Skarżący jako dłużnik musi liczyć się z tym, że popadając w zwłokę w spełnieniu zobowiązania jego prawo do prywatności może zostać ograniczone ze względu na dochodzenie przez wierzyciela należnych kwot. W przeciwnym wypadku mogłoby dojść do sytuacji, w której dłużnik, powołując się na prawo do ochrony danych osobowych, skutecznie uchyliłby się od spoczywającego na nim obowiązku spełnienia świadczenia i sytuacja taka ograniczałaby prawo wierzyciela do uzyskania należnej zapłaty.

Zgodnie z przepisem art. 105a ust. 3 Prawa bankowego, instytucje, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank lub inną instytucję ustawowo upoważnioną do udzielania kredytów o zamiarze przetwarzania dotyczących jej informacji stanowiących tajemnicę bankową, bez jej zgody.

Przekazanie danych osobowych Skarżącego przez Bank do BIK S.A. w celu oceny zdolności kredytowej i analizy ryzyka kredytowego nastąpiło w oparciu o przesłankę, o której mowa w art. 23 ust. 1 pkt 2 ustawy, w związku z art. 105a ust. 1 i art. 105 ust 4 Prawa bankowego. Dla legalności tego udostępnienia zgoda Skarżącego nie była wymagana.

Wobec ustalenia przez Generalnego Inspektora Ochrony Danych Osobowych, iż dane osobowe skarżącego ZTM przetwarzało w zbiorze danych osobowych o nazwie "Korespondencja z petentami" wyłącznie w celu udzielenia odpowiedzi na złożone przez niego zapytanie drogą elektroniczną i ZTM nie prowadziło jakiegokolwiek postępowania z udziałem skarżącego, wobec zrealizowania celu przetwarzania tych danych, zasadnym stało się nakazanie usunięcia posiadanych przez ZTM danych skarżącego (imienia, nazwiska, adresu zamieszkania oraz adresu poczty elektronicznej).

Administrator danych obowiązany jest udzielić, w terminie 30 dni w formie zrozumiałej wnioskowanych przez osobę, której dane dotyczą, informacji. Odpowiedzi tej administrator obowiązany jest udzielić, nawet jeśli miałaby być to odpowiedź negatywna, oznaczająca, iż danych danej osoby nie przetwarza.

W świetle przepisów, ZTM jako przewoźnik był uprawniony do pozyskiwania danych osobowych Skarżącego jako osoby, która podróżowała środkiem komunikacji publicznej bez ważnego biletu.

Z analizy treści Regulaminu Internetowej Sprzedaży Biletów wynika wprost, iż w przypadku żądania zwrotu należności za niewykorzystane bilety internetowe Spółka (pracownik Spółki) załatwiający sprawę nie może skopiować dowodu tożsamości klienta.

Zgodnie z art. 31 ust. 1 i 2 ustawy o ochronie danych osobowych administrator danych może powierzyć innemu podmiotowi, w drodze umowy zawartej na piśmie, przetwarzanie danych. Podmiot ten może przetwarzać dane wyłącznie w zakresie i celu przewidzianym w umowie.

Przetwarzanie danych jest dopuszczalne tylko wtedy, gdy zezwalają na to przepisy prawa. Z chwilą całkowitej spłaty kredytu (zamknięcia rachunku bankowego) kończy się prawne zezwolenie na przetwarzanie danych osobowych tych osób, których rachunki zostały zamknięte – osiągnięty zostaje wówczas cel, w jakim dane te były przetwarzane.

Decyzje o celach i środkach przetwarzania danych osobowych pasażerów w każdym przypadku należą tylko i wyłącznie do przewoźnika. W konsekwencji, status administratora danych pasażerów zawsze będzie przysługiwał przewoźnikowi.

Z przepisu art. 33a ustawy Prawo przewozowe wynika, że dane osobowe pasażerów przetwarzać mogą „przewoźnik albo osoba przez niego upoważniona", to w każdym przypadku skutki prawne działań podejmowanych przez pracowników firm, które dokonują kontroli biletowej za zgodą i wiedzą przewoźnika, powstają bezpośrednio w sferze prawnej z jednej strony - przewoźnika, a z drugiej - podróżnego. Nie jest zatem dopuszczalne zawarcie przez przewoźnika umowy, na podstawie której nastąpiłaby sukcesja prawna na rzecz firmy kontrolującej bilety, bowiem przewoźnik może jedynie upoważnić ją do działania w swoim imieniu.

Zgodnie z art. 104 ust. 1 pkt 1 ustawy - Prawo bankowe, banki i osoby w nich zatrudnione oraz osoby, za których pośrednictwem bank wykonuje czynności bankowe, są obowiązane zachować tajemnicę bankową, która obejmuje wszystkie wiadomości dotyczące czynności bankowych i osób będących stroną uzyskane w czasie negocjacji oraz związane z zawarciem umowy z bankiem i jej realizacją, z wyjątkiem wiadomości, bez których nie jest możliwe należyte wykonanie zawartej przez bank umowy.