Zgoda na przetwarzanie danych osobowych jako oświadczenie woli

Ustawodawca nie przewiduje żadnej konkretnej formy na wyrażenie przedmiotowej zgody w przypadku przetwarzania danych osobowych tzw. zwykłych (np. imię, nazwisko). Oświadczenie takie zasadniczo może być nawet wyrażone ustnej, administrator danych powinien jednak móc, w razie potrzeby, udokumentować, że zgoda taka została udzielona. Można ją zatem wyrazić, na przykład przez zaznaczenie odpowiedniego miejsca na formularzu. Niektórzy administratorzy danych zabezpieczają się nawet w ten sposób, że nagrywają, za wcześniejszym uprzedzeniem, treść rozmowy telefonicznej. W przypadku jednak, gdy zgoda została wyrażona jedynie ustnie, a następnie dochodzi do sporu należałoby przeprowadzić przed odpowiednim organem dowód z przesłuchania świadków, lub nawet samych stron na tę okoliczność. Jeśli natomiast administrator nie będzie w stanie w ogóle udowodnić, że tę zgodę rzeczywiści uzyskał nie będzie mógł powołać się na oświadczenie woli, jako przesłankę legalizującą przetwarzanie przez niego danych. Przetwarzanie natomiast danych osobowych tzw. wrażliwych (to jest danych ujawniających pochodzenie rasowe lub etniczne, poglądy polityczne, przekonania religijne lub filozoficzne, przynależność wyznaniową, partyjną lub związkową, jak również danych o stanie zdrowia, kodzie genetycznym, nałogach lub życiu seksualnym oraz danych dotyczących skazań, orzeczeń o ukaraniu i mandatów karnych, a także innych orzeczeń wydanych w postępowaniu sądowym lub administracyjnym) jest dopuszczalne, zgodnie z art. 27 ust. 2 pkt 1, gdy osoba, której dane dotyczą wyrazi zgodę na piśmie (do zachowania pisemnej formy czynności prawnej wystarcza złożenie własnoręcznego podpisu na dokumencie obejmującym treść oświadczenia woli – art. 78 § 1 Kodeksu Cywilnego). Jest to przepis, którego moim zdaniem nie można obejść żadnym internetowym formularzem (chyba, że dysponujemy oświadczeniem woli złożonym w postaci elektronicznej opatrzone bezpiecznym podpisem elektronicznym weryfikowanym przy pomocy ważnego kwalifikowanego certyfikatu- art. 78 § 2 KC). W przypadku zatem administratorów danych, którzy chcieliby zbierać takie dane np. przez portal internetowy można jedynie liczyć na zmianę tego przepisu w przyszłości.

W kontekście definicji zgody zawartej w art. 7 pkt 5 ustawy, która zawiera pojęcie prawa cywilnego „oświadczenie woli” należy odnieść się do przepisów Kodeksu Cywilnego dotyczących zdolności do czynności prawnych (pogląd, uznający za niejednoznaczne, czy oświadczenie o zgodzie na przetwarzanie danych osobowych jest równoznaczne z tym, że jest to czynność prawna został wyrażony w Komentarzu Janusza Barty, Pawła Fajgielskiego, Ryszarda Markiewicza… str. 384), znaczna część doktryny wskazuje jednak na potrzebę odpowiedniego stosowania w tym zakresie przepisów prawa cywilnego o oświadczeniach woli. Taką też koncepcję przyjmę na potrzeby niniejszego artykułu.

Niejednokrotnie, udzielona już przez prywatny podmiot zgoda może nasuwać pewne wątpliwości interpretacyjne. Aby przeanalizować konkretny stan faktyczny właściwym wydaje się posłużenie się regułami prawa cywilnego. Takiej właśnie interpretacji „zgody” dokonał Naczelny Sąd Administracyjny w wyroku z dnia 19 listopada 2001 roku (sygn. akt II 2748/00) dotyczącym naruszenia ustawy o ochronie danych osobowych przez jedną z sieci telewizji kablowych. W treści uzasadnienia podzielającego stanowisko Generalnego Inspektora Ochrony Danych Osobowych NSA wskazał, że: „, jako oświadczenie woli należy tak tłumaczyć, jak tego wymagają ze względu na okoliczności, w których złożone zostało, zasady współżycia społecznego oraz ustalone zwyczaje (art. 65 § 1 KC). W umowach należy raczej badać, jaki był zgodny zamiar stron i cel umowy, aniżeli opierać się na jej dosłownym brzmieniu (art. 65 § 2 KC).

W tym miejscu postaram się rozważyć różnorodne aspekty traktowania zgody na przetwarzanie danych jako oświadczenia woli, wobec którego należy stosować przepisy kodeksu cywilnego.

W pierwszej kolejności należy sobie zadać pytanie kto może wyrazić zgodę na przetwarzanie „swoich danych”. Zgodnie z art. 11 Kodeksu Cywilnego pełną zdolność do czynności prawnych nabywa się z chwilą uzyskania pełnoletniości. Nie mają zaś zdolności do czynności prawnych osoby, które nie ukończyły lat trzynastu oraz osoby ubezwłasnowolnione całkowicie. Należy zatem uznać, iż zgodę na przetwarzanie danych osobowych mogą wyrazić, w pełni skutecznie nie budząc żadnych wątpliwości, osoby pełnoletnie o pełnej zdolności do czynności prawnej. Nie można zatem przyjąć, że prawidłową praktyką są działania niektórych firm prowadzących kampanię promocyjną w szkołach, gdzie na przykład za wypełnienie formularza zawierającego dane osobowe i zgodę na ich przetwarzanie dziecko dostaje kredki. W takim wypadku jedynie przedstawiciel ustawowy dziecka może taką zgodę skutecznie wyrazić. Należy jeszcze wyszczególnić grupę osób w przedziale wiekowym od 13 do 18 lat, a także osoby ubezwłasnowolnione częściowo. W sytuacji, gdy osoba, której dane dotyczą nie ma pełnej zdolności do czynności prawnych w rozumieniu prawa cywilnego (ma ograniczoną zdolność do czynności prawnych), do przetwarzania danych dotyczących tej osoby tzw. zwykłych, np. imię, nazwisko, ze względu na fakt, że te dane są wykorzystywane w powszechnych, drobnych sprawach życia codziennego, można uznać, iż wystarczy ich samodzielna zgoda .

W piśmiennictwie, dość kontrowersyjnym problemem jest możliwość odwołania udzielonej już zgody. Pewne ustawy szczególne wyraźnie przewidują taką możliwość. O takim uprawnieniu stanowi art. 4 ust. 1 pkt 2 ustawy z 18 lipca 2002 roku o świadczeniu usług drogą elektroniczną (Dz. U. Nr 144, poz. 1204, ze zm.). Przepis ten zezwala usługobiorcy na cofnięcie wcześniej wyrażonej zgody, w przypadku gdy ustawa takiej zgody wymaga.

Ustawa o ochronie danych osobowych natomiast nie przewiduje wprost możliwości odwołania udzielonej zgody. Mając na uwadze, że jest ona rodzajem oświadczenia woli należy uznać, iż może zostać ono z reguły zmienione kolejnym oświadczeniem o innej treści. (por. Andrzej Drozd, Ustawa o ochronie danych osobowych… Warszawa 2005, str. 79). Z zadowoleniem należy przyjąć proponowaną w tym zakresie zmianę, którą zakłada projekt prezydencki nowelizacji ustawy o ochronie danych osobowych. W proponowanym brzmieniu art. 7 pkt 5 doprecyzowano definicję „zgody osoby, której dane dotyczą” na ich przetwarzanie, dodając, iż zgoda ta może być w każdym czasie odwołana. Zmiana ta ma rozstrzygnąć tę kwestię w sposób nie budzący wątpliwości, to jest dopuścić wyraźnie odwołanie zgody.

Ponadto, można wskazać na pewne szczególne sytuacje, gdy zgoda osoby pełnoletniej przetwarzanie swoich danych nie będzie prawnie skuteczna. Przepis art. 82 Kodeksu Cywilnego przewiduje sankcję nieważności złożonego oświadczenia w przypadku, gdy zostanie ono złożone w stanie wyłączającym świadome albo swobodne powzięcie powzięcie decyzji i wyrażenie woli. Nieważna zatem będzie zgoda wyrażona przez osobę z zaburzeniami psychicznymi, która nie jest w stanie rozeznać znaczenia takiej zgody nawet, gdy posiada pełną zdolność do czynności prawnych.

Przede wszystkim trzeba podkreślić, że osoba, która taką zgodę wyraża nie może się czuć do niej zmuszona. W wyroku z dnia 9 listopada 2001 r. (sygn. akt II SA 2748/00) Naczelny Sąd Administracyjny stwierdził, iż: „udostępnienie danych osobowych podmiotom trzecim powinno być odrębnym oświadczeniem woli, nie musi bowiem dana osoba godzić się na udostępnienie swoich danych osobom trzecim”. Można uznać, że wyrażenie zgody na przetwarzanie danych w takich warunkach wyklucza; „swobodne podjęcie decyzji i wyrażenie woli.”

Należy uznać, iż osoba, która złożyła oświadczenie o zgodzie na przetwarzanie danych osobowych pod wpływem błędu co do treści czynności prawnej będzie mogła w ciągu roku od jego wykrycia uchylić się od skutków prawnych złożonego oświadczenia woli, podobnie, gdy zostanie ono złożone na skutek czyjejś groźby. W przypadku zgody na przetwarzanie danych osobowych myślę, że najłatwiej danemu podmiotowi byłoby uzasadnić uchylenie się od skutków prawnych oświadczenia woli powołaniem się na podstępne wywołanie błędu przez administratora danych. Miałoby to miejsce w przypadku, gdy dany podmiot przekonuje osobę, że zgoda na przetwarzanie jej danych osobowych w celach marketingowych jest potrzebna tylko i wyłączenie w celu przesłania prezentu, podczas gdy osoba ta dostaje regularnie ulotki reklamowe od tej firmy. Warto tu wskazać na orzeczenie Sądu Apelacyjnego w Poznaniu z dnia 23 listopada 1995 roku (sygn. akt I Acr 483/95, Wokanda 8/96, s. 45 – 50).: „Charakterystyczną cechą tego rodzaju nieważności jest pozostawienie osobie – wskazanej odpowiednim przepisem – swobody decyzji w przedmiocie doprowadzenia do unieważnienia czynności prawnej. Podważenie skuteczności takiej czynności następuje przez uchylenie się od skutków prawnych oświadczenia woli. Przepis nie stanowi, by musiało to nastąpić na drodze prawnej. Wystarczy pozasądowe oświadczenie złożone na piśmie, skierowane do określonego adresata. (…) Uprawnienie do uchylenia się od skutków prawnych oświadczenia woli ma charakter prawa podmiotowego kształtującego. Konsekwencją uchylenia się od skutków prawnych oświadczenia woli jest nieważność czynności prawnej. Zatem czynność nie może wywołać żadnych skutków, a te, które powstały, zostają z mocą wsteczną przekreślone.” Należy zatem uznać, że w przypadku, gdy osoba, która wyraziła zgodę na przetwarzanie danych osobowych np. pod wpływem błędu nie uchyli się od skutków prawnych oświadczenia woli zgoda ta pozostanie ważna. Wystarczy jednak, że złoży ona pisemne oświadczenie o uchyleniu się od skutków prawnych oświadczenia woli, by wyrażona uprzednio zgoda została uznana za nieważną od samego początku.

Podsumowując niniejsze rozważania pragnę zwrócić uwagę na dwie kwestie. Bardzo ważną sprawą dla administratora danych jest odpowiednie skonstruowanie klauzuli wyrażającej zgodę na przetwarzanie danych. W sposób nie budzący wątpliwości powinno wynikać, w jakim celu, zakresie i przez kogo dane osobowe będą przetwarzane. Klauzula taka musi być również odpowiednio wyodrębniona z pozostałej treści oświadczenia, czy umowy. Po drugie, uregulowania dotyczące zgody na przetwarzanie danych w ustawie o ochronie danych osobowych na tle różnorodnych stanów faktycznych zdają się być niewystarczające. Wówczas możemy, pomocniczo posługiwać się uregulowaniami dotyczącymi oświadczenia woli w przepisach prawa cywilnego.

Anna Hoffman

About Redakcja 310 Articles
Omni Modo to po łacinie „na każdy sposób”. Nazwa naszej firmy to nie przypadek. Na każdy sposób chcemy bowiem pokazywać klientom nasze doświadczenie, profesjonalizm i sukcesy w dziedzinie ochrony danych osobowych.