Source: https://www.eporady24.pl/automatyczne_ankietowanie_powierzenie_zewnetrznej_firmie_przetwarzania_danych_osobowych_klientow_na_potrzeby_ankiety,pytania,22,169,3393.html
Timestamp: 2019-09-19 23:18:22
Legal References Found: art. 1
 art. 6
 art. 7
 art. 11
 art. 7
 art. 51
 art. 7
 art. 23
 art. 23
 art. 31
 art. 31
 art. 36
 art. 39
 art. 2
 art. 36
 art. 39
 art. 23
 art. 36
 art. 172

Document Content:
Automatyczne ankietowanie – powierzenie zewnętrznej firmie przetwarzania danych osobowych klientów na potrzeby ankiety
Autor: Jakub Bonowicz • Opublikowane: 23.12.2010
Czy można w zgodzie z prawem świadczyć usługi – firma A na rzecz firmy X (lub innych firm) – polegające na obdzwanianiu przez automat telefoniczny klientów firmy X z krótką ankietą? Słowem usługa świadczona przez A polegałaby na tym, że na podstawie dostarczonych przez firmę X numerów telefonów jej klientów, firma A obdzwaniałaby te numery. Rezultaty takiego obdzwonienia wracałyby drogą elektroniczną do firmy X. Jakie warunki musiałyby być ewentualnie spełnione, by takowa usługa mogła być świadczona – jakaś specjalna zgoda albo oświadczenie w firmie X, że klient wyraża zgodę na tego typu akcje?
Czy fakt, że firma A będzie administratorem danych osobowych, zobowiązuje ją do zgłoszenia posiadania takiej bazy klientów do GIODO?
Z opisanego stanu faktycznego wynika, iż chodzi o przetwarzanie danych osobowych (konkretnie numeru telefonu) dla celów przeprowadzenia ankiety. Jak rozumiem, firmy mają bazę danych swoich klientów i chcą przeprowadzić ankietę wśród nich (w celu np. zbadania ich preferencji czy zadowolenia z usług firmy). Zapewne ze względów ekonomicznych bardziej opłacalne jest zlecenie tworzenia ankiety zewnętrznej firmie (którą, jak rozumiem, jest Pana firma). Pana firma za pomocą automatycznego urządzenia przeprowadza ankietę, obdzwaniając klientów i rezultaty takiej ankiety są następnie przekazywane zleceniodawcy.
Pierwszym zagadnieniem jest kwestia ochrony danych osobowych. Zasady ochrony danych osobowych określa ustawa z 29 sierpnia 1997 r. (Dz. U. Nr 133, poz. 833) o ochronie danych osobowych. Zgodnie z art. 1 ust. 1 każdy ma prawo do ochrony dotyczących go danych osobowych, a zgodnie z ust. 2 – przetwarzanie danych osobowych może mieć miejsce ze względu na dobro publiczne, dobro osoby, której dane dotyczą, lub dobro osób trzecich w zakresie i trybie określonym ustawą. Zgodnie z art. 6 ust. 1 w rozumieniu ustawy za dane osobowe uważa się wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. Osobą możliwą do zidentyfikowania jest osoba, której tożsamość można określić bezpośrednio lub pośrednio, w szczególności przez powołanie się na numer identyfikacyjny albo jeden lub kilka specyficznych czynników określających jej cechy fizyczne, fizjologiczne, umysłowe, ekonomiczne, kulturowe lub społeczne. Informacji nie uważa się za umożliwiającą określenie tożsamości osoby, jeżeli wymagałoby to nadmiernych kosztów, czasu lub działań (art. 6 ust. 3). Numer telefonu jest daną osobą.
Tutaj pierwsza uwaga – danych osobowych nie mają osoby prawne (np. spółka z o.o. czy spółka akcyjna) jak i jednostki organizacyjne niemające osobowości prawnej, ale mające zdolność prawną (np. spółka jawna, spółka komandytowa). Dane osobowe mogą dotyczyć bowiem tylko osób fizycznych. Tak więc, jeśli klientem firmy jest np. spółka z o.o., to nie ma tutaj w ogóle zastosowania ustawa o ochronie danych osobowych.
Po drugie – ustawa ta nie ma zastosowania do osób fizycznych, prowadzących działalność gospodarczą w zakresie tych danych, które podlegają ujawnieniu w Ewidencji Działalności Gospodarczej (a od 01.07.2011 r. – Centralnej Ewidencji i Informacji o Działalności Gospodarczej). Na ten temat zob. np.: M. Krzysztofek, Ochrona danych osobowych osób fizycznych prowadzących działalność gospodarczą, Glosa 3/2010.
Stanowisko Generalnego Inspektora Ochrony Danych Osobowych jest takie, iż przepisy u.o.d.o. nie mają zastosowania do przetwarzania informacji o osobach prawnych, jednostkach organizacyjnych nieposiadających osobowości prawnej oraz podmiotach prowadzących działalność gospodarczą.
Zgodnie z wyrokiem Naczelnego Sądu Administracyjnego (NSA) z 28.11.2002 r. II SA 3389/01 – jeżeli przedsiębiorca objął zakresem swoich danych indywidualnych dotyczących firmy swoje dane osobowe w sytuacji, gdy dane te pokrywają się, nie może on jako osoba fizyczna domagać się ochrony swoich danych osobowych, które są wykorzystywane nie jako dane osobowe, lecz jako dane firmy. Decydując się na utożsamianie tych danych, godzi się tym samym na szersze ich ujawnianie i słabszą ochronę.
Na ten temat miał okazję znów wypowiedzieć się NSA w wyroku z 15.03.2010 r. I OSK 756/09. Sąd stwierdził, że niezależnie od wyłączenia sformułowanego w art. 7a ust. 2 ustawy – Prawo działalności gospodarczej, zgodnie z którym dane osobowe zawarte w Ewidencji Działalności Gospodarczej nie podlegają przepisom ustawy o ochronie danych osobowych, dane osób fizycznych prowadzących działalność gospodarczą nie są wyjęte spod ochrony przewidzianej w ustawie o ochronie danych osobowych, jakkolwiek zakres jej stosowania podlega ograniczeniu w stosunku do danych osobowych konsumentów. Należy je objąć ochroną określoną w ustawie o ochronie danych osobowych ponad zakres podlegający wpisowi do Ewidencji Działalności Gospodarczej.
oznaczenie przedsiębiorcy oraz jego numer ewidencyjny PESEL;
oznaczenie miejsca zamieszkania i adresu przedsiębiorcy, a jeżeli stale wykonuje działalność poza miejscem zamieszkania – również wskazanie tego miejsca i adresu zakładu głównego, oddziału lub innego miejsca, o którym mowa w art. 11 ust. 1;
wskazanie daty rozpoczęcia działalności gospodarcze;
Natomiast numer telefonu kontaktowego nie będzie od 01.07.2011 r. podlegał wpisowi do CEDiG (art. 25 ustawy o swobodzie działalności gospodarczej). Problematyczna byłaby zatem kwestia tych danych, które nie podlegają wpisowi do CEDiG, a mogą stanowić dane osobowe (np. właśnie numer telefonu kontaktowego). Stanowisko nie jest tutaj jeszcze jednolite. Stanowisko GIODO, jak już wskazałem, było takie, iż przepisów u.o.d.o. nie stosuje się w ogóle do danych identyfikujących podmiot w obrocie gospodarczym i ściśle wiążących się z prowadzoną przez niego działalnością gospodarczą (Decyzja GIODO z 21.03.2005 r. GI-DEC-DS.-57/05). NSA do końca się z tym stanowiskiem nie zgodził, argumentując, iż: wykładnia zawarta w art. 7 Prawa działalności gospodarczej nie oznacza, iż ustawa o ochronie danych osobowych nie ma w jakimkolwiek zakresie zastosowania do osób fizycznych prowadzących działalność gospodarczą. Wynika to z art. 51 ust. 3 Konstytucji – tj. prawa dostępu beneficjenta ochrony do dotyczących go urzędowych dokumentów i zbiorów danych (także NSA w wyroku z 29.01.2003 r. II SA 3085/02), z tego przepisu wynika, iż przetwarzanie danych jest dopuszczalne wyłącznie na wyraźnej podstawie prawnej, która podlega wykładni zawężającej.
W związku z niejednoznacznością interpretacji i zmianą przepisów o ewidencji działalności gospodarczej (w zakresie telefonu kontaktowego) sugerowałbym do osób fizycznych prowadzących działalność gospodarczą stosować mimo wszystko przepisy o ochronie danych osobowych jak do osób fizycznych takiej działalności nieprowadzących.
Wreszcie trzecia grupa – konsumenci, zapewne najliczniejsza. Do nich stosuje się w pełnym zakresie ustawę o ochronie danych osobowych. Zgodnie z art. 7 pkt 2) ustawy przez przetwarzanie danych osobowych rozumie się jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych. Udostępnienie danych osobowych swoich klientów firmie przeprowadzającej ankietę jest więc przetwarzaniem danych osobowych.
Zgodnie z art. 23 ust. 1 pkt 1) przetwarzanie danych osobowych jest dopuszczalne tylko wtedy, gdy osoba, której dane dotyczą, wyraża na to zgodę, chyba że chodzi o usunięcie dotyczących jej danych. Ponadto jest jeszcze kilka innych wyjątków, z Pana punktu widzenia znaczenie miałby art. 23 ust. 1 pkt 5) – przetwarzanie danych jest dopuszczalne, jeśli jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Za prawnie usprawiedliwiony cel, o którym mowa w ust. 1 pkt 5), uważa się w szczególności marketing bezpośredni własnych produktów lub usług administratora danych oraz dochodzenie roszczeń z prowadzonej działalności gospodarczej (np. przekazanie danych firmie windykacyjnej).
Nie do końca jest jasne, czy takie ankiety mogą być kwalifikowane jako marketing bezpośredni, dla bezpieczeństwa lepiej, żeby firma, która ma bazę swoich klientów, w sytuacji gdy klient udostępnia jej swój numer telefonu, miała zawsze podpisane przez klienta oświadczenie, iż ten wyraża zgodę na (przykładowa formułka):
„Wyrażam zgodę na przetwarzanie, gromadzenie, utrwalanie, przechowywanie, opracowywanie, udostępnianie i usuwanie swoich danych osobowych w celu reklamy, badania rynku oraz zachowań i preferencji kupujących w szczególności w celu powierzenia ich podmiotowi trzeciemu w celu przeprowadzenia ankiety z przeznaczeniem wyników tych badań na potrzeby polepszenia jakości usług świadczonych przez sprzedawcę (usługodawcę)”.
Zgoda klienta może obejmować również przetwarzanie danych w przyszłości, jeżeli nie zmienia się cel przetwarzania (art. 23 ust. 2). Zgoda powinna być wyrażona w sposób wyraźny i dokładnie powinien być określony zakres zgody.
Zatem w mojej opinii warunkiem udostępnienia przez firmę X Pana firmie danych osobowych swoich klientów (a więc ich numerów telefonów kontaktowych) jest uprzednia zgoda klienta firmy X na przetwarzanie jego danych osobowych dla wyżej wskazanych celów. Oczywiście zgoda ta musi być wyrażona na piśmie.
Ponadto, drugą istotną rzeczą jest, iż Pana firma uzyskuje dostęp do danych osobowych i powinna zapewnić ich należyte zabezpieczenie. Zgodnie z art. 31 ust. 1 administrator danych może powierzyć innemu podmiotowi, w drodze umowy zawartej na piśmie, przetwarzanie danych. Podmiot, o którym mowa w ust. 1, może przetwarzać dane wyłącznie w zakresie i celu przewidzianym w umowie. W sytuacji przekazania numerów telefonów mamy de facto do czynienia z powierzeniem przetwarzania danych (w celu przeprowadzenia ankiety). Podmiot, któremu dane powierzono (Pana firma), zgodnie z art. 31 ust. 3, jest obowiązany przed rozpoczęciem przetwarzania danych podjąć środki zabezpieczające zbiór danych, o których mowa w art. 36-39 oraz spełnić wymagania określone w przepisach, o których mowa w art. 39a. W zakresie przestrzegania tych przepisów podmiot ponosi odpowiedzialność jak administrator danych.
Warto wreszcie wskazać, że zgodnie z art. 2 ust. 3 ustawy o ochronie danych osobowych nie stosuje się w odniesieniu do zbiorów danych osobowych sporządzanych doraźnie, wyłącznie ze względów technicznych, szkoleniowych lub w związku z dydaktyką w szkołach wyższych, a po ich wykorzystaniu niezwłocznie usuwanych albo poddanych anonimizacji (np. doraźne stworzenie zbioru wyłącznie w celu przeprowadzenia ankiety), ale i tak w tym wypadku stosuje się rozdział 5 dotyczący zabezpieczenia danych, tj. przepisy art. 36-39a. Zatem tak czy inaczej ma Pan obowiązek w sposób należyty zabezpieczyć dane.
Środki zabezpieczeń obejmują:
Zapewnienie środków technicznych i organizacyjnych gwarantujących ochronę przetwarzanych danych osobowych odpowiednią do zagrożeń oraz kategorii danych objętych ochroną, w szczególności zabezpieczenie danych przed ich (art. 36 ust. 1):
zmianą, utratą, uszkodzeniem, zniszczeniem.
Prowadzenie dokumentacji, opisującej sposób przetwarzania danych oraz środki, o których mowa w ust. 1 (art. 36 ust. 2).
Obowiązek wyznaczenia administratora bezpieczeństwa informacji, nadzorującego przestrzeganie zasad ochrony, o których mowa w ust. 1, chyba że sam wykonuje te czynności (art. 36 ust. 3).
Obowiązek zapewnienia kontroli nad tym, jakie dane osobowe, kiedy i przez kogo zostały do zbioru wprowadzone oraz komu są przekazywane.
Obowiązek prowadzenia ewidencji osób upoważnionych do przetwarzania danych, która powinna zawierać (art. 39 ust. 1):
Obowiązek osób, które zostały upoważnione do przetwarzania danych, zachowania w tajemnicy danych osobowych oraz sposób ich zabezpieczenia (art. 39 ust. 2).
Sens tych przepisów jest oczywisty – proszę sobie wyobrazić, co by się działo, gdyby dane osobowe klientów firmy X wyciekły z Pana firmy i dostały się w ręce np. innej firmy z podobnej branży, która natychmiast zapewne by się z nimi skontaktowała w celu ich przechwycenia. W takim wypadku ponosiłby Pan odpowiedzialność zarówno za naruszenie danych osobowych – wobec konsumentów, jak i odpowiedzialność odszkodowawczą wobec zleceniodawcy ankiety, ponieważ wskutek Pana zaniedbania powierzone dane osobowe dostały się w niepowołane ręce, co naraziło firmę – zleceniodawcę ankiety na szkody i utratę klienteli.
Szczegółowe warunki określa wydane na podstawie art. 39a ustawy rozporządzenie Ministra Spraw Wewnętrznych i Administracji z 29.04.2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz. U. z 2004 r. Nr 100, poz. 1024). Określa ono trzy poziomy bezpieczeństwa – podstawowy, podwyższony i wysoki. Poziom wysoki stosuje się, gdy przynajmniej jedno urządzenie systemu informatycznego służącego do przetwarzania danych osobowych, połączone jest z siecią publiczną (tj. z internetem), a jak zakładam, tak może być w Pana przypadku.
Oprócz tego, przy przeprowadzeniu ankiety należy dokładnie poinformować badanego, na jakiej podstawie taka ankieta jest przeprowadzona (tj. na zlecenie firmy X, której klient udostępnił swoje dane osobowe m. in. na cele przeprowadzania ankiet) oraz dać mu możliwość rezygnacji z udziału w ankiecie (ponieważ udział w ankiecie nie może być co do zasady przymusowy, mamy bowiem wówczas do czynienia z naruszeniem dobra osobistego – prawa do prywatności, chronionego przez art. 23 K.c.).
Odnośnie tego, że ankieta ma być przeprowadzona przez automatyczne urządzenie zastępujące człowieka, nie ma to większego znaczenia. Swego czasu dyskutowano na temat właśnie takich automatycznych urządzeń, określanych mianem Electronic Inteligent Agents (Software Agents). Są one często wykorzystywane np. w celu zautomatyzowania transakcji w sklepie internetowym. Programy takie potrafią np. wysyłać potwierdzenia zawarcia umowy czy złożenia zamówienia, składać oferty wedle określonych parametrów, a nawet prowadzić negocjacje. Taki „elektroniczny agent” nie jest przedstawicielem czy pełnomocnikiem człowieka. Oświadczenie woli tegoż „agenta” jest oświadczeniem samej osoby fizycznej (osoby prawnej czy organizacji) a nie komputera. Taki „agent” pełni rolę tradycyjnego posłańca, przenoszącego jedynie gotowe oświadczenie woli drugiej osoby (tak jak np. poczta jedynie przenosi gotowy list, a nie składa oświadczenia wyrażonego w tym liście albo np. szef podpisuje pismo i wysyła pracownika, by ten złożył je w danej instytucji). Tak więc musi mieć Pan świadomość, że za wszystkie błędy takiego automatycznego systemu (np. w wyniku błędu w zaprogramowaniu automat nie informuje badanego o możliwości rezygnacji z udziału w ankiecie) odpowiada Pan.
Podsumowując – ważne są trzy rzeczy:
Obowiązek uzyskania przez firmę – zleceniodawcę ankiety zgody swoich klientów na udostępnienie ich danych – w tym numeru telefonu kontaktowego – podmiotowi zewnętrznemu (trzeciemu) w celu przeprowadzenia ankiety.
Obowiązek należytego zabezpieczenia danych osobowych klientów firm-zleceniodawców przez Pana jako prowadzącego ankietę, zgodnie z art. 36-39a ustawy o ochronie danych osobowych.
Właściwe zaprogramowanie automatycznych urządzeń przeprowadzających ankietę, ponieważ pełna odpowiedzialność za wadliwe działanie takich urządzeń spoczywa na Panu.
Warto rozważyć jeszcze jeden wariant sytuacji, który może dla Pana nieść konsekwencje. Mianowicie, jeśli firma X nie zbierze oświadczeń o przetwarzaniu danych osobowych od swoich klientów, a będzie przekazywała numery telefonów Pana firmie, to w takim wypadku i Pan będzie ponosił odpowiedzialność za przetwarzanie danych osobowych, chyba że nie można będzie Panu przypisać winy. Brak winy będzie miał miejsce wtedy, kiedy dołoży Pan należytej staranności w działaniu i dokładnie sprawdzi, czy firma X uzyskała zgodę na udostępnienie danych osobowych swoich klientów na przetwarzanie danych dla celów marketingowych. Jeśli Pan tego nie sprawdzi, to wówczas można Panu przypisać winę. Najlepiej byłoby zawrzeć odpowiednie klauzule w umowie z firmą X, typu:
„Firma X oświadcza, iż uzyskała zgodę swoich klientów na przetwarzanie, gromadzenie, utrwalanie, przechowywanie, opracowywanie, udostępnianie i usuwanie danych osobowych swoich klientów (w tym ich numerów telefonów) w celu reklamy, badania rynku oraz zachowań i preferencji kupujących w szczególności w celu powierzenia ich podmiotowi trzeciemu dla przeprowadzenia ankiety, z przeznaczeniem wyników tych badań na potrzeby polepszenia jakości usług świadczonych przez firmę X, na co okazuje dowód w postaci …” (np. oświadczenia klientów, regulamin świadczenia usług itp.).
W przypadku gdyby oświadczenie, o którym mowa wyżej, okazało się nieprawdziwe, firma X ponosi wobec Pana firmy pełną odpowiedzialność odszkodowawczą.
Oczywiście tekst umowy należałoby odpowiednio przygotować, analizując każdy jej aspekt, ale taki zapis koniecznie powinien się w niej znaleźć.
Odpowiadając na Pana ostatnie pytanie, uważam, że nie jest Pan administratorem danych osobowych i nie musi Pan zgłaszać zbioru do GIODO, ponieważ zbiór danych jest sporządzany doraźnie, ponadto Pan jest raczej podmiotem, któremu powierzono administrowanie danymi.
Zasadniczo dużo zależy od właściwego sformułowania wzoru umowy z Pana klientami, jeśli jest Pan zainteresowany, możemy taki wzór przygotować.
Trzeba uwzględnić art. 172 pr. telekomunikacyjnego.
Czy należy się wypłacenie odszkodowania za ujawnienie danych osobowych w gazecie przez sąd rejonowy? Sąd podał do wiadomości publicznej wyrok innej osoby, gdzie umieścił moje nazwisko i imię, a postępowanie było w toku.
Rejestracja bazy danych osobowych
Chciałabym zadać kilka pytań dotyczących rejestracji bazy danych osobowych. Czy fakt, że host firmowej strony internetowej przechowuje m.in. adresy IP odwiedzających, obliguje właściciela strony do zgłoszenia wniosku do GIODO (nawet jeśli serwer stoi za granicą, np. w USA)? Czy udostępnienie czytelnikom bloga możliwości komentowania wpisów – co oczywiście czynią na własne życzenie – albo formularza kontaktowego czy newslettera także wymusza obowiązek rejestracji w GIODO?