II SA/WA 664/24

II SA/Wa 664/24 - Wyrok WSA w Warszawie
Data orzeczenia
2025-01-23
orzeczenie prawomocne
Data wpływu
2024-05-06
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Dorota Kozub-Marciniak /sprawozdawca/
Iwona Maciejuk
Sławomir Fularski /przewodniczący/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę
Powołane przepisy
Dz.U. 2024 poz 935
art. 151
Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t. j.)
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Sławomir Fularski, Sędzia WSA Iwona Maciejuk, Asesor WSA Dorota Kozub-Marciniak (spr.), , Protokolant starszy sekretarz sądowy Marcin Rusinowicz-Borkowski po rozpoznaniu na rozprawie w dniu 23 stycznia 2025 r. sprawy ze skargi D. Sp. z o.o. z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] lutego 2024 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę.
Uzasadnienie
D. Sp. z o.o. z siedzibą w [...] (dalej, jako: Spółka) wniosła do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na decyzję Prezesa Urzędu Ochrony Danych Osobowych (dalej, jako: organ lub PUODO) z dnia [...] lutego 2024 r., którą organ:
1. nakazał D. Sp. z o.o. z siedzibą w [...] uwzględnienie sprzeciwu K. B. (dalej także, jako: skarżący) poprzez zaprzestanie przetwarzania jego danych w celach marketingowych;
2. udzielił D. Sp. z o.o. z siedzibą w [...] upomnienia za naruszenie art. 6 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 74 z 4.03.2021, str. 35), dalej, jako: RODO, polegające na przetwarzaniu bez podstawy prawnej danych osobowych K. B. w celach marketingowych.
W uzasadnieniu zaskarżonej decyzji podniesiono, że skarżący złożył do PUODO skargę na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Spółkę polegające na przetwarzaniu bez podstawy prawnej danych osobowych skarżącego w celach marketingowych, w tym do badania satysfakcji klienta oraz nieuwzględnieniu jego sprzeciwu wobec ich przetwarzania w ww. celach.
W toku postępowania ustalono, że skarżący w dniu 11 sierpnia 2023 r. złożył sprzeciw, przeciwko przetwarzaniu jego danych osobowych przez Spółkę. Skarżący wskazał, że Spółka otrzymała jego dane osobowe od administratora A. Sp. z o.o. w celu realizacji usługi dostawy przesyłki zakupionej za pośrednictwem serwisu sprzedaży internetowej [...].pl. Skarżący uznał, że Spółka oczywiście musi przetwarzać jego dane osobowe do celów realizacji usługi i w tym zakresie nie wniósł żadnych uwag. Po wykonaniu usługi otrzymał jednak po raz kolejny maila z badaniem satysfakcji klienta od Spółki łącznie z marketingiem usług własnych zachęcającym do korzystania z usług spedytora. Spółka w odpowiedzi z dnia 8 września 2023 r. odmówiła uwzględnienia sprzeciwu skarżącego w zakresie przetwarzania danych osobowych. Skarżący wyjaśniał, że zakup w innym sklepie internetowym, którego spedycja była również wykonywana z udziałem Spółki nie nosił żadnych znamion marketingowych; badań satysfakcji klienta czy informacji podszytych marketingiem usług własnych. Oprócz danych niezbędnych do odbioru przesyłki skarżący otrzymał tylko informacje o nadaniu przesyłki. Skarżący wskazał, że wiadomość otrzymana od Spółki zawierała baner o treści cyt. "D. Wyślij paczkę w jednym z ponad 24 000 punktów i automatów pączkowych!".
Spółka podniosła, że pozyskała dane osobowe skarżącego od partnera biznesowego A. sp. z o.o. Spółka współpracuje z A. w zakresie dostarczania przesyłek od sprzedawców towarów w serwisie A. (nadawców) do nabywców towarów w serwisie A. (odbiorców). Odbiorcy mają możliwość wyboru metody dostawy towaru od nadawcy w tym wyboru usługi kurierskiej Spółki. Jeżeli odbiorca wybierze jako formę dostawy kuriera Spółki, A. przekazuje Spółce dane adresowe i kontaktowe sprzedawcy (nadawcy) oraz nabywcy (odbiorcy) towaru, niezbędne do wykonania usługi kurierskiej - imię i nazwisko, adres doręczenia, numer telefonu oraz zahashowany adres e-mail. W tym wypadku (przesyłka o numerze listu przewozowego [...]) skarżący występował w roli nabywcy (odbiorcy) towaru, skarżący wybrał dostawę za pośrednictwem kuriera Spółki (D.), a adresem doręczenia był adres punktu odbioru D.. Spółka otrzymuje od A., zbiera i przetwarza dane odbiorcy na podstawie art. 6 ust. 1 lit. f RODO, w celu wykonania usługi kurierskiej. Spółka realizuje własny uzasadniony interes związany z wykonaniem usługi, a także interes podmiotów trzecich – A. wspierającego dostarczanie przesyłek w swoim serwisie, oraz przede wszystkim odbiorcy związany z dostarczeniem towaru nabytego przez odbiorcę przesyłki. Bez przekazywanych przez A. i przetwarzanych przez Spółkę danych osobowych, dostarczenie przesyłki do odbiorcy nie byłoby możliwe. Dane zostały przekazane przez A. w dniu [...] sierpnia 2023 r.
Dalej Spółka wyjaśniła, że "Wiadomość mailowa, której dotyczy skarga Skarżącego, to wiadomość potwierdzająca doręczenie przesyłki. Wysyłana jest automatycznie do każdego odbiorcy, po zrealizowaniu usługi. Wiadomość jest wysyłana w celu zapewnienia wysokiej jakości usług i ma ścisły związek z realizacją usługi na rzecz odbiorcy. W ramach wiadomości odbiorca jest informowany, że przesyłka została doręczona zgodnie ze zleceniem (lub odebrana z punktu odbioru D.). Celem wysyłki takich wiadomości jest m.in. to, że gdyby faktycznie przesyłka nie została doręczona lub nie została doręczona prawidłowo, informacja pozwala odbiorcy zareagować i zgłosić nam takie zdarzenia. W wiadomości potwierdzającej dostarczenie przesyłki, dodatkowo Spółka dziękuje za skorzystanie z usług Spółki oraz umieszcza link do ankiety, w której odbiorca może wyrazić swoją opinię o jakości usługi Spółki. Wypełnienie ankiety jest dobrowolne. Jeśli odbiorca nie wypełni ankiety, żadne jego dane osobowe nie są zbierane w tym procesie. Ewentualnie wypełniona ankieta jest faktycznie wykorzystywana przez Spółkę wyłącznie do monitorowania jakości usług. Wiadomość i ankieta nie ma charakteru marketingowego i jej przedmiotem nie jest składanie czy przedstawianie odbiorcom oferty usług. Odbiorca sam już wcześniej wybrał D. jako usługodawcę i dostawcę przesyłki. W ocenie Spółki przesyłana do odbiorców wiadomość potwierdzająca doręczenie przesyłki i będąca przedmiotem skargi Skarżącego nie ma charakteru marketingu bezpośredniego".
Spółka wskazała, że nie przetwarza danych osobowych skarżącego w celach marketingowych, nie pozyskuje i nie przechowuje danych skarżącego w celu kierowania do niego wiadomości marketingowych. Spółka nie zbiera od odbiorców zgód na kierowanie komunikacji związanej z wykonywaniem zamówionej usługi. Spółka przetwarza dane osobowe skarżącego jako samodzielny administrator w związku z realizacją usług kurierskich/pocztowych. Po wykonaniu usługi dane osobowe przetwarzane są w związku z realizacją obowiązków prawnych ciążących na administratorze (art. 6 ust. 1 lit. c RODO) zgodnie z politykami retencji i w ramach okresów wyznaczonych w oparciu o te obowiązki. Spółka przechowuje dane osobowe dotyczące odbiorcy i wykonanej usługi w związku z realizacją obowiązków związanych z przechowywaniem dowodów księgowych dotyczących świadczonych usług - ustawa z dnia 29 września 1994 r. o rachunkowości (Dz.U. 2023, poz. 120) - art. 73 i 74 oraz ustawa z dnia 29 sierpnia 1997 r. Ordynacja podatkowa (Dz. U. 2022, poz. 2651) - art. 32 i 86, a także obowiązków przechowywania danych o transakcjach wynikających z ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu - art. 49 ust. 1 pkt 2. Obecnie Spółka przetwarza również dane osobowe skarżącego w związku ze skargą i postępowaniem przed PUODO.
Spółka odpowiedziała skarżącemu na zgłoszony przez niego sprzeciw w dniu [...] grudnia 2023 r., godz. [...], jednocześnie go nie uwzględniając, cyt. "Zwracamy uwagę, że sprzeciw może zostać skutecznie wniesiony z przyczyn związanych ze szczególną sytuacją osoby, której dane dotyczą (art. 21 ust. 1 RODO) lub w przypadku, gdy dane osobowe przetwarzane są na potrzeby marketingu bezpośredniego (art. 21 ust. 2 RODO). Nie zidentyfikowaliśmy, aby zachodziła któraś z powyższych przesłanek. Nie przetwarzamy Pana danych osobowych w celach marketingowych. Otrzymał Pan od nas wiadomość mailową potwierdzającą doręczenie przesyłki, której celem jest zapewnienie najwyższej jakości usług. M.in. gdyby faktycznie przesyłka nie została doręczona lub nie została doręczona prawidłowo, informacja pozwala odbiorcy zareagować i zgłosić nam takie zdarzenia, albo ustalić kto dokonał odbioru (np. domownik). Jest to standardowa wiadomość wysyłana do wszystkich odbiorców otrzymujących przesyłki z A. za pośrednictwem D.".
Spółka wskazała, że nie uzyskiwała zgody skarżącego na przekazywanie informacji handlowych w trybie art. 10 ustawy z dnia 18 lipca 2022 r. o świadczenie usług drogą elektroniczną (Dz. U. z 2020 r. poz. 344, dalej, jako: uśude), ani zgody na przetwarzanie danych osobowych w celach marketingowych. W ocenie Spółki przekazanie klientowi Spółki e-maila potwierdzającego wykonanie usługi nie ma charakteru marketingowego i nie wymagało uzyskania zgody w trybie art. 10 uśude. Wiadomość email będąca przedmiotem skargi przede wszystkim stanowi informację o doręczeniu przesyłki i jest częścią usługi świadczonej przez Spółkę. Skarżący sam wybrał usługi Spółki dla dostawy zakupionego towaru. Wiadomość jest wysyłana automatycznie, a podstawowym celem jej wysłania jest przede wszystkim to, że gdyby faktycznie przesyłka nie została doręczona lub nie została doręczona prawidłowo, informacja pozwala odbiorcy zareagować i zgłosić Spółce takie zdarzenie. W istocie, do wiadomości dołączone są dodatkowe informacje, o charakterze jedynie subsydiarnym do głównej wiadomości. Spółka wyjaśniła, że informacja dotycząca "badania satysfakcji" nie ma w żaden sposób charakteru marketingowego i w związku z samym umieszczeniem linka w wiadomości mailowej, Spółka nie przetwarza danych skarżącego w celach marketingowych. Wiadomość mailowa zawiera również inne informacje, których Spółka nie identyfikuje jako stricte informacji handlowej, a w szczególności nie jako niezamówionej informacji handlowej. Po informacji dotyczącej doręczenia przesyłki, wraz z jej numerem, umożliwiającym odbiorcy w serwisach D. weryfikację statusu przesyłki, D. informuje, że "z przyjemnością doręczy kolejną paczkę". Sformułowanie ma charakter czysto grzecznościowy, podobny do podziękowań za skorzystanie z usługi lub za zaufanie udzielone dostawcy usług. Nie zawiera żadnej konkretnej oferty, propozycji innej usługi, etc. Skierowana jest do osoby, która już z usługi Spółki skorzystała. W mailu umieszczony jest również standardowy, aktualny baner ogólnie informujący o możliwości nadania przesyłek w punktach pick- up/paczkomatach. Być może komunikat w tym zakresie nie jest bardzo precyzyjny, ale za pośrednictwem wyżej wymienionych odbiorcy realizują zwroty towarów zakupionych na odległość, co dotyczy istotnego odsetka doręczonych przesyłek i stanowi element świadczonych przez D. usług. Informacja ułatwia ewentualny zwrot. Być może komunikację w tym zakresie można by realizować w bardziej skomplikowany sposób, ale nie wydawałoby się to korzystne z perspektywy zbiorowych interesów konsumentów. Jednocześnie baner, nie stanowi żadnej konkretnej oferty. Nawet przyjmując opinię przeciwną, to w ocenie Spółki nie jest to informacja "niezamówiona" w rozumieniu art. 10 uśude. Wiadomość przesyłana przez Spółkę dotyczy wykonania usługi i jest jej standardową częścią. Jako taka ma charakter wiadomości zamówionej.
PUODO rozstrzygając sprawę przytoczył treść art. 6 ust. 1 RODO i wskazał, że katalog przesłanek legalizujących przetwarzanie danych osobowych przez administratora tych danych ma charakter zamknięty. Tym samym, przetwarzanie danych osobowych jest dopuszczalne jedynie w przypadkach wskazanych w ww. przepisie rozporządzenia.
Spółka wskazała, że nie ma zgody na przetwarzanie danych osobowych skarżącego w celach marketingowych, ani zgody na przesyłanie informacji handlowej na adres e-mail. Spółka nie wskazała innej - niż zgoda - podstawy przetwarzania danych osobowych skarżącego w celach marketingowych. Spółka wskazała, że wysłała wiadomość o dostarczeniu przesyłki i jest to jedynie wysyłana automatycznie wiadomość w celu zapewnienia wysokiej jakości usługi. Natomiast skarżący wskazał, że wiadomość otrzymana od Spółki zawierała dodatkowo baner o treści cyt. "[...] Wyślij paczkę w jednym z ponad 24 000 punktów i automatów pączkowych!".
Zdaniem organu, wiadomość o treści jedynie informującej o doręczeniu przesyłki nie można uznać za marketing, jednak załączenie dobrowolnej ankiety dotyczącej oceny wykonanej usługi (badanie satysfakcji klienta), w ocenie organu, można uznać za marketing, a nie jedynie przyznanie klientowi możliwości współtworzenia bardziej jakościowych usług, na podstawie jego opinii.
Pojęcie marketingu bezpośredniego nie jest co prawda wprost zdefiniowane w przepisach o ochronie danych osobowych, jednak w ocenie organu, należy uznać, że za marketing bezpośredni rozumie się ogół działań administratora danych, które poprzez przekazywanie informacji do indywidualnych podmiotów mają na celu wywołanie reakcji ze strony osoby, której dane dotyczą, związanej z potrzebą posiadania określonego produktu czy skorzystania z usługi. Zdaniem organu, zacytowana wiadomość e-mail przesłana na adres e-mail skarżącego miała na celu promowanie wizerunku i usług Spółki. Tym samym działanie Spółki nakierowane było chociażby pośrednio na wywołanie reakcji skarżącego i osiągnięcie korzyści stricte handlowych. Działanie Spółki wykonane było zatem w celu marketingu bezpośredniego.
Organ odwołał się do treści art. 172 ust. 1 ustawy z dnia 16 lipca 2004 r. Prawo telekomunikacyjne (Dz. U. z 2022 r. poz. 1648 ze zm.) oraz art. 10 ust. 1 i 2 uśude i podniósł, że przepisy te uzależniają możliwość zgodnego z prawem prowadzenia marketingu bezpośredniego oraz przesyłania informacji handlowej dodatkowo od uzyskania odpowiednich zgód w tym zakresie. Spółka żadnej z ww. zgód nie posiadała.
PUODO wyjaśnił również, że skarżący oczekując dostarczenia przesyłki przez kuriera mógł się spodziewać, że wraz z jej dostarczeniem podmiot wykonujący usługę będzie podejmował też działania marketingowe. Przedstawiona przez skarżącego w skardze kopia wiadomości zawierająca baner o treści cyt. "D. Wyślij paczkę w jednym z ponad 24 000 punktów i automatów pączkowych!", w ocenie organu, nosi znamiona marketingu zachęcającego do skorzystania z usług Spółki. Zdecydowanie się na ww. usługę świadczoną przez Spółkę wiąże się, co oczywiste, z korzyściami finansowymi dla Spółki, ponieważ tego typu usługi są odpłatnie świadczone. Przekazanie informacji o dostarczeniu przesyłki nie może wiązać się z "przemycaniem" treści marketingowych, choćby w domyśle zachęcających do skorzystania z usług Spółki, względem klienta, co do którego Spółka nie posiada podstawy wysyłania wiadomości o charakterze marketingowym. Prawnie uzasadniony interes Spółki w prowadzeniu działań marketingowych wobec skarżonego nie znajduje uzasadnienia w żadnej z przesłanek legalności przetwarzania danych, bowiem brak zgody na prowadzenie takiego, o której mowa w art. 10 uśude determinuje, że nie można przyjąć zaistnienia przesłanki, o której mowa w art. 6 ust. 1 lit. f RODO.
Organ przytoczył treść art. 21 ust. 2 i 3 RODO i podniósł, że Spółka naruszyła przepisy o ochronie danych osobowych przetwarzając dane osobowe skarżącego w celach marketingowych bez stosownej ku temu podstawy prawnej, dlatego też PUODO uznał za uzasadnione na podstawie art. 58 ust. 2 lit. b RODO udzielenie Spółce upomnienia za naruszenie art. 6 ust. 1 RODO. Spółka przetwarzała dane skarżącego do celów marketingowych, zatem zgodnie z art. 21 ust. 3 RODO, po wniesieniu przez skarżącego sprzeciwu wobec takiego przetwarzania winna była sprzeciw ten uwzględnić, czego nie uczyniła, dlatego też PUODO, na podstawie art. 58 ust. 2 lit. c RODO, uznał za uzasadnione nakazanie Spółce uwzględnienia ww. sprzeciwu skarżącego.
Z tym rozstrzygnięciem Spółka nie zgodziła się i wywiodła skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie, wnosząc o uchylenie zaskarżonej decyzji i zasądzenie na rzecz Spółki kosztów postępowania, w tym kosztów zastępstwa procesowego według norm przepisanych.
Zaskarżonej decyzji zarzucono:
1. naruszenie przepisów postępowania tj. art. 7, art. 77 i art. 80 K.p.a. przez niepodjęcie z urzędu wszystkich czynności niezbędnych do dokładnego wyjaśnienia stanu faktycznego oraz do załatwienia sprawy, niezebranie i nierozpatrzenie w sposób wyczerpujący materiału dowodowego oraz dowolną, a nie swobodną ocenę dowodów skutkujące błędnym przyjęciem, że dołączenie przez Spółkę do wiadomości kierowanej do klienta zaproszenia do ankiety oceny jakości usługi, stanowiło przetwarzanie danych w celach marketingowych, co miało istotny wpływ na wynik sprawy, ponieważ doprowadziło PUODO do błędnego przyjęcia, że Spółka przetwarzała dane osobowe podmiotu danych w celach marketingowych bez podstawy prawnej;
2. naruszenie prawa materialnego, tj. art. 6 ust. 1 lit. f RODO w związku z art. 172 ust. 1 ustawy z dnia 16 lipca 2004 r. Prawo telekomunikacyjne oraz art. 10 ust. 1 i 2 uśude poprzez jego błędną wykładnię polegającą na przyjęciu, że dołączenie przez Spółkę do wiadomości kierowanej do odbiorcy zaproszenia do ankiety oceny jakości usługi, stanowiło marketing bezpośredni w rozumieniu Prawa telekomunikacyjnego lub informację handlową w rozumieniu uśude, co miało istotny wpływ na wynik sprawy, ponieważ doprowadziło do błędnego przyjęcia przez PUODO, że w braku zgody klienta na wysyłkę tego rodzaju informacji, Spółka nie posiadała podstawy prawnej przetwarzania danych osobowych skarżącego na podstawie art. 6 ust. 1 lit. f RODO.
W uzasadnieniu skargi wyjaśniono, że Spółka w pierwszej kolejności wskazała, że nie kwestionuje dokonanej przez organ oceny, dotyczącej zamieszczenia dodatkowego banera w wiadomości. Baner umieszczany jest w korespondencji szablonowo. Intencją Spółki nie była tutaj realizacji stricte marketingowych celów, niemniej Spółka przyjęła, że treść banera mogła zostać przez PUODO uznana za treść o charakterze marketingowym.
Spółka nie zgodziła się natomiast z interpretacją PUODO kwalifikującą zapytanie klienta przez Spółkę o ocenę jakości wykonanej usługi, jako działań marketingowych, w tym marketingu bezpośredniego/informacji handlowej w rozumieniu Prawa telekomunikacyjnego oraz uśude.
Spółka wyjaśniła, że przesyła do klientów zapytanie dotyczące wykonanej usługi i zbiera informacje zwrotne w tym zakresie wyłącznie w celu monitorowania i poprawy jakości świadczonych usług. Zebrane informacje wykorzystywane są w szeregu istotnych procesów wewnętrznych, zupełnie niezwiązanych z marketingiem: oceny pracy kurierów oraz innych pracowników Spółki, decyzji o zakończeniu współpracy z kurierami, przyznaniu nagrody, monitoringowi jakości usług i podejmowaniu decyzji o ewentualnych działaniach naprawczych na poziomie zarządczym. W skali roku Spółka uzyskuje w ten sposób bardzo cenną informację zwrotną od tysięcy użytkowników usług. Liczba wypełnionych odpowiedzi zwrotnych to ponad 200 tysięcy miesięcznie. Skutkiem błędnej interpretacji PUODO mogłaby być natomiast konieczność rezygnacji z procesu przez Spółkę, w tym ze szkodą dla klientów, którzy licznie korzystają z możliwości wyrażenia oceny i pomocy Spółki w poprawie lub utrzymaniu wysokiej jakości usług. W ocenie Spółki, posiada ona uzasadniony interes prawny w przetwarzaniu danych osobowych klientów – odbiorców przesyłek – w celu wysyłki zaproszenia do wypełnienia ankiety dotyczącej oceny usługi, wraz z wiadomością potwierdzającą doręczenie przesyłki (art. 6 ust. 1 lit. f RODO), a interes ten nie jest oparty na realizacji celów marketingowych. Zdaniem Spółki naruszenie przez organ przepisów prawa materialnego, jak i przepisów postępowania (które doprowadziły do błędów w ustaleniach faktycznych) doprowadziło do wydania nieprawidłowej decyzji. Spółka dalej w uzasadnieniu skargi szczegółowo uargumentowała swoje stanowisko.
Spółka wyjaśniła też, że z uwagi na treść sentencji decyzji zmuszona była zaskarżyć decyzję w całości. Celem Spółki jest natomiast ponowne rozpatrzenie przez PUODO sprawy i zmiana decyzji w zakresie w jakim PUODO zakwalifikował zapytanie o jakość usługi jako działania marketingowe.
W odpowiedzi na skargę organ wniósł o jej oddalenie i podtrzymała swoje dotychczasowe stanowisko.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:
W pierwszej kolejności należy przypomnieć, że zamknięty katalog przesłanek dopuszczalności przetwarzania danych osobowych określa art. 6 ust. 1 RODO. Stosownie do treści tego przepisu, przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy - i w takim zakresie, w jakim - spełniony jest co najmniej jeden z poniższych warunków:
a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów;
b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy;
c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze;
d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej;
e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi;
f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem.
Akapit pierwszy lit. f nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań.
W rozpoznawanej sprawie punktem spornym między stronami jest kwalifikacja tzw. badania satysfakcji klienta poprzez zamieszczenia w wiadomości mailowej potwierdzającej skuteczne doręczenie przesyłki, załącznika - linku do ankiety – jako działań marketingowych, w tym marketingu bezpośredniego/informacji handlowej w rozumieniu ustawy Prawo telekomunikacyjne oraz uśude.
W tym kontekście należy odwołać się do definicji pojęcia "marketingu bezpośredniego" zawartej w rekomendacji R (85)20 Komitetu Ministrów dla Państw Członkowskich w sprawie ochrony danych osobowych używanych dla celów marketingu bezpośredniego Rady Europy "Ochrona danych osobowych wykorzystywanych dla potrzeb marketingu bezpośredniego" z dnia [...] października 1985 r. Zgodnie z tą definicją, "marketing bezpośredni" to ogół działań, a także wszelkich dotyczących go usług pomocniczych, umożliwiających oferowanie produktów lub usług bądź przekazywanie innych informacji do grupy ludności - za pośrednictwem poczty, telefonu lub innych bezpośrednich środków - w celach informacyjnych bądź w celu wywołania reakcji ze strony osoby, której dane dotyczą. Zasadność odwołania się do przywołanej definicji dostrzegł też Sąd Ochrony Konkurencji i Konsumentów w wyroku z 21 marca 2014 r., sygn. akt AmT 10/12 (Lex nr 2155559) oraz Sąd Okręgowy w [...] w wyroku z dnia [...] grudnia 2020 r., sygn. akt [...].
W ocenie Sądu, w takim rozumieniu pojęcia marketingu bezpośredniego mieści się zapytanie klienta przez Spółkę o ocenę jakości wykonanej usługi. W przesłanej skarżącemu drogą mailową, wiadomości o skutecznym doręczeniu przesyłki, zamieszczony był link do ankiety dotyczącej oceny jakości wykonanej usługi. To dodatkowe działanie Spółki nie wchodzi w zakres wykonanej usługi. Takie działanie prawidłowo organ zakwalifikował jako marketing bezpośredni, bo polegało ono również na promowaniu konkretnej usługi. Jednocześnie organ nie zakwestionował – wbrew twierdzeniom Spółki - że zapytanie kierowane do skarżącego dotyczące wykonanej usługi ma na celu również zbieranie informacji zwrotnych w tym w zakresie monitorowania i poprawy jakości świadczonych usług.
Stwierdzenie, iż przetwarzanie danych osobowych skarżącego odbywało się dla celów marketingu bezpośredniego ma o tyle istotne znaczenie, że zgodnie z art. 6 ust. 1 lit. f RODO, przetwarzanie jest zgodne z prawem, gdy jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. W świetle natomiast motywu 47 zd. 6 RODO, za działanie wykonywane w prawnie uzasadnionym interesie można uznać przetwarzanie danych osobowych do celów marketingu bezpośredniego. Taki prawnie uzasadniony interes może istnieć na przykład, gdy zachodzi istotny i odpowiedni rodzaj powiązania między osobą, której dane dotyczą, a administratorem, na przykład gdy osoba, której dane dotyczą, jest klientem administratora lub działa na jego rzecz. Jednakże aby stwierdzić istnienie prawnie uzasadnionego interesu, należałoby w każdym przypadku przeprowadzić dokładną ocenę, w tym ocenę tego, czy w czasie i w kontekście, w którym zbierane są dane osobowe, osoba, której dane dotyczą, ma rozsądne przesłanki by spodziewać się, że może nastąpić przetwarzanie danych w tym celu (vide motyw 47 zd. 1 - zd. 3 RODO).
Natomiast w świetle dookreślającego i precyzującego przepisy RODO art. 172 ust. 1 ustawy Prawo telekomunikacyjne (w brzmieniu obowiązującym w dniu wydania zaskarżonej decyzji), zakazane jest używanie telekomunikacyjnych urządzeń końcowych i automatycznych systemów wywołujących dla celów marketingu bezpośredniego lub przesyłania niezamówionej informacji handlowej w rozumieniu ustawy z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną, chyba że abonent lub użytkownik końcowy uprzednio wyraził na to zgodę. Zgodnie zaś z art. 174 powołanej ustawy, do uzyskania zgody abonenta lub użytkownika końcowego stosuje się przepisy o ochronie danych osobowych. Dodatkowo jakkolwiek dystrybucja przez administratora danych w wiadomości e-mail - w celu umożliwienia klientom, którzy dokonali zakupu danego produktu, podzielenia się opinią na temat usługi doręczenia – może stanowić formę uzasadnionego interesu administratora danych na gruncie art. 6 ust. 1 lit. f RODO, to jednak, aby była ona zgodna z prawem, wymaga spełnienia warunku określonego w art. 10 uśdue (w brzmieniu obowiązującym w dniu wydania zaskarżonej decyzji).
Tej korelacji Spółka zdaje się nie zauważać. Z kolei wedle motywu 32 zd. 1 RODO, zgoda powinna być wyrażona w drodze jednoznacznej, potwierdzającej czynności, która wyraża odnoszące się do określonej sytuacji dobrowolne, świadome i jednoznaczne przyzwolenie osoby, których dane dotyczą, na przetwarzanie dotyczących jej danych osobowych i która ma na przykład formę pisemnego (w tym elektronicznego) lub ustnego oświadczenia.
Na gruncie przedmiotowej sprawy nie można mówić o zgodzie skarżącego na przetwarzanie jego danych osobowych w omawianym zakresie. Ta okoliczność nie jest sporna w sprawie. Również i Spółka przyznała, że zgodą taką nie dysponuje.
Podsumowując, PUODO trafnie stwierdził, że Spółka przetwarzała dane osobowe skarżącego bez podstawy prawnej w celach marketingowych, przez co naruszyła art. 6 ust. 1 RODO. Właściwe zatem było nałożenie na Spółkę kary upomnienia na podstawie art. 58 ust. 2 lit. b RODO, która jest karą najłagodniejszą.
W myśl art. 21 ust. 2 RODO, jeżeli dane osobowe są przetwarzane na potrzeby marketingu bezpośredniego, osoba, której dane dotyczą, ma prawo w dowolnym momencie wnieść sprzeciw wobec przetwarzania dotyczących jej danych osobowych na potrzeby takiego marketingu, w tym profilowania, w zakresie, w jakim przetwarzanie jest związane z takim marketingiem bezpośrednim. Jeżeli osoba, której dane dotyczą, wniesie sprzeciw wobec przetwarzania do celów marketingu bezpośredniego, danych osobowych nie wolno już przetwarzać do takich celów (art. 21 ust. 3 RODO). Złożenie sprzeciwu wobec przetwarzania do celów marketingu bezpośredniego oznacza, że administrator danych nie posiada uprawnień do przetwarzania w tym celu danych w żadnej formie, a nie tylko w formie, w której złożony został taki sprzeciw. Ponadto, w myśl art. 12 ust. 3 RODO, administrator bez zbędnej zwłoki - a w każdym razie w terminie miesiąca od otrzymania żądania - udziela osobie, której dane dotyczą, informacji o działaniach podjętych w związku z żądaniem na podstawie art. 15-22. W razie potrzeby termin ten można przedłużyć o kolejne dwa miesiące z uwagi na skomplikowany charakter żądania lub liczbę żądań. W terminie miesiąca od otrzymania żądania administrator informuje osobę, której dane dotyczą o takim przedłużeniu terminu, z podaniem przyczyn opóźnienia. Informacji udziela się na piśmie lub w inny sposób, w tym w stosownych przypadkach - elektronicznie.
W tej sprawie skarżący wniósł sprzeciw wobec przetwarzania jego danych osobowych w celach marketingowych. Spółka w udzielonej mu odpowiedzi z dnia [...] września 2023 r. w sposób wadliwy wskazała, że nie uwzględnia ww. sprzeciwu, ponieważ w ocenie Spółki, dane skarżącego nie były przetwarzane w ww. celu. Zdaniem Sądu, po wniesieniu przez skarżącego sprzeciwu, wobec przetwarzania danych osobowych bez podstawy prawnej w celach marketingowych (jak wyżej) - Spółka winna była sprzeciw ten uwzględnić, czego nie uczyniła. Z tego względu Sądu uznał za prawidłowe stanowisko PUODO, który na podstawie art. 58 ust. 2 lit. c RODO, uznał za uzasadnione nakazanie Spółce uwzględnienia ww. sprzeciwu skarżącego.
Z tych wszystkich względów, Wojewódzki Sąd Administracyjny w Warszawie, działając na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2024 r. poz. 935 ze zm.), oddalił skargę.