4. Artykuł 23 ust. 1 pkt 3 obejmuje w istocie dwie przesłanki. Pierwsza dotyczy stosunków przedumownych. Podstawowy problem związany jest z rozumieniem wyrażenia „niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą”. Wydaje się, że zbyt restrykcyjne byłoby stanowisko, według którego na podstawie tej przesłanki możliwe byłoby przetwarzanie danych osobowych wyłącznie wówczas, gdy osoba, której dane dotyczą, wystąpiła z inicjatywą podjęcia działań, przykładowo zaproszeniem do składania ofert, tzn. podjęła określone działanie jako pierwsza. Nie jest ono uzasadnione brzmieniem przepisu, gdyż art. 23 ust. 1 pkt 3 odnosi się do sytuacji, w której przetwarzanie danych jest niezbędne do podjęcia działań przed zawarciem umowy, co nie oznacza, że obejmuje wszelkie działania przed zawarciem umowy. W świetle komentowanego przepisu można wyobrazić sobie przynajmniej dwa etapy działań przed zawarciem umowy. Pierwszy, na którym przetwarzanie danych nie jest jeszcze niezbędne, i drugi, kiedy to staje się już niezbędne. Nie można wprawdzie precyzyjnie podzielić działań podejmowanych przed zawarciem umowy na te dwa etapy. Można jednak sformułować następujące wskazówki. Powołanie się na tę przesłankę jest możliwe, gdy osoba, której dane dotyczą, wyraża stanowczą propozycję zawarcia umowy, która nie musi być wcale ofertą w rozumieniu przepisów k.c. Propozycja ta może być konsekwencją wcześniejszych zachowań drugiej strony. Jeżeli umowa zawierana jest w drodze negocjacji, to o żądaniu osoby, której dane dotyczą, można mówić wówczas, gdy wyraża ona nie tylko ogólne zainteresowanie sprawą, lecz przedstawia propozycje dotyczące (choćby niepełne) konkretnych elementów umowy. Również przed przyjęciem oferty możliwe jest wyrażenie „żądania” nawet wtedy, gdy przyjęcie oferty nie jest poprzedzone negocjacjami. Przykładowo, wypełnienie formularza udostępnianego przez banki w sieci internet, na podstawie którego przygotowywana jest umowa, a następnie przesyłana osobie, której dane dotyczą, należy uznać za „żądanie” w rozumieniu art. 23 ust. 1 pkt 3. Jeżeli natomiast umowa jest zawierana w drodze aukcji albo przetargu, to wpłatę wadium (art. 704 k.c.) należy kwalifikować zazwyczaj jako „żądanie osoby, której dane dotyczą”; nie można jednak wykluczyć wcześniejszego momentu wyrażenia żądania przez tę osobę, przede wszystkim w związku z uczestnictwem w aukcjach elektronicznych.
Ocena tego, czy przetwarzanie danych jest niezbędne do podjęcia działań przed zawarciem umowy, powinna uwzględniać charakter i znaczenie umowy. W przypadku umów o dużym znaczeniu gospodarczym potencjalny wierzyciel powinien np. dołożyć należytej staranności, aby zbadać stan majątkowy dłużnika w chwili zawierania umowy (wyrok SN z 28 marca 2003 r., IV CKN 1965/00, „Gazeta Prawna” 2003, nr 70, s. 21, LexPolonica nr 360524). Do wykonania tego obowiązku niezbędne będzie zazwyczaj przetwarzanie danych dotyczących sytuacji majątkowej potencjalnego dłużnika.
Omawiana przesłanka znajduje zastosowanie również na gruncie stosunków pracy. Powołanie się na nią w trakcie rekrutacji doznawało ograniczeń. Do czasu zmian dokonanych ustawą z 2004 r. przetwarzanie danych musiało być niezbędne do podjęcia działań przed zawarciem umowy, a ponadto dotyczyło tylko koniecznych działań. W rezultacie potencjalny pracodawca mógł się powołać na tę przesłankę tylko w odniesieniu do danych niezbędnych do identyfikacji kandydata na pracownika, co w praktyce wykluczało powołanie się na omawianą przesłankę w związku z rekrutacją (zob. A. Drozd, Prawo podmiotu zatrudniającego do pozyskiwania informacji o kandydacie na pracownika, Warszawa 2004, s. 129-130). Dlatego też w praktyce powszechne było określanie w ogłoszeniach o wolnych stanowiskach wymagania udzielenia zgody na przetwarzanie danych osobowych. Obecnie takie ograniczenia już nie występują. W związku z tym złożenie przez kandydata na pracownika dokumentów związanych z ubieganiem się o zatrudnienie należy kwalifikować jako „żądanie osoby, której dane dotyczą”. W konsekwencji de lege lata nie ma potrzeby, aby kandydat na pracownika wyrażał zgodę na przetwarzanie danych osobowych w związku z ubieganiem się o zatrudnienie.
Wątpliwości nasuwa stosowanie omawianej przesłanki do innych podstaw nawiązania stosunku pracy niż umowa o pracę lub spółdzielcza umowa o pracę. Wydaje się mimo wszystko, że przesłankę tę należy ujmować szerzej w sposób obejmujący także pozaumowne podstawy nawiązania stosunku pracy. Wykładnia rozszerzająca nie stoi na przeszkodzie urzeczywistnianiu wartości uznanych przez system prawny (ochrona danych osobowych, prywatność). Pozaumowne podstawy nawiązania stosunku pracy bowiem nie stwarzają większych zagrożeń prywatności niż powstające w trakcie zawierania umowy o pracę. Ponadto nawiązanie stosunku pracy na podstawie innej niż umowna zawsze wymaga zgodnych oświadczeń woli stron (art. 11 k.p.), co uzasadnia jednakowe traktowanie pozaumownych podstaw nawiązania stosunku pracy (powołanie, mianowanie, wybór) z umową o pracę (spółdzielczą umową o pracę) w zakresie stosowania omawianej przesłanki.
5. Druga przesłanka ustanowiona w art. 23 ust. 1 pkt 3 została sformułowana jako: „jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną”. Powołanie się na tę przesłankę jest możliwe tylko po zawarciu umowy. Jak już zauważono w odniesieniu do pierwszej przesłanki ustanowionej w art. 23 ust. 1 pkt 3, przez umowę w rozumieniu komentowanego przepisu należy rozumieć także zobowiązania powstające na podstawie innych zdarzeń prawnych niż umowa, jeżeli warunkiem ich powstania jest konsens stron. Dlatego pracodawca może powołać się na omawianą przesłankę niezależnie od tego, na jakiej podstawie powstał stosunek pracy. Przez pojęcie umowy w rozumieniu art. 23 ust. 1 pkt 3 należy rozumieć także statuty prywatnych osób prawnych (spółki, spółdzielni, fundacji), które w doktrynie i orzecznictwie uznawane są za umowę cywilnoprawną (uchwała SN z 15 października 1985 r., III CZP 40/85, OSNCP 1986, nr 6, poz. 86; wyroki SN: z 8 lutego 2000 r., I CKN 399/98, LexPolonica nr 379752; z 21 grudnia 2000 r., IV CKN 203/00, LexPolonica nr 389718; z 16 stycznia 2001 r., II CKN 350/00, LexPolonica nr 384092; z 12 października 2001 r., V CKN 504/00, LexPolonica nr 384116; z 5 marca 2003 r., III CKN 1064/00, LexPolonica nr 376748).
6. Zgodnie z art. 23 ust. 1 pkt 4 przetwarzanie danych osobowych jest dopuszczalne, jeżeli „jest niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego”. Ustawa o.d.o. nie definiuje pojęcia „zadania realizowane dla dobra publicznego”. Można przyjąć, że są to przede wszystkim „zadania użyteczności publicznej”. Pojęcie to określone jest w art. 9 ust. 4 ustawy z 8 marca 1990 r. o samorządzie gminnym (tekst jedn. Dz. U. z 2001 r. Nr 142, poz. 1591) jako zadania własne gminy, wymienione przykładowo w jej art. 7 ust. 1, których celem jest bieżące i nieprzerwane zaspokajanie zbiorowych potrzeb ludności w drodze świadczenia usług powszechnie dostępnych. Przykładowo gmina może na podstawie art. 23 ust. 1 pkt 4 przetwarzać dane osobowe, jeżeli jest to niezbędne do jej promocji. W literaturze wskazuje się nawet, że „zadania realizowane dla dobra publicznego” są to „zadania publiczne” (A. Mednis, Ustawa o ochronie danych osobowych. Komentarz, Warszawa 1999, s. 67). Podobny pogląd wyraził Trybunał Konstytucyjny w uchwale z 12 marca 1997 r., W 8/96 (OTK 1997, nr 1, poz. 14). Trybunał uznał, odnosząc się do występującego w ustawie z 10 czerwca 1994 r. o zamówieniach publicznych (tekst pierwotny Dz. U. Nr 76, poz. 344) pojęcia „zadania o charakterze użyteczności publicznej”, że można je utożsamiać z zadaniami publicznymi, których realizacja ciąży na administracji rządowej i samorządowej. W konsekwencji przez „zadania realizowane dla dobra publicznego” należy rozumieć „zadania publiczne”. Jednakże nie każdy przypadek wykonywania zadań publicznych mieści się w zakresie zastosowania komentowanego przepisu. W piśmiennictwie przyjmuje się bowiem zgodnie, że omawiana przesłanka nie dotyczy władczej działalności podmiotów publicznych (J. Barta, R. Markiewicz, Ochrona danych..., s. 371; A. Mednis, Ustawa o ochronie..., s. 67; R. Szałowski, Ochrona..., s. 79), która wymaga wyraźnej podstawy prawnej (por. jednak wyrok NSA z 21 marca 2002 r., II SA 1854/01, Lexpolonica nr 355293, „Wokanda” 2002, nr 9, s. 30). Ponadto niedopuszczalne jest powołanie się na omawianą przesłankę w razie prowadzenia przez podmiot publiczny działalności gospodarczej (tj. działalności mającej cel zarobkowy), np. przez udział w spółce handlowej (por. wyrok NSA z 6 grudnia 2001 r., I SA/Gd 1977/99, Lexpolonica nr 1516223, „Finanse Komunalne” 2001, nr 3, s. 78). Wojewódzki Sąd Administracyjny w Warszawie wskazuje, że nie mieszczą się w pojęciu dobra publicznego takie wartości, jak: bezpieczeństwo depozytów, sprawność funkcjonowania systemu bankowego i stabilność obrotu gospodarczego (wyrok WSA w Warszawie z 7 listopada 2006 r., II SA/Wa 1289/06, niepubl.). Jednocześnie według WSA w Warszawie ochrona dobrego imienia uczelni (sprawa dotyczyła uczelni publicznej) jest dobrem publicznym w rozumieniu art. 23 ust. 1 pkt 4 - wyrok WSA w Warszawie z 20 kwietnia 2006 r., II SA/Wa 2227/05, niepubl.). Administrator danych nie może też powołać się na omawianą przesłankę, jeżeli realizuje zadania jedynie dla dobra osoby, której dane dotyczą, lub dobra osób trzecich (wniosek z art. 23 ust. 1 pkt 4 w zw. z art. 1 ust. 2).
Przesłanka ta znajduje zastosowanie przede wszystkim względem podmiotów publicznych określonych w art. 3 ust. 1 oraz podmiotów niepublicznych realizujących zadania publiczne, do których należą zwłaszcza organizacje pożytku publicznego. Wykluczone jest powoływanie się na nią przez podmioty prywatne bez związku z wykonywaniem zadań publicznych, np. zakłady ubezpieczeń (zob. wyrok NSA z 5 lutego 2003 r., II SA 3505/01, LexPolonica nr 358747, „Monitor Prawniczy” 2003, nr 7, s. 291).
Mając na uwadze powyższe wywody, można przyjąć, że „zadania realizowane dla dobra publicznego” to w szczególności „zadania o charakterze użyteczności publicznej”. Do zadań tych należy zaspokajanie potrzeb zbiorowych społeczeństwa, w tym m.in. zaopatrywanie ludności w wodę, energię elektryczną, gazową i cieplną, utrzymanie dróg i komunikacji, rozwój nauki, zapewnienie oświaty, opieki zdrowotnej i pomocy społecznej, realizacja różnego rodzaju potrzeb kulturalnych i innych zadań, których celem jest bieżące i nieprzerwane zaspokajanie zbiorowych potrzeb ludności w drodze świadczenia usług powszechnie dostępnych (zob. art. 1 ust. 2 ustawy z 20 grudnia 1996 r. o gospodarce komunalnej, Dz. U. z 1997 r. Nr 9, poz. 43).
W ocenie Generalnego Inspektora (Sprawozdanie GIODO za rok 2000, s. 45-46; Sprawozdanie GIODO za rok 2001, s. 21, 54, 110, 160, 169; Sprawozdanie GIODO za rok 2002, s. 113; Sprawozdanie GIODO za rok 2004, s. 114-115 i 256-257) zadaniami realizowanymi dla dobra publicznego są:
1) utrzymywanie porządku i czystości w gminie;
2) badanie rzetelności przeprowadzenia egzaminów na prawo jazdy przez NIK w Wojewódzkich Ośrodkach Ruchu Drogowego (WORD);
3) praca organizacji pozarządowych z osobami uzależnionymi, dziećmi z rodzin patologicznych, dziećmi uzależnionymi od różnych nałogów, z dziećmi autystycznymi;
4) przekazanie przez NFZ list lekarzy uprawnionych do wystawiania recept na refundowane leki Okręgowej Izbie Aptekarskiej, a za jej pośrednictwem poszczególnym aptekom;
5) publikacja alfabetycznego spisu adresów i telefonów firm, urzędów działających na terenie miasta oraz abonentów prywatnych stanowiąca dla mieszkańców miasta znaczne ułatwienie pozyskiwania z powyższego spisu niezbędnych dla nich informacji;
6) pozyskiwanie przez Towarzystwo Opieki nad Zwierzętami danych osobowych właścicieli zwierząt w celu wykonania ustawowych zadań Towarzystwa wynikających z ustawy z 21 sierpnia 1997 r. o ochronie zwierząt (tekst jedn. Dz. U. z 2003 r. Nr 106, poz. 1002);
7) przeprowadzenie akcji szczepień ochronnych dzieci przez niepubliczny zakład opieki zdrowotnej;
8) uzyskanie przez wójta (burmistrza, prezydenta miasta) w celach podatkowych informacji o właścicielach psów z rejestru psów zaszczepionych przeciw wściekliźnie, prowadzonego przez lekarzy weterynarii;
9) przetwarzanie przez stowarzyszenie zajmujące się ochroną praw dziecka danych o córce skarżących, dotyczących bicia jej przez rodziców.
Przetwarzanie danych osobowych na podstawie omawianej przesłanki musi być niezbędne do wykonania określonych zadań. Oznacza to, że administrator danych może przetwarzać dane osobowe tylko wtedy, gdy bez przetwarzania nie mógłby wykonać nałożonych na niego zadań.
Artykuł 23 ust. 1 pkt 4 wymaga, aby zadania realizowane dla dobra publicznego były określone prawem, przez co należy rozumieć przepisy zamieszczone w źródłach powszechnie obowiązującego prawa określonych Konstytucją. Wykluczone jest powołanie się przez administratora danych na konieczność wykonywania zadań określonych statutem czy też regulaminem, bez względu na to, czy administrator należy do grupy podmiotów publicznych bądź prywatnych wskazanych w art. 3. Generalny Inspektor uznaje wprawdzie, iż udostępnienie członkom spółdzielni mieszkaniowej informacji dotyczących zadłużenia czynszowego z tytułu użytkowania lokalu poszczególnych członków spółdzielni mieści się w pojęciu zadań realizowanych dla dobra publicznego, ale jednocześnie przyjmuje, że zadania statutowe Związku Żołnierzy Armii Krajowej nie stanowią zadań realizowanych dla dobra publicznego (Sprawozdanie GIODO za rok 2000, s. 290-291). Drugie ze stanowisk zaprezentowanych przez Generalnego Inspektora w odniesieniu do zadań wynikających ze statutu jest trafne, ponieważ zarówno statut spółdzielni, jak i statut stowarzyszenia nie mieszczą się w pojęciu źródeł prawa powszechnie obowiązującego (zob. wyrok TK z 10 czerwca 2003 r., SK 37/02, LexPolonica nr 364053, Dz. U. Nr 109, poz. 1037, w którym uznano umowny charakter statutu spółki akcyjnej; wyrok SA w Warszawie z 31 stycznia 1996 r., I ACr 989/95, LexPolonica nr 324257, OSA 1996, poz. 56, w którym wskazano na umowny charakter statutu stowarzyszenia) i nie mogą nakładać zadań realizowanych dla dobra publicznego.
Omawiana przesłanka ma charakter pomocniczy. W większości przypadków wykonywanie zadań publicznych realizowanych dla dobra publicznego stanowi obowiązek podmiotu nimi obciążonego. Dlatego w takiej sytuacji możliwe jest powołanie się na przesłankę określoną w art. 23 ust. 1 pkt 2. Powołanie się na ten przepis nie będzie jednak z reguły możliwe w sytuacji przekazania zadań publicznych (tzw. prywatyzacji zadań publicznych) do realizacji podmiotom niepublicznym, jeżeli przepis prawa wyraźnie nie nakłada na te ostatnie obowiązku wykonania przekazanych im zadań, a wynikają one z umowy. W tej ostatniej sytuacji podmioty niepubliczne realizujące zadania publiczne, wykonując np. zadania w zakresie i na zasadach określonych w umowie o powierzenie zadania lub o wsparcie realizacji zadania zawieranej między organizacją pozarządową a organem administracji publicznej (por. art. 16 ustawy z 24 kwietnia 2003 r. o działalności pożytku publicznego i o wolontariacie, Dz. U. Nr 96, poz. 873), mogą powołać się na przesłankę wyznaczoną w art. 23 ust. 1 pkt 4.
Pomocniczy charakter tej przesłanki przejawia się również w tym, że osobie, której dane dotyczą, przysługują w razie przetwarzania danych na podstawie art. 23 ust. 1 pkt 4 dodatkowe uprawnienia względem administratora danych. Zgodnie z art. 32 ust. 1 pkt 7 może ona wnieść pisemne umotywowane żądanie zaprzestania przetwarzania jej danych ze względu na jej szczególną sytuację. Natomiast na podstawie art. 32 ust. 1 pkt 8 może wnieść sprzeciw, jeżeli administrator danych zamierza je przetwarzać w celach marketingowych lub przekazywać innemu administratorowi.
7. Przesłanka prawnie usprawiedliwionych celów dotyczyła pierwotnie jedynie podmiotów prywatnych. Ustawą z 2001 r. zmieniony został zakres zastosowania omawianej przesłanki: po pierwsze, ograniczono jej stosowanie tylko do prawnie usprawiedliwionych celów (pierwotnie w przepisach była mowa o usprawiedliwionych celach). Po drugie, rozszerzono natomiast jej zakres zastosowania, odnosząc ją nie tylko do prawnie usprawiedliwionych celów administratorów danych, lecz także osób trzecich, którym są przekazywane dane osobowe. Jednocześnie do art. 23 dodany został ust. 4. Wskazano w nim przykłady prawnie usprawiedliwionych celów, tj. marketing bezpośredni własnych produktów lub usług administratora danych, a także dochodzenie roszczeń z tytułu prowadzonej działalności gospodarczej. Ustawą z 2004 r. dokonano kolejnych modyfikacji komentowanego przepisu. Zmianą o zasadniczym znaczeniu było objęcie zakresem zastosowania omawianej przesłanki zarówno prywatnych, jak i publicznych administratorów danych. Pomimo rozszerzenia zakresu zastosowania omawianej przesłanki także na podmioty publiczne wątpliwe jest powoływanie się przez nie na art. 23 ust. 1 pkt 5 (X. Konarski, G. Sibiga, Zmiany w ustawie o ochronie danych osobowych w świetle dyrektywy 95/46/WE, „Monitor Prawniczy” 2004, nr 12, s. 550), ponieważ zgodnie z art. 7 Konstytucji mają one obowiązek działać na podstawie i w granicach prawa.
Ponadto wprowadzono zmianę o charakterze redakcyjnym i jednocześnie merytorycznym związaną z użyciem pojęcia „odbiorca danych” zastępującego zwrot „osób trzecich, którym są przekazywane te dane”. Merytoryczna zmiana wiąże się z tym, że pojęcie „odbiorca danych” ma węższy zakres niż zwrot poprzednio występujący w tym przepisie.
Pierwotnie art. 23 ust. 1 pkt 5 odwoływał się wyłącznie do prawnie usprawiedliwionych celów realizowanych przez administratorów danych. Ustawą z 2004 r. objęto tą przesłanką także realizację prawnie usprawiedliwionych celów odbiorców danych (tak jak to przewiduje art. 7 lit. f dyrektywy 95/46/WE). Ostatnia zamiana pozwala powołać się na omawianą przesłankę, np. w związku z przelewem wierzytelności.
Na podstawie omawianej przesłanki możliwe jest również przetwarzanie danych osobowych w związku z przelewem wierzytelności konsumenckich, ponieważ art. 3853pkt 5 k.c. w zw. z art. 3851 § 1 k.c. nie są przepisami ustawy w rozumieniu art. 509 § 1 k.c. Art. 3853pkt 5 k.c. dotyczy bowiem treści czynności prawnej (umowy) i ze względu na swój zakres zastosowania nie może być uznany za przepis ustawy wyłączający dopuszczalność przelewu wierzytelności. Dlatego dyskusyjne jest (zob. A. Jucewicz, B. Kępiński, Zgoda dłużnika niekonieczna, „Rzeczpospolita” z 1 kwietnia 2004 r.; G. Domański, M. Drzewicki, Zgoda dłużnika niekonieczna, „Rzeczpospolita” z 3 czerwca 2004 r.) stanowisko Generalnego Inspektora (Sprawozdanie GIODO za rok 2003, s. 180 i 181) i WSA w Warszawie (wyrok z 11 marca 2004 r., II SA 1631/03, www.giodo.gov.pl) wykluczające dopuszczalność przetwarzania danych osobowych w związku z przelewem wierzytelności przysługującej względem konsumenta.
Obecnie można jednak przyjąć, że w orzecznictwie dominuje pogląd uznający przekazywanie danych osobowych w związku z przelewem wierzytelności za, co do zasady, zgodne z prawem. Naczelny Sąd Administracyjny w uchwale z 6 czerwca 2005 r. (I OPS 2/05, LexPolonica nr 405324, ONSAWSA 2006, nr 2, poz. 38) przyjął, że przekazywanie danych osobowych w związku z przelewem wierzytelności może następować na podstawie art. 23 ust. 1 pkt 5, jednak pod warunkiem, że jest konieczne do realizacji celu (przelewu wierzytelności) i nie narusza praw oraz wolności osoby, której dane dotyczą. W świetle powołanej uchwały ocena legalności przetwarzania danych osobowych przez administratora danych bez zgody osoby, której te dane dotyczą, wymaga ustalenia, czy występuje prawnie usprawiedliwiony cel realizowany przez administratora danych. Następnie należy ustalić i rozważyć wszystkie okoliczności konieczne do wyważenia interesów osoby, której dane dotyczą, oraz interesów administratora danych (tak też zwłaszcza pkt 35 orzeczenia ETS z 14 września 2000 r. w sprawie The Queen przeciwko Minister of Agriculture, Fisheries and Food, C-369/98, Zb. Orz. 2000, s. I-06751, do którego odwołał się NSA).
Jeżeli administrator danych jest podmiotem prywatnym (art. 3 ust. 2 pkt 2), tzn. przetwarza dane osobowe w związku z działalnością zarobkową, zawodową lub dla realizacji celów statutowych, to za usprawiedliwione mogą być uznane tylko cele mieszczące się w ramach prowadzonej działalności (por. T. Kuczyński, Ochrona danych osobowych w stosunkach zatrudnienia, PS 1998, nr 11-12, s. 123; G. Szpor, Publicznoprawna ochrona danych osobowych, PUG 1999, nr 12, s. 5). Podobnie w przypadku podmiotów niepublicznych realizujących zadania publiczne usprawiedliwione cele muszą być związane z wykonywaniem tych zadań.
W myśl art. 23 ust. 1 pkt 5 przetwarzanie danych na podstawie tej przesłanki nie może naruszać praw i wolności osoby, której dane dotyczą. Prawo tej osoby do ochrony jej danych osobowych może kolidować z konstytucyjnie gwarantowaną wolnością wyrażania poglądów oraz pozyskiwania i rozpowszechniania informacji (art. 54 Konstytucji), wolnością komunikowania się (art. 49 Konstytucji), wolnością działalności gospodarczej, a w wymiarze wspólnotowym z efektywną konkurencją (por. pkt 30 preambuły dyrektywy 95/46/WE oraz art. 3 ust. 1 lit. g TWE). Dlatego, jak wskazuje się na gruncie art. 7 lit. f dyrektywy 95/46/WE, na którym był wzorowany art. 23 ust. 1 pkt 5, konieczne jest wyważenie kolidujących interesów przez państwa członkowskie (por. E. Ehmann, M. Helfrich, Datenschutzrichtlinie..., s. 126). Rezultatem wyważenia interesów przez ustawodawcę jest art. 23 ust. 4. Przepis ten uznaje za przeważające interesy administratora danych w zakresie marketingu bezpośredniego własnych produktów lub usług administratora danych, a także dochodzenia roszczeń z tytułu prowadzonej działalności gospodarczej.
W piśmiennictwie podnosi się, że przetwarzanie danych osobowych na podstawie omawianej przesłanki jest dopuszczalne, jeżeli jest w takim stopniu korzystne dla osoby, której dane dotyczą, że nie zarzuci ona administratorowi danych naruszenia swych praw i wolności (G. Szpor, Publicznoprawna..., s. 5; S. Grynhoff, P. Woźny, Ochrona danych osobowych w praktyce, Poznań 2000, s. 18). Słabością tego poglądu jest uzależnienie dopuszczalności przetwarzania danych osobowych wyłącznie od akceptacji osoby (przesłanka czysto subiektywna), której dane dotyczą. Oznaczałoby to, że osoba, której dane dotyczą, może prawnie skutecznie przeciwstawić się np. przetwarzaniu danych w związku z dochodzeniem roszczeń z tytułu prowadzonej działalności gospodarczej, wysuwając zarzut naruszenia jej praw i wolności, mimo że ten cel został expressis verbis uznany za prawnie usprawiedliwiony w art. 23 ust. 4 pkt 2.
Według innego poglądu przetwarzanie danych osobowych na podstawie omawianej przesłanki jest możliwe, jeżeli prawa i wolności osoby, której dane dotyczą, nie przeważają nad usprawiedliwionym interesem administratora danych. Pogląd ten odwołuje się do metody ważenia dóbr (interesów), co jest kontrowersyjne, gdyż na gruncie naszej kultury prawnej przyjmuje się, że ważenie dóbr (interesów, praw, wolności) powinno być dokonywane - co do zasady - przez prawodawcę, a nie podmioty stosujące prawo (A. Drozd, Prawo podmiotu..., s. 107). Jednakże na metodę tę wskazuje także dyrektywa 95/46/WE w art. 7 lit. f. Takie rozumienie powołanego przepisu dyrektywy przyjęte jest również w orzecznictwie ETS (por. orzeczenie z 14 września 2000 r. w sprawie The Queen przeciwko Minister of Agriculture, Fisheries and Food, C-369/98, Zb. Orz. 2000, s. I-06751). W związku z powyższym należy przyjąć, że powołanie się na przesłankę określoną w art. 23 ust. 1 pkt 5 jest możliwe, jeżeli:
- niezbędne jest do wypełniania prawnie usprawiedliwionych celów administratorów danych albo odbiorców danych,
- nie ma żadnych podstaw do przyjęcia, że przeważają kolidujące, chronione interesy osoby, której dane dotyczą, w wyniku czego można mówić o naruszeniu jej praw i wolności.
Wątpliwości w tym zakresie należy rozstrzygać przeciwko dopuszczalności przetwarzania danych na podstawie omawianej przesłanki (Sprawozdanie GIODO za rok 1999, s. 150). Wyjątek od powyższej zasady dotyczy przetwarzania danych osobowych w celach uznanych przez ustawodawcę wyraźnie za prawnie usprawiedliwione (art. 23 ust. 4). W takiej sytuacji należałoby przyjąć, iż to osoba, której dane dotyczą, musi wykazać, że przetwarzanie jej danych osobowych narusza jej prawa i wolności ze względu na jej szczególną sytuację i dlatego powołanie się przez administratora danych na omawianą przesłankę jest niedopuszczalne.
W art. 23 ust. 4 uznano za cel prawnie usprawiedliwiony w rozumieniu art. 23 ust. 1 pkt 5 marketing bezpośredni własnych produktów lub usług administratora danych. Powyższe nie oznacza jednak, że niemożliwe jest powołanie się przez administratora danych na to, iż przetwarzanie danych jest niezbędne w celu marketingu bezpośredniego cudzych produktów lub usług (por. jednak M. Stryja, A. Stryja, Teraz zacznie się na dobre, „Rzeczpospolita” z 30 listopada 1999 r.). Administrator danych przetwarzający je w związku z marketingiem cudzych produktów lub usług może powołać się na art. 23 ust. 1 pkt 5, jeżeli nie ma wątpliwości, iż przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą, a przetwarzanie mieści się w ramach jego dzialalności. Za taką interpretacją przemawia brzmienie art. 32 ust. 1 pkt 8. W przepisie tym jest mowa o celach marketingowych w ogólności, bez ograniczenia do marketingu bezpośredniego własnych produktów lub usług. Jeżeli zatem ustawodawca przyznaje osobie, której dane dotyczą, prawo wniesienia sprzeciwu, gdy administrator danych zamierza je przetwarzać w celach marketingowych w ogóle, to musi być także dopuszczalne przetwarzanie danych w celach marketingowych innych niż marketing bezpośredni własnych produktów lub usług administratora. W przeciwnym razie powyższe zróżnicowanie nie miałoby sensu. W konsekwencji za dopuszczalne należy uznać przesłanie obok informacji marketingowych własnych usług ubezpieczeniowych informacji o usługach ubezpieczeniowych podmiotu powiązanego kapitałowo, pod warunkiem że te ostatnie nie utrudniają dostępu osobie, której dane dotyczą, do pierwszych z uwagi na nadmiar informacji (odmiennie zob. Sprawozdanie GIODO za rok 1999, s. 132-133).
Przez przetwarzanie danych osobowych w celach marketingu należy rozumieć także przesyłanie osobie, której dane dotyczą, dowolnych informacji reklamowych. Jak trafnie wskazuje Generalny Inspektor, przetwarzaniem w celach marketingu jest stosowanie kopert z nadrukiem reklamowym (Sprawozdanie GIODO za rok 2003, s. 141).
Drugim celem uznanym w art. 23 ust. 4 za prawnie usprawiedliwiony jest dochodzenie roszczeń z tytułu prowadzonej działalności gospodarczej. Powyższe nie wyklucza przetwarzania danych osobowych na podstawie omawianej przesłanki, jeżeli roszczenia są dochodzone z tytułów niezwiązanych z prowadzeniem działalności gospodarczej. Projektowane zmiany uwzględniają również dochodzenie innych roszczeń cywilno- lub publicznoprawnych w stosunku do osób fizycznych. Jednakże nowelizacja ustawy o.d.o. w tym zakresie jest zbędna. Należy bowiem przyjąć, że de lege lata dopuszczalne jest przetwarzanie danych osobowych na podstawie omawianej przesłanki w związku z dochodzeniem roszczeń z tytułów innych niż określone art. 23 ust. 4 pkt 2. Jeżeli bowiem na podstawie art. 27 ust. 2 pkt 5 i 10 dopuszcza się przetwarzanie wrażliwych danych osobowych w celu dochodzenia roszczeń przed sądem, to tym bardziej można w tym celu przetwarzać dane inne niż wrażliwe. Wątpliwe jest natomiast powołanie się na omawianą przesłankę w związku z dochodzeniem roszczeń za pośrednictwem przedsiębiorców prowadzących działalność w zakresie „windykacji należności”. W takiej sytuacji przetwarzanie danych osobowych może bowiem prowadzić do naruszenia praw i wolności osoby, której dane dotyczą.
Przetwarzanie danych osobowych na postawie art. 23 ust. 1 pkt 5 jest niewątpliwie dopuszczalne również w celu ochrony osoby, której dane dotyczą, przed przetwarzaniem (zbieraniem) jej danych osobowych. W tym celu mogą być tworzone tzw. listy pustelników (inaczej - listy Robinsona) zawierające dane osobowe tych, którzy nie życzą sobie otrzymywania informacji reklamowych. Sporządza się przy tym odrębne listy dla różnych sposobów komunikowania się - poczta, poczta elektroniczna, faks, sms. W Polsce lista Robinsona prowadzona jest przez Stowarzyszenie Marketingu Bezpośredniego, do którego można złożyć wniosek o wpis na listę Robinsona. Może on być przesłany do biura SMB, ul. Marszałkowska 2 m. 6, 00-581 Warszawa; wzór wniosku można znaleźć na stronie: www.smb.pl. Zob. także ochrona przed materiałamia reklamowymi (www.prywatnosc.blogspot.com).
W ocenie Generalnego Inspektora (Sprawozdanie GIODO za rok 2000, s. 44, 134-135) przetwarzanie danych na podstawie omawianej przesłanki uznać należy za dopuszczalne, jeżeli jest:
- niezbędne do realizacji celów naukowych (programu naukowego badania Polskich Stulatków „PolSto99”, w ramach którego organizatorzy zwracali się do ZUS o udostępnienie im aktualnych danych wszystkich Polaków, którzy ukończyli 100 lat życia),
- niezbędne do realizacji celów związanych z zatrudnieniem (w związku z przejęciem pracowników spółki przejmowanej przez spółkę przejmującą, która złożyła oferty pracy wszystkim pracownikom podmiotu przejmowanego, kierując je pod ich adres prywatny uzyskany z akt osobowych od dotychczasowego pracodawcy, który miałby zostać przejęty, jeżeli zgodzą się oni na przyjęcie warunków pracy proponowanych przez nowego pracodawcę), a także (motywowanie pracowników przez opublikowanie w siedzibie pracodawcy listy zawierającej imiona, nazwiska oraz informację o procentowym wykonaniu przez każdego z pracowników planu, jeżeli opublikowanie danych osobowych nie narusza praw i wolności osoby (dóbr osobistych). Publikacja takich wyników może naruszać w ocenie Generalnego Inspektora dobra osobiste, jeżeli niektórzy pracownicy uzyskają gorsze wyniki z obiektywnie niezawinionych powodów (np. choroba). Dlatego też udostępnianie danych na podstawie przesłanki wskazanej w art. 23 ust. 1 pkt 5 powinno odbywać się z uwzględnieniem wszystkich okoliczności, jakie miały wpływ na wysokość wyników uzyskanych przez osobę, której dane dotyczą, co wymaga indywidualnej oceny przetwarzania danych każdego pracownika (Sprawozdanie GIODO za rok 2002, s. 120-121).
Generalny Inspektor wykluczył możliwość powołania się na omawianą przesłankę, jeżeli osoba, której dane dotyczą, wyraźnie odmówiła udzielenia zgody na przetwarzanie w celach marketingowych (Sprawozdanie GIODO za rok 2002, s. 221). Podobnie ocenił przechowywanie dokumentacji kandydatów na pracowników po zakończeniu procesu rekrutacji przez potencjalnego pracodawcę bez zgody osoby, której dane dotyczą (Sprawozdanie GIODO za rok 1999, s. 109).
Omawiana przesłanka ma, podobnie jak przesłanka ustanowiona w art. 23 ust. 1 pkt 4, charakter pomocniczy, ponieważ w razie przetwarzania na jej podstawie danych osobowych osobie, której dane dotyczą, przysługuje prawo wniesienia pisemnego, umotywowanego żądania zaprzestania przetwarzania jej danych ze względu na jej szczególną sytuację (art. 32 ust. 1 pkt 7) oraz sprzeciwu, gdy administrator danych zamierza je przetwarzać w celach marketingowych lub wobec przekazywania jej danych innemu administratorowi (art. 32 ust. 1 pkt 8).
Autor: Andrzej Drozd
