>Orzecznictwo>WSA>2006 >

II Sa/Wa 871/06 → I OSK 616/07

Orzeczenie prawomocne

W Y R O K

W IMIENIU RZECZYPOSPOLITEJ POLSKIEJ

Dnia 03 października 2006 r.

Wojewódzki Sąd Administracyjny w Warszawie po rozpoznaniu na rozprawie w dniu 03 października 2006 sprawy ze skargi Barbary J. na decyzję Generalny Inspektor Ochrony Danych Osobowych z dnia 1 marca 2006  r. nr …w przedmiocie przetwarzania danych osobowych

1)    uchyla  zaskarżoną decyzję w części utrzymującej w mocy punkt 1 decyzji z dnia 9 grudnia 2005 r. nr …
2)    w pozostałym zakresie skargę oddala,
3)    stwierdza, że zaskarżona decyzja w uchylonej części nie podlega wykonaniu,
4)    zasądza od Generalnego Inspektora Ochrony Danych Osobowych na rzecz Barbary J. kwotę … zł (… złotych) tytułem zwrotu części kosztów postępowania sądowego.

UZASADNIENIE

Dnia 6 lipca  2000 r. Andrzej J. zawarł umowę kredytową z B. B. S.A. Poręczycielem tego kredytu była Barbara J., która wystawiła w tym celu na rzecz B. B. S.A. weksel in blanco. 
B. B. S.A. zmienił następnie swoją firmę na B. M. S.A.
W dniu 13 maja 2004 r. B. M. S.A. zawarł umowę cesji wierzytelności swoich klientów na rzecz C. B. S.A. Następnie C. B. S.A. zmienił swoją firmę na P. B. S.A. z siedzibą we W..
Kredyt, który Andrzej J. pobrał z B. B. S.A., został spłacony w  lipcu 2005 r.
W dniu 23 listopada 2004 r. P. B. S.A. oraz Biuro Informacji Kredytowej S.A. (BIK S.A.) zawarły umowę w sprawie gromadzenia, przetwarzania i udostępniania informacji.  Na podstawie tej umowy P. B. S.A., zwany dalej także „bankiem”,   przekazał do BIK S.A. dane osobowe Barbary J.
Wnioskiem z dnia 1 sierpnia 2005 r. Barbara J. zwróciła się do Generalnego Inspektora Ochrony Danych Osobowych, zwanego dalej także „GIODO” lub „organem”, o nakazanie bankowi  usunięcia jej danych osobowych, a także ze zbioru  P. B. S.A. Swój wniosek uzupełniła pismem z dnia 11 sierpnia 2005 r. Uznała w nim, że nie zaszła żadna, określona w art. 23 ust. 1 ustawy z dnia 29 sierpnia 1997 r. osobowych o ochronie danych osobowych (Dz. U. z 2002 r. Nr 98, poz. 1071 ze zm.),  przesłanka  przetwarzania przez bank i BIK S.A. jej danych. Uznała, że nie jest stroną umowy z bankiem, dlatego nie może on przetwarzać jej danych na podstawie art. 23 ust. 1 pkt 3 ustawy o ochronie danych osobowych, zwanej też dalej „ustawą”. Taką przesłanką mogłaby być tylko jej zgoda, a takiej zgody nie udzieliła.  Nie ma też przepisu prawa, który upoważniałby te podmioty do przetwarzania jej danych. Nie stanowi go art. 105 ust. 4 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz. U. z 2002 r. Nr 72, poz. 665 ze zm.), ani 104 – 106c tej ustawy. Bank przekazując dane skarżącej do BIK S.A. powinien dysponować stosowną przesłanką prawną, a takiej nie miał. Stanowiło to naruszenie tajemnicy bankowej.
Decyzją z dnia 9 grudnia 2005 r. Generalny Inspektor Ochrony Danych Osobowych  odmówił skarżącej uwzględnienia wniosku o nakazanie usunięcia jej danych z bazy danych P. S.A. we W., a w pozostałym zakresie postępowanie umorzył. Organ ustalił, m.in. że w dniu 9 sierpnia 2005 r. skarżąca zwróciła się do Banku o zaniechanie przetwarzania jej danych osobowych dla celów archiwalnych i wynikających z potrzeb rachunkowości. W  dniu 20 października 2005 r. bank wystąpił do BIK S.A. o usunięcie danych osobowych skarżącej, w wyniku czego, w dniu 26 października 2005 r. BIK S.A. usunął dane osobowe skarżącej  związane z kredytem udzielonym przez B. B. S.A. Aktualnie bank przetwarza dane skarżącej wyłącznie w celach archiwalnych oraz w celu wywiązania się z obowiązków rachunkowości. Organ uznał, że zgoda skarżącej na przekazanie jej danych do BIK S.A. nie była konieczna, gdyż przesłankę przekazania jej danych do BIK S.A. stanowi art. 23 ust. 1 pkt 2 ustawy w związku z art. 105 ust. 4 Prawa bankowego. Organ uznał też, że podstawą przetwarzania jej danych przez bank była umowa kredytowa zawarta pomiędzy B. B. S.A., a mężem skarżącej, czyli przesłanka z art. 23 ust. 1 pkt 3 ustawy.  Do dnia spłaty tego kredytu, tj. do dnia 15 lipca 2005 r. bank przetwarzał jej dane w związku z obsługą wierzytelności, a po tej dacie – w związku z wymogami ustawy z dnia 29 września 1994 r. o rachunkowości (Dz. U. z 2002 r. Nr 76, poz. 694 ze zm.) oraz rozporządzenia Ministra Finansów z 10 grudnia 2001 r. w sprawie szczególnych zasad rachunkowości banków (Dz. U. Nr 149, poz. 1673 ze zm.). Ponadto, w ocenie organu, bank ma prawo przetwarzać dane nawet po zakończeniu umowy, aż do czasu przedawnienia roszczeń określonego w art. 731 lub 118 Kodeksu cywilnego. Odnośnie wniosku skarżącej o nakazanie usunięcia danych przez BIK S.A. organ uznał, że dane te zostały już usunięte w dniu 26 października 2005 r. Okoliczność ta uzasadnia, zdaniem organu, umorzenie postępowania w zakresie tej części wniosku skarżącej, a zobowiązuje do tego art. 105 Kpa.
We wniosku o ponowne rozpatrzenie sprawy skarżąca ponowiła stwierdzenie, że nie była stroną umowy kredytowej. Wyraziła tylko zgodę na zawarcie umowy przez swojego męża oraz na wystawienie przez niego weksla in blanco. Nie była więc poręczycielem kredytu. Bank nie mógł więc przetwarzać jej danych, nie mógł też przekazać ich do BIK S.A. Przekazanie tych danych stanowi także naruszenia art. 105a Prawa bankowego dotyczącego tajemnicy bankowej i zezwala na przetwarzanie danych konsumentów i za ich zgodą. Skarżąca nie jest konsumentem i nie udzieliła zgody na przekazywanie jej danych przez bank do BIK S.A, który nie mógł ich dalej udostępniać. Skoro skarżąca nigdy nie była stroną umowy z bankiem, to bank ten nigdy nie mógł i nadal nie może przetwarzać jej danych dla celów archiwalnych. Oceniła także, że nie zaszły w związku z tym przesłanki umorzenia  postępowania. Zwróciła też uwagę na opieszałość działania banku i BIK S.A. – bank zwrócił się do BIK S.A.  o usunięcie jej danych dopiero w dniu 26 października 2005 r., choć kredyt został spłacony już 15 lipca 2005 r. Ponadto, jak podała, z informacji przez nią uzyskanych wynika, że BIK S.A. nadal, wbrew swoim twierdzeniom, przetwarza jej dane osobowe.
Decyzją z dnia 1 marca 2006 r.  Generalny Inspektor Ochrony Danych Osobowych  utrzymał w mocy decyzję z dnia 9 grudnia 2005 r. Organ uznał, że skarżąca udzieliła poręczenia wekslowego jako zabezpieczenie spłaty kredytu. Dlatego przesłankę przetwarzania jej danych przez bank stanowi art. 23 ust. 1 pkt 3 ustawy. Stała się przez to stroną stosunku zobowiązaniowego, o którym mowa w art. 32  ustawy z dnia 28 kwietnia 1936 r. Prawo wekslowe (Dz. U. Nr 37, poz. 282 ze zm.). Według tego przepisu poręczyciel wekslowy odpowiada tak samo, jak ten, za kogo poręczył. Odpowiedzialność poręczyciela wekslowego ma, zdaniem organu, charakter samoistny, akcesoryjny i solidarny z dłużnikiem. Obciążenie poręczycieli  wekslowych trwa do czasu rozliczenia się dłużnika, organ uznał też, że powstaje ono z chwilą zaciągnięcia zobowiązania.  Co do zarzutu braku podstaw do przekazania jej danych do BIK S.A. oraz przetwarzania danych przez BIK S.A. organ ocenił, że taką podstawę stanowi art. 105 ust. 4 Prawa bankowego. Odnośnie kwestii naruszenia art. 105a Prawa bankowego organ wskazał, że przekazanie danych skarżącej do BIK S.A. nastąpiło przed dniem 16 czerwca 2005 r., kiedy weszła w życie ustawa z 15 kwietnia 2005 r. o zmianie ustawy o ochronie informacji niejawnych oraz niektórych innych ustaw (Dz. U. Nr 85, poz. 727).  Organ uznał, że bank nie miał obowiązku ani możliwości przekazania danych z zachowaniem warunków art. 105a Prawa bankowego, gdyż w roku 2004, kiedy te dane zostały do BIK S.A. przekazane,  ten przepis jeszcze nie istniał.  Ponadto GIODO powtórzył swoją argumentację dotyczącą podstaw przetwarzania danych skarżącej przed i po 15 lipca 2005 r. przez obydwa podmioty – bank i BIK S.A. Organ uchylił się też od oceny ewentualnej opieszałości tych instytucji, którą zarzuciła skarżąca.  Organ powtórzył też stanowisko odnośnie częściowego umorzenia postępowania. Organ przyznał, że BIK S.A. nadal przetwarza dane skarżącej, ale dane te dotyczą innych umów, niż umowa kredytu bankowego zawarta przez jej męża w dniu 7 lipca 2006 r. Wniosek o nakazanie usunięcia danych dotyczył tylko tej jednej, konkretnej umowy kredytowej.
Powyższa decyzja stała się przedmiotem skargi do Wojewódzkiego Sądu Administracyjnego w Warszawie. Skarżąca powtórzyła w niej  swoje argumenty zawarte we wniosku o ponownie rozpatrzenie sprawy, a nadto podała, że zobowiązanie poręczyciela kredytobiorcy do spełnienia świadczenia na rzecz kredytodawcy powstaje dopiero w razie nie wywiązania się ze zobowiązania przez kredytobiorcę. Dopiero z tą chwilą poręczyciel staje się stroną stosunku zobowiązaniowego, ale nigdy nie umowy. Tymczasem umieszczenie danych skarżącej w zbiorze BIK S.A. nastąpiło już w chwili zawarcia umowy kredytowej. Skoro więc bank nie miał podstawy do przetwarzania danych skarżącej, to takiej podstawy nie ma też BIK S.A. Oświadczenia skarżącej dotyczące zgody na zawarcie umowy przez męża i na wystawienie przez niego weksla nie stanowiły podstawy dla przetwarzania jej danych w celach archiwalnych.
W odpowiedzi na skargę organ wniósł o jej oddalenie i powtórzył argumenty zawarte w zaskarżonej decyzji. Organ powtórzył, że jej zobowiązanie jako poręczyciela wekslowego powstało w chwili zaciągnięcia zobowiązania, zatem dane skarżącej bank mógł przetwarzać na podstawie art. 23 ust. 1 pkt 3 ustawy. Dane poręczyciela wekslowego lub cywilnego są nieodłącznym elementem umowy kredytowej, którą należy sporządzić na piśmie i która powinna określać sposób zabezpieczenia spłaty kredytu (art. 69 ust. 2 pkt 6 Prawa bankowego).
Swoją skargę skarżąca uzupełniła pismem z dnia 11 września 2006 r. Wyraziła w nim stanowisko, że poręczyciel wekslowy nie jest stroną umowy kredytowej. Skarżąca nie  jest  konsumentem w rozumieniu ustawy z dnia 20 lipca 2001 r. o kredycie konsumenckim (Dz. U.  Nr 100, poz. 1081 ze zm.), a w związku z tym nie jest też klientem banku i stroną umowy z bankiem. Oceniła, że dla przekazania jej danych w ramach umowy cesji wierzytelności przez B. M. S.A. do C. B. S.A. wymagana była jej zgoda. Takiej zgody wymagało też przekazanie jej danych przez bank do BIK S.A. Przywołała art. 876 Kodeksu cywilnego, według którego poręczyciel zobowiązany jest do wykonania zobowiązania dopiero wtedy, gdyby dłużnik zobowiązania nie wykonał. W umowie kredytowej tylko jej mąż udzielił zgody na przetwarzanie swoich danych osobowych. Skarżąca takiej zgody nie udzieliła. Podniosła też, że niejednoznaczne postanowienia wzorca umownego tłumaczy się na korzyść konsumenta (no ale ona twierdzi, że nie  jest konsumentem). W umowie kredytowej brakuje oświadczenia o jej zgodzie na przetwarzanie danych. Podała, że weksel został zniszczony po spłacie kredytu, więc przestała istnieć podstawa do przetwarzania danych przez bank – nie stanowią jej cele archiwalne i rachunkowe. Dowodami księgowymi są, w jej ocenie, tylko dokumenty wystawione przez klientów (konsumentów) banku.

Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:

Zgodnie z treścią art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (Dz. U. Nr 153, poz. 1269 ze zm.), sąd administracyjny sprawuje wymiar sprawiedliwości poprzez kontrolę działalności administracji publicznej. Stosownie natomiast do art. 3 § 2 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. Nr 153, poz. 1270 ze zm.), kontrola działalności administracji publicznej przez sądy administracyjne obejmuje orzekanie w sprawach skarg m.in. na decyzje administracyjne. Kontrola ta sprawowana jest pod względem zgodności z prawem materialnym i formalnym obowiązującym w dacie wydania takiej decyzji.
Skarga analizowana pod tym kątem zasługuje na uwzględnienie w części, choć z powodów innych, niż wskazane w jej treści. Dotyczy to tej części zaskarżonej decyzji, która utrzymuje w mocy punkt 1 poprzedzającej ją decyzji organu z dnia 9 grudnia 2005 r., tj. odmowy nakazania usunięcia danych skarżącej przetwarzanych przez P. B. S.A. we W.. W pozostałej części, tj. w zakresie, w jakim organ utrzymał w mocy swoje rozstrzygnięcie z dnia 9 grudnia 2005 r. umarzające postępowanie co do wniosku o nakazanie usunięcia danych skarżącej przetwarzanych przez Biuro Informacji Kredytowej S.A. w Warszawie, konieczne było oddalenie skargi.
Wniosek Barbary J. z dnia 1 sierpnia 2005 r. zainicjował postępowanie administracyjne przeprowadzone przez Generalnego Inspektora Ochrony Danych Osobowych. Wniosek ten określił granice przedmiotowe tego postępowania – dotyczyło ono dwóch żądań skarżącej: nakazania przez organ usunięcia jej danych osobowych przetwarzanych przez P. B. S.A. oraz nakazania usunięcia jej danych przetwarzanych przez BIK S.A.
Co do tego pierwszego żądania Sąd zauważa, że obowiązkiem organu było szczególnie dokładne, precyzyjne ustalenie okoliczności faktycznych niniejszego postępowania, tak, jak wymaga tego art. 7 Kodeksu postępowania administracyjnego. Organ zobowiązany był zatem do ustalenia, czy bank przetwarza dane osobowe skarżącej, skąd pochodziły te dane w razie ich przetwarzania, jaki jest zakres tych danych, a także w jakim celu i na jakiej podstawie prawnej, określonej w art. 23 ust. 1 ustawy o ochronie danych osobowych,  są one przetwarzane. Tak ustalony stan faktyczny uprawniał organ do uwzględnienia wniosku skarżącej o nakazanie usunięcia jej danych, bądź do odmowy wydania takiego nakazu. Analiza akt postępowania administracyjnego pozwala stwierdzić, że w dacie podejmowania decyzji w sprawie bank przetwarzał dane osobowe skarżącej w calach określonych w ustawie o rachunkowości i przepisach wykonawczych do tej ustawy, tj. w wyżej wskazanym rozporządzeniu Ministra Finansów z 10 grudnia 2001 r. w sprawie szczególnych zasad rachunkowości banków. Ponadto bank przekazał dane skarżącej do instytucji utworzonej na podstawie art. 105 ust. 4 Prawa bankowego – Biura Informacji Kredytowej S.A. Dane te pochodziły z umowy, którą zawarł mąż skarżącej z B. B. S.A., a której stroną, wskutek zmian podmiotowych po stronie wierzyciela, stał się ostatecznie P. B. S.A.
W pierwszej kolejności zauważyć należy, że skarżąca w toku postępowania sądowego prezentowała zmienne stanowisko co do swojego statusu prawnego w umowie kredytowej z dnia 6 lipca 2000 r. W pierwszej fazie postępowania wskazywała, że nie była poręczycielem umowy kredytowej zawartej przez jej męża, a jedynie wyraziła zgodę na jej zawarcie. Następnie przyznała jednak, że była poręczycielem kredytu, choć uznała, że poręczyciel nie jest stroną umowy, a jego zobowiązanie pojawia się dopiero w razie niewywiązania się z obowiązków umownych przez dłużnika głównego (pismo z dnia 11 września 2006 r.). Przyznała też, że weksel in blanco sporządzony w związku z zabezpieczeniem płatności kredytu  został zniszczony, zatem taki weksel był w przeszłości przez nią wystawiony. Sąd uznał więc, że skarżąca rzeczywiście była poręczycielem wekslowym umowy kredytowej zawartej przez jej męża, a lektura tej umowy dodatkowo potwierdza jej status jako poręczyciela (§ 3 punkt 1 lit. „d” umowy z dnia 6 lipca 2000 r.). Niemniej uznać należy, że prowadzony przez strony spór co do statusu skarżącej w tej umowie, a także co do charakteru prawnego poręczenia wekslowego, ma w niniejszej sprawie znaczenie drugorzędne. W ocenie Sądu niewątpliwym, oczywistym prawem banku jest bowiem przetwarzanie danych osobowych nie tylko samej strony umowy kredytowej, ale też wszystkich osób, których dane zostały zasadnie i w  usprawiedliwionym zakresie zgromadzone w związku z zawarciem i wykonywaniem tej umowy. Taką osobą jest  z pewnością poręczyciel, ale jest nią także małżonek kredytobiorcy (istotny przecież jest majątkowy ustrój małżeński), jego dzieci (ich ilość i wiek wpływa na ocenę zdolności kredytowej), a także inne osoby, które mają znaczenie w praktyce umów bankowych.  Stąd wniosek, że nawet w razie uznania, że poręczyciel nie jest stroną umowy kredytowej, albo jest tą stroną dopiero w razie niewywiązania się ze swoich zobowiązań przez dłużnika głównego, bank uprawniony jest do przetwarzania danych poręczyciela. Jeśli takiego uprawnienia nie statuuje art. 23 ust. 1 pkt 3 ustawy o ochronie danych osobowych, to niewątpliwe jest takie uprawnienie wynikające z punktu 5 tego przepisu, tj. z tzw. klauzuli usprawiedliwionego interesu. Trudno bowiem wyobrazić sobie umowę bankową, w której bank nie zgromadziłby odpowiednich informacji o swoim kliencie i innych osobach z nim związanych – zobowiązuje do tego nie tylko wzgląd na konieczność prawidłowego zabezpieczenia interesów banku, a także interesów ich klientów, ale explicite przesądza o takim obowiązku 70 ust. 1 Prawa bankowego, który nakazuje każdemu bankowi uzależnić udzielenie kredytu od zdolności kredytowej swojego klienta. Status skarżącej w umowie kredytowej ma też znaczenie drugorzędne w kontekście uprawnienia banku do przekazania jej  danych osobowych do BIK S.A. Pytanie, które zasadniczo wpływa na możliwość przekazania  przez bank danych osobowych skarżącej, dotyczy bowiem zakresu tajemnicy bankowej i prawa banku  do przekazania informacji nią objętych do instytucji utworzonych  na podstawie art. 105 ust. 4 Prawa bankowego. Otóż podkreślenia wymaga, że art. 104 ust. 1 tej ustawy obejmuje tajemnicą bankową  wszystkie informacje dotyczące czynności bankowej, uzyskane w czasie negocjacji, w trakcie zawierania i realizacji umowy, na podstawie której bank tę czynność wykonuje. Prawo bankowe nie obejmuje więc taką tajemnicą wyłącznie danych stron umowy, lecz kategorycznie i niedwuznacznie przesądza, że objęte są nimi wszystkie informacje uzyskane w toku negocjacji, zawierania i realizacji umowy. Niezależnie od statusu skarżącej w tej umowie bank był uprawniony do przekazania jej danych do BIK S.A. Ponownie należy podkreślić, że dla legalnego przekazania danych skarżącej do BIK S.A. nie było bezwzględnym wymogiem Prawa bankowego, aby miała ona przymiot strony umowy. Takie uprawnienie banku wypływa wprost z art. 105 ust. 4 Prawa bankowego i jest oczywistą konsekwencją powołania instytucji, zgodnie z ustawą bankową, predestynowanej do gromadzenia m.in. danych osobowych kredytobiorców i innych osób związanych z kredytobiorcą. Taka instytucja może przecież gromadzić dane objęte tajemnicą bankową, a nie wyłącznie dane stron umów bankowych. Z punktu widzenia wymagań ustawy o ochronie danych osobowych na przetwarzanie danych osobowych skarżącej w formie ich przekazania do BIK S.A. zezwala art. 23 ust. 1 pkt 2 tej ustawy – jest to niezbędne dla zrealizowania uprawnienia wynikającego ze szczególnego przepisu prawa – Prawa bankowego. Wobec tego Sąd uznał, że przetwarzanie danych skarżącej przez bank w związku z umową kredytową z dnia 6 lipca 2000 r. oraz przekazanie jej danych do BIK S.A. było legalne. Organ prawidłowo ocenił uprawnienia banku w tym zakresie.
Analogicznie ocenić należy fakt przetwarzania danych skarżącej przez bank w związku wymogami ustawy o rachunkowości. Przywołane przez organ przepisy tej ustawy, a także przepisy wykonawcze zawarte w przywołanym rozporządzeniu Ministra Finansów, legalizują fakt dysponowania przez bank tymi danymi nawet po wykonaniu  umowy. Nie zasługują na uwzględnienie zarzuty skarżącej, że bank może dysponować, po wykonaniu umowy, tylko takimi dokumentami (dowodami księgowymi), które zostały wystawione przez  klientów banku. Po pierwsze - status klienta (strony umowy) ma w tej sprawie, z powodów wyżej wskazanych, znaczenie marginalne. Po drugie zaś -  skoro ustawa o rachunkowości zobowiązuje bank do zachowania dokumentacji dotyczącej zawartych umów przez okres 5 lat po ich wykonaniu, to niewątpliwe jest uprawnienie do przetwarzania danych zawartych w tej dokumentacji niezależnie od tego, kto ją wytworzył i jaką postać ma ta dokumentacja. Kwestią istotną z punktu widzenia ustawy o ochronie danych osobowych jest nie to, jaki dokument  stanowi fizyczny, materialny nośnik danych osobowych, lecz samo uprawnienie do ich przetwarzania, w tym do samego posiadania. Niezależnie od tego trudno jednak zaakceptować pogląd, według którego bank może zachować przez pewien czas informacje o przeprowadzonych transakcjach umownych, nawet po ich wykonaniu, ale nie może zachowywać danych osobowych zgromadzonych w przeszłości w ramach tych transakcji. Istotą takiej dokumentacji są przecież informacje o charakterze osobowym, w tym dane osobowe sensu stricte.
Sąd podzielił też stanowisko organu, iż na przetwarzanie danych osobowych skarżącej przez bank pozwalają uwarunkowania prawne wynikające z terminów przedawnienia roszczeń cywilnoprawnych. Jest oczywiste, iż każdy uczestnik cywilnego obrotu prawnego może zachować informacje o swoich kontrahentach nawet po wykonaniu przez nich swoich zobowiązań. Takie zachowanie danych byłego dłużnika stanowi usprawiedliwiony cel administratora danych. Usunięcie danych dłużnika natychmiast po wykonaniu przez niego zobowiązania z pewnością mogłoby spowodować negatywne, wymierne skutki materialne. Wymóg dbałości o bezpieczeństwo finansowe każdego wierzyciela, a zwłaszcza wyspecjalizowanych instytucji finansowych, jakimi są banki, nakazuje zachowywać informacje o swoich byłych klientach na wypadek podniesienia przez nich roszczeń po wykonaniu umowy kredytowej.
Powyższa ocena legalności przetwarzania przez bank danych osobowych skarżącej po dniu 15 lipca 2005 r. wymaga jednakże zastrzeżenia, że art. 26 ust. 1 pkt 2 ustawy o ochronie danych osobowych ustanawia zasadę niezmienności celu przetwarzania danych. Oznacza ona, że gromadzenie danych osobowych dla konkretnego, ściśle oznaczonego i wynikającego z konkretnych przesłanek celu, nie upoważnia administratora danych do ich wykorzystywania w celach innych, niż te, dla których pierwotnie zostały zgromadzone. W kontekście tej zasady szczególnego znaczenia nabiera ustalenie, czy w zgodzie z obowiązującym prawem bank przetwarza dane skarżącej w celach oceny zdolności kredytowej skarżącej i oceny ryzyka kredytowego banku (tzw. scoring). Cele takie ustanawia art. 105a Prawa bankowego, ale dla uznania, że mogą być one legalnie realizowane ustawa ta przewiduje kilka warunków. Stąd pierwszorzędnego znaczenia nabiera ustalanie okoliczności faktycznej, czy bank przetwarza dane skarżącej  w tym właśnie celu, a jeśli przetwarza, czy zaszły przesłanki ustawowe do takiego przetwarzania. W tym zakresie stwierdzić należy, iż organ nie dokonał wystarczających ustaleń faktycznych, nie dał też im wyrazu w uzasadnieniu  zaskarżonej decyzji.   Przypomnieć należy, że przedmiotem wniosku skarżącej z dnia 1 sierpnia 2005 r. było nakazanie usunięcia  „...wszelkich danych z bazy danych Banku P. S.A...”.     W aktach postępowania administracyjnego (k. 14 tych akt) znajduje się pismo banku z dnia  1 września 2005 r., w którym wyrażono stanowisko, iż w związku z faktem, że art. 105a Prawa bankowego wszedł w życie dopiero w dniu 16 czerwca 2005 r., P. B. S.A. nie uzyskał pisemnej zgody skarżącej, o której mowa w art. 105a ust. 2 tejże ustawy. Bank uznał także, że zobowiązany jest dostosować przetwarzanie informacji zgromadzonych przed 16 czerwca 2005 r. do określonych wymagań prawnych w terminie nie dłuższym niż 3 lata od tej daty. Pismo to nie stanowi jednak jednoznacznego stanowiska banku, czy przetwarza on dane skarżącej po 15 lipca 2005 r. w celu oceny jej zdolności kredytowej i oceny ryzyka kredytowego banku, zawiera jedynie wyjaśnienie, że bank nie uzyskał na to zgody skarżącej. Pismo to Sąd ocenił więc jako jedynie sugestię banku, że takie przetwarzanie rzeczywiście ma miejsce. Dlatego też na rozprawie w dniu 3 października 2006 r. kwestia ta była przedmiotem pytania Sądu. Pełnomocnik organu wyjaśnił, że – zdaniem organu – bank przetwarza dane osobowe skarżącej po dniu 15 lipca 2006 r. na podstawie art. 105a Prawa bankowego.  Tymczasem obydwie wydane w sprawie decyzje nawet w najmniejszym stopniu nie zawierają stanowiska organu, czy bank był uprawniony do takiego przetwarzania danych osobowych skarżącej po dniu, kiedy zobowiązania z tytułu umowy kredytowej zostały uregulowane. Art. 105a ust. 2 Prawa bankowego zezwala na przetwarzanie danych osobowych klienta będącego konsumentem po wygaśnięciu zobowiązania jedynie pod warunkiem uzyskania na to zgody klienta. Bezsporne jest natomiast, że skarżąca takiej zgody nie udzieliła. Z kolei ust. 3 tego przepisu upoważnia bank do przetwarzania danych osobowych klienta banku bez  zgody klienta, ale warunkuje to łącznym wystąpieniem następujących przesłanek:
    1)    osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem,
2)    po zaistnieniu okoliczności, o której mowa w pkt 1, upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank o zamiarze przetwarzania dotyczących jej informacji stanowiących tajemnicę bankową, bez jej zgody.
Ponownie zauważyć należy, że organ w ogóle nie przeprowadził postępowania administracyjnego mającego na celu ustalenie, czy te przesłanki zaszły, nie odniósł się też  do kwestionowanej przez skarżącą okoliczności posiadania przez nią statusu konsumenta.  Organ administracji, który nie ustosunkowuje się do twierdzeń uważanych przez strony za istotne dla sposobu załatwienia sprawy, uchybia obowiązkom wynikającym z art. 8 i 11 Kpa. Nie może też oczekiwać, że zrobi to za niego Sąd, kontrolując zaskarżoną decyzję (wyrok NSA z dnia 11 lipca 2001 r., sygn. IV SA 703/99, LEX 51234). Organ był zobowiązany wszystkie te okoliczności ustalić, a swoim ustaleniom faktycznym dać wyraz w uzasadnieniu decyzji. Braki w tym zakresie nie tylko uchybiają zasadzie przekonywania wyrażonej w art. 11 Kpa, ale uniemożliwiają sądowi administracyjnemu efektywną kontrolę podjętej w sprawie decyzji. Stanowi to wystarczający powód jej uchylenia. Zarówno skarżąca, jak i Sąd nie znają motywów, jakimi kierował się Generalny Inspektor Ochrony Danych Osobowych odmawiając uwzględnienia wniosku o nakazanie bankowi usunięcia wszystkich jej danych ze zbioru banku.
Powyższego nie zmienia okoliczność, że, jak wyjaśnił pełnomocnik skarżącej na rozprawie w dniu 3 października 2006 r., w ocenie strony skarżącej bank nie przetwarza danych Barbary J. na podstawie art. 105a Prawa bankowego. Skoro materiał dowodowy zgromadzony w toku postępowania wskazuje na takie przetwarzanie jej danych (vide powyżej wskazane pismo banku z dnia 1 września 2005 r.), skoro pełnomocnik organu potwierdza, że takie przetwarzanie ma miejsce, to przekonanie strony skarżącej, że takie przetwarzanie danych nie następuje wynika z jej błędu, nieświadomości. Organ powinien jednoznacznie wskazać, że bank stosuje art. 105a Prawa bankowego wobec danych skarżącej i wyjaśnić w decyzji, że jest ono legalne, dlaczego jest legalne, i dopiero wówczas ewentualnie odmówić uwzględnienia wniosku o nakazanie usunięcia jej danych ze zbioru banku. Wniosek ten był bowiem aktualny w toku całego postępowania, wniosek ten w tym zakresie nie był cofnięty ani zmodyfikowany.
Ponadto negatywnej oceny powyższego braku postępowania administracyjnego nie zmienia okoliczność podniesiona w powyższym piśmie banku z dnia 1 września 2005 r., a dotycząca ewentualnego obowiązku dostosowania się do wymagań prawnych legalnego przetwarzania danych osobowych na podstawie art. 105a Prawa bankowego w terminie 3 lat od dnia 16 czerwca 2005 r. Po pierwsze bowiem błąd organu polegał nie tylko i nie głównie na niewłaściwej wykładni art. 6 ustawy z dnia 15 kwietnia 2005 r. o zmianie ustawy o ochronie informacji niejawnych  oraz niektórych innych ustaw (Dz. U. Nr 85, poz. 727), który wprowadził ten termin 3 lat, lecz na braku klarownego ustalenia, czy zaszły przesłanki do przetwarzania danych osobowych skarżącej na podstawie art. 105a Prawa bankowego bez jej zgody. Konsekwencją powyższego błędu było pominięcie tej kwestii w uzasadnieniu decyzji organu.  Po drugie – Sąd nie podzielił stanowiska, że art. 6 wskazanej wyżej ustawy z dnia 15 kwietnia 2005 r. pozwala bankowi zwlekać przez 3 lata z uzyskaniem zgody na przetwarzanie danych w celach oceny ryzyka bankowego i zdolności kredytowej, a w tym czasie przetwarzać dane klienta – konsumenta bez takiej zgody. Termin 3 lat dotyczy bowiem wymagań o charakterze technicznym, organizacyjnym i informatycznym (np. wymóg organizacji kancelarii tajnej lub zapewnienia odpowiedniego bezpieczeństwa systemów i sieci teleinformatycznych), które wynikają z ustawy nowelizującej z 15 kwietnia 2005 r. (jej art. 6 stanowi o obowiązku dostosowania przetwarzania informacji do wymagań określonych w niej, tj. w tej właśnie ustawie nowelizującej, a nie w Prawie bankowym). Oznacza to, że jeśli nie zaszły przesłanki z art. 105a ust. 3 Prawa bankowego, to bank może przetwarzać dane osobowe klienta – konsumenta po wygaśnięciu zobowiązania i w celu oceny ryzyka kredytowego i zdolności kredytowej  wyłącznie za pisemną zgodą klienta. Powtórzyć należy, że takiej zgody skarżąca nie udzieliła. Bez znaczenia dla obowiązku uzyskania takiej zgody jest natomiast okoliczność, że bank pozyskał dane skarżącej przed wejściem w życie ustawy nowelizującej z 15 kwietnia 2005 r., tj., przed 16 czerwca 2005 r. Fakt ten oznacza jedynie, że przed 16 czerwca 2005 r. bank nie mógł przetwarzać danych osobowych skarżącej, po wykonaniu zobowiązania, dla oceny zdolności kredytowej i ryzyka bankowego bez jej zgody, po tej natomiast dacie może to robić, jeśli zaszły przesłanki z art. 105a ust. 3 Prawa bankowego.
W skardze do Sądu skarżąca zakwestionowała  legalność pozyskania przez bank jej danych osobowych w ramach umowy cesji wierzytelności zawartej pomiędzy B. M. S.A., a C. B. S.A. Uznała, że przekazanie jej danych w wykonaniu tej umowy wymagało jej zgody. Sąd wskazuje więc, że jakkolwiek kwestia ta została zgłoszona przez skarżącą dopiero na etapie postępowania sądowego, a nie przed organem, to ocenie Generalnego Inspektora Ochrony Danych Osobowych nie powinno ujść także to zagadnienie pierwotnego pozyskania danych skarżącej przez C. B. S.A. (następnie P. B. S.A.). Granice przedmiotowe prowadzonego przez organ postępowania wyznaczał wniosek skarżącej z dnia 1 sierpnia 2005 r. Zakwestionowała ona w nim legalność dysponowania przez bank jej danymi osobowymi, uznała, że stan bezprawnego dysponowania tymi danymi przez bank zaczął się już w dacie zawarcia umowy kredytowej przez jej męża. Organ powinien zatem ocenić nie tylko legalność pozyskania jej danych przez B. B. S.A., ale także legalność ich przekazania  do C. B. S.A., gdyż to przekazanie nastąpiło chronologicznie po dacie pierwotnego pozyskania i utrwalenia danych przez B. B. SA. Ocena legalności przekazania danych skarżącej w ramach umowy cesji wierzytelności była zatem konieczna dla skrupulatnego załatwienia wniosku skarżącej z 1 sierpnia 2005 r., choć w swoim wniosku skarżąca wprost tego wątku nie podniosła. Brak wyrażenia tej oceny także uzasadnia uchylenie zaskarżonej decyzji w przedmiotowym zakresie.
Inaczej ocenić należy tę część zaskarżonej decyzji, która utrzymuje w mocy rozstrzygnięcie umarzające postępowanie w zakresie wniosku skarżącej o nakazanie usunięcia jej danych przez BIK S.A. W tym zakresie organ także nie wyraził klarownie w postępowaniu administracyjnym swojej oceny co do stanowiska skarżącej zajmowanego w toku postępowania. We wniosku z dnia 1 sierpnia 2005 r. czytelnie i precyzyjnie wyraziła ona przekonanie, że BIK S.A. przetwarza jej dane osobowe w związku z umową kredytową z dnia  7 lipca 2000 r., organ ustalając natomiast, że dane te nie są przez BIK S.A. przetwarzane umorzył postępowanie  w tym zakresie na podstawie art. 105 § 1 Kpa. We wniosku o ponowne rozpatrzenie sprawy skarżąca podniosła, że „...z informacji uzyskanych...” przez nią wynika, iż BIK S.A.  jej dane nadal przetwarza. Sąd zauważa, że fakt przetwarzania jej danych przez BIK S.A. był okolicznością niesporną, rzecz jednak w tym, że dane te dotyczyły zupełnie innych umów bankowych, a skarżąca nie uczyniła tego przetwarzania przedmiotem swojego wniosku z dnia 1 sierpnia 2005 r. Zasadnie więc organ tej kwestii w ogóle nie rozważał. Istniała jednak wątpliwość co do tego, czy skarżąca w sposób dorozumiany, tzn. nie kwestionując faktu, że BIK S.A. nie przetwarza jej danych osobowych zgromadzonych w związku z umową z dnia 7 lipca 200 r., wycofała swoje żądanie nakazania usunięcia tych danych ze zbioru BIK S.A. Dlatego też kwestia ta była przedmiotem pytania Sądu na rozprawie w dniu 3 października 2006 r. Pełnomocnik skarżącej jednoznacznie oświadczył, że dane te nie były przez BIK S.A. przetwarzane w dniu wydania zaskarżonej decyzji. Sąd uznał zatem, że skarżąca w toku postępowania  administracyjnego w sposób dorozumiany wycofała swoje żądanie nakazania usunięcia danych przez BIK S.A., a do takiego wniosku skłaniała dodatkowo ocena organu, iż BIK S.A. danych osobowych skarżącej w związku z umową z dnia 7 lipca 2000 r. nie przetwarza. Umorzenie postępowania na podstawie art. 105 § 1 Kpa było więc właściwe. Dla usunięcia tych wątpliwości wskazane byłoby jednak odebranie od skarżącej jednoznacznego oświadczenia jej woli.
W związku z powyższym w dalszym postępowaniu konieczne będzie  ustalenie, czy zachodzą przesłanki przetwarzania przez bank danych osobowych skarżącej w związku z oceną ryzyka bankowego i  zdolności kredytowej. Skoro nie udzieliła ona swojej zgody w tym zakresie, niezbędne będzie ustalenie, czy zaszły przesłanki wskazane w art. 105a ust. 3 Prawa bankowego. Dopiero tak ustalony stan faktyczny pozwoli ewentualnie odmówić wydania nakazu usunięcia jej danych przez bank ze zbioru danych osobowych (a nie, jak ujęto w sentencji decyzji, z „bazy” danych banku), bądź nakazać temu administratorowi danych usunięcie tych danych przetwarzanych niezgodnie z prawem (art. 18 ust. 1 pkt 6 ustawy o ochronie danych osobowych).
Wobec powyższego, na podstawie art. 145 § 1 pkt 1 lit. „c” Prawa o postępowaniu  administracyjnym Sąd orzekł, jak w punkcie 1 sentencji wyroku. W zakresie punktu 2 sentencji podstawą wyroku był art. 151, a odnośnie punktu 3 – 152 tej ustawy.
Odnośnie kosztów postępowania sądowego Sąd skorzystał z możliwości, jakie stwarza art. 206 Prawa o postępowaniu przed sądami administracyjnymi. Przepis ten pozwala w uzasadnionych wypadkach, w razie częściowego uwzględnienia skargi, zasądzić na rzecz skarżącego od organu tylko część kosztów. Niezbędnymi kosztami postępowania, które sąd może zasądzić, są koszty sądowe (w niniejszej sprawie wpis w wysokości … zł.), a także koszty przejazdów do sądu pełnomocnika strony oraz równowartość zarobku utraconego wskutek stawiennictwa w sądzie (art. 205 § 1 ustawy procesowej). Suma tych dwóch ostatnich elementów nie może jednak przekraczać wysokości wynagrodzenia adwokata lub radcy prawnego, tj. kwoty 240 zł. Zauważyć więc należy, że pełnomocnik skarżącej te dwa ostatnie składniki kosztów oszacował na kwotę ponad 240 zł, a zatem Sąd i tak nie mógłby zasądzić ich w żądanej wysokości. Ponadto skarga została uwzględniona tylko w części i z powodów odmiennych, niż wskazuje na to jej treść, a z oświadczenia pełnomocnika skarżącej złożonego na rozprawie wynika, że wizyta w Sądzie nie była jedynym celem jego przyjazdu do Warszawy w dniu 3 października 2006 r. Sąd uznał więc za uzasadnione ograniczenie kosztów postępowania zasądzonego od organu na rzecz skarżącej tylko do kwoty wynikającej z wysokości uiszczonego wpisu sądowego, tj. 200 zł., które skarżąca zobowiązana była ponieść dla dochodzenia swoich praw.

Sygnatura powiązana