Kupując bazę, warto sprawdzić, czy sprzedawca ma prawo z niej korzystać

Częstokroć przedsiębiorcy nabywają czy wypożyczają bazy obejmujące dane osobowe z zamiarem skorzystania z nich w działaniach marketingowych. O czym pamiętać, zawierając taki kontrakt? Przede wszystkim, aby nie narazić się na zarzut naruszenia przepisów u.o.d.o., zwróćmy uwagę, czy podmiot, od którego nabywamy bazę danych obejmującą dane osobowe, ma prawo je przetwarzać oraz czy może je nam udostępnić. Konieczne będzie więc dokładne zweryfikowanie podstawy prawnej upoważniającej danego przedsiębiorcę do przetwarzania danych osobowych zawartych w takiej bazie. Przykładowo jeśli podmiot, od którego chcemy nabyć bazę danych obejmującą dane osobowe, przetwarza je na podstawie zgody zainteresowanej osoby, to zgoda taka powinna nie tylko przewidywać, iż dane tej osoby mogą być udostępnione osobie trzeciej, ale także musi określać cel tego udostępnienia. Jeżeli więc chcemy wykorzystać zbiór danych w celach marketingowych, to prawidłowa klauzula zgody powinna jednoznacznie wskazywać, że konkretna osoba akceptuje udostępnienie jej danych podmiotom trzecim w celach marketingowych. W przeciwnym wypadku może dojść do naruszenia jednej z podstawowych reguł dotyczących przetwarzania, a mianowicie zasady celowości. Stanowi ona, że dane osobowe mogą być przetwarzane wyłącznie w celu, dla jakiego zostały zebrane. Dla przykładu jeżeli podmiot udostępniający przedsiębiorcy dane osobowe przetwarza je na podstawie klauzuli zgody, która jednak przewiduje ich udostępnienie podmiotom trzecim wyłącznie dla dochodzenia roszczeń administratora danych lub w ogóle nie precyzuje celu udostępnienia, to wykorzystanie tych danych w celach marketingowych może stanowić naruszenie wspomnianej zasady.

Umowa mająca za przedmiot udostępnienie danych powinna również dokładnie określać zakres i cel udostępnienia oraz warunki zebrania danych. Niezbędne będzie złożenie przez sprzedającego czy też udostępniającego odpowiednich oświadczeń. Koniecznie należy zwrócić uwagę, czy zbiór danych, z którego będziemy korzystać dla celów marketingowych, został zarejestrowany przez GIODO.

Podstawowym obowiązkiem spoczywającym na nabywcy danych jest rejestracja zbioru (przedsiębiorca nabywający bazę obejmującą dane osobowe, które będą wykorzystywane dla własnych celów marketingowych, stanie się ich administratorem) oraz obowiązek informacyjny względem osób, których dane dotyczą. Oczywiście może się zdarzyć, że nabywca ma już zarejestrowany zbiór danych osobowych swym zakresem oraz celem przetwarzania odpowiadający zakresowi i celowi przetwarzania zbioru nabytego. W tej sytuacji obowiązek rejestracji nie powstanie. Może mieć miejsce również sytuacja, gdy co prawda nabywca ma zarejestrowany zbiór danych osobowych, z którego dane przetwarzane są w celach marketingowych, ale poprzez nabycie nowych danych rozszerzy się zakres ich przetwarzania. Przykładowo poza pierwotnie przetwarzanym adresem korespondencyjnym przedsiębiorca zacznie wykorzystywać dla promowania własnych produktów i usług również numery telefonów. W takiej sytuacji będzie on zobligowany dokonać zgłoszenia aktualizacyjnego. U.o.d.o. wymaga, aby w przypadku zebrania danych nie od osoby, której dane dotyczą (z taką sytuacją będziemy mieli właśnie do czynienia w przypadku nabycia zbioru danych), administrator danych bezpośrednio po utrwaleniu tych danych poinformował ją o adresie swojej siedziby i pełnej nazwie, celu i zakresie zbierania danych, a w szczególności o odbiorcach lub kategoriach odbiorców danych, źródle danych, prawie dostępu do danych i ich poprawiania oraz o uprawnieniach do wniesienia sprzeciwu wobec przetwarzania jej danych w celach marketingowych.

Do danych osobowych, które zostały przedsiębiorcy udostępnione na podstawie umowy, zastosowanie znajdzie również ustawowy obowiązek ich zabezpieczenia oraz dołożenia szczególnej staranności w celu ochrony interesów każdego, kogo dane dotyczą.