II SA/Wa 1502/14

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Andrzej Kołodziej (spr.) Sędziowie WSA Ewa Marcinkowska Anna Mierzejewska Protokolant starszy sekretarz sądowy Dorota Kwiatkowska po rozpoznaniu na rozprawie w dniu 12 lutego 2015 r. sprawy ze skargi D. Z. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] maja 2014 r. nr [...] w przedmiocie przetwarzania danych osobowych - oddala skargę - Generalny Inspektor Ochrony Danych Osobowych decyzją nr [...] z dnia [...] czerwca 2013 r., na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. – Kodeks postępowania administracyjnego (Dz. U. z 2013 r., poz. 269), art. 12 pkt 2 i art. 22 oraz art. 32 ust. 1 i 3 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.), odmówił uwzględnienia skargi D. Z. na przetwarzanie jej danych osobowych przez [...] Bank S.A. z siedzibą w W. W uzasadnieniu podał, że jak ustalił, w dniu [...] lipca 2012 r. strona złożyła w oddziale [...] Bank S.A. ustny sprzeciw wobec przetwarzania jej danych osobowych w celach marketingowych, który został w tym dniu niezwłocznie wprowadzony do systemu. Niemniej miało to miejsce już po wygenerowaniu przez Bank listy adresowej e-mailingu o charakterze marketingowym. Niezwłocznie po tych ustaleniach, w dniu [...] sierpnia 2012 r. przesłano do strony pismo zawierające wyjaśnienia zaistniałej sytuacji. Według Banku, poza pojedynczym mailingiem, wynikającym z rozległości czasowej procesu, do strony nie były wysyłane później materiały marketingowe. Organ stwierdził, że zgodnie z art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych, przetwarzanie danych jest dopuszczalne, gdy jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Za prawnie usprawiedliwiony cel, o którym mowa wyżej, uważa się w szczególności marketing bezpośredni własnych produktów lub usług administratora danych. Ponadto, w jego ocenie, aktualnie nie istnieje stan naruszenia ustawy, a wobec incydentalnego charakteru zaistniałego zdarzenia, nie zachodzą przesłanki do uznania, że konieczne jest stosowanie art. 18 ust. 1 ustawy, czyli nakazania przywrócenia stanu zgodnego z prawem. We wniosku o ponowne rozpatrzenie sprawy D. Z. podniosła, że w dniu [...] maja 2013 r. pracownica Banku na jej adres mailowy przesłała informację, że jest jej nową opiekunką oraz zaproponowała produkty Banku. Zatem nie można mówić o incydentalnym przypadku naruszenia przepisów o ochronie danych osobowych zainteresowanej. Powołując się na wyrok WSA w Warszawie z 14 listopada 2007 r., wniosła o "zweryfikowanie" decyzji wydanej [...] czerwca 2013 r. Generalny Inspektor Ochrony Danych Osobowych decyzją nr [...] z dnia [...] maja 2014 r., na podstawie art. 138 § 1 pkt 1 Kpa w związku z art. 12 pkt 2 i art. 22 w zw. z art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych, utrzymał w mocy zaskarżoną decyzję. W uzasadnieniu wskazał, że w odpowiedzi na sygnalizację z dnia [...] czerwca 2013 r., Prezes Zarządu Banku poinformował organ, iż w wyniku analizy regulacji wewnętrznych oraz procesów operacyjnych mających wpływ na przetwarzanie danych osobowych klientów banku w celach marketingowych, uchwałą nr [...] z dnia [...] lipca 2013 r. wprowadzono zmiany w "Zasadach przetwarzania danych osobowych w celach marketingowych", mające na celu zapobieżenie przypadkom przetwarzania danych osobowych w celach marketingowych osób, które złożyły sprzeciwy. Organ podał również, że Bank pisemnie ustosunkował się w dniu [...] października 2013 r. do okoliczności podnoszonej przez D. Z. we wniosku o ponowne rozpatrzenie sprawy, wyjaśniając, iż sytuacja zaistniała w dniu [...] maja 2013 r. wynikała z błędnej interpretacji pojęcia "marketing własnych produktów i usług" przez pracownika Banku, a także, że od pracownika przyjęto wyjaśnienia i pouczono go o popełnionym błędzie. Generalny Inspektor ponownie stwierdził, że przepisem, uprawniającym administratorów danych do przetwarzania danych osób fizycznych, jest art. 23 ust. 1 ustawy o ochronie danych osobowych. Zgodnie z jego pkt 5, przetwarzanie to jest dopuszczalne, jeżeli jest niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Organ wskazał, że w myśl art. 32 ust. 1 ustawy, każdej osobie przysługuje prawo kontroli przetwarzania danych, które jej dotyczą, zawartych w zbiorach danych, a zwłaszcza prawo do wniesienia sprzeciwu wobec przetwarzania jej danych osobowych w przypadkach wymienionych w art. 23 ust. 1 pkt 4 i 5, gdy administrator danych zamierza je przetwarzać w celach marketingowych lub wobec przekazywania jego danych osobowych innemu administratorowi danych (pkt 8). W myśl art. 32 ust. 3 ustawy, w razie wniesienia sprzeciwu, o którym mowa w ust. 1 pkt 8, dalsze przetwarzanie kwestionowanych danych jest niedopuszczalne. Administrator danych może jednak pozostawić w zbiorze imię lub imiona i nazwisko osoby w celach objętych sprzeciwem. W ocenie Generalnego Inspektora obydwa niekwestionowane przypadki naruszenia ustawy o ochronie danych osobowych miały charakter jednostkowy. Natomiast Bank podjął działania (uchwała nr [...] z [...] lipca 2013 r., wprowadzająca zmiany dotyczące przetwarzania danych osobowych w celach marketingowych), mające na celu wyeliminowanie w przyszłości w/w nieprawidłowości. Ponadto w piśmie z dnia [...] października 2013 r. Bank poinformował, że respektuje sprzeciw strony i wskazał, iż obecnie jej dane osobowe nie są przetwarzane w celach marketingowych. Organ podniósł, że jego postępowanie, zainicjowane indywidualną skargą, jest ukierunkowane na wydanie decyzji administracyjnej na podstawie art. 18 ust. 1 ustawy. Z jego brzmienia, a zarazem z definicji decyzji administracyjnej jako aktu rozstrzygającego w sposób władczy o prawach i obowiązkach stron postępowania w ustalonym i aktualnym na chwilę jego wydania stanie faktycznym i prawnym wynika, że organ ochrony danych osobowych nie dokonuje oceny zdarzeń przeszłych, niekontynuowanych w chwili orzekania. Decyzja Generalnego Inspektora nie jest zatem instrumentem represji – służącym wyciąganiu konsekwencji w związku z przeszłymi nieprawidłowościami w procesie przetwarzania danych, lecz instrumentem służącym przywróceniu stanu zgodnego z prawem w procesie przetwarzania danych realizowanym w chwili wydania decyzji. W tej sytuacji oczywistym jest pozostawienie poza obszarem zainteresowania organu ochrony danych zdarzeń przeszłych w obszarze przetwarzania danych osobowych. Zdaniem Generalnego Inspektora, w chwili wydawania decyzji Bank nie przetwarzał danych osobowych zainteresowanej w celach marketingowych, respektując wniesiony sprzeciw, w związku z tym po stronie organu nie zachodziły przesłanki do wydania decyzji stosownie do treści art. 18 ust. 1 ustawy, tj. nakazującej przywrócenie stanu zgodnego z prawem. Ponadto aktualnie Bank również nie przetwarza jej danych osobowych w celach marketingowych. W skardze na powyższą decyzję do Wojewódzkiego Sądu Administracyjnego w Warszawie D. Z. zarzuciła Generalnemu Inspektorowi naruszenie podstawowych zasad Konstytucji RP oraz ustawy o ochronie danych osobowych, poprzez nierówne traktowanie jej jako obywatela – klienta Banku, występującego przeciw Bankowi, który domaga się respektowania przez Bank złożonego sprzeciwu. Skarżąca podniosła, że pomimo sprzeciwu, Bank dwukrotnie, tj. [...] lipca 2012 r. i [...] maja 2013 r., przetwarzał jej dane w celach marketingowych. W jej ocenie ustawa o ochronie danych osobowych nie dopuszcza żadnych jednostkowych przypadków naruszenia danych osobowych po złożeniu sprzeciwu. Wniosła w związku z tym o wydanie decyzji, "w której to w sentencji będzie napisane, że [...] Bank S.A. złamał ustawę w zakresie wykorzystania moich danych osobowych po złożeniu sprzeciwu" lub uchylenie decyzji i przekazanie sprawy do ponownego rozpoznania. Pełnomocnik skarżącej z urzędu w piśmie procesowym z dnia [...] lutego 2015 r. poparł skargę, a ponadto zaskarżonej decyzji zarzucił naruszenie przepisów postępowania, mających wpływ na treść decyzji, tj.: I) Art. 138 § 1 pkt 1 w zw. z art. 7 w zw. z art. 77 § 1, art. 80 oraz art. 107 § 3 Kpa, poprzez brak rzetelnego i wszechstronnego rozpatrzenia materiału dowodowego i wyciągnięcia z niego odpowiednich wniosków w sprawie poprzez: 1) błędne przyjęcie, iż [...] Bank S.A. jedynie jednorazowo dokonał przetwarzania danych osobowych skarżącej w celach marketingowych, podczas gdy z akt sprawy wynika, iż dane te przetwarzane są w sposób ciągły, co odzwierciedliło się ponownym przesłaniem skarżącej wiadomości email z ofertą rachunku, 2) błędne przyjęcie, iż jednorazowe naruszenie przetwarzania danych osobowych skarżącej w celach marketingowych nie pozwala na wydanie decyzji, o której mowa w art. 18 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t. j. Dz. U. z 2014 r., poz. 1182), co w konsekwencji doprowadziło do błędnego uznania, iż w niniejszej sprawie nie zachodzą przesłanki do wydania decyzji stwierdzającej naruszenia przez [...] Bank S.A. przepisów Ustawy oraz nakazanie [...] Bank S.A. zaniechania naruszeń przepisów Ustawy, w szczególności poprzez zakazanie przetwarzania danych osobowych skarżącej w celach marketingowych, podczas gdy zgodnie z zebranym materiałem dowodowym, decyzja o wskazanej powyżej treści powinna zostać wydana. Z uwagi na powyższe zarzuty, wniósł o uchylenie zaskarżonej decyzji w całości i przyznanie kosztów pomocy prawnej udzielonej z urzędu w dwukrotnej wysokości, nieopłaconych w części ani w całości, a nadto o rozważenie uchylenia poprzedzającej ją decyzji. W odpowiedzi na skargę Generalny Inspektor Ochrony Danych Osobowych wniósł o jej oddalenie i podtrzymał w całości swoje dotychczasowe stanowisko faktyczne oraz prawne. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Zgodnie z przepisem art. 1 § 1 i § 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (Dz. U. nr 153, poz. 1269 ze zm.), sądy administracyjne sprawują wymiar sprawiedliwości m. in. poprzez kontrolę działalności administracji publicznej, a kontrola ta sprawowana jest pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej. Skarga oceniana w świetle powyższych kryteriów nie zasługuje na uwzględnienie. Stosownie do treści art. 12 ust. 1 i 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (j. t. Dz. U. z 2014 r., poz. 1182 ze zm.), dalej jako "uodo", do zadań Generalnego Inspektora Ochrony Danych Osobowych w szczególności należy kontrola zgodności przetwarzania danych z przepisami o ochronie danych osobowych oraz wydawanie decyzji administracyjnych i rozpatrywanie skarg w sprawie wykonania przepisów o ochronie danych osobowych. Natomiast w myśl art. 18 ust. 1 uodo, w przypadku naruszenia przepisów o ochronie danych osobowych Generalny Inspektor z urzędu lub na wniosek osoby zainteresowanej, w drodze decyzji administracyjnej, nakazuje przywrócenie stanu zgodnego z prawem, a w szczególności: 1) usunięcie uchybień, 2) uzupełnienie, uaktualnienie, sprostowanie, udostępnienie lub nieudostępnienie danych osobowych, 3) zastosowanie dodatkowych środków zabezpieczających zgromadzone dane osobowe, 4) wstrzymanie przekazywania danych osobowych do państwa trzeciego, 5) zabezpieczenie danych lub przekazanie ich innym podmiotom, 6) usunięcie danych osobowych. Z powyższego przepisu wynika zatem, że treścią decyzji powinien być nakaz przywrócenia stanu zgodnego z prawem, który może dotyczyć konkretnego, określonego w nim działania lub zaniechania. W literaturze podnosi się, iż mamy tu do czynienia ze stopniowaniem sankcji administracyjnych (w zależności od rodzaju uchybienia), a Generalny Inspektor powinien stosować konkretne nakazy z uwzględnieniem charakteru stwierdzonego naruszenia, tj. adekwatne (współmierne) do stopnia naruszenia i zagrożenia praw osoby, której dane dotyczą (zob. G. Sibiga, Postępowanie w sprawach ochrony danych osobowych, Warszawa 2003, s. 153). W literaturze i orzecznictwie wyrażany jest również pogląd, zgodnie z którym stwierdzony przez organ stan naruszenia przepisów o ochronie danych osobowych powinien istnieć w dacie wydania decyzji, natomiast jeżeli postępowanie administracyjne zostało wszczęte w wyniku stwierdzenia nieprawidłowości przez inspekcję, a w trakcie tego postępowania ustanie stan naruszenia prawa (np. administrator usunie uchybienia), postępowanie staje się bezprzedmiotowe, a organ wydaje decyzję o jego umorzeniu na podstawie art. 105 Kpa (ibidem, s. 151, wyrok WSA w Warszawie z 13 marca 2014 r., II SA/Wa 1988/13, publ. http://orzeczenia.nsa.gov.pl). W niniejszej sprawie bezsporne jest, że dane D. Z. są przetwarzane przez [...] Bank S.A. z siedzibą w W. (dalej jako "Bank"), w celu świadczenia usług bankowych, w oparciu o umowę o świadczenie usług oferowanych przez Bank dla Osoby Fizycznej, zawartą w dniu [...] lutego 2012 r. Ich zakres zawiera m. in. podstawowe dane osobowe i adresowe oraz adres mailowy. Zatem podstawą ich przetwarzania jest przepis art. 23 ust. 1 pkt 5 uodo, zgodnie z którym przetwarzanie danych jest dopuszczalne tylko wtedy, gdy jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Za prawnie usprawiedliwiony cel, o którym mowa w ust. 1 pkt 5, jak stanowi przepis art. 23 ust. 4 uodo, uważa się w szczególności: 1) marketing bezpośredni własnych produktów lub usług administratora danych, 2) dochodzenie roszczeń z tytułu prowadzonej działalności gospodarczej. Jednocześnie zaznaczenia wymaga, iż stosownie do przepisu art. 32 ust. 1 uodo, każdej osobie przysługuje prawo do kontroli przetwarzania danych, które jej dotyczą, zawartych w zbiorach danych, w tym do wniesienia sprzeciwu wobec przetwarzania jej danych w przypadkach wymienionych w art. 23 ust. 1 pkt 4 i 5, gdy administrator danych zamierza je przetwarzać w celach marketingowych lub wobec przekazywania jej danych osobowych innemu administratorowi danych (pkt 8). W razie wniesienia sprzeciwu, o którym mowa w ust. 1 pkt 8, dalsze przetwarzanie kwestionowanych danych jest niedopuszczalne. Administrator danych może jednak pozostawić w zbiorze imię lub imiona i nazwisko osoby oraz numer PESEL lub adres wyłącznie w celu uniknięcia ponownego wykorzystania danych tej osoby w celach objętych sprzeciwem (art. 32 ust. 3). W rozpoznawanej sprawie poza sporem pozostaje okoliczność, że skarżąca złożyła w dniu [...] lipca 2012 r. w Oddziale [...] Bank S.A. w W. ustny sprzeciw, polegający na niewyrażeniu zgody na przetwarzanie jej danych osobowych w celach marketingowych. Nie jest również kwestionowane, że dwukrotnie, tj. [...] lipca 2012 r. oraz [...] maja 2013 r., doszło do przetwarzania danych osobowych skarżącej w celach marketingowych. Jednakże zdarzenia te miały charakter incydentalny, bowiem z akt sprawy nie wynika, aby się powtórzyły. Ponadto w reakcji na pismo sygnalizacyjne Generalnego Inspektora z dnia [...] czerwca 2013 r., Bank podjął niezbędne działania w celu zminimalizowania ryzyka wystąpienia naruszeń przepisów o ochronie danych osobowych. W szczególności Uchwałą Nr [...] z dnia [...] lipca 2013 r. wprowadzono zmiany w "Zasadach przetwarzania danych osobowych w celach marketingowych", przyjmując, że: 1) akcje marketingowe kierowane do klientów Banku będą przeprowadzane w oparciu o bazy teleadresowe generowane w dniu wysyłki materiałów marketingowych, 2) dodając zapis o niezwłoczności obsługi nadesłanego sprzeciwu wobec przetwarzania danych w celach marketingowych, 3) doprecyzowując sposób postępowania w przypadkach, gdy w zbiorach/bazach danych nie można odnaleźć nadawcy sprzeciwu z powodu niewystarczającej ilości danych. Natomiast w piśmie z dnia [...] czerwca 2013 r. Bank opisał szereg działań szkoleniowo – informacyjnych, doskonalących standardy przetwarzania danych osobowych. Z kolei po zdarzeniu z dnia [...] maja 2013 r. Bank przeprowadził czynności wyjaśniające, w wyniku których ustalił, że do przetwarzania danych osobowych skarżącej w celach marketingowych doszło nie ze złej woli pracownika, ale z uwagi na błędną interpretację pojęcia "marketing własnych produktów i usług", pouczono w/w pracownika o właściwym postępowaniu w takich sprawach. Z tego względu, w ocenie Sądu, zasadne było przyjęcie przez Generalnego Inspektora, że na dzień wydania zaskarżonej decyzji nie istniał stan naruszenia przepisów o ochronie danych osobowych, obligujący do nakazania Bankowi przywrócenia stanu zgodnego z prawem. Ponadto nie bez znaczenia dla takiego rozstrzygnięcia pozostają działania Banku, podjęte w celu wyeliminowania w przyszłości naruszeń prawa w omawianym zakresie. Nie są zatem trafne zarzuty naruszenia wskazanych przepisów postępowania poprzez brak rzetelnego i wszechstronnego rozpatrzenia materiału dowodowego i wyciągnięcia z nich odpowiednich wniosków. Podkreślić bowiem należy, iż organ prawidłowo ustalił stan faktyczny w niniejszej sprawie, który nie budzi wątpliwości. Argumentacja strony skarżącej wskazuje raczej na jego wadliwą ocenę pod kątem przestrzegania przez Bank przepisów o ochronie danych osobowych. Jednakże do naruszenia tych przepisów doszło w przeszłości, stąd brak było podstaw do wydania decyzji, której domagała się skarżąca. Mając powyższe na względzie, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2012 r., poz. 270 ze zm.), orzekł jak w sentencji wyroku.