Generalny Inspektor Ochrony Danych Osobowych wskazał, że podstawowymi przepisami określającymi zasady odpowiedzialności gwarancyjnej zakładu ubezpieczeń z tytułu obowiązkowego ubezpieczenia odpowiedzialności cywilnej posiadaczy pojazdów mechanicznych są przepisy ustawy z dnia 22 maja 2003 r. o ubezpieczeniach obowiązkowych, Ubezpieczeniowym Funduszu Gwarancyjnym i Polskim Biurze Ubezpieczycieli Komunikacyjnych (Dz. U. z 2003 r. Nr 124, poz. 1152 z późn. zm.), a także przepisy ustawy z dnia 23 kwietnia 1964 r. Kodeks cywilny (Dz. U. Nr 16, poz. 93 z późn. zm.).
Generalny Inspektor zwrócił również uwagę na art. 24 ust. 1 ustawy z dnia 22 maja 2003 r. o działalności ubezpieczeniowej (Dz. U. z 2010 r. Nr 11, poz. 66 z późn. zm. - Zakład ubezpieczeń może zbierać, odpowiednio w celu oceny ryzyka ubezpieczeniowego lub wykonania umowy ubezpieczenia, zawarte w umowach ubezpieczenia lub oświadczeniach ubezpieczających składanych przed zawarciem umowy ubezpieczenia, dane ubezpieczonych lub uprawnionych z umowy ubezpieczenia.)
Zastrzegł jednocześnie, że kwestię zakresu danych pozyskiwanych przez zakład ubezpieczeń dla celów ubezpieczenia odpowiedzialności cywilnej posiadaczy pojazdów mechanicznych za szkody powstałe w związku z ruchem tych pojazdów oraz ubezpieczenia casco, w tym informacji o stanie cywilnym, należałoby oceniać in concreto, z uwzględnieniem celu, dla którego informacja ta jest pozyskiwana, a zatem w kontekście zasady adekwatności określonej w art. 26 ust. 1 pkt 3 ustawy o ochronie danych osobowych.
Zwrócił tez uwagę na wyrok NSA z dnia 5 lutego 2003 r. (sygn. akt II SA 3505/01), w którym Naczelny Sąd Administracyjny potwierdził konieczność badania celu pozyskiwania danych określonego rodzaju przy dokonywaniu oceny respektowania zasady celowości i adekwatności gromadzenia danych. Generalny Inspektor poinformował, że zbadanie tej kwestii i wydanie w tym przedmiocie wiążącego rozstrzygnięcia wobec określonego zakładu ubezpieczeń mogłoby nastąpić jedynie po przeprowadzeniu postępowania administracyjnego w decyzji administracyjnej.
Tylko w takim postępowaniu Generalny Inspektor może ustalić, czy w związku z przetwarzaniem danych osobowych konkretnej osoby doszło do naruszenia przepisów prawa, w tym zasady adekwatności. Skargę lub wniosek w określonej sprawie może złożyć osoba, która uznaje, że ochrona jej danych osobowych została naruszona, lub która domaga się przywrócenia stanu zgodnego z prawem, w stosunku do jej danych osobowych. Przy czym postępowanie administracyjne może być zainicjowane jedynie taką skargą lub wnioskiem, które spełniają wymogi formalne - zgodnie z przepisami Kodeks postępowania administracyjnego (art. 63) oraz ustawy z dnia 16 listopada 2006 r. o opłacie skarbowej (Dz. U. Nr 225, poz. 1635 z późn. zm.).
W uzupełnieniu powyższych uwag Generalny Inspektor wskazał, że ustawa o ochronie danych zobowiązuje każdego administratora danych do przestrzegania zasady celowości, wyrażającej się w obowiązku precyzyjnego i ścisłego określenia celu przetwarzania określonego rodzaju danych (np. o stanie cywilnym). Dokonanie przez administratora danych rzetelnej analizy, czy i dla jakich celów pozyskiwanie określonego rodzaju danych jest w istocie niezbędne, powinno następować na etapie poprzedzającym gromadzenie danych. Generalny Inspektor podniósł, że tylko takie podejście warunkuje prawidłowe respektowanie przez administratora danych, zasad wyrażonych w ustawie o ochronie danych osobowych: zasady związania celem (art. 26 ust. 1 pkt 2 ustawy), zasady adekwatności danych do celu przetwarzania (art. 26 ust. 1 pkt 3 ustawy), czy zasady ograniczenia czasowego przetwarzania (art. 26 ust. 1 pkt 4 ustawy).
Zdaniem Generalnego Inspektora, rzetelne przestrzeganie powyższych zasad stanowi również gwarancje właściwego poszanowania praw osób, których dane dotyczą. Cytując art. 26 ust. 1 ustawy o ochronie danych osobowych podkreślił, że zasada celowości przetwarzania danych osobowych polega więc na tym, że administrator danych może je przetwarzać jedynie w celach realizacji zadań lub wykonywania udzielonych mu kompetencji.
Zaznaczył jednocześnie, że cel przetwarzania danych osobowych nie jest wynikiem arbitralnej decyzji oderwanym od okoliczności przetwarzania. Ustalając cel należy odwołać się do kontekstu przetwarzania. Swoim rodzajem oraz treścią dane osobowe nie powinny wykraczać poza potrzeby wynikające z celu ich przetwarzania. Adekwatność danych w stosunku do celu ich przetwarzania powinna być rozumiana jako równowaga pomiędzy uprawnieniem osoby do dysponowania swymi danymi a interesem administratora danych. Równowaga będzie zachowana, jeżeli administrator przetwarza dane tylko w takim zakresie, w jakim jest to niezbędne do wypełnienia celu, w jakim dane są przez niego przetwarzane (wyrok Wojewódzkiego Sądu Administracyjnego z dnia 1 grudnia 2005 roku, sygn. II SA/Wa 917/2005).
W drugiej części wystąpienia Generalny Inspektor poinformował, że podstawą do przetwarzania danych osobowych przez banki w ramach działalności kredytowej są przepisy ustawy z dnia 29 sierpnia 1997 r. - Prawo bankowe oraz wydane na jej podstawie akty wykonawcze. W szczególności zwrócił uwagę na treść art. 70 ust. 1-2 ww. aktu prawnego (Banki mogą przetwarzać dla celów prowadzonej działalności bankowej informacje zawarte w dokumentach tożsamości osób fizycznych). Ponadto powołał treść art. 112b prawa bankowego (Banki mogą przetwarzać dla celów prowadzonej działalności bankowej informacje zawarte w dokumentach tożsamości osób fizycznych).
W świetle powyższego Generalny Inspektor stwierdził, że z regulacji powołanego art. 70 wynika obowiązek banku zbadania zdolności kredytowej podmiotu ubiegającego się o kredyt. Zastrzegł jednak, iż powołany przepis prawa bankowego nie wskazuje wprost, jakie dokumenty oraz w jakim zakresie powinny być podstawą do oceny zdolności kredytowej.
Dlatego też bank również powinien stosować dla potrzeb oceny tej zdolności - wskazane powyżej - zasady wynikające z art. 26 ustawy o ochronie danych osobowych. Wyjaśnił też, że przepisy art. 32-35 rozdziału 4 ustawy o ochronie danych osobowych, określają katalog uprawnień przysługujących osobie fizycznej, której dane dotyczą, w zakresie kontroli procesu przetwarzania jej danych w zbiorach danych przez administratora danych. Kontrola tego procesu powinna być w pierwszej kolejności dokonywana na wniosek osoby, której dane dotyczą, złożony do administratora danych. Osoba taka może zwrócić się do administratora danych z pytaniem dotyczącym uzasadnienia prawnego i faktycznego (czyli celu) pozyskiwania określonego rodzaju danych osobowych.
Źródło: "Sprawozdaniu z działalności GIODO w 2012 roku", GIODO, 2013
