Centralna Baza Orzeczeń Sądów Administracyjnych

Naczelny Sąd Administracyjny w składzie: Przewodniczący: sędzia NSA Tamara Dziełakowska Sędziowie sędzia NSA Iwona Bogucka (spr.) sędzia NSA Małgorzata Pocztarek po rozpoznaniu w dniu 12 maja 2020 r. na posiedzeniu niejawnym w Izbie Ogólnoadministracyjnej skargi kasacyjnej W. N. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 14 listopada 2018 r. sygn. akt II SA/Wa 463/18 w sprawie ze skargi W. N. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] stycznia 2018 r. nr [...] w przedmiocie przetwarzania danych osobowych 1. uchyla zaskarżony wyrok oraz zaskarżoną decyzję i poprzedzającą ją decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] października 2017 r. znak: [...]; 2. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz W. N. kwotę 1154 (jeden tysiąc sto pięćdziesiąt cztery) złote tytułem zwrotu kosztów postępowania sądowego.

Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z 14 listopada 2018 r., II SA/Wa 463/18, oddalił skargę W. N. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z [...] stycznia 2018 r. nr [...] utrzymującą w mocy decyzję tego organu z [...] października 2017 r. znak: [...] w przedmiocie przetwarzania danych osobowych.

Wyrok zapadł w następującym stanie faktycznym i prawnym przyjętym przez Sąd I instancji:

Skarżący złożył do Biura Generalnego Inspektora Ochrony Danych Osobowych skargę na nieprawidłowości w procesie przetwarzania jego danych osobowych przez G. S.A. z siedzibą w W., wskazując, że w celu obsługi kilku lokat w Banku podał swój prywatny numer telefonu oraz adres e-mail. Ponadto skarżący, jako prezes zarządu A. Sp. z o.o. z siedzibą w Z., założył w Banku konto firmowe dla Spółki. Po pewnym czasie skarżący otrzymał na firmowy oraz prywatny adres e-mail zawiadomienie o "połączeniu" systemów bankowości internetowej i podane zostały mu nowe loginy do konta prywatnego oraz firmowego. W związku z powyższym skarżący wniósł o nakazanie zaprzestania przetwarzania jego danych osobowych, tj. jego prywatnego numeru telefonu komórkowego oraz prywatnego adresu e-mail w celu związanym z obsługą konta firmowego oraz zaprzestania przetwarzania jego danych osobowych, tj. jego służbowego numeru telefonu oraz służbowego adresu e-mail w celu związanym z obsługą konta prywatnego.

W toku postępowania wyjaśniającego Generalny Inspektor Ochrony Danych Osobowych (dalej jako: "GIODO") ustalił, że Bank pozyskał dane osobowe skarżącego w związku z zawarciem z nim umów o prowadzenie lokat terminowych, rachunku oszczędnościowo-rozliczeniowego, umów kredytowych. Bank przetwarza dane skarżącego, jako osoby reprezentującej Spółkę w związku ze świadczeniem na rzecz Spółki przez Bank czynności bankowych, na podstawie zawartych umów. Bank poinformował skarżącego, że dokonano aktualizacji jego danych przez wprowadzenie do kartoteki reprezentowanej przez skarżącego spółki danych w postaci służbowego nr tel. oraz adresu e-mail, a na kartotece skarżącego wprowadzono prywatny nr tel. oraz e-mail. Jednocześnie skarżący został poinformowany, że dostęp do bankowości elektronicznej dla niego oraz reprezentowanej przez niego spółki jest udostępniany na jednym loginie, a w przypadku chęci posiadania przez skarżącego dostępu do bankowości elektronicznej tylko do rachunku firmowego prowadzonego na rzecz spółki należy złożyć dyspozycję wydania drugiego rodzaju bankowości elektronicznej GB24.

W dniu 23 września 2015 r. w odpowiedzi na wniosek w sprawie wydzielenia osobnego dostępu do bankowości internetowej reprezentowanej przez skarżącego spółki został utworzony osobny dostęp do korporacyjnej bankowości internetowej dla Spółki (protokół przekazania kart mikroprocesorowych, identyfikatorów do logowania czytników kart znajduje się aktach sprawy wraz z podpisem skarżącego z 10 września 2015 r.).

Po przeprowadzeniu postępowania decyzją z [...] października 2017 r. GIODO odmówił uwzględnienia wniosku.

Skarżący wniósł od tej decyzji wniosek o ponowne rozpatrzenie sprawy, wnosząc o jej uchylenie w całości i wydanie decyzji nakazującej zaprzestanie przetwarzania jego danych osobowych, wskazując, że nie można uznać, iż zadość żądaniu skarżącego uczyniło wydzielenie przez Bank 23 września 2015 r. osobnego dostępu do bankowości internetowej spółki reprezentowanej przez skarżącego. W ocenie skarżącego z faktu, że login i hasło są unikalne dla niego, nie można wywodzić wniosku, że działanie Banku w zakresie objętym skargą, jest zgodne z przepisami ustawy o ochronie danych osobowych.

Zaskarżoną decyzją z [...] stycznia 2018 r. GIODO utrzymał w mocy swoją wcześniejszą decyzję, wskazując, że ustawa z 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r., poz. 922: dalej jako: "ustawa") oprócz podstawowego obowiązku legalnego przetwarzania danych osobowych nakłada na ich administratorów także szereg innych związanych z tym procesem powinności. Jedna z nich określona została w art. 26 ust. 1 ustawy, który stanowi, że administrator danych przetwarzający dane powinien dołożyć szczególnej staranności w celu ochrony interesów osób, których dane dotyczą. W związku z powyższym postępowanie powadzone przez GIODO ma na celu wydanie decyzji administracyjnej na podstawie art. 18 ust. 1 ustawy. Organ podał też, że formułowane przez ten organ nakazy służą przywróceniu stanu zgodnego z prawem. Warunkiem wydania rozstrzygnięcia, o którym mowa w tym przepisie, jest stwierdzenie istnienia stanu naruszenia przepisów o ochronie danych osobowych w dacie wydania decyzji. Organ podkreślił, że przedmiotem niniejszego postępowania jest wniosek skarżącego, dotyczący nakazania zaprzestania przetwarzania jego danych osobowych w celu związanym z obsługą konta firmowego założonego w Banku oraz zaprzestania przetwarzania jego danych służbowych w celu związanym z obsługą konta prywatnego w Banku. Z materiału dowodowego sprawy wynika, że Bank wydzielił osobny dostęp do bankowości internetowej reprezentowanej przez niego Spółki w dniu 23 września 2015 r. oraz bankowości elektronicznej skarżącego, jako osoby prywatnej. Został otworzony osobny dostęp do korporacyjnej bankowości internetowej dla Spółki. Aktualnie Bank nie przetwarza danych osobowych skarżącego w kwestionowany przez niego sposób. Bank, jako administrator danych dołożył szczególnej staranności w celu ochrony interesów osób, których dane dotyczą. Dostęp do bankowości elektronicznej nadawany jest osobom fizycznym mającym aktywne produkty w Banku, jak i osobom fizycznym reprezentującym podmioty gospodarcze. Dostęp obejmuje indywidualne i nadane wyłącznie użytkownikowi login oraz hasło, które nie powinny być udostępniane innym osobom. Organ stwierdził też, że jak wynika z analizy sprawy – skarżący po zalogowaniu ma dostęp zarówno do konta indywidualnego, jak i firmowego. W związku z faktem, że login i hasło są dla niego indywidualne, żadna inna osoba nie powinna mieć dostępu do konta skarżącego, a to powoduje, że nie można uznać działania Banku w tym zakresie, jako niezgodnego z przepisami o ochronie danych osobowych. Zarzuty skarżącego dotyczące połączenia bankowości elektronicznej powinny być ewentualnie rozpatrywane na gruncie przepisów prawa cywilnego, w szczególności w zakresie nienależytego wykonania umowy przez Bank. Organ wskazał też, że postępowanie prowadzone przez GIODO jest prowadzone w zakresie nieprawidłowości w procesie przetwarzania danych osobowych, a nie w zakresie prawidłowości wykonywania przez podmiot gospodarczy związanych z jego działalnością usług. Organ stwierdził, że z okoliczności sprawy wynika, że w rzeczywistości nie doszło do naruszenia bezpieczeństwa danych osobowych skarżącego, w tym tajemnicy bankowej. Nikt ze Spółki nie miał dostępu do danych osobowych skarżącego, w tym dotyczących jego rachunku prywatnego. Dlatego też organ uznał, że nie stwierdził istnienia stanu naruszenia prawa, o którym mowa w art. 18 ust. 1 ustawy, w dacie wydania niniejszego rozstrzygnięcia, który skutkowałby wydaniem decyzji zobowiązującej Bank do przywrócenia stanu zgodnego z prawem.

Skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie na ww. decyzję złożył skarżący.

W odpowiedzi na skargę organ wniósł o jej oddalenie.

Uzasadniając oddalenie skargi Sąd I instancji wskazał, że zgodnie z art. 7 pkt 2 ustawy przetwarzanie danych to jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych. Uprawnienie administratorów danych do przetwarzania danych osobowych niewrażliwych statuuje art. 23 ust. 1 ustawy, zgodnie z którym, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy spełniona jest jedna z przesłanek wskazanych w tym przepisie, tj., gdy: osoba, której dane dotyczą, wyrazi na to zgodę, chyba że chodzi o usunięcie dotyczących jej danych (pkt 1), jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa (pkt 2), jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy, na żądanie osoby, której dane dotyczą (pkt 3), jest niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego (pkt 4), jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą (pkt 5). Katalog przesłanek wymienionych w art. 23 ustawy jest zamknięty, a każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny. Oznacza to, że przesłanki te co do zasady są równoprawne, a wobec tego spełnienie co najmniej jednej z nich stanowi o zgodnym z prawem przetwarzaniu danych osobowych.

W ocenie Sądu I instancji organ w wydanych decyzjach słusznie stwierdził, że przetwarzanie danych osobowych skarżącego nastąpiło zgodnie z przepisami ustawy. Ustawa określa bowiem zasady postępowania przy przetwarzaniu danych osobowych oraz prawa osób fizycznych, których dane są lub mogą być przetwarzane w zbiorach danych (art. 2 ust. 1 ustawy). Oprócz podstawowego obowiązku legalnego przetwarzania danych osobowych ustawa nakłada na ich administratorów także szereg innych związanych z tym procesem powinności. Jedna z nich określona została w art. 26 ust. 1 ustawy, który stanowi, że administrator danych przetwarzający dane powinien dołożyć szczególnej staranności w celu ochrony interesów osób, których dane dotyczą. W szczególności jest on obowiązany zapewnić, aby dane te były przetwarzane zgodnie z prawem (pkt 1), zbierane dla oznaczonych, zgodnych z prawem celów i niepoddawane dalszemu przetwarzaniu niezgodnie z tymi celami, z zastrzeżeniem ust. 2 (pkt 2), merytorycznie poprawne i adekwatne w stosunku do celów, w jakich są przetwarzane (pkt 3), oraz przechowywane w postaci umożliwiającej identyfikację osób, których dotyczą, nie dłużej niż jest to niezbędne do osiągnięcia celu przetwarzania (pkt 4).

Sąd I instancji podkreślił, że postępowanie powadzone przez GIODO ma na celu wydanie decyzji administracyjnej, na podstawie art. 18 ust. 1 ustawy. Formułowane przez organ nakazy służą przywróceniu stanu zgodnego z prawem. Decyzja administracyjna GIODO jest zawsze aktem o charakterze konkretnym i indywidualnym, obejmuje ocenę prawną okoliczności faktycznych istniejących w chwili jej wydania, dokonaną w świetle obowiązujących w tym czasie przepisów prawa. Warunkiem wydania rozstrzygnięcia, o którym mowa w tym przepisie, jest stwierdzenie istnienia stanu naruszenia przepisów o ochronie danych osobowych w dacie wydania decyzji.

Sąd I instancji podał, że postępowanie w niniejszej sprawie wywołane zostało wnioskiem skarżącego, dotyczącym nakazania zaprzestania przetwarzania jego danych osobowych tj. jego prywatnego numeru telefonu komórkowego oraz jego prywatnego adresu e-mail w celu związanym z obsługą konta firmowego założonego w Banku oraz zaprzestania przetwarzania danych osobowych skarżącego tj. jego służbowego numeru telefonu oraz jego służbowego adresu e-mail w celu związanym z obsługą konta prywatnego w Banku. Jak wynika z akt sprawy, Bank wydzielił osobny dostęp do bankowości internetowej reprezentowanej przez skarżącego spółki w dniu 23 września 2015 r. oraz bankowości elektronicznej skarżącego jako osoby prywatnej. Został też utworzony osobny dostęp do korporacyjnej bankowości internetowej dla Spółki. W aktach znajduje się protokół wraz z podpisem skarżącego z 10 września 2015 r. Bank nie przetwarza obecnie danych osobowych skarżącego w kwestionowany przez niego sposób. Skarżący zaś nie przedstawił żadnych dowodów potwierdzających stawiane przez niego zarzuty, zarówno składając wniosek o ponowne rozpatrzenie sprawy jak i skargę na decyzję z [...] stycznia 2018 r.

Zdaniem Sądu I instancji Bank, jako administrator danych dołożył staranności w celu ochrony interesów osób, których dane dotyczą. Jak wynika bowiem z wyjaśnień Banku i ustaleń organu, dostęp do bankowości elektronicznej, nadawany jest osobom fizycznym mającym aktywne produkty w Banku, jaki i osobom fizycznym reprezentującym podmioty gospodarcze. Dostęp obejmuje indywidualny i znany wyłącznie użytkownikowi login oraz hasło, które nie powinny być udostępniane innym osobom. W rozpoznawanej sprawie skarżący po zalogowaniu, ma dostęp zarówno do konta indywidualnego, jak i firmowego. Podkreślić należy, że login i hasło są unikalne dla skarżącego i żadna inna osoba nie powinna mieć dostępu do konta skarżącego, a to oznacza, że nie można uznać, że działanie Banku w tym zakresie jest niezgodne z przepisami o ochronie danych osobowych.

W ocenie Sądu I instancji z okoliczności niniejszej sprawy wynika, że w rzeczywistości nie doszło do naruszenia bezpieczeństwa danych osobowych, w tym tajemnicy bankowej. Nikt ze Spółki nie miał dostępu do danych osobowych skarżącego, w tym dotyczących jego rachunku prywatnego. Zatem organ prawidłowo stwierdził, że brak było podstaw do uwzględnienia przez niego wniosku i wydania decyzji zobowiązującej Bank do przywrócenia stanu zgodnego z prawem. Tym samym, zdaniem Sądu I instancji, obydwie decyzje administracyjne zostały wydane w oparciu o wystarczający materiał dowodowy, pozyskany w wyniku postępowania administracyjnego przeprowadzonego zgodnie z zasadami określonymi w k.p.a. Organ nie naruszył także art. 7 k.p.a., albowiem zgromadzone dowody były wystarczające do poczynienia ustaleń faktycznych niezbędnych do zastosowania powołanych w podstawie prawnej przepisów prawa, a w uzasadnieniu zaskarżonej decyzji organ w sposób wyczerpujący uzasadnił swoje stanowisko.

W skardze kasacyjnej skarżący zaskarżył wyrok Sądu I instancji w całości, wnosząc o jego uchylenie i przekazanie sprawy do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie, a także o zasądzenie zwrotu kosztów postępowania, w tym kosztów zastępstwa adwokackiego, według norm przepisanych. Skarżący kasacyjnie zrzekł się przy tym przeprowadzenia rozprawy.

Sądowi I instancji zarzucono naruszenie:

1. przepisów postępowania, tj. art. 133 § 1, 134 § 1 oraz 141 § 4 p.p.s.a. przez:

- wydanie wyroku w oparciu o ustalenie, że profile skarżącego w systemie bankowości internetowej zostały rozdzielone (str. 8 uzasadnienia wyroku), w sytuacji gdy z akt sprawy, tj. z treści zaskarżonej decyzji wprost wynika, że skarżący cały czas ma dostęp do profilu firmowego z profilu osobistego (str. 5 zaskarżonej decyzji),

- wewnętrzną sprzeczność uzasadnienia wobec jednoczesnego twierdzenia, że skarżący nie wykazał braku rozdzielenia kont (str. 8 uzasadnienia wyroku) i przyznania, że istnieje dostęp do konta firmowego poprzez profil osobisty (str. 9 wyroku).

2. przepisów prawa materialnego, tj.:

a) art. 23 ust. 1 ustawy przez jego niezastosowanie, co skutkowało utrzymaniem w mocy decyzji dopuszczającej przetwarzanie danych osobowych bez wymaganej podstawy prawnej;

b) art. 26 ust 1 pkt 2 ustawy przez jego niezastosowanie, tj. nieuwzględnienie obowiązku przetwarzania danych zgodnie z oznaczonymi celami;

c) art. 36 ustawy przez jego niezastosowanie polegające na nieuwzględnieniu przy ocenie prawnej skutków zaistniałego stanu faktycznego, to jest stwierdzeniu, że połączenie kont internetowych skarżącego nie narusza obowiązku zabezpieczenia danych osobowych.

W uzasadnieniu skargi kasacyjnej wskazano, że w zaskarżonej decyzji organ wprost ustalił, że: "w przedmiotowej sprawie skarżący po zalogowaniu ma dostęp zarówno do konta indywidualnego, jak i firmowego" (str. 5 uzasadnienia decyzji). Wojewódzki Sąd Administracyjny również przywołał w uzasadnieniu wyroku powyższe ustalenie (str. 9 uzasadnienia wyroku). Jednocześnie jednak Sąd I instancji w innej części uzasadnienia zaprzeczył powyższej okoliczności podnosząc: "Bank nie przetwarza obecnie danych osobowych skarżącego w kwestionowany przez niego sposób". Z powyższego zestawienia fragmentów uzasadnienia wyroku wynika wewnętrzna sprzeczność. Z nieznanych skarżącemu powodów Sąd I instancji zawarł w uzasadnieniu ustalenia faktyczne zarówno sprzeczne same ze sobą, jak i sprzeczne z jasnym ustaleniem organu. Powyżej opisane naruszenie stanowiło naruszenie art. 133 § 1, 134 § 1 oraz 141 § 4 p.p.s.a. Zadaniem sądu jest bowiem wydanie wyroku na podstawie akt sprawy. Sąd ma prawo do odmiennej oceny dowodów zgromadzonych w postępowaniu, ale musi w uzasadnieniu wyjaśnić z jakich powodów czyni takie odmienne ustalenie. W niniejszej sprawie Sąd I instancji tego nie uczynił, a samo uzasadnienie pozostaje wewnętrznie sprzeczne. Powyższe naruszenie wpłynęło na wynik postępowania, wobec dokonania subsumpcji tego wadliwie ustalonego stanu faktycznego pod stan prawny. Prawidłowym byłoby przyjęcie w ślad za ustaleniami zawartymi w decyzji organu, że profile w systemie bankowości internetowej skarżącego nie są w pełni rozdzielone, ponieważ skarżący logując się do systemu bankowości przez profil indywidualny ma pełny dostęp zarówno do konta osobistego jak i konta firmowego, co pozostaje w sprzeczności z zasadami przetwarzania danych osobowych.

W zaistniałym stanie faktycznym nie doszło do spełnienia żadnej z przesłanek wskazanych w art. 23 ust. 1 ustawy. Skarżący jako osoba fizyczna zawarł z bankiem umowę, na podstawie której bank otworzył dla niego określone lokaty. Nie ulega wątpliwości, że umowa ta była podstawą dla przetwarzania wskazanych przez skarżącego danych osobowych (m.in. prywatny adres e-mail i prywatny numer telefonu) w zakresie niezbędnym dla jej realizacji (art. 23 ust. 1 pkt 3 ustawy). Po pewnym czasie skarżący, działając jako prezes Spółki, otworzył w tym samym banku firmowe konta dla wskazanej spółki. Ta druga umowa była podstawą dla przetwarzania wskazanych przez skarżącego danych osobowych (m.in. służbowy adres e-mail i służbowy numer telefonu) także w zakresie niezbędnym dla jej realizacji (art. 23 ust. 1 pkt 3 ustawy). Brak jest podstawy prawnej do przetwarzania danych firmowych do obsługi konta osobistego i odwrotnie – nie jest dopuszczalnym przetwarzanie danych indywidualnych do obsługi konta firmowego. Podobnie jak wcześniej, również aktualnie skarżący logując się na swoje prywatne konto uzyskuje podgląd i możliwość realizacji transakcji w ramach konta firmowego. Podkreślić należy, że bank prowadzi rachunek dla Spółki na podstawie zawartej z nią umowy. Stroną tej umowy nie jest skarżący, wobec czego bank nie może, w związku z zawarciem tej umowy, przetwarzać jego danych osobowych. W grę nie wchodzi także zgoda skarżącego (art. 23 ust. 1 pkt 1), bowiem domaga się on zaprzestania przetwarzania jego danych w ten sposób. Przetwarzanie danych osobowych musi mieć wyraźną podstawę prawną. W ocenie skarżącego nie zachodzi żadna z okoliczności je uzasadniających. Na okoliczność taką nie wskazuje organ w zaskarżonej decyzji. Co więcej, także Sąd I instancji nie przytacza w uzasadnieniu zaskarżonego orzeczenia, która z okoliczności wymienionych w art. 23 ust. 1 jest podstawą przetwarzania danych w analizowanym stanie faktycznym. Sąd przytacza jedynie treść wspomnianego przepisu po czym stwierdza, że przetwarzanie danych nastąpiło zgodnie z przepisami ustawy. W związku z tym oddalenie skargi prowadzi do sankcjonowania stanu nieuzasadnionego, tj. bezpodstawnego przetwarzania danych osobowych. Fakt połączenia dostępu do kont internetowych skarżącego – osoby fizycznej oraz Spółki bez wątpienia świadczy o przetwarzaniu danych osobowych skarżącego. Przetwarzanie to nie ma podstawy prawnej oraz nie znajduje uzasadnienia w zasadzie celowości przetwarzania danych, wyrażonej w art. 26 ust. 1 pkt. 2 ustawy. Bank, w ramach wewnętrznie działającego systemu, łączy i gromadzi dane osób, które nawiązują z nim relacje prawne w różnym charakterze. Połączenie kont w systemie teleinformatycznym wskazuje na fakt skojarzenia danych skarżącego, udostępnionych w związku z zawartą umową, z jego działalnością zawodową, gdzie jego dane zostały udostępnione w związku z działaniem jako członek organu spółki. Fakt, że każdy z użytkowników otrzymuje indywidualny login i hasło nie ma znaczenia, bowiem w sytuacji połączenia kont wiążą się one jedynie z podwojeniem możliwości dostępu do faktycznie jednego konta. Praktycznym wytłumaczeniem takiego działania banku jest z pewnością oparcie funkcjonowania systemu informatycznego na numerach PESEL osób uprawnionych do dostępu do kont internetowych. W przedmiotowej sprawie takie działanie doprowadziło do bezpodstawnego przetwarzania danych osobowych skarżącego. Podkreślić należy również fakt, że opisane działanie banku narusza bezpieczeństwo ochrony danych osobowych skarżącego. Zwykle innemu zabezpieczeniu podlegają internetowe konta osób prywatnych, innemu zaś konta firmowe. Wyłączną sprawą skarżącego – osoby fizycznej jest sposób, w jaki zabezpieczy on dostęp do swojego prywatnego konta. Można tutaj wspomnieć choćby poziom trudności używanego hasła dostępu do konta, czy jakość programu antywirusowego, zainstalowanego na prywatnym komputerze. Zupełnie inne zabezpieczenia stosuje się zwykle przy obsłudze kont firmowych. W zaistniałym stanie faktycznym, w przypadku uzyskania dostępu do konta prywatnego przez osobę trzecią (np. atak hackerski), ujawnieniu ulegną także wrażliwe dane przedsiębiorstwa, nie mówiąc już o możliwości utraty środków. Praktyka banku prowadzi więc do zwiększenia niebezpieczeństwa ujawnienia danych osobowych. W związku z tym narusza obowiązek zapewnienia bezpieczeństwa przetwarzania danych, który wynika chociażby z art. 36 ustawy.

W odpowiedzi na skargę kasacyjną Prezes Urzędu Ochrony Danych Osobowych wniósł o jej oddalenie. Wskazano, że dane osobowe skarżącego zostały powiązane z bankowością elektroniczną spółki dlatego, że jest on umocowany do jej reprezentowania. Dane osobowe skarżącego zostały zabezpieczone, albowiem dostęp do bankowości elektronicznej obejmuje indywidualny login i hasło. Brak dowodów, że osoby nieuprawnione mogły uzyskać dostęp do danych osobowych skarżącego za pośrednictwem bankowości elektronicznej.

Naczelny Sąd Administracyjny rozważył, co następuje:

Zgodnie z art. 183 § 1 ustawy z 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2019 r., poz. 2325 ze zm., dalej: p.p.s.a.) Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, z urzędu biorąc pod uwagę tylko nieważność postępowania. W niniejszej sprawie nie stwierdzono żadnej z przesłanek nieważności wymienionych w art. 183 § 2 p.p.s.a., wobec czego rozpoznanie sprawy nastąpiło w granicach zgłoszonych podstaw i zarzutów skargi kasacyjnej. Stosownie do art. 176 p.p.s.a. skarga kasacyjna winna zawierać zarówno przytoczenie podstaw kasacyjnych, jak i ich uzasadnienie. Przytoczenie podstaw kasacyjnych oznacza konieczność konkretnego wskazania tych przepisów, które zostały naruszone w ocenie wnoszącego skargę kasacyjną, co ma istotne znaczenie ze względu na zasadę związania Sądu II instancji granicami skargi kasacyjnej.

Rozpoznana w tych granicach skarga kasacyjna okazała się skuteczna.

Zarzuty dotyczące naruszenia przepisów postępowania nie zostały skierowane przeciwko ustaleniom faktycznym poczynionym w postępowaniu administracyjnym, wobec czego należy uznać, że ustalenia te nie zostały zakwestionowane. Organ ochrony danych osobowych ustalił, że bank pozyskał dane osobowe skarżącego w związku z zawartą z nim umową. W oparciu o umowę zawartą ze spółką przetwarza też dane osobowe skarżącego jako osoby reprezentującej spółkę. W oparciu o wyjaśnienia banku ustalono także, że nie doszło do połączenia systemów bankowości elektronicznej skarżącego jako osoby prywatnej i spółki. W wyniku przeprowadzonej aktualizacji danych, skarżący posiada w banku jedną kartotekę, a spółka kartotekę odrębną. Do kartoteki spółki wprowadzono dane dotyczące służbowego telefonu i adresu mailowego skarżącego jako osoby reprezentującej spółkę, do kartoteki skarżącego jako osoby prywatnej wprowadzono dane dotyczące prywatnego numeru telefonu i adresu mailowego. Dla spółki został utworzony osobny dostęp do korporacyjnej bankowości internetowej. Skarżącemu jako osobie fizycznej został przyznany dostęp do bankowości internetowej, co umożliwia mu podgląd wszystkich produktów, do których jest umocowany, w tym dotyczących spółki, którą reprezentuje. Logując się do systemu bankowości elektronicznej za pomocą przyznanego mu loginu i hasła skarżący ma dostęp do konta prywatnego i konta spółki. Natomiast korzystając z dostępu spółki do bankowości elektronicznej skarżący ma wgląd wyłącznie do jej produktów. Dostęp do bankowości elektronicznej jest zabezpieczony loginem i hasłem nadawanych każdemu z uzyskujących dostęp do tej formy bankowości. Czyniąc powyższe ustalenia organ powoływał się na materiał zebrany w sprawie, w szczególności na wyjaśnienia udzielone przez bank.

Ten zakres postępowania wyjaśniającego i jego wyniki zostały zaakceptowane przez Sąd I instancji i ocenione jako uzasadniające podjęte rozstrzygnięcie. Przeciwko tym ustaleniom nie skierowano zarzutów kasacyjnych. Nie jest zatem uprawniony zarzut, że Sąd I instancji, dokonawszy odmiennej niż organ oceny materiału dowodowego, nie wyjaśnił swojego stanowiska. Ocena Sądu I instancji jest zbieżna z oceną organu. Jednocześnie nie koreluje z przytoczonymi wyżej ustaleniami organu argument skargi kasacyjnej, że w ślad za ustaleniami organu prawidłowe byłoby przyjęcie przez Sąd, iż profile w systemie bankowości internetowej nie są w pełni oddzielone ze względu na dostęp do konta firmowego przez logowanie z wykorzystaniem dostępu prywatnego. Sąd I instancji wyraźnie zadeklarował, że uznaje za prawidłowe ustalenia faktyczne organu. Na str. 8 uzasadnienia wyroku brak jest tezy, że "profile skarżącego w systemie bankowości zostały rozdzielone", Sąd I instancji – powołując się na akta sprawy – opisał natomiast utworzenie osobnych dostępów do bankowości internetowej dla spółki i skarżącego, co znajduje oparcie w ustaleniach organu ochrony danych osobowych. Nie ma więc sprzeczności między ustaleniami poczynionymi w postępowaniu administracyjnym i oceną tego materiału przez Sąd I instancji. Okoliczność, że skarżący logując się swoim loginem i hasłem do systemu bankowości elektronicznej, ma dostęp także do konta spółki, nie została zakwestionowana. Nie można zarzucić Sądowi I instancji sprzeczności w argumentacji. Zawarte na str. 8 uzasadnienia wyroku stwierdzenie, że "skarżący nie przedstawił dowodów potwierdzających stawiane zarzuty" nie może zostać sprowadzone, jak to uczyniono w skardze kasacyjnej, do frazy, że "skarżący nie wykazał braku rozdzielenia kont". Ocena Sądu I instancji ma znacznie szerszy zakres, odnosi się do zarzutów pierwotnie formułowanych we wniosku do GIODO i wyników całego postępowania dowodowego.

Z podanych powodów nie mogły uzasadniać uwzględnienia skargi kasacyjnej zarzuty naruszenia art. 133 § 1, 134 § 1 i 141 § 4 p.p.s.a. Sąd wydał wyrok po przeprowadzeniu rozprawy i dysponując aktami sprawy, o czym świadczy przedstawiony w uzasadnieniu wyroku stan faktyczny sprawy. Uzasadnienie wyroku Sądu I instancji nie potwierdza także, aby Sąd I instancji wykroczył poza granice sprawy lub też ograniczył się do badania jedynie zarzutów skargi i powołanej w niej podstawy prawnej. Uzasadnienie zawiera w końcu wszystkie wymagane elementy konstrukcyjne i pozwala na rekonstrukcję zarówno przyjętego przez Sąd I instancji stanu faktycznego, jak i stanowiska sądu w kwestii legalności kontrolowanej decyzji.

Natomiast czy stan faktyczny stwierdzony w sprawie świadczy o naruszeniu zasad ochrony danych osobowych, zależy od skuteczności zarzutów naruszenia prawa materialnego.

Nie jest trafny zarzut naruszenia art. 23 ust. 1 ustawy przez niezastosowanie. Przepis art. 174 pkt 1 p.p.s.a. precyzuje formy naruszenia prawa materialnego. Dla skuteczności zarzutu należy wykazać błędną wykładnię lub niewłaściwe zastosowanie, które oznacza brak korelacji między ustalonym stanem faktycznym a normatywnymi przesłankami zastosowania przepisu. Naruszenie polegające na "niezastosowaniu" nie jest formą przewidzianą w art. 174 pkt 1 p.p.s.a. Sąd I instancji nie pominął przy tym przesłanek legalizujących przetwarzanie danych osobowych, zostały one w uzasadnieniu wyroku przedstawione i opatrzone konstatacją, że przetwarzanie danych było zgodne z przepisami ustawy. W kontrolowanej przez Sąd I instancji decyzji nie powołano natomiast żadnej z przesłanek dopuszczających przetwarzanie danych, wskazano natomiast, że dane osobowe skarżącego zostały pozyskane w wyniku zawartej z nim umowy, jak też w wyniku zawarcia umowy ze spółką, którą reprezentuje jako prezes zarządu. W skardze kasacyjnej nie podważono natomiast w istocie podstaw do przetwarzania danych skarżącego, przyznając fakt udostępnienia danych w związku z zawartymi umowami i świadczeniem przez bank jego usług. Skarżący kasacyjnie nie kwestionuje jednak możliwości przetwarzania poszczególnych danych osobowych z związku z dwiema zawartymi umowami, ale możliwość przetwarzania danych poza zakresem niezbędnym do realizacji każdej z nich, co jest związane z ewentualnym przepływem danych między różnymi ich zbiorami.

Za uzasadnione Naczelny Sąd Administracyjny uznał natomiast zarzuty dotyczące naruszenia art. 26 ust. 1 pkt 2 i art. 36 ustawy. Przepis art. 26 ust. 1 ustawy został przez GIODO przytoczony jako podstawa prawna, w oparciu o którą dokonano w sprawie weryfikacji legalności przetwarzania danych osobowych. Naczelny Sąd Administracyjny zauważa w tym miejscu, że ochrona danych dotyczy wyłącznie osób fizycznych, a przedmiotem działania organu ochrony danych osobowych są wyłącznie kwestie prawidłowości przetwarzania tych danych, a nie przykładowo bezpieczeństwa finansowego i skuteczności zabezpieczeń systemu bankowości elektronicznej przed atakami hakerskimi. Z tego względu nie mają znaczenia dla sprawy argumenty skargi kasacyjnej, odwołujące się do zagrożenia danych Spółki czy skuteczności zabezpieczeń kont bankowych i dostępu do nich. Kwestią zasadniczą w sprawie, w przekonaniu Naczelnego Sądu Administracyjnego, jest podnoszona przez skarżącego okoliczność, że jest on identyfikowany w systemie bankowym na podstawie danych osobowych, pozyskanych przez bank w różnych celach. Z wyjaśnień udzielonych przez bank wynika, i tak zostało przyjęte w stanie faktycznym sprawy, że ostatecznie w banku skarżący posiada jedną "kartotekę", w której widnieją dane uzyskane w związku z umowami zawartymi przez niego jako osobę prywatną. Odrębną "kartotekę" posiada spółka, w niej ujawniono dane osoby uprawnionej do reprezentacji. W ocenie Naczelnego Sądu Administracyjnego, okoliczność ta nie została rozważona w postępowaniu przed organem ochrony danych osobowych, w toku kontroli prawidłowości przetwarzania danych i realizacji przez administratora danych jego obowiązków. GIODO, akceptując sposób przetwarzania danych skarżącego nie rozważył, czy stan faktyczny sprawy nie tylko świadczy o legalności pozyskania danych, ale odpowiada zakazowi dalszego przetwarzania niezgodnie z celem, dla jakiego zostały zebrane. Zgodnie z art. 40 ustawy, administrator danych ma obowiązek zgłosić zbiór danych do rejestracji GIODO. Przepis art. 36 ustawy zobowiązuje administratora do zabezpieczania danych, także przed przetwarzaniem danych z naruszeniem ustawy, w tym celu administrator powinien prowadzić dokumentację opisującą sposób przetwarzania danych oraz stosowane środki. Przepis art. 39a ustawy zawiera delegację dla właściwego ministra do określenia sposobu prowadzenia i zakresu tej dokumentacji, oraz podstawowe warunki techniczne i organizacyjne, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych, uwzględniając zapewnienie ochrony przetwarzanych danych osobowych odpowiedniej do zagrożeń oraz kategorii danych objętych ochroną, a także wymagania w zakresie odnotowywania udostępniania danych osobowych i bezpieczeństwa przetwarzanych danych. Wydane na tej podstawie rozporządzenie Ministra Spraw Wewnętrznych i Administracji z 20 kwietnia 2004 r. w sprawie dokumentacji przetwarzania danych osobowych oraz warunków technicznych i organizacyjnych, jakim powinny odpowiadać urządzenia i systemy informatyczne służące do przetwarzania danych osobowych (Dz. U. z 2004 r., nr 100, poz. 1024, dalej "rozporządzenie"), obowiązujące w dacie wydania decyzji, przewiduje w § 4, jakie treści powinna zawierać sporządzona przez administratora Polityka bezpieczeństwa. Należą do nich w szczególności wykaz zbiorów danych osobowych, opis ich struktury, wskazujący zawartość poszczególnych pól informacyjnych i powiązania między nimi, opis przepływu danych między poszczególnymi systemami.

Stwierdzając działanie zgodne z art. 26 ust. 1 ustawy i brak podstaw do wydania zakazu przetwarzania w formie decyzji, GIODO ograniczył się do przyjęcia, że zebrane legalnie dane są przetwarzane z zachowaniem zasad bezpieczeństwa, dostęp do nich ma wyłącznie osoba, której dane dotyczą, przez nadanie indywidualnego i poufnego dostępu do bankowości internetowej. Pominięto w ten sposób rozważenie, czy uzyskane przez bank różne dane osobowe skarżącego, udzielone przez niego w związku z odrębnie zawartymi umowami i przypisane, jak sam bank stwierdził, do innych "kont", należały do jednego zarejestrowanego zbioru danych, a jeżeli należały do różnych zbiorów, czy dopuszczalne było przenoszenie danych zawartych w tych zbiorach i czy nie doprowadziło to do utworzenia nowego zbioru danych osobowych, pozwalającego na identyfikowanie skarżącego w oparciu o dane udzielone w różnym celu. W konsekwencji, w ocenie Naczelnego Sądu Administracyjnego, dokonana w postępowaniu ocena zachowania przesłanek z art. 26 ust. 1 ustawy, została przeprowadzona w niepełnym zakresie, z pominięciem okoliczności faktycznych ustalonych w sprawie. Wobec zmiany stanu prawnego, rozpoznanie sprawy przez organ ochrony danych osobowych będzie wymagało uwzględnienia tej okoliczności.

Mając na uwadze podane argumenty, Naczelny Sąd Administracyjny, na podstawie art. 188 w zw. z art. 145 § 1 pkt 1 lit. a) p.p.s.a. orzekł jak w sentencji o uchyleniu wyroku Sądu I instancji, a uznając istotę sprawy za dostatecznie wyjaśnioną, także o uchyleniu zaskarżonej decyzji Generalnego Inspektora Ochrony Danych Osobowych oraz poprzedzającej ją decyzji tego organu z [...] października 2017 r. O zwrocie kosztów postępowania postanowiono na podstawie art. 203 pkt 1 i art. 200 w zw. z art. 205 § 2 p.p.s.a. oraz § 14 ust. 1 pkt 1 lit. c i pkt 2 lit. b rozporządzenia Ministra Sprawiedliwości z 22 października 2015 r. w sprawie opłat za czynności adwokackie (Dz. U. z 2015 r., poz. 1800 ze zm.). Podstawą do rozpoznania skargi kasacyjnej na posiedzeniu niejawnym był przepis art. 182 § 2 i 3 p.p.s.a.