Sygnatura: I OSK 39/05
Wyrok Naczelnego Sądu Administracyjnego z dnia 14 września 2005 r.
Tezy:
Przetwarzanie danych osobowych kredytobiorców, będących dłużnikami banku, przez biura informacji kredytowej, jest możliwe wyłącznie nie dłużej niż 5 lat od dnia wygaśnięcia zobowiązania. Ponadto przekazywanie tych danych musi być niezbędne dla udzielania kredytów i pożyczek pieniężnych.
Sentencja Wyroku:
Naczelny Sąd Administracyjny po rozpoznaniu w dniu 14 września 2005 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej Banku Przemysłowo-Handlowego S.A. w K. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 25 sierpnia 2004 r. II SA/Wa 547/04 w sprawie ze skargi Banku Przemysłowo-Handlowy PBK S.A. w K. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia 9 lutego 2004 r. (...) w przedmiocie przetwarzania danych osobowych - oddala skargę kasacyjną.
Uzasadnienie:
Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 25 sierpnia 2004 r. II SA/Wa 547/04 oddalił skargę Banku Przemysłowo-Handlowego PBK S.A. w K. - obecnie Bank BPH S.A. w K. - na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia 9 lutego 2004 r. (...), którą - po uchyleniu swej decyzji odmownej z dnia 18 lipca 2003 r. (...) - organ ochrony danych uwzględnił wniosek Andrzeja U. i nakazał Bankowi usunięcie danych osobowych wnioskodawcy ze zbioru prowadzonego przez Biuro Informacji Kredytowej S.A. w W., przekazanych do zbioru przez Bank w związku z umową kredytową zawartą w 1997 r. i zachowanych w zbiorze bez zgody wnioskodawcy, który w dniu 27 marca 2003 r. spłacił kredyt w całości a rachunek bankowy został zamknięty.
Sąd podzielił stanowisko organu ochrony danych, że art. 105 ust. 4 ustawy z dnia 29 sierpnia 1997 r. - Prawo bankowe /Dz.U. 2002 nr 72 poz. 665 ze zm./ zezwala tylko na utworzenie instytucji takiej, jak Biuro Informacji Kredytowej, lecz nie zezwala już na przetwarzanie danych osobowych przez tę instytucję, zwłaszcza przez okres siedmiu lat od zamknięcia rachunku kredytowego, jak to ustala przyjęty przez Biuro Informacji Kredytowej regulamin, będący aktem wewnętrznym i nie mający waloru przepisów w rozumieniu art. 23 ust. 1 pkt 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych /Dz.U. 2002 nr 101 poz. 926 ze zm./.
Wnosząc skargę kasacyjną Bank BPH S.A. w K. jako podstawę przytoczył naruszenie prawa materialnego przez błędną wykładnię i niewłaściwe zastosowanie art. 105 ust. 4 Prawa bankowego oraz art. 23 ust. 1 i art. 26 ust. 1 pkt 4 ustawy o ochronie danych osobowych.
W uzasadnieniu skargi kasacyjnej zarzucono przede wszystkim, że art. 105 ust. 4 Prawa bankowego stanowi regulację zupełną, która nie tylko zezwala na utworzenie Biura Informacji Kredytowej, lecz jest też podstawą działania Biura polegającego na przetwarzaniu danych osobowych kredytobiorców "w zakresie, w jakim informacje te są potrzebne w związku z udzielaniem kredytów, pożyczek pieniężnych, gwarancji bankowych i poręczeń", zatem dla ustalenia zdolności do spłaty zobowiązań i wiarygodności kredytowej, wiarygodności zaś dowodzi przebieg spłaty poprzednich zobowiązań.
W uzasadnieniu skargi kasacyjnej zarzucono również, że przetwarzanie danych przez Biuro jest dopuszczalne w świetle art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych zezwalającego na przetwarzanie, gdy "jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisów prawa", takim zaś dającym uprawnienie przepisem jest właśnie art. 105 ust. 4 Prawa bankowego.
W uzasadnieniu skargi kasacyjnej zarzucono wreszcie, że Biuro mogło przechowywać dane przez ustalony w regulaminie okres, gdyż - w rozumieniu art. 26 ust. 1 pkt 4 ustawy o ochronie danych osobowych - było to "niezbędne dla osiągnięcia celu przetwarzania", który określa właśnie art. 105 ust. 4 Prawa bankowego odwołujące się wprost do potrzeb bankowych, natomiast potrzeby bankowe nie ustają z chwilą zakończenia umowy kredytowej i z tą chwilą nie kończy się cel przetwarzania.
W uzasadnieniu skargi kasacyjnej przedstawiono ponadto "inne wady zaskarżonej decyzji, które winny być uwzględnione w wyroku WSA", lecz te zarzuty pozostają poza przytoczonymi w skardze podstawami.
W odpowiedzi na skargę kasacyjną Generalny Inspektor Ochrony Danych Osobowych wniósł o jej oddalenie.
Naczelny Sąd Administracyjny zważył, co następuje:
Skarga kasacyjna nie ma usprawiedliwionych podstaw.
Stosownie do art. 105 ust. 4 Prawa bankowego, banki mogą, wspólnie z bankowymi izbami gospodarczymi, utworzyć instytucje do zbierania i udostępniania bankom oraz innym instytucjom ustawowo upoważnionym do udzielania kredytów informacji o wierzytelnościach oraz o obrotach i stanach rachunków bankowych w zakresie, w jakim informacje te są potrzebne w związku z udzielaniem kredytów, pożyczek pieniężnych, gwarancji bankowych i poręczeń.
Nie można zatem podzielić stanowiska, aby zezwalający na utworzenie instytucji zajmujących się szczególnym przetwarzaniem danych osobowych przepis stanowił zarazem podstawę do przetwarzania przez nie danych osobowych bez zgody osób, których dane dotyczą, gdyż nie tylko literalne brzmienie przepisu nie uzasadnia takiego przekazania, lecz i argumenty logiki prawniczej nie prowadzą do takiego wniosku.
Nie można bowiem dowodzić, że w utworzonej zgodnie z prawem instytucji wolno działać w sposób, który sama uzna za odpowiadający jej celom, gdyż zezwolenie na utworzenie nie jest równoznaczne z zezwoleniem na działanie bez ograniczeń.
Nietrafny jest więc zarzut, aby art. 105 ust. 4 Prawa bankowego był - w rozumieniu art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych - przepisem prawa zezwalającym na przetwarzanie danych.
Ponadto oczywiście nietrafny jest zarzut skargi kasacyjnej, który odwołuje się do brzmienia przepisu obowiązującego dopiero od 1 maja 2004 r. i dopuszczającego przetworzenie danych już wówczas, gdy "jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa".
Natomiast, jeżeli obowiązujące w chwili wydania zaskarżonej decyzji przepisy nie zezwalały na przetwarzanie danych bez zgody osób zainteresowanych, bezprzedmiotowe są rozważania, czy okres przekazywania tak zebranych danych odpowiadał warunkom, o jakich mowa w art. 26 ust. 1 pkt 4 ustawy o ochronie danych osobowych.
Należy również podnieść, że z dniem 16 czerwca 2005 r. wszedł w życie art. 105a Prawa bankowego - dodany art. 3 pkt 2 ustawy z dnia 15 kwietnia 2005 r. o zmianie ustawy o ochronie informacji niejawnych oraz niektórych innych ustaw /Dz.U. nr 85 poz. 727/ - o następującym brzmieniu:
1. Przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów oraz instytucje utworzone na podstawie art. 105 ust. 4, informacji stanowiących tajemnicę bankową w zakresie dotyczącym osób fizycznych /konsumentów/ może być wykonane, z zastrzeżeniem art. 104-105 i art. 106-106c, w celu oceny zdolności kredytowej i analizy ryzyka kredytowego.
2. Instytucje, o których mowa w ust. 1 mogą, z zastrzeżeniem ust. 3 przetwarzać informacje stanowiące tajemnicę bankową w zakresie dotyczącym osób fizycznych /konsumentów/ po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, pod warunkiem uzyskania pisemnej zgody osoby, której informacje te dotyczą. Zgoda ta może być w każdym czasie odwołana.
3. Instytucje, o których mowa w ust. 1 mogą przetwarzać informacje stanowiące tajemnicę bankową oraz informacje, o których mowa w art. 105 ust. 4 pkt 2 w zakresie dotyczącym osób fizycznych /konsumentów/ po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, bez zgody osoby, której informacje dotyczą, jeśli spełnione są łącznie następujące warunku:
1. osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów,
2. po zaistnieniu okoliczności, o której mowa w pkt 1, upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank lub inną instytucję ustawowo upoważnioną do udzielania kredytów o zamiarze przetwarzania dotyczących jej informacji stanowiących tajemnicę bankową, bez jej zgody.
3. Przetwarzanie informacji stanowiących tajemnicę bankową w przypadkach, o których mowa w ust. 3 może być wykonywane przez okres nie dłuższy niż 5 lat od dnia wygaśnięcia zobowiązania.
4. Minister właściwy do spraw instytucji finansowych, po zasięgnięciu opinii właściwych nadzorów, określi, w drodze rozporządzenia zakres przetwarzanych informacji, o których mowa w ust. 3, i tryb ich usuwania, uwzględniając właściwą ochronę praw osób, których informacje te dotyczą, oraz konieczność zapewnienia bezpieczeństwa środków zgromadzonych w bankach i innych instytucjach ustawowo upoważnionych do udzielania kredytów."
Regulacja ta - a zwłaszcza jej szczegółowość mająca jeszcze znaleźć rozwinięcie w akcie wykonawczym - dodatkowo potwierdza ocenę prawną sądu, który zasadnie uznał, że wykładnia nie można zastępować drogi ustawodawczej.
Wobec powyższego orzeczono jak w sentencji na mocy art. 184 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi /Dz.U. nr 153 poz. 1270 ze zm./.
1