Centralna Baza Orzeczeń Sądów Administracyjnych

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodnicząca Sędzia WSA Ewa Kwiecińska, Sędziowie WSA Iwona Dąbrowska (sprawozdawca), Ewa Grochowska-Jung, , Protokolant referent stażysta Agnieszka Cudna, po rozpoznaniu na rozprawie w dniu 9 stycznia 2017 r. sprawy ze skargi U. Sp. z o.o. z siedzibą w W. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] marca 2016 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę

Decyzją z dnia [...] marca 2016 r., nr [...] Generalny Inspektor Ochrony Danych Osobowych, na podstawie art. 138 § 1 pkt 2 k.p.a. oraz art. 12 ust. 2 i art. 22 w związku z art. 23 ust. 1 i art. 32 ust. 1 pkt 8 i ust. 3 ustawy z dnia29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2015 r. poz. 2135 ze zm.), uchylił wcześniejszą decyzję z dnia [...] sierpnia 2015 r. [...] odmawiającą uwzględnienia wniosku (pkt 1) i nakazał U.. z siedzibą w W. zaprzestania przetwarzania danych osobowych M.P. w celach marketingowych.

Powyższe rozstrzygnięcie zostało wydane w następującym stanie faktycznym i prawnym sprawy:

Do Biura Generalnego Inspektora Ochrony Danych Osobowych wpłynęła skarga M.P., dotycząca przetwarzania jego danych osobowych przez U., z siedzibą w W., w celach marketingowych, w której wskazał, że w dniu 11 lutego 2014 r. U. przyjęło jego sprzeciw wobec przetwarzania danych osobowych w celach marketingowych oraz wobec przekazywania ich innemu administratorowi danych. Wbrew temu sprzeciwowi U. wysłała do niego, za pośrednictwem poczty wewnętrznej serwisu internetowego Moje U., do którego musi się zalogować, dwie wiadomości zawierające treści marketingowe.

Obie wiadomości ewidentnie stanowią marketing produktów własnych U. W związku z powyższym skarżący zażądał by GIODO uznał, że U.., wysyłając do niego, za pośrednictwem poczty wewnętrznej serwisu internetowego moje U., do którego musi się zalogować, dwóch wiadomości zawierających treści marketingowe, naruszył jego sprzeciw w sprawie wykorzystania danych osobowych dla celów marketingu produktów własnych U.; nakazał U. zaprzestania wykorzystywania jego danych osobowych dla celów marketingowych spółki; pouczył jakich środków prawnych może użyć, jeżeli uznaje, że naruszone zostało prawo do prywatności.

W toku postępowania wyjaśniającego GIODO ustalił, iż skarżący jest klientem Spółki, która przetwarza jego dane osobowe w zbiorze pod nazwą "Baza Danych Klientów U. z siedzibą w W.", zgłoszonym do rejestru prowadzonego przez GIODO. Skarżący skorzystał z przysługującego mu na mocy art. 32 ust. 1 pkt 8 ustawy o ochronie danych osobowych, prawa wniesienia sprzeciwu wobec przetwarzania jego danych osobowych w celach marketingowych oraz wobec przekazywania ich innemu podmiotowi (data wpływu sprzeciwu do Spółki: 11 lutego 2014 r.).

Sprzeciw został odnotowany przez Spółkę. Po dacie złożenia przez skarżącego sprzeciwu (tj. 11 lutego 2014 r.), skarżący otrzymał w zakładce "Wiadomości", skierowane na jego imię i nazwisko, komunikaty zatytułowane "Oferta dla Ciebie: [...] bez limitów" oraz "[...]". Ponadto, po zalogowaniu się do ww. serwisu, wyświetlał się baner reklamowy o treści "[...] (...)".

W wyjaśnieniach udzielonych GIODO Spółka zapewniła, że skarżący nie jest obejmowany żadnymi działaniami o charakterze marketingu bezpośredniego, U. nie wykorzystuje jego adresu poczty elektronicznej, ani numeru telefonu i nie wysyła materiałów papierowych. Spółka wyjaśniła również, że zgodnie z Regulaminem korzystania z Serwisu [...], podstawową funkcją oraz celem serwisu, jest umożliwienie użytkownikom, będącym abonentami Spółki, zarządzanie usługami U., w tym uzyskanie dostępu do dokumentów rozliczeniowych, a także otrzymywanie i zamawianie ofert na Usługi U.. Plansza o treści "[...]" jest publikowana na głównej stronie Serwisu jest funkcjonalnie związana z Serwisem i nie jest przesyłana do abonentów. Ponadto jej udostępnianie nie jest w żaden sposób powiązane z przetwarzaniem danych abonentów. Pozostałe informacje o usługach U., których dotyczy skarga, publikowane są przez Spółkę na stronach serwisu w zakładkach zatytułowanych »[...]« oraz »Wiadomości«, nie są one przesyłane za pośrednictwem poczty e-mail. Zapoznanie się z informacjami jest możliwe po wykonaniu określonych celowych czynności, prowadzących do uzyskania dostępu do materiałów zamieszczonych w odpowiednich zakładkach Serwisu przyporządkowanych do tytułów prezentowanych na stronie głównej.

Ponadto Spółka zapewniła, że jej pracownicy podjęli działania zmierzające do modyfikacji korporacyjnego systemu informatycznego tak, aby ukryć elementy uznawane przez skarżącego za niepożądane. Ponadto wdrożono proces, zapewniający, że M.P. nie będzie otrzymywał za pośrednictwem serwisu »[...]« wiadomości w tej zakładce.

Mając na uwadze powyższe ustalenia GIODO decyzją z dnia [...] sierpnia 2015 r., nr [...] na podstawie art. 104 § 1 k.p.a., art. 12 pkt 2, art. 22 w związku z art. 32 ust. 1 pkt 8 i ust. 3 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2014 r., poz. 1182 ze zm.), odmówił uwzględnienia skargi M.P., dotyczącej przetwarzania jego danych osobowych w celach marketingowych przez U.., z siedzibą w W..

W uzasadnieniu decyzji GIODO, powołując się na przepis art. 2 ust. 1, art. 23 ust. 1 i ust. 4 pkt 2 ustawy uznał, że Spółka nie przetwarza aktualnie danych osobowych skarżącego w celach marketingowych. Jednakże w ocenie organu działanie Spółki, polegające na skierowaniu do M.P. oferty marketingowej produktów własnych, mimo wyrażonego przez niego sprzeciwu wobec przetwarzania jego danych osobowych w celach marketingowych, niewątpliwie naruszyło przepisy ustawy o ochronie danych osobowych.

GIODO wskazał, że przesłane do skarżącego przez Spółkę komunikaty nie dotyczyły wykonywania umów wiążących skarżącego ze Spółką, a stanowiły informacje o całkiem nowych produktach i usługach. Sformułowania, którymi posłużyła się Spółka w przesłanych informacjach handlowych, należy uznać za sugestywne, zrozumiałe, zwięzłe, łatwe do zapamiętania, jak również odwołujące się do interesów ekonomicznych odbiorcy, przez co swoją charakterystyką odpowiadające tekstom reklamowym. GIODO stwierdził, że nie sposób uznać za neutralną informacji przekazanej przez Spółkę skarżącemu, gdyż przez posłużenie się sformułowaniami: "[...]", "[...]" oraz "[...] (...)" Spółka w sposób jednoznaczny nawoływała do podjęcia aktywności przez klienta. Wbrew twierdzeniom Spółki, iż w związku ze sprzeciwem złożonym przez Skarżącego nie przetwarza ona jego danych w celach marketingu bezpośredniego, celem przesłanych przez Spółkę komunikatów o ww. treści było zaprezentowanie mu określonych produktów i usług, podkreślenie ich atrakcyjności i nakłonienie go do działania polegającego na skorzystaniu z oferty prezentowanej przez Spółkę.

Kwestionowane komunikaty niewątpliwie miały charakter marketingowy. Spółka przesłała je do Skarżącego i w konsekwencji przetwarzała jego dane osobowe w celach marketingowych pomimo wniesienia przez niego w dniu 11 lutego 2014 r. skutecznego sprzeciwu w tym zakresie. A w myśl art. 32 ust. 3 ustawy o ochronie danych osobowych po otrzymaniu sprzeciwu Skarżącego Spółka powinna niezwłocznie zaprzestać przetwarzania jego danych w celach marketingowych niezależnie od formy technicznego sposobu reklamy.

Od tej decyzji skarżący złożył wniosek o ponowne rozpatrzenie sprawy podnosząc, że U. wprowadziła w błąd GIODO informując, że nie przetwarza jego danych osobowych w celach marketingowych. Dane te są przetwarzane

w celu marketingu dwóch usług płatnych [...] i U. na żądanie w Internetowej usłudze [...] wymagającej logowania: [...]. Skarżący ponadto stwierdził, że w polityce prywatności U.. nie ma definicji "przetwarzania Informacji o preferencjach oglądania", czy zasad "optymalizowania dedykowanych treści". Oznacza to, że Spółka na kanałach telewizyjnych podpowiada mu programy o tematyce podobnej do tych, które oglądał, sugeruje mu jaki produkt ma wybrać, np. [...], a na taką usługę nie wyrażał on zgody, ani nie podpisywał umowy.

Skarżący załączył do akt sprawy wydruki printscreenów stron internetowych, które wskazują, że po zalogowaniu na przedmiotową stronę widoczna jest oferta [...]. Podniósł również argument, że jeżeli w usłudze [...] można wyłączyć funkcję "polecane" poprzez oprogramowanie na spersonalizowanym dekoderze, to Spółka powinna również wyłączyć tę funkcję na [...]. Skarżący podał również, że jego dane osobowe są wykorzystywane przez Spółkę do marketingu produktów własnych - np. [...] - poprzez dekoder U. o unikatowym numerze (np. kanał [...], który jest nieuwidoczniony na liście dostępnych programów).

W toku postępowania M.P. przesłał do Biura GIODO wyjaśnienia wskazując, iż na stronie strefa klienta U. widnieją banery o treści "[...]" oraz "[...]". W jego ocenie jest to marketing Spółki i zachęca go do zmiany usług. Na dowód powyższego załączył printscreen ekranu wskazanej strony internetowej.

Pismem z dnia 17 września 2015 r. Spółka ustosunkowując się do wystąpienia podniosła, że kwestionowane przez skarżącego informacje dotyczące usług U. nie zostały przesłane za pośrednictwem poczty elektronicznej, a opublikowano je na stronie internetowej serwisu, którego podstawowym celem jest umożliwienie użytkownikom, będącym abonentami Spółki, zarządzania usługami U., w tym uzyskania dostępu do dokumentów rozliczeniowych, a także otrzymywanie i zamawianie ofert na usługi U..

Zapoznanie się z materiałami umieszczonymi w zakładkach Serwisu, przyporządkowanych do tytułów prezentowanych na stronie głównej: "Wiadomości" oraz "[...]", możliwe jest po wykonaniu przez użytkownika serwisu określonych, celowych czynności. Zatem nie jest to tożsame z wykorzystaniem w celu marketingowym poczty elektronicznej i przesłaniem na adres abonenta Spółki wiadomości, zawierającej ofertę skierowaną do indywidualnie oznaczonego abonenta.

Spółka potwierdziła, że w wyniku dokonanej konfiguracji serwisu elementy uznane przez skarżącego za niepożądane zostały ukryte, a zatem nie otrzymuje on za pośrednictwem serwisu informacji, dotyczących usług U. w zakładkach "Wiadomości" oraz "[...]". Nie jest mu również prezentowana plansza ze statycznym komunikatem o treści "[...] (...)", ani żadna inna plansza zawierająca informacje o usługach U., która mogłaby zostać uznana za mającą charakter marketingowy.

W związku z zarzutami podniesionymi przez skarżącego we wniosku o ponowne rozpatrzenie sprawy GIODO zwrócił się do Spółki o złożenie dodatkowych wyjaśnień.

Spółka wskazała, że przetwarza dane osobowe Skarżącego "zgodnie z art. 23 ustawy o ochronie danych osobowych oraz art. 164 ustawy z dnia 16 lipca 2004 roku Prawo telekomunikacyjne, w celu wykonania zobowiązań wynikających z umowy o świadczenie usług zawartej ze skarżącym w formie pisemnej w dniu [...] lutego 2012 roku ("Umowa Abonencka"), przy uwzględnieniu dokonanych telefonicznie zmian warunków Umowy. Według stanu na dzień sporządzenia niniejszego pisma, dane osobowe Skarżącego nie są przez Spółkę przetwarzane w celach marketingowych".

Spółka poinformowała, że skarżący w dniu 25 września 2015 r. za pośrednictwem serwisu internetowego "[...] wyraził zgodę na otrzymywanie informacji handlowych, w tym złożenie propozycji zawarcia nowej umowy za pomocą środków komunikacji elektronicznej. Następnie jednak zmienił oświadczenie i nie wyraził zgody na powyższe działania. Spółka wyjaśniła, że w zakładce "[...]" w Serwisie, przyciski, które zawierały treść "[...]", "[...]" nie są prezentowane Abonentowi od 23 września 2015 roku. Natomiast w serwisie [...] dostępnym na [...] Spółka w ogóle nie przetwarza danych osobowych abonentów w celach marketingowych.

Spółka wyjaśniła, że począwszy od dnia 10 kwietnia 2015 r. nie prezentuje skarżącemu w Serwisie zakładki "[...]". Informacje marketingowe w tej zakładce udostępnia wyłącznie tym abonentom, których dane mogą być wykorzystywane w celach marketingowych. Od dnia 10 kwietnia 2015 r. Skarżącemu nie jest prezentowana na stronie Serwisu plansza ze statycznym komunikatem o treści "[...]" ani żadna inna informacja o usługach Spółki, która mogłaby zostać uznana za mającą charakter marketingu bezpośredniego. Ponadto w dniu 9 września 2015 r. Spółka wdrożyła funkcjonalności systemowe, dzięki którym w zakładce "Wiadomości" w Serwisie, skarżącemu nie są prezentowane żadne wiadomości. Spółka wskazała, że w związku ze świadczeniem na rzecz skarżącego usług głównych: [...] oraz usług dodatkowych: [...], nie przetwarza danych osobowych skarżącego w celach marketingowych. Funkcjonalność "Polecane" jest integralną częścią usługi [...] obecnie nie może zostać wyłączona przez użytkownika korzystającego z usługi. "Narzędzie to nie wiąże się przetwarzaniem danych osobowych abonentów w celach marketingowych, a jedynie ma na celu usprawnienie świadczenia usługi. (...) w tym zakresie sprzeciw Abonenta wobec przetwarzania danych osobowych w celach marketingowych nie wiąże się z koniecznością dezaktywacji usługi". Funkcjonalność "Polecane" w ramach usługi [...] umożliwia użytkownikom usługi wybór materiałów wideo podobnych do już obejrzanych i jest funkcją zwiększającą użyteczność produktu, nie mającą charakteru oferty marketingowej. Narzędzie ma w założeniu ułatwiać abonentom U. wybór oglądanych treści z uwzględnieniem ich preferencji oglądania. Funkcja bazuje obecnie wyłącznie na kategoriach programów oglądanych przez użytkownika, tj. sugeruje podobne programy z tej samej kategorii tematycznej. Nie uwzględnia historii oglądania poszczególnych programów i nie jest wykorzystywana do promowania dodatkowo płatnych treści.

Spółka sprecyzowała ponadto, że "w ramach usługi [...] U. nie prowadzi sprzedaży produktów na wzór transakcyjnego [...], które polega na zamawianiu treści, filmów za dodatkową opłatą. Narzędzie do rekomendacji programów nie ma więc na celu zachęcenia użytkownika do nabywania produktów w serwisie, a jedynie usprawnienie działania usługi poprzez sugerowanie treści dostępnych w [...]. Dzięki temu abonenci mają znacznie szybszy dostęp do potencjalnie interesujących go programów. Zasadniczym celem Spółki jest więc zwiększenie atrakcyjności usługi dla abonentów".

Odnosząc się do zarzutów skarżącego stwierdziła, że powołuje się on na informację o programie "[...]", która jest prezentowana na stronie [...]. a więc dla każdego użytkownika odwiedzającego stronę, także nielogującego się w serwisie i niebędącego abonentem. Wyświetlenie informacji o wskazanej pozycji filmowej nie jest związane z przetwarzaniem danych osobowych abonentów Spółki, a tym bardziej funkcjonalnością "Polecane"". Do akt sprawy zostały załączone zrzuty z ekranu ze strony [...] z informacjami o materiałach w usłudze [.,..], które są jednakowe zarówno przed, jak i po zalogowaniu się do usługi [...]. Według Spółki powyższe świadczy o braku przetwarzania jakichkolwiek danych abonentów w celach marketingowych na stronie [...]. Nie jest to oferta handlowa rozumiana jako "niezamówiona informacja handlowa" zgodnie z ustawą z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną, (Dz. U. z 2013 r. poz. 1422). "W opisanych okolicznościach nie została bowiem spełniona druga przesłanka określona w art. 10 ust. 1 u.ś.u.d.e., a mianowicie to żeby odbiorca był oznaczony". Spółka wyjaśniła również, że skarżący korzysta z dekodera z nagrywarką [...] - model [...], a na tych urządzeniach nie jest dostępna funkcjonalność "Polecane", która została wdrożona jedynie na dekoderach [...]. Nie ma zatem konieczności wyłączania tej funkcji, gdyż przedmiotowa usługa nie jest dostępna na dekoderze Abonenta. Korzystanie z dekoderów [...] nie jest uzależnione od wyrażenia zgody na funkcjonalność Polecane, a abonenci mogą w każdym czasie wyłączyć funkcjonalność w ramach opcji Konfiguracja personalizowanych propozycji w Menu dekodera.

Spółka dodała, że nie dostosowuje swoich działań oraz nie kształtuje oferty usług w oparciu o wykorzystanie funkcji "Polecane". Wszystkim abonentom korzystającym z usługi telewizyjnej w ramach poszczególnych pakietów udostępniany jest ten sam zestaw programów (kanałów). Wszystkie pakiety zawierają również kanały promujące usługi Spółki. Natomiast kanały promujące usługi mają identyczną treść we wszystkich pakietach i dekoderach, i nie są w żaden sposób personalizowane. Ponadto usługa [...] nie jest w żaden sposób personalizowana. Wszyscy klienci Spółki korzystający z usługi otrzymują ten sam zestaw treści. Dodatkowo, informacja o zawartości Pakietu [...] jest dostępna dla wszystkich na stronie [...] bez konieczności logowania się do usługi.

Po przeprowadzeniu postępowania wyjaśniającego i po ponownym rozpatrzeniu materiału dowodowego GIODO decyzją wskazaną na wstępie z dnia [...] marca 2016 r., nr [...], uchylił wcześniejszą decyzję z dnia [...] sierpnia 2015 r. [...], odmawiającą uwzględnienia wniosku (pkt 1) i nakazał U. z siedzibą w W. zaprzestania przetwarzania danych osobowych M.P. w celach marketingowych.

W uzasadnieniu decyzji organ, analizując sprawę pod kątem ewentualnego przetwarzania danych osobowych skarżącego w celach marketingowych przez U.., w formie dwóch usług [...] i [...] oraz ukazujących się banerów o treści: "[...]" i [...]". GIODO uznał, że w art. 2 ust. 1 ustawy zapisany jest zamknięty katalog przesłanek, które dopuszczają przetwarzanie danych osobowych, są one równoprawne, każda ma charakter autonomiczny i niezależny, co oznacza, że spełnienie jednej z nich stanowi o zgodnym z prawem przetwarzaniu danych osobowych. Nie można więc przy braku zgody osoby, której dane dotyczą, uznać że administrator danych przetwarza jej dane osobowe bez podstawy prawnej, naruszając przepisy ustawy o ochronie danych osobowych, bo racjonalny ustawodawca dopuścił możliwość przetwarzania danych także na mocy innych przesłanek.

GIODO stwierdził, że w złożonych wyjaśnieniach Spółka wykazała, iż jest uprawniona do przetwarzania danych osobowych skarżącego z uwagi na dyspozycję art. 23 ust. 1 pkt 3 ustawy, tj. z uwagi na łączącą Spółkę i skarżącego umowę. Z zebranego materiału dowodowego wynika ponadto, iż Spółka w dniu 11 lutego 2014 r. odnotowała sprzeciw skarżącego, o którym mowa w art. 32 ust. 1 pkt 8 ustawy.

Wobec powyższego od dnia złożenia sprzeciwu przetwarzanie danych osobowych skarżącego przez Spółkę powinno odbywać się wyłącznie w celu realizacji umowy. Zakaz przetwarzania danych w celach marketingowych obejmuje również wykorzystywanie danych w działaniach, które nie wiążą się z bezpośrednim dotarciem do konsumenta.

GIODO wskazał, że Spółka w ramach umowy zawartej ze skarżącym oferuje mu różne usługi. W ramach tych usług skarżący ma możliwość zalogowania się do poczty wewnętrznej serwisku internetowego U.[...]. We wskazanej poczcie skarżący w zakładkach "Wiadomości" oraz "[...]" otrzymywał informacje o treści "[...]", które sugerowały skorzystanie z usługi [...], umożliwiającej uzyskanie nieograniczonego dostępu do ponad 1000 filmów i bajek, oraz informację "[...]" wraz z ofertą wspaniałej telewizji, szybkiego Internetu i wygodnego telefonu w ramach ultranowoczesnego dekoderu [...]. Ponadto ukazywał się skarżącemu baner o treści "[...]".

Powyższe działania Spółki, polegały więc na skierowaniu do Skarżącego oferty marketingowej produktów własnych, mimo wyrażonego przez niego sprzeciwu wobec przetwarzania jego danych osobowych w celach marketingowych, niewątpliwie naruszając tym przepisy ustawy o ochronie danych osobowych, w tym przepis art. 32 ust. 3 ustawy o ochronie danych osobowych.

Spółka w wyjaśnieniach wskazała jednakże, iż wprowadziła modyfikacje, które powodują, że dla konta skarżącego zakładka "[...]" wraz z całą zawartością jest ukrywana. Natomiast biorąc pod uwagę zakładkę " Wiadomości", która sama w sobie nie może być usunięta, wprowadzono modyfikację polegającą na tym, że skarżący nie będzie otrzymywał żadnych wiadomości w tej zakładce.

Zatem w powyższym zakresie zaprzestała przetwarzania danych osobowych skarżącego w celach marketingowych.

Odnosząc się natomiast do zarzutów M.P., iż pomimo wniesionego sprzeciwu Spółka nadal przetwarza jego dane osobowe w celach marketingowych w związku z usługami [...] i [...], GIODO zaznaczył, że analizuje przetwarzanie danych osobowych skarżącego przez Spółkę w zakresie marketingu, pomimo złożonego sprzeciwu niezależnie od ilości oferowanych przez Spółkę usług, czy produktów na rzecz skarżącego. Ustawa o ochronie danych osobowych wskazuje bowiem na bezwzględny obowiązek zaprzestania przetwarzania danych po wniesionym sprzeciwie - dalsze przetwarzanie kwestionowanych danych jest niedopuszczalne. Nie ma zatem znaczenia jakich produktów dotyczy zawarta umowa pomiędzy skarżącym i Spółką.

Na stronie internetowej [...] po zalogowaniu się przez skarżącego zgodnie z wymogami nałożonymi przez Spółkę w celu aktywacji produktu, pojawiają się skarżącemu propozycje z zakresu usługi [...], na którą nie wyrażał zgody, bowiem zgłosił do Spółki sprzeciw obejmujący wszelkie formy marketingu. Spółka, co prawda wskazuje w wyjaśnieniach, że zawartość pakietu [...] jest dostępna dla wszystkich na stronie internetowej bez konieczności logowania się do usługi, a sama usługa nie jest w żaden sposób personalizowana i wszyscy klienci Spółki korzystający z usługi otrzymują ten sam zestaw treści, jednakże wskazać należy, że skoro skarżący loguje się na indywidualne konto związane z konkretną usługą, to powinno być one dostosowane do jego indywidualnych potrzeb. Zatem jeżeli Spółka odnotowała sprzeciw skarżącego od przetwarzania jego danych osobowych w celach marketingowych, to konto Skarżącego, na które się on loguje również powinno ten sprzeciw odzwierciedlać.

Odnosząc się zatem do wyjaśnień Spółki, że w serwisie [...] dostępnym na [...] Spółka w ogóle nie przetwarza danych osobowych abonentów w celach marketingowych, GIODO uznał, że stan faktyczny jest inny. Z przekazanych przez skarżącego printscreenów wynika, że przed zalogowaniem do serwisu [...] oferowana jest usługa [...], a konkretnie film o tytule "[...]". Po zalogowaniu na konto skarżącemu również oferowana jest wskazana pozycja. O fakcie, iż przedmiotowa oferta jest reklamą wskazuje informacja, która wyświetla się obok wskazanej propozycji filmowej o treści: "musisz posiadać odpowiedni abonament aby oglądać te pozycję. Zamów odpowiedni pakiet na stronie U. w sekcji [...]".

GIODO zgodził się z zarzutem skarżącego, iż istnieje rozbieżność pomiędzy regulaminem świadczenia usługi [...], a polityką prywatności Spółki. Regulamin wskazuje, że Spółka przetwarza dane dotyczące korzystania przez abonenta z usługi na potrzeby funkcjonalności "Polecane" i służy ona optymalizacji dedykowanych treści dostarczanych w ramach wskazanej funkcjonalności "Polecane", natomiast polityka prywatności wskazuje, że funkcjonalność "Polecane" nie jest integralną częścią usługi [...] na urządzeniu stacjonarnym (komputer, laptop). Spółka w polityce prywatności wskazuje, że "dla użytkowników usług [...] oraz [...]: aby móc polecić Państwu dedykowane treści dzięki funkcjonalności "Polecane". W ramach usług [...] i [...] możemy wykorzystywać Informacje o preferencjach oglądania, aby polecić Państwu interesujące programy i powiadamiać Państwa o dedykowanych promocjach. Funkcjonalność "Polecane" może zostać aktywowana, jeśli udzielili Państwo zgody na przetwarzanie informacji o preferencjach oglądania". Ponadto w zakresie usługi [...] podczas pierwszego logowania na urządzeniu stacjonarnym (komputer, laptop) należy wyrazić zgodę na przetwarzanie informacji o preferencjach oglądania na potrzeby funkcjonalności "Polecane".

Oznacza to, że można zrezygnować z funkcjonalności "Polecane" i zaprzestanie przesyłania informacji marketingowych wyrażonych na podstawie preferencji Skarżącego. Dotyczy to również zaprzestania przesyłania informacji o promocjach, które należy traktować jako swoistą reklamę wskazanych produktów. Zatem w przypadku odnotowania sprzeciwu od marketingu, funkcja "Polecane" powinna być wyłączona i nie powinna być dostępna dla skarżącego. Spółka tak powinna skonfigurować oferowane usługi, aby były one dostosowane do ustawy o ochronie danych osobowych i składanych sprzeciwów od marketingu.

Skarżący logując się do indywidualnego konta, które oferuje mu Spółka po złożonym sprzeciwie, nie powinien dostawać żadnych informacji marketingowych. Spółka nie powinna kierować do Skarżącego żadnej formy marketingu. Natomiast jeżeli zakłada, że funkcjonalność "Polecane" ma polecać Skarżącemu interesujące programy oraz powiadamiać go o dedykowanych promocjach, to jest to bezsprzecznie forma reklamy.

GIODO stwierdził, że aby ocenić czy działania Spółki są działalnością marketingową, a nie "narzędziem usprawniającym świadczenie usług", do której Spółka jest zarazem upoważniona i zobowiązana w ramach wykonywania umowy łączącej ją z klientem, należy odnieść się do pojęcia marketingu. W ramach marketingu możemy wyróżnić wiele zagadnień, takich jak: odnajdowanie i ocenianie możliwości rynkowych, prowadzących do zaspokojenia potrzeb określonych odbiorców (nabywców) oraz dokładne ustalenie tych potrzeb, opracowywanie w oparciu o tę wiedzę produktu oraz strategii jego dystrybucji czy przygotowanie odpowiedniej strategii ceny i promocji. Ponadto marketing usług jest systemem zintegrowanych działań firmy usługowej na rynku obejmującym identyfikację, kształtowanie, a następnie zaspakajanie potrzeb w sposób zapewniający satysfakcję klientom i realizację ich własnych celów ekonomicznych. Zatem kształtowanie wyższego poziomu usługi, która powinna spełniać więcej potrzeb, dostarczać więcej wartości klientowi, wpływa na budowanie przewagi konkurencyjnej takiej firmy i jest formą marketingu.

W tym znaczeniu GIODO uważa, że kwestionowana przez skarżącego działalność Spółki ma charakter marketingowy. W związku ze zgłoszonym sprzeciwem skarżącego cel w zakresie marketingu w ogóle nie powinien być realizowany przez Spółkę. GIODO dostrzegł również, że jakkolwiek aktualnie Spółka nie prezentuje skarżącemu wiadomości marketingowych, to jednak w analizowanym materiale dowodowym pierwszej instancji postępowania administracyjnego komunikaty przesłane do skarżącego przez Spółkę za pośrednictwem serwisu internetowego [...] stanowiły informację marketingową (reklamową).

Przesłane do skarżącego przez Spółkę komunikaty nie dotyczyły wykonywania umów wiążących skarżącego ze Spółką, a stanowiły informacje o nowych produktach i usługach. Sformułowania, którymi posłużyła się Spółka w informacji handlowych przesłanych Skarżącemu, należy uznać za sugestywne, zrozumiałe, zwięzłe, łatwe do zapamiętania, jak również odwołujące się do interesów ekonomicznych odbiorcy, przez odpowiadające tekstom reklamowym.

Informacji przekazanej przez Spółkę skarżącemu organ nie uznał za neutralną, gdyż przez posłużenie się sformułowaniami: "[...]", "[...]" Spółka w sposób jednoznaczny nawoływała do podjęcia aktywności przez klienta. Wbrew twierdzeniom Spółki, iż w związku ze sprzeciwem złożonym przez skarżącego nie przetwarza ona jego danych w celach marketingu bezpośredniego, celem przesłanych przez Spółkę komunikatów o ww. treści było zaprezentowanie mu określonych produktów i usług, podkreślenie ich atrakcyjności i nakłonienie go do działania polegającego na skorzystaniu z oferty prezentowanej przez Spółkę. Wskazuje to na niedostosowanie Spółki do przepisów ustawy o ochronie danych osobowych, a w szczególności art. 32 ust. 1 pkt 8 i ust. 3 i mimo wyrażonego sprzeciwu nadal oferuje mu produkty marketingowe.

Organ uznał, że zasadne jest zatem nakazanie zaprzestania przetwarzania danych osobowych skarżącego przez Spółkę, w celach marketingowych, stosownie do treści przepisu art. 18 ust. 1 ustawy. Biorąc powyższe pod uwagę, Spółka winna niezwłocznie usunąć uchybienia w procesie przetwarzania danych osobowych skarżącego, stosownie do nakazu sformułowanego w niniejszej decyzji.

Na powyższą decyzję U. z siedzibą w W. wniosła skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie domagając się jej uchylenia. Wydanemu rozstrzygnięciu zarzuciła naruszenie:

1. art. 107 § 1 k.p.a. poprzez skierowanie decyzji do podmiotu, który nie był stroną postępowania, tj. do nieistniejącej spółki pod firmą: U., co spowodowało nieważność decyzji (art. 156 § 1 pkt 4 k.p.a.),

2. art. 107 § 1 k.p.a. poprzez brak precyzyjnego sformułowania rozstrzygnięcia zawartego w decyzji, co spowodowało nieważność decyzji (art. 156 § 1 pkt 2 in fine art. 156 § 1 pkt 5 k.p.a.),

3. art. 15 k.p.a. w zw. z art. 136 k.p.a. poprzez przeprowadzenie postępowania dowodowego, rozpoznanie i wydanie decyzji w odniesieniu do sprawy, która nie była rozpoznawana i której nie dotyczyła decyzja wydana w ramach postępowania w I instancji, co stanowi rażące naruszenie prawa skutkujące nieważnością decyzji (art. 156 § 1 pkt 2 in fine k.p.a.),

4. art. 7 k.p.a. w zw. z art. 77 § 1 k.p.a. w zw. z art. 80 k.p.a. oraz art. 7 pkt 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych ("u.o.d.o.") poprzez nie wyjaśnienie wszystkich okoliczności sprawy i błędną ocenę zebranego w sprawie materiału dowodowego w zakresie funkcjonalności usługi [...] dostępnej na [...] oraz w zakresie sposobu wyświetlania informacji o programach dostępnych w ramach usługi [...], i w konsekwencji przyjęcie, że wyświetlanie w serwisie [...] informacji na temat programów dostępnych dla abonentów usług [...], która to informacja jest w niezmienionej formie wyświetlana zarówno przed jak po zalogowaniu się do serwisu, stanowi przetwarzanie danych osobowych uczestnika,

5. art. 32 ust. 1 pkt 8 u.o.d.o. w zw. z art. 32 ust. 3 zdanie pierwsze u.o.d.o. w zw. z art. 23 ust. 1 pkt pkt 5 u.o.d.o. w zw. z art. 23 ust. 4 u.o.d.o. poprzez przyjęcie, że informacje o treściach dostępnych w ramach usługi [...] stanowią reklamę, a w konsekwencji należy je traktować jako bezpośredni marketing usług skarżącej,

6. art. 7 k.p.a. w zw. z art. 77 § 1 k.p.a. w zw. z art. 80 k.p.a. w zw. z art. 23 ust. 1 pkt 1 i 3 k.p.a. poprzez niedokonanie ustaleń co do akceptacji przez uczestnika warunków świadczenia usługi [...] oraz wyrażenia zgody na przetwarzanie danych na cele funkcjonalności "Polecane" i w konsekwencji przyjęcie, że brak jest przesłanek legalizujących przetwarzanie jego danych, wynikających z uprzedniej akceptacji przez uczestnika warunków regulaminu Usługi i polityki prywatności U.,

7. art. 32 ust. 1 pkt 8 u.o.d.o. w zw. z art. 23 ust. 4 pkt 1 u.o.d.o. przez nieprawidłowe przyjęcie, że u.o.d.o. nie rozróżnia form marketingu usług w postaci marketingu i marketingu bezpośredniego administratora danych, pomimo wyraźnego brzmienia przepisów ustawy w tym zakresie.

W uzasadnieniu skargi strona rozwinęła poszczególne zarzuty. Skarżąca podniosła, że decyzja została skierowana do podmiotu niebędącego stroną w sprawie, bowiem zarówno w jej sentencji, jak i w uzasadnieniu, adresatem uczyniono spółkę U. spółka akcyjna, mimo że stroną postępowania była spółka pod firmą: U. spółka z ograniczoną odpowiedzialnością. Zdaniem skarżącej, decyzja nakazująca zaprzestania przetwarzania danych osobowych M.P., nie wskazuje jakie konkretne postaci przetwarzania danych osobowych uczestnika winny być zaniechane przez U.. Stanowi powtórzenie normy z art. 32 ust. 3 zdanie pierwsze u.o.d.o. - bez jakiegokolwiek odniesienia do stanu faktycznego sprawy. Decyzja nie nadaje się do wykonania, a przedmiotowa wada winna stanowić podstawę do stwierdzenia jej nieważności (art. 145 § 1 pkt 2 p.p.s.a. w zw. z art. 156 § 1 pkt 2 in fine k.p.a. oraz art. 156 § 1 pkt 5 k.p.a.).

Zdaniem skarżącej w sprawie doszło również do naruszenia zasady dwuinstancyjności postępowania (art. 136 k.p.a.), bowiem w postępowaniu odwoławczym GIODO rozpatrzył sprawę inną niż ta, która była rozpatrywana w pierwszej instancji. GIODO wydał decyzję reformatoryjną zgodnie z art. 138 § 1 pkt 2 k.p.a. na podstawie ustaleń dokonanych w oparciu o stan faktyczny i dowody przedstawione przez uczestnika dopiero w ramach postępowania odwoławczego, ponadto przedmiotem ponownego rozpoznania sprawy przez GIODO były funkcjonalności usług [...], w tym zintegrowanej z nią usługi [...], które w ogóle nie były objęte przedmiotem postępowania prowadzonego w I instancji. Sprawa nie dotyczyła bowiem ogólnej oceny zgodności z prawem przetwarzania danych osobowych uczestnika przez skarżącą - niezależnie od oferowanych przez skarżącą usług, czy produktów oraz ich ilości ale konkretnej postaci przetwarzania danych osobowych uczestnika.

Skarżąca zarzuciła również naruszenie art. 7 k.p.a. w zw. z art 77 § 1 k.p.a. w zw. art 80 k.p.a. oraz art 7pkt 2 u.o.d.o. Wskazała, że organ dokonał ustaleń faktycznych w zakresie zasad korzystania z usługi [...] oraz jej funkcjonalności z pominięciem istotnej części postanowień Regulaminu świadczenia usługi [...] oraz Polityki Prywatności, powołanych we wniosku o ponowne rozpatrzenie sprawy. Usługa [...] objęta przedmiotem postępowania wyjaśniającego w ramach II instancji stanowi usługę świadczoną drogą elektroniczną. Zasady korzystania z Usługi zostały określone w "Regulaminie świadczenia usługi [...]" oraz "Polityce Prywatności U.". Biorąc pod uwagę brzmienie przywołanych postanowień regulaminu, GIODO powinien ustalić, iż jedną z podstawowych funkcjonalności usługi jest dostarczanie audiowizualnych usług medialnych na żądanie w wyniku zamówienia takich usług. W konsekwencji z pola widzenia organu umknęło, że nie wszystkie treści, o których informacje prezentowane są w ramach usługi [...], dostępne są dla każdego użytkownika Usługi, bez względu na posiadany pakiet.

Skarżąca zarzuciła również, że GIODO dokonał błędnej kwalifikacji prawnej w odniesieniu do wyświetlania określonych informacji zalogowanym użytkownikom serwisu [...]. Nie zgodziła się, że przetwarzaniem danych osobowych uczestnika było wyświetlanie przez Skarżącą w serwisie [...] informacji na temat programów dostępnych dla abonentów usług [...], która to informacja była w niezmienionej formie wyświetlana zarówno przed jak po zalogowaniu się do serwisu. Zauważył, że GIOO w ramach postępowania nie dokonał jakichkolwiek ustaleń, które dane osobowe uczestnika były przetwarzane przez U. oraz w jaki sposób były przetwarzane w procesie wyświetlania w serwisie [...] informacji na temat programów dostępnych w ramach tej usługi. Jest to o tyle istotne, że sam GIODO ustalił, że informacje te wyświetlały się zarówno przed, jak i po zalogowaniu do serwisu. Fakt logowania nie miał zatem żadnego wpływu na wyświetlanie się informacji.

Organ w sposób nieprawidłowy ocenił wyjaśnienia skarżącej dotyczące informacji o programie "[...]", wyświetlanej na stronie internetowej [...] w ramach banera obrotowego zarówno przed, jak i po zalogowaniu. W wyjaśnieniach z dnia 30 listopada 2015 r. w pkt ad 5) skarżąca wyraźnie zaprzeczyła jakoby prezentowanie informacji o treściach dostępnych w ramach [...] było związane z jakimkolwiek przetwarzaniem danych osobowych, w tym danych o oglądalności i funkcjonalnością "Polecane". Zatem kwestionowany przez uczestnika baner z informacją o programie dostępnym w usłudze nie wiązał się z jakimkolwiek profilowaniem, czy też personalizowaniem usługi. W tym zakresie organ prawidłowo ustalił, że ta sama treść przedstawia się uczestnikowi zarówno przed, jak i po zalogowaniu. Prezentowanie opisu filmu dostępnego w ramach Usługi [...] zintegrowanej z [...], nie jest oparte na personalizowaniu, czy też profilowaniu uczestnika. Nie może więc być mowy o jakichkolwiek działaniach skarżącej dotyczących danych uczestnika, a w konsekwencji o ich przetwarzania w jakimkolwiek celu. Okoliczność, że dane informacje wyświetlały się uczestnikowi także po zalogowaniu, nie świadczy w żaden sposób, o tym, że jest to efekt przetwarzania jego danych osobowych. GIODO nie uwzględnił bowiem całkowicie oczywistego faktu, że na stronie internetowej obejmującej serwis [...], po zalogowaniu mogą znajdować się zarówno informacje, których wyświetlenie jest niezależnego od tego, czy i który użytkownik się zalogował do serwisu, jak i takie, które są bezpośrednim efektem zalogowania i mają charakter spersonalizowany. Przy ocenie wyjaśnień skarżącej dotyczących braku przetwarzania danych osobowych w celu prezentacji opisów dostępnych treści, organ ograniczył się jedynie do stwierdzenia, że jest zgoła odmiennie. Nie sposób uznać, że organ wyjaśnił przy tym na czym polega przetwarzanie danych uczestnika po zalogowaniu do usługi, skoro skarżąca nie wykonuje żadnych działań związanych z przetwarzaniem danych na potrzeby opisu. GIODO nie wskazał również dlaczego odmówił wiarygodności wyjaśnieniom skarżącej w tym zakresie.

Skarżąca uznała, że z materiału dowodowego zebranego w toku postępowania administracyjnego nie wynika, aby procesie wyświetlania informacji o programach dostępnych w ramach usługi [...] Skarżąca dokonywała jakichkolwiek operacji na danych osobowych uczestnika, bowiem z żadnego przepisu u.o.d.o. nie wynika, aby strona internetowa, której elementem jest serwis wymagający logowania przez użytkowników, nie zawierała jakichkolwiek materiałów o charakterze marketingowym - jeżeli użytkownik zgłosił sprzeciw na podstawie art. 32 ust. 1 pkt 8 u.o.d.o. Nie ma np. przeszkód, aby tylko część strony internetowej obejmowała informacje zindywidualizowane, będące wynikiem przetwarzania danych osobowych użytkownika, pozostała zaś część - informacje niespersonalizowane, w tym o charakterze marketingowym, nie będące efektem przetwarzania danych osobowych.

Skarżąca zakwestionowała stanowisko organu, że skoro loguje się on na indywidualne konto związane z konkretną usługą, to powinno być ono dostosowane do jego indywidualnych potrzeb. Wskazywałoby to bowiem, iż w sytuacji, gdy klient, który zgłosi sprzeciw z art. 32 ust. 1 pkt 8 u.o.d.o., pojawi się w salonie sprzedaży U., to po jego zidentyfikowaniu przez pracownika U. należy z danego salonu usunąć wszystkie materiały marketingowe U. znajdujące się w zasięgu wzroku klienta.

Skarżąca uważa również, że doszło też do naruszenia art 32 ust. 1 pkt 8 u.o.d.o. w zw. z art. 32 ust. 3 zdanie pierwsze u.o.d.o. w zw. z art 23 ust. 1 pkt 5 u.o.d.o. w zw. z art 23 ust 4 u.o.d.o. Zarzuciła organowi, że ten w sposób nieuzasadniony ustalił, iż prezentowanie zapowiedzi filmów dostępnych w ramach usługi, stanowi w istocie reklamę. Zdaniem skarżącej, w opisie informacji o filmie "[...]" brak jest elementów zachęcających użytkownika do bezpośredniej subskrypcji danego serwisu. Przedstawione informacje nie zawierają charakterystycznych elementów wartościujących lub zachęcających do kupna towaru lub usługi. Informacja jest elementem związanym z dostarczaniem audiowizualnych usług na żądanie. Adresowana jest do użytkowników usługi [...] zintegrowanej z Usługą [...]. Jest oznaczona jako treść dostępna w ramach [...], a ewentualna informacja o możliwości subskrypcji prezentowana jest dopiero po naciśnięciu danej pozycji przez użytkownika. Informacja o subskrypcji usługi [...] nie pojawia się uczestnikowi automatycznie. Jest integralnie związana z usługą [...]. Dopiero po przejściu do informacji o programie (oznaczonej w sposób wyraźny jako propozycja w ramach pakietu [...]) uczestnik może sam zdecydować, czy zamierza skorzystać z możliwości subskrypcji przez naciśnięcie przycisku Subskrypcje. W tych okolicznościach organ błędnie ustalił, że U. przedstawia ofertę marketingową dla klientów [...], skoro prezentacja dostępnych treści odbywa się na potrzeby jej użytkowników, a wiec w celu świadczenia usługi.

Skarżąca wskazała również, że organ błędnie ustalił, iż uczestnik nie wyraził zgody na otrzymywanie propozycji filmów do obejrzenia z zakresu [...]. Logując się po raz pierwszy do usługi uczestnik zaakceptował warunki Regulaminu korzystania z usługi oraz Politykę Prywatności. W tekście do zaakceptowania przed pierwszym zalogowaniem uczestnik został jedocześnie poproszony o wyrażenie zgody na przetwarzanie Informacji o preferencjach oglądania na potrzeby funkcjonalności "Polecane". Na skutek braku szczegółowego wyjaśnienia zasad dostępu do usługi oraz czynności jakie należy podjąć w celu zalogowania, organ błędnie ustalił, iż w niniejszej sprawie nie występują przesłanki legalizujące przetwarzanie danych osobowych uczestnika w celach marketingowych.

Skarżąca uznała również, że organ dokonał błędnej wykładni w art. 23 ust. 4 pkt 1 u.o.d.o. w zw. z art. 32 ust. 1 pkt 8 u.o.d.o., przez niewłaściwe przyjęcie, że ustawa nie rozróżnia marketingu od marketingu bezpośredniego. Z treści powołanych przepisów wynika, że prawo do wniesienia sprzeciwu dotyczy przetwarzania danych na cele marketingu bezpośredniego, a nie jakiegokolwiek marketingu. Tymczasem GIODO jest niekonsekwentny w zakresie rozróżniania definicji marketingu od marketingu bezpośredniego. W uzasadnieniu podjętej decyzji organ wskazuje bowiem, iż skarżąca powinna rozróżniać sprzeciw od marketingu w świetle u.o.d.o. od niezamówionej informacji handlowej na podstawie ustawy o świadczeniu usług drogą elektroniczną. Z twierdzenia GIODO wynika więc, że działania marketingowe mogą przyjmować różne formy, a organ dostrzega te różnice, jednocześnie je negując. Przyjmując szeroką definicję marketingu bezpośredniego, i uznając reklamę masową za formę marketingu bezpośredniego, charakterystycznym elementem takiej formy promocji jest wprowadzenie kanału komunikacji zwrotnej, aby nabywcy bezpośrednio komunikowali się przedsiębiorstwem, co ma na celu uruchomienie działań bezpośrednich. Tymczasem w przypadku usługi [...], użytkownikowi usługi prezentowana jest jedynie informacja o audiowizualnych usługach medialnych na żądanie (filmach, serialach, programach muzycznych i dokumentalnych) dostępnych w ramach usługi.

W odpowiedzi na skargę GIODO wniósł o jej oddalenie.

Odnosząc się zaś do zarzutów GIODO potwierdził, że w decyzji z dnia [...] marca 2016 r. popełnił oczywistą omyłkę, posługując się nieprawidłowo nazwą Spółki, jednak sprostował to. Ze znajdującej się w aktach skargi skarżącego z dnia 1 marca 2015 r. oraz wniosku o ponowne rozpatrzenie sprawy z dnia 25 sierpnia 2015 r. jednoznacznie wynika, iż skarżący wskazał U. Sp. z o.o., jako podmiot, na który się skarży, i z udziałem którego zresztą prowadzone było niniejsze postępowanie. W Krajowym Rejestrze Sądowym nie ma zarejestrowanej spółki "U. S.A.", zatem nie mogła ona być stroną w powyższym postępowaniu administracyjnym. Ponadto do Spółki w trakcie postępowania wyjaśniającego II instancji była wysyłana korespondencja, do której Spółka się ustosunkowała, zatem to ona była stroną, a nie inny podmiot. Wysyłka decyzji z dnia [...] marca 2016 r. została skierowana do Spółki, na adres Spółki i przez Spółkę została odebrana. Wobec powyższego decyzja nie podlega stwierdzeniu nieważności. Sprostowanie nie wykroczyło poza granice określone w przepisie art. 113 § 1 k.p.a., który dopuszcza zastosowanie tego trybu dla usunięcia błędu w zakresie prawidłowego określenia strony postępowania. Nie ma znaczenia jakich produktów dotyczy zawarta umowa pomiędzy skarżącym i Spółką.

Za niezasadny spółka uznała zarzut dotyczący braku tożsamości sprawy rozpatrywanej przez Generalnego Inspektora w I i II instancji. Wskazała, że postępowanie dotyczy przetwarzania danych osobowych skarżącego w celach marketingowych, a nie konkretnych produktów, jakie posiada on w związku z podpisanymi umowami ze Spółką.

GIODO uznał również, że spółka nie została pozbawiona prawa do dokładnego wyjaśnienia sprawy oraz służącego jej prawa odwołania. Pismem z dnia 5 listopada 2015 r. Spółka została poinformowana o złożonym przez skarżącego wniosku o ponowne rozpatrzenie sprawy, a następnie w związku z tym poproszona o złożenie dodatkowych wyjaśnień. Na każdym etapie postępowania miała prawo wglądu w akta sprawy zgodnie z art. 10 k.p.a.

GIODO nie zgodził się ze stwierdzeniem Spółki, iż nie przetwarza danych osobowych skarżącego, w związku z marketingiem ze względu na to, że informacja wyświetlana dla użytkowników i skarżącego w serwisie [...] była w niezmiennej formie zarówno przed zalogowaniem, jak i po zalogowaniu się do serwisu. GIODO uznał, że po zalogowaniu, czyli indywidualnej dla skarżącego platformie ukazują się informacje, które należy traktować jako reklamę produktów własnych Spółki. Nie powinno mieć to miejsca ze względu na złożony wcześniej przez skarżącego sprzeciw od marketingu. W strefie klienta oddzielonej od reszty użytkowników, bowiem dostępnej tylko po zalogowaniu i nazwanej "[...]" nie powinno być żadnych form marketingu.

GIODO nie zgodził się ze stanowiskiem, iż w serwisie [...] dostępnym na [...] Spółka w ogóle nie przetwarza danych osobowych abonentów w celach marketingowych. Nie jest bowiem prawdą, że przedstawiane skarżącemu informacje na temat filmu "[...]" zawierały jedynie podstawowy opis oraz wyraźne oznaczenie, że dany film dostępny w usłudze [...] i przez co powyższe nie spełnia według Spółki kryteriów reklamy. Istnieje rozbieżność pomiędzy regulaminem świadczenia usługi [...], a polityką prywatności Spółki. W interesie Spółki leży takie skonfigurowanie oferowanych usług, aby były one dostosowane do ustawy o ochronie danych osobowych i składanych sprzeciwów od marketingu.

Skoro Spółka prezentuje stanowisko, że proponowanie pewnych produktów skarżącemu nie miało charakteru marketingowego, a odbyło się jedynie w celu realizacji wykonania zawartej umowy, dalsze reperkusje dotyczące świadczenia usług i dalszego trwanie umowy, (w związku z faktem, iż marketing jest integralną częścią umowy), leżą w gestii usługodawcy, tj. Spółki.

W związku z powyższym skoro przetwarzanie danych osobowych skarżącego przez Spółkę w celach marketingowych ma nadal miejsce pomimo złożonego przez skarżącego sprzeciwu, to tym samym proces przetwarzania tych danych przez Spółkę nie jest legalny. Spółka powinna zaprzestać przetwarzania danych osobowych skarżącego w celach marketingowych zgodnie ze sformułowanym nakazem.

Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje.

Stosownie do treści art. 13 § 2 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2016 r. poz. 718 ze zm.), do rozpoznania sprawy właściwy jest wojewódzki sąd administracyjny, na którego obszarze właściwości ma siedzibę organ administracji publicznej, którego działalność została zaskarżona, czyli w tej sprawie – Wojewódzki Sąd Administracyjny w Warszawie.

Natomiast zgodnie z treścią art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (tekst jedn. Dz. U. z 2016 r. poz. 1066), sąd administracyjny sprawuje wymiar sprawiedliwości poprzez kontrolę pod względem zgodności z prawem zaskarżonej decyzji administracyjnej i to z przepisami obowiązującymi w dacie jej wydania. Tak więc Sąd ten nie orzeka o świadczeniu, ale jedynie bada czy zaskarżona decyzja administracyjna jest zgodna z obowiązującym prawem.

W ocenie Wojewódzkiego Sądu Administracyjnego w Warszawie skarga nie zasługuje na uwzględnienie.

Właściwość Generalnego Inspektora Ochrony Danych Osobowych do rozpatrywania niniejszej sprawy wynika z treści art. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2014 r., poz. 1182 ze zm.). Właściwości tej nie wyłącza ustawa z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną (Dz. U. z 2013 r., poz. 1422), co wynika z art. 16 ust. 1 tej ustawy.

Natomiast zgodnie z art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych przetwarzanie takich danych jest dopuszczalne wtedy, gdy jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą.

Stosownie do treści art. 23 ust. 4 ustawy, za prawnie usprawiedliwiony cel, o którym mowa w ust. 1 pkt 5, uważa się w szczególności marketing bezpośredni własnych produktów lub usług administratora danych. Art. 32 ust. 1 ustawy stanowi natomiast, iż każdej osobie przysługuje prawo do kontroli przetwarzania danych, które jej dotyczą, zawartych w zbiorach danych, a zwłaszcza prawo do wniesienia sprzeciwu wobec przetwarzania jej danych w przypadkach wymienionych w art. 23 ust. 1 pkt 4 i 5, gdy administrator danych zamierza je przetwarzać w celach marketingowych lub wobec przekazywania jej danych osobowych innemu administratorowi danych (pkt 8).

W myśl art. 32 ust. 3 ustawy o ochronie danych osobowych, w razie wniesienia sprzeciwu, o którym mowa w ust. 1 pkt 8, dalsze przetwarzanie kwestionowanych danych jest niedopuszczalne. Administrator danych może jednak pozostawić w zbiorze imię lub imiona i nazwisko osoby oraz numer PESEL lub adres wyłącznie w celu uniknięcia ponownego wykorzystania danych tej osoby w celach objętych sprzeciwem.

Z materiału dowodowego zgromadzonego w niniejszej sprawie bezspornie wynika, że M.P. złożył sprzeciw wobec przetwarzania jego danych w celach marketingowych, czemu administrator danych, to jest U. Sp. z o.o. nie zaprzecza i co odnotował w swoich systemach informatycznych.

Spór w niniejszej sprawie sprowadza się zatem do oceny czy sprzeciw taki był skuteczny wobec działań operatora, zamieszczenia na stronie.

Otóż zdaniem Sądu rozpoznającego niniejszą sprawę, sprzeciw ten nie był skuteczny. Stwierdzić należy, że nie można zgodzić się ze stanowiskiem Spółki, iż nie przetwarza ona danych osobowych skarżącego, w związku z marketingiem ze względu na to, że informacja wyświetlana dla użytkowników i skarżącego w serwisie [...] była w niezmiennej formie zarówno przed zalogowaniem, jak i po zalogowaniu się do serwisu. Wskazać bowiem należy, że po zalogowaniu, czyli w indywidualnej dla skarżącego platformie ukazują się informacje, które należy traktować jako reklamę produktów własnych Spółki.

Takie działanie nie powinno mieć miejsca ze względu na złożony wcześniej przez skarżącego sprzeciw od marketingu. W strefie bowiem klienta, oddzielonej od reszty użytkowników, dostępnej tylko po zalogowaniu i nazwanej "[...]" nie powinno być żadnych form marketingu.

Sąd podziela stanowisko GIODO, który nie zgodził się ze stanowiskiem, iż w serwisie [...] dostępnym na [...] Spółka w ogóle nie przetwarza danych osobowych abonentów w celach marketingowych. Nie jest bowiem prawdą, że przedstawiane skarżącemu informacje na temat filmu "[...]" zawierały jedynie podstawowy opis oraz wyraźne oznaczenie, że dany film dostępny w usłudze [...]

i przez co powyższe nie spełnia według Spółki kryteriów reklamy.

Ponadto wskazać należy, że istnieje rozbieżność pomiędzy regulaminem świadczenia usługi [...], a polityką prywatności Spółki. W interesie Spółki leży takie skonfigurowanie oferowanych usług, aby były one dostosowane do ustawy o ochronie danych osobowych i składanych sprzeciwów od marketingu.

Skoro Spółka prezentuje stanowisko, że proponowanie pewnych produktów skarżącemu nie miało charakteru marketingowego, a odbyło się jedynie w celu realizacji wykonania zawartej umowy, dalsze reperkusje dotyczące świadczenia usług i dalszego trwania umowy, (w związku z faktem, iż marketing jest integralną częścią umowy), leżą w gestii usługodawcy, tj. Spółki.

W związku z powyższym skoro przetwarzanie danych osobowych skarżącego przez Spółkę w celach marketingowych ma nadal miejsce pomimo złożonego przez skarżącego sprzeciwu, to tym samym proces przetwarzania tych danych przez Spółkę nie jest legalny. Spółka powinna zaprzestać przetwarzania danych osobowych skarżącego w celach marketingowych zgodnie ze sformułowanym nakazem.

Wojewódzki Sąd Administracyjny w Warszawie w całości aprobuje ustalenie organu, iż przedstawiane skarżącemu informacje na temat filmu "[...]" jest reklamą.

Zawiera bowiem wszystkie cechy charakterystyczne dla reklamy, co dobitnie wykazał Generalny Inspektor Ochrony Danych Osobowych w uzasadnieniu zaskarżonej decyzji. Przedmiotowy komunikat wprost zmierza do upowszechnienia informacji o danym produkcie i jego celem jest zainteresowanie potencjalnego klienta zakupem odpowiedniego abonamentu, bowiem przed zalogowaniem do serwisu [...] oferowana jest usługa [...], a konkretnie film o tytule "[...]". Następnie zaś po zalogowaniu na konto M.P. również oferowana jest wskazana pozycja. Ponadto, o fakcie że jest to reklama wskazuje informacja, która wyświetla się obok wskazanej propozycji filmowej o treści "musisz posiadać odpowiedni abonament aby oglądać tę pozycję. Zamów odpowiedni pakiet na stronie U. w sekcji [...]", co jest jawną formą reklamy produktów Spółki.

Jest to zatem, bez wątpienia, chęć promocji, kształtowanie popytu na dany towar za pomocą elementu zachęty. Zastosowany nośnik w celu wyartykułowania tej informacji jest tu bez znaczenia. Komunikat ten wyraźnie promuje produkt skarżącej U.Spółka z o.o., zachęcając potencjalnego klienta do posiadania odpowiedniego abonamentu. Komunikat ten mieści się zatem w pojęciu działalności marketingowej.

Fakt umieszczenia tego komunikatu na stronie internetowej skarżącej nie zmienia w niczym oceny, iż komunikat ten jest reklamą, jednakże skierowaną do anonimowych odbiorców. Dlatego na tym etapie wyświetlania się reklamy nie można domagać się od Spółki respektowania sprzeciwu M.P. wobec przetwarzania jego danych w celach marketingowych, choćby z tej prostej przyczyny, iż na tym etapie internauta nie jest dla Spółki znany, ale anonimowy. Dopiero gdy następuje spersonalizowanie internauty, co miało niewątpliwie miejsce, przy okazji korzystania przez M.P. z internetowej usługi wynikającej z zawartej umowy o świadczenie usług zawartej ze skarżącym w formie pisemnej w dniu [...] lutego 2012 roku ("Umowa Abonencka"), przy uwzględnieniu dokonanych telefonicznie zmian warunków Umowy.

A zatem, dane osobowe skarżącego są przez Spółkę przetwarzane w celach marketingowych i winna mieć ona świadomość, że emituje swoją reklamę wprost do osoby, która wniosła sprzeciw na przetwarzanie jej danych osobowych w celach marketingowych, a zatem nadal, mimo wyraźnego sprzeciwu takiej osoby, łączy ją ze swoją reklamą, ze swoim materiałem marketingowym, czym narusza art. 32 ust. 3 ustawy o ochronie danych osobowych.

Podkreślić należy, że z chwilą ujawniania danych internauty (oczywiście w formie zalogowanej), zmienia się jego status odbiorcy reklamy: z anonimowego na znanego, spersonifikowanego klienta. Z chwilą takiej zmiany statusu internauty w przypadku, gdy Spółka ma do czynienia z klientem, który zastrzegł sprzeciw przetwarzania swoich danych osobowych w celach marketingowych, system informacyjny Spółki powinien natychmiast zaprzestać wyświetlania reklamy (art. 32 ust. 3 omawianej ustawy). Skoro tego nie czyni, tym samym nadal atakuje klienta swoim materiałem marketingowym, wbrew jego woli, narusza prawo.

W niniejszej sprawie Spółka przyznała, iż nadal po zalogowaniu się M.P. na stronie internetowej Spółki emitowała przedmiotową reklamę, mimo iż w systemie operacyjnym Spółki internauta ten był już osobą spersonalizowaną, a nie anonimową. Zaskarżoną decyzją Generalny Inspektor Ochrony Danych Osobowych nie zabrania skarżącej prowadzenia działalności marketingowej, umieszczania na swoich stronach reklam produktów tej Spółki.

Organ zabrania jedynie takiej formy działań reklamowych, które naruszają prawo obywatela do ochrony jego danych osobowych w zakresie działań marketingowych, gdy obywatel ten korzysta z prawa przyznanego przepisem art. 32 ust. 1 pkt 8 ustawy o ochronie danych osobowych.

Gdyby przyjąć za prawidłowe argumenty zawarte w wyjaśnieniach Spółki, to ochrona osoby korzystającej z instytucji przewidzianej w art. 32 ust. 1 pkt 8 ustawy o ochronie danych osobowych, byłaby iluzoryczna. Odpowiednie wyłączenie informacji marketingowej jest problemem natury technicznej z zakresu informatyki.

Podjęta w niniejszej sprawie decyzja Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] marca 2016 r. jest z powyższych względów zasadna.

Wojewódzki Sąd Administracyjny w Warszawie nie dopatrzył się naruszenia prawa przy

podejmowaniu tych decyzji, które mogłoby skutkować ich uchyleniem bądź stwierdzeniem nieważności.

Mając powyższe na uwadze, na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. Nr 153, poz. 1270 ze zm.) Wojewódzki Sąd Administracyjny w Warszawie orzekł, jak w sentencji wyroku.