Centralna Baza Orzeczeń Sądów Administracyjnych

Naczelny Sąd Administracyjny w składzie: Przewodniczący: Sędzia NSA Małgorzata Jaśkowska Sędziowie: Sędzia NSA Aleksandra Łaskarzewska Sędzia del. WSA Mirosław Wincenciak (spr.) Protokolant starszy inspektor sądowy Joanna Drapczyńska po rozpoznaniu w dniu 22 marca 2018 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej Banku [...] w W. S. A. z siedzibą w W. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 27 stycznia 2016 r. sygn. akt II SA/Wa 980/15 w sprawie ze skargi Banku [...] w W. S. A. z siedzibą w W. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] kwietnia 2015 r. nr [...] w przedmiocie przetwarzania danych osobowych 1. oddala skargę kasacyjną 2. zasądza od Banku [...] w W. S. A. z siedzibą w W. na rzecz Generalnego Inspektora Ochrony Danych Osobowych kwotę 360 złotych (trzysta sześćdziesiąt złotych) tytułem zwrotu kosztów postępowania kasacyjnego

Wyrokiem z dnia 27 stycznia 2016 r. (sygn. akt II SA/Wa 980/15) Wojewódzki Sąd Administracyjny w Warszawie oddalił skargę Banku [...] S.A. w W. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] kwietnia 2015 r., nr [...] w przedmiocie przetwarzania danych osobowych.

Powyższe rozstrzygnięcie zostało podjęte na tle następującego stanu faktycznego i prawnego sprawy.

W toku kontroli Banku [...] S.A. w W. ustalono, że za pomocą formularzy kontaktowych zamieszczonych na stronie internetowej, w tym formularzy dla osób zainteresowanych pożyczką gotówkową przetwarzane są dane osobowe bez prawidłowo wyrażonej zgody potencjalnych klientów.

W związku z powyższym Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia [...] stycznia 2015 r. na podstawie art. 104 § 1 K.p.a., art. 12 pkt 2, art. 18 ust. 1 pkt 1 i 6 oraz art. 22 w związku z art. 7 pkt 5, art. 23 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jedn. Dz. U. z 2014 ., poz. 1182 ze zm., zwanej dalej "ustawą") nakazał Bankowi [...] S.A. usunięcie uchybień w procesie przetwarzania danych osobowych poprzez:

1. usunięcie danych osobowych pozyskanych za pomocą formularzy kontaktowych – Oferta oraz Oferta – przedsiębiorca (zamieszczonych na stronie internetowej Banku o adresie: [...]) a dotyczących osób, które odwołały zgodę na przetwarzanie tych danych przez Bank, w terminie 60 dni od dnia, w którym decyzja stanie się ostateczna,

2. sformułowanie klauzuli zgody na przetwarzanie przez Bank danych osobowych pozyskanych za pomocą formularzy kontaktowych znajdujących się na stronie internetowej Banku o adresie: [...], tj. formularza Oferta, formularza Oferta – Przedsiębiorca oraz formularza przeznaczonego dla osób zainteresowanych pożyczką gotówkową oferowaną przez Bank, w celu przedstawiania informacji o ofercie Banku, w sposób odrębny od oświadczenia dotyczącego zamówienia otrzymania za pośrednictwem środków komunikacji elektronicznej informacji o statusie złożonego wniosku, w terminie 30 dni od dnia, w którym niniejsza decyzja stanie się ostateczna.

Zdaniem organu, zgoda, jaką należy wyrazić w formularzach kontaktowych Banku, nie ma charakteru samodzielnego, a sposób w jaki Bank ją pozyskuje nie odpowiada definicji zgody na przetwarzanie danych osobowych, o których mowa w art. 7 pkt 5 ustawy. Organ wyjaśnił również, że dane osób, które odwołały zgodę na przetwarzanie danych osobowych w celu przedstawienia im oferty, nie są usuwane z systemu informatycznego, lecz są przechowywane przez Bank przez okres 10 lat (w celu porównania danych z zakupionych baz). Taka argumentacja nie stanowi natomiast prawnie usprawiedliwionego celu, o którym mowa w art. 23 ust. 1 pkt 5 ustawy. Bank zobowiązany jest bowiem poinformować o tym fakcie osobę, której dane przetwarza, by ta mogła wnieść stosowny sprzeciw.

Decyzją z dnia [...] kwietnia 2015 r. Generalny Inspektor Ochrony Danych Osobowych na podstawie art. 138 § 1 pkt 1 i pkt 2 K.p.a., utrzymał w mocy zaskarżoną decyzję w zakresie nakazu określonego w pkt 1.

Skargę na powyższą decyzję złożył Bank [...] S.A. w W., zarzucając jej naruszenie art. 7, art. 8, art. 9, art. 77, art. 80 K.p.a. oraz art. 23 ust. 1 pkt 5 w zw. z art. 7 pkt 5, art. 23 ust. 1 pkt 2 w zw. z art. 7 pkt 5 oraz art. 23 ust. 1 pkt 2 w zw. z art. 1 ust. 2 ustawy.

W odpowiedzi na skargę organ wniósł o jej oddalenie.

Rozpoznając powyższą skargę, Wojewódzki Sąd Administracyjny w Warszawie, analizując przepis art. 23 ust. 1 pkt 1 ustawy w związku z Dyrektywą 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Dz.U.UE.L.95.281.31 ze zm.), Konwencji Rady Europy z dnia 26 stycznia 1981 r. w sprawie ochrony jednostek w zakresie automatycznego przetwarzania danych osobowych, podkreślił, że proces przetwarzania danych osobowych wymaga, aby dokonywany był on za zgodą osoby, której dane dotyczą lub było konieczne dla zawarcia lub realizacji umowy wiążącej w sprawie osoby, której dane dotyczą, bądź miało charakter wymogu prawnego lub też służyło realizacji zadania wymaganego w interesie publicznym lub wykonywaniu władzy publicznej, bądź też w uzasadnionym interesie osoby fizycznej lub prawnej, pod warunkiem, że interesy lub prawa i wolności osoby, której dane dotyczą, nie mają charakteru nadrzędnego. Te wartości ochrony danych osobowych przyjęte w prawie wspólnotowym muszą być uwzględnione przy wykładni przepisów prawa. Art. 23 ust. 1 pkt 1 ustawy opiera dopuszczalność przetwarzania danych na wystąpieniu przesłanki, że osoba, której dane dotyczą, wyrazi na to zgodę. Zgoda ta jest oświadczeniem woli osoby na przetwarzanie jej danych i musi być wyrażona w takiej formie, aby można to wiązać z oświadczeniem woli określonej treści. Jeżeli zgoda ma być wyrażona na wymaganym formularzu, to musi on zawierać dokładne pouczenie o skutkach wyrażenia zgody, a ogólnikowe pouczenie przez odesłanie do ustawy o ochronie danych osobowych, takim pouczeniem nie jest. Nie określa terminu, od kiedy Bank przetwarza dane osobowe i z jaką czynnością związane jest przetwarzanie danych. W przypadku, gdy jednostka oświadcza o braku zgody na przetwarzanie danych, nie jest dopuszczalne ograniczenie się do formalistycznego stwierdzenia tego faktu, bez oceny i wykładni przepisów ustanawiających ochronę danych osobowych. Art. 51 ust. 4 Konstytucji Rzeczypospolitej Polskiej stanowi, że każdy ma prawo do żądania sprostowania oraz usunięcia informacji nieprawdziwych, niepełnych lub zebranych w sposób sprzeczny z ustawą. To konstytucyjne prawo jednostki musi być uwzględnione przy ocenie przepisów prawa, dotyczących wyrażenia zgody na przetwarzanie danych osobowych.

Wskazując na powyższe, Sąd pierwszej instancji stwierdził, że organ trafnie uznał, iż zgoda, jaką należy wyrazić w formularzu kontaktowym Banku, nie ma charakteru samodzielnego, a sposób w jaki Bank ją pozyskuje nie odpowiada definicji zgody na przetwarzanie danych osobowych, o których mowa w art. 7 pkt 5 ustawy. Z tych też przyczyn, Wojewódzki Sąd Administracyjny w Warszawie na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (tekst jedn. Dz. U. z 2012 r., poz. 270 ze zm. - zwanej dalej P.p.s.a.) orzekł jak na wstępie.

Skargę kasacyjną od powyższego wyroku złożył Bank [...] w W. S.A., zaskarżając go w całości i zarzucając mu:

- naruszenie prawa materialnego, tj.

1. art. 23 ust. 1 pkt 5 ustawy, poprzez jego błędną wykładnię skutkującą niezastosowaniem i nieuzasadnionym przyjęciu przez Wojewódzki Sąd Administracyjny w Warszawie, że z uwagi na brak zgody na przetwarzanie danych osobowych w celach marketingowych (poprzez jej późniejsze odwołanie) niedopuszczalnym było przetwarzanie przez skarżącą danych osobowych tej osoby w oparciu o art. 23 ust. 1 pkt 5 ustawy w celu zapobiegnięcia ewentualnym roszczeniom, skargom i w celu ochrony uzasadnionych interesów Banku,

- podczas gdy w rzeczywistości przetwarzanie przez skarżącą danych osobowych po odwołaniu zgody (w ograniczonym zakresie) jest niezbędne dla umożliwienia wykazania, że dane osobowe były przetwarzane na podstawie zgody, a podmiot tę zgodę następnie wycofał, co pozwala na ochronę uzasadnionych interesów Banku, gdyby podmiot danych wszczął postępowanie karne, administracyjne lub cywilne wobec Banku, jego pracowników lub przedstawicieli (dot. działań przed odwołaniem zgody), a więc niezbędne dla zrealizowania wynikającego z art. 23 ust. 1 pkt 5 ustawy prawnie usprawiedliwionego celu administratora danych, a przetwarzanie to, w takim wyłącznie celu po odwołaniu zgody, nie narusza praw i wolności osób, których dane dotyczą;

2. art. 23 ust. 1 pkt 5 ustawy poprzez jego błędną wykładnię skutkującą niezastosowaniem i nieuzasadnionym przyjęciem przez Sąd I instancji, że przetwarzanie danych osobowych przez skarżącą odbywa się wyłącznie na podstawie art. 23 ust. 1 pkt 1 ustawy, czyli jedynie na podstawie zgody osoby, której dane dotyczą,

- podczas gdy w rzeczywistości prawidłowa wykładnia i właściwe zastosowanie przepisów winno doprowadzić ww. Sąd do przyjęcia, iż skarżąca przetwarza dane osobowe pozyskane za pomocą formularzy kontaktowych - Oferta oraz Oferta - Przedsiębiorca na dwóch niezależnych od siebie podstawach prawnych tj. art. 23 ust. 1 pkt 1 oraz art. 23 ust. 1 pkt 5 ustawy, a tym samym odwołanie zgody, które skarżąca, kierując się chęcią możliwie najszerszej ochrony prywatności podmiotów danych, traktowała również jako sprzeciw wobec przetwarzania danych osobowych dla celów marketingowych, skutkuje wyłączne ograniczeniem zakresu danych osobowych, które skarżąca może dalej przetwarzać na podstawie art. 32 ust. 1 pkt 8 ustawy w celu uniknięcia ponownego przetwarzania danych osobowych dla celów marketingowych,

- naruszenie przepisów postępowania, które miało istotny wpływ na wynik sprawy, tj.:

- art. 141 § 4 P.p.s.a. w stopniu mającym istotny wpływ na rozstrzygnięcie sprawy, poprzez sporządzenie uzasadnienia wyroku niezawierającego odniesienia do podniesionych w skardze przez skarżącą zarzutów naruszenia przepisów postępowania i zarzutów naruszenia prawa materialnego (w uzasadnieniu pominięto wszystkie zarzuty skarżącej), ponieważ uzasadnienie nie zawiera elementów wymaganych w art. 141 § 4 P.p.s.a.,

- art. 135 i art. 145 § 1 pkt 1 lit. a oraz lit. c P.p.s.a. w zw. z art. 3 P.p.s.a. poprzez nieuchylenie zaskarżonych decyzji GIODO, w sytuacji gdy decyzje te wydane zostały z mającym istotny wpływ na wynik sprawy naruszeniem przepisów prawa materialnego oraz przepisów postępowania.

Wskazując na powyższe zarzuty, skarżący wniósł o uchylenie skarżonego wyroku w całości i przekazanie sprawy do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie oraz o rozpoznanie sprawy na rozprawie i zasądzenie na jego rzecz zwrotów kosztów postępowania według norm przepisanych.

W uzasadnieniu skargi kasacyjnej zawarto argumenty na poparcie ww. zarzutów.

Odpowiedź na skargę kasacyjną wraz z wnioskiem o jej oddalenie złożył Generalny Inspektor Ochrony Danych Osobowych.

Naczelny Sąd Administracyjny zważył, co następuje:

W świetle art. 174 P.p.s.a. skargę kasacyjną można oprzeć na następujących podstawach:

1) naruszeniu prawa materialnego przez błędną jego wykładnię lub niewłaściwe zastosowanie,

2) naruszeniu przepisów postępowania, jeżeli uchybienie to mogło mieć istotny wpływ na wynik sprawy.

Naczelny Sąd Administracyjny jest związany podstawami skargi kasacyjnej, ponieważ w świetle art 183 § 1 P.p.s.a. rozpoznaje sprawę w granicach skargi kasacyjnej, biorąc z urzędu pod rozwagę jedynie nieważność postępowania. Jeżeli zatem nie wystąpiły przesłanki nieważności postępowania wymienione w art. 183 § 2 P.p.s.a., to Sąd związany jest granicami skargi kasacyjnej. Oznacza to, że Sąd nie jest uprawniony do samodzielnego dokonywania konkretyzacji zarzutów skargi kasacyjnej, a upoważniony jest do oceny zaskarżonego orzeczenia wyłącznie w granicach przedstawionych we wniesionej skardze kasacyjnej.

Skarga kasacyjna nie zawiera usprawiedliwionych podstaw.

Z uwagi na powołanie się na obie podstawy kasacyjne, w pierwszej kolejności należało odnieść się do zarzutu najdalej idącego, naruszenia art. 141 § 4 P.p.s.a. Zdaniem Naczelnego Sądu Administracyjnego w sprawie nie doszło do naruszenia art. 141 § 4 P.p.s.a., które uzasadniałoby uchylenie zaskarżonego wyroku. Przepis ten określa elementy uzasadnienia wyroku, które powinno zawierać zwięzłe przedstawienie stanu sprawy, zarzutów podniesionych w skardze, stanowisk pozostałych stron, podstawę prawną rozstrzygnięcia oraz jej wyjaśnienie. Analiza uzasadnienia zaskarżonego wyroku pozwala na przyjęcie, że objęło ono wszystkie niezbędne wymogi, o których mowa w powołanym przepisie, a przedstawiony w nim wywód prawny w toku kontroli instancyjnej pozwala na ocenę, jakie znaczenie Sąd I instancji nadał zastosowanym normom prawnym i co stanowiło podstawę prawną rozstrzygnięcia zawartego w sentencji. Zauważyć należy, iż za pomocą zarzutu naruszenia tego przepisu nie można skutecznie zwalczać prawidłowości przyjętego przez Sąd meriti stanu faktycznego, czy też stanowiska co do wykładni bądź zastosowania prawa materialnego, a w konsekwencji trafności rozstrzygnięcia. Przepis ten nie może z zasady stanowić samodzielniej podstawy kasacyjnej, bowiem zgodnie z treścią uchwały Naczelnego Sądu Administracyjnego z dnia 15 lutego 2010 r., sygn. akt II FPS 8/09 (ONSAiWSA z 2010 r., nr 3, poz. 39) może on być samodzielną podstawą kasacyjną tylko wówczas, gdy motywy wyroku nie zawierają stanowiska co do stanu faktycznego przyjętego za podstawę zaskarżonego rozstrzygnięcia. Takiego braku nie można wytknąć omawianym motywom. W judykaturze przyjmuje się, że orzeczenie sądu pierwszej instancji uchyla się spod kontroli instancyjnej w przypadku braku wymaganych prawem części (np. nieprzedstawienia stanu sprawy, czy też niewskazania lub niewyjaśnienia podstawy prawnej rozstrzygnięcia), a także wówczas, gdy będą one co prawda obecne, niemniej jednak obejmować będą treści podane w sposób niejasny, czy też nielogiczny, uniemożliwiający jednoznaczne ustalenie stanu faktycznego i prawnego, stanowiącego podstawę kontrolowanego wyroku sądu (por. wyroki Naczelnego Sądu Administracyjnego z dnia 15 czerwca 2010 r., sygn. II OSK 986/09; z dnia 12 marca 2015 r., sygn. I OSK 2338/13, publik. CBOSA). Przy czym tylko wówczas, gdy konstrukcja uzasadnienia nie pozwala na odtworzenie toku myślowego sądu I instancji, można mówić o skutkującym ewentualnym wzruszeniem orzeczenia uchybieniu art. 141 § 4 P.p.s.a. w sposób mogący mieć istotny wpływ na wynik sprawy (por. m.in. wyrok Naczelnego Sądu Administracyjnego z 22 marca 2013 r., sygn. akt II OSK 2259/11, LEX nr 1299453). W tej sprawie takich okoliczności nie dostrzeżono. Prezentowane w tych ramach wytyki odnoszą się raczej do aspektu materialnoprawnego wyroku, a uwypuklona lakoniczność uzasadnienia nie została dostatecznie przekonująco wykazana. Wyrok nie uchyla się więc spod kontroli instancyjnej, a zatem z tego powodu nie podlegał wzruszeniu.

Chybione okazały się także zarzuty naruszenia art. 23 ust. 1 pkt 5 ustawy. Przed przystąpieniem do ich oceny przypomnieć należy treść obowiązku zawartego w decyzji organu, który jest przedmiotem sporu. Zgodnie z decyzją organu z dnia [...] stycznia 2015 r. nakazano Bankowi [...] w W. S.A. usunięcie danych osobowych pozyskanych za pomocą formularzy kontaktowych "Oferta" oraz "Oferta-Przedsiębiorca", zamieszczonych na stronie internetowej Banku, a dotyczących osób, które odwołały zgodę na przetwarzanie tych danych przez Bank.

Przepis art. 23 ust. 1 pkt 5 ustawy dopuszcza przetwarzanie danych gdy jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Dokonując wykładni tego przepisu należy zatem zwrócić uwagę, że stosowanie ww. przepisu wymaga nie tylko wykazania że chodzi o realizowanie prawnie usprawiedliwionego celu, ale także dokonanie oceny czy dla realizacji tego celu niezbędne jest przekazanie danych, pomimo braku zgody osoby której dane te dotyczą.

Ocena ta sprowadza się do wyważania racji i interesów "właściciela" danych, objętego ochroną prawną, a z drugiej administratora danych, również chronionego przez prawo w zakresie w jakim może realizować prawnie usprawiedliwione cele i uprawnienia. Przy istniejącym konflikcie interesów stosowanie art. 23 ust. 1 pkt 5 ustawy wymaga uwzględnienia rangi tych interesów w okolicznościach konkretnej sprawy. Oznacza to, że w przypadku przetwarzania danych osobowych przez administratora danych, bez zgody osoby, której te dane dotyczą, w pierwszej kolejności konieczne jest ustalenie i rozważenie, czy spełniona jest ustawowa przesłanka szczegółowa uzasadniająca przetwarzanie danych bez zgody osoby, której dane dotyczą. W sytuacji gdy przesłanka ta jest spełniona należy następnie ustalić i rozważyć wszystkie okoliczności konieczne do wyważenia niezbędnej ochrony interesów osoby, której dane dotyczą oraz interesów administratora danych. Tak też rozumiane są postanowienia dyrektywy 95/46 WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych. Przepis art. 7 lit. f dyrektywy dopuszcza przetwarzanie danych osobowych przez administratora, gdy jest to konieczne z punktu widzenia potrzeb wynikających z uzasadnionych interesów administratora lub osoby trzeciej, chyba że interesy te są podporządkowane interesom związanym z podstawowymi prawami i wolnościami osoby, której dane dotyczą. Oznacza to, że dyrektywa nakazuje ważyć interesy obu stron w konkretnym przypadku i - co do zasady - dopuszcza przetwarzanie danych, które jest konieczne do realizacji prawnie usprawiedliwionych celów administratora.

Przenosząc powyższe rozważania na grunt rozpoznawanej sprawy stwierdzić należy, że przetwarzanie danych osobowych osób, które cofnęły zgodę nie jest niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez Bank [...] S.A., a w szczególności celu, którym jest prawo do podjęcia obrony przed ewentualnymi roszczeniami lub zarzutami dotyczącymi przetwarzania danych w celu obsługi wniosku kredytowego. Należy zwrócić uwagę, że przepis art. 23 ust. 1 pkt 5 ustawy na pierwszym miejscu wymienia warunek, że przetwarzanie danych winno być niezbędne dla wypełnienia prawnie usprawiedliwionych celów. Niedopuszczalne jest więc przetwarzanie danych osobowych niejako "na zapas" z założeniem, że mogą być one ewentualnie przydatne w przyszłości, na przykład z odwołaniem się do przepisów dotyczących przedawnienia roszczeń cywilnoprawnych, czy postępowań administracyjnych bądź karnych.

Zauważyć należy, że wykonanie nakazu wynikającego z decyzji organu oznacza, że Bank nie będzie mógł dysponować jakimikolwiek danymi osobowymi, które zostały pozyskane za pomocą formularzy kontaktowych "Oferta" oraz "Oferta Przedsiębiorca", a dotyczących osób, które odwołały zgodę na przetwarzanie tych danych przez Bank. Nie jest zatem prawidłowe rozumowanie Banku, że wykonanie nakazu wskazanego w kwestionowanej decyzji oznacza, że Bank nie będzie dysponował żadnymi danymi dotyczącymi osób, które odwołały zgodę na przetwarzanie danych. Jak trafnie bowiem wskazuje organ w odpowiedzi na skargę kasacyjną nakaz określony w kwestionowanej decyzji nie dotyczy usunięcia informacji dotyczących odwołania zgody.

Zatem eksponowany prze stronę skarżącą kasacyjnie argument, że usunięcie danych osobowych uzyskanych za pomocą ww. formularzy kontaktowych spowoduje, że w przypadku zakupu danych Bank nie będzie miał wiedzy o tym, które osoby nie życzą sobie ofert tego Banku, nie zasługuje na uwzględnienie choćby z tego względu, że Bank jest w posiadaniu informacji wynikających z odwołania zgody. Ponadto obowiązki ciążące na administratorze danych określa art. 25 ust. 1 ustawy, w myśl którego w przypadku zbierania danych osobowych nie od osoby, której one dotyczą, administrator danych jest obowiązany poinformować tę osobę, bezpośrednio po utrwaleniu zebranych danych, o: 1) adresie swojej siedziby i pełnej nazwie, a w przypadku gdy administratorem danych jest osoba fizyczna - o miejscu swojego zamieszkania oraz imieniu i nazwisku; 2) celu i zakresie zbierania danych, a w szczególności o odbiorcach lub kategoriach odbiorców danych; 3) źródle danych; 4) prawie dostępu do treści swoich danych oraz ich poprawiania; 5) uprawnieniach wynikających z art. 32 ust. 1 pkt 7 i 8. Powołany art. 32 ust. 1 pkt 7 i 8 ustawy gwarantuje każdej osobie prawo do wniesienia sprzeciwu, w przypadkach wymienionych w art. 23 ust. 1 pkt 4 i 5 ustawy.

Nałożenie ww. obowiązków na administratorów danych oraz okoliczność posiadania przez Bank informacji o odwołaniu zgody powoduje, że respektowanie woli osób, które odwołały zgodę na przetwarzanie przez Bank danych w celach marketingowych, nie wymaga przetwarzania danych osobowych osób, które odwołały zgodę na przetwarzanie danych przez Bank w celach marketingowych. Tym samym prawidłowe są konstatacje organu, że w sprawie nie została spełniona przesłanka niezbędności przetwarzania danych osobowych dla realizacji prawnie usprawiedliwionego celu administratora danych, o której mowa w art. 23 ust. 1 pkt 5 ustawy.

Z tych względów i na podstawie art. 184 cyt. ustawy P.p.s.a. Naczelny Sąd Administracyjny oddalił skargę kasacyjną z powodu braku usprawiedliwionych podstaw. O kosztach postępowania kasacyjnego orzeczono na podstawie art. 204 pkt 1 P.p.s.a.