Przy umowie na telefon nie można żądać kopii dowodu osobistego - wyrok NSA

Kanwą sprawy, którą w kwietniu rozstrzygnął Naczelny Sąd Administracyjny, była praktyka jednej ze spółek świadczących usługi telekomunikacyjne.

Kanał internetowy i telefoniczny

Firma ta udostępnia klientom trzy kanały sprzedaży, za pośrednictwem których można zawrzeć umowę o świadczenie usług. Są to kanał sklepowy (sklepy stacjonarne), internetowy oraz telefoniczny. W przypadku zawierania ze spółką umowy o świadczenie usług za pośrednictwem kanału internetowego lub kanału telefonicznego, warunkiem zawarcia umowy jest przekazanie spółce kopii dowodu osobistego oraz wyrażenie zgody na przetwarzanie danych osobowych w nim zawartych (wizerunek, wzrost, kolor oczu oraz adres zameldowania). Przekazanie spółce wskazanych danych oraz wyrażenie zgody na ich przetwarzanie jest dobrowolne (opcjonalne) wyłącznie, gdy klient zawiera umowę w sklepie stacjonarnym. Natomiast w przypadku kanału internetowego oraz kanału telefonicznego, przekazanie wszystkich danych widniejących w dowodzie osobistym oraz wyrażenie zgody na ich przetwarzanie jest obowiązkowe.

Spółka tłumaczyła wprowadzenie takich zasad koniecznością zabezpieczenia się przed nadużyciami, jakie w przeszłości masowo występowały w sprzedaży telefonicznej i internetowej.

Generalny inspektor ochrony danych osobowych uznał, że praktyka sprzedaży usług za pośrednictwem Internetu albo telefonu, z obligatoryjnym warunkiem podania przez klienta danych osobowych widniejących w dowodzie osobistym była nieprawidłowa. Nakazał więc usunięcie uchybień poprzez zapewnienie osobom fizycznym zawierającym ze spółką umowę o świadczenie usług telekomunikacyjnych - za pośrednictwem internetowego oraz telefonicznego kanału sprzedaży - swobody (opcjonalności) w kwestii wyrażenia zgody na przetwarzanie przez spółkę danych osobowych widniejących w dowodzie osobistym.

Wzrost, kolor oczu, adres zameldowania

Stanowisko to podzielił Wojewódzki Sąd Administracyjny w Warszawie. W jego opinii wykładnia przepisów nie pozostawia wątpliwości, iż do zawarcia umowy o świadczenie usług telekomunikacyjnych, przedsiębiorca telekomunikacyjny może bez zgody klienta przetwarzać jedynie takie dane osobowe, które zostały wskazane w art. 161 ust. 2 ustawy Prawo telekomunikacyjne. Jak zaznaczono, w przepisie tym nie zawarto zezwolenia na przetwarzanie danych takich jak: wzrost, kolor oczu oraz adres zameldowania, a zatem przetwarzać je można jedynie za zgodą osoby, której dane te dotyczą.

WSA uznał, że w procesie zawierania umowy o świadczenie usług telekomunikacyjnych - za pośrednictwem internetowego oraz telefonicznego kanału sprzedaży - nie zapewniono swobody w zakresie wyrażenia zgody na przetwarzanie przez spółkę danych wykraczających poza zakres określony w art. 161 ust. 2 pkt 1-6 Prawa telekomunikacyjnego. Ponadto niewyrażenie zgody na przetwarzanie przez spółkę danych, o których mowa powyżej, miało skutkować odmową zawarcia umowy za pośrednictwem wymienionych kanałów sprzedaży. – Stąd też opisana praktyka, jako praktyka naruszająca wskazane przepisy, musiała zostać zakwestionowania przez GIODO – podsumował sąd.

Bez kontaktu osobistego

W skardze kasacyjnej pełnomocnik spółki podniósł, że przyjęty sposób weryfikacji tożsamości oraz zdolności wykonania zobowiązania osoby składającej zamówienie poprzez zdalne kanały sprzedaży wynika z faktu, że kanały te są szczególnie narażone na występowanie w nich nadużyć finansowych, jak również na szkodę osób, których dane osobowe wykorzystywane są do złożenia zamówienia bez ich wiedzy. Poza tym w przypadku sprzedaży usług za pomocą zdalnych kanałów brak jest możliwości identyfikacji klientów analogicznych do stosowanych w stacjonarnych punktach sprzedaży. Wobec braku możliwości kontaktu osobistego przed zawarciem umowy, pozostaje tylko jeden sposób uwiarygodniania jego tożsamości, tj. pozyskiwanie kserokopii dokumentu tożsamości przed przyjęciem zamówienia.

Spółka podkreśliła, że nie nakłada obowiązku wyrażenia zgody w celu zawarcia umowy o świadczenie usług telekomunikacyjnych. Jeżeli klient nie wyrazi zgody i nie chce przekazywać kserokopii dokumentu tożsamości, może zawrzeć umowę w sklepie stacjonarnym, po bezpośredniej weryfikacji przez konsultanta dokumentu oraz tego, czy posługuje się nim właściwa osoba. - Z przyczyn oczywistych nie jest możliwe zastosowanie takiej procedury weryfikacji przy braku kontaktu bezpośredniego – zaznaczono.

Pełnomocnik spółki argumentował też, że dowód osobisty jest dokumentem stwierdzającym tożsamość i obywatelstwo polskie, a ponadto dane w nim zawarte służą identyfikacji osoby. Tymczasem prawidłowa identyfikacja osoby fizycznej, zawierającej umowę o świadczenie usług telekomunikacyjnych poprzez zdalne kanały jest niezwykle istotna i ze względu na specyfikę tego typu kanałów sprzedaży utrudniona. Zdaniem spółki WSA niezasadnie uznał, że dowód osobisty służy wyłącznie stwierdzeniu tożsamości i identyfikacji osoby, a nie jej możliwości płatniczych. – Opisany sposób weryfikacji osoby składającej zamówienie za pośrednictwem zdalnych kanałów sprzedaży, a następnie zawierającej umowę o świadczenie usług telekomunikacyjnych w obecności kuriera, polegający na pozyskaniu kserokopii dowodu osobistego, w powiązaniu z pozostałymi danymi zawartymi w innych dokumentach dostarczanych przez tę osobę pozwala na ocenę możliwości wykonania zobowiązania wobec dostawcy usług telekomunikacyjnych wynikającego z umowy o świadczenie usług telekomunikacyjnych. Przesądza to o tym, że dowód tożsamości winien być uznany za dokument, o jakim mowa w art. 161 ust. 2 pkt 7 ustawy Prawo telekomunikacyjne – przekonywała w skardze kasacyjnej spółka.

Dodatkowe potwierdzenie tożsamości

Argumenty te nie przekonały Naczelnego Sądu Administracyjnego. Podzielił on pogląd WSA, że dla rozstrzygnięcia sprawy nie miało znaczenia, że warunek zawarcia umowy (przedstawienie kopii dowodu osobistego) dotyczy wyłącznie sprzedaży internetowej i telefonicznej, a swoboda udzielenia stosownej zgody jest zachowana, gdyż usługodawca zapewnił możliwość zawarcia umowy w punktach stacjonarnych, w przypadkach gdy zgoda na przetwarzanie wspomnianych informacji jest opcjonalna. Jak bowiem wskazano, legalność przetwarzania danych osobowych klientów przedsiębiorcy telekomunikacyjnego należy oceniać indywidualnie w odniesieniu do każdego z kanałów sprzedaży. Nie są one bowiem ze sobą w żaden sposób powiązane, stanowią natomiast odrębne i niezależne sposoby dystrybucji usług. – Brak jest jednocześnie podstaw do różnicowania zakresu obowiązkowo wymaganych danych o kliencie w zależności od kanału sprzedaży, zaś wskazywane przez spółkę argumenty dotyczące zagrożeń właściwego zabezpieczenia wykonania umowy przez osobę zawierającą ją za pośrednictwem zdalnych kanałów sprzedaży mają charakter pozaprawny i nie mogą mieć wpływu na rozstrzygnięcie sprawy, gdy przyjęta praktyka jest niezgodna z prawem – wskazano.

Fałszywe dane

Jak zauważono, żądanie kserokopii dowodu osobistego od osoby zawierającej umowę telefonicznie lub za pośrednictwem Internetu również nie prowadzi do całkowitego wyeliminowania możliwości wskazywanych przez spółkę nadużyć polegających na podawaniu przez osoby korzystające z takich kanałów sprzedaży fałszywych danych o sobie.

Dalej NSA wskazał, że dowód osobisty nie jest dokumentem potwierdzającym możliwość wykonania umowy o świadczenie usług telekomunikacyjnych, a dane zawarte w dowodzie służą przede wszystkim identyfikacji osoby. - Gromadzenie danych, wykraczających poza ramy określone w art. 161 ust. 2 pkt 1 - 6 (np. wizerunek, wzrost, kolor oczu oraz adres zameldowania) może mieć na celu dodatkowe potwierdzenie tożsamości klientów oraz autentyczności dokumentów w związku z zawieraniem umów o świadczenie usług telekomunikacyjnych, nie służy zaś bezpośrednio potwierdzeniu, czy użytkownik będzie w stanie regulować rachunki za udostępnione mu usługi telekomunikacyjne – wyjaśniono. Stąd też, zdaniem sądu, nie było uprawnione stanowisko spółki, że art. 161 ust. 2 pkt 7 ustawy Prawo telekomunikacyjne stanowi podstawę do przetwarzania danych osobowych zawartych w dowodzie osobistym, innych niż wymienione w art. 161 ust. 2 pkt 1–6 dla celów weryfikacji zdolności wywiązania się z umowy przez osoby na rzecz, których spółka miałaby świadczyć usługi telekomunikacyjne.

Wyrok Naczelnego Sądu Administracyjnego z 18 kwietnia 2018 r.

sygnatura akt: I OSK 1354/16

masz pytanie, wyślij e-mail do autora: m.adamski@rp.pl

Co mówi przepis

Dostawca publicznie dostępnych usług telekomunikacyjnych jest uprawniony do przetwarzania następujących danych dotyczących użytkownika będącego osobą fizyczną:

- nazwisk i imion;

- imion rodziców;

- miejsca i daty urodzenia;

- adresu miejsca zamieszkania i adresu korespondencyjnego jeżeli jest on inny niż adres miejsca zamieszkania;

- numeru ewidencyjnego PESEL – w przypadku obywatela Rzeczypospolitej Polskiej;

- nazwy, serii i numeru dokumentów potwierdzających tożsamość, a w przypadku cudzoziemca, który nie jest obywatelem państwa członkowskiego albo Konfederacji Szwajcarskiej – numeru paszportu lub karty pobytu;