Wyrok Wojewódzkiego Sądu Administracyjnego w Warszawiez 29 lipca 2020 r., sygn. akt II SA/Wa 1955/19

Uzasadnienie

Prezes Urzędu Ochrony Danych Osobowych na podstawie art. 104 § 1 k.p.a. w zw. z art. 7 i art. 60 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2018 r. poz. 1000 z późn. zm) oraz art. 6 ust. 1 lit. b) i lit. f), art. 57 ust. 1 lit f) oraz art. 58 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 04.05.2016, str. 1 oraz Dz. Urz. UE L 127 z 23.05.2018 str. 2 ze zm), w dniu [...] lutego 2019 r. wydał decyzję nr [...], którą odmówił uwzględnienia wniosku M. B. w przedmiocie przetwarzania jej danych osobowych przez [...] Bank [...] S. A. z siedzibą w [...], przy ul.[...].

Prezes UODO w uzasadnieniu decyzji podał, że dokonał na podstawie zgromadzonego materiału dowodowego jedynie oceny przetwarzania danych osobowych wnioskodawczyni pod kątem żądania ze skargi nałożenia na Bank obowiązku usunięcia jej danych osobowych, a zatem należało ocenić w postępowaniu, czy istnieją przesłanki do dalszego przetwarzania danych osobowych wnioskodawczyni przez Bank w tym celu.

Przesłanki zgodności z prawem przetwarzania danych osobowych określa art. 6 ust. 1 RODO. Każda z przesłanek określona w tym może stanowić podstawę do przesłania do osoby, której dane dotyczą informacji o zmianach prawa obowiązującego w Polsce, gdy w konkretnym przypadku istnienie takiej przesłanki zostanie wykazane przez administratora.

Podstawę prawną do przetwarzania danych osobowych wnioskodawczyni przez Bank określa art. 6 ust. 1 lit b) przedmiotowego rozporządzenia w zw. z art. 59a ust. 1 pkt 2 i ust. 4 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz. U z 2018 r. poz. 2187 z późn.zm.).

Żądanie usunięcia danych osobowych ma zastosowanie w przypadkach określonych w art. 17 ust. 1 powoływanego rozporządzenia.

W przedmiotowej sprawie, przetwarzanie danych osobowych wnioskodawczyni jest niezbędne do celów, dla których zostały zebrane lub w inny sposób przetwarzane, nie opiera się na podstawie zgody. Wnioskodawczyni nie wniosła sprzeciwu na przetwarzanie jej danych osobowych zgodnie z art. 21 ust. 1 przedmiotowego rozporządzenia. Postępowanie nie wykazało, żeby dane osobowe wnioskodawczyni były przetwarzane niezgodnie z prawem.

W ocenie Prezesa UODO, że aktualnie przetwarzanie danych osobowych wnioskodawczyni przez Bank ma oparcie w art. 6 ust. 1 lit. b) i f) powoływanego rozporządzenia i nie ma podstaw do stwierdzenia, iż dane osobowe wnioskodawczyni są przetwarzane przez Bank w sposób niezgodny z przepisami przedmiotowego rozporządzenia, zatem zaistniała niezbędna przesłanka do wydania decyzji odmawiającej spełnienia żądania wnioskodawczyni, tj. usunięcia jej danych osobowych z Banku.

M. B., reprezentowana przez profesjonalnego pełnomocnika wniosła do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na decyzję Prezesa UODO z dnia [...] lutego 2019 r.

Pełnomocnika skarżącej zarzucił w skardze, że zaskarżona decyzja została wydana z naruszeniem następujących przepisów:

1. 1. art. 78 w zw. z art. 77 § 1 w zw. z art. 80 k.p.a., poprzez niepodjęcie wszelkich czynności niezbędnych do dokładnego wyjaśnienia stanu faktycznego, a w szczególności poprzez nierozpatrzenie w sposób wyczerpujący całego materiału dowodowego, niewyjaśnienie wszystkich okoliczności faktycznych sprawy, nieustalenie czy skarżąca otrzymała pismo Banku z dnia [...] grudnia 2016 r.;
2. 2. art. 7 w zw. z art. 77 § 1 w zw. z art. 107 § 3 k.p.a., poprzez niepodjęcie wszelkich niezbędnych czynności do dokładnego wyjaśnienia stanu faktycznego, a w szczególności poprzez brak odniesienia się przez organ do całości żądania skarżącej zawartej w skardze z dnia 24 maja 2018 r., w szczególności w zakresie "wyciągnięcia konsekwencji wynikających z powyższych przepisów, w tym karnych", co powoduje, iż organ nie rozpoznał całości żądania skarżącej;
3. 3. art. 7, art. 77 § 1 oraz art. 80 k.p.a., poprzez przekroczenie granic swobodnej oceny dowodów – dowolna ocenę zebranego w sprawie materiału dowodowego, to jest błędne przyjęcie, iż nie ma podstaw do stwierdzenia, że dane osobowe skarżącej są przetwarzane przez Bank w sposób niezgodny z prawem, tj. rozporządzenia 2016/679, podczas gdy okoliczności sprawy wynika wniosek odmienny;
4. 4. art. 8 i art. 107 § 3 k.p.a., poprzez nienależyte uzasadnienie zaskarżonej decyzji z uwagi na zawarcie w nim zbyt ogólnych stwierdzeń, brak precyzyjnego wyjaśnienie podstawy faktycznej i prawnej tej decyzji, co uniemożliwia właściwe zapoznanie z motywami działania organu administracji, zrozumienie tych motywów, a w rezultacie ustosunkowanie się do nich w rzeczowy i wyczerpujący sposób, co uniemożliwia realizację zasady pogłębiania zaufania obywateli do organów państwa;
5. 5. art. 6 ust. 1 lit. b) i f) rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 04.05.2016, str. 1 oraz Dz. Urz. UE L 127 z 23.05.2018 str. 2 ze zm) w zw. z art. 59a ust. 1 pkt 2 i ust. 4 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe, poprzez zastosowanie w stanie faktycznym sprawy i przyjęcie, iż Bank [...] S.A. może przetwarzać dane osobowe skarżącej pomimo wygaśnięcia umowy rachunku bankowego bez zgody skarżącej.

Pełnomocnik skarżącej podnosząc powyższe zarzuty wniósł o uchylenie zaskarżonej decyzji oraz zasądzenie kosztów postępowania.

Prezes UODO w odpowiedzi na skargę wniósł o jej oddalenie i podtrzymał stanowisko przedstawione w uzasadnieniu zaskarżonej decyzji.

Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje

Zgodnie z art. 3 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz. U. z 2019 r. poz. 2325; zwanej dalej: "p.p.s.a."), sądy administracyjne sprawują kontrolę działalności administracji publicznej i stosują środki określone w ustawie. Oznacza to, iż zadaniem wojewódzkiego sądu administracyjnego jest zbadanie legalności zaskarżonego aktu pod względem jego zgodności z prawem, to znaczy ustalenie czy organ orzekający w sprawie prawidłowo zinterpretował i zastosował przepisy prawa w odniesieniu do właściwie ustalonego stanu faktycznego.

Kontrolując sprawę w ramach swoich kompetencji, Sąd uznał, że skarga nie zasługuje na uwzględnienie, bowiem zaskarżona decyzja prawa nie narusza.

Zgodnie z art. 6 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 04.05.2016, str. 1 oraz Dz. Urz. UE L 127 z 23.05.2018 str. 2 ze zm), przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy – i w takim zakresie, w jakim – spełniony jest co najmniej jeden z poniższych warunków:

1. a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów;
2. b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy;
3. c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze;
4. d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej;
5. e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi;
6. f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem.

Akapit pierwszy lit. f) nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań.

Natomiast art. 57 ust. 1 lit. f) rozporządzenia stanowi, że bez uszczerbku dla innych zadań określonych na mocy niniejszego rozporządzenia każdy organ nadzorczy na swoim terytorium rozpatruje skargi wniesione przez osobę, której dane dotyczą, lub przez podmiot, organizację lub zrzeszenie zgodnie z art. 80, w odpowiednim zakresie prowadzi postępowania w przedmiocie tych skarg i w rozsądnym terminie informuje skarżącego o postępach i wynikach tych postępowań, w szczególności jeżeli niezbędne jest dalsze prowadzenie postępowań lub koordynacja działań z innym organem nadzorczym.

Zgodnie z art. 58 ust. 1 rozporządzenia, każdemu organowi nadzorczemu przysługują wszystkie następujące uprawnienia w zakresie prowadzonych postępowań:

1. a) nakazanie administratorowi i podmiotowi przetwarzającemu, a w stosownym przypadku przedstawicielowi administratora lub podmiotu przetwarzającego, dostarczenia wszelkich informacji potrzebnych organowi nadzorczemu do realizacji swoich zadań;
2. b) prowadzenie postępowań w formie audytów ochrony danych;
3. c) dokonywanie przeglądu udzielonych certyfikacji na mocy art. 42 ust. 7;
4. d) zawiadamianie administratora lub podmiotu przetwarzającego o podejrzeniu naruszenia niniejszego rozporządzenia;
5. e) uzyskiwanie od administratora i podmiotu przetwarzającego dostępu do wszelkich danych osobowych i wszelkich informacji niezbędnych organowi nadzorczemu do realizacji swoich zadań;
6. f) uzyskiwanie dostępu do wszystkich pomieszczeń administratora i podmiotu przetwarzającego, w tym do sprzętu i środków służących do przetwarzania danych, zgodnie z procedurami określonymi w prawie unijnym lub w prawie państwa członkowskiego.

Sąd stwierdza, że stan faktyczny kontrolowanej sprawy został prawidłowo ustalony przez organ.

Skarżąca wystąpiła do Prezesa UODO ze skargą z dnia 24 maja 2018 r. na nieprawidłowości w procesie przetwarzanie jego danych osobowych przez Bank. Prezes UODO przeprowadził postępowanie administracyjne, w toku którego ustalił, że dane osobowe skarżącej były przetwarzane przez Bank zgodnie z właściwymi przepisami prawa, natomiast Bank nie dopuścił się żadnego z naruszeń wskazanych w skardze.

Sąd podziela stanowisko organu, że brak jest dowodów by Bank naruszył regulacje dotyczące przetwarzania danych osobowych skarżącej. W pierwszej kolejności przypomnieć należy, że skarga skierowana do Prezesa UODO dotyczyła ewentualnych naruszeń w przetwarzaniu danych osobowych przez Bank. Tym samym Prezes UODO miał obowiązek zbadać, czy Bank, dopuścił się jakichkolwiek nieprawidłowości w przetwarzaniu danych osobowych skarżącej.

Z akt sprawy jednoznacznie wynika, że Bank pozyskał dane osobowe skarżącej w związku z zawartą z nią umową otwartego rachunku oszczędnościowego. Bank w piśmie z dnia [...] grudnia 2016 r. poinformował skarżącą, że ze względu na upływ 10 lat od ostatniej dyspozycji umowa ulegnie rozwiązaniu dnia [...] lipca 2017 r.

Zgodnie z art. 59a ust. 1 pkt i ust. 4 Prawa Bankowego, umowa rachunku bankowego, którego posiadaczem jest osoba fizyczna, niezawarta w związku z prowadzeniem działalności gospodarczej, ulega rozwiązaniu z upływem 10lat od dnia wydania przez posiadacza rachunku ostatniej dyspozycji dotyczącej tego rachunku, a w przypadku gdy umowa przewiduje prowadzenie więcej niż jednego rachunku – tych rachunków, chyba że umowa rachunku oszczędnościowego lub rachunku terminowej lokaty oszczędnościowej była zawarta na czas oznaczony dłuższy niż 10 lat. Jeżeli umowa uległa rozwiązaniu na podstawie ust.1, uważa się ją za wiążącą do chwili wypłaty przez bank środków pieniężnych osobie posiadającej do nich tytuł prawny, chyba że stan środków pieniężnych na tym rachunku nie przekracza kwoty minimalnej określonej w umowie.

W dniu wydania zaskarżonej decyzji umowa otwartego rachunku oszczędnościowego była wiążąca, ponieważ znajdowały się na nim środki pieniężne. Bank przetwarzał dane osobowe skarżącej w zbiorze Klientów Banku w celu wykonania umowy

W stanie faktycznym niniejszej sprawy brak jest dowodów na to aby dane osobowe skarżącej były przetwarzane dla innych celów aniżeli wynikających z przepisów prawa.

Reasumując powyższe Sąd doszedł do przekonania, że w stanie faktycznym sprawy nie można było stwierdzić, by Bank - co raz jeszcze podkreślić należy - dopuścił się wskazanych przez skarżącą naruszeń.

Za niezasadne uznać należało podniesione przez pełnomocnika skarżącej zarzuty natury procesowej. W ocenie Sądu postępowanie Prezesa UODO było prawidłowe. Organ przeprowadził wymagane prawem postępowanie wyjaśniające wystarczające dla ustalenia okoliczności mających podstawowe znaczenie dla rozstrzygnięcia sprawy i dokonania oceny, czy zaszły prawem przewidziane warunki do wydania decyzji. Kluczowe bowiem w postępowaniu wyjaśniającym, toczącym się na podstawie przepisów postępowania administracyjnego, jest przeprowadzenie nie każdego (jakiegokolwiek) dowodu, ale takiego, który dotyczy okoliczności istotnych w sprawie, mających wpływ na treść rozstrzygnięcia. Oznacza to, że sytuacji, w której w świetle zebranego materiału dowodowego nie istnieją wątpliwości dla wydania rozstrzygnięcia kończącego, to organ nie jest obowiązany do przeprowadzania kolejnych dowodów, w tym wnioskowanych przez stronę, w szczególności, gdy uzna daną okoliczność za wystarczająco udowodnioną.

Przypomnieć należy, że zgodnie z regułą wyrażoną w art. 80 k.p.a., organ prowadzący postępowanie według swojej wiedzy, doświadczenia oraz wewnętrznego przekonania ocenia wartość dowodową poszczególnych środków dowodowych, wpływ udowodnienia jednej okoliczności na inne okoliczności. Oceniając wyniki postępowania dowodowego (wiarygodność i moc dowodów), organ powinien uwzględnić treść wszystkich przeprowadzonych i rozpatrzonych dowodów, wskazując w uzasadnieniu decyzji fakty, które uznał za udowodnione, dowody, na których się oparł oraz przyczyny, z powodu których innym dowodom odmówił wiarygodności i mocy dowodowej. Analiza uzasadnienia zaskarżonej decyzji prowadzi do przyjęcia, że Prezes UODO dochował powyższych obowiązków i nie naruszył reguł swobodnej oceny dowodów. Trzeba również pamiętać, że organ nie może pominąć wskazywanych środków dowodowych, gdy nie zostały wyjaśnione sporne fakty mające znaczenie dla rozstrzygnięcia sprawy. W ocenie Sądu tego rodzaju sytuacja nie wystąpiła w postępowaniu, bowiem Prezes UODO przeprowadził wszystkie niezbędne dowody.

Z tych względów, Wojewódzki Sąd Administracyjny w Warszawie obowiązany był oddalić skargę, o czym orzekł - na podstawie art. 151 p.p.s.a. - w sentencji wyroku.