III OSK 2594/22

III OSK 2594/22 - Wyrok NSA
Data orzeczenia
2025-11-12
orzeczenie prawomocne
Data wpływu
2022-10-27
Sąd
Naczelny Sąd Administracyjny
Sędziowie
Kazimierz Bandarzewski
Olga Żurawska - Matusiak
Zbigniew Ślusarczyk /przewodniczący sprawozdawca/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Sygn. powiązane
II SA/Wa 3670/21 - Wyrok WSA w Warszawie z 2022-07-07
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Uchylono zaskarżony wyrok i przekazano sprawę do ponownego rozpoznania przez Wojewódzki Sąd Administracyjny
Powołane przepisy
Dz.U.UE.L 2016 nr 119 poz 1 art.4 pkt 11
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z  przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE
Dz.U. 2019 poz 1781
art.58 ust.2
Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych (t. j.)
Sentencja
Naczelny Sąd Administracyjny w składzie: Przewodniczący: sędzia NSA Zbigniew Ślusarczyk (spr.) Sędziowie: sędzia NSA Olga Żurawska-Matusiak sędzia del. WSA Kazimierz Bandarzewski Protokolant: asystent sędziego Przemysław Iżycki po rozpoznaniu w dniu 12 listopada 2025 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej P. S. A. z siedzibą w W. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 7 lipca 2022 r. sygn. akt II SA/Wa 3670/21 w sprawie ze skargi Fundacji [...] z siedzibą w W. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 19 sierpnia 2021 r.nr ZSPR.440.1104.2019.FT.MI w przedmiocie przetwarzania danych osobowych uchyla zaskarżony wyrok i przekazuje sprawę do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie.
Uzasadnienie
Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z 7 lipca 2022 r. sygn. akt II SA/Wa 3670/21, po rozpoznaniu sprawy ze skargi Fundacji [...] z siedzibą w W. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z 19 sierpnia 2021 r. nr ZSPR.440.1104.2019.FT.MI w przedmiocie przetwarzania danych osobowych, na podstawie art. 145 § 1 pkt 1 lit. c oraz art. 200 w zw. z art. 205 ustawy z 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz. U. z 2022 r., poz. 329) zwanej dalej p.p.s.a., uchylił zaskarżoną decyzję (pkt 1) oraz zasądził od Prezesa Urzędu Ochrony Danych Osobowych na rzecz Fundacji [...] z siedzibą w W. kwotę 697 zł, tytułem zwrotu kosztów postępowania (pkt 2).
Wyrok został wydany w następującym stanie faktycznym i prawnym sprawy.
Decyzją z 19 sierpnia 2021 r. nr ZSPR.440.1104.2019.FT.MI Prezes Urzędu Ochrony Danych Osobowych po przeprowadzeniu z urzędu postępowania administracyjnego w sprawie dotyczącej stosowania przez P. S.A. z siedzibą w W., dalej jako "Spółka", praktyk w zakresie pozyskiwania zgody od klientów i potencjalnych klientów na przetwarzanie danych osobowych w celach marketingowych przez podmioty z grupy kapitałowej P. (P. (1) S.A., P. (2) S.A., P. (3) S.A., T. S.A., P. (4) S.A., P. (5) S.A., L. S.A., P. (6) S.A., A. S.A.) jako warunek konieczny do korzystania z bezpłatnej usługi "[...]" (dalej jako "Akcja"), z udziałem Fundacji [...] z siedzibą w W., na podstawie art. 104 § 1 ustawy z 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2021 r., poz. 735), zwanej dalej "k.p.a.", art. 7 ust. 1 ustawy z 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781) i art. 58 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35), zwanego dalej "RODO", nie stwierdził naruszenia przepisów o ochronie danych osobowych.
W uzasadnieniu decyzji Prezes UODO wyjaśnił, że postępowanie dotyczyło budzących wątpliwość praktyk w zakresie pozyskiwania zgody od klientów i potencjalnych klientów na przetwarzanie danych osobowych w celach marketingowych przez podmioty z grupy kapitałowej P. (P. (1) S.A., P. (2) S.A., P. (3) S.A., T. S.A., P. (4) S.A., P. (5) S.A., L. S.A., P. (6) S.A., A. S.A.), jako warunek konieczny do korzystania z bezpłatnej usługi - "[...]". Zgodnie z ww. pozyskanymi informacjami, aby skorzystać z oferty bezpłatnego ubezpieczenia należało za pomocą formularza udostępnionego na stronie internetowej Spółki – [...] podać dane osobowe rodzica bądź pełnoletniego ucznia/studenta do 25 roku życia, dane dziecka lub dzieci zgłaszanych do ubezpieczenia oraz zaznaczyć trzy "okienka" potwierdzające zgodę na przetwarzanie przez podmioty z grupy kapitałowej P. danych osobowych w celach marketingowych. Dodatkowo konieczne było potwierdzenie zapoznania się z "informacją odnośnie do administratora danych osobowych". W przypadku braku zaznaczenia któregokolwiek z okienek, pojawiała się informacja, o braku możliwości przyjęcia formularza deklaracji przystąpienia do ubezpieczenia.
Dalej organ wskazał, że 7 czerwca 2019 r. została wprowadzona zmiana na formularzu dostępnym w okresie prowadzenia Akcji na stronie [...], za pośrednictwem którego przystępowano do Akcji. Wprowadzona zmiana miała na celu jeszcze bardziej przejrzyste informowanie uczestników Akcji o prawie do wycofania zgody. W pierwszej warstwie informacji widocznej dla użytkownika wypełniającego formularz dostępna była wyraźnie wyodrębniona informacja o prawie do wycofania zgody o następującej treści: "Masz prawo w dowolnym momencie wycofać zgodę za pośrednictwem adresu e-mail [...] albo pisemnie pod adresem Administratora wskazanym w Regulaminie."
Wydając decyzję organ uznał, iż nie doszło do naruszenia prawa przez Spółkę. Podstawą prawną przetwarzania danych uczestników Akcji była ich zgoda (art. 6 ust. 1 lit. a RODO). Spółka spełniła kryteria niezbędne do prawidłowego wyrażenia zgody w rozumieniu art. 4 pkt 11 RODO tj. mającej charakter dobrowolny, konkretny, świadomy i jednoznaczny. Oświadczenie o wyrażeniu zgody przygotowane przez Spółkę miało zrozumiałą i łatwo dostępną formę i było sformułowane jasnym i prostym językiem. Wyrażenie zgody było świadome i poinformowane, a zgoda była konkretna i jednoznaczna. Każdy uczestnik Akcji mógł w sposób świadomy korzystać z przysługujących mu zgodnie z RODO praw, w tym również z prawem do wycofania wyrażonych zgód, jak i sposobie ich wycofania, zanim wyraziły zgody.
Zdaniem organu ochrony danych osobowych brak jest podstaw do stwierdzenia, iż Spółka P. nie umożliwiła uczestnikom Akcji wyrażenia zgód marketingowych w pełni świadomie i dobrowolnie. W zakresie oceny dobrowolności wyrażanych zgód na przetwarzanie danych w celach marketingowych spółek z Grupy P. w sytuacji, gdy wyrażenie tych zgód jest warunkiem skorzystania z Akcji, Prezes UODO wskazał, że zgodnie z wytycznymi 05/2020 dotyczącymi zgody na mocy RODO Europejska Rada Ochrony Danych Osobowych wskazała, że przymiot "dobrowolności" zakłada rzeczywistą możliwość dokonania wyboru przez osoby, których dane dotyczą, oraz sprawowania przez nie kontroli. Co do zasady RODO stanowi, że jeżeli osobie, której dane dotyczą, nie przysługuje rzeczywista możliwość wyboru, czuje się ona zmuszona do wyrażenia zgody lub poniesie negatywne konsekwencje w przypadku jej niewyrażenia, zgoda będzie nieważna. Jeżeli wyrażenie zgody stanowi nieodłączną i niepodlegającą negocjacji część warunków, uznaje się, że nie jest ona dobrowolna. W związku z tym wyrażenie zgody nie zostanie uznane za dobrowolne, jeżeli osoba, której dane dotyczą, nie może odmówić ani wycofać zgody bez niekorzystnych konsekwencji.
W ocenie organu uczestnicy Akcji mieli możliwość wyboru pomiędzy ubezpieczeniem w ramach Akcji, na preferencyjnych warunkach, a ubezpieczeniem standardowym, znajdującym się w ofercie Spółki. Dobrowolności wyrażenia zgody nie można rozpatrywać wyłącznie z perspektywy sposobu w jaki Spółka prezentuje swoje oferty za pośrednictwem strony internetowej, albowiem nie jest to w zakresie kompetencji organu ochrony danych osobowych. Mając powyższe na uwadze, zdaniem organu brak było podstaw do stwierdzenia w zaistniałej sytuacji naruszenia przepisów o ochronie danych osobowych
Skargę na powyższą decyzję wniosła Fundacja [...] z siedzibą w W., wnosząc o uchylenie zaskarżonej decyzji i zasądzenie zwrotu kosztów postępowania według norm przepisanych.
W odpowiedzi na skargę organ wniósł o jej oddalenie.
Wskazanym na wstępie wyrokiem Sąd I instancji uwzględnił skargę. W uzasadnieniu wyroku wskazał, że decyzja została wydana z naruszeniem art. 7, art. 77 § 1 i art. 80 k.p.a., które to uchybienie mogło mieć istotny wpływ na wynik sprawy. Sąd zwrócił uwagę na zmianę sytuacji faktycznej w zakresie procesu przetwarzania danych osobowych (pozyskiwania zgód) w trakcie akcji "[...]". Na skutek wystąpienia Prezesa UODO z 4 czerwca 2019 r. Spółka dokonała korekty w zakresie stosowanej praktyki pozyskiwania zgód. Tymczasem organ zaniechał wskazania dnia, od którego praktyka pozyskiwania zgód nie naruszała przepisów RODO. Zdaniem Sądu wydaje się, że zastrzeżenia Prezesa UODO co do istniejącej na początku Akcji praktyki uzależniającej skorzystanie z ubezpieczenia od wyrażenia zgód na przetwarzanie danych przez inne podmioty niż administrator w ich własnych celach marketingowych, były na gruncie RODO zasadne. W takim stanie rzeczy Sąd I instancji uznał, że organ winien był ustalić, jak dokładnie kształtowała się kwestia dobrowolności udzielanych zgód pozyskiwanych przez Spółkę przez cały okres trwania Akcji, i dopiero wówczas ocenić, czy przez cały czas był to proces zgodny z wymogami RODO. Brak ustalenia tych okoliczności powodował, że zawarte w decyzji stwierdzenie o braku naruszenia przepisów RODO należało uznać za dowolne i niemające oparcia w materiale dowodowym.
Skargę kasacyjną wniosła Spółka, zaskarżając powyższy wyrok w całości. Zarzuciła mogące mieć istotny wpływ na wynik sprawy naruszenie przepisów postępowania, które mogło mieć istotny wpływ na wynik sprawy, tj.: art. 145 § 1 pkt 1 lit. c) p.p.s.a. w zw. z art. 7, art. 107 § 1, art. 77 § 1 k.p.a. i art. 80 k.p.a., przez uwzględnienie skargi, w sytuacji gdy organ w toku postępowania podjął wszelkie niezbędne, istotne czynności do dokładnego wyjaśnienia stanu faktycznego sprawy, tj. ustalił, jak wyglądała strona internetowa akcji na początku akcji, w dniu 29 maja 2019 r., a także po wprowadzonych w czerwcu zmianach; jaka była treść informacji przekazywanej użytkownikom strony oraz ustalenia, że osoba zainteresowana nabyciem ubezpieczenia miała rzeczywistą, rozsądną alternatywę wobec uzyskania ochrony ubezpieczeniowej za darmo, pod warunkiem wyrażenia zgód, a następnie dokonał oceny zgromadzonego materiału dowodowego z perspektywy czynności niezbędnych, istotnych do załatwienia sprawy, tj. ustalił, że sposób przeprowadzenia akcji, przez cały czas jej trwania, nie naruszał przepisów o ochronie danych osobowych, co w konsekwencji powinno skutkować ustaleniem, że organ prawidłowo ustalił wszelkie niezbędne, istotne okoliczności w sprawie, a w konsekwencji stwierdzeniem, że rozstrzygnięcie organu było prawidłowe i oddaleniem skargi, podczas gdy Sąd błędnie ustalił, że organ wydał decyzję bez zebrania niezbędnego materiału dowodowego oraz bez wyjaśnienia wszystkich istotnych okoliczności sprawy, co skutkowało istotnym dla rozstrzygnięcia sprawy przyjęciem, że organ nie mógł wydać decyzji w przedmiotowym postępowaniu, a wydane rozstrzygnięcie było dowolne i nieznajdujące oparcia w materiale dowodowym.
W oparciu o tak sformułowane zarzuty Spółka wniosła o uchylenie zaskarżonego wyroku w całości, rozpoznanie skargi na decyzję oraz wydanie wyroku reformatoryjnego, nieuwzględniającego skargi i utrzymującego decyzję w mocy. Ewentualnie wniosła o uchylenie zaskarżonego wyroku w całości i przekazanie sprawy do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie.
W uzasadnieniu skargi kasacyjnej podniesiono, że organ oparł ustalenia faktyczne m.in. na formularzu deklaracji przystąpienia z 29 maja 2019 r., a zatem z czasu przed wystąpieniem Prezesa UODO. Ustalenie dokładnej daty możliwości zawarcia proponowanej umowy bez konieczności wyrażenia zgód na przetwarzanie danych osobowych nie ma znaczenia dla rozstrzygnięcia. Okoliczność, że w trakcie trwania akcji strona była modyfikowana, jest bezsporna. Ustalenie dokładnej daty mogłoby mieć istotne znaczenie jedynie w przypadku, gdyby Prezes UODO stwierdził naruszenie przez Spółkę przepisów o ochronie danych osobowych.
W odpowiedzi na skargę kasacyjną Prezes UODO wniósł o uwzględnienie skargi kasacyjnej. W uzasadnieniu podkreślił, że organ w treści uchylonej decyzji powołał dokonane ustalenia faktyczne, dotyczące dokonanej przez Spółkę zmiany praktyki pozyskiwania zgód. Wbrew ocenie Sądu I instancji rozstrzygnięcie organu nie skupia się wyłącznie na ocenie działania Spółki, mającego miejsce po ww. zmianie. Organ dodał, że sam fakt wystąpienia, o którym mowa w art. 52 ust. 1 ustawy o ochronie danych osobowych, nie zastępuje wydania decyzji, a wyłącznie postępowanie administracyjne może służyć zbadaniu zasadności skierowania wobec danego podmiotu dyspozycji art. 58 ust. 2 RODO. Sam fakt skierowania wystąpienia, o którym mowa w art. 52 ust. 1 ustawy, nie jest równoznaczny z uznaniem, że doszło do naruszenia przepisów o ochronie danych osobowych.
Dalej Prezes UODO podkreślił, że brak wskazania daty uzyskania przez klientów i potencjalnych klientów Spółki informacji o możliwości zawarcia proponowanej konieczności wyrażenia zgód na przetwarzanie danych osobowych w celach marketingowych w ramach przedmiotowej akcji umowy ubezpieczenia bez przetwarzania ich danych osobowych w celach marketingowych, pozostaje bez znaczenia dla prawidłowego rozstrzygnięcia sprawy. Powyższe mogłoby zostać uznane za okoliczność istotną wyłącznie wówczas, gdyby organ stwierdził nieprawidłowości w działaniu Spółki.
Odpowiedź na skargę kasacyjną Spółki wniosła także Fundacja [...], wnosząc o oddalenie skargi kasacyjnej w całości oraz o zasądzenie od Spółki na rzecz Fundacji zwrotu kosztów zastępstwa procesowego w postępowaniu kasacyjnym wg norm przepisanych. Zdaniem Fundacji, słusznie Sąd I instancji zwrócił uwagę na brak odniesienia się w decyzji do stanu faktycznego sprzed wprowadzenia stosownych zmian do treści formularza. W konsekwencji organ nadzorczy zaniechał oceny, czy proces zbierania zgód marketingowych przez Spółkę był zgodny z RODO w całym okresie trwania Akcji. Podkreślono, że formularz ani regulamin Akcji przygotowany przez Spółkę nie zawierał informacji dla potencjalnych uczestników o możliwości zawarcia umowy ubezpieczenia bez konieczności wyrażania zgód marketingowych. Organ natomiast w ogóle nie przeanalizował ani nie przytoczył w treści uzasadnienia decyzji okoliczności przemawiających za tym, że zgody pozyskiwane od podmiotów danych od początku trwania akcji promocyjnej spełniały wymagania określone w art. 4 pkt 11 oraz w art. 1 RODO, w szczególności czy zgody, które udzielały podmioty danych w celu objęciem ochroną ubezpieczeniową, posiadały wszystkie jej konstrukcyjne cechy takie jak dobrowolność i świadomość.
Naczelny Sąd Administracyjny zważył, co następuje:
Stosownie do art. 183 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz. U. z 2024 r., poz. 935) zwanej dalej p.p.s.a., Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, biorąc pod rozwagę z urzędu jedynie nieważność postępowania. W rozpoznawanej sprawie nie zachodzi żadna z okoliczności skutkujących nieważnością postępowania, o jakich mowa w art. 183 § 2 p.p.s.a. i nie zachodzi żadna z przesłanek, o których mowa w art. 189 p.p.s.a., które Naczelny Sąd Administracyjny rozważa z urzędu dokonując kontroli zaskarżonego skargą kasacyjną wyroku. W tych okolicznościach w sprawie badaniu podlegały wyłącznie zarzuty podniesione w skardze kasacyjnej na uzasadnienie przytoczonej podstawy kasacyjnej.
W skardze kasacyjnej sformułowano jeden zarzut naruszenia przepisów postępowania, tj. art. 145 § 1 pkt 1 lit. c) p.p.s.a. w zw. z art. 7, art. 107 § 1, art. 77 § 1 k.p.a. i art. 80 k.p.a. W związku z granicami postępowania kasacyjnego Naczelny Sąd Administracyjny nie dokonuje oceny prawidłowości przyjętej w decyzji Prezesa Urzędu Ochrony Danych Osobowych z 19 sierpnia 2021 r. nr ZSPR.440.1104.2019.FT.MI w wykładni przepisów prawa materialnego, prowadzącej organ do wniosku o braku podstaw do stwierdzenia naruszenia przepisów o ochronie danych osobowych w związku z akcją pozyskiwania zgody od klientów i potencjalnych klientów na przetwarzanie danych osobowych w celach marketingowych przez podmioty z grupy kapitałowej P., jako warunek konieczny do korzystania z bezpłatnej usługi - "[...]".
Trafnie w skardze kasacyjnej zarzuca się, że organ w toku postępowania podjął czynności niezbędne do dokładnego wyjaśnienia stanu faktycznego sprawy, tj. ustalił, jak wyglądała strona internetowa na początku Akcji, w dniu 29 maja 2019 r., a także po zmianach wprowadzonych po wystąpieniu Prezesa UODO z 4 czerwca 2019 r. Nie sposób podzielić stanowiska Sądu I instancji, że organ wydał decyzję bez zebrania niezbędnego materiału dowodowego oraz bez wyjaśnienia wszystkich istotnych okoliczności sprawy. Oceniając zaskarżony wyrok trzeba zwrócić uwagę, że podstawą uchylenia przez WSA w Warszawie zaskarżonej decyzji było stwierdzenie, że "Prezes UODO nie ustalił w decyzji, kiedy, tj. w jakiej dacie potencjalni klienci i klienci P. S.A. uzyskali informację od administratora o możliwości zawarcia proponowanej w ramach Akcji umowy ubezpieczenia, bez konieczności wyrażenia zgód na przetwarzanie danych osobowych przez szereg podmiotów z grupy kapitałowej P. w ich własnych celach marketingowych" (s. 17 uzasadnienia wyroku).
Stwierdzenie uchybienia przez organ przepisom postępowania wynikało z dokonanego przez Sąd I instancji założenia w zakresie przyjętej przez Prezesa UODO wykładni prawa materialnego: "Wydaje się, że zastrzeżenia Prezesa UODO co do istniejącej na początku Akcji praktyki uzależniającej skorzystanie z ubezpieczenia od wyrażenia zgód na przetwarzanie danych przez inne podmioty niż administrator w ich własnych celach marketingowych, były na gruncie RODO zasadne". Stwierdzenie to nie znajduje jednak odzwierciedlenia w treści decyzji będącej przedmiotem kontroli sądowoadministracyjnej. Błędnie przyjęto w zaskarżonym wyroku, jakoby organ uznał zasadność zastrzeżeń co do praktyki działania Spółki. Wbrew ocenie Sądu I instancji, powyższą decyzją Prezes UODO uznał, iż Spółka spełniła kryteria niezbędne do prawidłowego wyrażenia zgody w rozumieniu art. 4 pkt 11 – zarówno w ramach regulaminu Akcji w wersji sprzed, jak i po wystąpieniu sygnalizacyjnym organu. Prezes UODO dostrzegł, że 7 czerwca 2019 r. wprowadzono zmianę na formularzu, za pośrednictwem którego przystępowano do Akcji. W uzasadnieniu decyzji organ wskazał, że wprowadzona zmiana miała na celu jeszcze bardziej przejrzyste informowanie uczestników Akcji o prawie do wycofania zgody. Nie oznacza to jednak, iż zdaniem organu przed ww. datą podmioty z grupy P. dopuściły się naruszenia przepisów o ochronie danych osobowych. Organ w końcowej części decyzji wprost przyjął, iż "postępowanie dowodowe przeprowadzone w sprawie nie dostarczyło dowodów na potwierdzenie, że do naruszenia, będącego impulsem do wszczęcia niniejszego postępowania, w istocie doszło" (s. 11 decyzji).
Oparcie się przez Sąd I instancji na treści wystąpienia Prezesa UODO z 4 czerwca 2019 r. było nieuzasadnione. Słusznie zauważa organ w odpowiedzi na skargę kasacyjną, że wystąpienie, o którym mowa w art. 52 ust. 1 ustawy o ochronie danych osobowych, nie zastępuje wydania decyzji administracyjnej, tymczasem wyłącznie postępowanie kończące się wydaniem tej decyzji może służyć zbadaniu zasadności skierowania wobec danego podmiotu dyspozycji art. 58 ust. 2 RODO. Zgodnie z art. 52 ust. 1 ustawy o ochronie danych osobowych, "Prezes Urzędu może kierować do organów państwowych, organów samorządu terytorialnego, państwowych i komunalnych jednostek organizacyjnych, podmiotów niepublicznych realizujących zadania publiczne, osób fizycznych i prawnych, jednostek organizacyjnych niebędących osobami prawnymi oraz innych podmiotów wystąpienia zmierzające do zapewnienia skutecznej ochrony danych osobowych". Skierowanie wystąpienia wywołuje skutek w postaci konieczności pisemnego odniesienia się przez podmiot, do którego zostało skierowane wystąpienie lub wniosek, w terminie 30 dni od daty jego otrzymania (art. 52 ust. 3 powołanej ustawy). Podmiot, do którego zostało skierowane wystąpienie, może uznać za trafne argumenty w nim wskazane, i dobrowolnie dostosować praktykę przetwarzania danych osobowych do wymogów wskazanych w wystąpieniu. Działania takiego nie można utożsamiać z przyjęciem, iż praktyka podmiotu sprzed dokonania zmiany była niezgodna z przepisami RODO. Wystąpienie nie jest bowiem "środkiem w sprawie indywidualnej naruszenia przepisów o ochronie danych osobowych i nie może poprzedzać lub zastępować decyzji nakazowej, której wydanie jest poprzedzone postępowaniem administracyjnym prowadzonym według przepisów Kodeksu postępowania administracyjnego. Nie można również zaakceptować tego, aby w tej samej sprawie organ jednocześnie zastosował wystąpienie oraz wydał nakaz. Prowadziłoby to do niedopuszczalnego dualizmu działań organu, z których jedna forma działania ma władczy charakter, a druga już nie" (G. Sibiga, Wystąpienie – nowa kompetencja Generalnego Inspektora Ochrony Danych Osobowych [w:] Nowelizacja ustawy o ochronie danych osobowych 2010, red. G. Sibiga, M. Praw. 2011/3, dodatek, s. 27, cyt. za P. Fajgielskim [w:] Komentarz do ustawy o ochronie danych osobowych [w:] Ogólne rozporządzenie o ochronie danych. Ustawa o ochronie danych osobowych. Komentarz, wyd. III, Warszawa 2025, art. 52, pkt 3).
Jak to trafnie podnosi się w skardze kasacyjnej, biorąc pod uwagę wykładnię przepisów RODO przyjętą przez organ, ustalenie dokładnej daty możliwości zawarcia proponowanej umowy bez konieczności wyrażenia zgód na przetwarzanie danych osobowych nie ma znaczenia dla rozstrzygnięcia. Okoliczność, że w trakcie trwania akcji strona była modyfikowana, jest bezsporna. Ustalenie dokładnej daty mogłoby mieć istotne znaczenie jedynie w przypadku, gdyby Prezes UODO stwierdził naruszenie przez Spółkę przepisów o ochronie danych osobowych. Tymczasem organ ustalił stan faktyczny w stopniu wystarczającym do dokonania przez Sąd I instancji oceny zgodności zaskarżonej decyzji z prawem, w tym oceny dobrowolności wyrażania zgody na zawarcie umowy zarówno przed, jak i po zmianie mającej na celu bardziej przejrzyste informowanie uczestników Akcji o prawie do wycofania zgody.
Błędna analiza wniosków decyzji doprowadziła Sąd I instancji do przedwczesnego jej uchylenia na skutek stwierdzenia naruszenia przepisów postępowania w postaci art. 7, art. 77 § 1 i art. 80 k.p.a. Ponownie rozpoznając sprawę WSA w Warszawie dokona powtórnej oceny legalności zaskarżonej decyzji Prezesa Urzędu Ochrony Danych Osobowych z 19 sierpnia 2021 r. nr ZSPR.440.1104.2019.FT.MI, uwzględniając, iż nie stanowi naruszenia procedury zaniechanie wskazania dnia, "od którego praktyka pozyskiwania zgód nie naruszała przepisów RODO" w sytuacji, w której zdaniem organu praktyka ta nie naruszała przepisów o ochronie danych osobowych zarówno przed, jak i po zmianie wprowadzonej 7 czerwca 2019 r.
Mając na uwadze powyższe wywody, Naczelny Sąd Administracyjny uznał, że skarga kasacyjna zawiera usprawiedliwioną podstawę, dlatego na mocy art. 185 § 1 p.p.s.a. uchylił zaskarżony wyrok i przekazał sprawę do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie.