I OSK 674/08

Naczelny Sąd Administracyjny w składzie następującym: Przewodniczący Sędzia NSA Jerzy Bujko (spr.), Sędzia NSA Anna Lech, Sędzia del. WSA Arkadiusz Despot - Mładanowicz, Protokolant Kamil Wertyński, po rozpoznaniu w dniu 7 maja 2009r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej Generalnego Inspektora Ochrony Danych Osobowych od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 15 lutego 2008r. sygn. akt II SA/Wa 1979/07 w sprawie ze skargi Biura [...] S.A. z/s w W. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] września 2007r. nr [...] w przedmiocie nakazania usunięcia danych osobowych oddala skargę kasacyjną. Wyrokiem z dnia 15 lutego 2008 r. Wojewódzki Sąd Administracyjny w Warszawie uchylił w całości decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] września 2007 r., nr [...], nakazującą Bankowi [...] S.A. w W. usunięcie danych osobowych S. Ż. z Biura Informacji Kredytowej S.A. z siedzibą w Warszawie. Do wydania tej decyzji doszło w następującym stanie faktycznym: S. Ż. w dniu [...] lutego 1998 r. zawarł z bankiem – [...] S.A. (dalej Bank) umowę kredytową nr [...], co skutkowało pozyskaniem przez ten bank danych osobowych kredytobiorcy. W grudniu 2001 r. Bank udostępnił, dane osobowe wymienionego kredytobiorcy Biuru Informacji Kredytowej S.A. Przyczyną tego był fakt, iż przy spłacie zobowiązania kredytowego (ostatnich 6 rat) S. Ż. popadł w zwłokę powyżej 60 dni, wobec tego Bank wszczął postępowanie egzekucyjne. Komornik Sądowy Rewiru I przy Sądzie Rejonowym w Jastrzębiu Zdroju postanowieniem z dnia [...] lutego 2005 r. zakończył postępowanie egzekucyjne. W lutym 2005 r. i marcu 2005 r. Bank przekazał do Biura Informacji Kredytowej informację, iż zobowiązanie S. Ż. należy usunąć z rejestru tego biura i dane wymienionego kredytobiorcy zostały usunięte z Biura Informacji Kredytowej. Ponownie dane osobowe S. Ż. zostały przekazane przez Bank do Biura Informacji Kredytowej w dniu [...] maja 2005 r., bowiem, jak ustalił bank, w dalszym ciągu na wymienionym spoczywało zobowiązanie w wysokości [...] zł wynikające z umowy kredytowej zawartej w dniu [...] lutego 1998 r. Pomimo ostatecznego spłacenia wszystkich zobowiązań przez S. Ż. w dniu [...] marca 2006 r. Bank nie usunął jego danych osobowych ze zbioru danych prowadzonego przez Biuro Informacji Kredytowej. W następstwie braku działania ze strony banku w sprawie usunięcia danych osobowych S. Ż. z Biura Informacji Kredytowej, wymieniony pismem z dnia [...] sierpnia 2006 r. zwrócił się do Generalnego Inspektora Ochrony Danych Osobowych o zobowiązanie Banku do zaprzestania naruszania przepisu art. 23 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.U. z 2002 r. Nr 72, poz. 665 ze zm.) i usunięcia ze zbioru danych osobowych przetwarzanych przez Biuro Informacji Kredytowej danych wnioskodawcy dotyczących informacji o wygasłym zobowiązaniu kredytowym z umowy nr [...]. Po przeprowadzeniu postępowania wyjaśniającego Generalny Inspektor Ochrony Danych Osobowych wydał w dniu [...] czerwca 2007 r. decyzję odmawiającą uwzględnienia wniosku S. Ż. Organ stwierdził w uzasadnieniu decyzji, że choć zobowiązanie skarżącego wygasło, to przy jego spłacie skarżący dopuścił się zwłoki trwającej dłużej niż 60 dni. Zgodnie z art. 105a ust. 3 ustawy z dnia 29 sierpnia 1997 r. – Prawo bankowe (Dz.U. Nr 72, poz. 665 ze zm.) banki, inne instytucje ustawowo upoważnione do udzielania kredytów oraz instytucje utworzone na podstawie art. 105 ust. 4 (m.in. Biuro Informacji Kredytowej) mogą przetwarzać informacje stanowiące tajemnicę bankową dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spłaceniu świadczenia wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank lub inną instytucję ustawowo upoważnioną do udzielania kredytów o zamiarze przetwarzania dotyczących jej informacji stanowiącej tajemnicę bankowa, bez jej zgody. Ustęp 5 powołanego artykułu zaś wskazuje, iż przetwarzanie informacji stanowiących tajemnicę bankową w przypadkach, o których mowa w ust. 3, może być wykonywane przez okres nie dłuższy niż 5 lat od dnia wygaśnięcia zobowiązania. Przepis art. 105a Prawa bankowego zaczął obowiązywać od dnia 16 czerwca 2005 r., już w chwili gdy dane osobowe skarżącego, jako osoby nieterminowo spłacającej kredyt, zostały przekazane do Biura Informacji Kredytowej. Tym samym Bank nie miał faktycznej możliwości dochowania 30-dniowego terminu poinformowania kredytobiorcy o przekazaniu jego danych Biuru Informacji Kredytowej, o którym mowa w art. 105a ust. 3 pkt 2 Prawa Bankowego. Ponadto organ podniósł, iż banki oraz instytucje, o których mowa w art. 105 ust. 4 ww. ustawy, mogą przetwarzać informacje stanowiące tajemnicę bankową dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, bez zgody osoby, której informacje dotyczą, dla celów stosowania metod statystycznych, o których mowa w art. 128 ust. 3 (art. 105a ust. 4 Prawa bankowego). Stosownie zaś do art. 128 ust. 3 tej ustawy, za zgodą Komisji Nadzoru Bankowego bank może stosować metody statystyczne do obliczania wymogów kapitałowych. W zaistniałym stanie faktycznym oraz prawnym należało uznać, iż nie ma podstaw do zakwestionowania legalności przekazania Bankowi danych osobowych skarżącego do Biura Informacji Kredytowej oraz ich dalszego przetwarzania przez ten podmiot. Wnioskiem z dnia [...] lipca 2007 r. S. Ż. wniósł o ponowne rozpatrzenie sprawy zakończonej decyzją Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] czerwca 2007 r. Odwołujący się zarzucił organowi bezpodstawne przyjęcie, iż zobowiązanie kredytowe skarżącego względem banku wygasło w marcu 2006 r., gdy zadłużenie zostało w całości zaspokojone w postępowaniu egzekucyjnym już w lutym 2005 r., co zostało potwierdzone wydaniem stosownego postanowienia przez komornika sądowego o zakończeniu egzekucji wierzytelności. Ponadto, w obowiązującym stanie prawnym należało zakwestionować legalność przetwarzania jego danych przez Bank, bowiem bank nie dopełnił obowiązku poinformowania kredytobiorcy o przekazaniu jego danych bez zgody zainteresowanego do Biura Informacji Kredytowej. Generalny Inspektor Ochrony Danych Osobowych uwzględnił wniosek odwoławczy skarżącego i decyzją z dnia [...] września 2007 r. uchylił zaskarżoną decyzję w całości oraz nakazał Bankowi usuniecie danych osobowych S. Ż. z Biura Informacji Kredytowej. Uzasadniając rozstrzygniecie organ podniósł, iż przekazanie danych osobowych strony odwołującej się do Biura Informacji Kredytowej nastąpiło w związku z przyjęciem przez bank, iż skarżący zalega ze spłatą zobowiązania z umowy kredytowej z dnia [...] lutego 1998 r. S. Ż. uiścił wymaganą kwotę [...] zł na rzecz banku w dniu [...] marca 2006 r. Z tego faktu należało wywnioskować, że skarżący uznał swoje zadłużenie wobec banku i w konsekwencji, wygasło ono ostatecznie w dniu [...] marca 2006 r. Nie może tym samym budzić wątpliwości legalność udostępnienia danych osobowych skarżącego przez Bank na rzecz Biura Informacji Kredytowej, a także dalszego przetwarzania tych informacji przez ostatni z wymienionych podmiotów w czasie trwania zobowiązania łączącego bank i skarżącego. Natomiast odmiennie niż w zaskarżonej decyzji organ zajął stanowisko w kwestii legalności przetwarzania przez Biuro Informacji Kredytowej danych osobowych skarżącego po wygaśnięciu zobowiązania łączącego go z bankiem, w świetle wprowadzonego ustawą z dnia 15 kwietnia 2005 r. o zmianie ustawy o ochronie danych osobowych oraz niektórych innych ustaw (Dz.U. Nr 85, poz. 727) i obowiązującego od dnia 16 czerwca 2005 r. przepisu art. 105a Prawa bankowego. Zdaniem organu, od wejścia w życie wskazanej regulacji, bank powinien był zadbać o spełnienie warunków przewidzianych w tym przepisie. Tymczasem z materiału dowodowego jednoznacznie wynikało, iż w chwili rozstrzygania przez organ spełniony został tylko jeden z warunków określonych w art. 105 ust. 3 Prawa bankowego, tj. skarżący przy realizowaniu zobowiązania pieniężnego popadł w zwłokę przekraczającą 60 dni. Bank natomiast nie spełnił drugiego z obligatoryjnych warunków. Nie udzielił bowiem skarżącemu informacji o zamiarze przetwarzania danych kredytobiorcy bez jego zgody, choć pismem z dnia [...] maja 2006 r. skarżący zwracał się do Banku o usunięcie jego danych, w związku z całkowitą spłatą zobowiązania wobec banku. Wobec wygaśnięcia zobowiązania kredytowego w dniu [...] marca 2006 r. i braku zgody zainteresowanego na przetwarzanie jego danych przez Biuro Informacji Kredytowej, bank powinien był niezwłocznie usunąć dane skarżącego ze zbioru danych. W przypadku zaś istnienia potrzeby dalszego przetwarzania danych skarżącego przez Biuro Informacji Kredytowej, bank obowiązany był niezwłocznie spełnić względem skarżącego obowiązek informacyjny z art. 105a ust. 3 Prawa bankowego. Na skutek żądania skarżącego zaprzestania przetwarzania przez Biuro Informacji Kredytowej jego danych osobowych, zasadne stało się wyegzekwowanie od banku niezwłocznego spełnienia obowiązku informacyjnego. Powyższa decyzja stała się przedmiotem skargi wniesionej przez Biuro Informacji Kredytowej S.A. z siedzibą w Warszawie do Wojewódzkiego Sądu Administracyjnego w Warszawie. Przedmiotowej decyzji strona skarżąca zarzuciła jej wydanie z naruszeniem prawa, w szczególności: 1) art. 23 ust. 1 pkt 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, w zw. z art. 105 ust. 4 i art. 105a ustawy z dnia 29 sierpnia 1997 r. – Prawo bankowe, 2) art. 6 ustawy z dnia 15 kwietnia 2005 r. o zmianie ustawy o ochronie informacji niejawnych oraz niektórych innych ustaw w zw. z art. 105a ustawy Prawo bankowe, 3) art. 70 ust. 1 oraz art. 105a ust. 4 i 5 w zw. z art. 128 ust. 3 ustawy Prawo bankowe, 4) art. 6, 8 i 9 k.p.a. W obszernym uzasadnieniu skargi, Biuro Informacji Kredytowej przedstawiło odmienne stanowisko od zajętego w sprawie przez Generalnego Inspektora Ochrony Danych Osobowych. Zdaniem strony skarżącej, przetwarzanie danych osobowych klientów po wygaśnięciu zobowiązania łączącego klienta z bankiem, zebranych po wejściu w życie ustawy z dnia 15 kwietnia 2005 r. o zmianie ustawy o ochronie informacji niejawnych oraz niektórych innych ustaw, musi bezwzględnie spełniać wymogi w niej przewidziane. Jednak przetwarzanie danych, które zostały zebrane przed jej wejściem w życie mogło odbywać się na dotychczasowych zasadach z zastrzeżeniem, iż do dnia 16 czerwca 2008 r. ich przetwarzanie powinno zostać dostosowane do nowych wymogów. Stanowi o tym art. 6 ustawy o zmianie ustawy o ochronie informacji niejawnych oraz niektórych innych ustaw. Za przyjęciem prezentowanego stanowiska przemawia fakt, że zawiadomienie klienta przez bank o zamiarze przetwarzania jego danych po wygaśnięciu zobowiązania, o którym mowa w art. 105a ust. 3 pkt. 2, jest w większości przypadków niemożliwe, ponieważ jak w niniejszej sprawie, dane kredytobiorcy były już przetwarzane przez bank i Biuro Informacji Kredytowej w chwili wejścia w życie wskazanej nowelizacji. Ponadto, jeżeli dane klienta zostały zebrane przed wejściem w życie nowelizacji i zwłoka w spełnieniu jego świadczeń względem banku przekraczała 60 dni, a umowa wygasła już po wejściu w życie nowelizacji, to bank ma, zgodnie z art. 6 ustawy o zmianie ustawy o ochronie informacji niejawnych oraz niektórych innych ustaw, czas do dnia 16 czerwca 2008 r. na dostosowanie zasad przetwarzania do nowych wymogów – w tym przypadku do powiadomienia klienta o zamiarze dalszego przetwarzania jego danych jako niesolidnego kredytobiorcy. Skoro ustawa wskazuje bankowi maksymalny czas do 16 czerwca 2008 r. na dopełnienie takich warunków, to nie ma żadnych podstaw prawnych, aby z tego powodu stosować wobec banku sankcji (nieprzewidzianej w ustawie), a w szczególności nakazywać mu usunięcie danych osobowych ze zbioru Biura Informacji Kredytowej. Przyjęcie przeciwnego stanowiska prowadziłoby do wniosku, iż bank informowałby osobę, której dane już przetwarza od kilku lat o tym, że "zamierza przetwarzać dane osobowe tej osoby bez jej zgody". Byłaby to w sytuacji skarżącego informacja nieprawdziwa. Z podanych względów organ błędnie podjął zaskarżoną decyzję. Ponadto nie uwzględnił konsekwencji prawnych nowelizacji Prawa bankowego z dnia 1 kwietnia 2007 r., która wprowadziła w treści art. 105a ust. 4 i 5 możliwość przetwarzania przez banki i Biura Informacji Kredytowej danych o rachunkach zamkniętych bez zgody osoby, której dane dotyczą, dla celów stosowania metod statystycznych, o których mowa w art. 128 ust. 3 Prawa bankowego, przez 12 lat od wygaśnięcia zobowiązania. Na tej podstawie zarówno Bank, jak i Biura Informacji Kredytowej mogą przetwarzać dane osobowe S. Ż. przez 12 lat od dnia spłaty kredytu. Nakazanie zatem przez organ administracji usunięcie danych ze zbioru Biura Informacji Kredytowej stanowi w szczególności naruszenie art. 105 ust. 4 pkt 1 oraz art. 105a ust. 4 i 5 Prawa bankowego. W odpowiedzi na skargę Generalny Inspektor Ochrony Danych Osobowych wniósł o jej oddalenie oraz podtrzymał argumentację przedstawioną w uzasadnieniu zaskarżonej decyzji. Wymienionym na wstępie wyrokiem Wojewódzki Sąd Administracyjny w Warszawie skargę uwzględnił uchylając zaskarżoną decyzję. Sąd stwierdził, że zgodnie z art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa. Uprawnienie takie dla Biura Informacji Kredytowej wynikają z art. 105 ust. 4 ustawy z dnia 29 sierpnia 1997 r. – Prawo bankowe (tekst jedn. Dz.U. z 2002 r. Nr 72, poz. 665 ze zm. – w brzmieniu obowiązującym w dniu wydania zaskarżonej decyzji), według którego banki mogą, wspólnie z bankowymi izbami gospodarczymi, utworzyć instytucje upoważnione do gromadzenia, przetwarzania i udostępniania: 1) bankom – informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych oraz w związku ze stosowaniem metod statystycznych, o których mowa w art. 128 ust. 3 oraz w art. 128d ust. 1, 2) innym instytucjom ustawowo upoważnionym do udzielania kredytów – informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są niezbędne w związku z udzielaniem kredytów, pożyczek pieniężnych, gwarancji bankowych i poręczeń. Zasady przetwarzania informacji stanowiących tajemnicę bankową w zakresie dotyczącym osób fizycznych reguluje art. 105a tej ustawy obowiązujący od dnia 16 czerwca 2005 r. Zgodnie z ust. 3 tego artykułu instytucje, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank lub inną instytucję ustawowo upoważnioną do udzielania kredytów o zamiarze przetwarzania dotyczących jej informacji stanowiących tajemnicę bankową, bez jej zgody. Wojewódzki Sąd Administracyjny stwierdził, że w rozpoznawanej sprawie, Bank (będąc administratorem danych osobowych) zgłosił skarżącego do Biura Informacji Kredytowej, jako nierzetelnego dłużnika, albowiem S. Ż. przy spłacie kredytu komercyjnego popadł w zwłokę przekraczającą 60 dni. Nie budzi w sprawie wątpliwości, iż skarżący uznał wierzytelność wymaganą przez bank i w dniu [...] marca 2006 r. dokonał całkowitej spłaty zadłużenia kredytowego. Nie stanowi również sporu pomiędzy stronami, iż po wskazanej dacie dane osobowe S. Ż. nie zostały usunięte z zasobu informacyjnego Biura Informacji Kredytowej, pomimo wyraźnego sprzeciwu zainteresowanego kredytobiorcy. Zestawiając zaistniały w sprawie stan faktyczny z dyspozycją art. 105a ust. 3 pkt 1 ustawy należy dojść do wniosku, że skarżący jest osobą, która nie wykonała zobowiązania w terminie wynikającym z postanowień umowy kredytowej i dopuściła się zwłoki powyżej 60 dni w spłacie zadłużenia kredytowego. Zatem pierwsza z przesłanek w tym przepisie określonych bez wątpienia została spełniona. Sporne natomiast pomiędzy stronami pozostaje, czy Bank był obowiązany spełnić względem kredytobiorcy obowiązek informacyjny, o którym mowa w art. 105a ust. 3 pkt 2 powołanej ustawy. W tej kwestii Sąd odwołał się do poglądu zawartego w uzasadnieniu wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 30 listopada 2006 r., sygn. akt II SA/Wa 1734/06. Sąd wskazał w tym wyroku, że przepis art. 105a ust. 3 pkt 2 Prawa bankowego został dodany do tej ustawy w wyniku jej nowelizacji, poprzez art. 3 pkt 2 ustawy z dnia 15 kwietnia 2005 r. o zmianie ustawy o ochronie informacji niejawnych oraz niektórych innych ustaw (Dz.U. Nr 85, poz. 727). Zgodnie z treścią art. 12 – przepis ten wszedł w życie po upływie 30 dni od dnia jej ogłoszenia. Ponieważ promulgacja nastąpiła w dniu 16 maja 2005 r., zatem dniem wejścia w życie ustawy jest dzień 16 czerwca 2005 r. Stosownie do treści art. 6 tej ustawy, banki, inne instytucje ustawowo upoważnione do udzielania kredytów oraz instytucje utworzone na podstawie art. 105 ust. 4 ustawy z dnia 29 sierpnia 1997 r. – Prawo bankowe obowiązane są dostosować przetwarzanie informacji zgromadzonych przed dniem wejścia w życie niniejszej ustawy do wymagań w niej określonych, w terminie nie dłuższym niż 3 lata od wejścia w życie niniejszej ustawy. Przepis art. 6 ma charakter dostosowujący i służy on między innymi Biuru Informacji Kredytowej do dostosowania się do tej regulacji w formie jak najmniej dla niego uciążliwej. Jednakże wykładnia leksykalna tego przepisu, zawarta w sformułowaniu "w i terminie nie dłuższym niż 3 lata" oznacza zakreślenie maksymalnego okresu dostosowawczego. Jest to ostateczny okres, który ma służyć instytucji bankowej np. do dostosowania się pod względem organizacyjnym i technicznym w zakresie stosowania tej nowej regulacji (zmiana oprogramowania komputerowego, konieczność wystąpienia do zainteresowanych osób o ewentualne udzielenie zgody... etc.). Natomiast jeżeli sam zainteresowany nie wyrazi takiej zgody i samodzielnie poinformuje uprawniony podmiot jeszcze przed upływem 3 lat o swojej woli, to organ jest zobowiązany stosować ten przepis, jeżeli jest już do tej zmiany odpowiednio przygotowany. Podzielając zaprezentowany wyżej pogląd Wojewódzki Sąd Administracyjny w Warszawie stwierdził następnie w uzasadnieniu zaskarżonego wyroku, że bezwzględne egzekwowanie przepisu art. 105a Prawa bankowego uzasadnia upływ okresu dostosowawczego. Wcześniejsze stosowanie powołanej regulacji, w tym obowiązek informacyjny względem nierzetelnego kredytobiorcy, jest wymagane w sytuacji, gdy bank lub inna instytucja ustawowo upoważniona do udzielania kredytów, już się do tej zmiany przygotowały. Nakazywanie zaś instytucjom bankowym dopełnienia obowiązków wynikających z ww. regulacji prawnej, bez ustalenia, czy odpowiednie systemy dostosowujące zostały już wdrożone, pozostaje w wyraźnej sprzeczności z wolą ustawodawcy wyrażoną w art. 6 ustawy z dnia 15 kwietnia 2005 r. o zmianie ustawy o ochronie informacji niejawnych oraz niektórych innych ustaw. Generalny Inspektor Ochrony Danych Osobowych przed wydaniem zaskarżonej decyzji nie badał tej kwestii, choć dla wydania prawidłowego rozstrzygnięcia w sprawie miała ona kluczowe znaczenie. Sąd I instancji stwierdził również, że nie jest też pozbawiony zasadności zarzut skargi dotyczący możliwości przetwarzania przez Bank i Biuro Informacji Kredytowej, w oparciu o obowiązujący od dnia 1 kwietnia 2007 r. przepis art. 105a ust. 4 i 5 Prawa bankowego, danych o rachunkach zamkniętych bez zgody osoby, której dane dotyczą, dla celów stosowania metod statystycznych. W odpowiedzi na skargę organ podniósł, iż Biuro Informacji Kredytowej zarejestrowało u Generalnego Inspektora Ochrony Danych Osobowych jedynie zbiór danych o nazwie "Kredytobiorcy", zawierający dane klientów banków będących osobami fizycznymi. Podany zbiór, zgodnie z art. 105a ust. 1 ww. ustawy, zawiera dane dla potrzeb oceny zdolności kredytowej i analizy ryzyka kredytowego osób fizycznych. Zatem tylko w wymienionym celu posiadany przez Biuro Informacji Kredytowej zbiór danych o kredytobiorcach powinien być wykorzystywany. Sam fakt posiadania zarejestrowanego w Inspektoracie Ochrony Danych Osobowych przedmiotowego zbioru nie uzasadnia jego wykorzystywania w innym celu, np. w celu stosowania metod statystycznych. Przeciwny pogląd pozostawałby w sprzeczności z art. 6 ust. 1 Dyrektywy 95/64/WE Parlamentu Europejskiego i Rady (Dziennik Urzędowy L 281, 23/11/1995 P. 0031–0050), który nakłada na Państwa Członkowskie UE obowiązek zapewnienia, aby dane osobowe były gromadzone do określonych, jednoznacznych i legalnych celów oraz nie były poddawane dalszemu przetwarzaniu w sposób niezgodny z tym celem. Niemniej jednak, Generalny Inspektor Ochrony Danych Osobowych podejmując zaskarżoną decyzję w dniu [...] września 2007 r. całkowicie pominął, iż biuro to jako administrator danych złożyło do Generalnego Inspektora Ochrony Danych Osobowych w sierpniu 2007 r. wniosek aktualizacyjny zgłaszający zmianę celu przetwarzania danych w bazie "Kredytobiorcy" poprzez uzupełnienie o cel przetwarzania, w związku ze stosowaniem metod statystycznych. Generalny Inspektor nie wykazał w zakończonym zaskarżoną decyzją postępowaniu, w jaki sposób ww. wniosek Biura Informacji Kredytowej został załatwiony. Ma to o tyle istotne znaczenie, iż w świetle art. 46 ust. 1 ustawy o ochronie danych osobowych administrator danych może, z zastrzeżeniem ust. 2, rozpocząć ich przetwarzanie w zbiorze danych po zgłoszeniu tego zbioru Generalnemu Inspektorowi, chyba że ustawa zwalnia go z tego obowiązku, bądź w oparciu o przepis art. 44 ust. 1 tej ustawy, organ wyda decyzję o odmowie rejestracji zbioru danych. W tym stanie rzeczy WSA stwierdził, że Generalny Inspektor Ochrony Danych Osobowych nie wyjaśnił w sposób wymagany prawem procesowym wszystkich istotnych okoliczności sprawy, nie zebrał on i nie ocenił całokształtu materiału dowodowego, czym naruszył przepisy art. 7, 77 § 1 i art. 80 k.p.a. w sposób mogący mieć istotny wpływ na końcowy wynik sprawy. Wymieniony wyrok zaskarżył skargą kasacyjną Generalny Inspektor Ochrony Danych Osobowych, zarzucając mu naruszenie prawa procesowego, które mogło mieć istotny wpływ na wynik sprawy, poprzez błędne zastosowanie art. 145 § 1 pkt 1 lit. c/ ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. Nr 153, poz. 1270 ze zm.), dalej p.p.s.a., i uznanie, że skarżący nie wyjaśnił sprawy w sposób wymagany prawem. W uzasadnieniu skargi kasacyjnej organ podał, że nie zgadza się ze stwierdzeniem Sądu I instancji, iż w postępowaniu administracyjny zostały naruszone przepisy art. 7, 77 § 1 i 80 k.p.a. Zdaniem skarżącego uzupełnienie postępowania wyjaśniającego w kierunku wskazanym w uzasadnieniu zaskarżonego wyroku było zbędne, gdyż jest oczywistym, iż bez dodatkowych wyjaśnień wykonanie nakazu GIODO przez Bank sprowadza się do wydania dyspozycji Biuru Informacji Kredytowej usunięcia określonych danych, a ten ostatni podmiot wykonując polecenie Banku powinien jedynie przeprowadzić prostą czynność skasowania danych przetwarzanych w systemie informatycznym. Nie ma więc wątpliwości, że BIK S.A. ma możliwość natychmiastowego usunięcia ze swego zbioru danych osobowych S. Ż. W rzeczywistości Bank [...] zaakceptował rozstrzygnięcie organu i pismem z [...] października 2007 r. poinformował ten organ, że w dniu [...] października 2007 r. wydał do BIK S.A. dyspozycję usunięcia danych osobowych S. Ż. z bazy danych prowadzonych przez to Biuro. Skarżący skargą kasacyjną nie zgodził się również ze stanowiskiem Sądu I instancji co do możliwości przetwarzania spornych danych osobowych dla celów stosowania metod statystycznych, o których mowa w art. 128 ust. 3 ustawy – Prawo bankowe. Zgodnie ze wskazanym przepisem za zgodą Komisji Nadzoru Bankowego bank może stosować metody statystyczne do obliczania wymogów kapitałowych, lecz BIK S.A. nie jest bankiem, nie podlega wymogom kapitałowym z art. 128 Prawa bankowego i nie jest upoważnione do samodzielnego przetwarzania danych przekazanych przez bank, które stanowią tajemnicę bankową. Wobec tych zarzutów skarżący organ wniósł o uchylenie zaskarżonego wyroku i przekazanie sprawy do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie. W odpowiedzi z dnia 5 maja 2008 r. na skargę kasacyjną Biuro Informacji Kredytowej S.A. wniosło o oddalenie skargi kasacyjnej jako nieuzasadnionej. Identyczne stanowisko zajął Bank [...] S.A. pismem z dnia [...] maja 2008 r. (k. 81 i nast. akt). Natomiast S. Ż. pismem z dnia [...] maja 2008 r. (k. 126–127 akt) poparł skargę kasacyjną. Dodatkowym pismem z dnia 1 lipca 2008 r. Generalny Inspektor Ochrony Danych Osobowych rozszerzył uzasadnienie skargi kasacyjnej (k. 128–131 akt). W odpowiedzi na to ostatnie pismo skarżącego pełnomocnik Biura Informacji Kredytowej, w dniu 15 kwietnia 2009 r. (k. 143–152 akt) przedstawił dodatkowe argumenty za oddaleniem skargi kasacyjnej. Między innymi wskazał na orzeczenie WSA w Warszawie dopuszczające przetwarzanie przez BIK dla celów stosowania metod statystycznych danych osobowych dłużników przekazanych przez banki i podał, że w ostatnim okresie G.I.O.D.O. zmienił swą dotychczasową praktykę orzeczniczą i na podstawie art. 54 § 3 p.p.s.a. uchylił swoją decyzję zaskarżoną przez BIK przyznając, że Biuro to posiada uprawnienia do przetwarzania danych osobowych dłużników do celów stosowania metod statystycznych, zgodnie z art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych. Naczelny Sąd Administracyjny uznał, że skarga kasacyjna nie zawiera usprawiedliwionych podstaw. Istotą sporu zaistniałego w rozpoznawanej sprawie jest to, czy Biuro Informacji Kredytowej S.A. było uprawnione do przetwarzania po dniu [...] marca 2006 r., to jest po wygaśnięciu poprzez dokonanie pełnej spłaty przez S. Ż. jego zobowiązania z tytułu uzyskania kredytu w Banku, danych osobowych tej osoby przekazanych wcześniej w związku z zaleganiem ze spłatą udzielonego kredytu. Zgodnie z art. 23 ust. 1 ..... ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jedn. Dz.U. z 2002 r. Nr 101, poz. 926 ze zm.) przetwarzanie danych osobowych jest dopuszczalne tylko wtedy, gdy jest to niezbędne do zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa. Dla Biura Informacji Kredytowej uprawnienie takie wynika z art. 105 ust. 4 ustawy z dnia 29 sierpnia 1997 r. – Prawo bankowe w brzmieniu obowiązującym w dniu wydania zaskarżonej decyzji. Zgodnie z tym przepisem banki mogą, wspólnie z bankowymi izbami gospodarczymi, utworzyć instytucje upoważnione do gromadzenia, przetwarzania i udostępniania: 1) bankom – informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych oraz w związku ze stosowaniem metod statystycznych, o których mowa w art. 128 ust. 3 i art. 128d ust. 1; 2) innym instytucjom ustawowo upoważnionym do udzielania kredytów – informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są niezbędne w związku z udzielaniem kredytów, pożyczek pieniężnych, gwarancji bankowych i poręczeń. Biuro Informacji Kredytowej S.A. jest instytucją utworzoną na podstawie wymienionego przepisu. W sprawie jest bezsporne, iż S. Ż. przy spłacie uzyskanego w 1998 r. od Banku [...] kredytu popadł w zwłokę przekraczającą 60 dni i w związku z tym jego dane osobowe zostały przekazane BIK W dniu wydania zaskarżonej do WSA decyzji obowiązywał przepis art. 105a ust. 3 Prawa bankowego stanowiący, iż instytucje, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową oraz informacje, o których mowa w art. 105 ust. 4 pkt 2 w zakresie dotyczącym osób fizycznych (konsumentów) po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, bez zgody osoby, której informacje dotyczą, jeżeli spełnione są łącznie następujące warunki: 1) osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów; 2) po zaistnieniu okoliczności, o której mowa w pkt 1, upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank lub inną instytucję upoważnioną do udzielania kredytów o zamiarze przetwarzania dotyczących jej informacji stanowiących tajemnicę bankową bez jej zgody. Wymieniony przepis we wskazanym wyżej brzmieniu wszedł w życie z dniem 16 czerwca 2005 r., to jest z dniem wejścia w życie ustawy z dnia 15 kwietnia 2005 r. o zmianie ustawy o ochronie informacji niejawnych oraz niektórych innych ustaw (Dz.U. Nr 85, poz. 727). Wprowadzenie obowiązku informacyjnego z pkt 2 tego przepisu wymagało dokonania odpowiednich zmian w funkcjonowaniu banków i innych instytucji kredytowych oraz instytucji utworzonych na podstawie art. 105 ust. 4 Prawa bankowego. Dlatego ustawa nowelizująca z 15 kwietnia 2005 r. w art. 6 przewidziała, że banki i wskazane instytucje są obowiązane dostosować przetwarzanie informacji zgromadzonych przed wejściem w życie tej ustawy do wymagań w niej określonych, w terminie nie dłuższym niż 3 lata od wejścia w życie niniejszej ustawy. Uchylając zaskarżoną decyzję Wojewódzki Sąd Administracyjny w Warszawie trafnie stwierdził, że dla rozpoznania wniosku S. Ż. konieczne było wyjaśnienie, czy w BIK doszło już do dostosowania przetwarzania informacji o dłużnikach, zgromadzonych przed wejściem w życie tej ustawy, do jej wymogów. Wobec uzasadnienia zarzutu skargi kasacyjnej należy też stwierdzić, że istotą postępowania było stwierdzenie, czy BIK przetwarzało dane osobowe S. Ż. zgodnie z prawem a nie to czy istniała możliwość usunięcia tych danych ze zbiorów tego Biura na żądanie zainteresowanego lub G.I.O.D.O. Wojewódzki Sąd Administracyjny w Warszawie zasadnie uznał, iż bezwzględne egzekwowanie przepisu art. 105a Prawa bankowego uzasadnia dopiero upływ okresu dostosowawczego lub fakt wcześniejszego dokonania odpowiednich zmian organizacyjnych w oddziałach BIK Trafne jest też stwierdzenie tego Sądu, że kwestia ta wymagała w sprawie odpowiednich wyjaśnień. Wojewódzki Sąd Administracyjny w Warszawie zasadnie też przyjął, że w stanie prawnym obowiązującym w dacie wydania zaskarżonej decyzji Biuro Informacji Kredytowej było uprawnione do przetwarzania uzyskanych danych osobowych dla celów statystycznych bez uzyskania zgody osoby zainteresowanej. Wynika to z art. 105a ust. 4 Prawa bankowego w związku z art. 128 tej ustawy i art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych. Zgodnie z tym przepisem zarówno banki jak i instytucje utworzone na podstawie art. 105 ust. 4 (a więc i BIK) mogą przetwarzać informacje stanowiące tajemnice bankową dotyczącą osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, bez zgody osoby, której informacje dotyczą, dla stosowania metod statystycznych, o których mowa w art. 128 ust. 3. Z żadnego przepisu nie wynika, by powyższy przepis dotyczył wyłącznie informacji uzyskanych tylko w tym celu. Z informacji pełnomocnika BIK S.A. zawartej w piśmie z 15 kwietnia 2009 r. (k.150 i 151 akt) wynika, iż pogląd ten podzielił w ostatnim okresie również organ wnoszący skargę kasacyjną. Skarga kasacyjna nie zawiera więc uzasadnionych zarzutów a zaskarżony wyrok Wojewódzkiego Sądu Administracyjnego odpowiada obowiązującemu prawu. Dlatego na podstawie art. 184 p.p.s.a. orzeczono jak w sentencji.