Bazy danych klientów – licencja i sprzedaż po 25 maja 2018 r.

Każda baza danych, która zawiera dane osobowe jest zbiorem danych osobowych, który co do zasady powinien zostać zgłoszony do Generalnego Inspektora Ochrony Danych Osobowych. Gromadzenie i przechowywanie danych osobowych w bazie spełnia ustawowe przesłanki przetwarzania danych osobowych, a zatem wymaga uzyskania zgody osób, których dane są przetwarzane, bądź istnienia innej przesłanki uprawniającej do przetwarzania danych osobowych. W celu zbycia bazy danych lub udzielenia licencji na korzystanie z niej konieczna jest odrębna zgoda – na przekazywanie danych osobowych. Podmiot przekazujący dane powinien także złożyć oświadczenie, że jest administratorem danych osobowych, które znajdują się w bazie będącej przedmiotem umowy.

W niektórych sytuacjach sama baza może być utworem. Będzie tak wtedy, gdy sposób organizacji danych, metody ich wyszukiwania, segregowania lub przeglądania ma charakter oryginalny i innowacyjny, wskazujący na twórczy charakter bazy. Wówczas baza taka podlega również  ochronie wynikającej z prawa autorskiego. Jeżeli jednak baza danych klientów składa się z listy danych osobowych, uporządkowanej zwyczajowo (np. alfabetycznie albo według daty dodania do bazy), nie można mówić, że baza jest utworem i chronić prawa autorskie do niej.

Polecamy: RODO. Ochrona danych osobowych. Przewodnik po zmianach

Odrębną kwestią jest sposób odczytywania bazy danych. Jeżeli baza danych jest obsługiwana przez określony program komputerowy, to licencja na korzystanie z programu w celu odczytania treści bazy danych stanowi przedmiot odrębnej umowy i nie wpływa na to, czy baza danych uznana będzie za utwór. Również podmiot dostarczający bazę danych co do zasady nie będzie odpowiedzialny za dostarczenie nabywcy środków do odczytania przekazanej bazy danych.

Pozyskanie danych osobowych wykorzystywanych następnie w celu promocji i oferowania towarów i usług wiązać się będzie z koniecznością zakupu bazy danych lub uzyskania licencji na korzystanie z takiej bazy danych. W umowie należy zawrzeć informacje techniczne opisujące sposób gromadzenia i zabezpieczenia danych oraz sposób przekazania danych.

Sposób gromadzenia danych odnosi się do miejsca i warunków przechowywania bazy danych osobowych. Przykładowo baza danych może być listą rekordów, czyli pojedynczych zestawów danych, na które składają się np. imię, nazwisko i numer telefonu, przechowywaną w dowolnym arkuszu kalkulacyjnym, edytorze tekstu lub przy pomocy innego programu komputerowego, na własnym serwerze. Obecnie często spotyka się bardziej zaawansowane technologicznie rozwiązania polegające na przechowywanie baz danych w chmurze obliczeniowej hostowanej na zewnętrznym serwerze.

Zobacz: Prawo administracyjne

W celu potwierdzenia, że dane są odpowiednio zabezpieczone w umowie należy również wskazać siedzibę serwera, aby zagwarantować np., że dane nie zostaną przekazane na serwer znajdujący się w państwie niezapewniającym należytej ochrony danych. Zabezpieczenie danych osobowych przed nieuprawnionym dostępem, przetwarzaniem lub dalszym udostępnianiem może także polegać np. na stosowaniu indywidualnych kont dostępu zabezpieczonych hasłem.

Przekazanie dostępu do bazy danych osobowych może odbywać się w różnych formach, poczynając od najprostszej, polegającej na wydrukowaniu listy rekordów zawierających odpowiednie dane, przesłaniu listy e-mailem lub skopiowaniu bazy na nośnik zewnętrzny . Nowoczesne rozwiązania informatyczne pozwalają na bezpośrednie połączenie bazy danych znajdującej się w chmurze do własnej aplikacji obsługującej np. program do rozsyłania newslettera.

Sprzedaż bazy danych osobowych znajdzie zastosowanie, gdy zbywca dysponuje bazą danych, gdzie możliwe jest wyeksportowanie określonej liczby rekordów, które jednorazowo zostaną wydane kupującemu. Kupujący nabywa bazę danych osobowych na własność, może dane osobowe przetwarzać ale także przekazać dalej, ponownie sprzedając bazę danych lub udostępniając na podstawie licencji. Kupujący może także w dowolny sposób przekształcać nabytą bazę oraz uzupełniać ją o nowe rekordy, uzyskane już indywidualnie, do których jednak nie będzie miał dostępu Sprzedający.

W przypadku licencji na korzystanie z bazy danych osobowych – korzystający nie staje się właścicielem bazy, dlatego w umowie należy określić zakres praw przysługujących podmiotowi, który będzie korzystał z bazy danych. Licencja może przykładowo obejmować korzystanie z bazy w celu promowania i oferowania własnych towarów i usług, bez możliwości kopiowania, przekształcania, dekompilowania, sprzedawania, przekazywania, wypożyczania, udzielania podlicencji lub innego udostępniania bazy danych podmiotom trzecim. Zakres ten może jednak zostać dowolnie uregulowany.

Licencja bazy danych wydaje się być korzystniejszym rozwiązaniem w przypadku podmiotów, które chcą nawiązać stałą współpracę i wymieniać się danymi osobowymi klientów, jednak nie chcą by kontrahent mógł dalej przekazywać zgromadzone dane. Licencja znajdzie również zastosowanie w sytuacji, gdy nie jest możliwe wyeksportowanie określonej liczby rekordów i przekazanie ich kupującemu. Jeżeli baza danych klientów cały czas się rozwija, to korzystający z licencji może być zainteresowany dostępem do coraz szerszej listy rekordów, czyli coraz większej liczby potencjalnych klientów. Licencja może również dopuszczać uzupełnianie bazy danych osobowych o nowe rekordy przez obie strony umowy.

Niezależnie od tego, czy zdecydujemy się na sprzedaż czy też umowę licencyjną, przy pierwszym kontakcie z osobami, których dane znajdują się w bazie, należy koniecznie przekazać informacje dotyczące rozpoczęcia przetwarzania danych osobowych przez nowego administratora.

apl. adw. Agnieszka Jędrzejewska