Konkursy a RODO – raz jeszcze o podstawie prawnej przetwarzania danych

Wytężona praca środowiska prawniczego zaowocowała niejedną publikacją na temat ujmowania konkursów w ramy prawne RODO. Celem tego artykułu jest przede wszystkim ustalenie, na jakiej podstawie prawnej powinno odbywać się przetwarzanie danych osobowych uczestników konkursu.

W piśmiennictwie wymienia się kilka potencjalnych podstaw przetwarzania danych uczestników.

Najczęściej są nimi zgoda (art. 6 ust. 1 lit. a RODO), niezbędność do wykonania umowy (art. 6 ust. 1 lit. b RODO) lub uzasadniony interes, rozumiany jako możliwość realizacji przyrzeczenia publicznego złożonego przez organizatora konkursu (art. 6 ust. 1 lit. f RODO).

W pierwszej kolejności należy jednak ustalić, jak zaszeregować konkurs na gruncie przepisów prawa.

Czy konkurs zawsze opiera się na przyrzeczeniu publicznym?

Na tak postawione pytanie należy odpowiedzieć negatywnie. Z reguły konkurs będzie opierał się na przyrzeczeniu publicznym, ponieważ jego rola często polega na rozszerzaniu wpływów i potencjału marketingowego organizatora. Taki konkurs jest wówczas adresowany do nieustalonego odgórnie kręgu adresatów, a podjęte przez organizatora zobowiązania najczęściej będą wpisywać się w koncepcję przyrzeczenia publicznego.

Przesłanka „publicznego” charakteru przyrzeczenia odpada jednak wtedy, gdy konkurs jest skierowany do z góry ustalonego grona adresatów. Mowa tutaj na przykład o sytuacji, w której organizator urządza konkurs dla swoich pracowników i dystrybuuje informację o nim w firmowym intranecie. Podobnie będzie wtedy, gdy do udziału w konkursie zostaną zaproszeni mailowo klienci danej usługi administratora. W przypadku konkursów organizowanych w taki sposób nie można mówić, że dochodzi w ich ramach do spełnienia ustawowych przesłanek 

Zatem już pobieżna analiza pozwala wnioskować, że tematykę konkursów należy rozpatrywać na przynajmniej kilku płaszczyznach. To zaś każe rozważyć, czy takie wewnętrzne zróżnicowanie przekłada  się na opisane w RODO podstawy prawne. Na potrzeby dalszej części artykułu konkurs, w ramach którego składa się przyrzeczenie publiczne, będzie nazywany „konkursem typu 1”, a konkurs organizowany bez wykorzystania tej instytucji – „konkursem typu 2”.

Wykonanie umowy lub podjęcie czynności na żądanie osoby przed zawarciem umowy

Jedną z podstaw przetwarzania danych jest niezbędność do (i) wykonania umowy, której stroną jest osoba, której dane dotyczą, lub (ii) do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy (art. 6 ust. 1 lit. b RODO). Umowa – w przeciwieństwie do przyrzeczenia publicznego – jest czynnością prawną dwustronną.

Przy zastosowaniu dalekiej analogii można by argumentować, że w obu przypadkach mamy do czynienia ze stosunkami zobowiązaniowymi, i stąd wywodzić, że przetwarzanie danych w celu realizacji przyrzeczenia publicznego da się oprzeć na art. 6 ust. 1 lit. b RODO. Jednak w mojej ocenie wykładnia językowa nie daje podstaw do takich wniosków. Unijny prawodawca nieprzypadkowo posłużył się sformułowaniem wykluczającym jednostronne czynności prawne z katalogu czynności podpadających pod tę podstawę prawną przetwarzania danych.

Tym samym nie możemy oprzeć przetwarzania danych na podstawie wskazanej w art. 6 ust. 1 lit. b RODO, jeżeli organizujemy konkurs typu 1. Natomiast będziemy mogli z niej skorzystać w przypadku konkursu typu 2 – pod warunkiem akceptacji warunków takiego konkursu. Jeżeli osoba zgłasza akces, to musimy przetworzyć jej dane, by zrealizować żądanie przed zawarciem umowy. Gdy dojdzie do zawarcia umowy, przetwarzanie danych będzie niezbędne do jej wykonania. Nie powinno to budzić kontrowersji.

Prawnie uzasadniony interes

Nie mam cienia wątpliwości, że prawnie uzasadniony interes to jedyna podstawa przetwarzania danych w przypadku konkursu typu 1. Należy odwołać się tutaj przede wszystkim do motywu 47 RODO: „Taki prawnie uzasadniony interes może istnieć na przykład w przypadkach, gdy zachodzi istotny i odpowiedni rodzaj powiązania między osobą, której dane dotyczą, a administratorem, na przykład gdy osoba, której dane dotyczą, jest klientem administratora lub działa na jego rzecz. Aby stwierdzić istnienie prawnie uzasadnionego interesu, należałoby w każdym przypadku przeprowadzić dokładną ocenę, w tym ocenę tego, czy w czasie i w kontekście, w którym zbierane są dane osobowe, osoba, której dane dotyczą, ma rozsądne przesłanki by spodziewać się, że może nastąpić przetwarzanie danych w tym celu. Interesy i prawa podstawowe osoby, której dane dotyczą, mogą być nadrzędne wobec interesu administratora danych w szczególności w przypadkach, gdy dane osobowe są przetwarzane w sytuacji, w której osoby, których dane dotyczą, nie mają rozsądnych przesłanek, by spodziewać się dalszego przetwarzania”.

Trudno wyobrazić sobie bardziej oczywisty przykład sytuacji, w której osoba „ma rozsądne przesłanki, by spodziewać się, że może nastąpić przetwarzanie danych w tym celu”. Jeżeli osoba zgłosi swój udział w konkursie, w pełni racjonalnie może oczekiwać, że ktoś zapisze jej zgłoszenie, a następnie przetworzy je w celu przeprowadzenia konkursu.

Jakkolwiek podejście formalistyczne nakazywałoby stwierdzić, że konkurs typu 2 najczęściej wiąże się z przetwarzaniem na podstawie niezbędności do wykonania umowy, to akurat w tym przypadku dostrzegam też inne możliwości. Należy zaznaczyć, że gdy bez cienia wątpliwości mamy do czynienia z umową, niniejsze rozważania mają charakter czysto teoretyczny. Umowa jest bowiem stabilniejszą (z punktu widzenia administratora) podstawą prawną przetwarzania od uzasadnionego interesu prawnego.

Mogą jednak wystąpić sytuacje wątpliwe, które trudno będzie jednoznacznie uznać za zawarcie umowy między administratorem a uczestnikiem, przy czym jednocześnie będą charakteryzowały się daleko idącym podobieństwem do przyrzeczenia publicznego. Właśnie to podobieństwo przemawia za tym, że w takich sytuacjach przetwarzanie powinno opierać się na prawnie uzasadnionym interesie. 

Zgoda osoby, której dane dotyczą

Mimo wielu odmiennych głosów przedstawicieli doktryny prawniczej uważam, że zgoda nie stanowi podstawy prawnej przetwarzania danych osobowych w celu organizacji i przeprowadzenia konkursu – co dotyczy zarówno konkursu typu 1, jak i konkursu typu 2. Nie wydaje się trafne stanowisko, w myśl którego „pomimo przytoczonych powyżej argumentów przemawiających za tym, aby odstąpić od zbierania zgód na przetwarzanie danych w związku z organizacją konkursów, część administratorów zapewne będzie chciała dalej korzystać z tego rozwiązania. Rzecz jasna nie jest to związane z żadnym ryzykiem prawnym, o ile zgody będą zbierane w sposób zgodny z przepisami RODO”.

Istnienie podstawy prawnej w postaci art. 6 ust. 1 lit. b lub f RODO wyklucza możliwość oparcia się na zgodzie – ze względów nie tylko dogmatycznych (wybór niewłaściwej podstawy prawnej), lecz także praktycznych. Przede wszystkim oparcie przetwarzania na zgodzie uderzałoby w samego administratora. W ten sposób uczyniłby on osobę, której dane dotyczą, rzeczywistym dysponentem procesu przetwarzania. Natomiast oparcie się na prawnie uzasadnionym interesie umożliwia przynajmniej polemikę w razie ewentualnego sprzeciwu i pozwala na ważenie uzasadnionych interesów administratora oraz praw i wolności osoby, której dane dotyczą.

Administratorzy lubią utrudniać sobie życie i zbierać dodatkowe formularze. Jednak w mojej ocenie sam akces do konkursu należałoby uznać za zgodę – gdyby czysto hipotetycznie przyjąć, że jest ona prawidłową podstawą prawną przetwarzania danych w związku z konkursem. To generuje oczywiste ryzyko, że arkusz zgody zostanie sporządzony w sposób nieprawidłowy. Nieprawidłowości mogą polegać w szczególności na uchybieniu zasadzie konkretności zgody. Najczęściej przejawia się to w odbieraniu jednej zgody na kilka celów przetwarzania (np. zgody na przetwarzanie danych w celu organizacji i przeprowadzenia konkursu oraz w celu wysyłania informacji handlowej pocztą elektroniczną).

Podsumowanie

Uzasadniony interes wydaje się najlepszym rozwiązaniem w przypadku większości konkursów. Przemawiają za tym zarówno względy dogmatyczne, jak i kwestie praktyczne. Jeżeli administrator może oprzeć się na podstawach takich jak wykonanie umowy czy prawnie uzasadniony interes prawny, to zbieranie zgód jest kolejnym niepotrzebnym formalizmem, który w dłuższej perspektywie może obrócić się na niekorzyść organizatora konkursu.