Zgoda marketingowa musi wskazywać, kto będzie przetwarzał dane? Ważna opinia rzecznika TSUE
Zgoda na marketing dla partnerów firmy może nie być wystarczająca. Zdaniem rzecznika generalnego TSUE użytkownik musi dokładnie wiedzieć, kto konkretnie zamierza wykorzystywać jego dane do celów reklamowych. Sprawa ta ma ogromne znaczenie dla przedsiębiorstw korzystających z baz danych, marketingu bezpośredniego oraz zewnętrznych podmiotów współpracujących.
Wyobraźmy sobie standardowy formularz zawierający poniższą formułkę: „Wyrażam zgodę na przetwarzanie moich danych w celach marketingowych przez naszych partnerów”. Tego typu sformułowania przez lata masowo pojawiały się w regulaminach, programach lojalnościowych i oświadczeniach. Główny problem polega na tym, że internauta często nie ma pojęcia, kim właściwie są wspomniani partnerzy. Niewiadomą pozostaje liczba tych firm oraz fakt, czy dane trafią do zupełnie nieznanego przedsiębiorstwa. Właśnie tym zagadnieniem zajął się rzecznik generalny Trybunału Sprawiedliwości Unii Europejskiej w sprawie C 317/25 Groupe Canal+. Jego stanowisko jest bardzo kategoryczne. Sama zgoda na wykorzystanie informacji przez bliżej nieokreślonych partnerów nie powinna stanowić podstawy do prowadzenia marketingu bezpośredniego.
Zgoda marketingowa a określenie partnerów
Sprawa dotyczyła sytuacji zebrania danych osobowych przez dwóch dostawców usług internetowych. Osoby udostępniające swoje informacje wyraziły zgodę na ich wykorzystanie do celów marketingowych właśnie przez partnerów tych dostawców. Podmioty te nie zostały jednak wskazane z nazwy. Następnie w 2021 roku spółka Groupe Canal+ zleciła działania marketingowe drogą elektroniczną, które skierowano do około prawie czterech milionów osób. Ich dane pochodziły bezpośrednio od wspomnianych wcześniej dostawców. Francuski organ ochrony danych CNIL uznał brak ważnej zgody na takie działania po stronie Canal+ i nałożył na spółkę karę w wysokości 600 tysięcy euro. Sprawa trafiła ostatecznie do francuskiej Rady Stanu, a ta zwróciła się do TSUE z pytaniami o dopuszczalny zakres zgody marketingowej.
Czy partner to wystarczająco konkretne pojęcie?
Według rzecznika generalnego Deana Spielmanna zdecydowanie nie. Zgodnie z jego stanowiskiem prawidłowa zgoda musi być przede wszystkim:
dobrowolna
konkretna
świadoma
jednoznaczna
Aby oświadczenie woli było rzeczywiście świadome, dana osoba powinna precyzyjnie wiedzieć, kto zostanie administratorem jej danych. Użycie samego słowa partnerzy jest zbyt ogólnikowe. Użytkownik nie wie przecież, jakie dokładnie przedsiębiorstwa należą do tej kategorii oraz jakie firmy zyskają w przyszłości prawo do wykorzystywania jego danych.
Zasadnicza różnica w komunikatach
Warto porównać ze sobą dwie wersje komunikatów. Pierwsza z nich to popularne: „Wyrażam zgodę na otrzymywanie informacji marketingowych od naszych partnerów”. Druga opcja brzmi znacznie precyzyjniej: „Wyrażam zgodę na otrzymywanie informacji marketingowych od ABC Sp. z o.o. oraz XYZ S.A.”. Drugi wariant zapewnia użytkownikowi nieporównywalnie większą wiedzę o tym, komu powierza swoje informacje. Na tej właśnie różnicy opiera się główna argumentacja rzecznika generalnego.
Nieznany administrator wymusza nową zgodę
To najważniejszy wniosek płynący z zaprezentowanej opinii. Jeżeli w momencie zbierania danych użytkownik nie znał tożsamości przedsiębiorstwa planującego wykorzystać jego dane do marketingu, nie można z góry uznać wcześniejszej zgody za obejmującą również ten nowy podmiot. Rzecznik podkreśla konieczność uzyskania w takiej sytuacji nowej zgody przed rozpoczęciem jakichkolwiek działań reklamowych lub najpóźniej przy pierwszej komunikacji. Oznacza to brak przyzwolenia na traktowanie zgody marketingowej jako swoistego czeku in blanco. Użytkownik nie udziela bowiem akceptacji na absolutnie wszystko, co kiedykolwiek wyśle mu jakikolwiek partner firmy. Oświadczenie to musi mieć ściśle określony zakres.
Możliwość wypisania się nie rozwiązuje problemu
Często pojawia się argument wskazujący na obecność linku rezygnacji w każdej wiadomości marketingowej. Według rzecznika generalnego nie jest to wystarczające rozwiązanie. Możliwość wypisania się z subskrypcji pojawia się dopiero po faktycznym rozpoczęciu działań reklamowych. Skoro przepisy wymagają uzyskania uprzedniej zgody, późniejszy link nie ma prawa zastępować oświadczenia, którego od początku brakowało. Należy pamiętać o bardzo istotnym rozróżnieniu polegającym na tym, że zgoda to nie to samo co opcja późniejszej rezygnacji.
Bazy danych kupowane od innych podmiotów Problem ten nabiera szczególnego znaczenia w branży marketingowej. Wyobraźmy sobie firmę zbierającą adresy e-mail za pomocą formularza z formułą: „Zgadzam się na otrzymywanie informacji handlowych od partnerów”. Następnie baza ta zostaje sprzedana lub przekazana innej firmie, która chce rozpocząć wysyłkę własnych ofert i powołuje się na status partnera. Komisja Europejska jasno wskazuje, że organizacja pozyskująca bazę od innego podmiotu musi być w stanie udowodnić zgodność procesu zbierania danych z RODO oraz legalność ich wykorzystania do celów reklamowych. Jeśli podstawą była zgoda, powinna ona od początku obejmować możliwość przekazania danych innym, konkretnym odbiorcom do ich własnego marketingu bezpośredniego. Opinia rzecznika idzie jeszcze o krok dalej i wskazuje na wymóg świadomości osoby udostępniającej dane. Odbiorca informacji musi być możliwy do zidentyfikowania już w ramach udzielanej zgody.
Wpływ na współczesny marketing internetowy Dzisiejszy marketing opiera się na olbrzymiej liczbie zróżnicowanych partnerstw. Przedsiębiorstwa powszechnie korzystają z rozwiązań takich jak:
agencje marketingowe
platformy reklamowe
systemy mailingowe
programy partnerskie
zewnętrzne bazy danych
brokerzy informacji
narzędzia CRM
systemy automatyzacji marketingu
platformy afiliacyjne
W wielu z tych przypadków dane użytkownika przechodzą przez kilka różnych podmiotów. Pytanie o ostatecznego odbiorcę informacji przestaje być zwykłą formalnością, a staje się kluczowym elementem w pełni świadomej zgody.
Konsekwencje dla formularzy na stronach Właściciele witryn internetowych zbierający zgody marketingowe powinni gruntownie zastanowić się, czy internauta na pewno rozumie, komu, na co i w jakim celu udziela uprawnień. Sformułowania w stylu: „Zgadzam się na kontakt marketingowy naszych partnerów” lub: „Zgadzam się na przekazywanie danych partnerom handlowym” mogą okazać się wysoce problematyczne. Słowo partnerzy nie niesie ze sobą niemal żadnej wartości informacyjnej. W przypadku długiej listy odbiorców najlepszym rozwiązaniem jest jej uporządkowane i czytelne przedstawienie zawierające nazwy konkretnych podmiotów oraz precyzyjny cel wykorzystania danych.
Czy trzeba wymieniać wszystkich partnerów z nazwy? W tym miejscu należy unikać zbytnich uproszczeń. Rzecznik generalny nie stwierdził kategorycznie, że w absolutnie każdej sytuacji wszyscy odbiorcy muszą zostać wymienieni z nazwy. Sedno opinii sprowadza się do tego, aby użytkownik miał pełną możliwość poznania tożsamości administratora w momencie wyrażania zgody. Rzecznik dopuścił sytuację, w której wystarczające mogłoby okazać się określenie kategorii odbiorców. Zastrzegł jednak przy tym, że jeśli kategoria ta miałaby pozwalać na marketing bez kolejnej zgody, musiałaby być opisana na tyle szczegółowo, by internauta mógł racjonalnie spodziewać się kontaktu od danego przedsiębiorstwa. Termin partnerzy jest pod tym względem zdecydowanie zbyt niejasny.
Znaczenie opinii dla systemów zarządzania zgodami Choć opisywana sprawa dotyczy głównie marketingu bezpośredniego, jej znaczenie doskonale obrazuje szerszy problem zarządzania zgodami w internecie. Konstrukcja prawidłowej zgody musi wykluczać sytuację, w której użytkownik nie wie, na co właściwie przystaje. Dotyczy to wszelkiego rodzaju zgód obejmujących:
pliki cookies
narzędzia analityczne
systemy reklamowe
mechanizmy remarketingowe
profilowanie zachowań
personalizację treści
Im bardziej skomplikowany ekosystem technologiczny funkcjonuje na stronie, tym pilniejsze staje się rzetelne określenie celu i zakresu zbieranych zgód. Dobre narzędzie Consent Management Platform powinno pozwalać na przejrzyste uporządkowanie informacji o technologiach i ich celach. Użytkownik musi zyskać szansę na podjęcie w pełni świadomej decyzji. Model bazujący na rozbiciu zgód na kategorie niezbędne, analityczne i marketingowe sprawdza się tu o wiele lepiej niż przycisk akceptacji absolutnie wszystkiego.
Co powinni sprawdzić administratorzy witryn? Pojawienie się tej opinii stanowi świetny pretekst do przeprowadzenia audytu na własnej stronie. Warto dokładnie zweryfikować następujące elementy:
Formularze marketingowe pod kątem jasnej informacji o przyszłym administratorze danych.
Listę partnerów i jej realną dostępność dla użytkownika.
Treść samych zgód i ich zgodność z faktycznym obiegiem informacji w firmie.
Integracje z systemami zewnętrznymi nieznanymi internaucie.
Dokumentację oraz politykę prywatności, które zawsze muszą odzwierciedlać prawdziwe działanie witryny.
Zgoda nie może obejmować wszystkiego Stanowisko rzecznika generalnego TSUE idealnie wpisuje się w szerszy trend wzmacniania ochrony internautów. Zgoda ma realną moc prawną tylko wtedy, gdy wyrażająca ją osoba wie, na co się godzi. Tworzenie prostych checkboxów ze wzmianką o partnerach handlowych przestaje wystarczać. Brak możliwości ustalenia ostatecznego podmiotu przetwarzającego informacje wyklucza pełną świadomość.
Warto zaznaczyć, że opinia przedstawiona 17 września 2026 roku przez Deana Spielmanna nie jest jeszcze obowiązującym prawem. Stanowi ona jedynie propozycję rozstrzygnięcia, która nie wiąże sędziów Trybunału Sprawiedliwości. Wyrok w tej sprawie zapadnie dopiero w późniejszym terminie. Z tego względu błędem byłoby twierdzenie o całkowitym zakazie stosowania takich zgód przez TSUE. Precyzyjne ujęcie tematu zakłada po prostu, że według rzecznika zgoda na marketing dla nieokreślonych podmiotów nie zapewnia wystarczającej świadomości i może wymusić na firmach konieczność pozyskiwania nowych oświadczeń.
Jeśli Trybunał przychyli się do zaproponowanego podejścia, organizacje będą zmuszone do niezwykle wnikliwego przeglądu swoich procesów marketingowych, list odbiorców i komunikacji z klientem. Oznacza to więcej pracy przy projektowaniu baz danych, ale jednocześnie gwarantuje użytkownikom upragnioną przejrzystość. Dla branży technologicznej to z kolei kolejny potężny argument za traktowaniem systemów zarządzania zgodami jako krytycznego elementu infrastruktury ochrony prywatności. Dobrze zaprojektowany formularz zawsze powinien udzielać jasnej odpowiedzi na trzy fundamentalne pytania dotyczące tego, kto, na co i w jakim celu otrzymuje dostęp do powierzanych danych. Jeżeli internauta nie zna tych odpowiedzi, samo odhaczenie okienka może okazać się niewystarczające z punktu widzenia prawa.