Temat: Zmiana Administratora Danych Osobowych - czy można w ten...

Ostatnio na moim koncie na o2.pl znalazłem taką oto informację

>Drogi użytkowniku,

informujemy, że z dniem 30 listopada 2011 r. Grupa o2 sp. z o.o. z
siedzibą w Warszawie przeniosła całość prowadzonego przedsiębiorstwa
na spółkę zależną o2 sp. z o.o. z siedzibą Warszawie, ul. Jutrzenki
177, 02-231 Warszawa.

Tym samym od 1 grudnia 2011 r. zmienia się administrator Twoich danych
osobowych. Jednocześnie podkreślamy, że zmianie nie ulegną zasady
ochrony i przetwarzania Twoich danych osobowych, ani korzystania z
usługi poczty elektronicznej w domenach o2.pl, tlen.pl, go2.pl i
prokonto.pl oraz komunikatora Tlen.pl. Przypominamy, że zawsze masz
prawo dostępu do treści swoich danych oraz ich poprawiania, a także
żądania zaprzestania ich przetwarzania.

W związku z powyższym prosimy Cię o wyrażenie zgody na zmianę
usługodawcy poprzez zaakceptowanie poniższej klauzuli:

"Wyrażam zgodę na przejście ogółu praw i obowiązków Grupy o2 sp. z
o.o. wynikających ze świadczenia na moją rzecz usługi poczty
elektronicznej w domenach o2.pl, tlen.pl, go2.pl i prokonto.pl oraz
komunikatora Tlen.pl na spółkę o2 sp. z o.o."

Jeżeli potrzebujesz czasu na zastanowienie zapoznaj się z poniższą informacją:
W terminie 30 dni od wyświetlenia tego komunikatu możesz zrezygnować z
korzystania z usługi poczty elektronicznej w domenach o2.pl, tlen.pl,
go2.pl i prokonto.pl oraz komunikatora Tlen.pl poprzez usunięcie
konta. Pamiętaj jednak, że brak reakcji w powyższym terminie będzie
równoznaczny z wyrażeniem zgody na zmianę usługodawcy.<

Czy można w ten sposób?
Mnie się wydaje, że to powinno się odbywać tak:

"Jeśli zgadzasz się zeby twoje dane przetwarzał inny podmiot to kliknij TUTAJ"

a nie tak jak to zrobiło o2 czyli:

"Jeśli nie usuniesz konta, to znaczy że się zgadzasz, aby Twoje dane przetwarzał inny podmiot"

Proszę o opinie.

Temat: Zmiana Administratora Danych Osobowych - czy można w ten...

Tak się zastanawiam, czy w ogóle jest tu niezbędna zgoda.

Prawem przedsiębiorcy jest prawo do sprzedaży/przeniesienia całości lub zorganizowanej części przedsiębiorstwa na inny podmiot, razem ze wszystkimi prawami i zobowiązaniami. A więc też wraz z posiadaną bazą danych osobowych.

Jeżeli zasady przetwarzania danych nie ulegają zmianie, a osoby, których dane dotyczą zostaną poinformowane o osobie nowego administratora - nie widzę tu zagrożenia dla osób, których dane dotyczą.

Jeżeli przyjmiemy, że takie działanie wymaga zgody, to przedsiębiorcy, których główną wartością są zgromadzone bazy danych osobowych mieli by ograniczone swoje prawa do swobodnego dysponowania majątkiem. Niemożliwa by była np. sprzedaż serwisów internetowych - a to się dzieje często i gęsto - jeden podmiot przejmuje portal, serwis, forum od drugiego. Zmienia się tylko administrator, nie zmieniają się zasady przetwarzania danych.

Temat: Zmiana Administratora Danych Osobowych - czy można w ten...

Ciekawe, w jaki sposób rozwiązano problem zgody wierzyciela na zmianę dłużnika? Bo taka umowa to umowa wzajemna. A zmiana dłużnika w polskim prawie wymaga zgody wierzyciela wyrażonej na piśmie ;-)

Temat: Zmiana Administratora Danych Osobowych - czy można w ten...

Panie Pawle,

W tym przypadku jest przeniesienie praw na spółkę zależną czyli w pewnym sensie (tutaj Pan będzie lepiej wiedział czy mam rację) nie będzie zmiany wierzyciela a jeżeli już to obie firmy prawdopodobnie zawarły lub zawiorą w umowie.

Co do formy "przejęcia klienta" bardzo podobną swego czasu zastosowało PKO S.A. w czasie przejmowania klientów byłego BPH. Dotyczyło to nie przejęcia kont na prtalach internetowych lecz kont bankowych. Wtedy również była informacja o przejęciu z dodatkiem, że jeżeli się nie akceptuje tej zmiany to można zlikwidować konto (bankowe).

Moim zdaniem jeżeli przedsiębiorca sprzedaje, przekazuje swój biznes w całości, a nie tylko bazę danych klientów to jest to zgodne uodo. Tym bardziej, że w tym przypadku chodzi raczej nie o wyrażenie zgody a o jej potwierdzenie lub nie odwołanie z powodu zmiany właściciela serwisu.

Temat: Zmiana Administratora Danych Osobowych - czy można w ten...

Dziękuję za odpowiedzi.
Zwracam jednak uwagę, że wyraziłem zgodę na przetważanie moich danych firmie X, a przetważać je będzie firma Y.

Szlachetnie z ich strony, że mnie o tym poinformowali. Nie mam nic przeciwko tej zmianie.
Zastanawia mnie natomiast "legalność" sposobu przeprowadzenia tej zmiany.

Cytowany mail jest domniemaniem zgody na prztwarzanie danych. A wydaje mi się, że nie powinno się robić tego w taki sposób.
To raczej z mojej strony powinno nastapić potwierdzenie, a nie domniemanie zgody ze strony tego podmiotu.

Temat: Zmiana Administratora Danych Osobowych - czy można w ten...

Mi się wydaje że i tak zrobili więcej, niż trzeba. Jeśli nastąpiło pełne przejęcie firmy, to nowy podmiot przejął wszystkie prawa i obowiązki poprzedniej, a więc zapewne prawdopodobnie wystarczyłoby tylko poinformowanie. Na pewno zrobili to na poziomie, nie sądzę, że powinni pytać o zgodę, bo nie ma tu nowego administratora danych, zmieniły się tylko (w pewnym sensie) jego dane.

Temat: Zmiana Administratora Danych Osobowych - czy można w ten...

Rozumiem. tak jak wspomniałem, nie mam żadnych zastrzeżeń co do zmiany.
Raczej ciekawość w stosunku do tych procedur przeze mnie przemawia.

Skoro już ruszyłem temat, to ciekaw jestem podobnej sytuacji w której nie mamy do czynienia z pełnym przejeciem firmy.

Np.
Firma X prowadzi klika portali internetowych. Każdy ma bazę danych, którą mozna zakwalifikować jako zbiór danych osobowych.
W pewnym momencie firma X stwierdza, że nie chce juz prowadzić jednego z portali, ale pojawia się firm Y, która chętnie go odkupi.
Firma Y utrzyma wszystkie zasady, regulaminy, środki techniczne itd itp. W kwestii przetwarzania danych osobowych nie zmiania się nic prócz ADO.
Przy czym nie mamy tu do czynienia z przeniesieniem całości przedsiębiorstwa a jedynie jego części czyli jednego portalu wraz ze zbiorem danych osobowych.

Jak Państwa zdaniem powinno się to odbyć od strony formalnej?

Temat: Zmiana Administratora Danych Osobowych - czy można w ten...

Formalnie powinno się odbyć tak, że Firma Y "zebrała dane" w sposób opisany w Art 25.1 uodo, czyli "nie od podmiotu, którego dane dotyczą.
Po jej stronie leży więc obowiązek "bezpośrednio po utrwaleniu danych" poinformowania podmiotu danych o nowym ADO, o celu, źródle danych, prawie dostępu do danych i prawie do sprzeciwu, do żądania zaprzestania przetwarzania.
To reguluje wspomniany artukuł uodo i tak dokładnie zrobiło o2.

Temat: Zmiana Administratora Danych Osobowych - czy można w ten...

Pan Jacek ma sporo racji - oczywiście przy założeniu, że dane można przenieść, a to zależy w gruncie rzeczy od tego na co się "zgodził" założyciel tematu klikając jakiś czas wcześniej na znaczek potwierdzający zapoznanie się z regulaminem usług ;)). Jest to kwestia calu przetwarzania danych - jeśli nie zakładamy od początku, że mogą one podlegać sprzedaży (itp.) to sprzedanie jednego z kilku portali można by poczytywać za niedopuszczalny przypadek zmiany celu przetwarzania.
W tym jednak przypadku nastąpiło przekształcenie administratora w nowy podmiot (przejęcie/wykupienie go w całości - pełne następstwo prawne - nie trzeba więc uzyskiwać nowej zgody) powyższa uwaga nie ma zatem zastosowania.
Nie zgodzę się jednak by w takiej właśnie sytuacji było to coś co podlega art. 25 u.o.d.o. - gdyby tak było to zmiana nazwy firmy z X na Y czy siedziby też miała by tym skutkować - bo przecież są to inne dane ADO (w porównaniu z tym co wynikało z info przekazanego wcześniej zgodnie z art. 24 u.o.d.o.).
p.s.
Ktoś tam lekko przesadził z tym zawiadomieniem a nie od dziś wiadomo, że nadgorliwość ....
p.s. / p.s.
Sama forma informacji jakoby wypełniająca normy u.o.d.o. jest delikatnie rzecz ujmując niepełna ...

Temat: Zmiana Administratora Danych Osobowych - czy można w ten...

W tym jednak przypadku nastąpiło przekształcenie administratora w nowy podmiot (przejęcie/wykupienie go w całości - pełne następstwo prawne - nie trzeba więc uzyskiwać nowej zgody.

Właśnie cała dyskusja wzięła się stąd, że właściwie brakuje przesłanki do tego, co Pan napisał.
Na jakiej podstawie prawnej "nie trzeba uzyskiwać nowej zgody"? Czyli inaczej mówiąc - nowy podmiot - na jakiej przesłance prawnej się będzie opierał przetwarzając dane osobowe wg Pana?

Nie zgodzę się jednak by w takiej właśnie sytuacji było to coś co podlega art. 25 u.o.d.o. - gdyby tak było to zmiana nazwy firmy z X na Y czy siedziby też miała by tym skutkować - bo przecież są to inne dane ADO (w porównaniu z tym co wynikało z info przekazanego wcześniej zgodnie z art. 24 u.o.d.o.).

Szukam podstawy prawnej dla przetwarzania danych przez nowy podmiot.
Jeśli Pan znajduje inną podstawę - dobrze byłoby wskazać.
Zmiana nazwy ADO lub jego adresu nie jest zmianą ADO.
Podejrzewam, że Pan odróżnia te dwie sytuacje.

p.s.
Ktoś tam lekko przesadził z tym zawiadomieniem a nie od dziś wiadomo, że nadgorliwość ....

Zgadzam się z Panem, że to nadgorliwość. Ale jak spojrzeć z drugiej strony, że nie brakuje na świecie ludzi, którzy z pasją wykorzystują nielogiczne postanowienia prawa i chętnie wykorzystaliby "brak nadgorliwości".

p.s. / p.s.
Sama forma informacji jakoby wypełniająca normy u.o.d.o. jest delikatnie rzecz ujmując niepełna ...

Zakładam, że Pan zna inną podstawę prawną dla firmy Y.
Bo jeśli poruszamy się w Art. 25 uodo - dobrze byłoby wskazać owe "niepełności".
Bo "delikatnie mówiąc" - nie udowodnił Pan swoich twierdzeń.
Prośba więc o konkrety.

Temat: Zmiana Administratora Danych Osobowych - czy można w ten...

Mam tyko chwilkę więc odpowiem na to co najłatwiejsze (resztę wieczorem). Prosił Pan o przykłady potraktowania obowiązku informacyjnego po łebkach więc np świadczy o tym co następuje: w pierwszym poście znalazła się formuła "Przypominamy, że zawsze masz prawo dostępu do treści swoich danych oraz ich poprawiania, a także żądania zaprzestania ich przetwarzania."
- która jakoby załatwiała sprawę informacji z art. 25 ust.1 pkt 4 - stanowiąc de facto powtórzenie tego co wpisano do ustawy ... nakazującej poinformować o: "prawie dostępu do treści swoich danych oraz ich poprawiania". Tyle to wszyscy mogą sobie sami wyczytać z u.o.d.o. - w istocie ustawodawca nakazuje wskazać jak wygląda to prawo dostępu i poprawiania (w moim rozumieniu przepisu minimalnym standardem jego realizacji jest odesłanie do konkretnej ustawy to regulującej {choćby u.o.d.o a nawet tego brakuje} - lepiej wskazanie konkretnych przepisów konkretnej ustawy/aw - najlepiej przytoczenie/opisanie zasad owego dostępu i poprawiania). Mamy różne możliwości egzekwowania owego prawa wynikającego w sumie z art. 51 Konstytucji i u.o.d.o. nie jest jedynym aktem, na podstawie którego można tego dokonać - ba w większości przypadków to nie ona określa wg. jakiej procedury i w jakim zakresie jest to możliwe (proszę spróbować się na nią powołać w przypadku dostępu do akt stanu cywilnego / postępowania administracyjnego itd.itp. - a to tylko wierzchołek góry lodowej).

Cóż troszkę mi zeszło ale pora uzupełnić odpowiedzi.
Punktując braki informacji jakoby zgodnej z art. 25 u.o.d.o. to brak mi tu jeszcze informacji o "dobrowolności albo obowiązku podania danych, a jeżeli taki obowiązek istnieje, o jego podstawie prawnej" - z samego faktu wyrażania zgody na "przejście ogółu praw i obowiązków" można wprawdzie domniemywać ową dobrowolność niemniej można by trochę wyraźniej się do tego odnieść. Odnośnie pkt 1) ust..1 wszystko jest ok. załatwia to też wskazanie źrodła pozyskania danych. W zakresie kolejnego pkt 2) ust. 1 jak rozumiem przypominając, iż zasady przetwarzania nie uległy zmianie odwołano się do zasady "znajomości" tych informacji przez podmiot danych (uznając za zbędne ich ponowne przytaczanie) co jest oczywiście dopuszczalne na gruncie u.o.d.o. - ale jak tak to po co było informować o czymkolwiek poza wskazaniem zmiany nazwy i siedziby administratora??
Nie bardzo też rozumie o jakie konkretnie "żądanie zaprzestania ich przetwarzania" chodzi - o sprzeciw marketingowy ? Powołanie się na szczególną sytuację ? Czy wreszcie o odwołanie zgody na przetwarzanie (z tym, że jeśli mamy umowę o świadczenie usług - nawet o charakterze adhezyjnym - to do przetwarzania danych w celu jej realizacji zgoda i tak nie jest potrzebna)??? - Czy takie wątpliwości "udowadniają" twierdzenie o niezbyt poważnym podejściu do art. 25 nowego administratora??

Co do różnic pomiędzy zmianą nazwy a objęciem danych przez nowego administratora to jak najbardziej dostrzegam je ;) - niemniej wspomniałem o tym chcąc pokazać absurdalność zbyt daleko idącej językowej wykładni ustawy bez odniesienia się do el. wyk. funkcjonalnej, bez której cała u.o.d.o. staje się dysfunkcjonalna - o czym świadczy choćby niedawna dyskusja o ilości wielkich liter w haśle mająca miejsce na forum...

W odniesieniu do uwagi pierwszej i drugiej - to częściowo odpowiedzi udzielił Pan Paweł (w poście poniżej) - niestety nie jestem cywilistą i nie potrafię wyczerpująco ustosunkować się do jego wątpliwości przy przenoszeniu długu i jak rozumiem podejrzeń co do pełnej legalności przejęcia praw poprzedniej spółki przez nową - swego czasy było zamieszanie w podobnej (poniekąd) kwestii czyli cesji wierzytelności związanej z umowami konsumenckimi - po rozpatrzeniu sprawy przez NSA wyszło na to, że GIODO nie ma racji a sąd nie widzi problemu przenoszenia danych pomiędzy podmiotami dokonującymi cesji bo jest to niezbędne aby realizować uprawnienia wynikające z tej instytucji prawnej (swoją drogą NSA i wypowiedzi o KC - to było ciekawe doświadczenie).
Kończąc już to przydługie (i niestety dość chaotyczne) wyjaśnienie powtórzę, że moim zdaniem podstawą prawną przetwarzania przez nowego ADO jest przejęcie całości praw i obowiązków przez nowego właściciela w wyniku np. zakupu / choć nie wiem jaka była w tym wypadku forma tego przejęcia / całości składników majątku poprzedniego ADO - a zatem ma on możliwości kontynuacji zawartych umów przez poprzedniego ADO - co prowadzi na gruncie u.o.d.o. do wskazania art 23.ust.1 pkt 3 - jako legalizującego procesy przetwarzania przez nowego ADO.Krzysztof W. edytował(a) ten post dnia 28.02.12 o godzinie 02:44

Temat: Zmiana Administratora Danych Osobowych - czy można w ten...

To jeszcze raz, od początku. Składnikiem przedsiębiorstwa są m.in. wierzytelności. Vide art. 55[1] KC. Przedsiębiorstwo nie obejmuje długu. To oznacza, że przy umowach wzajemnych trzeba dług przenieść odrębnie, odrębną czynnością prawną.

W przypadku, o którym rozmawiamy, nie chodzi o przeniesienie prawa do bazy danych osobowych - wtedy ocenialibyśmy to na gruncie uodo. Tu chodzi o zmianę strony umowy z konsumentem. Dodam - umowy wzajemnej, a więc obejmującej wierzytelność i dług po każdej ze stronie. W wyniku zbycia części przedsiębiorstwa przeszła wierzytelność. Ale co z długiem? KC dla przejścia długu w takim wypadku wymaga ... pisemnej zgody wierzyciela (art. 522 KC). OK, bez rygoru nieważności, ale czy w ogóle taka zgoda była zbierana?

I dalej - jeżeli nastąpiła zmiana strony umowy wzajemnej (przejście i wierzytelności, i długu na nowy podmiot) to ten nowy podmiot może przetwarzać dane osobowe strony umowy na zasadzie art. 23.1.3) uodo, a więc w celu wykonania umowy. Bo jest stroną tej umowy. Ale jeżeli dług nie przeszedł, to po pierwsze jaki jest status tej umowy? I pod drugie, jaka jest podstawa prawna przetwarzania danych osobowych przez nabywcę tej części przedsiębiorstwa?