Centralna Baza Orzeczeń Sądów Administracyjnych

Naczelny Sąd Administracyjny w składzie: Przewodniczący: sędzia NSA Zbigniew Ślusarczyk sędzia NSA Jerzy Stelmasiak sędzia del. WSA Hanna Knysiak-Sudyka (spr.) Protokolant starszy asystent sędziego Wojciech Wiktorowski po rozpoznaniu w dniu 12 listopada 2024 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej [...] Sp. z o.o. z siedzibą w W. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 10 lutego 2021 r. sygn. akt II SA/Wa 2378/20 w sprawie ze skargi [...] Sp. z o.o. z siedzibą w W. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] października 2019 r. nr [...] w przedmiocie przetwarzania danych osobowych 1. oddala skargę kasacyjną, 2. zasądza na rzecz Prezesa Urzędu Ochrony Danych Osobowych od [...] Sp. z o.o. z siedzibą w W. kwotę 480 (czterysta osiemdziesiąt) złotych tytułem zwrotu kosztów postępowania kasacyjnego.

Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 10 lutego 2021 r. sygn. akt II SA/Wa 2378/20 oddalił skargę [...] Sp. z o.o. z siedzibą w W. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] października 2019 r. nr [...] w przedmiocie przetwarzania danych osobowych.

Wyrok zapadł w następującym stanie faktycznym i prawnym sprawy.

Prezes Urzędu Ochrony Danych Osobowych (dalej: "Prezes UODO") działając na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2018 r. poz. 2096 z późn. zm., zwana dalej: "k.p.a.") oraz art. 7 ust. 1 i ust. 2, art. 60, art. 101, art. 103 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781, zwana dalej: "u.o.d.o.") w związku z art. 5 ust. 1 lit. a, art. 5 ust. 2, art. 6 ust. 1, art. 7 ust. 3, art. 12 ust. 2, art. 17 ust. 1 lit. b, art. 24 ust. 1, art. 58 ust. 2 lit. d oraz lit. i, a także w związku z art. 83 ust. 3, art. 83 ust. 5 lit. a oraz lit. b rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1 oraz Dz. Urz. UE L 127 z 23.05.2018, str. 2, zwane dalej: "rozporządzenie 2016/679", "RODO"), po przeprowadzeniu postępowania administracyjnego w sprawie przetwarzania danych osobowych przez [...] Sp. z o.o. z siedzibą w W., decyzją z dnia [...] października 2019 r. nr [...]

I. stwierdzając naruszenie przez Spółkę przepisów:

a) art. 5 ust. 1 lit. a w zw. z art. 5 ust. 2 rozporządzenia 2016/679, tj. zasady zgodności z prawem, rzetelności i przejrzystości przetwarzania danych osobowych oraz art. 7 ust. 3, art. 12 ust. 2, art. 17 ust. 1 lit. b i art. 24 ust. 1 rozporządzenia 2016/679 poprzez niewdrożenie odpowiednich środków technicznych i organizacyjnych, które umożliwiałyby osobie, której dane dotyczą łatwe i skuteczne wycofanie zgody na przetwarzanie swoich danych osobowych oraz realizację prawa do żądania niezwłocznego usunięcia swoich danych osobowych (prawa do bycia zapomnianym),

b) art. 5 ust. 1 lit. a w zw. z art. 5 ust. 2 rozporządzenia 2016/679, tj. zasady zgodności z prawem, oraz art. 6 ust. 1 rozporządzenia 2016/679, poprzez przetwarzanie bez podstawy prawnej danych osób, które nie są klientami [...] Sp. z o.o., a od których [...] Sp. z o.o. otrzymała żądania zaprzestania przetwarzania danych osobowych,

nakazał [...] Sp. z o.o., dostosowanie przetwarzania danych osobowych do przepisów rozporządzenia 2016/679, w terminie 14 dni, od dnia doręczenia niniejszej decyzji, poprzez:

1) zmodyfikowanie procesu obsługi wniosków o odwołanie zgody na przetwarzanie danych, w taki sposób, by osoby, których dane dotyczą mogły skutecznie skorzystać ze swojego prawa do wycofania zgody oraz prawa do bycia zapomnianym,

2) usunięcie danych osobowych osób, które nie są klientami [...] Sp. z o.o., a od których [...] Sp. z o.o. otrzymała żądanie zaprzestania przetwarzania danych osobowych.

II. za naruszenie ww. przepisów organ nałożył na skarżącą karę pieniężną w kwocie 201 559,50 zł, stanowiącą równowartość 47. 000 EUR, wg średniego kursu euro ogłoszonego przez NBP w tabeli kursów na dzień 28 stycznia 2019 r.

W uzasadnieniu decyzji z dnia [...] października 2019 r. Prezes UODO nadmienił, iż w toku kontroli odebrano od pracowników Spółki ustne wyjaśnienia oraz skontrolowano system informatyczny. Stan faktyczny został szczegółowo opisany w protokole kontroli, który został podpisany przez Prezesa Zarządu Spółki.

Z informacji zawartych w KRS wynika, że przedmiotem prowadzonej przez Spółkę działalności gospodarczej jest przetwarzanie danych, zarządzanie stronami internetowymi (hosting) i podobna działalność, działalność agencji reklamowych, działalność centrów telefonicznych, pozostałe doradztwo w zakresie prowadzenia działalności gospodarczej i zarządzania oraz działalność portali internetowych.

Organ ustalił, że w procesie przetwarzania danych osobowych Spółka, jako administrator, naruszyła przepisy o ochronie danych osobowych. Uchybienia te polegają na:

1. Niezapewnieniu osobom, których dane dotyczą łatwego skorzystania z ich uprawnienia w zakresie wycofania zgody na przetwarzanie ich danych osobowych (naruszenie art. 7 ust. 3 oraz art. 12 ust. 1 rozporządzenia 2016/679).

2. Naruszeniu zasad przejrzystości i rzetelności w procesie odwołania zgody, poprzez kierowanie do osób, których dane dotyczą sprzecznych ze sobą komunikatów, co skutkuje tym, że osoba odwołująca zgodę wprowadzana jest w błąd i nie może odwołać zgody (naruszenie art. 5 ust. 1 lit. a rozporządzenia 2016/679).

3. Naruszeniu prawa do usunięcia danych (prawo do bycia zapomnianym), poprzez stosowanie procesu odwołania zgody, który utrudnia skuteczne odwołanie zgody – naruszenie art. 17 ust. 1 lit. b rozporządzenia 2016/679.

4. Przetwarzaniu bez podstawy prawnej danych osób, które nie są klientami Spółki (naruszenie art. 6 ust. 1 rozporządzenia 2016/679 oraz naruszenie zasady zgodności przetwarzania z prawem, o której mowa w art. 5 ust. 1 lit. a rozporządzenia 2016/679).

5. Niezastosowaniu odpowiednich środków technicznych i organizacyjnych, które umożliwiałyby osobie, której dane dotyczą skuteczne skorzystanie z jej praw (naruszenie art. 24 ust. 1 rozporządzenia 2016/679).

Pismem znak: [...] Prezes Urzędu Ochrony Danych Osobowych wszczął z urzędu postępowanie administracyjne w zakresie stwierdzonych uchybień, w celu wyjaśnienia okoliczności sprawy.

Spółka pismem z dnia 15 lipca 2019 r. złożyła wyjaśnienia.

Do pisma stanowiącego odpowiedź na zawiadomienie o wszczęciu postępowania administracyjnego załączono sprawozdanie finansowe za okres od 1 stycznia 2017 r. do 31 grudnia 2017 r., z którego wynika, że wysokość przychodów netto ze sprzedaży i zrównanych z nimi wynosi: 1714451,61 PLN oraz sprawozdanie finansowe za rok obrotowy od 1 stycznia 2018 r. do 31 grudnia 2018 r., z którego wynika, że wysokość przychodów netto ze sprzedaży i zrównanych z nimi wynosi: 1051903,43 PLN.

W odpowiedzi na zawiadomienie o wszczęciu postępowania Spółka uznała, że zarzut Prezesa Urzędu Ochrony Danych Osobowych w zakresie tego naruszenia jest zasadny i w związku z tym Spółka ze strony internetowej usunęła komunikat o treści: "Pani odwołanie zgody dziś 13.02.2019". Ponadto w tym samym piśmie zadeklarowane zostało, że "wprowadza do powyższych wiadomości temat i frazę: Informacja o sposobie odwołania Pani zgody" zamiast "Pani odwołanie zgody dziś 13.02.2019". Wyjaśnienia te nie zostały jednak potwierdzone Prezesowi Urzędu Ochrony Danych Osobowych żadnymi dodatkowymi dowodami.

Na decyzję Prezesa UODO [...] Sp. z o.o. z siedzibą w W. wniosła skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie.

W odpowiedzi na skargę organ wniósł o jej oddalenie.

Wojewódzki Sąd Administracyjny w Warszawie w powołanym wyżej wyroku oddalił skargę [...] Sp. z o.o. z siedzibą w W. uznając, że zaskarżona decyzja została wydana zgodnie z prawem.

Uzasadniając swoje stanowisko Sąd pierwszej instancji wskazał, że stosowany przez skarżącą Spółkę sposób postępowania w procesie odwołania zgody na przetwarzanie uprzednio pozyskanych przez Spółkę danych osobowych nie spełnia kryteriów prostego i szybkiego odwołania zgody i stanowi naruszenie art. 7 ust. 3, a także art. 12 ust. 2 oraz art. 17 ust. 1 lit. b rozporządzenia 2016/679.

Wojewódzki Sąd Administracyjny w Warszawie podkreślił, że do osób odwołujących zgodę Spółka kieruje sprzeczne ze sobą komunikaty, jak wykazało postępowanie administracyjne prowadzone w tej sprawie. Osoba odwołująca zgodę, po otrzymaniu od skarżącej Spółki komunikatu "Pani odwołanie zgody dziś 13.02.2019 r.!" ma pełne podstawy by sądzić, że zgodę swoją skutecznie odwołała. Do odwołania zgody jednak nie dochodzi. Spółka po wysłaniu ww. komunikatu, kieruje do tej samej osoby komunikat, w którym informuje o sposobie skutecznego odwołania zgody. Takie działanie administratora danych trafnie zostało uznane przez organ za mylące i wprowadzające w błąd osoby zamierzające skorzystać z prawa do odwołania zgody, a w rezultacie naruszające zasady przejrzystości i rzetelności, o których mowa w art. 5 ust. 1 lit. a rozporządzenia 2016/679.

Sąd pierwszej instancji stwierdził ponadto, że Spółka w procesie odwoływania zgody pozyskuje informacje dotyczące przyczyny odwołania zgody. Brak odpowiedzi na pytanie o przyczyny odwołania zgody uniemożliwia osobie, której dane dotyczą, skuteczne odwołanie zgody, gdyż przerywa proces odwołania zgody. Co więcej, wskazanie przyczyny również nie skutkuje odwołaniem zgody. Spółka po otrzymaniu odpowiedzi co do przyczyny odwołania zgody dalej kontynuuje proces odwołania zgody, przekazując osobie zainteresowanej sprzeczne komunikaty. Działanie skarżącej Spółki w tym zakresie przebiega według następującego schematu: kliknięcie w link "odwołanie zgody" skutkuje tym, że 1) użytkownik przekierowywany jest na stronę internetową, gdzie znajduje się zapytanie o przyczynę rezygnacji z otrzymywania reklam drogą e-mailową (z dwoma zdefiniowanymi odpowiedziami: "A: otrzymuję reklamy, które mnie nie interesują", "B: otrzymuję reklamy za często"); 2) po udzieleniu odpowiedzi na ww. pytania użytkownik przekierowywany jest na kolejną stronę, na której pojawia się komunikat następującej treści: "Pani odwołanie zgody dziś 13.02.2019!". Pod tym komunikatem znajduje się zapis: "dziękuję za odpowiedź! W takiej sytuacji informuję, że przysługuje pani prawo dostępu do danych, ich usunięcia, ograniczenia przetwarzania, przenoszenia, wniesienia sprzeciwu, żądania sprostowania oraz cofnięcia zgód w każdym czasie pod adresem [...]; W tym również prawo do złożenia skargi do Prezesa Urzędu Ochrony Danych Osobowych. Z mojej strony to wszystko. P. M.".

Zdaniem WSA w Warszawie nie ulega wątpliwości, iż pytanie osoby, której dane dotyczą, o przyczyny wycofania zgody jest pozbawione jakiejkolwiek podstawy prawnej i jest działaniem umyślnym, mającym na celu utrudnienie czy wręcz uniemożliwienie realizacji praw osób, których dane dotyczą. Takie działanie stanowi jednocześnie naruszenie zasady zgodności z prawem, przejrzystości i rzetelności przetwarzania danych, o których mowa w art. 5 ust. 1 lit. a rozporządzenia 2016/679.

W ocenie Sądu pierwszej instancji skarżąca Spółka nie wypełnia też obowiązku wynikającego z art. 12 ust. 2 rozporządzenia 2016/679, gdyż nie tylko nie ułatwia, a wręcz utrudnia osobom, których dane dotyczą, skorzystanie z prawa do usunięcia danych osobowych uregulowanego w art. 17 ust. 1 lit. b tegoż rozporządzenia, co potwierdza opisany powyżej schemat działania. Z tego też powodu zarzuty naruszenia art. 5 ust. 1 lit. a, art. 5 ust. 2, art. 7 ust. 3, art. 12 ust. 2 i art. 17 ust. 1 lit. b rozporządzenia 2016/679 nie mogą odnieść zamierzonego skutku. Sąd pierwszej instancji nie podzielił też poglądu strony skarżącej co do błędnej wykładni art. 7 ust. 3, art. 12 ust. 1-2 i art. 17 ust. 1 lit. b rozporządzenia 2016/679, zawartego w zarzucie 3 skargi. W istocie zarzut ten dotyczy błędu subsumpcji, a nie błędnej wykładni prawa. Skarżąca nie wskazuje zresztą, formując ten zarzut, jaka winna być – w jej ocenie – prawidłowa wykładnia tych przepisów. Dlatego też zarzut ten nie zasługuje na uwzględnienie.

Wojewódzki Sąd Administracyjny w Warszawie wskazał, że należy również podzielić pogląd organu, iż Spółka nie zastosowała odpowiednich środków technicznych i organizacyjnych, które umożliwiłyby osobom, których dane dotyczą, skuteczne skorzystanie z ich praw, jak stanowi art. 24 ust. 1 rozporządzenia 2016/679. W procesie odwołania zgody skarżąca nie uwzględniła zasady stanowiącej, że wycofanie zgody powinno być równie łatwe, jak jej wyrażenie, stosownie do art. 7 ust. 3 rozporządzenia 2016/679.

Zdaniem Sądu pierwszej instancji proces odwołania zgody powinien przebiegać w sposób łatwy, nieskomplikowany i za pomocą tego samego kanału informacyjnego, za pomocą którego pozyskano zgodę (w tym przypadku za pomocą Internetu). To Skarżąca jako administrator danych ponosi odpowiedzialność za to, że w procesie cofnięcia zgody stosowane jest nieskutecznie działające narzędzie, tj. przycisk: "[...]" zamieszczony w witrynach internetowych. To nieskuteczne narzędzie doprowadza do zjawiska około 10 000 dziennie tzw. "pustych e-mail", ponieważ osoby, które używają tego przycisku w celu odwołania zgody, nie mogą zrealizować skutecznie prawa do bycia zapomnianym.

W ocenie Sądu pierwszej instancji organ trafnie również ocenił działania Spółki co do wniosków osób, nie będących jej klientami, a dotyczących zaprzestania przetwarzania ich danych osobowych przez inne niż Spółka podmioty. Skoro Spółka nie prowadzi – jak ustalono w toku postępowania z tymi osobami – żadnej korespondencji, to nie sposób uznać za zgodne ze stanem faktycznym twierdzenie skarżącej, że dane tych osób przetwarza w celu obsługi korespondencji. Dlatego też Spółka – po ustaleniu, że żadnych informacji o danej osobie dotychczas nie posiadała – winna te dane usunąć z uwagi na brak podstaw prawnych do dalszego ich przetwarzania. Rozstrzygnięcie zawarte w pkt. I. 2) decyzji odpowiada zatem prawu.

W niniejszej sprawie zdaniem Sądu pierwszej instancji organ wskazał okoliczności decydujące o nałożeniu administracyjnej kary pieniężnej oraz przesłanki mające wpływ na jej wysokość, a mianowicie elementy związane z działaniami stanowiącymi naruszenie ogólnego rozporządzenia o ochronie danych, zachowanie strony skarżącej jako administratora danych przed oraz po ocenianym naruszeniu, skutki naruszenia, a także jego umyślny charakter. W konsekwencji określił wysokość kary na takim poziomie, aby stanowiła ona adekwatną reakcję organu nadzorczego na stopień naruszenia. W ocenie Sądu organ w sposób należyty wyważył dyrektywy nałożenia oraz wysokości administracyjnej kary pieniężnej w analizowanym przypadku. Brak jest zatem podstaw do uznania, że kara jest rażąco wygórowana, czy też nieadekwatna do stopnia przewinienia.

Sąd pierwszej instancji podkreślił, że Prezes UODO ustalając wysokość kary pieniężnej, przyjął trafnie, że naruszenia prawa, jakich dopuściła się Spółka, miały charakter umyślny, a jednocześnie nie wystąpiły żadne okoliczności łagodzące mogące mieć wpływ na ostateczny wymiar kary. Deklaracja skarżącej o zmianie komunikatu "Pani odwołanie zgody dziś 13.02.2019" na komunikat "Informacja o sposobie odwołania Pani zgody" nie została potwierdzona żadnymi dodatkowymi dowodami. Sam zamiar podjęcia dodatkowych działań przez skarżącą w celu usunięcia naruszenia prawa nie stanowi, jak słusznie stwierdził organ, okoliczności łagodzącej.

Zdaniem Sądu pierwszej instancji w świetle powyższego nie może odnieść zamierzonego skutku zarzut skargi naruszenia art. 83 ust. 1 ust. 2 i ust. 5 rozporządzenia 2016/679 oraz art. 6 Konwencji o Ochronie Praw Człowieka i Podstawowych Wolności zawartej w Rzymie 4 listopada 1950 r. (dalej: "EKPC") poprzez nałożenie kary pieniężnej w sytuacji braku ustalenia okoliczności świadczącej o zaistnieniu przesłanek uzasadniających jej nałożenie, błędne określenie wysokości kary pieniężnej w związku z wadliwym ustaleniem okoliczności obciążających i pominięciem okoliczności łagodzących, brak prawidłowego uzasadnienia rozstrzygnięcia o nałożeniu kary pieniężnej oraz jej wysokości, a także o nałożeniu administracyjnej kary pieniężnej w wysokości rażąco wygórowanej i nieproporcjonalnej do stwierdzonych uchybień. Uchybienia, których dopuściła się Spółka, nie są uchybieniami drobnymi i dotyczą działalności Spółki polegającej na realizacji zamówień na prowadzenie marketingu i kampanii reklamowych na rzecz innych podmiotów. Skarżąca Spółka zawiera umowy zlecenia z podmiotami trzecimi na prowadzenie kampanii marketingowych i wykorzystuje przy realizacji takiej umowy dane osobowe, które sama wcześniej pozyskała od uczestników organizowanych przez siebie konkursów, w tym głównie o nazwie "Najszybszy – wygrywa", i jest zobligowana podczas takiej działalności brać pod uwagę przywołane powyżej przepisy rozporządzenia 2016/679.

Sąd pierwszej instancji wskazał, że nieprzestrzeganie podstawowych zasad zawartych w rozporządzeniu 2016/679, w tym prawa do usunięcia danych, o którym mowa w art. 17 ust. 1 lit. b rozporządzenia oraz zasady przejrzystości i rzetelności uregulowanej w art. 5 ust. 1 lit. a rozporządzenia, a także krąg osób dotkniętych naruszeniem (ponad 2 mln osób) przemawiają za oceną poważnego charakteru naruszeń, a co za tym idzie za uznaniem, że zastosowana administracyjna kara pieniężna spełnia funkcje, o których mowa w art. 83 ust. 1 rozporządzenia.

Sąd pierwszej instancji nie dopatrzył się takich naruszeń przepisów postępowania, które mogłyby mieć istotny wpływ na wynik sprawy. Dlatego też nie uwzględnił podniesionych w skardze zarzutów naruszenia art. 7, art. 8 § 1, art. 80, art. 107 § 3, art. 104 § 2, art. 107 § 1 pkt 5, art. 104 § 2, art. 11, art. 107 § 1 pkt 6 oraz art. 78 k.p.a. Postępowanie administracyjne, zdaniem Sądu pierwszej instancji, było prowadzone rzetelnie, a strona miała możliwość złożenia obszernych wyjaśnień. Uzasadnienie decyzji z kolei zawiera wszelkie wymagane prawem elementy, a w szczególności wyjaśniona została w sposób obszerny podstawa prawna rozstrzygnięcia, przytoczone zostały kluczowe dla sprawy przepisy, przedstawiono stan faktyczny sprawy oraz dokonano subsumcji tego stanu faktycznego pod określone normy prawne. Także rozstrzygnięcie zawarte w zaskarżonej decyzji jest zrozumiałe, jasne i odpowiada wymaganiom prawa.

Skargę kasacyjną od tego wyroku wniosła [...] Sp. z o.o. z siedzibą w W., zaskarżając wyrok w całości i zarzucając mu:

A) naruszenie przepisów postępowania, które miało wpływ na wynik sprawy i powinno doprowadzić do uchylenia zaskarżonej decyzji w oparciu o art. 145 § 1 pkt 1 lit. c ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2019 r. poz. 2325 z późn. zm., zwana dalej: "p.p.s.a."), którego Sąd błędnie nie zastosował:

1. art. 151 p.p.s.a., art. 134 § 1 p.p.s.a., art. 141 § 4 p.p.s.a. poprzez nierozpoznanie istoty sprawy, przejawiające się w przemilczeniu przez WSA treści zarzutów sformułowanych w skardze, co oznacza, że zaskarżona decyzja nie została poddana kontroli merytorycznej zgodnie ze standardem ustanowionym przez art. 134 § 1 p.p.s.a. (rozpatrzenie sprawy w świetle zarzutów zawartych w skardze oraz ewentualnych innych naruszeń przepisów prawa), zaś uzasadnienie wyroku ze względu na brak wyjaśnienia przyczyn nieuwzględnienia zarzutów nie poddaje się kontroli instancyjnej, co stanowi naruszenie art. 141 § 4 p.p.s.a. w stopniu wymagającym uchylenia wyroku;

2. art. 151 p.p.s.a., art. 134 § 1 p.p.s.a., art. 141 § 4 p.p.s.a. w zw. z naruszeniem art. 7 k.p.a., art. 8 § 1 k.p.a., art. 77 § 1 k.p.a., art. 80 k.p.a., art. 107 § 3 k.p.a. - w zw. z art. 87 i art. 88 ust. 2 pkt 6 u.o.d.o. oraz w zw. z art. 5 ust. 1 lit. a i art. 5 ust. 2, art. 7 ust. 3, art. 12 ust. 2, art. 17 ust. 1 lit. b i art. 24 ust. 1 RODO, tj. poprzez niepoddanie merytorycznej kontroli opisanych w zaskarżonej decyzji ustaleń faktycznych, w tym nierozpoznanie zarzutów dotyczących stanu faktycznego opisanego w decyzji, a przez to nierozpoznanie istoty sprawy, co przejawia się w szczególności w zaakceptowaniu przez WSA;

a) pominięcia w decyzji ustaleń faktycznych zawartych w protokole z kontroli przetwarzania danych z dnia 15 lutego 2019 r. - dalej jako "Protokół" i w załączonym do niego materiale dowodowym oraz

b) sprzeczności tego stanu faktycznego z ustaleniami zawartymi w Protokole i załączonych do niego dowodach, gdy nie przeprowadzono dodatkowych czynności dowodowych uzasadniających zmianę ustaleń faktycznych;

3. art. 151 p.p.s.a., art. 134 § 1 p.p.s.a., art. 141 § 4 p.p.s.a. w zw. z naruszeniem art. 7 k.p.a., art. 77 § 1 k.p.a. oraz art. 80 k.p.a. w zw. z art. 7 ust. 3 RODO, poprzez błędne zaakceptowanie ustalenia organu, że nota informacyjna zawarta w przykładowej reklamowej wiadomości e-mail (k. 156) stanowi rzekomo etap stosowanego przez Spółkę "procesu odwołania zgody" polegającego na wycofaniu zgody przez kliknięcie w link, podczas gdy takie ustalenia nie wynikają z Protokołu oraz że stosowanie tej noty i powiązanej z nią strony internetowej rzekomo uniemożliwia odwołanie zgody na przetwarzanie danych osobowych, a w konsekwencji błędne uznanie przez WSA, że:

a) "stosowany przez skarżącą Spółkę proces odwoływania zgody skutkuje naruszeniem art. 7 ust. 3, art. 12 ust. 2 i art. 17 ust. 1 lit. b rozporządzenia 2016/679";

b) "Do osób odwołujących zgodę Spółka kieruje sprzeczne ze sobą komunikaty"

c) Spółka w procesie odwoływania zgody pozyskuje informacje dotyczące przyczyny odwołania zgody"

d) "Spółka nie zastosowała odpowiednich środków technicznych i organizacyjnych, które umożliwiłyby osobom, których dane dotyczą, skuteczne skorzystanie z ich praw";

4. art. 151 p.p.s.a., art. 134 § 1 p.p.s.a., art. 141 § 4 p.p.s.a. w zw. z naruszeniem art. 7 k.p.a., art. 77 § 1 k.p.a. oraz art. 80 k.p.a. w zw. z art. 7 ust. 3, art. 12 ust. 1-2, art. 17 ust. 1 lit. b RODO, poprzez przemilczenie w uzasadnieniu wyroku zarzutu oraz argumentacji dotyczącej błędnych ustaleń faktycznych w decyzji, a w konsekwencji nierozpoznanie istoty sprawy, co przejawia się w pominięciu przez Sąd, iż skarżąca jako administrator danych zastosowała odpowiednie środki techniczne i organizacyjne umożliwiające osobom, których dane dotyczą, realizację ich praw, w tym:

a) zaoferowała dwa sposoby odwołania zgody na przetwarzanie danych, tj. wysłanie prośby na dedykowany adres e-mail lub wysłanie prośby na adres korespondencyjny, których skuteczność potwierdzono w Protokole, a także co najmniej dwukrotne poinformowała o tych sposobach odwołania zgody, co także potwierdzono w Protokole, co oznacza, że skarżąca wykonała obowiązek zapewnienia przez administratora łatwego i skutecznego sposobu odwołania zgody na przetwarzanie danych osobowych;

b) zebrała zgodę na przetwarzanie danych przez internetowy formularz, zaś odwołanie tej zgody umożliwiła drogą e-mailową, co stanowi zapewnienie przez skarżącą internetowego środka odwołania zgody (gdy decyzja zawiera stwierdzenie, że Spółka nie umożliwia odwołania zgody przez Internet);

5. art. 151 p.p.s.a., art. 134 § 1 p.p.s.a., art. 141 § 4 p.p.s.a. w zw. z naruszeniem art. 7 k.p.a., art. 77 § 1 k.p.a. oraz art. 80 k.p.a. w zw. z art. 4 pkt 1 RODO poprzez bezpodstawne przyjęcie, że adres e-mail nadawcy "pustego listu" wysłanego do skarżącej jest "daną osobową", tj. dotyczy "możliwej do zidentyfikowania przez skarżącą osoby fizycznej", w sytuacji, gdy skarżąca nie posiada żadnych dodatkowych informacji o osobie, której "list" trafia do skrzynki odbiorczej skarżącej i skarżąca nie podejmuje żadnych czynności w celu ustalenia, do kogo odnosi się taki adres e-mail, a w konsekwencji błędne uznanie przez Sąd, że "organ trafnie ocenił działania Spółki co do wniosków osób nie będących jej klientami", a zatem poprzez nierozpoznanie istoty sprawy w zakresie ustalenia, czy procesy przetwarzania oceniane przez WSA mają za swój przedmiot "dane osobowe";

6. art. 134 § 1 p.p.s.a. w zw. z art. 151 p.p.s.a. oraz art. 141 § 1 p.p.s.a., przez nierozpoznanie istoty sprawy w związku z pominięciem zarzutów skargi dotyczących naruszenia decyzją art. 83 ust. 1, ust. 2, ust. 3 i ust. 5 RODO w zw. z art. 6 ust. 1 i 2 Konwencji o Ochronie Praw Człowieka i Podstawowych Wolności oraz art. 47 i 48 Karty Praw Podstawowych Unii Europejskiej (dalej: "KPP UE") oraz art. 72 u.o.d.o., w tym przez pominięcie milczeniem zarzutów skarżącej, iż:

a) Organ - z naruszeniem ww. przepisów prawa - nie określił w decyzji wysokości kary pieniężnej w odniesieniu do poszczególnych rzekomych naruszeń (czynów) wskazanych w pkt I.a.) i I.b) decyzji i nie rozważył odrębnie dla każdego z tych naruszeń przesłanek uzasadniających nałożenie i wysokość kary;

b) Prezes UODO nałożył karę pieniężną, mimo iż nie ustalił okoliczności uzasadniających jej nałożenie i to za niedookreślone (niesprecyzowane) naruszenia (czyny);

c) Organ błędnie nie wskazał i nie uzasadnił rzeczowo, czy i dlaczego nałożenie kary pieniężnej miało być "skuteczne, proporcjonalne i odstraszające" - odrębnie do rzekomego naruszenia wskazanego w pkt I.a) decyzji oraz do rzekomego naruszenia wskazanego w pkt I.b) decyzji;

d) Organ nie rozważył w decyzji przesłanek, na których się oparł, nakładając karę, w postaci; czasu trwania rzekomych naruszeń (czynów) skarżącej; kategorii danych, których dotyczyły rzekome naruszenia; charakteru, zakresu i celu przetwarzania oraz stopnia odpowiedzialności skarżącej jako administratora;

e) Prezes UODO błędnie nie uwzględnił okoliczności łagodzących w postaci: braku jakichkolwiek korzyści finansowych uzyskanych przez skarżącą w związku z rzekomym naruszeniem; dobrej współpracy Spółki z Prezesem UODO w toku postępowania; brakiem szkód majątkowych po stronie osób, których dane dotyczą, w związku z rzekomymi naruszeniami oraz braku uprzednich naruszeń przepisów RODO przez Spółkę;

f) Prezes UODO arbitralnie i nietrafnie przyjął, że do rzekomych naruszeń doszło "w ramach tych samych lub powiązanych operacji przetwarzania" w rozumieniu art. 83 ust. 3 RODO;

7. art. 10 p.p.s.a., art. 90 § 1 p.p.s.a, art. 113 § 1 p.p.s.a., art. 119 pkt 2 p.p.s.a., art. 15zzs4 ust. 2-3 ustawy z dnia 2 marca 2020 r. o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19, innych chorób zakaźnych oraz wywołanych nimi sytuacji kryzysowych (Dz. U. poz. 1842 z późn. zm., zwana dalej: "ustawa COVID-19"), polegające na naruszeniu zasady jawności postępowania sądowego, naruszeniu obowiązku rozpoznania sprawy na rozprawie, naruszeniu prawa skarżącej do czynnego udziału w postępowaniu sądowym - do możliwości wypowiedzenia się, co oznacza łącznie naruszenie prawa skarżącej do rzetelnego procesu sądowego, w sytuacji, gdy:

a) Sąd w wezwaniu z dnia 15 stycznia 2021 r. zwrócił się do skarżącej z pytaniem, czy skarżąca wnosi o rozpoznanie sprawy w trybie uproszczonym,

b) Skarżąca nie wniosła o rozpoznanie sprawy w trybie uproszczonym;

c) Sąd wydał wyrok na posiedzeniu niejawnym, nie uprzedzając o tym stron oraz nie zakreślając dodatkowego terminu na wypowiedzenie się w sprawie;

B) naruszenie prawa materialnego, w sytuacji, gdy Sąd powinien uchylić decyzję w oparciu o art. 145 § 1 pkt 1 lit. a p.p.s.a.:

1. art. 58 ust. 2 lit. d RODO, art. 104 § 2 k.p.a. i art. 107 § 1 pkt 5 k.p.a. w zw. z art. 7 ust. 3, art. 12 ust. 2, art. 17 ust. 1 lit. b i art. 24 ust. 1 RODO poprzez błędne zastosowanie, tj. zaakceptowanie, że organ nie rozstrzygnął w sentencji decyzji (w pkt I.a i I.1), jaki czyn Spółki rzekomo narusza wskazane w pkt l.a przepisy prawa materialnego, w tym zaakceptowanie przez Sąd sformułowania tego punktu decyzji w sposób wieloznaczny i niewynikający z uzasadnienia decyzji, tj. poprzez ogólnikowe opisane czynu (brak określoności czynu);

2. art. 58 ust. 2 lit. d RODO, art. 104 § 2 k.p.a. i art. 107 § 1 pkt 5 k.p.a. oraz art. 8 § 1 i art. 11 k.p.a. poprzez błędne zastosowanie, tj. poprzez uznanie przez WSA za prawidłowe takie sformułowanie sentencji decyzji w pkt I.b oraz I.2, które nastąpiło z użyciem potocznych pojęć (odnoszenie się do danych osób, które "nie są klientami" Spółki), co nie pozwala ustalić jednoznacznie działań, jakie powinny być podjęte przez Spółkę na podstawie tak błędnie sformułowanego rozstrzygnięcia (brak określoności nakazu);

3. art. 58 ust. 2 lit. d RODO, art. 104 § 2 k.p.a. i art. 107 § 1 pkt 5 i 6 k.p.a. poprzez błędne zastosowanie polegające na zaakceptowaniu przez Sąd nakazu zmodyfikowania procesu odwołania zgody, na taki, który skarżąca już realizuje, co zostało potwierdzone w Protokole - tj. poprzez zapewnienie możliwości odwołana zgody na przetwarzanie danych przez Internet (k. 103-106, k. 155);

4. art. 83 ust. 1, ust. 2, ust. 3 i ust. 5 RODO oraz art. 6 EKPC i art. 47 i 48 KPP UE, w zw. z art. 101 u.o.d.o., jak również art. 7 k.p.a., art. 8 § 1 k.p.a., art. 77 § 1 k.p.a., art. 78 k.p.a., art. 80 k.p.a. i art. 107 § 3 k.p.a. w zw. z art. 72 u.o.d.o. oraz w zw. z art. 5 ust. 1 lit. a) RODO, art. 6 ust. 1 RODO, art. 7 ust. 3 RODO, art. 12 ust. 2 RODO, art. 17 ust. 1 lit. b) RODO oraz art. 24 ust. 1 RODO, przez błędne zastosowanie w związku z:

a) wadliwym uznaniem przez WSA, że Prezes UODO prawidłowo ustalił okoliczności uzasadniające nałożenie kary, a także przesłanki wpływające na jej wysokość oraz uzasadnił rozstrzygnięcie o nałożeniu i wysokości kary w sposób właściwy - podczas gdy właściwa ocena tych okoliczności i przesłanek powinna prowadzić do wniosku, iż w niniejszej sprawie nie zachodziły podstawy do nałożenia kary pieniężnej oraz do jej ustalenia w wysokości, w jakiej wymierzył ją organ;

b) błędną i pozbawioną uzasadnienia oceną Sądu, iż "naruszenia, których dopuściła się Spółka, miały charakter umyślny";

c) wadliwą, powierzchowną i fragmentaryczną oceną WSA, iż "nie wystąpiły żadne okoliczności łagodzące mogące mieć wpływ na ostateczny wymiar kary", która to ocena pomija zwłaszcza następujące okoliczności łagodzące, które są niesporne:

- fakt, iż Spółka nie odniosła jakichkolwiek korzyści finansowych w związku z rzekomymi naruszeniami (83 ust. 2 lit. k) RODO);

- okoliczność, iż skarżąca "dobrze współpracowała" z Prezesem UODO w toku postępowania (art. 83 ust. 2 lit. f) RODO);

- fakt, iż nie ma podstaw do uznania, aby jakiekolwiek osoby, których dane dotyczą, doznały szkody wskutek rzekomych naruszeń Spółki (art. 83 ust. 2 lit. a) RODO);

- fakt, iż nie stwierdzono, aby Spółka dopuściła się uprzednio jakichkolwiek naruszeń przepisów RODO (art. 83 ust. 2 lit. e) RODO.

d) błędną oceną, że rzekome naruszenia skarżącej mają charakter "poważny", bowiem "dotyczą działalności Spółki polegającej na prowadzeniu marketingu i kampanii reklamowych na rzecz innych podmiotów" oraz ze względu na to, że krąg osób dotkniętych naruszeniem rzekomo wynosi ponad 2 miliony (tj. przez błędne utożsamienie - podczas gdy sam fakt prowadzenia działalności Spółki we wskazanym obszarze w żaden sposób nie rzutuje na ocenę ciężaru rzekomych naruszeń, a także nie jest prawdą, że rzekome naruszenia (nawet gdyby miały miejsce, czemu skarżąca przeczy), dotyczyły 2 milionów osób;

5. art. 83 ust. 1, ust. 2, ust. 3 i ust. 5 RODO w zw. z art. 101 u.o.d.o. oraz art. 107 § 3 k.p.a. w z w. z art. 72 u.o.d.o., poprzez błędne zastosowanie, polegające na:

a) wadliwym uznaniu, iż nałożona kara administracyjna "adekwatna" i "proporcjonalna" do rzekomych uchybień Spółki - podczas gdy kary pieniężna nałożona przez Prezesa UODO została wymierzona w wysokości rażąco wygórowanej, nieadekwatnej i nieproporcjonalnej do stwierdzonych rzekomych naruszeń, wynoszącej blisko 20% przychodów netto Spółki za poprzedni rok obrotowy za rzekome uchybienia dotyczące pobocznych okoliczności, których znaczenie i skala w kontekście działalności skarżącej jest marginalna, a także poprzez zaniechanie jakiegokolwiek rzeczowego uzasadnienia dla nałożenia kary pieniężnej w takiej wysokości;

b) braku jakiegokolwiek rzeczowego uzasadnienia dla stwierdzenia, iż kara w takiej wysokości jest "adekwatna" i "proporcjonalna".

Mając powyższe na uwadze skarżąca kasacyjnie Spółka wniosła o uchylenie w całości zaskarżonego wyroku i przekazanie sprawy do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu, orzeczenie o kosztach postępowania sądowego, w tym o kosztach zastępstwa procesowego, zgodnie z obowiązującymi przepisami prawa, a także rozpoznanie skargi kasacyjnej na rozprawie.

Powyższe zarzuty rozwinięto w uzasadnieniu skargi kasacyjnej.

W odpowiedzi na skargę kasacyjną Prezes Urzędu Ochrony Danych Osobowych wniósł o jej oddalenie.

Naczelny Sąd Administracyjny zważył co następuje:

Zarzuty skargi kasacyjnej nie zasługują na uwzględnienie.

W świetle art. 174 p.p.s.a. skargę kasacyjną można oprzeć na następujących podstawach:

1) naruszeniu prawa materialnego przez błędną jego wykładnię lub niewłaściwe zastosowanie,

2) naruszeniu przepisów postępowania, jeżeli uchybienie to mogło mieć istotny wpływ na wynik sprawy.

Podkreślić przy tym trzeba, że Naczelny Sąd Administracyjny jest związany podstawami skargi kasacyjnej, ponieważ w świetle art. 183 § 1 p.p.s.a. rozpoznaje sprawę w granicach skargi kasacyjnej, biorąc z urzędu pod rozwagę jedynie nieważność postępowania. Jeżeli zatem nie wystąpiły przesłanki nieważności postępowania wymienione w art. 183 § 2 p.p.s.a. (a w rozpoznawanej sprawie przesłanek tych brak), to Sąd związany jest granicami skargi kasacyjnej. Oznacza to, że Naczelny Sąd Admnistracyjny nie jest uprawniony do samodzielnego dokonywania konkretyzacji zarzutów skargi kasacyjnej, a upoważniony jest do oceny zaskarżonego orzeczenia wyłącznie w granicach przedstawionych we wniesionej skardze kasacyjnej.

Po pierwsze należy podnieść, że w skardze kasacyjnej sformułowano szereg zarzutów, w których powtórzono wskazanie przepisów – w szczególności art. 151 p.p.s.a., art. 134 § 1 p.p.s.a., art. 141 § 4 p.p.s.a., jak również art. 7 k.p.a., art. 77 § 1 k.p.a., art. 80 k.p.a. Konstruowanie zarzutów skargi kasacyjnej w oparciu o "zbitkę" przepisów, które trudno powiązać z uzasadnieniem podstaw kasacyjnych nie jest prawidłowe, zwłaszcza gdy w ramach zarzutów naruszenia przepisów postępowania powoływane są powyższe przepisy w powiązaniu z przepisami prawa materialnego, co miało miejsce w rozpoznawanej skardze kasacyjnej.

Odnosząc się do zarzutu naruszenia art. 151 p.p.s.a., art. 134 § 1 p.p.s.a., art. 141 § 4 p.p.s.a. należy podnieść, że art. 151 p.p.s.a. ma charakter wynikowy, a jego naruszenie jest skutkiem wcześniej popełnionych przez sąd pierwszej instancji błędów przy ocenie zgodności z prawem przedmiotu zaskarżenia, co w niniejszej sprawie nie miało miejsca, a o czym będzie mowa w dalszej części uzasadnienia.

Z kolei odnosząc się do zarzutu naruszenia art. 134 § 1 p.p.s.a. należy wskazać, iż przepis ten przewiduje, że sąd administracyjny rozstrzyga w granicach danej sprawy nie będąc związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną. Niezwiązanie granicami skargi oznacza, że sąd ten ma prawo, a jednocześnie obowiązek dokonania oceny zgodności z prawem zaskarżonej decyzji nawet wówczas, gdy w skardze dany zarzut nie został podniesiony. Nie jest przy tym związany sposobem sformułowania skargi, użytymi argumentami, a także zgłoszonymi wnioskami, zarzutami i żądaniami. Dla skuteczności zarzutu skargi kasacyjnej opartego na tym przepisie należy wykazać, że Sąd pierwszej instancji, rozpoznając skargę, dokonał oceny pod względem zgodności z prawem innej sprawy (w znaczeniu przedmiotowym i podmiotowym) lub z przekroczeniem granic danej sprawy (zob. wyrok NSA z 20 grudnia 2012 r., sygn. akt II OSK 1580/11), a także w przypadku, gdy powinien był wyjść poza granice zakreślone zarzutami i wnioskami skargi oraz powołaną w niej podstawą prawną, a tego nie uczynił, i że owo zaniechanie mogło mieć istotny wpływ na wynik sprawy (zob. wyrok NSA z 21 stycznia 2014 r., sygn. akt II GSK 1560/12), jak również wtedy, gdy strona w postępowaniu sądowym wskazywała na istotne dla sprawy uchybienia popełnione na etapie postępowania administracyjnego bądź powołała w postępowaniu sądowym dowody, które zostały przez sąd pominięte, względnie, gdy w postępowaniu administracyjnym popełniono uchybienia na tyle istotne, a przy tym oczywiste, iż bez względu na treść zarzutów sąd nie powinien był przechodzić nad nimi do porządku (zob. wyrok NSA z 11 września 2012 r., sygn. akt I OSK 1234/12, wyrok NSA z 28 lutego 2012 r., sygn. akt II OSK 2395/10).

W ocenie Naczelnego Sądu Administracyjnego w rozpoznawanej sprawie żadna ze wskazanych wyżej okoliczności nie wystąpiła. Fakt, że strona skarżąca kasacyjnie wysnuwa odmienne niż organ i Sąd pierwszej instancji wnioski z ustaleń stanu faktycznego sprawy, nie świadczy o naruszeniu omawianego przepisu.

Nie jest też zasadny zarzut naruszenia art. 141 § 4 p.p.s.a. Przypomnieć zatem należy, że art. 141 § 4 p.p.s.a. określa elementy, które powinny znaleźć się w uzasadnieniu wyroku. Zgodnie z dyspozycją przywołanej powyżej regulacji uzasadnienie wyroku powinno zawierać zwięzłe przedstawienie stanu sprawy, zarzutów podniesionych w skardze, stanowisk pozostałych stron, podstawę prawną rozstrzygnięcia oraz jej wyjaśnienie. W orzecznictwie przyjmuje się, że wadliwość uzasadnienia wyroku może stanowić przedmiot skutecznego zarzutu kasacyjnego, jeżeli nie wiadomo, jaki stan faktyczny Sąd pierwszej instancji przyjął jako podstawę wyrokowania, a także w sytuacji, gdy uzasadnienie sporządzone jest w taki sposób, że niemożliwa jest kontrola instancyjna zaskarżonego wyroku. Przepis art. 141 § 4 p.p.s.a. może być podstawą uwzględnienia skargi kasacyjnej, gdy wada uzasadnienia nie pozwala na kontrolę instancyjną orzeczenia lub gdy uzasadnienie obejmuje rozstrzygnięcie, którego nie ma w sentencji orzeczenia. Funkcja uzasadnienia wyroku wyraża się bowiem w tym, że jego adresatem, oprócz stron, jest także Naczelny Sąd Administracyjny. Tworzy to więc po stronie wojewódzkiego sądu administracyjnego obowiązek wyjaśnienia motywów podjętego rozstrzygnięcia w taki sposób, który umożliwi przeprowadzenie kontroli instancyjnej zaskarżonego orzeczenia w sytuacji, gdy strona postępowania zażąda, poprzez wniesienie skargi kasacyjnej, jego kontroli (vide uchwała składu siedmiu sędziów NSA z 15 lutego 2010 r. sygn. akt II FPS 8/09, wyrok NSA z 12 października 2010 r. sygn. akt II OSK 1620/10). Uzasadnienie wyroku powinno być tak sporządzone, aby wynikało z niego, dlaczego sąd uznał zaskarżone orzeczenie za zgodne lub niezgodne z prawem, dlaczego nie stwierdził czy stwierdził w rozpatrywanej sprawie naruszenia przez organy administracji przepisów prawa materialnego, czy też przepisów procedury w stopniu, który mógłby mieć wpływ na treść rozstrzygnięcia (por. wyrok NSA z 4 stycznia 2011 r., sygn. akt II OSK 1985/09). Uzasadnienie powyższego wyroku spełnia powyższe wymagania, a Naczelny Sąd Administracyjny nie ma wątpliwości co do tego, jaki stan faktyczny został przyjęty jako podstawa rozstrzygnięcia.

Zarzuty naruszenia przepisów postępowania, w których wskazano na naruszenia art. 7 k.p.a., art. 77 § 1 k.p.a., art. 80 k.p.a. również nie są zasadne. Brak jest podstaw – w oparciu o zgromadzony materiał dowodowy – do zakwestionowania ustaleń, iż strona skarżąca kasacyjnie pozyskała większość danych osobowych od uczestników konkursu o nazwie "Najszybszy-wygrywa" drogą elektroniczną za pomocą formularzy rejestracyjnych. Na dzień 31 stycznia 2019 r. strona skarżąca kasacyjnie przetwarzała dane 2190689 osób w tzw. "bazie produkcyjnej". W trakcie wypełniania formularza rejestracyjnego użytkownik konkursu wyrażał zgodę na przetwarzanie danych osobowych przez [...] Sp. z o.o. w celach marketingowych podmiotów trzecich również w przyszłości, na udostępnianie danych kontrahentom [...] Sp. z o.o. w celach marketingowych, na przekazywanie informacji handlowych drogą elektroniczną przez [...] Sp. z o.o., w tym na zlecenie podmiotów trzecich oraz przez kontrahentów [...] Sp. z o.o. oraz na przekazywanie informacji marketingowych drogą telefoniczną i elektroniczną przez [...] Sp. z o.o., w tym na zlecenie podmiotów trzecich oraz przez kontrahentów [...] Sp. z o.o. Wszystkie powyższe zgody zostały pozyskane przy użyciu przycisku "[...]". Podstawowym zadaniem uczestników konkursu było wypełnienie formularza rejestracyjnego w jak najkrótszym czasie, co już sugeruje, że zamiarem strony skarżącej kasacyjnie było pozyskanie zgód przy pomocy systemu, w którym większość osób nie zapoznaje się z treścią składanych oświadczeń, działając pod presją czasu.

Treść uzyskanych zgód wyraźnie przemawia za tym, że strona skarżąca zbierając dane uczestników konkursów tworzyła bazę danych z zamiarem wykorzystania jej w celu prowadzenia działalności marketingowej na rzecz innych podmiotów. Po zakończeniu konkursów strona skarżąca kasacyjnie wykorzystuje zgromadzone dane wyłącznie w ten sposób.

Przede wszystkim należy podnieść, że sformułowane w skardze kasacyjnej zarzuty nie dotyczą wskazanych wyżej okoliczności. Okoliczności te stanowią jednak podstawę dokonania oceny zgodności z prawem działań strony skarżącej polegających na wdrożeniu mechanizmów umożliwiających wycofanie udzielonych w powyższy sposób zgód na przetwarzanie danych osobowych oraz realizację prawa do żądania niezwłocznego usunięcia swoich danych osobowych. Drugą kwestią podlegającą ocenie było przetwarzanie bez podstawy prawnej danych osób, które nie są klientami strony skarżącej kasacyjnie, a od których otrzymała ona żądanie zaprzestania przetwarzania danych osobowych. Te kwestie mają istotne znaczenie dla rozstrzygnięcia sprawy administracyjnej.

W zarzutach naruszenia prawa procesowego strona skarżąca kasacyjnie nie kwestionuje w istocie konkretnych ustaleń stanu faktycznego sprawy, lecz ich ocenę przez Sąd pierwszej instancji w kontekście naruszenia przepisów RODO. Tak skonstruowane zarzuty nie mogą stanowić podstawy kasacyjnej z art. 174 pkt 2 p.p.s.a., gdyż w istocie strona skarżąca kasacyjnie zarzuca Sądowi pierwszej instancji naruszenia prawa materialnego, w szczególności naruszenia wymienionych w podstawach kasacyjnych oznaczonych jako A) 2. 3. 4. 5. przepisów RODO.

Strona skarżąca kasacyjnie nie wskazała również konkretnie, na czym miałyby polegać "dodatkowe czynności dowodowe uzasadniające zmianę ustaleń faktycznych", o których mowa w zarzucie A. 2.b) skargi kasacyjnej.

Należy podkreślić, że Sąd pierwszej instancji nie kwestionował, że odwołanie zgody na przetwarzanie danych było możliwe poprzez wysłanie prośby na dedykowany adres e-mail czy też adres korespondencyjny. Przedmiotem odmiennej oceny, niż wyrażona przez stronę skarżącą kasacyjnie, była natomiast kwestia, czy taki sposób odwołania zgody umożliwia jej łatwe i skuteczne wycofanie. Ta kwestia nie może być jednak przedmiotem rozpoznania w ramach zarzutów naruszenia przepisów postępowania.

Powyższe uwagi dotyczą również częściowo zarzutu sformułowanego w punkcie A.6. skargi kasacyjnej, gdyż powołane w zarzucie przepisy RODO mają charakter materialnoprawny i nie mogą stanowić skutecznej podstawy zarzutu naruszenia art. 174 pkt 2 p.p.s.a. Natomiast w warstwie proceduralnej należy podnieść, że Sąd pierwszej instancji odniósł się do kwestii nałożenia i wysokości kary pieniężnej na s. 34 i 35 uzasadnienia zaskarżonego wyroku, analizując charakter naruszeń, których dopuściła się strona skarżąca kasacyjnie oraz stwierdzając brak okoliczności łagodzących. Naczelny Sąd Administracyjny w pełni aprobuje stanowisko Sądu pierwszej instancji w tej kwestii.

W odniesieniu do zarzutu sformułowanego w punkcie A. 7. skargi kasacyjnej należy podnieść, że zarzut ten jest bezzasadny, gdyż strona skarżąca kasacyjnie nie wskazała, jaki powyższe uchybienie mogło wywrzeć wpływ na wynik sprawy. Przez "wpływ", o którym mowa w art. 174 pkt 2 p.p.s.a. należy rozumieć istnienie związku przyczynowego pomiędzy uchybieniem procesowym podniesionym w zarzucie skargi kasacyjnej a wydanym w sprawie zaskarżonym orzeczeniem. Związek ten, jakkolwiek nie musi być realny (uchybienie mogło mieć istotny wpływ), to jednak musi uzasadniać istnienie hipotetycznej możliwości odmiennego wyniku sprawy, co wymaga uprawdopodobnienia istnienia wpływu zarzucanego naruszenia na wynik sprawy, a więc oznacza obowiązek wykazania oraz uzasadnienia, że następstwa zarzucanych uchybień były na tyle istotne, że kształtowały lub współkształtowały treść kwestionowanego orzeczenia, a w sytuacji, gdyby do nich nie doszło, wyrok sądu administracyjnego pierwszej instancji byłby (mógłby być) inny. Skoro przy tym na gruncie art. 174 pkt 2 p.p.s.a. jest mowa o "naruszeniu przepisów postępowania, jeżeli uchybienie to mogło mieć istotny wpływ na wynik sprawy", to za uzasadniony trzeba uznać i ten wniosek, że nie chodzi o każde (jakiekolwiek) naruszenia przepisów postępowania, lecz o naruszenie kwalifikowane jego skutkiem, a mianowicie skutkiem, którego wpływ może nie pozostawać bez wpływu na inny wynik sprawy, co wymaga uprawdopodobnienia istnienia wpływu zarzucanego naruszenia prawa na wynik sprawy. Samo stwierdzenie, że strona nie miała możliwości "ostatecznego zajęcia stanowiska" nie przesądza o zasadności tak skonstruowanego zarzutu, skoro strona skarżąca kasacyjnie nie oferuje nowych dowodów dla uzasadnienia swych twierdzeń a jedynie polemizuje ze stanowiskiem Sądu pierwszej instancji opartym na zgromadzonym w sprawie materiale dowodowym.

Ponieważ zarzuty naruszenia przepisów postępowania okazały się bezzasadne należy przyjąć, że ustalenia poczynione w ramach stanu faktycznego przyjętego przez Sąd pierwszej instancji jako podstawa rozstrzygnięcia, są prawidłowe.

Przechodząc do oceny zarzutów naruszenia prawa materialnego należy w pierwszej kolejności podnieść, że zarzut sformułowany w punkcie B.1. dotyczy naruszenia przepisów postępowania (art. 104 § 2 k.p.a. i art. 107 § 1 pkt 5 k.p.a.), a jego uzasadnienie wskazuje na to, że zarzut dotyczy konstrukcji decyzji, zatem powinien być powiązany z podstawą kasacyjną z art. 174 pkt 2 p.p.s.a. Niezależnie jednak od błędnej konstrukcji zarzutu należy podnieść, że zakres naruszenia, jakiego dopuściła się strona skarżąca kasacyjnie, został określony w sposób wystarczająco precyzyjny. Z treści zaskarżonej decyzji wynika w sposób niebudzący wątpliwości, że naruszenia te polegają na niewdrożeniu odpowiednich środków technicznych i organizacyjnych, które uniemożliwiały osobie, której dane dotyczą, łatwe i skuteczne wycofanie zgody na przetwarzanie swoich danych osobowych oraz realizację prawa do żądania niezwłocznego usunięcia swoich danych osobowych (prawa do bycia zapomnianym) oraz przetwarzaniu bez podstawy prawnej danych osób, które nie są klientami [...] Sp. z o.o., a od których [...] Sp. z o.o. otrzymała żądania zaprzestania przetwarzania danych osobowych. Konkretne uchybienia wraz ze wskazaniem podstawy prawnej zostały również opisane w treści decyzji, o czym mowa na str. 3 – 4 uzasadnienia zaskarżonego wyroku w punktach od 1 do 5.

Również powołane w punkcie B) 2 skargi kasacyjnej przepisy art. 104 § 2 k.p.a., art. 107 § 1 pkt 5 k.p.a., art. 8 § 1 k.p.a. i art. 11 k.p.a. stanowią przepisy prawa procesowego, zatem powinny być powiązane z drugą podstawą kasacyjną. To samo dotyczy podstawy kasacyjnej sformułowanej w punkcie B) 3, gdzie powołano w szczególności art. 104 § 2 k.p.a. i art. 107 § 1 pkt 5 i 6 k.p.a. Również z uzasadnienia powyższych podstaw kasacyjnych wynika, że zarzuty dotyczą błędnej konstrukcji decyzji.

W odniesieniu do zarzutu naruszenia art. 58 ust. 2 lit. d RODO należy podnieść, że zgodnie z tym przepisem każdemu organowi nadzorczemu przysługują uprawnienia naprawcze polegające na nakazaniu administratorowi lub podmiotowi przetwarzającemu dostosowania operacji przetwarzania do przepisów niniejszego rozporządzenia, a w stosownych przypadkach wskazanie sposobu i terminu. Z takich uprawnień skorzystał organ w zaskarżonej decyzji nakazując stronie skarżącej kasacyjnie dostosowanie przetwarzania danych osobowych do przepisów rozporządzenia 2016/679 w terminie 14 dni od doręczenia decyzji poprzez zmodyfikowanie procesu obsługi wniosków o odwołanie zgody na przetwarzanie danych w taki sposób, by osoby, których dane dotyczą mogły skutecznie skorzystać ze swojego prawa do wycofania zgody oraz prawa do bycia zapomnianym oraz usunięcie danych osobowych osób, które nie są klientami [...] Sp. z o.o., a od których [...] Sp. z o.o. otrzymała żądanie zaprzestania przetwarzania danych osobowych.

Wbrew twierdzeniom strony skarżącej kasacyjnie zarówno stwierdzone naruszenia, jak i nakaz dostosowania operacji przetwarzania do przepisów rozporządzenia zostały opisane i sformułowane w sposób na tyle precyzyjny, by wykonanie decyzji było możliwe. Organ nie miał obowiązku wskazywania konkretnego sposobu dostosowania operacji przetwarzania do przepisów RODO.

Niewątpliwie natomiast możliwość wycofania zgody na przetwarzanie danych powinna być równie łatwa, jak jej udzielenie. Narusza przepisy RODO taki tryb wycofania zgody, który jest bardziej skomplikowany od jej udzielenia, na co trafnie wskazuje Sąd pierwszej instancji na str. 29-30 uzasadnienia zaskarżonego wyroku. W kontekście nieprawidłowości procesu wycofania zgody na przetwarzanie danych osobowych strona skarżąca nie powołała jednak w podstawach kasacyjnych naruszenia art. 7 ust. 3, art. 12 ust. 2 i art. 17 ust. 1 lit. b RODO, zatem ta kwestia nie może być przedmiotem szerszych rozważań.

Zarzut sformułowany w punkcie B) 4. skargi kasacyjnej stanowi w istocie przypadkową "zbitkę" przepisów prawa materialnego i przepisów prawa procesowego. Nadto zarzut ten, choć sformułowany w ramach pierwszej podstawy skargi kasacyjnej, nawiązuje do kwestii niewłaściwych ustaleń stanu faktycznego sprawy. Już z tych przyczyn zarzut ten nie może być uznany za skuteczny. Należy też powtórzyć, że Sąd pierwszej instancji odniósł się do kwestii nałożenia i wysokości kary pieniężnej na str. 34 i 35 uzasadnienia zaskarżonego wyroku, analizując charakter naruszeń, których dopuściła się strona skarżąca kasacyjnie oraz stwierdzając brak okoliczności łagodzących. Naczelny Sąd Administracyjny w pełni aprobuje stanowisko Sądu pierwszej instancji w tej kwestii. Strona skarżąca kasacyjnie naruszyła podstawowe zasady rozporządzenia 2018/679, w tym prawo do usunięcia danych, o których mowa w art. 17 ust. 1 lit. b rozporządzenia oraz zasady przejrzystości i rzetelności wynikające z art. 5 ust. 1 lit. a rozporządzenia. Liczba osób, które nie miały możliwości łatwego cofnięcia zgody na przetwarzanie danych osobowych wyniosła ponad 2.000.000, nie można zatem mówić o drobnym czy mało istotnym charakterze naruszeń. Naczelny Sąd Administracyjny podziela stanowisko Sądu pierwszej instancji, że proces odwołania zgody powinien przebiegać w sposób łatwy, nieskomplikowany i za pomocą tego samego kanału w informacyjnego, za pomocą którego pozyskano zgodę. Niedopuszczalne jest stosowanie mechanizmów utrudniających cofnięcie zgody (np. konieczności wskazywania powodów jej cofnięcia) czy też mechanizmów "wielostopniowego" odsyłania do kolejnych stron internetowych. Nie jest też w tej konkretnej sytuacji wystarczająca droga mailowa, gdyż nie w ten sposób zgodę uzyskano. Opisany w protokole kontroli proces odwołania zgody wskazuje na utrudnienia stawiane przed podmiotem, który chce zgodę odwołać i wprowadzanie go w błąd co do skutków podejmowanych czynności.

Nadto należy podnieść, że art. 85 ust. 2 i ust. 5 RODO składają się z wielu mniejszych jednostek redakcyjnych. Przez podstawę kasacyjną należy rozumieć konkretny przepis prawa, którego naruszenie przez Sąd pierwszej instancji zarzuca skarga kasacyjna, a w odniesieniu do przepisu, który nie stanowi jednej zamkniętej całości, a składa się z ustępów, punktów i innych jednostek redakcyjnych, wymóg skutecznie wniesionej skargi kasacyjnej jest spełniony wówczas, gdy wskazuje ona konkretny przepis naruszony przez sąd pierwszej instancji, z podaniem numeru artykułu, ustępu, punktu i ewentualnie innej jednostki redakcyjnej przepisu. Powyższe reguły nie zostały dochowane przy sporządzaniu skargi kasacyjnej, co sprawia, że zarzut nie poddaje się kontroli Sądu.

Z tych względów, na podstawie art. 184 p.p.s.a., Naczelny Sąd Administracyjny orzekł jak w sentencji wyroku.

O kosztach postępowania orzeczono na podstawie art. 204 pkt 1 p.p.s.a.