Wyrok NSA z dnia 27 sierpnia 2019 r., sygn. I OSK 2514/17

Ochrona danych osobowych

Naczelny Sąd Administracyjny w składzie: Przewodniczący: Sędzia NSA Tamara Dziełakowska Sędziowie: Sędzia NSA Jan Paweł Tarno Sędzia del. WSA Dariusz Chaciński (spr.) Protokolant starszy asystent sędziego Paweł Konicki po rozpoznaniu w dniu 27 sierpnia 2019 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej [...] Bank [...] od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 31 maja 2017 r. sygn. akt II SA/Wa 1478/16 w sprawie ze skargi [...] Bank [...] na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] czerwca 2016 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę kasacyjną.

Uzasadnienie

Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z 31 maja 2017 r., II SA/Wa 1478/16, oddalił skargę [...] Bank [...] w [...] na decyzję Generalnego Inspektora Ochrony Danych Osobowych z [...] czerwca 2016 r., nr [...], w przedmiocie przetwarzania danych osobowych.

Skargę kasacyjną od powyższego wyroku wniosła [...] Bank [...] w [...] (dalej: Bank). Zaskarżając wyrok w całości zarzuciła mu naruszenie:

1. prawa materialnego, tj. art. 105a ust. 3 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe, poprzez jego błędną wykładnię polegającą na błędnym przyjęciu, że poinformowanie klienta banku o możliwości przetwarzania jego danych osobowych bez jego zgody tylko wtedy wywołuje skutek w postaci rozpoczęcia biegu trzydziestodniowego terminu, po upływie którego jest możliwe przetwarzanie danych osobowych poprzez przekazanie ich przez bank do jednej z instytucji wymienionych w tym przepisie, jeżeli bank dysponuje dowodem na to, że takie zawiadomienie rzeczywiście do tej osoby dotarło, podczas gdy prawidłowa interpretacja tego przepisu jest taka, że ww. skutek następuje zawsze, gdy bank skieruje do takiej osoby stosowne zawiadomienie, a zatem niezależnie od formy i środka przekazu, a także niezależnie od tego, czy dotarło do adresata albo niezależnie od przyczyn, z których do niego nie dotarło;

2. przepisów postępowania, które miało istotny wpływ na wynik sprawy, tj.:

a) art. 3 § 1 i art. 145 § 1 pkt 1 lit. c) p.p.s.a. w zw. z art. art. 7, 77 § 1, 80 i 107 k.p.a., w ten sposób, że Sąd w wyniku niewłaściwej kontroli legalności działalności administracji publicznej nie zastosował środka określonego w ustawie mimo, że organ administracji publicznej wydający zaskarżoną decyzję zaniechał podjęcia czynności niezbędnych do przeprowadzenia postępowania dowodowego w sposób prawidłowy i wyczerpujący, co miało skutek w postaci wydania decyzji na podstawie niepełnego i wadliwie ocenionego materiału dowodowego i błędnie ustalonego stanu faktycznego, prowadząc w konsekwencji do wadliwego uzasadnienia decyzji;

b) art. 3 § 1 i art. 145 § 1 pkt 1 lit. c) p.p.s.a. w zw. z 77 § 1 k.p.a. w zw. z art. 84 § 1 k.p.a. w ten sposób, że Sąd w wyniku niewłaściwej kontroli legalności działalności administracji publicznej nie zastosował środka określonego w ustawie mimo, że organ administracji publicznej nie powołał biegłego w sytuacji, gdy powziął wątpliwości w zakresie charakteru i prawdziwości danych przetwarzanych w systemach Banku, przez co nie uznał przedstawionych dokumentów elektronicznych za dowód wykonania obowiązku informacyjnego przez Bank względem N. G.;

c) art. 3 § 1 i art. 145 § 1 pkt 1 lit. c) p.p.s.a. w zw. z art. 75 § 2 k.p.a. w zw. z art. 107 k.p.a., w ten sposób że Sąd w wyniku niewłaściwej kontroli legalności działalności administracji publicznej nie zastosował środka określonego w ustawie mimo, że organ administracji publicznej wydający zaskarżoną decyzję niesłusznie odmówił przyjęcia oświadczenia Banku w zakresie okoliczności nie wymagających urzędowego potwierdzenia, podczas gdy w sytuacji niesłusznego uznania przez Głównego Inspektora Ochrony Danych Osobowych, że dokumenty elektroniczne przedstawione przez Bank nie stanowią dowodu na okoliczność poinformowania N. G. o zamiarze przetwarzania jej danych osobowych w BIK, konieczne było poprzestanie na oświadczeniu Banku o dokonaniu wysyłki stosownej informacji do N. G.

Wobec powyższego skarżący kasacyjnie Bank wniósł o uchylenie zaskarżonego wyroku w całości i przekazanie sprawy do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie, ewentualnie o uchylenie zaskarżonego wyroku w całości i rozpoznanie skargi oraz o zasądzenie kosztów postępowania.

W odpowiedzi na skargę kasacyjną Generalny Inspektor Ochrony Danych Osobowych wniósł o jej oddalenie.

Naczelny Sąd Administracyjny zważył, co następuje.

Zgodnie z art. 174 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2018 r., poz. 1302 ze zm.) - p.p.s.a. - skargę kasacyjną można oprzeć na następujących podstawach: 1) naruszeniu prawa materialnego przez błędną jego wykładnię lub niewłaściwe zastosowanie; 2) naruszeniu przepisów postępowania, jeżeli uchybienie to mogło mieć istotny wpływ na wynik sprawy. Naczelny Sąd Administracyjny jest związany podstawami skargi kasacyjnej, albowiem zgodnie z art. 183 § 1 p.p.s.a. rozpoznając sprawę w granicach skargi kasacyjnej, bierze z urzędu pod rozwagę jedynie nieważność postępowania. Przesłanki nieważności określone w art. 183 § 2 p.p.s.a. w tej sprawie nie wystąpiły.

Kontrolując zatem zgodność z prawem zaskarżonego wyroku w granicach skargi kasacyjnej, Naczelny Sąd Administracyjny ograniczył tę kontrolę do wskazanych w niej zarzutów. Rozpatrywana pod tym kątem skarga kasacyjna nie ma usprawiedliwionych podstaw.

Z art. 105a ust. 3 Prawa bankowego, którego naruszenie zarzucono w skardze kasacyjnej, wynika, że "Banki, instytucje oraz podmioty, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową i informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank, inną instytucję ustawowo upoważnioną do udzielania kredytów, instytucję pożyczkową albo podmiot, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, o zamiarze przetwarzania dotyczących jej tych informacji, bez jej zgody."

Dopuszczalność przetwarzania danych osobowych po wygaśnięciu zobowiązania wynikającego z umowy, na podstawie tego przepisu, obwarowana jest spełnieniem kilku przesłanek. W sprawie sporna była jedynie przesłanka poinformowania N. G. przez Bank o zamiarze przetwarzania dotyczących jej danych, bez jej zgody. Z powołanego przepisu wyraźnie wynika, że przetwarzanie danych jest dopuszczalne, gdy "po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank". Zatem to na Banku ciążył obowiązek poinformowania N. G. o zamiarze przetwarzania jej danych. Ustawodawca nie stworzył w tym zakresie żadnych szczególnych wymogów formalnych, co do sposobu i treści takiego poinformowania klienta lub byłego klienta banku. Nie oznacza to jednak całkowitej dowolności w tym zakresie. Jakkolwiek ustawodawca w żaden sposób nie ograniczył sposobów i form takiego powiadomienia, jednakże w każdym wypadku sposób ten powinien umożliwić zweryfikowanie faktu poinformowania klienta banku o zamierzonym przetwarzaniu jego danych osobowych lub też przynajmniej potwierdzenie, że klientowi umożliwiono zapoznanie się z taką informacją. W tym zakresie nie mogą mieć miejsca jakiekolwiek domniemania faktyczne. Żaden z dowodów przedstawionych przez Bank (wzór zawiadomienia kierowanego do klientów w sprawie opóźnień, wydruk strony z systemu bankowego o rejestracji wysłania zawiadomienia) nie potwierdziły by N. G. otrzymała informację o zamiarze przetwarzania jej danych. Informacje o dokonaniu wysyłki takiej wiadomości nie mogą stanowić o uczynieniu zadość obowiązkowi z art. 105a ust. 3 Prawa bankowego. W celu weryfikacji dopuszczalności przetwarzania danych osobowych na podstawie art. 105a ust. 3 Prawa bankowego, GIODO musi dysponować stosownymi dowodami na rzeczywiste wykonanie wymienionego w tym przepisie obowiązku poinformowania i w tym zakresie nie może opierać się wyłącznie na oświadczeniu Banku. Takie stanowisko jest już utrwalone w orzecznictwie (zob. np. wyrok NSA z 27.10.2017 r., I OSK 3362/15, LEX nr 2463181). Zarzut naruszenia przez organ art. 75 § 2 k.p.a. jest więc nieuzasadniony, tym bardziej, że obowiązek poinformowania strony umowy w trybie art. 105a ust. 3 Prawa bankowego to nie to samo, co zaświadczenie o określonych faktach, które może być zastąpione oświadczeniem strony złożonym pod rygorem odpowiedzialności za fałszywe zeznania.

Także ewentualna opinia biegłego na temat wiarygodności działania systemu bankowego (zarzut naruszenia art. 84 § 1 k.p.a.) byłaby bezprzedmiotowa, skoro z systemu wynika jedynie fakt wysłania informacji o zamiarze przetwarzania danych, a nie wykonanie obowiązku powiadomienia. Oczywiście strony mogły się umówić, co do formy powiadomienia, ale w tej sprawie nie przedstawiono dowodów, że strony zgodziły się na taką zwykłą listowną formę przekazania informacji.

Mając to na uwadze, na podstawie art. 184 p.p.s.a., Naczelny Sąd Administracyjny orzekł o oddaleniu skargi kasacyjnej.

Źródło: Centralna Baza Orzeczeń Sądów Administracyjnych, http://orzeczenia.nsa.gov.pl/