Zakres zbieranych danych od laureatów loterii. Pomiędzy RODO, AML, UGH
Przykład McDonalds, który w ramach prowadzonej loterii pod nazwą „50 lat burgera Big Mac” żądał od laureatów „nadmiarowych danych osobowych – w tym nr PESEL”, który szeroko opisywany był w prasie branżowej (przykład: https://prawo.gazetaprawna.pl/artykuly/1177547,w-mcdonald-s-drobna-pomylka-i-problem-z-rodo.html) pokazuje, jak skomplikowanym jest zagadnienie zakresu danych, jakie należy i wolno zbierać od uczestników i laureatów loterii promocyjnych i audiotekstowych.
Z jednej strony Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE – dalej „RODO” wymusza ograniczenie zakresu zbieranych danych do niezbędnego minimum, z drugiej zaś ustawa o z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (Dz. U. z 2018 r. Poz. 723) – dalej ”ustawa AML” oraz Rozporządzenie Ministra Finansów z dnia 22 czerwca 2010 r. w sprawie zaświadczeń o uzyskanej wygranej oraz ewidencji zaświadczeń i ewidencji wypłaconych (wydanych) wygranych, a także Rozporządzenie Ministra Rozwoju i Finansów z dnia 23 lutego 2017 r. zmieniające rozporządzenie w sprawie zaświadczeń o uzyskanej wygranej oraz ewidencji zaświadczeń i ewidencji wypłaconych (wydanych) wygranych (Dz. U. 2017 poz. 382) oraz pozostałe akty wykonawcze do ustawy o grach hazardowych stawiają szereg wymogów co do zakresu zbieranych danych.
Powszechnie wydaje się, iż aby wydać nagrodę wygraną w loterii wystarczą podstawowe dane do wysyłki, takie jak imię i nazwisko oraz adres laureata. Rzeczywistość jest bardziej skomplikowana. Celem niniejszego tekstu jest określenie, jaki zakres danych należy zbierać o laureatów loterii promocyjnych i audiotekstowych, aby zadośćuczynić przepisom prawa. Zacznijmy od określenia progów wartości nagród w kwotach brutto, których przekroczenie będzie warunkowało zmianę zakresu zbieranych danych. Wartościami tymi są kwoty 2280 zł oraz równowartość kwoty 2000 EUR. Z jakich przepisów wynikają te wartości? O tym poniżej.
Niezależnie od wartości nagrody
Rozporządzenie Ministra Finansów z dnia 22 czerwca 2010 r. w sprawie zaświadczeń o uzyskanej wygranej oraz ewidencji zaświadczeń i ewidencji wypłaconych (wydanych) wygranych, a także Rozporządzenie Ministra Rozwoju i Finansów z dnia 23 lutego 2017 r. zmieniające rozporządzenie w sprawie zaświadczeń o uzyskanej wygranej oraz ewidencji zaświadczeń i ewidencji wypłaconych (wydanych) wygranych (Dz. U. 2017 Poz. 382) określa, iż od każdego laureata żądającego wydania zaświadczenia o uzyskanej wygranej należy zebrać (na potrzeby wypełnienia druku zaświadczenia): imię i nazwisko, imię ojca, datę i miejscowość urodzenia, serię i numer dokumentu tożsamości oraz PESEL oraz dodatkowo (na potrzeby wypełnienia ewidencji zaświadczeń) także: adres zamieszkania i obywatelstwo, jeżeli laureat nie posiada numeru PESEL.
Pierwszy próg wartości nagród wydawanych w loteriach w kwocie 2280 zł
wynika art. 20 ust. 5 ustawy z dnia 19 listopada 2009 r. o grach hazardowych (Dz. U. z 2017 r. Poz. 165) – dalej „uogh”, który określa iż podmiot urządzający gry hazardowe jest obowiązany prowadzić ewidencję wypłaconych (wydanych) wygranych, których wartość wynosi co najmniej 2280 zł. Ust. 7 uogh precyzuje, iż od laureatów nagród o wartości równej lub przekraczającej 2280 zł organizator winien zabrać imię i nazwisko, rodzaj i numer dokumentu potwierdzającego tożsamość, numer PESEL, a w przypadku braku numeru PESEL – adres zamieszkania, datę urodzenia i obywatelstwo.
Drugi próg wartości nagrody wydawanych w loteriach w kwocie stanowiącej równowartość 2000 EUR
wynika z art. 35 pkt. 1 ust. 4 ustawy z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (Dz. U. z 2018 r. Poz. 723) – dalej „ustawa AML” w związku z koniecznością przeprowadzenia identyfikacji laureata w zakresie danych określonych w art. 36 ustawy AML. Zgodnie z tym przepisem organizator zobowiązany jest zgromadzić takie danej, jak: imię i nazwisko, obywatelstwo, PESEL lub datę urodzenia – w przypadku gdy nie nadano numeru PESEL, oraz państwa urodzenia, serię i numer dokumentu stwierdzającego tożsamość laureata, adres zamieszkania, nazwy (firmy), numeru identyfikacji podatkowej (NIP) oraz adresu głównego miejsca wykonywania działalności gospodarczej – w przypadku osoby fizycznej prowadzącej działalność gospodarczą.
Czy zatem McDonalds miał prawo żądać PESEL od laureata skarpetek w loterii? Jeżeli tylko skarpetki miały wartość niższą niż 2280 zł brutto, zaś laureat ten nie żądał wystawienia zaświadczenia o uzyskanej wygranej to nie miał.
Finalnie proszę pamiętać, iż powyższy tekst nie ma charakteru porady prawnej, zaś pisany jest jedynie z perspektywy podmiotu aktywnie działającego w zakresie organizacji loterii promocyjnych i audioteksowych.
dr Tomasz Makaruk
Prezes Zarządu i360 Sp. z o.o.
Warszawa, 18 lipca 2018 r.