nakazuje F. P. S.A. z siedzibą w W., spełnienie wobec Pani M. G., zam. w W., obowiązku informacyjnego określonego w art. 15 ust. 3 rozporządzenia 2016/679 poprzez dostarczenie kopii jej danych osobowych utrwalonych w nagraniach rozmów telefonicznych z konsultantem, uwzględniającej głos Pani M. G.

Uzasadnienie

Do Prezesa Urzędu Ochrony Danych Osobowych, zwanego dalej także Prezesem UODO, wpłynęła skarga Pani M. G., zam. w W., zwanej dalej: Skarżącą, na nieprawidłowości w procesie przetwarzania jej danych osobowych przez F. P. S.A. z siedzibą w W. (uprzednio: F. D. P. S.A.), zwaną dalej: Spółką, polegające na niezrealizowaniu wniosku Skarżącej o udostępnienie kopii dotyczących jej danych osobowych, tj. wniosku złożonego  w oparciu o art. 15 ust. 3 rozporządzenia 2016/679.

W toku przeprowadzonego postępowania wyjaśniającego w niniejszej sprawie Prezes UODO ustalił, co następuje:

1. Skarżąca wskazała, że zwróciła się do Spółki z żądaniem udostępnienia jej kopii danych osobowych w postaci nagrań rozmów telefonicznych z konsultantami Spółki. Ponieważ odmówiono jej realizacji ww. żądania, zwróciła się z prośbą o interwencję do Prezesa UODO (dowód: pismo Skarżącej z […] września 2020 r.).
2. Spółka oświadczyła, że pozyskała dane Skarżącej bezpośrednio od niej w związku zawarciem w dniu […] marca 2018 r. umowy w sprawie współpracy dotyczącej obsługi  i rozliczania transakcji opłacanych kartami płatniczymi (dowód: wyjaśnienia Spółki  z […] marca 2021 r.).
3. Skarżąca pismem z […] marca 2020 r. zwróciła się do Spółki o udostępnienie nagrania jej rozmowy z konsultantem Spółki z dnia […] września 2019 r. Spółka odpowiedział na ww. wniosek w dniu […] kwietnia 2020 r. wskazując, cyt.: „nie odnajdujemy rozmowy telefonicznej, z numeru telefonu […], przeprowadzonej z Centrum Obsługi Klienta F. D. P. w dniu […].09.2019 r., na którą powołuje się Pani w zgłoszeniu z […].03.2020 r. W związku z tym prosimy o informację, z jakiego numeru telefonu oraz na jaki numer telefonu wykonywała Pani połączenie w dniu […].09.2019 r. w celu uzyskania informacji o sposobie wypowiedzenia umowy”. W związku z powyższym Skarżąca pismem z […] maja 2020 r. ponownie zwróciła się o udostępnienie ww. nagrania (nie wskazując żądanych przez Spółkę informacji dodatkowych). Spółka odpowiedziała na ww. korespondencję […] lipca 2020 r. ponownie informując, że nie odnajduje ww. rozmowy oraz ponownie żądając od Skarżącej wskazania dodatkowych informacji. Skarżąca pismem z […] lipca 2020 r. zwróciła się do Spółki z następującym żądaniem: „proszę o udostępnienie nagrań wszystkich przeprowadzonych przeze mnie rozmów z numeru telefonu […] na wszystkie Państwa infolinie w terminie od 2019-07-[…] do 2019-12-[…]”. Spółka odpowiedziała na ww. korespondencję […] sierpnia 2020 r. wskazując, że cyt.: „zostały odsłuchane wszystkie dostępne rozmowy z naszymi konsultantami. Rozmowa z dnia […].09.2019 r. dotyczyła terminu płatności faktur oraz postepowania windykacyjnego wobec Pani firmy. Kolejna rozmowa z dnia […].10.2019 r. dotyczyła potwierdzenia faktu rozwiązania Umowy z […].03.2018 r. Dwie kolejne rozmowy, obydwie z […].01.2020 r. dotyczyły prowadzonej windykacji przez firmę E. K. P. Sp. z o.o. Została Pani poinformowana, iż została wystawiona nota obciążeniowa za wcześniejsze wypowiedzenie Umowy (…). Jednoczenie informujemy, iż nie udostępniamy nagranych rozmów ze względu na bezpieczeństwo danych”.  W odpowiedzi na ww. pismo Skarżąca […] sierpnia 2020 r. ponownie zwróciła się  z wnioskiem o udostępnienie wszystkich nagrań rozmów telefonicznych przeprowadzonych z konsultantami Spółki dotyczących umowy. Spółka pismem z […] września 2020 r. odmówiła realizacji ww. wniosku w uzasadnieniu ponownie wskazując, że nie udostępnia nagrań rozmów z uwagi na bezpieczeństwo danych. Jednocześnie Spółka poinformowała Skarżącą co było przedmiotem przeprowadzonych rozmów z dni: […] października 2019 r. oraz […] stycznia 2020 r., w tym jakie dane osobowe zawierały: w jednym przypadku przed rozpoczęciem rozmowy Skarżąca przestawiła się podając imię i nazwisko, następnie w celach weryfikacyjnych podała numer NIP, w pozostałych przypadkach podano wyłącznie NIP firmy (dowód: wyjaśnienia Spółki z […] marca 2021 r. wraz załącznikami – korespondencja wymieniona między Spółką a Skarżącą, k. 34-41 akt sprawy).
4. Spółka w wyjaśnieniach z […] marca 2021 r. wskazała również, że skarga jest niezasadna z uwagi na fakt, że przedmiotowa rozmowa nie zawiera danych osobowych. Jedyna dana osobowa w postaci Numeru Identyfikacji Podatkowej była elementem weryfikacyjnym podawanym przez Skarżącą w celu potwierdzenia, z kim faktycznie rozmowa miała być przeprowadzona. Z tych względów oraz z uwagi na fakt, że rozmowa zawiera także istotne informacje których ujawnienie wpływało niekorzystnie na prawa innych (zgodnie z art. 15 ust. 4 rozporządzenia 2016/679), Spółka odmówiła Skarżącej dostępu do nagrania i przekazała wyłącznie informacje o zakresie przetwarzanych danych (dowód: wyjaśnienia Spółki z […] marca 2021 r.).

W tym stanie faktycznym Prezes UODO zważył, co następuje.

Odnosząc się do zarzutu w przedmiocie odmowy realizacji przez Spółkę wniosku Skarżącej o udostępnienie kopii dotyczących jej danych osobowych – tj. wniosku złożonego  w oparciu o art. 15 ust. 3 rozporządzenia 2016/679 – wskazać należy, że zgodnie z art. 15 ust. 3 zdanie pierwsze rozporządzenia 2016/679 administrator dostarcza osobie, której dane dotyczą, kopię danych osobowych podlegających przetwarzaniu. Z kolei zgodnie z ust. 4 wskazanego przepisu, prawo do uzyskania kopii, o której mowa w ust. 3, nie może niekorzystnie wpływać  na prawa i wolności innych.

Zgodnie z art. 12 ust. 3 rozporządzenia 2016/679 administrator bez zbędnej zwłoki  – a w każdym razie w terminie miesiąca od otrzymania żądania – udziela osobie, której dane dotyczą, informacji o działaniach podjętych w związku z żądaniem na podstawie art. 15-22 (zdanie pierwsze). Jeśli osoba, której dane dotyczą, przekazała swoje żądanie elektronicznie, w miarę możliwości informacje także są przekazywane elektronicznie, chyba że osoba, której dane dotyczą, zażąda innej formy (zdanie czwarte). Stosownie zaś do art. 12 ust. 5 zdanie drugie lit. b, jeżeli żądania osoby, której dane dotyczą, są ewidentnie nieuzasadnione lub nadmierne,  w szczególności ze względu na swój ustawiczny charakter, administrator może odmówić podjęcia działań w związku z żądaniem. Obowiązek wykazania, że żądanie ma ewidentnie nieuzasadniony lub nadmierny charakter, spoczywa na administratorze (zdanie trzecie).

Obowiązek określony w art. 15 ust. 3 rozporządzenia 2016/679 administrator może zrealizować zarówno poprzez sporządzenie kopii lub odpisu nośnika (dokumentu lub nagrania) zawierającego dane osobowe oraz inne dane, jak i poprzez podanie uprawnionemu treści jego danych osobowych, z pominięciem informacji znajdujących się w nośniku, które nie są danymi osobowymi w rozumieniu art. 4 pkt 1 rozporządzenia 2016/679. W razie otrzymania żądania dostarczenia kopii przetwarzanych danych osobowych administrator każdorazowo podejmuje decyzję, w jaki sposób zrealizuje to żądanie. W przypadku danych osobowych utrwalonych na nagraniu będzie to wybór między udostępnieniem kopii nagrania a udostępnieniem kopii danych zawartych w tym nagraniu. Podkreślenia wymaga, że administrator musi spełnić dodatkowo wymóg kontroli nad zakresem przekazywanych w kopii danych osobowych. Jak wskazuje się  w doktrynie (cyt.): „Poza przypadkami wskazanym w art. 12 szczególne ograniczenie realizacji prawa do uzyskania kopii danych wynika z ust. 4 komentowanego art. 15, zgodnie z którym przekazanie kopii danych nie może niekorzystnie wpływać na prawa i wolności innych. Norma ta, wyznaczająca granice między uprawnieniami podmiotu danych a prawami i wolnościami innych podmiotów, nie może stać się podstawą do pozbawienia osoby, której dane dotyczą, możliwości realizacji przyznanego jej uprawnienia do uzyskania kopii jej danych. Wymaga jednak od administratora, zwłaszcza w przypadku żądania przekazania kopii danych (motyw 63), kontroli nad zakresem przekazywanych informacji. Ma ona na celu wyeliminowanie z udostępnianego zasobu danych tych informacji, których udostępnienie mogłoby naruszyć prawa innych podmiotów. Poza prawem do prywatności czy prawem do ochrony danych osobowych administrator, przekazując osobie uprawnionej kopię danych, powinien uwzględnić także m.in. tajemnicę handlową, własność intelektualną czy prawa autorskie chroniące oprogramowanie (motyw 63)” (J. Łuczak [w:] „RODO. Ogólne rozporządzenie o ochronie danych. Komentarz”, red. E. Bielak-Jomaa, D. Lubasz, Warszawa 2018, art. 15).

Materiał dowodowy zgromadzony w niniejszej sprawie wykazał, że Skarżąca kilkukrotnie zwracała się do Spółki o wydanie kopii treści nagrań jej rozmów telefonicznych z konsultantem Spółki (tj. w dniach: […] marca 2020 r., […] maja 2020 r., […] lipca 2020 r. oraz […] sierpnia 2020 r.), w tym w piśmie z dnia […] sierpnia 2020 r. powołując się na art. 15 rozporządzenia 2016/679.  Do powyższego Spółka ustosunkowała się przesyłając Skarżącej w formie tekstowej treść  jej danych osobowych przetwarzanych przez Spółkę, jednocześnie odmawiając przesłania wnioskowanych nagrań z rozmów telefonicznych z konsultantem Spółki z uwagi na bezpieczeństwo danych (pkt 3 stanu faktycznego). W wyjaśnieniach zaś Spółka zarzuciła skardze bezzasadność twierdząc, że rozmowa o którą chodzi Skarżącej nie zawiera jej danych osobowych.

Mając na uwadze powyższe należy wskazać, że sposób realizacji przez Spółkę obowiązku informacyjnego z art. 15 ust. 3 rozporządzenia 2016/679 nie uwzględnił okoliczności, że w wyniku przechowywania nagrań z rozmów telefonicznych z […] października 2019 r. oraz […] stycznia 2020 r. przetwarza ona dane osobowe także w zakresie głosu Skarżącej.

Prezes UODO podziela stanowisko Wojewódzkiego Sądu Administracyjnego w Warszawie przedstawione w wyroku  z dnia 14 lipca 2016 r. (sygn. II SA/Wa 2080/15), dotyczące art. 33 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.U. z 2016 r. poz. 922), który w czasie obowiązywania tej ustawy regulował zakres informacji udzielanych przez administratora danych osobowych  na wniosek osoby, której dane dotyczyły oraz termin spełnienia ww. obowiązku informacyjnego. Sąd orzekł, że – cyt.: „administrator danych osobowych w odpowiedzi na wniosek osoby, której dane dotyczą, o którym mowa w art. 33 ust. 1 ustawy, powinien udzielić informacji w sposób prosty, zrozumiały, a nie w sposób nakazujący takiej osobie domyślać się intencji administratora danych, czy dokonywać jakiejś dodatkowej interpretacji, czy wnioskowania z udzielonej mu odpowiedzi”.

W ocenie Prezesa UODO powyższe pozostaje aktualne w obecnym stanie prawnym i znajduje zastosowanie przy realizacji obowiązku z art. 15 ust. 3 rozporządzenia 2016/679,  tj. forma przekazania kopii przetwarzanych danych osobowych nie powinna budzić wątpliwości osoby o nią wnioskującej, czy wszystkie jej dane osobowe zostały tą kopią objęte.

Tymczasem Spółka w realizacji powyższego obowiązku nie uwzględniła wśród danych osobowych Skarżącej przetwarzanych w związku z rozmowami telefonicznymi z […] października 2019 r. oraz  z […] stycznia 2020 r. jej głosu.

Spółka zarówno w toku korespondencji ze Skarżącą, jak i w treści wyjaśnień jako przyczynę odmowy podnosiła, że ujawnienie wnioskowanych nagrań wpłynęłoby niekorzystnie na prawa innych osób (zgodnie z art. 15 ust. 4 rozporządzenia 2016/679). Artykuł 15 ust. 4 rozporządzenia 2016/679 wymaga, aby realizacja żądania podmiotu danych odbywała się  z poszanowaniem praw i wolności osób postronnych.

W kompetencji administratora leży bowiem ocena, czy udostępnienie danych osobowych Skarżącej w postaci nagrań z rozmów telefonicznych nie będzie negatywnie wpływać na prawa i wolności innych osób. Uznanie, że do takiego wpływu dochodzi nie może jednak stać się podstawą do pozbawienia podmiotu danych możliwości realizacji jego uprawnień wynikających z art. 15 ust. 3 rozporządzenia 2016/679.

Wskazany przepis, wyznaczając granicę między uprawnieniami wnioskodawcy a prawami osób trzecich,  ma służyć ochronie tych osób trzecich w przypadku, kiedy ich dane osobowe znajdują się  w źródłach, których kopii żąda dana osoba – nie może być zaś traktowany jako ograniczenie uprawnień osoby żądającej realizacji praw wynikających z przepisów prawa. Stwierdzenie, że udostępnienie kopii danych może powodować naruszenie praw i wolności osób trzecich skutkuje natomiast obowiązkiem administratora do wyeliminowania tych informacji, których udostępnienie w związku z ich przekazaniem wnioskodawcy mogłoby naruszać prawa osób postronnych  – w przypadku nagrania z rozmowy telefonicznej na przykład poprzez anonimizację głosu tych osób, utrwalonego na nagraniu. Dodatkowo podkreślić należy istnienie darmowych rozwiązań (programów) dających możliwość usunięcia (wyciszenia) dźwięku z nagrań audio.

Ocena dokonywana przez Prezesa UODO w każdym przypadku służy zbadaniu zasadności skierowania pod adresem określonego podmiotu nakazu odpowiadającego dyspozycji art. 58  ust 2 rozporządzenia 2016/679 służącego przywróceniu stanu zgodnego z prawem w procesie przetwarzania danych – jest więc ona uzasadniona i potrzebna tylko o tyle, o ile objęty skargą proces przetwarzania danych osobowych istnieje. Jak wykazał materiał dowodowy w niniejszej sprawie sposób realizacji obowiązku informacyjnego z art. 15 ust. 3 rozporządzenia 2016/679 przez Spółkę względem Skarżącej nie uwzględnił kopii wszystkich jej danych osobowych przetwarzanych przez Spółkę.

Zaistniała więc przesłanka do zastosowania przez organ nadzorczy uprawnień, o których mowa w art. 58 ust. 2 lit. c rozporządzenia 2016/679 i nakazania Spółce spełnienia obowiązku informacyjnego z art. 15 ust. 3 rozporządzenia 2016/679 względem Skarżącej, poprzez dostarczenie jej kopii danych osobowych utrwalonych w nagraniach z rozmów telefonicznych z konsultantem z […] października 2019 r. oraz z […] stycznia 2020 r., uwzględniającej głos Skarżącej.

W tym stanie faktycznym oraz prawnym Prezes Urzędu Ochrony Danych Osobowych orzekł, jak w sentencji.

Pouczenie: Decyzja jest ostateczna. Na podstawie art. 7 ust. 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781 t.j.) i w zw. z art. 13 § 2, art. 53 § 1 i art. 54 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2022 r. poz. 329 ze zm.), od niniejszej decyzji stronie przysługuje prawo wniesienia skargi do Wojewódzkiego Sądu Administracyjnego w Warszawie, w terminie 30 dni od dnia doręczenia niniejszej decyzji, za pośrednictwem Prezesa Urzędu Ochrony Danych Osobowych (adres: Urząd Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa). Wpis od skargi wynosi 200 złotych. Strona ma prawo ubiegania się o prawo pomocy, w tym zwolnienie od kosztów sądowych.

orders F. P. S.A., with its registered office in W., to fulfil, with respect to Ms. M. G., residing in W., the information obligation set out in Article 15(3) of Regulation 2016/679 by providing a copy of her personal data recorded in the recordings of telephone conversations with the consultant, taking into account Ms. M. G.’s voice

Justification

The President of the Office for the Protection of Personal Data, hereinafter also referred to as the President of the Office for the Protection of Personal Data, received a complaint from Ms. M. G., residing in W., hereinafter also referred to as the Complainant, about irregularities in the processing of her personal data by F. P. S.A. with its registered office in W. (formerly: F. D. P. S.A.), hereinafter also referred to as the Company, consisting in the failure to fulfil the Complainant’s request for access to a copy of personal data concerning her, i.e. a request made pursuant to Article 15(3) of Regulation 2016/679

In the course of the investigation conducted in the present case, the President of the Office for the Protection of Human Rights established the following

1. The complainant indicated that she had requested the Company to provide her with a copy of her personal data in the form of recordings of telephone conversations with the Company’s consultants. As she was refused to comply with the aforementioned request, she requested the intervention of the President of the DPAO (evidence: the Complainant’s letter of […] September 2020).
2. The Company stated that it obtained the Complainant’s data directly from the Complainant in connection with the conclusion of a cooperation agreement on […] March 2018 concerning the handling and settlement of transactions paid by payment cards (evidence: explanations of the Company of […] March 2021).
3. By letter dated […] March 2020, the applicant requested the Company to provide access to the recording of her conversation with the Company’s consultant dated […] September 2019. The Company responded to the aforementioned request on […] April 2020 indicating, quote: “we do not find the telephone call, from the telephone number […], made with the F. D. P. Customer Service Centre on […].09.2019 that you refer to in your request of […].03.2020. Accordingly, we request to know from which telephone number and to which telephone number you made the call on […].09.2019 in order to obtain information on how to terminate the contract”. Accordingly, the Complainant, by letter dated […] May 2020, again requested access to the aforementioned recording (without indicating the additional information requested by the Company). The Company replied to the aforementioned correspondence […] July 2020, again stating that it was not finding the aforementioned conversation and again requesting the Complainant to indicate additional information. The Complainant, by letter dated […] July 2020, made the following request to the Company: “please make available the recordings of all calls made by me from the telephone number […] to all your helplines between 2019-07-[…] and 2019-12-[…]”. The Company replied to the above correspondence […] August 2020 indicating that, quote: “all available conversations with our consultants have been listened to. The conversation of […].09.2019 concerned the payment deadline of the invoices and the collection proceedings against your company. A further call dated […].10.2019 concerned the confirmation of the fact that the Agreement of […].03.2018 had been terminated. Two further conversations, both dated […].01.2020, concerned the ongoing debt collection by E. K. P. Sp. z o.o. You have been informed that a debit note has been issued for early termination of the Agreement (…). At the same time, we would like to inform you that we do not provide access to the recorded calls due to data security reasons”. In response to the aforementioned letter, the Complainant […] August 2020 again requested access to all recordings of telephone conversations held with the Company’s consultants regarding the Agreement. The Company, by letter of […] September 2020, refused to comply with the aforementioned request in justification again indicating that it does not provide access to call recordings due to data security. At the same time, the Company informed the Complainant what was the subject of the conversations held on the days of: […] October 2019 and […] January 2020, including what personal data they contained: in one case, the Complainant stopped by giving her first and last name before starting the conversation, then gave her VAT number for verification purposes, in the other cases, only the company’s VAT number was given (evidence: explanations of the Company of […] March 2021 with attachments – correspondence exchanged between the Company and the Complainant, k. 34-41 of the case file).
4. The Company, in its explanations of […] March 2021, also indicated that the complaint is unfounded due to the fact that the conversation in question does not contain personal data. The only personal data in the form of the Tax Identification Number was a verification element provided by the Complainant to confirm with whom the conversation was actually to be conducted. For these reasons, and because the conversation also contains relevant information the disclosure of which adversely affected the rights of others (pursuant to Article 15(4) of Regulation 2016/679), the Company denied the Complainant access to the recording and only provided information on the scope of the data processed (evidence: explanations from the Company of […] March 2021).

In this state of facts, the President of the Office for the Protection of Human Rights (OPA) considered the following

With regard to the allegation concerning the Company’s refusal to comply with the Complainant’s request for a copy of the personal data concerning her – i.e. a request made pursuant to Article 15(3) of Regulation 2016/679 – it should be pointed out that pursuant to the first sentence of Article 15(3) of Regulation 2016/679, the controller shall provide the data subject with a copy of the personal data undergoing processing. In turn, according to paragraph 4 of the indicated provision, the right to obtain a copy referred to in paragraph 3 shall not adversely affect the rights and freedoms of others

Pursuant to Article 12(3) of Regulation 2016/679, the controller shall, without undue delay – and in any event within one month of receipt of the request – provide the data subject with information on the action taken in relation to the request pursuant to Articles 15 to 22 (first sentence). If the data subject has communicated his/her request electronically, the information shall, as far as possible, also be provided electronically, unless the data subject requests otherwise (fourth sentence). Pursuant to the second sentence of Article 12(5)(b), if the request of the data subject is manifestly unreasonable or excessive, in particular because of its continuing nature, the controller may refuse to act on the request. The burden of proving that the request is manifestly unreasonable or excessive shall lie with the controller (third sentence)

The obligation set out in Article 15(3) of Regulation 2016/679 may be fulfilled by the controller both by making a copy or a copy of the medium (document or recording) containing the personal data and other data and by providing the right holder with the content of his or her personal data, disregarding the information contained in the medium, which is not personal data within the meaning of Article 4(1) of Regulation 2016/679. If a request is received to provide a copy of the personal data being processed, the controller shall decide on a case-by-case basis how it will fulfil the request. In the case of personal data captured on a recording, it will be a choice between providing a copy of the recording or providing a copy of the data contained in the recording. It must be emphasised that the controller must additionally meet the requirement to control the extent of the personal data transferred in the copy. As indicated in the doctrine (cited): “In addition to the cases indicated in Article 12, a particular limitation on the exercise of the right to obtain a copy of data arises from paragraph 4 of the commented Article 15, according to which the transfer of a copy of data must not adversely affect the rights and freedoms of others. This norm, which draws the boundaries between the rights of the data subject and the rights and freedoms of others, cannot become the basis for depriving the data subject of the possibility to exercise the right granted to him/her to obtain a copy of his/her data. It does, however, require the controller, especially when requesting a copy of the data (recital 63), to control the extent of the information provided. It aims at eliminating from the shared data pool the information whose release could infringe the rights of others. In addition to the right to privacy or the right to protection of personal data, the controller, when providing the entitled person with a copy of data, should also take into account, inter alia, trade secrets, intellectual property or copyright protecting software (recital 63)” (J. Łuczak [in:] ‘RODO. General Data Protection Regulation. Commentary’, ed. E. Bielak-Jomaa, D. Lubasz, Warsaw 2018, Article 15)

The evidence gathered in the present case showed that the Complainant requested the Company on several occasions to provide copies of the content of the recordings of her telephone conversations with the Company’s consultant (i.e. on: […] March 2020, […] May 2020, […] July 2020 and […] August 2020), including in a letter of […] August 2020 invoking Article 15 of Regulation 2016/679. The Company responded to the above by sending the Complainant in text form the contents of her personal data processed by the Company, while refusing to send the requested recordings of her telephone conversations with the Company’s consultant due to data security (point 3 of the facts). In turn, in its explanations, the Company alleged that the complaint was unfounded, claiming that the conversation in question did not contain the Complainant’s personal data

In view of the above, it should be pointed out that the manner in which the Company fulfilled its information obligation under Article 15(3) of Regulation 2016/679 did not take into account the fact that, as a result of storing the recordings of the telephone conversations of […] October 2019 and […] January 2020, it processes personal data also in respect of the Complainant’s voice.

The President of the Office for Personal Data Protection shares the position of the Voivodship Administrative Court in Warsaw as presented in its judgment of 14 July 2016. (ref. II SA/Wa 2080/15), concerning Article 33(1) of the Act of 29 August 1997 on personal data protection (Journal of Laws of 2016, item 922), which, when the Act was in force, regulated the scope of information provided by the personal data controller at the request of the data subject and the deadline for fulfilling the aforementioned information obligation. The court held that – quoted: “the personal data controller, in response to the data subject’s request referred to in Article 33(1) of the Act, should provide information in a simple, comprehensible manner, and not in a way that requires such a person to guess the controller’s intentions or to make some additional interpretation or inference from the answer provided to him/her”

In the opinion of the President of the Office for Harmonisation in the Internal Market, the above remains valid in the current state of the law and applies to the implementation of the obligation under Article 15(3) of Regulation 2016/679, i.e. the form of providing a copy of the processed personal data should not raise doubts in the person requesting it as to whether all their personal data have been covered by the copy

Meanwhile, the Company, in the implementation of the above obligation, did not include among the personal data of the Complainant processed in connection with the telephone calls of […] October 2019 and […] January 2020 her voice

The Company, both in its correspondence with the Complainant and in its explanations, argued as a reason for refusal that disclosure of the requested recordings would adversely affect the rights of others (pursuant to Article 15(4) of Regulation 2016/679). Article 15(4) of Regulation 2016/679 requires that the fulfilment of the data subject’s request must respect the rights and freedoms of bystanders

Indeed, it is within the competence of the controller to assess whether the release of the Complainant’s personal data in the form of telephone call recordings will adversely affect the rights and freedoms of other persons. However, the recognition that such an impact occurs cannot become the basis for depriving the data subject of the possibility to exercise his/her rights under Article 15(3) of Regulation 2016/679

The indicated provision, by drawing a line between the applicant’s rights and the rights of third parties, is intended to protect those third parties in the event that their personal data are included in the sources of which a copy is requested by the data subject – and cannot be regarded as a limitation of the rights of the person requesting the exercise of rights under the law. On the other hand, the finding that the provision of a copy of data may cause an infringement of the rights and freedoms of third parties results in the controller’s obligation to eliminate the information whose provision to the applicant could infringe the rights of third parties – in the case of a recording of a telephone conversation, for example, by anonymising the voice of those persons recorded on the recording. Additionally, it should be emphasised that there are free solutions (software) giving the possibility to remove (mute) the sound from audio recordings

The assessment carried out by the President of the PDPA in each case serves to examine the legitimacy of directing to a particular entity an order corresponding to the disposition of Article 58(2) of Regulation 2016/679 serving to restore the lawful state of affairs in the data processing process – it is therefore justified and necessary only insofar as the personal data processing process covered by the complaint exists. As the evidence in the present case showed, the manner in which the Company implemented its information obligation under Article 15(3) of Regulation 2016/679 towards the Complainant did not include a copy of all her personal data processed by the Company

Thus, there was a prerequisite for the supervisory authority to apply the powers referred to in Article 58(2)(c) of Regulation 2016/679 and order the Company to comply with the information obligation under Article 15(3) of Regulation 2016/679 vis-à-vis the Complainant by providing her with a copy of the personal data recorded in the recordings of the telephone conversations with the consultant of […] October 2019 and […] January 2020, taking into account the Complainant’s voice

In this state of facts and law, the President of the Office for the Protection of Personal Data has ruled as in the operative part

Letter of caution: The decision is final. Pursuant to Article 7(2) of the Act of 10 May 2018 on the protection of personal data (Journal of Laws of 2019, item 1781, i.e.) and in conjunction with Article 13 § 2, Article 53 § 1 and Article 54 of the Act of 30 August 2002. Law on Proceedings before Administrative Courts (Journal of Laws of 2022, item 329 as amended), a party has the right to lodge a complaint against this decision with the Voivodship Administrative Court in Warsaw, within 30 days from the date of delivery of this decision, through the President of the Office for Personal Data Protection (address: Urząd Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warsaw). The entry fee for the complaint shall amount to PLN 200. The party has the right to apply for the right to assistance, including exemption from court costs