(II SA/WA 917/09)
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym:
| Przewodniczący: |
Sędzia WSA Andrzej Kołodziej |
| Sprawozdawca |
Sędzia WSA Ewa Pisula-Dąbrowska |
| Sędzia WSA Ewa Grochowska-Jung |
|
| Protokolant |
Aleksandra Weiher |
po rozpoznaniu na rozprawie w dniu 4 grudnia 2008 r. sprawy ze skargi Biura Informacji Kredytowej S.A. z siedzibą w Warszawie na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia 25 kwietnia 2008 r. nr DOLiS/DEC-257/08/10742 w przedmiocie nakazania usunięcia danych osobowych ze zbioru danych
1) uchyla zaskarżoną decyzję oraz decyzję ją poprzedzającą
2) stwierdza, że zaskarżona decyzja nie podlega wykonaniu w całości
3) zasądza od Generalnego Inspektora Ochrony Danych Osobowych na rzecz Biura Informacji Kredytowej S.A. z siedzibą w Warszawie kwotę 440 zł (czterysta czterdzieści złotych) tytułem zwrotu kosztów postępowania
Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia 25 kwietnia 2008 r. nr DOLiS/DEC-257/08/10742 utrzymał swoją wcześniejszą decyzję z dnia 22 października 2007 r. nr GI-DEC-DOLiS-230/07/5981,5982,5983, którą to decyzją nakazał S. z siedzibą we Wrocławiu usunięcie ze zbioru prowadzonego przez B. Siedzibą w Warszawie przekazanych do tego zbioru danych osobowych E.
W uzasadnieniu organ wskazał, że E. zawarła w dniu 6 sierpnia 1999 r. umowę kredytową z B. Powyższą wierzytelność nabył S., zwany dalej bankiem, w drodze cesji wierzytelności w dniu 9 czerwca 2004 r. GIODO ustalił, iż E. dokonując spłaty zobowiązania wynikającego z umowy kredytowej dopuściła się zwłoki w spełnieniu świadczenia pieniężnego. W dniu 10 lutego 2005 r. Bank przekazał jej dane osobowe do B. dnia 2 marca 2005 r. zobowiązanie E.
W stosunku do Banku wygasło w związku z tym, że Bank sprzedał wierzytelność osobie trzeciej U. Pomimo wygaśnięcia zobowiązania wobec Banku, S. nadal przetwarzał dane osobowe E.
Pismem z dnia 12 grudnia 2006 r. E. zwróciła się z żądaniem do Generalnego Inspektora Ochrony Danych Osobowych o usunięcie jej danych osobowych ze zbioru prowadzonego przez B., w związku ze spłatą zobowiązania wynikającego z zawartej umowy kredytowej. Jednocześnie oświadczyła, że nie wyraża zgody na przetwarzanie jej danych osobowych. Nabywca wierzytelności U. potwierdziła, że zadłużenie E., z tytułu umowy zawartej 6 sierpnia 1999 r. zostało uregulowane w całości w dniu 27 czerwca 2006 r.
Nakazując usunięcie ze zbioru B. danych osobowych E. Generalny Inspektor Ochrony Danych Osobowych jako podstawę rozstrzygnięcia wskazał art. 105 ust. 4 i 105a ust. 3 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz. U. z 2002 r. Nr 72, poz. 665 z późn. zm.) Organ stwierdził, że S. przekazał do B. dane osobowe E. przed wejściem w życie art. 105 a ustawy Prawo bankowe, tj. przed dniem 16 czerwca 2005 r., ale przetwarzał je nadał po tej dacie bez dopełnienia obowiązku informacyjnego, o którym mowa w art. 105 a cyt. ust. 3 ustawy. Podkreślił też, że E., po wejściu w życie wyżej wskazanego przepisu, w piśmie z dnia 12 grudnia 2006 r., domagała się zaniechania przetwarzania jej danych osobowych w związku ze spłatą zobowiązania, a zatem Bank wiedział o tym, że E. nie wyraża zgody na przetwarzanie jej danych osobowych.
Generalny Inspektor Ochrony Danych Osobowych zarzucił Bankowi zaniechanie spełnienia, w stosunku do E., obowiązku informacyjnego.
Wskazał, że przepis ten obliguje Bank, po wygaśnięciu zobowiązania, do poinformowania osoby zainteresowanej o zamiarze przetwarzania jej danych bez jej zgody. Organ podkreślił, że przepis ten zaczął obowiązywać 16 czerwca 2005 r., zobowiązanie kredytowe E. wygasło 27 czerwca 2006 r., a zatem obowiązek informacyjny wynikający z treści art. 105 ust. 1 Prawa bankowego wobec niej winien być przez Bank spełniony. Powyższa decyzja stała się przedmiotem skargi B. Do Wojewódzkiego Sądu Administracyjnego w Warszawie. Wnosząc o stwierdzenie nieważności, ewentualnie o uchylenie zaskarżonych decyzji strona skarżąca zarzuciła rażące naruszenie art. 105 ust. 4 i 105 a ust. 4 ustawy Prawo Bankowe, art. 23 ust. 1 pkt 2 i art. 5 ustawy o ochronie danych osobowych oraz art. 77 Kpa.
W uzasadnieniu skargi podniesiono, że po wydaniu przedmiotowej decyzji strona skarżąca zaprzestała przetwarzania danych osobowych E. , w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. B. podało jednocześnie, że od 22 listopada 2007 r. przetwarza jej dane dla celów statystycznych strona skarżąca wywodziła, że bezpodstawny jest pogląd, że nie jest do tego uprawniona tylko dlatego, że pozyskała je od Banku w innym celu.
Prezentowała pogląd, że fakt, iż pozyskała te dane w celu oceny zdolności kredytowej i analizy ryzyka kredytowego nie oznacza, że wykorzystując je dla celów statystycznych, przetwarza je dla realizacji celu niesprecyzowanego. Wywodziła, ze jest instytucją, o której mowa w art. 105 ust. 4 Prawa bankowego, oraz że banki stosownie do art. 128 ust. 3 Prawa bankowego mogą stosować metody statystyczne, a zatem instytucje takie jak B. są stworzone po to, by w sytuacjach określonych w Prawie bankowym przetwarzać te dane. Strona skarżąca twierdziła też, że przetwarzanie przez nią danych dla celów statystycznych jest prawnie dopuszczalne i wynika z art. 105 a ust. 4 w zw. z art. 105 ust. 4 Prawa bankowego. Podnosiła, ze skoro przetwarzanie danych dla celów statystycznych jest zgodne z prawem, to organ pominął treść art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych, bowiem zgodnie z tym przepisem przetwarzanie jest dopuszczalne jeżeli jest to niezbędne dla zrealizowania uprawnienia. Skarżąca zarzuciła, że przepis art. 105 a ust. 4 i 5 Prawa bankowego upoważniają do przetwarzania danych osobowych dla celów stosowania metod statystycznych.
Twierdziła też, że to, iż dane osobowe klienta banku w danym momencie nie są przetwarzane dla celów oceny ryzyka kredytowego nie wpływa na fakt, że nie mogą być używane dla celów stosowania metod statystycznych. Podniosła, że w przedmiotowej sprawie stosownie do postanowień art. 5 ustawy o ochronie danych osobowych zastosowanie powinny znaleźć przepisy Prawa Bankowego a nie ustawy o ochronie danych osobowych, albowiem są one bardziej rygorystyczne i zapewniają dalej idącą ochronę. Wywodziła również, iż po dniu 1 kwietnia 2007 r., tj. po wejściu w życie art. 105a ust. 4 ustawodawca przyznał jej uprawnienie do przetwarzania danych stanowiących tajemnicę bankową bez zgody osoby, której te dane dotyczą, oraz wskazał jako ustawowy cel przetwarzania stosowanie metod statystycznych, o których mowa w art. 128 ust. 3 Prawa bankowego. W konkluzji strona skarżąca stwierdziła, że pominięcie przez organ art. 5 ustawy o ochronie danych osobowych stanowi rażące naruszenie prawa.
Nadto podniosła zarzut, iż nieprawdziwe są twierdzenia, jakoby otrzymała dane osobowe E. wyłącznie w celu oceny zdolności kredytowej. Wyjaśniła, że zgodnie
z zawartą z bankiem umową otrzymała od niego informację stanowiącą tajemnicę bankową.
Skoro od 1 kwietnia 2007 r. przepis art. 105 a ust. 4 Prawa bankowego obejmuje również przetwarzanie informacji stanowiących tajemnicę bankową w celu stosowania metod statystycznych (art. 128 ust. 3 Prawa bankowego), to niejako automatycznie ustawa ten zakres obejmuje. Na okoliczność, iż szerszy jest przedmiot przetwarzania danych przez B. niż ocena zdolności kredytowej strona skarżąca przytoczyła § 2 ust. 1 i 2 umowy zawartej pomiędzy nią a Bankiem dołączając jednocześnie do skargi jej treść (vide: umowa z dnia 23 listopada 2004 r.). W końcowej części uzasadnienia podniosła, że z dniem 1 kwietnia 2007 r., kiedy to zakres art. 105 ust. 4 Prawa bankowego został rozszerzony o cel stosowania metod statystycznych przez banki skarżąca ostatecznie takie uprawnienia nabyła. Podkreśliła, że złożyła do Generalnego Inspektora Ochrony Danych Osobowych wniosek aktualizacyjny zgłaszając przetwarzanie danych w zbiorze kredytobiorcy poprzez uzupełnienie o cel przetwarzania danych metod statystycznych. Zarzuciła organwi brak odniesienia się do kwestii jakie interesy E. Mogły zostać naruszone poprzez przetwarzanie jej danych dla celów statystycznych. W szczególności podniosła, że organ nie poczynił ustaleń w przedmiocie ewentualnego naruszenia praw i wolności E. Wyjaśniła, że dane statystyczne nie mogą w żaden sposób wpłynąć na decyzje banków w przedmiocie udzielenia, bądź odmowy udzielenia kredytu bankowego Pani S. albowiem dane te nie służą podejmowaniu decyzji w indywidualnych sprawach, służąc wyłącznie instytucji finansowej tj. badania ryzyka bankowego.
W odpowiedzi na skargę Generalny Inspektor Ochrony Danych Osobowych wniósł o jej oddalenie. Odnosząc się do zarzutu naruszenia art. 105 ust. 4 i art. 105 a ust. 4 ustawy Prawo bankowe podniósł, że Bank przekazując dane osobowe E. udostępnił je dla B. w ściśle określonym celu to jest w celu oceny zdolności kredytowej i B. nie było uprawnione do przetwarzania ich do innych (statystycznych) celów. Zdaniem organu skoro skarżąca otrzymała te dane w ściśle określonym celu, to przetwarzanie ich w innych celach było niedopuszczalne, albowiem B. nie jest upoważnione do samodzielnego decydowania o celu przetwarzania. Organ podkreślił też, że dane E. zbierane są niejako na zapas. Obecnie B. stara się usankcjonować proces przetwarzania jej danych dla realizacji przyszłych celów.
Generalny Inspektor Ochrony Danych Osobowych stwierdził też, że nie doszło do naruszenia art. 5 ustawy o ochronie danych osobowych, bowiem przepis ten nie miał w sprawie zastosowania, ponieważ nie doszło do kolizji z normami zawartymi w ustawie Prawo bankowe. Podniósł też, iż bezsporne w sprawie jest, że dane osobowe E. nie były udostępniane stronie skarżącej w celu stosowania metod statystycznych, o których była mowa w art. 128 ust. 3 Prawa bankowego.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:
Skarga zasługiwała na uwzględnienie.
Istota sporu sprowadza się do oceny, czy B. może legalnie przetwarzać dane osobowe E. dla celów stosowania metod statystycznych, bez jej zgody, skoro dane te otrzymało od Banku dla innych celów, tj. oceny zdolności kredytowej.
W ocenie Sądu przepis art. 105 a ust. 4 ustawy z dnia 29 sierpnia 1997 r. – Prawo bankowe (Dz. U. z 2002 r. Nr 72, poz. 665 z późn. zm.), wprowadził samodzielną przesłankę legalizującą przetwarzanie danych osobowych dla celów stosowania metod statystycznych.
Przepis ten stanowi, iż banki oraz instytucje, o których mowa w art. 105 ust. 4, mogą przetwarzać informacje, stanowiące tajemnicę bankową, dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, bez zgody osoby, której informacje dotyczą, dla celów stosowania metod statystycznych, o których mowa w art. 128 ust. 3. Nie ulega wątpliwości, iż strona skarżąca – B. jest instytucją o której mowa w art. 105 ust. 4 ustawy Prawo bankowe, a zatem mieści się w katalogu podmiotów określonych w art. 105 a ust. 4 Prawa bankowego. A skoro tak, to przepis ten daje stronie skarżącej prawo do przetwarzania danych osobowych dla celów stosowania metod statystycznych bez zgody osoby zainteresowanej. Jednocześnie stanowi samodzielną podstawę do przetwarzania danych osobowych dla tych celów.
W ocenie Sądu, organ wydając przedmiotową decyzję pominął ustawową przesłankę legalizującą przetwarzanie danych osobowych dla stosowania metod statystycznych. Tym samym wydał decyzję z naruszeniem przepisu art. 105 a ust. 4 w związku z art. 128 Prawa bankowego oraz z naruszeniem art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych, który stanowi, że przetwarzanie danych osobowych jest dopuszczalne, jeżeli jest to niezbędne dla zrealizowania uprawnienia. Zaskarżona decyzja została wydana jednocześnie z naruszeniem art. 5 ustawy o ochronie danych osobowych, bowiem w przedmiotowej sprawie w pierwszej kolejności zastosowanie winny znaleźć przepisy Prawa bankowego (przed przepisami ustawy o ochronie danych osobowych), które zapewniają dalej idącą ochronę.
Ponownie rozpoczynając sprawę organ wyda decyzję z uwzględnieniem treści przepisu art. 15 a ust. 4 ustawy Prawo bankowe. Niezależnie od tego, iż zdaniem Sądu w przedmiotowej sprawie zaistniała samodzielna przesłanka legalizująca przetwarzanie przez stronę skarżącą danych osobowych E. dla celów stosowania metod statystycznych, Sąd dokonując kontroli legalności zaskarżonej decyzji stwierdził uchybienia proceduralne mogące mieć wpływ na treść rozstrzygnięcia. W sprawie bezsporne jest, iż B. zwróciło się do Generalnego Inspektora Ochrony Danych Osobowych z wnioskiem o zmianę celu przetwarzania danych w bazie „kredytobiorcy” poprzez uzupełnienie o cel przetwarzania, w związku ze stosowaniem metod statystycznych.
Generalny Inspektor Ochrony Danych Osobowych ani na etapie postępowania administracyjnego, ani też na etapie postępowania przed tutejszym Sądem nie rozpoznał i nie odniósł się do tego, istotnego dla sprawy wniosku. Okoliczność powyższa ma istotne znaczenie, bowiem decyzja Generalnego Inspektora Ochrony Danych Osobowych w tym względzie (pozytywna bądź negatywna), wiąże się z legalizacją danych osobowych stosowanych dla celów metod statystycznych. Stosownie do art. 46 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t.j. Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.), administrator danych może, z zastrzeżeniem ust. 2 wyżej cyt. przepisu, rozpocząć ich przetwarzanie w zbiorze danych po zgłoszeniu tego zbioru Generalnemu Inspektorowi Ochrony Danych Osobowych, chyba że ustawa zwalnia go z tego obowiązku, bądź w oparciu o przepis art. 44 ust. 1 tej ustawy, organ wyda decyzję o odmowie rejestracji zbioru danych.
Organ stosownie do treści art. 44 ust. 1 ustawy o ochronie danych osobowych, ani nie podjął czynności materialno – technicznej ani nie wydał decyzji odmownej (bezsporne).
W ocenie Sądu wniesiony przez B. wniosek o zmianę celu przetwarzania o cel stosowania metod statystycznych winien być rozpoznany przed wydaniem decyzji w przedmiotowej sprawie. Wniesiony wniosek rozpoczął swoiste postępowanie incydentalne, które przedmiotowe było związane z niniejszą sprawą. Odmowna decyzja organu w tym przedmiocie otworzyłaby stronie skarżącej możliwość jej zaskarżenia i ewentualnie mogłaby być podstawą do zawieszenia niniejszego postępowania.
Organ nie dostrzegając związku tych dwóch równoległych, powiązanych ze sobą spraw, wniesiony przez B. wniosek pozostawił bez biegu. Nie rozpoznał go ani pozytywnie, ani negatywnie. Z treści uzasadnienia przedmiotowej decyzji wynika, że GIODO wniosek B. ocenił jako próbę usankcjonowania przetwarzania danych dla celów statystycznych.
Organ pominął, że każda sprawa toczy się po wszczęciu postępowania swoimi prawami i zgodnie z regułami określonymi w Kodeksie postępowania administracyjnego, a także, że toczyły się dwa równoległe, powiązane ze sobą postępowania, które samodzielnie należało zakończyć. Ponownie rozpoznając sprawę organ rozpozna, jako pierwszy, wniosek B. o zmianę celu przetwarzania danych w bazie „kredytobiorcy” o cel stosowania metod statystycznych.
Po rozpoznaniu tego wniosku oceni, czy przetwarzanie przez B. danych osobowych dla metod statystycznych jest legalne. Oceni wówczas czy B. uprawnienie do przetwarzania danych osobowych dla celów stosowania metod statystycznych nabyło wprost z ustawy z dniem 1 kwietnia 2007 r., kiedy to zakres art. 105 ust. 4 Prawa bankowego został rozszerzony o cel stosowania metod statystycznych.
Generalny Inspektor Ochrony Danych Osobowych wyjaśni, czy B. było upoważnione przez Bank jedynie do przetwarzania danych osobowych dla celów oceny zdolności kredytowej, czy też zakres ten był szerszy z uwagi na treść przepisu art. 105 a ust. 4 Prawa bankowego. Wskaże na podstawie jakiego dowodu i przepisu prawa przyjął i uznał, że B. było ograniczone przez bank tylko do przetwarzania danych osobowych w zakresie zdolności kredytowej. Wreszcie odniesienie się do kwestii, czy nowo wprowadzony z dniem 1 kwietnia 2007 r. przepis art. 105 a ust. 4 Prawa bankowego automatycznie nie rozszerzył uprawnień B. w stosunku do przekazanych mu wcześniej przez Bank danych.
Na marginesie należy przypomnieć organowi, że Wojewódzki Sąd Administracyjny w Warszawie w uzasadnieniu wyroku z dnia 15 lutego 2008 r. sygn. II S.A./Wa 1979/07 zwrócił uwagę, iż po wejściu w życie art. 105 a ust 4 ustawy Prawo bankowe należy odrębnie dokonywać ustaleń w zakresie dopuszczalności przetwarzania danych dla celów zdolności kredytowej i analizy ryzyka kredytowego oraz odrębnie dla celów stosowania metod statystycznych, o których mowa w art. 128 ust. 3 Prawa bankowego.
Ze względu na powyższe Wojewódzki Sąd Administracyjny w Warszawie na podstawie art. 145 ust. 1 pkt c ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. Nr 153, poz. 1270 z późn. zm.) orzekł, jak w sentencji.
O wstrzymaniu wykonania zaskarżanej decyzji orzeczono na podstawie art. 152 tej ustawy.
O zwrocie kosztów postępowania orzeczono zgodnie z postanowieniami art. 200 cyt. ustawy Prawo o postępowaniu przed sądami administracyjnymi.
Wideo: Przegląd orzecznictwa (sierpień – listopad 2022 r.) – cz. III – decyzje zagranicznych organów nadzorczych
Poznaj najważniejsze orzeczenia zagranicznych organów nadzorczych. W podsumowaniu poruszamy zagadnienia związane m.in. z geolokalizacją, prawem dostępem do danych, cyberatakiem na gminę czy rozpoznawaniem twarzy.
