II SA/Wa 1289/06

II SA/Wa 1289/06 - Wyrok WSA w Warszawie
Data orzeczenia
2006-11-07
orzeczenie prawomocne
Data wpływu
2006-07-11
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Eugeniusz Wasilewski /przewodniczący/
Ewa Pisula-Dąbrowska
Jarosław Trelka /sprawozdawca/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Uchylono zaskarżoną decyzję
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący sędzia WSA Eugeniusz Wasilewski, sędzia WSA Ewa Pisula-Dąbrowska, asesor WSA Jarosław Trelka (spr.), Protokolant Magda Magdoń, po rozpoznaniu na rozprawie w dniu 7 listopada 2006 r. sprawy ze skargi Biura [...] S.A. w W. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] sierpnia 2004 r. nr [...] w przedmiocie przetwarzania danych osobowych 1) uchyla zaskarżoną decyzję 2) określa, że zaskarżona decyzja nie podlega wykonaniu w całości, 3) zasądza od Generalnego Inspektora Ochrony Danych Osobowych na rzecz Biura [...] S.A. z siedzibą w W. kwotę 455 zł (czterysta pięćdziesiąt pięć złotych) tytułem zwrotu kosztów postępowania.
Uzasadnienie
Decyzją z dnia [...] marca 2004 r. Generalny Inspektor Ochrony Danych Osobowych, zwany też dalej "organem" albo "GIODO", nakazał Biuru [...] S.A. w W., zwanym też dalej "B. S.A." albo "Biurem", usunięcie uchybień w procesie przetwarzania danych osobowych (punkt I tej decyzji) poprzez 1) zaprzestanie przetwarzania danych osób, których rachunki kredytowe zostały zamknięte, od dnia, kiedy decyzja stanie się ostateczna, 2) zapewnienie, aby system "P." umożliwiał udostępnienie na piśmie, w powszechnie zrozumiałej formie, treści danych o każdej osobie, której dane są przetwarzane, wraz z informacjami o dacie pierwszego wprowadzenia danych do systemu, identyfikatorze użytkownika, wprowadzającego dane oraz informacjami komu, kiedy i w jakim zakresie dane zostały udostępnione, w terminie 3 miesięcy od dnia, kiedy decyzja stanie się ostateczna. W zakresie pozostałych kwestii będących przedmiotem postępowania GIODO postępowanie to zostało umorzone (punkt II tej decyzji).
W wyniku rozpatrzenia wniosku o ponowne rozpatrzenie sprawy GIODO decyzją z dnia [...] sierpnia 2004 r. uchylił punkt I.1 decyzji z [...] marca 2004 r. (tylko tego punktu dotyczył wniosek o ponowne rozpatrzenie sprawy) i nakazał usunięcie uchybień w procesie przetwarzania danych osobowych poprzez zaprzestanie przetwarzania danych osób, których rachunki kredytowe zostały zamknięte w związku z uzyskaną od banku lub innej instytucji ustawowo upoważnionej do udzielania kredytów, informacją o okoliczności powodującej jego zamknięcie – od dnia, kiedy decyzja stanie się ostateczna.
W uzasadnieniu decyzji z [...] sierpnia 2004 r. organ wskazał, że art. 105 ust. 4 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz. U. z 2002 r. Nr 72, poz. 665 ze zm.) nie określa okresów przetwarzania danych osobowych osób, których rachunki kredytowe zostały zamknięte. Nie można uznać, że kwestię tę prawidłowo rozstrzyga Regulamin B. S.A., gdyż jest to dokument wewnętrzny, a nie źródło prawa powszechnie obowiązującego. Okres wyznaczony przez ten Regulamin (5 lat dla osób, które nie wykazywały zaległości kredytowej przez okres powyżej 30 dni, 7 lat dla osób, które miały zaległość powyżej 30 dni) narusza zakaz przetwarzania danych w postaci umożliwiającej identyfikację podmiotów danych poza czas niezbędny dla osiągnięcia celu przetwarzania (art. 26 ust. 1 pkt 4 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, Dz. U. z 2002. Nr 101, poz. 926 ze zm., zwanej też dalej "ustawą"). Celem tym jest, w ocenie organu, obniżenie ryzyka kredytowego. Taka praktyka Biura narusza też art. 47 Konstytucji, ustanawiający prawo do ochrony danych osobowych. Uprawnienia do takiego przetwarzania organ nie dopatrzył się w art. 23 ust. 1 punkt 5 ustawy, zezwalającym na przetwarzanie danych w oparciu o klauzulę usprawiedliwionego interesu, ani w jej 23 ust. 1 pkt 4, zezwalającym na przetwarzanie danych w celu realizacji zadań publicznych.
W skardze do Wojewódzkiego Sądu Administracyjnego w Warszawie na powyższą decyzję GIODO zarzucono jej naruszenie art. 23 ust. 1 punkt 2, 4 i 5 ustawy, art. 105 ust. 4 Prawa bankowego oraz przepisów Kpa. Zdaniem autora skargi powyższe przepisy ustawy upoważniają Biuro do przetwarzania danych osobowych osób, których rachunki kredytowe zostały zamknięte, także po ich zamknięciu. Ocena zdolności kredytowej klienta jest obowiązkiem banku, wynikającym z art. 70 ust. 1 Prawa bankowego. Statutowym zadaniem Biura, wynikającym z art. 105 ust. 4 Prawa bankowego, jest umożliwienie właściwego funkcjonowania systemu wymiany informacji kredytowej, służącego realizacji obowiązku wynikającego z art. 70 tej ustawy. Także praktyka działania w innych krajach instytucji tego typu, co B. S.A., wskazuje na zasadność przyznania Biuru prawa przetwarzania danych także po zamknięciu rachunku kredytowego. Zakaz wyrażony w zaskarżonej decyzji uniemożliwia realizację właściwej praktyki bankowej, zakaz ten jest ponadto arbitralny i wydany z pominięciem stanowiska i kompetencji instytucji nadzorujących sektor bankowy, w tym Komisji Nadzoru Bankowego. Okres przetwarzania danych kredytobiorców powinien wynikać z potrzeb banków w tym zakresie.
Wyrokiem z dnia 22 lutego 2005 r. Wojewódzki Sąd Administracyjny w Warszawie powyższą skargę oddalił. Sąd uznał, że granicą czasową przetwarzania danych osobowych przez B. S.A. jest osiągnięcie celu przetwarzania, tj. całkowita spłata kredytu. Sąd powołał się przy tym na art. 23 ust. 1 pkt 2 ustawy w brzmieniu obowiązującym do 1 maja 2004 r.
W skardze kasacyjnej wniesionej przez B. S.A. wyrokowi z dnia 22 lutego 2005 r. zarzucono naruszenie prawa materialnego, tj. art. 50 ust. 2, 70 ust. 1, 105 ust. 4 Prawa bankowego, art. 23 ust. 1 pkt 2, art. 26 ust. 1 pkt 4 ustawy, a także naruszenie przepisów postępowania, tj. art. 106 § 3, 134 § 1, 145 § 1 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. Nr 153, poz. 1270 ze. zm.). Naruszenie prawa materialnego polegało, zdaniem autora skargi kasacyjnej, na przyjęciu, że niezbędny czas przetwarzania danych przez Biuro trwa jedynie do całkowitej spłaty kredytu. Tymczasem okres ten wyznacza art. 105 ust. 4 Prawa bankowego, tj. trwa on tak długo, jak długo jest to niezbędne do osiągnięcia celu przetwarzania, tj. zaspokojenia potrzeb banków związanych z wykonywaniem czynności bankowych, głównie udzielaniem pożyczek i kredytów. Sąd bezpodstawnie utożsamił zdolność kredytową ze zdolnością do spłaty zobowiązań, pomijając kwestię wiarygodności kredytowej. Stoi to w sprzeczności z ustawowym prawem Biura do czynienia użytku ze zgromadzonych danych, tak długo, jak to jest konieczne bankom w trakcie wykonywania czynności bankowych. Poza tym rachunki klientów banków mogą być zamykane także z powodu przymusowej egzekucji lub umorzenia zobowiązań z powodu ich nieściągalności. Stanowisko Sądu uniemożliwia wykonywanie art. 70 Prawa bankowego (obowiązek badania zdolności kredytowej). Naruszenie prawa procesowego polegało natomiast, zdaniem autora skargi kasacyjnej, na pominięciu zarzutów naruszenia przez organ przepisów Kpa. Ponadto w piśmie procesowym z dnia 2 lutego 2006 r. B. S.A. zauważył, że GIODO zaaprobował praktykę Biura, polegającą na badaniu historii kredytowej klientów banków, gdyż w postępowaniu dotyczącym rejestracji zbioru danych osobowych B. S.A. wskazano, że celem przetwarzania danych będzie takie właśnie badanie historii kredytowej, a organ zbiór ten w oparciu o zgłoszenie rejestracyjne zarejestrował.
GIODO uznał w odpowiedzi na skargę kasacyjną, że pojęcia "potrzeby" i "niezbędność" przetwarzania danych, na które powołuje się B. S.A., dotyczą zakresu tych danych, a nie okresu ich przetwarzania. Pojęcie zdolności kredytowej zdefiniowano jednak w art. 70 ust. 1 zd. 2 Prawa bankowego, i nie ma w tym przepisie mowy o badaniu historii kredytowej.
Biuro wskazało dodatkowo na treść art. 105a Prawa Bankowego, wprowadzony ustawą z dnia 15 kwietnia 2005 r. o zmianie ustawy o ochronie informacji niejawnych oraz niektórych innych ustaw (Dz. U. Nr 85, poz. 727). Ten nowy przepis dopuszcza przetwarzanie danych historycznych przez okres 5 lat, daje też, w ocenie B. S.A., czas 3 lat na uzyskanie pisemnej zgody klientów na przetwarzanie ich danych w celach oceny ryzyka kredytowego, nawet po spłacie swoich zobowiązań.
Wyrokiem z dnia 24 maja 2006 r. Naczelny Sąd Administracyjny uchylił wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 22 lutego 2005 r. NSA uznał, że zarzuty skargi kasacyjnej, sprowadzające się do twierdzenia o naruszeniu przepisów postępowania, nie zasługują na uwzględnienie. NSA podzielił natomiast zarzut naruszenia przez WSA prawa materialnego. Sąd I instancji zastosował bowiem art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych w brzmieniu sprzed nowelizacji, dokonanej na mocy ustawy z dnia 22 stycznia 2004 r. o zmianie ustawy o ochronie danych osobowych oraz ustawy o wynagrodzeniu osób zajmujących kierownicze stanowiska państwowe (Dz. U. Nr 33, poz. 285), która weszła w życie w dniu 1 maja 2004 r. Do 1 maja 2004 r. przepis ten stanowił, że przetwarzanie danych jest dopuszczalne, gdy zezwalają na to przepisy prawa. Po tej natomiast dacie przepis ten zezwala na takie przetwarzanie, gdy jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa. NSA spór prawny między stronami sprowadził do kwestii, czy art. 23 ust. 1 punkt 2 ustawy zezwala Biuru na przetwarzanie danych poprzez ich udostępnianie bankom bez zgody osób, których dane dotyczą. NSA ocenił także, że sąd I instancji w sposób arbitralny przyjął, iż legalne przetwarzanie danych osobowych kończy się z chwilą rozwiązania umowy rachunku bankowego. Narusza to art. 26 ust. 1 pkt 4 ustawy. Taki pogląd, w ocenie NSA, abstrahuje ponadto od określonego w art. 105 ust. 4 Prawa bankowego celu funkcjonowania Biura, czyli udostępniania bankom informacji niezbędnych do podejmowania właściwych decyzji kredytowych. Zakaz sformułowany przez organ narusza przez to art. 70 ust. 1 Prawa bankowego.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:
Zgodnie z art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002r. – Prawo o ustroju sądów administracyjnych (Dz. U. Nr 153, poz. 1269 ze zm.), sąd administracyjny sprawuje wymiar sprawiedliwości poprzez kontrolę pod względem zgodności z prawem zaskarżonej decyzji administracyjnej. Sąd analizuje zaskarżoną decyzję pod względem jej zgodności z prawem materialnym i formalnym obowiązującym w dacie jej wydania. Skarga analizowana według wymienionych wyżej kryteriów zasługuje na uwzględnienie.
W pierwszej kolejności konieczne jest przywołanie art. 190 Prawa o postępowaniu przed sądami administracyjnymi. Według tego przepisu sąd administracyjny, któremu sprawa została przekazana, związany jest wykładnią prawa dokonaną w tej sprawie przez Naczelny Sąd Administracyjny. W związku z tym Sąd orzekający w niniejszej sprawie związany był stanowiskiem wyrażonym w wyroku NSA z dnia 24 maja 2006 r., iż ustanowiony w zaskarżonej decyzji kategoryczny zakaz przetwarzania przez Biuro danych osobowych klientów banków, których rachunki kredytowe zostały zamknięte, narusza art. 105 ust. 4, art. 70 ust. 1 Prawa bankowego, a także art. 26 ust. 1 pkt 4 ustawy o ochronie danych osobowych. Abstrahując od formalnego związania tym wyrokiem Sąd orzekający w niniejszej sprawie w pełni podziela argumentację zaprezentowaną przez Naczelny Sąd Administracyjny. Dla ustalenia dopuszczalnego okresu przetwarzania danych osobowych nie można pominąć celu, dla którego B. S.A. zostało powołane, a także całego kontekstu normatywnego, w którym funkcjonuje skarżący. Biuro jest instytucją powołaną na podstawie art. 105 ust. 4 Prawa bankowego, jego zadaniem (zgodnym z tą ustawą) jest gromadzenie, przetwarzanie i udostępnianie: 1) bankom – informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych, 2) innym instytucjom ustawowo upoważnionym do udzielania kredytów – informacji o wierzytelnościach oraz o obrotach i stanach rachunków bankowych w zakresie, w jakim informacje te są niezbędne w związku z udzielaniem kredytów, pożyczek pieniężnych, gwarancji bankowych i poręczeń. Jednocześnie obowiązkiem banków jest zbadanie zdolności kredytowej kredytobiorcy – udzielenie kredytu poprzedzone być musi weryfikacją takiej zdolności (art. 70 ust. 1 Prawa bankowego). Taki obowiązek banku jest skorelowany z funkcją, jaką wykonuje Biuro – jest nią udostępnianie informacji potrzebnych do wykonywania czynności bankowych. Istotny wpływ na ustalenie zdolności kredytowej klienta ma informacja o jego historii kredytowej. Skoro tak, to uznać należy, że B. S.A. pełni funkcję usługową względem potrzeb i obowiązków banków. Za w pełni przekonujący uznać należy argument strony skarżącej, że celem przetwarzania danych przez B. S.A. jest nie tylko ochrona samych banków (choć samo to uzasadniałoby przetwarzanie danych także po zamknięciu rachunku), ale także ochrona innych klientów. Art. 26 ust. 1 pkt 4 ustawy stanowi jedynie ogólną, generalną zasadę, z której nie sposób wyciągnąć jakiegokolwiek konkretnego wniosku co do terminu przetwarzania danych. Oczywiste jest bowiem, że ustawa nie może wskazywać w sposób konkretny jakiegokolwiek terminu przetwarzania danych, gdyż ma ona znaczenie normy generalnej, swoistej deklaracji wymogu czasowego ograniczenia tego procesu. Konkretne ramy czasowe przetwarzania danych zależą od konkretnego administratora danych, jego zadań, celu i podstaw przetwarzania. Niezbędne jest w tej sytuacji odwołanie się do Prawa bankowego i legalnej praktyki bankowej, co nie oznacza oczywiście absolutnej dowolności w tym zakresie, lecz zobowiązuje do respektowania rzeczywistych, usprawiedliwionych potrzeb sektora bankowego. Dlatego zasadnie skarga wskazuje, że podstawą przetwarzania danych przez Biuro jest art. 23 ust. 1 pkt 2 ustawy (niezbędność przetwarzania dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa). Uprawnieniem i obowiązkiem Biura jest realizacja zadań wynikających z art. 105 ust. 4 Prawa bankowego w zakresie (także czasowym) pozwalającym na efektywną, rzeczywistą i bezpieczną realizację przez banki i inne instytucje czynności bankowych i parabankowych. Jednocześnie też podstawą przetwarzania danych przez Biuro jest art. 23 ust. 1 pkt 5 ustawy. Za prawnie usprawiedliwiony cel B. S.A. uznać należy bowiem przetwarzanie danych klientów banków, nawet po zamknięciu ich rachunków kredytowych, skoro dane te służą do oceny zdolności kredytowej, a ocena taka jest prawem i obowiązkiem banku. Prawa i wolności podmiotów danych nie są przez to naruszone w stopniu istotnym – takie "naruszenie" wynika jedynie z samego faktu przetwarzania, ale zasadnie podnosi autor skargi, iż tylko istotne naruszenie praw i wolności podmiotu danych, wykraczające poza akceptowalne społecznie ramy i nieusprawiedliwione wagą interesu administratora, uniemożliwia powołanie się na klauzulę usprawiedliwionego interesu, którą wprowadza art. 23 ust. 1 pkt 5 ustawy. W tym przypadku mamy więc do czynienia ze zbiegiem przesłanek uprawniających Biuro do ich przetwarzania.
Nie można też podzielić stanowiska organu, iż przetwarzając dane osobowe klientów banków i innych instytucji skarżący narusza przepisy Konstytucji. Jej art. 47 ustanawia prawo do ochrony prywatności, ale nie oznacza to, że taka prywatność jest naruszona w razie zgodnego z ustawami przetwarzania danych przez wyspecjalizowaną instytucję, a instytucja ta zachowuje inne wymogi prawidłowego przetwarzania danych, określone w ustawie. Chodzi tu zwłaszcza o respektowanie zasady celowości i adekwatności danych osobowych. Dotychczas Generalny Inspektor nie zakwestionował zakresu gromadzonych przez skarżącego danych, ani jego uprawnienia do ich przekazywania do banków i innych instytucji w celu tzw. scoringu.
Sąd nie podzielił natomiast oceny, iż dodatkowo na przetwarzanie danych przez B. S.A. zezwala art. 23 ust. 1 pkt 4 ustawy. Usługowa wobec banków i innych instytucji funkcja Biura nie pozwala jeszcze ocenić, że realizuje ono zadania dla dobra publicznego. Bezpieczeństwo depozytów, sprawność funkcjonowania systemu bankowego i stabilność obrotu gospodarczego nie stanowią "dobra publicznego" w rozumieniu tego przepisu. Takie cele muszą być bowiem w sposób wyraźny, jednoznaczny określone prawem, a ponadto zalicza się do nich wyjątkowe okoliczności przetwarzania danych, które nie są objęte innymi przesłankami, i które wymagają takiego przetwarzania na zasadzie ultima ratio. Przykładowo zalicza się do nich zadania z zakresu bezpieczeństwa publicznego, walki z przestępczością, opieki zdrowotnej, udzielania pomocy ofiarom klęsk żywiołowych itp.
Powyższe nie zmienia jednak ogólnej zasady, że w dacie wydawania zaskarżonej decyzji Biuro uprawnione było do przetwarzania danych klientów banków i innych instytucji także po zamknięciu rachunków kredytowych tych klientów.
Nie zasługuje na uwzględnienie zarzut naruszenia przez organ art. 10 Kpa. Istotnie, skoro postępowania zainicjowane zawiadomieniami skierowanymi do poszczególnych banków zostały umorzone, gdyż organ zmienił swoją ocenę co do ich statusu, prawidłowe było skierowanie wydanych w sprawie decyzji jedynie do Biura. Choć rzeczywiście z samej treści zaskarżonej decyzji nie wynika wprost, że stroną prowadzonego postępowania jest B. S.A., to jednak oznaczenie tej strony, wobec brzmienia osnowy decyzji i doręczenia jej adresatowi, jest niewątpliwe. Nie naruszono też art. 138 Kpa, gdyż, wbrew stanowisku wyrażonemu w piśmie procesowym skarżącego z dnia 14 października 2004 r., organ nie tylko orzekł co do meritum w zakresie określonym we wniosku o ponowne rozpatrzenie sprawy, ale w tym zakresie także uchylił swoją decyzję z dnia [...] marca 2004 r. Sąd zauważa także, iż ewentualne trudności interpretacyjne z wydanym zakazem przetwarzania danych osób, których rachunki zostały "zamknięte", mogły być usunięte w trybie art. 113 § 2 Kpa. Niezasadne jest jednak twierdzenie, że pojecie "zamknięcia" rachunku klienta czyni zaskarżoną decyzję wadliwą – sam skarżący posługuje się takim terminem w swoich pismach procesowych i wewnętrznych dokumentach, sam skarżący ponadto nie twierdzi, że to zbiorcze, generalne sformułowanie uniemożliwia odczytanie oświadczenia woli organu, a podaje tylko, iż "...może rodzić poważne trudności interpretacyjne.". Zauważyć jednak należy, że aktualnie obowiązujący art. 105a Prawa bankowego używa formuły "...po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów".
Odnośnie zawartego w skardze naruszenia art. 75 § 1 i 77 § 1 Kpa Sąd orzekający ocenił, że w niniejszej sprawie pierwszorzędnego znaczenia nabiera fakt, iż zaskarżona decyzja nie spełnia wymagań art. 107 § 3 Kpa. We wniosku o ponowne rozpatrzenie sprawy Biuro wskazało szereg okoliczności, które, w jego ocenie, wpływają na zakres uprawnienia B. S.A. do przetwarzania danych określanych jako dane historyczne. Do tych okoliczności skarżący zaliczył tzw. Nową Umowę Kapitałową Komitetu Bazylejskiego i projekt stosownej dyrektywy Komisji Europejskiej. Biuro sformułowało też zarzut naruszenia wyłącznych kompetencji Komisji Nadzoru Bankowego do oceny prawidłowości wykonywania przez banki czynności bankowych. Sąd nie może oczywiście w żadnym zakresie zastąpić organu w ocenie zasadności tych argumentów. Sąd zauważa natomiast, że zaskarżona decyzja do tych argumentów w ogóle się nie odnosi. GIODO nie był, wbrew twierdzeniom skargi, zobowiązany do przeprowadzenia postępowania dowodowego w tym zakresie, o ile mógł samodzielnie do nich się odnieść, a takie odniesienie nie wymagało postępowania dowodowego co do stanu faktycznego, lecz wymagało jedynie wyrażenia poglądu prawnego. Nic jednak nie zwalniało organu od obowiązku odniesienia się do argumentów, które strona uznała za istotne. Organ administracji, który nie ustosunkowuje się do twierdzeń uważanych przez strony za istotne dla sposobu załatwienia sprawy, uchybia obowiązkom wynikającym z art. 8 i 11 Kpa. Nie może też oczekiwać, że zrobi to za niego sąd, kontrolując zaskarżoną decyzję (wyrok NSA z dnia 11 lipca 2001 r., sygn. IV SA 703/99, LEX 51234). Organ był zobowiązany wszystkie te okoliczności zbadać, ustalić, a swoim ustaleniom faktycznym i ich ocenie prawnej dać wyraz w uzasadnieniu decyzji. Braki w tym zakresie nie tylko uchybiają zasadzie przekonywania wyrażonej w art. 11 Kpa, ale uniemożliwiają sądowi administracyjnemu efektywną kontrolę podjętej w sprawie decyzji. Gdyby więc organ wyjaśnił powody (w podjętej decyzji, a nie dopiero w odpowiedzi na skargę), dla których powyższe argumenty uznaje za chybione, a ewentualnie błędne stanowisko organu wyniknęłoby z istniejących braków w materiale dowodowym, zarzut naruszenia art. 75 § 1 i 77 § 1 Kpa byłby zasadny. W aktualnym stanie rzeczy ocena tego zarzutu przez Sąd byłaby przedwczesna. W pierwszej kolejności organ sam zobowiązany będzie do wyrażenia swojego stanowiska na temat Nowej Umowy Kapitałowej, projektowanych rozwiązań legislacyjnych Unii Europejskiej i sugerowanych w skardze wyłącznych kompetencji Komisji Nadzoru Bankowego w materii objętej kwestionowaną decyzją, a także wpływu tych okoliczności (braku takiego wpływu) na podjęte rozstrzygnięcie.
W dalszym postępowaniu GIODO zobowiązany więc będzie do uwzględnienia praw i obowiązków Biura wynikających z powyżej wskazanych przepisów ustawy (art. 23 ust. 1 pkt 2 i 5, art. 26 ust. 1 pkt 4) i Prawa bankowego (art. 70 ust. 1 i 105 ust. 4), a także do precyzyjnego odniesienia się do wszystkich argumentów podniesionych przez Biuro na etapie postępowania administracyjnego. W razie wątpliwości, co do rzeczywistych potrzeb sektora bankowego w zakresie korzystania z danych zgromadzonych przez skarżącego, postępowanie dowodowe powinno być uzupełnione w zgodzie z art. 75 § 1 Kpa. W końcu zauważyć należy, że organ zobowiązany będzie stosować przepisy prawne obowiązujące w chwili wydawania decyzji w sprawie. W tym kontekście konieczne będzie uwzględnienie zmian Prawa bankowego wynikających z ustawy z dnia 15 kwietnia 2005 r. o zmianie ustawy o ochronie informacji niejawnych oraz niektórych innych ustaw (Dz. U. Nr 85, poz. 727). Kwestią istotną będzie ustalenie wpływu tej nowelizacji na prowadzone postępowanie, zwłaszcza określenie, czy art. 105a Prawa bankowego rzeczywiście poszerza zakres uprawnień Biura względem poprzednio obowiązującego stanu prawnego, czy też zakres też zawęża.
Wobec powyższego, na podstawie art. 145 § 1 pkt 1 lit. "a" i "c" Prawa o postępowaniu przed sądami administracyjnymi Sąd orzekł, jak w sentencji. Odnośnie wstrzymania zaskarżonej decyzji Sąd orzekł na podstawie art. 152 tej ustawy, a w zakresie kosztów postępowania – jej art. 200 w zw. z art. 205 § 2.