II SA/Wa 1496/21

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Agnieszka Góra-Błaszczykowska, Sędzia WSA Iwona Maciejuk (spr.), Sędzia WSA Tomasz Szmydt, Protokolant starszy referent Magdalena Frąckiewicz po rozpoznaniu na rozprawie w dniu 9 marca 2022 r. sprawy ze skargi P. sp. z o.o. z siedzibą w W. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] lutego 2021 r. nr [...] w przedmiocie obowiązku informacyjnego oddala skargę Prezes Urzędu Ochrony Danych Osobowych decyzją z dnia [...] lutego 2021 r. nr [...], na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2020 r. poz. 256), zwanej dalej k.p.a., art. 160 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781), art. 18 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r., poz. 922) w zw. z art. 15 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 04.05.2016, str. 1, ze zmianą ogłoszoną w Dz. Urz. UE L 127 z 23.05.2018, str. 2), zwanego dalej RODO, po przeprowadzeniu postępowania administracyjnego w sprawie skargi T. B., na niewypełnienie wobec niego obowiązku informacyjnego z art. 33 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.U. 2016 r. poz. 922 ze zm.) przez P[...] Sp. z o.o. z siedzibą w W., nakazał P[...] Sp. z o.o. z siedzibą w W. podanie informacji T. B. (organ podał adres zamieszkania wymienionego), wskazujących cele przetwarzania jego danych osobowych, kategorie odnośne danych osobowych, odbiorców i kategorie odbiorców, którym dane osobowe zostały lub zostaną ujawnione, a w szczególności o odbiorcach z państw trzecich lub organizacjach międzynarodowych i wszelkich dostępnych informacjach o źródle danych osobowych. W uzasadnieniu Prezes UODO podał, że do Biura GIODO wpłynęła skarga T. B., zam. w [...] przy wskazanej w decyzji ulicy na niewypełnienie wobec niego obowiązku informacyjnego wynikającego z art. 33 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych przez P[...] Sp. z o.o., z siedzibą w W. Wymieniony wniósł o "nakazanie P[...] Sp. z o.o. wskazania wnioskodawcy: 1) jakie dane osobowe zawiera zbiór, którego częścią są dane osobowe Wnioskodawcy, 2) w jaki sposób zebrano powyższe dane, 3) w jakim celu i zakresie przedmiotowe dane są przetwarzane, 4) w jakim zakresie, kiedy oraz komu dane te zostały udostępnione". Wniósł także o cyt. "o wszczęcie postępowania kontrolnego w celu zweryfikowania poprawności procedur ochrony danych osobowych w P[...] Sp. z o.o., w tym sprawdzenia bezpieczeństwa przetwarzania danych i celu, w jakim są gromadzone". Z akt postępowania administracyjnego wynika, że skarga T. B. wpłynęła do Biura GIODO w dniu 4 sierpnia 2014 r. Prezes UODO wskazał, że ustalił następujące okoliczności faktyczne: 1. Z wyjaśnień Spółki wynika, że wnioskodawca w dniu [...] września 2009 r. zawarł ze Spółką umowę o świadczenie usług telekomunikacyjnych o numerze [...] i na tej podstawie Spółka pozyskała dane osobowe wnioskodawcy na podstawie przepisów ustawy z dnia 16 lipca 2004 r. Prawo telekomunikacyjne (tj. z 2014 r., poz. 243) oraz art. 23 ust. 1 ustawy z dnia 29 sierpnia 1997mr. o ochronie danych osobowych. 2. Spółka przetwarza dane osobowe wnioskodawcy w zbiorze o nazwie "Klient", a zakres pozyskanych danych osobowych obejmował: imiona i nazwisko, datę urodzenia, numer PESEL, adres miejsca zameldowania, adres korespondencyjny, serię i numer dowodu osobistego, numer telefonu podstawowego i numer telefonu kontaktowego oraz dane zawarte w dokumentach potwierdzających możliwość wykonania zobowiązania wobec Spółki wynikającego z zawartej umowy o świadczenie usług telekomunikacyjnych. 3. Spółka przetwarza dane osobowe wnioskodawcy na podstawie Prawa telekomunikacyjnego oraz art. 23 ust. 1 ustawy o ochronie danych osobowych w związku z umową o świadczenie usług telekomunikacyjnych o numerze [...], do której zawarto aneksy w dniu [...] października 2011 r. i [...] września 2013 r. oraz w związku z zawartą pomiędzy Skarżącym a Spółką w dniu [...] grudnia 2010 r. umową o świadczenie usług telekomunikacyjnych o numerze [...], która została przedłużona na podstawie oferty zaakceptowanej w dniu [...] czerwca 2012 r. 4. Pismem z dnia [...] czerwca 2014 r. (data wpływu do Spółki - [...] czerwca 2014 r.) wnioskodawca powołując się na swoje imię i nazwisko oraz wskazując numer PESEL, zwrócił się do Spółki z wnioskiem, w trybie art. 33 ustawy o ochronie danych osobowych, o spełnienie wobec niego obowiązku informacyjnego. Wnioskodawca zwrócił się o udzielenie na piśmie następujących informacji, cyt. "1. Jakimi moimi danymi osobowymi Spółka administruje? 2. Poza zainteresowanym Spółka pozyskała moje dane od innych osób?, jeżeli tak, to od jakich? 3. Czy i komu Spółka udostępniała moje dane osobowe, w szczególności, czy udostępniała moje dane osobowe, w szczególności, czy udostępniała dane na żądanie organów Państwa?, jeżeli tak, to jakie były dane, komu i kiedy były udostępniane?" (dowód: załącznik do skargi z dnia [...] lipca 2014 r. oraz załącznik nr 9 do wyjaśnień Spółki z dnia [...] grudnia 2014 r.). 5. Pismem z dnia [...] czerwca 2014 r. Spółka na powyższe pismo wnioskodawcy wskazała, że złożony wniosek nie zawierał danych umożliwiających weryfikację klienta. Zgodnie ze standardami ochrony danych osobowych abonentów pisemna dyspozycja musi zawierać: numer telefonu lub numer konta oraz hasło abonenckie, pełną nazwę firmy oraz własnoręczny podpis właściciela zgodny ze wzorem widniejącym na umowę. W przypadku braku możliwości wskazania hasła do usług, niezbędne były dane alternatywne: numer PESEL lub numer dowodu osobistego właściciela firmy oraz NIP lub REGON. Wskazano, że przesłana dyspozycja nie zawierała numeru telefonu lub numeru klienta oraz hasła do usług. Wnioskodawca w odpowiedzi na pismo z [...] czerwca 2014 r. swoim data wpływu do Spółki) poinformował Spółkę o obowiązku udzielenia mu odpowiedzi zgodnie z art. 33 ust. 1 ustawy o ochronie danych osobowych. Natomiast Spółka pismem z dnia [...] lipca 2014 r. odmówiła udzielenia odpowiedzi na jego wniosek wskazując, że nie zawierał on danych umożliwiających weryfikację klienta. Spółka podtrzymała swoje wyjaśnienia w dniu [...] kwietnia 2016 r. informując, że nie wypełniła w stosunku do wnioskodawcy obowiązku informacyjnego z art. 33 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, ponieważ pisma wnioskodawcy, w których zwrócił się do Spółki nie zawierały danych umożliwiających weryfikację osoby składającej wniosek o udzielenie informacji. Wskazała, że podstawą odmowy spełnienia obowiązku informacyjnego, jak również pozyskania od wnioskodawcy dodatkowych informacji w celu udzielenia mu wnioskowanych informacji, jest art. 33 i art. 26 ust. 1 ustawy o ochronie danych osobowych. Spółka prosząc wnioskodawcę o podanie dodatkowych informacji chciała upewnić się, że wniosek został złożony przez osobę, której dane dotyczą, jak również, że dane nie zostaną udostępnione osobie nieuprawnionej. Powołała się przy tym na art. 159 ust. 1 i art. 160 ust. 1 i 2 ustawy z dnia 6 lipca 2004 r. Prawo telekomunikacyjne. Prezes UODO rozstrzygając sprawę wskazał m.in., że mając na uwadze, iż postępowanie w niniejszej sprawie zostało wszczęte w trakcie obowiązywania ustawy dnia 29 sierpnia 1997 r. o ochronie danych osobowych Prezes UODO, wydając rozstrzygnięcie w tej sprawie zobowiązany jest uwzględnić zarówno przepisy ustawy, jak i RODO, z uwagi na trwający stan naruszenia. Organ wskazał, że stosownie do art. 33 ust. 1 ustawy na wniosek osoby, której dane dotyczą administrator danych był obowiązany, w terminie 30 dni, poinformować o przysługujących jej prawach oraz udzielić, odnośnie jej danych osobowych, informacji, o których mowa w art. 32 ust. 1 pkt 1 - 5a ustawy, a w szczególności podać w formie zrozumiałej: jakie dane osobowe zawierał zbiór, w jaki sposób zebrano dane, w jakim celu i zakresie dane były przetwarzane, w jakim zakresie oraz komu dane zostały udostępnione. Komentowany przepis pozostawał w związku z art. 32 ustawy, który przewidywał, iż osoba, której dane dotyczą mogła domagać się od administratora danych udzielenia jej określonych informacji. Zgodnie, z ust. 1 tego przepisu, każdej osobie przysługiwało prawo do kontroli przetwarzania danych, które jej dotyczą, zawartych w zbiorach danych, a zwłaszcza prawo do: uzyskania wyczerpującej informacji, czy taki zbiór istnieje, oraz do ustalenia administratora danych, adresu jego siedziby i pełnej nazwy, a w przypadku gdy administratorem danych jest osoba fizyczna - jej miejsca zamieszkania oraz imienia i nazwiska (pkt 1), uzyskania informacji o celu, zakresie i sposobie przetwarzania danych zawartych w takim zbiorze (pkt 2), uzyskania informacji, od kiedy przetwarza się w zbiorze dane jej dotyczące, oraz podania w powszechnie zrozumiałej formie treści tych danych (pkt 3), uzyskania informacji o źródle, z którego pochodzą dane jej dotyczące, chyba że administrator danych jest zobowiązany do zachowania w tym zakresie tajemnicy państwowej, i służbowej lub zawodowej (pkt 4), uzyskania informacji o sposobie udostępniania danych, a w szczególności informacji o odbiorcach lub kategoriach odbiorców, którym dane te są udostępniane (pkt 5), uzyskania informacji o przesłankach podjęcia rozstrzygnięcia, o którym mowa w art. 26a ust. 2 (pkt 5a) ustawy. Według Prezesa UODO, w przedmiotowej sprawie wnioskodawca, wystąpił do Spółki z pismem spełniającym wymogi wniosku z art. 33 ustawy. Organ wskazał, że wnioskodawca pismami z [...] czerwca 2014 r. i [...] lipca 2014 r. adresowanymi do Spółki, powołując się na przysługujące każdej osobie, zgodnie z ustawą o ochronie danych osobowych, prawo do kontroli przetwarzania danych, które jej dotyczą, zwrócił się do Spółki o udzielenie informacji m.in. dotyczącej danych podmiotów, którym Spółka udostępniła dane osobowe wnioskodawcy. W odpowiedzi na pisma organu wzywające do wyjaśnień Spółka wyjaśniła Prezesowi UODO komu może zgodnie z prawem przekazywać dane osobowe wnioskodawcy (wymieniła podmioty działające w oparciu o przepisy prawa), ale nie odpowiedziała komu faktycznie dane te przekazała, co z punktu widzenia należytego zrealizowania obowiązku informacyjnego wobec wnioskodawcy jest elementem kluczowym. Organ wskazał, że Spółka odmawiając realizacji wniosku o spełnienie obowiązku informacyjnego z art. 33 ustawy (obecnie art. 15 RODO) powołała się na brak możliwości identyfikacji wnioskodawcy jako klienta ich usług, powołała się także na ochronę tajemnicy telekomunikacyjnej Spółki, nie dostrzegając, że wnioskodawca w piśmie z [...] czerwca 2014 r. podał wymagane przez Spółkę dane, które służyły jego pełnej identyfikacji (imię, nazwisko, numer PESEL). Prezes UODO wskazał, że skoro wnioskodawca złożył wniosek, w którym przywołał treść art. 33 ustawy, to Spółka jako administrator danych osobowych była zobowiązana do udzielenia mu pełnej informacji na temat przetwarzanych danych w granicach wyznaczonych przez art. 32 ust. 1 pkt l-5a ustawy, a co za tym idzie podania wnioskodawcy w powszechnie zrozumiałej formie informacji o przetwarzanych danych osobowych. W aktualnym stanie prawnym spełnienie obowiązku informacyjnego na wniosek osoby, której dane dotyczą znajduje odzwierciedlenie w art. 15 ust. 1 RODO. Przepis ten stanowi, że osoba, której dane dotyczą, jest uprawniona do uzyskania od administratora potwierdzenia, czy przetwarzane są dane osobowe jej dotyczące, a jeżeli ma to miejsce, jest uprawniona do uzyskania dostępu do nich. Tak więc stan naruszenia przez Spółkę przepisów o ochronie danych osobowych nadal ma miejsce, gdyż obowiązek wobec wnioskodawcy nie został przez nią spełniony pomimo, że w niniejszej sprawie dysponowała danymi identyfikującymi wnioskodawcę (posiadała je w związku z wniesionym przez wnioskodawcę pismem z dnia [...] czerwca 2014 r., w którym to wnioskodawca podał swoje imię i nazwisko oraz numer identyfikacyjny PESEL). Jeżeli zatem osoba, której dane dotyczą dostarczyła dodatkowe informacje pozwalające ją zidentyfikować. Spółka, jako administrator danych, nie mogła odmówić podjęcia działań na żądanie tej osoby. Organ wskazał, że obecnie odpowiednikiem wnioskowanych informacji w granicach wyznaczonych przez art. 32 ust. 1 pkt l-5a ustawy (zrealizowania obowiązku informacyjnego) jest konieczność udzielenia wnioskodawcy informacji w myśl art. 15 ust. 1 lit. a RODO (o celach przetwarzania), lit. b (kategoriach odnośnych danych osobowych), lit. c (informacji o odbiorcach lub kategoriach odbiorców, którym dane osobowe zostały łub zostaną ujawnione, a w szczególności o odbiorcach w państwach trzecich lub organizacjach międzynarodowych), lit. g (wszelkich dostępnych informacjach o źródle danych osobowych). Prezes UODO stwierdził, że Spółka miała obowiązek zrealizować w całości obowiązek informacyjny wobec wnioskodawcy w oparciu o art. 33 ust. 1 ustawy i z uwagi na istniejący stan naruszenia oraz treść art. 15 RODO, ma obowiązek poinformowania wnioskodawcy o sposobie udostępniania jego danych osobowych, w tym o podmiotach, którym Spółka udostępniła jego dane osobowe. W przedmiotowej sprawie Spółka nie udzieliła wnioskodawcy wnioskowanych przez niego informacji, mimo że żądanie Skarżącego w ww. zakresie było uprawnione, a nie zostało spełnione. Spółka winna zatem niezwłocznie usunąć uchybienia w procesie przetwarzania danych osobowych wnioskodawcy, stosownie do nakazu sformułowanego w niniejszej decyzji. Niniejszy organ skorzystał zatem z uprawnienia przewidzianego w art. 18 ust. 1 ustawy i nakazał wykonanie ww. obowiązku. W odniesieniu do żądania wnioskodawcy w przedmiocie przeprowadzenia kontroli przez Prezesa UODO, organ wskazał, że kontrola zgodności przetwarzania danych z przepisami o ochronie danych osobowych jest podejmowana na podstawie autonomicznej decyzji Prezesa UODO, a zatem nie jest realizowana na wniosek osoby zainteresowanej. Decyzja Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] lutego 2021 r. nr [...] stała się przedmiotem skargi P[...] Sp. z o.o. z siedzibą w W., reprezentowanej przez radcę prawnego, do Wojewódzkiego Sądu Administracyjnego w Warszawie. Pełnomocnik wnosząc o uchylenie zaskarżonej decyzji i zasądzenie, na podstawie art. 200 P.p.s.a., zwrotu kosztów postępowania według norm przepisanych zarzucił: - naruszenie przepisów postępowania, które mogło mieć istotny wpływ na wynik sprawy, tj. art. 7 w zw. z art. 77 § 1 w zw. z art. 107 § 3 k.p.a. poprzez niepodjęcie wszelkich czynności niezbędnych do dokładnego wyjaśnienia stanu faktycznego, a w szczególności poprzez brak ustalenia okoliczności przemawiających za tym, że skarżący nie może podać wskazanych żądanych informacji bez prawidłowej weryfikacji osoby zgłaszającej żądanie, - naruszenie przepisów prawa materialnego, tj. art. 32 RODO oraz art. 174 ustawy z dnia 16 lipca 2004 r. Prawo telekomunikacyjne (tekst jednolity Dz. U. z 2019 r., poz. 2460 z późn. zm.), przez błędną ich wykładnię, zgodnie z którymi skarżący jako administrator i dostawca publicznie dostępnych usług telekomunikacyjnych jest obowiązany przestrzegać i wdrożyć odpowiednie techniczne i organizacyjne środki ochrony zapewniające bezpieczeństwo przetwarzania danych osobowych, w szczególności chroniące dane przed przypadkowym lub niezgodnym z prawem zniszczeniem, utratą, modyfikacją, nieuprawnionym ujawnieniem lub nieuprawnionym dostępem do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych. W uzasadnieniu pełnomocnik Spółki przedstawił okoliczności faktyczne sprawy. Wskazał, jakie obowiązki, zgodnie z art. 179, 180a, 180c, 180d Prawa telekomunikacyjnego spoczywają na przedsiębiorcy telekomunikacyjnym. Powołał się też na art. 7 pkt 6 lit. e i art. 4 pkt 9 RODO. Pełnomocnik wskazał, że nie przesądzając, czy Skarżący udostępnił dane podmiotom i w zakresie określonym pismach z Załącznika nr 4 i Załącznika nr 6 do skargi, to biorąc pod uwagę przepisy dotyczące realizacji prawa do informacji podmiotów danych (czyli art. 32 ust. 1 i art. 33 uodo oraz art. 15 ust. 1 RODO) oraz przywołane powyżej przepisy dotyczące odbiorców danych, nie było i nadal nie ma podstawy prawnej do udzielenia Klientowi przez Skarżącego informacji o odbiorcach lub kategoriach odbiorców, którym dane osobowe zostały ewentualnie ujawnione, żądanych w wymienionych pismach. Skarżący pismem z dnia 11 kwietnia 2016 r. poinformował organ, że nie wypełnił w stosunku do klienta obowiązku informacyjnego z art. 33 uodo, ponieważ pisma klienta, w których zwrócił się do skarżącego, nie zawierały wystarczających danych umożliwiających weryfikację i uwierzytelnienie osoby składającej pisemny wniosek o udzielenie informacji. Zgodnie z obowiązującą w Spółce procedurą uwierzytelnienia klienta biznesowego prowadzącego działalność gospodarczą weryfikacja wniosków złożonych w formie pisemnej obejmuje: - numer telefonu/usługi lub numer klienta (konta abonenckiego) oraz hasło abonenckie; - nazwę firmy, na którą zarejestrowana jest usługa; - podpis właściciela firmy. Możliwa jest również weryfikacja alternatywna, w której wymagane jest podanie numeru PESEL lub numeru dowodu osobistego oraz numeru NIP lub REGON. Powyższa procedura, zdaniem skarżącego, była (w czasie składania wniosków) i jest wypełnieniem obowiązków wynikających odpowiednio z: a) art. 26 ust. 1 uodo i art. 160 ust. 1 P.t.; b) art. 32 RODO oraz art. 160 ust. 1 P.t. i art. 1741 pkt 2) P.t.; tj. dołożenia szczególnej staranności w celu ochrony interesów osób, których dane dotyczą, zachowania należytej staranności przy zabezpieczaniu zbiorów danych przed ujawnieniem tajemnicy telekomunikacyjnej oraz wdrożenia odpowiednich technicznych i organizacyjnych środków ochrony zapewniających bezpieczeństwo przetwarzania danych osobowych, w szczególności chroniących dane przed przypadkowym lub niezgodnym z prawem zniszczeniem, utratą, modyfikacją, nieuprawnionym ujawnieniem lub nieuprawnionym dostępem do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych. Pełnomocnik wskazał, że zgodnie z Regulaminem świadczenia Usług Telekomunikacyjnych dla Abonentów par. 9 pkt 13 "W celu zapewnienia należytego poziomu bezpieczeństwa przechowywanych danych Abonenta i innych danych Operator zastrzega sobie prawo do identyfikacji Abonenta podczas kontaktu Abonenta z Operatorem." oraz zgodnie z par. 15 "4. Autoryzacja Abonentów jest dokonywana za pośrednictwem Hasła, weryfikacji okazanego dokumentu tożsamości lub na podstawie danych Abonenta zgodnych z zawartą Umową. 5. Jeżeli dane Abonenta zawarte w zgłoszeniu nie są wystarczające do identyfikacji lub poprawnego obsłużenia zgłoszenia Abonenta Operator zastrzega sobie prawo do telefonicznej weryfikacji danych Abonenta. 6. Operator zastrzega sobie możliwość żądania dodatkowych dokumentów, jeżeli tożsamość Abonenta budzi wątpliwości. Prawidłowa autoryzacja jest warunkiem realizacji obsługi Abonenta przez Obsługę Klienta." Pełnomocnik wskazał, że podane przez Klienta dane w piśmie z [...] czerwca 2014 r. nie umknęły uwadze Spółki i zgadza się ona z tym, że dane te są wystarczające do zidentyfikowania w bazie danych klientów podmiotu danych, którego dotyczy wniosek. Skarżący nie może jednak się zgodzić, że dane takie jak imię, nazwisko i numer PESEL są wystarczające do jednoznacznej identyfikacji, czy wnioskodawca jest osobą, za którą się w przesłanych pismach podaje. Pełnomocnik dodał, że numer PESEL jest podstawową daną dotyczącą osoby fizycznej wykorzystywaną w obrocie gospodarczym, w szczególności przy zawieraniu przez osoby fizyczne rożnego typu umów np. na usługi finansowe, ubezpieczeniowe, telekomunikacyjne, turystyczne, itp., a w odniesieniu do niektórych osób daną publicznie dostępną (np. w Krajowym Rejestrze Sądowym). Pełnomocnik zwrócił uwagę na fakt, iż skarżący nie miał i nie ma dostępu do jakiegokolwiek rejestru umożliwiającego weryfikację informacji o liczbie osób w Polsce posiadających konkretne imię i nazwisko. Pełnomocnik podkreślił, że podstawą odmowy spełnienia wobec Klienta obowiązku informacyjnego, jak również pozyskania od klienta dodatkowych informacji w celu udzielenia mu wnioskowanych informacji, był art. 33 ust. 1 i art. 26 ust. 1 uodo. Skarżący prosząc klienta o podanie dodatkowych informacji chciał upewnić się, że wniosek został złożony przez osobę, której dane dotyczą, jak również, że dane nie zostaną udostępnione osobie nieuprawnionej. Powyższe zapisy są zgodne z aktualnymi przepisami prawa, w szczególności art. 15 i art. 12 RODO. Pełnomocnik wskazał, że dostawca usług telekomunikacyjnych, którym jest skarżący, jako uczestnik rynku telekomunikacyjnego, zobowiązany jest do dołożenia szczególnej staranności przy weryfikacji tożsamości zarówno abonentów, potencjalnych abonentów czy też jak w przypadku osób prawnych - osób reprezentujących abonenta, a także osób składających wnioski lub żądania. Służy to przede wszystkim interesom abonentów z uwagi na dużą liczbę nadużyć związanych z wykorzystywaniem danych osobowych osób trzecich do zaciągania zobowiązań w imieniu klientów, a także możliwością udostępnienia lub ujawnienia niewłaściwej lub nieuprawnionej osobie danych objętych tajemnicą telekomunikacyjną. Dodatkowo dostawca usług telekomunikacyjnych musi wykazać szczególną dbałość o poprawność procesu identyfikacji osób fizycznych, gdyż naruszenia bezpieczeństwa danych są penalizowane zarówno na podstawie P.t., jak też na podstawie RODO. Wskazano, że ze względu na ogromną odpowiedzialność regulacyjną w zakresie ochrony tajemnicy telekomunikacyjnej. Skarżący nie może pozwolić sobie na nierzetelną weryfikację klientów, a także osób składających wnioski lub żądania. W ocenie Skarżącego najistotniejszą kwestią w przedmiotowym przypadku, jest rozstrzygnięcie, czy organ prawidłowo uznał zakres danych podanych przez Klienta, jako wystarczający do stwierdzenia, iż jest on osobą, za którą się podaje i uprawnia dostawcę usług telekomunikacyjnych do przekazania mu danych objętych ochroną. Prezes Urzędu Ochrony Danych Osobowych w odpowiedzi na skargę wniósł o jej oddalenie, podtrzymując stanowisko zawarte w zaskarżonej decyzji. Prezes Urzędu Ochrony Danych Osobowych wskazał jednocześnie, że podziela stanowisko Spółki, że zgodnie z powołanymi przez Spółkę przepisami art. 32 RODO w zw. z art. 1741 Prawa telekomunikacyjnego, Spółka jako administrator i dostawca publicznie dostępnych usług telekomunikacyjnych jest obowiązany przestrzegać i wdrożyć odpowiednie techniczne i organizacyjne środki ochrony zapewniające bezpieczeństwo przetwarzania danych osobowych, w szczególności chroniące dane przed przypadkowym lub niezgodnym z prawem zniszczeniem, utratą, modyfikacją, nieuprawnionym ujawnieniem lub nieuprawnionym dostępem do danych osobowych przesyłanych, przechowywanych lub w inny sposób przetwarzanych. Podkreślił jednak, że realizacja powyższych obowiązków nie może powodować ograniczenia realizacji przez osoby których dane dotyczą praw przysługujących im na mocy RODO. Wskazał, że w myśl art. 12 ust, 2 RODO, administrator ułatwia osobie, której dane dotyczą, wykonanie praw przysługujących jej na mocy art. 15-22 RODO. Jak stanowi natomiast art. 12 ust. 6 RODO, bez uszczerbku dla art. 11, jeżeli administrator ma uzasadnione wątpliwości co do tożsamości osoby fizycznej składającej żądanie, o którym mowa w art. 15-21, może zażądać dodatkowych informacji niezbędnych do potwierdzenia tożsamości osoby, której dane dotyczą. W niniejszej sprawie, w ocenie Prezesa Urzędu Ochrony Danych Osobowych, administrator nie wykazał, aby dane wnioskodawcy którymi dysponował, w tym jego imię, nazwisko oraz numer PESEL, były niewystarczające do jednoznacznej identyfikacji tożsamości wnioskodawcy. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje. Skarga nie podlegała uwzględnieniu. W ocenie Sądu, organ nie naruszył w tej sprawie przepisów k.p.a., w tym powołanych w skardze przepisów art. 7, art. 77 § 1 i art. 107 § 3 k.p.a., w stopniu, który miałby wpływ na wynik sprawy. W sprawie nie ma przy tym mowy o naruszeniu art. 32 RODO w zw. z art. 1741 ustawy Prawo telekomunikacyjne, albowiem organ nie dokonywał w tej sprawie generalnej oceny wdrożenia przez Spółkę środków technicznych i organizacyjnych mających zapewnić stopień bezpieczeństwa odpowiadający ryzyku przetwarzania danych, o czym jest mowa w art. 32 RODO, a rozstrzygał, czy Spółka powinna wypełnić wobec wnioskodawcy, który się do niej zwrócił z żądaniem, obowiązek informacyjny, o którym aktualnie mowa w art. 15 RODO (wcześniej art. 33 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych). Choć zdaniem Sądu Prezes UODO w decyzji nie w pełni przedstawił stan faktyczny sprawy, albowiem nie wskazał wprost, że wnioskodawca zwrócił się do Spółki o udzielenie informacji na podstawie art. 33 ustawy z dnia 29 sierpnia 1997 r., jako osoba fizyczna prowadząca działalność gospodarczą, uchybienie to nie wpływa na wynik sprawy. Ustalenie to bowiem wynika wprost ze zgromadzonego w aktach postępowania administracyjnego materiału dowodowego (v. m.in. pisma Spółki do wnioskodawcy z dnia [...] czerwca 2014 r., z dnia [...] lipca 2014 r.), (v. pismo wnioskodawcy do Spółki z dnia [...] czerwca 2014 r.). Nadto, przede wszystkim znajdujący się w aktach postępowania administracyjnego aneks do umowy o świadczenie usług telekomunikacyjnych z dnia [...] września 2013 r. wskazuje, że stroną umowy ze Spółką był wnioskodawca jako osoba fizyczna prowadząca działalność gospodarczą (Formuła dla Firm). Klient zaakceptował, jak wynika z tego materiału dowodowego Regulamin Świadczenia Usług Telekomunikacyjnych przez P[...] Sp. z o.o., Cennik i Regulamin Promocji oraz oświadczył, że otrzymał te dokumenty. Zgodnie z art. 33 ust. 1 ustawy z dnia 29 sierpnia 1997 r., na wniosek osoby, której dane dotyczą, administrator danych jest obowiązany, w terminie 30 dni, poinformować o przysługujących jej prawach oraz udzielić, odnośnie do jej danych osobowych, informacji, o których mowa w art. 32 ust. 1 pkt 1-5a. Zgodnie z ust. 2 art. 33 tej ustawy, na wniosek osoby, której dane dotyczą, informacji, o których mowa w ust. 1, udziela się na piśmie. Stosownie do art. 32 ust. 1 ustawy, każdej osobie przysługuje prawo do kontroli przetwarzania danych, które jej dotyczą, zawartych w zbiorach danych, a zwłaszcza prawo do: 1) uzyskania wyczerpującej informacji, czy taki zbiór istnieje, oraz do ustalenia administratora danych, adresu jego siedziby i pełnej nazwy, a w przypadku gdy administratorem danych jest osoba fizyczna - jej miejsca zamieszkania oraz imienia i nazwiska; 2) uzyskania informacji o celu, zakresie i sposobie przetwarzania danych zawartych w takim zbiorze; 3) uzyskania informacji, od kiedy przetwarza się w zbiorze dane jej dotyczące, oraz podania w powszechnie zrozumiałej formie treści tych danych; 4) uzyskania informacji o źródle, z którego pochodzą dane jej dotyczące, chyba że administrator danych jest zobowiązany do zachowania w tym zakresie w tajemnicy informacji niejawnych lub zachowania tajemnicy zawodowej; 5) uzyskania informacji o sposobie udostępniania danych, a w szczególności informacji o odbiorcach lub kategoriach odbiorców, którym dane te są udostępniane; 5a) uzyskania informacji o przesłankach podjęcia rozstrzygnięcia, o którym mowa w art. 26a ust. 2; Zgodnie zaś z art. 15 RODO, 1 osoba, której dane dotyczą, jest uprawniona do uzyskania od administratora potwierdzenia, czy przetwarzane są dane osobowe jej dotyczące, a jeżeli ma to miejsce, jest uprawniona do uzyskania dostępu do nich oraz następujących informacji: a) cele przetwarzania; b) kategorie odnośnych danych osobowych; c) informacje o odbiorcach lub kategoriach odbiorców, którym dane osobowe zostały lub zostaną ujawnione, w szczególności o odbiorcach w państwach trzecich lub organizacjach międzynarodowych; d) w miarę możliwości planowany okres przechowywania danych osobowych, a gdy nie jest to możliwe, kryteria ustalania tego okresu; e) informacje o prawie do żądania od administratora sprostowania, usunięcia lub ograniczenia przetwarzania danych osobowych dotyczącego osoby, której dane dotyczą, oraz do wniesienia sprzeciwu wobec takiego przetwarzania; f) informacje o prawie wniesienia skargi do organu nadzorczego; g) jeżeli dane osobowe nie zostały zebrane od osoby, której dane dotyczą - wszelkie dostępne informacje o ich źródle; h) informacje o zautomatyzowanym podejmowaniu decyzji, w tym o profilowaniu, o którym mowa w art. 22 ust. 1 i 4, oraz - przynajmniej w tych przypadkach - istotne informacje o zasadach ich podejmowania, a także o znaczeniu i przewidywanych konsekwencjach takiego przetwarzania dla osoby, której dane dotyczą. W sprawie tej samo istnienie obowiązku informacyjnego spoczywającego na Spółce nie było przez ten podmiot kwestionowane. Istota sporu sprowadzała się do kwestii zakresu danych podanych przez wnioskodawcę, które zdaniem Spółki nie były wystarczające do zweryfikowania wnioskodawcy jako klienta spółki, którego dane dotyczą. Sąd, biorąc pod uwagę art. 1741 Prawa telekomunikacyjnego, stanowiący o obowiązku zapewnienia bezpieczeństwa przetwarzania danych osobowych, nie kwestionuje twierdzeń Spółki, że jest obowiązana do zapewnienia, aby dane nie zostały ujawnione nieuprawnionym osobom. Również Prezes UODO powyższego nie kwestionował. Zgodnie bowiem z powołanym przepisem, dostawca publicznie dostępnych usług telekomunikacyjnych obowiązany jest wdrożyć odpowiednie techniczne i organizacyjne środki ochrony zapewniające bezpieczeństwo przetwarzania danych osobowych. Niezależnie od wymogów wskazanych w RODO, środki ochrony co najmniej: 1) zapewniają, aby dostęp do danych osobowych miała osoba posiadająca pisemne upoważnienie wydane przez administratora danych, oraz 2) chronią przechowywane lub przekazywane dane osobowe przed przypadkowym lub bezprawnym zniszczeniem, przypadkową utratą lub zmianą oraz nieuprawnionym lub bezprawnym przechowywaniem, przetwarzaniem, dostępem lub ujawnieniem, oraz 3) zapewniają wdrożenie polityki bezpieczeństwa w odniesieniu do przetwarzania danych osobowych. Obowiązek "uwierzytelnienia" klienta zwracającego się z żądaniem wypełnienia obowiązku informacyjnego, rozumianego jako przedstawienie przez tego klienta takich danych, które pozwolą przyjąć, że o informacje z art. 32 ustawy (art. 15 RODO) wystąpiła faktycznie osoba, której dane dotyczą, jest więc uzasadniony. W ocenie Sądu również sam zakres żądanych przez Spółkę od wnioskodawcy danych, pozwalających na ustalenie, że z żądaniem wystąpiła osoba, której dane dotyczą, nie był w tej sprawie nadmiarowy. Zresztą, nie stwierdził tego również Prezes UODO. Wnioskodawca żądając wypełnienia przez Spółkę obowiązku informacyjnego nie przedstawił numeru telefonu (a zatem podstawowej danej w związku z świadczoną usługą) lub numeru klienta oraz hasła do usług (v. pismo Spółki do wnioskodawcy z dnia [...] czerwca 2014 r.). Wskazywanie przez Spółkę wnioskodawcy w odpowiedzi na jego wniosek, że pisemna dyspozycja musi zawierać numer telefonu lub numer konta oraz hasło abonenckie, pełną nazwę firmy oraz własnoręczny podpis właściciela zgodny ze wzorem widniejącym na umowie, a w przypadku braku możliwości wskazania hasła do usług, podanie numeru PESEL lub numeru dowodu osobistego właściciela firmy oraz nip lub regon (pismo z dnia [...] lipca 2014 r.), nie stanowiła zatem zdaniem Sądu nieuprawnionego działania. Tym niemniej, niezależnie od powyższego, w stanie faktycznym tej sprawy Sąd nie znalazł podstaw do uchylenia zaskarżonej decyzji, przyjmując, że wnioskodawca, jak wskazał Prezes UODO w decyzji "w piśmie z dnia 11 czerwca 2014 r. podał wymagane przez Spółkę dane, które służyły jego pełnej identyfikacji (imię, nazwisko, numer PESEL)". Odnosząc się do ustaleń Prezesa UODO w tym zakresie, na podstawie znajdującego się w aktach postępowania administracyjnego pisma wnioskodawcy z dnia [...] czerwca 2014 r. do Spółki, wskazania wymaga, że wnioskodawca podał nie tylko imię i nazwisko, ale pełną nazwę firmy, która jest stroną umowy, wraz z adresem (adres ten widnieje również w aneksie do umowy o świadczenie usług telekomunikacyjnych dla osób indywidualnych prowadzących działalność gospodarczą z dnia [...] września 2013 r.), podał swój numer PESEL, który jest zgodny z numerem PESEL widniejącym na wskazanym aneksie do umowy, podał numer telefonu (stacjonarny) i numer faksu, a także złożył podpis, który pozwalał na jego zweryfikowanie z podpisem złożonym na aneksie. Spółka w toku całego postępowania przed Prezesem UODO nie wykazała, aby wnioskodawca nie był osobą, za którą się podaje, nadto nie stwierdziła, że ma choćby minimalne wątpliwości w tym zakresie i nie podała na czym ewentualnie je opiera. W tym stanie faktycznym Sąd przyjął, że Prezes UODO miał podstawy, aby wydać wobec Spółki nakaz zawarty w rozstrzygnięciu decyzji. Obowiązek informacyjny nie został bowiem spełniony. Osoba, której dane dotyczą ma zaś prawo do uzyskania informacji, o których mowa w art. 15 RODO Z tych względów, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz. U. z 2022 r., poz. 329), orzekł jak w wyroku.