SKORZYSTANIE Z UPRAWNIENIA JAKIE PRZEWIDUJE ART. 105A UST. 3 PRAWA BANKOWEGO, WYMAGA SKUTECZNEGO POINFORMOWANIA OSOBY, KTÓREJ DANE DOTYCZĄ
Prezes Urzędu Ochrony Danych Osobowych nakazał zaprzestanie przetwarzania danych osobowych przez bank po stwierdzeniu, że nie spełnił on obowiązku informacyjnego, o którym mowa w art. 105a ust. 3 Prawa bankowego i wskazał, że ciężar udowodnienia spełnienia takiego obowiązku spoczywa na podmiocie udzielającym kredytu. Decyzja Prezesa UODO została zaskarżona do WSA w Warszawie, który uwzględnił zarzuty strony skarżącej i uchylił decyzję organu nadzorczego. W postępowaniu przez NSA, zainicjowanym skargą kasacyjną Prezesa UODO, Sąd II instancji przychylił się jednak do stanowiska organu.
Skarżący zawarł z jednym z popularnych banków umowę kredytową, w ramach której podał takie dane jak: imię, nazwisko, nr PESEL, nr dowodu osobistego, płeć, data urodzenia oraz adres zamieszkania. Dane te, zgodnie z treścią art. 105 ust. 4 oraz art. 105a ust 1 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe, zostały następnie przekazane do Biura Informacji Kredytowej (BIK).
W spłacie zobowiązania skarżący dopuścił się trwającej ponad 60 dni zwłoki, w związku z czym bank wysłał mu listem poleconym pismo „Ostateczne wezwanie do zapłaty”, które zawierało informację o zamiarze skorzystania przez bank z prawa do przetwarzania informacji stanowiących tajemnicę bankową przez okres 5 lat po wygaśnięciu zobowiązania, bez zgody osoby, której te informacje dotyczą (art. 105a ust. 3 Prawa bankowego).
W związku z powyższym klient banku, wniósł skargę do Prezesa Urzędu Ochrony Danych Osobowych, żądając aktualizacji swoich danych osobowych w Biurze Informacji Kredytowej. Skarżący nie zakwestionował wprawdzie, że dopuścił się zwłoki w spełnieniu świadczenia, podniósł jednak, że bank nie spełnił obowiązku poinformowania go o zamiarze przetwarzania dotyczących go informacji, co jest jednym z warunków przetwarzania danych, o którym mowa we wskazanym powyżej art. 105a ust. 3 Prawa bankowego.
Ostatecznie, to bezskuteczny upływ 30 dni od momentu poinformowania stanowi wypełnienie przesłanek z art. 105a ust. 3 Prawa bankowego.
Z powyższych rozważań wynika zatem, iż przepis art. 105a ust. 3 ustawy Prawo bankowe wyraźnie stawia wymóg „poinformowania” osoby, której informacje dotyczą, o zamiarze przetwarzania dotyczących jej informacji stanowiących tajemnicę bankową, bez jej zgody, co z kolei oznacza, że aby przetwarzać jej dane na warunkach określonych w ww. przepisie, bank musi dysponować dowodem, że osoba, której dane dotyczą, została poinformowana o zamiarze ich przetwarzania bez jej zgody.
Bank musi dysponować dowodem, że osoba, której dane dotyczą, została poinformowana o zamiarze ich przetwarzania. Wysłanie listu poleconego bez poświadczenia odbioru oraz wydruk z książki nadawczej nie są wystarczającymi dowodami spełnienia obowiązku informacyjnego
Bank wyjaśnił, że skarżący został poinformowany za pomocą zawiadomienia przesłanego listem poleconym. Prezes UODO wskazał jednak, że wprawdzie przytoczone przepisy Prawa bankowego nie przewidują określonej formy dla spełnienia powyższego obowiązku informacyjnego, jednak jego realizacja za pomocą listu poleconego bez poświadczenia odbioru, pozbawia informującego dowodu skutecznego doręczenia takiej korespondencji. Zdaniem organu nadzorczego za taki dowód nie można również uznać wydruku z książki nadawczej, w której archiwizowane są pliki dotyczące zawiadomień wysyłanych listem poleconym przez bank, gdzie pod określoną pozycją widniały dane adresowe skarżącego.
Ciężar dowodu spoczywa na podmiocie udzielającym kredytu, a nie na kliencie
Biorąc powyższe pod uwagę Prezes UODO stwierdził, że powyższy dowód i wyjaśnienia przekazane organowi przez bank świadczą jedynie o przesłaniu skarżącemu ww. pisma z zawiadomieniem, nie stanowią one natomiast dowodu na okoliczność, iż korespondencja ta została skarżącemu skutecznie doręczona. Organ nadzorczy podkreślił również, powołując się, m. in. na wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 15 marca 2017 r., sygn. akt II SA/Wa 1695/16, że to na banku spoczywa ciężar udowodnienia, że poinformował skarżącego o zamiarze przetwarzania jego danych bez jego zgody i to w jego interesie powinno leżeć, aby poinformowanie, o którym mowa w art. 105a ust. 3 Prawa bankowego odbyło się w sposób, który umożliwi jego łatwe wykazanie w przypadku ewentualnego sporu.
Zdaniem Prezesa Urzędu Ochrony Danych Osobowych niedopuszczalna jest taka wykładnia art. 105a ust. 3 Prawa bankowego, że to na osobie fizycznej (w niniejszej sprawie na skarżącym) spoczywa ciężar udowodnienia, że nie został poinformowany o ww. zamiarze przetwarzania danych osobowych.
Prezes UODO stwierdził niniejszym, że bank nie spełnił warunków dla przetwarzania danych osobowych, o których mowa w art. 105a ust. 3 Prawa bankowego i tym samym dopuścił się naruszenia ochrony danych osobowych. Zgodnie z dyspozycją, obowiązującego jeszcze na gruncie ustawy o ochronie danych osobowych z 29 sierpnia 1997 r., art. 18 ust. 1 pkt 6 w zw. z art. 105a ust. 3 i ust. 5 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe organ nadzorczy nakazał więc zaprzestania przetwarzania danych skarżącego dotyczących umowy kredytowej w systemie Biura Informacji Kredytowej (BIK).
Administrator danych (bank) nie zgodził się jednak z takim rozstrzygnięciem i zaskarżył przedmiotową decyzję do Wojewódzkiego Sądu Administracyjnego w Warszawie. Po rozpatrzeniu skargi, Sąd I instancji uznał, że była ona zasadna i zasługiwała na uwzględnienie. Uzasadniając swoje stanowisko Sąd stwierdził m.in., że Prezes UODO dokonał błędnej wykładni art. 105a ust. 3 ustawy Prawo bankowe poprzez przyjęcie, że wykonanie obowiązku informacyjnego, o którym mowa w tym przepisie, polega na skutecznym doręczeniu klientowi banku informacji o zamiarze przetwarzania jego danych osobowych. Zdaniem Wojewódzkiego Sąd Administracyjnego w Warszawie prawidłowa interpretacja tego przepisu prowadzi do wniosku, że „poinformowanie” oznacza jedynie rzeczywiste umożliwienie klientowi banku zaznajomienie się ze wspomnianą informacją. Zdaniem Sądu I instancji organ nadzorczy dopuścił się również naruszenia przepisów procedury administracyjnej, błędnie przyjmując, że przedłożony przez bank wydruk z księgi nadawczej nie stanowi dowodu poinformowania klienta banku o zamiarze przetwarzania jego danych osobowych bez jego zgody, podczas gdy, w ocenie Sądu jest to dostateczny dowód przekazania wymaganej przez art. 105a ust. 3 informacji. W związku z powyższym Sąd I Instancji uchylił decyzję Prezesa UODO w zakresie, w jakim nakazywała ona zaprzestanie przetwarzania danych osobowych klienta banku w Biurze Informacji Kredytowej (BIK) na podstawie art. 105a ust. 3 i ust. 5 ustawy Prawo bankowe. Prezes UODO wniósł skargę kasacyjną od tego wyroku, podtrzymując swoje dotychczasowe stanowisko.
Naczelny Sąd Administracyjny rozpatrując skargę wskazał m.in., że prawodawca nie zdefiniował użytego w art. 105 ust. 3 Prawa bankowego pojęcia „poinformować” ani nie stworzył w tym zakresie żadnych szczególnych wymogów formalnych co do sposobu i treści takiego poinformowania. Jak dalej podkreślił Naczelny Sąd Administracyjny, prawidłowa wykładnia tego przepisu nie może jednak oznaczać całkowitej dowolności i powołując się na Słownik języka polskiego przytoczył, iż „poinformować” to tyle co „udzielić informacji, wskazówek, objaśnić, powiadomić o czymś, podać do wiadomości”, czyli spowodować, że ktoś zaczyna o czymś wiedzieć. Sąd II instancji wskazał dalej, że w literaturze i orzecznictwie sądów administracyjnych zwraca się uwagę na materialny (ochronny), a nie formalny charakter tego przepisu. Dane osobowe są wartością chronioną ustawowo, a prawo do ich ochrony – jak przyjmuje się w piśmiennictwie, „stanowi swego rodzaju emanację ogólnego prawa gwarantowanego Konstytucją RP (art. 47).
Sąd II instancji wskazał dalej, że o ile nie powinno się abstrahować od istoty (celu) wprowadzenia instytucji przetwarzania danych osobowych dłużnika bez jego zgody tj. ochrony innych podmiotów przed wyłudzaniem kolejnych pożyczek przez nierzetelnych dłużników, czyli osoby, które pomimo zaciągnięcia określonego zobowiązania, nie wywiązują się z niego, to jednak pozycja dłużnika wobec podmiotu udzielającego pożyczki jest słabsza, a skutek w postaci przetwarzania danych osobowych bez jego zgody ma charakter publicznoprawny. Oznacza to, że wszelkie regulacje znoszące tę ochronę muszą być odczytywane i wykładane ściśle, z uwzględnieniem funkcji jakiej mają służyć. Przy takiej wykładni, sformułowanie użyte w przepisie art. 105a ust. 3 Prawa bankowego, odnoszące się do obowiązku informacyjnego musi więc oznaczać, że nie jest to tylko obowiązek formalny. Jakkolwiek ustawodawca w żaden sposób nie ograniczył sposobów i form takiego powiadomienia, to w każdym wypadku sposób ten powinien umożliwić zweryfikowanie faktu poinformowania klienta banku o zamierzonym przetwarzaniu jego danych osobowych. Co również istotne, przyjmując treść przepisu, ustawodawca posłużył się kategoryczną formą poinformować (czasownik przechodni dokonany) , a nie „informować”.
Naczelny Sąd Administracyjny wskazał dalej, że określony w ustawie Prawo bankowe skutek ma nastąpić po upływie „30 dni od poinformowania tej osoby przez bank”, a nie od – przykładowo –wysłania jej informacji. Takie „poinformowanie” może np. nastąpić osobiście w placówce banku lub innego podmiotu wymienionego w art. 105 ust.3, poprzez przesyłkę doręczoną listownie lub przez pracownika banku lub innego uprawnionego podmiotu, a nawet skierowania takiej informacji drogą elektroniczną (o ile strony w zawartej umowie taką korespondencję).
O ile więc sposób i forma poinformowania klienta mogą być różnorodne, to jednak w każdym wypadku sposób ten powinien umożliwić zweryfikowanie faktu poinformowania klienta banku o zamierzonym przetwarzaniu jego danych osobowych. Natomiast wybór formy poinformowania adresata, operatora pocztowego i sposobu przekazania informacji oraz związany z tym faktem obowiązek wykazania tego faktu obciążają bank lub inny zobowiązany podmiot, gdyż to one wywodzą z tego faktu skutki prawne. I jak podkreślił Sąd II instancji, taki sposób rozumienia obowiązku poinformowania zamieszczonego w art. 105a ust. 3 Prawa bankowego wynika nie tylko z gwarancyjnego charakteru tego przepisu dla kredytobiorcy, ale także z dobrze pojętego interesu podmiotów udzielających kredytów, aby w sposób skuteczny mogły zamieszczać w BIK stosowną informację o nierzetelnym kredytobiorcy. Wskazanie daty doręczenia przesyłki zawierającej stosowną informację umożliwia także prawidłowe wskazanie początku biegu trzydziestodniowego terminu.
Przenosząc obowiązek wykazania skutecznego poinformowania klienta na grunt badanej sprawy NSA przychylając się do wniosków Prezesa UODO wskazał, że wydruk z księgi nadawczej banku potwierdzał jedynie, że listem poleconym zostało wysłane pismo „Ostateczne wezwanie do zapłaty”, które zawierało informacje o zamiarze skorzystania z prawa do przetwarzania informacji na podstawie art. 105a ust. 3 analizowanego przepisu. Nie wynika z niego natomiast, że przesyłka ta została skutecznie doręczona, a bank nie przedstawił żadnego innego dowodu jej doręczenia (wskazującego na datę doręczenia np. wydruk ze strony śledzenia przesyłek rejestrowanych).
Biorąc powyższe pod uwagę, Naczelny Sąd Administracyjny w oparciu o art. 151 oraz art. 188 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (p.p.s.a.) uwzględniając skargę kasacyjną wniesioną przez Prezesa UODO, uchylił zaskarżony wyrok i oddalił skargę wniesioną przez administratora danych.
Sygnatura sprawy:
decyzja Prezesa UODO ZSPR.440.700.2018,
wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie II SA/Wa 2037/19,
wyrok Naczelnego Sądu Administracyjnego III OSK 3233/21
