II SA/Wa 1165/08

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Ewa Grochowska-Jung, Sędziowie WSA Ewa Pisula-Dąbrowska (spraw.), WSA Janusz Walawski, Protokolant Dorota Kwiatkowska, po rozpoznaniu na rozprawie w dniu 21 maja 2009 r. sprawy ze skargi B. SA na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] czerwca 2008 r. nr [...] w przedmiocie nakazania usunięcia danych osobowych ze zbioru danych 1) uchyla zaskarżoną decyzję oraz decyzję ją poprzedzającą z dnia [...] września 2007 r. 2) stwierdza, że zaskarżona decyzja nie podlega wykonaniu w całości 3) zasądza od Generalnego Inspektora Ochrony Danych Osobowych na rzecz B. SA z siedzibą w W. kwotę [...] zł ([...] zł) tytułem zwrotu kosztów postępowania. Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia [...] czerwca 2008 r. nr [...] utrzymał swoją wcześniejszą decyzję z dnia [...] września 2007 r. nr [...], którą to decyzją nakazał P. S.A. z siedzibą w W. usunięcie ze zbioru prowadzonego przez B. S.A. z siedzibą w W., przekazywanych do tego zbioru danych osobowych G. R. Jako podstawę rozstrzygnięcia organ wskazał art. 12 pkt 2, art. 18 ust. 1 pkt 6 i art. 22 w zw. z art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.) w zw. z art. 105 ust. 4 i art. 105 a ust. 3 ustawy Prawo bankowe (Dz. U. 2002 r. Nr 72, poz. 665 z późn. zm.). W uzasadnieniu organ podał, że dane osobowe G. R. B. pozyskał od banku, z którym zawarła ona w dniu [...] kwietnia 2000 r. umowę kredytową nr [...] Do przekazania danych osobowych G. R. doszło [...] października 2005 r. z uwagi na zwłokę kredytobiorcy w spełnieniu świadczenia pieniężnego wynikającego z zawartej umowy kredytowej. Organ ustalił, że do przekazania tych danych doszło w oparciu o umowę, którą Bank zawarł z B. w sprawie zbierania i udostępniania informacji o wierzytelnościach oraz o obrotach i stanach rachunków bankowych. GIODO ustalił, że dane osobowe G. R. zostały wprowadzone do bazy B. w dniu [...] października 2005 r., zaś do spłaty jej zobowiązania na rzecz Banku doszło w maju 2006 r. Nadto ustalił, że w zbiorze B. rachunek G. R. ma aktualnie status rachunku zamkniętego (od [...] czerwca 2006 r.). Dokonując oceny prawnej GIODO stwierdził, że dane osobowe G. R. były przetwarzane przez B. bez jej zgody, po wygaśnięciu umowy kredytowej i spłacie zadłużenia (maj 2006 r.), a zatem z naruszeniem art. 105 a ust. 3 Prawa bankowego. Nadto organ stwierdził, że B. nie jest upoważnione do decydowania o celu przetwarzania przekazanych mu przez bank informacji stanowiących tajemnicę bankową. Wywodził, że B. otrzymało dane osobowe G. R. w celu przetwarzania ich dla potrzeb oceny zdolności kredytowej i analizy ryzyka kredytowego i bez podstawy prawnej przetwarzało je dla innych celów tj. stosowania metod statystycznych, o których mowa w art. 128 ust. 3 Prawa bankowego. Organ ustalił, też, że aktualnie B. nie przetwarza danych osobowych G. R. w celu oceny zdolności kredytowej i analizy ryzyka kredytowego (zaprzestał ich przetwarzania), lecz przetwarza je nadal w celu stosowania metod statystycznych. Zdaniem GIODO takie przetwarzanie danych przez B. nie znajduje podstawy w art. 128 ust. 3 Prawa bankowego. Powyższa decyzja stała się przedmiotem skargi B. S.A. do Wojewódzkiego Sądu Administracyjnego w Warszawie. Wnosząc o stwierdzenie nieważności, ewentualnie o uchylenie zaskarżonych decyzji, strona skarżąca zarzuciła rażące naruszenie art. 105 ust. 4 i 105 a ust. 4 ustawy Prawo bankowe, art. 23 ust. 1 pkt 2 i art. 5 ustawy o ochronie danych osobowych oraz art. 77 Kpa. W uzasadnieniu skargi podniesiono, że po wydaniu przedmiotowej decyzji strona skarżąca zaprzestała przetwarzania danych osobowych kredytobiorcy w celu oceny zdolności kredytowej i analizy ryzyka kredytowego, lecz przetwarza je nadal dla celów stosowania metod statystycznych. B. S.A. podało jednocześnie, że od [...] listopada 2007 r. przetwarza pozyskane dane osobowe dla celów statystycznych. Uzasadniając dalsze przetwarzanie danych osobowych dla celów statystycznych skarżąca spółka wywodziła, że bezpodstawny jest pogląd, że nie jest do tego uprawniona tylko dlatego, że pozyskała je od Banku w innym celu. Prezentowała pogląd, że fakt, iż pozyskała te dane w celu oceny zdolności kredytowej i analizy ryzyka kredytowego nie oznacza, że wykorzystując je dla celów statystycznych przetwarza je dla realizacji celu niesprecyzowanego. Podnosiła, że jest instytucją, o której mowa w art. 105 ust. 4 Prawa bankowego, oraz że banki stosownie do art. 128 ust. 3 Prawa Bankowego mogą stosować metody statystyczne, a zatem instytucje takie jak B. S.A. są stworzone po to, by w sytuacjach określonych w Prawie bankowym przetwarzać. Strona skarżąca twierdziła też, że przetwarzanie przez nią danych dla celów statystycznych jest prawnie dopuszczalne i wynika z art. 105 a ust. 4 w zw. z art. 105 ust. 4 Prawa bankowego. Podnosiła, że skoro przetwarzanie danych dla celów statystycznych jest zgodne z prawem, to organ pominął treść art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych, bowiem zgodnie z tym przepisem przetwarzanie jest dopuszczalne jeżeli jest to niezbędne dla zrealizowania uprawnienia. Skarżąca zarzuciła, że przepis art. 105 a ust. 4 i 5 Prawa bankowego samodzielnie upoważnia ją do przetwarzania danych osobowych dla celów stosowania metod statystycznych. Twierdziła też, że to, iż dane osobowe klienta banku w danym momencie nie są przetwarzane dla celów oceny ryzyka kredytowego nie wpływa na fakt, że nie mogą być używane dla celów stosowania metod statystycznych. Podniosła też, że w przedmiotowej sprawie stosownie do postanowień art. 5 ustawy o ochronie danych osobowych zastosowanie powinny znaleźć przepisy Prawa bankowego – a nie ustawy o ochronie danych osobowych, albowiem są one bardziej rygorystyczne i zapewniają dalej idącą ochronę. Wywodziła również, iż po dniu 1 kwietnia 2007 r., tj. po wejściu w życie art. 105a ust. 4, ustawodawca przyznał jej uprawnienie do przetwarzania danych stanowiących tajemnicę bankową bez zgody osoby, której te dane dotyczą, oraz wskazał jako ustawowy cel przetwarzania – stosowanie metod statystycznych, o których mowa w art. 128 ust. 3 Prawa bankowego. W konkluzji strona skarżąca stwierdziła, że pominięcie przez organ art. 5 ustawy o ochronie danych osobowych stanowi rażące naruszenie prawa. Nadto podniosła zarzut, iż nieprawdziwe są twierdzenia, jakoby otrzymała dane osobowe kredytobiorcy wyłącznie w celu oceny zdolności kredytowej. Wyjaśniła, że zgodnie z zawartą z bankiem umową otrzymała od niego informację stanowiącą tajemnicę bankową. Skoro od 1 kwietnia 2007 r. przepis art. 105 a ust. 4 Prawa bankowego obejmuje również przetwarzanie informacji stanowiących tajemnicę bankową w celu stosowania metod statystycznych (art. 128 ust. 3 Prawa bankowego), to niejako automatycznie ustawa ten zakres obejmuje. W końcowej części uzasadnienia podniosła, że z dniem 1 kwietnia 2007 r., kiedy to zakres art. 105 ust. 4 Prawa bankowego został rozszerzony o cel stosowania metod statystycznych przez banki – skarżąca ostatecznie takie uprawnienia nabyła. Podkreśliła, że złożyła do Generalnego Inspektora Ochrony Danych Osobowych wniosek aktualizacyjny zgłaszając przetwarzanie danych w zbiorze kredytobiorcy poprzez uzupełnienie o cel przetwarzania danych metod statystycznych. Zarzuciła organowi brak odniesienia się do kwestii jakie interesy kredytobiorcy mogły zostać naruszone poprzez przetwarzanie jej danych dla celów statystycznych. W szczególności podniosła, że organ nie poczynił ustaleń w przedmiocie ewentualnego naruszenia praw i wolności kredytobiorcy. Wyjaśniła, że dane statystyczne nie mogą w żaden sposób wpłynąć na decyzje banków w przedmiocie udzielenia, bądź odmowy udzielenia kredytu bankowego, albowiem dane te nie służą podejmowaniu decyzji w indywidualnych sprawach, służąc wyłącznie instytucji finansowej tj. badaniu ryzyka bankowego. W odpowiedzi na skargę Generalny Inspektor Ochrony Danych Osobowych wniósł o jej oddalenie. Odnosząc się do zarzutu naruszenia art. 105 ust. 4 i art. 105 a ust. 4 ustawy Prawo bankowe podniósł, że Bank przekazując dane osobowe kredytobiorcy udostępnił je konkretnemu podmiotowi (B.) w ściśle określonym celu – to jest w celu oceny zdolności kredytowej i B. S.A. nie było uprawnione do przetwarzania ich do innych (statystycznych) celów. Zdaniem organu, skoro skarżąca otrzymała te dane w ściśle określonym celu, to przetwarzanie ich w innych celach było niedopuszczalne, albowiem B. S.A. nie jest upoważnione do samodzielnego decydowania o celu przetwarzania. Organ podkreślił też, że dane kredytobiorcy zbierane są niejako "na zapas". Obecnie B. S.A. stara się usankcjonować proces przetwarzania jej danych dla realizacji przyszłych celów. Generalny Inspektor Ochrony Danych Osobowych stwierdził też, że nie doszło do naruszenia art. 5 ustawy o ochronie danych osobowych, bowiem przepis ten nie miał w sprawie zastosowania, ponieważ nie doszło do kolizji z normami zawartymi w ustawie – Prawo bankowe. Podniósł też, iż bezsporne w sprawie jest, że dane osobowe kredytobiorcy nie były udostępniane stronie skarżącej w celu stosowania metod statystycznych, o których była mowa w art. 128 ust. 3 Prawa bankowego. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Skarga zasługiwała na uwzględnienie. Istota sporu sprowadza się do oceny, czy B. S.A. może legalnie przetwarzać dane osobowe kredytobiorcy dla celów stosowania metod statystycznych, bez jego zgody, skoro dane te otrzymało od Banku dla innych celów, tj. oceny zdolności kredytowej. W ocenie Sądu, przepis art. 105 a ust. 4 ustawy z dnia 29 sierpnia 1997 r. – Prawo bankowe (Dz. U. z 2002 r. Nr 72, poz. 665 z późn. zm.), który wszedł w życie 1 kwietnia 2007 r. wprowadził samodzielną przesłankę legalizującą przetwarzanie danych osobowych dla celów stosowania metod statystycznych. Przepis ten stanowi, iż banki oraz instytucje, o których mowa w art.105 ust. 4, mogą przetwarzać informacje stanowiące tajemnicę bankową, dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, bez zgody osoby, której informacje dotyczą, dla celów stosowania metod statystycznych, o których mowa w art.128 ust. 3. Nie ulega wątpliwości, iż strona skarżąca – B. jest instytucją, o której mowa w art. 105 ust. 4 ustawy Prawo bankowe, a zatem mieści się w katalogu podmiotów określonych w art. 105 a ust. 4 Prawa bankowego. A skoro tak, to przepis ten daje stronie skarżącej prawo do przetwarzania danych osobowych dla celów stosowania metod statystycznych bez zgody osoby zainteresowanej. Jednocześnie stanowi samodzielną podstawę do przetwarzania danych osobowych dla tych celów. W ocenie Sądu, organ wydając przedmiotową decyzję pominął ustawową przesłankę legalizującą przetwarzanie danych osobowych dla stosowania metod statystycznych. Tym samym wydał decyzję z naruszeniem przepisu art.105 a ust. 4 w związku z art.128 Prawa bankowego oraz z naruszeniem art. 23 ust.1 pkt 2 ustawy o ochronie danych osobowych, który stanowi, że przetwarzanie danych osobowych jest dopuszczalne, jeżeli jest to niezbędne do zrealizowania uprawnienia. Zaskarżona decyzja została wydana jednocześnie z naruszeniem art. 5 ustawy o ochronie danych osobowych, bowiem w przedmiotowej sprawie w pierwszej kolejności zastosowanie winny znaleźć przepisy Prawa bankowego (przed przepisami ustawy o ochronie danych osobowych), które zapewniają dalej idącą ochronę. Ponownie rozpoznając sprawę organ wyda decyzję z uwzględnieniem treści przepisu art.105 a ust. 4 ustawy Prawo bankowe. Niezależnie od tego, iż zdaniem Sądu, w przedmiotowej sprawie zaistniała samodzielna przesłanka legalizująca przetwarzanie przez stronę skarżącą danych osobowych kredytobiorcy dla celów stosowania metod statystycznych, Sąd dokonując kontroli legalności zaskarżonej decyzji stwierdził uchybienia proceduralne mogące mieć wpływ na treść rozstrzygnięcia. W sprawie bezsporne jest, iż B. zwróciło się do Generalnego Inspektora Ochrony Danych Osobowych z wnioskiem o zmianę celu przetwarzania danych w bazie kredytobiorcy poprzez uzupełnienie o cel przetwarzania, w związku ze stosowaniem metod statystycznych. Generalny Inspektor Ochrony Danych Osobowych ani na etapie postępowania administracyjnego, ani też na etapie postępowania przed tutejszym Sądem nie rozpoznał i nie odniósł się do tego, istotnego dla sprawy wniosku. Okoliczność powyższa ma istotne znaczenie, bowiem decyzja Generalnego Inspektora Ochrony Danych Osobowych w tym względzie (pozytywna bądź negatywna), wiąże się z legalizacją danych osobowych stosowanych dla celów metod statystycznych. Stosownie do art. 46 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t. j. Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.), administrator danych może, z zastrzeżeniem ust. 2 wyżej cyt. przepisu, rozpocząć ich przetwarzanie w zbiorze danych po zgłoszeniu tego zbioru Generalnemu Inspektorowi Ochrony Danych Osobowych, chyba że ustawa zwalnia go z tego obowiązku, bądź w oparciu o przepis art. 44 ust. 1 tej ustawy, organ wyda decyzję o odmowie rejestracji zbioru danych. Organ stosownie do treści art. 44 ust. 1 ustawy o ochronie danych osobowych, ani nie podjął czynności materialno - technicznej ani nie wydał decyzji odmownej (bezsporne). W ocenie Sądu, wniesiony przez B. o zmianę celu przetwarzania o cel stosowania metod statystycznych winien być rozpoznany przed wydaniem decyzji w przedmiotowej sprawie. Wniesiony wniosek rozpoczął swoiste postępowanie incydentalne, które przedmiotowo było związane z niniejszą sprawą. Odmowna decyzja organu w tym przedmiocie otworzyłaby stronie skarżącej możliwość jej zaskarżenia i ewentualnie mogłaby być podstawą do zawieszenia niniejszego postępowania. Organ nie dostrzegając związku tych dwóch równoległych, powiązanych ze sobą spraw, wniesiony przez B. wniosek pozostawił bez biegu. Nie rozpoznał go ani pozytywnie, ani negatywnie. Z treści uzasadnienia przedmiotowej decyzji wynika, że GIODO wniosek B. ocenił jako próbę usankcjonowania przetwarzania danych dla celów statystycznych. Organ pominął, że każda sprawa rządzi się po wszczęciu postępowania swoimi prawami i zgodnie z regułami określonymi w Kodeksie postępowania administracyjnego, a także, że toczyły się dwa równoległe, powiązane ze sobą postępowania, które samodzielnie należało zakończyć. Ponownie rozpoznając sprawę organ rozpozna jako pierwszy wniosek B. S.A. o zmianę celu przetwarzania danych w bazie kredytobiorcy o cel stosowania metod statystycznych. Po rozpoznaniu tego wniosku oceni, czy przetwarzanie przez B. danych osobowych dla metod statystycznych jest legalne. Oceni wówczas czy B. S.A. uprawnienie do przetwarzania danych osobowych dla celów stosowania metod statystycznych nabyło wprost z ustawy z dniem 1 kwietnia 2007 r., kiedy to zakres art. 105 ust. 4 Prawa bankowego został rozszerzony o cel stosowania metod statystycznych. Generalny Inspektor Ochrony Danych Osobowych wyjaśni, czy B. S.A. było upoważnione przez Bank jedynie do przetwarzania danych osobowych dla celów oceny zdolności kredytowej, czy też zakres ten był szerszy z uwagi na treść przepisu art.105 a ust. 4 Prawa bankowego. Wskaże na podstawie jakiego dowodu i przepisu prawa przyjął i uznał, że B. było ograniczone przez Bank tylko do przetwarzania danych osobowych w zakresie zdolności kredytowej. Wreszcie odniesie się do kwestii, czy nowo wprowadzony z dniem 1 kwietnia 2007 r. przepis art. 105 a ust. 4 Prawa bankowego automatycznie nie rozszerzył uprawnień B. S.A. w stosunku do przekazanych mu wcześniej przez Bank danych. Na marginesie należy przypomnieć organowi, że Wojewódzki Sąd Administracyjny w Warszawie w uzasadnieniu wyroku z dnia 15 lutego 2008 r. sygn. II SA/Wa 1979/07 zwrócił uwagę, iż po wejściu w życie art. 105 a ust. 4 ustawy Prawo bankowe należy odrębnie dokonywać ustaleń w zakresie dopuszczalności przetwarzania danych dla celów zdolności kredytowej i analizy ryzyka kredytowego oraz odrębnie dla celów stosowania metod statystycznych, o których mowa w art. 128 ust. 3 Prawa bankowego. Powyższy wyrok jest prawomocny. Naczelny Sąd Administracyjny wyrokiem z dnia 7 maja 2009 r. sygnatura akt I OSK 674/08 oddalił skargę GIODO. Dodać należy również, że w innych analogicznych sprawach GIODO w ramach samokontroli (po 4 grudnia 2008 r., tj. po wydaniu przez tutejszy Sąd wyroku w sprawie analogicznej, sygnatura akt II SA/Wa 917/08) uchylał swoje decyzje I instancyjne (vide wyjaśnienia pełnomocnika B. – k. [...]), zawarte w piśmie skarżącego z dnia [...] marca 2009 r. Ze względu na powyższe, Wojewódzki Sąd Administracyjny w Warszawie na podstawie art. 145 ust. 1 pkt c ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. Nr 153, poz. 1270 z późn. zm.), orzekł jak w sentencji. O wstrzymaniu wykonania zaskarżanej decyzji orzeczono na podstawie art. 152 tej ustawy. O zwrocie kosztów postępowania orzeczono zgodnie z postanowieniami art. 200 cyt. ustawy Prawo o postępowaniu przed sądami administracyjnymi.