I OSK 1529/09

Naczelny Sąd Administracyjny w składzie: Przewodniczący: sędzia NSA Irena Kamińska (spr.) Sędziowie sędzia NSA Anna Lech sędzia del. WSA Marzenna Linska - Wawrzon Protokolant Urszula Radziuk po rozpoznaniu w dniu 14 września 2010 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej B. S. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 12 sierpnia 2009 r. sygn. akt II SA/Wa 302/09 w sprawie ze skargi B. S. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia (...) stycznia 2009 r. nr (...) w przedmiocie ochrony danych osobowych oddala skargę kasacyją. Wyrokiem z dnia 12 sierpnia 2009 r., sygn. akt II SA/Wa 302/09 Wojewódzki Sąd Administracyjny w Warszawie oddalił skargę B. S. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia (...) stycznia 2009 r. nr (...) w przedmiocie ochrony danych osobowych. W uzasadnieniu wyroku Sąd pierwszej instancji wskazał, iż B. S. wniósł do Biura Generalnego Inspektora Ochrony Danych Osobowych skargę dotyczącą przetwarzania jego danych osobowych przez I. z siedzibą w Warszawie, zwanym dalej również "Bankiem", oraz przez Biuro Informacji Kredytowej S.A. z siedzibą w Warszawie, zwanej dalej również "BIK ". Z wyjaśnień B. S. wynika, że Bank przekazał bezprawnie jego dane do BIK . Wskazał, że nigdy nie brał w Banku żadnego kredytu ani pożyczki, a na podstawie skradzionych dokumentów nieznany sprawca wyłudził kredyt na jego szkodę. W piśmie z dnia 20 maja 2009 r. B. S. wniósł ponadto o podjęcie działań w związku, z jego zdaniem, bezprawnym przekazaniem jego danych przez Bank P. K. oraz wydanie decyzji nakazującej usunięcie jego danych z bazy firmy "P. " stanowiącej własność P. K. . W dniu (...) września 2008 r. Generalny Inspektor Ochrony Danych Osobowych wydał decyzję o numerze (...) umarzającą postępowanie w zakresie usunięcia danych osobowych B. S. ze zbioru Biura Informacji Kredytowej S.A. z siedzibą Warszawie, a także ze zbioru danych prowadzonego przez P. K. prowadzącego działalność gospodarczą pod firmą "P. " oraz odmawiającą uwzględnienia wniosku w pozostałym zakresie. Decyzja ta została wydana na podstawie art. 104 § 1 i art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (Dz. U. z 2000 r. Nr 98, poz. 1071 ze zm.) oraz art. 12 pkt 2 w zw. z art. 22 i art. 23 ust. 1 ustawą z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t. j. Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.). W uzasadnieniu decyzji organ przytoczył dokonane w sprawie ustalenia, z których wynika, że Bank pozyskał dane osobowe B. S. w dniu 28 czerwca 2004 r. od firmy R. z siedzibą w Lublinie, współpracującej z Bankiem w zawieraniu umów kredytowych. Dane te zostały pozyskane w celu realizacji umowy kredytowej. W ocenie Banku B. S. taką umowę zawarł. Postanowieniem z dnia 19 kwietnia 2005 r. Prokuratura Rejonowa Lublin Północ umorzyła śledztwo w sprawie wyłudzania kredytów na szkodę B. S. , z uwagi na niewykrycie sprawcy. Ustalono również, że w dniu 2 kwietnia 2005 r. Bank przekazał dane osobowe do BIK , zaś w dniu 3 marca 2008 r. Bank zwrócił się do BIK o usunięcie tych danych. Dyspozycja Banku została wykonana przez BIK w dniu 7 marca 2008 r. poprzez usunięcie danych z prowadzonej bazy. Ponadto z ustaleń tych wynika, że Bank udzielił P. K. prowadzącemu działalność gospodarczą pod firmą "P. " pełnomocnictwa do podjęcia czynności zmierzających do wyegzekwowania na rzecz Banku wierzytelności od jego dłużników Dane B. S. zostały usunięte z bazy firmy "P. " po przesłaniu do Banku raportu z przeprowadzonej u niego wizyty. Przedstawiając motywy rozstrzygnięcia organ wyjaśnił, że wobec usunięcia przez Bank danych osobowych B. S. ze zbioru BIK (co zostało potwierdzone pismem BIK z dnia 11 marca 2008 r.), a także wobec usunięcia tych danych za zbioru "P. " (o czym poinformował P. K. pismem z dnia 1 lipca 2008 r.), postępowanie w tym zakresie stało się bezprzedmiotowe i zaistniała przesłanka do jego umorzenia. Odnośnie żądania B. S. dotyczącego usunięcia jego danych ze zbioru danych osobowych Banku organ wyjaśnił, że dane te są przetwarzane do celów dowodowych, dotyczących zawartej umowy, a gdy ostatecznie zostanie wyjaśniona kwestia, kto właściwie jest dłużnikiem, będą one mogły być przetwarzane w celach archiwalnych. Podstawą prawną przetwarzania danych przez Bank są przepisy prawa, więc zachodzi przesłanka określona w art. 23 ust. 1 pkt 2 powołanej ustawy o ochronie danych osobowych. Organ wskazał w tym przypadku na art. 71 ust. 1 oraz 74 ust. 1 ustawy z dnia 29 września 1994 r. o rachunkowości (t. j. Dz. U. z 2002 r. Nr 76, poz. 694 ze zm.). Dodatkowo organ podniósł, iż niezależnie od powyższego Bank jest uprawniony do przetwarzania (w szczególności przechowywania) danych osobowych klientów, w tym danych B. S. , do upływu okresu przedawnienia roszczeń cywilnych wynikających z art. 731 oraz 118 ustawy z dnia 23 kwietnia 1964 r. Kodeks cywilny (Dz. U. Nr 16, poz. 93 ze zm.). Ponadto przetwarzanie danych osobowych jest niezbędne w przypadku podjęcia kroków prawnych, na które wskazuje Miejski Rzecznik Konsumenta Urzędu Miasta w Lublinie, w załączonym przez skarżącego piśmie z dnia 11 kwietnia 2008 r. Z pisma tego wynika, że Bank został poinformowany, że w przypadku niedokonania dobrowolnej zmiany danych zostaną podjęte dalsze kroki prawne w kierunku wszczęcia sporu sądowego poprzez wniesienie powództwa o ustalenie nieistnienia stosunku prawnego pomiędzy Bankiem o B. S. . Organ wskazał przy tym, że o nieistnieniu stosunku cywilnoprawnego między Bankiem, a B. S. może orzekać wyłącznie sąd powszechny. Kwestii tej nie może rozstrzygać Generalny Inspektor Ochrony Danych Osobowych. Odnośnie zgłaszanych przez B. S. w toku postępowania zarzutów dotyczących naruszenia przez Bank jego dóbr osobistych oraz narażania go na koszty związane z koniecznością zaciągania kredytów w instytucjach pobierających wysokie opłaty organ wyjaśnił, że w tym zakresie przysługuje B. S. roszczenie związane z ochroną dóbr osobistych, o których mowa w art. 23 k. c. ewentualnie art. 471 k.c. Po rozpoznaniu wniosku B. S. o ponowne rozpatrzenie sprawy Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia (...) stycznia 2009 r. nr (...), działając na podstawie art. 138 § 1 pkt 1 k.p.a. oraz art. 12 pkt 2, art. 22 i art. 23 ust. 1 powołanej ustawy o ochronie danych osobowych, utrzymał w mocy swoją poprzednią decyzję z dnia 11 września 2008 r. W uzasadnieniu decyzji organ powołał się na dotychczasowe ustalenia faktyczne i prawne. Wyjaśnił również, że Generalny Inspektor Ochrony Danych Osobowych nie jest organem powołanym do wydawania opinii oraz rozstrzygania sporów wynikających ze stosunków cywilnoprawnych takich jak np. kwestia ważności, czy też wadliwości umowy kredytowej. Ponadto wskazał, że dopóki ważność umowy nie zostanie podważona we właściwym trybie i formie, umowa stanowi dokument wywołujący określone skutki prawne podlegające także ocenie w świetle ustawy o ochronie danych osobowych. Dopóki to nie nastąpi, nie można oceniać działań Banku w kontekście naruszenia przepisów o ochronie danych osobowych. Wskazana wyżej decyzja stała się przedmiotem skargi B. S. do Wojewódzkiego Sądu Administracyjnego w Warszawie. Skarżący wniósł o jej uchylenie. Podniósł, że jest ona dla niego krzywdząca i nie zawiera ustosunkowania się do naruszeń prawa przez lnvest - Bank SA, pomimo, że w jego opinii do takich naruszeń doszło. Wskazał, że nie sprzeciwia się wykorzystywaniu jego danych przez Bank do celów archiwalnych, czy też do wyjaśnienia okoliczności zawarcia umowy kredytu i ustalenia sprawcy wyłudzenia kredytu. Zarzucił, iż Bank bezprawnie przekazał jego dane BIK oraz firmie "P. ". W odpowiedzi na skargę organ wniósł o jej oddalenie, podtrzymując stanowisko zawarte w zaskarżonej decyzji. Wydając zaskarżony wyrok Sąd pierwszej instancji podniósł, iż z dokonanych w toku postępowania ustaleń organu wynika, że dane osobowe skarżącego zostały usunięte ze zbioru BIK oraz ze zbioru P. K. prowadzącego działalność gospodarczą pod firmą "P. ". Wskazują na to informacje zawarte w piśmie BIK z dnia 11 marca 2008 r. oraz piśmie P. K. z dnia 1 lipca 2008 r. Niewątpliwie więc postępowanie prowadzone przez organ stało się w tym zakresie bezprzedmiotowe. Wobec tego, że dane skarżącego zostały usunięte ze zbioru wskazanych wyżej podmiotów, nie zachodziła potrzeba wydawania decyzji administracyjnej rozstrzygającej sprawę co do istoty w tym zakresie. Dokonując kontroli legalności zaskarżonej decyzji w zakresie odmowy uwzględnienia wniosku skarżącego w pozostałej części Sąd pierwszej instancji podkreślił, iż faktem jest, że w dniu 28 czerwca 2004 r, doszło do zawarcia umowy kredytowej pomiędzy osobą podającą się za skarżącego a Bankiem. Z dokonanych przez Generalnego Inspektora Ochrony Danych Osobowych ustaleń wynika, że ważność tej umowy nie została podważona. Stąd też umowa ta wywołuje skutki prawne, które jak słusznie organ zauważa, podlegają ocenie w świetle ustawy o ochronie danych osobowych. W ocenie Sądu pierwszej instancji Generalny Inspektor Ochrony Danych Osobowych prawidłowo ocenił, że podstawą przetwarzania danych osobowych skarżącego przez Bank jest art. 23 ust. 1 pkt 2 ustawy. Organ słusznie wskazał, że przepisem prawa, który zobowiązuje Bank do przetwarzania danych osobowych skarżącego jest art. 71 ust. 1 ustawy z dnia 29 września 1994 r. o rachunkowości (Dz. U. z 2002 r. Nr 76, poz. 694 ze zm.). Zgodnie z tym przepisem dokumentację opisującą w języku polskim przyjęte przez bank zasady (politykę) rachunkowości, księgi rachunkowe, dowody księgowe, dokumenty inwentaryzacyjne i sprawozdania finansowe, zwane dalej także "zbiorami", należy przechowywać w należyty sposób i chronić przed niedozwolonymi zmianami, nieupoważnionym rozpowszechnianiem, uszkodzeniem lub zniszczeniem. Sąd pierwszej instancji zaznaczył, że przedmiotem kontroli w niniejszej sprawie jest legalność decyzji umarzającej postępowanie w zakresie usunięcia danych osobowych B. S. ze zbioru BIK oraz ze zbioru danych prowadzonego przez P. K. , a także odmawiającą uwzględnienia wniosku skarżącego w zakresie naruszenia ustawy o ochronie danych osobowych przez Bank. Dane osobowe skarżącego zostały usunięte ze zbioru BIK , a także ze zbioru danych prowadzonego przez P. K. . Nie można więc zdaniem Sądu pierwszej instancji czynić organowi zarzutu, iż w tej sytuacji nie wydał decyzji nakazującej usunięcie danych skarżącego ze zbioru prowadzonego przez te podmioty. Skargę kasacyjną od powyższego wyroku złożył B. S. zarzucając mu: 1. naruszenie art. 1 pkt 1, art. 18 pkt 1 ust. 1, art. 23 pkt 1 ust. 1, art. 26 pkt 1 ust. 1, art. 36 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych oraz art. 19 i 49 pkt. 1 wymienionej ustawy przez błędną jego wykładnię, w zakresie przyjętych kryteriów prawa do ochrony danych osobowych skarżącego, bez uwzględnienia przesłanek nakazujących obowiązek ich stosowania przy powoływaniu się na przepisy powołanej ustawy o ochronie danych osobowych odnośnie przetwarzania danych osobowych przez Bank Invest S.A. w W-wie i Generalnego Inspektora Ochrony Danych Osobowych (dalej GIODO), a nadto przy możliwości stwierdzenia przy ochronie danych osobowych naruszenia przepisów ustawy, co do jej aspektów odpowiedzialności karnej odnośnie nie podjęcia przez I. S.A. i GIODO stosowanych w tym zakresie działań wynikających z powołanych przepisów. 2. naruszenie przepisów postępowania w rozumieniu art. 174 P.p.s.a., które mogło mieć wpływ na wynik sprawy – art. 105 §1 K.p.a. przez błędne uznanie, że postępowanie w sprawie stało się bezprzedmiotowe i umorzenie postępowania nastąpił w sposób prawidłowy, bez uwzględnienia potrzeby wyjaśnienia przyczyn braku zapewnienia skarżącemu właściwych warunków ochrony jego danych osobowych Powołując się na wymienione podstawy skargi kasacyjnej kasator wniósł o uchylenie zaskarżonego wyroku i przekazanie sprawy do ponownego rozpoznania Sądowi pierwszej instancji, a także zasądzenie na jego rzecz kosztów postępowania według norm przepisanych. W motywach skargi kasacyjnej podniesiono, iż Sąd pierwszej instancji pominął okoliczność, że I. S.A. w Warszawie w posiadaniu danych osobowych skarżącego znalazł się już dnia 28 czerwca 2004 r. pozyskując je od firmy R. z siedzibą w Lublinie, a więc przez okres 4 lat I. S. A. był dysponentem danych osobowych skarżącego, a przyczyną przekazania ich do BIK i firmy "P. " były utrudnienia, jakie skarżący miał w uzyskaniu kredytów i prowadzenia działalności. Sąd pierwszej instancji nie uwzględnił zawartej w skardze informacji, że I. S.A. w W-wie już od 15 lipca 2004 r. był w posiadaniu informacji, że skarżący nie jest stroną umowy kredytowej z 28 czerwca 2004 r., a kredyt został wyłudzony przez inną osobę posługującą się nieautentycznymi dokumentami, podrobionymi przez siebie na nazwisko skarżącego, któremu te dokumenty zostały skradzione. W tej sytuacji, kiedy I. S.A. w Warszawie wezwał BIK do usunięcia danych osobowych skarżącego, stwierdzenie Sądu pierwszej instancji, że ważność umowy kredytowej z 28 czerwca 2005 r. "nie została podważona" musi w ocenie kasatora budzić zastrzeżenia, ponieważ podstawa do nie przysyłania danych osobowych skarżącego do BIK i firmy "P. ", a potem ich usunięcia przez I. S.A. w W-wie istniała już 15 lipca 2004 r. kiedy to I. S.A. wiedział już, że skarżący nie jest jego dłużnikiem, a mimo to nie podejmował w tym zakresie żadnych decyzji, doprowadzając do powstania szkody skarżącego, który w tym zakresie powołuje się na ustalenia sprawie przed Sądem Okręgowym w Lublinie I Wydział Cywilny, przejmującej odpowiedzialność finansową Invest Banku SA w W-wie z tytułu zadośćuczynienia i powstałej szkody. W odpowiedzi na skargę kasacyjną GIODO wniósł o jej oddalenie. Naczelny Sąd Administracyjny zważył, co następuje: Skarga kasacyjna nie zawiera usprawiedliwionych podstaw i podlega oddaleniu. Zgodnie z art. 183 § 1 P.p.s.a. Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, bierze jednak z urzędu pod rozwagę nieważność postępowania. W sprawie nie występują przesłanki nieważności określone w art. 183 § 2 P.p.s.a., zatem Naczelny Sąd Administracyjny związany był granicami skargi kasacyjnej. Stosownie do art. 174 pkt. 1 i 2 P.p.s.a., skarga kasacyjna może być oparta na następujących podstawach: naruszeniu prawa materialnego przez błędną jego wykładnię lub niewłaściwe zastosowanie, a także na naruszeniu przepisów postępowania, jeżeli uchybienie to mogło mieć istotny wpływ na wynik sprawy. W rozpatrywanej sprawie bezspornym jest, że Bank usunął dane osobowe kasatora jako dłużnika ze zbioru Biura Informacji Kredytowej S. A. oraz ze zbioru firmy ""P. "", co zostało potwierdzone w trakcie postępowania administracyjnego, toczącego się przed organem. Skarżący kasacyjnie zarzuca wyrokowi Sądu pierwszej instancji przede wszystkim dokonanie błędnych ustaleń stanu faktycznego sprawy i nieuchylenie decyzji GIODO w sytuacji, gdy miał on obowiązek zawiadomienia organów ścigania o popełnieniu przestępstw przez Invest-Bank S.A. i właściciela firmy "P. ", polegających na bezprawnym posługiwaniu się jego danymi osobowymi. Ponadto kwestionuje on legalność przetwarzania jego danych osobowych przez wymieniony Bank. Bezsporne jest także, to, że katalog obowiązków GIODO w przypadku naruszenia przepisów ustawy o ochronie danych osobowych został wyczerpująco określony w art. 18 ust. 1 powołanej, zgodnie z którym organ ten może nakazać usunięcie uchybień, uzupełnienie, uaktualnienie, sprostowanie, udostępnienie lub nieudostępnienie danych osobowych, zastosowanie dodatkowych środków zabezpieczających zgromadzone dane osobowe, wstrzymanie przekazywania danych osobowych do państwa trzeciego, zabezpieczenie danych lub przekazanie ich innym podmiotom, usunięcie danych osobowych. W tej sytuacji zasadnicze znaczenie ma ocena czy Sąd pierwszej instancji prawidłowo przyjął, że bank ma prawo posługiwać się danymi osobowymi skarżącego i nie naruszył tym samym podniesionych w skardze kasacyjnej art. 1 pkt 1, art. 18 pkt 1 ust. 1, 19, art. 23 pkt 1 ust. 1, art. 26 pkt 1 ust. 1, art. 36, 49 pkt. 1 ustawy o ochronie danych osobowych. Nie sposób zgodzić się z twierdzeniami zawartymi w skardze kasacyjnej odnośnie niezłożenia przez organ zawiadomienia o popełnieniu przestępstwa dotyczącego nierespektowania przepisów ustawy przez Bank. W ocenie Naczelnego Sądu Administracyjnego, Sąd pierwszej instancji trafnie wskazał, iż przesłankę legalności przetwarzania danych osobowych skarżącego stanowił art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych. Jak wynika z tego przepisu, przetwarzanie danych osobowych jest dopuszczalne, jeżeli jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa. Przepisem prawa w tym wypadku był art. 71 ust. 1 i 74 ust. 1 ustawy o rachunkowości określający zasady przechowania dokumentacji bankowej. Należy podzielić argumentację Sądu pierwszej instancji, iż w niniejszej sprawie Bank był uprawniony do przetwarzania danych osobowych skarżącego do celów dowodowych, dotyczących prawidłowości zawartej ze skarżącym umowy kredytowej. Skarżący zamierzając podjąć wobec Banku szereg kroków prawnych, m. in. poprzez wystosowanie powództwa o ustalenie nieistnienia stosunku prawnego pomiędzy nim, a Bankiem musiał liczyć się z koniecznością przetwarzania jego danych osobowych przez ten podmiot. Odrębną kwestią jest natomiast ocena prawidłowości przetwarzania danych osobowych przez GIODO, a ingerencja tego organu w innego rodzaju postępowania, którego stroną jest skarżący. W przedmiotowej sprawie rolą GIODO było wyłącznie zbadanie kwestii prawidłowości przetwarzania danych osobowych skarżącego, a Sądu pierwszej instancji kontrola decyzji tego organu umarzająca postępowanie w sprawie. Generalny Inspektor nie jest zaś organem kontrolującym ani nadzorującym prawidłowość stosowania prawa materialnego i procesowego w sprawach należących do właściwości innych organów, które podlegają ocenom, zgodnie z przewidzianą procedurą, w toku instancji. W konsekwencji Sąd pierwszej instancji prawidłowo przyjął, że w niniejszej sprawie kwestia ważności czy też wadliwości umowy kredytowej należy do wyłącznej kompetencji sądów powszechnych, a zatem ocena przez GIODO jej ważności stanowiłaby nieuprawnioną ingerencję w ich jurysdykcję. To samo tyczy się ewentualnej możliwości popełnienia przestępstwa przez Bank, polegającego na nierespektowaniu przepisów ustawy o ochronie danych osobowych. Wobec braku prawomocnego orzeczenia sądowego, stwierdzającego, iż skarżący nie był stroną umowy kredytowej zawartej z Bankiem, GIODO nie miał obowiązku stosowania działań z art. 19 ustawy o ochronie danych osobowych i za bezpodstawne należy również uznać zarzuty naruszenia przepisów art. 1 pkt 1, art. 18 pkt 1 ust. 1, art. 23 pkt 1 ust. 1, art. 26 pkt 1 ust. 1, art. 36, 49 pkt. 1 ustawy o ochronie danych osobowych w tym zakresie. Skoro z przedstawionego materiału dowodowego wynikało w sposób jednoznaczny, że dane osobowe skarżącego zostały wycofane ze zbioru Biura Informacji Kredytowej i firmy "P. ", a także, że Bank posiadał legitymację do przetwarzania tych danych, Sąd pierwszej instancji prawidłowo oddalił skargę na decyzję GIODO umarzającą postępowanie administracyjne na podstawie art. 105 K.p.a. Z tych wszystkich względów zarzuty skargi kasacyjnej należało uznać za nieusprawiedliwione. W konsekwencji orzeczono jak w sentencji, zgodnie z art. 184 P.p.s.a