Numer umowy kredytowej jako dana osobowa

Monitor Prawa Bankowego 2022/02 Luty

Wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z 22 kwietnia 2021 r. (II SA/Wa 1865/20)

Numer umowy kredytowej przekazany przez bank ubezpieczycielowi nie stanowi danej osobowej kredytobiorcy, gdy na tej podstawie ubezpieczyciel nie jest w stanie określić tożsamości kredytobiorcy.

Prezes Urzędu Ochrony Danych Osobowych decyzją z [...] lipca 2020 r. nr [...], wydaną na podstawie art. 138 § 1 pkt 1 k.p.a. w związku z art. 22 ustawy z 29.08.1997 r. o ochronie danych osobowych (t.j. Dz.U. z 2016 r., poz. 922, ze zm., dalej: „u.o.d.o. z 1997 r.”), art. 160 ust. 1-3 ustawy z 10.05.2018 r. o ochronie danych osobowych (t.j. Dz.U. z 2019 r., poz. 1781, dalej: „u.o.d.o. z 2018 r.”) oraz art. 4 pkt 1, art. 6 ust. 1 lit. c i art. 57 ust. 1 lit. a i f rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27.04.2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych osobowych) (Dz.U. UE L nr 119, s. 1, ze zm., dalej: „RODO”), utrzymał w mocy decyzję Generalnego Inspektora Ochrony Danych Osobowych z [...] grudnia 2017 r. sygn. [...] w przedmiocie nakazania Towarzystwu Ubezpieczeń [...] S.A. (dalej: „TU”) usunięcia uchybień w procesie przetwarzania danych osobowych M.K. i L.K., poprzez zaprzestanie przetwarzania ich danych osobowych w zakresie numeru umowy kredytowej nr [...] z [...] marca 2008 r. zawartej przez nich z Bankiem [...] S.A. (dalej: „Bank”). Decyzje powyższe zostały wydane w następującym stanie faktycznym i prawnym.

Do Biura Generalnego Inspektora Ochrony Danych Osobowych (aktualnie: Urzędu Ochrony Danych Osobowych, dalej: „GIODO”), wpłynęła skarga M. i L.K. na przetwarzanie ich danych osobowych przez TU oraz Bank. Skarżący w treści skargi wskazali, że podpisali z Bankiem umowę o kredyt hipoteczny nr [...], a jednym z zabezpieczeń tego kredytu jest tzw. ubezpieczenie niskiego wkładu własnego (UNWW). W trakcie okresu drugiej składki ubezpieczeniowej Bank niezgodnie z zapisami umowy, tzn. bez ich zgody oraz bez poinformowania, przekazał ich dane osobowe do TU, tymczasem w umowie kredytowej jest zapis mówiący o tym, że to ubezpieczenie będzie przekazywane przez Bank do Towarzystwa Ubezpieczeniowego [...] S.A. (a nie TU).

W toku postępowania przed GIODO Bank w piśmie z [...] października 2017 r. wyjaśnił, że przetwarza dane osobowe M. i L.K. w ramach realizacji umowy o kredyt hipoteczny nr [...]. Dane osobowe skarżących przetwarzane są w zbiorze o nazwie „Klienci Banku”. W przypadku kredytu skarżących, w ramach pierwszego 36-miesięcznego, jak i obecnego okresu ubezpieczenia, ochronę ubezpieczeniową w zakresie ubezpieczenia niskiego wkładu własnego świadczyło/świadczy Towarzystwo Ubezpieczeniowe [...] S.A. Natomiast w okresie obejmującym drugi 36-miesięczny okres ochrony ubezpieczeniowej oraz 26 pierwszych miesięcy trzeciego okresu ochrony ubezpieczeniowej kredyt skarżących był objęty ubezpieczeniem przez TU. W ramach umowy ubezpieczenia niskiego wkładu portfela kredytów hipotecznych z [...] lipca 2010 r., zawartej pomiędzy Bankiem a TU, Bank w związku z objęciem kredytu skarżących ubezpieczeniem niskiego wkładu własnego przekazał do TU wyłącznie informacje dotyczące parametrów ubezpieczonego kredytu, tj. data uruchomienia, data przyjęcia do ubezpieczenia, numer umowy, waluta, kurs, podstawa naliczania kosztu ubezpieczenia niskiego wkładu własnego, opłata.

TU w piśmie z [...] października 2017 r. wyjaśnił natomiast, że w związku z umową ubezpieczenia niskiego wkładu portfela kredytów hipotecznych z [...] lipca 2010 r. Bank przekazał Towarzystwu jedynie rejestry kredytów, które zawierały m.in. datę uruchomienia kredytu, podstawę naliczenia składki oraz numer umowy kredytowej, które nie stanowiły dla TU danych osobowych ze względu na brak możliwości zidentyfikowania osoby fizycznej, której kredyt hipoteczny został udzielony. Towarzystwo przetwarza przekazane mu przez Bank informacje dotyczące parametrów ubezpieczonego kredytu uczestników postępowania, w tym numer umowy kredytowej.

GIODO decyzją z [...] grudnia 2017 r. wydaną na podstawie art. 6, art. 12 pkt 2, art. 22, art. 23 ust. 1 pkt 2 u.o.d.o. z 1997 r. nakazał TU usunięcie uchybień (...)