Administrator przesyła na żądanie kopię danych na wskazany adres e-mail. Wyrok NSA

Tak wynika z kolejnego wyroku Naczelnego Sądu Administracyjnego. (NSA) w sporze o naruszenie przepisów RODO.

Skargę złożył klient banku. Miał on umowę na prowadzenie rachunku bankowego, do którego została wydana karta kredytowa oraz udzielono kredytu odnawialnego. Problem zaczął się, gdy klient zorientował się, że instytucja pomimo zakończenia umowy w 2014 r. nadal przetwarza jego dane osobowe. W skardze do prezesa Urzędu Ochrony Danych Osobowych (UODO) tłumaczył, że bank nadal dzwoni do niego, wysyła mu listy, a także wiadomości e-mail oraz SMS.

Dodatkowo bank uzależnił uzyskanie kopii danych od zaktualizowania adresu korespondencyjnego. W opinii skarżącego instytucja zbiera też nadmiarowe dane, bo chce od niego podania kraju urodzenia oraz aktualnego adresu korespondencyjnego. Dlatego zażądał nakazania bankowi udostępnienia kopii przetwarzanych danych oraz zakazania mu żądania danych nadmiarowych.

Czy można żądać przesłania kopii danych przetwarzanych przez bank?

Prezes UODO nakazał dostarczenie przez bank kopii danych osobowych skarżącego podlegających przetwarzaniu, drogą elektroniczną na e-mail wskazany w jego wniosku. W jego ocenie odmowa dostarczenia kopii danych osobowych podlegających przetwarzaniu, podobnie jak i uzależnianie jej dostarczenia od aktualizacji adresu korespondencyjnego była nieuprawniona. UODO wyjaśnił, że art. 15 ust. 3 RODO dopuszcza udzielenie tej informacji w formie elektronicznej, jeśli osoba, której dane dotyczą, zwraca się o kopię tą drogą.

Co do danych nadmiarowych prezes UODO racji skarżącemu odmówił. Jego zdaniem z materiału dowodowego sprawy nie wynika, aby bank pozyskał kwestionowane dane o kraju urodzenia i aktualnym adresie korespondencyjnym. Zauważył też, że aktualne przetwarzanie danych osobowych klienta odbywa się w celu realizacji wiążącej strony umowy o konto oszczędnościowe. Ma więc co do zasady oparcie. w przepisach jako działanie niezbędne do jej wykonania oraz do celów wynikających z prawnie uzasadnionych interesów realizowanych przez bank.

Czytaj więcej

Dane osobowe

TSUE: co powinniśmy dostać, żądając kopii naszych danych osobowych

Prawo do uzyskania kopii danych osobowych oznacza przekazanie osobie, której dane dotyczą, wierne...

Bank zaskarżył nakaz, a Wojewódzki Sąd Administracyjny (WSA) w Warszawie uwzględnił jego skargę. Uznał, że UODO nie uczynił zadość obowiązkom, wynikającym z przepisów procesowych. Pominął bowiem okoliczność, że bank związany jest przepisami prawa bankowego, w tym ma szczególny obowiązek zachowania tajemnicy bankowej. WSA zauważył, że dane zawarte w spornym wniosku klienta nie zgadzały się z tymi zawartymi w systemie banku. Mimo próśb i informacji, wnioskodawca nie zaktualizował swoich danych tj. nie zmienił czy nie zaktualizował adresu mailowego. Dlatego bank nie wysłał mu żądanych informacji na niezweryfikowany adres mailowy.

Zdaniem WSA instytucja zadziałała prawidłowo, uwzględniając wewnętrzne procedury. Sąd uznał, że tak długo, jak klient banku nie zmieni danych kontaktowych w systemie banku na swoim koncie, tak długo bank nie może udostępnić kopii danych, chronionych przepisami o ochronie danych osobowych oraz dotyczącymi tajemnicy bankowej, na nieuwierzytelniony adres e-mail.

Czy bank może odmówić przesłania kopii przetwarzanych danych osobowych e-mailem.?

Do odmiennych wniosków doszedł dopiero NSA. Uchylił zaskarżony wyrok WSA i przekazał mu sprawę do ponownego rozpoznania. NSA zauważył, że wniosek klienta banku składał się z dwóch części. Po pierwsze domagał się udzielenia informacji o tym, jakie. dane są przetwarzane, jak długo i komu zostały przekazane. Po drugie chodziło o przesłanie ich kopii. Bank na pierwszą część wniosku odpowiedział. A skoro tak, to nie miał wątpliwości co do tożsamości wnioskodawcy. Przesłał bowiem informacje na adres e-mail, który posiadał w bazie, odpowiadając na wniosek złożony z adresu, którego nie miał. 

Czytaj więcej:

Biznes

Prawo dostępu do danych – czyli bieg z przeszkodami administratora

Aby uniknąć kontuzji, warto zadbać o...

Pro

To zdaniem NSA prowadzi do wniosku, że bank nie miał wątpliwości co do tożsamości wnioskodawcy. Sądu nie przekonała też argumentacja co do powodu odmowy przesłania kopii. Bank bowiem jednoznacznie stwierdził, że z uwagi na bezpieczeństwo może przesłać kopie wyłącznie na adres korespondencyjny i to po jego aktualizacji. Tymczasem, jak przypomniał sędzia sprawozdawca Maciej Kobak, stoi to. w sprzeczności z treścią art. 15 ust. 3 RODO. który jasno wskazuje, że żądanie przesłania kopii danych osobowych przetwarzanych przez administratora powinno odbyć się w zwykłej formie elektronicznej na adres e-mail wskazany przez wnioskodawcę. I jeżeli bank działa w sposób zawężający to uprawnienie, to musi jednoznacznie wskazać podstawę prawną. Sąd pierwszej instancji tego w ogóle nie rozważył, więc w opinii NSA istota sprawy nie została należycie rozpoznana. Wyrok jest prawomocny.