Spis treści:
- Informowanie o prawie do wniesienia sprzeciwu
- Charakter sprzeciwu i jego rodzaje
- Formy wnoszenia sprzeciwu
- Test równowagi przy sprzeciwie
- Obsługa zgłoszonego sprzeciwu
- Co powinna zawierać odpowiedź?
Sprzeciw wobec przetwarzania danych osobowych jest jednym z najczęściej wykorzystywanych uprawnień przysługujących na podstawie przepisów rozdziału III rodo. Administratorzy nie zawsze wiedzą, jak prawidłowo obsłużyć wniesiony sprzeciw, zwłaszcza jeśli związany jest on ze szczególną sytuacją podmiotu danych.
Osoba, której dane dotyczą, zgodnie z art. 21 ust. 1 rodo w dowolnym momencie może, z przyczyn związanych z jej szczególną sytuacją, wnieść sprzeciw wobec przetwarzania (w tym profilowania) danych osobowych, którego podstawą jest:
- niezbędność przetwarzania do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi (art. 6 ust. 1 lit. e rodo);
- niezbędność przetwarzania do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą (art. 6 ust. 1 lit. f rodo).
Administratorowi nie wolno już przetwarzać danych osobowych, których dotyczy sprzeciw, chyba że wykaże on istnienie ważnych prawnie uzasadnionych podstaw do przetwarzania, nadrzędnych wobec interesów, praw i wolności osoby, której dane dotyczą, lub podstaw do ustalenia, dochodzenia lub obrony roszczeń. Poza tym na podstawie art. 21 ust. 2 rodo taka osoba może wnieść w dowolnym momencie sprzeciw wobec przetwarzania dotyczących jej danych na potrzeby marketingu bezpośredniego, w tym profilowania. Taki sprzeciw nie wymaga żadnego uzasadnienia ze strony podmiotu danych.
Informowanie o prawie do wniesienia sprzeciwu
Obowiązek poinformowania o prawie do zgłoszenia sprzeciwu wobec przetwarzania wynika z kilku przepisów rodo. Po pierwsze taki obowiązek istnieje na etapie zbierania danych osobowych, gdy dane są zbierane zarówno bezpośrednio od osoby fizycznej (art. 13 ust. 2 lit. b rodo), jak i z innego źródła niż osoba, której dane dotyczą (art. 14 ust. 2 lit. c rodo). O prawie do wniesienia sprzeciwu wobec przetwarzania należy poinformować na wniosek podmiotu danych zgłoszony w trybie przewidzianym w art. 15 ust. 1 lit. e rodo.
W art. 21 ust. 4 rodo przewidziano, że informacja o prawie do wniesienia sprzeciwu powinna być przekazana najpóźniej przy okazji pierwszej komunikacji z osobą, której dane dotyczą. Musi być przekazana jasno i odrębnie od innych informacji. Na te kwestie zwróciła uwagę już Grupa Robocza art. 29 (WP 260), wskazując, że:
W szczególności osoba, której dane dotyczą, musi zostać wyraźnie poinformowana o prawie sprzeciwu wobec przetwarzania najpóźniej przy okazji pierwszego kontaktu z taką osobą oraz należy przedstawić jej to prawo jasno i odrębnie od wszelkich innych informacji.
W praktyce informacja o prawie do zgłoszenia sprzeciwu zazwyczaj jest zamieszczana w treści klauzuli informacyjnej przekazywanej w celu realizacji obowiązku informacyjnego określonego w art. 13, 14 rodo. Czasami jest ona w jakiś sposób wyróżniona. W praktyce nie przyjęło się natomiast przekazywanie całkowicie odrębnych komunikatów dotyczących prawa do zgłoszenia sprzeciwu przy okazji zbierania danych osobowych. W tym zakresie pewne wątpliwości interpretacyjne może budzić zwrot „przy okazji pierwszej komunikacji”, można bowiem zastanawiać się, czy „pierwsza komunikacja” ma miejsce już na etapie zbierania danych osobowych czy też dopiero na etapie późniejszego pierwszego „skomunikowania” się z osobą fizyczną. Wydaje się jednak, że:
- w przypadku zbierania danych osobowych bezpośrednio od osoby fizycznej pierwsza komunikacja ma miejsce już na etapie ich zbierania od tej osoby;
- w przypadku zbierania danych z innego źródła pierwsza komunikacja ma miejsce bezpośrednio po zebraniu tych danych i, co do zasady, powinna być powiązana z realizacją wtórnego obowiązku informacyjnego wymaganego przez art. 14 rodo.
Odrębne przekazywanie informacji o przysługującym prawie do sprzeciwu rzadko jest praktykowane po zebraniu danych osobowych poza sytuacją, w której dane osobowe są przetwarzane do celów marketingowych. W tym zakresie warto rozważyć zamieszczanie informacji o prawie do sprzeciwu wobec marketingu bezpośredniego i sposobu, w jaki można to prawo zrealizować w każdej kierowanej do podmiotu danych korespondencji marketingowej. W tego typu komunikatach często są zamieszczane informacje o możliwości rezygnacji z jej otrzymywania. W tego typu wiadomościach pojawiają się informacje o:
- prawie do zgłoszenia sprzeciwu (jeśli podstawą prawną przetwarzania danych do celów marketingowych jest art. 6 ust. 1 lit. f rodo);
- prawie do wycofania zgody na przetwarzanie danych (jeśli podstawę prawną przetwarzania danych do celów marketingowych stanowi art. 6 ust. 1 lit. a rodo);
- prawie do wycofania zgody na przysyłanie informacji handlowej określonym kanałem komunikacji;
- możliwości rezygnacji z marketingu bezpośredniego bez odwoływania się do konkretnych przepisów.
Informowanie o możliwości rezygnacji z otrzymywania informacji marketingowych; przy okazji każdego komunikatu marketingowego jest dobrą praktyką z punktu widzenia obowiązku zapewnienia przejrzystości. Niewątpliwie ułatwia to wykazanie zgodności z obowiązującymi regulacjami. Tego typu rozwiązania nie zawsze będą jednak łatwe do implementacji. O ile będą się one dobrze sprawdzać w przypadku wiadomości e-mail bądź tradycyjnej korespondencji papierowej, o tyle trudniej wyobrazić sobie ich stosowanie w przypadku krótkich wiadomości (np. SMS).
Charakter sprzeciwu i jego rodzaje
Sprzeciw jest uprawnieniem, które realizowane jest na wniosek podmiotu danych. Oznacza to, że jego realizacja wymaga inicjatywy ze strony konkretnej osoby, której dane są przetwarzane przez administratora danych. Na podstawie przepisów rodo można wyróżnić trzy rodzaje sprzeciwu wobec przetwarzania danych osobowych, tj.:
- z art. 21 ust. 1 rodo – sprzeciw osoby, której dane dotyczą, z przyczyn związanych z jej szczególną sytuacją wobec przetwarzania dotyczących jej danych osobowych opartego na art. 6 ust. 1 lit. e lub f rodo;
- z art. 21 ust. 2 rodo – sprzeciw wobec przetwarzania dotyczących danych osobowych na potrzeby marketingu bezpośredniego, w tym profilowania;
- z art. 21 ust. 6 rodo – sprzeciw z przyczyn związanych ze szczególną sytuacją osoby wobec przetwarzania do celów badań naukowych lub historycznych lub do celów statystycznych.
Praktyczne znaczenie sprzeciwu, o którym mowa w art. 21 ust. 6 rodo, wydaje się niewielkie. Warto przyjrzeć się pozostałym rodzajom sprzeciwów, tj. sprzeciwom uregulowanym w art. 21 ust. 1–2 rodo. Sprzeciw wobec przetwarzania danych osobowych rozważamy:
- z uwagi na szczególną sytuację podmiotu danych (art. 21 ust. 1 rodo):
– uwzględnienie – jeśli prawa i wolności osoby fizycznej są co najmniej równoważne wobec prawnie uzasadnionych podstaw do przetwarzania danych osobowych;
– odrzucenie – jeśli administrator wykaże istnienie prawnie uzasadnionych podstaw do przetwarzania danych mających charakter nadrzędny względem praw i wolności osoby, której dane dotyczą, lub podstaw do ustalenia, dochodzenia lub obrony roszczeń;
- do celów marketingu bezpośredniego w tym profilowania (art. 21 ust. 2 rodo) – obligatoryjne uwzględnienie.
Formy wnoszenia sprzeciwu
Forma wniesienia sprzeciwu wobec przetwarzania danych osobowych zasadniczo zależy od wyboru ze strony podmiotu danych. Możliwe formy wniesienia sprzeciwu:
- pisemnie, w tym listownie;
- pocztą elektroniczną;
- telefonicznie;
- oświadczenie złożone w siedzibie administratora;
- wykorzystanie specyfikacji technicznych za pośrednictwem zautomatyzowanych środków w związku z korzystaniem z usług społeczeństwa informacyjnego (art. 21 ust. 5 rodo).
Jednocześnie nic nie stoi na przeszkodzie, aby administrator ułatwiał zgłaszanie sprzeciwu, w tym udostępniał przeznaczony do tego celu adres e-mail lub odpowiednie funkcjonalności (np. w aplikacji). Nie oznacza to jednak, że administrator może całkowicie wyłączyć możliwość zgłaszania sprzeciwu innymi kanałami, w tym pisemnie lub elektronicznie, jeśli dana organizacja korzysta z takich rodzajów środków komunikacji. Do prawa sprzeciwu zastosowanie znajduje art. 12 ust. 2 rodo, zgodnie z którym administrator ułatwia osobie, której dane dotyczą, wykonanie praw przysługujących jej na mocy art. 15–22. Z art. 12 ust. 6 rodo wynika natomiast, że jeżeli administrator ma uzasadnione wątpliwości co do tożsamości osoby fizycznej składającej żądanie, o którym mowa w art. 15–21 rodo, może on zażądać dodatkowych informacji niezbędnych do potwierdzenia tożsamości osoby, której dane dotyczą. W tym przypadku administrator nie powinien jednak w przesadny sposób weryfikować tożsamości osoby, której dane dotyczą. Charakter tego prawa nie jest bezpośrednio związany z dostępem do danych osobowych, a także nie ma tak nieodwracalnego wpływu na podmiot danych jak realizacja prawa do usunięcia danych (art. 17 rodo).
Podmioty danych, wnosząc sprzeciw, nie zawsze wskazują, na czym konkretnie polega ich szczególna sytuacja. W takich przypadkach administrator powinien zwrócić się o uzupełnienie wniesionego sprzeciwu, a w razie nieuzupełnienia tego braku ma on niewątpliwie podstawę do tego, aby nie uwzględnić sprzeciwu.
Test równowagi przy sprzeciwie
W przypadku sprzeciwu konieczne może okazać się ponowne wykonanie tzw. testu równowagi. Pierwotny test równowagi, który jest wymagany w przypadku oparcia przetwarzania danych osobowych na art. 6 ust. 1 lit. f rodo, ma charakter ogólny (abstrakcyjny) i nie uwzględnia indywidulanej sytuacji konkretnej osoby fizycznej, której dotyczą dane. Poza tym w motywie 69 rodo wyraźnie zaznaczono, że za wykazanie, że ważne prawnie uzasadnione interesy administratora mają nadrzędny charakter wobec interesów lub podstawowych praw i wolności osoby, której dane dotyczą, powinien odpowiadać administrator. Wykonanie indywidualnego testu równowagi powinno mieć zatem miejsce, gdy:
- osoba, której dane dotyczą, wniosła sprzeciw z art. 21 ust. 1 rodo i wykazała swoją szczególną sytuację;
- pierwotny test równowagi wykazał, że prawnie uzasadnione interesy administratora lub strony trzeciej są nadrzędne wobec interesów lub podstawowych praw i wolności osoby fizycznej.
Głównym celem przeprowadzenia takiego ponownego testu jest sprawdzenie, czy w konkretnej sytuacji prawnie uzasadnione interesy pozostają nadrzędne wobec interesów lub podstawowych praw i wolności osoby fizycznej, a tym samym, czy administrator danych ma prawo nadal przetwarzać dane konkretnej osoby fizycznej pomimo wniesionego sprzeciwu. Analiza ta powinna mieć charakter indywidualny. W art. 6 ust. 1 lit. f rodo przewidziano, że przetwarzanie do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią jest dopuszczalne z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą. Oznacza to, że można dopuścić przetwarzanie danych na podstawie tej przesłanki także wówczas, gdy występuje „równowaga interesów”. W przypadku zgłoszenia sprzeciwu wobec przetwarzania danych osobowych „równowaga interesów” nie będzie już jednak wystarczająca. Administrator, który nie zamierza uwzględnić sprzeciwu, powinien wykazać nadrzędność ważnych prawnie uzasadnionych podstaw do przetwarzania danych osobowych względem interesów, praw i wolności podmiotów danych.
Obsługa zgłoszonego sprzeciwu
Zgodnie z art. 12 ust. 3 rodo sprzeciw wobec przetwarzania danych osobowych powinien zostać rozpatrzony w ciągu miesiąca od jego wniesienia. W wyjątkowych przypadkach, zgodnie z tym przepisem, termin na rozpatrzenie sprzeciwu może zostać przedłużony o kolejne dwa miesiące z uwagi na skomplikowany charakter żądania lub liczbę żądań. Po złożeniu wniosku zawierającego sprzeciw wobec przetwarzania danych konieczne może okazać się niekiedy:
- zwrócenie się przez administratora o dodatkowe informacje w celu potwierdzenia tożsamości osoby, której dane dotyczą (w razie wątpliwości);
- dopytanie podmiotu danych, jeśli treść wniosku budzi wątpliwości (np. w razie wątpliwości co do zakresu sprzeciwu lub w razie braku wskazania „szczególnej sytuacji” uzasadniającej zgłoszenie sprzeciwu).
Nie dotyczy to sprzeciwów wobec przetwarzania danych osobowych dla potrzeb marketingu bezpośredniego (art. 21 ust. 2 rodo). Mając na uwadze, że taki sprzeciw nie wymaga żadnego uzasadnienia, powinien być on rozpatrzony i uwzględniony niezwłocznie po jego złożeniu. Jego wniesienie powinno skutkować zaprzestaniem przetwarzania danych osobowych do celów marketingowych.
Co powinna zawierać odpowiedź?
Odpowiedź ze strony administratora danych na złożony sprzeciw wobec przetwarzania danych osobowych powinna zawierać:
- informacje, czego dotyczył zgłoszony sprzeciw;
- wynik rozpatrzenia sprzeciwu (czy został on uwzględniony, czy nie);
- jeśli sprzeciw nie został uwzględniony, wyjaśnienia, jakie nadrzędne prawnie uzasadnione interesy dają podstawę dalszego przetwarzania danych osobowych oraz dlaczego nie uwzględniono „szczególnej sytuacji” wskazanej przez podmiot danych;
- pouczenie o prawie wniesienia skargi do organu nadzorczego i skorzystania ze środków ochrony prawnej przed sądem.
Autor
Henryk Hoser
Autor jest adwokatem, założycielem Kancelarii Adwokackiej Henryk Hoser specjalizującej się w prawie ochrony danych osobowych oraz regulacjach dotyczących e-prywatności.
