Naczelny Sąd Administracyjny w składzie: Przewodniczący: sędzia NSA Barbara Adamiak (spr.) Sędziowie sędzia NSA Joanna Runge - Lissowska sędzia del. NSA Jerzy Stankowski Protokolant sekretarz sądowy Joanna Drapczyńska po rozpoznaniu w dniu 13 grudnia 2011 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej Generalnego Inspektora Ochrony Danych Osobowych od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 16 marca 2011 r. sygn. akt II SA/Wa 2037/10 w sprawie ze skargi [...] Sp. z o.o. w Warszawie na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] września 2010 r. nr [...] w przedmiocie odmowy uwzględnienia wniosku o udostępnienie danych osobowych uchyla zaskarżony wyrok i przekazuje sprawę do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie.
Generalny Inspektor Ochrony Danych Osobowych decyzją z [...] lipca 2010 r. nr [...], wydaną na podstawie art. 12 pkt 2, art. 22 i art. 23 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jedn. Dz.U. z 2002 r. Nr 101, poz. 926 ze zm.), odmówił uwzględnienia wniosku M. P. Sp. z o.o. z siedzibą w Warszawie o nakazanie [...] Sp. z o.o. z siedzibą w Poznaniu - jako podmiotowi prowadzącemu serwis transakcji on-line a. - udostępnienia na rzecz M. Sp. z o.o. danych osobowych osób, które w serwisie A. wystawiły do sprzedaży (jako przedmiot sprzedaży bądź darmowy dodatek do przedmiotu sprzedaży) na aukcjach internetowych tzw. bonifikarty M. Sp. z o.o. W uzasadnieniu organ wskazał, że jedna z prowadzonych przez M. Polska Sp. z o.o. akcji promocyjnych polega na wydawaniu tzw. bonifikart, tj. kart rabatowych na okaziciela, uprawniających ich posiadaczy do nabywania określonych produktów Spółki po obniżonej cenie, na warunkach opisanych w regulaminie promocji p.n. "Bonifikarta - regulamin promocji". Bonifikaty otrzymują pracownicy restauracji należących do korporacji M. i działających na zasadzie franczyzy, pracownicy biura Spółki oraz jej partnerzy handlowi. Na bonifikarcie, oznaczonej znakiem firmowym korporacji M., zamieszczona jest informacja o dostępnych na promocyjnych warunkach produktach, okresie ważności bonifikarty oraz informacja, że szczegóły promocji zamieszczone są w regulaminie dostępnym w każdej restauracji M. i na stronie www.[...].pl. Karta nie może być przedmiotem sprzedaży i jest ważna tylko w restauracjach biorących udział w promocji. Zgodnie z postanowieniami regulaminu promocji, bonifikarta jest kartą zniżkową, stanowiącą własność M. Sp. z o.o. i nie może być ani przedmiotem sprzedaży, ani przedmiotem darowizny przy okazji sprzedaży innych rzeczy. Osoba naruszająca regulamin promocji (w tym również nabywca bonifikarty) obowiązana jest do zwrotu bonifikarty Spółce M. Uczestnik akcji promocyjnej, przyjmując bonifikartę, zobowiązuje się tym samym do przestrzegania regulaminu akcji promocyjnej, a w szczególności do niezbywania bonifikarty. Pomimo regulaminowego zastrzeżenia niedopuszczalności zbywania bonifikart, Spółka ustaliła, że są one oferowane do sprzedaży, bądź jako bezpłatny dodatek do innych artykułów sprzedawanych na aukcjach internetowych w serwisie A. W zaistniałych okolicznościach, pismem z dnia 3 marca 2010 r., M. Sp. z o.o. zwróciła się do Q. Sp. z o.o. z siedzibą w Poznaniu o udostępnienie danych osobowych oznaczonych osób prowadzących ww. aukcje, których przedmiotem są bonifikarty, uzasadniając, że dane osób są jej niezbędne, albowiem osoby biorące udział w ww. aukcjach w charakterze sprzedających i kupujących naruszyły postanowienia regulaminu, a wobec tego M. Sp. z o.o. zamierza podjąć czynności mające na celu - z jednej strony - pozbawienie sprzedających nienależnie uzyskanych przez nich korzyści, a z drugiej strony - odebranie bonifikart osobom, które je zakupiły. Q. Sp. z o.o. odmówiła udostępnienia żądanych danych pismem z dnia 17 marca 2010 r., wskazując, że brak jest podstaw, by przyjąć, iż doszło do popełnienia czynu zabronionego, argumentując przy tym, że udostępnienie danych może być kwalifikowane jako zachowanie bezprawnie naruszające dobra osobiste i skutkować odpowiedzialnością cywilnoprawną administratora danych.