II SA/Wa 2162/12

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Iwona Dąbrowska, Sędziowie WSA Ewa Grochowska – Jung (spr.), Jacek Fronczyk, , Protokolant specjalista Elwira Sipak, , po rozpoznaniu na rozprawie w dniu 5 kwietnia 2013 r. sprawy ze skargi A. Sp. z o.o. z siedzibą w W. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] września 2012 r. nr [...] w przedmiocie przetwarzania danych osobowych - oddala skargę - UZASDANIENIE Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia [...] września 2012 r. nr [...], wydaną na podstawie art. 138 § 1 pkt 1 kpa oraz art. 12 pkt 2, art. 18 ust. 1 pkt 1 i art. 22 w zw. z art. 23 ust. 1 pkt 1 w zw. z art. 7 pkt 5 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. nr 101, poz. 926 z późn. zm.), po przeprowadzeniu postępowania administracyjnego w sprawie wniosku [...] z siedzibą w W. przy ul. [...] o ponowne rozpatrzenie sprawy zakończonej decyzją Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] lipca 2012 r., nr [...], w części zobowiązującej [...] z siedzibą w W. do wykonania nakazów zawartych w punktach 2 i 3 zaskarżonej decyzji, utrzymał w mocy nakazy zawarte w punktach 2 i 3 decyzji z dnia [...] lipca 2012 r. nr [...] Stan faktyczny przedstawia się w sprawie następująco. W toku kontroli przeprowadzonej w [...] z siedzibą w W. przy ul. [...] inspektorzy upoważnieni przez Generalnego Inspektora Ochrony Danych Osobowych ustalili, iż w dniu [...] grudnia 2004 r. [...] z siedzibą w W. oraz L. N. prowadzący działalność gospodarczą pod nazwą "[...]" z siedzibą w B. (zwany dalej Przedsiębiorcą) zawarli "umowę o współpracy w zakresie tworzenia bazy danych osobowych". Ustalono, iż w wyniku realizacji powołanej umowy tworzona jest m.in. baza danych Spółki, która zawiera dane osobowe pozyskane od respondentów za pomocą kwestionariuszy opracowanych przez Przedsiębiorcę i zawierających pytania ustalone przez Spółkę. Respondentami, którzy wypełniają ww. kwestionariusze są matki, które urodziły dziecko i/lub ich partnerzy (zwany dalej "kwestionariuszem Programu Edukacji Zdrowotnej"). Z ustaleń kontroli wynika, iż w powyższych kwestionariuszach pozyskiwane są dane osobowe matek, które urodziły dziecko, dane osobowe tych dzieci, oraz dane osobowe partnerów matek. Ww. kwestionariusz zawiera klauzulę zgody na przetwarzanie danych osobowych o następującej treści: "Wyrażam zgodę na przetwarzanie moich danych osobowych zawartych w części A i B niniejszego kwestionariusza przez [...] z siedzibą w W. przy ul. [...], jako administratora danych oraz na udostępnienie moich danych innym podmiotom, w tym renomowanym dostawcom produktów i/lub usług oraz uznanym organizacjom społecznym i pozarządowych oraz wyrażam zgodę na przetwarzanie moich danych osobowych zawartych w części A kwestionariusza przez [...] L. N. z siedzibą w B., ul. [...]. Zostałem poinformowany że moje dane osobowe będą przetwarzane zgodnie z zasadami wynikającymi z przepisów o ochronie danych osobowych w następujących celach: rozwój produktów i usług, analiza i badanie, marketing, integracja danych oraz aktualizacja i weryfikacja ich poprawności. Jednocześnie wyrażam zgodę na otrzymywanie informacji handlowej za pomocą środków komunikacji elektronicznej, przesyłanej na wskazane przeze mnie adresy elektroniczne od [...], [...] L. N. oraz innych podmiotów, które pozyskały moje dane od [...] Wyrażenie zgody jest dobrowolne. Przyjmuję do wiadomości, że przysługuje mi prawo dostępu do treści moich danych oraz prawo ich poprawiania". Złożenie podpisu pod zacytowaną klauzulą, jest równoznaczne ze złożeniem przez osobę, która wypełnia i podpisuje kwestionariusz (respondent) oświadczeń w niej zawartych. Dane osobowe pozyskane na podstawie kwestionariuszy Programu Edukacji Zdrowotnej (tj. dane matek, dzieci, partnerów) są wprowadzane do elektronicznej bazy danych Spółki o nazwie "[...]". Dane te co do zasady są zbierane od osób, których dotyczą. Zdarzają się jednak kwestionariusze podpisane tylko przez matkę dziecka lub tylko przez jej partnera. Niektóre kwestionariusze nie zawierają natomiast podpisu żadnego z respondentów. Dystrybucja kwestionariuszy Programu Edukacji Zdrowotnej wśród potencjalnych respondentów i gromadzenie wypełnionych kwestionariuszy należy do zadań Przedsiębiorcy. Zbiera on wypełnione papierowe kwestionariusze Programu Edukacji Zdrowotnej a następnie wprowadza zawarte w nich dane respondentów do elektronicznej bazy danych prowadzonej w systemie [...]. W przybliżeniu, raz na trzy miesiące Przedsiębiorca przekazuje osobiście do Spółki wypełnione papierowe kwestionariusze Programu Edukacji Zdrowotnej i ww. elektroniczną bazę danych w postaci plików zapisanych na płytach CD. Dane otrzymane przez Spółkę od Przedsiębiorcy na płytach CD są następnie importowane do bazy danych o nazwie "[...]". Warunkiem niezbędnym do tego, aby dane (zarówno matki jak i partnera) zostały importowane do bazy danych "[...]" jest, aby w bazie otrzymanej od Przedsiębiorcy zawarta była informacja, iż matka dziecka wyraziła zgodę na przetwarzanie danych (podpisała kwestionariusz). Jeżeli na tej podstawie do bazy danych "[...]" importowane zostały dane osobowe partnerów, którzy nie złożyli swojego podpisu pod kwestionariuszem (nie wyrazili zgody), dane te przetwarzane są przez Spółkę wyłącznie w celu analizy, badania oraz integracji danych i nie są udostępniane firmom współpracującym ze Spółką. W przypadku, gdy kwestionariusz nie został podpisany przez żadnego z respondentów (ani przez matkę, ani przez partnera) dane zawarte w bazie danych otrzymanej od Przedsiębiorcy nie są importowane do bazy danych "[...]" i nie są one udostępniane firmom współpracującym ze Spółką. Taka sama sytuacja zachodzi w przypadku, gdy to tylko partner podpisał kwestionariusz. Spółka przewiduje, iż w przyszłości pozyskane na "kwestionariuszach Programu Edukacji Zdrowotnej" dane osób, które nie podpisały ww. kwestionariuszy będą wykorzystywane przez nią w celach statystycznych i z tego względu nie usuwa ww. danych. Pismem z dnia [...] czerwca 2012 r. Spółka wyjaśniła, iż zniszczyła 11 płyt CD zawierających kolejne wersje bazy danych [...] otrzymane od Przedsiębiorcy i w chwili obecnej nie jest w posiadaniu żadnych płyt zawierających przedmiotową bazę danych. Do powyższych wyjaśnień załączono kopię protokołu z dokonania zniszczenia ww. płyt w dniu [...] maja 2012 r. Dane pozyskane przez Spółkę na podstawie "kwestionariuszy Programu Edukacji Zdrowotnej" są przez nią "aktywnie" przetwarzane dopóki osoba ta nie wyrazi sprzeciwu wobec dalszego przetwarzania jej danych. W takim przypadku osoba, która wyraziła sprzeciw jest wyszukiwana w bazie danych "[...]" a rekord (wpis) dotyczący jej osoby jest oznaczany jako dane, wobec których przetwarzania złożono sprzeciw, i zapisywany w tzw. "bazie danych wycofań". Baza ta jest częścią bazy danych "[...]". Wycofany rekord zawiera dane w zakresie: imię i nazwisko, adres, numery telefonu, adres e-mail, data urodzenia. Pozostałe dane są usuwane. Wszystkie dane osobowe (także te ze źródeł innych niż opisane kwestionariusze Programu Edukacji Zdrowotnej), przed ich przeniesieniem do bazy danych "[...]" są zawsze porównywane z "bazą danych wycofań" w celu ustalenia, czy osoba ta wcześniej nie zgłosiła sprzeciwu wobec przetwarzania jej danych. Jeżeli osoba choć raz wycofała zgodę na przetwarzanie danych osobowych (złożyła sprzeciw wobec dalszego przetwarzania jej danych przez Spółkę) jej dane osobowe nie są importowane do bazy danych "[...]" nawet jeżeli zostały pozyskane na innej podstawie. W przypadku wyrażenia sprzeciwu dalsze przetwarzanie danych w postaci elektronicznej jest ograniczone do ich przechowywania w "bazie danych wycofań". Pismem z dnia [...] kwietnia 2012 r. Spółka uzupełniła powyższe wyjaśnienia wskazując, iż w przypadku, gdy respondenci (matka, partner) wycofali swoją zgodę dla Spółki na przetwarzanie dotyczących ich danych osobowych, podstawę prawną do ich dalszego przetwarzania przez Spółkę w "bazie danych wycofań" (w zakresie ograniczonym do imienia, nazwiska, adresu, numeru telefonu, adresu e-mail oraz daty urodzenia) stanowi art. 23 ust. 1 pkt 5 ustawy. Jak wskazała Spółka za takim rozwiązaniem przemawia uzasadniony interes osoby, której dane dotyczą gdyż dzięki ww. bazie danych Spółka gwarantuje respondentom, którzy odwołali swoją zgodę na przetwarzanie danych osobowych, iż nie będą otrzymywali ofert handlowych podmiotów z nią współpracujących, nawet, jeżeli w przyszłości Spółka wejdzie ponownie w posiadanie danych takich osób. W dniu [...] marca 2012 r. Generalny Inspektor Ochrony Danych Osobowych wszczął postępowanie administracyjne w sprawie przetwarzania przez Spółkę danych osobowych, a następnie decyzją z dnia [...] lipca 2012 r. nr [...], nakazał [...] z siedzibą w W. przy ul. [...], jako administratorowi danych, usunięcie uchybień w procesie przetwarzania danych osobowych, poprzez: 1. Zapewnienie osobom wypełniającym "kwestionariusz Programu Edukacji Zdrowotnej" (respondentom) możliwości wyboru w zakresie: a) udzielenia/nie udzielenia zgody na przetwarzanie danych osobowych zawartych w części A i B ww. kwestionariusza przez [...] z siedzibą w Warszawie w celach marketingowych; b) udzielenia/nie udzielenia zgody na udostępnienie przez [...] z siedzibą w Warszawie danych osobowych innym podmiotom, w tym renomowanym dostawcom produktów i/lub usług oraz uznanym organizacjom społecznym i pozarządowym przy jednoczesnym wskazaniu celu tego udostępnienia; c) udzielenia/nie udzielenia zgody na otrzymywanie informacji handlowej za pomocą środków komunikacji elektronicznej, przesyłanej na wskazane przez respondenta adresy elektroniczne od [...] z siedzibą w W., od [...] L. N. z siedzibą w B. przy ul. [...] oraz od innych podmiotów, które pozyskały respondenta dane od [...] z siedzibą w W., w terminie dwóch tygodni od dnia, w którym niniejsza decyzja stanie się ostateczna. 2. Usunięcie danych osobowych pozyskanych za pomocą "kwestionariusza Programu Edukacji Zdrowotnej", przetwarzanych w postaci papierowej oraz elektronicznej, a dotyczących respondentów, którzy nie udzielili Spółce zgody na przetwarzanie danych osobowych, o której mowa w klauzuli zawartej w ww. kwestionariuszu, w terminie miesiąca od dnia, w którym niniejsza decyzja stanie się ostateczna. 3. Usunięciu z tzw. "bazy danych wycofań" danych osobowych respondentów, pozyskanych na podstawie "kwestionariusza Programu Edukacji Zdrowotnej", którzy odwołali zgodę na przetwarzanie danych osobowych udzieloną Spółce w ww. kwestionariuszu, w terminie miesiąca od dnia, w którym niniejsza decyzja stanie się ostateczna. 4. Zapewnienie, aby dane osobowe znajdujące się w "kwestionariuszach Programu Edukacji Zdrowotnej" były przetwarzane w postaci umożliwiającej identyfikację osób, których dotyczą, nie dłużej niż jest to niezbędne do osiągnięcia celu przetwarzania, w tym opracowanie i wdrożenie procedur określających sposób usuwania ww. danych w przypadku gdy brak jest podstaw prawnych przetwarzania lub ustał cel przetwarzania, dla którego zostały pozyskane, w terminie miesiąca od dnia w którym niniejsza decyzja stanie się ostateczna. oraz umarzył postępowanie w zakresie uchybień usuniętych przez Spółkę w toku postępowania. W dniu [...] sierpnia 2012 r. Spółka wniosła do Generalnego Inspektora Ochrony Danych Osobowych wniosek o ponowne rozpatrzenie sprawy, w części zobowiązującej ją do wykonania nakazów zawartych w punktach 2 i 3 zaskarżonej decyzji oraz uchylenie tej decyzji w powyższym zakresie. Zaskarżonej decyzji zarzuciła naruszenie art. 7 i 77 § 1 kpa w stopniu mającym istotny wpływ na wynik sprawy oraz naruszenie prawa materialnego, tj. art. 23 ust. 1 pkt 5 w zw. z art. 23 ust. 1 pkt 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. nr 101, poz. 926 z późn. zm.), poprzez przyjęcie, że brak zgody na przetwarzanie danych osobowych (poprzez brak jej złożenia lub późniejsze wycofanie) oznacza, brak możliwości przetwarzania takich danych w oparciu o inną ustawową przesłankę. Spółka podniosła, że w jej ocenie nie można stwierdzić, iż brak podpisu pod klauzulą zawartą w tzw. "kwestionariuszu Programu Edukacji Zdrowotnej" świadczy każdorazowo o braku zgody na wykorzystanie danych respondentów w celu ich analizy i badania. Jest to bowiem tylko jeden z kilku celów przetwarzania danych wskazanych w tej klauzuli. Nie jest zatem wykluczone, że ww. klauzula nie została podpisana z innych powodów np. ze względu na możliwość udostępniania na tej podstawie danych respondentów podmiotom trzecim. Nie sposób jest więc dowieść, że respondenci poprzez niepodpisanie klauzuli zgody zamierzali uniemożliwić Spółce przetwarzanie ich danych właśnie w celach analitycznych. Ponadto wskazała, że pomimo niezłożenia przez respondentów podpisu pod klauzulą zgody na przetwarzanie danych osobowych, która została zawarta w kwestionariuszu Programu Edukacji Zdrowotnej, Spółka jest uprawniona do przetwarzania dotyczących ich danych osobowych w celu badania i analizy na podstawie art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych. Dodatkowo stwierdziła, że cofnięcie zgody przez osobę, której dane były przetwarzane na tej podstawie oznacza, że administrator danych nie ma podstawy prawnej do ich przetwarzania ale wyłącznie w zakresie objętym zgodą. Należy więc przyjąć, że pozyskane dane mogą być nadal przetwarzane w innym celu niż objęty klauzulą zgody, w oparciu o inną podstawę prawną. Konsekwencją odmiennego założenia byłoby bowiem kreowanie przesłanki wskazanej w art. 23 ust. 1 pkt 1 ustawy jako mającej prymat nad innymi przesłankami uprawniającymi do przetwarzania danych osobowych. Celem przetwarzania danych w "[...]" jest zapewnienie, aby w kampaniach marketingowych podmiotów współpracujących ze Spółką nie były wykorzystywane dane osób, które nie są zainteresowane dalszym otrzymywaniem wiadomości o charakterze reklamowym. Jest to zatem odmienny cel przetwarzania danych respondentów od celów wskazanych w zawartej w kwestionariuszu Programu Edukacji Zdrowotnej klauzuli zgody na przetwarzanie danych osobowych. Z tego względu cofnięcie ww. zgody nie uniemożliwia Spółce przetwarzania danych w "Bazie Wycofań" na podstawie art. 23 ust. 1 pkt 5 ustawy. Jak podkreśliła Spółka osobom, których dane osobowe znajdują się w "[...]" zapewniono możliwość realizacji wszelkich uprawnień wynikających z ustawy. Generalny Inspektor Ochrony Danych Osobowych, po ponownym rozpatrzeniu sprawy w decyzji utrzymującej w mocy decyzję I instancji w zakresie jej pkt 2 i 3 wskazał, że bezspornym jest, iż Spółka pozyskuje od respondentów wypełniających kwestionariusz Programu Edukacji Zdrowotnej zgodę na "przetwarzanie (...) danych osobowych zawartych w części A i B niniejszego kwestionariusza przez [...] z siedzibą w W. przy ul.[...], jako administratora danych (...)" m.in. w celu takim jak "rozwój produktów i usług, analiza i badanie". Wskazanie ww. celu w treści opracowanej przez Spółkę klauzuli zgody sugeruje, iż pozyskane za pomocą kwestionariusza Programu Edukacji Zdrowotnej dane osobowe przetwarzane będą do tego celu na podstawie zgody udzielonej przez respondentów, czyli na podstawie art. 23 ust. 1 pkt 1 ustawy. Zatem, jak słusznie wskazano w decyzji I instancji, nieudzielenie przez respondenta przedmiotowej zgody należy uznać za przejaw jego woli jako osoby, której dane dotyczą. Organ wyjaśnił, że fakt, iż Spółka opracowała i zamieściła w ww. kwestionariuszu niejednoznaczną klauzulę zgody, tzn. nie zapewniającą respondentom możliwości wyboru co do udzielenia/nie udzielenia Spółce odrębnej zgody na przetwarzanie danych dla każdego z celów przetwarzania wskazanych w jej treści - nie może następnie uprawniać Spółki do dowolnej interpretacji zachowania respondenta polegającego na niezłożeniu podpisu pod tak skonstruowaną klauzulą. Dodał, że pozyskiwanie zgody na przetwarzanie danych osobowych w określonym celu, w sytuacji gdy ma się ono odbywać na podstawie innej niż zgoda przesłanki może prowadzić do wprowadzenia w błąd osób, których dane dotyczą. Respondenci, którzy nie podpisali oświadczenia o wyrażeniu zgody na przetwarzanie danych osobowych w celach wskazanych w opracowanej przez Spółkę klauzuli mają bowiem uzasadnione prawo, aby sądzić, iż ich dane nie będą w tych celach przetwarzane. Zatem skoro sama Spółka umożliwiła ww. osobom złożenie oświadczenia woli o wyrażeniu zgody na przetwarzanie danych osobowych w celu "rozwoju produktów i usług, analizy i badania", powinna także respektować, ich prawo do odmowy jej udzielenia. Tym samym powoływanie się przez Spółkę w takim przypadku na art. 23 ust. 1 pkt 5 ustawy, jako przesłankę legalizującą przetwarzanie przez nią danych respondentów dla realizacji ww. celu jest niedopuszczalne. Przetwarzanie danych na tej podstawie może mieć bowiem miejsce jedynie, gdy spełnione są łącznie dwa warunki: niezbędność przetwarzania danych osobowych dla realizacji prawnie określonych celów administratora danych oraz nienaruszalność praw i wolności osoby, której dane dotyczą. Odnośnie zarzutów Spółki w zakresie nakazu usunięcia danych respondentów z tzw. "bazy danych wycofań" organ stwierdził, że Spółka przetwarza dane osobowe respondentów, którzy odwołali swoją zgodę na przetwarzanie danych osobowych (złożyli sprzeciw wobec dalszego przetwarzania ich danych osobowych przez Spółkę) i pomimo zadeklarowanej dbałości o respektowanie praw ww. respondentów, z akt sprawy wynika, iż osoby te nie są informowane o kontynuacji przetwarzania ich danych w tzw. "bazie danych wycofań". Ustalono, bowiem, iż do respondenta, który odwołał swoją zgodę na przetwarzanie danych osobowych Spółka wysyła pismo, z którego wynika wprost, iż jego dane zostały usunięte i nie będą już przetwarzane oraz udostępniane innym firmom. Także w treści kwestionariusza Programu Edukacji Zdrowotnej Spółka nie informuje o tym, iż po wycofaniu zgody na przetwarzanie danych osobowych dane respondentów w zakresie: imię i nazwisko, adres, numery telefonu, adres e-mail, data urodzenia, będą nadal przetwarzane w celu uniemożliwienia ich ponownego wykorzystania w kampaniach marketingowych podmiotów współpracujących ze Spółką. W tej sytuacji nie można przychylić się do argumentacji Spółki, która za podstawę prawną do przetwarzania danych osobowych respondentów w "bazie danych wycofań" przyjmuje art. 23 ust. 1 pkt 5 ustawy. Takie podejście Spółki prowadzi bowiem do ograniczania praw osób fizycznych, przejawiających się m.in. w prawie do dysponowania swoimi danymi osobowymi, a nie do ich respektowania. Organ stwierdzi stwierdził, że w przypadku wycofania zgody na przetwarzanie danych osobowych, przez osobę, której dane dotyczą brak jest podstawy prawnej do dalszego przetwarzania (przechowywania) tych danych przez Spółkę także w tzw. "bazie danych wycofań" i powinny one zostać usunięte. Powyższa decyzja stała się przedmiotem skargi [...] z siedzibą w W. do Wojewódzkiego Sądu Administracyjnego w Warszawie. Spółka zarzuciła zaskarżonym decyzjom: 1) naruszenie przepisów prawa materialnego, tj.: a) art. 23 ust. 1 pkt 5 u.o.d.o. w zw. z art. 24 u.o.d.o., poprzez ich niewłaściwą wykładnię skutkującą niezastosowaniem polegającym na nieuzasadnionym przyjęciu, że fakt poinformowania, w wykonaniu ustawowego obowiązku wynikającego z przepisu art. 24 u.o.d.o., w treści klauzuli informacyjnej o przetwarzaniu danych osobowych dla celów "rozwoju produktów i usług, analizy i badaniu" oznacza jednocześnie, że oświadczenie o udzieleniu lub o odmowie udzielenia zgody na przetwarzanie danych osobowych obejmuje również wskazany w treści klauzuli informacyjnej cel przetwarzania danych osobowych dla "rozwoju produktów i usług, analizy i badaniu", co doprowadziło organ do oczywiście błędnego rozstrzygnięcia, że brak udzielenia zgody na przetwarzanie danych osobowych w zakresie objętym klauzulą zgody stanowi jednocześnie brak zgody na przetwarzanie danych osobowych dla określonych w klauzuli informacyjnej celów ("rozwój produktów i usług, analizy i badania"), podczas gdy w rzeczywistości wskazanie w treści klauzuli informacyjnej celów przetwarzania danych osobowych stanowiło jedynie wykonanie ustawowego obowiązku z art. 24 u.o.d.o., co w konsekwencji przy prawidłowej wykładni art. 23 ust. 1 pkt 5 u.o.d.o. oraz art. 24 u.o.d.o. winno doprowadzić do przyjęcia, iż skarżąca nie przetwarzała danych osobowych bezprawnie, tj. bez posiadania zgód osób, których dane dotyczą, dla celów "rozwoju produktów i usług, analizy i badaniu", gdyż Skarżąca przetwarzała je w oparciu o ustawową przesłankę zawartą w art. 23 ust. 1 pkt 5 u.o.d.o. o czym informowała respondentów (podmioty danych); b) art. 23 ust. 1 pkt 2 u.o.d.o. w zw. z art. 1 ust. 2 u.o.d.o., poprzez ich niewłaściwą wykładnię skutkującą niezastosowaniem, polegającym na nieuzasadnionym przyjęciu przez organ, że odwołanie zgody na przetwarzanie danych osobowych skutkuje każdorazowo brakiem dopuszczalności dalszego przetwarzania danych osobowych, w jakimkolwiek zakresie, co doprowadziło do wydania przez Organ oczywiście błędnego rozstrzygnięcia, że niedopuszczalnym było przetwarzanie przez Skarżącą w tzw. "bazie danych wycofań" danych osobowych osób, które zgodę na przetwarzanie danych osobowych odwołały, podczas gdy w rzeczywistości przetwarzanie przez Skarżącą danych osobowych zawartych w tzw. "bazie danych wycofań" jest niezbędne dla uniknięcia przez Skarżącą ponownego wykorzystania tych danych osobowych, a więc niezbędne dla zrealizowania wynikającego z art. 23 ust. 1 pkt 2 u.o.d.o. w zw. z art. 1 ust. 2 "dobra osoby, której dane dotyczą", a co przy prawidłowym zastosowaniu naruszonych przepisów winno doprowadzić do przyjęcia, iż skarżąca może przetwarzać w "bazie danych wycofań" dane osobowe w/w. osób na podstawie art. 23 ust. 1 pkt 2 u.o.d.o. w zw. z art. 1 ust. 2 u.o.d.o., to jest celem zrealizowania ustawowego obowiązku zapobieżenia ponownego wykorzystania w przyszłości danych osób, które zgodę na przetwarzanie ich danych osobowych odwołały ("ochrony dobra osoby, której dane dotyczą"); c) art. 23 ust. 1 pkt 5 u.o.d.o. w zw. z art. 32 ust. 2 pkt 8 oraz w zw. z art. 32 ust. 3 u.o.d.o., poprzez ich przyjęciu przez Organ, że sprzeciw wobec przetwarzania danych osobowych niewłaściwą wykładnię skutkującą niezastosowaniem, polegającym na nieuzasadnionym skutkuje każdorazowo brakiem dopuszczalności dalszego przetwarzania, w jakimkolwiek zakresie danych, osób które sprzeciw ten wyraziły, co doprowadziło do wydania przez Organ oczywiście błędnego rozstrzygnięcia, że niedopuszczalnym było przetwarzanie przez Skarżącą w tzw. "bazie danych wycofań" danych osobowych osób, które sprzeciw ten złożyły, podczas gdy przetwarzanie przez Skarżącą danych osobowych zawartych w tzw. "bazie danych wycofań" jest niezbędne dla uniknięcia przez Skarżącą ponownego wykorzystania tych danych, a co jest wprost przewidziane w przepisie art. 32 ust. 3 u.o.d.o. jako podstawy legalizującej przetwarzanie (przechowywanie) danych osobowych w celu uniknięcia ponownego wykorzystania danych tej osoby w celach objętych sprzeciwem, a co przy prawidłowym zastosowaniu naruszonych przepisów winno doprowadzić do przyjęcia, iż Skarżąca może na podstawie art. 32 ust. 3 u.o.d.o. przetwarzać w "bazie danych wycofań" dane osobowe w celu zapobieżenia ponownemu ich wykorzystaniu w celach objętych sprzeciwem; 2) naruszenie przepisów postępowania, tj. a) art. 7, art. 77 oraz art. 80 kpa, w stopniu mającym istotny wpływ na rozstrzygnięcie sprawy, poprzez ich niewłaściwą wykładnię i nieprawidłowe zastosowanie polegające na powierzchownej analizie całości zgromadzonego w sprawie materiału dowodowego, przejawiającą się w szczególności w niestarannej i nieprawidłowej analizie treści stosowanych przez Skarżącą klauzul, w tym klauzuli informacyjnej, co doprowadziło GIODO do wydania zaskarżonych decyzji z powołaniem się w szczególności na jakoby niezgodne z prawem przetwarzanie danych osobowych, podczas gdy w rzeczywistości prawidłowa wykładnia i właściwe zastosowanie naruszonych przepisów winno doprowadzić Organ do przyjęcia, iż całokształt materiału dowodowego sprawy jednoznacznie wskazuje, iż Skarżąca nie dopuściła się uchybień w procesie przetwarzania danych osobowych - co wynika jednoznacznie zwłaszcza z prawidłowej analizy stosowanych przez Skarżącą klauzul, a w tym klauzuli zgody i klauzuli informacyjnej, a w konsekwencji zaś do przyjęcia, iż Skarżąca przetwarza dane osobowe zgodnie z prawem; b) art. 107 § 1 i 3 kpa w zw. z art. 11 kpa oraz art. 18 ust. 1 u.o.d.o. w stopniu mającym istotny wpływ na rozstrzygnięcie sprawy, poprzez ich niewłaściwą wykładnię skutkującą niezastosowaniem, polegającym na sporządzeniu decyzji niepozwalającej ustalić, jakie obowiązki zostały na Skarżącą nałożone oraz niezawierającej wskazania i należytego wyjaśnienia podstawy prawnej rozstrzygnięcia podczas gdy prawidłowe sformułowanie decyzji organu oraz jej pełne i wyczerpujące uzasadnienie jest istotnym obowiązkiem organu administracji publicznej, gdyż umożliwia właściwą realizację zasady sądowej kontroli postępowania administracyjnego, poprzez umożliwienie rzeczywistej kontroli wydanego w sprawie przez organ administracji rozstrzygnięcia z przepisami prawa. Skarżąca wniosła o uchylenie decyzji GIODO dnia [...] września 2012 r. ([...]) w całości, oraz decyzji GIODO z dnia [...] lipca 2012 r. ([...]) w zaskarżonej części, to jest w pkt 2 i 3 decyzji. W odpowiedzi na skargę Generalny Inspektor Ochrony Danych Osobowych wniósł o jej oddalenie podtrzymując argumenty, przedstawione w zaskarżonych decyzjach. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje. Zgodnie z treścią art. 1 § 1 i § 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (Dz. U. nr 153, poz. 1269 ze zm.) sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej, przy czym kontrola ta sprawowana jest pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej. Skarga [...] z siedzibą w W. analizowana pod tym kątem nie zasługuje na uwzględnienie. Na wstępie rozważań należy wskazać, że ochrona danych osobowych polega przede wszystkim na określeniu kiedy dozwolone, a kiedy zabronione jest ich przetwarzanie. Ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. nr 101, poz. 926 ze zm.) wskazuje zasady przetwarzania danych osobowych (rozdz. 3 ustawy). W art. 23 § 1 ustawy zostały wymienione przesłanki legalizujące przetwarzanie danych osobowych. Zgodnie z jego treścią tego przepisu przetwarzanie danych jest dopuszczalne tylko wtedy, gdy: 1) osoba, której dane dotyczą, wyrazi na to zgodę, chyba że chodzi o usunięcie dotyczących jej danych, 2) jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa, 3) jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą, 4) jest niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego, 5) jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Stosownie zaś do art. 24 ust 1 cytowanej ustawy w przypadku zbierania danych osobowych od osoby, której one dotyczą, administrator danych jest obowiązany poinformować tę osobę o: 1) adresie swojej siedziby i pełnej nazwie, a w przypadku gdy administratorem danych jest osoba fizyczna - o miejscu swojego zamieszkania oraz imieniu i nazwisku, 2) celu zbierania danych, a w szczególności o znanych mu w czasie udzielania informacji lub przewidywanych odbiorcach lub kategoriach odbiorców danych, 3) prawie dostępu do treści swoich danych oraz ich poprawiania, 4) dobrowolności albo obowiązku podania danych, a jeżeli taki obowiązek istnieje, o jego podstawie prawnej. Zgodnie z ust 2 tego przepisu, przepisu ust. 1 nie stosuje się, jeżeli: 1) przepis innej ustawy zezwala na przetwarzanie danych bez ujawniania faktycznego celu ich zbierania, 2) osoba, której dane dotyczą, posiada informacje, o których mowa w ust. 1. Cytowany przepis art. 23 ust 1 ustawy określa ogólne materialne przesłanki przetwarzania danych osobowych. Przesłanki te mają charakter generalny, odnoszą się do wszelkich form przetwarzania danych, w tym zarówno do przetwarzania "na własne potrzeby" administratora, jak i "na zewnątrz". Są one co do zasady równoprawne, charakter autonomiczny i niezależny, co oznacza, że wystarczy wystąpienie jednej z nich, by przetwarzanie danych mogło być uznane za usprawiedliwione (por. J. Barta, P. Fajgielski, R. Markiewicz "Ochrona danych osobowych. Komentarz.", publ. LEX Nr 106659, wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 19 lipca 2007 r., sygn. akt II SA/Wa 678/07, publ. LEX nr 368229). Niezależnie od regulacji dotyczącej zasadniczo dopuszczalności przetwarzania danych osobowych ustawa zawiera odrębne normy poświęcone zbieraniu danych. Ustawodawca podaje w cytowanym powyżej art. 24 ustawy pewien minimalny zakres informacji, jakie powinny być udzielone osobie, której dotyczą zbierane dane. Funkcją tych regulacji jest to, aby na podstawie uzyskanych informacji zainteresowany miał możliwość właściwego ocenienia sytuacji i podjęcia decyzji co do ujawnienia i udostępnienia danych, a także aby mógł wykonywać prawa przyznane mu w ustawie o ochronie danych osobowych czy występować z roszczeniami wynikającymi z innych ustaw - np. majątkowymi i pozamajątkowymi z kodeksu cywilnego (por. tamże). Tymczasem w rozpoznawanej sprawie Spółka w "kwestionariuszach Programu Edukacji Zdrowotnej", w którym pozyskiwała dane osobowe matek, które właśnie urodziły dziecko, dane osobowe tych dzieci, oraz dane osobowe partnerów matek umieściła klauzulę zgody na przetwarzanie danych osobowych o następującej treści: "Wyrażam zgodę na przetwarzanie moich danych osobowych zawartych w części A i B niniejszego kwestionariusza przez [...] z siedzibą w W. przy ul.[...], jako administratora danych oraz na udostępnienie moich danych innym podmiotom, w tym renomowanym dostawcom produktów i/lub usług oraz uznanym organizacjom społecznym i pozarządowych oraz wyrażam zgodę na przetwarzanie moich danych osobowych zawartych w części A kwestionariusza przez [...] L. N. z siedzibą w B., ul.[...]. Zostałem poinformowany że moje dane osobowe będą przetwarzane zgodnie z zasadami wynikającymi z przepisów o ochronie danych osobowych w następujących celach: rozwój produktów i usług, analiza i badanie, marketing, integracja danych oraz aktualizacja i weryfikacja ich poprawności. Jednocześnie wyrażam zgodę na otrzymywanie informacji handlowej za pomocą środków komunikacji elektronicznej, przesyłanej na wskazane przeze mnie adresy elektroniczne od [...],[...]L. N. oraz innych podmiotów, które pozyskały moje dane od [...] Wyrażenie zgody jest dobrowolne. Przyjmuję do wiadomości, że przysługuje mi prawo dostępu do treści moich danych oraz prawo ich poprawiania". Złożenie podpisu pod powyższą klauzulą było równoznaczne ze złożeniem przez osobę, która wypełnia i podpisuje kwestionariusz oświadczeń w niej zawartych. Następnie dane te były wprowadzane do elektronicznej bazy danych Spółki. Warunkiem niezbędnym do tego, aby dane zostały importowane do tej bazy danych była informacja, że matka dziecka wyraziła zgodę na przetwarzanie danych - podpisała kwestionariusz. W sytuacji gdy kwestionariusz nie został podpisany przez partnera, jego dane osobowe są przetwarzane przez Spółkę wyłącznie w celu analizy, badania oraz integracji danych i nie są udostępniane firmom współpracującym ze Spółką. W przypadku, gdy kwestionariusz nie został podpisany przez żadnego z respondentów (ani przez matkę, ani przez partnera) dane zawarte w bazie danych otrzymanej od Przedsiębiorcy nie są importowane do bazy danych i nie są one udostępniane firmom współpracującym ze Spółką. Taka sama sytuacja zachodzi w przypadku, gdy to tylko partner podpisał kwestionariusz. Z wyjaśnień skarżącej wynika, w przyszłości pozyskane na "[...]" dane osób, które nie podpisały kwestionariuszy będą wykorzystywane przez nią w celach statystycznych i z tego względu nie usuwa ich danych. Przy czym opracowania statystyczne prowadzone są przez Spółkę w ramach realizacji celu określonego jako "[...]". Mając powyższe na uwadze należy zgodzić się z organem, że brak jest podstaw do przetwarzania przez Spółkę w powyższym celu danych osobowych respondentów, którzy nie wyrazili przedmiotowej zgody. Istotne znaczenie ma tu fakt, podkreślany również przez organ, że pozyskiwanie zgody na przetwarzanie danych osobowych w określonym celu, w sytuacji gdy faktycznie ma się ono odbywać na podstawie innej, niż zgoda przesłanki skutkuje wprowadzeniem w błąd osób, których dane dotyczą. Respondenci, którzy nie wyrazili zgody na przetwarzanie danych osobowych w celach wskazanych w opracowanej przez Spółkę klauzuli mają bowiem uzasadnione prawo, aby sądzić, iż ich dane nie będą w tych celach przetwarzane. Spółka winna respektować prawo odmowy udzielenia zgody na przetwarzanie danych w celu przez siebie określonym jako "rozwoju produktów i usług, analizy i badania". W takim bowiem przypadku (odmowy udzielenia zgody) powoływanie się na art. 23 ust 1 pkt 5 ustawy jako przesłankę legalizującą przetwarzanie danych jest niedopuszczalne. Sąd podziela również pogląd organu, że wskazane w ww. klauzuli cele przetwarzania danych nie są częścią składową zgody na przetwarzanie danych osobowych i mają na celu jedynie spełnienie przez Spółkę, jako administratora danych, obowiązku informacyjnego, o którym mowa w art. 24 ust. 1 ustawy. Zgodnie z art. 7 pkt 5 cytowanej ustawy poprzez zgodę osoby, której dane dotyczą należy rozumieć oświadczenie woli, którego treścią jest zgoda na przetwarzanie danych osobowych tego, kto składa oświadczenie; zgoda nie może być domniemana lub dorozumiana z oświadczenia woli o innej treści; zgoda może być odwołana w każdym czasie. Powyższa definicja zawiera dwie niezwykle istotne wskazówki co do prawidłowego zrozumienia tego pojęcia. Po pierwsze, ustawa jednoznacznie uznaje zgodę (czy raczej udzielenie zgody) za oświadczenie woli. Po drugie, zastrzeżono, że zgoda nie może być domniemana lub dorozumiana z oświadczenia woli o innej treści. Tak więc zgoda jedynie domniemana lub dorozumiana jest prawnie nieskuteczna jako przesłanka legalizująca przetwarzanie danych (por. J. Barta, P. Fajgielski, R. Markiewicz "Ochrona ...). W niniejszej sprawie klauzula zgody zawarta w "kwestionariuszu Programu Edukacji Zdrowotnej" jest nieczytelna i może prowadzić do błędnego zrozumienia przez potencjalnego odbiorcę, ponieważ łączy w sobie różne oświadczenia i nie zapewnia osobie podpisującej swobody w podjęciu decyzji co do tego komu wyraża zgodę i na przetwarzanie jakich danych i w jakim celu. Zatem w tej sytuacji nie można mówić o wyrażeniu zgody na przetwarzanie danych osobowych, skoro respondent podpisujący klauzulę nie jest świadomy rzeczywistego celu przetwarzania danych. Jak słusznie wskazuje organ nie można bowiem wymagać, aby osoby, którym przedstawiono klauzulę odczytywały ją zgodnie z zamierzeniami Spółki, którymi kierowała się w trakcie opracowywania ww. klauzuli i dokonały interpretacji jej treści zgodnej z tymi zamierzeniami, ani domyślały się na który ze wskazanych w jej treści celów przetwarzania danych osobowych faktycznie wyrażają zgodę, a który jest jej jedynie komunikowany przez Spółkę w ramach realizacji obowiązku informacyjnego, o którym mowa w art. 24 ust. 1 ustawy. Odnosząc się natomiast do zarzutu błędnego rozstrzygnięcia, co do niedopuszczalności przetwarzania przez Spółkę w tzw. "bazie danych wycofań" danych osobowych osób, które zgodę na przetwarzanie danych osobowych odwołały, należy wskazać, że także nie zasługuje na uwzględnienie. Nie można bowiem uznać za zgodne z ustawą o ochronie danych osobowych praktyki przetwarzania danych, pomimo cofnięcia zgody osoby i nie informowania jej o tym fakcie. Jak wynika z akt administracyjnych osoby, które odwoływały zgodę na przetwarzanie ich danych osobowych nie były informowane o kontynuacji przetwarzania ich danych w tzw. "bazie danych wycofań". Do takich osób Spółka wysyła tylko pismo, z którego wynikało wprost, iż ich dane zostały usunięte i nie będą już przetwarzane oraz udostępniane innym firmom. Także w treści kwestionariusza Programu Edukacji Zdrowotnej Spółka nie informowała o tym, iż po wycofaniu zgody na przetwarzanie danych osobowych dane respondentów w zakresie: imię i nazwisko, adres, numery telefonu, adres e-mail, data urodzenia, będą nadal przetwarzane w celu uniemożliwienia ich ponownego wykorzystania w kampaniach marketingowych podmiotów współpracujących ze Spółką. Nieuzasadnione jest przyjęcie, że w tej sytuacji Spółka przetwarza dane osobowe respondentów w "bazie danych wycofań", na podstawie art. 23 ust. 1 pkt 2 w zw. z art. 1 ust 2 ustawy, zgodnie z którym przetwarzanie danych jest dopuszczalne tylko wtedy, gdy jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa. Przetwarzanie danych osobowych może mieć miejsce ze względu na dobro publiczne, dobro osoby, której dane dotyczą, lub dobro osób trzecich w zakresie i trybie określonym ustawą. Należy bowiem wskazać, że wymieniony powyżej art. 23 cytowanej ustawy zawiera zamknięty katalog przesłanek legalizujących przetwarzanie danych osobowych, a powoływanie się na art. 1 ust. 2 cytowanej ustawy, doprowadziłoby do niedopuszczalnego poszerzenia tego katalogu. Sąd nie uznał też za uzasadniony zarzut Skarżącej naruszenia art. 23 ust. 1 pkt 5 w zw. z art. 32 ust. 1 pkt 8 oraz art. 32 ust. 3 cytowanej ustawy. Zgodnie z art. 32 ust 1 pkt 8 każdej osobie przysługuje prawo do kontroli przetwarzania danych, które jej dotyczą, zawartych w zbiorach danych, a zwłaszcza prawo do wniesienia sprzeciwu wobec przetwarzania jej danych w przypadkach, wymienionych w art. 23 ust. 1 pkt 4 i 5, gdy administrator danych zamierza je przetwarzać w celach marketingowych lub wobec przekazywania jej danych osobowych innemu administratorowi danych. Stosownie do art. 32 ust. 3 w razie wniesienia sprzeciwu, o którym mowa ust. 1 pkt 8, dalsze przetwarzanie kwestionowanych danych jest niedopuszczalne. Administrator danych może jednak pozostawić w zbiorze imię lub imiona i nazwisko osoby oraz numer PESEL lub adres wyłącznie w celu uniknięcia ponownego wykorzystania danych tej osoby w celach objętych sprzeciwem. Cytowane powyżej przepisy art. 32 ust. 1 pkt 8 i art. 32 ust. 3 nie mają w niniejszej sprawie zastosowania, bowiem w przedmiotowej sprawie podstawę do udostępniania przez Spółkę danych osobowych respondentów innym podmiotom jak również do przetwarzania tych danych w celach marketingowych stanowi zgoda osoby, której dane dotyczą, tj. art. 23 ust. 1 pkt 1 ustawy, a wskazany powyżej art. 32 ust. 1 pkt 8 i art. 32 ust. 3 dotyczą jedynie podstaw wymienionych w art. 23 ust. 1 pkt 4 i 5 cytowanej ustawy. Sąd nie dopatrzył się też naruszeń prawa procesowego. Organ prawidłowo bowiem zgromadził materiał dowodowy na jego podstawie prawidłowo ustalił stan faktyczny i wydał rozstrzygnięcie odpowiadające prawu. Mając powyższe na uwadze, Wojewódzki Sąd Administracyjny w Warszawie na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (tekst jednolity Dz. U. z 2012 r., poz. 270 ze zm.) orzekł, jak w sentencji.