Wyrok Naczelnego Sądu Administracyjnegoz 20 kwietnia 2022 r., sygn. akt III OSK 518/21

Uzasadnienie

Wyrokiem z 27 kwietnia 2018 r. Wojewódzki Sąd Administracyjny w Warszawie (sygn. akt II SA/Wa 1254/17) po rozpoznaniu sprawy ze skargi [...] sp. z o. o. z siedzibą w W. uchylił decyzję Generalnego Inspektora Ochrony Danych Osobowych z [...] czerwca 2017 r. i utrzymaną nią w mocy decyzję tego organu z [...] kwietnia 2016 r. w przedmiocie przetwarzania danych osobowych (pkt 1) oraz zasądził od organu na rzecz skarżącego zwrot kosztów postępowania (pkt 2).

W uzasadnieniu powyższego wyroku Sąd pierwszej instancji wskazał, że na skutek skargi M. R. (zwanego dalej również wnioskodawcą lub abonentem) na przetwarzanie jego danych osobowych przez [...] sp. z o. o. z siedzibą w W. oraz [...] sp. z o. o. z siedzibą w W. Generalny Inspektor Ochrony Danych Osobowych przeprowadził postępowanie wyjaśniające, w toku którego ustalił, że operator pozyskał dane osobowe wnioskodawcy w związku z przeniesieniem numeru telefonu do sieci [...]. M. R., wypełniając kartę udostępnienia danych 13 października 2012 r., nie wyraził zgody na otrzymywanie informacji marketingowych, w tym w szczególności o nowych ofertach promocyjnych, usługach, konkursach oraz innych informacji handlowych za pomocą środków komunikacji elektronicznej, w szczególności przy użyciu automatycznych systemów wywołujących oraz na przetwarzanie danych transmisyjnych dla celów marketingu usług telekomunikacyjnych (klauzule zgody zawarte w pkt 3 Karty udostępnienia danych). [...] sp. z o. o. przetwarza dane wnioskodawcy w celach: świadczenia usług telekomunikacyjnych w systemie prepaid, sprzedaży własnych produktów i usług, prowadzenia działań marketingowych samodzielnie lub we współpracy z innymi podmiotami, archiwizacji danych i prowadzenia analiz gospodarczych.

M. R. nie zwracał się do [...] sp. z o. o. z wnioskiem, o którym mowa w art. 33 ustawy o ochronie danych osobowych, jak również nie składał sprzeciwu wobec przetwarzania jego danych osobowych w celach marketingowych, o którym mowa w art. 32 ust. 1 pkt 8 ustawy o ochronie danych osobowych. Spółki [...] łączy umowa ramowa na przeprowadzenie badań marketingowych, której przedmiot obejmował m. in. przeprowadzenie badań rynkowych przez [...] sp. z o. o. na temat, jakości usług świadczonych przez [...] sp. z o. o. W tym celu Spółka [...] przekazała Spółce [...] wybrane losowo numery telefonów abonentów, w tym numer wnioskodawcy, którzy nie wnieśli sprzeciwu wobec przetwarzania ich danych osobowych (art. 32 ust. 1 pkt 8 ustawy o ochronie danych osobowych). Do M. R. zostały wykonane połączenia telefoniczne: 9 czerwca 2014 r. w ramach kampanii prowadzonej przez [...] sp. z o. o. dotyczące migracji z systemu prepaid do usługi typu postpaid i 15 stycznia 2014 r. w ramach badania poziomu satysfakcji z obsługi klienta za IV kwartał 2013 r. W trakcie badania operatorzy studia telefonicznego w sposób zautomatyzowany łączeni byli z losowo z wybranym numerem i podczas rozmowy telefonicznej przeprowadzali wywiad/ankietę z abonentem numeru.

Jednym z takich abonentów był M. R. Próba kontaktu z wnioskodawcą została podjęta jednorazowo. Po tym jednak jak wyraził on niechęć do wzięcia udziału w badaniu, Spółka zaprzestała jakiegokolwiek dalszego kontaktu z nim i wpisała numer telefonu na tzw. Listę Robinsona, prowadzoną przez [...], która zawiera zbiór numerów telefonów osób, które nie zgadzają się być respondentami w badaniach realizowanych telefonicznie. Aktualnie [...] sp. z o. o. nie przetwarza numeru telefonu M. R. Decyzją z [...] kwietnia 2016 r. Generalny Inspektor Danych Osobowych na podstawie art. 104 § 1 K.p.a., art. 12 pkt 2, art. 22, art. 23 ust. 1 pkt 2, art. 33 oraz art. 18 w związku z art. 23 ust. 1 ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jedn. Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.):

1. 1. nakazał [...] sp. z o. o. z siedzibą w W. przywrócenie stanu zgodnego z prawem w procesie przetwarzania danych osobowych M. R. poprzez zaprzestanie przetwarzania jego danych osobowych w celach marketingowych,
2. 2. w pozostałym zakresie odmówił uwzględnienia wniosku.

Jak wskazał organ, w przedmiotowej sprawie M. R. już na etapie zawierania umowy nie zgodził się na przetwarzanie jego danych osobowych w celach marketingowych przez operatora, a więc nie musiał zgłaszać sprzeciwu. Spółka [...] jako operator, nie miała natomiast podstawy, aby przekazać jego numer telefonu [...] sp. z o. o. W tej sytuacji operator powinien niezwłocznie zaprzestać przetwarzania danych osobowych wnioskodawcy w celach marketingowych niezależnie od tego, czy czyni to "samodzielnie lub we współpracy z innymi podmiotami". Jednocześnie zdaniem organu nie było podstaw do przekazania danych osobowych M. R. Spółce [...].

Oceniając z kolei fakt przetwarzania numeru telefonu wnioskodawcy przez [...] sp. z o. o. organ wskazał, że Spółka pozyskała jedynie bazę numerów telefonów od operatora, w tym numer telefonu wnioskodawcy, bez żadnych dodatkowych informacji. Na ich podstawie nie mogła zidentyfikować osoby, do której dany numer należał. Spółka nie posiadała zatem danych osobowych w rozumieniu art. 6 ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych, a co za tym idzie nie przetwarzała ich. Spółka dopiero po nawiązaniu kontaktu z losowo wybranym numerem, mogła zebrać więcej informacji na temat danej osoby. Po nawiązaniu kontaktu z wnioskodawcą, który wyraził swoją niechęć wzięcia udziału w badaniu, Spółka zaprzestała z nim kontaktu, dodatkowo wpisując jego numer telefonu na tzw. Listę Robinsona, traktując jego sprzeciw jako odmowę wzięcia udziału w badaniu. Organ zauważył również, że obecnie spółka [...] nie posiada numeru telefonu skarżącego.

Wniosek o ponowne rozpatrzenie sprawy złożyła Spółka [...].

Decyzją z [...] czerwca 2017 r. Generalny Inspektor Ochrony Danych Osobowych na podstawie art. 138 § 1 pkt 1 K.p.a. oraz art. 12 pkt 2, art. 22, art. 23 ust. 1 pkt 2, art. 33 oraz art. 18 w związku z art. 23 ust. 5 ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych utrzymał w mocy zaskarżoną decyzję.

Wskazując na słownikową definicję pojęcia "marketing", organ uznał, że działania skarżącego operatora polegające na selekcji klientów, którzy "w ostatnich 3 miesiącach przed generowaniem grupy docelowej kontaktowali się z Biurem Obsługi Klienta Spółki" i którzy "nie wnieśli sprzeciwu wobec przetwarzania ich danych osobowych, o którym mowa w art. 32 ust. 1 pkt 8 u.o.d.o." i poddanie ich badaniu oceny satysfakcji klienta z usług Biura Obsługi Klienta przez podmiot zewnętrzny, stanowi przetwarzanie danych klientów w celach marketingowych (w tym, sama selekcja klientów do badania stanowi przetwarzanie danych w celach marketingowych). Informacją zwrotną z badania jest miernik poziomu satysfakcji z jednego z podstawowych kanałów komunikacji z klientem, jakim jest Biuro Obsługi Klienta. Wyższa sprawność Biura Obsługi Klienta i zadowolenie klientów przekładać się będą w sposób oczywisty na zyski strony skarżącej.

Pojęcie marketingu należy interpretować szeroko, zwłaszcza w sytuacji, gdy działania strony skarżącej ingerowały w prywatność klienta. O marketingowym charakterze przetwarzania danych wnioskodawcy przez Spółkę świadczy też fakt, iż numer telefonu skarżącego został przekazany [...] sp. z o. o. na podstawie umowy, która w swym tytule wskazuje jasno, że zawarta jest w celu przeprowadzania badań marketingowych.

Odnośnie zarzutu naruszenia art. 161 ust. 1 ustawy z 16 lipca 2004 r. Prawo telekomunikacyjne organ powołał się na stanowisko Wojewódzkiego Sądu Administracyjnego w Warszawie wyrażone w wyroku z 16 maja 2011 r. sygn. akt II SA/Wa 643/11, w którym stwierdzono, iż "Dostawca publicznie dostępnych usług telekomunikacyjnych jest uprawniony do przetwarzania danych osobowych usługobiorcy, jeżeli jego dane przetwarza w celu świadczenia i wykonania usługi telekomunikacyjnej. W każdym innym przypadku podejmowania działań, w szczególności realizujących cel komercyjny, marketingowy, a niezwiązany wprost z wykonaniem usługi telekomunikacyjnej, usługodawca będzie stosować przepisy ustawy o ochronie danych osobowych i poszukiwać przesłanki legalizującej przetwarzania danych osobowych dla swych działań".

Odwołując się zaś do art. 159 ust. 1 pkt 3 oraz art. 165 ust. 4 Prawa telekomunikacyjnego, organ uznał, że w niniejszej sprawie operator przekazał numer telefonu (dana transmisyjna) [...] sp. z o. o. (działającej w imieniu operatora) w celu podjęcia przez nią działań marketingowych, tj. oceny satysfakcji klienta z usług oferowanych przez skarżącą Spółkę. Natomiast argumentacja, że numer ten został przekazany, bowiem M. R. nie zgłosił sprzeciwu wobec przetwarzania jego danych osobowych, nie zasługuje na uwzględnienie. Skoro wnioskodawca już na etapie zawierania umowy nie zgodził się na przetwarzanie jego danych osobowych w celach marketingowych operatora, to nie musiał zgłaszać takiego sprzeciwu.

Tym samym, operator ten nie miał podstaw do przetwarzania jego numeru telefonu, a zwłaszcza przekazania go zewnętrznemu podmiotowi. Na marginesie organ wskazał również, że złożone w skardze oświadczenie wnioskodawcy o wniesieniu sprzeciwu zostało przesłane ww. Spółce, a więc pośrednio doszło do skutecznego oświadczenia woli przez wnioskodawcę.

Skargę na powyższą decyzję złożyła [...] sp. z o. o. w W., zarzucając jej naruszenie art. 161 ust. 1 i art. 165 ust. 4 ustawy z 16 lipca 2004 r. Prawo telekomunikacyjne, art. 23 ust. 1, art. 51 ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych oraz art. 23 ust. 1 pkt 1 w zw. z art. 23 ust. 1 pkt 5 i art. 32 ust. 1 pkt 8 ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych w związku z art. 10 ustawy z 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną (tekst jedn. Dz. U. z 2016 r., poz. 1030 ze zm.) w związku z art. 172 i art. 165 ust. 4 Prawa telekomunikacyjnego, a także naruszenie art. 138 § 1 K.p.a. i art. 7, art. 77 § 1, art. 80 i art. 107 § 3 K.p.a.

W odpowiedzi na skargę organ wniósł o jej oddalenie.

Rozpoznając powyższą skargę, Wojewódzki Sąd Administracyjny w Warszawie zaznaczył na wstępie, że oceniając skarżoną decyzję zobowiązany był wziąć pod uwagę również jej zgodność z przepisami prawa europejskiego, w tym przede wszystkim regulacjami Dyrektywy nr 95/46/WE Parlamentu Europejskiego i Rady z 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Dz. Urz. UE L z dnia 23 listopada 1995 r. Nr 281, s. 31; Dz. Urz. UE-sp.13-15-355 ze zm.).

Zdaniem Sądu pierwszej instancji, organ, wydając obie decyzje administracyjne, dopuścił się przede wszystkim naruszenia przepisów prawa materialnego, w tym w szczególności naruszenia art. 161 ust. 1 ustawy z 16 lipca 2004 r. Prawo telekomunikacyjne poprzez jego błędną wykładnię, a w konsekwencji bezpodstawne przyjęcie, że w sprawie skarżąca Spółka, jako operator telekomunikacyjny, nie była uprawniona do przetwarzania danych swojego abonenta, w celu poprawy jakości świadczonych usług poprzez przeprowadzenie spornego badania poziomu satysfakcji klienta z obsługi świadczonej przez Biuro Obsługi Klienta.

Jednocześnie zdaniem Sądu organ dopuścił się naruszenia art. 23 ust. 1 pkt 1 w zw. z art. 23 ust. 1 pkt 5 i art. 32 ust. 1 pkt 8 ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych poprzez ich błędną wykładnię polegającą na uznaniu, że brak zgody na prowadzenie marketingu bezpośredniego za pomocą środków komunikacji elektronicznej oraz przetwarzanie danych transmisyjnych na gruncie art. 10 ustawy z 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną w zw. z art. 172 i art. 165 ust. 4 ustawy Prawo telekomunikacyjne, uniemożliwia przetwarzanie danych osobowych abonenta również w zakresie prawnie usprawiedliwionego celu administratora danych, który nie jest marketingiem bezpośrednim, bez konieczności złożenia sprzeciwu odnośnie przetwarzania danych w celu marketingowym.

W konsekwencji wadliwie zinterpretowanych norm prawa materialnego, organ dopuścił się także naruszenia przepisów postępowania, które miało istotny wpływ na wynik sprawy, a w szczególności naruszenia art. 7, art. 77 § 1, art. 80 i art. 107 § 3 K.p.a. poprzez błędne ustalenie, że przetwarzanie danych osobowych abonenta przez skarżącą Spółkę w celu realizacji badania poziomu satysfakcji tego klienta z obsługi oferowanej przez BOK, jest równoznaczne z przetwarzaniem danych osobowych dla celów marketingu usług telekomunikacyjnych lub świadczenia usług o wartości wzbogaconej. Wydając sporne decyzje, organ dopuścił się w powyższym zakresie istotnego naruszenia zasady praworządności wyrażonej w przepisach art. 6 K.p.a. i art. 7 in principio K.p.a. oraz art. 7 Konstytucji RP.

Następnie Sąd pierwszej instancji przywołał art. 12 pkt 1 i pkt 2 i art. 18 ust. 1 ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych oraz wskazał na zasady prowadzenia postępowania w przedmiocie przetwarzania i ochrony danych osobowych wymienione w art. 23 ust. 1 ww. ustawy oraz art. 32 ust. 1 i 3 ustawy.

Odwołując się następnie do art. 161 ust. 1 ustawy Prawo telekomunikacyjne, Sąd pierwszej instancji wskazał, że dostawca usług telekomunikacyjnych, który przetwarza dane osobowe użytkowników (tj. swoich klientów, w tym abonentów lub też osób korzystających z usługi telekomunikacyjnej, jako usługi przedpłaconej po ich identyfikacji, np. w procesie postępowania reklamacyjnego) – jako administrator danych w rozumieniu art. 7 pkt 4 ustawy o ochronie danych osobowych – decyduje o celach i środkach przetwarzania danych. Jeżeli użytkownik zostanie raz zidentyfikowany na podstawie przetwarzanych danych osobowych, wówczas wszelkie dodatkowe informacje będą kwalifikowane, jako dane osobowe. Zgodnie z art. 161 ust. 3 ustawy Prawo telekomunikacyjne dostawca usług, jako administrator danych, może przetwarzać dodatkowe informacje użytkownika będącego osobą fizyczną, poza zakresem wskazanym w ust. 1, pod warunkiem uzyskania jego zgody.

W przypadku, gdy użytkownikiem nie jest osoba fizyczna, dostawca usług telekomunikacyjnych będzie przetwarzał informacje o osobach fizycznych działających w imieniu i na rzecz użytkownika. Wprawdzie przepisy art. 161 ust. 2 i 3 w zw. z art. 159 ust. 1 ustawy Prawo telekomunikacyjne nie rozciągają się na tego rodzaju dane, należy jednak ocenić zakres tych informacji w świetle ustawy o ochronie danych osobowych i obowiązki z tym związane.

Następnie Sąd pierwszej instancji wskazał na przesłanki legalizujące wykorzystanie danych i treści objętych tajemnicą telekomunikacyjną wymienione w art. 159 ust. 2 ustawy Prawo telekomunikacyjne, niewymagające zgody na ich przetwarzanie. Zdaniem Sądu przepis art. 159 ww. ustawy nie ogranicza kręgu zobowiązanych podmiotów, stąd będzie on miał zastosowanie do przedsiębiorcy telekomunikacyjnego, jak i do innych podmiotów, z pomocą, których przedsiębiorca telekomunikacyjny wykonuje czynności, przy których ma styczność z danymi podlegającymi ochronie. Jeśli chodzi o kwestię ochrony danych osobowych i ochrony prywatności w sektorze łączności elektronicznej, Sąd wskazał również na przepisy dyrektywy 2002/58/WE Parlamentu Europejskiego i Rady z dnia 12 lipca 2002 r. dotyczącej przetwarzania danych osobowych i ochrony prywatności w sektorze łączności elektronicznej, tj. na motywy 40, 41 i 42 tej dyrektywy.

Mając powyższe na uwadze, Sąd pierwszej instancji uznał, że badanie jakości obsługi klienta oferowanej przez Biuro Obsługi Klienta nie jest działaniem marketingowym, lecz stanowi wyłącznie element analizy dotyczącej poziomu świadczonych przez BOK usług, który nie może być uznany za marketing usług telekomunikacyjnych. Zdaniem Sądu, w uzasadnieniach obu wydanych w sprawie decyzji organ nie wykazał, iż badanie takie dotyczy marketingu usług telekomunikacyjnych lub świadczenia usług o wartości wzbogaconej, a zatem spełnia przesłanki z art. 165 ust. 4 ustawy Prawo telekomunikacyjne. Zdaniem Sądu nie można traktować pojęcia marketingu szeroko i rozumieć przez nie każdego działania dostawcy usług telekomunikacyjnych prowadzącego do zysku. Przyjmując takie założenie, wszystkie aspekty funkcjonowania dostawcy usług telekomunikacyjnych należałoby uznać za działania marketingowe, gdyż wszystkie bezpośrednio lub pośrednio prowadzą do osiągnięcia zysku.

Organ nie uzasadnił, dlaczego traktuje badanie oceny satysfakcji klienta, jako działanie marketingowe, a także nie odniósł się do stanowiska strony skarżącej, która wyraźnie stwierdziła, że działania marketingowe, to działania zmierzające do sprzedaży produktów lub usług, zaś wykonywane przez skarżącą Spółkę badania prowadziły jedynie do poprawy jakości już świadczonych klientowi usług. W ocenie Sądu nie sposób uznać, że sporne połączenie telefoniczne wykonane do klienta 15 stycznia 2014 r. zostało wykonane w celu oceny satysfakcji klienta z usług oferowanych przez operatora, albowiem nie ulega wątpliwości, że połączenie to zostało wykonane wyłącznie w ramach badania poziomu satysfakcji z obsługi klienta przez BOK za IV kwartał 2013 r. Było to więc działanie oparte o art. 23 ust. 1 pkt 5 ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych, jako wypełniające prawnie usprawiedliwiony cel realizowany przez skarżącego operatora, jako administratora danych, na potrzeby prowadzenia analiz gospodarczych oraz zgodnie z § 11 ust. 2 Regulaminu świadczenia Usług Telekomunikacyjnych przez [...] sp. z o. o. dla użytkowników. Istniała zatem przesłanka prawna umożliwiająca Spółce, bez naruszenia praw i wolności klienta, przetwarzanie jego danych osobowych w celu wykonania przedmiotowego badania.

Sąd pierwszej instancji zwrócił również uwagę, że skarżący operator nie wybierał do badania osób, które wniosły sprzeciw na przetwarzanie danych w celach marketingowych, chcąc szanować wolę abonentów w zakresie komunikacji marketingowej przez telefon. W ten sposób strona skarżąca dążyła do poszanowania prywatności swoich klientów, z ostrożności nie wykonując połączeń telefonicznych do tych, którzy wnieśli przedmiotowy sprzeciw. Natomiast w dniu realizacji przedmiotowego połączenia telefonicznego 15 stycznia 2014 r. na koncie abonenckim klienta nie było odnotowanego sprzeciwu, o którym mowa w art. 32 ust. 1 pkt 8 ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych.

Mając powyższe na uwadze, Wojewódzki Sąd Administracyjny w Warszawie na podstawie art. 145 § 1 pkt 1 lit. a i c oraz art. 200 i art. 205 § 2 w zw. z art. 209 ustawy z 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (tekst jedn. Dz. U. z 2017, poz. 1369 ze zm. – zwanej dalej P.p.s.a.) orzekł, jak na wstępie.

Skargę kasacyjną od powyższego wyroku złożył Prezes Urzędu Ochrony Danych Osobowych, zaskarżając go w całości i zarzucając mu:

1. 1. naruszenie przepisów postępowania mające istotny wpływ na wynik sprawy, tj.: art. 145 § 1 lit. c P.p.s.a. w związku z art. 7 i 77 § 1, art. 80 oraz art. 107 § 3 K.p.a. poprzez niezasadne uznanie, że Generalny Inspektor Ochrony Danych Osobowych prowadząc postępowanie naruszył ww. przepisy postępowania, w konsekwencji niezasadne uchylenie zaskarżonej decyzji i decyzji ją poprzedzającej,
2. 2. naruszenie przepisów prawa materialnego, tj. art. 165 ust. 4 ustawy z 16 lipca 2004 r. Prawo telekomunikacyjne (tekst jedn. Dz. U. z 2017 r., poz. 1907) poprzez jego błędną wykładnię polegającą na przyjęciu, że telefoniczne badanie poziomu satysfakcji klienta korzystającego z usług telekomunikacyjnych nie jest marketingiem usług telekomunikacyjnych w rozumieniu ww. przepisu prawa,
3. 3. naruszenie przepisów prawa materialnego, tj. art. 23 ust 1 pkt 5 ustawy z sierpnia 1997 r. o ochronie danych osobowych (tekst jedn. Dz. U. z 2016 r., poz. 922) w związku z art. 165 ust. 4 Prawa telekomunikacyjnego poprzez błędną wykładnię, polegającą na uznaniu, że ww. przepis ustawy o ochronie danych osobowych stanowi podstawę prawną do przetwarzania danych osobowych w celu badania poziomu satysfakcji klienta korzystającego z usług telekomunikacyjnych w sytuacji, gdy klient nie wyraził zgody na przetwarzanie danych dla celów marketingu usług telekomunikacyjnych stosownie do art. 165 ust. 4 Prawa telekomunikacyjnego.

Wskazując na powyższe zarzuty, organ wniósł o uchylenie w całości zaskarżonego wyroku i przekazanie sprawy do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie oraz zasądzenie zwrotu kosztów postępowania na rzecz organu według norm prawem przepisanych, a także o rozpoznanie skargi kasacyjnej na rozprawie.

Odpowiedź na skargę kasacyjną złożyła [...] sp. z o. o. z siedzibą w W., wnosząc o jej oddalenie w całości i zasądzenie na jej rzecz kosztów postępowania według norm przepisanych.

Zarządzeniem Przewodniczącej Wydziału III Izby Ogólnoadministracyjnej NSA z 3 listopada 2021 r. na podstawie art. 15 zzs4 ust. 1 i 3 ustawy z 2 marca 2020 r. o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19, innych chorób zakaźnych oraz wywołanych nimi sytuacji kryzysowych (Dz. U. z 2020 r., poz. 1842) sprawa została skierowana na posiedzenie niejawne z uwagi na to, że przeprowadzenie rozprawy na odległość z jednoczesnym bezpośrednim przekazem obrazu i dźwięku nie jest możliwe (brak zgody wszystkich stron na przeprowadzenie rozprawy w trybie zdalnym), o czym poinformowano strony.

Naczelny Sąd Administracyjny zważył, co następuje

Przedstawione w rozpoznawanej skardze kasacyjnej zarzuty zasługiwały na uwzględnienie.

Wskazać należy, że w okolicznościach niniejszej sprawy istota sporu sprowadzała się do ustalenia, czy skarżąca Spółka jako operator sieci telefonii komórkowej była uprawniona do przekazania numer telefonu abonenta sieci innej Spółce w celu realizacji badania poziomu satysfakcji abonenta z usługi oferowanej przez Biuro Obsługi Klienta. Istotne w sprawie pozostawało również to, że abonent ten, wypełniając uprzednio kartę udostępnienia danych, nie zgodził się na przetwarzanie jego danych osobowych w celach marketingowych, odmawiając wyrażenia zgody na otrzymywanie informacji, w tym w szczególności o nowych ofertach promocyjnych, usługach, konkursach oraz innych informacji handlowych za pomocą środków komunikacji elektronicznej, w szczególności przy użyciu automatycznych systemów wywołujących oraz na przetwarzanie danych transmisyjnych dla celów marketingu usług telekomunikacyjnych. Oznacza to, że skarżąca Spółka pomimo braku zgody abonenta na przetwarzanie danych osobowych w celach marketingowych przekazała jego numer telefonu na rzecz innej Spółki, działającej w imieniu skarżącej.

W ocenie Sądu pierwszej instancji takie działanie było usprawiedliwione, bowiem badanie jakości obsługi klienta oferowanej przez Biuro Obsługi Klienta nie jest działaniem marketingowym, lecz stanowi wyłącznie element analizy dotyczącej poziomu świadczonych usług, który nie może być uznany za marketing usług telekomunikacyjnych. W ocenie Sądu podstawa prawna z art. 23 ust. 1 pkt 5 ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jedn. Dz. U. z 2016 r., poz. 922) umożliwiła skarżącej Spółce, bez naruszenia prawa i wolności klienta, na przetwarzanie danych osobowych abonenta w celu wykonania przedmiotowego badania.

Oceniając powyższe stanowisko, zaprezentowane w zaskarżonym wyroku, stwierdzić trzeba, że zgodnie z art. 23 ust. 1 pkt 5 ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych "[p]rzetwarzanie danych jest dopuszczalne tylko wtedy, gdy jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą". W świetle natomiast art. 23 ust. 4 ww. ustawy "[z]a prawnie usprawiedliwiony cel, o którym mowa w ust. 1 pkt 5, uważa się w szczególności:

1. 1) marketing bezpośredni własnych produktów lub usług administratora danych;
2. 2) dochodzenie roszczeń z tytułu prowadzonej działalności gospodarczej".

Jak podkreślano w orzecznictwie, stosowanie art. 23 ust. 1 pkt 5 ww. ustawy wymaga nie tylko wykazania, że chodzi o realizowanie prawnie usprawiedliwionego celu, ale także dokonanie oceny czy dla realizacji tego celu niezbędne jest przekazanie danych, pomimo braku zgody osoby której dane te dotyczą. Ocena ta sprowadza się do wyważania racji i interesów "właściciela" danych, objętego ochroną prawną, a z drugiej administratora danych, również chronionego przez prawo w zakresie, w jakim może realizować prawnie usprawiedliwione cele i uprawnienia. Przy istniejącym konflikcie interesów stosowanie art. 23 ust. 1 pkt 5 wymaga uwzględnienia rangi tych interesów w okolicznościach konkretnej sprawy (zob. wyroki NSA z 13 lutego 2014 r. sygn. akt I OSK 1641/12, 27 maja 2018 r. sygn. akt I OSK 1459/16, 6 sierpnia 2019 r. sygn. akt I OSK 2355/17 – orzeczenia dostępne w Centralnej Bazie Orzeczeń Sądów Administracyjnych pod adresem internetowym: orzeczenia.nsa.gov.pl).

Nie bez znaczenia dla oceny niniejszej sprawy pozostają również wskazywane tak przez Sąd pierwszej instancji jak i organ przepisy ustawy z 16 lipca 2004 r. Prawo telekomunikacyjne (tekst jedn. Dz. U. z 2016 r., poz. 1489 – zwanej także Prawem telekomunikacyjnym), której celem jest określenie m. in. warunków ochrony użytkowników usług, w szczególności w zakresie prawa do prywatności i poufności (art. 1 pkt 7) oraz warunków przetwarzania danych w telekomunikacji i ochrony tajemnicy telekomunikacyjnej (art. 1 pkt 9). Zgodnie bowiem z art. 5 ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych "[j]eżeli przepisy odrębnych ustaw, które odnoszą się do przetwarzania danych, przewidują dalej idącą ich ochronę, niż wynika to z niniejszej ustawy, stosuje się przepisy tych ustaw". Oznacza to, że przepisy Prawa telekomunikacyjnego wyłączają stosowanie ustawy o ochronie danych osobowych w zakresie, w jakim przewidują dalej idącą ochronę danych osobowych od tej, jaka została zagwarantowana ustawą o ochronie danych osobowych.

Zauważyć trzeba, że analizując przepisy Prawa telekomunikacyjnego, Sąd pierwszej instancji nie zajął jednoznacznego stanowiska, dlaczego przyjął, że działanie strony skarżącej polegające na przekazaniu numeru telefonu abonenta sieci celem dokonania badania jakości obsługi klienta oferowanej przez Biuro Obsługi Klienta, nie narusza przepisów tej ustawy. Badając przesłanki z art. 159 ust. 2 pkt 1 i 4 Prawa telekomunikacyjnego wyłączające tajemnicę telekomunikacyjną, Sąd wskazywał na przypadek, gdy wykorzystywanie treści lub danych "będzie to przedmiotem usługi lub będzie to niezbędne do jej wykonania" lub "będzie to konieczne z innych powodów przewidzianych ustawą lub przepisami odrębnymi".

Sąd pierwszej instancji nie przesądził jednak, czy w jego ocenie przeprowadzenie badania jakości obsługi klienta, jak w niniejszej sprawie, jest niezbędne do wykonania usługi. Przypadek ten można było natomiast wykluczyć z uwagi na charakter usługi świadczonej przez operatora sieci komórkowej, do wykonania której nie jest niezbędna ocena jakości obsługi Biura Obsługi Klienta. Podobnie Sąd ten nie wyjaśnił, czy uznał, że w sprawie zaistniała przesłanka "innych powodów przewidzianych ustawą lub przepisami odrębnymi" (pkt 4 ww. przepisu), ogólnikowo wskazując, że "przesłankę tę można rozpatrywać, jako realizację uprawnienia lub obowiązku przewidzianego w przepisach prawa, zarówno w ustawie – Prawo telekomunikacyjne, jak i w przepisach szczególnych". Tymczasem w ocenie Sądu rozpoznającego niniejszą skargę kasacyjną wymagało to wprost odniesienia się do art. 165 ust. 4 Prawa telekomunikacyjnego, który to przepis w ocenie organu wyłączał legalność działania skarżącej Spółki i stanowił podstawę wydania kontrolowanych w sprawie decyzji.

Na tle tego przepisu, Wojewódzki Sąd Administracyjny w Warszawie ograniczył się jedynie do stwierdzenia, że "Generalny Inspektor Ochrony Danych Osobowych nie wykazał, iż badanie jakości obsługi świadczonej przez Biuro Obsługi Klienta wspomnianej sieci komórkowej dotyczy marketingu usług telekomunikacyjnych lub świadczenia usług o wartości wzbogaconej, a zatem powinno spełniać przesłanki z art. 165 ust. 4 P.t.". Tak sformułowane stanowisko nie znajduje jednak żadnego uzasadnienia, szczególnie uwzględniając literalne brzmienie tego przepisu. Zgodnie z nim "[d]ostawca publicznie dostępnych usług telekomunikacyjnych może przetwarzać dane transmisyjne, o których mowa w ust. 3, w zakresie i przez czas niezbędny dla celów marketingu usług telekomunikacyjnych lub świadczenia usług o wartości wzbogaconej, jeżeli abonent lub użytkownik końcowy wyraził na to zgodę". Podstawowym zatem warunkiem przetwarzania danych transmisyjnych dla celów marketingu usług telekomunikacyjnych jest zgoda abonenta lub użytkownika końcowego.

Również słusznie organ zakwalifikował numer telefonu abonenta do kategorii danych transmisyjnych (art. 159 ust. 1 pkt 3 ustawy), która w przypadku abonenta, którego ma dotyczyć badanie poziomu jego satysfakcji odpowiadać będzie również definicji danej osobowej, o której mowa w art. 6 ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych. Niemniej jednak w okolicznościach niniejszej sprawy, co trafnie eksponował w swojej skardze kasacyjnej organ, podstawowe znaczenie dla oceny legalności kontrolowanych w sprawie decyzji ma fakt, że abonent nie wyraził zgody na przetwarzanie jego danych osobowych w celach marketingowych, a zatem nie został spełniony warunek wymieniony w art. 165 ust. 4 Prawa telekomunikacyjnego. Wzajemna relacja art. 165 ust. 4 Prawa telekomunikacyjnego i art. 23 ust. 1 pkt 5 ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych przy uwzględnieniu normy kolizyjnej z art. 5 ostatniej ustawy prowadzi do wniosku, że art. 165 ust. 4 Prawa telekomunikacyjnego przyznaje abonentowi dalej idącą ochronę niż przepisy ustawy o ochronie danych osobowych.

Również przepis ten nie ogranicza się do "marketingu pośredniego", tak jak art. 23 ust. 4 pkt 1 ustawy o ochronie danych osobowych, ale odwołuje się szerzej do "dla celów marketingu usług telekomunikacyjnych", a więc do wszystkich form komunikacji pomiędzy operatorem a abonentem. W okolicznościach niniejszej sprawy nie budziło natomiast wątpliwości, że przekazanie numeru telefonu abonenta sieci innej Spółce w celu realizacji badania poziomu satysfakcji abonenta z usługi oferowanej przez Biuro Obsługi Klienta miało charakter marketingowy, co jak słusznie zauważa skarżący kasacyjnie organ, wynika zresztą wprost z umowy zawartej pomiędzy Spółką [...] a [...] sp. z o. o. W jej tytule wskazano wprost, że zawarta została w celu podjęcia przez tę ostatnią działań marketingowych, tj. oceny satysfakcji klienta z usług oferowanych przez operatora.

Z tych też przyczyn jako zasadne należało ocenić zarzuty naruszenia art. 23 ust. 1 pkt 5 ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych w związku z art. 165 ust. 4 Prawa telekomunikacyjnego (zarzut 3) i naruszenia art. 165 ust. 4 Prawa telekomunikacyjnego (zarzut 2). Jak trafnie wywiódł Prezes Urzędu Ochrony Danych Osobowych przepis art. 165 ust. 4 Prawa telekomunikacyjnego w okolicznościach niniejszej sprawy mógł stanowić podstawę do wydania decyzji nakazującej skarżącej Spółce przywrócenie stanu zgodnego z prawem w procesie przetwarzania danych osobowych związanego z telefonicznym badaniem poziomu satysfakcji klienta (abonenta) korzystającego z usług telekomunikacyjnych jako marketingu tych usług, na które operator sieci nie uzyskał stosownej zgody. Przeciwne stanowisko mogłoby prowadzić w efekcie do uznania, że abonent który celowo nie wyraził zgody na przetwarzanie danych osobowych w celach marketingowych zostanie niejako zmuszony do odbioru marketingu usług telekomunikacyjnych, zaś jego wola zostanie całkowicie zignorowana.

Zasadny okazał się być również zarzut naruszenia art. 145 § 1 lit. c P.p.s.a. w związku z art. 7 i art. 77 § 1, art. 80 oraz art. 107 § 3 K.p.a. (zarzut 1). W niniejszej sprawie zarzut ten w sposób bezpośredni został powiązany z zarzutem naruszenia przez Sąd pierwszej instancji prawa materialnego, który w skarżonym wyroku uznał, że do naruszenia przepisów postępowania doszło w konsekwencji wadliwie zinterpretowanych norm prawa materialnego. Podważanie tej oceny Sądu pierwszej instancji, skutkowało zatem podważeniem oceny o uchybieniu przepisom postępowania.

W tym stanie sprawy, Naczelny Sąd Administracyjny uznając, że został on dostatecznie wyjaśniony, na podstawie art. 188 i art. 151 P.p.s.a. uchylił zaskarżony wyrok i oddalił skargę. O kosztach postępowania orzeczono zgodnie z art. 203 pkt 2 P.p.s.a.

Sprawę rozpoznano na posiedzeniu niejawnym w składzie trzech sędziów na podstawie art. 15zzs4 ust. 1 - 3 ustawy z 2 marca 2020 r. o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19, innych chorób zakaźnych oraz wywołanych nimi sytuacji kryzysowych (Dz. U. poz. 374 ze zm.), w brzmieniu nadanym przez art. 4 pkt 3 ustawy z 28 maja 2021 r. o zmianie ustawy - Kodeks postępowania cywilnego oraz niektórych innych ustaw (Dz. U. z 2021 r., poz. 1090). Zgodnie z ww. regulacją "[w] okresie obowiązywania stanu zagrożenia epidemicznego albo stanu epidemii ogłoszonego z powodu COVID-19 oraz w ciągu roku od odwołania ostatniego z nich Naczelny Sąd Administracyjny nie jest związany żądaniem strony o przeprowadzenie rozprawy (...)", w okresie tym "wojewódzkie sądy administracyjne oraz Naczelny Sąd Administracyjny przeprowadzają rozprawę przy użyciu urządzeń technicznych umożliwiających przeprowadzenie jej na odległość z jednoczesnym przekazem obrazu i dźwięku, z tym że osoby w niej uczestniczące nie muszą przebywać w budynku sądu".

Stosownie do ustępu 3 ww. artykułu "[p]rzewodniczący może zarządzić przeprowadzenie posiedzenia niejawnego, jeżeli uzna rozpoznanie sprawy za konieczne, a nie można przeprowadzić jej na odległość z jednoczesnym bezpośrednim przekazem obrazu i dźwięku". W ocenie Naczelnego Sądu Administracyjnego rozpoznanie sprawy było konieczne z uwagi na długość toczącego się postępowania sądowego (skarga w sprawie wpłynęła w lipcu 2017 r.). Nadto ze względów technicznych nie jest możliwe we wszystkich sprawach, w których zażądano rozprawy, przeprowadzenie jej na odległość z jednoczesnym bezpośrednim przekazem obrazu i dźwięku zwłaszcza, że w rozpoznawanej sprawie, poza skarżącą, pozostałe strony nie oświadczyły się co do technicznych możliwości uczestniczenia w rozprawie zdalnej i wniosły o rozpoznanie sprawy na posiedzeniu niejawnym. W tej szczególnej sytuacji rozpoznanie skargi kasacyjnej na posiedzeniu niejawnym było w ocenie NSA rozsądnym kompromisem pomiędzy prawem stron do jawnego rozpoznania sprawy, a prawem do rozpoznania sprawy bez nieuzasadnionej zwłoki (art. 45 Konstytucji RP) oraz zasadą proporcjonalności, z której wynika możliwość ograniczenia konstytucyjnych praw z uwagi na konieczność ochrony zdrowia. Strony uprzedzono o takim trybie rozpoznania sprawy i umożliwiono im zajęcie ostatecznego stanowiska w sprawie pisemnie.

1. - ---------------------- i