>Decyzje Giodo>2009 >

GENERALNY INSPEKTOR OCHRONY DANYCH OSOBOWYCH
Michał Serzycki

Warszawa, dnia 19 czerwca 2009 r.

DECYZJA

Na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (Dz. U. z 2000 r. Nr 98, poz. 1071 z późn. zm.), art. 12 pkt 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.), po przeprowadzeniu postępowania administracyjnego w sprawie skargi Pana X zam. w (…) na przetwarzanie jego danych osobowych przez Y Sp. z o.o. z siedzibą w (…),

odmawiam uwzględnienia wniosku.

Uzasadnienie

Do Biura Generalnego Inspektora Ochrony Danych Osobowych wpłynęła skarga Pana X zam. w (…), zwanego dalej Skarżącym, na przetwarzanie jego danych osobowych przez Y Sp. z o.o. z siedzibą w (…), zwaną dalej Spółką. Skarżący podniósł, Że jego dane osobowe w zakresie: imię, nazwisko, nazwa ulicy, na której mieszka, zastrzeżony numer telefonu stacjonarnego zostały opublikowane przez Spółkę w wydanej przez nią Regionalnej Książce Telefonicznej na miasto (…).
W ocenie Skarżącego niniejsze dane osobowe zostały pozyskane i opublikowane przez Spółkę bezprawnie, ponieważ nie wyraził zgody na takie przetwarzanie, a jego numer telefonu jest zastrzeżony. W związku z powyższym Skarżący zażądał od Generalnego Inspektora Ochrony Danych Osobowych wydania decyzji administracyjnej nakazującej Spółce: „zastosowanie dodatkowych środków zabezpieczających zgromadzone dane osobowe, wstrzymanie przekazywania danych osobowych do państwa trzeciego, zabezpieczenie danych lub przekazanie ich innym podmiotom, usunięcie danych osobowych”.

W toku postępowania administracyjnego Generalny Inspektor Ochrony Danych Osobowych odebrał wyjaśnienia od Spółki, w których stwierdzono, iŻ Spółka pozyskała i opublikowała dane osobowe Skarżącego na podstawie woli osoby, z którą połączył się konsultant Spółki wykonując połączenie na numer telefonu 042 688 60 60 i która przedstawiła się jako Żona Pana X. Jak wskazano osoba ta uzależniła (...) chęć zakupu naszego produktu – książki telefonicznej od tego by dane zwykłe Skarżącego, tzn.: imię, nazwisko, nazwa ulicy, numer telefonu stacjonarnego znalazły się w Regionalnej Książce Telefonicznej na miasto (…). Nadto Spółka wyjaśniła, Że cyt.: „nie przetwarzamy danych Skarżącego dalej w celach innych niż określiliśmy w rozmowie. Służyły nam do spełnienia woli klienta, tj. umieszczenia w spisie abonentów i dostarczenia naszego produktu”. Jednocześnie odnosząc się do zarzutów Pana X wskazano, iŻ cyt.: „naszym zamiarem nie było naruszenie jego [tj. Skarżącego] interesów i gotowi jesteśmy trwale usunąć dane ze spisu abonentów”.

Wobec powyższej deklaracji Generalny Inspektor ponownie zwrócił się do Spółki o wskazanie czy dane osobowe Skarżącego nadal są przez nią przetwarzane. W odpowiedzi wskazano, iż w dniu 24 marca 2009 r. dane osobowe Pana X zostały trwale usunięte z bazy danych Spółki, na dowód czego przesłano „Raport potwierdzający usunięcie danych osobowych ze spisu telefonów”.

W tym stanie faktycznym Generalny Inspektor Ochrony Danych Osobowych zważył, co następuje:

Ustawa o ochronie danych osobowych określa zasady postępowania przy przetwarzaniu danych osobowych oraz prawa osób fizycznych, których dane są lub mogą być przetwarzane w zbiorach danych (art. 2 ust. 1 ustawy). Zgodnie z regulacją art. 7 pkt 2 ustawy, przez przetwarzanie danych rozumie się jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych. Administratorem danych, w myśl art. 7 pkt 4 ustawy, jest organ, jednostka organizacyjna, podmiot lub osoba, o których mowa w art. 3, decydujące o celach i środkach przetwarzania danych osobowych. Proces przetwarzania danych osobowych jest zgodny z ustawą wówczas, gdy zostanie spełniona co najmniej jedna z materialnych przesłanek przetwarzania danych osobowych, wymienionych w art. 23 ust. 1 pkt 1-5 ustawy (dane zwykłe) lub w art. 27 ust. 2 pkt 1-10 ustawy (dane wrażliwe). Wymienione w powyższych przepisach przesłanki mają charakter równoprawny i autonomiczny. Dane osobowe Skarżącego, które były przetwarzane przez Spółkę należą do kategorii danych zwykłych. Zatem mają do nich zastosowanie przesłanki z art. 23 ust. 1 pkt 1-5 ustawy. Zgodnie z tym przepisem przetwarzanie danych osobowych jest dopuszczalne tylko wtedy, gdy: osoba, której dane dotyczą, wyrazi na to zgodę, chyba Że chodzi o usunięcie dotyczących jej danych (pkt 1), jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa (pkt 2), jest to konieczne dla realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą (pkt 3), jest niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego (pkt 4) oraz jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą (pkt 5). Przekładając przytoczone powyżej przepisy na grunt niniejszej sprawy, wskazać należy, że Spółka nie przedstawiła, pomimo wezwania, Żadnego dowodu, który wskazywałby, iż dane osobowe Skarżącego były pozyskane przez nią w sposób legalny. W szczególności Spółka nie przedstawiła zgody Skarżącego na powyższe działania – nie wykazała zatem spełnienia przesłanki z art. 23 ust. 1 pkt 1 ustawy. Mając na uwadze powyższy zarzut należy podkreślić, iz w myśl art. 7 pkt 5 ustawy przez zgodę osoby, której dane dotyczą rozumie się oświadczenie woli, którego treścią jest zgoda na przetwarzanie danych osobowych tego, kto składa oświadczenie; zgoda nie może być domniemana lub dorozumiana z oświadczenia woli o innej treści. W związku z okolicznością, iż w przedmiotowej sprawie mają zastosowanie normy ustawy z dnia 16 lipca 2004 r. Prawo telekomunikacyjne (Dz. U. Nr 171, poz. 1800 z późn. zm.), kwestie wyrażenia zgody, przez Skarżącego należy rozpatrywać również z ich uwzględnieniem. Stosownie do treści art. 174 tego aktu prawnego, jeżeli przepisy ustawy wymagają wyrażenia zgody przez abonenta lub Użytkownika końcowego, zgoda ta: nie może być domniemana lub dorozumiana z oświadczenia woli o innej treści (pkt 1), może być wyrażona drogą elektroniczną, pod warunkiem jej utrwalenia i potwierdzenia przez Użytkownika (pkt 2).

Zatem w świetle powyższego Spółka nie uprawdopodobniła, iż Skarżący wyraził zgodę na przedmiotowe przetwarzanie danych osobowych. Podmiot ten bowiem dla celów dowodowych powinien posiadać zgodę Skarżącego utrwaloną w taki sposób, iż okoliczność jej wyrażenia nie budziłaby wątpliwości - np. Spółka powinna przedstawić nagranie rozmowy telefonicznej ze Skarżącym, z którego wynika wprost, iż zgoda taka została wyrażona. Należy również zaznaczyć, iż stosownie do art. 169 ust. 3 Prawa telekomunikacyjnego zamieszczenie w spisie danych identyfikujących abonenta będącego osobą fizyczną może nastąpić wyłącznie po uprzednim wyrażeniu przez niego zgody na dokonanie tych czynności. W związku brakiem takiej zgody, nie został spełniony warunek z art. 23 ust. 1 pkt 2 ustawy.
Nie można także uznać, iż kwestionowane przetwarzanie danych osobowych znajdowało podstawę, w którejś z pozostałych przesłanek - (art. 23 ust. 1 pkt 3-5 ustawy) - ponieważ, w sytuacji gdy przepisy prawa regulują warunki przetwarzania danych osobowych to one mają walor rozstrzygający.
Analiza zgromadzonego w niniejszej sprawie materiału dowodowego prowadzi zatem do wniosku, Że Spółka w procesie przetwarzania danych osobowych Skarżącego nie legitymowała się żadną z przesłanek wymienionych w art. 23 ust. 1 pkt 1-5 ustawy. Powyższe skutkowało wystąpieniem przez Generalnego Inspektora Ochrony Danych Osobowych do Prezesa Zarządu Spółki o odstąpienie w przyszłości od działań polegających na udostępnianiu przez Y Sp. z o.o. w wydawanych przez nią książkach telefonicznych danych osobowych abonentów bez podstawy prawnej.

Nadto wskazać należy, iż zgodnie z treścią art. 18 ust. 1 ustawy w przypadku naruszenia przepisów o ochronie danych osobowych Generalny Inspektor z urzędu lub na wniosek osoby zainteresowanej, w drodze decyzji administracyjnej, nakazuje przywrócenie stanu zgodnego z prawem. Z powyższego wynika, iż w chwili wydania decyzji musi istnieć stan naruszenia ustawy, który w niniejszej sprawie ustał w związku z okolicznością usunięcia danych osobowych Skarżącego ze zbiorów danych, w tym systemu informatycznego Spółki. Ponadto, wobec usunięcia danych osobowych Skarżącego, brak jest podstaw do wydania przez Generalnego Inspektora Ochrony Danych Osobowych decyzji nakazującej usunięcie tych danych czy też zastosowanie dodatkowych środków zabezpieczających zgromadzone dane osobowe, wstrzymanie przekazywania danych osobowych do państwa trzeciego, zabezpieczenie danych lub przekazanie ich innym podmiotom. Nie jest również możliwe wydanie przez organ decyzji nakazującej Spółce zaprzestanie rozpowszechniania i wprowadzania do obrotu ww. spisu abonentów lub wycofanie go z obrotu, ponieważ spis ten został już wydany i rozpowszechniony – w takiej sytuacji Skarżącemu przysługuje powództwo cywilne przeciwko Spółce. Niemniej jednak istotnym z punktu widzenia okoliczności niniejszej sprawy jest usunięcie przez Spółkę z prowadzonego przez nią zbioru danych osobowych Pana X, które w przyszłości mogłyby być ponownie wykorzystane do opublikowania ich w spisie abonentów.

W tym stanie faktycznym i prawnym Generalny Inspektor Ochrony Danych Osobowych rozstrzygnął, jak w sentencji. Decyzja niniejsza jest ostateczna.