Czy dopuszczalne jest zawarcie przez przewoźnika umowy na kontrolę biletów i windykację, na podstawie której nastąpiłaby sukcesja prawna na rzecz firmy kontrolującej bilety również w zakresie administrowania danymi osobowymi pasażerów? UODO odpowiadając na pytanie jednego z miejskich przedsiębiorstw komunikacyjnych stwierdził, że przewoźnik, decydując się na zlecenie firmie zewnętrznej kontroli biletów i windykacji należności od osób, które nie uiściły opłaty za przejazd, nie przestaje być administratorem przetwarzanych w związku z tym danych osobowych pasażerów.

Co mówi Prawo przewozowe?

W swoim stanowisku UODO zwrócił uwagę, że przetwarzanie danych osobowych pasażerów w związku z kontrolą biletową w środkach komunikacji reguluje art. 33a ustawy – Prawo przewozowe.

Przepis ten stanowi, że:

• przewoźnik lub organizator publicznego transportu zbiorowego albo osoba przez niego upoważniona, legitymując się identyfikatorem umieszczonym w widocznym miejscu, może dokonywać kontroli dokumentów przewozu osób lub bagażu (ust. 1),
• w razie stwierdzenia braku odpowiedniego dokumentu przewozu przewoźnik lub organizator publicznego transportu zbiorowego albo osoba przez niego upoważniona pobiera właściwą należność za przewóz i opłatę dodatkową albo wystawia wezwanie do zapłaty (ust. 3),
• w razie stwierdzenia braku ważnego dokumentu poświadczającego uprawnienie do bezpłatnego albo ulgowego przejazdu przewoźnik lub organizator publicznego transportu zbiorowego albo osoba przez niego upoważniona pobiera właściwą należność za przewóz i opłatę dodatkową albo wystawia wezwanie do zapłaty. Pobrana należność za przewóz i opłata dodatkowa, po uiszczeniu opłaty manipulacyjnej odpowiadającej kosztom poniesionym przez przewoźnika lub organizatora publicznego transportu zbiorowego, podlegają zwrotowi, a w przypadku wezwania do zapłaty - umorzeniu, w przypadku udokumentowania przez podróżnego, nie później niż w terminie 7 dni od dnia przewozu, uprawnień do bezpłatnego lub ulgowego przejazdu (ust. 4).

Z powołanego przepisu wynika zatem, że uprawnieni do pozyskiwania i dalszego przetwarzania danych osobowych pasażerów są przewoźnik lub organizator publicznego transportu zbiorowego albo osoba przez niego upoważniona.

Oznacza to, że jeżeli przewoźnik/organizator PTZ powierzy wykonywanie czynności związanych z kontrolą biletową osobie trzeciej, to – w zakresie umocowania – działa ona każdorazowo na jego rzecz. Dotyczy to zwłaszcza pozyskiwania danych osobowych pasażerów podczas kontroli i dalszego ich przetwarzania w związku z dochodzeniem należności z tytułu opłat za przejazd bez ważnego biletu.

Co jest istotne z punktu widzenia samorządów? Otóż zgodnie z art. 33a ust. 1 Prawa przewozowego do kontroli podróżnego uprawniony jest organizator publicznego transportu zbiorowego. Definicja organizatora została z kolei zawarta w art. 4 ust. 1 pkt 9 ustawy o publicznym transporcie zbiorowym, według której organizatorem publicznego transportu zbiorowego jest właściwa jednostka samorządu terytorialnego albo minister właściwy do spraw transportu, zapewniający funkcjonowanie publicznego transportu zbiorowego na danym obszarze.

Administratorem jest zawsze przewoźnik/organizator PTZ

Z takiego ukształtowania przez ustawodawcę w Prawie przewozowym relacji między przewoźnikiem/organizatorem PTZ a podmiotem, który zostaje przez niego upoważniony do prowadzenia kontroli biletowej wynika, że decyzje o celach i środkach przetwarzania danych osobowych pasażerów w każdym przypadku należą wyłącznie do przewoźnika/organizatora PTZ. Oznacza to, że status administratora danych podróżnych zawsze będzie przysługiwał przewoźnikowi/organizatorowi PTZ.

UODO zwrócił również uwagę, że art. 33a Prawa przewozowego ma charakter bezwzględnie obowiązujący – czyli nie jest dopuszczalne odmienne ukształtowanie ww. spraw w drodze umowy między przewoźnikiem/organizatorem PTZ a osobą trzecią (zob. postanowienie Sądu Najwyższego z 23.10.2003 r., sygn. akt IV KK 265/02).

Sukcesja niedopuszczalna

W świetle przytoczonych argumentów, należy stwierdzić, że w każdym przypadku skutki prawne działań podejmowanych przez pracowników firm, które dokonują kontroli biletowej z upoważnienia (czyli za zgodą i wiedzą) przewoźnika/organizatora PTZ, powstają bezpośrednio w sferze prawnej z jednej strony – przewoźnika, a z drugiej – podróżnego.

W efekcie nie jest dopuszczalne zawarcie przez przewoźnika/organizatora PTZ umowy, na podstawie której nastąpiłaby sukcesja prawna na rzecz firmy kontrolującej bilety, bowiem przewoźnik/organizator PTZ może ją jedynie upoważnić do działania w swoim imieniu.

W ocenie UODO, z punktu widzenia przepisów o ochronie danych osobowych, wszelkie umowy między przewoźnikami/organizatorami PTZ a firmami kontrolującymi pasażerów muszą być rozumiane jako dotyczące powierzenia czynności w imieniu przewoźnika.

Zdaniem polskiego organu nadzorczego, w zakresie dotyczącym przetwarzania danych osobowych podróżnych przepis art. 33a Prawa przewozowego daje podstawę do zawarcia między przewoźnikiem/organizatorem PTZ a firmą zewnętrzną umowy powierzenia przetwarzania danych osobowych, o której mowa w art. 28 RODO.

Biuletyn UODO Nr 04/04/25

Źródło: uodo.gov.pl