Sentencja

Naczelny Sąd Administracyjny w składzie następującym: Przewodniczący Sędzia NSA Tamara Dziełakowska (spr.), Sędzia NSA Monika Nowicka, Sędzia del. WSA Jolanta Górska, Protokolant asystent sędziego Inesa Wyrębkowska, po rozpoznaniu w dniu 14 marca 2019 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej [...] Sp. z o.o. z siedzibą w W. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 9 stycznia 2017 r. sygn. akt II SA/Wa 878/16 w sprawie ze skargi [...] Sp. z o.o. z siedzibą w W. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] marca 2016 r. nr [...] w przedmiocie przetwarzania danych osobowych 1. oddala skargę kasacyjną; 2. odstępuje od zasądzenia zwrotu kosztów postępowania kasacyjnego w całości

Uzasadnienie

Zaskarżonym wyrokiem z dnia 9 stycznia 2017 r. (sygn. akt II SA/Wa 878/16) Wojewódzki Sąd Administracyjny w Warszawie oddalił skargę [...] Spółki z ograniczoną odpowiedzialnością z siedzibą w W. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] marca 2016 r. w przedmiocie przetwarzania danych osobowych

Będąca przedmiotem kontroli Sądu pierwszej instancji decyzja GIODO wydana została na skutek skargi uczestnika M. P. co do przetwarzania jego danych osobowych przez [...] Spółkę z o.o. Jak wynika z akt sprawy uczestnik jest klientem Spółki w związku z zawartą w dniu 24 lutego 2012 r. roku umową o świadczenie usług. Spółka przetwarza jego dane osobowe w zbiorze pod nazwą "Baza Danych Klientów". Korzystając z dyspozycji art. 32 ust. 1 pkt 8 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2015 r., poz. 2135) uczestnik wniósł sprzeciw co do przetwarzania jego danych osobowych w celach marketingowych oraz wobec przekazania ich innemu podmiotowi. Jest bezsporne, że po dacie wniesienia sprzeciwu (tj. 11 lutego 2014 r.) wobec przetwarzania danych osobowych w celach marketingowych uczestnik za pośrednictwem internetowego serwisu "[...]" otrzymywał w zakładce "Wiadomości" skierowane na jego imię i nazwisko komunikaty zatytułowane "[...]". Ponadto po zalogowaniu się przez uczestnika do ww. serwisu wyświetlał się baner reklamowy o treści "Nie masz jeszcze dekodera [...]? Zadzwoń (...)". Jednak na skutek tego, że w toku postępowania Spółka zmodyfikowała system poczty wewnętrznej dla konta uczestnika organ uznał, że dane uczestnika nie są już przetwarzane i decyzją z dnia [...] sierpnia 2015 r. odmówił uwzględnienia wniosku.

We wniosku o ponowne rozpatrzenie sprawy uczestnik nie zgodził się ze stanowiskiem organu, że Spółka zaprzestała przetwarzania jego danych osobowych w celach marketingowych. Wskazał że Spółka przetwarza jego dane osobowe w celu marketingu dwóch swoich usług płatnych "[...]" i "[...]" w internetowej usłudze [...] wymagającej logowania.

W wyniku ponownego rozpoznania sprawy Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia [...] marca 2016 r., wskazując na przepisy art. 12 ust. 2 i art. 22 w zw. z art. 23 ust. 1 i art. 32 ust. 1 pkt 8 i ust. 3 ustawy o ochronie danych osobowych uchylił swoje wcześniejsze rozstrzygnięcie z dnia [...] sierpnia 2015 r. i nakazał [...] S.A. (oznaczenie rodzaju spółki organ w późniejszym czasie sprostował) zaprzestania przetwarzania danych osobowych uczestnika w celach marketingowych. W uzasadnieniu organ po szczegółowym opisie przebiegu postępowania, wyjaśnień i argumentów stron zawartych w pismach procesowych ustalił, że na stronie internetowej [...] po zalogowaniu się przez uczestnika (skarżącego przed organem) zgodnie z wymogami nałożonymi przez Spółkę w celu aktywacji produktu, pojawiają się uczestnikowi propozycje z zakresu usługi [...], na którą nie wyrażał zgody, bowiem zgłosił do Spółki sprzeciw obejmujący wszelkie formy marketingu. Spółka, co prawda wskazuje w wyjaśnieniach, że zawartość pakietu [...] jest dostępna dla wszystkich na stronie internetowej bez konieczności logowania się do usługi, a sama usługa nie jest w żaden sposób personalizowana i wszyscy klienci Spółki korzystający z usługi otrzymują ten sam zestaw treści, jednakże wskazać należy, że skoro uczestnik loguje się na indywidualne konto związane z konkretną usługą, to powinno być one dostosowane do jego indywidualnych potrzeb. Zatem jeżeli Spółka odnotowała sprzeciw uczestnika co do przetwarzania jego danych osobowych w celach marketingowych, to jego konto, na które się on loguje również powinno ten sprzeciw odzwierciedlać. Odnosząc się zatem do wyjaśnień Spółki, że w serwisie [...] dostępnym na [...] Spółka w ogóle nie przetwarza danych osobowych abonentów w celach marketingowych, organ przyjął, że stan faktyczny jest inny. Z przekazanych przez uczestnika printscreenów wynika, że przed zalogowaniem do serwisu [...] oferowana jest usługa [...], a konkretnie film o tytule "Lato Muminków". Po zalogowaniu na konto uczestnika również oferowana jest wskazana pozycja. O fakcie, iż przedmiotowa oferta jest reklamą świadczy informacja, która wyświetla się obok wskazanej propozycji filmowej o treści: "musisz posiadać odpowiedni abonament aby oglądać tę pozycję. Zamów odpowiedni pakiet na stronie [...]". Organ zgodził się z zarzutem uczestnika, iż istnieje rozbieżność pomiędzy regulaminem świadczenia usługi [...], a polityką prywatności Spółki. Regulamin wskazuje, że Spółka przetwarza dane dotyczące korzystania przez abonenta z usługi na potrzeby funkcjonalności "Polecane" i służy ona optymalizacji dedykowanych treści dostarczanych w ramach wskazanej funkcjonalności "Polecane", natomiast polityka prywatności wskazuje, że funkcjonalność "Polecane" nie jest integralną częścią usługi [...] na urządzeniu stacjonarnym (komputer, laptop). Spółka w polityce prywatności wskazuje, że "dla użytkowników usług [...] oraz [...]: "aby móc polecić Państwu dedykowane treści dzięki funkcjonalności "Polecane" w ramach usług [...] możemy wykorzystywać Informacje o preferencjach oglądania, aby polecić Państwu interesujące programy i powiadamiać Państwa o dedykowanych promocjach. Funkcjonalność "Polecane" może zostać aktywowana, jeśli udzielili Państwo zgody na przetwarzanie informacji o preferencjach oglądania". Ponadto w zakresie usługi [...] podczas pierwszego logowania na urządzeniu stacjonarnym (komputer, laptop) należy wyrazić zgodę na przetwarzanie informacji o preferencjach oglądania na potrzeby funkcjonalności "Polecane". Zdaniem organu, powyższe oznacza, że można zrezygnować z funkcjonalności "Polecane", a także że jest możliwość zaprzestania przesyłania informacji marketingowych wyrażonych na podstawie preferencji uczestnika. Dotyczy to również zaprzestania przesyłania informacji o promocjach, które należy traktować jako swoistą reklamę wskazanych produktów. Zatem w przypadku odnotowania sprzeciwu, funkcja "Polecane" powinna być wyłączona i nie powinna być dostępna dla klienta. Spółka tak powinna skonfigurować oferowane usługi, aby były one dostosowane do ustawy o ochronie danych osobowych i składanych sprzeciwów od marketingu. Uczestnik logując się do indywidualnego konta, które oferuje mu Spółka po złożonym sprzeciwie, nie powinien dostawać żadnych informacji marketingowych. Spółka nie powinna kierować do niego żadnej formy marketingu. Natomiast jeżeli zakłada, że funkcjonalność "Polecane" ma polecać uczestnikowi interesujące programy oraz powiadamiać go o dedykowanych promocjach, to jest to bezsprzecznie forma reklamy. GIODO stwierdził, że aby ocenić czy działania Spółki są działalnością marketingową, a nie "narzędziem usprawniającym świadczenie usług", do której Spółka jest zarazem upoważniona i zobowiązana w ramach wykonywania umowy łączącej ją z klientem, należy odnieść się do pojęcia marketingu. Wyjaśnił, że w ramach marketingu można wyróżnić wiele zagadnień, takich jak: odnajdowanie i ocenianie możliwości rynkowych, prowadzących do zaspokojenia potrzeb określonych odbiorców (nabywców) oraz dokładne ustalenie tych potrzeb, opracowywanie w oparciu o tę wiedzę produktu oraz strategii jego dystrybucji czy przygotowanie odpowiedniej strategii ceny i promocji. Ponadto marketing usług jest systemem zintegrowanych działań firmy usługowej na rynku obejmującym identyfikację, kształtowanie, a następnie zaspakajanie potrzeb w sposób zapewniający satysfakcję klientom i realizację ich własnych celów ekonomicznych. Zatem kształtowanie wyższego poziomu usługi, która powinna spełniać więcej potrzeb, dostarczać więcej wartości klientowi, wpływa na budowanie przewagi konkurencyjnej takiej firmy i jest formą marketingu. W związku z powyższym organ uznał, że kwestionowana przez uczestnika działalność Spółki ma charakter marketingowy. Stwierdził, że w związku ze zgłoszonym sprzeciwem klienta cel w zakresie marketingu w ogóle nie powinien być realizowany przez Spółkę. GIODO dostrzegł również, że jakkolwiek aktualnie Spółka nie prezentuje uczestnikowi wiadomości marketingowych, to jednak w analizowanym materiale dowodowym pierwszej instancji postępowania administracyjnego komunikaty przesłane mu przez Spółkę za pośrednictwem serwisu internetowego [...] stanowiły informację marketingową (reklamową). Komunikaty te nie dotyczyły bowiem wykonywania umów wiążących go ze Spółką, a stanowiły informacje o nowych produktach i usługach. Sformułowania, którymi posłużyła się Spółka w informacji handlowych przesłanych uczestnikowi, należy uznać za sugestywne, zrozumiałe, zwięzłe, łatwe do zapamiętania, jak również odwołujące się do interesów ekonomicznych odbiorcy, przez odpowiadające tekstom reklamowym. Wskazuje to na niedostosowanie Spółki do przepisów ustawy o ochronie danych osobowych, a w szczególności art. 32 ust. 1 pkt 8 i ust. 3. W tych okolicznościach organ uznał, że zasadne jest nakazanie zaprzestania przetwarzania danych osobowych uczestnika w celach marketingowych, stosownie do treści przepisu art. 18 ust. 1 ustawy.

We wniesionej skardze Spółka zarzuciła przede wszystkim zaistnienie nieważności z przyczyny określonej w art. 156 § 1 pkt 4 kpa przez skierowanie decyzji do nieistniejącego adresata tj. Spółki Akcyjnej gdy tymczasem formą jej działalności jest Spółka z ograniczoną odpowiedzialnością, a także z przyczyny zawartej w art. 156 § 1 pkt 5 kpa przez brak precyzyjnego rozstrzygnięcia, jak również z przyczyny ujętej w art. 156 § 1 pkt 2 kpa przez uchybienie zasadzie dwuinstancyjności z uwagi na przeprowadzenie postępowania w odniesieniu do sprawy, która nie była rozpoznana i której nie dotyczyła decyzja z dnia [...] sierpnia 2015 r. Zakwestionowała ponadto w ramach zarzutów naruszenia art. 7 i 77 § 1 w zw. z art. 80 kpa ustalenie, że przetwarza dane osobowe uczestnika w celach marketingowych i zarzuciła uchybienie przepisom prawa materialnego tj. art. 32 ust. 1 pkt 8 w zw. z art. 32 ust. 3 w zw. z art. 23 ust. 1 pkt 5 i w zw. z art. 23 ust. 4 ustawy o ochronie danych osobowych.

Wojewódzki Sąd Administracyjny w Warszawie, oddalając skargę na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2018 r., poz. 1302), określanej dalej jako "P.p.s.a.", w uzasadnieniu swojego wyroku w pierwszej kolejności wyjaśnił, że zgodnie z art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych przetwarzanie danych osobowych jest dopuszczalne wtedy, gdy jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Stosownie zaś do treści art. 23 ust. 4 ustawy, za prawnie usprawiedliwiony cel, o którym mowa w ust. 1 pkt 5, uważa się w szczególności marketing bezpośredni własnych produktów lub usług administratora danych. Art. 32 ust. 1 ustawy stanowi natomiast, iż każdej osobie przysługuje prawo do kontroli przetwarzania danych, które jej dotyczą, zawartych w zbiorach danych, a zwłaszcza prawo do wniesienia sprzeciwu wobec przetwarzania jej danych w przypadkach wymienionych w art. 23 ust. 1 pkt 4 i 5, gdy administrator danych zamierza je przetwarzać w celach marketingowych lub wobec przekazywania jej danych osobowych innemu administratorowi danych (pkt 8). W myśl art. 32 ust. 3 ustawy o ochronie danych osobowych, w razie wniesienia sprzeciwu, o którym mowa w ust. 1 pkt 8, dalsze przetwarzanie kwestionowanych danych jest niedopuszczalne. Administrator danych może jednak pozostawić w zbiorze imię lub imiona i nazwisko osoby oraz numer PESEL lub adres wyłącznie w celu uniknięcia ponownego wykorzystania danych tej osoby w celach objętych sprzeciwem. Następnie Sąd pierwszej instancji stwierdził, że z materiału dowodowego zgromadzonego w niniejszej sprawie bezspornie wynika, że uczestnik złożył sprzeciw wobec przetwarzania jego danych w celach marketingowych, czemu administrator danych nie zaprzecza i co odnotował w swoich systemach informatycznych. Spór w sprawie sprowadza się zatem do oceny czy sprzeciw taki był skuteczny wobec działań operatora. Sąd ocenił, że sprzeciw ten nie był skuteczny. Nie zgodził się ze stanowiskiem skarżącej, że wobec tego, iż informacja wyświetlana dla użytkowników i uczestnika w serwisie [...] była w niezmienionej formie zarówno przed zalogowaniem do serwisu, jak i po, to ta okoliczność świadczy o nieprzetwarzaniu danych uczestnika. Uznał, że po zalogowaniu, czyli w indywidualnej dla uczestnika platformie nie powinien on otrzymywać żadnych treści marketingowych właśnie z uwagi na złożony sprzeciw. Zwrócił uwagę na rozbieżność pomiędzy regulaminem świadczenia usługi [...], a polityką prywatności Spółki. Stwierdził, że to w interesie Spółki leży takie skonfigurowanie oferowanych usług, aby były one dostosowane do ustawy o ochronie danych osobowych i składanych sprzeciwów od marketingu. Skoro Spółka prezentuje stanowisko, że proponowanie pewnych produktów uczestnikowi nie miało charakteru marketingowego, a odbyło się jedynie w celu realizacji wykonania zawartej umowy, dalsze reperkusje dotyczące świadczenia usług i dalszego trwania umowy, (w związku z faktem, iż marketing jest integralną częścią umowy), leżą w gestii usługodawcy, tj. Spółki. Zaaprobował też w pełni ustalenie organu, iż przedstawione skarżącemu informacje na temat filmu "Lato Muminków" spełniały kryteria reklamy. Jak wyjaśnił, komunikat ten zmierzał wprost do upowszechnienia informacji o danym produkcie i jego celem było zainteresowanie potencjalnego klienta zakupem odpowiedniego abonamentu, bowiem przed zalogowaniem do serwisu [...] oferowana była usługa [...], a konkretnie film o tytule "Lato Muminków", a następnie po zalogowaniu na konto uczestnika również oferowana była ta propozycja. Ponadto o fakcie, że jest to reklama świadczyła także informacja wyświetlona obok wskazanej propozycji filmowej o treści "musisz posiadać odpowiedni abonament aby oglądać tę pozycję. Zamów odpowiedni pakiet na stronie (...) w sekcji (...)", co jest jawną formą reklamy produktów Spółki. Jest to zatem, bez wątpienia, chęć promocji, kształtowanie popytu na dany towar za pomocą elementu zachęty. Zastosowany nośnik w celu wyartykułowania tej informacji jest tu bez znaczenia. Komunikat ten wyraźnie promował produkt skarżącej, zachęcając potencjalnego klienta do posiadania odpowiedniego abonamentu. Komunikat ten mieścił się zatem w pojęciu działalności marketingowej. Fakt umieszczenia tego komunikatu na stronie internetowej skarżącej nie zmienia w niczym oceny, iż komunikat ten jest reklamą, jednakże skierowaną do anonimowych odbiorców. Dlatego na tym etapie wyświetlania się reklamy nie można domagać się od Spółki respektowania sprzeciwu uczestnika wobec przetwarzania jego danych w celach marketingowych, choćby z tej prostej przyczyny, iż na tym etapie internauta nie jest dla Spółki znany, ale anonimowy, lecz dopiero po spersonalizowaniu internauty, co miało niewątpliwie miejsce, przy okazji korzystania przez uczestnika z internetowej usługi wynikającej z zawartej umowy o świadczenie usług. A zatem, jak wywiódł Sąd pierwszej instancji, dane osobowe uczestnika są przez Spółkę przetwarzane w celach marketingowych i winna mieć ona świadomość, że emituje swoją reklamę wprost do osoby, która wniosła sprzeciw na przetwarzanie jej danych osobowych w celach marketingowych, a zatem nadal, mimo wyraźnego sprzeciwu takiej osoby, łączy ją ze swoją reklamą, ze swoim materiałem marketingowym, czym narusza art. 32 ust. 3 ustawy o ochronie danych osobowych. Sąd podkreślił, że z chwilą ujawniania danych internauty (oczywiście w formie zalogowanej), zmienia się jego status odbiorcy reklamy: z anonimowego na znanego, spersonifikowanego klienta. Z chwilą takiej zmiany statusu internauty w przypadku, gdy Spółka ma do czynienia z klientem, który zastrzegł sprzeciw przetwarzania swoich danych osobowych w celach marketingowych, system informacyjny Spółki powinien natychmiast zaprzestać wyświetlania reklamy (art. 32 ust. 3 omawianej ustawy). Skoro tego nie czyni i nadal atakuje klienta swoim materiałem marketingowym wbrew jego woli, to tym samym narusza prawo. W niniejszej sprawie Spółka sama przyznała, iż nadal po zalogowaniu się uczestnika na stronie internetowej Spółki emitowała przedmiotową reklamę, mimo iż w systemie operacyjnym Spółki internauta ten był już osobą spersonalizowaną, a nie anonimową. Zaskarżoną decyzją Generalny Inspektor Ochrony Danych Osobowych nie zabrania skarżącej prowadzenia działalności marketingowej, umieszczania na swoich stronach reklam produktów tej Spółki. Organ zabrania jedynie takiej formy działań reklamowych, które naruszają prawo obywatela do ochrony jego danych osobowych w zakresie działań marketingowych, gdy obywatel ten korzysta z prawa przyznanego przepisem art. 32 ust. 1 pkt 8 ustawy o ochronie danych osobowych. Gdyby przyjąć za prawidłowe argumenty zawarte w wyjaśnieniach Spółki, to ochrona osoby korzystającej z instytucji przewidzianej w art. 32 ust. 1 pkt 8 ustawy o ochronie danych osobowych, byłaby iluzoryczna. Odpowiednie wyłączenie informacji marketingowej jest problemem natury technicznej z zakresu informatyki. W tych okolicznościach, jak stwierdził Sąd pierwszej instancji zaskarżona decyzja jest zasadna.

W skardze kasacyjnej od powyższego wyroku skarżąca zarzuciła:

I) naruszenie przepisów postępowania, które miało wpływ na wynik sprawy, tj.

i. art. 141 § 4 P.p.s.a. w zw. z art. 3 § 1 P.p.s.a. w zw. z art. 45 ust. 1 Konstytucji RP w zw. z art. 6 Konwencji o Ochronie Praw Człowieka i Podstawowych Wolności z dnia 4 listopada 1950 r. (Dz. U. 1993, Nr 61, poz. 284) poprzez brak ustosunkowania się przez Sąd I instancji w uzasadnieniu do wszystkich zarzutów podniesionych przez skarżącą, przez co nieznane są motywy wydania wyroku przez WSA, a w konsekwencji niemożliwa jest kontrola instancyjna,

ii. art. 145 § 1 pkt 2 P.p.s.a. w zw. z art. 107 § 1 kpa w zw. z art. 113 § 1 kpa w zw. z art. 156 § 1 pkt 4 kpa poprzez uznanie, że błędne wskazanie firmy skarżącej, a w konsekwencji skierowanie zaskarżonej decyzji do podmiotu, który nie jest stroną postępowania, stanowi oczywistą omyłkę pisarską nadającą się do sprostowania w trybie samokontroli, w sytuacji gdy powyższe uchybienie jest podstawą do stwierdzenia nieważności decyzji, stąd nie upoważniało GIODO do jej rektyfikacji,

iii. art. 145 § 1 pkt 2 P.p.s.a. w zw. z art. 156 § 1 pkt 4 kpa poprzez brak stwierdzenia nieważności, bądź uchylenia decyzji pomimo zaistnienia przesłanki do stwierdzenia jej nieważności z uwagi na skierowanie jej do podmiotu nie będącego stroną w sprawie,

iv. art. 145§ 1 pkt 2 P.p.s.a. w zw. z art. 107 § 1 kpa w zw. z art. 156 § 1 pkt 2 i 5 kpa poprzez brak stwierdzenia nieważności, bądź uchylenia decyzji w sytuacji gdy decyzja ta nie zawiera precyzyjnie sformułowanego rozstrzygnięcia, a w związku z tym należy uznać, że została wydana z rażącym naruszeniem prawa, przy czym jej niewykonalność ma charakter trwały,

v. art. 145 § 1 pkt 2 P.p.s.a. w zw. z art. 15 kpa w zw. z art. 136 kpa w zw. z art. 156 § 1 pkt 2 kpa poprzez brak stwierdzenia nieważności, bądź uchylenia decyzji w sytuacji gdy decyzja ta została wydana w odniesieniu do sprawy o innym zakresie przedmiotowym niż sprawa rozpoznawana przez GIODO w I instancji, zakończona decyzją z dnia [...] sierpnia 2015 r. o odmowie uwzględnienia skargi.

II naruszenie prawa materialnego tj. art. 7 pkt 2 ustawy o ochronie danych osobowych w zw. z art. 23 ust. 1 pkt 5 w zw. z art. 32 ust. 1 pkt 8 w zw. z art. 32 ust. 3 ustawy o ochronie danych osobowych w zw. z art. 145 § 1 pkt 1 lit. a P.p.s.a. poprzez nieuwzględnienie skargi przez WSA mimo naruszenia przepisów prawa materialnego przez GIODO, które to naruszenie polegało na błędnym przyjęciu, że skoro informacja wyświetlana uczestnikowi w serwisie [...] była w niezmiennej formie zarówno przed, jak i po zalogowaniu na konto Spółki, to należy ją traktować jako spersonalizowaną reklamę produktów własnych skarżącej.

W oparciu o tak skonstruowane podstawy skargi kasacyjnej skarżąca wniosła o uchylenie zaskarżonego wyroku i rozpoznanie skargi przez uchylenie decyzji z dnia [...] marca 2016 r., ewentualnie o uchylenie zaskarżonego wyroku i przekazanie sprawy do ponownego rozpoznania Sądowi pierwszej instancji.

W odpowiedzi na skargę kasacyjną organ wniósł o jej oddalenie.

Naczelny Sąd Administracyjny zważył, co następuje:

Podstawy skargi kasacyjnej nie są usprawiedliwione.

Wprawdzie rzeczywiście, jak wynika z analizy uzasadnienia zaskarżonego wyroku Sąd pierwszej instancji nie odniósł się do wszystkich zarzutów skargi w czym w istocie można by upatrywać naruszenia art. 141 § 4 P.p.s.a., tym niemniej bardzo rzeczowo, obszernie i szczegółowo zweryfikował te zarzuty, które w okolicznościach sprawy wymagały zbadania. Zarzuty skargi, zwłaszcza te w których skarżąca upatruje nieważności decyzji są bowiem tak oczywiście nieuzasadnione, iż być może z tego względu umknęły uwadze Sądu pierwszej instancji, który skoncentrował swoje wywody na istocie problemu, a mianowicie czy skarżąca pomimo zgłoszonego przez uczestnika sprzeciwu przetwarza w celach marketingowych jego dane osobowe czy nie. Wyjaśnić należy, że zarzut naruszenia przepisu prawa, który określa wymogi uzasadnienia może być skuteczny tylko wtedy, gdy naruszenie to mogło mieć wpływ na wynik sprawy po myśli art. 174 pkt 2 P.p.s.a., a zatem pominięcie przez wojewódzki sąd administracyjny części zarzutów skargi tylko wówczas może mieć hipotetyczny wpływ na wynik sprawy gdy są one zasadne. W rozpatrywanej sprawie pominięte przez Sąd pierwszej instancji zarzuty są chybione. Już samo zgłoszenie kwalifikowanych wadliwości materialnoprawnych z art. 156 § 1 kpa w ramach podstawy zastrzeżonej dla uchybień proceduralnych budzi wątpliwości, nie mówiąc już o kwestiach merytorycznych. Wyjaśnić zatem należy, że kwalifikowana wadliwość materialnoprawna decyzji, o której mowa w art. 156 § 1 pkt 4 kpa skutkująca jej nieważnością a polegająca na "skierowaniu decyzji do osoby nie będącej stroną w sprawie" ma miejsce wówczas gdy organ przeprowadzi postępowanie i wyda decyzję (przyzna lub ograniczy uprawnienie bądź nałoży obowiązek) w stosunku do podmiotu, który w danej sprawie administracyjnej nie ma przymiotu strony w rozumieniu art. 28 kpa. O wadliwości tej nie można natomiast mówić gdy tak jak w rozpoznawanej sprawie organ prowadzi postępowanie z udziałem właściwego podmiotu, jemu też doręcza wydane rozstrzygnięcie, a czyni błąd w oznaczeniu rodzaju spółki skarżącej, przy czym kilkukrotnie w uzasadnieniu rozstrzygnięcia przytacza właściwe określenie jako spółki z ograniczoną odpowiedzialnością, a także nie ma najmniejszych wątpliwości, że rozpatruje tą samą sprawę (na skutek wniosku o ponowne rozpatrzenie sprawy), załatwioną wcześniejszą decyzją w której prawidłowo oznaczył stronę. Oczywiście w każdym przypadku korzystania z art. 113 § 1 kpa organ musi wnikliwie rozważyć czy zakres sprostowania nie spowoduje zmiany merytorycznej rozstrzygnięcia polegającej na obciążeniu obowiązkiem lub przyznaniu uprawnienia innemu podmiotowi to jednak dyspozycji tego przepisu nie można wyłączyć w przypadku pomyłek popełnionych w nazwie adresata decyzji. W okolicznościach rozpatrywanej sprawy nie ma wątpliwości, że w ramach sprostowania organ nie zmienia merytorycznie strony a tylko koryguje omyłkę jaką popełnił oraz że jest to błąd widoczny "na pierwszy rzut oka" charakteryzujący oczywistą omyłkę w rozumieniu art. 113 § 1 kpa (por. wyrok NSA z 27 marca 1981 r. SA 592/81 przywołany w komentarzu B. Adamiak, J. Borkowski, KPA. Komentarz, wyd. 11, Warszawa 2011, s. 454).

Nie można też podzielić stanowiska skarżącej co do innych podstaw nieważnościowych z art. 156 § 1 kpa. Przypomnieć należy, że dwuinstancyjność oznacza dwukrotne rozpoznanie sprawy przez dwa różne organy. Odstępstwem od tej zasady dopuszczalnym ustawowo jest wniosek o ponowne rozpatrzenie sprawy, albowiem sprawę drugi raz rozpoznaje ten sam organ. Bez względu jednak czy chodzi o rozpatrzenie sprawy przez dwa różne organy czy przez ten sam na skutek wniosku o ponowne jej rozpatrzenie, to zarówno pierwsza decyzja, jak i kolejna decyzja muszą dotyczyć tej samej sprawy administracyjnej. Sprawę administracyjną kreuje zaś przepis prawa materialnego. Dlatego też w orzecznictwie wywiedziono, że do naruszenia zasady dwuinstancyjności dochodzi w przypadku gdy wydane w jednym postępowaniu decyzje przez organ pierwszej instancji i przez organ odwoławczy opierają się na różnych podstawach materialnych. Okoliczność, że organ odwoławczy uwzględnił nowe okoliczności faktyczne czy nowe twierdzenia strony co do stanu faktycznego w sprawie nie świadczą o naruszeniu zasady dwuinstancyjności. Wręcz przeciwnie, zasada ta bowiem oznacza, że organ odwoławczy ponownie rozpatruje sprawę w jej całokształcie i nie ogranicza się tylko do weryfikacji decyzji organu pierwszej instancji co wskazuje, że dopóki trwa postępowanie administracyjne czy to przed organem pierwszej instancji, czy przed organem odwoławczym strona ma prawo przytaczać nowe okoliczności faktyczne i zgłaszać nowe dowody. Postępowanie kończy się dopiero z momentem wydania decyzji ostatecznej. Rozpatrywana przez organ sprawa dotyczyła przetwarzania danych osobowych uczestnika przez skarżąca Spółkę, a nie przetwarzania ich na użytek jednej z wyemitowanych reklam, czy w określony sposób.

Chybiony jest też zarzut dotyczący nieprecyzyjności rozstrzygnięcia organu w którym skarżąca upatruje trwałej niewykonalności decyzji w rozumieniu art. 156 § 1 pkt 5. Nie wnikając w pojęcie "trwałej niewykonalności decyzji" należy stwierdzić, że sentencja zaskarżonej decyzji nie nasuwa jakichkolwiek wątpliwości co do treści nałożonego na skarżącą obowiązku. Obliguje ją bowiem do zaprzestania przetwarzania danych osobowych uczestnika w celach marketingowych co oznacza, że uczestnik nie powinien otrzymywać od skarżącej żadnych treści reklamowych w jakiejkolwiek formie.

Przechodząc zatem do kwestii merytorycznych to w tym zakresie należy w pełni podzielić i stanowisko GIODO i ocenę Sądu pierwszej instancji. Niezrozumiałe jest stanowisko Spółki, że wniesienie sprzeciwu wobec przetwarzania danych osobowych w celach marketingu nie skutkuje tym, że kontakt wnoszącego sprzeciw ze Spółką będzie wolny od przekazów reklamowych. Właśnie, w ocenie Naczelnego Sądu Administracyjnego, taki jest cel i skutek wniesienia sprzeciwu, aby Spółka nie wykorzystywała danych w celach marketingowych. Wskazany w skardze kasacyjnej przykład dotyczący konieczności usuwania reklam z salonów sprzedaży po zidentyfikowaniu klienta przez pracownika jest o tyle nietrafny, że w takim przypadku klient na to się godzi. Podobnie gdy anonimowo korzysta ze strony internetowej. Czynność zalogowania do usług oferowanych przez skarżącą następuje jednak przy użyciu danych osobowych z wykorzystaniem przypisanego tym danym hasła i loginu. Stąd prawidłowo Sąd pierwszej instancji stwierdził, że z tym momentem zmienia się status internauty z anonimowego na znanego spersonalizowanego klienta. Po takim zalogowaniu powinien on mieć dostęp tylko do spersonalizowanych informacji tj. takich, które będą uwzględniały jego sprzeciw wobec kierowania do niego reklam. W tych okolicznościach, nie budzi wątpliwości Naczelnego Sądu Administracyjnego, że jeżeli po zalogowaniu do indywidualnego konta (przypisanego konkretnej osobie) klient ma możliwość zapoznania się z reklamą to świadczy to o wykorzystywaniu jego danych osobowych w celach marketingowych, co w przypadku złożenia sprzeciwu nie powinno mieć miejsca. Żadnego znaczenia w sprawie nie ma okoliczność, że emitowana reklama zarówno przed zalogowaniem, jak i po zalogowaniu, miała taką samą treść. Z uwagi na sprzeciw nie powinna być emitowana na indywidualnym koncie uczestnika. Z tych względów nie można było też podzielić zarzutu naruszenia przepisów ustawy o ochronie danych osobowych wymienionych w zarzucie II (drugim).

Nie znajdując podstaw do uwzględnienia skargi kasacyjnej, także z przyczyn branych pod uwagę z urzędu (art. 183 § 2 P.p.s.a i art. 189 P.p.s.a.) orzeczono o jej oddaleniu na podstawie art. 184 P.p.s.a. Odstąpiono od zasądzenia zwrotu kosztów postępowania kasacyjnego na rzecz organu (art. 207 § 2 P.p.s.a.) z tego względu, że w rozprawie poprzedzającej ogłoszenie wyroku uczestniczył pełnomocnik nie legitymujący się pełnomocnictwem strony dopuszczony tymczasowo do udziału w postępowaniu. Uniemożliwiło to w chwili wyrokowania przesądzenie o zasadności przyznania kosztów

Wyrok NSA I OSK 1090/17