II SA/Wa 2068/17

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Janusz Walawski, Sędziowie WSA Iwona Maciejuk (spr.), Piotr Borowiecki, Protokolant specjalista Elwira Sipak, po rozpoznaniu na rozprawie w dniu 19 czerwca 2018 r. sprawy ze skargi K. i J. Z. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] października 2017 r. nr [...] w przedmiocie przetwarzania danych osobowych 1. uchyla zaskarżoną decyzję oraz poprzedzającą ją decyzję z dnia [...] września 2016 r.; 2. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz skarżących K. i J. Z. kwotę 400 (czterysta) złotych, tytułem zwrotu kosztów postępowania. Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia [...] września 2016 r. nr [...], na podstawie art. 104 § 1 i art. 105 § 1 k.p.a. oraz art. 12 pkt 2. art. 22. art. 23 ust. 1 pkt 2 i art. 26 ust. 1 pkt 3 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r., poz. 922), zwanej dalej u.o.d.o., po przeprowadzeniu postępowania administracyjnego w sprawie skargi J. i K. Z. na przetwarzanie ich danych osobowych przez Bank [...] S.A., z siedzibą w [...] w punkcie 1)umorzył postępowanie administracyjne w przedmiocie przetwarzania przez Bank [...] S.A. z siedzibą w [...] numeru telefonu J. Z., w punkcie 2) w pozostałym zakresie odmówił uwzględnienia wniosku. W uzasadnieniu organ wskazał, że wpłynęła do niego skarga J. i K. Z. (na przetwarzanie ich danych osobowych, tj. numerów ich telefonów, przez Bank [...] S.A., z siedzibą w [...]. Skarżący kwestionują przetwarzanie przez Bank numeru telefonu komórkowego należącego do J. Z. oraz to, że Bank uzależnił przyznanie im kredytu od podania numeru telefonu (wpisania numeru telefonu we wniosku o przyznanie kredytu). Ponadto, skarżący kwestionują przetwarzanie przez Bank danych osobowych K. Z. w celach marketingowych, pomimo złożenia przez nią sprzeciwu w tej sprawie. Skarżący wnieśli o uzyskanie od Banku wyjaśnienia, dlaczego, pomimo braku zgody, przetwarza bądź przetwarzał w swoich bazach danych numer telefonu skarżącego, uzyskania od Banku wyjaśnienia, dlaczego, pomimo wycofania przez K.Z. zgody na przetwarzanie numeru jej telefonu dla celów marketingowych, przesłał wiadomość SMS zachęcającą do skorzystania z usług Banku, zobowiązania Banku do zaprzestania przetwarzania danych dotyczących numeru telefonu skarżącego oraz usunięcia go z wszystkich baz danych, których administratorem jest Bank, jak również baz danych podmiotów, którym ewentualnie ten numer został przekazany, zobowiązanie Banku do zaprzestania przetwarzania danych dotyczących numeru telefonu skarżącej w celach marketingowych, zobowiązanie Banku do zaprzestania stosowania w wewnętrznych regulacjach pozaprawnych wymogów, w tym uzależniających rozpatrzenie wniosku kredytowego i przyznania kredytu od podania przez wnioskodawcę numeru telefonu. Organ ustalił, że: 1. Skarżący zawarli z Bankiem w dniu [...] września 2014 r. umowę rachunku oszczędnościowo- rozliczeniowego, usług bankowości elektronicznej i karty debetowej oraz umowę rachunku oszczędnościowego. W ramach tych umów Bank pozyskał dane osobowe Skarżących w zakresie: - K. Z.: imię, nazwisko, numer PESEL, data urodzenia, seria i numer dowodu osobistego, nazwisko panieńskie matki, obywatelstwo, adres zameldowania, adres korespondencji oraz numer telefonu komórkowego, - J. Z.: imię, nazwisko, numer PESEL, data urodzenia, seria i numer dowodu osobistego, nazwisko panieńskie matki, obywatelstwo, adres zameldowania oraz adres korespondencji. 2. Bank w piśmie z dnia [...] września 2015 r. potwierdził, że w toku wnioskowania przez Skarżących o umowę rachunku oszczędnościowo- rozliczeniowego, usług bankowości elektronicznej i karty debetowej, K. Z.przekazała Bankowi informację o swoim numerze telefonu komórkowego. Informacja ta trafiła do kartoteki osobowej Skarżącej prowadzonej w Zbiorze Danych Osobowych Klientów Banku [...] S.A. J. Z., w toku wnioskowania o ww. produkt depozytowy, nie ujawnił Bankowi informacji o swoim numerze telefonu komórkowego, co jednak nie stanowiło przesłanki wyłączającej możliwość skorzystania przez Skarżącego z wnioskowanego produktu. 3. Bank wyjaśnił, że co do zasady, wymaga ujawnienia przez potencjalnych kredytobiorców szerszego zestawu informacji (w tym - dodatkowych danych takich jak np. numer telefonu komórkowego), aniżeli w przypadku wnioskowania o produkty depozytowe. Powodem takiego stanu rzeczy jest konieczność dokonania precyzyjnej oceny ryzyka, jakie wiąże się z finalizacją transakcji kredytowej oraz powzięcia informacji umożliwiających łatwiejszy kontakt z kredytobiorcą w przypadku wystąpienia opóźnienia w terminowej spłacie zadłużenia wynikającego z tytułu umowy kredytowej. Odmowa podania informacji wymaganych we wniosku kredytowym może skutkować negatywną decyzją kredytową Banku. 4. W dniu [...] kwietnia 2015 r. Skarżący złożyli w oddziale Banku wniosek o udzielenie limitu w saldzie debetowym do rachunku oszczędnościowo-rozliczeniowego. Z uwagi na fakt, że wniosek dotyczył produktu o charakterze kredytowym, Bank - w celu dokonania precyzyjnej oceny ryzyka - wymagał od skarżących informacji o ich numerach telefonów do kontaktu. W toku weryfikacji informacji podanych we wniosku kredytowym, Bank ustalił, iż posiada jedynie numer telefonu kontaktowego do K. Z. Podjęte z uwagi na złożony przez skarżących wniosek kredytowy czynności, których celem było powzięcie informacji o numerze telefonu kontaktowego do J. Z. nie przyniosły oczekiwanych przez Bank rezultatów. J. Z. nie wyraził bowiem zgody na wpisanie jego numeru telefonu (o którym wspomniała podczas rozmowy z pracownikiem Banku K. Z.) do kartoteki osobowej prowadzonej w Zbiorze Danych Osobowych Klientów Banku [...] S.A. Tym samym Bank nie mógł wykorzystywać wspomnianego numeru w procesie weryfikacji ryzyka kredytowego (w związku ze złożonym wnioskiem kredytowym) oraz w jakimkolwiek innym procesie bankowym. 5. Bank potwierdził, że w dniu [...] kwietnia 2015 r. do Banku wpłynęła reklamacja skarżących, w treści której znalazło się żądanie J. Z. dotyczące usunięcia jego numeru telefonu ze baz danych, których administratorem jest Bank [...] S.A. W odpowiedzi na powyższą reklamację Bank wysłał do skarżących pismo z dnia [...] maja 2015 r., w którym potwierdził, że numer telefonu J. Z. nie widnieje w kartotece osobowej prowadzonej w Banku [...] S.A. 6. Obecnie Bank przetwarza informację o numerze telefonu K. Z. Skarżąca przekazała Bankowi powyższą informację przy składaniu wniosku o zawarcie umowy rachunku oszczędnościowo-rozliczeniowego, usług bankowości elektronicznej i karty debetowej. 7. Bank poinformował, że w jednym z jego systemów informatycznych, którego celem jest ewidencjonowanie kontaktów Banku z Klientami, zarejestrowano notatkę służbową o pozyskaniu przez pracownika Banku, w trakcie rozmowy telefonicznej z K. Z. (przeprowadzonej w związku ze złożonym wnioskiem kredytowym), informacji o numerze telefonu kontaktowego do J.Z. Z uwagi jednak na niewyrażenie przez Skarżącego zgody na wpisanie uzyskanej - w sposób opisany powyżej - informacji do kartoteki osobowej prowadzonej w Zbiorze Danych Osobowych Klientów, Bank nie mógł wykorzystać wspomnianego numeru telefonu do jakichkolwiek czynności podejmowanych w celu realizacji procesów bankowych. 8. Bank usunął z systemu informatycznego informację o pozyskaniu, w trakcie rozmowy telefonicznej z K. Z., wiadomości o numerze telefonu do J. Z. 9. Bank, na podstawie art. 6 a ust. 1 pkt. 2 ustawy Prawo Bankowe, zawarł ze spółką [...] Sp. z o.o. z siedzibą w [...] umowę o współpracy w zakresie usług [...] (tj. wykonywanie czynności faktycznych związanych z działalnością bankową) - kopia umowy w aktach sprawy. Na podstawie tej umowy Bank zlecił ww. podmiotowi m.in. badanie opinii klientów dotyczących jakości obsługi w oddziałach Banku. Z uwagi na powyższe Bank przekazał dane dotyczące Skarżących, w tym numer telefonu kontaktowego K. Z., do wskazanego powyżej podmiotu. Odbyło się to na podstawie art. 31 ustawy o ochronie danych osobowych. Z informacji powziętych przez Bank wynika, że przedstawiciele ww. podmiotu dwukrotnie próbowali skontaktować się telefonicznie ze skarżącą w październiku 2014 r. 10. K.Z.w dniu [...] kwietnia 2015 r., podczas składania w Oddziale Banku wniosku o udzielenie limitu w saldzie debetowym do rachunku oszczędnościowo- rozliczeniowego, wycofała zgodę na przetwarzanie jej numeru telefonu dla celów marketingowych. Bank odnotował ten fakt w swoich systemach i nie kontaktował się ze skarżącą telefonicznie w celu przedstawienia oferty kredytowej. 11. Obecnie Bank przetwarza dane osobowe skarżących na podstawie art. 74 ustawy z dnia 29 września 1994 r. o rachunkowości (Dz. U. Nr 121 poz. 591) oraz art. 105a ust. 4-5 ustawy Prawo Bankowe, który daje podstawę do przetwarzania danych w celu stosowania metod statystycznych przez okres 12 lat od dnia wygaśnięcia zobowiązania. Ponadto, Bank przetwarza dane osobowe skarżących na podstawie art. 118 ustawy z dnia 23 kwietnia 1964 r. Kodeks cywilny (Dz. U. z 2014 r. poz. 121 ze zm.), który przewiduje dochodzenie roszczeń powstałych w związku z prowadzeniem działalności gospodarczej (tu: wykonywaniem czynności bankowych). 12. Bank nie przetwarza danych osobowych Skarżących w celu wskazanym w Rozporządzeniu Parlamentu Europejskiego i Rady (UE) nr 575/2013 z dnia 26 czerwca 2013 r. w sprawie wymogów ostrożnościowych dla instytucji kredytowych i firm inwestycyjnych. Organ wskazał, że Bank pozyskał dane osobowe skarżących w związku z zawarciem przez nich umów, tj. umowy rachunku oszczędnościowo-rozliczeniowego, usług bankowości elektronicznej i karty debetowej oraz umowy rachunku oszczędnościowego. Tym samym Bank przetwarzał dane osobowe na podstawie art. 23 ust. 1 pkt 3 ustawy. Zakres pozyskanych danych wynikał z wypełnionych przez skarżących wniosków, poprzedzających zawarcie ww. umów, a także z treści tych umów. Przy czym, jeśli chodzi o numery telefonów skarżących, to Bank na tej podstawie prawnej przetwarzał jedynie numer telefonu K. Z., gdyż J. Z. nie podał we wniosku swojego numeru telefonu. Organ wskazał, że aktem prawnym szczegółowo regulującym kwestie przetwarzania danych osobowych klientów banków jest przede wszystkim ustawa z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz.U. z 2015 r. poz. 128 ze zm.), co oznacza spełnienie przesłanki z art. 23 ust. 1 pkt 2 ustawy. Organ podał, że w niniejszej sprawie celem pozyskania przez Bank numeru telefonu skarżącego, wnioskującego o produkt kredytowy, była konieczność dokonania precyzyjnej oceny ryzyka, jakie wiąże się z finalizacją transakcji kredytowej oraz powzięcia informacji umożliwiających łatwiejszy kontakt z kredytobiorcą w przypadku wystąpienia opóźnienia w terminowej spłacie zadłużenia wynikającego z tytułu umowy kredytowej. Trudno zatem zdaniem organu uznać, aby Bank pozyskując numer telefonu skarżącego w tym właśnie celu miał naruszać interesy skarżącego. Gdyby Bank wykorzystał numer telefonu skarżącego w innym celu, niż ten dla którego go pozyskał (np. w celu marketingowym), wówczas mogłoby dojść do naruszenia ochrony danych osobowych skarżącego. Organ podał, że jeśli chodzi o przetwarzanie przez Bank numeru telefonu skarżącej w celach marketingowych to nie potwierdziły się zarzuty skarżących, jakoby Bank kontaktował się ze skarżącą po tym, jak w dniu [...] kwietnia 2015 r., wycofała zgodę na przetwarzanie jej numeru telefonu dla celów marketingowych. Bank bowiem odnotował ten fakt w swoich systemach i nie kontaktował się ze Skarżącą telefonicznie w celu przedstawienia oferty kredytowej. Organ stwierdził, że obecnie Bank przetwarza dane osobowe skarżących na podstawie art. 105a ust. 4-5 ustawy Prawo bankowe, tj. w celu stosowania metod statystycznych przez okres 12 lat od dnia wygaśnięcia zobowiązania oraz przepisów ustawy z dnia 29 września 1994 r. o rachunkowości (Dz. U. z 2013 r. poz. 330). GIODO podał, że jak wykazał zebrany w sprawie materiał dowodowy Bank pozyskał numer telefonu skarżącego w trakcie rozmowy telefonicznej z K.Z. (przeprowadzonej w związku ze złożonym wnioskiem kredytowym). Z uwagi jednak na niewyrażenie przez skarżącego zgody na wpisanie uzyskanej - w sposób opisany powyżej - informacji do kartoteki osobowej prowadzonej w Zbiorze Danych Osobowych Klientów, Bank nie mógł wykorzystać wspomnianego numeru telefonu do jakichkolwiek czynności podejmowanych w celu realizacji procesów bankowych. Bank usunął z systemu informatycznego informację o numerze telefonu do J. Z. Zatem skoro proces przetwarzania danych osobowych skarżącego nie ma miejsca to badanie jego legalności, w kontekście ustalenia ewentualnego zaistnienia przesłanek dla sformułowania nakazu, o którym mowa w art. 18 ust. 1 ustawy, byłoby oczywiście bezprzedmiotowe. Jak bowiem wynika z powołanego przepisu, w przypadku naruszenia przepisów ustawy, Generalny Inspektor z urzędu lub na wniosek osoby zainteresowanej, w drodze decyzji administracyjnej, nakazuje przywrócenie stanu zgodnego z prawem, m.in. poprzez usunięcie uchybień czy nieudostępnienie danych osobowych. W przedmiotowej kwestii takich uchybień nie ma, a zatem postępowanie jest bezprzedmiotowe. Generalny Inspektor Ochrony Danych Osobowych, po rozpoznaniu wniosku J. i K. Z.o ponowne rozpatrzenie sprawy, decyzją z dnia [...] października 2017 r. nr [...] dot. [...], na podstawie art. 138 § 1 pkt 1 k.p.a., utrzymał w mocy własną decyzję z dnia [...] września 2016 r. Generalny Inspektor Ochrony Danych Osobowych podał, że z urzędu ustalił, iż w dniu [...] listopada 2016 r. nastąpił podział Banku [...] S.A. Bank [...] S.A. zajmuje się obecnie wyłącznie obsługą kredytów hipotecznych klientów indywidualnych, natomiast działalność w pozostałym zakresie została w pełni przejęta przez [...] S.A. (do akt postępowania załączono aktualny wydruk z Krajowego Rejestru Sądowego dotyczący [...] Bank S.A.). GIODO podał, że Bank [...] wskazał, iż obecnie nie jest administratorem danych osobowych skarżących, wszelkie prawa i obowiązki związane z obsługą produktów bankowych skarżących przejął z dniem [...] listopada 2016 r. [...] Bank S.A. Pismem z [...] maja 2017 r. [...] Bank S.A. wskazał, że przetwarza dane osobowe skarżących w związku z umową rachunku oszczędnościowo-rozliczeniowego, usług bankowości elektronicznej i karty debetowej oraz umową rachunku oszczędnościowego oraz w związku ze złożonym wnioskiem o udzielenie limitu w saldzie debetowym do rachunku oszczędnościowo-rozliczeniowego. [...] Bank S.A. ponownie za wyjaśnieniami Banku [...] S.A. wskazał, że ww. wniosek skarżących dotyczył produktu o charakterze kredytowym, Bank [...] S.A. w celu dokonania precyzyjnej oceny ryzyka wymagał od skarżących informacji o ich numerach telefonów do kontaktu. Bank posiadał jedynie numer telefonu skarżącej. Podjęte z uwagi na złożony wniosek skarżących czynności, których celem było powzięcie informacji o numerze telefonu kontaktowego do skarżącego nie przyniosły oczekiwanych przez Bank rezultatów. Z powodu braku kontaktu z Klientem wniosek został odrzucony. Bank przetwarza aktualnie jedynie numer telefonu skarżącej, z uwzględnieniem sprzeciwu wobec przetwarzania go w celach marketingowych. Jednocześnie Bank wskazał, iż nie była kierowana do skarżącej żadna akcja marketingowa po złożeniu sprzeciwu. Bank wskazał, że podstawą prawną do przetwarzania numeru telefonu skarżącej, podobnie jak pozostałych danych był art. 23 ust. 1 pkt 3 ustawy w celu realizacji umowy, gdy osoba której dane dotyczą jest jej stroną. Ponadto Bank wskazał, że ww. rachunki skarżących, na ich wniosek, zostały zamknięte w systemie Banku [...] S.A. [...] września 2015 r. W związku z powyższym [...] Bank S.A. przetwarza aktualnie dane osobowe skarżących na podstawie art. 23 ust. 1 pkt 2 ustawy w zw. z art. 74 ustawy o rachunkowości. GIODO stwierdził, że Bank pozyskał dane osobowe skarżących w związku z zawarciem przez nich umów. Bank przetwarzał dane osobowe skarżących na podstawie art. 23 ust. 1 pkt 3 ustawy. Zakres pozyskanych danych wynikał z wypełnionych przez skarżących wniosków, poprzedzających zawarcie ww. umów, a także z treści tych umów. Przy czym, jeśli chodzi o numery telefonów skarżących, to Bank na tej podstawie prawnej (art. 23 ust. 1 pkt 3 ustawy) przetwarzał jedynie numer telefonu K. Z., gdyż J. Z. nie podał we wniosku swojego numeru telefonu. Odnosząc się do przetwarzania numeru telefonu skarżącej, wnioskującej o produkt kredytowy wspólnie ze skarżącym, organ wskazał, iż w niniejszej sprawie celem pozyskania go przez Bank była konieczność powzięcia informacji umożliwiających łatwiejszy kontakt z kredytobiorcą w przypadku wystąpienia opóźnienia w terminowej spłacie zadłużenia wynikającego z tytułu umowy kredytowej. Powyższe działanie Banku znajduje swoją podstawę w art. 23 ust. 1 pkt 5 ustawy. Trudno zatem uznać zdaniem organu, aby Bank pozyskując numery telefonów skarżącej w tym właśnie celu miał naruszać prawa i wolności skarżącej, o których mowa w art. 23 ust. 1 pkt 5 ustawy. Organ podał, że w związku z zamknięciem w systemie Banku [...] S.A. [...] września 2015 r. rachunków skarżących, [...] Bank S.A. przetwarza aktualnie numer telefonu Skarżącej na podstawie art. 23 ust. 1 pkt 2 ustawy w zw. z art. 74 ustawy o rachunkowości. Organ wskazał jednocześni, że z akt jednoznacznie wynika, iż skarżąca [...] kwietnia 2015 r., podczas składania w Oddziale Banku wniosku o udzielenie limitu w saldzie debetowym do rachunku oszczędnościowo-rozliczeniowego, wycofała zgodę na przetwarzanie jej numeru telefonu dla celów marketingowych. Bank odnotował ten fakt w swoich systemach. Pomimo oświadczenia przez Bank w złożonych wyjaśnieniach, iż po uwzględnieniu sprzeciwu nie była kierowana do Skarżącej żadna akcja marketingowa, wziąć pod uwagę należy, że Skarżąca otrzymała [...] kwietnia 2015 r. o godz. 17:45 i [...] czerwca 2016 r. o godz. 9:49 wiadomości od Banku [...] S. A. o następującej treści: Atrakcyjna lokata w pakiecie z inwestycja, oferta dostępna do 20.4.15! Porozmawiaj z Doradca i poznaj produkty inwestycyjne Banku [...]. Zapraszamy do Oddziału" i "Uprzejmie informujemy, ze w [...] została otwarta Placówka Partnerska Banku [...] przy ul. [...], godz. Otwarcia 8:00-18:00. Serdecznie zapraszamy". GIODO stwierdził, że tym samym wysyłając powyższe wiadomości Bank naruszył przepisy ustawy o ochronie danych osobowych przetwarzając dane osobowe Skarżącej (nr telefonu) w celach marketingowych pomimo zgłoszonego sprzeciwu. Istotne dla wydania rozstrzygnięcia w przedmiotowej sprawie jest jednak okoliczność odnotowania sprzeciwu skarżącej w systemach Banku i nieprzetwarzanie aktualnie numeru telefonu skarżącej w celach marketingowych. W związku z powyższym pomimo, iż w procesie przetwarzania danych osobowych skarżącej niewątpliwie doszło do nieprawidłowości polegających na nieodpowiednim odnotowaniu informacji o złożonym sprzeciwie, to brak jest jednak podstaw do zastosowania przepisu art. 18 ust.1 ustawy. Nakaz taki w niniejszej sprawie byłby bezprzedmiotowy bowiem aktualnie dane osobowe skarżącej nie są przetwarzane przez Bank w celach marketingowych. Organ wskazał jednocześnie, że jeżeli wskutek okoliczności podniesionych w skardze doszło w ocenie skarżącej do naruszenia jej dóbr osobistych, może ona dochodzić swoich praw na drodze postępowania przed sądem powszechnym. Odnosząc się do kwestii przetwarzania numeru telefonu skarżącego przez Bank organ wskazał ponownie, że zebrany w sprawie materiał dowodowy wykazał, iż Bank pozyskał numer telefonu skarżącego w trakcie rozmowy telefonicznej z K. Z. (przeprowadzoną w związku ze złożonym wnioskiem kredytowym). Z uwagi jednak na niewyrażenie przez skarżącego zgody na wpisanie uzyskanej - w sposób opisany powyżej - informacji do kartoteki osobowej prowadzonej w Zbiorze Danych Osobowych Klientów, Bank nie mógł wykorzystać wspomnianego numeru telefonu do jakichkolwiek czynności podejmowanych w celu realizacji procesów bankowych. Bank usunął z systemu informatycznego informację o numerze telefonu do J.Z. Stwierdzając powyższe, Generalny Inspektor Ochrony Danych Osobowych podtrzymał swoje stanowisko, iż niniejsze postępowanie w opisanym zakresie podlega umorzeniu na podstawie art. 105 § 1 k.p.a. wobec jego bezprzedmiotowości. Odnosząc się do zarzutu dotyczącego przetwarzania danych osobowych skarżących zawartych w kopii ich dowodów osobistych przez Bank oraz adekwatności danych osobowych skarżących przetwarzanych aktualnie przez Bank wskazać należy, że kwestia ta nie była przedmiotem postępowania i decyzji wydanej w pierwszej instancji, która odnosiła się do przetwarzania numerów telefonów skarżących przez Bank. Decyzja Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] października 2017 r. nr [...] dot. [...] stała się przedmiotem skargi K. i J.Z. do Wojewódzkiego Sądu Administracyjnego w Warszawie. Skarżący wnieśli o uchylenie zaskarżonej i poprzedzającej ją decyzji GIODO i zasądzenie zwrotu kosztów postępowania sądowego. Skarżący podnieśli, że otrzymali dwie decyzje z dnia [...]października 2017 r. o różnych numerach. Zarzucili naruszenie: art. 107 § 1 k.p.a. poprzez brak oznaczenia stron postępowania w skarżonych decyzjach, art. 7 w związku z art. 77 § 1, art. 80 i art. 107 § 3 k.p.a. poprzez: zaniechanie przez GIODO wyczerpującego zebrania i rozpatrzenia całego materiału dowodowego oraz dokładnego wyjaśnienia stanu faktycznego sprawy, oparcie rozstrzygnięcia jedynie na wyjaśnieniach Banku, nieprzeprowadzenie oceny na podstawie całokształtu materiału dowodowego, czy dana okoliczność została udowodniona, nieprzedstawienie w uzasadnieniu skarżonej decyzji przyczyn, z powodu których wyjaśnieniom skarżących odmówił wiarygodności i mocy dowodowej, art. 8 k.p.a. poprzez prowadzenie postępowania administracyjnego w sposób nie budzący zaufania do organu, art. 78 § 1 k.p.a. poprzez nie zajęcie stanowiska w zakresie żądań skarżących dotyczących przeprowadzenia dowodów, art. 26 ust. 1 pkt 5 u.o.d.o. poprzez jego nieprawidłowe zastosowanie, wyrażające się w błędnym przyjęciu, że celem pozyskania przez Bank [...] numeru telefonu skarżącej była konieczność powzięcia informacji umożliwiających łatwiejszy kontakt z kredytobiorcą w przypadku wystąpienia opóźnienia w terminowej spłacie zadłużenia wynikającego z tytułu umowy kredytowej, § 3 rozporządzenia Ministra Finansów z dnia 27 marca 2007 r. w sprawie szczegółowego zakresu przetwarzanych informacji dotyczących osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów oraz trybu usuwania tych informacji poprzez jego niezastosowanie, pomimo tego, że normował on w kwietniu 2015 r. zakres danych osobowych, które banki mogą przetwarzać w związku z oceną zdolności kredytowej, art. 26 ust. 1 pkt 2 u.o.d.o. w związku z art. 74 ustawy o rachunkowości poprzez uznanie, że obecnie legitymizuje on przetwarzanie części danych osobowych skarżących, art. 18 ust. 1 ustawy o ochronie danych osobowych poprzez jego niezastosowanie w celu nakazania Bankowi przywrócenie stanu zgodnego z prawem w zakresie zakazu przetwarzania danych osobowych (numeru telefonu) skarżącej w celach marketingowych. W uzasadnieniu wskazali m.in., że otrzymali w dniu [...] października 2017 r. w oddzielnych przesyłkach zaadresowanych odrębnie do skarżącej i do skarżącego dwie decyzje: jedną oznaczoną [...], a drugą oznaczoną [...]. Z decyzji organu, stosownie do art. 107 § 1 k.p.a., musi wynikać wprost, kto jest stroną postępowania, do kogo decyzja jest kierowana. Zarzucili, że organ nie przeprowadził żądanych przez nich dowodów, wynikających z wniosku o ponowne rozpatrzenie sprawy i pisma z dnia [...] lipca 2017 r. Nie wydał też postanowienia o odmowie przeprowadzenia dowodów. Podali, że organ nie odniósł się także do bezprawnego żądania w dniu [...] kwietnia 2015 r. i dalszych przez Bank [...] numerów telefonów skarżących, wbrew pozostającym wtedy w mocy przepisom § 3 rozporządzenia Ministra Finansów z dnia 27 marca 2007 r. w sprawie szczegółowego zakresu przetwarzanych informacji dotyczących osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów oraz trybu usuwania tych informacji, pomimo tego, że normowały one w tamtym czasie zakres danych osobowych, które banki mogą przetwarzać w związku z oceną zdolności kredytowej. Ograniczył się jedynie do stwierdzenia, że rozporządzenie to utraciło moc z dniem 11 października 2015 r., to jest w czasie prowadzenia przez GIODO postępowania w pierwszej instancji. Skarżący wskazali, że przepis ten nie dawał Bankowi prawa do żądania numeru telefonu w celu oceny wiarygodności kredytowej. Bank [...] zdawał sobie sprawę, że żądał od skarżących bezprawnie informacji o numerze telefonu w celu oceny zdolności kredytowej. Świadczy o tym próba uzyskania zgody od skarżącego na wpisanie numeru telefonu do bazy danych Banku, a po odmowie zapewnienie przez Bank Organu o wykreśleniu tej informacji z systemu. Skarżący nie mogą zgodzić się również z oceną GIODO, że celem pozyskania numeru telefonu skarżącej przez Bank [...] przy wniosku o kredyt była konieczność powzięcia informacji umożliwiających łatwiejszy kontakt z kredytobiorcą w przypadku wystąpienia opóźnienia w terminowej spłacie zadłużenia wynikającego z umowy kredytowej, co miało podstawę w art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych. Ocena taka wynika z błędnie ustalonego stanu faktycznego sprawy. Otóż ze stanu faktycznego sprawy wynika, że Bank wpisał numer telefonu skarżącej do wniosku o kredyt, skąd należy domniemywać, że miał być wykorzystany w celu oceny zdolności kredytowej, czyli nie po to, aby Bank miał łatwiejszy kontakt z kredytobiorcą w przypadku wystąpienia opóźnienia w terminowej spłacie zadłużenia (zdarzenie przyszłe niepewne) wynikającego z zawartej umowy kredytowej. Skarżący wskazali także na praktykę kserowania dowodów osobistych. Generalny Inspektor Ochrony Danych Osobowych w odpowiedzi na skargę wniósł o jej oddalenie. Podtrzymał stanowisko wyrażone w decyzji z dnia [...] października 2017 r. Wskazał, że zarówno decyzja z dnia [...] września 2016 r. jak i decyzja z dnia [...] października 2017 r., nie naruszają art. 107 § 1 k.p.a., bowiem w decyzji wbrew twierdzeniom skarżących zawiera oznaczenie stron postępowania poprzez wskazanie imion, nazwiska i adresu zamieszkania skarżących oraz nazwy i adresu siedziby podmiotu skarżonego - Banku (początkowo Bank [...] S.A., później [...] Bank S.A.) na pierwszej stronie zaskarżonych decyzji. Organ wskazał, że decyzja z dnia [...] października 2017 r. ([...]) utrzymuje decyzję z dnia [...] września 2016 r. ([...]), są to dwie decyzje wydane w przedmiotowej sprawie. Numery, na które powołują się skarżący są jednostkowymi numerami korespondencyjnymi właściwymi dla każdego egzemplarza decyzji wysłanego do stron postępowania (skarżącego, skarżącej i Banku), w toku którego decyzja ta została wydana. Organ wyjaśnił, iż treść decyzji pozostaje niezmienna, tj. zarówno skarżący, jak i pozostałe strony postępowania prowadzonego w ww. sprawie otrzymały decyzję z dnia [...] września 2016 r. ([...]) i utrzymującą ją decyzję z dnia [...] października 2017 r. ([...]) o tożsamej treści. Organ wskazał, że w sposób wyczerpujący zebrał materiał dowodowy, który w całości został poddany ocenie i na jego podstawie wydano zaskarżone rozstrzygnięcie. GIODO podkreślił, że podejmował czynności, wykorzystując dla wyjaśnienia stanu faktycznego sprawy możliwie najprostsze środki. Odnosząc się do zarzutu naruszenia przez Generalnego Inspektora art. 107 § 3 k.p.a. organ wskazał, że zarówno decyzja z dnia [...] września 2016 r. jak i z dnia [...] października 2017 r., wbrew twierdzeniom skarżących, zawierają wskazanie dowodów wraz z okolicznościami uznanymi za udowodnione i uzasadnienie dokonanych ocen oraz pozostałe elementy wskazane w art. 107 k.p.a. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje. Skarga podlegała uwzględnieniu, albowiem w sprawie tej naruszone zostały przepisy postępowania, tj. art. 7, art. 77 § 1, art. 80 i art. 107 § 3 k.p.a., w stopniu, który mógł mieć istotny wpływ na wynik sprawy. Obowiązkiem organu ochrony danych osobowych było w tej sprawie dokonanie ustalenia, czy dopuszczalne było – w świetle przepisów u.o.d.o. - przetwarzanie przez bank danych osobowych skarżących, w tym w szczególności w sprawie chodziło o przetwarzanie numerów telefonów. W tym zakresie GIODO stwierdził, że numer telefonu skarżącego (po jego podaniu przez żonę) był przetwarzany przez bank ale już nie jest przetwarzany bo bank usunął informację "o pozyskaniu" tego numeru telefonu. Z decyzji nie wynika w jakiej dacie Bank [...] S.A. usunął numer telefonu skarżącego. Ustaleń w tym zakresie organ nie dokonał. Organ ochrony danych osobowych nie ustalił też, czy bank [...] S.A. miał prawo przetwarzać numer telefonu skarżącego, a jeśli tak, to na jakiej podstawie prawnej. Żadnych stwierdzeń organu w decyzji w tym zakresie nie ma. Jeśli zaś chodzi o przetwarzanie numeru telefonu skarżącej, to GIODO w pierwszej decyzji z dnia [...] września 2016 r. stwierdził, że bank przetwarzał numer telefonu skarżącej na podstawie art. 23 ust. 1 pkt 3 u.o.d.o., bo skarżąca we wniosku podała numer telefonu. Organ wyjaśnił, że celem pozyskania przez bank numeru telefonu była konieczność dokonania precyzyjnej oceny ryzyka, jakie wiąże się z finalizacją transakcji kredytowej oraz powzięcia informacji umożliwiających łatwiejszy kontakt z kredytobiorcą w przypadku wystąpienia opóźnienia w terminowej spłacie zadłużenia wynikającego z tytułu umowy kredytowej. Organ nie wyjaśnił przy tym w decyzji, jak rozumie pojęcie "precyzyjna ocena ryzyka" i dlaczego zdaniem GIODO to właśnie numer telefonu skarżącej pozwala na dokonanie takiej "precyzyjnej oceny ryzyka". Nadto, organ nie rozważył, czy w sytuacji, gdy numer telefonu skarżącej był żądany na etapie wnioskowania, to istotnie był niezbędny do kontaktu z kredytobiorcą w przepadku opóźnienia w terminowej spłacie zadłużenia wynikającego z "umowy kredytowej", na który to cel w decyzji organ także wskazał. Zauważyć przy tym należy, że w zaskarżonej decyzji organ stwierdził z kolei, że bank przetwarzał numer telefonu skarżącej na podstawie art. 23 ust. 1 pkt 5 u.o.d.o. Wskazując na tę podstawę prawną organ ponownie powołał się na łatwiejszy kontakt w przypadku wystąpienia opóźnienia w terminowej spłacie zadłużenia. Organ nie wyjaśnił w zaskarżonej decyzji na czym opiera zmianę swego stanowiska, co do podstawy prawnej przetwarzania numeru telefonu skarżącej. Na podstawie uzasadnień obu decyzji nie sposób stwierdzić, jakie jest ostateczne stanowisko organu, co do podstawy prawnej przetwarzania przez bank numeru telefonu skarżącej. Organ nie odniósł się też do zarzutów skarżących zawartych we wniosku o ponowne rozpatrzenie sprawy dotyczących legalności przetwarzania numeru telefonu w aspekcie § 3 rozporządzenia Ministra Finansów z dnia 27 marca 2007 r. w sprawie szczegółowego zakresu przetwarzanych informacji dotyczących osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów oraz trybu usuwania tych informacji (Dz. U. Nr 56, poz. 373). Ma to o tyle istotne znaczenie, że powołany przepis stanowi o zakresie informacji przetwarzanych w celu oceny zdolności kredytowej i "analizy ryzyka kredytowego" i nie wymienia numeru telefonu. GIODO w decyzji uzasadniając legalność przetwarzania numeru telefonu skarżącej wskazał zaś na potrzebę dokonania przez bank "precyzyjnej oceny ryzyka". Brak odniesienia się do zarzutów wniosku o ponowne rozpatrzenie sprawy stanowi w tym aspekcie naruszenie art. 77 § 1, art. 80 i art. 107 § 3 k.p.a., które mogło mieć istotny wpływ na wynik sprawy. Skoro organ ochrony danych osobowych posługuje się odmiennym pojęciem (określającym według GIODO cel przetwarzania) niż Minister Finansów w rozporządzeniu, nie wyjaśniając jednocześnie tego pojęcia w decyzji, to ustalenia organu ochrony danych osobowych uznać należało za dowolne. W związku z brakiem jednoznacznego stanowiska organu, co do przesłanki stanowiącej podstawę przetwarzania numeru telefonu skarżących, konieczne stało się uchylenie obu decyzji. Podkreślenia wymaga bowiem, że dopiero jednoznaczne stwierdzenie przez organ, co do tego, którą przesłankę uznaje za podstawę przetwarzania numeru telefonu skarżących, pozwoli organowi ustalić, czy przetwarzanie numeru telefonu skarżących było legalne, a w dalszej kolejności, czy możliwe było zastosowanie jakiegokolwiek nakazu. Zauważyć należy przy tym, że organ dokonując ustaleń faktycznych wskazał, że K. Z.w dniu [...] kwietnia 2015 r. "wycofała zgodę" na przetwarzanie jej numeru telefonu dla celów marketingowych. Jednocześnie jednak organ nie stwierdził w decyzji, aby numer telefonu skarżącej przetwarzany był na podstawie zgody osoby, której dotyczy. Nadto, w decyzji z dnia [...] września 2016 r. organ odmówił uwzględnienia wniosku w pozostałym zakresie (punkt 2 decyzji) nie stwierdzając m.in. aby bank przetwarzał numer telefonu skarżącej w celu marketingowym po tym, jak "wycofała zgodę". Zaskarżoną decyzją organ utrzymał zaś w mocy własną decyzję z dnia [...] września 2016 r., choć dokonał całkowicie odmiennych ustaleń. Organ stwierdził bowiem, że skarżąca w dniu [...] kwietnia 2015 r. i [...] czerwca 2016 r. otrzymała wiadomości o charakterze marketingowym a tym samym bank naruszył przepisy u.o.d.o. przetwarzając numer telefonu skarżącej w celu marketingowym mimo sprzeciwu (organ tym razem nie wskazał na wycofanie zgody, a na wniesienie sprzeciwu). Stwierdzenie przez organ, że naruszone zostały przepisy u.o.d.o. nie stanowi podstawy do oddalenia wniosku (a przecież także w tym zakresie GIODO zaskarżoną decyzją utrzymał w mocy własną decyzję). Tym samym organ naruszył także art. 138 § 1 pkt 1 k.p.a. Nadto, GIODO ustalił, że [...] Bank S.A. przetwarza aktualnie numer telefonu skarżącej na podstawie art. 23 ust. 1 pkt 2 u.o.d.o. w zw. z art. 74 ustawy o rachunkowości. Organ nie rozważył jednakże kwestii legalności przetwarzania (przechowywania przez [...] Bank S.A.) numeru telefonu skarżącej dla potrzeb ustawy o rachunkowości, nie dokonał oceny, czy tego rodzaju dana osobowa jest adekwatna do celu przetwarzania. Także w tym aspekcie GIODO nie odniósł się do zarzutów wniosku o ponowne rozpatrzenie sprawy, czym naruszono art. 77 § 1 k.p.a., art. 80 k.p.a. i art. 107 § 3 k.p.a., co mogło mieć istotny wpływ na wynik sprawy. Wskazania przy tym wymaga, że może oczywiście zachodzić taka sytuacja, iż z określonych przyczyn organ żądanego przez strony nakazu wydać nie może, ale powyższe nie zwalnia organu ochrony danych osobowych z należytego i wszechstronnego zbadania sprawy i zajęcia jednoznacznego stanowiska, czy przepisy u.o.d.o. zostały naruszone, a jeśli tak, to przez który podmiot (powinien on zostać dokładnie określony) i w jakim dokładnie zakresie. Sąd zauważa jednocześnie, że organ prowadził postępowanie zakończone zaskarżoną decyzją z [...] Bank S.A., co organ oparł na ustaleniu, że w dniu [...] listopada 2016 r. nastąpił podział Banku [...] S.A., a wszelkie prawa i obowiązki związane z obsługą produktów bankowych skarżących przejął z dniem [...] listopada 2016 r. [...] Bank S.A. Z zaskarżonej decyzji nie wynika jednakże, aby organ ochrony danych osobowych - biorąc pod uwagę, że podział banku [...] S.A. nastąpił przez wydzielenie (na podstawie art. 529 § 1 pkt 4 k.s.h.) - dokonał jakichkolwiek rozważań co do odpowiedzialności na gruncie u.o.d.o. każdego z banków w aspekcie przetwarzania danych osobowych skarżących (których rachunki bankowe w [...] S.A. zostały zamknięte jak wynika z decyzji w dniu [...] września 2015 r., a zatem przed dokonanym podziałem przez wydzielenie). Zauważyć należy, że podział przez wydzielenie nie prowadzi do rozwiązania spółki, spółka nie traci bytu prawnego. Organ przyjął założenie, że przejęcie przez [...] Bank S.A. wszelkich praw związanych z obsługą produktów bankowych skarżących oznacza, że stroną postępowania jest od [...] listopada 2016 r. [...] Bank S.A. Organ nie rozważył jednakże i nie zawarł w decyzji żadnego stwierdzenia, czy wstąpienie przez [...] Bank S.A. z dniem wydzielenia w prawa i obowiązki spółki dzielonej, jest równoznaczne z brakiem interesu prawnego banku [...] S.A. w sprawie z zakresu przetwarzania danych osobowych skarżących. Pozostałe zarzuty skargi Sąd uznał za nieuzasadnione lub przedwczesne. W sprawie jest bezsporne, że organ wydał jedną decyzję z dnia [...] września 2016 r. i jedną decyzję z dnia [...] października 2017 r. Skarżący zostali w tych decyzjach wskazani jako osoby, po rozpatrzeniu skargi których organ podjął rozstrzygnięcie. Organ ochrony danych osobowych ma prawo wyboru środków, w drodze których dokonuje ustaleń faktycznych, choć niewątpliwie nieuwzględnienie wniosków dowodowych powinno następować w drodze postanowienia (art. 123 k.p.a.). Ponownie rozpoznając sprawę organ uwzględni rozważania Sądu. Mając powyższe na uwadze, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 145 § 1 pkt 1 lit c ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz. U. z 2017 r., poz. 1369 ze zm.), orzekł jak w punkcie pierwszym wyroku. W punkcie drugim wyroku Sąd orzekł na podstawie art. 200 powołanej ustawy. Do kosztów sądowych Sąd zaliczył uiszczony przez każdego ze skarżących wpis od skargi.