Wyrok WSA w Warszawie, sygn. akt II SA/Wa 917/08
Wojewódzki Sąd Administracyjny w Warszawie
Data orzeczenia: 2008-12-04 00:00:00+01:00 (orzeczenie prawomocne)
Symbol z opisem: 647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne: Ochrona danych osobowych
Skarżony organ: Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku: Uchylono decyzję I i II instancji
Powołane przepisy: article: art. 105 a
journal: Dz.U. 1997 nr 140 poz 939
law: Ustawa z dnia 29 sierpnia 1997 r. - Prawo bankowe.

SENTENCJA

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący: Sędzia WSA Andrzej Kołodziej, Sędzia WSA Ewa Grochowska-Jung, Sędzia WSA Ewa Pisula - Dąbrowska (spr.), , , Protokolant Aleksandra Weiher, po rozpoznaniu na rozprawie w dniu 4 grudnia 2008 r. sprawy ze skargi B. z siedzibą w W. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] kwietnia 2008 r. nr [...] w przedmiocie nakazania usunięcia danych osobowych ze zbioru danych 1) uchyla zaskarżoną decyzję oraz decyzję ją poprzedzającą 2) stwierdza, że zaskarżona decyzja nie podlega wykonaniu w całości 3) zasądza od Generalnego Inspektora Ochrony Danych Osobowych na rzecz B. S.A. z siedzibą w W. kwotę 440 zł (czterysta czterdzieści złotych) tytułem zwrotu kosztów postępowania.


UZASADNIENIE

Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia [...] kwietnia 2008 r. nr [...] utrzymał swoją wcześniejszą decyzję z dnia [...] października 2007 r. nr [...], którą to decyzją nakazał S. S.A. z siedzibą w W. usunięcie ze zbioru prowadzonego przez B. S.A. z siedzibą w W. przekazanych do tego zbioru danych osobowych E. S.

W uzasadnieniu organ wskazał, że E. S. zawarła w dniu [...] r. umowę kredytową z B. S.A. Powyższą wierzytelność nabył S. S.A., zwany dalej Bankiem, w drodze cesji wierzytelności w dniu [...] r. GIODO ustalił, iż E. S. dokonując spłaty zobowiązania wynikającego z umowy kredytowej dopuściła się zwłoki w spełnieniu świadczenia pieniężnego. W dniu [...] r. Bank przekazał jej dane osobowe do B. S.A. Dnia [...] zobowiązanie E. S. w stosunku do Banku wygasło w związku z tym, że Bank sprzedał wierzytelność osobie trzeciej – U. Sp. z o.o. Pomimo wygaśnięcia zobowiązania wobec Banku, S. nadal przetwarzał dane osobowe E. S..

Pismem z dnia [...] r. (k-[...] akt administracyjnych) E. S. zwróciła się z żądaniem do Generalnego Inspektora Ochrony Danych Osobowych o usunięcie jej danych osobowych ze zbioru prowadzonego przez B. S.A., w związku ze spłatą zobowiązania wynikającego z zawartej umowy kredytowej. Jednocześnie oświadczyła, że nie wyraża zgody na przetwarzanie jej danych osobowych. Nabywca wierzytelności U. Sp. z o.o. potwierdziła, że zadłużenie E. S., z tytułu umowy zawartej [....] r. zostało uregulowane w całości w dniu [...] r. (k-[...] akt administracyjnych).

Nakazując usunięcie ze zbioru B. S.A. danych osobowych E. S. Generalny Inspektor Ochrony Danych Osobowych jako podstawę rozstrzygnięcia wskazał art. 105 ust. 4 i 105a ust. 3 ustawy z dnia 29 sierpnia 1997 r. – Prawo bankowe (Dz. U. z 2002 r. Nr 72, poz. 665 z późn. zm.). Organ stwierdził, że S. przekazał do B. S.A. dane osobowe E. S. przed wejściem w życie art. 105 a ustawy Prawo bankowe, tj. przed dniem 16 czerwca 2005 r., ale przetwarzał je nadal po tej dacie bez dopełnienia obowiązku informacyjnego, o którym mowa w art. 105 a cyt. ust. 3 ustawy. Podkreślił też, że E. S., po wejściu w życie wyżej wskazanego przepisu, w piśmie z dnia [...] r., domagała się zaniechania przetwarzania jej danych osobowych w związku ze spłatą zobowiązania, a zatem Bank wiedział o tym, że E. S. nie wyraża zgody na przetwarzanie jej danych osobowych. Generalny Inspektor Ochrony Danych Osobowych zarzucił Bankowi zaniechanie spełnienia, w stosunku do E. S., obowiązku informacyjnego. Wskazał, że przepis ten obliguje Bank, po wygaśnięciu zobowiązania, do poinformowania osoby zainteresowanej o zamiarze przetwarzania jej danych bez jej zgody. Organ podkreślił, że przepis ten zaczął obowiązywać 16 czerwca 2005 r., zobowiązanie kredytowe E. S. wygasło [...]r., a zatem obowiązek informacyjny wynikający z treści art. 105 ust. 1 Prawa bankowego wobec niej winien być przez Bank spełniony.

Powyższa decyzja stała się przedmiotem skargi B. S.A. do Wojewódzkiego Sądu Administracyjnego w Warszawie. Wnosząc o stwierdzenie nieważności, ewentualnie o uchylenie zaskarżonych decyzji strona skarżąca zarzuciła rażące naruszenie art. 105 ust. 4 i 105 a ust. 4 ustawy Prawo bankowe, art. 23 ust. 1 pkt 2 i art. 5 ustawy o ochronie danych osobowych oraz art. 77 Kpa.

W uzasadnieniu skargi podniesiono, że po wydaniu przedmiotowej decyzji strona skarżąca zaprzestała przetwarzania danych osobowych E. S., w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. B. S.A. podało jednocześnie, że od [...] r. przetwarza jej dane dla celów statystycznych. Uzasadniając dalsze przetwarzanie danych osobowych dla celów statystycznych strona skarżąca wywodziła, że bezpodstawny jest pogląd, że nie jest do tego uprawniona tylko dlatego, że pozyskała je od Banku w innym celu. Prezentowała pogląd, że fakt, iż pozyskała te dane w celu oceny zdolności kredytowej i analizy ryzyka kredytowego nie oznacza, że wykorzystując je dla celów statystycznych, przetwarza je dla realizacji celu niesprecyzowanego. Wywodziła, że jest instytucją, o której mowa w art. 105 ust. 4 Prawa bankowego, oraz że banki stosownie do art. 128 ust. 3 Prawa Bankowego mogą stosować metody statystyczne, a zatem instytucje takie jak B. S.A. są stworzone po to, by w sytuacjach określonych w Prawie bankowym przetwarzać te dane. Strona skarżąca twierdziła też, że przetwarzanie przez nią danych dla celów statystycznych jest prawnie dopuszczalne i wynika z art. 105 a ust. 4 w zw. z art. 105 ust. 4 Prawa bankowego. Podnosiła, że skoro przetwarzanie danych dla celów statystycznych jest zgodne z prawem, to organ pominął treść art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych, bowiem zgodnie z tym przepisem przetwarzanie jest dopuszczalne jeżeli jest to niezbędne dla zrealizowania uprawnienia. Skarżąca zarzuciła, że przepis art. 105 a ust. 4 i 5 Prawa bankowego upoważnia ją do przetwarzania danych osobowych dla celów stosowania metod statystycznych. Twierdziła też, że to, iż dane osobowe klienta banku w danym momencie nie są przetwarzane dla celów oceny ryzyka kredytowego nie wpływa na fakt, że nie mogą być używane dla celów stosowania metod statystycznych. Podniosła, że w przedmiotowej sprawie stosownie do postanowień art. 5 ustawy o ochronie danych osobowych zastosowanie powinny znaleźć przepisy Prawa bankowego – a nie ustawy o ochronie danych osobowych, albowiem są one bardziej rygorystyczne i zapewniają dalej idącą ochronę. Wywodziła również, iż po dniu 1 kwietnia 2007 r., tj. po wejściu w życie art. 105a ust. 4 ustawodawca przyznał jej uprawnienie do przetwarzania danych stanowiących tajemnicę bankową bez zgody osoby, której te dane dotyczą, oraz wskazał jako ustawowy cel przetwarzania – stosowanie metod statystycznych, o których mowa w art. 128 ust. 3 Prawa bankowego. W konkluzji strona skarżąca stwierdziła, że pominięcie przez organ art. 5 ustawy o ochronie danych osobowych stanowi rażące naruszenie prawa. Nadto podniosła zarzut, iż nieprawdziwe są twierdzenia, jakoby otrzymała dane osobowe E. S. wyłącznie w celu oceny zdolności kredytowej. Wyjaśniła, że zgodnie z zawartą z bankiem umową otrzymała od niego informację stanowiącą tajemnicę bankową. Skoro od 1 kwietnia 2007 r. przepis art. 105 a ust. 4 Prawa bankowego obejmuje również przetwarzanie informacji stanowiących tajemnicę bankową w celu stosowania metod statystycznych (art. 128 ust. 3 Prawa bankowego), to niejako automatycznie ustawa ten zakres obejmuje. Na okoliczność, iż szerszy jest przedmiot przetwarzania danych przez B. S.A. niż ocena zdolności kredytowej strona skarżąca przytoczyła § 2 ust. 1 i 2 umowy zawartej pomiędzy nią a Bankiem – dołączając jednocześnie do skargi jej treść (vide: umowa z dnia [...] r. – k. [...] akt sądowych). W końcowej części uzasadnienia podniosła, że z dniem 1 kwietnia 2007 r., kiedy to zakres art. 105 ust. 4 Prawa bankowego został rozszerzony o cel stosowania metod statystycznych przez banki – skarżąca ostatecznie takie uprawnienia nabyła. Podkreśliła, że złożyła do Generalnego Inspektora Ochrony Danych Osobowych wniosek aktualizacyjny zgłaszając przetwarzanie danych w zbiorze "[...]" poprzez uzupełnienie o cel przetwarzania danych metod statystycznych. Zarzuciła organowi brak odniesienia się do kwestii jakie interesy E. S. mogły zostać naruszone poprzez przetwarzanie jej danych dla celów statystycznych. W szczególności podniosła, że organ nie poczynił ustaleń w przedmiocie ewentualnego naruszenia praw i wolności E. S. Wyjaśniła, że dane statystyczne nie mogą w żaden sposób wpłynąć na decyzje banków w przedmiocie udzielenia, bądź odmowy udzielenia kredytu bankowego Pani S., albowiem dane te nie służą podejmowaniu decyzji w indywidualnych sprawach, służąc wyłącznie instytucji finansowej tj. badaniu ryzyka bankowego.

W odpowiedzi na skargę Generalny Inspektor Ochrony Danych Osobowych wniósł o jej oddalenie. Odnosząc się do zarzutu naruszenia art. 105 ust. 4 i art. 105 a ust. 4 ustawy Prawo bankowe podniósł, że Bank przekazując dane osobowe E. S. udostępnił je dla B. S.A. w ściśle określonym celu – to jest w celu oceny zdolności kredytowej i B. S.A. nie było uprawnione do przetwarzania ich do innych (statystycznych) celów. Zdaniem organu, skoro skarżąca otrzymała te dane w ściśle określonym celu, to przetwarzanie ich w innych celach było niedopuszczalne, albowiem B. S.A. nie jest upoważnione do samodzielnego decydowania o celu przetwarzania. Organ podkreślił też, że dane E. S. zbierane są niejako "na zapas". Obecnie B. S.A. stara się usankcjonować proces przetwarzania jej danych dla realizacji przyszłych celów. Generalny Inspektor Ochrony Danych Osobowych stwierdził też, że nie doszło do naruszenia art. 5 ustawy o ochronie danych osobowych, bowiem przepis ten nie miał w sprawie zastosowania, ponieważ nie doszło do kolizji z normami zawartymi w ustawie – Prawo bankowe. Podniósł też, iż bezsporne w sprawie jest, że dane osobowe E. S. nie były udostępniane stronie skarżącej w celu stosowania metod statystycznych, o których była mowa w art. 128 ust. 3 Prawa bankowego.

Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:

Skarga zasługiwała na uwzględnienie.

Istota sporu sprowadza się do oceny, czy B. S.A. może legalnie przetwarzać dane osobowe E. S. dla celów stosowania metod statystycznych, bez jej zgody, skoro dane te otrzymało od Banku dla innych celów, tj. oceny zdolności kredytowej.

W ocenie Sądu przepis art. 105 a ust. 4 ustawy z dnia 29 sierpnia 1997 r. – Prawo bankowe (Dz. U. z 2002 r. Nr 72, poz. 665 z późn. zm.), wprowadził samodzielną przesłankę legalizującą przetwarzanie danych osobowych dla celów stosowania metod statystycznych.

Przepis ten stanowi, iż banki oraz instytucje, o których mowa w art.105 ust. 4, mogą przetwarzać informacje, stanowiące tajemnicę bankową, dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, bez zgody osoby, której informacje dotyczą, dla celów stosowania metod statystycznych, o których mowa w art.128 ust. 3. Nie ulega wątpliwości, iż strona skarżąca – B. jest instytucją o której mowa w art. 105 ust. 4 ustawy Prawo bankowe, a zatem mieści się w katalogu podmiotów określonych w art. 105 a ust.4 Prawa bankowego. A skoro tak, to przepis ten daje stronie skarżącej prawo do przetwarzania danych osobowych dla celów stosowania metod statystycznych bez zgody osoby zainteresowanej. Jednocześnie stanowi samodzielną podstawę do przetwarzania danych osobowych dla tych celów.

W ocenie Sądu, organ wydając przedmiotową decyzję pominął ustawową przesłankę legalizującą przetwarzanie danych osobowych dla stosowania metod statystycznych. Tym samym wydał decyzję z naruszeniem przepisu art.105 a ust. 4 w związku z art.128 Prawa bankowego oraz z naruszeniem art. 23 ust.1 pkt. 2 ustawy o ochronie danych osobowych, który stanowi, że przetwarzanie danych osobowych jest dopuszczalne, jeżeli jest to niezbędne do dla zrealizowania uprawnienia. Zaskarżona decyzja została wydana jednocześnie z naruszeniem art. 5 ustawy o ochronie danych osobowych, bowiem w przedmiotowej sprawie w pierwszej kolejności zastosowanie winny znaleźć przepisy Prawa bankowego (przed przepisami ustawy o ochronie danych osobowych), które zapewniają dalej idącą ochronę.

Ponownie rozpoznając sprawę organ wyda decyzję z uwzględnieniem treści przepisu art.105 a ust. 4 ustawy Prawo bankowe.

Niezależnie od tego, iż zdaniem Sądu w przedmiotowej sprawie zaistniała samodzielna przesłanka legalizująca przetwarzanie przez stronę skarżącą danych osobowych E. S. dla celów stosowania metod statystycznych, Sąd dokonując kontroli legalności zaskarżonej decyzji stwierdził uchybienia proceduralne mogące mieć wpływ na treść rozstrzygnięcia. W sprawie bezsporne jest, iż B. zwróciło się do Generalnego Inspektora Ochrony Danych Osobowych z wnioskiem o zmianę celu przetwarzania danych w bazie "[...]" poprzez uzupełnienie o cel przetwarzania, w związku ze stosowaniem metod statystycznych. Generalny Inspektor Ochrony Danych Osobowych ani na etapie postępowania administracyjnego, ani też na etapie postępowania przed tutejszym Sądem nie rozpoznał i nie odniósł się do tego, istotnego dla sprawy wniosku,. Okoliczność powyższa ma istotne znaczenie, bowiem decyzja Generalnego Inspektora Ochrony Danych Osobowych w tym względzie (pozytywna bądź negatywna), wiąże się z legalizacją danych osobowych stosowanych dla celów metod statystycznych. Stosownie do art. 46 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t.j. Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.), administrator danych może, z zastrzeżeniem ust 2 wyżej cyt. przepisu, rozpocząć ich przetwarzanie w zbiorze danych po zgłoszeniu tego zbioru Generalnemu Inspektorowi Ochrony Danych Osobowych, chyba że ustawa zwalnia go z tego obowiązku, bądź w oparciu o przepis art. 44 ust. 1 tej ustawy, organ wyda decyzję o odmowie rejestracji zbioru danych. Organ stosownie do treści art. 44 ust. 1 ustawy o ochronie danych osobowych, ani nie podjął czynności materialno - technicznej ani nie wydał decyzji odmownej ( bezsporne).

W ocenie Sądu wniesiony przez B. wniosek o zmianę celu przetwarzania o cel stosowania metod statystycznych winien być rozpoznany przed wydaniem decyzji w przedmiotowej sprawie. Wniesiony wniosek rozpoczął swoiste postępowanie incydentalne, które przedmiotowo było związane z niniejszą sprawą. Odmowna decyzja organu w tym przedmiocie otworzyłaby stronie skarżącej możliwość jej zaskarżenia i ewentualnie mogłaby być podstawą do zawieszenia niniejszego postępowania.

Organ nie dostrzegając związku tych dwóch równoległych, powiązanych ze sobą spraw, wniesiony przez B. wniosek pozostawił bez biegu. Nie rozpoznał go ani pozytywnie, ani negatywnie. Z treści uzasadnienia przedmiotowej decyzji wynika, że GIODO wniosek B. ocenił jako próbę usankcjonowania przetwarzania danych dla celów statystycznych.

Organ pominął, że każda sprawa toczy się po wszczęciu postępowania swoimi prawami i zgodnie z regułami określonymi w Kodeksie postępowania administracyjnego, a także, że toczyły się dwa równoległe, powiązane ze sobą postępowania, które samodzielnie należało zakończyć.

Ponownie rozpoznając sprawę organ rozpozna, jako pierwszy, wniosek B. S.A. o zmianę celu przetwarzania danych w bazie "kredytobiorcy" o cel stosowania metod statystycznych. Po rozpoznaniu tego wniosku oceni, czy przetwarzanie przez B. danych osobowych dla metod statystycznych jest legalne. Oceni wówczas czy B. S.A. uprawnienie do przetwarzania danych osobowych dla celów stosowania metod statystycznych nabyło wprost z ustawy z dniem 1 kwietnia 2007 r., kiedy to zakres art. 105 ust. 4 Prawa bankowego został rozszerzony o cel stosowania metod statystycznych.

Generalny Inspektor Ochrony Danych Osobowych wyjaśni, czy B. S.A. było upoważnione przez Bank jedynie do przetwarzania danych osobowych dla celów oceny zdolności kredytowej, czy też zakres ten był szerszy z uwagi na treść przepisu art.105 a ust. 4 Prawa bankowego. Wskaże na podstawie jakiego dowodu i przepisu prawa przyjął i uznał, że B. S.A. było ograniczone przez bank tylko do przetwarzania danych osobowych w zakresie zdolności kredytowej. Wreszcie odniesie się do kwestii, czy nowo wprowadzony z dniem 1 kwietnia 2007 r. przepis art. 105 a ust. 4 Prawa bankowego automatycznie nie rozszerzył uprawnień B. S.A. w stosunku do przekazanych mu wcześniej przez Bank danych.

Na marginesie należy przypomnieć organowi, że Wojewódzki Sąd Administracyjny w Warszawie w uzasadnieniu wyroku z dnia 15 lutego 2008 r. sygn. II SA/Wa 1979/07 zwrócił uwagę, iż po wejściu w życie art. 105 a ust. 4 ustawy Prawo bankowe należy odrębnie dokonywać ustaleń w zakresie dopuszczalności przetwarzania danych dla celów zdolności kredytowej i analizy ryzyka kredytowego oraz odrębnie dla celów stosowania metod statystycznych, o których mowa w art. 128 ust. 3 Prawa bankowego.

Ze względu na powyższe Wojewódzki Sąd Administracyjny w Warszawie na podstawie art. 145 ust. 1 pkt c ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. Nr 153, poz. 1270 z późn. zm.) orzekł, jak w sentencji.

O wstrzymaniu wykonania zaskarżanej decyzji orzeczono na podstawie art. 152 tej ustawy.

O zwrocie kosztów postępowania orzeczono zgodnie z postanowieniami art. 200 cyt. ustawy Prawo o postępowaniu przed sądami administracyjnymi.