Pełny tekst orzeczenia II SA/Wa 1662/22

II SA/Wa 1662/22 - Wyrok WSA w Warszawie
Data orzeczenia
2023-05-05
orzeczenie prawomocne
Data wpływu
2022-09-16
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Sławomir Antoniuk /przewodniczący sprawozdawca/
Symbol z opisem
647 Sprawy związane z ochroną danych osobowych
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Sławomir Antoniuk, Sędzia WSA Piotr Borowiecki (spr.), Asesor WSA Arkadiusz Koziarski, Protokolant specjalista Elwira Sipak, po rozpoznaniu na rozprawie w dniu 28 kwietnia 2023 r. sprawy ze skargi E. Sp. z o.o. z siedzibą w Z. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] lipca 2022 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę Zdanie odrębne zgłosił Sędzia WSA Piotr Borowiecki
Uzasadnienie
Prezes Urzędu Ochrony Danych Osobowych (Prezes UODO) decyzją z dnia [...] lipca 2022 r. nr [...], na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. – Kodeks postępowania administracyjnego (Dz. U. z 2021 r. poz. 735) – zwanej dalej K.p.a., art. 6 ust. 1, art. 15 ust. 1 lit. g w. zw. z art. 12 ust. 1 oraz art. 58 ust. 2 lit. b rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. U. UE. L 119 z 4.05.2016, str. 1 oraz Dz. U. UE. L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L nr 74 z 4.03.2021, str. 35) – dalej jako: RODO:
1. udzielił E. Sp. z o. o. z siedzibą w [...] ([...]), działającej poprzez swój oddział w Polsce – E. Sp. z o. o., Oddział w Polsce z siedzibą w [...], upomnienia za naruszenie art. 6 ust. 1 RODO, polegające na przetwarzaniu danych osobowych I.L. w zakresie jej numeru telefonu bez podstawy prawnej w celach marketingowych;
2. udzielił E. Sp. z o. o. z siedzibą w [...] ([...]), działającej poprzez swój oddział w Polsce – E. Sp. z o. o., Oddział w Polsce z siedzibą w [...], upomnienia za naruszenie art. 15 ust. 1 lit. g w zw. z art. 12 ust. 1 RODO, polegające na niespełnieniu żądania I.L w zakresie prawa do informacji wynikającego z art. 15 ust. 1 lit. g RODO.
W uzasadnieniu rozstrzygnięcia organ wskazał, że do Urzędu Ochrony Danych Osobowych (UODO) wpłynęła skarga z dnia [...] czerwca 2016 r. I.L. (zwanej wnoszącą skargę lub uczestnikiem postępowania) na nieprawidłowości w przetwarzaniu jej danych osobowych przez E. Sp. z o.o. z siedzibą w [...] ([...]), działającą poprzez swój oddział w Polsce – E. Sp. z o.o., Oddział w Polsce z siedzibą w [...] (zwaną dalej: spółką lub stroną skarżącą). I.L. zarzuciła, że spółka przetwarza jej dane osobowe bez podstawy prawnej do celów marketingu bezpośredniego, nie wypełniła nadto obowiązku informacyjnego wynikającego z art. 15 ust. 1 lit. g RODO w zakresie informacji o źródle pozyskania jej danych osobowych oraz nie uwzględniła żądania usunięcia jej danych osobowych z bazy danych spółki.
I.L. wyjaśniła, że otrzymała na numer swojego telefonu komórkowego połączenie telefoniczne od spółki o charakterze marketingowym. W trakcie ww. rozmowy telefonicznej z pracownikiem spółki wnosząca skargę zażądała wskazania informacji na temat posiadania jej numeru telefonu przez spółkę.
W piśmie z dnia [...] października 2021 r. spółka oświadczyła, że numer telefonu I.L. należy do spółki, i został pozyskany na podstawie umowy o udostępnienie pakietu danych z dnia [...] lipca 2020 r. zawartej z P. Sp. z o.o. z siedzibą w miejscowości [...] ([...]).
Spółka wskazała nadto, że w ramach prowadzonej działalności w zakresie umawiania pokazów oraz prezentacji towarów oferowanych przez podmioty z branży sprzedaży bezpośredniej, wykonywała połączenia telefoniczne pod posiadane przez nią numery telefonów, jednakże bez przyporządkowanych do nich jakichkolwiek danych osobowych ich właścicieli lub użytkowników, do czasu ich ewentualnego podania drogą telefoniczną przez właściciela lub użytkownika telefonu, celem przesłania zaproszenia, voucher lub dalszych informacji. Nadto, w ocenie spółki, numer telefonu nie stanowi danych osobowych.
W piśmie z dnia [...] stycznia 2022 r. spółka podniosła, że posiadana przez nią baza numerów budowana jest w oparciu o numery telefonów, które spółka nabywa w pakietach danych od współpracującego z nią podmiotu. Numery telefonów wytypowane były w oparciu o kryterium geograficzne, co oznacza, zdaniem spółki, że udostępniane jej numery telefonów pochodziły z każdorazowo znanego konsultantowi obszaru geograficznego, na terenie którego organizowany był dany pokaz lub świadczona usługa. Jednak, jak podkreśliła spółka, nie była znana ich dokładna geolokalizacja.
Z wyjaśnień spółki wynika nadto, że nie udzieliła odpowiedzi na żądanie I.L. wyrażone w rozmowie telefonicznej, w zakresie informacji o źródle pozyskania jej numeru telefonu twierdząc, że w spółce obowiązują procedury, do których przestrzegania zobowiązani są także telemarketerzy, którzy wykonują połączenia według określonych wytycznych i przygotowanych skryptów. Spółka oświadczyła również, że wnosząca skargę nie wykazała żadnymi środkami dowodowymi, że z takim żądaniem do spółki się zwróciła. Spółka zaznaczyła nadto, że w trakcie rozmowy wskazywana jest klauzula informacyjna umożliwiająca kontakt z administratorem danych bądź inspektorem ochrony danych. Oświadczyła także, że nawet w przypadku skierowania takiego żądania do spółki, wykonanie powyższego byłoby niemożliwe z uwagi na to, że spółka nie dysponowała danymi osobowymi wnoszącej skargę na etapie prowadzonej rozmowy telefonicznej. Dodatkowo spółka wskazała, że odmowa podania przez wnoszącą skargę danych osobowych uniemożliwiła jej prawidłową identyfikację, co również powoduje brak możliwości ustalenia legitymacji uczestnika postępowania do złożenia wniosku na moment rozmowy, czego konsekwencją jest brak możliwości oceny ewentualnej zasadności wniosku oraz brak możliwości jego realizacji.
Spółka oświadczyła jednocześnie, że usunęła numer telefonu I.L. ze swojej bazy danych w dniu [...] września 2021 r., jednak nie miała możliwości poinformowania wnoszącej skargę o tym fakcie, ponieważ wnosząca skargę w trakcie rozmowy telefonicznej swoich danych osobowych spółce nie podała.
Spółka wyjaśniła, że nie udzieliła odpowiedzi na żądanie wnoszącej skargę w zakresie informacji o źródle pozyskania jej danych osobowych (numeru telefonu), ponieważ, w ocenie spółki, nie przetwarzała ona danych osobowych wnoszącej skargę oraz nie miała możliwości dokonania jej prawidłowej identyfikacji.
Spółka oświadczyła także, że dane osobowe wnoszącej skargę w zakresie imienia, nazwiska, adresu e-mail, adresu zamieszkania, numeru PESEL, numeru telefonu pozyskała w związku z prowadzonym przez Prezesa UODO postępowaniem administracyjnym oraz, że aktualnie przetwarza dane osobowe I.L. wyłącznie w związku z postępowaniem administracyjnym w celu wykonania ciążącego na niej obowiązku prawnego oraz w związku z obroną przed roszczeniami wnoszącej skargę.
Prezes UODO ustalił, że w dniu [...] czerwca 2022 r. w Krajowym Rejestrze Sądowym uprawomocnił się wpis stanowiący o wykreśleniu E. Sp. z o.o. Oddział w Polsce.
Powołując orzecznictwo Europejskiego Trybunału Sprawiedliwości Prezes UODO wskazał, że podmiotem praw i obowiązków wynikających z decyzji i jednocześnie uczestnikiem w postępowaniu administracyjnym jako strona jest przedsiębiorca zagraniczny, czyli spółka, działająca poprzez swój oddział w Polsce.
Odwołując się do opinii nr 4/2007 Grupy Roboczej ds. ochrony danych powołanej na mocy art. 29 Dyrektywy 95/46/WE Parlamentu Europejskiego i Rady WE, Prezes UODO stwierdził, że dysponując informacją w postaci numerów telefonu, spółka podejmowała działania nakierowane na identyfikację osób, w tym wnoszącą skargę. Zaznaczył też, że identyfikacja ta nie wymagała od spółki poniesienia nadmiernych kosztów bądź czasu, a ponadto przetwarzanie numeru telefonu służyło identyfikacji uczestnika postępowania, jako klienta dla podmiotów współpracujących ze spółką. Organ wyjaśnił, że w przedmiotowym postępowaniu niewątpliwie mamy do czynienia z pośrednią identyfikacją wnoszącej skargę poprzez jej numer telefonu. Dodatkowo, z zebranego materiału dowodowego wynika, że posiadane przez spółkę numery telefonu wytypowane były w oparciu o kryterium geograficzne, co oznacza, jak sama spółka przyznaje, że udostępnione numery telefonów pochodziły z każdorazowo znanego konsultantowi obszaru geograficznego, na terenie którego organizowany był pokaz lub świadczona usługa. Powyższe dodatkowe informacje w połączeniu z posiadanymi przez spółkę numerami telefonu stanowią dodatkowe kryterium indywidualizujące określoną osobę fizyczną.
Wobec powyższego Prezes UODO stanął na stanowisku, że w niniejszej sprawie numer telefonu wykorzystywany był w celu skontaktowania się z konkretną osobą tj. z posiadaczem tego numeru. Nie ma znaczenia przy tym uprzednie posiadanie informacji o imieniu i nazwisku osoby, ponieważ jest ona, w ocenie organu, już w chwili pozyskania numeru telefonu, identyfikowalna za pomocą tej danej. W konsekwencji prezes UODO przyjął, że przetwarzanie przez spółkę numeru telefonu wnoszącej skargę stanowi przetwarzanie jej danych osobowych.
Odnosząc się do podstaw prawnych przetwarzania przez spółkę danych osobowych wnoszącej skargę w zakresie jej numeru telefonu, Prezes UODO wskazał, że zgodnie z przepisami RODO przetwarzanie danych osobowych jest dopuszczalne wtedy, gdy administrator legitymuje się którąkolwiek z przesłanek, o których mowa w art. 6 ust. 1 RODO. Każda z przesłanek wymienionych w tym przepisie ma charakter autonomiczny i niezależny, co oznacza, że spełnienie co najmniej jednej z nich stanowi w danym przypadku o zgodnym z prawem przetwarzaniu danych osobowych.
Powołując treść art. 6 ust. 1 lit. f oraz motyw 47 RODO Prezes UODO podniósł, że dopuszczona jest możliwość prowadzenia marketingu bezpośredniego na podstawie prawnie uzasadnionych interesów administratora. Aby jednak wskazane przetwarzanie było dopuszczalne na podstawie art. 6 ust. 1 lit. f RODO interesy administratora danych muszą być nadrzędne wobec praw i wolności osób, których dane dotyczą. Uznaje się zatem, że powyższa przesłanka jest spełniona w przypadku, kiedy podmiot danych może oczekiwać przetwarzania dla tych celów - tj. między innymi w przypadku, w którym pomiędzy osobą a administratorem istnieje relacja prawna, np. strony wiąże umowa. Zdaniem organu, w sprawie nie było podstaw, na podstawie których wnosząca skargę mogła spodziewać się zarówno pozyskania, jak i przetwarzania jej danych osobowych dla celów marketingu bezpośredniego. Nie zachodziło bowiem żadne powiązanie pomiędzy uczestnikiem postępowania a spółką. W ocenie Prezesa UODO, spółka nie miała podstaw do pozyskania oraz następczo przetwarzania danych osobowych wnoszącej skargę. Sama umowa o udostępnienie pakietu danych nie jest bowiem przesłanką legalizującą proces przetwarzania. Organ wyjaśnił bowiem, że przetwarzanie danych osobowych dla celów marketingu bezpośredniego - co jak ustalono w toku postępowania miało miejsce w przedmiotowej sprawie - może odbywać się na podstawie zgody podmiotu danych. Spółka jednakże taką zgodą nie dysponowała, zatem Prezes UODO uznał interesy wnoszącej skargę za nadrzędne wobec interesu administratora i w związku z powyższym stwierdził, że pozyskując i przetwarzając jej dane spółka naruszyła art. 6 ust. 1 RODO. Wbrew bowiem twierdzeniom spółki wykonywanie do uczestnika postępowania przez spółkę połączeń telefonicznych, mających na celu zachęcenie do udziału w prezentacji towarów oferowanych przez podmioty zajmujące się sprzedażą bezpośrednią, stanowiły informacje o treści marketingowej.
Prezes UODO stwierdził nadto, że nie udzielając w trakcie rozmowy telefonicznej informacji o źródle pozyskania danej osobowej (numeru telefonu) wnoszącej skargę, spółka dopuściła się naruszenia art. 15 ust. 1 lit. g w zw. z art. 12 ust. 1 RODO. Jednak Prezes UODO uznał, że nie mógł nakazać spółce spełnienia żądania wnoszącej skargę, ponieważ żądanie to dotyczyć może jedynie danych, które istnieją w zasobach administratora, a spółka usunęła numer telefonu uczestnika postępowania ze swojej bazy danych w dniu [...] września 2021 r.
Prezes UODO wskazał także, że w art. 58 ust. 2 RODO zostały określone uprawnienia naprawcze, jakie przysługują organowi nadzorczemu (Prezesowi UODO) w trakcie prowadzenia postępowania z zakresu ochrony danych osobowych. Skoro poczynione w sprawie ustalenia faktyczne oraz prawne wykazały, że spółka pozyskała i przetwarzała dane osobowe wnoszącej skargę w zakresie jej numeru telefonu bez podstawy prawnej w celach marketingowych, to Prezes UODO na podstawie art. 58 ust. 2 lit. b RODO uznał za uzasadnione udzielenie spółce upomnienia w zakresie stwierdzonego naruszenia przepisów art. 6 ust. 1 RODO.
Prezes UODO stwierdził też, że spółka dokonała naruszenia przepisów o ochronie danych osobowych nie realizując żądania uczestnika postępowania w zakresie przysługującego prawa do informacji wynikającego z art. 15 ust. 1 lit. g RODO, w związku z czym udzielił spółce upomnienia w zakresie stwierdzonego naruszenia przepisów art. 15 ust. 1 lit. g w zw. z art. 12 ust. 1 RODO.
W dniu [...] sierpnia 2022 r. E. sp. z o.o. z siedzibą w [...], reprezentowana przez profesjonalnych pełnomocników, złożyła do Wojewódzkiego Sądu Administracyjnego w Warszawie, za pośrednictwem Prezesa UODO, skargę na decyzję Prezesa UODO z dnia [...] lipca 2022 r. nr [...] w przedmiocie przetwarzania danych osobowych, zarzucając decyzji:
1) naruszenie przepisów prawa materialnego, które miało wpływ na wynik sprawy tj.:
a) przepisu art. 4 pkt 1 RODO, poprzez błędne uznanie, że numer telefonu stanowi daną osobową umożliwiającą zidentyfikowanie osoby fizycznej, w sytuacji, w której numer telefonu nie jest informacją o charakterze osobowym, w zakres której wchodzą dane o cechach identyfikujących daną osobę, gdyż taki zbiór danych nie pozwala na ustalenie przez spółkę tożsamości osoby, która się nim posługuje i w żaden sposób nie wskazuje na personalia tej osoby;
b) przepisu art. 4 pkt 2 RODO, poprzez błędne uznanie, że spółka przetwarzała dane osobowe I.L. w sytuacji, w której jest brak możliwości przypisania spółce jakiejkolwiek roli w procesie przetwarzania danych osobowych w postaci wyłącznie numeru telefonu, w tym na potrzeby marketingu bezpośredniego, gdyż dane te nie stanowią danych osobowych w rozumieniu RODO;
c) przepisu art. 4 pkt 7 i pkt 8 RODO, poprzez błędne uznanie, że spółka pełniła rolę administratora danych osobowych lub podmiotu przetwarzającego w sytuacji, w której spółka ani samodzielnie, ani wspólnie z innymi podmiotami w ramach prowadzonej działalności gospodarczej, nie decydowała o celach i środkach przetwarzania danych osobowych, nie przetwarzała również danych osobowych I.L. w imieniu administratora;
d) przepisu art. 6 ust. 1 RODO, poprzez błędne zastosowanie tego przepisu i przyjęcie, że w niniejszej sprawie znajduje on zastosowanie, podczas gdy spółka nie przetwarza danych osobowych w rozumieniu RODO;
e) przepisu art. 11 ust. 1 RODO w zw. z motywem 57 RODO poprzez nieprawidłowe przyjęcie przez organ, że do czynności realizowanych przez spółkę, a objętych zaskarżoną decyzją zastosowanie znajduje RODO podczas, gdy w toku podejmowanych przez spółkę czynności objętych decyzją nie dochodzi do przetwarzania danych osobowych, w tym na potrzeby marketingu bezpośredniego, a spółka nie jest obowiązana do ich pozyskiwania wyłącznie w celu zastosowania RODO;
f) przepisu art. 15 ust. 1 lit. g w zw. z art. 12 ust. 1 RODO, poprzez błędne uznanie, że spółka dopuściła się odmowy realizacji żądania I.L. w zakresie informacji o źródle pozyskania danych osobowych, w sytuacji, w której:
– spółka nie była obowiązana do udzielenia takich informacji w związku z brakiem przetwarzania przez nią danych osobowych I.L. i niestosowaniem RODO do podejmowanych czynności,
– spółka nie przetwarzała danych osobowych I.L. bez podstawy prawnej w celach marketingowych,
– spółka nie pełniła roli administratora danych osobowych I.L.,
– spółka, pomimo braku obowiązku, udzieliła I.L. informacji o źródle pozyskania danych nieosobowych w postaci numeru telefonu.
g) przepisu art. 58 ust. 2 lit. b RODO, poprzez błędne uznanie, iż spółka pełniła rolę administratora danych lub podmiotu przetwarzającego, w sytuacji w której przywołany przepis przyznaje uprawnienie organowi nadzorczemu do udzielenia upomnień - wyłącznie administratorowi lub podmiotowi przetwarzającemu w przypadku naruszenia przepisów RODO przez operacje przetwarzania, co w opisanej sytuacji nie może mieć miejsca, z uwagi na brak pełnienia ww. ról przez spółkę.
2) naruszenie przepisów postępowania w sposób mający istotny wpływ na wynik sprawy, w szczególności:
a) art. 8 i art. 11 k.p.a., poprzez prowadzenie przedmiotowego postępowania w sposób niezgodny z zasadą przekonywania i pogłębiania zaufania do organów administracji, przejawiające się w:
– zaniechaniu pełnego uzasadnienia decyzji,
– nieustosunkowaniu się organu do podniesionych twierdzeń i dowodów spółki;
b) art. 7, art. 77 § 1 oraz art. 80 k.p.a. poprzez brak wszechstronnego i dogłębnego rozważenia wszystkich okoliczności faktycznych sprawy, wybiórcze gromadzenie i weryfikowanie dowodów, zastąpienie swobodnej oceny dowodów całkowitą dowolnością, a w konsekwencji przyznania I.L. racji w zakresie złożonej przez nią skargi do organu, w sytuacji w której:
– sam numer telefonu, bez innych danych umożliwiających ustalenie podmiotu danych, nie stanowi danej osobowej umożliwiającej zidentyfikowanie osoby fizycznej,
– spółka nie znajdowała się w posiadaniu danych osobowych I.L., tym samym nie przetwarzała danych osobowych dla celów marketingowych bez podstawy prawnej,
– spółka nie prowadzi działalności o charakterze marketingowym, w tym na potrzeby marketingu bezpośredniego,
– spółka nie pełniła roli administratora, współadministratora ani podmiotu przetwarzającego dane osobowe I.L. w rozumieniu art. 4 pkt 1 RODO,
– spółka nie pozyskiwała danych osobowych od innego podmiotu, pozyskała wyłącznie bazę danych, wśród której znajdował się wyłącznie numer telefonu,
– spółka pozyskuje dane osobowe wyłącznie od osoby, której dane dotyczą,
– celem kierowanych połączeń przez spółkę nie były działania nakierowane na identyfikację osób;
c) art. 6 i art. 7 k.p.a., poprzez prowadzenie przedmiotowego postępowania w sposób niezgodny z zasadami praworządności, demokratycznego państwa prawa oraz pewności prawa, przejawiające się:
– w braku odniesienia się przez organ do wszystkich zarzutów i twierdzeń podniesionych w pismach spółki kierowanych do organu,
– braku ponownego zbadania sprawy na skutek uzupełnienia stanowiska przez spółkę, w tym przedłożenia umów łączących spółkę z podmiotem udostępniającym bazę danych nieosobowych, zawierającą wyłącznie numery telefonu;
d) art. 14 w zw. z art. 107 k.p.a., poprzez ograniczenie uzasadnienia decyzji i nie odniesienie się do wszystkich twierdzeń spółki oraz dokumentów przedłożonych w toku postępowania;
e) art. 124 § 2 k.p.a., poprzez brak zawarcia w uzasadnieniu zaskarżonej decyzji uzasadnienia faktycznego obejmującego wskazanie faktów, które organ uznał za udowodnione, dowodów, na których się oparł oraz przyczyn, z powodu których innym dowodom odmówił wiarygodności i mocy dowodowej;
a w konsekwencji powyższych naruszeń:
3) błąd w ustaleniach faktycznych i nieuprawnione przyjęcie, że:
a. spółka nawiązała połączenie telefoniczne o charakterze marketingowym w sytuacji, w której spółka nie prowadzi działalności marketingowej i nie wykonuje połączeń o tym charakterze;
b. spółka przetwarzała dane osobowe w zakresie numeru telefonu I.L., bez podstawy prawnej w celach marketingowych w sytuacji, w której numer telefonu nie stanowi danych osobowych, a spółka nie przetwarza żadnych danych osobowych w celach marketingowych;
c. spółka nie wykonała ciążącego na niej obowiązku w przedmiocie realizacji żądania I.L. w zakresie informacji o źródle pozyskania danych osobowych, w sytuacji w której spółka nie była obowiązana do udzielenia takich informacji w związku z: brakiem przetwarzania przez nią danych osobowych I.L., niepełnieniem roli administratora jej danych osobowych i niestosowaniem przepisów RODO do podejmowanych czynności. Tym samym na spółce nie ciążył obowiązek informacyjny w tym zakresie;
d. spółka wykonywała połączenia telefoniczne mające na celu zachęcenie do skorzystania z usług oferowanych przez podmioty współpracujące ze spółką, które to informacje stanowiły treści marketingowe w sytuacji, w której spółka nie promuje określonego, konkretnego produktu, konkretnego podmiotu - beneficjenta czynności marketingowych, a także nie dokonuje sprzedaży produktów, ani nie oferuje takiej możliwości w trakcie bezpośredniego kontaktu z konsumentem.
Wobec tak postawionych zarzutów spółka wniosła: o uwzględnienie przez Prezesa UODO skargi w całości i uchylenie zaskarżonej decyzji – na podstawie przepisu art. 54 § 3 P.p.s.a., w przypadku braku dokonania samokontroli przez organ: o uchylenie w całości zaskarżonej decyzji Prezesa UODO na podstawie art. 145 § 1 pkt 1 lit. a i c i pkt 3 P.p.s.a. w związku z art. 135 P.p.s.a.; ewentualnie w razie stwierdzenia braku podstaw do uchylenia: o przekazanie sprawy organowi do ponownego rozpoznania.
Ponadto, na podstawie przepisu art. 200 P.p.s.a. i art 205 P.p.s.a. spółka wniosła o zasądzenie na rzecz spółki kosztów postępowania, w tym zwrotu kosztów zastępstwa procesowego i opłaty skarbowej od pełnomocnictwa, według norm przepisanych.
Uzasadniając złożoną skargę, spółka szczegółowo opisała ww. zarzuty.
W odpowiedzi na skargę Prezes UODO wniósł o oddalenie skargi, podtrzymując argumentację zawartą w zaskarżonej decyzji.
W obszernej replice datowanej na [...] października 2022 r. na odpowiedź organu na skargę spółka podtrzymała w całości dotychczasowe swoje stanowisko zajęte w skardze na decyzję Prezesa UODO oraz wniosła o jej uchylenie w całości, względnie o przekazanie sprawy do ponownego rozpoznania, w przypadku zaistnienia przesłanek. Wniosła nadto o nieuwzględnienie wniosku organu w przedmiocie oddalenia skargi.
Na rozprawie w dniu 28 kwietnia 2023 r. pełnomocnik strony skarżącej wniósł o stwierdzenie nieważności zaskarżonej decyzji jako skierowanej do podmiotu niebędącego stroną. Bowiem to nie skarżąca spółka powinna uzyskać ewentualną zgodę osoby, do której należy określony numer telefonu, lecz P. Sp. z o.o. z/s w [...], który to podmiot na podstawie postanowień stosownej umowy udostępnił stronie skarżącej pakiet danych zawierający m.in. sporny numer telefonu.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje.
Skarga nie zasługuje na uwzględnienie.
Wobec zarzutu strony skarżącej o skierowaniu decyzji Prezesa UODO do podmiotu niebędącego stroną w sprawie w pierwszej kolejności należy wskazać, iż zgodnie z art. 1 ust. 2 pkt 5 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (t.j. Dz. U. z 2019 r. poz. 1781) przedmiotowa ustawa określa postępowanie w sprawie naruszenia przepisów o ochronie danych osobowych odsyłając w art. 7 ust. 1 do stosowania przepisów Kodeku postępowania administracyjnego do postępowań administracyjnych prowadzonych przez Prezesa Urzędu Ochrony Danych Osobowych w sprawach nieuregulowanych w ustawie. Stronę postępowania definiuje art. 28 K.p.a. stanowiąc, iż jest nią każdy, czyjego interesu prawnego lub obowiązku dotyczy postępowanie albo kto żąda czynności organu ze względu na swój interes prawny lub obowiązek. Interes prawny jest zaś kategorią normatywną, mającą swe źródło w przepisach regulujących sposób załatwienia sprawy i stanowiących podstawę prawną jej rozstrzygnięcia, zarazem ściśle związaną z przedmiotem prowadzonego postępowania.
Analiza art. 58 ust. 1 i 2 RODO, prowadzi do wniosku, iż uprawnienia w zakresie prowadzenia postępowań przez organ nadzorczy są adresowane do administratora lub podmiotu przetwarzającego dane osobowe, zaś uprawnienia naprawcze kierowane są do administratora lub podmiotu przetwarzającego naruszającego przepisy rozporządzenia. Art. 4 pkt 7 RODO definiuje "administratora" jako m.in. osobę prawną, która samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych. Status administratora danych jest wyłącznie wynikiem podejmowania przez podmiot decyzji w zakresie określania celów i sposobów przetwarzania danych osobowych. Stan ten wynika z konieczności objęcia zakresem podmiotowym przepisów o ochronie danych osobowych wszystkich podmiotów, które faktycznie przetwarzają dane, nie zaś wyłącznie tych, które dysponują stosowanym upoważnieniem do wykonywania tych czynności (patrz P. Litwiński, Ogólne rozporządzenie o ochronie danych osobowych, Ustawa o ochronie danych osobowych, Wybrane przepisy sektorowe, Komentarz, Wydawnictwo C.H.BECK, str. 130). E. Spółka z o.o. z siedzibą w [...], w dacie rozpatrywania przez Prezesa UODO zasadności skargi I.L. posiadająca Odział Spółki w Polsce, niewątpliwie komunikując się telefonicznie poprzez swoich pracowników z określoną osobą, do której przypisany został numer abonencki i przedstawiając ofertę marketingu bezpośredniego decydowała o celu i sposobie wykorzystania danych identyfikujących abonenta. Z tej też przyczyny E. Spółka z o.o. należy uznać za administratora danych osobowych (przy założeniu, iż numer telefonu jest taką daną). Stronami postępowania przed organem nadzorczym jest niewątpliwie osoba fizyczna i podmiot (administrator danych lub podmiot przetwarzający), któremu zarzuca ona bezprawne przetwarzanie danych osobowych. Nie ma zatem istotnego znaczenia w niniejszej sprawie sposób pozyskania danych osobowych (samodzielnie, czy też od innego podmiotu na podstawie umowy, tutaj od P. Sp. z o.o. z/s w [...]), lecz zdolność do samodzielnego decydowania o celach i sposobie ich wykorzystania. Zatem skarżącą spółkę należy uznać za stronę postępowania w rozumieniu art. 28 K.p.a. i adresata decyzji wdrażającej środki naprawcze, co czyni zarzut wady kwalifikowanej zaskarżonej decyzji (art. 156 par. 1 pkt 4 K.p.a.) niezasadnym.
Kluczowe znaczenie dla oceny zasadności zarzutów skargi ma kwestia kwalifikacji dokonanej przez Prezesa UODO, że numer telefonu komórkowego I.L. stanowi danę osobową. O ile bowiem okazałoby się, że ustalenia organu w tym zakresie są błędne, niedopuszczalna byłaby ocena przetwarzania przez skarżącą
tej informacji pod względem zgodności z przepisami RODO.
Należy zatem zauważyć, że zgodnie z art. 4 pkt 1 RODO, dane osobowe oznaczają wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej ("osobie, której dane dotyczą"); możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować,
w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej.
Z motywu 26 RODO wynika natomiast, że zasady ochrony danych powinny mieć zastosowanie do wszelkich informacji o zidentyfikowanych lub możliwych
do zidentyfikowania osobach fizycznych. Spseudonimizowane dane osobowe, które przy użyciu dodatkowych informacji można przypisać osobie fizycznej, należy uznać
za informacje o możliwej do zidentyfikowania osobie fizycznej. Aby stwierdzić, czy dana osoba fizyczna jest możliwa do zidentyfikowania, należy wziąć pod uwagę wszelkie rozsądnie prawdopodobne sposoby (w tym wyodrębnienie wpisów dotyczących tej samej osoby), w stosunku do których istnieje uzasadnione prawdopodobieństwo, iż zostaną wykorzystane przez administratora lub inną osobę w celu bezpośredniego lub pośredniego zidentyfikowania osoby fizycznej. Aby stwierdzić, czy dany sposób może być z uzasadnionym prawdopodobieństwem wykorzystany do zidentyfikowania danej osoby, należy wziąć pod uwagę wszelkie obiektywne czynniki, takie jak koszt i czas potrzebne do jej zidentyfikowania oraz uwzględnić technologię dostępną w momencie przetwarzania danych, jak i postęp technologiczny. Zasady ochrony danych nie powinny więc mieć zastosowania do informacji anonimowych, czyli informacji, które nie wiążą się ze zidentyfikowaną lub możliwą do zidentyfikowania osobą fizyczną, ani do danych osobowych zanonimizowanych w taki sposób, że osób, których dane dotyczą, w ogóle nie można zidentyfikować lub już nie można zidentyfikować. RODO nie dotyczy więc przetwarzania anonimowych informacji, w tym przetwarzania do celów statystycznych lub naukowych.
Definicja danych osobowych w RODO nie różni się istotnie od definicji,
którą zawierał art. 2 lit. a dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Dz. U. UE. L. z 1995 r. Nr 281, str. 31 ze zm.), dalej powoływanej jako "dyrektywa 95/46/WE". Przepis ten stanowił bowiem, że dane osobowe oznaczają wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej ("osoby, której dane dotyczą"); osoba możliwa do zidentyfikowania to osoba, której tożsamość można ustalić bezpośrednio lub pośrednio, szczególnie przez powołanie się na numer identyfikacyjny lub jeden bądź kilka szczególnych czynników określających jej fizyczną, fizjologiczną, umysłową, ekonomiczną, kulturową lub społeczną tożsamość.
Z motywu 26 dyrektywy 95/46/WE wynikało natomiast, że zasady ochrony danych muszą odnosić się do wszelkich informacji dotyczących zidentyfikowanych
lub możliwych do zidentyfikowania osób; w celu ustalenia, czy daną osobę można zidentyfikować, należy wziąć pod uwagę wszystkie sposoby, jakimi może posłużyć
się administrator danych lub inna osoba w celu zidentyfikowania owej osoby; zasady ochrony danych nie mają zastosowania do danych, którym nadano anonimowy charakter w taki sposób, że podmiot danych nie będzie mógł być zidentyfikowany.
Dokładne porównanie art. 2 lit. a dyrektywy 95/46/WE z art. 4 pkt 1 RODO
oraz motywów 26 obu aktów pozwala dostrzec pewne różnice w ich treści. Może nawet sugerować, że w przypadku RODO prawodawca unijny zdecydował się wprowadzić nowy element – nieznany dyrektywie – w postaci "uzasadnionego prawdopodobieństwa", który subiektywizuje rozumienie określeń "zidentyfikowana"
i "możliwa do zidentyfikowania" w większym stopniu niż wynikało to z postanowień dyrektywy 95/46/WE. Różnice te są jednak pozorne.
Jak zaznacza w swym orzecznictwie Trybunał Sprawiedliwości (dalej "TS"),
akty prawa wspólnotowego są redagowane w wielu językach i różne wersje językowe są na równi autentyczne. Wykładnia przepisu prawa wspólnotowego wymaga zatem porównania poszczególnych wersji językowych. Konieczność jednolitej interpretacji
w celu jednolitego stosowania przepisu zakazuje jego rozpatrywania w układzie wyizolowanym i nakazuje jego interpretowanie w świetle wszystkich pozostałych wersji (zob. np. wyroki TS: z 6 października 1982 r. w sprawie 283/81 CILFIT,
z 20 października 2005 r. w sprawie C-247/04 Transport Maatschappij Traffic,
z 12 kwietnia 2005 r. w sprawie C-265/03 Simutenkov).
Uwzględniając powyższe, po pierwsze należy zauważyć, że jakkolwiek w polskiej wersji językowej RODO w art. 4 pkt 1 posłużono się sformułowaniem: osoba, którą można bezpośrednio lub pośrednio zidentyfikować, a w polskiej wersji językowej dyrektywy 95/46/WE w art. 2 lit. a użyto zwrotu: osoba, której tożsamość można ustalić bezpośrednio lub pośrednio, to w wersji angielskiej obu aktów zwrot ten brzmi: is one who can be identified, directly or indirectly. W wersji francuskiej w art. 4 pkt 1 RODO użyto sformułowania: une personne physique qui peut être identifiée, directement ou indirectement, a w art. 2 lit. a dyrektywy sformułowania: une personne qui peut être identifiée, directement ou indirectement. W wersji niemieckiej RODO użyto z kolei sformułowania: als identifizierbar wird eine natürliche Person angesehen, die direkt oder indirekt, (...) identifiziert werden kann, a wersji niemieckiej dyrektywy sfromułowania: als bestimmbar wird eine Person angesehen, die direkt oder indirekt identifiziert werden kann.
Po drugie należy zauważyć, że w świetle zd. 3 motywu 26 w polskiej wersji językowej RODO, aby stwierdzić, czy dana osoba fizyczna jest możliwa
do zidentyfikowania, należy wziąć pod uwagę wszelkie rozsądnie prawdopodobne sposoby (w tym wyodrębnienie wpisów dotyczących tej samej osoby), w stosunku do których istnieje uzasadnione prawdopodobieństwo, iż zostaną wykorzystane przez administratora lub inną osobę w celu bezpośredniego lub pośredniego zidentyfikowania osoby fizycznej. Wedle natomiast motywu 26 dyrektywy 95/46/WE, w celu ustalenia, czy daną osobę można zidentyfikować, należało wziąć pod uwagę wszystkie sposoby, jakimi może posłużyć się administrator danych lub inna osoba w celu zidentyfikowania owej osoby.
W wersji angielskiej RODO w motywie 26 posłużono się jednak następującym sformułowaniem (zd. 3 i zd. 4): To determine whether a natural person is identifiable, account should be taken of all the means reasonably likely to be used, such as singling out, either by the controller or by another person to identify the natural person directly or indirectly. To ascertain whether means are reasonably likely to be used to identify the natural person, account should be taken of all objective factors, such as the costs of and the amount of time required for identification, taking into consideration the available technology at the time of the processing and technological developments.
W wersji angielskiej dyrektywy użyto natomiast zwrotu: to determine whether a person is identifiable, account should be taken of all the means likely reasonably to be used either by the controller or by any other person to identify the said person.
W wersji francuskiej zd. 3 i zd. 4 motywu 26 brzmią następująco: Pour déterminer si une personne physique est identifiable, il convient de prendre en considération l'ensemble des moyens raisonnablement susceptibles d'être utilisés par le responsable du traitement ou par toute autre personne pour identifier la personne physique directement ou indirectement, tels que le ciblage. Pour établir si des moyens sont raisonnablement susceptibles d'être utilisés pour identifier une personne physique, il convient de prendre en considération l'ensemble des facteurs objectifs, tels que le coût de l'identification et le temps nécessaire à celle-ci, en tenant compte des technologies disponibles au moment du traitement et de l'évolution de celles-ci.
W motywie 26 dyrektywy w wersji francuskiej stwierdzono natomiast: pour déterminer si une personne est identifiable, il convient de considérer l'ensemble des moyens susceptibles d'être raisonnablement mis en oeuvre, soit par le responsable du traitement, soit par une autre personne, pour identifier ladite personne.
Wreszcie w wersji niemieckiej RODO zd. 3 i zd. 4 motywu 26 brzmią: Um festzustellen, ob eine natürliche Person identifizierbar ist, sollten alle Mittel berücksichtigt werden, die von dem Verantwortlichen oder einer anderen Person nach allgemeinem Ermessen wahrscheinlich genutzt werden, um die natürliche Person direkt oder indirekt zu identifizieren, wie beispielsweise das Aussondern. Bei der Feststellung, ob Mittel nach allgemeinem Ermessen wahrscheinlich zur Identifizierung der natürlichen Person genutzt werden, sollten alle objektiven Faktoren, wie die Kosten der Identifizierung und der dafür erforderliche Zeitaufwand, herangezogen werden, wobei die zum Zeitpunkt der Verarbeitung verfügbare Technologie und technologische Entwicklungen zu berücksichtigen sind. W wersji niemieckiej dyrektywy użyto natomiast sformułowania: Bei der Entscheidung, ob eine Person bestimmbar ist, sollten alle Mittel berücksichtigt werden, die vernünftigerweise entweder von dem Verantwortlichen für die Verarbeitung oder von einem Dritten eingesetzt werden könnten, um die betreffende Person zu bestimmen.
Wykładając zatem art. 4 pkt 1 w zw. z motywem 26 RODO zgodnie ze stawianym przez TS wymogiem porównania poszczególnych wersji językowych aktu prawnego UE, należy dojść do następujących wniosków.
Po pierwsze, sformułowania "osoba, którą można bezpośrednio lub pośrednio zidentyfikować" i "osoba, której tożsamość można ustalić bezpośrednio lub pośrednio", użyte odpowiednio w RODO i dyrektywie 95/46/WE, mają to samo znaczenie.
Po drugie, RODO w motywie 26 nie zawiera nowego elementu, nieznanego dyrektywie 95/46/WE, tj. "uzasadnionego prawdopodobieństwa". Zarówno w RODO,
jak i w dyrektywie posłużono się sformułowaniami równoznacznymi: account should be taken of all the means reasonably likely to be used (RODO) oraz account should be taken of all the means likely reasonably to be used (dyrektywa); il convient de prendre en considération l'ensemble des moyens raisonnablement susceptibles d'être utilizes (RODO) oraz il convient de considérer l'ensemble des moyens susceptibles d'être raisonnablement mis en oeuvre (dyrektywa); sollten alle Mittel berücksichtigt werden, (...) allgemeinem Ermessen wahrscheinlich genutzt werden, um die natürliche Person direkt oder indirekt zu identifizieren (RODO) oraz sollten alle Mittel berücksichtigt werden, die vernünftigerweise (...) eingesetzt werden könnten, um die betreffende Person zu bestimmen (dyrektywa).
"Uzasadnione", czy też "rozsądne" prawdopodobieństwo wykorzystania określonego sposobu identyfikacji osoby fizycznej było zatem także wymogiem uznania, że jest ona możliwa do zidentyfikowania, wynikającym z motywu 26 dyrektywy 95/46/WE. Odwołanie się do niego w motywie 26 RODO nie stanowi więc nowości normatywnej.
Po trzecie, jakkolwiek w polskiej wersji językowej w motywie 26 RODO posłużono się dwoma sformułowaniami, mianowicie "wszelkie rozsądnie prawdopodobne sposoby" oraz "sposoby (...), w stosunku do których istnieje uzasadnione prawdopodobieństwo, iż zostaną wykorzystane (...)", to w świetle porównania tej wersji z wersjami angielską, francuską i niemiecką, nie budzi wątpliwości, że oba te sformułowania oznaczają w istocie jeden wymóg, mianowicie rozsądnego (uzasadnionego) prawdopodobieństwa wykorzystania danego sposobu identyfikacji osoby fizycznej przez administratora lub inną osobę.
Po czwarte, zdanie 4 motywu 26, w którym posłużono się sformułowaniem
"czy dany sposób może być z uzasadnionym prawdopodobieństwem wykorzystany" odnosi się do wskazanych w zdaniu 3 "rozsądnie prawdopodobnych sposobów",
to znaczy do sposobów, "w stosunku do których istnieje uzasadnione prawdopodobieństwo, iż zostaną wykorzystane". Zdanie 4 zawiera wyłącznie wyjaśnienie, jak należy ustalać, czy określony sposób, którym może posłużyć się administrator lub inna osoba, jest rozsądnie prawdopodobny, a właściwie, czy rozsądnie prawdopodobne jest, że zostanie on wykorzystany.
Po piąte, kryteria podobne do zawartych w zdaniu 4 motywu 26 RODO TS wymienił w wydanym na tle przepisów dyrektywy 95/46/WE wyroku z 19 października 2016 r. w sprawie C-582/14 Breyer, w którym, odwołując się do pkt 68 opinii rzecznika generalnego w tej sprawie, zauważył, że nie będzie podstaw, by uznać określony sposób za rozsądnie prawdopodobny do wykorzystania w celu zidentyfikowania, jeśli identyfikacja osoby, której dane dotyczą, byłaby zakazana prawem lub niewykonalna w praktyce, przykładowo z powodu okoliczności, że wiąże się ona z nadmiernym nakładem czasu, kosztów i pracy ludzkiej, tak że ryzyko identyfikacji wydaje się w rzeczywistości znikome (zob. punkty 42 - 46 wyroku).
Po szóste zatem, z powyższych względów w ocenie Sądu, w stanie prawnym obowiązującym od 25 maja 2018 r. zachowują aktualność odwołujące się do definicji danych osobowych zawartej w art. 2 lit. a dyrektywy 95/46/WE w związku z motywem 26 tej dyrektywy, zarówno orzeczenia TS, jak i powołana w uzasadnieniu zaskarżonej decyzji Opinia nr 4/2007 Grupy Roboczej ds. ochrony danych, powołanej na mocy
art. 29 dyrektywy 95/46/WE, w sprawie pojęcia danych osobowych (20 czerwca 2007 r., 01248/07/PL, WP 136).
Prezes UODO trafnie zatem odwołał się w uzasadnieniu zaskarżonej decyzji do wzmiankowanej Opinii, natomiast Sąd podziela stanowisko wyrażone przez Grupę Roboczą, zgodnie z którym w przypadkach, gdy celem przetwarzania jest identyfikacja osób, można przypuszczać, że administratorzy lub inne zainteresowane osoby dysponują sposobami, jakimi można się posłużyć w celu zidentyfikowania osoby, której dane dotyczą także wtedy, gdy przetwarzają jedynie niekompletne informacje bez jakiejkolwiek wzmianki o nazwisku lub innym bezpośrednim czynniku identyfikującym. Przetwarzanie takich informacji ma bowiem sens tylko wtedy, gdy umożliwia zidentyfikowanie konkretnych osób i zastosowanie wobec nich określonego sposobu traktowania (str. 16 powołanej Opinii). Przywołana konstatacja zyskuje zdaniem Sądu na aktualności w świetle zd. 4 motywu 26 RODO, w którym wskazuje się na konieczność uwzględnienia m.in. technologii dostępnej w momencie przetwarzania danych, jak i postępu technologicznego.
Zawarta w art. 4 pkt 1 RODO definicja danych osobowych, podobnie jak
w dyrektywie 95/46/WE, opiera się na koncepcji "zidentyfikowania" lub "możliwości zidentyfikowania" osób, których dane dotyczą. Jakkolwiek art. 4 pkt 1 RODO wyjaśnia, jaką osobę należy uznać za "możliwą do zidentyfikowania", a motyw 26 RODO zawiera swoisty test "możliwości identyfikacji" osoby fizycznej, to przepisy RODO nie wyjaśniają wprost, co oznacza "identyfikacja". Określeniem niejednoznacznym jest zatem również "możliwość zidentyfikowania", czy "ustalenia tożsamości" (pojęcie zastosowane w polskiej wersji językowej dyrektywy 95/46/WE – przyp. Sądu).
Trafnego zdaniem Sądu podziału możliwych postaci identyfikacji dokonał Yves Poullet i jego zespół w opracowanym dla Komitetu Konsultacyjnego Rady Europy
ds. konwencji o ochronie osób, Sprawozdaniu na temat stosowania zasad ochrony danych w stosunku do ogólnoświatowych sieci telekomunikacyjnych (Strasbourg
2004 r., T-PD(2004)04 final). Według autorów (str. 30 powołanego dokumentu), koncepcja tożsamości może obejmować trzy różne aspekty: (1) cechy charakteryzujące osobę fizyczną dotyczące jej lub jej życia (np. imię i nazwisko, płeć, wiek, hobby, rodzina, pracodawca, kwalifikacje zawodowe, zakupy, etc.); (2) pewien "punkt zaczepienia" (np. identyfikator internetowy, numer klienta, sesyjny plik cookie),
który pozwala na powiązanie ze sobą kilku cech charakteryzujących daną osobę,
o których mowa w pkt 1 ("punkt zaczepienia" nie jest sam w sobie informacją o cechach danej osoby, niemniej stanowi "ślad" wskazujący miejsce, w którym są przechowywane takie informacje i pozwala je połączyć w sposób określający tożsamość danej osoby fizycznej); (3) "punkt kontaktowy", który umożliwia osobie trzeciej podjęcie inicjatywy kontaktu z osobą fizyczną (np. pocztą elektroniczną, pocztą, faksem, telefonicznie itp.).
Wymienione trzy aspekty tożsamości osoby fizycznej pozostają koncepcyjnie odrębne, chociaż mogą w praktyce współistnieć lub nawet się łączyć, czego przykładem jest adres zamieszkania osoby fizycznej (składający się z imienia i nazwiska, numeru ulicy i miejscowości). Łączy on w sobie co najmniej dwa z wyżej wymienionych aspektów tożsamości – jest informacją o miejscu pobytu osoby fizycznej, a także stanowi "punkt kontaktowy", ponieważ umożliwia każdemu wysłanie poczty do konkretnej osoby (zob. szerzej powołane Sprawozdanie – str. 30 i nast.).
W świetle powyższego nie budzi wątpliwości, że zidentyfikowanie osoby fizycznej nie musi polegać na określeniu jej imienia i nazwiska, a wystarczające jest oznaczenie danej osoby w sposób umożliwiający wywieranie na nią określonego wpływu (zob. Opinia Grupy Roboczej z 20 czerwca 2007 r. nr 4/2007; str. 14; zob. też D. Lubasz [w:] Ochrona Danych Osobowych [red.] D. Lubasz, Warszawa 2020 r., str. 81). Nie chodzi zatem o możliwość odniesienia konkretnej informacji do konkretnej osoby, lecz o możliwość wskazania danej osoby, rozumianego jako faktyczne wyodrębnienie jej spośród innych osób (zob. P. Litwiński [w:] Rozporządzenie UE w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych, Komentarz [red.] P. Litwiński, Warszawa 2018 r., str. 181).
Taką możliwość daje numer telefonu osoby fizycznej, także wtedy gdy podmiot, który jest w jego posiadaniu, nie dysponuje innymi danymi identyfikującymi tę osobę lub rozsądnie prawdopodobnym do wykorzystania sposobem uzyskania takich danych.
Jak wynika z art. 126 ust. 1 ustawy z dnia 16 lipca 2004 r. Prawo telekomunikacyjne (Dz. U. z 2021 r. poz. 576 ze zm. – stan prawny na dzień wydania zaskarżonej decyzji; dalej powołana jako "Prawo telekomunikacyjne" lub "P.t."),
Prezes UKE przydziela numerację zgodnie z planami numeracji krajowej dla sieci publicznych. Stosownie do treści art. 71 P.t., abonent będący stroną umowy z dostawcą usług, w której przydzielany jest abonentowi numer z planu numeracji krajowej dla publicznych sieci telekomunikacyjnych, może żądać przy zmianie dostawcy usług przeniesienia przydzielonego numeru do istniejącej sieci operatora na: 1) obszarze geograficznym - w przypadku numerów geograficznych; 2) terenie całego kraju - w przypadku numerów niegeograficznych. Jak z kolei wynika z art. 131 ust. 1 P.t., podmiot, który uzyskał przydział numeracji, może dokonać niezbędnej zmiany numeracji dla określonych obszarów swojej sieci publicznej lub zmiany indywidualnych numerów abonentów tej sieci, w przypadku zmiany przydziału zakresu numeracji albo przebudowy lub rozbudowy eksploatowanej sieci publicznej. W świetle art. 131 ust. 3 P.t., podmiot, który uzyskał przydział numeracji, jest obowiązany zawiadomić abonentów o planowanej zmianie ich indywidualnych numerów oraz o ich nowych numerach.
Powołane przepisy Prawa telekomunikacyjnego świadczą o ścisłym związku numeru telefonu z abonentem, a w przypadku, w którym umowa o świadczenie usług telekomunikacyjnych zawierana jest przez użytkownika końcowego, z tym użytkownikiem, gwarantując mu możliwość przeniesienia przydzielonego numeru przy zmianie dostawcy usług oraz chroniąc przed arbitralną zmianą przydzielonego numeru przez dostawcę usług. Można zakładać, że w wielu przypadkach numer telefonu jest związany z będącym osobą fizyczną abonentem silniej i przez dłuższy czas niż np. miejsce jego zamieszkania.
Numer telefonu osoby fizycznej stanowi zatem wspomniany wyżej "punkt kontaktowy", ponieważ umożliwia osobie trzeciej podjęcie inicjatywy kontaktu z osobą fizyczną, a w konsekwencji wywierania na nią określonego wpływu. Numer telefonu osoby fizycznej stanowi niepowtarzalną kombinację cyfr, która jest do tej osoby przypisana i odróżnia ją, po pierwsze od osób niekorzystających z usługi telekomunikacyjnej (połączeń telefonicznych), a po drugie, korzystających z innych numerów telefonów. Jest informacją na temat tej osoby, która umożliwia podmiotowi, który wejdzie w posiadanie numeru telefonu, kontakt z nią i skierowanie do niej określonej informacji (zarówno ustnej, jak i tekstowej). W realiach rozpoznanej sprawy nie budzi natomiast wątpliwości, że numer telefonu komórkowego I.L., jest numerem do niej przypisanym, z którego korzysta ona dla zaspokojenia własnych potrzeb. Jest zatem użytkownikiem końcowym, o którym mowa w art. 2
pkt 50 P.t.
Dodatkowych argumentów za uznaniem numeru telefonu osoby fizycznej za jej dane osobowe i to niezależnie od tego, czy podmiot, który jest w jego posiadaniu dysponuje innymi informacjami umożliwiającymi identyfikację tej osoby lub rozsądnie prawdopodobnym do wykorzystania sposobem uzyskania takich informacji, dostarczają przepisy Prawa telekomunikacyjnego implementujące dyrektywę 2002/58/WE Parlamentu Europejskiego i Rady z dnia 12 lipca 2002 r. dotyczącą przetwarzania danych osobowych i ochrony prywatności w sektorze łączności elektronicznej (dyrektywa o prywatności i łączności elektronicznej) (Dz. U. UE. L. z 2002 r. Nr 201, str. 37 ze zm.) (dalej powoływana jako "dyrektywa 2002/58").
Należy przy tym zaznaczyć, że zgodnie z art. 1 ust. 1 celem powołanej dyrektywy jest harmonizacja przepisów krajowych wymaganych do zapewnienia równoważnego poziomu ochrony podstawowych praw i wolności, w szczególności prawa do prywatności i poufności, w odniesieniu do przetwarzania danych osobowych w sektorze łączności elektronicznej oraz zapewnienie swobodnego przepływu we Wspólnocie tego typu danych oraz urządzeń i usług łączności elektronicznej. Stosownie natomiast do treści art. 1 ust. 2, przepisy dyrektywy 2002/58 dookreślają i uzupełniają dyrektywę 95/46/WE zgodnie z celami przedstawionymi w ust. 1. Ponadto zapewniają ochronę uzasadnionych interesów abonentów będących osobami prawnymi.
Z art. 94 ust. 1 i ust. 2 zd. 1 RODO wynika z kolei, że odesłania do dyrektywy 95/46/WE należy traktować jako odesłania do RODO. Jak przy tym zastrzeżono
w art. 95 RODO, nie nakłada ono dodatkowych obowiązków na osoby fizyczne ani prawne co do przetwarzania w związku ze świadczeniem ogólnodostępnych usług łączności elektronicznej w publicznych sieciach łączności w Unii w sprawach, w których podmioty te podlegają szczegółowym obowiązkom mającym ten sam cel określony w dyrektywie 2002/58/WE.
Dyrektywa 2002/58 stanowi zatem względem RODO regulację szczególną, dookreślając je i uzupełniając, natomiast art. 95 RODO zapobiega temu, by na administratorach nie spoczywały podobne, ale nie identyczne obciążenia administracyjne, spoczywające na nich mocą przepisów implementujących dyrektywę 2002/58, których cel jest ten sam, co cel RODO – ochrona danych osobowych
(zob. też Opinia Rady do Spraw Ochrony Danych Osobowych z 12 marca 2019 r.
nr 5/2019 w sprawie wzajemnej zależności między dyrektywą o prywatności i łączności elektronicznej a RODO, w szczególności w zakresie właściwości, zadań i uprawnień organów ochrony danych, str. 13 – str. 15).
Dyrektywa 2002/58 jest przykładem prawa zapewniającego szczególną ochronę określonych kategorii danych, które mogą być danymi osobowymi (zob. powołana wyżej Opinia; str. 23). Celem dyrektywy 2002/58 jest zatem ochrona prawa do prywatności i poufności, w odniesieniu do przetwarzania "danych osobowych", o których mowa w art. 4 pkt 1 RODO tyle tylko, że w sektorze łączności elektronicznej. Dyrektywa nie zawiera własnej definicji "danych osobowych", ponieważ dookreśla i uzupełnia przepisy aktu o charakterze ogólnym, w którym zdefiniowano to pojęcie. Należy zatem zakładać, że jeśli posługuje się ona pojęciem "danych osobowych" w odniesieniu do określonej informacji, to w sektorze łączności elektronicznej informacja ta traktowana jest przez prawodawcę unijnego jako "dane osobowe" w rozumieniu art. 4 pkt 1 RODO. Trzeba natomiast zdecydowanie podkreślić, że obejmujące sektor łączności elektronicznej prawa i obowiązki przewidziane w dyrektywie 2002/58 i określone w implementujących ją aktach prawa krajowego, kierowane są nie tylko do przedsiębiorców telekomunikacyjnych i odnoszą się nie tylko do relacji między przedsiębiorcami telekomunikacyjnymi a podmiotami korzystającymi z ich usług, ale także do relacji między tymi podmiotami.
Mając powyższe na względzie, należy zauważyć, że w świetle motywu 38 zd. 2 dyrektywy 2002/58, prawo do prywatności osób fizycznych i uzasadniony interes osób prawnych wymaga, aby abonenci mieli możliwość ustalenia, czy ich dane osobowe są publikowane w spisach abonentów, a jeśli tak, to które z nich. Dostawcy publicznych spisów abonentów powinni informować abonentów o umieszczeniu ich w tych spisach, o celach spisu i każdym możliwym wykorzystaniu wersji elektronicznej publicznych spisów abonentów, szczególnie przy pomocy dostępnej w oprogramowaniu funkcji wyszukiwania takiej jak wyszukiwanie zwrotne pozwalające użytkownikom spisu ustalenie nazwiska (nazwy) i adresu abonenta wyłącznie na podstawie numeru telefonu.
Stosownie natomiast do treści art. 12 ust. 2 w zw. z ust. 4 dyrektywy 2002/58, Państwa Członkowskie zapewniają, że abonenci będący osobami fizycznymi posiadają możliwość ustalenia, czy ich dane osobowe znajdują się w publicznym spisie abonentów, a jeżeli tak, to które, w zakresie, w jakim te dane są niezbędne do celu spisu abonentów określonego przez dostawcę spisu abonentów i sprawdzania, poprawiania lub wycofywania tych danych (...).
Przepis art. 12 dyrektywy 2002/58 został implementowany do krajowego porządku prawnego przez art. 169 Prawa telekomunikacyjnego, który w ust. 1 stanowi, że dane osobowe posiadane przez przedsiębiorcę telekomunikacyjnego zawarte w publicznie dostępnym spisie abonentów, (...) wydawanym w formie książkowej lub elektronicznej, a także udostępniane za pośrednictwem służb informacyjnych przedsiębiorcy telekomunikacyjnego powinny być ograniczone do: 1) numeru abonenta lub znaku identyfikującego abonenta; 2) nazwiska i imion abonenta; 3) nazwy miejscowości oraz ulicy w miejscu zamieszkania, przy której znajduje się zakończenie sieci, udostępnione abonentowi - w przypadku stacjonarnej publicznej sieci telekomunikacyjnej albo nazwy miejscowości oraz ulicy w miejscu zamieszkania - w przypadku ruchomej publicznej sieci telekomunikacyjnej. Jak wynika z art. 169 ust. 3 P.t., zamieszczenie w spisie danych identyfikujących abonenta będącego osobą fizyczną może nastąpić wyłącznie po uprzednim wyrażeniu przez niego zgody na dokonanie tych czynności.
Powołane przepisy dyrektywy 2002/58 oraz Prawa telekomunikacyjnego (zawarte w dziale VII Tajemnica telekomunikacyjna i ochrona danych użytkowników końcowych) jednoznacznie wskazują na to, że numer abonenta będącego osobą fizyczną (lub znak identyfikujący abonenta) stanowi obok (a nie tylko łącznie z) nazwiska i imion oraz nazwy miejscowości i ulicy w miejscu zamieszkania – danę osobową tego abonenta, w stosunku do której – kierując się ochroną prawa
do prywatności i poufności - pozostawiono mu decyzję o tym, czy chce by znalazła się w spisie abonentów.
Kwalifikację numeru telefonu osoby fizycznej jako danej osobowej potwierdza też brzmienie projektu rozporządzenia Parlamentu Europejskiego i Rady w sprawie poszanowania życia prywatnego oraz ochrony danych osobowych w łączności elektronicznej i uchylającego dyrektywę 2002/58/WE (rozporządzenie w sprawie prywatności i łączności elektronicznej) [Bruksela, 2017 r.; COM(2017) 10 final 2017/0003 (COD)], w którym (motyw 31) numer telefonu literalnie wymieniono wśród kategorii danych osobowych zamieszczanych w spisie numerów: Jeżeli użytkownicy końcowi będący osobami fizycznymi udzielają zgody na umieszczenie swoich danych w takich spisach numerów, powinni móc określić, w formie zgody, jakie kategorie danych osobowych mają być zamieszczone w spisie numerów (na przykład imię i nazwisko, adres e-mail, adres domowy, nazwa użytkownika, numer telefonu) (...).
Przypominając, że celem dyrektywy 2002/58 jest zapewnienie równoważnego poziomu ochrony podstawowych praw i wolności, w szczególności prawa
do prywatności i poufności, w odniesieniu do przetwarzania danych osobowych
w sektorze łączności elektronicznej, należy ponadto zauważyć, że w świetle motywu 34 tej dyrektywy, konieczna jest, w odniesieniu do identyfikacji rozmów przychodzących, ochrona prawa strony wybierającej do niedopuszczenia do wyświetlania identyfikacji numeru linii wywołującej, z której wychodzi połączenie oraz prawa strony, do której połączenie przychodzi do odrzucenia rozmowy z niezidentyfikowanych linii (zd. 1). W odniesieniu do identyfikacji rozmów wychodzących, konieczna jest ochrona prawa i uzasadnionego interesu strony wybieranej do wstrzymania wyświetlania identyfikacji numeru, z którym strona wybierająca jest aktualnie połączona, w szczególności w przypadkach połączeń przekazywanych (zd. 4). Dostawcy publicznie dostępnych usług łączności elektronicznej powinni informować swoich abonentów o istnieniu w sieci identyfikacji rozmów wychodzących i przychodzących, jak również o wszystkich oferowanych usługach związanych z identyfikacją rozmów wychodzących
i przychodzących oraz o możliwych opcjach ochrony prywatności (zd. 5.). Pozwoli to abonentom na podejmowanie świadomego wyboru w sprawie rodzajów możliwości ochrony prywatności, z których chcą skorzystać (zd. 6).
Konkretyzację motywu 34 stanowi art. 8 dyrektywy 2002/58. Przewiduje on
w szczególności, że (1) w przypadku gdy oferowane jest wyświetlanie identyfikacji rozmów przychodzących dostawca usług musi zaoferować użytkownikowi wybierającemu, w sposób prosty i wolny od opłat, zablokowanie wyświetlania identyfikacji rozmów przychodzących przy poszczególnych połączeniach telefonicznych. Abonent wybierający musi mieć taką możliwość w odniesieniu do każdej linii (art. 8 ust. 1); a także że (2) w przypadku gdy oferowane jest wyświetlanie identyfikacji rozmów wychodzących, dostawca usług musi zaoferować abonentowi wybieranemu, w sposób prosty i wolny od opłat, zablokowanie wyświetlania identyfikacji rozmów wychodzących u użytkownika wybierającego (art. 8 ust. 4).
Przepisy art. 8 dyrektywy 2002/58 zostały implementowane do krajowego porządku prawnego przez art. 171 Prawa telekomunikacyjnego, który w ust. 2 stanowi, że dostawca publicznie dostępnych usług telefonicznych świadczonych w publicznej sieci telekomunikacyjnej umożliwiającej prezentację identyfikacji linii wywołującej jest obowiązany zapewnić za pomocą prostych środków: 1) użytkownikowi wywołującemu - możliwość jednorazowego wyeliminowania prezentacji identyfikacji linii wywołującej u użytkownika wywoływanego podczas wywołania i połączenia; 2) abonentowi wywołującemu - możliwość stałego wyeliminowania prezentacji identyfikacji linii wywołującej u użytkownika wywoływanego podczas wywołania i połączenia,
u operatora, do którego sieci jest przyłączony abonent będący stroną umowy
z dostawcą usług; 3) abonentowi wywoływanemu - możliwość eliminacji dla połączeń przychodzących prezentacji identyfikacji linii wywołującej, a jeżeli taka prezentacja jest dostępna przed rozpoczęciem połączenia przychodzącego, także możliwość blokady połączeń przychodzących od abonenta lub użytkownika stosującego eliminację prezentacji identyfikacji linii wywołującej. Jak z kolei wynika z art. 171 ust. 3 P.t., dostawca publicznie dostępnych usług telefonicznych świadczonych w publicznej sieci telekomunikacyjnej zapewniającej prezentację identyfikacji linii wywoływanej, jest obowiązany zapewnić abonentowi wywoływanemu możliwość eliminacji, za pomocą prostych środków, prezentacji identyfikacji linii wywoływanej u użytkownika wywołującego.
Powołane przepisy dyrektywy 2002/58 oraz Prawa telekomunikacyjnego (zawarte w dziale VII "Tajemnica telekomunikacyjna i ochrona danych użytkowników końcowych") potwierdzają, że numer telefonu – jako taki - podlega ochronie z uwagi
na prawo do prywatności i poufności. Należy przy tym zaznaczyć, że możliwość wyeliminowania prezentacji numeru (linii wywołującej) gwarantowana jest nie tylko abonentowi, ale także użytkownikowi wywołującemu. Prawo do eliminacji prezentacji numeru jest też w świetle powołanych przepisów niezależne od tego, czy dochodzi
do nawiązania połączenia, które pozwala na uzyskanie dodatkowych danych identyfikujących, czy jedynie do wywoływania połączenia. Stanowi to kolejny argument za przyjęciem, że numer telefonu osoby fizycznej sam w sobie stanowi informację o osobie możliwej do zidentyfikowania i podlega przepisom o ochronie danych osobowych bez względu na to, czy podmiot, który jest w jego posiadaniu, dysponuje innymi danymi identyfikującymi tę osobę lub rozsądnie prawdopodobnym
do wykorzystania sposobem uzyskania takich danych (motyw 26 RODO).
Numer telefonu komórkowego użytkownika końcowego będącego osobą fizyczną, jakim jest ciąg cyfr przyporządkowanych do I.L. definiuje tego użytkownika, jako osobę korzystającą dla zaspokojenia własnych potrzeb z usług telekomunikacyjnych przypisanych do tego numeru, w tym z podstawowej usługi połączeń telefonicznych, a zatem umożliwia jego zidentyfikowanie poprzez nawiązanie z nim kontaktu w określonym celu i wywieranie na niego określonego wpływu.
Zastrzegając, że przedmiotem oceny Prezesa UODO w przedmiotowej sprawie nie było (bo nie leży to w jego kompetencji) naruszenie przez skarżącą spółę art. 24 ust. 1 i ust. 2 ustawy z dnia 16 lutego 2007 r. o ochronie konkurencji i konsumentów (Dz. U. z 2021 r. poz. 275 ze zm.) w zw. z art. 172 ust. 1 P.t., należy zauważyć, że na identyfikujący ("definiujący odbiorcę") charakter numeru telefonu komórkowego zwrócił uwagę Sąd Najwyższy w uchwale z 17 lutego 2016 r. sygn. akt III SZP 7/15, (OSNP z 2016 r. nr 8, poz. 111), w której przedmiotem rozważań było m.in. wykorzystanie automatycznych systemów wywołujących dla celów marketingu bezpośredniego. Jak stwierdził Sąd Najwyższy, w okolicznościach sprawy będącej przedmiotem rozpoznania, zleceniodawca (przedsiębiorca telekomunikacyjny – przyp. Sądu) wskazywał zleceniobiorcy (firmie niebędącej takim przedsiębiorcą – przyp. Sądu) automatyczny system wybierania, jako narzędzie kierowania komunikatów marketingu bezpośredniego "do zdefiniowanego przez niego za pomocą numeru telefonu odbiorcy, co powoduje, że posługuje się on ASW (a zatem używa go w rozumieniu art. 172 ust. 1 PT) dla celów marketingu bezpośredniego". W uzasadnieniu powołanej uchwały Sąd Najwyższy odwołał się także do wymienionych wyżej celów dyrektywy 2002/58, dostrzegając z jednej strony znaczenie prawa do prywatności, a z drugiej uciążliwość form komunikacji marketingowej wymienionych w art. 172 ust. 1 P.t. dla użytkowników telefonii komórkowej.
Do kwestii wykonywania niechcianych połączeń telefonicznych do przypadkowo wybieranych osób fizycznych trafnie zdaniem Sądu odniósł się także Sąd Okręgowy w [...] w uzasadnieniu wyroku z [...] grudnia 2020 r. sygn. akt [...]. Sąd ten nie podzielił stanowiska wyrażonego w wyroku Sądu Rejonowego dla [...] z [...] kwietnia 2016 r. sygn. akt [...] (od którego apelację oddalono wyrokiem Sądu Okręgowego [...] w [...] z [...] stycznia 2019 r. sygn. akt [...] – niepublikowany; dostępny LEX nr [...]), w którym wyrażono pogląd, że wykorzystywany samodzielnie anonimowo ciąg cyfr stanowiący numer telefoniczny nie może stanowić danej osobowej, gdyż nie pozwala on na identyfikację abonenta.
Wyrok Sądu Okręgowego w [...] z [...] grudnia 2020 r., podobnie jak powołana wyżej uchwała Sądu Najwyższego z 17 lutego 2016 r., został wydany
w sprawie praktyki naruszającej zbiorowe interesy konsumentów, niemniej
w okolicznościach tej sprawy, podobnie jak w okolicznościach sprawy zakończonej zaskarżoną decyzją PUODO, dochodziło do wykonywania połączeń telefonicznych
na losowo wybierane numery telefonów osób fizycznych m.in. w celu zapraszania
na spotkania i pokazy produktów. Co natomiast istotne, nie podzielając stanowiska wyrażonego w powołanym wyżej wyroku Sądu Rejonowego dla [...] z [...] kwietnia 2016 r., Sąd Okręgowy w [...] odwołał się do
art. 1 ust. 1 oraz do motywu 40 dyrektywy 2002/58, zaznaczając w szczególności,
że ma ona na celu harmonizację przepisów krajowych wymaganych do zapewnienia równoważnego poziomu ochrony podstawowych praw i wolności, w szczególności prawa do prywatności i poufności, w odniesieniu do przetwarzania danych osobowych w sektorze łączności elektronicznej, a także, że należy zapewnić środki zabezpieczające abonentów przed ingerencją w ich prywatność przez niezamówione komunikaty do celów marketingu bezpośredniego. Sąd Okręgowy stwierdził,
że kontaktowanie się z abonentem w celu uzyskania zgody na kontakt w celu marketingowym jest naruszeniem prawa do prywatności abonenta zmierzającym
do uzyskania zgody, której konsekwencją będzie możliwość przedstawienia oferty/informacji marketingowych przez przedsiębiorcę. Sąd trafnie skonstatował,
że przyjęcie stanowiska prezentowanego przez Sąd Rejonowy dla [...] w [...] prowadziłoby do obchodzenia przez przedsiębiorców zakazu wyrażonego w art. 172 P.t., a tym samym uczynienia go martwym. Przedsiębiorca mógłby bowiem niepokoić konsumenta takimi kontaktami/zapytaniami bez ograniczeń, nawet jeśli we wcześniejszej rozmowie konsument nie wyraził zgody na taki kontakt, gdyż za każdym razem tłumaczyłby się, że kontaktuje się z abonentem jedynie w celu uzyskania zgody na marketing bezpośredni, a nie w celu marketingu bezpośredniego w rozumieniu Prawa telekomunikacyjnego.
Z poczynionym już wyżej zastrzeżeniem, że w niniejszej sprawie nie oceniano, czy skarżąca spółka dopuściła się praktyki naruszającej zbiorowe interesy konsumentów, należy stwierdzić, że powołane wyżej orzeczenia Sądu Najwyższego i Sądu Okręgowego w [...] potwierdzają wniosek, iż przetwarzanie informacji o osobie fizycznej w postaci numeru telefonu, z którego korzysta, a co za tym idzie,
który umożliwia skontaktowanie się z nią, stanowi przetwarzanie danych osobowych tej osoby fizycznej, niezależnie od tego, czy dysponujący tą informacją podmiot posiada także inne dane pozwalające zidentyfikować tę osobę lub dysponuje środkami, które z uzasadnionym prawdopodobieństwem mogą być wykorzystane w celu uzyskania takich informacji. Nie chodzi tu bowiem o skontaktowanie się w celu uzyskania dodatkowych danych identyfikujących, lecz o sam kontakt, który per se narusza chronione tak dyrektywą 2002/58, jak i RODO, prawo do prywatności osoby fizycznej zawarowane w art. 7 Karty praw podstawowych Unii Europejskiej (Dz. U. UE. C. z 2007 r. Nr 303, str. 1 ze zm.), a na poziomie krajowym w art. 47 Konstytucji Rzeczypospolitej Polskiej. Do takiego wniosku prowadzi w ocenie Sądu wykładnia
art. 4 pkt 1 w zw. z motywem 26 RODO w związku z powołanymi wyżej przepisami dyrektywy 2002/58. Jak już podniesiono, oba te akty prawne odnoszą się do tego samego obszaru stosunków społecznych, tj. przetwarzania danych osobowych i oba mają na celu w szczególności ochronę osób fizycznych w związku z przetwarzaniem danych osobowych, przy czym drugi z nich dookreśla i uzupełnia pierwszy w sektorze łączności elektronicznej, a określając prawa i obowiązki podmiotów należących do tego sektora, kształtuje też relacje między podmiotami spoza niego (zob. np. powołany wyżej art. 8 dyrektywy 2002/58). Z uwzględnieniem tej funkcji dyrektywy 2002/58 należy wykładać zawarte w niej normy w związku z ogólnymi regulacjami RODO. Tak rozumiana relacja między RODO a dyrektywą 2002/58 prowadzi do wniosku, że zbieranie i przechowywanie numerów telefonów osób fizycznych, w tym numeru telefonu komórkowego uczestnika postępowania, a następnie wykorzystywanie ich w celu nawiązania połączenia, stanowi przetwarzanie danych osobowych tych osób w rozumieniu art. 4 pkt 2 RODO.
Nawet jednak przy założeniu, że sam numer telefonu nie pozwala na zidentyfikowanie osoby fizycznej, do której należy, w ocenie Sądu należałoby przyjąć, że stanowi on dane osobowe I.L..
We wstępnej części wyjaśnienia podstawy prawnej wyroku podano powody,
z których aktualne na gruncie przepisów RODO pozostają, odwołujące się do definicji danych osobowych zawartej w art. 2 lit. a dyrektywy 95/46/WE w związku z motywem 26 tej dyrektywy, orzeczenia TS, jak i powołana w uzasadnieniu zaskarżonej decyzji Opinia nr 4/2007 Grupy Roboczej w sprawie pojęcia danych osobowych. Podzielono też argumentację Grupy Roboczej, zaznaczając, że zyskuje ona na aktualności w świetle zd. 4 motywu 26 RODO, gdzie wskazuje się na konieczność uwzględnienia
m.in. technologii dostępnej w momencie przetwarzania danych, jak i postępu technologicznego.
Uwzględniając powyższe, należy zauważyć, że z powołanego wyżej wyroku TS z 19 października 2016 r. w sprawie C-582/14 Breyer wynika, że: (1) by określone dane mogły zostać uznane za "dane osobowe", nie jest wymagane, by wszystkie informacje umożliwiające identyfikację osoby, której dane dotyczą, musiały znajdować się w posiadaniu tylko jednej osoby (zob. pkt 43 wyroku); (2) należy jednak ustalić, czy możliwość połączenia tych danych z owymi dodatkowymi informacjami będącymi w posiadaniu innego podmiotu stanowi sposób, który może być z uzasadnionym prawdopodobieństwem wykorzystany (zob. pkt 45 wyroku); (3) nie miałoby to miejsca w przypadku, gdyby identyfikacja osoby, której dane dotyczą, była zakazana prawem lub niewykonalna w praktyce, przykładowo z powodu okoliczności, że wiąże się z nadmiernym nakładem czasu, kosztów i pracy ludzkiej, tak że ryzyko identyfikacji wydaje się w rzeczywistości znikome.
Uwzględniając powyższe, w ocenie Sądu należy stwierdzić, że uwzględniając obowiązujące przepisy, a także dostępne obecnie technologie i postęp technologiczny, nie ma podstaw, by przyjąć, iż w okolicznościach przedmiotowej sprawy ryzyko uzyskania przez podmiot dysponujący numerem telefonu osoby fizycznej dodatkowych danych ją identyfikujących było w rzeczywistości znikome.
Po pierwsze, należy zaznaczyć, że szanse uzyskania dodatkowych danych identyfikujących w przypadku dysponowania numerem telefonu są zdecydowanie większe niż w przypadku dysponowania numerem IP, a zwłaszcza numerem dynamicznym, który był przedmiotem rozważań TS w wyroku w sprawie C-582/14. Wynika to z faktu, że numer IP jest przypisany nie do osoby, jak numer telefonu
do abonenta będącego osobą fizyczną, a w przypadku abonenta będącego użytkownikiem końcowym, do użytkownika końcowego, lecz do urządzenia, a ściślej rzecz ujmując, do zakończenia sieci. Adres IP może być zatem kwalifikowany jako "punkt zaczepienia", wyróżniony w powołanym wyżej Sprawozdaniu na temat stosowania zasad ochrony danych osobowych w stosunku do ogólnoświatowych sieci telekomunikacyjnych.
Po drugie, należy zauważyć, że z przepisów Prawa telekomunikacyjnego wynika obowiązek zapewnienia w ramach usługi powszechnej ogólnokrajowej informacji o numerach telefonicznych oraz ogólnokrajowego spisu abonentów (art. 81 ust. 3 pkt 4i pkt 5 P.t.). W świetle natomiast powołanego już art. 169 ust. 1 P.t., dane osobowe zawarte w publicznie dostępnym spisie abonentów, a także udostępniane
za pośrednictwem służb informacyjnych przedsiębiorcy telekomunikacyjnego mogą obejmować: 1) numer abonenta lub znak identyfikujący abonenta; 2) nazwisko i imiona abonenta; 3) nazwę miejscowości oraz ulicy w miejscu zamieszkania. Zamieszczenie w spisie danych identyfikujących abonenta będącego osobą fizyczną może oczywiście nastąpić wyłącznie po uprzednim wyrażeniu przez niego zgody na dokonanie tych czynności (art. 169 ust. 3 P.t.). Nie zmienia to jednak faktu, że w przypadku wyrażenia takiej zgody i zamieszczenia innych niż numer telefonu, wyżej wymienionych danych osobowych w spisie, podmiot, który dysponuje numerem telefonu ma możliwość uzyskania tych informacji.
Ponadto, jakkolwiek wykorzystanie tego typu środków przez skarżącą spółkę w świetle akt sprawy nie wydaje się rozsądnie prawdopodobne, to należy zaznaczyć,
że uzyskanie na podstawie numeru telefonu dodatkowych danych identyfikujących osobę fizyczną od przedsiębiorcy telekomunikacyjnego – nawet w przypadku braku zgody osoby, której dane te dotyczą – nie jest całkowicie wyłączone w świetle przepisów Prawa telekomunikacyjnego.
Po trzecie, uwzględniając dostępne obecnie technologie, należy zauważyć,
że w powszechnie dostępnych aplikacjach służących jako komunikatory (np. WhatsApp, Signal) konta użytkowników muszą być powiązane z numerami telefonów użytkowników. W przypadku nieograniczenia w tego typu komunikatorach opcji udostępniania informacji osobistych w ustawieniach prywatności, informacje takie,
jak np. zdjęcie profilowe, widoczne są dla innych użytkowników aplikacji. W takiej sytuacji, dysponując wyłącznie numerem telefonu, można uzyskać tego typu dane identyfikujące.
Po czwarte zatem, w ocenie Sądu, biorąc pod uwagę wszelkie obiektywne czynniki, takie jak koszt i czas potrzebne do zidentyfikowania, oraz uwzględniając dostępną technologię i postęp technologiczny, należy stwierdzić, że skarżąca spółka,
której oddział w Polsce profesjonalnie zajmował się działalnością centrów telefonicznych (call center), przetwarzaniem danych, a także zarządzaniem stronami internetowymi (zob. dane w rejestrze przedsiębiorców Krajowego Rejestru Sądowego
nr [...]), dysponowała sposobami pozwalającymi na uzyskanie dodatkowych danych identyfikujących uczestnika postępowania, które mogła z uzasadnionym prawdopodobieństwem wykorzystać.
Biorąc pod uwagę wszystko, co powyżej wywiedziono, Sąd stwierdził,
że skarżąca spółka, pozyskując numer telefonu komórkowego I.L., przechowując go i wykorzystując następnie do nawiązania połączenia telefonicznego, przetwarzała jej dane osobowe. Podkreślenia przy tym wymaga, że numer telefonu komórkowego użytkownika końcowego będącego osobą fizyczną definiuje tego użytkownika jako osobę korzystającą dla zaspokojenia własnych potrzeb z usług telekomunikacyjnych przypisanych do tego numeru, w tym z podstawowej usługi połączeń telefonicznych, a zatem umożliwia jego zidentyfikowanie poprzez nawiązanie z nim kontaktu w określonym celu i wywieranie na niego określonego wpływu. Nawet przy założeniu, iż sam numer telefonu nie pozwala na zidentyfikowanie osoby fizycznej, należy stwierdzić, że skarżąca spółka dysponowała sposobami pozwalającymi na uzyskanie dodatkowych danych identyfikujących uczestnika postępowania, które mogła z uzasadnionym prawdopodobieństwem wykorzystać.
Organ nadzorczy prawidłowo także stwierdził też, że przetwarzanie danych osobowych I.L. odbywało się dla celów marketingu bezpośredniego.
Jak wywodzi skarżąca, celem połączenia telefonicznego było ustalenie zainteresowania rozmówcy udziałem w organizowanych spotkaniach lub prezentacjach, a dopiero w przypadku wyrażenia woli udziału w spotkaniu rozmówca wyrażał zgodę na przetwarzanie jego danych osobowych i podawał niezbędne dane w celu wzięcia udziału w spotkaniu. Spółka twierdzi, że jej działalność skupia się na zapraszaniu na organizowane spotkania, podczas których kontrahenci Spółki poruszają tematykę spotkań wcześniej określoną podczas składania zaproszenia abonentom. Podczas wyżej wymienionych spotkań uczestnicy mają alternatywną możliwość zapoznania się z ofertą kontrahenta Spółki lub zakupu towarów prezentowanych przez ten podmiot poprzez przyjęcie prezentowanej tam oferty. Spółka podnosi też, że zapraszając na spotkania, w rozmowie nie prowadzi żadnej sprzedaży, nie informuje też o żadnych konkretnych produktach, a jedynie o tematyce spotkania oraz kategoriach prezentowanych produktów. Twierdzi też, że realizuje połączenia we własnym imieniu oraz we własnym imieniu umawia spotkania, które następnie są sprzedawane na rzecz jej kontrahentów z branży sprzedaży bezpośredniej. W takim stanie rzeczy w ocenie skarżącej nie można przypisać korzyści z rzekomego marketingu jakiemukolwiek podmiotowi, a w szczególności Spółce, gdyż nie prowadzi ona podczas połączeń sprzedaży, a produkty oferowane na pokazach nie stanowią w żadnym razie jej własności.
Odnosząc się do powyższej argumentacji, w realiach sprawy, w której PUODO stwierdził w zaskarżonej decyzji, że dane osobowe I.L. przetwarzane były dla celów marketingu bezpośredniego, w ocenie Sądu należy odwołać się
do definicji pojęcia "marketingu bezpośredniego" zawartej w rekomendacji R(85)20 Komitetu Ministrów dla Państw Członkowskich w sprawie ochrony danych osobowych używanych dla celów marketingu bezpośredniego Rady Europy "Ochrona danych osobowych wykorzystywanych dla potrzeb marketingu bezpośredniego"
z 25 października 1985 r. Zgodnie z nią, "marketing bezpośredni", to ogół działań,
jak również wszelkich dotyczących go usług pomocniczych, umożliwiających oferowanie produktów lub usług bądź przekazywanie innych informacji do grupy ludności - za pośrednictwem poczty, telefonu lub innych bezpośrednich środków - w celach informacyjnych bądź w celu wywołania reakcji ze strony osoby, której dane dotyczą.
Na zasadność odwołania się do przywołanej definicji wskazał również Sąd Ochrony Konkurencji i Konsumentów w wyroku z [...] marca 2014 r. sygn. akt [...] (Lex nr [...]), a także Sąd Okręgowy w [...] w powołanym wyżej wyroku z [...] grudnia 2020 r. sygn. akt [...].
Przyjmując natomiast takie rozumienie pojęcia marketingu bezpośredniego, należy stwierdzić, że wykonywanie połączeń telefonicznych w celu zaproszenia konsumenta na pokaz lub spotkanie, podczas którego istnieje możliwość zakupu produktów, jest marketingiem bezpośrednim, ponieważ jest przekazaniem informacji
w celu wywołania reakcji ze strony konsumenta w postaci udania się na pokaz
i zakupienia oferowanych produktów.
Nie ma przy tym znaczenia, że produkty oferowane na pokazach, na które zapraszała skarżąca, nie były jej własnością, czy też nie były oferowane przez nią,
lecz przez jej kontrahentów. Należy bowiem podkreślić, odwołując się ponownie
do powołanej wyżej uchwały Sądu Najwyższego z 17 lutego 2016 r. sygn. akt
III SZP 7/15, że z uwagi na znaczenie prawa do prywatności oraz uciążliwość form komunikacji marketingowej, o których mowa w art. 172 ust. 1 Prawa telekomunikacyjnego, dla użytkowników telefonii komórkowej, zwroty, którymi posłużył się ustawodawca w tym przepisie ("używanie telekomunikacyjnych urządzeń końcowych", "używanie automatycznych systemów wywołujących") nie mogą być interpretowane zawężająco. Skoro zatem skarżąca używała telekomunikacyjnych urządzeń końcowych w celu zaproszenia konsumentów na pokazy lub spotkania, podczas których istniała możliwość zakupu produktów, to używała tych urządzeń w celu marketingu bezpośredniego. To, kto następnie oferował produkty na umawianych przez nią spotkaniach nie ma znaczenia z perspektywy normy prawnej zawartej w art. 172 ust. 1 P.t.
Stwierdzenie, że przetwarzanie danych osobowych I.L. odbywało się dla celów marketingu bezpośredniego ma o tyle istotne znaczenie,
że zgodnie z art. 6 ust. 1 lit. f RODO, przetwarzanie jest zgodne z prawem, gdy jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. W świetle natomiast motywu 47 zd. 6 RODO, za działanie wykonywane w prawnie uzasadnionym interesie można uznać przetwarzanie danych osobowych do celów marketingu bezpośredniego.
Niemniej jednak, prawnie uzasadnione interesy administratora mogą być podstawą prawną przetwarzania, o ile w świetle rozsądnych oczekiwań osób, których dane dotyczą, opartych na ich powiązaniach z administratorem nadrzędne nie są interesy lub podstawowe prawa i wolności osoby, której dane dotyczą. Taki prawnie uzasadniony interes może istnieć na przykład w przypadkach, gdy zachodzi istotny
i odpowiedni rodzaj powiązania między osobą, której dane dotyczą, a administratorem, na przykład gdy osoba, której dane dotyczą, jest klientem administratora lub działa na jego rzecz. Aby stwierdzić istnienie prawnie uzasadnionego interesu, należałoby w każdym przypadku przeprowadzić dokładną ocenę, w tym ocenę tego, czy w czasie i w kontekście, w którym zbierane są dane osobowe, osoba, której dane dotyczą, ma rozsądne przesłanki by spodziewać się, że może nastąpić przetwarzanie danych w tym celu (zob. motyw 47 RODO zd. 1 – zd. 3).
Jak dostrzegła Europejska Rada Ochrony Danych Osobowych w powołanej wyżej Opinii z 12 marca 2019 r. nr 5/2019, organy ochrony danych posiadają właściwość do przeprowadzenia kontroli podzbiorów przetwarzania podlegających przepisom krajowym transponującym dyrektywę o prywatności i łączności elektronicznej tylko wtedy, gdy prawo krajowe stanowi, że należy to do ich właściwości. Niemniej jednak, sam fakt, że podzbiór przetwarzania wchodzi w zakres dyrektywy o prywatności i łączności elektronicznej nie ogranicza właściwości organów ochrony danych na podstawie RODO (str. 22 i str. 26 powołanej Opinii). Naruszenie przepisów RODO może również stanowić naruszenie krajowych przepisów dotyczących prywatności i łączności elektronicznej. Organ ochrony danych może uwzględnić to faktyczne stwierdzenie naruszenia przepisów dotyczących prywatności i łączności elektronicznej przy stosowaniu RODO (np. oceniając, czy przestrzegano zasady zgodności z prawem lub zasady rzetelności na podstawie art. 5 ust. 1 lit. a RODO). Wszelkie decyzje w zakresie egzekwowania prawa muszą być jednak uzasadnione na podstawie RODO, chyba że w prawie państwa członkowskiego rozszerzono właściwość organu ochrony danych (str. 24 i str. 26 powołanej Opinii).
Podzielając powyższe stanowisko, należy zaznaczyć, że w świetle dookreślającego i precyzującego przepisy RODO art. 172 ust. 1 P.t., zakazane jest używanie telekomunikacyjnych urządzeń końcowych i automatycznych systemów wywołujących dla celów marketingu bezpośredniego, chyba że abonent lub użytkownik końcowy uprzednio wyraził na to zgodę. Zgodnie z art. 174 P.t., do uzyskania zgody abonenta lub użytkownika końcowego stosuje się przepisy o ochronie danych osobowych.
Skoro zatem używanie telekomunikacyjnych urządzeń końcowych
i automatycznych systemów wywołujących dla celów marketingu bezpośredniego dopuszczalne jest pod warunkiem uprzedniego wyrażenia zgody przez abonenta
lub użytkownika końcowego, to brak takiej zgody ze strony I.L., powoduje, że nie mogła oa mieć rozsądnych przesłanek, by spodziewać się, że może nastąpić przetwarzanie jej danej osobowej w postaci numeru telefonu do tych celów.
Co za tym idzie, skarżąca nie była uprawniona do przetwarzania danych osobowych uczestnika postępowania w zakresie numeru telefonu w oparciu o art. 6 ust. 1 lit. f RODO. W tym bowiem przypadku nadrzędny charakter nad prawnie uzasadnionym interesem skarżącej ma prawo uczestnika postępowania do ochrony jego podstawowego prawa - prawa do prywatności, chronionego przepisem
Prawa telekomunikacyjnego implementującym przepisy dyrektywy 2002/58.
W świetle powyższego należało stwierdzić, że Prezes UODO trafnie uznał, że skarżąca przetwarzała dane osobowe I.L. bez podstawy prawnej przez
co naruszyła art. 6 ust. 1 RODO.
Nie można też podzielić stanowiska Spółki, że Prezes UODO nie dokonał wystarczających ustaleń w zakresie obejmującym złożenie przez I.L. żądania usunięcia jej danych osobowych w zakresie numeru telefonu oraz wskazania informacji dotyczących źródła pozyskiwania danych osobowych.
Organ nadzorczy w postępowaniu w sprawie skargi wniesionej przez osobę, której dane dotyczą, zobowiązany jest kierować się, określonymi w K.p.a.,
ogólnymi zasadami postępowania oraz przepisami określającymi jego obowiązki
w postępowaniu dowodowym. Stosownie do treści art. 7 K.p.a., w toku postępowania powinnością Prezesa UODO jest zatem stanie na straży praworządności i podejmowanie z urzędu lub na wniosek stron wszelkich kroków niezbędnych do dokładnego wyjaśnienia stanu faktycznego oraz do załatwienia sprawy, z uwzględnieniem interesu społecznego i słusznego interesu obywateli. Przepis art. 77 § 1 K.p.a. obliguje zaś do wyczerpującego zebrania i rozpatrzenia całego materiału dowodowego. Zebrane przez organ administracji dowody podlegają ocenie zgodnie z zasadą swobodnej oceny dowodów, która nakazuje jako dowód dopuścić wszystko, co może przyczynić się do wyjaśnienia sprawy, a nie jest sprzeczne z prawem (art. 75 § 1 zd. 1 K.p.a.) oraz ocenić na podstawie całokształtu materiału dowodowego, czy dana okoliczność została udowodniona (art. 80 K.p.a.).
Jak wynika z akt sprawy, pracownicy skarżącej spółki wykonywali połączenia telefoniczne do I.L.. Fakt ten skarżąca spółka potwierdziła w złożonych w sprawie wyjaśnieniach. Stwierdziła także, że uczestniczka postępowania nie zdecydowała się na podanie danych osobowych podczas rozmowy z telemarketerem, a tenże dysponował jedynie numerem telefonu pozyskanym z pakietu danych. Dane osobowe I.L. skarżąca spółka pozyskała w trakcie postępowania zainicjowanego przez zainteresowaną przed Prezesem UODO. Przez cały tok postępowania, zarówno przed organem nadzoru, jak i przed Sądem utrzymywała, że numer telefonu uczestnika postępowania nie stanowi dla niej danych osobowych. Natomiast I.L., w skardze do Prezesa UODO podała, że telemarketer nie chciał ujawnić w jaki sposób podmiot dzwoniący do niej uzyskał ten numer telefonu oraz, że kilkukrotnie wyraźnie poprosiła o usunięcie jej danych
i niedzwonienie do niej więcej. Twierdzeń I.L. skarżąca spółka nie kwestionuje utrzymując konsekwentnie, iż numer telefonu nie jest daną osobową, a co się z tym wiąże, dysponując jedynie ciągiem cyfr numeru telefonicznego nie ma miała możliwości wdrożyć procedur usunięcia danych osobowych.
W tych okolicznościach materiał dowodowy zgromadzony w toku postępowania, oceniony zgodnie z powołanymi wyżej przepisami K.p.a. w całokształcie, dawał podstawę do stwierdzenia, że uczestniczka postępowania złożyła żądanie usunięcia danych osobowych.
Zgodnie z art. 17 ust. 1 lit. d RODO, osoba, której dane dotyczą, ma prawo żądania od administratora niezwłocznego usunięcia dotyczących jej danych osobowych, a administrator ma obowiązek bez zbędnej zwłoki usunąć dane osobowe, jeżeli dane osobowe były przetwarzane niezgodnie z prawem.
Wedle natomiast art. 12 ust. 1 RODO, administrator podejmuje odpowiednie środki, aby w zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej formie, jasnym i prostym językiem - w szczególności gdy informacje są kierowane do dziecka - udzielić osobie, której dane dotyczą, wszelkich informacji, o których mowa w art. 13 i 14, oraz prowadzić z nią wszelką komunikację na mocy art. 15-22 i 34 w sprawie przetwarzania. Informacji udziela się na piśmie lub w inny sposób, w tym w stosownych przypadkach - elektronicznie. Jeżeli osoba, której dane dotyczą, tego zażąda, informacji można udzielić ustnie, o ile innymi sposobami potwierdzi się tożsamość osoby, której dane dotyczą.
Jak wynika z akt sprawy, Spółka w dniu [...] września 2021 r. usunęła numer telefonu I.L. z posiadanej bazy numerów.
W świetle powyższego należy uznać za uzasadnione stanowisko organu odnośnie tego, że skarżąca dopuściła się naruszenia art. 15 ust. 1 lit. g RODO, ponieważ nie poinformowała I.L. o źródle pozyskania jej danych osobowych. Spółka dopuściła się zatem naruszenia art. 12 ust. 1 w zw. z art. 15 ust. 1 lit. g rozporządzenia 2016/679.
Reasumując, kontrola zaskarżonej decyzji w granicach sprawy nie dała podstaw do stwierdzenia, że została ona wydana z naruszeniem przepisów postępowania, jak też naruszeniem prawa materialnego. Brak jest podstaw do uznania, że w postępowaniu zakończonym wydaniem zaskarżonej decyzji nie wyjaśniono wszystkich kwestii mających wpływ na rozstrzygnięcie sprawy. Materiał dowodowy zgormadzony w toku postępowania zakończonego zaskarżoną decyzją stanowił wystarczającą podstawę do skorzystania przez Prezesa UODO z uprawnienia naprawczego przewidzianego w art. 58 ust. 2 lit. b RODO, który wyposaża organ nadzorczy w kompetencję do udzielania upomnień administratorowi lub podmiotowi przetwarzającemu w przypadku naruszenia przepisów rozporządzenia przez operacje przetwarzania. Uzasadnienie zaskarżonej decyzji odpowiada prawu. Zawiera wskazanie faktów, które organ uznał za udowodnione, dowodów, na których się oparł, a także wyjaśnienie podstawy prawnej decyzji, z przytoczeniem przepisów prawa.
Prezes UODO prawidłowo ustalił, że skarżąca przetwarzała dane osobowe
I.L. w zakresie numeru telefonu oraz że przetwarzanie to odbywało
się bez podstawy prawnej. Trafnie stwierdził też, że skarżąca spółka po terminie spełniła żądanie uczestniczki postępowania w zakresie usunięcia danych osobowych oraz nie udzieliła jej informacji na temat źródła pozyskania danych osobowych, przy czym w związku z usunięciem numeru telefonu z bazy danych, nie było podstaw do zobowiązania do wykonania tego obowiązku.
W tym stanie rzeczy, na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2022 r. poz. 329
ze zm.), Wojewódzki Sąd Administracyjny w Warszawie oddalił skargę.
Zdanie odrębne
Sędziego WSA Piotra Borowieckiego
do wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie
z dnia 5 maja 2023 r., sygn. akt II SA/Wa 1662/22
Działając na podstawie art. 137 § 2 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (tekst jednolity Dz. U. z 2023 r., poz. 259 - dalej także: "P.p.s.a."), stwierdzam, iż nie podzielam stanowiska wyrażonego w wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 5 maja 2023 r., sygn. akt II SA/Wa 1662/22 z następujących przyczyn:
Należy zauważyć, że w rozpatrywanej sprawie zainicjowanej skargą spółki [...] sp. z o.o. z siedzibą w Z. ([...]) na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] lipca 2022 r., nr [...], wydaną w przedmiocie przetwarzania danych osobowych zasadniczą dla rozstrzygnięcia przedmiotowej sprawy kwestią było rozważenie, czy Prezes UODO prawidłowo stwierdził, że numer telefonu komórkowego uczestnika postępowania (I. L.) stanowi dane osobowe. Skład orzekający słusznie uznał bowiem, że o ile okazałoby się, że ustalenia organu nadzorczego w tym zakresie są błędne, niedopuszczalna byłaby ocena przetwarzania przez skarżącą spółkę tej informacji pod względem zgodności z przepisami rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. U. UE. L. z 2016 r. Nr 119, str. 1 ze zm.), dalej powoływanego jako "RODO".
Skład Wojewódzkiego Sądu Administracyjnego w Warszawie, wydając sporny wyrok z dnia 5 maja 2023 r., doszedł do wniosku, że w niniejszej sprawie zaszła podstawa do uznania, iż Prezes UODO prawidłowo stwierdził, że w stanie faktycznym ustalonym w toku postępiania numer telefonu komórkowego uczestnika postępowania stanowią dane osobowe.
Sąd uznał bowiem, że w świetle przywołanych przez organ nadzorczy przepisów RODO, w tym przede wszystkim art. 4 pkt 1 tego rozporządzenia, nie budzi wątpliwości, że zidentyfikowanie osoby fizycznej nie musi polegać na określeniu jej imienia i nazwiska, a wystarczające jest oznaczenie danej osoby w sposób umożliwiający wywieranie na nią określonego wpływu. Nie chodzi zatem, jak stwierdził skład orzekający, o możliwość odniesienia konkretnej informacji do konkretnej osoby, lecz o możliwość wskazania danej osoby, rozumianego jako faktyczne wyodrębnienie jej spośród innych osób. Sąd stwierdził, że taką możliwość daje numer telefonu osoby fizycznej, także wtedy gdy podmiot, który jest w jego posiadaniu, nie dysponuje innymi danymi identyfikującymi tę osobę lub rozsądnie prawdopodobnym do wykorzystania sposobem uzyskania takich danych.
W konsekwencji, skład orzekający Wojewódzkiego Sądu Administracyjnego w Warszawie uznał, że organ nadzorczy zasadnie przyjął, że skarżąca spółka przetwarzała dane osobowe uczestniczki postępowania bez podstawy prawnej, przez co naruszyła art. 6 ust. 1 RODO. Jednocześnie, Sąd stwierdził, że w analizowanej sprawie Prezes UODO trafnie uznał, iż skarżąca spółka dopuściła się naruszenia art. 15 ust. 1 lit. g RODO, ponieważ nie poinformowała uczestniczki o źródle pozyskania jej danych osobowych.
W tej sytuacji, skład orzekający Sądu, wydając sporny wyrok z dnia 5 maja 2023 r. - wskazał, że skoro skarżąca spółka przetwarzała dane osobowe uczestniczki postępowania pomimo braku pierwotnej podstawy prawnej na przetwarzanie tych danych w celach marketingowych, to organ nadzorczy zasadnie przyjął, iż zachodziła podstawa do zastosowania wobec skarżącej spółki środka naprawczego w postaci upomnienia (art. 58 ust. 2 lit. b RODO).
W mojej ocenie, wydany wyrok Sądu jest nieprawidłowy, albowiem - wbrew stanowisku składu Wojewódzkiego Sądu Administracyjnego w Warszawie orzekającego w niniejszej sprawie - Prezes UODO dopuścił się istotnego naruszenia przepisów prawa materialnego, w tym w szczególności art. 4 pkt 1 RODO w związku z motywem 26 Preambuły RODO poprzez ich błędną wykładnię polegającą na bezzasadnym przyjęciu, że numer telefonu jest daną osobową umożliwiającą zidentyfikowanie osoby fizycznej w sytuacji, gdy numer telefonu w stanie faktycznym niniejszej sprawy nie jest informacją o charakterze osobowym, czyli nie obejmuje żadnych danych identyfikujących osobę fizyczną, a zatem nie pozwala na ustalenie sam w sobie tożsamości (personaliów) podmiotu nim się posługującego.
Z tego względu, moim zdaniem, Sąd nie powinien oddalać skargi spółki [...] sp. z o.o. z siedzibą w Z., lecz uchylić zaskarżoną decyzję organu nadzorczego z dnia [...] lipca 2022 r.
Należy zauważyć, że zgodnie z art. 4 pkt 1 RODO, dane osobowe oznaczają wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej ("osobie której dane dotyczą"). Jednocześnie prawodawca europejski wskazał w tym przepisie, że możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej.
Z kolei, motyw 26 Preambuły RODO stanowi, że "aby stwierdzić, czy dana osobo fizyczna jest możliwa do zidentyfikowania, należy wziąć pod uwagę wszelkie rozsądnie prawdopodobne sposoby (w tym wyodrębnienie wpisów dotyczących tej samej osoby), w stosunku do których istnieje uzasadnione prawdopodobieństwo, iż zostaną wykorzystane przez administratora lub inną osobę w celu bezpośredniego lub pośredniego zidentyfikowania osoby fizycznej. Aby stwierdzić, czy dany sposób może być z uzasadnionym prawdopodobieństwem wykorzystany do zidentyfikowania danej osoby, należy wziąć pod uwagę wszelkie obiektywne czynniki, takie jak koszt i czas potrzebne do jej zidentyfikowania, oraz uwzględnić technologię dostępną w momencie przetwarzania danych, jak i postęp technologiczny. Zasady ochrony danych nie powinny więc mieć zastosowania do informacji anonimowych, czyli informacji, które nie wiążą się ze zidentyfikowaną lub możliwą do zidentyfikowania osobą fizyczną, ani do danych osobowych zanonimizowanych w taki sposób, że osób, których dane dotyczą, w ogóle nie można zidentyfikować lub już nie można zidentyfikować (...)".
W tej sytuacji, w mojej ocenie, należy przyjąć, że tylko i wyłącznie informacje, które bez nadzwyczajnego wysiłku oraz bez nieproporcjonalnie dużych nakładów dają się powiązać z określoną osobą, zwłaszcza przy wykorzystaniu łatwo osiągalnych źródeł powszechnie dostępnych, zasługują na zaliczenie ich do kategorii danych osobowych (takie stanowisko wyraził również Naczelny Sąd Administracyjny /w:/ wyrok z dnia 19 stycznia 2010 r., sygn. akt I OSK 491/09, wyrok z dnia 19 maja 2011 r., sygn. akt I OSK 1086/10, czy też wyrok z dnia 22 listopada 2016 r., sygn. akt I OSK 496/15; http://orzeczenia.nsa.gov.pl.).
Z kolei, moim zdaniem, nie zasługują na taką kwalifikację te informacje, których powiązanie z oznaczoną osobą nie jest łatwo osiągalne i wymaga nakładów nadzwyczajnych. Innymi słowy, informacji nie uważa się za umożliwiającą określenie tożsamości osoby, jeżeli wymagałoby to nadmiernych kosztów, czasu lub działań.
Warto zwrócić jednocześnie uwagę, że również Wojewódzki Sąd Administracyjny w Warszawie w wyroku z dnia 18 maja 2021 r., wydanym w sprawie sygn. akt II SA/Wa 1898/20, wyraźnie wskazał, że "sam numer telefonu nie pozwala na identyfikację konkretnej osoby. Może być wyłącznie podstawą dla podjęcia określonych czynności w celu identyfikacji posiadacza numeru - abonenta lub osoby, która faktycznie używa danego numeru. Skoro nabyty przez Spółkę od Spółki II zbiór danych (baza numerów telefonów) identyfikuje wyłącznie osoby zamieszkujące pewien teren (tak powołane przez Spółkę kryteria zasobu nabytej bazy – geograficzne), to sam numer telefonu nie jest wystarczający do identyfikacji konkretnej osoby, jako jednostki o przypisanych jej cechach indywidualnych. Nie sposób więc uznać, aby Spółka dysponowała danymi osobowymi Wnioskodawcy i je przetwarzała. Skoro zaś Spółka nie przetwarzała danych osobowych Wnioskodawcy, nie znajdą do niej zastosowania wymagania określone w RODO".
Ponadto, należy zauważyć, że również w świetle dotychczasowego stanowiska doktryny przyjmuje się, że sam numer telefonu w większości przypadków (tj. z wyjątkiem sytuacji, gdy administrator danych - dysponent informacji - będzie miał również inne informacje, które umożliwiają identyfikację osoby fizycznej) nie będzie stanowił danych osobowych. Możliwość identyfikowania osoby fizycznej - jak wskazuje się w doktrynie - należy odnosić do określenia tożsamości konkretnej osoby fizycznej na podstawie posiadanych lub ewentualnie możliwych do uzyskania informacji. Nie można natomiast odnosić tego pojęcia do podejmowania działań zmierzających dopiero do ustalenia (uzyskania) informacji, które mogą stanowić dane osobowe (identyfikować konkretną osobę fizyczną) (por. m.in. Rozporządzenie UE w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i swobodnym przepływem takich danych. Komentarz, pod red. dr. Pawła Litwińskiego, wyd. 1, Wydawnictwo C.H. Beck, Warszawa 2018, komentarz do art. 4 RODO).
W tej sytuacji, w mojej ocenie, nie można zgodzić się ze stanowiskiem zajętym zarówno przez Prezesa UODO w uzasadnieniu zaskarżonej decyzji z dnia [...] lipca 2022 r., jak i w uzasadnieniu spornego wyroku Sądu z dnia 5 maja 2023 r., w którym uznając za dane osobowe sam numer telefonu, skład orzekający odniósł pojęcie możliwości zidentyfikowania do bezpośredniego kontaktu z osobą fizyczną (z wykorzystaniem numeru telefonu). Uzasadnienie tego stanowiska przez organ nadzorczy oraz Sąd budzi moje poważne wątpliwości, skoro we wskazanej decyzji stwierdza się, że choć dane w postaci numeru telefonu nie określają bezpośrednio tożsamości osób fizycznych, to umożliwiają one określenie tożsamości przez bezpośredni kontakt z tą osobą.
Tymczasem, warto podkreślić, że możliwość identyfikowania osoby fizycznej należy odnosić do określenia tożsamości konkretnej osoby fizycznej na podstawie posiadanych lub ewentualnie możliwych do uzyskania informacji. Nie można natomiast odnosić tego pojęcia do podejmowania działań zmierzających dopiero do ustalenia (uzyskania) informacji, które mogą stanowić dane osobowe (identyfikować konkretną osobę fizyczną).
W konsekwencji, podzielam stanowisko skarżącej spółki, że połączenie nie może być uznane za metodę identyfikacji, albowiem czynność ta w żadnym razie nie spełnia kryteriów warunkujących identyfikację, a więc prawidłowości danych, skuteczności identyfikacji, a także łatwości i możliwości identyfikacji rozmówcy, które to przesłanki - w przypadku odmowy podania danych osobowych przez osobę, do której zadzwoniono - również pozostają niespełnione.
Jednocześnie, podkreślić należy, że metoda identyfikacji winna być powszechnie dostępna, gdy tymczasem zauważyć trzeba, że skarżąca spółka, jako zwykły podmiot obrotu gospodarczego, nie posiada żadnych szczególnych uprawnień do pozyskiwania danych o osobach z innych źródeł, niż wyłącznie od tych osób.
Nie ulega wątpliwości, że skarżąca spółka nie dysponowała środkami prawnymi, technicznymi bądź też organizacyjnymi, które umożliwiałyby jej dokonanie identyfikacji podmiotów, z którymi kontaktowali się jej przedstawiciele. Skarżąca spółka nie była również w stanie przypisać danego numeru telefonu do konkretnej osoby fizycznej. Numer telefonu bez pozostałych danych nie pozwalał więc skarżącej spółce na ustalenie danych osobowych.
W tej sytuacji, należy zgodzić się ze stroną skarżącą, że jedynym sposobem identyfikacji podmiotu danych, który nie pozostawia wątpliwości co do prawidłowego przyporządkowania numeru telefonu do danych osobowych abonenta, jest dostęp do listy abonentów prowadzonej przez operatorów telefonicznych. Tymczasem, skarżąca spółka nie posiadała i nie posiada dostępu do takiej bazy danych osobowych, a udzielenie informacji przez operatorów jest ściśle reglamentowane przepisami prawa, przy czym - co warto podkreślić - skarżąca spółka nie spełnia przesłanek uzyskania takich informacji od operatorów.
W konsekwencji, moim zdaniem, skoro brak jest skuteczności i dostępności metody identyfikacyjnej skutkującej prawidłowym ustaleniem tożsamości, to nie sposób mówić o numerze telefonu jako danej osobowej, a więc numer telefonu należący do uczestniczki postępowania – I. L. nie stanowił danej osobowej, gdyż skarżąca spółka nie dysponowała żadną metodą identyfikacji tej osoby dysponując wyłącznie jej numerem telefonu wytypowanymi w oparciu o kryterium geograficzne.
W mojej ocenie, zauważyć należy ponadto, że o ile prawodawca europejski w przywołanej przez Sąd dyrektywie 2002/58/WE posługuje się pojęciem danych osobowych, to nie sposób przyjąć jednocześnie - jak sugeruje skład orzekający w uzasadnieniu wyroku - że ewidentnie uznaje za dane osobowe sam numer telefonu.
Jednocześnie, nie sposób zgodzić się z Sądem w zakresie, w którym przywołał komunikatory społecznościowe, takie jak aplikacje WhatsApp, czy też Signal, jako potencjalny sposób identyfikacji osób. Otóż, w mojej ocenie, Sąd nie uwzględnił w swych rozważaniach nie tylko tego, że po samym numerze nie ma możliwości uzyskania danych użytkownika danego konta używanego na komunikatorze, ale również nie wziął pod uwagę tego, że częstą praktyką przy korzystaniu z komunikatorów jest wskazywanie przez użytkowników fikcyjnych lub też fantazyjnych danych lub innych nazw dowolnie przybranych, które nie niosą ze sobą waloru informacyjnego pozwalającego na jakąkolwiek identyfikację.
W tej sytuacji, nie sposób zgodzić się z twierdzeniem Sądu, że "Nawet przy założeniu, iż numer telefonu nie pozwala na zidentyfikowanie osoby fizycznej, należy stwierdzić, że skarżąca spółka dysponowała sposobami pozwalającymi na uzyskanie dodatkowych danych identyfikujących uczestnika postępowania, które mogła z uzasadnionym prawdopodobieństwem wykorzystać".
Otóż, uznać należy, że - wbrew temu, co sugeruje skład orzekający w uzasadnieniu spornego wyroku - skarżąca spółka nie dysponowała żadną metodą (sposobem) identyfikacji uczestniczki postępowania, dysponując wyłącznie jej numerem telefonu.
W konsekwencji, należy stwierdzić, że w mniejszej sprawie numer telefonu uczestniczki postępowania, jako jedyna dana (wytypowana w oparciu o kryterium geograficzne), będąca w posiadaniu skarżącej spółki, nie pozwalała na jej identyfikację i nie stanowiła danych osobowych uczestniczki postępowania.
W związku z tym, skarżąca spółka nie była obowiązana do stosowania RODO przy dokonywanych operacjach na danych, które nie są danymi osobowymi uczestniczki postępowania.
Mając powyższe na względzie, uznać należy, że skarżąca spółka w żadnym razie nie była obowiązana do realizacji jakichkolwiek obowiązków wynikających z RODO i nie mogła być jednocześnie zobligowana do ustalenia dodatkowych danych celem zastosowania tego rozporządzenia.
Z tych wszystkich względów, moim zdaniem, skład orzekający Sądu - zamiast orzec o oddaleniu skargi w sprawie sygn. akt II SA/Wa 1662/22 - winien uznać, że wydając sporną decyzję administracyjną, Prezes UODO dopuścił się mającego istotny wpływ na wynik sprawy naruszenia art. 4 pkt 1 RODO w związku z motywem 26 Preambuły RODO i w konsekwencji niewłaściwego zastosowania art. 58 ust. 2 lit. b RODO, który przyznaje organowi nadzorczemu uprawnienie do udzielenia upomnień wyłącznie w odniesieni do administratora lub podmiotu przetwarzającego w przypadku naruszenia przepisów RODO przez operację przetwarzania danych osobowych, co w niniejszej sprawie nie miało miejsca.
W tej sytuacji, uważam, że Wojewódzki Sąd Administracyjny w Warszawie - działając na podstawie art.145 § 1 pkt 1 lit. a P.p.s.a. - zobowiązany był uchylić zaskarżoną decyzję Prezesa UODO z dnia [...] lipca 2022 r., zasądzając jednocześnie od organu nadzorczego na rzecz skarżącej spółki zwrot kosztów postępowania sądowego, w tym kosztów zastępstwa procesowego, na podstawie przepisów art. 200 P.p.s.a. oraz art. 205 § 2 P.p.s.a. w związku z art. 209 P.p.s.a.
Piotr Borowiecki
Sędzia WSA w Warszawie