>Decyzje Giodo>2009 >

DOLiS/DEC-1101/09 dot. GI-DOLiS-430/524/07

GENERALNY INSPEKTOR OCHRONY DANYCH
OSOBOWYCH
Michał Serzycki

Warszawa, dnia 2 listopada 2009 r.

DECYZJA

Na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego oraz art. 12 pkt 2, art. 22 i art. 23 ust. 1 pkt 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. 2002 r. Nr 101, poz. 926 ze zm.) w związku z art. 105 ust. 4, art. 105a ust. 4 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz. U. 2002 r. Nr 72 poz. 665 z późn. zm.), po przeprowadzeniu postępowania administracyjnego w sprawie skargi Pani X, zam. w (…), o usunięcie jej danych osobowych ze zbioru prowadzonego przez Biuro Informacji Kredytowej S.A. z siedzibą w Warszawie przy ul. Z. Modzelewskiego 77A, przekazanych przez Spółdzielczą Kasę Oszczędnościowo - Kredytową (…),

odmawiam uwzględnienia wniosku.

Uzasadnienie
 

Do Generalnego Inspektora Ochrony Danych Osobowych (zwanego dalej Generalnym Inspektorem) wpłynęła skarga Pani X, zam. w (…) (zwanej dalej Skarżącą) o usunięcie jej danych osobowych ze zbioru prowadzonego przez Biuro Informacji Kredytowej S.A. z siedzibą w Warszawie przy ul. Z. Modzelewskiego 77A (zwane dalej BIK) przekazanych przez Spółdzielczą Kasę Oszczędnościowo - Kredytową (…) (zwaną dalej SKOK). Skarżąca podniosła, że spłaciła zobowiązanie powstałe w wyniku zawarcia umowy pożyczki ze SKOK, a pomimo tego SKOK nie usunął jej danych z BIK. W związku z powyższym Skarżąca wniosła o nakazanie usunięcia przez Generalnego Inspektora jej danych z ww. zbioru. Skarżąca podniosła także, iż w zbiorze danych BIK jej rachunek kredytowy dotyczący przedmiotowej umowy ma status zamkniętego w drodze windykacji, co jest według niej niezgodne ze stanem faktycznym.
W toku postępowania przeprowadzonego w niniejszej sprawie Generalny Inspektor Ochrony Danych Osobowych ustalił następujący stan faktyczny:
1. SKOK pozyskał dane osobowe Skarżącej w związku z zawarciem z nią w dniu 14 kwietnia 2004 r. umowy pożyczki nr 1/558464/2004.
2. Dane Skarżącej zostały przekazane przez SKOK do BIK i wprowadzone do bazy „Kredytobiorcy” dniu 26 maja 2005 r.
3. Data spłaty pożyczki została ustalona w umowie na dzień 14 kwietnia 2007 r.
4. Należność z tytułu ww. pożyczki została w całości spłacona w dniu 2 maja 2007 r. Zwłoka Skarżącej w spełnieniu świadczenia wynikającego z umowy pożyczki wyniosła 18 dni.
5. W dniu 21 sierpnia 2007 r. Skarżąca zwróciła się do SKOK z żądaniem usunięcia jej danych ze zbioru danych prowadzonego przez BIK dotyczących ww. pożyczki.
6. W przedstawionych w toku postępowania wyjaśnieniach BIK wskazał, iż przetwarza obecnie dane osobowe Skarżącej „(...) w oparciu o art. 6 ustawy o zmianie ustawy o ochronie informacji niejawnych oraz niektórych innych ustaw, gdyż Biuro Informacji Kredytowej S.A. jest instytucją, której dotyczy trzyletni okres dostosowawczy wskazany w ustawie z dnia 15 kwietnia 2005 r. o zmianie ustawy o ochronie informacji niejawnych oraz niektórych innych ustaw (...). W związku z tym, przetwarzanie informacji zgromadzonych do dnia wejścia w życie tej ustawy jest możliwe na dotychczasowych zasadach i proces ich dostosowywania do wymogów w/w ustawy musi nastąpić najpóźniej przed upływem 3 lat od jej wejścia w życie.” Analogiczne stanowisko zajęła SKOK. Ponadto BIK S.A. wskazał, iż przetwarza dane osobowe Skarżącej także „(...) w celu stosowania przez banki metod statystycznych, o których mowa w art. 128 ust. 3 Prawa bankowego (...)”.
Po przeprowadzeniu postępowania administracyjnego w przedmiotowej sprawie Generalny Inspektor Ochrony Danych Osobowych w dniu 20 grudnia 2007 r. wydał decyzję administracyjną nakazującą SKOK spowodowanie usunięcia ze zbioru danych kredytobiorców prowadzonego przez BIK danych osobowych Skarżącej (znak: GI-DEC-DOLiS-271/07/7157,7158,7159).
W dniu 16 stycznia 2008 r. (w ustawowym terminie) do Biura Generalnego Inspektora wpłynął wniosek BIK o ponowne rozpatrzenie sprawy zakończonej ww. decyzją. Generalny Inspektor Ochrony Danych Osobowych zwrócił się do SKOK oraz BIK o złożenie wyjaśnień. W przedstawionych wyjaśnieniach SKOK wskazał, iż zgodnie z decyzją Generalnego Inspektora Ochrony Danych Osobowych z dnia 20 grudnia 2007 r. (znak: GI-DEC-DOLiS-271/07/7157,7158,7159) zwrócił się do BIK o usunięcie danych Pani X przetwarzanych w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Ponadto BIK wyjaśnił, iż „po wykonaniu przez SKOK Decyzji GIODO (...) dane osobowe Pani X są przetwarzane w dalszym ciągu w zbiorze BIK wyłącznie w celu stosowania przez banki metod statystycznych (...)”.
Po ponownym rozpatrzeniu sprawy Generalny Inspektor wydał w dniu 27 czerwca 2008 r. decyzję administracyjną (znak: DOLiS/DEC-393/08/16162,16164,16167), mocą której utrzymał w mocy zaskarżoną decyzję.
W dniu 31 lipca 2008 r. (w ustawowym terminie) do Biura Generalnego Inspektora wpłynęła skarga BIK do Wojewódzkiego Sądu Administracyjnego w Warszawie na ww. decyzję z dnia 27 czerwca 2008 r. Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 21 maja 2009 r. (znak: II SA/Wa 1233/08) uchylił zaskarżoną decyzję i decyzję ją poprzedzającą. Sąd orzekł, iż zaskarżona decyzja nie podlega wykonaniu w całości. W uzasadnieniu Sąd uznał, że BIK jako instytucja z art. 105 ust. 4 Prawa bankowego jest podmiotem określonym w art. 105a ust. 4 Prawa bankowego. Z związku z powyższym BIK jest uprawniony do przetwarzania danych osobowych dla celów stosowania metod statycznych bez zgody osoby zainteresowanej. W ocenie Sądu art. 105a ust. 4 Prawa bankowego stanowi samodzielną podstawę do przetwarzania danych osobowych dla tych celów przez BIK. W związku z powyższym, Generalny Inspektor Ochrony Danych Osobowych zważył, co następuje: Ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.), zwana dalej ustawą, określa zasady postępowania przy przetwarzaniu danych osobowych oraz prawa osób fizycznych, których dane osobowe są lub mogą być przetwarzane w zbiorach danych (art. 2 ust. 1 ustawy). O legalności przetwarzania danych Skarżącej przez BIK decyduje to, czy podmiot ten spełnia materialne przesłanki legalności przetwarzania danych określone w art. 23 ust. 1 ustawy. Wobec okoliczności niniejszej sprawy wskazać należy, że przetwarzanie danych jest dopuszczalne m.in. wtedy, gdy osoba, której dane dotyczą wyrazi na to zgodę, chyba że chodzi o usunięcie dotyczących jej danych (art. 23 ust. 1 pkt 1 ustawy) oraz gdy jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa (art. 23 ust. 1 pkt 2 ustawy).
Aktem prawnym zawierającym szczegółowe regulacje dotyczące procesu przetwarzania danych osobowych klientów banków oraz instytucji ustawowo upoważnionych do udzielania kredytów, do których w szczególności należy, SKOK jest przede wszystkim ustawa z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz. U. z 2002 r. Nr 72, poz. 665 ze zm.).
Stosownie do brzmienia art. 105a ust. 4 Prawa bankowego, banki oraz instytucje, o których mowa w art. 105 ust. 4, mogą przetwarzać informacje stanowiące tajemnicę bankową dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, bez zgody osoby, której informacje dotyczą, dla celów stosowania metod statystycznych, o których mowa w art. 128 ust. 3. Przetwarzanie informacji stanowiących tajemnicę bankową w ww. przypadku może być wykonywane przez okres 12 lat od dnia wygaśnięcia zobowiązania (art. 105a ust. 5 Prawa bankowego). Art. 128 ust. 3 Prawa bankowego upoważnia banki generalnie do stosowania – za zgodą Komisji Nadzoru Bankowego – metod statystycznych do obliczania wymogów kapitałowych. Art. 128 d ust. 1 i 6 Prawa bankowego zezwala natomiast bankowi będącemu unijną instytucją dominującą i podmiotom zależnym od tego banku, działającym z tym bankiem w holdingu oraz podmiotom zależnym od unijnego podmiotu dominującego w holdingu finansowym, na wspólne stosowanie metod statystycznych, o których mowa w art. 128 ust. 3 –po uzyskaniu zgody samej tylko Komisji Nadzoru Bankowego, bądź właściwych władz nadzorczych, lecz przy współpracy ww. Komisji. W myśl art. 105 ust. 4 pkt 1 Prawa bankowego banki mogą, wspólnie z bankowymi izbami gospodarczymi, utworzyć instytucje upoważnione do gromadzenia, przetwarzania i udostępnienia bankom – informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych oraz w związku ze stosowaniem metod statystycznych, o których mowa w art. 128 ust. 3 oraz w art. 128d ust. 1. Art. 105 ust. 1 pkt 1c Prawa bankowego obliguje natomiast bank do udzielania informacji stanowiących tajemnicę bankową instytucjom, o których mowa w ust. 4 (w tym BIK), w zakresie niezbędnym dla
stosowania metod statystycznych, o których mowa w art. 128 d ust. 1 i 6. Dopuszczalność przetwarzania przez BIK danych osobowych Skarżącej po wygaśnięciu zobowiązania musi być zatem rozpatrywana w kontekście spełnienia przesłanek z art. 105a ust. 4 Prawa bankowego, jak również rozporządzenia Ministra Finansów z dnia 27 marca 2007 r. w sprawie szczegółowego zakresu przetwarzanych informacji dotyczących osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów oraz trybu
usuwania tych informacji (Dz. U. Nr 56, poz. 373). Zakres informacji przetwarzanych w celu oceny zdolności kredytowej i analizy ryzyka kredytowego lub dla celów stosowania metod statystycznych, o których mowa w art. 128 ust. 3 ustawy, został określony w § 3 cytowanego wyżej rozporządzenia. Powyższe stanowisko podziela Wojewódzki Sąd Administracyjny w Warszawie w wyroku z dnia 4 grudnia 2008 r. sygn. akt II SA/Wa 917/08.
W niniejszej sprawie stwierdzić należy, iż pomimo przekazania BIK przez SKOK danych osobowych Skarżącej w celu oceny zdolności kredytowej i analizy ryzyka kredytowego, BIK jest uprawnione do przetwarzania jej danych w zakresie określonym przepisami ww. rozporządzenia dla celów stosowania metod statystycznych na podstawie art. 23 ust. 1 pkt 2 ustawy. Zatem zgoda Skarżącej na przetwarzanie jej danych osobowych przez BIK, czy też jej brak nie stanowi przeszkody ponieważ BIK jest uprawnione do przetwarzania danych osobowych Skarżącej dla celów stosowania metod statystycznych, o których mowa w art. 128 ust. 3 Prawa bankowego, albowiem jak wynika ze złożonych przez BIK wyjaśnień, Spółka przetwarza dane osobowe Skarżącej w zakresie określonym w przepisach ww. rozporządzenia, a tym samym nie narusza obowiązujących w tej materii przepisów prawa.
W tym stanie faktycznym i prawnym Generalny Inspektor Ochrony Danych Osobowych rozstrzygnął, jak w sentencji.
Decyzja niniejsza jest ostateczna. Na podstawie art. 21 ust. 1 ustawy o ochronie danych osobowych, stronie niezadowolonej z niniejszej decyzji przysługuje, w terminie 14 dni od dnia jej doręczenia, prawo złożenia do Generalnego Inspektora Ochrony Danych Osobowych wniosku o ponowne rozpatrzenie sprawy (adres: Biuro Generalnego Inspektora Ochrony Danych Osobowych, ul. Stawki 2, 00 – 193 Warszawa).