Decyzja

Na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2021 r., poz. 735), art. 160 ust. 1 i 2 ustawy z dnia 10 maja 2018 r.  o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781) w związku z art. 12 pkt 2  i art. 22 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r.,  poz. 922 ze zm.) oraz art. 6 ust. 1 lit. c) i lit. f) oraz art. 57 ust. 1 lit. a) i lit. f) Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych osobowych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, ze zmianami ogłoszonymi  w Dz. Urz. UE L 127 z 23.05.2018, str.2, oraz w Dz. Urz. UE L 74 z 04.03.2021, str. 35),  po przeprowadzeniu postępowania administracyjnego w sprawie skargi Pana A. N. na przetwarzanie jego danych osobowych, w tym na przetwarzanie ich w celach marketingowych przez L. Sp. z o.o., Prezes Urzędu Ochrony Danych Osobowych

odmawia uwzględnienia wniosku.

Uzasadnienie

Do Prezesa Urzędu Ochrony Danych Osobowych (uprzednio: Generalnego Inspektora Ochrony Danych Osobowych) wpłynęła skarga Pana A. N., zwanego dalej Skarżącym, na przetwarzanie jego danych osobowych, w tym na przetwarzanie ich w celach marketingowych przez L. Sp. z o.o., zwaną dalej także Spółką.

Skarżący podniósł, że pomimo skierowania do Spółki pisemnego żądania zaprzestania przetwarzania jego danych osobowych do celów marketingowych, Spółka wciąż kieruje do niego SMS-y zawierające treści reklamowe. Tym samym, mimo zgłoszonego sprzeciwu Skarżącego, Spółka nie podejmuje skutecznych działań zmierzających do spełnienia jego żądania.

W związku z przedstawionymi w skardze zdarzeniami, Skarżący wniósł do organu nadzorczego o spowodowanie zaprzestania przetwarzania jego danych osobowych przez Spółkę.

W toku przeprowadzonego postępowania wyjaśniającego Prezes Urzędu Ochrony Danych Osobowych ustalił następujące okoliczności faktyczne, mające istotne znaczenie dla rozstrzygnięcia sprawy:

1. L. Sp. z o.o. wpisana do Rejestru Przedsiębiorców Krajowego Rejestru Sądowego pod nr KRS […], prowadzi m.in. działalność w zakresie opieki zdrowotnej, działalność usługową związaną z poprawą kondycji fizycznej, jak  i świadczeniem usług fryzjerskich i pozostałych zabiegów.
2. Pismem z […] czerwca 2015 r., skierowanym do Działu […] Spółki, Skarżący korzystając z uprawnienia wynikającego z art. 32 ust. 1 pkt 8 ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych wniósł sprzeciw wobec przetwarzania jego danych osobowych przez Spółkę w celach marketingowych oraz w celu przekazywania ich innym administratorom danych. Powodem złożenia sprzeciwu miały być materiały reklamowe przesyłane przez Spółkę Skarżącemu w formie wiadomości tekstowych.
3. Jak oświadczyła Spółka w pisemnych wyjaśnieniach złożonych przed Prezesem Urzędu Ochrony Danych Osobowych, do siedziby Spółki nigdy nie wpłynęło żądanie Skarżącego  w przedmiocie zaprzestania przetwarzania jego danych osobowych. Dane osobowe Pana A. N. Spółka pozyskała dopiero […] czerwca 2016 r. – a zatem po dacie wystosowania wyżej opisanego sprzeciwu – w związku z wykonywaniem usługi masażu sportowego, świadczonej na rzecz Skarżącego w placówce Spółki mieszczącej się w Hotelu […]. Skarżący udostępnił Spółce swoje dane osobowe w zakresie imienia, nazwiska oraz daty urodzenia poprzez wypełnienie Karty Klienta Kliniki […]. Jednocześnie Skarżący złożył własnoręczny podpis pod pisemnym oświadczeniem, z którego wynikało, iż wyraża on zgodę na przetwarzanie jego danych osobowych przez Spółkę w celu sprzedaży produktów i usług Spółki, jak i podmiotów z nią współpracujących oraz w celu archiwizacji i prowadzenia działań marketingowych podejmowanych przez Spółkę samodzielnie bądź we współpracy z innymi podmiotami. Tym samym podstawę prawną pozyskania, jak i przetwarzania danych osobowych Skarżącego przez Spółkę stanowił art. 23 ust. 1 pkt 1 ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych.
4. Obecnie Spółka przetwarza dane osobowe Skarżącego wyłącznie w zakresie wynikającym z prowadzonego przez Prezesa Urzędu Ochrony Danych Osobowych postępowania administracyjnego. Jako strona niniejszego postępowania, Spółka jest bowiem dysponentem danych Skarżącego zawartych we wniosku to postępowanie inicjującym, jak również w wykonanych kserokopiach akt i nadsyłanych przez organ nadzorczy pismach. Podstawę prawną przetwarzania danych osobowych Skarżącego przez Spółkę stanowi aktualnie  art. 6 ust. 1 lit. c) i f) Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679  z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE ogólne rozporządzenie o ochronie danych osobowych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1, ze zmianami ogłoszonymi w Dz. Urz. UE L 127 z 23.05.2018, str.2, oraz w Dz. Urz. UE L 74 z 04.03.2021, str. 35), albowiem przetwarzanie to jest niezbędne do wypełnienia obowiązku prawnego ciążącego na Spółce, jak również do celów wynikających z prawnie uzasadnionych interesów przez nią realizowanych. Dane osobowe Skarżącego nie są natomiast przetwarzane przez Spółkę w związku z prowadzoną przez nią działalnością gospodarczą, tj. w związku z wykonywaniem umów o świadczenie usług, ani też w celach marketingowych. Wszelkie wytworzone w tym kontekście nośniki zawierające dane osobowe Skarżącego zostały przez Spółkę trwale zniszczone.

Po zapoznaniu się z całością zgromadzonego w sprawie materiału dowodowego, Prezes Urzędu Ochrony Danych Osobowych, zwany dalej także: Prezesem UODO zważył, co następuje.

Z dniem wejścia w życie ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781), zwanej dalej „u.o.d.o. 2018”, tj. z dniem 25 maja 2018 r., Biuro Generalnego Inspektora Ochrony Danych Osobowych stało się Urzędem Ochrony Danych Osobowych. Postępowania prowadzone przez Generalnego Inspektora Ochrony Danych Osobowych, wszczęte i niezakończone przed dniem 25 maja 2018 r. prowadzone są przez Prezesa Urzędu Ochrony Danych Osobowych, na podstawie ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.U. z 2016 r. poz. 922 ze zm.), zwanej dalej: „u.o.d.o. 1997” – zgodnie z zasadami określonymi w ustawie z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2021 r., poz. 735 ), zwanej dalej „k.p.a.”. Wszelkie czynności podjęte przez Generalnego Inspektora Ochrony Danych Osobowych przed dniem 25 maja 2018 r. pozostają skuteczne (art. 160 ust. 1-3 u.o.d.o. 2018).

Jednocześnie, od dnia 25 maja 2018 r. zastosowanie ma rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 04.05.2016, str. 1  ze zm.), zwane dalej „Rozporządzeniem 2016/679”.

Stosownie do art. 57 ust. 1 Rozporządzenia 2016/679, bez uszczerbku dla innych zadań określonych na jego mocy, każdy organ nadzorczy na swoim terytorium monitoruje i egzekwuje stosowanie tego rozporządzenia (lit. a) oraz rozpatruje skargi wniesione przez osobę, której dane dotyczą, lub przez umocowany przez nią – zgodnie z art. 80 Rozporządzeniem 2016/679 – podmiot, organizację lub zrzeszenie, w odpowiednim zakresie prowadzi postępowania  w przedmiocie tych skarg i w rozsądnym terminie informuje skarżącego o postępach i wynikach tych postępowań (lit. f).

W tym miejscu wskazać również należy, że Prezes Urzędu Ochrony Danych Osobowych wydając decyzję administracyjną zobowiązany jest do rozstrzygania w oparciu o stan faktyczny istniejący w chwili wydania tej decyzji. Jak podnosi doktryna, „organ administracji publicznej ocenia stan faktyczny sprawy według chwili wydania decyzji administracyjnej. Reguła ta odnosi się także do oceny stanu prawnego sprawy, co oznacza, że organ administracji publicznej wydaje decyzję administracyjną na podstawie przepisów prawa obowiązujących w chwili jej wydania (…). Rozstrzyganie w postępowaniu administracyjnym polega na zastosowaniu obowiązującego prawa do ustalonego stanu faktycznego sprawy administracyjnej. W ten sposób organ administracji publicznej realizuje cel postępowania administracyjnego, jakim jest urzeczywistnienie obowiązującej normy prawnej w zakresie stosunków administracyjno-prawnych, gdy stosunki te tego wymagają” (Komentarz do ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego, M. Jaśkowska, A. Wróbel, Lex., el/2012). Również Naczelny Sąd Administracyjny – w wyroku z dnia 7 maja 2008 r. w sprawie o sygn. akt I OSK 761/07 stwierdził, iż cyt.: „badając (…) legalność przetwarzania danych osobowych, GIODO  ma obowiązek ustalenia, czy na datę wydawania rozstrzygnięcia w sprawie dane konkretnego podmiotu są przetwarzane oraz czy czynione to jest w sposób zgodny z prawem”.

Mając powyższe na uwadze, Prezes UODO dokonał na podstawie zgromadzonego w niniejszej sprawie materiału dowodowego, oceny przetwarzania danych osobowych Skarżącego w kontekście przepisów Rozporządzenia 2016/679, ale i obowiązujących w dacie złożenia skargi przepisów u.o.d.o. 1997.

Zgodnie z brzmieniem przepisu art. 23 ust. 1 u.o.d.o. 1997, obowiązującej w okresie, którego dotyczyła skarga, przetwarzanie danych osobowych było dopuszczalne, gdy: osoba, której dane dotyczą, wyraziła na to zgodę, chyba że chodziło o usunięcie dotyczących jej danych (pkt 1), było to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego  z przepisu prawa (pkt 2), było to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, była jej stroną lub gdy było to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą (pkt 3), było to niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego (pkt 4) lub było to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie naruszało praw i wolności osoby, której dane dotyczą (pkt 5). Przepis  art. 23 ust. 4 u.o.d.o. 1997 stanowił zaś, że za „prawnie usprawiedliwiony cel”, o którym mowa  w art. 23 ust. 1 pkt 5, uważa się w szczególności marketing bezpośredni własnych produktów lub usług administratora danych.

Art. 32 ust. 1 pkt 8 u.o.d.o. 1997 przyznawał osobie, której dane dotyczą, uprawnienie do wniesienia sprzeciwu wobec przetwarzania jej danych osobowych w przypadkach wymienionych w art. 23 ust. 1 pkt 4 i 5. Oznacza to, że osoba, której dane dotyczą, mogła wnieść do administratora danych sprzeciw wobec przetwarzania jej danych osobowych w celu marketingowym. Jednocześnie z dyspozycji art. 32 ust. 3 u.o.d.o. 1997 wynikało, że po odnotowaniu takiego sprzeciwu dalsze przetwarzanie kwestionowanych danych było niedopuszczalne.

Zgodnie z obecnie obowiązującym stanem prawnym (tj. od dnia 25 maja 2018 r., w którym rozpoczęto stosowanie przepisów Rozporządzenia 2016/679) przetwarzanie danych osobowych jest zgodne z prawem, gdy administrator danych legitymuje się co najmniej jedną z określonych w art. 6 ust. 1 Rozporządzenia 2016/679, materialnych przesłanek przetwarzania danych osobowych. Według wyżej wskazanego przepisu, przetwarzanie danych osobowych jest zgodne  z prawem wyłącznie, gdy zostanie spełniony jeden z wymienionych warunków: a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów; b) przetwarzanie jest niezbędne do wykonywania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy; c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze; d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej; e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem.

W motywie 40 Rozporządzenia 2016/679 podkreślono, że aby przetwarzanie danych było zgodne z prawem, powinno się odbywać na podstawie zgody osoby, której dane dotyczą, lub na innej uzasadnionej podstawie przewidzianej prawem albo w rozporządzeniu, albo w innym akcie prawnym Unii lub w prawie państwa członkowskiego, o których mowa w niniejszym rozporządzeniu, w tym musi się ono odbywać z poszanowaniem obowiązku prawnego, któremu podlega administrator, lub z poszanowaniem umowy, której stroną jest osoba, której dane dotyczą, lub w celu podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy.

W świetle motywu 47 Rozporządzenia 2016/679 za działanie wykonywane w prawnie uzasadnionym interesie, o którym mowa w jego art. 6 ust. 1 lit. f), należy uznać między innymi przetwarzanie danych osobowych do celów marketingu bezpośredniego.

Z kolei przepisy art. 6 ust. 1-3 Rozporządzenia 2016/679, analogicznie do uprzednio obowiązującej regulacji art. 32 ust. 1 pkt 8 i art. 32 ust. 3 u.o.d.o. 1997, przewidują prawo wniesienia przez osobę, której dane dotyczą, sprzeciwu wobec przetwarzania jej danych osobowych na potrzeby marketingu bezpośredniego administratora, skutkującego niedopuszczalnością dalszego przetwarzania w tym celu.

Odnosząc wyżej przywołane przepisy do stanu faktycznego niniejszej sprawy stwierdzić należy, że Spółka weszła w posiadanie danych osobowych Skarżącego i przetwarzała je w sposób zgodny z prawem. W oparciu o zgromadzony w niniejszej sprawie, niebudzący wątpliwości co do jego prawdziwości materiał dowodowy należy stwierdzić, że Spółka pozyskała dane osobowe Pana A. N. i przetwarzała je na podstawie wyrażonej przez Skarżącego zgody. Jak wynika bowiem z pisemnych wyjaśnień Spółki, jak i załączonych do nich dowodów w postaci kopii Karty Klienta Kliniki […], wypełnionej własnoręcznie przez osobę Skarżącego, Skarżący udostępnił Spółce swoje dane osobowe w zakresie imienia, nazwiska oraz daty urodzenia w dniu […] czerwca 2016 r. – w związku z zamiarem skorzystania ze świadczonej przez Spółkę usługi masażu sportowego. Brak jest natomiast jakichkolwiek dowodów na to, aby Spółka przetwarzała dane osobowe Skarżącego przed tą datą. Jakkolwiek bowiem Skarżący podnosił w skardze skierowanej do Prezesa Urzędu Ochrony Danych Osobowych datowanej na dzień […] lipca 2015 r., że Spółka wykorzystuje jego dane osobowe do celów marketingowych, kierując na jego numer telefonu komórkowego wiadomości SMS o charakterze reklamowym, to jednak w żaden sposób tego nie uprawdopodobnił. W szczególności Skarżący nie dołączył do skargi wydruku tychże wiadomości, ani nawet nie przytoczył ich treści. Brak jest nadto informacji o numerze telefonu, z którego sporne treści miały być do Skarżącego wysyłane, z uwagi na co nie sposób było zweryfikować zasadność stawianych przez Skarżącego zarzutów.

Opierając się na wyjaśnieniach Spółki, spójnych z przedstawionymi przez nią dowodami, organ nadzorczy stanął na stanowisku, że podstawą prawną pozyskania przez nią danych identyfikujących Skarżącego był art. 23 ust. 1 pkt 1 u.o.d.o. 1997. Skarżący chcąc skorzystać  ze świadczonych przez Spółkę usług samodzielnie udostępnił na jej rzecz podstawowe informacje dotyczące jego osoby. Jednocześnie, jak wynika z załączonej do akt dokumentacji, Skarżącego pouczono o dobrowolności podania danych oraz przysługujących mu prawach, w tym o prawie dostępu do danych osobowych, ich poprawiania oraz o możliwości ich udostępniania podmiotom współpracującym ze Spółką.

Za bezzasadny Prezes UODO uznał ponadto zarzut bezprawności przetwarzania danych osobowych Skarżącego przez Spółkę do celów marketingowych. Jak już uprzednio wskazano, Skarżący nie dowiódł, aby Spółka faktycznie kierowała do niego jakiekolwiek materiały reklamowe przed datą […] czerwca 2016 r. Co więcej, jak ustalono w sprawie, złożony przez Skarżącego pisemny sprzeciw z […] czerwca 2015 r., skierowany do Działu […] Spółki nigdy do niej nie wpłynął. Powodem powyższego stanu rzeczy może być fakt, że pismo to Skarżący przesłał na adres: […]. Adres ten nie jest natomiast (i nigdy nie był) ujawniony w Krajowym Rejestrze Sądowym, jako adres siedziby Spółki. Z powyższych względów sprzeciw Skarżącego należało uznać za bezskuteczny. Po dacie […] czerwca 2016 r. Spółka dysponowała natomiast pisemną zgodą Skarżącego, który zaaprobował wykorzystywanie jego danych osobowych przez Spółkę w celu sprzedaży produktów i usług własnych, jak i podmiotów z nią współpracujących oraz w celu archiwizacji i prowadzenia działań marketingowych podejmowanych przez Spółkę samodzielnie bądź we współpracy z innymi podmiotami. Tym samym Spółka była w pełni umocowana do tego rodzaju działania.

Wreszcie, niezależnie od powyższego wskazać należy, iż aktualnie – to jest w stanie faktycznym istniejącym w chwili wydania niniejszej decyzji – Spółka przetwarza dane osobowe Skarżącego wyłącznie w celu wykonania ciążących na niej obowiązków prawnych, a nadto do celów wynikających z prawnie uzasadnionych interesów realizowanych przez Spółkę, a zatem wyłącznie na potrzeby uczestnictwa w niniejszym postępowaniu administracyjnym, prowadzonym przez Prezesa Urzędu Ochrony Danych Osobowych. Podstawę prawną przetwarzania danych osobowych Skarżącego przez Spółkę stanowi tym samym art. 6 ust. 1 lit. c) i lit. f) Rozporządzenia 2016/679. Mając na uwadze wolę Skarżącego, której przejawem jest skarga inicjująca niniejsze postępowania, Spółka zaprzestała przetwarzania danych Pana A. N. w związku z prowadzoną przez nią działalnością gospodarczą, tj. w związku z wykonywaniem umów o świadczenie usług oraz w celach marketingowych. Wszelkie wytworzone w tym kontekście nośniki zawierające dane osobowe Skarżącego (w tym oryginał Karty Klienta Kliniki […], którego kopię Spółka przedłożyła Prezesowi UODO celem włączenia do materiału dowodowego sprawy) zostały trwale zniszczone.

W związku z powyższym, brak jest podstaw do podjęcia przez organ nadzorczy jakichkolwiek dalszych działań w zakresie żądań Skarżącego wymienionych w złożonej przez niego skardze. Dalsze prowadzenie przez Prezesa Urzędu Ochrony Danych Osobowych postępowania administracyjnego, zainicjowanego skargą na nieprawidłowości w przetwarzaniu danych osobowych Skarżącego przez Spółkę, ukierunkowanego na wydanie decyzji administracyjnej na podstawie art. 18 ust. 1 ustawy 1997, jest niezasadne.

Stosownie do brzmienia ww. przepisu, w przypadku naruszenia przepisów o ochronie danych osobowych, Prezes Urzędu Ochrony Danych Osobowych z urzędu lub na wniosek osoby zainteresowanej, w drodze decyzji administracyjnej, nakazuje przywrócenie stanu zgodnego  z prawem, a w szczególności: usunięcie uchybień (1), uzupełnienie, uaktualnienie, sprostowanie, udostępnienie lub nieudostępnienie danych osobowych (2), zastosowanie dodatkowych środków zabezpieczających zgromadzone dane osobowe (3), wstrzymanie przekazywania danych osobowych do państwa trzeciego (4), zabezpieczenie danych lub przekazanie ich innym podmiotom (5) lub usunięcie danych osobowych (6). Z brzmienia art. 18 ust. 1 ustawy 1997,  a zarazem z definicji decyzji administracyjnej – jako aktu rozstrzygającego w sposób władczy  o prawach i obowiązkach stron postępowania w ustalonym i aktualnym na chwilę jego wydania stanie faktycznym i prawnym – wynika, że organ ochrony danych osobowych nie dokonuje oceny zdarzeń przeszłych, nie kontynuowanych w chwili orzekania. Decyzja Prezesa UODO jest bowiem instrumentem służącym przywróceniu stanu zgodnego z prawem w procesie przetwarzania danych, realizowanym w chwili wydania decyzji.

Biorąc pod uwagę powyższe, należy stwierdzić, iż obecnie nie ma podstaw dla sformułowania nakazu, o którym mowa w art. 18 ust. 1 ustawy, albowiem dane osobowe Skarżącego nie są już obecnie przetwarzane przez Spółkę w celach marketingowych, a jedynie w celu wykonania ciążących na niej obowiązków prawnych, co zgodne jest z obowiązującymi przepisami prawa i nie wymaga zgody Skarżącego. Z uwagi na powyższe, postępowanie administracyjne w niniejszej sprawie należało zakończyć decyzją o odmowie uwzględnienia wniosku Skarżącego.

Prezes UODO wskazuje natomiast, iż ewentualną regulacją na gruncie, której Skarżący może poszukiwać ochrony prawnej oraz dochodzić swych roszczeń jest ustawa z dnia 23 kwietnia 1964 r. Kodeks cywilny (Dz. U. z 2019 r., poz. 1145) zwana dalej „k.c.”. Stosownie bowiem  do treści art. 23 k.c. niezależnie od ochrony przewidzianej w innych przepisach, dobra osobiste człowieka, w tym również prawo do prywatności, pozostają pod ochroną prawa cywilnego. Przepis z art. 24 k.c. gwarantuje osobie, której dobro osobiste zostało zagrożone, uprawnienie  do wystąpienia z żądaniem zaniechania działania naruszającego dobro osobiste, a w razie już dokonanego naruszenia żądania, ażeby osoba, która dopuściła się naruszenia, dopełniła czynności potrzebnych do usunięcia jego skutków. Jednocześnie w myśl art. 448 k.c., w razie naruszenia dobra osobistego sąd może przyznać temu, czyje dobro zostało naruszone odpowiednią sumę tytułem zadośćuczynienia za doznaną krzywdę lub na jego żądanie zasądzić odpowiednią sumę pieniężną na wskazany przez niego cel społeczny, niezależnie od innych środków potrzebnych  do usunięcia skutków naruszenia. Dlatego też, jeżeli w ocenie Skarżącego doszło do naruszenia jego dóbr osobistych poprzez przetwarzanie jego danych osobowych oraz przesyłanie informacji marketingowych bez podstawy prawnej, może on dochodzić swoich roszczeń z tego tytułu w drodze powództwa cywilnego wytoczonego przed właściwy miejscowo sąd powszechny.

W tym stanie faktycznym i prawnym Prezes Urzędu Ochrony Danych Osobowych rozstrzygnął, jak na wstępie.

Na podstawie art. 127 § 3 Kpa od decyzji przysługuje stronie prawo do wniesienia wniosku o ponowne rozpatrzenie sprawy w terminie 14 dni od dnia jej doręczenia stronie. Jeżeli strona nie chce skorzystać z prawa do złożenia wniosku o ponowne rozpatrzenie sprawy, ma prawo do wniesienia skargi na decyzję do Wojewódzkiego Sądu Administracyjnego w Warszawie w terminie 30 dni od dnia doręczenia jej stronie. Skargę wnosi się za pośrednictwem Prezesa Urzędu (adres: ul. Stawki 2, 00-193 Warszawa). Wpis od skargi wynosi 200 złotych. Strona ma prawo ubiegania się o prawo pomocy, w tym zwolnienie od kosztów sądowych.