Decyzja

Na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2018 r. poz. 2096 ze zm.), art. 6 ust. 1 oraz art. 58 ust. 2 lit. c  Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dziennik Urzędowy Unii Europejskiej, L 119, 4 maja 2016) w zw. z art. 105a ust. 3 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz. U. z 2020 r. poz. 1896), po przeprowadzeniu postępowania administracyjnego w sprawie skargi Pani X. Y.., reprezentowanej przez Panią A.B., na nieprawidłowości w procesie przetwarzania danych osobowych przez S. S.A., polegające na przetwarzaniu danych osobowych Skarżącej w bazie B. S.A., w zakresie umów nr […] z dnia […] listopada 2013 r. oraz nr […] z dnia […] listopada 2014 r.

nakazuje S. S.A., zaprzestania przetwarzania danych osobowych Pani X. Y., dotyczących umów nr […] z dnia […] listopada 2013 r. oraz nr […] z dnia […] listopada 2014 r., w bazie B. S.A., przetwarzanych na podstawie art. 105a ust. 3 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz. U. z 2020 r. poz. 1896) w celu oceny zdolności kredytowej i analizy ryzyka kredytowego.

Uzasadnienie

Do Urzędu Ochrony Danych Osobowych wpłynęła skarga Pani X. Y., zwanej dalej Skarżącą, reprezentowanej przez Panią A. B., na nieprawidłowości w procesie przetwarzania danych osobowych Skarżącej przez S. S.A., zwaną dalej Spółką, polegające na przetwarzaniu danych osobowych Skarżącej w bazie B. S.A., zwanej dalej B., w zakresie umów nr […] z dnia […] listopada 2013 r. oraz nr […] z dnia […] listopada 2014 r.

W toku prowadzonego postępowania administracyjnego, Prezes Urzędu Ochrony Danych Osobowych ustalił następujący stan faktyczny.

1. Skarżąca w treści skargi wskazała, że Spółka nie spełniła wymagań uprawniających ją do rozpoczęcia przetwarzania jej danych osobowych w bazie B. w związku z wierzytelnościami wynikającymi z umów nr […] z dnia […] listopada 2013 r., zwanej dalej Umową 1, oraz nr […] z dnia […] listopada 2014 r., zwanej dalej Umową 2, ponieważ Spółka nie spełniła łącznie wszystkich warunków z art. 105a ust. 3 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz. U. z 2020 r. poz. 1896), zwanej dalej Prawem bankowym, tzn. Spółka nigdy nie powiadomiła Skarżącej o zamiarze przetwarzania jej danych osobowych bez jej zgody w bazie B. W związku z powyższym Skarżąca żąda nakazania Spółce zaprzestania przetwarzania jej danych osobowych w bazie B. (dowód: pismo Skarżącej z dnia […] sierpnia 2019 r.);
2. Skarżąca zawarła ze Spółką Umowę 1 oraz Umowę 2, z tytułu których powstało zadłużenie. Opóźnienie w spłatach wynosiło powyżej 60 dni. Powyższe umowy zostały zamknięte w dniu […] grudnia 2016 r. (dowód: pismo Skarżącej z dnia […] sierpnia 2019 r., pismo Spółki z dnia […] listopada 2019);
3. Skarżąca zwracała się do Spółki z żądaniem zaprzestania przetwarzania jej danych osobowych w bazie B. w dniach: […] kwietnia 2019 r., […] maja 2019 r. oraz […] lipca 2019 r. (dowód: pismo Skarżącej z dnia […] sierpnia 2019 r. wraz z załącznikami);
4. Spółka odpowiedziała Skarżącej na ww. pisma w dniach: […] maja 2019 r., […] lipca 2019 r. oraz […] sierpnia 2019 r., w których to pismach Spółka odmówiła Skarżącej zaprzestania przetwarzania jej danych osobowych w bazie B. (dowód: pismo Skarżącej z dnia […] sierpnia 2019 r. wraz z załącznikami);
5. Spółka wskazała, że dane osobowe Skarżącej zostały zebrane w związku z zawartymi Umową 1 oraz Umową 2 (dowód: pismo Spółki z dnia […] listopada 2019 r.);
6. Spółka przetwarzała dane osobowe Skarżącej w bazie B. na podstawie zgód wyrażonych przez Skarżącą w Umowie 1 oraz w Umowie 2 -  do czasu uwzględnienia przez Spółkę sprzeciwu Skarżącej względem ww. przetwarzania jej danych osobowych, tj. do dnia […] kwietnia 2019 r. (dowód: pismo Spółki z dnia […] listopada 2019 r. wraz z załącznikami);
7. Spółka wskazała, że dane osobowe Skarżącej w zakresie danych zebranych w związku z zawarciem Umowy 1 oraz Umowy 2 przetwarzane są obecnie przez Spółkę w bazie B. w oparciu o art. 105a ust. 3 Prawa bankowego w celu wykonywania czynności związanych z działalnością Spółki przez okres 5 lat od wygaśnięcia zobowiązań, wynikających z Umowy 1 oraz z Umowy 2, tj. do […] grudnia 2021 r. (dowód: pismo Spółki z dnia […] listopada 2019 r.);
8. Spółka wskazała ponadto, że w związku z zaległościami w spłacie zobowiązań wynikających z Umowy 1 oraz Umowy 2, Spółka skierowała do Skarżącej w formie listów poleconych, odpowiednio w dniu […] czerwca 2016 r. oraz w dniu […] czerwca 2019 r., zawiadomienia o zamiarze przetwarzania danych po wygaśnięciu zobowiązania, bez jej zgody. Na dowód powyższego Spółka przedłożyła kopie ww. pism, oddruki list wysyłkowych oraz wydruki książki nadawczej. Przedmiotowe zawiadomienia zostały wysłane na adres wskazany w Umowie 1 oraz w Umowie 2 tj. […]. Spółka wskazała, że nie odnotowała zwrotu ww. pism (dowód: pismo Spółki z dnia […] listopada 2019 r. wraz załącznikami);
9. Spółka zawarła z B. umowę w sprawie gromadzenia, przetwarzania i udostępniania informacji w bazie […] z dnia […] sierpnia 2016 r., aneksowaną przez Spółkę oraz B. w dniu […] maja 2018 r., na podstawie której B. przetwarza dane osobowe klientów Spółki, przekazane przez Spółkę (dowód: pismo Spółki z dnia […] listopada 2019 r. oraz pismo Spółki z dnia […] czerwca 2020 r. wraz z załącznikami);
10. B. aktualnie przetwarza dane osobowe Skarżącej w zakresie danych przekazanych przez Spółkę dot. Umowy 1 oraz Umowy 2. Dane dotyczące ww. umów zostały przekazane do B. przez Spółkę na podstawie art. 105 ust 4 Prawa bankowego i na podstawie łączącej strony umowy. Ww. rachunki mają status rachunków zamkniętych odzyskanych i przetwarzane są w celu oceny zdolności kredytowej i analizy ryzyka kredytowego, na podstawie art. 105a ust. 3 Prawa bankowego w zw. z art. 105 ust. 4 Prawa bankowego (dowód: pismo B. z dnia […] czerwca 2020 r.

Po zapoznaniu się z całością zgromadzonego w sprawie materiału dowodowego, Prezes Urzędu Ochrony Danych Osobowych zważył, co następuje.

W pierwszej kolejności należy wskazać, że przepisem uprawniającym administratorów danych do przetwarzania zwykłych danych osób fizycznych jest art. 6 ust. 1 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE ((Dz. Urz. UE L 119 z 04.05.2016, str. 1 oraz Dz. Urz. UE L 127 z 23.05.2018, str. 2), zwanego dalej RODO, zgodnie z którym, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy spełniona jest jedna z przesłanek wskazanych w tym przepisie. Katalog przesłanek wymienionych w art. 6 ust. 1 RODO, jest zamknięty. Każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny.

Co do zasady podstawą prawną przetwarzania danych osobowych klientów przez Spółkę w B. jest obecnie art. 6 ust. 1 lit. f RODO, tj. przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora. Wskazania ponadto wymaga, że przetwarzanie danych osobowych klientów Spółki przez B. odbywa się zgodnie z art. 28 ust. 3 RODO, tj. na podstawie zawartej ze Spółką, będącą administratorem, umowy powierzenia przetwarzania danych osobowych.

Odnosząc się do przedmiotowego stanu faktycznego, wymaga podkreślenia, że Spółka do czasu wyrażenia przez Skarżącą w dniu […] kwietnia 2019 r. sprzeciwu względem przetwarzania przez Spółkę jej danych osobowych w bazie B., przetwarzała te dane na podstawie wyrażonych przez Skarżącą w Umowie 1 oraz w Umowie 2 zgód na ww. przetwarzanie danych osobowych Skarżącej. Spółka przetwarzała więc – do czasu uwzględnienia ww. sprzeciwu Skarżącej, tj. do dnia […] kwietnia 2019 r. – dane osobowe Skarżącej w oparciu o art. 6 ust. 1 lit. a RODO, zgodnie z którym przetwarzanie jest zgodne z prawem, gdy osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów, w zw. z art. 105 ust. 4 Prawa bankowego. Nie ulega zatem wątpliwości, że do dnia […] kwietnia 2019 r. proces przetwarzania przez Spółkę danych osobowych Skarżącej w bazie B. był realizowany legalnie na podstawie art. 6 ust. 1 lit. a RODO.

W dalszej kolejności wskazać należy że B. jest instytucją utworzoną na podstawie art. 105 ust. 4 Prawa bankowego, który stanowi, że banki mogą, wspólnie z bankowymi izbami gospodarczymi, utworzyć instytucje upoważnione do gromadzenia, przetwarzania i udostępniania bankom informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013, innym instytucjom ustawowo upoważnionym do udzielania kredytów informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są niezbędne w związku z udzielaniem kredytów, pożyczek pieniężnych, gwarancji bankowych i poręczeń (pkt 2), instytucjom kredytowym informacji stanowiących tajemnicę bankową w zakresie niezbędnym do oceny zdolności kredytowej konsumenta, o której mowa w art. 9 ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim (pkt 3), instytucjom pożyczkowym i podmiotom, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim na zasadzie wzajemności, informacji stanowiących odpowiednio tajemnice bankową oraz informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, w zakresie niezbędnym do oceny zdolności kredytowej konsumenta, o której mowa w art. 9 tej ustawy, i analizy ryzyka kredytowego (pkt 4).

Zgodnie z art. 105a ust. 1 Prawa bankowego, przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów, instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, a także instytucje utworzone na podstawie art. 105 ust. 4, informacji stanowiących tajemnicę bankową i informacji udostępnionych przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem art. 104, 105 i art. 106 – 106d Prawa bankowego w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Zgodnie zaś z art. 105a ust. 3 Prawa bankowego banki, instytucje oraz podmioty, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową i informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank, inną instytucję ustawowo upoważnioną do udzielania kredytów, instytucję pożyczkową albo podmiot, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, o zamiarze przetwarzania dotyczących jej tych informacji, bez jej zgody.

Mając powyższe na uwadze wskazać należy, że choć zobowiązania Skarżącej, wynikające z Umowy 1 oraz z Umowy 2, wygasły, to jak wynika ze zgromadzonego materiału dowodowego odnośnie spłaty zadłużenia, Skarżąca dopuściła się zwłoki trwającej dłużej niż 60 dni w przypadku ww. zobowiązania. Istotnym jednakże w niniejszej sprawie jest to, że Spółka nie spełniła wobec Skarżącej obowiązku określonego w art. 105a pkt 3 Prawa bankowego, tj. nie poinformowała jej skutecznie o zamiarze przetwarzania dotyczących jego informacji stanowiących tajemnicę bankową, bez jej zgody po wygaśnięciu zobowiązań wynikających z przedmiotowych umów. Stwierdzić należy, że sam fakt, iż Skarżąca nie wykonała zobowiązań lub spóźniła się z ich wykonaniem co najmniej 60 dni, nie upoważnia Spółki do przetwarzania jej danych na warunkach określonych w art. 105a ust. 3 Prawa bankowego. Moment, od którego należy liczyć sześćdziesięciodniowy termin, w którym konsument dopuszcza się zwłoki w wykonaniu zobowiązania, to termin wykonania zobowiązania. Dopiero po upływie 60 dni zaczyna biec termin 30 dni, w którym instytucja oczekuje jeszcze na wykonanie zobowiązania klienta. Termin 30 dni biegnie od momentu, w którym konsument zostanie skutecznie poinformowany przez instytucję o zamiarze przetwarzania. Ostatecznie to bezskuteczny upływ 30 dni od momentu poinformowania stanowi wypełnienie przesłanek z art. 105a ust. 3 Prawa bankowego. Z powyższego wynika zatem, iż Spółka przetwarzając dane Skarżącej na warunkach określonych w ww. przepisie, musi wykazać, że Skarżąca została poinformowana o zamiarze przetwarzania ich bez jej zgody. W niniejszej sprawie Skarżąca podniosła natomiast, że okoliczności wskazywane w art. 105a pkt 3 Prawa bankowego nie zostały spełnione w związku z czym Spółka nie jest uprawniona do przetwarzania jej danych osobowych w B. Spółka podniosła natomiast, że ww. przesłanki, w tym poinformowanie Skarżącej o okolicznościach wskazanych w art. 105a ust. 3 Prawa bankowego zostały spełnione.. Podkreślenia wymaga, że brak jest innych dowodów wskazujących na prawidłowe i skuteczne poinformowanie Skarżącej o treści 105a ust. 3 Prawa bankowego niż oświadczenie Banku, pozostające w sprzeczności z twierdzeniem Skarżącej.

Spółka nie przedstawiła dowodu na prawidłowe doręczenie Skarżącej dokumentów, w treści, których zawarta była informacja o okolicznościach wskazanych w art. 105a ust. 3 Prawa bankowego, zatem okoliczność skutecznego poinformowania Skarżącej o treści art. 105a ust. 3 Prawa bankowego nie może zostać uznana za udowodnioną. Dodatkowo należy podkreślić, że sporządzenie i wysłanie ww. pism, nie jest równoznaczne z udowodnieniem ich prawidłowego doręczenia, skutkującego poinformowaniem Skarżącej o zamiarze przetwarzania danych stanowiących tajemnicę bankową, bez jej zgody na podstawie art. 105a ust. 3 Prawa bankowego. Samo bowiem oświadczenie o wysłaniu korespondencji i przedstawienie jej kopii, wraz z oddrukiem list wysyłkowych i książki nadawczej, nie stanowi dowodu na jej dostarczenie lub poinformowanie o jej treści adresata.  W tym miejscu należy wskazać, że przepisy powszechnie obowiązujące nie formułują obowiązku wysłania informacji, o której mowa w art. 105a ust. 3 Prawa bankowego w szczególnej formie. To do podmiotu informującego należy zatem wybór formy przekazania odbiorcy komunikatu, o zamiarze przetwarzania danych osobowych bez jego zgody. Jednocześnie to podmiot informujący wywodzi z powyższego skutki prawne, zatem to on musi wykazać, że poinformował Skarżącą o zamiarze przetwarzania danych stanowiących tajemnicę bankową, bez jej zgody na podstawie art. 105a ust. 3 Prawa bankowego.

Powyższe stanowisko organu znajduje oparcie w wyroku Wojewódzkiego Sądu Administracyjnego z dnia 15 marca 2017 r., sygn. akt II SA/Wa 1695/16, zgodnie z którym cyt.:  „(…) samo potwierdzenie komputerowe w prawym górnym rogu pism "PRZESYŁKA NIESTEMPLOWANA, Data nadania 2015 - 08 - 07", nie stanowi potwierdzenia wysłania pism. Także zrzut ekranu komputerowego ww. aplikacji, z uwagi na "zakodowany" system zgromadzonych tam danych, bez głębszej analizy specjalistycznej (z zakresu informatyki), nie przedstawia wiarygodnego dowodu, iż poza wygenerowaniem przedmiotowych pism w istocie doszło do ich wysłania skarżącej. (…) Słuszne jest wprawdzie twierdzenie, że żaden przepis ustawy Prawo bankowe nie wymaga aby obowiązek informacyjny, o którym mowa w art. 105a ust. 3 tej ustawy, był realizowany przy pomocy przesyłek rejestrowanych - listów poleconych. Podkreślić jednak należy, iż w przypadku sporu ciężar dowodu doręczenia pisma spoczywa na stronie spełniającej obowiązek informacyjny. (…) Wprawdzie w toku postępowania administracyjnego organ orzekający ocenił przedstawione przez Bank dokumenty, ale nie wynika z nich realizacja przez Bank (...) w stosunku do skarżącej obowiązku informacyjnego (wysłania, a nie tylko wygenerowania pism)”. Jeśli więc oświadczenie zostało posłane adresatowi listem albo innym sposobem porozumiewania się na odległość, składający powinien wykazać np. za pomocą zwrotnego poświadczenia odbioru, że list został adresatowi doręczony. Powstały dowód nadania listu poleconego nie jest wprawdzie dowodem doręczenia go adresatowi.

Podzielając powyższe rozważania raz jeszcze podkreślić należy, że w niniejszej sprawie nie zostały spełnione przesłanki z art. 105a ust 3 Prawa bankowego, zgodnie z którym Spółka może przetwarzać informacje stanowiące tajemnicę bankową dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy bez ich zgody w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Prezes Urzędu Ochrony Danych Osobowych, w toku prowadzonego postępowania administracyjnego, również nie stwierdził okoliczności uprawniających Spółkę do przetwarzania danych osobowych Skarżącej w oparciu o ww. podstawę prawną w powyższym celu. Dlatego też korzystając z uprawnienia przewidzianego w art. 58 ust. 2 lit. c RODO, Prezes Urzędu Ochrony Danych Osobowych nakazał Spółce zaprzestanie przetwarzania na podstawie art. 105a ust. 3 Prawa bankowego danych osobowych Skarżącej w bazie B. w celu oceny zdolności kredytowej i analizy ryzyka kredytowego.

W tym stanie faktycznym i prawnym, Prezes Urzędu Ochrony Danych Osobowych rozstrzygnął, jak w sentencji.