RODO w pracy handlowca

RODO to rozporządzenie Parlamentu Europejskiego i Rady Unii Europejskiej z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE, które kompleksowo reguluje zasady ochrony danych osobowych osób fizycznych w krajach Unii Europejskiej. Rozporządzenie nakłada na podmioty przetwarzające dane osobowe szereg obowiązków – ich niedopełnienie zagrożone jest sankcją sięgającą nawet do 20 milionów euro. Stąd też data 25 maja 2018 roku – termin, od którego obowiązują postanowienia rozporządzenia – wywołała tak wiele emocji.

RODO dotyczy także handlowców

RODO wpływa na obowiązki wszystkich podmiotów, które w ramach prowadzonej przez siebie działalności przetwarzają dane osobowe osób fizycznych. Spod zasięgu RODO wyłączone są osoby, które przetwarzają dane osobowe wyłącznie na użytek prywatny – np. przechowują adresy członków rodziny celem przesłania im kartki świątecznej.

W tym miejscu warto wskazać, iż pojęcie „przetwarzanie” rozumiane jest szeroko. Za przetwarzanie należy uznać między innymi zbieranie, modyfikowanie, ale także przechowywanie danych – nawet jeśli nie zostaną w żaden sposób wykorzystane. Pod pojęciem danych osobowych należy natomiast rozumieć wszelkie informacje, dzięki którym możliwe jest zidentyfikowanie konkretnej osoby. Dane osobowe to na przykład imię i nazwisko, adres, numer telefonu czy adres e-mailowy.

Marketing bezpośredni tylko za zgodą

Istotną rolę przy analizie pracy handlowca w cieniu RODO stanowi pojęcie podstawy prawnej przetwarzania danych. Chodzi o wskazanie okoliczności, ze względu na które przetwarzanie danych odbywa się w sposób legalny. W przypadku marketingu bezpośredniego za taką podstawę przyjmuje się art. 6 ust. 1 lit. a RODO oraz art. 6 ust. 1 lit. f RODO. Z przywołanych przepisów wynika, że twoje działania handlowe względem innej osoby będą w świetle RODO legalne wtedy, gdy osoba ta wyrazi zgodę na przetwarzanie danych w celu marketingu bezpośredniego lub przetwarzanie będzie niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora. Takim interesem może być właśnie prowadzenie działań marketingowych – w końcu potencjalnie skutkują one sprzedażą, a sprzedaż bez wątpienia leży w interesie administratora.

Pomimo istnienia uzasadnionego interesu administratora, uzyskanie zgody na określone działania sprzedażowe i tak jest wymagane przez prawo polskie. Otóż zgodnie z art. 10 ustawy z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną (Dz. U. z 2017 r., poz. 1219) zakazane jest przesyłanie niezamówionej informacji handlowej za pomocą środków komunikacji elektronicznej, w szczególności e-maila, chyba że odbiorca wyraził na to zgodę. W podobny sposób ograniczone jest przedstawianie ofert w trakcie rozmowy telefonicznej – zgodnie z art. 172 ustawy z dnia 16 lipca 2004 r. Prawo telekomunikacyjne (Dz.U. z 2017 r. poz. 1907) zakazane jest używanie telekomunikacyjnych urządzeń końcowych (np. telefonów) i automatycznych systemów wywołujących dla celów marketingu bezpośredniego, chyba że abonent lub użytkownik końcowy uprzednio wyraził na to zgodę. Słowo „uprzednio” w świetle przywołanej regulacji budzi wiele kontrowersji – nie wiadomo, czy zgodę należy uzyskać przed nawiązaniem połączenia, czy na początku rozmowy. Ta wątpliwość doczeka się wyjaśnienia po zakończeniu postępowania wszczętego w 2017 r. przez UOKiK.

Dokonując zsumowania wymagań stawianych działalności handlowej przez RODO oraz odnoszącego się do ochrony danych osobowych ustawodawstwa polskiego, należy dojść do wniosku, iż przed wysłaniem oferty za pośrednictwem e-maila lub przed wykonaniem telefonu do osoby, której chcesz przedstawić ofertę, powinieneś upewnić się, że wyraziła ona na to zgodę. W przeciwnym wypadku wysłanie e-maila lub wykonanie połączenia telefonicznego do tej osoby jest zabronione.

Zgoda na przetwarzanie danych w celach marketingowych

Jak wskazano powyżej, oprócz zgody na działania marketingowe, konieczne jest również uzyskanie zgody na przetwarzanie danych osobowych w celach marketingowych. Z uwagi na to, że zgoda powinna mieć charakter uprzedni względem przetwarzania danych, jej wyrażenie powinno być dokonane przez osobę, której dane dotyczą, już w momencie zbierania danych.

Warto zaznaczyć, że na gruncie RODO zgoda powinna być sformułowana w sposób jednoznaczny, z użyciem prostego języka, a zrozumienie treści zgody nie powinno wymagać specjalistycznej wiedzy prawniczej. Zgoda musi być również udzielona w sposób świadomy oraz przez aktywne działanie.

Poinformuj osobę, której dane dotyczą, o procesie przetwarzania

Jeżeli baza danych jest tworzona przez ciebie i to ty decydujesz o sposobie i celu przetwarzania, bo jesteś administratorem, a jednym z głównych obowiązków, które nakłada na ciebie RODO, jest wypełnienie obowiązku informacyjnego. RODO zakłada bowiem, że jeśli dane osobowe zostały pozyskane od osób, których dotyczą, muszą one zostać poinformowane już w momencie zbierania danych m.in. o:

• tożsamości i danych kontaktowych administratora,
• celach przetwarzania danych osobowych (np. przetwarzanie danych w celach marketingowych) oraz o podstawie prawnej przetwarzania,
• odbiorcach danych osobowych – jeżeli istnieją,
• okresie, przez który dane osobowe będą przechowywane,
• przysługujących osobie, której dane dotyczą, prawach związanych z przetwarzaniem jej danych, np. o prawie do usunięcia, sprostowania, przeniesienia danych, czy o prawie do wniesienia skargi do organu nadzorczego,
• prawie do cofnięcia zgody na przetwarzanie danych osobowych w dowolnym momencie.