II SA/Wa 1749/19

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Sławomir Antoniuk, Sędzia WSA Ewa Kwiecińska (spr.), Sędzia WSA Iwona Maciejuk, Protokolant referent stażysta Adrianna Siniarska, po rozpoznaniu na rozprawie w dniu 28 lutego 2020 r. sprawy ze skargi M. P. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] czerwca 2019 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę W dniu [...] sierpnia 2018 r. do Urzędu Ochrony Danych Osobowych wpłynęła skarga M. P. na przetwarzanie jego danych osobowych przez Biuro Informacji Kredytowej S.A. z siedzibą w [...], zwane dalej "BIK". W treści przedmiotowej skargi wnoszący wskazał, iż zamówił w BIK bezpłatną kopię swoich danych osobowych przetwarzanych przez ten podmiot. Wnoszący otrzymał informacje, jednak nie było w nich tabelarycznych zestawień pokazujących spłatę zobowiązań, termin wykonania tych spłat, mimo że BIK je posiadał. BIK przekazał również brakujące dane, jednak zażądał za to opłaty w wysokości 39 zł. W skardze podniesiono, iż BIK w sposób jednostronny decyduje, które z danych są danymi osobowymi, a które danymi osobowymi komercyjnymi, udostępnianymi odpłatnie. Do skargi załączone zostały dwa raporty pozyskane z BIK: raport bezpłatny bez zestawień tabelarycznych oraz raport płatny z zestawieniami tabelarycznymi. Prezes Urzędu Ochrony Danych Osobowych decyzją z dnia [...] czerwca 2019 r., nr [...] odmówił uwzględnienia wniosku. W uzasadnieniu decyzji wskazał, iż M. P. w dniu [...] lipca 2018 r. kontaktował się telefonicznie z Centrum Obsługi Klientów BIK w celu uzyskania informacji na temat tzw. "informacji ustawowej" (tj. informacji na temat przetwarzanych danych osobowych, udostępnianej w celu wypełnienia obowiązku prawnego administratora wynikającego z art. 32 ust. 1 i art. 33 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych). Konsultant BIK wyjaśnił stronie, że z dniem [...] maja 2018 r. informacja ustawowa została zastąpiona kopią danych udostępnianą w trybie art. 15 rozporządzenia 2016/679. Ponadto wskazał kanały zamawiania kopii danych, informując, że kopię danych można zamówić jedynie dedykowanymi kanałami, w związku z koniecznością zapewnienia przez administratora poprawnej weryfikacji tożsamości wnioskującego. Organ ustalił również, że w dniu [...] lipca 2018 r. M. P. za pomocą formularza kontaktu na swoim koncie w Portalu BIK zwrócił się do BIK z następującym żądaniem, cyt.: "Proszę o standardowy raport ustawowy". We wniosku M. P. nie zostało wyrażone żądanie udostępnienia "tabelarycznego zestawienia obejmującego spłatę (jego) zobowiązań". W odpowiedzi na żądanie w dniu [...] sierpnia 2018 r. została udostępniona stronie kopia danych w postaci pliku pdf, dostępna na koncie w Portalu BIK. BIK nie zażądał od M. P. opłaty za udostępnienie kopii jego danych. W odpowiedzi na wniosek M. P., złożony za pośrednictwem Portalu BIK w dniu [...] lipca 2018 r. (o treści "Proszę o standardowy raport ustawowy"), w dniu [...] sierpnia 2018 r. została mu udostępniona bezpłatnie kopia danych w ustrukturyzowanej formie. W uzasadnieniu zaskarżonej decyzji wskazano, że M. P. w dniu [...] sierpnia 2018 r. za pośrednictwem Portalu BIK, zamówił produkt komercyjny, płatny, tzw. Raport BIK. M. P. uiścił na rzecz BIK opłatę, jednak była to opłata z tytułu zakupu produktu komercyjnego – Raportu BIK, dostępnego na Portalu BIK w ramach oferty dla konsumentów. Opłata została wniesiona zgodnie z cennikiem obowiązującym klientów Portalu BIK. Prezes Urzędu Ochrony Danych Osobowych wskazał, iż z uwagi na żądanie M. P. i zakres jego skargi oceniał zagadnienie, czy BIK zrealizował uprawnienia M. P. z art. 15 rozporządzenia 2016/679, czyli prawo do uzyskania kopii danych przetwarzanych przez BIK. Organ wskazał również, iż BIK przed 25 maja 2018 r., w celu realizacji obowiązku informacyjnego wynikającego z art. 32 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, udostępniał na wniosek zainteresowanych podmiotów tzw. informację ustawową, zawierającą m.in. informacje o zobowiązaniach przekazanych do BIK przez instytucje finansowe (w tym m.in. nazwę podmiotu, którego zobowiązanie dotyczy, datę zaciągnięcia zobowiązania, podstawę zobowiązania, pierwotną kwotę zobowiązania, pozostająca do spłaty kwotę kapitału, informację, czy odnotowano opóźnienia w spłacie). Obok realizacji praw wynikających z ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych lub obecnie rozporządzenia 2016/679, zasadniczym celem wniosku klienta skierowanego do BIK o udzielenie informacji ustawowej było i jest uzyskanie informacji, czy w BIK przetwarzane są informacje na temat przeterminowanej należności, jaką jest kwota tej należności oraz kiedy i jaka instytucja przekazała informacje na ten temat. Kluczowe znaczenie ma zatem identyfikacja samego zobowiązania będącego podstawą obniżenia zdolności kredytowej, bądź uzyskanie informacji o jego braku. Organ podniósł, iż M. P. wystąpił w dniu [...] lipca 2018 r. do BIK z wnioskiem o udostępnienie mu "standardowego raportu ustawowego". Wnoszący zarzucił, że nie otrzymał wszystkich informacji o zakresie i treści przetwarzanych danych przez BIK. Wskazał, że przed 25 maja 2018 r. i wejściem w życie rozporządzenia 2016/679 dysponował pełną informacją o przetwarzanych danych przez BIK w zakresie jego historii kredytowej. W ocenie strony po 25 maja 2018 r., BIK nie przekazuje wszystkich przetwarzanych danych, przy czym, w sytuacji konieczności ich uzyskania, pobiera za to opłatę. Prezes UODO podkreślił, iż z uwagi na zmianę stanu prawnego, BIK nie musiał odpowiedzieć na to żądanie w oparciu o uprzednio obowiązujące przepisy, zatem nie miał obowiązku wytworzenia informacji zawierającej tzw. "standardowy raport ustawowy". BIK udzielił takiej informacji M. P. i poinformował, że z dniem 25 maja 2018 r. "informacja ustawowa" została zastąpiona kopią danych udostępnianą w trybie art. 15 rozporządzenia 2016/679. Pracownik BIK poinformował M. P. drogą korespondencyjną za pośrednictwem portalu BIK, że cyt.: "z dniem 25 maja 2018 r. zapisy ustawy o ochronie danych osobowych dotyczące udostępnienia informacji zostały uchylone w związku z wejściem w życie RODO. Zgodnie z tym rozporządzeniem osoba, której dane dotyczą ma prawo zgłosić chęć uzyskania kopii danych. BIK udostępnia kopię danych bezpłatnie raz na 6 miesięcy. W związku z Pana prośbą zamówienie zostało złożone. Dokument zostanie udostępniony w ciągu 30 dni na stronie "Moje konto" (ikona kółka zębatego widoczna, po zalogowaniu i wyborze profilu). Pierwsza zakładka prezentuje dane klienta zarejestrowane w Portalu BIK, w ostatniej – "Pliki do pobrania"- pojawi się wspomniany dokument". Dalej organ wskazał, iż dokonując oceny zrealizowania przez BIK żądania M. P. w granicach przysługującego mu uprawnienia, o którym mowa w przepisie art. 15 rozporządzenia 2016/679, miał na uwadze literalną treść wniosku wniesionego przez M. P. do BIK. Wyżej wymieniony otrzymał od konsultanta BIK informację, że z dniem 25 maja 2018 r. "informacja ustawowa" została zastąpiona kopią danych udostępnianą w zakresie art. 15 rozporządzenia 2016/679. Wskazano także kanały zamawiania kopii danych, informując, że kopię danych można zamówić jedynie dedykowanymi kanałami, w związku z koniecznością zapewnienia przez administratora poprawnej weryfikacji tożsamości wnioskującego. We wniosku nie zostało wyrażone żądanie udostępnienia "tabelarycznego zestawienia obejmującego spłatę (jego) zobowiązań". W odpowiedzi na żądanie, w dniu [...] sierpnia 2018 r. została skarżącemu udostępniona bezpłatnie kopia danych w postaci pliku pdf, dostępna na koncie w Portalu BIK. Po otrzymaniu wyżej wymienionych kopii danych M. P. nie kontaktował się z BIK, nie zwracał się za pomocą dostępnych kanałów komunikacji z żądaniem przedstawienia dodatkowych informacji wiążących się z udzieloną kopią danych, w tym dotyczących szczegółowych zestawień obejmujących historię spłaty jego zobowiązań. W uzasadnieniu podkreślono, iż przeprowadzone przez Prezesa UODO postępowanie administracyjne nie dostarczyło dowodów na to, że M. P. po otrzymaniu z BIK pisma z dnia [...] sierpnia 2018 r,. nieusatysfakcjonowany z udzielonej mu odpowiedzi, zwrócił się bezpośrednio do podmiotu o uzupełniające dane, np. dotyczące jego zobowiązań kredytowych. M. P. nie zwracał się do BIK o dodatkowe wyjaśnienia, czy też o uzupełnienie przetwarzanych przez BIK danych w odniesieniu do swojej historii kredytowej, co znajduje potwierdzenie w przedłożonej historii relacji ze stroną w Portalu BIK. Wnoszący po udostępnieniu mu ww. kopii danych w żaden sposób nie kontaktował się z BIK, nie zgłaszał wątpliwości ani zastrzeżeń co do zawartości udostępnionej mu kopii danych, nie żądał przedstawienia dalszych informacji, czy wyjaśnień, w tym nie występował również o udostępnienie mu szczegółowej historii spłaty zobowiązań. Zdaniem Prezesa UODO jedynie odmowa wydania kopii danych strony, w odpowiedzi na precyzyjne żądanie przedstawienia szczegółowej historii kredytowej mogłoby być uznane za odmowę udostępnienia danych i stanowić o naruszeniu przez BIK przepisu art. 15 ust. 3 rozporządzenia 2016/679. Prezes UODO stwierdził, że nie ma podstaw do zakwestionowania wyjaśnień złożonych przez BIK, ponieważ znajdują one potwierdzenie w przedłożonych do wyjaśnień załącznikach, w postaci historii relacji ze stroną w portalu BIK, w jego wniosku o kopię danych, w informacji dotyczącej pobrań przez wyżej wymienionego informacji w oparciu o przepisy rozporządzenia 2016/679 i ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych. BIK nigdy nie zażądał od strony opłaty za udostępnienie kopii jego danych. Organ podniósł, że M. P. w dniu [...] sierpnia 2018 r., jako użytkownik Portalu BIK, dokonał uiszczenia na rzecz BIK opłaty w wysokości 39 zł, niemniej organ podkreślił, że czym innym jest opłata za udostępnienie kopii danych przez administratora w myśl art. 15 ust. 3 rozporządzenia 2016/679, a czym innym opłata za skorzystanie z innych komercyjnych usług, jakie oferuje BIK. M. P. w dniu [...] sierpnia 2018 r. za pośrednictwem Portalu BIK, zamówił produkt komercyjny, płatny, tj. Raport BIK. M. P. z własnej woli zamówił Raport BIK, po zapoznaniu się z ofertą BIK, z której wynikało, że to odpłatny produkt o charakterze komercyjnym. Twierdzenie strony, że "BIK zażądał opłaty w wysokości 39 zł" za udostępnienie informacji na podstawie art. 15 ust. 3 rozporządzenia 2016/679, świadczy o niezrozumieniu faktu, że strona zażądała spełnienia przez BIK dodatkowej usługi. Podsumowując, Prezes UODO wskazał, iż w jego ocenie BIK respektował przepisy rozporządzenia 2016/679, w odniesieniu do żądania udostępnienia kopii danych M. P., w żaden sposób nie uchylił się od swoich obowiązków jako administratora, starając się realizować je sprawnie, a jednocześnie w sposób jasny, przejrzysty i pomocny dla wyżej wymienionego. Za udostępnienie kopii danych M. P. nie pobrał opłaty. BIK nie ograniczał stronie dostępu do danych przetwarzanych na jego temat. Tym samym, BIK realizuje prawa osoby, której dane dotyczą, mając na uwadze to, że kopia danych jest uprawnieniem klienta do kontroli zgodności przetwarzania jego danych osobowych. Brak żądania M. P. skierowanego do BIK o udostępnienie bezpłatnej kopii danych w zakresie szczegółowej historii spłaty swoich zobowiązań nie stoi na przeszkodzie ponownemu złożeniu przez niego wniosku w tym zakresie. M. P. wniósł do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] czerwca 2019 r. nr [...]. Skarżący zażądał uchylenia wskazanej decyzji i skierowania sprawy do ponownego rozpatrzenia. Zdaniem skarżącego organ błędnie przyjął, iż Biuro Informacji Kredytowej S.A. może reglamentować dostęp danych osobowych, które przetwarza na podstawie przepisów prawa bankowego. Udostępnienie niepełnych danych nie spełnia wymogów RODO i jest sprzeczne z obowiązkami administratora danych. BIK nie poinformował, jakie dane strony przetwarza, nie wezwał też do sprecyzowania swojego żądania. BIK udostępnił kopię jedynie wybranych danych, jednocześnie nie poinformował o ich niekompletności. Podmiot ten nie wywiązał się wobec powyższego z obowiązków określonych w art. 15 RODO. W odpowiedzi na skargę organ wniósł o jej oddalenie oraz podtrzymał twierdzenia zawarte w uzasadnieniu zaskarżonej decyzji. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Stosowanie do art. 15 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 osoba, której dane dotyczą, jest uprawniona do uzyskania od administratora potwierdzenia, czy przetwarzane są dane osobowe jej dotyczące, a jeżeli ma to miejsce, jest uprawniona do uzyskania dostępu do nich oraz następujących informacji: a) cele przetwarzania; b) kategorie odnośnych danych osobowych; c) informacje o odbiorcach lub kategoriach odbiorców, którym dane osobowe zostały lub zostaną ujawnione, w szczególności o odbiorcach w państwach trzecich lub organizacjach międzynarodowych; d) w miarę możliwości planowany okres przechowywania danych osobowych, a gdy nie jest to możliwe, kryteria ustalania tego okresu; e) informacje o prawie do żądania od administratora sprostowania, usunięcia lub ograniczenia przetwarzania danych osobowych dotyczącego osoby, której dane dotyczą, oraz do wniesienia sprzeciwu wobec takiego przetwarzania; f) informacje o prawie wniesienia skargi do organu nadzorczego; g) jeżeli dane osobowe nie zostały zebrane od osoby, której dane dotyczą – wszelkie dostępne informacje o ich źródle; h) informacje o zautomatyzowanym podejmowaniu decyzji, w tym o profilowaniu, o którym mowa w art. 22 ust. 1 i 4, oraz – przynajmniej w tych przypadkach – istotne informacje o zasadach ich podejmowania, a także o znaczeniu i przewidywanych konsekwencjach takiego przetwarzania dla osoby, której dane dotyczą. W myśl art. 15 ust. 3 rozporządzenia administrator dostarcza osobie, której dane dotyczą, kopię danych osobowych podlegających przetwarzaniu. Za wszelkie kolejne kopie, o które zwróci się osoba, której dane dotyczą, administrator może pobrać opłatę w rozsądnej wysokości wynikającej z kosztów administracyjnych. Jeżeli osoba, której dane dotyczą, zwraca się o kopię drogą elektroniczną i jeżeli nie zaznaczy inaczej, informacji udziela się powszechnie stosowaną drogą elektroniczną. Zgodnie z kolei z art. 12 rozporządzenia 2016/679, administrator podejmuje odpowiednie środki, aby w zwięzłej, przejrzystej, zrozumiałej i łatwo dostępnej formie, jasnym i prostym językiem – w szczególności gdy informacje są kierowane do dziecka – udzielić osobie, której dane dotyczą, wszelkich informacji, o których mowa w art. 13 i 14 oraz prowadzić z nią wszelką komunikację na mocy art. 15–22 i 34 w sprawie przetwarzania. Informacji udziela się na piśmie lub w inny sposób, w tym w stosownych przypadkach – elektronicznie. Jeżeli osoba, której dane dotyczą, tego zażąda, informacji można udzielić ustnie, o ile innymi sposobami potwierdzi się tożsamość osoby, której dane dotyczą. Zasada przejrzystości opisana w motywie 58 rozporządzenia 2016/679, stanowi wykładnię interpretacyjną dla podmiotów, by wszelkie informacje kierowane do ogółu społeczeństwa lub osoby, której dane dotyczą, były zwięzłe, łatwo dostępne i zrozumiałe, by były formułowane jasnym i prostym językiem, a w stosownych przypadkach, dodatkowo wizualizowane. Informacje te mogą być przekazywane w formie elektronicznej, na przykład za pomocą strony internetowej, gdy są kierowane do ogółu społeczeństwa. Dotyczy to w szczególności sytuacji, gdy duża liczba podmiotów i złożoność technologiczna działań sprawiają, że osobie, której dane dotyczą, trudno jest dowiedzieć się i zrozumieć, czy dotyczące jej dane osobowe są zbierane, przez kogo oraz w jakim celu, na przykład w przypadku reklamy w Internecie. Kopie danych udostępnione skarżącemu w dniu [...] sierpnia 2018 r. zawierają m.in. informacje o zobowiązaniach skarżącego przekazanych do BIK przez instytucje finansowe (w tym m.in. nazwę podmiotu, którego zobowiązanie dotyczy, datę zaciągnięcia zobowiązania, podstawę zobowiązania, pierwotną kwotę zobowiązania, pozostającą do spłaty kwotę kapitału, informacje, czy odnotowano opóźnienia w spłacie, informacje o udzieleniu bądź niedzieleniu zgody indywidualnej na udostępnienie danych o zobowiązaniu po wygaśnięciu zobowiązania), a także informacje przetwarzane w związku posiadaniem przez wnioskującego konta w Portalu BIK (np. status konta, historia operacji, historia zamówień). Jak wynika z wyjaśnień złożonych w toku postępowania administracyjnego przez Biuro Informacji Krajowej, przygotowanie ustandaryzowanej kopii danych skarżącego w ww. formie było podyktowane również koniecznością zapewniania możliwe szybkiego procesu obsługi kopii danych i respektowania terminów wynikający z art. 12 ust. 3 rozporządzenia 2017/679. Powołany przepis obliguje administratora, aby bez zbędnej zwłoki – a w każdym razie w terminie miesiąca od otrzymania żądania – udzielił osobie, której dane dotyczą, informacji o działaniach podjętych w związku z żądaniem na podstawie art. 15-22 rozporządzenia 2016/679. BIK wyjaśnił także, że udostępnianie ustandaryzowanej kopii danych nie zamyka w żaden sposób prawa klienta do otrzymania szczegółowych informacji, jeśli klient wyrazi takie żądanie. BIK poinformował, że na żądanie klienta udostępnia bezpłatnie szczegółowe dane i informacje. Klient zawsze ma możliwość otrzymania danych przetwarzanych na swój temat w zakresie szerszym, niż w ustandaryzowanej kopii danych. Nie wymaga to żadnej dodatkowej odpłatności, a jedynie zgłoszenia wniosku klienta. BIK w sposób zindywidualizowany reaguje na wszelkie pytania i żądania dalszych informacji i wyjaśnień, związane z udostępnioną kopią danych, udostępniając dalsze wyjaśnienia i informacje zgodnie z zakresem żądania wnioskującego. BIK wskazał, że udzielenie odpowiedzi na dodatkowe pytania i żądania wnioskującego jest bezpłatne i następuje w terminie określonym w art. 12 ust. 3 rozporządzenia 2016/679. BIK, realizując obowiązek określony w art. 15 ust. 3 rozporządzenia 2016/679, udostępnia na wniosek klienta kopie danych. W niniejszej sprawie na podkreślenie zasługuje fakt, iż skarżący po otrzymaniu z BIK danych w dniu [...] sierpnia 2018 r. nie zwracał się bezpośrednio do BIK o uzupełniające dane, dodatkowe wyjaśnienia, czy też o uzupełnienie przetwarzanych przez BIK danych w odniesieniu do swojej historii kredytowej, nie zgłaszał też wątpliwości ani zastrzeżeń co do zawartości udostępnionej mu kopii danych, a w szczególności nie występował o udostępnienie mu szczegółowej historii spłaty zobowiązań. Trafnie zatem Prezes UODO przyjął, że dopiero tak skonstruowany wniosek skarżącego, zawierający precyzyjne żądanie przedstawienia szczegółowej historii kredytowej w nawiązaniu do udzielonej przez BIK odpowiedzi, jeśli nie zostałby pozytywnie przez BIK uwzględniony i BIK odmówiłby wydania kopii danych skarżącego, które przetwarza, mógłby zostać uznany za odmowę udostępnienia danych skarżącego przetwarzanych przez BIK i mógłby stanowić o naruszeniu przez BIK przepisu art. 15 ust. 3 rozporządzenia 2016/679 dotyczącego udostępnienia kopii danych osoby, której dane dotyczą. Uiszczenie natomiast przez skarżącego w dniu [...] sierpnia 2018 r., jako użytkownika "Portalu BIK", na rzecz BIK opłaty w wysokości 39 zł nastąpiło, jak trafnie przyjął organ, w związku ze skorzystaniem z innych komercyjnych usług jakie ofertuje BIK. Skarżący w dniu [...] sierpnia 2018 r. zamówił bowiem za pośrednictwem "Portalu BIK" produkt komercyjny, płatny, tj. "Raport BIK". Dlatego też brak jest podstaw do przyjęcia, że BIK zażądał ww. opłaty za udostępnienie informacji na podstawie art. 15 ust. 3 rozporządzenia 2016/679. W świetle powyższego Prezes UODO zasadnie uznał, że BIK respektował przepisy rozporządzenia 2016/679 w odniesieniu do żądania udostępnienia kopii danych skarżącego zawartego we wniosku z dnia [...] lipca 2018 r. oraz nie pobrał opłaty za udostępnienie kopii danych. Skarżący dopiero w dniu [...] lipca 2019 r. zwrócił się do BIK, o "doszczegółowienie do kopii danych" i takie dane od BIK uzyskał. Skarżony podmiot – BIK, w ocenie Sądu, realizował w sposób prawidłowy uprawnienia skarżącego do uzyskania kopii danych w oparciu o art. 15 rozporządzenia 2016/679, dlatego też organ zasadnie odmówił uwzględnienia wniosku skarżącego. Mając powyższe na względzie, Wojewódzki Sąd Administracyjny w Warszawie na podstawie art. 151 ustawy – Prawo o postępowaniu przed sądami administracji orzekł jak w sentencji.