>Orzecznictwo>NSA>2008 >

II Sa/Wa 871/06 → I OSK 616/07

WYROK

W IMIENIU RZECZYPOSPOLITEJ POLSKIEJ

dnia 18 kwietnia 2008 r.

Naczelny Sąd Administracyjny po rozpoznaniu w dniu 18 kwietnia 2008 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej [...] Inspektora Ochrony Danych Osobowych od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 3 października 2006 r. sygn. akt II SA/Wa 871/06 w sprawie ze skargi B. J. na decyzję [...] Inspektora Ochrony Danych Osobowych z dnia [...] nr [...] w przedmiocie przetwarzania danych osobowych

1.    uchyla zaskarżony wyrok w pkt 1
2.    w tym zakresie przekazuje sprawę do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie

Uzasadnienie:

     Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 3 października 2006 r., sygn. akt II SA/Wa 871/06 po rozpoznaniu skargi B. J. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...], nr [...] w przedmiocie przetwarzania danych osobowych uchylił zaskarżoną decyzję w części utrzymującej w mocy pkt 1 decyzji z dnia [...], nr [...] w pozostałym zakresie skargę oddalił, stwierdził, że zaskarżona decyzja w uchylonej części nie podlega wykonaniu oraz zasądził od organu na rzecz skarżącej kwotę 200 zł tytułem zwrotu części kosztów postępowania sądowego.

Z uzasadnienia zaskarżonego wyroku wynika, że decyzją z dnia [...], nr [...] Generalny Inspektor Ochrony Danych Osobowych (zwany dalej "GIODO" lub "organ") po rozpatrzeniu wniosku B. J. o ponowne rozpoznanie sprawy zakończonej decyzją z dnia [...], nr [...] o odmowie uwzględnienia wniosku o nakazanie usunięcia jej danych osobowych z bazy danych [...] Bank S.A. z siedzibą w W. oraz umorzeniu postępowania w zakresie wniosku o nakazanie usunięcia danych ze zbioru prowadzonego przez [...] S.A. (zwane dalej "[...] S.A.") - na podstawie art. 138 § 1 pkt 1 K.p.a. utrzymał w mocy zaskarżoną decyzję.

W uzasadnieniu decyzji organ wskazał, że w dniu 6 lipca 2000 r. Andrzej J. zawarł umowę kredytową z [...] Bankiem S.A. zaś poręczycielem była B. J., która wystawiła w tym celu na rzecz [...] Banku S.A. weksel in blanco. [...] Bank S.A. zmienił następnie swoją firmę na Bank [...] S.A. W dniu 13 maja 2004 r. Bank [...] S.A. zawarł umowę cesji wierzytelności swoich klientów na rzecz [...] Bank S.A. Następnie [...] Bank S.A. zmienił swoją firmę na [...] Bank S.A. z siedzibą w W.. Zaciągnięty kredyt spłacony został w lipcu 2005 r. W dniu 23 listopada 2004 r. [...] Bank S.A. oraz [...] S.A. zawarły umowę w sprawie gromadzenia, przetwarzania i udostępniania informacji. Na podstawie tej umowy [...] Bank S.A. (zwany dalej także "bankiem"), przekazał do [...] S.A. dane osobowe B. J.. W dniu 9 sierpnia 2005 r. skarżąca zwróciła się do Banku o zaniechanie przetwarzania jej danych osobowych dla celów archiwalnych i wynikających z potrzeb rachunkowości. W dniu 20 października 2005 r. bank wystąpił do [...] S.A. o usunięcie danych osobowych skarżącej, w wyniku czego, w dniu 26 października 2005 r. [...] S.A. usunął dane osobowe związane z kredytem udzielonym przez [...] Bank S.A. Okoliczność ta uzasadniała, zdaniem organu, umorzenie postępowania na podstawie art. 105 K.p.a. w zakresie tej części wniosku skarżącej. Aktualnie bank przetwarza dane skarżącej wyłącznie w celach archiwalnych oraz w celu wywiązania się z obowiązków rachunkowości. Organ uznał, że zgoda skarżącej na przekazanie jej danych do [...] S.A. nie była konieczna, gdyż przesłankę przekazania jej danych do [...] S.A. stanowił art. 23 ust. 1 pkt 2 ustawy w zw. z art. 105 ust. 4 Prawa bankowego. Skoro skarżąca udzieliła poręczenia wekslowego jako zabezpieczenie spłaty kredytu, przesłankę przetwarzania jej danych przez bank stanowił art. 23 ust. 1 pkt 3 ustawy. Stała się przez to stroną stosunku zobowiązaniowego, o którym mowa w art. 32 ustawy z dnia 28 kwietnia 1936 r. Prawo wekslowe (Dz.U. Nr 37, poz. 282 ze zm.). Według tego przepisu poręczyciel wekslowy odpowiada tak samo, jak ten, za kogo poręczył. Odpowiedzialność poręczyciela wekslowego ma, zdaniem organu, charakter samoistny, akcesoryjny i solidarny z dłużnikiem. Odnośnie kwestii naruszenia art. 105a Prawa bankowego organ wskazał, że przekazanie danych skarżącej do [...] S.A. nastąpiło przed dniem 16 czerwca 2005 r., kiedy weszła w życie ustawa z dnia 15 kwietnia 2005 r. o zmianie ustawy o ochronie informacji niejawnych oraz niektórych innych ustaw (Dz.U. Nr 85, poz. 727). Ponadto podstawą przetwarzania danych przez bank była umowa kredytowa zawarta pomiędzy [...] Bankiem S.A., a mężem skarżącej, czyli przesłanka z art. 23 ust. 1 pkt 3 ustawy. Do dnia spłaty tego kredytu, tj. do dnia 15 lipca 2005 r. bank przetwarzał jej dane w związku z obsługą wierzytelności, a po tej dacie - w związku z wymogami ustawy z dnia 29 września 1994 r. o rachunkowości (Dz.U. z 2002 r. Nr 76, poz. 694 ze zm.) oraz rozporządzenia Ministra Finansów z dnia 10 grudnia 2001 r. w sprawie szczególnych zasad rachunkowości banków (Dz.U. Nr 149, poz. 1673 ze zm.). W ocenie organu, bank ma prawo przetwarzać dane nawet po zakończeniu umowy, aż do czasu przedawnienia roszczeń, a określonego w art. 731 lub 118 K.c. Organ uznał, że bank nie miał obowiązku ani możliwości przekazania danych z zachowaniem warunków art. 105a Prawa bankowego, gdyż w 2004 r., kiedy te dane zostały do [...] S.A. przekazane, ten przepis jeszcze nie istniał. Organ przyznał, że [...] S.A. nadal przetwarza dane skarżącej, ale dane te dotyczą innych umów, niż umowa kredytu bankowego zawarta przez jej męża w dniu [...] lipca 2006 r. Wniosek o nakazanie usunięcia danych dotyczył tylko tej jednej, konkretnej umowy kredytowej.

Powyższa decyzja stała się przedmiotem skargi B. J. do Wojewódzkiego Sądu Administracyjnego w Warszawie.

Generalny Inspektor Ochrony Danych Osobowych w odpowiedzi na skargę wniósł o jej oddalenie, podtrzymując dotychczasowe stanowisko w sprawie.

W powołanym na wstępie wyroku Wojewódzki Sąd Administracyjny w Warszawie uznał, że skarga zasługuje na uwzględnienie w części dotyczącej zaskarżonej decyzji, która utrzymuje w mocy pkt 1 poprzedzającej ją decyzji organu z dnia [...], tj. odmowy nakazania usunięcia danych skarżącej przetwarzanych przez [...] Bank S.A. w W.. W pozostałej części, tj. w zakresie, w jakim organ utrzymał w mocy swoje rozstrzygnięcie umarzające postępowanie co do wniosku o nakazanie usunięcia danych skarżącej przetwarzanych przez [...] S.A. w Warszawie, konieczne było oddalenie skargi.

Sąd wskazał, że wniosek skarżącej z dnia 1 sierpnia 2005 r. określił granice przedmiotowe postępowania - zawierał dwa żądania: nakazania przez organ usunięcia jej danych osobowych przetwarzanych przez [...] Bank S.A. oraz nakazania usunięcia jej danych przetwarzanych przez [...] S.A.

Co do tego pierwszego żądania Sąd zauważył, że obowiązkiem organu było szczególnie dokładne, precyzyjne ustalenie okoliczności faktycznych postępowania zgodnie z art. 7 K.p.a. Organ zobowiązany był zatem do ustalenia, czy bank przetwarza dane osobowe skarżącej, skąd pochodziły te dane w razie ich przetwarzania, jaki jest zakres tych danych, a także w jakim celu i na jakiej podstawie prawnej, określonej w art. 23 ust. 1 ustawy o ochronie danych osobowych, są one przetwarzane. W ocenie Sądu analiza akt postępowania administracyjnego pozwala stwierdzić, że w dacie podejmowania decyzji bank przetwarzał dane osobowe skarżącej w celach określonych w ustawie o rachunkowości i przepisach wykonawczych do tej ustawy, tj. w rozporządzeniu Ministra Finansów z dnia 10 grudnia 2001 r. w sprawie szczególnych zasad rachunkowości banków. Ponadto bank przekazał dane skarżącej do instytucji utworzonej na podstawie art. 105 ust. 4 Prawa bankowego - [...] S.A.

Sąd podniósł, że skarżąca w toku postępowania sądowego prezentowała zmienne stanowisko co do swojego statusu prawnego w umowie kredytowej z dnia 6 lipca 2000 r. W pierwszej fazie postępowania wskazywała, że nie była poręczycielem umowy kredytowej zawartej przez jej męża, a jedynie wyraziła zgodę na jej zawarcie. Następnie przyznała jednak, że była poręczycielem kredytu, choć uznała, że poręczyciel nie jest stroną umowy, a jego zobowiązanie pojawia się dopiero w razie niewywiązania się z obowiązków umownych przez dłużnika głównego. Przyznała też, że weksel in blanco sporządzony w związku z zabezpieczeniem płatności kredytu został zniszczony, zatem taki weksel był w przeszłości przez nią wystawiony. Sąd uznał więc, że skarżąca rzeczywiście była poręczycielem wekslowym umowy kredytowej zawartej przez jej męża, a lektura tej umowy dodatkowo potwierdza jej status jako poręczyciela (§ 3 punkt 1 lit. d/ umowy z dnia 6 lipca 2000 r.). W ocenie Sądu prawem banku jest przetwarzanie danych osobowych nie tylko samej strony umowy kredytowej, ale też wszystkich osób, których dane zostały zasadnie i w usprawiedliwionym zakresie zgromadzone w związku z zawarciem i wykonywaniem tej umowy. Taką osobą jest z pewnością poręczyciel, ale jest nią także małżonek kredytobiorcy (istotny przecież jest majątkowy ustrój małżeński), jego dzieci (ich ilość i wiek wpływa na ocenę zdolności kredytowej), a także inne osoby, które mają znaczenie w praktyce umów bankowych. Stąd wniosek, że nawet w razie uznania, iż poręczyciel nie jest stroną umowy kredytowej, albo jest tą stroną dopiero w razie niewywiązania się ze swoich zobowiązań przez dłużnika głównego, bank uprawniony jest do przetwarzania danych poręczyciela. Jeśli takiego uprawnienia nie statuuje art. 23 ust. 1 pkt 3 ustawy o ochronie danych osobowych, to uprawnienie takie wynika z pkt 5 tego przepisu, tj. z tzw. klauzuli usprawiedliwionego interesu. Status skarżącej w umowie kredytowej ma też znaczenie drugorzędne w kontekście uprawnienia banku do przekazania jej danych osobowych do [...] S.A. Przepis art. 104 ust. 1 tej ustawy obejmuje tajemnicą bankową wszystkie informacje dotyczące czynności bankowej, uzyskane w czasie negocjacji, w trakcie zawierania i realizacji umowy, na podstawie której bank tę czynność wykonuje. Prawo bankowe nie obejmuje więc taką tajemnicą wyłącznie danych stron umowy, lecz kategorycznie i niedwuznacznie przesądza, że objęte są nimi wszystkie informacje uzyskane w toku negocjacji, zawierania i realizacji umowy. Niezależnie od statusu skarżącej w tej umowie bank był uprawniony do przekazania jej danych do [...] S.A. Sąd podkreślił, że dla legalnego przekazania danych skarżącej do [...] S.A. nie było bezwzględnym wymogiem Prawa bankowego, aby miała ona przymiot strony umowy. Takie uprawnienie banku wypływa wprost z art. 105 ust. 4 Prawa bankowego i jest oczywistą konsekwencją powołania instytucji, zgodnie z ustawą bankową, predestynowanej do gromadzenia m.in. danych osobowych kredytobiorców i innych osób związanych z kredytobiorcą. Taka instytucja może przecież gromadzić dane objęte tajemnicą bankową, a nie wyłącznie dane stron umów bankowych. Z punktu widzenia wymagań ustawy o ochronie danych osobowych na przetwarzanie danych osobowych skarżącej w formie ich przekazania do [...] S.A. zezwala art. 23 ust. 1 pkt 2 tej ustawy - jest to niezbędne dla zrealizowania uprawnienia wynikającego ze szczególnego przepisu prawa - Prawa bankowego. Wobec tego Sąd uznał, że przetwarzanie danych skarżącej przez bank w związku z umową kredytową z dnia 6 lipca 2000 r. oraz przekazanie jej danych do [...] S.A. było legalne. Organ prawidłowo ocenił uprawnienia banku w tym zakresie.

Sąd analogicznie ocenił fakt przetwarzania danych skarżącej przez bank w związku wymogami ustawy o rachunkowości. Przywołane przez organ przepisy tej ustawy, a także przepisy wykonawcze zawarte w powołanym rozporządzeniu Ministra Finansów, legalizują fakt dysponowania przez bank tymi danymi nawet po wykonaniu umowy. Nie zasługują na uwzględnienie zarzuty skarżącej, że bank może dysponować, po wykonaniu umowy, tylko takimi dokumentami (dowodami księgowymi), które zostały wystawione przez klientów banku. Po pierwsze - status klienta (strony umowy) ma w tej sprawie znaczenie marginalne. Po drugie zaś - skoro ustawa o rachunkowości zobowiązuje bank do zachowania dokumentacji dotyczącej zawartych umów przez okres 5 lat po ich wykonaniu, to niewątpliwe jest uprawnienie do przetwarzania danych zawartych w tej dokumentacji niezależnie od tego, kto ją wytworzył i jaką postać ma ta dokumentacja. Kwestią istotną z punktu widzenia ustawy o ochronie danych osobowych jest nie to, jaki dokument stanowi fizyczny, materialny nośnik danych osobowych, lecz samo uprawnienie do ich przetwarzania, w tym do samego posiadania.

Sąd podzielił stanowisko organu, że na przetwarzanie danych osobowych skarżącej przez bank pozwalają uwarunkowania prawne wynikające z terminów przedawnienia roszczeń cywilnoprawnych. Jest oczywiste, że każdy uczestnik cywilnego obrotu prawnego może zachować informacje o swoich kontrahentach nawet po wykonaniu przez nich swoich zobowiązań. Usunięcie danych dłużnika natychmiast po wykonaniu przez niego zobowiązania z pewnością mogłoby spowodować negatywne, wymierne skutki materialne. Wymóg dbałości o bezpieczeństwo finansowe każdego wierzyciela, a zwłaszcza wyspecjalizowanych instytucji finansowych, jakimi są banki, nakazuje zachowywać informacje o swoich byłych klientach na wypadek podniesienia przez nich roszczeń po wykonaniu umowy kredytowej.

Powyższa ocena legalności przetwarzania przez bank danych osobowych skarżącej po dniu 15 lipca 2005 r. wymaga jednakże zastrzeżenia, że art. 26 ust. 1 pkt 2 ustawy o ochronie danych osobowych ustanawia zasadę niezmienności celu przetwarzania danych. Oznacza ona, że gromadzenie danych osobowych dla konkretnego, ściśle oznaczonego i wynikającego z konkretnych przesłanek celu, nie upoważnia administratora danych do ich wykorzystywania w celach innych, niż te, dla których pierwotnie zostały zgromadzone. Cele takie ustanawia art. 105a Prawa bankowego, ale dla uznania, że mogą być one legalnie realizowane ustawa ta przewiduje kilka warunków. W ocenie Sądu w tym zakresie organ nie dokonał wystarczających ustaleń faktycznych, nie dał też im wyrazu w uzasadnieniu zaskarżonej decyzji. Sąd podkreślił, że przedmiotem wniosku skarżącej z dnia 1 sierpnia 2005 r. było nakazanie usunięcia "...wszelkich danych z bazy danych Banku [...] S.A..." W aktach postępowania administracyjnego (k. 14 tych akt) znajduje się pismo banku z dnia 1 września 2005 r., w którym wyrażono stanowisko, iż w związku z faktem, że art. 105a Prawa bankowego wszedł w życie dopiero w dniu 16 czerwca 2005 r., [...] Bank S.A. nie uzyskał pisemnej zgody skarżącej, o której mowa w art. 105a ust. 2 tejże ustawy. Bank uznał także, że zobowiązany jest dostosować przetwarzanie informacji zgromadzonych przed 16 czerwca 2005 r. do określonych wymagań prawnych w terminie nie dłuższym niż 3 lata od tej daty. Pismo to nie stanowi jednak jednoznacznego stanowiska banku, czy przetwarza on dane skarżącej po 15 lipca 2005 r. w celu oceny jej zdolności kredytowej i oceny ryzyka kredytowego banku, zawiera jedynie wyjaśnienie, że bank nie uzyskał na to zgody skarżącej. Pismo to Sąd ocenił więc jako jedynie sugestię banku, że takie przetwarzanie rzeczywiście ma miejsce. Dlatego też na rozprawie w dniu 3 października 2006 r. kwestia ta była przedmiotem pytania Sądu. Pełnomocnik organu wyjaśnił, że - zdaniem organu - bank przetwarza dane osobowe skarżącej po dniu 15 lipca 2006 r. na podstawie art. 105a Prawa bankowego. Tymczasem obydwie wydane w sprawie decyzje nie zawierają stanowiska organu, czy bank był uprawniony do takiego przetwarzania danych osobowych skarżącej po dniu, kiedy zobowiązania z tytułu umowy kredytowej zostały uregulowane. Art. 105a ust. 2 Prawa bankowego zezwala na przetwarzanie danych osobowych klienta będącego konsumentem po wygaśnięciu zobowiązania jedynie pod warunkiem uzyskania na to zgody klienta. Bezsporne jest natomiast, że skarżąca takiej zgody nie udzieliła. Z kolei ust. 3 tego przepisu upoważnia bank do przetwarzania danych osobowych klienta banku bez zgody klienta, ale warunkuje to łącznym wystąpieniem następujących przesłanek: 1) osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, 2) po zaistnieniu okoliczności, o której mowa w pkt 1, upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank o zamiarze przetwarzania dotyczących jej informacji stanowiących tajemnicę bankową, bez jej zgody.

Sąd podniósł, że organ w ogóle nie przeprowadził postępowania administracyjnego mającego na celu ustalenie, czy te przesłanki zaszły, nie odniósł się też do kwestionowanej przez skarżącą okoliczności posiadania przez nią statusu konsumenta. Organ administracji, który nie ustosunkowuje się do twierdzeń uważanych przez strony za istotne dla sposobu załatwienia sprawy, uchybia obowiązkom wynikającym z art. 8 i 11 K.p.a. Braki w tym zakresie nie tylko uchybiają zasadzie przekonywania wyrażonej w art. 11 K.p.a., ale uniemożliwiają sądowi administracyjnemu efektywną kontrolę podjętej w sprawie decyzji. Stanowi to wystarczający powód jej uchylenia.

Powyższego nie zmienia okoliczność, że, jak wyjaśnił pełnomocnik skarżącej na rozprawie w dniu 3 października 2006 r., w ocenie strony skarżącej bank nie przetwarza danych na podstawie art. 105a Prawa bankowego. Skoro materiał dowodowy zgromadzony w toku postępowania wskazuje na takie przetwarzanie jej danych (pismo banku z dnia 1 września 2005 r.), skoro pełnomocnik organu potwierdza, że takie przetwarzanie ma miejsce, to przekonanie strony skarżącej, że takie przetwarzanie danych nie następuje wynika z jej błędu, nieświadomości. Organ powinien jednoznacznie wskazać, że bank stosuje art. 105a Prawa bankowego wobec danych skarżącej i wyjaśnić w decyzji, że jest ono legalne, dlaczego jest legalne, i dopiero wówczas ewentualnie odmówić uwzględnienia wniosku o nakazanie usunięcia jej danych ze zbioru banku. Wniosek ten był bowiem aktualny w toku całego postępowania, wniosek ten w tym zakresie nie był cofnięty ani zmodyfikowany.

Ponadto negatywnej oceny braku postępowania administracyjnego nie zmienia okoliczność podniesiona w powyższym piśmie banku z dnia 1 września 2005 r., a dotycząca ewentualnego obowiązku dostosowania się do wymagań prawnych legalnego przetwarzania danych osobowych na podstawie art. 105a Prawa bankowego w terminie 3 lat od dnia 16 czerwca 2005 r. Po pierwsze bowiem błąd organu polegał nie tylko i nie głównie na niewłaściwej wykładni art. 6 ustawy z dnia 15 kwietnia 2005 r. o zmianie ustawy o ochronie informacji niejawnych oraz niektórych innych ustaw (Dz.U. Nr 85, poz. 727), który wprowadził ten termin 3 lat, lecz na braku klarownego ustalenia, czy zaszły przesłanki do przetwarzania danych osobowych skarżącej na podstawie art. 105a Prawa bankowego bez jej zgody. Konsekwencją powyższego błędu było pominięcie tej kwestii w uzasadnieniu decyzji organu. Po drugie - Sąd nie podzielił stanowiska, że art. 6 wskazanej wyżej ustawy z dnia 15 kwietnia 2005 r. pozwala bankowi zwlekać przez 3 lata z uzyskaniem zgody na przetwarzanie danych w celach oceny ryzyka bankowego i zdolności kredytowej, a w tym czasie przetwarzać dane klienta - konsumenta bez takiej zgody. Termin 3 lat dotyczy bowiem wymagań o charakterze technicznym, organizacyjnym i informatycznym (np. wymóg organizacji kancelarii tajnej lub zapewnienia odpowiedniego bezpieczeństwa systemów i sieci teleinformatycznych), które wynikają z ustawy nowelizującej z dnia 15 kwietnia 2005 r. (jej art. 6 stanowi o obowiązku dostosowania przetwarzania informacji do wymagań określonych w niej, tj. w tej właśnie ustawie nowelizującej, a nie w Prawie bankowym). Oznacza to, że jeśli nie zaszły przesłanki z art. 105a ust. 3 Prawa bankowego, to bank może przetwarzać dane osobowe klienta - konsumenta po wygaśnięciu zobowiązania i w celu oceny ryzyka kredytowego i zdolności kredytowej wyłącznie za pisemną zgodą klienta. Bez znaczenia dla obowiązku uzyskania takiej zgody jest natomiast okoliczność, że bank pozyskał dane skarżącej przed wejściem w życie ustawy nowelizującej z dnia 15 kwietnia 2005 r., tj. przed 16 czerwca 2005 r. Fakt ten oznacza jedynie, że przed 16 czerwca 2005 r. bank nie mógł przetwarzać danych osobowych skarżącej, po wykonaniu zobowiązania, dla oceny zdolności kredytowej i ryzyka bankowego bez jej zgody, po tej natomiast dacie może to robić, jeśli zaszły przesłanki z art. 105a ust. 3 Prawa bankowego.

Sąd podniósł, że skarżąca w skardze do Sądu zakwestionowała legalność pozyskania przez bank jej danych osobowych w ramach umowy cesji wierzytelności zawartej pomiędzy Bank [...] S.A., a [...] Bank S.A. Uznała, że przekazanie jej danych w wykonaniu tej umowy wymagało jej zgody. Jakkolwiek kwestia ta została zgłoszona przez skarżącą dopiero na etapie postępowania sądowego, a nie przed organem, to ocenie organu nie powinno ujść także zagadnienie pierwotnego pozyskania danych skarżącej przez [...] Bank S.A. (następnie [...] Bank S.A.). Granice przedmiotowe prowadzonego przez organ postępowania wyznaczał wniosek skarżącej z dnia 1 sierpnia 2005 r. Zakwestionowała ona w nim legalność dysponowania przez bank jej danymi osobowymi, uznała, że stan bezprawnego dysponowania tymi danymi przez bank zaczął się już w dacie zawarcia umowy kredytowej przez jej męża. Organ powinien zatem ocenić nie tylko legalność pozyskania jej danych przez [...] Bank S.A., ale także legalność ich przekazania do [...] Banku S.A., gdyż to przekazanie nastąpiło chronologicznie po dacie pierwotnego pozyskania i utrwalenia danych przez [...] Bank SA. Ocena legalności przekazania danych skarżącej w ramach umowy cesji wierzytelności była zatem konieczna dla załatwienia wniosku skarżącej z dnia 1 sierpnia 2005 r., choć w swoim wniosku skarżąca wprost tego wątku nie podniosła. Brak wyrażenia tej oceny także uzasadnia uchylenie zaskarżonej decyzji w przedmiotowym zakresie.

Sąd odnosząc się do części zaskarżonej decyzji, która utrzymuje w mocy rozstrzygnięcie umarzające postępowanie w zakresie wniosku skarżącej o nakazanie usunięcia jej danych przez [...] S.A. wskazał, że w tym zakresie organ nie wyraził wyraźnie w postępowaniu administracyjnym swojej oceny co do stanowiska skarżącej zajmowanego w toku postępowania. We wniosku z dnia 1 sierpnia 2005 r. czytelnie i precyzyjnie wyraziła ona przekonanie, że [...] S.A. przetwarza jej dane osobowe w związku z umową kredytową z dnia [...] lipca 2000 r., organ ustalając natomiast, iż dane te nie są przez [...] S.A. przetwarzane umorzył postępowanie w tym zakresie na podstawie art. 105 § 1 K.p.a. We wniosku o ponowne rozpatrzenie sprawy skarżąca podniosła, że "...z informacji uzyskanych..." przez nią wynika, iż [...] S.A. jej dane nadal przetwarza. Sąd zauważył, że fakt przetwarzania jej danych przez [...] S.A. był okolicznością niesporną, rzecz jednak w tym, iż dane te dotyczyły zupełnie innych umów bankowych, a skarżąca nie uczyniła tego przetwarzania przedmiotem swojego wniosku z dnia 1 sierpnia 2005 r. Zasadnie więc organ tej kwestii w ogóle nie rozważał. Istniała jednak wątpliwość co do tego, czy skarżąca w sposób dorozumiany, tzn. nie kwestionując faktu, że [...] S.A. nie przetwarza jej danych osobowych zgromadzonych w związku z umową z dnia [...] lipca 2000 r., wycofała swoje żądanie nakazania usunięcia tych danych ze zbioru [...] S.A. Dlatego też kwestia ta była przedmiotem pytania Sądu na rozprawie w dniu 3 października 2006 r. Pełnomocnik skarżącej jednoznacznie oświadczył, że dane te nie były przez [...] S.A. przetwarzane w dniu wydania zaskarżonej decyzji. Sąd uznał zatem, że skarżąca w toku postępowania administracyjnego w sposób dorozumiany wycofała swoje żądanie nakazania usunięcia danych przez [...] S.A., a do takiego wniosku skłaniała dodatkowo ocena organu, iż [...] S.A. danych osobowych skarżącej w związku z umową z dnia [...] lipca 2000 r. nie przetwarza. Umorzenie postępowania na podstawie art. 105 § 1 K.p.a. było więc właściwe. Dla usunięcia tych wątpliwości wskazane byłoby jednak odebranie od skarżącej jednoznacznego oświadczenia jej woli.

W związku z powyższym w dalszym postępowaniu konieczne będzie ustalenie, czy zachodzą przesłanki przetwarzania przez bank danych osobowych skarżącej w związku z oceną ryzyka bankowego i zdolności kredytowej. Skoro nie udzieliła ona swojej zgody w tym zakresie, niezbędne będzie ustalenie, czy zaszły przesłanki wskazane w art. 105a ust. 3 Prawa bankowego. Dopiero tak ustalony stan faktyczny pozwoli ewentualnie odmówić wydania nakazu usunięcia jej danych przez bank ze zbioru danych osobowych (a nie, jak ujęto w sentencji decyzji, z "bazy" danych banku), bądź nakazać temu administratorowi danych usunięcie tych danych przetwarzanych niezgodnie z prawem (art. 18 ust. 1 pkt 6 ustawy o ochronie danych osobowych).

Od powyższego wyroku skargę kasacyjną do Naczelnego Sądu Administracyjnego wniósł Generalny Inspektor Ochrony Danych Osobowych w części dotyczącej pkt 1 tego wyroku, tj. uchylenia zaskarżonej decyzji w części utrzymującej w mocy pkt 1 decyzji z dnia [...] Organ zaskarżonemu wyrokowi zarzucił naruszenie:

1) art. 61 § 1 K.p.a. w zw. z art. 63 § 2 K.p.a. polegające na błędnym przyjęciu, że organ zobowiązany jest do zbadania sprawy w zakresie przekraczającym żądanie strony;

2) naruszenie przepisu postępowania, tj. art. 133 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. Nr 153, poz. 1270, ze zm., zwanej dalej P.p.s.a.), polegające na wydaniu wyroku w oderwaniu od akt sprawy co miało istotny wpływ na jej wynik;

3) naruszenie przepisów prawa materialnego, tj. art. 105a ustawy z dnia 29 sierpnia 1997 r. - Prawo bankowe, poprzez niewłaściwe zastosowanie przez Sąd tego przepisu do stanu faktycznego sprawy, polegające na przyjęciu, że znajduje on zastosowanie w sytuacji przetwarzania przez Bank danych osobowych wyłącznie w celach archiwalnych, a także błędną jego wykładnię, polegającą na przyjęciu, iż bank jest zobowiązany uzyskać pisemną zgodę osób fizycznych (konsumentów) na przetwarzanie informacji stanowiących tajemnicę bankową po wygaśnięciu zobowiązania na podstawie art. 105a ust. 2 lub może przetwarzać wyżej wymienione informacje bez uzyskania zgody, jeśli spełnione są warunki określone w art. 105a ust. 3;

4) naruszenie art. 145 § 1 pkt 1 lit. c/ P.p.s.a. poprzez jego zastosowanie na skutek błędnego przyjęcia, że organ naruszył przepisy postępowania, co miało istotny wpływ na wynik sprawy.

W uzasadnieniu skargi kasacyjnej organ podniósł, że przeprowadził postępowanie w zakresie wskazanym przez skarżącą we wniosku. Zarzut Sądu, że postępowanie powinno było dotyczyć również okoliczności, czy legalne było przekazanie danych osobowych skarżącej w ramach umowy cesji wierzytelności zawartej pomiędzy bankami, jest zatem chybiony. Sąd w uzasadnieniu wyroku wskazał, że "w swoim wniosku skarżąca wprost tego wątku nie podniosła", a "kwestia ta została zgłoszona przez skarżącą dopiero na etapie postępowania sądowego, a nie przed organem". Organ związany przedmiotem wniosku, nie mógł zatem w sposób dowolny rozszerzać postępowania i badać wątki niepodnoszone przez skarżącą. Przyjmując zatem, że organ zobowiązany był do zbadania sprawy w zakresie przekraczającym żądanie strony, Sąd naruszył art. 61 § 1 K.p.a. w zw. z art. 63 § 2 K.p.a.

W świetle treści uzasadnień decyzji wydanych przez GIODO niezrozumiałym jest zarzut dotyczący nieustalenia celu, dla realizacji którego Bank przetwarza dane osobowe skarżącej po wygaśnięciu jej zobowiązania wobec Banku oraz wskazujący na brak dostatecznego uzasadnienia obydwu decyzji. W tym zakresie organ w decyzjach wyraźnie wskazał, że po wygaśnięciu zobowiązania Bank ma nie tylko prawo, ale i obowiązek przechowywania danych w celu archiwizacji, a zatem przetwarzanie danych skarżącej odbywa się w oparciu o przesłankę z art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych w zw. z art. 71 ust. 1 ustawy z dnia 29 września 1994 r. o rachunkowości, a także § 32 ust. 1 rozporządzenia Ministra Finansów z dnia 10 grudnia 2001 r. w sprawie szczególnych zasad rachunkowości banków. Organ oparł powyższe stanowisko na wyjaśnieniach Banku, które były niesprzeczne z pozostałym materiałem dowodowym zebranym w sprawie. Bank w swoim piśmie do Generalnego Inspektora z dnia 1 września 2005 r. wyraźnie wskazał na cel przetwarzania danych skarżącej po wygaśnięciu zobowiązania powołując się na powyższe przepisy. Bank w pkt 1a ww. pisma wskazał bowiem, że przetwarzał dane osobowe skarżącej do dnia 15 lipca 2005 r., tj. do dnia spłaty wierzytelności - "w związku z obsługą spłaty wierzytelności z tytułu umowy kredytowej", natomiast w pkt 1b wyjaśnił, że do dnia dzisiejszego przechowuje dane w celu archiwizacji i "w celu wywiązania się obowiązków wynikających z przepisów ustawy o rachunkowości i rozporządzenia Ministra Finansów (...)". Nie znajduje zatem uzasadnienia ocena Sądu, że "pismo to nie stanowi jednak jednoznacznego stanowiska banku, czy przetwarza on dane skarżącej po 15 lipca 2005 r. w celu oceny jej zdolności kredytowej i oceny ryzyka kredytowego banku". Okoliczność ta została bowiem wyjaśniona tak, że bank przetwarza dane osobowe skarżącej wyłącznie w celach archiwalnych. Bezpodstawna jest również opinia Sądu, że "(...) zdaniem organu - bank przetwarza dane osobowe skarżącej po dniu 15 lipca 2006 r. na podstawie art. 105a Prawa bankowego". Organ nie zawarł takiej tezy w żadnej z decyzji, a przedstawiciel organu na rozprawie przed Sądem, wskazał na ww. artykuł wyłącznie w kontekście wyjaśnień Banku w części dotyczącej przekazania jej danych do [...] S.A. Powołanie w wyjaśnieniach przez Bank w toku postępowania art. 105a Prawa bankowego, jak również art. 6 ustawy z dnia 15 kwietnia 2005 r. o zmianie ustawy o ochronie informacji niejawnych oraz niektórych innych ustaw, dotyczyło wyłącznie oceny legalności przekazania danych osobowych skarżącej do [...] S.A. Organ natomiast faktycznie nie odniósł się do powyższych kwestii w uzasadnieniu swoich decyzji, w zakresie dotyczącym przetwarzania danych osobowych skarżącej przez [...] S.A. z uwagi na to, że rozważanie tej kwestii było bezprzedmiotowe, ponieważ dane te ze zbioru [...] S.A. zostały usunięte. Nie znajduje zatem również uzasadnienia zarzut, że "błąd organu polegał nie tylko i nie głównie na niewłaściwej wykładni art. 6 ustawy z dnia 15 kwietnia 2005 r. o zmianie ustawy o ochronie informacji niejawnych oraz niektórych innych ustaw (...)", gdyż organ w wydanych decyzjach, w ogóle nie powoływał powyższego przepisu, a co za tym idzie nie dokonywał też jego wykładni.

Powyższe zarzuty oznaczają, że Sąd wydał wyrok nie opierając się na aktach sprawy, co miało istotny wpływ na jej wynik, a przede wszystkim stanowi naruszenie art. 133 § 1 P.p.s.a. Odnośnie zarzutu nieprzeprowadzenia przez organ postępowania administracyjnego w zakresie dotyczącym przesłanek określonych w art. 105a ust. 2 i ust. 3 Prawa bankowego, a zatem odnoszących się do przetwarzania przez Bank danych osobowych skarżącej po wygaśnięciu zobowiązania, organ wskazał, że powołane przepisy nie odnoszą się do banków, lecz do instytucji, o których mowa w ust. 1 tego artykułu. Organ w podstawie prawnej wydanych decyzji nie powoływał ww. artykułu i istotnie nie zawarł w decyzjach stanowiska "czy bank był uprawniony do takiego przetwarzania danych osobowych skarżącej po dniu kiedy zobowiązania z tytułu umowy kredytowej zostały uregulowane", ani też "nie przeprowadził postępowania administracyjnego, mającego na celu ustalenie, czy te przesłanki (z art. 105a ust. 3 Prawa bankowego) zaszły", ponieważ kwestie te nie dotyczą przetwarzania informacji przez bank. Nie można zatem zgodzić się z zarzutem, że "obydwie wydane w sprawie decyzje nawet w najmniejszym stopniu nie zawierają stanowiska organu, czy bank był uprawniony do takiego przetwarzania danych osobowych skarżącej po dniu, kiedy zobowiązania z tytułu umowy kredytowej zostały uregulowane", ani też z tezą, że "skoro skarżąca nie udzieliła swojej zgody w tym zakresie, niezbędne będzie ustalenie czy zaszły przesłanki wskazane w art. 105a ust. 3 Prawa bankowego" - gdyż przepis ten - jak już wskazano nie dotyczy banków, a instytucja, której dotyczy (w przedmiotowej sprawie [...] S.A.) usunęła dane osobowe skarżącej. Zatem dokonywanie ustaleń przez Generalnego Inspektora w powyższym zakresie było bezprzedmiotowe. Po wygaśnięciu zobowiązania Bank przetwarza dane osobowe skarżącej wyłącznie w celu archiwizacji, na podstawie obowiązujących w tym zakresie przepisów, a nie na podstawie art. 105a Prawa bankowego. Artykuł ten (wbrew opinii Sądu) nie znajduje w sprawie zastosowania, a zatem zarzuty Sądu są bezpodstawne i naruszają ww. przepisy prawa poprzez jego błędną wykładnię i niewłaściwe zastosowanie.

W konkluzji skargi kasacyjnej organ wniósł o uchylenie wyroku w zaskarżonej części i przekazanie sprawy do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie.

W odpowiedzi na skargę kasacyjną B. J. wniosła o jej oddalenie i zasądzenie kosztów zastępstwa procesowego w postępowaniu kasacyjnym według norm przepisanych. Skarżąca wskazała, że bank może przetwarzać dane jedynie w celach określonych w art. 105a ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe. Zatem w ocenie skarżącej nie można zgodzić się ze stanowiskiem organu, że powołany przepis nie dotyczy banków, bowiem zgodnie z jego brzmieniem określenie "instytucje, o których mowa w ust. 1" dotyczy wszystkich instytucji w nim wymienionych, a więc i banków. Bank może więc przetwarzać dane osobowe klienta będącego konsumentem po wygaśnięciu zobowiązania jedynie za jego zgodą. Brak zgody skarżącej nie był kwestionowany ani w toku postępowania administracyjnego, ani w postępowaniu przed sądem pierwszej instancji.

Naczelny Sąd Administracyjny zważył, co następuje:

Skarga kasacyjna zawiera usprawiedliwione podstawy, albowiem Wojewódzki Sąd Administracyjny w Warszawie naruszył zaskarżonym wyrokiem art. 133 § 1 i art. 145 § 1 pkt 1 lit. c/ ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. Nr 153, poz. 1270 ze zm.), nie dostrzegając w swoich rozważaniach, iż wskazywana przez Generalnego Inspektora Ochrony Danych Osobowych i niekwestionowana przez stronę skarżącą podstawa przetwarzania przez bank danych osobowych B. J. - tj. art. 23 ust. 1 pkt 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.U. z 2002 r. Nr 101, poz. 926 ze zm.), czyniła zbędnym prowadzenie postępowania administracyjnego w celu ustalenia, czy zachodzą przesłanki przetwarzania danych osobowych w innych celach niż wskazane w zaskarżonej decyzji. Tym samym postawienie Generalnemu Inspektorowi Ochrony Danych Osobowych zarzutu niewyjaśnienia wszystkich okoliczności istotnych dla rozstrzygnięcia sprawy, a tym samym naruszenia przepisów postępowania, jest nieuzasadnione.

Z materiału zgromadzonego w aktach sprawy wynika, że po dniu 15 lipca 2005 r., tj. po dniu spłaty wierzytelności z tytułu umowy kredytowej zawartej przez męża B. J., a poręczycielem której była skarżąca, [...] S.A. Bank w W. przetwarzanie danych osobowych ograniczył wyłącznie do przechowywania danych w celu archiwizacji, stosownie do przepisów ustawy o narodowym zasobie archiwalnym i archiwach, a nadto w celu wywiązania się z obowiązków wynikających z przepisów ustawy o rachunkowości i rozporządzenia Ministra Finansów w sprawie szczególnych zasad rachunkowości banków (pismo banku z dnia 1 września 2005 r. k. 14 akt administracyjnych).

Wniosek B. J. o usuniecie jej danych ze zbioru danych Banku [...] S.A. w W. złożony do Generalnego Inspektora Ochrony Danych Osobowych w dniu 1 sierpnia 2005 r., a więc już po wygaśnięciu zobowiązania kredytowego, podlegał ocenie organu wyłącznie w zakresie, czy wskazana przez Bank podstawa przetwarzania znajduje oparcie w art. 23 ust. 1 ustawy o ochronie danych osobowych.

Odmawiając uwzględnienia wniosku skarżącej organ administracji publicznej uznał, że przetwarzanie danych osobowych skarżącej po dniu 15 lipca 2005 r. odbywa się na podstawie art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych, a więc w sytuacji gdy zezwalają na to przepisy prawa. Przepisami tymi są przepisy ustawy z dnia 14 lipca 1983 r. o narodowym zasobie archiwalnym i archiwach (Dz.U. z 2006 r. Nr 97, poz. 673 ze zm.) oraz przepisy ustawy z dnia 29 września 1994 r. o rachunkowości (Dz.U. z 2002 r. Nr 76, poz. 694 ze zm.).

Mając na uwadze, iż wymienione w art. 23 ust. 1 ustawy o ochronie danych osobowych materialne przesłanki legalizujące przetwarzanie danych osobowych mają charakter autonomiczny i niezależny, co oznacza, iż wystąpienie jednej z nich uprawnia do przetwarzania danych, obowiązkiem Sądu I instancji w ramach badania legalności zaskarżonej decyzji była jej prawna ocena w zakresie, czy istotnie w rozpoznawanej sprawie wskazana przez organ podstawa legalizuje przetwarzanie danych osobowych B. J.. Również zaskarżona decyzja w swej podstawie prawnej nie przywołuje przepisu art. 105a ust. 1 ustawy z dnia 29 sierpnia 1997 r. - Prawo bankowe (Dz.U. z 2002 r. Nr 72, poz. 665 ze zm.). Wojewódzki Sąd Administracyjny w Warszawie nie był uprawniony do nakazania Generalnemu Inspektorowi Ochrony Danych przeprowadzenia uzupełniającego postępowania dowodowego w zakresie przesłanek wymienionych w art. 105a ust. 3 Prawa bankowego, ponieważ przepis ten nie miał zastosowania w sprawie.

Dokonywana przez sąd administracyjny kontrola legalności zaskarżonej decyzji administracyjnej powinna odbywać się z uwzględnieniem ustalonego przez organ stanu faktycznego sprawy i powołanej podstawy prawnej rozstrzygnięcia. Sąd administracyjny nie może skutecznie postawić zaskarżonej decyzji zarzutu jej podjęcia z naruszeniem przepisów postępowania poprzez niewyjaśnienie okoliczności, które nie były istotne z punktu widzenia powołanej podstawy prawnej, tym samym nie miały znaczenia dla rozstrzygnięcia sprawy.

Wojewódzki Sąd Administracyjny w Warszawie zaskarżonym wyrokiem zaakceptował stanowisko organu co do tego, że przetwarzanie danych osobowych skarżącej w związku z wymogami ustawy o rachunkowości jest legalne, jak również i to, "że na przetwarzanie danych osobowych skarżącej przez bank pozwalają uwarunkowania prawne wynikające z terminów przedawnienia roszczeń cywilnoprawnych". W takim przypadku doszukiwanie się przez Sąd I instancji innych niż wskazanych w uzasadnieniu zaskarżonej decyzji celów przetwarzania danych osobowych jest niezrozumiałe. Poglądu takiego nie uzasadnia powołany przez Sąd I instancji art. 26 ust. 1 pkt 2 ustawy o ochronie danych osobowych, zgodnie z którym obowiązkiem administratora jest zbieranie danych dla oznaczonych zgodnych z prawem celów i niepoddawanie dalszemu przetwarzaniu niezgodnie z tymi celami, z zastrzeżeniem ustępu 2.

Przepis art. 26 ust. 2 wprowadza wyjątek od zasady związania celem i dopuszcza przetwarzanie danych w celu innym niż ten, dla którego zostały zebrane, pod warunkiem, że nie narusza to praw i wolności osoby, której dane dotyczą oraz następuje:

1) w celach badań naukowych, dydaktycznych, historycznych lub statystycznych;

2) z zachowaniem przepisów art. 23 i 25.

W ocenie Naczelnego Sądu Administracyjnego istnienie przepisu prawa zezwalającego na przetwarzanie danych w innym celu niż zostały zebrane - art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych, czyni zbędnym powoływanie się na art. 26 ust. 1 pkt 2 ww. ustawy.

Mając na uwadze powyższe Wojewódzki Sąd Administracyjny zaskarżonym wyrokiem naruszył art. 145 § 1 pkt 1 lit. c/ P.p.s.a. poprzez jego błędne zastosowanie. Rozpoznając sprawę ponownie Sąd I instancji oceni legalność zaskarżonej decyzji na podstawie art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych w związku z przepisami ustawy z dnia 14 lipca 1983 r. o narodowym zasobie archiwalnym i archiwach oraz przepisami ustawy z dnia 29 września 1994 r. o rachunkowości (Dz.U. z 2002 r. Nr 76, poz. 694 ze zm.).

Mając na uwadze powyższe Naczelny Sąd Administracyjny na podstawie art. 185 § 1 ustawy - Prawo o postępowaniu przed sądami administracyjnymi, orzekł jak w sentencji.

Sygnatura powiązana