II SA/Wa 415/24

II SA/Wa 415/24 - Wyrok WSA w Warszawie
Data orzeczenia
2024-10-16
orzeczenie prawomocne
Data wpływu
2024-03-26
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Andrzej Góraj
Joanna Kruszewska-Grońska /przewodniczący sprawozdawca/
Łukasz Krzycki
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę
Powołane przepisy
Dz.U. 2004 nr 171 poz 1800
art. 172 ust. 1
Ustawa z dnia 16 lipca 2004 r. Prawo telekomunikacyjne
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Joanna Kruszewska-Grońska (spr.), Sędzia WSA Andrzej Góraj, Sędzia WSA Łukasz Krzycki, Protokolant starszy specjalista Aleksandra Weiher po rozpoznaniu na rozprawie w dniu 16 października 2024 r. sprawy ze skargi [...] z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] stycznia 2024 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę
Uzasadnienie
Decyzją z [...] stycznia 2024 r. nr [...] Prezes Urzędu Ochrony Danych Osobowych (dalej: "PUODO", "organ"), na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (obecnie tekst jednolity: Dz. U. z 2024 r., poz. 572; dalej: "k.p.a.") w związku z art. 7 ust. 1 i ust. 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781; dalej: "u.o.d.o."), a także art. 6 ust. 1 i art. 58 ust. 2 lit. b rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych - Dz. Urz. UE L 119 z dnia 4 maja 2016 r., str. 1 ze sprost.; dalej: "RODO"), udzielił S. Bank Polska S.A. z siedzibą w W. (dalej: "skarżący", "bank") upomnienia za naruszenie art. 6 ust. 1 RODO, polegające na przetwarzaniu danych osobowych K.L. (dalej: "uczestnik postępowania", "uczestnik") na potrzeby marketingu bezpośredniego za pośrednictwem telekomunikacyjnych urządzeń końcowych w dniach [...] czerwca 2018 r. i [...] listopada 2018 r. bez podstawy prawnej.
Do wydania ww. decyzji doszło w następujących okolicznościach sprawy.
W skierowanej do organu skardze z [...] stycznia 2019 r. uczestnik postępowania zgłosił "permanentne" przetwarzanie jego danych osobowych przez skarżącego, pomimo złożonego sprzeciwu. Kilkakrotnie bowiem otrzymywał telefony z banku celem przedstawienia mu ofert marketingowych, podczas gdy nie wyraził zgody na kontakt telefoniczny w takim celu. Uczestnik postępowania złożył reklamację, zaś skarżący przyznał się do błędu i przeprosił go, ale później jeszcze dwa razy kontaktował się z nim telefonicznie w celach marketingowych, co skłoniło uczestnika do sporządzenia skargi.
W toku postępowania administracyjnego, zainicjowanego powyższą skargą, PUODO ustalił, że uczestnik postępowania jest klientem banku. Oba ww. podmioty wiążą następujące umowy: umowa rachunku oszczędnościowo-rozliczeniowego z [...] kwietnia 2012 r., umowa kredytu z [...] lipca 2012 r., umowa rachunku z [...] października 2015 r., umowa rachunku z [...] maja 2016 r., umowa rachunku z [...] maja 2016 r., umowy kredytu z [...] grudnia 2017 r., umowy o kartę płatniczą z [...] czerwca 2017 r. i z [...] listopada 2018 r. Skarżący przetwarza dane osobowe uczestnika postępowania na mocy art. 6 ust. 1 lit. b RODO w zakresie: imienia i nazwiska, nr PESEL, nr klienta, obywatelstwa, serii i nr dowodu osobistego, adresu zamieszkania, daty urodzenia, wzoru podpisu, nr telefonu, adresu poczty elektronicznej, nazwy pracodawcy, daty podjęcia pracy, informacji o produktach banku oraz historii kontaktów klienta z bankiem.
W dniu [...] stycznia 2013 r. uczestnik postępowania wyraził zgodę na kontakty telefoniczne w celach marketingowych, ale wycofał tę zgodę ostatecznie [...] maja 2016 r. Wobec tego bank nie dysponuje zgodą uczestnika postępowania na otrzymywanie od skarżącego, za pośrednictwem środków komunikacji elektronicznej, informacji handlowej oraz na kontakt telefoniczny dla celów marketingu bezpośredniego.
Bank w dniach: [...] stycznia 2017 r., [...] czerwca 2017 r., [...] czerwca 2018 r. i [...] listopada 2018 r. nawiązał kontakt telefoniczny z uczestnikiem postępowania, przy czym każdorazowo w trakcie rozmowy pracownik skarżącego pytał uczestnika, czy jest on zainteresowany wysłuchaniem oferty. W przypadku braku zgody, oferta nie była przedstawiana. Według banku, brak zgody klienta na telefoniczne kontakty marketingowe nie uniemożliwia kontaktu tą drogą w celu pozyskania zgody na przedstawienie oferty. Nie sposób przyjąć, aby samo zapytanie o wyrażenie zgody stanowiło już działanie o charakterze marketingowym.
Jednocześnie skarżący oświadczył, iż w dniach [...] listopada 2018 r. oraz [...] stycznia 2019 r. uczestnik postępowania złożył reklamacje na telefoniczne otrzymywanie materiałów informacyjnych lub reklamowych bez jego zgody. W odpowiedziach na te reklamacje (vide pisma banku z [...] listopada 2018 r. i z [...] stycznia 2019 r.), bank przyznał, że w momencie wykonywania reklamowanych połączeń, w folderze uczestnika postępowania odnotowany był brak jego zgody na: kontakt telefoniczny w celu marketingowym, kontakt drogą elektroniczną w celu marketingowym oraz wymianę danych w Grupie S. Bank Polska. Wprawdzie skarżący jest zdania, iż przy braku sprzeciwu może dostarczać treści marketingowe, to w odniesieniu do uczestnika postępowania doszło do błędu, gdyż kontakt był realizowany kanałem, na który uczestnik nie wyraził zgody.
Obecnie bank nie przetwarza danych osobowych uczestnika postępowania w celach marketingowych wobec sprzeciwu odnotowanego w folderze uczestnika.
W uzasadnieniu powołanej na wstępie decyzji, organ w pierwszej kolejności przedstawił poczynione, a przytoczone powyżej, ustalenia faktyczne. Następnie, odwołując się do art. 6 ust. 1 RODO, motywu 47 preambuły RODO, art. 172 ust. 1 (poprzedniego i aktualnego brzmienia) oraz art. 174 ustawy z dnia 16 lipca 2004 r. Prawo telekomunikacyjne (obecnie tekst jednolity: Dz. U. z 2024 r., poz. 34 ze zm.; dalej: "P.t."), zaznaczył, że uczestnik postępowania [...] maja 2016 r. wycofał zgodę na używanie telekomunikacyjnych urządzeń końcowych i automatycznych systemów wywołujących dla celów marketingu bezpośredniego, a mimo to skarżący kontaktował się z nim telefonicznie w celu przedstawienia oferty handlowej. Jak ocenił organ, działanie banku nie było prawidłowe, ponieważ po wycofaniu zgody na marketing telefoniczny, o której mowa w art. 172 ust. 1 P.t., nie istniał uzasadniony prawnie interes skarżącego, który byłby nadrzędny nad interesem uczestnika postępowania i uzasadniał przetwarzanie jego danych osobowych na potrzeby marketingu bezpośredniego. Po wycofaniu przedmiotowej zgody, po stronie uczestnika nie zachodziły rozsądne przesłanki, by spodziewać się dalszego przetwarzania przez bank jego danych osobowych w celu marketingu bezpośredniego z wykorzystaniem telefonicznego kanału kontaktu. Przeciwnie, uczestnik postępowania, cofając zgodę na marketing telefoniczny, mógł oczekiwać, iż jego dane nie będą nadal przetwarzane w tym celu. Nadto skarżący nie wykazał, aby zachodziła jakakolwiek inna przesłanka spośród wymienionych w art. 6 ust. 1 RODO, która stanowiłaby o legalności tego procesu.
Organ wyjaśnił, że ma możliwość udzielenia administratorowi upomnienia za przetwarzanie danych, niezgodne z przepisami o ochronie danych osobowych, mające miejsce w okresie obowiązywania RODO. Zatem nie może udzielić upomnienia w oparciu o przepisy RODO w stosunku do zdarzenia, które miało miejsce przed wejściem w życie tego aktu, tj. przed [...] maja 2018 r. Dlatego w realiach niniejszej sprawy PUODO za zasadne uznał udzielenie skarżącemu upomnienia za stwierdzone naruszenie przepisów o ochronie danych osobowych, tj. art. 6 ust. 1 RODO, mające miejsce w dniach [...] czerwca 2018 r. i [...] listopada 2018 r.
Pismem z [...] lutego 2024 r. bank (reprezentowany przez pracownika niebędącego profesjonalnym pełnomocnikiem) wywiódł do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na opisaną wyżej decyzję organu, zarzucając naruszenie:
1. przepisów prawa materialnego, które miało wpływ na wynik sprawy, tj.:
a) art. 172 ust. 1 P.t. (w brzmieniu sprzed 1 stycznia 2023 r.) w związku z art. 6 ust. 1 lit. f oraz art. 21 RODO poprzez jego niewłaściwą interpretację i wadliwe zastosowanie, a w konsekwencji błędne przyjęcie, że odwołanie zgody, o której mowa w art. 172 ust. 1 P.t., powoduje utratę podstawy prawnej dla przetwarzania danych w postaci prawnie uzasadnionego interesu administratora, podczas gdy dopiero wniesienie przez podmiot danych sprzeciwu na przetwarzanie danych mogłoby skutkować takim stwierdzeniem,
b) art. 172 ust. 1 P.t. (w brzmieniu sprzed 1 stycznia 2023 r.) w związku z art. 6 ust. 1 lit. f RODO poprzez jego niewłaściwą interpretację i wadliwe zastosowanie, a w konsekwencji błędne przyjęcie, iż połączenie banku zostało wykonane w celu realizacji marketingu bezpośredniego, podczas gdy jego celem było pozyskanie zgody klienta na kontakt telefoniczny, o której mowa w art. 172 P.t., co stanowi prawnie uzasadniony interes administratora, odrębny od marketingu bezpośredniego,
c) art. 172 ust. 1 P.t. (w brzmieniu sprzed [...] stycznia 2023 r.) w związku z art. 6 ust. 1 lit. f RODO poprzez jego niewłaściwą interpretację i wadliwe zastosowanie, a w konsekwencji błędne przyjęcie, że bank, nie dysponując zgodą podmiotu danych, o której mowa w art. 172 P.t., nie posiada podstawy prawnej do przetwarzania danych w postaci prawnie uzasadnionego interesu, podczas gdy zgoda z art. 172 ust. 1 P.t. nie kreuje podstawy przetwarzania danych, a jedynie decyduje o dopuszczalności wykorzystania kanału kontaktu w specyficznym celu, tj. marketingu bezpośrednim,
d) art. 58 ust. 2 lit. b w związku z art. 6 ust. 1 lit. f RODO poprzez niewłaściwe zastosowanie i przyjęcie, iż w niniejszej sprawie przetwarzanie danych uczestnika postępowania miało miejsce bez podstawy prawnej i w konsekwencji nieprawidłowe nałożenie na bank kary administracyjnej w postaci upomnienia, podczas gdy przetwarzanie danych oparte jest na prawnie uzasadnionym interesie skarżącego;
2. przepisów postępowania w sposób mający istotny wpływ na wynik sprawy, w szczególności:
a) art. 58 ust. 2 lit. b RODO w związku z art. 51 ust. 1, art. 55 ust. 1, art. 57-58 RODO w związku z art. 172 ust. 1 P.t. poprzez przekroczenie swoich kompetencji i dokonanie wykładni przepisów P.t., która to kompetencja zastrzeżona jest do właściwości innego organu administracyjnego i w konsekwencji nieuprawnione nałożenie na bank kary administracyjnej w postaci upomnienia, podczas gdy do kompetencji organu należy wyłącznie poruszanie się w obszarze przetwarzania danych osobowych,
b) art. 7 ust. 1 w związku z art. 160 ust. 1 i ust. 2 u.o.d.o. w związku z art. 189g § 1 k.p.a. poprzez wydanie wobec skarżącego decyzji nakładającej karę administracyjną w postaci upomnienia, podczas gdy nastąpiło przedawnienie możliwości nałożenia na niego sankcji administracyjnych z uwagi na upływ okresu przedawnienia,
c) art. 105 § 1 k.p.a. w związku z art. 160 ust. 1 i ust. 2 u.o.d.o. w związku z art. 189g § 1 k.p.a. poprzez jego niezastosowanie i nieumorzenie postępowania pomimo jego bezprzedmiotowości zaistniałej wskutek przedawnienia możliwości nałożenia kary na bank,
d) art. 7, art. 77 § 1 i art. 80 k.p.a. poprzez brak wszechstronnego i dogłębnego rozważenia wszystkich okoliczności faktycznych sprawy, wybiórcze gromadzenie i weryfikowanie dowodów oraz zastąpienie swobodnej oceny dowodów całkowitą dowolnością, co przejawia się w:
( nieustaleniu okoliczności faktycznej i braku oceny przez organ, czy uczestnik postępowania wniósł sprzeciw na przetwarzanie jego danych w trybie art. 6 ust. 1 lit. f RODO w szczególności w celach marketingowych,
( błędnym ustaleniu, że czynności realizowane przez skarżącego stanowiły marketing bezpośredni, podczas gdy połączenie wykonywane w celu pozyskania zgody na kontakt telefoniczny nie stanowi marketingu bezpośredniego,
( nieustaleniu okoliczności faktycznej i braku oceny przez PUODO, czy przetwarzanie danych uczestnika postępowania dla celów realizacji prawnie uzasadnionego interesu administratora, mogło naruszyć prawa i wolności podmiotu danych, w szczególności niezweryfikowaniu przeprowadzonego przez administratora testu równowagi dla przetwarzania jego danych osobowych,
( nieustaleniu okoliczności faktycznej i braku oceny przez organ, czy działania banku stanowiły marketing bezpośredni czy też inną formę marketingu lub nie kwalifikowały się do żadnej z powyższych kategorii,
e) art. 15 k.p.a. poprzez nierozpoznanie sprawy w całokształcie wszystkich jej okoliczności faktycznych i prawnych,
f) art. 124 § 2 k.p.a. poprzez niezawarcie w uzasadnieniu zaskarżonej decyzji (skarżący błędnie przywołał tu postanowienie) uzasadnienia faktycznego obejmującego wskazanie faktów, które organ uznał za udowodnione, dowodów, na których się oparł oraz przyczyn, z powodu których innym dowodom odmówił wiarygodności i mocy dowodowej,
g) art. 8 i art. 11 k.p.a. poprzez prowadzenie przedmiotowego postępowania w sposób niezgodny z zasadą przekonywania i pogłębiania zaufania do organów administracji, przejawiające się w:
( zaniechaniu pełnego uzasadnienia decyzji,
( nieustosunkowaniu się PUODO do podniesionych przez skarżącego twierdzeń i dowodów,
h) art. 14 w związku z art. 107 k.p.a. poprzez ograniczenie uzasadnienia decyzji i nieodniesienie się do wszystkich twierdzeń banku oraz dokumentów przedłożonych w toku postępowania.
W oparciu o tak sformułowane zarzuty skarżący wniósł o stwierdzenie nieważności zaskarżonej decyzji na podstawie art. 145 § 1 pkt 2 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2024 r., poz. 935; dalej "p.p.s.a.") w związku z art. 156 § 1 pkt 1, pkt 2 i pkt 7 k.p.a. oraz umorzenie postępowania na mocy art. 145 § 3 p.p.s.a., ewentualnie uchylenie decyzji i umorzenie postępowania lub przekazanie sprawy organowi do ponownego rozpoznania. Ponadto bank zażądał zasądzenia na jego rzecz kosztów postępowania, w tym zwrotu kosztów zastępstwa procesowego i opłaty skarbowej od pełnomocnictwa.
W uzasadnieniu skargi skarżący rozwinął poszczególne jej zarzuty.
W odpowiedzi na skargę PUODO wniósł o jej oddalenie oraz podtrzymał stanowisko wyrażone w uzasadnieniu zaskarżonej decyzji, uznając zarzuty skargi za chybione.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:
Skarga nie zasługuje na uwzględnienie, ponieważ zaskarżona decyzja organu nie narusza prawa w sposób przewidziany w przepisach art. 145 p.p.s.a.
Zamknięty katalog przesłanek dopuszczalności przetwarzania danych osobowych określa art. 6 ust. 1 RODO. Stosownie do treści tego przepisu, przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy - i w takim zakresie, w jakim - spełniony jest co najmniej jeden z poniższych warunków: a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów; b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy; c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze; d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej; e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi; f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Akapit pierwszy lit. f nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań.
Zakwestionowane przez organ przetwarzanie danych dotyczy tzw. "zwykłych" danych, pozyskanych przez bank w ramach zawartych z uczestnikiem postępowania umów rachunków i umów kredytów - w odróżnieniu od szczególnych kategorii danych osobowych ujętych w art. 9 i art. 10 RODO. Oznacza to, że zaistnienie jednej z ww. przesłanek (które są samoistne – równoważne, równoprawne) legalizuje przetwarzanie "zwykłych" danych.
Według art. 5 ust. 1 lit. a RODO, dane osobowe muszą być przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą.
W realiach rozpoznawanej sprawy, w której PUODO stwierdził w zaskarżonej decyzji, iż dane osobowe uczestnika postępowania były przetwarzane na potrzeby "marketingu bezpośredniego" (poprzez telekomunikacyjne urządzenia końcowe) w dniach 14 czerwca 2028 r. i 22 listopada 2018 r., należy odwołać się do definicji tego pojęcia, zawartej w rekomendacji R [...] Komitetu Ministrów dla Państw Członkowskich w sprawie ochrony danych osobowych używanych dla celów marketingu bezpośredniego Rady Europy "Ochrona danych osobowych wykorzystywanych dla potrzeb marketingu bezpośredniego" z [...] października 1985 r. Zgodnie z tą definicją, "marketing bezpośredni" to ogół działań, a także wszelkich dotyczących go usług pomocniczych, umożliwiających oferowanie produktów lub usług bądź przekazywanie innych informacji do grupy ludności - za pośrednictwem poczty, telefonu lub innych bezpośrednich środków - w celach informacyjnych bądź w celu wywołania reakcji ze strony osoby, której dane dotyczą. Zasadność odwołania się do przywołanej definicji dostrzegł też Sąd Ochrony Konkurencji i Konsumentów w wyroku z 21 marca 2014 r., sygn. akt [...] (LEX nr 2155559) oraz Sąd Okręgowy w Warszawie w wyroku z 11 grudnia 2020 r., sygn. akt XVII AmA 22/19 (LEX nr 3120550). W takim rozumieniu pojęcia marketingu bezpośredniego mieści się - jak w niniejszej sprawie - wykonywanie połączeń telefonicznych lub przesyłanie telefonicznych wiadomości tekstowych (SMS) w celu zaproszenia klienta/konsumenta do nabycia/skorzystania z oferowanych towarów/usług.
W kontrolowanej sprawie niesporne między stronami jest kilkakrotne nawiązywanie przez pracowników banku po [...] maja 2016 r. połączeń telefonicznych z uczestnikiem postępowania celem przedstawienia mu oferty marketingowej w sytuacji, gdy w ww. dacie uczestnik wycofał (uprzednio wyrażoną) zgodę na kontakty telefoniczne w celach marketingowych. Takie działania skarżącego prawidłowo PUODO zakwalifikował jako marketing bezpośredni, ponieważ były one obliczone na zaoferowanie uczestnikowi produktów lub usług banku. Nie ma racji skarżący, podważając w tym zakresie ustalenie organu argumentem, że nie można jako marketingu bezpośredniego traktować sytuacji, w której pracownik banku nawiązuje z klientem połączenie telefoniczne i zadaje mu pytanie, czy klient wyraża zgodę na przedstawienie mu oferty. Nawet wówczas, gdy odpowiedź klienta będzie odmowna i w rezultacie nie dojdzie do zaprezentowania oferty handlowej/marketingowej banku, to takie działanie - z wykorzystaniem "środka bezpośredniego" (telefonu) - umożliwia zaoferowanie produktu czy usługi banku, a tym samym stanowi marketing bezpośredni.
Stwierdzenie, iż przetwarzanie danych osobowych uczestnika postępowania odbywało się dla celów marketingu bezpośredniego ma o tyle istotne znaczenie, iż zgodnie z art. 6 ust. 1 lit. f RODO, przetwarzanie jest zgodne z prawem, gdy jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. W świetle natomiast motywu 47 zd. 6 preambuły RODO, za działanie wykonywane w prawnie uzasadnionym interesie można uznać przetwarzanie danych osobowych do celów marketingu bezpośredniego. Taki prawnie uzasadniony interes może istnieć gdy zachodzi istotny i odpowiedni rodzaj powiązania między osobą, której dane dotyczą, a administratorem, np. gdy osoba, której dane dotyczą, jest klientem administratora lub działa na jego rzecz. Jednakże, aby stwierdzić istnienie prawnie uzasadnionego interesu, należałoby w każdym przypadku przeprowadzić dokładną ocenę, w tym ocenę tego, czy w czasie i w kontekście, w którym zbierane są dane osobowe, osoba, której dane dotyczą, ma rozsądne przesłanki, by spodziewać się, że może nastąpić przetwarzanie danych w tym celu (vide motyw 47 zd. 1-3 preambuły RODO).
Jak wskazała Europejska Rada Ochrony Danych Osobowych w opinii z [...] marca 2019 r. nr [...], organy ochrony danych posiadają właściwość do przeprowadzenia kontroli podzbiorów przetwarzania podlegających przepisom krajowym transponującym dyrektywę o prywatności i łączności elektronicznej tylko wtedy, gdy prawo krajowe stanowi, że należy to do ich właściwości. Niemniej jednak sam fakt, iż podzbiór przetwarzania wchodzi w zakres dyrektywy o prywatności i łączności elektronicznej, nie ogranicza właściwości organów ochrony danych na podstawie RODO (vide ww. opinia, str. 22 i str. 26). Naruszenie przepisów RODO może również stanowić naruszenie krajowych przepisów dotyczących prywatności i łączności elektronicznej. Organ ochrony danych może uwzględnić to faktyczne stwierdzenie naruszenia przepisów dotyczących prywatności i łączności elektronicznej przy stosowaniu RODO, np. oceniając, czy przestrzegano zasady zgodności z prawem lub zasady rzetelności na podstawie art. 5 ust. 1 lit. a RODO. Wszelkie decyzje w zakresie egzekwowania prawa muszą być jednak uzasadnione na podstawie RODO, chyba że w prawie państwa członkowskiego rozszerzono właściwość organu ochrony danych (vide ww. opinia, str. 24 i str. 26).
Podzielając powyższe stanowisko, należy podnieść, iż w świetle dookreślającego i precyzującego przepisy RODO art. 172 ust. 1 P.t., zakazane jest używanie telekomunikacyjnych urządzeń końcowych i automatycznych systemów wywołujących dla celów marketingu bezpośredniego lub przesyłania niezamówionej informacji handlowej w rozumieniu ustawy z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną, chyba że abonent lub użytkownik końcowy uprzednio wyraził na to zgodę. Zgodnie zaś z art. 174 P.t., do uzyskania zgody abonenta lub użytkownika końcowego stosuje się przepisy o ochronie danych osobowych. Z kolei wedle motywu 32 zd. 1 preambuły RODO, zgoda powinna być wyrażona w drodze jednoznacznej, potwierdzającej czynności, która wyraża odnoszące się do określonej sytuacji dobrowolne, świadome i jednoznaczne przyzwolenie osoby, których dane dotyczą, na przetwarzanie dotyczących jej danych osobowych i która ma na przykład formę pisemnego (w tym elektronicznego) lub ustnego oświadczenia.
Na gruncie przedmiotowej sprawy nie budzi wątpliwości brak zgody uczestnika postępowania na kontakt telefoniczny w celach marketingowych po [...] maja 2016 r. Tak więc uczestnik nie miał rozsądnych przesłanek, by spodziewać się dalszego przetwarzania jego danych osobowych przez bank; wręcz przeciwnie, cofnięcie zgody w dniu [...] maja 2016 r. uprawniało go do oczekiwania, że skarżący nie będzie już łączył się z nim telefonicznie z zamiarem przedstawienia oferty marketingowej.
W tym miejscu należy wyjaśnić bankowi, iż prawo do sprzeciwu, o którym mowa w art. 21 RODO, jest uprawnieniem odmiennym od cofnięcia zgody na przetwarzanie danych osobowych i nie przysługuje w sytuacji, w której dane osobowe są przetwarzane na podstawie zgody (vide M. Czerniawski [w:] RODO. Ogólne rozporządzenie o ochronie danych. Komentarz, red. E. Bielak-Jomaa, D. Lubasz, Warszawa 2018, art. 21).
Organ prawidłowo stwierdził, że skarżący nie wykazał spełnienia żadnej z przesłanek wymienionych w art. 6 ust. 1 RODO, przez co naruszył ten przepis. W szczególności, ważąc interesy w myśl art. 6 ust. 1 lit. f RODO, bank winien dojść do konkluzji, iż nie jest jego prawnie usprawiedliwionym interesem, nadrzędnym nad interesami, prawami i wolnościami uczestnika postępowania, podejmowanie działań o charakterze marketingu bezpośredniego przy wykorzystaniu telekomunikacyjnych urządzeń końcowych w sytuacji, gdy uczestnik nie wyraził na to zgody, wymaganej dla prowadzenia tego rodzaju działań marketingowych (vide art. 172 ust. 1 P.t.). Skoro uczestnik postępowania takiej zgody nie wyraził, to nie spodziewał się (i nie zachodziły ku temu rozsądne przesłanki), że wbrew jego woli skarżący będzie prowadził marketing bezpośredni, przetwarzając w tym celu jego dane osobowe. Odnotować przy tym wypada, iż stosownie do zasady rozliczalności, ujętej w art. 5 ust. 2 RODO, przeprowadzenie testu równowagi i wykazanie jego wyników przesądzających o istnieniu przesłanki prawnie uzasadnionego interesu należy do zadań administratora (tu: banku). Natomiast rolą PUODO jest ocena powyższego działania administratora.
Bank również błędnie określa upomnienie mianem kary administracyjnej. Przewidziane w art. 58 ust. 2 lit. b RODO upomnienie to środek naprawczy, który może być stosowany, gdy naruszenie przepisów RODO jest niewielkie lub jeżeli grożąca kara pieniężna stanowiłaby dla osoby fizycznej nieproporcjonalne obciążenie (vide motyw 148 preambuły RODO). Co więcej, skarżący myli zastosowaną sankcję z administracyjną karą pieniężną, wskazując na art. 189g k.p.a. Tymczasem PUODO nie nałożył na bank kary pieniężnej w trybie art. 83 RODO, zatem argumentacja skarżącego o przedawnieniu jest całkowicie bezpodstawna. Ani RODO ani u.o.d.o. nie normują kwestii przedawnienia w odniesieniu do sankcji niepieniężnych, a niedopuszczane jest stosowanie art. 189g k.p.a. w drodze analogii jak chciałby tego skarżący. Instytucja przedawnienia nie stanowi też konstytucyjnego prawa podmiotowego, dlatego powoływanie się przez bank w tym kontekście na gwarancje konstytucyjne i procesowe (vide karta nr 15verte in fine akt sądowych sprawy - szósta strona skargi) jest zupełnie niezrozumiałe. W konsekwencji za nietrafne trzeba uznać żądanie umorzenia postępowania administracyjnego.
Domagając się stwierdzenia nieważności zaskarżonej decyzji na mocy art. 145 § 1 pkt 2 p.p.s.a. w związku z art. 156 § 1 pkt 1, pkt 2 i pkt 7 k.p.a., czyli wobec wydania decyzji odpowiednio: z naruszeniem przepisów o właściwości, bez podstawy prawnej lub z rażącym naruszeniem prawa oraz zawierającej wadę powodującą jej nieważność z mocy prawa, skarżący nie sprecyzował w motywach skargi w czym konkretnie upatruje kwalifikowane wadliwości. Chociażby ostatnia z ww. wad wynika z treści przepisu szczególnego. Musi więc istnieć przepis materialny wyraźnie przewidujący sankcję nieważności w przypadku określonej wadliwości decyzji administracyjnej.
Wbrew twierdzeniom skargi, analiza akt sprawy jednoznacznie wskazuje, że w dniach [...] czerwca 2018 r. i [...] listopada 2018 r. dane osobowe uczestnika postępowania były przetwarzane przez bank do celów marketingu bezpośredniego, mimo cofniętej przez niego zgody w tym zakresie. Wywody skargi mają charakter polemiki z poczynionymi przez organ ustaleniami faktycznymi, znajdującymi pełne odzwierciedlenie w zgromadzonym materiale dowodowym.
Reasumując, kontrola zaskarżonej decyzji w granicach sprawy nie dała podstaw do przyjęcia, iż została ona wydana z naruszeniem przepisów postępowania lub naruszeniem prawa materialnego. Brak jest podstaw do uznania, że w postępowaniu zakończonym wydaniem zaskarżonej decyzji nie wyjaśniono wszystkich istotnych kwestii mających wpływ na rozstrzygnięcie sprawy. Materiał dowodowy zgromadzony w toku postępowania zakończonego zaskarżoną decyzją stanowił wystarczającą podstawę do skorzystania przez PUODO z uprawnień naprawczych przewidzianych w art. 58 ust. 2 lit. b RODO, które przysługują organowi nadzorczemu w przypadku naruszenia przepisów rozporządzenia przez operacje przetwarzania. Uzasadnienie zaskarżonej decyzji odpowiada prawu. Zawiera wskazanie faktów, które organ uznał za udowodnione, dowodów, na których się oparł, a także wyjaśnienie podstawy prawnej decyzji, z przytoczeniem przepisów prawa.
Mając na uwadze powyższe, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 p.p.s.a., orzekł jak w sentencji wyroku.