II SA/Wa 1425/12

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Anna Mierzejewska, Sędziowie WSA Ewa Pisula – Dąbrowska, Iwona Dąbrowska (sprawozdawca), Protokolant spec. Marek Kozłowski, po rozpoznaniu na rozprawie w dniu 12 kwietnia 2013 r. sprawy ze skargi A. B. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] maja 2012 r. nr [...] w przedmiocie przetwarzania danych osobowych – oddala skargę – Pismem z dnia 16 marca 2011 r. A. B. wystąpiła do Generalnego Inspektora Ochrony Danych Osobowych ze skargą przeciwko [...] S.A., [...] Sp. z o.o., [...] Sp. z o.o. oraz [...] Sp. z o. o. w sprawie przetwarzania danych osobowych oraz nakazanie tym podmiotom zaprzestania przetwarzania jej danych osobowych i usunięcie ich z baz danych. W piśmie tym podała, że powzięła informację, iż umowa o świadczenie usług telekomunikacyjnych z [...] S.A. jest obarczona wadą prawną, tj. brak odręcznego podpisu przedstawiciela [...] S.A., a sposób jej zawarcia był sprzeczny z zasadami określonymi w Rozdziale I ustawy z dnia 2 marca 2000 r. o ochronie niektórych praw konsumentów oraz o odpowiedzialności za szkodę wyrządzoną przez produkt niebezpieczny w zakresie umów zawieranych poza lokalem przedsiębiorstwa. Ponadto podniosła, że nigdy nie korzystała z usługi określonej w umowie i zrezygnowała z tej usługi na samym początku. [...] S.A. podjęła za to nieuprawnione działania polegające na przekazaniu roszczenia domniemanej wierzytelności [...] Sp. z o.o., [...] Sp. z o.o. oraz [...] Sp. z o. o. Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia [...] lutego 2012 r. nr [...] wydaną na podstawie art. 105 § 1 K.p.a. oraz art. 12 pkt 2, art. 22 w związku z art. 23 ust. 1 pkt 2-3 oraz pkt 5, art. 31 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. nr 101, poz. 926 ze zm.), odmówił uwzględnienia wniosku w zakresie nakazania [...] S.A. oraz [...] Sp. z o.o. usunięcia danych osobowych A. B. z prowadzonych przez nie zbiorów danych, a w pozostałym zakresie umorzył postępowanie. Od decyzji tej A. B. złożyła wniosek o ponowne rozpatrzenie sprawy, podnosząc że organ nie odniósł się w całości do sprawy, tj. nie zbadał czy zawieranie umów obarczonych wadą prawną stanowi przesłankę do przetwarzania danych osobowych czy też nie. Decyzją z dnia [...] maja 2012 r. nr [...] wydaną na podstawie art. 138 § 1 pkt 1 K.p.a. i art. 12 pkt 2, art. 22 w związku z art. 23 ust. 1 pkt 2-3 oraz pkt 5, art. 31 ustawy o ochronie danych osobowych, utrzymał w mocy decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] lutego 2012 r. W uzasadnieniu decyzji organ podał, że do Biura Generalnego Inspektora Ochrony Danych Osobowych wpłynęła skarga A. B., na udostępnienie przez [...] S. A. z siedzibą w [...] jej danych osobowych na rzecz: [...] Sp. z o.o. z siedzibą w [...] , [...] Sp. z o.o. z siedzibą w [...] , [...] Sp. z o.o. z siedzibą w [...]. W celu rozpatrzenia przedmiotowego wniosku Generalny Inspektor Ochrony Danych Osobowych przeprowadził postępowanie wyjaśniające, w toku którego ustalił, że w dniu [...] sierpnia 2007 r. została zawarta umowa o świadczenie usług telekomunikacyjnych o numerze [...] , której stronami była A. B. oraz [...] S. A. Umowa ta została wypowiedziana przez [...] S.A. w dniu [...] stycznia 2009 r. W ocenie [...] S. A., A. B. nie uiściła należności z tytułu wystawionych przez [...] S. A. faktur za świadczone usługi. [...] S. A. oraz [...] Sp. z o.o. zawarły umowę zlecenia w dniu [...] maja 2007 r. Przedmiotem tej umowy było wykonywanie przez [...] Sp. z o.o. czynności prawnych zmierzających do uzyskania należności z tytułu niezapłaconych faktur za świadczone przez [...] S. A. usługi. Umowa ta stanowiła podstawę przekazania [...] Sp. z o.o. przez [...] S. A. danych osobowych A. B. celem podjęcia wobec niej czynności zmierzających do odzyskania wierzytelności powstałych z tytułu niezapłaconych faktur za świadczone usługi. [...] S. A. na podstawie tej umowy udostępniła dane A. B. w zakresie imienia i nazwiska, nr konta klienta, adresu klienta, numerów niezapłaconych faktur wraz z datą ich wystawienia i terminem płatności oraz saldem należności, daty zgłoszenia rozwiązania i zakończenia świadczenia usług, numeru telefonu komórkowego klienta. Umowa w § 3 stanowiła, iż wszystkie dane i dokumenty uzyskane przez zleceniobiorcę w związku z wykonywaniem umowy są ściśle poufne i nie mogą być udostępniane osobom trzecim, a dłużnikowi którego windykowane jest zadłużenie, mogą być udostępnione wyłącznie w zakresie niezbędnym do realizacji windykacji. W piśmie z dnia 5 kwietnia 2011 r. [...] Sp. z o.o. wskazała, że "firma [...] jedynie przetwarzała dane osobowe A. B. w zakresie i celu przewidzianym w umowie (...). Po zakończeniu okresu obsługi dane osobowe A. B. zostały usunięte ze zbioru danych [...] Sp. z o.o.". Ponadto organ ustalił, że Spółki [...] S. A. oraz [...] Sp. z o.o. łączyła umowa zlecenia z dnia [...] maja 2007 r. Przedmiotem tej umowy były działania windykacyjne mające na celu odzyskanie wymagalnych wierzytelności [...] S. A. [...] S. A. na podstawie tej umowy udostępniła dane A. B. w zakresie imienia i nazwiska, nr konta klienta, adresu klienta, numerów niezapłaconych faktur wraz z datą ich wystawienia i terminem płatności oraz saldem należności, daty zgłoszenia rozwiązania i zakończenia świadczenia usług, numeru telefonu komórkowego klienta. W piśmie z dnia 8 kwietnia 2011 r. firma [...] Sp. z o.o. wskazała, iż "na chwilę obecną [...] Sp. z o.o. nie przetwarza danych osobowych A. B.". Ponadto Spółka ta wskazała, iż "dane osobowe A. B. zostały usunięte z baz danych [...] w związku z realizacją postanowień zawartej umowy, bądź na skutek decyzji tego administratora danych (tu [...] )". Organ ustalił również, że Spółki [...] S. A. oraz [...] Sp. z o.o. łączy umowa sprzedaży wierzytelności z dnia [...] kwietnia 2010 r. Na podstawie tej umowy [...] Sp. z o.o. pozyskała dane osobowe A. B., której przedmiotem było "przeniesienie ze Zbywcy (tu: [...] S. A.) na rzecz Nabywcy (tu: [...] Sp. z o.o.) wierzytelności pieniężnych. W wyniku zawarcia tej nowy, Nabywca stał się administratorem danych osobowych uzyskanych na podstawie Umowy". Obecnie [...] Sp. z o.o. działa jako administrator danych osobowych swoich dłużników, w tym danych A. B. (imię i nazwisko, adres, numer NIP, seria i numeru dowodu osobistego, numer telefonu i numer PESEL). W dalszej części uzasadnienia organ podał, że w piśmie z dnia 8 września 2011 r. [...] S. A. wskazała, iż "przetwarza dane osobowe A. B. po dacie dokonania cesji wierzytelności" w celach rachunkowych i archiwalnych oraz dla "zabezpieczenia interesów Spółki na okoliczność ewentualnych roszczeń, których może dochodzić A. B. zgodnie z przepisami ustawy z dnia 23 kwietnia 1964 r. Kodeks cywilny, w związku z realizacją umowy o świadczenie usług telekomunikacyjnych zawartej w dniu 21 sierpnia 2007 r.". W wyniku ponownego rozpatrzenia sprawy Generalny Inspektor Ochrony Danych Osobowych wyjaśnił, że w sprawie dokonał jedynie oceny legalności przetwarzania danych osobowych A. B., natomiast nie badał kwestii istnienia lub nieistnienia wierzytelności wobec A. B. z tytułu zadłużenia widniejącego na jej koncie abonenckim, ani słuszności i zakresu dochodzonych wobec niej roszczeń cywilnoprawnych. Takie sprawy bowiem, zgodnie z art. 1 ustawy z dnia 17 listopada 1964 r. Kodeks postępowania cywilnego (Dz. U. nr 43, poz. 296 ze zm.), są sprawami cywilnymi i powinny być rozpatrywane w postępowaniach prowadzonych przez sądy powszechne. Ponadto organ wskazał, że działając na podstawie i w granicach ustawowych kompetencji przyznanych mu ustawą z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. nr 101, poz. 926 ze zm.), badał, czy u podstaw przetwarzania danych osobowych A. B. przez [...] S. A., [...] Sp. z o.o., [...] Sp. z o.o. oraz [...] Sp. z o. o., znajduje się jedna z przesłanek legalizujących przetwarzanie danych osobowych określonych w art. 23 ust. 1 ustawy o ochronie danych osobowych. Zgodnie z treścią art. 23 ust. 1 ustawy, przetwarzanie danych osobowych jest dopuszczalne, gdy osoba, której dane dotyczą, wyrazi na to zgodę, chyba że chodzi o usunięcie dotyczących jej danych (pkt 1), jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa (pkt 2), jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą (pkt 3), jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą, jest niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego (pkt 4), jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą (pkt 5). Organ zwrócił ponadto uwagę, że stosownie do przepisu art. 7 ust. 4 ustawy, administratorem danych osobowych jest organ, jednostka organizacyjna, podmiot lub osoba decydująca o celach i środkach przetwarzania danych osobowych. Z tych też względów należało uznać, że [...] S.A. była administratorem danych osobowych A. B. do dnia [...] kwietnia 2010 r., tj. dnia zawarcia umowy cesji, natomiast po tym dniu administratorem stała się i pozostaje obecnie [...] Sp. z o.o., która przetwarza dane osobowe A. B. na podstawie art. 23 ust. 1 pkt 5 ustawy, dla wypełnienia prawnie usprawiedliwionego celu jakim jest dochodzenie roszczeń z tytułu prowadzonej działalności gospodarczej. Czynności podejmowane przez tę spółkę stanowią prawnie usprawiedliwiony cel, który został wskazany w art. 23 ust. 4 ustawy. Jednocześnie organ wyjaśnił, że [...] S. A. pozyskała i przetwarzała do dnia zawarcia umowy cesji, na podstawie art. 23 ust. 1 pkt 3 ustawy dane osobowe A. B. w związku z zawarciem przez nią umowy z dnia [...] sierpnia 2007 r. o świadczenie usług telekomunikacyjnych, jak również na podstawie art. 23 ust. 1 pkt 5 ustawy dla wypełnienia prawnie usprawiedliwionego celu jakim jest windykacja wierzytelności. A od dnia [...] kwietnia 2010 r. [...] S.A. przetwarza dane osobowe A. B. na podstawie art. 23 ust. 1 pkt 2 ustawy w celu realizowania obowiązku wynikającego z przepisu prawa, tj. dla celów rachunkowych i archiwalnych. Odnosząc się do przetwarzania danych osobowych A. B. przez [...] Sp. z o.o. oraz [...] Sp. z o.o., organ podkreślił, że podmioty te pozyskały i przetwarzały dane osobowe A. B. w oparciu o art. 31 ustawy, na podstawie umowy zlecenia, której przedmiotem były czynności mające na celu uzyskanie należności z tytułu niezapłaconych przez A. B. faktur. Obecnie podmioty te nie przetwarzają danych osobowych, gdyż dane te zostały usunięte z ich baz danych. Tym samym ustał przedmiot postępowania w tym zakresie. Dlatego też w tym zakresie, zgodnie z art. 105 § 1 K.p.a., Generalny Inspektor Ochrony Danych Osobowych umorzył postępowanie. Wyjaśnił przy tym, że ustalenie przez organ zaistnienia przesłanki, o której mowa w art. 105 § 1 K.p.a., zobowiązuje go do umorzenia postępowania, nie ma bowiem w sytuacji zaistnienia tej przesłanki podstaw do rozstrzygnięcia sprawy co do istoty, a dalsze prowadzenie postępowania w takim przypadku stanowiłoby o wadliwości, mającej istotny wpływ na wynik sprawy. Organ przypomniał ponadto, że do jego zadań, zgodnie z art. 12 ustawy, w szczególności należy: 1) kontrola zgodności przetwarzania danych z przepisami o ochronie danych osobowych, 2) wydawanie decyzji administracyjnych i rozpatrywanie skarg w sprawach wykonania przepisów o ochronie danych osobowych, 3) zapewnienie wykonania przez zobowiązanych obowiązków o charakterze niepieniężnym wynikających z decyzji, o których mowa w pkt 2, przez stosowanie środków egzekucyjnych przewidzianych w ustawie z dnia 17 czerwca 1966 r. o postępowaniu egzekucyjnym w administracji (Dz. U. z 2005 r. nr 229, poz. 1954 ze zm.), 4) prowadzenie rejestru zbiorów danych oraz udzielanie informacji o zarejestrowanych zbiorach, 5) opiniowanie projektów ustaw i rozporządzeń dotyczących ochrony danych osobowych, 6) inicjowanie i podejmowanie przedsięwzięć w zakresie doskonalenia ochrony danych osobowych, 7) uczestniczenie w pracach międzynarodowych organizacji i instytucji zajmujących się problematyką ochrony danych osobowych. Natomiast zgodnie z art. 18 ust. 1 ustawy, w przypadku naruszenia przepisów o ochronie danych osobowych Generalny Inspektor Ochrony Danych Osobowych z urzędu lub na wniosek osoby zainteresowanej, w drodze decyzji administracyjnej, nakazuje przywrócenie stanu zgodnego z prawem, a w szczególności: 1) usunięcie uchybień, 2) uzupełnienie, uaktualnienie, sprostowanie, udostępnienie lub nieudostępnienie danych osobowych, 3) zastosowanie dodatkowych środków zabezpieczających zgromadzone dane osobowe, w celu realizowania obowiązku wynikającego z przepisu prawa, tj. dla celów rachunkowych i archiwalnych. Reasumując organ podkreślił, że [...] Sp. z o.o. pozyskała dane osobowe A. B. w ramach cesji wierzytelności, aktualnie zaś przetwarza je na podstawie art. 23 ust. 1 pkt 5 ustawy dla wypełnienia prawnie usprawiedliwionego celu, jakim jest dochodzenie roszczeń z tytułu prowadzonej działalności gospodarczej. Czynności podejmowane przez tę spółkę stanowią prawnie usprawiedliwiony cel, który został wskazany w art. 23 ust. 4 ustawy. Z tych względów nie mógł wydać decyzji na podstawie art. 18 ustawy. W przypadku zaś [...] Sp. z o.o. oraz [...] Sp. z o.o., to podmioty te pozyskały i przetwarzały dane osobowe w oparciu o art. 31 ustawy, na podstawie umowy zlecenia, której przedmiotem były czynności mające na celu uzyskanie należności z tytułu niezapłaconych przez A. B. faktur. Natomiast obecnie podmioty te nie przetwarzają danych osobowych A. B., gdyż dane te zostały usunięte z ich baz danych. W związku z powyższym, z uwagi na brak przedmiotu postępowania, zobowiązany był umorzyć postępowanie. Decyzja ta stała się przedmiotem skargi A. B. do Wojewódzkiego Sądu Administracyjnego w Warszawie, w której wniosła o uchylenie zaskarżonej decyzji oraz poprzedzającej ją decyzji z dnia [...] lutego 2012 r. i nakazanie zaprzestania przetwarzania jej danych osobowych oraz usunięcie ich z baz danych [...] S.A., [...] Sp. z o.o., [...] Sp. z o.o., oraz [...] Sp. z o. o. Jednocześnie skarżąca wniosła o zasądzenie kosztów postępowania. W uzasadnieniu skargi skarżąca podniosła, że organ nie odniósł się do faktów przez nią opisanych w piśmie z dnia 16 marca 2011 r., tj. że umowa o świadczenie usług telekomunikacyjnych jest obarczona wadą prawną i że sposób jej zawarcia był sprzeczny z zasadami określonymi w Rozdziale 1 ustawy o ochronie niektórych praw konsumentów oraz o odpowiedzialności za szkodę wyrządzoną przez produkt niebezpieczny w zakresie umów zawieranych poza lokalem przedsiębiorstwa, oraz że [...] S.A. w sposób nieuprawniony przekazała jej dane osobowe innym podmiotom. Podniosła, że organ zobowiązany był do sprawdzenia, czy [...] S.A. w ogóle miała prawo przekazać dług firmie windykacyjnej. Zgodnie bowiem z art. 509 § 1 k.c., wierzyciel może bez zgody dłużnika przenieść wierzytelność na osobę trzecią (przelew), chyba że sprzeciwiałoby się to ustawie, zastrzeżeniu umownemu albo właściwości zobowiązania. Jeśli umowa zawierana jest z osobą fizyczną, a nie firmą, to umowa zawierana jest z konsumentem, którego prawa podlegają szczególnej ochronie prawnej. Kodeks cywilny stanowi bowiem, że postanowienie umowne, które zezwala kontrahentowi konsumenta na przeniesienie praw i przekazanie obowiązków wynikających z umowy bez zgody konsumenta, uważa się w razie wątpliwości za niedozwolone. Przepis art. 509 § 1 k.c. ze względu na regulację zamieszczoną w art. 3853 pkt 5 k.c., w odniesieniu do umów konsumenckich nie może stanowić podstawy przetwarzania danych osobowych konsumentów uzyskanych bez ich zgody. W odpowiedzi na skargę organ wniósł o jej oddalenie, podtrzymując stanowisko wyrażone w zaskarżonej decyzji. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: W świetle art. 1 § 1 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (Dz. U. nr 153, poz. 1269 ze zm.), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej, przy czym stosownie do § 2 ust. 1 powołanej ustawy, kontrola ta sprawowana jest pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej. Dokonując kontroli legalności zaskarżonej decyzji, Sąd nie stwierdził, aby organ podejmujący w badanej sprawie rozstrzygnięcie, dopuścił się naruszenia prawa materialnego, czy przepisów postępowania administracyjnego w stopniu, w jakim mogłoby to mieć istotny wpływ na wynik sprawy. W ocenie Sądu, nie zasługują na uwzględnienie zarzuty skarżącej dotyczące niezgodnego z prawem przetwarzania jej danych osobowych przez [...] S.A. z siedzibą w [...], [...] Sp. z o.o., [...] Sp. z o.o. z siedzibą w [...] oraz [...] Sp. z o.o. z siedzibą w [...]. Wskazać należy, że zgodnie z art. 18 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. nr 101, poz. 926 ze zm.), w przypadku naruszenia przepisów o ochronie danych osobowych Generalny Inspektor z urzędu lub na wniosek osoby zainteresowanej, w drodze decyzji administracyjnej, nakazuje przywrócenie stanu zgodnego z prawem, a w szczególności: 1. usunięcie uchybień, 2. uzupełnienie, uaktualnienie, sprostowanie, udostępnienie lub nieudostępnienie danych osobowych, 3. zastosowanie dodatkowych środków zabezpieczających zgromadzone dane osobowe, 4. wstrzymanie przekazywania danych osobowych do państwa trzeciego, zabezpieczenie danych lub przekazanie ich innym podmiotom, 5. usunięcie danych osobowych. W rozpoznawanej sprawie Generalny Inspektor Ochrony Danych Osobowych, jako podstawę materialnoprawną wydania decyzji o odmowie uwzględnienia wniosku skarżącej, wskazał art. 23 ust. 1 pkt 2- 3 oraz pkt 5 w związku z art. 22 oraz art. 31 ustawy o ochronie danych osobowych. W świetle art. 23 ust. 1 pkt 5 powołanej ustawy, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Za prawnie usprawiedliwiony cel, o którym mowa w ust. 1 pkt 5, uważa się w szczególności dochodzenie roszczeń z tytułu prowadzonej działalności gospodarczej (ust. 4 pkt 2 powołanego artykułu). Zgodnie zaś z art. 31 ust. 1 i 2 tej ustawy, administrator danych może powierzyć innemu podmiotowi, w drodze umowy zawartej na piśmie, przetwarzanie danych. Podmiot taki (zleceniobiorca) może przetwarzać dane wyłącznie w zakresie i celu przewidzianym w umowie. Dokonując wykładni przepisów ustawy o ochronie danych osobowych, należy również wziąć pod uwagę cele i podstawowe założenia tej ustawy, określone w jej art. 1 ust. 2, gdzie podano, że przetwarzanie danych osobowych może mieć miejsce ze względu na dobro publiczne, dobro osoby, której dane dotyczą lub dobro osób trzecich i że należy za każdym razem wyważyć dobra, które legły u jej podstaw. Prawo do ochrony danych osobowych jako jeden z elementów prawa do ochrony własnej prywatności ulega ograniczeniu z uwagi na interes publiczny lub usprawiedliwiony interes innych osób, czyli nie jest to prawo o charakterze absolutnym, jak większość praw chronionych konstytucyjnie. Zasadą wypracowaną przy stosowaniu ustawy o ochronie danych osobowych stało się przetwarzanie danych osobowych za zgodą osoby zainteresowanej, której dane te dotyczą (art. 23 ust. 1 pkt 1 ustawy). Nie oznacza to jednak, iż przesłanka uzyskania zgody na przetwarzanie danych osobowych ma pierwszeństwo stosowania przed innymi przesłankami dopuszczającymi przetwarzanie danych osobowych, wg. określonych ustawowo zawężonych kryteriów, bez zgody osoby zainteresowanej. Przesłanki zawarte w przepisie art. 23 ust. 1 pkt 1-5 ustawy o ochronie danych osobowych są równorzędne, niezależne od siebie i dla przesądzenia o tym, że przetwarzanie danych jest dopuszczalne wystarczy wykazanie zaistnienia jednej z nich. Jak wynika z ustaleń organu i akt sprawy, skarżąca zawarła w dniu [...] sierpnia 2007 r. z [...] S.A. umowę o świadczenie usług telekomunikacyjnych. Bezspornym jest, iż strony tej umowy łączył stosunek zobowiązaniowy na warunkach określonych przez strony w tej umowie i regulaminie, do którego stosowania umowa odsyłała. Posiadanie i przetwarzanie danych osobowych skarżącej przez operatora telekomunikacyjnego było zatem możliwe na skutek udzielenia zgody zainteresowanego wyrażonej w treści umowy oraz zostało usankcjonowane przepisem art. 23 ust. 1 pkt 3 ustawy o ochronie danych osobowych. Następnie przedmiotowa umowa została wypowiedziana przez [...] S. A. w dniu [...] stycznia 2009 r. W ocenie [...] S. A. A. B. nie uiściła należności z tytułu wystawianych przez [...] S. A. faktur za świadczone usługi. Ponadto wskazać należy, że w dniu [...] maja 2007 r. [...] S.A. oraz [...] Sp. z o.o. zawarły umowę zlecenia. Przedmiotem tej umowy było wykonywanie przez [...] Sp. z o.o. czynności prawnych zmierzających do uzyskania należności z tytułu niezapłaconych faktur za świadczone przez [...] S.A. usługi. Umowa ta stanowiła podstawę przekazania [...] Sp. z o.o. przez [...] S.A. danych osobowych A. B. celem podjęcia wobec niej czynności zmierzających do odzyskania wierzytelności powstałych z tytułu niezapłaconych faktur za świadczone usługi. [...] S.A. na podstawie tej umowy udostępniła dane A. B. w zakresie imienia i nazwiska, nr konta klienta, adresu klienta, numerów niezapłaconych faktur wraz z datą ich wystawienia i terminem płatności oraz saldem należności, daty zgłoszenia rozwiązania i zakończenia świadczenia usług, numeru telefonu komórkowego klienta. Umowa w § 3 stanowiła, iż wszystkie dane i dokumenty uzyskane przez zleceniobiorcę w związku z wykonywaniem umowy są ściśle poufne i nie mogą być udostępniane osobom trzecim, a dłużnikowi którego windykowane jest zadłużenie, mogą być udostępnione wyłącznie w zakresie niezbędnym do realizacji windykacji. Ponadto, jak wynika z akt sprawy spółki [...] S. A. oraz [...] Sp. z o.o. łączyła umowa zlecenia zawarta w dniu [...] maja 2007 r., której przedmiotem były działania windykacyjne mające na celu odzyskanie wymagalnych wierzytelności [...] S.A. [...] S.A. na podstawie tej umowy udostępniła dane A. B. w zakresie imienia i nazwiska, nr konta klienta, adresu klienta, numerów niezapłaconych faktur wraz z datą ich wystawienia i terminem płatności oraz saldem należności, daty zgłoszenia rozwiązania i zakończenia świadczenia usług, numeru telefonu komórkowego klienta. W piśmie z dnia 8 kwietnia 2011 r. firma [...] Sp. z o.o. wskazała, iż "na chwilę obecną [...] Sp. z o.o. nie przetwarza danych osobowych A. B.". Ponadto, jak wynika z akt sprawy, dane osobowe A. B. zostały usunięte z baz danych [...] Sp. z o.o. w związku z realizacją postanowień zawartej umowy, bądź na skutek decyzji tego administratora danych. Z kolei spółki [...] S. A. oraz [...] Sp. z o.o. łączy umowa sprzedaży wierzytelności z dnia [...] kwietnia 2010 r., na podstawie której [...] Sp. z o.o. pozyskała dane osobowe A. B., której przedmiotem było "przeniesienie ze Zbywcy (tu: [...] S.A.) na rzecz Nabywcy (tu: [...] Sp. z o.o.) wierzytelności pieniężnych. W wyniku zawarcia tej umowy, nabywca stał się administratorem danych osobowych uzyskanych na podstawie Umowy". Obecnie [...] Sp. z o.o. działa jako administrator danych osobowych swoich dłużników, w tym danych A. B.. Ponadto jak wynika z akt sprawy, [...] S. A. przetwarza dane osobowe A. B.po dacie dokonania cesji wierzytelności w celach rachunkowych i archiwalnych oraz dla zabezpieczenia interesów Spółki na okoliczność ewentualnych roszczeń, których może dochodzić A. B. zgodnie z przepisami ustawy z dnia 23 kwietnia 1964 r. Kodeks cywilny, w związku z realizacją umowy o świadczenie usług telekomunikacyjnych zawartej w dniu [...] sierpnia 2007 r.". Wskazać należy, że Generalny Inspektor Ochrony Danych Osobowych nie jest władny do dokonywania oceny prawidłowości umów cywilnoprawnych i powstałych na jej gruncie sporów, gdyż właściwość rzeczową w podanych zakresie posiadają jedynie sądy powszechne. Organ nie może badać, czy umowa jest ważna i prawnie skuteczna, gdyż w tym przypadku organ administracji publicznej, jakim niewątpliwie jest GIODO, wykraczałby poza swoje ustawowo określone kompetencje. Dla Generalnego Inspektora Ochrony Danych Osobowych zawarta umowa jest czynnością prawną nie podlegającą jego ocenie, wywołującą skutki prawne do czasu, dopóki nie zostanie zakwestionowana w formie i trybie przewidzianym przez prawo. Rolą organu ochrony danych osobowych w niniejszym postępowaniu było ustalenie, czy istnieją podstawy do przetwarzania danych osobowych skarżącej bez jej zgody w zaistniałym stanie faktycznym i prawnym. Organ zasadnie przyjął, iż w tym przypadku wierzyciel - [...] S.A. wykazała powstanie zadłużenia po stronie skarżącej wynikające z realizacji umowy o świadczenie usług telekomunikacyjnych, a to oznacza, że organ zasadnie stwierdził, iż przetwarzanie danych osobowych przez [...] S.A., jak i w dalszym czasie przez inne podmioty, na podstawie stosownych umów (szczegółowo opisanych na str. 3 i 4 uzasadnienia) w zakresie podejmowania czynności obejmujących pozyskanie długu, było podyktowane prawnie uzasadnionym celem - dochodzeniem roszczeń z tytułu prowadzonej dzielności gospodarczej. W zaistniałej sytuacji przetwarzanie danych osobowych skarżącej bez jej zgody posiada oparcie w przepisie art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych. Natomiast zawarcie przez [...] S.A. stosownych umów z ww. podmiotami do przetwarzania danych skarżącej, w celu dochodzenia roszczeń pieniężnych oraz prowadzenia windykacji, w zakresie obejmującym: nr konta abonenckiego, imię i nazwisko dłużnika, PESEL, dane adresowe, nr telefonu, datę wystawienia płatności i nr faktury oraz kwotę nieuregulowanych należności, zostało zalegalizowane granicami wyznaczonymi przepisem art. 31 ust. 1 i 2 powołanej ustawy. Podkreślić należy, że administrator danych, którym w myśl art. 7 pkt 4 ustawy o ochronie danych osobowych jest podmiot decydujący o celach i środkach przetwarzania danych osobowych, może przetwarzać przedmiotowe dane sam albo powierzyć to innemu podmiotowi. Powierzenie przetwarzania danych dokonane przez administratora na podstawie umowy powierzenia, o której mowa w art. 31 ustawy, nie wymaga uzyskania zgody osoby, której dane dotyczą. Wskazania wymaga, iż ustawa o ochronie danych osobowych nie ogranicza swobody prowadzenia działalności gospodarczej przez przedsiębiorców. Zawarcie umowy przelewu wierzytelności wywołuje skutki prawne regulowane zarówno przepisami Kodeksu cywilnego, jak i przepisami ustawy o ochronie danych osobowych. Ocena dopuszczalności, skuteczności, czy też ważności umowy przelewu należy do sądów powszechnych, ewentualnie w niektórych jej aspektach, może być również przedmiotem zainteresowania Prezesa Urzędu Ochrony Konkurencji i Konsumentów. Jest to aspekt cywilnoprawny tej sprawy, który nie może być przedmiotem zainteresowań organu administracji publicznej. Zadanie organu ograniczało się zatem do zbadania w toku postępowania, czy w wyniku zawartej umowy cywilnoprawnej [...] S.A. mogła udostępnić dane osobowe skarżącej, zgodnie z przepisami ustawy o ochronie danych osobowych. Generalny Inspektor Ochrony Danych Osobowych wykazał w toku prowadzonego postępowania, iż podjęte przez [...] S.A. działania, w zakresie dokonania cesji wierzytelności, nie pozostawały w sprzeczności z postanowieniami ustawy o ochronie danych osobowych. Słusznie organ stwierdził, iż dokonanie przelewu wierzytelności nierozerwalnie związane jest z przekazaniem danych osobowych dłużnika. Zgodnie z art. 509 § 2 k.c. wraz z wierzytelnością przechodzą na nabywcę wszelkie związane z nią prawa, a więc i prawo do dysponowania danymi osobowymi dłużnika w celu realizacji długu. Nabywca wierzytelności, poprzez dokonaną czynność cywilnoprawną, staje się samoistnym posiadaczem danych osobowych dłużnika. Staje się zatem administratorem danych osobowych i przetwarza dane osobowe na własny rachunek i ryzyko. Korzysta z takich samych praw i obowiązków w zakresie przetwarzania danych osobowych jakie przysługiwało poprzedniemu administratorowi danych. Mając na uwadze powyższe, na podstawie art. 151 ustawy - Prawo o postępowaniu przed sądami administracyjnymi, należało orzec jak w sentencji.