>Decyzje Giodo>2008 >

GENERALNY INSPEKTOROCHRONY DANYCHOSOBOWYCH
Michał Serzycki

Warszawa, dnia 29 grudnia 2008 r.

D E C Y Z J A

Na podstawie art. 104 § 1 i 105 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2000 r. Nr 98, poz. 1071 z późn. zm.) oraz art. 12 pkt 2, art. 22 w związku z art. 23 ust. 1 pkt 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.) w związku z art. 105 ust. 4 i art. 105a ust. 1, 3, 4 i 5 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz. U. 2002 r. Nr 72 poz. 665 z późn. zm.), po przeprowadzeniu postępowania administracyjnego w sprawie wniosku Pani A, o nakazanie Bankowi S, Bankowi D, oraz Spółdzielczej Kasie Oszczędnościowo – Kredytowej,
usunięcia jej danych osobowych ze zbioru danych Biura Informacji Kredytowej,

1) umarzam postępowanie w zakresie wniosku Pani A, o nakazanie Bankowi D, , usunięcia
jej danych osobowych ze zbioru danych Biura Informacji Kredytowej,
2) w pozostałym zakresie odmawiam uwzględnienia wniosku.

Uzasadnienie

Do Generalnego Inspektora Ochrony Danych Osobowych wpłynął wniosek Pani A, zwanej dalej również Skarżącą, o nakazanie Bankowi S, zwanemu dalej Bankiem, Bankowi D, zwanemu dalej Bank D, oraz Spółdzielczej Kasie Oszczędnościowo – Kredytowej, zwanej dalej SKOK, usunięcia jej danych osobowych ze zbioru danych Biura Informacji Kredytowej, zwanego dalej BIK. Skarżąca podniosła, iż pismami z dnia 21 listopada 2006 r. zwróciła się do Banku, Banku D oraz SKOK o usunięcie jej danych z BIK przetwarzanych w związku z: umową kredytu na rachunku oszczędnościowo –rozliczeniowym nr 16, zawartą z Bankiem, który został w całości spłacony w dniu 15 listopada 2005 r., umową kredytu nr 63, zawartą z Bankiem D, który został w całości spłacony w dniu 7 grudnia 2005 r., umową pożyczki nr 126 zawartą ze SKOK, która została w całości spłacona w dniu 16 marca 2004 r. Jednakże, jak zarzuciła Skarżąca cyt. : „(...) wyżej wymienione podmioty odmówiły wykonania powyższego wezwania (...)”.

W toku postępowania przeprowadzonego w niniejszej sprawie, w oparciu o przedłożone dokumenty, Generalny Inspektor Ochrony Danych Osobowych ustalił następujący stan faktyczny.

1. W dniu 19 kwietnia 2004 r. Skarżąca zawarła z Bankiem D umowę kredytu gotówkowego nr 63. Dane Skarżącej wynikające z ww. umowy Bankiem D przekazał do BIK. Zobowiązanie Skarżącej wynikające z ww. umowy spłacane było przez nią nieterminowo, Skarżąca pozostawała w zwłoce w spełnieniu świadczenia wynikającego z ww. umowy powyżej 60 dni w rozumieniu art. 105a ust. 3 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz. U. z 2002 r. Nr 72, poz. 665
z późn. zm.), zwanej dalej Prawem bankowym. Jak poinformował Bank D w piśmie z dnia 5 maja 2008 r. skierowanym do Generalnego Inspektora Ochrony Danych Osobowych, w związku wielomiesięcznymi opóźnieniami, we wrześniu 2004 r. umowa została wypowiedziana Skarżącej, a następnie wszczęta egzekucja komornicza należności wynikających z ww. umowy. Ww. umowa została zamknięta dnia 7 grudnia 2005 r. Bank D poinformował Skarżącą o zamiarze przetwarzania jej danych po wygaśnięciu ww. zobowiązania do dnia 15 czerwca 2008 r. W dniu 27 maja 2008 r. Bank D zgłosił do BIK wniosek o usunięcie danych osobowych Skarżącej przekazanych do BIK w związku z ww. umową, a BIK ww. wniosek zrealizował. Dane Skarżącej związane z ww. umową obecnie nie figurują w bazie BIK.

2. W dniu 13 grudnia 2000 r. pomiędzy SKOK a Panem C została zawarta umowa pożyczki nr 1/, której poręczycielem była Skarżąca. Skarżąca dniu 4 grudnia 2000 r. podpisała deklarację poręczyciela ww. pożyczki. Jak wynika z pisma SKOK z dnia 30 kwietnia 2008 r. skierowanego do Generalnego Inspektora Ochrony Danych Osobowych, dane Skarżącej wynikające z ww. zobowiązania zostały przekazane do BIK w dniu 15 listopada 2002 r. Wobec braku spłaty pożyczki, umowa pożyczki została w dniu 16 maja 2002 r. wypowiedziana i skierowana na drogę postępowania sądowego, a w dniu 9 grudnia 2002 r. wydany został m.in. przeciwko Skarżącej nakaz zapłaty w postępowaniu o zapłatę kwoty wynikającej z długu głównego, i następnie prowadzona była egzekucja komornicza. Spłata całości zadłużenia wynikającego z ww. umowy nastąpiła w dniu 16 marca 2004 r. Skarżąca dopuściła się zwłoki w spłacie ww. zobowiązania powyżej 60 dni w rozumieniu art. 105a ust. 3 Prawa bankowego. SKOK wskazała, iż pismem z dnia 13 września 2007 r. poinformowała Skarżącą o zamiarze przetwarzania jej danych osobowych w BIK przez okres pięciu lat od dnia wygaśnięcia zobowiązania jako osoby, która nieterminowo spełniła zobowiązanie wobec SKOK. 3. W dniu 18 grudnia 2001 r. Skarżąca zawarła z Bankiem umowę pożyczki i umowę rachunku oszczędnościowo – rozliczeniowego. Jak wyjaśnił Bank w piśmie z dnia 5 maja 2008 r. (znak: DC/G) dane Skarżącej zostały przekazane do BIK w dniu 28 stycznia 2002 r. w związku z przyznaniem ww. pożyczki gotówkowej. Skarżąca dokonując spłaty zobowiązania wynikającego z ww. umowy pożyczki dopuściła się zwłoki powyżej 60 dni w rozumieniu art. 105a ust. 3 pkt 1 Prawa bankowego. W związku ze spłatą zobowiązania Bank przekazał do BIK w dniu 22 lutego 2006 r. informację o zamknięciu rachunku z dniem 15 listopada 2005 r. Bank nie poinformował Skarżącej o zamiarze przetwarzania jej danych w BIK po wygaśnięciu zobowiązania, o czym jest mowa w art. 105a ust. 3 pkt 2 Prawa bankowego. 4. BIK w piśmie z dnia 3 października 2008 r. (znak: BIK/) skierowanym do Generalnego Inspektora Ochrony Danych Osobowych oświadczył cyt.: „(...) od dnia 17 czerwca 2008 r. Biuro Informacji Kredytowej S.A. przetwarza w zbiorze „Kredytobiorcy” przekazane przez Bank. dane osobowe Pani A - wyłącznie w celu stosowania przez banki metod statystycznych, o których mowa w art. 128 ust. 3 Prawa bankowego (...)”. 5. Bank w piśmie z dnia 8 października 2008 r. (znak: DC/AG) wyjaśnił, iż stosuje metody statystyczne, o których mowa w art. 128 ust. 3 Prawa bankowego. Bank poinformował także cyt.: „(...) BIK. pismem z dnia 16 sierpnia 2007 r. wskazując jako podstawę prawną art. 105a ust. 4 Prawa bankowego, powiadomił Bank o możliwości przetwarzania informacji stanowiących tajemnicę bankową dotyczących osób fizycznych po wygaśnięciu zobowiązania (...) dla celów statystycznych (...)”.

W związku z powyższym, Generalny Inspektor Ochrony Danych Osobowych zważył, co następuje:

I. Stosownie do art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U 2000 r. Nr 98, poz. 1071 ze zm.), zwanej dalej kpa, gdy postępowanie z jakiejkolwiek przyczyny stało się bezprzedmiotowe, organ administracji publicznej wydaje decyzję o umorzeniu postępowania.
Wobec powyższego należy uznać, że dalsze prowadzenie postępowania w zakresie wniosku Pani A o nakazanie Bankowi D usunięcia jej danych osobowych ze zbioru danych BIK jest obecnie bezprzedmiotowe, ponieważ jej dane zostały przez BIK usunięte z ww. zbioru na wniosek Bankowi D. Zatem BIK obecnie już nie przetwarza danych osobowych Skarżącej przekazanych mu przez Bank D. Tym samym bezprzedmiotowe byłoby wydanie przez Generalnego Inspektora nakazu, o którym mowa w art. 18 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.), zwanej dalej ustawą, ukierunkowanego na przywrócenie stanu zgodnego z prawem, bowiem poprzez usunięcie danych Skarżącej w ww. zakresie stan naruszenia przepisów ustawy już nie zachodzi.

II. Ustawa o ochronie danych osobowych określa zasady postępowania przy przetwarzaniu danych osobowych oraz prawa osób fizycznych, których dane osobowe są lub mogą być przetwarzane w zbiorach danych (art. 2 ust. 1 ustawy). W świetle przepisów powołanego aktu prawnego, przetwarzanie danych osobowych jest uprawnione, gdy spełniona zostanie którakolwiek z przesłanek wymienionych w art. 23 ust. 1 ustawy. Przepis ten nakazuje uznać przetwarzanie danych osobowych za dopuszczalne m.in. wtedy, gdy jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa (pkt 2), a także gdy jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą (pkt 3).
Aktem prawnym zawierającym szczegółowe regulacje dotyczące procesu przetwarzania danych osobowych klientów banków jest przede wszystkim ustawa Prawo bankowe. Ocena legalności przetwarzania danych osobowych Skarżącej przez SKOK i Bank, a także przez BIK musi być zatem dokonywana w powiązaniu z przepisami Prawa bankowego. Odnosząc się w pierwszej kolejności do przetwarzania danych Skarżącej przez SKOK i przez BIK w zakresie, w którym ww. dane zostały mu przekazane przez SKOK, wskazać należy, iż z materiału dowodowego oraz okoliczności przedmiotowej sprawy wynika, iż Skarżąca była poręczycielem spłaty pożyczki zaciągniętej na podstawie umowy zawartej ze SKOK w dniu 13 grudnia 2000 r., a zatem podstawę przetwarzania przez SKOK jej danych osobowych stanowiła przesłanka wymieniona w art. 23 ust. 1 pkt 3 ustawy, tj. konieczność realizacji przedmiotowej umowy poręczenia. Podkreślić należy, że chociaż Skarżąca nie była bezpośrednio stroną umowy pożyczki, to udzielając poręczenia na zabezpieczenie jej spłaty (poprzez złożenie stosownego oświadczenia woli) stała się stroną stosunku zobowiązaniowego, o którym mowa w art. 876 § 1 ustawy z 23 kwietnia 1964 r. Kodeks cywilny, (Dz. U. Nr 16, poz. 93 z późn. zm.), zwanej dalej k.c. Zgodnie bowiem z art. 876 § 1 k.c., przez umowę poręczenia poręczyciel zobowiązuje się względem wierzyciela wykonać zobowiązanie na wypadek, gdyby dłużnik zobowiązania nie wykonał. Wobec niewykonania zobowiązania przez pożyczkobiorcę, został wydany m.in. w stosunku do Skarżącej nakaz zapłaty. Następnie zobowiązanie wynikające z ww. umowy pożyczki zostało przez Skarżącą spłacone, wskutek czego wygasło. Odnosząc się natomiast do kwestii przetwarzania danych osobowych Skarżącej przez BIK udostępnionych mu przez SKOK, wskazać należy, że BIK jest instytucją utworzoną na podstawie art. 105 ust. 4 Prawa bankowego, który stanowi, że banki mogą, wspólnie z bankowymi izbami gospodarczymi, utworzyć instytucje do gromadzenia, przetwarzania i udostępniania: bankom - informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych, innym instytucjom ustawowo upoważnionym do udzielania kredytów - informacji o wierzytelnościach oraz o obrotach i stanach rachunków bankowych w zakresie, w jakim informacje te są niezbędne w związku z udzielaniem kredytów, pożyczek pieniężnych, gwarancji bankowych i poręczeń. Zgodnie z art. 105a ust 1 Prawa bankowego, przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów oraz instytucje utworzone na podstawie art. 105 ust. 4 (np. BIK), informacji stanowiących tajemnicę bankową w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem art. 104, 105 i art. 106-106c, w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Informacje zawarte w BIK służyć mają wypełnianiu przez banki jako instytucje zaufania publicznego ich ustawowych obowiązków związanych z koniecznością dokładania szczególnej staranności w zakresie zapewnienia bezpieczeństwa przechowywanych środków pieniężnych, czyli w zakresie ochrony depozytów (art. 50 ust. 2 Prawa bankowego), a także z koniecznością należytego badania zdolności kredytowej, od której istnienia (zgodnie z art. 70 ust. 1 Prawa bankowego), bank uzależnia udzielenie kredytu. Badanie zdolności kredytowej, na którą składa się zdolność do spłaty zobowiązań i wiarygodność kredytowa, jest niezwykle istotnym elementem w działalności banku. Biuro Informacji Kredytowej zostało utworzone właśnie w celu zmniejszenia dla banków i instytucji kredytowych ryzyka udzielania trudnych kredytów, przyśpieszenia i uproszczenia procedur kredytowych, wspomagania decyzji banków dotyczących udzielania kredytu. Przekazanie danych osobowych przez SKOK do BIK nastąpiło w oparciu o przesłankę wymienioną w art. 23 ust. 1 pkt 2 ustawy (w związku z art. 105 ust. 4 Prawa bankowego), a dla legalności tego udostępnienia (na mocy art. 105 ust. 4 Prawa bankowego) zgoda Skarżącej nie była wymagana. Jednocześnie – wobec zarzutu Skarżącej dotyczącego bezpodstawnego przetwarzania jej danych przez BIK w sytuacji całkowitej spłaty przez nią kwoty wynikającej z poręczonej przez nią pożyczki, wskazać należy, że nawet po uregulowaniu należności wobec SKOK dane osobowe Skarżącej mogą być przetwarzane przez BIK bez jej zgody, jako dane dłużnika nie wywiązującego się terminowo z zobowiązań wobec SKOK, przez okres 5 lat od dnia uregulowania zobowiązania. Zgodnie bowiem z art. 105a ust. 3 Prawa bankowego instytucje, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank lub inną instytucję ustawowo upoważnioną do udzielania kredytów o zamiarze przetwarzania dotyczących jej informacji stanowiących tajemnicę bankową, bez jej zgody. Banki oraz instytucje, o których mowa w art. 105 ust. 4, mogą przetwarzać informacje stanowiące tajemnicę bankową dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, bez zgody osoby, której informacje dotyczą, dla celów stosowania metod statystycznych, o których mowa w art. 128 ust. 3 (art. 105a ust. 4). Przetwarzanie informacji stanowiących tajemnicę bankową w przypadkach, o których mowa w ust. 3, może być wykonywane przez okres nie dłuższy niż 5 lat od dnia wygaśnięcia zobowiązania, a w przypadku, o którym mowa w ust. 4, przez okres 12 lat od dnia wygaśnięcia zobowiązania (art. 105a ust. 5). Zakres przetwarzanych informacji, o których mowa w ust. 3 i 4, może obejmować dane dotyczące osoby fizycznej lub dane dotyczące zobowiązania (art. 105a ust. 6).
Jak wynika z materiału dowodowego niniejszej sprawy Skarżąca dopuściła się zwłoki w spełnieniu należnych SKOK świadczeń, przy czym zwłoka ta przekroczyła 60 dni, o których mowa w art. 105a ust. 3 Prawa bankowego. Niniejsza sprawa powinna zatem zostać przeanalizowana przez pryzmat regulacji art. 105a ust. 3 Prawa bankowego. Po dokonaniu takiej analizy uznać należy, że brak jest podstaw do zakwestionowania przez Generalnego Inspektora przetwarzania danych osobowych Skarżącej przez SKOK i ich udostępnienia BIK oraz przetwarzania przez ten ostatni podmiot. Zauważyć należy bowiem, że wspomniany art. 105a Prawa bankowego wprowadzający szereg warunków, które powinny być spełnione przed przekazaniem przez SKOK do BIK danych klienta po wygaśnięciu zobowiązania oraz dalszego przetwarzania takich danych w BIK, zaczął obowiązywać od 16 czerwca 2005 r., a więc w chwili, gdy dane Skarżącej już znajdowały się w BIK jako dane osoby, która nieterminowo spełniła zobowiązanie wobec SKOK. SKOK nie miała zatem praktycznej możliwości dochowania 30-dniowego terminu informacyjnego, o którym mowa w art. 105a ust. 3 ww. ustawy. Niemniej jednak, jak oświadczyła SKOK w niniejszym postępowaniu, SKOK poinformowała Skarżącą w piśmie z dnia 13 września 2007 r. o zamiarze przetwarzania jej danych w BIK przez ww. pięcioletni okres i braku podstaw prawnych do wykreślenia jej danych z bazy BIK. Przyjąć zatem należy, iż obowiązek informacyjny, o którym mowa w przepisie art. 105a ust. 3 Prawa bankowego został przez SKOK wobec Skarżącej wypełniony. I oczywiście została spełniona druga przesłanka z art. 105a ust. 3 Prawa bankowego w zakresie 60 dniowej zwłoki Skarżącej jako poręczyciela w spełnieniu świadczenia wynikającego z ww. umowy pożyczki.

Reasumując, w analizowanej sprawie Skarżąca dopuściła się zwłoki w spłacie zadłużenia, co tym samym sprawia, że jej dane osobowe mogą być przetwarzane w BIK bez jej zgody przez okres 5 lat od dnia uregulowania zobowiązania, jako dane osoby, która nieterminowo wywiązała sięz zobowiązań wobec SKOK. Zgodę na przetwarzanie danych osobowych wymagana jest bowiem wyłącznie w przypadku przetwarzania danych osób, które zobowiązania wobec banków wykonały terminowo. Mając z kolei na względzie kwestię przetwarzania danych Skarżącej przez Bank oraz BIK w zakresie, w którym ww. dane zostały mu przekazane przez Bank, wskazać należy, iż w związku z zawartą ww. umową pożyczki oraz umową rachunku oszczędnościowo – rozliczeniowego, Bank był uprawniony do przetwarzania danych Skarżącej na podstawie wyżej powołanego art. 23 ust. 1 pkt 3 ustawy. Podobnie, jak w przypadku SKOK, przekazanie danych Skarżącej przez Bank na rzecz BIK nastąpiło na podstawie omówionego powyżej art. 105 ust. 4 Prawa bankowego, zatem w oparciu o art. 23 ust. 1 pkt 2 ustawy. Istotnym w sprawie jest, iż Skarżąca również w przypadku spłaty ww. zobowiązania wynikającego z ww. umowy pożyczki dopuściła się zwłoki powyżej 60 dni w rozumieniu art. 105a ust. 3 Prawa bankowego, a jej zobowiązanie wobec Banku wygasło w dniu 15 listopada 2005 r. Jednakże wobec faktu, iż Bank nie dopełnił wobec Skarżącej wyżej omówionego obowiązku informacyjnego, o którym mowa w art. 105a ust. 3 pkt 2 Prawa bankowego, przetwarzanie jej danych osobowych w BIK w celu oceny zdolności kredytowej i ryzyka kredytowego było możliwe jedynie do dnia 15 czerwca 2008 r. I taka też sytuacja miała miejsce w niniejszej sprawie. Jak wynika z oświadczenia BIK, dane Skarżącej w zakresie przekazanym mu przez Bank, przetwarzane są przez BIK po ww. dacie (od dnia 17 czerwca 2008 r.) wyłącznie w celach statystycznych. Z kolei przetwarzanie danych przez Bank i BIK w celach statystycznych po wygaśnięciu zobowiązania należy uznać za uprawnione. Zgodnie bowiem z art. 105a ust. 4 prawa bankowego, Banki oraz instytucje, o których mowa w art. 105 ust. 4, mogą przetwarzać informacje stanowiące tajemnicę bankową dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, bez zgody osoby, której informacje dotyczą, dla celów stosowania metod statystycznych, o których mowa w art. 128 ust. 3. Z kolei zgodnie z art. 128 ust. 3 Prawa bankowego, za zgodą Komisji Nadzoru Finansowego bank może stosować metody statystyczne do obliczania wymogów kapitałowych. W niniejszej sprawie Bank, odnosząc się do aktualnego przetwarzania danych Skarżącej wyjaśnił, iż stosuje metody statystyczne, o których mowa w art. 128 ust. 3 Prawa bankowego, jak również przychylił się stosowania ww. metod przez BIK w stosunku do danych Skarżącej przekazanych mu przez Bank w związku z ww. zobowiązaniem. Ponadto Bank przyznał, że został przez BIK poinformowany o stosowaniu ww. metod przez tą instytucję i tego nie zakwestionował. W tej sytuacji brak jest podstaw by odmówić waloru legalności stosowania ww. metod przez ww. podmioty w niniejszej sprawie. Wskazać bowiem należy, iż art. 128 ust. 3 Prawa bankowego stanowi samodzielną podstawę prawną do przetwarzania danych w celach statystycznych zarówno przez banki, jak i przez BIK, po wygaśnięciu zobowiązania, bez zgody osoby, której dane dotyczą. Stanowisko takie zajął Wojewódzki Sąd Administracyjny w Warszawie w podobnej sprawie w nieprawomocnym wyroku z dnia 4 grudnia 2008 r. (sygn. akt II SA/Wa 917/08).

W tym stanie faktycznym i prawnym Generalny Inspektor Ochrony Danych Osobowych rozstrzygnął, jak we wstępie.
Decyzja niniejsza jest ostateczna.