Na stronach internetowych jednostek samorządu terytorialnego i innych podmiotów publicznych zamieszczane są często formularze kontaktowe, gdzie osoba fizyczna podaje swój adres poczty elektronicznej, często także imię i nazwisko, i następnie wysyła zapytanie drogą elektroniczną. W wyniku tego procesu właściciel strony internetowej posiada adresy e-mail, czasami imiona, nazwiska i inne dane osób fizycznych, które korzystały z formularza kontaktowego. Czy posiadacz strony internetowej powinien zbierać zgody osób fizycznych na przetwarzanie danych osobowych?

Począwszy od dnia 25 maja 2018 r. zaczną obowiązywać nowe przepisy o ochronie danych osobowych. Ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jedn. Dz. U. z 2016 r. poz. 922 ze zm.) zostanie zastąpiona rozporządzeniem Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (dalej: RODO). W wyniku tej zmiany ochrona danych osobowych zostanie ujednolicona w całej Unii Europejskiej. Podkreślić należy, że ww. rozporządzenie Parlamentu Europejskiego i Rady będzie obowiązywać bezpośrednio i nie wymaga transponowania do polskiego systemu prawnego w drodze ustawy (odmiennie niż dyrektywa).

Imię i nazwisko osoby fizycznej, adres poczty elektronicznej mogą zostać uznane za informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej, czyli po prostu dane osobowe w rozumieniu art. 4 pkt 1) RODO. Z kolei w myśl art. 4 pkt 2) RODO „przetwarzanie” oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie. W rezultacie udostępnienie formularza kontaktowego na stronie internetowej, w którym trzeba podawać adres e-mail lub imię i nazwisko, może prowadzić do przetwarzania danych osobowych. W analizowanym przypadku przetwarzanie będzie polegać na zbieraniu i posiadaniu informacji o osobach fizycznych, które same wprowadziły swoje dane do formularza kontaktowego.

Na podstawie art. 5 ust. 1 RODO jedną z podstawowych zasad przetwarzania danych osobowych jest nakaz przetwarzania zgodnie z prawem. Udzielenie zgody przez osobę, której dane dotyczą, jest jedną z form zapewnienia przetwarzania zgodności z prawem (art. 6 ust. 1 lit. a) RODO). Inne dopuszczalne podstawy przetwarzania danych osobowych stanowią np. umowa lub niezbędność do wykonania zadania realizowanego w interesie publicznym. Wysłanie wiadomości przez formularz kontaktowy na stronie internetowej często nie wiąże się z zawieraniem jakiejkolwiek umowy. Trudno także uznać, że  formularz kontaktowy jest niezbędny do realizowania zadania publicznego.

Powyższe uwagi prowadzą do wniosku, że posiadacz witryny internetowej powinien sprawdzić czy i jakie dane osobowe będą zbierane przez istniejący albo projektowany formularz kontaktowy na stronie internetowej jednostki samorządu terytorialnego, spółki komunalnej itd. W przypadku ustalenia, że dojdzie do przetwarzania danych osobowych posiadacz strony internetowej ma obowiązek zapewnić procedowanie zgodnie z prawem, czyli udzielenie zgody przez osobę fizyczną na przetwarzanie jej danych osobowych, chyba że ma miejsce inna podstawa przetwarzania danych wymieniona w art. 6 RODO. Jednocześnie RODO stawia konkretne wymagania, jakie omawiana zgoda powinna spełniać, precyzuje sposób sformułowania zapytania o zgodę, w szczególności określania celu przetwarzania itp. Po wtóre, podmiot zbierający dane osobowe przez formularz kontaktowy będzie najczęściej administratorem tych danych osobowych i z tego tytułu zaktualizują się po jego stronie dodatkowe obowiązki, np. obowiązek informacyjny wobec osoby, której dane dotyczą.

Reasumując, formularz kontaktowy na stronie internetowej jest praktycznym rozwiązaniem technicznych, które pozwala efektywnie zarządzać otrzymywaną korespondencją drogą elektroniczną. Nie można jednak zapominać, że wysyłając wiadomość przez formularz kontaktowy osoba fizyczna często udostępnia posiadaczowi witryny szereg swoich danych osobowych. Niewątpliwie zbieranie i posiadanie adresów e-mail łącznie z imieniem i nazwiskiem nadawcy wiadomości jest przetwarzaniem danych osobowych i podlega szczegółowej regulacji wynikającej z przepisów prawa.