RODOaktualności #49 - Luka w systemie | Kara za transfer | Marketing a RODOzgoda | CEiDG vs RODO | 11.2025

Sprawa dotyczyła transferu danych osobowych do Serbii, który to transfer odbywał się bez odpowiednich zabezpieczeń. A przypomnę, że Serbia nie należy do Europejskiego Obszaru Gospodarczego , a więc transfer danych osobowych do tego kraju jest traktowany jako przekazywanie danych do państwa trzeciego, a to musi zostać odpowiednio zalegalizowane. I rzeczywiście początkowo chorwacki administrator danych opierał się przy tym transferze na standardowych klauzulach umownych, które gwarantowały odpowiedni poziom ochrony danych. Ale po 27 grudnia 2022 roku chorwacki administrator nie zadbał o przedłużenie tych klauzul, co oznaczało, że dalszy transfer danych odbywał się bez zapewnienia odpowiednich środków ochrony. Dodatkowo administrator przetwarzał dane osobowe swoich pracowników w sposób nadmierny, zbierając kopie ich dowodów osobistych.

Nawet pomimo tego, że nie były one niezbędne do realizacji celu przetwarzania. I nawet pomimo tego, że ich inspektor ochrony danych osobowych zwrócił uwagę na tę nieprawidłowość. Ale zalecenia JODA zostały zignorowane. Co jeszcze? Chorwacki administrator danych nie przeprowadził też tzw. TEA, czyli Transfer Impact Assessment. TEA to ocena ryzyka, którą należy wykonać przed rozpoczęciem transferu danych do państwa spoza Europejskiego Obszaru Gospodarczego. Polecam Ci praktyczny poradnik na naszym blogu poświęcony temu tematowi. Tytuł artykułu to Ocena skutków transferu danych TIA w praktyce. Link do artykułu znajdziesz oczywiście w opisie odcinka na dole. Kolejnym błędem była nieprzejrzysta polityka prywatności, w której administrator nie poinformował użytkowników o transferze ich danych do państw trzecich.

No dobrze, to jakie wnioski płyną z tego RODO Newsa dla Ciebie i Twojej organizacji? Po pierwsze, przekazywanie danych osobowych do zewnętrznych podwykonawców zawsze wiąże się z pewnym ryzykiem. I to ryzyko drastycznie wzrasta, jeśli korzystanie z usług zewnętrznej firmy wiąże się z przekazaniem danych osobowych poza Europejski Obszar Gospodarczy . A czym jest ten EOG? To wszystkie państwa Unii Europejskiej oraz Islandia, Norwegia i Liechtenstein. Tam możesz transferować dane osobowe na takich samych zasadach, jakbyś transferował dane osobowe do podwykonawcy w Polsce. W Kaliszu, Kielcach, Koszalinie, Poznaniu, Gdańsku, Warszawie czy Krakowie. Dodatkowo europejskimi państwami trzecimi, ale uznanymi przez Komisję Europejską za bezpieczne zostały uznane Szwajcaria, Andorra czy Wielka Brytania.

Pełną i aktualną listę takich państw znajdziesz na stronach internetowych Komisji Europejskiej. Link dla ułatwienia wkleiłem Ci na dole w opisie odcinka. Natomiast jeśli chcesz transferować dane osobowe do innych państw europejskich, nie należących do EUG, np. Ukrainy, Serbii, Turcji czy Albanii, Transferowanie danych osobowych poza EOG nie jest co prawda zakazane, ale wiąże się z całą masą dodatkowych obowiązków, jakie musisz zrealizować. Dlatego dwa razy zastanów się przed takim transferem, a jeżeli jesteś już zdecydowany czy zdecydowana, to koniecznie skonsultuj to wcześniej z działem prawnym czy zewnętrznymi ekspertami zajmującymi się RODO. Po drugie, lepiej nie ignoruj zaleceń Inspektora Ochrony Danych.

Przechodzimy do sekcji RODOnewsów poświęconych marketingowi i sprzedaży. News numer 3. Czy można wysłać marketingowy e-mail bez RODOzgody użytkownika, czyli ważne orzeczenie Trybunału Sprawiedliwości Unii Europejskiej . W ostatnim wyroku TSUE rozwiał wątpliwości dotyczące przepisów RODO w kontekście marketingu. Sprawa dotyczyła firmy Inteligo Media, która wysłała darmowy biuletyn informacyjny o zmianach w prawie. Biuleten zawierał jednocześnie oferty subskrypcyjne do pełnych treści artykułów na platformie Inteligo Media. Rumuński organ ochrony danych uznał, że firma nie miała wystarczającej zgody użytkowników na przetwarzanie ich danych w celach marketingowych, co skutkowało nałożeniem kary finansowej. Rumuński sąd nie miał pewności, czy rumuński regulator postąpił słusznie.

Dlatego zadał pytanie... Prejudycjalne Europejskiemu Trybunałowi Sprawiedliwości. Co ciekawe TSUE podkreślił, że przepisy RODO nie mają zastosowania w sytuacjach, gdy dane kontaktowe użytkowników zostały zebrane w kontekście sprzedaży produktów lub usług, a komunikaty marketingowe dotyczą podobnych towarów czy usług oferowanych przez tę samą firmę. Co ważne TSUE zaznaczył, że w takim przypadku wystarczy, że odbiorcy komunikatu zostaną jasno poinformowani o możliwości sprzeciwu wobec wykorzystywania ich danych do marketingu bezpośredniego. Trybunał wyjaśnił też, że takie komunikaty marketingowe mogą być wysyłane bez uzyskania zgody użytkownika, o ile spełnione są odpowiednie warunki, takie jak zapewnienie możliwości łatwego wycofania zgody czy wyrażenia sprzeciwu.