I OSK 399/09

Naczelny Sąd Administracyjny w składzie: Przewodniczący: Sędzia NSA Maria Wiśniewska Sędziowie Sędzia NSA Izabella Kulig- Maciszewska (spr.) Sędzia del. NSA Jerzy Stankowski Protokolant Magdalena Błaszczyk po rozpoznaniu w dniu 22 grudnia 2009r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej W. Sp. z o.o. z siedzibą w G. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 11 grudnia 2008 r. sygn. akt II SA/Wa 1061/08 w sprawie ze skargi W. Sp. z o.o. z siedzibą w G. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] czerwca 2008 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę kasacyjną. Wojewódzki Sąd Administracyjny w Warszawie, wyrokiem z dnia 11 grudnia 2008 r. sygn. akt II SA/Wa 1061/08, oddalił skargę W. Sp. z o.o. z siedzibą w G. na decyzje Generalnego Inspektora Ochrony Danych Osobowych z dnia [...]czerwca 2008 r. w przedmiocie przetwarzania danych osobowych. Wyrok zapadł w następujących okolicznościach faktycznych i prawnych: Generalny Inspektor Ochrony Danych Osobowych w dniu [...] grudnia 2007 r. wszczął z urzędu postępowanie administracyjne w przedmiocie stwierdzonych uchybień w procesie przetwarzania danych osobowych przez kontrolowany podmiot gospodarczy, tj. Przedsiębiorstwo Usługowo-Handlowe "[...]" Sp. z o.o. z siedzibą w G., a następnie w dniu [...] marca 2008 r. wydał decyzję, w której nakazał W. Sp. z o.o., przywrócenie stanu zgodnego z prawem, poprzez: zaprzestanie pozyskiwania do zbioru danych o nazwie "[...]." (aktualna nazwa "[...]") w celach marketingowych danych osobowych potencjalnych klientów, tj. osób, które są zainteresowane kupnem samochodu, a nie brały udziału w jeździe testowej, bez zgody osób, których dane dotyczą, od dnia, w którym niniejsza decyzja stanie się ostateczna oraz usunięcie z powyżej określonego zbioru danych osobowych potencjalnych klientów, o których mowa w pkt 1, w terminie miesiąca od dnia, w którym niniejsza decyzja stanie się ostateczna. W pozostałym zakresie postępowanie umorzył. W uzasadnieniu decyzji, powołując się na treść art. 23 ust. 1 oraz art. 7 pkt 5 ustawy o ochronie danych osobowych, stwierdzono, że kontrolowany podmiot gospodarczy nie pozyskuje zgody na przetwarzanie danych osobowych w celu marketingowym potencjalnych klientów, którzy zainteresowani są kupnem samochodu, a nie brali udziału w jeździe testowej. W wyniku ponownego rozpatrzenia sprawy Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia [...] czerwca 2008 r. utrzymał w mocy poprzednią decyzję oraz poparł zawartą w niej argumentację. Od powyższej decyzji wniesiono skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie zarzucając wydanie jej z naruszeniem art. 23 ust. 1 pkt 3, art. 23 ust. 1 pkt 5 w zw. z ust. 4 pkt 1, art. 23 ust. 4 pkt 1, poprzez ich błędną wykładnię. Ponadto zarzucono organowi naruszenie art. 8 K.p.a. poprzez zakwestionowanie "Kodeksu Dobrych Praktyk w Zakresie Przetwarzania Danych Osobowych Stowarzyszenia Marketingu Bezpośredniego". Wniesiono o uchylenie zaskarżonej decyzji oraz utrzymanej nią w mocy decyzji poprzedzającej i zasądzenie kosztów postępowania. W odpowiedzi na skargę organ wniósł o jej oddalenie i podtrzymał stanowisko przedstawione w uzasadnieniu zaskarżonej decyzji. Wojewódzki Sąd Administracyjny w Warszawie oddalając skargę uznał, iż zaskarżona decyzja została wydana zgodnie z prawem. Sąd I instancji stwierdził, iż z akt sprawy wynika, że w związku z przeprowadzoną kontrolą, w wyniku wszczętego z urzędu postępowania w przedmiocie przetwarzania danych osobowych Generalny Inspektor Ochrony Danych Osobowych wydał decyzję, w której nakazał skontrolowanemu podmiotowi gospodarczemu W. Sp. z o.o. przywrócenie stanu zgodnego z prawem w zakresie, określonym w sentencji decyzji. W ocenie organu, przy pozyskiwaniu w celach marketingowych do zbioru "[...]" danych potencjalnych klientów, tj. osób zainteresowanych kupnem samochodu, które nie brały udziału w jeździe testowej, nie uzyskano od nich wymaganej zgody, czym naruszono art. 23 ust. 1 pkt 1 w zw. z art. 7 pkt 5 ustawy o ochronie danych osobowych. Zdaniem Wojewódzkiego Sądu, ocena organu jest zasadna. Przesłanki dopuszczalności przetwarzania danych osobowych określone w art. 23 ust. 1 ustawy o ochronie danych osobowych mają charakter autonomiczny, niezależny i wystarczy wystąpienie jednej z nich, by przetwarzanie danych mogło być uznane za usprawiedliwione. Oznacza to także, że zgoda osoby, której dane dotyczą, nie jest wyłączną przesłanką przetwarzania danych osobowych. Jednakże samo powoływanie się przez administratora danych na usprawiedliwione cele, nie przesądza jeszcze o dopuszczalności przetwarzania danych osobowych bez takiej zgody. Konieczne jest dokonanie ustaleń, czy tego rodzaju przetwarzanie nie narusza prywatności osoby, której dane dotyczą. W rozpoznawanej sprawie kluczowe było przesądzenie, czy podstawą przetwarzania danych przez skarżącego była zgoda osoby, której dane ulegały przetworzeniu, czy przepis prawa, bądź też, czy podstawa ta wynikała z niezbędności wypełniania usprawiedliwionych celów administratora. Odnosząc się do legalności przetwarzania danych osobowych, Sąd stwierdził, iż art. 23 ust. 1 pkt 1 przedmiotowej ustawy zezwala na przetwarzanie danych za zgodą osoby, której dane dotyczą, chyba, że chodzi o usunięcie jej danych. Zgoda taka ma charakter oświadczenia woli, co oznacza konieczność badania jej skuteczności z różnych punktów widzenia. Między innymi winna być ona wyraźna. Nie wystarczy zatem samo powiadomienie o zamiarze przetwarzania danych i brak sprzeciwu z drugiej strony. Zgoda nie musi być, co prawda, udzielona na piśmie, ale winna jasno i jednoznacznie prezentować wolę zainteresowanego i jej zakres. Udzielający zgody musi być przy tym zorientowany, o jakie dane i o jakie ich przetwarzanie chodzi, w tym zwłaszcza, do jakich celów. Sposób poinformowania musi być zrozumiały i nie może dotyczyć bliżej niedookreślonych czynności. Przetwarzanie i wykorzystanie danych powinno następować tylko w tym celu, dla którego zostały pozyskane i cel ten powinien być znany osobie, której dane dotyczą. Oznacza to obowiązek informowania o celu gromadzenia i zakaz zbierania danych na zapas, dla nieokreślonych lub niedających się określić celów. Natomiast działalność prowadzona dla celów marketingowych może być prowadzona bez zgody zainteresowanego, zgodnie z art. 23 ust. 1 pkt 5 przedmiotowej ustawy, jednakże winna wówczas odpowiadać bardziej restrykcyjnym warunkom. Przepis ten statuuje dwie przesłanki przetwarzania danych: pozytywną, polegającą na niezbędności przetwarzania danych osobowych dla realizacji prawnie określonych celów i negatywną – nienaruszalność przy tym praw i wolności obywatelskich. Zaś obie te przesłanki muszą być spełnione łącznie. Nie wystarczy już bowiem tylko, aby dane te były, w świetle art. 26 ust. 1 pkt 3 tej ustawy, merytorycznie poprawne i adekwatne do celów, ale muszą być one niezbędne do wypełnienia usprawiedliwionych celów administratora danych i nie mogą naruszać praw i wolności osoby, której dane dotyczą. Zaś zgodnie z art. 23 ust. 4 ustawy o ochronie danych osobowych, za prawnie usprawiedliwiony cel, o którym mowa w art. 23 ust. 1 pkt 2 tej ustawy, uważa się w szczególności: marketing bezpośredni własnych produktów lub dochodzenie roszczeń z tytułu prowadzonej działalności gospodarczej. Stąd, jeżeli dane przetwarzane są po wyrażeniu zgody, ale nie są adekwatne, nie mogą być legalizowane przesłanką z art. 23 ust. 1 pkt 5 tej ustawy. Oznacza to w konsekwencji, iż wynik oceny uzależniony będzie od tego, czy w sprawie przeważać będzie usprawiedliwiony interes administratora danych, czy osoby, której dane dotyczą. Interesy te mogą być ważone według różnych kryteriów. Można przetwarzać dane w oparciu o tę podstawę jedynie wówczas, gdy dopuszczenie do ich przetwarzania jest dla zainteresowanego korzystne w takim stopniu, iż nie zarzuci on administratorowi naruszenia swych praw i wolności. Dla Sądu I instancji, w rozpatrywanej sprawie, bezspornym jest, że Spółka już na etapie wstępnym miała obowiązek uzyskania zgody potencjalnego klienta na przetwarzanie danych osobowych. Brak takiej zgody uniemożliwiał ich gromadzenie i przetwarzanie. W ocenie Sądu, stosowana przez Spółkę praktyka była niezgodna z prawem. Osoba dzwoniąca nie wie na co zgodę wyraziła, dlatego uznać należy, iż opisane postępowanie było sprzeczne z art. 23 ust. 1 pkt 1 ustawy o ochronie danych osobowych. Również trudno dopatrywać się prawnie usprawiedliwionego celu w przetwarzaniu przez Spółkę danych osobowych osób, które chcą jedynie zapoznać się z ofertą Spółki. Natomiast przetwarzane dane muszą spełniać przesłankę pozyskania ich w sposób prawidłowy i powinny być adekwatne do prowadzonej działalności oraz wykorzystywane w celach marketingowych. Ponadto, zgodzono się z organem, że strona skarżąca nie prowadzi marketingu własnych produktów, czy też usług. Zatem po jej stronie nie wystąpiły przesłanki, legalizujące przetwarzanie przez nią danych osobowych. Od powyższego wyroku wniesiono skargę kasacyjną w której zarzucono naruszenie: A. Przepisów postępowania – które to uchybienia miały istotny wpływ na wynik sprawy: 1) naruszenie art. 141 § 4 ustawy – Prawo o postępowaniu przed sądami administracyjnymi poprzez brak odniesienia się do wszystkich zarzutów skargi skierowanej do Wojewódzkiego Sądu Administracyjnego w Warszawie, co uniemożliwia dokonanie kontroli międzyinstancyjnej orzeczenia a w szczególności poprzez brak odniesienia się do: – zarzutu naruszenia art. 23 ust. 1 pkt 3 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jedn. Dz.U. z 2002 r. Nr 101, poz. 926 ze zm.; dalej jako: "Ustawa") poprzez jego błędną wykładnię, tj. uznanie, iż przetwarzanie danych jest dopuszczalne na podstawie rzeczonego przepisu jedynie w wypadku wyrażenia "stanowczej propozycji zawarcia umowy" przez osobę, której dane dotyczą, – zarzutu naruszenia art. 8 ustawy Kodeks postępowania administracyjnego poprzez zakwestionowanie przez organ administracji podanego do publicznej wiadomości i zatwierdzonego przez Generalnego Inspektora Ochrony Danych Osobowych "Kodeksu Dobrych Praktyk w Zakresie Przetwarzania Danych Osobowych Stowarzyszenia Marketingu Bezpośredniego" jako wskazówki postępowania dla Spółki, przez co naruszona została zasada pogłębiania zaufania obywateli do organów administracji publicznej; 2) naruszenie art. 141 § 4 ustawy – Prawo o postępowaniu przed sądami administracyjnymi poprzez brak uzasadnienia przyjęcia za udowodnione tez mających kluczowe znaczenie dla rozstrzygnięcia sprawy, co uniemożliwia dokonanie kontroli międzyinstancyjnej orzeczenia, a w szczególności poprzez brak wyjaśnienia na jakiej podstawie Wojewódzki Sąd Administracyjny uznał, iż: – "bezspornym jest, że Spółka już na etapie wstępnym miała obowiązek uzyskania zgody potencjalnego klienta na przetwarzanie danych osobowych, a brak takiej zgody uniemożliwiał ich gromadzenie i przetwarzanie przez Spółkę" (str. 9 uzasadnienia wyroku z dnia 11 grudnia 2008 r.), – "trudno dopatrywać się prawnie usprawiedliwionego celu w przetwarzaniu przez Spółkę danych osobowych" (tamże – str. 10), – brak jest podstaw do uznania, że Spółka prowadzi marketing własnych produktów i usług (tamże – str. 10). B. Naruszenie prawa materialnego: 1) naruszenie art. 23 ust. 1 pkt 5 Ustawy poprzez jego błędną wykładnię polegającą na uznaniu, że: – podstawa przetwarzania danych sformułowana w tym przepisie nie znajduje zastosowania w przypadku Spółki, – brak jest prawnie usprawiedliwionego celu przetwarzania danych przez Spółkę, – jedyną przesłanką legalnego przetwarzania jest zgoda osoby, której dane dotyczą; 2) naruszenie art. 23 ust. 4 pkt 1 Ustawy poprzez jego błędną wykładnię polegającą na uznaniu, iż marketing usług i produktów świadczonych na podstawie umowy dealerskiej nie stanowi marketingu bezpośredniego własnych usług co prowadzi do nietrafnego uznania, iż nie istnieje podstawa do przetwarzania danych przez Spółkę bez zgody osoby, której dane dotyczą. Wniesiono o uchylenie w całości wyroku WSA z dnia 11 grudnia 2008 r., sygn. akt II SA/Wa 1061/08 i przekazanie sprawy do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie oraz o zasądzenie od strony przeciwnej na rzecz Spółki kosztów postępowania w niniejszej sprawie według norm przepisanych, wraz z kosztami zastępstwa przez radcę prawnego. W obszernym uzasadnieniu skargi kasacyjnej, po przytoczeniu stanu faktycznego wskazano, iż Wojewódzki Sąd nie odniósł się do wszystkich zarzutów skargi i w związku z tym uzasadnienie spełnia tylko częściowo wymogi wskazane w art. 141 § 1 Prawa o postępowaniu przed sądami administracyjnymi. W szczególności Sąd I Instancji nie rozważył zarzutu Spółki dotyczący naruszenia przez organ administracji art. 23 ust. 1 pkt 3 Ustawy poprzez jego błędną wykładnię, tj. uznanie, iż przetwarzanie danych jest dopuszczalne jedynie w wypadku wyrażenia "stanowczej propozycji zawarcia umowy" przez osobę, której dane dotyczą. Skarżąca wskazuje, iż powołany przepis nie formułuje przesłanki wyrażenia stanowczej propozycji zawarcia umowy wymagając wyłącznie, aby przetwarzanie danych odbywało się w ramach działań przed zawarciem umowy na żądanie osoby, której dane dotyczą. Zawarcie umowy ma być zamierzone lub co najmniej zakładane. Czynności Spółki zmierzające do i poprzedzające zawarcie umowy, polegające zwłaszcza na przygotowaniu zindywidualizowanej oferty bądź szeregu ofert dla konkretnego potencjalnego klienta Spółki, podejmowane są na wyraźne życzenie (żądanie) potencjalnego klienta i Spółka ma wszelkie podstawy, aby zakładać, że potencjalny klient ma wolę zawarcia umowy i zapytanie ofertowe traktować jako stanowczą propozycję jej zawarcia. W takich przypadkach podstawą przetwarzania danych osobowych przez Spółkę jest art. 23 ust. 1 pkt 3. Jednocześnie, wobec znaczenia gospodarczego umów zawieranych przez Spółkę, wartości sprzedawanych produktów oraz dla zapewnienia obsługi transakcji na najwyższym poziomie wymaganym przez klientów w sektorze, w którym działa, konieczne jest przetwarzanie elementarnych danych dotyczących m.in. potrzeb, preferencji i oczekiwań klientów – a tylko takie dane są przetwarzane przez Spółkę. W praktyce wyrażenie "stanowczej propozycji zawarcia umowy" bądź inicjuje proces wzajemnego dochodzenia przez strony przyszłej umowy do consensusu obejmującego essentialia negotii kontraktu, bądź też poprzedzone jest szeregiem czynności i działań (takich jak zasięganie informacji dot. indywidualnych preferencji i potrzeb potencjalnego klienta, przygotowywanie zindywidualizowanych ofert, prowadzenie w dobrej wierze negocjacji, ustalanie rabatów oraz bonusów udzielanych klientowi przy uwzględnieniu jego indywidualnych potrzeb i oczekiwań, zagwarantowania obsługi posprzedażnej odpowiadającej potrzebom potencjalnego klienta), które są podstawą ostatecznej decyzji o zawarciu przez klienta umowy. Dopiero wówczas, w wyniku opisanego procesu potencjalny klient podejmuje ostateczną i stanowczą decyzję o zawarciu umowy. Wstępne działania nakierowane na zawarcie umowy nie mają oczywiście charakteru działań pozornych czy pozbawionych doniosłości prawnej. W szczególności nie można zarzucić Spółce, iż nielegalnie, w nieuczciwy czy nieuprawniony (podstępny) sposób uzyskuje dane osobowe potencjalnego klienta zgłaszającego się do Spółki. Przy zastosowaniu interpretacji przedstawionej przez Generalnego Inspektora Ochrony Danych Osobowych, "bez wyraźnej zgody potencjalnego klienta", żaden z tych podmiotów nie mógłby przystąpić do przetwarzania danych osobowych w ramach szeroko pojmowanego marketingu i zapewnienia doinformowania potencjalnych klientów o ofertach handlowych, wobec czego nie miałby możliwości podjąć działań zmierzających do zawarcia umowy, w tym zwłaszcza przygotowania zindywidualizowanej oferty obejmującej w szczególności należyte i precyzyjne oznaczenie jej stron. Zatem przyjęcie, iż przetwarzanie danych możliwe jest dopiero po wyrażeniu "stanowczej propozycji zawarcia umowy" rozumianej, jako stanowcze wyrażenie woli zawarcia umowy – pojęcie "stanowczej propozycji zawarcia umowy" nie jest zdefiniowane w polskim systemie prawnym – byłoby równoznaczne z uznaniem art. 23 ust. 1 pkt 3 in fine Ustawy za zbędny, gdyż jego zastosowanie zostałoby ograniczone do sytuacji, w których do zawarcia umowy dochodzi w drodze prostego złożenia i przyjęcia oferty, podczas, gdy co do zasady, w sytuacji takiej w ogóle nie dochodzi do przetwarzania danych przed zawarciem umowy. W świetle powszechnie akceptowalnych reguł wykładni prawa interpretacja taka jest niedopuszczalna i nie można jej pogodzić z zasadą racjonalności ustawodawcy, leżącą u podstaw wykładni przepisów prawa. Ponadto Sąd I Instancji nie rozważył zarzutu Spółki dotyczącego naruszenia przez organ administracji art. 8 ustawy Kodeks postępowania administracyjnego, poprzez zakwestionowanie przez organ administracji podanego do publicznej wiadomości i zatwierdzonego przez Generalnego Inspektora Ochrony Danych Osobowych "Kodeksu Dobrych Praktyk w Zakresie Przetwarzania Danych Osobowych Stowarzyszenia Marketingu Bezpośredniego" jako wskazówki postępowania dla Spółki, przez co naruszona została zasada pogłębiania zaufania obywateli do organów administracji publicznej. Co do naruszenia prawa materialnego, nie podzielono, nieznajdującego oparcia w przepisach Ustawy i nieopatrzonego żadnym uzasadnieniem stwierdzenia Wojewódzkiego Sądu Administracyjnego, iż w rozpatrywanej sprawie bezspornym jest, że Spółka już na etapie wstępnym miała obowiązek uzyskania zgody potencjalnego klienta na przetwarzanie danych osobowych, gdyż dopuszczalne jest przetwarzanie danych osobowych bezpośrednio w oparciu o podstawę przewidzianą w art. 23 ust. 1 pkt 5 Ustawy, o ile łącznie wystąpią opisane poniżej warunki. Po pierwsze, przetwarzanie danych osobowych musi być niezbędne do realizacji przez administratora (lub odbiorcę) danych prawnie usprawiedliwionych celów a w przypadku Spółki bezsporne jest, że przetwarza ona przedmiotowe dane w ramach realizacji swojego podstawowego celu gospodarczego, jakim jest prowadzenie sprzedaży samochodów i związanych z tym usług sprzedażowych. Spełniona jest również przesłanka "niezbędności" przetwarzania osiągnięcia zakładanych celów danych, gdyż dane są adekwatne do osiągnięcia zakładanych celów. Nie ma też podstaw kwestionowania legalności marketingu prowadzonego przez Spółkę. Ponadto przetwarzanie danych nie może naruszać praw i wolności konstytucyjnych osoby, której te dane dotyczą i to ono przede wszystkim powinny być chronione na podstawie omawianej klauzuli. Dla skarżącej, zastrzeżenie o naruszaniu praw i wolności należy interpretować nie jako warunek nienaruszalności tych praw lecz jako wymóg, aby nie przeważały one nad prawnie uzasadnionym interesem administratora danych. Zaś co do Spółki, to nie ma podstaw do formułowania tezy, że przetwarzanie przez nią przedmiotowych danych narusza prawa i wolności osób, których dane dotyczą. W przedmiotowej sprawie Spółka przetwarzała dane osobowe na wyraźne żądanie zgłoszone przez potencjalnego klienta. W związku z tym, Wojewódzki Sąd Administracyjny dokonał błędnej wykładni art. 23 ust. 4 pkt 1 ustawy o ochronie danych osobowych polegającej na uznaniu, iż prowadzenie działalności na podstawie umowy dealerskiej nie mieści się w ramach marketingu własnych produktów lub usług. Sąd I instancji ograniczył się w tym zakresie jedynie do stwierdzenia, iż "należy zgodzić się z organem, że strona skarżąca nie prowadzi marketingu własnych produktów lub usług", nie przytaczając przy tym żadnych argumentów na poparcie tej tezy. Przesłanka przetwarzania danych w celu marketingu bezpośredniego własnych produktów i usług przewidziana stanowi jedynie przykład usprawiedliwionego celu i jako taka nie może być interpretowana jako zawężająca zakres upoważnienia do przetwarzania danych na podstawie art. 23 ust. 1 pkt 5 Ustawy. Zatem należy uznać, że Spółka spełnia przesłankę przetwarzania danych w celu marketingu bezpośredniego własnych produktów i usług, co zostało pominięte w rozważaniach Sądu I instancji. Przyjęcie interpretacji, zgodnie z którą za własne produkty uznaje się wyłącznie produkty wytworzone przez administratora ograniczyłoby zastosowanie przepisu 23 ust. 4 pkt 1 Ustawy do administratorów danych będących producentami (wytwórcami) towarów, nie znajduje uzasadnienia w wykładni literalnej, funkcjonalnej ani systemowej przepisów, natomiast w znaczący sposób utrudniałoby prowadzenie obrotu gospodarczego przez polskich przedsiębiorców oraz przetwarzanie danych ze względu na dobro osoby, której dane dotyczą (utrudniając jej dostęp do rzetelnej i pełnej informacji handlowej), co jest sprzeczne z art. 1 ust. 2 Ustawy. W tym zakresie, Spółka jest podmiotem niezależnym, który na podstawie umowy dealerskiej zobowiązuje się kupować i sprzedawać pojazdy samochodowe i inne towary, jako samodzielny przedsiębiorca działający we własnym imieniu i na własny rachunek, ponosząc samodzielnie pełne ryzyko prowadzonej działalności gospodarczej. Zgodnie z umową dealerską Spółka sprzedaje własne, tj. zakupione przez siebie od producenta samochody, stosując w swej działalności znak towarowy producenta na podstawie upoważnienia wynikającego z rzeczonej umowy. Co więcej, działania marketingowe Spółki dotyczą także usług Spółki świadczonych w ramach swojej działalności. W szczególności dotyczy to usług poprzedzających zawarcie umowy sprzedaży samochodu (w tym przeprowadzenie, na życzenie klienta, prezentacji pojazdu i przeprowadzenie ew. jazdy próbnej, które są realizowane przy zaangażowaniu nakładów i środków, w tym finansowych i osobowych Spółki), związanych z samym zakupem samochodu (w szczególności dokonania rejestracji pojazdu oraz aranżacji ubezpieczenia nabywanego pojazdu) oraz posprzedażowych (obejmujących szeroko rozumianą obsługę posprzedażną). Spółka w swych działaniach marketingowych dąży do utrwalenia swego wizerunku jako podmiotu zapewniającego kompleksową obsługę klientów na najwyższym, oczekiwanym przez klienta poziomie. Na marginesie można wskazać, że również w przypadku marketingu "cudzego" (prowadzonego na rzecz innego administratora danych, co nie zachodzi w przypadku przedstawionego modelu działania Spółki), w literaturze przedmiotu powszechnie wyrażany jest pogląd, iż przetwarzanie danych jest dopuszczalne na podstawie art. 23 ust. 1 pkt 5 Ustawy. Istotnego argumentu za taką interpretacją dostarcza m.in. przepis art. 32 ust. 1 pkt 8 Ustawy, w którym mowa jest o sprzeciwie wobec przetwarzania danych osobowych w celach marketingowych o ile owo przetwarzanie jest prowadzone na podstawie art. 23 ust. 1 pkt 4 lub 5 Ustawy. Powołany art. 32 ust. 1 pkt 8 Ustawy nie ogranicza zakresu swej regulacji do marketingu bezpośredniego własnych produktów lub usług administratora danych, co oznacza, iż ustawodawca dopuszcza możliwość przetwarzania danych osobowych w oparciu o normę art. 23 ust. 1 pkt 5 w szeroko rozumianych celach marketingowych. Rzeczona wykładnia autentyczna regulacji art. 23 ust. 1 pkt 5 w zw. z art. 23 ust. 4 pkt 1 i art. 32 ust. 1 pkt 8 Ustawy nie została zastosowana ani uwzględniona przez Sąd I Instancji. W dopowiedzi na skargę kasacyjną wniesiono o jej oddalenie. Naczelny Sąd Administracyjny, zważył co następuje: Należy zgodzić się z zarzutem skargi kasacyjnej, iż Wojewódzki Sąd Administracyjny w Warszawie nie odniósł się do wszystkich okoliczności podniesionych w skardze. Jednakże pomimo błędnego uzasadnienia orzeczenie odpowiada prawu. Słusznie bowiem Sąd I instancji uznał, że zaskarżona decyzja Generalnego Inspektora Danych Osobowych nie narusza prawa. Wskazać przy tym należy, iż wbrew zarzutowi skargi kasacyjnej sformułowanej w pkt A ppkt 2 sąd administracyjny nie prowadzi postępowania dowodowego i w związku z tym nie formułuje tez, które uznał za udowodnione. Wyjątek stanowi przeprowadzenie przez sąd administracyjny uzupełniającego dowodu z dokumentów w trybie art. 106 § 3 i 5 P.p.s.a., ale w niniejszej sprawie postępowanie takie nie było przeprowadzane. W ramach swoich kompetencji sąd administracyjny dokonuje legalności zaskarżonego aktu i w tym zakresie wyraża swoje stanowisko, które winno być uzasadnione. Tak jak to wskazano wyżej uzasadnienie zaskarżonego orzeczenia nie zawiera pogłębionej analizy wszystkich aspektów podniesionych w skardze co jednak nie zmienia faktu, iż wyrok odpowiada prawu. Nie są bowiem zasadne zarzuty skargi kasacyjnej dotyczące naruszenia przepisów prawa materialnego, tj. art. 23 ust. 1 pkt 3 i 5 oraz ust. 4 pkt 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jedn. Dz.U. z 2002 r. Nr 101, poz. 926 ze zm., zwanej dalej – ustawa). Bezsporny bowiem jest stan faktyczny dotyczący przetwarzania danych osób, które nie korzystały z jazdy próbnej bez ich zgody, o czym stanowi art. 23 ust. 1 pkt 1 ustawy. Zdaniem skarżącej Spółki nie musiała uzyskać takiej zgody bowiem przetwarzanie danych było konieczne m.in. do realizacji umowy, gdy osoba, której dane dotyczą jest jej stroną lub było niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą (art. 23 ust. 1 pkt 3 ustawy). Jednakże skarżąca w żaden sposób nie wykazała, aby faktycznie zachodziły przesłanki uzasadniające zastosowanie wskazanego przepisu. Argumentacja, iż osoba, dla której przygotowuje się zindywidualizowaną ofertę może być potencjalną stroną umowy kupna-sprzedaży, nie znajduje oparcia w powołanym przepisie. Przede wszystkim przepis ten odnosi się do "realizacji umowy", a więc do sytuacji, w której do takiej umowy już doszło, a jedynie pozostaje kwestia jej wykonania. Drugi człon tego przepisu przewiduje sytuację w której dana osoba wyraziła wolę zawarcia umowy, ale z uwagi na konieczność podjęcia określonych działań, to na tym etapie nie może jeszcze dojść do jej zawarcia. Będzie to miało miejsce w trakcie różnych procedur prowadzących do zawarcia określonej umowy, takich jak np. postępowanie przetargowe, konkursowe, czy też w sytuacji gdy dochodzi do umowy przedwstępnej. Jak to podkreślono wyżej, ustawodawca posługuje się tutaj pojęciem "żądanie", a więc sytuacją, w której dana osoba w sposób jednoznaczny określa swoją wolę. Gdy brak jest tej woli, to przetwarzanie danych nie może być dokonane na podstawie powyższej przesłanki. Przygotowywanie ofert sprzedaży nie stanowi więc działań przed zawarciem umowy, o których mowa w pkt 3 ust. 1 art. 23 ustawy, jeżeli osoba, której dane są przetwarzane nie wyraziła woli zawarcia umowy kupna-sprzedaży i nie żądała podjęcia takich działań. Ma ono charakter marketingowy i w takiej sytuacji przetwarzanie danych jest dopuszczalne gdy osoba, której dane dotyczą wyrazi na to zgodę, bądź jeżeli zachodzi przesłanka z pkt 5 ust. 1 art. 23 ustawy. Należy przy tym podnieść, iż skarżąca przetwarzanie danych bez zgody osoby, której one dotyczą uzasadniała zarówno istnieniem przesłanek z art. 23 ust. 1 pkt 3 ustawy, jak i istnieniem przesłanki z pkt 5 tej ustawy. Jednakże, jak to zasadnie uznał Sąd I instancji w niniejszej sprawie nie zachodzi również przesłanka określona w art. 23 ust. 1 pkt 1 w zw. z art. 23 ust. 4 pkt 1 ustawy. Nie jest bowiem zasadny zarzut błędnej wykładni powołanych wyżej przepisów. Przepis art. 23 ust. 1 pkt 5 ustawy dopuszcza przetwarzanie danych gdy jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dotyczy. Sąd I instancji dokonał prawidłowej jego analizy. Dodać należy, iż zastosowanie tego przepisu będzie możliwe jeżeli zostaną spełnione kumulatywnie dwie przesłanki – po pierwsze – przetwarzanie danych jest niezbędne do wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratora danych albo odbiorców danych i po drugie – przetwarzanie to nie narusza praw i wolności osoby, której dotyczą. Tak jak to wskazano wyżej te przesłanki muszą wystąpić kumulatywnie, bo w przypadku braku chociażby jednej z nich, przetwarzanie danych następuje z naruszeniem powyższego przepisu. W pierwszej kolejności należy odnieść się do przesłanki niezbędności przetwarzania danych do wypełnienia prawnie usprawiedliwionych celów. Niezbędność ta przejawia się zarówno w przetwarzaniu tylko takich danych, które są adekwatne do celu ich przetwarzania, jak i w konieczności ich przetwarzania, bez której niemożliwe byłoby wypełnienie prawnie usprawiedliwionych celów. Przesłanka niezbędności związana jest bezpośrednio z prawnie usprawiedliwionymi celami, dla których realizacji przetwarzane są dane. Ustalając bowiem te prawnie usprawiedliwione cele można dopiero dokonać oceny, czy przetwarzane dane są faktycznie niezbędne dla ich realizacji. Ustawodawca w ust. 4 art. 23 ustawy wskazał co w szczególności należy uznać za prawnie usprawiedliwiony cel, o którym mowa w ust. 1 pkt 5 tego przepisu. Takim celem określonym w pkt 1 ust. 4 jest marketing bezpośredni własnych produktów lub usług administratora danych. Zdaniem skarżącej Spółki właśnie ten cel uzasadniał przetwarzanie danych. Stwierdzić należy, iż stanowisko skarżącej w tym zakresie nie jest zasadne. Przepis ten odwołuje się w sposób jednoznaczny do "własnych produktów i usług". natomiast zakwestionowane przez Generalnego Inspektora Ochrony Danych Osobowych dane dotyczą osób zainteresowanych zakupem samochodu i w takiej bazie były umieszczone – bazie marketingowej (sprzedażowa). Tak więc dane te były przetwarzane w celach marketingowych sprzedaży samochodów marki Mercedes-Benz. Fakt, iż Spółka jest dealerem samochodów tej marki i prowadzi działalność gospodarczą na własne ryzyko nie oznacza, iż realizuje marketing bezpośredni własnych produktów. Spółka jest jedynie dystrybutorem samochodów marki Mercedes-Benz co wynika jednoznacznie z pkt 1 umowy dealerskiej, a więc nie producentem tych samochodów. Zarówno dystrybucję samochodów, reklamę jak i promocję tej marki prowadzi posługując się znakiem firmy producenta. Zresztą sama skarżąca nie kwestionuje tego faktu. Natomiast prezentuje pogląd, iż do uznania produktu za własny wystarczy fakt, że jest on rozpowszechniany w ramach własnej działalności administratora danych nie zaś na rzecz innego administratora danych. Taka interpretacja powołanego przepisu nie jest uprawniona. Ustawodawca wprowadzając do ustawy powołany przepis ust. 4 art. 23 sprecyzował pojęcie "prawnie usprawiedliwionego celu", o którym mowa w ust. 1 pkt 5. Pkt 1 ust. 4 odnosi się do marketingu bezpośredniego własnych produktów lub usług. Posługuje się pojęciem "własny produkt", a nie "produkt lub usługa", czy też "towar". Odnosząc to do wyrażonego wyżej poglądu skarżącej, wskazać należy, iż w ramach własnej działalności może być rozpowszechniany "towar" lub ew. "produkt", ale przez to ten towar lub produkt nie staje się "produktem własnym" w rozumieniu pkt 1 ust. 4 art. 23. Odmienna interpretacja przeczyłaby racjonalności ustawodawcy, bowiem w ogóle zbędne byłoby precyzowanie, że marketing bezpośredni dotyczy własnych produktów lub usług. Dodać należy, iż z umowy dealerskiej (w aktach sprawy znajduje się jej niekompletny tekst) wynika, iż działalność m.in. marketingowa Spółki prowadzona jest w ramach tej umowy i ma na celu, ogólnie rzecz ujmując, promocję marki Mercedes-Benz, ale nie jako marki własnej Spółki. Na marginesie należy tylko zauważyć, że z przedmiotowej umowy i jej załączników wynika, iż Spółka zobligowana jest pozyskać dane osobowe w celach marketingowych po uzyskaniu zgody osoby, której dane maja być przetwarzane. Reasumując stwierdzić należy, iż zarzut naruszenia przez Sąd I instancji przepisu art. 23 ust. 1 pkt 5 oraz ust. 4 pkt 1 ustawy nie jest zasadny. Prawidłowo bowiem Sąd uznał, iż nie zachodzi przesłanka uzasadniająca przetwarzanie danych w celach marketingowych określona w powołanych przepisach. Odnosząc się do zarzutu skargi kasacyjnej dotyczącego niezastosowania przez organ przepisów "Kodeksu Dobrych Praktyk Stowarzyszenia Marketingu Bezpośredniego w zakresie ochrony danych osobowych" stwierdzić należy, iż kodeks ten jest porozumieniem zawartym pomiędzy Głównym Inspektorem Ochrony Danych Osobowych a Stowarzyszeniem Marketingu Bezpośredniego w celu wspólnego działania na rzecz poprawy poziomu ochrony danych osobowych. Porozumienie to nie ma charakteru normatywnego i nie może stanowić podstawy decyzji administracyjnej. Wprawdzie skarżąca Spółka nie wskazała na czym miałoby polegać naruszenie zapisów tego porozumienia, ale jego treść koresponduje całkowicie z przepisami ustawy o ochronie danych osobowych i nie zawiera żadnych nowych rozwiązań w tym zakresie. Z tych wszystkich względów uznając, że skarga kasacyjna nie może odnieść zamierzonego skutku, bowiem pomimo częściowo błędnego uzasadnienia wyrok Sądu I instancji odpowiada prawu, Naczelny Sąd Administracyjny na mocy art. 184 ustawy o postępowaniu przed sądami administracyjnymi orzekł jak w sentencji wyroku.