II SA/WA 698/24

II SA/Wa 698/24 - Wyrok WSA w Warszawie
Data orzeczenia
2025-02-05
orzeczenie prawomocne
Data wpływu
2024-05-13
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Arkadiusz Koziarski
Iwona Maciejuk /przewodniczący sprawozdawca/
Joanna Kube
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Uchylono zaskarżoną decyzję w części
Powołane przepisy
Dz.U. 2024 poz 935
art. 145 par. 1 pkt 1 lit. c, art. 200 w zw. z art. 205
Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t. j.)
Dz.U. 2022 poz 2000
art. 7, art. 77 par. 1, art. 80, art. 107 par. 3
Ustawa z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego - t.j.
Dz.U.UE.L 2016 nr 119 poz 1 art. 12 ust. 3, art. 21
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z  przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Iwona Maciejuk (spr.), Sędzia WSA Joanna Kube, Asesor WSA Arkadiusz Koziarski, , Protokolant starszy specjalista Elwira Sipak po rozpoznaniu na rozprawie w dniu 5 lutego 2025 r. sprawy ze skargi [...] Sp. z o.o. z siedzibą w [...] na punkt 2 decyzji Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] lutego 2024 r. nr [...] w przedmiocie przetwarzania danych osobowych 1. uchyla punkt 2 decyzji Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] lutego 2024 r. nr [...]; 2. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz skarżącego [...] Sp. z o.o. z siedzibą w [...] kwotę 697 (sześćset dziewięćdziesiąt siedem) złotych, tytułem zwrotu kosztów postępowania.
Uzasadnienie
Prezes Urzędu Ochrony Danych Osobowych decyzją z dnia [...] lutego 2024 r. nr [...]na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2023 r. poz. 775 ze zm.), art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781), art. 5 ust. 1 lit. a), art. 6 ust. 1, art. 12 ust. 3, art. 21 ust. 2 i 3, art. 58 ust. 2 lit. b) rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35) po przeprowadzeniu postępowania administracyjnego w sprawie skargi J. T., na nieprawidłowości w procesie przetwarzania jego danych osobowych przez [...] Sp. z o. o. z siedzibą w L., oraz przez [...]Spółka z o.o. (poprzednio: [...]Sp. z o. o.) z siedzibą w Warszawie w pkt 1 udzielił upomnienia [...] Sp. z o. o. z siedzibą w L., za naruszenie art. 5 ust. 1 lit. a) oraz art. 6 ust. 1 w zw. z art. 21 ust. 3 RODO polegające na przetwarzaniu danych osobowych J. T., w zakresie jego numeru telefonu [....] w celach marketingowych bez podstawy prawnej, mimo złożonego sprzeciwu wobec ich przetwarzania w tych celach, w pkt 2 udzielił upomnienia [...]Spółka z o.o. z siedzibą w W., za naruszenie art. 12 ust. 3 w zw. z art. 21 ust. 2 RODO polegające na niezapewnieniu realizacji żądania J. T., z dnia [....] stycznia 2019 r. dotyczącego przetwarzania jego danych osobowych wniesionego poprzez punkt kontaktowy ochrony danych [...].pl w terminie wynikającym z art. 12 ust. 3, w pkt 3 w pozostałym zakresie odmówił uwzględnienia wniosku.
Prezes UODO w uzasadnieniu wskazał, że do Urzędu Ochrony Danych Osobowych wpłynęła skarga J. T. na nieprawidłowości w procesie przetwarzania jego danych osobowych przez [...] Sp. z o. o. z siedzibą w L., zwaną dalej [...], oraz przez [...]Spółka z o.o. (poprzednio: [...]Sp. z o. o.) z siedzibą w W., zwaną dalej Spółką. W treści ww. skargi wnioskodawca podniósł cyt.: "(...) Od kilu lat dostawałem SMS reklamowe od salonów [...]w L. i D.. Po pierwszej mojej interwencji w styczniu dostałem zapewnienie, ze dane zostały wykasowane. Niestety SMSy nadal przychodziły. Po drugiej interwencji w maju zostałem znowu zapewniony [20 maja], ze teraz to już na pewno usunięto. Dzień później dostałem z salonu w L. kolejnego SMS na temat super promocji >Dni otwarte [...]<. Ponieważ straciłem już do nich cierpliwość proszę Państwa o interwencję (...)".
W toku przeprowadzonego postępowania wyjaśniającego Prezes UODO, ustalił następujący stan faktyczny:
1. Spółka jest importerem pojazdów marki [...]. Dystrybucja pojazdów [...], jak i świadczenie usług serwisowych odbywa się poprzez dealerów [...]. Dealerzy [...] są odrębnymi od Spółki podmiotami. Każdy dealer [...] zawarł ze Spółką umowę dealerską. Tak powstała struktura tworzy sieć dealerską Spółki. Spółka prowadzi stronę internetową www.[...].pl, w ramach której użytkownicy strony mogą skorzystać z wprowadzonych funkcjonalności, m.in. w postaci umówienia się na przegląd. Usługę serwisową świadczy już dealer [...] wybrany przez użytkownika w formularzu zgłoszeniowym. Dane osób zgłaszających się na wykonanie usługi u [...] [...] są przekazywane przez Spółkę właściwemu dealerowi [...] w celu zrealizowania zamówionej przez użytkownika usługi - pismo Spółki z dnia [....] września 2020 r. do UODO - w aktach sprawy.
2. Jak wynika z kl.zuli informacyjnej dostępnej na stronie internetowej Spółki www.[...].pl, celem przetwarzania danych klientów przez Spółkę jest obsługa zgłoszeń i zapytań w Biurze Obsługi Klienta, odbiorcami danych osobowych są podmioty świadczące na zlecenie Spółki usługi obsługi zgłoszeń, a także podwykonawcy zapewniający obsługę umów (w tym wybrany dealer), natomiast wszelkie wnioski dotyczące przetwarzania danych osobowych można przesłać m.in. na adres e-mail: [...], którego zadaniem jest udzielanie odpowiedzi na pytania i wnioski związane z Polityką prywatności, kl.zulami obowiązku informacyjnego, danymi osobowymi (i ich przetwarzaniem) - https://www.[...]. [....], [....] Jak wynika z Polityki prywatności Spółki, dostępnej na stronie internetowej Spółki i [...], celem przetwarzania danych osobowych jest m.in. komunikacja i działania związane z marketingiem, profilowanie w ramach marketingu. Klienci są w niej również informowani o prawie do sprzeciwu wobec wykorzystywania danych osobowych do celów marketingu bezpośredniego lub udostępnianiu ich podmiotom zewnętrznym w tym samym celu. Wskazany jest w niej ww. Punkt Kontaktowy Ochrony Danych ( [...].pl oraz [...]Sp. z o.o., ul. K. [....], [....] W., z dopiskiem "CSCR"). Punkt Kontaktowy Ochrony Danych oznacza osobę wyznaczoną przez [...] jako administratora danych, do której osoby, których dane dotyczą mają możliwość skierować swoje pytania lub wnioski dotyczące niniejszej Polityki i/lub przetwarzania danych osobowych i która to zajmie się takimi pytaniami i wnioskami - https://www.[...]. [....] . html, https://www.[...] [....] html, https://www.[...] [....] Spółkę oraz [...] łączy umowa dealerska - pismo Spółki z dnia [....]września 2020 r. do UODO, pismo [...] z dnia [...] września 2020 r. do UODO - w aktach sprawy.
3. Zgodnie z treścią Paragrafu 4: "Przetwarzanie i wykorzystywanie danych klienta do celów marketingowych" Załącznika nr 1 do Aneksu nr 1 umowy dealerskiej z dnia [....] maja 2018 r. stanowiącej załącznik nr [....]do Umowy dealerskiej między Spółką a [...], jeżeli [....]przetwarza dane klienta do celów marketingowych, musi on w każdym przypadku zapewnić, że zawsze posiada do tego odpowiednią podstawę prawną zgodnie z obowiązującym prawem ochrony danych i prywatności. W związku z tym, w szczególności na żądanie [...]i w sposób określony przez [....]: [....]podejmie rozsądne wysiłki w celu uzyskania do klientów wszelkich zgód umożliwiających wysyłanie klientom komunikatów marketingowych; oraz w przypadku, gdy konieczna zgoda(y) nie została otrzymana od klienta albo, jeżeli klient wycofał swoją zgodę(y), [....]skoryguje lub usunie dane klienta związane z takim klientem z systemów obsługi danych klienta albo przekaże informację [....] zgodnie z odrębnie przekazaną Instrukcją - Załącznik nr 1 do Aneksu nr 1 umowy dealerskiej z dnia [...] maja 2018 r. stanowiącej załącznik nr 19 do Umowy dealerskiej między Spółką a [...] - w aktach sprawy.
4. Zgodnie z treścią Paragrafu 2: "Obsługa i Jakość Danych Klienta – Zgodność z Obowiązującym Prawem Ochrony Danych i Prywatności - Witryna i Portal [...] - Punkty Kontaktów z Klientami" Załącznika nr 1 do Aneksu nr 1 umowy dealerskiej z dnia [...] maja 2018 r. stanowiącej załącznik nr 19 do Umowy dealerskiej między Spółką a [...], w odniesieniu do przetwarzania i użytkowania danych klienta przez TME i [....] w ramach Witryny i Portalu [...](tam, gdzie jest to dostępne), to poza prawem do użytkowania danych klienta określonym przez TME i/lub [....], [....]nie przysługują jakiekolwiek prawa w odniesieniu do jakichkolwiek danych klienta przetwarzanych poprzez Witrynę i Portal [...](2.3). W odniesieniu do danych klienta zebranych przez .[....] poprzez jakiekolwiek punkty kontaktów z klientami .[....], [....], na żądanie [...]i tam, gdzie jest to istotne, odpowiednio w stosunku do wybranych danych, zapewni, że: [...] będzie administratorem danych razem z [...] zgodnie z obowiązującym prawem ochrony danych i prywatności i zostanie oficjalnie określona jako taka we wszystkich obowiązujących dokumentach dla Klientów (w tym, między innymi, w odnośnej polityce prywatności i obowiązku (ach) informacyjnych) (2.4 [ii]), albo [....]będzie administratorem danych, zgodnie z obowiązującym prawem ochrony danych i prywatności i zostanie oficjalnie określony jako taki we wszystkich obowiązujących dokumentach dla klientów (w tym, między innymi, w odnośnej polityce prywatności i obowiązku (ach) informacyjnych i, tam, gdzie to dotyczy, we wszystkich wnioskach o wydanie zgody, w szczególności w odniesieniu do własnych systemów informatycznych, nie udostępnionych przez [....] (2.4 [iii]) - Załącznik nr 1 do Aneksu nr 1 umowy dealerskiej z dnia [...] maja 2018 r. stanowiącej załącznik nr 19 do Umowy dealerskiej między Spółką a [...] - w aktach sprawy.
5. Spółka w dniu [....] stycznia 2017 r. pozyskała dane wnioskodawcy w zakresie jego imienia, nazwiska, adresu e-mail, numeru telefonu, nr VIN pojazdu, na skutek przesłania przez niego formularza "Umów się na przegląd" znajdującego się na stronie internetowej Spółki www.[...].pl. W formularzu wnioskodawca zaznaczył preferowanego [...] [...] do wykonania usługi przeglądu, tj. [...] - pismo Spółki z dnia [....] września 2020 r. do UODO - w aktach sprawy.
6. Dealer pozyskał dane osobowe wnioskodawcy w postaci: imię, nazwisko, numer telefonu, adres e-mail w dniu [....] stycznia 2017 r. w wyniku wypełnienia przez niego ww. formularza zgłoszeniowego. Dealer przetwarzał dane osobowe wnioskodawcy w celu podjęcia działań przed zawarciem umowy zlecenia usługi serwisowej. Aktualnie przetwarza dane osobowe wnioskodawcy m. in. w celu wykonania i na podstawie zawartej umowy gwarancji dotyczących nabytych produktów lub usług, w celu udokumentowania wykonanej usługi lub umowy na podstawie obowiązków wynikających z przepisów ustawy o rachunkowości i prawa podatkowego oraz w celu wypełnienia innych obowiązków wynikających z przepisów prawa, w celach archiwalnych (dowodowych) - pismo [...] z dnia [....] sierpnia 2019 r. do UODO - w aktach sprawy.
7. Dealer posiada oddział, który działa pod firmą [...] Spółka z ograniczoną odpowiedzialnością z siedzibą w L. Oddział D. z siedzibą w D. przy ul. W. [...] - Informacja odpowiadająca odpisowi aktualnemu z Rejestru przedsiębiorców Krajowego Rejestru Sądowego (Numer KRS: [...] - https[...].).
8. Spółka nie przetwarza danych wnioskodawcy w celach marketingowych – pismo Spółki z dnia 28 września 2020 r. do UODO - w aktach sprawy.
9. Wnioskodawca w styczniu, kwietniu i maju 2019 r. otrzymał od [...] sms-y marketingowe o treści cyt. : "W salonie [...]w L. trwa [...][...]jeszcze bardziej obniżył ceny .t! Zapraszamy do [...]w L. codziennie do godz. 18:00, a w najbliższa sobotę i niedziele do 16:00 i na [...] PS. Dotarła do nas nowa [...] [...] ! Przetestuj ja przed wszystkimi!", "W salonie [...]w D. trwa Tydzień Wyprzedaży! [...] ! [...]jeszcze bardziej obniżył ceny .t! Zapraszamy do [...]w D. codziennie do godz. 19:00, a w najbliższa sobotę i niedziele do 16:00 i [...] PS. Dotarła do nas nowa [...] [...]! Przetestuj ja przed wszystkimi!" "Zapraszamy na premiere trzech modeli [...] Przyjdz [...] kwietnia i przetestuj [...], [...] lub [...]. Zapisz sie na [...]", "[...] maja zapraszamy na Dni Otwarte [...] ! Przyjdz, przetestuj i zamów jeden z modeli premierowych 2019 roku. Umów bezpłatny test na [...]" - skarga, wydruki wiadomości sms, korespondencja e-mailowa wnioskodawcy ze Spółką poprzez ww. punkt kontaktowy klient@[...].pl z dnia: [...] stycznia 2019 r., [...] kwietnia 2019 r., [...] maja 2019 r., [...] maja 2019 r., [...] maja 2019 r. - w aktach sprawy.
10. W dniu [...] stycznia 2019 r. na adres e-mailowy klient@[...].pl Spółka w ramach ww. punktu kontaktowego otrzymała żądanie wnioskodawcy skierowane do [...] [...] dotyczące usunięcia jego danych teleadresowych z baz danych salonów [...] o treści cyt.: "Proszę o usuniecie wszystkich moich danych teleadresowych z Waszych salonów. 11 lat temu kupowałem samochód w salonie [...](W.), który już nie istnieje. Nie wiem dlaczego moje dane zostały przekazane do nowego salonu w D.. Wczoraj otrzymałem z kolei SMS z salonu w L., gdzie nigdy nie byłem. Kto u Państwa odpowiada, za rozsyłanie moich danych osobowych po innych salonach?". Realizując ww. wniosek, Spółka skierowała prośbę o usunięcie danych wnioskodawcy do [...] - pismo Spółki z dnia [...] września 2020 r. do UODO, wiadomość e-mail wnioskodawcy do Spółki z dnia [...] stycznia 2019 r. godz. 10:03 - w aktach sprawy.
11. Jak oświadczyła Spółka w toku niniejszego postępowania cyt.: "(...) W trakcie realizacji wniosku przez stację dealerską prowadzona była dalsza korespondencja poprzez adres mailowy klient@[...].pl, a ostatecznie [...] maja 2019 r. Skarżący potwierdził, że nie otrzymywał już dalszych komunikatów marketingowych na podany przez niego numer telefonu. W związku z tym, że była to ostatnia wiadomość Skarżącego w tym temacie sprawa została zakwalifikowana przez Spółkę jako zakończona, a wniosek Skarżącego jako zrealizowany (...)" - pismo Spółki z dnia [...]września 2020 r. do UODO - w aktach sprawy.
12. Jak oświadczył Dealer wtoku niniejszego postępowania cyt.: "(...) W dniu [...] maja 2019 r. pracownik spółki pod firmą: [...] [...] Sp. z o.o. z siedzibą w W. (...)- w drodze korespondencji e-mail - poinformował pracownika naszej Spółki o konieczności usunięcia numeru telefonu Skarżącego z baz marketingowych (...). Pracownik naszej Spółki w dniu [...] maja 2019 r. wprowadził do systemu informatycznego oświadczenie klienta o braku zgody na przetwarzanie jego numeru telefonu do celów marketingowych (...). Wprowadzenie ww. oświadczenia skutkuje brakiem możliwości przetwarzania danych osobowych Skarżącego do celów marketingowych. Fakt uczynienia zadość żądaniu J. T. został potwierdzony również w korespondencji e-mail zaadresowanej do importera [...](korespondencja e-mail z dnia [...] maja 2019 r.) - pismo [...] z dnia [...] sierpnia 2019 r. do UODO- w aktach sprawy.
13. Jak wynika z korespondencji e-mailowej [...] ze Spółką, Spółka w dniu[...] maja 2019 r. zwróciła się do [...] o usunięcie numeru telefonu wnioskodawcy [...] z baz marketingowych, zaś Dealer w dniu [...] maja 2019 r. poinformował Spółkę, iż cyt.: "(...) zgoda na przetwarzanie danych osobowych została wycofana" - wiadomość e-mail Spółki do [...] z dnia [...] maja 2019 r. godz. 4:01 PM, wiadomość e-mail [...] do Spółki z dnia [...] maja 2019 r. godz. 4:03 PM - w aktach sprawy.
14. Jednocześnie Dealer oświadczył cyt.: "(...) wyjaśniamy, iż w maju 2019 r. dział marketingu Spółki promował nowy model samochodu [...], podczas Dni Otwartych salonu. W dniu [...] kwietnia 2019 r. (a więc przed wprowadzeniem do systemu informatycznego oświadczenia klienta o braku zgody na przetwarzanie jego danych osobowych w celach marketingowych) z ww. systemu informatycznego - w celu przesłania informacji sms-owej o Dniach Otwartych i promocji [...] - został wygenerowany numer telefonu Skarżącego, a następnie w dniu [...] maja 2019 r. numer telefonu Skarżącego został wprowadzony do systemu Smsapi.pl obsługiwanego przez spółkę [...] Sp. z o.o. (z którą Spółka zawarła umowę powierzenia danych osobowych). Skarżący wiadomość sms-ową informującą o Dniach Otwartych i promocji [...] otrzymał tego samego dnia (...)" - pismo [...] z dnia [...] sierpnia 2019 r. do UODO, umowa powierzenia przetwarzania danych osobowych z dnia [...] czerwca 2018 r. zawarta przez [...] z [...] Sp. z o.o. z siedzibą w G. przy ul. T. [...] - w aktach sprawy.
15. Dealer wykonywał na rzecz wnioskodawcy usługę serwisową na podstawie zgłoszenia z dnia [...] kwietnia 2019 r. - zlecenie wykonania usługi [...] z dnia [...] maja 2019 r. - w aktach sprawy.
Prezes UODO wskazał m.in., że w niniejszym postępowaniu wnioskodawca kwestionował przetwarzanie przez [...] jego danych osobowych w postaci numeru telefonu w celach marketingowych bez podstawy prawnej oraz nieusunięcie jego danych, mimo zgłoszonego żądania w tym przedmiocie. Natomiast nie kwestionował przetwarzania jego danych osobowych przez Spółkę. Prezes UODO wskazał, iż poprzez administrowanie stroną internetową www.[...].pl, za pośrednictwem której wnioskodawca umówił się na usługę serwisową u [...], jak również poprzez administrowanie punktem kontaktowym klient@[...].pl, za pośrednictwem którego złożył żądanie usunięcia danych osobowych, Spółka uczestniczyła w procesie przetwarzania danych osobowych wnioskodawcy.
Prezes UODO zaznaczył, że z materiału dowodowego niniejszej sprawy wynika, iż administratorem danych osobowych wnioskodawcy w rozumieniu art. 4 pkt 7 RODO, stosownie do którego "administrator" oznacza osobę fizyczną lub prawną, organ publiczny, jednostkę lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych jest zarówno Spółka, jak i Dealer. Spółka w zakresie danych osobowych i celów ich przetwarzania związanych z funkcjonowaniem strony internetowej www.[...].pl oraz punktu kontaktowego klient@[...].pl, natomiast Dealer w zakresie danych przetwarzanych dla celów związanych z realizacją usługi serwisowej i marketingu produktów i usług (kwestionowanego w skardze inicjującej postępowanie w sprawie). Jakkolwiek podmioty korzystają z punktu kontaktowego, dla osób, których dane dotyczą, o którym mowa w art. 26 ust. 1 RODO, to jednak z materiału dowodowego sprawy nie wynika, by wspólnie ustalały cele i sposoby przetwarzania danych wnioskodawcy, zwłaszcza w zakresie celów dla kwestionowanego w sprawie marketingu bezpośredniego. Jak wynika ze wskazanego w pkt 5 niniejszej decyzji Załącznika nr [...] do Aneksu nr [...] umowy dealerskiej z dnia [...] maja 2018 r. stanowiącej załącznik nr 19 do umowy dealerskiej między Spółką a [...], Dealer samodzielnie decyduje o sposobie przetwarzania danych klienta dla celów marketingowych. W ww. załączniku wskazane zostało bowiem, że jeżeli dealer [...](zatem również Dealer) przetwarza dane klienta do celów marketingowych, musi on w każdym przypadku zapewnić, że zawsze posiada do tego odpowiednią podstawę prawną. Natomiast za realizację żądań dotyczących praw osób, których dane dotyczą, zgłaszanych za pośrednictwem ww. punktu kontaktowego odpowiada Spółka (pkt 3, pkt 6 niniejszej decyzji).
Prezes UODO oceniał pod kątem zgodności z przepisami RODO przetwarzanie danych osobowych wnioskodawcy przez [...] oraz realizację jego wniosku z dnia [...] stycznia 2019 r. Ocena legalności przetwarzania ww. danych przez [...] przeprowadzona została w odniesieniu do przesłanek określonych w art. 6 ust. 1 RODO zgodnie z którym przetwarzanie danych jest dopuszczalne tylko wtedy, gdy spełniona jest jedna z przesłanek wskazanych w tym przepisie. Organ przytoczył art. 6 ust. 1 RODO, motyw 47 RODO, art. 5 ust. 1 lit. a) RODO, art. 21 ust. 2 RODO, art. 21 ust. 3 RODO, art. 17 ust. 1 RODO.
Prezes UODO wskazał, iż z materiału dowodowego niniejszej sprawy wynika, iż Dealer pozyskał dane osobowe wnioskodawcy, w tym zakresie jego numeru telefonu, w dniu [...] stycznia 2017 r. w wyniku wypełnienia przez niego ww. formularza zgłoszeniowego "Umów się na przegląd" w celu wykonania na rzecz wnioskodawcy usługi serwisowej, przekazane mu przez Spółkę. Z materiału dowodowego sprawy wynika również, iż Dealer przetwarzał numer telefonu wnioskodawcy w celach marketingowych przesyłając mu sms’y reklamowe opisane w pkt 11 niniejszej decyzji. Z materiału dowodowego sprawy wynika także, iż wnioskodawca za pośrednictwem ww. punktu kontaktowego klient@[...].pl, wskazanego jako właściwy w sprawach dotyczących przetwarzania danych osobowych, zarówno na stronie internetowej Spółki, jak i [...], w dniu [...] stycznia 2019 r. zwrócił się o usunięcie wszystkich jego danych teleadresowych, wskazując w szczególności na otrzymywanie sms’a od salonu w L., w którym nigdy nie był. Przeprowadzone w sprawie postępowanie dowodowe nie wykazało podstaw prawnych przetwarzania przez [...] numeru telefonu wnioskodawcy w celach marketingowych, w szczególności Dealer nie wykazał, by legitymował się zgodą wnioskodawcy (art. 6 ust. 1 lit. a RODO), którą to zgodę miałby, zgodnie z e-mailem z dnia [...] maja 2019 r. opisanym w pkt 15 niniejszej decyzji, "wycofać". Niemniej jednak, zważywszy na istnienie pomiędzy [...] a Skarżącym "powiązania", o którym mowa w motywie 47 RODO, w postaci zlecenia wykonania usługi serwisowej przez wnioskodawcę, Prezes UODO uznał, iż Dealer co do zasady mógł przetwarzać dane osobowe wnioskodawcy w celu realizacji prawnie uzasadnionego interesu, jakim jest marketing bezpośredni produktów lub usług i przetwarzanie to miało oparcie w art. 6 ust. 1 lit. f RODO.
Prezes UODO wyjaśnił, że istotnym dla rozstrzygnięcia niniejszej sprawy było, czy wnioskodawca żądając w ww. wiadomości e-mail z dnia [...] stycznia 2019 r. usunięcia jego danych osobowych, wniósł jednocześnie sprzeciw wobec przetwarzania jego danych osobowych w celach marketingowych, o którym mowa w art. 21 ust. 2 RODO.
Prezes UODO biorąc pod uwagę okoliczności sprawy, jakkolwiek sprzeciw ten nie został wyrażony wprost, to jednak z uwagi na to, iż ww. wiadomość z dnia 22 stycznia 2019 r. została przez wnioskodawcę wysłana bezpośrednio po otrzymaniu od [...] wiadomości o charakterze marketingowym, jak również z uwagi na treść dalszej korespondencji w tym przedmiocie prowadzonej przez wnioskodawcę poprzez ww. punkt kontaktowy klient@[...].pl w dniach [...] kwietnia 2019 r., [...] maja 2019 r., [...] maja 2019 r., [...] maja 2019 r., z której wynika, iż wnioskodawca kwestionował otrzymywanie sms’ow marketingowych od [...], uznał, iż intencją wnioskodawcy było sprzeciwienie się otrzymywaniu tego typu wiadomości marketingowych od [...]. W doktrynie wskazuje się, że skorzystanie z uprawnienia do wniesienia sprzeciwu nie wymaga zachowania określonej formy ani wykorzystania słowa "sprzeciw". Wystarczy, aby z treści żądania podmiotu danych wyraźnie wynikała intencja wniesienia sprzeciwu (por. P. Fajgielski [w:] Komentarz do rozporządzenia nr 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) [w:] Ogólne rozporządzenie o ochronie danych. Ustawa o ochronie danych osobowych. Komentarz, wyd. II, Warszawa 2022, art. 21, opublikowano: WKP 2022). W związku z powyższym Prezes UODO stwierdził, że przetwarzanie danych osobowych wnioskodawcy w kwestionowanym celu marketingowym po dniu [...] stycznia 2019 r. nastąpiło z naruszeniem art. 21 ust. 2 i 3 RODO wobec zgłoszonego przez wnioskodawcę sprzeciwu w dniu 22 stycznia 2019 r. Jednakże, z materiału dowodowego sprawy wynika, iż wnioskodawca opisane wyżej żądanie złożył w dniu [...] stycznia 2019 r., to jednak do [...] (odpowiedzialnego za przetwarzanie danych wnioskodawcy w kwestionowanych celach marketingowych) dotarło ono dopiero w dniu [...] maja 2019 r., kiedy to Spółka drogą elektroniczną zwróciła się do [...] o usunięcie numeru telefonu wnioskodawcy z baz marketingowych, zaś ten je zrealizował w dniu [...] maja 2019 r. Skoro zatem Spółka przyjęła, iż punktem kontaktowym w sprawach dotyczących ochrony danych osobowych jest prowadzony przez nią punkt kontaktowy klient@[...].pl dla osób, których dane dotyczą, wspólny i właściwy dla niej i wszystkich dealerów [...], będąc jednocześnie administratorem danych osobowych wnioskodawcy w związku z ww. zgłoszeniem opisanym w pkt 6 niniejszej decyzji odpowiedzialnym za funkcjonowanie tego punktu, winna zapewnić realizację żądania z dnia [...] stycznia 2019 r. w terminie określonym w art. 12 ust. 3 RODO. Zgodnie z art. 12 ust. 3 RODO, administrator bez zbędnej zwłoki - a w każdym razie w terminie miesiąca od otrzymania żądania - udziela osobie, której dane dotyczą, informacji o działaniach podjętych w związku z żądaniem na podstawie art. 15-22. W razie potrzeby termin ten można przedłużyć o kolejne dwa miesiące z uwagi na skomplikowany charakter żądania lub liczbę żądań. W terminie miesiąca od otrzymania żądania administrator informuje osobę, której dane dotyczą o takim przedłużeniu terminu, z podaniem przyczyn opóźnienia. Jeśli osoba, której dane dotyczą, przekazała swoje żądanie elektronicznie, w miarę możliwości informacje także są przekazywane elektronicznie, chyba że osoba, której dane dotyczą, zażąda innej formy.
Wobec przekazania przez Spółkę żądania wnioskodawcy z dnia [...] stycznia 2019 r. Dealerowi w dniu [...] maja 2019 r. doszło tym samym do naruszenia przez Spółkę art. 12 ust. 3 RODO w związku z art. 21 ust. 2 RODO. Natomiast, wobec kwestionowanego przetwarzania danych osobowych w celach marketingowych przez [...] po dacie 8 maja 2019 r., kiedy to otrzymał sprzeciw wnioskodawcy, przetwarzanie to nastąpiło z naruszeniem przez [...] art. 5 ust. 1 lit. a) RODO oraz art. 6 ust. 1 RODO w zw. z art. 21 ust. 2 i 3 RODO. Jakkolwiek Dealer oświadczył, iż do przetwarzania tego doszło w sposób niezamierzony, gdyż w dniu [...] kwietnia 2019 r. (a więc przed wprowadzeniem do systemu informatycznego oświadczenia wnioskodawcy o braku zgody na przetwarzanie jego danych osobowych w celach marketingowych) z ww. systemu informatycznego - w celu przesłania informacji sms-owej o Dniach Otwartych i promocji [...]- został wygenerowany numer telefonu wnioskodawcy, a następnie w dniu [...] maja 2019 r. wprowadzony do systemu obsługiwanego przez spółkę [...] Sp. z o.o., realizującą na rzecz [...] kampanie reklamowe, to jednak niewątpliwie kwestionowane przetwarzanie miało miejsce.
Wobec powyższego, konieczne stało się skorzystanie przez Prezesa UODO z uprawnień naprawczych określonych w art. 58 ust. 2 lit. b) RODO i udzielenie zarówno Dealerowi, jak i Spółce upomnień wobec naruszenia ww. przepisów RODO przez operacje przetwarzania. W związku z powyższym Prezes UODO udzielił upomnienia Dealerowi za naruszenie art. 5 ust. 1 lit. a) oraz art. 6 ust. 1 w zw. z art. 21 ust. 3 RODO polegające na przetwarzaniu danych osobowych wnioskodawcy w zakresie jego numeru telefonu [...] w celach marketingowych bez podstawy prawnej, mimo złożonego sprzeciwu wobec ich przetwarzania w tych celach, natomiast Spółce za naruszenie art. 12 ust. 3 w zw. z art. 21 ust. 2 RODO polegające na niezapewnieniu realizacji żądania wnioskodawcy z dnia 22 stycznia 2019 r. dotyczącego przetwarzania jego danych osobowych wniesionego poprzez punkt kontaktowy ochrony danych klient@[...].pl w terminie wynikającym z art. 12 ust. 3 RODO. Aktualnie Dealer nie przetwarza już danych wnioskodawcy w celach marketingowych. Odnosząc się natomiast do wniosku dotyczącego usunięcia danych osobowych przez [...] Prezes UODO wskazał, iż z materiału dowodowego sprawy wynika, iż Dealer przetwarza dane wnioskodawcy również w związku ze zleceniem wykonania usługi [...] z dnia [...] maja 2019 r. Jak wskazał w szczególności przetwarza dane w celu udokumentowania wykonanej usługi, na podstawie obowiązków wynikających z przepisów ustawy o rachunkowości i prawa podatkowego oraz w celu wypełnienia innych obowiązków wynikających z przepisów prawa. W związku z powyższym przetwarzanie to ma oparcie w art. 6 ust. 1 lit. c) RODO w związku z art. 74 ust. 2 ustawy z dnia 29 września 1994 r. o rachunkowości (Dz. U. z 2023 r. poz. 120 ze zm.), jako działanie w celu wykonania obowiązku prawnego przejawiającego się przechowywaniu faktur oraz dokumentów księgowych dotyczących wykonanej usługi. Stosownie bowiem do art. 74 ust. 2 ustawy o rachunkowości, dowody księgowe dotyczące środków trwałych w budowie, pożyczek, kredytów oraz umów handlowych, roszczeń dochodzonych w postępowaniu cywilnym lub objętych postępowaniem karnym albo podatkowym - przechowuje się co najmniej przez okres 5 lat od początku roku następującego po roku obrotowym; w którym operacje, transakcje i postępowanie zostały ostatecznie zakończone, spłacone, rozliczone lub przedawnione (pkt 4), dokumenty dotyczące rękojmi i reklamacji -1 rok po terminie upływu rękojmi lub rozliczeniu reklamacji (pkt 6), pozostałe dowody księgowe i sprawozdania, których obowiązek sporządzenia wynika z ustawy - 5 lat (pkt 8). Zgodnie z art. 74 ust. 3 ustawy o rachunkowości, okresy przechowywania ustalone w ust. 2 oblicza się od początku roku następującego po roku obrotowym, którego dane zbiory dotyczą. Tym samym wniosek dotyczący usunięcia danych osobowych przez [...] nie zasługiwał na uwzględnienie.
Decyzja Prezesa UODO z dnia [...] lutego 2024 r. nr [...]w zakresie punktu 2 stała się przedmiotem skargi [...]sp. z o.o. do Wojewódzkiego Sądu Administracyjnego w Warszawie. Spółka wniosła o uchylenie zaskarżonej decyzji w zakresie punktu 2, zasądzenie kosztów postępowania oraz przeprowadzenie dowodu uzupełniającego z dokumentu w postaci: wydruku wiadomości e-mail przesłanych przez Spółkę do [...] w dniach [...] r. i [...] r. zarzucając naruszenie art. 7 w zw. z art. 77 § 1 i art. 80 k.p.a. polegające na braku dokładnego zebrania i rozpatrzenia materiału dowodowego i niepodjęciu wszelkich kroków niezbędnych do dokładnego wyjaśnienia stanu faktycznego i załatwienia sprawy, przejawiające się w braku ustalenia wszystkich okoliczności związanych z poinformowaniem [...] przez Spółkę o żądaniu Podmiotu danych; art. 107 § 3 k.p.a., poprzez brak dostatecznego uzasadnienia faktycznego i prawnego skarżonej decyzji; art. 12 ust 3 w zw. z art. 21 ust. 2 RODO poprzez ich niewłaściwe zastosowanie wobec Spółki w sytuacji gdy nie była ona podmiotem zobowiązanym do realizacji żądania; art 58 ust 2 lit b RODO poprzez jego błędne zastosowanie i udzielenie Spółce upomnienia z tytułu naruszenia przepisów RODO, pomimo iż Spółka nie dopuściła się naruszenia przepisów RODO.
Spółka w uzasadnieniu wyjaśniła, że w dniu 22.01.2019 r. J. T. na adres e-mail klient@[...].pl (adres Punktu Kontaktowego Ochrony Danych) wysłał żądanie skierowane do [...] [...]z prośbą o usunięcie jego danych teleadresowych, bowiem otrzymywał wiadomości tekstowe (SMS) o treści marketingowej. Spółka, prowadząca Punkt Kontaktowy Ochrony Danych, w odpowiedzi na żądanie, w dniu [...] r. skierowała drogą mailową do [...] prośbę o usunięcie danych wnioskodawcy. Prośba pozostała bez odpowiedzi, dlatego Spółka (za pośrednictwem Punktu Kontaktowego Ochrony Danych) ponowiła kontakt z [...] w dniu [...] r., który również był nieskuteczny. W międzyczasie, zanim Spółce udało się skutecznie skontaktować z [...], w dniu [...] r. wnioskodawca otrzymał kolejną wiadomość SMS, w związku z czym ponownie napisał na adres [...] wiadomość e-mail z żądaniem usunięcia jego danych. Punkt Kontaktowy Ochrony Danych kontaktował się z [...] jeszcze telefonicznie i ponownie drogą mailową-na nowy, wskazany przez [...] adres e-mail, wysyłając w dniu [...] r. ponowną prośbę o usunięcie danych. Dealer poinformował Spółkę i wnioskodawcę o usunięciu danych w dniu [...] r., podobnie Spółka (na skutek potwierdzenia usunięcia danych przez [...]) skontaktowała się z wnioskodawcą w dniu [...] r., zapewniając o usunięciu jego danych przez [...]. Żądanie zostało zrealizowane, jednak na skutek pomyłki (lista numerów do wysyłki wiadomości SMS została przygotowana przez [...] i przekazana jego podmiotowi przetwarzającemu z dużym wyprzedzeniem czasowym i nie dokonano jej ponownej weryfikacji po uwzględnieniu żądania) w dniu [...] r. Dealer ponownie skierował do wnioskodawcy kolejną komunikację marketingową, co skutkowało złożeniem skargi na działanie [...].
Spółka omówiła szerzej zarzuty skargi. Podniosła, że Prezes UODO ograniczył postępowanie wyjaśniające do zadania Spółce kilku pytań dotyczących przetwarzania przez nią danych osobowych wnioskodawcy. Organ przyjął, że do pierwszego kontaktu w celu przekazania informacji Dealerowi doszło dopiero w dniu [...] r. - data ta została wskazana przez [...], bowiem dopiero wtedy otrzymał wiadomość na wskazany przez niego nowy adres e-mail. Nie oznacza to jednak, że nie było wcześniejszych prób kontaktu z [...] ze strony Spółki. Organ oparł się jedynie na wyjaśnieniach [...] oraz korespondencji mailowej między Klientem a Spółką, nie uwzględniając części komunikacji mającej miejsce między Spółką a [...]. Punkt Kontaktowy Ochrony Danych prowadzony na zlecenie Spółki dwukrotnie kontaktował się w tej sprawie z [...] mailowo przed dniem [...]r. Kontakt był nieskuteczny z powodu zmiany adresu e-mail do kontaktu, o której to zmianie Spółka nie została poinformowana, zatem z powodów niezależnych od Spółki i przez nią niezawinionych. Spółka kontaktowała się z [...] również telefonicznie, jednak z powodu upływu czasu nie ma już dostępu do nagrań z tamtego okresu. Dowód na wcześniejsze próby kontaktu znajduje się w zebranym materiale dowodowym, a dokładnie w wydruku maili przedstawionym przez sam Podmiot danych, wśród których są także wiadomości e-mail z dnia [...] i [...] r., których treści wyraźnie wynika, że są skierowane do [...]. W związku z tym, że jednak nie widać na nich wyraźnie adresu mailowego odbiorcy, Spółka złożyła w skardze wniosek dowodowy o przeprowadzenie dowodu z dokumentu obejmującego wydruk wiadomości e-mail w postaci, w której adresat jest widoczny. Organ nie odniósł się w uzasadnieniu decyzji do wiadomości e-mail przed [...] r. W uzasadnieniu brak również powodów, dla których organ nałożył upomnienie na Spółkę za niezrealizowanie żądania podmiotu danych w terminie, mimo, że Spółka nie była właściwym, pod względem jego realizacji, adresatem tego żądania i nie występowała jako administrator dla danego celu przetwarzania, tj. dla komunikacji marketingowej, którą do klienta kierował wyłącznie Dealer.
Spółka podniosła, że zapewniany przez nią Punkt Kontaktowy Ochrony Danych nie był bezpośrednim adresatem złożonego przez Podmiot danych żądania zaprzestania przetwarzania jego danych w celach marketingowych, a jedynie kanałem komunikacji udostępnionym klientom, poprzez który osoby, których dane dotyczą mogą składać żądania i zapytania dotyczące przetwarzania ich danych przez Spółkę i sieć dealerską. W niniejszym przypadku wyłącznie Dealer przetwarzał dane Klienta dla celów marketingowych i wyłącznie on występował jako administrator dla przetwarzania danych wnioskodawcy w tych celach i mógł być związany żądaniem zaprzestania takiego przetwarzania. Zobowiązanie do przekazania żądań podmiotów danych wynika z relacji umownych między [...] a Spółką, ma jedynie ułatwić podmiotom danych realizację ich żądań i nie jest punktem kontaktowym w rozumieniu art. 26 RODO (bowiem dealerzy i Spółka są osobnymi administratorami, w szczególności Spółka i dealerzy nie występują jako współadministratorzy, bowiem każdy z nich przetwarza dane osobowe dla swoich własnych celów). Przepisy dotyczące ochrony danych osobowych nie nakładają na podmiot inny niż administrator obowiązku zapewnienia realizacji żądania podmiotu danych. Żądanie skierowane do [...] powinno być zrealizowane przez niego i tylko Dealer jako osobny administrator może ponosić konsekwencje jego niezrealizowania. Fakt przekazania bądź nieprzekazania żądania podmiotu danych do [...] może być postrzegany jedynie w kategoriach realizacji umowy między [...] a [...], a zatem odpowiedzialności kontraktowej między stronami. Gdyby Dealer zadbał o aktualizację adresów e-mail podanych do kontaktu dla Punktu Kontaktowego Ochrony Danych otrzymałby żądanie podmiotu danych niezwłocznie po jego złożeniu.
Prezes UODO w odpowiedzi na skargę wniósł o jej oddalenie podtrzymując stanowisko wyrażone w zaskarżonej decyzji. W ocenie Prezesa UODO, Spółka wobec funkcjonowania Punktu kontaktowego, winna doprowadzić do skutecznej realizacji sprzeciwu wnioskodawcy przez [...], stosując wszelkie możliwe formy kontaktu, w terminie wynikającym z art. 12 ust. 3 RODO.
Spółka w piśmie procesowym z dnia [...] października 2024 r. podtrzymała skargę, zarzuciła nadto naruszenie art. 10 k.p.a. poprzez wydanie decyzji w oparciu o dokumenty, które nie znalazły się w materiale dowodowym na dzień poinformowania Spółki o zakończeniu postępowania dowodowego, co pozbawiło ją czynnego udziału w sprawie i możliwości wyjaśnienia znaczenia tego dokumentu i wskazania innego, który powinien znaleźć zastosowanie. Wniosła o przeprowadzenie dowodu uzupełniającego z dokumentu w postaci: wydruku obowiązku informacyjnego umieszczonego obecnie na stronach internetowych [...], który stanowi załącznik do niniejszego pisma na okoliczność posiadania przez [...] dedykowanego adresu e-mail przeznaczonego do składnia sprzeciwu wobec przetwarzania danych dla celów marketingowych. Spółka w uzasadnieniu wskazała, że w jej opinii to Dealer powinien zadbać o to, by Punkt Kontaktowy posiadał jego aktualne dane i ponieść konsekwencje braku ich aktualizacji. Spółka podkreśliła, że nie ma władzy nad [...], którą mogłaby przymusić go do wykonania jego obowiązku, który na nim ciąży jako administratorze danych. Przepisy RODO nie przewidują odpowiedzialności administratora za działania bądź zaniechania innego administratora. Nie zmienia tego fakt współpracy między dwoma administratorami i przetwarzanie przez nich tych samych danych. Spółka podniosła, że organ nie odniósł się w żadnym miejscu w uzasadnieniu decyzji do wcześniejszych prób kontaktu Punktu Kontaktowego z [...], pomijając je milczeniem. W ocenie Spółki fakt podjęcia prób kontaktu świadczy o tym, że Spółka nie pozostała bierna w odpowiedzi na żądanie podmiotu danych. Brak skuteczności kontaktu spowodowany był okolicznościami niezależnymi od Spółki. Spółka wyjaśniła, że Organ odnosi się do dokumentów dostępnych na stronie [...] obecnie - na moment wydania decyzji. Tymczasem postępowanie w tej sprawie trwało aż 5 lat. Zawartość Polityki prywatności zawartej na stronach internetowych Spółki i [...] sprzed 5 lat ani nawet obecnej nie znalazła się w materiale dowodowym. Dokumenty te nie zostały załączone do akt sprawy w formie np. wydruków, co umożliwiłoby utrwalenie ich treści. Takie postępowanie nie wydaje się właściwe, bowiem dokumenty umieszczane na stronach internetowych są regularnie aktualizowane i ich treść 4 lata wcześniej mogła być odmienna niż na moment orzekania.
Wojewódzki Sąd Administracyjny w Warszawie na rozprawie w dniu [...] lutego 2025 r. na podstawie art. 106 § 3 ustawy – Prawo o postępowaniu przed sądami administracyjnymi uwzględnił wniosek dowodowy zawarty w skardze i przeprowadził dowód uzupełniający z wnioskowanych wydruków wiadomości e-mail przesłanych przez Spółkę do [...] w dniach [...] i [...] r. na okoliczność powoływaną przez skarżącego, tj. wykazania braku dokładnego zebrania i rozpatrzenia materiału dowodowego przez organ i braku ustalenia przez organ wszystkich okoliczności związanych z poinformowaniem [...] przez Spółkę o żądaniu podmiotu danych. Wniosek dowodowy zawarty w skardze został uwzględniony albowiem z zaskarżonej decyzji wynika, że organ rozstrzygnięcie zawarte w punkcie 2 decyzji skierowanym do Spółki oparł na ustaleniach dotyczących okoliczności związanych z poinformowaniem [...] przez Spółkę o żądaniu podmiotu danych. Sąd nie uwzględnił natomiast wniosku dowodowego zawartego w piśmie procesowym Spółki z dnia [...] października 2024 r. o przeprowadzenie dowodu uzupełniającego z dokumentu w postaci: wydruku obowiązku informacyjnego umieszczonego obecnie na stronach internetowych [...] na okoliczność posiadania przez [...] dedykowanego adresu e-mail przeznaczonego do składnia sprzeciwu wobec przetwarzania danych dla celów marketingowych. Wniosek ten nie został uwzględniony, albowiem powyższe nie jest niezbędne do wyjaśnienia istotnych wątpliwości w sprawie, jak wymaga tego przepis. Nadto kwestia działań [...] i aktualnej zawartości "stron internetowych [...]" pozostaje poza granicami niniejszej sprawy.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje.
Zgodnie z art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju
sądów administracyjnych (Dz. U. z 2024 r., poz. 1267), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej, przy czym kontrola ta sprawowana jest pod względem zgodności z prawem, jeżeli
ustawy nie stanowią inaczej. Sąd rozstrzyga w granicach danej sprawy, nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną (art. 134 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2024 r., poz. 935), zwanej dalej P.p.s.a.
Skarga oceniana w świetle powyższych kryteriów podlegała uwzględnieniu.
Zaskarżona w zakresie punktu 2 decyzja narusza przepisy prawa procesowego, tj. art. 7, art. 77 § 1, art. 80 i art. 107 § 1 k.p.a. w stopniu, który mógł mieć istotny wpływ na wynik sprawy. W ocenie Sądu, zarówno lektura uzasadnienia zaskarżonej decyzji, jak również akta administracyjne wskazują, że Prezes UODO nie ustalił w sposób niebudzący wątpliwości stanu faktycznego sprawy rozstrzygniętej w punkcie 2 decyzji z dnia [...] lutego 2024 r. W sprawie niniejszej nie można abstrahować od konkretnych okoliczności faktycznych, których subsumpcji należy dokonać pod ściśle określone normy prawne. Organ nie dokonał pełnych ustaleń faktycznych w odniesieniu do działań Spółki w związku z wniesionym sprzeciwem J. T. z dnia [...] stycznia 2019 r. wobec przetwarzania jego danych osobowych przez [...] w celach marketingowych, jak również nie dokonał subsumcji prawidłowo ustalonego stanu faktycznego pod normę prawa materialnego (przepisy RODO).
Zgodnie z art. 7 k.p.a., w toku postępowania organy administracji publicznej stoją na straży praworządności, z urzędu lub na wniosek stron podejmują wszelkie czynności niezbędne do dokładnego wyjaśnienia stanu faktycznego oraz do załatwienia sprawy, mając na względzie interes społeczny i słuszny interes obywateli. Stosownie do art. 77 § 1 k.p.a., organ administracji publicznej jest obowiązany w sposób wyczerpujący zebrać i rozpatrzyć cały materiał dowodowy. Organ administracji publicznej ocenia na podstawie całokształtu materiału dowodowego, czy dana okoliczność została udowodniona (art. 80 k.p.a.) Zgodnie zaś z art. 107 § 3 k.p.a., uzasadnienie faktyczne decyzji powinno w szczególności zawierać wskazanie faktów, które organ uznał za udowodnione, dowodów, na których się oparł, oraz przyczyn, z powodu których innym dowodom odmówił wiarygodności i mocy dowodowej, zaś uzasadnienie prawne - wyjaśnienie podstawy prawnej decyzji, z przytoczeniem przepisów prawa.
W sprawie zostało ustalone przez organ (punkt 2 ustaleń faktycznych decyzji), że z kl.zuli informacyjnej dostępnej na stronie internetowej Spółki www.[...].pl, wynika, iż celem przetwarzania danych klientów przez Spółkę jest obsługa zgłoszeń i zapytań w Biurze Obsługi Klienta, odbiorcami danych osobowych są podmioty świadczące na zlecenie Spółki usługi obsługi zgłoszeń, a także podwykonawcy zapewniający obsługę umów (w tym wybrany dealer), natomiast wszelkie wnioski dotyczące przetwarzania danych osobowych można przesłać m.in. na adres e-mail: klient@[...].pl (jest to Punkt Kontaktowy Ochrony Danych, którego zadaniem jest udzielanie odpowiedzi na pytania i wnioski związane z Polityką prywatności, kl.zulami obowiązku informacyjnego, danymi osobowymi (i ich przetwarzaniem). Organ odwołał się w tym zakresie do Polityki prywatności umieszczonej na stronie internetowej wskazanej w punkcie 2 ustaleń faktycznych decyzji. Również do Polityki prywatności (dostępnej na stronie internetowej Spółki i [...]) organ odwołał się wskazując, że celem przetwarzania danych osobowych jest m.in. komunikacja i działania związane z marketingiem, profilowanie w ramach marketingu. Klienci są w niej również informowani o prawie do sprzeciwu wobec wykorzystywania danych osobowych do celów marketingu bezpośredniego lub udostępnianiu ich podmiotom zewnętrznym w tym samym celu. Wskazany jest w niej ww. Punkt Kontaktowy Ochrony Danych (klient@[...].pl oraz [...] Sp. z o.o., ul. K. [...], [...] W., z dopiskiem "CSCR"). Punkt Kontaktowy Ochrony Danych oznacza osobę wyznaczoną przez [...] jako administratora danych, do której osoby, których dane dotyczą mają możliwość skierować swoje pytania lub wnioski dotyczące niniejszej Polityki i/lub przetwarzania danych osobowych i która to zajmie się takimi pytaniami i wnioskami.
Jakkolwiek Spółka podnosi w skardze zarzut, że nie miała możliwości zapoznania się z całością zgromadzonego materiału dowodowego przed wydaniem decyzji, albowiem w materiale tym nie ma choćby wydruku tejże Polityki prywatności, to w ocenie Sądu uchybienie powyższe, w tym przepisowi art. 10 k.p.a., nie ma istotnego wpływu na wynik niniejszej sprawy. Polityka prywatności Spółki jest jej znana, nadto Spółka nie zakwestionowała w istocie żadnego z ustaleń organu dokonanych w punkcie 2 i 3 tych ustaleń, wywiedzionych z Polityki prywatności. Sąd uznał zatem ustalenie dokonane w punkcie 2 i 3 ustaleń faktycznych organu za bezsporne.
Za bezsporne Sąd uznał też wszystkie inne ustalenie faktyczne organu dokonane w decyzji, poza ustaleniem, że Spółka dopiero [...] maja 2019 r. zwróciła się do [...] o usunięcie numeru telefonu J. T. z baz marketingowych, które to ustalenie organ poczynił wyłącznie na podstawie oświadczenia [...] (pismo [...] do organu z dnia [...] sierpnia 2019 r.) i na którym to oświadczeniu [...] organ oparł rozstrzygnięcie zawarte w punkcie 2 decyzji, tj. udzielenie Spółce upomnienia za naruszenie art. 12 ust. 3 w zw. z art. 21 ust. 2 RODO polegające na niezapewnieniu realizacji żądania J. T. dotyczącego przetwarzania jego danych osobowych wniesionego poprzez punkt kontaktowy ochrony danych klient@[...].pl w terminie wynikającym z art. 12 ust. 3 RODO.
Bezsporne i istotne w tej sprawie jest ustalenie Prezesa UODO, że Spółka nie przetwarza danych J. T. w celach marketingowych i jest administratorem danych prowadzącym punkt kontaktowy klient@[...].pl wspólny i właściwy dla niej i dla wszystkich dealerów [...] . Jak wynika z ustaleń organu Spółka pozyskała dane wymienionego w dniu [...] stycznia 2017 r. w zakresie jego imienia, nazwiska, adresu e-mail, numeru telefonu, nr VIN pojazdu, na skutek przesłania przez niego formularza "Umów się na przegląd" znajdującego się na stronie internetowej Spółki www.[...].pl.
Bezsporne jest też m.in., że w dniu [...] stycznia 2019 r. na adres e-mailowy klient@[...].pl Spółka w ramach ww. punktu kontaktowego otrzymała żądanie J. T. skierowane do [...] dotyczące jego sprzeciwu wobec przetwarzania danych osobowych w celach marketingowych, jak również, że Spółka skierowała prośbę o usunięcie danych wymienionego do [...].
Z akt postępowania administracyjnego nie wynika jednakże, aby Prezes UODO skierował do Spółki pytanie, kiedy, tj. w jakiej dacie zwróciła się do [...] o usunięcie danych J. T. w związku z przetwarzaniem ich przez [...] w celu marketingowym.
Organ nie dokonał w tej sprawie pełnych, wyczerpujących ustaleń faktycznych.
Do Spółki zwrócił się tylko pismem z dnia [...] września 2020 r. i dysponując wyjaśnieniami [...] nie dopytywał ponownie Spółki o podjęte przez nią działania po otrzymaniu wniosku z dnia [...] stycznia 2019 r. Organ nie zbadał dokładnie okoliczności braku niezwłocznego poinformowania [...] o żądaniu podmiotu danych, przyjmując, że do pierwszego kontaktu w celu przekazania informacji Dealerowi doszło dopiero w dniu [...] maja 2019 roku.
Sąd podziela twierdzenia skargi, że dla poprawnego ustalenia okoliczności sprawy niezbędne było zbadanie, kiedy Spółka zareagowała na żądanie podmiotu danych, a także przyczyn tego, że Dealer dowiedział się o żądaniu podmiotu danych dopiero z początkiem maja i czy faktycznie wynikało to z zaniedbania Spółki i czy wywołuje dla niej określone skutki na gruncie RODO.
Zasadnie skarżący zarzucił, że brak rozważenia tego aspektu spowodował wadliwe odtworzenie okoliczności sprawy, skutkujące uznaniem, że Spółka od [...] stycznia 2019 r. aż do maja 2019 r. nie próbowała przekazać zgłoszonego sprzeciwu Dealerowi, podczas gdy Spółka, jak wskazuje w skardze i na co przedstawiła przed Sądem wydruki wiadomości email skierowanych do [...], podejmowała działania niezwłocznie po złożeniu sprzeciwu na adres klient@[...].pl, których to okoliczności organ nie ustalił w toku postępowania administracyjnego i nie uwzględnił przy dokonywaniu oceny zgodności z prawem działań Spółki.
W świetle powyższego stwierdzić należało, że organ nie zebrał pełnego materiału dowodowego, nie dokonał pełnych ustaleń stanu faktycznego i nie rozpatrzył należycie całego materiału dowodowego, co mogło mieć istotny wpływ na wynik sprawy. Powyższe uchybienie przepisom art. 7, art. 77 § 1 i art. 80 k.p.a. powoduje, że zaskarżony punkt 2 decyzji nie mógł się ostać w obrocie prawnym.
W kontekście powyższego zwrócić należy jednocześnie uwagę, że punkt 2 decyzji – w którym organ udzielił Spółce upomnienia – nie jest w pełni zrozumiały. Organ wskazał w nim bowiem, że udziela upomnienia Spółce za naruszenie art. 12 ust. 3 w związku z art. 21 ust. 2 RODO polegające na niezapewnieniu realizacji żądania wnioskodawcy wniesionego przez punkt kontaktowy w terminie wynikającym z artykułu 12 ustęp 3 RODO.
Organ nie wyjaśnił jednak w uzasadnieniu decyzji, jak rozumieć owo "niezapewnienie realizacji żądania" przez Spółkę. Z decyzji nie wynika, jakie działania na gruncie RODO, konkretnych powołanych przez organ przepisów, Spółka obowiązana była według organu podjąć, a ich nie podjęła. Uzasadnienie decyzji milczy w tym zakresie i powiela jedynie zapis z rozstrzygnięcia zawartego w punkcie 2 decyzji.
Wyjaśnić należy dlaczego powyższe ma znaczenie w sprawie. Przede wszystkim wskazać trzeba, że przepis art. 12 ust. 3 RODO mówi o obowiązkach administratora wobec podmiotu danych. Zgodnie z tym przepisem, administrator bez zbędnej zwłoki - a w każdym razie w terminie miesiąca od otrzymania żądania - udziela osobie, której dane dotyczą, informacji o działaniach podjętych w związku z żądaniem na podstawie art. 15-22. W razie potrzeby termin ten można przedłużyć o kolejne dwa miesiące z uwagi na skomplikowany charakter żądania lub liczbę żądań. W terminie miesiąca od otrzymania żądania administrator informuje osobę, której dane dotyczą o takim przedłużeniu terminu, z podaniem przyczyn opóźnienia. Jeśli osoba, której dane dotyczą, przekazała swoje żądanie elektronicznie, w miarę możliwości informacje także są przekazywane elektronicznie, chyba że osoba, której dane dotyczą, zażąda innej formy.
Zasadniczo cały art. 12 RODO nawiązuje do zasady przejrzystości przetwarzania danych, przejrzystego informowania, komunikacji i trybu wykonywania praw przez osobę, której dane dotyczą. Przepis ten określa podstawowe wymogi odnoszące się do sposobu informowania, nakłada na administratora obowiązek ułatwienia osobie której dane dotyczą wykonanie jej praw (ust. 2), czy właśnie m.in. udzielenia informacji o działaniach jakie podjął w ramach realizacji tych uprawnień lub przyczynach niepodjęcia takich działań (ust. 3).
Jednocześnie, zgodnie z art. 21 ust. 2 RODO, który to przepis organ powiązał z art. 12 ust. 3 RODO udzielając Spółce upomnienia, jeżeli dane osobowe są przetwarzane na potrzeby marketingu bezpośredniego, osoba, której dane dotyczą, ma prawo w dowolnym momencie wnieść sprzeciw wobec przetwarzania dotyczących jej danych osobowych na potrzeby takiego marketingu, w tym profilowania, w zakresie, w jakim przetwarzanie jest związane z takim marketingiem bezpośrednim.
Organ nie wyszczególnił w uzasadnieniu decyzji rodzaju czynności, do jakich jego zdaniem Spółka była w tym przypadku – na gruncie art. 12 ust. 3 RODO powiązanego z art. 21 ust. 2 RODO – obowiązana, co ma istotne znaczenie, w sytuacji bezspornego ustalenia przez Prezesa UODO, że Spółka nie przetwarzała danych osobowych wnioskodawcy w celach marketingowych.
Jeśli organ zarzuca Spółce naruszenie RODO winien wykazać je w uzasadnieniu decyzji. Raz jeszcze trzeba zwrócić uwagę, że organ powiązał art. 12 ust. 3 RODO z art. 21 ust. 2 RODO. Podkreślić należy, że w art. 21 ust. 2 RODO jest mowa o przetwarzaniu danych osobowych na potrzeby marketingu bezpośredniego. Spółka nie przetwarzała danych osobowych podmiotu danych na takie potrzeby, co ustalił sam organ ochrony danych osobowych. Nadto, także skarga J. T. do Prezesa UODO dotyczyła działań Dealerów, a nie Spółki, co także wskazał organ.
W świetle powyższego nie jest jasne, albowiem nie wynika to z uzasadnienia decyzji – na czym dokładnie polegało naruszenie RODO, tj. wskazanych przez organ w punkcie 2 decyzji przepisów RODO przez Spółkę.
W tym też kontekście nie jest jasne jak rozumieć stwierdzone przez organ "niezapewnienie realizacji żądania" wnioskodawcy i jak organ odnosi to do wskazanych w upomnieniu przepisów RODO.
Podkreślenia wymaga, że aby stwierdzić naruszenie RODO (określonych przepisów) nie wystarczy przywołać przepisy RODO. Należy dokonać subsumcji ustalonego stanu faktycznego pod normę prawną. Z zaskarżonej decyzji (jej punktu 2) nie wynika, czy w ocenie organu – wobec sprzeciwu co do przetwarzania danych wnioskodawcy przez [...] w celach marketingowym – Spółka miała udzielić informacji podmiotowi danych o działaniach podjętych w związku z żądaniem, czy też podjąć inne działania. Jeśli tak, to organ powinien powyższe wykazać w decyzji, wyjaśnić w jej uzasadnieniu. Na tym etapie sprawy, zaskarżona decyzja (w zakresie punktu 2) nie zawiera wyjaśnienia co do podstaw prawnych udzielonego Spółce upomnienia z powołaniem się na art. 12 ust. 3 w zw. z art. 21 ust. 2 RODO.
Ponownie rozpatrując sprawę dotyczącą zaskarżonego punktu 2 decyzji organ uwzględni przedstawioną wyżej ocenę prawną i wskazania Sądu. Organ dokona pełnych ustaleń faktycznych w odniesieniu do działań Spółki, w tym ustali m.in. kiedy dokładnie i jakie działania Spółka podejmowała po wpłynięciu na adres klient@[...].pl sprzeciwu J. T. wobec przetwarzania jego danych osobowych w celu marketingowym przez [...].
Zależnie od dokonanych ustaleń i ich oceny na gruncie RODO organ podejmie stosowną decyzję uwzględniając przedstawione wyżej rozważania Sądu. W przypadku stwierdzenia naruszenia RODO przez Spółkę organ winien dokładnie wskazać w uzasadnieniu decyzji, na czym jego zdaniem polegało naruszenie i dlaczego Spółka obowiązana była – na gruncie konkretnych wskazanych przez organ przepisów RODO – podjąć określone, przedstawione przez organ działania. Uzasadnienie decyzji powinno spełniać wymogi art. 107 § 3 k.p.a. i nie pozostawiać wątpliwości co do powodów, które legły u podstaw rozstrzygnięcia sprawy w określony sposób.
Mając powyższe na uwadze Wojewódzki Sąd Administracyjny w Warszawie,
na podstawie art. 145 § 1 pkt 1 lit. c ustawy - Prawo o postępowaniu przed sądami administracyjnymi, orzekł jak w punkcie 1 wyroku. O zwrocie kosztów postępowania, jak w punkcie 2 wyroku Sąd orzekł na podstawie art. 200 w zw. z art. 205 powołanej ustawy. Do kosztów tych Sąd zaliczył uiszczony wpis od skargi (200 zł), wynagrodzenie pełnomocnika reprezentującego skarżącego (480 zł) i opłatę skarbową uiszczoną od dokumentu pełnomocnictwa (17 zł).