IV SA/Wa 3096/18

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący sędzia WSA Alina Balicka (spr.), Sędziowie sędzia WSA Anna Falkiewicz-Kluj, asesor WSA Anna Sidorowska-Ciesielska, Protokolant ref. Magdalena Dębska, po rozpoznaniu na rozprawie w dniu 29 stycznia 2019 r. sprawy ze skargi C. sp. z o.o. z siedzibą w [...] na decyzję Ministra Cyfryzacji z dnia [...] września 2018 r. nr [...] w przedmiocie odmowy wyrażenia zgody na udostępnienie danych z Rejestru Dowodów Osobistych oddala skargę Minister Cyfryzacji decyzją nr [...], z [...] września 2018 r., wydaną na podstawie art. 104 § 1 k.p.a. oraz art. 68 ust. 4 pkt 2) ustawy z dnia 6 sierpnia 2010 r. o dowodach osobistych (Dz. U. z 2017 r., poz. 1464), odmówił wyrażenia zgody na udostępnianie Centrum Elektronicznych Usług Płatniczych [...] sp. z o. o. z siedzibą w [...], danych z Rejestru Dowodów Osobistych (RDO) w trybie ograniczonej teletransmisji danych. Decyzja została wydana w następującym stanie sprawy. Wnioskiem z 13 lipca 2018 r., Centrum Elektronicznych Usług Płatniczych [...] sp. z o. o. zwróciło się do Ministra Cyfryzacji o wyrażenie zgody na udostępnianie danych z Rejestru Dowodów Osobistych w trybie ograniczonej teletransmisji danych. Organ rozpatrując sprawę stwierdził, że stosownie do treści art. 68 ust. 3 ustawy o dowodach osobistych udostępnianie danych w trybie ograniczonej teletransmisji danych odbywa się na podstawie decyzji ministra właściwego do spraw informatyzacji wydanej na jednorazowy wniosek złożony przez uprawniony podmiot, jeżeli uzyskanie danych jest uzasadnione specyfiką lub zakresem wykonywanych zadań albo prowadzonej działalności, po spełnieniu następujących wymogów: 1) posiadania i stosowania mechanizmów umożliwiających identyfikację i rejestrację osób uzyskujących dostęp do danych oraz rejestrujących zakres udostępnionych danych i datę udostępnienia danych; 2) posiadania i stosowania zabezpieczeń technicznych i organizacyjnych chroniących przed uzyskaniem dostępu do danych przez inne osoby i podmioty. Natomiast zgodnie z treścią ust. 4 do korzystania z danych udostępnianych w trybie ograniczonej teletransmisji danych są uprawnione inne podmioty niż wymienione w art. 66 ust. 3 ustawy, jeżeli wykażą w tym interes prawny. Dalej organ wskazał, że wnioskodawca nie znajduje się w grupie podmiotów, którym dostęp do RDO należy sięz urzędu, pod warunkiem niezbędności dostępu do danych zgromadzonych w RDO, do realizacji własnych zadań ustawowych, a zatem musi on wykazać interes prawny. Oznacza to, iż należy znaleźć taki przepis prawa materialnego, który uzasadni skierowane do organu żądania i na podstawie którego można jednocześnie żądać określonych czynności organu. Definicji interesu prawnego należy poszukiwać w art. 28 k.p.a. Wnioskodawca wskazał, że jest instytucją obowiązaną w rozumieniu przepisów ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu i jako taki jest zobowiązany do stosowania wobec swoich klientów środków bezpieczeństwa finansowego, w tym identyfikacji klientów i weryfikacji ich tożsamości. Zatem, zdaniem organu, dla oceny interesu prawnego wnioskodawcy kluczowym będzie dokonanie oceny czy przepisy tej ustawy w przypadku wnioskodawcy, uzasadniają konieczność jego dostępu do danych zgromadzonych w RDO, w trybie weryfikacji. Zgodnie z art. 33 ust 1 ustawy instytucje obowiązane stosują wobec swoich klientów środki bezpieczeństwa finansowego. Zakres stosowania jest określany na podstawie oceny ryzyka prania pieniędzy i finansowania terroryzmu dokonanej w wyniku analizy, z uwzględnieniem w szczególności: rodzaju klienta, obszaru geograficznego, przeznaczenia rachunku, rodzaju produktów, usług i sposobów ich dystrybucji, poziomu wartości majątkowych deponowanych przez klienta lub wartości przeprowadzonych transakcji oraz celu, regularności lub czasu trwania stosunków gospodarczych. Dalej organ wskazał, na art 34 ust. 1, który zawiera katalog środków bezpieczeństwa finansowego, jakie wobec klientów może zastosować instytucja finansowa, natomiast art. 35 określa moment ich stosowania. Jednym z tych środków jest identyfikacji klienta i weryfikacja ¡ego tożsamości. Jednakże w art. 37 ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu, ustawodawca wyraźnie wskazuje, że weryfikacja (tożsamości klienta nie jego dokumentu) polega na potwierdzeniu ustalonych danych identyfikacyjnych na podstawie dokumentu stwierdzającego tożsamość osoby fizycznej, dokumentu zawierającego aktualne dane z wyciągu z właściwego rejestru lub innych dokumentów, danych lub informacji pochodzących z wiarygodnego i niezależnego źródła. Wobec treści art. 37 ww. ustawy, w ocenie organu, dostęp wnioskodawcy do Rejestru Dowodów Osobistych nie umożliwi realizacji wynikającego z jego treści zdania - weryfikacji klienta. Nie ulega wątpliwości, że środki bezpieczeństwa finansowego bazują na gromadzeniu informacji. Zasadniczym źródłem tych informacji jest jednak dokument, którym posługuje się klient oraz inne informacje pochodzące z wiarygodnego i niezależnego źródła. Środki te, jak wynika z brzmienia art. 37 ww. ustawy, służą identyfikacji/weryfikacji klienta. Należy w związku z tym postawić pytanie, czy uzyskanie przez wnioskodawcę - instytucję obowiązaną, dostępu do RDO w trybie ograniczonej teletransmisji danych umożliwi faktyczną weryfikację osoby. Następnie organ wyjaśnił jak działa usługa weryfikacji w oparciu o RDO. W ramach tego rodzaju dostępu nie następuje udostępnienie żadnych danych zgromadzonych w rejestrze dowodów osobistych, lecz polega on na porównaniu danych posiadanych już przez podmiot dokonujący sprawdzeni z danymi zgromadzonymi w RDO, którego efektem jest uzyskanie potwierdzenia istnienia albo nieistnienia ważnego dowodu osobistego zawierającego określony zakres danych. Nie dochodzi tu zatem do żadnej identyfikacji osoby fizycznej, czy też weryfikacji ¡ej tożsamości. Przedmiotem usługi nie jest w ogóle weryfikacja danych osoby - usługa nie odnosi się bowiem do osoby, nie ma związku z osobą, przedmiotem usługi jest wyłącznie weryfikacja istnienia dokumentu - dowodu osobistego. Powyższe oznacza, że usługa weryfikacji ważności dowodu osobistego, jak również możliwość sprawdzenia za jej pomocą, czy wydano dowód osobisty na określony zestaw danych nie pozwoli na zweryfikowanie tożsamości kontrahenta, gdyż jedyną możliwością skutecznego ustalenia tożsamości klienta jest wylegitymowanie takiej osoby poprzez okazanie przez nią dokumentu tożsamości. Oczywiście w takiej sytuacji również istnieje ryzyko, iż dowód osobisty może nie należeć do kontrahenta, który się nim posługuje, jednak w tym przypadku zastosowanie znajdzie domniemanie prawdziwości dokumentu urzędowego. Stosownie do treści art. 244 Kodeksu postępowania cywilnego dokument urzędowy korzysta z domniemania prawdziwości. W przypadku weryfikacji danych w RDO takiego domniemania nie można zastosować, ponieważ weryfikacja danych w rejestrze dowodów osobistych nie jest jednoznaczna z okazaniem dokumentu, którym posługuje się dana osoba, zatem w ten sposób nie można skutecznie potwierdzić tożsamości osoby - dokonać jej identyfikacji/weryfikacji - co nakazują przepisy ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu. Organ wskazał, że art. 36 ust. 1 ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu określa, jakie dane stanowią spełnienie wymogu identyfikacji osób fizycznych, osób prawnych i jednostek nieposiadających osobowości prawnej. Jeśli osoba fizyczna jest identyfikowana jako klient to konieczne jest ustalenie jej imienia, nazwiska, obywatelstwa i adresu, a także numeru PESEL lub daty urodzenia, jeśli osoba taka nie ma nadanego numeru PESEL oraz serii i numeru dokumentu stwierdzającego tożsamość osoby (a więc niekoniecznie dowodu osobistego). Treść przepisów ww. ustawy dotyczących obowiązków instytucji obowiązanych, dotyczących identyfikacji i weryfikacji danych klientów, zakres danych jakie maja być zbierane przez instytucje obowiązane wskazuje raczej na konieczność dostępu tych instytucji do rejestru PESEL (przy czym dostęp w trybie weryfikacji również w przypadku tego rejestru nie wydaje się wystarczający) nie zaś do RDO. W konsekwencji powyższego, w ocenie organu, brak jest związku przyczynowo skutkowego pomiędzy koniecznością weryfikacji tożsamości klienta - art. 37 ww. ustawy a działaniem usługi ograniczonej teletransmisji danych z RDO. Brak jest też po stronie wnioskodawcy interesu prawnego w takim sposobie pozyskiwania danych z RDO, gdyż dostęp taki nie przyczyniłby się do realizacji ustawowego celu wnioskodawcy, jakim jest identyfikacja i weryfikacja osoby fizycznej (klienta). Skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie na decyzję Ministra Cyfryzacji z [...] września 2018 r. wniosło Centrum Elektronicznych Usług Płatniczych [...] Spółka z o. o. Skarżąca zaskarżonej decyzji zarzuciła naruszenie przepisów prawa materialnego, tj. art. 34 ust. 1 pkt 1 ustawy z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu (Dz.U. z 2018 r. poz. 723) ("u.p.p.f.t.") w zw. z art. 36 ust. 1 pkt 1 u.p.p.f.t. w zw. z art. 37 u.p.p.f.t. w zw. z art. 244 k.p.c. (przepisu prawa procesowego, który do sprawy nie powinien mieć w ogóle zastosowania) poprzez ich błędną wykładnię, prowadzącą do konkluzji, że weryfikacja ważności dowodu osobistego i danych w nich zawartych, możliwa w wyniku udostępniania danych z RDO, nie jest "weryfikacją", o której mowa w art. 37 u.p.p.f.t. a w konsekwencji niewłaściwe zastosowanie art. 68 ust. 4 pkt 2 ustawy z dnia 6 sierpnia 2010 r. o dowodach osobistych (t.j. Dz.U. z 2018 r., poz. 730) ("u.d.o.") na skutek uznania, że skarżąca nie posiada interesu prawnego w dostępie do danych z RDO, co skutkowało wydaniem zaskarżonej decyzji. Wobec powyższego zarzutu, skarżąca wniosła o uchylenie zaskarżonej decyzji i zasądzenie kosztów postępowania, w tym kosztów zastępstwa procesowego według norm przepisanych. Zdaniem skarżącej, zgodnie z art. 68 ust. 4 pkt 2 u.d.o. jest ona uprawniona do korzystna z danych z RDO po wykazaniu interesu prawnego. Skarżąca upatruje swój interes prawny w dostępie do RDO w nałożonych przez ustawodawcę w u.p.p.f.t. obwiązkach. Na podstawie ustawy z dnia 19 sierpnia 2011 r. o usługach płatniczych (t.j. Dz.U. z 2017 r., poz. 1464) skarżąca jest krajową instytucję płatniczą. W oparciu o art. 60 ust. 1 ustawy o usługach płatniczych skarżąca otrzymała zezwolenie Komisji Nadzoru Finansowego na prowadzenie działalności w charakterze instytucji płatniczej. Zgodnie z art. 2 ust. 2 w zw. z art. 33 i 34 u.p.p.f.t. skarżąca jest instytucją obowiązaną do stosowania środków bezpieczeństwa finansowego w celu przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu. Zgodnie z art. 34 ust. 1 pkt 1 u.p.p.f.t. środki bezpieczeństwa finansowego jakie zobowiązana jest stosować instytucja obowiązana obejmują "identyfikację klienta oraz weryfikację jego tożsamości". Zgodnie z art. 36 ust. 1 pkt. 1 u.p.p.f.t. identyfikacja klienta będącego osobą fizyczną oznacza ustalenie jego: a) imienia i nazwiska, b) obywatelstwa, c) numeru Powszechnego Elektronicznego Systemu Ewidencji Ludności (PESEL) lub daty urodzenia - w przypadku gdy nie nadano numeru PESEL, oraz państwa urodzenia, d) serii i numeru dokumentu stwierdzającego tożsamość osoby, e) adresu zamieszkania - w przypadku posiadania tej informacji przez instytucję obowiązaną, f) nazwy (firmy), numeru identyfikacji podatkowej (NIP) oraz adresu głównego miejsca wykonywania działalności gospodarczej - w przypadku osoby fizycznej prowadzącej działalność gospodarczą. Zgodnie z art. 37 u.p.p.f.t. weryfikacja tożsamości klienta, osoby upoważnionej do działania w jego imieniu oraz beneficjenta rzeczywistego polega na potwierdzeniu ustalonych danych identyfikacyjnych na podstawie dokumentu stwierdzającego tożsamość osoby fizycznej, dokumentu zawierającego aktualne dane z wyciągu z właściwego rejestru lub innych dokumentów, danych lub informacji pochodzących z wiarygodnego i niezależnego źródła. Zdaniem skarżącej, wykonując obowiązki nałożone przez ustawodawcę, skarżąca na podstawie art. 34 ust. 1. pkt 1 u.p.p.f.t. zobowiązana jest nie tylko zidentyfikować klienta, w tym m.in. na podstawie jego dowodu osobistego (vide art. 36 ust. 1 pkt 1 lit. d), ale również zweryfikować jego tożsamość na podstawie art. 37 u.p.p.f.t. Zgodnie z powołanym wyżej przepisem, czynność ta polega na potwierdzeniu ustalonych wcześniej danych (w tym na podstawie dowodu osobistego) z danymi lub informacjami pochodzącymi z wiarygodnego i niezależnego źródła (art. 37 in fine). Zdaniem skarżącej, jedynym wiarygodnym i niezależnym źródłem umożliwiającym weryfikację tożsamości klienta oraz prawdziwość posiadanego przez niego dowodu tożsamości jest RDO prowadzony przez ministra właściwego do spraw informatyzacji, tj. Ministra Cyfryzacji. Minister Cyfryzacji w odpowiedzi na skargę wniósł o jej oddalenie. Wojewódzki Sąd Administracyjny zważył, co następuje: Kontrola sądu administracyjnego, zgodnie z art. 1 § 1 i 2 ustawy z 25 lipca 2002 r. Prawo o ustroju sądów administracyjnych (t.j. Dz. U. z 2016 r. poz. 1066) i art. 3 § 1 i § 2 pkt 1 ustawy z 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz. U. z 2016 r. poz. 718, dalej: p.p.s.a.), polega na badaniu zgodności z prawem zaskarżonych aktów administracyjnych. Kontrola ta sprowadza się do zbadania, czy w toku rozpatrywania sprawy organy administracji publicznej nie naruszyły prawa materialnego i procesowego w stopniu istotnie wpływającym na wynik sprawy. Przy czym ocena ta jest dokonywana według stanu i na podstawie akt sprawy istniejących w dniu wydania zaskarżonego aktu. Na podstawie art. 134 § 1 p.p.s.a., w postępowaniu sądowoadministracyjnym sąd nie jest związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną. Dokonując oceny zaskarżonej decyzji w powyższym zakresie Sąd uznał, że skarga nie zasługuje na uwzględnienie, bowiem decyzja nie narusza przepisów prawa. Jak stanowi art. 1 ustawy z dnia 6 sierpnia 2010 r. o dowodach osobistych (t.j. Dz. U. z 2017 r., poz. 1464), dalej jako "u.d.o.", ustawa ta określa m. in. zakres danych gromadzonych w Rejestrze Dowodów Osobistych oraz zasady prowadzenia tego rejestru (pkt 6) oraz zasady udostępniania danych gromadzonych w Rejestrze Dowodów Osobistych (pkt 8). Z kolei z art. 4 ust. 1 u.d.o. wynika, że dowód osobisty jest dokumentem stwierdzającym m. in. tożsamość osoby. Dane jakie się gromadzi w Rejestrze Dowodów Osobistych określa art. 56 u.d.o. Minister właściwy do spraw informatyzacji dane z Rejestru Dowodów Osobistych udostępnia: 1) w trybie pełnej teletransmisji danych; 2) w trybie ograniczonej teletransmisji danych o czym stanowi art. 65 ust. 2 pkt 1 i 2 u.d.o. Zgodnie z art. 68 ust. 1 u.d.o. udostępniając dane w trybie ograniczonej teletransmisji danych, porównuje się przekazywane przez uprawniony podmiot dane z danymi zawartymi w Rejestrze Dowodów Osobistych. Udostępnienie danych w tym trybie potwierdza istnienie albo nieistnienie ważnego dowodu osobistego zawierającego określony zakres danych. W trybie ograniczonej teletransmisji danych porównaniu podlegają: imię (imiona), nazwisko, numer PESEL, seria i numer dowodu osobistego, data wydania dowodu osobistego, termin ważności dowodu osobistego (art. 68 ust. 2 u.d.o). W ocenie Sądu, z zapisu art. 68 ust. 1 u.d.o. wynika, że udostępnienie danych w trybie ograniczonej teletransmisji danych ma na celu potwierdzenie istnienia albo nieistnienia ważnego dowodu osobistego zawierającego określony zakres danych. Zgodzić się należy ze stanowiskiem organu, że celem tej usługi jest weryfikacja istnienia dokumentu, jakim jest dowód osobisty. Zatem usługa ta odnosi się do weryfikacji istnienia lub nieistnienia ważnego dokumentu, co nie jest tożsame z identyfikacją osoby fizycznej i weryfikacji jej tożsamości. Skarżąca, będąca krajową instytucją płatniczą, jest instytucją obowiązaną w rozumieniu art. 2 ust. 1 pkt 3 ustawy z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (Dz. U. z 2018 r., poz. 723, ze zm.), dalej jako "u.p.p.f.t.". Jako instytucja obowiązana, skarżąca stosuje wobec swoich klientów środki bezpieczeństwa finansowego, które zgodnie z art. 34 ust. 1 pkt 1 u.p.p.f.t. obejmują m. in. identyfikację klienta oraz weryfikację jego tożsamości. Jak wynika z art. 36 ust. 1 pkt 1 i 2 u.p.p.f.t. klientem może być osoba fizyczna, osoba prawna lub jednostka organizacyjna nie posiadająca osobowości prawnej. Art. 36 ust. 1 pkt 1 u.p.p.f.t. definiuje identyfikację klienta, jako polegającą na ustaleniu w przypadku osoby fizycznej: imienia i nazwiska, obywatelstwa, numeru Powszechnego Elektronicznego Systemu Ewidencji Ludności (PESEL) lub daty urodzenia - w przypadku gdy nie nadano numeru PESEL, oraz państwa urodzenia, serii i numeru dokumentu stwierdzającego tożsamość osoby, adresu zamieszkania - w przypadku posiadania tej informacji przez instytucję obowiązaną, nazwy (firmy), numeru identyfikacji podatkowej (NIP) oraz adresu głównego miejsca wykonywania działalności gospodarczej - w przypadku osoby fizycznej prowadzącej działalność gospodarczą. Natomiast, weryfikacja tożsamości klienta, osoby upoważnionej do działania w jego imieniu oraz beneficjenta rzeczywistego, zgodnie z art. 37 u.p.p.f.t. polega na potwierdzeniu ustalonych danych identyfikacyjnych na podstawie dokumentu stwierdzającego tożsamość osoby fizycznej, dokumentu zawierającego aktualne dane z wyciągu z właściwego rejestru lub innych dokumentów, danych lub informacji pochodzących z wiarygodnego i niezależnego źródła. Z powyższych zapisów wynika, że weryfikacja tożsamości klienta w przypadku osoby fizycznej polega na potwierdzeniu ustalonych danych identyfikacyjnych na podstawie dokumentu stwierdzającego tożsamości osoby fizycznej. Dokumentem tym może być dowód osobisty, który zgodnie z art. 4 ust. 1 u.d.o. jest dokumentem stwierdzającym tożsamość danej osoby. Natomiast z ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu nie wynika dla skarżącej uprawnienie do potwierdzania istnienia albo nieistnienia ważnego dowodu osobistego zawierającego określony zakres danych, czemu ma służyć usługa udostępniania danych w trybie ograniczonej teletransmisji danych. Mając powyższe na uwadze, zgodzić się należy ze stanowiskiem organu, że skarżąca nie wykazała interesu prawnego w rozumieniu art. 28 k.p.a., co uprawniałoby ją do korzystania z danych udostępnianych w trybie ograniczonej teletransmisji danych po uzyskaniu decyzji Ministra Cyfryzacji. Mając powyższe na uwadze, Wojewódzki Sąd Administracyjny w Warszawie nie znalazł podstaw do uznania zasadności zarzutów skargi, i na podstawie art. 151 ustawy Prawo o postępowaniu przed sądami administracyjnymi orzekł jak w sentencji.