II SA/Wa 194/23

II SA/Wa 194/23 - Wyrok WSA w Warszawie
Data orzeczenia
2023-11-29
orzeczenie prawomocne
Data wpływu
2023-01-30
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Danuta Kania /przewodniczący/
Ewa Kwiecińska
Mateusz Rogala /sprawozdawca/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę
Powołane przepisy
Dz.U. 2021 poz 2439
art. 105a ust. 2 i ust. 3
Ustawa z dnia 29 sierpnia 1997 r. Prawo bankowe (t.j.)
Dz.U. 2023 poz 1634
art. 151
Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi - t.j.
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Danuta Kania, Sędzia WSA Ewa Kwiecińska, Asesor WSA Mateusz Rogala (spr.), , po rozpoznaniu w trybie uproszczonym w dniu 29 listopada 2023 r. sprawy ze skargi [...] S.A. z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] listopada 2022 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę
Uzasadnienie
Prezes Urzędu Ochrony Danych Osobowych, działając na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. – Kodeks postępowania administracyjnego (Dz. U. z 2022 r., poz. 2000 ze. zm., powoływanej dalej jako k.p.a.) w zw. z art. 7 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781, powoływanej dalej jako u.o.d.o.), art. 58 ust. 2 lit. c) i art. 6 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych), (Dz. Urz. UE L 119 z 04.05.2016, str. 1 oraz Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35, powoływanego dalej jako rozporządzenie Nr 2016/679) w zw. z art. 105a ust. 3 ustawy z dnia 29 sierpnia 1997 r. - Prawo bankowe (Dz. U. z 2022 r., poz. 2324), decyzją z dnia [...] listopada 2022 r. nr [...] nakazał [...] Bank S.A. z siedzibą w [...], zaprzestania przetwarzania danych osobowych A. D. dotyczących umowy z dnia [...] czerwca 2018 r. nr [...] w systemie Biura Informacji Kredytowej S.A. z siedzibą w [...], przetwarzanych na podstawie art. 105a ust. 3 ustawy - Prawo bankowe w celu oceny zdolności kredytowej i analizy ryzyka kredytowego.
W uzasadnieniu swojego rozstrzygnięcia organ stwierdził, że wpłynęła do niego skarga A. D. na nieprawidłowości w procesie przetwarzania jego danych osobowych przez [...] Bank S.A., polegające na udostępnieniu i przetwarzaniu jego danych osobowych do Biura Informacji Kredytowej S.A. z siedzibą w [...] bez podstawy prawnej.
W treści skargi A. D. wskazał, że Bank nie spełnił wymagań uprawniających do rozpoczęcia przetwarzania jego danych osobowych w systemie BIK w związku z wierzytelnością wynikającą z umowy z dnia [...] czerwca 2018 r. nr [...], ponieważ nie spełnił łącznie wszystkich warunków formalnych z art. 105a ust. 3 ustawy – Prawo bankowe. Zdaniem strony, Bank nie powiadomił jej o zamiarze przetwarzania jej danych w Systemie BIK w zakresie przedmiotowej umowy.
W toku postępowania Bank wskazał, że dane osobowe A. D. zostały pozyskane w wyniku zawarcia z nim umowy z dnia [...] czerwca 2018 r. nr [...] w celu jej realizacji, wykonania obowiązków prawnych ciążących na Banku, realizacji prawnie uzasadnionych interesów polegających na dochodzeniu roszczeń lub obrony przed roszczeniami. Podstawą pozyskania danych strony był w szczególności art. 6 ust. 1 lit. b), c) oraz f) rozporządzenia Nr 2016/679. Natomiast zakres danych, które Bank pozyskał z chwilą zawarcia ww. umowy obejmuje dane identyfikacyjne, dane adresowe, dane teleadresowe oraz informacje finansowe.
Bank wyjaśnił, że udostępnił dane osobowe dotyczące przedmiotowego zobowiązania strony na rzecz BIK na podstawie art. 105 ust. 4, art. 105a ustawy - Prawo bankowe oraz na podstawie umowy zawartej z BIK, tj. umowy w sprawie gromadzenia, przetwarzania i udostępniania informacji w bazie SI BIK "Kredytobiorcy" z dnia [...] sierpnia 2016 r. Bank wskazał, że dane osobowe strony są aktualnie przetwarzane w BIK w związku z zawartą dnia [...] czerwca 2018 r. umową nr [...] na podstawie art. 105a ust. 3 ustawy - Prawo bankowe. W tej sprawie wygaśnięcie zobowiązania nastąpiło w dniu [...] lutego 2021 r poprzez całkowitą spłatę zobowiązania. Jak wskazał Bank, strona wyraziła zgodę na przetwarzanie jej danych w BIK w dniu [...] sierpnia 2018 r., natomiast odwołała ją w dniu [...] czerwca 2021 r. Dalej Bank wskazał, że przesłał stronie listem poleconym oświadczenie o wypowiedzeniu umowy nr [...] w dniu [...] listopada 2019 r., która jest w ocenie Banku datą rozpoczęcia biegu trzydziestodniowego terminu wskazanego w art. 105a ust. 3 ustawy - Prawo bankowe. Wyżej wymienione pismo zawierało informacje, że Bank po spełnieniu zobowiązania przez stronę uprawniony będzie do przetwarzania jej danych na podstawie art. 105a ust. 3 ustawy - Prawo bankowe. Korespondencja została wysłana do strony na wskazany przez nią adres. Zakres danych osobowych strony przekazanych na rzecz BIK obejmował: imię, nazwisko, numer PESEL, numer dowodu osobistego, adres zamieszkania, jak również dane o aktualnej kwocie kredytu, stanie zadłużenia i zaległościach strony.
Z kolei Biuro Informacji Kredytowej wyjaśniło, że obecnie dane osobowe strony w zakresie umowy z dnia [...] czerwca 2018 r. przetwarzane są w bazie BIK w celu oceny zdolności kredytowej i analizy ryzyka kredytowego na podstawie art. 105a ust. 3 ustawy - Prawo bankowe oraz na podstawie umowy zawartej przez Bank z BIK. Zakres przetwarzanych danych obejmuje: imię, nazwisko, numer PESEL, płeć, serię i numer dowodu osobistego, datę urodzenia, adres zamieszkania, informacje na temat umowy, kwota kredytu, typ, waluta, informacje na temat przebiegu realizacji (spłaty) zobowiązania, datę zamknięcia, informację o spełnieniu warunków z art. 105a ust. 3 ustawy - Prawo bankowe, oraz informację o udzieleniu i wycofaniu zgody udzielonej na podstawie art. 105a ust. 2 ustawy - Prawo bankowe.
W dalszej części uzasadnienia swojego rozstrzygnięcia organ stwierdził, że co do zasady podstawą prawną przetwarzania danych osobowych klientów przez Bank w BIK jest obecnie art. 6 ust. 1 lit. f) rozporządzenia Nr 2016/679, tj. przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora. Przetwarzanie danych osobowych klientów Banku przez BIK odbywa się na podstawie zawartej z Bankiem umowy.
Organ wyjaśnił, że BIK jest instytucją utworzoną na podstawie art. 105 ust. 4 ustawy - Prawo bankowe, który stanowi, że banki mogą, wspólnie z bankowymi izbami gospodarczymi, utworzyć instytucje upoważnione do gromadzenia, przetwarzania i udostępniania bankom informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013, innym instytucjom ustawowo upoważnionym do udzielania kredytów informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są niezbędne w związku z udzielaniem kredytów, pożyczek pieniężnych, gwarancji bankowych i poręczeń (pkt 2), instytucjom kredytowym informacji stanowiących tajemnicę bankową w zakresie niezbędnym do oceny zdolności kredytowej konsumenta, o której mowa w art. 9 ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim (pkt 3), instytucjom pożyczkowym i podmiotom, o których mowa wart. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim na zasadzie wzajemności, informacji stanowiących odpowiednio tajemnice bankową oraz informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, w zakresie niezbędnym do oceny zdolności kredytowej konsumenta, o której mowa w art. 9 tej ustawy, i analizy ryzyka kredytowego (pkt 4).
Zgodnie z art. 105a ust. 1 ustawy - Prawo bankowe, przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów, instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, a także instytucje utworzone na podstawie art. 105 ust. 4, informacji stanowiących tajemnicę bankową udostępnionych przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem art. 104, art. 105 i art. 106-106d ustawy - Prawo bankowe w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Zgodnie zaś z art. 105a ust. 3 ustawy - Prawo bankowe banki, instytucje oraz podmioty, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową i informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa wart. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank, inną instytucję ustawowo upoważnioną do udzielania kredytów, instytucję pożyczkową albo podmiot, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, o zamiarze przetwarzania dotyczących jej tych informacji, bez jej zgody.
Organ ocenił, że w rozpoznawanej sprawie zobowiązanie A. D. wobec Banku, wynikające z umowy nr [...] z dnia [...] czerwca 2018 r., wygasło, a strona nie kwestionuje, że dopuściła się zwłoki trwającej dłużej niż 60 dni w przypadku ww. zobowiązania. Co jednak istotne, Bank, zdaniem organu, nie spełnił wobec strony obowiązku określonego w art. 105a pkt 3 ustawy - Prawo bankowe, tj. nie poinformował skutecznie o zamiarze przetwarzania dotyczących jej informacji stanowiących tajemnicę bankową, bez jej zgody po wygaśnięciu zobowiązania wynikającego z przedmiotowej umowy. Fakt, iż strona nie wykonała zobowiązania lub spóźniła się z jego wykonaniem co najmniej 60 dni, nie upoważnia Banku do przetwarzania jej danych na warunkach określonych w art. 105a ust. 3 Prawa bankowego. Moment, od którego należy liczyć sześćdziesięciodniowy termin, w którym konsument dopuszcza się zwłoki w wykonaniu zobowiązania, to termin wykonania zobowiązania. Dopiero po upływie 60 dni zaczyna biec termin 30 dni, w którym instytucja oczekuje jeszcze na wykonanie zobowiązania klienta. Termin 30 dni biegnie od momentu, w którym konsument zostanie skutecznie poinformowany przez instytucję o zamiarze przetwarzania. Ostatecznie to bezskuteczny upływ 30 dni od momentu poinformowania stanowi wypełnienie przesłanek z art. 105a ust. 3 ustawy - Prawo bankowe. Z powyższego wynika zatem, że Bank przetwarzając dane A. D. na warunkach określonych ww. przepisie, musi wykazać, że został on poinformowany o zamiarze przetwarzania ich bez jego zgody. W niniejszej sprawie A. D. podniósł, że okoliczności wskazywane w art. 105a ust. 3 ustawy - Prawo bankowe nie zostały spełnione, w związku z czym Bank nie jest uprawniony do przetwarzania jego danych osobowych w BIK. Organ podkreślił, że brak jest innych dowodów wskazujących na prawidłowe i skuteczne poinformowanie strony o treści 105a ust. 3 ustawy - Prawo bankowe niż oświadczenie Banku, pozostające w sprzeczności z twierdzeniami strony.
Bank nie przedstawił dowodu na prawidłowe doręczenie stronie dokumentu, w treści którego zawarta była informacja o okolicznościach wskazanych w art. 105a ust. 3 ustawy - Prawo bankowe, zatem okoliczność skutecznego poinformowania o treści tego przepisu nie może zostać uznana za udowodnioną. Dodatkowo organ podkreślił, że sporządzenie i wysłanie ww. pisma nie jest równoznaczne z udowodnieniem jego prawidłowego doręczenia, skutkującego poinformowaniem A. D. o zamiarze przetwarzania danych stanowiących tajemnicę bankową, bez jego zgody na podstawie art. 105a ust. 3 ustawy - Prawo bankowe. Samo oświadczenie o wysłaniu korespondencji i przedstawienie jej kopii wraz z kopią listy wysyłkowej nie stanowi dowodu na jej dostarczenie lub poinformowanie o jej treści adresata. Przepisy powszechnie obowiązujące nie formułują obowiązku wysłania informacji, o której mowa w art. 105a ust. 3 ustawy - Prawo bankowe w szczególnej formie. To do podmiotu informującego należy zatem wybór formy przekazania odbiorcy komunikatu o zamiarze przetwarzania danych osobowych bez jego zgody. Podmiot informujący wywodzi z powyższego skutki prawne, zatem to on musi wykazać, że poinformował stronę o zamiarze przetwarzania danych stanowiących tajemnicę bankową, bez jej zgody na podstawie art. 105a ust. 3 ustawy - Prawo bankowe.
Powołując się na stanowisko wyrażone przez Naczelny Sąd Administracyjny w wyroku z dnia 7 sierpnia 2018 r. sygn. akt I OSK 2123/16, organ podkreślił, że literalne odczytanie art. 105a ust. 3 ustawy - Prawo bankowe może wskazywać na to, że ustawodawca nie stworzył w tym zakresie żadnych szczególnych wymogów formalnych co do sposobu i treści takiego poinformowania klienta lub byłego klienta banku. Prawidłowa wykładnia tego przepisu nie może jednak oznaczać całkowitej dowolności w tym zakresie. Przede wszystkim należy zwrócić uwagę na materialny (ochronny), a nie formalny charakter tego przepisu. Wymaga on w sposób kategoryczny "poinformowania", a nie "wysłania zawiadomienia".
W konsekwencji organ uznał, że w sprawie nie zostały spełnione przesłanki z art. 105a ust. 3 ustawy - Prawo bankowe, zgodnie z którym Bank może przetwarzać informacje stanowiące tajemnicę bankową dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy bez ich zgody w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Organ nie stwierdził okoliczności uprawniających Bank do przetwarzania danych osobowych strony w oparciu o ww. podstawę prawną w powyższym celu.
[...] Bank S.A. wniósł na powyższą decyzję skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie.
Zaskarżonej decyzji strona zarzuciła naruszenie przepisów postępowania, mające istotny wpływ na wynik sprawy, tj. art. 6, art. 7, art. 8 § 1 i 2, art. 77 § 1, art. 80 oraz art. 107 § 3 k.p.a. w zw. z art. 7 ust. 1 u.o.d.o., polegające na niezastosowaniu zasad ogólnych postępowania administracyjnego: praworządności, prawdy obiektywnej i pogłębiania zaufania do władzy publicznej oraz przekroczeniu granic swobodnej oceny dowodów, a w konsekwencji błędnym przyjęciu, że potwierdzenie nadania pisma listem poleconym nie stanowi dowodu poinformowania uczestnika postępowania o zamiarze przetwarzania jego danych osobowych bez jego zgody, w oparciu o art. 105a ust. 3 ustawy – Prawo bankowe, podczas gdy jest to dokument mający moc dokumentu urzędowego, stanowiący dostateczny dowód przekazania informacji zgodnie z wymogami art. 105a ust. 3 ustawy.
Strona skarżąca postawiła również zarzut naruszenia przepisów prawa materialnego, które miało wpływ na wynik sprawy, tj. art. 105a ust. 3 ustawy – Prawo bankowe poprzez jego błędną wykładnię, skutkującą przyjęciem, że wykonanie obowiązku informacyjnego, polega na skutecznym doręczeniu osobie fizycznej, po wygaśnięciu jej zobowiązania wynikającego z umowy zawartej z bankiem, informacji o zamiarze przetwarzania jej danych osobowych bez jej zgody, podczas gdy prawidłowa interpretacja tego przepisu prowadzi do wniosku, iż "poinformowanie" oznacza rzeczywiste umożliwienie zapoznania się z treścią informacji.
Skarżący wniósł o uchylenie zaskarżonej decyzji w całości, zasądzenie od organu na jego rzecz kosztów postępowania, w tym kosztów zastępstwa prawnego, według norm przepisanych. Wniósł o zobowiązanie organu do wydania decyzji oddalającej skargę uczestnika postępowania oraz rozpoznanie sprawy w trybie uproszczonym, a także wstrzymanie wykonania zaskarżonej decyzji na podstawie art. 61 § 3 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z
2022 r., poz. 329 ze zm., powoływanej dalej jako p.p.s.a.).
W uzasadnieniu skargi Bank stwierdził, że organ błędnie ocenił fakt wysłania do uczestnika postępowania informacji o zamiarze przetwarzania jego danych osobowych na podstawie art. 105a ust. 3 ustawy - Prawo bankowe listem poleconym. Nie można zgodzić się ze stwierdzeniem wyrażonym w uzasadnieniu zaskarżonej decyzji jakoby brak było innych dowodów na okoliczność poinformowania A. D. o treści art. 105a ust. 3 ustawy - Prawo bankowe niż oświadczenie Banku. Bank przedstawił dowód w postaci oświadczenia o wypowiedzeniu umowy wraz z potwierdzeniem nadania tego pisma listem poleconym (odpis z pocztowej książki nadawczej), mającym moc dokumentu urzędowego. Przesyłka polecone zaadresowana na A. D. została nadana na wskazany przez niego adres, który nadal jest podawany przez niego jako adres do korespondencji.
Zdaniem Banku, dowód nadania przesyłki rejestrowanej stanowi domniemanie doręczenia jej adresatowi, który może je obalić, wykazując, że nie miał możliwości zapoznania się z jej treścią.
Skarżący stwierdził, że wysłał zawiadomienie dotyczące wypowiedzenia umowy zawartej z uczestnikiem postępowania listem poleconym z informacją wymaganą art. 105a ust. 3 ustawy - Prawo bankowe na adres A. D. wskazany w umowie z Bankiem, a jednocześnie uczestnik postępowania nigdy nie poinformował Banku o zmianach tego adresu i nie zakwestionowała skuteczności doręczania korespondencji na ten adres wysyłanej. Wysłana do uczestnika korespondencja polecona, w której znajdowała się informacja o przetwarzaniu danych osobowych zgodnie z art. 105a ust. 3 ustawy - Prawo bankowe nigdy nie została zwrócona. Uczestnik postępowania w żaden sposób nie wykazał, że nie otrzymał wspomnianego listu poleconego lub że nie mógł się z nim zapoznać.
Bank podał, że dysponuje dowodem przekazania A. D. informacji o zamiarze przetwarzania jego danych osobowych i dowód ten przedstawił organowi w toku postępowania. Podkreślenia wymaga, że potwierdzenie nadania przesyłki rejestrowanej wydane przez placówkę pocztową operatora wyznaczonego ma moc dokumentu urzędowego, zatem przedłożony przez Bank dowód w postaci odpisu z pocztowej książki nadawczej jednoznacznie wskazuje na spełnienie przez Bank obowiązku informacyjnego, o którym mowa w art. 105a ust. 3 ustawy - Prawo bankowe.
Zdaniem Skarżącego, jeśli uczestnik postępowania kwestionuje skuteczność doręczenia mu przesyłek poleconych z Banku, powinien powołać dowody na tę okoliczność.
Skarżący wskazał następnie, że analiza treści art. 105a ust. 3 ustawy – Prawo bankowe prowadzi do wniosku, że trzydziestodniowy termin, po upływie którego jest możliwe przetwarzanie danych osobowych osoby, która dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, bez jej zgody, biegnie od momentu, gdy osoba ta została poinformowana przez bank o takim zamiarze. Ustawodawca nie określił żadnych szczególnych wymogów formalnych, co do sposobu i treści takiego poinformowania. W każdym wypadku sposób ten powinien dawać sposobność potwierdzenia, że adresatowi umożliwiono zapoznanie się z informacją. Wykładnia językowa przesłanek wskazanych w art. 105a ust. 3 ustawy - Prawo bankowe, a w szczególności słowa "poinformować", jednoznacznie wskazuje, iż "poinformowanie" należy rozumieć jako rzeczywiste umożliwienie zaznajomienia się z informacją osobie, do której jest ona kierowana.
Skarżący podkreślił, że znaczenie słowa "poinformować" wskazane w Słowniku Języka Polskiego PWN, to: "udzielić informacji, powiadomić o czymś". Skarżący przytoczył stanowisko Wojewódzkiego Sądu Administracyjnego w Warszawie, wyrażone w wyroku z dnia 11 grudnia 2017 r., sygn. akt II SA/Wa 324/17, w którym WSA orzekł, że "sformułowanie użyte w przepisie art. 105a ust. 3 Prawa bankowego, dotyczące obowiązku informacyjnego banku, musi oznaczać, że nie jest to tylko obowiązek formalny. Wprawdzie ustawodawca w żaden sposób nie ograniczył sposobów i form takiego zawiadomienia (nie można również wykluczyć możliwości zawiadomienia drogą elektroniczną, o ile strony w zawartej umowie taką formę korespondencji przewidziały (...), ale w każdym wypadku sposób ten powinien umożliwić zweryfikowanie faktu poinformowania klienta banku o zamierzonym przetwarzaniu jego danych osobowych lub też przynajmniej potwierdzenie, że klientowi umożliwiono zapoznanie się z taką informacją". Z kolei w wyroku WSA w Warszawie z dnia 10 marca 2020 r., sygn. akt II SA/Wa 2037/19 stwierdzono, że "gdyby ustawodawca rzeczywiście chciał uzależnić możliwość przetwarzania danych osobowych, w warunkach o których mowa w art. 105a ust. 3 Prawa bankowego, od skutecznego doręczenia wspomnianej informacji – jak twierdzi organ nadzorczy – to takiego sfomułowania użyłby niewątpliwie wprost w omawianym przepisie."
W ocenie skarżącego, celem regulacji wprowadzonej w art. 105a ust. 3 ustawy - Prawo bankowe możliwości przetwarzania danych bez zgody samego dłużnika było umożliwienie przekazywania przez m.in. banki danych nierzetelnych dłużników, tj. osób, które pomimo zaciągnięcia określonego zobowiązania wobec banku, nie wywiązują się z umowy i nie spłacają swojego zobowiązania przez okres dłuższy niż 60 dni, do Biura Informacji Kredytowej (BIK). Celem art. 105a ust. 3 ustawy - Prawo bankowe nie jest więc ochrona nierzetelnego dłużnika, a ochrona sektora bankowego, a tym samym uczciwych kredytobiorców.
Skarżący stwierdził, że przyjęcie wykładni art. 105a ust. 3 ustawy - Prawo bankowe zaproponowanej przez organ prowadziłoby do istotnych nadużyć po stronie nierzetelnych dłużników i wypaczałoby sens regulacji, dając osobom niewywiązującym się ze swoich zobowiązań możliwość unikania ujawnienia informacji o nich w BIK poprzez proste uchylanie się od odbioru korespondencji. Dłużnicy mogliby każdorazowo zarzucać brak możliwości zapoznania się z treścią pisma, jeśli zwrotne potwierdzenie odbioru nie zostałoby podpisane przez daną osobę osobiście.
Przyjęcie wykładni organu powoduje, że należałoby oczekiwać od każdego wierzyciela, że będzie wysyłał dłużnikowi wezwanie do zapłaty za potwierdzeniem osobistego odbioru lub doręczał do rąk własnych dłużnika. Nierzetelny dłużnik starający się uniemożliwić skuteczne dochodzenie roszczeń, uchylałby się od odebrania przesyłek, co utrudniłoby proces windykacji i dawało niezasadne przywileje osobom niewywiązującym się ze swoich zobowiązań.
Istotne znaczenie ma też w niniejszej sprawie regulacja art. 61 § 1 Kodeksu cywilnego, wedle której oświadczenie woli, które ma być złożone innej osobie, jest złożone z chwilą, gdy doszło do niej w taki sposób, że mogła zapoznać się z jego treścią. Nie ulega wątpliwości, że dojście oświadczenia woli do adresata w taki sposób, by mógł on zapoznać się z jego treścią, polega na stworzeniu przez składającego takiej sytuacji, w której adresat oświadczenia może zapoznać się z nim w zwykłym toku czynności - rzeczywiste zapoznanie się nie ma natomiast znaczenia (E. Gniewek, P. Machnikowski [red.], Kodeks cywilny. Komentarz. Wyd. 10, Warszawa 2021, Legalis – komentarz do art. 61, Nb. 5). Nadanie listu poleconego (przesyłki rejestrowanej) obejmującego oświadczenie woli pozwala przyjąć w drodze domniemania faktycznego, że jego adresat mógł zapoznać się z jego treścią.
Tymczasem "poinformowanie" w myśl art. 105a ust. 3 ustawy - Prawo bankowe, wedle poglądu przedstawionego przez organ, sprowadza się w zasadzie do udowodnienia przesłanki subiektywnej (tj. "rzeczywistego poinformowania" dłużnika). Osiągnięcie celu powołanego przepisu w postaci "poinformowania" jest zależne jedynie od osoby, do której skierowana jest informacja i w żaden sposób niezależne od Banku i jego starań w tym zakresie. Wedle organu tylko od oświadczenia uczestniczki postępowania uzależnić należałoby skutek poinformowania. Nawet bowiem w wypadku wysłania informacji za potwierdzeniem odbioru lub kurierem doręczającym "do rąk własnych", dochodzi jedynie do pewnego uprawdopodobnienia "poinformowania" lub – jak wskazywał NSA w wyroku w sprawie I OSK 2514/17 – umożliwienia zapoznania się z informacją. Adresat przesyłki w takiej sytuacji ma jedynie możliwość zapoznania się z informacją, jednak nie musi tego zrobić. A. D. mógł po odbiorze listu poleconego z Banku nigdy nie otworzyć kopert z wypowiedzeniami umów i nie zapoznać się z informacją. Przyjęcie jednak takiej interpretacji "poinformowania" zaprzeczałoby celowi przepisu art. 105a ust. 3 ustawy - Prawo bankowe. Nie tylko zatem wykładnia językowa tego przepisu, ale także wykładnia funkcjonalna i celowościowa powinny decydować o przyjęciu obiektywnego rozumienia obowiązku poinformowania. W powołanym przepisie nie chodzi zatem o faktyczny rezultat, ale o zapewnienie realnej możliwości zapoznania się z informacją.
Bank podniósł, że wysłał do uczestnika postępowania oświadczenie o wypowiedzeniu umowy zawierające stosowną, wymaganą prawem informację o zamiarze przekazania jego danych osobowych do Biura Informacji Kredytowej. Pismo to zostało skierowane na podany przez A. D. adres. Uczestnik zobowiązał się na bieżąco informować Bank o zmianie nazwiska, adresu lub miejsca pracy, nigdy jednak o zmianie adresu nie informował, zatem należy uznać, że wymienione wyżej oświadczenie wysłane zostały na właściwy adres.
Wysyłając list polecony z informacją o zamiarze przetwarzania danych osobowych dotyczących A. D., Bank umożliwił mu zapoznanie się z tymi informacjami. W konsekwencji – po upływie trzydziestu dni – Bank mógł przetwarzać dane osobowe uczestnika postępowania, bez jego zgody, w tym poprzez ich przekazanie do BIK, gdyż doszło do wymaganego przepisem art. 105a ust. 3 ustawy - Prawo bankowe "poinformowania" podmiotu danych.
W odpowiedzi na skargę organ wniósł o jej oddalenie.
Postanowieniem z dnia [...] lutego 2023 r. Wojewódzki Sąd Administracyjny w Warszawie wstrzymał wykonanie zaskarżonej decyzji.
W piśmie procesowym z dnia 6 marca 2023 r. strona skarżąca podtrzymała w całości stanowisko przedstawione w skardze.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:
Skarga nie zasługuje na uwzględnienie.
Wydając zaskarżoną decyzję, organ skorzystał z uprawnienia naprawczego przewidzianego w art. 58 ust. 2 lit. c) rozporządzenia Nr 2016/679, który stanowi dla organu nadzorczego podstawę do nakazania administratorowi lub podmiotowi przetwarzającemu spełnienia żądania osoby, której dane dotyczą, wynikającego z praw przysługujących jej na mocy tego rozporządzenia.
W myśl art. 4 pkt 2 rozporządzenia Nr 2016/679, przetwarzanie danych oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie.
Warunki uznania przetwarzania danych osobowych za legalne określono z kolei w art. 6 ust. 1 rozporządzenia Nr 2016/679, zgodnie z którym, przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy - i w takim zakresie, w jakim - spełniony jest co najmniej jeden z poniższych warunków: a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów; b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy; c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze; d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej; e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi; f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Akapit pierwszy lit. f nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań.
Z kolei zgodnie z art. 105a ust. 1 ustawy - Prawo bankowe, przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów, instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, a także instytucje utworzone na podstawie art. 105 ust. 4, informacji stanowiących tajemnicę bankową i informacji udostępnionych przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem art. 104, art. 105 i art. 106-106d, w celu oceny zdolności kredytowej i analizy ryzyka kredytowego.
Jak wynika zaś z art. 105a ust. 2 ustawy - Prawo bankowe, z zastrzeżeniem ust. 3, instytucje, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową oraz informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, w zakresie dotyczącym osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, pod warunkiem uzyskania pisemnej zgody osoby, której informacje te dotyczą, z zastrzeżeniem ust. 2a. Zgoda ta może być w każdym czasie odwołana.
Stosownie do treści art. 105a ust. 3 ustawy - Prawo bankowe, banki, instytucje oraz podmioty, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową i informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank, inną instytucję ustawowo upoważnioną do udzielania kredytów, instytucję pożyczkową albo podmiot, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, o zamiarze przetwarzania dotyczących jej informacji, bez jej zgody.
Biorąc pod uwagę treść przywołanych przepisów Sąd rozpoznający niniejszą sprawę podzielił stanowisko organu wyrażone w uzasadnieniu zaskarżonej decyzji, że przetwarzanie przez Bank danych osobowych uczestnika postępowania nie znajdowało oparcia w art. 105a ust. 3 in fine ustawy - Prawo bankowe, z którego wynika, że warunkiem dopuszczalności przetwarzania informacji o kliencie będącym osobą fizyczną po wygaśnięciu zobowiązania jest upływ co najmniej 30 dni od poinformowania tej osoby przez bank o zamiarze przetwarzania tych informacji.
Jak wynika z akt administracyjnych tej sprawy A. D. oświadczył, że Bank po całkowitej spłacie zobowiązania przetwarza jego dane osobowe, udostępniając je także w bazie BIK, mimo że wycofał zgodę na przetwarzanie danych osobowych, a Bank nie dopełnił obowiązku poinformowania go o dokonanych wpisach, co w jego ocenie oznacza, że działanie Banku jest bezprawne. Bank natomiast powołał się na oświadczenie z dnia [...] listopada 2019 r. o wypowiedzeniu umowy nr [...], w którym zawarto informację o zamiarze korzystania przez Bank z prawa do przetwarzania informacji stanowiących tajemnicę bankową na podstawie art. 105a ust. 3 ustawy - Prawo bankowe. Skarżący wyjaśnił, że wskazane oświadczenie zostało nadane do A. D. w dniu [...] listopada 2019 r. na podany przez niego adres. Bank złożył do akt sprawy skany oświadczenie z dnia [...] listopada 2019 r. oraz fragment elektronicznej książki nadawczej (przesyłka nierejestrowana).
Istota sprawy, a zarazem sporu między stronami, sprowadza się do tego, czy Bank dopełnił obowiązku informacyjnego zgodnie z art. 105a ust. 3 in fine ustawy – Prawo bankowe.
Regulujący tryb składania oświadczenia woli art. 61 § 1 Kodeksu cywilnego opiera się na tzw. teorii doręczenia oświadczenia woli z możliwością zapoznania się. Wynika to wprost z jego treści (zd. 1: "Oświadczenie woli, które ma być złożone innej osobie, jest złożone z chwilą, gdy doszło do niej w taki sposób, że mogła zapoznać się z jego treścią"). Jeżeli więc oświadczenie zostało doręczone stronie w sposób, który umożliwia powzięcie wiadomości o treści oświadczenia, to jest ono skutecznie złożone nawet wtedy, gdy jest niewątpliwe, że faktycznie adresat z oświadczeniem się nie zapoznał (zob. np. wyroki Sądu Najwyższego z dnia 17 czerwca 2009 r. sygn. akt IV CSK 53/09 - LEX nr 610182 i z dnia 9 grudnia 1999 r. sygn. akt I PKN 430/99 - OSNAP z 2001 r. nr 9, poz. 309).
Zasadniczym celem doręczenia jest to, aby odbiorca faktycznie pismo otrzymał i zapoznał się z jego treścią. Chodzi zatem o to, żeby adresat odebrał korespondencję od doręczyciela w miejscu doręczenia lub z urzędu pocztowego w wyznaczonym czasie, co także pozwala mu na realne zapoznanie się z treścią oświadczenia. Jeżeli zatem treść oświadczenia woli składanego innej osobie zawarta jest w piśmie przesyłanym pocztą, adresat może zapoznać się z jego treścią nie tylko po doręczeniu mu przesyłki pod adresem doręczenia, ale także – w przypadku braku możliwości doręczenia w ten sposób - jeżeli pod tym adresem doręczyciel pozostawi zawiadomienie o możliwości odbioru przesyłki w placówce pocztowej w określonym terminie.
Możliwość zapoznania się z treścią oświadczenia przez adresata nie może być zatem utożsamiana z rzeczywistym zapoznaniem się przez niego z tym oświadczeniem (faktem zapoznania się), co oznacza, że skuteczne złożenie oświadczenia woli następuje także w sytuacji, w której co prawda adresat oświadczenia woli nie zna jego treści, ale miał realną możliwość zapoznania się z nią, gdyż doszła ona do niego w taki sposób, że mógł się z nią zapoznać. Konstrukcja przewidziana w art. 61 § 1 k.c. odpowiada więc, jak już nadmieniono, kwalifikowanej teorii doręczenia, która przyjmuje, że oświadczenie woli jest złożone z chwilą, z którą doszło do adresata w taki sposób, że miał on możliwość zapoznania się z jego treścią. Realna możliwość zapoznania się z treścią oświadczenia woli nie może być jednak pojmowana abstrakcyjnie i powinna być oceniana z uwzględnieniem okoliczności danego wypadku.
Należy przy tym podkreślić, że art. 105a ust. 3 ustawy - Prawo bankowe warunkuje możliwość rozpoczęcia przetwarzania danych osobowych z upływem co najmniej 30 dni od poinformowania osoby, której dane dotyczą, o zamiarze przetwarzania jej danych osobowych. Należy przy tym odróżnić cel przetwarzania danych osobowych na podstawie wskazanego przepisu, którym – co trafnie dostrzeżono w skardze – nie jest ochrona nierzetelnego dłużnika, lecz ochrona sektora finansowego przed ponownym udzielaniem kredytów i pożyczek osobom, które takich zobowiązań nie są w stanie spłacić, od celu poinformowania klienta banku będącego osobą fizyczną o zamiarze przetwarzania dotyczących go informacji i określenia terminu 30 dni, przed upływem którego należy wstrzymać się z rozpoczęciem przetwarzania tych informacji. Termin 30 dni został bowiem wprowadzony w celu zapewnienia klientowi banku będącemu osobą fizyczną ostatecznej możliwości wywiązania się ze zobowiązania i tym samym uniknięcia negatywnych konsekwencji w postaci przetwarzania o nim informacji, jako o niesolidnym dłużniku. Jeśli zatem w okresie 30 dni od poinformowania o zamiarze przetwarzania informacji bez zgody klient spłaci całą zaległość wobec banku, to po upływie 30 dni bank oraz inna instytucja, o której mowa w art. 105 ust. 4 ustawy - Prawo bankowe, nie mogą przetwarzać informacji bez zgody klienta.
Z powyższych względów w orzecznictwie Naczelnego Sądu Administracyjnego podkreśla się materialny (ochronny), a nie formalny charakter obowiązku informacyjnego, o którym mowa w art. 105a ust. 3 ustawy - Prawo bankowe. Zauważa się przy tym w ślad za poglądami wyrażanymi w literaturze przedmiotu, że dane osobowe są wartością chronioną ustawowo, a prawo od ich ochrony stanowi swego rodzaju emanację ogólnego prawa gwarantowanego Konstytucją RP (art. 47). Spostrzeżenie to oparte jest na założeniu, że dane osobowe są niejako częścią życia prywatnego lub rodzinnego, względnie że posługiwanie się danymi dotyczącymi innej osoby wkracza w przyznaną jej kompetencję decydowania o swoim życiu osobistym. W konsekwencji, wszelkie regulacje znoszące tę ochronę muszą być odczytywane i wykładane ściśle, z uwzględnieniem funkcji jakiej mają służyć (zob. np. wyroki Naczelnego Sądu Administracyjnego: z dnia 7 sierpnia 2018 r. sygn. akt I OSK 2123/16 i I OSK 2051/16, z dnia 25 lipca 2017 r. sygn. akt I OSK 2859/16, wszystkie powoływane orzeczenia są dostępne w internetowej bazie orzeczeń sądów administracyjnych; P. Fajgielski [w:] Komentarz do rozporządzenia nr 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) [w:] Ogólne rozporządzenie o ochronie danych. Ustawa o ochronie danych osobowych. Komentarz, wyd. II, Warszawa 2022, art. 1.).
Jakkolwiek więc, co trafnie dostrzeżono w skardze, ustawodawca w żaden sposób nie ograniczył sposobów i form "poinformowania", o którym mowa w art. 105a ust. 3 ustawy - Prawo bankowe, to w każdym przypadku sposób ten powinien umożliwić zweryfikowanie faktu poinformowania klienta banku o zamierzonym przetwarzaniu jego danych osobowych lub przynajmniej potwierdzenie, że klientowi umożliwiono zapoznanie się z taką informacją. Z uwagi natomiast na wskazany w art. 105a ust. 3 ustawy - Prawo bankowe dodatkowy trzydziestodniowy termin na wykonanie zobowiązania, poinformowanie adresata oświadczenia powinno nastąpić w taki sposób, by można było ustalić początek biegu tego terminu, a w konsekwencji ustalić, kiedy adresat miał możliwość zapoznania się z jego treścią (zob. też wyroki Wojewódzkiego Sądu Administracyjnego w Warszawie: z dnia 18 stycznia 2022 r. sygn. akt II SA/Wa 3584/21; z dnia 12 października 2022 r. sygn. akt II SA/Wa 189/22; z dnia 16 maja 2023 r. sygn. akt II SA/Wa 1696/22 oraz z dnia 30 maja 2023 r. sygn. akt II SA/Wa 2144/22). Dopiero bowiem bezskuteczny upływ owego trzydziestodniowego dodatkowego terminu upoważnia bank do przetwarzania danych osobowych w oparciu o art. 105a ust. 3 ustawy - Prawo bankowe.
W zakresie obejmującym dopełnienie przez Bank obowiązku informacyjnego zgodnie z art. 105a ust. 3 ustawy - Prawo bankowe nie mogą zatem mieć miejsca jakiekolwiek domniemania faktyczne, przy czym należy zgodzić się ze stanowiskiem wyrażanym w orzecznictwie Naczelnego Sądu Administracyjnego, że ze względu na konstrukcję tego przepisu, to na banku spoczywa obowiązek wykazania określonych w nim przesłanek dopuszczalności przetwarzania (zob. wyroki Naczelnego Sądu Administracyjnego: z dnia 27 sierpnia 2019 r. sygn. akt I OSK 2514/17; z dnia 7 sierpnia 2018 r. sygn. akt I OSK 2123/15 i sygn. akt I OSK 2051/16, z dnia 27 października 2017 r. sygn. akt I OSK 3362/15, z dnia 25 lipca 2017 r. sygn. akt I OSK 2859/16).
Jak już wskazano, w odpowiedzi na wezwanie organu nadzorczego, jako dowód dopełnienia obowiązku informacyjnego przewidzianego w art. 105a ust. 3 in fine ustawy - Prawo bankowe, skarżący przedstawił skany oświadczenia z dnia [...] listopada 2019 r. wraz z potwierdzeniem nadania tego pisma listem poleconym, z którego wynika, że w dniu [...] listopada 2019 r. nadał do uczestnika postępowania przesyłkę nierejestrowaną. W ocenie Sądu, dokument ten nie pozwala stwierdzić, że Bank poinformował (umożliwił zapoznanie się z informacją w zwykłym biegu zdarzeń) A. D. o zamiarze przetwarzania jego danych osobowych oraz ustalić, kiedy rozpoczął bieg termin trzydziestu dni, w którym uczestnik postępowania mógł uchylić się od negatywnych konsekwencji w postaci przetwarzania o nim informacji, jako o niesolidnym dłużniku. Powyższe jest szczególnie istotne w kontekście wynikającej z akt administracyjnych okoliczności, że zaległość uczestnika postępowania w związku z umową nr [...] w dniu [...] grudnia 2019 r. wyniosła 0 zł (k. 15 akt administracyjnych). Nie można zatem wykluczyć, że strona spełniła świadczenie w terminie przewidzianym w omawianym przepisie.
W związku z powyższym Sąd uznał, że nadanie powiadomienia, o którym mowa w art. 105a ust. 3 ustawy - Prawo bankowe, listem poleconym nie pozwala – w okolicznościach niniejszej sprawy – na ustalenie początku biegu wskazanego w tym przepisie terminu. Skoro to Bank wywodzi skutki prawne z powiadomienia strony o zamiarze przetwarzania jej danych osobowych stanowiących tajemnicę bankową bez jej zgody, to musi wykazać, że bezskutecznie upłynęło 30 dni od daty poinformowania strony o tym zamiarze. Wykazanie tej okoliczności wymaga jednak – co oczywiste – wykazania początku biegu owego trzydziestodniowego terminu.
W analizowanej sprawie brak jest możliwości ustalenia tej okoliczności, co powoduje, że brak jest podstaw do przyjęcia, że powiadomienie wnioskodawcy o zamiarze przetwarzania jego danych osobowych wyczerpało wymogi art. 105a ust. 3 ustawy - Prawo bankowe oraz że upłynął bezskutecznie dodatkowy trzydziestodniowy termin na spełnienie świadczenia.
Z tej przyczyny Sąd uznał za niezasadny podniesiony w skardze zarzut naruszenia prawa materialnego, tj. art. 105a ust. 3 ustawy - Prawo bankowe.
Sąd nie uwzględnił również zarzutów naruszenia przepisów postępowania, które miało istotny wpływ na wynik sprawy, tj. art. 6, art. 7, art. 8 § 1 i 2, art. 77 § 1, art. 80 oraz art. 107 § 3 k.p.a. w zw. z art. 7 ust. 1 u.o.d.o. W ocenie Sadu, organ podjął w niniejszej sprawie przewidziane prawem czynności w celu wnikliwego i rzetelnego ustalenia okoliczności faktycznych sprawy. Ustalenia faktyczne organu zostały dokonane w oparciu o całość materiału dowodowego, zgromadzonego i zbadanego w sposób wyczerpujący, a więc przy podjęciu wszelkich kroków niezbędnych do dokładnego wyjaśnienia okoliczności sprawy. Ocena materiału dowodowego została dokonana przez organ zgodnie z zasadą swobodnej oceny dowodów i nie nosi cech dowolności. Decyzja w niniejszej sprawie nie została zaś wydana z naruszeniem art. 107 § 3 k.p.a. Uzasadnienie rozstrzygnięcia spełnia bowiem wymogi określone w ww. przepisie. Zawiera ocenę zebranego w postępowaniu materiału dowodowego, wykładnię stosowanych przepisów oraz ocenę przyjętego stanu faktycznego w świetle obowiązującego prawa. Uzasadnienie zaskarżonej decyzji jest spójne wewnętrznie i logiczne, nie zawiera przy tym luk ani sprzeczności.
Mając na względzie powyższe, Wojewódzki Sąd Administracyjny w Warszawie na podstawie art. 151 p.p.s.a. orzekł jak w sentencji. Sąd rozpoznał sprawę w trybie uproszczonym na podstawie art. 119 pkt 2 i art. 120 powołanej ustawy.