Wyrok WSA w Warszawie z dnia 22 lutego 2005 r., sygn. II SA/Wa 2030/04

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Ewa Kwiecińska, Asesor WSA Joanna Kube (spr.), Asesor WSA Jacek Fronczyk, Protokolant Elwira Sipak, po rozpoznaniu na rozprawie w dniu 15 lutego 2005 r. sprawy ze skargi [...] SA na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] sierpnia 2004 r. nr [...] w przedmiocie przetwarzania danych osobowych - oddala skargę -

Uzasadnienie

II SA/Wa 2030/04

UZASADNIENIE

Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia [...] sierpnia 2004 r. nr [...] na podstawie art. 138 § 1 pkt 2 kpa oraz art. 12 pkt 2 i art. 18 ust. 1 pkt 1 w związku z art. 26 ust. 1 pkt 4 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.), po rozpatrzeniu wniosku [...] S.A. o ponowne rozpatrzenie sprawy w części nakazującej zaprzestania przetwarzania danych osób, których rachunki zostały zamknięte, uchylił pkt 1 decyzji z dnia [...] marca 2004 r. nr [...] i nakazał usunięcie uchybień w procesie przetwarzania danych osobowych poprzez zaprzestanie przetwarzania danych osób, których rachunki kredytowe zostały zamknięte w związku z uzyskaną od banku lub innej instytucji ustawowo upoważnionej do udzielania kredytów, informacją o okoliczności powodującej jego zamknięcie, od dnia kiedy decyzja stanie się ostateczna.

GIODO uzasadniając zaskarżoną decyzję wskazał, że:

Przepis art. 105 ust. 4 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz. U. z 2002 r. Nr 72, poz. 665 ze zm.), będący podstawą prawną przetwarzania danych osobowych przez [...] S.A. nie określa okresów przechowywania danych osób, których rachunki zostały zamknięte, ani też nie zawiera upoważnienia do jego określenia w przepisach wewnętrznych. Wobec tego, Regulamin zbierania i udostępniania informacji przez [...] S.A. jako akt wewnętrzny nie jest, stosownie do art. 87 ust. 1 Konstytucji RP, źródłem powszechnie obowiązującego prawa. Uznano więc, że przetwarzanie przez [...] S.A. z siedzibą w W. danych osób, których rachunki zostały zamknięte, przez czas określony w Regulaminie zbierania i udostępniania informacji przez [...] S.A. tj. przez okres 5 lat od dnia zamknięcia rachunku dla rachunków niewykazujących zaległości powyżej 30 dni lub przez okres 7 lat od dnia zamknięcia rachunków wykazujących zaległości powyżej 30 dni oznacza, że dane te są przechowywane w postaci umożliwiającej identyfikację osób, których dotyczą, dłużej niż jest to niezbędne do osiągnięcia celu przetwarzania danych (obniżenia ryzyka kredytowego), a w konsekwencji narusza art. 26 ust. 1 pkt 4 ustawy o ochronie danych osobowych.