NSA wskazał, że na gruncie przepisów o ochronie danych osobowych istnieje wymóg zapewnienia, aby decyzja w sprawie wyrażenia zgody na przetwarzanie danych osobowych w określonym celu była podjęta swobodnie i miała charakter samodzielny, musi być przejawem wolnej i nieskrępowanej woli danej osoby, to znaczy nie może być wymuszona przez konieczność złożenia innych oświadczeń woli – wyrok z 20 kwietnia 2021 r. (III OSK 161/21)

Omawiana sprawa była rozpatrywana na gruncie przepisów sprzed obowiązywania RODO, niemniej uwagi poczynione w wyroku pozostają aktualne. NSA rozstrzygał sprawę udzielenia zgody na przetwarzanie danych osobowych klienta przez instytucję finansową przy zawieraniu umowy pożyczki. Na przedstawionym przez bank formularzu klient mógł wyrazić jedynie łączną zgodę na przetwarzanie danych osobowych w celu marketingu produktów własnych tej spółki oraz na używanie urządzeń telekomunikacyjnych celem realizowania marketingu bezpośredniego (np. poprzez telefoniczne przedstawianie oferty).

W orzeczeniu zwrócono uwagę na konieczność zapewnienia pełnej swobody osobie której dane będą wykorzystywane. NSA stwierdził, że jeżeli klient nie mógł udzielić takiej zgody w części, a jedynie odnosząc się do całości – osoba nie miała pełnej swobody w dysponowaniu swoimi danymi. Wskazano, że decyzja o udostępnieniu danych musi być wyrazem swobodnej i nieskrępowanej woli oraz mieć charakter samodzielny. Oznacza to, że zgoda nie może być wymuszona przez konieczność złożenia łącznych oświadczeń. Podkreślono jednocześnie, że jedna zgoda może wskazywać różne cele przetwarzania danych, jednak z taką sytuacją nie mamy do czynienia, gdy zgoda odnosi się do różnych materii, opartych jest na innych postawach prawnych (marketing własnych produktów i telemarketing).

Należy zaznaczyć, że obowiązujące przepisy przewidują administracyjne kary pieniężne – w wysokości do 20 mln euro, a w przypadku przedsiębiorstwa do wysokości 4 proc. całkowitego rocznego obrotu z poprzedniego roku obrotowego za naruszenie przepisów odnoszących się do ochrony danych osobowych.