II SA/Wa 1265/22
Podsumowanie
Przejdź do pełnego tekstuSprawa dotyczyła skargi spółki na decyzję Prezesa Urzędu Ochrony Danych Osobowych (UODO), który udzielił spółce upomnienia za naruszenie RODO. Naruszenie polegało na przetwarzaniu numeru telefonu osoby fizycznej w celach marketingowych bez podstawy prawnej. Spółka twierdziła, że numer telefonu nie jest daną osobową, ponieważ nie pozwala na bezpośrednią identyfikację osoby, a jej działania nie są marketingiem bezpośrednim. Prezes UODO uznał, że numer telefonu jest daną osobową, ponieważ umożliwia pośrednią identyfikację, a działania spółki miały charakter marketingu bezpośredniego. Spółka pozyskała numery telefonów od podmiotu trzeciego w ramach umowy o udostępnienie pakietu danych. Po otrzymaniu żądania zaprzestania kontaktu i usunięcia danych, spółka usunęła numer, ale dopiero po 5 dniach roboczych. Wojewódzki Sąd Administracyjny w Warszawie oddalił skargę spółki, podzielając stanowisko Prezesa UODO. Sąd uznał, że numer telefonu komórkowego osoby fizycznej jest daną osobową, ponieważ stanowi "punkt kontaktowy" umożliwiający identyfikację i wywieranie wpływu na osobę. Sąd podkreślił, że przepisy RODO oraz dyrektywy o prywatności i łączności elektronicznej traktują numer telefonu jako daną osobową. Ponadto, sąd uznał działania spółki za marketing bezpośredni, ponieważ miały na celu wywołanie reakcji konsumenta w postaci udania się na pokaz i ewentualnego zakupu produktów, nawet jeśli spółka nie sprzedawała ich bezpośrednio. Brak zgody na marketing bezpośredni oznaczał naruszenie RODO. Sąd odrzucił argumenty spółki dotyczące likwidacji oddziału, wskazując na odpowiedzialność przedsiębiorcy zagranicznego.
Przeanalizuj tę sprawę w pełnym kontekście orzecznictwa.
Analiza orzecznictwa · odpowiedzi na pytania · badanie przepisów · drafting pism.
Wartość praktyczna
Siła precedensu: WysokaInterpretacja pojęcia danych osobowych w kontekście numeru telefonu, definicja marketingu bezpośredniego w świetle RODO i Prawa telekomunikacyjnego, odpowiedzialność przedsiębiorcy zagranicznego za działania oddziału.
Orzeczenie dotyczy konkretnego stanu faktycznego i interpretacji przepisów RODO oraz Prawa telekomunikacyjnego. Może być mniej bezpośrednio stosowalne w przypadkach, gdy numer telefonu jest powiązany z innymi danymi w sposób uniemożliwiający identyfikację.
Zagadnienia prawne (4)
Czy numer telefonu komórkowego osoby fizycznej stanowi daną osobową w rozumieniu RODO?Ratio decidendi
Odpowiedź sądu
Tak, numer telefonu komórkowego osoby fizycznej stanowi daną osobową, ponieważ umożliwia pośrednią identyfikację osoby i stanowi punkt kontaktowy.
Uzasadnienie
Sąd powołał się na definicję danych osobowych w RODO, motyw 26 RODO, przepisy Prawa telekomunikacyjnego oraz orzecznictwo TSUE i krajowych sądów administracyjnych, wskazując, że numer telefonu pozwala na kontakt z osobą i wywieranie na nią wpływu, co czyni ją możliwą do zidentyfikowania.
Czy działania spółki polegające na kontaktowaniu się z osobami w celu zaproszenia ich na pokazy produktów stanowią marketing bezpośredni w rozumieniu RODO?Ratio decidendi
Odpowiedź sądu
Tak, działania te stanowią marketing bezpośredni, ponieważ mają na celu wywołanie reakcji konsumenta w postaci udania się na pokaz i ewentualnego zakupu produktów.
Uzasadnienie
Sąd odwołał się do definicji marketingu bezpośredniego z rekomendacji Rady Europy oraz orzecznictwa, wskazując, że celem jest wywołanie reakcji konsumenta, a fakt, że spółka nie sprzedaje produktów bezpośrednio, nie zmienia charakteru tych działań.
Czy przetwarzanie numeru telefonu w celach marketingowych bez uprzedniej zgody osoby fizycznej narusza RODO?Ratio decidendi
Odpowiedź sądu
Tak, narusza RODO, jeśli nie ma podstawy prawnej, a w przypadku marketingu bezpośredniego, brak zgody oznacza naruszenie.
Uzasadnienie
Przetwarzanie danych osobowych do celów marketingu bezpośredniego jest dopuszczalne na podstawie art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes), ale tylko jeśli nie nadrzędne są interesy osoby. Brak zgody na marketing bezpośredni, zgodnie z art. 21 ust. 3 RODO i art. 172 Prawa telekomunikacyjnego, uniemożliwia takie przetwarzanie.
Czy przedsiębiorca zagraniczny działający przez oddział ponosi odpowiedzialność za decyzje administracyjne wydane wobec jego oddziału?Ratio decidendi
Odpowiedź sądu
Tak, przedsiębiorca zagraniczny ponosi odpowiedzialność, a decyzje wobec oddziału odnoszą skutek prawny wobec przedsiębiorcy.
Uzasadnienie
Sąd powołał się na orzecznictwo TSUE i WSA, zgodnie z którym oddział jest centrum operacyjnym przedsiębiorstwa macierzystego, a działania wobec oddziału mają bezpośredni skutek prawny dla przedsiębiorcy.
Przepisy (18)
Główne
RODO art. 6 § ust. 1
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych)
Przetwarzanie danych osobowych jest dopuszczalne, gdy administrator legitymuje się jedną z autonomicznych przesłanek. W sprawie istotny jest art. 6 ust. 1 lit. f) RODO – przetwarzanie niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, gdy nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą jest dzieckiem. Motyw 47 RODO dopuszcza możliwość prowadzenia marketingu bezpośredniego na podstawie prawnie uzasadnionych interesów administratora, ale interesy administratora muszą być nadrzędne wobec praw i wolności osób, których dane dotyczą.
RODO art. 4 § pkt 1
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych)
Dane osobowe oznaczają wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej ("osobie, której dane dotyczą"); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej.
RODO art. 17 § ust. 1 lit. d
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych)
Osoba, której dane dotyczą, ma prawo żądania od administratora niezwłocznego usunięcia dotyczących jej danych osobowych, a administrator ma obowiązek bez zbędnej zwłoki usunąć dane osobowe, jeżeli dane osobowe były przetwarzane niezgodnie z prawem.
RODO art. 21 § ust. 1-3
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych)
Osoba, której dane dotyczą, ma prawo w dowolnym momencie wnieść sprzeciw wobec przetwarzania dotyczących jej danych osobowych opartego na art. 6 ust. 1 lit. e) lub f) RODO. Jeżeli dane osobowe są przetwarzane na potrzeby marketingu bezpośredniego, osoba, której dane dotyczą, ma prawo w dowolnym momencie wnieść sprzeciw wobec przetwarzania dotyczących jej danych osobowych na potrzeby takiego marketingu. Jeżeli osoba, której dane dotyczą, wniesie sprzeciw wobec przetwarzania do celów marketingu bezpośredniego, danych osobowych nie wolno już przetwarzać do takich celów.
u.P.t. art. 169 § ust. 1 i 3
Ustawa z dnia 16 lipca 2004 r. Prawo telekomunikacyjne
Dane osobowe abonenta będącego osobą fizyczną zawarte w publicznie dostępnym spisie abonentów powinny być ograniczone do numeru abonenta, nazwiska i imion, nazwy miejscowości i ulicy. Zamieszczenie tych danych wymaga zgody abonenta.
u.P.t. art. 171 § ust. 2 i 3
Ustawa z dnia 16 lipca 2004 r. Prawo telekomunikacyjne
Dostawca usług telefonicznych jest obowiązany zapewnić abonentowi możliwość eliminacji prezentacji identyfikacji linii wywołującej i wywoływanej.
u.P.t. art. 172 § ust. 1
Ustawa z dnia 16 lipca 2004 r. Prawo telekomunikacyjne
Zakazane jest używanie telekomunikacyjnych urządzeń końcowych i automatycznych systemów wywołujących dla celów marketingu bezpośredniego, chyba że abonent lub użytkownik końcowy uprzednio wyraził na to zgodę.
Pomocnicze
RODO art. 4 § pkt 7
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych)
Administrator danych osobowych oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych.
RODO art. 58 § ust. 2 lit. b
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych)
Organ nadzorczy ma prawo nałożyć na administratora lub podmiot przetwarzający upomnienie.
u.o.d.o. art. 7 § ust. 1 i 2
Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych
k.p.a. art. 104 § § 1
Kodeks postępowania administracyjnego
u.ś.u.d.e. art. 2 § pkt 2
Ustawa z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną
u.P.t. art. 174
Ustawa z dnia 16 lipca 2004 r. Prawo telekomunikacyjne
Do uzyskania zgody abonenta lub użytkownika końcowego stosuje się przepisy o ochronie danych osobowych.
P.u.s.a. art. 1 § § 1 i 2
Ustawa z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych
P.p.s.a. art. 3 § § 2
Ustawa z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi
P.p.s.a. art. 151
Ustawa z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi
P.p.s.a. art. 134 § § 1
Ustawa z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi
P.p.s.a. art. 57a
Ustawa z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi
Argumenty
Skuteczne argumenty
Numer telefonu jest daną osobową. • Działania spółki stanowiły marketing bezpośredni. • Przetwarzanie danych osobowych bez podstawy prawnej narusza RODO. • Przedsiębiorca zagraniczny odpowiada za działania swojego oddziału.
Odrzucone argumenty
Numer telefonu nie jest daną osobową. • Działania spółki nie są marketingiem bezpośrednim. • Spółka nie przetwarzała danych osobowych. • Spółka nie była administratorem danych. • Brak podstawy prawnej do zastosowania RODO. • Spółka nie miała obowiązku usuwania danych. • Oddział spółki został zlikwidowany.
Godne uwagi sformułowania
numer telefonu stanowi "punkt kontaktowy", który umożliwia osobie trzeciej podjęcie inicjatywy kontaktu z osobą fizyczną • identyfikacja może nastąpić na podstawie np. nr tel., bo tożsamość osoby można ustalić bezpośrednio przez jej nazwisko lub pośrednio przez jej numer telefonu • przetwarzanie danych osobowych do celów marketingu bezpośredniego jest dopuszczalne na podstawie art. 6 ust. 1 lit. f RODO, ale tylko jeśli nie nadrzędne są interesy osoby
Skład orzekający
Ewa Radziszewska-Krupa
przewodniczący sprawozdawca
Joanna Kube
członek
Andrzej Góraj
członek
Informacje dodatkowe
Wartość precedensowa
Siła: Wysoka
Powoływalne dla: "Interpretacja pojęcia danych osobowych w kontekście numeru telefonu, definicja marketingu bezpośredniego w świetle RODO i Prawa telekomunikacyjnego, odpowiedzialność przedsiębiorcy zagranicznego za działania oddziału."
Ograniczenia: Orzeczenie dotyczy konkretnego stanu faktycznego i interpretacji przepisów RODO oraz Prawa telekomunikacyjnego. Może być mniej bezpośrednio stosowalne w przypadkach, gdy numer telefonu jest powiązany z innymi danymi w sposób uniemożliwiający identyfikację.
Wartość merytoryczna
Ocena: 7/10
Sprawa dotyczy powszechnego zagadnienia – czy numer telefonu to dane osobowe i czy można go używać do marketingu. Wyrok wyjaśnia kluczowe kwestie związane z RODO i prawem telekomunikacyjnym, co jest istotne dla wielu firm.
“Czy Twój numer telefonu to już dane osobowe? WSA wyjaśnia, kiedy marketing staje się nielegalny.”
Twój asystent do analizy prawnej.
Zadaj pytanie prawne, zleć analizę orzecznictwa i przepisów, lub poproś o projekt pisma — AI przeszuka 1,4 mln orzeczeń i aktualne akty prawne.
- Analiza orzecznictwa i przepisów
- Drafting pism i dokumentów
- Odpowiedzi na pytania prawne
- Pogłębiona analiza z doktryny
Pełny tekst orzeczenia
Oryginalna treść postanowienia (niezmieniona). Otwiera się jako osobna strona.