Prowadzenie marketingu bezpośredniego wymaga wyraźnej zgody odbiorcy, która to zgoda powinna być „kompatybilna” z RODO, to oczywista oczywistość. Czy wystarczająca jest zgoda udzielona bezimiennym „partnerom” administratora? Czy zgoda na wysyłkę informacji handlowych jest „przenaszalna”? Czy jednak wyrażona zgoda powinna obejmować także tożsamość podmiotu, który zgodę na przetwarzanie danych otrzymuje? Na takie i inne pytania odpowiedzi udzielił dziś rzecznik generalny TSUE (opinia rzecznika generalnego TSUE z 17 września 2026 r. w/s Canal+ vs. CNIL, C‑317/25).
opis stanu faktycznego:
- sprawa zaczęła się od wysłania przez Canal+ e-korespondencji stanowiącej marketing bezpośredni do ok. 3,9 mln osób;
- dane osobowe odbiorców zostały pozyskane przez jakichś tam usługodawców, przy czym w formularzu widniała zgoda na wykorzystanie danych w celach marketingowych przez „partnerów” — bez wskazania owych partnerów z nazwy, a więc także bez wyrażenia zgody na rzecz Canal+;
- (pozostawione w opinii okruszki pozwalają przypuszczać, że Canal+ był nabywcą bazy danych osobowych i był także wskazany jako nadawca listelingu);
art. 13 ust. 1 dyrektywy 2002/58 o prywatności i łączności elektronicznej
Używanie automatycznych systemów wywołujących i systemów łączności bez ludzkiej ingerencji (automatyczne urządzenia wywołujące), faksów lub poczty elektronicznej do celów marketingu bezpośredniego może być dozwolone jedynie wobec abonentów lub użytkowników, którzy uprzednio wyrazili na to zgodę.
art. 7 ust. 1 RODO
Jeżeli przetwarzanie odbywa się na podstawie zgody, administrator musi być w stanie wykazać, że osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie swoich danych osobowych.
- w ocenie regulatora rynku zgoda udzielona bezimiennym „partnerom” oznacza brak skutecznej i ważnej zgody, a więc wysyłka informacji handlowych przez Canal+ była sprzeczna z prawem, zatem w wydanej decyzji nałożono na nadawcę 600 tys. euro kary;
skarga:
- w skardze na tę decyzję firma Canal+ podkreśliła, iż dane osobowe zostały zebrane pośrednio, jednak każdy z użytkowników wyraził świadomą zgodę na otrzymywanie materiałów marketingowych wysyłanych drogą elektroniczną — zaś podmiot trzeci, który stał się kontrahentem usługodawcy, jest „partnerem”, o którym mowa w oświadczeniu;
pytanie prejudycjalne:
- rozpatrująca skargę Conseil d’État powzięła wątpliwości, czy w świetle wynikających z RODO obowiązków informacyjnych można powiedzieć, że zgoda udzielona administratorowi „pierwotnie” zbierającemu dane, w treści której wskazano „partnerów”, jest dostatecznie dobrowolna, konkretna, świadoma i jednoznaczna, by przyjąć, iż każdy kolejny nabywca danych osobowych ma prawo wysyłać swoje informacje handlowe;
- a jeśli tak, to czy istotna jest szczegółowość opisania kategorii odbiorców danych (jak w art. 13 ust. 1 lit. e RODO)? czy jednak wystarczające będzie, że zbierający dane opisze ich zbiorowo jako swoich „partnerów”?
opinia rzecznika generalnego TSUE:
- w wydanej dziś opinii rzecznik generalny Dean Spielmann przypomniał, iż przesyłanie informacji handlowych drogą elektroniczną, także w celu marketingu bezpośredniego, wymaga zgody adresata;
- która to zgoda powinna być „w stylu RODO” (art. 2 lit. f dyrektywy odsyła do uchylonej dyrektywy 95/46 — zatem odesłanie do niej należy traktować jako odesłanie do RODO);
- wysłana przez Canal+ wiadomość była adresowana do potencjalnych klientów firmy i miała zachęcić ich do konkretnych zakupów, a więc miała charakter handlowy, czyli stanowiła marketing bezpośredni;
- chociaż więc dyrektywa o prywatności i łączności elektronicznej pozwala na stosowanie zgody domyślnej, jednak tylko w przypadku osób, które już są klientami, ponieważ kupiły produkt lub usługę (por. wyrok TSUE z 13 listopada 2025 r., C-654/23), to w sprawie taki wyjątek nie zaszedł (ponieważ odbiorcy nie byli już klientami Canal+);
- skoro zgoda rzeczywiście była wymagana: na gruncie RODO wyrażona zgoda „oznacza dobrowolne, konkretne, świadome i jednoznaczne okazanie woli”, która znów powinna wynikać z prawidłowego zrozumienia okoliczności przetwarzania — na podstawie przekazanych przez administratora informacji;
- jedną z tych informacji jest tożsamość administratora — zaś brak prawidłowej informacji o tym, kto jest administratorem danych osobowych, może być interpretowane jako naruszenie zasad przetwarzania danych osobowych (brak rzetelności, przejrzystości, rozliczalności);
- przy czym na etapie pośredniego zbierania danych, które następnie mają być dalej udostępnione, nie ma potrzeby sprecyzować kim dokładnie jest odbiorca danych, ponieważ w przeciwnym razie przepis o „kategorii odbiorców” byłby pusty (por. „Administrator, który ujawniał dane osobowe, powinien poinformować o konkretnych odbiorcach, a nie „kategoriach odbiorców””);
- w orzecznictwie przyjęło się, że wymóg ponownego wyrażenia zgody na marketing bezpośredni może nie mieć zastosowania, jeśli zachowany jest cel przetwarzania (i stąd np. zgoda na umieszczenie danych w spisie abonentów nie oznacza zgody na cokolwiek innego);
- natomiast administrator, który dane odkupił, powinien wykonać swój obowiązek informacyjny (art. 14 RODO)…
- …co jednak nie oznacza oznacza, iżby uzyskana przez podmiot zbierający dane zgoda na ich przetwarzanie w celach marketingu bezpośredniego — obejmująca „partnerów” — obejmowała także administratorów, którym dane zostały udostępnione;
- zdaniem rzecznika generalnego TSUE skoro marketing bezpośredni wymaga zgody, a przepisy mówią o konieczności ujawnienia tożsamości administratora — to zgoda odbiorcy musi odnosić się do tego konkretnego administratora;
- bo przecież przeciwna wykładnia oznaczałaby, iż człowiek wyrażałby zgodę na przetwarzanie jego danych przez jakiegokolwiek administratora — i dowolny podmiot mógłby wysyłać doń, na podstawie dowolnie powielanej i przenoszonej zgody, dowolne wiadomości marketingowe;
- (i niczego innego nie sposób wyinterpretować nawet na podstawie art. 14 ust. 3 lit. b RODO — bo i wyjątki od obowiązku poinformowania o tożsamości administratora zostały wyczerpująco podane w art 14 ust. 5 RODO);
- co w sumie oznacza, że Canal+ miał prawo odkupić bazę danych — acz, biorąc pod uwagę, że zgoda udzielona „partnerom” administratora nie jest przenaszalna — przy pierwszej komunikacji powinien był wystąpić o „własną” zgodę na prowadzenie działań w zakresie marketingu bezpośredniego;
- czy to oznacza, że prawnie niemożliwe jest udzielenie zgody na marketing bezpośredni „kategorii” odbiorców? tutaj rzecznik generalny zwrócił uwagę, iż dostatecznie szczegółowe opisanie „kategorii” odbiorców danych — takie, które osobie pozwoliłoby jednoznacznie ustalić, kto może pośrednio taką zgodę otrzymać — może być niekiedy wystarczające;
- jednak warunku owej szczegółowości nie spełniają ogólnikowi i niesprecyzowani „partnerzy” serwisu internetowego — nawet jeśli Canal+ próbuje kogoś przekonać, że chodziło o znany katalog „ekosystemu handlowego” jego dostawców — bo przecież nikt nie musi wiedzieć, że wydawca jakiegoś serwisu internetowego sprzedaje dane określonemu odbiorcy.
Biorąc pod uwagę taką wykładnię w opinii wyrażono pogląd, iż TSUE powinien sprzeciwić się koncepcji, iż zgoda udzielona nieokreślonym i nieznanym „partnerom” pozwala na prowadzenie marketingu bezpośredniego do pozyskanych w ten sposób odbiorców.
Zamiast komentarza: zagadnienie nie obejmowało pytania o serwowane nam przez największe polskie portale „blachy”, w których zgodę otrzymują „Zaufani Partnerzy IAB” — a człek wścibski może sobie pooglądać listę nazw, a nawet już po trzech kwadransach klikania z grubsza rozeznać kto jest kim (i poodmawiać komu tam nie chce się udostępniać) — ja jednak z niecierpliwością czekam i na taki case.