II SA/WA 100/24

II SA/Wa 100/24 - Wyrok WSA w Warszawie
Data orzeczenia
2024-09-10
orzeczenie prawomocne
Data wpływu
2024-01-22
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Danuta Kania
Ewa Marcinkowska
Joanna Kruszewska-Grońska /przewodniczący sprawozdawca/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę
Powołane przepisy
Dz.U. 2019 poz 1781
art. 7 ust. 1
Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych (t. j.)
Dz.U. 2004 nr 171 poz 1800
art. 172 ust. 1 i art. 174
Ustawa z dnia 16 lipca 2004 r. Prawo telekomunikacyjne
Dz.U.UE.L 2016 nr 119 poz 1  art. 6 ust. 1 i art. 58 ust. 2 lit. b
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z  przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Joanna Kruszewska-Grońska (spr.), Sędzia WSA Danuta Kania, Sędzia WSA Ewa Marcinkowska, Protokolant referent stażysta, Marta Stec, po rozpoznaniu na rozprawie w dniu 10 września 2024 r. sprawy ze skargi PGE Obrót S.A. z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] listopada 2023 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę
Uzasadnienie
Zaskarżoną w niniejszej sprawie decyzją z [...] listopada 2023 r. numer [...] Prezes Urzędu Ochrony Danych Osobowych (dalej: "PUODO", "organ"), na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (obecnie tekst jednolity: Dz. U. z 2024 r., poz. 572; dalej: "k.p.a."), art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781), a także art. 6 ust. 1 i art. 58 ust. 2 lit. b) rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych - Dz. Urz. UE L 119 z 2016 r., str. 1 ze sprost.; dalej: "RODO"), po przeprowadzeniu postępowania administracyjnego wszczętego skargą (wnioskiem) K. S. (dalej: "uczestnik postępowania") dotyczącą nieprawidłowości w procesie przetwarzania jego danych osobowych przez [...] S.A. z siedzibą w [...] (dalej: "skarżąca", "spółka"), udzielił skarżącej upomnienia za naruszenie art. 5 ust. 1 lit. a) i lit. b) oraz art. 6 ust. 1 RODO, polegające na przetwarzaniu danych osobowych uczestnika postępowania w zakresie jego numeru telefonu w celach marketingowych, niezgodnie z celem ich pozyskania i bez podstawy prawnej.
Do wydania zaskarżonej decyzji doszło w następujących okolicznościach.
W skierowanej do Urzędu Ochrony Danych Osobowych skardze z [...] lutego 2022 r., wniesionej za pośrednictwem ePUAP, uczestnik postępowania wskazał, że [...] grudnia 2016 r. zawarł ze spółką umowę kompleksowej sprzedaży energii elektrycznej i świadczenia usługi dystrybucji dla odbiorców z grupy taryfowej G oraz C1x o numerze [...]. W ww. umowie uczestnik postępowania - jako odbiorca - pozostawił niewypełnioną rubrykę zatytułowaną "Telefon kontaktowy". Natomiast [...] listopada 2021 r. otrzymał od skarżącej telefoniczną wiadomość tekstową (SMS) o treści: "Szanowny Kliencie, w czasie pandemii warto korzystać z [...], przesyłanej za pomocą komunikacji elektronicznej. Sprawdź: [...]". W tym samym dniu uczestnik postępowania wystąpił do spółki (drogą poczty elektronicznej) z żądaniami określonymi w art. 15 ust. 1 RODO. W odpowiedzi z [...] grudnia 2021 r. skarżąca wyjaśniła mu, iż [...] listopada 2016 r. kontaktował się z nią poprzez infolinię w sprawie montażu licznika i wówczas wskazał numer telefonu do kontaktu, który został wprowadzony do bazy, pomimo braku jego zgody na powyższą czynność i mimo udostępnienia tego numeru wyłącznie w celu realizacji usługi montażu licznika. W tej sytuacji uczestnik postępowania stwierdził, że przetwarzanie jego numeru telefonu przez skarżącą jest niezgodne z treścią zawartej umowy oraz było ono dokonywane przez 5 lat niezgodnie z celem, dla którego numer telefonu został udostępniony.
W toku postępowania administracyjnego PUODO potwierdził, iż w treści umowy zawartej między spółką a uczestnikiem postępowania nie figuruje numer telefonu tego ostatniego podmiotu, gdyż rubryka zatytułowana "Telefon kontaktowy", a znajdująca się w opisie danych uczestnika postępowania, tj. strony umowy określonej jako "Odbiorca", jest pusta. Jednocześnie organ odnotował, że w myśl § 2 pkt 3 tej umowy, uczestnik postępowania wyraził skarżącej zgodę na kontaktowanie się z nim telefonicznie.
Ponadto, na podstawie oświadczeń spółki, PUODO ustalił, iż:
( podczas podpisywania przedmiotowej umowy został ustalony termin montażu licznika na [...] stycznia 2017 r., lecz jeszcze w tym samym dniu uczestnik postępowania zadzwonił na infolinię spółki z prośbą o wcześniejszy termin montażu i wtedy podał swój numer telefonu do kontaktu;
( ww. numer telefonu został wprowadzony do bazy skarżącej w celu wykonania zawartej umowy;
( w dokumentacji związanej z umową nie znajduje się żaden zapis wskazujący na konkretny preferowany, dozwolony (lub niedozwolony) przez odbiorcę, tj. uczestnika postępowania, numer telefonu;
( uczestnik postępowania, opierając się na swojej pamięci, twierdzi, że podał spółce numer telefon w celu jednorazowego montażu licznika;
( posiadane przez skarżącą dokumenty nie pozwalają na weryfikację prawdziwości twierdzeń uczestnika postępowania odnośnie celu udostępnienia numeru telefonu z uwagi na fakt, iż nagranie z rozmowy zostało po usunięte upływie standardowego okresu przechowywania;
( spółka w dniu [...] listopada 2021 r. przesłała na numer telefonu uczestnika postępowania cytowaną wyżej wiadomość tekstową (SMS);
( wobec pandemii, w celu ograniczenia kontaktów bezpośrednich i listowych, numer telefonu uczestnika postępowania został jednorazowo wykorzystany przez skarżącą do komunikacji sugerującej sposób odbioru faktur drogą elektroniczną przez tzw. e-fakturę;
( stosownie do treści § 2 pkt 6 ww. umowy, uczestnik postępowania nie wyraził zgody na przetwarzanie przez skarżącą jego danych osobowych w celach marketingowych produktów i usług innych podmiotów z branży energetycznej, użyteczności publicznej i innych świadczących usługi na jej rzecz, jak również na udostępnianie przez spółkę jego danych podmiotom realizującym powyższe cele na rzecz skarżącej;
( aktualnie spółka nie przetwarza danych osobowych uczestnika postępowania w postaci jego numeru telefonu, który to numer [...] listopada 2021 r. został usunięty z bazy danych na wniosek uczestnika postępowania.
W oparciu o powyższe ustalenia faktyczne, organ w uzasadnieniu powołanej na wstępie decyzji stwierdził, że skarżąca bezspornie przetwarzała dane osobowe uczestnika postępowania w zakresie jego numeru telefonu w dniu [...] listopada 2021 r. w celu przesłania mu wiadomości SMS o cytowanej wyżej treści, podczas gdy uczestnik postępowania w momencie zawierania umowy ze spółką nie wyraził zgody na udostępnienie jej swoich danych osobowych w ww. zakresie. Uczynił to dopiero później, chcąc uzgodnić termin montażu licznika. Tak ujawniony (pozyskany) numer telefonu uczestnika postępowania spółka samowolnie uznała za numer kontaktowy dla realizacji umowy, wprowadzając go do bazy danych.
PUODO podniósł, iż przepisy dotyczące ochrony danych osobowych przez "marketing bezpośredni" nakazują rozumieć ogół działań, a także wszelkich dotyczących go usług pomocniczych, umożliwiających oferowanie produktów lub usług bądź przekazywanie innych informacji do grupy ludności - za pośrednictwem poczty, telefonu lub innych bezpośrednich środków - w celach informacyjnych bądź w celu wywołania reakcji ze strony osoby, której dane dotyczą. Tym samym, według organu, w sprawie doszło do zmiany celu przetwarzania danych osobowych uczestnika postępowania w zakresie jego numeru telefonu i to niezależnie od tego, czy dane te zostały udostępnione w celu umówienia montażu licznika czy też w celu wykonania umowy, bowiem nie były przetwarzane w żadnym z ww. celów, lecz w celu marketingowym. Treść wiadomości przesłanej uczestnikowi postępowania niewątpliwie posiada charakter marketingowy, przez co nie można jej uznać za wiadomość związaną z wykonywaniem umowy. Skarżąca bowiem zaoferowała uczestnikowi postępowania nowy rodzaj usługi - [...], tj. sposób odbioru faktur drogą elektroniczną przez tzw. e-fakturę, zachęcając jednocześnie do jej wyboru - "w czasie pandemii warto korzystać z [...] (...). Sprawdź (...)".
W takich okolicznościach niniejszej sprawy PUODO ocenił, że spółka naruszyła art. 6 ust. 1 RODO, nie mając podstaw prawnych do przetwarzania numeru telefonu uczestnika postępowania w celach marketingowych, a także art. 5 ust. 1 lit. a) RODO wobec przetwarzania przedmiotowego numeru telefonu niezgodnie z prawem, jak też art. 5 ust. 1 lit. b) RODO poprzez przetwarzanie go niezgodnie z celem, dla którego został pozyskany. W konsekwencji organ uznał, iż konieczne stało się skorzystanie z przewidzianych w RODO uprawnień naprawczych i udzielenie skarżącej upomnienia.
Powyższa decyzja stała się przedmiotem skargi spółki (reprezentowanej przez radcę prawnego R. G.) do Wojewódzkiego Sądu Administracyjnego w Warszawie, w której zarzucono naruszenie prawa materialnego, a to art. 6 ust. 1 lit. f) w związku z motywem 47 RODO, poprzez ich błędną wykładnię i dowolne uznanie, że w świetle rozsądnego oczekiwania osoby fizycznej będącej klientem administratora powiązanego z administratorem umową sprzedaży, ta osoba fizyczna nie ma rozsądnych przesłanek do spodziewania się, iż administrator, działając w swoim prawnie uzasadnionym interesie, przetworzy jej dane osobowe do celów marketingu bezpośredniego oraz że takie przetwarzanie odbywa się bez podstawy prawnej.
W oparciu o tak sformułowany zarzut skarżąca wniosła o uchylenie zaskarżonej decyzji i umorzenie postępowania oraz zwrot kosztów postępowania, w tym kosztów zastępstwa procesowego.
W uzasadnieniu skargi spółka, zestawiając motyw 47 z art. 6 ust. 1 lit. f) RODO, wskazała, iż samo ustalenie braku niezbędności przetwarzania danych osobowych do realizacji umowy nie może przesądzać o ich przetwarzaniu bez podstawy prawnej. Zdaniem skarżącej, w obecnym ustroju gospodarki rynkowej nikt rozsądny nie może oczekiwać, że po zawarciu umowy sprzedaży towarów lub usług, sprzedawca nie będzie się z nim kontaktował, aby zwiększyć swoją sprzedaż. Tak więc odbiorca energii elektrycznej, na podstawie umowy zawartej na czas nieoznaczony, może rozsądnie oczekiwać, iż sprzedawca - administrator będzie się z nim kontaktował - przetwarzając uzyskane przy okazji zawarcia umowy dane osobowe odbiorcy - w celu marketingu bezpośredniego swoich towarów czy usług.
Skarżąca zwróciła też uwagę, że RODO nie pozostawia klienta bezradnym wobec takiego przetwarzania danych osobowych przez administratora, ponieważ zgodnie z art. 21 RODO osoba fizyczna może wnieść sprzeciw przeciwko przetwarzaniu jej danych, zaś w przedmiotowej sprawie brak było sprzeciwu uczestnika postępowania.
Reasumując, spółka podkreśliła, iż organ w ogóle nie przeprowadził oceny istnienia podstawy prawnej przetwarzania danych osobowych w zakresie numeru telefonu uczestnika postępowania w kontekście art. 6 ust. 1 lit. f) RODO, ograniczając się do oceny legalności przetwarzania danych w oparciu o art. 6 ust. 1 lit. b) RODO.
Skoro, wbrew ustaleniu zaskarżonej decyzji, przetwarzanie danych w zakresie numeru telefonu było oparte na podstawie prawnej, to po uchyleniu tej decyzji, postępowanie wywołane skargą (wnioskiem) uczestnika postępowania na niezgodne z prawem przetwarzanie danych w ww. zakresie, powinno zostać umorzone jako bezprzedmiotowe.
W odpowiedzi na skargę PUODO wniósł o jej oddalenie, podtrzymując stanowisko wyrażone w uzasadnieniu zaskarżonej decyzji. Organ zaakcentował, że nie badał, czy przetwarzanie numeru telefonu uczestnika postępowania miało oparcie w art. 6 ust. 1 lit. f) w związku z motywem 47 RODO, jako działanie w celu marketingu bezpośredniego stanowiącego realizację prawnie uzasadnionego interesu, gdyż w toku postępowania administracyjnego spółka kategorycznie zaprzeczyła, by kwestionowane przetwarzanie miało charakter marketingu, twierdząc konsekwentnie, iż było ono związane z wykonywaniem umowy.
W replice na odpowiedź na skargę (pismo skarżącej z 5 marca 2024 r.) spółka zarzuciła organowi brak merytorycznego i wyczerpującego odniesienia się do poruszonego w skardze zagadnienia. Jak podniosła skarżąca, oczywistym jest, że "przetwarzanie danych osobowych do celów marketingu bezpośredniego" może być zgodne z prawem bez zgody osoby fizycznej w świetle przepisów RODO. Jednak spółka oczekuje odpowiedzi na pytanie, jakie warunki muszą być spełnione, aby "przetwarzanie danych osobowych do celów marketingu bezpośredniego" bez zgody osoby fizycznej odbywało się zgodnie z prawem, a mianowicie jako niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:
Skarga nie zasługuje na uwzględnienie, bowiem zaskarżona decyzja PUODO odpowiada prawu.
Zamknięty katalog przesłanek dopuszczalności przetwarzania danych osobowych określa art. 6 ust. 1 RODO. Stosownie do treści tego przepisu, przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy - i w takim zakresie, w jakim - spełniony jest co najmniej jeden z poniższych warunków: a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów; b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy; c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze; d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej; e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi; f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Akapit pierwszy lit. f) nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań.
Zakwestionowane przez organ dane osobowe w zakresie numeru telefonu uczestnika postępowania stanowią tzw. "zwykłe" dane - w odróżnieniu od szczególnych kategorii danych osobowych ujętych w art. 9 i art. 10 RODO. Oznacza to, że zaistnienie jednej z ww. przesłanek (które są samoistne – równoważne, równoprawne) legalizuje przetwarzanie "zwykłych" danych.
Według art. 5 ust. 1 lit. a), lit. b) i lit. c) RODO, dane osobowe muszą być:
( przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą ("zgodność z prawem, rzetelność i przejrzystość");
( zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami; dalsze przetwarzanie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych nie jest uznawane w myśl art. 89 ust. 1 za niezgodne z pierwotnymi celami ("ograniczenie celu");
( adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane ("minimalizacja danych").
W realiach rozpoznawanej sprawy, w której PUODO stwierdził w zaskarżonej decyzji, że dane osobowe uczestnika postępowania w zakresie numeru telefonu były przetwarzane w celach marketingowych, należy odwołać się do definicji pojęcia "marketingu bezpośredniego" zawartej w rekomendacji R (85)20 Komitetu Ministrów dla Państw Członkowskich w sprawie ochrony danych osobowych używanych dla celów marketingu bezpośredniego Rady Europy "Ochrona danych osobowych wykorzystywanych dla potrzeb marketingu bezpośredniego" z 25 października 1985 r. Zgodnie z tą definicją, "marketing bezpośredni" to ogół działań, a także wszelkich dotyczących go usług pomocniczych, umożliwiających oferowanie produktów lub usług bądź przekazywanie innych informacji do grupy ludności - za pośrednictwem poczty, telefonu lub innych bezpośrednich środków - w celach informacyjnych bądź w celu wywołania reakcji ze strony osoby, której dane dotyczą. Zasadność odwołania się do przywołanej definicji dostrzegł też Sąd Ochrony Konkurencji i Konsumentów w wyroku z 21 marca 2014 r., sygn. akt AmT 10/12 (Lex nr 2155559) oraz Sąd Okręgowy w [...] w wyroku z [...] grudnia 2020 r., sygn. akt [...].
W takim rozumieniu pojęcia marketingu bezpośredniego mieści się wykonywanie połączeń telefonicznych lub - jak w niniejszej sprawie - przesyłanie telefonicznych wiadomości tekstowych (SMS) w celu zaproszenia konsumenta do nabycia/skorzystania z oferowanych towarów/usług. W przesłanej uczestnikowi postępowania, drogą telefoniczną, krótkiej wiadomości tekstowej (SMS) zamieszczony był link do strony internetowej spółki umożliwiający zapoznanie się z oferowaną przez nią usługą tzw. e-faktury oraz aktywację tej usługi. Takie działanie skarżącej prawidłowo organ zakwalifikował jako marketing bezpośredni, bo polegało ono na promowaniu konkretnej usługi.
Stwierdzenie, iż przetwarzanie danych osobowych uczestnika postępowania odbywało się dla celów marketingu bezpośredniego ma o tyle istotne znaczenie, że zgodnie z art. 6 ust. 1 lit. f) RODO, przetwarzanie jest zgodne z prawem, gdy jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. W świetle natomiast motywu 47 zd. 6 RODO, za działanie wykonywane w prawnie uzasadnionym interesie można uznać przetwarzanie danych osobowych do celów marketingu bezpośredniego. Taki prawnie uzasadniony interes może istnieć na przykład, gdy zachodzi istotny i odpowiedni rodzaj powiązania między osobą, której dane dotyczą, a administratorem, na przykład gdy osoba, której dane dotyczą, jest klientem administratora lub działa na jego rzecz. Jednakże aby stwierdzić istnienie prawnie uzasadnionego interesu, należałoby w każdym przypadku przeprowadzić dokładną ocenę, w tym ocenę tego, czy w czasie i w kontekście, w którym zbierane są dane osobowe, osoba, której dane dotyczą, ma rozsądne przesłanki by spodziewać się, że może nastąpić przetwarzanie danych w tym celu (vide motyw 47 zd. 1 – zd. 3 RODO).
Jak wskazała Europejska Rada Ochrony Danych Osobowych w opinii z 12 marca 2019 r. nr 5/2019, organy ochrony danych posiadają właściwość do przeprowadzenia kontroli podzbiorów przetwarzania podlegających przepisom krajowym transponującym dyrektywę o prywatności i łączności elektronicznej tylko wtedy, gdy prawo krajowe stanowi, że należy to do ich właściwości. Niemniej jednak sam fakt, iż podzbiór przetwarzania wchodzi w zakres dyrektywy o prywatności i łączności elektronicznej, nie ogranicza właściwości organów ochrony danych na podstawie RODO (vide ww. opinia, str. 22 i str. 26). Naruszenie przepisów RODO może również stanowić naruszenie krajowych przepisów dotyczących prywatności i łączności elektronicznej. Organ ochrony danych może uwzględnić to faktyczne stwierdzenie naruszenia przepisów dotyczących prywatności i łączności elektronicznej przy stosowaniu RODO, np. oceniając, czy przestrzegano zasady zgodności z prawem lub zasady rzetelności na podstawie art. 5 ust. 1 lit. a) RODO. Wszelkie decyzje w zakresie egzekwowania prawa muszą być jednak uzasadnione na podstawie RODO, chyba że w prawie państwa członkowskiego rozszerzono właściwość organu ochrony danych (vide ww. opinia, str. 24 i str. 26).
Podzielając powyższe stanowisko, należy podnieść, iż w świetle dookreślającego i precyzującego przepisy RODO art. 172 ust. 1 ustawy z dnia 16 lipca 2004 r. Prawo telekomunikacyjne (Dz. U. z 2024 r., poz. 34 ze zm.; dalej: "P.t."), zakazane jest używanie telekomunikacyjnych urządzeń końcowych i automatycznych systemów wywołujących dla celów marketingu bezpośredniego lub przesyłania niezamówionej informacji handlowej w rozumieniu ustawy z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną, chyba że abonent lub użytkownik końcowy uprzednio wyraził na to zgodę. Zgodnie zaś z art. 174 P.t., do uzyskania zgody abonenta lub użytkownika końcowego stosuje się przepisy o ochronie danych osobowych. Z kolei wedle motywu 32 zd. 1 RODO, zgoda powinna być wyrażona w drodze jednoznacznej, potwierdzającej czynności, która wyraża odnoszące się do określonej sytuacji dobrowolne, świadome i jednoznaczne przyzwolenie osoby, których dane dotyczą, na przetwarzanie dotyczących jej danych osobowych i która ma na przykład formę pisemnego (w tym elektronicznego) lub ustnego oświadczenia.
Na gruncie przedmiotowej sprawy nie można mówić o zgodzie uczestnika postępowania na przetwarzanie danych osobowych w zakresie numeru telefonu. W zawartej ze skarżącą umowie uczestnik postępowania nie podał danych osobowych w ww. zakresie, co oznacza, iż nie wyraził zgody na tę formę komunikacji. Wprawdzie przedmiotowy numer telefonu ujawnił spółce w terminie późniejszym, dzwoniąc na jej infolinię z prośbą o przyspieszenie terminu montażu licznika, ale takiego działania nie sposób uznać za zgodę na telefoniczną formę komunikacji ze spółką, zwłaszcza w celach marketingowych. W kontrolowanej sprawie skarżąca nie przedstawiła żadnego dowodu wskazującego na istnienie takiej zgody uczestnika postępowania. W szczególności nie stanowi zgody treść § 2 pkt 3 umowy z 29 grudnia 2016 r. ("Odbiorca wyraża zgodę na kontaktowanie się Sprzedawcy z Odbiorcą telefonicznie") przy jednoczesnym braku podania przez uczestnika postępowania jego numeru telefonu.
Podsumowując, PUODO trafnie stwierdził, że spółka przetwarzała dane osobowe uczestnika postępowania bez podstawy prawnej, przez co naruszyła art. 6 ust. 1 RODO. Nie została bowiem spełniona żadna z przesłanek ujętych w tym przepisie, w tym w lit. a), lit. b) czy lit. f).
W konsekwencji organ zasadnie skorzystał z uprawnienia naprawczego przewidzianego w art. 58 ust. 2 lit. b) RODO w postaci upomnienia.
Tutejszy Sąd nie dopatrzył się takich uchybień po stronie PUODO, które skutkowałyby koniecznością wyeliminowania zaskarżonej decyzji z obrotu prawnego.
W tym stanie rzeczy, na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2024 r., poz. 935), Wojewódzki Sąd Administracyjny w Warszawie orzekł jak w sentencji wyroku.