Baza danych osobowych obejmująca informacje na temat aktualnych i potencjalnych klientów spółki to jeden z najbardziej wartościowych elementów przedsiębiorstwa. Niektóre podmioty decydują się na zakup gotowej bazy danych. Warto zastanowić się nad dopuszczalnością tego postępowania oraz obowiązkami prawnymi, jakie trzeba spełnić, aby móc korzystać z takiej bazy.

Właściwe wykorzystanie bazy zawierającej dane osobowe klientów, zwłaszcza kontrahentów i potencjalnych kontrahentów, może przynieść firmie wymierne korzyści. Przez pojęcie bazy marketingowej rozumiemy zbiór danych osobowych, ale często także danych nieosobowych, które gromadzone są w celach związanych z marketingiem. Przedsiębiorcy, poprzez prowadzenie odpowiedniej komunikacji marketingowej do takiej bazy, mogą w relatywnie prosty sposób promować oferowane przez siebie produkty i usługi. W teorii pierwszym sposobem działania, który przychodzi na myśl w przypadku chęci podjęcia działań marketingowych wobec szerszego grona klientów, jest samodzielne tworzenie bazy danych osobowych. Proces ten wymaga jednak przeważnie znacznego nakładu czasu, a także podjęcia odpowiednich działań organizacyjnych w ramach struktury, w tym zaangażowania odpowiedniej liczby osób do budowania bazy klientów. Dlatego część podmiotów decyduje się na nabycie gotowej bazy marketingowej obejmującej dane kontaktowe do potencjalnych kontrahentów.

> ELEMENT TRANSAKCJI

W pierwszej kolejności należy rozważyć, kiedy najczęściej mamy do czynienia z możliwością nabycia bazy marketingowej. W przypadku chęci nabycia bazy danych osobowych dość korzystną sytuacją dla nabywcy będzie łączenie lub przejmowanie całej spółki, w skład której taka baza danych wchodzi. Jeśli zatem spółka stworzyła bazę marketingową, a następnie podmiot ten podlega połączeniu lub przejęciu, to zgodnie z przepisami kodeksu spółek handlowych i zasadą tzw. sukcesji uniwersalnej spółka przejmująca lub spółka nowo zawiązana (a więc w praktyce beneficjent majątkowy połączenia) wstępuje z dniem połączenia we wszystkie prawa i obowiązki spółki przejmowanej lub spółek łączących się przez zawiązanie nowej spółki. Innymi słowy spółka przejmująca lub spółka nowo zawiązana będzie kontynuatorem wcześniej prowadzonej działalności, a co za tym idzie – będzie mogła nadal bezproblemowo eksploatować bazę danych osobowych, która należała do spółki podlegającej łączeniu lub przejęciu. W takich sytuacjach jednak bazy danych osobowych stanowią przeważnie jedynie element większej transakcji, a nie jej główny cel. Jeśli przedsiębiorca jest zainteresowany wyłącznie nabyciem samej bazy kontaktów niezbędnej do prowadzenia marketingu, będzie musiał poszukiwać innych rozwiązań. Na rynku bez problemu można znaleźć podmioty, które specjalizują się w gromadzeniu danych osobowych i ich dalszej sprzedaży. Ponadto zdarza się, że spółki kończą działalność w całości lub ograniczają częściowo zakres prowadzonej działalności i pozbywają się poszczególnych elementów swojego przedsiębiorstwa. W takiej sytuacji również może dojść do nabycia bazy danych osobowych od podmiotu trzeciego.

Żadne z aktualnie obowiązujących przepisów zasadniczo nie zakazują kupowania bazy danych osobowych, zatem należy to działanie uznać za dopuszczalne. Jednak niewielu przedsiębiorców decydujących się na takie rozwiązanie ma świadomość, że nabycie bazy marketingowej nie zawsze będzie równoznaczne z możliwością wykorzystywania zgromadzonych w niej danych w dowolnych celach ustalonych przez nabywcę. Nabycie bazy, a także możliwość efektywnego jej wykorzystywania do działań marketingowych, wiąże się z różnymi obowiązkami prawnymi.

> NABYWCA JAKO ADMINISTRATOR

Pierwszym i jednym z najistotniejszych aktów prawnych, które należy uwzględnić kontekście nabywania bazy danych osobowych, jest rzecz jasna rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych), czyli rodo. Zasadniczo w każdym przypadku korzystanie z bazy marketingowej zawierającej dane osobowe podlega przepisom rodo. Z perspektywy unijnego rozporządzenia nabycie bazy danych osobowych można w większości przypadków uznać za czynność udostępnienia danych osobowych pomiędzy sprzedającym a kupującym. Najczęściej każdy z tych podmiotów w świetle rodo pełni rolę administratora danych osobowych, ponieważ zgodnie z art. 4 rodo za administratora uznaje się podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych. Ostateczny status podmiotu korzystającego z bazy danych na gruncie przepisów o ochronie danych osobowych zależy w przeważającej mierze od okoliczności, a także treści umowy obejmującej przeniesienie praw do bazy danych – ta kwestia zatem powinna być starannie zweryfikowana przed planowaną transakcją.

Zakup bazy marketingowej, jak już wskazano, w większości przypadków sprawia, że nabywca staje się administratorem danych osobowych. Od tego momentu ciążą na nim wszystkie obowiązki wynikające z rodo. Kupujący musi przede wszystkim zweryfikować, czy sam dysponuje podstawą prawną do przetwarzania danych osobowych zgromadzonych w bazie. Według katalogu wynikającego z art. 6 rodo przetwarzanie danych jest zgodne z prawem, gdy spełniony jest co najmniej jeden z poniższych warunków:

• osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym celu lub większej liczbie określonych celów;
• przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy;
• przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze;
• przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej;
• przetwarzanie jest niezbędne do wykonaniazadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi;
• przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, gdy nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, zwłaszcza gdy osoba, której dane dotyczą, jest dzieckiem.

W kontekście przetwarzania danych osobowych w bazie marketingowej z powyżej wskazanych przesłanek legalizujących przetwarzanie należy brać pod uwagę przede wszystkim zgodę osoby, której dane dotyczą, oraz prawnie uzasadnione interesy realizowane przez administratora. Chęć przetwarzania danych osobowych na podstawie pierwszej z dwóch wskazanych przesłanek, tj. zgody, w praktyce wiąże się z koniecznością ponownego zebrania zgód na przetwarzanie danych od wszystkich osób, których dane znajdują się w bazie. Zgodnie z definicją zawartą w rodo zgoda powinna być wyrażona w formie oświadczenia lub wyraźnego działania potwierdzającego, musi spełniać różne przesłanki, aby móc uznać ją za ważną, w tym powinna być złożona dobrowolnie, konkretnie, świadomie i jednoznacznie. W praktyce, przy dużym wolumenie danych, pozyskanie takich zgód może się okazać niezwykle trudne i równie żmudne, co samodzielne budowanie bazy od podstaw. Istnieje opinia, że w przypadku zmiany administratora danych (przekazania danych osobowych przez jedną spółkę na rzecz drugiego podmiotu) można przetwarzać dane na podstawie zgody uzyskanej przez poprzedniego administratora danych, o ile cele przetwarzania tych danych się nie zmienią. Z taką sytuacją mamy do czynienia, gdy nabywca bazy marketingowej prowadzi działalność tożsamą ze zbywcą bazy danych. Twierdzi się, że wówczas wystarczy poinformowanie o zmianie tożsamości administratora, a zgodę można uznać za ważną i dalej obowiązującą również w stosunku do nabywcy bazy. Stanowisko takie wydaje się jednak trudne do zaakceptowania, jeśli wziąć pod uwagę fakt, że zgoda została udzielona świadomie na rzecz konkretnego podmiotu, który dane pierwotnie przetwarzał.

[...]

Autor jest radcą prawnym w kancelarii Głowacki i Wspólnicy. Specjalizuje się w zakresie prawa gospodarczego, prawa nowych technologii oraz ochrony danych osobowych.