Decyzja Generalnego Inspektora Ochrony Danych Osobowych z dnia 15 lipca 2005 r. dotyczca przetwarzania Danych Osobowych Skarcej przez Bank oraz przekazanie danych osobowych Skarcej celem dochodzenia wierzytelnoci. Warszawa, dnia 15 lipca 2005 r. GI-DEC-DS - 197/05 D E C Y Z J A Na podstawie art. 104 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postpowania administracyjnego (Dz. U. z 2000 r. Nr 98, poz. 1071 z pón. zm.), art. 12 pkt 2, art. 22 oraz art. 23 ust. 1 pkt 2 i 5, w zw. z art. 23 ust. 4 pkt 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 z pón. zm.) oraz art. 41 pkt 1 ustawy z dnia 3 lutego 1993 r. o restrukturyzacji finansowej przedsibiorstw i banków oraz o zmianie niektórych ustaw (Dz. U. Nr 18 poz. 82 ze zm.) i art. 55¹ ustawy z dnia 23 kwietnia 1964 r. Kodeks cywilny (Dz. U. Nr 16 poz. 93 ze zm.), po przeprowadzeniu postpowania administracyjnego w sprawie przetwarzania danych osobowych Pani A przez Syndyka Masy Pani B, spółk Z oraz Biuro W, odmawiam uwzgldnienia wniosku Uzasadnienie Do Biura Generalnego Inspektora Ochrony Danych Osobowych wpłynła skarga Pani A, zwanej dalej równie Skarc, dotyczca przetwarzania jej danych osobowych przez syndyka masy upadłoci Pani B, Spółk Z oraz Biuro W. W pimie skierowanym do Biura Generalnego Inspektora Ochrony Danych Osobowych Skarca zwróciła si o zbadanie legalnoci przetwarzania jej danych osobowych przez ww. podmioty. danie to ponowiła nastpnie w skardze, w której wskazała, i Moje dane osobowe znajdowały si w zbiorze danych Banku. W 1993 r. podpisałam umow kredytow. Ze wzgldu na mier mojego ma w 1997 r. zaniechałam spłaty kredytu, poniewa utraciłam płynno finansow (...)W 1998 roku Bank upadł a zarzd przejł Syndyk p. B (...) W 2001 roku otrzymałam pierwsze pismo od p. Syndyk z informacj, e windykacja
niespłaconych kredytów została zlecona Firmie Y (prawdopodobnie p. Syndyk ma jaki udziały bo adres do korespondencji z Syndykiem jest taki sam) Na zbycie moich danych oraz długu zgody nie wyraałam. Syndyk o tak zgod nie wystpił poniewa moe działa poza granicami prawa. W dalszej czci ww. pisma Skarca wskazała, i Syndyk wystpił do Sdu Rejonowego o nadanie klauzuli wykonalnoci bankowemu tytułowi egzekucyjnemu, a take Komornik przeprowadził egzekucj sdow. Skarca poinformowała równie organ ochrony danych osobowych, i Syndyk zbył moje zadłuenie nastpnej firmie windykacyjnej pod nazw Spółce Z. Spółka Z przetwarzajc moje dane osobowe zbyła wierzytelno nastpnej firmie windykacyjnej, tym razem pod nazw Biuro W (...). W toku postpowania administracyjnego Generalny Inspektor Ochrony Danych Osobowych zwrócił si do ww. podmiotów o złoenie wyjanie w tej sprawie. Na ich podstawie ustalono nastpujce okolicznoci faktyczne: 1. Syndyk masy upadłoci Banku (zwany dalej syndykiem) pełni obowizki syndyka ww. banku na podstawie postanowienia Sdu Okrgowego ( sygn. akt VIII GU 1/98). W skład majtku upadłego banku wchodziły m.in. nalenoci z tytułu umów kredytowych zawartych przez bank. Jednym z kredytobiorców banku była Pani A, która w dniu 28 grudnia 1992 r. zawarła umow kredytow. Jej zobowizanie zostało stwierdzone bankowym tytułem egzekucyjnym, któremu klauzul wykonalnoci nadał Sd. Egzekucja prowadzona przez komornika na wniosek syndyka była bezskuteczna, wobec czego syndyk sprzedał firmie O. nalenoci z tytułu umów kredytowych w trybie ustawy o restrukturyzacji finansowej przedsibiorstw i banków. W ramach ww. sprzeday syndyk przekazał cało dokumentacji kredytowej. 2. Spółka Z na podstawie umowy sprzeday przedsibiorstwa w rozumieniu art. 55¹ Kodeksu cywilnego z wolnej rki w postpowaniu upadłociowym z dnia 17 czerwca 2004 r. zakupiła firm O wraz z wchodzcymi w jej skład wierzytelnociami, w tym wierzytelnoci nalen od Skarcej (kopia umowy sprzeday w aktach sprawy). Spółka Z przedstawiła równie kopi listy dłuników, jak otrzymała wraz z dokumentacj od syndyka firmy O, na której widnieje nazwisko Skarcej wraz z danymi dotyczcymi zacignitych przez ni trzech kredytów umowa z 14 listopada 1992 r. nr 342/1992; umowa z 28 grudnia 1993 r. nr 375/93; umowa z 13 lipca 1994 r. nr 12/94 (kopia ww. wykazu w aktach sprawy). 3. Biuro W, zgodnie z umow przelewu wierzytelnoci z dnia 6 padziernika 2004 r. zawartej z Spółk Z, nabyło pakiet wierzytelnoci przysługujcych Spółce Z, w tym wierzytelno Skarcej. Spółka ta zaznaczyła, i niezwłocznie po podpisaniu ww. umowy cesji Skarca została o tym fakcie poinformowana i przedstawiona jej została propozycja uregulowania powstałego zadłuenia. 2
Po zapoznaniu si z całoci zgromadzonego w sprawie materiału dowodowego, Generalny Inspektor Ochrony Danych Osobowych zwaył, co nastpuje: Ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 ze zm.) o ochronie danych osobowych, zwana dalej ustaw, okrela zasady postpowania przy przetwarzaniu danych osobowych oraz prawa osób fizycznych, których dane s lub mog by przetwarzane w zbiorach danych (art. 2 ust. 1 ustawy). Stosownie do art. 7 pkt 4 ustawy, administratorem danych jest organ, jednostka organizacyjna, podmiot lub osoba, o których mowa w art. 3, decydujcy o celach i rodkach przetwarzania danych osobowych. Przetwarzanie danych osobowych jest zgodne z prawem jedynie wówczas, gdy administrator danych legitymuje si posiadaniem co najmniej jednej, sporód wymienionych w art. 23 ust. 1 ustawy, materialnych przesłanek dopuszczalnoci przetwarzania. Stosownie do art. 23 ust. 1 ustawy, przetwarzanie danych osobowych jest dopuszczalne wtedy, gdy: 1) osoba, której dane dotycz, wyrazi na to zgod, 2) gdy jest to niezbdne dla zrealizowania uprawnienia lub spełnienia obowizku wynikajcego z przepisu prawa, 3) jest to konieczne dla realizacji umowy, gdy osoba, której dane dotycz, jest jej stron lub gdy jest to niezbdne do podjcia działa przed zawarciem umowy na danie osoby, której dane dotycz, 4) jest niezbdne do wykonania okrelonych prawem zada realizowanych dla dobra publicznego, 5) jest to niezbdne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolnoci osoby, której dane dotycz. Za prawnie usprawiedliwiony cel, stosownie do art. 23 ust. 4 ustawy, uwaa si marketing bezporedni własnych produktów lub usług administratora danych oraz dochodzenie roszcze z tytułu prowadzonej działalnoci gospodarczej. Odnoszc si do działa podjtych przez umocowanego stosownym postanowieniem Sdu Okrgowego syndyka masy upadłoci Banku Pani B, który z dniem wydania ww. postanowienia stał si administratorem danych Skarcej, naley stwierdzi, i ustaw szczególn w stosunku do ustawy o ochronie danych osobowych jest obowizujca w czasie działa podejmowanych przez syndyka ustawa z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz.U. 2002 r. Nr 72 poz. 665), która w art. 166 ust. 1 stanowi, i jeeli nie nastpi nabycie przedsibiorstwa bankowego w całoci, syndyk za zezwoleniem sdziego-komisarza przystpi do sprzeday poszczególnych składników majtku banku. Sprzeda nieruchomoci bdcych własnoci banku nastpuje według przepisów Kodeksu postpowania cywilnego o licytacji. W przedstawionym stanie faktycznym syndyk, działajc na podstawie ww. przepisu, otrzymał postanowieniem Sdu Okrgowego z dnia 17 lipca 2002 r. zgod sdziego komisarza na sprzeda umów kredytowych. Nastpnie w oparciu o art. 41 pkt 1 ustawy z 3
dnia 3 lutego 1993 r. o restrukturyzacji finansowej przedsibiorstw i banków oraz o zmianie niektórych ustaw (Dz.U Nr 18 poz. 82 ze zm.), który stanowi, i do przelewu wierzytelnoci, o której mowa w art. 40, stosuje si przepisy Kodeksu cywilnego o zmianie wierzyciela, z nastpujcymi wyjtkami: w adnym przypadku nie jest wymagana zgoda dłunika, syndyk sprzedał wierzytelnoci banku, w tym wierzytelno dotyczc długu Skarcej wraz z jej danymi osobowymi firmie O która to spółka stała si administratorem danych osobowych Skarcej. Ww. ustawa o restrukturyzacji finansowej przedsibiorstw i banków, ma zastosowanie do wierzytelnoci konsumenckich, a banki mog dokonywa publicznej sprzeday tych wierzytelnoci bez potrzeby uzyskiwania zgody konsumentów. Naley zatem podkreli, i działanie syndyka polegajce na przetwarzaniu a nastpnie udostpnieniu (w ramach dochodzonej wierzytelnoci) danych osobowych Skarcej, w oparciu o przepisy ww. ustawy o restrukturyzacji finansowej przedsibiorstw i banków oraz o zmianie niektórych ustaw, znajdowało umocowanie z art. 23 ust. 1 pkt 2 i 5 ustawy. Jak wyej wskazano, dniu 17 czerwca 2004 r. pomidzy syndykiem masy Firmy O a Spółk O została zawarta umowa sprzeday przedsibiorstwa w rozumieniu art. 55¹ Kodeksu cywilnego z wolnej rki w postpowaniu upadłociowym. Zgodnie z art. Art. 55 1 pkt 4 ustawy z dnia 23 kwietnia 1964 r. Kodeks cywilny (Dz. U. Nr 16 poz. 93 ze zm.), zwany dalej kodeksem cywilnym, przedsibiorstwo jest zorganizowanym zespołem składników niematerialnych i materialnych przeznaczonym do prowadzenia działalnoci gospodarczej. Obejmuje ono w szczególnoci: wierzytelnoci, prawa z papierów wartociowych i rodki pienine. Czynno prawna majca za przedmiot przedsibiorstwo obejmuje wszystko, co wchodzi w skład przedsibiorstwa, chyba e co innego wynika z treci czynnoci prawnej albo z przepisów szczególnych ( art. 55² kodeksu cywilnego). Z chwil podpisania ww. umowy Spółka Z stał zatem si w rozumieniu ustawy o ochronie danych osobowych administratorem danych osobowych, osób których dotyczyły wierzytelnoci przysługujce dotychczas Firmie O., tj. podmiotem decydujcym o celach i rodkach ich przetwarzania. Działanie syndyka Firmy O polegajce na sprzeday całoci przedsibiorstwa, w tym nalecych do masy przedsibiorstwa wierzytelnoci, a wic równie wierzytelnoci dotyczcych Skarcej, Spółce Z było zgodne z przesłank legalizujc przetwarzanie danych okrelon w art. 23 ust. 1 pkt. 2 ustawy o ochronie danych osobowych tj. było działaniem celu realizacji uprawnienia lub spełnienia obowizku wynikajcego z przepisu prawa, a wic w tym przypadku ustaw szczególnych wobec ustawy o ochronie danych osobowych prawa upadłociowego i naprawczego oraz prawa cywilnego. Spółka Z w swych wyjanieniach skierowanych do Generalnego Inspektora Ochrony Danych Osobowych wskazała, i po bezskutecznych próbach cignicia od Skarcej nalenoci 4
na podstawie umowy przelewu wierzytelnoci z dnia 6 padziernika 2004 r. sprzedała pakiet wierzytelnoci, w tym wierzytelno Skarcej, Biuru W. Umowa ta zawarta została na podstawie przepisów kodeksu cywilnego okrelajcych umow cesji. Zgodnie z art. 509 1 kodeksu cywilnego, wierzyciel moe bez zgody dłunika przenie wierzytelno na osob trzeci (przelew), chyba e sprzeciwiałoby si to ustawie, zastrzeeniu umownemu albo właciwoci zobowizania. Powysze działanie spełnia warunki okrelone w art. 23 ust. 1 pkt 2 i 5 ustawy o ochronie danych osobowych. Reasumujc, Biuro W jest w chwili obecnej administratorem danych Skarcej i jako taki ma prawo przetwarza jej dane osobowe, co oznacza, i działajc w granicach obowizujcego prawa moe te dane powierzy lub udostpni innemu podmiotowi. Konkludujac, w niniejszej sprawie na kadym etapie przetwarzania danych osobowych Skarcej podmioty je przetwarzajce, jako administratorzy danych osobowych Skarcej, legitymowały si przesłankami okrelonymi w art. 23 ust. 1 pkt 2 i 5 w zw. z art. 23 ust 4 ustawy tj. podjły działania na podstawie odrbnych przepisów prawa, stanowicych lex specialis wobec ustawy o ochronie danych osobowych (art. 23 ust. 1 pkt 2 ustawy) oraz dochodziły roszcze im nalenych z tytułu prowadzonej przez nie działalnoci gospodarczej, czy to bankowej czy te windykacyjnej (art. 23 ust. 2 pkt. 5 ustawy). Z materiału dowodowego bezsprzecznie wynika, i Skarca była dłunikiem Banku zacigajc uprzednio trzy kredyty, co oznacza i jako dłunik zgodnie z przepisami prawa była zobowizana do uiszczenia wszelkich nalenoci instytucji, która w danym momencie, była na mocy prawa w posiadaniu ww. wierzytelnoci. Powyszy pogld podzielił równie Wojewódzki Sd Administracyjny, który w wyroku z dnia 30 listopada 2004 r. (sygn. akt: II SA/Wa 1057/04) stwierdził wprost, i (...) zasad powszechnie akceptowan, wynikajc nie tylko z przepisów prawa cywilnego, lecz take z norm moralnych, zasad współycia społecznego oraz dobrych obyczajów jest regulowanie zacignitych zobowiza (zapłata długów). Zasada ta w pełni odnosi si do podmiotów prawa majcych status konsumentów. (...) Dłunik, który nie wywizuje si ze swoich zobowiza, musi liczy si z konsekwencjami, wynikajcymi z przepisów regulujcych obrót gospodarczy. Postawa dłunika nie moe bowiem prowadzi do uprzywilejowania jego sytuacji prawnej. Gdyby generalnie uzna kady wypadek przetwarzania danych osobowych dłunika (bdcego konsumentem) za godzcy w jego prawa i wolnoci, doszłoby z jednej strony do niczym nieuzasadnionej ochrony osób niewywizujcych si ze swoich zobowiza, z drugiej natomiast do naruszenia zasady swobody działalnoci gospodarczej, co z pewnoci nie było zamiarem ustawodawcy przy uchwalaniu ustawy o ochronie danych osobowych. Powysze rozwaania wskazuj zatem, e dla uznania legalnoci przetwarzania danych osobowych Skarcej, oprócz ustalenia, czy cel przetwarzania danych jest prawnie 5
usprawiedliwiony na podstawie z art. 23 ust. 1 pkt 2 i 5 ustawy, istotna jest równie inna okoliczno, a mianowicie, czy wskazane w skardze podmioty nie naruszyły swym działaniem praw i wolnoci Skarcej, na co wskazuje w treci wniosku Skarca. Podkreli naley, i ocena, czy przetwarzanie danych nie narusza praw i wolnoci, nie moe obejmowa prawa do ochrony danych osobowych. Takie stanowisko potwierdza obowizujcy w doktrynie pogld, e ustawodawca, ograniczajc moliwo stosowania ww. przesłanki legalnoci przetwarzania danych ze wzgldu na prawa i wolnoci osoby, której dane dotycz, nie miał na myli prawa do ochrony danych osobowych, tj. prawa decydowania o przetwarzaniu informacji dotyczcych danej osoby. Przedmiotowa przesłanka jest bowiem włanie t, która legalizuje wkroczenie w sfer wskazanych powyej praw i wolnoci. W tym przypadku chodzi zatem o inne konstytucyjne prawa i wolnoci prawa, przyznane obywatelom, do których mona zaliczy: prawo do ochrony prawnej ycia prywatnego (jednake w aspekcie, który nie odnosi si do dysponowania danymi osobowymi sensu stricto), rodzinnego, czci i dobrego imienia oraz decydowania o swoim yciu osobistym, prawo do dania sprostowania oraz usunicia informacji nieprawdziwych, niepełnych lub zebranych w sposób sprzeczny z ustaw (J. Barta, R. Markiewicz, Ochrona danych osobowych. Komentarz, Zakamycze 2004, s. 517 i nast.). Jak wynika z analizy stanu faktycznego w niniejszej sprawie nie doszło do naruszenia powyej wymienionych wolnoci i praw Skarcej, std brak jest podstaw do zakwestionowania w rozpatrywanym przypadku udostpnienia danych Skarcej na podstawie przesłanek wymienionych w art. 23 ust. 1 pkt 2 i 5 ustawy. Natomiast w niniejszej sprawie odrbn kwesti, pozostajc poza kompetencjami organu ochrony danych osobowych jest zagadnienie zwizane z badaniem wanoci, czy te skutecznoci zawartej przez Spółk Z i Biuro W umowy przelewu wierzytelnoci. Podkrelenia wymaga, e do dokonywania oceny umów cywilno-prawnych, pod ktem ich legalnoci, jak potwierdził to ww. wyroku z dnia 6 czerwca 2005 r. Naczelny Sd Administracyjny, właciwy jest wyłcznie sd powszechny. Jednoczenie, naley zaznaczy, i poza kognicj Generalnego Inspektora Ochrony Danych Osobowych pozostaje analiza metod działania firm windykacyjnych które mogłyby narusza dobra osobiste, osób których wierzytelnoci s przedmiotem egzekucji ww. firm. W tej kwestii organami właciwym s sdy powszechne. Reasumujc, naley stwierdzi, i przetwarzanie danych osobowych Skarcej przez podmioty wskazane w skardze było zgodne z postanowieniami ustawy o ochronie danych osobowych i jako takie nie stanowi jej naruszenia. Majc powysze na uwadze, w tym stanie prawnym i faktycznym, Generalny Inspektor Ochrony Danych Osobowych rozstrzygnł, jak na wstpie. 6