Niespersonalizowana reklama a przetwarzanie danych osobowych

Osoba, która wniosła sprzeciw wobec przetwarzania jej danych osobowych w celach marketingowych,  nie powinna - po zalogowaniu się do indywidualnego konta w serwisie internetowym - otrzymywać żadnych informacji marketingowych. Wyświetlanie - po takim zalogowaniu się - nawet niespersonalizowanej reklamy, tj. która jest również ogólnie dostępna bez takiego zalogowania się, może być przetwarzaniem danych osobowych takiej osoby w celach marketingowych.

Takie konkluzje można wywieść z uzasadnienia wyroku Naczelnego Sądu Administracyjnego (NSA) z dnia 14 marca 2019 r. (sygn. akt I OSK 1090/17). Wyrok ten został wydany jeszcze  na gruncie  uprzednio obowiązującej regulacji w zakresie ochronie danych osobowych. Wyrok ten dotyczy aktualnej na gruncie regulacji RODO kwestii dopuszczalności przetwarzania danych w celach marketingowych w sytuacji wniesienia sprzeciwu. Dlatego zasługuje on na uwagę przy realizacji prawa do sprzeciwu (art. 21 RODO).

NSA rozróżnił sytuację korzysta z serwisu internetowego bez zalogowania się, od sytuacji korzystania z niego po zalogowaniu się do indywidualnego konta. W pierwszym przypadku nie można domagać się respektowania sprzeciwu osoby, która go wniosła wobec przetwarzania jej danych osobowych w celach marketingowych z tej przyczyny, iż na tym etapie osoba ta pozostaje anonimowa. Jednakże po zalogowaniu się, które następuje przy użyciu danych osobowych z wykorzystaniem przypisanego tym danym hasła i loginu, zmienia się status takiej osoby z: „(…) anonimowego na znanego spersonalizowanego klienta”. Stąd po zalogowaniu się taki  klient powinien mieć dostęp: „(…) tylko do spersonalizowanych informacji tj. takich, które będą uwzględniały jego sprzeciw wobec kierowania do niego reklam.” W tych okolicznościach – w ocenie NSA – „(…) jeżeli po zalogowaniu do indywidualnego konta (przypisanego konkretnej osobie) klient ma możliwość zapoznania się z reklamą to świadczy to o wykorzystywaniu jego danych osobowych w celach marketingowych, co w przypadku złożenia sprzeciwu nie powinno mieć miejsca. Żadnego znaczenia w sprawie nie ma okoliczność, że emitowana reklama zarówno przed zalogowaniem, jak i po zalogowaniu, miała taką samą treść. Z uwagi na sprzeciw nie powinna być emitowana na indywidualnym koncie uczestnika.”

Tożsamość emitowanych reklam - przed i po zalogowaniu – może nasuwać wątpliwość co do słuszność ww. stanowiska. Jednakże gdy mamy do czynienia już nie z anonimową osobą, lecz taką, co do której administrator ma wiedzę, że wniosła sprzeciw wobec przetwarzania jej danych osobowych w celach marketingowych, dalsze wykorzystywanie jej danych w tych celach jest niedopuszczalne, gdyż taki jest cel i skutek  jego wniesienia