II SA/Wa 2173/12

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Eugeniusz Wasilewski, Sędziowie WSA Stanisław Marek Pietras, Sławomir Antoniuk (spr.), Protokolant Sekretarz sądowy Sylwia Mikuła, po rozpoznaniu na rozprawie w dniu 14 lutego 2013 r. sprawy ze skargi J. K. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] września 2012 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia [...] września 2012 r. nr [...], wydaną na podstawie art. 138 § 1 pkt 1 k.p.a., art. 12 pkt 2, art. 22 w zw. z art. 23 ust. 1 pkt 1, 2 i 3 oraz art. 31 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. nr 101, poz. 926 ze zm.), utrzymał w mocy własną decyzję z dnia [...] grudnia 2011 r. nr [...] odmawiającą uwzględnienia skargi J. K. na przetwarzanie jego danych osobowych przez [...] Sp. z o.o. z siedzibą w W. W uzasadnieniu powyższej decyzji Generalny Inspektor Ochrony Danych Osobowych podniósł, iż J. K. wniósł do Biura Generalnego Inspektora Ochrony Danych Osobowych skargę na przetwarzanie jego danych osobowych przez [...] Sp. z o.o. z siedzibą w W. (zwanej dalej Spółką). Skarżący w treści skargi oraz pisma ją precyzującego zarzucił Spółce i działającej na jej zlecenie firmie kurierskiej niezgodne z prawem zbieranie danych osobowych przy zawieraniu umowy o usługi telekomunikacyjne. Skarżący wskazał, iż jego zdaniem, umowa na świadczenie usług telekomunikacyjnych zawiera niepotrzebny zakres danych (PESEL oraz serię i numer dowodu osobistego), a do umowy cyt.: "(...) podstępnie dołączane jest oświadczenie w którym wyłudza się (...) następne dane osobowe w tym zgody na umieszczanie w spisie abonentów, o informacjach i promocjach, przetwarzania danych do transmisji (...)" na co nie wyrażał on zgody. Zakwestionował także zasadność żądania przez kuriera doręczającego przesyłkę z przedmiotową umową podania nr PESEL. Organ Ochrony Danych Osobowych w postępowaniu wyjaśniającym ustalił, iż: 1. W dniu [...] marca 2007 r. Spółka zawarła umowę powierzenia przetwarzania danych osobowych ze Spółką [...] Sp. z o.o. z siedzibą w W. Na podstawie tej umowy Spółka powierzyła ww. podmiotowi przetwarzanie danych osobowych w związku z wykonywaniem przez ten podmiot usług związanych z obsługą klientów Spółki w ramach Call Center, w tym w szczególności obsługę połączeń przychodzących i w tym zakresie udzielaniem klientom informacji na temat oferty Spółki, doprowadzeniem do zawierania umów o świadczenie usług telekomunikacyjnych oraz przyjmowaniem i rejestracją zgłoszeń reklamacji od klientów. 2. W dniu [...] czerwca 2009 r. została zawarta umowa pomiędzy [...] Sp. z o.o. z siedzibą w W. (której następcą prawnym jest Spółka) a firmą kurierską [...]. Przedmiotem ww. umowy jest wykonywanie przewozu miejskich, krajowych przesyłek w oparciu o warunki opisane w liście przewozowym. Ponadto, na podstawie zawartej umowy [...] jest zobowiązana również do świadczenia na rzecz Spółki usługi "dokumenty zwrotne" polegającej na doręczeniu klientom Spółki przesyłek, odbieraniu dokumentów zwrotnych, weryfikacji prawidłowości odebranych dokumentów i odsyłaniu dokumentów otrzymanych od klienta. Załącznik nr 5 do przedmiotowej umowy zawiera w szczególności zapis dotyczący zobowiązania kuriera do zweryfikowania tożsamości osoby odbierającej przesyłkę przy pomocy dowodu osobistego oraz zobowiązania klienta do jego okazania, potwierdzającego adres zameldowania na pobyt stały, a także do przekazania kurierowi kserokopii przedmiotowego dowodu. Załącznik nr 6 do ww. umowy natomiast zawiera dodatkowo informacje dotyczące zasad przetwarzania zbieranych przez [...] danych osobowych wskazując m. in. ich zakres (imię i nazwisko odbiorcy przesyłki, jego adresy zameldowania i korespondencyjny, jego numer dowodu osobistego, numer PESEL, numery telefonów, datę urodzenia, adres poczty elektronicznej e-mail) oraz cel przetwarzania danych osobowych (świadczenie przez [...] usługi "dokumenty zwrotne"). 3. W dniu [...] grudnia 2009 r. w stosunku do numeru telefonu: [...] została założona w systemie przepłaconym karta rejestracyjna (dla osób indywidualnych). W przedmiotowej karcie zostały zawarte dane osobowe Skarżącego w zakresie jego imienia i nazwiska, adresu zamieszkania, serii i numeru dowodu osobistego, numeru PESEL oraz daty urodzenia. 4. W dniu [...] październiku 2010 r. została zawarta drogą telefoniczną (w stosunku do numeru telefonu: [...]) umowa o świadczenie usług telekomunikacyjnych dla osób indywidualnych w systemie abonenckim pomiędzy Spółką a Skarżącym (Skarżący skorzystał z oferty Spółki [...] "[...]" skierowanej do niego drogą telefoniczną z Departamentu [...] Spółki - zwanego potocznie w Spółce "e-shop"). W trakcie rozmowy telefonicznej z konsultantem Spółki, który przedstawił ww. ofertę i ją aktywował na koncie abonenckim Skarżącego, ten ostatni udostępnił swoje dane w zakresie imienia i nazwiska, adresu zamieszkania i korespondencyjnego, serii i numeru dowodu osobistego, numeru PESEL, numeru telefonu komórkowego oraz daty urodzenia. Ww. dane znalazły się w treści umowy, która została wydrukowana i podpisana przez pracownika (sprzedawcę) Spółki. 5. W dniu [...] października 2010 r. umowa, o której mowa w punkcie poprzedzającym została dostarczona przez kuriera z [...] do podpisu Skarżącego. Umowa o numerze [...] o świadczenie usług telekomunikacyjnych dla osób indywidualnych, w systemie abonenckim wraz z oświadczeniem dla osób indywidualnych została tego samego dnia podpisana i przekazana przez Skarżącego kurierowi z [...] w celu dostarczenia do siedziby Spółki. W związku z podpisaniem umowy kurier z [...] dokonał weryfikacji numeru PESEL Skarżącego oraz zażądał od niego kopii dowodu osobistego w celu dostarczenia do Departamentu [...] Spółki ("e-shop"), który dokonał jego archiwizacji w archiwum centralnym Spółki. [...] nie zbiera oraz nie niszczy przedmiotowych kopii dokumentów tożsamości. Po przeprowadzeniu postępowania administracyjnego w przedmiotowej sprawie Generalny Inspektor uznał, iż dane osobowe skarżącego były prawidłowo przetwarzane na podstawie art. 23 ust. 1 pkt 2 i 3 ustawy o ochronie danych osobowych. Wobec tego w dniu [...] grudnia 2011 r. wydał decyzję odmawiającą uwzględnienia wniosku skarżącego. Pismem z dnia [...] grudnia 2011 r. skarżący złożył wniosek o ponowne rozpatrzenie sprawy rozstrzygniętej ww. decyzją. W ww. wniosku skarżący powtórzył treść skargi oraz w stosunku do zaskarżonej decyzji podniósł, m.in. że kurier [...] nie miał prawa żądać od skarżącego kserokopii dowodu osobistego, gdyż takie działanie nie ma umocowania w przepisach ustawowych, a wymienione dane mogą być jedynie odczytywane w celu weryfikacji tych danych. Większość żądanych danych jest zbędna firmie zawierającej umowę jedynie na usługi telekomunikacyjne. Do umowy dołączane jest oświadczenie, w którym wyłudza się następne dane osobowe, w tym zgody na umieszczanie w spisie abonentów, o informacjach i promocjach, przetwarzania danych do transmisji. Zatem Spółka wyłudza dane dotyczące jego upoważnienia do udostępnienia informacji gospodarczych, wyłudza zgodę na udostępnianie danych operatorom telekomunikacyjnym, chce weryfikować historie płatnicze oraz uzyskiwać dane stanowiące tajemnicę bankową. Punkty 4 i 5 przedmiotowego oświadczenia są przez Spółkę zakreślane odgórnie i nie ma możliwości zmiany tego stanu rzeczy. Postępowanie Spółki w tym zakresie jest niezgodne z przepisami prawa, w szczególności z art. 35 ustawy o ochronie danych osobowych. Nie daje żadnego wyboru i stawia klienta pod przymusem, jest nieuczciwą praktyką rynkową. W toku postępowania wyjaśniającego Generalny Inspektor wystąpił do Spółki o złożenie dodatkowych wyjaśnień odnośnie przetwarzania danych osobowych skarżącego w związku z treścią pkt 4 i 5 oświadczenia (dla osób indywidualnych) z dnia [...] października 2010 r. W odpowiedzi Spółka wskazała, iż "Spółka w trakcie telefonicznej rozmowy sprzedażowej w dniu [...].10.2010 r. dokonała weryfikacji wiarygodności płatniczej Skarżącego wyłącznie poprzez sprawdzenie, czy klient w momencie zawierania z [...] umowy o świadczenie usług telekomunikacyjnych posiada zaległości płatnicze wobec innych operatorów telekomunikacyjnych. W tym celu drogą elektroniczną w czasie rzeczywistym zostało wysłane zapytanie obejmujące numer PESEL Skarżącego. Pytanie skierowano do baz następujących operatorów: [...] sp. z o.o., [...] S.A., [...] S.A., [...] S.A., [...] S.A. Odpowiedź zwrotna otrzymana automatycznie drogą elektroniczną w czasie rzeczywistym stwierdzała brak zaległości płatniczych u wyżej wymienionych podmiotów, co stanowiło potwierdzenie wiarygodności płatniczej Skarżącego". Spółka wyjaśniła również, że posiada log systemowy, w którym zarejestrowany jest fakt odpytania baz wyżej wymienionych operatorów telekomunikacyjnych o numer PESEL skarżącego i treść odpowiedzi (tj. brak zaległości), oraz że w przypadku otrzymania zapytania od któregokolwiek z wyżej wymienionych operatorów telekomunikacyjnych o fakt występowania zaległości płatniczych skarżącego wobec Spółki udostępni temu operatorowi odpowiednią informację, zgodną ze stanem faktycznym na moment zapytania (pozytywną lub negatywną). Ponadto Spółka poinformowała, że skarżący nie występował do Spółki o usunięcie jego danych osobowych oraz nie odwołał zgód zawartych w oświadczeniu z dnia [...] października 2010 r. Ponadto, osoba zajmująca w Spółce stanowisko Administratora Bezpieczeństwa Informacji składając ustne wyjaśnienia do protokołu z dnia [...] sierpnia 2011 r. wyjaśniła, iż "(...) informacje zawarte w pkt 4 i pkt 5 oświadczenia dla osób indywidualnych, wymagane są w przypadku sprzedaży usług telekomunikacyjnych na warunkach promocyjnych. W przypadku Pana J. K. zgody te zostały pozyskane w trakcie prowadzonej rozmowy telefonicznej z konsultantem Spółki w celu zawarcia umowy", oraz że "Dane Pana J. K. Spółka przetwarzała w zakresie zgodnym z art. 161 ust. 2 ustawy Prawo telekomunikacyjne; tj. imię i nazwisko, rodzaj dokumentu tożsamości seria i numer dokumentu tożsamości, PESEL, data urodzenia, adres zameldowania; dane dodatkowe podane zostały za zgodą Pana J. K. wyrażoną w trakcie prowadzonej rozmowy telefonicznej z przedstawicielem handlowym Spółki w celu zawarcia umowy (...)". Generalny Inspektor Ochrony Danych Osobowych poddał analizie treść oświadczenia z dnia [...] października 2010 r. Wskazał, że pkt 1 oświadczenia podpisanego przez skarżącego w dniu [...] października 2010 r. stanowi, iż: "Oświadczam, że wyraziłem zgodę na przetwarzanie dodatkowych danych pozyskanych przy zawieraniu Umowy o Świadczenie Usług Telekomunikacyjnych, jak również w trakcie jej obowiązywania, w celach określonych w Regulaminie świadczenia Usług Telekomunikacyjnych przez [...] Sp. z o.o. dla Abonentów". Przypis do tego punktu stanowi, że "Przez dane dodatkowe należy rozumieć dane, o których mowa w art. 161 ust. 3 ustawy z dnia 16 lipca 2004 r. Prawo telekomunikacyjne (Dz. U. nr 171, poz. 1800 ze zm.), a w szczególności: numer identyfikacji podatkowej NIP, numer konta bankowego lub karty płatniczej, adres korespondencyjny użytkownika, jeżeli jest on inny niż adres miejsca zameldowania na pobyt stały tego użytkownika, a także adres poczty elektronicznej oraz numery telefonów kontaktowych, jak również informacje zawarte w kserokopii dokumentów przedstawionych przy zawarciu Umowy o Świadczenie Usług Telekomunikacyjnych, w szczególności dowodu osobistego". Pkt 4 ww. oświadczenia brzmi: "Upoważniam [...] Sp. z o.o., stosownie do przepisów ustawy z dnia 9 kwietnia 2010 r. o udostępnieniu informacji gospodarczych i wymianie informacji gospodarczych do wystąpienia do biur informacji gospodarczej o ujawnienie informacji gospodarczych dotyczących mojej osoby, w tym również informacji dotyczących zobowiązań powstałych przed dniem wejścia w życie ww. ustawy. Upoważnienie obejmuje wielokrotne wystąpienie do biur informacji gospodarczej w ciągu 30 dni od dnia jego złożenia". Przy tym punkcie zostało zaznaczone pole "TAK". Zaś pkt 5 tego oświadczenia brzmi: "Wyrażam zgodę na: udostępnianie przez [...] Sp. z o.o. moich danych osobowych innym operatorom telekomunikacyjnym w celu uzyskania informacji o fakcie ewentualnego zaprzestania regulowania płatności z tytułu świadczonych usług telekomunikacyjnych wobec wskazanych wyżej operatorów lub o fakcie zgłoszenia utraty dokumentów potwierdzających tożsamość; • udostępnienie przez [...] Sp. z o.o. moich danych osobowych dla Biura Informacji Kredytowej S.A. i Związku Banków Polskich za pośrednictwem Biura Informacji Gospodarczej [...] S.A., Krajowego Rejestru Długów Biura Informacji Gospodarczej S.A. oraz Europejskiego Rejestru Informacji Finansowej Biura Informacji Gospodarczej S.A. w celu uzyskania informacji, w tym danych stanowiących tajemnicę bankową o ewentualnym moim zadłużeniu wobec banków lub instytucji upoważnionych do udzielania kredytów; • udostępnienie przez [...] Sp. z o.o. poprzez innych operatorów telekomunikacyjnych Biura Informacji Kredytowej S.A. i Związku Banków Polskich za pośrednictwem Biura Informacji Gospodarczej [...] S.A., Krajowego Rejestru Długów Biura Informacji Gospodarczej S.A. oraz Europejskiego Rejestru Informacji Finansowej Biura Informacji Gospodarczej S.A. informacji, o których mowa w powyższych podpunktach". Przy tym punkcie zostało zaznaczone pole "TAK". Poddawszy ponownej ocenie materiał dowodowy w sprawie, Generalny Inspektor nie znalazł podstaw do uwzględnienia wniosku odwoławczego skarżącego i rozstrzygnięciem z dnia [...] września 2012 r. utrzymał zaskarżoną decyzję w mocy. W motywach rozstrzygnięcia organ wskazał, iż ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. nr 101, poz. 926 ze zm.) nie zajmuje się określaniem techniki gromadzenia danych osobowych, w związku z czym forma w jakiej utrwalone są dane osobowe nie przesądza sama przez się o dopuszczalności przetwarzania danych. Organ przywołał treść art. 23 ust. 1 pkt 1-5 powołanej ustawy oraz wskazał, iż kwestia dopuszczalności przetwarzania danych osobowych przez dostawców usług telekomunikacyjnych uregulowana została w szczególności w art. 161 ustawy z dnia 16 lipca 2004 r. - Prawo telekomunikacyjne (Dz. U. nr 171, poz. 1800 ze zm.). Dopuszczalność przetwarzania przez Spółkę części danych osobowych skarżącego zawartych w jego dowodzie osobistym wynika wprost z treści art. 161 ust. 2 Prawa telekomunikacyjnego, zaś dopuszczalność przetwarzania zawartych w dowodzie osobistym informacji wykraczających poza zakres określony w art. 161 ust. 2 tej ustawy (tj. informacji o wizerunku, wzorze podpisu, płci, dacie wydania i ważności dowodu osobistego, wzroście, kolorze oczu i nazwie organu wydającego dowód osobisty), należy oceniać przez pryzmat art. 161 ust. 3 Prawa telekomunikacyjnego. Z materiału dowodowego zgromadzonego w sprawie wynika, że skarżący wyraził zgodę na przetwarzanie przez Spółkę informacji zawartych w kserokopii swojego dowodu osobistego. Na istnienie takiej zgody wskazują wyjaśnienia złożone przez Administratora Bezpieczeństwa Informacji w Spółce oraz treść pkt 1 oświadczenia podpisanego przez skarżącego w dniu [...] października 2010 r. Ponadto zebranie danych osobowych skarżącego zawartych w jego dowodzie osobistym nastąpiło w związku z usługą, której świadczenia dotyczyła umowa zawarta ze Spółką. Wobec powyższego brak jest podstaw do uznania zebrania tych informacji za niedopuszczalne. Odnośnie podnoszonego przez skarżącego zarzutu, że umowa zawiera niepotrzebne dane osobowe w zakresie numeru PESEL oraz serii i numeru dowodu osobistego Generalny Inspektor stwierdził, iż nie jest organem uprawnionym do dokonywania analizy elementów treści umowy pod kątem ich prawidłowości. Podkreślił, iż numer PESEL oraz seria i numer dokumentu potwierdzającego tożsamość są wprost wskazane w art. 161 ust. 2 pkt 5 i 6 Prawa telekomunikacyjnego, jako informacje, do przetwarzania których dostawcy usług telekomunikacyjnych są uprawnieni. Odnosząc się do kwestii przetwarzania danych osobowych Skarżącego w sposób, którego dotyczą pkt 4 i 5 oświadczenia dla osób fizycznych, organ zauważył, że z wyjaśnień złożonych w sprawie wynika, iż przetwarzanie danych osobowych skarżącego ograniczyło się do wysłania w trakcie rozmowy telefonicznej w dniu [...] października 2010 r. do innych operatorów telekomunikacyjnych zapytania obejmującego jego numer PESEL, w wyniku czego Spółka otrzymała informację o braku zaległości płatniczych u tych operatorów, oraz że dokonanie tych czynności nastąpiło w oparciu o zgodę skarżącego pozyskaną w trakcie tej rozmowy. Z uwagi na fakt, że Spółka dokonując powyższych operacji dysponowała zgodą skarżącego, brak jest podstaw do stwierdzenia, że przetwarzanie jego danych osobowych w ten sposób było niedopuszczalne. Zgodnie bowiem z art. 23 ust. 1 pkt 1 ustawy przetwarzanie danych jest dopuszczalne m.in. wtedy, gdy osoba, której dane dotyczą, wyrazi na to zgodę, chyba że chodzi o usunięcie dotyczących jej danych. Stosownie do treści art. 7 pkt 5 ustawy zgoda ta może być odwołana w każdym czasie. W związku z powyższym, jeżeli intencją skarżącego jest, aby Spółka nie przetwarzała w przyszłości jego danych osobowych w sposób, którego dotyczą pkt 4 i 5 podpisanego przez niego oświadczenia dla osób fizycznych, to powinien skierować do Spółki oświadczenie o wycofaniu udzielonych w tym zakresie zgód. W nawiązaniu do kwestii udziału [...] w procesie przetwarzania danych osobowych skarżącego Generalny Inspektor Ochrony Danych Osobowych wskazał, że administrator danych może bądź sam przetwarzać dane, bądź powierzyć to innemu podmiotowi. Zgodnie bowiem z art. 31 ustawy, administrator danych może powierzyć innemu podmiotowi, w drodze umowy zawartej na piśmie, przetwarzanie danych (ust. 1). Podmiot, o którym mowa w ust. 1, może przetwarzać dane wyłącznie w zakresie i celu przewidzianym w umowie (ust. 2). Zatem powierzenie [...] - na podstawie umowy - dokonywania w imieniu Spółki, jako administratora danych, czynności związanych z przetwarzaniem danych osobowych skarżącego nie jest na gruncie przepisów ustawy niedopuszczalne. Decyzja Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] września 2012 r. stała się przedmiotem skargi wniesionej przez J. K. do Wojewódzkiego Sądu Administracyjnego w Warszawie. W skardze strona podniosła, iż Generalny Inspektor Ochrony Danych Osobowych prowadził postępowanie przewlekle, "bez rozpatrzenia merytorycznych faktów i bez jakiegokolwiek poinformowania strony o toczącym się postępowaniu czym naruszono szereg przepisów w tym Kodeksu postępowania administracyjnego". Skarżący podniósł również, iż przepisy rangi ustawowej nie nakładają obowiązku gromadzenia kserokopii dowodów osobistych, jak też sprawdzenia wiarygodności kredytowej klientów. Spółka - operator [...], pobierając od kurierów (którzy mogą zrobić dodatkową kopię) niezgodnie z prawem kserokopie dowodu osobistego, wchodzi w posiadanie wizerunku skarżącego (ze zdjęcia) oraz innych danych dotyczących: imion rodziców, daty ważności dowodu, numeru domu, miejsca urodzenia, wzrostu, koloru oczu oraz gminę w której jest zameldowany. Skarżący, nawiązując do rozmowy telefonicznej z konsultantem w dniu [...] października 2010 r. wskazał, że w tej rozmowie było przyrzeczenie pracownika operatora, iż jedynym dokumentem do odebrania zawartej umowy jest kserokopia dwóch faktur na telefon będący od 3 lat w ich sieci. Nie było mowy o kserokopii dowodu osobistego oraz o opłatach za przesyłkę danych on-line dotyczących pakietu Internet. W rozmowie tej nie były podane przez skarżącego żadne dane osobowe, a skarżący jedynie przekierował konsultantkę na podgląd tych danych ujętych rok wcześniej na tzw. karcie rejestracyjnej. Skarżący zakwestionował także upoważnienie Spółki do sprawdzania wiarygodności kredytowej i płatności rachunków oraz stwierdził, że "wszystkie Urzędy Państwowe nie gromadzą kserokopii dowodów osobistych z wizerunkiem - zdjęciem osoby nie wrażałem na to nigdy zgody (...)". W ocenie skarżącego, Generalny Inspektor merytorycznie nie zajął się jego sprawą, bo nawet nie zajął się brakiem nagrania z dnia [...] października 2010 r., nie sprawdził także nagrań operatora [...] z dnia [...] listopada 2010 r. z rozmowy odbytej w okresie 10 dni od dostarczenia umowy od Sp. z o.o. [...]. Skarżący podkreślił, iż nigdy nie wyraził i nie dał zgody na pobranie swojego wizerunku najpierw przez kuriera [...], a później przez operatora [...] i Spółkę. W odpowiedzi na skargę Generalny Inspektor Ochrony Danych Osobowych wniósł o jej oddalenie oraz podtrzymuje swoje stanowisko wyrażone w zaskarżonej decyzji. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Zgodnie z art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (Dz. U. nr 153, poz. 1269 ze zm.), sąd administracyjny sprawuje wymiar sprawiedliwości poprzez kontrolę pod względem zgodności z prawem zaskarżonego aktu administracyjnego i to z przepisami obowiązującymi w dacie jego wydania. W konsekwencji, sąd administracyjny nie orzeka co do istoty rzeczy w zakresie danego przypadku, lecz kontroluje zgodność rozstrzygnięcia z prawem materialnym i obowiązującymi przepisami prawa procesowego. W świetle powyżej określonych kryteriów skarga podlega oddaleniu, gdyż zaskarżona decyzja Generalnego Inspektora Ochrony Danych Osobowych jest zgodna z prawem. Z treści art. 1 ust. 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jednolity Dz. U. z 2002 r. nr 101, poz. 926 ze zm.) wynika, iż przysługujące każdemu prawo do ochrony dotyczących go danych osobowych nie ma charakteru absolutnego, bowiem przetwarzanie danych może mieć miejsce ze względu na dobro publiczne, dobro osoby, której dane dotyczą lub dobro osób trzecich w zakresie i trybie określonym ustawą. Ochrona danych osobowych nie powinna zatem posiadać prymatu pierwszeństwa i funkcjonować w oderwaniu od przepisów służących ochronie innych wartości. Przepis art. 12 ww. ustawy statuuje główne zadania i kompetencje Generalnego Inspektora Ochrony Danych Osobowych, który pełni zarówno funkcję organu kontrolującego poprawność przetwarzania danych osobowych zgodnie z obowiązującymi przepisami oraz rzecznika interesów poszczególnych osób i interesów publicznych, jak i organu, który w tym zakresie został wyposażony we władcze kompetencje wydawania decyzji administracyjnych i rozpatrywania skarg w sprawach wykonania przepisów o ochronie danych osobowych. Stosownie do treści art. 7 pkt 2 ww. ustawy, przez przetwarzanie danych osobowych rozumie się jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych. W świetle art. 23 ust. 1 ww. ustawy, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy: 1) osoba, której dane dotyczą, wyrazi na to zgodę, chyba że chodzi o usunięcie dotyczących jej danych, 2) jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa, 3) jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą, 4) jest niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego, 5) jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Za prawnie usprawiedliwiony cel, o którym mowa w ust. 1 pkt 5, uważa się w szczególności: 1) marketing bezpośredni własnych produktów lub usług administratora danych, 2) dochodzenie roszczeń z tytułu prowadzonej działalności gospodarczej (ust. 4). Analiza powyższych przesłanek dopuszczających przetwarzanie danych osobowych prowadzi do wniosku, iż zgoda osoby, której dane dotyczą, będzie zawsze legalizowała przetwarzanie jej danych osobowych przez podmiot, który taką zgodę uzyskał. Natomiast zgoda osoby, której dane dotyczą, na przetwarzanie jej danych osobowych nie jest wymagana wówczas, gdy administrator danych potrafi wskazać przepis prawa legalizujący dokonywanie czynności, o których mowa w art. 7 ust. 2 ustawy. W niniejszej sprawie skarżący przede wszystkim kwestionuje zasadność pozyskiwania od niego danych osobowych zawartych w dowodzie osobistym przez operatora sieci komórkowej [...] – [...] Sp. z o.o. z siedzibą w W., jak też kuriera (firmy [...]), doręczającego przesyłkę zawierającą warunki umowy na świadczenie usług telekomunikacyjnych. Ustawa z dnia 16 lipca 2004 r. - Prawo telekomunikacyjne (Dz. U. nr 171, poz. 1800 ze zm.) w art. 161 ust. 2 stanowi, iż dostawca publicznie dostępnych usług telekomunikacyjnych jest uprawniony do przetwarzania następujących danych dotyczących użytkownika będącego osobą fizyczną: 1) nazwisk i imion; 2) imion rodziców; 3) miejsca i daty urodzenia; 4) adresu miejsca zamieszkania i adresu korespondencyjnego jeżeli jest on inny niż adres miejsca zamieszkania; 5) numeru ewidencyjnego PESEL - w przypadku obywatela Rzeczypospolitej Polskiej; 6) nazwy, serii i numeru dokumentów potwierdzających tożsamość, a w przypadku cudzoziemca, który nie jest obywatelem państwa członkowskiego albo Konfederacji Szwajcarskiej - numeru paszportu lub karty pobytu; 7) zawartych w dokumentach potwierdzających możliwość wykonania zobowiązania wobec dostawcy publicznie dostępnych usług telekomunikacyjnych wynikającego z umowy o świadczenie usług telekomunikacyjnych. Oprócz danych, o których mowa w ust. 2, dostawca publicznie dostępnych usług telekomunikacyjnych może, za zgodą użytkownika będącego osobą fizyczną, przetwarzać inne dane tego użytkownika w związku ze świadczoną usługą, w szczególności numer konta bankowego lub karty płatniczej, a także adres poczty elektronicznej oraz numery telefonów kontaktowych (ust. 3 powołanego artykułu). W świetle powyższej regulacji ustawowej, pozyskiwanie przez operatora telekomunikacyjnego - Spółkę [...] danych skarżącego zawartych w dowodzie osobistym jest uzasadnione przepisem art. 161 ust. 2 Prawa telekomunikacyjnego, co w konsekwencji legalizuje przetwarzanie tych danych na podstawie art. 23 ust. 1 pkt 2 ustawy o dostępie do informacji publicznej. Także trzeba zwrócić uwagę, iż przedmiotowe dane osobowe skarżącego są wymagane przede wszystkim dla zawarcia ze Spółką umowy o świadczenie usług telekomunikacyjnych. Zatem w sprawie występuje także przesłanka legalizująca z art. 23 ust. 1 pkt 3 ww. ustawy. Niezależnie od powyższego, skarżący akceptując warunki umowy o świadczenie usług telekomunikacyjnych, w oświadczeniu z dnia [...] października 2010 r. (karta 55 akt administracyjnych) wyraził zgodę na przetwarzania innych, niż wymienione w art. 161 ust. 2 Prawa telekomunikacyjnego danych (a wskazanych w art. 161 ust. 3 Prawa telekomunikacyjnego) na czas trwania umowy, w celach określonych w "Regulaminie świadczenia Usług Telekomunikacyjnych przez [...] Sp. z o.o. dla Abonentów". Akceptując warunki powyższego regulaminu skarżący zobowiązał się do przestrzegania jego postanowień. W myśl § 5 ust. 3 pkt 9 w zw. z § 16 ust. 1 pkt 2 Regulaminu zawierania umów na odległość Spółki kupujący jest zobowiązany, przy zawieraniu umowy o świadczenie usług telekomunikacyjnych m.in. do przekazania kurierowi kopii dowodu osobistego pod rygorem niewydania przesyłki, w przypadku zawierania umowy za pośrednictwem telesprzedaży (co miało miejsce w analizowanej sprawie). Z § 17 ust. 1 pkt 2 powołanego wyżej Regulaminu wynika, że w przypadku przesyłki zawierającej dokumenty wymagane do zawarcia umowy o świadczenie usług telekomunikacyjnych kurier przed wręczeniem przesyłki sprawdza dodatkowo numer PESEL kupującego w celu zapewnienia poprawności weryfikacji tożsamości osoby uprawnionej do odbioru przesyłki. Na podstawie art. 31 ust. 1 ustawy o ochronie danych osobowych, administrator danych może powierzyć innemu podmiotowi, w drodze umowy zawartej na piśmie, przetwarzania danych. Na mocy umowy z dnia [...] czerwca 2009 r. o wykonywanie przewozu miejskich, krajowych przesyłek w oparciu o warunki opisane w liście przewozowym, firma kurierska [...] została zobowiązana do świadczenia na rzecz Spółki usługi "dokumenty zwrotne" polegającej na doręczeniu klientom Spółki przesyłek, odbieraniu dokumentów zwrotnych, weryfikacji prawidłowości odebranych dokumentów i odsyłaniu dokumentów otrzymanych od klienta. Z załącznika nr 5 do przedmiotowej umowy wynika, iż kurier jest obowiązany do zweryfikowania tożsamości osoby odbierającej przesyłkę przy pomocy dowodu osobistego, a ta do przekazania kurierowi kserokopii własnego dowodu osobistego. W załączniku nr 6 natomiast zawarto dodatkowo informacje dotyczące zasad przetwarzania zbieranych przez [...] danych osobowych wskazując m. in. ich zakres (imię i nazwisko odbiorcy przesyłki, jego adresy zameldowania i korespondencyjny, jego numer dowodu osobistego, numer PESEL, numery telefonów, datę urodzenia, adres poczty elektronicznej e-mail) oraz cel przetwarzania danych osobowych (świadczenie przez [...] usługi "dokumenty zwrotne"). W świetle powyższych ustaleń nie można podzielić poglądu skarżącego, iż kurier doręczający przesyłkę ma prawo żądać od niego tylko okazania dowodu osobistego w celu ustalenia tożsamości osoby odbierającej przesyłkę. Z postanowień ww. Regulaminu i umowy o świadczenie przewozu z dnia [...] czerwca 2009 r. jednoznacznie wynika uprawnienie dla pracownika [...] do przetwarzania danych osobowych odbiorcy przesyłki w zakresie określonym w załączniku nr 6 do tej umowy. Oznacza to, iż kurier doręczający przesyłkę, w pewnym zakresie (objętym przedmiotem zlecenia), wykonuje czynności przysługujące administratorowi danych – Spółce. Nie tylko bowiem doręcza przesyłkę, ale też odbiera od adresata oświadczenie woli o zaakceptowania warunków umowy ustalonych wcześniej z konsultantem telefonicznie, a po ich podpisaniu i uzyskaniu wymaganych dokumentów, doręcza je Spółce. Wobec tego nietrafny jest zarzut skargi, iż zarówno skarżona Spółka, jak i działająca na jej rzecz firma kurierska [...] narusza prawo przy przetwarzaniu danych osobowych skarżącego. Odnosząc się do zarzutu "wyłudzania" od skarżącego zgody na przetwarzanie jego danych osobowych w sposób określony w pkt 4 i 5 oświadczenia z dnia [...] października 2010 r. należy podkreślić, iż podjęcie decyzji w tym zakresie należy tylko do osoby zainteresowanej. Godząc się na przystąpienie do programu promocyjnego, skarżący podejmuje autonomiczną decyzję, czy korzysta z warunków promocji z ustępstwami w sferze dokonywania sprawdzenia jego wypłacalności z tytułu usług telekomunikacyjnych przez innych operatorów i podmioty finansowe, czy też takich warunków nie akceptuje. Nie jest natomiast rolą Generalnego Inspektora Ochrony Danych Osobowych badanie umów cywilnoprawnych pod względem dokonywania zapisów stanowiących nadużycie społeczno-gospodarczego przeznaczenia prawa lub niezgodnych z zasadami współżycia społecznego. W świetle art. 12 pkt 1 ustawy o ochronie danych osobowych, Generalny Inspektor Ochrony Danych Osobowych nie jest uprawniony do badania zgodności umów cywilnoprawnych z przepisami Kodeksu cywilnego. Nie może badać, czy umowa jest ważna i prawnie skuteczna, gdyż w tym przypadku organ administracji publicznej, jakim niewątpliwie jest Generalny Inspektor Ochrony Danych Osobowych, wykraczałby poza swoje ustawowo określone kompetencje. Dla Generalnego Inspektora Ochrony Danych Osobowych zawarta umowa jest czynnością prawną niepodlegającą jego ocenie, wywołującą skutki prawne do czasu, dopóki nie zostanie zakwestionowana w formie i trybie przewidzianym przez prawo (patrz wyrok WSA w Warszawie z dnia 19 lipca 2007 r. sygn. akt II SA/Wa 678, publik. LEX nr 368229). Natomiast zasługuje na uwzględnienie zarzut skargi sprowadzający się do prowadzenia przez Generalnego Inspektora Ochrony Danych Osobowych postępowania w sposób nierespektujący terminów przewidzianych w art. 35 k.p.a. Uchybienie to jednak nie mogło mieć wpływu na końcowy sposób załatwienia sprawy. W zaistniałym stanie faktycznym i prawnym pozostałe zarzuty skargi należało uznać za niezasadne. Generalny Inspektor Ochrony Danych Osobowych prawidłowo zastosował przepisy prawa materialnego i oparł swe rozstrzygnięcie na podstawie ustaleń dokonanych w postępowaniu wyjaśniającym przeprowadzonym z poszanowaniem reguł procesowych. Mając powyższe na uwadze, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (tekst jedn. Dz. U. z 2012 r., poz. 270 ze zm.) orzekł, jak w sentencji.