>Orzecznictwo>NSA>2003 >

Orzeczenie prawomocne

WYROK

W IMIENIU RZECZYPOSPOLITEJ POLSKIEJ

dnia 5 lutego 2003 r.

Naczelny Sąd Administracyjny w Warszawie po rozpoznaniu w dniu 5 lutego 2003 r. sprawy ze skargi Spółki na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia 4 października 2001 r. Nr GI-DP-DEC-134/01/856 w przedmiocie zakazu zaprzestania przetwarzania danych o stanie cywilnym i wykształceniu klientów

oddala skargę

UZASADNIENIE

Generalny Inspektor Ochrony Danych Osobowych powziął wiadomość, że Spółka przetwarza dane osobowe swoich klientów w związku z zawieraniem umów odpowiedzialności cywilnej posiadacza pojazdu mechanicznego (włącznie z kontynuacją umowy ) w zbyt szerokim zakresie. Oprócz danych niezbędnych do zawarcia umowy żąda danych o wykształceniu i stanie cywilnym. Nie wypełnia jednocześnie obowiązku z art. 24 ust. l pkt 4 ustawy o ochronie danych osobowych. W dniu 15 maja 200łr. zawiadomił Spółkę o wszczęciu postępowania z urzędu, a następnie w dniu 3 sierpnia 200łr. decyzją nr GI-DEC-DS-87/01/675 nakazał Spółce zaprzestania przetwarzania danych o stanie cywilnym i wykształceniu klientów zawierających umowę ubezpieczenia od odpowiedzialności cywilnej posiadacza pojazdu mechanicznego oraz nakazał spółce dopełnienie obowiązku informacyjnego w zakresie dobrowolności albo obowiązku podania na drukach formularzy „Wniosek o zawarcie umowy (OC), (WN), (AC)9' oraz „Dowód umowy obowiązkowego ubezpieczenia odpowiedzialności cywilnej OC posiadacza pojazdu mechanicznego" danych osobowych klientów. GIODO wykazał, że dane te są zbędne, nie są bowiem wykorzystywane w celu ustalenia wysokości jednostkowej składki ubezpieczeniowej. Narusza to zasadę celowości i adekwatności, a także § 38 i 39 rozporządzenia Ministra Finansów z 24 III 2000r. w sprawie ogólnych warunków obowiązkowego ubezpieczenia ... (Dz.U. Nr 26, póz. 310 ze zm.).
Spółka złożyła wówczas 20 sierpnia 200łr. wniosek o ponowne rozpatrzenie sprawy. Wskazała w nim, że zasada celowości i adekwatności nie została naruszona. Dane o wykształceniu i stanie cywilnym zbierane są bowiem w celach statystycznych i wykorzystywane przy ocenie ryzyka. Jednocześnie zobowiązała się do dopełnienia obowiązku informacyjnego z art. 24 ust. l pkt 4 ustawy.
Generalny Inspektor Ochrony Danych Osobowych w dniu 4 października 2001 r. decyzją GI-DEC-DS-134/01/856 utrzymał w mocy swoje poprzednie orzeczenie. Stwierdził bowiem, że pełnomocnik Spółki nie wykazał, w jaki sposób informacja o stanie cywilnym, czy wykształceniu osoby ubezpieczanej wpływa na ocenę ryzyka wystąpienia zdarzenia. Danych nie należy natomiast zbierać na zapas.
W dniu 31 października 200łr. Spółka złożyła skargę do Naczelnego Sądu Administracyjnego na tę decyzję w zakresie nakazującym Spółce zaprzestania przetwarzania danych o stanie cywilnym i wykształceniu klientów zawierających umowę ubezpieczenia odpowiedzialności cywilnej posiadacza pojazdu mechanicznego zarzucając jej naruszenie art. 26 ust. l pkt 2 i 3 ustawy o ochronie danych osobowych. Wniosła też o zasądzenie od GIODO kosztów postępowania. Zdaniem skarżącego uzyskiwane dane są merytorycznie poprawne i adekwatne w stosunku do celów, w jakich są przetwarzane i zgodne z zasadą celowości ich przetwarzania. Wykonanie tej decyzji ingeruje zaś w działalność ubezpieczeniową, która pełni istotną rolę społeczną. Właściwa kalkulacja składki zapewnia bezpieczeństwo klientom i stabilność ekonomiczną działalności. Ma znaczenie dla ustalania taryfy ubezpieczeniowej. Powyższe dane są gromadzone w celach statystycznych i wykorzystywane przy ocenie ryzyka. Na potwierdzenie skarżący przedłożył kopię opinii Centrum Biuro Aktuarialne Sp. z o.o., iż takie czynniki jak stan cywilny i wykształcenie mają olbrzymi wpływ na częstość powodowanych szkód samochodowych. Chociaż nie wpływa to na wysokość składki płaconej przez konkretnego klienta, ale ma wpływ na wysokość stawki w ogóle. Zdaniem Spółki art. 26 ust. l pkt 2 w związku z art. 2 pkt l daje Spółce podstawę do przetwarzania danych w celach statystycznych, skoro uwzględnia interes osoby, której dane przetwarza.
W odpowiedzi GIODO wniósł o oddalenie skargi. Wskazał, że obok zasady legalności przetwarzanie musi być celowe, adekwatne i należycie zabezpieczone. Administrator może żądać danych tylko w zakresie w jakim jest to niezbędne do wypełnienia celu. Cel przetwarzania musi być określony w sposób możliwie ścisły. W myśl art. 26 ust. l pkt 2 ustawy dane winny być przez administratora zbierane do oznaczonych, zgodnych z prawem celów i nie poddawane dalszemu przetwarzaniu niezgodnemu z tymi celami. Zbierane dane przez Spółkę w zakresie wykształcenia i stanu cywilnego nie wpływają aktualnie na wysokość składki i gromadzone są na wszelki wypadek. GIODO nie poddaje w wątpliwość charakteru ryzyka ubezpieczeniowego i nie dokonuje oceny działalności ekonomicznej, gdyż nie leży to w jego kompetencjach. Opiera się tylko na obowiązującym prawie i reaguje w razie jego naruszenia. Kształtowanie globalnej polityki ubezpieczeniowej nie dotyczy interesów konkretnych klientów i dlatego powyższego działania nie mogą legalizować przepisy art. 26 ust. 2 pkt l ustawy. Takie przetwarzanie byłoby możliwe na podstawie art. 23 ust. l pkt l ustawy, gdyby ubezpieczeni wyrażali na to zgodę. Tymczasem formularze nie zawierają odrębnej klauzuli zgody. Interes gospodarczy spółki nie może zaś górować nad prawem do prywatności klientów.

Naczelny Sąd Administracyjny zważył, że:

Skarga nie jest zasadna. Podstawą przetwarzania danych, o które chodziło w przedmiotowej sprawie był art. 23 ust. l pkt 3 ustawy z dnia 29 sierpnia 1997r. o ochronie danych osobowych (Dz.U. Nr 133, póz. 883 ze zm.). Wskazuje on, że przetwarzanie danych jest dopuszczalne m.in. wówczas, gdy jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą jest jej stroną lub, gdy jest to niezbędne do podjęcia konkretnych działań przed zawarciem umowy. Zbierane dane były bowiem konieczne dla potrzeb zawarcia umowy ubezpieczenia.
Generalny Inspektor Ochrony Danych Osobowych słusznie zauważył jednak, że zbierane dane były nieadekwatne do celów w jakich były przetwarzane, w zakresie danych o wykształceniu i stanie cywilnym osób ubezpieczonych. Naruszały tym samym art. 26 ust. l pkt, 3 przedmiotowej ustawy. Nie były bowiem uwzględnione w zakresie ustalania stawek ubezpieczenia konkretnych klientów. Stąd Spółka nie mogła się w tym zakresie powołać na § 38 rozporządzenia Ministra Finansów z dnia 24 marca 2000r. w sprawie ogólnych warunków obowiązkowego ubezpieczenia odpowiedzialności cywilnej posiadaczy pojazdów mechanicznych za szkody powstałe w związku z ruchem tych pojazdów (Dz.U. Nr 26, póz. 310 ze zm.). Określa on, że system taryf jest ustalany na podstawie oceny i klasyfikacji ryzyka przejmowanego przez zakład ubezpieczeń w ramach ubezpieczenia OC, a także stosowanych w tym ubezpieczeniu zniżek składki z tytułu bezszkodowego okresu ubezpieczenia i podwyżek składki z uwagi na szkodowy przebieg ubezpieczenia. Tymczasem wskazane dane nie były potrzebne do tych celów, lecz w interesie spółki do ustalania ogólnego ryzyka, jakie mógł zakład ponieść w przyszłości. Zbierane były więc niejako na zapas.
Skarżąca podnosiła, że podstawą przetwarzania wspomnianych danych był art. 26 ust. 2 pkt l ustawy. Zezwala on na przetwarzanie danych w celu innym niż ten, dla którego zostały zebrane, jeżeli nie narusza praw i wolności osoby, której dane dotyczą i następuje w celach naukowych, dydaktycznych, historycznych lub statystycznych. Zdaniem Spółki wchodziły tutaj w grę cele statystyczne.
Zgodnie z art. 26 ust. 2 pkt 2 takie przetwarzanie musi jednak następować z zachowaniem przepisów art. 23 i 25 ustawy. Na postawie art. 23 mogłoby to więc dotyczyć sytuacji, gdy osoba, której dane dotyczą wyrazi na to zgodę, zezwalają, na to przepisy prawa, jest to niezbędne do zawarcia umowy, jest to niezbędne dla wykonania określonych prawem zadań realizowanych dla dobra publicznego, jest to niezbędne dla prawnie usprawiedliwionych celów administratora, o którym mowa w art. 3 ust. 2 lub osób trzecich, a przetwarzanie danych nie narusza praw i wolności osób, których dane dotyczą, czy też jest to niezbędne dla ochrony żywotnych interesów tej osoby.
Zdaniem Naczelnego Sądu Administracyjnego w przedmiotowej sprawie nie zachodzą wskazane przesłanki. Dane o stanie cywilnym i wykształceniu nie były bowiem zbierane ani za zgodą osób, ani na podstawie odrębnego przepisu prawa, ani dla realizacji konkretnej umowy. Nie dotyczyły też prawnie usprawiedliwionych celów administratora, gdyż tymi zgodnie z ust. 4 jest w szczególności marketing bezpośredni własnych produktów i dochodzenie roszczeń z tytułu prowadzonej działalności gospodarczej, a głównie z uwagi na fakt, iż dotyczyło praw i wolności osób ubezpieczonych.
Stąd w przypadku stwierdzenia naruszenia ustawy o ochronie danych osobowych, GIODO mógł wydać na podstawie art. 18 ust. l ustawy przedmiotową decyzję. Naczelny Sąd Administracyjny nie dopatrzył się w niej naruszenia prawa.
Dlatego Naczelny Sąd Administracyjny orzekł na podstawie art. 27 ust. l i 53 ust. 2 ustawy z dnia 11 maja 1995r. o Naczelnym Sądzie Administracyjnym (Dz.U. Nr 74, póz. 368 ze zm.) w związku z art. 18 i 26 ust. l pkt 3 powoływanej ustawy o ochronie danych osobowych, jak w sentencji.