Centralna Baza Orzeczeń Sądów Administracyjnych

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Joanna Kube Sędziowie WSA Adam Lipiński Danuta Kania (spr.) Protokolant specjalista Wiesława Jesiotr po rozpoznaniu na rozprawie w dniu 12 maja 2016 r. sprawy ze skargi P. S.A. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] sierpnia 2015 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę

Generalny Inspektor Ochrony Danych Osobowych (dalej: "Generalny Inspektor", "GIODO") decyzją z dnia [...] sierpnia 2015 r. nr [...], powołując w podstawie prawnej art. 138 § 1 pkt 1 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (Dz. U. z 2013 r. poz. 267 ze zm.), dalej: "k.p.a." oraz art. 12 pkt 2, art. 22 i art. 23 ust. 1 pkt 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2014 r. poz. 1182), dalej: "u.o.d.o.", w zw. z art. 105 ust. 4 oraz art. 105a ust. 3 i 4 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz. U. z 2015 r. poz. 128 ze zm.), utrzymał w mocy własną decyzję z dnia [...] lutego 2015 r. nr [...], nakazującą [...] S. A. z siedzibą w W. (dalej: "Bank") zaprzestanie przetwarzania danych osobowych P. T., dotyczących rachunku nr [...] w systemie [...] S.A. z siedzibą w [...] (dalej: "[...] S.A.") w trybie określonym w art. 105a ust. 3 ustawy Prawo bankowe.

W uzasadnieniu powyższej decyzji Generalny Inspektor przedstawił dotychczasowy tok postępowania wskazując, co następuje:

Do Biura GIODO wpłynęła skarga P. T. na przetwarzanie przez [...] S.A. z siedzibą w [...] jego danych osobowych, w tym na ich udostępnienie w [...] S.A. z siedzibą w [...] w zakresie informacji wynikających z umowy kredytowej numer [...] zawartej w dniu [...] września 2007 r.

W uzasadnieniu skargi skarżący podniósł, iż z tytułu ww. umowy spowodowane zostało zadłużenie, które ostatecznie zostało spłacone. Poprzez całkowitą spłatę zadłużenia wygasł stosunek prawny pomiędzy nim a Bankiem. Prawo bankowe jednoznacznie określa w art. 105a przesłanki przetwarzania informacji stanowiących tajemnicę bankową bez zgody osoby, której te informacje dotyczą. W niniejszej sprawie nie uczyniono zadość przesłance określonej w ust. 3 ww. przepisu tj. nie upłynęło 30 dni od chwili poinformowania skarżącego o możliwości przetwarzania jego danych osobowych bez jego zgody. Skarżący zaprzeczył, aby został poinformowany jakimkolwiek pismem Banku, doręczonym mu w ustawowym terminie w taki sposób, aby mógł się z nim zapoznać, o zamiarze przetwarzania jego danych osobowych stanowiących tajemnicę Banku - bez jego zgody. Skarżący występował do Banku o przedstawienie dowodu wykazującego spełnienie przez Bank ww. obowiązku informacyjnego, jednakże do chwili obecnej Bank wskazuje jedynie na przesłanie listu zwykłego, który nigdy nie został skarżącemu dostarczony.

Precyzując żądanie skarżący wskazał, iż wnosi o nakazanie Bankowi przywrócenia stanu zgodnego z prawem, poprzez zaprzestanie przetwarzania jego danych osobowych w [...] S.A.

Generalny Inspektor Ochrony Danych Osobowych przeprowadził w sprawie postępowanie wyjaśniające i ustalił, że skarżący zawarł z Bankiem w dniu [...] września 2007 r. umowę kredytową nr [...], z tytułu której powstało zadłużenie.

W wyjaśnieniach z dnia [...] sierpnia 2014 r. Bank wskazał, że dane osobowe skarżącego zostały przekazane do [...] S.A. w związku z ww. zobowiązaniem na podstawie Umowy w sprawie zbierania i udostępniania informacji zawartej w dniu 22 czerwca 2001 r. pomiędzy [...] S. A., a [...] S.A. W bazie [...] S.A. kredyt figuruje jako rachunek w statusie 00-Odzyskany, z datą odzyskania: [...] czerwca 2011 r., z wycofaną zgodą klienta na przetwarzanie danych po wygaśnięciu zobowiązania oraz ze wskaźnikiem "warunki spełnione". Przedmiotowe zobowiązanie zostało przekazane do [...] S.A. po raz pierwszy we wsadzie za wrzesień 2007 r. w dniu [...] września 2007 r. Ostatnie przekazanie danych do [...] S.A. o ww. zobowiązaniu (zawierające informację o zamknięciu zobowiązania z datą [...] czerwca 2011 r.) nastąpiło we wsadzie za maj 2011 r. W związku z figurowaniem wskaźnika "warunki spełnione" z art. 105a ust. 3 Prawa bankowego, przedmiotowa umowa kredytowa będzie prezentowana na raportach do oceny zdolności kredytowej przez 5 lat od daty spłaty bez zgody klienta.

Bank wskazał, że powiadomienie o zamiarze przetwarzania danych po wygaśnięciu zobowiązania, spełniające jednocześnie obowiązek informacyjny z art. 105a ust. 3 Prawa bankowego, zostało przesłane do skarżącego w dniu [...] sierpnia 2009r. w związku z zaległością z dnia [...] czerwca 2009 r. Jako dowód na powyższe Bank przesłał zrzut ekranu z aplikacji potwierdzający datę wysyłki, datę zaległości, kwotę zaległości, adres wysyłki korespondencji. Nie przesłał natomiast treści korespondencji kierowanej do skarżącego.

Bank poinformował, że pełnomocnik skarżącego, pismem z dnia [...] lutego 2014r., zwrócił się do Banku z wnioskiem o usunięcie danych osobowych z [...], [...],[...] S.A., [...] S.A i [...] S.A. Jednocześnie złożył oświadczenie o wycofaniu zgody na przetwarzanie jego danych osobowych po wygaśnięciu zobowiązania. W piśmie z dnia [...] marca 2014 r. Bank udzielił odpowiedzi wskazując, iż pomimo, że w [...] S.A. wycofano zgodę na przetwarzanie danych po wygaśnięciu zobowiązania, to informacje dotyczące ww. umowy, w związku faktem spełnienia łącznie obydwu warunków określonych w art. 105a ust. 3 Prawa bankowego, będą przetwarzane przez okres 5 lat licząc od daty wygaśnięcia zobowiązania w celu oceny zdolności kredytowej i analizy ryzyka kredytowego.

Mając powyższe na względzie, decyzją z dnia [...] lutego 2015 r. nr [...] Generalny Inspektor Ochrony Danych Osobowych nakazał [...] S.A. z siedzibą w [...] zaprzestanie przetwarzania danych osobowych P. T. dotyczących rachunku nr [...] w systemie [...] S.A. z w trybie określonym w art. 105a ust. 3 ustawy Prawo bankowe.

W dniu [...] marca 2015 r. do Biura GIODO wpłynął wniosek Banku o ponowne rozpatrzenie sprawy, w którym wskazano, iż Bank poinformował P. T. o zamiarze przetwarzania bez jego zgody informacji stanowiących tajemnicę bankową i tym samym spełnił obowiązek wynikający z art. 105a ust. 3 Prawa bankowego. Pismo zawierające ww. informację zostało wysłane listem zwykłym, zatem Bank nie dysponuje pocztowym dowodem nadania, a operator pocztowy umożliwia wygenerowanie dokumentu z archiwów elektronicznych wyłącznie przez okres 6 miesięcy. Bank zaznaczył, iż w zarchiwizowanych plikach wygenerowanych na dzień [...] sierpnia 2009 r. widnieją dane skarżącego, jako osoby do której skierowane zostało pismo informujące o zamiarze przetwarzania przez Bank jego danych osobowych na podstawie art. 105a ust. 3 Prawa bankowego. Potwierdzeniem wysłanej korespondencji jest informacja z aplikacji [...], w której archiwizowane są pliki dotyczące przedmiotowych zawiadomień (ekstrakt z pliku wygenerowanego z aplikacji [...] został załączony do ww. wniosku).

Ponadto Bank zarzucił naruszenie art. 75 § 1 w zw. z art. 107 § 3 k.p.a. poprzez zaniechanie wyjaśnienia z jakich powodów organ nie uznał za dowód w sprawie załączonego do pisma z dnia [...] sierpnia 2014 r. zrzutu z ekranu aplikacji potwierdzającego - w ocenie Banku - datę wysyłki, datę zaległości, kwotę zaległości oraz adres wysyłki korespondencji do skarżącego.

Generalny Inspektor Ochrony Danych Osobowych nie znalazł podstaw do uwzględnienia wniosku o ponowne rozpatrzenie sprawy.

Motywując powołaną na wstępie decyzję z dnia [...] sierpnia 2015 r. organ wskazał, iż zgodnie z art. 105a ust. 1 Prawa bankowego, przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów oraz instytucje utworzone na podstawie art. 105 ust. 4, informacji stanowiących tajemnicę bankową w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem art. 104, 105 i art. 106 - 106c, w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. W myśl natomiast art. 105 ust. 4 ww. ustawy, banki mogą wspólnie z bankowymi izbami gospodarczymi, utworzyć instytucje upoważnione do gromadzenia, przetwarzania i udostępniania: bankom - informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych oraz w związku ze stosowaniem metod statystycznych, o których mowa w art. 128 ust. 3 oraz w art. 128d ust. 1 (pkt 1), innym instytucjom ustawowo upoważnionym do udzielania kredytów - informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są niezbędne w związku z udzielaniem kredytów, pożyczek pieniężnych, gwarancji bankowych i poręczeń (pkt 2), instytucjom kredytowym - informacji stanowiących tajemnicę bankową w zakresie niezbędnym do oceny zdolności kredytowej konsumenta, o której mowa w art. 9 ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim (pkt 3).

Przekazanie danych osobowych skarżącego nastąpiło w oparciu o przesłankę, o której mowa w art. 23 ust. 1 pkt 2 u.o.d.o., w związku z art. 105a ust. 1 i art. 105 ust. 4 Prawa bankowego. Dla legalności tego udostępnienia zgoda skarżącego nie była wymagana.

Zgodnie natomiast z art. 105a ust. 3 Prawa bankowego, instytucje, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank lub inną instytucję ustawowo upoważnioną do udzielania kredytów o zamiarze przetwarzania dotyczących jej informacji stanowiących tajemnicę bankową, bez jej zgody.

Organ wskazał, iż skarżący dopuścił się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy kredytowej zawartej z bankiem w dniu [...] września 2007 r., jednakże z akt sprawy nie wynika, aby Bank spełnił wobec skarżącego obowiązek określony w art. 105a ust. 3 Prawa bankowego, tj. aby poinformował skutecznie skarżącego o zamiarze przetwarzania jego danych, stanowiących tajemnicę bankową, bez jego zgody po wygaśnięciu zobowiązania wynikającego z ww. umowy. Bank nie przedstawił na potwierdzenie tej okoliczności żadnego dowodu w postaci treści pisma wysłanego do skarżącego ani dowodu nadania korespondencji, zaś skarżący podnosi, że takiego pisma nigdy nie otrzymał.

Zdaniem organu, zrzut z ekranu aplikacji nie stanowi dowodu faktycznego wysłania do skarżącego pisma informującego go o zamiarze Banku przetwarzania jego danych osobowych w ww. trybie. Jest to bowiem jedynie informacja, iż Bank w swoim systemie odznaczył skierowanie do skarżącego korespondencji, co nie znaczy, że czynność tę wykonał. To samo dotyczy ekstraktu z pliku wygenerowanego z aplikacji [...], bowiem jest to wygenerowany z systemu wydruk stanowiący wzorzec wysyłanych do dłużników i klientów Banku pism, nie wskazujący imiennie kogo rzeczone pismo miałoby dotyczyć.

Zgodnie z art. 105a ust. 4 Prawa bankowego, banki oraz instytucje, o których mowa w art. 105 ust. 4, mogą przetwarzać informacje stanowiące tajemnicę bankową dotyczącą osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, bez zgody osoby, której informacje dotyczą dla celów stosowania metod statystycznych, o których mowa w art. 128 ust. 3 Prawa bankowego.

Wobec niemożności wykazania przez Bank spełnienia przesłanek wynikających z art. 105a ust. 3 Prawa bankowego zasadnym było nakazanie zaprzestania przetwarzania danych osobowych skarżącego w [...] S.A. w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Stosownie bowiem do art. 18 ust. 1 u.o.d.o., w przypadku naruszenia przepisów o ochronie danych osobowych Generalny Inspektor z urzędu lub na wniosek osoby zainteresowanej, w drodze decyzji administracyjnej, nakazuje przywrócenie stanu zgodnego z prawem. Zdaniem organu, okoliczności faktyczne i prawne zaistniałe w niniejszej sprawie uzasadniały, zgodnie z art. 18 ust. 1 pkt 6 u.o.d.o., nakazanie wyeliminowania nieprawidłowości w procesie przetwarzania danych osobowych skarżącego w sposób określony w sentencji zaskarżonej decyzji.

Powyższa decyzja stała się przedmiotem skargi [...] S. A. z siedzibą w [...] do Wojewódzkiego Sądu Administracyjnego w Warszawie, który zarzucił naruszenie:

1) art. 75 § 1 k.p.a. poprzez nieprzeprowadzenie dowodu z dokumentacji przedłożonej do akt sprawy przez Bank, w tym w szczególności ze wzoru dokumentu, który w sierpniu 2009 r. kierowany był do klientów Banku w związku z realizacją obowiązku wynikającego art. 105a ust. 3 Prawa bankowego oraz z ekstraktu z pliku wygenerowanego z aplikacji bankowej [...], podczas gdy przeprowadzenie dowodu z tych dokumentów umożliwiłoby prawidłowe ustalenie, że P. T. był skutecznie i prawidłowo zawiadomiony przez Bank o możliwości przetwarzania należących do niego danych osobowych na podstawie art. 105a ust. 3 Prawa bankowego, a w konsekwencji wydanie decyzji administracyjnej w oparciu o niekompletny materiał dowodowy w sprawie,

2) art. 7, art. 77 § 1 i art. 80 k.p.a. poprzez przekroczenie granic swobodnej oceny dowodów - dowolną ocenę zebranego w sprawie materiału dowodowego, to jest błędne przyjęcie, iż złożone przez P. T. dokumenty i oświadczenia są wystarczające do przyjęcia, że Bank przetwarza należące do niego dane osobowe w sposób sprzeczny z dyspozycją art. 105a ust. 3 Prawa bankowego, podczas gdy z całokształtu materiału dowodowego przedstawionego w sprawie jednoznacznie wynika, że pomimo wycofania przez P. T. zgody na przetwarzanie należących do niego danych osobowych, Bank jest podmiotem uprawnionym do przetwarzania tychże danych wobec spowodowania przez kredytobiorcę zadłużenia związanego z zawartą z Bankiem umową kredytową i zawiadomienia go o możliwości przetwarzania tychże danych, dokonanego z zachowaniem przewidzianych prawem terminów,

3) art. 107 k.p.a. poprzez niedokonanie w uzasadnieniu decyzji analizy i oceny całokształtu materiału dowodowego, a w szczególności brak wskazania jakie fakty organ uznał za udowodnione lub nieudowodnione, na jakich dowodach - poza twierdzeniami P. T. - oparł rozstrzygnięcie i dlaczego nie uznał dowodów przeciwnych, w szczególności wzoru dokumentu, który w sierpniu 2009r., kierowany był do klientów Banku w związku z realizacją obowiązku wynikającego z art. 105a ust. 3 Prawa bankowego oraz ekstraktu z pliku wygenerowanego z aplikacji bankowej [...], ograniczając się wyłącznie do arbitralnych stwierdzeń oraz powtórzenia w uzasadnieniu zaskarżonej decyzji konkluzji z decyzji z dnia [...] lutego 2015 r., co skutkowało sprzecznością ustaleń organu z treścią zebranego w sprawie materiału dowodowego oraz brakiem możliwości weryfikacji procesu podejmowania przez organ rozstrzygnięć w niniejszej sprawie,

3) art. 8 i 107 § 3 k.p.a. poprzez nienależyte uzasadnienie zaskarżonej decyzji z uwagi na zawarcie w nim zbyt ogólnych stwierdzeń, brak precyzyjnego wyjaśnienia podstawy faktycznej i prawnej tej decyzji, co uniemożliwia właściwe zapoznanie się z motywami działania organu administracji, zrozumienie tych motywów, a w rezultacie ustosunkowanie się do nich w sposób rzeczowy i wyczerpujący, co uniemożliwia realizację zasady pogłębiania zaufania obywateli do organów państwa.

W związku z powyższymi zarzutami Bank wniósł o uchylenie zaskarżonej decyzji oraz poprzedzającej ją decyzji z dnia [...] lutego 2015 r., zasądzenie kosztów postępowania według norm przepisanych oraz wstrzymanie wykonania zaskarżonej decyzji.

W odpowiedzi na skargę Generalny Inspektor Ochrony Danych Osobowych wniósł o jej oddalenie, podtrzymując dotychczasowe stanowisko w spawie.

Postanowieniem z dnia 28 października 2015 r. sygn. akt II SA/Wa 1713/15 Wojewódzki Sąd Administracyjny w Warszawie odmówił wstrzymania wykonania zaskarżonej decyzji.

Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:

Zgodnie z przepisem art. 1 § 1 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (Dz. U. z 2014 r., poz. 1647), dalej: "p.u.s.a.", sądy administracyjne sprawują wymiar sprawiedliwości m.in. przez kontrolę działalności administracji publicznej, przy czym w świetle § 2 powołanego wyżej artykułu, kontrola ta jest sprawowana pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej. Stosownie do treści art. 134 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2012 r., poz. 270 ze zm.), dalej: "p.p.s.a.", sąd rozstrzyga w granicach danej sprawy nie będąc związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną. Sąd nie może wydać orzeczenia na niekorzyść skarżącego, chyba że stwierdzi naruszenie prawa skutkujące stwierdzeniem nieważności zaskarżonego aktu lub czynności (§ 2).

W ocenie sądu, skarga oceniana w świetle powyższych kryteriów nie zasługuje na uwzględnienie, albowiem zaskarżona decyzja Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] sierpnia 2015 r. oraz poprzedzająca ją decyzja z dnia [...] lutego 2015 r. nie naruszają prawa.

Na wstępie wskazać należy, iż zadaniem ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jedn. Dz. U. z 2014 r., poz. 1182 ze zm.) nie jest jedynie stanie na straży interesów tych, których przetwarzane dane osobowe dotyczą. Naczelną zasadą ustawy nie jest też zakaz przetwarzania danych osobowych, lecz przestrzeganie zakresu i trybu ich przetwarzania. W art. 1 u.o.d.o. stwierdza się bowiem, że przetwarzanie danych osobowych może mieć miejsce jeżeli służy to dobru publicznemu, dobru osoby, której dane dotyczą lub dobru osób trzecich. Ochrona danych osobowych, na podstawie przepisów powołanej ustawy, nie powinna być oderwana od przepisów służących ochronie innych wartości.

Stosownie do treści art. 7 pkt 2 u.o.d.o., przez przetwarzanie danych osobowych rozumie się jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych.

Z kolei w art. 23 § 1 u.o.d.o. zostały wymienione przesłanki legalizujące przetwarzanie danych osobowych. Zgodnie z treścią tego przepisu przetwarzanie danych jest dopuszczalne tylko wtedy, gdy: (1) osoba, której dane dotyczą, wyrazi na to zgodę, chyba że chodzi o usunięcie dotyczących jej danych, (2) jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa, (3) jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą, (4) jest niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego, (5) jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą.

Cytowany powyżej przepis ustawy określa ogólne materialne przesłanki przetwarzania danych osobowych. Przesłanki te mają charakter generalny, odnoszą się do wszelkich form przetwarzania danych, w tym zarówno do przetwarzania "na własne potrzeby" administratora, jak i "na zewnątrz". Są one co do zasady równoprawne, mają charakter autonomiczny i niezależny, co oznacza, że wystarczy wystąpienie jednej z nich, by przetwarzanie danych mogło być uznane za usprawiedliwione. Oznacza to także, że zgoda osoby, której dane dotyczą, nie jest wyłączną przesłanką przetwarzania danych osobowych (por. J. Barta, P. Fajgielski, R. Markiewicz, System Informacji Prawnej LEX, Komentarz2015)

Aktem prawnym zawierającym szczegółowe regulacje dotyczące procesu przetwarzania danych osobowych klientów banków jest ustawa z dnia 27 sierpnia 1997r. - Prawo bankowe (tekst jedn. Dz. U. z 2015 r., poz. 128). Zgodnie z art. 105 ust. 4 tejże ustawy Banki mogą, wspólnie z bankowymi izbami gospodarczymi, utworzyć instytucje upoważnione do gromadzenia, przetwarzania i udostępniania: (1) bankom - informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych oraz w związku ze stosowaniem metod statystycznych, o których mowa w art. 128 ust. 3 oraz w art. 128d ust. 1; (2) innym instytucjom ustawowo upoważnionym do udzielania kredytów - informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są niezbędne w związku z udzielaniem kredytów, pożyczek pieniężnych, gwarancji bankowych i poręczeń; (3) instytucjom kredytowym - informacji stanowiących tajemnicę bankową w zakresie niezbędnym do oceny zdolności kredytowej konsumenta, o której mowa w art. 9 ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim.

Stosownie zaś do art. 105a cytowanej ustawy przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów oraz instytucje utworzone na podstawie art. 105 ust. 4, informacji stanowiących tajemnicę bankową w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem art. 104, art. 105 i art. 106-106c, w celu oceny zdolności kredytowej i analizy ryzyka kredytowego (ust. 1). Instytucje, o których mowa w ust. 1, mogą, z zastrzeżeniem ust. 3, przetwarzać informacje stanowiące tajemnicę bankową w zakresie dotyczącym osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, pod warunkiem uzyskania pisemnej zgody osoby, której informacje te dotyczą. Zgoda ta może być w każdym czasie odwołana (ust. 2). Instytucje, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank lub inną instytucję ustawowo upoważnioną do udzielania kredytów o zamiarze przetwarzania dotyczących jej informacji stanowiących tajemnicę bankową, bez jej zgody (ust. 3). Banki oraz instytucje, o których mowa w art. 105 ust. 4, mogą przetwarzać informacje stanowiące tajemnicę bankową dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, bez zgody osoby, której informacje dotyczą, dla celów stosowania metod statystycznych, o których mowa w art. 128 ust. 3 (ust. 4). Przetwarzanie informacji stanowiących tajemnicę bankową w przypadkach, o których mowa w ust. 3, może być wykonywane przez okres nie dłuższy niż 5 lat od dnia wygaśnięcia zobowiązania, a w przypadku, o którym mowa w ust. 4, przez okres 12 lat od dnia wygaśnięcia zobowiązania (ust. 5). Zakres przetwarzanych informacji, o których mowa w ust. 3 i 4, może obejmować dane dotyczące osoby fizycznej lub dane dotyczące zobowiązania (ust. 6).

W świetle powyższego uzasadnione jest stanowisko Generalnego Inspektora Ochrony Danych Osobowych, iż sam fakt, że klient nie wykonał zobowiązania lub spóźnił się z jego wykonaniem co najmniej 60 dni, nie upoważnia Banku do przetwarzania jego danych na warunkach określonych w art. 105a ust. 3 Prawa bankowego. Klient musi bowiem zostać poinformowany o możliwości przetwarzania jego danych bez uzyskania od niego zgody. Dopiero bezskuteczny upływ 30 dni od momentu poinformowania stanowi wypełnienie przesłanek z ww. przepisu. Moment, od którego należy liczyć 60-dniowy termin, w którym klient dopuszcza się zwłoki w wykonaniu zobowiązania, to termin niewykonania zobowiązania. Dopiero po upływie 60 dni zaczyna biec 30-dniowy termin, w którym instytucja jeszcze oczekuje na wykonanie zobowiązania klienta. Termin 30-dniowy nie biegnie jednak ex lege, a dopiero od momentu, w którym klient zostanie skutecznie poinformowany przez instytucję o zamiarze przetwarzania jego danych osobowych. Z powyższego wynika zatem, że aby przetwarzać dane klienta na warunkach określonych w ww. przepisie, Bank musi dysponować dowodem, że osoba, której dane dotyczą, została poinformowana o zamiarze przetwarzania ich - bez jej zgody.

W rozpoznawanej sprawie Generalny Inspektor, na podstawie art. 18 ust pkt 6 u.o.d.o., nakazał skarżącemu Bankowi zaprzestania przetwarzania danych osobowych P. T., będącego klientem tego Banku. Organ doszedł bowiem do przekonania, że skarżący Bank nie wykazał, że dopełnił określonego w art. 105a ust. 3 Prawa bankowego obowiązku poinformowania P. T. o zamiarze przetwarzania dotyczących go informacji stanowiących tajemnicę bankową, wynikających z umowy kredytowej o wskazanym numerze, zawartej w dniu [...] września 2007 r., bez jego zgody.

W ocenie Sądu stanowisko to jest prawidłowe. W aktach administracyjnych brak jest bowiem dowodów wskazujących na fakt, że Bank poinformował swojego klienta o zamiarze przetwarzania powyższych danych.

W toku postępowania skarżący Bank przedstawił dokumenty w postaci: zrzutu ekranu z aplikacji służącej rejestrowaniu korespondencji wychodzącej do klientów "Historia wysłanej korespondencji", ekstrakt z pliku wygenerowanego z aplikacji [...] oraz wydrukowany z systemu wzór zawiadomienia kierowanego do klientów o zamiarze przetwarzania przez Bank informacji stanowiących tajemnicę bankową - nie wskazujący imiennie adresata, ani innych indywidualnych danych.

Powyższe dokumenty, jak wynika z uzasadnienia zaskarżonej decyzji, zostały poddane analizie i ocenie w toku postępowania administracyjnego, jednak jak trafnie stwierdził organ - nie wynika z nich fakt wykonania przez Bank w stosunku do P. T. obowiązku informacyjnego, o którym mowa w art. 105a ust. 3 Prawa Bankowego.

Zgodzić należy się z organem, że z ww. dokumentów i wyjaśnień Banku wynika jedynie to, że Bank archiwizuje, w postaci plików danych, informacje dotyczące klientów i ich zobowiązań, dla których zostało przekazane zlecenie wysłania do klienta stosownej korespondencji. Brak jest natomiast dowodu, że w stosunku do P. T. taka korespondencja - informująca o zamiarze przetwarzania danych osobowych bez jego zgody - została wysłana i skutecznie doręczona. W tym zakresie zarówno oświadczenie Banku o przesłaniu listu zwykłego, jak i treść wzoru pisma kierowanego we wskazanym okresie do klientów Banku - jak twierdzi Bank również do P. T. - jest niewystarczające. Analogicznie należy ocenić zrzut ekranu z aplikacji używanej do rejestracji korespondencji oraz ekstrakt z pliku wygenerowanego z aplikacji [...]. Jest to bowiem jedynie wewnętrzna informacja Banku, z której wynika, że Bank w swoim systemie odznaczył skierowanie do skarżącego korespondencji, co nie znaczy, że czynność tę faktycznie wykonał oraz że korespondencja dotarła do adresata.

Reasumując, w ocenie Sądu uzasadnione jest twierdzenie organu, że skarżący Bank, jako administrator danych osobowych swego klienta, w przypadku przetwarzania danych na podstawie art. 105a ust 3 Prawa bankowego, musi być zdolny do wykazania legitymacji do przekazania danych do [...] S.A. w postaci rzeczywistego spełnienia obowiązku informacyjnego. Wbrew twierdzeniom skargi, to na Banku spoczywa ciężar dowodu w zakresie wykazania poinformowania klienta o zamiarze przetwarzania jego danych osobowych - bez jego zgody. W niniejszej sprawie Bank nie wykazał, iż osoba, której dane dotyczą została o powyższym skutecznie poinformowana.

Nie można też zgodzić się ze skarżącym Bankiem, że postępowanie administracyjne w niniejszej sprawie zostało przeprowadzone z naruszeniem zasad postępowania dowodowego, w tym art. 75 § 1, art. 77 § 1 i art. 80 k.p.a. Ustalenia faktyczne organu zostały bowiem dokonane w całokształcie materiału dowodowego, zgromadzonego i zbadanego w sposób wyczerpujący, a więc przy podjęciu wszelkich kroków niezbędnych do dokładnego wyjaśniania okoliczności sprawy. Ocena materiału dowodowego została dokonana przez organ zgodnie z zasadą swobodnej oceny dowodów i nie nosi cech dowolności. Organ przeanalizował wyjaśnienia skarżącego Banku oraz przesłane materiały, wziął również pod uwagę stanowisko P. T., trafnie uznając, iż istnieją podstawy do wydania decyzji nakazującej Bankowi zaprzestanie przetwarzania danych osobowych wyżej wymienionego w trybie art. 105a ust. 3 Prawa bankowego.

Nie można również zgodzić się z zarzutem skargi, iż zaskarżona decyzja została wydana z naruszeniem art. 107 § 3 k.p.a. Uzasadnienie rozstrzygnięcia spełnia bowiem wymogi określone w ww. przepisie. Zawiera ocenę zebranego w postępowaniu materiału dowodowego, wykładnię stosowanych przepisów oraz ocenę przyjętego stanu faktycznego w świetle obowiązującego prawa. Uzasadnienie zaskarżonej decyzji jest spójne wewnętrznie i logiczne, nie zawiera przy tym luk ani sprzeczności. Stąd nie jest też trafny zarzut naruszenia przez organ zasady zaufania wyrażonej w art. 8 k.p.a. poprzez brak zawarcia przekonującej argumentacji dla podjętego w sprawie rozstrzygnięcia.

W świetle powyższego, uznając iż zaskarżona decyzja nie narusza prawa, zaś zarzuty podniesione w skardze nie zasługują na uwzględnienie, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 p.p.s.a., orzekł jak w sentencji.