II SA/Wa 1254/17

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Andrzej Góraj, Sędziowie WSA Adam Lipiński, Piotr Borowiecki (spr.), Protokolant sekretarz sądowy Marcin Borkowski, po rozpoznaniu na rozprawie w dniu 17 kwietnia 2018 r. sprawy ze skargi [...] sp. z o. o. z siedzibą w W. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] czerwca 2017 r. nr [...] w przedmiocie przetwarzania danych osobowych 1. uchyla zaskarżoną decyzję oraz utrzymaną nią w mocy decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] kwietnia 2016 r. nr [...]. 2. zasądza od Generalnego Inspektora Ochrony Danych Osobowych na rzecz strony skarżącej [...] sp. z o. o. z siedzibą w W. kwotę 697 (sześćset dziewięćdziesiąt siedem) złotych tytułem zwrotu kosztów postępowania sądowego. Zaskarżoną decyzją z dnia [...] czerwca 2017 r., nr [...], Generalny Inspektor Ochrony Danych Osobowych, (dalej także: "GIODO" lub "organ"), działając na podstawie art. 138 § 1 pkt 1 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (tekst jednolity Dz. U. z 2016 r., poz. 23 - dalej także: "k.p.a."), a także art. 12 pkt 2, art. 22, art. 23 ust. 1 pkt 2, art. 33 oraz art. 18 w związku z art. 23 ust. 5 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jednolity Dz. U. z 2016 r., poz. 922 ze zm. - dalej także: "u.o.d.o."), po rozpoznaniu wniosku spółki [...] sp. z o.o. z siedzibą w [...] (dalej także: "skarżąca spółka", "strona skarżąca" lub "operator") z dnia [...] maja 2016 r. o ponowne rozpatrzenie sprawy zakończonej wcześniejszą decyzją Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] kwietnia 2016 r., nr [...], nakazującą zaprzestanie przetwarzania danych osobowych w celach marketingowych, wydaną w sprawie zainicjowanej skargą M. R., zam. w [...], przy ul. [...] (dalej także: ""uczestnik postępowania"), na przetwarzanie jego danych osobowych przez spółkę [...] sp. z o.o. oraz spółkę [...] sp. z o.o. z siedzibą w [...] - utrzymał w mocy w/w decyzję z dnia [...] kwietnia 2016 r. Zaskarżona decyzja została wydana w następującym stanie faktycznym. Do Biura Generalnego Inspektora Ochrony Danych Osobowych wpłynęła skarga M. R. z dnia [...] stycznia 2014 r. na przetwarzanie jego danych osobowych przez spółkę [...] sp. z o.o. z siedzibą w [...] przy ul. [...] oraz spółkę [...] sp. z o.o. z siedzibą w [...] przy ul. [...]. W treści skargi M. R. wskazał, że nie wyrażał zgody na przetwarzanie jego danych osobowych w celach marketingowych, w tym na przekazywanie jego numeru telefonu innym podmiotom. Ponadto, M. R. wskazał, że "(...) Jeżeli moje dane osobowe zostały przez [...] pozyskane w innej formie, niż wyrażona zgoda, proszę na podstawie Ustawy o ochronie danych osobowych (...) art. 33 o pisemną informację dotyczącą danych, o których mowa w art. 32 ust. 1 pkt 1-5a: źródła pochodzenia moich danych w bazie [...] - od kiedy moje dane są przetwarzane w firmach [...] i [...], pełnej zawartości zbioru danych mnie dotyczących (firmy [...] i [...]), - w jakim zakresie oraz komu zostały udostępnione przez firmy [...] i [...]. (...) Wnoszę też mediację w sprawie wypłacenia mi odszkodowania za straty moralne: w wysokości 5 000,00 PLN od firmy [...]". W związku ze złożoną przez M. R. skargą, Generalny Inspektor Ochrony Danych Osobowych podjął stosowne czynności wyjaśniające mające na celu ustalenie wszelkich istotnych dla sprawy okoliczności faktycznych. Wobec powyższego Generalny Inspektor Ochrony Danych Osobowych przeprowadził postępowanie wyjaśniające, w toku którego ustalił następujące okoliczności faktyczne: 1. operator pozyskał dane osobowe M. R. w związku z wnioskiem o przeniesienie numeru do sieci [...] złożonym przez M. R. w dniu [...] października 2012 r. dla numeru [...]; 2. M. R., wypełniając kartę udostępnienia danych w dniu [...] października 2012 r., nie wyraził zgody na otrzymywanie informacji marketingowych, w tym w szczególności o nowych ofertach promocyjnych, usługach, konkursach oraz innych informacji handlowych za pomocą środków komunikacji elektronicznej, w szczególności przy użyciu automatycznych systemów wywołujących oraz na przetwarzanie danych transmisyjnych dla celów marketingu usług telekomunikacyjnych (klauzule zgody zawarte w pkt 3 Karty udostępnienia danych); 3. spółka [...] sp. z o.o. przetwarza dane M. R. w celach: świadczenia usług telekomunikacyjnych w systemie [...] dla numeru [...], sprzedaży własnych produktów i usług, prowadzenia działań marketingowych samodzielnie lub we współpracy z innymi podmiotami, archiwizacji danych i prowadzenia analiz gospodarczych; 4. M. R. nie zwracał się do spółki [...] sp. z o.o. z wnioskiem, o którym mowa w art. 33 ustawy o ochronie danych osobowych, jak również nie składał sprzeciwu wobec przetwarzania jego danych osobowych w celach marketingowych, o którym mowa w art. 32 ust. 1 pkt 8 ustawy o ochronie danych osobowych; 5. spółki [...] sp. z o. o i [...] sp. z o.o. łączy umowa ramowa nr [...] na przeprowadzenie badań marketingowych zawarta w [...] dnia [...] października 2006 r., której przedmiot obejmował m.in. przeprowadzenie badań rynkowych przez [...] sp. z o.o. na temat, jakości usług świadczonych przez [...] sp. z o.o. W tym celu spółka [...] sp. z o.o. przekazała [...] sp. z o.o. wybrane losowo numery telefonów abonentów, w tym numer M. R., którzy nie wnieśli sprzeciwu wobec przetwarzania ich danych osobowych, o którym mowa w art. 32 ust. 1 pkt 8 ustawy o ochronie danych osobowych; 6. Do M. R. zostały zrealizowane połączenia telefoniczne: - w dniu [...] czerwca 2014 r. z numeru [...] w ramach kampanii prowadzonej przez [...] sp. z o.o. dotyczącej migracji z systemu [...] do usługi typu [...]; - w dniu [...] stycznia 2014 r. w ramach badania poziomu satysfakcji z obsługi klienta za IV kwartał 2013 r., zgodnie z § 11 ust. 2 Regulaminu świadczenia Usług Telekomunikacyjnych przez [...] sp. z o.o. dla użytkowników, zgodnie, z którym "Dane osobowe Użytkowników są przetwarzane przez [...] w celu świadczenia usług, archiwizacji, a także sprzedaży produktów i usług Operatora oraz dla potrzeb działań marketingowych podejmowanych przez [...] samodzielnie lub we współpracy z innymi podmiotami, jak również na potrzeby prowadzenia analiz gospodarczych. Dane identyfikujące Użytkownika mogą być zamieszczone w spisie abonentów za zgodą Użytkownika, który może być wydawany w formie książkowej lub elektronicznej. Ponadto dane te mogą być udostępnione innym Przedsiębiorcom telekomunikacyjnym prowadzącym spisy abonentów lub świadczącym usługę informacji o numerach telefonicznych, w tym usługę ogólnokrajowego spisu abonentów oraz informacji o numerach obejmującej wszystkich abonentów publicznych sieci telefonicznych"; 7. spółka [...] sp. z o.o. przeprowadziła badanie na zlecenie [...] sp. z o.o.; w toku postępowania spółka [...] sp. z o.o. wyjaśniła, że w trakcie badania operatorzy studia telefonicznego w sposób zautomatyzowany łączeni byli z losowo z wybranym numerem i podczas rozmowy telefonicznej przeprowadzali wywiad/ankietę z abonentem numeru; jednym z takich abonentów był M. R.; 8. ustalono, że próba kontaktu z M. R. została podjęta jednorazowo; z ustaleń organu wynika, że po tym, jak M. R. wyraził niechęć wzięcia udziału w badaniu przeprowadzanym przez [...] sp. z o.o., spółka ta zaprzestała jakiegokolwiek dalszego kontaktu z nim i wpisała numer telefonu M. R. na tzw. Listę [...], prowadzoną przez [...], która zawiera zbiór numerów telefonów osób, które nie zgadzają się być respondentami w badaniach realizowanych telefonicznie; 9. ustalono, że aktualnie spółka [...] sp. z o.o. nie przetwarza już numeru telefonu M. R. W wyniku analizy całości zgromadzonego materiału dowodowego, Generalny Inspektor Ochrony Danych Osobowych, działając na podstawie art. 104 § 1 k.p.a., a także art. 12 pkt 2, art. 22, art. 23 ust. 1 pkt 2, art. 33 oraz art. 18 w związku z art. 23 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, wydał w dniu [...] kwietnia 2016 r. decyzję nr [...], na mocy której nakazał skarżącej spółce [...] sp. z o. o. z siedzibą w [...] przywrócenie stanu zgodnego z prawem w procesie przetwarzania danych osobowych M. R., zam. w [...] przy ul. [...], poprzez zaprzestanie przetwarzania jego danych osobowych w celach marketingowych (pkt 1 decyzji) oraz w pozostałym zakresie odmówił uwzględnienia wniosku (pkt 2 decyzji). W uzasadnieniu decyzji Generalny Inspektor Ochrony Danych Osobowych wskazał na zasady postępowania przy przetwarzaniu danych osobowych oraz prawa osób fizycznych, których dane osobowe są lub mogą być przetwarzane w zbiorach danych, o których mowa w art. 2 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych. W konsekwencji, organ podniósł, że dane osobowe to wszelkie informacje, które dotyczą zidentyfikowania lub możliwej do zidentyfikowania osoby fizycznej (vide: art. 6 ust. 1 u.o.d.o.), a osoba możliwa do zidentyfikowania to taka, której tożsamość można ustalić bezpośrednio lub pośrednio, w szczególności na powołanie się na numer identyfikacyjny albo jeden lub kilka specyficznych czynników, określających jej cechy fizyczne, fizjologiczne, umysłowe, ekonomiczne, kulturowe lub społecznej (vide: art. 6 ust. 2 u.o.d.o.). Generalny Inspektor Ochrony Danych Osobowych wskazał, że numer telefonu M. R. jest daną osobową dla spółki [...] sp. z o.o., z którym to M. R. zawarł umowę. Ponadto, Generalny Inspektor Ochrony Danych Osobowych podniósł, iż przetwarzanie danych osobowych jest dopuszczalne, gdy spełniona jest co najmniej jedna z przesłanek wskazanych w art. 23 ust. 1 u.o.d.o., w sytuacji, w której chodzi o tzw. dane zwykłe takie, jak np. imię i nazwisko, adres zamieszkania, numer telefonu. Generalny Inspektor Ochrony Danych Osobowych wskazał, iż w ramach prowadzonego postępowania administracyjnego dokonał oceny legalności przetwarzania danych osobowych M. R. przez spółki [...] sp. z o.o. oraz [...] sp. z o.o., uwzględniając okoliczności przetwarzania tych danych, całokształt materiału dowodowego oraz przepisy prawa, w tym w szczególności przepisy ustawy o ochronie danych osobowych. Organ zauważył, że w przedmiotowej sprawie bezsporne jest, że M. R. nie zgodził się na przetwarzanie jego danych osobowych w celach marketingowych, o czym świadczy brak wyrażenia zgody na otrzymywanie informacji, w tym w szczególności o nowych ofertach promocyjnych, usługach, konkursach oraz innych informacji handlowych za pomocą środków komunikacji elektronicznej, w szczególności przy użyciu automatycznych systemów wywołujących oraz na przetwarzanie danych transmisyjnych dla celów marketingu usług telekomunikacyjnych. Organ wskazał, że skarżąca spółka [...] sp. z o.o. przekazała numer telefonu M. R. spółce [...] sp. z.o.o. (działającej w imieniu skarżącej spółki) w celu podjęcia przez nią działań marketingowych, tj. oceny satysfakcji klienta z usług oferowanych przez [...] sp. z o.o. Organ stwierdził, że na gruncie niniejszej sprawy nie znajduje uzasadnienia stanowisko skarżącej spółki [...] sp. z.o.o., która wskazała, że numer M. R. został przekazany spółce [...] sp. z.o.o., gdyż M. R. nie zgłosił sprzeciwu wobec przetwarzania jego danych osobowych, o którym mowa w art. 32 ust. 1 pkt 8 u.o.d.o. Zdaniem organu, skoro M. R. już na etapie zawierania umowy nie zgodził się na przetwarzanie jego danych osobowych w celach marketingowych operatora, to nie musiał zgłaszać takiego sprzeciwu. Tym samym, organ uznał, że skarżąca spółka, jako operator, nie miała podstawy do tego, aby przekazać numer telefonu M. R. spółce [...] sp. z o.o. Mając powyższe na względzie, GIODO zauważył, że jako organ ochrony danych osobowych, w przypadku naruszenia przepisów o ochronie danych osobowych, zobowiązany jest - zgodnie z art. 18 ust. 1 pkt 1 ustawy o ochronie danych osobowych - z urzędu lub na wniosek osoby zainteresowanej, w drodze decyzji administracyjnej, nakazać przywrócenie stanu zgodnego z prawem, a w szczególności usunięcie uchybień. Zdaniem GIODO, materiał dowodowy zgromadzony w niniejszej sprawie daje podstawy do przyjęcia, iż opisany powyżej przypadek przetwarzania danych osobowych M. R. w celach marketingowych, wbrew jego woli, zaistniał rzeczywiście. W tej sytuacji, zdaniem organu, operator powinien niezwłocznie zaprzestać przetwarzania danych osobowych M. R. w celach marketingowych niezależnie od tego, czy czyni to "samodzielnie lub we współpracy z innymi podmiotami". Jednocześnie, biorąc pod uwagę, że nie było podstaw prawnych do przekazania danych osobowych M. R. spółce [...] sp. z o.o., Generalny Inspektor Ochrony Danych Osobowych poinformował, że korzystając z uprawnień przewidzianych w art. 19 u.o.d.o., skierował do Prokuratury Rejonowej [...] zawiadomienie o popełnieniu przestępstwa określonego w art. 51 u.o.d.o., zgodnie z którym, kto administrując zbiorem danych lub będąc obowiązany do ochrony danych osobowych udostępnia je lub umożliwia dostęp do nich osobom nieupoważnionym, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat 2. Oceniając z kolei fakt przetwarzania numeru telefonu M. R. przez spółkę [...] sp. z o.o. w oparciu o przepisy ustawy, GIODO wskazał, że spółka [...] pozyskała jedynie bazę numerów telefonów od skarżącej spółki (operatora), w tym numer telefonu M. R., bez żadnych dodatkowych informacji, dlatego na ich podstawie nie mogła zidentyfikować osoby, do której dany numer należał. Zdaniem organu, spółka ta nie posiadała zatem danych osobowych, w rozumieniu art. 6 u.o.d.o., a co za tym idzie nie przetwarzała danych osobowych. Organ zauważył, że spółka ta, dopiero po nawiązaniu kontaktu z losowo wybranym numerem, mogła zebrać więcej informacji na temat danej osoby. W tej sytuacji, zdaniem organu, nie można zatem uznać, aby spółka [...] przetwarzała dane osobowe M. R., co też sama potwierdziła w złożonych wyjaśnieniach. Organ uznał jednocześnie, że istotne jest to, iż po nawiązaniu kontaktu z M. R., który wyraził swoją niechęć wzięcia udziału w badaniu, spółka [...] zaprzestała z nim kontaktu, dodatkowo wpisując jego numer telefonu na tzw. Listę [...], traktując jego sprzeciw jako odmowę wzięcia udziału w badaniu. Organ zauważył również, że obecnie spółka [...] nie posiada numeru telefonu skarżącego. Biorąc pod uwagę fakt zgłoszenia przez M. R. prośby o pisemną informację dotyczącą jego danych osobowych, o których mowa w art. 32 ust. 1 pkt 1-5a ustawy, wskazać należy, że to osoba, której dane dotyczą, ma prawo do kontroli przetwarzania jej danych, które może zrealizować, kierując do administratora danych wniosek, o którym mowa w art. 33 ustawy. Ponadto, organ wskazał, że na wniosek osoby, której dane dotyczą, administrator danych jest obowiązany, w terminie 30 dni, poinformować o przysługujących jej prawach oraz udzielić, odnośnie do jej danych osobowych, informacji, o których mowa w art. 32 ust. 1 pkt 1-5a (art. 33 ust. 1 ustawy). Organ zauważył jednocześnie, że na wniosek osoby, której dane dotyczą, informacji, o których mowa w ust. 1, udziela się na piśmie (art. 33 ust. 2 u.o.d.o.). Dlatego, jak stwierdził organ, w celu pozyskania informacji o przetwarzaniu danych osobowych to M. R., a nie organ do spraw ochrony danych osobowych, może skierować do danego podmiotu wniosek, o którym mowa w art. 33 ustawy. Natomiast, jak wskazał Generalny Inspektor Ochrony Danych Osobowych, działając w ramach swoich kompetencji określonych w art. 12 ustawy, organ może m.in. wydawać decyzje administracyjne i rozpatrywać skargi w sprawach wykonania przepisów o ochronie danych osobowych, także tych związanych z realizacją uprawnień osób, których dane dotyczą. Dlatego, organ stwierdził, że jeśli wniosek M. R. nie zostanie uwzględniony przez administratora lub też nie otrzyma on żądanych informacji, wówczas osoba ta może złożyć skargę do Generalnego Inspektora Ochrony Danych Osobowych. W piśmie z dnia [...] maja 2016 r. skarżąca spółka [...] sp. z o.o. wniosła do Generalnego Inspektora Ochrony Danych Osobowych o ponowne rozpatrzenie sprawy zakończonej powyższą decyzją z dnia [...] kwietnia 2016 r. Wnosząc o uchylenie spornej decyzji z dnia [...] kwietnia 2016 r. i umorzenie postępowania, skarżąca spółka zarzuciła Generalnemu Inspektorowi Ochrony Danych Osobowych: 1) nieprawidłowe ustalenie stanu faktycznego - poprzez przyjęcie, że przetwarzanie danych osobowych M. R. przez [...] sp. z o.o. w celu realizacji badania poziomu satysfakcji z obsługi klienta, jest równoznaczne z przetwarzaniem danych osobowych dla celów marketingu usług telekomunikacyjnych lub świadczenia usług o wartości wzbogaconej, 2) naruszenie art. 161 ust. 1 ustawy z dnia 16 lipca 2004 r. - Prawo telekomunikacyjne (tekst jednolity Dz. U. z 2014 r., poz. 243 ze zm. - dalej także: "P.t.") - poprzez jego błędną wykładnię, a w konsekwencji bezpodstawne przyjęcie, że w przedmiotowej sprawie operator telekomunikacyjny nie jest uprawniony do przetwarzania danych swojego klienta w celu poprawy jakości świadczonych przez operatora usług, czemu miało właśnie służyć badanie poziomu satysfakcji z obsługi klienta, 3) nieprawidłowe zastosowanie przepisów poprzez błędną wykładnię art. 23 ust. 1 oraz art. 51 u.o.d.o. W wyniku ponownego rozpatrzenia sprawy Generalny Inspektor Ochrony Danych Osobowych - działając na podstawie art. 138 § 1 pkt 1 k.p.a., a także art. 12 pkt 2, art. 22, art. 23 ust. 1, art. 33 oraz art. 18 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych - decyzją z dnia [...] czerwca 2017 r., nr [...] utrzymał w mocy swoją wcześniejszą decyzję z dnia [...] kwietnia 2016 r. W uzasadnieniu decyzji Generalny Inspektor Ochrony Danych Osobowych, odnosząc się do zarzutów strony skarżącej, na wstępie wyjaśnił pojęcie marketingu, powołując się na definicję w internetowej encyklopedii PWN, zgodnie z którą marketing to "działania zmierzające do określenia możliwości sprzedaży produktu, uwzględniające istniejące lub potencjalne potrzeby nabywców w krótkim lub długim okresie i związane z tym możliwości dystrybucji, reklamy, planowania produkcji, badań rynku". Generalny Inspektor Ochrony Danych Osobowych wskazał również na definicję z internetowego Słownika Języka Polskiego PWN, według której marketing to "działania mające na celu poznanie potrzeb konsumentów, ustalenie wielkości produkcji oraz metod dystrybucji, sprzedaży i reklamy towarów". Mając na względzie powyższe definicje, organ uznał, iż działania skarżącego operatora polegające na selekcji klientów, którzy "w ostatnich 3 miesiącach przed generowaniem grupy docelowej kontaktowali się z Biurem Obsługi Klienta Spółki" i którzy "nie wnieśli sprzeciwu wobec przetwarzania ich danych osobowych, o którym mowa w art. 32 ust. 1 pkt 8 u.o.d.o." i poddanie ich badaniu oceny satysfakcji klienta z usług Biura Obsługi Klienta, przez podmiot zewnętrzny, stanowi przetwarzanie danych klientów w celach marketingowych (w tym, sama selekcja klientów do badania stanowi przetwarzanie danych w celach marketingowych). Generalny Inspektor Ochrony Danych Osobowych wskazał, że informacją zwrotną z badania jest przecież miernik poziomu satysfakcji z jednego z podstawowych kanałów komunikacji z klientem, jakim jest Biuro Obsługi Klienta. Organ wskazał, że wyższa sprawność Biura Obsługi Klienta i zadowolenie klientów przekładać się będą w sposób oczywisty na zyski strony skarżącej. W ocenie Generalnego Inspektora Ochrony Danych Osobowych, pojęcie marketingu należy interpretować szeroko, zwłaszcza w sytuacji, gdy działania strony skarżącej ingerowały w prywatność klienta skarżącej spółki. Ponadto, organ wskazał, że nie może podzielić stanowiska skarżącej spółki odnośnie zawężającego rozumienia definicji marketingu polegającego wyłącznie na działaniu zmierzającym do sprzedaży produktów lub usług. W ocenie Generalnego Inspektora Ochrony Danych Osobowych, o marketingowym charakterze przetwarzania danych M. R. przez skarżącą spółkę świadczy też fakt, iż numer telefonu skarżącego został przekazany [...] sp. z o.o. na podstawie umowy nr [...] zawartej w dniu [...] października 2006 r. pomiędzy [...] sp. z o.o. a [...] sp. z o.o., która w swym tytule wskazuje jasno, że zawarta jest w celu przeprowadzania badań marketingowych. Organ wskazał jednocześnie, że również sam pełnomocnik strony skarżącej we wniosku o ponowne rozpatrzenie sprawy podniósł, że "Spółka nie wybierając do badania osób, które wniosły zgodnie z u.o.d.o. sprzeciw na przetwarzanie danych w celach marketingowych wychodziła rozszerzająco z założenia chęci poszanowania woli abonentów w zakresie komunikacji marketingowej przez telefon". W ocenie organu, takie wyjaśnienia strony skarżącej świadczą o tym, iż skarżący operator dopuszczał możliwość interpretowania swoich działań, jako mieszczących się w pojęciu marketingu. Odnosząc się z kolei do zarzutu naruszenia art. 161 ust. 1 ustawy z dnia 16 lipca 2004 r. - Prawo telekomunikacyjne, poprzez jego błędną wykładnię, a w konsekwencji bezpodstawne przyjęcie, że w przedmiotowej sprawie operator telekomunikacyjny nie jest uprawniony do przetwarzania danych swojego klienta w celu poprawy, jakości świadczonych przez operatora usług, czemu miało właśnie służyć badanie poziomu satysfakcji z obsługi klienta - organ powołał się na stanowisko Wojewódzkiego Sądu Administracyjnego w Warszawie wyrażone w wyroku z dnia 16 maja 2011 r., sygn. akt II SA/Wa 643/11, w którym stwierdzono, iż "Dostawca publicznie dostępnych usług telekomunikacyjnych jest uprawniony do przetwarzania danych osobowych usługobiorcy, jeżeli jego dane przetwarza w celu świadczenia i wykonania usługi telekomunikacyjnej. W każdym innym przypadku podejmowania działań, w szczególności realizujących cel komercyjny, marketingowy, a niezwiązany wprost z wykonaniem usługi telekomunikacyjnej, usługodawca będzie stosować przepisy ustawy o ochronie danych osobowych i poszukiwać przesłanki legalizującej przetwarzania danych osobowych dla swych działań". Podtrzymując swoje stanowisko wyrażone w uzasadnieniu decyzji z dnia [...] kwietnia 2016 r., organ stwierdził, że gdy chodzi o tzw. dane zwykłe (jak np. imię i nazwisko, adres zamieszkania, numer telefonu), to - z punktu widzenia ustawy o ochronie danych osobowych - przetwarzanie danych osobowych (w tym ich udostępnianie), jest dopuszczalne, gdy spełniona jest co najmniej jedna z przesłanek wskazanych w przepisie art. 23 ust. 1 u.o.d.o. Organ zauważył, że zgodnie z tym przepisem, przetwarzanie danych jest dopuszczalne, gdy: - osoba, której dane dotyczą, wyrazi na to zgodę, chyba że chodzi o usunięcie dotyczących jej danych (pkt 1), - jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa (pkt 2), - jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą (pkt 3), - jest niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego (pkt 4), - jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą (pkt 5). Organ uznał, że w niniejszym postępowaniu bezsporne jest, że M. R. nie zgodził się na przetwarzanie jego danych osobowych w celach marketingowych, o czym świadczy brak wyrażenia zgody na otrzymywanie informacji, w tym w szczególności o nowych ofertach promocyjnych, usługach, konkursach oraz innych informacjach handlowych za pomocą środków komunikacji elektronicznej, w szczególności przy użyciu automatycznych systemów wywołujących oraz na przetwarzanie danych transmisyjnych dla celów marketingu usług telekomunikacyjnych. Organ wskazał, że dane transmisyjne to - zgodnie z definicją zawartą w art. 159 ust. 1 pkt 3 - Prawa telekomunikacyjnego - dane przetwarzane dla celów przekazywania komunikatów w sieciach telekomunikacyjnych lub naliczania opłat za usługi telekomunikacyjne, w tym dane lokalizacyjne, które oznaczają wszelkie dane przetwarzane w sieci telekomunikacyjnej wskazujące położenie geograficzne urządzenia końcowego użytkownika publicznie dostępnych usług telekomunikacyjnych. Zgodnie z tą definicją, jak podniósł organ, do danych transmisyjnych zaliczyć można numer [...] (numer telefonu). Powołując się na przepis art. 165 ust. 4 ustawy - Prawo telekomunikacyjne, GIODO stwierdził, że dostawca publicznie dostępnych usług telekomunikacyjnych może przetwarzać dane transmisyjne w zakresie i przez czas niezbędny dla celów marketingu usług telekomunikacyjnych lub świadczenia usług o wartości wzbogaconej, jeżeli abonent lub użytkownik końcowy wyraził na to zgodę. Mając powyższe na względzie, organ wskazał, że w niniejszej sprawie operator przekazał numer telefonu (dana transmisyjna) skarżącego spółce [...] sp. z o.o. (działającej w imieniu operatora) w celu podjęcia przez nią działań marketingowych, tj. oceny satysfakcji klienta z usług oferowanych przez skarżącą spółkę. Zdaniem organu, argumentacja skarżącej spółki, z której wynika, iż numer ten został przekazany, albowiem M. R. nie zgłosił sprzeciwu wobec przetwarzania jego danych osobowych, o którym mowa w art. 32 ust. 1 pkt 8 u.o.d.o., nie zasługuje na uwzględnienie. Według organu, skoro M. R., już na etapie zawierania umowy, nie zgodził się na przetwarzanie jego danych osobowych w celach marketingowych operatora, to nie musiał zgłaszać takiego sprzeciwu. Tym samym, zdaniem organu, operator nie miał podstaw do tego, aby przetwarzać numer telefonu M. R., a zwłaszcza przekazać go zewnętrznemu podmiotowi. Na marginesie, organ wskazał, że w swej skardze z dnia [...] sierpnia 2014 r. M. R. podniósł m.in., że "Na podstawie Ustawy o ochronie danych osobowych (...) art. 32 ust. 1 pkt 8 wnoszę sprzeciw wobec przemarzania moich danych osobowych w celach marketingowych (w tym marketingu własnego) oraz wobec przekazywania tych danych innemu administratorowi tych danych (...) przez firmę [...] sp. z o.o.". Jednocześnie, organ zauważył, że powyższe oświadczenie woli zostało przesłane skarżącej spółce w celu odniesienia się do skargi. W tej sytuacji, zdaniem organu, pośrednio doszło do skutecznego oświadczenia woli przez M. R. wobec operatora o przytoczonej treści. W konsekwencji, organ uznał, że - biorąc pod uwagę okoliczność, iż operator ma świadomość, że skarżący wniósł sprzeciw wobec przetwarzania jego danych osobowych w celach marketingowych - winien on zaprzestać ich przetwarzania w tym celu, zgodnie z art. 32 ust. 3 ustawy o ochronie danych osobowych. Odnosząc się z kolei do zarzutu nieprawidłowego zastosowania przepisów poprzez błędną wykładnię art. 23 ust. 1 oraz art. 51 ustawy o ochronie danych osobowych - Generalny Inspektor Ochrony Danych Osobowych wskazał, że ocena naruszenia przepisów karnych ustawy należy do innych, niż GIODO, organów. W tym miejscu, organ powołał się na stanowisko Naczelnego Sądu Administracyjnego wyrażone w wyroku z dnia 19 listopada 2001 r., sygn. akt II SA 2702/00, w którym NSA stwierdził, iż: "osoba dochodząca ochrony swych praw w trybie ustawy o ochronie danych osobowych nie jest podmiotem postępowania obliczonego na wydanie decyzji o zawiadomieniu stosownego organu o przestępstwie w zakresie przetwarzania danych osobowych i nie może się tego domagać od GIODO w administracyjno-prawnych formach tego postępowania. Przepis art. 19 ustawy nie daje bowiem stronie roszczenia w tym względzie". W piśmie z dnia 20 lipca 2017 r. strona skarżąca, reprezentowana przez adwokata, wniosła do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na powyższą decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] kwietnia 2016 r. Wnosząc o uchylenie zaskarżonej decyzji oraz poprzedzającej ją decyzji GIODO z dnia [...] kwietnia 2016 r., a także o zasądzenie kosztów postępowania według norm przepisanych, w tym kosztów zastępstwa procesowego, skarżąca spółka zarzuciła Generalnemu Inspektorowi Ochrony Danych Osobowych: I. naruszenie przepisów prawa materialnego, w tym: 1) naruszenie art. 161 ust. 1 ustawy z dnia 16 lipca 2004 r. - Prawo telekomunikacyjne - poprzez jego błędną wykładnię, a w konsekwencji bezpodstawne przyjęcie, że w przedmiotowej sprawie operator telekomunikacyjny nie jest uprawniony do przetwarzania danych swojego klienta, w celu poprawy jakości świadczonych przez operatora usług, czemu miało właśnie służyć badanie poziomu satysfakcji z obsługi klienta; 2) nieprawidłowe zastosowanie przepisów - poprzez błędną wykładnię w zakresie art. 23 ust. 1 oraz art. 51 u.o.d.o.; 3) naruszenie art. 165 ust. 4 ustawy – Prawo telekomunikacyjne - poprzez jego błędną wykładnię, polegającą na uznaniu, że: - wykorzystanie numeru telefonu w celu prowadzenia marketingu wymaga zgody opisanej w tym przepisie; - działania marketingowe, o których mowa w tym przepisie, obejmują również badania satysfakcji klienta; 4) naruszenie art. 23 ust. 1 pkt 1 u.o.d.o. w zw. z art. 23 ust. 1 pkt 5 u.o.d.o. i art. 32 ust. 1 pkt 8 u.o.d.o. - poprzez ich błędną wykładnię polegającą na uznaniu, że brak zgody na prowadzenie marketingu bezpośredniego za pomocą środków komunikacji elektronicznej oraz przetwarzanie danych transmisyjnych na gruncie art. 10 ustawy z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną (tekst jednolity Dz.U. z 2016 r., poz. 1030 ze zm. - zwanej dalej: "u.ś.d.e.") w zw. z art. 172 i art. 165 ust. 4 ustawy - Prawo telekomunikacyjne, uniemożliwia przetwarzanie danych osobowych również w zakresie prawnie usprawiedliwionego celu administratora danych, który nie jest takim marketingiem bezpośrednim, bez konieczności złożenia sprzeciwu odnośnie przetwarzania danych w celu marketingowym; II. naruszenie przepisów postępowania, które miało istotny wpływ na wynik sprawy, a w szczególności: 1) naruszenie art. 138 § 1 k.p.a. - poprzez utrzymanie decyzji w mocy, podczas gdy należało decyzję dotkniętą ww. wadami uchylić i orzec odmiennie, co do istoty sprawy; 2) naruszenie art. 7, art. 77 § 1, art. 80 i art. 107 § 3 k.p.a. - poprzez: a) błędne ustalenie, że przetwarzanie danych osobowych abonenta przez Skarżącego w celu realizacji badania poziomu satysfakcji z obsługi klienta, jest równoznaczne z przetwarzaniem danych osobowych dla celów marketingu usług telekomunikacyjnych lub świadczenia usług o wartości wzbogaconej; b) błędne ustalenie, że M. R. nie zgodził się na przetwarzanie jego danych w celach marketingowych, podczas gdy odmowa wyrażenia zgody obejmowała wyłącznie: - prowadzenie marketingu bezpośredniego z wykorzystaniem środków komunikacji elektronicznej, w tym automatycznych systemów wywołujących; - przetwarzanie w celu marketingowym szczególnej kategorii danych, jaką są dane transmisyjne; - błędne ustalenie, że brak zgody na prowadzenie marketingu za pomocą środków komunikacji elektronicznej oraz przetwarzanie danych transmisyjnych (na gruncie art. 10 u.ś.d.e., art. 172 P.t. i art. 65 ust. 4 P.t.) stanowi sprzeciw wobec przetwarzania danych w celach marketingowych (art. 32 ust. 1 pkt 8 u.o.d.o.); c) brak ustalenia definicji marketingu bezpośredniego, o której mowa w art. 23 ust. 1 pkt 5 u.o.d.o. oraz marketingu usług telekomunikacyjnych, o którym mowa w art. 165 ust. 4 P.t., względnie błędne utożsamianie marketingu bezpośredniego i marketingu usług telekomunikacyjnych z celem marketingowym, w rozumieniu art. 32 ust. 1 pkt 8 u.o.d.o. W uzasadnieniu skargi strona skarżąca przedstawiła argumenty, które - w jej ocenie - świadczyć mają o istotnym naruszeniu powołanych wyżej przepisów przez organ rozstrzygający sprawę. Strona skarżąca uznała, że nie znajduje uzasadnienia stanowisko Generalnego Inspektora Ochrony Danych Osobowych, zgodnie z którym przetwarzanie danych osobowych M. R. przez skarżącą spółkę, w celu realizacji badania poziomu satysfakcji z obsługi klienta, jest równoznaczne z przetwarzaniem danych osobowych dla celów marketingu usług telekomunikacyjnych. Strona skarżącą wskazała, że M. R., składając w dniu [...] października 2012 r. wniosek o przeniesienie numeru do sieci [...] oraz udostępniając swoje dane osobowe - nie wyraził zgody na: - otrzymywanie informacji, w tym w szczególności o nowych ofertach promocyjnych, produktach, usługach i konkursach oraz innych informacji handlowych za pomocą środków komunikacji elektronicznej, w szczególności przy użyciu automatycznych systemów wywołujących; podstawą prawną pozyskiwania tej zgody był art. 10 ust. 1 i 2 u.ś.d.e. oraz art. 172 ust. 1 ustawy - Prawo telekomunikacyjne; - przetwarzanie danych transmisyjnych dla celów marketingu usług telekomunikacyjnych; podstawą prawną pozyskiwania tej zgody był art. 165 ust. 4 P.t., nie zaś na przetwarzanie jego danych osobowych w celach marketingowych w ogóle, jak stwierdził błędnie organ w uzasadnieniu obu spornych decyzji. Strona skarżąca, powołując się na przepis art. 172 ust. 1 P.t. - uznała, że na gruncie niniejszej sprawy, mamy do czynienia z marketingiem bezpośrednim, który stanowi jedynie wąski zakres działań marketingowych, polegający na dotarciu z przekazem marketingowym do indywidualnie oznaczonych odbiorców. Strona skarżąca podniosła, że marketing bezpośredni jest przeciwieństwem typowych działań marketingowych polegających na rozpowszechnianiu reklam w środkach masowego przekazu, które nie mają konkretnego adresata. W tym miejscu, skarżąca spółka zaznaczyła, że ze wspomnianych przepisów wynika obowiązek uzyskania zgody na prowadzenie marketingu bezpośredniego z wykorzystaniem konkretnej technologii, środków komunikacji elektronicznej, czy też automatycznych systemów wywołujących. Zdaniem skarżącej spółki, z przepisów prawa nie wynika natomiast w żaden sposób obowiązek na uzyskanie zgody w celu prowadzenia marketingu bezpośredniego w inny sposób - na przykład poprzez wysyłkę tradycyjnych przesyłek pocztowych, zaś takie działania mogą być prowadzone w oparciu o prawnie usprawiedliwiony interes administratora danych, o którym mowa w art. 23 ust. 1 pkt 5 u.o.d.o. Według strony skarżącej, istotą art. 165 ust. 4 P.t. jest zapewnienie, aby szczególnie wrażliwa kategoria danych była przetwarzana wyłącznie za zgodą i tylko w ściśle określonych celach, co jest uzasadnione faktem, że dane transmisyjne dostarczają bardzo szczegółowych informacji o życiu każdego z abonentów (np. z kim i jak długo rozmawia, gdzie przebywa). W ocenie strony skarżącej wnioskowanie, zgodnie z którym wykorzystanie numeru telefonu w celu marketingu wymaga odrębnej zgody, prowadziłoby do kuriozalnej sytuacji, w której dostawca, posiadając zgodę abonenta na podstawie art. 172 P.t. lub art. 10 u.ś.d.e. na wysłanie reklamowego SMS-a, musiałby dodatkowo uzyskać jego zgodę na wykorzystanie w tym celu jego numeru telefonu - bez którego trudno taki SMS wysłać. Strona skarżąca - powołując się na motywy dyrektywy 2002/58/WE Parlamentu Europejskiego i Rady z dnia 12 lipca 2002 r. dotyczącej przetwarzania danych osobowych i ochrony prywatności w sektorze łączności elektronicznej - stwierdziła, że marketing bezpośredni związany jest wyłącznie z oferowaniem produktów i usług (motyw 41 cyt. dyrektywy). W tej sytuacji, skarżąca spółka stwierdziła, że nawet, gdyby uznać argument organu, że badanie jakości przez Biuro Obsługi Klienta jest działaniem marketingowym (co nie jest prawdą), to jednak uznać należy, że GIODO nie wykazał ani nie uzasadnił, iż dotyczy ono marketingu usług telekomunikacyjnych lub świadczenia usług o wartości wzbogaconej, a zatem powinno spełniać przesłanki z art. 165 ust. 4 P.t. W ocenie strony skarżącej, organ nie uzasadnił, dlaczego traktuje badanie oceny satysfakcji klienta, jako działania marketingowe. Skarżąca spółka stwierdziła, że nie może zgodzić się z tezą GIODO, iż w omawianym przypadku marketing należy traktować szeroko i rozumieć przez marketing każde działanie dostawcy usług telekomunikacyjnych prowadzące do zysku, gdyż przyjmując takie założenie, wszystkie aspekty funkcjonowania dostawcy usług telekomunikacyjnych należałoby uznać za działania marketingowe, albowiem wszystkie bezpośrednio lub pośrednio prowadzą do osiągnięcia zysku. Strona skarżąca podniosła, iż wyższa sprawność Biura Obsługi Klienta i zadowolenie klientów przekładać się będą w sposób oczywisty na zyski operatora, co nie oznacza jednak, że przedmiotowe działania operatora idące w kierunku poprawy satysfakcji z obsługi klienta są działaniami marketingowymi. Według skarżącej spółki, ciągła poprawa jakości świadczonych usług jest obowiązkiem operatora i nadrzędnym celem, który wynika nie tylko z powszechnie obowiązujących przepisów prawa, ale też bezpośrednio z decyzji organów regulacyjnych (Prezesa Urzędu Komunikacji Elektronicznej oraz Prezesa Urzędu Ochrony Konkurencji i Konsumentów) i właśnie badania poziomu satysfakcji z obsługi klienta są podstawową i najbardziej skuteczną drogą do realizacji tego jakże istotnego dla całego rynku telekomunikacyjnego celu. Zdaniem strony skarżącej, GIODO - zamiast powoływać się na encyklopedyczne decyzje marketingu nijak nie odnoszące się do powszechnie obowiązujących przepisów prawa, nie mówiąc już o adekwatności do przedmiotowego stanu faktycznego - powinien wspierać operatora w działaniach zmierzających do poprawy jakości świadczonych usług konsumentom, w żaden sposób nie naruszających ich prywatności, odbywających się zgodnie z prawem i powszechnie przyjętymi na świecie standardami. W ocenie strony skarżącej, Generalny Inspektor Ochrony Danych Osobowych nie uzasadnił, dlaczego traktuje badanie oceny satysfakcji klienta, jako działania marketingowe i nie przytoczył żadnych argumentów odnośnie konsekwentnie wyrażanego stanowiska strony skarżącej, że działania marketingowe, to działania zmierzające do sprzedaży [pic]produktów lub usług, zaś wykonywane przez stronę skarżącą badania prowadziły jedynie do poprawy jakości już świadczonych klientowi usług. Skarżąca spółka zauważyła, że połączenie telefoniczne do klienta w dniu [...] stycznia 2014 r. zostało wykonane w ramach badania poziomu satysfakcji z obsługi klienta za IV kwartał 2013 r. (a nie oceny satysfakcji klienta z usług oferowanych przez skarżącego operatora, jak stwierdził w decyzji organ), na podstawie art. 23 ust. 1 pkt 5 u.o.d.o., tj. wypełnienie prawnie usprawiedliwionego celu realizowanego przez skarżącego operatora, jako administratora danych, na potrzeby prowadzenia analiz gospodarczych oraz zgodnie z § 11 ust. 2 Regulaminu świadczenia Usług Telekomunikacyjnych przez [...] sp. z o.o. dla Użytkowników, którego kopia stanowiła załącznik nr 2 do pisma strony skarżącej z dnia [...] czerwca 2015 r. Zdaniem strony skarżącej, zgoda, o której mowa w decyzji organu, dotyczy otrzymywania informacji handlowych za pomocą środków komunikacji elektronicznej i była pozyskiwana na podstawie u.ś.d.e., a nie u.o.d.o. Strona skarżącą wskazała, że nie wybierała do badania osób, które wniosły - zgodnie z u.o.d.o. - sprzeciw na przetwarzanie danych w celach marketingowych, albowiem wyszła rozszerzająco z założenia chęci poszanowania woli abonentów w zakresie komunikacji marketingowej przez telefon. W ten sposób, według strony skarżącej, operator dążył właśnie do poszanowania prywatności swoich klientów i z ostrożności nie wykonywał połączeń telefonicznych do tych abonentów, którzy wnieśli przedmiotowy sprzeciw, uznając, że jeśli ktoś nie chce telefonów marketingowych, to nie należy go także "niepokoić" telefonami dotyczącymi jakichkolwiek badań. Skarżąca spółka uznała, że działania marketingowe to działania zmierzające do sprzedaży produktów lub usług, zaś w przedmiotowym przypadku cel był zupełnie inny, gdyż badania przeprowadzono w celu poprawy jakości świadczenia usług. Skarżąca spółka, posiłkując się Międzynarodowym Kodeksem postępowania w badaniach rynkowych i społecznych oraz wytycznymi ESOMAR (European Society for Opinion and Marketing Research) przyjętymi przez Europejskie Stowarzyszenie Badaczy Opinii Publicznej i Rynku, uznała, że istnieją fundamentalne różnice pomiędzy badaniami a działaniami marketingowymi, których to różnić GIODO nie dostrzegł. Strona skarżąca zauważyła, że w trakcie badań nie są zbierane dane osobowe, które następnie byłyby wykorzystane w sprzedaży bezpośredniej lub działaniach promocyjnych kierowanych do osób, które uczestniczą w badaniu. Skarżąca spółka podniosła, że osoby uczestniczące w badaniach mają absolutną pewność, że żadne informacje, jakich udzielą, nie zostaną wykorzystane dla jakichkolwiek celów innych, niż projekt badawczy oparty na naukowych podstawach oraz że zapewniona będzie ich anonimowość. Strona skarżąca wskazała, że celem wytycznych ESOMAR jest zapewnienie, że role i metody pracy obu tych dziedzin, a więc badań i działań marketingowych, są rozgraniczone w sposób zapewniający maksymalną przejrzystość tego podziału tak, aby uniknąć mylenia jednej działalności z drugą. W ocenie strony skarżącej, definicje pojęcia "marketing" przywołane w zaskarżonej decyzji organu trudno odnieść do zaistniałego stanu faktycznego, gdyż odzwierciedlają one marketing w bardzo szerokim pojęciu, nie zaś w aspekcie badań dotyczących satysfakcji z obsługi klienta, które - według skarżącej spółki - działaniami marketingowymi nie są. W tej sytuacji, strona skarżąca uznała, że - idąc tropem rozumowania organu - każde działanie skarżącego operatora dotyczące kontaktu z klientem traktowane byłoby jako działanie marketingowe, gdyż pośrednio zawsze w jakimś aspekcie jest ukierunkowane na zysk. Tymczasem, skarżąca spółka wskazała, że będąc dostawcą usług telekomunikacyjnych, ma bezwzględny obowiązek stałej pracy nad poprawą jakości obsługi klienta, z uwagi na fakt, iż wymagają tego od strony skarżącej instytucje konsumenckie i regulacyjne (UOKiK, UKE, GIODO), które przedstawiają swoje oczekiwania w decyzjach administracyjnych w sposób bezpośredni nadkładających konkretne obowiązki zarówno w aspekcie powszechnym, jak i indywidualnym. Skarżąca spółka podniosła, iż wskazane powyżej organy nakładają na operatorów obowiązki związane z poprawą jakości świadczonych usług zarówno z własnej inicjatywy umocowanej w powszechnie obowiązujących przepisach prawa, jak i na wniosek samych klientów. W konsekwencji, skarżąca spółka stwierdziła, że jest zobligowana do wdrażania aktywności zmierzających do poprawy jakości świadczonych usług i musi mieć pełną wiedzę na temat potrzeb klientów, zaś wiedzę taką najskuteczniej można pozyskać w bezpośrednim kontakcie z klientem, zadając mu konkretne pytania lub prosząc o wyrażenie własnej opinii. Strona skarżąca zarzuciła, że stwierdzenie GIODO, jakoby działania skarżącej spółki ingerowały w prywatność jej klienta jest nieuzasadnione. Ponadto, strona skarżąca stwierdziła, że - wbrew sugestiom GIODO - tytuł umowy zawartej pomiędzy skarżącą spółką a spółką [...] sp. z o.o., na podstawie której było zrealizowane sporne badanie, nie może determinować faktycznego charakteru przetwarzania danych osobowych klienta, a zatem nie może z góry określać, czy jest to marketing, czy nie. W ocenie strony skarżącej, Generalny Inspektor Ochrony Danych Osobowych w swych decyzjach nie wziął w ogóle pod uwagę faktu, że skarżąca spółka, przetwarzając dane M. R. w zakresie badania poziomu satysfakcji z obsługi klienta, przetwarza przedmiotowe dane w ścisłym związku z wykonywaniem usług telekomunikacyjnych użytkownikowi, do czego jest uprawniona na podstawie art. 161 ust. 1 P.t., a nie ma wątpliwości, że przepisy P.t. stanowią lex specialis w stosunku do przepisów u.o.d.o. Według strony skarżącej, w stanie prawnym obowiązującym zarówno w dniu złożenia przez M. R. wniosku o przeniesienie jego numeru do sieci [...] oraz udostępnienia danych osobowych, jak również w dniu wykonania spornego połączenia przez spółkę [...] sp. z o.o., skarżący operator nie był obowiązany do pozyskania od tego klienta zgody na prowadzenie działań marketingowych przez telefon. Skarżąca spółka stwierdziła, że była i jest obowiązana do uwzględnienia w tym zakresie sprzeciwu klienta wnoszonego w trybie art. 32 ust. 1 pkt 8 u.o.d.o., niemniej podkreślić trzeba, że w dniu realizacji wspomnianego połączenia telefonicznego na koncie abonenckim klienta nie było odnotowanego tego sprzeciwu. W oceni strony skarżącej, istniała zatem przesłanka prawna (art. 23 ust. 1 pkt 5 u.o.d.o.) umożliwiająca skarżącej spółce, bez naruszenia praw i wolności klienta, przetwarzanie danych osobowych M. R. w celu wykonania przedmiotowego badania, nawet w sytuacji, gdyby hipotetycznie to działanie można byłoby potraktować jako działanie marketingowe (co w tym przypadku - zdaniem strony skarżącej - nie miało miejsca). Strona skarżąca podniosła ponadto, że należy zgodzić się ze stanowiskiem organu wyrażonym w decyzji, zgodnie z którym spółka [...] sp. z o.o. "pozyskała jedynie bazę numerów od Operatora, w tym numer Skarżącego (czyli Klienta), bez żadnych dodatkowych informacji, dlatego na ich podstawie nie mogła zidentyfikować osoby, do której dany numer należał. Nie posiadała ona zatem danych osobowych w rozumieniu art. 6 ustawy, a co za tym idzie nie przetwarzała danych osobowych". Strona skarżąca wskazała w konsekwencji, że skoro zgodnie z art. 7 pkt 2 u.o.d.o., przez przetwarzanie danych rozumie się jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, zaś spółka [...] nie przetwarzała danych osobowych klienta - należy uznać, iż nie mogło dojść do naruszenia art. 51 u.o.d.o. w wyniku udostępnienia lub przekazania danych osobowych klienta przez skarżącego operatora do spółki [...] sp. z o.o. W związku z powyższym, skarżąca spółka uznała, że skierowanie przez GIODO do Prokuratury Rejonowej [...] zawiadomienia o podejrzeniu popełnieniu przestępstwa określonego w art. 51 u.o.d.o., należy w tym przypadku potraktować, jako działanie nieadekwatne do zaistniałej sytuacji. Strona skarżąca wskazała jednocześnie, iż operator, jako administrator danych, nie jest zobowiązany do uzyskania zgody na przetwarzanie danych w celach marketingowych, albowiem takie uprawnienie wynika z art. 23 ust. 1 pkt 5 u.o.d.o., a pobieranie zgody byłoby w tym zakresie nadmiarowe. W ocenie skarżącej spółki, Generalny Inspektor Ochrony Danych Osobowych dla oceny spornego działania przyjął w zaskarżonej decyzji jedynie ogólne pojęcie marketingu, które obejmuje [pic]praktycznie każdy aspekt działalności przedsiębiorstwa, gdy tymczasem - zdaniem skarżącej spółki - w perspektywie przepisów mających na celu ochronę prywatności kierować należy się tylko "mixem komunikacji", tożsamym zresztą z potocznym rozumieniem pojęcia słowa marketing. W konsekwencji, strona skarżąca stwierdziła zatem, że określenie "marketing usług telekomunikacyjnych" musi oznaczać reklamę lub promocję usług telekomunikacyjnych, ponieważ właśnie takie działania wiążą się z ingerencją w prywatność abonenta. Taki sposób rozumienia tego pojęcia, w ocenie strony skarżącej, jest też intuicyjnie słuszny, albowiem - mówiąc marketing usług - myślimy o reklamie usług, nie zaś o procesie tworzenia tych usług, czy też budowaniu sieci ich dystrybucji. W tym miejscu strona skarżąca podniosła, że liczne definicje marketingu, które pojawiają się w orzecznictwie sądów administracyjnych, dotyczyły generalnie spraw podatkowych, których nie można przekładać na realia niniejszej sprawy z uwagi na kompletnie różny przedmiot regulacji. Uzasadniając wniosek o wstrzymanie wykonania zaskarżonej decyzji GIODO, strona skarżąca wskazała ponadto, że utrzymanie w mocy obu spornych decyzji może uniemożliwić stronie skarżącej prowadzenie jakichkolwiek badań dotyczących satysfakcji z obsługi klienta oraz badań poziomu jakości świadczonych przez stronę skarżącą usług, co może w konsekwencji wywołać efekt zwiększonej ilości reklamacji usług telekomunikacyjnych i skarg konsumenckich. Jednocześnie, skarżąca spółka - zarzucając, iż organ w uzasadnieniu obu spornych decyzji nie przedstawił żadnych kryteriów odróżnienia działań marketingowych od badań dotyczących wyłącznie poziomu jakości świadczonych usług - uznał, że utrzymanie tych decyzji w mocy może uniemożliwić prowadzenie niezbędnych dla dostawcy usług telekomunikacyjnych badań. W odpowiedzi na skargę Generalny Inspektor Ochrony Danych Osobowych wniósł o jej oddalenie, podtrzymując swoje dotychczasowe stanowisko wyrażone w uzasadnieniu zaskarżonej decyzji. Ustosunkowując się do zarzutów strony skarżącej w zakresie błędnego rozumienia pojęcia marketingu, Generalny Inspektor Ochrony Danych Osobowych ponownie powołał się zarówno na definicję w internetowej encyklopedii PWN, jak i na definicję z internetowego Słownika Języka Polskiego PWN, przyjmując, iż w świetle zacytowanych definicji, działania skarżącego operatora polegające na selekcji klientów, którzy "w ostatnich 3 miesiącach przed generowaniem grupy docelowej kontaktowali się z Biurem Obsługi Klienta Spółki" i którzy "nie wnieśli sprzeciwu wobec przetwarzania ich danych osobowych, o którym mowa w art. 32 ust. 1 pkt 8 u.o.d.o." i poddanie ich badaniu oceny satysfakcji klienta z obsługi BOK, przez podmiot zewnętrzny, stanowi przetwarzanie danych klientów w celach marketingowych (w tym sama selekcja klientów do badania stanowi przetwarzanie danych w celach marketingowych). Generalny Inspektor Ochrony Danych Osobowych zauważył ponadto, że M. R. nie zgodził się na przetwarzanie jego danych osobowych w celach marketingowych, o czym świadczy brak wyrażenia zgody na otrzymywanie informacji, w tym w szczególności o nowych ofertach promocyjnych, usługach, konkursach oraz innych informacji handlowych za pomocą środków komunikacji elektronicznej. Zdaniem organu, M. R., jako klient skarżącego operatora, nie wyraził zgody na marketing w całości, a więc tym samym rozważanie, czy mamy do czynienia z marketingiem bezpośrednim, czy też nie - nie mają znaczenia dla sprawy. Ponadto, GIODO stwierdził, że skarżący operator w niniejszej sprawie przetwarzał dane transmisyjne wspomnianego klienta w postaci numeru jego telefonu. Tymczasem, jak zauważył organ, dane transmisyjne mogą być przetwarzane w celach marketingowych jedynie po uzyskaniu wyraźnej zgody abonenta, albowiem zgodnie z art. 165 ust. 4 P.t. "dostawca publicznie dostępnych usług telekomunikacyjnych może przetwarzać dane transmisyjne (...) w zakresie i przez czas niezbędny dla celów marketingu usług telekomunikacyjnych lub świadczenia usług wartości wzbogaconej, jeżeli abonent lub użytkownik końcowy wyraził na to zgodę". Organ podniósł, iż w niniejszej sprawie operator przekazał numer telefonu (danę transmisyjną) M. R. spółce [...] sp. z o.o. (działającej w imieniu operatora) w celu podjęcia przez nią działań marketingowych, tj. oceny satysfakcji klienta z usług oferowanych przez operatora. W tej sytuacji, zdaniem organu, argumentacja skarżącej spółki, że numer ten został przekazany gdyż wspomniany klient nie zgłosił sprzeciwu wobec przetwarzania jego danych osobowych, o którym mowa w 32 ust. 1 pkt 8 u.o.d.o., nie zasługuje na uwzględnienie. Skoro bowiem - jak zauważył organ - ów klient już na etapie zawierania umowy nie zgodził się na przetwarzanie jego danych osobowych w celach marketingowych operatora, nie musiał zgłaszać takiego sprzeciwu. Tym samym, GIODO stwierdził, że skarżący operator nie miał podstawy do tego, aby przetwarzać numer telefonu M. R., a zwłaszcza przekazać go zewnętrznemu podmiotowi. Odnosząc się z kolei do zarzutu nieprawidłowego zastosowania przepisów poprzez błędną wykładnię w zakresie art. 23 ust. 1 oraz art. 51 u.o.d.o., Generalny Inspektor Ochrony Danych Osobowych wskazał, że ocena naruszenia przepisów karnych cyt. ustawy należy do innych, niż GIODO, organów. Ustosunkowując się do zarzutu naruszenia art. 7, art. 77 § 1, art. 80 i art. 107 § 3 k.p.a., organ wskazał, że podjął wszelkie czynności niezbędne do dokładnego wyjaśnienia stanu faktycznego i załatwienia sprawy, mając na względzie zarówno interes społeczny, jak i słuszny interes obywateli. Zdaniem organu, zostały również prawidłowo zebrane dowody i ocenione w sposób wyczerpujący, a na ich podstawie dokonano prawidłowych ustaleń faktycznych. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje. Zgodnie z art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (tekst jednolity Dz. U. z 2017 r., poz. 2188 ze zm.), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej, przy czym kontrola ta sprawowana jest pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej. W świetle powołanych przepisów cyt. ustawy, Wojewódzki Sąd Administracyjny w Warszawie, w zakresie swojej właściwości, ocenia zaskarżoną decyzję administracyjną, postanowienie, czy też inny akt lub czynność z zakresu administracji publicznej dotyczącą uprawnień lub obowiązków wynikających z przepisów prawa, z punktu widzenia ich zgodności z prawem materialnym i przepisami postępowania administracyjnego, według stanu faktycznego i prawnego obowiązującego w dacie wydania tego aktu lub podjęcia spornej czynności. Chodzi więc o kontrolę aktów lub czynności z zakresu administracji publicznej dokonywaną pod względem ich zgodności z prawem materialnym i przepisami procesowymi, nie zaś według kryteriów słuszności, czy też zgodności z zasadami współżycia społecznego. Ponadto, co wymaga podkreślenia, Sąd rozstrzyga w granicach danej sprawy, nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną (vide: art. 134 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi - tekst jednolity Dz. U. z 2017 r., poz. 1369 ze zm., dalej także: "p.p.s.a."). Należy jednocześnie wyraźnie zaznaczyć, że od dnia wejścia w życie Traktatu Akcesyjnego z dnia 16 kwietnia 2003 r. (Dz. U. z 2004 r. Nr 90, poz. 864), na mocy, którego Polska stała się państwem członkowskim Unii Europejskiej, kontrola sądu administracyjnego obejmuje również zgodność rozstrzygnięć organów administracji publicznej z prawem europejskim (prawem Unii Europejskiej), rozumianym, jako całokształt dorobku prawnego Unii Europejskiej (acquis communautaire), w tym zasad ogólnych prawa europejskiego, interpretowanych oraz stosowanych w sposób jednolity na całym obszarze Unii Europejskiej. W tej sytuacji, Wojewódzki Sąd Administracyjny w Warszawie, dokonując oceny legalności zaskarżonej decyzji Generalnego Inspektora Ochrony Danych Osobowych, zobowiązany był wziąć pod uwagę również jej zgodność z przepisami prawa europejskiego, w tym przede wszystkim regulacjami zawartymi w Dyrektywie nr 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Dz. Urz. UE L z dnia 23 listopada 1995 r. Nr 281, s. 31; Dz. Urz. UE-sp.13-15-355 ze zm.). W ocenie Wojewódzkiego Sądu Administracyjnego w Warszawie, analizowana pod tym kątem skarga spółki [...] sp. z o.o. z siedzibą w [...] zasługuje na uwzględnienie, albowiem zaskarżona decyzja Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] czerwca 2017 r., nr [...], utrzymująca w mocy decyzję tego organu z dnia [...] kwietnia 2016 r. nakazującą skarżącej spółce zaprzestanie przetwarzania danych osobowych w celach marketingowych, wydaną w sprawie zainicjowanej skargą M. R. na przetwarzanie jego danych osobowych przez spółkę [...] sp. z o.o. oraz spółkę [...] sp. z o.o. z siedzibą w [...] - narusza obowiązujące przepisy prawa. Sąd uznał, iż Generalny Inspektor Ochrony Danych Osobowych, wydając obie sporne decyzje administracyjne, dopuścił się przede wszystkim naruszenia przepisów prawa materialnego, w tym w szczególności naruszenia art. 161 ust. 1 ustawy z dnia 16 lipca 2004 r. - Prawo telekomunikacyjne - poprzez jego błędną wykładnię, a w konsekwencji bezpodstawne przyjęcie, że w przedmiotowej sprawie skarżąca spółka [...] sp. z o.o., jako operator telekomunikacyjny, nie była uprawniona do przetwarzania danych swojego abonenta – M. R., w celu poprawy jakości świadczonych przez skarżącego operatora usług, poprzez przeprowadzenie spornego badania poziomu satysfakcji tego klienta z obsługi świadczonej przez Biuro Obsługi Klienta sieci [...]. Sąd stwierdził ponadto, iż Generalny Inspektor Ochrony Danych Osobowych, wydając obie sporne decyzje administracyjne, dopuścił się jednocześnie naruszenia art. 23 ust. 1 pkt 1 w zw. z art. 23 ust. 1 pkt 5 i art. 32 ust. 1 pkt 8 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych - poprzez ich błędną wykładnię polegającą na uznaniu, że brak zgody na prowadzenie marketingu bezpośredniego za pomocą środków komunikacji elektronicznej oraz przetwarzanie danych transmisyjnych na gruncie art. 10 ustawy z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną w zw. z art. 172 i art. 165 ust. 4 ustawy - Prawo telekomunikacyjne, uniemożliwia przetwarzanie danych osobowych abonenta również w zakresie prawnie usprawiedliwionego celu administratora danych, który nie jest takim marketingiem bezpośrednim, bez konieczności złożenia sprzeciwu odnośnie przetwarzania danych w celu marketingowym. W konsekwencji wadliwie zinterpretowanych norm prawa materialnego, organ dopuścił się także naruszenia przepisów postępowania, które miało istotny wpływ na wynik sprawy, a w szczególności naruszenia art. 7 k.p.a., art. 77 § 1 k.p.a., art. 80 k.p.a. i art. 107 § 3 k.p.a. - poprzez błędne ustalenie, że przetwarzanie danych osobowych abonenta przez skarżącą spółkę [...] sp. z o.o. w celu realizacji badania poziomu satysfakcji tego klienta z obsługi oferowanej przez BOK sieci [...], jest równoznaczne z przetwarzaniem danych osobowych dla celów marketingu usług telekomunikacyjnych lub świadczenia usług o wartości wzbogaconej. Tym samym, Sąd uznał, że Generalny Inspektor Ochrony Danych Osobowych, wydając sporne decyzje administracyjne - dopuścił się w powyższym zakresie istotnego naruszenia zasady praworządności wyrażonej w przepisach art. 6 k.p.a. i art. 7 in principio k.p.a. oraz art. 7 Konstytucji RP. Na wstępie należy zauważyć, że zgodnie z art. 12 pkt 1 i pkt 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, do zadań Generalnego Inspektora Ochrony Danych Osobowych w szczególności należy kontrola zgodności przetwarzania danych z przepisami o ochronie danych osobowych oraz wydawanie decyzji administracyjnych i rozpatrywanie skarg w sprawie wykonania przepisów o ochronie danych osobowych. Natomiast, w myśl art. 18 ust. 1 u.o.d.o., w przypadku naruszenia przepisów o ochronie danych osobowych Generalny Inspektor Ochrony Danych Osobowych z urzędu lub na wniosek osoby zainteresowanej, w drodze decyzji administracyjnej, nakazuje przywrócenie stanu zgodnego z prawem, a w szczególności: 1) usunięcie uchybień, 2) uzupełnienie, uaktualnienie, sprostowanie, udostępnienie lub nieudostępnienie danych osobowych, 3) zastosowanie dodatkowych środków zabezpieczających zgromadzone dane osobowe, 4) wstrzymanie przekazywania danych osobowych do państwa trzeciego, 5) zabezpieczenie danych lub przekazanie ich innym podmiotom, 6) usunięcie danych osobowych. Z powyższego przepisu wynika, zatem, że treścią decyzji powinien być nakaz przywrócenia stanu zgodnego z prawem, który może dotyczyć konkretnego, określonego w nim działania lub zaniechania. W literaturze podnosi się, iż mamy tu do czynienia ze stopniowaniem sankcji administracyjnych (w zależności od rodzaju uchybienia), a Generalny Inspektor Ochrony Danych Osobowych powinien stosować konkretne nakazy z uwzględnieniem charakteru stwierdzonego naruszenia, tj. adekwatne (współmierne) do stopnia naruszenia i zagrożenia praw osoby, której dane dotyczą (zob. G. Sibiga, Postępowanie w sprawach ochrony danych osobowych, Warszawa 2003, s. 153). W literaturze i orzecznictwie wyrażany jest również pogląd, zgodnie, z którym stwierdzony przez organ stan naruszenia przepisów o ochronie danych osobowych powinien istnieć w dacie wydania decyzji, natomiast, jeżeli postępowanie administracyjne zostało wszczęte w wyniku stwierdzenia nieprawidłowości przez inspekcję, a w trakcie tego postępowania ustanie stan naruszenia prawa (np. administrator usunie uchybienia), postępowanie staje się bezprzedmiotowe, a organ wydaje decyzję o jego umorzeniu na podstawie art. 105 k.p.a. (por. m.in. wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 13 marca 2014 r., sygn. akt II SA/Wa 1988/13, publ. http://orzeczenia.nsa.gov.pl). Wykonując powierzone zadania w świetle przepisów cyt. ustawy, GIODO obowiązany jest dokonać oceny zgodności z prawem przetwarzania danych osobowych wnoszącego skargę. Rolą organu powołanego do spraw ochrony danych osobowych jest zatem - w każdej indywidualnej sprawie - przede wszystkim ustalenie, czy dane osobowe konkretnego skarżącego przetwarzane są zgodnie z prawem. Ocena w tym zakresie determinuje bowiem rodzaj rozstrzygnięcia organu. Pamiętać przy tym należy, że przez przetwarzanie danych rozumie się m.in. ich zbieranie, utrwalanie, opracowywanie, udostępnianie (art. 7 pkt 2 u.o.d.o.). Stosownie do art. 22 ustawy o ochronie danych osobowych, postępowanie w sprawach uregulowanych w tej ustawie prowadzi się według przepisów Kodeksu postępowania administracyjnego, o ile przepisy ustawy nie stanowią inaczej. Z uwagi na fakt, iż ustawa o ochronie danych osobowych nie reguluje kwestii postępowania dowodowego i powinności organu związanych z czynieniem ustaleń faktycznych, zastosowanie w tym zakresie znajdują reguły i zasady określone w Kodeksie postępowania administracyjnego. Warto zauważyć, że zadaniem ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych nie jest jedynie stanie na straży interesów tych, których przetwarzane dane osobowe dotyczą. Naczelną zasadą ustawy nie jest też zakaz przetwarzania danych osobowych, lecz przestrzeganie zakresu i trybu ich przetwarzania. W art. 1 u.o.d.o. stwierdza się bowiem, że przetwarzanie danych osobowych może mieć miejsce, jeżeli służy to dobru publicznemu, dobru osoby, której dane dotyczą lub dobru osób trzecich. Ochrona danych osobowych, na podstawie przepisów powołanej ustawy, nie powinna być oderwana od przepisów służących ochronie innych wartości. Stosownie do treści art. 7 pkt 2 cyt. ustawy, przez przetwarzanie danych osobowych rozumie się jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych. Z kolei w przepisie art. 23 ust. 1 ustawy o ochronie danych osobowych zostały wymienione przesłanki legalizujące przetwarzanie danych osobowych. Zgodnie z treścią tego przepisu przetwarzanie danych jest dopuszczalne tylko wtedy, gdy: (1) osoba, której dane dotyczą, wyrazi na to zgodę, chyba, że chodzi o usunięcie dotyczących jej danych, (2) jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa, (3) jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą, (4) jest niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego, (5) jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Wskazany powyżej przepis ustawy o ochronie danych osobowych określa ogólne materialne przesłanki przetwarzania danych osobowych. Przesłanki te mają charakter generalny, odnoszą się do wszelkich form przetwarzania danych, w tym zarówno do przetwarzania "na własne potrzeby" administratora, jak i "na zewnątrz". Są one, co do zasady równoprawne, mają charakter autonomiczny i niezależny, co oznacza, że wystarczy wystąpienie jednej z nich, by przetwarzanie danych mogło być uznane za usprawiedliwione. Oznacza to także, że zgoda osoby, której dane dotyczą, nie jest wyłączną przesłanką przetwarzania danych osobowych (por. J. Barta, P. Fajgielski, R. Markiewicz, Ochrona danych osobowych. Komentarz, System Informacji Prawnej LEX, 2015 r.). Badanie, czy dane przetwarzane są zgodnie z prawem powinno opierać się w pierwszej kolejności na dokonaniu przez GIODO - w ustalonym wcześniej i niebudzącym wątpliwości stanie faktycznym - stwierdzenia, czy spełniona została jedna z przesłanek określonych w art. 23 ust. 1 pkt 1-5 u.o.d.o. Zgodnie z art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych, przetwarzanie takich danych jest dopuszczalne wtedy, gdy jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Stosownie do treści art. 23 ust. 4 ustawy, za prawnie usprawiedliwiony cel, o którym mowa w ust. 1 pkt 5, uważa się w szczególności marketing bezpośredni własnych produktów lub usług administratora danych. Art. 32 ust. 1 u.o.d.o. stanowi natomiast, iż każdej osobie przysługuje prawo do kontroli przetwarzania danych, które jej dotyczą, zawartych w zbiorach danych, a zwłaszcza prawo do wniesienia sprzeciwu wobec przetwarzania jej danych w przypadkach wymienionych w art. 23 ust. 1 pkt 4 i 5, gdy administrator danych zamierza je przetwarzać w celach marketingowych lub wobec przekazywania jej danych osobowych innemu administratorowi danych (pkt 8). W myśl art. 32 ust. 3 ustawy o ochronie danych osobowych, w razie wniesienia sprzeciwu, o którym mowa w ust. 1 pkt 8, dalsze przetwarzanie kwestionowanych danych jest niedopuszczalne. Administrator danych może jednak pozostawić w zbiorze imię lub imiona i nazwisko osoby oraz numer PESEL lub adres wyłącznie w celu uniknięcia ponownego wykorzystania danych tej osoby w celach objętych sprzeciwem. Zatem, podstawą ich przetwarzania jest przepis art. 23 ust. 1 pkt 5 u.o.d.o., zgodnie, z którym przetwarzanie danych jest dopuszczalne tylko wtedy, gdy jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Jak stanowi przepis art. 23 ust. 4 u.o.d.o., za prawnie usprawiedliwiony cel, o którym mowa w art. 23 ust. 1 pkt 5, uważa się w szczególności: 1) marketing bezpośredni własnych produktów lub usług administratora danych, 2) dochodzenie roszczeń z tytułu prowadzonej działalności gospodarczej. Jednocześnie zaznaczenia wymaga, iż ustawodawca przewidział dwie przesłanki legalizujące przetwarzanie danych o użytkowniku będącym osobą fizyczną. Po pierwsze, wskazał na przesłankę ustawową, której spełnienie powoduje, że zgoda na przetwarzanie danych osobowych wymienionych w art. 161 ust. 1 ustawy - Prawo telekomunikacyjne nie jest wymagana. W przepisie tym wyszczególnione zostały następujące dane użytkownika będącego osobą fizyczną: 1) nazwisko i imiona; 2) imiona rodziców; 3) miejsce i data urodzenia; 4) adres miejsca zameldowania na pobyt stały; 5) numer ewidencyjny PESEL - w przypadku obywatela Rzeczypospolitej Polskiej; 6) nazwy, serie i numery dokumentów potwierdzających tożsamość, a w przypadku cudzoziemca, który nie jest obywatelem państwa członkowskiego Unii Europejskiej albo Konfederacji Szwajcarskiej - numer paszportu lub karty pobytu; 7) zawarte w dokumentach potwierdzających możliwość wykonania zobowiązania wobec dostawcy publicznie dostępnych usług telekomunikacyjnych wynikającego z umowy o świadczenie usług telekomunikacyjnych. Zakres przetwarzanych danych pozwala na identyfikację osoby fizycznej, której dane są przetwarzane, kwalifikując je, jako dane osobowe, w rozumieniu art. 6 u.o.d.o. Dostawca usług telekomunikacyjnych, który przetwarza dane osobowe użytkowników (tj. swoich klientów, w tym abonentów lub też osób korzystających z usługi telekomunikacyjnej, jako usługi przedpłaconej po ich identyfikacji, np. w procesie postępowania reklamacyjnego) - jako administrator danych, w rozumieniu art. 7 pkt 4 u.o.d.o. - decyduje o celach i środkach przetwarzania danych. Jeżeli użytkownik zostanie raz zidentyfikowany na podstawie przetwarzanych danych osobowych, wówczas wszelkie dodatkowe informacje będą kwalifikowane, jako dane osobowe. Zgodnie z art. 161 ust. 3 P.t., dostawca usług, jako administrator danych, może przetwarzać dodatkowe informacje użytkownika będącego osobą fizyczną, poza zakresem wskazanym w ust. 1, pod warunkiem uzyskania jego zgody. W przypadku, gdy użytkownikiem nie jest osoba fizyczna, dostawca usług telekomunikacyjnych będzie przetwarzał informacje o osobach fizycznych działających w imieniu i na rzecz użytkownika. Wprawdzie przepisy art. 161 ust. 2 i 3 w zw. z art. 159 ust. 1 P.t. nie rozciągają się na tego rodzaju dane, należy jednak ocenić zakres tych informacji w świetle ustawy o ochronie danych osobowych i obowiązki z tym związane. Zakres danych o osobach reprezentujących użytkownika niebędącego osobą fizyczną pozwala na ich identyfikację (w rozumieniu definicji danych osobowych zawartej w art. 6 u.o.d.o.). Będą to z reguły informacje takie jak: imię, nazwisko, stanowisko służbowe, rodzaj umocowania, numer telefonu bądź adres e-mail. Biorąc pod uwagę powyższe, należy podkreślić, iż zgodnie z ustawą - Prawo telekomunikacyjne, zakazane jest zapoznawanie się, utrwalanie, przechowywanie, przekazywanie lub inne wykorzystywanie treści lub danych objętych tajemnicą telekomunikacyjną przez osoby inne, niż nadawca i odbiorca komunikatu, chyba, że: 1) będzie to przedmiotem usługi lub będzie to niezbędne do jej wykonania; 2) nastąpi za zgodą nadawcy lub odbiorcy, których dane te dotyczą; 3) dokonanie tych czynności jest niezbędne w celu rejestrowania komunikatów i związanych z nimi danych transmisyjnych, stosowanego w zgodnej z prawem praktyce handlowej dla celów zapewnienia dowodów transakcji handlowej lub celów łączności w działalności handlowej; 4) będzie to konieczne z innych powodów przewidzianych ustawą lub przepisami odrębnymi. Należy zauważyć, że ustawodawca określił następujące ustawowe przesłanki niewymagające zgody osoby, której dane i treści objęte tajemnicą telekomunikacyjną są przetwarzane w tym komunikatów. Zakaz ten nie obowiązuje w sytuacji, w której wykorzystanie danych będzie przedmiotem usługi lub będzie niezbędne do jej wykonania (art. 159 ust. 2 P.t.). Kolejną z przesłanek legalizujących wykorzystanie danych i treści objętych tajemnicą telekomunikacyjną jest konieczność ich wykorzystania z innych powodów przewidzianych ustawą lub przepisami szczególnymi. Odwołując się do przepisów ustawy, ustawodawca miał na myśli przepisy ustawy - Prawo telekomunikacyjne. Podstawa do wykorzystania danych osobowych może wynikać również z przepisów szczególnych. Przesłankę tę można rozpatrywać, jako realizację uprawnienia lub obowiązku przewidzianego w przepisach prawa, zarówno w ustawie - Prawo telekomunikacyjne, jak i w przepisach szczególnych. Zdaniem Sądu, przepis art. 159 P.t. nie ogranicza kręgu zobowiązanych podmiotów, stąd należy przyjąć, że przepis ten będzie miał zastosowanie zarówno do przedsiębiorcy telekomunikacyjnego, jak i do innych podmiotów, z pomocą, których przedsiębiorca telekomunikacyjny wykonuje czynności, przy których ma styczność z danymi podlegającymi ochronie. Jeśli chodzi o kwestię ochrony danych osobowych i ochrony prywatności w sektorze łączności elektronicznej, należy wskazać również na przepisy dyrektywy 2002/58/WE Parlamentu Europejskiego i Rady z dnia 12 lipca 2002 r. dotyczącej przetwarzania danych osobowych i ochrony prywatności w sektorze łączności elektronicznej. Warto zwrócić przede wszystkim uwagę na motyw 40 cyt. dyrektywy, zgodnie z którym "Należy zapewnić środki zabezpieczające abonentów przed ingerencją w ich prywatność przez niezamówione komunikaty do celów marketingu bezpośredniego w szczególności przez urządzenia do wywołań automatycznych, telefaksy i wiadomości z poczty elektronicznej (emaile), w tym wiadomości SMS. Te formy niezamówionych komunikatów handlowych mogą z jednej strony być stosunkowo proste i tanie w przesyłaniu, z drugiej strony zaś mogą powodować obciążenie i/lub koszty dla odbiorcy. Ponadto, w niektórych przypadkach ich pojemność może powodować również problemy w sieci łączności elektronicznej i terminalu. W przypadku takich form niezamówionych komunikatów dotyczących marketingu bezpośredniego, uzasadnione staje się wymaganie uprzedniej wyraźnej zgody odbiorcy przed wysłaniem do niego komunikatu. Jednolity rynek wymaga zharmonizowanego podejścia w celu zapewnienia prostych reguł dla przedsiębiorców i użytkowników na terenie całej Wspólnoty". Istotny jest również motyw 41 tej dyrektywy, który stanowi, iż "W kontekście istniejącej relacji z klientem, uzasadnione staje się zezwolenie wykorzystywania szczegółowych elektronicznych danych kontaktowych w celu oferowania podobnych produktów lub usług, ale jedynie za pośrednictwem tego samego przedsiębiorcy, który uzyskał elektroniczne dane kontaktowe zgodnie z dyrektywą 95/46/WE. Jeżeli szczegółowe elektroniczne dane kontaktowe zostały uzyskane klient powinien zostać poinformowany o przyszłym ich wykorzystywaniu do celów marketingu bezpośredniego w sposób jasny i wyraźny, oraz powinien mieć możliwość wyrażenia sprzeciwu wobec tego rodzaju wykorzystania jego danych. Taka opcja powinna być zawsze oferowana w każdej [pic] kolejnej wiadomości nadesłanej w celu marketingu bezpośredniego i powinna być wolna od opłat, z wyjątkiem kosztów transmisji odmowy". Z kolei, motyw 42 cyt. dyrektywy wskazuje, że "Inne formy marketingu bezpośredniego, które są bardziej kosztowne dla nadawcy i nie obciążają żadnymi kosztami abonenta czy użytkownika, takie jak połączenia telefonii głosowej między jej użytkownikami, mogą uzasadniać zachowanie systemu dającego abonentom i użytkownikom możliwość wskazania, iż nie życzą sobie otrzymywać takich połączeń. Niemniej jednak, aby nie zmniejszać istniejącego poziomu ochrony prywatności, Państwa Członkowskie powinny być uprawnione do utrzymania w mocy systemów krajowych, dopuszczających takie połączenia wyłącznie w odniesieniu do abonentów i użytkowników, którzy wyrazili na nie uprzednią zgodę". W związku z powyższym, na gruncie analizowanej sprawy należy uznać, że badanie jakości obsługi klienta oferowanej przez Biuro Obsługi Klienta sieci [...] nie jest działaniem marketingowym, lecz stanowi wyłącznie element analizy dotyczącej poziomu świadczonych przez BOK usług, który nie może być uznany za marketing usług telekomunikacyjnych. W ocenie Sądu, w uzasadnieniu obu wydanych decyzji Generalny Inspektor Ochrony Danych Osobowych nie wykazał, iż badanie jakości obsługi świadczonej przez Biuro Obsługi Klienta wspomnianej sieci telefonii komórkowej dotyczy marketingu usług telekomunikacyjnych lub świadczenia usług o wartości wzbogaconej, a zatem powinno spełniać przesłanki z art. 165 ust. 4 P.t. Mając na względzie wskazane uregulowania zarówno europejskie, jak i krajowe regulacje ustawowe, należy zgodzić się ze stroną skarżącą, iż w niniejszym postępowaniu w odniesieniu do badań przeprowadzonych na zlecenie [...] sp. z o.o. przez spółkę [...] sp. z o.o. nie można pojęcia marketing traktować szeroko i rozumieć przez marketing każde działanie dostawcy usług telekomunikacyjnych prowadzące do zysku, albowiem przyjmując takie założenie, wszystkie aspekty funkcjonowania dostawcy usług telekomunikacyjnych należałoby uznać za działania marketingowe, gdyż wszystkie bezpośrednio lub pośrednio prowadzą do osiągnięcia zysku. W ocenie Sądu, Generalny Inspektor Ochrony Danych Osobowych, wydając sporne decyzje, nie uzasadnił, dlaczego traktuje badanie oceny satysfakcji klienta, jako działania marketingowe, a także nie odniósł się do stanowiska strony skarżącej, która wyraźnie stwierdziła, że działania marketingowe, to działania zmierzające do sprzedaży [pic]produktów lub usług, zaś wykonywane przez skarżącą spółkę badania prowadziły jedynie do poprawy jakości już świadczonych klientowi usług. Zdaniem Sądu, nie sposób uznać, jak stwierdził w decyzji organ, iż sporne połączenie telefoniczne wykonane do klienta M. R. w dniu [...] stycznia 2014 r. zostało wykonane w celu oceny satysfakcji klienta z usług oferowanych przez skarżącego operatora, albowiem nie ulega wątpliwości, że przedmiotowe połączenie zostało wykonane wyłącznie w ramach badania poziomu satysfakcji z obsługi klienta przez BOK za IV kwartał 2013 r., a więc było to działanie oparte o przepis art. 23 ust. 1 pkt 5 u.o.d.o., jako wypełniające prawnie usprawiedliwiony cel realizowany przez skarżącego operatora, jako administratora danych, na potrzeby prowadzenia analiz gospodarczych oraz zgodnie z § 11 ust. 2 Regulaminu świadczenia Usług Telekomunikacyjnych przez [...] sp. z o.o. dla Użytkowników. W ocenie Sądu, istniała zatem przesłanka prawna (art. 23 ust. 1 pkt 5 u.o.d.o.) umożliwiająca skarżącej spółce, bez naruszenia praw i wolności klienta, przetwarzanie danych osobowych M. R. w celu wykonania przedmiotowego badania. Należy jednocześnie zwrócić uwagę, że skarżący operator nie wybierał do badania osób, które wniosły - zgodnie z u.o.d.o. - sprzeciw na przetwarzanie danych w celach marketingowych, chcąc szanować wolę abonentów w zakresie komunikacji marketingowej przez telefon. W ten sposób, wbrew zarzutom GIODO, strona skarżąca dążyła do poszanowania prywatności swoich klientów, z ostrożności nie wykonując połączeń telefonicznych do tych, którzy wnieśli przedmiotowy sprzeciw. W tym miejscu, należy wyraźnie wskazać, że w dniu realizacji połączenia telefonicznego do M. R. w dniu [...] stycznia 2014 r. na jego koncie abonenckim klienta sieci [...] nie było odnotowanego sprzeciwu, o którym mowa w art. 32 ust. 1 pkt 8 u.o.d.o. Sąd nie może zgodzić się ze stanowiskiem organu, jakoby każde działanie strony skarżącej dotyczące kontaktu z klientem miało charakter działania marketingowego, pomimo, iż pośrednio zawsze w jakimś aspekcie działanie takie ukierunkowane jest na zysk. Zdaniem Sądu, nie ulega wątpliwości, że związanie rygorami procedury administracyjnej oznacza, że GIODO jest obowiązany m.in. do przestrzegania zasady pogłębiania zaufania obywateli do organów praworządnego Państwa (art. 8 k.p.a.). Organ, uwzględniając powyższą zasadę, zobowiązany jest dokładnie wyjaśnić okoliczności sprawy, konkretnie ustosunkować się do żądań i twierdzeń strony skarżącej oraz uwzględnić w decyzji zarówno interes społeczny, jak i słuszny interes strony. Organ administracji jest ponadto obowiązany w sposób wyczerpujący zebrać i ocenić cały materiał dowodowy (art. 7, art. 77 § 1 i art. 80 k.p.a.) oraz uzasadnić swoje rozstrzygnięcie według wymagań określonych w przepisie art. 107 § 3 k.p.a. Mając powyższe na uwadze, należy uznać, że wydając zarówno zaskarżoną decyzję administracyjną z dnia [...] czerwca 2017 r., jak i poprzedzająca ją decyzję z dnia [...] kwietni 2016 r., Generalny Inspektor Ochrony Danych Osobowych dopuścił się w toku postępowania istotnych uchybień formalnych, które uniemożliwiłyby Sądowi dokonanie prawidłowej, pełnej oceny zarzutów skargi i wypowiedzenie się, co do legalności (zasadności) podjętego rozstrzygnięcia. Sąd uznał, że uzasadnienie zaskarżonej decyzji nie spełnia wymogów przewidzianych przez ustawodawcę w przepisie art. 107 § 3 k.p.a., gdyż w jej treści organ nie wskazał wyraźnie, dlaczego - pomimo podniesionych przez stronę skarżącą argumentów i przedłożonych materiałów dowodowych - w wyniku przetwarzania danych dotyczących M. R. doszło jednak do naruszenia przepisów o ochronie danych osobowych. Biorąc powyższe pod uwagę, Wojewódzki Sad Administracyjny w Warszawie - działając na podstawie art. 145 § 1 pkt 1 lit. a i c p.p.s.a. - orzekł, jak w pkt. 1 sentencji wyroku. Zasądzając jednocześnie od Generalnego Inspektora Ochrony Danych Osobowych na rzecz skarżącej spółki kwotę 697 (sześćset dziewięćdziesiąt siedem) złotych tytułem zwrotu kosztów postępowania sądowego, w tym kosztów zastępstwa procesowego, Sąd działał na podstawie przepisów art. 200 p.p.s.a. i art. 205 § 2 p.p.s.a. w zw. z art. 209 p.p.s.a.[pic][pic]