Jan T. z Krosna poskarżył się Generalnemu Inspektorowi Ochrony Danych Osobowych na spółkę Orange, dawniej TP SA, która wbrew jego woli przekazała jego dane osobom nieuprawnionym.
Klient spółki podpisał z nią umowę jeszcze w 1995 r. i wtedy zgodził się na przetwarzanie danych. W czasie rozmowy telefonicznej z konsultantką podjął decyzje o przedłużeniu abonamentu i wtedy spółka przesłała załącznik do umowy przez kuriera. Między spółką Orange a spółką kurierską także obowiązywała umowa na dostarczanie przesyłek, w związku z czym przekazano dane klienta - imię, nazwisko, adres, datę uroczenia, PESEL itd. spółce dostarczającej przesyłki.
Takie praktyki nie spodobały się Janowi T., który poskarżył się rzecznikowi konsumentów w Krośnie na nielegalne przetwarzanie danych.
Rzecznik przekazał sprawę generalnemu inspektorowi ochrony danych, a ten nie dopatrzył się naruszenia prawa przez Orange. Podstawą decyzji był art. 23 ust. 1 pkt. 3 ustawy o ochronie danych osobowych. Zgodnie z tym przepisem przetwarzanie danych jest dopuszczalne tylko wtedy, gdy " jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą".
Z odmową nie pogodził się skarżący i zaskarżył decyzję Inspektora do WSA w Warszawie.
Na rozprawie przed sądem I instancji przedstawiciel Inspektora, radca prawny Piotr Wójcik stwierdził, że Inspektor stoi na straży ochrony danych osobowych, lecz musi brać pod uwagę względy ekonomiczne i zasady obrotu gospodarczego. W tym wypadku Orange podpisała umowę powierzenia z firmą kurierską, na co ustawa pozwala.
WSA zgodził się z tymi argumentami i skargę oddalił. Zdaniem sądu kurier pozyskał dane legalnie. Zakres umowy między spółkami jest zgodny z art. 31 ustawy o ochronie danych osobowych, zaś kurier nie wykroczył poza ramy umowy. Według tego przepisu administrator danych może powierzyć innemu podmiotowi, w drodze umowy zawartej na piśmie, przetwarzanie danych. Podmiot, ten zaś może przetwarzać dane wyłącznie w zakresie i celu przewidzianym w umowie.

Sygnatura akt II SA/Wa 139/17, wyrok z 17 sierpnia 2017 r.