Naczelny Sąd Administracyjny w składzie: Przewodniczący: sędzia NSA Jolanta Sikorska sędzia NSA Małgorzata Jaśkowska (spr.) sędzia del. WSA Mirosław Wincenciak Protokolant sekretarz sądowy Cezary Ciwiński po rozpoznaniu w dniu 21 lipca 2017 roku na rozprawie w Izbie Ogólnoadministracyjnej skarg kasacyjnych C. P. oraz Banku [...] S.A. z siedzibą we W. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 2 marca 2015 r. sygn. akt II SA/Wa 998/14 w sprawie ze skarg C. P. oraz Banku [...] S.A. z siedzibą we W. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] marca 2014 r. nr [...] w przedmiocie ochrony danych osobowych 1. oddala skargi kasacyjne; 2. zasądza od C. P. na rzecz Generalnego Inspektora Ochrony Danych Osobowych kwotę 360 (trzysta sześćdziesiąt) złotych tytułem zwrotu kosztów postępowania kasacyjnego; 3. zasądza od Banku [...] S.A. z siedzibą we W. na rzecz Generalnego Inspektora Ochrony Danych Osobowych kwotę 360 (trzysta sześćdziesiąt) złotych tytułem zwrotu kosztów postępowania kasacyjnego.
Zaskarżonym wyrokiem z dnia 2 marca 2015 r. (sygn. akt II SA/Wa 998/14) Wojewódzki Sąd Administracyjny w Warszawie oddalił skargi C. P. oraz Banku [...] S.A. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] marca 2014 r. nr [...] w przedmiocie ochrony danych osobowych.
Sąd I instancji orzekał w następującym stanie sprawy.
C. P. wniósł do Generalnego Inspektora Ochrony Danych Osobowych (dalej także jako: GIODO) skargę dotyczącą przetwarzania jego danych osobowych przez Bank [...] S.A. z siedzibą w W. Wskazał, że w październiku 2005 r. złożył w Banku wniosek o kredyt. W dniu 20 października 2005 r. Bank bez jego zgody przekazał do Biura Informacji Kredytowej S.A. w Warszawie oraz do Związku Banków Polskich informacje tj. numer PESEL, numer dowodu osobistego, datę urodzenia, wysokość wnioskowanego kredytu, wysokość raty kredytowej, stanowiące tajemnicę bankową. Tym samym w ocenie skarżącego Bank naruszył art. 23 ust. 1 w zw. art. 24 ust. 1 oraz art. 32 ust. 1 pkt 4 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (obecnie tekst jedn. Dz. U. z 2016 r., poz. 922). C. P. wniósł do GIODO o przeprowadzenie kontroli, a następnie wydanie decyzji w zakresie stwierdzonych uchybień.
Na skutek wspomnianej skargi GIODO wszczął postępowanie wyjaśniające, w trakcie którego ustalił, że C. P., prowadzący działalność gospodarczą pod firmą [...] wystąpił w 2005 r. do Banku z wnioskiem o udzielenie kredytu. W związku z tym Bank skierował zapytanie do bazy prowadzonej przez Biuro Informacji Kredytowej S.A. (dalej również BIK) oraz do bazy Bankowy Rejestr, której administratorem jest Związek Banków Polskich (dalej również ZBP), udostępniając w tym celu jego dane osobowe. Po uzyskaniu informacji z BIK - Bank odmówił skarżącemu udzielenia kredytu. W wyniku powyższego C. P. wystąpił przeciwko Bankowi o zapłatę tytułem odszkodowania za szkodę poniesioną wskutek naruszenia przez Bank tajemnicy bankowej, polegającej na przekazaniu bez jego zgody do BIK jego danych osobowych. Sąd Apelacyjny we Wrocławiu wyrokiem z dnia 12 marca 2010 r. (sygn. akt [...]) oddalił apelację.
W wyjaśnieniach udzielonych GIODO Bank wskazał, że dane skarżącego są przetwarzane w Zbiorze Danych Klientów Banku [...] S.A. na podstawie art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych oraz art. 74 ust. 2 pkt 8 ustawy z dnia 29 września 1994 r. o rachunkowości (obecnie Dz. U. z 2016 r., poz. 1047 ze zm.). Bank [...] S.A. prowadzi rachunek bankowy dla Spółki [...] Sp. z o.o., której Prezesem jest C. P. W związku z wykonywaniem powyższej umowy Bank uprawniony był do przetwarzania danych osobowych osób fizycznych reprezentujących osobę prawną. Ponadto ze względu na toczące się postępowanie sądowe z powództwa skarżącego, jego dane osobowe były przetwarzane również w celu archiwalnym. Podstawę prawną skierowania zapytania do wyżej wymienionych baz stanowił art. 70 ust. 1 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (obecnie tekst jedn. Dz. U. z 2016 r., poz. 1988 ze zm.), zgodnie z którym Bank uzależnia przyznanie kredytu od zdolności kredytowej kredytobiorcy, a także art. 105 ustawy Prawo bankowe, zgodnie z którym Bank ma obowiązek udzielania informacji stanowiących tajemnicę bankową wyłącznie innym bankom i instytucjom kredytowym w zakresie, w jakim informacje te są niezbędne w związku z wykonywaniem czynności bankowych, a na zasadzie wzajemności innym instytucjom ustawowo upoważnionym do udzielania kredytów oraz zgodnie z pkt 4 art. 105 ww. ustawy. Ponadto Bank oświadczył, że w zakresie składanych przez skarżącego wniosków kredytowych z 2005, 2006 oraz 2007 r. nie wypełnił on wobec skarżącego obowiązku informacyjnego z art. 24 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych. W dniu 10 kwietnia 2006 r. skarżący, reprezentujący spółkę [...] Sp. z o.o. podpisał jednakże z Bankiem umowę rachunku bieżącego, której integralną częścią są karty identyfikacyjne. Karta identyfikacyjna Firmy, obowiązująca na dzień 10 kwietnia 2006 r., zawierała w treści obowiązek informacyjny. Odnosząc się do kwestii realizacji obowiązku informacyjnego wynikającego z art. 33 ustawy Bank wskazał z kolei, że wpłynął do niego wniosek skarżącego z dnia 17 stycznia 2007 r., w którym na podstawie art. 32 i 33 ustawy wniósł on o udostępnienie kopii wszystkich danych osobowych gromadzonych w Banku [...] S.A. i przesłanie ich pocztą. Pismem z dnia 17 stycznia 2007 r. Bank udzielił skarżącemu odpowiedzi na ww. wniosek.