II SA/Wa 1072/25

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Sławomir Antoniuk, Sędzia WSA Andrzej Góraj, Asesor WSA Anna Pośpiech-Kłak (spr.), Protokolant specjalista Joanna Głowala po rozpoznaniu na rozprawie w dniu 28 października 2025 r. sprawy ze skargi K. Sp. k. z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] kwietnia 2025 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę Prezes Urzędu Ochrony Danych Osobowych, zw. dalej "PUODO", decyzją z dnia [...] kwietnia 2025 r. nr [...], na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. 2024 r. poz. 572), zw. dalej "k.p.a." w zw. z art. 7 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781), art. 6 ust. 1, art. 21 ust. 2 i 3 oraz art. 58 ust. 2 lit. b rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z dnia 4 maja 2016 r., str. 1, Dz. Urz. UE L 127 z dnia 23 maja 2018 r., str. 2 oraz Dz. Urz. UE L 74 z dnia 4 marca 2021 r., str. 35), zw. dalej "rozporządzeniem 2016/679", po przeprowadzeniu postępowania administracyjnego w sprawie P. B., zw. dalej "skarżącym" dot. nieprawidłowości w procesie przetwarzania jego danych osobowych przez [...] Spółkę komandytową z siedzibą w [...], zw. dalej "Spółką", polegające na przetwarzaniu jego danych osobowych w celu marketingu bezpośredniego bez podstawy prawnej oraz niespełnieniu jego żądania w zakresie zaprzestania przetwarzania jego danych osobowych w tych celach, udzielił upomnienia Spółce, za naruszenie art. 6 ust. 1 rozporządzenia 2016/679, polegające na przetwarzaniu danych osobowych P. B. w dniach: [...] lipca 2019 r., [...] listopada 2019 r., [...] marca 2020 r., [...] kwietnia 2020 r., [...] kwietnia 2020 r., [...] kwietnia 2020 r., [...] kwietnia 2020 r., dwukrotnie w dniu [...] kwietnia 2020 r. oraz dwukrotnie w dniu [...] kwietnia 2020 r. z wykorzystaniem poczty elektronicznej na potrzeby marketingu bezpośredniego, bez podstawy prawnej. Powyższe rozstrzygnięcie zostało podjęte w następującym stanie faktycznym i prawnym sprawy: PUODO wskazał, że skarga dotyczyła nieprawidłowości w procesie przetwarzania danych osobowych skarżącego przez Spółkę w celu marketingu bezpośredniego bez podstawy prawnej oraz niespełnienia żądania zaprzestania tego przetwarzania. Skarżący w treści skargi wskazał, że od dnia [...] lipca 2019 r. Spółka kierowała na jego adres e-mail [...], wykorzystywany w ramach prowadzonej kancelarii radcy prawnego, niezamówioną korespondencję marketingową. Wobec tego skarżący, bezskutecznie, czterokrotnie (w dniach [...] lipca 2019 r., [...] listopada 2019 r., [...] marca 2020 r. oraz [...] kwietnia 2020 r.) występował do Spółki z wnioskami o zaprzestanie przesyłania korespondencji marketingowej oraz o usunięcie jego danych z baz tego podmiotu. Na potwierdzenie swoich twierdzeń, do skargi dołączył kopie korespondencji z dnia [...] lipca 2019 r., [...] listopada 2019 r., [...] marca 2020 r., [...] kwietnia 2020 r., [...] kwietnia 2020 r., [...] kwietnia 2020 r., dwukrotnie [...] kwietnia 2020 r., [...] kwietnia 2020 r., oraz dwukrotnie [...] kwietnia 2020 r. W przesyłanych wiadomościach Spółka wskazywała m.in. na zakres swojej działalności, zachęcała do skorzystania z jej usług, zawierając przy tym swoje dane kontaktowe albo, w przypadku wiadomości z dnia [...] kwietnia 2020 r., dołączony newsletter tego podmiotu Spółka zaś podniosła, że nigdy nie była w posiadaniu danych osobowych skarżącego, w szczególności nigdy nie przetwarzała jego imienia i nazwiska, adresu czy innych danych osobowych. Jedyną informacją używaną przez Spółkę był adres e-mail: [...]. Utrzymywała, że adres ten nie stanowił danych osobowych skarżącego, lecz był jedynie mailem służącym do kontaktu z kancelarią prawną prowadzoną przez niego. Spółka twierdziła, że pozyskała i przetwarzała dane osobowe skarżącego jedynie w zakresie jego adresu e-mail: [...], ze strony internetowej [...], która funkcjonowała w ramach kancelarii skarżącego, w celu wysyłania materiałów informacyjnych (newsletterów). W ocenie Spółki, przesyłana korespondencja nie miała charakteru marketingu bezpośredniego, lecz stanowiła wyłącznie materiały informacyjne dotyczące branżowych nowości związanych z działalnością tego podmiotu. Jednocześnie, Spółka wskazywała, że skrzynka [...], z której wysyłano te wiadomości, została utworzona w celu szerzenia kultury prawnej w społeczeństwie. Ponadto, Spółka zaznaczyła, że nie udzieliła skarżącemu odpowiedzi na jego żądania o zaprzestanie przetwarzania danych w celach marketingowych, jednakże usunęła adres e-mail skarżącego ze swojej bazy. Po zapoznaniu się z materiałem dowodowym, PUODO stwierdził, że stanowisko Spółki, iż adres e-mail [...] nie stanowi danych osobowych skarżącego, wymagało oceny w świetle przepisów rozporządzenia 2016/679. Zgodnie z art. 4 pkt 1 tego rozporządzenia, dane osobowe to informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej. W ocenie PUODO, adres e-mail zawierający nazwisko skarżącego, pozyskany ze strony internetowej, mógł stanowić dane osobowe tej osoby, ponieważ umożliwiał identyfikację skarżącego w kontekście jego działalności zawodowej i kancelarii. W dalszej części, PUODO przypomniał, że definicja marketingu obejmuje działania zmierzające do promocji produktów lub usług, niezależnie od bezpośredniego zysku, w tym także działania mające na celu budowanie wizerunku podmiotu. W odniesieniu do przesłanej korespondencji, uznał, że wiadomości wysyłane do skarżącego zawierały elementy mające charakter działań marketingowych, takie jak opis działalności, zachęta do skorzystania z usług oraz dane kontaktowe, co świadczyło o ich charakterze marketingowym. PUODO podkreślił, że przesyłanie takich wiadomości bez zgody skarżącego, pomimo jego sprzeciwu i żądań o zaprzestanie, stanowiło naruszenie przepisów rozporządzenia 2016/679, w tym art. 6 ust. 1 lit. a i f. oraz art. 21. Skarżący czterokrotnie żądał zaprzestania przetwarzania jego danych w celach marketingowych, a Spółka nie udzieliła odpowiedzi na te żądania, co więcej nadal kierowała do niego wiadomości marketingowe. Z zebranego w sprawie materiału wynikało również, że Spółka nie posiadała zgody skarżącego, o której mowa w art. 10 ust. 2 ustawy o świadczeniu usług drogą elektroniczną, na kierowanie do niego ofert marketingowych, na jego adres e-mail. Wprawdzie skarżący swój adres e-mail [...] (który pozwalał również identyfikować go jako osobę fizyczną) udostępniał innym podmiotom na potrzeby prowadzenia przez niego kancelarii radcy prawnego, ale nie upoważniało to innych podmiotów do przesyłania materiałów marketingowych na ten adres. Tym samym przetwarzanie przez Spółkę danych osobowych Skarżącego na potrzeby marketingu bezpośredniego było niedopuszczalne i nie miało oparcia w żadnej przesłance legalizującej, określonej w art. 6 ust. 1 rozporządzenia 2016/679. Ponadto, Spółka kierowała do skarżącego oferty marketingowe na jego adres e-mail, pomimo wyrażonego przez niego sprzeciwu wobec przetwarzania jego danych osobowych na potrzeby marketingu bezpośredniego. W oparciu o materiał dowodowy zebrany w sprawie PUODO uznał, że skarżący czterokrotnie (tj. w dniach [...] lipca 2019 r., [...] listopada 2019 r., [...] marca 2020 r. oraz [...] kwietnia 2020 r.) występował drogą elektroniczną, na adres e-mail, z którego Spółka przesyłała mu wiadomości marketingowe, o zaprzestanie przetwarzania jego danych osobowych w celu marketingu bezpośredniego. Spółka nie udzieliła odpowiedzi na powyższe żądania Skarżącego, w dalszym ciągu przesyłała niezamówioną korespondencję marketingową na jego adres e-mail, dopiero po przesłaniu przedmiotowej skargi do organu nadzorczego, podmiot ten w swoich wyjaśnieniach poinformował o usunięciu tego adresu z bazy adresowej. Materiał dowodowy zgromadzony w przedmiotowej sprawie potwierdził nieprawidłowości w procesie przetwarzania danych osobowych skarżącego w celach marketingowych. Niemniej jednak ww. przetwarzanie nie było obecnie kontynuowane. W związku z powyższym PUODO, korzystając z przysługującego mu uprawnienia określonego w art. 58 ust. 2 lit. b RODO, udzielił Spółce upomnienia w zakresie stwierdzonego naruszenia przepisów ochrony danych osobowych, tj. art. 6 ust. 1 RODO. Skargę na decyzję PUODO wniosła Spółka, zaskarżając ją w całości. Zrzuciła jej naruszenie: - art. 7 k.p.a. w zw. z art. 77 § 1 k.p.a. poprzez zaniechanie przeprowadzenia pełnego postępowania dowodowego, polegające na pominięciu trzech pism datowanych na: [...] października 2020 r., [...] lipca 2021 r. oraz [...] lutego 2022 r" w tym załączonego do ostatniego z nich prawomocnego postanowienia Sądu Rejonowego [...] z dnia [...] listopada 2021 r. (sygn. akt: [...]), czego skutkiem było niewyczerpujące ustalenie stanu faktycznego i błędne przyjęcie, że imienny adres firmowy [...] identyfikuje "osobę fizyczną", podczas gdy z dowodów wynika jego publiczny i zawodowy charakter; - art. 12 § 1 k.p.a. w zw. z art. 35 § 3 k.p.a. poprzez prowadzenie postępowania przez niemal 60 miesięcy, podczas gdy przepisy postępowania administracyjnego jak również RODO wymagają rozpatrzenia skargi "bez zbędnej zwłoki, nie później niż wciągu trzech miesięcy", oraz zaniechanie wydania postanowień o przedłużeniu terminu z podaniem uzasadnionych przyczyn i nowych terminów, co naruszyło zasadę szybkości i pewności prawa oraz mogło wypaczyć aktualność ustaleń faktycznych (przy czym w uzasadnieniu decyzji brak jest jakichkolwiek wskazań o tym, by Spółka została skutecznie zawiadomiona o przedłużeniu terminu, co narusza art. 35 § 3 i 5 k.p.a.); - art. 104 § 1 i § 2 k.p.a. w zw. z art. 6 ust. 1 lit. f i art. 21 RODO oraz motywem 47 RODO poprzez nierozstrzygnięcie w całości co do istoty sprawy, tj. pominięcie oceny zgodności przetwarzania danych z prawnie uzasadnionym interesem administratora (dystrybucja treści eksperckich [...]), brak przeprowadzenia wymaganego testu równowagi interesów, co doprowadziło do błędnej kwalifikacji newslettera jako marketingu bezpośredniego i wadliwego zastosowania środka z art. 58 ust. 2 lit. b RODO; - art. 8 k.p.a. poprzez prowadzenie postępowania w sposób naruszający zasady zaufania i lojalności polegający na odejściu od utrwalonej linii orzeczniczej sądów administracyjnych, która nie uznaje adresów e-mail wykorzystywanych w obrocie profesjonalnym jako adresy spełniające definicję danych osobowych, o której mowa w art. 4 pkt 1 RODO, bez przedstawienia przekonującego uzasadnienia takiej zmiany stanowiska, co narusza zasadę przewidywalności działań organów i prowadzi do nierównego traktowania administratorów; - art. 4 pkt 1 RODO poprzez błędne uznanie, że firmowy adres e-mail [...] identyfikuje "osobę fizyczną" i jako taki stanowi danę osobową podczas gdy skrzynka funkcjonuje wyłącznie jako oficjalny kanał kontaktu kancelarii radcy prawnego wpisanej do CEIDG i rejestru doradców restrukturyzacyjnych już z samej treści domeny ("[...]") i ze stron www wynika, że odnosi się do podmiotu profesjonalnego, a nie do prywatnej sfery osoby fizycznej, co w konsekwencji oznacza rozszerzenie zakresu stosowania przepisów RODO w sposób nieproporcjonalny, paraliżujący zwykłą komunikację gospodarczą, co jest sprzeczne z zasadą minimalizacji ingerencji w sferę praw i wolności; - art. 189g § 1 k.p.a. w zw. z art. 2 Konstytucji oraz motywu 129 RODO poprzez nałożenie środka represyjnego w postaci upomnienia po upływie pięciu lat od daty zarzucanych naruszeń datowanych na dzień: [...] lipca 2019 r. [...] listopada 2019 r., [...] marca 2020 r., [...] kwietnia 2020 r., [...] kwietnia 2020 r., [...] kwietnia 2020 r., [...] kwietnia 2020 r. dwukrotnie w dniu [...] kwietnia 2020 r. oraz dwukrotnie w dniu [...] kwietnia 2020 r. Wskazując na te zarzuty Spółka wniosła o uchylenie zaskarżonej decyzji w całości oraz zwrot kosztów postępowania według norm przypisanych. W uzasadnieniu skargi Spółka wskazała, że jedną z podstawowych zasad postępowania administracyjnego jest zasada prawdy obiektywnej, wyrażona w art. 7 k.p.a., nakładająca obowiązek organów dokładnego wyjaśnienia stanu faktycznego i załatwienia sprawy zgodnie z interesem społecznym i obywateli. Przepis art. 77 § 1 k.p.a. zobowiązuje do wyczerpującego zebrania i rozpatrzenia całego materiału dowodowego. W sprawie PUODO rażąco narusza te przepisy bowiem pominął trzy kluczowe pisma procesowe strony, zawierające stanowiska i dowód w postaci prawomocnego postanowienia sądu, które jednoznacznie potwierdzało, że adres e-mail służył działalności gospodarczej i nie podlegał ochronie cywilnoprawnej. Pominięcie tego materiału dowodowego jest naruszeniem zasady prawdy materialnej i obowiązku działania z urzędu. Zdaniem skarżącego organ ograniczył się do oceny dowodów od skarżącego, nie analizując stanowiska administratora danych, jego argumentacji ani wniosków dowodowych, nie wydając w tym zakresie postanowienia ani nie odnosząc się do nich w uzasadnieniu decyzji, co narusza art. 77 § 1 i art. 10 § 1 k.p.a. Prawidłowe ustalenie stanu faktycznego jest warunkiem koniecznym do trafnej kwalifikacji prawnej. Bez analizy kontekstu, celu przetwarzania, charakteru adresu e-mail i roli odbiorcy, organ nie może zastosować art. 6 ust. 1 lit. f RODO ani odnieść się do art. 21 ust. 1 RODO. Brak odniesienia do prawomocnego postanowienia sądu jest szczególnie dotkliwy, gdyż orzeczenie to, choć formalnie nie wiąże organu, ma prejudycjalne znaczenie. Ponadto, Spółka konsekwentnie wnosiła o uwzględnienie dowodów i analizę zgodnie z art. 6 ust. 1 lit. f RODO, ale PUODO nie odpowiedział na te wnioski ani nie uzasadnił ich nieuwzględnienia, naruszając art. 78 § 1 i art. 107 § 3 k.p.a. Prawidłowe zaś ustalenie stanu faktycznego jest podstawą do prawidłowej kwalifikacji prawnej. Analiza powinna obejmować kontekst, cel przetwarzania, charakter adresu e-mail i rolę odbiorcy (czy był osobą prywatną, czy przedsiębiorcą). Bez tego organ nie może poprawnie zastosować przepisów RODO. PUODO był zobowiązany do ustalenia, czy zachodziły przesłanki art. 6 ust. 1 lit. f RODO, przeprowadzenia oceny równowagi interesów i uwzględnienia sprzeciwu osoby, której dane dotyczą. Zamiast tego, decyzja oparta była na uproszczonych założeniach, bez szczegółowej analizy, co uniemożliwia kontrolę legalności rozstrzygnięcia. Decyzja nie zawiera pełnego rozstrzygnięcia co do istoty sprawy, a organ nie przeprowadził pogłębionej analizy interesów stron, co narusza art. 104 § 1 i § 2 k.p.a. Ograniczenie się do schematycznej kwalifikacji jako "bezpodstawne" jest niewystarczające i uniemożliwia kontrolę sądu. Błędnie uznano, że adres e-mail [...] jest daną osobową (art. 4 pkt 1 RODO). W rzeczywistości nie identyfikuje on żadnej osoby fizycznej, lecz odnosi się do podmiotu gospodarczego, kancelarii wpisanej do CEIDG i rejestru doradców. Nie zawiera danych umożliwiających identyfikację osoby fizycznej, a jego użycie jako danych osobowych jest nieuzasadnione i narusza zasadę proporcjonalności, minimalizacji i adekwatności. Ponadto, zastosowanie środka represyjnego (upomnienia) po upływie pięciu lat od zdarzeń jest niezgodne z art. 189g § 1 k.p.a., który wyraźnie stanowi, że sankcje nie mogą być nakładane po tym terminie. Organ nie wykazał, aby naruszenia miały charakter ciągły lub skutki utrzymywały się do czasu wydania decyzji. Zatem nałożenie upomnienia jest bezprawne i narusza standardy konstytucyjne, w tym zasadę pewności prawa i ochrony przed nieuzasadnionym działaniem organów. W odpowiedzi na skargę PUODO, podtrzymując dotychczasową argumentację, wniósł o jej oddalenie. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: W pierwszej kolejności należy przypomnieć, że zamknięty katalog przesłanek dopuszczalności przetwarzania danych osobowych określa art. 6 ust. 1 RODO. Stosownie do treści tego przepisu, przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy - i w takim zakresie, w jakim - spełniony jest co najmniej jeden z poniższych warunków: a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów; b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy; c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze; d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej; e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi; f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Zgodnie zaś z art. 4 pkt 1 RODO "dane osobowe" oznaczają wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej ("osoby, której dane dotyczą"). Osoba ta, zwana również "osobą, której dane dotyczą", może zostać zidentyfikowana bezpośrednio lub pośrednio, w szczególności na podstawie takich identyfikatorów jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy czy też jeden lub kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość danej osoby. W świetle powyższych regulacji, jeśli w nazwie adresu e-mail znajdują się informacje umożliwiające identyfikację konkretnej osoby, to taki adres będzie stanowił dane osobowe tej osoby. Motyw 26 rozporządzenia 2016/679 podkreśla, że kluczowe znaczenie ma termin "możliwa do zidentyfikowania". Zgodnie z tym motywem, aby stwierdzić, czy dana osoba fizyczna jest możliwa do zidentyfikowania, należy uwzględnić wszelkie rozsądnie prawdopodobne sposoby, które mogą zostać wykorzystane przez administratora lub inną osobę w celu bezpośredniego lub pośredniego zidentyfikowania tej osoby. Nie wystarczy sama hipotetyczna możliwość identyfikacji – konieczne jest, aby taka możliwość istniała w rzeczywistości i była racjonalnie prawdopodobna, biorąc pod uwagę dostępne środki, czas, koszty oraz technologię. Oznacza to, że jeśli z analizy wszystkich obiektywnych czynników wynika, iż identyfikacja jest nieprawdopodobna lub zbyt kosztowna, osoba nie powinna być uznana za możliwą do zidentyfikowania, a informacje nie będą traktowane jako dane osobowe. Ważne jest również, aby przy ocenie możliwości identyfikacji brać pod uwagę sposób zorganizowania przetwarzania danych, korzyści dla administratora, interesy osób fizycznych, a także potencjalne ryzyko naruszenia poufności, funkcjonowania organizacji czy awarii technicznych. Ponadto, test możliwości zidentyfikowania powinien uwzględniać stan technologii dostępnej w momencie przetwarzania danych, jak również postęp technologiczny w okresie ich przetwarzania. Przenosząc powyższe rozważania na grunt niniejszej sprawy, PUODO właściwie stwierdził, że adres e-mail, jak i imię w połączeniu z tym adresem, mogą być uznane za dane osobowe wyłącznie wtedy, gdy istnieje możliwość zidentyfikowania na ich podstawie konkretnej osoby fizycznej. Adres e-mail jest powiązany z usługą dostarczania i wysyłania wiadomości za pomocą sieci telekomunikacyjnej, a jego powstanie wiąże się z rejestracją danych użytkownika u operatora lub dostawcy usług pocztowych. W celu oceny, czy dany adres e-mail stanowi dane osobowe, konieczna jest analiza wszelkich dostępnych informacji powiązanych z tym adresem, takich jak IP komputera, dane osobowe pozyskane podczas rejestracji czy inne powiązane dane. Analiza ta może wykazać, że istnieje możliwość bezpośredniej lub pośredniej identyfikacji osoby korzystającej z tego adresu. Niewątpliwie, istnieje zatem potencjał do zidentyfikowania osoby będącej użytkownikiem danego adresu e-mail. Kluczowym kryterium ułatwiającym uznanie adresu e-mail za dane osobowe jest jego treść, na przykład zawierająca imię i nazwisko lub ich skrót. W takich przypadkach identyfikacja konkretnej osoby jest bezproblemowa i wymaga minimalnych nakładów pracy lub kosztów. Jednakże, nie można wykluczyć, że także adres e-mail, który nie zawiera bezpośrednich danych identyfikujących, może umożliwiać identyfikację osoby fizycznej, jeśli jest przetwarzany w połączeniu z innymi informacjami, takimi jak imię, nazwisko czy numer telefonu. W odniesieniu do niniejszej sprawy, należy podkreślić, że adres e-mail, na który Spółka przesyłała informacje marketingowe, zawiera nazwisko skarżącego. W związku z tym, wbrew argumentacji przedstawionej w skardze, PUODO prawidłowo ustalił stan faktyczny i uznał ten adres za dane osobowe skarżącego. Nie ma przy tym znaczenia, że adres ten był wykorzystywany w celach zawodowych - w świetle obowiązujących przepisów, przesyłanie korespondencji marketingowej bez zgody osoby, której dane dotyczą, jest niedopuszczalne. W tym kontekście należy odwołać się do definicji "marketingu bezpośredniego" zawartej w rekomendacji R (85)20 Komitetu Ministrów dla Państw Członkowskich w sprawie ochrony danych osobowych używanych dla celów marketingu bezpośredniego Rady Europy "Ochrona danych osobowych wykorzystywanych dla potrzeb marketingu bezpośredniego" z dnia 25 października 1985 r. Zgodnie z tą definicją, "marketing bezpośredni" to ogół działań, a także wszelkich dotyczących go usług pomocniczych, umożliwiających oferowanie produktów lub usług bądź przekazywanie innych informacji do grupy ludności - za pośrednictwem poczty, telefonu lub innych bezpośrednich środków - w celach informacyjnych bądź w celu wywołania reakcji ze strony osoby, której dane dotyczą. W ocenie Sądu, w takim rozumieniu pojęcia marketingu bezpośredniego mieści się wysyłanie wiadomości e-mail zawierającej odnośniki do pobrania poradnika, newslettera lub przeglądu przepisów, ponieważ miało na celu wywoływanie określonej reakcji ze strony adresata. Stwierdzenie, iż przetwarzanie danych osobowych skarżącego odbywało się dla celów marketingu bezpośredniego ma o tyle istotne znaczenie, że zgodnie z art. 6 ust. 1 lit. f RODO, przetwarzanie jest zgodne z prawem, gdy jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. W świetle natomiast motywu 47 zd. 6 RODO, za działanie wykonywane w prawnie uzasadnionym interesie można uznać przetwarzanie danych osobowych do celów marketingu bezpośredniego. Taki prawnie uzasadniony interes może istnieć na przykład, gdy zachodzi istotny i odpowiedni rodzaj powiązania między osobą, której dane dotyczą, a administratorem, na przykład gdy osoba, której dane dotyczą, jest klientem administratora lub działa na jego rzecz. Jednakże aby stwierdzić istnienie prawnie uzasadnionego interesu, należałoby w każdym przypadku przeprowadzić dokładną ocenę, w tym ocenę tego, czy w czasie i w kontekście, w którym zbierane są dane osobowe, osoba, której dane dotyczą, ma rozsądne przesłanki by spodziewać się, że może nastąpić przetwarzanie danych w tym celu (vide motyw 47 zd. 1 - zd. 3 RODO). Natomiast w świetle dookreślającego i precyzującego przepisy RODO art. 172 ust. 1 ustawy Prawo telekomunikacyjne, zakazane jest używanie telekomunikacyjnych urządzeń końcowych i automatycznych systemów wywołujących dla celów marketingu bezpośredniego lub przesyłania niezamówionej informacji handlowej w rozumieniu ustawy z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną, chyba że abonent lub użytkownik końcowy uprzednio wyraził na to zgodę. Zgodnie zaś z art. 174 powołanej ustawy, do uzyskania zgody abonenta lub użytkownika końcowego stosuje się przepisy o ochronie danych osobowych. Dodatkowo jakkolwiek dystrybucja przez administratora danych w wiadomości e-mail może stanowić formę uzasadnionego interesu administratora danych na gruncie art. 6 ust. 1 lit. f RODO, to jednak, aby była ona zgodna z prawem, wymaga spełnienia warunku określonego w art. 10 ustawy o świadczeniu usług drogą elektroniczną. Tej korelacji Spółka zdaje się nie zauważać. Z kolei wedle motywu 32 zd. 1 RODO, zgoda powinna być wyrażona w drodze jednoznacznej, potwierdzającej czynności, która wyraża odnoszące się do określonej sytuacji dobrowolne, świadome i jednoznaczne przyzwolenie osoby, których dane dotyczą, na przetwarzanie dotyczących jej danych osobowych i która ma na przykład formę pisemnego (w tym elektronicznego) lub ustnego oświadczenia. Na gruncie przedmiotowej sprawy nie można mówić o zgodzie skarżącego na przetwarzanie jego danych osobowych w omawianym zakresie. Ta okoliczność nie jest sporna w sprawie. Również i Spółka przyznała, że zgodą taką nie dysponuje. Zaznaczenia również wymaga, że w myśl art. 21 ust. 2 RODO, jeżeli dane osobowe są przetwarzane na potrzeby marketingu bezpośredniego, osoba, której dane dotyczą, ma prawo w dowolnym momencie wnieść sprzeciw wobec przetwarzania dotyczących jej danych osobowych na potrzeby takiego marketingu, w tym profilowania, w zakresie, w jakim przetwarzanie jest związane z takim marketingiem bezpośrednim. Jeżeli osoba, której dane dotyczą, wniesie sprzeciw wobec przetwarzania do celów marketingu bezpośredniego, danych osobowych nie wolno już przetwarzać do takich celów (art. 21 ust. 3 RODO). Złożenie sprzeciwu wobec przetwarzania do celów marketingu bezpośredniego oznacza, że administrator danych nie posiada uprawnień do przetwarzania w tym celu danych w żadnej formie, a nie tylko w formie, w której złożony został taki sprzeciw. Ponadto, w myśl art. 12 ust. 3 RODO, administrator bez zbędnej zwłoki - a w każdym razie w terminie miesiąca od otrzymania żądania - udziela osobie, której dane dotyczą, informacji o działaniach podjętych w związku z żądaniem na podstawie art. 15-22. W razie potrzeby termin ten można przedłużyć o kolejne dwa miesiące z uwagi na skomplikowany charakter żądania lub liczbę żądań. W terminie miesiąca od otrzymania żądania administrator informuje osobę, której dane dotyczą o takim przedłużeniu terminu, z podaniem przyczyn opóźnienia. Informacji udziela się na piśmie lub w inny sposób, w tym w stosownych przypadkach - elektronicznie. W świetle powyższego istotne jest również, że skarżący czterokrotnie zgłaszał sprzeciw (w dniach: [...] lipca 2019 r., [...] listopada 2019 r., [...] marca 2020 oraz [...] kwietnia 2020 r.) wobec przetwarzania jego danych osobowych w celach marketingowych. Spółka nie zareagowała na niego, w dalszym ciągu przesyłając niezamówioną korespondencję marketingową na adres e-mail skarżącego. Dopiero po przesłaniu skargi do organu nadzorczego Spółka usunęła ten adres z bazy adresowej. Sąd również zaznacza, że w wyroku Sądu Rejonowego [...] z dnia [...] listopada 2021 r. (sygn. akt [...]) nie dokonywano oceny adresu e-mail skarżącego jako jego danych osobowych, lecz rozstrzygnięcie dotyczyło kwestii wykroczenia z art. 24 ust. 1 ustawy o świadczeniu usług drogą elektroniczną, które nie miało miejsca w tym przypadku. Odnosząc się do zarzutu naruszenia zasady szybkości postępowania, Sąd zaznacza, że ewentualne uchybienie w tym zakresie mogłoby mieć wpływ na rozstrzygnięcie w odrębnym postępowaniu dotyczącym przewlekłości lub bezczynności organu nadzorczego. Jednakże, nie ma ono wpływu na merytoryczną ocenę prawidłowości zaskarżonej decyzji. Kolejnym istotnym aspektem jest zarzut podniesiony w skardze, dotyczący naruszenia art. 189g § 1 k.p.a., który określa termin przedawnienia do nałożenia administracyjnej kary finansowej. W tym zakresie Sąd podkreśla, że w rozpatrywanej sprawie wobec Spółki nie zastosowano środka naprawczego w postaci nałożenia kary, co wyklucza konieczność rozpatrywania tego zarzutu w kontekście przedawnienia. Podsumowując, PUODO trafnie stwierdził, że Spółka przetwarzała dane osobowe skarżącego bez podstawy prawnej w celach marketingowych, przez co naruszyła art. 6 ust. 1 RODO. Właściwe zatem było nałożenie na Spółkę kary upomnienia na podstawie art. 58 ust. 2 lit. b RODO, która jest karą najłagodniejszą. Z tych wszystkich względów, Wojewódzki Sąd Administracyjny w Warszawie, działając na podstawie art. 151 p.p.s.a., oddalił skargę.