II SA/Wa 282/07 - Wyrok

Data orzeczenia	2007-05-23	
Data wpływu	2007-02-20	
Sąd	Wojewódzki Sąd Administracyjny w Warszawie	
Sędziowie	Agnieszka Miernik
Andrzej Kołodziej /przewodniczący/
Stanisław Marek Pietras /sprawozdawca/	
Symbol z opisem	647  Sprawy związane z ochroną danych osobowych	
Sygn. powiązane	I OZ 681/07
I OZ 971/07	
Skarżony organ	Generalny Inspektor Ochrony Danych Osobowych	
Treść wyniku	Oddalono skargę	
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA - Andrzej Kołodziej Asesor WSA - Agnieszka Miernik Sędzia WSA - Stanisław Marek Pietras (spraw.) Protokolant - Anna Siwonia po rozpoznaniu na rozprawie w dniu 23 maja 2007 r. sprawy ze skargi J. M. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] r. nr [...] w przedmiocie odmowy uwzględnienia wniosku w zakresie przetwarzania danych osobowych - oddala skargę –	
Uzasadnienie
Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia [...] nr [...], działając na podstawie art. 12 pkt 2 i art. 23 ust. 1 pkt 1, 2 i 5 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jedn. z 2002 r. Dz. U. Nr 101, poz. 926 ze zm.), odmówił uwzględnienia wniosku J. M. w przedmiocie przechowywania przez B. S.A. z siedzibą w W. jego danych osobowych. W uzasadnieniu podał, że w dniu 4 czerwca 2001 r. skarżący wypełnił wniosek internetowy o otwarcie rachunku oszczędnościowego w [...], który zawierał klauzulę zgody na przetwarzanie danych osobowych w celach promocji i marketingu działalności prowadzonej przez bank, w tym świadczonych usług oraz oferowanych produktów, na co wyraził zgodę. W tej sytuacji Bank przesłał mu umowę prowadzenia rachunku oszczędnościowego, jednakże skarżący nie odesłał podpisanego egzemplarza powyższej umowy. W dniu 7 listopada 2005 r. skarżący wypełnił kolejny wniosek o otwarcie rachunku oszczędnościowego, przy czym w klauzuli dotyczącej przetwarzanie danych osobowych, wyraził na to zgodę i – podobnie jak wyżej – po otrzymaniu umowy z Banku, nie odesłał podpisanego egzemplarza. Po rozpoznaniu pisma skarżącego z dnia 18 listopada 2005 r., Bank pismem z dnia 21 listopada 2005 r. odpowiedział, że jego dane osobowe znajdują się w bazie banku od dnia 7 czerwca 2001 r. i po kolejnym piśmie skarżącego z dnia 8 grudnia 2005 r. z pytaniem, na jakiej podstawie prawnej Bank w dalszym ciągu przetwarza jego dane osobowe, w dniu 12 grudnia 2005 r. Bank pisemnie oświadczył, że jeżeli życzy on sobie usunięcia jego danych osobowych z bazy Banku i zaprzestania ich przetwarzania, to konieczna jest jego pisemna informacja potwierdzona własnoręcznym podpisem, do czego skarżący nie ustosunkował się. Następnie w dniu 26 kwietnia 2006 r. Bank przesłał skarżącemu kopie wniosków o otwarcie rachunku bankowego złożonych w podanych już wyżej terminach oraz kopie umów o otwarcie rachunków oszczędnościowych określających cel, zakres i sposób przetwarzania danych oraz sposób ich udostępniania, przy czym ponownie zwrócił się do niego o pisemną informację, czy życzy sobie usunięcia jego danych z bazy Banku, na co skarżący ponownie nie odpowiedział. W trakcie prowadzonego postępowania wyjaśniającego ustalono, że dane skarżącego są przetwarzane w celu zawarcia umowy o prowadzenie rachunku bankowego na podstawie art. 23 ust. 1 pkt 3 cytowanej już wyżej ustawy o ochronie danych osobowych, Jak następnie wyjaśnił Bank, powyższych danych nie usunięto z bazy, bowiem – jak wynika z praktyki – klienci po dłuższym okresie czasu przesyłają podpisane umowy o prowadzenie rachunku bankowego i przyznał dalej, że w przepisach wewnętrznych nie zostały określone daty usuwania danych osobowych z bazy danych i rozważa się wprowadzenie procedury obowiązkowego usuwania danych przyszłych klientów po okresie 3 – 5 lat, od złożenia wniosku i niepodpisania do tego czasu umowy o rachunek bankowy. Ponadto Bank dodał, że dane osobowe klientów, którzy wypełnili wniosek o rachunek, a nie odesłali podpisanej umowy, są usuwane niezwłocznie po oświadczeniu klienta, iż odstępuje on od zawarcia umowy o rachunek bankowy, bądź w razie złożenia wniosku o usunięcie jego danych, a takiej dyspozycji bank nie otrzymał od skarżącego. W dalszej części uzasadnienia organ stwierdził, że podstawowym obowiązkiem każdego administratora danych jest spełnienie jednej z przesłanek ich przetwarzania, o których mowa w art. 23 ust. 1 ustawy i które odnoszą się do wszelkich form przetwarzania danych, wymienionych w art. 7 pkt 2 ustawy, w tym do ich przetwarzania. Zgodnie natomiast z treścią art. 23 ust. 1, przetwarzanie danych osobowych jest dopuszczalne m.in. wówczas, gdy osoba, której dane dotyczą, wyrazi na to zgodę (pkt 1), gdy jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą (pkt 3) oraz gdy jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą (pkt 5), przy czym, stosownie do treści art. 23 ust. 4, za prawnie usprawiedliwiony cel, o którym mowa w ust. 1 pkt 5, uważa się w szczególności marketing bezpośredni własnych produktów lub usług administratora danych. W rozpoznawanej sprawie nie można się zgodzić ze stanowiskiem Banku, że dane skarżącego zawarte we wniosku o otwarcie rachunku bankowego były przetwarzane na podstawie art. 23 ust. 1 pkt 3, bowiem Bank w żaden sposób nie wykazał, że tak długi okres przechowywania danych osobowych skarżącego jest niezbędny do realizacji wskazanego w tym przepisie celu. Z zasady ograniczenia czasowego, a wyrażonej w art. 26 ust. 1 pkt 4 ustawy wynika, że w sytuacji, kiedy administrator stwierdzi, iż umowa z wnioskodawcą nie zostanie zawarta, jego dane nie powinny być zbierane na zapas, tj. na wypadek wyrażenia przez potencjalnego klienta woli zawarcia umowy. Jednakże w rozpoznawanej sprawie nie można nakazać usunięcia danych bankowi, ponieważ nie ulega wątpliwości, że skarżący we wniosku wypełnionym w czerwcu 2001 r., wyraził zgodę na "na przetwarzanie przez [...] moich danych osobowych w celach promocji i marketingu działalności prowadzonej przez [...] w tym świadczonych usług oraz oferowanych produktów", co wypełnia przesłankę zawartą w art. 23 ust. 1 pkt 1 ustawy. Do przetwarzania danych osobowych skarżącego [...] był również uprawniony na podstawie art. 23 ust. 1 pkt 5 ustawy, bowiem dla uznania jej spełnienia, konieczne jest przede wszystkim, aby przetwarzanie danych nie naruszało praw i wolności osoby, której dane dotyczą. Z kolei zgodnie z art. 32 ust. 1 ustawy, każdej osobie przysługuje prawo do kontroli przetwarzania danych, które jej dotyczą, zawartych w zbiorach danych, a zwłaszcza prawo do wniesienia, w przypadkach wymienionych w art. 23 ust. 1 pkt 4 i 5, pisemnego, umotywowanego żądania zaprzestania przetwarzania jej danych ze względu na jej szczególną sytuację (pkt 7) oraz prawo do wniesienia sprzeciwu wobec przetwarzania jej danych w przypadkach, wymienionych w art. 23 ust. 1 pkt 4 i 5, gdy administrator danych zamierza je przetwarzać w celach marketingowych lub wobec przekazywania jej danych osobowych innemu administratorowi danych (pkt 8). Stosownie zaś do treści art. 32 ust. 2, w przypadku wniesienia żądania, o którym mowa w ust. 1 pkt 7, administrator danych zaprzestaje przetwarzania kwestionowanych danych osobowych albo bez zbędnej zwłoki przekazuje żądanie Generalnemu Inspektorowi, który wydaje stosowną decyzję. Natomiast według art. 32 ust. 3 ustawy, w razie wniesienia sprzeciwu, o którym mowa ust. 1 pkt 8, dalsze przetwarzanie kwestionowanych danych jest niedopuszczalne. Administrator danych może jednak pozostawić w zbiorze imię lub imiona i nazwisko osoby oraz numer PESEL lub adres wyłącznie w celu uniknięcia ponownego wykorzystania danych tej osoby w celach objętych sprzeciwem. W rozpoznawanej zaś sprawie, skarżący nie zwrócił się do [...] z powyższymi roszczeniami, a ponadto [...] dwukrotnie informował skarżącego o możliwości usunięcia jego danych, na co wymieniony nie odpowiedział. Niezależnie od powyższego organ zauważył, że dane skarżącego zawarte we wnioskach, mogą być przetwarzane przez Bank w celach archiwalnych na podstawie przepisów ustawy z dnia 29 września 1994 r. o rachunkowości (tekst jedn. z 2002 r. Dz. U. Nr 76, poz. 694 ze zm.) i rozporządzenia Ministra Finansów z dnia 10 grudnia 2001 r. w sprawie szczególnych zasad rachunkowości banków (Dz. U. Nr 149, poz. 1673 ze zm.), co jest zgodne z treścią art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych. W myśl § 32 ust. 1 cytowanego rozporządzenia, bank przestrzega zasad dotyczących przechowywania i ochrony danych określonych w przepisach art. 71 ustawy o rachunkowości i odrębnych przepisach, z zastrzeżeniem ust. 2 (bank przechowuje dowody księgowe w oryginalnej postaci przez okres wynikający z przepisu art. 74 ustawy o rachunkowości). Natomiast stosownie do treści art. 71 ustawy o rachunkowości, dokumentację, o której mowa w art. 10 ust. 1, księgi rachunkowe, dowody księgowe, dokumenty inwentaryzacyjne i sprawozdania finansowe, zwane dalej także "zbiorami", należy przechowywać w należyty sposób i chronić przed niedozwolonymi zmianami, nieupoważnionym rozpowszechnianiem, uszkodzeniem lub zniszczeniem. Z kolei według art. 74 ust. 2 pkt 8, pozostałe zbiory, poza rocznymi sprawozdaniami finansowymi (ust.1), przechowuje się co najmniej przez okres 5 lat, a w przypadku pozostałych dokumentów, nie wymienionych w pkt 1-7, okres ten oblicza się, stosownie do treści ust. 3, od początku roku następującego po roku obrotowym, którego dane zbiory dotyczą. W konsekwencji – zdaniem organu – proces przetwarzania danych przez Bank danych skarżącego w celach archiwalnych przez okres wyżej wskazany, jest zgodny z obowiązującymi przepisami.

We wniosku z dnia 8 września 2006 r. do Generalnego Inspektora Ochrony Danych Osobowych o ponowne rozpatrzenie sprawy, J.M. wniósł o uchylenie powyższej decyzji i w uzasadnieniu podał, że klauzula o wyrażeniu zgody na przetwarzanie przez Bank jego danych osobowych w celach promocji i marketingu działalności prowadzonej przez [...] w tym świadczonych usług oraz oferowanych produktów, umożliwiała jedynie przetwarzanie danych osobowych osoby wnioskującej, bowiem jej niewypełnienie skutkowałoby odrzuceniem wniosku przez Bank (bez rozpatrywania), co podkreślono w piśmie z dnia 18 maja 2006 r. Zatem ten obowiązek został na niego nałożony "z góry" i nie mógł postąpić inaczej, chcąc aby jego wniosek został w ogóle rozpatrzony, aniżeli wyrazić na to zgodę. Niezależnie od powyższego dodał, że zwracał uwagę bankowi, iż powyższa klauzula jest dla niego nie do zaakceptowania, jeśli chodzi o umowę. Następnie stwierdził, że nie widzi żadnego związku pomiędzy jego wnioskiem o otwarcie rachunku bankowego, a dowodami księgowymi banku. Z tego powodu, że nie prowadził rachunku oszczędnościowego w [...] (powołany przez organ art. 10, 71 i 74 cytowanej już wyżej ustawy o rachunkowości oraz § 32 cytowanego już wyżej rozporządzenia Ministra Finansów w sprawie szczególnych zasad rachunkowości banków) i to tym bardziej, że otwarcie rachunku – zgodnie z § 4 ust. 1 Regulaminu otwierania i prowadzenia rachunków oszczędnościowo-rozliczeniowych i oszczędnościowych – następuje przez zawarcie na piśmie umowy pomiędzy [...], a wnioskującym o otwarcie rachunku, na podstawie danych wnioskującego przekazanych ustnie, pisemnie lub w formie elektronicznej. Zatem – zdaniem skarżącego – rachunek bankowy może być zawarty nie tylko na podstawie wniosku, lecz stosownej umowy. W konsekwencji brak rachunku prowadzi do braku dowodów księgowych. Reasumując, brak umowy o prowadzeniu rachunku oszczędnościowego, uniemożliwia otworzenie rachunku, który stanowiłby źródło dla tworzenia i powstawania dowodów księgowych. Niezależnie od powyższego skarżący powołał się na decyzję Generalnego Inspektora Ochrony danych Osobowych z dnia [...] Nr [...] nakazującą "wprowadzenie do formularza zgłoszeniowego (internetowego) odrębnej klauzuli dotyczącej wyrażania przez abonamentów zgody na przetwarzanie ich danych w celach marketingowych, promocyjnych i reklamowych, zgodnie z art. 23 ust. 1 pkt 1 ustawy" i w stosunku do której Naczelny Sąd Administracyjny wyrokiem z dnia 19 listopada 2001 r. sygn. akt II 2748/00, oddalił skargę.

Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia [...] r. nr [...], mając za podstawę art. 138 § 1 pkt 1 k.p.a. oraz art. 12 pkt 2 i art. 23 ust. 1 pkt 1, 2 i 5 cytowanej już wyżej ustawy o ochronie danych osobowych, utrzymał w mocy decyzję z dnia 29 sierpnia 2006 r. W uzasadnieniu – powołując się na dotychczasowe argumenty i przedstawiony tam stan faktyczny – dodał, że powyższy wniosek nic nie wnosi do sprawy. Ponadto nie można nakazać Bankowi usunięcia danych osobowych skarżącego z powodu niezawarcia umowy, bowiem Bank miał prawo przetwarzać te dane na podstawie art. 23 ust. 1 pkt 1 ustawy. Wszak – jak wykazano – skarżący we wniosku o otwarcie rachunku bankowego wypełnionym w roku 2001, wyraził zgodę na "przetwarzanie przez [...] moich danych osobowych w celach promocji i marketingu działalności prowadzonej przez [...] w tym świadczonych usług oraz oferowanych produktów". W dalszej części organ podał, że zarzuty skarżącego dotyczące powyższej klauzuli w umowie o prowadzenie rachunku oszczędnościowego przesłanej mu do podpisania, nie są przedmiotem niniejszej sprawy, bowiem organ wyraźnie wskazał na klauzulę dotyczącą wniosku, a nie umowy. Ponadto skarżący, mimo wyraźnego dwukrotnego pouczenia go przez Bank o możliwości usunięcia jego danych osobowych, nie skorzystał z tej możliwości. Natomiast co do zarzutu przetwarzania danych osobowych w celach archiwalnych organ podkreślił, że wypełniony przez skarżącego wniosek o otwarcie rachunku oszczędnościowego, stanowi inny dokument w rozumieniu art. 74 ust. 2 pkt 8 ustawy o rachunkowości, bowiem rozpatrzenie wniosku o otwarcie rachunku jest również czynnością bankową. Natomiast co do zarzutu wydania w podobnej sprawie i wskazanej przez skarżącego decyzji Generalnego Inspektora Ochrony danych Osobowych z dnia [...] Nr [...], organ stwierdził, że w rozpoznawanej sprawie została zachowana opcjonalność.

W skardze do Wojewódzkiego Sądu Administracyjnego w Warszawie, J.M. nie zgodził się z zaskarżoną decyzją i wniósł o jej uchylenie, uznania niezgodnego z prawem przetwarzania przez [...] jego danych osobowych, uznanie klauzuli na zgodę o przetwarzaniu jego danych osobowych jako naruszającej prawo, uznanie nieprawidłowości postępowania Generalnego Inspektora Ochrony Danych Osobowych przy rozpatrywaniu jego sprawy (nieuzasadnione przedłużanie wydania decyzji), nakazanie organowi wszczęcia działań mających na celu poprawienie funkcjonowania urzędu, nakazanie Bankowi usunięcie jego danych osobowych i zasądzenie kosztów postępowania według norm przepisanych. Jako zarzuty wskazał na naruszenie przepisów art. 23 ustawy o ochronie danych osobowych poprzez ich niewłaściwą interpretację i zastosowanie, brak odniesienia się przez organ do podniesionych we wniosku o ponowne rozpatrzenie sprawy zarzutów dotyczących niewłaściwej konstrukcji klauzuli o wyrażeniu zgody, poświadczenie nieprawdy przez organ poprzez stwierdzenie, iż nie ma podstaw do podważenia skuteczności jego woli w zakresie zgody na przetwarzanie danych osobowych i niewłaściwe zastosowanie ustawy o rachunkowości poprzez wskazanie, że przepisy art. 71 i 74 stanowią podstawę przetwarzania jego danych osobowych. W uzasadnieniu zaś – powołując się na dotychczasowe argumenty zawarte już we wniosku o ponowne rozpatrzenie sprawy – podał, że w jego sprawie nie została zachowana opcjonalność i wobec powyższego organ poświadczył w zaskarżonej decyzji nieprawdę.

W odpowiedzi na skargę Generalny Inspektor Ochrony Danych Osobowych wniósł o jej oddalenie, a wskazując na dotychczasowe ustalenia faktyczne i prawne dodał, że skarżący nie zakwestionował podstawy do przetwarzania danych, a wynikającej z art. 23 ust. 1 pkt 5 ustawy.

W piśmie procesowym z dnia 1 marca 2007 r. skarżący uznał za niezrozumiały argument organu o opcjonalności wyboru klauzuli przetwarzania danych, bowiem – jego zdaniem – owa klauzula jest identyczna zarówno we wniosku o otworzenie konta internetowego, jak również w projekcie umowy.

Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:

Zgodnie z brzmieniem art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (Dz. U. Nr 153, poz. 1269 ze zm.), sąd administracyjny sprawuje wymiar sprawiedliwości poprzez kontrolę pod względem zgodności z prawem zaskarżonej decyzji administracyjnej i to z przepisami obowiązującymi w dacie jej wydania.

Skarga analizowana pod tym kątem podlega oddaleniu, ponieważ zaskarżona decyzja jest zgodna z prawem. Stosownie do treści art. 7 pkt 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jedn. z 2002 r. Dz. U. Nr 101, poz. 926 ze zm.), przez przetwarzanie danych osobowych rozumie się jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych.

W rozpoznawanej sprawie bezsporne jest, że B. S.A. z siedzibą w W. , przetwarzał dane osobowe skarżącego J. M., bowiem – jak właściwie ustalił Generalny Inspektor Ochrony Danych Osobowych – bank ten co najmniej przechowywał jego dane.

Przetwarzanie zaś danych osobowych jest dopuszczalne, jeżeli – w myśl art. 23 ust. 1 pkt 1 ustawy – osoba, której dane dotyczą, wyrazi na to zgodę, chyba że chodzi o usunięcie jej danych.

W sprawie nie budzi żadnych wątpliwości fakt, że skarżący przed otwarciem konta w [...], w dniu 4 czerwca 2001 r. wypełnił internetowy wniosek o otwarcie konta i przesłał go do administratora (k. 19 – 20 akt sądowych). Zawarł w nim m.in. dane dotyczące swojej osoby, a to: imiona i nazwisko, nazwisko panieńskie matki, nr PESEL, serię i numer dowodu osobistego, datę urodzenia, stan cywilny, adres zamieszkania i numer telefonu mobilnego oraz adres e-mail. Jednocześnie w powyższym wniosku, zakreślił opcjonalne "TAK", na wyrażenie zgody "na przetwarzanie przez [...] moich danych osobowych w celach promocji i marketingu działalności prowadzonej [...] w tym świadczonych usług oraz oferowanych produktów (zgodnie z art. 23 ust. 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, Dz. U. Nr 133, poz. 883)". Zauważyć w tym miejscu należy, że stosownie do treści art. 23 ust. 2 ustawy, zgoda, o której mowa w ust. 1 pkt 1, może obejmować również przetwarzanie danych w przyszłości, jeżeli nie zmienia się cel przetwarzania.

Analizując powyższe ustalenia faktyczne i porównując je z obowiązującym prawem, należy dojść do wniosku – zdaniem Sądu – że skarżący wyraził w powyższym wniosku zgodę na przetwarzanie jego danych osobowych w celach promocji i marketingu działalności prowadzonej przez [...] w tym świadczonych usług oraz oferowanych produktów i jeżeli nie zmienił się cel przetwarzania, to dotyczy to również zgody na przetwarzanie danych osobowych na przyszłość. Takie przetwarzanie danych osobowych jest dopuszczalne również na podstawie art. 23 ust. 1 pkt 5 ustawy, zgodnie z którym przetwarzanie danych osobowych jest dopuszczalne nawet bez zgody skarżącego w sytuacji, kiedy jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Natomiast w myśl art. 23 ust. 4 pkt 1 ustawy, za prawnie usprawiedliwiony cel uważa się w szczególności marketing bezpośredni własnych produktów lub usług administratora danych.

Nie sposób zgodzić się z zarzutem skarżącego, że obowiązek wyrażenia przez niego zgody na przetwarzanie powyższych danych osobowych, nałożono na niego z "góry", wiążąc w ten sposób jego swobodę. Żadne dowody przeprowadzone przez organ w postępowaniu administracyjnym, nie wskazują na takie uchybienie [...]. Skarżący zaś nie zgadzając się z powyższym, powołuje się na pismo banku z dnia 18 maja 2006 r. (k. 21 akt sądowych) i wskazując na jego treść, uzasadnia właśnie w ten sposób swój zarzut. Oceniając powyższe, należy zatem dokonać analizy owego pisma. I tak czytamy w nim m.in., że: "Przed zawarciem kontraktu rachunku bankowego Klient musi wyrazić zgodę na przetwarzanie w określonym zakresie jego danych osobowych ...". Jednak, jak sam skarżący przyznał na rozprawie przed Sądem po okazaniu mu dokumentu ze strony 13 akt sądowych, klauzule tam umieszczone nie są wypełnionym przez niego dokumentem, a jedynie przykładem procedur, które ściągnął ze strony internetowej banku i – co najważniejsze – "nie jest to wniosek" o zawarcie umowy. W ten sposób potwierdził on swoją tezę z wniosku o ponowne rozpatrzenie sprawy przez organ, że powyższe klauzule zawarte są w umowie rachunku bankowego, a nie we wniosku o otwarcie rachunku, której skarżący po nadesłaniu przez bank, nie odesłał podpisanej. Tym samym nie doszło do zawarcia umowy prowadzenia rachunku bankowego i w konsekwencji, nie na jej podstawie, [...] przetwarzał jego dane osobowe, a na podstawie wyrażenia przez niego zgody we wniosku z dnia 4 czerwca 2001 r. Tym bardziej, jeśli się zważy na treść owego pisma, a mianowicie: "Przed zawarciem umowy...", a nie "we wniosku". Stąd też zawarte w piśmie z dnia 18 maja 2006 r. stwierdzenie, że: "zgoda taka została przez Pana wyrażona we wniosku o otwarcie rachunku bankowego z dnia 4 czerwca 2001 r.", należy uznać za oczywistą pomyłkę (obowiązek wyrażania zgody). W żaden bowiem sposób nie wykazano, żeby bank uzależniał nadesłanie potencjalnemu klientowi projektu umowy do podpisania, pod warunkiem wyrażenie przez niego zgody na przetwarzanie jego danych osobowych w celach promocji i marketingu działalności prowadzonej [...] w tym świadczonych usług oraz oferowanych produktów. Natomiast jeżeli mowa jest o jakichkolwiek warunkach stawianych przez bank, to dotyczy to jedynie podpisania umowy o prowadzenie rachunku, jednakże nie stanowi to przedmiotu niniejszej sprawy.

Reasumując, dane skarżącego [...] przetwarzał na podstawie wniosku z dnia 4 czerwca 2001 r. i po podpisaniu przez niego zgody na ich przetwarzanie w określonym celu, gdzie w żaden sposób nie pozbawiono go swobody w podjęciu takiej decyzji.

Na marginesie dodać należy, że skarżący był informowany przez [...] o możliwościach wynikających z treści art. 32 ustawy i o możliwości żądania przez niego zaprzestania przetwarzania jego danych osobowych, jednakże nie skorzystał on z tego prawa. Stwierdzić również należy, że wprawdzie organ nie załatwił sprawy skarżącego w terminie przewidzianym w art. 35 k.p.a., jednakże nie miało to – w ocenie Sądu – żadnego znaczenia dla sprawy.

Z drugiej natomiast strony nie sposób przyznać racji Generalnemu Inspektorowi Ochrony Danych Osobowych, że dane osobowe skarżącego mogły być przetwarzane na podstawie art. 23 ust. 1 pkt 2 ustawy, tzn. kiedy jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa. Wprawdzie katalog dokumentacji przechowywanej przez bank (art. 10) na podstawie art. 71 ust. 1 ustawy z dnia 29 września 1994 r. o rachunkowości (tekst jedn. z 2002 r. Dz. U. Nr 76, poz. 694 ze zm.) nie jest zamknięty, to jednak zważyć należy, że według art. 1, ustawa określa zasady rachunkowości oraz tryb badania sprawozdań finansowych przez biegłych rewidentów. Zatem ustawa w żadnym stopniu nie dotyczy wniosków o otwarcie rachunku w banku i w konsekwencji pozostałe dokumenty, o których mowa w art. 74 ust. 2 pkt 8, również nimi nie są.

W tym stanie rzeczy, na mocy art. 151 w zw. z art. 132 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. Nr 153, poz. 1270 ze zm.), należało orzec jak w sentencji wyroku.