Sklepy internetowe często po zrobieniu zakupów przez klientów wysyłają do nich emaile z prośbą o dokonanie oceny produktu lub całej usługi. Takie działania opierają często na zgodzie udzielonej przez klienta. W przypadku jej braku administratorzy jako podstawę swoich działań podają prawnie uzasadniony interes administratora polegający na badaniu satysfakcji (art. 6 ust. 1 lit. f RODO). Wojewódzki Sąd Administracyjny (WSA) w Warszawie wydał wyrok, który może położyć kres tej praktyce.
SKARGA DO ORGANU NADZORCZEGO
Sprawa została zapoczątkowana złożeniem skargi do organu nadzorczego dotyczącej przetwarzania danych osobowych bez podstawy prawnej w celach marketingowych. Ponadto spółka nie spełniła żądania dotyczącego udostępnienia danych osobowych pochodzących z monitoringu wizyjnego.
W toku postępowania ustalono, że skarżąca w czerwcu 2019 r. utworzyła konto zakupowe w serwisie należącym do spółki. Podczas rejestracji podała swoje imię i nazwisko, numer telefonu, adres e-mail oraz adres zamieszkania. Celowo jednak (mimo możliwości) nie wyraziła zgód na przetwarzanie jej danych osobowych w związku z działaniami marketingowymi oraz otrzymywanie wiadomości marketingowych.
W sierpniu 2020 r. spółka wysłała do skarżącej email z prośbą o ocenę zakupów. W odpowiedzi skarżąca wysłała wiadomość z pytaniem, kiedy wyraziła zgodę na otrzymywanie wiadomości marketingowych. W odpowiedzi spółka oznajmiła, że traktuje jej pytanie jako sprzeciw. Wyjaśniła, że podstawę przetwarzania stanowi prawnie uzasadniony interes administratora polegający na badaniu satysfakcji klientów.
DECYZJA PREZESA UODO
Prezes UODO decyzją z marca 2022 roku udzielił E. Sp. z o.o. jedynie upomnienia za naruszenie art. 11 ust. 2 w związku z art. 15 ust. 3 RODO, tj. niepoinformowanie skarżącej o braku możliwości zidentyfikowania jej na nagraniu monitoringu.
Prezes UODO odmówił uwzględnienia skargi w pozostałym zakresie. W uzasadnieniu decyzji stwierdził, że badanie satysfakcji klientów jest elementem marketingu bezpośredniego. W ocenie organu nadzorczego administrator nie musiał uzyskiwać w tej sytuacji akceptacji klienta, ponieważ przetwarzał dane w celach marketingowych na podstawie art. 6 ust. 1 lit. f RODO. W ocenie Prezesa UODO spółka nie musiała pozyskać zgody, o której mowa w art. 6 ust. 1 lit. a RODO, jako właściwej podstawy przetwarzania danych osobowych. Zdaniem organu pozyskiwanie jej byłoby działaniem nadmiernym, ponieważ przesłanką legalności był wskazany przez administratora prawnie uzasadniony interes.
SKARGA DO WSA
W marcu 2022 r. skarżąca, reprezentowana przez pełnomocnika, zaskarżyła decyzję w części dotyczącej badania satysfakcji klientów. W skardze zarzuciła organowi nadzorczemu naruszenie przepisów prawa materialnego polegające na błędzie w ich wykładni.
W ocenie skarżącej kierowanie do użytkowników wiadomości email z prośbą o wyrażenie opinii przybiera formę informacji handlowej. W związku z tym administrator powinien otrzymać zgodę na otrzymanie takiej informacji od osoby, której dane dotyczą. Bowiem zgodnie z art. 10 uśude „Zakazane jest przesyłanie niezamówionej informacji handlowej skierowanej do oznaczonego odbiorcy będącego osobą fizyczną za pomocą środków komunikacji elektronicznej, w szczególności poczty elektronicznej”.
WYROK WSA
Po przeanalizowaniu sprawy WSA wydał wyrok z dnia 18 listopada 2022 r. (sygn. akt II SA/Wa 715/22). Uwzględnił w nim skargę oraz uchylił decyzję w zaskarżonym zakresie.
W ocenie sądu „Organ zidentyfikował prawnie uzasadniony interes realizowany przez Spółkę w postaci działalności marketingowej polegającej na wysłaniu prośby o ocenę zakupionego produktu. Nie rozważył jednak, czy tak zdefiniowany (prawnie uzasadniony) interes Spółki spełnia przesłankę zgodności z prawem w kontekście wymogu określonego w art. 10 ust. 2 uśude w sytuacji, gdy prośba o ocenę produktu została wysłana za pośrednictwem poczty elektronicznej”. Prezes UODO nie zweryfikował, czy przetwarzanie informacji w zakresie adresu e-mail skarżącej jest niezbędne do realizacji celu wynikającego z prawnie uzasadnionego interesu. Organ nadzorczy powinien sprawdzić, czy możliwe byłoby skierowanie prośby o ocenę przy zastosowaniu innej formy kontaktu.
Organ nadzorczy nie wykluczył także ponad wszelką wątpliwość występowania interesów lub podstawowych praw i wolności podmiotu danych, które mają charakter nadrzędny wobec prawnie uzasadnionych interesów administratora danych (nie przeprowadzono tzw. testu równowagi).
W ocenie sądu organ nadzorczy mylnie przyjął, że pozyskanie zgody na przesyłanie informacji handlowej byłoby w omawianym stanie faktycznym działaniem nadmiernym, ponieważ nie spełniono wymagań RODO związanych z oparciem przetwarzania na prawnie uzasadnionym interesie. Wyrok nie jest prawomocny. Prezesowi UODO przysługuje skarga kasacyjna do NSA.
WNIOSKI
Wydany wyrok ma istotne znaczenie dla administratorów prowadzących sklepy internetowe, którzy praktykują wysyłanie do klientów maili w celu zbadania ich satysfakcji z zakupów. W polskim porządku prawnym wyroki sądów nie są wiążące dla osób niebędących stronami postępowania, natomiast mogą stanowić wskazówkę w wykładni przepisów prawa.
Jak widać konsumenci są coraz bardziej świadomi swoich praw przysługujących im m.in. na gruncie RODO. W omawianym stanie faktycznym skarżąca nie tylko zdecydowała się na złożenie skargi do Prezesa UODO. Po wydaniu przez organ nadzorczy niesatysfakcjonującej decyzji postanowiła dalej konsekwentnie bronić swoich praw i zaskarżyła decyzję do WSA.