Wyrok WSA w Warszawie z dnia 4 kwietnia 2024 r., sygn. II SA/Wa 1286/23

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Joanna Kube, Sędzia WSA Iwona Maciejuk (spr.), Asesor WSA Dorota Kozub-Marciniak, Protokolant referent Edyta Brzezicka po rozpoznaniu na rozprawie w dniu 4 kwietnia 2024 r. sprawy ze skargi P. sp. z o.o. z siedzibą w K. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] kwietnia 2023 r. nr [...] w przedmiocie przetwarzania danych osobowych 1. uchyla zaskarżoną decyzję, 2. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz strony skarżącej P. sp. z o.o. z siedzibą w K. kwotę 697 (słownie: sześćset dziewięćdziesiąt siedem) złotych, tytułem zwrotu kosztów postępowania.

Uzasadnienie

M. S., zwana dalej wnioskodawczynią, uczestniczką postępowania, za pośrednictwem platformy e-PUAP, [...] stycznia 2021 r. złożyła skargę do Prezesa Urzędu Ochrony Danych Osobowych wskazując, że "Firma P. Sp. z o.o., prowadząca stronę z kodami rabatowymi B., od pewnego czasu zasypuje mnie niechcianymi e-mailami z adresu @B..pl." Wyjaśniła, że nie zapisywała się do newslettera na stronie B. ani nie przypomina sobie , żeby w inny sposób wyrażała zgodę na przetwarzanie swoich danych. W dniu [...].11.2020 r. przesłała e-mail na adres firmy P. podany w polityce prywatności na stronie B., zawierający cofnięcie zgody, gdyby ją niechcący gdzieś wyraziła, oraz sprzeciw wobec otrzymywania takiej poczty. Dodała, że P. Sp. z o.o., zwana dalej także Spółką, do tej pory w żaden sposób nie odpowiedziała na jej maila oraz, że nadal otrzymuje po kilka spamowych e-mali dziennie. W ocenie skarżącej firma P. od początku nielegalnie przetwarza jej dane w postaci e-mail, skoro nie zapisywała się do newslettera.

Wnioskodawczyni w piśmie z [...] stycznia 2021 r. doprecyzowała skargę, podtrzymała wcześniej wyrażone stanowisko dodając, że P. mimo upływu ponad 30 dni, w żaden sposób nie odpowiedziała na jej e-mail z ...11.2020 r. Zwróciła się do Prezesa UODO o nakazanie administratorowi, by spełnił jej żądanie - w zakresie uznania przez firmę P. cofnięcia jej zgody na przetwarzanie (choć, nie przypomina sobie, żeby takiej zgody udzielała) oraz uwzględnienia jej sprzeciwu wobec przetwarzania jej danych w postaci adresu e-mail w celu przesyłania jej wiadomości reklamowych, który w piśmie do P. z dnia ...11.2020 r. wyraziłam słowami "proszę NIGDY WIĘCEJ nie wysyłać treści reklamowych na mój adres e-mail". Zwróciła również uwagę, że w przykładowym e-mailu od P., który załączyła, znajduje się informacja: "Administratorem danych w postaci [...] .onet.pl jest P. Sp. z o.o., ul. C. [...], 30-048 K.. Dane przetwarzane są w celach marketingowych na podstawie oraz w zakresie zgód na przetwarzanie oraz na otrzymywanie informacji handlowych udzielonych Administratorowi." W ocenie wnioskodawczyni sugerowałoby to, że jej dane są przetwarzane na podstawie jej zgody - a tej na pewno nie udzielała firmie P. (na pewno nie zapisywała się do newslettera na stronie www.B..pl). Brała pod uwagę, że może chodzić o zgodę na "przekazanie danych partnerom handlowym", udzieloną innemu podmiotowi, na ile jednak rozumie zapisy RODO, zgoda na dostarczanie treści marketingowych powinna być świadoma, a nie przemycona w innym dokumencie. Dlatego liczyła również na to, że Prezes UODO może nałożyć karę finansową na firmę, która stosuje takie praktyki, tzn. przetwarza dane osobowe na podstawie zgody, która faktycznie nie została udzielona, a także nie udziela odpowiedzi w terminie na e-mail przesłany na adres podany do tych celów w polityce prywatności administratora. Być może tego rodzaju kary finansowe powstrzymałyby inne firmy przed stosowaniem podobnych praktyk w przyszłości.