DS.523.4826.2020

Na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2022 r. poz. 2000 t.j.) w zw. z art. 7 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781 t.j.) oraz art. 12 ust. 3 oraz 5, art. 15  ust. 3 oraz 4, art. 58 ust. 2 lit. c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4 maja 2016 r., str. 1, Dz. Urz. UE L 127 z 23 maja 2018 r., str. 2 oraz Dz. Urz. UE L 74 z 4 marca 2021 r., str. 35), zwanego dalej: rozporządzeniem 2016/679, po przeprowadzeniu postępowania administracyjnego w sprawie skargi Pani M. G., zam. w W., na nieprawidłowości w procesie przetwarzania jej danych osobowych przez F. P. S.A. z siedzibą w W. (uprzednio: F. D. P. S.A.), polegające na niezrealizowaniu wniosku o udostępnienie kopii dotyczących jej danych osobowych, tj. wniosku złożonego w oparciu o art. 15 ust. 3 ww. rozporządzenia, poprzez odmowę udostępnienia treści nagrania rozmowy telefonicznej, Prezes Urzędu Ochrony Danych Osobowych

nakazuje F. P. S.A. z siedzibą w W., spełnienie wobec Pani M. G., zam. w W., obowiązku informacyjnego określonego w art. 15 ust. 3 rozporządzenia 2016/679 poprzez dostarczenie kopii jej danych osobowych utrwalonych w nagraniach rozmów telefonicznych z konsultantem, uwzględniającej głos Pani M. G.

Uzasadnienie

Do Prezesa Urzędu Ochrony Danych Osobowych, zwanego dalej także Prezesem UODO, wpłynęła skarga Pani M. G., zam. w W., zwanej dalej: Skarżącą, na nieprawidłowości w procesie przetwarzania jej danych osobowych przez F. P. S.A. z siedzibą w W. (uprzednio: F. D. P. S.A.), zwaną dalej: Spółką, polegające na niezrealizowaniu wniosku Skarżącej o udostępnienie kopii dotyczących jej danych osobowych, tj. wniosku złożonego  w oparciu o art. 15 ust. 3 rozporządzenia 2016/679.

W toku przeprowadzonego postępowania wyjaśniającego w niniejszej sprawie Prezes UODO ustalił, co następuje:

1. Skarżąca wskazała, że zwróciła się do Spółki z żądaniem udostępnienia jej kopii danych osobowych w postaci nagrań rozmów telefonicznych z konsultantami Spółki. Ponieważ odmówiono jej realizacji ww. żądania, zwróciła się z prośbą o interwencję do Prezesa UODO (dowód: pismo Skarżącej z […] września 2020 r.).
2. Spółka oświadczyła, że pozyskała dane Skarżącej bezpośrednio od niej w związku zawarciem w dniu […] marca 2018 r. umowy w sprawie współpracy dotyczącej obsługi  i rozliczania transakcji opłacanych kartami płatniczymi (dowód: wyjaśnienia Spółki  z […] marca 2021 r.).
3. Skarżąca pismem z […] marca 2020 r. zwróciła się do Spółki o udostępnienie nagrania jej rozmowy z konsultantem Spółki z dnia […] września 2019 r. Spółka odpowiedział na ww. wniosek w dniu […] kwietnia 2020 r. wskazując, cyt.: „nie odnajdujemy rozmowy telefonicznej, z numeru telefonu […], przeprowadzonej z Centrum Obsługi Klienta F. D. P. w dniu […].09.2019 r., na którą powołuje się Pani w zgłoszeniu z […].03.2020 r. W związku z tym prosimy o informację, z jakiego numeru telefonu oraz na jaki numer telefonu wykonywała Pani połączenie w dniu […].09.2019 r. w celu uzyskania informacji o sposobie wypowiedzenia umowy”. W związku z powyższym Skarżąca pismem z […] maja 2020 r. ponownie zwróciła się o udostępnienie ww. nagrania (nie wskazując żądanych przez Spółkę informacji dodatkowych). Spółka odpowiedziała na ww. korespondencję […] lipca 2020 r. ponownie informując, że nie odnajduje ww. rozmowy oraz ponownie żądając od Skarżącej wskazania dodatkowych informacji. Skarżąca pismem z […] lipca 2020 r. zwróciła się do Spółki z następującym żądaniem: „proszę o udostępnienie nagrań wszystkich przeprowadzonych przeze mnie rozmów z numeru telefonu […] na wszystkie Państwa infolinie w terminie od 2019-07-[…] do 2019-12-[…]”. Spółka odpowiedziała na ww. korespondencję […] sierpnia 2020 r. wskazując, że cyt.: „zostały odsłuchane wszystkie dostępne rozmowy z naszymi konsultantami. Rozmowa z dnia […].09.2019 r. dotyczyła terminu płatności faktur oraz postepowania windykacyjnego wobec Pani firmy. Kolejna rozmowa z dnia […].10.2019 r. dotyczyła potwierdzenia faktu rozwiązania Umowy z […].03.2018 r. Dwie kolejne rozmowy, obydwie z […].01.2020 r. dotyczyły prowadzonej windykacji przez firmę E. K. P. Sp. z o.o. Została Pani poinformowana, iż została wystawiona nota obciążeniowa za wcześniejsze wypowiedzenie Umowy (…). Jednoczenie informujemy, iż nie udostępniamy nagranych rozmów ze względu na bezpieczeństwo danych”.  W odpowiedzi na ww. pismo Skarżąca […] sierpnia 2020 r. ponownie zwróciła się  z wnioskiem o udostępnienie wszystkich nagrań rozmów telefonicznych przeprowadzonych z konsultantami Spółki dotyczących umowy. Spółka pismem z […] września 2020 r. odmówiła realizacji ww. wniosku w uzasadnieniu ponownie wskazując, że nie udostępnia nagrań rozmów z uwagi na bezpieczeństwo danych. Jednocześnie Spółka poinformowała Skarżącą co było przedmiotem przeprowadzonych rozmów z dni: […] października 2019 r. oraz […] stycznia 2020 r., w tym jakie dane osobowe zawierały: w jednym przypadku przed rozpoczęciem rozmowy Skarżąca przestawiła się podając imię i nazwisko, następnie w celach weryfikacyjnych podała numer NIP, w pozostałych przypadkach podano wyłącznie NIP firmy (dowód: wyjaśnienia Spółki z […] marca 2021 r. wraz załącznikami – korespondencja wymieniona między Spółką a Skarżącą, k. 34-41 akt sprawy).
4. Spółka w wyjaśnieniach z […] marca 2021 r. wskazała również, że skarga jest niezasadna z uwagi na fakt, że przedmiotowa rozmowa nie zawiera danych osobowych. Jedyna dana osobowa w postaci Numeru Identyfikacji Podatkowej była elementem weryfikacyjnym podawanym przez Skarżącą w celu potwierdzenia, z kim faktycznie rozmowa miała być przeprowadzona. Z tych względów oraz z uwagi na fakt, że rozmowa zawiera także istotne informacje których ujawnienie wpływało niekorzystnie na prawa innych (zgodnie z art. 15 ust. 4 rozporządzenia 2016/679), Spółka odmówiła Skarżącej dostępu do nagrania i przekazała wyłącznie informacje o zakresie przetwarzanych danych (dowód: wyjaśnienia Spółki z […] marca 2021 r.).

W tym stanie faktycznym Prezes UODO zważył, co następuje.

Odnosząc się do zarzutu w przedmiocie odmowy realizacji przez Spółkę wniosku Skarżącej o udostępnienie kopii dotyczących jej danych osobowych – tj. wniosku złożonego  w oparciu o art. 15 ust. 3 rozporządzenia 2016/679 – wskazać należy, że zgodnie z art. 15 ust. 3 zdanie pierwsze rozporządzenia 2016/679 administrator dostarcza osobie, której dane dotyczą, kopię danych osobowych podlegających przetwarzaniu. Z kolei zgodnie z ust. 4 wskazanego przepisu, prawo do uzyskania kopii, o której mowa w ust. 3, nie może niekorzystnie wpływać  na prawa i wolności innych.

Zgodnie z art. 12 ust. 3 rozporządzenia 2016/679 administrator bez zbędnej zwłoki  – a w każdym razie w terminie miesiąca od otrzymania żądania – udziela osobie, której dane dotyczą, informacji o działaniach podjętych w związku z żądaniem na podstawie art. 15-22 (zdanie pierwsze). Jeśli osoba, której dane dotyczą, przekazała swoje żądanie elektronicznie, w miarę możliwości informacje także są przekazywane elektronicznie, chyba że osoba, której dane dotyczą, zażąda innej formy (zdanie czwarte). Stosownie zaś do art. 12 ust. 5 zdanie drugie lit. b, jeżeli żądania osoby, której dane dotyczą, są ewidentnie nieuzasadnione lub nadmierne,  w szczególności ze względu na swój ustawiczny charakter, administrator może odmówić podjęcia działań w związku z żądaniem. Obowiązek wykazania, że żądanie ma ewidentnie nieuzasadniony lub nadmierny charakter, spoczywa na administratorze (zdanie trzecie).

Obowiązek określony w art. 15 ust. 3 rozporządzenia 2016/679 administrator może zrealizować zarówno poprzez sporządzenie kopii lub odpisu nośnika (dokumentu lub nagrania) zawierającego dane osobowe oraz inne dane, jak i poprzez podanie uprawnionemu treści jego danych osobowych, z pominięciem informacji znajdujących się w nośniku, które nie są danymi osobowymi w rozumieniu art. 4 pkt 1 rozporządzenia 2016/679. W razie otrzymania żądania dostarczenia kopii przetwarzanych danych osobowych administrator każdorazowo podejmuje decyzję, w jaki sposób zrealizuje to żądanie. W przypadku danych osobowych utrwalonych na nagraniu będzie to wybór między udostępnieniem kopii nagrania a udostępnieniem kopii danych zawartych w tym nagraniu. Podkreślenia wymaga, że administrator musi spełnić dodatkowo wymóg kontroli nad zakresem przekazywanych w kopii danych osobowych. Jak wskazuje się  w doktrynie (cyt.): „Poza przypadkami wskazanym w art. 12 szczególne ograniczenie realizacji prawa do uzyskania kopii danych wynika z ust. 4 komentowanego art. 15, zgodnie z którym przekazanie kopii danych nie może niekorzystnie wpływać na prawa i wolności innych. Norma ta, wyznaczająca granice między uprawnieniami podmiotu danych a prawami i wolnościami innych podmiotów, nie może stać się podstawą do pozbawienia osoby, której dane dotyczą, możliwości realizacji przyznanego jej uprawnienia do uzyskania kopii jej danych. Wymaga jednak od administratora, zwłaszcza w przypadku żądania przekazania kopii danych (motyw 63), kontroli nad zakresem przekazywanych informacji. Ma ona na celu wyeliminowanie z udostępnianego zasobu danych tych informacji, których udostępnienie mogłoby naruszyć prawa innych podmiotów. Poza prawem do prywatności czy prawem do ochrony danych osobowych administrator, przekazując osobie uprawnionej kopię danych, powinien uwzględnić także m.in. tajemnicę handlową, własność intelektualną czy prawa autorskie chroniące oprogramowanie (motyw 63)” (J. Łuczak [w:] „RODO. Ogólne rozporządzenie o ochronie danych. Komentarz”, red. E. Bielak-Jomaa, D. Lubasz, Warszawa 2018, art. 15).

Materiał dowodowy zgromadzony w niniejszej sprawie wykazał, że Skarżąca kilkukrotnie zwracała się do Spółki o wydanie kopii treści nagrań jej rozmów telefonicznych z konsultantem Spółki (tj. w dniach: […] marca 2020 r., […] maja 2020 r., […] lipca 2020 r. oraz […] sierpnia 2020 r.), w tym w piśmie z dnia […] sierpnia 2020 r. powołując się na art. 15 rozporządzenia 2016/679.  Do powyższego Spółka ustosunkowała się przesyłając Skarżącej w formie tekstowej treść  jej danych osobowych przetwarzanych przez Spółkę, jednocześnie odmawiając przesłania wnioskowanych nagrań z rozmów telefonicznych z konsultantem Spółki z uwagi na bezpieczeństwo danych (pkt 3 stanu faktycznego). W wyjaśnieniach zaś Spółka zarzuciła skardze bezzasadność twierdząc, że rozmowa o którą chodzi Skarżącej nie zawiera jej danych osobowych.

Mając na uwadze powyższe należy wskazać, że sposób realizacji przez Spółkę obowiązku informacyjnego z art. 15 ust. 3 rozporządzenia 2016/679 nie uwzględnił okoliczności, że w wyniku przechowywania nagrań z rozmów telefonicznych z […] października 2019 r. oraz […] stycznia 2020 r. przetwarza ona dane osobowe także w zakresie głosu Skarżącej. Prezes UODO podziela stanowisko Wojewódzkiego Sądu Administracyjnego w Warszawie przedstawione w wyroku  z dnia 14 lipca 2016 r. (sygn. II SA/Wa 2080/15), dotyczące art. 33 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.U. z 2016 r. poz. 922), który w czasie obowiązywania tej ustawy regulował zakres informacji udzielanych przez administratora danych osobowych  na wniosek osoby, której dane dotyczyły oraz termin spełnienia ww. obowiązku informacyjnego. Sąd orzekł, że – cyt.: „administrator danych osobowych w odpowiedzi na wniosek osoby, której dane dotyczą, o którym mowa w art. 33 ust. 1 ustawy, powinien udzielić informacji w sposób prosty, zrozumiały, a nie w sposób nakazujący takiej osobie domyślać się intencji administratora danych, czy dokonywać jakiejś dodatkowej interpretacji, czy wnioskowania z udzielonej mu odpowiedzi”. W ocenie Prezesa UODO powyższe pozostaje aktualne w obecnym stanie prawnym i znajduje zastosowanie przy realizacji obowiązku z art. 15 ust. 3 rozporządzenia 2016/679,  tj. forma przekazania kopii przetwarzanych danych osobowych nie powinna budzić wątpliwości osoby o nią wnioskującej, czy wszystkie jej dane osobowe zostały tą kopią objęte. Tymczasem Spółka w realizacji powyższego obowiązku nie uwzględniła wśród danych osobowych Skarżącej przetwarzanych w związku z rozmowami telefonicznymi z […] października 2019 r. oraz  z […] stycznia 2020 r. jej głosu.

Spółka zarówno w toku korespondencji ze Skarżącą, jak i w treści wyjaśnień jako przyczynę odmowy podnosiła, że ujawnienie wnioskowanych nagrań wpłynęłoby niekorzystnie na prawa innych osób (zgodnie z art. 15 ust. 4 rozporządzenia 2016/679). Artykuł 15 ust. 4 rozporządzenia 2016/679 wymaga, aby realizacja żądania podmiotu danych odbywała się  z poszanowaniem praw i wolności osób postronnych. W kompetencji administratora leży bowiem ocena, czy udostępnienie danych osobowych Skarżącej w postaci nagrań z rozmów telefonicznych nie będzie negatywnie wpływać na prawa i wolności innych osób. Uznanie, że do takiego wpływu dochodzi nie może jednak stać się podstawą do pozbawienia podmiotu danych możliwości realizacji jego uprawnień wynikających z art. 15 ust. 3 rozporządzenia 2016/679. Wskazany przepis, wyznaczając granicę między uprawnieniami wnioskodawcy a prawami osób trzecich,  ma służyć ochronie tych osób trzecich w przypadku, kiedy ich dane osobowe znajdują się  w źródłach, których kopii żąda dana osoba – nie może być zaś traktowany jako ograniczenie uprawnień osoby żądającej realizacji praw wynikających z przepisów prawa. Stwierdzenie, że udostępnienie kopii danych może powodować naruszenie praw i wolności osób trzecich skutkuje natomiast obowiązkiem administratora do wyeliminowania tych informacji, których udostępnienie w związku z ich przekazaniem wnioskodawcy mogłoby naruszać prawa osób postronnych  – w przypadku nagrania z rozmowy telefonicznej na przykład poprzez anonimizację głosu tych osób, utrwalonego na nagraniu. Dodatkowo podkreślić należy istnienie darmowych rozwiązań (programów) dających możliwość usunięcia (wyciszenia) dźwięku z nagrań audio.

Ocena dokonywana przez Prezesa UODO w każdym przypadku służy zbadaniu zasadności skierowania pod adresem określonego podmiotu nakazu odpowiadającego dyspozycji art. 58  ust 2 rozporządzenia 2016/679 służącego przywróceniu stanu zgodnego z prawem w procesie przetwarzania danych – jest więc ona uzasadniona i potrzebna tylko o tyle, o ile objęty skargą proces przetwarzania danych osobowych istnieje. Jak wykazał materiał dowodowy w niniejszej sprawie sposób realizacji obowiązku informacyjnego z art. 15 ust. 3 rozporządzenia 2016/679 przez Spółkę względem Skarżącej nie uwzględnił kopii wszystkich jej danych osobowych przetwarzanych przez Spółkę. Zaistniała więc przesłanka do zastosowania przez organ nadzorczy uprawnień, o których mowa w art. 58 ust. 2 lit. c rozporządzenia 2016/679 i nakazania Spółce spełnienia obowiązku informacyjnego z art. 15 ust. 3 rozporządzenia 2016/679 względem Skarżącej, poprzez dostarczenie jej kopii danych osobowych utrwalonych w nagraniach z rozmów telefonicznych z konsultantem z […] października 2019 r. oraz z […] stycznia 2020 r., uwzględniającej głos Skarżącej.

W tym stanie faktycznym oraz prawnym Prezes Urzędu Ochrony Danych Osobowych orzekł, jak w sentencji.

Pouczenie: Decyzja jest ostateczna. Na podstawie art. 7 ust. 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781 t.j.) i w zw. z art. 13 § 2, art. 53 § 1 i art. 54 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2022 r. poz. 329 ze zm.), od niniejszej decyzji stronie przysługuje prawo wniesienia skargi do Wojewódzkiego Sądu Administracyjnego w Warszawie, w terminie 30 dni od dnia doręczenia niniejszej decyzji, za pośrednictwem Prezesa Urzędu Ochrony Danych Osobowych (adres: Urząd Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa). Wpis od skargi wynosi 200 złotych. Strona ma prawo ubiegania się o prawo pomocy, w tym zwolnienie od kosztów sądowych.