>Decyzje Giodo>2010 >

DOLiS/DEC- 1143/10 dot. DOLiS-440-811/09

GENERALNY INSPEKTOR OCHRONY DANYCH OSOBOWYCH
dr Wojciech R. Wiewiórowski

Warszawa, dnia 30 września 2010 r.

DECYZJA

Na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. – Kodeks postępowania administracyjnego (Dz. U. z 2000 r. Nr 98, poz. 1071 z późn. zm.), art. 12 pkt 2, art. 22, art. 23 ust. 1 pkt 5 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.), po przeprowadzeniu postępowania administracyjnego w sprawie skargi Pana X, na przetwarzanie jego danych osobowych przez spółkę – operatora telekomunikacyjnego,

odmawiam uwzględnienia wniosku.

Uzasadnienie
Do Generalnego Inspektora Ochrony Danych Osobowych wpłynęła skarga Pana X (zwanego dalej Skarżącym), na przetwarzanie jego danych osobowych przez spółkę- operatora telekomunikacyjnego (zwaną dalej Spółką). W przedmiotowym piśmie Skarżący wskazał cyt. „operator (…) notorycznie wysyła mi smsy dotyczące mojej rezygnacji z przeniesienia numeru do tej sieci komórkowej. Pomimo licznych zgłoszeń (...) problem nadal występuje” nawet – jak podkreślił Skarżący – „po otrzymaniu oficjalnej informacji o usunięciu problemu systemu informatycznego (..) i zaniechaniu przetwarzania moich danych osobowych”.
W toku postępowania przeprowadzonego w niniejszej sprawie Generalny Inspektor Ochrony Danych Osobowych ustalił następujący stan faktyczny.
1) Skarżący, chcąc zostać klientem Spółki, złożył w dniu 5 maja 2009 r. w sklepie (…) „Wniosek o potwierdzenie możliwości technicznych przeniesienia numeru do sieci (…)”. Ww. wniosek zawierał dane Skarżącego w zakresie: imię, nazwisko, data urodzenia, adres zameldowania na pobyt stały, numer PESEL, seria i numer dowodu osobistego, numer telefonu kontaktowego.
2) w dniu 13 maja 2009 r. Skarżący powiadomił swojego dotychczasowego operatora o rezygnacji z przeniesienia numeru do Spółki, o czym Spółka została powiadomiona przez ww. operatora w tym
samym dniu,
3) w dniach 5 maja 2009 r. – 13 maja 2009 r. Skarżący był informowany przez Spółkę o bieżącym statusie przeniesienia numeru za pośrednictwem smsów. Po rezygnacji Skarżącego informacje o przerwaniu procesu przeniesienia numeru wciąż były do niego wysyłane przez Spółkę, pomimo wniesienia reklamacji przez Skarżącego w tym zakresie. Jak wyjaśniła Spółka, powyższe nastąpiło wskutek błędu pracownika, który to błąd obecnie został usunięty i Skarżący nie otrzymuje już ww. informacji od Spółki,
4) obecnie Spółka przetwarza dane osobowe Skarżącego w celach dowodowych na podstawie ustawy z dnia 16 lipca 2004 r. Prawo telekomunikacyjne (Dz. U. 2004, Nr 171, poz. 1800 z późn. zm.) oraz rozporządzenia Ministra Infrastruktury z dnia 17 czerwca 2009 r. w sprawie warunków korzystania z uprawnień w publicznych sieciach telefonicznych (Dz. U. 2009 Nr 97, poz. 810), zgodnie z którym abonent publicznej sieci telefonicznej może w każdym czasie wystąpić do Prezesa UKE, na podstawie art. 192 ust. 1 pkt 5 ustawy z wnioskiem o interwencję w przypadku niezrealizowania albo realizowania jego uprawnienia do zmiany przydzielonego numeru niezgodnie z przepisami ustawy, rozporządzenia lub wnioskiem abonenta (§ 16 pkt 1). Jak wyjaśniła Spółka cyt. „uwzględniając przedmiotową interwencję GIODO [Spółka] postanowiła przyjąć jako okres przechowywania tego typu danych okres osiemnastu miesięcy”.
W tym stanie faktycznym Generalny Inspektor Ochrony Danych Osobowych zważył, co następuje.
Ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.), zwana dalej ustawą, określa zasady postępowania przy przetwarzaniu danych osobowych oraz prawa osób fizycznych, których dane osobowe są lub mogą być przetwarzane w zbiorach danych (art. 2 ust. 1 ustawy). W świetle przepisów powołanego aktu prawnego, podstawowym obowiązkiem każdego administratora jest przetwarzanie danych osobowych z zachowaniem przesłanek określonych w ustawie. Wobec okoliczności niniejszej sprawy wskazać należy na przesłanki wymienione w art. 23 ust. 1 ustawy, zgodnie z którym przetwarzanie danych jest dopuszczalne tylko wtedy, gdy: 1) osoba, której dane dotyczą, wyrazi na to zgodę, chyba że chodzi o usunięcie dotyczących jej danych, 2) jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa, 3) jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą, 4) jest niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego, 5) jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą.
Z materiału dowodowego oraz okoliczności przedmiotowej sprawy wynika, że Spółka pozyskała dane osobowe Skarżącego w celu podjęcia czynności przed zawarciem umowy między Spółką a Skarżącym. Jednakże jeszcze przed jej podpisaniem Spółka została poinformowana, iż Skarżący zrezygnował z przeniesienia numeru do Spółki i tym samym zawarcia z nią umowy. Pomimo powyższego Skarżący w dalszym ciągu otrzymywał od Spółki informacje dotyczące przeniesienia numeru. W złożonych wyjaśnieniach Spółka wskazała cyt. „w trakcie wewnętrznego postępowania wyjaśniającego ustalono, że przyczyną braku usunięcia błędu systemu wysyłającego smsy do Skarżącego, a w konsekwencji braku faktycznej realizacji reklamacji Skarżącego był błąd ludzki.
Obecnie błąd systemu został skutecznie usunięty, zatem Skarżący nie będzie otrzymywał nieaktualnych smsów informujących o statusie procesu przeniesienia numeru, w którym już nie uczestniczy”.
Powyższa sytuacja stanowiła naruszenie przepisów ustawy o ochronie danych osobowych przez osobę, która odpowiedzialna była w Spółce za przetwarzanie danych osobowych Skarżącego. Wskazać bowiem należy, iż po złożeniu rezygnacji Skarżącego z przeniesienia numeru do sieci i z zawarcia ze Spółką umowy o świadczenie usług telekomunikacyjnych, Spółka mogła przetwarzać jego dane wyłącznie w ewentualnych celach dowodowych na podstawie art. 23 ust. 1 pkt 5 ustawy, zgodnie z którym przetwarzanie danych osobowych jest dopuszczalne, jeśli jest niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. W myśl § 16 pkt 1 rozporządzenia Ministra Infrastruktury z dnia 17 czerwca 2009 r. w sprawie warunków korzystania z uprawnień w publicznych sieciach telefonicznych (Dz. U. 2009 Nr 97, poz. 810) abonent publicznej sieci telefonicznej może w każdym czasie wystąpić do Prezesa UKE, na podstawie art. 192 ust. 1 pkt 5 ustawy z wnioskiem o interwencję w przypadku niezrealizowania albo realizowania jego uprawnienia do zmiany przydzielonego numeru niezgodnie z przepisami ustawy, rozporządzenia lub wnioskiem abonenta.
Wskazać należy, iż Spółka jest uprawniona do przetwarzania danych Skarżącego wyłącznie w ww. celach dowodowych. Powyższe w powiązaniu z art. 26 ust. 1 pkt 2 ustawy, który stanowi o obowiązku administratora danych dołożenia szczególnej staranności w celu ochrony interesów osób, których dane dotyczą, a w szczególności jest on obowiązany zapewnić, aby dane te były zbierane dla oznaczonych, zgodnych z prawem celów i nie poddawane dalszemu przetwarzaniu niezgodnemu z tymi celami, z zastrzeżeniem ust. 2 sprawia, że nie mogą być one wykorzystane do innych celów. Zatem wykorzystanie danych osobowych Skarżącego w celu przesyłania wiadomości sms, jak miało to miejsce w niniejszej sprawie zainicjowanej skargą Pana X, było niezgodne z ustawą o ochronie danych osobowych. Dlatego też w tym zakresie Generalny Inspektor – korzystając z uprawnień przyznanych mu w art. 17 ust. 2 ustawy – skierował do Spółki wniosek o wszczęcie postępowania dyscyplinarnego wobec osoby, która jest odpowiedzialna za powstanie błędu przy przetwarzaniu danych osobowych Skarżącego.
Natomiast mając na uwadze, iż dane Skarżącego są obecnie przetwarzane przez Spółkę jedynie w celach dowodowych i w określonym przez Spółkę terminie, wskazać należy, iż powyższe jest prawnie usprawiedliwionym celem administratora danych i znajduje uzasadnienie w obowiązujących, ww. przepisach prawa.
W tym stanie faktycznym i prawnym Generalny Inspektor Ochrony Danych Osobowych rozstrzygnął, jak w sentencji.
Decyzja niniejsza jest ostateczna. Na podstawie art. 21 ust. 1 ustawy o ochronie danych osobowych, w związku z art. 127 Kodeksu postępowania administracyjnego, stronie niezadowolonej z niniejszej decyzji przysługuje, w terminie 14 dni od dnia jej doręczenia, prawo złożenia do Generalnego Inspektora Ochrony Danych Osobowych wniosku o ponowne rozpatrzenie sprawy (adres: Biuro Generalnego Inspektora Ochrony Danych Osobowych, ul. Stawki 2, 00 – 193 Warszawa).