II SA/Wa 539/10

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Jacek Fronczyk (spr.), Sędziowie WSA Iwona Dąbrowska, Eugeniusz Wasilewski, Protokolant Łukasz Mazur, po rozpoznaniu na rozprawie w dniu 29 lipca 2010 r. sprawy ze skargi M. K. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] stycznia 2010 r. nr [...] w przedmiocie ochrony danych osobowych 1) uchyla zaskarżoną decyzję oraz poprzedzającą ją decyzję z dnia [...] września 2009 r. nr [...]; 2) zaskarżona decyzja nie podlega wykonaniu w całości; 3) zasądza od Generalnego Inspektora Ochrony Danych osobowych na rzecz skarżącego M. K. kwotę [...], tytułem zwrotu kosztów postępowania. Decyzją z dnia [...] września 2009 r. nr [...] Generalny Inspektor Ochrony Danych Osobowych, mając za podstawę art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. – Kodeks postępowania administracyjnego (t. j.: Dz. U. z 2000 r. Nr 98, poz. 1071 ze zm.), art. 12 pkt 2, art. 22 w związku z art. 23 ust. 1 pkt 2, 3 i 5 oraz art. 31 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t. j.: Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.) w związku z art. 6a ust. 2 ustawy z dnia 29 sierpnia 1997 r. – Prawo bankowe (t. j.: Dz. U. z 2002 r. Nr 72, poz. 665 ze zm.), po przeprowadzeniu postępowania administracyjnego w sprawie przetwarzania danych osobowych, odmówił uwzględnienia wniosku M. K. W motywach decyzji organ wyjaśnił, że M. K. zwrócił się ze skargą do GIODO na przekazanie jego danych osobowych K. S.A. z siedzibą w W. przez [...] Bank S.A. z siedzibą w W. W uzasadnieniu skargi zakwestionował on istnienie swojego zadłużenia wobec [...] Bank S.A. i w związku z tym poddał w wątpliwość legalność udostępnienia przez [...] Bank S.A. jego danych osobowych K. S.A., wnosząc o przywrócenie stanu zgodnego z prawem, poprzez usunięcie uchybień, tj. "cofnięcie spółce K. S.A. z siedzibą w W. zgody na przetwarzanie moich danych osobowych". Wnioskodawca wskazał, iż dokonał wcześniejszej spłaty całości kredytu zaciągniętego w [...] Bank S.A., jak również odwołał zgodę na przetwarzanie przez [...] Bank S.A. oraz podmioty związane z nim umową, za pośrednictwem których realizuje umowy, jego danych osobowych oraz danych stanowiących tajemnicę bankową, również po wygaśnięciu zobowiązań, wynikających ze wszystkich umów zawartych dotychczas z [...] Bank S.A., jednak nadal otrzymywał od ww. Banku informacje o posiadanym przez niego zadłużeniu, a ostatecznie – pismo z [...] K. S.A., stanowiące wezwanie do zapłaty powstałej wobec [...] Banku S.A. zaległości. Generalny Inspektor Ochrony Danych Osobowych stwierdził, iż na podstawie zgromadzonego w sprawie materiału dowodowego badaniu podlegała jedynie ocena legalności przetwarzania danych osobowych M. K., nie zaś kwestia istnienia lub nieistnienia wierzytelności, czy też słuszności i zakresu podnoszonych przez [...] Bank S.A. roszczeń cywilnoprawnych wobec wnioskodawcy, bowiem takie sprawy powinny być rozpatrywane w postępowaniach prowadzonych przez sądy powszechne. GIODO podkreślił, że przetwarzanie danych osobowych jest zgodne z prawem jedynie wówczas, gdy administrator danych legitymuje się posiadaniem co najmniej jednej, spośród wymienionych w art. 23 ust. 1 pkt 1 – 5 ustawy o ochronie danych osobowych, materialnych przesłanek dopuszczalności takiego przetwarzania, przy czym każda z nich ma charakter autonomiczny. Zdaniem organu, przetwarzanie przez [...] Bank S.A. danych osobowych M. K. znajduje prawne uzasadnienie w art. 23 ust. 1 pkt 2, 3 oraz 5 cyt. ustawy. Zgodnie bowiem z art. 6a ust. 2 ustawy – Prawo bankowe, bank może, w drodze umowy zawartej na piśmie, powierzyć przedsiębiorcy lub przedsiębiorcy zagranicznemu wykonywanie czynności faktycznych związanych z działalnością bankową. Stosownie zaś do treści art. 31 ust. 1 ustawy o ochronie danych osobowych, administrator danych może powierzyć innemu podmiotowi, w drodze umowy zawartej na piśmie, przetwarzanie danych. Przepisy te, w ocenie GIODO, dają podstawę do powierzenia, na podstawie umowy, wykonywania określonego rodzaju czynności innemu podmiotowi, ale również do udostępnienia mu – w tym celu – danych osobowych osób, wobec których działania te mają być wykonywane. Na podstawie umowy o obsługę wierzytelności, zawartej w dniu [...] 2009 r., [...] Bank S.A. zlecił K. S.A. obsługę dochodzenia wymaganej od M. K. należności, czyniąc ją równocześnie podmiotem, o którym mowa w art. 31 ust. 1 ustawy o ochronie danych osobowych. Organ podkreślił również, iż dla realizacji uprawnienia, o którym mowa w art. 6a ustawy – Prawo bankowe, konieczne jest przekazanie podmiotowi, któremu powierzono wykonywanie czynności w tym zakresie, danych osobowych dłużników, od których ma on dochodzić należności. Przekazanie (udostępnienie) danych osobowych wnioskodawcy Spółce K. S.A. przez [...] Bank S.A. nastąpiło zatem, w ocenie GIODO, w związku z realizacją przysługującego temu bankowi uprawnienia wynikającego z przepisów prawa – art. 23 ust. 1 pkt 2 oraz art. 31 ust. 1 ustawy o ochronie danych osobowych. Odnosząc się natomiast do drugiej ze wskazanych przesłanek legalnego przetwarzania danych osobowych M. K. przez [...] Bank S.A., Generalny Inspektor Ochrony Danych Osobowych wskazał, iż zawarta pomiędzy Bankiem a stroną umowa kredytowa nie stanowiła jedynie o prawach i obowiązkach wnioskodawcy, ale również o ściśle skorelowanych z nimi uprawnieniach Banku, w szczególności o możliwości podjęcia wobec M. K., w przypadku niewywiązywania się przez niego z warunków zawartej umowy, czynności egzekucyjnych. Realizując zatem postanowienia ww. umowy, której wnioskodawca jest stroną i która nie wygasła z chwilą dokonania przez niego wcześniejszej spłaty kredytu, albowiem nie objęła ona całości należnej kwoty, Bank uprawniony był do przekazania danych osobowych M. K. podmiotowi dokonującemu, na zlecenie Banku, czynności windykacyjnych. Organ podał, iż zgodnie z art. 23 ust. 4 pkt 2 ustawy o ochronie danych osobowych, za prawnie usprawiedliwiony cel, o którym mowa w art. 23 ust. 1 pkt 5 tej ustawy, uważa się w szczególności dochodzenie roszczeń z tytułu prowadzonej działalności gospodarczej. Spółka K. S.A. prowadzi na zlecenie [...] Bank S.A. działania zmierzające do dochodzenia przysługujących mu roszczeń, zatem przekazanie danych osobowych M. K. Spółce K. S.A. związane było z podjęciem wobec niego czynności w zakresie uregulowania posiadanych przez niego zaległości wobec Banku, a zatem w prawnie usprawiedliwionym celu. GIODO stwierdził ponadto, że bez znaczenia dla przedmiotowej sprawy pozostaje podnoszona przez wnioskodawcę okoliczność odwołania przez niego zgody na przetwarzanie jego danych osobowych przez [...] Bank S.A. i współpracujące z nim podmioty. We wniosku o ponowne rozpatrzenie sprawy M. K. wyraził niezadowolenie z powyższej decyzji i wniósł o jej uchylenie, ewentualnie o jej uchylenie oraz zawieszenie postępowania. Wskazał, iż Generalny Inspektor Ochrony Danych Osobowych a priori założył, że zobowiązanie wnioskodawcy wobec [...] Banku S.A. istnieje i z tych też względna w przetwarzanie przez ten Bank jego danych osobowych znajduje prawne uzasadnienie w art. 23 ust. 1 pkt 2, 3 i 5 ustawy o ochronie danych osobowych. W jego ocenie, organ przekroczył swoje kompetencje, bowiem rozstrzygnął zagadnienie wstępne, które – jak sam wskazuje – powinno być rozpatrywane przez sąd powszechny. M. K. podkreślił, iż w związku z powyższym, GIODO powinien był zawiesić postępowanie do czasu rozstrzygnięcia kwestii istnienia lub nieistnienia jego zadłużenia przez sąd powszechny. Poinformował, iż w dniu [...] września 2009 r. wniósł do Sądu Rejonowego [...] pozew w tej sprawie. Decyzją z dnia [...] stycznia 2010 r. nr [...] Generalny Inspektor Ochrony Danych Osobowych, działając na podstawie art. 138 § 1 pkt 1 kpa w związku z art. 12 pkt 2, art. 22, art. 23 ust. 1 pkt 2, 3 i 5 oraz art. 31 ustawy o ochronie danych osobowych w związku z art. 6a ust. 2 ustawy – Prawo bankowe, utrzymał zaskarżoną decyzję w mocy, nie znajdując podstaw do uwzględnienia wniosku i podzielając zajęte poprzednio stanowisko. Podkreślił ponadto, iż umowa o udzielenie kredytu gotówkowego, zawarta pomiędzy M. K. a [...] Bankiem S.A., na dzień rozstrzygania przez organ, była umową obowiązującą, albowiem zgodnie z wyjaśnieniami Banku, wnioskodawca nie dokonał jego pełnej spłaty. Zdaniem GIODO, M. K. wprawdzie podnosił, iż kwestionuje zasadność dochodzonego od niego roszczenia, jednakże na moment wydania zaskarżonej decyzji ważność tej umowy nie została sądownie podważona. Organ podał, iż zgodnie z jego wiedzą, na dzień wydania niniejszej decyzji wyrok taki również nie zapadł. W skardze do Wojewódzkiego Sądu Administracyjnego w Warszawie na powyższą decyzję M. K. podtrzymał krytyczną ocenę stanowiska GIODO, prezentowaną we wniosku o ponowne rozpatrzenie sprawy. Zarzucił organowi naruszenie przepisów prawa materialnego, tj. art. 23 ust. 1 pkt 2, 3 i 5 i art. 31 ustawy o ochronie danych osobowych w związku z art. 6a ust. 2 ustawy – Prawo bankowe, poprzez błędne ich zastosowanie i uznanie, że nie doszło do naruszenia podstaw legalnego przetwarzania danych osobowych, oraz naruszenie przepisów postępowania, tj. art. 7, art. 80 i art. 107 § 3 kpa, poprzez ograniczenie postępowania dowodowego, co wpłynęło z kolei na błędne ustalenie okoliczności faktycznych sprawy. Wskazując na powyższe, skarżący wniósł o uchylenie obu wydanych w sprawie decyzji oraz o zasądzenie kosztów postępowania. M. K. podkreślił, iż rozstrzygnięcie niniejszej sprawy zależało od ustalenia faktu istnienia bądź nieistnienia zobowiązania wynikającego z umowy o udzielenie kredytu gotówkowego, zawartej pomiędzy nim a [...] Bankiem S.A., zatem GIODO powinien był zawiesić postępowanie do czasu rozstrzygnięcia tej kwestii przez sąd powszechny. Skarżący zaznaczył, iż informował organ o wniesieniu pozwu w tym przedmiocie do Sądu Rejonowego [...], zaś wyrokiem z dnia [...] grudnia 2009 r. o sygn. akt [...] Sąd ten ustalił, że zobowiązanie M. K. względem [...] Banku S.A., wynikające z umowy kredytu z dnia [...] 2006 r. o nr [...], wygasło z dniem [...] lutego 2007 r. Skarżący dołączył do akt sprawy odpis ww. wyroku, informując, że z uwagi na fakt, iż w dacie wniesienia skargi nie miał potwierdzenia, iż orzeczenie to jest prawomocne, złożył stosowny wniosek o wydanie odpisu wyroku ze stwierdzeniem jego prawomocności. W odpowiedzi na skargę Generalny Inspektor Ochrony Danych Osobowych wniósł o jej oddalenie, przytaczając w uzasadnieniu swego stanowiska procesowego argumentację, jakiej użył w zaskarżonej decyzji. Dodatkowo wyjaśnił, że skarżący nie wykazał, by istniał prawomocny wyrok, ustalający nieistnienie jego zobowiązania wobec [...] Banku S.A. Przy piśmie procesowym z dnia [...] kwietnia 2010 r. skarżący przekazał do Sądu odpis wyroku Sądu Rejonowego [...] z dnia [...] grudnia 2009 r. o sygn. akt [...] ze stwierdzeniem jego prawomocności. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Stosownie do treści art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (Dz. U. Nr 153, poz. 1269 ze zm.), sąd administracyjny sprawuje wymiar sprawiedliwości poprzez kontrolę pod względem zgodności z prawem zaskarżonej decyzji administracyjnej i to z przepisami obowiązującymi w dacie jej wydania. Innymi słowy, sąd administracyjny kontroluje legalność rozstrzygnięcia zapadłego w postępowaniu z punktu widzenia jego zgodności z prawem materialnym i obowiązującymi przepisami prawa procesowego. Skarga analizowana pod tym kątem zasługuje na uwzględnienie. Zgodnie z art. 145 § 1 pkt 1 lit. "b" ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. Nr 153, poz. 1270 ze zm.), sąd, uwzględniając skargę na decyzję, uchyla ją w całości albo w części, jeżeli stwierdzi naruszenie prawa, dające podstawę do wznowienia postępowania administracyjnego. Oznacza to, że w razie wystąpienia w sprawie jednej z przesłanek wznowieniowych, określonych w przepisach ustawy z dnia 14 czerwca 1960 r. – Kodeks postępowania administracyjnego (t. j.: Dz. U. z 2000 r. Nr 98, poz. 1071 ze zm.), sąd administracyjny jest zobligowany do wydania rozstrzygnięcia, o którym mowa w art. 145 § 1 pkt 1 lit. "b" ustawy – Prawo o postępowaniu przed sądami administracyjnymi. Stosownie natomiast do treści art. 145 § 1 pkt 7 Kodeksu postępowania administracyjnego, w sprawie zakończonej decyzją ostateczną wznawia się postępowanie, jeżeli zagadnienie wstępne zostało rozstrzygnięte przez właściwy organ lub sąd odmiennie od oceny przyjętej przy wydaniu decyzji (art. 100 § 2 kpa). Jak wynika z poglądów doktryny, istnieją cztery elementy składające się na konstrukcję prawną zagadnienia wstępnego. Należą do nich następujące wymogi: zagadnienie to wyłania się w toku postępowania administracyjnego; jego rozstrzygniecie należy do innego organu lub sądu; wymaga ono "uprzedniego" rozstrzygnięcia, tzn. musi poprzedzać rozpatrzenie sprawy i wydanie decyzji; istnieje zależność między uprzednim rozstrzygnięciem zagadnienia wstępnego a rozpatrzeniem sprawy i wydaniem decyzji (por. G. Łaszczyca, Cz. Martysz, A. Matan, Kodeks postępowania administracyjnego. Komentarz. Tom I, LEX 2007). W myśl art. 97 § 1 pkt 4 kpa, organ administracji publicznej zawiesza postępowanie, gdy rozpatrzenie sprawy i wydanie decyzji zależy od uprzedniego rozstrzygnięcia zagadnienia wstępnego przez inny organ lub sąd. Z kolei w świetle art. 100 § 1 kpa, organ, który zawiesił postępowanie z ww. przyczyny, wystąpi równocześnie do właściwego organu lub sądu o rozstrzygnięcie zagadnienia wstępnego albo wezwie stronę do wystąpienia o to w oznaczonym terminie, chyba że strona wykaże, że już zwróciła się w tej sprawie do właściwego organu lub sądu. Jeżeli zawieszenie postępowania z przyczyny określonej w art. 97 § 1 pkt 4 mogłoby spowodować niebezpieczeństwo dla życia lub zdrowia ludzkiego albo poważną szkodę dla interesu społecznego, organ administracji publicznej załatwi sprawę, rozstrzygając zagadnienie wstępne we własnym zakresie (§ 2). Przepis § 2 stosuje się także wówczas, gdy strona mimo wezwania (§ 1) nie wystąpiła o rozstrzygnięcie zagadnienia wstępnego albo gdy zawieszenie postępowania mogłoby spowodować niepowetowaną szkodę dla strony. W tym ostatnim przypadku organ może uzależnić załatwienie sprawy od złożenia przez stronę stosownego zabezpieczenia (§ 3). Podstawą materialnoprawną, na jaką powołał się organ ochrony danych osobowych, uzasadniając legalność przetwarzania przez [...] Bank S.A. danych osobowych skarżącego, jest art. 23 ust. 1 pkt 2, 3 i 5 oraz art. 31 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t. j.: Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.). Biorąc pod uwagę fakt, iż przepisy te (a przede wszystkim art. 23 ust. 1 pkt 3) odnoszą się do konieczności realizacji umowy, zawartej przez osobę, której przetwarzane dane dotyczą, oraz obowiązków z takiej umowy wynikających, kluczowym dla podejmowanego przez organ ochrony danych osobowych rozstrzygnięcia było ustalenie, czy zobowiązanie M. K. względem [...] Banku S.A., wynikające z zawartej w dniu [...] 2006 r. umowy kredytu o nr [...], na dzień wydania decyzji nadal istniało, czy też już wygasło (czy umowa ta została zrealizowana). Ustalenia w tym przedmiocie nie leżały jednak w gestii GIODO, ponieważ – jak słusznie przyznał sam organ – sprawa istnienia lub nieistnienia ww. wierzytelności oraz związana z tym zasadność podnoszonych przez [...] Bank S.A. wobec skarżącego roszczeń cywilnoprawnych, należą do właściwości sądu powszechnego. Niewątpliwie kwestia ta stanowiła zatem zagadnienie wstępne, którego rozstrzygnięcie powinno było poprzedzać rozpatrzenie niniejszej sprawy, zważywszy że o całkowitej spłacie kredytu skarżący informował organ ochrony danych osobowych już od chwili wszczęcia postępowania. W związku z takim oświadczeniem skarżącego, Generalny Inspektor Ochrony Danych Osobowych był więc zobowiązany, zgodnie z art. 97 § 1 pkt 4 kpa, zawiesić z urzędu postępowanie w sprawie i w trybie art. 100 § 1 kpa wezwać M. K. do wystąpienia w oznaczonym terminie do właściwego sądu powszechnego z pozwem o ustalenie istnienia bądź nieistnienia jego zobowiązania względem [...] Banku S.A., wynikającego z zawartej umowy kredytu. Tymczasem GIODO postępowania w sprawie nie zawiesił i – pomimo braku przesłanek do stosowania art. 100 § 2 kpa – organ załatwił sprawę, rozstrzygając zagadnienie wstępne we własnym zakresie, czym naruszył przywołany przepis. Ma to tym większe znaczenie, że na etapie wniosku o ponowne rozpatrzenie sprawy, a więc jeszcze przed wydaniem zaskarżonej decyzji – ostatecznej w administracyjnym toku instancji, skarżący podniósł, iż w dniu [...] września 2009 r. złożył w Sądzie Rejonowym [...] pozew w przedmiotowej kwestii, a więc dodatkowo wykazał (i to bez wezwania) fakt wystąpienia do właściwego Sądu w tej sprawie, wnosząc jednocześnie o zawieszenie postępowania administracyjnego. Naruszenie przez GIODO art. 100 § 2 kpa ma podwójne znaczenie prawne, albowiem organ zastosował ten przepis przy braku przesłanek w nim określonych (tylko w przypadku zaistnienia przesłanek wynikających z tego przepisu, organ administracji publicznej może rozstrzygać zagadnienie wstępne we własnym zakresie), a rozstrzygając zagadnienie wstępne na jego podstawie, przyjął odmienną ocenę, niż uczynił to właściwy sąd powszechny – Sąd Rejonowy [...], który prawomocnym już wyrokiem z dnia [...] grudnia 2009 r. o sygn. akt [...] (a więc zapadłym na ponad miesiąc przed wydaniem zaskarżonej decyzji) ustalił, że zobowiązanie M. K. względem [...] Banku S.A., wynikające z umowy kredytu z dnia [...] 2006 r. o nr [...], wygasło z dniem [...] lutego 2007 r. Okoliczność, że Sąd Rejonowy [...] rozstrzygnął zagadnienie wstępne odmiennie od oceny przyjętej przez organ ochrony danych osobowych przy wydaniu decyzji, powoduje, że w sprawie występuje podstawa wznowieniowa, o której stanowi art. 145 § 1 pkt 7 kpa (odwołujący się do art. 100 § 2 kpa), skutkująca koniecznością uchylenia obu wydanych decyzji, celem ponownego rozpoznania sprawy. Z tych względów, Wojewódzki Sąd Administracyjny w Warszawie, działając na podstawie art. 145 § 1 pkt 1 lit. "b" w związku z art. 135 ww. ustawy – Prawo o postępowaniu przed sądami administracyjnymi, orzekł, jak w punkcie pierwszym sentencji wyroku. W oparciu o art. 152 ww. ustawy, Sąd wstrzymał wykonanie zaskarżonej decyzji w całości. O kosztach orzeczono na podstawie art. 200, art. 205 § 1 i art. 209 cyt. ustawy – Prawo o postępowaniu przed sądami administracyjnymi. Zasądzona od Generalnego Inspektora Ochrony Danych Osobowych na rzecz M. K. kwota [...] zł stanowi wartość uiszczonego wpisu sądowego.