Mailchimp RODO: dowody w postępowaniu sądowym

W dobie powszechnej cyfryzacji i automatyzacji działań marketingowych, korzystanie z zewnętrznych platform do wysyłki newsletterów stało się standardem rynkowym. Jednym z najpopularniejszych narzędzi tego typu na świecie jest Mailchimp. Jednak jego amerykańskie pochodzenie oraz specyfika przesyłania danych poza Europejski Obszar Gospodarczy (EOG) stawiają przed polskimi przedsiębiorcami szereg wyzwań prawnych w świetle Ogólnego Rozporządzenia o Ochronie Danych (RODO). Sytuacja komplikuje się jeszcze bardziej, gdy dochodzi do sporu prawnego – czy to z osobą fizyczną kwestionującą legalność przetwarzania jej danych, czy też przed Urzędem Ochrony Danych Osobowych (UODO). W takich okolicznościach kluczowe staje się pytanie: jak skutecznie wykorzystać dane, raporty i logi z systemu Mailchimp jako dowody w postępowaniu sądowym lub administracyjnym? Niniejsza publikacja stanowi kompleksowe kompendium wiedzy dla administratorów danych, prawników oraz procesualistów, którzy muszą zmierzyć się z tym zagadnieniem w praktyce.

1. Legalność korzystania z Mailchimp w świetle RODO a moc dowodowa

Zanim przejdziemy do aspektów ściśle procesowych, należy zrozumieć, że moc dowodowa jakichkolwiek dokumentów wygenerowanych z systemu Mailchimp jest bezpośrednio powiązana z legalnością samego korzystania z tego narzędzia. Zgodnie z RODO, każdy administrator danych osobowych (ADO) ma obowiązek wykazać zgodność swoich działań z przepisami (zasada rozliczalności z art. 5 ust. 2 RODO). Jeżeli korzystanie z Mailchimp odbywa się z naruszeniem przepisów o transferze danych do państw trzecich, sąd lub organ nadzorczy mogą podejść do przedstawianych dowodów z dużą rezerwą, a w skrajnych przypadkach uznać samo przetwarzanie za bezprawne, co rodzi odpowiedzialność odszkodowawczą lub administracyjną.

Mailchimp jest usługą świadczoną przez podmiot z siedzibą w Stanach Zjednoczonych (The Rocket Science Group LLC). Oznacza to, że korzystanie z niej wiąże się z transferem danych osobowych do państwa trzeciego. Po wyroku Trybunału Sprawiedliwości Unii Europejskiej w sprawie Schrems II, transfery te wymagały wdrożenia Standardowych Klauzul Umownych (SCCs) oraz przeprowadzenia szczegółowej oceny skutków transferu (TIA). Obecnie, po wejściu w życie decyzji Komisji Europejskiej stwierdzającej odpowiedni stopień ochrony w ramach EU-US Data Privacy Framework, sytuacja prawna uległa uproszczeniu, pod warunkiem, że dostawca usługi jest certyfikowany. Administrator ma jednak obowiązek posiadania aktualnej umowy powierzenia przetwarzania danych (Data Processing Addendum – DPA) oraz monitorowania statusu prawnego dostawcy. Dowód w postaci podpisanej umowy DPA oraz weryfikacji certyfikacji stanowi fundament obrony w każdym postępowaniu dotyczącym naruszenia ochrony danych.

2. Rodzaje dowodów generowanych przez system Mailchimp

System Mailchimp gromadzi ogromną ilość danych o charakterze technicznym i behawioralnym, które mogą mieć kluczowe znaczenie w procesie sądowym. Do najważniejszych z nich należą:

Logi rejestracji (Double Opt-In): Jest to najważniejszy dowód potwierdzający, że dany użytkownik świadomie zapisał się do bazy odbiorców. Logi te zawierają dokładną datę i godzinę kliknięcia w link aktywacyjny, adres IP użytkownika oraz identyfikator przeglądarki (User Agent).
Historia interakcji: Dane dotyczące otwarć wiadomości e-mail (open rates) oraz kliknięć w poszczególne linki (click rates). Mogą one służyć do wykazania, że odbiorca zapoznał się z określoną informacją handlową lub regulaminem.
Historia rezygnacji (Unsubscribe): Logi potwierdzające moment, w którym użytkownik wycofał zgodę na komunikację marketingową, oraz dowód na to, że system zaprzestał wysyłki wiadomości po tym terminie.
Raporty doręczeń i odbić (Bounces): Dowody techniczne wskazujące, czy dana wiadomość faktycznie dotarła na serwer odbiorcy, czy też została odrzucona (np. z powodu przepełnienia skrzynki lub nieistniejącego adresu).

Wszystkie te dane, choć mają charakter cyfrowy, mogą zostać wprowadzone do postępowania sądowego. Polski Kodeks postępowania cywilnego (KPC) w art. 308 wprost dopuszcza dowody z innych nośników informacji, w tym z dokumentów elektronicznych oraz danych systemowych. Kluczem jest jednak ich właściwa prezentacja i uwiarygodnienie przed sądem.

3. Jak prawidłowo zabezpieczyć i przedstawić dowody z Mailchimp?

Samo wydrukowanie zrzutu ekranu z panelu Mailchimp może okazać się niewystarczające, jeśli strona przeciwna zakwestionuje autentyczność takiego dokumentu. W procesie cywilnym obowiązuje zasada swobodnej oceny dowodów, jednak sędzia nieposiadający wiedzy specjalistycznej może odrzucić niejasne lub łatwe do sfałszowania wydruki. Aby dowód z Mailchimp miał wysoką wartość dowodową, należy zastosować odpowiednie procedury zabezpieczające.

Rola notariusza w zabezpieczaniu dowodów cyfrowych

Niezwykle skuteczną, choć kosztowną metodą jest sporządzenie protokołu otwarcia strony internetowej i pobrania danych przez notariusza. Notariusz w ramach swoich uprawnień urzędowych potwierdza, że w określonym dniu i godzinie, po zalogowaniu się na konto Mailchimp o danych parametrach, w systemie znajdowały się określone logi i rekordy. Taki protokół ma moc dokumentu urzędowego, co drastycznie utrudnia stronie przeciwnej podważenie jego autentyczności.

Wykorzystanie opinii biegłego sądowego

Alternatywnym rozwiązaniem jest skorzystanie z usług biegłego sądowego z zakresu informatyki lub technologii sieciowych, który może sporządzić opinię prywatną, potwierdzającą integralność danych wyeksportowanych z systemu. Warto również zadbać o to, aby każdemu wydrukowi towarzyszyło pisemne oświadczenie osoby odpowiedzialnej w firmie za administrację systemem IT, potwierdzające zgodność wydruku ze stanem faktycznym w systemie. Ponadto zaleca się generowanie pełnych raportów w formatach nieedytowalnych, takich jak zabezpieczone pliki PDF lub bezpośrednie eksporty do formatu CSV wraz s sumami kontrolnymi.

4. Wniosek dowodowy o przeprowadzenie dowodu z danych Mailchimp

Aby sąd w ogóle zajął się analizą danych z Mailchimp, strona postępowania musi sformułować prawidłowy wniosek dowodowy. Konstrukcja takiego wniosku musi spełniać wymogi formalne określone w KPC. Przede wszystkim należy dokładnie wskazać fakt, który ma zostać wykazany za pomocą tego dowodu (np. fakt wyrażenia przez powoda zgody na otrzymywanie informacji handlowych drogą elektroniczną w określonym dniu).

Prawidłowe sformułowanie tezy dowodowej

Wniosek dowodowy powinien precyzyjnie określać źródło pochodzenia danych. Przykładowo, formułując wniosek, należy napisać: „wnoszę o dopuszczenie i przeprowadzenie dowodu z dokumentu elektronicznego w postaci wyciągu z bazy danych systemu Mailchimp dla rekordu [adres e-mail], zawierającego logi rejestracji w usłudze newsletter, na okoliczność wykazania, że powód dokonał rejestracji w dniu [data] z adresu IP [IP], co stanowiło wyrażenie zgody na przetwarzanie danych osobowych w celach marketingowych”.

Prekluzja dowodowa a terminy procesowe

Należy pamiętać o rygorach czasowych. Sąd może pominąć spóźnione wnioski dowodowe, chyba że strona uprawdopodobni, że ich powołanie w pozwie lub odpowiedzi na pozew nie było możliwe, albo że potrzeba ich powołania wynikła później. Termin na zgłoszenie dowodów jest zatem kluczowy – zwlekanie z przedstawieniem logów z Mailchimp do późniejszych etapów rozprawy może skutkować ich bezpowrotnym odrzuceniem przez sąd na podstawie przepisów o prekluzji dowodowej.

5. Obowiązki administratora danych (ADO) w razie sporu przed sądem lub organem

W przypadku, gdy sprawa trafia przed Urząd Ochrony Danych Osobowych (UODO), rygor dowodowy ulega dalszemu zaostrzeniu. UODO jako wyspecjalizowany organ nadzorczy doskonale zna specyfikę działania systemów SaaS (Software as a Service) i nie zadowoli się prostymi oświadczeniami administratora. Na ADO spoczywa ustawowy obowiązek wykazania, że każda operacja przetwarzania danych była zgodna z prawem.

W toku postępowania przed organem, administrator ma obowiązek dostarczyć na każde wezwanie pełną dokumentację potwierdzającą zgodność z RODO. W kontekście Mailchimp oznacza to konieczność przedstawienia umowy powierzenia przetwarzania danych (DPA) zawartej z The Rocket Science Group LLC, wraz z aktualnymi Standardowymi Klauzulami Umownymi (jeśli dotyczy danego okresu przetwarzania). Dodatkowo niezbędny jest Rejestr Czynności Przetwarzania (RCP), w którym prawidłowo zidentyfikowano Mailchimp jako odbiorcę danych oraz wskazano podstawę prawną transferu. Organ może zażądać pełnej ścieżki audytowej (audit trail) dla spornego profilu użytkownika, wykazującej historię zmian statusu subskrypcji, a także dowodu spełnienia obowiązku informacyjnego (art. 13 RODO) wobec użytkownika w momencie zbierania jego danych (np. zrzut ekranu formularza zapisu z widoczną klauzulą informacyjną oraz linkiem do polityki prywatności). Niedopełnienie tych obowiązków lub brak możliwości przedstawienia spójnych dowodów w wyznaczonym przez organ terminie może skutkować nałożeniem administracyjnej kary pieniężnej na podstawie art. 83 RODO, niezależnie od wyniku samego sporu z osobą, której dane dotyczą.

6. Najczęstsze błędy przy powoływaniu się na dowody z systemów do e-mail marketingu

Analiza orzecznictwa sądów powszechnych oraz decyzji Prezesa UODO pozwala na zidentyfikowanie kilku kardynalnych błędów popełnianych przez przedsiębiorców w procesach dowodowych:

Brak stosowania procedury Double Opt-In: Jeśli administrator stosuje tzw. Single Opt-In (zapis bez potwierdzenia mailowego), wykazanie przed sądem, że to konkretna osoba wpisała swój adres e-mail do formularza, jest niemal niemożliwe. Każdy może bowiem wpisać cudzy adres e-mail. Dopiero log potwierdzający kliknięcie w unikalny link aktywacyjny wysłany na tę skrzynkę (Double Opt-In) stanowi twardy dowód, że dostępu do skrzynki użyła osoba dysponująca do niej uprawnieniami.
Przedstawianie niekompletnych logów: Sąd lub organ nadzorczy odrzuci dowód, który zawiera jedynie datę zapisu, ale nie zawiera adresu IP lub informacji o wersji regulaminu, którą użytkownik zaakceptował.
Brak powiązania zgody z konkretną treścią: Często administratorzy potrafią udowodnić, że użytkownik kliknął „zapisz się”, ale nie są w stanie wykazać, jaka dokładnie treść klauzul zgody była wyświetlana na stronie w dniu zapisu. Konieczne jest prowadzenie archiwum wersji polityki prywatności i formularzy zapisu.
Ignorowanie żądań wycofania zgody: Brak synchronizacji bazy Mailchimp z wewnętrznymi systemami CRM może prowadzić do sytuacji, w której klient wycofał zgodę drogą telefoniczną, a system Mailchimp nadal wysyłał do niego wiadomości. W sądzie dowód z Mailchimp wykazujący „aktywny status” zostanie łatwo obalony dowodem w postaci nagrania rozmowy lub wiadomości e-mail z żądaniem usunięcia danych.

7. Praktyczny przykład (Case Study)

Wyobraźmy sobie sytuację, w której spółka „Alfa” prowadząca sklep internetowy została pozwana przez pana Jana Kowalskiego o naruszenie dóbr osobistych oraz niezgodne z RODO przetwarzanie jego danych osobowych w celach marketingowych. Powód domagał się zadośćuczynienia w kwocie 5000 zł, twierdząc, że nigdy nie wyrażał zgody na otrzymywanie newslettera, a jego adres e-mail został bezprawnie dodany do bazy marketingowej spółki.

Spółka „Alfa” w odpowiedzi na pozew sformułowała wniosek dowodowy, załączając protokół notarialny dokumentujący zalogowanie się do panelu Mailchimp i wyeksportowanie karty klienta dla adresu e-mail powoda. Dołączono wyciąg z logów systemowych Mailchimp wykazujący, że w dniu 15 marca 2023 r. o godzinie 14:23 nastąpiło wysłanie wiadomości potwierdzającej (Double Opt-In) na adres powoda, a o godzinie 14:25 odnotowano kliknięcie w link aktywacyjny z adresu IP należącego do puli dostawcy internetu powoda. Przedstawiono również zrzut ekranu archiwalnej wersji formularza rejestracyjnego sklepu z dnia 15 marca 2023 r., wykazujący, że zapis do newslettera wymagał zaznaczenia dobrowolnego, nieoznaczonego domyślnie checkboxa z jasną klauzulą zgody marketingowej, oraz umowę powierzenia przetwarzania danych (DPA) z Mailchimp, potwierdzającą legalność transferu danych do USA.

Sąd, po analizie przedstawionych dowodów elektronicznych, uznał, że strona pozwana w sposób niebudzący wątpliwości wykazała fakt wyrażenia zgody przez powoda. Sąd podkreślił, że logi Double Opt-In powiązane z adresem IP i dokładnym znacznikiem czasu stanowią wiarygodny dowód techniczny, którego powód nie zdołał skutecznie podważyć (nie przedstawił dowodów na to, że w tym czasie ktoś inny włamał się na jego skrzynkę pocztową lub korzystał z jego urządzenia). Powództwo zostało w całości oddalone, a powód został obciążony kosztami procesu.

8. Podsumowanie i rekomendacje dla administratorów

Wykorzystanie Mailchimp jako źródła dowodów w postępowaniu sądowym jest w pełni dopuszczalne i wysoce skuteczne, pod warunkiem rzetelnego podejścia do kwestii technicznych i prawnych. Administratorzy danych nie mogą traktować systemów do e-mail marketingu wyłącznie jako narzędzi sprzedażowych – są to również systemy rejestrujące zdarzenia prawne o doniosłych skutkach. Aby zabezpieczyć swoje interesy na wypadek sporu, każdy przedsiębiorca powinien wdrożyć procedurę Double Opt-In, regularnie archiwizować wzorce stosowanych klauzul informacyjnych i zgód, a w przypadku otrzymania pozwu lub pisma z organu nadzorczego – niezwłocznie podjąć kroki w celu formalnego zabezpieczenia logów systemowych (np. poprzez notarialny protokół otwarcia strony). Tylko takie kompleksowe podejście gwarantuje, że dowody z Mailchimp zostaną uznane przez sąd za wiarygodne i pozwolą na skuteczną obronę praw administratora.