Centralna Baza Orzeczeń Sądów Administracyjnych

Naczelny Sąd Administracyjny w składzie następującym: Przewodniczący Sędzia NSA Małgorzata Jaśkowska – spr., Sędziowie NSA Irena Kamińska, Jerzy Krupiński, Protokolant Kamil Wertyński, po rozpoznaniu w dniu 7 maja 2008r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej Generalnego Inspektora Ochrony Danych Osobowych od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 23 stycznia 2007 r. sygn. akt II SA/Wa 995/06 w sprawie ze skargi M. B. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] nr [...] w przedmiocie ochrony danych osobowych oddala skargę kasacyjną

Wnioskiem z dnia 20 września 2005 r. działający przez pełnomocnika M. B., wystąpił do Generalnego Inspektora Ochrony Danych Osobowych (dalej jako GIODO) o wykreślenie wpisu swoich danych osobowych z prowadzonego przez Związek Banków Polskich na rzecz banków rejestru o nazwie "Bankowy Rejestr" zarejestrowanych przez GIODO (księga rejestrowa nr [...]).

Po rozpoznaniu wniosku, decyzją z dnia [...] nr [...]wspomniany organ, powołując się na przepis art. 104 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (tj. Dz. U. z 2000 r. Nr 98, poz. 1071 ze zm. - dalej jako k.p.a.) i art. 12 pkt 2, art. 22 oraz art. 23 ust. 1 pkt 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t.j. Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.), w związku z art. 105 ust. 1 pkt 1 i art. 105 ust. 4 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (t.j. Dz. U. z 2002 r. Nr 72, poz. 665 ze zm.), odmówił uwzględnienia wniosku, a tym samym usunięcia danych osobowych M. B. z prowadzonego przez Związek Banków Polskich (dalej również jako ZBP) z siedzibą w W. zbioru pod nazwą System Międzybankowej Informacji Gospodarczej "Bankowy Rejestr", przekazanych do tego zbioru przez Bank Polska [...] S.A. z siedzibą w W. (I Oddział w K.).

W uzasadnieniu decyzji wskazano, iż w dniu 31 maja 2000 r. pomiędzy Bankiem a firmą [...] Sp. z o. o. została zawarta umowa o udzielenie kredytu dyskontowego w kwocie 1.500.000 zł z terminem spłaty w dniu 23 listopada 2000 r. Skarżący jako prezes zarządu Spółki podpisał umowę w jej imieniu, natomiast w grudniu 2000 r. zrezygnował z funkcji w jej organach zarządzających.

Ze względu na niespłacenie kredytu, w dniu 30 czerwca 2001 r. Bank przekazał dane dłużnika - Spółki [...] oraz dane M. B. (w zakresie imienia i nazwiska), jako osoby zaciągającej w imieniu osoby prawnej zobowiązanie, do rejestru prowadzonego przez ZBP.

Następnie, wobec zaprzestania pełnienia funkcji prezesa zarządu, M. B. pismem z dnia 23 lipca 2003 r., wystąpił do Banku z żądaniem uaktualnienia danych w ZBP, zgodnie z wypisem z Krajowego Rejestru Sądowego dotyczącego [...] Sp. z o.o. W odpowiedzi Bank poinformował, o braku podstaw do wykreślenia jego danych z rejestru ponieważ okoliczność zmiany w składzie zarządu spółki będącej dłużnikiem, nie stanowi "zmiany sytuacji klienta".

Również ZBP potwierdził że zakres przetwarzanych w "Bankowym Rejestrze" danych osobowych M. B., jako reprezentanta Spółki, obejmuje wyłącznie jego imię i nazwisko. Powołując się na § 9 regulaminu Międzybankowej Informacji Gospodarczej "Bankowy Rejestr", wskazał, że "okoliczność zmiany w zarządzie spółki nie stanowi podstawy do usunięcia danych osobowych osoby wchodzącej w skład tego organu, decydująca jest bowiem data powstania zobowiązania". ZBP wskazał również, iż zmiany danych może dokonać wyłącznie bank który je przekazał do rejestru, i za które ponosi pełną odpowiedzialność.

W związku z poczynionymi ustaleniami GIODO stwierdził, iż przetwarzanie danych osobowych M. B. odbywało się na podstawie art. 23 ust. 1 pkt 3 ustawy o ochronie danych osobowych, w związku z koniecznością realizacji zawartej z Bankiem umowy. Natomiast podstawą prawną przekazania przez Bank danych osobowych do rejestru prowadzonego przez Związek Banków Polskich stanowił art. 23 ust 1 pkt 2 ustawy o ochronie danych osobowych w zw. z art. 105 ust 4 Prawa bankowego.

Analizując art. 23 ust 1 pkt 2 ustawy o ochronie danych osobowych, organ wskazał, iż przetwarzanie danych osobowych jest dopuszczalne tylko wtedy, gdy jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa. Zgodnie zaś z art. 105 ust 4 Prawa bankowego, banki mogą wspólnie z bankowymi izbami gospodarczymi utworzyć instytucje do gromadzenia, przetwarzania i udostępniania im informacji stanowiących tajemnicę bankową w zakresie w jakim jest to potrzebne w związku z wykonywaniem czynności bankowych, a także innym instytucjom ustawowo upoważnionym do udzielania kredytów - informacji o wierzytelnościach oraz obrotach i stanach rachunków bankowych w zakresie, w jakim informacje te są niezbędne w związku z udzielaniem kredytów, pożyczek pieniężnych, gwarancji bankowych i poręczeń.

Przy badaniu zdolności kredytowej spółek banki przetwarzają natomiast dane dotyczące właścicieli lub członków zarządu działających i zaciągających w ich imieniu zobowiązania. Oceniając wniosek kredytowy bank bierze bowiem pod uwagę m.in. kompetencje zawodowe członków zarządu, czy też właścicieli, ich umiejętności i zdolności albowiem czynniki te mają bezpośredni wpływ na jakość i sposób zarządzania, co jest nieodłącznym elementem oceny ryzyka i zdolności kredytowej wnioskodawcy.

W decyzji wskazano, iż w rejestrze niesolidnych dłużników figuruje przedsiębiorca, tj. [...] Sp. z o.o., zaś M. B. wymieniony jest w nim jedynie z imienia i nazwiska, jako reprezentant Spółki. Zdaniem GIODO stanowisko Banków i ZBP w zakresie zasadności przekazania danych osoby reprezentującej Spółkę przez Bank do "Bankowego Rejestru" potwierdza ugruntowany w doktrynie i orzecznictwie pogląd dotyczący odpowiedzialności członków zarządu za zobowiązania spółki (organ powołał się m.in. na art. 299 1 i 2 ustawy z dnia 15 września 2000 r. Kodeks spółek handlowych (Dz. U. Nr 94, poz. 1037 ze zm. - k.s.h.) i art. 5 § 1 ustawy z dnia 31 lipca 1997 r. o zmianie rozporządzenia Prezydenta Rzeczypospolitej z dnia 24 października 1934 r. - Prawo upadłościowe i niektórych innych ustaw (Dz. U. Nr 117, poz. 751). Wskazał też, powołując się na poglądy doktryny, że odpowiedzialność przewidzianą w art. 299 Kodeksu spółek handlowych, ponoszą osoby, które były członkami zarządu, kiedy wierzytelność stała się wymagalna. Na potwierdzenie swego stanowiska organ powołał również orzeczenie Sądu Najwyższego (wyrok z dnia 28 września 1999 r. sygn. akt II CKN 608/98.

GIODO podkreślił także, iż nie jest właściwy do badania zagadnień związanych z bezskutecznością egzekucji, koniecznością zgłoszenia wniosku o ogłoszenie upadłości bądź wszczęcia postępowania układowego.

We wniosku o ponowne rozpatrzenie sprawy zakończonej ww. decyzją Skarżący podkreślił, iż nie wskazano w niej podstaw prawnych określających zakres rejestru, zasady wpisów i wykreśleń oraz jego organizacji Wskazał przy tym, że dane w zbiorze prowadzonym przez ZBP nie mają zakresu czasowego, można więc domniemywać, iż reprezentant Spółki będzie wpisany dożywotnio przy założeniu, że Spółka nie reguluje swoich zobowiązań.

Za niezasadne M. B. uznał także rozważania na tle odpowiedzialności członków zarządu z art. 299 § 1 k.s.h. oraz prawa upadłościowego.

Podniesiony został także zarzut wydania decyzji z naruszeniem art. 23 ust. 1 pkt 3 ustawy o ochronie danych osobowych oraz ustawy Prawo bankowe.

Decyzją z dnia [...][...], GIODO na podstawie art. 138 § 1 pkt 1 k.p.a. i art. 12 pkt 2, art. 22 oraz art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych w związku z art. 105 ust. 4 i 105 a Prawa bankowego utrzymał w mocy zaskarżoną decyzję.

Organ w uzasadnieniu wskazał, iż podstawową regulacją w zakresie przetwarzania danych osobowych klientów banków stanowi ustawa Prawo bankowe. W wyniku nowelizacji przeprowadzonej ustawą z dnia 15 kwietnia o zmianie ustawy o ochronie informacji niejawnych oraz niektórych innych ustaw (Dz. U. Nr 85, poz. 727), w dniu 16 czerwca 2005 r. moc obowiązującą zyskał art. 105a Prawa bankowego, szczegółowo określający zasady przetwarzania danych klientów banków, wskazując m.in., że przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów oraz instytucje utworzone na podstawie art. 105 ust. 4, informacji stanowiących tajemnicę bankową w zakresie dotyczącym osób fizycznych (konsumentów) może być wykonywane, z zastrzeżeniem art. 104, 105 i 106-106c, w celu oceny zdolności kredytowej i analizy ryzyka kredytowego (art. 105a ust. 1). Realizacja tego celu następuje poprzez m.in. "Bankowy Rejestr", który pełni służebną rolę w stosunku do sektora bankowego umożliwiając korzystanie z danych potrzebnych do dokonywania oceny zdolności kredytowej oraz analizy ryzyka kredytowego. Rejestr ma zatem usprawniać przepływ danych stanowiących tajemnicę bankową między bankami.

GIODO ponownie wyraził pogląd, że dane członków zarządu spółek zaciągających zobowiązania są brane pod uwagę przy ocenie zdolności kredytowej. Nie podzielił zarzutu Skarżącego, iż decyzja wydana została z naruszeniem art. 23 ust. 1 pkt 3 ustawy o ochronie danych osobowych, który stanowi podstawę przetwarzania jego danych osobowych przez Bank. Zdaniem organu podstawę prawną przekazania jego danych do ZBP stanowi art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych w zw. z art. 105 ust. 4 Prawa bankowego.

GIODO zauważył, iż nie ocenia oraz nie interpretuje zapisów Prawa bankowego, czy zasad funkcjonowania "Bankowego Rejestru", działającego w oparciu o te przepisy. Ocenia natomiast adekwatność gromadzonych danych w stosunku do celów, w jakich są przetwarzane (art. 26 ust. 1 pkt 3 ustawy o ochronie danych osobowych).

Powyższą decyzję M. B. zaskarżył do Wojewódzkiego Sądu Administracyjnego w Warszawie wnosząc o jej uchylenie, jak i uchylenie poprzedzającej ją decyzji GIODO w całości oraz zasądzenie kosztów postępowania według norm przepisanych.

Decyzji zarzucił naruszenie art. 23 ust. 1 pkt 3 ustawy o ochronie danych osobowych, art. 105 ust. 1 pkt 1 i ust. 4 ustawy Prawo bankowe. Skarżący wskazał, iż stan faktyczny jest w sprawie niesporny. Nie podzielił jednakże oceny prawnej organu. Powołując decyzję GIODO z dnia [...] nr [...], wydaną w innej sprawie, mocą której organ nakazał usunięcie danych przez ZBP, wskazał, iż w pełni się z nią zgadza.

Zdaniem Skarżącego nowelizacja prawa bankowego, w wyniku której dodano przepis art. 105a, nie ma znaczenia w niniejszej sprawie. Przepis ten dotyczy bowiem osób fizycznych (konsumentów) i zaciąganych przez nich zobowiązań we własnym imieniu i na własną rzecz. Skarżący wskazał też, powołując się na wyrok Wojewódzkiego Sądu Administracyjnego z dnia 25 sierpnia 2004 r. sygn. akt II SAlWa 547/04, że regulaminy banków, jak również ZBP są aktami wewnętrznymi, nieobowiązującymi powszechnie.

Odpowiadając na skargę GIODO wniósł o jej oddalenie, podtrzymując dotychczasową argumentację, podnosząc jednakże, iż przywołana przez skarżącego decyzja wydana w innej sprawie nie wiąże organu w sprawie niniejszej.

Uczestnik postępowania - Bank Polska [...] S.A. I Oddział w K., wniósł o umorzenie postępowania, ewentualnie oddalenie skargi oraz zasądzenie od skarżącego kosztów zastępstwa procesowego według norm przepisanych. Wskazał, że w toku postępowania dane skarżącego zostały wykreślone ze zbioru System Międzybankowej Informacji Gospodarczej "Bankowy Rejestr", a zatem postępowanie sądowoadministracyjne stało się bezprzedmiotowe, gdyż w następstwie wykreślenia danych przestała istnieć sprawa będąca przedmiotem postępowania.

Drugi uczestnik postępowania (ZBP), w skierowanym do Sądu piśmie procesowym wniósł o umorzenie postępowania, ewentualnie oddalenie skargi. Podał, że jeszcze przed wydaniem przez GIODO decyzji ostatecznej w niniejszej sprawie Bank Polska [...] S.A. zdecydował usunąć dane osobowe skarżącego ze zbioru "Bankowy Rejestr", co nastąpiło w dniu 10 marca 2006 r. o godz. [...]. Brak danych skarżącego w bazie "Bankowy Rejestr" czyni postępowanie bezprzedmiotowym i uzasadnia jego umorzenie.

Jednocześnie uczestnik nie podzielił zarzutów skargi uznając, iż w sprawie w pełni zastosowanie znajduje ustawa z dnia 15 kwietnia 2005 r. o zmianie ustawy o ochronie informacji niejawnych oraz niektórych innych ustaw (Dz. U. Nr 85, poz. 727), a dane skarżącego przetwarzane były na mocy art. 105a ustawy Prawo bankowe, jako dane osoby fizycznej, a nie przedsiębiorcy. Podniósł też, że bank oraz instytucje utworzone na podstawie art. 105 ust. 4 Prawa bankowego, obowiązane są, na mocy art. 6 tej ustawy, dostosować przetwarzanie informacji zgromadzonych przed wejściem w życie tej ustawy (co, jak wskazano, dotyczy skarżącego), do wymagań w niej określonych w terminie nie dłuższym niż 3 lata od wejścia w życie tej ustawy. Zarówno ZBP jak i Bank były zatem, zdaniem uczestnika, uprawnione do dalszego i zgodnego z prawem przetwarzania danych skarżącego.

Pełnomocnik Generalnego Inspektora Ochrony Danych Osobowych, w trakcie rozprawy przed Wojewódzkim Sądem Administracyjnym w Warszawie wniósł o umorzenie postępowania.

Wyrokiem z dnia 23 stycznia 2007 r., sygn. akt II SA/Wa 995/06, Wojewódzki Sąd Administracyjny w Warszawie uchylił zaskarżoną decyzję GIODO, stwierdził, iż decyzja ta nie podlega wykonaniu w całości, a także zasądził od organu na rzecz Skarżącego kwotę 455 zł tytułem zwrotu kosztów postępowania.

Odnosząc się w uzasadnieniu wyroku w pierwszej kolejności do zgłoszonego wniosku o umorzenie postępowania sądowoadministracyjnego, WSA w Warszawie stwierdził, iż w sprawie niniejszej brak jest podstaw do podjęcia takich działań. Podstawy do tego, w ocenie Sądu, nie stanowi fakt wykreślenia danych skarżącego z "Bankowego Rejestru" prowadzonego przez ZBP. Stosownie do art. 161 § 1 pkt 3 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. Nr 153, poz. 1270 ze zm. - dalej jako p.p.s.a.), sąd wydaje postanowienie o umorzeniu postępowania, gdy postępowanie stało się bezprzedmiotowe z innych przyczyn niż wymienione w pkt. 1 i 2 (tego artykułu). Wykreślenia danych skarżącego z "Bankowego Rejestru", nie powoduje zbędności, sądowoadministracyjnej kontroli zaskarżonego aktu. Bezprzedmiotowość postępowania, o której mowa w przywołanym przepisie, występuje wówczas, gdy w toku postępowania sądowego, a przed wydaniem wyroku, przestanie istnieć przedmiot zaskarżenia. Taka sytuacja zaistniałaby m.in. wówczas, gdy zaskarżona decyzja zostanie pozbawiona bytu prawnego w nadzwyczajnym postępowaniu kontrolnym lub gdy organ skorzysta z uprawnień określonych w art. 54 ust. 3 p.p.s.a. i skargę uwzględni w całości. W związku z tym, że tego rodzaju zdarzenia nie miały miejsca, umorzenie postępowania sądowoadministracyjnego nie mogło nastąpić.

Oceniając legalność działania GIODO w niniejszej sprawie WSA w Warszawie stwierdził, iż organ ten obowiązany jest do przestrzegania zasady dwuinstancyjności postępowania, która stanowi jedną z podstawowych zasad wyrażonych w k.p.a. Stosownie do niej, organ odwoławczy obowiązany jest ponownie rozpatrzyć i rozstrzygnąć sprawę.

Obowiązek ponownego rozpoznania i rozstrzygnięcia sprawy oznacza, że organ odwoławczy nie może ograniczyć się tylko do kontroli decyzji I instancji (w tym przypadku pierwszej z wydanych przez GIODO decyzji), a obowiązany jest ponownie rozstrzygnąć sprawę. Rozpoznanie sprawy w postępowaniu z wniosku o ponowne jej rozpatrzenie następuje w oparciu o stan faktyczny i prawny obowiązujący w dniu wydania decyzji przez organ.

Na każdym etapie postępowania administracyjnego organ administracji publicznej obowiązany jest do przestrzegania zasady dochodzenia do prawdy obiektywnej (art. 7 kpa), zgodnie z którą, w toku postępowania organy administracji publicznej stoją na straży praworządności i podejmują wszelkie kroki niezbędne do dokładnego wyjaśnienia stanu faktycznego oraz załatwienia sprawy, mając na względzie interes społeczny i słuszny interes obywateli.

Z zasady tej wynika obowiązek wyczerpującego zbadania wszystkich okoliczności faktycznych związanych z określoną sprawą, aby w ten sposób stworzyć jej rzeczywisty obraz i uzyskać podstawę do trafnego zastosowania przepisów prawa.

W ocenie Sądu I instancji GIODO dopuścił się naruszenia powołanych wyżej reguł procesowych w stopniu mającym istotny wpływ na wynik sprawy. Organ przed wydaniem zaskarżonej decyzji nie dokonał ustaleń, co do aktualności stanu faktycznego sprawy i nie uwzględnił w decyzji zmiany tego stanu, tj. wykreślenia z rejestru danych osobowych Skarżącego. Powyższe miało niewątpliwy wpływ na wynik końcowy, jeśliby bowiem przed wydaniem zaskarżonej decyzji GIODO ustalił, korzystając z uprawnień wynikających z art. 136 kpa, że dane osobowe skarżącego nie figurują już w "Bankowym Rejestrze" prowadzonym przez ZBP stwierdziłby, że postępowanie w sprawie nakazania usunięcia jego danych z tego zbioru, stało się bezprzedmiotowe.

Jako, że na każdym etapie postępowania administracyjnego, organ obowiązany jest dołożyć należytej staranności w prowadzeniu sprawy, to w postępowaniu prowadzonym w wyniku wniosku o ponowne jej rozpatrzenie, nie powinien i nie może poprzestawać na ustaleniach stanu faktycznego dokonanych przed wydaniem pierwszej decyzji w sprawie i bezkrytycznie przyjmować, że stan ten trwa w niezmienionej postaci do dnia wydania drugiej decyzji w sprawie.

Mimo, że strony postępowania nie zawiadomiły GIODO o zmianie stanu faktycznego (wykreśleniu danych z rejestru), organ powinien - przed wydaniem drugiej decyzji - podjąć działania mające na celu ustalenie, czy dane skarżącego w dalszym ciągu są przetwarzane we wskazany przez niego sposób.

Wydając w dniu [...] decyzję utrzymującą w mocy swoją poprzednią decyzję Generalny Inspektor Ochrony Danych Osobowych naruszył art. 138 § 1 pkt 1 kpa. Powyższe było konsekwencją naruszenia art. 7, art. 77 § 1 i art. 80 kpa. Z tego też względu zaskarżona decyzja nie mogła pozostać w obrocie prawnym.

Dodatkowo WSA w Warszawie wskazał, że w sprawie nie znajdował zastosowania powołany w podstawie prawnej zaskarżonej decyzji przepis art. 105a Prawa bankowego. Przepis ten stanowi podstawę prawną do przetwarzania wyłącznie danych osób fizycznych będących konsumentami. Skarżący, który jako prezes zarządu Spółki, zawarł w jej imieniu, umowę kredytu dyskontowego, nie jest konsumentem, którego definicję zawiera art. 221 ustawy z dnia 23 kwietnia 1964 r. Kodeks cywilny (Dz. U. Nr 16, poz. 93 ze zm.).

Generalny Inspektor Ochrony Danych osobowych zaskarżył skargą kasacyjną powyższy wyrok w całości, wnosząc o jego uchylenie i przekazanie sprawy do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie.

Zaskarżonemu rozstrzygnięciu GIODO zarzucił, na podstawie art. 174 ust. 2 p.p.s.a., naruszenie art. 145 § 1 pkt 1 lit. c) p.p.s.a. poprzez jego zastosowanie na skutek błędnego przyjęcia, że organ naruszył przepisy postępowania, tj. art. 138 § 1 pkt 1 w związku z art. 7, art. 77 § 1 i art. 80 k.p.a., co miało istotny wpływ na wynik sprawy.

Wnoszący skargę kasacyjną nie podzielił stanowiska Sądu I instancji, co do nienależytego wyjaśnienia stanu sprawy. W szczególności nie podzielił "sugestii" WSA w Warszawie, iż ustalenie faktu usunięcia danych z rejestru obciąża przede wszystkim organ.

W ocenie GIODO przepis art. 77 k.p.a. nakłada na organ prowadzący postępowanie administracyjne obowiązek wyczerpującego ustalenia stanu faktycznego sprawy i przeprowadzenia w tym celu wszelkich niezbędnych dowodów, jednakże nie wprowadza zasady biernego oczekiwania przez strony na wynik sprawy. Zasada oficjalności postępowania dowodowego nie oznacza, że strona może zachowywać się biernie w toku postępowania dowodowego. Strona, która z danych faktów zamierza wywodzić dla siebie korzystne skutki prawne, zobowiązana jest wskazać organowi te okoliczności i zaoferować dowody, które mogą potwierdzić stanowisko strony.

Powołując się na orzecznictwo sądowoadministracyjne organ wskazał, iż ciężar dowodu spoczywa na tym, kto z określonego faktu wyprowadza skutki prawne, dlatego to na stronie spoczywa ciężar wskazania konkretnych faktów i zdarzeń, z których wywodzi ona dla siebie określone skutki prawne. Strona powinna współdziałać z organem w celu ustalenia rzeczywistego stanu sprawy.

Odnosząc się do uwag poczynionych przez Sąd pierwszej instancji na tle art. 105 a Prawa bankowego, GIODO zauważył, iż w żadnym miejscu zaskarżonej decyzji nie wskazywał, że Skarżący jest konsumentem w rozumieniu przepisu art. 221 Kodeksu cywilnego.

Przepis art. 105a Prawa bankowego reguluje tylko przesłanki przetwarzania danych osobowych konsumentów w zbiorach prowadzonych przez podmioty, o których mowa w art. 105 ust. 4 tej ustawy, ale stanowi również podstawę prawną do funkcjonowania tych podmiotów i w tym znaczeniu zmienił stan prawny obowiązujący do dnia 16 czerwca 2005 r., wyraźnie określając podstawowe zasady i cel przetwarzania danych stanowiących tajemnicę bankową.

Przepis art. 105a Prawa bankowego został przez GIODO powołany jedynie dla wykazania bezzasadności twierdzenia Skarżącego, że decyzja tego organu z dnia [...] ([...]) stanowi "dobrą podstawę" do rozstrzygnięcia w niniejszej sprawie.

W obu wydanych decyzjach, wyraźnie wskazano, że Pan M. B. reprezentował firmę [...] Sp. z o.o., która była stroną umowy kredytu dyskontowego zawartej z Bankiem, i jako prezes Spółki w jej imieniu podpisał tę umowę, a zatem że zawarcie przez Skarżącego przedmiotowej umowy związane było bezpośrednio z działalnością Spółki. Zaznaczono, że Bank zgłosił do zbioru prowadzonego przez ZBP dane Skarżącego jako osoby, która działając w imieniu przedsiębiorcy dokonała czynności powodującej zaciągnięcie zobowiązania wobec Banku. Nie można zatem zgodzić się z zarzutem, że uznając Pana M. B. za konsumenta jako podstawę przetwarzania jego danych osobowych wskazał art. 105a Prawa bankowego.

Naczelny Sąd Administracyjny zważył, co następuje:

Skarga kasacyjna organu jako niezasadna podlegała oddaleniu.

Na wstępie niniejszych rozważań należy zauważyć, iż stosownie do treści art. 183 § 1 p.p.s.a., Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, bierze jednak z urzędu pod rozwagę nieważność postępowania, która zachodzi w przypadkach wskazanych w § 2 art. 183 p.p.s.a. (w niniejszej sprawie nieważność postępowania jednakże nie występuje).

Z kolei w art. 174 pkt 1 i 2 p.p.s.a. określone zostały podstawy skargi kasacyjnej, wyznaczające granice rozpoznania sprawy przez NSA. W skardze kasacyjnej można zatem wyrokowi Sądu I instancji zarzucić:

1. naruszenie prawa materialnego przez błędną jego wykładnię lub niewłaściwe zastosowanie;

2. naruszenie przepisów postępowania, jeżeli uchybienie to mogło mieć istotny wpływ na wynik sprawy.

Na tle tak określonych przez ustawodawcę podstaw skargi kasacyjnej zauważyć należy, iż konstrukcja środka odwoławczego jaki wniesiony został przez GIODO od wyroku WSA w Warszawie wskazuje, że oparto go wyłącznie na podstawie "kasacyjnej" określonej w art. 174 pkt 2 p.p.s.a., zatem tylko w tym zakresie możliwe jest badanie sprawy przez NSA.

NSA wskazuje na powyższe z uwagi na fakt, iż wnoszący skargę kasacyjną, pomimo jasno sformułowanego, wyłącznie jednego zarzutu z art. 174 pkt 2 p.p.s.a., w uzasadnieniu wniesionego środka w istocie zawarł i rozwinął również drugi z przewidzianych w art. 174 p.p.s.a. zarzutów tj. zarzut naruszenia prawa materialnego (por. rozważania organu w skardze kasacyjnej na temat przepisów prawa bankowego). Ze względu jednak na formę tego "zarzutu" (polemika ze stanowiskiem WSA w uzasadnieniu skargi kasacyjnej), który nie został zgłoszony przez organ wprost, nie mógł on podlegać ocenie NSA. Sprawa została zatem przez ten Sąd zbadana - jak wspomniano - wyłącznie w aspekcie zarzutu naruszenia procedury sądowoadministracyjnej, które to naruszenie miało, zdaniem organu, istotny wpływ na wynik sprawy.

Przechodząc do oceny postawionego zarzutu naruszenia art. 145 § 1 pkt 1 lit. c) p.p.s.a. poprzez jego zastosowanie w sprawie na skutek błędnego przyjęcia, że organ uchybił przepisom postępowania, tj. art. 138 § 1 pkt 1 w związku z art. 7, art. 77 § 1 i art. 80 k.p.a., stwierdzić należy, iż jest on niezasadny.

W zasadzie podzielić trzeba stanowisko GIODO odnośnie obowiązków strony postępowania, która powinna aktywnie uczestniczyć w postępowaniu prowadzonym przez organ (np. w kwestii "pomocy" organowi w prawidłowym ustaleniu stanu faktycznego sprawy, poprzez zgłaszanie wniosków dowodowych). Obowiązek taki wynika z zasady koniecznego współdziałania strony z organem w wyjaśnieniu istoty sprawy. Z pewną ostrożnością można nawet powiedzieć, iż brak aktywności strony może doprowadzić do sytuacji, w której zostanie ona pozbawiona możliwość skutecznego zarzucenia organowi uchybień w zakresie postępowania dowodowego, o ile organ uczynił wcześniej wszystko, aby stan faktyczny sprawy ustalić w sposób prawidłowy.

W świetle postanowień art. 7, 77 § 1 i 80 k.p.a. nie można jednak przyjąć, do czego zdaje się skłaniać autor skargi kasacyjnej, iż to wyłącznie na stronach postępowania administracyjnego ciąży obowiązek przedkładania organowi administracyjnemu dowodów w sprawie, zaś organ ma jedynie obowiązek dokonać ich oceny. Zauważyć należy, iż zarzut uczyniony GIODO przez WSA w Warszawie, uczyniony został w kontekście konkretnych okoliczności sprawy, tj. przyjęcia przez GIODO za podstawę rozstrzygnięcia, przy badaniu wniosku M. B. o ponowne rozpoznanie sprawy, wyłącznie stanu faktycznego ustalonego w postępowaniu zakończonym wydaniem pierwszej decyzji (z dnia [...] nr [...]).

Jak wskazał Sąd pierwszej instancji, co NSA w niniejszym składzie akceptuje, obowiązek ponownego rozpoznania i rozstrzygnięcia sprawy oznacza, iż organ "odwoławczy" (tu GIODO), nie może się ograniczyć wyłącznie do kontroli zaskarżonej decyzji, a obowiązany jest ponownie rozstrzygnąć sprawę, na podstawie stanu faktycznego i prawnego obowiązującego w dacie wydawania decyzji przez ten organ (tj. w postępowaniu odwoławczym). To właśnie niepodjęcie przez GIODO, do czego zobowiązywał go art. 7, 77 § 1 i 80 k.p.a., niezbędnych działań w celu ustalenia aktualnego stanu faktycznego sprawy (w szczególności aktualności danych w rejestrze), spowodowało uchylenie wydanej decyzji z dnia [...][...]. Działanie takie uznać należy przy tym za prawidłowe.

Zgodnie z zasadą prawdy obiektywnej, wyrażoną w art. 7 k.p.a., organ (a więc również organ "odwoławczy") ma obowiązek dokładnie zbadać sprawę tak, aby w sposób prawidłowy ustalić jej stan faktyczny. Wzmocnieniem tej zasady jest nałożony na organ obowiązek wyczerpującego zebrania i rozpatrzenia całości materiału dowodowego, wynikający z art. 77 § 1 k.p.a. Dopiero dysponując całokształtem materiału dowodowego organ może ocenić daną okoliczność i uznać ją za udowodnioną bądź nie, do czego zobowiązuje go art. 80 k.p.a.

Nie ma żadnych wątpliwości, iż w badanym przez WSA w Warszawie, a obecnie przez NSA, postępowaniu wywołanym wnioskiem o ponowne rozpoznanie sprawy, istotnym elementem stanu faktycznego była okoliczność dalszego istnienia wpisu danych M. B. w rejestrze prowadzonym przez ZBP. Badając bowiem legalność przetwarzania danych osobowych, GIODO ma obowiązek ustalenia, czy na datę wydawania rozstrzygnięcia w sprawie dane konkretnego podmiotu są przetwarzane oraz czy czynione to jest w sposób zgodny z prawem.

Zaniechanie zatem prostego sprawdzenia powyższej okoliczności (w formie żądania udzielenia informacji od podmiotu zarządzającego danym rejestrem), która ma elementarne znaczenie dla prawidłowego rozstrzygnięcia, przesądza o naruszeniu wspomnianych przepisów k.p.a. Dodać jedynie należy, iż po wydaniu decyzji z dnia [...] (k. 59-62 akt administracyjnych), a przed wydaniem decyzji z dnia [...] (k. 72-75 akt administracyjnych), GIODO nie podjął żadnych czynności dowodowych, mających wyjaśnić stan faktyczny sprawy, choć powinien tego dokonać.

W konsekwencji, poprzez zaniechanie ustalenia prawidłowego stanu faktycznego sprawy (tj. istnienia wpisu w rejestrze ZBP), organ uchybił treści art. 138 § 1 pkt 1 k.p.a. utrzymując zaskarżoną decyzję w mocy, podczas gdy w istocie, przy założeniu prawdziwości informacji o wykreśleniu danych M. B. z rejestru, powinna zapaść decyzja uchylająca wcześniejsze rozstrzygnięcie i umarzająca postępowanie pierwszej instancji - art. 138 § 1 pkt 2 k.p.a. in fine.

W tym stanie sprawy skarga kasacyjna jako niezasadna podlegała oddaleniu na podstawie art. 184 p.p.s.a.