>Decyzje Giodo>2003 >

Decyzja

Warszawa, dnia 4 grudnia 2003 r.

(dotyczy zbierania przez Spółkę danych osobowych osób fizycznych, w zakresie wizerunku oraz rysopisu, w celu zawarcia umowy o świadczenie usług telekomunikacyjnych)

Na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2000 r. Nr 98, poz. 1071 z późn. zm.) oraz art. 12 pkt 2
i art. 18 ust. 1 pkt 1 w zw. z art. 23 ust. 1 pkt 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926) oraz art. 69 ust. 2 ustawy z dnia
21 lipca 2000 r. Prawo telekomunikacyjne (Dz. U. Nr 73, poz. 852 z późn. zm.),
po przeprowadzeniu postępowania administracyjnego w sprawie pozyskiwania przez Spółkę X danych osobowych osób fizycznych, z którymi Spółka X zawiera umowy o świadczenie usług telekomunikacyjnych w ramach sieci Y,
nakazuję Spółce X przywrócenie stanu zgodnego z prawem w procesie przetwarzania danych osobowych osób fizycznych, z którymi Spółka X zawiera umowy o świadczenie usług telekomunikacyjnych w ramach sieci Y, poprzez zaprzestanie zbierania

dotyczących ich danych osobowych, w zakresie wizerunku oraz rysopisu.

Uzasadnienie

W dniu 18 września 2003 r. Generalny Inspektor Ochrony Danych Osobowych, zwany dalej Generalnym Inspektorem, stwierdził, że na stronie internetowej: www.X.pl, administrowanej przez Spółkę X, zwaną dalej Spółką, opublikowane są materiały, z których wynika, iż przy zawieraniu z osobami fizycznymi umów o świadczenie usług telekomunikacyjnych w ramach sieci Y Spółka zbiera, poprzez sporządzanie kserokopii określonych dokumentów, jak w szczególności dowodów osobistych, dane osobowe tych osób. Jednocześnie, z powyższych informacji wynikało także, że Spółka kopiuje te strony dowodów osobistych, na których umieszczone jest zdjęcie właściciela dowodu.
Wobec powyższego, mając na uwadze, że kserowanie przez Spółkę dowodów osobistych może prowadzić do pozyskiwania danych osobowych użytkowników w zakresie szerszym niż pozwalają na to przepisy prawa, tj. w zakresie wizerunku oraz rysopisu, Generalny Inspektor z urzędu wszczął w tej sprawie postępowanie i w jego toku zwrócił się do Spółki o złożenie wyjaśnień. 
W odpowiedzi Spółka poinformowała, że:
1)    posiada status operatora publicznego, w rozumieniu ustawy z dnia 21 lipca 2000 r. Prawo telekomunikacyjne (Dz. U. Nr 73, poz. 852 z późn. zm.), zwanej dalej Prawem telekomunikacyjnym;
2)    potwierdziła, iż poprzez kopiowanie dowodów osobistych użytkowników, będących osobami fizycznymi pozyskuje ich dane osobowe m.in. w zakresie wizerunku i rysopisu. Jako podstawę prawną pozyskiwania danych osobowych użytkowników, w tym w zakresie wizerunku oraz rysopisu, Spółka wskazała przepisy art. 69 Prawa telekomunikacyjnego oraz art. 23 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926), w tym w szczególności art. 23
ust. 1 pkt 1, 3 i 5 tej ustawy. Spółka wyraziła przy tym opinię, powołując się na zakres danych osobowych wskazany w zmienionym od dnia 1 października 2003 r. przepisie
art. 69 ust. 2 Prawa telekomunikacyjnego, iż „katalog danych osobowych określony w art. 69 Prawa telekomunikacyjnego nie jest przy tym katalogiem zamkniętym, na co wskazuje art. 69 ust. 2 pkt 7 Prawa telekomunikacyjnego”;
3)    w odniesieniu do przetwarzania wizerunku i rysopisu Spółka wyjaśniła, że jest ono „niezbędne zarówno przed zawarciem umowy, jak również w trakcie samej realizacji umowy oraz jest adekwatne w stosunku do celów, w jakich te dane są przetwarzane. Umożliwia bowiem ustalenie tożsamości użytkownika, porównanie z innymi posiadanymi przez Spółkę danymi. Pozwala uniknąć wielu przypadków bezprawnego posługiwania się cudzymi dokumentami. Właśnie dzięki tej możliwości pracownicy Spółki wykryli fałszerstwo dokumentów oraz przyczynili się do ujęcia przestępcy. Było to możliwe dzięki porównaniu wizerunków użytkownika zawartych w kopiach dokumentów znajdujących się za zgodą tego użytkownika w bazie danych abonentów Spółki.” Powołując się na orzeczenie Naczelnego sądu Administracyjnego z dnia 19 grudnia 2001 r. (ONSA 2003/1/29), Spółka wskazała także, że pozyskiwanie przez nią wizerunku i rysopisu uzasadnione jest charakterem świadczonych przez nią usług, bowiem „niewątpliwie umowy zawierane przez Spółkę nie należą do drobnych umów sfery życia codziennego. Spółka przekazuje bowiem swoim abonentom urządzenie abonenckie warte kilkaset złotych oraz świadczy usługi telekomunikacyjne, których koszt często przekracza kilkanaście tysięcy złotych, oraz które dodatkowo są płatne po ich wykonaniu. Zatem kwestia bezpieczeństwa obrotu prawnego nabiera ogromnego znaczenia i determinuje konieczność dokładnej identyfikacji stron.”

 Mając na uwadze powyższe, Generalny Inspektor zważył, co następuje:

Przetwarzanie danych osobowych jest dopuszczalne, o ile spełniona zostanie jedna z przesłanek określonych w przepisach powołanej już ustawy o ochronie danych osobowych, zwanej dalej ustawą. Przy czym, przetwarzaniem danych są jakiekolwiek operacje dokonywane na danych, takie jak w szczególności ich zbieranie (art. 7 pkt 2 ustawy). Mając na uwadze rodzaj danych osobowych przetwarzanych przez Spółkę, wskazać trzeba,
że przesłanki przetwarzania danych określone są w przepisie art. 23 ust. 1 ustawy.
W szczególności, przetwarzanie danych osobowych jest dopuszczalne, jeżeli zezwalają na to przepisy prawa (art. 23 ust. 1 pkt 2 ustawy).
Zakres danych osobowych użytkowników, które może przetwarzać operator publiczny, określają przepisy art. 69 ust. 2 i ust. 2a Prawa telekomunikacyjnego. Przepis ten, w brzmieniu obowiązującym od dnia 1 października 2003 r., stanowi, że operator publiczny jest uprawniony do przetwarzania poniższych danych dotyczących użytkownika będącego osobą fizyczną: 1) nazwisk i imion, 2) imion rodziców, 3) miejsca i daty urodzenia, 4) adresu miejsca zameldowania na pobyt stały, 5) numeru ewidencyjnego PESEL użytkownika, a w przypadku cudzoziemca – numeru paszportu lub karty pobytu, 6) nazwy i numeru dokumentów potwierdzających tożsamość, 7) dokumentów potwierdzających możliwość wykonania zobowiązania wobec operatora wynikającego z umowy o świadczenie usług telekomunikacyjnych. Ponadto operator może za pisemną zgodą użytkownika będącego osobą fizyczną przetwarzać dane dotyczące: 1) numeru ewidencji podatkowej NIP, 2) numeru konta bankowego lub karty płatniczej, 3) adresu użytkownika do korespondencji, jeżeli jest inny niż adres zameldowania na pobyt stały, adresu poczty elektronicznej oraz numerów telefonów kontaktowych (art. 69 ust. 2a Prawa telekomunikacyjnego).
Z powołanych wyżej przepisów wynika zatem, że niedopuszczalne jest przetwarzanie przez Spółkę danych osobowych użytkowników w zakresie wizerunku i rysopisu. Dane te nie są bowiem wymienione w katalogu danych, określonym w przepisach Prawa telekomunikacyjnego. Nie można przy tym zgodzić się z argumentem Spółki, że katalog ten ma charakter otwarty, wobec czego uprawnione jest przetwarzanie przez operatora również innych danych użytkownika niż w nim wskazane. Przeczy temu samo brzmienie powołanych przepisów art. 69 ust. 2 i 2a Prawa telekomunikacyjnego. Ustawodawca wprost wskazał bowiem w art. 69 ust. 2 jakie „poniższe” dane mogą być przetwarzane i wymienił je w siedmiu punktach. Brak jest natomiast w tym przepisie wyrażeń typu „jak w szczególności”, czy też „m.in.”, którymi ustawodawca posługuje się zazwyczaj dla wskazania, że dane wyliczenie nie jest wyczerpujące. Zauważyć przy tym należy, wobec tego, że pozyskiwanie przez Spółkę wizerunku i rysopisu użytkownika Generalny Inspektor stwierdził przed dniem 1 października 2003, kiedy przepis art. 69 ust. 2 obowiązywał w innym jeszcze brzmieniu, iż również wówczas nie budziło wątpliwości, że dane osobowe wyliczone są w nim w sposób enumeratywny. Przepis ten określał bowiem, jakich danych, wymienionych w ośmiu punktach „może dotyczyć” przetwarzanie danych osobowych użytkowników, będących osobami fizycznymi i nie wymieniał wizerunku oraz rysopisu.
Na temat zamkniętego charakteru prawnego katalogu danych osobowych z art. 69 ust. 2 Prawa telekomunikacyjnego wypowiedział się również Naczelny Sąd Administracyjny, który w uzasadnieniu wyroku z dnia 11 grudnia 2001 r. (II S.A. 2684/2000) stwierdził, że „w art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych wyodrębniono jako osobną grupę dopuszczalność przetwarzania danych osobowych, gdy zezwalają na to przepisy prawa. Takimi przepisami są niewątpliwie art. 69 ust. 2 i art. 70 Prawa telekomunikacyjnego, w których określono dopuszczalny zakres (podkreślenie Generalnego Inspektora) przetwarzania danych osobowych użytkowników będących osobami fizycznymi i dane jakie winny być zamieszczone w publicznie dostępnym spisie abonentów.”
W świetle powyższego stwierdzić zatem trzeba, że katalog danych osobowych określony w art. 69 ust. 2 Prawa telekomunikacyjnego, miał i ma charakter zamknięty i wejście w życie, z dniem 1 października 2003 r., nowelizacji Prawa telekomunikacyjnego nic w tej mierze nie zmieniło. Ponadto, o tym, że operator nie może pozyskiwać innych danych osobowych użytkownika niż wymienione w art. 69 świadczy również treść art. 34 ust. 2 pkt 3 Prawa telekomunikacyjnego, który stanowi, że operator nie może uzależniać zawarcia umowy o świadczenie usług telekomunikacyjnych, a także świadczenia tych usług, od udzielenia informacji lub danych innych niż określone w art. 69 ust. 1 i 2.
  Ponadto, z przepisów Prawa telekomunikacyjnego wynika, że operator publiczny nie tylko nie może zbierać innych danych niż wymienione w art. 69 ust. 2 tej ustawy, ale również powinien badać, z punktu widzenia konkretnych okoliczności danej sprawy, czy są mu one niezbędne dla realizacji umowy o świadczenie usług telekomunikacyjnych oraz czy dotyczą usługi świadczonej użytkownikowi. Przepis art. 69 ust. 1 Prawa telekomunikacyjnego stanowi bowiem, że z zastrzeżeniem art. 69 ust. 2, informacje lub dane objęte tajemnicą telekomunikacyjną mogą być zbierane, utrwalane, przechowywane, opracowywane, zmieniane, usuwane lub udostępniane tylko wówczas, gdy czynności te, zwane w ustawie „przetwarzaniem” dotyczą usługi świadczonej użytkownikowi albo są niezbędne do jej wykonania, natomiast przetwarzanie informacji lub danych w innych celach jest dopuszczalne jedynie na podstawie przepisów ustawowych. Z powyżej zaprezentowanym rozumieniem przepisu art. 69 ust. 1 koresponduje art. 69 ust. 3 analizowanej ustawy, który, pomimo określenia w art. 69 ust. 2 katalogu danych osobowych stanowi, że operator lub podmiot udostępniający usługi telekomunikacyjne jest obowiązany do poinformowania użytkownika,
z którym zawiera umowę o świadczenie usług, jakiego rodzaju dane dotyczące użytkownika będą przetwarzane przez operatora. Możliwe są zatem sytuacje, gdy z punktu widzenia konkretnej umowy o świadczenie usług telekomunikacyjnych przetwarzanie przez operatora pewnych danych użytkownika, wymienionych w art. 69 ust. 2 może być uznane za nieuzasadnione.
Niezależnie od powyższego, Spółka podniosła w swych wyjaśnieniach, że wizerunek oraz rysopis użytkownika są jej niezbędne do realizacji umowy o świadczenie usług telekomunikacyjnych, a w szczególności dane te umożliwiają „ustalenie tożsamości użytkownika, porównanie z innymi posiadanymi przez Spółkę danymi” oraz „pozwala uniknąć wielu przypadków bezprawnego posługiwania się cudzymi dokumentami”.
W odniesieniu do powyższego, stwierdzić trzeba, że dopuszczalność ustalania przez operatora publicznego tożsamości użytkownika na podstawie danych osobowych zawartych w dowodzie osobistym w świetle treści przepisu art. 34 ust. 3 Prawa telekomunikacyjnego nie budzi wątpliwości. Zgodnie bowiem z tym przepisem, operator może uzależnić zawarcie umowy o świadczenie usług telekomunikacyjnych, a także świadczenie usług telekomunikacyjnych od ustalenia danych użytkownika, o których mowa w art. 69 ust. 2 pkt 1-6, na podstawie dokumentu tożsamości przedstawionego przez użytkownika. Stosownie natomiast do art. 1 ust. 3 ustawy z dnia 10 kwietnia 1974 r. o ewidencji ludności i dowodach osobistych (Dz. U. z 2001 r. Nr 87, poz. 960 z późn. zm.), dowód osobisty jest dokumentem stwierdzającym tożsamość oraz poświadczającym obywatelstwo polskie. Jednakże, z powołanych przepisów wynika, że operator uprawniony jest do stwierdzania tożsamości użytkownika wyłącznie w oparciu o dane wymienione w art. 69 ust. 2 pkt 1-6. Tym samym, niedopuszczalne jest pozyskiwanie przez Spółkę wizerunku i rysopisu użytkownika dla ustalenia jego tożsamości, jak też w żadnym innym celu.
Nieuzasadniony jest przy tym argument Spółki, iż przetwarzanie przez nią tych danych osobowych użytkownika pozwala jej pracownikom zapobiec przestępstwom. Zakres działania Spółki, jako operatora publicznego wyznaczają bowiem przepisy Prawa telekomunikacyjnego i nie ma wśród nich zadań z zakresu zapobiegania przestępczości. Ponadto, powołany wyżej przepis art. 69 ust. 1 Prawa telekomunikacyjnego określa w jakich celach operator publiczny może przetwarzać dane osobowe i nie ma wśród nich ww. zadań. Jednocześnie, przepis ten ustanawia zasadę, iż przetwarzanie informacji lub danych użytkownika w innych celach niż dla wykonania usługi jest dopuszczalne jedynie na podstawie przepisów ustawowych. Natomiast żadne przepisy z zakresu ochrony porządku publicznego, czy dotyczące wymiaru sprawiedliwości nie upoważniają operatora publicznego do pozyskiwania wizerunki i rysopisu użytkowników dla celów związanych z zapobieganiem przestępczości. Niezależnie od powyższych przepisów Prawa telekomunikacyjnego, podkreślić należy, że również przepisy ustawy o ochronie danych osobowych statuują zasadę przetwarzania danych osobowych wyłącznie w celu, dla realizacji którego zostały pozyskane. Zasada ta wynika wprost z przepisu art. 26 ust. 1 pkt 2 ustawy o ochronie danych osobowych, który stanowi, że administrator danych przetwarzający dane powinien dołożyć szczególnej staranności w celu ochrony interesów osób, których dane dotyczą, a w szczególności jest obowiązany zapewnić, aby dane te były zbierane dla oznaczonych, zgodnych z prawem celów i nie poddawane dalszemu przetwarzaniu niezgodnemu z tymi celami, z zastrzeżeniem art. 26 ust. 2 ustawy. Natomiast żadna z sytuacji określonych w art. 26 ust. 2 ustawy nie dotyczy walki z przestępczością. W konsekwencji, w świetle powyższych regulacji prawnych, niedopuszczalne jest pozyskiwanie przez Spółkę wizerunku i rysopisu użytkowników wyłącznie dla tych celów. Takie działanie Spółki uznane być musi za zbieranie wskazanych danych osobowych „na zapas” – na wypadek, gdyby użytkownik podejrzany został o popełnienie przestępstwa, co jest niedopuszczalne wobec jednoznacznie brzmiących przepisów prawa.
Powołując się na wyrok Naczelnego Sądu Administracyjnego, z dnia 11 grudnia 2001 r. (II S.A. 2684/2000), Spółka podniosła również, że pozyskiwanie wizerunku i rysopisu użytkownika uzasadnione jest charakterem świadczonych przez nią usług, bowiem przekazuje swoim abonentom drogie urządzenie, jak też świadczone przez nią usługi telekomunikacyjne są kosztowne, a należność pobiera po ich wykonaniu. Odnosząc się do powyższego, stwierdzić przede wszystkim trzeba, że orzecznictwo sądów nie stanowi w polskim systemie prawa źródła prawa. Ponadto, wyrok  NSA, na który powołuje się Spółka, opublikowany również w Monitorze Prawniczym Nr 2002/4 str. 147, dotyczy stanu faktycznego, który miał miejsce przed dniem wejścia w życie Prawa telekomunikacyjnego,
tj. dniem 1 stycznia 2001 r. Dlatego też Generalny Inspektor w wydanej przez siebie decyzji, która uchylona została powyższym wyrokiem NSA, analizował przetwarzanie przez operatora danych osobowych w określonym zakresie wyłącznie w świetle przepisu art. 26 ust. 3 ustawy o ochronie danych osobowych, ustanawiającego zasadę adekwatności przetwarzanych danych osobowych. Natomiast NSA orzekał w tej sprawie już z uwzględnieniem Prawa telekomunikacyjnego i - nawiązując do postanowień art. 69 i 70 tej ustawy oraz art. 26 ust. 1 pkt 3 ustawy o ochronie danych osobowych - stwierdził w uzasadnieniu wyroku, że „jest to dobry przykład uściślania szczegółowszymi unormowaniami wcześniej funkcjonujących, ogólniejszych konstrukcji prawnych”.
W konsekwencji, wobec tego, że przepisy Prawa telekomunikacyjnego określają zarówno zakres danych osobowych użytkownika, jakie może przetwarzać operator, jak też cel tego przetwarzania Spółka nie może uzasadniać pozyskiwania wizerunku i rysopisu potrzebą dbałości o swoje interesy związane z charakterem prowadzonej działalności gospodarczej.
Oprócz zezwolenia przepisów prawa przepisy art. 23 ust. 1 ustawy o ochronie danych osobowych przewidują również inne przesłanki przetwarzania danych osobowych.
W ocenie Spółki, pozyskiwanie przez nią wizerunku oraz rysopisu użytkownika znajduje uzasadnienie nie tylko w przepisie art. 23 ust. 1 pkt 2, ale również w art. 23 ust. 1 pkt 3 i 5 ustawy. W odniesieniu do tego stwierdzić trzeba, że co prawda przesłanki przetwarzania danych mają charakter autonomiczny i niezależny, jednakże stwierdzenie, że dane są przetwarzane niezgodnie z przepisami prawa przesądza o niedopuszczalności podejmowania działań na danych w oparciu o pozostałe przepisy art. 23 ust. 1 ustawy o ochronie danych osobowych. W przeciwnym razie działanie administratora prowadziłoby w istocie do obejścia prawa.
Spółka podniosła również zarzut, iż przepisy prawa nie zakazują zbierania danych osobowych poprzez sporządzanie kopii dokumentów, w tym dowodów osobistych. Generalny Inspektor nie kwestionuje powyższego i nie zakazuje Spółce podejmowania takich czynności, niemniej zastrzec należy, iż kopiowanie dokumentów nie może prowadzić do pozyskania danych osobowych w zakresie szerszym niż pozwalają na to przepisy prawa. Natomiast z ustalonych okoliczności niniejszej sprawy wynika, że sporządzając kopie dowodów osobistych użytkowników, Spółka pozyskuje ich wizerunek oraz rysopis, co nie znajduje uzasadnienia w przepisach art. 69 ust. 2 i 2a Prawa telekomunikacyjnego.
Podsumowując dotychczasowe uwagi, podkreślić należy, iż określenie zakresu danych osobowych, jakie od użytkownika może pozyskiwać operator publiczny nie jest kwestią interpretacji przepisów prawa. Ustawodawca w przepisie art. 69 Prawa telekomunikacyjnego sformułował bowiem wprost katalog tych danych, co pociąga za sobą ten skutek, nie może być on kwestionowany ani przez operatora publicznego, ani przez użytkownika, jak też przez sam organ ochrony danych osobowych. Z punktu widzenia ochrony interesów tak użytkownika, jak i operatora przyjęcie przez ustawodawcę takiej konstrukcji prawnej niewątpliwie posiada walor istotnej gwarancji. Operator nie może bowiem żądać od użytkownika udostępnienia innych danych osobowych niż wymienione w Prawie telekomunikacyjnym, jednakże – z drugiej strony, użytkownik nie może też odmówić operatorowi podania swoich danych w dopuszczonym przez prawo zakresie. Dlatego też należyte przestrzeganie przepisów Prawa telekomunikacyjnego ma znaczenie dla obu stron umowy o świadczenie usług telekomunikacyjnych.   

W tym stanie faktycznym i prawnym Generalny Inspektor Ochrony Danych Osobowych rozstrzygnął, jak w sentencji.


Decyzja jest ostateczna. Na podstawie art. 21 ust. 1 ustawy o ochronie danych osobowych strona niezadowolona z niniejszej decyzji może zwrócić się do Generalnego Inspektora Ochrony Danych Osobowych (adres: 00 – 193 Warszawa, ul. Stawki 2)
z wnioskiem o ponowne rozpatrzenie sprawy, w terminie 14 dni od daty doręczenia niniejszej decyzji.