Postępowanie dotyczyło skargi Panoptykonu na „budzące wątpliwości praktyki w zakresie pozyskiwania zgody od klientów i potencjalnych klientów na przetwarzanie danych osobowych w celach marketingowych przez podmioty z grupy kapitałowej PZU jako warunek konieczny do korzystania z bezpłatnej usługi”.

Chodziło o akcję „Bezpłatne ubezpieczenia dzieci na całe wakacje”. Oferta od PZU była dostępna w zamian za wyrażenie zgody na przetwarzanie danych w celach marketingowych. Panoptykon informuje, że dane ubezpieczających trafiały do 9 podmiotów z grupy PZU, które miały wykorzystywać je do reklamowania swoich produktów ubezpieczeniowych i finansowych.

Fundacja uważa, że ubezpieczyciel sięgnął po manipulującą praktykę, twierdząc, że ubezpieczenie jest bezpłatne, ale nie ukrywał, na co trzeba się „zgodzić” w zamian.

„Ubezpieczyciel wprowadzał w błąd, nie informując o alternatywnej ofercie – do kupienia bez wymuszania zgody marketingowej”. Dlatego Fundacja złożyła skargę do prezesa Urzędu Ochrony Danych Osobowych.

Organ nie stwierdził jednak naruszenia przepisów o ochronie danych osobowych.

W uzasadnieniu decyzji prezes UODO wyjaśnił, że aby skorzystać z oferty bezpłatnego ubezpieczenia, należało za pomocą formularza udostępnionego na stronie internetowej Spółki – podać dane osobowe rodzica bądź pełnoletniego ucznia/studenta do 25. roku życia, dane dziecka lub dzieci zgłaszanych do ubezpieczenia oraz zaznaczyć trzy "okienka" potwierdzające zgodę na przetwarzanie przez podmioty z grupy kapitałowej PZU danych osobowych w celach marketingowych.

Dodatkowo konieczne było potwierdzenie zapoznania się z "informacją odnośnie do administratora danych osobowych". W przypadku braku zaznaczenia któregokolwiek z okienek pojawiała się informacja o braku możliwości przyjęcia formularza deklaracji przystąpienia do ubezpieczenia.

UODO w uzasadnieniu swojej decyzji wskazywał też, że 7 czerwca 2019 r. została wprowadzona zmiana na formularzu, za pośrednictwem którego przystępowano do akcji. Miała ona na celu jeszcze bardziej przejrzyste informowanie uczestników o prawie do wycofania zgody.

„W pierwszej warstwie informacji widocznej dla użytkownika wypełniającego formularz dostępna była wyraźnie wyodrębniona informacja o prawie do wycofania zgody o następującej treści: "Masz prawo w dowolnym momencie wycofać zgodę za pośrednictwem adresu e-mail [...] albo pisemnie pod adresem Administratora wskazanym w Regulaminie” – czytamy w decyzji prezesa UODO.

I z tych powodów PUODO uznał, że nie doszło do naruszenia prawa przez spółkę.

„Podstawą prawną przetwarzania danych uczestników Akcji była ich zgoda (art. 6 ust. 1 lit. a RODO). Spółka spełniła kryteria niezbędne do prawidłowego wyrażenia zgody w rozumieniu art. 4 pkt 11 RODO, tj. mającej charakter dobrowolny, konkretny, świadomy i jednoznaczny” – napisał.

W ocenie organu oświadczenie o wyrażeniu zgody przygotowane przez Spółkę miało zrozumiałą i łatwo dostępną formę i było sformułowane jasnym i prostym językiem. Wyrażenie zgody było świadome i poinformowane, a zgoda była konkretna i jednoznaczna. Każdy uczestnik Akcji mógł w sposób świadomy korzystać z przysługujących mu zgodnie z RODO praw, w tym również z prawem do wycofania wyrażonych zgód, jak i o sposobie ich wycofania, zanim wyraziły zgody”. W ocenie UODO brak było więc podstaw do stwierdzenia, iż Spółka PZU nie umożliwiła uczestnikom akcji wyrażenia zgód marketingowych w pełni świadomie i dobrowolnie.

PUODO wskazał też, że RODO stanowi, że jeżeli osobie, której dane dotyczą, nie przysługuje rzeczywista możliwość wyboru, czuje się ona zmuszona do wyrażenia zgody lub poniesie negatywne konsekwencje w przypadku jej niewyrażenia, zgoda będzie nieważna. Jeżeli wyrażenie zgody stanowi nieodłączną i niepodlegającą negocjacji część warunków, uznaje się, że nie jest ona dobrowolna. W związku z tym wyrażenie zgody nie zostanie uznane za dobrowolne, jeżeli osoba, której dane dotyczą, nie może odmówić ani wycofać zgody bez niekorzystnych konsekwencji.

W ocenie organu uczestnicy akcji mieli możliwość wyboru pomiędzy ubezpieczeniem w ramach akcji na preferencyjnych warunkach a ubezpieczeniem standardowym, znajdującym się w ofercie Spółki.

Panoptykon wniósł skargę na decyzję PUODO, w efekcie której Wojewódzki Sąd Administracyjny nakazał urzędowi zbadanie sprawy ponownie, ale Naczelny Sąd Administracyjny nie zgodził się z jego wyrokiem. W rezultacie sprawa wróciła do WSA.

W czasie rozprawy pełnomocnik Fundacji Panoptykon, adwokat Adam Szkurłat z kancelarii Lubasz i Wspólnicy podnosił m.in., że w 2023 r. Europejska Rada Ochrony Danych wydała opinię dotyczącą ważnej zgody w kontekście modelu wyraź zgodę albo zapłać (pay or ok). Stwierdziła w niej, że „w większości wypadków zapewnienie ważnej zgody w tym modelu nie jest możliwe, ponieważ odmowa oznacza dodatkowy koszt po stronie podmiotu danych lub brak ekwiwalentnej usługi”.

Powiedział też, że w ocenie EROD, aby można było ocenić, czy rzeczywiście zgoda była dobrowolna, kluczowe jest wprowadzenie alternatywnej usługi bez konieczności przekazywania danych osobowych.

Wojewódzki Sąd Administracyjny w Warszawie oddalił w środę skargę Panoptykonu na decyzję prezesa UODO. W motywach ustnych uzasadnienia sędzia sprawozdawca Sławomir Fularski uzasadnił, że zasady przystąpienia do akcji zostały wskazane w przygotowanym regulaminie akcji, który był cały czas dostępny na stronie internetowej.

Wskazał też, że pobranie regulaminu było niezbędne do przejścia do następnych kroków, które umożliwiały przystąpienie do akcji oraz że regulamin akcji akceptowały osoby pełnoletnie, więc miały świadomość, jakie są tego skutki. Sąd stwierdził też, że regulamin zawiera informację o prawie do wycofania zgody na udział w akcji. „Taką zgodę można było odwołać w każdym czasie za pośrednictwem wskazanego adresu mailowego” – dodał.

W ocenie WSA spółka spełniła kryteria niezbędne do wyrażenia zgody, w rozumieniu art. 4 pkt 11 RODO – zgoda miała bowiem charakter dobrowolny, konkretny, świadomy i jednoznaczny.

Sąd stwierdził, że wyrażenie zgody było świadome, a uczestnicy akcji byli poinformowani, przed wyrażeniem zgód, o prawie do ich wycofania, przy jednoczesnym pozostaniu przy oferowanym ubezpieczeniu i przede wszystkim musieli wyrazić stosowne zgody.

Mec. Szkurłat jest zaskoczony motywami przedstawionymi przez sąd. „Tak naprawdę stanowią one powielenie tego, co zostało wskazane w decyzji prezesa UODO. Sąd nie do końca uwzględnił argumenty, jakie przedstawia Europejska Rada Ochrony Danych dotyczące przejrzystości komunikacji, które mówią, że odbiorca powinien mieć pełną świadomość, aby podjąć decyzję co do tego, czy wyrazić zgodę na przetwarzanie danych, czy nie” – mówi.

Adwokat ocenia stanowisko sądu jako bardzo liberalne. „Sąd zwrócił uwagę, że warunkiem skorzystania z warunków promocyjnych było pobranie i zaakceptowanie regulaminu. W związku z tym sąd wyciągnął wniosek, że skoro pełnoletnia osoba pobrała regulamin, to również go przeczytała i była świadoma, na co się zgadza, więc wszystkie elementy wymagane przez RODO w odniesieniu do zgody zostały spełnione” – mówi. Mec. Szkurłat ma jednak wątpliwości. Jego zdaniem w praktyce rzadko kto decyduje się na otwarcie pobranych plików, przeczytanie całego regulaminu ze zrozumieniem. „Wymagania dotyczące przejrzystości nakładałyby obowiązek, żeby informować w odpowiedni sposób w samym formularzu” – skwitował adwokat.

Panoptykon poinformował, że najprawdopodobniej zaskarży wyrok do Naczelnego Sądu Administracyjnego.

Wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z 25 lutego 2026 r., sygn. akt II SA/Wa 2124/25