ZKE.440.17.2019

Na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2018 r., poz. 2096 ze zm.), art. 160 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781) w związku z art. 12 pkt 2 i art. 22 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r., poz. 922 ze zm.) w związku z art. 6 ust. 1 lit. f Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 04.05.2016, str. 1 oraz Dz. Urz. UE L 127 z 23.05.2018, str. 2), w związku z art. 105 ust. 4 i art. 105a ust. 4 i 5 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz. U. z 2018 r., poz. 2187 z późn. zm.), po przeprowadzeniu postępowania administracyjnego w sprawie skargi Pani A. S., reprezentowanej przez Panią A. G. z K. Sp. z o.o., na działalność Banku P. S.A. w związku z przetwarzaniem danych osobowych Skarżącej oraz przekazaniem ich do B. S.A., Prezes Urzędu Ochrony Danych Osobowych

odmawia uwzględnienia wniosku.

UZASADNIENIE    

Do Prezesa Urzędu Ochrony Danych Osobowych (dawniej: Generalnego Inspektora Ochrony Danych Osobowych) wpłynęła skarga skargi Pani A. S., (zwanej dalej: Skarżącą), reprezentowanej przez Panią A. G. z K. Sp. z o.o., na działalność Banku P. S.A. (zwanego dalej: Bankiem), w związku z przetwarzaniem danych osobowych Skarżącej oraz przekazaniem ich do B. S.A. (zwanego dalej: B.).

W treści skargi Skarżąca wskazała, iż żąda zobowiązania Banku do zaprzestania przetwarzania jej danych osobowych w zakresie umowy pożyczki nr […] do celów oceny zdolności kredytowej i analizy ryzyka kredytowego w B., jako że zobowiązanie z niej wynikające wygasło, a zadłużenie zostało w całości spłacone. Jak wskazała Skarżąca, Bank bezprawnie przetwarza i udostępnia jej dane osobowe do B., na co wskazuje fakt niewypełnienia wobec niej obowiązku wynikającego z dyspozycji art. 105a ust. 3 ustawy Prawo bankowe. Bank nie poinformował bowiem Skarżącej o zamiarze przetwarzania jej danych osobowych po wygaśnięciu zobowiązania, w związku z nieterminowym spłacaniem zaległości wynikających z umowy pożyczki wiążącej ją z Bankiem. Jednocześnie Skarżąca podniosła, że Bank – pomimo skierowania do niego bezpośrednio wniosku o zaprzestanie przetwarzania jej danych osobowych w B. – ustosunkował się negatywnie do tak sformułowanego żądania.  

W celu ustalenia okoliczności faktycznych istotnych dla rozstrzygnięcia niniejszej sprawy, Prezes Urzędu Ochrony Danych Osobowych wszczął postępowanie administracyjne. Na podstawie zebranego w sprawie materiału dowodowego ustalił następujący stan faktyczny:

1. Bank pozyskał dane osobowe Skarżącej w związku z zawarciem umowy pożyczki nr […] z dnia […] listopada 2008 r. (przy czym w dacie jej sporządzenia Skarżąca nosiła nazwisko W.).
2. W chwili podpisania umowy pożyczki, Skarżąca złożyła oświadczenie o wyrażeniu zgody na przetwarzanie przez Bank oraz instytucje utworzone na podstawie art. 105 ust. 4 ustawy z dnia 29 sierpnia 1997 r. - Prawo bankowe (zwanej dalej: Prawem bankowym) dotyczących jej informacji, stanowiących tajemnicę bankową, w celu oceny zdolności kredytowej i analizy ryzyka kredytowego przez okres 5 lat po wygaśnięciu wynikającego z umowy zobowiązania.
3. Bank, w okresie związania stron umową, przetwarzał dane osobowe Skarżącej na podstawie art. 105a ust. 1 ustawy z dnia 29 sierpnia 1997 r. Prawa bankowego, w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Jednocześnie, z końcem listopada 2008 r. działając na podstawie art. 105a ust. 4 Prawa bankowego w związku z art. 23 ust. 1 pkt 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych oraz w oparciu o umowę z dnia […] czerwca 2004 r. w sprawie zbierania i udostępniania informacji stanowiących tajemnicę bankową, Bank przekazał do B. dane osobowe Skarżącej w zakresie: imienia, nazwiska, numeru PESEL, numeru dowodu osobistego, adresu zamieszkania oraz danych dotyczących zawartej umowy.
4. W związku z opóźnieniem w spłacie zobowiązania wynikającego z umowy pożyczki nr […] (wynoszącym – zgodnie z wyjaśnieniami Banku – ponad 180 dni), pismem z dnia […] października 2010 r., wysłanym listem poleconym na wskazany we wniosku o udzielenie pożyczki adres korespondencyjny Skarżącej, Bank wezwał Skarżącą do zapłaty wymagalnego zadłużenia pod rygorem rozwiązania umowy w drodze wypowiedzenia. Jednocześnie Bank poinformował o zamiarze skorzystania, na podstawie art. 105a ust. 3 Prawa bankowego (w związku ze zwłoką w zapłacie zobowiązania wynoszącą powyżej 60 dni), z prawa do przetwarzania informacji stanowiących tajemnicę bankową również po wygaśnięciu zobowiązania, bez zgody Skarżącej, w tym do ich przetwarzania w systemie B. Pismo to, po dwukrotnej awizacji, zostało zwrócone do nadawcy jako nieodebrane przez adresata w terminie oraz uznane przez Bank za prawidłowo doręczone na podstawie art. 61 zd. 1 ustawy z dnia 23 kwietnia 1964 r. Kodeks cywilny. Wobec braku wpłaty zaległych należności, Bank pismem z dnia […] listopada 2010 r. wypowiedział wobec Skarżącej umowę pożyczki.
5. Całkowitej spłaty zadłużenia Skarżąca dokonała ostatecznie w dniu […] grudnia 2011 r. Tym samym wygasło zobowiązanie wynikające z umowy łączącej Skarżącą z Bankiem, a Bank oraz B. kontynuowały przetwarzanie informacji o Skarżącej wynikające z umowy nr […] do celów oceny zdolności kredytowej i analizy ryzyka kredytowego –  początkowo na podstawie jej zgody wyrażonej we wniosku o pożyczkę, a od dnia […] września 2013 r. (tj. od dnia, w którym Skarżąca skierowała do Banku pierwsze oświadczenie o wycofaniu zgody) na podstawie art. 105a ust. 3 Prawa bankowego – bez jej konsensusu na takie działania Banku.
6. Aktualnie Bank przetwarza dane osobowe Skarżącej wynikające z ww. umowy w zakresie: imienia, nazwiska, daty urodzenia, imion rodziców, numeru PESEL, serii i numeru dokumentu tożsamości, adresu oraz numeru telefonu. Podstawę przetwarzania danych osobowych Skarżącej przez Bank stanowi obecnie art. 6 ust. 1 lit. f) Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych osobowych) (Dz. U. UE L 119 z 4.05.2016, str. 1 oraz Dz. Urz. UE L 127 z 23.05.2018 str. 2) w związku z art. 118 ustawy, art. 442¹ i art. 731 z dnia 23 kwietnia 1964 r. Kodeks cywilny, zaś celem przetwarzania jest dochodzenie roszczeń i obrona przed ewentualnymi roszczeniami związanymi z realizacją umowy zawartej przez Skarżącą z Bankiem.  
7. Pismami z dnia […] września 2013 r. oraz […] stycznia 2014 r. Skarżąca zwróciła się do Banku z żądaniem zaprzestania przetwarzania jej danych osobowych wynikających z ww. umowy pożyczki  do celów oceny zdolności kredytowej i analizy ryzyka kredytowego w B. Swój wniosek Skarżąca motywowała faktem, iż Bank nie spełnił wobec niej jednej z przesłanek legalizujących takie przetwarzanie danych, o których mowa jest w 105a ust. 3 ustawy Prawo bankowe – obowiązku poinformowania jej o zamiarze przetwarzania dotyczących jej informacji stanowiących tajemnicę bankową, bez jej zgody, przez okres 5 lat od wygaśnięcia zobowiązania. Bank nie uwzględnił żądania Skarżącej, o czym poinformował ją pismami z dnia: […] października 2013 r. oraz […] stycznia 2014 r.
8. W związku z upływem 5 lat od chwili wygaśnięcia zobowiązania, Bank dokonał w dniu […] grudnia 2016 r. korekty w B. polegającej na tym, że informacje dotyczące umowy pożyczki nr […] nie są już dłużej prezentowane w raportach służących ocenie ryzyka kredytowego w stosunku do osoby Skarżącej.
9. W chwili obecnej, B. przetwarza przekazane mu przez Bank dane osobowe Skarżącej w zakresie związanym z umową pożyczki nr […] na podstawie art. 105a ust. 4 i 5 w związku z art. 105 ust. 4 ustawy Prawo bankowe. Rachunek umowy posiada w B. status rachunku zamkniętego odzyskanego i przetwarzany jest wyłącznie w celu stosowania metod wewnętrznych oraz innych metod i modeli.  W tym stanie faktycznym, Prezes Urzędu Ochrony Danych Osobowych zważył, co następuje.

Z dniem 25 maja 2018 r. w życie weszły przepisy ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781), zwanej dalej „u.o.d.o.”.

W myśl art. 160 ust. 1-3 u.o.d.o., postępowania prowadzone przez Generalnego Inspektora Ochrony Danych Osobowych, wszczęte i niezakończone przed dniem wejścia w życie niniejszej ustawy, prowadzone są przez Prezesa Urzędu Ochrony Danych Osobowych na podstawie ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922 ze zm.), zwanej dalej także „ustawą 1997”, zgodnie z zasadami określonymi w ustawie z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2018 r. poz. 2096 ze zm.). Jednocześnie, czynności dokonane w postępowaniach, wszczętych i niezakończonych przed dniem wejścia w życie przepisów u.o.d.o., pozostają skuteczne.

Od dnia 25 maja 2018 r. zastosowanie ma również rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 04.05.2016, str. 1 ze zm.), zwane dalej „Rozporządzeniem 2016/679”.

Uwzględniając powyższe stwierdzić zatem należy, iż niniejsze postępowanie, wszczęte i niezakończone przed dniem 25 maja 2018 r., prowadzone jest na podstawie ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (w zakresie dotyczącym przepisów regulujących procedurę administracyjną) oraz na podstawie Rozporządzenia 2016/679 (w zakresie rozstrzygającym o legalności procesu przetwarzania danych osobowych). Wynikający w przepisów prawa sposób prowadzenia postępowań w sprawach rozpoczętych i niezakończonych przed dniem wejścia w życie nowych regulacji z zakresu ochrony danych osobowych koreluje z ugruntowanym stanowiskiem doktryny, zgodnie z którym „organ administracji publicznej ocenia stan faktyczny sprawy według chwili wydania decyzji administracyjnej. Reguła ta odnosi się także do oceny stanu prawnego sprawy, co oznacza, że organ administracji publicznej wydaje decyzję administracyjną na podstawie przepisów prawa obowiązujących w chwili jej wydania” (Komentarz do ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. 00.98.1071), M. Jaśkowska, A. Wróbel, Lex., el/2012).

W świetle przepisów Rozporządzenia 2016/679, przetwarzanie danych osobowych jest zgodne z prawem, gdy spełniona zostanie którakolwiek z przesłanek wymienionych w art. 6 ust. 1 Rozporządzenia 2016/679 (stanowiącym odpowiednik obowiązującego do dnia 25 maja 2018 r. art. 23 ust. 1 ustawy 1997), tj. gdy:

a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów (analogicznie w art. 23 ust. 1 pkt 1 ustawy 1997);

b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy (analogicznie w art. 23 ust. 1 pkt 3 ustawy 1997);

c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze (analogicznie w art. 23 ust. 1 pkt 2 ustawy 1997);

d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej;

e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi (analogicznie w art. 23 ust. 1 pkt 4 ustawy 1997) bądź wreszcie;

f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem (analogicznie w art. 23 ust. 1 pkt 5 ustawy 1997).

Przesłanki te odnoszą się do wszelkich form przetwarzania danych, w tym również do ich udostępnienia. Warunki te są także względem siebie równoprawne, co oznacza, że dla legalności procesu przetwarzania danych wystarczające jest spełnienie jednego z nich.

Odnosząc się natomiast do przedmiotu niniejszej sprawy należy wyjaśnić, że aktem prawnym zawierającym szczegółowe regulacje dotyczące procesu przetwarzania danych osobowych klientów banków jest przede wszystkim ustawa z dnia 29 sierpnia 1997 r. – Prawo bankowe (Dz. U. z 2019 r. poz. 2357).

Dokonując badania legalności udostępnienia danych osobowych Skarżącej przez Bank na rzecz B., w związku z zadłużeniem wynikającym z umowy pożyczki nr […] z dnia […] listopada 2008 r., Prezes Urzędu Ochrony Danych Osobowych wskazuje, że B. jest instytucją utworzoną na podstawie art. 105 ust. 4 Prawa bankowego, zgodnie z którym banki mogą, wspólnie z bankowymi izbami gospodarczymi, utworzyć instytucje do gromadzenia, przetwarzania i udostępniania m.in.: bankom – informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych, a nadto innym instytucjom ustawowo upoważnionym do udzielania kredytów – informacji o wierzytelnościach oraz o obrotach i stanach rachunków bankowych w zakresie, w jakim informacje te są niezbędne w związku z udzielaniem kredytów, pożyczek pieniężnych, gwarancji bankowych i poręczeń.

Zgodnie z art. 105a ust. 1 Prawa bankowego, przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów oraz instytucje utworzone na podstawie art. 105 ust. 4 (np. B.), informacji stanowiących tajemnicę bankową w zakresie dotyczącym osób fizycznych może być wykonywane (…) w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Informacje zawarte w B. służyć mają wypełnianiu przez banki, jako instytucje zaufania publicznego, ich ustawowych obowiązków związanych z koniecznością dokładania szczególnej staranności w zakresie zapewnienia bezpieczeństwa przechowywanych środków pieniężnych, a także koniecznością należytego badania zdolności kredytowej, od której istnienia – zgodnie z art. 70 ust. 1 Prawa bankowego – bank uzależnia udzielenie kredytu. Badanie zdolności kredytowej, na którą składa się zdolność do spłaty zobowiązań i wiarygodność kredytowa, jest niezwykle istotnym elementem działalności banku. Biuro Informacji Kredytowej zostało utworzone właśnie w celu zmniejszenia ryzyka udzielania trudnych kredytów, przyśpieszenia i uproszczenia procedur kredytowych oraz wspomagania decyzji banków dotyczących udzielania kredytu.

Jak ustalił Prezes Urzędu Ochrony Danych Osobowych, przekazanie danych osobowych Skarżącej przez Bank do B. nastąpiło z końcem listopada 2008 r., a zatem jeszcze w okresie obowiązywania uprzedniej regulacji prawnej z zakresu ochrony danych osobowych. Udostępnienie danych Skarżącej do B. znajdowało przy tym oparcie w przesłance wymienionej w art. 23 ust. 1 pkt 2 ustawy 1997, albowiem było ono niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze. Co istotne, dla legalności tego udostępnienia, stosownie do treści art. 105 ust. 4 Prawa bankowego, zgoda Skarżącej nie była wymagana.

Należy również wyjaśnić, iż w pełni legalne było przetwarzanie przez Bank w B. danych osobowych Skarżącej w celu oceny zdolności kredytowej i analizy ryzyka kredytowego, przez okres 5 lat następujących po wygaśnięciu zobowiązania wynikającego z umowy pożyczki nr […] z dnia […] listopada 2008 r. Na podstawie zgromadzonego w niniejszej sprawie materiału dowodowego, w tym zwłaszcza wyjaśnień Banku i przedstawionej na ich poparcie dokumentacji w postaci kopii korespondencji kierowanej do Skarżącej, należy bowiem uznać, że ww. należycie powiadomił Skarżącą o zamiarze przetwarzania jej danych osobowych, stanowiących tajemnicę bankową, do celów oceny zdolności kredytowej i analizy ryzyka kredytowego również po dacie całkowitej spłaty pożyczki gotówkowej. Taki obowiązek ciążył na Banku, jako administratorze danych osobowych, stosownie do brzmienia art. 105a ust. 3 Prawa bankowego, zgodnie z którym banki mogą przetwarzać informacje stanowiące tajemnicę bankową, dotyczące osób fizycznych, po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem – a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank, o zamiarze przetwarzania dotyczących jej informacji, bez jej zgody. W realiach niniejszej sprawy nie budzi wątpliwości, iż Skarżąca popadła w zwłokę ze spłatą zadłużenia wynikającego z umowy pożyczki nr […] – okoliczności tej nie negowała ona bowiem na żadnym etapie postępowania. Jednocześnie Bank prawidłowo poinformował Skarżącą o zamiarze dalszego przetwarzania jej danych, na co wskazują przedstawione przez Bank dowody w postaci: kopii pisma datowanego na dzień […] października 2010 r., zawierającego wezwanie do zapłaty wymagalnego zadłużenia oraz klauzulę informacyjną odnoszącą się do treści art. 105a ust. 3 Prawa bankowego oraz kopii koperty, potwierdzającej jednoznacznie fakt nadania tego pisma w placówce polskiego operatora pocztowego oraz jego dwukrotnej awizacji pod adresem wskazanym przez Skarżącą, jako adres do korespondencji. Bez znaczenia dla dokonanej przez Prezesa Urzędu Ochrony Danych Osobowych oceny spełnienia przez Bank przedmiotowej przesłanki z art. 105a ust. 3 Prawa bankowego pozostaje podnoszona przez Skarżącą okoliczność, że we wskazanym okresie nie przebywała w miejscu swego zamieszkania. Jeśli bowiem Skarżąca nie poinformowała o powyższej przeszkodzie Banku i nie wskazała innego adresu, pod którym możliwy byłby odbiór pisma – a w sprawie brak jest dowodów na to wskazujących – doręczenie dokonane przez Bank należy uznać, stosownie do treści art. 61 Kodeksu cywilnego, za w pełni prawidłowe i skuteczne.

Tym samym, w ocenie Prezesa Urzędu Ochrony Danych Osobowych, przetwarzanie danych osobowych Skarżącej po wygaśnięciu ww. zobowiązania finansowego, tj. od dnia […] grudnia 2011 r. do dnia […] grudnia 2016 r. znajdowało oparcie w obowiązujących przepisach prawa.

Jak wynika z poczynionych ustaleń faktycznych, B. przetwarza aktualnie dane osobowe Skarżącej wynikające z umowy pożyczki nr […] z dnia […] listopada 2008 r. wyłącznie w celu stosowania wewnętrznych metod statystycznych, do czego uprawniony jest na podstawie art. 105a ust. 4 Prawa bankowego, zgodnie z którym Banki oraz instytucje, o których mowa w art. 105 ust. 4, mogą przetwarzać informacje stanowiące tajemnicę bankową, dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, bez zgody osoby, której informacje dotyczą, dla celów stosowania metod statystycznych, o których mowa w art. 128 ust. 3. Jednocześnie, jak wynika z brzmienia art. 105a ust. 5 Prawa bankowego, przetwarzanie takie może być wykonywane przez okres nie dłuższy niż 12 lat od dnia wygaśnięcia zobowiązania – w przypadku B. oraz nie dłużej niż przez okres 5 lat od dnia wygaśnięcia zobowiązania – w przypadku Banku.

Co zaś dotyczy Banku, przetwarza on dane osobowe Skarżącej wyłącznie w celach dowodowych, wynikających z okresu przedawnienia roszczeń. Tym samym podstawę przetwarzania danych osobowych Skarżącej przez Bank stanowi obecnie art. 6 ust. 1 lit f) Rozporządzenia 2016/679 w związku z art. 118 ustawy z dnia 23 kwietnia 1964 r. Kodeks cywilny.

W związku z poczynionymi ustaleniami wskazać należy, że dalsze prowadzenie przez Prezesa Ochrony Danych Osobowych postępowania administracyjnego, zainicjowanego skargą na nieprawidłowości w przetwarzaniu danych osobowych Skarżącej przez Bank, ukierunkowanego na wydanie decyzji administracyjnej na podstawie art. 18 ust. 1 ustawy 1997 jest niezasadne.

Stosownie do brzmienia ww. przepisu, w przypadku naruszenia przepisów o ochronie danych osobowych, Prezes Urzędu Ochrony Danych Osobowych z urzędu lub na wniosek osoby zainteresowanej, w drodze decyzji administracyjnej, nakazuje przywrócenie stanu zgodnego z prawem, a w szczególności: usunięcie uchybień (1), uzupełnienie, uaktualnienie, sprostowanie, udostępnienie lub nieudostępnienie danych osobowych (2), zastosowanie dodatkowych środków zabezpieczających zgromadzone dane osobowe (3), wstrzymanie przekazywania danych osobowych do państwa trzeciego (4), zabezpieczenie danych lub przekazanie ich innym podmiotom (5) lub usunięcie danych osobowych (6). Z brzmienia art. 18 ust. 1 ustawy 1997, a zarazem z definicji decyzji administracyjnej – jako aktu rozstrzygającego w sposób władczy o prawach i obowiązkach stron postępowania w ustalonym i aktualnym na chwilę jego wydania stanie faktycznym i prawnym – wynika, że organ ochrony danych osobowych nie dokonuje oceny zdarzeń przeszłych, nie kontynuowanych w chwili orzekania. Decyzja Prezesa UODO jest bowiem instrumentem służącym przywróceniu stanu zgodnego z prawem w procesie przetwarzania danych, realizowanym w chwili wydania decyzji.

Biorąc pod uwagę powyższe, należy stwierdzić, iż obecnie nie ma podstaw dla sformułowania nakazu, o którym mowa w art. 18 ust. 1 ustawy, albowiem dane osobowe Skarżącej nie są już obecnie przetwarzane w B. do celów oceny zdolności kredytowej i analizy ryzyka kredytowego, a jedynie do celów stosowania metod statystycznych, co zgodne jest z obowiązującymi przepisami prawa i nie wymaga zgody Skarżącej. Z uwagi na powyższe, postępowanie administracyjne w niniejszej sprawie należało zakończyć decyzją o odmowie uwzględnienia wniosku Skarżącej. W tym stanie faktycznym i prawnym Prezes Urzędu Ochrony Danych Osobowych rozstrzygnął, jak na wstępie.

Na podstawie art. 127 § 3 Kpa od decyzji przysługuje stronie prawo do wniesienia wniosku o ponowne rozpatrzenie sprawy w terminie 14 dni od dnia jej doręczenia stronie. Jeżeli strona nie chce skorzystać z prawa do złożenia wniosku o ponowne rozpatrzenie sprawy, ma prawo do wniesienia skargi na decyzję do Wojewódzkiego Sądu Administracyjnego w Warszawie w terminie 30 dni od dnia doręczenia jej stronie. Skargę wnosi się za pośrednictwem Prezesa Urzędu (adres: ul. Stawki 2, 00-193 Warszawa). Wpis od skargi wynosi 200 złotych. Strona ma prawo ubiegania się o prawo pomocy, w tym zwolnienie od kosztów sądowych.