ZSPU.440.296.2019

Na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2018 r. poz. 2096 ze zm.) w zw. z art. 57 ust. 1 pkt a i f, art. 58 ust. 2 lit. b, art. 32, art. 6 ust. 1 lit. c i art. 5 lit. d i f rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1 oraz Dz. Urz. UE L 127 z 23.05.2018 str. 2), po przeprowadzeniu postępowania administracyjnego w sprawie skargi Pana Z. G., zam. w K. na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Komornika Sądowego przy Sądzie Rejonowym dla W. F. we W., Panią A. B., prowadzącą kancelarię komorniczą we W., reprezentowaną przez Pana A. P. prowadzącego Kancelarię Adwokacką z siedzibą w Ł, Prezes Urzędu Ochrony Danych Osobowych

udziela upomnienia Komornikowi Sądowemu przy Sądzie Rejonowym dla W. F. we W., Pani A. B., prowadzącej kancelarię komorniczą we W. za naruszenie przepisów rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1 oraz Dz. Urz. UE L 127 z 23.05.2018 str. 2), polegające na bezprawnym pozyskaniu danych osobowych Pana Z. G., zam. w K. i na dalszym ich przetwarzaniu jako danych dłużnika w postępowaniu egzekucyjnym sygn. (...), z naruszeniem zasady prawidłowości i poufności danych.

UZASADNIENIE

Do Urzędu Ochrony Danych Osobowych wpłynęła skarga Pana Z. G. (dalej: Skarżący), zam. w K. na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Komornika Sądowego przy Sądzie Rejonowym dla W. F. we W., Panią A. B., prowadzącą kancelarię komorniczą we W. (dalej: Komornik), reprezentowaną przez Pana A. P. prowadzącego Kancelarię Adwokacką z siedzibą w Ł.

W toku prowadzonego postępowania administracyjnego Prezes Urzędu Ochrony Danych Osobowych ustalił następujący stan faktyczny:

1. Komornik na wniosek wierzyciela, P. z siedzibą w W., wszczął postępowanie egzekucyjne przeciwko Panu T. G. na podstawie tytułów wykonawczych SR L. Z. w L z dnia (…) września 2012 r. oraz dnia (…) listopada 2012 r., sygn. akt (…) zaopatrzonych w klauzulę wykonalności dnia (…) listopada 2012 r.
2. Wierzyciel we wniosku wskazał nr PESEL Skarżącego. Komornik wprowadzając ten numer do systemu Pesel-Net pozyskał z niego dane osobowe Skarżącego w zakresie jego imienia, nazwiska oraz adresu zamieszkania. Poprawność danych z systemu nie została zweryfikowana z wnioskiem.
3. Dane osobowe Skarżącego w ww. zakresie zostały dołączone do akt postępowania egzekucyjnego prowadzonego przez Komornika przeciwko Panu T. G. Dane te będą przetwarzane w celach archiwalnych ze względu na brak możliwości usunięcia ich z akt sprawy egzekucyjnej (…), przez okres 5 lat od umorzenia postępowania egzekucyjnego.

Po zapoznaniu się z całością zgromadzonego w sprawie materiału dowodowego Prezes Urzędu Ochrony Danych Osobowych zważył, co następuje.

W wyjaśnieniach pełnomocnik Komornika nie wskazał na jakiej podstawie przetwarzane są dane osobowe Skarżącego, natomiast podniósł, że dane osobowe w aktach postępowania egzekucyjnego przetwarzane są na podstawie art. 6 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1 oraz Dz. Urz. UE L 127 z 23.05.2018 str. 2) (dalej: RODO) który stanowi, że przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy - i w takim zakresie, w jakim - przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze (lit. c); przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi (lit. e). O ile powyższe przesłanki znajdują oparcie w przepisach szczególnych regulujących działalność komorniczą, o tyle w niniejszej sprawie pozyskanie danych osobowych Skarżącego nastąpiło bez podstawy prawnej,  w wyniku błędu Komornika.

Po pierwsze należy wskazać, że Komornik jest funkcjonariuszem publicznym, który przy wykonywaniu swych zadań jest zobligowany kierować się dobrem wymiaru sprawiedliwości oraz interesem publicznym. Z pełnieniem tej funkcji wiążą się konsekwencje w zakresie przestrzegania określonych zasad i norm dyscyplinarnych, etycznych oraz odpowiedzialności karnej, a także cywilnej. Zawód Komornika jest zawodem zaufania publicznego, a więc ciąży na nim szczególny obowiązek przestrzegania prawa i zachowania dokładności w dokonywanych przez siebie czynnościach. Komornik jest obowiązany zachować w tajemnicy okoliczności sprawy. Obowiązek ten dotyczy wszystkich okoliczności sprawy prowadzonej przez Komornika, o których dowiedział się on w związku z czynnościami egzekucyjnymi. Obowiązek zachowania tajemnicy przez Komornika ma na celu w szczególności ochronę interesów uczestników postępowania egzekucyjnego (zwłaszcza dłużnika), przed ujemnymi konsekwencjami ujawnienia osobom nieuprawnionym danych objętych tajemnicą. Podstawowym obowiązkiem Komornika jest postępowanie zgodnie z przepisami prawa, złożonym ślubowaniem i zasadami etyki zawodowej. 

W związku z powyższym należy stwierdzić, że Komornik po uzyskaniu sprawy od wierzyciela nie ma obowiązku badać, czy rzeczywiście zachodzi podstawa do wszczęcia egzekucji (zadanie to należy do sądu). Jednakże zaznaczyć należy, że bezwzględnie powinien on każdorazowo dokonać weryfikacji tożsamości dłużnika. Z materiału dowodowego zebranego w niniejszym postepowaniu wynika, że Komornik z tego obowiązku się nie wywiązał, to znaczy nie dokonał weryfikacji dłużnika, czego skutkiem było bezprawne pozyskanie danych osobowych Skarżącego oraz dalsze ich przetwarzanie, jako danych dłużnika w postępowaniu egzekucyjnym.

Zgodnie z art. 5 RODO dane osobowe muszą być: przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą („zgodność z prawem, rzetelność i przejrzystość”) (lit. a), zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami; dalsze przetwarzanie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych nie jest uznawane w myśl art. 89 ust. 1 za niezgodne z pierwotnymi celami („ograniczenie celu”) (lit. b), adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane („minimalizacja danych”) (lit. c), prawidłowe i w razie potrzeby uaktualniane; należy podjąć wszelkie rozsądne działania, aby dane osobowe, które są nieprawidłowe w świetle celów ich przetwarzania, zostały niezwłocznie usunięte lub sprostowane („prawidłowość”) (lit d), przechowywane w formie umożliwiającej identyfikację osoby, której dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane; dane osobowe można przechowywać przez okres dłuższy, o ile będą one przetwarzane wyłącznie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych na mocy art. 89 ust. 1, z zastrzeżeniem że wdrożone zostaną odpowiednie środki techniczne i organizacyjne wymagane na mocy niniejszego rozporządzenia w celu ochrony praw i wolności osób, których dane dotyczą („ograniczenie przechowywania”) (lit. e), przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych („integralność i poufność”) (lit f).

Ponadto, administrator jest odpowiedzialny za przestrzeganie przepisów ust. 1 i musi być w stanie wykazać ich przestrzeganie („rozliczalność”). Poprzez przetwarzanie danych osobowych, zgodnie  z definicją zawartą w art. 4 pkt 2 RODO, rozumie się także pozyskiwanie danych.

W postępowaniu egzekucyjnym organ prowadzący pozyskuje dane dłużnika od wierzyciela. W niniejszej sprawie, jak wynika z wyjaśnień Komornika, wierzyciel podał nieprawidłowy nr PESEL przez co doszło do nieprawidłowego ustalenia dłużnika. Należy jednak zauważyć, że nr PESEL nie jest jedyną daną, jaką przekazuje wierzyciel organowi egzekucyjnemu, w szczególności przekazywane jest także imię i nazwisko dłużnika. PESEL jest numerem ściśle identyfikujący daną osobę i nie ma możliwości, żeby dwie osoby posługiwały się tym samym numerem. Pozyskując dane z systemu teleinformatycznego, Komornik powinien był zweryfikować ich poprawność z wnioskiem wierzyciela i w razie wątpliwości zgłosić się do wierzyciela w celu ich potwierdzenia.

W niniejszym postępowaniu Komornik wykazał się brakiem staranności przy ustalaniu danych dłużnika. Na Komorniku, jako funkcjonariuszu publicznym ciąży szczególna odpowiedzialność. Jego obowiązkiem jest  sprawdzenie poprawności wniosku wierzyciela (Komornik nie jest związany tym, co przekaże mu wierzyciel, jego obowiązkiem jest weryfikacja informacji przekazanej przez wierzyciela). Komornik, jako organ egzekucyjny jest związany wnioskiem o wszczęcie egzekucji, jednak bada zarówno wniosek jak i tytuł wykonawczy pod względem formalnym.

Mając na względzie powyższe należy stwierdzić, że Komornik naruszył zasadę prawidłowości i poufności (art. 5 ust. 1 lit. d i f RODO). Warto podkreślić, że zasada prawidłowości nakłada na administratora danych obowiązek zadbania o merytoryczną wartość przetwarzanych przez siebie informacji. W RODO podkreślono, że dane osobowe muszą być prawidłowe, a więc rzetelnie weryfikowane, co do ich prawdziwości, co w niniejszej sprawie nie miało miejsca.

Art. 32 ust. 1 RODO stanowi, że uwzględniając stan wiedzy technicznej, koszt wdrażania oraz charakter, zakres, kontekst i cele przetwarzania oraz ryzyko naruszenia praw lub wolności osób fizycznych o różnym prawdopodobieństwie wystąpienia i wadze, administrator i podmiot przetwarzający wdrażają odpowiednie środki techniczne i organizacyjne, aby zapewnić stopień bezpieczeństwa odpowiadający temu ryzyku. Działania komornicze takie jak zajęcie rachunku czy wynagrodzenia za pracę, czy licytacja majątku szczególnie istotnie oddziaływują na osobę, przeciwko której są skierowane. Mają bezpośredni wpływ na jej sytuację materialną, a w dalszej kolejności na inne sfery życia, dlatego jednoznaczna i prawidłowa identyfikacja dłużnika jest kluczowym elementem każdego postępowania egzekucyjnego.

Z zebranego w niniejszej sprawie materiału dowodowego wynika, że Komornik w procesie przetwarzania danych osobowych Skarżącego naruszył zasadę prawidłowości i poufności danych.

Aktualnie Komornik przetwarza dane osobowe Skarżącego w oparciu o art. 6 ust. 1 lit. c RODO ze względu na ustawowy obowiązek prowadzenia dokumentacji postępowania egzekucyjnego. Jednocześnie należy wskazać, że zgodnie z art. 164 ust. 1 ustawy z dnia 22 marca 1918 r. o komornikach sądowych, akta sprawy, w których postępowanie zostało zakończone przechowuje Krajowa Rada Komornicza przez okres konieczny ze względu na rodzaj i charakter sprawy, terminy przedawnienia, interesy osób biorących udział w postępowaniu oraz znaczenie materiałów zawartych w aktach jako źródło informacji. Przy czym, jak wskazuje §10 ust. 4  Rozporządzenia Ministra Sprawiedliwości z dnia 14 grudnia 2018 r. w sprawie przechowywania i niszczenia akt spraw komorniczych oraz zamkniętych urządzeń ewidencyjnych Komornik jest zobowiązany przekazać akta spraw Krajowej Radzie Komorniczej najpóźniej w ciągu trzech lat od zakończenia postępowania.

W tym stanie faktycznym i prawnym Prezes Urzędu Ochrony Danych Osobowych  rozstrzygnął, jak na wstępie.

Decyzja niniejsza jest ostateczna. Na podstawie art. 13 § 2 oraz art. 53 § 1 i 54 § 1 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2018 r., poz. 1302) od niniejszej decyzji stronie przysługuje prawo do wniesienia skargi do Wojewódzkiego Sądu Administracyjnego w Warszawie w terminie 30 dni od dnia doręczenia niniejszego postanowienia za pośrednictwem Urzędu Ochrony Danych Osobowych (adres: Urząd Ochrony Danych Osobowych, ul. Stawki 2, 00 – 193 Warszawa). Wpis od skargi wynosi 200 złotych.