II SA/WA 1889/23

II SA/Wa 1889/23 - Wyrok WSA w Warszawie
Data orzeczenia
2024-05-08
orzeczenie prawomocne
Data wpływu
2023-09-26
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Andrzej Góraj /sprawozdawca/
Iwona Maciejuk
Joanna Kube /przewodniczący/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Sygn. powiązane
III OZ 469/24 - Postanowienie NSA z 2024-11-20
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Joanna Kube, Sędzia WSA Iwona Maciejuk, Sędzia WSA Andrzej Góraj (spr.), po rozpoznaniu w trybie uproszczonym w dniu 8 maja 2024 r. sprawy ze skargi D. K. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] lipca 2023 r. nr [...] w przedmiocie odmowy uwzględnienia wniosku oddala skargę.
Uzasadnienie
Prezes Urzędu Ochrony Danych Osobowych (dalej jako: "PUODO" lub "organ"), decyzją z [...] lipca 2023 r. nr [...] ., wydaną na podstawie
art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz.U. z 2023 poz. 775 ze zm., dalej jako: k.p.a.), w zw. z art. 7 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781, dalej jako: u.o.d.o.) oraz na podstawie art. 6 ust. 1 lit. c i f oraz art. 58 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz.
UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35, dalej
jako: RODO), po przeprowadzeniu postępowania administracyjnego w sprawie skargi D. K. (dalej jako: Skarżący), na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Bank [...] S.A. z siedzibą w W. (dalej jako: Bank) polegające na przetwarzaniu danych osobowych skarżącego w zakresie umowy kredytu [...] bez podstawy prawnej oraz udostępnieniu ich do B. S.A. z siedzibą w [...] (dalej jako: B.) odmówił uwzględnienia wniosku.
W uzasadnieniu organ wyjaśnił, że do PUODO wpłynęła skarga skarżącego,
na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Bank, polegające na przetwarzaniu jego danych osobowych w zakresie umowy kredytu [...] bez podstawy prawnej oraz udostępnieniu ich do B.,
bez podstawy prawnej.
PUODO wskazał, że ustalił następujący stan faktyczny:
1) W skardze inicjującej postępowanie skarżący wskazał, że uprzednio I. Bank, a obecnie Bank uważają, że zawarł on umowę kredytu nr [...], z której się nie wywiązuje. Skarżący wskazał, że cyt.: "Od kilku lat proszę osobiście a także przez pełnomocnika o przedłożenie mi poświadczonej na zgodność z oryginałem kopii umowy którą rzekomo zawarłem. Mimo wielokrotnych monitów ani I. Bank ani teraz Bank [...] takiej umowy mi nie przedstawili a wręcz przeciwnie przyznają że nie posiadają takiej umowy. Jeśli nie posiadają umowy nie posiadają też mojej zgody na przetwarzanie danych osobowych. Mimo to w Bazie B.-firma jest wpis o moim zadłużeniu. (...) W mojej ocenie spowodowane bezprawnym działaniem banku. Dokonywanie wpisów bez posiadanej umowy i zgody na przetwarzanie danych osobowych łamie prawo i moim zdaniem kłóci się
z elementarnym poczuciem sprawiedliwości". Wobec powyższego Skarżący zwrócił się do Prezesa UODO z żądaniem usunięcia jego danych osobowych w zakresie ww. umowy kredytu przez Bank i B.
2) W złożonych wyjaśnieniach Bank wskazał, że w związku z decyzją Bankowego Funduszu Gwarancyjnego z dnia [...] grudnia 2020 r. o wszczęciu przymusowej restrukturyzacji wobec I. Bank S.A. z siedzibą w [...]
(dalej jako: I. Bank S.A.), o przejęciu przez Bank działalności I. Bank S.A. z wyłączeniem określonych w ww. decyzji praw majątkowych
i zobowiązań, podmiotem odpowiedzialnym w niniejszej sprawie stał się Bank.
3) Bank wyjaśnił, że I. Bank S.A. pozyskał dane osobowe Skarżącego bezpośrednio od Skarżącego w związku z zawarciem z nim umowy
o rachunek bankowy oraz o świadczenie innych usług bankowych
nr [...] z dnia [...] stycznia 2015 r., jako osobą prowadzącą działalność gospodarczą pod firmą Przedsiębiorstwo [...]. Dane Skarżącego były pozyskiwane przez I. Bank S.A. również w późniejszym okresie bezpośrednio od skarżącego, w związku z zawarciem umowy kredytowej z dnia [...] czerwca 2015 r.
nr [...] (data zawarcia - podpisu 18 czerwca 2015 r.).
Bank wyjaśnił, że z uwagi na zawarcie ww. umowy przed dniem [...] maja
2018 r. I. Bank S.A. pozyskał dane osobowe skarżącego na podstawie
art. 23 ust. 1 pkt 3 u.o.d.o., tj. przetwarzanie danych było niezbędne do podjęcia działań przed zawarciem umowy lub do realizacji tej umowy. Bank wskazał, że umowa nr [...] została przez I. Bank S.A. wypowiedziana w dniu [...] marca 2020 r., wobec braku dokonywania przez Skarżącego spłaty rat i jest widoczna w B. jako rachunek [...].
4) Bank wskazał, że aktualnie przetwarza dane osobowe Skarżącego pozyskane w związku z umową kredytu [...] w zakresie: imię, nazwisko, data to urodzenia, miejsce urodzenia, nazwisko rodowe matki, numer PESEL, obywatelstwo, typ dokumentu tożsamości, data wydania, data ważności, podpis skarżącego, adres zameldowania, adres korespondencyjny, adres e-mail, numer telefonu komórkowego, dane finansowe (dane dotyczące realizowanych transakcji - np. saldo rachunku), informacje dotyczące prowadzonej przez Skarżącego działalności tj. nazwa firmy, REGON, NIP, imię i nazwisko beneficjenta rzeczywistego, udział beneficjenta rzeczywistego oraz adres beneficjenta rzeczywistego. Dane te przetwarzane są w celach:
• oceny zdolności kredytowej i analizy ryzyka kredytowego zgodnie
z art. 105a ust. 1-1 c ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz.U. z 2022 r., poz. 2324, dalej jako Prawo bankowe), dane te będą przetwarzane do momentu wygaśnięcia zobowiązania; realizacji wymogów ostrożnościowych tj. ocena ogólnej ekspozycji oraz ryzyka ekspozycji Banku, do czego służy stosowanie wewnętrznych metod oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia
nr 575/2013;
• wykonywanie obowiązków związanych z przeciwdziałaniem praniu pieniędzy i finansowaniu terroryzmu, w szczególności wynikających
z art. 33 ust. 1, art. 34 ust. 1 oraz 49 ust. 1 ustawy z dnia 1 marca 2018 r. przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu (Dz.U.
2022 r., poz. 593), dalej jako ustawa AML, a także wykonywanie obowiązków związanych z przeciwdziałaniem popełnianiu innych przestępstw, w tym przestępstw na szkodę banków zgodnie z art. 106d Prawa bankowego w związku z art. 49 Prawa bankowego. W związku
z art. 106d ust. 1 pkt 3 Prawa bankowego banki, inne instytucje ustawowo upoważnione do udzielania kredytów, izby rozliczeniowe utworzone na podstawie art. 67, instytucje utworzone na mocy art. 105 ust. 4, jednostki zarządzające systemem ochrony, o których mowa w art. 22d ust. 1 pkt 2 ustawy o funkcjonowaniu banków spółdzielczych, ich zrzeszaniu się
i bankach zrzeszających, jednostki zarządzające systemem ochrony,
o których mowa w art. 130e ust. 1, instytucje pożyczkowe, instytucje finansowe, których podstawowa działalność polega na udostępnianiu składników majątkowych na podstawie umowy leasingu lub świadczeniu usług faktoringowych, podmioty, których podstawowa działalność polega na udostępnianiu składników majątkowych na podstawie umowy leasingu, oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r.
o kredycie konsumenckim, mogą przetwarzać i wzajemnie udostępniać informacje, w tym informacje objęte tajemnicą bankową, w przypadku wykonywania obowiązków w zakresie określonym w przepisach
o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu;
• w ogólnym celu związanym z zabezpieczeniem możliwości ustalenia, dochodzenia lub obrony przed roszczeniami, na podstawie art. 6 ust. 1
lit. c lub f RODO, w związku z art. 118 oraz art. 4421 ustawy z dnia
23 kwietnia 1964 r. Kodeks cywilny (Dz.U. 2022 r., poz. 1360) oraz na podstawie art. 6 ust. 1 lit. c RODO w związku z art. 74 ust. 2 i 3 ustawy
z dnia 29 września 1994 r. o rachunkowości (Dz.U. 2022 r., poz. 2017, dalej jako: ustawa o rachunkowości), na podstawie obowiązku prawnego,
w celach archiwizacyjnych dowodów księgowych.
5) Bank wskazał, że zobowiązanie Skarżącego wobec Banku nie wygasło, albowiem Skarżący w dalszym ciągu nie wywiązuje się z obowiązku spłaty. ustanowionego w treści umowy zawartej przez niego z Bankiem. Bank wszczął względem Skarżącego postępowanie windykacyjne. Bank wyjaśnił, że środki z tytułu umowy, zostały przez Bank Skarżącemu wypłacone. Jego zobowiązanie A wobec Banku jest aktualne, stale rośnie - z uwagi na brak płatności - i na dzień 21 listopada 2022 r. wynosiło 87 482,87 zł. Bank zamierza zatem skorzystać z przysługujących mu, wynikających z przepisów powszechnie obowiązującego prawa, środków zmierzających do wyegzekwowania wypłaconej kwoty kredytu
6) Bank wskazał, że nie wpłynęło dotąd do Banku żadne pismo procesowe wszczynające postępowanie cywilne. Poza korespondencją, której kopię Bank przekazał do Urzędu w treści uprzednio przesłanej w sprawie korespondencji. Skarżący skierował do Banku jeszcze dwie reklamacje, które w dniu 3 lutego 2023 r. zostały rozpatrzone, jako niezasadne.
7) Bank wskazał, że do Banku nie wpłynął oryginał podpisanej umowy kredytowej z dnia [...] czerwca 2015 r. nr [...], stąd Bank nim nie dysponuje. W ocenie Banku istnieje szereg faktów, w oparciu o które Bank uznał, że przedmiotową umowę kredytu z Bankiem zawarł Skarżący.
Na posiadane przez Bank kopii umowy kredytowej z dnia [...] czerwca 2015 r. widnieją złożone przez Skarżącego oraz przedstawiciela Banku podpisy.
W dniu 24 czerwca 2015 r. Bank wypłacił Skarżącemu środki objęte umową kredytu, zaś do roku 2019 r. Skarżący nie kwestionował zawarcia z Bankiem umowy kredytowej, dokonując wpłat tytułem zwrotu kredytu, choć nieregularnie. Jak dowód do wyjaśnień Bank przedłożył wyciąg z rachunku umowy kredytowej nr [...], z którego wynika, że w okresie od 20 lipca 2015 r. do dnia 26 listopada 2019 r. były dokonywane spłaty poszczególnych rat kredytu.
8) Bank wyjaśnił, że w dniu 17 czerwca 2019 r. Bank skierował do Skarżącego wiadomość elektroniczną, w której poinformował Skarżącego, iż do Banku nie wpłynął oryginał ww. umowy oraz podkreślił w związku z tym niezbędna będzie wizyta Skarżącego w jednym z oddziałów Banku w celu uzupełnienia braków. Skarżący odniósł się do przedmiotowej wiadomości, wskazując na oddział Banku zlokalizowany w C. dookreślając przy tym także datę swej wizyty. W żadnym oddziale Banku Klient jednak się dotąd nie pojawił i rozpoczął proces kwestionowania zawarcia umowy.
9) Bank wyjaśnił, że dane osobowe Skarżącego dot. umowy z dnia [...] czerwca 2015 r. nr [...], przekazane zostały do B. w dniu
[...] czerwca 2015 r. w zakresie imienia, nazwiska, numeru PESEL, REGON, NIP, nazwy i adresu prowadzonej działalności gospodarczej, płci, rodzaju
i serii dokumentu tożsamości, obywatelstwa, daty urodzenia i adresu, a także informacje odnoszące się do zawartej umowy i sposobu regulowania zobowiązania (np. terminów dokonywania wpłat i ich kwot). Następnie dane były i nadal są przekazywane do B. w ramach bieżącej aktualizacji wraz
z informacją o tym, w jaki sposób Skarżący reguluje swoje zobowiązanie. Dane dotyczące zobowiązania z umowy kredytu nr [...]
z wraz z ww. danymi Skarżącego przekazywane są do B. oraz przetwarzane w systemach B. w oparciu o ww. przepisy, a także z uwagi na uzasadniony interes Banku oraz innych instytucji finansowych, polegający na możliwości dokonania odpowiedniej oceny ryzyka udzielenia Skarżącemu kolejnego finansowania tj. art. 6 ust. 1 lit. c i f. Dane te przekazywane są na podstawie art. 105 ust. 4 i art. 105a ust. 1 oraz art. 105 ust. 4i Prawa bankowego
w oparciu o wskazane przepisy oraz umowy zawarte z B. Wymianę danych pomiędzy Bankiem i B. w okresie pierwszego przekazania danych Skarżącego do B. regulowała Umowa w sprawie gromadzenia, przetwarzania i udostępniania informacji w Bazie [...] B. "Przedsiębiorca" zawarta w dniu [...] grudnia 2011 r. oraz stanowiący jej integralną część Regulamin gromadzenia, przetwarzania i udostępniania informacji przez B. w [...] B. "Przedsiębiorca". W późniejszym okresie Bank i B. zawierały kolejne umowy w zakresie współpracy polegającej na zbieraniu
i udostępnianiu na podstawie art. 105 ust. 4 pkt 1 i 2 Prawa bankowego informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych oraz udostępnianiem przez B. innych produktów i usług oferowanych przez B.
10) Bank wyjaśnił, że Skarżący zwracał się do Banku z wnioskami o wykreślenie jego danych z B. z uwagi na kwestionowanie przez niego faktu zawarcia
z Bankiem umowy kredytu nr [...]. W treści swej korespondencji podnosił zarzut nieistnienia zobowiązania i w konsekwencji żądał usunięcia wpisu widniejącego w B. Bank w odpowiedzi na kierowane przez Skarżącego pisma wskazywał dowody potwierdzające skuteczne zawarcie umowy kredytowej i brak możliwości uczynienia zadość żądaniu Skarżącego.
11) B. wskazał, że pozyskał i przetwarza dane osobowe Skarżącego w zakresie umowy kredytowej o nr [...] zawartej przez Przedsiębiorstwo [...] z Bankiem. Dane dotyczące firmy Skarżącego są przetwarzane w bazie [...] B. Przedsiębiorca. Jak wyjaśnił B. cyt.: "Zgodnie z treścią skargi oraz dokumentacją dołączoną do pisma PUODO, umowę kredytu [...] wskazaną w treści wyżej wskazanego pisma, należy zidentyfikować jako umowę kredytu z dnia
[...] czerwca 2015 r. o nr [...] zawartą przez Przedsiębiorstwo [...] z Bankiem. Na taką identyfikację pozwala
w szczególności data zawarcia umowy, kwota kredytu oraz dane zawarte
w raporcie "B. Moja Firma", który został załączony przez Skarżącego do przedmiotowej skargi. Dane wynikające z umowy kredytu z dnia [...] czerwca 2015 r. zostały pozyskane przez B. na podstawie art. 105 ust. 4 Prawa bankowego, art. 105a ust. 1 Prawa bankowego oraz na podstawie łączącej Bank i B. umowy.
12) B. wyjaśnił, że Bank potwierdził, że umowa kredytu o nr
[...] widnieje w bazie B. jako umowa
o nr [...], z uwagi na odmienny sposób konstrukcji numerów rachunkowych. Jeżeli chodzi o rozbieżności w zakresie daty zawarcia umowy. Bank wskazał, że w dniu [...] czerwca 2015 r. nastąpiło rzeczywiste uruchomienie wyżej wskazanej umowy i taka data została przekazana przez Bank do B. Nadto Bank wskazał, że w dniu [...] czerwca 2015 r. miało miejsce sporządzenie umowy kredytowej, a dopiero w dniu [...] czerwca
2015 r. doszło do zawarcia umowy między Bankiem, a Skarżącym. Wobec powyższego, B. wystąpił do Banku z zapytaniem, czy w związku z tym,
że data [...] czerwca 2015 r. stanowiła datę uruchomienia umowy, a nie datę jej rzeczywistego zawarcia, ma zostać dokonana przez B. korekta, polegająca na zmianie daty zawarcia umowy z dnia [...] czerwca 2015 r. na dzień [...] czerwca 2015 r. Zgłoszenie złożone przez B. w przedmiotowej sprawie znajduje się w trakcie rozpatrywania.
13) B. wyjaśnił, że dane Skarżącego dotyczące umowy kredytu
o nr [...], aktualnie przetwarza w celu oceny zdolności kredytowej i analizy ryzyka kredytowego na podstawie art. 105a ust. 1 Prawa bankowego. Wyżej wskazane Zobowiązanie jest zobowiązaniem niewygasłym, pozostającym w trakcie spłaty, w związku z powyższym dane dotyczące ww. umowy będą przetwarzane na ww. podstawie prawnej do momentu jego wygaśnięcia;
14) B. wskazał że pismem z dnia 7 maja 2022 r. Skarżący zwrócił się
z wnioskiem o wykreślenie w bazie B. wpisu dotyczącego jego zadłużenia względem Banku. B. w odpowiedzi z dnia 10 maja 2022 r., poinformował Skarżącego, że z ww. wnioskiem Skarżący winien zwrócić się do Banku,
który jest administratorem jego danych. Następnie pismami z dnia 10 oraz 13 maja 2022 r. Skarżący ponowił swój wniosek o treści cyt.: "(...) żądam wykreślenia istniejącego w waszej bazie wpisu o moim rzekomym zadłużeniu (...)". W odpowiedzi pismem z dnia 3 czerwca 2022 r. B. poinformował Skarżącego, że jego zgłoszenie zostało przekazane do Banku w celu jego weryfikacji oraz o tym, że w celu wyjaśnienia ww. sprawy powinien on zgłosić się do Banku. W dniu 10 czerwca 2022 r. Skarżący ponownie przesłał zgłoszenie o treści jak powyżej. W odpowiedzi, pismem z dnia 30 czerwca 2022 r. B. ponownie wskazał Skarżącemu, że jego wniosek został przekazany do Banku i w celu wyjaśnienia ww. sprawy powinien zwrócić się bezpośrednio do Banku. W dniu 7 lipca 2022 r. Skarżący przesłał do B. kolejne zgłoszenie o treści cyt.: "Ja nie zgadzam się z Pani stanowiskiem. Nadal uważam ze skoro macie wiarygodną informacje o bezpodstawności wpisu (potwierdzoną przez podmiot dokonujący wpisu) macie obowiązek taki wpis wykreślić". B. w odpowiedzi, pismem z dnia 26 lipca 2022 r., ponownie pouczył Skarżącego, że B. nie jest uprawniony do zmiany ani modyfikowania danych otrzymanych od banków i z ww. wnioskiem powinien on zgłosić się bezpośrednio do Banku.
Dalej organ, po zapoznaniu się z całością zgromadzonego w sprawie materiału dowodowego wskazał, że Bank przetwarza dane osobowe Skarżącego,
jako administrator danych w rozumieniu art. 4 pkt 7 RODO, min. w związku z zawartą
w dniu [...] czerwca 2015 r. umową kredytową nr [...]. Bank pozyskał i początkowo przetwarzał dane Skarżącego na podstawie art. 23 ust. 1 pkt 3 ustawy
z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r., poz. 922), dalej jako ustawa z dnia 29 sierpnia 1997 r., tj. w celach niezbędnych do wykonania umowy, co było uzasadnione następnie także w oparciu o art. 6 ust. 1 lit. b RODO.
W związku z brakiem spłaty wierzytelności wynikającej z umowy kredytu o numerze [...], w dniu [...] marca 2020 r. ww. umowa została przez Bank wypowiedziana i tym samym Bank rozpoczął wobec Skarżącego postępowanie windykacyjne. Podkreślić należy zatem, że proces przetwarzania przez Bank danych osobowych Skarżącego w celu dochodzenia należnej mu niespłaconej wierzytelności, niezbędny jest do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora, następuje zatem w oparciu o przesłankę legalizującą określoną w art. 6 ust. 1 lit. f RODO. Przetwarzanie danych osobowych Skarżącego w ww. celu nie może być postrzegane jako naruszające jego prawa
i wolności.
Organ podzielając pogląd Naczelnego Sądu Administracyjnego wskazał,
że przetwarzanie danych osobowych dłużnika w celu dochodzenia od niego zaspokojenia roszczeń stanowi prawnie usprawiedliwiony cel oraz nie narusza jego praw i wolności. W pojęciu dochodzenia roszczeń natomiast, mieszczą się zarówno sądowe, jak i pozasądowe działania zmierzające do zaspokojenia wierzytelności przez wierzyciela, mieszczące się w granicach obowiązujących przepisów.
PUODO powołując się na orzecznictwo sądów administracyjnych wskazał,
że przepisy dotyczące ochrony danych osobowych nie mogą być wykorzystywane jako podstawa dla uchylania się przez dłużników od spełnienia zaległych zobowiązań.
Ponadto, w zaskarżonej decyzji organ podkreślił, że w niniejszej sprawie PUODO na podstawie zebranego materiału dowodowego dokonał jedynie oceny legalności przetwarzania danych osobowych Skarżącego, natomiast nie badał kwestii słuszności roszczeń cywilnoprawnych Banku wobec Skarżącego, gdyż zagadnienie to pozostaje poza kompetencjami Prezesa UODO, podzielając pogląd wyrażony w wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 8 stycznia 2010 r.
(sygn. akt II SA/Wa 1069/09), zgodnie z którym: "Generalny Inspektor Ochrony Danych Osobowych nie dokonuje oceny umów cywilnoprawnych, nie bada także zasadności roszczeń, ani wymagalności wierzytelności. Nie może także oceniać prawidłowości wykonywania umów, wprowadzania do nich zmian, nie ma prawa kontrolować podstaw ich wypowiadania, czy rozwiązywania. Dotyczy to wszelkich umów cywilnoprawnych, w tym także umów przelewu wierzytelności. Problematyka ta podlega bowiem kognicji sądów powszechnych, ze względu na ich aspekt cywilnoprawny".
W związku z powyższym organ wskazał, że dopóki istnienie dotyczącej Skarżącego wierzytelności nie zostało podważone przez sąd powszechny, wywołuje ona skutki, które podlegają ocenie w świetle ustawy o ochronie danych osobowych. Organ w treści uzasadnienia wskazał również, że zgadza się ze stanowiskiem Wojewódzkiego Sądu Administracyjnego w Warszawie, który w wyroku z dnia
8 stycznia 2010 r., w którym orzekł, że : "(...) organ nie mógł się wypowiadać w kwestii istnienia, bądź nieistnienia długu, jak i obowiązku jego zwrotu. Dla Generalnego Inspektora Ochrony Danych Osobowych zawarta umowa powinna być czynnością prawną nie podlegającą jego ocenie, wywołującą skutki prawne do czasu, dopóki nie zostanie zakwestionowana w formie i trybie przewidzianym przez prawo. Uznanie skarżącego przez uczestnika postępowania (...) za jego dłużnika nie mogło podlegać jakiejkolwiek kontroli ze strony Generalnego Inspektora Ochrony Danych Osobowych. Organ nie mógł badać zasadności roszczeń, zobowiązany był natomiast uwzględnić okoliczność istnienia roszczeń, jako jednego z elementów stanu faktycznego sprawy". Ponadto organ wskazał, że podziela również stanowisko WSA w Warszawie wyrażone w wyroku z dnia 6 lipca 2006 r. (sygn. akt II SA/Wa 2226/05), w którym orzekł: "Dopóki ważność umowy nie zostanie podważona we właściwym trybie i formie, umowa stanowi dokument wywołujący określone skutki prawne podlegające także ocenie w świetle ustawy o ochronie danych osobowych".
Organ w treści zaskarżonej decyzji wskazał, że w złożonych wyjaśnieniach Bank dodatkowo jako przesłankę legalizującą proces przetwarzanie danych osobowych Skarżącego, wskazał min. art. 6 ust. 1 lit. c RODO w związku z wykonywanie obowiązków związanych z przeciwdziałaniem praniu pieniędzy i finansowaniu terroryzmu, w szczególności wynikających z art. 33 ust. 1, art. 34 ust. 1 oraz 49 ust. 1 ustawy AML, a także wykonywanie obowiązków związanych z przeciwdziałaniem popełnianiu innych przestępstw, w tym przestępstw na szkodę banków.
Ponadto, PUODO powołując się na art. 106d Prawa bankowego oraz na
art. 49 ust. 1 ustawy AML uznał, że okres retencji danych osobowych Skarżącego, dotyczących umowy kredytu o numerze [...] jeszcze nie upłynął.
Organ w treści uzasadnienia wskazał również, że Bank przetwarza dane osobowe Skarżącego także na podstawie przepisów ustawy o rachunkowości, w związku z tym, zgodnie z art. 2 ust. 1 pkt 1 ustawy o rachunkowości spółki prawa handlowego zobowiązane są do stosowania jej przepisów. Następnie organ przytoczył treść art. 74 ust. 1 i 2 ustawy o rachunkowości oraz mając na uwadze te regulacje wskazał, Bank przetwarza obecnie w sposób legalny dane osobowe Skarżącego, dotyczące przedmiotowej umowy kredytu, w związku z obowiązkiem prawnym Banku w zakresie przechowywania dowodów księgowych, o którym mowa w art. 74 ust. 2 pkt 4 ustawy o rachunkowości,, co znajduje oparcie w przesłance legalizującej przetwarzanie danych osobowych wskazanej w art. 6 ust. 1 lit. c RODO.
Organ Odnosząc się natomiast do przetwarzania danych osobowych Skarżącego w rejestrze B., wskazał, że co do zasady podstawą prawną przetwarzania danych osobowych klientów przez Bank w B. może być obecnie przesłanka z art. 6 ust. 1 lit. f RODO, jeżeli przetwarzanie to jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora. Ponadto wskazał,
że B. jest instytucją utworzoną na podstawie art. 105 ust. 4 Prawa bankowego.
W dalszej części uzasadnienia, organ przytoczył treść art. 105a ust. 1, 3, 4 oraz 5 Prawa bankowego. Mając powyższe na uwadze PUODO wskazał, że materiału dowodowego zebranego w niniejszej sprawie wynika, że zobowiązanie Skarżącego dot. umowy o kredyt numer [...] z dnia [...] czerwca 2015 r. nie wygasło, gdyż do chwili składanych przez Bank wyjaśnień, Skarżący nie spłacił wszystkich należności względem Banku. W ocenie Prezesa Urzędu Ochrony Danych Osobowych, Bank jest zatem obecnie uprawniony do kontynuowania kwestionowanego przez Skarżącego procesu przetwarzania jego danych osobowych dotyczących czynnego zobowiązania, wynikającego z umowy o kredyt numer [...] z dnia [...] czerwca 2015 r., w celu oceny zdolności kredytowej i analizy ryzyka kredytowego w zasobach B., gdyż do powyższego Bank uprawniony jest na podstawie art. 105a ust. 1 Prawa bankowego.
Organ podzielając stanowisko Wojewódzkiego Sądu Administracyjnego w Warszawie wyrażone w wyroku z 15 marca 2017 r. o sygn. akt II SA/Wa 1695/16, wskazał, że proces przetwarzania przez Bank danych osobowych Skarżącego w B. w związku z istniejącym zobowiązaniem, w celu oceny zdolności kredytowej i analizy ryzyka kredytowego następuje w sposób legalny, w oparciu o przesłankę z art. 6 ust. 1 lit. f RODO w związku z art. 105a Prawa bankowego.
Ponadto, w ocenie Prezesa Urzędu Ochrony Danych Osobowych nie ma podstaw do stwierdzenia, aby w kwestionowanym przez Skarżącego procesie przetwarzania jego danych osobowych, doszło do nieprawidłowości. Materiał dowodowy zebrany w niniejszej sprawie wykazał, że Bank jest uprawniony do przetwarzania danych osobowych Skarżącego dotyczących umowy o kredyt numer
[...] z dnia [...] czerwca 2015 r. na podstawie art. 6 ust. 1 lit. c i f RODO.
Na powyższe decyzję, Skarżący wniósł skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie, wskazując, że zaskarża ją w całości. zaskarżonej decyzji zarzucił:
1) Naruszenie art. 6 ust. 1 lit c RODO poprzez uznanie, że jakiekolwiek przepisy prawa są przesłanką legalizującą przetwarzanie danych osobowych,
w sytuacji braku potwierdzenia wierzytelności z konkretnej umowy w papierowej dokumentacji,
2) Naruszenie art. 6 ust. 1 lit f RODO poprzez przyjęcie, że mógł być podstawą przekazania danych do B. podczas, gdy nie po to istnieją biura informacji kredytowej i inne tego typu instytucję, żeby publikować nierzetelne dane
i niemające formalnego potwierdzenia, bo nikomu to nie służy. Jest to całkowicie sprzeczne z celami o podstawami przetwarzania danych osobowych Skarżącego i stanowi też nadużycie prawa,
3) Błędne przyjęcie, że jakiekolwiek przepisy prawa, w tym ustawy AML
(w szczególności art. 33 ust 1., 34 ust. 1, 49 ust 1 ustawy AML) dały bankowi podstawę do przekazania danych do B. w celu publikacji danych
o zadłużeniu, nie mającym formalnego potwierdzenia w dokumentach,
4) Naruszenie art. 49 ust 1 ustawy AML poprzez przyjęcie, że przepis ten stanowił podstawę do przekazania danych do B.,
5) Naruszenie art. 74 ust 1 i 2 ustawy o rachunkowości, bowiem istotą sporu jest przekazanie danych do B., a ponadto właśnie bank naruszył ten przepis, gdyż nie posiada dokumentacji kwestionowanej umowy,
6) Naruszenie art. 5 ust. 2 RODO, tj. zasady rozliczalności,
7) Naruszenie art. 105a ust 1 Prawa bankowego poprzez przyjęcie, że na podstawie tego przepisu bank jest uprawniony do przekazywania danych do B.,
8) wydanie zaskarżonej decyzji z naruszeniem art. 7 w zw. z art. 77 § 1,
art. 80 k.p.a. poprzez:
• brak wyczerpującego zgromadzenia materiału dowodowego na skutek nie podejmowania żadnych inicjatyw dowodowych, które mogłyby zmierzać do wykazania istnienia wierzytelności wynikającej z konkretnego stosunku prawnego i w konkretnej wysokości i pomimo tego przyjęcie, że wierzytelność wynika z umowy w konkretnej wysokości,
• błędne przyjęcie, że konkretna umowa [...] została zawarta pomimo braku jej papierowej wersji i błędne przyjęcie,
że podpisał ją pracownik banku, mimo że w Skanie w miejscu podpisu przedstawiciela banku nie ma żadnego podpisu,
• błędne przyjęcie, że umowa, jeżeli istniała została wypowiedziana, pomimo braku,
• błędne przyjęcie, że z materiału dowodowego wynika, że zobowiązanie
z umowy [...] nie wygasło, gdyż organ w ogóle wskazał, że nie ma kompetencji oceniać,
• czy wierzytelność istnieje, natomiast z materiału nie wynika, by w ogóle doszło do zawarcia umowy, w szczególności nie ma papierowej kopii,
a w imieniu banku nikt nie podpisał umowy, a organ w ogóle nie rozważał innych podstaw istnienia wierzytelności,
• brak wyczerpującego, rzetelnego i wszechstronnego rozpatrzenia materiału sprawy, co doprowadziło Organ do poczynienia w zaskarżonej decyzji całkowicie dowolnych i nieuprawnionych ustaleń, jak wyżej wskazane.
9) wydanie zaskarżonej decyzji z naruszeniem art. 107 § 3 k.p.a., poprzez brak precyzyjnego wyjaśnienia podstawy faktycznej decyzji, co uniemożliwia właściwe zapoznanie się z motywami działania organu, a w rezultacie merytorycznego odniesienie się do motywów;
W oparciu o powyższe zarzuty Skarżący wniósł o uwzględnienie skargi
i uchylenie zaskarżonej decyzji oraz o zasądzenie od PUODO na rzecz skarżącego zwrotu kosztów postpowania.
W odpowiedzi na skargę organ wniósł o jej oddalenie podtrzymując wyrażone w zaskarżonej decyzji.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:
zgodnie z treścią przepisu art.1 par. 1 i 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (Dz. U. Nr.153, poz.1269 z późn. zm.) Sąd Administracyjny sprawuje wymiar sprawiedliwości poprzez kontrolę pod względem zgodności z prawem skarżonej decyzji administracyjnej. Jest więc to kontrola legalności rozstrzygnięcia zapadłego w postępowaniu administracyjnym, z punktu widzenia jego zgodności z prawem materialnym i procesowym. Oceniając przedmiotową decyzję według powyższych kryteriów, uznać należy, iż nie narusza ona prawa.
Istota sprawy w niniejszym postępowaniu sprowadzała się do oceny tego,
czy organ miał podstawy do uznania, że kwestionowane przez stronę przetwarzanie jej danych osobowych jest uprawnione.
W ocenie tut. Sądu na w/postawione pytanie należało udzielić pozytywnej odpowiedzi.
Na wstępie podkreślenia wymaga, że w niniejszym postępowaniu organ zajmuje się wyłącznie kwestią dotyczącą przetwarzania danych osobowych i poza ową materię nie może wykraczać by uchronić się przed zarzutem naruszenia prawa. Powyższe jest zaś wielce istotne dla realiów niniejszej sprawy, gdyż dla celu ustalenia podstaw faktyczno-prawnych dopuszczalności przetwarzania danych osobowych, wystarczające jest samo uwiarygodnienie faktu istnienia np. cywilnoprawnego stosunku zobowiązaniowego pomiędzy stronami, z którego administrator danych wywodzi swoje prawo do ich przetwarzania.
Omawiając powyższą problematykę nie sposób abstrahować także od tego, że organ zajmujący się ochroną danych osobowych nie posiada ustawowego umocowania do tego, by badać materię wywiązywania się z umów cywilnoprawnych przez ich strony, czy do badania skuteczności zawiązania się między stronami stosunku obligacyjnego. Ta problematyka należy do wyłącznej właściwości Sądów powszechnych rozpoznających konkretne powództwa.
Przechodząc do meritum badanej sprawy, w ocenie tut. Sądu organ miał wystarczające podstawy dla uznania za wiarygodne twierdzeń banku, że przetwarza dane osobowe uczestnika w związku z umową kredytu z dnia [...] czerwca 2015r. Za wiarygodnością owych twierdzeń przemawia fakt dysponowania przez bank m. in.
- kopią powyższej umowy kredytu,
- dowodem wypłaty na rzecz uczestnika kwoty na jaką opiewała przywołana umowa kredytu,
- dowodami wpłat dokonywanych przez uczestnika na rzecz kredytodawcy z tytułu spłaty rat owego kredytu.
Powyższych przesłanek świadczących o istnieniu podstawy do przetwarzania spornych danych osobowych uczestnik nie zdyskredytował skutecznie. W szczególności nie przedstawił prawomocnego orzeczenia Sądu ustalającego fakt nieistnienia omawianej umowy kredytu. Samo zaś uwypuklanie okoliczności braku dysponowania przez bank oryginałem omawianej umowy kredytu, wobec pozostałych w/w przesłanek, nie mogło odnieść zamierzonego przez uczestnika rezultatu w postaci wykazania braku podstaw do przetwarzania jego danych osobowych.
W świetle powyższego organ poprawnie przyjął, że bank będąc administratorem danych osobowych uczestnika, uzyskanych w związku z umową kredytu z dnia [...] czerwca 2015r. legitymuje się przesłanką legalizującą przetwarzanie owych danych. Ich przetwarzanie usprawiedliwiają uzasadnione interesy administratora zgodnie z motywem 47 RODO – związane ze zrealizowaniem celu polegającego na dochodzeniu zaspokojenia roszczeń cywilno-prawnych.
W związku z powyższym, biorąc pod uwagę okoliczność, że bank uwiarygodnił fakt istnienia zobowiązania kredytowego, miał podstawy prawne do przekazania informacji o powyższym do B., a ta instytucja posiadła uprawnienie do przetwarzania otrzymanych danych.
W tym stanie sprawy, nie podzielając argumentów zawartych w złożonej skardze, oraz uznając iż organ w sposób prawidłowy zebrał i ocenił materiał dowodowy, oraz iż przy wykonywaniu tych czynności nie naruszył przepisów prawa, Wojewódzki Sad Administracyjny w Warszawie orzekł jak w sentencji wyroku na podstawie art.151 ustawy z dnia 30 sierpnia 2002r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2024r. poz.935).