Czy dopuszczalne jest przetwarzanie danych w postaci kserokopii dowodu osobistego klienta, bez jego wyraźnej zgody? Czy usprawiedliwieniem dla przetwarzania tych informacji może być ryzyko powstania roszczeń (klienta wobec firmy, firmy wobec klienta)? Czy jednak przesłanką przetwarzania danych osobowych mogą być tylko konieczność dochodzenia lub obrony przed istniejącymi, a nie potencjalnymi, roszczeniami?
wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z 5 maja 2021 r. (II SA/Wa 2014/20)
1) Weryfikacja tożsamości klienta możliwa jest poprzez okazanie przez klienta dokumentu ją potwierdzającego Dla celów dowodowych i archiwizacyjnych związanych z potwierdzeniem faktu zawarcia umów oraz ustalenia, obrony i dochodzenia roszczeń (windykacji), wystarczające są imię, nazwisko, adres zameldowania oraz numer PESEL strony umowy. Te wszystkie cele mogą być osiągnięte bez potrzeby przetwarzania innych danych zawartych w dowodzie osobistym.
2) Przepis art. 6 ust. 1pkt 1 lit f) RODO dotyczy sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów administratora danych jest konieczność udowodnienia potrzeby dochodzenia lub obrony przed roszczeniem już istniejącym, nie zaś sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym przyszłym roszczeniem. Innymi słowy, przetwarzania danych osobowych nie uzasadnia jedynie potencjalna możliwość nieuczciwego zachowania się przez skarżącą w przyszłości.
Orzeczenie dotyczyło wniesionej do PUODO skargi na operatora telekomunikacyjnego, w której abonentka zarzuciła nieprawidłowości w przetwarzaniu jej danych osobowych, w tym przekazaniu bilingów jej rozmów nieuprawnionym podmiotom, a także żądając m.in. usunięcia kserokopii dowodu osobistego. Dostrzeżone uchybienia jej zdaniem uzasadniały nie tylko przeprowadzenie kontroli, ale też nałożenie na operatora kary pieniężnej.
W swej decyzji organ stwierdził, że operator nie ma prawa przetwarzać danych osobowych użytkownika, których przetwarzanie było dopuszczalne na podstawie wcześniejszych przepisów, chyba że istnieje podstawa w postaci zgody zainteresowanego. Biorąc zatem pod uwagę, że klientka zgodę na przetwarzanie szeregu danych cofnęła, zaś do zawarcia i wykonywania umowy o świadczenie usług telekomunikacyjnych nie potrzeba nic więcej jak imię i nazwisko, adres i numer PESEL, przetwarzanie innych danych narusza zasadę minimalizacji danych, zatem w wydanej decyzji nakazano usunięcie szeregu danych osobowych zawartych w kopii dowodu osobistego („obywatelstwa, nazwiska rodowego, imion rodziców, daty i miejsca urodzenia, płci, wzrostu w centymetrach, koloru oczu, nazwy organu wydającego dowód osobisty, daty wydania i terminu ważności, serii i numeru dowodu osobistego oraz wizerunku twarzy i wzoru podpisu”).
art. 159 ust. 1 ustawy prawo telekomunikacyjne
Tajemnica komunikowania się w sieciach telekomunikacyjnych, zwana dalej „tajemnicą telekomunikacyjną”, obejmuje:
1) dane dotyczące użytkownika, z zastrzeżeniem art. 161 ust. 2;
2) treść indywidualnych komunikatów;
3) dane transmisyjne, które oznaczają dane przetwarzane dla celów przekazywania komunikatów w sieciach telekomunikacyjnych lub naliczania opłat za usługi telekomunikacyjne, w tym dane lokalizacyjne, które oznaczają wszelkie dane przetwarzane w sieci telekomunikacyjnej lub w ramach usług telekomunikacyjnych wskazujące położenie geograficzne urządzenia końcowego użytkownika publicznie dostępnych usług telekomunikacyjnych;
4) dane o lokalizacji, które oznaczają dane lokalizacyjne wykraczające poza dane niezbędne do transmisji komunikatu lub wystawienia rachunku;
5) dane o próbach uzyskania połączenia między zakończeniami sieci, w tym dane o nieudanych próbach połączeń, oznaczających połączenia między telekomunikacyjnymi urządzeniami końcowymi lub zakończeniami sieci, które zostały zestawione i nie zostały odebrane przez użytkownika końcowego lub nastąpiło przerwanie zestawianych połączeń.
art. 161 ust. 2 ustawy prawo telekomunikacyjne
Przetwarzanie danych osobowych użytkownika — innych niż wskazane w art. 159 ust. 1 pkt 2-5 — będącego osobą fizyczną odbywa się na podstawie przepisów o ochronie danych osobowych.
Jednakże zdaniem PUODO wykluczone jest badanie ewentualnych naruszeń przy udostępnianiu danych osobowych, które miały miejsce przed wejściem w życie RODO, a postępowanie wszczęto później, a zastosowanie wcześniejszych przepisów jest niemożliwe w odniesieniu do skarg wniesionych po maju 2018 r., co skutkuje umorzeniem postępowania jako bezprzedmiotowego. Odmówiono także nałożenia kary na operatora, ponieważ może to nastąpić z urzędu, ale nie na wniosek.
Do WSA wpłynęły dwie skargi na decyzję organu nadzorczego: operator był zdania, że wymóg weryfikacji tożsamości abonentów uzasadnia przetwarzanie danych w postaci kserokopii dowodu osobistego abonenta w celach dowodowych i archiwizacyjnych, tj. dla potwierdzenia zawarcia umowy, a także ustalenia, obrony i dochodzenia roszczeń. Natomiast w ocenie abonentki PUODO powinien był zająć się także naruszeniami zaistniałymi pod rządami ustawy z 1997 r.
Wojewódzki Sąd Administracyjny nie podzielił zarzutów telekomu: operator może przetwarzać wyłącznie takie dane użytkownika jak treść indywidualnych komunikatów, dane transmisyjne, dane o lokalizacji, dane o próbach uzyskania połączenia między zakończeniami sieci, w tym dane o nieudanych próbach połączeń. Przetwarzanie innych danych odbywa się na podstawie przepisów o ochronie danych osobowych, a więc wymaga istnienia jednej z przesłanek wskazanych w art. 6 ust. 1 RODO (ba, część danych zawartych w dowodzie ma charakter danych biometrycznych, a więc co do zasady ich przetwarzanie jest zakazane). Jedną z przesłanek przetwarzania danych osobowych jest zgoda osoby zainteresowanej — jednakże skoro abonentka zgodę cofnęła, a operator nie wykazał istnienia innej przesłanki, to oświadczenie o cofnięciu zgody jest skuteczne i wiążące.
Do zawarcia i wykonania umowy o świadczenie usług telekomunikacyjnych wystarczająca jest znajomość imienia i nazwiska, adresu i numeru PESEL klienta, toteż przetwarzanie innych danych („nadmiarowych”), które nie są adekwatne do zamierzanego przez administratora celu, narusza zasadę minimalizacji danych. Przetwarzania kopii dowodu osobistego abonenta nie można usprawiedliwiać uzasadnionym interesem rozumianym jako wymóg szczególnej staranności przy weryfikacji tożsamości klientów (m.in. nadużyciami, zawieraniem umów na dane postronnych osób, ale też dyscyplinowaniem własnych pracowników, którym zdarzają się przekręty), ponieważ nawet wówczas nie zachodzi potrzeba zbierania takich danych jak „obywatelstwo, nazwisko rodowe, imiona rodziców, data i miejsce urodzenia, płeć, wzrost, koloru oczu, nazwa organu wydającego dowód osobisty, data wydania i terminu ważności, seria i numer dowodu osobistego oraz wizerunek twarzy i wzór podpisu”, zaś nieprawidłowości tej praktyki nie usuwa stosowanie „nakładek anonimizacyjnych”.
Uzasadnionym interesem administratora nie są także ewentualne — potencjalne, zaistniałe być może w przyszłości — roszczenia wobec klienta lub konieczność obrony przed potencjalnymi, nieistniejącymi roszczeniami klienta. Uzasadniony interes stanowi przesłankę legalizującą przetwarzanie danych osobowych wyłącznie w przypadku sporów już istniejących — a tymczasem operator w żaden sposób nie wykazał, iżby z klientką miał takiego rodzaju problemy.
Skuteczna okazała się natomiast skarga klientki: WSA stwierdził, że umorzenie postępowania było przedwczesne, ponieważ PUODO nie ustalił jednoznacznie czy ewentualne nieprawidłowości w przetwarzaniu danych (w tym udostępnianiu osobom postronnym) miały miejsce wyłącznie przed wejściem w życie RODO, czy jednak trwały po 25 maja 2018 r. Okoliczność ta jest o tyle istotna, że aktualne przepisy stosuje się do zdarzeń, które miały miejsce wcześniej, ale trwają po tej dacie.
PS „a ja sobie takimi wyrokami deliję podbijam!” (por. „Czy operator telekomunikacyjny może żądać skanu lub ksera dowodu osobistego przy podpisywaniu umowy?”).