GI-DEC-DS-312/06
2007-05-04
Decyzja Generalnego Inspektora Ochrony Danych Osobowych nakazująca Operatorowi Telefonii Komórkowej usunięcie uchybień w procesie pozyskiwania danych osobowych klientów za pomocą formularza umowy o świadczenie usług telekomunikacyjnych.
Warszawa, dnia 21 sierpnia 2006 r.
DECYZJA
Na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2000 r. Nr 98, poz. 1071 z późn. zm.), art. 6, art. 12 pkt 2, art. 18 ust. 1 pkt 1, art. 22 oraz art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.) w związku z art. 159 ust. 1 pkt 3, art. 163, art. 165 oraz art. 174 ust. 1 pkt 1, ustawy z dnia 16 lipca 2004 r. Prawo telekomunikacyjne (Dz. U. Nr 171, poz. 1800 z późn. zm.)
po przeprowadzeniu postępowania administracyjnego w sprawie pozyskiwania przez Telefonię Komórkową, danych osobowych klientów za pomocą formularza umowy o świadczenie usług telekomunikacyjnych,
nakazuję Telefonii Komórkowej, usunięcie uchybień w procesie pozyskiwania danych osobowych klientów za pomocą formularza umowy o świadczenie usług telekomunikacyjnych poprzez:
1) wypełnienie wobec abonentów, z którymi zawiera umowy o świadczenie usług telekomunikacyjnych obowiązków informacyjnych określonych w art. 163 oraz art. 165 ust. 2 pkt 1 i ust. 3 ustawy z dnia 16 lipca 2004 r. Prawo telekomunikacyjne (Dz. U. Nr 171, poz. 1800 z późn. zm.), tj. poinformowanie o:
a) zakresie przetwarzania danych transmisyjnych, a także o możliwościach wpływu na zakres tego przetwarzania , stosownie do brzmienia art. 163 Prawa telekomunikacyjnego,
b) rodzaju danych transmisyjnych, które będą przetwarzane dla celów naliczania opłat abonenta i opłat z tytułu rozliczeń operatorskich oraz okresie tego przetwarzania, stosownie do brzmienia art. 165 ust. 2 pkt 1 Prawa telekomunikacyjnego,
c) rodzaju danych transmisyjnych, które będą przetwarzane dla celów marketingu usług telekomunikacyjnych lub świadczenia usług o wartości wzbogaconej oraz okresie tego przetwarzania, stosownie do brzmienia art. 165 ust. 3 Prawa telekomunikacyjnego,
2) umieszczenie w treści umów o świadczenie usług telekomunikacyjnych odrębnych oświadczeń
o wyrażeniu przez abonentów zgody na przetwarzanie danych transmisyjnych dla celów marketingu usług telekomunikacyjnych oraz o wyrażeniu zgody na przetwarzanie tych danych dla celów świadczenia usług o wartości wzbogaconej, przy jednoczesnym zapewnieniu abonentom możliwości odmowy wyrażenia zgody na przetwarzanie danych transmisyjnych dla każdego z ww. celów.
Uzasadnienie
Generalny Inspektor Ochrony Danych Osobowych, korzystając z kompetencji przyznanych mu ustawą z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.), zwaną dalej również ustawą, wszczął z urzędu postępowanie administracyjne w sprawie pozyskiwania przez Telefonię Komórkową , zwaną dalej także Spółką, danych osobowych klientów za pomocą formularza umowy o świadczenie usług telekomunikacyjnych.
W toku przedmiotowego postępowania Spółka przedstawiła formularz „Umowy o świadczenie usług telekomunikacyjnych", na którym umieszczona została klauzula zgody o następującej treści: „Wyrażam zgodę na przetwarzanie przez Operatora moich danych transmisyjnych (danych przetwarzanych dla celów przekazywania komunikatów w sieciach telekomunikacyjnych lub naliczania opłat za usługi telekomunikacyjne) dla celów świadczenia usług o wartości wzbogaconej przez czas świadczenia danej usługi i marketingu usług telekomunikacyjnych przez czas nieokreślony”.
Telefonia Komórkowa wyraziła jednocześnie opinię, że dane transmisyjne nie są danymi osobowymi, wobec czego ww. spółkę nie obowiązują przepisy ustawy o ochronie danych osobowych co do legalności przetwarzania takich informacji.
Mając na względzie powyższe okoliczności, Generalny Inspektor Ochrony Danych Osobowych zważył, co następuje.
Zgodnie z art. 6 ustawy o ochronie danych osobowych, za dane osobowe uważa się wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. Osobą możliwą do zidentyfikowania w rozumieniu ustawy jest osoba, której tożsamość można określić bezpośrednio lub pośrednio, w szczególności przez powołanie się na numer identyfikacyjny albo jeden lub kilka specyficznych czynników określających jej cechy fizyczne, fizjologiczne, umysłowe, ekonomiczne, kulturowe lub społeczne. Informacji nie uważa się za umożliwiającą określenie tożsamości osoby, jeżeli wymagałoby to nadmiernych kosztów, czasu lub działań.
Wskazać w tym miejscu również należy, że w myśl art. 159 ust. 1 pkt 3 Prawa telekomunikacyjnego, danymi transmisyjnymi są dane przetwarzane dla celów przekazywania komunikatów w sieciach telekomunikacyjnych lub naliczania opłat za usługi telekomunikacyjne,
w tym dane lokalizacyjne, które oznaczają wszelkie dane przetwarzane w sieci telekomunikacyjnej wskazujące położenie geograficzne urządzenia końcowego użytkownika publicznie dostępnych usług telekomunikacyjnych. Definicją legalną danych transmisyjnych objęte są zatem dane przetwarzane w celu pozyskiwania komunikatów, naliczania opłat i dane lokalizacyjne. Zgodnie
z art. 2 pkt 17 Prawa telekomunikacyjnego, przez komunikat rozumie się każdą informację wymienianą lub przekazywaną między określonymi użytkownikami za pośrednictwem publicznie dostępnych usług telekomunikacyjnych; nie obejmuje on informacji przekazanej jako część transmisji radiowych lub telewizyjnych transmitowanych poprzez sieć telekomunikacyjną,
z wyjątkiem informacji odnoszącej się do możliwego do zidentyfikowania abonenta lub użytkownika otrzymującego informację. Podnieść także trzeba, że „(...) W związku z komunikatami przekazywane są informacje towarzyszące, niezbędne zestawienia połączenia lub transmisji komunikatu w sposób bezpołączeniowy, sposoby połączenia lub kierowania komunikatu, stosowanego protokołu komunikacyjnego oraz formatu komunikatu, identyfikacji abonentów lub użytkowników końcowych, identyfikacji zakończonej sieci (numery, nazwy, inne znaki identyfikujące), identyfikacji urządzeń końcowych (np. numer IMEI), ustalenia należności za usługę telekomunikacyjną (termin rozpoczęcia i zakończenia, czas trwania połączenia lub przekazu, objętość informacji, a także inne informacje w zależności od rodzaju sieci i usługi telekomunikacyjnej (...)” („Prawo telekomunikacyjne. Komentarz”, Stanisław Piątek, Wydawnictwo C.H. Beck, Warszawa 2005, s. 857)
W świetle powyższego uznać zatem należy, że dane transmisyjne są danymi osobowymi,
są one bowiem informacjami dotyczącymi zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. Z tego względu kwestia legalności przetwarzania danych transmisyjnych może być przedmiotem rozpoznania Generalnego Inspektora. Natomiast w związku z tym, że problematykę przetwarzania przedmiotowych danych regulują przepisy Prawa telekomunikacyjnego, ocena legalności działań Telefonii Komórkowej stosownie do postanowień art. 23 ust. 1 pkt 2 ustawy
o ochronie danych osobowych powinna być dokonana w oparciu o przepisy szczególne. Zgodnie
z ww. przepisem przetwarzanie danych osobowych jest dopuszczalne, gdy jest niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa.
Mając powyższe na względzie, wskazać trzeba, że na podstawie art. 163 Prawa telekomunikacyjnego, dostawca publicznie dostępnych usług telekomunikacyjnych jest obowiązany do poinformowania abonenta, z którym zawiera umowę o świadczenie usług telekomunikacyjnych,
a także pozostałych użytkowników końcowych, o zakresie i celu przetwarzania danych transmisyjnych oraz innych danych ich dotyczących, a także o możliwościach wpływu na zakres tego przetwarzania. Zauważyć również należy, że stosownie do brzmienia art. 165 ust. 2 Prawa telekomunikacyjnego, przetwarzanie danych transmisyjnych, niezbędnych dla celów naliczania opłat abonenta i opłat z tytułu rozliczeń operatorskich, jest dozwolone: 1) po uprzednim poinformowaniu abonenta lub użytkownika końcowego o rodzaju danych transmisyjnych, które będą przetwarzane przez dostawcę publicznie dostępnych usług telekomunikacyjnych, oraz o okresie tego przetwarzania; 2) tylko do końca okresu, o którym mowa w art. 108 ust. 2. Ustęp 3 ww. artykułu stanowi natomiast, że dostawca publicznie dostępnych usług telekomunikacyjnych jest obowiązany poinformować abonenta lub użytkownika końcowego o rodzaju danych transmisyjnych, które będą przetwarzane, oraz o okresie tego przetwarzania dla celów marketingu usług telekomunikacyjnych lub świadczenia usług o wartości wzbogaconej. W myśl ust. 4 Prawa telekomunikacyjnego, dostawca publicznie dostępnych usług telekomunikacyjnych może przetwarzać dane transmisyjne, o których mowa w ust. 3, w zakresie i przez czas niezbędny dla celów marketingu usług telekomunikacyjnych lub świadczenia usług o wartości wzbogaconej, jeżeli abonent lub użytkownik końcowy wyraził
na to zgodę.
Biorąc pod uwagę przytoczone wyżej przepisy oraz okoliczności niniejszej sprawy stwierdzić należy, że Telefonia Komórkowa zobligowana jest poinformować abonenta, z którym zawiera umowę o świadczenie usług telekomunikacyjnych, o zakresie przetwarzania danych transmisyjnych, jak również o możliwościach wpływu na zakres tego przetwarzania. Z przepisów tych wynika także, że Spółka powinna wskazać jaki zakres danych transmisyjnych będzie przetwarzany dla celów naliczania opłat abonenta i opłat z tytułu rozliczeń operatorskich, a jaki dla celów marketingu usług telekomunikacyjnych lub świadczenia usług o wartości wzbogaconej. Podkreślenia jednocześnie wymaga, że przepis art. 165 ust. 2 Prawa telekomunikacyjnego jednoznacznie stanowi, że poinformowanie abonenta o rodzaju przetwarzanych danych transmisyjnych oraz okresie tego przetwarzania jest warunkiem ich wykorzystywania do naliczania opłat abonenta i opłat z tytułu rozliczeń operatorskich.
Analiza przepisów Prawa telekomunikacyjnego prowadzi również do wniosku, że Telefonia Komórkowa powinna odbierać odrębnie zgodę na przetwarzanie danych transmisyjnych dla celów marketingu usług telekomunikacyjnych oraz zgodę na świadczenia usług o wartości wzbogaconej. W przepisie art. 165 ust. 4 Prawa telekomunikacyjnego użyto bowiem spójnika „lub”
a nie „oraz”. Ponadto, zgodnie z art. 174 ust. 1 pkt 1 Prawa telekomunikacyjnego, jeżeli przepisy ustawy wymagają wyrażenia zgody przez abonenta lub użytkownika końcowego, zgoda ta nie może być domniemana lub dorozumiana z oświadczenia woli o innej treści. Biorąc natomiast pod uwagę okoliczność, że Spółka jest uprawniona do przetwarzania danych transmisyjnych dla celów marketingu usług telekomunikacyjnych oraz świadczenia usług o wartości wzbogaconej po uzyskaniu zgody abonenta, jak również fakt, że nie każdy klient chce, aby dane te były przetwarzane w ww. celach stwierdzić należy, że konieczne jest przyjęcie przez Telefonię Komórkową takich rozwiązań, które umożliwią abonentom odmowę wyrażenia zgody na przetwarzanie danych transmisyjnych w celach marketingowych lub świadczenia usług o wartości wzbogaconej.
Podkreślenia także wymaga, iż w literaturze przedmiotu wskazuje się, iż „(...) jeżeli osoba zbierająca dane osobowe czy w inny sposób przetwarzająca dane osobowe zwraca się o zgodę, musi to zostać sformułowane w sposób jednoznaczny i wyróżniać się spośród innych pochodzących od tej osoby informacji i oświadczeń (...)” (J. Barta, P. Fajgielski, R. Markiewicz, Ochrona danych osobowych, Komentarz, Zakamycze 2004, s. 416). Klauzula zgody na przetwarzanie danych
w celach marketingowych powinna być zatem skonstruowana w taki sposób, aby dysponent danych podejmował świadomą decyzję co do udostępnienia swoich danych osobowych ściśle określonym podmiotom i dla jednoznacznie wskazanych celów oraz aby treść jego oświadczenia woli nie budziła wątpliwości. Ponadto, decyzja w sprawie wyrażenia zgody powinna być podjęta swobodnie i mieć charakter samodzielny, tzn. nie może być wymuszona poprzez konieczność złożenia innych oświadczeń. Warto również wskazać, że Naczelny Sąd Administracyjny w wyroku z dnia 4 kwietnia 2003 r. (sygn. akt II SA 2135/2002) przyjął, iż „(..) zgoda na przekazywanie danych musi mieć charakter wyraźny, a jej wszystkie aspekty muszą być jasne dla podpisującego w momencie jej wyrażania (...)”. Natomiast w wyroku z dnia 11 kwietnia 2003 r. (sygn. akt II SA 3942/04) Naczelny Sąd Administracyjny podniósł, że „(...) zgoda (...) nie może mieć charakteru abstrakcyjnego, lecz winna odnosić się do skonkretyzowanego stanu faktycznego, obejmując tylko określone dane oraz sprecyzowany sposób i cel ich przetwarzania (...)”.
Mając powyższe na względzie, w tym stanie prawnym i faktycznym, Generalny Inspektor Ochrony Danych Osobowych rozstrzygnął, jak w sentencji.
Decyzja jest ostateczna. Stronom, na podstawie art. 21 ust. 1 ustawy o ochronie danych osobowych oraz art. 129 § 2 w zw. z art. 127 § 3 Kodeksu postępowania administracyjnego przysługuje, w terminie 14 dni od dnia doręczenia niniejszej decyzji, prawo złożenia do Generalnego Inspektora Ochrony Danych Osobowych wniosku o ponowne rozpatrzenie sprawy (adres: Biuro Generalnego Inspektora Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa).
