II SA/Wa 357/09

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Anna Mierzejewska, Sędziowie WSA Andrzej Kołodziej, WSA Sławomir Antoniuk (spr.), Protokolant Agnieszka Kolasa, po rozpoznaniu na rozprawie w dniu 10 września 2009 r. sprawy ze skargi A. W. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] lutego 2009 r. nr [...] w przedmiocie przetwarzania danych osobowych - oddala skargę - Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia [...] lutego 2009 r. nr [...], wydaną na podstawie art. 54 § 3 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. Nr 153, poz. 1270 ze zm.) i art. 12 pkt 2, art. 22 w zw. z art. 23 ust. 1 pkt 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.) w zw. z art. 105 ust. 4 oraz art. 105a ustawy z dnia 29 sierpnia 1997 r. – Prawo bankowe (Dz. U. z 2002 r. Nr 72, poz. 665 ze zm.), orzekł o: 1) uchyleniu w całości zaskarżonej do sądu własnej decyzji z dnia [...] grudnia 2008 r. nr [...] oraz decyzji z dnia [...] czerwca 2008 r. nr [...] nakazującej P. z siedzibą w W. spowodowanie usunięcia ze zbioru prowadzonego przez B. S.A. z siedzibą w W. przekazanych do tego zbioru danych osobowych A. W. przetwarzanych w celu stosowania przez banki metod statystycznych, 2) odmowie uwzględnienia wniosku A. W. o usunięcie jego danych osobowych ze zbioru danych B. S.A. przekazanych przez P. S.A. Z ustaleń organu i akt administracyjnych wynika następujący stan sprawy: Pismem z dnia 5 lutego 2008 r. A. W. zwrócił się do Generalnego Inspektora Ochrony Danych Osobowych ze skargą na bezprawne przetwarzanie przez P. S.A. (dalej P.) jego danych osobowych w B. S.A. (dalej B.) pomimo całkowitej spłaty zadłużenia kredytowego i braku zgody zainteresowanego na dalsze przetwarzanie przedmiotowych danych. W związku z powyższym skarżący wniósł o usunięcie jego danych osobowych ze zbioru danych B. W toku przeprowadzonego postępowania wyjaśniającego Generalny Inspektor Ochrony Danych Osobowych ustalił, że: 1) P. pozyskał dane osobowe skarżącego w związku z zawarciem z nim w dniu [...] marca 2005 r. umowy kredytu konsolidacyjnego nr [...]; 2) P. przekazał do B. dane osobowe skarżącego na podstawie umowy zawartej w dniu [...] czerwca 2001 r., która określa zasady współpracy w zakresie zbierania i udostępniania informacji na podstawie art. 105 ust. 4 ustawy – Prawo bankowe; 3) uznając, że doszło do opóźnienia w spłacie rat kredytu, w okresie od kwietnia 2007 r. do października 2007 r. P. przekazał dane osobowe skarżącego do B. ze statusem "zaległość w spłacie od 31 do 90 dni". Po dokonaniu sprawdzenia poprawności dokonanych przez bank ustaleń P. stwierdził jednak, że skarżący spłacał raty kredytu wg harmonogramu i nie dopuścił się zwłoki, w spełnieniu wymaganego świadczenia, trwającej dłużej niż 60 dni; 4) w związku ze spłatą przez skarżącego w dniu 28 sierpnia 2007 r. zobowiązania wynikającego z ww. umowy, P. w dniu 28 lutego 2008 r. wystąpił do B. z "prośbą o zamknięcie kwestionowanego zobowiązania oraz o usunięcie wszystkich informacji o opóźnieniach z historii umowy kredytowej". Powyższe zostało wykonane przez B. w dniu 29 lutego 2008 r.; 5) B. aktualnie przetwarza dane osobowe skarżącego w celu stosowania przez banki metod statystycznych, o których mowa w art. 128 ust. 3 Prawa bankowego; 6) w pisemnych wyjaśnieniach z dnia 8 kwietnia 2008 r. P. zaznaczył, iż "(...) aktualnie nie stosuje metod statystycznych jak również nie zlecał B. S.A. przetwarzania danych osobowych skarżącego w celu stosowania metod statystycznych". Jednakże Bank ten wskazał, że "w przyszłości (...) będzie wykorzystywał metody statystyczne". W wyniku przeprowadzonego postępowania administracyjnego, Generalny Inspektor Ochrony Danych Osobowych w dniu [...] czerwca 2008 r. wydał decyzję administracyjną nakazującą P. spowodowanie usunięcia ze zbioru danych kredytobiorców prowadzonego przez B. danych osobowych skarżącego. Na skutek złożenia przez P.i B. wniosków o ponowne rozpatrzenie sprawy zakończonej ww. decyzją Generalny Inspektor zwrócił się do banku o złożenie dalszych wyjaśnień. P. w przedłożonych wyjaśnieniach wskazał, iż prowadzi aktualnie prace nad spełnieniem minimalnych wymogów pozwalających na zastosowanie metod statystycznych do wyliczania wymogów kapitałowych na ryzyko kredytowe. Po ponownym rozpatrzeniu sprawy, Generalny Inspektor Ochrony Danych Osobowych wydał w dniu [...] grudnia 2008 r. decyzję administracyjną, którą utrzymał zaskarżoną decyzję w mocy. W dniu 13 stycznia 2009 r., za pośrednictwem Generalnego Inspektora Ochrony Danych Osobowych, wpłynęły do Wojewódzkiego Sądu Administracyjnego w Warszawie skargi P. oraz B. na decyzję Generalnego Inspektora z dnia [...] grudnia 2008 r. B. wniosło o uchylenie w całości zaskarżonej decyzji oraz decyzji ją poprzedzającej z dnia [...] czerwca 2008 r. Generalny Inspektor Ochrony Danych Osobowych przychylając się do zarzutów podniesionych w skargach, jak również biorąc pod uwagę przytoczoną argumentację podzielił stanowisko przedstawione przez strony skarżące i rozstrzygnięciem z dnia [...] lutego 2009 r., podjętym w oparciu o przepis art. 54 § 3 Prawa o postępowaniu przed sądami administracyjnymi, uchylił zaskarżone decyzje, zgodnie z żądaniem B. oraz odmówił uwzględnienia wniosku skarżącego. Uzasadniając podjęte w trybie autokontroli rozstrzygnięcie, Generalny Inspektor podniósł, iż w świetle art. 23 ust. 1 ustawy o ochronie danych osobowych, przetwarzanie danych osobowych jest dopuszczalne m.in. wtedy, gdy osoba, której dane dotyczą wyrazi na to zgodę, chyba że chodzi o usunięcie dotyczących jej danych (pkt 1) oraz gdy jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa (pkt 2). Aktem prawnym zawierającym szczegółowe regulacje dotyczące procesu przetwarzania danych osobowych klientów banków jest przede wszystkim Prawo bankowe. W związku z okolicznością przetwarzania danych osobowych skarżącego przez B. pomimo wygaśnięcia jego zobowiązania wobec P. oraz braku spełnienia w niniejszej sprawie przesłanek z art. 105a ust. 1 pkt 2 i 3 Prawa bankowego, należy wskazać na art. 105a ust. 4 Prawa bankowego. Stosownie do brzmienia tej normy banki oraz instytucje, o których mowa w art. 105 ust. 4, mogą przetwarzać informacje stanowiące tajemnicę bankową dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, bez zgody osoby, której informacje dotyczą, dla celów stosowania metod statystycznych, o których mowa w art. 128 ust. 3. Przetwarzanie informacji stanowiących tajemnicę bankową w ww. przypadku może być wykonywane przez okres 12 lat od dnia wygaśnięcia zobowiązania (art. 105a ust. 5 Prawa bankowego). W myśl art. 105 ust. 4 pkt 1 Prawa bankowego banki mogą, wspólnie z bankowymi izbami gospodarczymi, utworzyć instytucje upoważnione do gromadzenia, przetwarzania i udostępniania bankom — informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych oraz w związku ze stosowaniem metod statystycznych, o których mowa m.in. w art. 128 ust. 3. Przepis art. 105 ust. 1 pkt 1c Prawa bankowego obliguje natomiast bank do udzielenia informacji stanowiących tajemnicę bankową instytucjom, o których mowa w ust. 4 (w tym B.), w zakresie niezbędnym dla stosowania metod statystycznych, o których mowa w art. 128d ust. 1 i 6. Dopuszczalność przetwarzania przez B. danych osobowych skarżącego po wygaśnięciu zobowiązania musi być więc rozpatrywana w kontekście spełnienia przesłanek z art. 105a ust. 4 Prawa bankowego, jak również rozporządzenia Ministra Finansów z dnia 27 marca 2007 r. w sprawie szczegółowego zakresu przetwarzanych informacji dotyczących osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów oraz trybu usuwania tych informacji (Dz. U. Nr 56, poz. 373 ze zm.). Zakres informacji przetwarzanych w celu oceny zdolności kredytowej i analizy ryzyka kredytowego lub dla celów stosowania metod statystycznych, o których mowa w art. 128 ust. 3 ustawy został określony w § 3 cytowanego wyżej rozporządzenia. Analizując okoliczności badanej sprawy organ stwierdził, iż aktualnie przetwarzanie danych osobowych skarżącego przez B. dla celów stosowania metod statystycznych, o których mowa w art. 128 ust. 3 Prawa bankowego, znajduje swoje oparcie w art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych. Zatem zgoda skarżącego na przetwarzanie jego danych osobowych przez B., czy też jej brak nie stanowi przeszkody, ponieważ podstawą tego przetwarzania jest przepis Prawa bankowego, tj. art. 105a ust. 4. Powyższe stanowisko uzyskało akceptację sądów administracyjnych, np. wyrok WSA w Warszawie z dnia 4 grudnia 2008 r., sygn. akt II SA/Wa 917/08. W dniu 26 lutego 2008 r. B., na podstawie art. 161 § 1 pkt 3 Prawa o postępowaniu przed sądami administracyjnymi, wniósł o umorzenie postępowania sądowego zainicjowanego własną skargą oraz zasądzenie od Generalnego Inspektora Ochrony Danych Osobowych na rzecz B. zwrotu kosztów postępowania. Postanowieniem z dnia 30 kwietnia 2009 r., sygn. akt II SA/Wa 363/09 (prawomocnym od dnia 20 czerwca 2009 r.) Sąd umorzył postępowanie sądowe oraz zasądził od organu na rzecz B. zwrot kosztów postępowania. Natomiast postanowieniem z dnia 28 maja 2009 r., sygn. akt II SA/Wa 364/09 (prawomocnym od dnia 9 lipca 2009 r.) Sąd odrzucił skargę P. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] grudnia 2008 r. z powodu nieusunięcia w wyznaczonym terminie braków formalnych skargi. Decyzja Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] lutego 2009 r. stała się przedmiotem skargi wniesionej przez A. W. do Wojewódzkiego Sądu Administracyjnego w Warszawie, w której wymieniony zarzucił zaskarżonej decyzji naruszenie: 1) art. 1 ust. 1 ustawy o ochronie danych osobowych, poprzez niezastosowanie w procesie przetwarzania jego danych osobowych art. 25 ust. 1 pkt 2 i 4 oraz art. 26 ust. 1 tej ustawy, 2) art. 23 ust. 1 pkt 2 i 4 powołanej ustawy, poprzez zastosowanie niewłaściwej podstawy prawnej, co miało wpływ na wynik sprawy i stanowiło błędną wykładnię oraz niewłaściwe zastosowanie, 3) art. 7 pkt 4 tej ustawy, poprzez uznanie B. administratorem jego danych osobowych, 4) art. 7 ustawy w zw. z art. 77 § 1 k.p.a., poprzez niewystarczające wyjaśnienie podstawy faktycznej i prawnej podjętej decyzji, 5) art. 105 ust. 4 oraz art. 105a ust. 4 Prawa bankowego, poprzez błędne uznanie, iż B. jest uprawniony do samoistnego przetwarzania jakichkolwiek danych osobowych bez zlecenia przez bank takiego przetwarzania dla celów stosowania metod statystycznych. W uzasadnieniu skargi zainteresowany podniósł, iż zawierając w 2005 r. z P. umowę o kredyt konsolidacyjny, wyraził zgodę na przetwarzanie jego danych osobowych w celu umożliwienia bankowi dokonania oceny zdolności kredytowej wnioskodawcy i obsługi kredytu w okresie jego trwania. Wobec całkowitej spłaty zobowiązań kredytowych w sierpniu 2007 r. i braku zgody na dalsze przetwarzanie danych osobowych kredytobiorcy P. utracił prawo do dalszego przetwarzania danych osobowych skarżącego w zakresie działania statutowego B. Dokonana przez bank w dniu 9 listopada 2007 r. aktualizacja danych osobowych skarżącego w B. wskazująca na opóźnienia w spłacie rat kredytowych, już po spłacie kredytu konsolidacyjnego, stanowiła próbę celowego obejścia przez P. (w trybie art. 105a ust. 3 Prawa bankowego) braku zgody zainteresowanego do dalszego przetwarzania jego danych osobowych. W ocenie skarżącego, nie istnieje podstawa prawna, która uprawnia B. samodzielnie, bez zgody banku, do przetwarzania danych osobowych kredytobiorców jako samodzielnego administratora danych osobowych. B. jest władny jedynie do przetwarzania danych osobowych tylko w trybie powierzenia danych przez konkretny bank, co pozostaje w sprzeczności ze stanowiskiem przyjętym przez Generalnego Inspektora. W świetle art. 105 ust. 1 pkt 1c Prawa bankowego, banki mają obowiązek udzielenia informacji w zakresie niezbędnym (minimalnym) dla stosowania metod statystycznych przez takie podmioty jak B. Tymczasem B. przetwarza personalizowane dane osobowe skarżącego w pełnym zakresie, np. z numerami mieszkań, w których zamieszkiwał. Gdyby nawet przyjąć, że dane skarżącego mogłyby posłużyć B. do wyliczania metod kapitałowych metodami statystycznymi, to nie powinny one być oznaczone co do tożsamości kredytobiorcy, lecz przekazane w przemyślanym zakresie ze wskazaniem, w jaki sposób mają być przetwarzane. B. nie ma bowiem uprawnień do dowolnej statystyki, a jedynie do wykonania na zlecenie banku (w zakresie określonym umową banku z B.) w z góry założonym zakresie i w sposób zatwierdzony przez Komisję Nadzoru Finansowego w zw. z art. 128 ust. 3 Prawa bankowego. W odpowiedzi na skargę Generalny Inspektor Ochrony Danych Osobowych wniósł o jej oddalenie i podtrzymał argumentację przedstawioną w uzasadnieniu zaskarżonej decyzji. W odpowiedzi na skargę wniesioną przez A. W. z dnia 15 czerwca 2009 r., uczestnik postępowania P. wniósł o oddalenie skargi i podzielił stanowisko zaprezentowane przez organ. Uczestnik postępowania B. w piśmie procesowym z dnia 30 czerwca 2009 r. wniósł o oddalenie skargi. Odnosząc się do jej zarzutów B. stwierdził, iż pogląd o możliwości przetwarzania przez B. danych osobowych kredytobiorcy dla celów statystycznych, już po wygaśnięciu zobowiązania, tylko gdy takie uprawnienie będzie zawarte w odrębnej umowie pomiędzy B. a bankiem, jest błędny. Podstawę prawną przetwarzania danych osobowych kredytobiorcy stanowi wprost art. 105 ust. 4 Prawa bankowego. Z brzmienia tego przepisu wynika, iż B. aby móc przetwarzać dane osobowe kredytobiorcy nie musi posiadać wyraźnego zlecenia banku na takie działanie. Odnosząc się do zarzutu skargi dotyczącego prowadzenia przez B. dowolnej statystyki bez wyraźnego zawężenia zakresu przetwarzania danych kredytobiorcy przez bank uczestnik postępowania wskazał, iż aby bank mógł się ubiegać o zgodę Komisji Nadzoru Finansowego na wykorzystanie przez bank wybranej metody statystycznej do obliczania wymogów kapitałowych, to musi stosować tę metodę przez trzy lata przed ubieganiem się o taką zgodę. Aby bank mógł się przygotować do wdrożenia danej metody musi posiadać ciągi historycznych danych, które pozwolą mu na "badanie" wybranej metody. Korzystanie z danych historycznych w celu obserwacji modelu przez 3 lata przed złożeniem wniosku do Komisji Nadzoru Finansowego jest warunkiem niezbędnym, aby taki wniosek mógł zostać przez wymienioną Komisję rozpatrzony. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Zgodnie z art. 1 i 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (Dz. U. Nr 153, poz. 1269 ze zm.), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej. Kontrola ta sprawowana jest pod względem zgodności z prawem. Oznacza to, iż przedmiotem sprawy sądowoadministracyjnej jest ocena przez Sąd prawidłowości prowadzenia przez organ administracji publicznej postępowania administracyjnego oraz zapadłego w tym postępowaniu rozstrzygnięcia. Skarga nie zasługuje na uwzględnienie. Na wstępie zaznaczyć należy, iż zadaniem ustawy 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jedn. Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.) nie jest jedynie stanie na straży interesów tych, których przetwarzane dane osobowe dotyczą. Naczelną zasadą ustawy nie jest też zakaz przetwarzania danych osobowych, lecz przestrzeganie zakresu i trybu ich przetwarzania. Omawiana ustawa w art. 1 stwierdza, że dane osobowe mogą być przetwarzane, jeżeli służy to dobru publicznemu, dobru osoby, której dane dotyczą lub dobru osób trzecich. Ochrona danych osobowych, na podstawie przepisów powołanej ustawy, nie powinna być oderwana od przepisów służących ochronie innych wartości. Stosownie do treści art. 7 pkt 2 ww. ustawy, przez przetwarzanie danych osobowych rozumie się jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych. Zgodnie z art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa. Oznacza to, iż zgoda osoby, której dane dotyczą, na przetwarzanie jej danych osobowych nie jest wymagana wówczas, gdy administrator danych potrafi wskazać przepis prawa legalizujący dokonywanie czynności, o których mowa w art. 7 ust. 2 ustawy. W niniejszej sprawie, P. (będąc administratorem danych osobowych) już po wygaśnięciu zobowiązań wynikających z umowy kredytu konsolidacyjnego zgłosił dane osobowe skarżącego do B. wykazując zaległości w spłacie kredytu o statusie "od 31 do 90 dnia". W związku z dokonaną weryfikacją przedmiotowej informacji i ustaleniem, że po stronie skarżącego nie wystąpiły zaległości w spłacie kredytu, P. wystąpił do B. o zamknięcie kwestionowanego zobowiązania oraz usunięcie wszystkich informacji o opóźnieniach z historii kredytowej. B. zgodnie z wolą banku w dniu 29 lutego 2008 r. usunął dane skarżącego ze zbioru danych nierzetelnych dłużników, lecz pozostawił przedmiotowe dane w innym zbiorze prowadzonym w celu stosowania metod statystycznych. Zatem kluczowym dla rozpatrzenia zasadności skargi A. W. pozostaje rozstrzygnięcie kwestii, czy B. jest uprawniony do przetwarzania jego danych osobowych dla celów statystycznych bez zgody zainteresowanego w sytuacji, gdy dane te pierwotnie zostały wymienionemu podmiotowi udostępnione w zupełnie innym celu. Uprawnienie takie B. słusznie wywodzi z art. 105 ust. 4 ustawy z dnia 29 sierpnia 1997 r. - Prawo bankowe (tekst jedn. Dz. U. z 2002 r. Nr 72, poz. 665 ze zm. - w brzmieniu obowiązującym w dniu wydania zaskarżonej decyzji), według którego banki mogą, wspólnie z bankowymi izbami gospodarczymi, utworzyć instytucje upoważnione do gromadzenia, przetwarzania i udostępniania: 1) bankom - informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych oraz w związku ze stosowaniem metod statystycznych, o których mowa w art. 128 ust. 3 oraz w art. 128d ust. 1, 2) innym instytucjom ustawowo upoważnionym do udzielania kredytów - informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są niezbędne w związku z udzielaniem kredytów, pożyczek pieniężnych, gwarancji bankowych i poręczeń. Nie ulega wątpliwości, że B., jako instytucja utworzona przez banki i Z. w oparciu o art. 105 ust. 4 Prawa bankowego, jest uprawnione do gromadzenia, przetwarzania i udostępniania bankom informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych oraz w związku ze stosowaniem metod statystycznych. Ze stanowiska Komisji Nadzoru Finansowego zawartego w piśmie z dnia 3 kwietnia 2009 r. załączonego do akt sądowych (k. – 67-71) wynika, iż B. może być dostarczycielem modeli zbudowanych przy wykorzystaniu danych stanowiących tajemnicę bankową, a więc i danych osobowych zarówno "nierzetelnych" kredytobiorców, jak i tych, którzy zobowiązania kredytowe regulowali w wymaganym terminie. Zważywszy zatem, iż ustawodawca zezwolił na powołanie do życia instytucji finansowej, której działalność ma służyć stabilizacji rynku kredytowego przy wykorzystaniu źródeł informacji stanowiącej tajemnicę bankową, uznać należy B. za samodzielnego administratora danych osobowych będących w jego posiadaniu (w rozumieniu art. 7 pkt 4 ustawy o ochronie danych osobowych), a pozyskanych od banków dla realizacji zamierzeń stanowiących przedmiot działalności B. Zgodnie z art. 105a ust. 4, 5 i 6 Prawa bankowego (w brzmieniu obowiązującym od dnia 1 kwietnia 2007 r.) banki oraz instytucje, o których mowa w art. 105 ust. 4, mogą przetwarzać informacje stanowiące tajemnicę bankową dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, bez zgody osoby, której informacje dotyczą, dla celów stosowania metod statystycznych, o których mowa w art. 128 ust. 3. Przetwarzanie informacji stanowiących tajemnicę bankową w przypadkach, o których mowa w ust. 3, może być wykonywane przez okres nie dłuższy niż 5 lat od dnia wygaśnięcia zobowiązania, a w przypadku, o którym mowa w ust. 4, przez okres 12 lat od dnia wygaśnięcia zobowiązania. Zakres przetwarzanych informacji, o których mowa w ust. 3 i 4, może obejmować dane dotyczące osoby fizycznej lub dane dotyczące zobowiązania. Zagadnienie przetwarzania przez B. danych osobowych kredytobiorców bez ich zgody dla celów stosowania metod statystycznych było przedmiotem rozważań sądów administracyjnych. W wyroku z dnia 4 grudnia 2008 r., sygn. akt II SA/Wa 917/08 WSA w Warszawie (niepublikowanym) wyraził pogląd, iż art. 105a ust. 4 Prawa bankowego wprowadził samodzielną przesłankę legalizującą przetwarzanie danych osobowych dla celów stosowania metod statystycznych. W innym wyroku z dnia 15 lutego 2008 r., sygn. akt II SA/Wa 1979/07 (niepublikowanym), WSA w Warszawie stwierdził, iż jest możliwe przetwarzanie przez P. oraz B., w oparciu o obowiązujący od dnia 1 kwietnia 2007 r. przepis art. 105a ust. 4 i 5 Prawa bankowego, danych o rachunkach zamkniętych bez zgody osoby, której dane dotyczą, dla celów stosowania metod statystycznych. Rozpoznając skargę kasacyjną od powyższego wyroku (wyrok oddalający skargę kasacyjną z dnia 7 maja 2009 r., sygn. akt. I OSK 674/08 – niepublikowany) NSA stwierdził, iż "(...) w stanie prawnym obowiązującym w dacie wydania zaskarżonej decyzji B. było uprawnione do przetwarzania uzyskanych danych osobowych dla celów statystycznych bez uzyskania zgody osoby zainteresowanej. Wynika to z art. 105a ust. 4 w związku z art. 128 tej ustawy i art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych. Zgodnie z tym przepisem zarówno banki jak i instytucje utworzone na podstawie art. 105a ust. 4 Prawa bankowego (a więc i B.) mogą przetwarzać informacje stanowiące tajemnicę bankową dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, bez zgody osoby, której informacje dotyczą, dla stosowania metod statystycznych, o których mowa w art. 128 ust. 3. Z żadnego przepisu nie wynika, by powyższy przepis dotyczył wyłącznie informacji uzyskanych tylko w tym celu". Ocena prawna wyrażona w powyższym uzasadnieniu wyroku pozostaje aktualna na gruncie niniejszej sprawy i Sąd orzekający w pełni podziela zaprezentowany pogląd. Skoro zatem przepis art. 105a ust. 4 Prawa bankowego daje B. prawo do przetwarzania danych osobowych dla celów stosowania metod statystycznych bez zgody osoby zainteresowanej (sankcjonuje gromadzenie danych tylko do tego zbioru), to nie może w sprawie mieć istotnego znaczenia fakt, że dane skarżącego zostały omyłkowo przekazane do B. jako dłużnika "nierzetelnego" i niezwłocznie po stwierdzeniu nieprawidłowości usunięte ze zbioru danych dłużników. Zakres danych, które może przetwarzać B., został precyzyjnie określony w § 3 rozporządzenia Ministra Finansów z dnia 27 marca 2007 r. w sprawie szczegółowego zakresu przetwarzanych informacji dotyczących osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów oraz trybu usuwania tych informacji (Dz. U. Nr 56, poz. 373). Obejmuje on: 1) dane dotyczące osoby fizycznej: imiona i nazwisko, nazwisko rodowe, imiona rodziców, nazwisko panieńskie matki, datę i miejsce urodzenia, płeć, obywatelstwo, stan cywilny, tytuł prawny do zajmowanego lokalu, adres zamieszkania, adres zameldowania na pobyt stały lub czasowy, aktualny adres pobytu czasowego inny niż adres zamieszkania lub zameldowania, adres do korespondencji, serię i numer dowodu osobistego lub innego dokumentu potwierdzającego tożsamość, numer PESEL, numer NIP, miejsce pracy, zawód, wykształcenie, formę zatrudnienia, dochody i wydatki, liczbę osób w gospodarstwie domowym, ustrój majątkowy małżonków; 2) dane dotyczące zobowiązania: źródło zobowiązania, kwotę i walutę, numer i stan rachunku prowadzonego w banku lub innej instytucji ustawowo upoważnionej do udzielania kredytów, nazwę i adres siedziby/oddziału banku lub innej instytucji ustawowo upoważnionej do udzielania kredytów, datę powstania zobowiązania, warunki spłaty zobowiązania, ustanowione zabezpieczenia prawne, przebieg realizacji zobowiązania, stan zadłużenia z tytułu zobowiązania na dzień wygaśnięcia zobowiązania, datę wygaśnięcia zobowiązania, przyczyny niewykonania zobowiązania lub dopuszczenia się zwłoki, o której mowa w art. 105a ust. 3 ustawy, przyczyny wygaśnięcia zobowiązania. Analiza powołanego przepisu prowadzi do wniosku, iż zakres danych gromadzonych przez B. jest szeroki, a prawo gromadzenia tych danych nie zostało ograniczone podmiotowo tylko do nierzetelnych kredytobiorców, ale dotyczy wszystkich kredytobiorców. Podkreślenia wymaga, iż dane osobowe skarżącego jako dobro prawem chronione, stanowiące tajemnicę bankową i przedmiot ochrony ustawy o ochronie danych osobowych, nie mogą być przetwarzane w innym celu jak tylko do stosowania metod statystycznych do obliczania wymogów kapitałowych. W zaistniałym stanie faktycznym i prawnym zarzuty skargi należało uznać za niezasadne. Generalny Inspektor Ochrony Danych Osobowych prawidłowo zastosował przepisy prawa materialnego, wydał zaskarżoną decyzję przestrzegając trybu określonego przepisem art. 54 § 3 ustawy – Prawo o postępowaniu przed sądami administracyjnymi i oparł swe rozstrzygnięcie na podstawie ustaleń dokonanych w postępowaniu wyjaśniającym przeprowadzonym z poszanowaniem reguł procesowych. Mając powyższe na uwadze, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 ustawy – Prawo o postępowaniu przed sądami administracyjnymi orzekł, jak w sentencji.