Wyrok Naczelnego Sądu Administracyjnego z dnia 6 czerwca 2005 r., w składzie siedmiu sędziów, uchylający decyzję Generalnego Inspektora oraz Wyrok Wojewódzkiego Sądu Administracyjnego dotyczący cesji wierzytelności.
Sygn. akt I OPS 2/05
W IMIENIU RZECZYPOSPOLITEJ POLSKIEJ
Dnia 6 czerwca 2005 r.
Naczelny Sąd Administracyjny /.../ po rozpoznaniu w dniu 6 czerwca 2005 r. przy udziale Prokuratora Prokuratury Krajowej /.../ na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej /.../ Spółki Akcyjnej w Warszawie od wyroku Wojewódzkiego Sadu Administracyjnego w Warszawie z dnia 11 marca 2004r. sygn. akt. II SA 2717/03 wydanego w sprawie ze skargi /.../ Spółki Akcyjnej w Warszawie na decyzje Generalnego Inspektora Ochrony Danych Osobowych z dnia 13 czerwca 2003r. Nr GI-DEC-DS-97/03/338,399 w przedmiocie przetwarzania danych osobowych
1) uchyla zaskarżony wyrok,
2) uchyla zaskarżoną decyzje,
3) zasądza od Generalnego Inspektora Ochrony Danych Osobowych na rzecz skarżącego /.../ Spółki Akcyjnej w Warszawie kwotę 730 (siedemset trzydzieści) zł tytułem zwrotu kosztów postępowania, w tym 480 (czterysta osiemdziesiąt) zł tytułem zwrotu kosztów postępowania kasacyjnego.
Wojewódzki Sad Administracyjny w Warszawie zaskarżonym wyrokiem oddalił skargę /.../ S.A. w Warszawie na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia 13 czerwca 2003 r. nr GI-DEC-DS-97/03/338,339, którą organ utrzymał w mocy swą poprzednią decyzję z dnia 17 stycznia 2003 r. nakazującą /.../ S.A. nieudostepnianie danych osobowych abonenta AB, przetwarzanych w związku z przelewem wierzytelności bez spełnienia warunków określonych w art. 3851 § 1 w zw. z art. 3853 pkt 5 Kodeksu cywilnego, tj. bez zgody abonenta. W uzasadnieniu wyroku Sąd podzielił ustalenia i stanowisko Generalnego Inspektora.
Organ ustalił, ze dnia 14 maja 1999 r. została zawarta pomiędzy AB, a S.A. umowa o świadczenie usług telekomunikacyjnych, następnie rozwiązana dnia 7 lipca 2000 r., bez uregulowania wynikających z niej należności. W dniu 24 czerwca 2002 r. S.A. zawarła umowę o przelew ze Sp. z o.o. z siedzibą w Pile, która dotyczyła również wierzytelności AB i w wykonaniu tej umowy udostępniła tej Spółce jego dane osobowe. Jako podstawa udostępnienia danych osobowych wskazany został przepis art. 509 i nast. Kodeksu cywilnego. Pismem z dnia 2 września 2002 r. Prezes Urzędu Ochrony Konkurencji i Konsumentów poinformował Generalnego Inspektora, że w jego opinii cesja długu abonenta będącego konsumentem pomiędzy przedsiębiorcą (kontrahentem konsumenta) a firmą windykacyjną jest dopuszczalna jedynie za zgodą konsumenta, w przeciwnym razie przyjęcie dopuszczalności takiej cesji na podstawie art. 3851 § 1 Kodeksu cywilnego spełnia ogólne przesłanki niedozwolonego postanowienia umownego. Wydając decyzję z dnia 17 stycznia 2003 r. Generalny Inspektor przyjął, że zgodnie z art. 23 ust. 1 pkt 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. Nr 101, poz. 926, ze zm,), przetwarzanie danych jest dopuszczalne, gdy osoba, której dane dotyczą wyrazi na to zgodę. S.A. poprzez zawarcie umowy z AB nabyła prawo do przetwarzania jego danych osobowych w granicach określonych postanowieniami tej umowy i w celu jej realizacji, jak również w celu dochodzenia ewentualnych roszczeń z tytułu niewłaściwego wykonania tej umowy. W ocenie organu wskazana przez S.A. przesłanka z art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych w związku z art. 509 Kodeksu cywilnego nie stanowi podstawy prawnej dla udostępnienia danych osobowych Spółce z o.o. w sytuacji, gdy AB nie wyraził na to zgody. Organ powołał się przy tym na treść art. 3581 § 1 i art. 3853 pkt 5 Kodeksu cywilnego prezentując pogląd, że niedopuszczalne jest udostępnienie osobom (podmiotom) trzecim przez S.A., w drodze przelewu wierzytelności, danych osobowych AB wyłącznie na podstawie art. 509 Kodeksu cywilnego. Takie działanie, niepoprzedzone jego zgodą, przyjmuje bowiem charakter niedozwolonego postanowienia umownego, o którym mowa w art. 3853 pkt 5 Kodeksu cywilnego, te zaś zgodnie z art. 3851 § 1 Kodeksu nie są dla konsumenta wiążące.
We wniosku o ponowne rozpatrzenie sprawy S.A. zarzuciła niewłaściwą wykładnię przepisów Kodeksu cywilnego i ustawy o ochronie danych osobowych wywodząc, iż podstawę do przetwarzania danych stanowiły przepisy art. 23 ust 1 pkt 2 i 5 tej ustawy, stąd też brak było ustawowej przesłanki do zastosowania środków przewidzianych w art. 18 ustawy. Zdaniem tej Spółki podstawę przetwarzania danych osobowych stanowił w odniesieniu do tego administratora danych art. 23 ust 1 pkt 5 ustawy, dopuszczający przetwarzanie danych, gdy jest to niezbędne do wypełnienia prawnie usprawiedliwionych celów administratorów danych lub osób trzecich, którym dane te są przekazywane, a przetwarzanie ich nie narusza praw i wolności osoby, której dane dotyczą. Windykację należności należy uznać za prawnie usprawiedliwiony cel. Zdaniem S.A., organ naruszył także przepisy art. 3851 § 1, art. 3853 pkt 5 i art. 509 Kodeksu cywilnego, gdyż brak jest podstaw do stwierdzenia, że stosunkom zobowiązaniowym z udziałem konsumentów ustawodawca nadal charakter szczególny (rozumiany jako lex specialis) i w odniesieniu do nich wyłączone są inne przepisy Kodeksu. Brak jest także przesłanek do uznania, że istnieją szczególne ,,właściwości zobowiązania” w rozumieniu art. 509 § 1 in fine Kodeksu, które przesądzały o zakazie dokonywania przelewu wierzytelności, przysługującej przedsiębiorcy w stosunku do konsumenta. Zmiana podmiotowa w zakresie osoby wierzyciela w odniesieniu do ściśle określonej wierzytelności pieniężnej nie powoduje przekształcenia stosunku zobowiązaniowego w takim stopniu, który mógłby uzasadniać zastosowanie zakazu przenoszenia wierzytelności, ani też nie powoduje po stronie dłużnika (konsumenta) obciążeń i trudności tego rodzaju, że z punktu widzenia jego interesów należałoby takiej czynności zakazać. Nie można zatem uznać, że dokonanie przelewu naruszałoby interesy konsumenta, a naruszenie to miałoby charakter rażący. Spółka twierdziła także, iż naruszono art. 105 § 1 k.p.a., gdyż postępowanie stało się bezprzedmiotowe, bowiem w dacie wydania decyzji S.A. nie przysługiwała żadna wierzytelność w stosunku do AB, stąd nie ma przedmiotu, który mógłby podlegać przelewowi bez jego zgody; nie ma więc uzasadnienia zakaz przekazania jakiemukolwiek podmiotowi danych osobowych AB.
W decyzji ostatecznej utrzymującej w mocy decyzję z dnia 17 stycznia 2003 r. organ podtrzymał poprzednią argumentację, stwierdzając nadto, że nie wystąpiła w tej sprawie żadna z okoliczności, o których mowa w art. 105 § 1 k.p.a. uzasadniająca umorzenie postępowania. W uzasadnieniu tej decyzji obszernie odniósł się także do tego, że podstawy do udostępnienia danych osobowych nie może stanowić art. 23 ust 1 pkt 5 ustawy o ochronie danych osobowych, ponieważ Spółka Akcyjna, bez zgody konsumenta nie mogła dokonać przelewu wierzytelności. Organ przyznał, że sam przelew nie pogarsza sytuacji dłużnika, jednakże od chwili, gdy prawa wierzyciela zaczęła wykonywać Spółka z o.o., rażącemu pogorszeniu uległa jego sytuacja prawna. Pozostaje on niejako w zawieszeniu pomiędzy S.A. a Spółką z o.o., stąd nie jest zasadne twierdzenie, że zmiana podmiotowa po stronie wierzyciela me naruszyła w sposób rażący interesów AB.
Wojewódzki Sąd Administracyjny w Warszawie oddalając skargę S.A., w której powtórzono argumentacje i zarzuty z wniosku o ponowne rozpoznanie sprawy (rozbudowując je o dodatkowe rozważania prawne), podzieli pogląd organu podkreślając jednakże, iż nie ocenia ważności czy skuteczności umowy, do czego powołany jest sąd powszechny, lecz ocenia jedynie legalność przetwarzania danych osobowych, bowiem to należy do kompetencji Generalnego Inspektora Ochrony Danych Osobowych i sądu administracyjnego.
Odnosząc się do przesłanki przetwarzania danych osobowych, wskazanej w art. 23 ust 1 pkt 2 ustawy o ochronie danych osobowych, a więc gdy zezwalają na to przepisy prawa, Sąd stwierdził, że art. 509 Kodeksu cywilnego takiej dyspozycji nie zawiera. Stanowi on jedynie o przelewie wierzytelności, zatem nie może być samoistną podstawą przekazania danych osobowych. Rozważając przesłankę z art. 23 ust 1 pkt 5 ustawy, a wiec gdy jest to niezbędne do wypełnienia prawnie usprawiedliwionych celów administratorów danych, o których mowa w art. 3 ust 2 lub osób trzecich, którym są przekazywane te dane, a przetwarzanie ich nie narusza praw i wolności osoby, której dane dotyczą, Sąd stwierdził, iż umowa o przelewie wierzytelności, jak i działalność windykacyjna, mogą powodować, że powstaje usprawiedliwiony cel administratora. Nie może jednak nastąpić pogorszenie sytuacji osoby, której dane dotyczą. Oceniając sytuacje prawną kontrahenta strony umowy konsumenckiej należy badać, czy nie nastąpiło pogorszenie jego sytuacji prawnej w świetle przepisów dotyczących umów konsumenckich. Sąd przyjął, że art. 509 Kodeksu cywilnego pozwala na takie przelewy bez zgody dłużnika, pod warunkiem, ze nie sprzeciwia się to ustawie, zastrzeżeniu umownemu albo właściwości zobowiązania. W przypadku umów konsumenckich dokonanie takiego przelewu bez zgody dłużnika sprzeciwia się ustawa. Art. 3853 pkt 5 Kodeksu wskazuje na to, że niedozwolonym postanowieniem umownym jest takie postanowienie, które pozwala kontrahentowi konsumenta na przeniesienie praw i obowiązków wynikających z umowy bez zgody konsumenta. Oznacza to, że takie postanowienie nieuzgodnione z nim indywidualnie, jeżeli byłoby zawarte we wzorcu umownym nie wiąże go. W konsekwencji takie postanowienie, łącząc je z treścią art. 3853 pkt 5 Kodeksu, musiałoby być określone w samej umowie indywidualnie uzgodnionej z konsumentem. Skoro nie można nawet we wzorcu umownym wyłączyć zgody konsumenta, to zakazane jest czynić więcej, a więc dokonywać takich czynności bez zgody konsumenta. W świetle art. 3853 pkt 5 Kodeksu nie można zezwolić kontrahentowi na zawarcie we wzorcach umownych postanowienia zezwalającego na przeniesienie praw i obowiązków. Zdaniem Sądu dokonana cesja wierzytelności wiąże się zarówno z przeniesieniem praw, jak i obowiązków, co potwierdza art. 513 § 2 Kodeksu i treść umowy przelewu, w której nabywca zobowiązał się do wysłania dłużnikowi w imieniu zbywcy pisemnego zawiadomienia o przelewie.
Odnosząc się do zarzutu bezprzedmiotowości decyzji Generalnego Inspektora, Sąd dokonał oceny tej przestanki z uwzględnieniem treści art. 105 § 1 k.p.a. i stwierdził, że nie zachodziły w tej sprawie przesłanki bezprzedmiotowości ani z przyczyn podmiotowych, ani przedmiotowych. Natomiast po dokonaniu cesji wierzytelności S.A. nadal dysponowała danymi osobowymi AB; istniały zatem władcze kompetencje do orzekania w drodze decyzji na podstawie art. 18 ustawy o ochronie danych osobowych. Organ zakazał przekazywania danych osobowych w związku z przelewem wierzytelności bowiem wiązał to z zakresem stwierdzonego naruszenia. Z punktu widzenia art. 18 tej ustawy nie jest zaś istotne, czy takie czynności byty prawnie skuteczne oraz czy mogły być takie w przyszłości. Należy bowiem odróżnić skuteczność samej umowy od przekazania danych osobowych. W przypadku przekazania danych bez podstawy prawnej - zdaniem Sądu - nie jest zasadnym umarzanie postępowania, gdyż poza zakresem kontroli Generalnego Inspektora pozostawałby cały obszar faktycznych działań administratora danych. Treść decyzji nie mogła być inna, gdyż nakazy lub zakazy Generalnego Inspektora muszą być konsekwencją stwierdzonych naruszeń, w odniesieniu do przetwarzania danych osobowych AB.
Skargę kasacyjną wniosła skarżąca S.A., zaskarżając wyrok w całości i wskazując następujące podstawy kasacyjne:
- naruszenie art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych przez przyjęcie, że art. 509 § 1 Kodeksu cywilnego - z uwagi na brzmienie art. 3853 pkt 5 i art. 513 § 2 Kodeksu - nie jest przepisem prawa zezwalającym na przetwarzanie danych, a tym samym błedną wykładnię powyższych przepisów i niewłaściwe zastosowanie art. 3853 pkt 5 Kodeksu;
- naruszenie art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych, poprzez przyjęcie, że skarżąca otrzymując i przetwarzając dane osobowe dla realizacji prawnie usprawiedliwionego celu, naruszyła prawa i wolności osoby, której dane dotyczą, a tym samym błędną wykładnię tego przepisu;
- naruszenie art. 18 ust. 1 ustawy o ochronie danych osobowych, poprzez przyjęcie, że Generalny Inspektor miał prawo wydać decyzję nakazującą uzyskiwanie zgody klienta na przelew wierzytelności, w sytuacji, gdy kompetencje organu ograniczają się tylko do sfery przetwarzania danych osobowych, a nie do sfery czynności cywilnoprawnych, a tym samym błędną wykładnię tego przepisu i jego niewłaściwe zastosowanie.
W skardze kasacyjnej zawarto wniosek o uchylenie wyroku i przekazanie sprawy Wojewódzkiemu Sądowi Administracyjnemu do ponownego rozpoznania, ewentualnie o zmianę wyroku w całości przez uchylenie obu decyzji Generalnego Inspektora (art. 176 w zw. z art. 188 ustawy – Prawo o postępowaniu przed sadami administracyjnymi) i zasadzenie kosztów postępowania.
W uzasadnieniu skargi kasacyjnej podniesiono, że naruszenie art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych, polega na przyjęciu, że działanie skarżącej Spółki nie znajduje oparcia w przepisie zezwalającym na przetwarzanie danych, podczas gdy przepisem takim jest przepis art. 509 § 1 Kodeksu cywilnego. Zdaniem skarżącej Spółki, zezwolenie takie w przepisie prawa nie musi wyraźnie upoważnić podmiot do przetwarzania danych osobowych. Wystarczy, że zezwala on na wykonanie określonej czynności, do której niezbędne jest przetwarzanie danych osobowych. Odesłanie z art. 23 ust 1 pkt 2 odnosi się do całego systemu prawnego, w tym przepisów prywatno-prawnych. Należy wiec traktować je jako odsianie do przepisów wyznaczających prawa i obowiązki administratora danych dla wykonania których następuje przetwarzanie przez niego danych osobowych. W poszczególnych ustawach zastosowano rożne rozwiązania; w części wyraźnie przyznano uprawnienie do przetwarzania danych, inne określają jedynie sposób zachowania się, z którym związane jest przetwarzanie danych.
Wnoszący skargę kasacyjną podniósł także, że na takie rozumienie przepisu art. 23 ust 1 pkt 2 ustawy wskazuje art. 7 lit. c dyrektywy UE nr 95/46 o ochronie osób fizycznych w związku z przetwarzaniem ich danych osobowych oraz o swobodnym przepływie tych danych. Zezwala on na przetwarzanie danych w sytuacji, gdy “jest to konieczne w celu wykonania wynikającego z prawa zobowiązania, któremu administrator danych podlega.” Intencją dyrektywy jest więc wskazanie jako podstawy prawnej przetwarzania danych przepisów prawa, z których konieczność przetwarzania wynika również pośrednio. Nie ma racjonalnych przesłanek by treść powołanego przepisu ustawy interpretować odmiennie niż nakazuje to dyrektywa. Zdaniem skarżącego znaczenie w tej sprawie dla zastosowania art. 23 ust. 1 pkt 2 ustawy, ma art. 509 § 1 Kodeksu cywilnego. Wynika z niego zasada, że wierzytelność jest zbywalna i może być przedmiotem przelewu. Przelew wierzytelności konsumenckiej był w tej sprawie dopuszczalny, bowiem nie istnieje żadna z negatywnych przesłanek, określonych w art. 509 § 1 Kodeksu. Błędnie organ i Sąd przyjęli, że w przypadku umów konsumenckich przeszkodą jest art. 3853 pkt 5 Kodeksu, stanowiący, że niedozwoloną może być klauzula w umowie z konsumentem dopuszczająca przeniesienie praw i obowiązków z tej umowy na inny podmiot, bez zgody konsumenta. Błąd polega na tym, ze: 1) umowa z konsumentem nie zawierała żadnych postanowień odnoszących się do cesji wierzytelności, a przepis art. 3851 Kodeksu odnosi się do klauzul zawartych w umowach konsumenckich, 2) gdyby klauzula o przeniesieniu wierzytelności była zawarta w umowie z konsumentem, to nie mogłaby być oceniana jako wadliwa w świetle art. 3853 pkt 5 Kodeksu. Jeżeli konsument unika zapłaty, a w ocenie przedsiębiorcy, jedynym i korzystnym rozwiązaniem dla niego będzie zbycie wierzytelności lub jej dochodzenie przez nabywcę wierzytelności (działalność polegająca na obrocie wierzytelnościami jest przecież zgodna z prawem), to, zdaniem skarżącej, trudno odmówić mu takiego prawa, tym bardziej iż w żadnym stopniu nie uderza to w prawa konsumenta ani nie podważa przyznanych mu gwarancji uczciwego handlu. Przy ocenie, jakie działania administratora danych mieszczą się w ramach “usprawiedliwionego interesu” oraz “naruszenia praw i wolności” (spełnienie przesłanek z art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych), należy zwrócić uwagę, iż wedle ustawodawcy, nawet marketing usług (towarów) administratora spełnia powyższe kryteria. Trudno zatem uznać, że może naruszać prawa i wolności osoby, będącej dłużnikiem, podejmowanie wobec niej działań służących windykacji należności. W tej sytuacji, przetwarzanie danych znajduje także oparcie w przesłance, o której mowa w art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych.
Uzasadniając zarzut naruszenia art. 18 ustawy o ochronie danych osobowych skarżący stwierdził, że zgodnie z tym przepisem Generalny Inspektor jest uprawniony do wydania decyzji w przypadku naruszenia przepisów o ochronie danych. Tymczasem organ powołując się na niedopuszczalność stosowania art. 509 § 1 Kodeksu, ze względu na art. 3853 pkt 5 Kodeksu dopuścił się de facto rozstrzygnięcia w zakresie ważności umowy przelewu, co należy do sądu powszechnego, a niektórych wypadkach do Prezesa Urzędu Ochrony Konkurencji i Konsumentów. Jeśli rozstrzygnięcie w sprawie w sprawie z zakresu z zakresu danych osobowych (będącej sprawą administracyjną) zależy od uprzedniej kontroli treści danej czynności przez inny organ, postępowanie administracyjne powinno ulec zawieszeniu na podstawie art. 97 § 1 pkt 4 k.p.a. W przedmiotowej sprawie organ powołuje się na stanowisko Prezesa UOKiK, jednak nie może ono być potraktowane jako rozstrzygniecie zagadnienia wstępnego przez inny organ. Rozstrzygając wiec o niedopuszczalności przelewu wierzytelności bez zgody konsumenta, Generalny Inspektor wykroczył poza przyznane mu w art. 18 ustawy kompetencje. Ten sam błąd popełnił Sąd uznając, iż ten organ mógł w przedmiotowej sprawie rozstrzygnąć zagadnienie wykraczające poza jego właściwość.
W odpowiedzi na skargę kasacyjną Generalny Inspektor wniósł o jej oddalenie, a odnosząc się szczegółowo do jej zarzutów, opowiedział się w pełni za stanowiskiem zajętym w zaskarżonym wyroku.
W toku rozpoznawania skargi kasacyjnej skład orzekający NSA, na podstawie art. 187 § 1 ustawy z 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi, przedstawił do rozstrzygnięcia przez skład siedmiu sędziów zagadnienie prawne wyrażone w pytaniu, czy w przypadku przetwarzania danych osobowych abonenta, będącego stroną. umowy o świadczenie usług telekomunikacyjnych, w związku z zawartą umową o przelew wierzytelności, oceny legalności podstawy przetwarzania danych osobowych, wskazanej w art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych można dokonywać w oparciu o regulacje zamieszczone w art. 3851 § 1, w zw. z art. 3853 pkt 5 Kodeksu cywilnego. Przedstawiając zagadnienie prawne skład orzekający miał na uwadze także wyroki Naczelnego Sądu Administracyjnego z dnia 12 października 2004 r., sygn. akt OSK 769/04 i z dnia 16 grudnia 2004 r., sygn. akt OSK 829/04. W pierwszym z tych wyroków Sąd wyraził pogląd, że w odniesieniu do umów konsumenckich, dokonanie przelewu wierzytelności bez zgody dłużnika będącego abonentem jest sprzeczne z art. 3853 pkt 5 Kodeksu cywilnego, a wobec tego przepis art. 509 § 1 tego Kodeksu nie może stanowić uzasadnienia przetwarzania danych osobowych na podstawie art. 23 ust 1 pkt 5 ustawy o ochronie danych osobowych. W drugim z powołanych wyroków Sąd zajął natomiast stanowisko, że nie jest konieczne ocenianie czy zawarcie umowy przelewu wierzytelności było dopuszczalne, ponieważ wystarczającą przesłanką na podstawie której administrator danych może udostępnić dane abonenta bez jego zgody, jest przepis art. 23 ust 1 pkt 5 ustawy o ochronie danych osobowych i należy jedynie rozważyć, czy w wyniku udostępnienia danych osobowych abonenta nastąpiło naruszenie jego praw i wolności z uwzględnieniem katalogu tych praw określonych w Konstytucji.
Naczelny Sąd Administracyjny w składzie siedmiu sędziów, na podstawie art. 187 § 3 Prawa o postępowaniu przed sądami administracyjnymi, przejął sprawę do rozpoznania i zważył, co następuje:
W myśl art. 174 ustawy z dnia 30 sierpnia 2002 r.- Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. Nr 153, poz. 1270, ze zm.) skargę kasacyjna. można oprzeć na następujących podstawach: 1) naruszeniu prawa materialnego przez błędną jego wykładnię lub niewłaściwe zastosowanie; 2) naruszeniu przepisów postępowania, jeżeli uchybienie to mogło mieć istotny wpływ na wynik sprawy. Naczelny Sąd Administracyjny jest związany podstawami skargi kasacyjnej, bowiem według art. 183 § 1 ustawy - p.p.s.a. rozpoznaje sprawę w granicach skargi kasacyjnej, biorąc z urzędu pod uwagę jedynie nieważność postępowania. Związanie NSA podstawami skargi kasacyjnej wymaga prawidłowego ich określenia w samej skardze, co oznacza konieczność wskazania konkretnych przepisów prawa, którym - zdaniem skarżącego - uchybił sąd, uzasadnienia zarzutu ich naruszenia, a w razie zgłoszenia zarzutu naruszenia prawa procesowego - wykazania dodatkowo, że to wytknięte uchybienie (naruszenie przepisu o postępowaniu) mogło mieć istotny wpływ na wynik sprawy.
Rozpoznanie podniesionych w skardze kasacyjnej zarzutów wymaga przede wszystkim dokonania wyjaśnienia rzeczywistej treści przepisów art. 23 ust. 1 pkt 2 i 5 ustawy o ochronie danych osobowych, w kontekście pozostałych przepisów tej ustawy, z uwzględnieniem dyrektyw Unii Europejskiej, a w szczególności dyrektywy Parlamentu Europejskiego i Rady 95/46/WE z dnia 24 października 1995 r. w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych (Dz. Urz. WE L281 z dnia 23 listopada 1995 r., załącznik A).
W okolicznościach tej sprawy istota sporu prawnego dotyczy tego, czy wskazane przepisy art. 23 ust. 1 pkt 2 i 5 ustawy o ochronie danych osobowych, pozwalały skarżącemu, jako administratorowi danych osobowych, na ich przetwarzanie przez udostępnienie innemu podmiotowi bez zgody osoby, której dane te dotyczą. Wojewódzki Sad Administracyjny w Warszawie w zaskarżonym wyroku, dokonując oceny legalności zaskarżonej decyzji, podzielił stanowisko organu, że przepisy te nie mogły być podstawą udostępnienia danych bez zgody osoby, której dane te dotyczą. Stanowisko to jest konsekwencją przyjęcia poglądu, że w rozpoznawanej sprawie, z uwagi na przepis art. 3853 pkt 5 Kodeksu cywilnego, ogólny przepis art. 509 § 1 tego Kodeksu nie uzasadnia dokonania przelewu wierzytelności na rzecz innego podmiotu, jeżeli dłużnikiem jest konsument, który me wyraził zgody na przelew, a tym samym jest niedopuszczalne udostępnienie danych osobowych konsumenta temu podmiotowi. Inaczej mówiąc, skoro niedozwolony jest przelew takiej wierzytelności na rzecz innego podmiotu to tym samym nie można w ogóle mówić o istnieniu podstaw do przekazania temu podmiotowi danych osobowych konsumenta, z powołaniem się na przepisy ustawy o ochronie danych osobowych. Mówiąc ogólnie sąd pierwszej instancji wyraził także pogląd, który sprowadza się do tego, że działania kontrahenta konsumenta, który jest administratorem jego danych osobowych, nie mogą prowadzić do pogorszenia sytuacji konsumenta (osoby, której dane dotyczą).
Analizując przepis art. 23 ustawy o ochronie danych osobowych należy stwierdzić, że przepis ten pozwala na przetwarzanie danych osobowych (co obejmuje udostępnianie danych osobowych) w ściśle określonych przypadkach. Przede wszystkim dozwolone jest przetwarzanie danych osobowych za zgodą osoby, której dane dotyczą (art. 23 ust. 1 pkt 1 ustawy). Ustawa zezwala na przetwarzanie danych także bez zgody osoby, której dane dotyczą w przypadkach określonych w art. 23 ust. 1 pkt 2 - 5, co ma służyć zasługującym na ochronę interesom administratora danych osobowych lub osób trzecich, bądź ze względu na ochronę interesu publicznego. W szczególności przekazanie danych osobowych bez zgody osoby, której dotyczą jest dopuszczalne, gdy jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa (art. 23 ust. 1 pkt 2) oraz gdy jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratora danych albo odbiorcę danych, a przetwarzanie danych nie narusza praw i wolności osoby, której dane dotyczą (art. 23 ust. 1 pkt 5). Przesłanka, o której mowa w art. 23 ust.1 pkt 2 odnosi się niewątpliwie do takich przypadków, gdy przepis prawa powszechnie obowiązującego określa uprawnienie lub obowiązek, których spełnienie nie jest możliwe bez udostępnienia danych osobowych. Natomiast przesłanka, o której mowa w art. 23 ust 1 pkt 5 odnosi się wprost do administratora danych osobowych lub odbiorcy danych, którzy aby zrealizować prawnie dopuszczalne cele muszą udostępnić dane osobowe, pod warunkiem wszakże, że nie naruszy to praw i wolności osoby, której dane dotyczą. Już samo użycie określenia “jeżeli jest to niezbędne” wskazuje, że stosowanie tych przepisów wymaga nie tylko wykazania, że chodzi o realizowanie uprawnienia lub obowiązku wynikającego z przepisów prawa lub prawnie usprawiedliwionego celu, ale także dokonania oceny, czy dla legalizacji tego konieczne jest (jest niezbędne) przekazanie danych, pomimo że brak jest na to zgody osoby, której dane dotyczą. Ocena ta, to wyważanie racji i interesów, z jednej strony osoby, której dane dotyczą, mającej objęty ochroną prawną interes aby jej dane nie były przetwarzane bez jej zgody, a z drugiej strony administratora danych, który ma także objęty ochroną prawną interes polegający na tym, że ma prawo realizować prawnie usprawiedliwione cele i uprawnienia, co w przypadku administratora danych, będącego wierzycielem obejmuje jego prawo do uzyskania należnego świadczenia od dłużnika. Unormowanie to oparte jest więc na założeniu, że dochodzi do konfliktu interesów między interesem osoby, która ma prawo do ochrony swoich danych osobowych a interesem administratora tych danych, który ma prawo przetwarzać te dane, jeżeli jest to konieczne do realizacji jego uprawnień wynikających z przepisów prawa lub prawnie usprawiedliwionego celu. Wyważenie tych interesów jest warunkiem koniecznym przy stosowaniu art. 23 ustawy o ochronie danych osobowych, przy uwzględnieniu rangi tych interesów w realiach konkretnej sprawy. Jest to szczególnie ważne, ponieważ konflikt ten dotyczy ochrony prywatności osoby, której dane są przetwarzane, a więc wartości, która ma szczególnie wysoką rangę, także w systemie wartości konstytucyjnych.
Oznacza to, że w przypadku przetwarzania danych osobowych przez administratora danych, bez zgody osoby, której te dane dotyczą, w pierwszej kolejności konieczne jest ustalenie i rozważenie, czy spełniona jest ustawowa przesłanka szczegółowa uzasadniająca przetwarzanie danych bez zgody osoby, której dane dotyczą, a następnie, jeżeli przesłanka ta jest spełniona, ustalenie i rozważenie wszystkich okoliczności koniecznych do wyrażenia niezbędnej ochrony interesów osoby, której dane dotyczą oraz interesów administratora danych.
Tak też rozumiane są postanowienia powołanej dyrektywy 95/46/WE z dnia 24 października 1995 r. Przepis art. 7 lit. f dyrektywy dopuszcza przetwarzanie danych osobowych przez administratora, gdy jest to konieczne z punktu widzenia potrzeb wynikających z uzasadnionych interesów administratora lub osoby trzeciej, chyba że interesy te są podporządkowane interesom związanym z podstawowymi prawami i wolnościami osoby, której dane dotyczą. Oznacza to, że dyrektywa nakazuje ważyć interesy obu stron w konkretnym przypadku i - co do zasady - dopuszcza przetwarzanie danych, które jest konieczne do realizacji prawnie usprawiedliwionych celów administratora, chyba że po dokonaniu porównania interesów obu stron okaże się, że podstawowe prawa i wolności jednostki maja większą wagę niż konkretny interes administratora. W wyroku z dnia 14 września 2000 r.- The Queen przeciwko Ministrowi Rolnictwa Wielkiej Brytanii (Zb. Orz. 2000 r., s. I- 6751, załącznik A.1), dotyczącym wykładni art. 7 lit f dyrektywy Europejski Trybunat Sprawiedliwości podkreślił, że przepisy prawa krajowego powinny być interpretowane tak dalece, jak to możliwe, na podstawie brzmienia i celu dyrektywy, aby zapewnić realizacje tego celu. Celem tym jest ochrona prywatności, która powinna być rozpatrywana także w świetle art. 8 Konwencji o Ochronie Praw Człowieka i Podstawowych Wolności. W ocenie Europejskiego Trybunału Sprawiedliwości przetwarzanie danych osobowych bez zgody osoby, której dane dotyczą jest dopuszczalne, jeżeli: a) ma podstawę w przepisie prawa, który wyraźnie na takie przetwarzanie zezwala, b) przetwarzanie (udostępnianie) danych jest niezbędne do zrealizowania uprawnienia lub spełnienia obowiązku określonego ustawą, c) dane są przetwarzane tylko w takim zakresie, w jakim jest to niezbędne do osiągnięcia tych celów. Rozstrzygając o legalności przetwarzania danych trzeba każdorazowo, ważąc interesy stron, znaleźć równowagę miedzy prawami i wolnościami jednostki z jednej strony a prawnie usprawiedliwionym interesem osoby trzeciej z drugiej strony. Oznacza to obowiązek zapewnienia właściwej równowagi praw i interesów stron, w tym praw podstawowych.
Z uzasadnienia zaskarżonego wyroku wynika, że - zdaniem Sądu – podstawy przetwarzania danych nie mógł stanowić przepis art. 23 ust. 1 pkt 5 ustawy, ponieważ jest niedopuszczalna cesja wierzytelności osoby, której dane dotyczą, gdyż osoba ta jest konsumentem, a bez zgody konsumenta nie można przenieść praw i przekazać obowiązków wynikających z umowy. Skoro bowiem stosownie do przepisu art. 3853 pkt 5 Kodeksu cywilnego nie można nawet we wzorcu umownym wyłączyć zgody konsumenta na przeniesienie praw i obowiązków wynikających z umowy, to ,,zakazane jest czynić więcej, zatem dokonywać takich czynności w ogóle bez zgody konsumenta.” Stanowisko to sprowadza się więc do tego, że przetwarzanie danych bez zgody osoby, której dane dotyczą, na podstawie art. 23 ust. 1 pkt 5 ustawy jest w ogóle niedopuszczalne, ponieważ administrator danych nie realizuje prawnie usprawiedliwionego celu w rozumieniu tego przepisu, gdyż zakazane jest dokonywanie przelewu wierzytelności konsumenta bez jego zgody.
W skardze kasacyjnej trafnie podniesiono, że takie rozumienie przepisu art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych w związku z art. 509 i 3853 pkt 5 Kodeksu cywilnego stanowi naruszenie tych przepisów. Tak kategoryczne i jednoznaczne stanowisko, jak to przyjął Sąd w zaskarżonym wyroku, podzielając w tym zakresie stanowisko organu wyrażone w zaskarżonej decyzji, nie wynika z przepisów art. 3853 Kodeksu cywilnego Jeżeli uwzględni się także przepis art. 3851 § 1 Kodeksu cywilnego, można jedynie przyjąć, że postanowienie umowne zawarte we wzorcu umownym zezwalające kontrahentowi konsumenta na przelew wierzytelności, może być uznane za niedozwolone, jeżeli kształtuje prawa i obowiązki konsumenta w sposób sprzeczny z dobrymi obyczajami, rażąco naruszając jego interesy. Oznacza to, że również przelew wierzytelności, w przypadku gdy umowa zawarta z konsumentem na podstawie wzorca umownego, nie zawiera takiej klauzuli, mógł być jedynie oceniany na podstawie przesłanek określonych w art. 3851 Kodeksu cywilnego. Nie można więc przyjąć z góry założenia, że nie można przenieść wierzytelności na osobę trzecią, gdy dłużnikiem jest konsument, bez zgody dłużnika (art. 509 § I Kodeksu cywilnego), ponieważ sprzeciwiałoby się to ustawie (art. 3853 pkt 5 Kodeksu cywilnego). Na takim założeniu zaś zostało oparte rozstrzygniecie organu oraz Sądu w zaskarżonym wyroku.
W uzasadnieniu zaskarżonego wyroku, Sąd stwierdza, że przedmiotem rozstrzygnięcia w tej sprawie jest kwestia dotycząca legalności udostępniania danych osobowych, a nie ocena ważności czy skuteczności umowy przelewu wierzytelności, ponieważ w tym zakresie właściwy jest sąd powszechny, jednakże Sąd dokonuje oceny, że z mocy art. 3853 pkt 5 Kodeksu cywilnego zakazane jest w ogóle dokonywanie takich czynności bez zgody konsumenta. Nie można również sprowadzić stanowiska organu wyrażonego w uzasadnieniu zaskarżonej decyzji do tego, że wypowiedzi “na temat ważności czy skuteczności umowy przelewu mają charakter tylko prawnych dywagacji, które nie są w pełni adekwatne do przedmiotowej sprawy, lecz stanowią wyraz opinii organu”. Z uzasadnienia zaskarżonej decyzji jednoznacznie wynika, że zdaniem organu zawarcie umowy przelewu wierzytelności bez zgody dłużnika było prawnie niedopuszczalne, ponieważ dłużnik jest konsumentem i na tej podstawie organ przyjął, że skarżący nie realizuje prawnie usprawiedliwionego celu w rozumieniu art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych. Należy przy tym zwrócić uwagę, że organ naruszenia praw osoby, której dane są przetwarzane, dopatruje się nie tyle w samej instytucji prawnej przelewu wierzytelności, co w działaniach podejmowanych po zawarciu umowy przelewu przez nabywcę wierzytelności (brak faktycznych możliwości wyjaśnienia z udziałem dłużnika istnienia zobowiązania, stosowanie swoistych metod zmierzających do uzyskania świadczenia). Przyjęcie takiego założenia przez organ, aprobowanego przez Sąd, jest wadliwe. Nie oznacza to jednak, że w sprawie administracyjnej nie jest możliwe ocenianie znaczenia i skutków umowy dla potrzeb rozstrzygnięcia administracyjnego, jeśli prawo administracyjne odsyła do prawa cywilnego. W przypadku art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych takie odesłanie ma miejsce. Prawnie usprawiedliwiony cel, o którym mowa w tym przepisie może być oparty także na przepisach prawa cywilnego. Za taki prawnie usprawiedliwiony cel już sama ustawa uznaje dochodzenie roszczeń z tytułu prowadzenia działalności gospodarczej (art. 23 ust. 4 pkt 2). Nie bez znaczenia przy ocenie, czy cel jest prawnie usprawiedliwiony są także przepisy prawa cywilnego, które służą ochronie konsumentów. Czym innym jednak jest ocena, czy cel realizowany przez administratora danych osobowych jest prawnie usprawiedliwiony, w rozumieniu art. 23 ust. 1 pkt 5 ustawy, co należy do kompetencji organu rozpoznającego sprawę administracyjną, a ...
Agamma