II SA/Wa 2095/22

II SA/Wa 2095/22 - Wyrok WSA w Warszawie
Data orzeczenia
2023-10-18
orzeczenie prawomocne
Data wpływu
2022-11-25
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Dorota Kozub-Marciniak
Iwona Maciejuk
Sławomir Fularski /przewodniczący sprawozdawca/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę
Powołane przepisy
Dz.U. 2023 poz 1634
art. 105 ust. 4, art. 105 ust. 3
Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi - t.j.
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Sławomir Fularski (spr.), Sędzia WSA Iwona Maciejuk, Asesor WSA Dorota Kozub-Marciniak, , , po rozpoznaniu w trybie uproszczonym w dniu 18 października 2023 r. sprawy ze skargi S. S.A. z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] września 2022 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę
Uzasadnienie
Prezes Urzędu Ochrony Danych Osobowych (dalej jako "Prezes UODO" lub "organ") decyzją z [...] września 2022 r. nr [...] działając na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2021 r. poz. 735 ze zm., dalej jako "Kpa"),
art. 6 ust. 1 oraz art. 58 ust. 2 lit. c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35, dalej jako "RODO") w zw. z art. 105a ust. 3 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz. U. z 2021 r. poz. 2439, dalej jako "ustawa Prawo bankowe), po przeprowadzeniu postępowania administracyjnego w sprawie skargi A.K. na nieprawidłowości w procesie przetwarzania jego danych osobowych przez [...] Bank S.A. z siedzibą w [...] (dalej jako "Bank"), polegające na udostępnieniu jego danych osobowych na rzecz Biura Informacji Kredytowej S.A. z siedzibą w Warszawie (dalej jako "BIK"), nakazał Bankowi zaprzestania przetwarzania danych osobowych A.K. dotyczących umowy nr [...] z [...] stycznia 2014 r. w systemie BIK przetwarzanych na podstawie art. 105a ust. 3 ustawy Prawo bankowe w celu oceny zdolności kredytowej i analizy ryzyka kredytowego.
W uzasadnieniu wskazał, że do organu wpłynęła skarga A.K. (dalej jako "strona" lub "wnioskodawca" na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Bank, polegające na udostępnieniu jego danych osobowych na rzecz BIK bez podstawy prawnej.
Wnioskodawca wskazał, że Bank przetwarza jego dane osobowe dotyczące zobowiązania nr [...] z [...] stycznia 2014 r., w bazie BIK bez podstawy prawnej. Podniósł, że wycofał zgodę na przetwarzanie jego danych osobowych w dniu [...] lutego 2019 r., gdy dowiedział się o przetwarzaniu jego danych osobowych podczas wnioskowania o kredyt hipoteczny, który został odrzucony ze względu na wpis dokonany przez Bank. Zwrócił się do Banku o przesłanie mu kopii pisma, skutecznie doręczonego, dotyczącego poinformowania go o zamiarze przetwarzania jego danych osobowych po wygaśnięciu zobowiązania, bez jego zgody, czego Bank nie uczynił.
Z uwagi na powyższe wnioskodawca w złożonej skardze wniósł o nakazanie usunięcia jego danych osobowych przetwarzanych bez podstawy prawnej w bazach BIK i bazach Banku.
Organ wskazał, że strona zawarła z Bankiem umowę nr [...] w dniu [...] stycznia 2014 r. W związku z zawarciem tej umowy Bank pozyskał dane osobowe wnioskodawcy w przedmiocie danych identyfikacyjnych, danych adresowych, danych teleadresowych oraz informacji finansowych. Bank wyjaśnił, że dane osobowe strony przetwarzane są obecnie przez Bank w celu obrony przed ewentualnymi roszczeniami do czasu ich przedawnienia zgodnie z art. 118 ustawy z dnia 23 kwietnia 1964 r. Kodeks cywilny (Dz. U. z 2020 r., poz. 1740 t.j., dalej jako "k.c.") na podstawie art. 6 ust. 1 lit. f RODO oraz na podstawie art. 105a ust. 3 ustawy Prawo bankowe, w celach oceny zdolności kredytowej i analizy ryzyka kredytowego w związku z art. 6 ust. 1 lit. c RODO. Bank wskazał ponadto, że pierwszy wsad przekazany do BIK, obejmujący dane identyfikacyjne wnioskodawcy oraz dane dotyczące umowy nr [...], nastąpił w dniu [...] stycznia 2014 r. na podstawie art. 105 ust. 4 ustawy Prawo bankowe. Umowa nr [...] została zamknięta w BIK z datą [...] lutego 2018 r. w statusie "odzyskana". Bank oświadczył, że wycofał zgodę stronę na przetwarzanie danych
w BIK, po spłacie zobowiązania z dniem [...] lutego 2019 r. Jak wynika z wyjaśnień Banku, w związku z powstaniem zaległości w spłacie rat kredytu, Bank wysłał wnioskodawcy oświadczenie o wypowiedzeniu umowy o nr [...], wraz
z informacją o zamiarze przetwarzania jego danych osobowych na podstawie art. 105a ust. 3 ustawy Prawo bankowe, listem poleconym z [...] października 2014 r. Bank wskazał, że nie odnotował zwrotu tej korespondencji. BIK wyjaśnił, że dane osobowe strony dotyczące umowy nr [...] zostały wprowadzone do zbioru danych BIK w dniu [...] lutego 2014 r. Obecnie umowa kredytu nr [...] z [...] stycznia 2014 r. ma status rachunku zamkniętego i przetwarzana jest w celu oceny zdolności kredytowej i analizy ryzyka kredytowego, na podstawie art. 105a ust. 3 w zw. z art. 105 ust. 4 ustawy Prawo bankowe oraz na podstawie umowy zawartej przez Bank z BIK.
Prezes UODO wskazał, że przepisem uprawniającym administratorów danych do przetwarzania zwykłych danych osób fizycznych jest art. 6 ust. 1 RODO, zgodnie
z którym, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy spełniona jest jedna z przesłanek wskazanych w tym przepisie. Katalog przesłanek wymienionych w art. 6 ust. 1 RODO, jest zamknięty. Każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny. Co do zasady podstawą prawną przetwarzania danych osobowych klientów przez Bank w BIK może być obecnie art. 6 ust. 1 f RODO, gdy przetwarzanie to jest niezbędne do celów wynikających
z prawnie uzasadnionych interesów realizowanych przez administratora. Przetwarzanie danych osobowych klientów Banku przez BIK odbywa się na podstawie zawartej pomiędzy tymi podmiotami umowy. BIK jest instytucją utworzoną na podstawie art. 105 ust. 4 ustawy Prawo bankowe, który stanowi, że banki mogą, wspólnie z bankowymi izbami gospodarczymi, utworzyć instytucje upoważnione do gromadzenia, przetwarzania i udostępniania bankom informacji stanowiących tajemnicę bankową
w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod
i modeli, o których mowa w części trzeciej rozporządzenia nr [...] (pkt 1), innym instytucjom ustawowo upoważnionym do udzielania kredytów informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są niezbędne w związku
z udzielaniem kredytów, pożyczek pieniężnych, gwarancji bankowych i poręczeń (pkt 2), instytucjom kredytowym informacji stanowiących tajemnicę bankową w zakresie niezbędnym do oceny zdolności kredytowej konsumenta, o której mowa w art. 9 ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim (pkt 3), instytucjom pożyczkowym
i podmiotom, o których mowa wart. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim na zasadzie wzajemności, informacji stanowiących odpowiednio tajemnice bankową oraz informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, w zakresie niezbędnym do oceny zdolności kredytowej konsumenta,
o której mowa w art. 9 tej ustawy, i analizy ryzyka kredytowego (pkt 4).
Organ zauważył, że zgodnie z art. 105a ust. 1 ustawy Prawo bankowe, przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów, instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy
z dnia 12 maja 2011 r. o kredycie konsumenckim, a także instytucje utworzone na podstawie art. 105 ust. 4, informacji stanowiących tajemnicę bankową i informacji udostępnionych przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem art. 104, art. 105 i art. 106 - 106d ustawy Prawo bankowe w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Zgodnie zaś z art. 105a ust. 3 tej ustawy banki, instytucje oraz podmioty, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową
i informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa wart. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa wart. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank, inną instytucję ustawowo upoważnioną do udzielania kredytów, instytucję pożyczkową albo podmiot, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, o zamiarze przetwarzania dotyczących jej tych informacji, bez jej zgody.
W związku z powyższym organ wskazał, że choć zobowiązanie wnioskodawcy, wynikające z umowy nr [...] z [...] stycznia 2014 r., wobec Banku wygasło, to jak wynika ze zgromadzonego materiału dowodowego odnośnie spłaty zadłużenia, strona dopuściła się zwłoki trwającej dłużej niż 60 dni w przypadku ww. zobowiązania. Istotnym jednakże w niniejszej sprawie jest to, że Bank nie spełnił wobec wnioskodawcy obowiązku określonego w art. 105a pkt 3 ustawy Prawo bankowe, tj. nie poinformował go skutecznie o zamiarze przetwarzania dotyczących strony informacji stanowiących tajemnicę bankową, bez jej zgody po wygaśnięciu zobowiązania wynikającego
z przedmiotowej umowy. Stwierdzić należy, że sam fakt, iż wnioskodawca nie wykonał zobowiązania lub spóźnił się z jego wykonaniem co najmniej 60 dni, nie upoważnia Banku do przetwarzania jego danych na warunkach określonych w art. 105a ust. 3 ustawy Prawo bankowe. Moment, od którego należy liczyć sześćdziesięciodniowy termin, w którym konsument dopuszcza się zwłoki w wykonaniu zobowiązania, to termin wykonania zobowiązania. Dopiero po upływie 60 dni zaczyna biec termin 30 dni,
w którym instytucja oczekuje jeszcze na wykonanie zobowiązania klienta. Termin 30 dni biegnie od momentu, w którym konsument zostanie skutecznie poinformowany przez instytucję o zamiarze przetwarzania. Ostatecznie to bezskuteczny upływ 30 dni od momentu poinformowania stanowi wypełnienie przesłanek z art. 105a ust. 3 ustawy Prawo bankowe. Z powyższego wynika zatem, że Bank przetwarzając dane strony na warunkach określonych w ww. przepisie, musi wykazać, że wnioskodawca został poinformowany o zamiarze przetwarzania ich bez jego zgody. W niniejszej sprawie wnioskodawca podniósł natomiast, że okoliczności wskazywane w ww. przepisie nie zostały spełnione w związku z czym Bank nie jest uprawniony do przetwarzania jego danych osobowych w BIK. Bank podniósł, że ww. przesłanki, w tym poinformowanie strony o okolicznościach wskazanych w art. 105a ust. 3 ustawy Prawo bankowe zostały spełnione, poprzez wysłanie korespondencji do wnioskodawcy listem poleconym. Podkreślenia zatem wymaga, że brak jest dowodów wskazujących na prawidłowe
i skuteczne poinformowanie wnioskodawcy o treści ww. przepisu.
Prezes UODO podzielił przy tym stanowisko wyrażone w wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z 18 stycznia 2022 r. w sprawie o sygn. II SA/Wa 3584/21, zgodnie z którym poinformowanie adresata oświadczenia winno, z uwagi na wspomniany powyżej dodatkowy trzydziestodniowy termin na wykonanie zobowiązania, nastąpić w ten sposób, by można było ustalić początek biegu tego terminu. Dopiero bowiem bezskuteczny upływ owego trzydziestodniowego dodatkowego terminu upoważnia Bank do przetwarzania danych osobowych w oparciu o przepis art. 105a ust. 3 ustawy Prawo bankowe. Nadanie powiadomienia, o którym mowa w art. 105a ust. 3 ustawy - Prawo bankowe, listem poleconym nie pozwala - w okolicznościach niniejszej sprawy - na ustalenie początku biegu wskazanego terminu. Skoro to Bank wywodzi skutki prawne z powiadomienia strony o zamiarze przetwarzania jej danych osobowych stanowiących tajemnicę bankową bez jej zgody, to musi wykazać, że bezskutecznie upłynęło 30 dni od daty poinformowania strony o tym zamiarze. Wykazanie tej okoliczności wymaga jednak - co oczywiste - wykazania początku biegu owego trzydziestodniowego terminu.
Organ wskazał, że Bank nie przedstawił dowodu na prawidłowe doręczenie wnioskodawcy dokumentu, w treści, którego zawarta była informacja o okolicznościach wskazanych w art. 105a ust. 3 ustawy Prawo bankowe, zatem okoliczność skutecznego poinformowania strony o treści ww. przepisu nie może zostać uznana za udowodnioną. Dodatkowo podkreślił, że sporządzenie i wysłanie ww. pisma, nie jest równoznaczne
z udowodnieniem jego prawidłowego doręczenia, skutkującego poinformowaniem wnioskodawcy o zamiarze przetwarzania danych stanowiących tajemnicę bankową, bez jego zgody na podstawie art. 105a ust. 3 ustawy Prawo bankowe. Samo bowiem oświadczenie o wysłaniu korespondencji i przedstawienie jej kopii wraz z kopią listy korespondencji bankowej wysłanej listem poleconym nie stanowi dowodu na jej dostarczenie lub poinformowanie o jej treści adresata. Przepisy powszechnie obowiązujące nie formułują obowiązku wysłania informacji, o której mowa w ww. przepisie w szczególnej formie. To do podmiotu informującego należy zatem wybór formy przekazania odbiorcy komunikatu, o zamiarze przetwarzania danych osobowych bez jego zgody. Jednocześnie to podmiot informujący wywodzi z powyższego skutki prawne, zatem to on musi wykazać, że poinformował wnioskodawcę o zamiarze przetwarzania danych stanowiących tajemnicę bankową, bez jego zgody na podstawie art. 105a ust. 3 ustawy Prawo bankowe.
Jednocześnie organ zauważył, że w jego ocenie brak jest spełnienia wskazywanej przez Bank przesłanki niezbędności do celów wynikających z prawnie usprawiedliwionych interesów realizowanych przez administratora odnośnie przetwarzania danych osobowych wnioskodawcy w zakresie dotyczącym przedmiotowej umowy, wynikającej z art. 6 ust. 1 lit. f RODO. Zebrany w sprawie materiał dowodowy nie wykazał, że wnioskodawca wystąpił z roszczeniem wobec Banku, które uzasadniałyby uprawnie do zachowania i przetwarzania danych osobowych strony w związku z prawnie uzasadnionym interesem realizowanym przez administratora danych, jakim będzie ewentualne dochodzenie roszczeń powstałych
w związku z wykonywaniem czynności bankowych oraz innych wynikających
z przepisów powszechnie obowiązujących. Przesłanka wynikająca z art. 6 ust. 1 lit. f RODO dotyczy sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia, potrzeba dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem. W związku z tym, że przeprowadzone przez Prezesa UODO postępowanie administracyjne nie wykazało, aby wnioskodawca skierował wobec Banku jakiekolwiek roszczenie, należy stwierdzić, że Bank przetwarza dane osobowe strony w ww. celu wyłącznie "na zapas", aby zabezpieczyć się przed ewentualnym przyszłymi i niepewnymi roszczeniami wnioskodawcy.
Prezes UODO wskazał, że podzielił przy tym zakresie stanowisko Wojewódzkiego Sądu Administracyjnego w Warszawie, odnoszące się do analogicznej do art. 6 ust. 1 lit. f RODO przesłanki wynikającej z art. 23 ust. 1 pkt 5 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. 2016 r. poz. 922 ze zm.), dotyczącej dopuszczalności przetwarzania danych osobowych niezbędnego dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, gdy przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą.
Prezes UODO podkreślił, że przy przyjęciu odmiennej interpretacji ww. przepisów, wnioskodawca pozbawiony byłyby ochrony na gruncie RODO oraz ustawy
z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781). Zaznaczył, że przyjęcie za prawidłowe stanowiska, iż przetwarzanie danych osobowych w celu uchylenia się od negatywnych skutków w przypadku zgłoszenia w przyszłości ewentualnego i nieokreślonego roszczenia, stanowi prawnie usprawiedliwiony cel
w rozumieniu art. 6 ust. 1 lit. f RODO oznaczałoby, że dane osobowe strony mogą być przetwarzane przez Bank permanentnie, bez konieczności ich usunięcia. Teoretycznie możliwym jest przecież by wnioskodawca zwrócił się do Banku z roszczeniem po upływie terminu przedawnienia roszczenia. Prowadziłoby to tym samym do uznania, że przetwarzanie danych osobowych strony przez Bank ma uzasadnienie w przesłance określonej art. 6 ust. 1 lit. f RODO w celu realizacji prawa do obrony przed ewentualnym roszczeniem wnioskodawcy również po upływie ww. terminu.
W ocenie organu brak jest uzasadnienia dla przyjęcia, że terminy dotyczące przedawnienia roszczeń wynikających ze stosunków zobowiązaniowych określają jednocześnie ramy czasowe, w których dane osobowe mogą być przetwarzane przez Bank. Koniecznym jest by podnieść, że przedawnienie roszczenia nie wywołuje skutków na gruncie ochrony danych osobowych, nie wpływa bowiem na fakt istnienia roszczenia, a powoduje jedynie zmianę w sferze zarzutów procesowych w postaci możliwości podniesienia okoliczności przedawnienia w sporze sądowym. Organ podkreślił, że okolicznością usprawiedliwiającą przetwarzanie danych osobowych
w celu dochodzenia roszczeń jest sam fakt istnienia roszczenia oraz zamiar jego dochodzenia, nie jest nią natomiast zmiana w uprawnieniach procesowych podmiotu pozwanego. Z uwagi na to, że Bank nie wskazał roszczenia, którego zaspokojenia domaga się od wnioskodawcy, jak również brak jest sporu toczącego się między stroną, a Bankiem dotyczącego stosunku zobowiązaniowego brak jest celu uzasadniającego przetwarzanie ww. danych osobowych wnioskodawcy, w rozumieniu art. 6 ust. 1 lit. f RODO. Wobec powyższego, kontynuowanie do chwili obecnej przetwarzania danych osobowych strony w celu ustalenia, dochodzenia lub obrony przed ewentualnymi, przyszłymi i niepewnymi roszczeniami, należy uznać za zbędne i niezgodne
z obowiązującymi przepisami o ochronie danych osobowych. W niniejszej sprawie nie zostały spełnione przesłanki z art. 105a ust 3 ustawy Prawo bankowe, zgodnie z którym Bank może przetwarzać informacje stanowiące tajemnicę bankową dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy bez ich zgody w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Organ, w toku prowadzonego postępowania administracyjnego, również nie stwierdził okoliczności uprawniających Bank do przetwarzania danych osobowych wnioskodawcy w oparciu o ww. podstawę prawną w powyższym celu.
W konkluzji swojego rozstrzygnięcia organ wskazał, że postępowanie administracyjne prowadzone przez Prezesa UODO w każdym przypadku służy zbadaniu zasadności skierowania pod adresem określonego podmiotu nakazu, odpowiadającego dyspozycji art. 58 ust. 2 RODO, służącego przywróceniu stanu zgodnego z prawem w procesie przetwarzania danych. Wobec powyższego korzystając z uprawnienia przewidzianego w art. 58 ust. 2 lit. c RODO, organ nakazał Bankowi zaprzestanie przetwarzania na podstawie art. 105a ust. 3 ustawy Prawo bankowe danych osobowych wnioskodawcy, dotyczących przedmiotowej umowy w BIK w celu oceny zdolności kredytowej i analizy ryzyka kredytowego.
Pismem z [...] października 2022 r. Bank reprezentowany przez pełnomocnika – radcę prawnego wniósł do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na ww. decyzję Prezesa UODO z [...] września 2022 r. Zaskarżonej decyzji skarżący zarzucił naruszenie:
1) przepisów postępowania, mające istotny wpływ na wynik sprawy, tj. art. 6, art. 7, art. 8 § 1 i 2, art. 77 § 1, art. 80 oraz art. 107 § 3 Kpa w zw. z art. 7 ust. 1 UODO, polegające na niezastosowaniu zasad ogólnych postępowania administracyjnego: praworządności, prawdy obiektywnej i pogłębiania zaufania do władzy publicznej oraz przekroczeniu granic swobodnej oceny dowodów, a w konsekwencji błędnym przyjęciu, że potwierdzenie nadania pisma listem poleconym nie stanowi dowodu poinformowania wnioskodawcy o zamiarze przetwarzania jego danych osobowych bez jego zgody,
w oparciu o w art. 105a ust. 3 ustawy Prawo bankowe, podczas gdy jest to dokument mający moc dokumentu urzędowego, stanowiący dostateczny dowód przekazania informacji zgodnie z wymogami art. 105a ust. 3 ww. ustawy;
2) przepisów prawa materialnego, które miało wpływ na wynik sprawy, tj. art. 6 ust. 1 lit. f RODO w związku z art. 105a ust. 3 ustawy Prawo bankowe - poprzez jego błędną wykładnię, skutkującą przyjęciem, że przetwarzanie danych osobowych strony przez okres przedawnienia roszczeń Banku wobec wnioskodawcy, nie stanowi prawnie uzasadnionego interesu administratora, podczas gdy prawidłowa interpretacja tego przepisu prowadzi do wniosku, iż takie przetwarzanie jest dopuszczalne przez okres przedawnienia roszczeń wynikający z art. 118 k.c. w zakresie uzasadnionym celem takiego przetwarzania:
3) przepisów prawa materialnego, które miało wpływ na wynik sprawy, tj. art. 105a ust. 3 ustawy Prawo bankowe, poprzez jego błędną wykładnię, skutkującą przyjęciem, że wykonanie obowiązku informacyjnego, o którym mowa w powołanym przepisie, polega na skutecznym doręczeniu osobie fizycznej, po wygaśnięciu jej zobowiązania wynikającego z umowy zawartej z bankiem, informacji o zamiarze przetwarzania jej danych osobowych bez jej zgody, podczas gdy prawidłowa interpretacja tego przepisu prowadzi do wniosku, że "poinformowanie" oznacza rzeczywiste umożliwienie zapoznania się z treścią wyżej wymienionej informacji.
Mając na uwadze powyższe zarzuty, skarżący wniósł o uchylenie decyzji Prezesa UODO w całości; zasądzenie od organu na rzecz strony skarżącej kosztów postępowania, w tym kosztów zastępstwa prawnego, według norm przepisanych.
W uzasadnieniu skargi, jej autor wskazał, że Prezes UODO błędnie ocenił fakt wysłania do wnioskodawcy informacji o zamiarze przetwarzania jego danych osobowych na podstawie art. 105a ust. 3 ustawy Prawo bankowe listem poleconym. Nie można zgodzić się ze stwierdzeniem wyrażonym w uzasadnieniu zaskarżonej decyzji jakoby brak było innych dowodów na okoliczność poinformowania strony o treści art. 105a ust. 3 Prawa bankowego niż oświadczenie Banku. Bank przedstawił dowód
w postaci oświadczenia o wypowiedzeniu umowy wraz z potwierdzeniem nadania tego pisma listem poleconym (odpis z pocztowej książki nadawczej), mającym moc dokumentu urzędowego. Przesyłka polecona zaadresowana na stronę nie została zwrócona, a zatem przyjąć należy, że została prawidłowo doręczona adresatowi. Skarżący powołał się przy tym na stanowisko Sądu Najwyższego wyrażone w wyroku
z 17 marca 2010 r., II CSK 454/09 (LEX nr 607178), zgodnie z którym, "jeżeli nadawca przesyłki rejestrowanej uiścił opłatę, otrzymał potwierdzenie nadania, a operator nie zwrócił mu tej przesyłki, można domniemywać, że została doręczona adresatowi.
W związku z tym należy uznać, że dowód nadania przesyłki rejestrowanej stanowi domniemanie doręczenia jej adresatowi, który może je obalić, wykazując, że nie miał możliwości zapoznania się z jej treścią. Należy zwrócić uwagę, że regułą jest, iż przesyłki pocztowe, zwłaszcza rejestrowane, są doręczane. Brak doręczenia zwykle powodują szczególne okoliczności, np. niedostatki w obsłudze pocztowej, błędne zaadresowanie przesyłki, znana nadawcy nieobecność adresata w miejscu zamieszkania itp. Wykazanie istnienia takich okoliczności wystarczy do podważenia wiarygodności omawianego dowodu prima facie."
Skarżący wskazał, że Bank wysłał zawiadomienie dotyczące wypowiedzenia zawartej z wnioskodawcą umowy listem poleconym z informacją wymaganą art. 105a ust. 3 ustawy Prawo bankowe na adres strony wskazany w umowie z Bankiem,
a jednocześnie wnioskodawca nigdy nie poinformował Banku o zmianach tego adresu
i nie zakwestionował skuteczności doręczania korespondencji na ten adres wysyłanej. Wysłana do strony korespondencja polecona, w której znajdowała się informacja
o przetwarzaniu danych osobowych zgodnie z art. 105a ust. 3 Prawa bankowego nigdy nie została zwrócona. W świetle art. 17 ustawy z dnia z dnia 23 listopada 2012 r. - Prawo pocztowe (t. j. Dz.U. z 2020 r. poz. 1041, dalej jako "Prawo Pocztowe"), przyjąć należy, że Bank dysponuje dowodem przekazania stronie informacji o zamiarze przetwarzania jej danych osobowych i dowód ten przedstawił organowi w toku postępowania. Podkreślenia wymaga, że potwierdzenie nadania przesyłki rejestrowanej wydane przez placówkę pocztową operatora wyznaczonego ma moc dokumentu urzędowego, zatem przedłożony przez Bank dowód w postaci odpisu
z pocztowej książki nadawczej jednoznacznie wskazuje na spełnienie przez Bank obowiązku informacyjnego, o którym mowa w art. 105a ust. 3 ustawy Prawo bankowe. Przyznanie potwierdzeniu nadania przesyłki rejestrowej wydanemu przez operatora wyznaczonego mocy prawnej dokumentu urzędowego rozpatrywać należy przez pryzmat art. 76 § 1 Kpa, który stanowi, że dokumenty urzędowe sporządzone
w przepisanej formie przez powołane do tego organy państwowe w ich zakresie działania, stanowią dowód tego, co zostało w nich urzędowo stwierdzone. Wprawdzie potwierdzenie nadania przesyłki poleconej nie jest dokumentem urzędowym, a jedynie ma "moc dokumentu urzędowego", jednak na zasadzie analogii do dokumentu tego należy stosować domniemania odnoszące się do dokumentów urzędowych, tj. domniemanie zgodności z prawdą oświadczenia uprawnionego podmiotu. Wobec tego, jeśli strona kwestionuje skuteczność doręczenia jej przesyłek poleconych z Banku, powinna powołać dowody na te okoliczność, gdyż art. 76 § 3 Kpa umożliwia przeprowadzenie dowodu przeciwko treści dokumentu, o którym mowa w art. 76 § 1 Kpa. Mając to na uwadze, uzasadniony jest zarzut naruszenia przez organ przepisów postępowania administracyjnego mającego istotny wpływ na wynik sprawy, tj. art. 6, art. 7, art. 8 § 1 i 2, art. 77 § 1, art. 107 § 3 Kpa, w szczególności zaś art. 80 Kpa, bowiem swobodna ocena dowodów powinna opierać się na materiale dowodowym zebranym przez organ oraz wszechstronnej ocenie całokształtu materiału dowodowego. Organ powinien przy tym dokonać oceny znaczenia i wartości dowodów dla toczącej się sprawy, z zastrzeżeniem ograniczeń dotyczących dokumentów urzędowych, które mają, na podstawie art. 76 § 1 Kpa, szczególną moc dowodową, a rozumowanie, w wyniku którego organ ustala istnienie okoliczności faktycznych powinno być zgodne
z prawidłami logiki. Naruszenie wymienionych reguł, a także norm procesowych odnoszących się do środków dowodowych, stanowi przekroczenie granic swobodnej oceny dowodów. W konsekwencji powyższego należy wskazać, że organ nieprawidłowo ustalił, że Bank przetwarzał dane osobowe strony w sposób sprzeczny
z wymogami przewidzianymi w art. 105a ust. 3 ustawy Prawo bankowe. Uznając bowiem za prawidłowe poinformowanie strony o przetwarzaniu jej danych osobowych, trzeba dojść do wniosku, że Bank oraz BIK mogą dane te przetwarzać na podstawie ww. przepisu.
Skarżący wskazał, że w niniejszej sprawie sporna jest jedynie przesłanka poinformowania wnioskodawcy przez Bank o zamiarze przetwarzania dotyczących go danych, bez jego zgody. Analiza treści art. 105a ust. 3 ustawy Prawo bankowe prowadzi do wniosku, że trzydziestodniowy termin, po upływie którego jest możliwe przetwarzanie danych osobowych osoby, która dopuściła się zwłoki powyżej 60 dni
w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, bez jej zgody, biegnie od momentu, gdy osoba ta została poinformowana przez bank o takim zamiarze. Podkreślić przy tym należy, że ustawodawca nie określił żadnych szczególnych wymogów formalnych, co do sposobu i treści takiego poinformowania. Nie ulega wątpliwości, że w każdym wypadku sposób ten powinien dawać sposobność potwierdzenia, że adresatowi umożliwiono zapoznanie się z informacją. Wykładnia językowa przesłanek wskazanych w ww. przepisie, a w szczególności słowa "poinformować", jednoznacznie wskazuje, że "poinformowanie" należy rozumieć jako rzeczywiste umożliwienie zaznajomienia się informacją osobie, do której jest ona kierowana. Prawidłowość poglądu strony skarżącej co do wykładni tego przepisu potwierdza także stanowisko Wojewódzkiego Sądu Administracyjnego w Warszawie, wyrażone m.in. w wyrokach z 11 grudnia 2017 r., sygn. akt II SA/Wa 324/17 oraz z 10 marca 2020 r., sygn. akt II SA/Wa 2037/19. Dokonując analizy art. 105a ust. 3 ustawy Prawo bankowe nie można abstrahować od celu wprowadzenia uregulowanej tam możliwości przetwarzania danych bez zgody samego dłużnika. Omawiany przepis ma umożliwić przekazywanie przez m.in. banki, danych nierzetelnych dłużników, tj. osób, które pomimo zaciągnięcia określonego zobowiązania wobec banku, nie wywiązują się z umowy i nie spłacają swojego zobowiązania przez okres dłuższy niż 60 dni, do BIK. Celem tego przepisu nie jest więc ochrona nierzetelnego dłużnika, a ochrona sektora bankowego, a tym samym uczciwych kredytobiorców, przed zaciąganiem kredytów lub pożyczek przez osoby, które swoich zobowiązań nie regulują lub regulują je ze znacznym opóźnieniem. Przyjęcie wykładni art. 105a ust. 3 ustawy Prawo bankowe zaproponowanej przez organ prowadziłoby do istotnych nadużyć po stronie nierzetelnych dłużników i wypaczałoby sens regulacji, dając osobom niewywiązującym się ze swoich zobowiązań możliwość unikania ujawnienia informacji o nich w BIK poprzez proste uchylanie się od odbioru korespondencji. Dłużnicy tacy mogliby każdorazowo zarzucać, że nie mogli zapoznać się z treścią pisma, jeśli zwrotne potwierdzenie odbioru nie zostałoby podpisane przez daną osobę osobiście. Wykładnia przyjęta przez Prezesa UODO jest błędna także i z tego powodu, że gdyby przyjąć ją za słuszną, w analogiczny sposób należałoby oczekiwać od każdego wierzyciela, że będzie wysyłał dłużnikowi wezwanie do zapłaty za potwierdzeniem osobistego odbioru lub doręczał do rąk własnych dłużnika. Miałoby to ten skutek, że nierzetelny dłużnik starający się uniemożliwić skuteczne dochodzenie roszczeń, uchylałby się od odebrania przesyłek, co utrudniłoby w istotnym stopniu proces windykacji i dawało niezasadne przywileje osobom niewywiązującym się ze swoich zobowiązań. W przedmiotowej sprawie informacja została wysłana stronie razem z oświadczeniem o wypowiedzeniu umowy. Wnioskodawca nigdy nie zakwestionował skuteczności wypowiedzenia umowy, choć przecież brak doręczenia oświadczenia o nim, w teorii mógłby pozbawić wypowiedzenia skuteczności. Wykładnia przyjęta przez organ prowadziłaby do wniosku, że także każde wypowiedzenie umowy powinno być wysyłane za potwierdzeniem odbioru lub doręczane do rąk własnych drugiej strony. Stoi to w jawnej sprzeczności
z przepisami dotyczącymi oświadczeń woli, w szczególności z art. 61 § 1 k.c.
Dalej skarżący wskazał, że zgodnie z § 3 rozporządzenia Ministra Administracji
i Cyfryzacji z dnia 29 kwietnia 2013 r. w sprawie warunków wykonywania usług powszechnych przez operatora wyznaczonego (t.j. Dz. U. z 2020 r. poz. 1026), przesyłki powinny być dostarczane z zachowaniem wskaźników czasu przebiegu przesyłek pocztowych w obrocie krajowym. Zgodnie z załącznikiem nr 1 do rozporządzenia, najdłuższy czas przebiegu przesyłek pocztowych w obrocie krajowym wynosi D+5, gdzie D oznacza dzień zawarcia umowy, a 5 oznacza liczbę dni, które upłynęły od dnia nadania do dnia doręczenia przesyłki pocztowej. Jak wskazuje Poczta Polska na swojej stronie dla listów poleconych priorytetowych termin doręczenia wynosi D+1 dzień roboczy, natomiast dla listu poleconego ekonomicznego jest to D+3 dni robocze (zob. https ://www.poczta- polska.pl/biznes/korespondencja/listy-polecone/). Kwestię doręczenia przesyłki poleconej i jej zwrotu w niniejszej sprawie reguluje szczegółowo Regulamin świadczenia usług powszechnych obowiązujący od dnia 19 sierpnia 2014 r. do 1 listopada 2016 r. (dalej jako: Regulamin) oraz przepisy Prawa Pocztowego. Przepis art. 3 pkt. 22 Prawa Pocztowego definiuje przesyłkę pocztową jako przesyłkę listową będącą przesyłką rejestrowaną, przemieszczaną i doręczaną
w sposób zabezpieczający ją przed utratą, ubytkiem zawartości lub uszkodzeniem. Zasady odbioru przesyłek poleconych jako przesyłek rejestrowanych określa § 23 ust. 2 Regulaminu, który wymaga spełnienia czterech elementów. Spośród nich najistotniejszymi są: ustalenie osoby uprawnionej do odbioru oraz sprawdzenie tożsamości odbiorcy, jeżeli nie jest znany doręczającemu osobiście. Jeżeli natomiast takiej osoby nie ma pod adresem wskazanym na przesyłce, doręczający pozostawia adresatowi zawiadomienie o próbie doręczenia wraz ze wskazanym adresem placówki odbiorczej i terminem odbioru przesyłki lub o takiej możliwości informuje się adresata elektronicznie w formie SMS lub e-mail (§ 24 ust. 1 Regulaminu). Jeżeli adresat nie zgłosi się w ten sposób po przesyłkę, zawiadamia się go powtórnie (§ 26 ust. 1 Regulaminu). Dopiero jeżeli adresat lub inna uprawniona osoba nie zgłosi się po odbiór przesyłki rejestrowanej w terminie 14 dni, licząc od dnia następnego po pozostawieniu pierwszego zawiadomienia, następuje zwrot przesyłki do nadawcy (§ 26 ust. 2 Regulaminu). Należy zwrócić uwagę, że sam zwrot przesyłki pocztowej do nadawcy także wymaga określonego czasu. Ponadto sama przyczyna zwrotu może być różna jak choćby nieodebranie w terminie i informacje o tym, że adresat się z danego mieszkania wyprowadził. W ten sposób możliwe staje się określenie, w którym najpóźniejszym terminie strona mogła zapoznać się z informacją wymaganą przez art. 105a ust. 3 Prawa bankowego. Na wspomniany termin składałoby się po pierwsze 7 dni na doręczenie przesyłki przez Pocztę Polską. Termin taki byłby uzasadniony opóźnieniami występującymi w praktyce działalności Poczty Polskiej. Kolejno należałoby doliczyć do niego 14 dni wynikających z terminów awizowania przesyłki. Dopiero zatem po upływie tego terminu mógłby rozpocząć bieg 30-dniowy termin określony w art. 105a ust. 3 Prawa bankowego. Dniem od którego należałoby liczyć bieg terminu 30 dni będzie zatem dwudziesty drugi dzień od nadania przesyłki, czyli 6 listopada 2014 r. Trzydziestodniowy termin upłynął zatem 6 grudnia 2014 r. Tymczasem tzw. sankcyjne przetwarzanie danych wnioskodawcy rozpoczęło się dopiero w dniu 13 lutego 2018 r. Pomiędzy obydwiema datami upłynęły aż 1165 dni. Nie ma zatem wątpliwości co do tego, że wymagania dla przetwarzania danych z art. 105a ust. 3 ustawy Prawo bankowe zostały dochowane, ponieważ pomiędzy najpóźniejszym momentem,
w którym strona mogła zapoznać się z wymaganą informacją, a rozpoczęciem przetwarzania jej danych bez jej zgody, upłynęło więcej niż 30 dni.
W świetle powyższego nie może budzić wątpliwości, że organ w sposób nieprawidłowy dokonał interpretacji ww. przepisu, co w konsekwencji doprowadziło do błędnego przyjęcia w niniejszej sprawie, że strona skarżąca nie miała podstaw do przetwarzania danych osobowych wnioskodawcy bez jego zgody. Nie można także zgodzić się z decyzją organu w zakresie, w którym nakazuje usunięcie danych strony przetwarzanych w celu obrony przed ewentualnymi roszczeniami. Bank niewątpliwie posiada podstawę prawną przetwarzania danych osobowych wnioskodawczyni w BIK
w oparciu o art. 6 ust. 1 lit. f RODO w związku z regulacją z art. 105a ust. 3 ustawy Prawo bankowe, ale także w związku z art. 118 k.c. przez okres przedawnienia roszczeń Banku wobec strony. Nie ulega wątpliwości, że Bank ma interes prawny
w rozumieniu RODO, do przetwarzania (wyłącznie poprzez ich przechowywanie) danych osobowych strony w celu obrony przed roszczeniami wnioskodawcy, które mogą być skutecznie dochodzone przez okres przedawnienia roszczeń wynikający
z k.c. Bank podnosi, że w okresie, kiedy każda ze stron stosunku zobowiązaniowego może wystąpić do sądu z roszczeniami wynikającymi z tego stosunku, czyli przez określony odrębnymi przepisami okres przedawnienia roszczeń o charakterze majątkowym, istnieje prawnie uzasadniony interes administratora danych do ich przetwarzania, z zastrzeżeniem, że przetwarzanie to odbywa się w sposób ograniczony wyłącznie do celu, jakim jest cel dowodowy w ewentualnym postępowaniu sądowym,
a zatem co do zasady przetwarzanie to polega na przechowywaniu danych. Przyjęcie odmiennego stanowiska, tzn. uznanie, że przesłanka z art. 6 ust. 1 lit. f RODO dotyczy wyłącznie sytuacji sporu już istniejącego, gdy celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia określonych okoliczności w zawisłym już sporze, prowadziłoby do wniosku, że administrator, niezwłocznie po wykonaniu umowy (spełnieniu świadczenia wynikającego z danego stosunku prawnego), powinien usuwać dane osobowe. Takie podejście nie bierze w ogóle pod uwagę m.in. terminów rękojmi (które wynikają
z ustawy, podobnie jak terminy przedawnienia) oraz faktu, że w obrocie gospodarczym administrator musi liczyć się z tym, że przez okres przedawnienia roszczeń jego kontrahent może zgłosić roszczenia wynikające np. z wad fizycznych lub prawnych przedmiotu świadczenia lub nienależytego wykonania zobowiązania, gdy skutki tego nienależytego wykonania ujawnią się dopiero po jakimś czasie od "zakończenia" umowy. Nie można zatem zgodzić się z Prezesem UODO, że możliwość powołania się na art. 6 ust. 1 lit. f RODO jako podstawę przetwarzania danych osobowych strony, aktualizuje się jedynie w sytuacji, kiedy wnioskodawca podnosi już roszczenie przeciwko Bankowi. Co więcej należy podkreślić, że cały czas istnieje możliwość podniesienia roszczeń wobec Banku, co uprawdopodabnia fakt samego wszczęcia postępowania przed organem przez stronę postępowania, która uważa, że jej dane osobowe są nieprawidłowo przetwarzane przez Bank. Ryzyko zgłoszenia roszczeń przez wnioskodawczynię wobec Banku rzeczywiście zatem istnieje. Nie może być zatem mowy o istnieniu jedynie "hipotetycznego" uzasadnionego interesu administratora. Nie jest to w żadnym wypadku przetwarzanie na zapas.
W odpowiedzi na skargę organ wniósł o jej oddalenie oraz podtrzymał twierdzenia zawarte w uzasadnieniu przedmiotowej decyzji. W szczegółowy sposób odniósł się do zarzutów skargi uznając je za niezasadne.
W piśmie procesowym z [...] stycznia 2023 r. Bank podtrzymał w całości swoją dotychczasową argumentację w sprawie.
W odpowiedzi na powyższe pismo, organ w piśmie z [...] kwietnia 2023 r. również podtrzymał w całości swoje stanowisko w sprawie.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:
Stosownie do art. 1 § 2 ustawy z dnia 25 lipca 2002 r. Prawo o ustroju sądów administracyjnych (t.j. Dz. U. z 2022 r. poz. 2492) w zw. z art. 3 § 1 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz. U.
z 2023 r. poz. 259, dalej "p.p.s.a."), sądy administracyjne sprawują kontrolę działalności administracji publicznej, stosując środki określone w ustawie. Kontrola sądu polega na zbadaniu, czy przy wydawaniu zaskarżonego aktu nie doszło do rażącego naruszenia prawa dającego podstawę do stwierdzenia jego nieważności, naruszenia prawa dającego podstawę do wznowienia postępowania, naruszenia prawa materialnego
w stopniu mającym wpływ na wynik sprawy oraz naruszenia przepisów postępowania administracyjnego w stopniu mogącym mieć istotny wpływ na wynik sprawy. Sąd nie jest przy tym związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną, zgodnie z dyspozycją art. 134 § 1 p.p.s.a. Sąd nie rozstrzyga sprawy administracyjnej merytorycznie, lecz ocenia zgodność aktu z przepisami prawa.
Przedmiotem kontroli Sądu jest decyzja Prezesa UODO z [...] września 2022 r. nakazująca Bankowi zaprzestanie przetwarzania danych osobowych wnioskodawcy.
W pierwszej kolejności wyjaśnić należy, że przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów oraz instytucje utworzone na podstawie art. 105 ust. 4 ustawy Prawo bankowe, informacji stanowiących tajemnicę bankową w zakresie dotyczącym osób fizycznych może być wykonywane,
z zastrzeżeniem art. 104, art. 105 i art. 106-106c tej ustawy, w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Wspomniane instytucje mogą,
z zastrzeżeniami wyraźnie ustalonymi w Prawie bankowym, przetwarzać informacje stanowiące tajemnicę bankową w zakresie dotyczącym osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, pod warunkiem uzyskania pisemnej zgody osoby, której informacje te dotyczą. Zgoda ta może być w każdym czasie odwołana.
Dopuszczalność przetwarzania informacji stanowiących tajemnicę bankową przez instytucje utworzone na podstawie art. 105 ust. 4 ustawy Prawo bankowe po wygaśnięciu zobowiązania wynikającego z umowy, bez zgody osoby, której informacje takie dotyczą, wprowadziła regulacja zawarta w art. 105a ust. 3 ww. ustawy. Zgodnie
z tym przepisem banki, instytucje ustawowo upoważnione do udzielania kredytów oraz instytucje utworzone na podstawie art. 105 ust. 4 ustawy Prawo bankowe mogą przetwarzać informacje stanowiące tajemnicę bankową, dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank lub inną instytucję ustawowo upoważnioną do udzielania kredytów o zamiarze przetwarzania dotyczących jej informacji stanowiących tajemnicę bankową, bez jej zgody.
Należy podkreślić, że jeśli w okresie 30 dni od powiadomienia o zamiarze przetwarzania informacji jego dotyczących bez zgody po wygaśnięciu zobowiązania klient spłacił całą zaległość wobec banku, to po upływie 30 dnia bank i inna instytucja upoważniona do udzielania kredytów oraz instytucja z art. 105 ust. 4 ustawy Prawo bankowe nie mogą przetwarzać informacji bez jego zgody. Termin trzydziestodniowy został bowiem wprowadzony w celu zapewnienia konsumentowi ostatecznej możliwości wywiązania się z zobowiązań wobec banku i uniknięcia tym samym sankcji w postaci przetwarzania o nim informacji jako o niesolidnym dłużniku przez okres 5 lat.
Przechodząc do analizy przepisu art. 105a ust. 3 ustawy Prawo bankowe, należy wyraźnie podkreślić, że ustawodawca nie stworzył żadnych szczególnych wymogów formalnych, co do sposobu i treści poinformowania klienta lub byłego klienta banku o zamiarze przetwarzania jego danych. Nie oznacza to jednak całkowitej dowolności w tym zakresie. Jakkolwiek ustawodawca w żaden sposób nie ograniczył sposobów i form takiego powiadomienia, jednakże w każdym wypadku sposób ten powinien umożliwić zweryfikowanie faktu poinformowania klienta banku o zamierzonym przetwarzaniu jego danych osobowych lub też przynajmniej potwierdzenie, że klientowi umożliwiono zapoznanie się z taką informacją (por. wyrok NSA z dnia 27 sierpnia 2019 r., I OSK 2514/17, dostępny w CBOSA).
Zdaniem Sądu, prawidłowa wykładnia zawartego w art. 105a ust. 3 ustawy Prawo bankowe zwrotu "poinformowania tej osoby" winna uwzględnić nie tylko treść normy zawartej w art. 61 § 1 k.c., ale także tę część normy zawartej w art. 105a ust. 3 ustawy Prawo bankowe, która ustanawia dodatkowy trzydziestodniowy termin na wykonanie zobowiązania. W literaturze przedmiotu podkreśla się bowiem, że sam fakt, że klient nie wykonał zobowiązania lub spóźnił się z jego wykonaniem co najmniej 60 dni, nie upoważnia instytucji do przetwarzania jego danych. Musi bowiem zostać poinformowany o możliwości przetwarzania jego danych bez uzyskania od niego zgody. Dopiero bezskuteczny upływ 30 dni od momentu poinformowania stanowi wypełnienie przesłanek z art. 105a ust. 3 ww. ustawy. W przypadku, gdy konsument spełni świadczenie w czasie tych 30 dni, instytucje tracą prawo do przetwarzania informacji bez jego uprzedniej zgody. Moment, od którego należy liczyć sześćdziesięciodniowy termin, w którym konsument dopuszcza się zwłoki w wykonaniu zobowiązania, to termin wykonania zobowiązania. Dopiero po upływie 60 dni zaczyna biec trzydziestodniowy termin, w którym instytucja jeszcze oczekuje na wykonanie zobowiązania klienta. Termin trzydziestodniowy nie biegnie jednak ex lege, a dopiero od momentu, w którym konsument zostanie poinformowany o zamiarze przetwarzania. Termin ten liczy się nie od momentu wysłania informacji, ale od chwili, w której konsument mógł się z nią zapoznać. Wydaje się, że sama czynność poinformowania może nastąpić wcześniej niż po upływie 60 dni (tak: Agnieszka Żygadło Przetwarzanie informacji stanowiących tajemnicę bankową po wygaśnięciu zobowiązania", Pr. Bankowe 2006/4/83).
Wypada w tym miejscu wyjaśnić, że konstrukcja przyjęta w art. 61 § 1 zdanie pierwsze k.c. odpowiada tzw. kwalifikowanej teorii doręczenia, która zadowala się dojściem oświadczenia woli do adresata w taki sposób, że miał on możliwość zapoznania się z jego treścią (por. wyrok SN z 8 września 2016 r., sygn. akt II CSK 750/15, M. Pr. Bank. 2017/10, s. 21 i 35, z glosą T. Czecha oraz z omówieniem M. Bączyka, M. Pr. Bank 2017/11, s. 58). To, czy rzeczywiście się z tym oświadczeniem zapoznał, co do zasady nie ma w kontekście art. 61 § 1 k.c. znaczenia (por. wyroki SN: z 18 listopada 1999 r., sygn. akt I PKN 375/99, OSNAPiUS 2001/7, poz. 227; z 20 maja 2015 r., sygn. akt I CSK 547/14, LEX nr 1767493 i z 22 marca 2017 r., sygn. akt III CSK 148/16, LEX nr 23552146 oraz przytoczona uchwała składu siedmiu sędziów SN z 31 marca 2016 r., III CZP 89/15; Z. Radwański [w:} System Prawa Prywatnego, t. 2, 2008, s. 292).
Rozwiązanie to wiąże się z pewnym zagrożeniem dla osoby, której oświadczenie woli jest składane, zakłada bowiem możliwość zaistnienia sytuacji, w których oświadczenie to zostanie uznane za złożone, z czym częstokroć będą związane istotne skutki prawne, choć jego adresat nie wiedział o tym oświadczeniu albo nie znał jego treści.
W literaturze przedmiotu podkreśla się, że zagrożenie to jest akceptowalne przede wszystkim dlatego, że negatywne skutki teorii doręczenia mogą ujawnić się w zasadzie tylko w ramach już istniejącego między stronami stosunku prawnego, ponieważ tylko wtedy jednostronne oświadczenia (czynności prawne) mogą oddziaływać niekorzystnie na sytuację prawną adresata oświadczenia woli. Do powstania zaś tego stosunku zazwyczaj niezbędna jest zgoda adresata, a wyrażając ją i przyznając w ten sposób – choćby mocą czynników innych niż treść samego oświadczenia (por. art. 56) – drugiej stronie możliwość jednostronnego oddziaływania na swą sytuację prawną (np. wypowiedzenia umowy albo wysokości świadczenia, odstąpienia, przyjęcia oferty, wezwania do wykonania zobowiązania, wyboru świadczenia przemiennego), adresat musi liczyć się ze składaniem takich oświadczeń i nie może dysponować instrumentem, który w prosty sposób mógłby paraliżować ich skutki (np. stroniąc od zapoznania się z tym oświadczeniem). Dlatego faktyczne zapoznanie się z oświadczeniem przynależy już wyłącznie do prawnie irrelewantnej sfery wewnętrznej adresata oświadczenia (tak: Roman Trzaskowski w: "Kodeks cywilny. Komentarz Tom I. Część ogólna cz. 2 (art. 56-125)" pod red. Jacka Gudowskiego, Lex/el 2021, (cz.3 do art. 61).
Podzielić należy zatem pogląd skarżącego Banku, że faktyczne zapoznanie się przez adresata z treścią oświadczenia Banku nie ma w kontekście art. 105a § 3 ustawy Prawo bankowe i art. 61 § 1 k.c. znaczenia, jako że należy już wyłącznie do prawnie irrelewantnej sfery wewnętrznej adresata oświadczenia. Jednakże poinformowanie adresata oświadczenia winno, z uwagi na wspomniany powyżej dodatkowy trzydziestodniowy termin na wykonanie zobowiązania, nastąpić w ten sposób, by można było ustalić początek biegu tego terminu. Dopiero bowiem bezskuteczny upływ owego trzydziestodniowego dodatkowego terminu upoważnia Bank do przetwarzania danych osobowych w oparciu o przepis art. 105a ust. 3 ustawy Prawo bankowe.
Nadanie powiadomienia, o którym mowa w art. 105a ust. 3 ustawy Prawo bankowe, listem poleconym nie pozwala – w okolicznościach niniejszej sprawy – na ustalenie początku biegu wskazanego terminu. Skoro to Bank wywodzi skutki prawne z powiadomienia strony o zamiarze przetwarzania jej danych osobowych stanowiących tajemnicę bankową bez jej zgody, to musi wykazać, że bezskutecznie upłynęło 30 dni od daty poinformowania strony o tym zamiarze. Wykazanie tej okoliczności wymaga jednak – co oczywiste – wykazania początku biegu owego trzydziestodniowego terminu.
W analizowanej sprawie brak jest możliwości ustalenia tej okoliczności, co powoduje, że brak jest podstaw do przyjęcia, że powiadomienie wnioskodawcy o zamiarze przetwarzania jego danych osobowych wyczerpało wymogi art. 105a ust. 3 ustawy Prawo bankowe oraz że upłynął bezskutecznie dodatkowy trzydziestodniowy termin na spełnienie świadczenia.
Reasumując niezasadny jest podniesiony w skardze Banku zarzut naruszenia prawa materialnego, które miało wpływ na wynik sprawy, tj. art. 105a ust. 3 ustawy Prawo bankowe poprzez jego błędną wykładnię, skutkującą przyjęciem, że wykonanie obowiązku informacyjnego, o którym mowa w powołanym przepisie, polega na skutecznym doręczeniu osobie fizycznej, po wygaśnięciu jej zobowiązania wynikającego z umowy zawartej z bankiem, informacji o zamiarze przetwarzania jej danych osobowych bez jej zgody, podczas gdy prawidłowa interpretacja tego przepisu prowadzi do wniosku, że "poinformowanie" oznacza rzeczywiste umożliwienie zapoznania się z treścią wyżej wymienionej informacji, za czym przemawia wykładnia systemowa, celowościowa, funkcjonalna jak i również zastosowana przez Bank, wykładnia językowa art. 105a ust. 3 ustawy Prawo bankowe.
Za nietrafny należy też uznać zarzut Banku naruszenia prawa materialnego, które miało wpływ na wynik sprawy, tj. art. 6 ust. 1 lit. f RODO w związku z art. 105a ust. 3 ustawy Prawo bankowe - poprzez jego błędną wykładnię, skutkującą przyjęciem, że przetwarzanie danych osobowych strony przez okres przedawnienia roszczeń Banku wobec wnioskodawcy, nie stanowi prawnie uzasadnionego interesu administratora, podczas gdy prawidłowa interpretacja tego przepisu prowadzi do wniosku, że takie przetwarzanie jest dopuszczalne przez okres przedawnienia roszczeń wynikający z art. 118 k.c., w zakresie uzasadnionym celem takiego przetwarzania.
W doktrynie wskazuje się, że dla możliwości oparcia przetwarzania danych osobowych na przesłance z art. 6 ust. 1 lit. f RODO konieczne jest, by przetwarzanie było niezbędne dla realizacji prawnie uzasadnionych interesów administratora. Nie wystarczy zatem samo ich występowanie, lecz dodatkowo konieczne jest wykazanie, że dla ich realizacji przetwarzanie danych osobowych jest niezbędne. Oznacza to, że przetwarzanie danych dla realizacji prawnie uzasadnionego interesu administratora lub strony trzeciej musi być, rozsądnie oceniając, potrzebne (por. "RODO. Ogólne rozporządzenie o ochronie danych. Komentarz" WKP 2018, autorstwa Dominika Lubasza, Witolda Chomiczewskiego i innych).
Z materiału dowodowego zgromadzonego w toku przedmiotowego postępowania wynika, że Bank obecnie przetwarza dane osobowe strony na podstawie art. 6 ust. 1 lit. f RODO w celu obrony i dochodzenia roszczeń pomimo, że wnioskodawca nie wystąpił z roszczeniem wobec Banku, jak również Bank nie dochodzi roszczeń od strony, które to okoliczności uzasadniałyby uprawnienie Banku do zachowania
i przetwarzania danych osobowych wnioskodawcy w związku z ich zabezpieczeniem
i dochodzeniem. Nie sposób zgodzić się z Bankiem jakoby w okresie, kiedy każda ze stron stosunku zobowiązaniowego może wystąpić do sądu z roszczeniami wynikającymi z tego stosunku, czyli przez określony odrębnymi przepisami okres przedawnienia roszczeń o charakterze majątkowym, istniał prawnie uzasadniony interes administratora danych do ich przetwarzania, z zastrzeżeniem, że przetwarzanie to odbywa się
w sposób ograniczony wyłącznie do celu, jakim jest cel dowodowy w ewentualnym postępowaniu sądowym, a zatem co do zasady przetwarzanie to polega na przechowywaniu danych.
Brak jest uzasadnienia dla przyjęcia, że terminy dotyczące przedawnienia roszczeń wynikających ze stosunków zobowiązaniowych określają jednocześnie ramy czasowe, w których dane osobowe mogą być przetwarzane przez Bank. Przedawnienie roszczenia nie wywołuje skutków na gruncie ochrony danych osobowych, nie wpływa bowiem na fakt istnienia roszczenia, a powoduje jedynie zmianę w sferze zarzutów procesowych w postaci możliwości podniesienia okoliczności przedawnienia w sporze sądowym. Podkreślenia wymaga, że okolicznością usprawiedliwiającą przetwarzanie danych osobowych w celu dochodzenia roszczeń jest sam fakt istnienia roszczenia oraz zamiar jego dochodzenia, nie jest nią natomiast zmiana w uprawnieniach procesowych podmiotu pozwanego.
W ocenie Sądu, brak jest zatem spełnienia wskazywanej przez Bank przesłanki niezbędności do celów wynikających z prawnie usprawiedliwionych interesów realizowanych przez administratora odnośnie do przetwarzania danych osobowych wnioskodawcy. Przesłanka z art. 6 ust. 1 lit. f RODO dotyczy sytuacji już istniejącej,
w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia, potrzeba dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem, które może powstać
|w przyszłości. W związku z tym, że przeprowadzone przez organ postępowanie administracyjne nie wykazało, aby strona skierowała wobec Banku jakiekolwiek roszczenie lub aby Bank dochodził roszczeń wobec niej, należy zgodzić się z Prezesem UODO, że Bank przetwarza dane osobowe wnioskodawcy w ww. celu wyłącznie "na zapas", aby zabezpieczyć się przed ewentualnym przyszłymi i niepewnymi roszczeniami strony.
Należy podkreślić, że wbrew twierdzeniom Banku, przesłanka określona w art. 6 ust. 1 lit. f RODO nie jest ukierunkowana na ochronę interesów sektora bankowego czy też gospodarczego. Legalność przetwarzania danych osobowych w oparciu o tę przesłankę uzależniona jest od tego, czy przetwarzanie to jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą. W ocenie Sądu przepis ten nie polega zatem na ochronie wszelkich interesów sektora bankowego. Podobnie jak pozostałe przesłanki wymienione w art. 6 ust. 1 RODO stanowi przesłankę zgodności z prawem procesu przetwarzania. Tym samym chroni przede wszystkim osobę, której proces ten dotyczy przed nieuprawnionym przetwarzaniem jej danych osobowych. Nie można ponadto mówić o zaistnieniu prawnie uzasadnionego interesu w przypadku, gdy dane osobowe przetwarzane są na zapas, na wypadek gdyby taki prawnie uzasadniony interes pojawić się mógł dopiero
w przyszłości. Bank niezasadnie skupił się na własnych interesach gospodarczych nie dostrzegając jednocześnie, że z punktu widzenia ochrony danych osobowych dane te mogą być wprawdzie przetwarzane do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, ale wyłącznie wówczas, gdy są nadrzędne nad interesami i prawami osoby, której dane dotyczą. Tymczasem sytuacja taka w niniejszej sprawie nie zachodziła, ponieważ ważąc interesy i podstawowe prawa i wolności osoby, której dane dotyczyły, takie jak chociażby gwarantowane (tak na gruncie prawa europejskiego, Konstytucji RP czy prawa cywilnego) prawo do prywatności, z interesem administratora, który dotyczy w tym wypadku zachowania w swych zasobach danych "na wszelki wypadek", tj. na wypadek tego, że mogą się okazać przydatne w przyszłości do dochodzenia lub obrony ewentualnych roszczeń, które obecnie nie istnieją, należało dojść do wniosku, że to interesy i podstawowe prawa i wolności osoby, której dane dotyczą są nadrzędne.
Niezasadny jest również zarzut naruszenia przepisów postępowania, które miało istotny wpływ na wynik sprawy, tj. art. 6, art. 7, art. 8 § 1 i 2, art. 77 § 1, art. 80 oraz art. 107 § 3 Kpa w zw. z art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (t.j. Dz. U. z 2019 r., poz. 1781), polegający na niezastosowaniu zasad ogólnych postępowania administracyjnego: praworządności, prawdy obiektywnej
i pogłębiania zaufania do władzy publicznej oraz przekroczeniu granic swobodnej oceny dowodów i - w konsekwencji - błędnym przyjęciu, że potwierdzenie nadania listem poleconym nie stanowi dowodu poinformowania strony o zamiarze przetwarzania jej danych osobowych bez jej zgody, w oparciu o w art. 105a ust. 3 ustawy Prawo bankowe, podczas gdy jest to wyłącznie potwierdzenie nadania pisma listem poleconym, mające moc dokumentu urzędowego, stanowiące dostateczny dowód przekazania informacji zgodnie z wymogami ww. przepisu. Prezes UODO podjął
w niniejszej sprawie przewidziane prawem czynności służące wnikliwemu i rzetelnemu ustaleniu okoliczności faktycznych sprawy. Ustalenia faktyczne organu zostały dokonane w oparciu o całość materiału dowodowego, zgromadzonego i zbadanego
w sposób wyczerpujący, a więc przy podjęciu wszelkich kroków niezbędnych do dokładnego wyjaśnienia okoliczności sprawy. Ocena materiału dowodowego została dokonana przez organ zgodnie z zasadą swobodnej oceny dowodów i nie nosi cech dowolności. Decyzja w niniejszej sprawie nie została zaś wydana z naruszeniem art. 107 § 3 Kpa. Uzasadnienie rozstrzygnięcia spełnia bowiem wymogi określone w ww. przepisie. Zawiera ocenę zebranego w postępowaniu materiału dowodowego, wykładnię stosowanych przepisów oraz ocenę przyjętego stanu faktycznego w świetle obowiązującego prawa. Uzasadnienie zaskarżonej decyzji jest spójne wewnętrznie
i logiczne, nie zawiera przy tym luk ani sprzeczności.
W tych okolicznościach skarga nie zasługiwała na uwzględnienie.
Mając na względzie powyższe, Wojewódzki Sąd Administracyjny w Warszawie na podstawie art. 151 p.p.s.a. orzekł jak w sentencji.