II SA/Wa 461/16

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodnicząca Sędzia WSA Anna Mierzejewska (sprawozdawca), Sędziowie WSA Eugeniusz Wasilewski, Andrzej Góraj, Protokolant specjalista Marek Kozłowski, po rozpoznaniu na rozprawie w dniu 28 lipca 2016 r. sprawy ze skargi [...] Bank [...] S. A. z siedzibą w W. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] stycznia 2016 r. nr [...] w przedmiocie ochrony danych osobowych – oddala skargę – II SA/Wa 461/16 UZASADNIENIE Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia [...] stycznia 2015 r. na podstawie art. 138 § 1 pkt l ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2013 r., poz. 267 ze zm.), art. 12 pkt 2, art. 22 art. 23 ust. 1 pkt 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2015 r., poz. 2315 ze zm.) w związku z art. 105 ust. 4 oraz art. 105a ust. 3 i 4 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz. U. 2012 r. poz. 1376 ze zm.), po przeprowadzeniu postępowania administracyjnego w sprawie wniosku [...] S. A. z siedzibą w W. przy ul. [...] 0 ponowne rozpatrzenie sprawy zakończonej decyzją Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] lipca 2015 r. (znak:[...]) w sprawie skargi Pana R. K. zam. przy ul. [...] w W. na przetwarzanie jego danych osobowych przez [...] S. A. oraz udostępnienie ich Biuru Informacji Kredytowej S. A. , utrzymał w mocy zaskarżoną decyzję. W uzasadnieniu decyzji podał, że do Biura Generalnego Inspektora Ochrony Danych Osobowych wpłynęła skarga R. K. na przetwarzanie jego danych osobowych przez [...] SA z siedzibą w W. w tym na ich udostępnienie w Biurze Informacji Kredytowej SA z siedzibą w W. przy ulicy [...]. Ze skargi wynikało, że Skarżący pozostaje w przekonaniu, że żadne pismo zawierające oświadczenie o zamiarze przetwarzania jego danych osobowych w rejestrze BIK, nie trafiło do rąk adresata i wniósł o nakazanie zaprzestania przetwarzania jego danych osobowych. W toku postępowania GIODO ustalił, że skarżący w dniu [...] czerwca 2006 r. zawarł z Bankiem umowę kredytową. Następnie powstało zadłużenie. Opóźnienie w spłacie wyniosło ponad 60 dni. Powyższa umowa została zamknięta w dniu [...] sierpnia 2011 r. W wyjaśnieniach Bank podał, że dane osobowe skarżącego zostały zebrane w związku z zawartymi umowami o produkty bankowe w tym powołaną umową i wydaniem karty kredytowej. Dane osobowe skarżącego w zakresie imion, nazwiska, imion rodziców, nazwiska panieńskiego matki, płci, daty i miejsca urodzenia, numeru PESEL, adresu zamieszkania, adresu korespondencyjnego, typu i numeru dowodu osobistego oraz numeru telefonu są przetwarzane w celu oceny zdolności i wiarygodności kredytowej skarżącego w zbiorze danych o nazwie "Baza Klientów Banku [...]". W związku z zaległościami w spłacie zobowiązania Bank skierował do skarżącego zawiadomienie wysłane listem zwykłym w dniu 15 maja 2010 r. o zamiarze przetwarzania danych po wygaśnięciu umowy, bez jego zgody, zgodnie z art. 105 ust 3 ustawy Prawo bankowe. Następnie Bank wyjaśnił, iż ww rachunek ma obecnie status rachunku zamkniętego odzyskanego i przetwarzany jest w celu oceny zdolności kredytowej i analizy ryzyka kredytowego na podstawie art. 105 a ust 3 w zw z art. 105 ust 4 upb, oraz w celu stosowania metod statystycznych na podstawie art. 105 a ust 4 i 5 upb. Po przeprowadzeniu postępowania wyjaśniającego GIODO w dniu [...] lipca 2015 r. wydał decyzję administracyjną, którą nakazał Bankowi przywrócenie stanu zgodnego z prawem i zaprzestanie przetwarzania danych osobowych skarżącego w systemie BIK SA w trybie określonym w art. 105a ust 3 upb w związku z umową kredytową [...] z dnia [...] czerwca 2006 r. W stosunku do decyzji został zgłoszony wniosek o ponowne rozpatrzenie sprawy w którym wskazano, że wobec zadłużenia w spłacie powyżej 60 dni, w dniu [...] maja 2010 r., zostało wysłane zgodnie z obowiązującym wzorem, pismo informujące o powstaniu zadłużenia oraz stanowiące wezwanie do zapłaty w terminie 30 dni pod rygorem przetwarzania informacji stanowiących tajemnicę bankową po wygaśnięciu zobowiązania bez zgody klienta. Wobec tego, że klient nie uiścił zaległej kwoty, Bank zyskał prawo do przetwarzania jego danych. Ponadto wskazano na naruszenie art. 107 § 3 kpa , oraz art. 75 § 1 kpa. Po rozpoznaniu powyższego wniosku w decyzji z dnia [...] stycznia 2015 r. utrzymującej w mocy decyzję z [...] lipca 2015 r. GIODO podał, że BIK SA jest podmiotem utworzonym na podstawie art. 105 ust 4 upb. Informacje zawarte w BIK SA mają służyć wypełnianiu przez banki, jako instytucje zaufania publicznego, ich ustawowych obowiązków związanych z koniecznością dokładania szczególnej staranności w zakresie zapewnienia bezpieczeństwa przechowywanych środków pieniężnych, czyli w zakresie ochrony depozytów (art. 50 ust 2 upb), a także koniecznością należytego badania zdolności kredytowej, od której istnienia, zgodnie z art. 70 ust 1 upb, bank uzależnia udzielenie kredytu. Zgodnie z art. 105 a ust 1 w zw z art. 105 a ust 3 upb, podmioty utworzone na podstawie art. 105 ust 4 upb, mogą przetwarzać informacje, stanowiące tajemnicę bankową dotyczącą osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem bez zgody osoby której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank o zamiarze przetwarzania dotyczących jej informacji stanowiących tajemnicę bankową, bez jej zgody. Obowiązek poinformowania osoby fizycznej o zamiarze przetwarzania jej danych osobowych, bez jej zgody na podstawie art. 105a ust 3 upb jest przesłanką warunkującą możliwość tego rodzaju przetwarzania danych osobowych w związku z czym jej wykazanie spoczywa na podmiocie, którym zamierza przetwarzać dane osobowe w zakresie tajemnicy bankowej w ww trybie. Zgodnie z art. 105 a ust 4 Prawa bankowego, banki oraz instytucje o których mowa w art. 105 ust 4 mogą przetwarzać informacje stanowiące tajemnicę bankową dotyczącą osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, bez zgody osoby, której informacje dotyczą dla stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 575/2013 z dnia 26 czerwca 2013 w w sprawie wymogów ostrożnościowych dla instytucji kredytowych i firm inwestycyjnych, zmieniające rozporządzenie (UE)nr 468/2012 (Dz.Urz.UE.L 176 z 27 06 2013 r str 1 ze zm). Dalej GIODO podał, że ekstrakt pliku wygenerowanego z aplikacji [...] oraz zrzut ekranu zawierającego datę skierowania dla skarżącego pisma stanowi jedynie oświadczenie strony, a nie jak podnosi Bank, potwierdzenie prawidłowego poinformowania skarżącego w rozumieniu art. 105 a ust3 upb. Podany dokument został wygenerowany przez bank i nie stanowi dokumentu urzędowego, a okoliczności w nim opisane nie zostały potwierdzone przez skarżącego. W ocenie GIODO ww pismo jest jedynie elementem oświadczenia banku, które jest sprzeczne z oświadczeniem złożonym przez skarżącego. Wobec czego Bank nie przedstawił dowodu prawidłowego doręczenia skarżącemu tego dokumentu i okoliczności tej nie można uznać za udowodnioną. Organ podkreślił, że udowodnienie wysłania pisma nie jest równoznaczne z udowodnieniem jego prawidłowego doręczenia skutkującego poinformowaniem skarżącego o zamiarze przetwarzania danych stanowiących tajemnicę bankową, bez jego zgody na podstawie art. 105 a ust 3 upb. Do informującego należy wybór formy poinformowania odbiorcy o zamiarze przetwarzania danych osobowych bez jego zgody. W konkluzji GIODO podkreślił, że Bank nie wykazał spełnienia przesłanki uprawniającej go do przetwarzania danych osobowych skarżącego na podstawie art. 105a ust. 3 upb. Powyższa decyzja stała się przedmiotem skargi [...] S. A. z siedzibą w W. wniesionej do Wojewódzkiego Sądu Administracyjnego w Warszawie. Skarżąca zarzuciła decyzji naruszenie: 1) przepisów postępowania, mających istotny wpływ na wynik sprawy, to jest art. 75 § 1 k.p.a., poprzez nieprzeprowadzenie dowodu z dokumentacji przedłożonej do akt sprawy przez [...] S.A. (dalej także "[...] S.A.") w tym w szczególności ze wzoru dokumentu, który kierowany był do klientów Banku w związku z realizacją obowiązku wynikającego z art. 105a ust. 3 ustawy Prawo bankowe oraz z ekstraktu z pliku wygenerowanego z aplikacji bankowej [...], podczas gdy przeprowadzenie dowodu z tychże dokumentów umożliwiłoby prawidłowe ustalenie, że R. K. był skutecznie i prawidłowo zawiadomiony przez [...] S.A. o możliwości przetwarzania należących do niego danych osobowych na podstawie art. 105a ust. 3 ustawy Prawo bankowe, a w konsekwencji wydanie decyzji administracyjnej w oparciu o niekompletny materiał dowodowy w sprawie; 2) naruszenie przepisów postępowania, mające istotny wpływ na wynik sprawy, tj. art. 7, 77 § 1, oraz art. 80 k.p.a., poprzez przekroczenie granic swobodnej oceny dowodów - dowolną ocenę zebranego w sprawie materiału dowodowego, to jest błędne przyjęcie, iż złożone przez R. K. dokumenty i oświadczenia są wystarczające do przyjęcia, że [...] S.A. przetwarza należące do niego dane osobowe w sposób sprzeczny z dyspozycją art. 105a ust. 3 ustawy Prawo bankowe, 3) naruszenie art. 107 k.p.a., poprzez niedokonanie w uzasadnieniu decyzji analizy i oceny całokształtu materiału dowodowego, 4) obrazę przepisów postępowania tj. naruszenie art. 8 k.p.a. i 107 § 3 k.p.a., poprzez nienależyte uzasadnienie zaskarżonej decyzji z uwagi na zawarcie w nim zbyt ogólnych stwierdzeń, brak precyzyjnego wyjaśnienia podstawy faktycznej i prawnej tej decyzji, co uniemożliwia właściwe zapoznanie się z motywami działania organu administracji, zrozumienie tych motywów, a w rezultacie ustosunkowanie się do nich w rzeczowy i wyczerpujący sposób, co uniemożliwia realizację zasady pogłębiania zaufania obywateli do organów państwa. Bank wniósł o uchylenie zaskarżonej decyzji oraz poprzedzającej ją decyzji z dnia [...] lipca 2015 r. i zasądzenie kosztów postępowania. W odpowiedzi na skargę organ wniósł o jej oddalenie podtrzymując swoje dotychczasowe argumenty faktyczne i prawne. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje. Zgodnie z brzmieniem art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (tekst jedn. Dz. U. z 2014 r., poz. 1647), sąd administracyjny sprawuje wymiar sprawiedliwości poprzez kontrolę pod względem zgodności z prawem zaskarżonej decyzji administracyjnej i to z przepisami obowiązującymi w dacie jej wydania. Oznacza to, iż sąd administracyjny kontroluje legalność rozstrzygnięcia zapadłego w postępowaniu z punktu widzenia jego zgodności z obowiązującymi przepisami prawa. Rozpatrywana pod tym kątem skarga [...] S. A. nie zasługuje na uwzględnienie. Rozważania należy rozpocząć od stwierdzenia, że zadaniem ustawy 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jedn. Dz. U. z 2014 r., poz. 1182 ze zm.) nie jest jedynie stanie na straży interesów tych, których przetwarzane dane osobowe dotyczą. Naczelną zasadą ustawy nie jest też zakaz przetwarzania danych osobowych, lecz przestrzeganie zakresu i trybu ich przetwarzania. Powyższa ustawa w art. 1 stwierdza bowiem, że dane osobowe mogą być przetwarzane, jeżeli służy to dobru publicznemu, dobru osoby, której dane dotyczą lub dobru osób trzecich. Ochrona danych osobowych, na podstawie przepisów powołanej ustawy, nie powinna być oderwana od przepisów służących ochronie innych wartości. Stosownie do treści art. 7 pkt 2 cytowanej ustawy, przez przetwarzanie danych osobowych rozumie się jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych. Z kolei w art. 23 § 1 ustawy zostały wymienione przesłanki legalizujące przetwarzanie danych osobowych. Zgodnie z treścią tego przepisu przetwarzanie danych jest dopuszczalne tylko wtedy, gdy: 1) osoba, której dane dotyczą, wyrazi na to zgodę, chyba że chodzi o usunięcie dotyczących jej danych, 2) jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa, 3) jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą, 4) jest niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego, 5) jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Cytowany powyżej przepis ustawy określa ogólne materialne przesłanki przetwarzania danych osobowych. Przesłanki te mają charakter generalny, odnoszą się do wszelkich form przetwarzania danych, w tym zarówno do przetwarzania "na własne potrzeby" administratora, jak i "na zewnątrz". Są one co do zasady równoprawne, mają charakter autonomiczny i niezależny, co oznacza, że wystarczy wystąpienie jednej z nich, by przetwarzanie danych mogło być uznane za usprawiedliwione. Oznacza także, że zgoda osoby, której dane dotyczą, nie jest wyłączną przesłanką przetwarzania danych osobowych, (por. J. Barta, P. Fajgielski, R. Markiewicz "Ochrona danych osobowych. Komentarz.", publ. LEX nr 106659, wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 19 lipca 2007 sygn. akt II SA/Wa 678/07, publ. LEX nr 368229). Zgodnie z art. 105 ust. 4 ustawy z dnia 27 sierpnia 1997 r. - Prawo bankowe (tekst jedn. Dz. U. z 2015 r., poz. 128). Banki mogą, wspólnie z bankowymi izbami gospodarczymi, utworzyć instytucje upoważnione do gromadzenia, przetwarzania i udostępniania: 1) bankom - informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych oraz w zw. ze stosowaniem metod statystycznych, o których mowa w art. 128 ust. 3 oraz w art. 128d ust. 1; 2) innym instytucjom ustawowo upoważnionym do udzielania kredytów - informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są niezbędne w związku z udzielaniem kredytów pożyczek pieniężnych, gwarancji bankowych i poręczeń; 3) instytucjom kredytowym - informacji stanowiących tajemnicę bankową w zakresie niezbędnym do oceny zdolności kredytowej konsumenta, o której mowa w art. 9 ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim. Stosownie zaś do art. 105a cytowanej ustawy, przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów oraz instytucje utworzone na podstawie art. 105 ust. 4, informacji stanowiących tajemnicę bankową w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem art. 104, art. 105 i art. 106-106c, w celu oceny zdolności kredytowej i analizy ryzyka kredytowego (ust. 1). Instytucje, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank lub inną instytucję ustawowo upoważnioną do udzielania kredytów o zamiarze przetwarzania dotyczących jej informacji stanowiących tajemnicę bankową, bez jej zgody (ust. 3). Banki oraz instytucje, o których mowa w art. 105 ust. 4, mogą przetwarzać informacje stanowiące tajemnicę bankową dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, bez zgody osoby, której informacje dotyczą, dla celów stosowania metod statystycznych, o których mowa w art. 128 ust. 3 (ust 4.). W rozpoznawanej sprawie Generalny Inspektor Ochrony Danych Osobowych nakazał skarżącemu Bankowi zaprzestania przetwarzania danych osobowych R. K. będącego Klientem tego Banku. Organ doszedł bowiem do przekonania, że Bank nie wykazał, że dopełnił wymaganego w cyt. Powyżej art. 105 a ust. 3 ustawy Prawo bankowe obowiązku poinformowania R. K. o zamiarze przetwarzania dotyczących go informacji stanowiących tajemnicę bankową w zakresie jego rachunku bankowego, bez jego zgody. W ocenie Sądu stanowisko to jest prawidłowe. W aktach administracyjnych brak jest bowiem dowodów wskazujących na fakt, że Bank poinformował swojego Klienta o zamiarze przetwarzania powyższych danych. Nie zasługują w tym zakresie na uwzględnienie zarzuty skargi dotyczące przeprowadzonego postępowania dowodowego. Przedstawione przez skarżący Bank dokumenty (wzór zawiadomienia kierowanego do klientów w sprawie opóźnień, zrzut z ekranu pliku z aplikacji [...],) zostały ocenione przez organ w trakcie postępowania administracyjnego, ale nie wynika z nich fakt wykonania przez Bank w stosunku do R. K. obowiązku informacyjnego. Zgodzić się należy z organem, iż Bank nie przedstawił dowodu skutecznego doręczenia R. K. spornej korespondencji ani dowodu jej nadania, bowiem za fakt nie może zostać uznany niespersonalizowany wzór dokumentu oraz ekstrakt z pliku wygenerowanego z aplikacji bankowej [...] w tym zakresie samo oświadczenie Banku, jak i wzoru pisma kierowanego do Klientów – jak twierdzi Bank również do skarżącego, jest niewystarczające. Konsekwencją powyższych stwierdzeń jest to, że również pozostałe zarzuty, podniesione przez skarżący Bank, dotyczące błędnie i częściowo ustalonego stanu faktycznego oraz niewyczerpującego uzasadnienia zapadłego rozstrzygnięcia w sprawie, są niezasadne. W ocenie Sądu organ prawidłowo ustalił stan faktyczny w sprawie, dopuszczając jako dowód wszelkie oświadczenia i dowody przedstawione przez skarżący Bank, ocenił je i wydał rozstrzygnięcie odpowiadające prawu. Dlatego też skarga jako niezasadna podlega oddaleniu. Mając powyższe na uwadze, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (tekst jednolity Dz. U. z 2016 r., poz. 718 ze zm.), orzekł jak w sentencji.