Sprzedaż baz danych a RODO

Czy można stworzyć bazę danych firm z CEIDG i Internetu?

Można tworzyć bazy firm z danych publicznie dostępnych, ale nie oznacza to pełnej swobody ich dalszego wykorzystania. Jeżeli baza obejmuje wyłącznie dane spółek, fundacji lub innych osób prawnych, zasadniczo nie mamy do czynienia z danymi osobowymi. Inaczej jest przy jednoosobowych działalnościach gospodarczych, wspólnikach spółek cywilnych, osobach kontaktowych, adresach e-mail zawierających imię i nazwisko albo numerach telefonów przypisanych do konkretnej osoby.

Zgodnie z art. 4 pkt 1 rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z 27 kwietnia 2016 r., czyli RODO, daną osobową jest każda informacja o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej. Dane przedsiębiorcy wpisanego do CEIDG, takie jak imię, nazwisko, firma, adres wykonywania działalności, NIP, REGON, kody PKD czy dane kontaktowe, mogą więc być danymi osobowymi, jeśli pozwalają zidentyfikować konkretną osobę.

Art. 45 ust. 1 ustawy z 6 marca 2018 r. o Centralnej Ewidencji i Informacji o Działalności Gospodarczej i Punkcie Informacji dla Przedsiębiorcy przewiduje jawność danych i informacji udostępnianych przez CEIDG. Jawność rejestru oznacza dostępność danych, ale nie uchyla obowiązków z RODO, w szczególności zasad legalności, przejrzystości, minimalizacji danych i ograniczenia celu wynikających z art. 5 ust. 1 lit. a, b i c RODO.

Nie ma już obowiązku rejestracji bazy w GIODO

Najważniejsza zmiana w stosunku do dawnego stanu prawnego jest taka, że po rozpoczęciu stosowania RODO nie zgłasza się już zwykłych zbiorów danych osobowych do GIODO. GIODO został zastąpiony przez Prezesa Urzędu Ochrony Danych Osobowych. Obecnie administrator danych nie uzyskuje zgody organu na prowadzenie bazy i nie składa zgłoszenia rejestracyjnego dla takiego zbioru.

Nie oznacza to jednak braku obowiązków. Art. 5 ust. 2 RODO wprowadza zasadę rozliczalności. Administrator musi umieć wykazać, że przetwarza dane zgodnie z RODO. W praktyce oznacza to konieczność ustalenia podstawy prawnej przetwarzania, przygotowania informacji dla osób, których dane dotyczą, zabezpieczenia bazy oraz udokumentowania procesu przetwarzania.

Administrator powinien również ocenić, czy ma obowiązek prowadzenia rejestru czynności przetwarzania. Art. 30 ust. 5 RODO zwalnia część podmiotów zatrudniających mniej niż 250 osób, ale zwolnienie nie działa, gdy przetwarzanie może powodować ryzyko naruszenia praw lub wolności osób, nie ma charakteru sporadycznego albo obejmuje szczególne kategorie danych. Komercyjne prowadzenie i sprzedaż bazy kontaktów zwykle nie ma charakteru sporadycznego, dlatego w praktyce rejestr czynności przetwarzania często będzie potrzebny.

Podstawa prawna przetwarzania danych w bazie firm

Każde działanie na danych, w tym pobieranie, porządkowanie, aktualizowanie, łączenie, przechowywanie, udostępnianie i sprzedaż, jest przetwarzaniem w rozumieniu art. 4 pkt 2 RODO. Administrator musi wskazać podstawę z art. 6 ust. 1 RODO.

W przypadku komercyjnych baz firm najczęściej analizuje się art. 6 ust. 1 lit. f RODO, czyli prawnie uzasadniony interes administratora lub strony trzeciej. Taki interes nie działa automatycznie. Trzeba przeprowadzić test równowagi i ocenić, czy interes administratora nie jest nadrzędny wobec praw, wolności i rozsądnych oczekiwań osób, których dane dotyczą. Znaczenie ma między innymi zakres danych, źródło danych, cel wykorzystania, sposób kontaktu, możliwość sprzeciwu oraz to, czy osoba mogła realnie spodziewać się takiego przetwarzania.

Jeżeli administrator opiera przetwarzanie na zgodzie, musi spełnić wymagania z art. 4 pkt 11 oraz art. 7 RODO. Zgoda musi być dobrowolna, konkretna, świadoma i jednoznaczna. Nie należy łączyć zgody na przetwarzanie danych z osobną zgodą na kontakt marketingowy przez e-mail, telefon lub SMS, ponieważ są to różne podstawy i różne obowiązki.

Przy planowaniu działań sprzedażowych i marketingowych warto odróżnić zgodę na przetwarzanie danych od zgody na komunikację elektroniczną. Praktyczne omówienie tego problemu znajdziesz w materiale o tym, jak wygląda legalne wykorzystanie danych kontaktowych w działaniach typu cold mailing.

Obowiązek informacyjny przy danych z publicznych źródeł

Jeżeli dane nie są zbierane bezpośrednio od osoby, której dotyczą, administrator musi spełnić obowiązek informacyjny z art. 14 RODO. Dotyczy to typowej sytuacji, w której dane są pobierane z CEIDG, KRS, strony internetowej, katalogu branżowego albo kupowane od innego podmiotu.

Informacja powinna obejmować między innymi dane administratora, cele i podstawy prawne przetwarzania, kategorie danych, odbiorców lub kategorie odbiorców, okres przechowywania, prawa osoby, prawo sprzeciwu, prawo skargi do Prezesa UODO oraz źródło pochodzenia danych. Wynika to z art. 14 ust. 1 i 2 RODO.

Termin przekazania informacji określa art. 14 ust. 3 RODO. Co do zasady należy zrobić to w rozsądnym terminie po pozyskaniu danych, najpóźniej w ciągu miesiąca. Jeżeli dane mają być użyte do komunikacji z osobą, informację trzeba przekazać najpóźniej przy pierwszej komunikacji. Jeżeli dane mają zostać ujawnione innemu odbiorcy, informację trzeba przekazać najpóźniej przy pierwszym ujawnieniu.

Wyjątki od obowiązku informacyjnego są w art. 14 ust. 5 RODO. W praktyce podmiot budujący komercyjną bazę firm powinien bardzo ostrożnie korzystać z wyjątku nadmiernego wysiłku z art. 14 ust. 5 lit. b RODO, ponieważ wyjątek ten nie jest przeznaczony do prostego obchodzenia obowiązków informacyjnych w działalności marketingowej.

Sprzedaż bazy danych innemu administratorowi

Sprzedaż bazy danych zawierającej dane osobowe jest udostępnieniem danych innemu administratorowi i jednocześnie przetwarzaniem danych w rozumieniu art. 4 pkt 2 RODO. Sprzedawca powinien mieć podstawę prawną do ujawnienia danych, a nabywca powinien mieć własną podstawę do ich dalszego wykorzystania.

Jeżeli nabywca będzie sam decydował o celach i sposobach wykorzystania bazy, nie jest to zwykłe powierzenie przetwarzania z art. 28 RODO. Jest to relacja administrator-administrator. Umowa sprzedaży powinna jasno opisywać źródło danych, zakres danych, cele, w jakich dane były zbierane, dotychczas spełnione obowiązki informacyjne, zgody marketingowe oraz mechanizm realizacji sprzeciwów i żądań usunięcia danych.

Przy przekazywaniu bazy trzeba odróżnić sprzedaż danych od udostępnienia danych na innej podstawie, np. na żądanie organu lub w ramach relacji umownej. Pomocne może być omówienie, jakie znaczenie mają podstawy udostępniania danych, choć każdorazowo trzeba ocenić konkretny cel i status odbiorcy.

Marketing z wykorzystaniem kupionej lub stworzonej bazy

Legalne posiadanie danych kontaktowych nie oznacza jeszcze, że można swobodnie wysyłać oferty handlowe, dzwonić lub kierować SMS-y. Przetwarzanie danych osobowych na potrzeby marketingu trzeba oceniać według RODO, a sam kanał kontaktu według przepisów o komunikacji elektronicznej.

Art. 398 ust. 1 ustawy z 12 lipca 2024 r. Prawo komunikacji elektronicznej zakazuje używania telekomunikacyjnych urządzeń końcowych lub automatycznych systemów wywołujących do celów przesyłania informacji handlowej, w tym marketingu bezpośredniego, bez uprzedniej zgody abonenta lub użytkownika końcowego. W praktyce obejmuje to między innymi e-mail, telefon i SMS wykorzystywane do marketingu bezpośredniego.

Zgoda marketingowa powinna być możliwa do wykazania. Jeżeli sprzedawca bazy twierdzi, że zgody zostały zebrane, nabywca powinien uzyskać dokumentację potwierdzającą treść zgody, moment jej udzielenia, sposób jej udzielenia oraz zakres podmiotów, na rzecz których zgoda działa. Zgoda ogólna, niejasna lub obejmująca nieokreślone podmioty może być niewystarczająca.

Co powinna zawierać legalnie przygotowana baza?

RODO nie wskazuje jednego wzoru bazy danych firm. Wymaga jednak, aby administrator przetwarzał tylko dane adekwatne, stosowne i ograniczone do tego, co niezbędne do celu przetwarzania. Wynika to z art. 5 ust. 1 lit. c RODO. Zbieranie nadmiernego zakresu danych, np. prywatnych numerów telefonów, dat urodzenia lub informacji rodzinnych przedsiębiorców, może naruszać zasadę minimalizacji.

Prawa osób, których dane są w bazie

Osoba, której dane znajdują się w bazie, może korzystać z praw określonych w art. 15-22 RODO. Najczęściej w praktyce pojawia się żądanie dostępu do danych z art. 15 RODO, sprostowania danych z art. 16 RODO, usunięcia danych z art. 17 RODO, ograniczenia przetwarzania z art. 18 RODO oraz sprzeciw z art. 21 RODO.

Szczególnie ważny jest art. 21 ust. 2 RODO. Jeżeli dane są przetwarzane na potrzeby marketingu bezpośredniego, osoba ma prawo w dowolnym momencie wnieść sprzeciw. Zgodnie z art. 21 ust. 3 RODO po wniesieniu takiego sprzeciwu danych nie wolno już przetwarzać do celów marketingu bezpośredniego.

Administrator powinien mieć procedurę obsługi takich żądań. Art. 12 ust. 3 RODO przewiduje, że odpowiedzi na żądanie osoby należy udzielić bez zbędnej zwłoki, co do zasady w terminie miesiąca od otrzymania żądania. W skomplikowanych przypadkach termin można przedłużyć o kolejne dwa miesiące, ale trzeba poinformować o tym osobę wraz z podaniem przyczyn opóźnienia.

Bezpieczeństwo i dokumentacja bazy

Administrator bazy musi wdrożyć odpowiednie środki techniczne i organizacyjne. Obowiązek ten wynika z art. 24 ust. 1 RODO oraz art. 32 ust. 1 RODO. W praktyce chodzi między innymi o kontrolę dostępu, szyfrowanie lub pseudonimizację tam, gdzie ma to sens, kopie zapasowe, rejestrowanie dostępu, umowy z dostawcami usług IT oraz ograniczenie liczby osób, które mogą pobierać lub eksportować bazę.

Nie ma już obowiązku wyznaczania administratora bezpieczeństwa informacji znanego z dawnych przepisów. Inspektora ochrony danych powołuje się tylko w przypadkach wskazanych w art. 37 ust. 1 RODO, np. gdy główna działalność administratora polega na operacjach przetwarzania wymagających regularnego i systematycznego monitorowania osób na dużą skalę. To, czy taki obowiązek występuje przy konkretnej bazie, zależy od skali, zakresu i sposobu wykorzystania danych.

Odpowiedzialność za nielegalną sprzedaż lub wykorzystanie bazy

Naruszenie RODO może skutkować administracyjną karą pieniężną nakładaną przez Prezesa UODO. Art. 83 ust. 5 RODO przewiduje, że za naruszenia podstawowych zasad przetwarzania, praw osób, których dane dotyczą, oraz przekazywania danych można nałożyć karę do 20 000 000 euro, a w przypadku przedsiębiorstwa do 4 procent całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, zależnie od tego, która kwota jest wyższa.

Osoba, która poniosła szkodę majątkową lub niemajątkową wskutek naruszenia RODO, może dochodzić odszkodowania na podstawie art. 82 ust. 1 RODO. Odpowiedzialność może więc mieć nie tylko charakter administracyjny, ale także cywilny.

Przy marketingu elektronicznym trzeba dodatkowo uwzględnić przepisy Prawa komunikacji elektronicznej. Naruszenie wymogu zgody z art. 398 ust. 1 tej ustawy może prowadzić do postępowań przed właściwymi organami oraz roszczeń osób, które otrzymały niechciane komunikaty.

Baza danych a prawa autorskie i ochrona baz danych

Same fakty, takie jak nazwa firmy, adres, numer NIP, REGON czy kod PKD, nie są utworami w rozumieniu prawa autorskiego. Art. 1 ust. 1 ustawy z 4 lutego 1994 r. o prawie autorskim i prawach pokrewnych chroni przejaw działalności twórczej o indywidualnym charakterze, a nie pojedyncze informacje gospodarcze.

Nie oznacza to jednak, że każdą cudzą bazę można kopiować. Jeżeli baza ma twórczy dobór, układ lub zestawienie, może być chroniona jako utwór na podstawie art. 3 ustawy o prawie autorskim i prawach pokrewnych. Niezależnie od tego ustawa z 27 lipca 2001 r. o ochronie baz danych chroni producenta bazy, jeżeli poniósł istotny nakład inwestycyjny na jej sporządzenie, weryfikację lub prezentację. Masowe kopiowanie cudzych katalogów branżowych może więc naruszać prawa do bazy, nawet gdy pojedyncze informacje są publiczne.

Przykłady

Poniższe przykłady pokazują, jak te zasady mogą działać w praktyce. Każdy przypadek trzeba jednak ocenić indywidualnie, zwłaszcza pod kątem źródła danych, celu przetwarzania i sposobu kontaktu.

FAQ

Czy bazę danych firm trzeba dziś zgłaszać do GIODO?

Nie. Po rozpoczęciu stosowania RODO nie zgłasza się zwykłych zbiorów danych do GIODO. Administrator musi jednak wykazać zgodność przetwarzania z RODO, co wynika z art. 5 ust. 2 RODO.

Czy dane z CEIDG są danymi osobowymi?

Tak, jeżeli dotyczą osoby fizycznej prowadzącej działalność gospodarczą i pozwalają ją zidentyfikować. Wynika to z definicji danych osobowych z art. 4 pkt 1 RODO. Jawność CEIDG z art. 45 ust. 1 ustawy o CEIDG i PIP nie wyłącza stosowania RODO.

Czy można sprzedać bazę bez zgody osób z bazy?

To zależy od podstawy prawnej, celu, zakresu danych i spełnienia obowiązku informacyjnego. RODO nie wymaga zawsze zgody na każdą sprzedaż bazy, ale sprzedawca i nabywca muszą mieć podstawę z art. 6 ust. 1 RODO. Przy komunikacji marketingowej e-mail, telefonem lub SMS-em zwykle potrzebna jest uprzednia zgoda z art. 398 ust. 1 Prawa komunikacji elektronicznej.

Kiedy trzeba poinformować osoby o pozyskaniu danych?

Jeżeli dane pozyskano nie od osoby, której dotyczą, stosuje się art. 14 RODO. Informację należy przekazać w rozsądnym terminie, najpóźniej w ciągu miesiąca, a przy pierwszej komunikacji lub pierwszym ujawnieniu danych odpowiednio najpóźniej w tym momencie.

Czy można wysłać ofertę na adres e-mail znaleziony na stronie firmy?

Sam fakt, że adres jest publiczny, nie wystarcza. Trzeba mieć podstawę przetwarzania danych według art. 6 ust. 1 RODO oraz zgodę na wykorzystanie e-maila do marketingu bezpośredniego, jeżeli wymaga jej art. 398 ust. 1 Prawa komunikacji elektronicznej.

Czy trzeba usuwać dane po sprzeciwie?

Jeżeli osoba wniesie sprzeciw wobec przetwarzania danych na potrzeby marketingu bezpośredniego, art. 21 ust. 3 RODO nakazuje zaprzestać takiego przetwarzania. W praktyce dane można pozostawić wyłącznie w minimalnym zakresie potrzebnym do wykazania, że sprzeciw został obsłużony, jeżeli istnieje do tego odpowiednia podstawa prawna.

Źródła

• Art. 4 pkt 1, art. 4 pkt 2, art. 5 ust. 1 i 2, art. 6 ust. 1, art. 7, art. 12-14, art. 15-22, art. 24, art. 30, art. 32, art. 37, art. 82 oraz art. 83 rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z 27 kwietnia 2016 r. RODO.
• Art. 45 ust. 1 ustawy z 6 marca 2018 r. o Centralnej Ewidencji i Informacji o Działalności Gospodarczej i Punkcie Informacji dla Przedsiębiorcy.
• Art. 398 ust. 1 ustawy z 12 lipca 2024 r. Prawo komunikacji elektronicznej.
• Art. 1 ust. 1 i art. 3 ustawy z 4 lutego 1994 r. o prawie autorskim i prawach pokrewnych.
• Ustawa z 27 lipca 2001 r. o ochronie baz danych.