ZKE.440.59.2019

Na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2018 r. poz. 2096 ze zm.), art. 160 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781) w związku z art. 12 pkt 2 i art. 22 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922 ze zm.), art. 6 ust. 1 lit. f) i art. 57 ust. 1 lit. a) i lit. f) Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych osobowych) (Dz. Urz. UE L 119 z 04.05.2016 r. str. 1 oraz Dz. Urz. UE L 127 z 23.05.2018 r. str. 2), oraz w związku z art. 105 ust. 4 i art. 105a ust. 1, 3 i 4  ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz. U. z 2018 r. poz. 2187 ze zm.), po przeprowadzeniu postępowania administracyjnego w sprawie skargi Pana M. M., na przetwarzanie jego danych osobowych przez A.S.A., Prezes Urzędu Ochrony Danych Osobowych

odmawia uwzględnienia wniosku.

UZASADNIENIE

Do Biura Generalnego Inspektora Ochrony Danych Osobowych (obecnie: Urzędu Ochrony Danych Osobowych) wpłynęła skarga Pana M. M., zwanego dalej „Skarżącym”, na przetwarzanie jego danych osobowych przez A.S.A., zwany dalej również „Bankiem”, polegające na ich udostępnieniu na rzecz B., zwanego dalej również „B.”. Skarżący podniósł, że Bank przetwarza jego dane osobowe (w tym przez udostępnienie ich na rzecz B.) bez podstawy prawnej oraz z naruszeniem ciążących na nim obowiązków informacyjnych, po wygaśnięciu zobowiązań wynikających z łączącej go z Bankiem umowy z [...] grudnia 2009 r. o numerze […]. W związku z przedstawioną sytuacją Skarżący wniósł o:

1. wypełnienie przez Bank w stosunku do niego obowiązku informacyjnego wynikającego z treści art. 25 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922 ze zm.), zwanej dalej „u.o.d.o. 1997”,
2. usunięcie jego danych osobowych z bazy BI. lub „zaktualizowanie ich do stanu faktycznego a więc przeniesienie ich do sekcji statystycznej B.”.

W toku postępowania przeprowadzonego w niniejszej sprawie Prezes Urzędu Ochrony Danych Osobowych ustalił następujący stan faktyczny:

1. W dniu […] grudnia 2009 r. Skarżący zawarł z C. (którego następcą prawnym – w związku z jego przejęciem na podstawie art. 492 § 1 pkt 1 ustawy z dnia 15 września 2000 r. Kodeks spółek handlowych – jest A.S.A.) Umowę nr […] o […], zwaną dalej „Umową kredytową”. Zgodnie z tą umową:

a)     Skarżący „został poinformowany o przysługującym mu prawie dostępu do treści swoich danych osobowych oraz ich poprawiania oraz o fakcie, że administratorem tych danych jest BANK z siedzibą […]. Podanie danych jest dobrowolne i służy wywiązywaniu się z Umowy. Na podstawie art. 105 ust. 4 Ustawy z dnia 29.08.1997 r. Prawo bankowe […] dane te będą przekazywane do B. […] i mogą być przetwarzane przez B. oraz udostępniane innym bankom i innym instytucjom w celach i w zakresie określonym w art. 105 i 105a Prawa bankowego. KREDYTOBIORCY przysługuje prawo dostępu do tych danych, ich poprawiania, żądania zaprzestania przetwarzania danych oraz wniesienia sprzeciwu na warunkach określonych w Ustawie z dnia 29.08.1997 r. o ochronie danych osobowych [...]” (pkt [...] Umowy kredytowej),

b)    Skarżący „został poinformowany, że […] BANK może przekazać jego dane osobowe jak również informacje objęte tajemnicą bankową do V., instytucji zrzeszonych w V., lub innych tego rodzaju Organizacji Płatniczych m.in. w celach rozliczeniowych, realizacji reklamacji lub zapobiegających oszustwom, oraz, że dane te mogą być przetwarzane przez wyżej wymienione instytucje” (pkt [...] Umowy kredytowej),

c)     Skarżący wyraził zgodę na przetwarzanie przez Bank swoich danych osobowych po wygaśnięciu Umowy kredytowej w celu promocji produktów finansowych Banku oraz w celu oceny zdolności kredytowej oraz ryzyka kredytowego (pkt [...] Umowy kredytowej),

d)    Skarżący został poinformowany, że „na podstawie art. 105 ust. 4d Ustawy Prawo Bankowe BANK może za pośrednictwem BI. przekazać do instytucji finansowych, będących podmiotami zależnymi od banków, informacje o zobowiązaniach powstałych z tytułu umowy, a związanych z wykonywaniem czynności bankowych” (pkt [...] Umowy kredytowej),

e)     Skarżący wyraził zgodę na „przetwarzanie przez B. i udostępnianie instytucjom finansowym przekazanych przez BANK informacji o zobowiązaniach powstałych z tytułu niniejszej Umowy przez okres nie dłuższy niż pięć lat.” (pkt [...] Umowy kredytowej). 

1. W związku z opóźnieniem w spłacie zobowiązań wynikających z Umowy kredytowej (w listopadzie 2011 r. wynoszącym – zgodnie z wyjaśnieniami Banku – 76 dni), pisemnym oświadczeniem z […] grudnia 2011 r., wysłanym […] grudnia 2011 r. na wskazany w Umowie kredytowej adres Skarżącego, Bank Wypowiedział Umowę kredytową. W oświadczeniu tym Bank wezwał Skarżącego do zapłaty zaległości powstałej na rachunku Umowy kredytowej i poinformował m.in. o zamiarze skorzystania, na podstawie art. 105a ust. 3 Ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz. U. z 2018 r. poz. 2187 ze zm.), zwanej dalej „pr.bank.” (w związku ze zwłoką w zapłacie zobowiązania wynoszącą powyżej 60 dni), z prawa do przetwarzania informacji stanowiących tajemnicę bankową przez okres 5 lat po wygaśnięciu zobowiązania, bez zgody Skarżącego, w tym do ich przetwarzania w systemie B.
2. Umowa kredytowa uległa rozwiązaniu w styczniu 2012 r., po bezskutecznym upływie zakreślonego przez Bank 30-dniowego terminu zapłaty zaległości powstałej na rachunku Umowy kredytowej.
3. W dniu […] czerwca 2014 r. Skarżący dokonał całkowitej spłaty zaległości powstałej na rachunku Umowy kredytowej. Tym samym wygasło zobowiązanie wynikające z umowy łączącej Skarżącego z Bankiem, a Bank oraz B. zaczęły przetwarzać informacje o Skarżącym i zobowiązaniu wynikającym z Umowy kredytowej, początkowo na podstawie jego zgody wyrażonej w Umowie kredytowej, a od dnia […] lipca 2016 r. (tj. od dnia, w którym do Banku wpłynęło pierwsze pismo Skarżącego potraktowane przez Bank jako wycofanie jego zgody) na podstawie art. 105a ust. 3 pr.bank. – bez jego zgody.
4. Pismami z […] czerwca 2016 r. (data wpływu do Banku: […] lipca 2016 r.), […] września 2016 r. (data wpływu do Banku: […] września 2016 r.) oraz […] października 2016 r. (data wpływu do banku: […] października 2016 r.) Skarżący wezwał Bank do zaprzestania przetwarzania jego danych związanych z Umową kredytową w celu oceny zdolności kredytowej i ryzyka kredytowego, a w szczególności do ich usunięcia z B., Systemu […] i ewentualnie innych rejestrów i instytucji. Skarżący uzasadniał swoje żądanie niespełnieniem przez Bank jednej z przesłanek uzasadniających takie przetwarzanie (wskazanej w art. 105a ust. 3 pr.bank.) – obowiązku poinformowania go przez Bank o zamiarze przetwarzania dotyczących go informacji stanowiących tajemnicę bankową, bez jego zgody, przez okres 5 lat od wygaśnięcia zobowiązania. Bank odmówił żądaniom Skarżącego wskazując, że informacja taka została Skarżącemu przekazana w oświadczeniu z […] grudnia 2011 r. o wypowiedzeniu Umowy kredytowej, wysłanym listem poleconym […] grudnia 2011 r. na wskazany w Umowie kredytowej adres Skarżącego. W wyjaśnieniach złożonych w niniejszym postępowaniu Bank przedstawił potwierdzenie nadania tego pisma za pośrednictwem operatora I. – kopię książki nadawczej z […] grudnia 2011 r.
5. Aktualnie Bank – zgodnie z jego wyjaśnieniami złożonymi w niniejszym postępowaniu […] września 2019 r. – przetwarza dane osobowe Skarżącego w zakresie: danych identyfikacyjnych, danych adresowych oraz danych dotyczących produktu bankowego (Umowy kredytowej) na podstawie art. 6 ust. 1 lit. f) Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych osobowych) (Dz. U. UE L 119 z 4.05.2016, str. 1 oraz Dz. Urz. UE L 127 z 23.05.2018 str. 2), zwanego dalej „Rozporządzeniem 2016/679” oraz na podstawie art. 118 Ustawy z dnia 23 kwietnia 1964 r. Kodeks cywilny (Dz. U. z 2019 r. poz. 1145 ze zm.) w związku z art. 5 ust. 1-3 ustawy z dnia 13 kwietnia 2018 r. o zmianie ustawy – Kodeks cywilny oraz niektórych innych ustaw (Dz. U. z 2018 r. poz. 1104). Bank przetwarza dane osobowe Skarżącego w celach związanych z ustaleniem, dochodzeniem roszczeń i obroną przed ewentualnymi roszczeniami związanymi z realizacją Umowy kredytowej.
6. Aktualnie B. – zgodnie z jego wyjaśnieniami złożonymi w niniejszym postępowaniu [...] września 2019 r. – przetwarza przekazane mu przez Bank dane osobowe Skarżącego w zakresie danych związanych z Umową kredytową na podstawie art. 105 ust. 4 i 5 pr.bank. Rachunek Umowy kredytowej w B. ma status rachunku zamkniętego i przetwarzany jest w celu stosowania metod wewnętrznych oraz innych metod i modeli.

Po zapoznaniu się z całością zgromadzonego w sprawie materiału dowodowego, Prezes Urzędu Ochrony Danych Osobowych zważył, co następuje.

Z dniem wejścia w życie ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781), zwanej dalej „u.o.d.o. 2018”, tj. z dniem 25 maja 2018 r., Biuro Generalnego Inspektora Ochrony Danych Osobowych stało się Urzędem Ochrony Danych Osobowych. Postępowania prowadzone przez Generalnego Inspektora Ochrony Danych Osobowych, wszczęte i niezakończone przed dniem 25 maja 2018 r. prowadzone są przez Prezesa Urzędu Ochrony Danych Osobowych, na podstawie u.o.d.o. 1997, zgodnie z zasadami określonymi w ustawie z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2018 r. poz. 2096 ze zm.), zwanej dalej „k.p.a.”. Wszelkie czynności podjęte przez Generalnego Inspektora Ochrony Danych Osobowych przed dniem 25 maja 2018 r. pozostają skuteczne (art. 160 ust. 1–3 u.o.d.o. 2018).

Stosownie do art. 57 ust. 1 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych osobowych) (Dz. U. UE L 119 z 4.05.2016, str. 1 oraz Dz. Urz. UE L 127 z 23.05.2018 str. 2), zwanego dalej „Rozporządzeniem 2016/679”, bez uszczerbku dla innych zadań określonych na mocy tego rozporządzenia, każdy organ nadzorczy na swoim terytorium monitoruje i egzekwuje stosowanie tego rozporządzenia (lit. a) oraz rozpatruje skargi wniesione przez osobę, której dane dotyczą, lub przez umocowany przez nią – zgodnie z art. 80 Rozporządzeniem 2016/679 – podmiot, organizację lub zrzeszenie, w odpowiednim zakresie prowadzi postępowania w przedmiocie tych skarg i w rozsądnym terminie informuje skarżącego o postępach i wynikach tych postępowań (lit. f).

W tym miejscu wskazać należy, że Prezes Urzędu Ochrony Danych Osobowych wydając decyzję administracyjną zobowiązany jest do rozstrzygania w oparciu o stan faktyczny istniejący w chwili wydania tej decyzji. Jak podnosi doktryna „organ administracji publicznej ocenia stan faktyczny sprawy według chwili wydania decyzji administracyjnej. Reguła ta odnosi się także do oceny stanu prawnego sprawy, co oznacza, że organ administracji publicznej wydaje decyzję administracyjną na podstawie przepisów prawa obowiązujących w chwili jej wydania (…). Rozstrzyganie w postępowaniu administracyjnym polega na zastosowaniu obowiązującego prawa do ustalonego stanu faktycznego sprawy administracyjnej. W ten sposób organ administracji publicznej realizuje cel postępowania administracyjnego, jakim jest urzeczywistnienie obowiązującej normy prawnej w zakresie stosunków administracyjno-prawnych, gdy stosunki te tego wymagają” (Komentarz do ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego, M. Jaśkowska, A. Wróbel, Lex., el/2012). Również Naczelny Sąd Administracyjny – w wyroku z dnia 7 maja 2008 r. w sprawie o sygn. akt I OSK 761/07 stwierdził, iż cyt.: „badając bowiem legalność przetwarzania danych osobowych, GIODO ma obowiązek ustalenia, czy na datę wydawania rozstrzygnięcia w sprawie dane konkretnego podmiotu są przetwarzane oraz czy czynione to jest w sposób zgodny z prawem”.

W niniejszej sprawie Skarżący zakwestionował przetwarzanie przez Bank - na podstawie art. 105a ust. 3 pr.bank. - jego danych osobowych w celu oceny zdolności kredytowej i analizy ryzyka kredytowego po wygaśnięciu zobowiązania wynikającego z Umowy kredytowej, polegające na przekazaniu i przetwarzaniu ich w systemie B.

Aktem prawnym szczegółowo regulującym kwestie przetwarzania danych osobowych klientów banków jest przede wszystkim pr.bank. Dlatego też ocena przetwarzania danych osobowych Skarżącego w związku z łączącą go z Bankiem umową powinna być dokonywana w powiązaniu z przepisami tej ustawy.

Stosownie do art. 105 ust. 4 pr.bank. banki mogą, wspólnie z bankowymi izbami gospodarczymi, utworzyć instytucje upoważnione m.in. do gromadzenia, przetwarzania i udostępniania: 1) bankom – informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych oraz w związku ze stosowaniem metod wewnętrznych i innych modeli, 2) innym instytucjom ustawowo upoważnionym do udzielania kredytów – informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są niezbędne w związku z udzielaniem kredytów, pożyczek pieniężnych, gwarancji bankowych i poręczeń. Do instytucji utworzonych na podstawie powołanego przepisu należy m.in. B. W myśl art. 105a ust. 1 pr.bank. przetwarzanie przez banki oraz instytucje utworzone na podstawie art. 105 ust. 4 pr.bank. (a więc również przez B.), informacji stanowiących tajemnicę bankową w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem art. 104, art. 105 i art. 106-106c pr.bank., w celu oceny zdolności kredytowej i analizy ryzyka kredytowego.

Stosownie do art. 105a ust. 2 pr.bank. instytucje, o których mowa w ust. 1 (w tym banki oraz B.), mogą, z zastrzeżeniem ust. 3, przetwarzać informacje stanowiące tajemnicę bankową w zakresie dotyczącym osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem albo inną instytucją ustawowo upoważnioną do udzielania kredytów lub pożyczkową, pod warunkiem uzyskania pisemnej zgody osoby, której informacje te dotyczą. Zgoda ta może być w każdym czasie odwołana.

Kwestię przetwarzania informacji stanowiących tajemnicę bankową dotyczących osoby fizycznej po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, w sytuacji braku zgody tej osoby, reguluje natomiast art. 105a ust. 3 pr.bank. Przepis ten stanowi, że instytucje, o których mowa w ust. 1 (w tym banki oraz B.), mogą przetwarzać informacje stanowiące tajemnicę bankową dotyczące osób fizycznych, po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem albo inną instytucją ustawowo upoważnioną do udzielania kredytów lub pożyczkową, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem albo inną instytucją ustawowo upoważnioną do udzielania kredytów lub pożyczkową, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby o zamiarze przetwarzania dotyczących jej informacji stanowiących tajemnicę bankową, bez jej zgody. Stosownie do art. 105a ust. 5 pr.bank. takie przetwarzanie może być wykonywane przez okres nie dłuższy niż 5 lat od dnia wygaśnięcia zobowiązania.

Natomiast w myśl art. 105a ust.4 pr.bank. banki oraz instytucje, o których mowa w art. 105 ust. 4 pr.bank. (w tym B.), mogą przetwarzać informacje stanowiące tajemnicę bankową dotyczące osób fizycznych, po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem albo inną instytucją ustawowo upoważnioną do udzielania kredytów lub pożyczkową, bez zgody osoby, której informacje dotyczą, do celów stosowania metod wewnętrznych oraz innych metod i modeli. Stosownie do art. 105a ust. 5 pr.bank. takie przetwarzanie może być wykonywane przez okres 12 lat od dnia wygaśnięcia zobowiązania

Zakres przetwarzanych informacji, o których mowa w art. 105a ust. 3 i 4 pr.bank., może obejmować dane dotyczące osoby fizycznej lub dane dotyczące zobowiązania (ust. 6 pr.bank.).

Odnosząc wyżej przywołane przepisy pr.bank. do stanu faktycznego niniejszej sprawy stwierdzić należy, że:

1. W czasie trwania umowy kredytowej (od jej zawarcia […] grudnia 2009 r. do jej rozwiązania w styczniu 2012 r.) dane osobowe Skarżącego przetwarzane były przez Bank w celu realizacji Umowy kredytowej na podstawie art. 23 ust. 1 pkt 3 obowiązującej wówczas u.o.d.o. 1997. Przekazanie danych Skarżącego do B. oraz dalsze ich przetwarzanie w systemie B. w celu oceny zdolności kredytowej i analizy ryzyka kredytowego, znajdowało zaś podstawę prawną w przepisach art. 105 ust. 4 i 105a ust. 1 pr.bank.
2. W okresie od rozwiązania Umowy kredytowej do dnia wygaśnięcia zobowiązania (tj. do […] czerwca 2014 r.) Bank przetwarzał dane osobowe Skarżącego, w celu dochodzenia roszczeń powstałych w związku z Umową kredytową, na podstawie art. 23 ust. 1 pkt 5 w związku z art. 23 ust. 4 u.o.d.o. 1997. Przetwarzanie w tym okresie danych Skarżącego w systemie B. w celu oceny zdolności kredytowej i analizy ryzyka kredytowego, miało w dalszym ciągu podstawę prawną w przepisach art. 105 ust. 4 i 105a ust. 1 pr.bank.
3. W okresie od dnia wygaśnięcia zobowiązania powstałego w związku z Umową kredytową do […] lipca 2016 r. przetwarzanie danych osobowych Skarżącego przez Bank oraz B. odbywało się na podstawie zgody udzielonej przez Skarżącego przy zawarciu Umowy kredytowej w dniu […] grudnia 2009 r., a odwołanej pismem Skarżącego datowanym na dzień […] czerwca 2016 r., które do Banku wpłynęło […] lipca 2016 r.
4. W okresie od […] lipca 2014 r. do […] lipca 2019 r. Bank upoważniony był do przetwarzania danych osobowych Skarżącego w systemie B. (bez zgody Skarżącego) na podstawie art. 105a ust. 3 pr.bank.

W tym miejscu uznać należy za niezasadny podniesiony przez Skarżącego zarzut niedopełnienia przez Bank określonego w art. 105a ust. 3 pr.bank. obowiązku poinformowania go o zamiarze przetwarzania jego danych osobowych po wygaśnięciu zobowiązania wynikającego z Umowy kredytowej. Na potwierdzenie wywiązania się z ciążącego na nim obowiązku Bank przedstawił kopię pisma datowanego na […] grudnia 2011 r., zawierającego oświadczenie o wypowiedzeniu Umowy kredytowej wraz z klauzulą informującą o zamiarze przetwarzania danych osobowych Skarżącego po wygaśnięciu zobowiązania, oraz kopię książki nadawczej potwierdzającej jednoznacznie fakt wysłania tego pisma na adres Skarżącego. Bez znaczenia dla oceny spełnienia przez Bank przedmiotowej przesłanki z art. 105a ust. 3 pr.bank. pozostaje podniesiona przez Skarżącego okoliczność, że w tym okresie nie mieszkał pod wskazanym adresem (przebywał poza granicami Polski), skoro nie poinformował o tym Bank i nie wskazał mu innego adresu korespondencyjnego.

1. Aktualnie B. – co wynika z wyjaśnień złożonych w piśmie z […] września 2019 r. – przetwarza dane osobowe Skarżącego, bez jego zgody, w zakresie dotyczącym Umowy kredytowej w celu stosowania metod wewnętrznych oraz innych metod i modeli, co znajduje podstawę prawną w art. 105a ust. 4 pr.bank.
2. Aktualnie Bank – zgodnie z oświadczeniem złożonym w piśmie z […] września 2019 r. – przetwarza dane osobowe Skarżącego, bez jego zgody, w zakresie dotyczącym Umowy kredytowej w celach związanych z ustaleniem, dochodzeniem i obroną ewentualnych roszczeń wynikających z realizacji Umowy kredytowej, w oparciu o art. 6 ust. 1 lit. f) Rozporządzenia 2016/679. Wobec braku sprzeciwu Skarżącego na takie przetwarzanie jego danych osobowych oraz w związku z faktem, że nie zostało ono zakwestionowane przez Skarżącego w skardze skierowanej do Prezesa Urzędu Ochrony Danych Osobowych ani w trakcie niniejszego postępowania, uznać należy, że jest ono legalne.

Podsumowując powyższe stwierdzić należy, że dane osobowe Skarżącego nie były i nie są w sposób niezgodny z prawem (bez podstawy prawnej) przetwarzane przez Bank. Wniosek Skarżącego o usunięcie jego danych osobowych z bazy B. nie zasługuje na uwzględnienie, również w związku z tym, że aktualny (istniejący w chwili wydania niniejszej decyzji) stan faktyczny odpowiada treści alternatywnego (wobec całkowitego usunięcia danych z systemu B.) żądania Skarżącego - „zaktualizowania jego danych osobowych do stanu faktycznego a więc przeniesienia ich do sekcji statystycznej B.”.

Odnosząc się do wniosku Skarżącego o wypełnienie przez Bank w stosunku do niego obowiązku informacyjnego wynikającego z art. 25 ust. 1 u.o.d.o. 1997, należy stwierdzić, że wskazany przez Skarżącego przepis (obowiązujący, jak cała – co do zasady – u.o.d.o. 1997, do 24 maja 2018 r.) dotyczył sytuacji, w której administrator danych zbierał dane osobowe nie od osoby, której one dotyczą, tylko z innych źródeł. Nie ma on zatem zastosowania w niniejszej sprawie, gdyż Bank pozyskał dane osobowe Skarżącego bezpośrednio od niego podczas zawierania Umowy kredytowej. Obowiązek informacyjny administratora danych w takiej sytuacji regulował art. 24 ust. 1. u.o.d.o. 1997. Obowiązek ten w niniejszej sprawie został przez Bank wypełniony, gdyż – jak to zostało ustalone i przedstawione w pkt 1 części uzasadnienia niniejszej decyzji dotyczącej opisu stanu faktycznego sprawy – Umowa kredytowa, zaakceptowana i podpisana przez Skarżącego […] grudnia 2009 r., zawierała informacje wskazane w art. 24 ust 1 u.o.d.o. 1997, tj. adres siedziby i pełną nazwę administratora danych, cel zbierania danych, wskazanie ewentualnych odbiorców lub kategorie odbiorców jego danych, informację o prawie dostępu do treści swoich danych oraz ich poprawiania, a także informację o dobrowolności podania przez Skarżącego danych.

Mając na uwadze powyższe, stwierdzić należy, że brak jest podstaw do uwzględnienia przez Prezesa Urzędu Ochrony Danych Osobowych żądań Skarżącego i wydania decyzji administracyjnej, mocą której organ nakazałby Bankowi usunięcie z systemu B. jego danych osobowych albo przeniesienie ich do sekcji B., w której dane przetwarzane są dla celów stosowania metod wewnętrznych oraz innych metod i modeli, jak też spełnienie wobec Skarżącego obowiązku informacyjnego określonego w art. 25 ust. 1 (czy też właściwie: art. 24 ust. 1) u.o.d.o. 1997. W tym stanie faktycznym i prawnym Prezes Urzędu Ochrony Danych Osobowych rozstrzygnął, jak w sentencji.

Na podstawie art. 127 § 3 k.p.a. od decyzji przysługuje stronie prawo do wniesienia wniosku o ponowne rozpatrzenie sprawy w terminie 14 dni od dnia jej doręczenia stronie. Jeżeli strona nie chce skorzystać z prawa do złożenia wniosku o ponowne rozpatrzenie sprawy, ma prawo do wniesienia skargi na decyzję do Wojewódzkiego Sądu Administracyjnego w Warszawie w terminie 30 dni od dnia doręczenia jej stronie. Skargę wnosi się za pośrednictwem Prezesa Urzędu Ochrony Danych Osobowych (adres: ul. Stawki 2, 00-193 Warszawa). Wpis od skargi wynosi 200 złotych. Strona ma prawo ubiegania się o prawo pomocy, w tym zwolnienie od kosztów sądowych.