Z nabyciem bazy danych w celach marketingowych wiąże się dużo wyzwań prawnych. Należy zadbać nie tylko o zgody od osób na wykorzystanie ich danych, ale także o określenie i doprecyzowanie celów, w jakich ich dane będą przetwarzane. W tym zakresie nie można opierać się tylko na deklaracjach zbywcy bazy danych.

W praktyce prowadzenia działalności gospodarczej nadal dość popularne jest oferowanie baz danych, zwłaszcza obejmujących numery telefonów i adresy e-mailowe innym przedsiębiorcom w celach marketingowych. Zdaniem oferentów przedsiębiorca, nabywając taką bazę danych, ma mieć możliwość nieskrępowanego prowadzenia działań promocyjnych swoich towarów, usług lub swojego przedsiębiorstwa. Rzeczywistość jest jednak dużo bardziej złożona. Planując nabycie takiej bazy danych, a będąc precyzyjnym praw sui generis do bazy danych lub licencji na pobieranie danych z takiej bazy danych (także na wtórne wykorzystanie tych danych), należy zwrócić uwagę na szereg zagadnień prawnych. Zasadniczo można podzielić je na dwa obszary. Pierwszy dotyczy zapewnienia sobie możliwości legalnego korzystania z praw majątkowych do bazy danych, które przysługują jej producentowi. Drugi odpowiada za legalne prowadzenie własnych działań marketingowych względem podmiotów, których dane osobowe znajdują się w takiej bazie danych.

Co jest przedmiotem umowy?

Z perspektywy przedsiębiorcy, który chce zakupić bazę danych, kluczową kwestią jest zwrócenie uwagi, co od strony prawnej powinno być przedmiotem umowy. Dzięki tej świadomości nabywca będzie mógł odpowiednio zabezpieczyć swoje prawa, a także dobrać konstrukcję prawną umowy w sposób adekwatny do swoich potrzeb.

Pojęcie bazy danych

W wielu przypadkach podmiot oferujący nam możliwość „nabycia bazy danych” dysponuje bazą danych w rozumieniu art. 2 ust. 1 pkt 1 ustawy z dnia 27 lipca 2001 r. o ochronie baz danych (dalej: uobd). Zgodnie z tym przepisem wskazane pojęcie oznacza zbiór danych lub jakichkolwiek innych materiałów i elementów zgromadzonych według określonej systematyki lub metody, indywidualnie dostępnych w jakikolwiek sposób, w tym środkami elektronicznymi, wymagający istotnego, co do jakości lub ilości, nakładu inwestycyjnego w celu sporządzenia, weryfikacji lub prezentacji jego zawartości. Z praktycznego punktu jest ostatnia przesłanka kwalifikacji danego zbioru informacji jako bazy danych, czyli istotny nakład inwestycyjny. Z perspektywy nabywcy samodzielna ocena, czy zbywca poniósł taki nakład (albo czy poniósł go jego poprzednik prawny), jest bardzo trudna. Wymaga bowiem uzyskania informacji od producenta danej bazy danych. Sam nakład inwestycyjny musi być istotny i poczyniony na określony cel. Tym celem może być sporządzenie, weryfikacja lub prezentacja danych znajdujących się w bazie. Sama inwestycja może polegać zarówno na poniesieniu kosztów, jak i czasu, czy ujmując rzecz szerzej, każdego nakładu o charakterze gospodarczym (zob. Ł. Łazarz, Obrót bazami danych w świetle ustawy z dnia 27 lipca 2001 r. o ochronie baz danych, TPP 2003, nr 1, s. 62). Podmiot, który poniesie wskazany nakład inwestycyjny przy tworzeniu bazy danych, stanie się jej producentem zgodnie z definicją wynikającą z art. 2 ust. 1 pkt 4 uobd.

Nabywca bazy danych powinien odebrać w umowie oświadczenie od swojego kontrahenta, że udostępniany mu zbiór danych osobowych stanowi bazę danych w rozumieniu ustawy o ochronie baz danych. Dodatkowo można wprowadzić do umowy oświadczenie nakierowane bezpośrednio na zidentyfikowanie nakładu inwestycyjnego, który poczynił podmiot udostępniający bazę (albo jego poprzednik prawny). W takim oświadczeniu można sprecyzować, co było przedmiotem nakładu inwestycyjnego, jaka była jego wartość gospodarcza, a także na jaki z celów wymienionych w ustawowej definicji bazy danych został przeznaczony ten nakład.

Prawa do bazy danych

Producent baz danych ma do niej prawa. Jak wynika z art. 6 ust. 1 uobd, są to dwa wyłączne i zbywalne prawa: pobierania danych i wtórnego ich wykorzystania w całości lub w istotnej części, co do jakości lub ilości. Nazwy obu praw nie są intuicyjne:

• prawo pobierania danych – oznacza uprawnienie do stałego lub czasowego przejęcia lub przeniesienia całości lub istotnej, co do jakości lub ilości, części zawartości bazy danych na inny nośnik, bez względu na sposób lub formę tego przejęcia lub przeniesienia;
• prawo wtórnego wykorzystania – oznacza z kolei publiczne udostępnienie bazy danych w dowolnej formie, a w szczególności poprzez rozpowszechnianie, bezpośrednie przekazywanie lub najem.

Z perspektywy nabywcy bazy danych kluczowe jest prawo do pobierania danych, ponieważ w większości wypadków w wykonaniu umowy baza danych zostanie przeniesiona lub przejęta na inny nośnik. Dlatego w umowie nabywca musi zapewnić sobie możliwość korzystania z tego prawa.

Przedmiot umowy

Nabywca bazy danych, która ma być wykorzystana w celach marketingowych, musi uzyskać możliwość korzystania przede wszystkim z prawa do pobierania danych w niej zgromadzonych. Dlatego nabywca musi zawrzeć umowę przenoszącą prawa przysługujące zbywcy do bazy danych (prawo pobierania danych z bazy i ich wtórnego wykorzystania), albo umowę licencji na korzystanie z tych praw. Każdą z umów może ograniczyć do samego prawa pobierania danych z bazy danych, które w większości wypadków wystarczy do osiągnięcia celu gospodarczego. Jest nim podjęcie działań marketingowych adresowanych do osób znajdujących się w tej bazie. Do osiągnięcia tego potrzebne będzie przejęcie lub przeniesienie (stałe lub czasowe) danych na odrębny nośnik. Mimo tego przy nabywaniu praw do bazy danych warto rozważyć także nabycie prawa do wtórnego wykorzystania danych, by nie pozostawiać tego uprawnienia w rękach innego podmiotu.

Decydując się na licencję na korzystanie z praw do bazy danych, należy przeanalizować, czy nabywca akceptuje to, by w tym samym czasie z bazy danych mogły korzystać inne podmioty. Jeżeli nie, to konieczne jest uzyskanie licencji wyłącznej, a więc takiej, która uniemożliwia producentowi bazy danych (albo jego następcy prawnemu) udzielanie innych licencji na korzystanie z praw do niej. Jeżeli nabywca chce uzyskać licencję wyłączną, wówczas w umowie należy wskazać, że taki jest charakter licencji. Jeżeli zastrzeżenie dotyczące wyłączności nie znajdzie się w umowie, będzie to zwykła licencja. Licencjobiorca nie będzie miał wyłączności, a licencjodawca będzie mógł udzielić równolegle także innych licencji. W umowie licencyjnej należy również określić termin trwania licencji.

Prawo wykorzystania danych znajdujących się w bazie w celach marketingowych

Celem gospodarczym przyświecającym podmiotowi nabywającemu bazę danych albo licencję na korzystanie z zawartych w niej danych jest podjęcie określonych działań marketingowych wobec osób, których dane znajdują się w takiej bazie. Dla realizacji tego zamierzenia bez ponoszenia ryzyk prawnych ograniczenie się tylko do uzyskania prawa do korzystania z bazy danych nie jest wystarczające. Nabycie tytułu prawnego do korzystania z bazy danych nie oznacza bowiem automatycznego uprawnienia do przetwarzania danych osobowych osób, których dane znajdują się w tej bazie, ani do przekazywania tym osobom informacji handlowych z wykorzystaniem telekomunikacyjnych urządzeń końcowych (np. telefon, komputer).

Przetwarzanie danych osobowych

Dla zapewnienia sobie możliwości przetwarzania danych osobowych podmiotów znajdujących się w zakupionej bazie danych jej nabywca musi dysponować własną podstawą prawną dla przetwarzania danych w określonym celu marketingowym. Jest to konsekwencja zasady legalności wyrażonej w art. 5 ust. 1 lit. a oraz art. 6 ust. 1 rodo. Przetwarzanie, a zatem każda operacja wykonywana na danych osobowych, jest dopuszczalne wyłącznie wówczas, gdy spełniony jest przynajmniej jeden z warunków określonych w art. 6 ust. 1 rodo. Jeżeli w bazie znajdowałyby się dane szczególnych kategorii, dla ich przetwarzania musiałby być spełniony jeden z warunków wynikających z art. 9 ust. 2 rodo.

Z perspektywy nabywcy bazy danych należy przeanalizować przede wszystkim dwie przesłanki:

• zgodę (art. 6 ust. 1 lit. a rodo);
• prawnie uzasadniony interes administratora (art. 6 ust. 1 lit. f rodo).

Podmioty oferujące bazę danych często wskazują, że dysponują zgodą osób znajdujących się w bazie na przetwarzanie ich danych osobowych przez wszelkich nabywców bazy. Nabywca nie powinien jednak opierać się na takim twierdzeniu. Konieczne będzie zweryfikowanie, jak brzmiała zgoda wyrażana przez poszczególne osoby, których dane znalazły się w bazie, oraz zestawienie jej treści i okoliczności wyrażenia z warunkami, jakie musi spełniać zgoda na gruncie rodo. Na podstawie art. 4 pkt 11 rodo zgoda musi być świadoma, konkretna, dobrowolna i jednoznaczna. W szczególności warunki konkretności i świadomości będą istotne w przypadku weryfikacji powyższego twierdzenia zbywcy bazy. Oznaczają one, że podmiot danych, wyrażając zgodę, musi wiedzieć dokładnie, komu jej udziela, a także na jakie dokładnie działania. Zgoda obejmująca „wszystkich przyszłych nabywców bazy” nie będzie – w mojej ocenie – spełniała powyższych wymogów. Posługuje się bowiem zbyt ogólną kategorią podmiotów i nie pozwala określić podmiotowi danych, kto będzie administratorem jego danych osobowych. Dodatkowo należy zweryfikować stopień skonkretyzowania celu przetwarzania, który jest wskazany w zgodzie. Cel musi być sprecyzowany, nie można się tu posługiwać ogólnymi sformułowaniami typu „działania marketingowe”. Należy wskazać, o jakie konkretnie działania chodzi. Nabywca bazy powinien zweryfikować tę kwestię. Podobnie trzeba sprawdzić, czy podmiot danych, wyrażając zgodę, miał swobodę decyzyjną. Jeżeli tak nie było, zostanie naruszona zasada dobrowolności zgody, co będzie skutkowało jej nieskutecznością. Z perspektywy tej zasady można także oceniać zgody obierane dla wielu podmiotów w jednym oświadczeniu. Podmiot danych nie ma tu możliwości swobodnej decyzji, którzy z administratorów mogą przetwarzać jego dane osobowe w danym celu, jego wybór ogranicza się do „wszyscy albo żaden”. Nabywca nie powinien opierać się na samych twierdzeniach zbywcy bazy. By ocenić właściwie ryzyko prawne, musi zweryfikować wskazane zagadnienia.

Potencjalnie możliwe jest oparcie przetwarzania na prawnie uzasadnionym interesie administratora. Tu jednak nabywca bazy musi przeprowadzić test równowagi, w którym zestawi swój prawnie uzasadniony interes z podstawowymi prawami i wolnościami osób znajdujących się w bazie. Sprowadza się to do oceny, czy realizowanie działań marketingowych nie będzie ingerowało w zbyt dużym stopniu w te prawa i wolności. Trzeba zwrócić uwagę, czy podmioty, których dane znajdują się w bazie, mogły przewidywać, że nabywca będzie przetwarzał ich dane w określonym celu. Bez wykonania takiego testu równowagi nabywca nie powinien zawierać umowy w przedmiocie zapewnienia sobie prawa korzystania z bazy danych.

Wysyłanie informacji handlowych

Dla nabywcy istotne jest zdanie sobie sprawy, że zgodnie z przepisami przesyłanie informacji handlowych, w tym prowadzenie marketingu bezpośredniego z wykorzystaniem automatycznych systemów wywołujących lub telekomunikacyjnych urządzeń końcowych, zawsze wymaga zgody. Taka zgoda powinna być niezależna od ewentualnie wyrażonej zgody na przetwarzanie danych osobowych w określonym celu. Jest to konsekwencją art. 95 rodo w zw. z art. 398 ust. 1 ustawy z dnia 16 lipca 2004 r. Prawo telekomunikacyjne.

Zgoda musi przy tym spełniać wymogi przepisów o ochronie danych osobowych – przede wszystkim rodo. Nabywca powinien zweryfikować w tym zakresie wskazane zagadnienia dotyczące zgody. Gdyby chciał wysyłać do osób znajdujących się w bazie newsletter lub kampanie SMS-owe, musiałby sprawdzić, czy dysponuje odpowiednią zgodą. Jeżeli nie, to choćby na płaszczyźnie przetwarzania danych osobowych była spełniona przesłanka prawnie uzasadnionego interesu administratora, nabywca nie będzie mógł legalnie zrealizować zakładanego celu marketingowego.

Podsumowanie

Jeżeli planuje się nabycie bazy danych w celu marketingowym, to należy zwrócić uwagę po pierwsze – na zagwarantowanie sobie odpowiednich praw do korzystania z tej bazy. Po drugie trzeba zweryfikować, czy zostały spełnione przesłanki legalizujące przetwarzanie danych osobowych w założonych celach, a w szczególności czy będzie można legalnie przesyłać informacje handlowe z wykorzystaniem telekomunikacyjnych urządzeń końcowych i automatycznych systemów wywołujących. Trzeba pamiętać, że samo opieranie się na oświadczeniach zbywcy bazy danych nie wystarczy, by spełnić warunki w tym drugim obszarze.

Autor

Witold Chomiczewski

Autor jest radcą prawnym i wspólnikiem zarządzającym w Lubasz i Wspólnicy – Kancelarii Radców Prawnych sp.k., w której kieruje specjalizacją prawa e-commerce. Jest pełnomocnikiem Izby Gospodarki Elektronicznej ds. Legislacji; członkiem założycielem Stowarzyszenia Prawa Nowych Technologii; redaktorem, autorem i współautorem licznych publikacji z zakresu prawa handlu elektronicznego, ochrony danych osobowych i ochrony baz danych.