II SA/WA 1134/23

II SA/Wa 1134/23 - Wyrok WSA w Warszawie
Data orzeczenia
2024-02-14
orzeczenie prawomocne
Data wpływu
2023-06-05
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Arkadiusz Koziarski
Ewa Radziszewska-Krupa /sprawozdawca/
Tomasz Szmydt /przewodniczący/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Sygn. powiązane
III OSK 1763/24 - Wyrok NSA z 2024-12-17
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę
Powołane przepisy
Dz.U.UE.L 2016 nr 119 poz 1 art. 58 ust. 2 lit c; art. 4 pkt 2; art. 6 ust. 1
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z  przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE
Dz.U. 2021 poz 2439
art. 105a ust. 1, 2, 3, 4
Ustawa z dnia 29 sierpnia 1997 r. Prawo bankowe (t.j.)
Dz.U. 2020 poz 1740
art. 61 § 1
Ustawa z dnia 23 kwietnia 1964 r. Kodeks cywilny - t.j.
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Tomasz Szmydt, Sędzia WSA Ewa Radziszewska-Krupa (spr.), Asesor WSA Arkadiusz Koziarski, po rozpoznaniu w trybie uproszczonym w dniu 14 lutego 2024 r. sprawy ze skargi [...] Bank S.A. z siedzibą [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z [...] marca 2023r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę
Uzasadnienie
I. Stan sprawy przedstawia się następująco:
1. Prezes Urzędu Ochrony Danych Osobowych (zwany dalej "Prezesem UODO") decyzją z [...] marca 2023r. nr [...] nakazał [...] Bank S.A. z siedzibą [...] (zwany dalej "Bankiem") zaprzestanie przetwarzania danych osobowych J. R. (zwanej dalej "Uczestniczką") dotyczących umowy z [...] lipca 2017r. o kredyt gotówkowy oraz o świadczeniu usług bankowości elektronicznej nr [...] (zwana dalej "Umową kredytową") w celu oceny zdolności kredytowej i analizy ryzyka kredytowego: 1) w systemie [...] S.A. z siedzibą w [...] (zwane dalej: "[...]"); 2) w systemach Banku.
W podstawie prawnej decyzji wskazano art. 6 ust. 1 i art. 58 ust. 2 lit. c) rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych - Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35 – zwane dalej "RODO") w związku z art. 105a ust. 3 ustawy z 29 sierpnia 1997r. Prawo bankowe (Dz.U. z 2022 r. poz. 2324, zwana dalej "u.P.b.").
Prezes UODO w uzasadnieniu wskazał, że Uczestniczka w skardze z [...] marca 2022r. na nieprawidłowość przetwarzania przez Bank Jej danych osobowych wskazała, że Bank nie spełnił łącznie wszystkich warunków z art. 105a ust. 3 u.P.b., uprawniających do rozpoczęcia przetwarzania danych osobowych, w tym w bazie [...], gdyż nie powiadomił Uczestniczki o zamiarze przetwarzania bez zgody Uczestniczki ww. danych. Uczestniczka zwróciła się [...] grudnia 2021r. do Banku o wycofanie zgody na przetwarzanie jej danych osobowych w systemie [...], w związku ze spłatą zadłużenia ww. Umowy kredytowej. Bank w odpowiedzi z [...] stycznia 2022r. potwierdził realizację ww. wniosku, zaznaczając, że dane osobowe Uczestniczki związane z ww. umową mogą być przetwarzane przez [...] oraz udostępniane Bankom i innym instytucjom ustawowo upoważnionym do udzielania kredytów oraz instytucjom kredytowym w celach i zakresie określonym art. 105 ust 4 i art. 105a u.P.b.
Bank w wyjaśnieniach wskazał, że dane osobowe Uczestniczki zebrano w związku z Umową kredytową, którą Bank wypowiedział pismem z [...] października 2019r., informując o przetwarzaniu danych Uczestniczki bez jej zgody, tj. na podstawie art. 105a ust. 3 u.P.b. Bank podniósł też, że przetwarza dane osobowe Uczestniczki w celu skutecznej obrony przed Jej ewentualnymi roszczeniami, do czasu ich przedawnienia, zgodnie z art. 118 ustawy z 23 kwietnia 1964r. Kodeks cywilny (Dz.U. z 2022r., poz.1360, zwany dalej "k.c."), w związku z art. 6 ust. 1 lit. f RODO oraz w systemie [...], na podstawie art. 105a ust. 3 u.P.b. przez okres wskazany w art. 105a ust. 5 u.P.b. Ani Bank ani Uczestniczka nie występowali względem siebie z roszczeniami. Zakres przetwarzanych przez Bank danych osobowych Uczestniczki obejmuje dane identyfikacyjne: imię i nazwisko, nr PESEL, nr dowodu osobistego, adres email, numer telefonu, adres zameldowania i korespondencyjny, nazwa zakładu pracy i wysokość osiąganych dochodów.
Prezes UODO wskazał, że Bank w związku z zaległościami w spłacie zobowiązania wynikającego z Umowy kredytowej wysłał do Uczestniczki listem poleconym oświadczenie o wypowiedzeniu tej umowy z [...] października 2019r. (data nadania [...] października 2019r.), informując o zamiarze przetwarzania danych po wygaśnięciu ww. zobowiązania, bez jej zgody, zgodnie z art. 105 ust. 3 u.P.b. (kopia pisma skierowanego do Uczestniczki i kopia listy wysyłkowej zawierająca datę skierowania do Niej ww. pisma). Bank wskazał również, że [...] października 2019r. wysłał korespondencję z informacją o zamiarze przetwarzania danych Uczestniczki, na podstawie art. 105a ust. 3 u.P.b. i od tej daty Bank liczy upływ 30-dniowego terminu z dodaniem jeszcze 7 dni na doręczenie korespondencji do Uczestniczki.
Prezes UODO wskazał, że w bazie [...] obecnie przetwarzane są dane osobowe Uczestniczki dotyczące Umowy kredytowej: imię, nazwisko, PESEL, seria i numer dowodu osobistego, płeć, data urodzenia, adres zamieszkania; dane dotyczące zobowiązania: relacja klienta do rachunku, data zawarcia umowy, data powstania relacji, data ustania relacji, typ transakcji, kwota kredytu, kwota kredytu z kosztem odsetkowym, kwota raty, liczba rat, waluta, okres obowiązywania umowy, częstotliwość spłat, informacje na temat historii spłaty, w tym informacja o opóźnieniach w spłacie, informacja o spełnieniu warunków z art. 105a ust. 3 u.P.b. oraz informacja o udzieleniu i wycofaniu zgody, o której mowa w art. 105a ust. 2 u.P.b. [...] wskazał, że ww. Umowa wygasła [...] kwietnia 2021r. i przetwarzanie ww. danych przez [...] następuje w celu oceny zdolności kredytowej i analizy ryzyka kredytowego, na podstawie art. 105a ust. 3 u.P.b. w zw. z art. 105 ust. 4 u.P.b. oraz na podstawie umowy zawartej przez Bank z [...].
Prezes UODO po zapoznaniu się ww. materiałem dowodowym wskazał m.in., że podstawą prawną do przetwarzania przez Bank w [...] danych osobowych klientów może być art. 6 ust. 1 lit. f) RODO, gdy przetwarzanie to jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora. Każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny. Przetwarzanie danych osobowych odbywa się na mocy umowy zawartej pomiędzy Bankiem i [...]. [...] jest instytucją utworzoną na podstawie art. 105 ust. 4 u.P.b.
Prezes UODO odwołał się też do treści art. 105 ust. 4, art. 105a ust. 1, 3 u.P.b. i wskazał, że chociaż zobowiązanie Uczestniczki wynikające z ww. Umowy kredytowej wygasło wobec Banku [...] kwietnia 2021r., to ze zgromadzonego materiału dowodowego wynika, że Uczestniczka dopuściła się zwłoki w spłacie zadłużenia, trwającej dłużej niż 60 dni. Niewykonanie przez Uczestniczkę zobowiązania lub spóźnienie się z jego wykonaniem co najmniej 60 dni, nie upoważnia jednak Banku do przetwarzania danych na warunkach określonych w art. 105a ust. 3 u.P.b. Moment, od którego należy liczyć sześćdziesięciodniowy termin, w którym osoba fizyczna dopuszcza się zwłoki w wykonaniu zobowiązania, to termin wykonania zobowiązania. Dopiero po upływie 60 dni zaczyna biec termin 30 dni, w którym instytucja oczekuje jeszcze na wykonanie zobowiązania klienta. Termin 30 dni biegnie od momentu, w którym osoba fizyczna zostanie skutecznie poinformowana przez instytucję o zamiarze przetwarzania. Ostatecznie to bezskuteczny upływ 30 dni od momentu poinformowania - a nie jak twierdzi Bank - nadania pisma z informacją – stanowi o wypełnieniu przesłanek z art. 105a ust. 3 u.P.b.
Bank nie spełnił wobec Uczestniczki obowiązku określonego w art. 105a ust. 3 u.P.b. - nie poinformował skutecznie Uczestniczki o zamiarze przetwarzania informacji stanowiących tajemnicę bankową bez jej zgody, po wygaśnięciu ww. zobowiązania. Wobec wysłania oświadczenia o wypowiedzeniu ww. umowy wraz z informacją o zamiarze przetwarzania danych Uczestniczki na podstawie art. 105a ust. 3 u.P.b. listem poleconym, nie można ustalić daty zapoznania się przez Uczestniczkę z przesłaną jej informacją, a tym samym niemożliwe jest ustalenie daty, od której płynie 30 dniowy termin określony ww. przepisie.
Stosownie do treści art. 105a ust. 3 u.P.b. należy ustalić datę, w której doszło do poinformowania osoby, której dane dotyczą, o zamiarze przetwarzania jej danych osobowych po wygaśnięciu zobowiązania, bez jej zgody, nie zaś datę, w której hipotetycznie osoba ta mogła zapoznać się z powyższą informacją. Natomiast Bank wyjaśnił, że datę doręczenia Uczestniczce przesyłki zawierającej powyższą informację ustalił, dodając do daty, w której nadał korespondencję do Uczestniczki postępowania, ([...] października 2019r.) 7-dniowy termin, w którym - zdaniem Banku powinno - nastąpić skuteczne doręczenie przesyłki.
Zdaniem Prezesa UODO jest to sprzeczne z art. 105a ust. 3 u.P.b. Za niedopuszczalne należy uznać ustalanie daty, w której doszło do poinformowania o okolicznościach wskazanych w ww. przepisie prawa, w oparciu o przypuszczenie Banku, że we wskazanym przez Niego terminie 7 dni mogło dojść do doręczenia informacji do Uczestniczki, w oparciu o przypuszczenia. Prezes UODO odwołał się do stanowiska wyrażonego przez Naczelny Sąd Administracyjny w wyroku z 27 sierpnia 2019r. sygn. akt I OSK 2514/17, że daty, będącej początkiem biegu 30-dniowego terminu wskazanego w art. 105a ust. 3 u.P.b., nie można ustalać w oparciu o domniemania. Brak dowodu doręczenia Uczestniczce ww. przesyłki skutkuje więc niemożliwością ustalenia konkretnego terminu zapoznania się przez Nią z treścią wskazanej informacji.
Prezes UODO podzielił też stanowisko wyrażone w wyroku WSA w Warszawie z 18 stycznia 2022r. sygn. akt II SA/Wa 3584/21, zgodnie z którym poinformowanie adresata oświadczenia winno, z uwagi na wspomniany ww., dodatkowy trzydziestodniowy termin na wykonanie zobowiązania, nastąpić w ten sposób, by można było ustalić początek biegu tego terminu. Dopiero bezskuteczny upływ owego trzydziestodniowego dodatkowego terminu upoważnia Bank do przetwarzania danych osobowych w oparciu o art. 105a ust. 3 u.P.b. Nadanie powiadomienia, o którym mowa w art. 105a ust. 3 u.P.b., listem poleconym nie pozwala na ustalenie początku biegu wskazanego terminu. Skoro to Bank wywodzi skutki prawne z powiadomienia strony o zamiarze przetwarzania jej danych osobowych, stanowiących tajemnicę bankową bez jej zgody, to musi wykazać, że bezskutecznie upłynęło 30 dni od daty poinformowania strony o tym zamiarze. Wykazanie tej okoliczności wymaga jednak - co oczywiste - wykazania początku biegu owego trzydziestodniowego terminu. Bank przetwarzając dane Uczestniczki na warunkach określonych w ww. przepisie, musi wykazać, że została ona poinformowana o zamiarze przetwarzania jej danych bez jej zgody. Uczestniczka podniosła natomiast, że okoliczności wskazywane w art. 105a ust. 3 u.P.b. nie zostały spełnione, więc Bank nie był uprawniony do przekazania jej danych osobowych do [...]. W sprawie brak jest innych dowodów wskazujących na prawidłowe i skuteczne poinformowanie Uczestniczki o treści art. 105a ust. 3 u.P.b. Oświadczenie Banku pozostaje w sprzeczności z twierdzeniami Uczestniczki, bo Bank nie przedstawił dowodu na prawidłowe doręczenie Uczestniczce dokumentu, w treści, którego zawarta była informacja o okolicznościach wskazanych w art. 105a ust. 3 u.P.b. Okoliczność skutecznego poinformowania Skarżącej o treści art. 105a ust. 3 u.P.b. nie może zostać uznana za udowodnioną. Sporządzenie i wysłanie ww. pisma, nie jest równoznaczne z udowodnieniem jego prawidłowego doręczenia, skutkującego poinformowaniem Uczestniczki o zamiarze przetwarzania danych stanowiących tajemnicę bankową, bez jej zgody, na podstawie art. 105a ust. 3 u.P.b. Samo oświadczenie o wysłaniu korespondencji i przedstawienie jej kopii wraz z kopią listy korespondencji bankowej wysłanej listem poleconym nie stanowi dowodu na jej dostarczenie lub poinformowanie o jej treści adresata.
Prezes UODO wskazał, że przepisy powszechnie obowiązujące nie formułują obowiązku wysłania informacji, o której mowa w art. 105a ust. 3 u.P.b. w szczególnej formie. To do podmiotu informującego należy zatem wybór formy przekazania odbiorcy komunikatu, o zamiarze przetwarzania danych osobowych bez jego zgody. Skoro podmiot informujący wywodzi z tego skutki prawne, musi wykazać, że poinformował Uczestniczkę o zamiarze przetwarzania jej danych stanowiących tajemnicę bankową, bez jej zgody na podstawie art. 105a ust. 3 u.P.b.
Prezes UODO, odnosząc się do żądania Uczestniczki w przedmiocie nakazania usunięcia jej danych osobowych przetwarzanych w bazie Banku, a dotyczących ww. Umowy kredytowej, zauważył, że Bank wskazał, że przetwarza ww. dane osobowe na podstawie prawnie uzasadnionego interesu, czyli na podstawie art. 6 ust. 1 lit. f RODO w zw. z art. 118 k.c., w celu obrony przed ewentualnymi roszczeniami Uczestniczki. Zebrany w postępowaniu materiał dowodowy nie wykazał, aby Uczestniczka wystąpiła z roszczeniem wobec Banku, które uzasadniałoby uprawnienie Banku do zachowania i przetwarzania jej danych osobowych do celów dowodowych w związku z dochodzeniem tego roszczenia. Brak jest zatem spełnienia wskazywanej przez Bank przesłanki niezbędności do celów wynikających z prawnie usprawiedliwionych interesów realizowanych przez administratora odnośnie przetwarzania danych osobowych Uczestniczki. Przesłanka z art. 6 ust 1 lit. f RODO dotyczy sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia, potrzeba dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem. Skoro postępowanie administracyjne nie wykazało, aby Uczestniczka skierowała wobec Banku roszczenie, poza dotyczącym usunięcia jej danych osobowych, należy stwierdzić, że Bank przetwarza jej dane osobowe w ww. celu wyłącznie "na zapas", aby zabezpieczyć się przed ewentualnym przyszłymi i niepewnymi roszczeniami. Prezes UODO podzielił też stanowisko NSA, odnoszące się do przesłanki wynikającej z art. 23 ust. 1 pkt 5 ustawy z dnia 29 sierpnia 1997r. o ochronie danych osobowych (Dz.U. z 2016r., poz. 922 ze zm., zwana dalej "u.o.d.o.") oraz do art. 25 ust. 1 pkt 5 u.o.d.o., które pozostaje aktualne także w świetle obowiązującego art. 6 ust. 1 lit. f RODO (por. wyrok z 27 marca 2018r. sygn. akt I OSK 1459/16).
Prezes UODO zaznaczył, że przy przyjęciu odmiennej interpretacji ww. przepisów Uczestniczka pozbawiona byłaby ochrony na gruncie RODO oraz ustawy z 10 maja 2018r. o ochronie danych osobowych (Dz. U. z 2019r., poz. 1781). Przyjęcie za prawidłowe stanowiska, że przetwarzanie danych osobowych w celu uchylenia się od negatywnych skutków w przypadku zgłoszenia w przyszłości ewentualnego i nieokreślonego roszczenia, stanowi prawnie usprawiedliwiony cel w rozumieniu art. 6 ust. 1 lit. f RODO oznaczałoby, że dane osobowe Uczestniczki mogą być przetwarzane przez Bank permanentnie, bez konieczności ich usunięcia. Teoretycznie możliwym jest by Uczestniczka zwróciła się do Banku z roszczeniem po upływie terminu przedawnienia roszczenia. Prowadziłoby to tym samym do uznania, że przetwarzanie jej danych osobowych przez Bank ma uzasadnienie w przesłance określonej art. 6 ust. 1 lit. f) RODO, w celu realizacji prawa do obrony przed ewentualnym roszczeniem Skarżącej również po upływie ww. terminu.
Prezes UODO nadmienił, że brak jest uzasadnienia dla przyjęcia, że terminy dotyczące przedawnienia roszczeń wynikających ze stosunków zobowiązaniowych określają jednocześnie ramy czasowe, w których dane osobowe mogą być przetwarzane przez Bank. Przedawnienie roszczenia nie wywołuje skutków na gruncie ochrony danych osobowych, nie wpływa bowiem na istnienie roszczenia, a powoduje jedynie zmianę w sferze zarzutów procesowych w postaci możliwości podniesienia okoliczności przedawnienia w sporze sądowym. Okolicznością usprawiedliwiającą przetwarzanie danych osobowych w celu dochodzenia roszczeń jest istnienie roszczenia i zamiar jego dochodzenia, nie jest nią natomiast zmiana w uprawnieniach procesowych podmiotu pozwanego. Skoro Bank nie wskazał roszczenia, którego zaspokojenia domaga się od Uczestniczki, jak również nie toczy się spór Uczestnika z Bankiem dotyczący stosunku zobowiązaniowego, to brak było celu uzasadniającego przetwarzanie ww. danych osobowych, w rozumieniu art. 6 ust. 1 lit. f RODO. Kontynuowanie do chwili obecnej przetwarzania danych osobowych Uczestniczki postępowania w celu ustalenia, dochodzenia lub obrony przed ewentualnymi, przyszłymi i niepewnymi roszczeniami, należało uznać za zbędne i niezgodne z obowiązującymi przepisami o ochronie danych osobowych.
2. Bank, reprezentowany przez profesjonalnego pełnomocnika, w skardze z 26 kwietnia 2023r. do Wojewódzkiego Sądu Administracyjnego w Warszawie wniósł o uchylenie ww. decyzji Prezesa UODO w całości i zasądzenie od Prezesa UODO kosztów postępowania, zarzucając naruszenie przepisów prawa, mające istotny wpływ na wynik sprawy:
- art. 6, art. 7, art. 8 § 1 i 2, art. 77 § 1, art. 80 i art. 107 § 3 ustawy z 14 czerwca 1960r. - Kodeks postępowania administracyjnego (Dz.U. z 2022r., poz. 2000 ze zm., zwany dalej "k.p.a.") w związku z art. 7 ust. 1 u.o.d.o., polegające na niezastosowaniu zasad ogólnych postępowania administracyjnego: praworządności, prawdy obiektywnej i pogłębiania zaufania do władzy publicznej oraz przekroczeniu granic swobodnej oceny dowodów, a w konsekwencji błędne przyjęcie, że potwierdzenie nadania pisma listem poleconym nie stanowi dowodu poinformowania Uczestniczki o zamiarze przetwarzania jej danych osobowych bez jej zgody, w oparciu o w art. 105a ust. 3 u.P.b., gdy jest to dokument mający moc dokumentu urzędowego, stanowiący dostateczny dowód przekazania informacji zgodnie z wymogami art. 105a ust. 3 u.P.b.;
- art. 105a u.P.b. - przez jego błędną wykładnię, skutkującą przyjęciem, że wykonanie obowiązku informacyjnego, o którym mowa w tym przepisie, polega na skutecznym doręczeniu osobie fizycznej, po wygaśnięciu jej zobowiązania wynikającego z umowy zawartej z bankiem, informacji o zamiarze przetwarzania jej danych osobowych bez jej zgody, gdy prawidłowa interpretacja tego przepisu prowadzi do wniosku, iż "poinformowanie" oznacza rzeczywiste umożliwienie zapoznania się z treścią wyżej wymienionej informacji;
- art. 6 ust. 1 lit. f) RODO w zw. z art. 118 k.c. - przez jego błędną wykładnię, skutkującą przyjęciem, że przetwarzanie danych osobowych Uczestniczki przez okres przedawnienia roszczeń Banku wobec Uczestniczki nie stanowi prawnie uzasadnionego interesu administratora, gdy prawidłowa interpretacja tego przepisu prowadzi do wniosku, że takie przetwarzanie jest dopuszczalne przez okres przedawnienia roszczeń cywilnoprawnych w zakresie uzasadnionym celem takiego przetwarzania.
Bank wniósł ponadto o zobowiązanie Prezesa UODO do wydania decyzji oddalającej skargę Uczestniczki i rozpoznanie sprawy w trybie uproszczonym oraz wstrzymanie wykonania zaskarżonej decyzji.
W uzasadnieniu skargi Bank wskazała, że Prezes UODO błędnie ocenił wysłanie do Uczestniczki informacji o zamiarze przetwarzania jej danych osobowych na podstawie art. 105a ust. 3 u.P.b. listem poleconym. Nie zgodził się ze stwierdzeniem jakoby brak było innych dowodów niż oświadczenie Banku na okoliczność poinformowania Uczestniczki o treści art. 105a ust. 3 u.P.b., gdyż w postępowaniu przedstawił dowód w postaci oświadczenia o wypowiedzeniu Umowy kredytowej wraz z potwierdzeniem nadania tego pisma listem poleconym (odpis z pocztowej książki nadawczej), mającym moc dokumentu urzędowego. Przesyłkę poleconą zaadresowana do Uczestniczki nadano na Jej adres, listem poleconym, z informacją wymaganą art. 105a ust. 3 u.P.b., a Uczestniczka nigdy nie poinformowała Banku o zmianach tego adresu i nie zakwestionowała skuteczności doręczania korespondencji. Uczestniczka nie wykazała też, że nie otrzymała ww. listu poleconego lub że nie mogła się z nim zapoznać. Podniosła jedynie, że Bank nie poinformował Jej skutecznie o zamiarze przetwarzania dotyczących jej informacji stanowiących tajemnicę bankową, bez jej zgody, nie podnosząc, aby nie zostało jej doręczone oświadczenie o wypowiedzeniu umowy, które to oświadczenie było zawarte w tym samym piśmie, co informacja wymagana art. 105a ust. 3 u.P.b.
W świetle art. 17 ustawy z 23 listopada 2012r. - Prawo pocztowe (Dz.U. z 2022r., poz. 896, ze zm.), przyjąć należy, że Bank dysponuje dowodem przekazania Uczestniczce informacji o zamiarze przetwarzania jej danych osobowych i dowód ten przedstawił Prezesowi UODO w toku postępowania. Potwierdzenie nadania przesyłki rejestrowanej wydane przez placówkę pocztową operatora wyznaczonego ma mocy dokumentu urzędowego i dowód w postaci odpisu z pocztowej książki nadawczej wskazuje na spełnienie przez Bank obowiązku informacyjnego, o którym mowa w art. 105a ust. 3 u.P.b. Przyznanie potwierdzeniu nadania przesyłki rejestrowej, wydanemu przez operatora wyznaczonego, mocy prawnej dokumentu urzędowego rozpatrywać należy stosownie do art. 76 § 1 k.p.a., który stanowi, że dokumenty urzędowe sporządzone w przepisanej formie przez powołane do tego organy państwowe w ich zakresie działania stanowią dowód tego, co zostało w nich urzędowo stwierdzone. Potwierdzenie nadania przesyłki poleconej nie jest dokumentem urzędowym, a jedynie ma "moc dokumentu urzędowego", jednak na zasadzie analogii do dokumentu tego należy stosować domniemania odnoszące się do dokumentów urzędowych, tj. domniemanie zgodności z prawdą oświadczenia uprawnionego podmiotu. Jeśli Uczestnik kwestionuje skuteczność doręczenia mu przesyłek poleconych z Banku, powinien powołać dowody na tę okoliczność, gdyż art. 76 § 3 k.p.a. umożliwia przeprowadzenie dowodu przeciwko treści dokumentu, o którym mowa w art. 76 § 1 k.p.a.
Prezes UODO przytacza w zaskarżonej decyzji jedynie fragment wyroku WSA w Warszawie z 18 stycznia 2022r sygn. akt II SA/Wa 3584/21, pomijając, że Sąd wskazał, że podzielić należy pogląd Banku, że faktyczne zapoznanie się przez adresata z treścią oświadczenia Banku nie ma w kontekście art. 105a § 3 u.P.b. i art. 61 § 1 k.c. znaczenia, jako że należy już wyłącznie do prawnie irrelewantnej sfery wewnętrznej adresata oświadczenia. Prezes UODO oparł też argumentację na fragmencie wyroku NSA z 27 sierpnia 2019r. sygn. akt I OSK 2514/17, że daty będącej początkiem 30-dniowego terminu wskazanego w art. 105a ust. 3 u.P.b. nie można ustalać w oparciu o domniemania, pomijając część uzasadnienia tegoż wyroku. NSA wskazał, że jakkolwiek ustawodawca w żaden sposób nie ograniczył sposobów i form takiego powiadomienia, to w każdym wypadku sposób ten powinien umożliwić zweryfikowanie faktu poinformowania klienta banku o zamierzonym przetwarzaniu jego danych osobowych lub też przynajmniej potwierdzenie, że klientowi umożliwiono zapoznanie się z taką informacją. W tym zakresie nie mogą mieć miejsca jakiekolwiek domniemania faktyczne. Żaden z dowodów przedstawionych przez Bank (wzór zawiadomienia kierowanego do klientów w sprawie opóźnień, wydruk strony z systemu bankowego o rejestracji wysłania zawiadomienia) nie potwierdziły by Uczestniczka otrzymała informację o zamiarze przetwarzania jej danych. Prezes UODO przywołał więc tezy uzasadnienia wyroku wydanego w odmiennym stanie faktycznym. W sprawie Bank przedstawił dowód nadania listu poleconego na adres Uczestniczki (nie zaś wydruk z systemu bankowego czy też wzór zawiadomienia).
Dodatkowo Sąd Najwyższy w wyroku z 20 stycznia 2004r. o sygn. akt II CK 358/02 (Legalis nr 63374) wskazał, że powstały dowód nadania listu poleconego nie jest wprawdzie dowodem doręczenia go adresatowi, lecz jest dowodem prima facie (por. S. Rudnicki, S. Dmowski: Komentarz do Kodeksu cywilnego. Księga pierwsza. Warszawa 2003 r.). Adresat oświadczenia może obalić to domniemanie wykazując, iż nie miał możliwości zapoznania się z treścią oświadczenia.
Bank uznał więc, że zgodnie z przepisami i poglądami judykatury, dowód nadania listu poleconego stanowi dowód prima facie i wynikające z niego domniemanie adresat może obalić tylko wykazując, że nie miał możliwości zapoznania się z treścią oświadczenia zawartego w liście poleconym. Uczestniczka nie wykazała takiego braku możliwości, a jedynie oświadczyła, że "Bank nie poinformował" jej skutecznie o zamiarze przetwarzania dotyczących jej informacji stanowiących tajemnicę bankową, bez jej zgody. Prezes UODO wyłącznie na oświadczeniu Uczestniczki oparł tezę, że Bank nie dopełnił obowiązku wynikającego z art. 105a ust. 3 u.P.b. Takie postępowanie nie jest dopuszczalne, bo Bank przedstawił dowód nadania listu poleconego, czyli dowód prima facie. Uzasadniony jest zarzut naruszenia art. 6, art. 7, art. 8 § 1 i 2, art. 77 § 1, art. 107 § 3 k.p.a. i art. 80 k.p.a., bowiem swobodna ocena dowodów powinna opierać się na materiale dowodowym zebranym i wszechstronnej ocenie całokształtu materiału dowodowego. Naruszenie ww. reguł, a także norm procesowych odnoszących się do środków dowodowych, stanowi przekroczenie granic swobodnej oceny dowodów – w konsekwencji Prezes UODO nieprawidłowo ustalił, że Bank przetwarzał dane osobowe Uczestniczki sposób sprzeczny z wymogami art. 105a ust. 3 u.P.b.
Skoro prawidłowe było poinformowanie Uczestniczki o przetwarzaniu jej danych osobowych, to Bank i [...] mogą je przetwarzać na podstawie art. 105a ust. 3 u.P.b. Analiza treści tego przepisu prowadzi do wniosku, że trzydziestodniowy termin, po upływie którego jest możliwe przetwarzanie danych osobowych osoby, która dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, bez jej zgody, biegnie od momentu, gdy osoba ta została poinformowana przez bank o takim zamiarze. Ustawodawca nie określił szczególnych wymogów formalnych, co do sposobu i treści takiego poinformowania. W każdym wypadku sposób ten powinien dawać sposobność potwierdzenia, że adresatowi umożliwiono zapoznanie się z informacją (por. wyrok NSA z 27 października 2017r. sygn. akt I OSK 3362/15, Legalis nr 1755324). Wykładnia językowa przesłanek wskazanych w art. 105a ust. 3 u.P.b., a w szczególności słowa "poinformować", jednoznacznie wskazuje, że "poinformowanie" należy rozumieć jako rzeczywiste umożliwienie zaznajomienia się informacją osobie, do której jest ona kierowana. Słowo "poinformować" w Słowniku Języka Polskiego PWN oznacza udzielić informacji, powiadomić o czymś. W związku z tym przyjęcie wykładni art. 105a ust. 3 u.P.b. zaproponowanej przez Prezesa UODO prowadziłoby do istotnych nadużyć po stronie nierzetelnych dłużników i wypaczałoby sens regulacji, dając osobom niewywiązującym się ze swoich zobowiązań możliwość unikania ujawnienia informacji o nich w [...] przez proste uchylanie się od odbioru korespondencji. Dłużnicy tacy mogliby każdorazowo zarzucać, że nie mogli zapoznać się z treścią pisma, jeśli zwrotne potwierdzenie odbioru nie zostałoby podpisane przez daną osobę osobiście. Wykładnia Prezesa UODO jest błędna także i z tego powodu, że gdyby przyjąć ją za słuszną, w analogiczny sposób należałoby oczekiwać od każdego wierzyciela, że będzie wysyłał dłużnikowi wezwanie do zapłaty za potwierdzeniem osobistego odbioru lub doręczał do rąk własnych dłużnika. Miałoby to ten skutek, że nierzetelny dłużnik starający się uniemożliwić skuteczne dochodzenie roszczeń, uchylałby się od odebrania przesyłek, co utrudniłoby w istotnym stopniu proces windykacji i dawało niezasadne przywileje osobom niewywiązującym się ze swoich zobowiązań. W sprawie wysłano Uczestniczce informację razem z oświadczeniem o wypowiedzeniu Umowy kredytowej, a Ona nie zakwestionowała skuteczności wypowiedzenia Umowy, choć brak doręczenia oświadczenia, w teorii mógłby pozbawić wypowiedzenia skuteczności. Wykładnia przyjęta przez Prezesa UODO prowadziłaby do wniosku, że także każde wypowiedzenie umowy powinno być wysyłane za potwierdzeniem odbioru lub doręczane do rąk własnych drugiej strony. Stoi też w jawnej sprzeczności z przepisami dotyczącymi oświadczeń woli, w szczególności z art. 61 § 1 k.c.
Bank wysłał [...] października 2019r. Uczestniczce oświadczenie o wypowiedzeniu Umowy kredytowej, zawierające stosowną, wymaganą prawem informację o zamiarze przekazania jej danych osobowych do [...], a Uczestniczka była zobowiązana na bieżąco informować Bank o zmianie nazwiska, adresu lub miejsca pracy (pkt 71 ust. 8 ww. Umowy). Nigdy jednak o zmianie adresu nie informowała, zatem należało uznać, że ww. oświadczenie wysłano na właściwy adres. W ten sposób Bank umożliwił Uczestniczce zapoznanie się z tą informacją. W konsekwencji - po upływie trzydziestu dni - Bank mógł przetwarzać jej dane osobowe bez jej zgody, w tym przez ich przekazanie do [...], gdyż doszło do wymaganego art. 105a ust. 3 u.P.b. "poinformowania" podmiotu danych. Datą początkową sankcyjnego przetwarzania danych Uczestniczki była data "odzyskania" (spłaty zobowiązania), którą ustalono na [...] kwietnia 2021r. Była to data znacząco odległa od terminu nadania przesyłki poleconej na adres Uczestniczki ([...] października 2019r.). W przypadku przesyłki dotyczącej ww. Umowy kredytowej za najpóźniejszą możliwą datę zapoznania się z przesłanymi informacjami należałoby uznać [...] listopada 2019r. W efekcie 30-dniowy termin z art. 105a ust. 3 u.P.b., upłynąłby [...] grudnia 2019r. Zważając zatem na ww. datę rozpoczęcia postępowania sankcyjnego między ww. datami, czyli upływem terminów wymaganych z art. 105a ust. 3 u.P.b., a rozpoczęciem przetwarzania danych, upłynęło aż 513 dni. Bezsprzecznie minęło ponad 30 dni od daty poinformowania Uczestniczki o zamiarze przetwarzania jej danych osobowych, stanowiących tajemnicę bankową. Uczestniczka miała więc możliwość zapoznania się z treścią ww. pisma w terminie dłuższym niż 30 dni przed rozpoczęciem przetwarzania jej danych, zatem Bank spełnił obowiązek wynikający z art. 105a ust. 3 u.P.b.
Prezes UODO nieprawidłowo zinterpretował art. 105a ust. 3 u.P.b., co doprowadziło do błędnego przyjęcia, że Bank nie miała podstaw do przetwarzania danych osobowych Uczestniczki bez jej zgody. Konsekwencję było błędne zastosowanie przez organ art. 6 ust. 1 lit. f RODO.
Bank nie zgodził też z wykładnią art. 118 k.c. dokonaną w zaskarżonej decyzji i wskazał, że w okresie, kiedy każda ze stron stosunku zobowiązaniowego może wystąpić do Sądu z roszczeniami wynikającymi z tego stosunku, czyli przez określony odrębnymi przepisami okres przedawnienia roszczeń, istnieje prawnie uzasadniony interes administratora danych do ich przetwarzania, z zastrzeżeniem, że przetwarzanie to odbywa się w sposób ograniczony wyłącznie do celu, jakim jest cel dowodowy w ewentualnym postępowaniu sądowym, a zatem co do zasady przetwarzanie to polega na przechowywaniu danych. Przyjęcie odmiennego stanowiska, tzn. uznanie, że przesłanka z art. 6 ust. 1 lit. f) RODO dotyczy wyłącznie sytuacji sporu już istniejącego, gdy celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia określonych okoliczności w zawisłym już sporze, prowadziłoby do wniosku, że administrator, niezwłocznie po wykonaniu umowy (spełnieniu świadczenia wynikającego z danego stosunku prawnego), powinien usuwać dane osobowe. Takie podejście nie bierze w ogóle pod uwagę różnego rodzaju terminów na realizację uprawnień prawokształtujących, które wynikają z ustawy, podobnie jak terminy przedawnienia oraz faktu, że w obrocie gospodarczym administrator musi liczyć się z tym, że przez okres przedawnienia roszczeń jego klient lub kontrahent może zgłosić roszczenia wynikające np. z wad fizycznych lub prawnych przedmiotu świadczenia lub nienależytego wykonania zobowiązania, gdy skutki tego nienależytego wykonania ujawnią się dopiero po jakimś czasie od "zakończenia" umowy.
Bank, odnosząc się do przetwarzania danych osobowych "na zapas", wskazał, że wyrok WSA w Warszawie z 11 stycznia 2017r. dotyczył innego stanu faktycznego, w którym bank przetwarzał dane osoby, z którą nie łączył go nigdy stosunek prawny. Ponadto wyjaśnił, że Bank nie wpływa negatywnie na sytuację prawną podmiotu danych, a prawo do prywatności Uczestniczki nie przeważa nad prawnie uzasadnionym interesem Banku, gdyż administrator (Bank) jedynie przechowuje dane Uczestniczki z potencjalną możliwością wykorzystania ich w postępowaniu sądowym i to przez znany, z góry określony okres (okres przedawnienia roszczeń).
3. Prezes UODO w odpowiedzi na skargę wniósł o oddalenie skargi, podtrzymując stanowisko zaprezentowane w zaskarżonej decyzji.
II. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:
1. Skarga nie zasługuje na uwzględnienie.
2. Sąd na wstępie wskazuje, że rozpoznał sprawę ze skargi Banku w trybie uproszczonym, na posiedzeniu niejawnym, w składzie trzech sędziów, na podstawie art. 119 pkt 2 i art. 120 ustawy z 30 sierpnia 2002r. Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2023r. poz. 1634 ze zm., zwana dalej "P.p.s.a."). Wnioski o rozpoznanie sprawy w trybie uproszczonym zawarto w skardze i odpowiedzi na skargę, a Uczestniczka postępowania nie zażądała przeprowadzenia rozprawy.
Sąd wskazuje ponadto, że zgodnie z art. 1 ustawy z 25 lipca 2002r. - Prawo o ustroju sądów administracyjnych (Dz.U. z 2022r. poz. 2492 ze zm.), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej, a kontrola ta sprawowana jest pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej. Oznacza to, że sądy administracyjne nie orzekają merytorycznie, tj. nie wydają orzeczeń, co do istoty sprawy, lecz badają zgodność zaskarżonego aktu administracyjnego z obowiązującymi przepisami prawa, określającymi prawa i obowiązki stron oraz przepisami procedury administracyjnej, normującymi zasady postępowania przed organami administracji publicznej.
Z art. 145 § 1 pkt 1 P.p.s.a., wynika, że Sąd uchyla decyzję lub postanowienie w całości albo w części, jeżeli stwierdzi: a) naruszenie prawa materialnego, które miało wpływ na wynik sprawy, b) naruszenie prawa dające podstawę do wznowienia postępowania administracyjnego, c) inne naruszenie przepisów postępowania, jeżeli mogło ono mieć istotny wpływ na wynik sprawy. Tym samym zaskarżone akty mogą ulec uchyleniu tylko wtedy, gdy organom administracji publicznej można postawić uzasadniony zarzut naruszenia prawa, czy to materialnego, czy to procesowego, jeżeli naruszenie to miało, bądź mogło mieć wpływ na wynik sprawy.
Sąd w razie nieuwzględnienia skargi w całości albo w części, na mocy art. 151 P.p.s.a., oddala skargę odpowiednio w całości albo w części.
3. Sąd, mając powyższe przepisy na względzie uznał, że zaskarżona decyzja Prezesa UODO była prawidłowa zarówno pod względem formalnym, jak i materialnoprawnym.
Istota sprawy, a zarazem sporu między stronami, sprowadza się do tego, czy Bank dopełnił obowiązku informacyjnego wobec Uczestniczki, zgodnie z art. 105a ust. 3 in fine u.P.b., czy też nie miało miejsca oraz czy w związku z tym Prezes UODO w okolicznościach faktycznych sprawy wynikających z akt administracyjnych był uprawniony do skorzystania w zaskarżonej decyzji z uprawnienia naprawczego, przewidzianego w art. 58 ust. 2 lit. c) RODO i nakazania Bankowi – w związku z żądaniem osoby, której dane osobowe dotyczyły - zaprzestania przetwarzania ww. danych osobowych Uczestniczki, związanych z ww. Umową kredytową i to zarówno przetwarzanych w systemie [...], jak i w systemach Banku.
W myśl bowiem art. 4 pkt 2 RODO przetwarzanie danych oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie.
Warunki uznania przetwarzania danych osobowych za legalne określono w art. 6 ust. 1 RODO, zgodnie z którym, przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy - i w takim zakresie, w jakim - spełniony jest co najmniej jeden z poniższych warunków:
a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów;
b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy;
c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze;
d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej;
e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi;
f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Akapit pierwszy lit. f nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań.
Zgodnie z art. 105a ust. 1 u.P.b., przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów, instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d u.kk., a także instytucje utworzone na podstawie art. 105 ust. 4 u.P.b., informacji stanowiących tajemnicę bankową i informacji udostępnionych przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d u.kk., w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem art. 104, art. 105 i art. 106-106d, w celu oceny zdolności kredytowej i analizy ryzyka kredytowego.
Z art. 105a ust. 2 u.P.b. wynika, że z zastrzeżeniem ust. 3, instytucje, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową oraz informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d u.kk., w zakresie dotyczącym osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d u.kk., pod warunkiem uzyskania pisemnej zgody osoby, której informacje te dotyczą, z zastrzeżeniem ust. 2a. Zgoda ta może być w każdym czasie odwołana.
Stosownie do treści art. 105a ust. 3 u.P.b., banki, instytucje oraz podmioty, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową i informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d u.kk., dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d u.kk., bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d u.kk., a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank, inną instytucję ustawowo upoważnioną do udzielania kredytów, instytucję pożyczkową albo podmiot, o którym mowa w art. 59d u.kk., o zamiarze przetwarzania dotyczących jej informacji, bez jej zgody.
Sąd, biorąc pod uwagę treść ww. przepisów, podzielił stanowisko Prezesa UODO wyrażone w uzasadnieniu zaskarżonej decyzji, że przetwarzanie przez Bank danych osobowych Uczestniczki, wbrew stanowisku Banku prezentowanemu w postępowaniu administracyjnym i w skardze do WSA w Warszawie, nie miało podstaw w art. 105a ust. 3 in fine u.P.b. Z przepisu tego wynika bowiem, że warunkiem dopuszczalności przetwarzania informacji o kliencie, będącym osobą fizyczną, po wygaśnięciu zobowiązania, jest upływ co najmniej 30 dni od poinformowania tej osoby przez bank o zamiarze przetwarzania tych informacji.
Zdaniem Sądu rację ma Prezes UODO, wskazując w uzasadnieniu zaskarżonej decyzji, że z akt administracyjnych wynika, że Bank nie spełnił łącznie wszystkich warunków przewidzianych w art. 105a ust. 3 u.P.b., uprawniających do rozpoczęcia przetwarzania ww. danych osobowych Uczestniczki, w tym w bazie [...], gdyż w aktach administracyjnych nie ma dowodu wskazującego, że doszło do skutecznego zawiadomienia Uczestniczki przez Banku o zamiarze przetwarzania tych danych, bez zgody Uczestniczki.
Wprawdzie Prezes UODO odwołuje się w uzasadnieniu zaskarżonej decyzji do kopii listy wysyłkowej, którą załączył Bank (k. 51 akt administracyjnych), ale Sąd stwierdza, że kopii tej, której nie potwierdzono za zgodność z oryginałem, nie można uznać ani za czytelną, ani za wyraźną. Zdaniem Sądu na podstawie tej kopii nie sposób ustalić do kogo Bank nadał korespondencję, jaki był to rodzaj korespondencji, ani daty nadania tej korespondencji. Wbrew zatem argumentacji Banku prezentowanej w skardze nieuzasadnione jest odwoływanie się przez Bank do treści art. 76 k.p.a. Po pierwsze dlatego, że Bank w postępowaniu administracyjnym nie dostarczył ani wiarygodnego dowodu, ani tym bardziej dowodu urzędowego, który wskazywałby na potwierdzenie daty, w której Uczestniczka, która wycofała [...] grudnia 2021r. zgodę na przetwarzanie jej danych osobowych w systemie [...], w związku ze spłatą zadłużenia z ww. Umowy kredytowej została poinformowana przez Banku w dacie podawanej przez Bank w wyjaśnieniach przedkładanych Prezesowi UODO o zamiarze przetwarzania informacji, stanowiących tajemnicę bankową bez zgody Uczestniczki, po wygaśnięciu ww. zobowiązania. Tym samym rację miał Prezes UODO przyjmując w uzasadnieniu zaskarżonej decyzji, że Bank skutecznie nie spełnił wobec Uczestniczki obowiązku określonego w art. 105a ust. 3 u.P.b. To rolą Banku jest wykazanie w postępowaniu przez Prezesem UODO, w związku z konstrukcją art. 105a ust. 3 u.P.b. oraz z zasadą współdziałania wynikającą z art. 8 k.p.a. w związku z art. 7 u.o.d.o., daty, w której doszło do poinformowania osoby, której dane dotyczą, o zamiarze przetwarzania jej danych osobowych po wygaśnięciu zobowiązania, bez jej zgody, nie zaś daty, w której hipotetycznie osoba ta mogła zapoznać się z powyższą informacją (por. wyroki NSA z: 27 sierpnia 2019r. sygn. akt I OSK 2514/17; 7 sierpnia 2018r. sygn. akt I OSK 2123/15 i sygn. akt I OSK 2051/16; 27 października 2017r. sygn. akt I OSK 3362/15; 25 lipca 2017r. sygn. akt I OSK 2859/16 – dostępne na orzeczenia.nsa.gov.pl). To Bank najlepiej zna bowiem sytuację faktyczną i powinien wywodząc pozytywne dla siebie skutki prawne przestawić dowody związane z prawidłowością przetwarzania danych osobowych.
Sąd podziela też stanowisko Prezesa UODO, wyrażone w oparciu o poglądy prezentowane w judykaturze, że daty, będącej początkiem biegu 30-dniowego terminu wskazanego w art. 105a ust. 3 u.P.b., nie można ustalać w oparciu o domniemania. Brak dowodu doręczenia Uczestniczce ww. przesyłki skutkuje więc niemożliwością ustalenia konkretnego terminu zapoznania się przez Nią z treścią wskazanej informacji (por. np. wyrok NSA z 27 sierpnia 2019r. sygn. akt I OSK 2514/17 – dostępny na www.orzeczenia.nsa.gov.pl).
Zdaniem Sądu należy też podzielić pogląd wyrażony przez WSA w Warszawie w wyroku z 18 stycznia 2022r. sygn. akt II SA/Wa 3584/21, że prawidłowa wykładnia zawartego w art. 105a ust. 3 u.P.b. zwrotu "poinformowania tej osoby" winna uwzględnić nie tylko treść normy zawartej w art. 61 § 1 k.c., ale także tę część normy zawartej w art. 105a ust. 3 u.P.b., która ustanawia dodatkowy trzydziestodniowy termin na wykonanie zobowiązania. W literaturze przedmiotu podkreśla się bowiem, iż: "Sam fakt, że klient nie wykonał zobowiązania lub spóźnił się z jego wykonaniem co najmniej 60 dni, nie upoważnia instytucji do przetwarzania jego danych. Musi bowiem zostać poinformowany o możliwości przetwarzania jego danych bez uzyskania od niego zgody. Dopiero bezskuteczny upływ 30 dni od momentu poinformowania stanowi wypełnienie przesłanek z art. 105a ust. 3 [u.P.b.]. W przypadku, gdy konsument spełni świadczenie w czasie tych 30 dni, instytucje tracą prawo do przetwarzania informacji bez jego uprzedniej zgody. [...] Moment, od którego należy liczyć sześćdziesięciodniowy termin, w którym konsument dopuszcza się zwłoki w wykonaniu zobowiązania, to termin wykonania zobowiązania. Dopiero po upływie 60 dni zaczyna biec trzydziestodniowy termin, w którym instytucja jeszcze oczekuje na wykonanie zobowiązania klienta. Termin trzydziestodniowy nie biegnie jednak ex lege, a dopiero od momentu, w którym konsument zostanie poinformowany o zamiarze przetwarzania. Termin ten liczy się nie od momentu wysłania informacji, ale od chwili, w której konsument mógł się z nią zapoznać. Wydaje się, iż sama czynność poinformowania może nastąpić wcześniej niż po upływie 60 dni" (tak: Agnieszka Żygadło Przetwarzanie informacji stanowiących tajemnicę bankową po wygaśnięciu zobowiązania", Pr. Bankowe 2006/4/83).
Konstrukcja przyjęta w art. 61 § 1 zdanie pierwsze k.c. odpowiada tzw. kwalifikowanej teorii doręczenia, która zadowala się dojściem oświadczenia woli do adresata w taki sposób, że miał on możliwość zapoznania się z jego treścią (por. wyrok SN z 8 września 2016 r. sygn. akt II CSK 750/15, M. Pr. Bank. 2017/10, s. 21 i 35, z glosą T. Czecha oraz z omówieniem M. Bączyka, M. Pr. Bank 2017/11, s. 58). To, czy rzeczywiście się z tym oświadczeniem zapoznał, co do zasady nie ma w kontekście art. 61 § 1 k.c. znaczenia (por. wyroki SN z: 18 listopada 1999r. sygn. akt I PKN 375/99, OSNAPiUS 2001/7, poz. 227; 20 maja 2015r. sygn. akt I CSK 547/14, LEX nr 1767493 i z 22 marca 2017r. sygn. akt III CSK 148/16, LEX nr 23552146 oraz uchwała składu siedmiu sędziów SN z 31 marca 2016r. sygn. akt III CZP 89/15; Z. Radwański [w:} System Prawa Prywatnego, t. 2, 2008, s. 292). Rozwiązanie to wiąże się z pewnym zagrożeniem dla osoby, której oświadczenie woli jest składane, zakłada bowiem możliwość zaistnienia sytuacji, w których oświadczenie to zostanie uznane za złożone, z czym częstokroć będą związane istotne skutki prawne, choć jego adresat nie wiedział o tym oświadczeniu albo nie znał jego treści.
W literaturze przedmiotu podkreśla się, że zagrożenie to jest akceptowalne przede wszystkim dlatego, że negatywne skutki teorii doręczenia mogą ujawnić się w zasadzie tylko w ramach już istniejącego między stronami stosunku prawnego, ponieważ tylko wtedy jednostronne oświadczenia (czynności prawne) mogą oddziaływać niekorzystanie na sytuację prawną adresata oświadczenia woli. Do powstania zaś tego stosunku zazwyczaj niezbędna jest zgoda adresata, a wyrażając ją i przyznając w ten sposób – choćby mocą czynników innych niż treść samego oświadczenia (por. art. 56) – drugiej stronie możliwość jednostronnego oddziaływania na swą sytuacje prawną (np. wypowiedzenia umowy albo wysokości świadczenia, odstąpienia, przyjęcia oferty, wezwania do wykonania zobowiązania, wyboru świadczenia przemiennego), adresat musi liczyć się ze składaniem takich oświadczeń i nie może dysponować instrumentem, który w prosty sposób mógłby paraliżować ich skutki (np. stroniąc od zapoznania się z tym oświadczeniem). Dlatego faktyczne zapoznanie się z oświadczeniem przynależy już wyłącznie do prawnie irrelewantnej sfery wewnętrznej adresata oświadczenia (tak: Roman Trzaskowski w: "Kodeks cywilny. Komentarz Tom I. Część ogólna cz. 2 (art. 56-125)" pod red. Jacka Gudowskiego, Lex/el 2021, (cz.3 do art. 61).
Sąd w związku z tym wskazuje, że prawidłowe jest stanowisko Banku prezentowane w skardze, że okoliczność faktycznego zapoznanie się przez Uczestniczkę z treścią oświadczenia Banku nie ma znaczenia w kontekście art. 105a ust. 3 u.P.b. i art. 61 § 1 k.c., bo należy do prawnie irrelewantnej sfery wewnętrznej adresata oświadczenia. Nie oznacza to jednak, że Bank nie miał obowiązku w świetle ww. art. 105a ust. 3 u.P.b. dostarczyć w postępowaniu dowodów wskazujących, że Bank poinformował Uczestniczkę o zamiarze przetwarzania jej danych, bez jej zgody. Dowód nadania przesyłki listem poleconym dowodzi jedynie, że przesyłkę nadano. To, że zgodnie z art. 17 Prawa pocztowego, potwierdzenie nadania przesyłki rejestrowanej lub przekazu pocztowego wydane przez placówkę pocztową operatora wyznaczonego ma moc dokumentu urzędowego, nie jest równoznaczne z wykazaniem, że poinformowanie nastąpiło w konkretnej dacie, tj., że przesyłka doręczona została konsumentowi. Potwierdzenie nadania przesyłki rejestrowanej, zgodnie z art. 17 Prawa pocztowego, stanowi dowód, że daną przesyłkę nadano. Wywodzenie z powołanego przepisu Prawa pocztowego skutku w postaci doręczenia przesyłki konkretnej osobie, w konkretnej przy tym dacie, nie jest uprawnione, zwłaszcza w sytuacji, gdy z danym doręczeniem (poinformowaniem) w konkretnej dacie ustawodawca wiąże ściśle określone skutki. Nie ma żadnych podstaw, aby na gruncie art. 105a ust. 3 u.P.b., opierając się na Regulaminie świadczenia usług powszechnych i na Prawie pocztowym, próbować ustalać domniemany czy najbardziej prawdopodobny termin, w którym to ewentualnie mogło nastąpić doręczenie przesyłki zawierającej informację, o której mowa w art. 105a ust. 3 u.P.b.
Nadanie powiadomienia, o którym mowa w art. 105a ust. 3 u.P.b., listem poleconym nie pozwala – w okolicznościach sprawy – na ustalenie początku biegu wskazanego terminu. Skoro to Bank wywodzi skutki prawne z powiadomienia strony o zamiarze przetwarzania jej danych osobowych stanowiących tajemnicę bankową bez jej zgody, to musi wykazać, że bezskutecznie upłynęło 30 dni od daty poinformowania strony o tym zamiarze. Wykazanie tej okoliczności wymaga jednak – co oczywiste – wykazania początku biegu owego trzydziestodniowego terminu. W okolicznościach faktycznych sprawy, wynikających z akt administracyjnych nie miało to miejsca. Skoro w sprawie nie było możliwe ustalenie tej okoliczności, to prawidłowe było uznanie przez Prezesa UODO, że nie wyczerpano w sprawie wymogów art. 105a ust. 3 u.P.b. Zwrócić przy tym należy uwagę, że w rozpatrywanej sprawie Bank podnosił, że [...] października 2019r. nadał do Uczestniczki przesyłkę zawierającą oświadczenie Banku o wypowiedzeniu umowy z [...] października 2019r. Bank nie przedstawił jednak dowodu potwierdzającego odbiór tej przesyłki przez Uczestniczkę, choć możliwość jego uzyskania miał, albowiem przepisy prawa umożliwiają w przypadku nadania przesyłki rejestrowanej, uzyskanie dowodu doręczenia, jeśli nadawca tego zażąda. Co więcej, z przedstawionego przez Bank dowodu, znajdującego się na k. 51 akt administracyjnych, nie wynika, że doszło do nadania do Uczestniczki przesyłki rejestrowej zawierającej oświadczenie o wypowiedzeniu umowy, znajdujące się na k. 50 akt administracyjnych.
Sąd dodaje, że okoliczność, że Uczestniczka nie zakwestionowała skuteczności wypowiedzenia umowy nie ma znaczenia w sprawie dotyczącej zgodności z prawem przetwarzania danych osobowych Uczestniczki. Organ ochrony danych osobowych nie rozstrzyga bowiem kwestii skuteczności czynności prawnej wypowiedzenia umowy. Z orzecznictwa Sądu Najwyższego i Naczelnego Sądu Administracyjnego wynika natomiast jednoznacznie, że domniemanie doręczenia, o którym mowa wyżej, może być przez adresata obalone przez wykazanie, że nie miał możliwości zapoznania się z tym poinformowaniem (por. wyrok SN z 17 marca 2010r. sygn. akt II CSK 454/09, OSNC 2010/10/142; wyrok NSA z 20 stycznia 2021r. sygn. akt III OSK 2491/21, Lex nr 3117872). Dodatkowo wskazania wymaga, że w orzecznictwie Naczelnego Sądu Administracyjnego podkreśla się materialny (ochronny), a nie formalny charakter obowiązku informacyjnego, o którym mowa w art. 105a ust. 3 u.P.b. Zauważa się przy tym, za poglądami wyrażanymi w literaturze przedmiotu, że dane osobowe są wartością chronioną ustawowo, a prawo od ich ochrony stanowi swego rodzaju emanację ogólnego prawa gwarantowanego Konstytucją RP (art. 47). Spostrzeżenie to oparte jest na założeniu, że dane osobowe są niejako częścią życia prywatnego lub rodzinnego, względnie - że posługiwanie się danymi dotyczącymi innej osoby wkracza w przyznaną jej kompetencję decydowania o swoim życiu osobistym.
Rację ma zatem Prezes UODO wskazując w uzasadnieniu zaskarżonej decyzji, że choć ustawodawca w żaden sposób nie ograniczył sposobów i form "poinformowania", o którym mowa w art. 105a ust. 3 u.P.b., to w każdym wypadku sposób ten powinien umożliwić zweryfikowanie faktu poinformowania klienta Banku o zamierzonym przetwarzaniu jego danych osobowych lub przynajmniej potwierdzenie, że klientowi umożliwiono zapoznanie się z taką informacją (por. wyrok WSA w Warszawie z 21 grudnia 2022r. sygn. akt II SA/Wa 358/21, orzeczenia.nsa.gov.pl).
Bank nie wykazał, że powiadomienie nastąpiło i nie wykazał, w jakiej dacie to powiadomienie nastąpiło. W analizowanej sprawie brak jest możliwości ustalenia daty poinformowania Uczestniczki przez Bank, co powoduje, iż brak jest podstaw do przyjęcia, że powiadomienie Uczestniczki o zamiarze przetwarzania jej danych osobowych wyczerpało wymogi art. 105a ust. 3 u.P.b. oraz że upłynął bezskutecznie dodatkowy trzydziestodniowy termin na spełnienie świadczenia.
4. W tych okolicznościach skarga ani podnoszone w niej zarzuty procesowe i materialnoprawne nie zasługiwały na uwzględnienie. Prezes UODO, stosownie do art. 6, art. 7, art. 8, art. 77 § 1 i art. 80 k.p.a. w związku z art. 7 u.o.d.o. przeprowadził wystarczające postępowanie wyjaśniającego oraz ocenił znajdujące się w aktach administracyjnych sprawy dowody, uwzględniając przy tym normy prawa materialnego wskazane w podstawie prawnej zaskarżonej decyzji, w tym w szczególności art. 6 ust. 1 lit. f) i art. 58 ust. 2 lit. c) RODO w związku z art. 105a ust. 3 u.P.b. oraz w związku z art. 118 k.c. i art. 61 § 1 k.c. Uzasadnienie zaskarżonej decyzji zawiera wszystkie niezbędne elementy przewidziane w art. 107 § 1 i 3 k.p.a., odnosząc się do stanowiska obu stron postępowania. Prezes UODO w oparciu o prawidłowo zgromadzony materiał dowodowy zasadnie stwierdził, że w rozpoznawanej sprawie nie spełniono przesłanek określonych w art. 105a ust. 3 u.P.b., uprawniających Bank do przetwarzania danych osobowych Uczestniczki w systemie [...] i w systemach Banku.
5. Sąd, mając powyższe okoliczności na względzie, na podstawie art. 151 P.p.s.a. orzekł jak w sentencji.