Uzasadnienie
Decyzją nr [...] z dnia [...] kwietnia 2013 r. Generalny Inspektor Ochrony Danych Osobowych, na podstawie art. 138 § 1 pkt 2 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2013 r. poz. 267), dalej: "K.p.a." oraz art. 12 pkt 2, art. 22 w związku z art. 23 ust. 1 pkt 2 i 5 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.), dalej: "U.o.d.o.", uchylił w całości decyzję własną nr [...] z dnia [...] maja 2012 r. oraz odmówił uwzględnienia wniosku w sprawie skargi M.I. na przetwarzanie jego danych osobowych przez Bank [...]. z siedzibą w W. W uzasadnieniu ww. decyzji organ przedstawił dotychczasowy tok postępowania wskazując, co następuje:
W dniu [...] sierpnia 2011 r. do Biura Generalnego Inspektora wpłynęła skarga M.I. (dalej: "skarżący"), na przetwarzanie jego danych osobowych przez Bank [...]z siedzibą w W. (dalej: "Bank"). Skarżący wskazał: "W czerwcu 2011 r. złożyłem w Banku [...] wniosek kredytowy, który zawierał bardzo obszerne dane na mój temat, m.in. informacje o całym majątku i posiadanych polisach ubezpieczeniowych, szczegóły zarobków. Wniosek o kredyt został negatywnie rozpatrzony przez bank. W dniu [...] czerwca 2011 r. wystąpiłem pisemnie do Banku [...] o usunięcie danych osobowych związanych z ww. wnioskiem kredytowym. Pismem z dnia [...] lipca 2011 r. (...) Bank odmówił usunięcia danych powołując się na art. 74 ust. 2 pkt 8 ustawy z dnia 29 września 1994 r. o rachunkowości (Dz. U. z 2013 r., poz. 330). W przedmiotowym przypadku przywołana ustawa nie ma zastosowania, gdyż bank nie prowadził dla mnie rachunku kredytu, ani innego produktu bankowego (...). Nie istnieją podstawy prawne aby bank nadal przetwarzał moje dane dotyczące wniosku kredytowego". Skarżący wniósł o nakazanie Bankowi dopełnienia obowiązku usunięcia jego danych osobowych.
Generalny Inspektor ustalił, iż M.I. był klientem Banku w latach 1998-2010 i posiadał w Banku konto osobiste oraz kartę [...]. W dniu [...] czerwca 2011 r. skarżący złożył wniosek o kredyt hipoteczny.
W wyjaśnieniach z dnia [...] listopada 2011 r. Bank wskazał, że obecnie przetwarza dane osobowe skarżącego w celu archiwalnym:
- 1) na podstawie art. 23 ust. 1 pkt 5 U.o.d.o. - w usprawiedliwionym celu dochodzenia roszczeń z tytułu prowadzonej działalności gospodarczej,
- 2) na podstawie art. 23 ust. 1 pkt 2 U.o.d.o. w związku z art. 74 ust. 2 pkt 8 ustawy z dnia 29 września 1994 r. o rachunkowości (Dz. U. z 2013 r., poz. 330), dalej: "U.o.r.".
Bank wskazał, iż zakres przetwarzanych danych obejmuje: imię i nazwisko, dane adresowe, nr PESEL, seria i numer dowodu osobistego oraz dane z dowodu osobistego, nazwisko rodowe matki, nr NIP, miejsce urodzenia, data urodzenia, kraj zamieszkania, obywatelstwo, seria i numer paszportu, numer telefonu, adres e-mail, informacje o sytuacji zawodowej/zatrudnieniu, informacje o sytuacji finansowej/dochodach, informacje o sytuacji rodzinno-majątkowej, dane dotyczące produktów bankowych, dane z raportu pobranego z BIK. Bank potwierdził, że skarżący pismem z dnia [...] czerwca 2011 r. zwrócił się do Banku o usunięcie danych, "uzasadniając swój wniosek faktem, iż nie posiada w Banku żadnych produktów". Bank wyjaśnił: "(...) mimo że skarżący nie jest już klientem Banku, to ze względu na posiadany uprzednio produkt bankowy - konto osobiste oraz kartę (...) Bank przetwarza jego dane osobowe w celach archiwalnych (...)".
Bank potwierdził, że skarżący w 2011 r. złożył wniosek o udzielenie kredytu hipotecznego, który został rozpatrzony negatywnie. W ocenie Banku: "w przypadku negatywnej decyzji dla danego wniosku, Bank powinien mieć m.in. możliwość wykazania podstawy prawnej dla pobrania z Biura Informacji Kredytowej S.A. raportu dotyczącego klienta. Wobec tego faktu Bank nie mógł przychylić się do wniosku skarżącego, jednak w odpowiedzi do Klienta zapewnił, że dane te będą przetwarzane wyłącznie w celach archiwalnych.
Dalej Generalny Inspektor wskazał, iż po przeprowadzeniu postępowania wyjaśniającego, decyzją z dnia [...] października 2012 r. nr [...] odmówił uwzględnienia wniosku skarżącego. Decyzja ta znajduje się w aktach sprawy. Natomiast do stron postępowania została wysłana decyzja nr [...] z dnia [...] maja 2012 r. nakazująca Bankowi wyeliminowanie nieprawidłowości w procesie przetwarzania danych osobowych skarżącego poprzez usunięcie jego danych osobowych zawartych we wniosku o kredyt hipoteczny. Decyzja ta została doręczona stronom w dniu [...] maja 2012 r.
W dniu [...] listopada 2012 r. do Biura Generalnego Inspektora wpłynął - nadany w dniu [...] października 2012 r. - wniosek Banku o ponowne rozpatrzenie sprawy rozstrzygniętej decyzją z dnia [...] maja 2012 r. Bank wniósł o uchylenie zaskarżonej decyzji i umorzenie postępowania w sprawie. W uzasadnieniu, powołując w szczególności opinię Komisji Nadzoru Finansowego z dnia [...] lipca 2012 r. Bank wskazał, iż przetwarzanie danych na podstawie art. 23 ust. 1 pkt 5 oraz ust. 4 U.o.d.o. stanowi przesłankę legalizującą przetwarzanie danych, gdyż Bank powinien mieć możliwość zabezpieczenia swoich praw na wypadek ewentualnych roszczeń związanych z prowadzoną działalnością.
Nadto wskazał, iż dla oceny działania Banku w zakresie objętym decyzją są również częste przypadki wyłudzeń kredytów przez osoby wielokrotnie zwracające się o ich udzielenie kredytu, przedstawiające sfałszowane dokumenty, mające umożliwić uzyskanie kredytu. Brak archiwalnej dokumentacji generuje ryzyko wystąpienia zdarzeń przestępczych i ponoszenia strat przez Bank. Minimalizacja zagrożeń i ryzyka Banku w tym obszarze również uzasadnia przechowywanie danych osoby, która złożyła wniosek kredytowy.
W piśmie z dnia [...] stycznia 2013 r. skarżący wniósł o oddalenie wniosku o ponowne rozpatrzenie sprawy, podnosząc brak przesłanek do przetwarzania jego danych osobowych przez Bank na podstawie art. 23 ust. 1 pkt 5 U.o.d.o. Ponadto nie zgodził się z wyjaśnieniami Banku udzielonymi pismem z dnia [...] listopada 2011 r., podnosząc, że ze względu na likwidację konta osobistego i karty [...] na przełomie lat 2000/2001 do przetwarzania jego danych nie może mieć zastosowania art. 74 ust. 2 pkt 8 U.o.r.
Wydając powołaną na wstępie decyzję Generalny Inspektor wskazał, iż w niniejszej sprawie stronom postępowania została doręczona decyzja nieprawidłowa, tj. decyzja GIODO nr [...] z dnia [...] maja 2012 r. Z tego względu konieczne było jej uchylenie przez organ na podstawie art. 138 § 1 pkt 2 K.p.a.
Następnie organ powołał, mające w sprawie zastosowanie, przepisy ustawy o ochronie danych osobowych, tj. art. 7 pkt 2, art. 18 ust. 1 oraz art. 23 ust. 1 wymieniający tzw. przesłanki legalizujące przetwarzanie danych osobowych.
Dalej organ wskazał, iż jak wynika z materiału dowodowego skarżący był klientem Banku w latach 1998 - 2010 i posiadał konto osobiste oraz kartę [...]. W dniu [...] czerwca 2011 r. skarżący złożył - jako współwnioskodawca - wniosek o kredyt hipoteczny.
W wyjaśnieniach złożonych w sprawie Bank wskazał, iż obecnie przetwarza dane osobowe skarżącego w celach archiwalnych. Zgodnie z art. 2 ust. 1 pkt 3 U.o.r. jej przepisy stosuje się do mających siedzibę lub miejsce sprawowania zarządu na terytorium RP m.in. jednostek organizacyjnych działających na podstawie Prawa bankowego. Zatem są one zobowiązane do stosowania, wydanego na podstawie art. 81 ust. 2 pkt 8 lit. a ww. ustawy, rozporządzenia Ministra Finansów z dnia 1 października 2010 r. w sprawie szczególnych zasad rachunkowości banków (Dz. U. z 2013 r., poz. 329). Stosownie do § 49 ust. 2 ww. rozporządzenia bank przechowuje dowody księgowe w oryginalnej postaci przez okres wynikający z przepisów art. 74 U.o.r. W myśl art. 74 ust. 1 U.o.r. zatwierdzone roczne sprawozdania finansowe podlegają trwałemu przechowywaniu.
Natomiast pozostałe zbiory, zależnie od ich rodzaju, przechowuje się co najmniej przez okresy wymienione w art. 74 ust. 2 ww. ustawy. W myśl art. 74 ust. 2 pkt 8 U.o.r. pozostałe dowody księgowe i dokumenty (niewymienione w pkt 1 - 7 tego przepisu) przechowuje się co najmniej przez okres 5 lat.
Obowiązek przechowywania przez banki dokumentacji w celach archiwalnych, wynikający z art. 74 ust. 2 pkt 8 U.o.r., jest wypełniany w celu realizacji uprawnień i obowiązków wynikających z tego aktu prawnego, tj. na podstawie art. 23 ust. 1 pkt 2 U.o.d.o. Zakres przetwarzanych przez Bank danych osobowych skarżącego jest zgodny z zakresem wskazanym w przepisach rozporządzenia Ministra Finansów z dnia 27 marca 2007 r. w sprawie szczegółowego zakresu przetwarzania informacji dotyczących osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów oraz trybu usuwania tych informacji (Dz. U. Nr 56, poz. 373).
Na uzasadnienie przedstawionego stanowiska organ powołał opinię Komisji Nadzoru Finansowego z dnia [...] lipca 2012 r., w której wskazano: "W ocenie UKNF nie ma przeszkód, by wniosek kredytowy wraz z załącznikami w postaci kopii oryginałów dokumentów, które miały znaczenie dla podjęcia negatywnej decyzji kredytowej, pozostał w banku i podlegał archiwizacji. Niezależnie od celów archiwalnych, dane osobowe osób fizycznych i innych podmiotów mogą mieć bardzo istotne znaczenie z punktu widzenia oceny ryzyka przez banki i mogą służyć do analizy statystycznej profilu ryzyka".
Organ wskazał również, że zasadne jest archiwizowanie danych osobowych wnioskodawców, którym bank odmówił udzielenia kredytu, jednak z uwzględnieniem wymogów określonych w art. 23 ust. 1 pkt 5 U.o.d.o., zezwalającym na przetwarzanie danych osobowych w celu wypełnienia prawnie usprawiedliwionych celów administratora danych wtedy, gdy nie narusza praw i wolności osoby, której dane dotyczą. Warunek ten jest spełniony, jeśli osoby, od których dane są zbierane, dysponują informacją o pozostawieniu przez bank dla wyraźnie określonych celów, w razie odmowy udzielenia kredytu, dotyczących ich danych osobowych. W niniejszej sprawie Bank skierował do skarżącego taką informację pismem z dnia [...] lipca 2011 r.
W skardze do Wojewódzkiego Sądu Administracyjnego w Warszawie na powyższą decyzję Generalnego Inspektora Danych Osobowych z dnia [...] kwietnia 2013 r. M.I. wniósł o jej uchylenie, nakazanie usunięcia danych osobowych przez Bank w zakresie, w jakim ich przetwarzanie nie jest uzasadnione przepisami ustawy o ochronie danych osobowych oraz zasądzenie kosztów postępowania według norm przepisanych.
W motywach skargi skarżący wskazał, iż wniosek Banku o ponowne rozpatrzenie sprawy został złożony z naruszeniem terminu ustawowego bowiem - jak wskazano w uzasadnieniu zaskarżonej decyzji - decyzja z dnia [...] maja 2013 r. została doręczona stronom w dniu [...] maja 2013 r.
Nadto skarżący zarzucił, iż organ nie zbadał, czy zgodnie z art. 26 ust. 1 pkt 3 U.o.d.o. zakres danych osobowych przetwarzanych przez Bank jest adekwatny do wskazanego celu. Zaznaczył, iż przepis art. 74 ust. 3 pkt 8 U.o.r. nie uzasadnia przetwarzania przez Bank zgromadzonych danych.
Wskazał również, że Karta [...] była produktem powiązanym z kontem osobistym skarżącego, bowiem był to produkt dla osób do 26 roku życia. Wiek ten skarżący ukończył w dniu [...] maja 2000 r. i na przełomie 2000/2001 zlikwidował powyższe produkty i nie dokonywał na nich żadnych obrotów. Zgodnie z art. 60 ustawy Prawo Bankowe, rachunek bankowy ulega rozwiązaniu, gdy w ciągu dwóch lat nie dokonano na nim żadnych obrotów.
Z tego względu do przetwarzania danych skarżącego nie może mieć zastosowanie art. 23 ust. 2 pkt 2 U.o.d.o. w zw. z art. 74 ust 2 pkt 8 U.o.r., gdyż upłynął okres ponad 5 lat od momentu kiedy powyższe produkty powinny zostać zlikwidowane.
Skarżący wskazał również, że w polskim ustawodawstwie nie istnieje "prawo do kredytu" - bank nie ma obowiązku zawarcia umowy na ten produkt. Wnioskodawca nie może mieć więc żadnych roszczeń w stosunku do banku, w którym złożył wniosek, a który kredytu mu odmówił. Bank nie ma także obowiązku przedstawiania uzasadnienia w przypadku negatywnego rozpatrzenia wniosku kredytowego. Zgodnie z art. 9 "Regulaminu Udzielania przez Bank [...] Kredytów Hipotecznych dla Ludności" Bank zastrzega sobie prawo nie udzielenia kredytu bez podania przyczyny.
Nie jest więc wymagane przetwarzanie żadnych danych osobowych w celu ochrony roszczeń z tytułu wydania odmownej decyzji kredytowej, gdyż decyzja taka może być podjęta niezależnie od złożonych dokumentów. Decyzja o odmowie udzielenia skarżącemu kredytu nie zawierała żadnego uzasadnienia i nie odnosiła się do żadnej z podanych przez niego informacji. Drugi wskazany przez Bank cel uzasadnia jedynie przetwarzanie zgody skarżącego na pobranie raportu z BIK.
Skarżący wskazał, iż zgodnie art. 4 ust 3 pkt 7 U.o.r. rachunkowość jednostki obejmuje: gromadzenie i przechowywanie dowodów księgowych oraz pozostałej dokumentacji przewidzianej ustawą. Z myśl art. 21 ust. 1 U.o.r. dowód księgowy powinien zawierać opis operacji gospodarczej oraz jej wartość. Z tego względu dokumenty wskazane przez organ (informacja o sytuacji zawodowej/zatrudnieniu, informacja o sytuacji finansowej/dochodach, informacja o sytuacji majątkowej) nie zawierają się w ustawowym zakresie rachunkowości jednostki, gdyż nie są to dokumenty księgowe (nie opisują operacji gospodarczej) oraz nie są przewidziane pozostałymi zapisami ustawy o rachunkowości. Nie można zatem uzasadniać przetwarzania tych danych wymogami art. 74 ust. 2 pkt 8 U.o.r.
Skarżący wskazał również, że w przedmiotowej sprawie nie ma zastosowania powołane przez organ rozporządzenie Ministra Finansów z dnia 27 marca 2007 r., gdyż na podstawie wniosku kredytowego nie została zawarta umowa, nie powstało zatem zobowiązanie wobec Banku.
W odpowiedzi na skargę Generalny Inspektor wniósł o jej oddalenie podtrzymując stanowisko zawarte w uzasadnieniu zaskarżonej decyzji. Dodatkowo wyjaśnił, iż decyzja z dnia [...] maja 2012 r. została doręczona stronom w dniu [...] października 2012 r., a nie - jak błędnie podniesiono w uzasadnieniu zaskarżonej decyzji - w dniu [...] maja 2012 r. Zatem wniosek Banku o ponowne rozpatrzenie sprawy został złożony w terminie ustawowym, co czyni niezasadnym zarzut skargi w odnośnym zakresie.
W piśmie procesowym z dnia [...] lipca 2013 r. Bank wniósł o oddalenie skargi podzielając stanowisko organu zawarte w odpowiedzi na skargę. Wskazał, iż Bank przetwarza dane osobowe skarżącego na podstawie: art. 23 ust. 1 pkt 5 U.o.d.o., zaś usprawiedliwionym celem, o którym mowa w ww. przepisie, jest dochodzenie roszczeń z tytułu prowadzonej działalności gospodarczej,
- 1) art. 23 ust. 1 pkt 2 U.o.d.o. w zw. z art. 74 ust. 2 pkt 8 U.o.r., który uprawnia do przechowywania danych osobowych klientów związanych z posiadanymi przez nich rachunkami bankowymi.
W piśmie procesowym z dnia [...] lipca 2013 r. skarżący podtrzymał zarzuty i wnioski skargi podnosząc, iż zgodnie z informacją Banku z dnia [...] czerwca 2013 r. ostatnia operacja na prowadzonym rachunku bankowym miała miejsce w 1998 r., zaś do rachunku nie była przypisana żadna karta. W związku z brzmieniem art. 60 Prawa bankowego przesłanki legalizującej przetwarzanie danych osobowych skarżącego nie może stanowić art. 23 ust. 1 pkt 2 U.o.d.o. w zw. z art. 74 ust. 2 pkt 8 U.o.r.
Przepis art. 70 Prawa bankowego nie zawiera żadnych przesłanek dotyczących przechowywania danych po wydaniu odmownej decyzji w sprawie udzielenia kredytu, nie zawiera też żadnych postanowień odnośnie ryzyka związanego z taką odmową. Wnioskodawca nie może mieć zatem żadnych roszczeń w stosunku do banku i nie jest potrzebna w tym zakresie ochrona banku. Nie ma więc potrzeby przechowywania w tym zakresie danych z wniosku kredytowego.
W piśmie procesowym z dnia [...] sierpnia 2013 r. skarżący podtrzymał zarzuty i wnioski skargi akcentując, iż organ błędnie łączy pozostałe dowody księgowe i dokumenty wymienione w art. 74 ust. 2 pkt 8 U.o.r. z danymi złożonymi w celu oceny zdolności kredytowej na podstawie art. 70 Prawa bankowego. Pismo KNF z dnia [...] lipca 2012 r. nie zawiera żadnych informacji odnośnie możliwości wniesienia roszczeń z tytułu wydania przez bank odmownej decyzji kredytowej i konieczności ochrony w tym zakresie. Błędne jest zatem uzasadnienie stanowiska organu z powołaniem na to pismo.
Pismem procesowym z dnia [...] listopada 2013 r. pełnomocnik uczestnika postępowania podtrzymał w całości dotychczasowe wnioski i twierdzenia zawarte w odpowiedzi na skargę z dnia [...] lipca 2013 r.
Pełnomocnik podniósł, iż dane osobowe skarżącego są przetwarzane w zakresie adekwatnym do celu przetwarzania, jakim jest cel archiwalny, który z jednej strony uzasadnia nałożony na Bank obowiązek wynikający z ustawy o rachunkowości, a z drugiej strony jest on usprawiedliwiony dochodzeniem ewentualnych roszczeń, których nie można wykluczyć z uwagi na negatywnie rozpatrzony wniosek o kredyt hipoteczny. Przetwarzanie ww. danych nie narusza praw i wolności skarżącego, ponieważ skarżący pismem z dnia [...] lipca 2011 r. został poinformowany o pozostawieniu przez Bank dla wyraźnie określonych celów, w razie odmowy udzielenia kredytu, jego danych osobowych.
Nadto pełnomocnik wskazał, iż rachunek bankowy skarżącego został otwarty [...] maja 1998 r., a zamknięty [...] grudnia 2010 r. na podstawie Regulaminu kont dla ludności z dnia 14 grudnia 2009 r. Bank ma zatem prawo do przetwarzania danych osobowych skarżącego - w zakresie dotyczącym rachunku bankowego - na podstawie art. 74 ust. 2 pkt 8 U.o.r. przez okres co najmniej 5 lat, licząc zgodnie z art. 74 ust. 3 U.o.r. od początku roku następującego po roku obrotowym, którego dane dotyczą.
Podstawę prawną do przetwarzania w celu archiwalnym danych osobowych skarżącego w zakresie objętym złożonym wnioskiem o kredyt hipoteczny, który został rozpatrzony negatywnie, stanowi art. 23 ust. 1 pkt 5 U.o.d.o., tj. prawnie usprawiedliwiony cel administratora danych. Taki cel stanowi ewentualne dochodzenie roszczeń zarówno przez Bank, jak i przez skarżącego.
Końcowo pełnomocnik wskazał, iż bezprzedmiotowe jest przykładowe wskazywanie możliwych podstaw prawnych do skierowania roszczeń czy to przez Bank, czy przez Skarżącego na skutek odmownego załatwienia wniosku kredytowego. Bank w razie skierowania roszczeń przeciwko skarżącemu musi dysponować materiałem dowodowym celem udowodnienia swoich racji, jak i w przypadku skierowania roszczeń przez skarżącego Bank musi dysponować dowodami na obronę swych praw. Bank musi mieć dowody na zabezpieczenie swoich praw na wypadek ewentualnych roszczeń związanych z prowadzoną działalnością gospodarczą.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje
Zgodnie z art. 1 § 1 i § 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (Dz. U. Nr 153, poz. 1269 ze zm.) oraz art. 3 § 1 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (tekst jedn. Dz. U. z 2012 r., poz. 270 ze zm.) sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej. Polega ona na kontroli legalności, tj. zgodności zaskarżonego aktu z przepisami postępowania administracyjnego, a także prawidłowości zastosowania i wykładni norm prawa materialnego. Aby wyeliminować z obrotu prawnego akt wydany przez organ administracyjny konieczne jest stwierdzenie, że doszło w nim do naruszenia bądź przepisu prawa materialnego w stopniu mającym wpływ na wynik sprawy, bądź przepisu postępowania w stopniu mogącym mieć istotny wpływ na wynik sprawy albo też przepisu prawa dającego podstawę do wznowienia postępowania (art. 145 § 1 pkt 1 lit. a - c P.p.s.a.). Uwzględnienie skargi następuje również w przypadku stwierdzenia, że zaskarżony akt jest dotknięty jedną z wad wymienionych w art. 156 K.p.a. (art. 145 § 1 pkt 2 P.p.s.a.).
Stosownie do art. 134 § 1 P.p.s.a. sąd dokonując oceny zaskarżonego aktu rozstrzyga w granicach danej sprawy, nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną. Sąd nie może wydać orzeczenia na niekorzyść skarżącego, chyba że stwierdzi naruszenie prawa skutkujące stwierdzeniem nieważności zaskarżonego aktu lub czynności (§ 2).
W ocenie Sądu, skarga analizowana w świetle powyższych kryteriów, zasługuje na uwzględnienie, jednakże zasadniczo z innych powodów, aniżeli w niej podniesione.
W pierwszej kolejności zauważyć należy, że nie ma racji skarżący twierdząc, iż wniosek Banku o ponowne rozpatrzenie sprawy został złożony z naruszeniem terminu, o którym mowa w art. 129 § 2 w zw. z art. 127 § 3 K.p.a. Z akt sprawy wynika bowiem, że decyzja Generalnego Inspektora z dnia [...] maja 2012 r. została doręczona Bankowi w dniu [...] października 2012 r. (k. 30a akt admin.), a nie - jak błędnie wskazał organ w uzasadnieniu zaskarżonej decyzji - w dniu [...] maja 2012 r. Natomiast wniosek Banku o ponowne rozpatrzenie sprawy złożony został w dniu [...] października 2012 r. (data nadania w placówce Poczty Polskiej - k. 33 akt admin.), tj. w terminie 14 dni od daty doręczenia ww. decyzji. Brak było zatem podstaw do uznania, że zaskarżona decyzja została wydana z rażącym naruszeniem art. 127 § 3 K.p.a. i jako taka winna podlegać wyeliminowaniu z obrotu prawnego na podstawie art. 145 § 2 P.p.s.a w zw. z art. 156 § 1 pkt 2 K.p.a.
Przechodząc do oceny legalności zaskarżonej decyzji podkreślić należy, że postępowanie w przedmiotowej sprawie zostało przeprowadzone na podstawie przepisów Kodeksu postępowania administracyjnego - stosownie do dyspozycji art. 22 U.o.d.o. Istotą postępowania administracyjnego jest zasada dwuinstancyjności wyrażona w art. 15 K.p.a., która wyraża regułę, że wszystkie decyzje nieostateczne mogą być na wniosek osoby uprawnionej zaskarżane do organu administracji publicznej wyższego stopnia nad organem, który wydał zaskarżoną decyzję. Istota tej zasady polega zatem na dwukrotnym rozpatrzeniu i rozstrzygnięciu przez dwa różne organy tej samej sprawy wyznaczonej treścią zaskarżonego rozstrzygnięcia. Zasada dwuinstancyjności postępowania doznaje ograniczenia w przepisie art. 21 ust. 1 U.o.d.o., który stanowi, że strona może zwrócić się do Generalnego Inspektora z wnioskiem o ponowne rozpatrzenie sprawy zakończonej decyzją nieostateczną wydaną na podstawie art. 12 pkt U.o.d.o.
Ograniczenie to jednak, jakkolwiek skutkuje rozpoznaniem środka zaskarżenia przez ten sam organ, który wydał zaskarżoną decyzję, nie może prowadzić do zaniechania dopełnienia przez tenże organ obowiązku ponownego przeprowadzenia pełnego, merytorycznego postępowania, ponownej oceny dowodów, przeanalizowania w sposób rzeczowy wszelkich argumentów i opinii, a w konsekwencji wydania rozstrzygnięcia, które najlepiej odpowiadać będzie prawu, interesowi publicznemu i słusznym interesom strony (art. 7, art. 77 § 1, art. 107 § 3 K.p.a.). Obowiązek organu dwukrotnego, merytorycznego rozpatrzenia sprawy w jej całokształcie nabiera szczególnie istotnego znaczenia w sytuacji, gdy na skutek wniosku o ponowne rozpatrzenie sprawy organ podejmuje rozstrzygnięcie, mocą którego uchyla zaskarżoną decyzję w całości i orzeka odmiennie co do istoty sprawy korzystając z uprawnień reformatoryjnych określonych w art. 138 § 1 pkt 2 K.p.a. W takim przypadku, na organie spoczywa obowiązek jak najstaranniejszego wyjaśnienia faktycznej i prawnej podstawy rozstrzygnięcia, stosownie do wymogów określonych w art. 107 § 3 K.p.a. Uzasadnienie decyzji musi być spójne wewnętrznie, logiczne i ścisłe, co oznacza, że nie może zawierać luk i sprzeczności.
Brak należytego uzasadnienia decyzji utrudnia kontrolę jej legalności, gdyż uniemożliwia rekonstrukcję zasadniczego ogniwa procesu stosowania prawa przez organ. Obowiązek uzasadnienia decyzji wypływa także z zasad ogólnych wyrażonych w art. 9 K.p.a. (zasada informowania), art. 11 K.p.a. (zasada przekonywania, czyli wyjaśniania stronie "zasadności przesłanek" rozstrzygnięcia) oraz art. 8 K.p.a. (zasada pogłębiania zaufania uczestników postępowania do władzy publicznej). Respektowanie ostatniej z ww. zasad jest szczególnie istotne w sprawie, w której uczestnicy postępowania reprezentują rozbieżne lub sprzeczne ze sobą interesy. W takim przypadku rola uzasadnienia decyzji polega na tym, aby przekonać stronę, że jej stanowisko zostało poważnie wzięte pod uwagę, a jeżeli zapadło inne rozstrzygnięcie, to przyczyną tego są istotne powody.
W ocenie Sądu zaskarżona decyzja została wydana z naruszeniem ww. przepisów postępowania administracyjnego w stopniu mogącym mieć istotny wpływ na wynik sprawy, a w konsekwencji jej uzasadnienie nie spełnia wymogów określonych w art. 107 § 3 K.p.a. z powodów poniżej przedstawionych.
Przedmiotowa sprawa, co należy zaznaczyć, została zainicjowana skargą M.I. z dnia [...] sierpnia 2011 r. na przetwarzanie przez Bank jego danych osobowych zawartych we wniosku o kredyt hipoteczny złożony w czerwcu 2011 r. Skarżący zażądał od organu usunięcia danych osobowych pozyskanych przez Bank w związku ze złożeniem ww. wniosku argumentując, iż wniosek o udzielenie kredytu został negatywnie załatwiony przez Bank. Wyraźnie wskazał: "(...) nie istnieją podstawy prawne aby Bank nadal przetwarzał moje dane osobowe dotyczące wniosku kredytowego". Skarga ta, w ocenie Sądu, jest jednoznaczna w swej treści, zaś żądanie skarżącego nie budzi wątpliwości co do jego zakresu przedmiotowego.
Powołane w skardze dane osobowe - jak ustalił organ - obejmują: imię i nazwisko skarżącego, dane adresowe, nr PESEL, seria i numer dowodu osobistego oraz dane z dowodu osobistego, nazwisko rodowe matki, numer NIP, miejsce urodzenia, data urodzenia, kraj zamieszkania, obywatelstwo, seria i numer paszportu, numer telefonu, adres e-mail, informacje o sytuacji zawodowej/zatrudnieniu, informacje o sytuacji finansowej/dochodach, informacje o sytuacji rodzinno-majątkowej, dane dotyczące produktów bankowych, dane z raportu pobranego z BIK.
Obowiązkiem organu było zatem dokonanie oceny, w oparciu o przepisy ustawy o ochronie danych osobowych, czy Bank przetwarza dane osobowe skarżącego - w zakwestionowanym przez niego zakresie - w sposób legalny oraz czy żądanie skarżącego w świetle faktycznych i prawnych okoliczności sprawy jest uzasadnione.
Wydając decyzję nr [...] z dnia [...] maja 2012 r. na podstawie m.in. art. 18 ust. 1 U.o.d.o., organ nakazał Bankowi wyeliminowanie nieprawidłowości w procesie przetwarzania danych osobowych skarżącego poprzez usunięcie jego danych osobowych zawartych we wniosku o kredyt hipoteczny. Swoje stanowisko organ obszernie uzasadnił wskazując w szczególności, iż przesłanka legalizująca przetwarzanie danych określona w art. 23 ust. 1 pkt 5 U.o.d.o. nie została spełniona, bowiem umowa w sprawie udzielenia skarżącemu kredytu hipotecznego przez Bank nie została zawarta z powodu negatywnego załatwienia wniosku kredytowego. W takiej sytuacji przetwarzanie danych osobowych skarżącego nie jest niezbędne do realizacji usprawiedliwionego celu administratora danych, a zatem odbywa się bez podstawy prawnej.
Na skutek wniosku Banku o ponowne rozpatrzenie sprawy organ wydał decyzję nr [...] z dnia [...] kwietnia 2013 r., którą uchylił ww. decyzję z dnia [...] maja 2012 r. w całości i odmówił uwzględnienia wniosku w sprawie skargi M.I. na przetwarzanie danych. Orzekł zatem odmiennie co do istoty sprawy oceniając uchyloną decyzję jako nieprawidłową. Korzystając z uprawnień reformatoryjnych organ nie dopełnił jednak omówionych wyżej obowiązków wynikających z art. 138 § 1 pkt 2 w zw. z art. 107 § 3 K.p.a.
W uzasadnieniu decyzji organ stwierdził, iż przesłankę legalizującą przetwarzanie danych osobowych skarżącego przez Bank stanowi art. 23 ust. 1 pkt 2 U.o.d.o. wskazując, że podstawą realizacji obowiązku wynikającego z przepisu prawa, o której mowa w ww. przepisie, jest ustawa o rachunkowości. Zauważyć należy, co akcentował również uczestnik postępowania m.in. w piśmie procesowym z dnia [...] lipca 2013 r., że przepis art. 74 ust. 2 pkt 8 U.o.r. uprawnia do przechowywania danych osobowych klientów związanych z posiadanymi przez nich produktami bankowymi. Nie stanowi jednak podstawy do przechowywania danych osobowych skarżącego pozyskanych przez Bank w związku ze złożeniem wniosku o udzielenie kredytu hipotecznego. Do tych danych nie mają bowiem zastosowania przepisy ustawy o rachunkowości dotyczące przechowywania dokumentacji księgowej, w tym pozostałych dowodów księgowych i dokumentów w rozumieniu art. 74 ust. 2 pkt 8 U.o.r..
W tym miejscu ponownie zwrócić należy uwagę na zakres przedmiotowy skargi M.I. z dnia [...] sierpnia 2011 r. Skarżący nie domagał się od organu usunięcia danych osobowych przechowywanych przez Bank w związku z posiadanymi (ówcześnie) produktami bankowymi, lecz usunięcia danych pozyskanych w związku ze złożeniem wniosku kredytowego. Treść żądania skarżącego, wiążąca dla organu w myśl art. 61 § 1 K.p.a., wyznaczyła zatem przedmiot niniejszego postępowania. W związku z powyższym, wszelka argumentacja organu zawarta w uzasadnieniu zaskarżonej decyzji, która wykracza poza przedmiot postępowania, pozostaje bez znaczenia dla oceny legalności zaskarżonej decyzji i stanowi w istocie o naruszeniu wymogów określonych w art. 107 § 3 K.p.a.
W dalszej części uzasadnienia zaskarżonej decyzji organ stwierdził, iż zakres przetwarzanych przez Bank danych osobowych skarżącego jest zgodny z zakresem wskazanym w przepisach rozporządzenia Ministra Finansów z dnia 27 marca 2007 r. w sprawie szczegółowego zakresu przetwarzanych informacji dotyczących osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów oraz trybu usuwania tych informacji (Dz. U. Nr 56, poz. 373). Rozporządzenie to, w myśl § 1 określa: (1) szczegółowy zakres przetwarzanych informacji dotyczących osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, (2) tryb usuwania tych informacji.
Z kolei przepis § 4 ust. 1 stanowi, iż w dniu wygaśnięcia zobowiązania osoby fizycznej bank lub instytucja ustawowo upoważniona do udzielania kredytów są obowiązane wprowadzić do zbioru, w którym przetwarzane są informacje, komunikat dotyczący daty usunięcia informacji. W dniu określonym w komunikacie bank lub inna instytucja ustawowo upoważniona do udzielania kredytów są obowiązane usunąć informacje ze zbioru (ust. 2). W świetle powyższego zgodzić należy się ze skarżącym, że ww. rozporządzenie nie ma zastosowania w niniejszej sprawie. Dotyczy ono zakresu i trybu usuwania danych i informacji dotyczących osób fizycznych w sytuacji po wygaśnięciu zobowiązania wynikającego z umowy kredytowej zawartej z bankiem, nie zaś w sytuacji, gdy - jak w przedmiotowej sprawie - umowa kredytowa nie została zawarta z powodu negatywnego rozpatrzenia wniosku.
Następnie, uzasadniając podjęte rozstrzygniecie, organ powołał opinię Urzędu Komisji Nadzoru Finansowego z dnia [...] lipca 2012 r. Przytaczając fragment treści tejże opinii organ w żaden sposób nie dokonał jej oceny. Nie wyjaśnił, z jakich powodów uznaje tę opinię za mającą istotne znaczenie dla rozstrzygnięcia sprawy. Analiza akt sprawy prowadzi - w ocenie Sądu - do wniosku, że powyższa opinia została załączona do materiału dowodowego w dniu [...] lipca 2012 r. Z uzasadnienia decyzji z dnia [...] maja 2012 r. nie wynika, aby była ona na odnośnym etapie przedmiotem oceny organu. Stanowi zatem nowy element materiału dowodowego, który winien podlegać swobodnej ocenie w myśl art. 80 K.p.a. Opinia ta, ze swej istoty, nie ma wiążącego w sprawie charakteru. Nie zawiera też stanowiska, które byłoby sformułowane w sposób stanowczy. Z jej treści zasadniczo wynika, że decyzja o zakresie i potrzebie przechowywania dokumentów po odmowie udzielenia kredytu należy do banku, przy czym - w ocenie UKNF - nie ma przeszkód, aby wniosek kredytowy wraz z załącznikami, które miały znaczenie dla podjęcia negatywnej decyzji kredytowej, pozostał w banku i podlegał archiwizacji.
Zauważyć należy, że stanowisko UKNF odnośnie "braku przeszkód" dla przechowywania danych osób, którym odmówiono udzielenia kredytu nie jest wystarczające dla uznania zasadności podjętego przez organ rozstrzygnięcia. Nie może bowiem zastąpić uzasadnienia prawnego decyzji, z którego powinno wynikać w sposób jednoznaczny, na jakiej podstawie i z jakich powodów organ uznał, że przetwarzanie przez Bank danych skarżącego pozyskanych w związku z wnioskiem kredytowym znajduje oparcie (bądź nie) w przepisach U.o.d.o.
Końcowo, w uzasadnieniu zaskarżonej decyzji organ powołał przesłankę określoną w art. 23 ust. 1 pkt 5 U.d.i.p. jako podstawę przetwarzania przez Bank danych osobowych wnioskodawców, którym bank odmówił udzielenia kredytu. Swego stanowiska w tym względzie jednak nie uzasadnił poprzestając w zasadzie na przytoczeniu treści wymienionego przepisu. Powołał przy tym pismo Banku z dnia 6 lipca 2011 r. na potwierdzenie okoliczności, że skarżący został poinformowany o pozostawieniu przez Bank dla wyraźnie określonych celów, w razie odmowy udzielenia kredytu, dotyczących go danych osobowych, a tym samym, że przetwarzanie danych osobowych skarżącego nie narusza jego praw i wolności.
Zauważyć należy, że ww. pismo zostało skierowane do skarżącego (w odpowiedzi na wniosek z dnia [...] czerwca 2011 r. o usunięcie danych osobowych) po otrzymaniu przez niego informacji o negatywnym rozpatrzeniu wniosku kredytowego. Jak wynika z akt sprawy oraz z wyjaśnień skarżącego złożonych do protokołu rozprawy w dniu 5 lutego 2014 r., było to pierwsze pismo Banku informujące o przetwarzaniu jego danych pozyskanych w związku ze złożeniem wniosku kredytowego. Z powyższego wynika, że skarżący nie posiadał wiedzy, że Bank będzie przetwarzał jego dane również w sytuacji negatywnego rozpatrzenia wniosku. Zauważa to również organ w uzasadnieniu decyzji z dnia [...] maja 2012 r. wskazując, że "skarżący podniósł (...), iż nie udostępniłby swoich danych osobowych Bankowi, gdyby przed ich udostępnieniem dysponował informacją, że także w razie niezawarcia z nim umowy Bank w dalszym ciągu będzie je przetwarzał".
Tym bardziej zatem wątpliwości budzi ww. stanowisko organu, że sam fakt skierowania do skarżącego pisma z dnia [...] lipca 2011 r. (po podjęciu decyzji o odmowie udzielenia kredytu, a nie "w razie odmowy udzielenia kredytu") stanowi o spełnieniu przesłanki z art. 23 ust. 1 pkt 5 in fine U.o.d.o. Wątpliwości budzi również stanowisko organu, czy dane osobowe skarżącego zostały pozostawione "dla wyraźnie określonych celów" w sytuacji, gdy w piśmie z dnia [...] lipca 2011 r. Bank wskazał jedynie na "konieczność zabezpieczenia praw Banku na wypadek ewentualnych roszczeń klientów".
Wskazane powyżej braki i wadliwości uzasadnienia zaskarżonej decyzji zadecydowały o konieczności jej uchylenia. Podkreślić należy, że prawidłowe uzasadnienie decyzji stanowi jeden z warunków sine qua non skutecznej jej kontroli przez sąd administracyjny. Organ nie może "przerzucać" na sąd ciężaru uzasadnienia prawidłowości przyjętego stanowiska, czy też zajęcia stanowiska w określonym zakresie. Obowiązkiem organu jest nie tylko przytoczenie treści mających w sprawie zastosowanie przepisów prawa, ale również dokonanie wykładni tychże przepisów oraz kwalifikacji prawnej stanu faktycznego sprawy do sformułowanej w wyniku wykładni normy prawnej. Obowiązków tych w rozpatrywanej sprawie organ nie dopełnił. Nie wyjaśnił, z jakich powodów doszedł do przekonania, że przetwarzanie przez Bank danych osobowych skarżącego, pozyskanych w wyniku złożenia wniosku kredytowego, jest uzasadnione w świetle art. 23 ust. 1 pkt 5 U.o.d.o.
Dodatkowo, mając na względzie wyjaśnienia organu zawarte w decyzji z dnia [...] kwietnia 2013 r., Sąd zauważa, że należytego uzasadnienia zaskarżonej decyzji nie zastąpi powoływanie się przez organ na fakt doręczenia stronom postępowania "nieprawidłowej decyzji" z dnia [...] maja 2012 r. Decyzja ta, w myśl art. 110 k.p.a., została wprowadzona do obrotu i wywołała określone skutki prawne kształtując w określony sposób sytuację prawną stron postępowania. Wydając zatem rozstrzygnięcie reformatoryjne organ winien w sposób szczególnie staranny i rzetelny uzasadnić swoje stanowisko czyniąc zadość wymogom z art. 107 § 3 w zw. z art. 11 K.p.a.
Ponownie rozpatrując sprawę organ uwzględni powyższe uwagi. Zważy - w następstwie wszechstronnego rozpatrzenia materiału dowodowego, przy uwzględnieniu wszystkich zarzutów i argumentów stron postępowania - czy przetwarzanie przez Bank danych osobowych skarżącego, pozyskanych w związku ze złożeniem wniosku kredytowego, znajduje umocowanie w świetle art. 23 ust. 1 pkt 5 U.o.d.o., zgodnie z którym przetwarzanie danych jest dopuszczalne tylko wtedy, gdy jest niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą.
Powyższy przepis, co należy podkreślić, na pierwszym miejscu wymienia warunek, że przetwarzanie danych winno być "niezbędne" do wykonania zadań. Warunek niezbędności zachodzi wówczas, gdy rezygnacja z przetwarzania danych osobowych uniemożliwia lub w znacznym stopniu utrudnia wykonanie zadań. Niedopuszczalne jest więc przetwarzanie danych osobowych "na zapas" i w zakresie szerszym niż jest to usprawiedliwione celami realizowanymi przez administratora danych. Odnośnie przesłanki "prawnie usprawiedliwionych celów" ustawodawca próbę ich zdefiniowania podjął w art. 23 ust. 4 U.o.d.o. gdzie za prawnie usprawiedliwiony cel uważa się w szczególności: (1) marketing bezpośredni własnych produktów, (2) dochodzenie roszczeń z tytułu prowadzonej działalności gospodarczej. Wyliczenie to ma charakter przykładowy, zatem ustalając wystąpienie tej przesłanki organ winien każdorazowo ocenić, w świetle aktów prawnych określających rodzaj działalności administratora danych, czy realizowane cele (rzeczywiste i konkretne) uprawniają go do przetwarzania danych.
W realiach niniejszej sprawy organ powinien ocenić, czy w sytuacji, gdy wniosek kredytowy złożony przez skarżącego został rozpatrzony negatywnie, umowa o kredyt hipoteczny nie została zawarta, zaś ani Bank ani skarżący nie występował z jakimikolwiek roszczeniami z tego tytułu (v. protokół rozprawy), istnieją podstawy do uznania, że spełniona została przesłanka "prawnie usprawiedliwionego celu" określona w art. 23 ust. 4 pkt 2 U.o.d.o. Dokonując oceny okoliczności sprawy w świetle art. 23 ust. 1 pkt 5 U.o.d.o. organ winien wziąć również pod uwagę zasadę celowości, o której mowa w art. 26 ust. 1 pkt 2 i 3 U.o.d.o. W myśl tej zasady przetwarzanie i wykorzystanie danych powinno następować tylko w tym celu, dla którego dane te zostały pozyskane (zgromadzone), nie mogą być więc wykorzystane dla innych celów. Organ winien również zbadać, mając na względzie poczynione wyżej uwagi, czy przetwarzanie danych osobowych skarżącego nie naruszało jego praw i wolności. Dokonanie oceny w tym względzie jest niezbędne przy przyjęciu przesłanki legalizującej przetwarzanie danych z art. 23 ust. 1 pkt 5 U.o.d.o.
Mając na względzie wszystko powyższe, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 145 § 1 pkt 1 lit. c) P.p.s.a., orzekł jak w pkt 1 sentencji wyroku. O wykonalności zaskarżonej decyzji Sąd orzekł na mocy art. 152 P.p.s.a. jak w pkt 2 sentencji wyroku. O kosztach postępowania orzekł w oparciu o art. 200 i 205 § 1 P.p.s.a., jak w pkt 3 sentencji.