Mailchimp a RODO: dowody w postępowaniu sądowym

W dobie cyfryzacji i globalizacji usług marketingowych, korzystanie z zewnętrznych narzędzi do wysyłki newsletterów stało się standardem w prowadzeniu działalności gospodarczej. Jedną z najpopularniejszych platform tego typu na świecie jest Mailchimp, należący do amerykańskiego koncernu Intuit. Choć narzędzie to oferuje zaawansowane funkcje analityczne i automatyzacyjne, jego wdrożenie i użytkowanie w realiach europejskich wiąże się z koniecznością rygorystycznego przestrzegania przepisów Ogólnego Rozporządzenia o Ochronie Danych (RODO). W przypadku sporu z osobą, której dane dotyczą, lub kontroli ze strony Prezesa Urzędu Ochrony Danych Osobowych (PUODO), kluczowe znaczenie ma wykazanie legalności przetwarzania danych. Jak skutecznie przygotować dowody w postępowaniu sądowym, aby obronić zgodność korzystania z Mailchimpa z prawem? Jakie dokumenty i procedury stanowią fundament obrony przedsiębiorcy?

Status prawny Mailchimpa w kontekście RODO i transferu danych

Podstawowym wyzwaniem związanym z korzystaniem z platformy Mailchimp jest fakt, że jej infrastruktura techniczna oraz serwery znajdują się w dużej mierze na terytorium Stanów Zjednoczonych. Oznacza to, że korzystanie z tego narzędzia nieuchronnie wiąże się z transferem danych osobowych (takich jak adresy e-mail, imiona, nazwiska, adresy IP czy dane o aktywności odbiorców) poza Europejski Obszar Gospodarczy (EOG).

Standardowe Klauzule Umowne (SCC) a decyzje wykonawcze Komisji Europejskiej

Przez lata transfer danych do USA opierał się na różnych mechanizmach prawnych, które były sukcesywnie podważane przez Trybunał Sprawiedliwości Unii Europejskiej (TSUE) – mowa tu m.in. o wyrokach w sprawach Schrems I oraz Schrems II. Obecnie podstawą prawną transferu może być decyzja Komisji Europejskiej stwierdzająca odpowiedni stopień ochrony (EU-US Data Privacy Framework), o ile dostawca usług jest certyfikowany, bądź też Standardowe Klauzule Umowne (SCC) przyjęte przez Komisję Europejską wraz z dodatkowymi środkami zabezpieczającymi. W postępowaniu sądowym sąd nie będzie badał ogólnej sytuacji geopolitycznej, lecz konkretne zapisy umowne łączące strony. Administrator danych (przedsiębiorca korzystający z Mailchimpa) musi udowodnić, że w momencie dokonywania transferu dysponował ważną i podpisaną (bądź zaakceptowaną w formie elektronicznej) umową powierzenia przetwarzania danych (Data Processing Addendum – DPA), która inkorporuje aktualne Standardowe Klauzule Umowne.

Obowiązki dowodowe administratora danych (zasada rozliczalności)

Zgodnie z art. 5 ust. 2 RODO, administrator jest odpowiedzialny za przestrzeganie zasad przetwarzania danych osobowych i musi być w stanie wykazać ich przestrzeganie. Jest to tzw. zasada rozliczalności. W procesie sądowym – czy to przed sądem cywilnym w sprawie o odszkodowanie za naruszenie dóbr osobistych lub przepisów RODO, czy też przed sądem administracyjnym kontrolującym decyzję organu nadzorczego – ciężar dowodu (onus probandi) spoczywa na administratorze. Oznacza to, że to nie powód (np. niezadowolony subskrybent) musi udowodnić, że Mailchimp przetwarzał jego dane niezgodnie z prawem w sposób szczegółowy. Powód musi jedynie uprawdopodobnić fakt naruszenia (np. wykazać, że jego dane trafiły do bazy bez jego wiedzy). Na administratorze ciąży natomiast obowiązek wykazania, że posiadał odpowiednią podstawę prawną, dopełnił obowiązku informacyjnego oraz wdrożył adekwatne środki techniczne i organizacyjne zapewniające bezpieczeństwo danych.

Kluczowe dowody w postępowaniu sądowym

Aby skutecznie odeprzeć zarzuty dotyczące nielegalnego korzystania z Mailchimpa, administrator musi przedstawić spójny i kompletny materiał dowodowy. Poniżej znajduje się wykaz dokumentów i dowodów cyfrowych, które odgrywają kluczową rolę w procesie sądowym:

Umowa powierzenia przetwarzania danych (DPA) wraz z SCC: Jest to absolutny fundament. Dowodem w sądzie jest wygenerowany dokument DPA ze strony Mailchimpa, zawierający dane administratora, datę akceptacji regulaminu oraz treść Standardowych Klauzul Umownych. Warto zabezpieczyć ten dokument w formie pliku PDF z podpisem cyfrowym lub zrzutu ekranu potwierdzającego akceptację warunków handlowych.
Transfer Impact Assessment (TIA): Nawet przy istnieniu SCC lub certyfikacji w ramach Data Privacy Framework, administrator powinien przeprowadzić indywidualną ocenę skutków transferu danych. Dokument TIA wykazuje, że przedsiębiorca przeanalizował przepisy prawa kraju trzeciego (USA) pod kątem dostępu tamtejszych służb specjalnych do danych i uznał, że poziom ochrony jest wystarczający. Brak TIA jest jednym z najczęstszych uchybień wytykanych przez organ nadzorczy.
Dowód pozyskania zgody (Opt-in): Jeśli podstawą przetwarzania danych w celach marketingowych była zgoda (art. 6 ust. 1 lit. a RODO), administrator musi przedstawić logi systemowe. Dowodem w sądzie będzie wyciąg z bazy danych Mailchimpa wykazujący: dokładną datę i godzinę zapisu (timestamp), adres IP, z którego dokonano potwierdzenia subskrypcji (tzw. double opt-in), oraz treść klauzuli zgody, którą użytkownik zaakceptował.
Dowód spełnienia obowiązku informacyjnego: Sąd będzie badał, czy subskrybent w momencie podawania swoich danych został poinformowany o tym, że jego dane będą przetwarzane przez podmiot trzeci z siedzibą w USA. Dowodem jest treść polityki prywatności obowiązującej w dniu zapisu oraz zrzut ekranu formularza zapisu z widocznym linkiem do tej polityki.
Rejestr Czynności Przetwarzania (RCP): Dokument wewnętrzny, który wykazuje, że proces wysyłki newslettera za pośrednictwem Mailchimpa został formalnie zmapowany, określono cele przetwarzania, kategorie danych oraz planowane terminy ich usunięcia.

Jak sądy oceniają dowody cyfrowe z systemów SaaS

Dowody pochodzące z systemów chmurowych, takich jak Mailchimp, mają charakter dowodów z innych środków dowodowych w rozumieniu Kodeksu postępowania cywilnego (art. 308 k.p.c.). Sądy podchodzą do nich z dużą ostrożnością, ponieważ pliki tekstowe, zrzuty ekranu czy wiadomości e-mail mogą być stosunkowo łatwo manipulowane. Aby sąd uznał wydruk logów lub zrzut ekranu za wiarygodny dowód, administrator powinien zadbać o ich odpowiednie uwiarygodnienie. Dobrą praktyką jest sporządzenie protokołu otwarcia strony internetowej lub pobrania danych przez notariusza, bądź też opatrzenie pobranych plików PDF kwalifikowanym podpisem elektronicznym lub kwalifikowaną pieczęcią elektroniczną przez osobę odpowiedzialną za IT lub Inspektora Ochrony Danych (IOD) w firmie. Taki zabieg nadaje dokumentom walor autentyczności i znacznie utrudnia drugiej stronie procesu ich skuteczne podważenie.

Wniosek dowodowy w procesie cywilnym – jak go sformułować?

W toku postępowania przed sądem cywilnym, strony są zobowiązane do zgłaszania twierdzeń i dowodów na ich poparcie w określonych terminach procesowych. Spóźnione wnioski dowodowe mogą zostać pominięte przez sąd na podstawie przepisów o prekluzji dowodowej. Dlatego niezwykle ważne jest, aby wniosek dowodowy został sformułowany precyzyjnie i złożony w terminie. Przykład prawidłowo sformułowanego wniosku dowodowego w odpowiedzi na pozew:

Wniosek o dopuszczenie i przeprowadzenie dowodu z dokumentu – umowy Data Processing Addendum (DPA) zawartej drogą elektroniczną z dostawcą platformy Mailchimp (Intuit Inc.) na okoliczność wykazania legalności transferu danych osobowych do państwa trzeciego oraz wdrożenia standardowych klauzul umownych.
Wniosek o dopuszczenie i przeprowadzenie dowodu z wydruku logów systemowych platformy Mailchimp dotyczących subskrybenta (powoda) na okoliczność wykazania, że powód wyraził dobrowolną zgodę na przetwarzanie danych w modelu double opt-in, w określonym dniu i z określonego adresu IP.
Wniosek o dopuszczenie i przeprowadzenie dowodu z dokumentu prywatnego – Analizy Skutków Transferu (TIA) sporządzonej przez pozwanego przed rozpoczęciem korzystania z usług Mailchimp na okoliczność dopełnienia zasady rozliczalności i rzetelnej oceny ryzyka transferu danych.

Warto pamiętać, że sąd może również powołać biegłego z zakresu informatyki i ochrony danych osobowych, jeśli powód będzie kwestionował autentyczność przedstawionych logów systemowych lub zrzutów ekranu. W takim przypadku kluczowe jest posiadanie nienaruszonych, oryginalnych plików eksportu danych z platformy Mailchimp.

Rola Prezesa Urzędu Ochrony Danych Osobowych (PUODO) jako organu

Postępowanie sądowe często jest następstwem wcześniejszego postępowania administracyjnego prowadzonego przez organ nadzorczy, jakim w Polsce jest Prezes UODO. Organ ten posiada szerokie uprawnienia kontrolne i może żądać od administratora przedstawienia wszelkich informacji i dokumentów niezbędnych do oceny zgodności przetwarzania z RODO. Jeśli PUODO nałoży na administratora karę administracyjną za korzystanie z Mailchimpa niezgodnie z RODO (np. za brak odpowiednich zabezpieczeń transferu), decyzja ta może zostać zaskarżona do Wojewódzkiego Sądu Administracyjnego (WSA). W tym postępowaniu sąd administracyjny nie prowadzi co do zasady nowego postępowania dowodowego, lecz ocenia, czy organ nadzorczy prawidłowo ocenił zgromadzony materiał. Oznacza to, że wszelkie dowody na swoją obronę należy przedstawić już na etapie postępowania przed PUODO, w terminie wyznaczonym przez organ. Zaniechanie przedłożenia dokumentów (np. TIA czy DPA) przed organem drastycznie ogranicza szanse na wygraną przed sądem administracyjnym.

Najczęstsze błędy i ryzyka procesowe

Analiza orzecznictwa sądów powszechnych oraz decyzji organów nadzorczych w Europie pozwala na zidentyfikowanie najczęstszych błędów popełnianych przez przedsiębiorców korzystających z Mailchimpa, które uniemożliwiają skuteczną obronę w sądzie:

Brak aktualizacji dokumentacji: Korzystanie ze starych wzorów umów powierzenia lub powoływanie się na nieobowiązujące tarcze prywatności (np. Privacy Shield, która została unieważniona w 2020 roku).
Ignorowanie zasady minimalizacji danych: Przesyłanie do Mailchimpa zbyt szerokiego zakresu danych (np. numerów PESEL, adresów zamieszkania czy danych o zakupach, które nie są niezbędne do wysyłki zwykłego newslettera).
Brak procedury Double Opt-In: Samodzielne importowanie list mailingowych zakupionych od podmiotów trzecich lub pozyskanych w sposób budzący wątpliwości bez wdrożenia mechanizmu potwierdzającego wolę subskrybenta. W sądzie taki import jest niemal niemożliwy do obrony.
Niedotrzymanie terminów: Ignorowanie pism od organu nadzorczego lub spóźnione składanie wniosków dowodowych w sądzie cywilnym, co prowadzi do ich odrzucenia.

Praktyczny przykład (Case Study)

Przedsiębiorca prowadzący sklep internetowy korzystał z platformy Mailchimp do wysyłki newslettera promocyjnego. Jeden z byłych klientów sklepu cofnął zgodę na otrzymywanie informacji handlowych, jednak z powodu błędu synchronizacji systemów (sklep - Mailchimp), otrzymał kolejną wiadomość marketingową. Klient skierował sprawę do sądu cywilnego, żądając zadośćuczynienia za naruszenie dóbr osobistych oraz naruszenie przepisów RODO, twierdząc dodatkowo, że jego dane zostały nielegalnie wytransferowane do USA bez jego wiedzy. Strategia obronna przedsiębiorcy w sądzie:

Przedsiębiorca przedłożył w sądzie wyciąg z DPA zawartej z Mailchimp, wykazując, że transfer opierał się na Standardowych Klauzulach Umownych, a dostawca Mailchimpa wdrożył odpowiednie środki bezpieczeństwa (szyfrowanie danych w spoczynku i w transmisji).
Przedstawiono dokument Transfer Impact Assessment (TIA) sporządzony przez inspektora ochrony danych (IOD) przedsiębiorcy, co dowiodło rzetelności i braku złej woli po stronie pozwanego.
Wykazano, że błąd synchronizacji miał charakter incydentalny (przedstawiono logi z systemu CRM oraz Mailchimpa), a administrator natychmiast po zgłoszeniu reklamacji usunął dane klienta z bazy Mailchimp, co zminimalizowało negatywne skutki dla powoda.

Dzięki kompleksowemu materiałowi dowodowemu sąd uznał, że choć doszło do jednostkowego naruszenia (incydentalna wysyłka po wycofaniu zgody), to sam transfer danych do USA za pośrednictwem Mailchimpa był w pełni legalny i zabezpieczony. Sąd oddalił roszczenie o zadośćuczynienie, uznając, że powód nie doznał krzywdy uzasadniającej rekompensatę finansową, a administrator wykazał się pełną rozliczalnością.

Podsumowanie

Korzystanie z Mailchimpa w zgodzie z RODO jest możliwe, ale wymaga od administratora aktywnego podejścia do kwestii dokumentacyjnych. W razie sporu sądowego, to rzetelnie przygotowane dowody – takie jak umowa DPA, analiza TIA, logi double opt-in oraz przejrzysta polityka prywatności – decydują o wygranej lub przegranej. Przedsiębiorcy nie mogą liczyć na domniemanie zgodności z prawem; muszą być gotowi wykazać ją przed sądem lub organem nadzorczym w każdym momencie, dbając o terminowość i kompletność składanych wniosków dowodowych.