Przełomowy wyrok
Wyrok odnosi się kampanii reklamowej z 2019 r., w której PZU Pomoc SA reklamowało możliwość skorzystania przez rodziców oraz opiekunów prawnych z oferty darmowego ubezpieczenia dzieci w trakcie okresu wakacyjnego. Akcja promocyjna, zatytułowana „Wakacje z PZU Bezpieczne dziecko”, pozwalała na uzyskanie nieodpłatnego ubezpieczenia w zamian za wyrażenie zgody przez rodzica lub opiekuna prawnego na przetwarzanie danych osobowych małoletnich w celach marketingowych. Spółki z grupy kapitałowej PZU poprzez program oraz uzyskane dane zyskały możliwość ich analizowania, jednocześnie profilując potrzeby oraz zainteresowania klientów tak, aby w przyszłości móc lepiej dostosować oferty. Osoby zainteresowane ofertą nie były jednak informowane, że mają również możliwość skorzystania z analogicznej płatnej oferty ubezpieczenia dziecka, jeżeli nie chcą wyrazić zgody na przetwarzanie jego danych osobowych do celów marketingowych.
PZU argumentowało natomiast, że klienci mieli możliwość zawarcia innego ubezpieczenia za pośrednictwem agenta bądź też w oddziale PZU i nie było konieczne równoczesne informowanie o takiej alternatywnej ofercie wraz z prezentowaniem promocji darmowego ubezpieczenia. Prezes UODO zaakceptował te wyjaśnienia i uznał, że nie doszło do naruszenia przepisów.
Co wyrok oznacza w praktyce?
Wyrok jest nieprawomocny, co oznacza, że może zostać zmieniony lub uchylony przez sąd wyższej instancji. Warto jednak już teraz przeanalizować praktyki przetwarzania danych osobowych dla celów marketingowych pod kątem:
- wprowadzenia zmian w regulaminach ofert, które dotyczą nieodpłatnych usług w zamian za wyrażenie zgody na przetwarzanie danych osobowych, polegające na wskazaniu alternatywnej, płatnej oferty;
- uprzedniego informowania klientów o alternatywnych opcjach analogicznej usługi lub świadczenia, które pozwoliłyby konsumentowi na skorzystanie z oferty, pomimo braku wyrażenia zgody na przetwarzanie danych osobowych;
- wprowadzania takich ofert, aby wyrażenie zgody na przetwarzanie danych było dobrowolne oraz konsument miał rzeczywisty oraz wolny wybór udzielenia bądź nieudzielenia takiej zgody.
Dotychczasowa praktyka i orzecznictwo
Podmioty funkcjonujące zarówno na rynku polskim, jak i unijnym, zwłaszcza w środowisku cyfrowym, od wielu lat praktykują świadczenie usług w zamian za udostępniane im dane osobowe. Niektóre firmy ubezpieczeniowe, oferowały przykładowo zniżki na ubezpieczenia w przypadku udostępnienia danych osobowych, takich jak numer telefonu i adres e-mail oraz wyrażenia zgody na komunikację marketingową.
Praktyka wymiany danych osobowych na usługi oraz niedostateczne doinformowanie klientów była niejednokrotnie przedmiotem postępowań organów regulacyjnych. Warto wspomnieć w tym miejscu chociażby o decyzji Niemieckiego Urzędu Antymonopolowego w sprawie praktyki Facebooka (sprawa B6-22/16, decyzja z dnia 6 lutego 2019 r.), polegającej na niedostatecznym poinformowaniu użytkowników o ich profilowaniu przy wykorzystaniu plików cookies oraz danych zbieranych za pośrednictwem Facebooka. W zamian za dane osobowe, które w rozumieniu Niemieckiego Urzędu Antymonopolowego stanowią swoisty „towar”, Facebook oferuje możliwość bezpłatnego korzystania z portalu. Po ostatecznym rozpatrzeniu tej sprawy przez Federalny Trybunał Sprawiedliwości, Facebook zobowiązany był do zmiany swojego regulaminu.
Należy również wskazać, że tzw. dyrektywa Omnibus (nr 2019/770 z dnia 20 maja 2019 r. w sprawie niektórych aspektów umów o dostarczanie treści cyfrowych i usług cyfrowych), która nie została jeszcze implementowana w Polsce, zakłada możliwość wprowadzenia modelu, w którym treści cyfrowe lub usługi cyfrowe są również dostarczane w przypadku, gdy konsument nie płaci ceny, lecz dostarcza przedsiębiorcy dane osobowe. Dane osobowe mogą być przekazywane przedsiębiorcy w momencie zawarcia umowy lub w późniejszym terminie, np. gdy konsument udziela przedsiębiorcy zgody na wykorzystanie danych osobowych, które może on przesyłać lub wytworzyć w związku z korzystaniem z treści cyfrowych lub z usługi cyfrowej. Dyrektywa wskazuje jednak, że dane osobowe nie mogą być traktowane jak towar, a przepisy powinny zapewnić konsumentom, w kontekście takich modeli biznesowych, prawo do umownych środków ochrony prawnej.
