- Dostałem e-mail od spamera, proponującego sprzedaż bazy 200 tys. adresów e-mailowych - osób rzekomo zgadzających się na otrzymywanie e-maili reklamowych. Osobiście bardzo wątpię w tę zgodę, legalność całej bazy, jak i "czyste" intencje tego gościa - napisał do redakcji jeden z Czytelników Dziennika Internautów.

Kontaktem oferenta był numer GG. Postanowiliśmy wyrazić żywe zainteresowanie kupnem bazy adresowej. ZaGGadaliśmy do właściciela bazy. Już w opisie profilu znaleźliśmy informację o ofercie sprzedaży.

DI: Witam, interesuje mnie zakup bazy. 200 tysięcy za 30 zł, tak? Czy to są adresy z Polski?

XXX: Mam około 200 tysięcy za 30 zł i tyle. Więcej nie mam, zgodzili się na otrzymywanie reklam itd.

DI: Chodzi mi o to, że oficjalną zgodę trzeba chyba udokumentować?

XXX:  A potrzebne to panu? Bo roboty z tym jest.

DI: Baza powinna być przechowywana w specjalny sposób, bo inaczej GIODO się doczepi. Potrzebne. 200 tys. to nawet mało. Szukam bazy nawet miliona.

XXX: Mam około 200 tysięcy, są również zagraniczne, jakieś 600 tysięcy.

DI: Mam przedsięwzięcie, w którym legalna baza będzie niezbędna, ale i takie, gdzie legalność bazy nie ma znaczenia. I jaka cena za wszystko razem?

XXX: 30zł, ale bez żadnych papierków, bo nie chce mi się nic wypełniać.

DI: Czyli do ręki, tak?

XXX: Tak, przez Allegro.

DI: A ma pan to na Allegro? Niech pan poda link.

XXX: Tak http://allegro.pl/item606989093_mailing_sprawdz_bo_warto_200_tys_osob.html

(W opisie aukcji znajduje się adnotacja "mam pełne prawa do sprzedaży bazy")

XXX: Inaczej Allegro usunęłoby aukcje. Oni nie sprawdzają nic, jak widzą, że jest taka informacja w opisie, to zostawiają po prostu, a jak nie ma, to usuwają. Transakcję możemy walnąć teraz od ręki.

DI: Ostatnie wyjaśnienie, bo muszę wiedzieć, do którego przedsięwzięcia mogę wykorzystać te bazę: jak może pan udokumentować jej legalność?

XXX: Do jakiego pan chce to już pana sprawa. Byłoby trochę bawienia, bo mam te maile ze swoich byłych for itd. Wolałbym, jakby pan jednak tego nie robił, bo później miałbym bawienia z papierkami, jak by co.

DI: A to gdzieś będzie napisane, że ci ludzie się zgodzili na zakup?

XXX: No właśnie chodzi o to, że nie będzie. 

DI: A z ciekawości - to skąd pan je ma - to tajemnica handlowa?

XXX: Spoko. Z moich byłych for dyskusyjnych.

Po tej rozmowie skierowaliśmy się z serią pytań do Generalnego Inspektora Ochrony Danych Osobowych. Odpowiedzi udzieliła nam rzeczniczka GIODO, Małgorzata Kałużyńska-Jasak.

Dziennik Internautów: Czym jest w świetle prawa baza mailingowa, rozumiana jako zbiór danych?

Małgorzata Kałużyńska-Jasak: Zgodnie z ustawą o ochronie danych osobowych przez zbiór danych rozumie się każdy posiadający strukturę zestaw danych o charakterze osobowym, dostępnym według określonych kryteriów, niezależnie od tego, czy zestaw ten jest rozproszony lub podzielony funkcjonalnie. Administratorem danych jest organ, jednostka organizacyjna, podmiot lub osoba, wymienione w art. 3 ustawy, decydujące o celach i środkach przetwarzana danych osobowych.

DI: Jakie warunki powinien spełniać posiadacz bazy adresowej, by móc ją dalej sprzedawać?

MKJ: W pierwszej kolejności należy przede wszystkim ustalić, czy wskazany zestaw danych jest, w rozumieniu ustawy, zbiorem danych osobowych podlegającym obowiązkowi zgłoszenia do rejestracji oraz czy podmiot, który przetwarza dane w tym zbiorze, jest administratorem tych danych. O ile jest to zbiór danych osobowych, należy wykluczyć istnienie przesłanek zwalniających go z obowiązku zgłoszenia tego zbioru do rejestracji, określonych w art. 43 ust. 1 ustawy.

Przetwarzając dane osobowe (czyli wykonując jakiekolwiek operacje na danych osobowych), każdy administrator powinien legitymować się jedną z przesłanek przetwarzana danych, wymienionych w art. 23 ust. 1 ustawy o ochronie danych osobowych, są to m.in. zgoda bądź przepis prawa. Stąd, żeby przetwarzanie danych było legalne, musi opierać się o jedną z tych przesłanek. O ile więc osoba sprzedająca bazę danych, legitymuje się jedną z ww. przesłanek, wówczas działanie takie będzie zgodne z prawem.

Prócz spełnienia warunków legalności przetwarzania danych, administrator powinien należycie zabezpieczyć dane.

DI: W jaki sposób powinny być przechowywane adresy e-mail? (zakładamy, że nie są połączone z dalszymi danymi ich właścicieli, czyli że nie wiadomo, kto ukrywa się za mailem np. czerwony@kapturek.net)

MKJ: Administrator powinien należycie zabezpieczyć dane odpowiednio do zagrożeń oraz kategorii danych objętych ochroną oraz m.in. nie udostępniać osobom nieupoważnionym, a także chronić przed przetwarzaniem z naruszeniem ustawy, zmianą, utratą, uszkodzeniem lub zniszczeniem.

DI: Jakie są prawa osób, których dane znajdują się w takiej bazie?

MKJ: Kolejnym z obowiązków wynikających z ustawy o ochronie danych osobowych jest wypełnienie obowiązku informacyjnego wobec osób, których e-maile są przetwarzane. Polega on m.in. na poinformowaniu tych osób, w jakim celu dane są zbierane, kto będzie je przetwarzał oraz, w tym konkretnym przypadku, o możliwości sprzedaży tych adresów.

Osoba, której dane dotyczą, powinna również wiedzieć o prawie wniesienia sprzeciwu czy żądania zaprzestania przetwarzania jej danych.

DI: W jaki sposób można potwierdzić legalność (lub nielegalność) bazy?

Jeżeli „osoba wystawiła na sprzedaż” zbiór danych osobowych, oznacza to, że wcześniej zgromadziła te dane, a więc rozpoczęła ich przetwarzanie, stąd wynika (...) obowiązek nałożony przepisami ustawy – obowiązek rejestracyjny.

Każdy administrator danych osobowych, w przypadku braku przesłanek zwalniających z obowiązku rejestracji, ma obowiązek zgłoszenia zbioru do (prowadzonego przez GIODO) jawnego rejestru zbiorów danych osobowych. Przy czym podkreślić należy, iż zgłoszenia zbioru do rejestracji należy dokonać przed rozpoczęciem przetwarzania danych, czyli przed pierwszą czynnością, jaką administrator może wykonać na danych, tj. przed pozyskaniem pierwszych danych do zbioru. Zgodnie bowiem z art. 46 ust. 1 ustawy administrator danych może rozpocząć ich przetwarzanie w zbiorze po zgłoszeniu tego zbioru do rejestracji Generalnemu Inspektorowi Ochrony Danych Osobowych.

W sytuacji, w której oba podmioty wypełnią spoczywające na nich ww. obowiązki a osoba, której dane dotyczą, wyraża zgodę na sprzedaż, określone w pytaniu działanie będzie legalne. Natomiast potwierdzeniem legalności takiej bazy jest fakt zarejestrowania, o ile taka baza podlega obowiązkowi rejestracji, w jawnym rejestrze zbiorów danych osobowych prowadzonym przez GIODO.

DI: Jakie skutki może mieć zakup i używanie nielegalnej bazy?

MKJ: Osoba nabywająca bazę danych z momentem jej kupna staje się administratorem. Powinna również legitymować się ww. przesłanką przetwarzania danych (art. 23 uodo) oraz bezpośrednio po zakupie takiej bazy musi spełnić obowiązek informacyjny, w tym przypadku wynikający nie z art. 24, a z art. 25. Polega on na poinformowaniu o tym, kto przetwarza dane, gdzie ten podmiot mieszka, jak również o źródle danych.

Jednakże nie znając szczegółów sprawy, trudno jest ocenić, czy powyższe działanie jest legalne. Zatem Generalny Inspektor Ochrony Danych osobowych przyjrzy się tej sprawie.

Tego samego dnia skierowaliśmy zapytanie do Allegro z prośbą o komentarz i na razie czekamy na odpowiedź. Efektem zainteresowania DI wspomnianą wyżej aukcją jest obecnie zawieszenie na Allegro konta należącego sprzedawcy bazy mailingowej.

Już dwukrotnie w ostatnich miesiącach Dziennik Internautów podejmował podobne tematy. Oferent baz zawsze występuje w roli nieco naiwnego posiadacza niby-to legalnych baz mailowych, pozostałych mu rzekomo po prywatnych forach. Powtarza się cena, liczba adresów, zmieniają się tylko wciąż formy kontaktu. W tydzień po rozmowie, którą powyżej cytowaliśmy, w opisie naszego rozmówcy znajduje się informacja: "nowy numer, nie pisać". Wystąpienie z ofertą na Allegro sprawia, że ta osoba/firma jest coraz mniej anonimowa. Miejmy nadzieję, że zainteresowanie sprawą GIODO będzie pierwszym krokiem do oficjalnego przeciwstawienia się temu rodzajowi pseudo-handlu.