II SA/Wa 488/23

II SA/Wa 488/23 - Wyrok WSA w Warszawie
Data orzeczenia
2023-10-24
orzeczenie nieprawomocne
Data wpływu
2023-03-13
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Agnieszka Góra-Błaszczykowska /przewodniczący sprawozdawca/
Iwona Maciejuk
Joanna Kube
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Agnieszka Góra-Błaszczykowska (spr.), Sędzia WSA Joanna Kube, Sędzia WSA Iwona Maciejuk, , Protokolant referent Edyta Brzezicka, po rozpoznaniu na rozprawie w dniu 24 października 2023 r. sprawy ze skargi L. K. działającego jako syndyk masy upadłości Spółdzielczej Kasy [...] w W. w upadłości likwidacyjnej z siedzibą w W. na punkt 1 decyzji Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] grudnia 2022 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę
Uzasadnienie
Przedmiotem rozpoznania w niniejszej sprawie była skarga L. K., działającego jako syndyk masy upadłości Spółdzielczej [...]w W. w upadłości likwidacyjnej z siedzibą w W. na punkt 1 decyzji Prezesa Urzędu Ochrony Danych Osobowych znak [...]z dnia [...] grudnia 2022 r. w przedmiocie przetwarzania danych osobowych.
Skarga została złożona na punkt 1 decyzji w następującym stanie faktycznym:
W dniu [...] października 2021 r. (data wpływu do organu) M. S. (zwany dalej: wnioskodawca, uczestnik postępowania), wniósł do Prezesa Urzędu Ochrony Danych Osobowych (zwany dalej: Prezes UODO, organ), skargę na nieprawidłowości w procesie przetwarzania jego danych osobowych przez L. K. (zwany dalej: skarżący, syndyk), działającego jako syndyk masy upadłości [...]w W. w upadłości likwidacyjnej z siedzibą w W. (zwana dalej: [...]), polegające na przetwarzaniu jego danych osobowych bez podstawy prawnej we własnych rejestrach syndyka oraz na ich udostępnieniu w imieniu [...] na rzecz Biura Informacji Kredytowej S.A. z siedzibą w W. (zwana dalej: BIK).
Decyzją znak [...] z dnia [...] grudnia 2022 r. Prezes UODO, działając na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2022 r. poz. 2000, zwana dalej: k.p.a.) w zw. z art. 7 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781, zwana dalej: u.o.d.o.) oraz na podstawie art. 6 ust. 1 i art. 58 ust. 2 lit. c oraz na podstawie art. 6 ust. 1 lit. a, b, c i f i art. 58 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych), (Dz. Urz. UE L 119 z 04.05.2016, str. 1 oraz Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35, zwane dalej: rozporządzeniem 2016/679) w zw. z art. 105a ust. 2, 3 i 4 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz. U. z 2021 r. poz. 2439, zwana dalej: u.p.b.): w pkt 1 - nakazał [...] reprezentowanej przez syndyka masy upadłości, zaprzestanie przetwarzania danych osobowych M. S., w zakresie zobowiązania wynikającego z umowy kredytu nr [...] zawartej w dniu [...] czerwca 2014 r. przetwarzanych na podstawie art. 105a ust. 3 u.p.b. w tym również w systemie BIK, w celu oceny zdolności kredytowej i analizy ryzyka kredytowego;
w pkt 2 - odmówił uwzględnienia wniosku w pozostałym zakresie.
W uzasadnieniu podjętej decyzji organ zważył, że zdaniem wnioskodawcy syndyk bez podstawy prawnej i bez zawartej umowy zarządza jego danymi osobowymi, które to dane pozyskał w wyniku swojej pracy przy likwidacji masy upadłości [...]. Wnioskodawca w maju 2021 r. wysłał do syndyka pisemne wezwanie do zaprzestania przetwarzania jego danych osobowych. Zaznaczył, że nigdy nie udostępniał danych osobowych syndykowi. W odpowiedzi otrzymał odmowę usunięcia jego danych osobowych z bazy syndyka oraz z bazy BIK. Wnioskodawca zarzucił, że syndyk nie będąc ani bankiem ani spółdzielczą kasą oszczędnościową, nie ma prawa korzystać z ich baz danych, ani przetwarzać danych osobowych w nich zawartych. Uważał, że syndyk w swoich działaniach winien ograniczyć się jedynie do zaspokajania wierzycieli [...]. Dlatego wnioskodawca zażądał usunięcia jego danych osobowych przez syndyka, w tym również z zasobów BIK.
Syndyk wskazał, że na podstawie złożonej deklaracji członkowskiej wnioskodawca przystąpił do [...] w dniu [...] czerwca 2012 r. i do dnia dzisiejszego ma status członka [...]. W pkt 5 deklaracji członkowskiej wnioskodawca oświadczył, że wyraża zgodę na przetwarzanie przez [...], w celach związanych z działalnością spółdzielczych kas oszczędnościowo-kredytowych, jego danych osobowych, jak również na przekazywanie tych danych podmiotom współpracującym ze [...] przy wykonywaniu czynności związanych z jej działalnością. W związku z tym wnioskodawca stał się członkiem [...] w W., która uzyskała prawo do przetwarzania jego danych osobowych na podstawie zgody, udzielonej w rzeczonej deklaracji, w celach określonych w art. 3 ust. 1 ustawy z dnia 5 listopada 2009 r. o spółdzielczych kasach oszczędnościowo - kredytowych (Dz. U. z 2022 r. poz. 924, zwana dalej u.s.k.o.k.).
Jako członek [...] wnioskodawca zawarł ze [...] w W. dwie umowy kredytowe. W związku z przystąpieniem wnioskodawcy do [...] oraz zawarciem umów pożyczkowych/kredytowych, [...] a następnie syndyk, jako administrator danych osobowych wnioskodawcy, przetwarzał jego dane osobowe na podstawie art. 23 ust. 1 pkt 1,2,3 i 5 w zw. z art. 23 ust. 4 pkt 2 u.o.d.o. Natomiast od dnia [...] maja 2018 r. podstawę danych osobowych stanowi art. 6 ust. 1 lit. a, b i f rozporządzenia 2016/679 oraz art. 105a ust.1 u.p.b.
Syndyk podał, że w dniu [...] czerwca 2012 r. wnioskodawca zawarł ze [...] w umowę pożyczki (kredyt konsumencki) nr [...]. W związku ze spłatą zobowiązania w dniu [...] sierpnia 2016 r., jego dane w związku z ww. pożyczką nie są obecnie przetwarzane przez [...] w BIK. Zaprzestanie przetwarzania danych osobowych wnioskodawcy nastąpiło z dniem [...] sierpnia 2021 r. Dane były przetwarzane na podstawie zgody, wyrażonej przez wnioskodawcę zawartej w pkt 36 umowy pożyczki (kredyt konsumencki) nr [...] w zw. z art. 105a ust. 2 u.p.b., która to zgoda nie była nigdy przez wnioskodawcę odwołana. Po 25 maja 2018 r. podstawą prawną przetwarzania danych osobowych był art. 6 ust. 1 lit. a rozporządzenia 2016/679. Jak wynika z pkt 36 ww. umowy (cyt.) "Pożyczkobiorca wyraża zgodę na przetwarzanie przez [...] oraz BIK S.A. powyższych informacji, przez okres nie dłuższy, niż 5 lat od dnia wygaśnięcia zobowiązania wynikającego z niniejszej umowy w zakresie przewidzianym przepisami ustawy z dnia 29 sierpnia 1997r - Prawo banków oraz innych ustaw. Niniejsza zgoda może zostać wycofana w każdym czasie".
W dniu [...] czerwca 2014 r. wnioskodawca zawarł ze [...] umowę kredytu (kredyt konsumencki) nr [...]. Zgodnie z pkt 10 tej umowy wnioskodawca zobowiązał się do spłaty kredytu do dnia [...] czerwca 2017 r. Z uwagi na nieterminową spłatę zobowiązania i zaistnienie przesłanek z art. 105a ust. 3 u.p.b. dane osobowe wnioskodawcy w związku z tym kredytem są w dalszym ciągu przetwarzane przez BIK oraz [...]. W pkt 37 ww. umowy wnioskodawca oświadczył, że został poinformowany (cyt.) "o przekazywaniu przez [...] jego danych osobowych oraz informacji o wierzytelnościach oraz o obrotach i stanach rachunków bankowych w zakresie, w jakim informacje te są niezbędne w związku z udzielaniem kredytów, pożyczek pieniężnych, gwarancji bankowych i poręczeń do Biura Informacji Kredytowej S.A. (BIK S.A.), (...), celem umieszczenia ich w bazie danych BIK S.A. "Kredytobiorcy" oraz udostępniania ich na zasadzie wzajemności bankom, instytucjom finansowym będącym podmiotami zależnymi od banków, a związanych z wykonywaniem przez te instytucje czynności bankowych oraz instytucjom ustawowo upoważnionym do udzielania kredytów w zakresie określonym powyżej, a także przysługującym mu, zgodnie z przepisem art. 32 ust. 1 pkt 6 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, prawem dostępu do jego danych oraz ich poprawienia". Syndyk wskazał również, że w pkt 38 ww. umowy wnioskodawca wyraził zgodę "na przetwarzanie przez [...] oraz BIK S.A. powyższych informacji, przez okres nie dłuższy niż 5 lat od dnia wygaśnięcia zobowiązania, wynikającego z niniejszej umowy - w zakresie przewidzianym przepisami ustawy z dnia 29 sierpnia 1997 r. - Prawo bankowe oraz innych ustaw". Syndyk wskazał, że mając na uwadze złożone przez wnioskodawcę ww. oświadczenia w pkt 37 i 38 umowy z dnia [...] czerwca 2014 r., [...] na podstawie art. 105 ust 4 i art.105a u.p.b., udostępnił w dniu 12 czerwca 2014 r. do BIK dane osobowe wnioskodawcy.
Wyjaśnił także, że w dniu [...] maja 2021 r. drogą elektroniczną (e-mailową), a w dniu [...] czerwca 2021 r. drogą pisemną, wnioskodawca zwrócił się do syndyka z wnioskiem o zaprzestanie przetwarzania i udostępniania jego danych osobowych do BIK, jednakże w ww. piśmie nie wnosił o usunięcie jego danych osobowych z rejestru syndyka. Pismem z dnia [...] czerwca 2021 r. syndyk odmówił usunięcia danych osobowych wnioskodawca z BIK, powołując się na wystąpienie w sprawie przesłanek z art. 105a ust. 3 u.p.b. Jednocześnie, w dniu [...] czerwca 2021 r. została przekazała do BIK informacja o odwołaniu przez wnioskodawcę zgody na przetwarzanie jego danych osobowych w celu oceny zdolności kredytowej i analizy ryzyka kredytowego.
Syndyk wskazał, że wnioskodawca nie wywiązał się z obowiązku spłaty kredytu w terminie określonym w umowie z dnia 12 czerwca 2014 r. Uiścił łącznie siedem wpłat na poczet spłaty zadłużenia, przy czym każda z nich była dokonana z uchybieniem harmonogramu spłaty kredytu. Ostatniej wpłaty na poczet spłaty zadłużenia ww. dokonał w dniu [...] sierpnia 2016 r. po czym zaprzestał jego spłaty. W związku z brakiem spłaty kredytu [...], a następnie syndyk, wzywali wnioskodawcę do uregulowania zaległości. Z uwagi na brak spłaty należności syndyk w dniu [...] maja 2017 r. wystąpił przeciwko wnioskodawcy na drogę postępowania sądowego. Należność z tytułu umowy z dnia [...] czerwca 2014 r. została spłacona w całości dopiero w dniu [...] kwietnia 2020 r. na skutek działań, podjętych przez komornika w toku postępowania egzekucyjnego.
Syndyk wskazał, że o możliwości przetwarzania danych osobowych bez zgody wnioskodawcy na podstawie art. 105a ust. 3 u.p.b. wnioskodawca był informowany w wysłanych przez syndyka wezwaniach do zapłaty z dnia [...] marca 2016 r. i [...] kwietnia 2016 r. (pouczenie było zawarte w załączniku do pisma) oraz w wypowiedzeniu ww. umowy z dnia [...] czerwca 2016 r. (pouczenie było zawarte w treści pisma). Na dzień sporządzenia każdego z tych pism, ilość dni przeterminowania spłaty kredytu wynosiła odpowiednio [...] dni, [...] dni i [...] dni, a zaległości w nich wskazane nie zostały uregulowane w terminie 30 dni od dnia poinformowania wnioskodawcy o możliwości przetwarzania jego danych osobowych bez jego zgody. Syndyk wskazał, że zobowiązanie z tytułu umowy z dnia [...] czerwca 2014 r. zostało spłacone w całości dopiero w dniu [...] kwietnia 2020 r., tym samym w tym dniu ono wygasło. Podał, że [...] nie posiada potwierdzeń doręczenia wnioskodawcy pism, a jedynie potwierdzenia nadania tejże korespondencji listami poleconymi na adres korespondencyjny wskazany przez ww.
Syndyk wskazał, że w stosunku do kwestionowanego przez wnioskodawcę procesu przetwarzania jego danych osobowych przez syndyka, zaistniały przesłanki do przetwarzania przez BIK i [...] danych osobowych oraz informacji wnioskodawcy stanowiących tajemnicę bankową, bez jego zgody przez okres 5 lat od dnia wygaśnięcia zobowiązania w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Syndyk podkreślił, że zaistniała zwłoka w spłacie zobowiązania przekraczająca 60 dni i zgodnie z art. 105a ust. 3 u.p.b. wnioskodawca został skutecznie poinformowany, iż jego dane osobowe, stanowiące tajemnicę bankową, będą przetwarzane przez [...] oraz BIK po wygaśnięciu zobowiązania z tytułu umowy z dnia [...] czerwca 2014 r. przez okres nie dłuższy niż 5 lat od dnia wygaśnięcia zobowiązania w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Informacja ta została zawarta w wysłanych do wnioskodawcy listem poleconym wezwaniach do zapłaty (z dnia [...] października 2014 r., [...] marca 2016 r., [...] kwietnia 2016 r.) oraz w wypowiedzeniu umowy z dnia [...] czerwca 2016 r., a ponadto, upłynęło co najmniej 30 dni od daty poinformowania ww. o zamiarze przetwarzania danych osobowych.
Podkreślił, że wnioskodawca jest nadal członkiem [...], gdyż stosunek członkostwa nie wygasa automatycznie z uwagi na ogłoszenie upadłości [...] w W.. Postanowieniem z dnia [...] lutego 2015 r., wydanym w sprawie o sygn. akt [...], Sąd Rejonowy [...] w W. [...] Wydział Gospodarczy dla spraw upadłościowych i naprawczych ogłosił upadłość [...] z możliwością zawarcia układu, powierzając sprawowanie zarządu całym majątkiem upadłego - Zarządcy w osobie syndyka. Następnie postanowieniem z dnia [...] marca 2015 r., wydanym w sprawie o sygn. akt [...], Sąd Rejonowy [...] w W. [...] Wydział Gospodarczy dla spraw upadłościowych i naprawczych zmienił sposób prowadzenia postępowania upadłościowego [...] W. z postępowania z możliwością zawarcia układu, na postępowanie obejmujące likwidację majątku upadłego i ustanowił syndyka [...] w osobie syndyka.
Biorąc to pod uwagę, z dniem [...] lutego 2015 r. syndyk pozyskał dane wnioskodawcy w związku z zarządzaniem masą upadłości [...], w celu realizacji obowiązków syndyka, wynikających z art. 61 i art. 75 ustawy z dnia 28 lutego 2003 r. Prawo upadłościowe (Dz.U. z 2022 r. poz. 1520, zwana dalej: u.p.u., obowiązującej do dnia 31 grudnia 2015 r.) w zw. z art. 23 ust. 1 pkt 1, 2, 3 i 5 w zw. z art. 23 ust. 4 pkt 2 u.o.d.o. natomiast po [...] maja 2018 r. podstawę przetwarzania stanowił art. 6 ust. 1 lit. a, b, c i f rozporządzenia z 2016/679. Z dniem wydania ww. postanowienia syndyk stał się administratorem danych wnioskodawcy. Syndyk pozyskał dane osobowe wnioskodawcy w związku z łączącym go ze [...] stosunkiem członkostwa oraz w związku z zawartymi przez wnioskodawcę ze [...] umowami kredytowymi, które nie zostały spłacone do dnia objęcia przez syndyka zarządu masą [...].
Syndyk wskazał, że pozyskał dane identyfikacyjne wnioskodawcy w zakresie: imię, nazwisko, płeć, obywatelstwo, data i miejsce urodzenia, nr PESEL, nr NIP, nr paszportu, imię ojca i matki, nazwisko panieńskie matki, dane adresowe, dane socjodemograficzne, informacje o zobowiązaniach finansowych ww. Aktualnie przetwarza dane osobowe wnioskodawcy (dane identyfikujące ww.: imię, nazwisko, data i miejsce urodzenia, nr PESEL, nr NIP, nr paszportu, imię ojca i matki, nazwisko panieńskie matki, dane adresowe, numer telefonu) w związku z pozostawaniem przez ww. w stosunku członkostwa w [...], w celu realizacji praw i obowiązków wynikających z rzeczonego członkostwa, określonych szczegółowo w dziale [...] Statutu [...]. Wyjaśnił, że przetwarza dane osobowe ww. w oparciu o zgodę udzieloną przez wnioskodawcę na mocy deklaracji członkowskiej z dnia [...] czerwca 2012 r. Podstawę przetwarzania danych osobowych w ww. zakresie stanowi art. 6 ust. 1 pkt a rozporządzenia 2016/679, poprzednio podstawę prawną powyższego stanowił art. 23 ust. 1 u.o.d.o.
Syndyk podkreślił, że pomimo braku posiadania przez wnioskodawcę na dzień [...] stycznia 2022 r. zobowiązań finansowych względem [...] (zostały spłacone), wnioskodawca pozostaje w dalszym ciągu członkiem [...]. Nie zaistniały bowiem żadne przesłanki ustania członkostwa ww., o których mowa w dziale [...] Statutu [...]. Tym samym na wskazanej powyżej podstawie prawnej, syndyk będzie przetwarzał dane osobowe ww. tak długo, jak M. S. będzie członkiem [...].
Odnosząc powyższe ustalenia stanu faktycznego sprawy do obwiązujących w tym zakresie przepisów (art. 6 ust. 1 lit. a, b, c i f, rozporządzenia 2016/679, art. 57 ust. 1, art. 61, art. 75, art. 160 ust. 1 u.p.u., art. 9e ust. 1, art. 42, art. 44 ust. 2 u.s.k.o.k., art. 105 ust. 4 pkt 1-4, art. 105a ust. 1 –3 i ust. 6 u.p.b.) organ stwierdził, że syndyk stał się administratorem danych osobowych wnioskodawcy, które zostały pozyskane w toku działalności prowadzonej przez [...]. Aktualnie syndyk dokonuje wszystkich czynności związanych z umowami zawartymi przez wnioskodawcę w zastępstwie [...]. Stwierdził także, że BIK przetwarzał dane osobowe wnioskodawcy przekazane przez [...] w zakresie zobowiązania wynikającego z umowy z dnia [...] czerwca 2012 r. oraz kontynuuje przetwarzania danych osobowych wnioskodawcy w zakresie zobowiązania wynikającego z umowy z dnia [...] czerwca 2014 r.
W odniesieniu do umowy pożyczki nr [...] , zawartej [...] czerwca 2012 r. organ podał, iż po spłacie przez wnioskodawcę ww. zobowiązania w dniu 3 sierpnia 2016 r., [...] przetwarzał jego dane osobowe w zakresie ww. zobowiązania w zasobach BIK w celu oceny zdolności kredytowej i analizy ryzyka kredytowego do dnia [...] sierpnia 2021 r. na podstawie zgody, o której mowa w art. 105a ust. 2 u.p.b. Zgoda powyższa wynikała z pkt 36 ww. umowy pożyczki nr [...] i nie była nigdy przez wnioskodawcę odwołana. Wprawdzie [...] czerwca 2021 r. do syndyka wpłynęło pismo wnioskodawcy o wycofanie zgód na udostępnianie przez [...] jego danych osobowych oraz przetwarzanie ich w zasobach BIK w celu oceny zdolności kredytowej i analizy ryzyka kredytowego, jednak w treści ww. pisma wnioskodawca zaznaczył, że jego żądanie dotyczy umowy kredytu nr [...], zawartej w dniu [...] czerwca 2014 r. Zatem wycofanie zgody nie odnosiło się do umowy pożyczki nr [...] zawartej [...] czerwca 2012 r. Tym samym [...] dysponował zgodą wnioskodawcy, o której mowa w art. 105a ust. 2 u.p.b., uprawniającą [...] do przetwarzania danych osobowych ww. po wygaśnięciu zobowiązania, wynikającego z umowy nr [...] zawartej [...] czerwca 2012 r. w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Zobowiązanie, wynikające z ww. umowy, wygasło [...] sierpnia 2016 r., a zatem proces przetwarzania danych osobowych w ww. zakresie był prawidłowo kontynuowany do dnia [...] sierpnia 2021 r. Powyższe przetwarzanie znajdowało uzasadnienie w przesłance, o której mowa w art. 6 ust. 1 lit. a rozporządzenia 2016/679.
W odniesieniu do przetwarzania danych osobowych wnioskodawcy w zakresie zobowiązania, wynikającego z umowy pożyczki nr [...], zawartej [...] czerwca 2012 r., po dniu [...] sierpnia 2021 r. organ podał, że zgodnie z materiałem dowodowym zebranym w sprawie [...] zaprzestał przetwarzania ww. danych osobowych w zasobach BIK. Natomiast BIK, że kontynuuje proces przetwarzania danych osobowych wnioskodawcy w ww. zakresie do celów stosowania metod statystycznych na podstawie art. 105a ust. 4 u.p.b. Prezes UODO ocenił, że BIK może przetwarzać dane osobowe wnioskodawcy w zakresie zobowiązania wynikającego z ww. umowy na podstawie art. 105a ust. 4 u.p.b., pomimo braku zgody wnioskodawcy, który to proces może być kontynuowany przez 12 lat od dnia wygaśnięcia zobowiązania tj. [...] sierpnia 2016 r. Dozwolony okres przetwarzania w powyższym celu zatem nie upłynął.
Odnosząc się do oceny procesu przetwarzania przez [...] danych osobowych wnioskodawcy w BIK w zakresie umowy kredytu (kredyt konsumencki) nr [...] z dnia [...] czerwca 2014 r. w celu oceny zdolności kredytowej i analizy ryzyka kredytowego, organ stwierdził, że zobowiązanie wnioskodawcy, wynikające z ww. umowy, wygasło na skutek spłaty zobowiązania w dniu [...] czerwca 2020 r. Jednakże wnioskodawca dopuścił się zwłoki w wykonaniu zobowiązania, trwającej dłużej niż 60 dni. Organ uznał, że istotne w niniejszej sprawie jest jednak, że [...] nie spełnił obowiązku określonego w art. 105a pkt 3 p.b., tj. nie poinformował skutecznie wnioskodawcy o zamiarze przetwarzania dotyczących go informacji, stanowiących tajemnicę bankową, bez jego zgody po wygaśnięciu zobowiązania wynikającego z ww. umowy.
Organ stwierdził, że sam fakt, iż wnioskodawca nie wykonał zobowiązania lub spóźnił się z jego wykonaniem co najmniej 60 dni, nie upoważnia [...] do przetwarzania jego danych na warunkach określonych w art. 105a ust. 3 u.p.b.
Chwila, od której należy liczyć sześćdziesięciodniowy termin, w którym osoba, której informacje dotyczą, dopuszcza się zwłoki w wykonaniu zobowiązania, to termin wykonania zobowiązania. Dopiero po upływie 60 dni zaczyna biec termin 30 dni, w którym instytucja oczekuje jeszcze na wykonanie zobowiązania klienta. Termin 30 dni biegnie od momentu, w którym osoba, której informacje dotyczą, zostanie skutecznie poinformowana przez instytucję o zamiarze przetwarzania. Ostatecznie to bezskuteczny upływ 30 dni od momentu poinformowania, stanowi wypełnienie przesłanek z art. 105a ust. 3 u.p.b.
Z przepisu tego wynika, iż [...], przetwarzając dane wnioskodawcy na warunkach w nim określonych, musi wykazać, że wnioskodawca został poinformowany o zamiarze przetwarzania ich bez jego zgody. Niewystarczające do wykazania ww. okoliczności jest oświadczenie syndyka działającego w imieniu [...], że nie posiada potwierdzeń doręczenia wnioskodawcy pism z 16 października 2014 r., [...] marca 2016 r., i [...] kwietnia 2016 r., a jedynie potwierdzenia nadania tej korespondencji listami poleconymi na adres korespondencyjny, wskazany przez wnioskodawcę. Zatem okoliczność skutecznego poinformowania wnioskodawcy o treści art. 105a ust. 3 u.p.b. nie może zostać uznana za udowodnioną. Organ podkreślił, że sporządzenie i wysłanie ww. pisma, nie jest równoznaczne z udowodnieniem jego prawidłowego doręczenia, skutkującego poinformowaniem wnioskodawcy o zamiarze przetwarzania danych stanowiących tajemnicę bankową, bez jego zgody, na podstawie art. 105a ust. 3 u.p.b. Samo bowiem oświadczenie o wysłaniu korespondencji i przedstawienie jedynie dowodu jego nadania, nie stanowi podstaw do uznania, że [...] w sposób prawidłowy zrealizował obowiązek poinformowania wnioskodawcy o zamiarze przetwarzania jego danych osobowych, o którym mowa w art. 105a ust. 3 u.p.b.
Zdaniem organu syndyk nie wykazał, aby w zakresie umowy nr [...] z [...] czerwca 2014 r. spełnione zostały przesłanki z art. 105a ust. 3 u.p.b., zatem kontynuowanie procesu przetwarzania danych osobowych wnioskodawcy dotyczących zobowiązania wynikającego z tej umowy po wygaśnięciu zobowiązania zarówno w systemach [...] jak i w systemie BIK bez zgody wnioskodawcy w celu oceny zdolności kredytowej i analizy ryzyka kredytowego, nie znajduje oparcia w żadnej z przesłanek określonych w art. 6 ust. 1 rozporządzenia 2016/679. Powyższe uzasadniało skorzystanie przez Prezesa UODO z uprawnienia przewidzianego w art. 58 ust. 2 lit. c rozporządzenia 2016/679 o nakazaniu [...], reprezentowanemu przez syndyka, zaprzestania przetwarzania danych osobowych wnioskodawcy w ww. zakresie, w tym również w systemie BIK. Pomimo tego, [...] może przetwarzać legalnie dane osobowe wnioskodawcy w zakresie umowy kredytu nr [...] na podstawie art. 105a ust. 4 u.p.b., do celów stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia 575/2013.
Ponadto na podstawie złożonej deklaracji członkowskiej wnioskodawca przystąpił do [...] w dniu [...] czerwca 2012 r. i do dnia dzisiejszego ma status członka [...]. Wobec trwającego stosunku członkostwa wnioskodawcy w [...], organ uznał, że przetwarzanie jego danych osobowych przez [...], reprezentowany przez syndyka, ma oparcie w art. 6 ust. 1 lit. b rozporządzenia 2016/679, gdyż przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą. Przetwarzanie danych osobowych wnioskodawcy przez syndyka ma oparcie również w art. 6 ust. 1 lit. c rozporządzenia 2016/679, gdyż jest niezbędne do realizacji obowiązków syndyka, wynikających z przepisów prawa.
Skarżący, reprezentowany przez profesjonalnego pełnomocnika, zaskarżył ww. decyzję w zakresie, w jakim organ nakazał zaprzestanie przetwarzania danych osobowych wnioskodawcy w zakresie zobowiązania wynikającego z umowy kredytu nr [...] zawartej w dniu [...] czerwca 2014 r. przetwarzanych na podstawie art. 105a ust. 3 u.p.b., w tym również w systemie BIK, w celu zdolności kredytowej i analizy ryzyka kredytowego. Skarżący wniósł o uchylenie decyzji w zaskarżonej części i orzeczenie, że syndyk ma prawo przetwarzać dane osobowe wnioskodawcy w zakresie zobowiązania, wynikającego z umowy kredytu nr [...] zawartej w dniu [...] czerwca 2014 r. na podstawie art. 105a ust. 3 u.p.b., w tym również w systemie BIK, w celu zdolności kredytowej i analizy ryzyka kredytowego. Wniósł ponadto o zasądzenie zwrotu kosztów postępowania, w tym kosztów zastępstwa prawnego według norm przepisanych.
Zaskarżonej części decyzji skarżący zarzucił naruszenie przepisów prawa materialnego, które miało wpływ na wynik sprawy oraz przepisów postępowania, mające istotny wpływ na wynik sprawy, tj.:
1. art. 105a ust. 3 u.p.b., poprzez zastosowanie przez organ nadzorczy błędnej wykładni tego przepisu, zgodnie z którą wykonanie obowiązku informacyjnego, o którym mowa w tym przepisie, polega na skutecznym doręczeniu wnioskodawcy, będącemu dłużnikiem [...], informacji o zamiarze przetwarzania jego danych osobowych bez jego zgody, podczas gdy prawidłowa interpretacja tego przepisu jest taka, że "poinformowanie" oznacza rzeczywiste umożliwienie zainteresowanemu zaznajomienie się z ww. informacją;
2. art. 6, art. 7, art. 8 § 1, art. 77 § 1 oraz art. 80 k.p.a. w zw. z art. 7 u.o.d.o., poprzez przekroczenie granic swobodnej oceny dowodów, z uwagi na błędne przyjęcie, że wydruk z księgi nadawczej - pism z dnia [...] października 2014 r., 14 marca 2016 r., 25 kwietnia 2016 r., nie stanowi dowodu poinformowania o zamiarze przetwarzania danych osobowych wnioskodawcy bez jego zgody, o którym mowa w art. 105a ust. 3 u.p.b., podczas gdy jest to dostateczny dowód przekazania wymaganej przez art. 104a ust. 3 u.p.b. informacji wnioskodawcy.
Uzasadniając złożoną skargę skarżący szczegółowo uzasadnił ww. zarzuty.
W odpowiedzi na skargę organ wniósł o jej oddalenie, podnosząc argumentację tożsamą z zaprezentowaną w zaskarżonej decyzji.
Wojewódzki Sąd Administracyjny w Warszawie, zważył co następuje:
Stosownie do treści art. 3 § 1 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2023 r. poz. 1164, zwana dalej: p.p.s.a.), sądy administracyjne sprawują kontrolę działalności administracji publicznej i stosują środki określone w ustawie. Oznacza to, iż sąd rozpoznając skargę ocenia, czy zaskarżona decyzja nie narusza przepisów prawa materialnego bądź przepisów postępowania administracyjnego. Zgodnie z art. 134 p.p.s.a. Sąd rozstrzyga w granicach danej sprawy, nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną w niej podstawą prawną. Uwzględnienie skargi następuje w przypadku stwierdzenia naruszenia przez Sąd przepisów prawa, wskazanego w art. 145 § 1 pkt 1 p.p.s.a. Zgodnie z art. 135 p.p.s.a. orzekanie następuje w granicach sprawy, w której wydano zaskarżoną decyzję i odbywa się z uwzględnieniem wówczas obowiązujących przepisów prawa.
Zaskarżonym punktem 1 decyzji Prezes UODO nakazał [...] reprezentowanej przez syndyka masy upadłości, zaprzestanie przetwarzania danych osobowych M. S., w zakresie zobowiązania wynikającego z umowy kredytu nr [...]zawartej w dniu [...] czerwca 2014 r. przetwarzanych na podstawie art. 105a ust. 3 u.p.b. w tym również w systemie BIK, w celu oceny zdolności kredytowej i analizy ryzyka kredytowego.
Problem prawny sprowadzał się do oceny, czy prawidłowo organ uznał, że syndyk nie wykazał, aby w zakresie umowy nr [...]z [...] czerwca 2014 r. spełnił przesłanki informacyjne wobec wnioskodawcy z art. 105a ust. 3 u.p.b.
Przepis art. 105a ust. 3 p.b. stanowi, że banki, instytucje oraz podmioty, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową i informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu, świadczenia wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa wart. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank, inną instytucję ustawowo upoważnioną do udzielania kredytów, instytucję pożyczkową albo podmiot, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, o zamiarze przetwarzania dotyczących jej informacji, bez jej zgody.
Zdaniem Sądu, organ prawidłowo przyjął, że [...] nie spełnił wobec wnioskodawcy obowiązku, określonego w art. 105a pkt 3 p.b., tj. nie poinformował skutecznie wnioskodawcy o zamiarze przetwarzania dotyczących go informacji stanowiących tajemnicę bankową, bez jego zgody, po wygaśnięciu zobowiązania wynikającego z ww. umowy. Sam fakt, iż wnioskodawca nie wykonał zobowiązania lub spóźnił się z jego wykonaniem co najmniej 60 dni, nie upoważnia bowiem do przetwarzania jego danych na warunkach określonych w art. 105a ust. 3 u.p.b.
W orzecznictwie tutejszego Sądu konsekwentnie przyjmuje się, że prawidłowa wykładnia zawartego w art. 105a ust. 3 p.b. zwrotu "poinformowania tej osoby" winna uwzględnić nie tylko treść normy zawartej w art. 61 § 1 Kodeksu cywilnego, ale także tę część normy, zawartej w art. 105a ust. 3 p.b., która ustanawia dodatkowy trzydziestodniowy termin na wykonanie zobowiązania. Organ powołał zresztą szereg orzeczeń tutejszego Sądu, potwierdzających ugruntowanie tej linii orzeczniczej (vide s. [...] decyzji oraz [...] odpowiedzi na skargę), więc w tym miejscu Sąd nie będzie ich ponownie przytaczał.
W literaturze przedmiotu podkreśla się, iż: "sam fakt, że klient nie wykonał zobowiązania lub spóźnił się z jego wykonaniem co najmniej 60 dni, nie upoważnia instytucji do przetwarzania jego danych. Musi bowiem zostać poinformowany o możliwości przetwarzania jego danych bez uzyskania od niego zgody. Dopiero bezskuteczny upływ 30 dni od momentu poinformowania, stanowi wypełnienie przesłanek z art. 105a ust. 3 p.b. W przypadku, gdy konsument spełni świadczenie w czasie tych 30 dni, instytucje tracą prawo do przetwarzania informacji bez jego uprzedniej zgody. Chwila, od której należy liczyć sześćdziesięciodniowy termin, w którym konsument dopuszcza się zwłoki w wykonaniu zobowiązania, to termin wykonania zobowiązania. Dopiero po upływie 60 dni zaczyna biec trzydziestodniowy termin, w którym instytucja jeszcze oczekuje na wykonanie zobowiązania klienta. Termin trzydziestodniowy nie biegnie jednak ex lege, a dopiero od chwili, w którym konsument zostanie poinformowany o zamiarze przetwarzania. Termin ten liczy się nie od chwili wysłania informacji, ale od chwili, w której konsument mógł się z nią zapoznać" (tak: Agnieszka Żygadło Przetwarzanie informacji stanowiących tajemnicę bankową po wygaśnięciu zobowiązania", Pr. Bankowe 2006/4/83).
Przyjęta w art. 61 § 1 zdanie 1 k.c. konstrukcja odpowiada tzw. kwalifikowanej teorii doręczenia, która przyjmuje, że oświadczenie woli jest złożone z chwilą, z którą doszło do adresata w taki sposób, że miał on możliwość zapoznania się z jego treścią (tak samo przyjął WSA w Warszawie w uzasadnieniach wyroków w sprawach II SA/Wa 3584/21 i II SA/Wa 189/22, w których powołano m.in. wyrok SN z 8 września 2016 r., sygn. akt II CSK 750/15). To, czy rzeczywiście się z tym oświadczeniem zapoznał, nie ma więc co do zasady znaczenia (por. wyroki SN: z 18 listopada 1999 r., sygn. akt I PKN 375/99, OSNAPiUS 2001/7, poz. 227; z 20 maja 2015 r., sygn. akt I CSK 547/14, LEX nr 1767493 i z 22 marca 2017 r., sygn. akt III CSK 148/16, LEX nr 23552146 uchwała /7/ SN z 31 marca 2016 r., III CZP 89/15).
Z uwagi jednak na wskazany w art. 105a ust. 3 p.b. dodatkowy trzydziestodniowy termin na wykonanie zobowiązania, poinformowanie adresata oświadczenia powinno nastąpić w taki sposób, by można było ustalić początek biegu tego terminu, a w konsekwencji ustalić, kiedy adresat miał możliwość zapoznania się z jego treścią. Dopiero bowiem bezskuteczny upływ owego trzydziestodniowego dodatkowego terminu, upoważnia bank do przetwarzania danych osobowych w oparciu o przepis art. 105a ust. 3 p.b.
W sprawie brak jest dokumentu potwierdzającego datę otrzymania przez wnioskodawcę przesyłki w opisanym wyżej zakresie (np. wydruku z aplikacji [...]). Nie jest wystarczające wykazanie nadania korespondencji do wnioskodawcy. W szczególności wydruki z księgi nadawczej - pism z dnia [...] października 2014 r., [...] marca 2016 r., [...] kwietnia 2016 r. nie stanowią dowodu poinformowania o zamiarze przetwarzania danych osobowych wnioskodawcy bez jego zgody, o którym mowa w art. 105a ust. 3 u.p.b.
Brak możliwości ustalenia daty początkowej biegu opisanych wyżej terminów skutkuje uznaniem, iż powiadomienie wnioskodawcy o zamiarze przetwarzania jego danych osobowych nie wyczerpało wymogów art. 105a ust. 3 p.b. Sąd zdaje sobie sprawę, że upływ czasu uniemożliwia obecnie ustalenie początku biegu w.w. terminu, ale taka sytuacja nie może być interpretowana na niekorzyść wnioskodawcy. Dlatego w opisanej sytuacji nie ma znaczenia posiadanie przez [...] dowodu nadania powiadomienia, o którym mowa w art. 105a ust. 3 p.b., listem poleconym.
Z opisanego względu Sąd uznał, że prawidłowy jest punkt 1 zaskarżonej decyzji, a zarzuty skargi zmierzają w istocie do podważenia konsekwentnego orzecznictwa sądów administracyjnych w zakresie znaczenia spełnienia wymogów art.105 a p.b.
Sąd podziela zatem zdanie organu, że syndyk nie wykazał, aby w zakresie umowy nr [...]z [...] czerwca 2014 r. spełnione zostały przesłanki z art. 105a ust. 3 u.p.b., zatem kontynuowanie procesu przetwarzania danych osobowych wnioskodawcy, dotyczących zobowiązania, wynikającego z tej umowy, po wygaśnięciu zobowiązania zarówno w systemach [...] jak i w systemie BIK bez zgody wnioskodawcy w celu oceny zdolności kredytowej i analizy ryzyka kredytowego, nie znajduje oparcia w żadnej z przesłanek określonych w art. 6 ust. 1 rozporządzenia 2016/679.
W konsekwencji zasadnie Prezes UODO skorzystał z uprawnienia, przewidzianego w art. 58 ust. 2 lit. c rozporządzenia 2016/679 o nakazaniu [...] reprezentowanemu przez syndyka zaprzestania przetwarzania danych osobowych wnioskodawcy w ww. zakresie, w tym również w systemie BIK. Organ zaznaczył jednocześnie, że [...] może przetwarzać legalnie dane osobowe wnioskodawcy w zakresie umowy kredytu nr [...]na podstawie art. 105a ust. 4 u.p.b., do celów stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia 575/2013.
Wnioskodawca przystąpił do [...] w dniu [...] czerwca 2012 r. i do dnia dzisiejszego ma status członka [...]. Dlatego przetwarzanie jego danych osobowych przez [...] z tego tytułu, ma podstawę prawną w art. 6 ust. 1 lit. b rozporządzenia 2016/679, gdyż przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą. Przetwarzanie danych osobowych wnioskodawcy przez syndyka ma oparcie również w art. 6 ust. 1 lit. c rozporządzenia 2016/679, gdyż jest niezbędne do realizacji obowiązków syndyka wynikających z przepisów prawa.
W kontekście opisanego stanu faktycznego i prawnego sprawy Sąd za niezasadne uznał zarzuty skargi, dotyczące naruszenia zarówno przepisów prawa materialnego - art. 105a ust. 3 p.b. Z powyżej wyjaśnionych względów przepis ten został przez organ prawidłowo zastosowany.
Organ nie naruszył również przepisów postępowania - art. 6, art. 7, art. 8 § 1, art. 77 § 1 oraz art. 80 k.p.a. w zw. z art. 7 u.o.d.o. i nie przekroczył granic swobodnej oceny dowodów. Jak wyżej zauważono, wydruk z księgi nadawczej - pism z dnia 16 października 2014 r., 14 marca 2016 r., 25 kwietnia 2016 r. nie stanowi dowodu poinformowania o zamiarze przetwarzania danych osobowych wnioskodawcy bez jego zgody, o którym mowa w art. 105a ust. 3 u.p.b. Nie daje on podstawy do wyliczenia początku biegu 30 dniowego terminu, o którym mowa w tym przepisie.
W okolicznościach niniejszej sprawy skarga nie zasługiwała na uwzględnienie, dlatego Sąd, działając na podstawie art. 151 p.p.s.a., orzekł jak w sentencji wyroku.