II SA/Wa 1233/08

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Ewa Grochowska-Jung (spr.), Sędziowie WSA Ewa Pisula-Dąbrowska, WSA Janusz Walawski, Protokolant Dorota Kwiatkowska, po rozpoznaniu na rozprawie w dniu 21 maja 2009 r. sprawy ze skargi B. SA z siedzibą w W. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] czerwca 2008 r. nr [...] w przedmiocie nakazania usunięcia danych osobowych ze zbioru danych 1. uchyla zaskarżoną decyzję oraz decyzję ją poprzedzającą z [...] grudnia 2007 r. 2. stwierdza, że zaskarżona decyzja nie podlega wykonaniu w całości 3. zasądza od Generalnego Inspektora Ochrony Danych Osobowych na rzecz B. SA z siedzibą w W. kwotę 440 (czterysta czterdzieści) złotych tytułem zwrotu kosztów procesu Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia [...] czerwca 2008 r., nr [...], utrzymał w mocy swoją wcześniejszą decyzję z dnia [...] grudnia 2007 r., nr [...], którą nakazał S. z siedzibą w G. usunięcie ze zbioru danych prowadzonego przez B. S.A. z siedzibą w W. danych osobowych J. C. W uzasadnieniu organ wskazał, że J. C. zawarła w dniu 14 kwietnia 2004 r. ze S. z siedzibą w G. umowę pożyczki nr [...]. Dane J. C. zostały przekazane przez S. do B. S.A. i wprowadzone do bazy "Kredytobiorcy" w dniu [...] maja 2005 r. Data spłaty pożyczki została ustalona w umowie na dzień 14 kwietnia 2007 r. Należność z tytułu ww. pożyczki została w całości spłacona w dniu 2 maja 2007 r. Zwłoka skarżącej w spełnieniu świadczenia wynikającego z umowy pożyczki wyniosła 18 dni. W dniu 21 sierpnia 2007 r. J. C. wystąpiła do S. z żądaniem usunięcia jej danych ze zbioru danych prowadzonego przez B. S.A., dotyczących ww. pożyczki. Pismem z dnia 30 sierpnia 2007 r. zwróciła się z żądaniem do Generalnego Inspektora Ochrony Danych Osobowych o nakazanie usunięcia jej danych osobowych ze zbioru prowadzonego przez B. S.A., przekazanych do tego zbioru przez S. w związku ze spłatą zobowiązania wynikającego z zawartej umowy pożyczki. Nakazując S. z siedzibą w G. spowodowanie usunięcia ze zbioru B. S.A. danych osobowych J. C., Generalny Inspektor Ochrony Danych Osobowych jako podstawę rozstrzygnięcia wskazał art. 105 ust. 1 pkt 1 i pkt 1a i art. 105 ust. 4 oraz art. 105a ust. 3 ustawy z dnia 29 sierpnia 1997 r. – Prawo bankowe (Dz. U. z 2002 r. Nr 72, poz. 665 ze zm.). Organ stwierdził, że nie może budzić wątpliwości legalność udostępnienia danych osobowych skarżącej przez S. na rzecz B. S.A., a także dalsze przetwarzanie tych informacji przez B. S.A. w czasie trwania zobowiązania łączącego S. i J. C. Jednakże w dniu 16 czerwca 2005 r. obowiązywać zaczął przepis art. 105a Prawa bankowego (zmieniony ustawą z dnia 26 stycznia 2007 r. o zmianie ustawy Prawo bankowe – Dz. U. 2007 Nr 42, poz. 272), z którego wynikają nowe zasady przetwarzania – m.in. przez instytucje ustawowo upoważnione do udzielania kredytów oraz instytucje takie jak B. S.A. – danych osobowych byłych pożyczkobiorców po wygaśnięciu zobowiązania. Powołany przepis w ust. 1 stanowi, że przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów oraz instytucje utworzone na podstawie art. 105 ust. 4, informacji stanowiących tajemnicę bankową w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem art. 104, 105 i 106 - 106c, w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Instytucje, o których mowa w ust. 1, mogą, z zastrzeżeniem ust. 3, przetwarzać informacje stanowiące tajemnicę bankową w zakresie dotyczącym osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, pod warunkiem uzyskania pisemnej zgody osoby, której informacje te dotyczą. Zgoda ta może być w każdym czasie odwołana (art. 105a ust. 2 Prawa bankowego). W odniesieniu do kwestii przetwarzania danych po wygaśnięciu zobowiązania art. 105a ust. 3 Prawa bankowego stanowi natomiast, że instytucje, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową, dotyczące osób fizycznych, po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank lub inną instytucję ustawowo upoważnioną do udzielania kredytów o zamiarze przetwarzania dotyczących jej informacji stanowiących tajemnicę bankową, bez jej zgody. Zakres przetwarzanych informacji, o których mowa w ust. 3 może obejmować dane dotyczące osoby fizycznej lub dane dotyczące zobowiązania (ust 6). Organ wskazał, iż J. C. nie wyraziła pisemnej zgody na przetwarzanie jej danych osobowych w zbiorze prowadzonych przez B. S.A. po wygaśnięciu zobowiązania wynikającego z umowy pożyczki zawartej ze S., natomiast zwłoka w spełnieniu świadczenia wynikającego z umowy pożyczki, jakiej się dopuściła nie trwała dłużej niż 60 dni, co oznacza, iż w przedmiotowej sprawie nie zachodzą przesłanki legalizujące przetwarzanie danych osobowych określone w art. 105a ust. 3 Prawa Bankowego. Od powyższej decyzji B. S.A. złożył wniosek o ponowne rozpatrzenie sprawy. Rozpoznając sprawę ponownie, Generalny Inspektor Ochrony Danych Osobowych, odnosząc się do zarzutów podniesionych we wniosku o ponowne rozpatrzenie sprawy, wskazał, iż B. S.A. nie jest upoważnione do samodzielnego decydowania o celu przetwarzania przekazanych mu przez bank lub inne instytucje upoważnione do udzielania kredytów (S.) informacji stanowiących tajemnicę bankową. Działanie B. S.A., które otrzymało od banku lub S. informacje o określonym jego kliencie (osobie fizycznej) w celu przetwarzania ich dla potrzeb oceny zdolności kredytowej i analizy ryzyka kredytowego – przetwarza je w celu stosowania metod statystycznych, o których mowa w art. 128 ust. 3, jest więc – w ocenie Generalnego Inspektora – pozbawione podstaw prawnych. Samo B. S.A. bowiem – jako podmiot, który nie podlega wymogom kapitałowym ustanowionym w art. 128 ust. 3 Prawa bankowego – nie jest uprawnione do stosowania metod statystycznych z art. 128 ust. 3 Prawa bankowego. Zdaniem organu dane osobowe skarżącej przekazane zostały przez S. na rzecz B. S.A. w ściśle określonym celu – oceny zdolności kredytowej i analizy ryzyka kredytowego. Z materiału dowodowego zgromadzonego w niniejszej sprawie w sposób bezsporny wynika, iż S. nie przekazał do B. S.A. danych osobowych skarżącej w celach stosowania metod statystycznych, o których mowa w art. 128 ust. 3 Prawa bankowego. B. S.A. stara się usankcjonować proces przetwarzania danych osobowych J. C. dla realizacji przyszłych, potencjalnych celów innych banków – spodziewając się, że banki te, o ile będą uprawnione do stosowania dla obliczania wymogów kapitałowych metod statystycznych (art. 128 ust. 3 Prawa bankowego), będą zainteresowane pozyskaniem dla realizacji tego celu danych osobowych skarżącej ze zbioru B. S.A. Powyższa decyzja stała się przedmiotem skargi B. S.A. do Wojewódzkiego Sądu Administracyjnego w Warszawie. Wnosząc o stwierdzenie nieważności, ewentualnie o uchylenie zaskarżonej decyzji, skarżąca zarzuciła rażące naruszenie art. 105 ust. 4 i art. 105a ust. 5 ustawy – Prawo bankowe, art. 23 ust. 1 pkt 2, 26 ust. 1 pkt 3 i 4, art. 7 pkt 4 w związku z art. 44 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, art. 7, 77 k.p.a. W uzasadnieniu skargi podniesiono, iż B. S.A. przetwarza dane osobowe J. C. dla celów statystycznych. Uzasadniając dalsze przetwarzanie danych osobowych dla celów statystycznych, strona skarżąca wywodziła, że bezpodstawny jest pogląd, że nie jest do tego uprawniona tylko dlatego, że pozyskała je od S. w innym celu. Prezentowała pogląd, że fakt, iż pozyskała te dane w celu oceny zdolności kredytowej i analizy ryzyka kredytowego nie oznacza, że wykorzystując je dla celów statystycznych, przetwarza je dla realizacji celu niesprecyzowanego. Wywodziła, że jest instytucją, o której mowa w art. 105 ust. 4 Prawa bankowego oraz że banki, stosownie do art. 128 ust. 3 Prawa Bankowego, mogą stosować metody statystyczne, a zatem instytucje takie jak B. S.A. są stworzone po to, by w sytuacjach określonych w Prawie bankowym przetwarzać te dane. Strona skarżąca twierdziła też, że przetwarzanie przez nią danych dla celów statystycznych jest prawnie dopuszczalne i wynika z art. 105a ust. 4 w zw. z art. 105 ust. 4 Prawa bankowego. Podnosiła, że skoro przetwarzanie danych dla celów statystycznych jest zgodne z prawem, to organ pominął treść art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych, bowiem zgodnie z tym przepisem przetwarzanie jest dopuszczalne, jeżeli jest to niezbędne dla zrealizowania uprawnienia. Skarżąca zarzuciła, że przepis art. 105a ust. 4 i 5 Prawa bankowego upoważnia ją do przetwarzania danych osobowych dla celów stosowania metod statystycznych. Twierdziła też, że to, iż dane osobowe klienta banku w danym momencie nie są przetwarzane dla celów oceny ryzyka kredytowego, nie wpływa na fakt, że nie mogą być używane dla celów stosowania metod statystycznych. Wskazała, iż w art. 105a ust. 4 ustawodawca przyznał jej uprawnienie do przetwarzania danych stanowiących tajemnicę bankową bez zgody osoby, której te dane dotyczą, oraz wskazał jako ustawowy cel przetwarzania – stosowanie metod statystycznych, o których mowa w art. 128 ust. 3 Prawa bankowego. Nadto strona skarżąca podkreśliła, że po wejściu w życie ustawy z dnia 26 stycznia 2007 r. o zmianie ustawy – Prawo bankowe, która zmieniając art. 105a ust. 4 Prawa bankowego, wprowadziła z dniem 1 kwietnia 2007 r. nieistniejące wcześniej uprawnienie dla instytucji utworzonych zgodnie z art. 105 ust. 4 (w tym B.) do przetwarzania danych osobowych uzyskanych od banków dla celów stosowania metod statycznych, o których mowa w art. 128 ust. 3 Prawa bankowego, złożyła do Generalnego Inspektora Ochrony Danych Osobowych zgłoszenie aktualizacyjne rozszerzające cel przetwarzania danych osobowych o ich przetwarzanie dla celów stosowania metod statycznych, o których mowa w art. 128 ust. 3 Prawa bankowego (zgodnie z art. 41 ust. 2 w związku z art. 41 ust. 1 pkt 3 ustawy o ochronie danych osobowych). GIODO nie odmówił rejestracji zbioru, nie oponował w żaden sposób przeciwko powyższemu rozszerzeniu celu przetwarzania danych osobowych przez B. S.A. Zarzuciła organowi brak odniesienia się do kwestii, jakie interesy mogły zostać naruszone poprzez przetwarzanie jej danych dla celów statystycznych. W szczególności podniosła, że organ nie poczynił ustaleń w przedmiocie ewentualnego naruszenia praw i wolności J. C. Wyjaśniła, że dane statystyczne nie mogą w żaden sposób wpłynąć na decyzje banków w przedmiocie udzielenia, bądź odmowy udzielenia kredytu bankowego J. C., albowiem dane te nie służą podejmowaniu decyzji w indywidualnych sprawach, służąc wyłącznie instytucji finansowej, tj. badaniu ryzyka bankowego. W odpowiedzi na skargę Generalny Inspektor Ochrony Danych Osobowych wniósł o jej oddalenie, podtrzymując swoje dotychczasowe argumenty faktyczne i prawne. W dniu 25 marca 2009 r. pełnomocnik B. S.A. złożył pismo procesowe z dnia 24 marca 2009 r., w którym między innymi wskazał, iż z dniem 19 stycznia 2009 r. Generalny Inspektor Ochrony Danych Osobowych zarejestrował zmianę w rejestrze zbiorów danych osobowych w ten sposób, że w zbiorze danych "Kredytobiorcy", których administratorem jest skarżąca w zakresie celu przetwarzania danych w zbiorze dodano "oraz w związku ze stosowaniem metod statystycznych". Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Istota sporu sprowadza się do oceny, czy B. S.A. może legalnie przetwarzać dane osobowe J. C. dla celów stosowania metod statystycznych, bez jej zgody skoro dane te otrzymało od S. dla innych celów (tj. na podstawie art. 105 ust. 4 ustawy z dnia 29 sierpnia 1997 r. – Prawo bankowe). W ocenie Sądu przepis art. 105 a ust. 4 ustawy z dnia 29 sierpnia 1997 r. – Prawo bankowe (Dz. U. z 2002 r. Nr 72, poz. 665 z późn. zm.) wprowadził samodzielną przesłankę legalizującą przetwarzanie danych osobowych dla celów stosowania metod statystycznych. Przepis ten stanowi, iż banki oraz instytucje, o których mowa w art.105 ust. 4, mogą przetwarzać informacje stanowiące tajemnicę bankową, dotyczące osób fizycznych, po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, bez zgody osoby, której informacje dotyczą, dla celów stosowania metod statystycznych, o których mowa w art.128 ust. 3. Nie ulega wątpliwości, iż strona skarżąca – B. jest instytucją o której mowa w art. 105 ust. 4 ustawy – Prawo bankowe, a zatem mieści się w katalogu podmiotów określonych w art. 105a ust.4 Prawa bankowego. A skoro tak, to przepis ten daje stronie skarżącej prawo do przetwarzania danych osobowych dla celów stosowania metod statystycznych bez zgody osoby zainteresowanej. Jednocześnie stanowi samodzielną podstawę do przetwarzania danych osobowych dla tych celów. W ocenie Sądu organ, wydając przedmiotową decyzję, pominął ustawową przesłankę legalizującą przetwarzanie danych osobowych dla stosowania metod statystycznych. Tym samym wydał decyzję z naruszeniem przepisu art.105 a ust. 4 w związku z art.128 Prawa bankowego oraz z naruszeniem art. 23 ust. 1 pkt. 2 ustawy o ochronie danych osobowych, który stanowi, że przetwarzanie danych osobowych jest dopuszczalne, jeżeli jest to niezbędne do zrealizowania uprawnienia. Zaskarżona decyzja została wydana jednocześnie z naruszeniem art. 5 ustawy o ochronie danych osobowych, bowiem w przedmiotowej sprawie w pierwszej kolejności zastosowanie winny znaleźć przepisy Prawa bankowego (przed przepisami ustawy o ochronie danych osobowych), które zapewniają dalej idącą ochronę. Ponownie rozpoznając sprawę, organ wyda decyzję z uwzględnieniem treści przepisu art.105 a ust. 4 ustawy – Prawo bankowe. Ponieważ, jak to wynika ze złożonego w dniu 25 marca 2009 r. pisma procesowego pełnomocnika skarżącego, w dniu 19 stycznia 2009 r. GIODO rozpoznał wniosek B. S.A. o zmianę celu przetwarzania danych w bazie "Kredytobiorcy" o cel stosowania metod statystycznych, ponownie rozpoznając sprawę Generalny Inspektor Ochrony Danych Osobowych, oceni, czy przetwarzanie przez B. S.A. danych osobowych dla metod statystycznych jest legalne. Oceni wówczas, czy B. S.A. uprawnienie do przetwarzania danych osobowych dla celów stosowania metod statystycznych nabyło wprost z ustawy z dniem 1 kwietnia 2007 r., kiedy to zakres art. 105 ust. 4 Prawa bankowego został rozszerzony o cel stosowania metod statystycznych. Generalny Inspektor Ochrony Danych Osobowych wyjaśni, czy B. S.A. było upoważnione przez S. jedynie do przetwarzania danych osobowych dla celów oceny zdolności kredytowej, czy też zakres ten był szerszy z uwagi na treść przepisu art.105a ust. 4 Prawa bankowego. Wskaże na podstawie jakiego dowodu i przepisu prawa przyjął i uznał, że B. S.A. było ograniczone przez S. tylko do przetwarzania danych osobowych w zakresie zdolności kredytowej. Wreszcie odniesie się do kwestii, czy nowo wprowadzony z dniem 1 kwietnia 2007 r. przepis art. 105a ust. 4 Prawa bankowego automatycznie nie rozszerzył uprawnień B. S.A. w stosunku do przekazanych mu wcześniej przez S. danych. Na marginesie należy przypomnieć organowi, że Wojewódzki Sąd Administracyjny w Warszawie w uzasadnieniu wyroku z dnia 15 lutego 2008 r. sygn. II SA/Wa 1979/07 zwrócił uwagę, iż po wejściu w życie art. 105a ust. 4 ustawy – Prawo bankowe należy odrębnie dokonywać ustaleń w zakresie dopuszczalności przetwarzania danych dla celów zdolności kredytowej i analizy ryzyka kredytowego oraz odrębnie dla celów stosowania metod statystycznych, o których mowa w art. 128 ust. 3 Prawa bankowego. Ze względu na powyższe Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 145 ust. 1 pkt c ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. Nr 153, poz. 1270 z późn. zm.), orzekł jak w sentencji. O wstrzymaniu wykonania zaskarżanej decyzji orzeczono na podstawie art. 152 tej ustawy. O zwrocie kosztów postępowania orzeczono zgodnie z postanowieniami art. 200 cyt. ustawy – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. Nr 153, poz. 1270 ze zm.).