>Orzecznictwo>WSA>2008 >

II SA/Wa 1979/07 → I OSK 674/08 

Orzeczenie prawomocne

WYROK

W IMIENIU RZECZYPOSPOLITEJ POLSKIEJ

Dnia 15 lutego 2008 r.

Wojewódzki Sąd Administracyjny w Warszawie po rozpoznaniu na rozprawie w dniu 15 lutego 2008 r. sprawy ze skargi B. Spółki Akcyjnej z siedzibą w W. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] września 2007 r. nr [...] w przedmiocie nakazania usunięcia danych osobowych

1. uchyla zaskarżoną decyzję w całości,
2. stwierdza, że zaskarżona decyzja nie podlega wykonaniu

UZASADNIENIE

Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia [...] września 2007 r., nr [...] uchylił w całości własną decyzję z dnia [...]czerwca 2007 r., nr [...] i nakazał P.S.A. z siedzibą w W. usunięcie danych osobowych S.Ż. z B.S.A. z siedzibą w W.
Z ustaleń Generalnego Inspektora Ochrony Danych Osobowych i akt administracyjnych wynika następujący stan sprawy:
S. Ż. w dniu [..] lutego 1998 r. zawarł z P. S.A. (dalej P.) umowę kredytową nr [...], co skutkowało pozyskaniem przez ten bank danych osobowych kredytobiorcy. W grudniu
2001 r. P. udostępnił dane osobowe wymienionego kredytobiorcy B. S.A.. Przy spłacie zobowiązania kredytowego (ostatnich 6 rat) S. Ż. popadł w zwłokę powyżej 60 dni, wobec tego P.wszczął postępowanie egzekucyjne. Komornik Sądowy Rewiru I przy Sądzie Rejonowym w J. postanowieniem z dnia [...] lutego 2005 r. zakończył postępowanie egzekucyjne. W lutym 2005 r. i marcu 2005 r. P.przekazał do B. informację, iż zobowiązanie S. Ż. należy usunąć z rejestru tego biura i dane wymienionego kredytobiorcy zostały usunięte z B. Ponownie dane osobowe S. Ż. zostały przekazane przez P. do B.w dniu 13 maja 2005 r., bowiem, jak ustalił bank, w dalszym ciągu na wymienionym spoczywało zobowiązanie w wysokości 94,75 zł wynikające z umowy kredytowej zawartej w dniu [...] lutego 1998 r. Pomimo ostatecznego spłacenia wszystkich zobowiązań przez S. Ż. w dniu 31 marca 2006 r. P.nie usunął jego danych osobowych ze zbioru danych prowadzonego przez B.. W następstwie braku działania ze strony banku w sprawie usunięcia danych osobowych S. Ż. z B., wymieniony pismem z dnia 3 sierpnia 2006 r. zwrócił się do Generalnego Inspektora Ochrony Danych Osobowych o zobowiązanie P.do zaprzestania naruszania przepisu art. 23 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 72, poz. 665 ze zm.) i usunięcia ze zbioru danych osobowych przetwarzanych przez B.danych wnioskodawcy dotyczących informacji o wygasłym zobowiązaniu kredytowym z umowy nr [...].
Po przeprowadzeniu postępowania wyjaśniającego Generalny Inspektor Ochrony Danych Osobowych wydał w dniu [...] czerwca 2007 r. decyzję odmawiającą uwzględnienia wniosku S. Ż.. Organ stwierdził w uzasadnieniu decyzji, że choć zobowiązanie skarżącego wygasło, to przy jego spłacie skarżący dopuścił się zwłoki trwającej dłużej niż 60 dni. Zgodnie z art. 105a ust. 3 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz. U. Nr 72, poz. 665 ze zm.) banki, inne instytucje ustawowo upoważnione do udzielania kredytów oraz instytucje utworzone na podstawie art. 105 ust. 4 (m.in. B.) mogą przetwarzać informacje stanowiące tajemnicę bankową dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spłaceniu świadczenia wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank lub inną instytucję ustawowo upoważnioną do udzielania kredytów o zamiarze przetwarzania dotyczących jej informacji stanowiącej tajemnicę bankowa, bez jej zgody. Ustęp 5 powołanego artykułu zaś wskazuje, iż przetwarzanie informacji stanowiących tajemnicę bankową w przypadkach, o których mowa w ust. 3, może być wykonywane przez okres nie dłuższy niż 5 lat od dnia wygaśnięcia zobowiązania. Przepis art. 105a Prawa bankowego zaczął obowiązywać od dnia 16 czerwca 2005 r., już w chwili gdy dane osobowe skarżącego, jako osoby nieterminowo spłacającej kredyt, zostały przekazane do B.. Tym samym P.nie miał faktycznej możliwości dochowania 30 dniowego terminu poinformowania kredytobiorcy o przekazaniu jego danych B., o którym mowa w art. 105a ust. 3 pkt 2 Prawa Bankowego. Ponadto organ podniósł, iż banki oraz instytucje, o których mowa w art. 105 ust. 4 ww. ustawy, mogą przetwarzać informacje stanowiące tajemnicę bankową dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, bez zgody osoby, której informacje dotyczą, dla celów stosowania metod statystycznych, o których mowa w art. 128 ust. 3 (art. 105a ust. 4 Prawa bankowego). Stosownie zaś do art. 128 ust. 3 tej ustawy, za zgodą Komisji Nadzoru Bankowego bank może stosować metody statystyczne do obliczania wymogów kapitałowych. W zaistniałym stanie faktycznym oraz prawnym należało uznać, iż nie ma podstaw do zakwestionowania legalności przekazania P.danych osobowych skarżącego do B. oraz ich dalszego przetwarzania przez ten podmiot.
Wnioskiem z dnia 9 lipca 2007 r. S. Ż. wniósł o ponowne rozparzenie sprawy zakończoną decyzją Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] czerwca 2007 r. Odwołujący się zarzucił organowi bezpodstawne przyjęcie, iż zobowiązanie kredytowe skarżącego względem banku wygasło w marcu 2006 r., gdy zadłużenie zostało w całości zaspokojone w postępowaniu egzekucyjnym już w lutym 2005 r., co zostało potwierdzone wydaniem stosownego postanowienia przez komornika sądowego o zakończeniu egzekucji wierzytelności. Ponadto, w obowiązującym stanie prawnym należało zakwestionować legalność przetwarzania jego danych przez P., bowiem bank nie dopełnił obowiązku poinformowania kredytobiorcy o przekazaniu jego danych bez zgody zainteresowanego do B..
Generalny Inspektor Ochrony Danych Osobowych uwzględnił wniosek odwoławczy skarżącego i decyzją z dnia [...] września 2007 r. uchylił zaskarżoną decyzję w całości oraz nakazał P.usuniecie danych osobowych S. Ż. z B.. Uzasadniając rozstrzygniecie organ podniósł, iż przekazanie danych osobowych strony odwołującej się do B.nastąpiło w związku z przyjęciem przez bank, iż skarżący zalega ze spłatą zobowiązania z umowy kredytowej z dnia [...] lutego 1998 r. S. Ż. uiścił wymaganą kwotę 94,75 zł na rzecz banku w dniu 31 marca 2006 r. Z tego faktu należało wywnioskować, że skarżący uznał swoje zadłużenie wobec banku i w konsekwencji, wygasło ono ostatecznie w dniu 31 marca 2006 r. Nie może tym samym budzić wątpliwości legalność udostępnienia danych osobowych skarżącego przez P.na rzecz B., a także dalszego przetwarzania tych informacji przez ostatni z wymienionych podmiotów w czasie trwania zobowiązania łączącego bank i skarżącego. Odmiennie niż w zaskarżonej decyzji organ zajął stanowisko w kwestii legalności przetwarzania przez B.danych osobowych skarżącego po wygaśnięciu zobowiązania łączącego go z bankiem, w świetle wprowadzonego ustawą z dnia 15 kwietnia 2005 r. o zmianie ustawy o ochronie danych osobowych oraz niektórych innych ustaw (Dz. U. Nr 85, poz. 727) i obowiązującego od dnia 16 czerwca 2005 r. przepisu art. 105a Prawa bankowego. Zdaniem organu, od wejścia w życie wskazanej regulacji, bank powinien był zadbać o spełnienie warunków przewidzianych w tym przepisie. Tymczasem z materiału dowodowego jednoznacznie wynikało, iż w chwili rozstrzygania przez organ spełniony został tylko jeden z warunków określonych w art. 105 ust. 3 Prawa bankowego, tj. skarżący przy realizowaniu zobowiązania pieniężnego popadł w zwłokę przekraczającą 60 dni. Bank natomiast nie spełnił drugiego z obligatoryjnych warunków. Nie udzielił bowiem skarżącemu informacji o zamiarze przetwarzania danych kredytobiorcy bez jego zgody, choć pismem z dnia 11 maja 2006 r. skarżący zwracał się do P.o usunięcie jego danych, w związku z całkowitą spłatą zobowiązania wobec banku. Wobec wygaśnięcia zobowiązania kredytowego w dniu 31 marca 2006 r. i braku zgody zainteresowanego na przetwarzanie jego danych przez B., bank powinien był niezwłocznie usunąć dane skarżącego ze zbioru danych. W przypadku zaś istnienia potrzeby dalszego przetwarzania danych skarżącego przez B., bank obowiązany był niezwłocznie spełnić względem skarżącego obowiązek informacyjny z art. 105a ust. 3 Prawa bankowego. Na skutek żądania skarżącego zaprzestania przetwarzania przez B.jego danych osobowych, zasadne stało się wyegzekwowanie od banku niezwłocznego spełnienia obowiązku informacyjnego.
Powyższa decyzja stała się przedmiotem skargi wniesionej przez B.S.A. z siedzibą w W. do Wojewódzkiego Sądu Administracyjnego w Warszawie. Przedmiotowej decyzji strona skarżąca zarzuciła jej wydanie z naruszeniem prawa, w szczególności: 1) art. 23 ust. 1 pkt 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, w zw. z art. 105 ust. 4 i art. 105a ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe, 2) art. 6 ustawy z dnia 15 kwietnia 2005 r. o zmianie ustawy o ochronie informacji niejawnych oraz niektórych innych ustaw w zw. z art. 105a ustawy Prawo bankowe, 3) art. 70 ust. 1 oraz art. 105a ust. 4 i 5 w zw. z art. 128 ust. 3 ustawy Prawo bankowe, 4) art. 6, 8 i 9 k.p.a. W obszernym uzasadnieniu skargi, B.przedstawiło odmienne stanowisko od zajętego w sprawie przez Generalnego Inspektora Ochrony Danych Osobowych. Zdaniem strony skarżącej, przetwarzanie danych osobowych klientów po wygaśnięciu zobowiązania łączącego klienta z bankiem, zebranych po wejściu w życie ustawy z dnia 15 kwietnia 2005 r. o zmianie ustawy o ochronie informacji niejawnych oraz niektórych innych ustaw, musi bezwzględnie spełniać wymogi w niej przewidziane. Jednak przetwarzanie danych, które zostały zebrane przed jej wejściem w życie mogło odbywać się na dotychczasowych zasadach z zastrzeżeniem, iż do dnia 16 czerwca 2008 r. ich przetwarzanie powinno zostać dostosowane do nowych wymogów. Stanowi o tym art. 6 ustawy o zmianie ustawy o ochronie informacji niejawnych oraz niektórych innych ustaw. Za przyjęciem prezentowanego stanowiska przemawia fakt, że zawiadomienie klienta przez bank o zamiarze przetwarzania jego danych po wygaśnięciu zobowiązania, o którym mowa w art. 105a ust. 3 pkt. 2, jest w większości przypadków niemożliwe, ponieważ jak w niniejszej sprawie, dane kredytobiorcy były już przetwarzane przez bank i B.w chwili wejścia w życie wskazanej nowelizacji. Ponadto, jeżeli dane klienta zostały zebrane przed wejściem w życie nowelizacji i zwłoka w spełnieniu jego świadczeń względem banku przekraczała 60 dni, a umowa wygasła już po wejściu w życie nowelizacji, to bank ma, zgodnie z art. 6 ustawy o zmianie ustawy o ochronie informacji niejawnych oraz niektórych innych ustaw, czas do dnia 16 czerwca 2008 r. na dostosowanie zasad przetwarzania do nowych wymogów - w tym przypadku do powiadomienia klienta o zamiarze dalszego przetwarzania jego danych jako niesolidnego kredytobiorcy. Skoro ustawa wskazuje bankowi maksymalny czas do 16 czerwca 2008 r. na dopełnienie takich warunków, to nie ma żadnych podstaw prawnych, aby z tego powodu stosować wobec banku sankcji (nie przewidzianej w ustawie), a w szczególności nakazywać mu usunięcie danych osobowych ze zbioru B.. Przyjęcie przeciwnego stanowiska prowadziłoby do wniosku, iż bank informowałby osobę, której dane już przetwarza (w tym w zbiorze B.) od kilku lat o tym, że "zamierza przetwarzać dane osobowe tej osoby bez jej zgody". Byłaby to w sytuacji skarżącego informacja nieprawdziwa. Z podanych względów organ błędnie podjął zaskarżoną decyzję. Ponadto nie uwzględnił konsekwencji prawnych nowelizacji Prawa bankowego z dnia 1 kwietnia 2007 r., która wprowadziła w treści art. 105a ust. 4 i 5 możliwość przetwarzania przez banki i B.danych o rachunkach zamkniętych bez zgody osoby, której dane dotyczą, dla celów stosowania metod statystycznych, o których mowa w art. 128 ust. 3 Prawa bankowego, przez 12 lat od wygaśnięcia zobowiązania. Na tej podstawie zarówno Bank, jak i B. mogą przetwarzać dane osobowe S. Ż. przez 12 lat od dnia spłaty kredytu. Nakazanie zatem przez organ administracji usunięcie danych ze zbioru B.stanowi w szczególności naruszenie art. 105 ust. 4 pkt 1 oraz art. 105a ust. 4 i 5 Prawa bankowego.
W odpowiedzi na skargę Generalny Inspektor Ochrony Danych Osobowych wniósł o jej oddalenie oraz podtrzymał argumentację przedstawioną w uzasadnieniu zaskarżonej decyzji. W obszernym uzasadnieniu pisma procesowego organ przedstawił argumenty świadczące o niezasadności stanowiska prezentowanego przez stronę skarżącą.

Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:

Zgodnie z art. 1 § 1 i § 2 ustawy z dnia 25 lipca 2002 r. Prawo o ustroju sądów administracyjnych (Dz. U. Nr 153, poz. 1269 ze zm.), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej. Sąd, stosownie do art. 134 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. Nr 153, poz. 1270 ze zm.), rozstrzyga w granicach danej sprawy nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną.
Skarga zasługuje na uwzględnienie.
Na wstępie zaznaczyć należy, iż zadaniem ustawy 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jedn. Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.) nie jest jedynie stanie na straży interesów tych, których przetwarzane dane osobowe dotyczą. Naczelną zasadą ustawy nie jest zakaz przetwarzania danych osobowych, lecz przestrzeganie zakresu i trybu ich przetwarzania. Omawiana ustawa w art. 1 stwierdza, że dane osobowe mogą być przetwarzane, jeżeli służy to dobru publicznemu, dobru osoby, której dane dotyczą lub dobru osób trzecich. Ochrona danych osobowych na podstawie przepisów powołanej ustawy nie powinna być oderwana od przepisów służących ochronie innych wartości.
Stosownie do treści art. 7 pkt 2 ww. ustawy, przez przetwarzanie danych osobowych rozumie się jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych. Zgodnie z art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa. Uprawnienie takie dla B.wynikają z art. 105 ust. 4 ustawy z dnia 29 sierpnia 1997 r. - Prawo bankowe (tekst jedn. Dz. U. z 2002 r. Nr 72, poz. 665 ze zm. - w brzmieniu obowiązującym w dniu wydania zaskarżonej decyzji), według którego banki mogą, wspólnie z bankowymi izbami gospodarczymi, utworzyć instytucje upoważnione do gromadzenia, przetwarzania i udostępniania:
1) bankom - informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych oraz w związku ze stosowaniem metod statystycznych, o których mowa w art. 128 ust. 3 oraz w art. 128d ust. 1,
2) innym instytucjom ustawowo upoważnionym do udzielania kredytów - informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są niezbędne w związku z udzielaniem kredytów, pożyczek pieniężnych, gwarancji bankowych i poręczeń.
Natomiast w myśl art. 105a powyższej ustawy:
1. Przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów oraz instytucje utworzone na podstawie art. 105 ust. 4, informacji stanowiących tajemnicę bankową w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem art. 104, art. 105 i art. 106-106c, w celu oceny zdolności kredytowej i analizy ryzyka kredytowego.
2. Instytucje, o których mowa w ust. 1, mogą, z zastrzeżeniem ust. 3, przetwarzać informacje stanowiące tajemnicę bankową w zakresie dotyczącym osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, pod warunkiem uzyskania pisemnej zgody osoby, której informacje te dotyczą. Zgoda ta może być w każdym czasie odwołana.
3. Instytucje, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank lub inną instytucję ustawowo upoważnioną do udzielania kredytów o zamiarze przetwarzania dotyczących jej informacji stanowiących tajemnicę bankową, bez jej zgody.
4. Banki oraz instytucje, o których mowa w art. 105 ust. 4, mogą przetwarzać informacje stanowiące tajemnicę bankową dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, bez zgody osoby, której informacje dotyczą, dla celów stosowania metod statystycznych, o których mowa w art. 128 ust. 3.
5. Przetwarzanie informacji stanowiących tajemnicę bankową w przypadkach, o których mowa w ust. 3, może być wykonywane przez okres nie dłuższy niż 5 lat od dnia wygaśnięcia zobowiązania, a w przypadku, o którym mowa w ust. 4, przez okres 12 lat od dnia wygaśnięcia zobowiązania.
6. Zakres przetwarzanych informacji, o których mowa w ust. 3 i 4, może obejmować dane dotyczące osoby fizycznej lub dane dotyczące zobowiązania.
7. Minister właściwy do spraw instytucji finansowych, po zasięgnięciu opinii właściwych nadzorów, określi w drodze rozporządzenia, szczegółowy zakres przetwarzanych informacji, o których mowa w ust. 6, oraz tryb ich usuwania, uwzględniając właściwą ochronę praw osób, których informacje dotyczą, oraz konieczność zapewnienia bezpieczeństwa środków zgromadzonych w bankach i innych instytucjach ustawowo upoważnionych do udzielania kredytów.
W niniejszej sprawie, P.(będąc administratorem danych osobowych) zgłosił skarżącego do B., jako nierzetelnego dłużnika, albowiem S. Ż. przy spłacie kredytu komercyjnego popadł w zwłokę przekraczającą 60 dni. Nie budzi w sprawie wątpliwości, iż skarżący uznał wierzytelność wymaganą przez bank i w dniu 31 marca 2006 r. dokonał całkowitej spłaty zadłużenia kredytowego. Nie stanowi również sporu pomiędzy stronami, iż po wskazanej dacie dane osobowe S. Ż. nie zostały usunięte z zasobu informacyjnego B.pomimo wyraźnego sprzeciwu zainteresowanego kredytobiorcy.
Zestawiając zaistniały w sprawie stan faktyczny z dyspozycją art. 105a ust. 3 pkt 1 ustawy należy dojść do wniosku, że skarżący jest osobą, która nie wykonała zobowiązania w terminie wynikającym z postanowień umowy kredytowej i dopuściła się zwłoki powyżej 60 dni w spłacie zadłużenia kredytowego. Zatem pierwsza z przesłanek w tym przepisie określonych bez wątpienia została spełniona. Sporne natomiast pomiędzy stronami pozostaje, czy P.był obowiązany spełnić względem kredytobiorcy obowiązek informacyjny, o którym mowa w art. 105a ust. 3 pkt 2 powołanej ustawy.
W wyroku z dnia 30 listopada 2006 r., sygn. akt II SA/Wa 1734/06 Wojewódzki Sąd Administracyjny w Warszawie (powołanym przez Generalnego Inspektora Ochrony Danych Osobowych na poparcie trafności podjętego rozstrzygnięcia) zajął się kwestią terminu, od którego należy stosować przepis art. 105a ustawy - Prawo bankowe, a w konsekwencji wymóg uzyskania zgody na przetwarzanie danych osobowych osoby fizycznej. Sąd wskazał w tym wyroku, iż powyższy przepis został dodany do ustawy - Prawo bankowe w wyniku jej nowelizacji, poprzez art. 3 pkt 2 ustawy z dnia 15 kwietnia 2005 r. o zmianie ustawy o ochronie informacji niejawnych oraz niektórych innych ustaw (Dz. U. Nr 85, poz. 727). Zgodnie z treścią art. 12 - przepis ten wszedł w życie po upływie 30 dni od dnia jej ogłoszenia. Ponieważ promulgacja nastąpiła w dniu 16 maja 2005 r., zatem dniem wejścia w życie ustawy jest dzień 16 czerwca 2005 r. Stosownie do treści art. 6 tej ustawy, banki, inne instytucje ustawowo upoważnione do udzielania kredytów oraz instytucje utworzone na podstawie art. 105 ust. 4 ustawy z dnia 29 sierpnia 1997 r. - Prawo bankowe obowiązane są dostosować przetwarzanie informacji zgromadzonych przed dniem wejścia w życie niniejszej ustawy do wymagań w niej określonych, w terminie nie dłuższym niż 3 lata od wejścia w życie niniejszej ustawy. Przepis art. 6 ma charakter dostosowujący i służy on między innymi B.do dostosowania się do tej regulacji w formie jak najmniej dla niego uciążliwej. Jednakże wykładnia leksykalna tego przepisu, zawarta w sformułowaniu "w terminie nie dłuższym niż 3 lata" oznacza zakreślenie maksymalnego okresu dostosowawczego. Jest to ostateczny okres, który ma służyć instytucji bankowej np. do dostosowania się pod względem organizacyjnym i technicznym w zakresie stosowania tej nowej regulacji (zmiana oprogramowania komputerowego, konieczność wystąpienia do zainteresowanych osób o ewentualne udzielenie zgody... etc.). Natomiast jeżeli sam zainteresowany nie wyrazi takiej zgody i samodzielnie poinformuje uprawniony podmiot jeszcze przed upływem 3 lat o swojej woli, to organ jest zobowiązany stosować ten przepis, jeżeli jest już do tej zmiany odpowiednio przygotowany.
Skład orzekający w niniejszej sprawie w pełni akceptuje powyżej zaprezentowany pogląd. Jednakże podnieść należy, iż bezwzględne egzekwowanie przepisu art.105a Prawa bankowego uzasadnia upływ okresu dostosowawczego. Wcześniejsze stosowanie powołanej regulacji, w tym obowiązek informacyjny względem nierzetelnego kredytobiorcy, jest wymagane w sytuacji, gdy bank lub inna instytucja ustawowo upoważniona do udzielania kredytów, już się do tej zmiany przygotowały. Nakazywanie zaś instytucjom bankowym dopełnienia obowiązków wynikających z ww. regulacji prawnej, bez ustalenia, czy odpowiednie systemy dostosowujące zostały już wdrożone, pozostaje w wyraźnej sprzeczności z wolą ustawodawcy wyrażoną w art. 6 ustawy z dnia 15 kwietnia 2005 r. o zmianie ustawy o ochronie informacji niejawnych oraz niektórych innych ustaw. Generalny Inspektor Ochrony Danych Osobowych przed wydaniem zaskarżonej decyzji nie badał tej kwestii, choć dla wydania prawidłowego rozstrzygnięcia w sprawie miała ona kluczowe znaczenie.
Nie jest też pozbawiony zasadności zarzut skargi dotyczący możliwości przetwarzania przez P.i B., w oparciu o obowiązujący od dnia 1 kwietnia 2007 r. przepis art. 105a ust. 4 i 5 Prawa bankowego, danych o rachunkach zamkniętych bez zgody osoby, której dane dotyczą, dla celów stosowania metod statystycznych. W odpowiedzi na skargę organ podniósł, iż B.zarejestrowało u Generalnego Inspektora Ochrony Danych Osobowych jedynie zbiór danych o nazwie "Kredytobiorcy", zawierający dane klientów banków będących osobami fizycznymi. Podany zbiór, zgodnie z art. 105a ust. 1 ww. ustawy, zawiera dane dla potrzeb oceny zdolności kredytowej i analizy ryzyka kredytowego osób fizycznych. Zatem tylko w wymienionym celu posiadany przez B.zbiór danych o kredytobiorcach powinien być wykorzystywany. Sam fakt posiadania zarejestrowanego w Inspektoracie Ochrony Danych Osobowych przedmiotowego zbioru nie uzasadnia jego wykorzystywania w innym celu, np. w celu stosowania metod statystycznych. Przeciwny pogląd pozostawałby w sprzeczności z art. 6 ust. 1 Dyrektywy 95/64/WE Parlamentu Europejskiego i Rady (Dziennik Urzędowy L 281, 23/11/1995 P. 0031 - 0050), który nakłada na Państwa Członkowskie UE obowiązek zapewnienia, aby dane osobowe były gromadzone do określonych, jednoznacznych i legalnych celów oraz nie były poddawane dalszemu przetwarzaniu w sposób niezgodny z tym celem. Niemniej jednak, Generalny Inspektor Ochrony Danych Osobowych podejmując zaskarżoną decyzję w dniu [...] września 2007 r. całkowicie pominął, co podniosło B.w piśmie procesowym z dnia [...] grudnia 2007 r., iż biuro to jako administrator danych złożyło do Generalnego Inspektora Ochrony Danych Osobowych w sierpniu 2007 r. wniosek aktualizacyjny zgłaszający zmianę celu przetwarzania danych w bazie "Kredytobiorcy" poprzez uzupełnienie o cel przetwarzania, w związku ze stosowaniem metod statystycznych. Generalny Inspektor nie wykazał w zakończonym zaskarżoną decyzją postępowaniu, w jaki sposób ww. wniosek B.został załatwiony. Ma to o tyle istotne znaczenie, iż w świetle art. 46 ust. 1 ustawy o ochronie danych osobowych administrator danych może, z zastrzeżeniem ust. 2, rozpocząć ich przetwarzanie w zbiorze danych po zgłoszeniu tego zbioru Generalnemu Inspektorowi, chyba że ustawa zwalnia go z tego obowiązku, bądź w oparciu o przepis art. 44 ust. 1 tej ustawy, organ wyda decyzję o odmowie rejestracji zbioru danych.
W tym stanie rzeczy stwierdzić należy, iż Generalny Inspektor Ochrony Danych Osobowych nie wyjaśnił w sposób wymagany prawem procesowym wszystkich istotnych okoliczności sprawy, nie zebrał on i nie ocenił całokształtu materiału dowodowego, czym naruszył art. 7, art. 77 § 1 i art. 80 k.p.a., a co mogło mieć istotny wpływ na końcowy wynik załatwienia sprawy.
Generalny Inspektor Ochrony Danych Osobowych ponownie rozpatrując sprawę z wniosku odwoławczego S. Ż. uwzględni powyższe uwagi Sądu oraz w zależności od wyniku dokonanych ustaleń rozważy dopuszczalność przetwarzania danych wymienionego odrębnie dla celów oceny zdolności kredytowej i analizy ryzyka kredytowego oraz odrębnie dla celów stosowania metod statystycznych, o których mowa w art. 128 ust. 3. Prawa bankowego.
Mając na uwadze powyższe, Sąd na podstawie art. 145 § 1 pkt 1 lit. c oraz art. 152 Prawa o postępowaniu przed sądami administracyjnymi, orzekł jak w sentencji.