Uzasadnienie
Zaskarżonym wyrokiem z dnia 4 kwietnia 2019 r., sygn. akt IV SA/Wa 3112/18, Wojewódzki Sąd Administracyjny w Warszawie oddalił skargę B. S.A. z siedzibą w S. (dalej: Spółka lub Skarżąca) na decyzję Ministra Cyfryzacji z dnia [...] września 2018 r. w przedmiocie odmowy wyrażenia zgody na udostępnienie danych z Rejestru Dowodów Osobistych.
Powyższe rozstrzygnięcie zapadło w następującym stanie faktycznym i prawnym sprawy.
Wnioskiem z [...] lipca 2018 r. B. S.A. z siedzibą w S. wniosła o udostępnienie danych w trybie ograniczonej teletransmisji danych z Rejestru Dowodów Osobistych. Spółka wskazała, że posiada zezwolenie na prowadzenie działalności krajowej instytucji płatniczej oraz jest instytucją pożyczkową. Zgodnie z ustawą z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (Dz. U. z 2018 r., poz. 723, dalej: ustawa o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu) jest ona instytucją, na której ciąży obowiązek identyfikacji klientów. Uzyskanie dostępu do Rejestru Dowodów Osobistych, zdaniem Spółki, pozwoli zwiększyć skuteczność i pewność weryfikacji klientów dokonywanej w związku ze świadczeniem przez nią usług płatniczych i pożyczkowych.
Zaskarżoną decyzją z [...] września 2018 r. Minister Cyfryzacji, po rozpatrzeniu wniosku B.S.A. w S., na podstawie art. 68 ust. 4 pkt 2 ustawy z dnia 6 sierpnia 2010 r. o dowodach osobistych (Dz.U. z 2017 r., poz. 1464; dalej: ustawa o dowodach osobistych), odmówił wyrażenia zgody na udostępnienie Spółce danych z Rejestru Dowodów Osobistych w trybie ograniczonej teletransmisji danych. W uzasadnieniu organ wskazał, że Skarżąca nie znajduje się w grupie podmiotów, którym dostęp do Rejestru Dowodów Osobistych należy się z urzędu, a zatem musi ona wykazać interes prawny. Zdaniem Ministra, dostęp Skarżącej do tego rejestru nie umożliwia jej realizacji zadania polegającego na stosowaniu wobec klientów środków bezpieczeństwa finansowego, w tym weryfikacji klienta. Zasadniczym źródłem tych informacji jest dokument, którym posługuje się klient oraz inne wiarygodne informacje. Środki te, jak wynika z art. 37 ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu, służą identyfikacji i weryfikacji klienta.
Uzyskanie przez Skarżącą (instytucję obowiązaną) dostępu do Rejestru Dowodów Osobistych w trybie ograniczonej teletransmisji danych nie umożliwi jej faktycznej weryfikacji osoby. W ramach tego rodzaju dostępu nie następuje udostępnienie żadnych danych zgromadzonych w Rejestrze Dowodów Osobistych, lecz porównanie danych posiadanych już przez podmiot dokonujący sprawdzenia z danymi zgromadzonymi w Rejestrze Dowodów Osobistych. Jego skutkiem jest uzyskanie potwierdzenia istnienia albo nieistnienia ważnego dowodu osobistego zawierającego określony zakres danych. Nie dochodzi zatem do identyfikacji osoby fizycznej, czy też weryfikacji jej tożsamości. Przedmiotem usługi nie jest weryfikacja danych osoby, gdyż nie odnosi się ona do osoby (nie ma związku z osobą).
Wojewódzki Sąd Administracyjny w Warszawie powołanym na wstępie wyrokiem oddalił skargę. Sąd pierwszej instancji stwierdził, że Spółka jest instytucją obowiązaną w rozumieniu art. 2 ust. 1 pkt 3 i 25 ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu, a zatem spoczywa na niej obowiązek identyfikacji klienta i weryfikacji jego tożsamości oraz identyfikacji beneficjenta rzeczywistego i podejmowania uzasadnionych czynności w celu weryfikacji jego tożsamości. Skarżąca nie wykazała jednak, że uzyskanie dostępu do danych z Rejestru Dowodów Osobistych w trybie ograniczonej teletransmisji danych zapewnia wykonanie tego obowiązku. Spółka nie jest bowiem zobowiązana do weryfikacji prawdziwości dowodu osobistego klienta (beneficjenta rzeczywistego czy osoby upoważnionej do działania w ich imieniu) ani prawdziwości danych zawartych w tym dowodzie, a jedynie dane podlegają sprawdzeniu w trybie ograniczonej teletransmisji danych.
Sąd pierwszej instancji podkreślił, że stosownie do art. 68 ust. 1 ustawy o dowodach osobistych, udostępnienie danych w trybie ograniczonej teletransmisji danych sprowadza się do potwierdzenia istnienia ważnego dowodu osobistego zawierającego określone (ograniczone) dane. W ten sposób nie następuje ani identyfikacja osoby, która posługuje się tymi danymi ani weryfikacja jej tożsamości.
W skardze kasacyjnej Spółka wniosła o uchylenie zaskarżonego wyroku w całości i przekazanie sprawy do ponownego rozpoznania przez Sąd pierwszej instancji oraz o zasądzenie od organu na jej rzecz kosztów postępowania kasacyjnego.
Zaskarżonemu wyrokowi Sądu pierwszej instancji zarzuciła:
- 1. naruszenie prawa materialnego, tj. art. 33 ust. 2 w zw. z art. 36 ust. 1 pkt 1 lit. d, 2 i 3 oraz art. 37 ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmowi poprzez ich niewłaściwe zastosowanie i błędną wykładnię oraz pominięcie przez Sąd pierwszej instancji, że podstawowym obowiązkiem Skarżącej, jako instytucji obowiązanej jest rozpoznawanie ryzyka prania pieniędzy oraz finansowania terroryzmu, czemu służyć ma identyfikacja i weryfikacja tożsamości klienta lub beneficjenta rzeczywistego; pominięcie, że negatywna weryfikacja dowodu osobistego, prowadzi pośrednio do negatywnej weryfikacji tożsamości klienta, a w każdym wypadku do rozpoznania ryzyka prania pieniędzy oraz finansowania terroryzmu, a tym samym umożliwi należyte wykonanie obowiązków nałożonych przepisami tej ustawy.
- 2. naruszenie prawa materialnego, tj. art. 68 ust. 4 pkt 2 ustawy z dnia 7 sierpnia 2010 r. o dowodach osobistych, przez jego błędną wykładnię i ustalenie przez Sąd pierwszej instancji, że Skarżąca nie ma interesu prawnego w uzyskaniu dostępu do Rejestru Dowodów Osobistych w trybie ograniczonej teletransmisji, podczas gdy interes Skarżącej wynika wprost z art. 33 ust. 2 w zw. z art. 36 ust. 1 pkt 1 lit. d, 2 i 3 oraz art. 37 ustawy o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu, jak również z art. 9 ust. 1 i art. 13 ust. 1 pkt 1 ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim (Dz. U. z 2018 r., poz. 993 ze zm.; dalej: ustawa o kredycie konsumenckim), który Sąd pierwszej instancji w swych rozważaniach całkowicie pominął;
- 3. naruszenie przepisów postępowania, mogące mieć istotny wpływ na wynik sprawy, tj. art. 134 § 1 p.p.s.a., poprzez ograniczenie zbadania interesu prawnego tylko do treści art. 36 i 37 ustawy o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu, podczas gdy Sąd pierwszej instancji, rozstrzygając w granicach tej sprawy, powinien był zbadać interes prawny Skarżącej również na gruncie innych przepisów, w tym art. 33 ust. 2 ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu oraz art. 9 ust. 1 i art. 13 ust. 1 pkt 1 ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim;
- 4. naruszenie przepisów postępowania, mogące mieć istotny wpływ na wynik sprawy, tj. art. 145 § 1 pkt 1 lit. c p.p.s.a. w zw. z art. 8 § 1 i 2 k.p.a., poprzez brak uchylenia decyzji organu w całości, pomimo naruszenia przez organ przepisów postępowania, mogących mieć wpływ na wynik sprawy, tj. przez naruszenie przez organ zasady równego traktowania i odstąpienie od utrwalonej praktyki w tym zakresie, biorąc pod uwagę, że organ w identycznych okolicznościach i zbliżonym stanie prawnym, opierając się na identycznych przesłankach, decyzją z dnia [...] maja 2016 r. udzielił Skarżącej dostępu do rejestru PESEL, jak również udzielił innym podmiotom o tożsamych do Skarżącej obowiązkach zgody na dostęp do danych z Rejestru Dowodów Osobistych, uznając, iż podmioty te wykazały interes prawny.
Naczelny Sąd Administracyjny zważył, co następuje
Skarga kasacyjna zawiera usprawiedliwione podstawy.
Sąd pierwszej instancji (podobnie jak organ wydający zaskarżoną decyzję w sprawie) przyjął, że Skarżąca Spółka jest instytucją obowiązaną w rozumieniu art. 2 ust. 1 pkt 3 i 25 ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu, a zatem spoczywa na niej obowiązek identyfikacji i weryfikacji tożsamości klienta, osoby upoważnionej do działania w jego imieniu oraz beneficjenta rzeczywistego. Odmowa uwzględnienia wniosku o uzyskanie dostępu do danych z Rejestru Dowodów Osobistych w trybie ograniczonej teletransmisji danych została uzasadniona niewykazaniem przez Spółkę interesu prawnego, ponieważ dostęp do takich danych nie służy identyfikacji i weryfikacji tożsamości klienta. Stanowiska tego nie można podzielić i dlatego uzasadniony jest zarzut naruszenia art. 68 ust. 4 pkt 2 ustawy z dnia 7 sierpnia 2010 r. o dowodach osobistych, przez jego błędną wykładnię.
Zgodnie z art. 65 ust. 2 pkt 1 i 2 ustawy o dowodach osobistych Minister właściwy do spraw informatyzacji udostępnia dane z Rejestru Dowodów Osobistych w dwóch trybach tj.: w trybie pełnej teletransmisji danych oraz w trybie ograniczonej teletransmisji danych.
Udostępniając dane w trybie ograniczonej teletransmisji danych, porównuje się przekazywane przez uprawniony podmiot dane z danymi zawartymi w Rejestrze Dowodów Osobistych. Udostępnienie danych w tym trybie potwierdza istnienie albo nieistnienie ważnego dowodu osobistego zawierającego określony zakres danych (art. 68 ust. 1 ustawy o dowodach osobistych). W trybie ograniczonej teletransmisji danych, stosownie do art. 68 ust. 2 ustawy o dowodach osobistych, porównaniu podlegają: imię (imiona), nazwisko, numer PESEL, seria i numer dowodu osobistego, data wydania dowodu osobistego, termin ważności dowodu osobistego. Z art. 68 ustawy o dowodach osobistych wynika, że w ramach tego rodzaju dostępu nie następuje udostępnienie danych zgromadzonych w Rejestrze Dowodów Osobistych, ale ich porównanie: danych posiadanych już przez podmiot dokonujący sprawdzenia z danymi zgromadzonymi w Rejestrze Dowodów Osobistych. W wyniku takiego porównania możliwe jest potwierdzenie istnienia albo nieistnienia ważnego dowodu osobistego zawierającego określony zakres danych.
Zgodnie z art. 68 ust. 4 ustawy o dowodach osobistych do korzystania z danych udostępnianych w trybie ograniczonej teletransmisji danych są uprawnione inne podmioty niż wymienione w art. 66 ust. 3 ustawy o dowodach osobistych, jeżeli wykażą w tym interes prawny. Prawidłowe jest ustalenie w zaskarżonej decyzji, że Skarżąca nie znajduje się w grupie podmiotów, którym dostęp do Rejestru Dowodów Osobistych przysługuje z urzędu, a zatem musi ona wykazać interes prawny wynikający z przepisu prawa materialnego. Spółka, uzasadniając interes prawny w uzyskaniu danych z Rejestru Dowodów Osobistych w trybie ograniczonej teletransmisji danych wskazała, że jest instytucją obowiązaną w rozumieniu przepisów ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu i w związku z tym jest zobowiązana do stosowania wobec swoich klientów środków bezpieczeństwa finansowego, w tym identyfikacji klientów i weryfikacji ich tożsamości.
Przepisy ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu nakładają na Spółkę konkretne obowiązki. Stosownie do art. 33 ust. 1 i art. 34 ust. 1 ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu instytucja obowiązana, w rozumieniu przepisów tej ustawy, jest zobowiązana do stosowania wobec swoich klientów środków bezpieczeństwa finansowego, które polegają m.in. na:
- 1) identyfikacji klienta i weryfikacji jego tożsamości (art. 34 ust. 1 pkt 1);
- 2) identyfikacji beneficjenta rzeczywistego oraz podejmowaniu uzasadnionych czynności w celu weryfikacji jego tożsamości (art. 34 ust. 1 pkt 2);
- 3) identyfikacji osoby upoważnionej do działania w imieniu klienta oraz weryfikacji jej tożsamości i umocowania do działania w imieniu klienta (art. 34 ust. 2).
Zgodnie z art. 36 ust. 1 lit. d), art. 36 ust. 2 oraz art. 36 ust. 3 ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu, identyfikacja klienta będącego osobą fizyczną, osoby upoważnionej do działania w imieniu klienta oraz beneficjenta rzeczywistego wymaga m.in. ustalenia serii i numeru dokumentu stwierdzającego tożsamość osoby. Z art. 37 ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu wynika natomiast, że weryfikacja tożsamości klienta, osoby upoważnionej do działania w jego imieniu i beneficjenta rzeczywistego polega na potwierdzeniu ustalonych danych identyfikacyjnych na podstawie dokumentu stwierdzającego tożsamość osoby fizycznej, dokumentu zawierającego aktualne dane z wyciągu właściwego rejestru lub innych dokumentów, danych lub informacji pochodzących z wiarygodnego i niezależnego źródła.
Ustalając zakres i treść obowiązków, które ustawa o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu nakłada na Spółkę, należy uwzględnić treść prawa Unii Europejskiej. Przepisy tej ustawy stanowią implementację postanowień dyrektywy Parlamentu i Rady (UE) 2015/849 z dnia 20 maja 2015 r. w sprawie zapobiegania wykorzystywaniu systemu finansowego do prania pieniędzy lub finansowania terroryzmu, zmieniającej rozporządzenie Parlamentu Europejskiego i Rady (UE) nr 648/2012 i uchylającej dyrektywę Parlamentu Europejskiego i Rady 2005/60/WE oraz dyrektywę Komisji 2006/70/WE (Dz.U.UE.L.2015.141.73, dalej: dyrektywa 2015/849). W takiej sytuacji sądy krajowe zobowiązane są tak dalece, jak jest to możliwe, dokonywać wykładni prawa krajowego w świetle brzmienia i celu rozpatrywanej dyrektywy, by osiągnąć przewidziany w niej rezultat, a zatem dostosować się do art. 288 akapit trzeci TFUE (m.in. wyrok TSUE z dnia 4 lipca 2006 r., C-212/04 Adeneler i inni).
W rozpoznawanej sprawie kluczowe znaczenie ma właściwa wykładnia przepisów określających zasady identyfikacji i weryfikacji tożsamości klienta (osoby upoważnionej do działania w jego imieniu oraz beneficjenta rzeczywistego), które w prawie krajowym określa art. 37 ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu. Przepis ten transponuje m.in. art. 13 ust. 1 lit. a dyrektywy 2015/849, z którego wynika, że środki należytej staranności (środki bezpieczeństwa finansowego) wobec klienta obejmują identyfikację klienta i weryfikację jego tożsamości na podstawie (1) dokumentów, (2) danych lub informacji pochodzących z rzetelnego i niezależnego źródła, w tym, o ile są dostępne, środków identyfikacji elektronicznej, odpowiednich usług zaufania określonych w rozporządzeniu Parlamentu Europejskiego i Rady (UE) nr 910/2014 lub (3) wszelkich innych bezpiecznych, zdalnych lub elektronicznych procesów identyfikacji regulowanych, uznanych, zatwierdzonych lub przyjętych przez właściwe organy krajowe.
Zastosowanie prounijnej wykładni prawa krajowego pozwala przyjąć, że uzyskanie rezultatu w postaci identyfikacji i weryfikacji tożsamości klienta (osoby upoważnionej do działania w jego imieniu oraz beneficjenta rzeczywistego) może być oparte na danych pozyskanych z właściwych rejestrów, które cechuje rzetelność, niezależność źródłowa i bezpieczeństwo. Takim rejestrem jest Rejestr Dowodów Osobistych. W świetle przepisów prawa Unii Europejskiej nie ma podstaw by przyjmować za Sądem pierwszej instancji, że weryfikacja osoby fizycznej polega na porównaniu danych zebranych w procesie identyfikacji z okazanym przez nią dowodem osobistym. Pełna weryfikacja następuje dopiero wówczas, gdy porównane dane będą potwierdzone pod względem ich prawdziwości.
Podsumowując, należy stwierdzić, że w rozpoznawanej sprawie interes prawny Skarżącej w dostępie do Rejestru Dowodów Osobistych wynika z nałożonych na Spółkę obowiązków i sankcji za ich niewykonanie. Dostępem do Rejestru Dowodów Osobistych jest związany z obowiązkiem identyfikacji klienta i weryfikacji jego tożsamości. Udostępnienie danych w trybie ograniczonej teletransmisji danych nie zastępuje wyczerpuje wprawdzie możliwości identyfikacji i weryfikacji klienta, ale jest elementem tej procedury. Uzyskanie informacji o istnieniu albo nieistnieniu ważnego dowodu osobistego zawierającego określony zakres danych ma na celu zapewnienie bezpieczeństwa finansowego. Ustalenia tożsamości klienta wyłącznie poprzez wylegitymowanie takiej osoby (okazanie przez nią dokumentu tożsamości) może okazać się niewystarczające. Nie eliminuje bowiem sytuacji, w której podmiot posługuje się, np. sfałszowanym dowodem osobistym lub w którego posiadanie wszedł w nieuprawniony sposób.
Wylegitymowanie klienta nie jest jedynym sposobem weryfikacji tożsamości klienta. Z art. 37 ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu wynika, że weryfikacja tożsamości polega na potwierdzeniu ustalonych danych identyfikacyjnych również na podstawie danych lub informacji pochodzących z wiarygodnego i niezależnego źródła. Takim źródłem jest Rejestr Dowodów Osobistych. Podkreślić należy, że instytucja obowiązana musi mieć pewność, że dane, które posiada o kliencie, lub innych osobach, których dane zgodnie z ustawą zobowiązana jest ustalić, są prawdziwe i dotyczą rzeczywistej osoby, której tożsamość będzie na tej podstawie możliwa do zweryfikowania. Temu celowi ma służyć m.in. sprawdzenie czy podane przez klienta, osobę umocowaną do działania w imieniu klienta lub dotyczące beneficjenta rzeczywistego dane są prawdziwe.
Zauważyć również należy, że zgodnie z art. 147 pkt 4 lit. a ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu instytucja obowiązana, która nie dopełnia obowiązku stosowania środków bezpieczeństwa finansowego, o którym mowa w art. 33 tej ustawy podlega karze administracyjnej. W świetle powyższego należy stwierdzić, że Spółka wykazała posiadanie interesu prawnego a Sąd pierwszej instancji dokonał błędnej wykładni art. 68 ust. 4 pkt 2 ustawy z dnia 7 sierpnia 2010 r. o dowodach osobistych.
Należy dodatkowo przy tym zauważyć, że Wojewódzki Sąd Administracyjny w Warszawie nie odniósł się do zarzutu zawartego w skardze, że organ w identycznych okolicznościach i zbliżonym stanie prawnym, opierając się na tożsamych przesłankach, decyzją z dnia [...] maja 2016 r. udzielił Skarżącej dostępu do rejestru PESEL, uznając, że "dostęp do rejestru PESEL w trybie weryfikacji danych umożliwi przeprowadzenie weryfikacji klienta instytucji finansowej, w szczególności w sytuacji, w której jego identyfikacja na podstawie dokumentów nie będzie możliwa".
Z przytoczonych wyżej względów, Naczelny Sąd Administracyjny na podstawie art. 188 p.p.s.a., uchylił zaskarżony wyrok i rozpoznał skargę, którą uwzględnił z przyczyn przedstawionych w uzasadnieniu w ten sposób, że na podstawie art. 145 § 1 pkt 1 lit. a p.p.s.a. uchylił zaskarżoną decyzję z dnia [...] września 2018 r. W toku ponownego rozpoznania sprawy organ uwzględni ocenę prawną i wskazania zawarte w uzasadnieniu wyroku.
Zwrot kosztów postępowania kasacyjnego Naczelny Sąd Administracyjny zasądził w oparciu o art. 203 pkt 1 p.p.s.a. O kosztach postępowania przed sądem pierwszej instancji orzeczono na podstawie art. 200 w związku z art. 188 i art. 193 p.p.s.a.