II SA/WA 225/04

II SA/Wa 225/04 - Wyrok WSA w Warszawie
Data orzeczenia
2004-06-03
orzeczenie prawomocne
Data wpływu
2004-03-08
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Andrzej Kołodziej
Jacek Fronczyk /sprawozdawca/
Małgorzata Jaśkowska /przewodniczący/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Stwierdzono nieważność decyzji I i II instancji
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia NSA (del.) Małgorzata Jaśkowska, Asesor WSA Andrzej Kołodziej, Asesor WSA Jacek Fronczyk (spr.),, Protokolant Joanna Ukalska, po rozpoznaniu na rozprawie w dniu 3 czerwca 2004 r. sprawy ze skargi E. S.A. z siedzibą w B. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] grudnia 2003 r. nr [...] w przedmiocie ochrony danych osobowych 1) stwierdza nieważność zaskarżonej decyzji oraz utrzymanej nią w mocy decyzji z dnia [...] października 2003 r. nr [...]; 2) zaskarżona decyzja nie podlega wykonaniu w całości; 3) zasądza od Generalnego Inspektora Ochrony Danych Osobowych na rzecz E. S.A. z siedzibą w B. kwotę 200,00 zł (dwieście złotych) tytułem zwrotu uiszczonego wpisu sądowego oraz kwotę 599,75 zł. (pięćset dziewięćdziesiąt dziewięć złotych siedemdziesiąt pięć groszy) tytułem zwrotu pozostałych kosztów postępowania.
Uzasadnienie
W dniu 7 lipca 2003r. do Biura Generalnego Inspektora Ochrony Danych Osobowych wpłynęła skarga A. M., w której skarżąca zwróciła się o zbadanie legalności udostępnienia przez [...] Sp. z o.o. jej danych osobowych podmiotowi zajmującemu się windykacją należności – E. S.A. z siedzibą w B.. A. M. wskazała, że w związku z pobytem za granicą nie uiściła należności za korzystanie z telewizji kablowej za okres od stycznia do marca 1999r., natomiast [...] Sp. z o.o. w dniu [...] czerwca 2002r. zawiadomiła ją o przekazaniu przysługującej Spółce, z tytułu wspomnianych zaległości, wierzytelności E. S.A..
W toku postępowania administracyjnego Generalny Inspektor Ochrony Danych Osobowych ustalił, że w dniu [...] października 1998r. A. M. zawarła z [...] Sp. z. o.o. umowę na dostarczanie sygnału telewizji kablowej do zajmowanego przez nią lokalu, która to umowa została następnie przez [...] Sp.z.o.o. rozwiązana w dniu [...] kwietnia 1999r. z powodu zalegania przez A. M. z płatnościami za więcej niż jeden okres płatności.
W dniu [...] lipca 2001r. [...] Sp.z.o.o., na podstawie art. 509 i nast. ustawy z dnia 23 kwietnia 1964r. – Kodeks cywilny (Dz. U. Nr 16, poz. 93 z późn. zm.), zawarła umowę o przelew wierzytelności z E. S.A., na mocy której E. S.A. przejęła wierzytelność [...] Sp.z o.o., w tym także wobec A. M. W wyniku powyższej umowy E. S.A. uzyskała dane osobowe A. M. obejmujące nazwisko i imię, adres zamieszkania, numer i datę faktury, kwotę należności głównej oraz odsetek.
Pismem z dnia 4 lutego 2003r. E. S.A. poinformowała A. M., że na podstawie umowy cesji, w dniu [...] czerwca 2002r. nabyła od [...] Sp. z o.o. jej dług (należność główna wraz z odsetkami za zwłokę), wynikający z umowy za dostarczanie sygnału telewizji kablowej oraz wskazała, na jakie konto jest ona obowiązana dokonać wpłaty tytułem uregulowania zadłużenia.
Generalny Inspektor Ochrony Danych Osobowych w dniu [...] października 2003r. wydał decyzję administracyjną, mocą której nakazał E. S.A. usunięcie danych osobowych A. M., pozyskanych bez jej zgody od [...] Sp. z o.o. ([...]).
E. S.A. złożyła wniosek o ponowne rozpoznanie sprawy. We wniosku tym Spółka wskazała, że ww. decyzja jest błędna i wniosła o jej uchylenie jako niezgodnej z prawem. Zażądała dopuszczenia dowodu z akt spraw zakończonych decyzjami z dnia [...] października 2001r. znak: [...]) oraz z dnia [...] lipca 2003r. (znak: [...]). Ponadto E. S.A. wskazała, że organ powołuje się w swym rozstrzygnięciu na art. 3851 § 1 i art. 3853 pkt 5 Kc stwierdzając, że zbycie wierzytelności stanowiło niedozwoloną klauzulę umowną w umowie między A. M. a [...] Sp. z o.o., podczas gdy art. 509 nie stanowi dla takiej transakcji zbycia wierzytelności dostatecznej podstawy prawnej". E. S.A. podniosła, że w rozumowaniu takim tkwi zasadniczy błąd logiczny, gdyż ani możliwość zbycia wierzytelności, ani też sam fakt jej zbycia nie stanowi w ogóle klauzuli umownej między A. M. a [...] Sp. z o.o., i dlatego nie można oceniać, czy taka klauzula jest w tej umowie dozwolona czy nie. Wskazał także, iż możliwość zbycia wierzytelności jest dopuszczalna ustawowo bez zgody dłużnika i nie ma nic wspólnego z treścią umowy pomiędzy dłużnikiem a pierwotnym wierzycielem.
Po ponownym rozpatrzeniu sprawy Generalny Inspektor Ochrony Danych Osobowych wydał w dniu [...] grudnia 2003r. decyzję (znak: [...]), mocą której utrzymał swoją decyzję pierwszoinstancyjną nakazującą E. S.A usunięcie danych osobowych A. M., pozyskanych bez jej zgody od [...] Sp. z o.o.
W skardze do Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 5 lutego 2003r., złożonej za pośrednictwem Generalnego Inspektora Ochrony Danych Osobowych, E. S.A. wniosła o uchylenie decyzji GIODO zarzucając organowi rażące naruszenie prawa polegające na niewłaściwym zastosowaniu przepisu art. 23 ust. 1 pkt 1 ustawy o ochronie danych osobowych, pominięciu w ocenie stanu prawnego sprawy treści przepisu art. 23 ust. 1 pkt 5 przedmiotowej ustawy oraz błędnej interpretacji przepisu art. 3853 pkt 5 Kodeksu cywilnego.
E. S.A. wskazała, że przepis art. 3851 § 1 Kc, który definiuje niedozwolone postanowienia umowne, dotyczy wyłącznie tej części stosunku prawnego łączącego strony, który uregulowany jest umową, natomiast przepis ten nie odnosi się do tej części stosunku prawnego, który uregulowany jest przepisami powszechnie obowiązującego prawa. Dostateczną podstawą zezwalającą wierzycielowi na swobodne dysponowanie wierzytelnością oraz jej zbycie stanowił przepis art. 509 Kc, który to przepis umożliwił przekazanie nabywcy wierzytelności przez jej zbywcę danych identyfikujących osobę dłużnika, w zakresie niezbędnym dla czynności windykacyjnych lub odsprzedaży wierzytelności.
E. S.A. podkreśliła, że działalność Spółki, w zakresie ochrony przetwarzanych przez nią danych osobowych, była już przedmiotem postępowania administracyjnego toczącego się przed Generalnym Inspektorem i zakończonego wydaniem decyzji administracyjnej z dnia [...] października 2001 r. (znak: [...]) oraz z dnia [...] lipca 2003 r. (znak: [...]). Spółka wskazała przy tym, że powyższe postępowanie zostało wszczęte w związku z wystawioną w Internecie ofertą sprzedaży wierzytelności, natomiast Generalny Inspektor Ochrony Danych Osobowych uznał, iż działanie to jest zgodne z przepisami prawa, w tym z art. 509 Kc oraz art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych.
E. S.A. zarzuciła Generalnemu Inspektorowi, iż dokonał błędnej interpretacji przepisu art. 3853 pkt 5 Kc, wskazując przy tym, iż w zaskarżonej decyzji nie określił w której umowie znajduje się niedozwolona klauzula umowna oraz jakiej jest ona treści.
Spółka zarzuciła ponadto, iż w zaskarżonej decyzji Generalny Inspektor Ochrony Danych Osobowych wkroczył na obszar prawnej ochrony konsumenta, czym przekroczył swe ustawowe kompetencje.
W odpowiedzi na skargę Generalny Inspektor Ochrony Danych Osobowych podtrzymał stanowisko wyrażone w wydanych przez siebie decyzjach. W jego ocenie E. S.A. przetwarza dane osobowe A. M. w sposób nieuprawniony. Jak wynika bowiem z art. 23 ust. 1 ustawy, administrator danych powinien legitymować się przynajmniej jedną z przesłanek przetwarzania danych enumeratywnie wymienionych w tym przepisie. Przetwarzanie danych osobowych jest dopuszczalne m.in. wtedy, gdy osoba, której dane dotyczą, wyrazi na to zgodę (art. 23 ust. 1 pkt 1) lub gdy zezwalają na to przepisy prawa (art. 23 ust. 1 pkt 2) natomiast, w myśl przepisu art. 23 ust. 1 pkt 5 ustawy, przetwarzanie danych osobowych jest dopuszczalne, gdy jest niezbędne do wypełnienia prawnie usprawiedliwionych celów administratorów danych, o których mowa w art. 3 ust. 2, lub osób trzecich, którym są przekazywane te dane - a przetwarzanie danych nie narusza praw i wolności osoby, której dane dotyczą. Za prawnie usprawiedliwiony cel, o którym mowa powyżej, uważa się w szczególności dochodzenie roszczeń z tytułu prowadzonej działalności gospodarczej (art. 23 ust. 4 pkt 2 ustawy).
Odnosząc się do zarzutów niewłaściwego zastosowania przepisu art. 23 ust. 1 pkt 1 i pominięciu przy ocenie prawnej treści przepisu art. 23 ust. 1 pkt 5 ustawy Generalny Inspektor Ochrony Danych Osobowych wskazał, iż z treści postanowień umowy z dnia [...] października 1998r. na dostarczanie sygnału telewizji kablowej nie wynika, aby A. M. wyraziła zgodę na udostępnienie jej danych osobowych innym niż [...] Sp. z o.o. podmiotom. Wprawdzie ustawodawca zadecydował, iż przetwarzanie danych osobowych jest dopuszczalne, jeżeli jest to niezbędne do wypełnienia prawnie usprawiedliwionych celów administratorów danych, o których mowa w art. 3 ust. 2, lub osób trzecich - w tym do dochodzenia roszczeń z tytułu prowadzonej działalności gospodarczej, jednak powyższe prawo nie jest nieograniczone. Organ skonstatował, że w myśl wskazanego przepisu przetwarzanie danych osobowych w powyższym celu jest dopuszczalne wtedy, gdy nie narusza praw i wolności osoby, której dane dotyczą. Przekazanie E. S.A. danych osobowych A. M. przez [...] Sp. z o.o., w wyniku zawartej umowy przelewu wierzytelności, nie było niezbędne do dochodzenia roszczeń wynikających z umowy na dostarczanie sygnału telewizji kablowej. Zdaniem Generalnego Inspektora, jeżeli [...] Sp. z o.o. uznała, iż nie dysponuje wystarczającymi środkami organizacyjnymi skutecznego egzekwowania wobec A. M. należności, mogła je powierzyć E. S.A., na podstawie umowy, co byłoby zgodne z art. 31 ustawy i nie skutkowałoby zmianą administratora danych. Zgodnie z tym przepisem, administrator danych może powierzyć innemu podmiotowi, w drodze umowy zawartej na piśmie, przetwarzanie danych (art. 31 ust. 1 ustawy podmiot ten może przetwarzać dane wyłącznie w zakresie i celu przewidzianym w umowie (art. 31 ust. 2 ustawy). Zdaniem organu, gdyby zatem [...] Sp. z o.o. oraz E. skorzystali z powyższej konstrukcji prawnej, nie byłoby podstaw do kwestionowania legalności takiego działania.
W opinii Generalnego Inspektora udostępnienie przez [...] Sp. z o.o. danych osobowych A. M. E. S.A. naruszyło jej prawa i wolności.
Organ zaznaczył, że przepis art. 3851 § 1 zdanie pierwsze Kc stanowi, że postanowienia umowy zawieranej z konsumentem nie uzgodnione indywidualnie nie wiążą go, jeżeli kształtują jego prawa i obowiązki w sposób sprzeczny z dobrymi obyczajami, rażąco naruszając jego interesy (niedozwolone postanowienia umowne). Natomiast, w myśl art. 3853 pkt 5 Kc w razie wątpliwości uważa się, że niedozwolonymi postanowieniami umownymi są te, które w szczególności zezwalają kontrahentowi konsumenta na przeniesienie praw i przekazanie obowiązków wynikających z umowy bez zgody konsumenta. Wykładnia funkcjonalna powołanych powyżej przepisów wskazuje, że za niedozwolone uznać należy postanowienia umowy zawieranej z konsumentem, dopuszczające przeniesienie wierzytelności na osobę trzecią bez zgody konsumenta.
Jeżeli ustawa nie dopuszcza wprowadzenia do stosunków umownych klauzul zezwalających na przeniesienie praw i przekazanie obowiązków bez zgody konsumenta w sytuacji, gdyby było to sprzeczne z dobrymi obyczajami i w sposób rażący naruszało jego interesy, to tym bardziej nie może dojść do przeniesienia praw w sytuacji, gdy umowa na ten temat milczy. Rozumowanie a maiori ad minus prowadzi bowiem do wniosku, że skoro przelew jest niedopuszczalny, gdy był przewidziany w umowie, to tym bardziej jest niedopuszczalny, gdy umowa nie przewidywała takiej możliwości. Powoływanie się przy tym na swobodę umów nie ma znaczenia skoro ta kwestia jest uregulowana przez ustawodawcę, jako wyjątek od obowiązującej zasady swobody umów ze względu na konieczność zapewnienia ochrony konsumenta jako słabszej strony stosunku cywilnoprawnego.
Wskazując na słuszność przedstawionej powyżej interpretacji przepisów Kodeksu cywilnego Generalny Inspektor Ochrony Danych Osobowych przytoczył stanowisko Prezesa Urzędu Ochrony Konkurencji i Konsumentów, który uznał, iż "(...) cesja długów abonenta pomiędzy przedsiębiorcą, a firmą windykacyjną bez zgody konsumenta spełnia ogólne przesłanki niedozwolonego postanowienia umownego, określonego w art. 3853 pkt 5 Kc, tj. nie jest uzgodnione indywidualnie, kształtuje prawa i obowiązki w sposób sprzeczny z dobrymi obyczajami i naruszający interesy konsumenta. Jednocześnie art. 3853 pkt 5 Kc wyszczególnia cesję praw i obowiązków konsumenta bez jego zgody, jako jedno z typowych niedozwolonych postanowień umownych. Na gruncie innych przepisów Kodeksu cywilnego (art. 509 Kc) do zmiany wierzyciela nie jest wymagana zgoda konsumenta. Niemniej w literaturze (Prawo umów konsumenckich - Ewa Łętowska, 2 wyd. C.H.Beck 2002) znaleźć można bezpośrednie odniesienie tejże klauzuli do instytucji przelewu (powoływanej przez przedsiębiorców jako podstawa przekazywania zobowiązań konsumenckich firmom windykacyjnym) oraz przejęcia długu. W sposób jednoznaczny uznać należy zatem, że zakaz przekazania obowiązków jest lex specialis wobec unormowania zezwalającego na cesję wierzytelności bez zgody konsumenta".
Generalny Inspektor Ochrony Danych Osobowych podkreślił również, że o ile z treści przepisu art. 385 3 pkt 5 Kc wynika, że niedozwolonymi postanowieniami umownymi są te, które w szczególności zezwalają kontrahentowi konsumenta na przeniesienie praw i przekazanie obowiązków wynikających z umowy bez zgody konsumenta, to jednak ogólne przesłanki przesądzające o uznaniu postanowienia za niedozwolone określa art. 3851 § 1 Kc. Powyższy przepis stanowi bowiem, że postanowienia umowy zawieranej z konsumentem nie uzgodnione indywidualnie nie wiążą go, jeżeli kształtują jego prawa i obowiązki w sposób sprzeczny z dobrymi obyczajami, rażąco naruszając jego interesy (niedozwolone postanowienia umowne). Zdaniem organu, powyższe nie dotyczy postanowień określających główne świadczenia stron, w tym cenę lub wynagrodzenie, jeżeli zostały sformułowane w sposób jednoznaczny.
Generalny Inspektor Ochrony Danych Osobowych wskazał, iż z treści przepisów art. 3853 pkt 5 i art. 3851 § 1 Kc wynika zatem, że umieszczenie określonych postanowień w katalogu klauzul niedozwolonych nie przesądza automatycznie o tym, że mamy do czynienia z taką właśnie niedozwoloną klauzulą. Muszą być jeszcze spełnione ogólne przesłanki przesądzające o uznaniu postanowienia za niedozwolone.
W ocenie organu przykładem potwierdzającym naruszenie przez Spółkę interesów A. M. jest jej oświadczenie złożone do akt sprawy w dniu [...] listopada 2003 r., z którego wynika, że "po otrzymaniu informacji o zadłużeniu od firmy E. S.A., które wynikało wobec [...], skontaktowałam się z operatorem telewizji kablowej w celu uregulowania powstałej zaległości. W biurze [...] otrzymałam odpowiedź, że wierzytelność została sprzedana firmie E. i nie ma możliwości spłaty tego zadłużenia w [...]. Na pytanie dlaczego bez mojej zgody moje dane zostały udostępnione innej firmie, w biurze [...]. otrzymałam odpowiedź, że skoro nie wyraziłam sprzeciwu na przekazywanie danych to tak jak bym się zgodziła. Chcę jeszcze raz podkreślić, że z firmą E. nie zawierałam żadnej umowy, nie wyrażałam zgody na przetwarzanie przez tą firmę moich danych osobowych i nie czuję się zobowiązana do uregulowania moich zaległości na rzecz firmy E. S.A.".
Zdaniem Generalnego Inspektora Ochrony Danych Osobowych z treści powołanych przepisów wynika zatem wprost, że przelew wierzytelności przysługującej wobec konsumenta podlega szczególnym zasadom i stanowi wyjątek od postanowienia art. 509 § 1 Kc, iż zgoda dłużnika na zawarcie umowy przelewu jest potrzebna tylko wtedy, gdy w umowie łączącej wierzyciela z dłużnikiem wyłączono możliwość przeniesienia wierzytelności na osobę trzecią. W umowie zawartej pomiędzy [...] Sp. z o.o. a A.M. wprawdzie nie sformułowano w formie pisemnej postanowień o możliwości przeniesienia przez [...] Sp. z o.o. praw i obowiązków wynikających z umowy, bez zgody A. M., to jednak powyższe postanowienie wynikało wówczas bezpośrednio z przepisów prawa (art. 509 Kc i nast.), a tym samym znajdowało ono zastosowanie pomiędzy stronami ww. umowy. Bowiem do spraw, które nie są uregulowane postanowieniami umowy cywilnoprawnej stosuje się przepisy Kodeksu cywilnego.
Odnosząc się natomiast do powołanych przez E. S.A. decyzji administracyjnych z dnia [...] października 2001 r. (znak: [...]) oraz z dnia [...] lipca 2003 r. (Znak: [...]), organ wskazał, że dotyczyły one co prawda przetwarzania danych osobowych przez E. S.A., jednakże odnosiły się do innych kwestii, a mianowicie zasad zabezpieczenia danych osobowych oraz przetwarzania tych danych w zbiorach informatycznych. Powyższe nie wyklucza – zdaniem organu – możliwości, czy wręcz obowiązku, prowadzenia postępowania administracyjnego w sprawie A. M. na skutek złożonej przez nią skargi.
Organ odparł również zarzut E. S.A., iż wkroczył on w obszar prawnej ochrony konsumenta, przez co przekroczył swoje ustawowe kompetencje. GIODO zwrócił uwagę na art. 12 ustawy o ochronie danych osobowych, który stanowi, że do zadań Generalnego Inspektora Ochrony Danych Osobowych należy w szczególności kontrola zgodności przetwarzania danych z przepisami o ochronie danych osobowych oraz wydawanie decyzji administracyjnych. W związku z powyższym do kompetencji Generalnego Inspektora należy ocena działań administratora danych, podejmowanych przez niego w procesie przetwarzania danych osobowych pod kątem obowiązującego prawa.
GIODO stwierdził, iż E. S.A. nie dysponuje uprawnieniami do przetwarzania danych osobowych A. M., co uzasadnia nakaz usunięcia ich stosownie do treści ustawy o ochronie danych osobowych. W konkluzji wniósł o oddalenie skargi.
W piśmie procesowym z dnia 28 maja 2004r. E. S.A. ustosunkowała się do argumentów GIODO zawartych w odpowiedzi na skargę przedstawiając na poparcie swych zarzutów stanowiska prawników, jakie pojawiły się w literaturze fachowej, które, jej zdaniem, wskazują na nieprawidłowość wydanych przez organ rozstrzygnięć.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:
Zgodnie z art. 18 ust. 1 ustawy z dnia 29 sierpnia 1997r. o ochronie danych osobowych (Dz. U. z 2002r. Nr 101, poz. 926), w razie stwierdzenia naruszenia przepisów o ochronie danych osobowych Generalny Inspektor Ochrony Danych Osobowych z urzędu lub na wniosek osoby zainteresowanej nakazuje administratorowi danych w drodze decyzji administracyjnej przywrócenie stanu zgodnego z prawem, a w szczególności usunięcie danych osobowych ze zbioru w celu usunięcia naruszeń. Orzeczenia te powinny przy tym spełniać wszelkie wymogi decyzji administracyjnych, wskazane w art. 107 ustawy z dnia 14 czerwca 1960r. – Kodeks postępowania administracyjnego (Dz. U. z 2000r. Nr 98, poz. 1071 z późn. zm.).
Rozstrzygnięcie stanowiące dyspozytywną część decyzji jest jednym ze wspomnianych wymogów. W przypadku decyzji wydawanych przez Generalnego Inspektora Ochrony Danych Osobowych nakaz usunięcia danych osobowych nie może budzić żadnych wątpliwości, zwłaszcza w aspekcie wykonalności. Osnowa decyzji musi być zatem sformułowana w taki sposób, ażeby następnie możliwe było dobrowolne wykonanie decyzji lub wykonanie jej z zastosowaniem środków egzekucji administracyjnej.
Osnowę decyzji z dnia [...] października 2003r. Sąd uznał za nieprecyzyjną, wręcz uniemożliwiającą stronie dokładne zastosowanie się do nałożonego na nią nakazu. "Usunięcie danych osobowych" jest zwrotem niedookreślonym, wymagającym takiego doprecyzowania, które umożliwi E. S.A. rzeczywiste usunięcie danych osobowych, stosownie do treści art. 7 pkt 3 ustawy, poprzez zniszczenie danych osobowych lub taką ich modyfikację, która nie pozwoli na ustalenie tożsamości osoby, której dane dotyczą.
Zgodnie z art. 156 § 1 pkt 5 Kpa organ administracji publicznej stwierdza nieważność decyzji, która była niewykonalna w dniu jej wydania i jej niewykonalność ma charakter trwały.
Istniejąca możliwość zweryfikowania osnowy decyzji pod kątem jej wykonalności, nie doprowadziła w rezultacie do zmiany treści dyspozytywnej decyzji po ponownym rozpoznaniu sprawy, dlatego też Sąd stwierdził nieważność obu decyzji.
Jakkolwiek powyższe stało się powodem stwierdzenia nieważności zaskarżonej i utrzymanej nią w mocy decyzji, jednak, co należy podkreślić, nie zmienia to faktu, że Sąd podziela merytoryczną ocenę stanu faktycznego dokonaną przez Generalnego Inspektora Ochrony Danych Osobowych w świetle powszechnie obowiązującego prawa.
Stosownie do treści art. 23 ust. 1 ustawy o ochronie danych osobowych, administrator danych powinien legitymować się przynajmniej jedną z przesłanek przetwarzania danych, jakie enumeratywnie zostały wymienione w tym przepisie. Przetwarzanie danych osobowych jest dopuszczalne m.in. wtedy, gdy osoba, której dane dotyczą, wyrazi na to zgodę (art. 23 ust. 1 pkt 1) lub gdy zezwalają na to przepisy prawa (art. 23 ust. 1 pkt 2) natomiast, w myśl przepisu art. 23 ust. 1 pkt 5 ustawy, przetwarzanie danych osobowych jest dopuszczalne, gdy jest niezbędne do wypełnienia prawnie usprawiedliwionych celów administratorów danych, o których mowa w art. 3 ust. 2, lub osób trzecich, którym są przekazywane te dane - a przetwarzanie danych nie narusza praw i wolności osoby, której dane dotyczą. Za prawnie usprawiedliwiony cel, o którym mowa powyżej, uważa się w szczególności dochodzenie roszczeń z tytułu prowadzonej działalności gospodarczej (art. 23 ust. 4 pkt 2 ustawy).
Przesłanką zezwalającą na przetwarzanie danych osobowych musi być więc zgoda osoby, której dane dotyczą (brak w niniejszej sprawie), wyraźne upoważnienie ustawowe (np. ustawa o statystyce publicznej lub o policji) lub usprawiedliwiony cel administratora danych. W sytuacji upoważnienia ustawowego przepis prawa musi wskazywać wyraźnie na istnienie możliwości przekazania danych osobowych. Art. 509 Kc takiej dyspozycji nie zawiera, bowiem mówi jedynie o przelewie wierzytelności, zatem nie może być samoistną podstawą przekazania danych osobowych. Czym innym bowiem jest cesja wierzytelności, a czym innym przetwarzanie danych osobowych. Dlatego też należy rozważyć możliwość przetwarzania danych osobowych na podstawie art. 23 ust. 1 pkt 5 ustawy, gdy jest to niezbędne do wypełnienia prawnie usprawiedliwionych celów administratorów danych.
Umowa przelewu wierzytelności, podobnie jak działalność gospodarcza prowadzona w zakresie windykacji, może powodować, że powstaje usprawiedliwiony cel administratora. Jednakże trzeba pamiętać, że nie może nastąpić pogorszenie sytuacji prawnej właściciela danych.
Generalny Inspektor Ochrony Danych Osobowych i sąd administracyjny, oceniając czy nastąpiło pogorszenie sytuacji, rozpatruje ją na tle całokształtu przepisów, zarówno przepisów prawa administracyjnego, jak i przepisów prawa cywilnego. W ten sposób nie wkracza w kompetencje sądu powszechnego, gdyż nie wypowiada się o ważności umowy przelewu czy też jej skuteczności, do czego jest upoważniony sąd powszechny, lecz o przekazaniu danych z uwzględnieniem obowiązujących przepisów. Z tego względu wypowiedzi Generalnego Inspektora Ochrony Danych Osobowych na temat skuteczności czy ważności umowy przelewu mają charakter tylko prawnych dywagacji, które nie przesądzają sprawy w tym zakresie, lecz stanowią wyraz opinii organu.
Oceniając sytuację prawną kontrahenta strony umowy konsumenckiej, z którą mieliśmy do czynienia w niniejszej sprawie, należy badać, czy nastąpiło pogorszenie jego sytuacji prawnej w świetle przepisów dotyczących umów konsumenckich. Sąd przyjął, że art. 509 Kc mówi ogólnie o przelewie wierzytelności i pozwala na taki przelew bez zgody dłużnika, pod warunkiem, że nie sprzeciwia się to ustawie, zastrzeżeniu umownemu albo właściwości zobowiązania. Sąd rozważał, czy przy umowach konsumenckich dokonanie takiego przelewu bez zgody dłużnika nie sprzeciwia się ustawie.
Przepis art. 3851 § 1 Kc stanowi, że postanowienia umowy zawieranej z konsumentem nie uzgodnione indywidualnie nie wiążą go, jeżeli kształtują jego prawa i obowiązki w sposób sprzeczny z dobrymi obyczajami, rażąco naruszając jego interesy (niedozwolone postanowienia umowne). Z kolei w myśl art. 3853 pkt 5 Kc, w razie wątpliwości uważa się, że niedozwolonymi postanowieniami umownymi są te, które w szczególności zezwalają kontrahentowi konsumenta na przeniesienie praw i przekazanie obowiązków wynikających z umowy bez zgody konsumenta. Za niedozwolone należy zatem uznać te postanowienia umowy zawieranej z konsumentem, które dopuszczają przeniesienie wierzytelności na osobę trzecią bez jego zgody. Oznacza to, że takie postanowienia, nieuzgodnione z nim indywidualnie, jeżeli byłyby zawarte we wzorcu umownym nie wiążą go. W konsekwencji takie postanowienia, łącząc je z treścią art. 3853 pkt 5 Kc, musiałyby być określone w samej umowie indywidualnie uzgodnionej z konsumentem. Słusznie Generalny Inspektor Ochrony Danych Osobowych zauważył, że jeżeli ustawa nie dopuszcza wprowadzenia do stosunków umownych klauzul zezwalających na przeniesienie praw i przekazanie obowiązków bez zgody konsumenta w sytuacji, gdyby to było sprzeczne z dobrymi obyczajami i w sposób rażący naruszało jego interesy, to tym bardziej nie może dojść do przeniesienia praw w sytuacji, gdy umowa na ten temat milczy.
Przelew wierzytelności pomiędzy przedsiębiorcą, a firmą windykacyjną bez zgody konsumenta spełnia ogólne przesłanki niedozwolonego postanowienia umownego, określonego w art. 3853 pkt 5 Kc, albowiem nie jest uzgodniony indywidualnie, kształtuje prawa i obowiązki w sposób sprzeczny z dobrymi obyczajami i naruszający interesy konsumenta. Warto podkreślić, że art. 3853 pkt 5 Kc wyszczególnia cesję praw i obowiązków konsumenta bez jego zgody, jako jedno z typowych niedozwolonych postanowień umownych. Na gruncie innych przepisów Kodeksu cywilnego (art. 509 Kc) do zmiany wierzyciela nie jest wymagana zgoda konsumenta.
Cesja wierzytelności przysługującej wobec konsumenta podlega szczególnym rygorom i stanowi wyjątek od postanowienia art. 509 § 1 Kc, iż zgoda dłużnika na zawarcie umowy przelewu jest potrzebna tylko wtedy, gdy w umowie łączącej wierzyciela z dłużnikiem wyłączono możliwość przeniesienia wierzytelności na osobę trzecią. W umowie zawartej pomiędzy [...] Sp. z o.o. a A. M. wprawdzie nie sformułowano w formie pisemnej postanowień o możliwości przeniesienia przez [...] Sp. z o.o. praw i obowiązków wynikających z umowy, bez zgody A. M., to jednak powyższe postanowienie wynikało wówczas bezpośrednio z przepisów prawa (art. 509 Kc i nast.), a tym samym znajdowało ono zastosowanie pomiędzy stronami ww. umowy. Bowiem do spraw, które nie są uregulowane postanowieniami umowy cywilnoprawnej stosuje się przepisy Kodeksu cywilnego.
Choć umowa o przekazywanie sygnału telewizji kablowej została formalnie rozwiązana, to jednak skutki wynikające z niej nadal istniały w chwili dokonywania cesji wierzytelności. Tym skutkiem był istniejący dług A. M. za nieuregulowaną wobec [...] Sp. z o.o., wynikającą z powyższej umowy, należność. W takiej sytuacji pozyskanie danych A. M. przez E. S.A. od [...] Sp. z o.o. na podstawie art. 509 Kc przyjmuje charakter niedozwolonych postanowień umownych, o których mowa w art. 3851 § 1 i art. 3853 pkt 5 Kc, co pozostaje w opozycji do treści art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych.
Sąd nie badał prawidłowości umowy cesji, a jedynie ocenił, czy cesja wierzytelności jest prawnie usprawiedliwionym celem administratora danych uzasadniającym dopuszczalność przetwarzania danych osobowych w sposób nie naruszający praw i wolności osoby, której dane dotyczą. Czym innym bowiem jest skuteczność samej umowy przelewu, a czym innym przekazanie danych osobowych. Warto podkreślić, że rażące naruszenie interesu konsumenta (naruszenie praw i wolności) nie może być sprowadzane do wymiaru czysto ekonomicznego. Należy tu uwzględnić niewygodę organizacyjną, mitręgę, stratę czasu, nierzetelność traktowania, wprowadzenie w błąd, a także (coraz bardziej doceniane) naruszenie prywatności konsumenta itd. (E. Łętowska, Prawo umów konsumenckich, Warszawa 2002, s. 341). Dlatego też Sąd nie podzielił zarzutów skarżącej Spółki. Na marginesie, wobec stawianych przez nią tez, można dodać, iż możliwa jest taka sytuacja, gdy administrator danych przekazuje je bez jakiejkolwiek podstawy prawnej, w związku z czynnościami prawnie nieskutecznymi.
W sprawie Spółka E. S.A. przetwarzała dane osobowe A. M. nie wypełniając żadnej z przesłanek, o których mowa w art. 23 ust. 1 ustawy, a wejście w posiadanie danych na podstawie art. 509 Kc – nie poprzedzone jej zgodą – wykazuje cechy klauzuli abuzywnej. Sąd przyjął rozstrzygnięcie Generalnego Inspektora Ochrony Danych Osobowych za prawidłowe i odpowiadające przepisom ustawy o ochronie danych osobowych.
Konsekwencją stwierdzanych przez GIODO naruszeń są formułowane przez niego zakazy i nakazy. Niemniej jednak, pomimo prawidłowo poczynionych przez organ ustaleń faktycznych i prawnych, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 145 § 1 pkt 2 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. Nr 153, poz. 1270) w związku z art. 156 § 1 pkt 5 ustawy z dnia 14 czerwca 1960r. Kodeks postępowania administracyjnego (t.j.: Dz. U. z 2000r. Nr 98, poz. 1071 z późn. zm.), stwierdził nieważność obu wydanych decyzji z uwagi na wadliwość osnowy pierwszej z nich, powodującą pierwotną niemożność wykonania, o czym była mowa powyżej.
W oparciu o art. 152 ustawy – Prawo o postępowaniu przed sądami administracyjnymi, Sąd wstrzymał wykonanie decyzji w całości.
O kosztach Wojewódzki Sąd Administracyjny w Warszawie orzekł na podstawie art. 200, art. 205 § 2 i art. 209 ustawy – Prawo o postępowaniu przed sądami administracyjnymi. Żądaną kwotę kosztów dojazdu do Sądu zmniejszono stosując stawkę za 1 kilometr przebiegu pojazdu w wysokości 0,7195 zł (x 250 km) wynikającą z rozporządzenia Ministra Infrastruktury z dnia 25 marca 2002r. w sprawie warunków ustalania oraz sposobu dokonywania zwrotu kosztów używania do celów służbowych samochodów, motocykli i motorowerów niebędących własnością pracodawcy (Dz. U. Nr 27, poz. 271). Wniosek o zwrot kosztów noclegu pełnomocnika skarżącej Spółki Sąd nie uwzględnił uznając, iż nie stanowił on wydatku niezbędnego.