II SA/Wa 2058/22

II SA/Wa 2058/22 - Wyrok WSA w Warszawie
Data orzeczenia
2023-05-31
orzeczenie prawomocne
Data wpływu
2022-11-21
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Agnieszka Góra-Błaszczykowska
Michał Sułkowski
Sławomir Fularski /przewodniczący sprawozdawca/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Sygn. powiązane
III OSK 2672/24 - Postanowienie NSA z 2025-01-31
II SA/Wa 1156/23 - Postanowienie WSA w Warszawie z 2024-06-11
III OSK 2672/23 - Wyrok NSA z 2024-12-17
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę
Powołane przepisy
Dz.U. 2021 poz 2439
art. 105 ust. 4; art. 105a ust. 3
Ustawa z dnia 29 sierpnia 1997 r. Prawo bankowe (t.j.)
Dz.U. 2022 poz 1360
art. 61 § 1; art. 118
Ustawa z dnia 23 kwietnia 1964 r. Kodeks cywilny - t.j.
Dz.U.UE.L 2016 nr 119 poz 1 art. 6 ust. 1
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z  przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE
Dz.U. 2022 poz 2000
art. 107 § 3
Ustawa z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego - t.j.
Dz.U. 2019 poz 1781
art. 7 ust. 1
Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych (t. j.)
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Sławomir Fularski (spr.), Sędzia WSA Agnieszka Góra-Błaszczykowska, Asesor WSA Michał Sułkowski, po rozpoznaniu w trybie uproszczonym w dniu 31 maja 2023 r. sprawy ze skargi S. z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] września 2022 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę
Uzasadnienie
Prezes Urzędu Ochrony Danych Osobowych (dalej jako "Prezes UODO" lub "organ") decyzją z [...] września 2022 r. nr [...] działając na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2021 r. poz. 735 ze zm., dalej jako "Kpa"),
w związku z art. 7 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (t. j. Dz. U. z 2019 r. poz. 1781, dalej jako "UODO") i art. 6 ust. 1 oraz art. 58 ust. 2 lit. c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119
z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74
z 4.03.2021, str. 35, dalej jako "RODO") w zw. z art. 105a ust. 3 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz. U. z 2021 r. poz. 2439 ze zm., dalej jako "Prawo bankowe"), nakazał [...] Bank S.A. z siedzibą w [...] (dalej jako "Bank"):
1. zaprzestanie przetwarzania danych osobowych K. H., dotyczących umowy nr [...] z [...] sierpnia 2013 r., przetwarzanych na podstawie art. 105a ust. 3 Prawa bankowego w celu oceny zdolności kredytowej i analizy ryzyka kredytowego, w systemach własnych oraz w systemie Biura Informacji Kredytowej S.A., z siedzibą w [...],
2. zaprzestanie przetwarzania danych osobowych K. H., dotyczących umowy nr [...] z [...] sierpnia 2013 r., przetwarzanych bez podstawy prawnej w celu obrony przed ewentualnymi roszczeniami.
W uzasadnieniu decyzji organ wskazał, że do Prezesa UODO wpłynęła skarga K.H. (dalej także jako "strona" lub "wnioskodawczyni") na nieprawidłowości
w procesie przetwarzania jej danych osobowych przez Bank, polegające na przetwarzaniu jej danych osobowych dotyczących umowy nr [...] z [...] sierpnia 2013 r. bez podstawy prawnej oraz ich udostępnieniu na rzecz Biura Informacji Kredytowej S.A., zwanej dalej BIK.
W toku prowadzonego postępowania administracyjnego, Prezes UODO ustalił następujący stan faktyczny.
K. H. w treści skargi wskazała, że mimo ustania jej relacji z Bankiem po całkowitej spłacie zobowiązania Bank nadal przetwarza jej dane osobowe bez podstawy prawnej oraz udostępnia je w zewnętrznej bazie BIK mimo, iż wycofała ona swoją zgodę na jakiekolwiek działania. Bank nie spełnił wymagań uprawniających go do rozpoczęcia przetwarzania jej danych osobowych w bazie BIK w związku
z wierzytelnością wynikającą z umowy nr [...] z [...] sierpnia 2013 r., ponieważ Bank nie spełnił łącznie wszystkich warunków wynikających z art. 105a ust. 3 Prawa bankowego, tj. Bank nie dysponuje dowodami na potwierdzenie poinformowania strony o zamiarze przetwarzania jej danych osobowych w bazie BIK. W związku
z powyższym wnioskodawczyni wniosła o nakazanie usunięcia jej danych osobowych.
Bank wyjaśnił, że pozyskał dane osobowe strony w wyniku zawarcia umowy nr [...] z [...] sierpnia 2013 r. w zakresie: dane identyfikacyjne tj. imię
i nazwisko, nr PESEL, nr dowodu osobistego, adres zameldowania i korespondencyjny; nazwa zakładu pracy i wysokość osiąganych dochodów. Bank wskazał, że do BIK
w czasie trwania umowy nr [...] z [...] sierpnia 2013 r. przekazywane były cyklicznie dane: o aktualnej kwocie kredytu, stanie zadłużenia, zaległościach oraz dane osobowe (imię i nazwisko, PESEL, numer dowodu osobistego, adres zamieszkania). Bank wskazał ponadto, że aktualnie przetwarza dane osobowe strony na podstawie art. 6 ust. 1 lit. f RODO, w celu obrony przed ewentualnymi roszczeniami do czasu ich przedawnienia zgodnie z art. 118 ustawy z dnia 23 kwietnia 1964 Kodeks cywilny (Dz. U. z 2020 r. poz. 1740), zwanej dalej k.c. Dane osobowe wnioskodawczyni przetwarzane są również w BIK na podstawie art. 105a ust. 3 Prawa bankowego przez okres wskazany w ww. przepisie.
Bank wskazał, że przekazał do BIK informacje o zobowiązaniu wynikającym
z umowy stanowiące tajemnicę bankową oraz dane identyfikacyjne strony. Dane te mogą być przetwarzane przez BIK oraz udostępniane bankom i innym instytucjom ustawowo upoważnionym do udzielania kredytów oraz instytucjom kredytowym
w celach i zakresie określonym przepisami art. 105 ust. 4 i art. 105a Prawa Bankowego. Pierwszy wsad przekazania danych BIK w dniu [...]sierpnia 2013 r. Bank wyjaśnił, że przesłał stronie oświadczenie o wypowiedzeniu umowy w dniu [...] września 2015 r. listem poleconym. W oświadczeniu zawarta została informacja, że Bank po spełnieniu zobowiązania przez wnioskodawczynię uprawniony będzie do przetwarzania jego danych na podstawie art. 105a ust. 3 Prawa bankowego. Korespondencja została wysłana do strony na wskazany przez nią adres, a zgodnie z art. 61 k.c. oświadczenie woli, które ma być złożone innej osobie, jest złożone z chwilą, gdy doszło do niej w taki sposób, że mogła zapoznać się z jego treścią. Zgodnie w wyjaśnieniami Banku zwłoka w spełnieniu świadczenia wynikającego z przedmiotowej umowy przez stronę trwała powyżej 60 dni. Bank wyjaśnił, że pismem z [...] października 2021 r. strona zwracała się do Banku z żądaniem zaprzestania przetwarzania jej danych osobowych w bazie BIK.
Zgodnie z wyjaśnieniami BIK pozyskało dane osobowe strony od Banku na podstawie art. 105 ust. 4 i art. 105a ust. 1 Prawa bankowego oraz na podstawie łączącej Bank i BIK umowy. BIK wskazało, że przetwarza dane strony przekazane przez Bank w zakresie rachunku umowy kredytowej z [...] sierpnia 2013 r., wprowadzonej do zbioru danych BIK w dniu [...] września 2013 r. BIK również wyjaśniło, że przetwarza dane osobowe strony związane z przedmiotowym zobowiązaniem w celu oceny zdolności kredytowej i analizy ryzyka kredytowego na podstawie art. 105a ust. 3 Prawa bankowego ze względu na przekazanie przez Bank do BIK informacji
o spełnieniu warunków, o których mowa w tym przepisie dających podstawę do przetwarzania danych bez zgody wnioskodawczyni. BIK wskazało, że dane te będą przetwarzane w ww. celu przez okres 5 lat od dnia wygaśnięcia zobowiązania, zgodnie z art. 105a ust. 5 Prawa bankowego, a w przypadku przedmiotowego zobowiązania, jako datę wygaśnięcia zobowiązania Bank wskazał [...] marca 2019 r. BIK również wyjaśniło, że ani Bank nie zwracał się do BIK z wnioskiem o usunięcie danych strony, ani strona nie występowała z wnioskiem w tym zakresie.
Bank wyjaśnił, że pismo z informacją o zamiarze przetwarzania danych wnioskodawczyni na podstawie art. 105a ust. 3 Prawa bankowego wysłał listem poleconym w dniu [...] września 2015 r. i od tej daty Bank liczy upływ 30-dniowego terminu z dodaniem jeszcze 7 dni na doręczenie korespondencji do strony. Bank przedstawił dowód nadania przedmiotowej korespondencji. Bank podkreślił, że ustawodawca nie stworzył żadnych wymogów formalnych, co do sposobu i treści poinformowania klienta o zamiarze przetwarzania jego danych na podstawie art. 105a ust. 3 Prawa bankowego, jednakże sposób powinien umożliwić zweryfikowanie faktu poinformowania klienta o zamierzonym przetwarzaniu lub potwierdzenie, że klientowi umożliwiono zapoznanie się z taką informacją. Bank w treści złożonych wyjaśnień wskazał, że nie posiada umowy ze względu na jej sprzedaż w dniu [...] marca 2019 r. do Prokura Niestandaryzowanego Sekurytyzacyjnego Funduszu Inwestycyjnego Zamkniętego, zarządzanego przez [...] z siedzibą w [...]. Bank wskazał, że strona nie wystąpiła z roszczeniem względem Banku, a Bank nie wystąpił i nie zamierza wystąpić wobec wnioskodawczyni z żadnym roszczeniem.
Prezes UODO wskazał, że RODO, określa legalność przetwarzania danych osobowych. Każda z przesłanek z art. 6 ust. 1 RODO ma charakter autonomiczny
i niezależny, co oznacza, że spełnienie jednej z nich stanowi w danym przypadku
o zgodności z prawem przetwarzania danych osobowych. Podkreślił, że zgoda osoby, której dane dotyczą nie jest jedyną podstawą uprawniającą do przetwarzania jej danych osobowych (lit. a). Proces przetwarzania danych będzie zgodny z przepisami ustawy również wtedy, gdy administrator danych wykaże spełnienie choćby jednej przesłanki
z art. 6 ust. 1 RODO, w tym, gdy przetwarzanie jest niezbędne do celów wynikających
z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem (lit. f).
Co do zasady podstawą prawną przetwarzania danych osobowych klientów przez Bank w BIK może być obecnie art. 6 ust. 1 f RODO, gdy przetwarzanie to jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora. Przetwarzanie danych osobowych klientów Banku przez BIK odbywa się na podstawie zawartej z Bankiem umowy.
Wskazać należy, że BIK jest instytucją utworzoną na podstawie art. 105 ust. 4 Prawa bankowego, który stanowi, że banki mogą, wspólnie z bankowymi izbami gospodarczymi, utworzyć instytucje upoważnione do gromadzenia, przetwarzania
i udostępniania bankom informacji stanowiących tajemnicę bankową w zakresie,
w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli,
o których mowa w części trzeciej rozporządzenia nr 575/2013, innym instytucjom ustawowo upoważnionym do udzielania kredytów informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są niezbędne w związku z udzielaniem kredytów, pożyczek pieniężnych, gwarancji bankowych i poręczeń (pkt 2), instytucjom kredytowym informacji stanowiących tajemnicę bankową w zakresie niezbędnym do oceny zdolności kredytowej konsumenta, o której mowa wart. 9 ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim (pkt 3), instytucjom pożyczkowym i podmiotom,
o których mowa wart. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim na zasadzie wzajemności, informacji stanowiących odpowiednio tajemnice bankową oraz informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa
w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, w zakresie niezbędnym do oceny zdolności kredytowej konsumenta, o której mowa w art. 9 tej ustawy, i analizy ryzyka kredytowego (pkt 4).
Zgodnie z art. 105a ust. 1 Prawa bankowego, przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów, instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, a także instytucje utworzone na podstawie art. 105 ust. 4, informacji stanowiących tajemnicę bankową i informacji udostępnionych przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r.
o kredycie konsumenckim, w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem art. 104, 105 i art. 106 - 106d Prawa bankowego w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Zgodnie zaś z art. 105a ust. 3 Prawa bankowego banki, instytucje oraz podmioty, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową i informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa wart. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa wart. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank, inną instytucję ustawowo upoważnioną do udzielania kredytów, instytucję pożyczkową albo podmiot, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, o zamiarze przetwarzania dotyczących jej tych informacji, bez jej zgody.
Zdaniem organu, choć zobowiązanie strony wynikające z umowy nr [...] z [...] sierpnia 2013 r. wobec Banku wygasło, to jak wynika ze zgromadzonego materiału dowodowego, odnośnie spłaty zadłużenia wnioskodawczyni dopuściła się zwłoki trwającej dłużej niż 60 dni w przypadku ww. zobowiązania. Istotnym jednakże w niniejszej sprawie jest to, że Bank nie spełnił wobec niej obowiązku określonego wart. 105a pkt 3 Prawa bankowego, tj. nie poinformował jej skutecznie o zamiarze przetwarzania dotyczących jej informacji stanowiących tajemnicę bankową, bez jej zgody po wygaśnięciu zobowiązania wynikającego z przedmiotowej umowy. Stwierdzić zatem należy, że sam fakt, iż strona nie wykonała zobowiązania lub spóźniła się z jego wykonaniem co najmniej 60 dni, nie upoważnia Banku do przetwarzania jej danych na warunkach określonych w art. 105a ust. 3 Prawa bankowego. Moment, od którego należy liczyć sześćdziesięciodniowy termin, w którym osoba, której informacje dotyczą dopuszcza się zwłoki w wykonaniu zobowiązania, to termin wykonania zobowiązania. Dopiero po upływie 60 dni zaczyna biec termin 30 dni, w którym instytucja oczekuje jeszcze na wykonanie zobowiązania klienta. Termin 30 dni biegnie od momentu, w którym osoba, której informacje dotyczą zostanie skutecznie poinformowana przez instytucję o zamiarze przetwarzania. Ostatecznie to bezskuteczny upływ 30 dni od momentu poinformowania stanowi wypełnienie przesłanek z art. 105a ust. 3 Prawa bankowego. Z powyższego wynika zatem, że Bank przetwarzając dane strony na warunkach określonych w ww. przepisie, musi wykazać, że wnioskodawczyni została poinformowana o zamiarze przetwarzania ich bez jej zgody. W niniejszej sprawie strona podniosła natomiast, że okoliczności wskazywane w art. 105a ust. 3 Prawa bankowego nie zostały spełnione w związku z czym Bank nie jest uprawniony do przetwarzania jej danych osobowych w BIK. Bank podniósł natomiast, że ww. przesłanki, w tym poinformowanie strony o okolicznościach wskazanych w art. 105a ust. 3 Prawa bankowego zostały spełnione wskazując, że ustawodawca nie stworzył żadnych wymogów formalnych, co do sposobu i treści poinformowania klienta
o zamiarze przetwarzania jego danych na podstawie art. 105a ust. 3 Prawa bankowego, jednakże sposób powinien umożliwić zweryfikowanie faktu poinformowania klienta
o zamierzonym przetwarzaniu lub potwierdzenie, że klientowi umożliwiono zapoznanie się z taką informacją. Podkreślenia wymaga, że brak jest innych dowodów wskazujących na prawidłowe i skuteczne poinformowanie strony o treści 105a ust. 3 Prawa bankowego niż oświadczenie Banku, pozostającego w sprzeczności
z twierdzeniami wnioskodawczyni.
Prezes UODO wskazał, że podziela stanowisko wyrażone w wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z 18 stycznia 2022 r. w sprawie o sygn. II SA/Wa 3584/21, zgodnie z którym poinformowanie adresata oświadczenia winno, z uwagi na wspomniany powyżej dodatkowy trzydziestodniowy termin na wykonanie zobowiązania, nastąpić w ten sposób, by można było ustalić początek biegu tego terminu. Dopiero bowiem bezskuteczny upływ owego trzydziestodniowego dodatkowego terminu upoważnia Bank do przetwarzania danych osobowych w oparciu o przepis art. 105a ust. 3 Prawa bankowego. Nadanie powiadomienia, o którym mowa w art. 105a ust. 3 Prawa bankowego, listem poleconym nie pozwala - w okolicznościach niniejszej sprawy - na ustalenie początku biegu wskazanego terminu. Skoro to Bank wywodzi skutki prawne z powiadomienia strony o zamiarze przetwarzania jej danych osobowych stanowiących tajemnicę bankową bez jej zgody, to musi wykazać, że bezskutecznie upłynęło 30 dni od daty poinformowania strony o tym zamiarze. Wykazanie tej okoliczności wymaga jednak - co oczywiste - wykazania początku biegu owego trzydziestodniowego terminu.
Organ wskazał, że Bank nie przedstawił dowodu na prawidłowe doręczenie stronie dokumentu, w treści, którego zawarta była informacja o okolicznościach wskazanych w art. 105a ust. 3 Prawa bankowego, zatem okoliczność skutecznego poinformowania wnioskodawczyni o treści art. 105a ust. 3 Prawa bankowego nie może zostać uznana za udowodnioną. Podkreślił, że sporządzenie i wysłanie ww. pisma, nie jest równoznaczne z udowodnieniem jego prawidłowego doręczenia, skutkującego poinformowaniem strony o zamiarze przetwarzania danych stanowiących tajemnicę bankową, bez jej zgody na podstawie art. 105a ust. 3 Prawa bankowego. Samo bowiem oświadczenie o wysłaniu korespondencji i przedstawienie jej kopii nie stanowi dowodu na jej dostarczenie lub poinformowanie o jej treści adresata. W tym miejscu należy wskazać, że przepisy powszechnie obowiązujące nie formułują obowiązku wysłania informacji, o której mowa w art. 105a ust. 3 Prawa bankowego w szczególnej formie. To do podmiotu informującego należy zatem wybór formy przekazania odbiorcy komunikatu, o zamiarze przetwarzania danych osobowych bez jego zgody. Jednocześnie to podmiot informujący wywodzi z powyższego skutki prawne, zatem to on musi wykazać, że poinformował stronę o zamiarze przetwarzania danych stanowiących tajemnicę bankową, bez jej zgody na podstawie art. 105a ust. 3 Prawa bankowego.
Prezes UODO podniósł, że w sprawie nie zostały spełnione przesłanki z art. 105a ust 3 Prawa bankowego, zgodnie z którym Bank może przetwarzać informacje stanowiące tajemnicę bankową dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy bez ich zgody w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Organ nie stwierdził okoliczności uprawniających Bank do przetwarzania danych osobowych strony w oparciu o ww. podstawę prawną
w powyższym celu, zarówno w systemach Banku jak i w systemie BIK. W ocenie organu odnośnie powyższego procesu przetwarzania, Bank nie legitymuje obecnie żadną przesłanką legalizującą ten proces, spośród określonych w art. 6 ust. 1 RODO.
Prezes UODO wskazał, że zebrany w niniejszym postępowaniu materiał dowodowy nie wykazał, aby strona wystąpiła z jakimkolwiek roszczeniem wobec Banku, które uzasadniałoby uprawnienie Banku do zachowania i przetwarzania jej danych osobowych dla celów dowodowych w związku z dochodzeniem przez wnioskodawczynię tego roszczenia. W ocenie organu, brak jest zatem spełnienia wskazywanej przez Bank przesłanki niezbędności do celów wynikających z prawnie usprawiedliwionych interesów realizowanych przez administratora odnośnie przetwarzania danych osobowych strony. Przesłanka z art. 6 ust 1 lit. f RODO dotyczy sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia, potrzeba dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem. W związku
z tym, że przeprowadzone przez Prezesa UODO postępowanie administracyjne nie wykazało, aby strona skierowała wobec Banku jakiekolwiek roszczenie, należy stwierdzić, iż Bank przetwarza jej dane osobowe w ww. celu wyłącznie "na zapas", aby zabezpieczyć się przed ewentualnym przyszłymi i niepewnymi roszczeniami wnioskodawczyni. Prezes UODO podzielił w tym zakresie stanowisko Wojewódzkiego Sądu Administracyjnego w Warszawie zawarte w wyroku z dnia 11 stycznia 2017 r.
w sprawie o sygn. akt II SA/Wa 1574/16, odnoszące się do analogicznej do art. 6 ust. 1 lit. f RODO przesłanki wynikającej z art. 23 ust. 1 pkt 5 ustawy z dnia 29 sierpnia 1997 r.
o ochronie danych osobowych (Dz. U. 2016 r. poz. 922 ze zm.), dotyczącej dopuszczalności przetwarzania danych osobowych niezbędnego dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, gdy przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą.
Z uwagi na to, że Bank nie wskazał roszczenia, którego zaspokojenia domaga się od strony, jak również brak jest sporu toczącego się między wnioskodawczynią
a Bankiem dotyczącego stosunku zobowiązaniowego, w ocenie Prezesa UODO brak jest celu uzasadniającego przetwarzanie ww. danych osobowych strony, który stanowiłby prawnie usprawiedliwiony cel administratora w rozumieniu art. 6 ust. 1 lit. f RODO, o charakterze nadrzędnym wobec interesów lub podstawowych praw i wolności wnioskodawczyni. Bank sprzedał wierzytelność wynikającą z umowy nr [...] z [...] sierpnia 2013 r., więc ze względu na tę okoliczność nie ma podstaw by uznać, że przetwarzanie danych osobowych strony odbywa się w celu dochodzenia od niej istniejących roszczeń. Ponadto dla ww. procesu przetwarzania danych osobowych strony Bank nie wykazał istnienia jakiejkolwiek innej spośród przesłanek legalizujących, określonych w art. 6 ust. 1 RODO. Wobec powyższego, kontynuowanie do chwili obecnej przetwarzania danych osobowych wnioskodawczyni w celu obrony przed ewentualnymi, przyszłymi i niepewnymi roszczeniami, należy uznać za zbędne
i niezgodne z obowiązującymi przepisami o ochronie danych osobowych.
Pismem z [...] października 2022 r. Bank wniósł do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na ww. decyzję Prezesa UODO z [...] września 2022 r. Zaskarżonej decyzji skarżący zarzucił naruszenie:
1) przepisów postępowania, mające istotny wpływ na wynik sprawy, tj. art. 6, art. 7, art. 8 § 1 i 2, art. 77 § 1, art. 80 oraz art. 107 § 3 Kpa w zw. z art. 7 ust. 1 UODO, polegające na niezastosowaniu zasad ogólnych postępowania administracyjnego: praworządności, prawdy obiektywnej i pogłębiania zaufania do władzy publicznej oraz przekroczeniu granic swobodnej oceny dowodów, a w konsekwencji błędnym przyjęciu, że potwierdzenie nadania pisma listem poleconym nie stanowi dowodu poinformowania wnioskodawczyni o zamiarze przetwarzania jej danych osobowych bez jej zgody,
w oparciu o w art. 105a ust. 3 Prawa bankowego, podczas gdy jest to dokument mający moc dokumentu urzędowego, stanowiący dostateczny dowód przekazania informacji zgodnie z wymogami art. 105a ust. 3 ww. ustawy;
2) przepisów prawa materialnego, które miało wpływ na wynik sprawy, tj. art. 6 ust. 1 lit. f RODO w związku z art. 105a ust. 3 Prawa bankowego - poprzez jego błędną wykładnię, skutkującą przyjęciem, że przetwarzanie danych osobowych strony przez okres przedawnienia roszczeń Banku wobec wnioskodawczyni, nie stanowi prawnie uzasadnionego interesu administratora, podczas gdy prawidłowa interpretacja tego przepisu prowadzi do wniosku, iż takie przetwarzanie jest dopuszczalne przez okres przedawnienia roszczeń wynikający z art. 118 k.c. w zakresie uzasadnionym celem takiego przetwarzania:
3) przepisów prawa materialnego, które miało wpływ na wynik sprawy, tj. art. 105a ust. 3 Prawa bankowego, poprzez jego błędną wykładnię, skutkującą przyjęciem, że wykonanie obowiązku informacyjnego, o którym mowa w powołanym przepisie, polega na skutecznym doręczeniu osobie fizycznej, po wygaśnięciu jej zobowiązania wynikającego z umowy zawartej z bankiem, informacji o zamiarze przetwarzania jej danych osobowych bez jej zgody, podczas gdy prawidłowa interpretacja tego przepisu prowadzi do wniosku, że "poinformowanie" oznacza rzeczywiste umożliwienie zapoznania się z treścią wyżej wymienionej informacji.
Mając na uwadze powyższe zarzuty, skarżący wniósł o uchylenie decyzji Prezesa UODO w całości; zasądzenie od organu na rzecz strony skarżącej kosztów postępowania, w tym kosztów zastępstwa prawnego, według norm przepisanych.
W uzasadnieniu skargi, jej autor wskazał, że Prezes UODO błędnie ocenił fakt wysłania do wnioskodawczyni informacji o zamiarze przetwarzania jej danych osobowych na podstawie art. 105a ust. 3 Prawa bankowego listami poleconymi. Nie można zgodzić się ze stwierdzeniem wyrażonym w uzasadnieniu zaskarżonej decyzji jakoby brak było innych dowodów na okoliczność poinformowania strony o treści art. 105a ust. 3 Prawa bankowego niż oświadczenie Banku. Bank przedstawił dowód
w postaci oświadczenia o wypowiedzeniu umowy wraz z potwierdzeniem nadania tego pisma listem poleconym (odpis z pocztowej książki nadawczej), mającym moc dokumentu urzędowego. Przesyłka polecona zaadresowana na stronę nie została zwrócona, a zatem przyjąć należy, że została prawidłowo doręczona adresatowi. Skarżący powołał się przy tym na stanowisko Sądu Najwyższego wyrażone w wyroku
z 17 marca 2010 r., II CSK 454/09 (LEX nr 607178), zgodnie z którym, "jeżeli nadawca przesyłki rejestrowanej uiścił opłatę, otrzymał potwierdzenie nadania, a operator nie zwrócił mu tej przesyłki, można domniemywać, że została doręczona adresatowi.
W związku z tym należy uznać, że dowód nadania przesyłki rejestrowanej stanowi domniemanie doręczenia jej adresatowi, który może je obalić, wykazując, że nie miał możliwości zapoznania się z jej treścią. Należy zwrócić uwagę, że regułą jest, iż przesyłki pocztowe, zwłaszcza rejestrowane, są doręczane. Brak doręczenia zwykle powodują szczególne okoliczności, np. niedostatki w obsłudze pocztowej, błędne zaadresowanie przesyłki, znana nadawcy nieobecność adresata w miejscu zamieszkania itp. Wykazanie istnienia takich okoliczności wystarczy do podważenia wiarygodności omawianego dowodu prima facie."
Skarżący wskazał, że Bank wysłał zawiadomienie dotyczące wypowiedzenia zawartej z wnioskodawczynią umowy listem poleconym z informacją wymaganą art. 105a ust. 3 Prawa bankowego na adres strony wskazany w umowie z Bankiem,
a jednocześnie wnioskodawczyni nigdy nie poinformowała Banku o zmianach tego adresu i nie zakwestionowała skuteczności doręczania korespondencji na ten adres wysyłanej. Wysłana do strony korespondencja polecona, w której znajdowała się informacja o przetwarzaniu danych osobowych zgodnie z art. 105a ust. 3 Prawa bankowego nigdy nie została zwrócona. W świetle art. 17 ustawy z dnia z dnia 23 listopada 2012 r. - Prawo pocztowe (t. j. Dz.U. z 2020 r. poz. 1041, dalej jako "Prawo Pocztowe"), przyjąć należy, że Bank dysponuje dowodem przekazania stronie informacji o zamiarze przetwarzania jej danych osobowych i dowód ten przedstawił organowi w toku postępowania. Podkreślenia wymaga, że potwierdzenie nadania przesyłki rejestrowanej wydane przez placówkę pocztową operatora wyznaczonego ma moc dokumentu urzędowego, zatem przedłożony przez Bank dowód w postaci odpisu
z pocztowej książki nadawczej jednoznacznie wskazuje na spełnienie przez Bank obowiązku informacyjnego, o którym mowa w art. 105a ust. 3 Prawa bankowego. Przyznanie potwierdzeniu nadania przesyłki rejestrowej wydanemu przez operatora wyznaczonego mocy prawnej dokumentu urzędowego rozpatrywać należy przez pryzmat art. 76 § 1 Kpa, który stanowi, że dokumenty urzędowe sporządzone
w przepisanej formie przez powołane do tego organy państwowe w ich zakresie działania, stanowią dowód tego, co zostało w nich urzędowo stwierdzone. Wprawdzie potwierdzenie nadania przesyłki poleconej nie jest dokumentem urzędowym, a jedynie ma "moc dokumentu urzędowego", jednak na zasadzie analogii do dokumentu tego należy stosować domniemania odnoszące się do dokumentów urzędowych, tj. domniemanie zgodności z prawdą oświadczenia uprawnionego podmiotu. Wobec tego, jeśli strona kwestionuje skuteczność doręczenia jej przesyłek poleconych z Banku, powinna powołać dowody na te okoliczność, gdyż art. 76 § 3 Kpa umożliwia przeprowadzenie dowodu przeciwko treści dokumentu, o którym mowa w art. 76 § 1 Kpa. Mając to na uwadze, uzasadniony jest zarzut naruszenia przez organ przepisów postępowania administracyjnego mającego istotny wpływ na wynik sprawy, tj. art. 6, art. 7, art. 8 § 1 i 2, art. 77 § 1, art. 107 § 3 Kpa, w szczególności zaś art. 80 Kpa, bowiem swobodna ocena dowodów powinna opierać się na materiale dowodowym zebranym przez organ oraz wszechstronnej ocenie całokształtu materiału dowodowego. Organ powinien przy tym dokonać oceny znaczenia i wartości dowodów dla toczącej się sprawy, z zastrzeżeniem ograniczeń dotyczących dokumentów urzędowych, które mają, na podstawie art. 76 § 1 Kpa, szczególną moc dowodową, a rozumowanie, w wyniku którego organ ustala istnienie okoliczności faktycznych powinno być zgodne
z prawidłami logiki. Naruszenie wymienionych reguł, a także norm procesowych odnoszących się do środków dowodowych, stanowi przekroczenie granic swobodnej oceny dowodów. W konsekwencji powyższego należy wskazać, że organ nieprawidłowo ustalił, że Bank przetwarzał dane osobowe strony w sposób sprzeczny
z wymogami przewidzianymi w art. 105a ust. 3 Prawa bankowego. Uznając bowiem za prawidłowe poinformowanie strony o przetwarzaniu jej danych osobowych, trzeba dojść do wniosku, że Bank oraz BIK mogą dane te przetwarzać na podstawie ww. przepisu.
Skarżący wskazał, że w niniejszej sprawie sporna jest jedynie przesłanka poinformowania wnioskodawczyni przez Bank o zamiarze przetwarzania dotyczących jej danych, bez jej zgody. Analiza treści art. 105a ust. 3 Prawa bankowego prowadzi do wniosku, że trzydziestodniowy termin, po upływie którego jest możliwe przetwarzanie danych osobowych osoby, która dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, bez jej zgody, biegnie od momentu, gdy osoba ta została poinformowana przez bank o takim zamiarze. Podkreślić przy tym należy, że ustawodawca nie określił żadnych szczególnych wymogów formalnych, co do sposobu i treści takiego poinformowania. Nie ulega wątpliwości, że w każdym wypadku sposób ten powinien dawać sposobność potwierdzenia, że adresatowi umożliwiono zapoznanie się z informacją. Wykładnia językowa przesłanek wskazanych w ww. przepisie, a w szczególności słowa "poinformować", jednoznacznie wskazuje, że "poinformowanie" należy rozumieć jako rzeczywiste umożliwienie zaznajomienia się informacją osobie, do której jest ona kierowana. Prawidłowość poglądu strony skarżącej co do wykładni tego przepisu potwierdza także stanowisko Wojewódzkiego Sądu Administracyjnego w Warszawie, wyrażone m.in. w wyrokach z 11 grudnia 2017 r., sygn. akt II SA/Wa 324/17 oraz z 10 marca 2020 r., sygn. akt II SA/Wa 2037/19. Dokonując analizy art. 105a ust. 3 Prawa bankowego nie można abstrahować od celu wprowadzenia uregulowanej tam możliwości przetwarzania danych bez zgody samego dłużnika. Omawiany przepis ma umożliwić przekazywanie przez m.in. banki, danych nierzetelnych dłużników, tj. osób, które pomimo zaciągnięcia określonego zobowiązania wobec banku, nie wywiązują się z umowy i nie spłacają swojego zobowiązania przez okres dłuższy niż 60 dni, do BIK. Celem tego przepisu nie jest więc ochrona nierzetelnego dłużnika, a ochrona sektora bankowego, a tym samym uczciwych kredytobiorców, przed zaciąganiem kredytów lub pożyczek przez osoby, które swoich zobowiązań nie regulują lub regulują je ze znacznym opóźnieniem. Przyjęcie wykładni art. 105a ust. 3 Prawa bankowego zaproponowanej przez organ prowadziłoby do istotnych nadużyć po stronie nierzetelnych dłużników i wypaczałoby sens regulacji, dając osobom niewywiązującym się ze swoich zobowiązań możliwość unikania ujawnienia informacji o nich w BIK poprzez proste uchylanie się od odbioru korespondencji. Dłużnicy tacy mogliby każdorazowo zarzucać, że nie mogli zapoznać się z treścią pisma, jeśli zwrotne potwierdzenie odbioru nie zostałoby podpisane przez daną osobę osobiście. Wykładnia przyjęta przez Prezesa UODO jest błędna także i z tego powodu, że gdyby przyjąć ją za słuszną, w analogiczny sposób należałoby oczekiwać od każdego wierzyciela, że będzie wysyłał dłużnikowi wezwanie do zapłaty za potwierdzeniem osobistego odbioru lub doręczał do rąk własnych dłużnika. Miałoby to ten skutek, że nierzetelny dłużnik starający się uniemożliwić skuteczne dochodzenie roszczeń, uchylałby się od odebrania przesyłek, co utrudniłoby w istotnym stopniu proces windykacji i dawało niezasadne przywileje osobom niewywiązującym się ze swoich zobowiązań. W przedmiotowej sprawie informacja została wysłana stronie razem z oświadczeniem o wypowiedzeniu umowy. Wnioskodawczyni nigdy nie zakwestionowała skuteczności wypowiedzenia umowy, choć przecież brak doręczenia oświadczenia o nim, w teorii mógłby pozbawić wypowiedzenia skuteczności. Wykładnia przyjęta przez organ prowadziłaby do wniosku, że także każde wypowiedzenie umowy powinno być wysyłane za potwierdzeniem odbioru lub doręczane do rąk własnych drugiej strony. Stoi to w jawnej sprzeczności
z przepisami dotyczącymi oświadczeń woli, w szczególności z art. 61 § 1 k.c.
Dalej skarżący wskazał, że zgodnie z § 3 Rozporządzeniem Ministra Administracji i Cyfryzacji z dnia 29 kwietnia 2013 r. w sprawie warunków wykonywania usług powszechnych przez operatora wyznaczonego (t.j. Dz. U. z 2020 r. poz. 1026), przesyłki powinny być dostarczane z zachowaniem wskaźników czasu przebiegu przesyłek pocztowych w obrocie krajowym. Zgodnie z załącznikiem nr 1 do rozporządzenia, najdłuższy czas przebiegu przesyłek pocztowych w obrocie krajowym wynosi D+5, gdzie D oznacza dzień zawarcia umowy, a 5 oznacza liczbę dni, które upłynęły od dnia nadania do dnia doręczenia przesyłki pocztowej. Jak wskazuje Poczta Polska na swojej stronie dla listów poleconych priorytetowych termin doręczenia wynosi D+1 dzień roboczy, natomiast dla listu poleconego ekonomicznego jest to D+3 dni robocze (zob. https ://www.poczta- polska.pl/biznes/korespondencja/listy-polecone/). Kwestię doręczenia przesyłki poleconej i jej zwrotu w niniejszej sprawie reguluje szczegółowo Regulamin świadczenia usług powszechnych obowiązujący od dnia 19 sierpnia 2014 r. do 1 listopada 2016 r. (dalej jako: Regulamin) oraz przepisy Prawa Pocztowego. Przepis art. 3 pkt. 22 Prawa Pocztowego definiuje przesyłkę pocztową jako przesyłkę listową będącą przesyłką rejestrowaną, przemieszczaną i doręczaną
w sposób zabezpieczający ją przed utratą, ubytkiem zawartości lub uszkodzeniem. Zasady odbioru przesyłek poleconych jako przesyłek rejestrowanych określa § 23 ust. 2 Regulaminu, który wymaga spełnienia czterech elementów. Spośród nich najistotniejszymi są: ustalenie osoby uprawnionej do odbioru oraz sprawdzenie tożsamości odbiorcy, jeżeli nie jest znany doręczającemu osobiście. Jeżeli natomiast takiej osoby nie ma pod adresem wskazanym na przesyłce, doręczający pozostawia adresatowi zawiadomienie o próbie doręczenia wraz ze wskazanym adresem placówki odbiorczej i terminem odbioru przesyłki lub o takiej możliwości informuje się adresata elektronicznie w formie SMS lub e-mail (§ 24 ust. 1 Regulaminu). Jeżeli adresat nie zgłosi się w ten sposób po przesyłkę, zawiadamia się go powtórnie (§ 26 ust. 1 Regulaminu). Dopiero jeżeli adresat lub inna uprawniona osoba nie zgłosi się po odbiór przesyłki rejestrowanej w terminie 14 dni, licząc od dnia następnego po pozostawieniu pierwszego zawiadomienia, następuje zwrot przesyłki do nadawcy (§ 26 ust. 2 Regulaminu). Należy zwrócić uwagę, że sam zwrot przesyłki pocztowej do nadawcy także wymaga określonego czasu. Ponadto sama przyczyna zwrotu może być różna jak choćby nieodebranie w terminie i informacje o tym, że adresat się z danego mieszkania wyprowadził. W ten sposób możliwe staje się określenie, w którym najpóźniejszym terminie strona mogła zapoznać się z informacją wymaganą przez art. 105a ust. 3 Prawa bankowego. Na wspomniany termin składałoby się po pierwsze 7 dni na doręczenie przesyłki przez Pocztę Polską. Termin taki byłby uzasadniony opóźnieniami występującymi w praktyce działalności Poczty Polskiej. Kolejno należałoby doliczyć do niego 14 dni wynikających z terminów awizowania przesyłki. Dopiero zatem po upływie tego terminu mógłby rozpocząć bieg 30-dniowy termin określony w art. 105a ust. 3 Prawa bankowego. Dniem od którego należałoby liczyć bieg terminu 30 dni będzie zatem dwudziesty drugi dzień od nadania przesyłki, czyli 1 października 2015 r. Trzydziestodniowy termin upłynął zatem 1 listopada 2015 r. Tymczasem tzw. sankcyjne przetwarzanie danych wnioskodawczyni rozpoczęło się dopiero w dniu 22 marca 2019 r. Pomiędzy obydwiema datami upłynęły aż 1237 dni. Nie ma zatem wątpliwości co do tego, że wymagania dla przetwarzania danych z art. 105a ust. 3 Prawa bankowego zostały dochowane, ponieważ pomiędzy najpóźniejszym momentem, w którym strona mogła zapoznać się z wymaganą informacją, a rozpoczęciem przetwarzania jej danych bez jej zgody, upłynęło więcej niż 30 dni.
W świetle powyższego nie może budzić wątpliwości, że organ w sposób nieprawidłowy dokonał interpretacji ww. przepisu, co w konsekwencji doprowadziło do błędnego przyjęcia w niniejszej sprawie, że strona skarżąca nie miała podstaw do przetwarzania danych osobowych wnioskodawczyni bez jej zgody. Nie można także zgodzić się z decyzją organu w zakresie, w którym nakazuje usunięcie danych strony przetwarzanych w celu obrony przed ewentualnymi roszczeniami. Bank niewątpliwie posiada podstawę prawną przetwarzania danych osobowych wnioskodawczyni w BIK
w oparciu o art. 6 ust. 1 lit. f RODO w związku z regulacją z art. 105a ust. 3 Prawa bankowego, ale także w związku z art. 118 k.c. przez okres przedawnienia roszczeń Banku wobec strony. Nie ulega wątpliwości, że Bank ma interes prawny w rozumieniu RODO, do przetwarzania (wyłącznie poprzez ich przechowywanie) danych osobowych strony w celu obrony przed roszczeniami wnioskodawczyni, które mogą być skutecznie dochodzone przez okres przedawnienia roszczeń wynikający z k.c. Bank podnosi, że
w okresie, kiedy każda ze stron stosunku zobowiązaniowego może wystąpić do sądu
z roszczeniami wynikającymi z tego stosunku, czyli przez określony odrębnymi przepisami okres przedawnienia roszczeń o charakterze majątkowym, istnieje prawnie uzasadniony interes administratora danych do ich przetwarzania, z zastrzeżeniem, że przetwarzanie to odbywa się w sposób ograniczony wyłącznie do celu, jakim jest cel dowodowy w ewentualnym postępowaniu sądowym, a zatem co do zasady przetwarzanie to polega na przechowywaniu danych. Przyjęcie odmiennego stanowiska, tzn. uznanie, że przesłanka z art. 6 ust. 1 lit. f RODO dotyczy wyłącznie sytuacji sporu już istniejącego, gdy celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia określonych okoliczności w zawisłym już sporze, prowadziłoby do wniosku, że administrator, niezwłocznie po wykonaniu umowy (spełnieniu świadczenia wynikającego z danego stosunku prawnego), powinien usuwać dane osobowe. Takie podejście nie bierze w ogóle pod uwagę m.in. terminów rękojmi (które wynikają z ustawy, podobnie jak terminy przedawnienia) oraz faktu, że w obrocie gospodarczym administrator musi liczyć się z tym, że przez okres przedawnienia roszczeń jego kontrahent może zgłosić roszczenia wynikające np. z wad fizycznych lub prawnych przedmiotu świadczenia lub nienależytego wykonania zobowiązania, gdy skutki tego nienależytego wykonania ujawnią się dopiero po jakimś czasie od "zakończenia" umowy. Nie można zatem zgodzić się z Prezesem UODO, że możliwość powołania się na art. 6 ust. 1 lit. f RODO jako podstawę przetwarzania danych osobowych strony, aktualizuje się jedynie
w sytuacji, kiedy wnioskodawczyni podnosi już roszczenie przeciwko Bankowi. Co więcej należy podkreślić, że cały czas istnieje możliwość podniesienia roszczeń wobec Banku, co uprawdopodabnia fakt samego wszczęcia postępowania przed organem przez stronę postępowania, która uważa, że jej dane osobowe są nieprawidłowo przetwarzane przez Bank. Ryzyko zgłoszenia roszczeń przez wnioskodawczynię wobec Banku rzeczywiście zatem istnieje. Nie może być zatem mowy o istnieniu jedynie "hipotetycznego" uzasadnionego interesu administratora. Nie jest to w żadnym wypadku przetwarzanie na zapas.
W odpowiedzi na skargę organ wniósł o jej oddalenie oraz podtrzymał twierdzenia zawarte w uzasadnieniu przedmiotowej decyzji. W szczegółowy sposób odniósł się do zarzutów skargi uznając je za niezasadne.
W piśmie procesowym z [...] stycznia 2023 r. Bank podtrzymał w całości swoją dotychczasową argumentację w sprawie.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:
Stosownie do art. 1 § 2 ustawy z dnia 25 lipca 2002 r. Prawo o ustroju sądów administracyjnych (t.j. Dz. U. z 2021 r. poz. 137) w zw. z art. 3 § 1 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz. U.
z 2023 r. poz. 259, dalej "p.p.s.a."), sądy administracyjne sprawują kontrolę działalności administracji publicznej, stosując środki określone w ustawie. Kontrola sądu polega na zbadaniu, czy przy wydawaniu zaskarżonego aktu nie doszło do rażącego naruszenia prawa dającego podstawę do stwierdzenia jego nieważności, naruszenia prawa dającego podstawę do wznowienia postępowania, naruszenia prawa materialnego
w stopniu mającym wpływ na wynik sprawy oraz naruszenia przepisów postępowania administracyjnego w stopniu mogącym mieć istotny wpływ na wynik sprawy. Sąd nie jest przy tym związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną, zgodnie z dyspozycją art. 134 § 1 p.p.s.a. Sąd nie rozstrzyga sprawy administracyjnej merytorycznie, lecz ocenia zgodność aktu z przepisami prawa.
Przedmiotem kontroli Sądu jest decyzja Prezesa UODO z [...] września 2022 r. nakazująca Bankowi zaprzestanie przetwarzania danych osobowych wnioskodawczyni.
W pierwszej kolejności wyjaśnić należy, że przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów oraz instytucje utworzone na podstawie art. 105 ust. 4 Prawa bankowego, informacji stanowiących tajemnicę bankową w zakresie dotyczącym osób fizycznych może być wykonywane,
z zastrzeżeniem art. 104, art. 105 i art. 106-106c tej ustawy, w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Wspomniane instytucje mogą,
z zastrzeżeniami wyraźnie ustalonymi w Prawie bankowym, przetwarzać informacje stanowiące tajemnicę bankową w zakresie dotyczącym osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, pod warunkiem uzyskania pisemnej zgody osoby, której informacje te dotyczą. Zgoda ta może być w każdym czasie odwołana.
Dopuszczalność przetwarzania informacji stanowiących tajemnicę bankową przez instytucje utworzone na podstawie art. 105 ust. 4 Prawa bankowego po wygaśnięciu zobowiązania wynikającego z umowy, bez zgody osoby, której informacje takie dotyczą, wprowadziła regulacja zawarta w art. 105a ust. 3 Prawa bankowego. Zgodnie z tym przepisem banki, instytucje ustawowo upoważnione do udzielania kredytów oraz instytucje utworzone na podstawie art. 105 ust. 4 Prawa bankowego mogą przetwarzać informacje stanowiące tajemnicę bankową, dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank lub inną instytucję ustawowo upoważnioną do udzielania kredytów o zamiarze przetwarzania dotyczących jej informacji stanowiących tajemnicę bankową, bez jej zgody.
Należy podkreślić, że jeśli w okresie 30 dni od powiadomienia o zamiarze przetwarzania informacji jego dotyczących bez zgody po wygaśnięciu zobowiązania klient spłacił całą zaległość wobec banku, to po upływie 30 dnia bank i inna instytucja upoważniona do udzielania kredytów oraz instytucja z art. 105 ust. 4 Prawa bankowego nie mogą przetwarzać informacji bez jego zgody. Termin trzydziestodniowy został bowiem wprowadzony w celu zapewnienia konsumentowi ostatecznej możliwości wywiązania się z zobowiązań wobec banku i uniknięcia tym samym sankcji w postaci przetwarzania o nim informacji jako o niesolidnym dłużniku przez okres 5 lat.
Przechodząc do analizy przepisu art. 105a ust. 3 Prawa bankowego, należy wyraźnie podkreślić, że ustawodawca nie stworzył żadnych szczególnych wymogów formalnych, co do sposobu i treści poinformowania klienta lub byłego klienta banku o zamiarze przetwarzania jego danych. Nie oznacza to jednak całkowitej dowolności w tym zakresie. Jakkolwiek ustawodawca w żaden sposób nie ograniczył sposobów i form takiego powiadomienia, jednakże w każdym wypadku sposób ten powinien umożliwić zweryfikowanie faktu poinformowania klienta banku o zamierzonym przetwarzaniu jego danych osobowych lub też przynajmniej potwierdzenie, że klientowi umożliwiono zapoznanie się z taką informacją (por. wyrok NSA z dnia 27 sierpnia 2019 r., I OSK 2514/17, dostępny w CBOSA).
Zdaniem Sądu, prawidłowa wykładnia zawartego w art. 105a ust. 3 Prawa bankowego zwrotu "poinformowania tej osoby" winna uwzględnić nie tylko treść normy zawartej w art. 61 § 1 k.c., ale także tę część normy zawartej w art. 105a ust. 3 Prawa bankowego, która ustanawia dodatkowy trzydziestodniowy termin na wykonanie zobowiązania. W literaturze przedmiotu podkreśla się bowiem, iż sam fakt, że klient nie wykonał zobowiązania lub spóźnił się z jego wykonaniem co najmniej 60 dni, nie upoważnia instytucji do przetwarzania jego danych. Musi bowiem zostać poinformowany o możliwości przetwarzania jego danych bez uzyskania od niego zgody. Dopiero bezskuteczny upływ 30 dni od momentu poinformowania stanowi wypełnienie przesłanek z art. 105a ust. 3. W przypadku, gdy konsument spełni świadczenie
w czasie tych 30 dni, instytucje tracą prawo do przetwarzania informacji bez jego uprzedniej zgody. Moment, od którego należy liczyć sześćdziesięciodniowy termin,
w którym konsument dopuszcza się zwłoki w wykonaniu zobowiązania, to termin wykonania zobowiązania. Dopiero po upływie 60 dni zaczyna biec trzydziestodniowy termin, w którym instytucja jeszcze oczekuje na wykonanie zobowiązania klienta. Termin trzydziestodniowy nie biegnie jednak ex lege, a dopiero od momentu, w którym konsument zostanie poinformowany o zamiarze przetwarzania. Termin ten liczy się nie od momentu wysłania informacji, ale od chwili, w której konsument mógł się z nią zapoznać. Wydaje się, iż sama czynność poinformowania może nastąpić wcześniej niż po upływie 60 dni (tak: Agnieszka Żygadło Przetwarzanie informacji stanowiących tajemnicę bankową po wygaśnięciu zobowiązania", Pr. Bankowe 2006/4/83).
Wypada w tym miejscu wyjaśnić, że konstrukcja przyjęta w art. 61 § 1 zdanie pierwsze k.c. odpowiada tzw. kwalifikowanej teorii doręczenia, która zadowala się dojściem oświadczenia woli do adresata w taki sposób, że miał on możliwość zapoznania się z jego treścią (por. wyrok SN z 8 września 2016 r., sygn. akt II CSK 750/15, M. Pr. Bank. 2017/10, s. 21 i 35, z glosą T. Czecha oraz z omówieniem M. Bączyka, M. Pr. Bank 2017/11, s. 58). To, czy rzeczywiście się z tym oświadczeniem zapoznał, co do zasady nie ma w kontekście art. 61 § 1 k.c. znaczenia (por. wyroki SN: z 18 listopada 1999 r., sygn. akt I PKN 375/99, OSNAPiUS 2001/7, poz. 227; z 20 maja 2015 r., sygn. akt I CSK 547/14, LEX nr 1767493 i z 22 marca 2017 r., sygn. akt III CSK 148/16, LEX nr 23552146 oraz przytoczona uchwała składu siedmiu sędziów SN z 31 marca 2016 r., III CZP 89/15; Z. Radwański [w:} System Prawa Prywatnego, t. 2, 2008, s. 292).
Rozwiązanie to wiąże się z pewnym zagrożeniem dla osoby, której oświadczenie woli jest składane, zakłada bowiem możliwość zaistnienia sytuacji, w których oświadczenie to zostanie uznane za złożone, z czym częstokroć będą związane istotne skutki prawne, choć jego adresat nie wiedział o tym oświadczeniu albo nie znał jego treści.
W literaturze przedmiotu podkreśla się, że zagrożenie to jest akceptowalne przede wszystkim dlatego, że negatywne skutki teorii doręczenia mogą ujawnić się w zasadzie tylko w ramach już istniejącego między stronami stosunku prawnego, ponieważ tylko wtedy jednostronne oświadczenia (czynności prawne) mogą oddziaływać niekorzystnie na sytuację prawną adresata oświadczenia woli. Do powstania zaś tego stosunku zazwyczaj niezbędna jest zgoda adresata, a wyrażając ją i przyznając w ten sposób – choćby mocą czynników innych niż treść samego oświadczenia (por. art. 56) – drugiej stronie możliwość jednostronnego oddziaływania na swą sytuację prawną (np. wypowiedzenia umowy albo wysokości świadczenia, odstąpienia, przyjęcia oferty, wezwania do wykonania zobowiązania, wyboru świadczenia przemiennego), adresat musi liczyć się ze składaniem takich oświadczeń i nie może dysponować instrumentem, który w prosty sposób mógłby paraliżować ich skutki (np. stroniąc od zapoznania się z tym oświadczeniem). Dlatego faktyczne zapoznanie się z oświadczeniem przynależy już wyłącznie do prawnie irrelewantnej sfery wewnętrznej adresata oświadczenia (tak: Roman Trzaskowski w: "Kodeks cywilny. Komentarz Tom I. Część ogólna cz. 2 (art. 56-125)" pod red. Jacka Gudowskiego, Lex/el 2021, (cz.3 do art. 61).
Podzielić należy zatem pogląd skarżącego Banku, że faktyczne zapoznanie się przez adresata z treścią oświadczenia Banku nie ma w kontekście art. 105a § 3 Prawa bankowego i art. 61 § 1 k.c. znaczenia, jako że należy już wyłącznie do prawnie irrelewantnej sfery wewnętrznej adresata oświadczenia. Jednakże poinformowanie adresata oświadczenia winno, z uwagi na wspomniany powyżej dodatkowy trzydziestodniowy termin na wykonanie zobowiązania, nastąpić w ten sposób, by można było ustalić początek biegu tego terminu. Dopiero bowiem bezskuteczny upływ owego trzydziestodniowego dodatkowego terminu upoważnia Bank do przetwarzania danych osobowych w oparciu o przepis art. 105a ust. 3 Prawa bankowego.
Nadanie powiadomienia, o którym mowa w art. 105a ust. 3 Prawa bankowego, listem poleconym nie pozwala – w okolicznościach niniejszej sprawy – na ustalenie początku biegu wskazanego terminu. Skoro to Bank wywodzi skutki prawne z powiadomienia strony o zamiarze przetwarzania jej danych osobowych stanowiących tajemnicę bankową bez jej zgody, to musi wykazać, że bezskutecznie upłynęło 30 dni od daty poinformowania strony o tym zamiarze. Wykazanie tej okoliczności wymaga jednak – co oczywiste – wykazania początku biegu owego trzydziestodniowego terminu.
W analizowanej sprawie brak jest możliwości ustalenia tej okoliczności, co powoduje, że brak jest podstaw do przyjęcia, że powiadomienie wnioskodawczyni o zamiarze przetwarzania jej danych osobowych wyczerpało wymogi art. 105a ust. 3 Prawa bankowego oraz że upłynął bezskutecznie dodatkowy trzydziestodniowy termin na spełnienie świadczenia.
Reasumując niezasadny jest podniesiony w skardze Banku zarzut naruszenia prawa materialnego, które miało wpływ na wynik sprawy, tj. art. 105a ust. 3 Prawa bankowego poprzez jego błędną wykładnię, skutkującą przyjęciem, że wykonanie obowiązku informacyjnego, o którym mowa w powołanym przepisie, polega na skutecznym doręczeniu osobie fizycznej, po wygaśnięciu jej zobowiązania wynikającego z umowy zawartej z bankiem, informacji o zamiarze przetwarzania jej danych osobowych bez jej zgody, podczas gdy prawidłowa interpretacja tego przepisu prowadzi do wniosku, iż "poinformowanie" oznacza rzeczywiste umożliwienie zapoznania się z treścią wyżej wymienionej informacji, za czym przemawia wykładnia systemowa, celowościowa, funkcjonalna jak i również zastosowana przez Bank, wykładnia językowa art. 105a ust. 3 Prawa bankowego.
Za nietrafny należy też uznać zarzut Banku naruszenia prawa materialnego, które miało wpływ na wynik sprawy, tj. art. 6 ust. 1 lit. f RODO w związku z art. 105a ust. 3 Prawa bankowego - poprzez jego błędną wykładnię, skutkującą przyjęciem, że przetwarzanie danych osobowych strony przez okres przedawnienia roszczeń Banku wobec wnioskodawczyni, nie stanowi prawnie uzasadnionego interesu administratora, podczas gdy prawidłowa interpretacja tego przepisu prowadzi do wniosku, iż takie przetwarzanie jest dopuszczalne przez okres przedawnienia roszczeń wynikający z art. 118 k.c., w zakresie uzasadnionym celem takiego przetwarzania.
W doktrynie wskazuje się, że dla możliwości oparcia przetwarzania danych osobowych na przesłance z art. 6 ust. 1 lit. f RODO konieczne jest, by przetwarzanie było niezbędne dla realizacji prawnie uzasadnionych interesów administratora. Nie wystarczy zatem samo ich występowanie, lecz dodatkowo konieczne jest wykazanie, że dla ich realizacji przetwarzanie danych osobowych jest niezbędne. Oznacza to, że przetwarzanie danych dla realizacji prawnie uzasadnionego interesu administratora lub strony trzeciej musi być, rozsądnie oceniając, potrzebne (por. "RODO. Ogólne rozporządzenie o ochronie danych. Komentarz" WKP 2018, autorstwa Dominika Lubasza, Witolda Chomiczewskiego i innych).
Z materiału dowodowego zgromadzonego w toku przedmiotowego postępowania wynika, że Bank obecnie przetwarza dane osobowe strony na podstawie art. 6 ust. 1 lit. f RODO w celu obrony i dochodzenia roszczeń pomimo, że wnioskodawczyni nie wystąpiła z roszczeniem wobec Banku, jak również Bank nie dochodzi roszczeń od strony, które to okoliczności uzasadniałyby uprawnienie Banku do zachowania
i przetwarzania danych osobowych wnioskodawczyni w związku z ich zabezpieczeniem
i dochodzeniem. Nie sposób zgodzić się z Bankiem jakoby w okresie, kiedy każda ze stron stosunku zobowiązaniowego może wystąpić do sądu z roszczeniami wynikającymi z tego stosunku, czyli przez określony odrębnymi przepisami okres przedawnienia roszczeń o charakterze majątkowym, istniał prawnie uzasadniony interes administratora danych do ich przetwarzania, z zastrzeżeniem, że przetwarzanie to odbywa się
w sposób ograniczony wyłącznie do celu, jakim jest cel dowodowy w ewentualnym postępowaniu sądowym, a zatem co do zasady przetwarzanie to polega na przechowywaniu danych.
Brak jest uzasadnienia dla przyjęcia, że terminy dotyczące przedawnienia roszczeń wynikających ze stosunków zobowiązaniowych określają jednocześnie ramy czasowe, w których dane osobowe mogą być przetwarzane przez Bank. Przedawnienie roszczenia nie wywołuje skutków na gruncie ochrony danych osobowych, nie wpływa bowiem na fakt istnienia roszczenia, a powoduje jedynie zmianę w sferze zarzutów procesowych w postaci możliwości podniesienia okoliczności przedawnienia w sporze sądowym. Podkreślenia wymaga, że okolicznością usprawiedliwiającą przetwarzanie danych osobowych w celu dochodzenia roszczeń jest sam fakt istnienia roszczenia oraz zamiar jego dochodzenia, nie jest nią natomiast zmiana w uprawnieniach procesowych podmiotu pozwanego.
W ocenie Sądu, brak jest zatem spełnienia wskazywanej przez Bank przesłanki niezbędności do celów wynikających z prawnie usprawiedliwionych interesów realizowanych przez administratora odnośnie do przetwarzania danych osobowych wnioskodawczyni. Przesłanka z art. 6 ust. 1 lit. f RODO dotyczy sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia, potrzeba dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem, które może powstać
|w przyszłości. W związku z tym, że przeprowadzone przez organ postępowanie administracyjne nie wykazało, aby strona skierowała wobec Banku jakiekolwiek roszczenie lub aby Bank dochodził roszczeń wobec niej, należy zgodzić się z Prezesem UODO, że Bank przetwarza dane osobowe wnioskodawczyni w ww. celu wyłącznie "na zapas", aby zabezpieczyć się przed ewentualnym przyszłymi i niepewnymi roszczeniami strony.
Należy podkreślić, że wbrew twierdzeniom Banku, przesłanka określona w art. 6 ust. 1 lit. f RODO nie jest ukierunkowana na ochronę interesów sektora bankowego czy też gospodarczego. Legalność przetwarzania danych osobowych w oparciu o tę przesłankę uzależniona jest od tego, czy przetwarzanie to jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą. W ocenie Sądu przepis ten nie polega zatem na ochronie wszelkich interesów sektora bankowego. Podobnie jak pozostałe przesłanki wymienione w art. 6 ust. 1 RODO stanowi przesłankę zgodności z prawem procesu przetwarzania. Tym samym chroni przede wszystkim osobę, której proces ten dotyczy przed nieuprawnionym przetwarzaniem jej danych osobowych. Nie można ponadto mówić o zaistnieniu prawnie uzasadnionego interesu w przypadku, gdy dane osobowe przetwarzane są na zapas, na wypadek gdyby taki prawnie uzasadniony interes pojawić się mógł dopiero
w przyszłości. Bank niezasadnie skupił się na własnych interesach gospodarczych nie dostrzegając jednocześnie, że z punktu widzenia ochrony danych osobowych dane te mogą być wprawdzie przetwarzane do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, ale wyłącznie wówczas, gdy są nadrzędne nad interesami i prawami osoby, której dane dotyczą. Tymczasem sytuacja taka w niniejszej sprawie nie zachodziła, ponieważ ważąc interesy i podstawowe prawa i wolności osoby, której dane dotyczyły, takie jak chociażby gwarantowane (tak na gruncie prawa europejskiego, Konstytucji RP czy prawa cywilnego) prawo do prywatności, z interesem administratora, który dotyczy w tym wypadku zachowania w swych zasobach danych "na wszelki wypadek", tj. na wypadek tego, że mogą się okazać przydatne w przyszłości do dochodzenia lub obrony ewentualnych roszczeń, które obecnie nie istnieją, należało dojść do wniosku, że to interesy i podstawowe prawa i wolności osoby, której dane dotyczą są nadrzędne.
Niezasadny jest również zarzut naruszenia przepisów postępowania, które miało istotny wpływ na wynik sprawy, tj. art. 6, art. 7, art. 8 § 1 i 2, art. 77 § 1, art. 80 oraz art. 107 § 3 Kpa w zw. z art. 7 ust. 1 UODO, polegający na niezastosowaniu zasad ogólnych postępowania administracyjnego: praworządności, prawdy obiektywnej
i pogłębiania zaufania do władzy publicznej oraz przekroczeniu granic swobodnej oceny dowodów i - w konsekwencji - błędnym przyjęciu, że potwierdzenie nadania listem poleconym nie stanowi dowodu poinformowania strony o zamiarze przetwarzania jej danych osobowych bez jej zgody, w oparciu o w art. 105a ust. 3 Prawa bankowego, podczas gdy jest to wyłącznie potwierdzenie nadania pisma listem poleconym, mające moc dokumentu urzędowego, stanowiące dostateczny dowód przekazania informacji zgodnie z wymogami art. 105a ust. 3 Prawa bankowego. Prezes UODO podjął
w niniejszej sprawie przewidziane prawem czynności służące wnikliwemu i rzetelnemu ustaleniu okoliczności faktycznych sprawy. Ustalenia faktyczne organu zostały dokonane w oparciu o całość materiału dowodowego, zgromadzonego i zbadanego
w sposób wyczerpujący, a więc przy podjęciu wszelkich kroków niezbędnych do dokładnego wyjaśnienia okoliczności sprawy. Ocena materiału dowodowego została dokonana przez organ zgodnie z zasadą swobodnej oceny dowodów i nie nosi cech dowolności. Decyzja w niniejszej sprawie nie została zaś wydana z naruszeniem art. 107 § 3 Kpa. Uzasadnienie rozstrzygnięcia spełnia bowiem wymogi określone w ww. przepisie. Zawiera ocenę zebranego w postępowaniu materiału dowodowego, wykładnię stosowanych przepisów oraz ocenę przyjętego stanu faktycznego w świetle obowiązującego prawa. Uzasadnienie zaskarżonej decyzji jest spójne wewnętrznie
i logiczne, nie zawiera przy tym luk ani sprzeczności.
W tych okolicznościach skarga nie zasługiwała na uwzględnienie.
Mając na względzie powyższe, Wojewódzki Sąd Administracyjny w Warszawie na podstawie art. 151 p.p.s.a. orzekł jak w sentencji.