WSA dwa razy potwierdza nakaz usunięcia danych przez Bank i BiK

W ostatnim czasie pojawiły się dwa bardzo ciekawe uzasadnienia orzeczeń WSA w Warszawie.

Obydwa wyroki dotyczą zagadnienia już wielokrotnie wcześnej podnoszonego, a skupiającego się na możliwości przetwarzania danych osobowych osób, które zgłosiły się do Banku z chęcią zawarcia umowy kredytu, ale z jakiś powodów nie dochodzi do zawarcia takiej umowy.

W obydwu sprawach Prezes UODO:

nakazał […] Bank Polska S.A. usunięcie danych osobowych K. W., w zakresie zapytania kredytowego z […] maja 2018 r.,

nakazał Biuru Informacji Kredytowej S.A. usunięcie danych osobowych K. W. w zakresie zapytania kredytowego z […] maja 2018 r., przekazanego przez […] Bank Polska S.A.

I w obydwu sprawach WSA w Warszawie wskazał wiele bardzo istotnych argumentów za oddaleniem skargi na powyższe decyzje.

Sąd wskazał, że:

nie ma w świetle powyższego wątpliwości i nie było kwestionowane przez Prezesa UODO, że Bank oraz BIK, na podstawie art. 105a ust. 1 Prawa bankowego w zw. z art. 70 ust. 1 tej ustawy, były uprawnione do przetwarzania danych osobowych G. K. w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Pogląd ten podziela Sąd rozpoznający niniejszą sprawę

Podkreślenia jednak wymaga, że w sprawie tej nie doszło do zawarcia umowy kredytowej pomiędzy wymienioną a Bankiem. Wymieniona po 2 tygodniach od złożenia wniosku o kredyt wniosła o zaprzestanie przetwarzania jej danych i ich usunięcie.

Zgodzić należało się w związku z powyższym z Prezesem UODO, że odpadła przesłanka legalizująca dalsze przetwarzanie danych osobowych G. K. przez Bank oraz BIK, które to przetwarzanie miało na celu – co wymaga podkreślenia – ocenę zdolności kredytowej i analizę ryzyka kredytowego (przed zawarciem umowy). Pomiędzy Bankiem a wymienioną osobą fizyczną nie zawiązał się żaden stosunek zobowiązaniowy, który stosownie do art. 105a ust. 1 -6 Prawa bankowego dawałby podstawę do dalszego przetwarzania jej danych osobowych zarówno przez Bank jak i BIK. Ustał cel przetwarzania, dla którego pozyskano dane osobowe G. K. i nie ma spełnionej przesłanki ich dalszego przetwarzania, co trafnie stwierdził organ powołany do spraw ochrony danych osobowych.

Z przedstawionych wyżej przepisów wynika, że przesłanki zawarte w art. 105a Prawa bankowego dotyczą przetwarzania informacji objętych tajemnicą bankową w okresie przed powstaniem zobowiązania, w trakcie jego trwania oraz po wygaśnięciu zobowiązania. Natomiast w sytuacji, gdy w następstwie złożenia wniosku kredytowego nie dochodzi do zawarcia umowy kredytowej z Bankiem, jak miało to miejsce w niniejszej sprawie, brak jest ustawowych przesłanek legalizujących dalsze przetwarzanie danych osobowych G. K. w zakresie zapytania kredytowego przez Bank i BIK.

Nie zachodzi przy tym żadna inna przesłanka dopuszczalności przetwarzania przez Bank i BIK danych wymienionej osoby zawartych w zapytaniu kredytowym.

Sąd podniósł również, że:

nie można się przy tym zgodzić z BIK, że organ naruszył m.in. również art. 6 ust. 1 lit.e RODO, albowiem wbrew twierdzeniom skargi w sprawie tej nie mamy do czynienia z przetwarzaniem przez BIK i Bank jako spółki prawa handlowego danych osobowych (osoby z którą Bank nie zawarł umowy) w ramach zadania realizowanego w interesie publicznym, o czym jest mowa w art. 6 ust. 1 lit.e RODO. Przetwarzanie danych osobowych przez Bank i BIK, jako spółki prawa handlowego nie ma miejsca na podstawie art. 6 ust. 1 lit e RODO, niezależnie od wyznaczanych sobie przez te podmioty celów. Także określenie jako przedmiotu działalności “przetwarzanie danych” wymaga dla tego przetwarzania legalnej podstawy. Powołanie się na konieczność zabezpieczenia ekonomiczno-gospodarczego sektora bankowego, zapewnienie stabilności gospodarczej sektora bankowego jako uzasadnienie interesu publicznego, o którym mowa w art. 6 ust. 1 lit.e, w odniesieniu do przetwarzania danych zawartych w zapytaniu kredytowym osoby, z którą bank nie zawarł umowy nie jest trafne. Ustaleń Sądu w tym zakresie nie zmienia analiza treści znajdującej się w aktach administracyjnych umowy zawartej między wskazanymi spółkami prawa handlowego, jak i Regulaminu.

nietrafny, w świetle poczynionych wyżej ustaleń i rozważań, jest zarzut Banku naruszenia art. 6 ust. 1 lit. c RODO w zw. z art. 105a ust. 1-1c Prawa bankowego, jak również zarzut BIK dotyczący naruszenia art. 6 ust. 1 lit. c (ewentualnie art. 6 ust. 1 lit.f) RODO w zw. z art. 105 ust. 1 pkt. 1c w zw. z art. 105 ust. 4 i w zw. z art. 105a w zw. z art. 70 i art. 5 ust. 1 pkt. 3 Prawa bankowego. Podkreślenia wymaga przy tym, że Prezes UODO nie kwestionował, że udzielanie kredytów jest czynnością bankową. Warto zwrócić przy tym uwagę, że art. 105 ust. 4 Prawa bankowego nie nakłada na Bank obowiązku korzystania z zewnętrznej bazy zawierającej informacje o wnioskach z sektora bankowego oraz sektora pożyczkowego. Przyznaje jedynie bankom uprawnienie do tworzenia instytucji upoważnionych do gromadzenia, przetwarzania i udostępniania bankom informacji stanowiących tajemnicę bankową we wskazanym zakresie.

Nadto w zakresie wykładni art. 105 ust. 4 prawa bankowego mamy takie argumenty Sądu:

podkreślenia wymaga, że przepis art. 105 ust. 4 Prawa bankowego jest przepisem o charakterze ogólnym, który stanowi o możliwości utworzenia wspólnie z bankowymi izbami gospodarczymi, instytucji upoważnionych do gromadzenia, przetwarzania i udostępniania danych.

przepis ten nie daje podstaw do nieograniczonego przetwarzania wszelkich danych osobowych przez utworzone instytucje. Zasady przetwarzania danych objętych tajemnicą bankową określa art. 105a Prawa bankowego, którego możliwość uznania za podstawę przetwarzania danych osobowych w niniejszej sprawie została omówiona już wcześniej. Na gruncie tego przepisu należy oceniać zatem dopuszczalność przetwarzania poszczególnych danych osobowych w określonych ściśle celach. Podstawy prawnej przetwarzania danych osobowych G. K. w niniejszej sprawie przez BIK, po tym, jak wniosła ona o usunięcie danych osobowych, nie zawarła z Bankiem umowy kredytowej, nie mógł stanowić zatem art. 105 ust. 4 Prawa bankowego samodzielnie, ani też w powiązaniu z wszystkimi innymi powołanymi przez BIK we wskazanym wyżej zakresie w skardze przepisami Prawa bankowego.

W drugiej sprawie WSA wskazał, że:

strona skarżąca wskazuje, że przetwarzanie danych osobowych Uczestniczki postępowania umożliwia udokumentowanie tego, że są one przetwarzane z poszanowaniem podstawowych zasad jakości danych osobowych, o których mowa w art. 5 RODO.

innymi słowy BIK próbuje wykazać, że przetwarza dane osobowe po to, aby móc wykazać, że są one przetwarzane zgodnie z prawem.

w ocenie Sądu nie jest w takiej sytuacji spełniona przesłanka określona w art. 6 ust. 1 lit f RODO. Przetwarzanie danych w celu udokumentowania prawidłowości ich przetwarzania nie stanowi celu, który wynika z prawnie uzasadnionego interesu.