II SA/Wa 139/17

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Iwona Dąbrowska (spr.), Sędziowie WSA Maria Werpachowska, Adam Lipiński, , Protokolant specjalista Elwira Sipak, po rozpoznaniu na rozprawie w dniu 17 sierpnia 2017 r. sprawy ze skargi J.T. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] listopada 2016 r. nr [...] w przedmiocie ochrony danych osobowych – oddala skargę – Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia [...] listopada 2016 r. nr [...], wydaną na podstawie art 138 § 1 pkt 1 k.p.a., art. 12 pkt 2, art. 22, art. 23 ust. 1 pkt 3 oraz art. 31 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r., poz. 922 ), utrzymał w mocy własną decyzję z dnia [...] listopada 2015 r. nr [...], odmawiającą uwzględnienia skargi J.T. na przetwarzanie jego danych osobowych, przez O. z siedzibą w W.. W uzasadnieniu decyzji organ podniósł, iż do Biura Generalnego Inspektora Ochrony Danych Osobowych wpłynęła, przekazana przez Powiatowego Rzecznika Konsumentów w K., skarga J.T., na nieprawidłowości w procesie przetwarzania jego danych osobowych przez O. (dawniej: T..) z siedzibą w W. przy [...]. Pismem z dnia [...] lipca 2013 r. Generalny Inspektor zwrócił się do J.T. o sprecyzowanie czy w związku z przekazaną korespondencją od Powiatowego Rzecznika Konsumentów w K., żąda on zainicjowania postępowania administracyjnego przed organem do spraw ochrony danych osobowych. W odpowiedzi na powyższe J.T. wskazał, iż skargę kieruje wobec T. w W. oraz jej pracownikom, którzy posłużyli się "rzekomym" kurierem przy podpisywaniu umowy poza siedzibą przedsiębiorstwa. W związku z powyższym wniósł o ustalenie i stwierdzenie, że ten podmiot (Spółka) dwukrotnie tj. 9 grudnia 2012 r. i w marcu 2013 r., poza siedzibą przedsiębiorstwa, przez rzekomego kuriera, w niedopuszczalny sposób, ujawnił nieuprawnionej osobie, tekst proponowanej zmiany umowy o świadczenie usługi [...] wraz z wszystkimi jego danymi osobowymi - o zobowiązanie do zaniechania takich praktyk - o usunięcie skutków naruszenia (odszkodowanie) art. 18, 51 i 52 ustawy o.d.o - o zawiadomienie prokuratora (159 i 162 prawa telekomunikacyjnego). W celu rozpatrzenia sprawy Generalny Inspektor Ochrony Danych Osobowych, podjął czynności majce na celu jej wyjaśnienie podczas których ustalił następujące okoliczności faktyczne. 1 Spółka pozyskała dane osobowe J.T., na podstawie złożonego przez niego, w dniu 25 października 1995 r. wniosku o przyznanie [...]. Ponadto w dniu 14 stycznia 2000 r. J.T. zawarł z T. (obecnie: O.) umowę o świadczenie usług [...]. Zakres pozyskanych przez Spółkę danych osobowych J.T. obejmuje: imię i nazwisko, adres zamieszkania, adres do korespondencji, numer i serię dowodu osobistego, numer PESEL oraz numer telefonu. 2. Aktualnie Spółka przetwarza dane osobowe J.T. w celach: a) uniknięcie wykorzystania danych do celów objętych sprzeciwem, o którym stanowi art. 32 ust. 3 ustawy, b) realizacja ustawowych obowiązków, które wymagają przechowania przez T.. dokumentów przez określony ustawą z dnia 29 sierpnia 1997r. - Ordynacja Podatkowa oraz Ustawą z dnia 29 września 1994 r. o rachunkowości, okres czasu, c) realizacji przepisów ustawy z dnia 23 kwietnia 1964 Kodeks cywilny, dotyczących odpowiedzialności odszkodowawczej T. i związanych z tym terminów przedawnienia roszczeń, d) działanie w ramach przepisów zobowiązujących do przechowywania i udostępniania uprawnionym podmiotom informacji o abonentach na podstawie ustawy z dnia 16 lipca 2004 r. Prawo Telekomunikacyjne. 3. Dane osobowe J.T. przetwarzane są przez Spółkę w zbiorze danych pt.: "[...] T..". 4. Odnosząc się do zarzutów wskazanych przez J.T. w treści skargi Spółka wskazała, iż cyt.: "nie posiada informacji, aby kurier, będący pracownikiem firmy [...] Sp. z o.o., który dostarczył umowę o świadczenie usług [...] J.T., udostępnił jego dane osobowe osobom nieupoważnionym". 5. W swoich wyjaśnieniach złożonych przed Generalnym Inspektorem Spółka wskazała, iż dane osobowe J.T. zostały powierzone firmie kurierskiej [...] S.p. z o.o (obecnie: [...] Sp. z o.o.), na podstawie art. 31 ustawy o ochronie danych osobowych - w drodze umowy zawartej w dniu 12 lipca 2007 r Ponadto Spółka wskazała, iż w celu zabezpieczenia danych osobowych klientów Spółki, w tym J.T., zawartych w umowach o świadczenie usług telekomunikacyjnych oraz aneksów do nich (dostarczanych klientom za pośrednictwem firmy kurierskiej) zastosowane zostały środki organizacyjne i techniczne, o których mowa w art. 36 ust. 1 ustawy o ochronie danych osobowych, wskazane w umowie zawartej z firmą [...] sp. z o.o., w szczególności w załączniku nr 5 do umowy, dotyczącym powierzenia przetwarzania danych osobowych (kopie ww. dokumentów znajdują się a aktach sprawy). Po przeprowadzeniu postępowania administracyjnego Generalny Inspektor Ochrony Danych Osobowych w dniu [...] listopada 2015 r. wydał decyzję administracyjną, mocą której odmówił uwzględnienia wniosku. J.T. złożył wniosek o ponowne rozpatrzenie sprawy zakończonej ww. decyzją, w którym wskazał w, iż rozważania zawarte w zaskarżonej decyzji, o legalności czynności kuriera są bezprzedmiotowe i nietrafne, skoro odnoszą się do sytuacji przetwarzania danych osobowych, koniecznych do realizacji umowy, a strony były dopiero na etapie negocjowania jej warunków, a on sam nie tylko nie wyrażał zgody na przetwarzanie jego danych osobowych i to na etapie negocjacji oraz na komunikowanie się poprzez nieznaną mu osobę - kuriera. J.T. zarzucił też, że bez znaczenia są więc rozważania na temat umowy Spółki z firmą kurierską i ewentualnego powierzenia jej przetwarzania danych osobowych skarżącego, skoro to mogłoby ewentualnie nastąpić dopiero po zawarciu przez strony umowy o świadczenie usługi telekomunikacyjnej, a do tego nie doszło. Ponadto zarzucił, iż postępowanie przed Generalnym inspektorem toczyło się z naruszeniem jego prawa do obrony oraz zaniechaniem wskazania stosownych dowodów. Ponownie analizując sprawę Generalny Inspektor Ochrony Danych Osobowych decyzją wskazaną na wstępie, utrzymał w mocy swoją wcześniejszą decyzję, stwierdzając w jej uzasadnieniu, że dokonał on oceny legalności przetwarzania danych osobowych J.T. przez Spółkę, w zakresie przetwarzania jego danych, uwzględniając okoliczności przetwarzania tych danych, całokształt materiału dowodowego oraz przepisy prawa, w tym przepisy ustawy o ochronie danych osobowych. Następnie organ podał, że katalog przesłanek legalizujących przetwarzanie danych osobowych przez administratora tych danych ma charakter zamknięty i został wskazany orzez ustawodawcę w treści art 23 ust 1 pkt 1- 5 pow ustawy o ochronie danych osobowych, zaś w przypadku danych szczególnie chronionych, o których mowa w art. 27 ust. 1 ustawy - w jej art. 27 ust. 2 pkt 1 -10. Podał też, że w przedmiotowej sprawie Spółka przetwarza dane osobowe J.T. w zakresie, który winien być oceniany z uwzględnieniem art. 23 ust. 1 pkt 1 – 5 ustawy, zgodnie z którym, przetwarzanie danych osobowych jest dopuszczalne wtedy, gdy: 1) osoba, której dane dotyczą, wyrazi na to zgodę, 2) gdy jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa, 3) jest to konieczne dla realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to konieczne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą, 4) jest niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego, 5) jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców' danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Organ podał, że każda z ww. przesłanek ma charakter autonomiczny i niezależny, a to oznacza, iż przesłanki te co do zasady są równoprawne, a wobec tego spełnienie co najmniej jednej z przesłanek stanowi o zgodnym z prawem przetwarzaniu danych osobowych. Tym samym zgoda osoby, której dane dotyczą nie jest jedyną podstawą dopuszczającą przetwarzanie danych osobowych, bowiem proces przetwarzania danych będzie zgodny z ustawą również wówczas, gdy administrator danych wykaże spełnienie innej z wyżej wymienionych przesłane. Organ wskazał następnie, że prawidłowe jest stanowisko zawarte w zaskarżonej decyzji, iż po stronie Spółki nie doszło do naruszenia zasad ochrony danych osobowych, albowiem spełniła ona przesłankę legalności procesu przetwarzania danych J.T., w oparciu o art. 23 ust. 1 pkt 3 pow. ustawy o ochronie danych osobowych, zgodnie z którym przetwarzanie danych osobowych jest dopuszczalne, gdy jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą. Odnosząc się zaś do zarzutu J.T., iż nie był on jeszcze stroną umowy a podejmowane przez niego działania znajdowały się dopiero na etapie negocjowania jej warunków, organ podał, iż ww. przepis swoim zakresem obejmuje również przetwarzanie danych osobowych w trakcie różnorakich procedur prowadzących do zawarcia umowy. Przetwarzanie danych związane z przyszłym zawarciem umowy dotyczy także działań, od których rezultatu zależy zawarcie umowy lub określenie jej warunków ich celem może być np. zbadanie możliwości albo celowości zawarcia w danym porządku prawnym i w danych warunkach ekonomicznych umowy oznaczonego rodzaju bądź umowy o oznaczonej treści, zbadanie istniejących przeszkód faktycznych lub prawnych, prognozowanie skutków finansowych itd. (Barta Janusz, Ochrona danych osobowych, Komentarz, wyd. VI Opublikowano: LEX 2015). W kwestii udostępnienia danych osobowych J.T., zawartych w umowie o świadczenie usług telekomunikacyjnych ponownie organ wskazał, iż ww. przekazanie nastąpiło w oparciu o umowę zawartą przez Spółkę z [...] Sp. z o.o (obecnie: [...] Sp. z o.o.) w dniu 12 lipca 2007 r. Zgodnie bowiem z art. 31 ustawy, administrator danych może powierzyć innemu podmiotowi, w drodze umowy zawartej na piśmie, przetwarzanie danych (ust. 1). Podmiot, o którym mowa w ust. 1, może przetwarzać dane wyłącznie w zakresie i celu przewidzianym w umowie (ust. 2). Podmiot, o którym mowa w ust. 1, jest obowiązany przed rozpoczęciem przetwarzania danych podjąć środki zabezpieczające zbiór danych, o których mowa w art. 36-39, oraz spełnić wymagania określone w przepisach, o których mowa w art. 39a. W zakresie przestrzegania tych przepisów podmiot ponosi odpowiedzialność jak administrator danych (ust. 3). W przypadkach, o których mowa w ust. 1-3, odpowiedzialność za przestrzeganie przepisów niniejszej ustawy spoczywa na administratorze danych, co nie wyłącza odpowiedzialności podmiotu, który zawarł umowę, za przetwarzanie danych niezgodnie z tą umową (ust. 4). Do kontroli zgodności przetwarzania danych przez podmiot, o którym mowa w ust. 1, z przepisami o ochronie danych osobowych stosuje się odpowiednio przepisy art. 14-19 (ust. 5). W ocenie Generalnego Inspektora, umowa zawarta pomiędzy Spółką, a firmą kurierską wypełnia przesłanki umowy powierzenia, o której mowa w art. 31 ustawy o ochronie danych osobowych zarówno z uwagi na jej formę (pisemna), treść (określenie celu. dla realizacji którego będą przetwarzane powierzone dane), jak też zakres (wskazanie zakresu danych, jakie zostają powierzone Spółce). Generalny Inspektor nie zgodził się z zarzutem J.T., jakoby w niniejszej sprawie zachodziła podstawa do zawiadomienia organów prokuratury, stosownie do art. 304 § 2 ustawy z dnia 6 czerwca 1997 r. Kpk, Jednocześnie organ wskazał, że J.T. może samodzielnie złożyć stosownej treści zawiadomienie do właściwych organów ścigania tym bardziej, jeśli dysponuje stosownymi dowodami. Ponadto organ stwierdził, że jeżeli w ocenie J.T. doszło do naruszenia jego dóbr osobistych, którymi zgodnie z art. 23 ustawy z dnia 23 kwietnia 1964 r. Kodeks cywilny (Dz. U. z 2014 r, poz.121 ze zm.), są w szczególności zdrowie, wolność, cześć, swoboda sumienia, nazwisko lub pseudonim, wizerunek, tajemnica korespondencji, nietykalność mieszkania, twórczość naukowa, artystyczna, wynalazcza i racjonalizatorska, to może on dochodzić swych roszczeń z tego tytułu w drodze powództwa cywilnego wytoczonego przed właściwy miejscowo sąd powszechny. Zgodnie bowiem z art. 24 Kodeksu cywilnego, ten, czyje dobro osobiste zostaje zagrożone cudzym działaniem, może żądać zaniechania tego działania, chyba że nie jest ono bezprawne. W razie dokonanego naruszenia może on także żądać, ażeby osoba, która dopuściła się naruszenia, dopełniła czynności potrzebnych do usunięcia jego skutków, w szczególności ażeby złożyła oświadczenie odpowiedniej treści i w odpowiedniej formie. Na zasadach przewidzianych w kodeksie może on również żądać zadośćuczynienia pieniężnego lub zapłaty odpowiedniej sumy pieniężnej na wskazany cel społeczny. Jeżeli wskutek naruszenia dobra osobistego została wyrządzona szkoda majątkowa, poszkodowany może żądać jej naprawienia na zasadach ogólnych. Przepisy powyższe nie uchybiają uprawnieniom przewidzianym w innych przepisach, w szczególności w prawie autorskim oraz w prawie wynalazczym. Wobec zarzutów J.T., kwestionujących prawidłowość przeprowadzonego postępowania administracyjnego, organ podniósł, że postępowanie w niniejszej sprawie przeprowadzone zostało zgodnie z zasadami określonymi w Kpa, w tym we wskazanych wyżej przepisach w tym również zgodnie z zasadą z art. 7 Kpa. Ponadto organ wskazał, że J.T. był informowany o ustaleniach poczynionych w toku postępowania i na każdym jego etapie mógł wnosić dodatkowe dowody. Podniesione przez niego zarzuty, w tym zarzut naruszenia jego prawa do obrony oraz zaniechania wskazania stosownych dowodów w tym zakresie uznał organ za bezzasadne. Decyzja Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] listopada 2016 r. stała się przedmiotem skargi, wniesionej przez J.T., do Wojewódzkiego Sądu Administracyjnego w Warszawie. W skardze zarzucił on naruszenie prawa materialnego oraz procesowego i wniósł o jej uchylenie i zasądzenie kosztów postępowania. W uzasadnieniu skargi J.T. zarzucił, iż organ nie wyjaśnił istoty sprawy; przede wszystkim okoliczności bezprawnego ujawnienia jego danych, bez uzyskania jego zgody - w grudniu 2012 r. i w marcu 2013 r. przez T. (obecnie O.), wysługującą się [...] Sp. z o.o. a nadto wobec naruszyciela nie zastosował żadnych sankcji. Powołując się zaś na zapis art.. 18 ust. 1 u.o.d.o. skarżący podał, że zawiera on cały szereg sankcji, które ustawodawca wyraźnie różnicuje stopniując ich rodzaj i zakres Prawidłowe zastosowanie tych sankcji wymaga więc przeprowadzenia postępowania, spełniającego wymogi kodeksowe (art. 7 i 77 k.p.a., in.), jak również uwzględniającego regulacje materialnoprawne, z których wynika konieczność umiejętnego stopniowania sankcji. Ponadto skarżący zarzucił, iż dotychczasowe postępowanie bez doręczenia mu na jego koszt, kserokopii pism stron, kserokopii zebranych dokumentów, bez możności zapoznania się z nimi (np. w miejscowo właściwym dla skarżącego organie administracji publicznej bądź samorządowej) i bez przeprowadzenia wnioskowanego dowodu z przesłuchania stron (art. 6-12, 35, 36, 51, 52, 73, 75, 77-81, 86 kpa), nie spełnia minimalnych wymogów "dobrej administracji". Następnie skarżący stwierdził, iż nigdy nie wyrażał zgody na telefoniczne oferty zmiany warunków korzystania ze stacjonarnego telefonu, żądając dostarczenia jej na piśmie, za pośrednictwem Poczty Polskiej. Na posłużenie się przez przedsiębiorcę m.in. telefonem w celu złożenia propozycji zawarcia umowy wymagane jest bowiem uzyskanie uprzedniej zgody konsumenta. Skarżący wskazał, że ustawą o prawach konsumenta dokonano modyfikacji art. 172 ust. 1 pr. telekom., zgodnie z którym, po nowelizacji, zakazane zostało używanie bez uprzedniej zgody abonenta w celach marketingu bezpośredniego, w tym więc również celu złożenia propozycji zawarcia umowy na odległość, nie tylko automatycznych systemów wywołujących, lecz także telekomunikacyjnych urządzeń końcowych, w tym też telefonu, bez względu na technologię analogową, cyfrową, telefonii stacjonarnej oraz mobilnej (...)". W odpowiedzi na skargę Generalny Inspektor Ochrony Danych Osobowych wniósł o jej oddalenie i podtrzymał swoje stanowisko wyrażone w zaskarżonej decyzji z dnia [...] listopada 2016 r. (znak: [...]). Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje. Zgodnie z art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (Dz. U.z 2016 r. , poz. 1647), sąd administracyjny sprawuje wymiar sprawiedliwości poprzez kontrolę pod względem zgodności z prawem zaskarżonego aktu administracyjnego i to z przepisami obowiązującymi w dacie jego wydania. W konsekwencji, sąd administracyjny nie orzeka co do istoty rzeczy w zakresie danego przypadku, lecz kontroluje zgodność rozstrzygnięcia z prawem materialnym i obowiązującymi przepisami prawa procesowego. W świetle powyżej określonych kryteriów skarga podlega oddaleniu, gdyż zaskarżona decyzja Generalnego Inspektora Ochrony Danych Osobowych jest zgodna z prawem. Z treści art. 1 ust. 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.U. z 2016, poz. 922) wynika, iż przysługujące każdemu prawo do ochrony dotyczących go danych osobowych, nie ma charakteru absolutnego, bowiem przetwarzanie danych może mieć miejsce ze względu na dobro publiczne, dobro osoby, której dane dotyczą lub dobro osób trzecich w zakresie i trybie określonym ustawą. Ochrona danych osobowych nie powinna zatem posiadać prymatu pierwszeństwa i funkcjonować w oderwaniu od przepisów służących ochronie innych wartości. Przepis art. 12 ww. ustawy statuuje główne zadania i kompetencje Generalnego Inspektora Ochrony Danych Osobowych, który pełni zarówno funkcję organu kontrolującego poprawność przetwarzania danych osobowych zgodnie z obowiązującymi przepisami oraz rzecznika interesów poszczególnych osób i interesów publicznych, jak i organu, który w tym zakresie został wyposażony we władcze kompetencje wydawania decyzji administracyjnych i rozpatrywania skarg w sprawach wykonania przepisów o ochronie danych osobowych. Stosownie do treści art. 7 pkt 2 ww. ustawy, przez przetwarzanie danych osobowych rozumie się jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych. W świetle art. 23 ust. 1 ww. ustawy, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy: 1) osoba, której dane dotyczą, wyrazi na to zgodę, chyba że chodzi o usunięcie dotyczących jej danych, 2) jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa, 3) jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą, 4) jest niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego, 5) jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Za prawnie usprawiedliwiony cel, o którym mowa w ust. 1 pkt 5, uważa się w szczególności: 1) marketing bezpośredni własnych produktów lub usług administratora danych, 2) dochodzenie roszczeń z tytułu prowadzonej działalności gospodarczej (ust. 4). Analiza powyższych przesłanek dopuszczających przetwarzanie danych osobowych prowadzi do wniosku, iż zgoda osoby, której dane dotyczą, będzie zawsze legalizowała przetwarzanie jej danych osobowych przez podmiot, który taką zgodę uzyskał. Natomiast zgoda osoby, której dane dotyczą, na przetwarzanie jej danych osobowych nie jest wymagana wówczas, gdy administrator danych potrafi wskazać przepis prawa legalizujący dokonywanie czynności, o których mowa w art. 7 ust. 2 ustawy. W rozpoznawanej sprawie skarżący kwestionuje przede wszystkim zasadność działań O. (dawniej T. w W.), poprzez pozyskanie od niego jego danych osobowych, obejmujących imię, nazwisko, adres zamieszkania, adres do korespondencji, numer i serię dowodu osobistego, numer PESEL oraz numer telefonu, przez kuriera firmy [...] Sp. z o.o. (obecnie [...] Sp. z o.o.), doręczającego mu przesyłkę, zawierającą warunki umowy na świadczenie usług telekomunikacyjnych, w szczególności o ustalenie i stwierdzenie, że ten podmiot (Spółka) dwukrotnie tj. dnia 9 grudnia 2012 r. i w marcu 2013 r., poza siedzibą przedsiębiorstwa, przez rzekomego kuriera, w niedopuszczalny sposób, ujawniła nieuprawnionej osobie, tekst proponowanej zmiany do umowy o świadczenie usługi telekomutacyjnej wraz z wszystkimi jego danymi osobowymi. Tak więc w istocie skarżący nie kwestionował istnienia podstawy prawnej legalizującej przetwarzanie jego danych osobowych przez O.., a wskazywał jedynie, że brak było stosownej podstawy prawnej do udostępnienia jego danych osobowych kurierowi. Wskazać należy, że ustawa z dnia 16 lipca 2004 r. - Prawo telekomunikacyjne (Dz. U. nr 171, poz. 1800 ze zm.) w art. 161 ust. 2 stanowi, iż dostawca publicznie dostępnych usług telekomunikacyjnych jest uprawniony do przetwarzania następujących danych dotyczących użytkownika będącego osobą fizyczną: 1) nazwisk i imion; 2) imion rodziców; 3) miejsca i daty urodzenia; 4) adresu miejsca zamieszkania i adresu korespondencyjnego jeżeli jest on inny niż adres miejsca zamieszkania; 5) numeru ewidencyjnego PESEL - w przypadku obywatela Rzeczypospolitej Polskiej; 6) nazwy, serii i numeru dokumentów potwierdzających tożsamość, a w przypadku cudzoziemca, który nie jest obywatelem państwa członkowskiego albo Konfederacji Szwajcarskiej - numeru paszportu lub karty pobytu; 7) zawartych w dokumentach potwierdzających możliwość wykonania zobowiązania wobec dostawcy publicznie dostępnych usług telekomunikacyjnych wynikającego z umowy o świadczenie usług telekomunikacyjnych. Oprócz danych, o których mowa w ust. 2, dostawca publicznie dostępnych usług telekomunikacyjnych może, za zgodą użytkownika będącego osobą fizyczną, przetwarzać inne dane tego użytkownika w związku ze świadczoną usługą, w szczególności numer konta bankowego lub karty płatniczej, a także adres poczty elektronicznej oraz numery telefonów kontaktowych (ust. 3 powołanego artykułu). W świetle powyższej regulacji ustawowej, pozyskiwanie przez operatora telekomunikacyjnego - Spółkę O.. danych skarżącego w zakresie imienia i nazwisko, adresu zamieszkania, adresu do korespondencji, numeru i serii dowodu osobistego, numeru PESEL oraz numeru telefonu jest uzasadnione przepisem art. 161 ust. 2 Prawa telekomunikacyjnego, co w konsekwencji legalizuje przetwarzanie tych danych, na podstawie art. 23 ust. 1 pkt 2 ustawy o dostępie do informacji publicznej. Należy także zwrócić uwagę, iż przedmiotowe dane osobowe skarżącego są wymagane przede wszystkim dla zawarcia ze Spółką umowy o świadczenie usług telekomunikacyjnych. Zatem w sprawie występuje także przesłanka legalizująca z art. 23 ust. 1 pkt 3 ww. ustawy. W kwestii udostępnienia danych osobowych J.T., zawartych w umowie o świadczenie usług telekomunikacyjnych wskazać należy, iż ww. przekazanie nastąpiło w oparciu o umowę zawartą przez Spółkę z [...] Sp. z o.o (obecnie: [...] Sp. z o.o.) a Spółką T. z siedzibą w W. (obecnie O.), w dniu 12 lipca 2007 r. Zaznaczyć w tym miejscu należy, iż administrator danych może przetwarzać dane osobowe samodzielnie, nie ma jednak przeszkód, aby w ramach dozwolonych przez prawo rozwiązań korzystał z usług innych podmiotów. Możliwość taką przewiduje art. 31 pow. ustawy o ochronie danych osobowych, zgodnie z którym, administrator danych może powierzyć innemu podmiotowi, w drodze umowy zawartej na piśmie, przetwarzanie danych (ust. 1). Podmiot, o którym mowa w ust. 1. może przetwarzać dane wyłącznie w zakresie i celu przewidzianym w umowie (ust. 2). Podmiot, o którym mowa w ust. 1, jest obowiązany przed rozpoczęciem przetwarzania danych podjąć środki zabezpieczające zbiór danych, o których mowa w art. 36-39, oraz spełnić wymagania określone w przepisach, o których mowa w art. 39a. W zakresie przestrzegania tych przepisów podmiot ponosi odpowiedzialność jak administrator danych (ust. 3). W przypadkach, o których mowa w ust. 1-3, odpowiedzialność za przestrzeganie przepisów niniejszej ustawy spoczywa na administratorze danych, co nie wyłącza odpowiedzialności podmiotu, który zawarł umowę, za przetwarzanie danych niezgodnie z tą umową (ust. 4). Do kontroli zgodności przetwarzania danych przez podmiot o którym mowa w ust. 1 z przepisami o ochronie danych osobowych stosuje się odpowiednio przepisy art. 14-19 (ust. 5). W ocenie Sądu, umowa zawarta w dniu 12 lipca 2007 r. pomiędzy O.. a firmą kurierską [...] Sp. z o.o., wypełnia przesłanki umowy powierzenia, o której mowa w art. 31 ustawy o ochronie danych osobowych, zarówno z uwagi na jej formę (pisemna), treść (określenie celu, dla realizacji którego będą przetwarzane powierzone dane), jak też zakres (wskazanie zakresu danych, jakie zostają powierzone Spółce). Podobne stanowisko prezentowane jest również w orzecznictwie sądowo- administracyjnym. W uzasadnieniu wyroku z dnia 14 lutego 2014 r. sygn. II SA/Wa 2173/12 Wojewódzki Sąd Administracyjny w Warszawie wskazał, iż "kurier doręczający przesyłkę, w pewnym zakresie (objętym przedmiotem zlecenia), wykonuje czynności przysługujące administratorowi danych - Spółce. Nie tylko bowiem doręcza przesyłkę, ale też odbiera od adresata oświadczenie woli o zaakceptowaniu warunków umowy ustalonych wcześniej z konsultantem telefonicznie, a po ich podpisaniu i uzyskaniu wymaganych dokumentów doręcza je Spółce". W przypadkach, o których mowa w ust. 1-3, odpowiedzialność za przestrzeganie przepisów niniejszej ustawy spoczywa na administratorze danych, co nie wyłącza odpowiedzialności podmiotu, który zawarł umowę, za przetwarzanie danych niezgodnie z tą umową (ust. 4). Do kontroli zgodności przetwarzania danych przez podmiot, o którym mowa w ust. 1, z przepisami o ochronie danych osobowych stosuje się odpowiednio przepisy art. 14-19 (ust. 5). Zgodzić się należy z organem, że jeśli chodzi o zarzut skarżącego, że nie był on jeszcze stroną umowy a podejmowane przez niego działania znajdowały się dopiero na etapie negocjowania jej warunków, to art. 23 ust. 1 pkt 3 pow. ustawy o ochronie danych osobowych, zakresem swym obejmuje również przetwarzanie danych osobowych w trakcie różnorakich procedur prowadzących do zawarcia umowy. Przetwarzanie danych związane z przyszłym zawarciem umowy dotyczy także działań, od których rezultatu zależy zawarcie umowy lub określenie jej warunków; ich celem może być np. zbadanie możliwości albo celowości zawarcia w danym porządku prawnym i w danych warunkach ekonomicznych umowy oznaczonego rodzaju bądź umowy o oznaczonej treści, zbadanie istniejących przeszkód faktycznych lub prawnych, prognozowanie skutków finansowych itd. (Barta Janusz, Ochrona danych osobowych. Komentarz, wyd. VI Opublikowano: LEX 2015). Ponadto wskazać należy, że jak wynika z wyjaśnień Spółki, "w celu zabezpieczenia danych osobowych klientów Spółki, w tym J.T., zawartych w umowach o świadczenie usług telekomunikacyjnych oraz aneksów do nich (dostarczanych klientom za pośrednictwem firmy kurierskiej) zastosowane zostały środki organizacyjne i techniczne, o których mowa w art. 36 ust. 1 ustawy o ochronie danych osobowych, wskazane w umowie zawartej z firmą [...] sp. z o.o., w szczególności w załączniku nr 5 do umowy, dotyczącym powierzenia przetwarzania danych osobowych (kopie ww. dokumentów znajdują się a aktach sprawy). W świetle powyższych ustaleń nie można podzielić poglądu skarżącego, iż działania firmy O. uznać należy za bezprawnie. Jeśli zaś chodzi o pozostałe zarzuty skarżącego, w tym żądanie, dotyczące skierowania zawiadomienia o popełnieniu przestępstwa do właściwej prokuratury rejonowej, to zgodzić się należy z organem, że może on domagać się od Generalnego Inspektora, w administracyjnych formach postępowania, wyłącznie podjęcia działań określonych w ww. art. 18 ust. 1 ustawy oraz może składać tylko takie wnioski, które mogą być rozpatrzone przez wydanie decyzji administracyjnej. Ustawa zaś nie daje temu organowi uprawnień do kończenia prowadzonego postępowania, poprzez skierowanie w formie decyzji administracyjnej zawiadomienia do organów ścigania, o popełnieniu przestępstwa. Jak wskazał Naczelny Sąd Administracyjny w wyroku z dnia 19 listopada 2001 r. (sygn. akt II SA 2702/00): "osoba dochodząca ochrony swych praw w trybie ustawy o ochronie danych osobowych nie jest podmiotem postępowania obliczonego na wydanie decyzji o zawiadomieniu stosownego organu o przestępstwie w zakresie przetwarzania danych osobowych i nie może się tego domagać od GIODO w administracyjno - prawnych formach tego postępowania. Przepis art. 19 ustawy nie daje bowiem stronie roszczenia w tym względzie". Wojewódzki Sąd Administracyjny w Warszawie w wyroku z dnia 13 listopada 2009 r. (sygn. akt II SA/Wa 612/2009) orzekł: "Skierowane przez Generalnego Inspektora Ochrony Danych Osobowych zawiadomienia o popełnienia przestępstwa następuje poprzez wystąpienie do organu właściwego do wszczęcia postępowania karnego w danej sprawie, a ponadto jako należące do kompetencji organu realizowane jest z urzędu, a nie na wniosek osób zainteresowanych". Jednocześnie zaznaczyć należy, że Skarżący może samodzielnie złożyć stosownej treści zawiadomienie do właściwych organów ścigania. Ponadto rację ma organ, że jeżeli w ocenie skarżącego doszło do naruszenia jego dóbr osobistych, którymi zgodnie z art. 23 ustawy z dnia 23 kwietnia 1964 r. Kodeks cywilny, są w szczególności zdrowie, wolność, cześć, swoboda sumienia, nazwisko lub pseudonim, wizerunek, tajemnica korespondencji, nietykalność mieszkania, twórczość naukowa, artystyczna, wynalazcza i racjonalizatorska, to może on dochodzić swych roszczeń z tego tytułu w drodze powództwa cywilnego wytoczonego przed właściwy miejscowo sąd powszechny. Zgodnie bowiem z art. 24 Kodeksu cywilnego, ten, czyje dobro osobiste zostaje zagrożone cudzym działaniem, może żądać zaniechania tego działania, chyba że nie jest ono bezprawne. W razie dokonanego naruszenia może on także żądać, ażeby osoba, która dopuściła się naruszenia, dopełniła czynności potrzebnych do usunięcia jego skutków, w szczególności ażeby złożyła oświadczenie odpowiedniej treści i w odpowiedniej formie. Na zasadach przewidzianych w kodeksie może on również żądać zadośćuczynienia pieniężnego lub zapłaty odpowiedniej sumy pieniężnej na wskazany cel społeczny. Jeżeli wskutek naruszenia dobra osobistego została wyrządzona szkoda majątkowa, poszkodowany może żądać jej naprawienia na zasadach ogólnych. Przepisy powyższe nie uchybiają uprawnieniom przewidzianym w innych przepisach, w szczególności w prawie autorskim oraz w prawie wynalazczym. Odnosząc się do zarzutów skarżącego, podniesionych w skardze i kwestionujących prawidłowość przeprowadzonego postępowania administracyjnego wskazać należy, że postępowanie przeprowadzone zostało zgodnie z zasadami określonymi w ustawie z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego, w tym również zgodnie z zasadą z art. 7 tego kodeksu. Ponadto jak wynika z akt, skarżący był informowany o ustaleniach poczynionych w toku postępowania i na każdym jego etapie mógł wnosić dodatkowe dowody. Wskazać ponadto należy, że podniesione przez skarżącego zarzuty zaniechania przeprowadzenia stosownych dowodów z przesłuchania stron, uznać należy za bezzasadne. Przedmiot postępowania został rzetelnie oceniony przez Generalnego inspektora przez pryzmat przepisów ustawy o ochronie danych osobowych, z uwzględnieniem zakresu skargi złożonej przez skarżącego oraz po dokonaniu kompleksowej analizy całości zgromadzonego materiału dowodowego, który organ uznał za wystarczający do wydania merytorycznej decyzji administracyjnej w zakresie podlegającym jego kompetencjom. W kwestii zaś zarzutu skarżącego, dotyczącego odmowy skorzystania z prawa zapoznania się z aktami sprawy, to wskazać należy, iż Generalny Inspektor poinformował skarżącego, że w myśl art. 10 § 1 Kpa organy administracji publicznej obowiązane są zapewnić stronom czynny udział w każdym stadium postępowania, a przed wydaniem decyzji umożliwić im wypowiedzenie się co do zebranych dowodów i materiałów oraz zgłoszonych żądań. Natomiast prawo zapoznania się z treścią dokumentów znajdujących się w aktach sprawy zapewnia stronom postępowania art. 73 § 1 Kpa. Zgodnie z tym przepisem strona ma prawo wglądu w akta sprawy, sporządzania z nich notatek, kopii lub odpisów. Sposób realizacji prawa zagwarantowanego stronie przez art. 73 § 1 Kpa określa art. 73 § la Kpa, stanowiący, że czynności określone w § 1 są dokonywane w lokalu organu administracji publicznej w obecności pracownika tego organu. Organ wydał w tym zakresie stosowne postanowienia, których skarżący nie kwestionował na drodze sądowej. Odnosząc się zaś do kwestii podnoszonych przez skarżącego, uwag w zakresie obowiązków przedsiębiorcy przy zawieraniu umów na odległość, to zgodzić się należy z organem, iż organ ds. ochrony danych osobowych nie posiada kompetencji do podejmowania rozstrzygnięć z zakresu umów cywilnoprawnych ani do oceny etycznych aspektów metod stosowanych przez przedsiębiorców celem zawarcia i realizacji umów cywilnoprawnych, czy zostały one prawidłowo zawarte. Takie sprawy należą do właściwości sądów powszechnych. Podobne stanowisko zajął również Naczelny Sąd Administracyjny w wyroku z dnia 2marca 2001 r. (sygn. akt II SA 401/00) stwierdzając m.in.: "(...) Generalny Inspektor (...) nie jest organem kontrolującym ani nadzorującym prawidłowość stosowania prawa materialnego i procesowego w sprawach należących do właściwości innych organów, służb czy sądów, których orzeczenia podlegają ocenom w toku instancji czy w inny sposób określony odpowiednimi procedurami". Ponadto zaznaczyć należy, iż na żadnym etapie postępowania administracyjnego skarżący nie podnosił zarzutu przetwarzania jego danych osobowych w celach marketingowych przez Spółkę. Jednakże, jak wynika z wyjaśnień Spółki z dnia 24 września 2013 r. dane osobowe skarżącego objęte są sprzeciwem z art. 32 ust. 1 pkt 8 ustawy. Odwołując się do regulacji art. 18 ust. 1 ustawy należy zaznaczyć, iż Generalny Inspektor w przypadku naruszenia przepisów o ochronie danych osobowych nakazuje z urzędu lub na wniosek osoby zainteresowanej, w drodze decyzji administracyjnej, przywrócenie stanu zgodnego z prawem, a w szczególności: 1) usunięcie uchybień, 2) uzupełnienie, uaktualnienie, sprostowanie, udostępnienie lub nieudostępnienie danych osobowych, 3) zastosowanie dodatkowych środków zabezpieczających zgromadzone dane osobowe, 4) wstrzymanie przekazywania danych osobowych do państwa trzeciego, 5) zabezpieczenie danych lub przekazanie ich innym podmiotom, 6) usunięcie danych osobowych. W rozpatrywanej sprawie jednak stanu niezgodności z prawem w dacie wydania decyzji nie stwierdzono. W zaistniałym stanie faktycznym i prawnym pozostałe zarzuty skargi należało uznać za niezasadne. Generalny Inspektor Ochrony Danych Osobowych prawidłowo zastosował przepisy prawa materialnego i oparł swe rozstrzygnięcie na podstawie ustaleń dokonanych w postępowaniu wyjaśniającym przeprowadzonym z poszanowaniem reguł procesowych. Mając powyższe na uwadze, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi orzekł, jak w sentencji.