II SA/Wa 1780/15

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Sławomir Antoniuk, Sędziowie WSA Ewa Grochowska – Jung (spr.), Andrzej Góraj, Protokolant starszy sekretarz sądowy Maria Zawada, po rozpoznaniu na rozprawie w dniu 27 maja 2016 r. sprawy ze skargi P. S. A. w W. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] sierpnia 2015 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę. Generalny Inspektor Ochrony Danych Osobowych decyzją nr [...] z dnia [...] sierpnia 2015 r. na podstawie art. 138 § 1 pkt 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (t. j. Dz. U. z 2013 r., poz. 267 z późn. zm.) oraz art. 12 pkt 2, art. 22, art. 23 ust. 1 pkt 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2014 r., poz. 1182 z późn. zm.) w związku z art. 105 ust. 4 oraz art. 105a ust. 3 i 4 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (t. j. Dz. U. z 2015 r., poz. 128 ze zm.), utrzymał w mocy decyzję z dnia [...] lutego 2015 r. nr [...] nakazującą P. S. A. z siedzibą w W. zaprzestania przetwarzania danych osobowych B. D. dotyczących rachunku nr [...] w systemie [...] S.A. w trybie określonym w art. 105a ust. 3 ustawy Prawo bankowe. W sprawie ustalono następujący stan faktyczny. B. D. wystąpił do Generalnego Inspektora Ochrony Danych Osobowych ze skargą w przedmiocie bezprawnego przetwarzania przez P. S. A. jego danych osobowych. Wyjaśnił, że P. S. A. wszedł w posiadanie jego danych osobowych na mocy zawartej pomiędzy stronami umowy kredytu. Na skutek wystąpienia zadłużenia, P. S. A. na podstawie art. 105a ust. 3 ustawy Prawo bankowe przekazał dane osobowe B. D. do [...] S.A. B. D. podniósł, iż powstałe w związku z ww. umową kredytową zadłużenie zostało całkowicie spłacone, a więc łączący strony stosunek prawny wygasł. Tym samym brak jest podstaw do przetwarzania przez P. S. A. należących do niego danych osobowych bez jego zgody. W jego ocenie, nie zostały spełnione warunki określone w art. 105a ust. 3 ustawy Prawo bankowe, tj. od dnia zawiadomienia go o możliwości przetwarzania jego danych osobowych przez P. S. A. nie upłynęło 30 dni. W związku z powyższym, wniósł on o nakazanie P. S. A. zaprzestania przetwarzania jego danych osobowych w [...] S.A. Generalny Inspektor Ochrony Danych Osobowych przeprowadził w sprawie postępowanie wyjaśniające i ustalił, że skarżący zawarł z Bankiem w dniu [...] września 2008 r. umowę kredytową nr [...], z tytułu której to umowy powstało zadłużenie. W wyjaśnieniach z dnia [...] lipca 2014 r. Bank wskazał, że dane osobowe B. D. zostały przekazane do [...] S.A. w związku z zobowiązaniem nr [...] (dotyczy rachunku [...]) na podstawie Umowy w sprawie zbierania i udostępniania informacji zawartej w dniu [...] czerwca 2001 r. pomiędzy [...] S.A., a P. S. A. W bazie [...] S.A. przedmiotowe zobowiązanie figuruje jako rachunek zamknięty z datą spłaty [...] października 2013 r., z wycofaną zgodą klienta na przetwarzanie danych po wygaśnięciu zobowiązania oraz ze wskaźnikiem "warunki spełnione". Przedmiotowe zobowiązanie zostało przekazane do [...] S.A. po raz pierwszy we wsadzie za styczeń 2010 r. w dniu [...] lutego 2010 r. Ostatnie przekazanie danych do [...] S.A. o ww. zobowiązaniu (zawierające informację o zamknięciu zobowiązania z datą [...] października 2013 r.) nastąpiło we wsadzie za październik 2013 r. W związku z figurowaniem wskaźnika "warunki spełnione" przedmiotowa umowa kredytowa będzie prezentowana na raportach do oceny zdolności kredytowej przez 5 lat od daty spłaty. Bank wskazał, że powiadomienie o zamiarze przetwarzania danych po wygaśnięciu zobowiązania, spełniające jednocześnie obowiązek informacyjny z art. 105a ust. 3 Prawa bankowego, zostało wysłane do Skarżącego w dniu [...] lipca 2013 r., jednak nie przesłał na to żadnych dowodów potwierdzających ten fakt. Generalny Inspektor Ochrony Danych Osobowych wydał decyzję administracyjną z dnia [...] lutego 2015 r. (nr [...], w której nakazał P. S. A. zaprzestania przetwarzania danych osobowych skarżącego dotyczących rachunku nr [...] w systemie [...] w trybie określonym w art. 105a ust. 3 ustawy Prawo bankowe. W dniu [...] marca 2015 r. P. S. A. złożył wniosek o ponowne rozpatrzenie sprawy wskazując, że pismo informujące o powstaniu zadłużenia oraz stanowiące wezwanie do zapłaty w terminie 30 dni pod rygorem przetwarzania informacji stanowiących tajemnicę bankową po wygaśnięciu zobowiązania bez zgody skarżącego przez Bank oraz inne instytucje ustawowo upoważnione do udzielania kredytów, a także instytucje utworzone na podstawie art. 105 ust. 4 ustawy z dnia 29 sierpnia 1997 r. (t. j. Dz. U. z 2015 r. poz.128, ze zm.) wysłane zostało listem zwykłym w dniu [...] lipca 2013 r. Potwierdzeniem wysłania korespondencji do skarżącego jest informacja z wykorzystanej w Banku aplikacji [...], w której archiwizowane są pliki dotyczące przedmiotowych zawiadomień. W opinii Banku powyższe informacje stanowią fakt, iż Bank poinformował skarżącego o zamiarze przetwarzania bez jego zgody informacji stanowiących tajemnicę bankową i tym samym spełnił obowiązek wynikający z art. 105a ust. 3 ustawy Prawo bankowe. Generalny Inspektor Ochrony Danych Osobowych w uzasadnieniu decyzji z dnia [...] sierpnia 2015 r. utrzymującej w mocy zaskarżoną decyzję stwierdził, że zgodnie z przepisem art. 105a ust. 3 ustawy z dnia 29 sierpnia 1997 r. (t. j. Dz. U. z 2015 r. poz.128, ze zm.), instytucje, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank lub inną instytucję ustawowo upoważnioną do udzielania kredytów o zamiarze przetwarzania dotyczących jej informacji stanowiących tajemnicę bankową, bez jej zgody. Mając na uwadze powyższe, po wygaśnięciu zobowiązania wynikającego z umowy Bank mógł przetwarzać dane osobowe skarżącego bez jego zgody wyłącznie wtedy, gdy łącznie zostały spełnione następujące warunki: 1) skarżący nie wykonał zobowiązania lub dopuścił się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z Bankiem, 2) po zaistnieniu wyżej wymienionych okoliczności upłynęło co najmniej 30 dni od poinformowania skarżącego przez Bank o zamiarze przetwarzania dotyczących go informacji stanowiących tajemnicę bankową. Organ podniósł, że ustawodawca posługując się terminem "poinformowanie" miał na myśli skuteczne przekazanie skarżącemu informacji o zamiarze przetwarzania dotyczących go informacji stanowiących tajemnicę bankową. W świetle powyższego dowód w postaci wygenerowanego systemowo potwierdzenia skierowania do skarżącego określonego pisma nie przesądza o zapoznaniu się skarżącego z treścią tego pisma, a tym samym nie jest jednoznaczne ze skutecznym poinformowaniem Skarżącego o zamiarze przetwarzania dotyczących go danych osobowych, w tym przekazaniem ich do [...] S.A. Bank nie udowodnił, czy a jeśli tak to kiedy skarżący otrzymał pismo zawierające informacje o zamiarze przetwarzania danych osobowych skarżącego bez jego zgody. W związku z powyższym Generalny Inspektor nie mógł uznać, że skarżący został skutecznie poinformowany przez Bank o zamiarze przetwarzania dotyczących go danych bez jego zgody w tym udostępnieniu tych danych do [...] S.A. W tej sytuacji zdaniem organu zasadnym jest nakazanie zaprzestania przetwarzania danych osobowych skarżącego w [...] S.A. w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Powyższa decyzja stała się przedmiotem skargi P. S. A. do Wojewódzkiego Sądu Administracyjnego w Warszawie, w której zarzucono jej naruszenie: 1) przepisów postępowania, mających istotny wpływ na wynik sprawy, to jest art. 75 § 1 k.p.a. poprzez nieprzeprowadzenie dowodu z dokumentacji przedłożonej do akt sprawy przez P. S. A. (dalej także "P. S. A.") w tym w szczególności ze wzoru dokumentu, który w lipcu 2013 r., kierowany był do klientów Banku w związku z realizacją obowiązku wynikającego z art. 105a ust. 3 ustawy Prawo bankowe oraz z ekstraktu z pliku wygenerowanego z aplikacji bankowej [...], podczas gdy przeprowadzenie dowodu z tychże dokumentów umożliwiłoby prawidłowe ustalenie, że B. D. był skutecznie i prawidłowo zawiadomiony przez P. S. A. o możliwości przetwarzania należących do niego danych osobowych na podstawie art. 105a ust. 3 ustawy Prawo bankowe, a w konsekwencji wydanie decyzji administracyjnej w oparciu o niekompletny materiał dowodowy w sprawie; 2) naruszenie przepisów postępowania, mające istotny wpływ na wynik sprawy, tj. art. 7, 77 § 1, oraz art. 80 k.p.a. poprzez przekroczenie granic swobodnej oceny dowodów - dowolną ocenę zebranego w sprawie materiału dowodowego, to jest błędne przyjęcie, iż złożone przez B. D. dokumenty i oświadczenia są wystarczające do przyjęcia, że P. S. A. przetwarza należące do niego dane osobowe w sposób sprzeczny z dyspozycją art. 105a ust. 3 ustawy Prawo bankowe, podczas gdy z całokształtu materiału dowodowego przedstawionego w sprawie jednoznacznie wynika, że pomimo wycofania przez B. D. zgody na przetwarzanie należących do niego danych osobowych, P. S. A. jest podmiotem uprawnionym do przetwarzania tychże danych wobec spowodowania przez kredytobiorcę zadłużenia związanego z zawartą z Bankiem umową kredytową i zawiadomienia go o możliwości przetwarzania tychże danych dokonanego z zachowaniem przewidzianych prawem terminów; 3) naruszenie art. 107 k.p.a. poprzez niedokonanie w uzasadnieniu decyzji analizy i oceny całokształtu materiału dowodowego, a w szczególności brak wskazania, jakie fakty Generalny Inspektor Ochrony Danych Osobowych uznał za udowodnione lub nieudowodnione, na jakich dowodach - poza twierdzeniami B. D. oparł rozstrzygnięcie i dlaczego nie uznał dowodów przeciwnych, w szczególności wzoru dokumentu, który w lipcu 2013 r., kierowany był do klientów Banku w związku z realizacją obowiązku wynikającego z art. 105a ust. 3 ustawy Prawo bankowe oraz ekstraktu z pliku wygenerowanego z aplikacji bankowej [...], ograniczając się wyłącznie do arbitralnych stwierdzeń oraz powtórzenia w uzasadnieniu konkluzji decyzji z dnia [...] lutego 2015 r., sygn. akt [...], co skutkowało sprzecznością ustaleń Generalnego Inspektora Ochrony Danych Osobowych z treścią zebranego w sprawie materiału dowodowego, oraz brakiem możliwości weryfikacji procesu podejmowania rozstrzygnięć w niniejszej sprawie; 4) obrazę przepisów postępowania tj. naruszenie art. 8 k.p.a. i 107 § 3 k.p.a. poprzez nienależyte uzasadnienie zaskarżonej decyzji z uwagi na zawarcie w nim zbyt ogólnych stwierdzeń, brak precyzyjnego wyjaśnienia podstawy faktycznej i prawnej tej decyzji, co uniemożliwia właściwe zapoznanie się z motywami działania organu administracji, zrozumienie tych motywów, a w rezultacie ustosunkowanie się do nich w rzeczowy i wyczerpujący sposób, co uniemożliwia realizację zasady pogłębiania zaufania obywateli do organów państwa. Bank wniósł o uchylenie zaskarżonej decyzji oraz poprzedzającej ją decyzji z dnia [...] lutego 2015 r. i zasądzenie kosztów postępowania. W odpowiedzi na skargę organ wniósł o jej oddalenie podtrzymując swoje dotychczasowe argumenty faktyczne i prawne. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje. Zgodnie z brzmieniem art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (tekst jedn. Dz. U. z 2014 r., poz. 1647), sąd administracyjny sprawuje wymiar sprawiedliwości poprzez kontrolę pod względem zgodności z prawem zaskarżonej decyzji administracyjnej i to z przepisami obowiązującymi w dacie jej wydania. Oznacza to, iż sąd administracyjny kontroluje legalność rozstrzygnięcia zapadłego w postępowaniu z punktu widzenia jego zgodności z obowiązującymi przepisami prawa. Rozpatrywana pod tym kątem skarga P. S. A. nie zasługuj na uwzględnienie. Rozważania należy rozpocząć od stwierdzenia, że zadaniem ustawy 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jedn. Dz. U. z 2014 r., poz. 1182 ze zm.) nie jest jedynie stanie na straży interesów tych, których przetwarzane dane osobowe dotyczą. Naczelną zasadą ustawy nie jest też zakaz przetwarzania danych osobowych, lecz przestrzeganie zakresu i trybu ich przetwarzania. Powyższa ustawa w art. 1 stwierdza bowiem, że dane osobowe mogą być przetwarzane, jeżeli służy to dobru publicznemu, dobru osoby, której dane dotyczą lub dobru osób trzecich. Ochrona danych osobowych, na podstawie przepisów powołanej ustawy, nie powinna być oderwana od przepisów służących ochronie innych wartości. Stosownie do treści art. 7 pkt 2 cytowanej ustawy, przez przetwarzanie danych osobowych rozumie się jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych. Z kolei w art. 23 § 1 ustawy zostały wymienione przesłanki legalizujące przetwarzanie danych osobowych. Zgodnie z treścią tego przepisu przetwarzanie danych jest dopuszczalne tylko wtedy, gdy: 1) osoba, której dane dotyczą, wyrazi na to zgodę, chyba że chodzi o usunięcie dotyczących jej danych, 2) jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa, 3) jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą, 4) jest niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego, 5) jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Cytowany powyżej przepis ustawy określa ogólne materialne przesłanki przetwarzania danych osobowych. Przesłanki te mają charakter generalny, odnoszą się do wszelkich form przetwarzania danych, w tym zarówno do przetwarzania "na własne potrzeby" administratora, jak i "na zewnątrz". Są one co do zasady równoprawne, mają charakter autonomiczny i niezależny, co oznacza, że wystarczy wystąpienie jednej z nich, by przetwarzanie danych mogło być uznane za usprawiedliwione. Oznacza także, że zgoda osoby, której dane dotyczą, nie jest wyłączną przesłanką przetwarzania danych osobowych, (por. J. Barta, P. Fajgielski, R. Markiewicz "Ochrona danych osobowych. Komentarz.", publ. LEX nr 106659, wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 19 lipca 2007 sygn. akt II SA/Wa 678/07, publ. LEX nr 368229). Zgodnie z art. 105 ust. 4 ustawy z dnia 27 sierpnia 1997 r. - Prawo bankowe (tekst jedn. Dz. U. z 2015 r.. poz. 128). Banki mogą, wspólnie z bankowymi izbami gospodarczymi, utworzyć instytucje upoważnione do gromadzenia, przetwarzania i udostępniania: 1) bankom - informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych oraz w związku ze stosowaniem metod statystycznych, o których mowa w art. 128 ust. 3 oraz w art. 128d ust. 1; 2) innym instytucjom ustawowo upoważnionym do udzielania kredytów - informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są niezbędne w związku z udzielaniem kredytów pożyczek pieniężnych, gwarancji bankowych i poręczeń; 3) instytucjom kredytowym - informacji stanowiących tajemnicę bankową w zakresie niezbędnym do oceny zdolności kredytowej konsumenta, o której mowa w art. 9 ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim. Stosownie zaś do art. 105a cytowanej ustawy, przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów oraz instytucje utworzone na podstawie art. 105 ust. 4, informacji stanowiących tajemnicę bankową w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem art. 104, art. 105 i art. 106-106c, w celu oceny zdolności kredytowej i analizy ryzyka kredytowego (ust. 1). Instytucje, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank lub inną instytucję ustawowo upoważnioną do udzielania kredytów o zamiarze przetwarzania dotyczących jej informacji stanowiących tajemnicę bankową, bez jej zgody (ust. 3). Banki oraz instytucje, o których mowa w art. 105 ust. 4, mogą przetwarzać informacje stanowiące tajemnicę bankową dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, bez zgody osoby, której informacje dotyczą, dla celów stosowania metod statystycznych, o których mowa w art. 128 ust. 3 (ust 4.). W rozpoznawanej sprawie Generalny Inspektor Ochrony Danych Osobowych nakazał skarżącemu Bankowi zaprzestania przetwarzania danych osobowych B. D. będącego Klientem tego Banku. Organ doszedł bowiem do przekonania, że Bank nie wykazał, że dopełnił wymaganego w cyt. Powyżej art. 105 a ust. 3 ustawy Prawo bankowe obowiązku poinformowania B. D. o zamiarze przetwarzania dotyczących go informacji stanowiących tajemnicę bankową w zakresie jego rachunku bankowego, bez jego zgody. W ocenie Sądu stanowisko to jest prawidłowe. W aktach administracyjnych brak jest bowiem dowodów wskazujących na fakt, że Bank poinformował swojego Klienta o zamiarze przetwarzania powyższych danych. Nie zasługują w tym zakresie na uwzględnienie zarzuty skargi dotyczące przeprowadzonego postępowania dowodowego. Przedstawione przez skarżący Bank dokumenty (wzór zawiadomienia kierowanego do klientów w sprawie opóźnień, zrzut z ekranu pliku z aplikacji [...],) zostały ocenione przez organ w trakcie postępowania administracyjnego, ale nie wynika z nich fakt wykonania przez Bank w stosunku do B. D. obowiązku informacyjnego. Zgodzić się należy z organem, iż Bank nie przedstawił dowodu skutecznego doręczenia B. D. spornej korespondencji ani dowodu jej nadania, bowiem za fakt nie może zostać uznany niespersonalizowany wzór dokumentu oraz ekstrakt z pliku wygenerowanego z aplikacji bankowej [...] w tym zakresie samo oświadczenie Banku, jak i wzoru pisma kierowanego do Klientów – jak twierdzi Bank również do B. D., jest niewystarczające. Konsekwencją powyższych stwierdzeń jest to, że również pozostałe zarzuty, podniesione przez skarżący Bank, dotyczące błędnie i częściowo ustalonego stanu faktycznego oraz niewyczerpującego uzasadnienia zapadłego rozstrzygnięcia w sprawie, są niezasadne. W ocenie Sądu organ prawidłowo ustalił stan faktyczny w sprawie, dopuszczając jako dowód wszelkie oświadczenia i dowody przedstawione przez skarżący Bank, ocenił je i wydał rozstrzygnięcie odpowiadające prawu. Dlatego też skarga jako niezasadna podlega oddaleniu. Mając powyższe na uwadze, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (tekst jednolity Dz. U. z 2012 r., poz. 270 ze zm.), orzekł jak w sentencji.