Wyrok NSA, sygn. akt II SA 2135/02
NSA w Warszawie (przed reformą)
Data orzeczenia: 2003-04-04 00:00:00+02:00 (orzeczenie prawomocne)
Symbol z opisem: 645  Sprawy nieobjęte symbolami podstawowymi 601644 oraz od 646-652
Powołane przepisy: article: art. 7 pkt 5
journal: Dz.U. 1997 nr 133 poz. 883
law: Ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych.
article: art. 23 ust. 1
journal: Dz.U. 2002 nr 101 poz. 926
law: Obwieszczenie Marszałka Sejmu Rzeczypospolitej Polskiej z dnia 17 czerwca 2002 r. w sprawie ogłoszenia jednolitego tekstu ustawy o ochronie danych osobowych.
Teza: Zgoda na przetwarzanie danych osobowych nie może być domniemana lub dorozumiana z oświadczeniem woli o innej treści. Oznacza to, że wyrażający zgodę musi mieć w momencie jej zawarcia świadomość tego, co kryje się pod tym pojęciem.

TEZY

Zgoda na przetwarzanie danych osobowych nie może być domniemana lub dorozumiana z oświadczeniem woli o innej treści. Oznacza to, że wyrażający zgodę musi mieć w momencie jej zawarcia świadomość tego, co kryje się pod tym pojęciem.


SENTENCJA

Naczelny Sąd Administracyjny po rozpoznaniu sprawy ze skargi "B." Sp. z o.o. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia 24 maja 2002 r. (...) w przedmiocie przetwarzania danych osobowych - oddala skargę.


UZASADNIENIE

Stan sprawy przedstawiał się następująco. W dniu 14 stycznia 2002 r. Marcin L. zwrócił się do Generalnego Inspektora Ochrony Danych Osobowych ze skargą na przetwarzanie jego danych osobowych przez C. P. C. Sp. z o.o. GIODO wszczął w sprawie postępowanie administracyjne. W jego toku ustalił, że oferta korzystania z usług C.-P. została dostarczona w wyniku akcji marketingowej prowadzonej przez spółkę "B." Sp. z o.o. /zwanej dalej Spółką/. Spółka ta prowadzi m.in. Klub Książki, którego członkiem jest Marcin L. Zawarła ona umowę o współpracy z C.-P. Materiały były dostarczane przez C.-P. a wysyłane przez Spółkę. Spółka nie przekazała więc danych osobowych członków Klubu Książki innej firmie.

GIODO ustalił również, że uczestnictwo w klubie zobowiązywało członków do kupna publikacji książkowych. Deklaracja o przystąpieniu zawierała postanowienie "Wyrażam zgodę na umieszczanie moich danych w zbiorze danych członków Klubu Świat Książki i na przetwarzanie tych danych zgodnie z celami i zasadami określonymi w Regulaminie Klubu". Do deklaracji Marcina L. regulamin nie był jednak dołączony. Jego par. 8.3. stanowi "Jeżeli Klub nie otrzyma stosownego zastrzeżenia, wyrażenie zgody obejmuje także zgodę na przesyłanie pod adresem członków klubu materiałów promocyjnych i bezpłatnych innych form oraz udostępnianie ich danych osobowych w tym celu innym firmom współpracującym ze Spółką".

Generalny Inspektor Ochrony Danych Osobowych w świetle tych ustaleń decyzją z dnia 12 kwietnia 2002 r. (...) nakazał Spółce przywrócenie stanu zgodnego z prawem w procesie przetwarzania danych osobowych poprzez zaprzestanie przetwarzania danych osobowych Marcina L. w celu marketingu produktów i usług osób trzecich, w tym C.-P. Stwierdził bowiem, że brak było zgody zainteresowanego na takie przetwarzanie.

Decyzją z dnia 12 kwietnia 2002 r. (...) GIODO odmówił natomiast uwzględnienia wniosku dotyczącego nielegalnego przetwarzania danych osobowych przez C. P. C. wskazując, że Spółka ta nie przetwarzała danych pana L.

Spółka B. M. złożyła wówczas 29 kwietnia 2002 r. wniosek o ponowne rozpatrzenie sprawy. Podniosła, że przetwarzała dane na podstawie art. 23 ust. 1 pkt 1 ustawy o ochronie danych osobowych tj. zgody zainteresowanego. Powołała się też na zasadę wolności gospodarczej.

GIODO decyzją z 24 maja 2002 r. (...) utrzymał w mocy swoje rozstrzygnięcie. Podkreślił, że zgoda na przetwarzanie danych musi być wyraźna, a nie dorozumiana. Zawiadomił też 10 maja 2002 r. Prokuraturę Rejonową W.-M. o popełnieniu przestępstwa z art. 49 ust. 1 ustawy.

W dniu 26 czerwca 2002 r. Spółka złożyła skargę na tę decyzję do Naczelnego Sądu Administracyjnego. Wniosła o uchylenie obu rozstrzygnięć i umorzenie postępowania. Zarzuciła im naruszenie art. 23 ust. 1 pkt 1 ustawy o ochronie danych osobowych. Zdaniem Spółki Marcin L. wyraził zgodę na przetwarzanie swoich danych osobowych. W podpisanej przez niego deklaracji znajdowała się bowiem zgoda na przetwarzanie jego danych, zgodnie z Regulaminem Klubu Świat Książki. Paragraf 8.3 Regulaminu zezwala zaś na takie przetwarzanie, jakie miało miejsce w przedmiotowej sprawie. Taka forma wyrażenia zgody wystarczała, gdyż do umów tych jako nienazwanych miał zastosowanie art. 384 par. 2 Kc. Jednocześnie Spółka stwierdziła, że potraktowała skargę pana L. jako sprzeciw i nie będzie do niego wysyłać żadnych materiałów innych firm, ani przekazywać jego danych.

W odpowiedzi na skargę GIODO wniósł o jej oddalenie. Podkreślił, że zgodnie z art. 23 ust. 1 pkt 1 ustawy o ochronie danych osobowych przetwarzanie danych jest dopuszczalne, jeżeli osoba której dane dotyczą wyrazi na to zgodę, chyba że chodzi o usunięcie jej danych. Tymczasem GIODO ustalił, że podpisując deklarację członkowską Marcin L. nie wiedział, na jakie przetwarzanie danych wyraża zgodę. Nie zmienia tego fakt ewentualnej dostępności regulaminu pod wybranym numerem. Nie ma też znaczenia doręczenie go na pierwszym rachunku, gdyż decyduje dzień zawarcia umowy. Wynika to z art. 7 pkt 5 ustawy. Zgoda musi być więc wyraźna i jednoznaczna /J. Barta, R. Markiewicz, "Ochrona danych osobowych", Zakamycze 2001 r., str. 311, czy A. Mednis, "Ustawa o ochronie danych osobowych", W-wa 2001 r., str. 30/. Formuła zawarta w par. 8.3 Regulaminu jest niezgodna z art. 7 pkt 5 ustawy, gdyż zgoda nie może być domniemana lub dorozumiana.

Odnośnie treści art. 384 Kc należy podnieść, iż we wniosku o ponowne rozpatrzenie sprawy Spółka nie podnosiła tego zarzutu. Warunkiem skuteczności takiej zgody jest jednak, czy zainteresowany zna treść takiego dokumentu i wie na co wyraża zgodę. Marcin L. go niewątpliwie nie znał.

Naczelny Sąd Administracyjny zważył że:

Skarga nie jest zasadna. Podstawy przetwarzania danych osobowych określa art. 23 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych /Dz.U. 2002 nr 101 poz. 926/. Zdaniem Spółki w przedmiotowej sprawie miał zastosowanie art. 23 ust. 1 pkt 1 ustawy, tzn. gdy osoba której dane dotyczą, wyrazi na to zgodę. Spór dotyczył więc kwestii, czy wypełniając deklarację przystąpienia do Klubu Książki, Marcin L. wyraził jednocześnie zgodę na wynikającą z par. 8 pkt 3 regulaminu Klubu możliwość udostępniania jego danych osobowych innym firmom i przesyłania mu materiałów promocyjnych i bezpłatnych innych firm.

Naczelny Sąd Administracyjny podzielił w sprawie stanowisko Generalnego Inspektora Ochrony Danych Osobowych, iż nie miało miejsca udzielenie takiej zgody. W sprawie nie znajduje się bowiem zastosowania art. 384 par. 2 Kc, który pozwala na posługiwanie się w stosunkach z konsumentami w umowach powszechnie zawieranych w drobnych sprawach życia codziennego ustalonymi wzorcami umów, wiążącymi drugą stronę nawet wówczas, gdy nie zostały jej dostarczone przy zawarciu umowy, o ile strona ta z łatwością mogła się dowiedzieć o ich treści. Artykuł ten nie znajduje zastosowania z dwóch powodów.

Po pierwsze, o ile można uznać za taką umowę nienazwaną kupno książek za pośrednictwem Spółki, o tyle odrębną kwestią jest umowa o przekazanie danych osobowych. Przekazanie danych nie jest sprawą drobną życia codziennego, a obie te umowy nie są tożsame.

Po drugie ustawodawca wyraźnie wprowadził bardziej rygorystyczne wymogi w odniesieniu do zgody na przekazywanie danych osobowych. Zgodnie z art. 7 pkt 5 ustawy "Ilekroć jest w niej mowa o zgodzie osoby, której dane dotyczą - rozumie się przez to oświadczenie woli, którego treścią jest zgoda na przetwarzanie danych osobowych tego, kto składa oświadczenie, zgoda ta nie może być domniemana lub dorozumiana z oświadczenia woli o innej treści."

Oznacza to, że wyrażający zgodę musi mieć w momencie jej zawarcia świadomość tego, co kryje się pod tym pojęciem. Tymczasem wyrażając zgodę na uczestnictwo w Klubie i posługiwanie się w tym celu jego danymi osobowymi zgodnie z regulaminem Klubu, nie musiał on zdawać sobie sprawy z faktu, iż regulamin zezwala na przetwarzanie jego danych poza cele wynikające z faktu uczestnictwa. W momencie wyrażania zgody nie dysponował bowiem tekstem regulaminu i nie zmieniał tego fakt jego powszechnej dostępności, a także możliwość składania zastrzeżeń. W podpisywanej deklaracji numer telefonu Spółki określony był zresztą jako ten numer, pod którym można było znaleźć szersze informacje o Klubie, a nie o jego regulaminie. Sposób formułowania deklaracji mógł więc wprowadzać w błąd, a podpisujący nie miał świadomości, jak dalece może być traktowana jego zgoda. Naruszało to art. 7 pkt 5 ustawy, który stawia bardzo rygorystyczne wymogi w odniesieniu do tej zgody. Musi mieć ona charakter wyraźny, a jej wszystkie aspekty muszą być jasne dla podpisującego w momencie jej wyrażania. Czynności takiej nie konwaliduje więc późniejsze poinformowanie o treści regulaminu, ani możliwość zgłoszenia zastrzeżeń wobec pewnych form przetwarzania danych.

Stąd też Naczelny Sąd Administracyjny nie dopatrzył się w zaskarżonej decyzji naruszenia prawa.

Dlatego Naczelny Sąd Administracyjny orzekł na podstawie art. 27 ust. 1 i art. 53 ust. 2 ustawy z dnia 11 maja 1995 r. o Naczelnym Sądzie Administracyjnym /Dz.U. nr 74 poz. 368 ze zm./ w związku z art. 7 pkt 5 i art. 23 ust. 1 pkt 1 powoływanej ustawy o ochronie danych osobowych jak w sentencji.