RODOaktualności #49 - Luka w systemie | Kara za transfer | Marketing a RODOzgoda | CEiDG vs RODO | 11.2025

Cześć! 1. Jak zmiana numeru ID w adresie strony internetowej w przeglądarce mogła ujawnić wyniki badań innych pacjentów? Czyli na co zwracać szczególną uwagę przy projektowaniu bezpiecznych systemów informatycznych? 2. Jak nie transferować danych osobowych za granicę? Czyli ważna chorwacka lekcja legalnego przekazywania danych poza EOG. I kolejne dwa newsy to prawdziwa gratka dla wszystkich marketingowców, sprzedażowców i wszystkich odpowiadających za legalność tych procesów w organizacji, bo news numer 3 to czy można wysyłać marketingowy e-mail bez RODOzgody użytkownika, czyli ważne orzeczenie TSUE i news numer 4 Czy pozyskiwanie danych z CEiDG w celu kontaktu z przedsiębiorcami to naruszenie RODO, czyli ważne orzeczenie w USA?

Przechodzimy do ostatniego, czwartego RODOnewsa. Czy pozyskiwanie danych z CEiDG w celu kontaktu z przedsiębiorcami to naruszenie RODO, czyli ważne orzeczenie w USA? Sprawa dotyczy wyroku Wojewódzkiego Sądu Administracyjnego w USA w Warszawie, który uchylił decyzję RODO w sprawie banku, który pozyskiwał dane kontaktowe z publicznego rejestru CEiDG. Pracownicy banku wykorzystali te ogólnodostępne dane, w tym adresy e-mail i numery telefonów, do nawiązania kontaktu z przedsiębiorcami. Pracownicy banku zdawali sobie doskonale sprawę, że mamy RODO, mamy wtedy jeszcze prawo telekomunikacyjne i ustawę o świadczeniu usług drogą elektroniczną U7. Obecnie chodzi o PKE, czyli Prawo Komunikacji Elektronicznej. No i dlatego też pracownicy banku byli delikatni i w pierwszym kontakcie tylko pytali, czy klienci są zainteresowani przedstawieniem oferty, żeby właśnie nie narazić się na zarzut wysyłania informacji handlowej bez uprzedniej zgody.

Część z osób, która otrzymała podobne komunikaty uznała, że naruszają one RODO, dlatego skierowały skargę do UODO. Prezes urzędu uznał, że to rzeczywiście naruszenie RODO, twierdząc, że brak było podstawy prawnej do przetwarzania tych danych. I tutaj robi się naprawdę ciekawie. Sąd administracyjny nie zgodził się z RODO. W USA uznał, że bank działał zgodnie z przepisami, a podstawą prawną legalizującą przetwarzanie danych pod tą podstawą była literka FRODO, czyli prawnie uzasadniony interes. I to właśnie ten prawnie uzasadniony interes pozwalał bankowi na pozyskiwanie danych z CEiDG, konkretnie adresów mailowych i numerów telefonu, w celu skontaktowania się z przedsiębiorcami i zapytania ich o zgodę na otrzymanie oferty. Wyrok sądu wskazuje na kluczową różnicę między marketingiem bezpośrednim, a wstępnym kontaktem mającym na celu ustalenie, czy dana osoba prowadząca działalność gospodarczą wyraża zgodę na otrzymywanie oferty.

A dotychczas zarówno u RODO, jak i SONDE i u OKIK stały raczej na bardziej restrykcyjnym stanowisku, że już nawet samo zapytanie o zgodę na wysyłkę informacji handlowej może być traktowane jako działanie sprzedażowe, działanie handlowe. A jakie wnioski płyną z tych dwóch marketingowych RODOnewsów dla Ciebie i Twojej organizacji? Po pierwsze, jeśli Twoja organizacja pozyskuje dane osobowe z publicznych rejestrów takich jak CEiDG, no to musisz mieć pewność, że wykorzystujesz je zgodnie z przepisami RODO. W tym przypadku, jeżeli celem jest skontaktowanie się z przedsiębiorcą w celu przedstawienia oferty, to w kontekście RODO i najnowszego orzeczenia TSUE może to nie być traktowane jako naruszenie, jeśli dopełnisz prawidłowo obowiązku informacyjnego, a podstawą prawną do przetwarzania danych będzie prawnie uzasadniony interes.