Paweł M. poskarżył się Generalnemu Inspektorowi Ochrony Danych Osobowych na spółkę P-4, która zajmuje się usługami telekomunikacyjnymi i której był abonentem. W marcu 2014 r. otrzymał telefon z propozycją, by przystąpić do ubezpieczenia grupowego Amplico Life. Ubezpieczyciel proponował polisę " wsparcie szpitalne". Paweł M. odmówił i zażądał wyjaśnień, czy to był marketing własny. Spółka P-4 odpowiedziała, że tak.
Przetwarzanie bez zgody
Ale Generalny Inspektor ujawnił, że spółka P-4 podpisała umowę z ubezpieczycielem Amplico Life, że wszyscy abonenci spółki będą ubezpieczeni grupowo. Wobec tego przekazano wszystkie dane osobowe klientów spółki telefonicznej ubezpieczycielowi, a ten przetwarzał dane bez zgody abonentów.
Czytaj: RODO: Kiedy można przetwarzać dane osobowe pacjenta bez jego zgody?>>
GIODO nakazał spółce P-4 przywrócić stan zgodny z prawem, zaprzestać nękania abonenta. Zgodnie bowiem z art. 23 pkt. 5 ustawy o ochronie danych osobowych ( przed nowelizacją) przetwarzanie danych jest dopuszczalne tylko wtedy, gdy jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą.
Czytaj: RODO: Prawnik administratorem czy przetwarzającym dane?
Według Inspektora nie było tu usprawiedliwionego celu, gdyż dozwolone jest przetwarzanie dla celów marketingowych - własnych a nie osób trzecich. Ubezpieczyciel był osobą trzecią w tym wypadku. A więc wykorzystanie danych nie było niezbędne.
Marketing uzupełnia ofertę?
Spółka P-4 odwołała się do Wojewódzkiego Sądu Administracyjnego od decyzji Generalnego Inspektora Ochrony Danych Osobowych, który nakazał spółce przywrócenie stanu zgodnego z prawem. Zarzucano Inspektorowi, że błędnie zinterpretował przepisy ustawy o ochronie danych osobowych oraz art. 808 kc, twierdząc, że zgoda abonenta nie jest niezbędna. - Marketing uzupełnia ofertę operatora - podkreślał pełnomocnik skarżącej spółki adwokat Adam Imiełowski.
Pełnomocnik GIODO radca prawny Piotr Wójcik replikował: - Idąc do firmy telekomunikacyjnej abonent nie chciał zawrzeć umowy ubezpieczenia, nawet nie pytano go o zgodę, a to jest niezgodne z RODO - mówił mec. Wójcik.
Wojewódzki Sąd Administracyjny 23 listopada oddalił skargę spółki P-4. Zdaniem sądu rację ma GIODO (obecnie UODO), że przetwarzanie nie było zgodne z prawem.
Oferowanie umowy ubezpieczenia abonentowi nie było marketingiem dla celów własnych. P-4 realizował cel biznesowy i aby go osiągnąć spółka powinna była uzyskać zgodę swego klienta na przetwarzanie danych przez podmiot trzeci- zaznaczyła sędzia Iwona Maciejuk.
Według art. 26 ustawy o ochronie danych administrator danych powinien dołożyć szczególnej staranności w celu ochrony interesów osób, których dane dotyczą, a w szczególności jest obowiązany zapewnić, aby dane te były przetwarzane zgodnie z prawem.
- Usługi ubezpieczenia nie da się podciągnąć pod usprawiedliwiony cel przetwarzania danych spółki telekomunikacyjnej- orzekł WSA.
Sygnatura akt II SA/Wa 511/18, wyrok z 23 listopada 2018 r.