Uzasadnienie
W dniu [...] kwietnia 2014 r. do Generalnego Inspektora Ochrony Danych Osobowych (dalej: "GIODO") wpłynęła skarga W. P. (dalej: "skarżący") z [...] kwietnia 2014 r. na przetwarzanie jego danych osobowych przez [...] S.A. z siedzibą w [...] (dalej: "[...]") oraz na przetwarzanie jego nieaktualnych danych przez [...] z siedzibą w [...] (dalej: "[...]") znajdujących się w aktach sprawy o sygn. [...] prowadzonej w Sądzie Rejonowym w [...] ([...] Wydział Cywilny).
Zdaniem skarżącego, [...] udostępnił jego dane osobowe na rzecz podmiotu [...], który "bezpodstawnie i w celu uzyskania nienależnych korzyści majątkowej" wezwał go [...] października 2010 r. do zapłaty kwoty 174.827,77 zł. Wezwanie to znajduje się w aktach sprawy o sygn. [...] i zainicjowało wydanie względem skarżącego nakazu zapłaty na rzecz [...]. W ocenie skarżącego, fakt, iż [...] był cesjonariuszem, nie zwalnia go od przestrzegania obowiązujących przepisów w zakresie ochrony danych osobowych jak i dóbr osobistych osób trzecich.
W piśmie z [...] czerwca 2014 r. skarżący sprecyzował, że żąda od GIODO przywrócenia stanu zgodnego z prawem, tj. usunięcia jego danych osobowych z zasobów [...] oraz – w odniesieniu do [...] - sprostowania jego danych w aktach sprawy o sygn. [...] (znajdującej się w [...] Wydziale Cywilnym Sądu Rejonowego w [...]).
W toku postępowania zainicjowanego powyższą skargą, GIODO ustalił, że [...] nabył wierzytelność, obejmującą zadłużenie skarżącego, od [...] S.A. z siedzibą w [...] na podstawie umowy sprzedaży wierzytelności (cesji) z [...] czerwca 2009 r. W dacie zawarcia tej umowy [...] z był reprezentowany przez [...]S.A. z siedzibą w [...] (dalej: "[...]"). Nadto [...] zawarł umowę o świadczenie pomocy prawnej z Kancelarią Prawną [...]., w której zawód radcy prawnego wykonuje A. S.. W dniu [...] czerwca 2009 r. [...] (reprezentowany przez "[...]") udzielił radcy prawnemu A. S. pełnomocnictwa do reprezentowania [...] przed sądami, organami egzekucyjnymi i organami administracji publicznej w zakresie nabytych przez [...]sekurytyzowanych wierzytelności, a także do dokonywania w imieniu i na rzecz [...] czynności prawnych.
Do udostępnienia danych osobowych skarżącego przez [...] na rzecz [...] doszło w oparciu o zapisy umowy z [...] lutego 2006 r. (łączącej ww. podmioty) o obsługę sekurytyzowanych wierzytelności, będącej jednocześnie umową powierzenia danych osobowych z art. 31 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r., poz. 922 ze zm.; dalej: "u.o.d.o. z 1997 r."). Na mocy tej umowy [...] przekazał [...] dane osobowe skarżącego celem podejmowania czynności faktycznych i prawnych zmierzających do odzyskania wierzytelności [...] powstałej w ramach prowadzonej przez [...] działalności uregulowanej w ustawie z dnia [...] maja 2004 r. o funduszach inwestycyjnych.
Przekazane dane osobowe skarżącego obejmowały jego imię i nazwisko, adres zamieszkania, numer ewidencyjny PESEL, numer dowodu osobistego, numer telefonu, a także dane dotyczące zadłużenia, w tym rodzaj produktu, datę zawarcia umowy, datę ostatniej płatności, datę wymagalności, łączną wartość zadłużenia, kwotę kapitału, kwotę odsetek, kwotę odsetek karnych, kwotę opłat, kwotę kosztów.
Powyższe dane osobowe skarżącego są przetwarzane przez [...] w zbiorze danych osobowych o nazwie "Zbiór danych osobowych - [...]", wyłącznie w celu i zakresie niezbędnym do wypełnienia jego prawnie usprawiedliwionego celu, tj. dochodzenia roszczeń z tytułu prowadzonej działalności gospodarczej.
GIODO ustalił też, że [...] grudnia 2012 r. nastąpiła zmiana towarzystwa funduszy inwestycyjnych reprezentującego [...]. Z tym dniem podmiotem upoważnionym do jego reprezentowania stał się [...]. Również [...] grudnia 2012 r. [...] (reprezentowany przez [...]) udzielił radcy prawnemu U.K., zatrudnionej w Kancelarii Prawnej [...] pełnomocnictwa w takim samym zakresie jak w przypadku pełnomocnictwa udzielonego uprzednio radcy prawnemu A. S..
W oparciu o poczynione ustalenia GIODO decyzją z [...] grudnia 2014 r., na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2018 r., poz. 2096 ze zm.; dalej: "k.p.a.") oraz art. 12 pkt 2, art. 22, art. 23 ust. 1 pkt 5 i art. 31 u.o.d.o. z 1997 r., odmówił uwzględnienia wniosku zawartego w skardze skarżącego.
W uzasadnieniu rozstrzygnięcia GIODO wyjaśnił na wstępie, że nie badał kwestii istnienia lub nieistnienia wierzytelności, ani jej wysokości. Są to bowiem sprawy cywilne w rozumieniu art. 1 ustawy z dnia 17 listopada 1964 r. Kodeks postępowania cywilnego (Dz. U. z 2014 r., poz. 101 ze zm.) i powinny być rozpatrywane w postępowaniach prowadzonych przez sądy powszechne.
Powołując się na przepisy art. 31 u.o.d.o. z 1997 r., organ wskazał, iż [...] pozyskał dane osobowe skarżącego w związku z zawartą [...] czerwca 2009 r. z bankiem umową cesji wierzytelności. Podkreślił, że zgodnie z art. 509 § 1 ustawy z dnia 23 kwietnia 1964 r. Kodeks cywilny (Dz. U. z 2014 r., poz. 121 ze zm.; dalej: "k.c."), wierzyciel może bez zgody dłużnika przenieść wierzytelność na osobę trzecią (przelew), chyba że sprzeciwiałoby się to ustawie, zastrzeżeniu umownemu albo właściwości zobowiązania. Z § 5 ww. umowy, zatytułowanego "Przekazanie danych osobowych", wynika, iż jest to jednocześnie umowa przekazania zbioru danych osobowych dłużników oraz dłużników z zabezpieczeń. Zbywca, czyli bank, przekazuje zbiór danych osobowych w rozumieniu ustawy o ochronie danych osobowych, a nabywca, czyli [...] staje się administratorem tego zbioru. Według § 5 pkt 4 umowy, zbywca ujawnia nabywcy tajemnicę bankową dotyczącą dłużników i dłużników z zabezpieczeń będących przedmiotem sprzedaży, w zakresie określonym umową, na podstawie art. 104 ust. 2 pkt 4 i 5 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz. U. z 2012 r., poz. 1376 ze zm.), ze względu na fakt, iż udzielenie informacji objętych tajemnicą bankową jest niezbędne do zawarcia i wykonania umowy sprzedaży wierzytelności na rzecz [...] oraz, że wierzytelności będące przedmiotem sprzedaży zostały zakwalifikowane zgodnie z odrębnymi przepisami do kategorii straconych.
Przesłankę legalizującą pozyskanie danych osobowych skarżącego przez [...] stanowi przepis art. 23 ust. 1 pkt 5 skorelowany z art. 23 ust. 4 u.o.d.o. z 1997 r. W chwili cesji wierzytelności, [...] stał się administratorem danych osobowych w rozumieniu art. 7 pkt 4 u.o.d.o. z 1997 r., tj. podmiotem decydującym o celach i środkach przetwarzania danych.
GIODO stwierdził, że przetwarzanie danych przez [...] znajduje oparcie w art. 23 ust. 1 pkt. 5 u.o.d.o. z 1997 r., ponieważ jest związane z dochodzeniem roszczeń i zarządzaniem wierzytelnościami.
W kwestii powierzenia danych osobowych skarżącego przez [...] na rzecz [...], GIODO podniósł, iż zezwala na to art. 31 ust. 1 i 2 u.o.d.o. z 1997 r., akcentując, że podmiot, któremu dane powierzono może je przetwarzać wyłącznie w zakresie i celu przewidzianym w umowie. Zdaniem GIODO, łącząca [...] i [...] umowa powierzenia przetwarzania danych osobowych z [...] lutego 2006 r., zarówno z uwagi na jej formę (pisemna), jak i treść (określenie celu, dla realizacji którego będą przetwarzane powierzone dane, tj. obsługa wierzytelności) odpowiada wymogom art. 31 u.o.d.o. z 1997 r.
Reasumując, GIODO nie znalazł podstaw do stwierdzenia, iż dane osobowe skarżącego są przetwarzane przez [...] i [...] w sposób niezgodny z przepisami u.o.d.o. z 1997 r., a zatem nie zaistniała niezbędna przesłanka do wydania decyzji nakazującej przywrócenie stanu zgodnego z prawem.
Odnosząc się do żądania "uaktualnienia danych osobowych skarżącego znajdujących się w dokumentacji sprawy [...], w [...] Wydziale Cywilnym Sądu Rejonowego w [...]", GIODO wyjaśnił, że jako organ administracyjny nie może ingerować w postępowanie prowadzone przez niezawisły sąd, w tym dokonywać jakiejkolwiek modyfikacji dowodów w niej zebranych (np. dokumentów).
We wniosku o ponowne rozpatrzenie sprawy zakończonej ww. decyzją GIODO, skarżący podał, że zawarte w niej stwierdzenia odnośnie prawidłowego przetwarzania jego danych przez [...] "są na pewno prawdziwe, ale nie zostały >>uwidocznione<< dla strony postępowania w październiku 2010 r."
Decyzją z [...] czerwca 2019 r., na podstawie art. 138 § 1 k.p.a. oraz art. 160 ust. 1, ust. 2 i ust. 3 ustawy o ochronie danych osobowych z dnia 10 maja 2018 r. (Dz. U. z 2018 r., poz. 1000 ze zm.; dalej: "u.o.d.o. z 2018 r."), a także art. 12 pkt 2 i art. 22 u.o.d.o. z 1997 r., Prezes Urzędu Ochrony Danych Osobowych (dalej: Prezes UODO"), utrzymał w mocy decyzję GIODO z [...] grudnia 2014 r.
W uzasadnieniu decyzji drugoinstancyjnej Prezes UODO w pełni zaaprobował stanowisko wyrażone w decyzji GIODO z powołaniem tej samej argumentacji.
W skardze do Wojewódzkiego Sądu Administracyjnego w Warszawie na decyzję Prezesa UODO skarżący wniósł o jej uchylenie i ponowne rozpoznanie jego żądania (zawartego w skardze z [...] kwietnia 2014 r.) na kanwie przepisów, do których odwołano się w zaskarżonej decyzji.
W uzasadnieniu skargi skarżący wyraził przekonanie, że jego dane osobowe są przetwarzane po [...] czerwca 2009 r. przez [...] i [...] niezgodnie z prawem, a dowody bezprawnego działania tych podmiotów stanowią dokumenty znajdujące się w sprawie [...] prowadzonej w Sądzie Rejonowym w [...], [...] Wydział
Cywilny.
Powołując się na uchwałę Naczelnego Sądu Administracyjnego (dalej: "NSA") w składzie siedmiu sędziów z 6 czerwca 2005 r., sygn. akt I OPS 2/05, a także art. 23 ust. 1 pkt 5 u.o.d.o. z 1997 r. oraz art. 509 § 1 i art. 510 §1 k.c., skarżący wskazał, iż celem jego skargi nie jest negowanie prawomocnego orzeczenia Sądu wydanego w postępowaniu cywilnym, lecz ocena na drodze administracyjnej, czy podmiot dochodząc roszczenia w oparciu o przepisy prawa cywilnego, zachował należytą staranność, by nie uchybić przepisom ustawy o ochronie danych osobowych.
Zgodnie z ww. orzeczeniem NSA, przesłanką przetwarzania danych osobowych przez administratora bez zgody osoby, której dane te dotyczą, jest w niniejszej sprawie przelew wierzytelność, który otwiera drogę do uzyskania uprawnień do dochodzenia roszczenia na drodze przepisów cywilnych. Takim postępowaniem, w którym doszło do ujawnienia i administrowania jego danych osobowych jest sprawa o sygn. akt [...].
Skarżący przyznał, że w aktach niniejszej sprawy aktach znajduje się umowa cesji z [...] czerwca 2009 r., lecz ten dokument został przedłożony w wyniku skargi do GIODO, podczas gdy był niezbędny w sprawie o sygn. akt [...], aby wskazać dłużnikowi podstawę do administrowania jego danymi w zakresie niezbędnym do realizacji celu.
W odpowiedzi na skargę Prezes UODO wniósł o oddalenie skargi, podtrzymując argumentację wyrażoną w uzasadnieniu zaskarżonej decyzji.
W piśmie z [...] września 2019 r. pełnomocnik uczestników postępowania: [...] i (reprezentującego [...]) [...] S.A. z siedzibą w [...] wniósł o oddalenie skargi. Podkreślił, że [...] w sposób legalny wszedł w posiadanie danych osobowych skarżącego w związku z zawarciem [...] czerwca 2009 r. umowy sprzedaży wierzytelności z bankiem. Ponadto [...] przetwarzał dane osobowe skarżącego na podstawie umowy powierzenia przetwarzania danych osobowych w związku z dochodzeniem od skarżącego spłaty zadłużenia względem [...]. W celu dochodzenia spłaty zadłużenia od swoich dłużników, [...] zawarł [...] lutego 2006 r. z [...] umowę o obsługę sekurytyzowanych wierzytelności, na mocy której [...] zostały powierzone dane osobowe skarżącego do przetwarzania. Pełnomocnik uczestników postępowania zaakcentował, iż podstawa dochodzenia od skarżącego spłaty zadłużenia, a tym samym przetwarzania jego danych osobowych, została przesądzona uzyskanym przez [...] tytułem wykonawczym w sprawie przeciwko skarżącemu o zapłatę o sygn. akt [...].
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje
Na wstępie wyjaśnić należy, że z dniem wejścia w życie u.o.d.o. z 2018 r., tj. 25 maja 2018 r., Biuro Generalnego Inspektora Ochrony Danych Osobowych stało się Urzędem Ochrony Danych Osobowych. Stosownie do treści art. 160 ust. 2 u.o.d.o. z 2018 r., postępowania prowadzone przez GIODO, wszczęte i niezakończone przed 25 maja 2018 r. prowadzone są przez Prezesa UODO, na podstawie u.o.d.o. z 1997 r., zgodnie z zasadami określonymi w k.p.a. Natomiast w myśl art. 160 ust. 3 u.o.d.o. z 2018 r., czynności dokonane w postępowaniach, prowadzone przez GIODO, wszczęte i niezakończone przed dniem wejścia w życie u.o.d.o. z 2018 r. pozostają skuteczne.
Skarga podlega oddaleniu, bowiem zaskarżona decyzja Prezesa UODO i utrzymana nią w mocy decyzja GIODO zostały wydane zgodnie z prawem.
Odnosząc się do zarzutów skargi, dostrzec wypada, że skarżący błędnie przyjmuje, iż organy administracji publicznej, wydając decyzje w niniejszej sprawie, opierały się na dokumentacji zgromadzonej w sprawie cywilnej o sygn. akt [...] prowadzonej przed Sądem Rejonowym w [...]. Podkreślić należy, że są to odrębne postępowania, wywołane różnymi zdarzeniami prawnymi. U podstaw sprawy cywilnej legło zadłużenie skarżącego względem [...] (uprzednio – na mocy umowy cesji z [...] czerwca 2009 r. - [...] nabył wierzytelność od [...] S.A. z siedzibą w [...]).
Natomiast postępowanie administracyjne zostało zainicjowane skargą skarżącego na nieprawidłowe przetwarzanie jego danych osobowych przez [...] i [...]. Zauważyć też należy, iż w znacznej części argumentacja skarżącego dotyczy sprawy cywilnej. W tym zakresie trafnie w decyzji pierwszoinstancyjnej wskazano skarżącemu, że organ administracji publicznej nie badał ani wysokości ani nawet faktu istnienia bądź nieistnienia wierzytelności. Nie posiada też uprawnienia do jakiejkolwiek ingerencji w akta postępowania prowadzonego przez sąd powszechny.
Przepisy u.o.d.o. z 1997 r. określały zasady postępowania przy przetwarzaniu danych osobowych przez osoby fizyczne i osoby prawne oraz jednostki organizacyjne niebędące osobami prawnymi, jeżeli przetwarzały dane osobowe w związku z działalnością zarobkową, zawodową lub dla realizacji celów statutowych. Przetwarzaniem danych były wszelkie operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych. Z kolei za dane osobowe uważało się wszelkie informacje dotyczące zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej (art. 6 ust. 1 u.o.d.o. z 1997 r.). Aby przetwarzanie danych osobowych było zgodne z prawem administrator był obowiązany przetwarzać dane osobowe na podstawie przesłanek określonych w art. 23 ust. 1 pkt 1 - 5 (w przypadku tzw. danych zwykłych) lub w oparciu o art. 27 ust. 2 pkt 1-10 u.o.d.o. z 1997 r. (w przypadku tzw. danych szczególnie chronionych).
Stosownie do przepisów art. 31 u.o.d.o. z 1997 r., administrator danych mógł powierzyć innemu podmiotowi, w drodze umowy zawartej na piśmie, przetwarzanie danych (ust. 1). Podmiot, o którym mowa w ust. 1, mógł przetwarzać dane wyłącznie w zakresie i celu przewidzianym w umowie (ust. 2). Ponadto podmiot, o którym była mowa w ust. 1, był obowiązany przed rozpoczęciem przetwarzania danych podjąć środki zabezpieczające zbiór danych, o których była mowa w art. 36-39, oraz spełnić wymagania określone w przepisach, o których była mowa w art. 39a. W zakresie przestrzegania tych przepisów podmiot ponosił odpowiedzialność jak administrator danych (ust. 3). W przypadkach, o których była mowa w ust. 1-3, odpowiedzialność za przestrzeganie przepisów niniejszej ustawy spoczywała na administratorze danych, co nie wyłączało odpowiedzialności podmiotu, który zawarł umowę, za przetwarzanie danych niezgodnie z tą umową (ust. 4). Do kontroli zgodności przetwarzania danych przez podmiot, o którym mowa w ust. 1, z przepisami o ochronie danych osobowych stosowało się odpowiednio przepisy art. 14-19 u.o.d.o. z 1997 r. (ust. 5).
Sąd stwierdza, że wymogi określone w wyż. cyt. przepisach spełniają postanowienia [...] umowy z [...] lutego 2006 r. zawartej pomiędzy [...] i [...] o obsługę sekurytyzowanych wierzytelności, zatytułowanego "Przetwarzanie danych osobowych".
Z akt administracyjnych sprawy wynika, że [...] uzyskał dane osobowe skarżącego na podstawie umowy cesji wierzytelności z dnia [...]czerwca 2009 r. zawartej z [...] S.A. z siedzibą w [...]. Zgodnie z zapisami § 3 ww. umowy [...] kupił bezsporne i wymagalne wierzytelności pieniężne, wynikające z dokonanych przez bank czynności, w tym czynności bankowych. Przedmiotowe wierzytelności [...] nabył wraz ze wszelkimi zabezpieczeniami i prawami z nimi związanymi, w szczególności roszczeniami o zaległe odsetki, koszty i kary.
W § 5 zatytułowanym "Przekazanie danych osobowych" w pkt 1 podano, że umowa jest jednocześnie umową przekazania zbioru danych osobowych dłużników oraz dłużników z zabezpieczeń. Zbywca (bank), przekazuje zbiór danych osobowych w rozumieniu u.o.d.o. z 1997 r., a nabywca ([...]) staje się administratorem danych w rozumieniu u.o.d.o. z 1997 r. z dniem przeniesienia. Według § 5 pkt 4 umowy, zbywca ujawnia nabywcy tajemnicę bankową dotyczącą dłużników i dłużników z zabezpieczeń będących przedmiotem sprzedaży, w zakresie określonym umową, na podstawie art. 104 ust. 2 pkt 4 i 5 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz. U. z 2012 r., poz. 1376 ze zm.), ze względu na fakt, iż udzielenie informacji objętych tajemnicą bankową jest niezbędne do zawarcia i wykonania umowy sprzedaży wierzytelności na rzecz [...] oraz, że wierzytelności będące przedmiotem sprzedaży zostały zakwalifikowane zgodnie z odrębnymi przepisami do kategorii straconych.
Natomiast § 5 pkt 6 omawianej umowy stanowi, iż przetwarzanie danych osobowych dłużników i dłużników z zabezpieczeń odbywa się na podstawie art. 5 ust. 2 pkt 5 art. 104 ust. 2 pkt 4 ustawy Prawo bankowe w związku z art. 23 ust. 1 pkt 2 i pkt 5 oraz ust. 4 pkt 2 u.o.d.o. z 1997 r., art. 193 ustawy o funduszach inwestycyjnych, a także art. 509 i następne k.c.
W myśl art. 509 § 1 k.c. wierzyciel może bez zgody dłużnika przenieść wierzytelność na osobę trzecią (przelew), chyba że sprzeciwiałoby się to ustawie, zastrzeżeniu umownemu albo właściwości zobowiązania.
W świetle art. 23 ust. 1 pkt 5 u.o.d.o. z 1997 r. przetwarzanie danych jest dopuszczalne, gdy jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Z kolei przepis art. 23 ust. 4 u.o.d.o. z 1997 r. precyzuje, że za prawnie usprawiedliwiony cel, o którym mowa w ust. 1 pkt 5, uważa się w szczególności dochodzenie roszczeń z tytułu prowadzonej działalności gospodarczej. Trafnie organ przywołał stanowisko NSA podjęte w składzie w 7 sędziów w wyroku z 6 czerwca 2005 r., sygn. I OPS 2/05, zgodnie z którym prawnie usprawiedliwiony cel, o którym mowa w art. 23 ust. 1 pkt 5 u.o.d.o. z 1997 r. o ochronie danych osobowych może być oparty także na przepisach prawa cywilnego. Taka właśnie sytuacja miała miejsce w rozpoznawanej sprawie, bowiem [...] przetwarzał dane osobowe skarżącego w ramach dochodzenia roszczeń i zarządzania wierzytelnościami.
Reasumując, organy prawidłowo stwierdziły, że dane osobowe skarżącego były przetwarzane przez [...] i [...] w sposób zgodny z przepisami u.o.d.o. z 1997 r., wobec czego nie było podstaw do wydania decyzji nakazującej przywrócenie stanu zgodnego z prawem.
Mając na uwadze powyższe, Wojewódzki Sąd Administracyjny w Warszawie na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2019 r., poz. 2325 ze zm.) orzekł jak w sentencji wyroku.