Wyrok WSA w Warszawie wpisuje się w nurt orzecznictwa dotyczącego rygorystycznego stosowania przepisów RODO w zakresie profilowania marketingowego oraz obowiązków informacyjnych administratorów. Sąd oddalił skargę banku na decyzję Prezesa Urzędu Ochrony Danych Osobowych z stycznia 2025 r., w której organ nadzorczy udzielił instytucji finansowej dwóch upomnień: za kontynuowanie profilowania na potrzeby marketingu bezpośredniego przez blisko miesiąc po wniesieniu sprzeciwu przez klienta oraz za przekazanie temu klientowi nieprawdziwej informacji, sugerującej wycofanie przez niego zgody, podczas gdy podstawą przetwarzania był prawnie uzasadniony interes. Orzeczenie to zasługuje na uwagę przede wszystkim ze względu na wyraźne podkreślenie przez Sąd, że sprzeciw wobec marketingu bezpośredniego musi skutkować natychmiastowym wstrzymaniem operacji na danych, a wszelka komunikacja z podmiotem danych – nawet przy pozytywnym rozpatrzeniu żądania – musi być precyzyjna i zgodna ze stanem faktycznym. Celem niniejszej glosy jest analiza argumentacji WSA oraz ocena trafności przyjętej przez Sąd wykładni przepisów RODO. Stan faktyczny i przebieg postępowania Klient banku, będący konsumentem, zawarł umowę o prowadzenie rachunku bankowego, w ramach której korzystał z bankowości elektronicznej. Bank, powołując się na art. 6 ust. 1 lit. f RODO (prawnie uzasadniony interes), profilował dane transakcyjne klienta w celu marketingu bezpośredniego. Jak wynika z ustaleń organu, do profilowania wykorzystywane były dane identyfikacyjne (imię, nazwisko) oraz dane transakcyjne (fakt dokonania przelewu, numer rachunku odbiorcy). We wrześniu 2021 r. klient otrzymał ofertę połączenia jego rachunku z innego banku z aplikacją banku. W związku z tym, uznając otrzymaną propozycję za wynik niedozwolonego profilowania, wniósł sprzeciw wobec przetwarzania danych na potrzeby marketingu bezpośredniego, w tym profilowania, na podstawie art. 21 ust. 2 RODO. Bank potwierdził przyjęcie sprzeciwu, jednak – jak sam wyjaśnił w toku postępowania – faktycznie zaprzestał profilowania dopiero 11 października 2021 r., a więc po upływie blisko miesiąca od otrzymania sprzeciwu. W odpowiedzi na sprzeciw bank poinformował klienta, że “odnotował wycofanie zgody na profilowanie”. Klient nigdy nie wyrażał zgody na profilowanie – podstawą przetwarzania był wyłącznie prawnie uzasadniony interes. […]