Naczelny Sąd Administracyjny w składzie: Przewodniczący: Sędzia NSA Małgorzata Jaśkowska (spr.) Sędziowie: Sędzia NSA Zbigniew Ślusarczyk Sędzia del. WSA Mirosław Wincenciak Protokolant: sekretarz sądowy Adrian Wawer po rozpoznaniu w dniu 18 kwietnia 2018 roku na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej [... ] S.A. z siedzibą w W. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 18 lutego 2016 r., sygn. akt II SA/Wa 1655/15 w sprawie ze skargi [...] S.A. z siedzibą w W. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] lipca 2015 r., nr [...] w przedmiocie przetwarzania danych osobowych 1. oddala skargę kasacyjną; 2. zasądza od [...] S.A. z siedzibą w W. na rzecz Generalnego Inspektora Ochrony Danych Osobowych kwotę 360 (trzysta sześćdziesiąt) zł tytułem zwrotu kosztów postępowania kasacyjnego.
Zaskarżonym wyrokiem z dnia 18 lutego 2016 r. Wojewódzki Sąd Administracyjny w Warszawie (sygn. akt II SA/Wa 1655/15) oddalił skargę [...] S.A. z siedzibą w W. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] lipca 2015 r. nr [...] w przedmiocie przetwarzania danych osobowych.
Sąd I instancji orzekał w następującym stanie sprawy.
Na skutek wszczętego z urzędu postępowania administracyjnego Generalny Inspektor Ochrony Danych Osobowych (dalej: GIODO) decyzją z dnia [...] kwietnia 2015 r. nakazał [...] S.A. z siedzibą w W., jako administratorowi danych, usunięcie uchybień w procesie przetwarzania danych osobowych, poprzez:
1. Sformułowanie klauzuli zgody na przetwarzanie przez Spółkę danych transmisyjnych dla celów marketingu usług Spółki, zamieszczonej w stosowanym przez Spółkę formularzu umowy o świadczenie usług telekomunikacyjnych, w sposób odrębny od klauzuli zgody na przetwarzanie danych transmisyjnych dla celów marketingu usług podmiotów, z którymi Spółka współpracuje w zakresie rozpowszechniania informacji handlowej tych podmiotów przy jednoczesnym zapewnieniu osobom, których dane dotyczą, możliwości odmowy wyrażenia zgody na przetwarzanie danych transmisyjnych dla każdego z wymienionych celów, a ponadto zapewnieniu, aby wyrażenie tych zgód było niezależne od wyrażenia zgody na otrzymywanie drogą elektroniczną (np. SMS, MMS, e-mail) informacji handlowych Spółki oraz informacji handlowych partnerów Spółki oraz zgody na używanie automatycznych systemów wywołujących dla celów marketingu bezpośredniego, w terminie 2 miesięcy od dnia, w którym niniejsza decyzja stanie się ostateczna.
2. Zapewnienie osobom fizycznym zawierającym ze Spółką umowę o świadczenie usług telekomunikacyjnych - za pośrednictwem internetowego oraz telefonicznego kanału sprzedaży - swobody (opcjonalności) w kwestii wyrażenia zgody na przetwarzanie przez Spółkę danych osobowych widniejących w dowodzie osobistym, a wykraczających poza zakres określony w art. 161 ust. 2 ustawy z dnia 16 lipca 2004 r. Prawo telekomunikacyjne (obecnie Dz. U. z 2017 r. poz. 1907 ze zm.), w terminie 30 dni od dnia, w którym niniejsza decyzja stanie się ostateczna.
Od powyższej decyzji w zakresie określonym w punkcie 2 [...] S.A. złożyła wniosek o ponowne rozpatrzenie sprawy.
GIODO decyzją z dnia [...] lipca 2015 r., utrzymał w mocy swoją wcześniejszą decyzję. W uzasadnieniu wskazał, że Spółka udostępnia klientom trzy "kanały sprzedaży", za pośrednictwem których można zawrzeć umowę o świadczenie usług telekomunikacyjnych, tj. tzw. kanał sklepowy (sklepy stacjonarne), kanał internetowy oraz kanał telefoniczny. W przypadku zawierania ze Spółką umowy o świadczenie usług telekomunikacyjnych za pośrednictwem kanału internetowego lub kanału telefonicznego, warunkiem zawarcia tej umowy jest przekazanie Spółce kopii dowodu osobistego oraz wyrażenie zgody na przetwarzanie danych osobowych w nim zawartych (wizerunek, wzrost, kolor oczu oraz adres zameldowania - pkt 15.4 formularza umowy). Przekazanie Spółce danych, o których mowa powyżej oraz wyrażenie zgody na ich przetwarzanie, jest dobrowolne (opcjonalne) wyłącznie w sytuacji, gdy klient zawiera umowę o świadczenie usług telekomunikacyjnych ze Spółką w sklepie stacjonarnym. Natomiast w przypadku kanału internetowego oraz kanału telefonicznego, przekazanie wszystkich danych widniejących w dowodzie osobistym oraz wyrażenie zgody na ich przetwarzanie jest obligatoryjne. W trakcie postępowania kontrolnego Spółka wyjaśniła, że wprowadzenie powyższych zasad wynika z konieczności zabezpieczenia się przed nadużyciami, jakie w przeszłości masowo występowały w sprzedaży telefonicznej i internetowej.