Uzasadnienie
Generalny Inspektor Ochrony Danych Osobowych decyzją nr [...] z dnia [...] czerwca 2013 r., na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. – Kodeks postępowania administracyjnego (Dz. U. z 2013 r., poz. 269), art. 12 pkt 2 i art. 22 oraz art. 32 ust. 1 i 3 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.), odmówił uwzględnienia skargi D. Z. na przetwarzanie jej danych osobowych przez [...] Bank S.A. z siedzibą w W. W uzasadnieniu podał, że jak ustalił, w dniu [...] lipca 2012 r. strona złożyła w oddziale [...] Bank S.A. ustny sprzeciw wobec przetwarzania jej danych osobowych w celach marketingowych, który został w tym dniu niezwłocznie wprowadzony do systemu. Niemniej miało to miejsce już po wygenerowaniu przez Bank listy adresowej e-mailingu o charakterze marketingowym. Niezwłocznie po tych ustaleniach, w dniu [...] sierpnia 2012 r. przesłano do strony pismo zawierające wyjaśnienia zaistniałej sytuacji.
Według Banku, poza pojedynczym mailingiem, wynikającym z rozległości czasowej procesu, do strony nie były wysyłane później materiały marketingowe. Organ stwierdził, że zgodnie z art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych, przetwarzanie danych jest dopuszczalne, gdy jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Za prawnie usprawiedliwiony cel, o którym mowa wyżej, uważa się w szczególności marketing bezpośredni własnych produktów lub usług administratora danych.
Ponadto, w jego ocenie, aktualnie nie istnieje stan naruszenia ustawy, a wobec incydentalnego charakteru zaistniałego zdarzenia, nie zachodzą przesłanki do uznania, że konieczne jest stosowanie art. 18 ust. 1 ustawy, czyli nakazania przywrócenia stanu zgodnego z prawem.
We wniosku o ponowne rozpatrzenie sprawy D. Z. podniosła, że w dniu [...] maja 2013 r. pracownica Banku na jej adres mailowy przesłała informację, że jest jej nową opiekunką oraz zaproponowała produkty Banku. Zatem nie można mówić o incydentalnym przypadku naruszenia przepisów o ochronie danych osobowych zainteresowanej. Powołując się na wyrok WSA w Warszawie z 14 listopada 2007 r., wniosła o "zweryfikowanie" decyzji wydanej [...] czerwca 2013 r.
Generalny Inspektor Ochrony Danych Osobowych decyzją nr [...] z dnia [...] maja 2014 r., na podstawie art. 138 § 1 pkt 1 Kpa w związku z art. 12 pkt 2 i art. 22 w zw. z art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych, utrzymał w mocy zaskarżoną decyzję.
W uzasadnieniu wskazał, że w odpowiedzi na sygnalizację z dnia [...] czerwca 2013 r., Prezes Zarządu Banku poinformował organ, iż w wyniku analizy regulacji wewnętrznych oraz procesów operacyjnych mających wpływ na przetwarzanie danych osobowych klientów banku w celach marketingowych, uchwałą nr [...] z dnia [...] lipca 2013 r. wprowadzono zmiany w "Zasadach przetwarzania danych osobowych w celach marketingowych", mające na celu zapobieżenie przypadkom przetwarzania danych osobowych w celach marketingowych osób, które złożyły sprzeciwy.
Organ podał również, że Bank pisemnie ustosunkował się w dniu [...] października 2013 r. do okoliczności podnoszonej przez D. Z. we wniosku o ponowne rozpatrzenie sprawy, wyjaśniając, iż sytuacja zaistniała w dniu [...] maja 2013 r. wynikała z błędnej interpretacji pojęcia "marketing własnych produktów i usług" przez pracownika Banku, a także, że od pracownika przyjęto wyjaśnienia i pouczono go o popełnionym błędzie.
Generalny Inspektor ponownie stwierdził, że przepisem, uprawniającym administratorów danych do przetwarzania danych osób fizycznych, jest art. 23 ust. 1 ustawy o ochronie danych osobowych. Zgodnie z jego pkt 5, przetwarzanie to jest dopuszczalne, jeżeli jest niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą.
Organ wskazał, że w myśl art. 32 ust. 1 ustawy, każdej osobie przysługuje prawo kontroli przetwarzania danych, które jej dotyczą, zawartych w zbiorach danych, a zwłaszcza prawo do wniesienia sprzeciwu wobec przetwarzania jej danych osobowych w przypadkach wymienionych w art. 23 ust. 1 pkt 4 i 5, gdy administrator danych zamierza je przetwarzać w celach marketingowych lub wobec przekazywania jego danych osobowych innemu administratorowi danych (pkt 8). W myśl art. 32 ust. 3 ustawy, w razie wniesienia sprzeciwu, o którym mowa w ust. 1 pkt 8, dalsze przetwarzanie kwestionowanych danych jest niedopuszczalne. Administrator danych może jednak pozostawić w zbiorze imię lub imiona i nazwisko osoby w celach objętych sprzeciwem.
W ocenie Generalnego Inspektora obydwa niekwestionowane przypadki naruszenia ustawy o ochronie danych osobowych miały charakter jednostkowy. Natomiast Bank podjął działania (uchwała nr [...] z [...] lipca 2013 r., wprowadzająca zmiany dotyczące przetwarzania danych osobowych w celach marketingowych), mające na celu wyeliminowanie w przyszłości w/w nieprawidłowości. Ponadto w piśmie z dnia [...] października 2013 r. Bank poinformował, że respektuje sprzeciw strony i wskazał, iż obecnie jej dane osobowe nie są przetwarzane w celach marketingowych.
Organ podniósł, że jego postępowanie, zainicjowane indywidualną skargą, jest ukierunkowane na wydanie decyzji administracyjnej na podstawie art. 18 ust. 1 ustawy. Z jego brzmienia, a zarazem z definicji decyzji administracyjnej jako aktu rozstrzygającego w sposób władczy o prawach i obowiązkach stron postępowania w ustalonym i aktualnym na chwilę jego wydania stanie faktycznym i prawnym wynika, że organ ochrony danych osobowych nie dokonuje oceny zdarzeń przeszłych, niekontynuowanych w chwili orzekania. Decyzja Generalnego Inspektora nie jest zatem instrumentem represji – służącym wyciąganiu konsekwencji w związku z przeszłymi nieprawidłowościami w procesie przetwarzania danych, lecz instrumentem służącym przywróceniu stanu zgodnego z prawem w procesie przetwarzania danych realizowanym w chwili wydania decyzji. W tej sytuacji oczywistym jest pozostawienie poza obszarem zainteresowania organu ochrony danych zdarzeń przeszłych w obszarze przetwarzania danych osobowych.
Zdaniem Generalnego Inspektora, w chwili wydawania decyzji Bank nie przetwarzał danych osobowych zainteresowanej w celach marketingowych, respektując wniesiony sprzeciw, w związku z tym po stronie organu nie zachodziły przesłanki do wydania decyzji stosownie do treści art. 18 ust. 1 ustawy, tj. nakazującej przywrócenie stanu zgodnego z prawem. Ponadto aktualnie Bank również nie przetwarza jej danych osobowych w celach marketingowych.
W skardze na powyższą decyzję do Wojewódzkiego Sądu Administracyjnego w Warszawie D. Z. zarzuciła Generalnemu Inspektorowi naruszenie podstawowych zasad Konstytucji RP oraz ustawy o ochronie danych osobowych, poprzez nierówne traktowanie jej jako obywatela – klienta Banku, występującego przeciw Bankowi, który domaga się respektowania przez Bank złożonego sprzeciwu.
Skarżąca podniosła, że pomimo sprzeciwu, Bank dwukrotnie, tj. [...] lipca 2012 r. i [...] maja 2013 r., przetwarzał jej dane w celach marketingowych. W jej ocenie ustawa o ochronie danych osobowych nie dopuszcza żadnych jednostkowych przypadków naruszenia danych osobowych po złożeniu sprzeciwu.
Wniosła w związku z tym o wydanie decyzji, "w której to w sentencji będzie napisane, że [...] Bank S.A. złamał ustawę w zakresie wykorzystania moich danych osobowych po złożeniu sprzeciwu" lub uchylenie decyzji i przekazanie sprawy do ponownego rozpoznania.
Pełnomocnik skarżącej z urzędu w piśmie procesowym z dnia [...] lutego 2015 r. poparł skargę, a ponadto zaskarżonej decyzji zarzucił naruszenie przepisów postępowania, mających wpływ na treść decyzji, tj.:
- I) Art. 138 § 1 pkt 1 w zw. z art. 7 w zw. z art. 77 § 1, art. 80 oraz art. 107 § 3 Kpa, poprzez brak rzetelnego i wszechstronnego rozpatrzenia materiału dowodowego i wyciągnięcia z niego odpowiednich wniosków w sprawie poprzez:
- 1) błędne przyjęcie, iż [...] Bank S.A. jedynie jednorazowo dokonał przetwarzania danych osobowych skarżącej w celach marketingowych, podczas gdy z akt sprawy wynika, iż dane te przetwarzane są w sposób ciągły, co odzwierciedliło się ponownym przesłaniem skarżącej wiadomości email z ofertą rachunku,
- 2) błędne przyjęcie, iż jednorazowe naruszenie przetwarzania danych osobowych skarżącej w celach marketingowych nie pozwala na wydanie decyzji, o której mowa w art. 18 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t. j. Dz. U. z 2014 r., poz. 1182), co w konsekwencji doprowadziło do błędnego uznania, iż w niniejszej sprawie nie zachodzą przesłanki do wydania decyzji stwierdzającej naruszenia przez [...] Bank S.A. przepisów Ustawy oraz nakazanie [...] Bank S.A. zaniechania naruszeń przepisów Ustawy, w szczególności poprzez zakazanie przetwarzania danych osobowych skarżącej w celach marketingowych, podczas gdy zgodnie z zebranym materiałem dowodowym, decyzja o wskazanej powyżej treści powinna zostać wydana.
Z uwagi na powyższe zarzuty, wniósł o uchylenie zaskarżonej decyzji w całości i przyznanie kosztów pomocy prawnej udzielonej z urzędu w dwukrotnej wysokości, nieopłaconych w części ani w całości, a nadto o rozważenie uchylenia poprzedzającej ją decyzji.
W odpowiedzi na skargę Generalny Inspektor Ochrony Danych Osobowych wniósł o jej oddalenie i podtrzymał w całości swoje dotychczasowe stanowisko faktyczne oraz prawne.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje
Zgodnie z przepisem art. 1 § 1 i § 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (Dz. U. nr 153, poz. 1269 ze zm.), sądy administracyjne sprawują wymiar sprawiedliwości m. in. poprzez kontrolę działalności administracji publicznej, a kontrola ta sprawowana jest pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej.
Skarga oceniana w świetle powyższych kryteriów nie zasługuje na uwzględnienie.
Stosownie do treści art. 12 ust. 1 i 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (j. t. Dz. U. z 2014 r., poz. 1182 ze zm.), dalej jako "uodo", do zadań Generalnego Inspektora Ochrony Danych Osobowych w szczególności należy kontrola zgodności przetwarzania danych z przepisami o ochronie danych osobowych oraz wydawanie decyzji administracyjnych i rozpatrywanie skarg w sprawie wykonania przepisów o ochronie danych osobowych.
Natomiast w myśl art. 18 ust. 1 uodo, w przypadku naruszenia przepisów o ochronie danych osobowych Generalny Inspektor z urzędu lub na wniosek osoby zainteresowanej, w drodze decyzji administracyjnej, nakazuje przywrócenie stanu zgodnego z prawem, a w szczególności:
- 1) usunięcie uchybień,
- 2) uzupełnienie, uaktualnienie, sprostowanie, udostępnienie lub nieudostępnienie danych osobowych,
- 3) zastosowanie dodatkowych środków zabezpieczających zgromadzone dane osobowe,
- 4) wstrzymanie przekazywania danych osobowych do państwa trzeciego,
- 5) zabezpieczenie danych lub przekazanie ich innym podmiotom,
- 6) usunięcie danych osobowych.
Z powyższego przepisu wynika zatem, że treścią decyzji powinien być nakaz przywrócenia stanu zgodnego z prawem, który może dotyczyć konkretnego, określonego w nim działania lub zaniechania.
W literaturze podnosi się, iż mamy tu do czynienia ze stopniowaniem sankcji administracyjnych (w zależności od rodzaju uchybienia), a Generalny Inspektor powinien stosować konkretne nakazy z uwzględnieniem charakteru stwierdzonego naruszenia, tj. adekwatne (współmierne) do stopnia naruszenia i zagrożenia praw osoby, której dane dotyczą (zob. G. Sibiga, Postępowanie w sprawach ochrony danych osobowych, Warszawa 2003, s. 153).
W literaturze i orzecznictwie wyrażany jest również pogląd, zgodnie z którym stwierdzony przez organ stan naruszenia przepisów o ochronie danych osobowych powinien istnieć w dacie wydania decyzji, natomiast jeżeli postępowanie administracyjne zostało wszczęte w wyniku stwierdzenia nieprawidłowości przez inspekcję, a w trakcie tego postępowania ustanie stan naruszenia prawa (np. administrator usunie uchybienia), postępowanie staje się bezprzedmiotowe, a organ wydaje decyzję o jego umorzeniu na podstawie art. 105 Kpa (ibidem, s. 151, wyrok WSA w Warszawie z 13 marca 2014 r., II SA/Wa 1988/13, publ. http://orzeczenia.nsa.gov.pl).
W niniejszej sprawie bezsporne jest, że dane D. Z. są przetwarzane przez [...] Bank S.A. z siedzibą w W. (dalej jako "Bank"), w celu świadczenia usług bankowych, w oparciu o umowę o świadczenie usług oferowanych przez Bank dla Osoby Fizycznej, zawartą w dniu [...] lutego 2012 r. Ich zakres zawiera m. in. podstawowe dane osobowe i adresowe oraz adres mailowy.
Zatem podstawą ich przetwarzania jest przepis art. 23 ust. 1 pkt 5 uodo, zgodnie z którym przetwarzanie danych jest dopuszczalne tylko wtedy, gdy jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Za prawnie usprawiedliwiony cel, o którym mowa w ust. 1 pkt 5, jak stanowi przepis art. 23 ust. 4 uodo, uważa się w szczególności:
- 1) marketing bezpośredni własnych produktów lub usług administratora danych,
- 2) dochodzenie roszczeń z tytułu prowadzonej działalności gospodarczej.
Jednocześnie zaznaczenia wymaga, iż stosownie do przepisu art. 32 ust. 1 uodo, każdej osobie przysługuje prawo do kontroli przetwarzania danych, które jej dotyczą, zawartych w zbiorach danych, w tym do wniesienia sprzeciwu wobec przetwarzania jej danych w przypadkach wymienionych w art. 23 ust. 1 pkt 4 i 5, gdy administrator danych zamierza je przetwarzać w celach marketingowych lub wobec przekazywania jej danych osobowych innemu administratorowi danych (pkt 8).
W razie wniesienia sprzeciwu, o którym mowa w ust. 1 pkt 8, dalsze przetwarzanie kwestionowanych danych jest niedopuszczalne. Administrator danych może jednak pozostawić w zbiorze imię lub imiona i nazwisko osoby oraz numer PESEL lub adres wyłącznie w celu uniknięcia ponownego wykorzystania danych tej osoby w celach objętych sprzeciwem (art. 32 ust. 3).
W rozpoznawanej sprawie poza sporem pozostaje okoliczność, że skarżąca złożyła w dniu [...] lipca 2012 r. w Oddziale [...] Bank S.A. w W. ustny sprzeciw, polegający na niewyrażeniu zgody na przetwarzanie jej danych osobowych w celach marketingowych. Nie jest również kwestionowane, że dwukrotnie, tj. [...] lipca 2012 r. oraz [...] maja 2013 r., doszło do przetwarzania danych osobowych skarżącej w celach marketingowych.
Jednakże zdarzenia te miały charakter incydentalny, bowiem z akt sprawy nie wynika, aby się powtórzyły.
Ponadto w reakcji na pismo sygnalizacyjne Generalnego Inspektora z dnia [...] czerwca 2013 r., Bank podjął niezbędne działania w celu zminimalizowania ryzyka wystąpienia naruszeń przepisów o ochronie danych osobowych. W szczególności Uchwałą Nr [...] z dnia [...] lipca 2013 r. wprowadzono zmiany w "Zasadach przetwarzania danych osobowych w celach marketingowych", przyjmując, że:
- 1) akcje marketingowe kierowane do klientów Banku będą przeprowadzane w oparciu o bazy teleadresowe generowane w dniu wysyłki materiałów marketingowych,
- 2) dodając zapis o niezwłoczności obsługi nadesłanego sprzeciwu wobec przetwarzania danych w celach marketingowych,
- 3) doprecyzowując sposób postępowania w przypadkach, gdy w zbiorach/bazach danych nie można odnaleźć nadawcy sprzeciwu z powodu niewystarczającej ilości danych.
Natomiast w piśmie z dnia [...] czerwca 2013 r. Bank opisał szereg działań szkoleniowo – informacyjnych, doskonalących standardy przetwarzania danych osobowych.
Z kolei po zdarzeniu z dnia [...] maja 2013 r. Bank przeprowadził czynności wyjaśniające, w wyniku których ustalił, że do przetwarzania danych osobowych skarżącej w celach marketingowych doszło nie ze złej woli pracownika, ale z uwagi na błędną interpretację pojęcia "marketing własnych produktów i usług", pouczono w/w pracownika o właściwym postępowaniu w takich sprawach.
Z tego względu, w ocenie Sądu, zasadne było przyjęcie przez Generalnego Inspektora, że na dzień wydania zaskarżonej decyzji nie istniał stan naruszenia przepisów o ochronie danych osobowych, obligujący do nakazania Bankowi przywrócenia stanu zgodnego z prawem. Ponadto nie bez znaczenia dla takiego rozstrzygnięcia pozostają działania Banku, podjęte w celu wyeliminowania w przyszłości naruszeń prawa w omawianym zakresie.
Nie są zatem trafne zarzuty naruszenia wskazanych przepisów postępowania poprzez brak rzetelnego i wszechstronnego rozpatrzenia materiału dowodowego i wyciągnięcia z nich odpowiednich wniosków. Podkreślić bowiem należy, iż organ prawidłowo ustalił stan faktyczny w niniejszej sprawie, który nie budzi wątpliwości. Argumentacja strony skarżącej wskazuje raczej na jego wadliwą ocenę pod kątem przestrzegania przez Bank przepisów o ochronie danych osobowych. Jednakże do naruszenia tych przepisów doszło w przeszłości, stąd brak było podstaw do wydania decyzji, której domagała się skarżąca.
Mając powyższe na względzie, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2012 r., poz. 270 ze zm.), orzekł jak w sentencji wyroku.