II SA/Wa 2188/14

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Sędziowie WSA Danuta Kania, Ewa Pisula – Dąbrowska (spraw.), Andrzej Góraj, Protokolant starszy sekretarz sądowy Aneta Duszyńska, po rozpoznaniu na rozprawie w dniu 11 marca 2015 r. sprawy ze skargi M. Sp. z o.o. w W. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] września 2010 r. nr [...] dot. [...] w przedmiocie odmowy uwzględnienia wniosku o udostępnienie danych osobowych – oddala skargę – Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia [...] lipca 2010 r. nr [...], wydaną na podstawie art. 12 pkt 2, art. 22 i art. 23 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t.j.: Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.), odmówił uwzględnienia wniosku M. Sp. z o.o. z siedzibą w [...] o nakazanie O Sp. z o.o. z siedzibą w [...] – jako podmiotowi prowadzącemu serwis transakcji on-line [...] – udostępnienia na rzecz M. Sp. z o.o. danych osobowych osób, które w serwisie [...] wystawiły do sprzedaży (jako przedmiot sprzedaży bądź darmowy dodatek do przedmiotu sprzedaży) na aukcjach internetowych tzw. bonifikarty M. Sp. z o.o. GIODO w uzasadnieniu decyzji podał, że jedna z prowadzonych przez M. Sp. z o.o. akcji promocyjnych polegała na wydawaniu tzw. bonifikart, tj. kart rabatowych na okaziciela, uprawniających ich posiadaczy do nabywania określonych produktów Spółki po obniżonej cenie, na warunkach opisanych w regulaminie promocji p.n. "Bonifikarta – regulamin promocji". Ustalił, że bonifikarty otrzymali pracownicy restauracji, należących do korporacji M. i działających na zasadzie franczyzy, pracownicy biura Spółki oraz jej partnerzy handlowi. Na bonifikarcie, oznaczonej znakiem firmowym korporacji M., zamieszczona została informacja o dostępnych na promocyjnych warunkach produktach, okresie ważności bonifikarty oraz informacja, że szczegóły promocji zamieszczone są w regulaminie dostępnym w każdej restauracji M. i na stronie www.[...].pl. Zgodnie z regulaminem promocji karta nie mogła być przedmiotem sprzedaży i była ważna tylko w restauracjach, biorących udział w promocji. Zgodnie z postanowieniami regulaminu promocji, bonifikarta jest kartą zniżkową, stanowiącą własność M. Sp. z o.o. i nie może być ani przedmiotem sprzedaży, ani przedmiotem darowizny przy okazji sprzedaży innych rzeczy. Osoba naruszająca regulamin promocji (w tym również nabywca bonifikarty) obowiązana jest do zwrotu bonifikarty Spółce M.. Uczestnik akcji promocyjnej, przyjmując bonifikartę, zobowiązuje się tym samym do przestrzegania regulaminu akcji promocyjnej, a w szczególności do niezbywania bonifikarty. Pomimo regulaminowego zastrzeżenia o niedopuszczalności zbywania bonifikart, Spółka ustaliła, że są one oferowane do sprzedaży, bądź stanowią bezpłatny dodatek do innych artykułów sprzedawanych na aukcjach internetowych w serwisie [...]. W zaistniałych okolicznościach, M. Sp. z o.o. pismem z dnia 3 marca 2010 r., zwróciła się do O Sp. z o.o. z siedzibą w [...] o udostępnienie danych osobowych oznaczonych osób, prowadzących ww. aukcje, których przedmiotem były bonifikarty, uzasadniając, że dane tych osób są jej niezbędne, albowiem osoby biorące udział w ww. aukcjach w charakterze sprzedających i kupujących naruszyły postanowienia regulaminu. M. Sp. z o.o. wyjaśniła, że zamierza podjąć czynności, mające na celu – z jednej strony – pozbawienie sprzedających nienależnie uzyskanych przez nich korzyści, a z drugiej strony – odebranie bonifikart osobom, które je zakupiły. O Sp. z o.o. odmówiła udostępnienia żądanych danych, argumentując, że udostępnienie ich może być kwalifikowane jako zachowanie bezprawnie, naruszające dobra osobiste i skutkować odpowiedzialnością cywilnoprawną administratora danych. W tej sytuacji M. Sp. z o.o. z siedzibą w [...] zwróciła się do Generalnego Inspektora Ochrony Danych Osobowych z wnioskiem o nakazanie O Sp. z o.o. z siedzibą w [...] udostępnienia żądanych informacji, powołując się na przepisy art. 18 ust. 1 pkt 2 w związku z art. 12 pkt 2 oraz art. 29 ust. 2, a także art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych i wskazując na potrzebę posiadania danych osobowych osób oznaczonych poprzez nazwę aukcji, numer aukcji, sprzedającego i lokalizację. Uzasadniając wniosek, Spółka podała, że cel, dla realizacji którego będą przetwarzane udostępnione dane, z pewnością jest celem prawnie usprawiedliwionym – za taki uznać należy bowiem zamiar egzekwowania postanowień regulaminu, do którego przestrzegania zobowiązany jest każdy uczestnik akcji promocyjnej. Twierdziła, że przetwarzanie żądanych danych nie naruszy praw i wolności osoby, której przedmiotowe dane dotyczą, jako że dane te będą wykorzystane w celu zwrócenia się do osoby prowadzącej aukcję z żądaniem zaniechania oferowania bonifikarty jako przedmiotu sprzedaży lub darowizny oraz zwrotu karty – z powodu naruszenia zasad korzystania. Wyjaśniła, że żądanie udostępnienia danych ma na celu egzekwowanie postanowień regulaminu akcji promocyjnej, do przestrzegania których uczestnicy, przystępujący do akcji promocyjnej, się zobowiązali. Ponadto Spółka M. wniosła o nadanie decyzji rygoru natychmiastowej wykonalności, argumentując, że marka M. należy do jednych z najdroższych i najlepiej rozpoznawalnych na świecie. Spółka konsekwentnie nie dopuszcza do nieuprawnionego wykorzystywania oznaczeń marki przez inne podmioty. Fakt rozprowadzania bonifikart przez nieuprawnione osoby i sposób ich rozprowadzania godzi w wizerunek M. oraz naraża na deprecjację oznaczenia, widniejącego na bonifikartach. W ocenie Generalnego Inspektora Ochrony Danych Osobowych, wniosek M. Sp. z o.o. nie zasługiwał na uwzględnienie, albowiem Spółka, organizując promocję, polegającą na przyznawaniu tzw. bonifikart, przewidywała, że możliwą jest sytuacja, iż osoby, którym ww. karty rabatowe przyznano, będą zamierzały je zbyć. Świadczą o tym wprost zapisy regulaminu omawianej promocji, zastrzegające niedopuszczalność obrotu bonifikartami, a zarazem przewidujące określone konsekwencje w przypadku naruszenia jego zapisów w tym zakresie, tj. obowiązek zwrotu bonifikarty. Pomimo tego Spółka nie przedsięwzięła działań służących zabezpieczeniu jej interesów na wypadek, gdyby wydane przez nią karty rabatowe, wbrew zastrzeżeniom regulaminu promocji, stały się przedmiotem obrotu. Zdaniem GIODO działania takie mogłyby polegać na wydawaniu kart imiennych lub na nadaniu im oznaczeń identyfikujących (np. numerów), pozwalających na ustalenie – na podstawie oznaczenia karty – komu konkretnie została ona przyznana, tym samym, kto spośród osób, którym wydano karty, wbrew zastrzeżeniom regulaminu promocji, wprowadza je do obrotu. W ocenie organu, dostrzegalna jest sprzeczność pomiędzy założeniem, że tzw. bonifikarty są kartami rabatowymi na okaziciela, a zarazem – skoro wykluczony jest nimi obrót – mogą być wykorzystane wyłącznie przez tę osobę lub przez ten podmiot, któremu zostały przyznane. Spółka nie podjęła działań zabezpieczających, zamiast tego, wobec ustalenia, że bliżej nieokreślone osoby wprowadzają do obrotu tzw. bonifikarty, a co najmniej próbują to uczynić, wystąpiła do O. o udostępnienie jej określonych informacji na temat tych osób. Generalny Inspektor Ochrony Danych Osobowych stwierdził, że w tej sprawie interes administratora danych (Spółki), wyrażający się w dążeniu do realizacji jego prawnie usprawiedliwionego celu, nie przeważa nad interesem osób, których dotyczą wnioskowane dane, w poszanowaniu ich prawa do prywatności – rozumianego jako prawo do samodzielnego decydowania o zakresie i zasięgu udostępniania i komunikowania innym osobom informacji o swoim życiu. Zadośćuczynienie żądaniu Spółki wiązałoby się z nieproporcjonalną – w stosunku do interesów administratora, których on sam nie zabezpieczył w należyty sposób, choć mógł to uczynić -ingerencją w sferę prywatności osób, których dotyczą żądane informacje. GIODO wskazał, że podstawą prawną rozstrzygnięcia jest art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych, który stwarza prawną możliwość udostępniania danych osobowych, jeżeli jest to niezbędne ze względu na usprawiedliwiony cel administratora danych, który to cel w rozpoznawanej sprawie uznał za prawnie usprawiedliwiony, jednak ważąc interesy zarówno administratora danych, jak i osób, których dane mają być udostępnione, organ ochrony danych osobowych doszedł do wniosku, że udostępnienie danych stanowić będzie ingerencję w sferę prywatności osób, których dane dotyczą. W ocenie organu, w sprawie nie można mówić o przewadze interesów Spółki M. nad interesami osób, których dotyczą wnioskowane dane. Jednocześnie wyjaśnił, że w tej sprawie podstawą prawną decyzji nie mógł być przepis art. 29 ust. 2 ustawy o ochronie danych osobowych, gdyż Spółka M. nie wykazała, że dane osobowe, których się domaga, mają być wykorzystane w celach innych, niż włączenie do zbioru. Następnie Generalny Inspektor Ochrony Danych Osobowych, po rozpatrzeniu wniosku M. Sp. z o.o. z siedzibą w [...] o ponowne rozpatrzenie sprawy, decyzją z dnia [...] września 2010 r. nr [...], działając na podstawie art. 138 § 1 pkt 1 K.p.a. w związku z art. 12 pkt 2, art. 22, art. 23 ust. 1 ustawy o ochronie danych osobowych, utrzymał zaskarżoną decyzję w mocy. Powyższa decyzja stała się przedmiotem skargi M. Sp. z o.o. w [...] do Wojewódzkiego Sądu Administracyjnego w Warszawie, który wyrokiem z dnia 16 marca 2011 r. sygn. akt II SA/Wa 2037/10, uchylił zaskarżoną decyzję. Wojewódzki Sąd Administracyjny w Warszawie, działając na podstawie art. 145 § 1 pkt 1 lit. b i c ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2012 r., poz. 270 ze zm.), wyrokiem z dnia 16 marca 2011 r., sygn. akt II SA/Wa 2037/10, uchylił zaskarżoną decyzję. Na skutek wniesionej od powyższego wyroku przez Generalnego Inspektora Ochrony Danych Osobowych skargi kasacyjnej sprawę rozpoznawał Naczelny Sąd Administracyjny, który wyrokiem z dnia 13 grudnia 2011 r., sygn. akt I OSK 1137/11, uchylił zaskarżony wyrok i przekazał sprawę Wojewódzkiemu Sądowi Administracyjnemu w Warszawie do ponownego rozpoznania. W uzasadnieniu wyroku NSA stwierdził, że skarga kasacyjna została oparta na usprawiedliwionej podstawie naruszenia art. 145 § 1 pkt 1 lit. a ustawy – Prawo o postępowaniu przed sądami administracyjnymi w związku z art. 23 ust. 1 pkt 5 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t.j.: Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.). Naczelny Sąd Administracyjny stwierdził, że organy państwa obowiązane są dokonać wykładni tego przepisu prawa w zgodzie z prawem Unii Europejskiej. Trybunał Sprawiedliwości Unii Europejskiej w wyroku z dnia 29 stycznia 2008 r. C-275/06 przyjął: Dyrektywy 2000/31 w sprawie niektórych aspektów prawnych usług społeczeństwa informacyjnego, w szczególności handlu elektronicznego w ramach rynku wewnętrznego (dyrektywa o handlu elektronicznym), 2001/29 w sprawie harmonizacji niektórych aspektów praw autorskich i pokrewnych (prawa autorskiego i praw pokrewnych) w społeczeństwie informacyjnym, 2004/48 w sprawie egzekwowania praw własności intelektualnej oraz 2002/58 dotycząca przetwarzania danych osobowych i ochrony prywatności w sektorze łączności elektronicznej (dyrektywa o prywatności i łączności elektronicznej), nie zobowiązują państw członkowskich do ustanowienia obowiązku przekazania danych osobowych w celu zapewnienia skutecznej ochrony praw autorskich w ramach postępowania cywilnego, w sytuacji, gdy stowarzyszenie niemające celu zarobkowego grupujące producentów i wydawców nagrań muzycznych oraz opracowań audiowizualnych wniosło o nakazanie, by dostawca usług w zakresie dostępu do Internetu wskazał tożsamość i adresy określonych abonentów, w celu umożliwienia mu wytoczenia następnie przeciwko tym osobom powództw cywilnych z tytułu naruszenia praw autorskich. Jednocześnie, jeżeli chodzi o art. 41, 42 i 47 porozumienia w sprawie handlowych aspektów praw własności intelektualnej (TRIPS), w świetle których, w miarę możliwości, powinno dokonywać się wykładni prawa wspólnotowego regulującego zagadnienia, do których porozumienie to znajduje zastosowanie, mimo że wymagają one skutecznej ochrony własności intelektualnej i instytucji prawa do środka zaskarżenia w celu jej egzekwowania, to nie zawierają przepisów, które nakazywałyby wykładnię wspomnianych dyrektyw jako zobowiązujących państwa członkowskie do ustanowienia obowiązku przekazania danych osobowych w ramach postępowania cywilnego. Naczelny Sąd Administracyjny wskazał, że prawo wspólnotowe wymaga od państw członkowskich, by przy transpozycji tych dyrektyw oparły się one na takiej ich wykładni, która pozwoli na zapewnienie odpowiedniej równowagi między poszczególnymi prawami podstawowymi chronionymi przez wspólnotowy porządek prawny. Ponadto przy przyjmowaniu środków mających na celu transpozycję tych dyrektyw, władze i sądy państw członkowskich są zobowiązane nie tylko dokonywać wykładni swojego prawa krajowego w sposób zgodny ze wspomnianymi dyrektywami, lecz również nie opierać się na takiej wykładni tych dyrektyw, która pozostawałby w konflikcie z wspomnianymi prawami podstawowymi lub z innymi ogólnymi zasadami prawa wspólnotowego, takimi jak zasada proporcjonalności. Zdaniem Naczelnego Sądu Administracyjnego wyrok Trybunału Sprawiedliwości Unii Europejskiej ma istotne znaczenie dla wykładni art. 23 ust.1 pkt 5 powołanej ustawy o ochronie danych osobowych. Przy wykładni tego przepisu należy również uwzględnić rozwiązania przyjęte w ustawie z dnia 18 listopada 2002 r. o świadczeniu usług drogą elektroniczną (Dz. U. Nr 144, poz. 1204 ze zm.), która w Rozdziale 4 reguluje zasadę ochrony danych osobowych w związku ze świadczeniem usług drogą elektroniczną. Wymaga też uwzględnienia regulacja wprowadzona ustawą z dnia 16 lipca 2004 r. – Prawo telekomunikacyjne (Dz. U .Nr 171, poz. 1800 ze zm.). Zgodnie z art.159 ust.1 pkt 1 tej ustawy dane dotyczące użytkownika sieci telekomunikacyjnej są objęte tajemnicą telekomunikacyjną. Podmioty wykonujące działalność telekomunikacyjną są zobowiązane udostępnić dane, o których mowa w tym przepisie policjantom wskazanym we wniosku organu Policji (art. 20 c ustawy o Policji). W systemie prawa polskiego brakuje przepisu, który przyznawałby takie uprawnienia osobie, której prawa autorskie zostały naruszone i która żąda od dostawcy usług internetowych udostępnienia danych osobowych w celu skorzystania ze środka prawnego, mającego na celu ochronę tych praw w ramach postępowania cywilnego. Podmioty żądające ochrony praw autorskich występują zatem na drogę postępowania karnego tylko w celu, aby pozyskać dane osobowe naruszającego ich prawa. Naczelny Sąd Administracyjny podał również, iż Dyrektywa 2006/24/WE z dnia 15 marca 2006 r. w sprawie zatrzymywania generowanych lub przetwarzanych danych w związku ze świadczeniem ogólnie dostępnych usług łączności elektronicznej bądź udostępnianiem publicznych sieci łączności oraz zmieniająca dyrektywę 2002/58/WE, przewiduje możliwość udostępniania danych zgromadzonych przy świadczeniu usług dostępu do internetu jedynie w szczególnych przypadkach, oraz na rzecz właściwych organów krajowych, nie zaś bezpośrednio na rzecz podmiotów prywatnych. W konsekwencji Sąd drugiej instancji stwierdził, że artykuł 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych wymaga wykładni z uwzględnieniem dyrektyw, co daje dopiero podstawę do wyprowadzenia w sprawie równowagi między prawami podstawowymi chronionymi przez przepisy prawa w tym Unii Europejskiej oraz polski porządek prawny. Przyjęcie na podstawie ogólnego celu wskazanego we wniosku, że celem M. Sp. z o.o. jest pozbawienie sprzedających nienależnie uzyskanych korzyści oraz odebranie bonifikart osobom, które je zakupiły, nie uzasadnia przyjęcia oceny, że organ nie rozważył równowagi między podstawowym prawem do ochrony danych a realizacją usprawiedliwionego celu. Zdaniem Naczelnego Sądu Administracyjnego Sąd pierwszej instancji obowiązany był zatem przeprowadzić wykładnię tych dwóch wartości i ocenić, czy w zaskarżonej decyzji w świetle prawa Unii Europejskiej nie wyważono w pełni prawidłowo tych wartości nie dając pierwszeństwa interesom M. Sp. z o.o. Wobec uchylenia wyroku przez Naczelny Sąd Administracyjny niniejszą sprawę zarejestrowano ponownie pod nową sygn. akt II SA/Wa 217/12. Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 13 kwietnia 2012 r. sygn. akt II SA/Wa 217/12 oddalił skargę M. Sp. z o.o. z siedzibą w [...]. W uzasadnieniu wyroku podał, iż stosownie do treści art. 190 ustawy – Prawo o postępowaniu przed sądami administracyjnymi, jest związany wykładnią prawa dokonaną w tej sprawie przez Naczelny Sąd Administracyjny. Sąd ten w uzasadnieniu wyroku dokonał szczegółowych ustaleń i rozważań na temat niniejszej sprawy i uznał, że Wojewódzki Sąd Administracyjny w Warszawie nie odkodował hipotetycznego stanu faktycznego, w związku z czym nie miał podstaw do oceny tegoż stanu faktycznego, przyjętego w podstawie faktycznej rozstrzygnięcia w zaskarżonej decyzji. Brak wykładni z uwzględnieniem przepisów Unii Europejskiej powoduje, że nie została zawarta prawidłowa ocena prawna, co ma podstawowe znaczenie prawne przy ponownym rozpoznawaniu sprawy. Zdaniem Naczelnego Sądu Administracyjnego, przyjęcie na podstawie ogólnego celu wskazanego we wniosku, że celem M. Sp. z o.o. w [...] jest pozbawienie sprzedających nienależnie uzyskanych korzyści oraz odebranie bonifikart osobom, które je zakupiły, nie uzasadnia przyjęcia oceny, że organ nie rozważył równowagi między podstawowym prawem do ochrony danych, a realizacją usprawiedliwionego celu. Sąd obowiązany był przeprowadzić wykładnię tych dwóch wartości i ocenić czy w zaskarżonej decyzji w świetle prawa Unii Europejskiej nie wyważono w pełni prawidłowo tych wartości, nie dając pierwszeństwa interesom M. Sp. z o.o. Wojewódzki Sąd Administracyjny w Warszawie podał, że podczas ponownego rozpoznania sprawy dokonał analizy przepisów Unii Europejskiej, wskazanych przez Sąd drugiej instancji w uzasadnieniu wyroku. Całkowicie podzielił bardzo szczegółową analizę i ocenę prawną tych przepisów, dokonaną przez Naczelny Sąd Administracyjny. Wszystkie rozważania, zawarte w uzasadnieniu wyroku tegoż Sądu, przyjmując za trafne. Wskazał, iż w szczególności, warte uwagi są rozważania na temat treści art. 41, 42 i 47 porozumienia w sprawie handlowych aspektów praw własności intelektualnej (TRIPS). Naczelny Sąd Administracyjny wywiódł, że nie zawierają one przepisów, które nakazywałyby wykładnię wspomnianych dyrektyw, jako zobowiązujących państwa członkowskie do ustanowienia obowiązku przekazania danych osobowych w ramach postępowania cywilnego. Trafnie zauważył, że w systemie prawa polskiego brakuje przepisu, który przyznawałby takie uprawnienia osobie, której prawa autorskie zostały naruszone i która żąda od dostawcy usług internetowych udostępnienia danych osobowych w celu skorzystania ze środka prawnego, mającego na celu ochronę tych praw w ramach postępowania cywilnego. Podmioty żądające ochrony praw autorskich występują zatem na drogę postępowania karnego tylko w celu, aby pozyskać dane osobowe naruszającego ich prawa. Dyrektywa 2006/24/WE z dnia 15 marca 2006 r. w sprawie zatrzymywania generowanych lub przetwarzanych danych w związku ze świadczeniem ogólnie dostępnych usług łączności elektronicznej bądź udostępnianiem publicznych sieci łączności oraz zmieniająca dyrektywę 2002/58/WE, przewiduje możliwość udostępniania danych zgromadzonych przy świadczeniu usług dostępu do internetu jedynie w szczególnych przypadkach, oraz na rzecz właściwych organów krajowych, nie zaś bezpośrednio na rzecz podmiotów prywatnych. Sąd stwierdził, że zgadza się z konkluzją Naczelnego Sądu Administracyjnego, że organ, wydając zaskarżone decyzje zrównoważył podstawowe prawo do ochrony danych z realizacją usprawiedliwionego celu. Naczelny Sąd Administracyjny trafnie zauważył, iż w zaskarżonej decyzji - w świetle prawa Unii Europejskiej - wyważono w pełni prawidłowo te wartości. Ponadto wskazał, że organ drugiej instancji zasadnie zauważył, iż M. Sp. z o.o. nie podjęła działań, służących zabezpieczeniu jej własnych interesów na wypadek przewidywanych przez nią zagrożeń, zamiast tego, po ustaleniu, że bliżej nieokreślone osoby wprowadzają do obrotu bonifikarty, wystąpiła do O Sp. z o.o. o udostępnienie informacji na temat tych osób. Mimo, że interes spółki M. jest prawnie usprawiedliwiony, nie zasługuje na uwzględnienie w sytuacji, gdy spółka ta, sama nie zadbała o należyte zabezpieczenie tych interesów i dlatego interes Spółki nie może przeważać nad interesami osób, które mogły wejść w posiadanie bonifikart w różny sposób. Osoby te mogą zatem nie być związane postanowieniami regulaminu promocji, a co za tym idzie, wniosek M. nie może prowadzić do naruszenia ich interesów. Mając na uwadze bardzo szczegółową analizę przepisów oraz treści wytycznych, dokonaną przez Naczelny Sąd Administracyjny, Wojewódzki Sąd Administracyjny w Warszawie oddalił skargę. Skargę kasacyjną od powyższego wyroku do Naczelnego Sądu Administracyjnego wniosła M. Sp. z o.o. w W., żądając uchylenia zaskarżonego wyroku w całości i przekazania sprawy do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie oraz o zasądzenie zwrotu kosztów postępowania według norm przepisanych. Naczelny Sąd Administracyjny wyrokiem z dnia 23 października 2014 r. sygn. akt I OSK 1938/12, działając na podstawie art. 185 § 1 ustawy – Prawo o postępowaniu przed sądami administracyjnymi, uchylił zaskarżony wyrok i przekazał sprawę do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie. W jego ocenie w przedmiotowej sprawie, przy rozważaniu zasadności zarzutu naruszenia przez Sąd pierwszej instancji, przy ponownym rozpoznaniu sprawy, art. 141 § 4 ppsa, niezbędne było ustalenie, czy wskazania zawarte w uzasadnieniu powołanego wyroku Naczelnego Sądu Administracyjnego z dnia 13 grudnia 2011 r. sygn. akt I OSK 1137/11 zostały wykonane oraz czy uzasadnienie zaskarżonego wyroku spełnia przesłanki określone w tym przepisie. Naczelny Sąd Administracyjny stwierdził, że analiza uzasadnienia wyroku z dnia 13 kwietnia 2012 r. sygn. akt II SA/Wa 217/12 prowadzi do wniosku, że jest ono wewnętrznie sprzeczne. Z jednej strony Sąd pierwszej instancji dostrzegł potrzebę wykonania przytoczonych wyżej wskazań, to jednak z drugiej strony uznał, że Naczelny Sąd Administracyjny dokonał oceny prawidłowości rozstrzygnięcia organu co do tego, której z konkurujących wartości należy dać pierwszeństwo i udzielić ochrony – "organ zrównoważył podstawowe prawo ochrony danych z realizacją usprawiedliwionego celu". Zdaniem Naczelnego Sądu Administracyjnego autor skargi kasacyjnej zasadnie dostrzegł, że konstrukcja uzasadnienia zaskarżonego wyroku nie pozwala na ustalenie przesłanek rozstrzygnięcia i prześledzenia toku rozumowania Sądu pierwszej instancji. Ograniczył się on bowiem do stwierdzenia, że "dokonał analizy przepisów Unii Europejskiej, wskazanych przez NSA w uzasadnieniu wyroku" i "całkowicie podzielił bardzo szczegółową analizę i ocenę prawną tych przepisów, dokonaną przez NSA; wszystkie rozważania, zawarte w uzasadnieniu wyroku NSA, przyjmując za trafne". Ponadto zacytował fragmenty uzasadnienia wyroku Naczelnego Sądu Administracyjnego z dnia 13 grudnia 2011 r. sygn. akt I OSK 1137/11 i powołane tam przepisy prawa, uznając lakonicznie, iż "całkowicie zgadza się z konkluzją NSA, iż organ, wydając zaskarżone decyzje, zrównoważył podstawowe prawo do ochrony danych z realizacją usprawiedliwionego celu oraz – w świetle prawa Unii Europejskiej – wyważył w pełni prawidłowo te wartości". Autor skargi kasacyjnej trafnie zauważył, iż "uzasadnienie zaskarżonego wyroku nie zawiera jednego zdania wyrażającego pogląd Sądu pierwszej instancji dotyczący interpretacji prawa materialnego, który nie stanowiłby cytatu z orzeczenia Naczelnego Sądu Administracyjnego z dnia 13 grudnia 2011 r.". W konsekwencji Naczelny Sąd Administracyjny stwierdził, iż uzasadnienie zaskarżonego wyroku nie wskazuje podstawy prawnej rozstrzygnięcia i nie zawiera jej wyjaśnienia. Wojewódzki Sąd Administracyjny w Warszawie wydając wyrok z dnia 13 kwietnia 2012 r. sygn. akt II SA/Wa 217/12 wbrew wskazaniom Naczelnego Sądu Administracyjnego nie dokonał systemowej wykładni przepisu prawa materialnego stanowiącego podstawę materialnoprawną zaskarżonej decyzji – art. 23 ust. 1 pkt 5 uodo na tle szczegółowej analizy przepisów wskazanych przez Sąd drugiej instancji. Przytoczenie, za Sądem drugiej instancji, przepisów prawa, bez dokonania ich własnej oceny, nie może być uznane za spełnienie warunku określonego w art. 141 § 4 ppsa. W uzasadnieniu zaskarżonego wyroku powinna bowiem znaleźć się operacja logiczna, którą przeprowadził Sąd, stosując określone normy prawne w rozstrzyganej sprawie. Powyższe rozważania prowadzą więc do uznania, że uzasadnienie zaskarżonego wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie zostało sporządzone w sposób uniemożliwiający Naczelnemu Sądowi Administracyjnemu dokonanie jego kontroli instancyjnej. Stwierdzona wadliwość stanowi podstawę skutecznego zarzutu kasacyjnego z art. 174 pkt 2 ppsa w zw. z art. 141 § 4 ppsa. W ocenie Naczelnego Sądu Administracyjnego, pośrednio z przytoczonych powodów, trafny jest również zarzut naruszenia art. 134 ppsa i art. 3 § 1 i § 2 pkt 1 ppsa w zw. z art. 1 ustawy – Prawo o ustroju sądów administracyjnych w zw. z art. 190 zdanie pierwsze ppsa oraz art. 145 § 1 pkt 1 lit. a ppsa. Sąd pierwszej instancji błędnie uznał, że Naczelny Sąd Administracyjny wyrokiem z dnia 13 grudnia 2011 r. sygn. akt I OSK 1137/11 dokonał wiążącej wykładni przepisów prawa materialnego, w tym art. 23 ust. 1 pkt 5 uodo, mającego zastosowanie w przedmiotowej sprawie oraz wyraził ocenę prawną co do prawidłowości kwestionowanych decyzji organu. Tymczasem jak wyżej podano, w niniejszej sprawie Sąd drugiej instancji, przywołując normy prawa unijnego, międzynarodowego i krajowego, wskazał na potrzebę dokonania stosownej oceny tego przepisu przez Wojewódzki Sąd Administracyjny w Warszawie. Odnosząc się do podniesionego w skardze kasacyjnej zarzutu naruszenia art. 23 ust. 1 pkt 5 uodo, Naczelny Sąd Administracyjny uznał, że w okolicznościach rozpoznawanej sprawy rozważanie jego zasadności na tym etapie postępowania jest przedwczesne. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Stosownie do treści art. 1 § 1 i § 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (Dz. U. Nr 153, poz. 1269 ze zm.), sądy administracyjne sprawują wymiar sprawiedliwości m.in. przez kontrolę działalności administracji publicznej, a kontrola ta sprawowana jest pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej. Jednocześnie w myśl art. 190 zd. 1 ustawy z dnia 30 sierpnia 2002 r. Prawo o postepowaniu przed sądami administracyjnymi (Dz. U. z 2012 r., poz. 270 ze zm.), Sąd, któremu sprawa została przekazana, związany jest wykładnią prawa dokonaną w tej sprawie przez Naczelny Sąd Administracyjny. Skarga oceniana w świetle powyższych kryteriów nie zasługuje na uwzględnienie. Materialnoprawną podstawę zaskarżonej decyzji stanowi przepis art. 23 ust. 1 pkt 5 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (j.t. Dz. U. z 2014 r., poz. 1182 ze zm.), dalej jako "uodo", zgodnie z którym przetwarzanie danych jest dopuszczalne tylko wtedy, gdy jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Podkreślił to wyraźnie Naczelny Sąd Administracyjny w wyroku z dnia 13 grudnia 2011 r., sygn. akt I OSK 1137/11. Za prawnie usprawiedliwiony cel, o którym mowa w ust. 1 pkt 5, w myśl art. 23 ust. 4 uodo, uważa się w szczególności: 1) marketing bezpośredni własnych produktów lub usług administratora danych, 2) dochodzenie roszczeń z tytułu prowadzonej działalności gospodarczej. We wspomnianym wyroku, którym Sąd orzekający w niniejszej sprawie jest związany, Naczelny Sąd Administracyjny stwierdził także, iż art. 23 ust.1 pkt 5 uodo wymaga wykładni z uwzględnieniem prawa europejskiego, Porozumienia w sprawie handlowych aspektów prawa własności intelektualnej (TRIPS) (Dz. U. z 1996 r., Nr 32, poz. 143), rozwiązań przyjętych w Rozdziale 4 ustawy z dnia 18 listopada 2002 r. o świadczeniu usług drogą elektroniczną (j.t. Dz. U. z 2013 r., poz.1422) oraz przepisów ustawy z dnia 16 lipca 2004 r. Prawo telekomunikacyjne (j.t. Dz. U. z 2014 r., poz. 243 ze zm.), w szczególności jej art. 159 ust.1. Natomiast po dokonaniu wykładni przedmiotowego przepisu, niezbędne jest dokonanie wyważenia dwóch wartości, tj. podstawowego prawa do ochrony danych osobowych oraz usprawiedliwionego celu M. Sp. z o.o. Dyrektywa 95/46/WE Parlamentu Europejskiego i Rady z dnia 25 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Dz. U. UE. L. 1935.281.31. ze zm.), szczególny nacisk kładzie na ochronę podstawowych praw i wolności. Już w Preambule do niej podkreśla się, iż celem krajowych przepisów prawa dotyczących przetwarzania danych osobowych jest ochrona podstawowych praw i wolności, szczególnie prawa do prywatności, które zostało uznane zarówno w art. 8 Europejskiej Konwencji o ochronie praw człowieka i podstawowych wolności oraz w zasadach ogólnych prawa wspólnotowego; z tego powodu zbliżenie przepisów prawa nie powinno wpłynąć na zmniejszenie ochrony jaką gwarantują, lecz przeciwnie, musi dążyć do zapewnienia jak najwyższego stopnia ochrony we Wspólnocie (10). Zasada ochrony praw i wolności jednostek, szczególnie prawa do prywatności, które zawarte są w niniejszej dyrektywie, utrwalają i umacniają zasady wyrażone w Konwencji Rady Europy z dnia 28 stycznia 1981 r. w sprawie ochrony jednostek w zakresie automatycznego przetwarzania danych osobowych (11). Natomiast w przepisie art. 6 ust.1 lit. a dyrektywy podkreśla się, że Państwa Członkowie zapewniają, aby dane osobowe były przetwarzane rzetelnie i legalnie, a zgodnie z jej art. 7 lit. f, Państwa Członkowie zapewniają, że dane osobowe mogą być przetwarzane tylko wówczas gdy, m.in. przetwarzanie danych jest konieczne dla potrzeb wynikających z uzasadnionych interesów administratora danych lub osoby trzeciej, lub osobom, którym dane są ujawnione, z wyjątkiem sytuacji, kiedy interesy takie podporządkowane są interesom związanym z podstawowymi prawami i wolnościami osoby, której dane dotyczą, które gwarantują ochronę na podstawie art.1 ust.1. Zauważenia wymaga, że dyrektywa 2000/31/WE Parlamentu Europejskiego i Rady z dnia 8 czerwca 2000 r. w sprawie niektórych aspektów prawnych usług społeczeństwa informacyjnego, w szczególności handlu elektronicznego w ramach rynku wewnętrznego (dyrektywa o handlu elektronicznym) (Dz. U. UE. L.2000.178.1) w Preambule stwierdza, iż ochrona osób fizycznych w odniesieniu do przetwarzania danych osobowych regulowana jest wyłącznie dyrektywą 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych, oraz dyrektywą 97/66/WE Parlamentu Europejskiego i Rady z dnia 15 grudnia 1997 r. dotyczącą przetwarzania danych osobowych oraz ochrony prywatności w sektorze telekomunikacyjnym, które mają pełne zastosowanie do usług społeczeństwa informacyjnego; obejmowanie tego zagadnienia niniejszą dyrektywą w celu zapewnienia sprawnego funkcjonowania rynku wewnętrznego, w szczególności swobodnego przepływu danych osobowych między Państwami Członkowskimi, wykonanie i stosowanie niniejszej dyrektywy; powinny być całkowicie zgodne z zasadami odnoszącymi się do ochrony danych osobowych, w szczególności w odniesieniu do niezamawianych informacji handlowych oraz odpowiedzialności pośredników; niniejsza dyrektywa nie może uniemożliwić anonimowego korzystania z otwartych sieci takich jak Internet (14). Natomiast określając w art. 1 cel i zakres regulacji dyrektywa ta przewiduje, że dąży ona do przyczynienia się do właściwego funkcjonowania rynku wewnętrznego przez zapewnienie swobodnego przepływu usług społeczeństwa informacyjnego między Państwami Członkowskimi (ust.1), a nadto nie ustanawia dodatkowych zasad dotyczących prawa prywatnego międzynarodowego oraz nie zajmuje się właściwością sądów (ust.4). Z kolei dyrektywa 2001/29/WE Parlamentu Europejskiego i Rady z dnia 22 maja 2001 r. w sprawie harmonizacji niektórych aspektów praw autorskich i pokrewnych w społeczeństwie informacyjnym (Dz. U. UE. L.2001.167.10) stanowi w art. 9, że nie narusza ona przepisów dotyczących w szczególności, patentów, znaków towarowych, prawa do wzorów przemysłowych (...), tajemnic handlowych, bezpieczeństwa, poufności, ochrony danych i prywatności, dostępu do dokumentów publicznych i prawa o zobowiązaniach umownych. Dyrektywa 2002/58/WE Parlamentu Europejskiego i Rady z dnia 12 lipca 2002 r. dotycząca przetwarzania danych osobowych i ochrony prywatności w sektorze łączności elektronicznej (dyrektywa o prywatności i łączności elektronicznej) (Dz.U.UE.L.2002,201.37 ze zm.), mając na uwadze dyrektywę 95/46/WE, szczególny nacisk kładzie na konieczność zapewnienia przez Państwa Członkowskie osobom fizycznym praw i wolności w zakresie przetwarzania danych osobowych, w szczególności prawa do prywatności, w celu zapewnienia swobodnego przepływu danych osobowych we Wspólnocie; dąży do poszanowania fundamentalnych praw i jest zgodna z zasadami uznanymi w szczególności przez kartę Praw Podstawowych Unii Europejskiej, w szczególności zmierza do zapewnienia pełnego poszanowania praw określonych w art. 7 i 8 tej Karty. W jej świetle poufność komunikacji jest zagwarantowana zgodnie z międzynarodowymi instrumentami dotyczącymi praw człowieka, w szczególności zgodnie z Europejską Konwencją o Ochronie Praw Człowieka i Podstawowych Wolności oraz z konstytucjami Państw Członkowskich (pkt 1, 2 i 3 Preambuły). Jednocześnie w art. 15 dotyczącym stosowania niektórych przepisów dyrektywy 95/46/WE wskazuje ona, iż Państwa Członkowskie mogą uchwalić środki ustawodawcze w celu ograniczenia zakresu praw i obowiązków przewidzianych w art. 5,6, art. 8 ust. 1-4 i art. 9 tej dyrektywy (wymienione przepisy dotyczą poufności komunikacji, danych o ruchu, wyświetlania i ograniczenia identyfikacji rozmów przychodzących i wychodzących oraz danych dotyczących lokalizacji innych niż dane o ruchu), gdy takie ograniczenia stanowią środki niezbędne, właściwe i proporcjonalne w ramach społeczeństwa demokratycznego do zapewnienia bezpieczeństwa narodowego (i.e. bezpieczeństwa państwa), obronności, bezpieczeństwa publicznego oraz zapobiegania, dochodzenia, wykrywania i karania przestępstw kryminalnych lub niedozwolonego używania systemów łączności elektronicznej, jak określono w art. 13 ust. 1 dyrektywy 95/46/WE. W tym celu Państwa Członkowskie mogą między innymi, uchwalić środki ustawodawcze przewidujące przechowywanie danych przez określony czas uzasadnione na podstawie zasad ustanowionych w niniejszym ustępie. Wszystkie środki określone w niniejszym ustępie są zgodne z ogólnymi zasadami prawa wspólnotowego, w tym zasadami określonymi w art. 6 ust. 1 i 2 Traktatu o Unii Europejskiej (ust. 1). Ustępu 1 nie stosuje się do danych, których zatrzymywanie jest wyraźnie wymagane na mocy dyrektywy 2006/24/WE Parlamentu Europejskiego i Rady z dnia 15 marca 2006 r. w sprawie zatrzymywania danych wygenerowanych lub przetworzonych w związku ze świadczeniem ogólnie dostępnych usług łączności elektronicznej lub udostępnieniem sieci łączności dla celów określonych w art. 1 ust. 1 tej dyrektywy (ust.1a). Wreszcie zgodnie z dyrektywą 2004/48/WE Parlamentu Europejskiego i Rady z dnia 29 kwietnia 2004 r. w sprawie egzekwowania praw własności intelektualnej (Dz. U. UE.L.2004.157.45), nie wpływa ona na wspólnotowe przepisy regulujące prawo materialne w zakresie własności intelektualnej, dyrektywę 95/46/WE, dyrektywę 1999/93/WE lub dyrektywę 2000/31/WE, a zwłaszcza art. 12-15 dyrektywy 200/13/WE (art. 2 ust. 3 lit. a). Natomiast w myśl art. 8 ust. 3 lit. e tej dyrektywy, przepisy dotyczące m.in. zapewnienia przez Państwa Członkowskie w kontekście postępowania sądowego dotyczącego naruszenia prawa własności intelektualnej oraz w odpowiedzi na uzasadnienie i proporcjonalne żądanie powoda, właściwe organy sądowe mogą nakazać przedstawienie informacji o pochodzeniu i sieciach dystrybucji towarów lub usług naruszających prawo własności intelektualnej przez naruszającego i/lub jakąkolwiek inną osobę (...), stosuje się bez uszczerbku dla innych przepisów ustawowych, które zarządzają ochronę poufności źródeł informacji lub przetwarzania danych osobowych. Analiza powyższych dyrektyw prowadzi do wniosku, że nie zobowiązują one Państw Członkowskich do ustanowienia obowiązku przekazania danych osobowych w celu zapewnienia skutecznej ochrony praw autorskich w ramach postępowania cywilnego w sytuacji, gdy stowarzyszenie niemające celu zarobkowego grupujące producentów i wydawców nagrań muzycznych oraz opracowań audiowizualnych wniósł o nakazanie, by dostawca usług w zakresie dostępu do Internetu wskazał tożsamość i adresy określonych abonentów, w celu umożliwienia mu wytworzenia następnie przeciwko tym osobom powództw cywilnych z tytułu naruszenia praw autorskich, jak stwierdził Trybunał Sprawiedliwości Unii Europejskiej w wyroku z dnia 29 stycznia 2008 r. o sygn. akt C -275/06 (ZOTSiS 2008/1/I-271), zaś stanowisko to podzielił Naczelny Sąd Administracyjny we wspomnianym już wyroku z dnia 13 grudnia 2011 r., sygn. akt I OSK 1137/11. W ocenie Sądu, powyższe zapatrywania wbrew argumentacji skarżącej Spółki, w pełni znajdują zastosowanie w niniejszej sprawie, w której zwróciła się ona do Generalnego Inspektora Ochrony Danych Osobowych o nakazanie O. Sp. z o.o. z siedzibą w [...], o udostępnienie danych osobowych osób, które w serwisie [...] wystawiły do sprzedaży (jako przedmiot sprzedaży bądź darmowy dodatek do przedmiotu sprzedaży) na aukcjach internetowych bonifikarty M. Sp. z o.o., w celu egzekwowania postanowień regulaminu akcji promocyjnej, do których przestrzegania uczestnik, przystępując do akcji promocyjnej, się zobowiązał. Mamy tu bowiem niewątpliwie do czynienia z roszczeniami cywilnymi Spółki wobec określonych uczestników akcji promocyjnej, będącymi następstwem handlu elektronicznego w ramach rynku wewnętrznego. Wskazane przez Trybunał przepisy Porozumienia w sprawie handlowych aspektów praw własności intelektualnej (TRIPS), na które powołał się Naczelny Sąd Administracyjny w wyroku I OSK 1137/11, w art. 41 i 42 nakładają na Państwa Członkowskie obowiązek zapewnienia dostępności procedur w zakresie dochodzenia i egzekwowania praw na podstawie ich prawa krajowego tak, aby umożliwić skuteczne działanie przeciwko każdemu naruszeniu praw własności intelektualnej, objętych Porozumieniem, jednakże bez obowiązku stworzenia sądowego systemu dochodzenia i egzekwowania praw własności intelektualnej odmiennego od ogólnego systemu dochodzenia egzekwowania praw. Natomiast przepis art. 47 Porozumienia stanowi, że członkowie mogą postanowić, że organy sądowe będą miały prawo, jeżeli nie będzie to w dysproporcji do wagi naruszenia, nakazać sprawcy naruszenia, aby poinformował posiadacza praw o tożsamości osób trzecich związanych z produkcją i rozpowszechnianiem towarów lub usług stanowiących naruszenie oraz o ich kanałach dystrybucji. Tym samym również w/w przepisy nie zawierają nakazu wykładni powołanych dyrektyw jako zobowiązujących Państwa Członkowskie do ustanowienia obowiązku przekazania danych osobowych w ramach postępowania cywilnego. Trybunał Sprawiedliwości UE w cytowanym wyroku stwierdził też, że prawo wspólnotowe wymaga jednak od Państw Członkowskich, by przy transpozycji tych dyrektyw oparły się one na takiej ich wykładni, która pozwoli na zapewnienie odpowiedniej równowagi między poszczególnymi prawami podstawowymi chronionymi przez wspólnotowy porządek prawny. Ponadto przy przyjmowaniu środków mających na celu transpozycję tych dyrektyw, władze i sądy państw członkowskich są zobowiązane nie tylko dokonywać wykładni swojego prawa krajowego w sposób zgodny ze wspomnianymi dyrektywami, lecz również nie opierać się na takiej wykładni tych dyrektyw, które pozostawałyby w konflikcie ze wspominanymi prawami podstawowymi lub z innymi ogólnymi zasadami prawa wspólnotowego, takimi jak zasada proporcjonalności. Natomiast w wyroku z dnia 30 maja 2013 r., sygn. akt C -342/12 (Lex nr 155812), Trybunał Sprawiedliwości dokonując wykładni przepisów dyrektywy 95/46 wskazał, iż jej przepisy w zakresie, w jakim regulują przetwarzanie danych osobowych mogących naruszyć podstawowe wolności, a w szczególności prawo do życia prywatnego, koniecznie muszą być interpretowane w świetle praw podstawowych, które stanowią integralną część ogólnych zasad prawa, których poszanowanie zapewnia Trybunał. Należy również zauważyć, że dyrektywa 2006/24/WE Parlamentu Europejskiego i Rady z dnia 15 marca 2006 r. w sprawie zatrzymywania generowanych lub przetwarzanych danych w związku ze świadczeniem ogólnie dostępnych usług łączności elektronicznej lub udostępnieniem publicznych sieci łączności oraz zmieniająca dyrektywę 2002/58/WE (Dz. U. UE. L.2006.105.54), przewiduje w art. 4, iż Państwa Członkowskie podejmują środki w celu zagwarantowania, że dane zatrzymywane w myśl niniejszej dyrektywy są udostępniane jedynie właściwym organom krajowym, w szczególnych przypadkach i zgodnie z krajowym ustawodastwem. Proces oraz warunki uzyskiwania dostępu do zatrzymanych danych, w przypadkach, gdy został spełniony wymóg konieczności oraz proporcjonalności, są określone w prawie krajowym każdego Państwa Członkowskiego, podlegając odpowiednim przepisom prawa Unii Europejskiej lub międzynarodowego prawa publicznego, w szczególności EKOPC, zgodnie z interpretacją Europejskiego Trybunału Praw Człowieka. Na gruncie prawa krajowego, w Rozdziale 4 ustawy z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną (j.t. Dz. U. z 2013 r., poz. 1422), zostały sformułowane zasady ochrony danych osobowych w związku ze świadczeniem usług droga elektroniczną. W myśl art. 16 ust. 1 tej ustawy, przepisy wymienionego rozdziału stanowią lex specialis w stosunku do przepisów uodo. Natomiast zgodnie z art.18 ust.1 ustawy o świadczeniu usług drogą elektroniczną, ustawodawca może przetwarzać następujące dane osobowe usługobiorcy niezbędnie do nawiązania, kształtowania treści, zmiany lub rozwiązania stosunku prawnego miedzy nimi: 1. nazwisko i imiona usługobiorcy, 2. numer ewidencyjny PESEL lub – gdy ten numer nie został nadany – numer paszportu, dowodu osobistego lub innego dokumenty potwierdzającego tożsamość, 3. adres zameldowania na pobyt stały, 4. adres do korespondencji, jeżeli jest inny niż adres, o którym mowa w pkt 3, 5. dane służące do weryfikacji podpisu elektronicznego usługobiorcy, 6. adresy elektroniczne usługobiorcy. Stosownie zaś do ust. 6 tego przepisu, usługodawca udziela informacji o danych, o których mowa w ust.1-5, organom państwa na potrzeby prowadzonych przez nie postępowań. Z kolei w przepisie art. 159 ust. 1 ustawy z dnia 16 lipca 2004 r. - Prawo telekomunikacyjne (j.t. Dz. U. z 2014 r., poz. 243 ze zm.), została sformułowana tajemnica telekomunikacyjna jako tajemnica komunikowania się w sieciach telekomunikacyjnych, obejmująca m.in. dane dotyczące użytkownika. W myśl zaś art. 159 ust. 2 tej ustawy, zakazane jest zapoznanie się, utrwalanie, przechowywanie, przekazywanie lub inne wykorzystywanie treści lub danych objętych tajemnicą telekomunikacyjną przez osoby inne niż nadawca i odbiorca komunikatu, chyba że; 1. będzie to przedmiotem usługi lub będzie to niezbędne do jej wykonania, 2. nastąpi za zgodą nadawcy lub odbiorcy, których dane dotyczą, 3. dokonywanie tych czynności jest niezbędne w celu rejestrowania komunikatów i związanych z nimi danych transmisyjnych, stosowanego w zgodnej z prawem praktyce handlowej dla celów zapewnienia dowodów transakcji handlowej lub celów łączności w działalności handlowej, 4. będzie to konieczne z innych powodów przewidzianych ustawą lub przepisami odrębnymi. Tym samym powołane przepisy prawa krajowego także nie ustanawiają obowiązku przekazania przez usługodawcę danych osobowych osoby będącej usługobiorcą usług świadczonych drogą elektroniczną, czy też nadawcy bądź odbiorcy komunikatu w ramach usług telekomunikacyjnych. W cenie Sądu, Generalny Inspektor w zaskarżonej decyzji właściwie zinterpretował art. 23 ust. 1 pkt 5 uodo, która to interpretacja jest zgodna z przepisami powołanych dyrektyw i ich wykładnią dokonaną przez Trybunał Sprawiedliwości Unii Europejskiej, a nadto z cytowanymi przepisami prawa krajowego. Sąd w pełni podziela stanowisko organu, iż mając na uwadze sposób uzasadnienia przez Spółkę jej wniosku o udostępnienie danych - należy zgodzić się, że istnieje po jej stronie prawnie usprawiedliwiony cel w pozyskaniu rzeczonych informacji w rozumieniu art. 23 ust. 1 pkt 5 ustawy. Jak podkreśla się w literaturze przedmiotu, cele prawnie usprawiedliwione to cele skierowane na osiągnięcie rezultatu, który nie jest sprzeczny z prawem, usprawiedliwione działalnością prowadzoną przez administratora, która również nie jest w żadnej mierze niezgodna z prawem, zasadami współżycia społecznego, czy dobrymi obyczajami. Nie ma przy tym podstaw, by z kategorii celu prawnie usprawiedliwionego wykluczyć taki, który w całości lub części ma charakter zarobkowy (por. J. Barta P. Fajgielski R. Markiewicz "Ochrona danych osobowych. Komentarz" wydanie III Zakamycze 2004 str. 512 i nast.). Należy jednak podkreślić, że warunkiem uznania przetwarzania danych za prawnie dopuszczalne na zasadzie określonej w art. 23 ust. 1 pkt 5 ustawy jest nie tylko niezbędność danych dla wypełniania prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, lecz również to, aby przetwarzanie to nie naruszało praw i wolności osób, których dane dotyczą. Jak zaznaczył Naczelny Sąd Administracyjny w wyroku z dnia 26 maja 2009 r. (sygn. akt: I OSK 808/2008) cyt.: "(...) samo ustalenie, iż administrator danych osobowych realizuje prawnie dopuszczalny cel nie przesądza o dopuszczalności przetwarzania danych. Niezbędne jest bowiem wyważenie interesów administratora danych osobowych oraz osoby, której dane dotyczą przy uwzględnieniu celu ustawy, którym jest ochrona prywatności (...)". W literaturze przedmiotu akcentuje się również, że cyt.:"(...) klauzula odwołująca się do prawnie usprawiedliwionych celów stwarza dogodną możliwość do indywidualizowania ocen w kontekście konkretnych przypadków przetwarzania danych i do wyważania casu ad casum konkurujących interesów (...)" (por. j.w. str. 513 i nast.). Mając na uwadze, iż zasadniczo każdy przypadek, w którym dochodzi do przetwarzania danych osobowych bez zgody osoby, której one dotyczą stanowi w istocie ingerencję w sferę jej prywatności i będąc zobligowanym do wyważenia w każdej konkretnej sprawie, czy interes administratora danych bądź odbiorcy danych wyrażający się w dążeniu do realizacji jego prawnie usprawiedliwionego celu przeważa nad prawem do prywatności osoby, której dane dotyczą, organ ocenił, iż w niniejszej sprawie nie można mówić o przewadze interesów Spółki nad interesami osób, których dotyczą wnioskowane dane. W niniejszej sprawie nie budzi wątpliwości, że Spółka, organizując promocję polegającą na przyznawaniu tzw. bonifikart przewidywała, iż możliwą jest sytuacja, że osoby, którym ww. karty rabatowe przyznano, będą zamierzały je zbyć. Świadczą o tym wprost zapisy regulaminu omawianej promocji, zastrzegające niedopuszczalność obrotu bonifikartami, a zarazem przewidujące określone konsekwencje w przypadku naruszenia jego zapisów w tym zakresie (tj. obowiązek zwrotu bonifikarty). Pomimo tego, Spółka nie przedsięwzięła działań służących zabezpieczeniu jej interesów na wypadek, gdyby wydane przez nią karty rabatowe, wbrew zastrzeżeniom regulaminu promocji, stały się przedmiotem obrotu. Działania takie mogłyby przykładowo polegać na wydawaniu kart imiennych (nadmienić warto, że dostrzegalna jest sprzeczność pomiędzy założeniem, że tzw. bonifikarty są kartami rabatowymi na okaziciela, a zarazem - skoro wykluczony jest obrót nimi - mogą być wykorzystane wyłącznie przez tą osobę/ przez ten podmiot, któremu zostały przyznane), czy na nadaniu im oznaczeń identyfikujących (np. numerów) pozwalających na ustalenie - na podstawie oznaczenia karty - komu konkretnie została ona przyznana, tym samym zaś, kto spośród osób, którym wydano karty, wbrew zastrzeżeniom regulaminu promocji - wprowadza je do obrotu. Spółka nie podjęła tego rodzaju działań, zamiast tego zaś, wobec ustalenia, że bliżej nieokreślone osoby wprowadzają do obrotu tzw. bonifikarty, a co najmniej próbują to uczynić - wystąpiła do O. o udostępnienie jej określonych informacji na temat tych osób. Należy zgodzić się z oceną Generalnego Inspektora, iż w niniejszej sprawie interes administratora danych (Spółki), wyrażający się w dążeniu do realizacji jego prawnie usprawiedliwionego celu, nie przeważa nad interesem osób, których dotyczą wnioskowane dane w poszanowaniu ich prawa do prywatności - rozumianego jako prawo do samodzielnego decydowania o zakresie i zasięgu udostępniania i komunikowania innym osobom informacji o swoim życiu (por. również orzeczenie Trybunału Konstytucyjnego z dnia 24 czerwca 1997 r. sygn. akt: K. 21/96). Zadośćuczynienie zaś żądaniu Spółki wiązałoby się z nieproporcjonalną - w stosunku do interesów administratora, których on sam nie zabezpieczył w należyty sposób, choć mógł to uczynić - ingerencją w sferę prywatności osób, których dotyczą żądane informacje. W tych okolicznościach chybione są zarzuty naruszenia art. 23 ust. 1 pkt 5 oraz art. 23 ust. 4 pkt 2 uodo. Także zarzut naruszenia art. 6 ust. 1 i art. 9 ustawy o swobodzie prowadzenia działalności gospodarczej nie jest zasadny, albowiem nie sposób dopatrzeć się w zaskarżonym rozstrzygnięciu ograniczenia Spółce swobody wykonywania działalności gospodarczej, czy też braku poszanowania jej słusznych interesów przedsiębiorcy, przez sam fakt wydania niekorzystnego rozstrzygnięcia. Również zarzut naruszenia przepisów postępowania nie jest trafny. Wbrew argumentacji Spółki, Generalny Inspektor Ochrony Danych Osobowych podjął wszelkie działania niezbędne do dokładnego wyjaśnienia stanu faktycznego, który w niniejszej sprawie nie jest sporny, oraz do załatwienia sprawy, w sposób wyczerpujący zebrał i rozpatrzył cały materiał dowodowy, dokonując jego oceny w zgodzie z przepisem art. 80 K.p.a. Ponadto organ wyczerpująco uzasadnił zaskarżone rozstrzygnięcie, uwzględniając wymogi zawarte w art. 107 § 3 K.p.a. Z tych względów Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2012 r., poz. 270 ze zm.), orzekł jak w sentencji.