Wyrok Naczelnego Sądu Administracyjnegoz 2 kwietnia 2015 r., sygn. akt I OSK 1760/13

Uzasadnienie

Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 5 kwietnia 2013 r. sygn. akt II SA/Wa 2162/12 oddalił skargę A. Sp. z o.o. z siedzibą w W. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] września 2012 r. nr [...] w przedmiocie przetwarzania danych osobowych.

Wyrok został wydany w następującym stanie faktycznym i prawnym sprawy.

W toku kontroli przeprowadzonej w A. Sp. z o.o. z siedzibą w W. przy ul. [...], inspektorzy upoważnieni przez Generalnego Inspektora Ochrony Danych Osobowych ustalili, że w dniu 9 grudnia 2004 r. A. Sp. z o.o. z siedzibą w W. oraz L.N. prowadzący działalność gospodarczą pod nazwą "[...]" z siedzibą w B. (zwany dalej Przedsiębiorcą) zawarli "umowę o współpracy w zakresie tworzenia bazy danych osobowych". Stwierdzili, że w wyniku realizacji powołanej umowy tworzona jest m.in. baza danych Spółki, która zawiera dane osobowe pozyskane od respondentów za pomocą kwestionariuszy opracowanych przez Przedsiębiorcę i zawierających pytania ustalone przez Spółkę. Respondentami, którzy wypełniają w/w kwestionariusze są matki, które urodziły dziecko i/lub ich partnerzy. Przedstawiony przez Spółkę wzór kwestionariusza dla w/w respondentów dalej będzie zwany "kwestionariuszem Programu Edukacji Zdrowotnej." Z ustaleń kontroli wynika, że w "kwestionariuszach Programu Edukacji Zdrowotnej" pozyskiwane są dane osobowe matek, które urodziły dziecko, dane osobowe tych dzieci oraz dane osobowe partnerów matek.

Powyższy kwestionariusz zawiera klauzulę zgody na przetwarzanie danych osobowych o następującej treści: "Wyrażam zgodę na przetwarzanie moich danych osobowych zawartych w części A i B niniejszego kwestionariusza przez A. Sp. z o.o. z siedzibą w W. przy ul. [...], jako administratora danych oraz na udostępnienie moich danych innym podmiotom, w tym renomowanym dostawcom produktów i/lub usług oraz uznanym organizacjom społecznym i pozarządowym oraz wyrażam zgodę na przetwarzanie moich danych osobowych zawartych w części A kwestionariusza przez [...] L.N. z siedzibą w B., ul. [...]. Zostałem poinformowany, że moje dane osobowe będą przetwarzane zgodnie z zasadami wynikającymi z przepisów o ochronie danych osobowych w następujących celach: rozwój produktów i usług, analiza i badanie, marketing, integracja danych oraz aktualizacja i weryfikacja ich poprawności.

Jednocześnie wyrażam zgodę na otrzymywanie informacji handlowej za pomocą środków komunikacji elektronicznej, przesyłanej na wskazane przeze mnie adresy elektroniczne od A. Sp. z o.o., [...] L.N. oraz innych podmiotów, które pozyskały moje dane od A. Sp. z o.o. Wyrażenie zgody jest dobrowolne. Przyjmuję do wiadomości, że przysługuje mi prawo dostępu do treści moich danych oraz prawo ich poprawiania".

Złożenie podpisu pod zacytowaną klauzulą, jest równoznaczne ze złożeniem przez osobę, która wypełnia i podpisuje kwestionariusz (respondent) oświadczeń w niej zawartych.

Ze zgromadzonego w toku kontroli materiału dowodowego wynika, że dane osobowe pozyskane na podstawie "kwestionariuszy Programu Edukacji Zdrowotnej" (tj. dane matek, dzieci, partnerów) są wprowadzane do elektronicznej bazy danych Spółki o nazwie "OBK". Dane te co do zasady są zbierane od osób, których dotyczą. Zdarzają się jednak kwestionariusze podpisane tylko przez matkę dziecka lub tylko przez jej partnera. Niektóre kwestionariusze nie zawierają natomiast podpisu żadnego z respondentów. Dystrybucja "kwestionariuszy Programu Edukacji Zdrowotnej" wśród potencjalnych respondentów i gromadzenie wypełnionych kwestionariuszy należy do zadań Przedsiębiorcy. Zbiera on wypełnione papierowe "kwestionariusze Programu Edukacji Zdrowotnej", a następnie wprowadza zawarte w nich dane respondentów do elektronicznej bazy danych prowadzonej w systemie MS Access. W przybliżeniu raz na trzy miesiące, Przedsiębiorca przekazuje osobiście do Spółki wypełnione papierowe "kwestionariusze Programu Edukacji Zdrowotnej" i w/w elektroniczną bazę danych w postaci plików zapisanych na płytach CD.

Dane otrzymane przez Spółkę od Przedsiębiorcy na płytach CD są następnie importowane do bazy danych o nazwie "OBK". Warunkiem niezbędnym do tego, aby dane (zarówno matki, jak i partnera) zostały importowane do bazy danych "OBK" jest, aby w bazie otrzymanej od Przedsiębiorcy zawarta była informacja, że matka dziecka wyraziła zgodę na przetwarzanie danych (podpisała kwestionariusz). Jeżeli na tej podstawie do bazy danych "OBK" importowane zostały dane osobowe partnerów, którzy nie złożyli swojego podpisu pod kwestionariuszem (nie wyrazili zgody), dane te są przetwarzane przez Spółkę wyłącznie w celu analizy, badania oraz integracji danych i nie są udostępniane firmom współpracującym ze Spółką. W przypadku, gdy kwestionariusz nie został podpisany przez żadnego z respondentów (ani przez matkę, ani przez partnera) dane zawarte w bazie danych otrzymanej od Przedsiębiorcy nie są importowane do bazy danych "OBK" i nie są one udostępniane firmom współpracującym ze Spółką.

Taka sama sytuacja zachodzi w przypadku, gdy to tylko partner podpisał kwestionariusz. Spółka przewiduje, że w przyszłości pozyskane na "kwestionariuszach Programu Edukacji Zdrowotnej" dane osób, które nie podpisały tych kwestionariuszy, będą wykorzystywane przez nią w celach statystycznych i z tego względu nie usuwa w/w danych.

W piśmie z dnia 11 czerwca 2012 r. Spółka wyjaśniła, że zniszczyła 11 płyt CD zawierających kolejne wersje bazy danych MS Access otrzymane od Przedsiębiorcy i w chwili obecnej nie jest w posiadaniu żadnych płyt zawierających przedmiotową bazę danych. Do powyższych wyjaśnień załączono kopię protokołu z dokonania zniszczenia ww. płyt w dniu 9 maja 2012 r.

W toku kontroli ustalono również, iż dane pozyskane przez Spółkę na podstawie "kwestionariuszy Programu Edukacji Zdrowotnej" są przez nią "aktywnie" przetwarzane dopóki osoba ta nie wyrazi sprzeciwu wobec dalszego przetwarzania jej danych. W takim przypadku osoba, która wyraziła sprzeciw, jest wyszukiwana w bazie danych "OBK", a rekord (wpis) dotyczący jej osoby jest oznaczany jako dane, wobec których przetwarzania złożono sprzeciw i zapisywany w tzw. "bazie danych wycofań". Baza ta jest częścią bazy danych "OBK". Wycofany rekord zawiera dane w zakresie: imię i nazwisko, adres, numery telefonu, adres e-mail, data urodzenia. Pozostałe dane są usuwane. Wszystkie dane osobowe (także te ze źródeł innych niż opisane kwestionariusze Programu Edukacji Zdrowotnej), przed ich przeniesieniem do bazy danych "OBK" są zawsze porównywane z "bazą danych wycofań" w celu ustalenia, czy osoba ta wcześniej nie zgłosiła sprzeciwu wobec przetwarzania jej danych.

Jeżeli osoba choć raz wycofała zgodę na przetwarzanie danych osobowych (złożyła sprzeciw wobec dalszego przetwarzania jej danych przez Spółkę), jej dane osobowe nie są importowane do bazy danych "OBK" nawet jeżeli zostały pozyskane na innej podstawie z odmiennego legalnego źródła. W przypadku wyrażenia sprzeciwu dalsze przetwarzanie danych w postaci elektronicznej jest ograniczone do ich przechowywania w "bazie danych wycofań".

Pismem z dnia 4 kwietnia 2012 r. Spółka uzupełniła powyższe wyjaśnienia wskazując, że w przypadku, gdy respondenci (matka, partner) wycofali swoją zgodę dla Spółki na przetwarzanie dotyczących ich danych osobowych, podstawę prawną do ich dalszego przetwarzania przez Spółkę w "bazie danych wycofań" (w zakresie ograniczonym do imienia, nazwiska, adresu, numeru telefonu, adresu e-mail oraz daty urodzenia) stanowi art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych. W ocenie Spółki, za takim rozwiązaniem przemawia uzasadniony interes osoby, której dane dotyczą, gdyż dzięki w/w bazie danych Spółka gwarantuje respondentom, którzy odwołali swoją zgodę na przetwarzanie danych osobowych, że nie będą otrzymywali ofert handlowych podmiotów z nią współpracujących, nawet, jeżeli w przyszłości Spółka wejdzie ponownie w posiadanie danych takich osób.

Generalny Inspektor Ochrony Danych Osobowych w dniu [...] marca 2012 r. wszczął postępowanie administracyjne w sprawie przetwarzania przez Spółkę danych osobowych, a następnie decyzją z dnia [...] lipca 2012 r. nr [...], na podstawie art. 104 § 1 i art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (t.j.: Dz. U. z 2000 r. Nr 98, poz. 1071 ze zm., dalej w skrócie K.p.a.) oraz art. 12 pkt 2, art. 18 ust. 1 pkt 1 i pkt 6, art. 22 w zw. z art. 7 pkt 5, art. 23 ust. 1 pkt 1 art. 26 ust. 1 pkt 4 i art. 36 ust. 1 ustawy o ochronie danych osobowych:

1. I. Nakazał A. Sp. z o.o. z siedzibą w W. przy ul. [...], jako administratorowi danych, usunięcie uchybień w procesie przetwarzania danych osobowych, poprzez:
2. 1. Zapewnienie osobom wypełniającym "kwestionariusz Programu Edukacji Zdrowotnej" (respondentom) możliwości wyboru w zakresie:

A) udzielenia/nieudzielenia zgody na przetwarzanie danych osobowych zawartych w części A i B w/w kwestionariusza przez A. Sp. z o.o. z siedzibą w W. w celach marketingowych;

B) udzielenia/nieudzielenia zgody na udostępnienie przez A. Sp. z o.o. z siedzibą w W. danych osobowych innym podmiotom, w tym renomowanym dostawcom produktów i/lub usług oraz uznanym organizacjom społecznym i pozarządowym przy jednoczesnym wskazaniu celu tego udostępnienia;

C) udzielenia/nieudzielenia zgody na otrzymywanie informacji handlowej za pomocą środków komunikacji elektronicznej, przesyłanej na wskazane przez respondenta adresy elektroniczne od A. Sp. z o.o. z siedzibą w W. przy ul. [...], od [...] L.N. z siedzibą w B. przy ul. [...] oraz od innych podmiotów, które pozyskały dane respondenta od A. Sp. z o.o. z siedzibą w W., w terminie dwóch tygodni od dnia, w którym niniejsza decyzja stanie się ostateczna;

1. 2. Usunięcie danych osobowych pozyskanych za pomocą "kwestionariusza Programu Edukacji Zdrowotnej", przetwarzanych w postaci papierowej oraz elektronicznej, a dotyczących respondentów, którzy nie udzielili Spółce zgody na przetwarzanie danych osobowych, o której mowa w klauzuli zawartej w w/w kwestionariuszu, w terminie miesiąca od dnia, w którym niniejsza decyzja stanie się ostateczna;
2. 3. Usunięcie z tzw. "bazy danych wycofań" danych osobowych respondentów, pozyskanych na podstawie "kwestionariusza Programu Edukacji Zdrowotnej", którzy odwołali zgodę na przetwarzanie danych osobowych udzieloną Spółce w w/w kwestionariuszu, w terminie miesiąca od dnia, w którym niniejsza decyzja stanie się ostateczna;
3. 4. Zapewnienie, aby dane osobowe znajdujące się w "kwestionariuszach Programu Edukacji Zdrowotnej" były przetwarzane w postaci umożliwiającej identyfikację osób, których dotyczą, nie dłużej niż jest to niezbędne do osiągnięcia celu przetwarzania, w tym opracowanie i wdrożenie procedur określających sposób usuwania w/w danych w przypadku, gdy brak jest podstaw prawnych przetwarzania lub ustał cel przetwarzania, dla którego zostały pozyskane, w terminie miesiąca od dnia w którym niniejsza decyzja stanie się ostateczna;
4. II. W pozostałym zakresie postępowanie umorzył.

W dniu 6 sierpnia 2012 r. A. Sp. z o.o. z siedzibą w W. wniosła do Generalnego Inspektora Ochrony Danych Osobowych wniosek o ponowne rozpatrzenie sprawy, w części zobowiązującej ją do wykonania nakazów zawartych w punktach 2 i 3 zaskarżonej decyzji oraz uchylenie tej decyzji w powyższym zakresie. Zaskarżonej decyzji zarzuciła naruszenie art. 7 i art. 77 § 1 K.p.a. w stopniu mającym istotny wpływ na wynik sprawy oraz naruszenie prawa materialnego, tj. art. 23 ust. 1 pkt 5 w zw. z art. 23 ust. 1 pkt 1 ustawy o ochronie danych osobowych, poprzez przyjęcie, że brak zgody na przetwarzanie danych osobowych (poprzez brak jej złożenia lub późniejsze wycofanie) oznacza brak możliwości przetwarzania takich danych w oparciu o inną ustawową przesłankę. Spółka podniosła, że w jej ocenie nie można stwierdzić, iż brak podpisu pod klauzulą zawartą w tzw. "kwestionariuszu Programu Edukacji Zdrowotnej" świadczy każdorazowo o braku zgody na wykorzystanie danych respondentów w celu ich analizy i badania.

Jest to bowiem tylko jeden z kilku celów przetwarzania danych wskazanych w tej klauzuli. Nie jest zatem wykluczone, że w/w klauzula nie została podpisana z innych powodów np. ze względu na możliwość udostępniania na tej podstawie danych respondentów podmiotom trzecim. Nie sposób jest więc dowieść, że respondenci poprzez niepodpisanie klauzuli zgody zamierzali uniemożliwić Spółce przetwarzanie ich danych właśnie w celach analitycznych.

Ponadto wskazała, że pomimo niezłożenia przez respondentów podpisu pod klauzulą zgody na przetwarzanie danych osobowych, która została zawarta w "kwestionariuszu Programu Edukacji Zdrowotnej", Spółka jest uprawniona do przetwarzania dotyczących ich danych osobowych w celu badania i analizy na podstawie art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych. Stwierdziła również, iż cofnięcie zgody przez osobę, której dane były przetwarzane na tej podstawie oznacza, że administrator danych nie ma podstawy prawnej do ich przetwarzania, ale wyłącznie w zakresie objętym zgodą.

Należy zatem przyjąć, że pozyskane dane mogą być nadal przetwarzane w innym celu, niż objęty klauzulą zgody, w oparciu o inną podstawę prawną. Konsekwencją odmiennego założenia byłoby bowiem kreowanie przesłanki wskazanej w art. 23 ust. 1 pkt 1 cyt. ustawy, jako mającej prymat nad innymi przesłankami uprawniającymi do przetwarzania danych osobowych. Celem przetwarzania danych w "bazie danych wycofań" jest zapewnienie, aby w kampaniach marketingowych podmiotów współpracujących ze Spółką nie były wykorzystywane dane osób, które nie są zainteresowane dalszym otrzymywaniem wiadomości o charakterze reklamowym. Jest to zatem odmienny cel przetwarzania danych respondentów od celów wskazanych w zawartej w kwestionariuszu Programu Edukacji Zdrowotnej klauzuli zgody na przetwarzanie danych osobowych. Z tego względu cofnięcie w/w zgody nie uniemożliwia Spółce przetwarzania danych w "bazie danych wycofań" na podstawie art. 23 ust. 1 pkt 5 cyt. ustawy. Spółka podkreśliła, że osobom, których dane osobowe znajdują się w "bazie danych wycofań" zapewniono możliwość realizacji wszelkich uprawnień wynikających z ustawy.

Generalny Inspektor Ochrony Danych Osobowych, po przeprowadzeniu postępowania administracyjnego w sprawie wniosku A. Sp. z o.o. z siedzibą w W. przy ul. [...] o ponowne rozpatrzenie sprawy, w części zobowiązującej ją do wykonania nakazów zawartych w punktach 2 i 3 zaskarżonej decyzji, decyzją z dnia [...] września 2012 r. nr [...], wydaną na podstawie art. 138 § 1 pkt 1 K.p.a. oraz art. 12 pkt 2, art. 18 ust. 1 pkt 1 i art. 22 w zw. z art. 23 ust. 1 pkt 1 w zw. z art. 7 pkt 5 ustawy o ochronie danych osobowych, utrzymał w mocy nakazy zawarte w punktach 2 i 3 decyzji z dnia [...] lipca 2012 r. nr [...].

W uzasadnieniu decyzji podał, że w sprawie jest niesporne, że Spółka pozyskuje od respondentów wypełniających "kwestionariusz Programu Edukacji Zdrowotnej" zgodę na "przetwarzanie (...) danych osobowych zawartych w części A i B niniejszego kwestionariusza przez A. Sp. z o.o. z siedzibą w W. przy ul. [...], jako administratora danych (...)" m.in. w celu takim jak "rozwój produktów i usług, analiza i badanie". Wskazanie w/w celu w treści opracowanej przez Spółkę klauzuli zgody sugeruje, że pozyskane za pomocą "kwestionariusza Programu Edukacji Zdrowotnej" dane osobowe będą przetwarzane do tego celu na podstawie zgody udzielonej przez respondentów, czyli na podstawie art. 23 ust. 1 pkt 1 ustawy o ochronie danych osobowych.

W związku z powyższym w decyzji pierwszej instancji prawidłowo stwierdzono, że nieudzielenie przez respondenta przedmiotowej zgody należy uznać za przejaw jego woli, jako osoby, której dane dotyczą. Fakt, że Spółka opracowała i zamieściła w w/w kwestionariuszu niejednoznaczną klauzulę zgody, tzn. niezapewniającą respondentom możliwości wyboru co do udzielenia/nieudzielenia Spółce odrębnej zgody na przetwarzanie danych dla każdego z celów przetwarzania wskazanych w jej treści – nie może następnie uprawniać Spółki do dowolnej interpretacji zachowania respondenta polegającego na niezłożeniu podpisu pod tak skonstruowaną klauzulą. Argumentacja prezentowana przez Spółkę w tym zakresie we wniosku o ponowne rozpatrzenie sprawy, podważa możliwość traktowania w/w zachowania jako świadomej decyzji respondenta.

Tym samym konsekwencje nieprawidłowego sformułowania przez Spółkę klauzuli zgody zostają przeniesione na osobę, której dane dotyczą, a która nie miała żadnego wpływu na jej treść. W ocenie Generalnego Inspektora Ochrony Danych Osobowych takie działanie administratora danych należy uznać za nieuprawnione.

Organ wskazał także, iż pozyskiwanie zgody na przetwarzanie danych osobowych w określonym celu, w sytuacji, gdy ma się ono odbywać na podstawie innej niż zgoda przesłanki, może prowadzić do wprowadzenia w błąd osób, których dane dotyczą. Respondenci, którzy nie podpisali oświadczenia o wyrażeniu zgody na przetwarzanie danych osobowych w celach wskazanych w opracowanej przez Spółkę klauzuli mają bowiem uzasadnione prawo, aby sądzić, że ich dane nie będą w tych celach przetwarzane. Skoro zatem sama Spółka umożliwiła w/w osobom złożenie oświadczenia woli o wyrażeniu zgody na przetwarzanie danych osobowych w celu "rozwoju produktów i usług, analizy i badania", powinna także respektować ich prawo do odmowy jej udzielenia.

Tym samym powoływanie się przez Spółkę w takim przypadku na art. 23 ust. 1 pkt 5 cyt. ustawy, jako przesłankę legalizującą przetwarzanie przez nią danych respondentów dla realizacji w/w celu, jest niedopuszczalne. Przetwarzanie danych na tej podstawie może mieć miejsce jedynie w sytuacji, gdy spełnione są łącznie dwa warunki: niezbędność przetwarzania danych osobowych dla realizacji prawnie określonych celów administratora danych oraz nienaruszalność praw i wolności osoby, której dane dotyczą.

Generalny Inspektor Ochrony Danych Osobowych odnosząc się do zarzutów Spółki w zakresie nakazu usunięcia danych respondentów z tzw. "bazy danych wycofań" stwierdził, że Spółka przetwarza dane osobowe respondentów, którzy odwołali swoją zgodę na przetwarzanie danych osobowych (złożyli sprzeciw wobec dalszego przetwarzania ich danych osobowych przez Spółkę). Zdaniem Spółki, cofnięcie zgody przez osobę, której dane były przetwarzane na tej podstawie oznacza, że administrator danych, nie ma podstawy prawnej do ich przetwarzania ale wyłącznie w zakresie objętym zgodą. Pozyskane dane mogą być zatem nadal przetwarzane w innym celu niż objęty klauzulą zgody, w oparciu o inną podstawę prawną. Taka sytuacja ma miejsce w przypadku danych osobowych respondentów przetwarzanych w "bazie danych wycofań".

Organ odnosząc się do zaprezentowanego przez Spółkę stanowiska zauważył, iż z akt sprawy wynika, że Spółka pomimo zadeklarowanej przez nią dbałości o respektowanie praw w/w respondentów, nie informuje tych osób o kontynuacji przetwarzania ich danych osobowych w tzw. "bazie danych wycofań". Ustalono, że do respondenta, który odwołał swoją zgodę na przetwarzanie danych osobowych wysyła pismo, z którego wprost wynika, iż jego dane zostały usunięte i nie będą już przetwarzane oraz udostępniane innym firmom. Także w treści "kwestionariusza Programu Edukacji Zdrowotnej" Spółka nie informuje o tym, że po wycofaniu zgody na przetwarzanie danych osobowych dane respondentów w zakresie: imię i nazwisko, adres, numery telefonu, adres e-mail, data urodzenia, będą nadal przetwarzane w celu uniemożliwienia ich ponownego wykorzystania w kampaniach marketingowych podmiotów współpracujących ze Spółką. W tej sytuacji nie można przychylić się do argumentacji Spółki, która za podstawę prawną do przetwarzania danych osobowych respondentów w "bazie danych wycofań" przyjmuje art. 23 ust. 1 pkt 5 cyt. ustawy.

Takie podejście Spółki prowadzi bowiem do ograniczania praw osób fizycznych, przejawiających się m.in. w prawie do dysponowania swoimi danymi osobowymi, a nie do ich respektowania. W ocenie Generalnego Inspektora Ochrony Danych Osobowych, w przypadku wycofania zgody na przetwarzanie danych osobowych, przez osobę, której dane dotyczą, brak jest podstawy prawnej do dalszego przetwarzania (przechowywania) tych danych przez Spółkę także w tzw. "bazie danych wycofań" i powinny one zostać usunięte.

Powyższa decyzja stała się przedmiotem skargi A. Sp. z o.o. z siedzibą w W. do Wojewódzkiego Sądu Administracyjnego w Warszawie. Spółka zaskarżonym decyzjom zarzuciła:

1. 1) naruszenie przepisów prawa materialnego, tj.:
2. a) art. 23 ust. 1 pkt 5 w zw. z art. 24 ustawy o ochronie danych osobowych, poprzez ich niewłaściwą wykładnię skutkującą niezastosowaniem, polegającym na nieuzasadnionym przyjęciu, że fakt poinformowania, w wykonaniu ustawowego obowiązku wynikającego z przepisu art. 24 ustawy o ochronie danych osobowych, w treści klauzuli informacyjnej o przetwarzaniu danych osobowych dla celów "rozwoju produktów i usług, analizy i badaniu" oznacza jednocześnie, że oświadczenie o udzieleniu lub o odmowie udzielenia zgody na przetwarzanie danych osobowych obejmuje również wskazany w treści klauzuli informacyjnej cel przetwarzania danych osobowych dla "rozwoju produktów i usług, analizy i badaniu", co doprowadziło organ do oczywiście błędnego rozstrzygnięcia, że brak udzielenia zgody na przetwarzanie danych osobowych w zakresie objętym klauzulą zgody stanowi jednocześnie brak zgody na przetwarzanie danych osobowych dla określonych w klauzuli informacyjnej celów ("rozwój produktów i usług, analizy i badania"), podczas gdy w rzeczywistości wskazanie w treści klauzuli informacyjnej celów przetwarzania danych osobowych stanowiło jedynie wykonanie ustawowego obowiązku z art. 24 ustawy o ochronie danych osobowych, co w konsekwencji przy prawidłowej wykładni art. 23 ust. 1 pkt 5 oraz art. 24 cyt. ustawy winno doprowadzić do przyjęcia, że skarżąca nie przetwarzała danych osobowych bezprawnie, tj. bez posiadania zgód osób, których dane dotyczą, dla celów "rozwoju produktów i usług, analizy i badaniu", gdyż Spółka przetwarzała je w oparciu o ustawową przesłankę zawartą w art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych, o czym informowała respondentów (podmioty danych);
3. b) art. 23 ust. 1 pkt 2 w zw. z art. 1 ust. 2 ustawy o ochronie danych osobowych, poprzez ich niewłaściwą wykładnię skutkującą niezastosowaniem, polegającym na nieuzasadnionym przyjęciu przez organ, że odwołanie zgody na przetwarzanie danych osobowych skutkuje każdorazowo brakiem dopuszczalności dalszego przetwarzania danych osobowych, w jakimkolwiek zakresie, co doprowadziło do wydania przez organ oczywiście błędnego rozstrzygnięcia, że niedopuszczalnym było przetwarzanie przez skarżącą w tzw. "bazie danych wycofań" danych osobowych osób, które zgodę na przetwarzanie danych osobowych odwołały, podczas gdy w rzeczywistości przetwarzanie przez skarżącą danych osobowych zawartych w tzw. "bazie danych wycofań" jest niezbędne dla uniknięcia przez Spółkę ponownego wykorzystania tych danych osobowych, a więc niezbędne dla zrealizowania wynikającego z art. 23 ust. 1 pkt 2 w zw. z art. 1 ust. 2 ustawy o ochronie danych osobowych "dobra osoby, której dane dotyczą", a co przy prawidłowym zastosowaniu naruszonych przepisów winno doprowadzić do przyjęcia, że skarżąca może przetwarzać w "bazie danych wycofań" dane osobowe w/w osób na podstawie art. 23 ust.1 pkt 2 w zw. z art. 1 ust. 2 cyt. ustawy, to jest celem zrealizowania ustawowego obowiązku zapobieżenia ponownego wykorzystania w przyszłości danych osób, które zgodę na przetwarzanie ich danych osobowych odwołały ("ochrony dobra osoby, której dane dotyczą");
4. c) art. 23 ust. 1 pkt 5 w zw. z art. 32 ust. 2 pkt 8 oraz w zw. z art. 32 ust. 3 ustawy o ochronie danych osobowych, poprzez ich niewłaściwą wykładnię skutkującą niezastosowaniem, polegającym na nieuzasadnionym przyjęciu przez organ, że sprzeciw wobec przetwarzania danych osobowych skutkuje każdorazowo brakiem dopuszczalności dalszego przetwarzania, w jakimkolwiek zakresie, danych osób, które sprzeciw ten wyraziły, co doprowadziło do wydania przez organ oczywiście błędnego rozstrzygnięcia, że niedopuszczalnym było przetwarzanie przez skarżącą w tzw. "bazie danych wycofań" danych osobowych osób, które sprzeciw ten złożyły, podczas gdy przetwarzanie przez Spółkę danych osobowych zawartych w tzw. "bazie danych wycofań" jest niezbędne dla uniknięcia przez skarżącą ponownego wykorzystania tych danych, a co jest wprost przewidziane w przepisie art. 32 ust. 3 ustawy o ochronie danych osobowych, jako podstawy legalizującej przetwarzanie (przechowywanie) danych osobowych w celu uniknięcia ponownego wykorzystania danych tej osoby w celach objętych sprzeciwem, co przy prawidłowym zastosowaniu naruszonych przepisów winno doprowadzić do przyjęcia, że skarżąca może na podstawie art. 32 ust. 3 cyt. ustawy przetwarzać w "bazie danych wycofań" dane osobowe w celu zapobieżenia ponownemu ich wykorzystaniu w celach objętych sprzeciwem;
5. 2) naruszenie przepisów postępowania, tj.:
6. a) art. 7, art. 77 oraz art. 80 K.p.a., w stopniu mającym istotny wpływ na rozstrzygnięcie sprawy, poprzez ich niewłaściwą wykładnię i nieprawidłowe zastosowanie polegające na powierzchownej analizie całości zgromadzonego w sprawie materiału dowodowego, przejawiającą się w szczególności w niestarannej i nieprawidłowej analizie treści stosowanych przez skarżącą klauzul, w tym klauzuli informacyjnej, co doprowadziło GIODO do wydania zaskarżonych decyzji z powołaniem się w szczególności na jakoby niezgodne z prawem przetwarzanie danych osobowych, podczas gdy w rzeczywistości prawidłowa wykładnia i właściwe zastosowanie naruszonych przepisów winno doprowadzić organ do przyjęcia, iż całokształt materiału dowodowego sprawy jednoznacznie wskazuje, iż skarżąca nie dopuściła się uchybień w procesie przetwarzania danych osobowych, co wynika jednoznacznie zwłaszcza z prawidłowej analizy stosowanych przez Spółkę klauzul, w tym klauzuli zgody i klauzuli informacyjnej, a w konsekwencji do przyjęcia, że skarżąca przetwarza dane osobowe zgodnie z prawem;
7. b) art. 107 § 1 i 3 w zw. z art. 11 K.p.a. oraz art. 18 ust. 1 ustawy o ochronie danych osobowych w stopniu mającym istotny wpływ na rozstrzygnięcie sprawy, poprzez ich niewłaściwą wykładnię skutkującą niezastosowaniem, polegającym na sporządzeniu decyzji niepozwalającej ustalić, jakie obowiązki zostały na skarżącą nałożone oraz niezawierającej wskazania i należytego wyjaśnienia podstawy prawnej rozstrzygnięcia, podczas gdy prawidłowe sformułowanie decyzji organu oraz jej pełne i wyczerpujące uzasadnienie jest istotnym obowiązkiem organu administracji publicznej, gdyż umożliwia właściwą realizację zasady sądowej kontroli postępowania administracyjnego, poprzez umożliwienie rzeczywistej kontroli wydanego w sprawie przez organ administracji rozstrzygnięcia z przepisami prawa.

Wskazując na powyższe zarzuty skarżąca wniosła o uchylenie decyzji Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] września 2012 r. nr [...] w całości oraz decyzji Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] lipca 2012 r. nr [...] w zaskarżonej części, to jest w pkt 2 i 3.

Generalny Inspektor Ochrony Danych Osobowych w odpowiedzi na skargę wniósł o jej oddalenie i podtrzymał argumentację przedstawioną w uzasadnieniach zaskarżonych decyzji.

Wojewódzki Sąd Administracyjny w Warszawie uznał, ze skarga nie zasługuje na uwzględnienie. W uzasadnieniu wyroku podał, że ochrona danych osobowych polega przede wszystkim na określeniu, kiedy dozwolone, a kiedy zabronione jest ich przetwarzanie. Ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t.j.: Dz. U. z 2002 r. Nr 101, poz. 926 ze zm., dalej w skrócie u.o.d.o.) określa zasady przetwarzania danych osobowych (Rozdział 3 ustawy). W art. 23 § 1 u.o.d.o zostały wymienione przesłanki legalizujące przetwarzanie danych osobowych. Przepis ten stanowi, że przetwarzanie danych jest dopuszczalne tylko wtedy, gdy:

1. 1) osoba, której dane dotyczą, wyrazi na to zgodę, chyba że chodzi o usunięcie dotyczących jej danych,
2. 2) jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa,
3. 3) jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą,
4. 4) jest niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego,
5. 5) jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą.

Stosownie do art. 24 ust.1u.o.d.o., w przypadku zbierania danych osobowych od osoby, której one dotyczą, administrator danych jest obowiązany poinformować tę osobę o:

1. 1) adresie swojej siedziby i pełnej nazwie, a w przypadku gdy administratorem danych jest osoba fizyczna – o miejscu swojego zamieszkania oraz imieniu i nazwisku,
2. 2) celu zbierania danych, a w szczególności o znanych mu w czasie udzielania informacji lub przewidywanych odbiorcach lub kategoriach odbiorców danych,
3. 3) prawie dostępu do treści swoich danych oraz ich poprawiania,
4. 4) dobrowolności albo obowiązku podania danych, a jeżeli taki obowiązek istnieje, o jego podstawie prawnej.

Zgodnie z art. 24 ust. 2 u.o.d.o., przepisu ust. 1 nie stosuje się, jeżeli:

1. 1) przepis innej ustawy zezwala na przetwarzanie danych bez ujawniania faktycznego celu ich zbierania,
2. 2) osoba, której dane dotyczą, posiada informacje, o których mowa w ust. 1.

Sąd pierwszej instancji wskazał, że cytowany przepis art. 23 ust. 1 u.o.d.o. określa ogólne materialne przesłanki przetwarzania danych osobowych. Mają one charakter generalny, odnoszą się do wszelkich form przetwarzania danych, w tym zarówno do przetwarzania "na własne potrzeby" administratora, jak i "na zewnątrz". Co do zasady są one równoprawne, mają charakter autonomiczny i niezależny. Oznacza to, że wystarczy wystąpienie jednej z nich, by przetwarzanie danych mogło być uznane za usprawiedliwione (por. J. Barta, P. Fajgielski, R. Markiewicz "Ochrona danych osobowych. Komentarz.", LEX nr 106659, wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 19 lipca 2007 r. sygn. akt II SA/Wa 678/07, LEX nr 368229).

Niezależnie od regulacji zasadniczo dotyczącej dopuszczalności przetwarzania danych osobowych, omawiana ustawa zawiera odrębne normy poświęcone zbieraniu danych. Ustawodawca w powyżej cytowanym art. 24 u.o.d.o. podaje minimalny zakres informacji, które powinny być udzielone osobie, której dotyczą zbierane dane. Funkcją tych regulacji jest to, aby na podstawie uzyskanych informacji zainteresowany miał możliwość właściwego ocenienia sytuacji i podjęcia decyzji co do ujawnienia i udostępnienia danych, a także aby mógł wykonywać prawa przyznane mu w ustawie o ochronie danych osobowych, czy występować z roszczeniami wynikającymi z innych ustaw – np. majątkowymi i pozamajątkowymi z Kodeksu cywilnego (por. tamże).

Następnie Wojewódzki Sąd Administracyjny w Warszawie po przedstawieniu stanu faktycznego sprawy podzielił stanowisko organu, że brak jest podstaw do przetwarzania przez Spółkę danych osobowych respondentów, którzy nie wyrazili zgody na przetwarzanie ich danych w ramach realizacji celu określonego jako "rozwój produktów i usług, analiza i badanie". Istotne znaczenie ma tu fakt, że pozyskiwanie zgody na przetwarzanie danych osobowych w określonym celu w sytuacji, gdy faktycznie ma się ono odbywać na podstawie innej, niż zgoda przesłanki, skutkuje wprowadzeniem w błąd osób, których dane dotyczą. Respondenci, którzy nie wyrazili zgody na przetwarzanie danych osobowych w celach wskazanych w opracowanej przez Spółkę klauzuli mają bowiem uzasadnione prawo, aby sądzić, iż ich dane nie będą w tych celach przetwarzane. Spółka winna respektować prawo odmowy udzielenia zgody na przetwarzanie danych w celu przez siebie określonym jako "rozwoju produktów i usług, analizy i badania". W takim bowiem przypadku (odmowy udzielenia zgody) powoływanie się na art. 23 ust 1 pkt 5 u.o.d.o., jako przesłankę legalizującą przetwarzanie danych, jest niedopuszczalne.

Sąd pierwszej instancji podzielił również pogląd organu, że wskazane w w/w klauzuli cele przetwarzania danych są częścią składową zgody na przetwarzanie danych osobowych i nie mają na celu jedynie spełnienie przez Spółkę, jako administratora danych, obowiązku informacyjnego, o którym mowa w art. 24 ust. 1 u.o.d.o. Zgodnie z art. 7 pkt 5 u.o.d.o., poprzez zgodę osoby, której dane dotyczą, należy rozumieć oświadczenie woli, którego treścią jest zgoda na przetwarzanie danych osobowych tego, kto składa oświadczenie; zgoda nie może być domniemana lub dorozumiana z oświadczenia woli o innej treści oraz może być odwołana w każdym czasie. Powyższa definicja zawiera dwie niezwykle istotne wskazówki co do prawidłowego zrozumienia tego pojęcia.

Po pierwsze, ustawa jednoznacznie uznaje zgodę (czy raczej udzielenie zgody) za oświadczenie woli. Po drugie, zastrzeżono, że zgoda nie może być domniemana lub dorozumiana z oświadczenia woli o innej treści. Tak więc zgoda jedynie domniemana lub dorozumiana jest prawnie nieskuteczna jako przesłanka legalizująca przetwarzanie danych (por. J. Barta, P. Fajgielski, R. Markiewicz "Ochrona (...)"). W niniejszej sprawie klauzula zgody zawarta w "kwestionariuszu Programu Edukacji Zdrowotnej" jest nieczytelna i może prowadzić do błędnego zrozumienia przez potencjalnego odbiorcę, ponieważ łączy w sobie różne oświadczenia i nie zapewnia osobie podpisującej swobody w podjęciu decyzji co do tego komu wyraża zgodę i na przetwarzanie jakich danych i w jakim celu. W tej sytuacji nie można mówić o wyrażeniu zgody na przetwarzanie danych osobowych, skoro respondent podpisujący klauzulę nie jest świadomy rzeczywistego celu przetwarzania danych.

Organ słusznie zauważył, że nie można wymagać, aby osoby, którym przedstawiono klauzulę odczytywały ją zgodnie z zamierzeniami Spółki, którymi kierowała się w trakcie opracowywania w/w klauzuli i dokonały interpretacji jej treści zgodnej z tymi zamierzeniami, ani domyślały się na który ze wskazanych w jej treści celów przetwarzania danych osobowych faktycznie wyrażają zgodę, a który jest jej jedynie komunikowany przez Spółkę w ramach realizacji obowiązku informacyjnego, o którym mowa w art. 24 ust. 1 u.o.d.o.

Wojewódzki Sąd Administracyjny w Warszawie odnosząc się do zarzutu błędnego rozstrzygnięcia co do niedopuszczalności przetwarzania przez Spółkę danych osobowych osób, które zgodę na przetwarzanie danych osobowych odwołały w tzw. "bazie danych wycofań" stwierdził, że także ten zarzut nie zasługuje na uwzględnienie. Za zgodną z ustawą o ochronie danych osobowych nie można uznać bowiem praktyki przetwarzania danych, pomimo cofnięcia zgody osoby i nie informowania jej o tym fakcie. Z akt administracyjnych wynika, że osoby, które odwoływały zgodę na przetwarzanie danych osobowych nie były informowane o kontynuacji przetwarzania ich danych w tzw. "bazie danych wycofań". Do takich osób Spółka wysyła tylko pismo, z którego wprost wynikało, że ich dane zostały usunięte i nie będą już przetwarzane oraz udostępniane innym firmom. Także w treści "kwestionariusza Programu Edukacji Zdrowotnej" Spółka nie informowała o tym, że po wycofaniu zgody na przetwarzanie danych osobowych dane respondentów w zakresie: imię i nazwisko, adres, numery telefonu, adres e-mail, data urodzenia, będą nadal przetwarzane w celu uniemożliwienia ich ponownego wykorzystania w kampaniach marketingowych podmiotów współpracujących ze Spółką.

Nieuzasadnione jest zatem przyjęcie, że w takim przypadku Spółka przetwarza dane osobowe respondentów w "bazie danych wycofań" na podstawie art. 23 ust. 1 pkt 2 w zw. z art. 1 ust. 2 u.o.d.o. Zgodnie z art. 23 ust. 1 pkt 2 u.o.d.o. przetwarzanie danych jest dopuszczalne tylko wtedy, gdy jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa. Przetwarzanie danych osobowych może mieć miejsce ze względu na dobro publiczne, dobro osoby, której dane dotyczą, lub dobro osób trzecich w zakresie i trybie określonym ustawą. Wymieniony powyżej art. 23 u.o.d.o. zawiera zamknięty katalog przesłanek legalizujących przetwarzanie danych osobowych, a powoływanie się na art. 1 ust. 2 u.o.d.o. doprowadziłoby do niedopuszczalnego poszerzenia tego katalogu.

Sąd pierwszej instancji za nietrafny uznał również zarzut naruszenia art. 23 ust.1 pkt 5 w zw. z art. 32 ust. 1 pkt 8 oraz art. 32 ust. 3 u.o.d.o. Z art. 32 ust. 1 pkt 8 u.o.d.o. wynika, że każdej osobie przysługuje prawo do kontroli przetwarzania danych, które jej dotyczą, zawartych w zbiorach danych, a zwłaszcza prawo do wniesienia sprzeciwu wobec przetwarzania jej danych w przypadkach wymienionych w art. 23 ust. 1 pkt 4 i 5 u.o.d.o., gdy administrator danych zamierza je przetwarzać w celach marketingowych lub wobec przekazywania jej danych osobowych innemu administratorowi danych. Stosownie do art. 32 ust. 3 u.o.d.o. w razie wniesienia sprzeciwu, o którym mowa ust. 1 pkt 8, dalsze przetwarzanie kwestionowanych danych jest niedopuszczalne. Administrator danych może jednak pozostawić w zbiorze imię lub imiona i nazwisko osoby oraz numer PESEL lub adres wyłącznie w celu uniknięcia ponownego wykorzystania danych tej osoby w celach objętych sprzeciwem.

W przedmiotowej sprawie cytowane przepisy art. 32 ust. 1 pkt 8 u.o.d.o. i art. 32 ust. 3 u.o.d.o. nie mają zastosowania, albowiem podstawę do udostępniania przez Spółkę danych osobowych respondentów innym podmiotom jak również do przetwarzania tych danych w celach marketingowych stanowi zgoda osoby, której dane dotyczą, tj. art. 23 ust. 1 pkt 1 u.o.d.o., a wskazany powyżej art. 32 ust. 1 pkt 8 u.o.d.o. i art. 32 ust. 3 u.o.d.o., dotyczą jedynie podstaw wymienionych w art. 23 ust. 1 pkt 4 i 5 u.o.d.o.

Ponadto Sąd pierwszej instancji stwierdził, że w sprawie nie dopatrzył się także naruszeń prawa procesowego. Organ prawidłowo zgromadził materiał dowodowy, na jego podstawie prawidłowo ustalił stan faktyczny i wydał rozstrzygnięcie odpowiadające prawu.

Mając powyższe na uwadze, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t.j.: Dz. U. z 2012 r., poz. 270 ze zm., dalej w skrócie p.p.s.a.), skargę oddalił.

Skargę kasacyjną od powyższego wyroku do Naczelnego Sądu Administracyjnego wniosła A. Sp. z o.o. z siedzibą w W., reprezentowana przez adwokata i zaskarżając wyrok w całości zarzuciła:

1. I. naruszenie prawa materialnego (art. 174 pkt 1 p.p.s.a.), tj.:
2. – art. 23 ust. 1 pkt 5 w zw. z art. 23 ust. 1 pkt 1 oraz art. 24 ust. 1 pkt 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t.j.: Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.), poprzez ich niewłaściwą wykładnię lub niewłaściwe zastosowanie, polegające na nieuzasadnionym przyjęciu, że fakt poinformowania, w wykonaniu ustawowego obowiązku wynikającego z przepisu art. 24 ust. 1 pkt 2 cyt. ustawy w treści klauzuli informacyjnej o przetwarzaniu danych osobowych dla celów "rozwoju produktów i usług, analizy i badaniu" oznacza jednocześnie, że oświadczenie o udzieleniu lub o odmowie udzielenia zgody na przetwarzanie danych osobowych obejmuje również wskazany w treści klauzuli informacyjnej cel przetwarzania danych osobowych dla "rozwoju produktów i usług, analizy i badania", co doprowadziło Sąd pierwszej instancji do oczywiście błędnego rozstrzygnięcia, że brak udzielenia zgody na przetwarzanie danych osobowych w zakresie objętym klauzulą zgody stanowi jednocześnie brak podstawy do przetwarzania danych osobowych dla celów określonych w klauzuli informacyjnej ("rozwój produktów i usług, analizy i badania"), podczas gdy w rzeczywistości wskazanie w treści klauzuli informacyjnej celów przetwarzania danych osobowych stanowiło jedynie wykonanie ustawowego obowiązku z art. 24 ust. 1 pkt 2 u.o.d.o., polegającego na poinformowaniu respondentów (podmioty danych) o celach przetwarzania danych osobowych, co w konsekwencji przy prawidłowej wykładni przepisów art. 23 ust. 1 pkt 5 u.o.d.o. oraz art. 23 ust. 1 pkt 1 u.o.d.o i art. 24 ust. 1 pkt 2 u.o.d.o. winno doprowadzić do przyjęcia, że skarżąca nie przetwarzała danych osobowych bezprawnie dla celów "rozwoju produktów i usług, analizy i badaniu", gdyż Spółka przetwarzała je w oparciu o ustawową przesłankę zawartą w art. 23 ust. 1 pkt 5 u.o.d.o., o czym informowała respondentów (podmioty danych) zgodnie z ustawowym obowiązkiem, przewidzianym w art. 24 ust. 1 pkt 2 u.o.d.o.;
3. – art. 23 ust. 1 pkt 1 w zw. z art. 32 ust. 1 pkt 8 oraz art. 23 ust. 1 pkt 5 u.o.d.o., poprzez ich błędną oraz sprzeczną z art. 7 oraz art. 14 Dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Dz. U. UE. L. 95.281.31) wykładnię, polegającą na przyjęciu, że brak udzielenia zgody na przetwarzanie danych osobowych stanowi jednocześnie sprzeciw podmiotu danych wobec przetwarzania danych osobowych w oparciu art. 23 ust. 1 pkt 5 u.o.d.o., podczas gdy w rzeczywistości prawo do wyrażenia sprzeciwu stanowi inne uprawnienie, niż odmowa udzielenia zgody na przetwarzanie danych osobowych, które przysługuje podmiotowi danych po rozpoczęciu przetwarzania danych na innej, niż zgoda, podstawie prawnej, tj. na podstawie art. 23 ust. 1 pkt 5 u.o.d.o., co w konsekwencji, przy prawidłowej wykładni przepisu art. 23 ust. 1 pkt 1 w zw. z art. 32 ust. 1 pkt 8 oraz art. 23 ust. 1 pkt 5 u.o.d.o., winno doprowadzić do przyjęcia, że brak udzielenia skarżącej zgody na przetwarzanie danych osobowych nie stanowiło sprzeciwu podmiotu danych, skutkującego niemożnością przetwarzania przez skarżącą jego danych osobowych dla celów "rozwoju produktów i usług, analizy i badaniu" w oparciu o przesłankę przetwarzania danych osobowych, o której mowa w art. 23 ust. 1 pkt 5 u.o.d.o.;
4. – art. 23 ust. 1 pkt 5 w zw. z art. 23 ust. 1 pkt 1, art. 24 ust. 1 pkt 2 oraz art. 32 ust. 1 pkt 8 u.o.d.o., poprzez ich błędną wykładnię, skutkującą niezastosowaniem art. 32 ust. 3 u.o.d.o., polegającą na nieuzasadnionym przyjęciu, że fakt poinformowania, w wykonaniu ustawowego obowiązku wynikającego z przepisu art. 24 ust. 1 pkt 2 u.o.d.o., w treści klauzuli informacyjnej o przetwarzaniu danych osobowych dla celów "rozwoju produktów i usług, analizy i badaniu" oznacza jednocześnie, że oświadczenie o udzieleniu lub o odmowie udzielenia zgody na przetwarzanie danych osobowych obejmuje również wskazany w treści klauzuli informacyjnej cel przetwarzania danych osobowych dla "rozwoju produktów i usług, analizy i badaniu", co doprowadziło Sąd pierwszej instancji do oczywiście błędnego rozstrzygnięcia, że przetwarzanie przez skarżącą danych osobowych respondentów dla "rozwoju produktów i usług, analizy i badaniu" opiera się na przesłance zgody (art. 23 ust. 1 pkt 1 u.o.d.o), w konsekwencji czego Sąd uznał, że Spółka nie mogła, po wniesieniu przez respondenta (podmiot danych) sprzeciwu, przetwarzać nadal dane osobowe w oparciu o przepis art. 32 ust. 3 u.o.d.o. w celu uniknięcia ponownego wykorzystania danych tej osoby w celach objętych sprzeciwem, podczas gdy w rzeczywistości wskazanie w treści klauzuli informacyjnej celów przetwarzania danych osobowych stanowiło jedynie wykonanie ustawowego obowiązku z art. 24 ust. 1 pkt 2 u.o.d.o., polegającego na poinformowaniu respondentów (podmioty danych) o celach przetwarzania danych osobowych, co w konsekwencji, przy prawidłowej wykładni przepisów art. 23 ust. 1 pkt 5, art. 23 ust. 1 pkt 1, art. 24 ust. 1 pkt 2 oraz art. 32 ust. 1 pkt 8 u.o.d.o., winno doprowadzić do przyjęcia, że skarżąca nie przetwarzała danych osobowych respondentów dla celów "rozwoju produktów i usług, analizy i badaniu" w oparciu o przesłankę zgody, gdyż Spółka przetwarzała je w oparciu o przesłankę zawartą w art. 23 ust. 1 pkt 5 u.o.d.o., o czym informowała respondentów (podmioty danych) zgodnie z ustawowym obowiązkiem, przewidzianym w art. 24 ust. 1 pkt 2 u.o.d.o. co oznacza, iż w przypadku wniesienia sprzeciwu przez podmiot danych skarżąca mogła skorzystać z przewidzianego w art. 32 ust.3 u.o.d.o. upoważnienia do dalszego przetwarzania danych respondentów, którzy taki sprzeciw wnieśli, w celu uniknięcia ponownego wykorzystania ich danych dla celów objętych sprzeciwem;
5. – art. 23 ust. 1 pkt 2 w zw. z art. 1 ust. 2 w zw. z art. 26 ust. 1 u.o.d.o., poprzez ich błędną wykładnię skutkującą niezastosowaniem, polegającym na nieuzasadnionym przyjęciu, że odwołanie zgody na przetwarzanie danych osobowych skutkuje każdorazowo brakiem dopuszczalności dalszego przetwarzania danych osobowych, w jakimkolwiek zakresie i celu, co doprowadziło do wydania przez Sąd pierwszej instancji oczywiście błędnego rozstrzygnięcia, że niedopuszczalnym było przetwarzanie przez skarżącą w tzw. "bazie danych wycofań" danych osobowych osób, które zgodę na przetwarzanie danych osobowych odwołały, podczas gdy w rzeczywistości przetwarzanie przez skarżącą danych osobowych zawartych w tzw. "bazie danych wycofań" jest niezbędne dla uniknięcia przez skarżącą ponownego wykorzystania tych danych osobowych, a zatem konieczne dla zrealizowania ustawowych obowiązków skarżącej, wynikających z art. 23 ust. 1 pkt 2 w zw. z art. 1 ust. 2 u.o.d.o, polegających na zaprzestaniu przetwarzania danych osobowych w zakresie oraz dla celów wskazanych w treści odwoływanego oświadczenia o udzieleniu zgody, a co przy prawidłowym zastosowaniu naruszonych przepisów winno doprowadzić do przyjęcia, iż skarżąca może przetwarzać w "bazie danych wycofań" dane osobowe w/w osób na podstawie art. 23 ust. 1 pkt 2 w zw. z art. 1 ust. 2 u.o.d.o., to jest celem zrealizowania ustawowego obowiązku zapobieżenia ponownego wykorzystania w przyszłości danych osób, które zgodę na przetwarzanie ich danych osobowych odwołały (tj. dla "ochrony dobra osoby, której dane dotyczą");
6. – art. 23 ust. 1 pkt 2 w zw. z art. 1 ust. 2 oraz art. 24 ust. 1w zw. z art. 32 ust. 3 u.o.d.o., poprzez ich błędną wykładnię, polegającą na przyjęciu, że w przypadku odwołania zgody na przetwarzanie danych osobowych warunkiem dalszego przetwarzania tych danych przez skarżącą w tzw. "bazie danych wycofań" w oparciu o odrębną przesłankę legalizującą przetwarzanie (tj. art. 23 ust. 1 pkt 2 u.o.d.o), jest poinformowanie podmiotu danych o takim dalszym przetwarzaniu, pomimo tego, że taki obowiązek (warunek) nie wynika z przepisów ustawy, a co przy prawidłowej wykładni naruszonych przepisów winno doprowadzić do przyjęcia, że skarżąca może przetwarzać w "bazie danych wycofań" dane osobowe w/w osób na podstawie art. 23 ust. 1 pkt 2 w zw. z art. 1 ust. 2 u.o.d.o., celem zrealizowania ustawowego obowiązku zapobieżenia ponownego wykorzystania w przyszłości danych osób, które zgodę na przetwarzanie ich danych osobowych odwołały, bez konieczności dodatkowego informowania podmiotów danych (respondentów) o dalszym przetwarzaniu ich danych na podstawie art. 23 ust. 1 pkt 2 w zw. z art. 32 ust. 3 u.o.d.o.
7. II. Naruszenie przepisów postępowania, które miały istotny wpływ na wynik sprawy (art. 174 pkt 2 p.p.s.a.), tj.:
8. – art. 134 i art. 3 § 1 i § 2 pkt 1 p.p.s.a. w zw. z art. 1 ustawy z dnia 25 lipca 2002 r. Prawo o ustroju sądów administracyjnych (Dz. U. Nr 153, poz. 1269, ze zm.), poprzez sprawowanie niewłaściwej kontroli nad postępowaniem administracyjnym i wydanie wyroku mimo braku dokonania wszechstronnej analizy całokształtu okoliczności faktycznych i uregulowań prawnych mających znaczenie dla rozstrzygnięcia sprawy, w tym z pominięciem przywoływanych przez skarżącą okoliczności faktycznych i prawnych oraz podnoszonych przez nią zarzutów, a także poprzez dokonanie wykładni mających zastosowanie w niniejszej sprawie przepisów prawa z pominięciem przepisów Dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych, wskutek czego Sąd pierwszej instancji wydał wyrok sprzeczny z art. 7 oraz 14 tej Dyrektywy;
9. – art. 141 § 4 p.p.s.a., poprzez sporządzenie uzasadnienia wyroku niezawierającego wskazania i wyjaśnienia podstawy prawnej rozstrzygnięcia, uniemożliwiające należyte wywiedzenie zarzutów skargi kasacyjnej w zakresie naruszenia przepisów prawa materialnego oraz kontrolę kasacyjną rozstrzygnięcia;
10. – art. 135 i art. 145 § 1 pkt 1 lit. a oraz c p.p.s.a. w zw. z art. 1 § 1 i 2 oraz art. 3 § 1 p.u.s.a., poprzez nieuchylenie zaskarżonych decyzji GIODO w sytuacji, gdy decyzje te wydane zostały z mającym istotny wpływ na wynik sprawy naruszeniem przepisów prawa materialnego, tj. art. 23 ust. 1 pkt 5 w zw. z art. 24, art. 23 ust. 1 pkt 2 w zw. z art. 1 ust. 2 oraz art. 23 ust. 1 pkt 5 w zw. z art. 32 ust. 1 pkt 8 oraz w zw. z art. 32 ust. 3 u.o.d.o., a także przepisów postępowania, tj. z naruszeniem art. 7 i art. 77 w zw. z art. 80 oraz art. 107 § 1 i 3 w zw. z art. 11 K.p.a. w zw. z art. 18 ust. 1 u.o.d.o.

Wskazując na powyższe podstawy skargi kasacyjnej Spółka wniosła o uchylenie zaskarżonego wyroku w całości i przekazanie sprawy Wojewódzkiemu Sądowi Administracyjnemu w Warszawie do ponownego rozpoznania oraz o zasądzenie zwrotu kosztów postępowania, w tym kosztów zastępstwa prawnego, na podstawie art. 203 pkt 1 p.p.s.a. Ponadto, na podstawie art. 61 § 3 p.p.s.a. w zw. z art. 193 p.p.s.a., wniosła o wstrzymanie wykonania wydanych w sprawie decyzji Generalnego Inspektora Ochrony Danych Osobowych.

Autor skargi kasacyjnej w obszernym uzasadnieniu przedstawił argumentację dotyczącą poszczególnych zarzutów.

Generalny Inspektor Ochrony Danych Osobowych w odpowiedzi na skargę kasacyjną wniósł o jej oddalenie, wskazując, iż zaskarżony wyrok odpowiada prawu.

Naczelny Sąd Administracyjny postanowieniem z dnia 21 sierpnia 2013 r. sygn. akt I OSK 1760/13 odmówił wstrzymania wykonania decyzji Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] września 2012 r. nr [...] w przedmiocie przetwarzania danych osobowych.

Naczelny Sąd Administracyjny zważył, co następuje

Zgodnie z art. 183 § 1 p.p.s.a. Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, bierze jednak z urzędu pod rozwagę nieważność postępowania, której przesłanki enumeratywnie wymienione w art. 183 § 2 p.p.s.a. w rozpoznawanej sprawie nie występują. Oznacza to, że przytoczone w skardze kasacyjnej przyczyny wadliwości prawnej zaskarżonego wyroku determinują zakres kontroli dokonywanej przez Naczelny Sąd Administracyjny. Sąd ten w odróżnieniu do wojewódzkiego sądu administracyjnego nie bada całokształtu sprawy, lecz tylko weryfikuje zasadność zarzutów podniesionych w skardze kasacyjnej.

W niniejszej sprawie skarga kasacyjna została oparta na obu podstawach kasacyjnych określonych w art. 174 pkt 1 i pkt 2 p.p.s.a. W pierwszej kolejności rozpoznaniu podlegały zarzuty naruszenia powołanych w skardze kasacyjnej przepisów prawa materialnego. Podniesione zarzuty naruszenia przepisów postępowania są bowiem procesową konsekwencją, dokonanej przez Wojewódzki Sąd Administracyjny w Warszawie, zakwestionowanej przez autora skargi kasacyjnej wykładni i zastosowania określonych przepisów prawa materialnego.

Ocenę zasadności zarzutów naruszenia prawa materialnego poprzedzić należy kilkoma uwagami natury ogólnej. W systemie prawa polskiego uprawnienie jednostki do ochrony danych osobowych znajduje potwierdzenie w zasadach konstytucyjnych – art. 47 i art. 51 Konstytucji RP. Natomiast szczegółowo, kwestia ochrony danych osobowych została uregulowana w ustawie o ochronie danych osobowych. Przy czym jako zasady przyjmuje się prawo każdej osoby do samodzielnego decydowania o ujawnieniu dotyczącej jej informacji oraz dopuszczalność przetwarzania danych osobowych tylko w przypadkach i na warunkach wskazanych przez ustawę.

Jednocześnie zauważyć należy, iż przepisy powołanej wyżej ustawy w przeważającej mierze stanowią implementację dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych.

Przechodząc od rozważań ogólnych na grunt rozpoznawanej sprawy odnosząc się do zarzutu naruszenia art. 23 ust. 1 pkt 5 u.o.d.o. w zw. z art. 23 ust. 1 pkt 1 u.o.d.o. oraz art. 24 ust. 1 pkt 2 u.o.d.o. uznać należy, iż jest on niezasadny. Istota tego zarzutu sprowadza się do zakwestionowania stanowiska Sądu pierwszej instancji, który zaaprobował stwierdzenie organu, że brak udzielenia przez respondenta na "kwestionariuszu Programu Edukacji Zdrowotnej" zgody na przetwarzanie danych osobowych we wskazanych przez Spółkę celach "rozwoju produktów i usług, analizy i badania" oznacza, że przetwarzanie przez Spółkę danych osobowych tej osoby narusza art. 23 ust. 1 pkt 1 w zw. z art. 7 pkt 5 u.o.d.o. Przyjął również, iż w takim przypadku powoływanie się przez Spółkę na art. 23 ust. 1 pkt 5 u.o.d.o. jako przesłankę legalizującą przetwarzanie danych osobowych respondentów dla realizacji wyżej wymienionych celów jest niedopuszczalne, gdyż narusza prawo osoby, której dane dotyczą do odmowy udzielenia zgody na przetwarzanie danych.

Wskazał, że skoro Spółka zwraca się do respondentów o udzielenie zgody na przetwarzanie danych osobowych w celach wskazanych w treści klauzuli zgody, to mają oni uzasadnione prawo aby sądzić, że w przypadku, gdy takiej zgody nie wyrazili, ich dane w tych celach nie będą przetwarzane.

W ocenie autora skargi kasacyjnej analiza treści klauzuli zgody prowadzi do wniosku, że Spółka za pomocą w/w kwestionariusza pozyskiwała zgody na przetwarzanie danych osobowych dla celów związanych z przekazywaniem danych osobowych podmiotom trzecim. Nie pozyskiwała – gdyż nie miała takiego ustawowego obowiązku oraz zamiaru – zgód na przetwarzanie danych osobowych w związku z "rozwojem produktów i usług, analizy i badania", a jedynie za pomocą tego kwestionariusza i zawartej w nim klauzuli informacyjnej, informowała – zgodnie z ustawowym obowiązkiem wynikającym z art. 24 ust. 1 pkt 2 u.o.d.o.- o celach przetwarzania przez nią danych.

Zdaniem Naczelnego Sądu Administracyjnego, wbrew stanowisku skarżącej, z klauzuli zgody nie wynika, że przedmiotowa zgoda na przetwarzanie danych osobowych respondentów dotyczy wyłącznie udostępniania przez Spółkę danych osobowych innym podmiotom. Pierwsze zdanie tej zgody wskazuje, że ma ona na celu pozyskanie od respondentów zgody na " przetwarzanie (...) danych osobowych zawartych w części A i B niniejszego kwestionariusza przez A. Sp. z o.o. z siedzibą w W. przy ul. [...], jako administratora danych (...)". Następnie po użytym w tym zdaniu spójniku " oraz" następuje zgoda na udostępnienie danych osobowych innym podmiotom. Sposób sformułowania w/w klauzuli upoważnia do stwierdzenia, że Spółka pozyskuje od respondentów zarówno zgodę na przetwarzanie danych osobowych, jak i zgodę na ich udostępnienie innym podmiotom. Przy czym zauważyć należy, iż w zdaniu pierwszym tej zgody podano zakres danych osobowych, których zgoda na przetwarzanie danych osobowych dotyczy, nie określając o jakie cele przetwarzania chodzi.

W kolejnym zdaniu zawarto informację, że "dane osobowe będą przetwarzane zgodnie z zasadami wynikającymi z przepisów o ochronie danych osobowych w następujących celach: rozwój produktów i usług, analiza i badanie, marketing, integracja danych oraz aktualizacja i weryfikacja ich poprawności". Niewątpliwie integracja danych oraz aktualizacja i weryfikacja ich poprawności dotyczą czynności technicznych i nie stanowią odrębnych celów przetwarzania danych osobowych. Natomiast są nimi przetwarzanie danych osobowych w celach marketingowych oraz przetwarzanie danych osobowych w celu ich badania, analizy i rozwoju produktów i usług.

W ocenie Naczelnego Sądu Administracyjnego treść klauzuli zgody wskazuje, że pozyskane za pomocą "kwestionariusza Programu Edukacji Zdrowotnej" dane osobowe będą przetwarzane w celach "rozwój produktów i usług, analiza i badanie, marketing" na podstawie zgody udzielonej przez respondentów, a więc przesłanki legalizacyjnej określonej w art. 23 ust. 1 pkt 1 u.o.d.o. Trafność tego stwierdzenia potwierdza także przekazywana przez Spółkę do respondentów, na ich wniosek, pisemna informacja "Informacja o przetwarzaniu danych osobowych", w której jako podstawa prawna przetwarzania danych podana jest wprost zgoda na przetwarzanie danych osobowych. Sposób sformułowania klauzuli zgody, w tym określenie w niej celów przetwarzania danych osobowych, nie stanowił zatem jedynie wypełnienia przez Spółkę ustawowego obowiązku, o którym mowa w art. 24 ust. 1 pkt 2 u.o.d.o.

Podkreślić należy, iż zgoda na przetwarzanie danych osobowych powinna jasno i jednoznacznie prezentować wolę zainteresowanego i jej zakres. Udzielający zgody musi być zorientowany o jakie dane chodzi i o jakie ich przetwarzanie, w tym zwłaszcza do jakich celów. Sposób poinformowania zainteresowanego musi być zrozumiały, zaś przetwarzanie i wykorzystanie danych osobowych powinno następować tylko w tym celu, dla którego zostały one pozyskane i cel ten powinien być znany osobie, której dane dotyczą.

Wojewódzki Sąd Administracyjny w Warszawie prawidłowo podzielił stanowisko organu, że Spółka nie mogła przetwarzać danych osobowych respondentów na podstawie przesłanki legalizacyjnej zawartej w art. 23 ust. 1 pkt 5 u.o.d.o., który ustanawia tzw. klauzulę usprawiedliwionego celu. Przepis ten stanowi, że przetwarzanie danych jest dopuszczalne, tylko wtedy, gdy jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Autor skargi kasacyjnej w jej uzasadnieniu (str.

11) przyznał, że "zbieranie zgód przez administratora danych, w sytuacji istnienia ustawowej podstawy przetwarzania danych osobowych nie jest w pełni prawidłową praktyką". Jak wyżej wskazano, w niniejszej sprawie Spółka przetwarzała dane osobowe respondentów poprzez pozyskanie zgody na ich przetwarzanie w określonych celach w oparciu o art. 23 ust. 1 pkt 1 u.o.d.o. Osoby które nie udzieliły zgody na przetwarzanie danych osobowych w celach określonych w klauzuli zgody miały prawo uważać, że ich dane nie będą w tych celach przetwarzane oraz że pozyskane przez Spółkę ich dane osobowe nie będą już przetwarzane na innej podstawie prawnej. Zauważyć bowiem należy, iż w sytuacji, gdyby faktycznie przetwarzanie danych osobowych miało odbywać się na podstawie innej, niż zgoda, oznaczałoby to, że w istocie Spółka wprowadza w błąd osoby, których dane dotyczą. Powyższe rozważania upoważniają do stwierdzenia, że w przypadku odmowy udzielenia przez respondenta w/w zgody, powoływanie się przez Spółkę na art. 23 ust. 1 pkt 5 u.o.d.o. jako przesłankę legalizującą przetwarzanie jego danych dla tych samych celów, narusza prawo osoby, której dane dotyczą, do odmowy udzielenia zgody na przetwarzanie danych i jest niedopuszczalne.

Za chybiony należy również uznać zarzut naruszenia art. 23 ust. 1 pkt 1 u.o.d.o. w zw. z art. 32 ust. 1 pkt 8 u.o.d.o. oraz art. 23 ust. 1 pkt 5 u.o.d.o., poprzez ich błędną oraz sprzeczną z art. 7 oraz art. 14 Dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych, wykładnię. Istota tego zarzutu sprowadza się do zakwestionowania stanowiska Sądu pierwszej instancji, który stwierdził, że odmowa (brak) udzielenia przez podmiot danych zgody na przetwarzanie danych osobowych powinna zostać potraktowana jako sprzeciw wobec dalszego przetwarzania przez skarżącą danych osobowych respondentów, skutkujący niedopuszczalnością przetwarzania przez Spółkę danych na podstawie przepisu art. 23 ust. 1 pkt 5 u.o.d.o.

W ocenie autora skargi kasacyjnej udzielenie/odmowa udzielenia zgody na przetwarzanie danych osobowych oraz wniesienie sprzeciwu podmiotu danych wobec dalszego przetwarzania danych osobowych stanowią zupełnie inne uprawnienia podmiotu danych. Podczas gdy zgoda (odmowa zgody) podmiotu danych może zostać wyrażona przed rozpoczęciem przetwarzania danych osobowych w oparciu o przesłankę zgody, tak sprzeciw podmiotu danych stanowi instrument, który może być wykorzystany na innym etapie przetwarzania, tj. po rozpoczęciu przetwarzania danych na innej podstawie prawnej (tj. na podstawie art. 23 ust. 1 pkt 4 lub 5 u.o.d.o. oraz analogicznego art. 7 pkt 7 dyrektywy 95/46/WE). Na konieczność rozróżnienia instytucji zgody od instytucji sprzeciwu wskazywała w szczególności Grupa Robocza art. 29 ds. ochrony danych osobowych w opinii 15/2011 w sprawie definicji zgody z dnia 13 lipca 2011 r. Z uwagi na powyższe różnice, odmowa udzielenia zgody na przetwarzanie danych osobowych – wyrażona przed rozpoczęciem przetwarzania danych osobowych, w zakresie oraz dla celów wskazanych w treści klauzuli zgody – nie może "wybiegać" na przyszłość i obejmować stanu, który dopiero powstanie, tj. dalsze przetwarzanie danych osobowych, w innych celach i zakresie, niż objętych klauzulą zgody.

Zatem odmowa udzielenia zgody nie może być każdorazowo traktowana, jako sprzeciw, chyba że będzie to wynikało wprost (explicite) z oświadczenia podmiotu danych. Nie istnieje natomiast żaden powód, aby z samej odmowy udzielenia zgody na przetwarzanie danych osobowych, wyrażającej się w braku podpisania przez podmiot danych oświadczenia o udzieleniu zgody, wywodzić dalej idący, negatywny wobec administratora danych skutek, obejmujący zakaz przetwarzania w przyszłości danych osobowych na innej niż zgoda podstawie prawnej (w tym przypadku art. 23 ust. 1 pkt 5 u.o.d.o.).

Odnosząc się do powyższego zarzutu wskazać należy, iż autor skargi kasacyjnej trafnie zauważył, że odmowa udzielenia zgody na przetwarzanie danych osobowych nie jest tożsama z instytucją wniesienia sprzeciwu. Zgodnie z art. 7 pkt 5 u. o. d. o. zgoda osoby, której dane dotyczą, jako przesłanka przetwarzania danych osobowych może być jednak w każdym czasie odwołana. Stosownie do art. 32 ust. 1 pkt 8 u.o.d.o., każdej osobie przysługuje prawo do kontroli przetwarzania danych, które jej dotyczą, zawartych w zbiorach danych, a zwłaszcza prawo do wniesienia sprzeciwu wobec przetwarzania jej danych w przypadkach wymienionych w art. 23 ust. 1 pkt 4 i 5, gdy administrator danych zamierza je przetwarzać w celach marketingowych lub wobec przekazywania jej danych osobowych innemu administratorowi danych. Zdaniem Naczelnego Sądu Administracyjnego wprawdzie fakt posłużenia się przez Sąd pierwszej instancji tymi pojęciami zamiennie stanowił uchybienie, to jednak nie miało ono wpływu na wynik sprawy.

W niniejszej sprawie art. 32 ust. 1 pkt 8 u.o.d.o. nie miał zastosowania, albowiem, przetwarzanie danych osobowych respondentów nie odbywało się na podstawie art. 23 ust. 1 pkt 5 u.o.d.o. Z tego względu zarzut naruszenia art. 23 ust. 1 pkt 1 u.o.d.o. w zw. z art. 32 ust. 1 pkt 8 u.o.d.o. oraz art. 23 ust. 1 pkt 5 u.o.d.o. okazał się nieskuteczny.

Niezasadny jest także zarzut naruszenia art. 23 ust. 1 pkt 5 u.o.d.o. w zw. z art. 23 ust. 1 pkt 1 u.o.d.o., art. 24 ust. 1 pkt 2 u.o.d.o. oraz art. 32 ust. 1 pkt 8 u.o.d.o., poprzez ich błędną wykładnię, skutkującą niezastosowaniem art. 32 ust. 3 u.o.d.o. Istota tego zarzutu sprowadza się do zakwestionowania stanowiska Sądu pierwszej instancji, który dokonał interpretacji klauzuli w stosowanym przez Spółkę "kwestionariuszu Programu Edukacji Zdrowotnej" i przyjął, że skarżąca pozyskiwała zgody respondentów na przetwarzanie danych osobowych dla celów "rozwoju produktów i usług, analizy i badania". W związku z tym uznał, że Spółka po wniesieniu przez respondenta sprzeciwu nie mogła przetwarzać nadal danych osobowych w tzw. "bazie danych wycofań" w oparciu o art. 32 ust. 3 u.o.d.o., w celu uniknięcia ponownego wykorzystania danych tej osoby w celach objętych sprzeciwem.

W ocenie autora skargi kasacyjnej, Spółka przetwarzała dane osobowe respondentów, którzy nie wyrazili zgody, na podstawie przesłanki wynikającej z art. 23 ust. 1 pkt 5 u.o.d.o. Uchybienia w treści klauzuli zgody, których dopatrzył się Sąd pierwszej instancji nie spowodowały, że respondenci posiadali mylny obraz, co do podstawy przetwarzania ich danych osobowych, gdyż skarżąca otrzymywała od nich sprzeciwy wobec dalszego przetwarzania danych osobowych. Trudno zatem dostrzec powody, dla których Sąd pierwszej instancji uznał, że sprzeciw takich respondentów nie może być kwalifikowany jako sprzeciw wobec przetwarzania danych osobowych, o którym mowa w art. 32 ust. 1 pkt 8 u.o.d.o.

Zdaniem Naczelnego Sądu Administracyjnego, powyżej wykazano, że przetwarzanie przez Spółkę danych osobowych respondentów nie odbywało się na podstawie art. 23 ust. 1 pkt 5 u.o.d.o., brak było zatem prawnej (art. 32 ust. 1 pkt 8 u.o.d.o.) możliwości wniesienia przez nich sprzeciwu wobec przetwarzania ich danych. Oznacza to, że w niniejszej sprawie art. 32 ust. 3 u.o.d.o. nie miał zastosowania. Spółka nie była zatem uprawniona do przetwarzania danych osobowych respondentów w tzw. "bazie danych wycofań" w oparciu o powołany wyżej przepis.

Na uwzględnienie nie zasługuje również zarzut naruszenia art. 23 ust. 1 pkt 2 u.o.d.o. w zw. z art. 1 ust. 2 u.o.d.o. w zw. z art. 26 ust. 1 u.o.d.o., poprzez błędną wykładnię skutkującą ich niezastosowaniem. Istota tego zarzutu sprowadza się do zakwestionowania stanowiska Sądu pierwszej instancji, który przyjął, że przetwarzanie przez Spółkę w tzw. " bazie danych wycofań" danych osobowych osób, które zgodę na przetwarzanie danych osobowych odwołały – jako sprzeczne z zasadą autonomii woli tych osób – jest niedopuszczalne. Przedstawione przez autora skargi kasacyjnej uzasadnienie tego zarzutu zmierza do wykazania, że w stanie faktycznym niniejszej sprawy zarówno organ, jak i Sąd pierwszej instancji, nie dostrzegły, iż istniała jeszcze inna przesłanka legalizująca przetwarzanie przez Spółkę danych osobowych respondentów jaką była konieczność "spełnienia obowiązku wynikającego z przepisu prawa" (art. 23 ust. 1 pkt 2 u.o.d.o.).

Podał, że Spółka wielokrotnie i konsekwentnie podkreślała, iż celem utworzenia "bazy danych wycofań" oraz przetwarzania w tej bazie danych osobowych respondentów, którzy odwołali zgodę na przetwarzanie danych osobowych jest zapobieżenie ponownemu przetwarzaniu (wykorzystaniu) danych osobowych osób, które zgodę na to przetwarzanie odwołały. "Baza danych wycofań" ma doprowadzić do pełniejszej realizacji celów ustawy (art. 1 ust. 2 u.o.d.o.) oraz zmierza do zapobieżenia ponownemu przetwarzaniu danych osobowych osób, które zgodę na przetwarzanie odwołały, co zarazem stanowi obowiązek każdego administratora danych, który można wywieść wprost z art. 23 ust. 1 pkt 2 u.o.d.o. oraz z art. 1 ust. 2 u.o.d.o. w zw. z art. 26 ust. 1 u.o.d.o.

Zdaniem Naczelnego Sądu Administracyjnego zarzut naruszenia w/w przepisów uznać należy za chybiony. Skoro, jak wyżej wykazano, w sprawie nie miał zastosowania art. 32 ust. 3 u.o.d.o., to powoływanie się na istnienie przesłanki legalizacyjnej z art. 23 ust. 1 pkt 2 u.o.d.o. było nieskuteczne.

Za nietrafny uznać należy także zarzut naruszenia art. 23 ust. 1 pkt 2 u.o.d.o. w zw. z art. 1 ust. 2 u.o.d.o. oraz art. 24 ust. 1 u.o.d.o. w zw. z art. 32 ust. 3 u.o.d.o., poprzez ich błędną wykładnię. Istota tego zarzutu sprowadza się do zakwestionowania stanowiska Sądu pierwszej instancji, który uznał, że warunkiem dalszego przetwarzania przez Spółkę w tzw. "bazie danych wycofań" danych respondentów, którzy odwołali zgodę na przetwarzanie ich danych osobowych w oparciu o przepis art. 23 ust. 1 pkt 2 u.o.d.o., jest poinformowanie podmiotu danych o dalszym przetwarzaniu, mimo, że taki warunek nie wynika z przepisów ustawy.

W ocenie autora skargi kasacyjnej, skoro Spółka informowała respondentów o tym, że będzie przetwarzała ich dane osobowe m.in. dla "analizy" oraz "badania", to zrealizowała ciążący na niej obowiązek informacyjny z art. 24 ust. 1 pkt 2 u.o.d.o. także w odniesieniu do przetwarzania w "bazie danych wycofań" danych osobowych respondentów po odwołaniu przez nich zgody na przetwarzanie danych osobowych. Natomiast z żadnego przepisu u.o.d.o., a przede wszystkim z art. 24 u.o.d.o. nie wynika konieczność informowania podmiotów danych o zmianie podstawy prawnej przetwarzania danych osobowych dla celów wskazanych w treści klauzuli.

Zdaniem Naczelnego Sądu Administracyjnego, skoro w niniejszej sprawie wykazano, że Spółka nie miała podstawy prawnej do dalszego przetwarzania danych osobowych respondentów, którzy odwołali zgodę na przetwarzanie ich danych w tzw. "bazie danych wycofań", odnoszenie się do kwestii dotyczących realizacji przez nią obowiązku informacyjnego, o którym mowa w art. 24 ust. 1 u.o.d.o., nie jest zasadne.

Naczelny Sąd Administracyjny stwierdził, że zamierzonego skutku nie mogły odnieść również zarzuty naruszenia powołanych w skardze kasacyjnej przepisów postępowania. W istocie stanowią one odzwierciedlenie procesowe koncepcji materialnej, przedstawionej przez skarżącą.

Jako nietrafny uznać należy zarzut naruszenia art. 3 § 1 i § 2 pkt 1 p.p.s.a. w zw. z art. 1 p.u.s.a. Powołane przepisy p.p.s.a. określają cele działania sądów administracyjnych oraz zakres ich kognicji, stwierdzając, że sprawują one kontrolę działalności administracji publicznej i stosują środki określone w ustawie. Z kolei przepis art. 1 p.u.s.a. zawiera normy o charakterze ustrojowym, a nie procesowym. Zdaniem Naczelnego Sądu Administracyjnego ukształtowany w ten sposób zakres właściwości sądów administracyjnych zaskarżonym wyrokiem nie został naruszony.

Sąd pierwszej instancji skontrolował działalność organu administracji publicznej, tj. Generalnego Inspektora Ochrony Danych Osobowych pod względem zgodności z prawem, bowiem rozstrzygnął skargę na decyzję tego organu i tym samym wywiązał się z obowiązku sprawowania kontroli działalności administracji publicznej. Sąd pierwszej instancji dokonał kontroli legalności zaskarżonej decyzji i zastosował środek określony w art. 151 p.p.s.a., czym nie naruszył art. 135 i art. 145 § 1 pkt 1 lit. a i c p.p.s.a. Wydanie wyroku niezgodnie z oczekiwaniem skarżącej nie może być natomiast utożsamiane z naruszeniem powołanych przepisów.

Niezasadny jest również zarzut naruszenia art. 134 p.p.s.a. Powołany przepis składa się z dwóch paragrafów, jednakże z uzasadnienia skargi kasacyjnej wynika, że jej autor zarzuca naruszenie pierwszego z nich, bowiem wskazuje na brak dokonania przez Sąd pierwszej instancji wszechstronnej i wnikliwej analizy niniejszej sprawy, z pominięciem podnoszonych przez stronę zarzutów wobec zaskarżonych decyzji. Przepis art. 134 § 1 p.p.s.a. stanowi, że sąd rozstrzyga w granicach danej sprawy nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną. Granice rozpoznania sprawy przez sąd administracyjny są wyznaczone przez granice sprawy administracyjnej. Rozstrzyganie "w granicach danej sprawy" oznacza, że sąd nie może uczynić przedmiotem kontroli innej sprawy administracyjnej niż ta, w której wniesiono skargę.

Natomiast niezwiązanie sądu administracyjnego granicami skargi oznacza m.in. dokonanie oceny zaskarżonego aktu z punktu widzenia jego zgodności z prawem, niezależnie od sformułowanych w skardze zarzutów i wniosków. Zakres sądowej kontroli wyznacza zatem przedmiot danej sprawy administracyjnej zdeterminowany prawnymi podstawami wydanego w niej rozstrzygnięcia. Granice orzekania Sądu pierwszej instancji określa sprawa administracyjna w znaczeniu materialnym. Tak określony w skardze przedmiot zaskarżenia wyznacza jednocześnie wiążące granice sprawy rozpoznawanej przez sąd. Oznacza to, że granice rozpoznania wojewódzkiego sądu administracyjnego określa sprawa administracyjna będąca przedmiotem zaskarżenia. Przepis art. 134 § 1 p.p.s.a. nie stanowi jednak podstawy do zwalczania zarówno ustaleń faktycznych, jak i dokonanej przez Sąd pierwszej instancji oceny działań organu pod kątem przestrzegania obowiązujących przepisów postępowania.

W niniejszej sprawie Sąd pierwszej instancji nie naruszył art. 134 § 1 p.p.s.a., nie rozpoznał bowiem innej sprawy administracyjnej niż ta, w której wniesiono skargę oraz dokonał oceny zaskarżonej decyzji niezależnie od sformułowanych w skardze zarzutów i wniosków. Stan faktyczny został ustalony i oceniony w sposób prawidłowy, przy uwzględnieniu wymienionych wyżej przepisów prawa materialnego, zaś jego kwestionowanie, poprzez zarzut naruszenia art. 134 § 1 p.p.s.a., jest nietrafne.

Ponadto jako chybiony ocenić należy zarzut naruszenia art. 141 § 4 p.p.s.a., przede wszystkim z powodu nieodniesienia się przez Sąd pierwszej instancji do wszystkich stawianych w skardze zarzutów. Podkreślić należy, iż przepis ten może stanowić usprawiedliwioną podstawę kasacyjną wówczas, gdy uzasadnienie zaskarżonego wyroku nie zawiera wszystkich określonych w nim elementów lub nie pozwala jednoznacznie ustalić przesłanek, jakimi kierował się wojewódzki sąd administracyjny, a wada ta uniemożliwia dokonanie przez Sąd drugiej instancji kontroli instancyjnej zaskarżonego wyroku. W niniejszej sprawie sytuacja taka nie wystąpiła. Zdaniem Naczelnego Sądu Administracyjnego uzasadnienie zaskarżonego wyroku spełnia wymogi, o których mowa w powołanym przepisie. Przedstawiono w nim stan faktyczny sprawy, zarzuty podniesione w skardze oraz wskazano i w dostateczny sposób wyjaśniono podstawę prawną rozstrzygnięcia.

Wyjaśnienie w uzasadnieniu wyroku podstawy prawnej rozstrzygnięcia nie musi odnosić się szczegółowo do wszystkich argumentów powołanych w skardze, jeżeli argumentacja sądu łącznie przesądza o ich bezzasadności (vide: wyroki Naczelnego Sądu Administracyjnego z dnia 8 kwietnia 2008 r., sygn. akt II FSK 1696/06). Jest bowiem wymagane, aby uzasadnienie wyroku stanowiło logiczną, zwartą całość, a jednocześnie było jedynie syntezą stanowiska sądu. Okoliczność, że stanowisko zajęte przez Wojewódzki Sąd Administracyjny w Warszawie jest odmienne od prezentowanego przez wnoszącego skargę kasacyjną, nie oznacza, że uzasadnienie zaskarżonego wyroku zawiera wady konstrukcyjne oraz nie poddaje się kontroli kasacyjnej. Polemika ze stanowiskiem Sądu pierwszej instancji nie może sprowadzać się do zarzutu naruszenia powołanego przepisu.

Sąd pierwszej instancji prawidłowo ocenił także, że w postępowaniu administracyjnym wyczerpująco ustalono okoliczności istotne z punktu widzenia przepisów prawa materialnego i prawidłowo je oceniono, a więc bez naruszenia art. 7, art. 11, art. 77, art. 80 i art. 107 § 1 i 3 K.p.a.

Mając powyższe na uwadze, Naczelny Sąd Administracyjny uznał, że skarga kasacyjna nie zawiera usprawiedliwionych podstaw i w oparciu o art. 184 p.p.s.a. podlega oddaleniu.

O kosztach postępowania kasacyjnego orzeczono na podstawie art. 204 pkt 1 i art. 209 p.p.s.a. oraz art. 205 § 2 p.p.s.a. w związku z § 14 ust. 2 pkt 2 lit. c rozporządzenia Ministra Sprawiedliwości z 28 września 2002 r. w sprawie opłat za czynności radców prawnych oraz ponoszenia przez Skarb Państwa kosztów pomocy prawnej udzielonej przez radcę prawnego ustanowionego z urzędu (t.j.: Dz. U. z 2013 r., poz. 490).