II SA/Wa 1099/11

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Jacek Fronczyk (spr.) Sędziowie WSA Joanna Kube Sławomir Antoniuk Protokolant Sekretarz sądowy Sylwia Mikuła po rozpoznaniu na rozprawie w dniu 9 listopada 2011 r. sprawy ze skargi X. Sp. z o.o. z siedzibą w W. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] marca 2011 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę. Decyzją z dnia [...] grudnia 2010 r. nr [...] Generalny Inspektor Ochrony Danych Osobowych, mając za podstawę art. 104 § 1 i art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. – Kodeks postępowania administracyjnego (t. j.: Dz. U. z 2000 r. Nr 98, poz. 1071 ze zm.) oraz art. 12 pkt 2, art. 18 ust. 1 pkt 1 i art. 22 w związku z art. 7 pkt 5, art. 23 ust. 1 pkt 1 i art. 39 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t. j.: Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.), nakazał X. Spółce z o.o. z siedzibą w W. usunięcie uchybień w procesie przetwarzania danych osobowych, poprzez: 1. zapewnienie opcjonalności osobom zainteresowanym ofertą X. Sp. z o.o. z siedzibą w W. składającym oświadczenie o wyrażeniu zgody na przetwarzanie danych osobowych na kuponach dostępnych w punktach sprzedaży, odrębnie dla celów: sprzedaży produktów i usług Spółki i podmiotów współpracujących ze Spółką; prowadzenia działań marketingowych podejmowanych przez Spółkę samodzielnie lub we współpracy z innymi podmiotami; otrzymywania od Spółki oraz podmiotów z nią współpracujących informacji handlowych za pomocą środków komunikacji elektronicznej, w terminie jednego miesiąca od dnia, w którym decyzja stanie się ostateczna; 2. zapewnienie klientom możliwości złożenia oświadczenia o niewyrażeniu zgody na przetwarzanie danych dodatkowych w terminie jednego miesiąca od dnia, w którym decyzja stanie się ostateczna; 3. opracowanie ewidencji osób upoważnionych do przetwarzania danych osobowych w terminie jednego miesiąca od dnia, w którym decyzja stanie się ostateczna; zaś w pozostałym zakresie umorzył postępowanie w sprawie. W uzasadnieniu decyzji organ wyjaśnił, że w toku kontroli ustalono, iż osoby zainteresowane ofertą Spółki mogą wypełnić kupony dostępne w punktach sprzedaży, na których znajdują się oświadczenia o wyrażeniu zgody na przetwarzanie danych osobowych. Z treści powyższych klauzul wynika, iż po wyrażeniu zgody, dane będą przetwarzane w celu sprzedaży produktów i usług X. Sp. z o.o. i podmiotów współpracujących ze Spółką oraz w celu archiwizacji i prowadzenia działań marketingowych podejmowanych przez Spółkę samodzielnie lub we współpracy z innymi podmiotami, a także w celu otrzymywania od Spółki oraz podmiotów z nią współpracujących, informacji handlowych za pomocą środków komunikacji elektronicznej. Zdaniem Generalnego Inspektora, taki sposób pozyskiwania zgody na przetwarzanie danych osobowych nie umożliwia osobom, których dane dotyczą, dokonania wyboru oraz swobodnego wyrażenia zgody na przetwarzanie danych osobowych, bowiem osoba ta nie ma możliwości podjęcia decyzji, w jakim celu udziela zgody na przetwarzanie swoich danych osobowych. Ponadto, zdaniem GIODO, z oświadczenia dla osób indywidualnych wynika, iż klient oświadcza, że wyraził zgodę na przetwarzanie danych dodatkowych w celach określonych w treści Regulaminu świadczenia usług telekomunikacyjnych przez X. Sp. z.o.o. dla Abonentów. Oświadczenie to jest niezależne od czasu obowiązywania umowy o świadczenie usług telekomunikacyjnych, a jego treść wskazuje, że klient nie ma możliwości złożenia oświadczenia o innej treści, niż zgoda, bowiem nie umieszczono przy nim pól pozwalających na odznaczenie "tak" lub "nie". Organ podkreślił przy tym, że dane dodatkowe, o których mowa w art. 161 ust. 3 ustawy z dnia 16 lipca 2004 r. – Prawo telekomunikacyjne (Dz. U. Nr 171 poz. 1800 ze zm.), mogą być przetwarzane za zgodą osoby, której dotyczą. Z tych zatem względów, brak możliwości wyrażenia zgody na przetwarzanie danych osobowych stanowi naruszenie obowiązujących przepisów. Ponadto, podczas zawierania umowy, klient powinien posiadać informację, iż podaje te dane dobrowolnie, tj. odbywa się to za jego zgodą. Nie jest właściwe informowanie go o tym fakcie już po wprowadzeniu danych do formularza umowy. Organ ochrony danych osobowych stwierdził, że jego wątpliwości budzi również zapis, iż "oświadczenie jest niezależne od czasu obowiązywania umowy o świadczenie usług telekomunikacyjnych", bowiem wskazuje on, że dane dodatkowe mogą być przetwarzane niezależnie od danych, o których mowa w art. 161 ust. 2 ustawy – Prawo telekomunikacyjne, a ponadto nie jest możliwe złożenie odmiennego oświadczenia co do długości okresu ich przetwarzania. Generalny Inspektor wskazał także, że ewidencja osób upoważnionych do przetwarzania danych osobowych powinna być prowadzona jako jeden spójny dokument (również w formie elektronicznej), zawierający wszystkie elementy określone w art. 39 ust. 1 ustawy o ochronie danych osobowych. Na podstawie zaś złożonych przez pełnomocnika Spółki wyjaśnień dotyczących oświadczeń w kwestii udostępnienia danych innym operatorom oraz Biurze Informacji Kredytowej i Związkowi Banków Polskich za pośrednictwem Biura Informacji Gospodarczej InfoMonitor, organ uznał, że zasługują one na uwzględnienie, toteż w tym zakresie umorzył postępowanie. We wniosku o ponowne rozpatrzenie sprawy X. Spółka z o.o. z siedzibą w W. wniosła o uchylenie punktu 2 powyższej decyzji, nakazującego jej usunięcie uchybień w procesie przetwarzania danych osobowych, poprzez zapewnienie klientom możliwości złożenia oświadczenia o niewyrażeniu zgody na przetwarzanie danych dodatkowych w terminie jednego miesiąca od dnia, w którym decyzja stanie się ostateczna, i w tym zakresie zawarła wniosek o umorzenie postępowania, ewentualnie o zmianę punktu 2 zaskarżonej decyzji, poprzez stwierdzenie, iż dane osobowe klientów Spółki w przedmiotowym zakresie są przetwarzane zgodnie z prawem. Zaskarżonej decyzji zarzuciła rażące naruszenie art. 23 ust. 1 pkt 1 w związku z art. 7 pkt 5 ustawy o ochronie danych osobowych oraz art. 161 ust. 3 ustawy – Prawo telekomunikacyjne, poprzez błędną interpretację tych przepisów, a w konsekwencji ich błędne zastosowanie w sprawie. Spółka podniosła, że jej klient indywidualny wyraża zgodę na przetwarzanie danych dodatkowych, składając oświadczenie o następującej treści zamieszczonej w formularzu: "oświadczam, że wyraziłem zgodę na przetwarzanie dodatkowych danych, pozyskanych przy zawieraniu Umowy o Świadczenie Usług Telekomunikacyjnych, jak również w trakcie jej obowiązywania w celach określonych w Regulaminie Świadczenia Usług Telekomunikacyjnych przez X. Sp. z o.o. dla Abonentów". Takie oświadczenie jest wyrażeniem zgody przez klienta na przetwarzanie danych dodatkowych, pozyskanych przy zawieraniu umowy, zatem przetwarzanie tych danych przez Spółkę jest dopuszczalne w świetle art. 23 ust. 1 pkt 1 ustawy o ochronie danych osobowych. Chodzi tu o dane dodatkowe, które klient dobrowolnie podał Spółce przy zawieraniu umowy lub w jej trakcie. Spółka może przetwarzać te dane za zgodą użytkownika w związku ze świadczoną usługą, a powołane oświadczenie jest właśnie taką zgodą i to dokładnie w rozumieniu ww. przepisu. Klient dobrowolnie przekazuje Spółce dane dodatkowe w związku ze świadczoną usługą, składając dodatkowo oświadczenie o zgodzie na ich przetwarzanie. Spółka podkreśliła, że jeśli usługobiorca nie godzi się na przetwarzanie danych, to po prostu ich nie przekazuje. Zgoda dotyczy wyłącznie danych przekazanych przez klienta w trakcie zawierania umowy o świadczenie usług telekomunikacyjnych oraz w trakcie jej realizacji. Oświadczenie zbierane przez Spółkę nie jest domniemane ani dorozumiane z oświadczenia woli innej treści, lecz jest to zgoda klienta wyrażona wprost. Gdyby Spółka poprzestała na gromadzeniu podanych dobrowolnie przez klienta danych dodatkowych, uznając, że poprzez fakt dobrowolnego podania wyraża on zgodę na ich przetwarzanie, zgoda taka mogłaby być uznana za domniemaną lub dorozumianą. Spółka zbiera jednak stosowne oświadczenia klientów, zatem trudno jest doszukiwać się naruszenia przez Spółkę art. 23 ust. 1 pkt 1 ustawy o ochronie danych osobowych. Ponadto, Spółka wskazała, że dane dodatkowe, o których mowa w art. 161 ust. 3 ustawy – Prawo telekomunikacyjne, mogą być przetwarzane wyłącznie za zgodą osoby której dotyczą, zatem wprowadzenie, zgodnie z decyzją GIODO, możliwości złożenia oświadczenia o niewyrażeniu zgody na przetwarzanie danych dodatkowych oznaczałoby, że Spółka w sposób bezprawny stałaby się posiadaczem danych, które klient w dobrej wierze przekazał jej dobrowolnie w celu usprawnienia procesu świadczenia usługi (gdyby klient po wcześniejszym przekazaniu Spółce takich danych nie wyraził zgody na ich przetwarzanie). Spółka wskazała, że zaproponowana przez nią forma wyrażenia zgody na przetwarzanie danych dodatkowych ma przede wszystkim na względzie dobro klienta, gdyż daje mu możliwość modyfikacji danych dodatkowych, jako danych, które z praktycznego punktu widzenia ulegają częstym zmianom. Wprowadzenie możliwości niewyrażenia zgody na przetwarzanie przez klienta danych dodatkowych może w znacznym stopniu utrudnić korzystanie z usług, gdyż każda tego typu zmiana po stronie klienta będzie musiała wiązać się z koniecznością uzyskania odrębnego oświadczenia o zgodzie na przetwarzanie konkretnych danych dodatkowych. Decyzją z dnia [...] marca 2011 r. nr [...] Generalny Inspektor Ochrony Danych Osobowych, działając na podstawie art. 138 § 1 pkt 1 kpa oraz art. 12 pkt 2, art. 18 ust. 1 pkt 1 oraz art. 22 w związku z art. 7 pkt 5 i art. 23 ust. 1 ustawy o ochronie danych osobowych, utrzymał zaskarżoną decyzję w mocy, nie znajdując podstaw do uwzględnienia wniosku i przytaczając poprzednio zaprezentowane argumenty. W skardze do Wojewódzkiego Sądu Administracyjnego w Warszawie na powyższą decyzję X. Spółka z o.o. z siedzibą w W. podtrzymała krytyczną ocenę stanowiska GIODO, prezentowaną we wniosku o ponowne rozpatrzenie sprawy. Zarzuciła organowi rażące naruszenie przepisów prawa materialnego, tj. art. 23 ust. 1 pkt 1 w związku z art. 7 pkt 5 ustawy o ochronie danych osobowych oraz art. 161 ust. 3 ustawy – Prawo telekomunikacyjne, poprzez błędną interpretację tych przepisów, a w konsekwencji ich błędne zastosowanie w sprawie. Spółka wniosła o uchylenie zaskarżonej decyzji w całości oraz o uchylenie poprzedzającej ją decyzji z dnia [...] grudnia 2010 r. w zakresie jej punktu 2. W odpowiedzi na skargę Generalny Inspektor Ochrony Danych Osobowych wniósł o jej oddalenie, powołując się w uzasadnieniu swego stanowiska procesowego na motywy, jakich użył w zaskarżonej decyzji. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Stosownie do treści art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (Dz. U. Nr 153, poz. 1269 ze zm.), sąd administracyjny sprawuje wymiar sprawiedliwości poprzez kontrolę pod względem zgodności z prawem zaskarżonej decyzji administracyjnej i to z przepisami obowiązującymi w dacie jej wydania. Innymi słowy, sąd administracyjny kontroluje legalność rozstrzygnięcia zapadłego w postępowaniu z punktu widzenia jego zgodności z prawem materialnym i obowiązującymi przepisami prawa procesowego. Skarga analizowana pod tym kątem nie zasługuje na uwzględnienie. Zgodnie z art. 12 pkt 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t. j.: Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.), do zadań Generalnego Inspektora Ochrony Danych Osobowych należy m.in. kontrola zgodności przetwarzania danych z przepisami o ochronie danych osobowych. Powołany art. 12 ustawy statuuje główne zadania i kompetencje Generalnego Inspektora Ochrony Danych Osobowych, który pełni zarówno funkcję organu kontrolującego poprawność przetwarzania danych osobowych zgodnie z obowiązującymi przepisami oraz rzecznika interesów poszczególnych osób i interesów publicznych, jak i organu, który w tym zakresie został wyposażony we władcze kompetencje wydawania decyzji administracyjnych i rozpatrywania skarg w sprawach wykonania przepisów o ochronie danych osobowych. Wydanie nakazu usunięcia uchybień w procesie przetwarzania danych osobowych następuje wówczas, gdy organ ochrony danych osobowych stwierdza naruszenie norm stanowiących prawne podstawy przetwarzania danych osobowych. Kwestię świadczenia usług telekomunikacyjnych i sposób wykorzystywania danych abonentów tych usług (w tym warunki ochrony użytkowników usług – art. 1 pkt 7) reguluje ustawa z dnia 16 lipca 2004 r. – Prawo telekomunikacyjne (Dz. U. Nr 171, poz. 1800 ze zm.). W świetle art. 159 pkt 1 tej ustawy, dane dotyczące użytkownika stanowią tajemnicę telekomunikacyjną. Zgodnie z art. 161 ust. 1 cyt. ustawy, z zastrzeżeniem ust. 2, treści lub dane objęte tajemnicą telekomunikacyjną mogą być zbierane, utrwalane, przechowywane, opracowywane, zmieniane, usuwane lub udostępniane tylko wówczas, gdy czynności te, zwane dalej "przetwarzaniem", dotyczą usługi świadczonej użytkownikowi albo są niezbędne do jej wykonania. Przetwarzanie w innych celach jest dopuszczalne jedynie na podstawie przepisów ustawowych. Artykuł 161 ust. 2 stanowi natomiast, iż dostawca publicznie dostępnych usług telekomunikacyjnych jest uprawniony do przetwarzania następujących danych dotyczących użytkownika będącego osobą fizyczną: 1) nazwisk i imion; 2) imion rodziców; 3) miejsca i daty urodzenia; 4) adresu miejsca zameldowania na pobyt stały; 5) numeru ewidencyjnego PESEL – w przypadku obywatela Rzeczypospolitej Polskiej; 6) nazwy, serii i numeru dokumentów potwierdzających tożsamość, a w przypadku cudzoziemca, który nie jest obywatelem państwa członkowskiego albo Konfederacji Szwajcarskiej – numeru paszportu lub karty pobytu; 7) zawartych w dokumentach potwierdzających możliwość wykonania zobowiązania wobec dostawcy publicznie dostępnych usług telekomunikacyjnych wynikającego z umowy o świadczenie usług telekomunikacyjnych. W myśl zaś art. 161 ust. 3 ustawy, oprócz danych, o których mowa w ust. 2, dostawca publicznie dostępnych usług telekomunikacyjnych może, za zgodą użytkownika będącego osobą fizyczną, przetwarzać inne dane tego użytkownika w związku ze świadczoną usługą, w szczególności numer identyfikacji podatkowej NIP, numer konta bankowego lub karty płatniczej, adres korespondencyjny użytkownika, jeżeli jest on inny niż adres miejsca zameldowania na pobyt stały tego użytkownika, a także adres poczty elektronicznej oraz numery telefonów kontaktowych. Wymienione przepisy ustawy – Prawo telekomunikacyjne wyłączają stosowanie ustawy o ochronie danych osobowych tylko w zakresie, w jakim przewidują dalej idącą ochronę danych osobowych od tej, jaka została zagwarantowana tą ostatnią ustawą. Nie może być zatem wątpliwości, iż dostawca publicznie dostępnych usług telekomunikacyjnych (w rozumieniu art. 2 pkt 27 ustawy – Prawo telekomunikacyjne) jest uprawniony do przetwarzania danych osobowych usługobiorcy, jeżeli jego dane przetwarza w celu świadczenia i wykonania usługi telekomunikacyjnej. W każdym innym przypadku podejmowania działań, w szczególności realizujących cel komercyjny, marketingowy, a niezwiązany wprost z wykonaniem usługi telekomunikacyjnej, usługodawca będzie musiał stosować przepisy ustawy o ochronie danych osobowych i powołać się na przesłanki legalizujące przetwarzanie danych osobowych. Stosownie do treści art. 23 ust. 1 pkt 1 ustawy o ochronie danych osobowych, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy osoba, której dane dotyczą, wyrazi na to zgodę, chyba że chodzi o usunięcie dotyczących jej danych. W myśl zaś art. 7 pkt 5 tej ustawy, ilekroć jest w niej mowa o zgodzie osoby, której dane dotyczą – rozumie się przez to oświadczenie woli, którego treścią jest zgoda na przetwarzanie danych osobowych tego, kto składa oświadczenie; zgoda nie może być domniemana lub dorozumiana z oświadczenia woli o innej treści; zgoda może być odwołana w każdym czasie. W ocenie Sądu, przetwarzanie przez skarżącą Spółkę danych, o których mowa w art. 161 ust. 3 ustawy – Prawo telekomunikacyjne, na podstawie oświadczenia składanego przez jej klientów, nie spełnia przesłanki dopuszczalności przetwarzania danych osobowych, określonej w wymienionych przepisach ustawy o ochronie danych osobowych. GIODO słusznie zakwestionował treść wykorzystywanego przez Spółkę wzoru oświadczenia ("oświadczam, że wyraziłem zgodę na przetwarzanie dodatkowych danych ..."), mającego – jej zdaniem – spełniać przesłankę zgody na przetwarzanie dodatkowych danych osobowych. Przede wszystkim podkreślenia wymaga, że tak sformułowane oświadczenie jest oświadczeniem wyrażonym post factum, wskazującym na istnienie zgody na przetwarzanie dodatkowych danych osobowych klienta, złożonej wcześniej. Tymczasem ze sprawy nie wynika, by Spółka przy zawieraniu umów z klientami uzyskiwała od nich oświadczenia o wyrażeniu zgody na przetwarzanie ich dodatkowych danych osobowych. Czas przeszły użyty w cyt. wzorze oświadczenia ("wyraziłem zgodę") wskazuje, że oświadczenie to ma konwalidować brak zgody klienta na przetwarzanie jego dodatkowych danych osobowych, jakiej nie wyrażono podczas ich pozyskiwania. Taki sposób uzyskiwania zgody na przetwarzanie danych – metodą faktów dokonanych – nie jest dopuszczalny w rozumieniu art. 23 ust. 1 pkt 1 ustawy o ochronie danych osobowych, gdyż w świetle art. 7 pkt 5 tej ustawy, zgoda nie może być ani domniemana, ani dorozumiana z oświadczenia woli innej treści, a takim właśnie jest używany przez Spółkę wzór oświadczenia. Oświadczenie woli, którego treścią jest zgoda na przetwarzanie danych osobowych tego, kto składa oświadczenie, musi wynikać bowiem z pełnej świadomości skutków takiej czynności, nie może natomiast polegać – do czego w istocie sprowadza się wzór oświadczenia stworzony przez skarżącą Spółkę – na oświadczeniu zainteresowanego, że w przeszłości oświadczył on już, iż wyraża zgodę na przetwarzanie jego dodatkowych danych osobowych, którego to oświadczenia nigdy wcześniej nie składał. Innymi słowy, usługobiorca powinien wiedzieć na co się godzi, zanim w ogóle dojdzie do przetwarzania dotyczących go danych. Jego zgoda na przetwarzanie danych musi zostać wyrażona tu i teraz, przez co należy rozumieć moment zawierania umowy o świadczenie usług telekomunikacyjnych, nie może być zatem wyrażona ex post, bowiem poprzez tak sformułowane oświadczenie skarżąca Spółka pozbawia swoich klientów możliwości bezpośredniego, swobodnego i jasno przedstawionego wyboru co do określenia, czy chcą, żeby dotyczące ich dane dodatkowe były przetwarzane przez Spółkę w różnych celach, w tym niezwiązanych z wykonaniem usługi telekomunikacyjnej, czy też takiej chęci nie wyrażają. Udzielenie zgody przez użytkownika na przetwarzanie jego dodatkowych danych osobowych, która to zgoda jest wymagana w myśl art. 161 ust. 3 ustawy – Prawo telekomunikacyjne, powinno mieć miejsce w momencie zawierania umowy o świadczenie usług, w związku z czym nie może dochodzić do sytuacji, w której klient podaje usługodawcy swoje dane dodatkowe, które będą przez administratora przetwarzane, a dopiero w późniejszym terminie oświadcza, że wyraził na to swoją zgodę. Taka praktyka stawia usługobiorcę w niekorzystnej dla niego pozycji, pozbawiając go możliwości zadecydowania o tym, czy chce taką zgodę wyrazić bądź nie, z drugiej zaś strony – świadczy o braku legalnej przesłanki przetwarzania dodatkowych danych osobowych klienta w chwili zawierania umowy. Brak oświadczenia, że klient wyraża zgodę (tu i teraz) na przetwarzanie jego dodatkowych danych osobowych w momencie podpisywania umowy (ewentualnie, że jej nie wyraża), nie może być zastąpiony (konwalidowany) treścią oświadczenia, że taką zgodę wyraził. Spółka powinna zatem zapewnić klientom opcjonalność wyrażania bądź niewyrażania zgody na przetwarzanie ich danych dodatkowych ("wyrażam zgodę...", ewentualnie "nie wyrażam zgody..."), zaś wzór oświadczenia stworzony przez skarżącą Spółkę taki swobodny wybór w istocie wyklucza, wskazując przy tym na jedynie dorozumiany charakter zgody. Możliwość niewyrażenia przez usługobiorców zgody na przetwarzanie ich danych dodatkowych nie narusza – wbrew zarzutom skargi – przepisu art. 161 ust. 3 ustawy – Prawo telekomunikacyjne. Powołane przez organ w uzasadnieniu zaskarżonej decyzji poglądy doktryny i orzecznictwa w przedmiocie wyrażenia zgody na przetwarzanie danych osobowych należy uznać za trafne i nie zachodzi potrzeba ich ponownego przytaczania. Warto jedynie podkreślić, że podmiot zwracający się do osoby fizycznej o wyrażenie zgody na przetwarzanie jej dodatkowych danych osobowych, musi to uczynić w sposób wyraźny, jednoznaczny oraz wyróżniający się spośród innych pochodzących od tego podmiotu informacji i oświadczeń. Musi również zapewnić takiej osobie możliwość niewyrażenia zgody na przetwarzanie jej danych. Osoba wyrażająca zgodę musi bowiem zrozumieć jej istotę, cel i skutki, a zatem musi posiadać pełne rozeznanie, przez kogo konkretnie i w jakim ściśle określonym celu jej dane – co należy podkreślić – będą przetwarzane po ich udostępnieniu z chwilą podpisania umowy. W ocenie Sądu, należy dokonywać takiej wykładni art. 23 ust. 1 pkt 1 w związku z art. 7 pkt 5 ustawy o ochronie danych osobowych oraz art. 161 ust. 3 ustawy – Prawo telekomunikacyjne, która zapewni osobie, której dodatkowe dane osobowe będą wykorzystywane, maksimum ochrony prawnej, zwłaszcza gdy dane te będą wykorzystywane w celach marketingowych. Należy zatem takiej osobie umożliwić zarówno opcję wyrażenia zgody na przetwarzanie jej danych, jak również opcję odmowy wyrażenia takiej zgody, co słusznie nakazał skarżącej Spółce organ ochrony danych osobowych w kwestionowanej części decyzji (nakazu). Z punktu widzenia usługobiorcy istotne jest, aby jego dane osobowe były przetwarzane przez tego usługodawcę, z którym klient zawiera umowę o wykonywanie usług, w tym wypadku telekomunikacyjnych, albowiem godzi się na warunki zaproponowane przez operatora sieci i obdarza go zaufaniem. Tego zaufania niejednokrotnie usługobiorca nie będzie miał do podmiotów mu nieznanych, a współpracujących z operatorem sieci w ramach wspólnych akcji marketingowych. Odbiorca usług telekomunikacyjnych powinien mieć gwarancję, że jego dane osobowe nie będą przekazywane bez jego zgody podmiotom trzecim w ramach prowadzenia kolejnych kampanii marketingowych. Z tego względu zasadnym jest zapewnienie klientowi opcjonalności w zakresie wyrażania zgody na przetwarzanie jego dodatkowych danych osobowych przez skarżącą Spółkę. Nie chodzi przy tym, aby skarżącą Spółkę ograniczać w jakikolwiek sposób w działaniach marketingowych na trudnym, z uwagi na konkurencję, rynku usług telekomunikacyjnych. Działanie Generalnego Inspektora Ochrony Danych Osobowych zmierza bowiem jedynie do zagwarantowania ustawowej ochrony prawnej osobom, których dane osobowe są przetwarzane, co sprowadza się w tym przypadku do zagwarantowania swobodnej, w pełni świadomej – a nie tylko iluzorycznej – możliwości decydowania o własnych danych. W takim stanie rzeczy, kwestionowany przez Spółkę nakaz należy uznać za prawidłowy, zaś zarzuty podniesione w skardze za nieuzasadnione. Sąd nie stwierdził takich naruszeń prawa, które skutkowałyby koniecznością uwzględnienia skargi. Z tych względów, Wojewódzki Sąd Administracyjny w Warszawie, działając na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. Nr 153, poz. 1270 ze zm.), orzekł, jak w sentencji wyroku.