W grudniu ubiegłego roku na łamach naszego bloga opublikowany został artykuł, który rozpoczął serię poświęconą prawom osób, których dane dotyczą. W celu podkreślenia, że każde z uprawnień podmiotu danych powinno być realizowane z uwzględnieniem trybu wykonywania praw oraz ogólnych zasad przejrzystej komunikacji, artykuł ten przywoływany jest na początku każdej naszej publikacji z tej serii.
W tym miesiącu kontynuujemy serię poświęconą prawom osób, których dane dotyczą. W niniejszym artykule przybliżona zostanie problematyka prawa do sprzeciwu, które uregulowane zostało w art. 21 RODO.
Po lekturze publikacji czytelnik będzie wiedział:
- Jaka jest istota prawa do sprzeciwu
- Jakie są przesłanki do wniesienia sprzeciwu
- Jaka jest forma i skutek wniesienia sprzeciwu
- Czy po wniesieniu sprzeciwu należy przeprowadzić test równowagi
- Jak prawo sprzeciwu stosuje się w przypadku marketingu bezpośredniego
- W jaki sposób poinformować o prawie do sprzeciwu
- Czy można wnieść sprzeciw drogą elektroniczną
- Jaki jest związek pomiędzy wniesieniem sprzeciwu a wycofaniem zgody
Istota prawa do sprzeciwu
Prawo do wniesienia sprzeciwu uregulowane zostało przez unijnego prawodawcę w art. 21 RODO. Korzystając z niego osoba, której dane dotyczą kwestionuje uprawnienie administratora do przetwarzania jej danych osobowych. Przez przedstawicieli doktryny prawo to zaliczane jest do tzw. uprawnień zakazowych, ponieważ „zmierzają do wyeliminowania przetwarzania danych, które ze względów określonych w przepisach prawa nie może być uznawane za prawnie dopuszczalne” (B. Fischer, M. Sakowska-Baryła, Charakterystyka praw osób, których dane dotyczą na gruncie RODO, Wrocław 2017). Prawo do wniesienia sprzeciwu zaliczane jest też do uprawnień decyzyjnych ze względu na fakt, że umożliwia ono decydowanie przez podmiot danych o przetwarzaniu informacji na jego temat.
Skorzystanie z przedmiotowego uprawnienia jest często następstwem zrealizowania wcześniej prawa dostępu lub wykonania obowiązku informacyjnego przez ADO, a także udostępnienia danych innemu administratorowi. Jest to konsekwencją tego, że po zrealizowaniu uprawnienia z art. 15 oraz art. 13-14 RODO podmiot danych ma świadomość zakresu danych, które ADO przetwarza na jego temat, celu oraz podstawy prawnej tego działania. Natomiast po udostępnieniu danych nowy ADO zacznie zapewne realizować swoje cele przetwarzania. I nawet jeśli nie wykona obowiązku informacyjnego, przetwarzanie może mieć bezpośredni wpływ na podmiot danych, który może zechcieć je zatrzymać.
Przesłanki prawa do wniesienia sprzeciwu
Prawo do wniesienia sprzeciwu jest uprawieniem o charakterze szczególnym, ponieważ osoba, której dane dotyczą może skorzystać z niego jedynie we wskazanych przypadkach. Określone one zostały w ust. 1 omawianego przepisu i dotyczą przetwarzania opartego o art. 6 ust. 1 lit. e lub f RODO, w tym profilowania na podstawie tych przepisów. Oprócz tego prawo do sprzeciwu przysługuje w dwóch rodzajach przypadków, które zostaną przybliżone poniżej.
Pierwsza przesłanka dotyczy przetwarzania danych opartego na art. 6 ust. 1 lit. e RODO, czyli w związku z realizowaniem zadań publicznych oraz sprawowaniem władzy publicznej. Druga możliwość skorzystania z prawa do wniesienia sprzeciwu zachodzi w sytuacji, kiedy przesłanką dopuszczalności przetwarzania danych jest prawnie uzasadniony interes administratora (art. 6 ust. 1 lit. f RODO).
Zgodnie z art. 21 ust. 6 RODO osoba, której dane dotyczą może wnieść sprzeciw także w sytuacji, kiedy jej dane są przetwarzane na potrzeby badań naukowych lub historycznych, a także do celów statystycznych. Natomiast nie można skorzystać z uprawnienia przewidzianego w art. 21 RODO, jeżeli przetwarzanie danych w powyższych celach niezbędne jest do wykonywania zadań realizowanych w interesie publicznym.
Forma i skutek wniesienia sprzeciwu
Prawodawca unijny nie sprecyzował formy, w jakiej należy wnieść sprzeciw. Dlatego wystarczające jest wystosowanie wniosku w taki sposób, aby wynikała z niego chęć wniesienia sprzeciwu wobec przetwarzania danych. W doktrynie podnosi się, że wniesienie sprzeciwu powinno być uzasadniane, ponieważ art. 21 ust. 1 RODO dopuszcza wniesienia sprzeciwu w sytuacji związanej ze szczególną sytuacją wnioskodawcy.
Ta „szczególna sytuacja” może oznaczać negatywne konsekwencje wynikające z przetwarzania danych dla osoby, której one dotyczą. Według Dr hab. Pawła Fajgielskiego „W piśmiennictwie przedmiotu wskazano, że szczególna sytuacja uzasadniająca zaprzestanie przetwarzania danych osobowych wnioskodawcy wiązać się może z groźbą ujawnienia przez takie przetwarzanie danych związanych ze sferą prywatności lub życia rodzinnego, w przypadku gdy wykorzystywanie tych danych w konkretnej sytuacji nie jest bezwzględnie konieczne” (P. Fajgielski [w:] „Ogólne rozporządzenie o ochronie danych. Ustawa o ochronie danych osobowych. Komentarz”, 2021).
Jak wskazano w motywie (69) RODO skorzystanie z prawa do wniesienia sprzeciwu ze względu na szczególną sytuację podmiotu danych powinno przysługiwać nawet w sytuacji, kiedy dane osobowe mogą być przetwarzane zgodnie z prawem:
„Nawet jeżeli dane osobowe mogą być przetwarzane zgodnie z prawem, gdy przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi lub ze względu na prawnie uzasadnione interesy administratora lub strony trzeciej, każdej osobie, której dane dotyczą, powinno przysługiwać prawo sprzeciwu wobec przetwarzania danych osobowych dotyczących jej szczególnej sytuacji (…)”.
Wniesienie sprzeciwu a test równowagi
Jeżeli osoba, której dane dotyczą wniesie sprzeciw na podstawie art. 21 ust. 1 RODO administrator, który przetwarza dane na podstawie prawnie uzasadnionego interesu musi wykonać test równowagi. Mechanizm ten ma na celu wykazanie, czy ADO ma uzasadniony interes przemawiający za przetwarzaniem danych. A także sprawdzenie, czy przetwarzanie jest niezbędne do realizacji celu wynikającego z tego interesu. Te dwa aspekty powinny być zbadane przez ADO jeszcze przed rozpoczęciem przetwarzania. Natomiast po otrzymaniu uargumentowanego sprzeciwu dokonywana jest ocena, czy szczególna sytuacja podmiotu danych nie przeważa nad interesem administratora. Jeżeli test wykaże negatywny wynik (szczególna sytuacja podmiotu danych przeważa nad prawnie uzasadnionym interesem ADO), żądanie musi zostać zrealizowane.
Marketing bezpośredni
Na podstawie art. 21 ust. 2 RODO podmiot danych może skorzystać z prawa do wniesienia sprzeciwu w sytuacji, kiedy jego dane są przetwarzane na potrzeby marketingu bezpośredniego, w tym wykorzystującego profilowanie.
Marketing bezpośredni oznacza wszelkie działania skierowane do konkretnej osoby, których celem jest promowanie produktów lub usługi. Wniesienie sprzeciwu może dotyczyć zarówno marketingu w formie papierowej (np. ulotki), jak i elektronicznej (np. wiadomość mailowe lub SMS). Sprzeciw może dotyczyć też działań, które wprost nie są reklamą, ale są działaniami marketingowymi. Mowa tu m.in. o badaniu satysfakcji klienta z danego produktu lub usługi.
Sprzeciwu wobec przetwarzania danych na potrzeby marketingu bezpośredniego nie trzeba uzasadniać. Oznacza to, że w tym jedynym przypadku ADO musi bezwzględnie zrealizować takie żądanie. W innych sytuacjach należy dokonać „ważenia” podstaw przetwarzania wskazanych przez ADO oraz interesów, praw i wolności osoby, której dane dotyczą.
Poinformowanie o prawie do sprzeciwu
Zgodnie z art. 21 ust. 4 RODO „najpóźniej przy okazji pierwszej komunikacji z osobą, której dane dotyczą, wyraźnie informuje się ją o prawie, o którym mowa w ust. 1 i 2, oraz przedstawia się je jasno i odrębnie od wszelkich innych informacji”. Jest to przejaw zasady przejrzystości przetwarzania danych, a ponadto zawiera uszczegółowienie prawa do bycia poinformowanym.
Najczęściej pierwsza komunikacja z osobą, której dane dotyczą odbywa się w momencie spełnienia obowiązku informacyjnego bądź realizacji prawa dostępu. Dlatego podczas realizacji tych praw należy przedstawić w sposób jasny wyraźną informację o możliwości skorzystania z prawa do sprzeciwu, jeśli faktycznie przysługuje ono podmiotowi danych.
Wniesienie sprzeciwu drogą elektroniczną
W sytuacji wniesienia sprzeciwu związanej z korzystaniem z usług świadczonych drogą elektroniczną podmiot danych może złożyć wniosek „za pośrednictwem zautomatyzowanych środków wykorzystujących specyfikacje techniczne” (tj. drogą elektroniczną). Możliwość taką przewiduje art. 21 ust. 5 RODO. W celu umożliwienia realizacji tego uprawnienia administrator powinien zapewnić odpowiednią funkcjonalność umożliwiającą to, co podkreśla motyw (59) RODO:
„Należy przewidzieć procedury ułatwiające osobie, której dane dotyczą, wykonywanie praw przysługujących jej na mocy niniejszego rozporządzenia, w tym mechanizmy żądania – i gdy ma to zastosowanie bezpłatnego uzyskiwania – w szczególności dostępu do danych osobowych i ich sprostowania lub usunięcia oraz możliwości wykonywania prawa do sprzeciwu. Administrator powinien zapewnić możliwość wnoszenia odnośnych żądań także drogą elektroniczną, w szczególności gdy dane osobowe są przetwarzane drogą elektroniczną (…)”.
Wniesienie sprzeciwu a wycofanie zgody
Należy rozróżnić prawo do wniesienia sprzeciwu od wycofania zgody na przetwarzanie danych. Konsekwencje obu tych praw na pierwszy rzut oka wydają się być podobne. W rzeczywistości warunki zastosowania obu z tych praw są odmienne. Przesłanki, na podstawie których można wnieść sprzeciw zostały przybliżone powyżej i nie dotyczą sytuacji, kiedy przetwarzanie odbywa się na podstawie wcześniej udzielonej zgody.
W sytuacji przetwarzania danych na potrzeby marketingu bezpośredniego administrator może mieć wątpliwości, czy intencją osoby wnioskującej jest wniesienie sprzeciwu, czy wycofanie zgody na przetwarzanie danych osobowych. Chcąc ustalić rzeczywistą wolę wnioskodawcy należy na początku ustalić podstawę przetwarzania danych. Jeżeli nie jest ono oparte na zgodzie osoby, której dane dotyczą (art. 6 ust. 1 lit. a RODO), to wówczas nie może dojść do wycofania zgody, która nie była wcześniej udzielona. W takim przypadku wycofanie zgody na marketing należy potraktować jako skuteczny sprzeciw.
Inna sytuacja będzie mieć miejsce, jeżeli zgodę udzielono, natomiast z treści oświadczenia nie wynika w sposób wyraźny wola wnioskodawcy. Wówczas należy przeanalizować okoliczności, w których oświadczenie było składane. Mowa tu przede wszystkim o dotychczasowym przebiegu przetwarzania danych, momencie złożenia oświadczenia, operacjach wykonywanych na danych, a także ingerencji przetwarzania danych w sferę prywatną i rodzinną. W szczególności należy ustalić, na podstawie której z przesłanek uregulowanych w art. 6 ust. 1 RODO opiera się przetwarzanie danych w przypadku objętym wnioskiem. Administrator powinien dołożyć wszelkich starań, aby ustalić rzeczywistą wolę osoby składającej oświadczenie.
Podsumowanie
Prawo do sprzeciwu można zaliczyć do uprawnień o charakterze czynnym. Za jego pomocą osoba, której dane dotyczą może kontrolować operacje wykonywane z wykorzystaniem informacji jej dotyczących.
Omawiane uprawnienie nie ma natomiast charakteru bezwzględnego. Może zostać zrealizowane w ściśle określonych przypadkach. Ponadto, mimo wystąpienia koniecznych przesłanek nie zawsze wniesienie sprzeciwu może zostać zrealizowane. Administrator po otrzymaniu wniosku, o którym mowa w art. 21 RODO musi dokonać oceny czy podstawy, na jakich odbywa się przetwarzanie danych przeważają nad interesami wnioskodawcy.
Wyjątkiem jest przetwarzanie danych w celach marketingu bezpośredniego. W tym przypadku żądanie sprzeciwu powinno zostać zawsze przez administratora zrealizowane.
Należy pamiętać, że po zrealizowaniu prawa do sprzeciwu dane osoby występującej z wnioskiem nie zawsze zostaną przez administratora od razu usunięte, a jedynie przestanie on z nich korzystać i realizować cel, którego sprzeciw dotyczył. Administrator może wykazać inny cel przetwarzania, na podstawie którego wciąż będzie przechowywał dane (np. obrona przed roszczeniami). Jeżeli osoba, której dane dotyczą chce, aby informacje na jej temat zostały ze zbioru ADO usunięte, musi skorzystać z prawa do usunięcia danych.
Natomiast jeżeli ADO przetwarzał dane jedynie na podstawie przesłanki objętej sprzeciwem, powinien on takie dane niezwłocznie usunąć po zrealizowaniu wniosku. Wynika to z faktu, że nie będzie już wówczas występował cel umożliwiający ich przetwarzanie.