IV SA/Wa 3112/18

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący sędzia WSA Paweł Groński, Sędziowie asesor WSA Anna Sidorowska-Ciesielska (spr.), sędzia WSA Anna Szymańska, Protokolant spec. Iwona Hoga, po rozpoznaniu na rozprawie w dniu 21 marca 2019 r. sprawy ze skargi B. S.A. z siedzibą w S. na decyzję Ministra Cyfryzacji z dnia [...] września 2018 r. nr [...] w przedmiocie odmowy wyrażenia zgody na udostępnienie danych z Rejestru Dowodów Osobistych oddala skargę Zaskarżoną decyzją z [...] września 2018 r. Minister Cyfryzacji, po rozpatrzeniu wniosku [...] S.A. w [...], na podstawie art. 68 ust. 4 pkt 2 ustawy z dnia 6 sierpnia 2010 r. o dowodach osobistych (Dz.U. z 2017 r., poz. 1464), odmówił wyrażenia zgody na udostępnienie Spółce danych z Rejestru Dowodów Osobistych w trybie ograniczonej teletransmisji danych. W uzasadnieniu organ wskazał, że skarżąca nie znajduje się w grupie podmiotów, którym dostęp do Rejestru Dowodów Osobistych należy się niejako z urzędu, pod warunkiem niezbędności dostępu do danych zgromadzonych w tym rejestrze, do realizacji własnych zadań ustawowych, a zatem musi ona wykazać interes prawny. Oznacza to, że należy wskazać taki przepis prawa materialnego, który uzasadni skierowane do organu żądanie i na podstawie którego można jednocześnie żądać określonych czynności organu. Dostęp skarżącej do tego rejestru nie umożliwi jej realizacji zdania polegającego na stosowaniu wobec klientów środków bezpieczeństwa finansowego, w tym weryfikacji klienta. Zasadniczym źródłem tych informacji, jak wskazuje przepis, jest dokument, którym posługuje się klient oraz inne informacje pochodzące z wiarygodnego i niezależnego źródła. Środki te jak wynika z art. 37 ustawy z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (Dz.U. z 2018 r., poz. 723) służą identyfikacji/weryfikacji klienta. Uzyskanie przez skarżącą (instytucję obowiązaną) dostępu do Rejestru Dowodów Osobistych w trybie ograniczonej teletransmisji danych nie umożliwi jej faktycznej weryfikacji osoby. W ramach tego rodzaju dostępu nie następuje udostępnienie żadnych danych zgromadzonych w Rejestrze Dowodów Osobistych, lecz następuje porównanie danych posiadanych już przez podmiot dokonujący sprawdzenia z danymi zgromadzonymi w Rejestru Dowodów Osobistych, którego efektem jest uzyskanie potwierdzenia istnienia albo nieistnienia ważnego dowodu osobistego zawierającego określony zakres danych. Nie dochodzi tu zatem do żadnej identyfikacji osoby fizycznej, czy też weryfikacji jej tożsamości. Przedmiotem usługi nie jest w ogóle weryfikacja danych osoby - usługa nie odnosi się bowiem do osoby (nie ma związku z osobą), przedmiotem usługi jest wyłącznie weryfikacja istnienia dokumentu - dowodu osobistego. Usługa weryfikacji ważności dowodu osobistego, jak również możliwość sprawdzenia za jej pomocą, czy wydano dowód osobisty na określony zestaw danych nie pozwoli na zweryfikowanie tożsamości osoby fizycznej, gdyż jedyną możliwością skutecznego ustalenia tożsamości klienta jest wylegitymowanie takiej osoby poprzez okazanie przez nią dokumentu tożsamości. W skardze na decyzję z [...] września 2018 r. [...] S.A. w [...] zarzuciła naruszenie: 1) art. 36 ust. 1 pkt. 1 lit. d), art. 36 ust. 2 oraz art. 36 ust. 3 ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu poprzez nieuwzględnienie, że interes prawny skarżącej do udostępnienia danych z rejestru dowodów osobistych dotyczy także wynikającego z tych przepisów obowiązku identyfikacji klienta, osoby upoważnionej do działania w jego imieniu oraz beneficjenta rzeczywistego; 2) art. 37 ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu w związku z art. 68 ustawy o dowodach osobistych poprzez uznanie, że ustalenie istnienia lub nieistnienia ważnego dowodu osobistego zawierającego zestaw danych identyfikacyjnych klienta, reprezentanta klienta lub beneficjenta rzeczywistego nie przyczyni się do realizacji ustawowego obowiązku weryfikacji wskazanych przez stronę podmiotów; 3) art. 37 ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu, poprzez nieuprawnione przyjęcie, że weryfikacja tożsamości klienta, osoby upoważnionej do działania w jego imieniu oraz beneficjenta rzeczywistego może być przeprowadzona wyłącznie w oparciu o wylegitymowanie takiej osoby poprzez okazanie przez nią dokumentu tożsamości; 4) art. 28 K.p.a. w związku z art. 68 ustawy o dowodach osobistych poprzez uznanie, że dla istnienia interesu prawnego strony wymagane jest istnienie konieczności dostępu strony do rejestru dowodów osobistych w celu realizacji jej obowiązków ustawowych; 5) art. 28 K.p.a. w związku z art. 34, 36 i 37 ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu poprzez arbitralne uznanie, że brak jest interesu prawnego skarżącej w domaganiu się udostępnienia danych z Rejestru Dowodów Osobistych, przy czym w decyzji z dnia [...] maja 2016 r. nr [...] dotyczącej rozpatrzenia wniosku skarżącej dotyczącego udostępnienia danych z rejestru PESEL opartym na tych samych przesłankach co wniosek, na podstawie którego została wydana zaskarżona decyzja, organ dopatrzył się interesu prawnego strony w udostępnieniu danych z rejestru PESEL dla celów identyfikacji i weryfikacji klienta oraz beneficjenta rzeczywistego. Strona wskazała, że posiada zezwolenie na prowadzenie działalności krajowej instytucji płatniczej oraz jest instytucją pożyczkową. Zgodnie z art. 2 ust. 1 pkt 3) i 25) ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu strona jest instytucją obowiązaną, na której ciążą obowiązki określone przepisami powołanej ustawy. Skarżąca wywodzi swój interes prawny w uzyskaniu dostępu do danych z Rejestru Dowodów Osobistych z wynikającego z art. 34 ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu obowiązku identyfikacji klienta, beneficjenta rzeczywistego oraz osoby upoważnionej do działania w imieniu klienta, m.in. w oparciu o numer i serię dokumentu stwierdzającego tożsamość osoby oraz wynikającego z art. 37 ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu obowiązku weryfikacji tożsamości tych osób na podstawie dokumentu stwierdzającego tożsamość osoby fizycznej, dokumentu zawierającego aktualne dane z wyciągu właściwego rejestru lub innych dokumentów, danych lub informacji pochodzących z wiarygodnego i niezależnego źródła. Strona ponadto wskazała, że świadczy swoje usługi (płatnicze i pożyczkowe) wyłącznie drogą elektroniczną, za pośrednictwem sieci Internet i nie posiada oddziałów, w których możliwe byłoby zawarcie umowy. Tym samym zawarcie umowy odbywa się przy użyciu środków bezpośredniego porozumiewania się na odległość, a zatem klient, będący osobą fizyczną czy osoba działająca w imieniu klienta nie jest fizycznie obecny dla celów dokonania identyfikacji oraz weryfikacji przez skarżącą. Strona, jako instytucja zobowiązana ma w pierwszej kolejności ustalić dane identyfikacyjne klienta będącego osobą fizyczną, osoby działającej w imieniu klienta oraz beneficjenta rzeczywistego, a następnie potwierdzić ustalone dane identyfikacyjne. Dane ujawnione przez klienta mogą nie być prawdziwe. Instytucja obowiązana może dokonać weryfikacji tożsamości na podstawie dokumentu zawierającego aktualne dane z wyciągu z właściwego rejestru lub innych dokumentów, danych lub informacji pochodzących z wiarygodnego i niezależnego źródła. Instytucja obowiązana musi mieć pewność, że dane, które posiada o kliencie, lub innych osobach, których dane zgodnie z ustawą zobowiązana jest ustalać, są prawdziwe i dotyczą rzeczywistej osoby, której tożsamość będzie na tej podstawie możliwa do zweryfikowania. Temu celowi ma służyć m.in. sprawdzenie czy podane przez klienta, osobę umocowaną do działania w imieniu klienta lub dotyczące beneficjenta rzeczywistego dane są prawdziwe. Dostęp strony do rejestru dowodów osobistych w trybie ograniczonej teletransmisji danych niewątpliwie przyczyni się również do realizacji jej ustawowego obowiązku weryfikacji klienta, osoby upoważnionej do działania w jego imieniu oraz beneficjenta rzeczywistego (art. 37 ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu). Skarżąca nie musi bowiem wykazywać konieczności dostępu do Rejestru Dowodów Osobistych, a jedynie musi wykazać istnienie przepisu prawa powszechnie obowiązującego, który stanowiłby logiczną podstawę jej żądania podjęcia stosownych czynności przez organ (w tym przypadku - udzielenia dostępu do Rejestru Dowodów Osobistych). W przedmiotowej sprawie, strona niewątpliwie wykazała, że dostęp do rejestru danych osobistych przyczyni się do spełnienia wymogów stawianych stronie jako instytucji obowiązanej w rozumieniu ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (obowiązek identyfikacji i weryfikacji Klienta wskazany w art. 36 i 37 tej ustawy). Odmienna interpretacja przepisów ustawy o dowodach osobistych podważa swobodę zawierania umów przy użyciu środków bezpiecznego porozumiewania się na odległość. Istotą tych umów jest zawieranie ich bez fizycznej obecności obu stron. Z założenia zatem nie jest możliwe "wylegitymowanie się" klienta poprzez okazanie dokumentu tożsamości. Podnosząc takie zarzuty skarżąca wniosła o uchylenie zaskarżonej decyzji i zasądzenie od organu zwrotu kosztów postępowania. W odpowiedzi na skargę organ wniósł o jej oddalenie, podtrzymując swoje dotychczasowe stanowisko. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Skarga podlega oddaleniu. Skarżąca, podnosząc zarzut naruszenia przepisów ustawy o dowodach osobistych oraz ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu, kwestionuje stanowisko organu administracji, że nie wykazał, iż posiada interes prawny w korzystaniu z danych udostępnianych w trybie ograniczonej teletransmisji danych. Strona upatruje swój interes prawny w tym, że jest instytucją obowiązaną w rozumieniu art. 2 ust. 1 pkt 3 i 25 ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu i jako taka jest zobowiązana do stosowania wobec swoich klientów środków bezpieczeństwa finansowego, w tym identyfikacji klientów i weryfikacji ich tożsamości. Udostępniając dane w trybie ograniczonej teletransmisji danych, porównuje się przekazywane przez uprawniony podmiot dane z danymi zawartymi w Rejestrze Dowodów Osobistych. Udostępnienie danych w tym trybie potwierdza istnienie albo nieistnienie ważnego dowodu osobistego zawierającego określony zakres danych (art. 68 ust. 1 ustawy o dowodach osobistych). W trybie ograniczonej teletransmisji danych, stosownie do art. 68 ust. 2 ustawy o dowodach osobistych, porównaniu podlegają: imię (imiona), nazwisko, numer PESEL, seria i numer dowodu osobistego, data wydania dowodu osobistego, termin ważności dowodu osobistego. Udostępnianie danych w trybie ograniczonej teletransmisji danych odbywa się na podstawie decyzji ministra właściwego do spraw informatyzacji wydanej na jednorazowy wniosek złożony przez uprawniony podmiot, jeżeli stosownie do art. 68 ust. 3 ustawy o dowodach osobistych uzyskanie danych jest uzasadnione specyfiką lub zakresem wykonywanych zadań albo prowadzonej działalności, po spełnieniu następujących wymogów: 1) posiadania i stosowania mechanizmów umożliwiających identyfikację i rejestrację osób uzyskujących dostęp do danych oraz rejestrujących zakres udostępnionych danych i datę udostępnienia danych; 2) posiadania i stosowania zabezpieczeń technicznych i organizacyjnych chroniących przed uzyskaniem dostępu do danych przez inne osoby i podmioty. Zgodnie z art. 68 ust. 4 ustawy o dowodach osobistych do korzystania z danych udostępnianych w trybie ograniczonej teletransmisji danych są uprawnione inne podmioty niż wymienione w art. 66 ust. 3 ustawy o dowodach osobistych, jeżeli wykażą w tym interes prawny. Pojęcie interesu prawnego nie zostało zdefiniowane w przepisach ustawy o dowodach osobistych. W zakresie rozumienia tego pojęcia należy odwołać się do poglądów wypracowanych w doktrynie i orzecznictwie. Interes prawny to interes chroniony przepisami prawa, konkretny, dający się obiektywnie stwierdzić oraz aktualny, a nie jedynie hipotetyczny. Interes prawny nie może mieć charakteru abstrakcyjnego, oderwanego od sytuacji faktycznej, w której znajduje się podmiot administrowany. Musi się on znajdować bowiem w takiej sytuacji faktycznej, w której skierowany do niego indywidualny akt administracyjny w sposób bezpośredni wpływa na jego sytuację prawną (por. wyrok NSA z 6 lutego 2014 r., sygn. akt II OSK 2990/13). W rozpoznawanej sprawie skarżąca Spółka jako uzasadnienie interesu prawnego w uzyskaniu danych z Rejestru Dowodów Osobistych w trybie ograniczonej teletransmisji danych wskazała, że jest instytucją obowiązaną w rozumieniu przepisów ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu i jako taka jest zobowiązana do stosowania wobec swoich klientów środków bezpieczeństwa finansowego, w tym identyfikacji klientów i weryfikacji ich tożsamości. Zdaniem skarżącej, dostęp do danych zawartych w Rejestrze Dowodów Osobistych udostępnianych w trybie ograniczonej teletransmisji danych umożliwi jej realizację zadań ustawowych poprzez identyfikację klientów i weryfikację ich tożsamości. Stosownie do art. 33 ust. 1 i 34 ust. 1 ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu instytucja obowiązana, w rozumieniu przepisów tej ustawy, jest zobowiązana do stosowania wobec swoich klientów środków bezpieczeństwa finansowego, które polegają m.in. na: 1) identyfikacji klienta i weryfikacji jego tożsamości (art. 34 ust. 1 pkt 1); 2) identyfikacji beneficjenta rzeczywistego oraz podejmowaniu uzasadnionych czynności w celu weryfikacji jego tożsamości (art. 34 ust. 1 pkt 2); 3) identyfikacji osoby upoważnionej do działania w imieniu klienta oraz weryfikacji jej tożsamości i umocowania do działania w imieniu klienta (art. 34 ust. 2). Zgodnie z art. 36 ust. 1 lit. d), art. 36 ust. 2 oraz art. 36 ust. 3 ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu, identyfikacja klienta będącego osobą fizyczną, osoby upoważnionej do działania w imieniu klienta oraz beneficjenta rzeczywistego wymaga m.in. ustalenia serii i numeru dokumentu stwierdzającego tożsamość osoby. Jednocześnie art. 37 ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu wskazuje, że "weryfikacja tożsamości klienta, osoby upoważnionej do działania w jego imieniu i beneficjenta rzeczywistego polega na potwierdzeniu ustalonych danych identyfikacyjnych na podstawie dokumentu stwierdzającego tożsamość osoby fizycznej, dokumentu zawierającego aktualne dane z wyciągu właściwego rejestru lub innych dokumentów, danych lub informacji pochodzących z wiarygodnego i niezależnego źródła". Bezspornym jest, że skarżąca Spółka jest instytucją obowiązaną w rozumieniu art. 2 ust. 1 pkt 3 i 25 ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu, a zatem spoczywa na niej obowiązek identyfikacji klienta i weryfikacji jego tożsamości oraz identyfikacji beneficjenta rzeczywistego i podejmowania uzasadnionych czynności w celu weryfikacji jego tożsamości. Nie zostało jednak wykazane, że realizacji tego obowiązku służy uzyskanie dostępu do danych z Rejestru Dowodów Osobistych w trybie ograniczonej teletransmisji danych. Spółka nie jest zobowiązana do weryfikacji prawdziwości dowodu osobistego klienta (beneficjenta rzeczywistego czy osoby upoważnionej do działania w ich imieniu) ani prawdziwości danych zawartych w tym dowodzie, a na tym polega udostępnienie danych w trybie ograniczonej teletransmisji danych. Jak zostało wskazane, stosownie do art. 68 ust. 1 ustawy o dowodach osobistych, udostępnienie danych w trybie ograniczonej teletransmisji danych sprowadza się do potwierdzenia istnienia ważnego dowodu osobistego zawierającego określone (ograniczone) dane. W ten sposób nie następuje ani identyfikacja osoby, która posługuje się tymi danymi ani weryfikacja jej tożsamości. Identyfikacja osoby fizycznej polega na zabraniu od niej stosownych danych, a następnie następuje weryfikacja jej tożsamości na podstawie dowodu osobistego, poprzez porównanie danych znajdujących się w dowodzie z podanymi danymi. Weryfikacja tożsamości klienta w przypadku osoby fizycznej polega na potwierdzeniu ustalonych danych identyfikacyjnych na podstawie dokumentu stwierdzającego tożsamości osoby fizycznej. Dokumentem tym może być dowód osobisty, który zgodnie z art. 4 ust. 1 ustawy o dowodach osobistych jest dokumentem stwierdzającym tożsamość danej osoby. Na zmianę tego stanowiska nie wpływa okoliczność, że skarżąca prowadzi działalność jedynie przy użyciu środków bezpiecznego porozumiewania się na odległość, których istotą jest zawieranie umów bez fizycznej obecności obu stron. Możliwość zawarcia umowy o świadczenie określonych usług ze skarżącą Spółką za pośrednictwem tzw. "zdalnych kanałów sprzedaży" nie może prowadzić do różnicowania zakresu obowiązku identyfikacji i weryfikacji klienta (beneficjenta rzeczywistego) w zależności od kanału sprzedaży. Wskazane przez skarżącą Spółkę argumenty dotyczące zagrożeń w zakresie właściwej identyfikacji i weryfikacji klienta w związku z możliwością podawania fałszywych danych przez osoby korzystające z takich kanałów sprzedaży nie świadczą o posiadaniu przez skarżącą interesu prawnego. Na marginesie można zauważyć, że weryfikacja dowodu osobistego w trybie ograniczonej transmisji danych nie prowadzi do wyeliminowania możliwości wskazywanych przez skarżącą Spółkę nadużyć, polegających na podawaniu przez osoby korzystające ze zdalnych kanałów sprzedaży fałszywych danych o sobie, albowiem nie daje gwarancji, że osoba zawierająca umowę za pośrednictwem internetu podała swoje dane czy też dane innej osoby. Usługa udostępnienia danych z Rejestru Dowodów Osobistych w trybie ograniczonej teletransmisji danych pozwala jedynie na weryfikację tego, że istnieje taki dowód osobisty, który zawiera takie dane, ale nie pozwala na weryfikację tożsamości osoby, która się tymi danymi posłużyła. W konsekwencji Sąd podzielił stanowisko organu, że usługą weryfikacji dokumentu tożsamości nie można potwierdzić tożsamości osoby. Rejestr Dowodów Osobistych umożliwi potwierdzenie istnienia dowodu osobistego, natomiast nie umożliwia weryfikacji tożsamości osoby, która się tym dowodem posługuje. Weryfikacja osoby fizycznej co do zasady możliwa jest za pomocą dowodu osobistego. Natomiast z ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu nie wynika dla skarżącej uprawnienie do potwierdzania istnienia albo nieistnienia ważnego dowodu osobistego zawierającego określony zakres danych, czemu ma służyć usługa udostępniania danych w trybie ograniczonej teletransmisji danych. Tym samym samo powołanie się na zamiar identyfikacji i weryfikacji klientów czy beneficjentów rzeczywistych na podstawie danych uzyskanych w trybie ograniczonej transmisji danych, nie oznacza wykazania interesu prawnego skarżącej Spółki. Za wykazanie interesu prawnego nie można uznać samego wskazania przepisów art. 33 ust. 1, art. 34 ust. 1, art. 36 i 37 ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu regulujących kwestie instytucją obowiązku instytucji obowiązanej w rozumieniu przepisów tej ustawy do stosowania wobec swoich klientów środków bezpieczeństwa finansowego, w tym identyfikacji klientów i weryfikacji ich tożsamości. Przepisy te wskazują na istnienie takiego obowiązku po stronie skarżącej Spółki, ale nie wskazują, że w sytuacji wskazanej we wniosku, uzyskanie danych z Rejestru Dowodów Osobistych w trybie ograniczonej transmisji danych gwarantuje realizację tego obowiązku. Tym samym nie ma wystarczających podstaw, aby uznać, że doszło do konkretyzacji, aktualizacji i urealnienia się interesu prawnego w pozyskaniu danych z Rejestru Dowodów Osobistych w trybie ograniczonej transmisji danych. W tym stanie rzeczy Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2018 r., poz. 1302), orzekł jak w sentencji.