II SA/WA 1736/24

II SA/Wa 1736/24 - Wyrok WSA w Warszawie
Data orzeczenia
2025-02-11
orzeczenie nieprawomocne
Data wpływu
2024-10-29
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Andrzej Góraj /sprawozdawca/
Danuta Kania /przewodniczący/
Iwona Maciejuk
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Sygn. powiązane
III OSK 1109/25 - Wyrok NSA z 2025-12-02
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę
Powołane przepisy
Dz.U. 2024 poz 935
art. 151
Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t. j.)
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Danuta Kania, Sędzia WSA Andrzej Góraj (spr.), Sędzia WSA Iwona Maciejuk, , Protokolant starszy specjalista Bogumiła Kobierska, , po rozpoznaniu na rozprawie w dniu 11 lutego 2025 r. sprawy ze skargi B. S.A. z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] sierpnia 2024 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę.
Uzasadnienie
Prezes Urzędu Ochrony Danych Osobowych (dalej jako: "PUODO" lub "organ"), decyzją z [...] sierpnia 2024 r. nr [...] wydaną na podstawie
art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz.U. z 2024 poz. 572 ze zm., dalej jako: k.p.a.), w zw. z art. 7 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781,
dalej jako: u.o.d.o.) oraz na podstawie art. 6 ust. 1 oraz art. 58 ust. 2 lit. c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35, dalej jako: RODO), po przeprowadzeniu postępowania administracyjnego w sprawie skargi A. K. (dalej jako: Skarżąca),
na nieprawidłowości w procesie przetwarzania jej danych osobowych przez [...] S.A. z siedzibą w [...] (dalej jako: [...]) polegające na przetwarzaniu danych osobowych skarżącej w zakresie informacji o upadłości konsumenckiej, bez podstawy prawnej, nakazał [...] usunięcie danych osobowych skarżącej w zakresie informacji o upadłości konsumenckiej.
W uzasadnieniu organ wyjaśnił, że do PUODO wpłynęła skarga skarżącej,
na nieprawidłowości w procesie przetwarzania jego danych osobowych przez [...], na przetwarzaniu danych osobowych skarżącej w zakresie informacji o upadłości konsumenckiej, bez podstawy prawnej.
PUODO wskazał, że ustalił następujący stan faktyczny:
1) W skardze inicjującej niniejsze postępowanie Skarżąca wniosła o nakazanie [...] usunięcia dotyczącej ją informacji o ogłoszeniu upadłości konsumenckiej. Skarżąca załączyła Postanowienie Sądu Rejonowego [...] w [...] z dnia [...] kwietnia 2021 r. w sprawie
o sygn. [...], w którym ww. Sąd umorzył wszystkie zobowiązania Skarżącej powstałe przed ogłoszeniem upadłości bez ustalania planu wierzycieli. Skarżąca przedłożyła również pismo z dnia [...] lutego 2024 r., którym zwróciła się do [...] o usunięcie wpisu o upadłości konsumenckiej z bazy [...] oraz pismo [...] z dnia [...] lutego 2024 r., w którym [...] odmówił usunięcia tych danych,
2) W złożonych wyjaśnieniach [...] wskazał, że przetwarza dane o upadłości konsumenckiej skarżącej, które pozyskał z Monitora Sądowego
i Gospodarczego opublikowanego w dniu [...] lipca 2020 r., o numerze [...] ([...]), w zakresie: imię, nazwisko, PESEL, informacji o ogłoszeniu upadłości konsumenckiej, daty wydania przez Sąd postanowienia
w przedmiocie ogłoszenia upadłości konsumenckiej, informacji o wydaniu przez Sąd postanowienia o zakończeniu postępowania upadłościowego oraz daty wydania przez Sąd postanowienia o zakończeniu postępowania upadłościowego. [...] wskazał nadto, że postanowienie o ogłoszeniu upadłości konsumenckiej Skarżącej zostało wydane przez Sąd w dniu
[...] lipca 2020 r. Dane w zakresie ogłoszenia upadłości konsumenckiej zostały pozyskane przez [...] w dniu [...] lipca 2020 r. Natomiast informacja o wydaniu przez Sąd w dniu [...] kwietnia 2021 r. postanowienia o zakończeniu postępowania upadłościowego została pozyskana przez [...] w dniu
[...] października 2022 r.
3) [...] wskazał, że dane Skarżącej w zakresie dotyczącym ogłoszenia upadłości konsumenckiej zostały pozyskane przez [...] w celu wykonywania czynności bankowych, w szczególności oceny zdolności kredytowej i analizy ryzyka kredytowego na podstawie art. 6 ust. 1 lit. f RODO w związku
z art. 70 ust. 1 z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz. U. z 2022 r., poz. 2324, dalej jako: Prawo bankowe), art. 105 ust. 4 ustawy Prawo bankowe oraz art. 105a ust. 1 ustawy Prawo bankowe oraz w zawiązku
z umowami zawartymi pomiędzy bankami. Prawnie uzasadnionym interesem [...] jest w tym przypadku dostarczenie bankom informacji niezbędnej do wykonywania czynności bankowych, w szczególności do oceny zdolności kredytowej i analizy ryzyka kredytowego. [...] wskazał,
że dane dotyczące upadłości konsumenckiej będą przetwarzane przez [...] w celu oceny zdolności kredytowej i analizy ryzyka kredytowego przez okres 10 lat od dnia wydania postanowienia w przedmiocie ogłoszenia upadłości, tj. do dnia [...] lipca 2030 r. włącznie. [...] wyjaśnił cyt. "(...) zachowanie okresu 10 lat jest o tyle zasadne, że z dniem [...] grudnia 2021 r. zaczęła obowiązywać ustawa z dnia 6 grudnia 2018 r. o Krajowym Rejestrze Zadłużonych. Ustawa ta określa zasady prowadzenia ogólnodostępnego
i jawnego rejestru, w którym ujawniane są informacje m.in. o osobach
w stosunku do których prowadzono postępowanie upadłościowe. Zgodnie
z art. 11 ust. 2 wyżej wskazanej ustawy, dane o osobach wobec których prowadzono postępowanie upadłościowe, automatycznie przestają być ujawniane po upływie 10 lat od dnia prawomocnego zakończenia lub umorzenia postępowania, którego dotyczą."
4) W złożonych wyjaśnieniach [...] wskazał, że ustawodawca nie określił zamkniętego katalogu informacji czy danych, które są niezbędne do oceny zdolności kredytowej i analizy ryzyka kredytowego i odwołał się do rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 575/2013 z dnia 26 czerwca 2013 r. w sprawie wymogów ostrożnościowych dla instytucji kredytowych i firm inwestycyjnych, zwanego dalej CRR, oraz rekomendacji KNF. [...] wskazał, że zgodnie z CRR, jako element wskazujący na prawdopodobieństwo niedokonanie płatności uznaje się m.in. wystąpienie przez dłużnika o ogłoszenie upadłości lub postawienie dłużnika w stan upadłości (art. 178 ust. ust 3).
5) [...] wskazał nadto cyt. "Dane pozyskane przez [...] dotyczące ogłoszenia upadłości konsumenckiej są przetwarzane także w celach statystycznych. Podstawą prawną przetwarzania danych osobowych przez [...] w celach statystycznych jest prawnie uzasadniony interes administratora danych (art. 6 ust. 1 lit. f RODO wynikający z przepisów Prawa bankowego (art. 105 ust. 1 i 105a ust. 4), polegający na dostarczaniu bankom analiz pozwalających ocenić w szczególności jakość polityki kredytowej na tle rynku, trendy występujące w sektorze bankowym oraz identyfikować zagrożenia płynące z zachowań kredytowych klientów w innych bankach, czy określić maksymalne kwoty kredytów i pożyczek, dla których bank może stosować uproszczone zasady oceny zdolności kredytowej"
Dalej organ, po zapoznaniu się z całością zgromadzonego w sprawie materiału dowodowego wskazał, że przetwarzanie danych osobowych jest dopuszczalne tylko wtedy, gdy spełniona zostanie jedna z przesłanek wskazanych w art. 6 ust. 1 RODO, natomiast zgoda osoby, której dane dotyczą, nie jest jedyną podstawą przetwarzania danych osobowych, bowiem proces przetwarzania danych będzie zgodny z RODO również wówczas, gdy administrator danych wykaże spełnienie innej z wyżej wymienionych przesłanek.
Prezes UODO podkreślił w uzasadnieniu, że zgodnie z określoną w art.5 ust. 2 RODO zasadą rozliczalności, administrator zobowiązany jest przestrzegania zasad określonych w art. 5 ust. 1 RODO i musi być w stanie to wykazać. Zgodnie z zasadą ograniczenia celu przetwarzania, określoną w art. 5 ust. 1 lit. b RODO dane osobowe muszą być zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami.
Zdaniem organu podstawą prawną przetwarzania danych osobowych w zasobach [...] jest obecnie art. 6 ust. 1 lit. f RODO, w sytuacji gdy przetwarzanie uznane zostanie za niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora, nadrzędnych nad interesami i prawami podstawowymi osoby, której dane dotyczą, ponadto z motywem 47 RODO podstawą prawną przetwarzania mogą być prawnie uzasadnione interesy administratora, w tym administratora, któremu mogą zostać ujawnione dane osobowe, lub strony trzeciej, o ile w świetle rozsądnych oczekiwań osób, których dane dotyczą, opartych na ich powiązaniach z administratorem nadrzędne nie są interesy lub podstawowe prawa i wolności osoby, której dane dotyczą.
Ponadto, organ w zaskarżonej decyzji wskazał, że [...] jest instytucją utworzoną na podstawie art. 105 ust. 4 Prawa bankowego.
Organ przywołał również treść art. 105a ust. 1-3 Prawa bankowego, a ponadto podkreślił, że udostępnianie danych osobowych dotyczących upadłości konsumenckiej w ogólnodostępnych rejestrach lub dziennikach urzędowych takich jak Monitor Sądowy i Gospodarczy, nie oznacza, że proces ich pozyskania i dalszego przetwarzania nie musi znajdować oparcia w przepisach RODO, a także, że może odbywać się z pominięciem ww. wymogów wynikających z przepisów Prawa bankowego. Wskazał również, że Przetwarzanie danych osobowych w celu oceny zdolności kredytowej i analizy ryzyka kredytowego ma oparcie w art. 105a ust. 1, 2, 3 Prawa bankowego, o ile przedmiotowe dane stanowią informacje objęte tajemnicą bankową, a zatem są informacjami związanymi z czynnościami bankowymi.
Organ zauważył również, że stosownie do obowiązujących przepisów Prawa bankowego, możliwość przetwarzania danych objętych tajemnicą bankową w celu oceny zdolności kredytowej i analizy ryzyka kredytowego może odbywać się w przypadku istnienia konkretnego zobowiązania pomiędzy bankiem a podmiotem danych, lub też w związku z czynnościami poprzedzającymi powstanie konkretnego zobowiązania, w pewnych sytuacjach może mieć również miejsce po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem.
Zdaniem Prezesa PUODO, [...] nie wykazał, aby przetwarzanie danych osobowych Skarżącej w zakresie informacji o upadłości konsumenckiej w ww. celu było związane z konkretną czynnością bankową, w tym z czynnościami poprzedzającymi powstanie konkretnego zobowiązania, jak również, nie wykazał aby przetwarzanie danych osobowych Skarżącej w zakresie informacji o upadłości konsumenckiej, w celu oceny zdolności kredytowej i analizy ryzyka kredytowego, mogło odbywać się w oparciu o art. 105a ust. 2 i 3 Prawa bankowego, a zatem po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem. Ponadto w ocenie organu [...] nie wykazał, by w powyższym zakresie istniał zatem konkretny, wyraźny i prawnie usprawiedliwiony cel przetwarzania danych osobowych Skarżącej w zakresie informacji o upadłości konsumenckiej, nie można tym samym uznać, że przetwarzanie danych osobowych Skarżącej w ww. celu mogło odbywać się w oparciu o wskazany przez [...] art. 6 ust. 1 lit. f RODO, ani by zaistniała inna spośród określonych w art. 6 ust. 1 RODO przesłanek legalizujących ten proces.
W ocenie Prezesa Urzędu każdy proces przetwarzania danych osobowych musi znajdować oparcie w przesłankach wynikających z art. 6 ust. 1 RODO. Spełnienie wskazanej przez [...] przesłanki z art. 6 ust. 1 lit. f RODO uzależnione jest zaś od tego, czy przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą. Przesłanka powyższa dotyczy sytuacji już istniejącej, w której administrator jest w stanie wykazać, że realizuje konkretny cel, w przypadku przetwarzania zatem danych przez [...] w oparciu o art. 105a ust. 4, konieczne jest wykazanie ziszczenia się warunków określonych w tym przepisie.
Zdaniem organu [...] w niniejszej sprawie nie wykazał, by w zakresie przetwarzania danych osobowych skarżącej, dotyczących jej upadłości konsumenckiej, zaistniała którakolwiek z przesłanek legalizujących ten proces, spośród określonych w art. 6 ust. 1 RODO. Dlatego też korzystając z uprawnienia przewidzianego w art. 58 ust. 2 lit. c RODO, Prezes Urzędu Ochrony Danych Osobowych nakazał [...] usunięcie danych osobowych skarżącej, dotyczących jej upadłości konsumenckiej, przetwarzanych bez podstawy prawnej.
Na powyższe decyzję, [...] wniósł skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie, wskazując, że zaskarża ją w całości. Zaskarżonej decyzji zarzucił naruszenie prawa materialnego, tj.
1) 6 ust. 1 lit. f) RODO w zw. z przepisami Prawa bankowego, w szczególności art. 105a ust, 1, 2 i 3 Prawa bankowego, poprzez jego niewłaściwa wykładnię i w konsekwencji niezasadne przyjęcie, że [...] może przetwarzać w celu oceny zdolności kredytowej i analizy ryzyka kredytowego wyłącznie informacje objęte tajemnicą bankową, podczas gdy przepis ten w żaden sposób nie ogranicza zakresu danych, które mogą być przetwarzane przez [...] w celu oceny zdolności kredytowej i analizy ryzyka kredytowego, a wyłącznie konstytuuje podstawę prawną dla przetwarzania przez [...] danych stanowiących tajemnicę bankową, o których mowa w art. 104 ust. 1 Prawa bankowego, w zakresie w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych w postaci oceny zdolności kredytowej oraz analizy ryzyka kredytowego konkretnego klienta (indywidualna ocena zdolności kredytowej) oraz w związku z budowaniem i utrzymaniem modeli scoringowych, a więc narzędzi wykorzystywanych przez banki do oceny zdolności kredytowej i analizy ryzyka kredytowego, oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 575/2013 z dnia 26 czerwca 2013 r. w sprawie wymogów ostrożnościowych dla instytucji kredytowych i firm inwestycyjnych, zmieniające rozporządzenie (UE) nr 648/2012 (dalej jako: rozporządzenia nr 575/2013);
2) art. 6 ust. 1 lit. f) RODO poprzez jego niewłaściwa wykładnię i w konsekwencji niezasadne przyjęcie, że skarżący może przetwarzać w celach statystycznych wyłącznie informacje objęte tajemnicą bankową oraz wyłącznie w przypadku, gdy zaistnieje konkretne zobowiązanie wynikające z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, a więc w warunkach aktualizacji przepisu art. 105a ust. 4 Prawa bankowego, podczas gdy przepis ten w żaden sposób nie ogranicza możliwości przetwarzania przez [...] danych w celach statystycznych, w tym nie uniemożliwia [...] przetwarzania danych nieobjętych tajemnicą bankową w celach statystycznych, a wyłącznie konstytuuje zasady wykorzystywania danych objętych tajemnicą bankową w celach innych niż do ocena zdolności kredytowej i analiza ryzyka kredytowego.
Ponadto skarżąca zarzuciła zaskarżonej decyzji naruszenie prawa procesowego, mającego istotny wpływ na wynik sprawy, tj.:
1) art. 7, w zw. z art. 77 § 1 i w zw. z art. 80 KPA, w zw. z art. 7 UODO, poprzez niewyczerpujące zebranie, nierozpatrzenie i błędną ocenę całokształtu materiału dowodowego przejawiającego się w zaniechaniu dokonania wyczerpującej analizy charakteru, zakresu oraz celów gospodarczo - ekonomicznych działalności podejmowanej przez [...] S.A., w tym działalności gospodarczej podejmowanej w zakresie wykraczającym poza realizację obowiązków nałożonych na [...] na mocy przepisów Prawa bankowego oraz obowiązków wynikających z zawartych przez [...] umów z bankami, skutkującą wadliwą i niepełną oceną stanu faktycznego sprawy oraz charakteru działania Skarżącego, co w konsekwencji skutkowało nieuzasadnionym wydaniem przez Organ nakazu usunięcia danych osobowych Uczestniczki;
2) art. 7 KPA, art. 77 KPA w zw. z art. 80 KPA poprzez zaniechanie wyczerpującego zebrania i rozpatrzenia materiału dowodowego, przejawiające się w szczególności brakiem dokonania analizy podstawowych zasad funkcjonowania [...] nie tylko jako instytucji gromadzącej dane i informacje objęte tajemnicą bankową służące do oceny zdolności kredytowej oraz budującej modele scoringowe służące bankom – ale również jako przedsiębiorcy funkcjonującego w ramach wolnego rynku, co wiąże się z istnieniem oczywistego interesu prawnego po stronie [...] w postaci przetwarzania danych osobowych dla osiągania określonych celów w ramach prowadzonej działalności gospodarczej.
W oparciu o powyższe zarzuty strona skarżąca wniosła o uwzględnienie skargi
i uchylenie zaskarżonej decyzji w całości, o zasądzenie od PUODO na rzecz skarżącego zwrotu kosztów postpowania oraz o wstrzymanie wykonania zaskarżonej decyzji.
W odpowiedzi na skargę organ wniósł o jej oddalenie podtrzymując wyrażone w zaskarżonej decyzji.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:
zgodnie z treścią przepisu art.1 par. 1 i 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (Dz. U. z 2024 r. poz. 1267) Sąd Administracyjny sprawuje wymiar sprawiedliwości poprzez kontrolę pod względem zgodności z prawem skarżonej decyzji administracyjnej. Jest więc to kontrola legalności rozstrzygnięcia zapadłego w postępowaniu administracyjnym, z punktu widzenia jego zgodności z prawem materialnym i procesowym. Oceniając przedmiotową decyzję według powyższych kryteriów, uznać należy, iż nie narusza ona prawa.
Istota sprawy w niniejszym postępowaniu sprowadzała się do oceny tego,
czy art.105 ust.4 ustawy Prawo bankowe (na której to podstawie prawnej zostało powołane do życia [...]), daje owej instytucji prawo do gromadzenia, przetwarzania i udostępniania informacji innych niż stanowiących tajemnicę bankową.
W ocenie tut. Sądu na w/postawione pytanie należało udzielić negatywnej odpowiedzi.
W myśl przywołanej wyżej regulacji banki mogą, wspólnie z bankowymi izbami gospodarczymi, utworzyć instytucje upoważnione do gromadzenia, przetwarzania i udostępniania:
1) bankom – informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013;
2) innym instytucjom ustawowo upoważnionym do udzielania kredytów – informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są niezbędne w związku z udzielaniem kredytów, pożyczek pieniężnych, gwarancji bankowych i poręczeń;
3) instytucjom kredytowym – informacji stanowiących tajemnicę bankową w zakresie niezbędnym do oceny zdolności kredytowej konsumenta, o której mowa w art. 9 ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim;
4) instytucjom pożyczkowym i podmiotom, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim – na zasadzie wzajemności, informacji stanowiących odpowiednio tajemnicę bankową oraz informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, w zakresie niezbędnym do oceny zdolności kredytowej konsumenta, o której mowa w art. 9 tej ustawy, i analizy ryzyka kredytowego;
5) jednostce zarządzającej systemem ochrony lub bankowi zrzeszającemu – informacji stanowiących tajemnicę bankową w zakresie, w jakim są one niezbędne dla realizacji jej zadań określonych w art. 19 ust. 2, art. 22i ust. 1 i 3–5 oraz art. 22v ust. 2 ustawy o funkcjonowaniu banków spółdzielczych, ich zrzeszaniu się i bankach zrzeszających;
6) krajowym instytucjom płatniczym, małym instytucjom płatniczym, krajowym instytucjom pieniądza elektronicznego, unijnym instytucjom płatniczym lub unijnym instytucjom pieniądza elektronicznego, w rozumieniu ustawy z dnia 19 sierpnia 2011 r. o usługach płatniczych udzielającym kredytu płatniczego, o którym mowa w art. 74 ust. 3 tej ustawy – informacji stanowiących tajemnicę bankową, w zakresie niezbędnym do oceny zdolności kredytowej konsumenta, o której mowa w art. 9 ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim.
Treść zacytowanego przepisu nie budzi wątpliwości, że [...] może gromadzić, przetwarzać i udostępniać wyłącznie informację stanowiącą tajemnicę bankową i to do tego nie każdą tajemnicę, a tylko w zakresie ograniczonym dalszymi regulacjami art.105 Prawa bankowego.
W tym miejscu dodać należy również, że bez wpływu na powyższą konkluzję pozostaje okoliczność, iż [...] funkcjonuje w obrocie gospodarczym jako spółka prawa handlowego. Forma prowadzonej przez [...] działalności gospodarczej nie może bowiem rozszerzać uprawnień podmiotu ponad te, jakie ustawodawca określił w przepisie ustawy umożliwiającym powołanie [...] do życia. Prowadząc działalność gospodarczą [...] może więc działać wyłącznie w ramach przedmiotu oznaczonego w art.105 ust.4 Prawa bankowego.
Przenosząc powyższe na realia faktyczne sprawy uznać należało, iż skarżona decyzja odpowiada prawu. Skoro bowiem – co pozostaje poza sporem – informacja dotycząca upadłości konsumenckiej uczestniczki postępowania, nie należy co do zasady do kategorii tajemnicy bankowej, a [...] nie udowodnił, że sporne dane pozostają w jakimkolwiek związku z jakąś czynnością bankową, to organ zasadnie przyjął, że [...] nie posiada podstawy prawnej do gromadzenia, przetwarzania i udostępniania owej informacji.
Bez wpływu na powyższe pozostają cele, jakie skarżący zamierza realizować przetwarzając sporne dane. Nawet bowiem najszlachetniejsze intencje skarżącego nie zmieniają tego, że w świetle podstawy prawnej umożliwiającej powołanie do życia [...], nie może on gromadzić, przetwarzać i udostępniać omawianych danych. Jeśli więc [...] posiada je i przetwarza bez podstawy prawnej, to nie dysponuje przesłanką legalizująca powyższe czynności.
Wobec tego zbędnym jest badanie, czy przetwarzanie spornych danych uczestniczki jest niezbędne w myśl przepisu art.6 ust.1 lit.f RODO. Potencjalna niezbędność może bowiem upoważniać [...] do przetwarzania tylko takich danych, które skarżący ma prawo posiadać. Skoro zaś art.105 ust.4 Prawa bankowego umożliwił powstanie [...] tylko w celu przetwarzania informacji będących tajemnica bankową, to oczywistym jest, że instytucja ta nie może dokonywać jakichkolwiek działań z danymi o innym charakterze. Charakter konkretnej informacji wynika zaś z jej istoty a nie z tego, do jakiego celu informacja ma zostać użyta. Stąd jako zbędne jawiło się analizowanie sprawy przez pryzmat art.105 a Prawa bankowego, skoro skarżący nie ma prawa zajmować się informacjami innymi niż stanowiącymi tajemnicę bankową.
W tym stanie sprawy, nie podzielając argumentów zawartych w złożonej skardze, oraz uznając iż organ w sposób prawidłowy zebrał i ocenił materiał dowodowy, oraz iż przy wykonywaniu tych czynności nie naruszył przepisów prawa, Wojewódzki Sad Administracyjny w Warszawie orzekł jak w sentencji wyroku na podstawie art.151 ustawy z dnia 30 sierpnia 2002r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2024r. poz.935).