Skarga kasacyjna od wyroku WSA ws. przetwarzania danych osobowych klienta banku

Zdaniem Urzędu Ochrony Danych Osobowych stanowisko zawarte w wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie w sprawie przetwarzania danych osobowych klienta banku godzi w niezależność i autonomię organu nadzorczego.

W jednej ze spraw prowadzonych w UODO, klient banku wystąpił do Urzędu ze skargą o nakazanie usunięcia jego danych osobowych przetwarzanych przez bank i instytucję finansową utworzoną na podstawie Prawa bankowego, tj. Biuro Informacji Kredytowej w związku ze złożonymi przez niego zapytaniami kredytowymi. Klient banku wskazywał, że przetwarzanie jego danych jest nieuprawnione, gdyż nie doszło do zawarcia żadnej umowy z bankiem. Prezes UODO po przeprowadzeniu postępowania administracyjnego, przyznał rację klientowi banku stwierdzając brak podstaw prawnych do przetwarzania jego danych osobowych przez ww. podmioty i wydał decyzję administracyjną nakazującą usunięcie danych.

Tymczasem WSA w wyroku z dnia 28 września 2021 r., sygn. akt II SA/Wa 474/21, uchylając wskazaną decyzję uznał, że w sprawie zaniechano zwrócenia się do Komisji Nadzoru Finansowego jako organu właściwego w sprawach związanych m.in. z badaniem zdolności kredytowej i analizą ryzyka kredytowego, a także budową modeli scoringowych (metoda oceny wiarygodności kredytowej), co w jego ocenie było bezwzględnie konieczne.

UODO jest zaniepokojony niebezpiecznym kierunkiem w jakim zmierza dokonana przez sąd administracyjny ocena stosowania przepisów Kodeksu postępowania administracyjnego w kontekście rozstrzygania przez organ nadzorczy spraw z zakresu ochrony danych osobowych, niezgodna z treścią i celem przepisów prawa Unii Europejskiej, jakie stanowią przepisy RODO. Dlatego też od tego wyroku złożona została skarga kasacyjna do Naczelnego Sądu Administracyjnego.

Zaprezentowany przez WSA pogląd o konieczności zwrócenia się przez organ nadzorczy w sprawie z zakresu ochrony danych osobowych, należącej do jego wyłącznej kognicji, do Komisji Nadzoru Finansowego o opinię, godzi w niezależność i autonomię tego organu, zagwarantowaną mu przepisami RODO, zgodnie z którymi każdy organ nadzorczy podczas wypełniania swoich zadań i wykonywania swoich uprawnień działa w sposób w pełni niezależny.

Wymóg niezależności odnosi się do wypełniania zadań i wykonywania uprawnień organu nadzorczego. Niezależność powinna oznaczać brak podległości organizacyjnej, ochronę przed uleganiem wpływom czy naciskom ze strony innych organów oraz swobodę w podejmowaniu rozstrzygnięć nadzorczych. Jednym z wymogów, jakie stanowić mają gwarancję niezależności organu nadzorczego, jest niepodleganie wpływom zewnętrznym, a także zakaz zwracania się o instrukcje oraz przyjmowania instrukcji od innych podmiotów.

Zaprezentowany przez WSA pogląd przeczy zatem idei RODO w zakresie powołanej fundamentalnej zasady niezależności organu nadzorczego.