II SA/Wa 1336/15

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Eugeniusz Wasilewski Sędziowie WSA Iwona Maciejuk Anna Mierzejewska (spr.) Protokolant starszy sekretarz sądowy Dorota Kwiatkowska po rozpoznaniu na rozprawie w dniu 1 lutego 2016 r. sprawy ze skargi Miasta [...] na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] czerwca 2015 r. nr [...] w przedmiocie ochrony danych osobowych oddala skargę. Generalny Inspektor Ochrony Danych Osobowych, decyzją nr [...] z dnia [...] czerwca 2015 r., na podstawie art. 138 § 1 pkt 1 i 2 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2013 r., poz. 267 z późn. zm.) oraz art. 12 pkt 2, art. 18 ust. 1 pkt 1 oraz art. 22 w związku z art. 23 ust. 1 pkt 1 w zw. z art. 7 pkt 5 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2014 r., poz. 1182 z późn. zm.), po przeprowadzeniu postępowania administracyjnego w sprawie wniosku pełnomocnika Prezydenta Miasta P. o ponowne rozpatrzenie sprawy zakończonej decyzją Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] lutego 2015 r. nr [...], nakazującą usunięcie uchybień w procesie przetwarzania danych osobowych przez Prezydenta Miasta P. z siedzibą w P. przy Placu [...]. 1. uchylił pkt 1 i pkt 3 zaskarżonej decyzji i umorzył postępowanie w tym zakresie, tj. w części dotyczącej zapewnienia osobom składającym wniosek o wydanie [...] Elektronicznej Karty [...] (Karta [...]) możliwości wyrażenia swobodnego oświadczenia woli, którego treścią jest zgoda na przetwarzanie danych osobowych, t.j. wyodrębnienie zgody na przetwarzanie danych osobowych (w związku z korzystaniem z Karty [...]) od pozostałych zamieszczonych na wniosku oświadczeń, w części dotyczącej zapewnienia osobom składającym formularz o nazwie "Oświadczenie posiadacza karty [...] do Biletu [...]" swobody przy składaniu oświadczeń o wyrażeniu zgody na przetwarzanie danych osobowych tj. wyodrębnienie zgody na upoważnienia do wykorzystania podanych danych osobowych w celu weryfikacji uprawnień do korzystania ze zniżki (Bilet [...]) od pozostałych zamieszczonych na tym formularzu oświadczeń; 2. w pozostałym zakresie utrzymał w mocy zaskarżoną decyzję. W uzasadnieniu decyzji organ podał, że w dniu [...] lutego 2015 r. Generalny Inspektor Ochrony Danych Osobowych wydał decyzję nr nakazującą Prezydentowi Miasta P. przywrócenie stanu zgodnego z prawem, poprzez: 1. zapewnienie osobom składającym wniosek o wydanie [...] Elektronicznej Karty Aglomeracyjnej (Karta [...]) możliwości wyrażenia swobodnego oświadczenia woli, którego treścią jest zgoda na przetwarzanie danych osobowych, t.j. wyodrębnienie zgody na przetwarzanie danych osobowych (w związku z korzystaniem z Karty[...]) od pozostałych zamieszczonych na wniosku oświadczeń, w terminie 30 dni od dnia w którym niniejsza decyzja stanie się ostateczna, 2. zapewnienie osobom składającym wniosek o wydanie [...] Elektronicznej Karty Aglomeracyjnej (Karta [...]) możliwości wyrażenia swobodnego oświadczenia woli, którego treścią jest zgoda na przetwarzanie danych osobowych, t.j. wyodrębnienie zgody na przetwarzanie danych osobowych w celach marketingowych od zgody na otrzymywanie informacji marketingowych i handlowych za pomocą środków komunikacji elektronicznej, w terminie 30 dnia od dnia, w którym niniejsza decyzja stanie się ostateczna, 3. zapewnienie osobom składającym formularz o nazwie "Oświadczenie posiadacza karty [...] do Biletu [...]" swobody przy składaniu oświadczeń o wyrażeniu zgody na przetwarzanie danych osobowych tj. wyodrębnienie zgody na przetwarzanie danych osobowych w związku z korzystaniem z Karty [...] oraz zgody i upoważnienia do wykorzystania podanych danych osobowych w celu weryfikacji uprawnień do korzystania ze zniżki (Bilet [...]) od pozostałych zamieszczonych na tym formularzu oświadczeń, w terminie 30 dnia od dnia w którym niniejsza decyzja stanie się ostateczna. W dniu [...] marca 2015 r. do Biura Generalnego Inspektora Ochrony Danych Osobowych wpłynął, złożony w terminie, a następnie w dniu [...] kwietnia 2015 r. uzupełniony, wniosek pełnomocnika o ponowne rozpatrzenie sprawy zakończonej decyzją Generalnego Inspektora nr [...]. We wskazanym wniosku pełnomocnik Spółki zwrócił się o ponowne rozpatrzenie przedmiotowej sprawy i wniósł o uchylenie zaskarżonej decyzji w całości i umorzenie postępowania w sprawie. Zaskarżonej decyzji zarzucił naruszenie art. 28 oraz art. 109 § 1 Kodeksu postępowania administracyjnego w związku z art. 7 pkt 4 i art. 22 ustawy o ochronie danych osobowych poprzez skierowanie i doręczenie decyzji do podmiotu niebędącego stroną w sprawie; naruszenie art. 18 ust. 1 pkt 1 w związku z art. 23 ust. 1 pkt 1 oraz art. 7 pkt 5 ustawy o ochronie danych osobowych poprzez błędne uznanie, iż stosowane przez stronę, formularze wskazane w zaskarżonej decyzji naruszają przepisy o ochronie danych osobowych, w szczególności wyłączają lub ograniczają swobodę przy składaniu oświadczeń o wyrażeniu zgody na przetwarzanie danych osobowych. W uzasadnieniu wniosku pełnomocnik wskazał, że zaskarżona decyzja skierowana została do Prezydenta Miasta P., który został uznany za administratora danych osobowych przetwarzanych w związku z funkcjonowaniem [...] Elektronicznej Karty [...] ([...]). Jednocześnie skierowanie do niego zaskarżonej decyzji świadczy o uznaniu Prezydenta Miasta P. za stronę postępowania administracyjnego prowadzonego przez Generalnego Inspektora. Zdaniem pełnomocnika strony w świetle obowiązujących przepisów, administratorem danych, a więc także stroną postępowania administracyjnego, może być także podmiot (jednostka organizacyjna), któremu przepisy innych ustaw nie przyznają samodzielności działania, czy możliwości dokonywania czynności prawnych. Istotne jest jedynie to, czy dany podmiot decyduje o celach i środkach przetwarzania danych osobowych. Nie ma zatem przeszkód, by odrębnym i niezależnym administratorem danych było Miasto P. (gmina - osoba prawna), Prezydent Miasta P. (organ samorządu terytorialnego), jak i Zarząd Transportu Miejskiego w P. (jednostka budżetowa gminy). Według pełnomocnika strony Prezydent Miasta P. nie dysponuje zbiorem danych przetwarzanych w związku z funkcjonowaniem [...]. Wszelkie dane w tym zakresie zbiera oraz przetwarza w inny sposób wyłącznie Zarząd Transportu Miejskiego w P. z siedzibą w P. przy ul. [...] (dalej również "ZTM"), działający, jako jednostka budżetowa Miasta P. Do ZTM (kierowanego przez jego Dyrektora) należy również podejmowanie wszelkich decyzji w przedmiocie celów oraz środków przetwarzania wspomnianych danych. Zgodnie z art. 28 kpa stroną jest każdy, czyjego interesu prawnego lub obowiązku dotyczy postępowanie albo kto żąda czynności organu ze względu na swój interes prawny lub obowiązek. Z treści zawiadomienia o wszczęciu postępowania, a także z treści zaskarżonej decyzji jednoznacznie wynika, iż postępowanie dotyczyło obowiązków administratora danych osobowych przetwarzanych w związku z funkcjonowaniem karty [...]. Należy zatem uznać, iż stroną postępowania był administrator danych osobowych, tym zaś w niniejszej sprawie było Miasto P., w imieniu i na rzecz którego działa Zarząd Transportu Miejskiego w P. Zaskarżona decyzja skierowana została zatem do podmiotu niebędącego stroną. Zgodnie z art. 156 § 1 pkt 4 kpa naruszenie takie stanowi przesłankę stwierdzenia nieważności decyzji. Ponadto została ona doręczona temu podmiotowi, co stanowiło naruszenie art. 109 § 1 kpa, nakazującego doręczanie decyzji stronom. W ocenie strony zastrzeżenia dotyczące treści formularza wniosku o wydanie Karty [...] i wynikające z nich nakazy, nie są trafne i nie mają dostatecznych podstaw w treści przepisów ustawy o ochronie danych osobowych. W szczególności nie zasługuje na aprobatę pogląd, iż samo techniczne, redakcyjne połączenie kilku oświadczeń miałoby wyłączać, czy też w istotny sposób ograniczać swobodę osoby przy składaniu każdego z nich. Osoba podpisująca się pod oświadczeniami nie jest w żaden sposób zmuszana, czy nakłaniana do ich złożenia, nie istnieje też inny stosunek prawny, który ograniczałby swobodny charakter oświadczenia o zgodzie. Natomiast zabieg polegający na zredagowaniu tych oświadczeń tak, by wnioskodawca składał je łącznie, za pomocą jednego podpisu, był w pełni usprawiedliwiony, biorąc pod uwagę cel i istotę uzyskiwania oświadczeń, a także potrzeby administratora danych i względy praktyczne, w tym wygodę samych uprawnionych. Jak wskazał ww. dla administratora danych znaczenie ma jedynie wyrażenie zgody na wszystkie elementy (oświadczenia) zawarte we wniosku. W szczególności administrator nie jest zainteresowany uzyskaniem zgody na przetwarzanie danych, jeżeli wnioskodawca jednocześnie nie złożyłby oświadczenia, iż akceptuje regulamin karty [...]. Zgoda w zakresie przetwarzania danych w takiej sytuacji byłaby bezużyteczna, nadto mogłaby rodzić uzasadnione wątpliwości, co do celu i zgodności z prawem przetwarzania danych, skoro w konkretnym przypadku osoba wyrażająca ją nie stawałaby się użytkownikiem karty [...] (bez akceptacji regulaminu nie byłoby możliwe wydanie tej karty). Podobnie w przypadku innych oświadczeń - brak zgody na choćby jedno z nich niweczyłby sens wyrażania jej w odniesieniu do wszystkich pozostałych. Dotyczy to także przetwarzania danych w celach marketingowych oraz zgody na przesyłanie informacji handlowych za pomocą środków komunikacji elektronicznej. Oba oświadczenia są niezbędne z punktu widzenia specyfiki instrumentu elektronicznego, jakim jest karta [...]. Pełnomocnik strony wskazał również, że wydając zaskarżoną decyzję Generalny Inspektor w niedostatecznym stopniu miał również wzgląd na kwestie praktyczne, w tym wygodę osób składających wnioski o wydanie karty [...]. Te same argumenty jak wskazano we wniosku, przemawiają też, zdaniem strony, przeciwko przyjęciu stanowiska dotyczącego treści "Oświadczenia posiadacza karty [...] do Biletu [...]". Również w tym wypadku, jedynie uzyskanie przez administratora zgody klienta w pełnym zakresie wskazanym w formularzu powoduje, iż oświadczenie to spełni swoją rolę i pozwoli na przyznanie temu klientowi ulgi. Zdaniem ww. wbrew stanowisku organu, przepis nie nakazuje wyodrębnienia redakcyjnego zgody. Dotyczy on jedynie sytuacji, gdy w konkretnym przypadku oświadczenie o wyrażeniu zgody nie zostało wyraźnie wyartykułowane. W takim przypadku wspomniana definicja nakazuje uznać, iż zgoda nie została udzielona, gdyż niedopuszczalne jest wyinterpretowywanie jej z innego oświadczenia. Sytuacja taka nie występuje w przypadku zakwestionowanego oświadczenia, gdyż w jego treści w sposób wyraźny i wprost jest zawarta zgoda na przetwarzanie danych osobowych. Dla ustalenia, iż formularz zgodę zawiera, a także dla stwierdzenia jej zakresu, nie jest konieczne dokonywanie jakichkolwiek zabiegów interpretacyjnych, czy stosowanie domniemań. Zatem, w świetle aktualnych poglądów doktryny i orzecznictwa stanowisko zaprezentowane w zaskarżonej decyzji nie zasługuje na aprobatę. W związku z dokonanymi zmianami w treści zamieszczonych na stronie internetowej Zarządu Transportu Miejskiego w P.[...] formularzy: wniosku o wydanie P. Elektronicznej Karty [...] oświadczenia posiadacza karty [...] do Biletu [...], w zakresie oświadczeń o wyrażeniu zgody na przetwarzanie danych osobowych, zwrócono się do pełnomocnika strony pismem z dnia [...] maja 2015 r. w celu uzyskania dodatkowych wyjaśnień w przedmiotowej sprawie. Pismem z dnia [...] maja 2015 r. pełnomocnik strony podtrzymał swoje stanowisko wyrażone we wniosku o ponowne rozpatrzenie sprawy, wskazując jednocześnie że uznanie, iż zmienił się stan faktyczny sprawy i strona wykonała nakazy decyzji nie stoi na przeszkodzie uchyleniu decyzji wydanej w I instancji, bowiem nie ma już uchybień, nie ma też argumentów prawnych za pozostawieniem w obrocie prawnym decyzji nakazującej ich usunięcie. Po ponownym zapoznaniu się z całością materiału zgromadzonego w sprawie Generalny Inspektor Ochrony Danych Osobowych zważył, co następuje. Zgodnie z art. 3 ust. 1 ustawy, ustawę stosuje się do organów państwowych, organów samorządu terytorialnego oraz do państwowych i komunalnych jednostek organizacyjnych. Natomiast w myśl art. 7 pkt 4 ustawy, ilekroć w ustawie jest mowa o administratorze danych - rozumie się przez to organ, jednostkę organizacyjną, podmiot lub osobę, o których mowa w art. 3, decydujące o celach i środkach przetwarzania danych osobowych. Z ustaleń kontroli wynika, że Zarząd Transportu Miejskiego w P. z siedzibą w P. jest jednostką budżetową Miasta P., utworzoną na podstawie uchwały nr [...] Rady Miasta P. z [...] czerwca 2008 r. w sprawie utworzenia Zarządu Transportu Miejskiego w P. oraz upoważnienia dyrektora ZTM do wydawania decyzji z zakresu administracji publicznej. Celem działalności ZTM P. jest m.in. efektywne zarządzanie jakością publicznego transportu pasażerskiego w ramach lokalnego transportu zbiorowego. Dla realizacji ww. celu ZTM P. wdraża uchwały Rady Miasta P. dotyczące m.in. transportu zbiorowego. Kierownikiem ww. jednostki jest Dyrektor ZTM, który działa w oparciu o pełnomocnictwo udzielone przez Prezydenta Miasta P. Zarząd Transportu Miejskiego w P. przetwarzając dane w zbiorze o nazwie "[...] Elektroniczna Karta [...]", działa w imieniu i na rzecz Miasta P., którego organem jest Prezydent Miasta P. W przypadku podmiotów publicznych, o celach i środkach przetwarzania danych stanowią najczęściej przepisy prawa, co jest konsekwencją zasady legalizmu (wyrażonej w art. 7 Konstytucji oraz w art. 6 kpa). Są one zobowiązane do przetwarzania danych osobowych dla realizacji określonych prawem celów, zazwyczaj także przy użyciu wskazanych środków. Dlatego zgodzić się należy z opinią, iż "o tym, czy dany organ, jednostka organizacyjna albo innego rodzaju podmiot jest administratorem danych osobowych, decyduje przede wszystkim rodzaj i charakter nadanych im przez prawo kompetencji z obszaru spraw publicznych oraz wyznaczone ustawowo zadania. Do uznania danego podmiotu za administratora danych potrzebna jest jednak zawsze analiza konkretnych przepisów mających zastosowanie w określonej sytuacji" (R. Hauser Przetwarzanie danych osobowych: cel i środki, Rzeczpospolita, 6 kwietnia 1999). Zgodnie z art. 7 ust. 1 pkt 1 ustawy z dnia 16 grudnia 2010 r. o publicznym transporcie zbiorowym (Dz. U z 2011 r. Nr 5, poz. 13 z późn. zm.), organizatorem publicznego transportu zbiorowego, zwanym dalej "organizatorem", właściwym ze względu na obszar działania lub zasięg przewozów, jest gmina: a) na linii komunikacyjnej albo sieci komunikacyjnej w gminnych przewozach pasażerskich, b) której powierzono zadanie organizacji publicznego transportu zbiorowego na mocy porozumienia między gminami - na linii komunikacyjnej albo sieci komunikacyjnej w gminnych przewozach pasażerskich, na obszarze gmin, które zawarły porozumienie. Natomiast w myśl art. 7 ust. 4 pkt 1 ww. ustawy, określone w ustawie zadania organizatora, o którym mowa w ust. 1 pkt 1-5, wykonuje, w przypadku: gminy - wójt, burmistrz albo prezydent miasta. Do zadań organizatora publicznego transportu zbiorowego należy: planowanie rozwoju transportu, organizowanie publicznego transportu zbiorowego i zarządzanie publicznym transportem zbiorowym (art. 8 ustawy o publicznym transporcie zbiorowym). Dodatkowo, zgodnie z art. 4 ustawy z dnia 15 listopada 1984 r. prawo przewozowe (Dz. U. z 2012 r., poz. 1173 z późn. zm.), przewoźnik lub organizator publicznego transportu zbiorowego, o którym mowa w przepisach ustawy z dnia 16 grudnia 201,0 r. o publicznym transporcie zbiorowym (Dz. U. z 2011 r. Nr 5, poz. 13 i Nr 228, poz. 1368), mogą wydawać regulaminy określające warunki obsługi podróżnych, odprawy oraz przewozu osób i rzeczy. Prezydent Miasta P. wydał Zarządzenie nr [...] z dnia [...] czerwca 2014 r. w sprawie wprowadzenia Regulaminu przewozów określającego warunki obsługi podróżnych oraz przewozu osób i rzeczy w komunikacji miejskiej (lokalnym transporcie zbiorowym) organizowanej przez Zarząd Transportu Miejskiego w P., powierzając jego wykonanie Dyrektorowi Zarządu Transportu Miejskiego w P. W regulaminie tym Prezydent określił m.in. zakres kompetencji ZTM P. oraz treść zawieranej z pasażerem umowy przewozu, w tym zasady wnoszenia opłat za przejazd, uprawnienia do ulg, rozpatrywania reklamacji, skarg i wniosków. Z powyższych względów uznać należy, że to Prezydent Miasta P. w granicach przyznanych mu przez prawo kompetencji decyduje o celach i środkach przetwarzania danych użytkowników [...], bowiem karta ta jest nośnikiem biletów komunikacji miejskiej, służącym do dokonywania opłat za przejazd, a jak wskazano, treść umowy przewozu określa Prezydent w ww. Regulaminie. Odnosząc się natomiast do kwestii nakazu dotyczącego wyodrębnienia zgody na przetwarzanie danych osobowych w celach marketingowych od zgody na otrzymywanie informacji marketingowych i handlowych za pomocą środków komunikacji elektronicznej należy powołać się na art. 23 ust. 1 pkt 1 ustawy o ochronie danych osobowych, zgodnie z którym, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy osoba, której dane dotyczą, wyrazi na to zgodę, chyba że chodzi o usunięcie dotyczących jej danych. W myśl art. 7 pkt 5 ustawy, ilekroć w ustawie jest mowa o zgodzie osoby, której dane dotyczą - rozumie się przez to oświadczenie woli, którego treścią jest zgoda na przetwarzanie danych osobowych tego, kto składa oświadczenie; zgoda nie może być domniemana lub dorozumiana z oświadczenia woli o innej treści; zgoda może być odwołana w każdym czasie. Jak ustalono w toku kontroli, na wniosku o wydanie Karty [...] zamieszczone jest oświadczenie o wyrażeniu zgody na przetwarzanie danych osobowych " w celach marketingowych, w tym na otrzymywanie informacji marketingowych i handlowych za pomocą środków komunikacji elektronicznej. Jako cele marketingowe określone w powyższej klauzuli rozumie się informowanie o usługach komunikacyjnych, innych usługach miejskich, działaniach dotyczących transportu publicznego oraz nowych produktach i funkcjonalnościach systemu [...]. Taka sytuacja jest sprzeczna z treścią art. 7 ust. 5 u.o.d.o., gdyż "zgoda na przetwarzanie danych osobowych musi być wyraźna. Nie spełnia tego wymagania podpisanie oświadczenia o wyrażeniu zgody na przetwarzanie danych, stanowiącego dodatkowy element innego zobowiązania niezawierającego informacji o celach i zakresie przetwarzania tych danych" (wyrok NSA z 4.04.2003 r. (II SA 2135/02), LEX nr 107067). Jak wskazał Naczelny Sad Administracyjny w wyroku z dnia 31 stycznia 2012 r. "Klauzula zgody na przetwarzanie danych osobowych w celach marketingowych powinna być sformułowana w sposób oddzielny od klauzuli zgody na otrzymywanie informacji handlowych za pomocą poczty elektronicznej" (I OSK 1317/11, orzeczenia.nsa.gov.pl/doc/FFA228EADB). Zaś w dalszej części uzasadnienia do ww. wyroku podkreślił również, że taki sposób sformułowania klauzuli o przetwarzaniu danych osobowych w celach marketingowych powoduje, iż osoba, która ją składa, nie może być do końca pewna, na co rzeczywiście się zgadza. Nadto powoduje to, iż osoba zainteresowana nie może odwołać np. tylko jednej ze zgód, a pozostawić drugą. To rozwiązanie jest również niekorzystne dla osoby, która chce, aby w ograniczonym stopniu były przetwarzane jej dane osobowe, np. chciałaby otrzymywać informacje o produktach pocztą elektroniczną, ale nie jest zainteresowana innymi formami marketingu, np. marketingiem telefonicznym. Dlatego sposób sformułowania we wniosku o wydanie Karty [...] zgody na przetwarzanie danych osobowych w celach marketingowych i w celach związanych z przesyłaniem informacji drogą elektroniczną powinien ulec zmianie, tak aby klauzula zgody na przetwarzanie danych osobowych w celach marketingowych i klauzula przetwarzania danych w celach związanych z otrzymywaniem informacji handlowych były rozdzielone. Jednocześnie na podstawie przedstawionych przez pełnomocnika strony wyjaśnień oraz dokonanych zmian w treści formularzy zamieszczonych na stronie internetowej [...] należy uznać, że pozostałe uchybienia stanowiące przedmiot postępowania administracyjnego, zakończonego decyzją Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] lutego 2015 r., nr [...] zostały usunięte, tj.: zapewniono osobom składającym wniosek o wydanie [...] Elektronicznej Karty Aglomeracyjnej (Karta [...]) możliwości wyrażenia swobodnego oświadczenia woli, którego treścią jest zgoda na przetwarzanie danych osobowych poprzez wyodrębnienie zgody na przetwarzanie danych osobowych (w związku z korzystaniem z Karty [...]) od pozostałych zamieszczonych na wniosku oświadczeń (formularz "Papierowy wniosek o wydanie [...] Elektronicznej Karty [...] ([...]) - wersja DOC" zamieszczony na stronie [...]; zapewnienie osobom składającym formularz o nazwie "Oświadczenie posiadacza karty [...] do Biletu [...]" swobody przy składaniu oświadczeń o wyrażeniu zgody na przetwarzanie danych osobowych poprzez wyodrębnienie zgody na przetwarzanie danych osobowych w związku z korzystaniem z Karty [...] oraz zgody i upoważnienia do wykorzystania podanych danych osobowych w celu weryfikacji uprawnień do korzystania ze zniżki (Bilet [...]) od pozostałych zamieszczonych na tym formularzu oświadczeń (formularz "Oświadczenia do Biletu" zamieszczony na stronie [...]. Z powyższych względów decyzja Generalnego Inspektora Ochrony Danych Osobowych, w zakresie nakazu określonego w pkt 1 i pkt 3, została uchylona i umorzono postępowanie w tym zakresie. Jak stanowi bowiem art. 138 § 1 pkt 2 k.p.a., organ odwoławczy wydaje decyzję, w której: uchyla zaskarżoną decyzję w całości albo w części i w tym zakresie orzeka co do istoty sprawy bądź uchylając tę decyzję - umarza postępowanie pierwszej instancji. Z tych względów, organ odwoławczy może wydać decyzję umarzającą postępowanie w pierwszej instancji wówczas, gdy postępowanie to stało się bezprzedmiotowe, przy czym idzie tu o tzw. obiektywną bezprzedmiotowość postępowania pierwszoinstancyjnego, o której mowa w art. 105 § 1 k.p.a. - wyrok NSA z dnia 9 stycznia 1985 r. III SA 1105/84, RNGA 1986, nr 2, s. 37; GAP 1987, nr 5, s. 43, w którym stwierdzono, że: "Art. 138 § 1 pkt 2 k.p.a. nie precyzuje wyraźnie przyczyn umorzenia w postępowaniu odwoławczym postępowania pierwszej instancji. Wydaje się jednak oczywiste, że umarzając postępowanie organu I instancji, organ odwoławczy kieruje się przesłankami określonymi w art. 105 § 1 k.p.a., czyli spowodowaną jakimikolwiek przyczynami - bezprzedmiotowością postępowania." (A. Wróbel Komentarz aktualizowany do art. 138 Kodeksu postępowania administracyjnego, Lex/el. 2012 nr 121168). Powyższa decyzja stała się przedmiotem skargi wniesionej do Wojewódzkiego Sądu Administracyjnego w Warszawie, w której skarżący wniósł o uchylenie zaskarżonej decyzji oraz o zasądzenie kosztów. Decyzji zarzucił naruszenie art. 28 oraz 109 § 1 kpa w związku z art. 23 pkt 4 i art. 22 ustawy o ochronie danych osobowych oraz art. 138 par 1 pkt 1 i 2 kpa wobec skierowania decyzji do podmiotu niebędącego stroną, naruszenie art. 18 ust. 1 pkt 1 w zw. z art. 23 ust 1 oraz art. 7 pkt 5 ustawy o ochronie danych osobowych poprzez błędne uznanie, iż stosowane przez skarżącego formularze wskazane w decyzji naruszają przepisy o ochronie danych osobowych w szczególności ograniczają swobodę przy składaniu oświadczeń o wyrażaniu zgody na przetwarzanie danych. W uzasadnieniu skargi wskazano między innymi, że GIODO w sposób nieuprawniony uznał za administratora danych organ wykonawczy Miasta P. i skierował do niego decyzję, co znaczy że jego stronę postępowania przyjął Prezydent Miasta P. Zgodnie z definicją legalną zawartą w art. 7 pkt 4 ustawy o ochronie danych osobowych, ilekroć w ustawie jest mowa o administratorze danych rozumie się przez to organ, jednostkę organizacyjną, podmiot lub osobę, o której mowa w art. 3 , decydujące o celach i środkach przetwarzania danych osobowych. Art 3 ustawy wymienia przede wszystkim (ust. 1) organy państwowe, organy samorządu terytorialnego oraz państwowe i komunalne jednostki organizacyjne. Z przywołanej regulacji wynika, iż w konkretnym przypadku odrębnym administratorem danych może być zarówno organ samorządu terytorialnego (np. rada gminy, wójt, burmistrz lub prezydent miasta), jak i komunalna jednostka organizacyjna działająca w ramach struktury organizacyjnej danej jednostki samorządu terytorialne (np. jednostka budżetowa gminy). Nie ma zatem przeszkód, by w P. odrębnym niezależnym administratorem danych było Miasto P. (gmina - osoba prawna Prezydent Miasta P. (organ samorządu terytorialnego), jak i Zarząd Transportu Miejskiego w P. (jednostka budżetowa gminy). Nadmieniono, iż Prezydent Miasta P. nie dysponuje zbiorem danych przetwarzanych w związku z funkcjonowaniem [...]. Wszelkie dane w tym zakresie zbiera oraz przetwarza w inny sposób wyłącznie ZTM w P., działający, jako jednostka budżetowa Miasta P. Wyrazem roli ZTM w procesie wprowadzenia i obsługi karty [...] jest w szczególności przyjęcie jej regulaminu w drodze Zarządzenia nr [...] Transportu Miejskiego w P. z dnia [...] września 2014 roku. Regulamin także zawiera postanowienia dotyczące przetwarzania danych osobowych. Zgodnie z art. 28 kpa stroną jest każdy czyjego interesu prawnego lub obowiązku dotyczy postępowanie albo kto żąda czynności organu ze względu na swój interes prawny lub obowiązek. Z treści zawiadomienia wszczęciu postępowania, a także z treści zaskarżonej decyzji jednoznacznie wynika, postępowanie dotyczyło obowiązków administratora danych osobowych przetwarzanych w związku z funkcjonowaniem karty [...]. W szczególności, jedynie administrator danych osobowych władny jest zrealizować nakazy wyrażone w sentencji zaskarżonej decyzji. Należy zatem uznać, iż stroną postępowania był administrator danych osobowych, zaś w niniejszej sprawie było Miasto P., w imieniu i na rzecz którego działa Zarząd Transportu Miejskiego w P. Zaskarżona decyzja, jak i decyzja wydana w I instancji, skierowane zostały do podmiotu niebędącego stroną. Zgodnie z art. 156 § 1 pkt 4 Kpa naruszenie takie stanowi przesłankę stwierdzenia nieważności decyzji. Ponadto decyzja wydana w I instancji, została doręczona temu podmiotowi (adres Prezydenta Miasta P. i ZTM P. są różne), co stanowiło naruszenie art. 109 § 1 Kpa, nakazującego doręczanie decyzji stronom. Utrzymując ją w mocy, organ dopuścił się naruszenia wspomnianych przepisów, a także art. 138 § 1 pkt 1) i 2) Kpa. Wskazane uchybienia w pełni uzasadniają żądanie uchylenia zaskarżonej decyzji. W ocenie skarżącego zastrzeżenia powyższe i wynikające z nich nakazy, nie są trafne i nie mają dostatecznych podstaw w treści przepisów ustawy o ochronie danych osobowych. W szczególności nie zasługuje na aprobatę pogląd, iż samo techniczne redakcyjne połączenie kilku oświadczeń miałoby wyłączać, czy też w istotny sposób ograniczać swobodę osoby przy składaniu zgody dla wszystkich oświadczeń łącznie zamiast do każdego z nich oddzielnie. Wskazane uchybienia w pełni uzasadniają żądanie uchylenia zaskarżonej decyzji. W odpowiedzi na skargę organ wniósł o jej oddalenie, powołując argumenty jak w uzasadnieniu zaskarżonej decyzji. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Zgodnie z art. 1 i 2 ustawy z dnia 25 lipca 2002 r. Prawo o ustroju sądów administracyjnych (tekst jedn. Dz. U. z 2014 r., poz. 1647 ze zm.), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej. Kontrola ta sprawowana jest pod względem zgodności z prawem. Oznacza to, iż przedmiotem sprawy sądowoadministracyjnej jest ocena przez Sąd prawidłowości prowadzenia przez organ administracji publicznej postępowania administracyjnego oraz zapadłego w tym postępowaniu rozstrzygnięcia. W ocenie Sądu zaskarżona decyzja nie narusza prawa. Z treści art. 1 ust. 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jednolity Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.) wynika, iż przysługujące każdemu prawo do ochrony dotyczących go danych osobowych nie ma charakteru absolutnego, bowiem przetwarzanie danych może mieć miejsce ze względu na dobro publiczne, dobro osoby, której dane dotyczą lub dobro osób trzecich w zakresie i trybie określonym ustawą. Ochrona danych osobowych nie powinna zatem posiadać prymatu pierwszeństwa i funkcjonować w oderwaniu od przepisów służących ochronie innych wartości. Przepis art. 12 ww. ustawy statuuje główne zadania i kompetencje Generalnego Inspektora Ochrony Danych Osobowych, który pełni zarówno funkcję organu kontrolującego poprawność przetwarzania danych osobowych zgodnie z obowiązującymi przepisami oraz rzecznika interesów poszczególnych osób i interesów publicznych, jak i organu, który w tym zakresie został wyposażony we władcze kompetencje wydawania decyzji administracyjnych i rozpatrywania skarg w sprawach wykonania przepisów o ochronie danych osobowych. Stosownie do treści art. 7 pkt 2 ww. ustawy, przez przetwarzanie danych osobowych rozumie się jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych. Przepis art. 7 pkt 5 ustawy o ochronie danych osobowych określa zgodę osoby, której dane dotyczą, jako oświadczenie woli, którego treścią jest zgoda na przetwarzanie danych osobowych tego, kto składa oświadczenie, przy czym zaznacza, iż zgoda nie może być domniemana lub dorozumiana z oświadczenia woli o innej treści. Wbrew stanowisku organu, przepis nie nakazuje wyodrębnienia redakcyjnego zgody. Dotyczy on jedynie sytuacji, gdy w konkretnym przypadku oświadczenie o wyrażeniu zgody nie zostało wyraźnie wyartykułowane. W takim przypadku wspomniana definicja nakazuje uznać, iż zgoda nie została udzielona, gdyż niedopuszczalne jest wyinterpretowywanie jej z innego oświadczenia, np. dotyczącego upoważnienia do dokonania na rzecz jakiejś osoby określonej czynności, do której konieczne jest dysponowanie jej danymi osobowymi. Sytuacja taka nie występuje w przypadku oświadczenia zakwestionowanego przez organ w niniejszej sprawie, gdyż w jego treści w sposób wyraźny i wprost jest zawarta zgoda na przetwarzanie danych osobowych Podkreślić należy że ochrona danych osobowych należy do praw zagwarantowanych w Konstytucji RP. Trybunał Konstytucyjny w wyroku z 12 listopada 2002 r. SK 40/02, stwierdził m.in., że: "istota autonomii informacyjnej każdego człowieka sprowadza się do pozostawienia każdej osobie swobody w określaniu sfery dostępności dla wiedzy innych o sobie." W uzasadnieniu wyroku z dnia 5 sierpnia 2008 r. (I PK 37/2008) Sąd Najwyższy - Izba Pracy, Ubezpieczeń Społecznych i Spraw Publicznych podniósł, że: "w myśl art. 51 ust. 1 Konstytucji RP, nikt nie może być obowiązany inaczej niż na podstawie ustawy, do ujawniania informacji dotyczących jego osoby. Wyrażona w tym przepisie konstytucyjna zasada ochrony danych osobowych zakazuje więc komukolwiek dostępu do tych informacji z pominięciem wyraźnej podstawy ustawowej." Zgodnie z art. 3 ust. 1 ustawy o ochronie danych osobowych, ustawę stosuje się do organów państwowych, organów samorządu terytorialnego oraz do państwowych i komunalnych jednostek organizacyjnych. Natomiast w myśl art. 7 pkt 4 ustawy, ilekroć w ustawie jest mowa o administratorze danych - rozumie się przez to organ, jednostkę organizacyjną, podmiot lub osobę, o których mowa w art. 3, decydujące o celach i środkach przetwarzania danych osobowych. W przypadku podmiotów publicznych, o celach i środkach przetwarzania danych stanowią najczęściej przepisy prawa, co jest konsekwencją zasady legalizmu (wyrażonej w art. 7 Konstytucji oraz w art. 6 kpa). Są one zobowiązane do przetwarzania danych osobowych dla realizacji określonych prawem celów, zazwyczaj także przy użyciu wskazanych środków. Dlatego zgodzić się należy z opinią, iż "o tym, czy dany organ, jednostka organizacyjna albo innego rodzaju podmiot jest administratorem danych osobowych, decyduje przede wszystkim rodzaj i charakter nadanych im przez prawo kompetencji z obszaru spraw publicznych oraz wyznaczone ustawowo zadania. Do uznania danego podmiotu za administratora danych potrzebna jest jednak zawsze analiza konkretnych przepisów mających zastosowanie w określonej sytuacji" (R. Hauser Przetwarzanie danych osobowych: cel i środki, Rzeczpospolita, 6 kwietnia 1999). Zgodnie z art. 7 ust. 1 pkt 1 ustawy z dnia 16 grudnia 2010 r. o publicznym transporcie zbiorowym (Dz. U z 2011 r. Nr 5, poz. 13 z późn. zm.), organizatorem publicznego transportu zbiorowego, zwanym dalej "organizatorem", właściwym ze względu na obszar działania lub zasięg przewozów, jest gmina: a) na linii komunikacyjnej albo sieci komunikacyjnej w gminnych przewozach pasażerskich, b) której powierzono zadanie organizacji publicznego transportu zbiorowego na mocy porozumienia między gminami - na linii komunikacyjnej albo sieci komunikacyjnej w gminnych przewozach pasażerskich, na obszarze gmin, które zawarły porozumienie. Natomiast w myśl art. 7 ust. 4 pkt 1 ww. ustawy, określone w ustawie zadania organizatora, o którym mowa w ust. 1 pkt 1-5, wykonuje, w przypadku: gminy - wójt, burmistrz albo prezydent miasta. Do zadań organizatora publicznego transportu zbiorowego należy: planowanie rozwoju transportu, organizowanie publicznego transportu zbiorowego i zarządzanie publicznym transportem zbiorowym (art. 8 ustawy o publicznym transporcie zbiorowym). Dodatkowo, zgodnie z art. 4 ustawy z dnia 15 listopada 1984 r. prawo przewozowe (Dz. U. z 2012 r., poz. 1173 z późn. zm.), przewoźnik lub organizator publicznego transportu zbiorowego, o którym mowa w przepisach ustawy z dnia 16 grudnia 2010 r. o publicznym transporcie zbiorowym (Dz. U. z 2011 r. Nr 5, poz. 13 i Nr 228, poz. 1368), mogą wydawać regulaminy określające warunki obsługi podróżnych, odprawy oraz przewozu osób i rzeczy. Prezydent Miasta P. wydał Zarządzenie nr [...] z dnia [...] czerwca 2014 r. w sprawie wprowadzenia Regulaminu przewozów określającego warunki obsługi podróżnych oraz przewozu osób i rzeczy w komunikacji miejskiej (lokalnym transporcie zbiorowym) organizowanej przez Zarząd Transportu Miejskiego w P., powierzając jego wykonanie Dyrektorowi Zarządu Transportu Miejskiego w P. W regulaminie tym Prezydent określił m.in. zakres kompetencji ZTM P. oraz treść zawieranej z pasażerem umowy przewozu, w tym zasady wnoszenia opłat za przejazd, uprawnienia do ulg, rozpatrywania reklamacji, skarg i wniosków. Nie można zatem zgodzić się z poglądem strony skarżącej, że nieuzasadnione jest uznanie, że to Prezydent Miasta P. jest administratorem danych osobowych przetwarzanych w związku z kartą [...], dokonane w oparciu o powyższe przepisy (rangi ustawowej), określające zadania Prezydenta Miasta P. w obszarze zapewnienia transportu zbiorowego. Wszelkie bowiem regulacje, na podstawie których "obsługą" karty [...] zajmuje się Zarząd Transportu Miejskiego w P. stanowią konkretyzację i delegację zadań ustawowych Prezydenta jako wykonawcy zadań organizatora transportu zbiorowego. Fakt, że Generalny Inspektor prowadził kontrolę w ZTM w P., nie oznacza, że podmiot ten został uznany za administratora danych (na co powołuje się w uzasadnieniu skargi pełnomocnik Skarżącego), bowiem pojęcie "przetwarzania danych" nie jest zarezerwowane wyłącznie do operacji na danych, które przeprowadza administrator danych. Kontrole prowadzone są w różnych podmiotach (także jednostkach organizacyjnych, oddziałach) bowiem mają one na celu ustalenie stanu faktycznego, na podstawie którego dopiero dokonywana jest ocena zgodności przetwarzania danych osobowych z przepisami o ochronie danych osobowych. Natomiast argumentacja, że karta [...] w przyszłości będzie miała szersze niż tył nośnik biletu zastosowanie skłania raczej do zastanowienia na jakiej podstawie prawnej przetwarzane będą dane użytkowników np. komercyjnych usługodawców, kto, komu i jakie dane będzie udostępniał. Zatem tym bardziej trudno będzie uzasadnić, że to Miasto P. w imieniu i na rzecz którego działa ZTM, jest administratorem danych użytkowników takiej karty. Z powyższych względów uznać należy, że to Prezydent Miasta P. jako organ samorządu terytorialnego (o którym mowa w art. 3 ust. 1 ustawy o ochronie danych osobowych) w granicach przyznanych mu przez prawo kompetencji decyduje o celach i środkach przetwarzań danych użytkowników [...], bowiem karta ta jest nośnikiem biletów komunikacji miejskiej służącym do dokonywania opłat za przejazd, a jak wskazano, treść umowy przewozu określa Prezydent w ww. Regulaminie. Nie można zatem zgodzić się ze stanowiskiem pełnomocnika skarżącego, że zaskarżona decyzja, jak i decyzja wydana w I instancji, skierowane zostały do podmiotu niebędącego stroną postępowania. Odnosząc się natomiast do kwestii nakazu dotyczącego wyodrębnienia zgody na przetwarzanie danych osobowych w celach marketingowych od zgody na otrzymywanie informacji marketingowych i handlowych za pomocą środków komunikacji elektronicznej należy powołać się na art. 23 ust. 1 pkt 1 ustawy o ochronie danych osobowych, zgodnie z którym, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy osoba, której dane dotyczą, wyrazi na to zgodę, chyba że chodzi o usunięcie dotyczących jej danych. W myśl art. 7 pkt 5 ustawy, ilekroć w ustawie jest mowa o zgodzie osoby, której dane dotyczą - rozumie się przez to oświadczenie woli, którego treścią jest zgoda na przetwarzanie danych osobowych tego, kto składa oświadczenie; zgoda nie może być domniemana lub dorozumiana z oświadczenia woli o innej treści; zgoda może byt odwołana w każdym czasie. Oświadczenie woli, którego treścią jest zgoda na przetwarzanie danych nie może być domniemane lub dorozumiane z oświadczenia woli o innej treści, a zatem oświadczenie to powinno być dobrowolne, konkretne i w pełni świadome. Zgoda może być ważna tylko wówczas, gdy osoba której dane dotyczą może dokonać rzeczywistego wyboru oraz nie istnieje ryzyko negatywnych konsekwencji, jeżeli osoba nie wyrazi zgody. W przedmiotowej sprawie możliwość rzeczywistego wyboru podlega ograniczeniom, bowiem, na wniosku o wydanie Karty [...] zamieszczone jest oświadczenie o wyrażeniu zgody na przetwarzanie danych osobowych "w celach marketingowych, w tym na otrzymywanie informacji marketingowych i handlowych za pomocą środków komunikacji elektronicznej". Jako cele marketingowe określone w powyższej klauzuli rozumie się informowanie o usługach komunikacyjnych, innych usługach miejskich, działaniach dotyczących transportu publicznego oraz nowych produktach i funkcjonalnościach systemu [...]. Taka sytuacja jest sprzeczna z treścią art. 7 ust. 5 ustawy, gdyż "zgoda na przetwarzanie danych osobowych musi być wyraźna. Nie spełnia tego wymagania podpisanie oświadczenia o wyrażeniu zgody na przetwarzanie danych, stanowiącego dodatkowy element innego zobowiązania" (wyrok NSA z 4.04.2003 r. (II SA 2135/02), LEX nr 107067). W tym miejscu należy również zauważyć, że instytucja zgody na otrzymywanie informacji handlowej za pomocą środków komunikacji elektronicznej jest uregulowana w ustawie z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną (Dz. U. z 2013 r., poz.1422). Warto zatem wskazać, że zgodnie z doktryną popartą orzecznictwem zgoda (o której mowa w art. 4 ust. 1 tej ustawy) musi być wyraźnie udzielona i winna obejmować określone przez usługodawcę czynności. Nie ma bowiem możliwości, aby na przykład ze zgody jedynie na przesłanie usługobiorcy określonej informacji handlowej wywnioskować także zgodę przykładowo na przetwarzanie danych osobowych, które nie są niezbędne do świadczenia danej usługi. Zresztą wszystkie aspekty usługi muszą być dla usługobiorcy jasne w chwili wyrażenia zgody (tak w wyroku NSA z dnia 4 kwietnia 2003 r., II SA 2135/02, Wokanda 2004, nr 6, poz. 30, J. Gołaczyński Ustawa o świadczeniu usług drogą elektroniczną. Komentarz Oficyna 2009). "Zgoda na przesyłanie informacji handlowej i zgoda na przetwarzanie niektórych danych osobowych powinny być wyrażone w odrębnych oświadczeniach. W przeciwnym wypadku zachodzi ryzyko zarzutu domniemania zgody z oświadczenia innej treści" (M. Namysłowska, Świadczenie usług droga elektroniczną oraz dostęp warunkowy, Komentarz do ustaw pod red. D. Lubasza i M. Namysłowskiej, LexisNexis, Warszawa 2011, str. 103). Jak wskazał Naczelny Sad Administracyjny w wyroku z dnia 31 stycznia 2012 r. "Klauzula zgody na przetwarzanie danych osobowych w celach marketingowych powinna być sformułowana w sposób oddzielny od klauzuli zgody na otrzymywanie informacji handlowych za pomocą poczty elektronicznej" (I OSK 1317/11, publ. Centralna Baza Orzeczeń Sądów Administracyjnych, orzeczenia.nsa.gov.pl). Zaś w dalszej części uzasadnienia do ww. wyroku podkreślił również, że taki sposób sformułowania klauzuli o przetwarzaniu danych osobowych w celach marketingowych powoduje, iż osoba, która ją składa, nie może być do końca pewna, na co rzeczywiście się zgadza. Nadto powoduje to, iż osoba zainteresowana nie może odwołać np. tylko jednej ze zgód, a pozostawić drugą. To rozwiązanie jest również niekorzystne dla osoby, która chce, aby w ograniczonym stopniu były przetwarzane jej dane osobowe, np. chciałaby otrzymywać informacje o produktach pocztą elektroniczną, ale nie jest zainteresowana innymi formami marketingu, np. marketingiem telefonicznym. Jak zatem należy zauważyć zarówno w piśmiennictwie i orzecznictwie dotyczącym "zgody na przetwarzanie danych osobowych, jak i zgody na przesyłanie informacji handlowej za pomocą środków komunikacji elektronicznej", podkreślona została konieczność rozdzielania tych oświadczeń. Nakaz zawarty w kwestionowanej decyzji Generalnego Inspektora Ochrony Danych Osobowych odnosi się do kwestii zgody na przetwarzanie danych osobowych. Na zakończenie podkreślić należy że ustawa o ochronie danych osobowych (art. 7 pkt 5 ustawy) w sposób jednoznaczny określa, jak powinna wyglądać zgoda na przetwarzanie danych osobowych, wobec powyższego zaskarżona decyzja nie narusza prawa. Mając powyższe na uwadze, na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (tekst jednolity Dz. U. z 2012 r., poz. 270 ze zm.), Wojewódzki Sąd Administracyjny w Warszawie, orzekł jak w sentencji.