Wyrok Wojewódzkiego Sądu Administracyjnego w Warszawiez 27 czerwca 2018 r., sygn. akt II SA/Wa 2123/17

Uzasadnienie

Do Generalnego Inspektora Ochrony Danych Osobowych wpłynęła skarga R. Z. na przetwarzanie jego danych osobowych przez [...] Bank [...] z siedzibą w [...] (dalej: Bank) i udostępnienie Biuru Informacji Kredytowej ww. zażądał nakazania Bankowi usunięcia naruszenia w procesie przetwarzania jego danych osobowych, poprzez udzielenie odpowiedzi na jego wniosek z dnia [...] listopada 2015 r. oraz ich usunięcie z Biura Informacji Kredytowej S.A. W zakresie rachunku karty kredytowej o podanym numerze.

Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia [...] marca 2017 r. nr [...] odmówił uwzględnienia wniosku.

Ten sam organ, po rozpatrzeniu wniosku o ponowne rozpatrzenie sprawy, na podstawie art. 138 § 1 pkt 2 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2016 r. poz. 23 z późn. zm.) oraz art. 12 pkt 2, art. 22, art. 23 ust. 1, art. 33 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922 z późn. zm.) w zw. z art. 105 ust. 4 oraz art. 105 a ust. 2 i 4 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz. U. z 2016 r. poz. 1988 z późn. zm.), w dniu [...] września 2017 r. wydał decyzję nr [...], którą:

1. 1. uchylił decyzję poprzedzającą z dnia [...] marca 2017 r. w zakresie przetwarzania przez Bank danych osobowych R. Z. i umorzył postępowanie w tym zakresie;
2. 2. w pozostałym zakresie utrzymał w mocy zaskarżoną decyzję.

Organ w uzasadnieniu decyzji podał, że decyzja poprzedzająca z dnia [...] marca 2017 r. nie wyczerpuje w pełni stanu faktycznego sprawy, a w związku z zaistnieniem nowych okoliczności należało dokonać nowej oceny zgromadzonych w niej dowodów.

Zgodnie z art. 105 ust. 4 Prawa bankowego, banki mogą wspólnie z bankowymi izbami gospodarczymi, utworzyć instytucje do gromadzenia, przetwarzania i udostępniania: bankom – informacji stanowiących tajemnice bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych, innym instytucjom ustawowo upoważnionym do udzielania kredytów – informacji o wierzytelnościach oraz o obrotach i stanach rachunków bankowych w zakresie, w jakim informacje te są niezbędne w związku z udzieleniem kredytów, pożyczek pieniężnych, gwarancji bankowych i poręczeń.

Natomiast zgodnie za art. 105a ust. 1 Prawa bankowego, przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów oraz instytucje utworzone na podstawie art. 105 ust. 4 (np. BIK), informacji stanowiących tajemnicę bankową w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem art. 104, 105 i art. 106-106 c, w celu oceny zdolności kredytowej i analizy ryzyka kredytowego.

Zgodnie z art. 105 a ust. 3 Banki, instytucje oraz podmioty, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową i informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59 d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59 d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59 d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank, inną instytucję ustawowo upoważnioną do udzielania kredytów, instytucję pożyczkową albo podmiot, o którym mowa w art. 59 d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, o zamiarze przetwarzania dotyczących jej tych informacji, bez jej zgody.

Bank przetwarzał dane osobowe R. Z. w celu oceny zdolności kredytowej i analizy ryzyka kredytowego, pomimo że nie spełniał on przesłanek, o których mowa w powyżej przytoczonym przepisie, tzn. nie zalegał ze spłatą zobowiązania.

Dane osobowe ww. obecnie nie są przetwarzane przez Bank i została wycofana o zgoda na ich przetwarzanie przez BIK.

Zaistnienie przesłanki, o której mowa w art. 105 § 1 K.p.a. powoduje, że postępowanie stało się bezprzedmiotowe i należy je umorzyć.

Z akt sprawy wynika, że R. Z. wystąpił do Banku z wnioskiem w trybie art. 33 w zw. z art. 32 ust. 1 ustawy o ochronie danych osobowych, na który Bank odpowiedział w piśmie z dnia [...] grudnia 2015 r. (kopia w aktach sprawy).

Z zebranego w sprawie materiału dowodowego nie można jednoznacznie stwierdzić, czy wyżej ww. otrzymał korespondencje z Banku.

Organ nie miał podstaw aby przyjąć, iż przedmiotowa korespondencja nie została doręczona, a Bank uprawdopodobnił nadanie przesyłki, poprzez dołączenie do akt sprawy wewnętrznego potwierdzenia jej nadania w dniu [...] grudnia 2015 r.

R. Z. wniósł do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] września 2017 r. żądając jej uchylenia w zakresie pkt 2 i zasądzenie na jego rzecz kosztów postępowania.

Skarżący zarzucił w skardze, że zaskarżona decyzja została wydana z naruszeniem następujących przepisów:

1. 1. art. 77 § 1 K.p.a., poprzez pobieżną, niepełną i dobrowolną ocenę materiału dowodowego, co skutkowało przyjęciem, że Bank doręczył odpowiedź na wniosek informacyjny dot. ochrony danych osobowych (art. 32 ust. 1 pkt 1 – 5a w zw. z art. 33 ustawy o ochronie danych osobowych) i przyjęcie, że Bank spełnił obowiązek informacyjny, nie przedstawiając na to dowodów,
2. 2. art. 7 w zw. z art. 77 K.p.a., poprzez pominięcie obowiązku dokładnego wyjaśnienia stanu faktycznego oraz prawidłowego załatwienia sprawy, a także pominięcie jego słusznego interesu,
3. 3. art. 12 i art. 8 K.p.a., poprzez prowadzenie postępowania i orzekania w sposób sprzeczny z zasadą pogłębiania zaufania do władzy publicznej oraz opieszałe, mało wnikliwe przeprowadzenie postępowania, zwłaszcza w zakresie powstałych wątpliwości związanych ze spełnieniem obowiązku informacyjnego,
4. 4. art. 40 § 1 K.p.a. w zw. z art. 42 § 1 K.p.a. w zw. za rt. 33 ust. 1 i 2 ustawy o ochronie danych osobowych, poprzez przyjęcie, że Bank pisemnie odpowiedział na jego wniosek informacyjny oraz, że odpowiedź została doręczona, gdy brak jest na to jakichkolwiek dowodów.

Generalny Inspektor Ochrony Danych Osobowych w odpowiedzi na skargę wniósł o jej oddalenie i podtrzymał stanowisko przedstawione w uzasadnieniu zaskarżonej decyzji.

Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje.

Zgodnie z treścią art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (tekst jedn. Dz. U. z 2016 r. poz. 1066 ze zm.), sąd administracyjny sprawuje wymiar sprawiedliwości poprzez kontrolę pod względem zgodności z prawem zaskarżonej decyzji administracyjnej i to z przepisami obowiązującymi w dacie jej wydania.

Rozpatrywana pod tym względem skarga nie zasługuje na uwzględnienie.

Zgodnie z art 12 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 23 z późn. zm.), do zadań Generalnego Inspektora w szczególności należy:

1. 1) kontrola zgodności przetwarzania danych z przepisami o ochronie danych osobowych;
2. 2) wydawanie decyzji administracyjnych i rozpatrywanie skarg w sprawach wykonania przepisów o ochronie danych osobowych;
3. 3) zapewnienie wykonania przez zobowiązanych obowiązków o charakterze niepieniężnym wynikających z decyzji, o których mowa w pkt 2, przez stosowanie środków egzekucyjnych przewidzianych w ustawie z dnia 17 czerwca 1966 r. o postępowaniu egzekucyjnym w administracji (Dz. U. z 2012 r. poz. 1015, z późn. zm.);
4. 4) prowadzenie rejestru zbiorów danych oraz rejestru administratorów bezpieczeństwa informacji, a także udzielanie informacji o zarejestrowanych zbiorach danych i zarejestrowanych administratorach bezpieczeństwa informacji;
5. 5) opiniowanie projektów ustaw i rozporządzeń dotyczących ochrony danych osobowych;
6. 6) inicjowanie i podejmowanie przedsięwzięć w zakresie doskonalenia ochrony danych osobowych,
7. 7) uczestniczenie w pracach międzynarodowych organizacji i instytucji zajmujących się problematyką ochrony danych osobowych.

Natomiast art. 18 ust. 1 powołanej ustawy stanowi, że w przypadku naruszenia przepisów o ochronie danych osobowych Generalny Inspektor z urzędu lub na wniosek osoby zainteresowanej, w drodze decyzji administracyjnej, nakazuje przywrócenie stanu zgodnego z prawem, a w szczególności:

1. 1) usunięcie uchybień,
2. 2) uzupełnienie, uaktualnienie, sprostowanie, udostępnienie lub nieudostępnienie danych osobowych,
3. 3) zastosowanie dodatkowych środków zabezpieczających zgromadzone dane osobowe,
4. 4) wstrzymanie przekazywania danych osobowych do państwa trzeciego,
5. 5) zabezpieczenie danych lub przekazanie ich innym podmiotom,
6. 6) usunięcie danych osobowych.

W literaturze przedmiotu podkreśla się, że decyzja Generalnego Inspektora wydawana na podstawie powyższego przepisu ma służyć przywróceniu stanu zgodnego z prawem. Ustawodawca nie wprowadza żadnych dodatkowych wskazówek w zakresie wyboru konkretnego nakazu, pozostawiając to organowi wydającemu decyzję. Biorąc pod uwagę systematykę przepisu, przyjąć należy, że mamy do czynienia ze stopniowaniem sankcji administracyjnych (w zależności od rodzaju uchybienia), a Generalny Inspektor powinien stosować konkretne nakazy z uwzględnieniem charakteru stwierdzonego naruszenia, tj. adekwatnie (współmiernie) do stopnia naruszenia i zagrożenia praw osoby, której dane dotyczą. Pośrednio wynika to również z samego celu nakazu, którym jest przywrócenie stanu zgodnego z prawem ochrony danych osobowych, bez niepotrzebnego nakładania zbędnych obowiązków na administratora danych (por. G. Sibiga, Postępowanie w sprawach ochrony danych osobowych, Dom Wydawniczy ABC, Warszawa 2003, str. 153).

Przesłanką wydania nakazu jest zatem stwierdzenie naruszenia przepisów o ochronie danych osobowych, tj. z zebranego w postępowaniu materiału dowodowego musi wynikać, że swoim działaniem lub zaniechaniem administrator naruszył przepisy prawa. Co ważne, stwierdzony przez organ stan naruszenia przepisów o ochronie danych osobowych powinien istnieć w dacie wydania decyzji. Przewidziana zaś w art. 18 pkt 1 ust. 1 ustawy o ochronie danych osobowych sankcja w postaci usunięcia uchybień obejmuje czynności przywracające stan zgodny z prawem, inne niż wymienione w pozostałych punktach tego przepisu.

Przechodząc na grunt rozpoznawanej sprawy przypomnieć należy, że skarżący zaskarżył decyzję Generalnego Inspektora Ochrony Danych Osobowych w części związanej z niedopełnieniem przez Bank obowiązku informacyjnego z art. 32 ust. 1 pkt 1-5 w zw. z art. 33 ustawy o ochronie danych osobowych.

Jeżeli określona osoba zgłasza organowi Ochrony Danych Osobowych nieprawidłowości w zakresie przetwarzania danych osobowych, a w szczególności obowiązku informacyjnego określonego w art. 33 ust. ustawy, organ ten jest władny i zobligowany do wszczęcia postępowania wyjaśniającego, którego zadaniem jest ustalenie, czy dane osobowe skarżącego są w istocie przetwarzane, jeżeli tak, to w jakim celu i czy następuje to z poszanowaniem przepisów ustawy o ochronie danych osobowych. Organ Ochrony Danych Osobowych wszczyna zatem i prowadzi postępowanie na wniosek strony według przepisów K.p.a. i rozstrzyga sprawę indywidualną strony w zakresie objętym jej wnioskiem.

Rolą organów administracji publicznej prowadzących postępowanie jest wszechstronne i dokładne wyjaśnienie stanu faktycznego sprawy, gdyż do tego obliguje art. 7 K.p.a. To organ, na podstawie całokształtu materiału dowodowego zgromadzonego przez siebie i ocenionego, wydaje rozstrzygnięcie. Prowadzący postępowanie organ ma nie tylko prawo, ale obowiązek oceny zgromadzonych dowodów. Wynikający z art. 7 K.p.a. obowiązek dokładnego wyjaśnienia stanu sprawy polega m.in. na udzieleniu odpowiedzi na wątpliwości stron postępowania.

Organ administracji działając na podstawie i w granicach przepisów prawa procesowego, obowiązany jest w sposób wyczerpujący zebrać i rozpatrzyć cały materiał dowodowy (art. 77 § 1 K.p.a.), co oznacza konieczność uwzględnienia zasady prawdy materialnej wskazanej w art. 7 k.p.a., która to zasada nakazuje organowi z urzędu gromadzić, a następnie rozpatrzyć dowody istotne w sprawie.

Sąd administracyjny kontrolując zgodność zaskarżonego aktu z prawem, orzeka wyłącznie na podstawie materiału faktycznego/dowodowego sprawy, zgromadzonego w postępowaniu administracyjnym, w szczególności sąd administracyjny nie może zastąpić organu administracji w wykonaniu obowiązku ustalenia stanu faktycznego sprawy, w tym zebrania i rozpatrzenia materiału dowodowego i czynić własnych ustaleń, skoro do jego kompetencji należy jedynie kontrola legalności rozstrzygnięć wydanych na podstawie stanu faktycznego ustalonego w postępowaniu administracyjnym. Aby ocenić/skontrolować decyzję organu, Sąd musi więc dysponować ustaleniami i stanowiskiem organu co do wszystkich okoliczności, które determinują sposób objętego tą decyzją rozstrzygnięcia sprawy. Inaczej kontrola sądowoadministracyjna jest niemożliwa, a zaskarżona decyzja podlega uchyleniu.

Zgodnie z postanowieniami art. 32 ust. 1 ustawy o ochronie danych osobowych zakres informacyjny obejmuje: 1) uzyskania wyczerpującej informacji, czy taki zbiór istnieje, oraz do ustalenia administratora danych, adresu jego siedziby i pełnej nazwy, a w przypadku gdy administratorem danych jest osoba fizyczna - jej miejsca zamieszkania oraz imienia i nazwiska;

1. 2) uzyskania informacji o celu, zakresie i sposobie przetwarzania danych zawartych w takim zbiorze;
2. 3) uzyskania informacji, od kiedy przetwarza się w zbiorze dane jej dotyczące, oraz podania w powszechnie zrozumiałej formie treści tych danych;
3. 4) uzyskania informacji o źródle, z którego pochodzą dane jej dotyczące, chyba że administrator danych jest zobowiązany do zachowania w tym zakresie w tajemnicy informacji niejawnych lub zachowania tajemnicy zawodowej;
4. 5) uzyskania informacji o sposobie udostępniania danych, a w szczególności informacji o odbiorcach lub kategoriach odbiorców, którym dane te są udostępniane; 5a) uzyskania informacji o przesłankach podjęcia rozstrzygnięcia, o którym mowa w art. 26a ust. 2;
5. 6) żądania uzupełnienia, uaktualnienia, sprostowania danych osobowych, czasowego lub stałego wstrzymania ich przetwarzania lub ich usunięcia, jeżeli są one niekompletne, nieaktualne, nieprawdziwe lub zostały zebrane z naruszeniem ustawy albo są już zbędne do realizacji celu, dla którego zostały zebrane;
6. 7) wniesienia, w przypadkach wymienionych w art. 23 ust. 1 pkt 4 i 5, pisemnego, umotywowanego żądania zaprzestania przetwarzania jej danych ze względu na jej szczególną sytuację;
7. 8) wniesienia sprzeciwu wobec przetwarzania jej danych w przypadkach, wymienionych w art. 23 ust. 1 pkt 4 i 5, gdy administrator danych zamierza je przetwarzać w celach marketingowych lub wobec przekazywania jej danych osobowych innemu administratorowi danych;
8. 9) wniesienia do administratora danych żądania ponownego, indywidualnego rozpatrzenia sprawy rozstrzygniętej z naruszeniem art. 26a ust. 1.

Natomiast art. 33 ustawy o ochronie danych osobowych stanowi, że na wniosek osoby, której dane dotyczą, administrator danych jest obowiązany, w terminie 30 dni, poinformować o przysługujących jej prawach oraz udzielić, odnośnie do jej danych osobowych, informacji, o których mowa w art. 32 ust. 1 pkt 1-5a. Na wniosek osoby, której dane dotyczą, informacji, o których mowa w ust. 1, udziela się na piśmie.

Jak ustalił organ, odpowiedź Banku na żądanie skarżącego zawartego w jego wniosku z dnia [...] listopada 2015 r. wniosku została przesłana na podany przez niego adres do korespondencji. Zatem należy przyjąć, iż obowiązek informacyjny został wobec zainteresowanego spełniony. Trzeba mieć na uwadze, że przepisy ustawy o ochronie danych osobowych nie przewidują szczególnej formy spełnienia obowiązku informacyjnego. Wysłanie pisma listem zwykłym mieści się w dopuszczalnej formie informowania zainteresowanego o celu i zakresie przetwarzania danych osobowych przez administratora danych osobowych. Ciężar dowodu spoczywa na osobie, która z tego faktu będzie wywodzić określone skutki prawne. Ma przy tym słuszność skarżący wskazując, iż brak jest dowodu doręczenia przedmiotowej odpowiedzi. Jednakże w ocenie Sądu Bank uprawdopodobnił, że została ona wysłana do skarżącego. Zdaniem Sądu, nie ma podstaw do nakazywania Bankowi ponownego informowania skarżącego o celu i zakresie przetwarzania jego danych osobowych w zbiorze wymienionym w piśmie z dnia [...] listopada 2015 r. skoro w toku postępowania przed GIODO strona uzyskała informację o sposobie przetwarzania jej danych osobowych we wszystkich zbiorach i zostały one finalnie usunięte.

Reasumując, analiza zgromadzonego przez organ materiału dowodowego, w tym argumentów i zarzutów podnoszonych przez Skarżącego, nie pozwala zakwestionować udzielonych w tym zakresie wyjaśnień Banku, a zatem brak jest podstaw do uwzględnienia skargi i uchylenia zaskarżonej decyzji.

Mając powyższe ustalenia na uwadze, na podstawie art. 151 i art. 132 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2017 r. poz. 1369 z późn. zm.), Sąd orzekł, jak w sentencji wyroku.