Przy rejestracji w serwisie, zawieraniu umowy czy zapisie do programu lojalnościowego często pojawia się zgoda na marketing „partnerów”. Dla przedsiębiorcy to element współpracy handlowej. Dla osoby udostępniającej dane może to jednak oznaczać wiadomości od firm, o których wcześniej nie słyszała. Czy tak sformułowana zgoda wystarcza, aby te firmy mogły prowadzić własne działania marketingowe?

W sprawie C‑317/25 Groupe Canal+ rzecznik generalny TSUE Dean Spielmann przedstawił 17 września 2026 r. stanowisko, zgodnie z którym zgoda na marketing partnerów wymaga znajomości ich tożsamości. Opinia wpisuje się we wcześniejszą praktykę ochrony danych, a jednocześnie dotyczy bardzo konkretnego problemu: zakresu zgody wykorzystywanej przez przedsiębiorców, którzy sami jej nie zbierali.

Spór powstał na tle kampanii marketingowych prowadzonych drogą elektroniczną w 2021 r. na zlecenie Groupe Canal+, skierowanych do około 3,9 mln osób. Ich dane zostały zebrane przez dwóch dostawców usług internetowych. Abonenci zgodzili się na wykorzystanie danych w celach marketingowych przez „partnerów” dostawców, ale partnerzy ci nie zostali wskazani. Francuski organ ochrony danych CNIL zakwestionował ważność zgody. W tle postępowania znajduje się kara 600 tys. euro, którą spółka zaskarżyła do Conseil d’État.

Francuski sąd zwrócił się do TSUE z pytaniem, czy zgoda odnosząca się do kategorii odbiorców, takiej jak „partnerzy”, umożliwia każdemu podmiotowi należącemu do tej kategorii prowadzenie marketingu bez uzyskania nowej zgody. Drugie pytanie dotyczy tego, jak szczegółowo należałoby określić taką kategorię, gdyby samo jej wskazanie mogło być wystarczające.

Zgodnie ze stanowiskiem rzecznika przedstawionym w komunikacie TSUE zgoda powinna umożliwiać osobie, której dane dotyczą, poznanie tożsamości administratora prowadzącego marketing. Jeżeli tożsamość tego przedsiębiorcy nie była znana przy udzielaniu zgody, konieczne jest uzyskanie nowej zgody przed rozpoczęciem działań marketingowych.

Rzecznik odniósł się również do rozwiązania dobrze znanego odbiorcom reklam: możliwości rezygnacji z kolejnych wiadomości. Taka możliwość nie usuwa braku uprzedniej zgody. Odbiorca korzysta z niej już po rozpoczęciu działań marketingowych, podczas gdy wymagana zgoda powinna je poprzedzać.

W opinii znalazło się też stanowisko przedstawione na wypadek, gdyby Trybunał dopuścił zgodę odnoszącą się do kategorii odbiorców. W takim wariancie kategoria musiałaby być na tyle precyzyjna, aby osoba mogła racjonalnie spodziewać się kontaktu ze strony konkretnego przedsiębiorcy. Zdaniem rzecznika samo określenie „partnerzy” jest zbyt niejasne.

Znaczenie tej sprawy staje się wyraźniejsze na tle wcześniejszych wytycznych. Już w wytycznych 05/2020 Europejska Rada Ochrony Danych zaliczyła tożsamość administratora do informacji koniecznych do świadomego udzielenia zgody. W punkcie 65 wskazała, że jeżeli z pierwotnej zgody zamierzają korzystać inni administratorzy, powinni zostać nazwani.

Podobny kierunek wynika z praktyki CNIL. Organ dopuszcza zbieranie zgody na marketing na rzecz partnerów, pod warunkiem zapewnienia odpowiedniej informacji o ich tożsamości i celach wykorzystania danych. Przewiduje możliwość udostępnienia pełnej listy partnerów bezpośrednio przy formularzu albo poprzez prowadzący do niej link. Istotne jest, aby informacja była dostępna w momencie udzielania zgody.

Pokazuje to, dlaczego trzeba odróżnić samo użycie słowa „partnerzy” od całego sposobu zbierania zgody. Znaczenie ma to, czy za tym określeniem stoją przedsiębiorcy, których można zidentyfikować, oraz czy osoba otrzymała informacje pozwalające zrozumieć zakres swojej decyzji. CNIL rozróżnia przy tym zgodę na przekazanie danych od zgody na późniejsze działania marketingowe podmiotów, które dane otrzymają.

Sprawa Canal+ ma również szersze tło orzecznicze. W wyroku z 11 listopada 2020 r. w sprawie Orange România, C‑61/19, TSUE analizował zgodę na zbieranie i przechowywanie kopii dokumentów tożsamości. Podkreślił znaczenie aktywnego zachowania osoby wyrażającej zgodę oraz obowiązek wykazania przez administratora, że zgoda została ważnie udzielona. Sam zapis w dokumentacji nie przesądza o spełnieniu tych wymagań.

Istnieje jednak także orzecznictwo pokazujące, że zakres zgody trzeba oceniać z uwzględnieniem szczególnych przepisów i celu przetwarzania. W wyroku Proximus z 27 października 2022 r., C‑129/21, TSUE zajmował się publicznymi spisami abonentów. Uznał, że w określonych warunkach zgoda na publikację danych może obejmować ich dalsze wykorzystanie przez kolejnych dostawców takich spisów, bez konieczności uzyskiwania ponownej zgody. Osoba nie musi przy tym znać tożsamości wszystkich tych dostawców.

Rozstrzygnięcie to dotyczyło szczególnego reżimu art. 12 dyrektywy 2002/58/WE, związanego z publikacją danych w spisach abonentów. Marketing bezpośredni podlega odrębnej regulacji art. 13 tej dyrektywy. W mojej ocenie właśnie ta różnica uzasadnia ostrożność przy przenoszeniu wniosków ze sprawy Proximus na komercyjne kampanie prowadzone przez partnerów biznesowych.

Dla polskich przedsiębiorców dodatkowym punktem odniesienia jest art. 398 Prawa komunikacji elektronicznej. Przewiduje on wymóg uprzedniej zgody na używanie wskazanych w nim środków do przesyłania informacji handlowych, w tym marketingu bezpośredniego. Z kolei art. 400 odsyła w zakresie uzyskiwania zgody do przepisów o ochronie danych osobowych. Ocena działań marketingowych wymaga więc uwzględnienia zarówno zasad przetwarzania danych, jak i wymagań dotyczących samego kontaktu z odbiorcą.

W praktyce sprawa Canal+ ma znaczenie dla przedsiębiorców korzystających z zewnętrznych baz kontaktów, programów partnerskich i współpracy przy pozyskiwaniu potencjalnych klientów. Informacja, że dane zostały zebrane „za zgodą”, wymaga odniesienia do rzeczywistego zakresu tej zgody. Liczy się to, jakich przedsiębiorców, celów i działań dotyczyła decyzja osoby udostępniającej dane.

Opinia rzecznika generalnego nie wiąże TSUE, jednakże praktyka orzecznicza pokazuje, że stanowisko rzecznika generalnego często stanowi podstawę przyszłego wyrokowania. Wyrok w sprawie Groupe Canal+ zostanie wydany później. Już obecnie sprawa pokazuje jednak znaczenie przejrzystości relacji między firmami korzystającymi z danych: odbiorca powinien móc zrozumieć, kto będzie się z nim kontaktował i na jakiej podstawie.