RODO play krok po kroku w postępowaniu w praktyce prawnej

W dobie powszechnej cyfryzacji i mobilności, operatorzy telekomunikacyjni przetwarzają gigantyczne ilości danych osobowych. Wśród nich szczególne miejsce zajmuje Play (P4), jako jeden z największych dostawców usług telekomunikacyjnych w Polsce. Dla radców prawnych, adwokatów oraz samych abonentów, poruszanie się w gąszczu procedur związanych z ochroną danych osobowych (RODO) u tak dużego podmiotu stanowi nie lada wyzwanie. Niniejsza publikacja stanowi kompleksowy przewodnik po procedurze realizacji praw wynikających z Ogólnego Rozporządzenia o Ochronie Danych (RODO) w relacji z operatorem telekomunikacyjnym, ze szczególnym uwzględnieniem praktycznych aspektów postępowań przed Prezesem Urzędu Ochrony Danych Osobowych (UODO).

Specyfika danych osobowych u operatora telekomunikacyjnego

Przetwarzanie danych przez operatora telekomunikacyjnego różni się od standardowych procesów zachodzących w innych branżach. Wynika to z faktu, że operator dysponuje nie tylko podstawowymi danymi identyfikacyjnymi klientów (takimi jak imię, nazwisko, PESEL czy adres zamieszkania), ale również danymi o charakterze wrażliwym i technicznym. Do tej drugiej kategorii zaliczamy dane transmisyjne (wykazy połączeń, czas trwania połączeń, numery kierunkowe), dane o lokalizacji urządzenia końcowego oraz dane bilingowe. Wszystkie te informacje stanowią dane osobowe w rozumieniu art. 4 pkt 1 RODO, ponieważ pozwalają na pośrednie lub bezpośrednie zidentyfikowanie osoby fizycznej.

W praktyce prawnej kluczowe jest zrozumienie relacji pomiędzy przepisami RODO a ustawą Prawo telekomunikacyjne. Choć RODO stanowi ogólne ramy prawne, to przepisy sektorowe często nakładają na operatorów specyficzne obowiązki lub ograniczają niektóre prawa użytkowników. Przykładem jest obowiązkowa retencja danych, czyli przechowywanie danych transmisyjnych i lokalizacyjnych przez okres 12 miesięcy na potrzeby uprawnionych organów państwowych (np. policji czy prokuratury). W tym okresie abonent nie może skutecznie żądać usunięcia tych danych, powołując się na prawo do bycia zapomnianym.

Prawa abonenta na gruncie RODO – katalog roszczeń

Abonent lub użytkownik usług przedpłaconych (prepaid) dysponuje szerokim wachlarzem uprawnień, które może realizować wobec operatora. W praktyce najczęściej spotykamy się z następującymi żądaniami:

Prawo dostępu do danych (art. 15 RODO): Klient ma prawo uzyskać od operatora potwierdzenie, czy przetwarzane są jego dane, a także otrzymać ich kopię. Dotyczy to m.in. historii połączeń, historii doładowań czy zarejestrowanych danych lokalizacyjnych.
Prawo do sprostowania danych (art. 16 RODO): Umożliwia poprawienie nieaktualnych lub błędnych informacji, np. nowego adresu korespondencyjnego czy nazwiska po ślubie.
Prawo do usunięcia danych (art. 17 RODO): Znane jako prawo do bycia zapomnianym. Ma zastosowanie głównie po rozwiązaniu umowy, w odniesieniu do danych, których operator nie musi przetwarzać na podstawie innych przepisów prawa (np. celów podatkowych czy obrony przed roszczeniami).
Prawo do ograniczenia przetwarzania (art. 18 RODO): Stosowane np. w sytuacji, gdy kwestionujemy prawidłowość danych lub wnieśliśmy sprzeciw wobec ich przetwarzania.
Prawo do przenoszenia danych (art. 20 RODO): Pozwala na otrzymanie danych w ustrukturyzowanym, powszechnie używanym formacie i przesłanie ich innemu operatorowi.

Wniosek do operatora Play – krok po kroku

Skuteczne wszczęcie procedury wymaga prawidłowego sformułowania i doręczenia wniosku. Poniżej przedstawiamy procedurę krok po kroku, która minimalizuje ryzyko odrzucenia wniosku z przyczyn formalnych.

Krok 1: Precyzyjne określenie wnioskodawcy i weryfikacja tożsamości

Operator telekomunikacyjny ma bezwzględny obowiązek dbania o bezpieczeństwo danych. Oznacza to, że przed udzieleniem jakichkolwiek informacji musi jednoznacznie zweryfikować tożsamość wnioskodawcy. Wniosek powinien zawierać pełne dane identyfikacyjne: imię, nazwisko, numer PESEL, adres zamieszkania oraz numer telefonu, którego sprawa dotyczy. W przypadku reprezentowania klienta przez profesjonalnego pełnomocnika (adwokata lub radcę prawnego), do wniosku należy dołączyć oryginał lub uwierzytelniony odpis pełnomocnictwa, zawierający wyraźne upoważnienie do działania w sprawach związanych z ochroną danych osobowych.

Krok 2: Sformułowanie żądania

Żądanie musi być jasne i precyzyjne. Jeśli klient domaga się kopii danych, należy wskazać, o jaki okres i o jakie konkretnie kategorie danych chodzi (np. kopia bilingów z okresu od stycznia do marca danego roku). Niejasne sformułowania typu chcę wiedzieć wszystko, co o mnie macie mogą wydłużyć procedurę, gdyż operator będzie zmuszony wezwać wnioskodawcę do sprecyzowania zakresu żądania.

Krok 3: Wybór kanału komunikacji

Wniosek można złożyć drogą elektroniczną (np. poprzez dedykowany formularz kontaktowy w serwisie samoobsługowym Play24, podpisany podpisem zaufanym lub kwalifikowanym) bądź tradycyjną drogą pocztową. W celach dowodowych zaleca się wysłanie pisma listem poleconym za zwrotnym potwierdzeniem odbioru na oficjalny adres rejestrowy operatora (P4 Sp. z o.o.).

Obowiązki operatora i ustawowe terminy

Po otrzymaniu wniosku na operatorze spoczywają określone obowiązki proceduralne. Przede wszystkim, zgodnie z art. 12 ust. 3 RODO, administrator ma obowiązek udzielić odpowiedzi bez zbędnej zwłoki, a w każdym razie w terminie miesiąca od otrzymania żądania. Termin ten ma charakter instrukcyjny dla sprawnego działania, ale jego przekroczenie bez uzasadnienia stanowi naruszenie prawa.

W sprawach o szczególnie skomplikowanym charakterze lub przy dużej liczbie wniosków, termin ten może zostać przedłużony o kolejne dwa miesiące. W takim przypadku operator jest jednak zobowiązany do poinformowania wnioskodawcy o takim przedłużeniu w ciągu pierwszego miesiąca, podając konkretne przyczyny opóźnienia. Brak jakiejkolwiek odpowiedzi w terminie jednego miesiąca otwiera wnioskodawcy drogę do podjęcia dalszych kroków prawnych.

Postępowanie przed Prezesem UODO jako organem nadzorczym

W sytuacji, gdy operator odmawia realizacji praw (np. odmawia wydania kopii danych, powołując się na tajemnicę telekomunikacyjną lub brak możliwości technicznych) albo ignoruje wniosek, kolejnym krokiem jest złożenie skargi do organu nadzorczego – Prezesa Urzędu Ochrony Danych Osobowych. Postępowanie to toczy się na podstawie przepisów Kodeksu postępowania administracyjnego oraz ustawy o ochronie danych osobowych.

Skarga do UODO powinna zawierać:

Dane skarżącego oraz dane operatora jako uczestnika postępowania.
Dokładny opis naruszenia (np. bezczynność operatora, niepełna realizacja prawa dostępu do danych).
Dowody potwierdzające podjęcie próby polubownego załatwienia sprawy (np. kopia wysłanego wniosku wraz z dowodem nadania oraz ewentualna odpowiedź operatora).
Jasno sformułowane żądanie nakazania operatorowi określonego działania (np. nakazanie udostępnienia kopii danych).

Organ nadzorczy przeprowadza postępowanie wyjaśniające, w toku którego może żądać od operatora wyjaśnień oraz przedstawienia dokumentów. Postępowanie przed UODO kończy się wydaniem decyzji administracyjnej. W przypadku stwierdzenia naruszenia, Prezes UODO może nakazać operatorowi spełnienie żądania wnioskodawcy, a w skrajnych przypadkach nałożyć na podmiot administracyjną karę pieniężną.

Najczęstsze błędy w sprawach przeciwko operatorom telekomunikacyjnym

Analiza praktyki prawnej pozwala na zidentyfikowanie kilku powtarzających się błędów popełnianych przez pełnomocników oraz samych wnioskodawców:

Brak wykazania interesu prawnego przy żądaniu danych osób trzecich: Często wnioskodawcy domagają się wykazu połączeń z telefonu, który użytkują, ale którego abonentem (stroną umowy) jest inna osoba (np. małżonek lub pracodawca). Operator ma prawo, a wręcz obowiązek odmówić udostępnienia takich danych osobie niebędącej stroną umowy, chyba że posiada ona stosowne pełnomocnictwo od abonenta.
Mylenie prawa do usunięcia danych z prawem do rozwiązania umowy: Złożenie wniosku o usunięcie danych (bycie zapomnianym) nie jest tożsame z wypowiedzeniem umowy i nie zwalnia z obowiązku regulowania należności abonamentowych. Ponadto, dopóki umowa trwa, operator musi przetwarzać dane w celu jej realizacji.
Ignorowanie wezwań operatora do weryfikacji tożsamości: Jeśli operator ma uzasadnione wątpliwości co do tożsamości osoby składającej wniosek elektronicznie, ma prawo zażądać dodatkowych informacji. Ignorowanie takich wezwań skutkuje pozostawieniem wniosku bez rozpoznania, co uniemożliwia późniejsze skuteczne skarżenie operatora do UODO.

Praktyczny przykład (Case Study)

Klient kancelarii, pan Jan, rozwiązał umowę z operatorem Play w grudniu 2022 roku. W marcu 2023 roku wystąpił z wnioskiem o usunięcie wszystkich jego danych osobowych z baz operatora. Operator odpowiedział, że dane zostaną usunięte, jednak część z nich (dane bilingowe oraz dane niezbędne do celów podatkowych) musi być przechowywana przez okres odpowiednio 12 miesięcy (retencja telekomunikacyjna) oraz 5 lat (przepisy podatkowe). Pan Jan uznał to za odmowę i złożył skargę do UODO.

Prezes UODO po przeprowadzeniu postępowania wyjaśniającego oddalił skargę pana Jana. W uzasadnieniu organ wskazał, że prawo do usunięcia danych nie ma charakteru bezwzględnego. Jeśli przetwarzanie jest niezbędne do wywiązania się z prawnego obowiązku wymagającego przetwarzania na mocy prawa Unii lub prawa państwa członkowskiego, któremu podlega administrator (art. 17 ust. 3 lit. b RODO), żądanie usunięcia danych jest nieuzasadnione. Operator postąpił zgodnie z prawem, przechowując dane bilingowe przez wymagany ustawowo rok, a dane finansowe przez okres przedawnienia zobowiązań podatkowych.

Podsumowanie i rekomendacje dla praktyków

Prowadzenie postępowań z zakresu RODO przeciwko dużym operatorom telekomunikacyjnym, takim jak Play, wymaga nie tylko znajomości przepisów ogólnych rozporządzenia, ale również specyfiki prawa telekomunikacyjnego. Kluczem do sukcesu jest rzetelne przygotowanie wniosku, bezbłędna weryfikacja tożsamości mocodawcy oraz precyzyjne określenie żądań. W przypadku sporu, skarga do Prezesa UODO stanowi skuteczne narzędzie prawne, pod warunkiem, że potrafimy wykazać bezczynność lub bezprawność działania administratora. Pełnomocnicy powinni zawsze rzetelnie oceniać realność żądań klientów, szczególnie w kontekście ustawowych okresów retencji danych, które skutecznie ograniczają natychmiastową realizację prawa do bycia zapomnianym.