II SA/Wa 517/16

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Olga Żurawska-Matusiak, Sędziowie WSA Danuta Kania (sprawozdawca), Ewa Marcinkowska, Protokolant spec. Ewa Kielak, po rozpoznaniu na rozprawie w dniu 8 listopada 2016 r. sprawy ze skargi [...] z siedzibą w [...] na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] stycznia 2016 r. nr [...] w przedmiocie przetwarzania danych osobowych 1. uchyla zaskarżoną decyzję oraz poprzedzającą ją decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] listopada 2015 r. nr [...], 2. zasądza od Generalnego Inspektora Ochrony Danych Osobowych na rzecz strony skarżącej [...]. z siedzibą w [...] kwotę 697 (słownie: sześćset dziewięćdziesiąt siedem) złotych tytułem zwrotu kosztów postępowania Generalny Inspektor Ochrony Danych Osobowych (dalej: "Generalny Inspektor", "GIODO") decyzją z dnia [...] listopada 2015 r. nr [...], powołując w podstawie prawnej art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (Dz. U. z 2013 r., poz. 267 ze zm.), dalej: "k.p.a.", art. 12 pkt 2, art. 18 ust. 1 pkt 1, art. 22 w zw. z art. 26 ust. 1 pkt 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2014 r., poz. 1182 ze zm.), dalej: "u.o.d.o.", art. 161 ust. 3 w zw. z art. 174 ustawy z dnia 16 lipca 2004r. Prawo telekomunikacyjne (Dz. U. z 2014 r., poz. 243 ze zm.), nakazał [...] S.A. z siedzibą w [...] przy ul. [...] (dalej: "[...] S.A.", "Spółka") przywrócenie stanu zgodnego z prawem poprzez zaprzestanie przetwarzania bez podstawy prawnej, tj. zgody, o której mowa w art. 161 ust. 3 ustawy Prawo telekomunikacyjne, zgodnie z którym oprócz danych, o których mowa w art. 161 ust. 2, dostawca publicznie dostępnych usług telekomunikacyjnych może, za zgodą użytkownika będącego osobą fizyczną, przetwarzać inne dane tego użytkownika w związku ze świadczoną usługą, w szczególności numer konta bankowego lub karty płatniczej, a także adres poczty elektronicznej oraz numery telefonów kontaktowych, spełniającej wymogi określone w art. 174 pkt 1 ww. ustawy, w myśl którego, jeżeli przepisy ustawy Prawo telekomunikacyjne wymagają wyrażenia zgody przez abonenta lub użytkownika końcowego, zgoda ta nie może być domniemana lub dorozumiana z oświadczenia woli o innej treści, danych osobowych użytkowników końcowych w następującym zakresie: kolor oczu, wzrost (w centymetrach), wizerunek twarzy, płeć, adres zameldowania, nazwa organu wydającego dowód osobisty, data wydania i termin ważności dowodu osobistego, podpis, nazwa organu wydającego prawo jazdy, numer prawa jazdy, kategorie prawa jazdy, data wydania i data ważności prawa jazdy, informacje dotyczące należnych kwot składek na ubezpieczenie zdrowotne i społeczne, numer i miejsce oraz data wydania dokumentu stwierdzającego posiadanie kwalifikacji zawodowych dotyczących wykonywania zawodu pielęgniarki/pielęgniarza, numer rejestru pielęgniarek i położnych, data i miejsce wydania zaświadczenia o prawie wykonywania zawodu pielęgniarki/pielęgniarza, nazwa okręgowej izby pielęgniarek i położnych wydającej zaświadczenie o prawie wykonywania zawodu pielęgniarki/pielęgniarza, nazwa banku wydającego kartę płatniczą, numer identyfikacyjny Karty ubezpieczenia zdrowotnego Narodowego Funduszu Zdrowia, nazwa i siedziba operatora telewizji cyfrowej innego niż Spółka oraz wysokość opłacanego abonamentu, numer decyzji administracyjnej wójta gminy w sprawie ustalenia wysokości łącznego zobowiązania pieniężnego, informacja o wysokości podatku od nieruchomości, wielkość powierzchni budynków mieszkalnych podlegających opodatkowaniu, wielkość powierzchni gruntów rolnych podlegających opodatkowaniu, wielkość powierzchni użytków rolnych, wysokość podatku rolnego, informacje dotyczące pracodawcy w zakresie: nazwa i siedziba, Numer Identyfikacji Podatkowej, numer REGON, stanowisko, na którym jest zatrudniony użytkownik końcowy, nazwa organu wydającego kartę stałego pobytu, data upływu ważności karty stałego pobytu, rodzaj wydanego pozwolenia na pobyt, informacje dotyczące prowadzonej przez użytkownika końcowego działalności gospodarczej w zakresie: Numer Identyfikacji Podatkowej, numer REGON, firma przedsiębiorcy, adres głównego wykonywania działalności gospodarczej, data rozpoczęcia działalności gospodarczej, rodzaj prowadzonej działalności gospodarczej (PKD), dane zamieszczone na tzw. odcinku emerytury/renty: identyfikator i wysokość świadczenia, numer i data ważności oraz data wydania legitymacji emeryta/rencisty, nazwa organu wydającego legitymację emeryta/rencisty, numer świadczenia emerytalnego/rentowego, nazwa uczelni wydającej legitymację studencką, data ważności legitymacji, numer albumu, seria i numer książeczki wojskowej oraz organ wydający tę książeczkę, nazwa organu wydającego paszport - w terminie 30 dni od dnia, w którym niniejsza decyzja stanie się ostateczna. W uzasadnieniu organ wskazał, iż inspektor upoważniony przez Generalnego Inspektora przeprowadził w [...] S.A. kontrolę zgodności przetwarzania danych osobowych z przepisami o ochronie danych osobowych. W toku kontroli odebrano od pracowników Spółki ustne wyjaśnienia. Stan faktyczny został szczegółowo opisany w protokole kontroli podpisanym przez Członka Zarządu Spółki. Na podstawie zgromadzonego podczas ww. kontroli materiału dowodowego ustalono, że w procesie przetwarzania danych osobowych Spółka, jako administrator danych, naruszyła przepisy o ochronie danych osobowych poprzez przetwarzanie bez podstawy prawnej danych osobowych swoich użytkowników końcowych w zakresie: kolor oczu, wzrost (w centymetrach), wizerunek twarzy, płeć, adres zameldowania, nazwa organu wydającego dowód osobisty, data wydania i termin ważności dowodu osobistego, podpis, nazwa organu wydającego prawo jazdy, numer prawa jazdy, kategorie prawa jazdy, data wydania i data ważności prawa jazdy, informacje dotyczące należnych kwot składek na ubezpieczenie zdrowotne i społeczne, numer i miejsce oraz data wydania dokumentu stwierdzającego posiadanie kwalifikacji zawodowych dotyczących wykonywania zawodu pielęgniarki/pielęgniarza, numer rejestru pielęgniarek i położnych, data i miejsce wydania zaświadczenia o prawie wykonywania zawodu pielęgniarki/pielęgniarza, nazwa okręgowej izby pielęgniarek i położnych wydającej zaświadczenie o prawie wykonywania zawodu pielęgniarki/pielęgniarza, nazwa banku wydającego kartę płatniczą, numer identyfikacyjny Karty ubezpieczenia zdrowotnego Narodowego Funduszu Zdrowia, nazwa i siedziba operatora telewizji cyfrowej innego niż Spółka oraz wysokość opłacanego abonamentu, numer decyzji administracyjnej wójta gminy w sprawie ustalenia wysokości łącznego zobowiązania pieniężnego, informacja o wysokości podatku od nieruchomości, wielkość powierzchni budynków mieszkalnych podlegających opodatkowaniu, wielkość powierzchni gruntów rolnych podlegających opodatkowaniu, wielkość powierzchni użytków rolnych, wysokość podatku rolnego, informacje dotyczące pracodawcy w zakresie: nazwa i siedziba, Numer Identyfikacji Podatkowej, numer REGON, stanowisko, na którym jest zatrudniony użytkownik końcowy, nazwa organu wydającego kartę stałego pobytu, data upływu ważności karty stałego pobytu, rodzaj wydanego pozwolenia na pobyt, informacje dotyczące prowadzonej przez użytkownika końcowego działalności gospodarczej w zakresie: Numer Identyfikacji Podatkowej, numer REGON, firma przedsiębiorcy, adres głównego wykonywania działalności gospodarczej, data rozpoczęcia działalności gospodarczej, rodzaj prowadzonej działalności gospodarczej (PKD), dane zamieszczone na tzw. odcinku emerytury/renty: identyfikator i wysokość świadczenia, numer i data ważności oraz data wydania legitymacji emeryta/rencisty, nazwa organu wydającego legitymację emeryta/rencisty, numer świadczenia emerytalnego/rentowego, nazwa uczelni wydającej legitymację studencką, data ważności legitymacji, numer albumu, seria i numer książeczki wojskowej oraz organ wydający tę książeczkę, nazwa organu wydającego paszport. W związku z powyższym Generalny Inspektor wszczął z urzędu postępowanie administracyjne w celu wyjaśnienia okoliczności sprawy. Pełnomocnik Spółki pismem z dnia [...] września 2015 r. wyjaśnił, że podstawę prawną przetwarzania danych osobowych użytkowników końcowych stanowi: 1) art. 161 ust. 2 pkt 7 ustawy Prawo telekomunikacyjne, zgodnie z którym dostawca publicznie dostępnych usług telekomunikacyjnych jest uprawniony do przetwarzania danych dotyczących użytkownika będącego osobą fizyczną zawartych w dokumentach potwierdzających możliwość wykonania zobowiązania wobec dostawcy publicznie dostępnych usług telekomunikacyjnych wynikającego z umowy o świadczenie usług telekomunikacyjnych. Dane te są pozyskiwane w celu identyfikacji tożsamości klientów, która jest jednym z elementów oceny możliwości płatniczych użytkownika, 2) art. 23 ust. 1 pkt 2 u.o.d.o., tj. dane są przetwarzane w celu realizacji obowiązku wynikającego z art. 26 ust. 1 pkt 3 u.o.d.o., tj. zapewnienia przez Spółkę, jako administratora danych, aby zbierane dane były merytorycznie poprawne, a wynikające z tych danych informacje były zgodne z prawdą, kompletne i aktualne, 3) art. 23 ust. 1 pkt u.o.d.o., tj. dane są przetwarzane dla wypełnienia prawnie usprawiedliwionych celów administratora danych, tj. konieczności zabezpieczenia interesów Spółki w związku z: doświadczanymi przez Spółkę nadużyciami, dokonywanymi w skutek posługiwania się fałszywymi lub skradzionymi dokumentami; koniecznością zapewnienia kompletnych i autentycznych danych użytkowników na potrzeby współpracy z organami ścigania; dochodzenia swoich praw w postępowaniu sądowym i egzekucyjnym. Wskazano, iż minimalizowanie wymienionych zagrożeń, poprzez szczegółową identyfikację i weryfikację osób zawierających umowę, zapewnia bezpieczeństwo obrotu prawnego i mieści się w pojęciu prawnie usprawiedliwionego celu, o którym mowa w art. 23 ust. 1 pkt 5 u.o.d.o. Ponadto, zdaniem Spółki, klauzulę zgody o treści "wyrażam zgodę na sporządzenie i przechowywanie przez [...] kserokopii dokumentu (-ów) okazanego (-ych) przy zawieraniu niniejszej umowy" należy uznać za zgodę na przetwarzanie danych osobowych zawartych w tych dokumentach, a zgoda nie jest dorozumiana. Mając powyższe na względzie, Generalny Inspektor wskazał, iż zgodnie z art. 26 ust. 1 pkt 1 u.o.d.o., administrator danych przetwarzający dane powinien dołożyć szczególnej staranności w celu ochrony interesów osób, których dane dotyczą, a w szczególności jest obowiązany zapewnić, aby dane te były przetwarzane zgodnie z prawem. Stosownie zaś do art. 57 ust. 1 pkt 3 ustawy Prawo telekomunikacyjne, dostawca publicznie dostępnych usług telekomunikacyjnych nie może uzależniać zawarcia umowy o świadczenie publicznie dostępnych usług telekomunikacyjnych, w tym o zapewnienie przyłączenia do publicznej sieci telekomunikacyjnej od udzielenia informacji lub danych innych niż określone w art. 161 ust. 2, w przypadku użytkownika końcowego będącego osobą fizyczną. Natomiast w myśl art. 161 ust. 2 ww. ustawy, dostawca publicznie dostępnych usług telekomunikacyjnych jest uprawniony do przetwarzania następujących danych dotyczących użytkownika będącego osobą fizyczną: (1) nazwisk i imion, (2) imion rodziców, (3) miejsca i daty urodzenia, (4) adresu miejsca zamieszkania i adresu korespondencyjnego jeżeli jest on inny niż adres miejsca zamieszkania, (5) numeru ewidencyjnego PESEL - w przypadku obywatela Rzeczypospolitej Polskiej, (6) nazwy, serii i numeru dokumentów potwierdzających tożsamość, a w przypadku cudzoziemca, który nie jest obywatelem państwa członkowskiego albo Konfederacji Szwajcarskiej - numeru paszportu lub karty pobytu, (7) zawartych w dokumentach potwierdzających możliwość wykonania zobowiązania wobec dostawcy publicznie dostępnych usług telekomunikacyjnych wynikającego z umowy o świadczenie usług telekomunikacyjnych. Oprócz danych, o których mowa w ust. 2, dostawca publicznie dostępnych usług telekomunikacyjnych może, za zgodą użytkownika będącego osobą fizyczną, przetwarzać inne dane tego użytkownika w związku ze świadczoną usługą, w szczególności numer konta bankowego lub karty płatniczej, a także adres poczty elektronicznej oraz numery telefonów kontaktowych (art. 161 ust. 3). Zgodnie natomiast z art. 174 pkt 1 ww. ustawy, jeżeli przepisy ustawy wymagają wyrażenia zgody przez abonenta lub użytkownika końcowego, zgoda ta nie może być domniemana lub dorozumiana z oświadczenia woli o innej treści. Jak ustalono w toku kontroli, Spółka pozyskuje od użytkowników końcowych, którzy zdecydowali się na zawarcie umowy o świadczenie usług telekomunikacyjnych objętych ofertą promocyjną i nie uiścili kaucji, w celu potwierdzenia ich tożsamości, kserokopie następujących dokumentów: dowodu osobistego, karty stałego pobytu, paszportu, karty bankowej, legitymacji służbowej, legitymacji emeryta/rencisty, prawa jazdy, legitymacji studenckiej, książeczki wojskowej, legitymacji ubezpieczeniowej, karty NFZ, legitymacji szkolnej, wpisu do ewidencji działalności gospodarczej, druku RMUA, odcinka emerytury/renty, opłaconego rachunku za płatną telewizję cyfrową innego operatora niż Spółka, dokumentu potwierdzającego prowadzenie gospodarstwa rolnego, dokumentu poświadczającego dochody z tytułu wynajmu, dokumentu poświadczającego pobieranie dochodu z tytułu zasiłku dla bezrobotnych, zaświadczenia o zatrudnieniu. Jako dokument potwierdzający prowadzenie gospodarstwa rolnego Spółka w toku kontroli przedstawiła kopię decyzji administracyjnej wójta gminy w sprawie ustalenia wysokości łącznego zobowiązania pieniężnego. Z analizy treści kopii dokumentów przedstawionych w toku kontroli wynika, iż Spółka pozyskując ww. kopie zbiera dane osobowe użytkowników końcowych, inne niż wymienione w art. 161 ust. 2 ustawy Prawo telekomunikacyjne. Jak wyjaśniła Spółka w toku kontroli, dane zawarte w kopiach dokumentów są przetwarzane w związku ze świadczeniem usług telekomunikacyjnych. Dokumenty pobierane są w celu dokonania oceny możliwości płatniczych, a identyfikacja tożsamości jest jednym z elementów tej oceny. Ocena ta jest natomiast niezbędna w procesie zawierania umowy o świadczenie usług telekomunikacyjnych w ofercie promocyjnej (subsydiowanej), czyli obarczonej istotnym ryzykiem strat dla Spółki w sytuacji, gdyby umowa została zawarta z osobą, której tożsamości lub możliwości płatniczych nie zweryfikowano. Generalny Inspektor zaznaczył, że art. 161 ust. 2 ustawy Prawo telekomunikacyjne reguluje kwestię zakresu danych użytkownika końcowego będącego osobą fizyczną, do przetwarzania których uprawniony jest dostawca publicznie dostępnych usług telekomunikacyjnych. Zakres danych identyfikujących użytkownika końcowego nie budzi wątpliwości, ponieważ dane te zostały wymienione enumeratywnie. W związku z potrzebą należytej identyfikacji podmiotu, który będzie wykonywał zobowiązanie wobec dostawcy usług, dostawca ma prawo wglądu do dokumentów potwierdzających dane określone w art. 161 ust. 2 pkt 1-6 ww. ustawy (niezależnie od tego, czy do zawarcia umowy dochodzi w sklepie stacjonarnym, czy w kanale zdalnym w obecności kuriera - pełnomocnika Spółki). Dostawca, o którym mowa powyżej, w celu prawidłowej identyfikacji użytkownika końcowego może również sporządzać kserokopie dokumentów potwierdzających jego tożsamość, ale pod warunkiem anonimizacji danych, do których przetwarzania nie jest uprawniony. Generalny Inspektor zauważył, iż określony w art. 161 ust. 2 pkt 1 - 6 ww. ustawy zakres danych identyfikujących użytkownika końcowego nie obejmuje danych zakwestionowanych w toku przedmiotowego postępowania administracyjnego. Nie można zatem zgodzić się z twierdzeniem Spółki, że podstawę do przetwarzania ww. danych stanowi art. 161 ust. 2 pkt 7 ustawy. Skoro bowiem kwestia zakresu danych służących identyfikacji użytkownika końcowego będącego osobą fizyczną, do przetwarzania których uprawniony jest dostawca publicznie dostępnych usług telekomunikacyjnych, została rozstrzygnięta w sposób wyczerpujący w art. 161 ust. 2 pkt 1 - 6 ww. ustawy, to treść art. 161 ust. 2 pkt 7 ww. ustawy powinna być rozumiana w sposób ścisły i zgodny z celem tego przepisu, którym jest stworzenie podstawy prawnej umożliwiającej dostawcy publicznie dostępnych usług telekomunikacyjnych przetwarzanie, obok danych identyfikujących użytkownika końcowego, również danych zawartych w dokumentach służących ustaleniu, czy użytkownik końcowy będzie w stanie wykonać zobowiązanie względem dostawcy publicznie dostępnych usług telekomunikacyjnych. W związku z tym, że zobowiązanie użytkownika końcowego polega na zapłacie należności pieniężnej, dostawca usług może pozyskiwać kopie dokumentów potwierdzających zdolność do wykonania zobowiązania pieniężnego i przetwarzać dane zawarte w tych dokumentach. Jak wynika natomiast z materiału dowodowego zebranego w toku niniejszego postępowania administracyjnego, kwestionowane dane osobowe nie są zbierane przez Spółkę w celu potwierdzenia zdolności do wykonania zobowiązania pieniężnego przez użytkownika końcowego, ale wyłącznie w celu identyfikacji jego tożsamości. Tym samym Generalny Inspektor, podejmując niniejsze rozstrzygnięcie, nie odniósł się do kwestii, czy którakolwiek z danych osobowych, których przetwarzanie przez Spółkę jest przedmiotem niniejszego postępowania, mogłaby potwierdzać zdolność do wykonania zobowiązania pieniężnego przez użytkownika końcowego. Jednocześnie zaznaczył, iż art. 161 ust. 2 pkt 7 ww. ustawy nie stanowi podstawy prawnej do przetwarzania ww. danych osobowych, w celu prawidłowej identyfikacji użytkownika końcowego. Następnie organ zauważył, iż konsekwencją interpretacji art. 161 ust. 2 pkt 7 ww. ustawy przyjętej przez pełnomocnika Spółki, zgodnie z którą przepis ten uprawnia dostawcę usług do przetwarzania danych zawartych w dokumentach, byłoby pozbawienie znaczenia unormowania zawartego w art. 161 ust. 2 pkt 1 - 6 ww. ustawy, które tworzy zamknięty katalog danych identyfikujących użytkownika końcowego, do przetwarzania których uprawniony jest dostawca publicznie dostępnych usług telekomunikacyjnych. Również argumentacja Spółki, iż podstawę prawną przetwarzania kwestionowanych danych osobowych stanowi art. 23 ust. 1 pkt 2 i art. 23 ust. 1 pkt 5 u.o.d.o. nie zasługuje na uwzględnienie, albowiem powoływanie ww. przepisów ustawy, jako kolejnej przesłanki legalizującej przetwarzanie danych osobowych zawartych w kserokopiach dokumentów tożsamości w sytuacji, gdy przepisy prawa telekomunikacyjnego jednoznacznie wskazują podstawy prawne przetwarzania danych w związku z zawarciem umowy o świadczenie usług telekomunikacyjnych, prowadzi do obchodzenia prawa regulującego przedmiotowe kwestie. Następnie Generalny Inspektor zauważył, iż z poczynionych ustaleń wynika, że użytkownik końcowy, który zdecydował się na zawarcie umowy o świadczenie usług telekomunikacyjnych objętych ofertą promocyjną i nie uiścił kaucji, wyraża w tej umowie zgodę o następującej treści: "wyrażam zgodę na sporządzenie i przechowywanie przez [...] kserokopii dokumentu (-ów) okazanego (-ych) przy zawieraniu niniejszej umowy". Przy czym nie można zgodzić się z argumentacją Spółki, iż powyższą klauzulę należy uznać za zgodę na przetwarzanie danych osobowych zawartych w tych dokumentach oraz, że zgoda ta nie jest dorozumiana. Z treści powyższej klauzuli wynika jednoznacznie, że wyrażając powyższą zgodę użytkownik końcowy godzi się jedynie na sporządzenie i przechowywanie przez Spółkę kopii okazanych przez niego dokumentów. Przyjęcie, iż wyrażając tę zgodę użytkownik końcowy wyraża również zgodę na przetwarzanie danych osobowych w nich zawartych uznać należy za dorozumienie wywodzące z jednego oświadczenia woli (zgody na sporządzenie i przechowywanie przez Spółkę kopii okazanych przez klienta dokumentów) inne oświadczenie woli (zgody na przetwarzanie danych osobowych zawartych w ww. dokumentach). Powołując poglądy orzecznictwa organ zaznaczył, iż zgoda na przetwarzanie danych osobowych musi być sformułowana w sposób wyraźny i jednoznaczny i wyróżniać się spośród innych pochodzących od tej osoby informacji i oświadczeń. Nie może mieć ona charakteru abstrakcyjnego, lecz winna odnosić się do skonkretyzowanego stanu faktycznego, obejmując tylko określone dane oraz sprecyzowany sposób i cel ich przetwarzania. Ponadto, sposób pozyskiwania zgody na przetwarzanie danych umożliwiać powinien świadome i swobodne wyrażenie woli. Zdaniem organu, przy tak przyjętej klauzuli zgody, o której mowa w art. 161 ust. 3 ustawy Prawo telekomunikacyjne, zgoda na przetwarzanie danych osobowych w omawianym przypadku nie jest wyrażona wprost, lecz jest dorozumiana z oświadczenia woli o innej treści, co stanowi naruszenie art. 174 pkt 1 ww. ustawy. Konkludując Generalny Inspektor stwierdził, iż w sytuacji, gdy Spółka nie legitymuje się zgodą na przetwarzanie danych osobowych innych niż wskazane w art. 161 ust. 2 ww. ustawy, a żadna inna przesłanka przetwarzania tych danych nie ma tutaj zastosowania, uzasadnione jest stanowisko, iż Spółka - przetwarzając kwestionowane dane - narusza przepis art. 161 ust. 3 w związku z art. 174 ustawy. Pismem z dnia [...] listopada 2015 r. [...] S.A. wniosła o ponowne rozpatrzenie sprawy zarzucając, iż zaskarżona decyzja została wydana z naruszeniem przepisów postępowania administracyjnego oraz przepisów prawa materialnego poprzez pominięcie przesłanek wymienionych w art. 161 ust. 2 pkt 7 ustawy Prawo telekomunikacyjne oraz w art. 23 ust. 1 pkt 2 i 5 u.o.d.o., stanowiących podstawę przetwarzania kwestionowanych danych osobowych. Spółka zaznaczyła, iż GIODO błędnie i bezpodstawnie przyjął, że kopie dokumentów wymienionych w zaskarżonej decyzji pobierane są wyłącznie w celu potwierdzenia tożsamości użytkownika końcowego. Pominął natomiast wyjaśnienia Spółki, iż kwestionowane dane osobowe są przetwarzane również w celu oceny wiarygodności płatniczej użytkownika końcowego. Ocena zaś tego jakie dokumenty mogą być uznane za potwierdzające możliwość wykonania zobowiązania pozostaje poza kompetencją organu. Ustawodawca pozostawił bowiem dostawcy usług swobodę uznania jakie dokumenty uzna za potwierdzające możliwość wykonania zobowiązania użytkownika wobec dostawcy. Spółka podniosła również, że GIODO niezasadnie zakwestionował istnienie zgody w rozumieniu art. 161 ust. 3 w zw. z art. 174 ustawy Prawo telekomunikacyjne, wyrażonej pomiędzy użytkownikiem a odbiorcą (Spółką), zrozumiałej i akceptowanej przez obie strony. Zdaniem Spółki, przedmiotowa zgoda spełnia wszelkie przesłanki legalności, a użytkownik wie o jakie dane chodzi i na czym będzie polegało ich przetwarzanie. Zatem podpisanie (złożenie) takiego oświadczenia w sposób co najmniej dostateczny wyraża wolę uprawnionego i jej zakres. Stanowisko organu, iż treścią zgody jest możliwość wykonania i przechowywania kopii dokumentu, jednak bez możliwości utrwalenia (skopiowania) i przechowywania danych zawartych w tym dokumencie, podważa nie tylko zasady wykładni oświadczeń woli, ale jest oczywiście sprzeczne z jednoznacznie wyrażoną wolą każdego użytkownika. Pogląd organu prowadzi do konstatacji, że klient wyrażając zgodę na skopiowanie dokumentu w istocie nie wyraża żadnej zgody. Przy czym oczywistym jest, że pod pojęciem dokumentu rozumie się nośnik wraz z zawartą w nim treścią (danymi). Nie można zatem przyjąć, że użytkownik - wyrażając zgodę na kopiowanie i przechowywanie kopii dokumentu - świadomie zgadza się jedynie na wykonanie kopii i przechowywanie pustej kartki papieru, zawierającej jedynie obrys dokumentu bez jakiejkolwiek treści (danych). Pismem z dnia [...] grudnia 2015 r. Generalny Inspektor zwrócił się do Spółki o złożenie dodatkowych wyjaśnień w celu ustalenia, czy kwestionowane dane są pozyskiwane w celu identyfikacji tożsamości klienta jako jednego z elementów oceny możliwości płatniczych użytkownika, jak wyjaśniała Spółka w postępowaniu I instancji, czy też na etapie wniosku o ponowne rozpatrzenie sprawy Spółka prezentuje odmienne stanowisko twierdząc, że dane te są przetwarzane nie w celu identyfikacji tożsamości klienta, lecz w celu potwierdzenia możliwości wykonania zobowiązania wobec dostawcy publicznie dostępnych usług telekomunikacyjnych, wynikającego z umowy o świadczenie usług telekomunikacyjnych. Pismem z dnia [...] stycznia 2016 r. Spółka oświadczyła, iż wyjaśnienia złożone w toku postępowania przed wydaniem decyzji Generalnego Inspektora z dnia [...] listopada 2015 r. i wyjaśnienia złożone we wniosku o ponowne rozpatrzenie sprawy są spójne. Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia [...] stycznia 2016 r. nr [...], powołując w podstawie prawnej art. 138 § 1 pkt 1 k.p.a., art. 12 pkt 2, art. 18 ust. 1 pkt 1, art. 22 w zw. z art. 26 ust. 1 pkt 1 u.o.d.o., utrzymał w mocy zaskarżoną decyzję. W uzasadnieniu organ wskazał, iż zgodnie z art. 6 ust. 1 u.o.d.o. za dane osobowe uważa się wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. W toku kontroli ustalono, że Spółka pozyskuje od użytkowników końcowych, którzy zdecydowali się na zawarcie umowy o świadczenie usług telekomunikacyjnych objętych ofertą promocyjną i nie uiścili kaucji, w celu potwierdzenia ich tożsamości, kserokopie dokumentów zawierających informacje wymienione w sentencji zaskarżonej decyzji. Informacje te niewątpliwie dotyczą osoby zidentyfikowanej na podstawie danych osobowych wskazanych w art. 161 ust. 2 pkt 1 - 6 ustawy Prawo telekomunikacyjne, a zatem należy uznać je za dane osobowe w rozumieniu art. 6 ust. 1 u.o.d.o. Organ ponownie zaznaczył, iż określony w art. 161 ust. 2 pkt 1 - 6 ustawy Prawo telekomunikacyjne zakres danych identyfikujących użytkownika końcowego będącego osobą fizyczną, nie obejmuje danych osobowych zakwestionowanych w toku przedmiotowego postępowania administracyjnego. Nie można zatem zgodzić się z twierdzeniem Spółki, że podstawę do przetwarzania ww. danych stanowi art. 161 ust. 2 pkt 7 ww. ustawy, który uprawnia dostawcę publicznie dostępnych usług telekomunikacyjnych do przetwarzania danych dotyczących użytkownika końcowego będącego osobą fizyczną zawartych w dokumentach potwierdzających możliwość wykonania zobowiązania wobec dostawcy. Skoro bowiem kwestia zakresu danych służących identyfikacji użytkownika końcowego będącego osobą fizyczną, do przetwarzania których uprawniony jest dostawca, została rozstrzygnięta przez ustawodawcę w sposób wyczerpujący w art. 161 ust. 2 pkt 1 - 6 ww. ustawy, to treść art. 161 ust. 2 pkt 7 powinna być rozumiana w sposób ścisły i zgodny z ratio legis tego przepisu, którym jest stworzenie podstawy prawnej umożliwiającej dostawcy przetwarzanie, obok danych identyfikujących użytkownika końcowego, również danych zawartych w dokumentach służących ustaleniu, czy użytkownik końcowy będzie w stanie wykonać zobowiązanie względem dostawcy publicznie dostępnych usług telekomunikacyjnych. W związku z tym, iż zakres danych osobowych niezbędnych do identyfikacji tożsamości jest określony w art. 161 ust. 2 pkt 1 - 6 ww. ustawy, a zakres danych osobowych, których przetwarzanie jest dopuszczalne w celu potwierdzenia możliwości wykonania zobowiązania wobec dostawcy jest wskazany w art. 161 ust. 2 pkt 7 tej ustawy, uzasadnione jest stanowisko, że identyfikacja tożsamości użytkownika końcowego nie jest elementem oceny zdolności tego użytkownika do wykonania przez niego zobowiązania pieniężnego. Wobec powyższego uznać należy, że art. 161 ust. 2 pkt 7 ww. ustawy nie stanowi podstawy prawnej do przetwarzania ww. danych osobowych w celu prawidłowej identyfikacji użytkownika końcowego. Organ zauważył również, że Spółka - jako podstawę prawną przetwarzania kwestionowanych danych osobowych - uznała zgodę, o której mowa w art. 162 ust. 3 ustawy Prawo telekomunikacyjne. Przeczy to stanowisku Spółki, iż podstawę prawną przetwarzania danych zawartych w pozyskiwanych dokumentach stanowi art. 161 ust. 2 pkt 7 ww. ustawy. Organ nie zgodził się z argumentacją Spółki, że podstawę prawną przetwarzania kwestionowanych danych osobowych stanowi art. 23 ust. 1 pkt 2 w związku z art. 26 ust. 1 pkt 3 oraz art. 23 ust. 1 pkt 5 u.o.d.o., albowiem powoływanie ww. przepisów, jako kolejnej przesłanki legalizującej przetwarzanie danych osobowych w sytuacji, gdy przepisy ustawy Prawo telekomunikacyjne jednoznacznie wskazują podstawy prawne przetwarzania danych w związku z zawarciem umowy o świadczenie usług telekomunikacyjnych, prowadzi do obchodzenia prawa regulującego przedmiotowe kwestie. Organ nie podzielił również stanowiska Spółki, że powołaną wyżej zgodę na kopiowanie dokumentu okazanego przy zawieraniu umowy należy uznać za zgodę na przetwarzanie danych osobowych w rozumieniu art. 161 ust. 3 ustawy Prawo telekomunikacyjne. W analizowanym przypadku zgoda ta nie jest bowiem wyrażona wprost, tylko dorozumiana z oświadczenia woli o innej treści. Pismem z dnia [...] marca 2015 r. [...] S.A. wystąpiła do Generalnego Inspektora o wstrzymanie wykonania decyzji z dnia [...] stycznia 2016 r. argumentując, iż wykonanie ww. decyzji, tj. usunięcie ze zbiorów danych - danych (informacji) wskazanych w decyzji z dnia [...] listopada 2015 r. spowoduje nieodwracalną utratę tych danych (informacji). Postanowieniem z dnia [...] marca 2016 r. nr [...] Generalny Inspektor, działając na podstawie art. 61 § 2 pkt 1 ustawy Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2012 r., poz. 270 ze zm.), wstrzymał wykonanie decyzji z dnia [...] stycznia 2016 r. Pismem z dnia 29 lutego 2016 r. [...] S.A. złożyła do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na decyzję Generalnego Inspektora z dnia [...] stycznia 2016 r. zarzucając: 1) że zaskarżona decyzja była niewykonalna w dniu jej wydania i jej niewykonalność ma charakter trwały (art. 22 u.o.d.o. w zw. z art. 156 § 1 pkt 5 k.p.a.), a nadto została wydana z rażącym naruszeniem prawa (art. 22 u.o.d.o. w zw. z art. 156 § 1 pkt 2 k.p.a.), 2) naruszenie przepisów postępowania, które to uchybienia mogły mieć istotny wpływ na wynik sprawy, tj.: - art. 22 u.o.d.o. w zw. z art. 15 k.p.a., poprzez zaniechanie przeprowadzenia przez Generalnego Inspektora ponownego merytorycznego postępowania, - art. 22 u.o.d.o. w zw. z art. 15 k.p.a., art. 140 k.p.a. i art. 107 § 1 i § 3 k.p.a., poprzez zaniechanie pełnego przedstawienia i ustosunkowania się w zaskarżonej decyzji do zarzutów skarżącej Spółki, zawartych we wniosku o ponowne rozpatrzenie sprawy, - art. 22 u.o.d.o. w zw. z art. 8 k.p.a., poprzez dokonanie przez organ zasadniczej zmiany stanowiska dotyczącego kopiowania/kserowania dokumentów tożsamości - pomimo wcześniejszej publicznej deklaracji tego organu o zgodności takiego działania z przepisami u.o.d.o., - art. 22 u.o.d.o. w zw. z art. 8 k.p.a., poprzez przyjęcie poglądu, że skarżąca Spółka świadczyła/świadczy "usługi telekomunikacyjne" pomimo braku przytoczenia w tym zakresie jakichkolwiek faktów i wywodu prawnego, a także wbrew temu, że Prezes Urzędu Komunikacji Elektronicznej przez wiele lat publicznie informował, iż "usługa udostępniania kodowanych programów telewizyjnych i radiowych oraz innych usług, których zakres szczegółowo określa umowa oraz regulamin świadczenia usług nie stanowi świadczenia usług telekomunikacyjnych w rozumieniu przepisów ustawy z dnia 16 lipca 2004 r. Prawo telekomunikacyjne (...)", - art. 22 u.o.d.o. w zw. z art. 8 k.p.a., polegające na zasadniczej zmianie przez organ stanowiska dotyczącego kserowania/kopiowania dokumentów oraz uzyskiwania "zgody", pomimo wcześniejszego niekwestionowania przez ten organ - w ramach dokonywanych czynności urzędowych - praktyki skarżącej Spółki w zakresie uzyskiwania "zgód" oraz kopiowania/kserowania dokumentów, - art. 22 u.o.d.o. w zw. z art. 107 § 1 i § 3 k.p.a. polegające na zaniechaniu wskazania w zaskarżonej decyzji konkretnych "(...) dowodów, na których się oparł (...)" organ wydając zaskarżaną decyzję, - art. 22 u.o.d.o. w zw. z art. 7 i art. 77 § 1 k.p.a. polegające na zaniechaniu przez organ wyczerpującego zebrania i rozpatrzenia materiału dowodowego, - art. 22 u.o.d.o. w zw. z art. 78 § 1 i § 2 k.p.a. polegające na zaniechaniu przez organ przeprowadzania - wnioskowanych przez skarżącego w piśmie z dnia [...] grudnia 2015 r. - dowodów, których przedmiotem były okoliczności istotne dla sprawy, niestwierdzone innymi dowodami, 3) naruszenie przepisów prawa materialnego, tj.: - art. 6 ust. 1 u.o.d.o. polegające na zaniechaniu jego zastosowania, skutkującym uznaniem, że danymi osobowymi są: nazwa organu wydającego dowód osobisty, data wydania i termin ważności dowodu osobistego, podpis, nazwa organu wydającego prawo jazdy, numer prawa jazdy, kategoria prawa jazdy, data wydania i data ważności prawa jazdy, informacje dotyczące należnych kwot składek na ubezpieczenie zdrowotne i społeczne, numer i miejsce oraz data wydania dokumentu stwierdzającego posiadanie kwalifikacji zawodowych dotyczących wykonywania zawodu pielęgniarki/pielęgniarza, numer rejestru pielęgniarek i położnych, data i miejsce wydania zaświadczenia o prawie wykonywania zawodu pielęgniarki/pielęgniarza, nazwa okręgowej izby pielęgniarek i położnych wydającej zaświadczanie o prawie wykonywania zawodu pielęgniarki/pielęgniarza, nazwa banku wydającego kartę płatniczą, numer identyfikacyjny Karty ubezpieczenia zdrowotnego Narodowego Funduszu Zdrowia, nazwa i siedziba operatora telewizji cyfrowej innego niż Spółka oraz wysokość opłacanego abonamentu, numer decyzji administracyjnej wójta gminy w sprawie ustalenia wysokości łącznego zobowiązania pieniężnego, informacja o wysokości podatku od nieruchomości, wielkość powierzchni budynków mieszkalnych podlegających opodatkowaniu, wielkość powierzchni gruntów rolnych podlegających opodatkowaniu, wielkość powierzchni użytków rolnych, wysokość podatku rolnego, informacje dotyczące pracodawcy w zakresie: nazwa i siedziba, Numer Identyfikacji Podatkowej, numer REGON, nazwa organu wydającego kartę stałego pobytu, data upływu ważności karty stałego pobytu, rodzaj wydanego pozwolenia na pobyt, informacje dotyczące prowadzonej przez użytkownika końcowego działalności gospodarczej w zakresie: Numer Identyfikacji Podatkowej, numer REGON, firma przedsiębiorcy, adres głównego wykonywania działalności gospodarczej, data rozpoczęcia działalności gospodarczej, rodzaj prowadzonej działalności gospodarczej (PKD), dane zamieszczone na tzw. odcinku emerytury/renty: identyfikator i wysokość świadczenia, numer i data ważności, data wydania legitymacji emeryta/rencisty, nazwa organu wydającego legitymację emeryta/rencisty, numer świadczenia emerytalnego/rentowego, nazwa uczelni wydającej legitymację studencką, data ważności legitymacji, numer albumu, seria i numer książeczki wojskowej oraz organ wydający tę książeczkę, nazwa organu wydającego paszport, - art. 161 ust. 2 pkt 6 ustawy Prawo telekomunikacyjne, przez jego niewłaściwe zastosowanie polegające na przyjęciu, iż "seria i numer książeczki wojskowej" i "numer prawa jazdy" mogą być przetwarzane tylko na podstawie zgody posiadacza takiego dokumentu, aczkolwiek zgodnie z tym przepisem są to dokumenty potwierdzające tożsamość, - art. 161 ust. 2 pkt 7 ww. ustawy przez jego niewłaściwe zastosowanie polegające na przyjęciu, iż przetwarzanie informacji/danych określonych jako: informacje dotyczące należnych kwot składek na ubezpieczenie zdrowotne i społeczne, numer i miejsce oraz data wydania dokumentu stwierdzającego posiadanie kwalifikacji zawodowych dotyczących wykonywania zawodu pielęgniarki/pielęgniarza, numer rejestru pielęgniarek i położnych, data i miejsce wydania zaświadczenia o prawie wykonywania zawodu pielęgniarki/pielęgniarza, nazwa okręgowej izby pielęgniarek i położnych wydającej zaświadczanie o prawie wykonywania zawodu pielęgniarki/pielęgniarza, nazwa banku wydającego kartę płatniczą, numer identyfikacyjny Karty ubezpieczenia zdrowotnego Narodowego Funduszu Zdrowia, nazwa i siedziba operatora telewizji cyfrowej innego niż Spółka oraz wysokość opłacanego abonamentu, numer decyzji administracyjnej wójta gminy w sprawie ustalenia wysokości łącznego zobowiązania pieniężnego, informacja o wysokości podatku od nieruchomości, wielkość powierzchni budynków mieszkalnych podlegających opodatkowaniu, wielkość powierzchni gruntów rolnych podlegających opodatkowaniu, wielkość powierzchni użytków rolnych, wysokość podatku rolnego, informacje dotyczące pracodawcy w zakresie: nazwa i siedziba, Numer Identyfikacji Podatkowej, numer REGON, nazwa organu wydającego kartę stałego pobytu, data upływu ważności karty stałego pobytu, rodzaj wydanego pozwolenia na pobyt, informacje dotyczące prowadzonej przez użytkownika końcowego działalności gospodarczej w zakresie: Numer Identyfikacji Podatkowej, numer REGON, firma przedsiębiorcy, adres głównego wykonywania działalności gospodarczej, data rozpoczęcia działalności gospodarczej, rodzaj prowadzonej działalności gospodarczej (PKD), dane zamieszczone na tzw. odcinku emerytury/renty: identyfikator i wysokość świadczenia, numer i data ważności i data wydania legitymacji emeryta/rencisty, nazwa organu wydającego legitymację emeryta/rencisty, numer świadczenia emerytalnego/rentowego - może następować tylko na podstawie zgody posiadacza takiego dokumentu, aczkolwiek zgodnie z tym przepisem są to informacje/dane zawarte w dokumentach potwierdzających "możliwość wykonania zobowiązania" przez klienta skarżącego, - art. 161 ust. 2 pkt 7 w zw. z art. 161 ust. 2 pkt 1 - 6 ustawy Prawo telekomunikacyjne poprzez jego błędną wykładnię, polegającą na przyjęciu, iż przetwarzanie informacji/danych określonych jako "dane identyfikujące użytkownika końcowego", nie może następować na podstawie art. 161 ust. 2 pkt 7 ww. ustawy, pomimo że przepis ten zgodnie z jego literalnym brzmieniem dotyczy "danych dotyczących użytkownika", - art. 161 ust. 2 pkt 7 ww. ustawy, poprzez jego błędną wykładnię polegającą na przyjęciu, "(...) iż art. 161 ust. 2 pkt 7 ustawy nie stanowi podstawy prawnej do przetwarzania (...) danych osobowych, w celu prawidłowej identyfikacji użytkownika końcowego", - art. 161 ust. 2 pkt 1 - 6 ww. ustawy poprzez jego błędną wykładnię polegającą na przyjęciu, iż "(...) art. 161 ust. 2 pkt 1 - 6 ustawy (...) tworzy zamknięty katalog danych identyfikujących użytkownika końcowego, do przetwarzania których uprawniony jest dostawca publicznie dostępnych usług telekomunikacyjnych", - art. 23 ust. 1 pkt 2 w zw. z art. 26 ust. 1 pkt 3 oraz art. 23 ust. 1 pkt 5 u.o.d.o. poprzez niewłaściwe ich zastosowanie, w związku z uznaniem przez Generalnego Inspektora, że ich zastosowanie "(...) prowadzi do obchodzenia prawa (...)" oraz nie uwzględnienie przez organ zasady poprawności (prawidłowości) danych, - art. 65 § 1 ustawy z dnia 23 kwietnia 1964 r. Kodeks cywilny (Dz. U. z 2014 r., poz. 121 ze zm.), dalej: "k.c.", polegające na zaniechaniu dokonania wykładni oświadczenia woli o treści: "wyrażam zgodę na sporządzenie i przechowywanie przez [...] kserokopii dokumentu (-ów) okazanego (-ych) przy zawieraniu niniejszej umowy" zgodnie z dyrektywami wskazanymi tym przepisem, - art. 161 ust. 3 u.o.d.o. i art. 174 ust. 1 ustawy Prawo telekomunikacyjne, poprzez ich niewłaściwe zastosowanie polegające na przyjęciu, że "(...) Spółka nie legitymuje się zgodą na przetwarzanie danych osobowych innych niż wskazane w art. 161 ust. 2 ustawy, a żadna inna przesłanka przetwarzania tych danych nie ma tutaj zastosowania, należy uznać, iż Spółka przetwarzając kwestionowane dane narusza tym samym przepis art. 161 ust. 3 w związku z art. 174 ustawy". W związku z powyższymi zarzutami Spółka wniosła o stwierdzenie nieważności zaskarżonej decyzji w całości, a na wypadek nieuwzględnienia tego wniosku o uchylenie w całości zaskarżonej decyzji oraz poprzedzającej ją decyzji Generalnego Inspektora z dnia [...] listopada 2015 r. nr [...]. Skarżąca wniosła również o przeprowadzenie dowodu uzupełniającego z dokumentów, tj.: - wydruku widoku strony internetowej Urzędu Komunikacji Elektronicznej z komunikatem pt. "Oferta programowa" podawanego na tej stronie internetowej na okoliczność treści stanowiska Prezesa UKE, że: "Usługa udostępniania kodowanych programów telewizyjnych i radiowych oraz innych usług, których zakres szczegółowo określa umowa oraz regulamin świadczenia usług, nie stanowi świadczenia usług telekomunikacyjnych w rozumieniu przepisów ustawy z dnia 16 lipca 2004 r. Prawo telekomunikacyjne (Dz. U. Nr 171, poz. 1800 ze zm.)", - wydruku widoku strony internetowej GIODO zawierającego stanowisko organu z 2009 r. w odniesieniu do pytania "Czy operator telekomunikacyjny ma prawo kserować dokument tożsamości osoby, która wyraziła zamiar zawarcia umowy, lecz ostatecznie od niego odstąpiła" na okoliczność, iż zdaniem tego organu na kserowanie/kopiowanie dokumentów tożsamości "zezwalał art. 23 ust. 1 pkt 3 ustawy o ochronie danych osobowych, który umożliwia przetwarzanie danych m.in. w związku z podejmowaniem działań na potrzeby zawarcia umowy",  - odpisu kserograficznego "Protokołu kontroli" nr [...], sporządzonego przez organ w dniu [...] września 2010 r. na okoliczność, iż organ nie kwestionował braku odrębnej pisemnej zgody na przetwarzanie danych oraz nie kwestionował praktyki kopiowania/kserowania dokumentów dotyczących "statusu klienta". W obszernych motywach skargi skarżąca Spółka rozwinęła powyższe zarzuty podnosząc w szczególności, iż zaskarżoną decyzją utrzymano w mocy decyzję z dnia [...] listopada 2015 r., mocą której nakazano "(...) przywrócenie stanu zgodnego z prawem poprzez zaprzestanie przetwarzania bez podstawy prawnej (...) danych użytkowników końcowych w następującym zakresie (...) - w terminie 30 dni od dnia, w którym niniejsza decyzja stanie się ostateczna". Termin "niniejsza" odniesiono do decyzji z dnia [...] listopada 2015 r., która - wobec skutecznego wniesienia wniosku o ponowne rozpatrzenie sprawy - nie uzyskała przymiotu ostateczności. Wydanie decyzji utrzymującej w mocy decyzję, która - pomimo, iż nie stała się ostateczna - zakreśla termin wykonania obowiązku, liczony od dnia nabycia przez tę decyzję cechy ostateczności, należy uznać za rażące naruszenie art. 22 u.o.d.o. w zw. z art. 16 § 1 k.p.a., art. 127 § 3 k.p.a. i art. 138 § 1 pkt 1 k.p.a. Ponadto skarżąca Spółka wskazała, iż ani w zaskarżonej, ani w poprzedzającej ją decyzji z dnia [...] listopada 2015 r. nie zawarto żadnych ustaleń faktycznych co do ilości klientów skarżącej, ani ilości danych, które wskazano w ww. decyzjach. Na datę wydania zaskarżonej decyzji skarżąca miała [...] klientów, który zawarli co najmniej [...] umów. Gdyby zatem przyjąć, że skarżąca jest zobowiązana do zaniechania przetwarzania tylko kilku, czy kilkunastu milionów "danych", a zatem także do zaniechania ich przechowywania (art. 7 pkt 2 u.o.d.o.), to usunięcie, czy też zniszczenie takiej ilości danych w terminie 30 dni jest niewykonalne. Analogicznie niewykonalne jest również znalezienie wszystkich kserokopii dokumentów i następnie ich zniszczenie, a także zanonimizowanie kserokopii tych dokumentów. Mając zatem na względzie, iż niewykonalność ww. decyzji istniała w momencie jej wydania, niewykonalność ma charakter trwały i faktyczny, wystąpiła przesłanka stwierdzenia nieważności decyzji na zasadzie art. 22 u.o.d.o. w zw. z art. 156 § 1 pkt 5 k.p.a. Następnie skarżąca podniosła, iż Generalny Inspektor dokonał "wstecznej", radykalnie zmienionej wykładni przepisów prawa, co spowodowało, że przedsiębiorcy dostali się w "swoistą pułapkę" - najpierw Generalny Inspektor publicznie informował, że kserowanie/kopiowanie dokumentów tożsamości jest dopuszczalne, bowiem posiada podstawę w ustawie o ochronie danych osobowych, aby kilka lat później "wstecznie" zaprzeczyć temu poglądowi i wyprowadzić z tego dalsze konsekwencje prawne. Powyższe uchybienie, polegające na zmianie przez organ stanowiska w zakresie kserowania/kopiowania dokumentów tożsamości, pomimo wcześniejszej, publicznej deklaracji tego organu co do zgodności takiego działania z przepisami ww. ustawy stanowi naruszenie art. 8 k.p.a. wyrażającego zasadę zaufania uczestnika postępowania do organu władzy publicznej. Skarżąca Spółka wskazała ponadto, że ani w zaskarżonej decyzji, ani w poprzedzającej ją decyzji z dnia [...] listopada 2015 r. organ nie przeprowadził jakiejkolwiek wykładni art. 6 ust. 1 - 3 u.o.d.o. Stwierdza jedynie w zaskarżonej decyzji: "W związku z tym, iż jak wynika z materiału dowodowego zebranego w niniejszym postępowaniu, powyższe informacje niewątpliwie dotyczą osoby zidentyfikowanej na podstawie danych osobowych wskazanych w art. 161 ust. 2 pkt 1 - 6 ustawy, również te informacje należy uznać za dane osobowe w rozumieniu art. 6 ust. 1 ustawy o ochronie danych osobowych". Z powyższego nie wynika, z jakich powodów za "daną osobową" organ uznał - przykładowo - "nazwę organu wydającego paszport". Organem takim jest wojewoda, przy czym organ w żaden sposób nie wyjaśnił dlaczego takie "nazwy" zostały uznane za "dane osobowe". Organ nie wyjaśnił również z jakich powodów uznał za niedopuszczalne przetwarzanie danych określonych jako "informacje dotyczące prowadzonej przez użytkownika końcowego działalności gospodarczej w zakresie: Numer Identyfikacji Podatkowej, numer REGON, firma przedsiębiorcy, adres głównego wykonywania działalności gospodarczej, data rozpoczęcia działalności gospodarczej, rodzaj prowadzonej działalności gospodarczej (PKD)", które to informacje (dane) są - z mocy prawa - jawne i publicznie udostępniane, o czym stanowi art. 38 ust. 1 i ust. 2 w zw. z art. 37 ust. 1 i ust. 2 oraz art. 25 ust. 1 ustawy z dnia 2 lipca 2014 r. o swobodzie działalności gospodarczej (Dz. U. z 2015 r., poz. 584 ze zm.). Organ nie wskazał również z jakich powodów uznał "serię i numer książeczki wojskowej" oraz "numer prawa jazdy" za informacje przetwarzane bez podstawy prawnej w sytuacji, gdy są to dane zawarte w dokumentach potwierdzających tożsamość osoby fizycznej w rozumieniu art. 161 ust. 1 pkt 6 ustawy Prawo telekomunikacyjne. Zdaniem skarżącej Spółki, nie ma racji organ przyjmując, że przetwarzanie informacji/danych określonych jako "dane identyfikujące użytkownika końcowego" nie może następować na podstawie art. 161 ust. 2 pkt 7 ww. ustawy. Prawidłowa wykładnia tego przepisu (w związku z art. 161 ust. 1 pkt 1 - 6) wskazuje na to, że przetwarzanie danych dotyczących użytkownika będącego osobą fizyczną dotyczy wszystkich danych zawartych w dokumentach potwierdzających możliwość wykonania zobowiązania wobec dostawcy publicznie dostępnych usług telekomunikacyjnych, wynikających z umowy o świadczenie tych usług - bez względu na rodzaj (charakter) tych danych. Skarżąca Spółka podniosła również, że organ z niezrozumiałych względów całkowicie pomija w uzasadnieniu zaskarżonej decyzji konieczność zapewnienia bezpieczeństwa klientów i ich danych, przed ich nieuprawnionym wykorzystaniem. Tymczasem w ramach przyjętych procedur bezpieczeństwa danych upoważnione w Spółce osoby przeprowadzają analizy, które pozwalają na ustalenie, czy dane zawarte w dokumencie zostały wykorzystane w wyniku czynu zabronionego takiego jak oszustwo, czy fałszerstwo dokumentów. Takie procedury mają szczególne znaczenie w dobie powszechności nawiązywania stosunków prawnych na odległość np. elektronicznie, gdzie weryfikacja tożsamości klienta w chwili zawierania umowy nie jest możliwa. Wymaganie w takim przypadku okazania dokumentów poprzez przekazanie ich kopii jest zatem jedynym racjonalnie możliwym sposobem uwierzytelnienia, a także wyeliminowania przypadków nieuprawnionego wykorzystania cudzych danych. Minimalizowanie takich zagrożeń, poprzez szczegółową identyfikację i weryfikację osób zawierających umowę, zapewnia bezpieczeństwo obrotu prawnego i bez wątpienia mieści się w pojęciu usprawiedliwionego celu administratora danych, o którym mowa w art. 23 ust. 1 pkt 5 u.o.d.o. Odnosząc się do stanowiska Generalnego Inspektora w kwestii zgody na kopiowanie i przechowywanie dokumentu okazanego przy zawieraniu umowy o świadczenie usług telekomunikacyjnych skarżąca Spółka wskazała, że organ w żaden sposób nie wyjaśnił, jak należy rozumieć wyrażenie "zgoda dorozumiana". Nie zastosował również dyrektyw wynikających z art. 65 § 1 k.c. w stosunku do przedmiotowego oświadczenia woli. Z wywodu zawartego w uzasadnieniu zaskarżonej decyzji wynika, że organ traktuje jako coś odrębnego "dokument" i "treść" takiego dokumentu, a zatem przyjmuje, że możliwe jest "sporządzenie i przechowywanie kopii okazanych dokumentów" w postaci formy (nośnika) bez treści tych dokumentów. Pomija przy tym, że brak treści wykluczałby istnienie jakiegokolwiek dokumentu. Gdyby organ dokonał wykładni przedmiotowej zgody zgodnie z dyrektywami wynikającymi z art. 65 § 1 k.c., to musiałby stwierdzić, że oświadczenie woli "wyrażam zgodę na sporządzenie i przetwarzanie przez [...] kserokopii dokumentu (-ów) okazanego (-ych) przy zawieraniu niniejszej umowy" dotyczy dokumentu w rozumieniu jego formy jak i treści, a zatem wszystkich informacji uwidocznionych na dokumencie, który był kopiowany. W odpowiedzi na skargę Generalny Inspektor wniósł o oddalenie skargi jako nieuzasadnionej podtrzymując dotychczasowe stanowisko w sprawie. W piśmie procesowym z dnia [...] kwietnia 2016 r. skarżąca Spółka podtrzymała zarzuty i wnioski skargi podając dodatkową argumentację na ich poparcie. Nadto wskazała, iż w odpowiedzi na skargę brak jest merytorycznego odniesienia się do podniesionych zarzutów. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Zgodnie z przepisem art. 1 § 1 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (Dz. U. z 2014 r., poz. 1647), dalej: "p.u.s.a.", sądy administracyjne sprawują wymiar sprawiedliwości m.in. przez kontrolę działalności administracji publicznej, przy czym w świetle § 2 powołanego wyżej artykułu, kontrola ta jest sprawowana pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej. Stosownie do treści art. 134 § 1 p.p.s.a., sąd rozstrzyga w granicach danej sprawy nie będąc związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną. Sąd nie może wydać orzeczenia na niekorzyść skarżącego, chyba że stwierdzi naruszenie prawa skutkujące stwierdzeniem nieważności zaskarżonego aktu lub czynności (§ 2). Zdaniem Sądu, skarga oceniana w świetle powyższych kryteriów zasługuje na uwzględnienie, bowiem zaskarżona decyzja Generalnego Inspektora z dnia [...] stycznia 2016 r. oraz poprzedzająca ją decyzja z dnia [...] listopada 2015 r. naruszają prawo w stopniu kwalifikującym do eliminacji z obrotu prawnego. Na wstępie, mając na względzie zarzuty i wnioski skarżącej Spółki, wskazać należy, iż zgodnie z art. 106 § 3 p.p.s.a., sąd administracyjny może z urzędu lub na wniosek strony przeprowadzić dowody uzupełniające z dokumentów, jeżeli jest to niezbędne do wyjaśnienia istotnych wątpliwości i nie spowoduje nadmiernego przedłużenia postępowania w sprawie. Sąd nie stwierdził podstaw do przeprowadzenia dowodu uzupełniającego z załączonych do skargi wydruków widoków stron internetowych oraz odpisu kserograficznego Protokołu kontroli nr [...] z dnia [...] września 2010 r., bowiem nie zostały spełnione, określone w ww. przepisie, przesłanki warunkujące dokonanie tej czynności procesowej. Sąd nie znalazł również podstaw do stwierdzenia nieważności wydanych w sprawie decyzji. Nie można bowiem uznać, aby były one dotknięte którąkolwiek z kwalifikowanych wadliwości, wymienionych w art. 156 § 1 k.p.a. W szczególności, nie można podzielić stanowiska Spółki, iż Generalny Inspektor dopuścił się rażącego naruszenia prawa w rozumieniu art. 156 § 1 pkt 2 k.p.a. z tego mianowicie powodu, że wydając zaskarżoną decyzję utrzymał w mocy decyzję z dnia [...] listopada 2015 r., która - pomimo, iż nie uzyskała przymiotu ostateczności - zakreślała 30-dniowy termin usunięcia uchybień w procesie przetwarzania danych, liczony od dnia nabycia przez tę ("niniejszą") decyzję cechy ostateczności. Zaznaczyć należy, że podstawą stwierdzenia nieważności decyzji z powodu rażącego naruszenia prawa jest uznanie, że decyzja pozostaje w oczywistej sprzeczności z treścią przepisu niebudzącego wątpliwości interpretacyjnych, a nadto, że skutkiem tego naruszenia jest powstanie - w następstwie wydania tej decyzji - sytuacji niemożliwej do zaakceptowania w praworządnym państwie (por. wyroki Naczelnego Sądu Administracyjnego: z dnia 8 marca 2012 r., sygn. akt I OSK 363/11, publ.: LEX nr 1145109; z dnia 20 października 2011 r., sygn. akt II GSK 1056/10, publ.: LEX 1056/10). Z taką sytuacją nie mamy do czynienia w niniejszej sprawie, bowiem zamieszczenie przez organ w sentencji decyzji z dnia [...] listopada 2015 r. sformułowania "w terminie 30 dni od dnia, w którym niniejsza decyzja stanie się ostateczna" nie stanowi rażącego naruszenia art. 22 u.o.d.o. w związku z art. 16 § 1 k.p.a., art. 127 § 3 k.p.a. i art. 138 § 1 pkt 1 k.p.a. Zgodnie z art. 16 § 1 k.p.a. decyzje, od których nie służy odwołanie w administracyjnym toku instancji lub wniosek o ponowne rozpatrzenie sprawy, są ostateczne. Natomiast w myśl art. 130 § 2 k.p.a. wniesienie odwołania (wniosku o ponowne rozpatrzenie sprawy - art. 127 § 3 k.p.a.) w ustawowym terminie wstrzymuje wykonanie decyzji. W przedmiotowej sprawie skarżąca Spółka z zachowaniem terminu złożyła wniosek o ponowne rozpatrzenie sprawy, co skutkowało wstrzymaniem wykonania decyzji z dnia [...] listopada 2015 r. W wyniku ponownego rozpatrzenia sprawy Generalny Inspektor wydał decyzję z dnia [...] stycznia 2016 r. utrzymującą w mocy ww. decyzję z dnia [...] listopada 2015 r. Decyzja z dnia [...] stycznia 2016 r. nie podlega dalszemu zaskarżeniu w administracyjnym toku instancji, zatem już od chwili wydania posiada status decyzji ostatecznej. Oznacza to, że data wydania decyzji ostatecznej określa początek biegu 30-dniowego terminu wykonania przez Spółkę wskazanego obowiązku. Nie można również zgodzić się ze stanowiskiem Spółki, że zaskarżona decyzja jest dotknięta wadą kwalifikowaną, o której mowa w art. 156 § 1 pkt 5 k.p.a. z tego powodu, że usunięcie (zanonimizowanie) czy zniszczenie danych wymienionych w sentencji decyzji z dnia [...] listopada 2015 r., szacowanych według Spółki na kilka, a nawet kilkanaście milionów przy uwzględnieniu liczby klientów, jest - wobec braku metody technicznej - niewykonalne w zakreślonym terminie 30 dni. Zarzut ten, co należy zaznaczyć, Spółka podniosła dopiero w skardze do Sądu, nie wskazując na żadnym etapie postępowania administracyjnego braku możliwości wykonania decyzji w zakreślonym terminie. Przepis art. 156 § 1 pkt 5 k.p.a. stanowi, że organ administracji publicznej stwierdza nieważność decyzji, która była niewykonalna w dniu jej wydania i jej niewykonalność ma charakter trwały. Decyzja jest niewykonalna, gdy istnieje przeszkoda w jej wykonaniu wynikająca z określonych przepisów prawa lub jest faktycznie niemożliwa do wykonania np. przy istniejącym stanie wiedzy technicznej. Decyzja trwale niewykonalna to taka decyzja, której adresat jest trwale pozbawiony możliwości czynienia użytku z ustanowionych w niej praw lub trwale pozbawiony możliwości wykonania obowiązków. O niewykonalności obowiązku nałożonego decyzją ostateczną można mówić wtedy, gdy niewykonalność jest następstwem przeszkód o charakterze nieusuwalnym. Trwała niewykonalność obowiązku zawartego w decyzji zachodzi wówczas, gdy czynności składające się na treść tego obowiązku są niewykonalne z przyczyn technicznych lub prawnych tkwiących w ich naturze. W orzecznictwie przyjmuje się natomiast, że trudności techniczne lub ekonomiczne, choćby bardzo poważne, w wyegzekwowaniu wykonania obowiązku nałożonego decyzją, nie stanowią o niewykonalności decyzji (por. wyroki Naczelnego Sądu Administracyjnego: z dnia 3 czerwca 2008 r. sygn. akt II OSK 590/07, publ.: LEX nr 484998; z dnia 2 września 2016 r., sygn. akt I OSK 698/15, publ. https://orzeczenia.nsa.gov.pl). Wobec powyższego, jak również wobec argumentacji podniesionej w skardze, zarzut naruszenia art. 156 § 1 pkt 5 k.p.a. w niniejszej sprawie nie jest trafny. Nie można również podzielić stanowiska skarżącej Spółki, iż wydając zaskarżoną decyzję Generalny Inspektor dopuścił się naruszenia art. 22 u.o.d.o. w związku z art. 8 k.p.a., przez przyjęcie, że Spółka świadczy usługi telekomunikacyjne. Zarzut ten Spółka podniosła również dopiero w skardze do Sądu, przy czym w toku postępowania administracyjnego - jako podstawę przetwarzania danych osobowych klientów - wskazywała przepisy ustawy Prawo telekomunikacyjne. Zgodnie z art. 2 pkt 48 ustawy z dnia 16 lipca 2004 r. Prawo telekomunikacyjne (Dz. U. z 2014 r., poz. 243 ze zm.), usługę telekomunikacyjną definiuje się jako usługę polegającą głównie na przekazywaniu sygnałów w sieci telekomunikacyjnej. Z kolei w myśl pkt 27 tego artykułu, przedsiębiorca telekomunikacyjny to przedsiębiorca lub inny podmiot uprawniony do wykonywania działalności gospodarczej na podstawie odrębnych przepisów, który wykonuje działalność gospodarczą polegającą na dostarczaniu sieci telekomunikacyjnych, świadczeniu usług towarzyszących lub świadczeniu usług telekomunikacyjnych, przy czym przedsiębiorca telekomunikacyjny, uprawniony do świadczenia usług telekomunikacyjnych, zwany jest "dostawcą usług". Jak wynika z akt sprawy, [...] S.A. powadzi działalność telekomunikacyjną w oparciu o wpis do rejestru przedsiębiorców telekomunikacyjnych pod numerem 85. Podstawę prawną wpisu stanowi art. 10 ust. 1 ustawy Prawo telekomunikacyjne oraz art. 64 ustawy z dnia 2 lipca 2004 r. o swobodzie działalności gospodarczej (Dz. U. z 2015 r., poz. 584 ze zm.). Zgodnie z ww. wpisem Spółka świadczy m.in. usługi: telekomunikacyjne polegające na rozprowadzaniu lub rozpowszechnianiu programów radiofonicznych lub telewizyjnych oraz zapewnieniu dostępu do internetu. Powyższe potwierdził pełnomocnik Spółki w dniu [...] kwietnia 2015 r. oświadczając do Protokołu przyjęcia ustnych wyjaśnień, iż "Spółka prowadzi działalność polegającą m.in. na świadczeniu usług telekomunikacyjnych. Spółka pozyskuje kopie dokumentów tożsamości lub innych dokumentów w celu potwierdzenia tożsamości klientów Spółki w związku z zawieraniem umów o świadczenie usług telekomunikacyjnych". Zauważyć również należy, iż z treści kopii ww. umów, stanowiących załącznik do ww. Protokołu, wprost wynika, że ich przedmiotem jest świadczenie usług telekomunikacyjnych telewizji satelitarnej lub internetu. Ponadto, zgodnie z § 2 ust. 1 pkt 25 Regulaminu świadczenia usług telekomunikacyjnych telewizji satelitarnej przez [...] S.A., umowa (umowa abonencka) to umowa o świadczenie usług telekomunikacyjnych, zawarta w formie pisemnej lub elektronicznej za pomocą formularza udostępnionego na stronie internetowej [...], pomiędzy Abonentem a [...]. Natomiast w myśl § 2 ust. 1 pkt 27 ww. Regulaminu, usługa (usługa telewizji) to usługa telekomunikacyjna dostępu do kodowanych programów telewizyjnych i/lub radiowych drogą satelitarną oraz związane z nią usługi dodatkowe świadczone przez Spółkę. Z kolei stosownie do § 2 ust. 1 pkt 26 Regulaminu świadczenia usług telekomunikacyjnych internetu przez [...] S.A., usługa internetu to mobilne usługi telekomunikacyjne dostępu do internetu oraz związane z nimi usługi dodatkowe świadczone przez Spółkę. Regulaminy te stanowią, zgodnie z treścią umów o świadczenie usług telekomunikacyjnych zawieranych przez Spółkę z klientami, integralną część tych umów. Przechodząc do dalszych aspektów niniejszej sprawy wskazać należy, że ustawa Prawo telekomunikacyjne, obok kwestii świadczenia usług telekomunikacyjnych, reguluje również sposób wykorzystywania danych abonentów tych usług, w tym warunki ochrony użytkowników usług w szczególności w zakresie prawa do prywatności i poufności (art. 1 pkt 7). W świetle art. 159 pkt 1 tej ustawy, dane dotyczące użytkownika stanowią tajemnicę telekomunikacyjną. Z kolei przepis art. 160 ust. 1 ustawy nakazuje podmiotom uczestniczącym w wykonywaniu działalności telekomunikacyjnej w sieciach publicznych oraz podmiotom z nim współpracującym zachowanie tajemnicy telekomunikacyjnej. Zgodnie z art. 161 ust. 1 ww. ustawy, z zastrzeżeniem ust. 2, treści lub dane objęte tajemnicą telekomunikacyjną mogą być zbierane, utrwalane, przechowywane, opracowywane, zmieniane, usuwane lub udostępniane tylko wówczas, gdy czynności te, zwane dalej przetwarzaniem, dotyczą usługi świadczonej użytkownikowi albo są niezbędne do jej wykonania. Przetwarzanie w innych celach jest dopuszczalne jedynie na podstawie przepisów ustawowych. Ustęp 2 ww. artykułu stanowi, iż dostawca publicznie dostępnych usług telekomunikacyjnych jest uprawniony do przetwarzania następujących danych dotyczących użytkownika będącego osobą fizyczną: (1) nazwisk i imion, (2) imion rodziców, (3) miejsca i daty urodzenia, (4) adresu miejsca zamieszkania i adresu korespondencyjnego jeżeli jest on inny niż adres miejsca zamieszkania, (5) numeru ewidencyjnego PESEL - w przypadku obywatela Rzeczypospolitej Polskiej, (6) nazwy, serii i numeru dokumentów potwierdzających tożsamość, a w przypadku cudzoziemca, który nie jest obywatelem państwa członkowskiego albo Konfederacji Szwajcarskiej - numeru paszportu lub karty pobytu, (7) zawartych w dokumentach potwierdzających możliwość wykonania zobowiązania wobec dostawcy publicznie dostępnych usług telekomunikacyjnych wynikającego z umowy o świadczenie usług telekomunikacyjnych. W świetle postanowień ustępu 3 powołanego artykułu, oprócz danych, o których mowa w ust. 2, dostawca publicznie dostępnych usług telekomunikacyjnych może, za zgodą użytkownika będącego osobą fizyczną, przetwarzać inne dane tego użytkownika w związku ze świadczoną usługą, w szczególności numer identyfikacji podatkowej NIP, numer konta bankowego lub karty płatniczej, adres korespondencyjny użytkownika, jeżeli jest on inny niż adres miejsca zameldowania na pobyt stały tego użytkownika, a także adres poczty elektronicznej oraz numery telefonów kontaktowych. Z powyższego wynika, że kwestia zakresu danych służących identyfikacji tożsamości użytkownika końcowego, będącego osobą fizyczną, do przetwarzania których uprawniony jest dostawca publicznie dostępnych usług telekomunikacyjnych, została rozstrzygnięta w sposób wyczerpujący w art. 161 ust. 2 pkt 1-6 ustawy Prawo telekomunikacyjne. Natomiast treść art. 161 ust. 2 pkt 7 ww. ustawy musi być rozumiana w sposób ścisły i zgodny z celem tego przepisu, którym jest stworzenie podstawy prawnej umożliwiającej dostawcy publicznie dostępnych usług telekomunikacyjnych, przetwarzanie - obok danych identyfikujących użytkownika końcowego - również danych zawartych w dokumentach służących ustaleniu, czy użytkownik końcowy będzie w stanie regulować rachunki za udostępnione mu usługi telekomunikacyjne. Przepis art. 161 ust. 2 pkt 7 ww. ustawy nie stanowi zatem podstawy prawnej przetwarzania danych osobowych w celu prawidłowej identyfikacji użytkownika końcowego. Stanowisko przeciwne pozbawiłoby w istocie znaczenia wszystkich zapisów art. 161 ust. 2 pkt 1 - 6 ustawy, który ogranicza katalog danych osobowych klienta, niezbędnych do zawarcia umowy o świadczenie usług telekomunikacyjnych. Zaznaczyć w tym miejscu należy, że skarżąca Spółka w toku postępowania administracyjnego nie wykazała, czy i które dane, spośród danych zawartych w kopiach wyszczególnionych w decyzji dokumentów (dowodu osobistego, karty stałego pobytu, paszportu, karty bankowej, legitymacji służbowej, legitymacji emeryta/rencisty, prawa jazdy, legitymacji studenckiej, książeczki wojskowej, legitymacji ubezpieczeniowej, karty NFZ, legitymacji szkolnej, wpisu do ewidencji działalności gospodarczej, druku RMUA, odcinka emerytury/renty, opłaconego rachunku za płatną telewizję cyfrową, dokumentu potwierdzającego prowadzenie gospodarstwa rolnego, dokumentu poświadczającego dochody z tytułu wynajmu, dokumentu poświadczającego pobieranie dochodu z tytułu zasiłku dla bezrobotnych, zaświadczenia o zatrudnieniu) oraz w jaki sposób, potwierdzają możliwość wykonania - przez użytkownika będącego osobą fizyczną - zobowiązania wynikającego z umowy o świadczenie usług telekomunikacyjnych. Jak wynika z Protokołu kontroli przeprowadzonej w Spółce w dniach [...] kwietnia 2015 r. (nr [...]) oraz z Protokołu przyjęcia ustnych wyjaśnień złożonych przez pracowników Spółki w dniu [...] kwietnia 2015 r., gromadzenie danych zawartych w ww. dokumentach ma na celu (dodatkowe) potwierdzenie tożsamości klientów Spółki oraz autentyczności dokumentów w związku z zawieraniem umów o świadczenie usług telekomunikacyjnych w ramach ofert promocyjnych, obarczonych elementem ryzyka strat wynikających z nadużyć dokonywanych przez użytkowników końcowych. Analiza art. 162 ust. 2 ustawy Prawo telekomunikacyjne prowadzi do wniosku, iż treści i dane użytkownika będącego osobą fizyczną, o których mowa w ww. przepisie, powinny dotyczyć usługi świadczonej abonentowi lub być niezbędne do jej wykonania i w takiej sytuacji mogą być przetwarzane bez zgody użytkownika. Katalog tych danych, jak już wyżej zaznaczono, ma charakter zamknięty i jest przedmiotem ochrony prawnej - tajemnicy telekomunikacyjnej. Jak stwierdził Naczelny Sąd Administracyjny w wyroku z dnia 26 stycznia 2009r. sygn. akt I OSK 174/08 (publ. LEX nr 478301) "to, że w Prawie telekomunikacyjnym zawarte są uregulowania chroniące procesy przetwarzania danych osobowych objętych tajemnicą telekomunikacyjną (art. 159 ust. 2 i art. 161 ust. 2), nie oznacza, że ustawa o ochronie danych osobowych nie znajduje zastosowania w całości. Wymienione przepisy Prawa telekomunikacyjnego wyłączają stosowanie ustawy o ochronie danych osobowych tylko w zakresie, w jakim przewidują dalej idącą ochronę danych osobowych od tej, jaka została zagwarantowana tą ostatnią ustawą". Nie może być zatem wątpliwości, iż dostawca publicznie dostępnych usług telekomunikacyjnych (w rozumieniu art. 2 pkt 27 ww. ustawy) jest uprawniony do przetwarzania danych osobowych usługobiorcy, jeżeli jego dane przetwarza w celu świadczenia i wykonania usługi telekomunikacyjnej. W każdym innym przypadku podejmowania działań realizujących np. cel komercyjny czy marketingowy, a nie związany wprost z wykonaniem usługi telekomunikacyjnej, usługodawca będzie stosować przepisy ustawy o ochronie danych osobowych i w ich treści poszukiwać przesłanki legalizującej przetwarzanie danych osobowych dla swych działań. Z tych względów nie można zgodzić się ze stanowiskiem skarżącej Spółki, że podstawę prawną przetwarzania danych użytkownika będącego osobą fizyczną - w sytuacji, gdy dotyczą one świadczonej mu usługi telekomunikacyjnej albo są niezbędne do jej wykonania - stanowi art. 23 ust. 1 pkt 2 w związku z art. 26 ust. 1 pkt 3 oraz art. 23 ust. 1 pkt 5 u.o.d.o. Przepisy art. 161 ust. 2 i 3 ustawy Prawo telekomunikacyjne regulują w sposób wyczerpujący podstawę prawną przetwarzania danych we wskazanych w nich przypadkach, nie ma zatem przesłanek do stosowania ww. przepisów ustawy o ochronie danych osobowych. Zgodzić się natomiast należy ze skarżącą Spółką, iż Generalny Inspektor w sposób nieuzasadniony przyjął, że wszystkie informacje i dane wymienione w sentencji decyzji z dnia [...] listopada 2015 r., objęte nakazem zaprzestania ich przetwarzania, stanowią dane osobowe w rozumieniu art. 6 u.o.d.o. Przepis art. 6 ust. 1 u.o.d.o. stanowi, iż w rozumieniu ustawy za dane osobowe uważa się wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. Osobą możliwą do zidentyfikowania jest osoba, której tożsamość można określić bezpośrednio lub pośrednio, w szczególności przez powołanie się na numer identyfikacyjny albo jeden lub kilka specyficznych czynników określających jej cechy fizyczne, fizjologiczne, umysłowe, ekonomiczne, kulturowe lub społeczne (ust. 2). Informacji nie uważa się za umożliwiającą określenie tożsamości osoby, jeżeli wymagałoby to nadmiernych kosztów, czasu lub działań (ust. 3). W omawianej definicji danych osobowych wyróżnia się trzy elementy: (1) informację, (2) dotyczącą osoby fizycznej, (3) zidentyfikowanej lub możliwej do zidentyfikowania. Pojęcie "informacja" oznacza komunikaty (wiadomości, wypowiedzi, prezentacje) wyrażone i zapisane w jakikolwiek sposób: znakami graficznymi, symbolami, w języku komputerowym, na fotografii, na taśmie magnetowidowej itp., niezależnie od sposobu, zakresu i swobody ich udostępniania, jak też niezależnie od sposobu ich pozyskania. Użycie w ww. przepisie zwrotu "wszelkie informacje" oznacza, że w grę wchodzą informacje odnoszące się do każdego aspektu osoby - jej stosunków osobistych i rzeczowych, jej życia zawodowego, prywatnego, wykształcenia, wiedzy czy cech charakteru. Nie ma też znaczenia w jakiej roli występuje w danym przypadku osoba - członka rodziny, członka grupy zawodowej, czy określonej społeczności. Jak podkreśla się w piśmiennictwie, informacja wtedy "dotyczy osoby fizycznej" gdy przekazuje (komunikuje) coś na jej temat. Chodzi zatem o informację, która daje się powiązać z osobą, która powoduje, że możliwe jest jej odniesienie do konkretnej osoby fizycznej - zidentyfikowanej lub możliwej do zidentyfikowania, przy czym identyfikacja odbywa się na podstawie całokształtu posiadanych informacji (J. Barta, P. Fajgielski, R. Markiewicz, Komentarz do art. 6 u.o.d.o., System informacji Prawnej LEX 2016). Powyższe stanowisko aprobuje również orzecznictwo, gdzie wskazuje się, że jeżeli komunikat można powiązać z konkretną osobą fizyczną, wówczas jego treść należy uznać za dane osobowe (por. wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 8 marca 2016 r., sygn. akt II SA/Wa 1487/15, publ. https://orzeczenia.nsa.gov.pl). Warto również powołać pogląd wyrażony przez Naczelny Sąd Administracyjny w wyroku z dnia 18 listopada 2009 r. sygn. akt I OSK 667/09 (publ. j.w.), zgodnie z którym pojęcie "dane osobowe" na gruncie prawa polskiego obejmuje wszelkie informacje dotyczące osoby fizycznej, jeśli możliwe jest określenie jej tożsamości i zidentyfikowanie. Dane osobowe to zespół wiadomości (komunikatów) o konkretnym człowieku na tyle zintegrowany, że pozwala na jego zindywidualizowanie. Obejmuje co najmniej informacje niezbędne do identyfikacji (imię, nazwisko, miejsce zamieszkania), jednakże do tego się nie ogranicza, bowiem mieszczą się w nim również dalsze informacje, wzmacniające stopień identyfikacji. Do informacji takich z pewnością należą zdjęcia osoby fizycznej, chociażby wykonane w przeszłości, umożliwiające jej identyfikację. Charakter danych osobowych mają informacje z różnych dziedzin życia, o ile tylko istnieje możliwość powiązania ich z oznaczoną osobą. Mogą to być informacje o charakterze obiektywnym i subiektywnym, wymiernym lub ocennym, o okolicznościach dawnych, obecnych lub przyszłych, trwałych lub przemijających. Danymi osobowymi są m.in. informacje: (1) o zasadniczo niezależnych okolicznościach - imię, nazwisko, płeć, wzrost, znaki szczególne, obywatelstwo, linie papilarne, miejsce i data urodzenia, numer PESEL, numer dowodu osobistego, numer prawa jazdy, (2) o cechach nabytych - wykształcenie, posiadane uprawnienia, charakter pisma, stan cywilny, (3) o cechach osobowościowych, psychologicznych, w tym o przekonaniach, zainteresowaniach, światopoglądzie, upodobaniach, (4) o sytuacji majątkowej, operacjach finansowych, (5) o przejawach działalności - uczestnictwie w życiu kulturalnym, podróżach, (5) dotyczące aktywnego lub biernego uczestnictwa w różnego rodzaju wydarzeniach. Powyższe wskazuje, iż warunek, aby informacja "dotyczyła" oznaczonej osoby jest spełniony, gdy dana informacja stanowi "coś" na temat tej osoby. O tym, czy określona informacja ma charakter danych osobowych, czy też nie, decyduje jej przydatność do ustalenia tożsamości osoby, której ta informacja dotyczy (A. Szewc, Z problematyki (...), cz. III, s. 24 [w:] P. Barta, P. Litwiński, Ustawa o ochronie danych osobowych. Komentarz, 4 wydanie C.H. Beck, 2016). W niniejszej sprawie nakazem zaprzestania przez Spółkę przetwarzania danych osobowych Generalny Inspektor objął m.in. kolor oczu, wzrost, wizerunek osoby fizycznej, płeć, adres zameldowania, nr PESEL, numer dowodu osobistego, numer paszportu, Numer Identyfikacji Podatkowej. Jednocześnie, w sentencji decyzji z dnia [...] listopada 2015 r. organ wymienił inne informacje, jako podlegające ww. obowiązkowi zaprzestania przetwarzania, m.in. nazwę organu wydającego dowód osobisty, datę wydania i datę ważności dowodu osobistego, nazwę organu wydającego prawo jazdy, datę wydania i datę ważności prawa jazdy, nazwę organu wydającego paszport. Przy czym zarówno w uzasadnieniu ww. decyzji, jak i utrzymującej ją w mocy decyzji z dnia [...] stycznia 2016 r. organ nie wyjaśnił, z jakich powodów uznał, że informacje te stanowią dane osobowe w rozumieniu art. 6 ust. 1 u.o.d.o. W szczególności takiego wyjaśnienia nie stanowi ogólnikowa konstatacja organu, że skoro "z materiału dowodowego zebranego w niniejszym postępowaniu wynika, że powyższe informacje niewątpliwie dotyczą osoby zidentyfikowanej na podstawie danych osobowych wskazanych w art. 161 ust. 2 pkt 1 - 6 ustawy, również te informacje należy uznać za dane osobowe w rozumieniu art. 6 ust. 1 ustawy o ochronie danych osobowych". Z powyższego nie wynika, na jakiej podstawie organ uznał, że np. nazwa organu wydającego dowód osobisty, czy nazwa organu wydającego paszport, jest informacją przekazującą określony komunikat na temat osoby fizycznej, w sytuacji gdy jest to informacja odnosząca się do dokumentu i wskazująca wyłącznie to, jaki organ (np. prezydent miasta, wojewoda) wydał tenże dokument. Nakazem zaprzestania przetwarzania danych przez Spółkę Generalny Inspektor objął również "podpis" nie wyjaśniając jednak przy tym, czy chodzi o podpis użytkownika końcowego (klienta Spółki), czy podpis innej osoby, w szczególności wydającej dokument w imieniu organu administracji publicznej, jak np. podpis dyrektora oddziału ZUS figurujący na legitymacji emeryta-rencisty (k. 255 akt admin). Zasadnie zauważyła przy tym Spółka, iż zakładając, że nakaz organu dotyczy podpisu klienta, organ nie wyjaśnił z jakich względów uznał za uchybienie w procesie przetwarzania danych przechowywanie podpisów klientów, którzy składają przecież podpisy na zawieranych ze Spółką umowach o świadczenie usług telekomunikacyjnych. Te zaś umowy, z oczywistych względów, przechowywane są przez Spółkę. Niezależnie od powyższego zaznaczyć należy, iż organ nie wyjaśnił z jakich powodów nakazem zaprzestania przetwarzania danych przez Spółkę nie objął wszystkich informacji zawartych w dokumentach stanowiących materiał dowodowy niniejszej sprawy. Dotyczy to numeru legitymacji oraz nazwy organu wydającego legitymację osoby niepełnosprawnej, tj. [...] Zespołu ds. orzekania o niepełnosprawności w [...] (k. 253 akt admin.). W uzasadnieniu wydanych decyzji organ do tej kwestii się nie odniósł, nie przedstawił żadnych argumentów, z których wynikałoby na jakiej podstawie uznał, że Spółka może przetwarzać wskazane wyżej informacje - poprzez ich gromadzenie i przechowywanie - nie ma zaś możliwości przetwarzania innych danych, wymienionych w sentencji ww. decyzji. W tym kontekście uzasadnione wątpliwości budzi zakres i cel realizacji nałożonego na Spółkę obowiązku zaprzestania przetwarzania danych wymienionych w decyzji z dnia [...] listopada 2015 r. Jak wynika z akt sprawy, ww. decyzja została wydana w następstwie przeprowadzonej przez GIODO kontroli przetwarzania danych przeprowadzonej w dniach [...] kwietnia 2015 r. Kontrolą został objęty sposób przetwarzania danych zawartych w określonych - wymienionych powyżej - dokumentach. Nie sposób jednak nie dostrzec, biorąc pod uwagę zawarty w aktach sprawy dokument "Kserowanie dokumentów - ważne od [...] października 2011 r.", iż wymieniona w nim została, obok legitymacji emeryta/rencisty, legitymacji studenckiej, legitymacji szkolnej (które to dokumenty objęte zostały przedmiotem kontroli i uwzględnione w wydanej decyzji), również legitymacja służbowa. Nie można zatem wykluczyć, że Spółka przetwarza, poza informacjami zawartymi w wymienionych w decyzji typach legitymacji, także informacje zawarte w legitymacjach służbowych, bądź innych tego rodzaju dokumentach, np. legitymacjach prasowych, legitymacjach członkowskich polskiego związku łowieckiego, itp. Mając powyższe na względzie, zaznaczyć należy, że stosownie do art. 2 ust. 1 u.o.d.o., ustawa ta określa zasady postępowania przy przetwarzaniu danych osobowych oraz prawa osób fizycznych, których dane są lub mogą być przetwarzane w zbiorach danych. Przepis art. 12 pkt 1 i 2 u.o.d.o. stanowi zaś, że do zadań Generalnego Inspektora należy m.in. kontrola zgodności przetwarzania danych z przepisami o ochronie danych osobowych, wydawanie decyzji administracyjnych i rozpatrywanie skarg w sprawach wykonania przepisów o ochronie danych osobowych. Powołany przepis statuuje więc główne zadania i kompetencje Generalnego Inspektora, który pełni funkcję organu kontrolującego poprawność przetwarzania danych osobowych zgodnie z obowiązującymi przepisami. Zatem Generalny Inspektor jest uprawniony, ale i zobowiązany przepisami prawa, do kontroli zgodności przetwarzania danych osobowych i wydawania decyzji w przypadku stwierdzenia naruszenia przepisów o ochronie danych osobowych (art. 12 pkt 1 i 2 oraz art. 18 ust. 1 u.o.d.o.). Organ nie posiada natomiast takich uprawnień w odniesieniu do informacji, które nie stanowią danych osobowych w rozumieniu art. 6 u.o.d.o., co zasadnie podniosła skarżąca Spółka kwestionując zakres obowiązku nałożonego zaskarżoną decyzją. Niezależnie od powyższego, podzielić należy stanowisko skarżącej Spółki, iż organ dopuścił się naruszenia art. 161 ust. 3 w zw. z art. 174 ust. 1 ustawy Prawo telekomunikacyjne poprzez przyjęcie, że nie legitymuje się ona zgodą na przetwarzanie danych osobowych, innych niż wymienione w art. 161 ust. 2 ww. ustawy. Jak już wyżej wskazano, przepis art. 161 ust. 3 ww. ustawy stanowi, iż oprócz danych, o których mowa w ust. 2, dostawca publicznie dostępnych usług telekomunikacyjnych może, za zgodą użytkownika będącego osobą fizyczną, przetwarzać inne dane tego użytkownika w związku ze świadczoną usługą, w szczególności numer identyfikacji podatkowej NIP, numer konta bankowego lub karty płatniczej, adres korespondencyjny użytkownika, jeżeli jest on inny niż adres miejsca zameldowania na pobyt stały, a także adres poczty elektronicznej oraz numery telefonów kontaktowych. Przy czym zgodnie z art. 174 pkt 1 ww. ustawy, jeżeli przepisy wymagają wyrażenia zgody przez abonenta lub użytkownika końcowego, zgoda ta nie może być domniemana lub dorozumiana z oświadczenia woli o innej treści. Z akt sprawy wynika, że użytkownik końcowy, który zdecydował się na zawarcie umowy o świadczenie usług telekomunikacyjnych objętych ofertą promocyjną i nie uiścił kaucji, wyraża w tej umowie zgodę o następującej treści: "wyrażam zgodę na sporządzenie i przechowywanie przez [...] kserokopii dokumentu (-ów) okazanego (-nych) przy zawieraniu niniejszej umowy". Zdaniem organu, przyjęcie, iż wyrażając tę zgodę użytkownik końcowy wyraża również zgodę na przetwarzanie danych osobowych zawartych w ww. dokumentach, uznać należy za dorozumienie wywodzące z jednego oświadczenia woli, tj. zgody na sporządzenie i przechowywanie przez Spółkę kopii okazanych przez klienta dokumentów, inne oświadczenie woli, tj. zgody na przetwarzanie danych osobowych zawartych w tych dokumentach. Abstrahując od lakoniczności argumentacji organu w omawianej kwestii klauzuli zgody, ze stanowiskiem tym nie sposób się zgodzić ze wskazanych poniżej powodów. Z przepisu art. 161 ust. 3 oraz art. 174 pkt 1 ustawy Prawo telekomunikacyjne wynika, iż wymogiem dla zgody, wynikającym ze sformułowania zakazu domniemywania zgody bądź jej dorozumienia, jest konieczność jasnego, wyraźnego, nienasuwającego wątpliwości, pozytywnego oświadczenia woli przy tak samo jednoznacznym określeniu przedmiotu, którego ona dotyczy. Wytyczne dotyczące sposobu pozyskiwania zgody, zawarte w ww. ustawie są wynikiem definicji zawartej w art. 2 lit. f dyrektywy 2002/58/WE Parlamentu Europejskiego i Rady z dnia 12 lipca 2002 r. dotyczącej przetwarzania danych osobowych i ochrony prywatności w sektorze łączności elektronicznej (Dz. Urz. WE L 201 z dnia 31 lipca 2002 r., s. 37), która w sprawie zgody udzielanej przez użytkownika lub abonenta odsyła do zgody podmiotu danych w rozumieniu dyrektywy 95/46/WE Parlamentu Europejskiego i Rady z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Dz. Urz. WE L 281 z dnia 23 listopada 1995 r., s. 31) stanowiąc, iż: "zgoda użytkownika lub abonenta odpowiada zgodzie podmiotu danych określonej w dyrektywie 95/46/WE". Zatem w każdym przypadku, gdy na mocy dyrektywy o prywatności i łączności elektronicznej wymagana jest zgoda, kryteria służące ustaleniu, czy zgoda jest ważna są takie same, jak określone w dyrektywie 95/46/WE, tj. zgodne z definicją zawartą w art. 2 lit. h oraz warunkami określonymi w art. 7 lit a. Zgodnie zaś z art. 2 lit. h dyrektywy 95/46/WE zgoda osoby, której dane dotyczą oznacza "konkretne i świadome, dobrowolne wskazanie przez osobę, której dane dotyczą na to, że wyraża przyzwolenie na przetwarzanie odnoszących się do niej danych osobowych". W orzecznictwie sądów administracyjnych podkreśla się, że z treści zgody na przetwarzanie danych osobowych powinno w sposób jednoznaczny wynikać, w jakim celu, w jakim zakresie i przez kogo dane osobowe będą przetwarzane. Klauzula zgody musi być czytelna, jasna, wyrażona w sposób skonkretyzowany. Osoba wyrażająca zgodę musi zrozumieć istotę zgody, musi mieć pełną świadomość tego, na co się godzi. Z kolei podmiot zwracający się do osoby fizycznej o wyrażenie takiej zgody musi to uczynić w sposób wyraźny, jednoznaczny, wyróżniający się spośród innych pochodzących od tego podmiotu informacji i oświadczeń (por. wyrok NSA z dnia 4 kwietnia 2003 r., sygn. akt II SA 2135/02, publ. Wok. 2004, Nr 6, s. 30; wyroki WSA w Warszawie: z dnia 16 maja 2011 r. sygn. akt II SA/Wa 643/11; z dnia 9 listopada 2011 r. sygn. akt II SA/Wa 1099/11; publ. https://orzeczenia.nsa.gov.pl). W niniejszej sprawie poza sporem jest, że dane zawarte w dokumentach okazanych przez użytkownika końcowego przy zawieraniu umowy są gromadzone i przechowywane przez skarżącą Spółkę w związku ze świadczeniem usług telekomunikacyjnych. Formuła zgody jest jasna, czytelna i jako taka nie budzi wątpliwości interpretacyjnych. Z treści klauzuli zgody wprost wynika, że użytkownik końcowy wyraża zgodę wyłącznie na sporządzenie i przechowywanie kserokopii okazanych dokumentów. Zgoda ta ma zatem charakter wyraźny i jednoznaczny, a jej przekaz jest konkretny i jasny dla klienta w momencie jej wyrażania. W ocenie Sądu, bez wpływu na powyższą ocenę pozostaje fakt, iż w treści omawianej zgody nie zostało użyte określenie "przetwarzanie" danych osobowych. W sytuacji bowiem, gdy "przetwarzanie" danych obejmuje rozmaite operacje, jakie na tych danych są dokonywane (a więc zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, usuwanie lub udostępnianie), jako możliwe i skuteczne należy ocenić udzielenie zgody na niektóre tylko działania, np. wyłącznie na zbieranie i przechowywanie danych osobowych, ale już nie na udostępnianie. Wprawdzie przepis art. 161 ust. 3 ustawy Prawo telekomunikacyjne wyraźnie takiej możliwości nie przewiduje i stanowi ogólnie o "zgodzie użytkownika na przetwarzanie danych w związku ze świadczoną usługą" (co należy rozumieć jako zgodę na wszelkie operacje), niemniej brak jest podstaw, aby taką częściową zgodę wykluczyć i pozbawić ją prawnego znaczenia. Należy ją zatem dopuścić w ramach generalnej zasady swobody dysponowania własnymi danymi osobowymi. Powyższe stanowisko, które prezentują komentatorzy w odniesieniu do art. 23 u.o.d.o. ([w:] J. Barta, P. Fajgielski, R. Markiewicz, Ochrona danych osobowych. Komentarz, LEX 2016), pozostaje - w ocenie Sądu - aktualne na gruncie przepisów ustawy Prawo telekomunikacyjne. Podkreślenia przy tym wymaga, iż Generalny Inspektor kwestionując prawidłowość klauzuli zgody nie stwierdził, aby skarżąca Spółka dokonywała jakichkolwiek innych operacji w stosunku do danych zawartych w kopiach dokumentów, poza ich gromadzeniem i przechowywaniem. W uzasadnieniu decyzji organ wskazuje bowiem wyłącznie na "pozyskiwanie", "pobieranie" kopii dokumentów przez Spółkę oraz "zbieranie" danych osobowych użytkowników końcowych w nich zawartych. Tym samym organ nie zarzucił skarżącej Spółce, że przetwarzała pobierane dane użytkowników końcowych w inny sposób, niezalegalizowany poprzez wyrażenie przedmiotowej zgody. Zdaniem Sądu, o wadliwości klauzuli zgody nie stanowi również okoliczność, że w jej treści nie zawarto sformułowania o wyrażeniu przez użytkownika końcowego zgody na przetwarzanie "danych osobowych" zawartych w ww. dokumentach. Nie ulega bowiem wątpliwości, że wyrażając zgodę na sporządzenie i przechowywanie przez Spółkę kopii okazanych dokumentów, użytkownik końcowy wyraża zgodę na gromadzenie i przechowywanie wszelkich informacji, w tym danych osobowych, zapisanych na nośniku materialnym w postaci kartki papieru. Nie można, jak podnosi zasadnie skarżąca Spółka, traktować rozdzielnie w omawianej sytuacji treści informacji (danych) utrwalonych na nośniku oraz nośnika tych informacji. Godząc się na kopiowanie i przechowywanie dokumentu użytkownik końcowy niewątpliwie godzi się na gromadzenie i przechowywanie przez Spółkę wszelkich danych (informacji) składających się na treść tego dokumentu. Przeciwne w tym względzie stanowisko - jako całkowicie nielogiczne - nie może zasługiwać na akceptację. Zaznaczyć w tym miejscu należy, że dokonana przez ustawodawcę kwalifikacja prawna zgody na przetwarzanie danych osobowych jako oświadczenia woli skutkuje stosowaniem do tego oświadczenia przepisów Kodeksu cywilnego o wykładni oświadczeń woli. Wykładnia treści zgody powinna więc następować według przepisów Kodeksu cywilnego. Ustalając znaczenie oświadczenia woli należy uwzględnić m.in. okoliczności, w których zostało złożone, zasady współżycia społecznego oraz ustalone zwyczaje (por. wyrok NSA z dnia 19 listopada 2001 r. sygn. akt II SA 2748/00 niepubl.). Tych aspektów organ ochrony danych osobowych nie wziął pod uwagę błędnie przyjmując, iż omawiana klauzula zgody narusza art. 174 pkt 1 ustawy Prawo telekomunikacyjne. Poza wszystkim należy również zaznaczyć, iż w uzasadnieniu decyzji z dnia [...] listopada 2015 r. organ stwierdził, że dostawca publicznie dostępnych usług telekomunikacyjnych, w celu prawidłowej identyfikacji użytkownika końcowego może sporządzać kserokopie dokumentów potwierdzających jego tożsamość, ale pod warunkiem anonimizacji danych, do których przetwarzania nie jest uprawniony. Jeżeli jednak, jak w sprawie niniejszej, użytkownik końcowy wyraża zgodę na sporządzenie i przechowywanie okazanych dokumentów (a więc treści i danych zawartych w tych dokumentach), to na dostawcy nie ciąży obowiązek anonimizacji danych tego użytkownika. Konkludując stwierdzić należy, że zaskarżona decyzja Generalnego Inspektora z dnia [...] stycznia 2016 r. oraz poprzedzająca ja decyzja z dnia [...] listopada 2015 r. naruszają powołane wyżej przepisy ustawy o ochronie danych osobowych oraz ustawy Prawo telekomunikacyjne, a naruszenie to miało istotny wpływ na wynik sprawy. W ocenie Sądu, organ błędnie określił zakres nałożonego na skarżącą Spółkę obowiązku przyjmując, że wszystkie dane wymienione w sentencji decyzji z dnia [...] listopada 2015 r. stanowią dane osobowe w rozumieniu art. 6 u.o.d.o., wadliwie też przyjął, że omawiana klauzula zgody narusza art. 161 ust. 3 w związku z art. 174 pkt 1 ustawy Prawo telekomunikacyjne. Rozpatrując sprawę ponownie organ uwzględni dokonaną powyżej ocenę prawną. Mając na względzie wszystko powyższe, Wojewódzki Sąd Administracyjny w Warszawie, działając na podstawie art. 145 § 1 pkt 1 lit. a p.p.s.a. orzekł jak w punkcie 1 sentencji wyroku. O kosztach postępowania Sąd postanowił w oparciu o art. 200 i art. 205 § 2 p.p.s.a., jak w punkcie 2 sentencji.