należy zwrócić uwagę, że postępowanie w niniejszej sprawie zostało zainicjowane skargą wniesioną przez M. i L.K. do GIODO, w której zarzucili Bankowi […] S.A. nieuprawnione udostępnienie ich danych osobowych TU […] S.A.

zasadniczą kwestią, która wymagała rozstrzygnięcia w niniejszej sprawie w związku ze sprawą zawisłą przed GIODO było to, czy informacje dotyczące kredytu M. i L.K., które zostały przekazane przez Bank […] S.A. do TU […] S.A. w związku z zawartą Umową ubezpieczenia niskiego wkładu portfela kredytów hipotecznych z dnia […] lipca 2010 r. mieszczą się w pojęciu danych osobowych w rozumieniu art. 6 u.o.d.o. z 1997 r., a następnie art. 4 pkt 1 RODO.

nie ulega wątpliwości, że dla Banku […] S.A. numer umowy kredytowej M. i L.K. jest ich daną osobową, ponieważ Bank jest stroną tej umowy i w oparciu o numer umowy kredytowej jest w stanie ustalić tożsamość kredytobiorców.

TU […] S.A. po samym numerze umowy kredytowej nie było zaś w stanie określić tożsamości kredytobiorców. Nie mogłoby tego też zrobić w oparciu o roszczenie regresowe, gdyż mu ono nie przysługiwało.

należy jednak mieć na uwadze, że informacja, która składa się z wiadomości dotyczących czynności bankowych i wiadomości dotyczących osoby będącej stroną umowy z bankiem, zgodnie z art. 104 ust. 1 pkt 1 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe, stanowi informację bankową i objęta jest tajemnicą bankową. Pojęcie danych osobowych klienta banku mieści się więc w pojęciu informacji i tajemnicy bankowej.

uzyskanie przez TU […] S.A. danych osobowych M. i L.K., w ramach niniejszego postępowania zainicjowanego ich skargą przed GIODO nie może natomiast uzasadniać wydania decyzji nakazującej usunięcie danych osobowych.

TU […] S.A. przetwarza bowiem obecnie dane osobowe M. i L.K., które zostały przekazane przez samych skarżących oraz przez organ ochrony danych osobowych, w związku z wszczętym postępowaniem administracyjnym. Wystąpiła więc przesłanka legalizująca przetwarzanie danych osobowych z art. 23 ust. 1 pkt 5 u.o.d.o. z 1997 r. (do 25 maja 2018 r.), a obecnie przesłanka legalizująca z art. 6 ust. 1 lit. f RODO w celu realizacji prawnie uzasadnionych interesów TU […] S.A. w postępowaniu administracyjnym i sądowoadministracyjnym. Tym samym nie ma podstaw do twierdzenia, by TU […] S.A. przetwarzało obecnie dane osobowe L. i M.K. bez podstawy prawnej.

Prezes UODO rozpoznając na nową sprawę podejmuje w lipcu 2022 r. zgoła odmienną decyzję niż dwa lata temu.

Odmawia uwzględnienia wniosku złożonego w 2017 r., gdyż uznał, że numer umowy kredytowej jednak nie stanowi danych osobowych.

Prezes UODO wskazuje takie argumenty:

w świetle powyższej definicji – tej na gruncie przepisów RODO jak i na gruncie uchylonej ustawy z 1997 r. – należy przyjąć, że danymi osobowymi nie będą więc pojedyncze informacje o dużym stopniu ogólności, np. nazwa ulicy, czy też numer domu. Informacja ta będzie jednak stanowić daną osobową tylko wówczas, gdy zostanie zestawiona z innymi dodatkowymi informacjami, które w konsekwencji będzie można odnieść do konkretnej osoby.

w ocenie Prezesa UODO sam numer umowy kredytowej w niniejszej sprawie nie jest daną osobową dla TU E., ponieważ nie dotyczy osoby fizycznej zidentyfikowanej lub możliwej do zidentyfikowania przez tenże podmiot. TU E. nie dysponuje żadnymi środkami umożliwiającymi zidentyfikowanie Skarżących w oparciu o numer umowy kredytowej. Obowiązujące przepisy prawa nie umożliwiają Towarzystwu identyfikację Skarżących, np. art. 828 k.c. – z uwagi na zrzeczenie się roszczeń regresowych, czy też art. 104 ust. 3 prawa bankowego – z uwagi na brak dysponowania przez Bank upoważnieniem Skarżących do przekazania informacji objętych tajemnicą bankową osobie trzeciej (w tym przypadku TU E.).

należy w związku z tym przyjąć, że Bank nie udostępnił Towarzystwu danych osobowych Skarżących w rozumieniu art. 6 u.o.d.o. z 1997 r. jak również w rozumieniu art. 4 RODO i tym samym nie doszło do naruszenia przepisów o ochronie danych osobowych. Z materiału dowodowego zgromadzonego w niniejszej sprawie wynika, że zapisy Umowy ubezpieczenia niskiego wkładu portfela kredytów hipotecznych z dnia 19 lipca 2010 r. zawartej pomiędzy Towarzystwem, a Bankiem wykluczały możliwość przekazania przez Bank informacji umożliwiających identyfikację danych osobowych kredytobiorców z uwagi na brak ich zgody na ujawnienie tychże informacji.

Towarzystwo nie było więc w stanie po samym numerze umowy kredytowej ustalić tożsamości Skarżących i nie mogło tego również zrobić m.in. w oparciu o roszczenie regresowe skoro z prawa do takiego roszczenia regresowego zrezygnowało. W niniejszej sprawie nie można więc mówić o przetwarzaniu przez Towarzystwo danych osobowych Skarżących z uwagi na brak możliwości ustalenia przez Towarzystwo ich tożsamości.

uzyskanie przez Towarzystwo danych osobowych Skarżących w ramach postępowania zainicjowanego ich skargą również nie może uzasadniać wydania decyzji nakazującej, ponieważ Towarzystwo przetwarza obecnie dane osobowe Skarżących, które zostały przekazane przez nich samych oraz przez organ ochrony danych, wyłącznie do celów związanych ze wszczętym postępowaniem administracyjnym i sądowoadministracyjnym, nie zaś w celu identyfikacji Skarżących bądź zrealizowania umowy ubezpieczenia.

wystąpiła więc przesłanka legalizująca przetwarzanie danych osobowych z art. 23 ust. 1 pkt 5 u.o.d.o. z 1997 r., a obecnie przesłanka legalizująca z art. 6 ust. 1 lit. f) RODO, w związku z czym brak jest podstaw do twierdzenia, aby Towarzystwo przetwarzało obecnie dane osobowe Skarżących bez podstawy prawnej.
W związku z powyższym, wobec braku stwierdzenia naruszenia przepisów o ochronie danych osobowych, Prezes UODO nie ma podstaw do wydania decyzji nakazującej przywrócenie stanu zgodnego z prawem w świetle art. 18 ust. 1 u.o.d.o. z 1997 r.