Prawnie uzasadniony interes administratora jest jedną z najważniejszych podstaw przetwarzania danych osobowych w działaniach marketingowych. Nie jest jednak prostym zamiennikiem zgody i nie oznacza pełnej dowolności w kierowaniu komunikatów marketingowych. W praktyce wymaga każdorazowo oceny celu, zakresu danych, relacji z odbiorcą, intensywności komunikacji oraz wpływu przetwarzania na prawa i wolności osoby, której dane dotyczą.
RODO w art. 6 ust. 1 lit. f dopuszcza przetwarzanie danych, gdy jest ono niezbędne do realizacji prawnie uzasadnionych interesów administratora lub strony trzeciej, chyba że nadrzędne są interesy, prawa lub wolności osoby, której dane dotyczą. Jednocześnie motyw 47 RODO wskazuje, że przetwarzanie danych osobowych do celów marketingu bezpośredniego można uznać za działanie wykonywane w prawnie uzasadnionym interesie administratora.
Przy projektowaniu działań marketingowych trzeba jednak rozróżnić dwie warstwy regulacji. RODO określa podstawę przetwarzania danych osobowych, natomiast ustawa z dnia 12 lipca 2024 r. – Prawo komunikacji elektronicznej (Dz. U. z 2024 r. poz. 1221), dalej: „PKE”, reguluje m.in. warunki korzystania z określonych kanałów komunikacji, takich jak telefon, e-mail, SMS, powiadomienia push czy inne kanały elektroniczne.
Uzasadniony interes nie działa automatycznie
Samo powołanie się na marketing bezpośredni nie wystarcza do uznania, że administrator może prowadzić działania marketingowe na podstawie art. 6 ust. 1 lit. f RODO. Konieczne jest przeprowadzenie tzw. testu równowagi, czyli oceny, czy interes administratora jest zgodny z prawem, rzeczywisty i wystarczająco konkretny, czy przetwarzanie danych jest niezbędne do jego realizacji oraz czy interesy lub prawa osoby, której dane dotyczą, nie mają charakteru nadrzędnego.
W praktyce znaczenie mają przede wszystkim rozsądne oczekiwania odbiorcy komunikacji. Inaczej może być oceniany marketing kierowany do aktualnego klienta, inaczej do byłego klienta, a jeszcze inaczej do osoby, która jedynie rozpoczęła proces zakupowy lub kontakt z administratorem, ale nie zawarła umowy. Istotne są także zakres wykorzystywanych danych, czas prowadzenia komunikacji, częstotliwość kontaktu, stopień personalizacji oraz ewentualne profilowanie.
Im bardziej intensywne, zautomatyzowane lub oparte na szerokim zakresie danych są działania marketingowe, tym większe znaczenie ma udokumentowanie testu równowagi. Uzasadniony interes powinien być opisany w sposób konkretny, a nie jako ogólna potrzeba prowadzenia marketingu.
Prawo sprzeciwu jako warunek bezpiecznego modelu
Jeżeli administrator opiera marketing bezpośredni na prawnie uzasadnionym interesie, musi zapewnić osobie, której dane dotyczą, możliwość wniesienia sprzeciwu. Art. 21 ust. 2 RODO przewiduje prawo sprzeciwu wobec przetwarzania danych na potrzeby marketingu bezpośredniego, w tym profilowania związanego z takim marketingiem. Po wniesieniu sprzeciwu danych nie wolno już przetwarzać do tych celów.
To odróżnia sprzeciw RODO od zwykłego zarządzania kanałami komunikacji. Sprzeciw dotyczy celu przetwarzania danych, czyli marketingu bezpośredniego jako takiego. Jeżeli zostanie skutecznie wniesiony, administrator nie powinien kontynuować marketingu bezpośredniego wobec tej osoby w żadnym kanale.
Dlatego w praktyce organizacyjnej warto rozróżniać dwa statusy: sprzeciw wobec marketingu bezpośredniego na podstawie RODO oraz wycofanie zgody na konkretny kanał komunikacji. Są to różne dyspozycje i powinny być odrębnie obsługiwane w systemach, formularzach oraz rejestrach.
RODO i Prawo komunikacji elektronicznej regulują różne warstwy marketingu
Jednym z najczęstszych błędów w projektowaniu modeli marketingowych jest mieszanie podstawy przetwarzania danych z podstawą użycia określonego kanału komunikacji. RODO odpowiada na pytanie, czy administrator może przetwarzać dane osobowe w celu marketingowym. PKE odpowiada natomiast na pytanie, czy można użyć określonego środka komunikacji, np. telefonu, e-maila, SMS-a, powiadomienia push lub innego kanału elektronicznego.
Oznacza to, że nawet jeżeli marketing własnych produktów lub usług może być oparty na prawnie uzasadnionym interesie administratora, użycie kanałów elektronicznych lub telefonicznych może wymagać uprzedniej zgody kanałowej. Art. 398 PKE zakazuje używania automatycznych systemów wywołujących oraz telekomunikacyjnych urządzeń końcowych do przesyłania informacji handlowej, w tym marketingu bezpośredniego, do abonenta lub użytkownika końcowego, chyba że uprzednio wyraził on na to zgodę.
W konsekwencji zgoda kanałowa wymagana na podstawie PKE nie jest tym samym co zgoda na przetwarzanie danych osobowych w rozumieniu RODO. Może wystąpić model, w którym podstawą przetwarzania danych dla marketingu jest prawnie uzasadniony interes, ale równocześnie konieczne jest uzyskanie zgody na użycie konkretnego kanału kontaktu.
Czy potrzebna jest zgoda na „marketing ogólny”?
Jeżeli administrator przyjmuje, że marketing własnych produktów lub usług opiera na art. 6 ust. 1 lit. f RODO, odrębna zgoda na tzw. marketing ogólny nie jest co do zasady konieczna jako nadrzędna zgoda warunkująca każdy kontakt marketingowy. W takim modelu kluczowe znaczenie ma prawidłowe opisanie prawnie uzasadnionego interesu w klauzuli informacyjnej, przeprowadzenie testu