Dane osobowe: czy bank może dowolnie przetwarzać dane przedsiębiorcy

Do generalnego inspektora ochrony danych osobowych wpłynęła skarga Marka K. Chodziło o wykorzystywanie jego danych przez bank, choć cofnął on swoją zgodę na ich przetwarzanie, a firma Marka K. ogłosiła upadłość.

Prawo do przetwarzania

GIODO, zanim podjął decyzję, to ustalił, że Marek K. prowadził przez wiele lat firmę. W tym okresie zawarł z bankiem kilkanaście umów kredytowych. W 2011 r. została ogłoszona upadłość jego firmy obejmująca likwidację jego majątku. Sąd umorzył również w całości jego zobowiązania, które nie zostały zaspokojone w toku postępowania upadłościowego. Następnie Marek. K. wysłał do banku pismo, że po prawomocnym umorzeniu jego zobowiązań, wszelkie próby dochodzenia roszczeń uważa za nieuzasadnione. Oświadczył również, że wycofuje zgodę na udostępnienie danych po wygaśnięciu wszelkich zobowiązań oraz żąda usunięcia informacji na ten temat z wszystkich rejestrów.

W odpowiedzi bank poinformował Marka K., że nie wykreśli jego zobowiązań z rejestrów. Jedynie dokona ich aktualizacji zgodnie z aktualnym stanem faktycznym. Wierzytelności bowiem zostały umorzone, a nie spłacone. Bank wskazał, że podstawą prawną przetwarzania danych osobowych Marka K. są przepisy prawa bankowego. Działając na tej podstawie banki spełniają przesłanki legalności przetwarzania danych osobowych określone w art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych. Tym samym przesłanką dla przetwarzania danych osobowych klientów banku nie jest zgoda osoby, której dane dotyczą, lecz fakt, że jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa.

Bank poinformował również, że dane osobowe Marka K. przetwarza w zbiorze danych o nazwie baza klientów w następującym zakresie: imiona, nazwisko, nazwisko rodowe, imię ojca, imię matki, nazwisko panieńskie matki, płeć, data urodzenia, miejscowość urodzenia, kraj urodzenia, obywatelstwo, pesel, adres zamieszkania, typ dokumentu, numer dokumentu.

Ponadto bank wysłał Markowi K. pismo, że nie spłacił zobowiązań z pięciu umów kredytowych, dlatego bank nabył prawo (do czego nie musi mieć jego zgody) do przetwarzania informacji stanowiących tajemnicę bankową, dla celów oceny zdolności kredytowej i analizy ryzyka kredytowego po wygaśnięciu zobowiązania. Jako podstawę prawną wskazał art. 105a ust. 3 prawa bankowego.

Ponadto dane osobowe Marka K. zostały zgłoszone do Systemu BANKOWY REJESTR. Gromadzone i przetwarzane są tam wyłącznie informacje wprowadzone przez uczestników Systemu (tj. obecnie tylko banki), którzy mają ważne umowy o zasadach uczestnictwa i współpracy w zakresie wymiany informacji w Systemie BR.

Nazwisko do wykreślenia

GIODO nakazał bankowi zaprzestania przetwarzania danych osobowych Marka w systemie Biura Informacji Kredytowej S.A. oraz w zbiorze o nazwie „Centralna Baza Danych Systemu BANKOWY REJESTR", a w pozostałym zakresie odmówił uwzględnienia wniosku.

Bank jak również Związek Banków Polskich wystąpili o ponowne przez GIODO rozpatrzenie sprawy wnosząc o uchylenie powyższej decyzji w całości. W ocenie związku błędne jest stanowisko, że bank powinien dysponować dowodem na to, że osoba której dane dotyczą została poinformowana o zamiarze przetwarzania ich bez jej zgody. Jeśli na Bank nałożony byłby obowiązek posiadania za każdym razem potwierdzenia odbioru powiadomienia, oznaczałoby to de facto blokadę całego procesu, bowiem dłużnicy mogliby się uchylać od składania stosownych oświadczeń. Odmienne podejście do tego zagadnienia i wymaganie, by wierzyciel musiał udowodnić, że dłużnik odebrał korespondencję, miałoby ten skutek, że niesolidni dłużnicy, starający się uniemożliwić skuteczne dochodzenie roszczenia, nagminnie uchylaliby się od odbierania przesyłek i w rezultacie nie dochodziłoby do przekazania informacji o niesolidnych dłużnikach lub informacje te przekazywane byłyby ze znacznym opóźnieniem lub w ograniczonym zakresie.

Generalny inspektor utrzymał w mocy swoją wcześniejszą decyzję. Według niego z zebranego w sprawie materiału dowodowego wynika, że w zakresie spłaty zadłużenia skarżący dopuścił się zwłoki trwającej dłużej niż 60 dni w przypadku pięciu umów. Jednak sam fakt, że klient nie wykonał zobowiązania lub spóźnił się z jego wykonaniem co najmniej 60 dni, nie upoważnia banku do przetwarzania jego danych na warunkach określonych w art. 105a ust. 3 Prawa bankowego.

Klient musi bowiem zostać poinformowany o możliwości przetwarzania jego danych bez uzyskania od niego zgody. Dopiero bezskuteczny upływ 30 dni od momentu poinformowania stanowi wypełnienie przesłanek zawartych w tym przepisie. Moment, od którego należy liczyć 60-dniowy termin, w którym konsument dopuszcza się zwłoki w wykonaniu zobowiązania, to termin wykonania zobowiązania. Dopiero po upływie 60 dni zaczyna biec 30-dniowy termin, w którym instytucja jeszcze oczekuje na wykonanie zobowiązania klienta.

Wówczas bank odwołał się do Wojewódzkiego Sądu Administracyjnego w Warszawie.

W uzasadnieniu skargi bank podniósł, że GIODO odmówił uznania za dowód w sprawie wzoru dokumentu, który w 2011 r.  kierowany był do klientów Banku w związku z realizacją obowiązku informacyjnego wynikającego z art. 105a ust. 3 ustawy Prawo bankowe oraz ekstraktu z pliku wygenerowanego z aplikacji. Bank zaznaczył, że dokument elektroniczny posiada moc prawną równą dokumentowi sporządzonemu w formie papierowej. Natomiast z zaskarżonej decyzji wynika, że w ocenie GIODO dokumenty elektroniczne przedstawione przez bank nie stanowią dokumentów na gruncie kodeksu postępowania administracyjnego. Stanowisko to stoi w sprzeczności z art. 8 ustawy z 18 września 2011 r. o podpisie elektronicznym.

Nie dochowano trybu

WSA w Warszawie oddalił skargę. Zdaniem sądu jedną z naczelnych zasad ustawy o ochronie danych osobowych jest przestrzeganie zakresu i trybu przetwarzania danych osobowych. Aktem prawnym zawierającym szczegółowe regulacje dotyczące procesu przetwarzania danych osobowych klientów banków jest prawo bankowe, a konkretnie art. 105 ust. 1 i 4.

W tej konkretnie sprawie GIODO stwierdził, że bank nie spełnił, wynikającego z tych przepisów obowiązku informacyjnego, warunkującego przetwarzanie informacji stanowiących tajemnicę bankową dotyczących osoby fizycznej po wygaśnięciu zobowiązania wynikającego z umowy (bez jej zgody).

Stanowisko GIODO jest prawidłowe. Zgromadzony w sprawie materiał dowodowy wskazuje, że w zakresie spłaty zadłużenia Marek. K. dopuścił się zwłoki trwającej dłużej niż 60 dni w przypadku pięciu umów. Ta okoliczność nie upoważnia jednak Banku do przetwarzania jego danych na warunkach określonych w art. 105a ust. 3 Prawa bankowego. Dopiero bezskuteczny upływ 30 dni od momentu poinformowania o takim zamiarze stanowi wypełnienie przesłanek z tego przepisu. Termin 30-dniowy nie biegnie jednak ex lege, a dopiero od momentu, w którym klient zostanie skutecznie poinformowany przez bank o zamiarze przetwarzania jego danych osobowych. Aby zatem przetwarzać dane klienta na warunkach określonych w tym przepisie, bank musiał dysponować dowodem, że strona, której dane dotyczą, została poinformowana o zamiarze przetwarzania ich – bez jej zgody.

Przy czym to na banku, jako administratorze danych osobowych, spoczywa ciężar udowodnienia, że obowiązek informacyjny względem klienta, wynikający z ww. przepisu, został dopełniony. W rozpoznawanej sprawie bank nie wykazał, że dopełnił tego obowiązku.

Bank wniósł skargę kasacyjną do Naczelnego Sądu Administracyjnego, a ten ją oddalił.