II SA/Wa 1631/23

II SA/Wa 1631/23 - Wyrok WSA w Warszawie
Data orzeczenia
2024-02-26
orzeczenie prawomocne
Data wpływu
2023-08-22
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Joanna Kruszewska-Grońska
Lucyna Staniszewska /sprawozdawca/
Łukasz Krzycki /przewodniczący/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę
Powołane przepisy
Dz.U. 2023 poz 1634
art. 119 pkt 2, 120, 134, par. 1, 151.
Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi - t.j.
Dz.U. 2022 poz 2324
art. 105a,
Ustawa z dnia 29 sierpnia 1997 r. - Prawo bankowe (t. j.)
Dz.U.UE.L 2016 nr 119 poz 1 art. 58 ust. 2 li. c
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z  przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Łukasz Krzycki, Sędzia WSA Joanna Kruszewska-Grońska, Asesor WSA Lucyna Staniszewska (spr.), , po rozpoznaniu w trybie uproszczonym w dniu 26 lutego 2024 r. sprawy ze skargi [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] czerwca 2023 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę
Uzasadnienie
I. Przedmiotem zaskarżenia jest decyzja Prezesa Urzędu Ochrony Danych Osobowych (dalej: ,,Prezes UODO’’, ,,Organ’’) z dnia [...] czerwca 2023 r. nr [...] w przedmiocie nakazania [...] Bank S.A. (dalej: ,,Skarżący’’, ,,Bank’’) zaprzestania przetwarzania danych osobowych Uczestniczki postępowania – M. P. w systemie Biura Informacji Kredytowej S.A. w celu oceny zdolności kredytowej i analizy ryzyka kredytowego.
II. Zaskarżona decyzja zapadła w następujących okolicznościach faktycznych i prawnych:
1. M. P. w dniu [...] kwietnia 2014 r. zawarła z Bankiem umowę o kredyt gotówkowy. Dane dotyczące ww. umowy zostały wpisane do bazy BIK. W dniu [...] stycznia 2022 r. złożyła do Banku wniosek, w którym m. in. odwołała zgodę na przetwarzanie jej danych dotyczących wskazanego zobowiązania oraz o przeniesienie danych związanych z umową przetwarzanych w BIK do sekcji statystycznej.
W związku z negatywną odpowiedzią Banku, Uczestniczka postępowania złożyła skargę do Prezesa UODO wnosząc o nakazanie usunięcia jej danych osobowych dotyczących ww. zobowiązania w BIK. Skarżąca podniosła ponadto, że Bank nie spełnił wobec niej obowiązku poinformowania jej o zamiarze przetwarzania jej danych osobowych w celu oceny zdolności kredytowej, o którym mowa w art. 105a ust. 3 ustawy Prawo bankowe.
Bank w wyjaśnieniach podkreślił, że pozyskał dane osobowe w zakresie: imię, nazwisko, nazwisko panieńskie matki, datę urodzenia, obywatelstwo, wykształcenie, stan cywilny, płeć, PESEL, NIP, serię i numer dokumentu tożsamości, adres zameldowania, adres do korespondencji, telefon komórkowy, informacje finansowe, w tym dochód Uczestniczki postępowania w wyniku zawarcia umowy nr [...] z dnia [...] kwietnia 2014 r. w celu realizacji zawartej umowy. Bank wskazał również, że przekazał do BIK informacje o zobowiązaniu wynikającym z ww. umowy stanowiące tajemnicę bankową oraz dane identyfikacyjne M. P. w zakresie określonym przepisami art. 105 ust. 4 i art. 105a Ustawy - Prawo Bankowe.
Skarżący wskazał, że w związku ze zwłoką w spełnieniu świadczenia wynikającego z zawartej umowy, w dniu [...] listopada 2019 r. wysłał do M. P. oświadczenie o wypowiedzenie umowy, w którym znalazła się informacja dotycząca przetwarzania danych bez zgody, tj. na podstawie art. 105a ust. 3 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (t.j. Dz. U. z 2022 r. poz. 2324 ze zm.), zwanej dalej Prawem bankowym. Bank wyjaśnił, że korespondencja do M. P. została wysłana listem poleconym bez zwrotnego potwierdzenia odbioru. Bank wskazał, że nie odnotował zwrotu powyższej korespondencji z informacją o zamiarze przetwarzania danych M. P. Bank wskazał również cyt. "(...) przetwarzanie danych Uczestniczki postępowania na podstawie art. 105a ust. 3 Ustawy - Prawo Bankowe rozpoczęło się z dniem [...] lipca 2020 r., zatem upłynęło co najmniej 30 dni od poinformowania M. P. o zamiarze przetwarzania jej danych osobowych w BIK na podstawie art. 105a ust. 3 Ustawy - Prawo Bankowe.
Organ uzyskał wyjaśnienie z BIK, który wskazał, że obecnie przetwarza dane osobowe M. P. w zakresie ww. zobowiązania na podstawie art. 105a ust. 3 ustawy Prawo bankowe, ze względu na przekazanie przez Bank do BIK informacji o spełnieniu warunków, o których mowa w tym przepisie dających podstawę do przetwarzania danych bez zgody M. P. Dane będą przetwarzane w tym celu przez okres 5 lat od dnia wygaśnięcia zobowiązania, zgodnie z art. 105a ust. 5 ustawy Prawo bankowe. W przypadku ww. zobowiązania, jako datę jego wygaśnięcia Bank wskazał [...] lipca 2020 r.
2. Prezes Urzędu Ochrony Danych Osobowych decyzją z dnia [...] czerwca 2023 r. nr [...] w oparciu o art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (obecnie tekst jednolity: Dz. U. z 2023, r. poz. 775 ze zm.; dalej: "k.p.a.") w związku z art. 7 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r, poz. 1781; dalej: "u.o.d.o.") oraz art. 6 ust. 1 i art. 58 ust. 2 lit. c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych - Dz. Urz. UE L 119 z 4 maja 2016 r., str. 1; Dz. Urz. UE L 127 z 23 maja 2018 r., str. 2; Dz. Urz. UE L 74 z 4 marca 2021 r., str. 35; dalej: "RODO") w związku z art. 105a ust. 3 P.b., nakazał bankowi zaprzestanie przetwarzania danych osobowych uczestniczki postępowania nakazał [...] Bank S.A. (zaprzestania przetwarzania danych osobowych Uczestniczki postępowania – M. P. w systemie Biura Informacji Kredytowej S.A. w celu oceny zdolności kredytowej i analizy ryzyka kredytowego.
Organ w uzasadnieniu wskazał, że przepisem uprawniającym administratorów danych do przetwarzania danych osób fizycznych jest art. 6 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35), zwanego dalej RODO, zgodnie z którym, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy spełniona jest jedna z przesłanek wskazanych w tym przepisie. Katalog przesłanek wymienionych w art. 6 ust. 1 RODO, jest zamknięty. Każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny.
Co do zasady podstawą prawną przetwarzania danych osobowych klientów przez Bank w BIK może być obecnie art. 6 ust. 1 lit. f RODO, gdy przetwarzanie to jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora. Wskazania wymaga, że przetwarzanie danych osobowych odbywa się w oparciu o umowę zawartą pomiędzy Bankiem i BIK.
Organ wskazał, że zgodnie zaś z art. 105a ust. 3 Prawa bankowego banki, instytucje oraz podmioty, mogą przetwarzać informacje stanowiące tajemnicę bankową i informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank, inną instytucję ustawowo upoważnioną do udzielania kredytów, instytucję pożyczkową albo podmiot, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, o zamiarze przetwarzania dotyczących jej tych informacji, bez jej zgody.
Organ odnosząc się do ustalonego stanu faktycznego wskazał, że zobowiązanie Uczestniczki postępowania wobec Banku, wynikające z umowy o kredyt gotówkowy z dnia [...] kwietnia 2014 r., wygasło w dniu 30 lipca 2020 r. Istotnym jednakże w niniejszej sprawie jest to, że Bank nie przedstawił dowodów na spełnienie wobec M. P. obowiązku określonego w art. 105a ust. 3 Prawa bankowego, tj. nie poinformował jej skutecznie o zamiarze przetwarzania dotyczących ją informacji stanowiących tajemnicę bankową, bez jej zgody po wygaśnięciu zobowiązania wynikającego z przedmiotowej umowy. Stwierdzić należy zatem, że sam fakt, iż Skarżąca nie wykonała zobowiązania lub spóźniła się z jego wykonaniem co najmniej 60 dni, nie upoważnia Banku do przetwarzania jej danych na warunkach określonych w art. 105a ust. 3 Prawa bankowego. Moment, od którego należy liczyć sześćdziesięciodniowy termin, w którym konsument dopuszcza się zwłoki w wykonaniu zobowiązania, to termin wykonania zobowiązania. Dopiero po upływie 60 dni zaczyna biec termin 30 dni, o którym mowa w art. 105a ust. 3 Prawa bankowego. Termin 30 dni biegnie od momentu, w którym konsument zostanie skutecznie poinformowany przez instytucję o zamiarze przetwarzania. Ostatecznie to bezskuteczny upływ 30 dni od momentu poinformowania stanowi wypełnienie przesłanek z art. 105a ust. 3 Prawa bankowego.
Organ podkreślił, że należy ustalić datę, w której doszło do poinformowania osoby, której dane dotyczą, o zamiarze przetwarzania jej danych osobowych po wygaśnięciu zobowiązania, bez jej zgody, nie zaś datę, w której hipotetycznie osoba ta mogła zapoznać się z powyższą informacją. Natomiast Bank wyjaśnił, że datę doręczenia Skarżącej przesyłki zawierającej powyższą informację ustalił dodając do daty, w której nadał korespondencję do Skarżącej, 7-dniowy termin, w którym jego zdaniem powinno nastąpić skuteczne doręczenie przesyłki.
W ocenie organu powyższe jest sprzeczne z treścią art. 105a ust. 3 Prawa bankowego. Za niedopuszczalne należy uznać ustalanie daty, w której doszło do poinformowania o okolicznościach wskazanych w ww. przepisie prawa, w oparciu o przypuszczenie Banku, że we wskazanym przez niego terminie 7 dni mogło dojść do doręczenia informacji do Skarżącej, w oparciu o przypuszczenia.
Dodatkowo Prezes UODO podkreślił, że sporządzenie i wysłanie ww. pisma, nie jest równoznaczne z udowodnieniem jego prawidłowego doręczenia, skutkującego poinformowaniem Skarżącej o zamiarze przetwarzania danych stanowiących tajemnicę bankową, bez jej zgody na podstawie art. 105a ust. 3 Prawa bankowego. Samo bowiem oświadczenie o wysłaniu korespondencji i przedstawienie jej kopii wraz z kopią listy korespondencji bankowej wysłanej listem poleconym, nie stanowią dowodu na jej dostarczenie lub poinformowanie o jej treści adresata. W tym miejscu należy wskazać, że przepisy powszechnie obowiązujące nie formułują obowiązku wysłania informacji, o której mowa w art. 105a ust. 3 Prawa bankowego w szczególnej formie. To do podmiotu informującego należy zatem wybór formy przekazania odbiorcy komunikatu, o zamiarze przetwarzania danych osobowych bez jego zgody. Jednocześnie to podmiot informujący wywodzi z powyższego skutki prawne, zatem to on musi wykazać, że poinformował Skarżącą o zamiarze przetwarzania danych stanowiących tajemnicę bankową, bez jej zgody na podstawie art. 105a ust. 3 Prawa bankowego.
Prezes Urzędu Ochrony Danych Osobowych wskazał nadto, że podziela stanowisko Naczelnego Sądu Administracyjnego wyrażone w wyroku z dnia 7 sierpnia 2018 r. w sprawie o sygn. I OSK 2123/16, zgodnie z którym: "literalne odczytanie art. 105a ust. 3 Prawa bankowego może wskazywać na to, że ustawodawca nie stworzył w tym zakresie żadnych szczególnych wymogów formalnych co do sposobu i treści takiego poinformowania klienta lub byłego klienta banku. Prawidłowa wykładnia tego przepisu nie może jednak oznaczać całkowitej dowolności w tym zakresie. Przede wszystkim należy zwrócić uwagę na materialny (ochronny), a nie formalny charakter tego przepisu. Wymaga on w sposób kategoryczny "poinformowania", a nie "wysłania zawiadomienia"" (Legalis nr 1814483).
III. 1. Na wyżej opisaną decyzję skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie wniósł [...] Bank S.A. zaskarżając ją w całości.
Skarżący zastępowany przez profesjonalnego pełnomocnika zaskarżonej decyzji zarzucił:
1) naruszenie przepisów postępowania, mające istotny wpływ na wynik sprawy, tj. art. 6, art. 7, art. 8 § 1 i 2, art. 77 § 1, art. 80 oraz art. 107 § 3 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (t. j. Dz. U. z 2021 r. poz. 735 ze zm., dalej jako: KPA) w zw. z art. 7 ust. 1 UODO, polegające na niezastosowaniu zasad ogólnych postępowania administracyjnego: praworządności, prawdy obiektywnej i pogłębiania zaufania do władzy publicznej oraz przekroczeniu granic swobodnej oceny dowodów, a w konsekwencji błędnym przyjęciu, że potwierdzenie nadania pisma listem poleconym nie stanowi dowodu poinformowania Uczestniczki postępowania o zamiarze przetwarzania jej danych osobowych bez jej zgody, w oparciu o art. 105a ust. 3 ustawy z dnia 29 sierpnia 1997 r. - Prawo bankowe (t. j. Dz. U. z 2020 r. poz. 1896 ze zm., dalej jako: PB), podczas gdy jest to dokument mający moc dokumentu urzędowego, stanowiący dostateczny dowód przekazania informacji zgodnie z wymogami art. 105a ust. 3 PB;
2) naruszenie przepisów prawa materialnego, które miało wpływ na wynik sprawy, tj. art. 105a ust. 3 PB, poprzez jego błędną wykładnię, skutkującą przyjęciem, że wykonanie obowiązku informacyjnego, o którym mowa w powołanym przepisie, polega na skutecznym doręczeniu osobie fizycznej, po wygaśnięciu jej zobowiązania wynikającego z umowy zawartej z bankiem, informacji o zamiarze przetwarzania jej danych osobowych bez jej zgody, podczas gdy prawidłowa interpretacja tego przepisu prowadzi do wniosku, iż "poinformowanie" oznacza rzeczywiste umożliwienie zapoznania się z treścią wyżej wymienionej informacji.
Mając na uwadze powyższe zarzuty, Skarżący na podstawie art. 145 § 1 pkt 1) lit. a i c p.p.s.a. wniósł o:
1) uchylenie decyzji Prezesa UODO w całości;
2) zasądzenie od Prezesa UODO na rzecz Strony Skarżącej - na podstawie art. 200 PPSA kosztów postępowania, w tym kosztów zastępstwa prawnego, według norm przepisanych.
Jednocześnie wniósł o zobowiązanie Organu do wydania decyzji oddalającej skargę Uczestniczki postępowania o zaprzestanie przetwarzania jej danych osobowych w terminie wyznaczonym przez Sąd - na podstawie art. 145a § 1 PPSA; rozpoznanie sprawy w trybie uproszczonym na podstawie art. 119 pkt 2 PPSA; wstrzymanie wykonania zaskarżonej decyzji na podstawie art. 61 § 3 PPSA ze względu na niebezpieczeństwo spowodowania trudnych do odwrócenia skutków.
2. Prezes UODO w odpowiedzi na skargę wniósł o jej oddalenie podtrzymując argumenty zawarte w zaskarżonej decyzji. In fine odpowiedzi na skargę organ zawnioskował o rozpoznanie sprawy w trybie uproszczonym.
IV. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:
1. Na wstępie wyjaśnić należy, że niniejsza sprawa została rozpoznana w trybie uproszczonym na mocy art. 119 pkt 2 i art. 120 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2023 r., poz. 259 ze zm.; dalej: "p.p.s.a."). Stosownie do treści pierwszego z ww. przepisów, sprawa może być rozpoznana w trybie uproszczonym, jeżeli strona zgłosi wniosek o skierowanie sprawy do rozpoznania w trybie uproszczonym, a żadna z pozostałych stron w terminie czternastu dni od zawiadomienia o złożeniu wniosku nie zażąda przeprowadzenia rozprawy. Z kolei art. 120 p.p.s.a. stanowi, że w trybie uproszczonym sąd rozpoznaje sprawy na posiedzeniu niejawnym w składzie trzech sędziów.
2. Zgodnie z art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (t.j. Dz.U. z 2021 r., poz. 137), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej, przy czym kontrola ta sprawowana jest pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej.
3. W świetle powołanych przepisów cyt. ustawy, Wojewódzki Sąd Administracyjny w Warszawie, w zakresie swojej właściwości, ocenia zaskarżoną decyzję administracyjną, postanowienie, czy też inny akt lub czynność z zakresu administracji publicznej dotyczącą uprawnień lub obowiązków wynikających z przepisów prawa, z punktu widzenia ich zgodności z prawem materialnym i przepisami postępowania administracyjnego, według stanu faktycznego i prawnego obowiązującego w dacie wydania tego aktu lub podjęcia spornej czynności. Chodzi więc o kontrolę aktów lub czynności z zakresu administracji publicznej dokonywaną wyłącznie pod względem ich zgodności z prawem materialnym i przepisami procesowymi, nie zaś według kryteriów słuszności, czy też zgodności z zasadami współżycia społecznego.
Ponadto, co wymaga podkreślenia, Sąd rozstrzyga w granicach danej sprawy, nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną (vide: art. 134 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi – t.j. Dz.U. z 2022 r., poz. 329 ze zm. - dalej p.p.s.a.).
4. Skarga biorąc pod uwagę kryteria kontroli nie zasługuje na uwzględnienie.
5. Zgodnie z art. 105a ust. 1 P.b., przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów, instytucje pożyczkowe oraz podmioty, o których mowa wart. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, a także instytucje utworzone na podstawie art. 105 ust. 4, informacji stanowiących tajemnicę bankową i informacji udostępnionych przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem art. 104, art. 105 i art. 106 - 106d P.b. w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. W myśl art. 105a ust. 3 P.b. banki, instytucje oraz podmioty, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową i informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank, inną instytucję ustawowo upoważnioną do udzielania kredytów, instytucję pożyczkową albo podmiot, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, o zamiarze przetwarzania dotyczących jej tych informacji, bez jej zgody. Natomiast według art. 105a ust. 5 P.b., przetwarzanie informacji stanowiących tajemnicę bankową w przypadkach, o których mowa w ust. 3, może być wykonywane przez okres nie dłuższy niż 5 lat od dnia wygaśnięcia zobowiązania, a w przypadku, o którym mowa w ust. 4, przez okres 12 lat od dnia wygaśnięcia zobowiązania.
6. Dopuszczalność przetwarzania danych osobowych po wygaśnięciu zobowiązania wynikającego z umowy, na podstawie tego przepisu, obwarowana jest spełnieniem kilku przesłanek. W sprawie sporna była jedynie przesłanka poinformowania Uczestniczki postępowania przez Bank o zamiarze przetwarzania dotyczących jej danych, bez jej zgody. W kontrolowanej sprawie spór dotyczy wykładni pojęcia "poinformowania", o którym mowa w art. 105a ust. 3 P.b. przez Bank należących do Uczestniczki postępowania danych osobowych bez jej zgody. Jak wynika z poczynionych przez organ ustaleń, mających swoje potwierdzenie w zebranym materiale dowodowym i przytoczonych w części historycznej niniejszego uzasadnienia, uczestniczka podniosła, że okoliczności wskazywane w art. 105a ust. 3 ustawy - Prawo bankowe nie zostały spełnione w związku z czym Bank nie jest uprawniony do przetwarzania jej danych osobowych w BIK. Bank podniósł natomiast, że ww. przesłanki, w tym poinformowanie uczestniczki o okolicznościach wskazanych w art. 105a ust. 3 ww. ustawy zostały spełnione. Z kolei jak wskazał organ, brak jest innych dowodów wskazujących na prawidłowe i skuteczne poinformowanie uczestniczki o treści art. 105a ust. 3 ustawy - Prawo bankowe niż oświadczenie Banku, pozostające w sprzeczności z twierdzeniami uczestniczki. W ocenie PUODO oraz uczestniczki postępowania, wysłanie pisma nie jest równoznaczne z udowodnieniem jego prawidłowego doręczenia, a tym samym ze skutecznym poinformowaniem adresata o zamiarze przetwarzania przez bank danych stanowiących tajemnicę bankową, bez jego zgody. Skarżący zaś wywodzi, że wysłana uczestniczce postępowania przesyłka polecona, zawierająca oświadczenie banku, nie została zwrócona do nadawcy.
Z powołanego przepisu art. 105a ust. 3 P.b. wyraźnie wynika, że przetwarzanie danych jest dopuszczalne, gdy "po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank". Zatem to na Banku ciążył obowiązek poinformowania M. P. o zamiarze przetwarzania jej danych. Ustawodawca nie stworzył w tym zakresie żadnych szczególnych wymogów formalnych, co do sposobu i treści takiego poinformowania klienta lub byłego klienta banku. Nie oznacza to jednak całkowitej dowolności w tym zakresie. Jakkolwiek ustawodawca w żaden sposób nie ograniczył sposobów i form takiego powiadomienia, jednakże w każdym wypadku sposób ten powinien umożliwić zweryfikowanie faktu poinformowania klienta banku o zamierzonym przetwarzaniu jego danych osobowych lub też przynajmniej potwierdzenie, że klientowi umożliwiono zapoznanie się z taką informacją. W tym zakresie nie mogą mieć miejsca jakiekolwiek domniemania faktyczne. Żaden z dowodów przedstawionych przez Bank (wzór zawiadomienia kierowanego do klientów w sprawie opóźnień, wydruk strony z systemu bankowego o rejestracji wysłania zawiadomienia) nie potwierdził by M. P. otrzymała informację o zamiarze przetwarzania jej danych. Informacje o dokonaniu wysyłki takiej wiadomości nie mogą stanowić o uczynieniu zadość obowiązkowi z art. 105a ust. 3 Prawa bankowego. W celu weryfikacji dopuszczalności przetwarzania danych osobowych na podstawie art. 105a ust. 3 Prawa bankowego, Prezes UODO musi dysponować stosownymi dowodami na rzeczywiste wykonanie wymienionego w tym przepisie obowiązku poinformowania i w tym zakresie nie może opierać się wyłącznie na oświadczeniu Banku. Takie stanowisko jest już utrwalone w orzecznictwie (zob. np. wyrok Naczelnego Sądu Administracyjnego z 27 października 2017 r., I OSK 3362/15, LEX nr 2463181, Wyrok Naczelnego Sądu Administracyjnego z dnia 27 sierpnia 2019 r., I OSK 2514/17, publ. CBOSA)
7. Zdaniem Sądu prawidłowa wykładnia zawartego w art. 105a ust. 3 ustawy - Prawo bankowe zwrotu "poinformowania tej osoby" winna uwzględnić nie tylko treść normy zawartej w art. 61 § 1 Kodeksu cywilnego, ale także tę część normy zawartej w art. 105a ust. 3 ustawy - Prawo bankowe, która ustanawia dodatkowy trzydziestodniowy termin na wykonanie zobowiązania. W literaturze przedmiotu podkreśla się bowiem, iż: "Sam fakt, że klient nie wykonał zobowiązania lub spóźnił się z jego wykonaniem co najmniej 60 dni, nie upoważnia instytucji do przetwarzania jego danych. Musi bowiem zostać poinformowany o możliwości przetwarzania jego danych bez uzyskania od niego zgody. Dopiero bezskuteczny upływ 30 dni od momentu poinformowania stanowi wypełnienie przesłanek z art. 105a ust. 3 P.b. W przypadku, gdy konsument spełni świadczenie w czasie tych 30 dni, instytucje tracą prawo do przetwarzania informacji bez jego uprzedniej zgody. Moment, od którego należy liczyć sześćdziesięciodniowy termin, w którym konsument dopuszcza się zwłoki w wykonaniu zobowiązania, to termin wykonania zobowiązania. Dopiero po upływie 60 dni zaczyna biec trzydziestodniowy termin, w którym instytucja jeszcze oczekuje na wykonanie zobowiązania klienta. Termin trzydziestodniowy nie biegnie jednak ex lege, a dopiero od momentu, w którym konsument zostanie poinformowany o zamiarze przetwarzania. Termin ten liczy się nie od momentu wysłania informacji, ale od chwili, w której konsument mógł się z nią zapoznać. Wydaje się, iż sama czynność poinformowania może nastąpić wcześniej niż po upływie 60 dni" (tak: Agnieszka Żygadło "Przetwarzanie informacji stanowiących tajemnicę bankową po wygaśnięciu zobowiązania", Pr. Bankowe 2006/4/83). Wyjaśnienia wymaga, że konstrukcja przyjęta w art. 61 § 1 zdanie pierwsze k.c. odpowiada tzw. kwalifikowanej teorii doręczenia, która zadowala się dojściem oświadczenia woli do adresata w taki sposób, że miał on możliwość zapoznania się z jego treścią (por. wyrok SN z 8 września 2016 r., sygn. akt II CSK 750/15, M. Pr. Bank. 2017/10, s. 21 i 35, z glosą T. Czecha oraz z omówieniem M. Bączyka, M. Pr. Bank 2017/11, s. 58). To, czy rzeczywiście się z tym oświadczeniem zapoznał, co do zasady nie ma w kontekście art. 61 § 1 k.c. znaczenia (por. wyroki SN: z 18 listopada 1999 r., sygn. akt I PKN 375/99, OSNAPiUS 2001/7, poz. 227; z 20 maja 2015 r., sygn. akt I CSK 547/14, LEX nr 1767493 i z 22 marca 2017 r., sygn. akt III CSK 148/16, LEX nr 23552146 oraz przytoczona uchwała składu siedmiu sędziów SN z 31 marca 2016 r., III CZP 89/15; Z. Radwański [w:] System Prawa Prywatnego, t. 2, 2008, s. 292). Rozwiązanie to wiąże się z pewnym zagrożeniem dla osoby, której oświadczenie woli jest składane, zakłada bowiem możliwość zaistnienia sytuacji, w których oświadczenie to zostanie uznane za złożone, z czym częstokroć będą związane istotne skutki prawne, choć jego adresat nie wiedział o tym oświadczeniu albo nie znał jego treści.
Jak podkreśla się w literaturze przedmiotu, zagrożenie to jest akceptowalne przede wszystkim dlatego, że negatywne skutki teorii doręczenia mogą ujawnić się w zasadzie tylko w ramach już istniejącego między stronami stosunku prawnego, ponieważ tylko wtedy jednostronne oświadczenia (czynności prawne) mogą oddziaływać niekorzystanie na sytuację prawną adresata oświadczenia woli.
Do powstania zaś tego stosunku zazwyczaj niezbędna jest zgoda adresata, a wyrażając ją i przyznając w ten sposób – choćby mocą czynników innych niż treść samego oświadczenia (por. art. 56) – drugiej stronie możliwość jednostronnego oddziaływania na swą sytuacje prawną (np. wypowiedzenia umowy albo wysokości świadczenia, odstąpienia, przyjęcia oferty, wezwania do wykonania zobowiązania, wyboru świadczenia przemiennego), adresat musi liczyć się ze składaniem takich oświadczeń i nie może dysponować instrumentem, który w prosty sposób mógłby paraliżować ich skutki (np. stroniąc od zapoznania się z tym oświadczeniem). Dlatego faktyczne zapoznanie się z oświadczeniem przynależy już wyłącznie do prawnie irrelewantnej sfery wewnętrznej adresata oświadczenia (tak: Roman Trzaskowski w: "Kodeks cywilny. Komentarz Tom I. Część ogólna cz. 2 (art. 56-125)" pod red. Jacka Gudowskiego, Lex/el 2021, (cz.3 do art. 61).
W konsekwencji faktyczne zapoznanie się przez adresata z treścią oświadczenia Banku nie ma w kontekście art. 105a § 3 ustawy - Prawo bankowe i art. 61 § 1 k.c. znaczenia, jako że należy już wyłącznie do prawnie irrelewantnej sfery wewnętrznej adresata oświadczenia. Jednakże, co istotne, poinformowanie adresata oświadczenia winno, z uwagi na wspomniany powyżej dodatkowy trzydziestodniowy termin na wykonanie zobowiązania, nastąpić w ten sposób, by można było ustalić początek biegu tego terminu. Dopiero bowiem bezskuteczny upływ owego trzydziestodniowego dodatkowego terminu upoważnia Bank do przetwarzania danych osobowych w oparciu o przepis art. 105a ust. 3 ustawy - Prawo bankowe.
8. Nie można wobec powyższego zaakceptować stanowiska skarżącej, że wysyłając list polecony z informacją o zamiarze przetwarzania danych osobowych Bank umożliwił Uczestniczce postępowania zapoznanie się z tym informacjami. Zatem po upływie trzydziestu dni, Bank nie mógł przetwarzać danych osobowych uczestniczki, bez jej zgody, w tym poprzez ich przekazanie do BIK, gdyż na gruncie rozpatrywanej sprawy nie doszło do wymaganego przepisem art. 105a ust. 3 ustawy - Prawo bankowe "poinformowania" podmiotu danych.
Nadanie powiadomienia, o którym mowa w art. 105a ust. 3 ustawy - Prawo bankowe, listem poleconym nie pozwala – w okolicznościach niniejszej sprawy – na ustalenie początku biegu wskazanego terminu. Skoro to Bank wywodzi skutki prawne z powiadomienia uczestniczki o zamiarze przetwarzania jej danych osobowych stanowiących tajemnicę bankową bez jej zgody, to musi wykazać, że bezskutecznie upłynęło 30 dni od daty poinformowania jej o tym zamiarze. Wykazanie tej okoliczności wymaga jednak – co oczywiste – wykazania początku biegu owego trzydziestodniowego terminu.
W rozpatrywanej sprawie nie ma możliwości ustalenia tej okoliczności, co powoduje, iż brak jest podstaw do przyjęcia, że powiadomienie uczestniczki o zamiarze przetwarzania jej danych osobowych wyczerpało wymogi art. 105a ust. 3 Prawa bankowego oraz że upłynął bezskutecznie dodatkowy trzydziestodniowy termin na spełnienie świadczenia. Bank nie przedstawił bowiem dowodu na prawidłowe doręczenie uczestniczce dokumentu, w treści którego zawarta była informacja o okolicznościach wskazanych w ww. przepisie, zatem okoliczność skutecznego poinformowania o treści art. 105a ust. 3 ustawy nie mogła zostać uznana za udowodnioną.
Wyjaśnić należy, że przepisy powszechnie obowiązujące nie formułują obowiązku wysłania informacji, o której mowa w art. 105a ust. 3 ustawy - Prawo bankowe w szczególnej formie. To do podmiotu informującego należy zatem wybór formy przekazania odbiorcy komunikatu o zamiarze przetwarzania danych osobowych bez jego zgody. Jednocześnie to podmiot informujący wywodzi z powyższego skutki prawne, zatem to on musi wykazać, że poinformował stronę o zamiarze przetwarzania danych stanowiących tajemnicę bankową, bez jej zgody na podstawie ww. przepisu.
9. W związku z tym, że przeprowadzone przez Prezesa UODO postępowanie administracyjne nie wykazało, aby uczestniczka skierowała wobec Banku jakiekolwiek roszczenie, należy stwierdzić, iż Bank przetwarzał dane osobowe uczestniczki w ww. celu wyłącznie, niejako "na zapas", aby zabezpieczyć się przed ewentualnymi przyszłymi i niepewnymi jego roszczeniami.
Innymi słowy, z uwagi na fakt, że Bank nie wskazał roszczenia, którego zaspokojenia domaga się od uczestniczki, jak również brak jest sporu toczącego się między nią a Bankiem dotyczącego stosunku zobowiązaniowego, Prezes UODO zasadnie przyjął, że brak jest celu uzasadniającego przetwarzanie ww. danych osobowych uczestniczki, w rozumieniu art. 6 ust. 1 lit. f) RODO. Wobec powyższego kontynuowanie do chwili wydania zaskarżonej decyzji przetwarzania danych osobowych uczestniczki w celu ustalenia, dochodzenia lub obrony przed ewentualnymi, przyszłymi i niepewnymi roszczeniami, prawidłowo uznano za zbędne i niezgodne zobowiązującymi przepisami o ochronie danych osobowych.
Reasumując stwierdzić należy, w rozpatrywanej sprawie nie zostały spełnione przesłanki z art. 105a ust. 3 ustawy - Prawo bankowe, zgodnie z którym Bank może przetwarzać informacje stanowiące tajemnicę bankową dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy bez ich zgody w celu oceny zdolności kredytowej i analizy ryzyka kredytowego, jak również brak jest sporu toczącego się pomiędzy uczestniczką a Bankiem, wobec czego brak jest celu uzasadniającego przetwarzanie ww. danych osobowych, w oparciu o ww. podstawę prawną w podanych przez organ celach. Dlatego też korzystając z uprawnienia przewidzianego w art. 58 ust. 2 lit. c) RODO, Prezes UODO zasadnie nakazał Bankowi zaprzestanie przetwarzania na podstawie art. 105a ust. 3 ww. ustawy danych osobowych uczestniczki w BIK w celu oceny zdolności kredytowej i analizy ryzyka kredytowego oraz zaprzestanie przetwarzania jej danych osobowych/
10. Mając powyższe na uwadze, Sąd działając na podstawie art. 151 p.p.s.a. orzekł o oddaleniu skargi.