DOLiS/DEC-825/09 - Decyzja GIODO z 18 sierpnia 2009 r. odmawiająca uwzględnienia wniosku dotyczącego przekazania danych osobowych w ramach cesji wierzytelności.

Na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (Dz. U. z 2000 r. Nr 98, poz. 1071 z późn. zm.), art. 12 pkt 2, art. 22, art. 23 ust. 1 pkt 2 i 5 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.), po przeprowadzeniu postępowania administracyjnego w sprawie skargi Pana K, dotyczącej udostępnienia jego danych osobowych przez P, na rzecz F, zarządzanego przez C, oraz wniosku Pana K o nakazanie U, usunięcia jego danych osobowych,

odmawiam uwzględnienia wniosku.

Do Biura Generalnego Inspektora Ochrony Danych Osobowych wpłynęła skarga Pana K, zwanego dalej Skarżącym, dotycząca udostępnienia jego danych osobowych przez P, zwaną dalej Bankiem, na rzecz F, zwanego dalej Funduszem, zarządzanego przez C, oraz wniosku Pana K o nakazanie U, zwanej dalej Spółką, usunięcia jego danych osobowych. W treści ww. skargi Pan K podniósł, iż pismem z dnia 29 sierpnia 2008 r. Bank poinformował go, że na podstawie umowy z dnia 8 sierpnia 2008 r. dokonał przelewu wierzytelności z tytułu umowy nr 206-114/60-19523-02/186/WA1 na rzecz Funduszu. Dalej Skarżący zarzucił, iż cyt.: " (...) pismem z dnia 29 sierpnia 2008 r. Firma U {Spółka}, dysponując wszystkimi danymi dotyczącymi mojej osoby przekazanymi przez P, zawiadomiła mnie o zakupie wierzytelności i jednocześnie wezwała do zapłaty kwoty 4075,87 zł (...)". Skarżący poinformował przy tym, iż nie on był stroną umowy nr 206-114/60- 19523-02/186/WA1, lecz jego zmarły w 2003 r. ojciec, a ponadto nigdy nie wyraził zgody na przetwarzanie jego danych przez ww. podmioty, oraz że nie jest klientem Banku, z którym nie łączy go i nie łączyła żadna umowa.

Zdaniem Skarżącego przekazanie danych przez Bank na rzecz Funduszu i Spółki byłoby możliwe tylko w stosunku do jego ojca, gdyby wyraził na to zgodę przy zawieraniu ww. umowy. Skarżący dodał również, że roszczenia z tytułu ww. umowy uległy już przedawnieniu.

W celu ustalenia okoliczności przedmiotowej sprawy Generalny Inspektor Ochrony Danych Osobowych wszczął postępowanie administracyjne. Na podstawie zebranego w sprawie materiału dowodowego dokonano następujących ustaleń:

Po zapoznaniu się z całością zgromadzonego w sprawie materiału dowodowego, Generalny Inspektor Ochrony Danych Osobowych zważył, co następuje:

Ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm.), zwana dalej ustawą, określa zasady postępowania przy przetwarzaniu danych osobowych oraz prawa osób fizycznych, których dane osobowe są lub mogą być przetwarzane w zbiorach danych (art. 2 ust. 1 ustawy). Przetwarzanie może być uznane za zgodne z prawem jedynie wówczas, gdy administrator danych wykaże się spełnieniem co najmniej jednej z materialnych przesłanek przetwarzania danych osobowych. Przesłanki te - co do zasady równoprawne, zostały enumeratywnie wymienione w art. 23 ust. 1 ustawy. Na mocy tego przepisu przetwarzanie danych jest dopuszczalne nie tylko za zgodą osoby, której dane dotyczą (art. 23 ust. 1 pkt 1 ustawy), ale również wtedy, gdy jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa (art. 23 ust. 1 pkt 2), a także gdy jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą (art. 23 ust. 1 pkt 5 ustawy). Za prawnie usprawiedliwiony cel, o którym mowa w art. 23 ust. 1 pkt 5 ustawy, uważa się w szczególności dochodzenie roszczeń z tytułu prowadzonej działalności gospodarczej (art. 23 ust. 4 pkt 2 ustawy). Zgoda osoby, której dane dotyczą, na przetwarzanie tych danych nie tylko nie jest więc jedyną i wyłączną okolicznością czyniącą proces przetwarzania danych legalnym, lecz ustawa nie daje również żadnych podstaw, aby traktować ją w sposób uprzywilejowany - jako przesłankę główną, podstawową (por. J. Barta, P. Fajgielski, R. Markiewicz "Ochrona danych osobowych. Komentarz" wydanie III Zakamycze 2004 r., str. 472). Jeżeli zatem istnieją przepisy prawa, które odmiennie regulują przetwarzanie - w tym udostępnianie danych osobowych, to stanowią one samodzielną przesłankę przetwarzania danych.

Odnosząc się w pierwszej kolejności do zarzutu dotyczącego nieuprawnionego przetwarzania danych Skarżącego przez Bank, w tym ich udostępnienia na rzecz Funduszu, wskazać należy, iż Bank miał prawo przetwarzać dane Skarżącego w celach windykacyjnych pomimo, że ww. umowa o kredyt nie została zawarta ze Skarżącym, lecz jego zmarłym ojcem. Jak bowiem wynika z przedłożonego przez Bank postanowienia spadkowego, Skarżący nabył po swym zmarłym ojcu - Panu B - spadek w całości, a zatem i również zobowiązanie wynikające z ww. umowy o kredyt, którego nie spłacił jego ojciec. Zgodnie bowiem z art. 1012 ustawy z dnia 23 kwietnia 1964 r. - Kodeks cywilny (Dz. U. Nr 16, poz. 93 z późn. zm.), spadkobierca może bądź przyjąć spadek bez ograniczenia odpowiedzialności za długi (przyjęcie proste), bądź przyjąć spadek z ograniczeniem tej odpowiedzialności (przyjęcie z dobrodziejstwem inwentarza), bądź też spadek odrzucić. Stosownie natomiast do art. 1015 § 1 i 2 Kodeksu cywilnego, oświadczenie o przyjęciu lub o odrzuceniu spadku może być złożone w ciągu sześciu miesięcy od dnia, w którym spadkobierca dowiedział się o tytule swego powołania. Natomiast brak oświadczenia spadkobiercy w powyższym terminie jest jednoznaczny z prostym przyjęciem spadku. Jeżeli zatem z treści ww. postanowienia nie wynika, by Skarżący przyjął spadek po swym ojcu z ograniczeniem odpowiedzialności za długi spadkowe, zasadnie przyjął Bank, iż Skarżący odpowiada za zobowiązanie zmarłego ojca wynikające z umowy o kredyt i może tym samym dochodzić od Skarżącego zapłaty swej należności wynikającej z ww. umowy. Zatem przetwarzanie danych Skarżącego przez Bank w celu windykacji należności było działaniem podyktowanym prawnie usprawiedliwionym celem Banku, znajdującym swe oparcie w art. 23 ust. 1 pkt 5 ustawy.

Jeżeli natomiast chodzi o zarzut nieuprawnionego udostępnienia przez Bank danych Skarżącego na rzecz Funduszu, wskazać należy na brzmienie przepisu art. 92a ust. 1 pkt 1 ustawy z dnia 29 sierpnia 1997 r. - Prawo bankowe (Dz. U. z 2002 r. Nr 72, poz. 665 z późn. zm.), zgodnie z którym Bank może zawrzeć z towarzystwem funduszy inwestycyjnych tworzącym fundusz sekurytyzacyjny albo z funduszem sekurytyzacyjnym umowę przelewu wierzytelności. Wskazania ponadto wymaga, iż stosownie do art. 5 ust. 2 pkt 5 Prawa bankowego, czynnością bankową jest również nabywanie i zbywanie wierzytelności pieniężnych, o ile jest wykonywane przez banki. Stosownie zaś do art. 104 ust. 2 pkt 4 Prawa bankowego, obowiązek zachowania tajemnicy bankowej nie dotyczy sytuacji, w których udzielenie informacji objętych tajemnicą bankową jest niezbędne do zawarcia i wykonywania umów sprzedaży wierzytelności zaklasyfikowanych zgodnie z odrębnymi przepisami do kategorii straconych. Wobec powyższego nie ulega wątpliwości, iż w świetle powołanych przepisów Prawa bankowego, ww. działanie Banku polegające na udostępnieniu danych Skarżącego na podstawie ww. umowy z dnia 8 sierpnia 2008 r. było działaniem legalnym, znajdującym swe uzasadnienie w art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych.

Mając z kolei na względzie zarzut dotyczący nielegalnego przetwarzania danych osobowych Skarżącego przez Spółkę, wskazać trzeba, że zgodnie z art. 193 ustawy z dnia 27 maja 2004 r. o funduszach inwestycyjnych (Dz. U. Nr 146, poz. 1546 z późn. zm.), fundusz sekurytyzacyjny oraz podmiot, z którym towarzystwo zawarto umowę o zarządzanie sekurytyzowanymi wierzytelnościami, mogą zbierać i przetwarzać dane osobowe dłużników sekurytyzowanych wierzytelności jedynie w celach związanych z zarządzaniem wierzytelnościami sekurytyzowanymi. Tymczasem z materiału dowodowego niniejszej sprawy wynika, że Fundusz i Spółka zawarły przewidzianą w treści ww. przepisu umowę o obsługę określonych wierzytelności w dniu 14 września 2007 r. (następnie aneksowaną w dniu 1 lipca 2008 r.), na podstawie której nastąpiło przekazanie danych Skarżącego na rzecz Spółki. Przetwarzanie danych osobowych przez Spółkę w celach windykacyjnych znajduje zatem swe uzasadnienie w treści art. 193 ustawy o funduszach inwestycyjnych w związku z art. 23 ust. 1 pkt 2 ustawy, a ponadto ma swe oparcie w art. 23 ust. 1 pkt 5 ustawy. Zaznaczenia przy tym wymaga, że kwestia oceny przedawnienia roszczeń wynikających z ww. umowy o kredyt leży poza zakresem kompetencji Generalnego Inspektora wyznaczonych przepisami ustawy o ochronie danych osobowych. Generalny Inspektor bada bowiem wyłącznie legalność przetwarzania danych osobowych, zaś wszelkie kwestie związane z dochodzeniem roszczeń, w tym ich przedawnieniem, są rozpatrywane przez sądy powszechne na skutek wniesienia stosownego powództwa.

Na koniec, odnosząc się do zarzutu Skarżącego dotyczącego tego jakoby nie był klientem Banku, z którym nie łączy go i nie łączyła żadna umowa i któremu nie zezwolił na przetwarzanie jego danych osobowych, wskazać należy, iż zarzuty te nie potwierdziły się w toku niniejszego postępowania. Jak bowiem wynika z materiału dowodowego niniejszej sprawy, Skarżącego i Bank począwszy od dnia 14 czerwca 2007 r. łączy umowa rachunku rozliczeniowo-oszczędnościowego. Niemniej jednak powyższe pozostaje bez żadnego związku z przedmiotem niniejszego postępowania i nie ma wpływu na uprawnienie Banku do przekazania danych Skarżącego na rzecz Funduszu w związku ze sprzedażą wierzytelności wynikającej z ww. umowy o kredyt zawartej z Panem B, co wyżej wykazano.

W tym stanie faktycznym i prawnym Generalny Inspektor Ochrony Danych Osobowych rozstrzygnął, jak w sentencji.

Decyzja jest ostateczna. Stronom, na podstawie art. 21 ust. 1 ustawy o ochronie danych osobowych oraz art. 129 § 2 w zw. z art. 127 § 3 Kodeksu postępowania administracyjnego przysługuje, w terminie 14 dni od dnia doręczenia niniejszej decyzji, prawo złożenia do Generalnego Inspektora Ochrony Danych Osobowych wniosku o ponowne rozpatrzenie sprawy (adres: Biuro Generalnego Inspektora Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa).