>Decyzje Giodo>2009 >

DOLiS-440-275/09 DOLiS/DEC- 1294-/09

GENERALNY INSPEKTOR OCHRONY DANYCH
OSOBOWYCH
Michał Serzycki

Warszawa, dnia 23 grudnia 2009 r.

DECYZJA

Na podstawie art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (tekst jedn. Dz. U. z 2000 r. Nr 98, poz. 1071 z późn. zm.) w związku z art. 22 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jedn. Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.), po przeprowadzeniu postępowania administracyjnego w sprawie przetwarzania przez P, danych osobowych abonentów w celu marketingu oferty produktowej P oraz banku B,

umarzam postępowanie

Uzasadnienie
 

Postanowieniem z dnia 11 maja 2009 r. (sygn. DOLiS/POST-115/09/16758,16762), Generalny Inspektor Ochrony Danych Osobowych wyłączył z akt postępowania w sprawie znak: DOLiS-440-499/08, karty nr 57-57a oraz 97–125 poprzez sporządzenie ich uwierzytelnionych odpisów (ze zanonimizowanymi danymi osoby fizycznej będącą stroną postępowania w sprawie o znaku j.w.) i włączył je do postępowania w sprawie przetwarzania
przez P, danych osobowych abonentów w celach marketingowych innych podmiotów, wszczynając jednocześnie postępowanie prowadzone z urzędu pod sygnaturą: DOLiS-440-
275/09.
W toku postępowania Generalny Inspektor Ochrony Danych Osobowych ustalił, co następuje.
1. P zawarła w dniu 24 kwietnia 2008 r. z B umowę o współpracy określającą warunki i zasady współpracy stron w zakresie wykonywanych czynności związanych z propagowaniem oferty produktowej przez P oraz Bank.
2. Ofertą produktową była możliwość uzyskania kredytu udzielanego przez Bank abonentom sieci A, korzystających z taryf Komfort i Nowy Komfort. W przypadku uzyskania przez P informacji o udzieleniu abonentowi przez Bank kredytu, następowała aktywacja (za odpłatnością 1,22 zł) Pakietu Minut, którego wielkość uzależniona była od wysokości przyznanego kredytu.
3. Kampania marketingowa realizowana przez PTC polegała na wysyłce ulotki informacyjnej oraz na telefonicznym kontakcie z abonentami. Ulotka reklamowa opatrzona była m.in. logiem „kredyt” z hasłami „to bank dobrych kredytów” oraz „jesteśmy specjalistami, pracujemy w B” W treści ulotki znajdowały się również zapisy „wybierz tani kredyt gotówkowy kredyt dla Abonentów A!” oraz „spełnij swoje marzenia dzięki wspólnej ofercie A i kredyt!”. Ulotka wskazywała, iż w celu uzyskania kredytu należy skontaktować się z konsultantem dostępnym pod podanym numerem telefonu lub wysłać bezpłatny SMS o treści „KREDYT”. Równolegle Oferta Produktowa była promowana w trakcie telefonicznej kampanii marketingowej skierowanej do grupy abonentów, którzy nie zgłosili P sprzeciwu wobec przetwarzania ich danych w celach marketingowych.
4. P w złożonych w sprawie wyjaśnieniach wskazuje, że dane osobowe abonentów przetwarzane w związku z działaniami mającymi promować ofertę produktową, były przetwarzane w celu marketingu usług własnych P, nie zaś w celu promocji towarów i usług podmiotów trzecich (Banku). Niezależnie od powyższego P stoi również na stanowisku, iż przetwarzanie danych osobowych w celu marketingu produktów lub usług podmiotu innego niż administrator danych może następować bez uprzedniej zgody osoby, której dane dotyczą, w oparciu o przesłankę wynikającą z art. 23 ust. 1 pkt 5 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jedn. Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.), zwanej dalej ustawą, który stanowi, iż przetwarzanie danych jest dopuszczalne tylko wtedy, gdy: m.in. jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą.
5. Z wyjaśnień złożonych w sprawie przez P wynika, że kampania marketingowa, której dotyczyła umowa z dnia 24 kwietnia 2008 r. została zakończona dwa tygodnie przed terminem na jaki została zawarta umowa, czyli dniem 30 lipca 2008 r. (§ 13 ust. 1 ww.
umowy).
Po zapoznaniu się z całością zgromadzonego w sprawie materiału dowodowego, Generalny Inspektor Ochrony Danych Osobowych zważył, co następuje.
Na wstępie należy podkreślić, iż przedmiotem niniejszego postępowania nie były działania związane ze zbieraniem w imieniu Banku danych osobowych abonentów P, lecz przetwarzanie przez P danych osobowych abonentów w celu przedstawienia oferty produktowej, czyli działań które miały miejsce przed wyrażeniem przez abonentów zgody na przekazanie ich danych osobowych Bankowi. W tym zakresie nie ulega wątpliwości, iż działania podejmowane przez P miały charakter marketingowy. Sporne było, czy te działania były wyłącznie marketingiem usług własnych P, co wskazywano w składanych wyjaśnieniach, czy również marketingiem usługi świadczonej przez Bank. Zdaniem Generalnego Inspektora Ochrony Danych Osobowych działania podejmowane przez P polegające na przesyłaniu abonentom ulotek reklamowych i kontakcie telefonicznym niewątpliwie były działaniami marketingowymi. Treść przesyłanych przez P ulotek wskazuje, iż ich celem było zachęcenie abonentów do zaciągnięcia w Banku kredytu. Kredyt, który reklamowano (promowano) nie był usługą lub produktem P, lecz usługą Banku. Promocyjny Pakiet Minut oferowany przez P był zdaniem Generalnego Inspektora Ochrony Danych Osobowych jedynie dodatkowym bonusem, mającym zachęcić abonentów do skorzystania z kredytu. Opinię, iż działania prowadzone w niniejszej sprawie służyły celom marketingowym Banku potwierdził również Prezes Urzędu Ochrony Konkurencji i Konsumentów, który w odpowiedzi na skierowane przez Generalnego Inspektora Ochrony Danych Osobowych zapytanie, za pismem z dnia 4 marca 2009 r. (karta 3 i 5 akt sprawy) potwierdził, iż „w ocenie Prezesa Urzędu Ochrony Konkurencji i Konsumentów, przedstawiony przez Generalnego Inspektora Ochrony Danych Osobowych stan faktyczny wskazuje na prowadzenie przez operatora telekomunikacyjnego marketingu nie tylko jego produktów i usług, ale także produktów i usług podmiotu świadczącego usługi kredytowe. Wskazywany przez operatora argument, iż celem takiej oferty jest jedynie promocja własnych produktów i usług nie jest przekonujący. Oczywistym jest, iż - jak zaznaczył operator - przedmiotowe działania marketingowe prowadzone są w jego interesie jako źródło potencjalnych korzyści finansowych. Niemniej jednak, korzyści z takich działań odnosi także bank. Podmiotem prowadzącym działania marketingowe wobec konsumenta pozostaje w całej rozciągłości operator telekomunikacyjny (także w kwestii promowania usług banku), co prowadzi do wniosku, iż działanie operatora nie jest marketingiem jedynie jego własnych produktów lub usług”.
Pozostaje zatem kwestia, czy zgodne z przepisami ustawy o ochronie danych osobowych jest przetwarzanie danych osobowych abonentów P w celach marketingowych Banku, bez ich wcześniejszej zgody. P stoi na stanowisku, iż takie działanie jest możliwe w oparciu o przepis art. 23 ust. 1 pkt 5 ustawy, który stanowi, iż przetwarzanie danych jest dopuszczalne tylko wtedy, gdy m.in. jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. PTC wskazuje również, iż art. 23 ust. 4 pkt 1 ustawy, stanowiący, iż za prawnie usprawiedliwiony cel, o którym mowa w ust. 1 pkt 5, uważa się w szczególności m.in. marketing bezpośredni własnych produktów lub usług administratora danych, nie stanowi zamkniętego katalogu przypadków będących prawnie usprawiedliwionym celem administratora danych, i w związku z powyższym nie jest właściwe stanowisko, że przetwarzanie danych osobowych w celach marketingowych innych niż wskazane w art. 23 ust. 4 pkt 1 ustawy jest niedopuszczalne. P podnosi również że fakt, iż prawnie usprawiedliwionym celem uzasadniającym przetwarzanie danych osobowych bez uprzedniej zgody osoby, której dane dotyczą, jest marketing bezpośredni własnych produktów i usług administratora danych nie oznacza, iż prawnie usprawiedliwionym celem nie jest marketing bezpośredni własnych produktów i usług administratora danych prowadzony łącznie z marketingiem bezpośrednim produktów i usług innych podmiotów.
Należy wobec tego wskazać, iż taka interpretacja ww. art. 23 ust. 1 pkt 5 i art. 23 ust. 4 pkt 1 ustawy jest błędna i prowadzi do naruszenia prawa do ochrony danych osobowych abonentów P. Z powyższych przepisów wyraźnie wynika, iż ta przesłanka ma zastosowanie do marketingu własnych produktów lub usług. W ocenie Generalnego Inspektora Ochrony Osobowych ustawodawca, w art. 23 ust. 4 ustawy o ochronie danych osobowych określił wprost, czym jest prawnie usprawiedliwiony interesu, o którym mowa w art. 23 ust. 1 pkt 5, wyznaczając jednocześnie granice dopuszczalności przetwarzania danych osobowych w celach marketingowych w oparciu tę przesłankę. Zdaniem Generalnego Inspektora Ochrony Danych Osobowych nie istnieją przepisy prawa, które pozwalałyby na rozszerzenie tego pojęcia o marketing produktów lub usług nie będących nie będących produktami lub usługami własnymi administratora danych. Zasadność stanowiska co do braku podstaw prawnych do wykorzystywania danych osobowych dla prowadzenia przez administratora danych marketingu produktów lub usług innych podmiotów bez uprzedniej zgody osoby, której dane dotyczą nie była kwestionowana w sądownictwie administracyjnym.
W szczególności zaś w wyroku z dnia 4 kwietnia 2003 r. sygn. akt II SA 2135/02 Naczelny Sąd Administracyjny oddalił skargę na decyzję Generalnego Inspektora Ochrony Danych Osobowych, w której wobec stwierdzenia braku zgody na przetwarzanie danych osobowych nakazano administratorowi danych przywrócenie stanu zgodnego z prawem poprzez zaprzestanie przetwarzania danych osobowych osoby składającej skargę w celu marketingu produktów i usług osób trzecich.
Nie ulega wątpliwości, że w ustalonym w niniejszej sprawie stanie faktycznym przetwarzanie danych abonentów P w celach marketingu produktów lub usług innych niż produkty i usługi własne P nie mogło ponadto następować w oparciu o przesłanki wskazane w art. 23 ust. 2, 3 i 4 ustawy o ochronie danych osobowych, czyli ze względu fakt, że jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa albo jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą albo jest niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego. Zatem jedyną przesłanką dopuszczającą przetwarzanie danych osobowych w ten sposób może być przesłanka wskazana w art. 23 ust. 1 pkt 1 ustawy, zgodnie z którym przetwarzanie danych jest dopuszczalne tylko wtedy, gdy osoba, której dane dotyczą, wyrazi na to zgodę, chyba że chodzi o usunięcie dotyczących jej danych.
Podsumowując powyższe, w ocenie Generalnego Inspektora Ochrony Danych Osobowych działania podejmowane przez P w celu przedstawienia oferty produktowej były przetwarzaniem danych osobowych abonentów w celu marketingu bezpośredniego produktu podmiotu trzeciego (Banku). Przepisy ustawy o ochronie danych osobowych dopuszczają przetwarzanie danych osobowych w takim celu jedynie po uzyskaniu zgody osoby, której dane dotyczą, a postępowanie nie wykazało, aby P taką zgodą dysponowała. Ustalenia dokonane w niniejszym postępowaniu potwierdzają zatem stanowisko Generalnego Inspektora Ochrony Danych Osobowych przedstawione w skierowanym do P wystąpieniu z dnia 15 grudnia 2008 r. (znak: DOLiS-440-499/08/34679).
Przy tak ustalonym stanie faktycznym i prawnym zasadne zatem byłoby nakazanie
usunięcia przez P uchybień w procesie przetwarzania danych osobowych abonentów w celu marketingu oferty produktowej P oraz B Ze złożonych w sprawie wyjaśnień wynika jednak, iż akcja marketingowa, której dotyczyło niniejsze postępowanie została zakończona. Oznacza to, że przestał istnieć przedmiot postępowania.
Ten fakt wyklucza zaś możliwość wydania decyzji merytorycznie rozstrzygającej sprawę i zobowiązuje organ do umorzenia postępowania. Stosownie do art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2000 r. Nr 98 poz. 1071 ze zm.), zwanej dalej Kpa, gdy postępowanie z jakiejkolwiek przyczyny stało się bezprzedmiotowe, organ administracji publicznej wydaje decyzję o umorzeniu postępowania. Przedmiot postępowania wiąże się ze stosowaniem przez organ publiczny przepisów materialnego prawa administracyjnego. W doktrynie wskazuje się, że: „Bezprzedmiotowość postępowania administracyjnego, o której stanowi art. 105 § 1 Kpa, oznacza, że brak jest któregoś z elementów materialnego stosunku prawnego, a wobec tego nie można wydać decyzji załatwiającej sprawę przez rozstrzygnięcie jej co do istoty. Przesłanka umorzenia postępowania może istnieć jeszcze przed wszczęciem postępowania, co zostanie ujawnione
dopiero w toczącym się postępowaniu, a może ona powstać także w czasie trwania postępowania, a więc w sprawie już zawisłej przed organem administracyjnym” (B. Adamiak, J. Borkowski, Kodeks postępowania administracyjnego. Komentarz, C.H. Beck, Warszawa 2006, s. 489). Ustalenie przez organ publiczny istnienia przesłanki, o której mowa w art. 105 § 1 Kpa, zobowiązuje go, jak podkreśla się w doktrynie i orzecznictwie, do umorzenia postępowania, nie ma bowiem wówczas podstaw do rozstrzygnięcia sprawy co do istoty, a dalsze prowadzenie postępowania w takim przypadku stanowiłoby o jego wadliwości, mającej istotny wpływ na wynik sprawy.
W tym stanie faktycznym i prawnym Generalny Inspektor Ochrony Danych Osobowych rozstrzygnął, jak w sentencji.
Decyzja niniejsza jest ostateczna. Na podstawie art. 21 ust. 1 ustawy o ochronie danych osobowych w zw. z art. 129 § 2 Kodeksu postępowania administracyjnego, stronie niezadowolonej z niniejszej decyzji przysługuje, w terminie 14 dni od dnia jej doręczenia, prawo złożenia do Generalnego Inspektora Ochrony Danych Osobowych wniosku o ponowne rozpatrzenie sprawy (adres: Biuro Generalnego Inspektora Ochrony Danych Osobowych, ul. Stawki 2, 00 – 193 Warszawa).