Centralna Baza Orzeczeń Sądów Administracyjnych

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Iwona Dąbrowska, Sędziowie WSA Sławomir Antoniuk (sprawozdawca), Danuta Kania, , Protokolant specjalista Marek Kozłowski, po rozpoznaniu na rozprawie w dniu 15 marca 2017 r. sprawy ze skargi J. J. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] sierpnia 2016 r. nr [...] w przedmiocie przetwarzania danych osobowych 1. uchyla zaskarżoną decyzję 2. zasądza od Generalnego Inspektora Ochrony Danych Osobowych na rzecz skarżącej J. J. kwotę 597 (słownie: pięćset dziewięćdziesiąt siedem) złotych tytułem zwrotu kosztów postępowania.

Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia [...] sierpnia 2016 r. nr [...], wydaną na podstawie art. 138 § 1 pkt 1 k.p.a. oraz art. 12 pkt 2 w zw. z art. 22 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jedn. Dz. U. z 2016 r. poz. 922) w zw. art. 105 ust. 4 oraz art. 105a ust. 3 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz. U. 2015 r. poz. 128 ze zm.), utrzymał w mocy własną decyzję z dnia [...] maja 2016 r. nr [...] odmawiającą uwzględnienia wniosku J. J. dotyczącego niezgodnego z prawem przetwarzania jej danych osobowych przez Bank [...] S.A. z siedzibą w W.

W uzasadnieniu powyższej decyzji Generalny Inspektor Ochrony Danych Osobowych podniósł, iż J. J. wniosła do biura organu skargę na przetwarzanie przez Bank [...] S.A. z siedzibą w W. jej danych osobowych, w tym na ich udostępnienie w Biurze Informacji Kredytowej S.A. z siedzibą w W. (dalej jako BIK) oraz w Systemie Bankowy Rejestr prowadzonym przez Związek Banków Polskich z siedzibą (dalej jako ZBP). Wnioskodawczyni w treści skargi podniosła, że zostało wobec niej wydane postanowienie Sądu Rejonowego [...] [...] Wydział [...] (sygn. akt [...]), dotyczące umorzenia wszystkich jej zobowiązań finansowych zgłoszonych w upadłości konsumenckiej, w tym zobowiązań wobec Banku [...] S.A. w W. Bank był uczestnikiem postępowania upadłościowego. Postanowienie to stało się prawomocne z dniem 3 marca 2015 r., a następnego dnia, tj. 4 marca 2015 r. skarżąca złożyła do Banku kopię przedmiotowego prawomocnego postanowienia Sądu wraz z listem przewodnim zawierającym prośbę o zamknięcie zobowiązania w BIK (oraz innych rejestrach, do których została wpisana przez Bank) oraz wniosła o usunięcie danych z BIK oraz z Rejestru ZBP. Dodatkowo w dniu 10 maja 2015 r. skarżąca złożyła pismo do Banku cofając jej zgodę na przetwarzanie jej danych osobowych w BIK i żądając usunięcia jej danych osobowych przetwarzanych w BIK i Rejestrze ZBP. Skarżąca podkreśliła, iż Bank nie może bez jej zgody przetwarzać jej danych osobowych w BIK oraz w Systemie Bankowy Rejestr prowadzonym przez ZBP, ponieważ Bank nie dopełnił obowiązku informacyjnego, o którym mowa w art. 105a ust. 3 Prawa bankowego.

Po przeprowadzeniu postępowania administracyjnego Generalny Inspektor Ochrony Danych Osobowych w dniu [...] maja 2016 r. wydał decyzję administracyjną, mocą której odmówił uwzględnienia wniosku skarżącej. W uzasadnieniu tej decyzji organ wskazał, że choć zobowiązanie skarżącej wobec Banku [...] wygasło (zostało umorzone), to ze zgromadzonego materiału dowodowego wynika, iż odnośnie spłaty zadłużenia skarżąca dopuściła się zwłoki trwającej dłużej niż 60 dni, a Bank [...] wykonał wobec skarżącej obowiązek informacyjny z art. 105a ust. 3 ustawy Prawo bankowe. Wobec powyższego wniosek skarżącej nie zasługiwał na uwzględnienie.

We wniosku o ponowne rozpatrzenie sprawy zakończonej ww. decyzją, pełnomocnik strony podniósł, iż decyzja pierwszoinstancyjna została wydana z naruszeniem art. 7, 77 oraz 107 k.p.a., z uwagi nieprzeprowadzenie dowodu z przesłuchania skarżącej. Organ przy tym błędnie uznał, że Bank [...] skutecznie poinformował skarżącą o zamiarze przetwarzania jej danych osobowych w BIK oraz ZBP. Należało bowiem zakwestionować dokonane przez Bank wysyłanie pism o zamiarze przetwarzania tych danych listem zwykłym, jako niestanowiących dowodu o skutecznym doręczeniu skarżącej takich pism.

Generalny Inspektor Ochrony Danych Osobowych nie znalazł podstaw do uwzględnienia wniesionego środka zaskarżenia i powołanym na wstępie rozstrzygnięciem utrzymał zaskarżoną decyzję w mocy. W motywach rozstrzygnięcia organ przybliżył zasady przetwarzania danych osobowych określone w art. 23 ustawy o ochronie danych osobowy, ze szczególnym uwzględnieniem przesłanki z ust. 1 pkt 2 mówiącej o tym, że przetwarzanie danych osobowych jest dopuszczalne wtedy, gdy jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa. Aktem prawnym zawierającym szczegółowe regulacje dotyczące procesu przetwarzania danych osobowych klientów banków jest przede wszystkim ustawa z dnia 29 sierpnia 1997 r. Prawo bankowe, które art. 105 ust. 4 określa, iż banki mogą, wspólnie z bankowymi izbami o utworzyć instytucje upoważnione do gromadzenia, przetwarzania i udostępniania m.in. nstytucjom kredytowym - informacji stanowiących tajemnicę bankową w zakresie niezbędnym do oceny zdolności kredytowej konsumenta, o której mowa y art. 9 ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim. Zarówno BIK, jak i System Bankowy Rejestr, są instytucjami utworzonymi na podstawie ww. art. 105 ust. 4 Prawa bankowego. Zgodnie zaś z art. 105a ust. 1 Prawa bankowego, przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów, instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, a także instytucje utworzone na podstawie art. 105 ust. 4 (np. BIK S.A. oraz System Bankowy Rejestr), informacji stanowiących tajemnicę bankową i informacji udostępnionych przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem art. 104, art. 105 i art. I 06-106d, w celu oceny zdolności kredytowej i analizy ryzyka kredytowego.

Mając na względzie powyższe regulacje organ Ochrony Danych Osobowych stwierdził, iż przekazanie danych osobowych skarżącej przez Bank do BIK S.A. w celu oceny zdolności kredytowej i analizy ryzyka kredytowego nastąpiło w oparciu o przesłankę, o której mowa w art. 23 ust. 1 pkt 2 ustawy ochronie danych osobowych w zw. z art. 105a ust. 3 i art. 105 ust. 4 Prawa bankowego. Wobec tego, dla legalności przedmiotowego udostępnienia zgoda skarżącej nie była wymagana. Choć zobowiązanie skarżącej, wynikające z umowy wobec Banku wygasło, to jednak skarżąca dopuściła się zwłoki w spłacie zadłużenia trwającej dłużej niż 60 dni.

Generalny Inspektor Ochrony Danych Osobowych wskazał, iż zgodnie z art. 105a ust. 3 Prawa bankowego, instytucje, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów. bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank lub inną instytucję ustawowo upoważnioną do udzielania kredytów o zamiarze przetwarzania dotyczących jej informacji stanowiących tajemnicę bankową, bez jej zgody. Zatem sam fakt, że klient nie wykonał lub spóźnił się z jego wykonaniem co najmniej 60 dni, nie upoważnia banku do przetwarzania jego danych na warunkach określonych w art. 105a ust. 3 Prawa bankowego. Klient musi bowiem zostać poinformowany o możliwości przetwarzania jego danych bez uzyskania od niego zgody. Dopiero bezskuteczny upływ 30 dni od momentu poinformowania stanowi wypełnienie przesłanek z art. 105a ust. 3 Prawa bankowego. Moment, od którego należy liczyć sześćdziesięciodniowy termin, w którym konsument dopuszcza się zwłoki w wykonaniu zobowiązania, to termin wykonania zobowiązania. Dopiero po upływie 60 dni zaczyna biec trzydziestodniowy termin, w którym instytucja jeszcze oczekuje na wykonanie zobowiązania klienta. Termin trzydziestodniowy nie biegnie jednak ex lege, a dopiero od momentu, w którym konsument zostanie skutecznie poinformowany przez instytucję o zamiarze przetwarzania. Bank przetwarzając dane klienta na warunkach określonych w ww. przepisie, musi dysponować dowodem na to, że osoba, której dane dotyczą została poinformowana o zamiarze przetwarzania ich bez jej zgody.

W niniejszej sprawie, pomimo, że skarżąca dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy pożyczki gotówkowej zawartej z Bankiem [...] w dniu [...] kwietnia 2008 r., podniosła zarzut, że Bank nie spełnił wobec niej obowiązku określonego w art. 105a ust. 3 Prawa bankowego i nie poinformował jej skutecznie o zamiarze przetwarzania dotyczących jej informacji stanowiących tajemnicę bankową, bez jej zgody, po wygaśnięciu zobowiązania.

Organ podkreślił, iż w sprawie istnieją dwa przeciwstawne oświadczenia, gdyż Bank [...] twierdzi, że wysłał do skarżącej w dniach 8 grudnia 2009 r., 7 stycznia 2010 r. oraz 5 lutego 2010 r. pisma odpowiadające wymogom określonym w art. 105a ust. 3 Prawa bankowego, natomiast skarżąca twierdzi, że takich pism nigdy nie otrzymała. W związku z tym dla właściwego rozstrzygnięcia tej spornej kwestii Generalny Inspektor oparł się na dowodach zebranych w niniejszym postępowaniu. Dowodami, jakie przedstawił Bank [...] na potwierdzenie tej okoliczności, są wydruki z systemu obsługi klientów obrazujące automatyczne zainicjowanie w ww. datach pism o oznaczeniach [...] oraz sama treść tych pism, które Bank ten przesłał skarżącej. W polu "Data nadania" znajduje się data wygenerowania przez Bank [...] listów na potrzeby reklamacyjne. Powiadomienia te zostały do skarżącej wysłane pocztą zwykłą na wskazany przez nią adres do korespondencji (J. J. ul. [...], [...] W.). W pismach tych Bank informuje skarżącą o opóźnieniu w spłacie pożyczki (nr [...]) powyżej 60 dni i zamiarze przetwarzania informacji wynikających z ww. umowy pożyczki przez okres 5 lat od wygaśnięcia zobowiązania wynikającego ze wskazanej powyżej umowy. Tym samym treść pism odpowiada wymogom określonym w art. 105a ust. 3 ustawy Prawo bankowe. Po wysłaniu do skarżącej pism datowanych na 8 grudnia 2009 r. oraz 7 stycznia 2010 r. zostały odnotowane wpłaty na rachunku skarżącej — odpowiednio w dniach 4 stycznia 2010 r. oraz 1 lutego 2010 r. Reakcja ta świadczy o tym, że skarżąca musiała otrzymać ww. pisma z Banku [...]. Z uwagi jednak na to, że zadłużenie nadal pozostawało niespłacone, Bank [...] wysłał kolejne pismo do skarżącej z dnia 5 lutego 2010 r. o tej samej treści co poprzednie pisma z powołaniem się m.in. na art. 105a ust. 3 Prawa bankowego. Pismo to, tak jak poprzednie, zostało wysłane do skarżącej pocztą zwykłą, gdyż Bank nie ma obowiązku przesyłania listami poleconymi takiej korespondencji, w szczególności obowiązek taki nie wynika z art. 105a ust. 3 Prawa bankowego.

Mając powyższe na względzie Generalny Inspektor stwierdził, iż dokumentacja przedstawiona przez Bank [...] w toku niniejszego postępowania potwierdza okoliczność przesyłania skarżącej zawiadomień o możliwości przetwarzania jej danych osobowych w BIK oraz w ZBP, w szczególności, że do Banku [...] nie wpłynęły zwroty ww. pism kierowanych do skarżącej.

Odnosząc się do zarzutów wniosku o ponowne rozpatrzenie sprawy Generalny Inspektor Ochrony Danych Osobowych podkreślił iż organ prowadzący postępowanie musi dążyć do ustalenia prawdy materialnej i według swej wiedzy, doświadczenia oraz wewnętrznego przekonania ocenić wartość dowodową poszczególnych środków dowodowych, wpływ udowodnienia jednej okoliczności na inne okoliczności (wyrok NSA z dnia 9 lipca 1999 r. sygn. akt III SA 5417/98). Tym samym, zdaniem Generalnego Inspektora, w niniejszej sprawie Bank [...] udowodnił, że skutecznie wykonał wobec skarżącej obowiązek informacyjny z art. 105a ust. 3 Prawa bankowego. Za niezasadny organ uznał zarzutu naruszenia art. 7, 77 oraz 107 k.p.a., bowiem organ administracji może odmówić przeprowadzenia dowodu, jeżeli uzna, że przeprowadzenie takiego dowodu nie wniesie nic nowego do sprawy (por. wyrok NSA w Lublinie z dnia 26 września 1995 r. sygn. akt SA/Lu 1929/94). Przeprowadzenie dowodu z przesłuchania J. J. w niniejszej sprawie było zbędne, bowiem w toku niniejszego postępowania w formie pisemnej, przedstawiała ona obszernie swoje stanowisko na temat okoliczności doręczenia jej przez Bank [...] zawiadomień o możliwości przetwarzania jej danych osobowych w BIK oraz w ZBP.

Decyzja Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] sierpnia 2016 r. stała się przedmiotem skargi wniesionej przez J. J. do Wojewódzkiego Sądu Administracyjnego w Warszawie.

W skardze pełnomocnik skarżącej zarzucił kwestionowanej decyzji:

1) naruszenie reguł postępowania, w tym art. 86, 7, 77, 78, 107 k.p.a., poprzez brak należytego i pełnego przeprowadzenia postępowania, co wyrażało się brakiem dopuszczenia dowodu z przesłuchania strony, na okoliczność rzekomego odebrania przez skarżącą korespondencji od Banku [...], zawierającej oświadczenie woli o dalszym przetwarzaniu danych skarżącej bez jej zgody, w przypadku braku uregulowania należności oraz błędne przyjęcie, iż zeznania strony są nieistotne dla przedmiotu sprawy;

2) obrazę art. 107 § 3 w zw. z art. 15 k.p.a., poprzez całkowite pominięcie zarzutu postawionego przez skarżącą we wniosku o ponowne rozpoznanie sprawy, tyczącego się obrazy art. 61 k.c., poprzez błędne przyjęcie, iż złożenie przez Bank [...] oświadczenia woli o dalszym przetwarzaniu danych skarżącej, poprzez wysłanie listu zwykłego, jest złożone w taki sposób, iż skarżąca mogła się z nim zapoznać, a także zarzutu, zgodnie z którym oświadczenia banku (pisma kierowane do skarżącej), nie były przez nikogo podpisywane, a pod treścią oświadczenia widniały jedynie mechaniczne odwzorowania podpisu; wobec tego, w ocenie skarżącej brak jest możliwości ustalenia tego, czy rzeczywiście bank, zgodnie z właściwą sobie reprezentacją oświadczenia takiej treści w ogóle złożył.

3) obrazę prawa materialnego, tj. art. 105a ust. 3 ustawy z dnia 29 sierpnia 1997 r. - Prawo bankowe, poprzez jego błędną wykładnię, polegającej na przyjęciu, iż Bank [...] wypełnił swój obowiązek informacyjny, zawarty w tym przepisie, a polegający na zawiadomieniu swego klienta o zamiarze przetwarzania danych dotyczącej jego osoby, bez zgody, wyłącznie poprzez skierowanie pisma zawierającego ww. oświadczenie woli, listem niepoleconym;

4) obrazę prawa materialnego, tj. art. 61 k.c., poprzez błędne przyjęcie, iż złożenie przez bank oświadczenia woli o dalszym przetwarzaniu danych skarżącej, poprzez wysłanie listu zwykłego, jest złożone w taki sposób, iż skarżąca mogła się z nim zapoznać.

Z uwagi na podniesione zarzuty strona skarżąca wniosła o uchylenie zaskarżonej decyzji w całości oraz zasądzenie od organu na rzecz skarżącej kosztów postępowania według norm przepisanych.

W uzasadnieniu skargi pełnomocnik skarżącej podniósł, iż organ dokonał błędnej wykładni art. 105a ust. 3 Prawa bankowego przyjmując, iż wystarczającym dla wypełnienia obowiązku informacyjnego - złożenia oświadczenia woli, w przedmiocie dalszego, niewymagającego zgody strony przetwarzania jej danych, jest skierowanie przez bank pisma o stosownej treści za pośrednictwem poczty listem zwykłym. W ocenie strony skarżącej jest to stanowisko błędne. Organ, badając sprawę niniejszą winien w oparciu o ww. przepis powinien rozważyć nie to, czy ww. pisma Bank [...] wysłał oraz czy skarżąca faktycznie je odebrała, a to, co jest istotą tej normy prawnej, a mianowicie, czy Bank swe oświadczenie woli złożył w taki sposób, aby skarżąca mogła się z nim zapoznać. Dla skutecznego złożenia oświadczeń woli (np. zawarcia umowy) konieczne jest nie tylko podpisanie oświadczeń woli (umowy), ale dojście do adresata oświadczenia (drugiej strony umowy) informacji, że dokument został podpisany. Oświadczenie uznawane jest za złożone (a umowa zawarta) z chwilą dojścia obu oświadczeń do adresatów (por. SN w wyr. z dnia 2 grudnia 2009 r. sygn. akt I CSK 129/09, publik. Legalis). W tej sprawie natomiast organ błędnie zajmował się ustalaniem, czy skarżąca z treścią pism się zapoznała. Ciężar udowodnienia przesłanek warunkujących skuteczność złożenia oświadczenia woli w sposób określony w art. 61 k.c. spoczywa na składającym oświadczenie. Zatem organ nie może oprzeć rozstrzygnięcia o opisywane w uzasadnieniu decyzji domniemanie, albowiem, mógłby to uczynić tylko w sytuacji, gdy przesyłka polecona zawierająca pismo informacyjne byłaby awizowana dwukrotnie. Aby zatem ustalić to, iż strona miała możliwość zapoznania się z przedmiotowym oświadczeniem woli, organ musiałby dysponować (zapewne od banku) jednoznacznym dowodem za tym przemawiającym, a nie próbować ustalać stan faktyczny w oparciu o nielogiczne i niepoparte doświadczeniem życiowym domniemanie, iż wysłany list niepolecony dotrze do adresata. Skoro strona daje jednoznaczne stanowisko, iż takowej korespondencji nigdy nie odebrała, a jej twierdzenie jest zgodne z doświadczeniem życiowym, przyjąć należy, iż jej twierdzenia są wiarygodne, a twierdzenia Banku, zdecydowanie za takie uznane być nie mogą.

Ponadto pełnomocnik skarżącej podniósł, iż oświadczenia banku (pisma informacyjne), nie były przez nikogo podpisywane. Pod treścią oświadczenia widniały jedynie mechaniczne odwzorowania podpisu. Wobec tego, w ocenie skarżącej, brak jest możliwości ustalenia tego, czy rzeczywiście bank, zgodnie z właściwą sobie reprezentacją oświadczenia takiej treści w ogóle złożył.

W odpowiedzi na skargę Generalny Inspektor Ochrony Danych Osobowych wniósł o jej oddalenie oraz podtrzymał w całości stanowisko zaprezentowane w uzasadnieniu zaskarżonej decyzji.

Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:

Zgodnie z brzmieniem art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (tekst jedn. Dz. U. z 2016 r. poz. 1066 ze zm.), sąd administracyjny sprawuje wymiar sprawiedliwości poprzez kontrolę pod względem zgodności z prawem zaskarżonej decyzji administracyjnej i to z przepisami obowiązującymi w dacie jej wydania. Oznacza to, iż sąd administracyjny kontroluje legalność rozstrzygnięcia zapadłego w postępowaniu z punktu widzenia jego zgodności z obowiązującymi przepisami prawa.

Sąd, badając legalność zaskarżonej decyzji w oparciu o powołane przepisy i w granicach sprawy, nie będąc jednak związanym, stosownie do art. 134 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (tekst jedn. DZ. U. z 2016 r. poz. 718 ze zm. – dalej jako p.p.s. a.), zarzutami i wnioskami skargi uznał, że zarówno zaskarżona decyzja jak i decyzja ją poprzedzająca naruszają obowiązujący porządek prawny w stopniu uzasadniającym wyeliminowanie tych aktów z obrotu prawnego.

Rozpatrywana pod tym względem skarga J. J. zasługuje na uwzględnienie, choć z nie wszystkimi jej zarzutami należy się zgodzić.

Na wstępie rozważań należy wskazać, że ochrona danych osobowych polega przede wszystkim na określeniu kiedy dozwolone, a kiedy zabronione jest ich przetwarzanie. Ustawa z dnia 29 sierpnia 1997 r. o ochronie danych wskazuje zasady przetwarzania danych osobowych (rozdz. 3 ustawy). W art. 23 § 1 ustawy zostały wymienione przesłanki legalizujące przetwarzanie danych osobowych. Zgodnie z treścią tego przepisu przetwarzanie danych jest dopuszczalne tylko wtedy, gdy:

1) osoba, której dane dotyczą, wyrazi na to zgodę, chyba że chodzi o usunięcie dotyczących jej danych,

2) jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa,

3) jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą,

4) jest niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego,

5) jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą.

Cytowany powyżej przepis ustawy określa ogólne materialne przesłanki przetwarzania danych osobowych. Przesłanki te mają charakter generalny, odnoszą się do wszelkich form przetwarzania danych, w tym zarówno do przetwarzania "na własne potrzeby" administratora, jak i "na zewnątrz". Są one co do zasady równoprawne, mają charakter autonomiczny i niezależny, co oznacza, że wystarczy wystąpienie jednej z nich, by przetwarzanie danych mogło być uznane za usprawiedliwione. Oznacza to także, że zgoda osoby, której dane dotyczą, nie jest wyłączną przesłanką przetwarzania danych osobowych (por. J. Barta, P. Fajgielski, R. Markiewicz "Ochrona danych osobowych. Komentarz", publ. LEX; wyrok WSA w Warszawie z dnia 19 lipca 2007 r. sygn. akt II SA/Wa 678/07, publ. LEX nr 368229).

W rozpoznawanej sprawie skarżąca była klientem Banku [...] S.A. z uwagi na zawartą z nią w dniu [...] kwietnia 2008 r. umowę kredytową, a zatem dla oceny przetwarzania danych osobowych skarżącej niezbędne jest też odniesienie się do ustawy z dnia 27 sierpnia 1997 r. – Prawo bankowe.

W rozpoznawanej sprawie organ przyjął, iż w odniesieniu do przekazania danych osobowych skarżącej przez Bank [...] do BIK i Systemu Bankowy Rejestr przesłanką legalizującą jest okoliczność opisana w art. 23 ust. 1 pkt 2 powołanej ustawy w zw. z art. 105 ust. 4 i 105a ust. 1 ustawy Prawo bankowe.

Stosownie bowiem do art. 105 ust. 4 ustawy Prawo bankowe banki mogą, wspólnie z bankowymi izbami gospodarczymi, utworzyć instytucje upoważnione do gromadzenia, przetwarzania i udostępniania:

1) bankom - informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych oraz w związku ze stosowaniem metod statystycznych, o których mowa w art. 128 ust. 3 oraz w art. 128d ust. 1;

2) innym instytucjom ustawowo upoważnionym do udzielania kredytów – informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są niezbędne w związku z udzielaniem kredytów, pożyczek pieniężnych, gwarancji bankowych i poręczeń;

3) instytucjom kredytowym – informacji stanowiących tajemnicę bankową w zakresie niezbędnym do oceny ryzyka kredytowego konsumenta, o którym mowa w art. 9 ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim.

Zgodnie zaś z art. 105a ust. 1 ustawy Prawo bankowe przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów oraz instytucje utworzone na podstawie art. 105 ust. 4, informacji stanowiących tajemnicę bankową w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem art. 104, art. 105 i art. 106-106c, w celu oceny zdolności kredytowej i analizy ryzyka kredytowego.

Nie ulega wątpliwości, że BIK i Związek Banków Polskich prowadzący Rejestr Sytemu Bankowego należą do instytucji wymienionych w art. 105 ust. 4, a celem przetwarzania danych zawartych w BIK i Rejestrze System Bankowy jest zwiększenie bezpieczeństwa systemu bankowego i płatniczego oraz ochrona depozytów bankowych oraz ocena zdolności kredytowej i analiza ryzyka kredytowego. Do przetwarzania danych na podstawie art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych w zw. z art. 105 ust. 4 i 105a ust. 1 ustawy Prawo bankowe - zgoda osoby, której dane są przetwarzane, nie jest wymagana. Powołane przepisy prawa nie ustanawiają bowiem takiego wymogu. O zgodzie na przetwarzanie danych stanowiących tajemnicę bankową przez instytucje wymienione w art. 105 ust. 4 ustawy mowa dopiero w art. 105a ust. 2, tj. po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów.

Sąd podziela również stanowisko organu, że na podstawie art. 105a ust. 3 Prawa bankowego, banki oraz instytucje, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo uprawnioną do udzielania kredytów, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank lub inną instytucję ustawowo upoważnioną do udzielania kredytów o zamiarze przetwarzania jej informacji stanowiących tajemnicę bankową bez jej zgody.

Skarżąca, jak ustalono w toku postępowania administracyjnego, dopuściła się zwłoki – trwającej dłużej niż 60 dni – w spłacie zadłużeń. Spełnienie pierwszej z przesłanek wymienionych w art. 105a ust. 3 Prawa bankowego nie budzi wątpliwości Sądu, jak też nie było w postępowaniu administracyjnym kwestionowane.

W ocenie Sądu, Generalny Inspektor Ochrony Danych Osobowych błędnie stwierdził, iż w oparciu o zgromadzony materiał dowodowy należy przyjąć, iż Bank [...] wykonał względem skarżącej obowiązek informacyjny realizując drugą z przesłanek wymienionych w art. 105a ust. 3 Prawa bankowego. Wyjaśnienia udzielone w przez Bank są, zdaniem Sądu, niewystarczające, albowiem nie tylko nie dowodzą, że przesyłka z pismem informacyjnym została skarżącej doręczona, ale również, że została nadana w Urzędzie Pocztowym. Bank [...] powołał się w tym względzie na wydruki z systemu obsługi klientów obrazujące automatyczne zainicjowanie w dniach 8 grudnia 2009 r., 7 stycznia 2010 r. i 5 lutego 2010 r. pism oznaczonych symbolem [...] oraz kopie treści tych pism, która odpowiada wymogom informacyjnym określonym w art. 105a ust. 3 Prawa Bankowego. Przedstawiciel Banku oświadczył, iż przedmiotowe powiadomienia zostały wysłane pocztą zwykłą, o czym świadczy zrzut z ekranu komputerowego z aplikacji CITILSSL – EXTRA X – treme oraz wygenerowana z systemu data nadania umieszczona na kopiach tych pism (w prawym górnym rogu pisma) i fakt, iż przesyłki nie wróciły do nadawy jako niedoręczone. Bank przy tym podkreślił, iż nie ma obowiązku przesyłania listami poleconymi takiej korespondencji, w szczególności obowiązek taki nie wynika z art. 105a ust. 3 Prawa bankowego.

Zdaniem Sądu, samo potwierdzenie komputerowe w prawym górnym rogu pism "PRZESYŁKA NIESTEMPLOWANA, Data nadania 2015 – 08 – 07", nie stanowi potwierdzenia wysłania pism z dnia 8 grudnia 2009 r., 7 stycznia 2010 r. i 5 lutego 2010 r. zwłaszcza, iż jak podaje sam Bank jest to "data ponownego wygenerowania pisma w związku z analizą pism Skarżącej". Także zrzut ekranu komputerowego ww. aplikacji, z uwagi na "zakodowany" system zgromadzonych tam danych, bez głębszej analizy specjalistycznej (z zakresu informatyki), nie przedstawia wiarygodnego dowodu, iż poza wygenerowaniem przedmiotowych pism w istocie doszło do ich wysłania skarżącej. Dostrzec przy należy, iż Bank przedłożył dowody, które sam sporządził i to w taki sposób, który nie pozwala zweryfikować przedstawionego przezeń stanowiska. Skarżąca zaś kategorycznie stwierdza (bez potrzeby przesłuchiwania jej w charakterze świadka na tę okoliczność), iż spornych pism nie otrzymała. Bank nie dysponuje przy tym dowodem nadania przesyłek doręczycielowi, a w każdym razie w toku postępowania administracyjnego takowych nie przedstawił. Słuszne jest wprawdzie twierdzenie, że żaden przepis ustawy Prawo bankowe nie wymaga aby obowiązek informacyjny, o którym mowa w art. 105a ust. 3 tej ustawy, był realizowany przy pomocy przesyłek rejestrowanych – listów poleconych. Podkreślić jednak należy, iż w przypadku sporu ciężar dowodu doręczenia pisma spoczywa na stronie spełniającej obowiązek informacyjny. Wprawdzie w toku postępowania administracyjnego organ orzekający ocenił przedstawione przez Bank dokumenty, ale nie wynika z nich realizacja przez Bank [...] w stosunku do skarżącej obowiązku informacyjnego (wysłania, a nie tylko wygenerowania pism). Zatem Generalny Inspektor przedwcześnie przyjął, nie dysponując ku temu wystarczającym materiałem dowodowym, że doręczono skarżącej ww. sporne pisma, lub też Bank dołożył wymaganej w tych okolicznościach staranności, aby adresat pism informacyjnych mógł zaznajomić się z ich treścią.

Tym samym organ nie wykazał, iż spełnione zostały przesłanki określone w art. 105a ust. 3 Prawa bankowego, dlatego też błędnie przyjął, iż dane osobowe skarżącej mogły być na tej podstawie przetwarzane przez Bank [...] oraz BIK i Rejestr System Bankowy w celu oceny zdolności kredytowej i analizy ryzyka kredytowego, bez zgody skarżącej jako osoby niewywiązującej się terminowo ze zobowiązania wobec Banku. Wobec powyższego, w ocenie Sądu, organ naruszył art. 7, art. 77 § 1 oraz art. 107 § 1 k.p.a. w stopniu istotnym dla wydania prawidłowego rozstrzygnięcia w sprawie.

Nie można natomiast podzielić wywodów skargi mówiących o konieczności zastosowania formy przewidzianej dla składania oświadczeń woli uwzględniającej sposób reprezentacji instytucji bankowej, jak też zastępowania podpisów własnoręcznych podpisami w formie faksymile. Przepis art. 105a ust. 3 Prawa bankowego takiego wymogu nie przewiduje. Wskazuje jedynie na konieczność poinformowania o zamiarze przetwarzania danych osobowych. Chodzi więc w tym przepisie o zakomunikowanie podjętej decyzji o zamiarze określonego zachowania się, nie zaś złożenia oświadczenia woli w celu nawiązania, zmiany, przekształcenia, rozwiązania stosunku prawnego. Pismo informacyjne może mieć postać wydruku komputerowego. Wobec tego brak na nim podpisu i posłużenie się faksymile nie stanowi o wadliwej realizacji obowiązku informacyjnego, o ile komunikat zawarty w tym piśmie może być odczytany przez adresata. Dokument informacyjny w postaci wydruku komputerowego stanowi dowód realizacji obowiązku informacyjnego – tak WSA w wyroku z dnia 5 czerwca 2016 r. sygn. akt II SA/Wa 2147/15 (publik. http://orzeczenia.nsa.gov.pl). Powyższy pogląd skład orzekający w niniejszej sprawie w pełni podziela.

Ponownie rozpoznając sprawę organ uzupełni materiał dowodowy w niezbędnym dla rozstrzygnięcia spornej kwestii zakresie biorąc pod uwagę, iż w świetle art. 75 § 1 k.p.a., jako dowód należy dopuścić wszystko, co może przyczynić się do wyjaśnienia sprawy, a nie jest sprzeczne z prawem. W szczególności dowodem mogą być dokumenty, zeznania świadków, opinie biegłych oraz oględziny.

Mając powyższe na uwadze, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 145 § 1 pkt 1 lit c p.p.s.a., orzekł jak w punkcie pierwszym wyroku. W przedmiocie kosztów Sąd orzekł na podstawie art. 200, art. 205 § 2 i art. 209 powołanej ustawy.