksy dobrych praktyk i mechanizmy certyfikacji zgodne z art. 40 RODO, które budowałyby zaufanie między firmami a konsumentami.
   • Konsumenci powinni być zachęcani do świadomego zarządzania swoimi danymi, w tym do częstszego korzystania z prawa do informacji, sprzeciwu i usunięcia danych.

Balans interesów

W perspektywie prawa europejskiego i krajowego konieczne jest znalezienie równowagi między interesem gospodarczym przedsiębiorców a ochroną prywatności jednostki. Dane osobowe to obecnie waluta rynkowa, jednak ich przetwarzanie nie może odbywać się kosztem podstawowych praw i wolności.