II SA/Wa 1641/23

II SA/Wa 1641/23 - Wyrok WSA w Warszawie
Data orzeczenia
2024-04-25
orzeczenie prawomocne
Data wpływu
2023-08-23
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Danuta Kania /przewodniczący/
Dorota Kozub-Marciniak
Joanna Kruszewska-Grońska /sprawozdawca/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę
Powołane przepisy
Dz.U. 2023 poz 2488
art. 105a ust. 3
Ustawa z dnia 29 sierpnia 1997 r. Prawo bankowe (t. j.)
Dz.U.UE.L 2016 nr 119 poz 1  art. 6 ust. 1 i art. 58 ust. 2 lit. c
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z  przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Danuta Kania, Sędzia WSA Joanna Kruszewska-Grońska (spr.), Asesor WSA Dorota Kozub-Marciniak, po rozpoznaniu w trybie uproszczonym w dniu 25 kwietnia 2024 r. sprawy ze skargi S. S.A. z siedzibą w W. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] czerwca 2023 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę
Uzasadnienie
Zaskarżoną w niniejszej sprawie decyzją z [...] czerwca 2023 r. nr [...] Prezes Urzędu Ochrony Danych Osobowych (dalej: "PUODO", "organ"), mając za podstawę art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (obecnie tekst jednolity: Dz. U. z 2024 r., poz. 572; dalej: "k.p.a.") w związku z art. 7 ust. 1 i ust. 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781; dalej: "u.o.d.o."), art. 6 ust. 1 oraz art. 58 ust. 2 lit. c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych - Dz. Urz. UE L 119 z dnia 4 maja 2016 r., str. 1 ze sprost.; dalej: "RODO") w związku z art. 105a ust. 3 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (obecnie tekst jednolity: Dz. U. z 2023 r., poz. 2488 ze zm.; dalej: "P.b."), nakazał [...] Bank S.A. z siedzibą [...] (dalej: "skarżący", "Bank") zaprzestania przetwarzania danych osobowych W.S. (dalej: "klient") dotyczących umowy kredytu z [...] maja 2018 r. nr [...], przetwarzanych na podstawie art. 105a ust. 3 P.b. w celu oceny zdolności kredytowej i analizy ryzyka kredytowego w systemie [...] S.A. z siedzibą w [...] (dalej: "[...]").
W uzasadnieniu powyższego rozstrzygnięcia organ podał, że klient w adresowanej do PUODO skardze z [...] grudnia 2022 r. wskazał na nieprawidłowości w procesie przetwarzania jego danych osobowych przez skarżącego. Podniósł, iż Bank nie spełnił obowiązku określonego w art. 105a ust. 3 P.b., a mianowicie nie poinformował go skutecznie o zamiarze przetwarzania jego danych osobowych bez jego zgody po wygaśnięciu zobowiązania wynikającego z umowy nr [...]. W związku z tym klient zażądał nakazania skarżącemu zaprzestania przetwarzania jego danych dotyczących ww. umowy w systemie [...].
Natomiast Bank wyjaśnił, że pozyskał dane osobowe klienta w zakresie: imienia, nazwiska, obywatelstwa, stanu cywilnego, nr PESEL, serii i numeru dowodu osobistego, adresu zameldowania, adresu korespondencyjnego, numeru telefonu, adresu e-mail, informacji o dochodach, informacji odnośnie zatrudnienia w związku z umową z [...] maja 2018 r. nr [...], z tytułu której powstało zadłużenie. W związku z trwającą powyżej 60 dni zwłoką w spełnieniu świadczenia przez klienta, skarżący skierował do niego oświadczenie z [...] września 2020 r. o wypowiedzeniu umowy, w którym zawarta była informacja o zamiarze przetwarzania danych klienta bez jego zgody, na podstawie art. 105a ust. 3 P.b. Korespondencja ta została nadana [...] września 2020 r., a 5-letni okres przetwarzania danych klienta przez [...] w oparciu o ww. przepis rozpoczął się z dniem [...] lipca 2022 r.
W odpowiedzi na wezwanie klienta z [...] września 2022 r. do zakończenia przetwarzania jego danych osobowych, Bank poinformował go, iż żądanie w zakresie wycofania zgody na przetwarzanie danych zostało zrealizowane, ale skarżący może dalej przetwarzać jego dane na mocy art. 105a ust. 3 P.b. Nadto wprawdzie skarżący nie kieruje względem klienta roszczeń, lecz przetwarza jego dane w trybie art. 6 ust. 1 lit. f RODO w celu obrony przed ewentualnymi roszczeniami, przy czym klient też dotychczas nie występował z roszczeniami wobec Banku. Przetwarzanie danych w ww. celu - do czasu przedawnienia ewentualnych roszczeń (zgodnie z art. 118 ustawy z dnia 23 kwietnia 1964 r. Kodeks cywilny - Dz. U. z 2023 r., poz. 1610 ze zm.; dalej: "k.c.") - stanowi także uzasadniony interes skarżącego.
Bank podkreślił, że aktualnie [...] przetwarza dane klienta wynikające z ww. umowy w zakresie przekazanym przez skarżącego, a obejmującym: dane identyfikujące klienta, tj. imię, nazwisko, PESEL, seria i numer dowodu osobistego, płeć, data urodzenia, obywatelstwo, adres zamieszkania; dane dotyczące zobowiązania, tj. relacja klienta do rachunku, data zawarcia umowy, daty powstania i ustania relacji, typ transakcji, kwota kredytu z kosztem odsetkowym, kwota kredytu, kwota raty, waluta i jej kurs, liczba rat, okres obowiązywania umowy, liczba uczestników transakcji, przewidywana data zakończenia, częstotliwość spłat odsetek i spłat kapitału, pierwotne saldo rachunku, informacje na temat historii spłaty, w tym informacja o opóźnieniach w spłacie, informacja o spełnieniu warunków z art. 105a ust. 3 P.b., informacja o udzieleniu i wycofaniu zgody, o której mowa w art. 105a ust. 2 P.b. Powyższe dane zostały pozyskane na podstawie art. 105 ust. 4 oraz art. 105a ust. 1 P.b., jak również na podstawie umowy łączącej skarżącego i [...]. Celem ich pozyskania było wykonywanie czynności bankowych, w szczególności ocena zdolności kredytowej i analiza ryzyka kredytowego; tworzenie statystyk i analiz, których wynikiem nie są dane osobowe czy decyzje względem konkretnych osób fizycznych; stosowanie metod wewnętrznych, a także innych metod i modeli określonych w art. 105a ust. 4 P.b. Przedmiotowe dane zostały przekazane do [...] przez Bank [...] maja 2018 r. w postaci tzw. wsadów informacyjnych.
[...] potwierdził aktualne przetwarzanie danych osobowych dotyczących umowy w celu oceny zdolności kredytowej i analizy ryzyka kredytowego w trybie art. 105a ust. 3 P.b., gdyż otrzymał od Banku informację o spełnieniu warunków przewidzianych w tym przepisie. Przedmiotowe dane będą przetwarzane w ww. celu przez 5 lat od dnia wygaśnięcia zobowiązania (Bank podał [...] lipca 2022 r. jako tę datę), w myśl art. 105a ust. 5 P.b. Ponadto dane o zobowiązaniu są przetwarzane przez [...] w celach statystycznych i analiz, których wynikiem nie są dane osobowe i wynik ten nie służy za podstawę podejmowania decyzji dotyczących konkretnych osób fizycznych – podstawą prawną przetwarzania danych osobowych w tym celu jest prawnie uzasadniony interes administratora danych, wynikający z przepisów P.b. (m.in. art. 105 ust. 4 i art. 105a ust. 4 P.b.) oraz w celu stosowania metod i modeli wskazanych w art. 105a ust. 4 P.b. Dane w tych celach są przetwarzane maksymalnie przez 12 lat od dnia wygaśnięcia zobowiązania (wedle art. 105a ust. 5 P.b.).
[...] poinformował również, iż ani skarżący ani klient nie zwracali się do niego o usunięcie danych odnośnie umowy z [...] maja 2028 r. nr [...].
Powołując się na art. 6 ust. 1 RODO, organ wywiódł, że co do zasady podstawą prawną przetwarzania danych osobowych klientów przez Bank w [...] może być art. 6 ust. 1 lit. f RODO, gdy przetwarzanie to jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora, przy czym przetwarzanie danych przez [...] odbywa się na podstawie zawartej z Bankiem umowy. Następnie PUODO przytoczył treść art. 105 ust. 4 i art. 105a ust. 1 i ust. 3 P.b., zaznaczając, że banki oraz [...] mogą przetwarzać m.in. informacje stanowiące tajemnicę bankową i informacje udostępniane przez instytucje pożyczkowe dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z zawartej umowy.
Dalej organ odnotował, że zobowiązanie klienta wynikające z umowy z [...] maja 2018 r. wygasło wobec skarżącego [...] lipca 2022 r., lecz klient dopuścił się zwłoki trwającej dłużej niż 60 dni w spłacie tego zobowiązania. Według PUODO, istotne w niniejszej sprawie jest to, iż Bank nie spełnił wobec klienta obowiązku określonego w art. 105a ust. 3 P.b, tj. nie poinformował go skutecznie o zamiarze przetwarzania dotyczących jego informacji stanowiących tajemnicę bankową, bez jego zgody, po wygaśnięciu zobowiązania wynikającego z umowy. Sam fakt, że klient nie wykonał zobowiązania lub spóźnił się z jego wykonaniem co najmniej 60 dni, nie upoważnia skarżącego do przetwarzania jego danych na warunkach określonych w ww. przepisie. Moment, od którego należy liczyć 60-dniowy termin, w którym osoba, której dane dotyczą, dopuszcza się zwłoki w wykonaniu zobowiązania, to termin wykonania zobowiązania. Dopiero po upływie 60 dni zaczyna biec termin 30-dniowy, przy czym termin ten biegnie od momentu, w którym klient zostanie skutecznie poinformowany przez instytucję o zamiarze przetwarzania. Ostatecznie to bezskuteczny upływ 30 dni od momentu poinformowania stanowi wypełnienie przesłanek z art. 105a ust. 3 P.b. Skoro Bank wysłał listem poleconym oświadczenie o wypowiedzeniu umowy kredytu wraz z informacją o zamiarze przetwarzania danych klienta na podstawie ww. przepisu, to nie można ustalić daty zapoznania się przez klienta z przesłaną do niego informacją, a tym samym niemożliwe jest ustalenie daty, od której biegnie 30-dniowy termin określony w tym przepisie.
Organ uznał, iż skarżący nie przestawił dowodu na prawidłowe doręczenie klientowi dokumentu, w którego treści zawarta była informacja o okolicznościach wskazanych w art. 105a ust. 3 P.b. Zatem nie można stwierdzić, że Bank skuteczne poinformował klienta o treści ww. przepisu. Samo sporządzenie i wysłanie pisma nie jest równoznaczne z udowodnieniem jego prawidłowego doręczenia. Oświadczenie o przygotowaniu i wysłaniu korespondencji czy wydruk z elektronicznej książki nadawczej, w której archiwizowane są dane o pismach skierowanych do klientów, nie stanowią dowodu na jej dostarczenie lub poinformowanie o jej treści adresata.
PUODO zauważył, iż przepisy powszechnie obowiązującego prawa nie formułują obowiązku wysłania informacji określonej w art. 105a ust. 3 P.b. w szczególnej formie. To do podmiotu informującego należy więc wybór formy przekazania odbiorcy komunikatu o zamiarze przetwarzania danych osobowych bez jego zgody. Jednocześnie to podmiot informujący wywodzi z powyższego skutki prawne, czyli to on musi wykazać, że poinformował klienta o zamiarze przetwarzania danych stanowiących tajemnicę bankową, bez jego zgody na mocy ww. przepisu.
Organ zaaprobował stanowisko wyrażone przez Naczelny Sąd Administracyjny (dalej: "NSA") w wyroku z 7 sierpnia 2018 r., sygn. akt I OSK 2123/16, w myśl którego "literalne odczytanie art. 105a ust. 3 Prawa bankowego może wskazywać na to, że ustawodawca nie stworzył w tym zakresie żadnych szczególnych wymagań formalnych co do sposobu i treści takiego poinformowania klienta lub byłego klienta banku. Prawidłowa wykładnia tego przepisu nie może jednak oznaczać całkowitej dowolności w tym zakresie. Przede wszystkim należy zwrócić uwagę na materialny (ochronny), a nie formalny charakter tego przepisu. Wymaga on w sposób kategoryczny >>poinformowania<<, a nie >>wysłania zawiadomienia<<" (orzeczenia sądów administracyjnych są publikowane w internetowej bazie orzeczeń na stronie NSA: orzeczenia.nsa.gov.pl).
PUODO skonkludował, iż w toku postępowania nie stwierdzono zaistnienia okoliczności uprawniających skarżącego do przetwarzania danych osobowych klienta w oparciu o art. 105a ust. 3 P.b.
Korzystając z uprawnienia przewidzianego w art. 58 ust. 2 lit. c RODO, organ nakazał skarżącemu zaprzestanie przetwarzania na podstawie art. 105a ust. 3 P.b. danych osobowych klienta dotyczących umowy kredytowej z [...] maja 2018 r. nr [...] przetwarzanych w celu oceny zdolności kredytowej i analizy ryzyka kredytowego.
Pismem z 17 lipca 2023 r. Bank zaskarżył opisaną wyżej decyzję PUODO z [...] czerwca 2023 r. do Wojewódzkiego Sądu Administracyjnego w Warszawie, zarzucając naruszenie:
1) przepisów postępowania, mające istotny wpływ na wynik sprawy, tj. art. 6, art. 7, art. 8 § 1 i 2, art. 77 § 1, art. 80 oraz art. 107 § 3 k.p.a. w związku z art. 7 ust. 1 u.o.d.o., polegające na niezastosowaniu zasad ogólnych postępowania administracyjnego: praworządności, prawdy obiektywnej i pogłębiania zaufania do władzy publicznej oraz przekroczeniu granic swobodnej oceny dowodów, a w konsekwencji błędnym przyjęciu, że potwierdzenie nadania pisma listem poleconym nie stanowi dowodu poinformowania klienta o zamiarze przetwarzania jego danych osobowych bez jego zgody, w oparciu o w art. 105a ust. 3 P.b., podczas gdy jest to dokument mający moc dokumentu urzędowego, stanowiący dostateczny dowód przekazania informacji zgodnie z wymogami art. 105a ust. 3 P.b.;
2) przepisów prawa materialnego, które miało wpływ na wynik sprawy, tj. art. 105a ust. 3 P.b., poprzez jego błędną wykładnię skutkującą przyjęciem, iż wykonanie obowiązku informacyjnego, o którym mowa w ww. przepisie, polega na skutecznym doręczeniu osobie fizycznej, po wygaśnięciu jej zobowiązania wynikającego z umowy zawartej z Bankiem, informacji o zamiarze przetwarzania jej danych osobowych bez jej zgody, podczas gdy prawidłowa interpretacja tego przepisu prowadzi do wniosku, że "poinformowanie" oznacza rzeczywiste umożliwienie zapoznania się z treścią tej informacji.
W oparciu o ww. zarzuty, Bank wniósł o uchylenie zaskarżonej decyzji; zasądzenie kosztów postępowania, w tym kosztów zastępstwa prawnego, według norm przepisanych; zobowiązanie PUODO do wydania decyzji oddalającej skargę klienta o zaprzestanie przetwarzania jego danych osobowych; rozpoznanie sprawy w trybie uproszczonym; a także o wstrzymanie wykonania zaskarżonej decyzji.
W uzasadnieniu skargi Bank szczegółowo umotywował sformułowane w niej zarzuty. Zaakcentował, iż przedstawił oświadczenie o wypowiedzeniu umowy wraz z potwierdzeniem nadania tego pisma listem poleconym (odpis z pocztowej książki nadawczej) mającym moc dokumentu urzędowego, a przesyłka zaadresowana do klienta nie została zwrócona. W ocenie skarżącego, stosownie do treści art. 17 ustawy z 23 listopada 2012 r. Prawo pocztowe (obecnie tekst jednolity: Dz. U. z 2023 r., poz. 1640 ze zm.; dalej: "P.p."), należy przyjąć, że dysponuje on dowodem (w postaci odpisu z pocztowej książki nadawczej) jednoznacznie wskazującym na spełnienie przez niego obowiązku informacyjnego z art. 105a ust 3 P.b.
Na poparcie swojego stanowiska Bank przywołał wyrok NSA z 11 maja 1998 r., sygn. akt II SA 517/98, w którym wskazano, iż potwierdzenie nadania przesyłki nie jest dokumentem urzędowym, a jedynie ma moc dokumentu urzędowego i dlatego na zasadzie analogii do tego dokumentu należy stosować domniemania odnoszące się do dokumentów urzędowych (art. 76 § 1 k.p.a.), a także stanowisko Sądu Najwyższego (dalej: "SN") zaprezentowane w wyroku z 17 marca 2010 r., sygn. akt II CSK 454/09, gdzie uznano, że "jeżeli nadawca przesyłki rejestrowanej uiścił opłatę, otrzymał potwierdzenie nadania, a operator nie zwrócił mu tej przesyłki, można domniemywać, że została doręczona adresatowi. W związku z tym należy uznać, że dowód nadania przesyłki rejestrowanej stanowi domniemanie doręczenia jej adresatowi, który może je obalić, wykazując, że nie miał możliwości zapoznania się z jej treścią. Należy zwrócić uwagę, że regułą jest, iż przesyłki pocztowe, zwłaszcza rejestrowane, są doręczane. Brak doręczenia zwykle powodują szczególne okoliczności, np. niedostatki w obsłudze pocztowej, błędne zaadresowanie przesyłki, znana nadawcy nieobecność adresata w miejscu zamieszkania itp. Wykazanie istnienia takich okoliczności wystarczy do podważenia wiarygodności omawianego dowodu prima facie".
Zdaniem skarżącego, dokonując analizy art. 105a ust. 3 P.b., nie można abstrahować od celu tego przepisu, którym nie jest ochrona nierzetelnego dłużnika, lecz ochrona sektora bankowego, a tym samym uczciwych kredytobiorców. Przyjęcie wykładni zaproponowanej przez organ prowadziłoby do istotnych nadużyć po stronie nierzetelnych dłużników i wypaczałoby sens regulacji, dając osobom niewywiązującym się ze zobowiązań, możliwość unikania ujawniania informacji o nich w [...] poprzez proste uchylanie się od odbioru korespondencji.
W ocenie Banku, stanowisko PUODO prowadzi do wniosku, iż każde wypowiedzenie umowy powinno być wysłane za potwierdzeniem odbioru lub doręczane do rąk własnych drugiej strony, a to stoi w jawnej sprzeczności z art. 61 § 1 k.c. Wbrew zapatrywaniu organu, wyrażonemu w zaskarżonej decyzji, w art. 105a ust. 3 P.b. nie chodzi o faktyczny rezultat, ale o zapewnienie adresatowi realnej możliwości zapoznania się z informacją.
W przedmiotowej sprawie [...] września 2020 r. Bank wysłał do klienta oświadczenie o wypowiedzeniu umowy, zawierające informację o zamiarze przekazania jego danych osobowych do [...]. Niewątpliwie Poczta Polska nie gwarantuje konkretnych terminów doręczenia przesyłki. Jednak zgodnie z § 3 rozporządzenia Ministra Administracji i Cyfryzacji z dnia 29 kwietnia 2013 r. w sprawie warunków wykonywania usług powszechnych przez operatora wyznaczonego (Dz. U. z 2020 r., poz. 1026; dalej: "rozp."), przesyłki powinny być dostarczane z zachowaniem wskaźników czasu przebiegu przesyłek pocztowych w obrocie krajowym. Wedle załącznika nr 1 do rozp., najdłuższy czas przebiegu przesyłek pocztowych w obrocie krajowym wynosi D+5, gdzie D oznacza dzień zawarcia umowy, a 5 oznacza liczbę dni, które upłynęły od dnia nadania do dnia doręczenia przesyłki pocztowej. Jak podaje Poczta Polska na swojej stronie internetowej, dla listów poleconych priorytetowych termin doręczenia wynosi D+1 dzień roboczy, natomiast dla listu poleconego ekonomicznego jest to D+3 dni robocze (vide https://www.pocztapolska.pl/biznes/korespondencja/listy-polecone/).
Kwestię doręczenia przesyłki poleconej i jej zwrotu szczegółowo regulował w dniu nadania przesyłki Regulamin świadczenia usług powszechnych obowiązujący od 27 maja 2020 r. do 29 listopada 2020 r. (dalej: "Regulamin") oraz przepisy P.p. W myśl art. 3 pkt 22 P.p. przesyłka pocztowa to przesyłka listowa będąca przesyłką rejestrowaną, przemieszczaną i doręczaną w sposób zabezpieczający ją przed utratą, ubytkiem zawartości lub uszkodzeniem.
W świetle zapisów § 24 ust. 1 oraz § 26 ust. 1 i ust. 2 Regulaminu możliwe jest określenie najpóźniejszego terminu, w którym klient mógł zapoznać się z informacją wymaganą przez art. 105a ust. 3 P.b. Na ww. termin składa się 7 dni na doręczenie przesyłki przez Pocztę Polską i 14 dni wynikające z terminów awizowania przesyłki. Dopiero po upływie tych 21 dni, czyli od dwudziestego drugiego dnia od nadania przesyłki (tj. [...] października 2020 r.) może rozpocząć się bieg 30-dniowego terminu określonego w art. 105a ust.3 P.b. Termin ten upłynął więc [...] listopada 2020 r., podczas gdy tzw. sankcyjne przetwarzanie danych klienta nastąpiło dopiero [...] lipca 2022 r. Pomiędzy ww. datami upłynęły aż 638 dni. W konsekwencji nie ma wątpliwości co do zachowania wymogów dla przetwarzania danych z art. 105a ust. 3 P.b., skoro pomiędzy najpóźniejszym momentem, w którym klient mógł zapoznać się z wymaganą informacją, a rozpoczęciem przetwarzania danych bez jego zgody upłynęło więcej niż 30 dni.
W odpowiedzi na skargę PUODO wniósł o jej oddalenie z przyczyn wywiedzionych w uzasadnieniu zaskarżonej decyzji, a także zażądał rozpoznania sprawy w trybie uproszczonym. Podkreślił, iż dla prawidłowości przetwarzania danych osobowych dłużników w rejestrach kredytowych kluczową kwestią jest prawidłowy sposób powiadomienia ich o zamiarze udostępnienia danych na rzecz tych instytucji. Brak zwrotu korespondencji pozostaje bez wpływu na okoliczność faktycznego zapoznania się z jej treścią przez adresata. Co więcej, uznanie daty wysłania pisma za datę poinformowania klienta doprowadziłoby w konsekwencji do sytuacji, w której dłużnicy mieliby zróżnicowany realny czas na podjęcie ewentualnych działań (wykonanie zobowiązania) w związku z otrzymanym powiadomieniem. Bank nieprawidłowo interpretuje ogólny przepis art. 61 § 1 k.c., bez uwzględnienia treści art. 105a ust. 3 P.b. Ostatecznie bowiem to upływ 30 dni od momentu poinformowania, a nie - jak twierdzi Bank - nadania pisma z informacją, stanowi o wypełnieniu przesłanek ujętych w ww. przepisie. Wobec wysłania oświadczenia o wypowiedzeniu umowy wraz z informacją o zamiarze przetwarzania danych klienta na podstawie art. 105a ust. 3 P.b. listem poleconym, nie można ustalić daty zapoznania się przez niego z przesłaną do niego informacją, a tym samym niemożliwe jest ustalenie daty, od której płynie 30-dniowy termin określony w ww. przepisie. Niedopuszczalne jest przerzucanie na klienta ciężaru udowodnienia, że nie został poinformowany o zamiarze przetwarzania jego danych osobowych w sposób określony w art. 105a ust. 3 P.b. To skarżący musi wykazać tę okoliczność, skoro wywodzi z niej skutki prawne. Bank nie przedstawił dokładnych wyliczeń odnośnie upływu 30-dniowego terminu ujętego w art. 105a ust. 3 P.b.
Za chybione organ uznał powołanie się przez Bank na art. 17 P.p., akcentując, iż nie kwestionuje faktu nadania przez skarżącego przesyłek listowych do klienta. Natomiast traktowanie tego faktu jako dowodu na poinformowanie klienta (dostarczenie mu informacji) zgodnie z art. 105a ust. 3 P.b. nie znajduje uzasadnienia w brzmieniu art. 17 P.p.
Uczestnicy postępowania, tj.: klient i [...] nie złożyli odpowiedzi na skargę (ani innych pism procesowych), jak również nie zażądali przeprowadzenia rozprawy.
W piśmie z 17 października 2023 r. Bank w całości podtrzymał stanowisko zaprezentowane w skardze, podważając jednocześnie słuszność argumentacji PUODO przedstawionej w odpowiedzi na skargę.
Prawomocnym postanowieniem z 8 grudnia 2023 r., sygn. akt II SA/Wa 1641/23, tutejszy Sąd odmówił wstrzymania wykonania zaskarżonej decyzji.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:
Skarga nie zasługuje na uwzględnienie.
Według art. 4 pkt 2 RODO, przetwarzanie danych osobowych oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie.
Warunki uznania przetwarzania danych osobowych za legalne określono w art. 6 ust. 1 RODO, który stanowi, że przetwarzanie jest zgodne z prawem wyłącznie w przypadkach i w takim zakresie, w jakim spełniony jest co najmniej jeden z poniższych warunków: a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów; b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą lub do podjęcia działań na żądanie osoby, której dane dotyczą przed zawarciem umowy; c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze; d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej; e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi; f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Akapit pierwszy lit. f nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań.
W myśl art. 105a ust. 1 P.b. przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów, instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z 12 maja 2011 r. o kredycie konsumenckim, a także instytucje utworzone na podstawie art. 105 ust. 4, informacji stanowiących tajemnicę bankową i informacji udostępnionych przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z 12 maja 2011 r. o kredycie konsumenckim, w zakresie dotyczącym osób fizycznych, może być wykonywane, z zastrzeżeniem art. 104, art. 105 i art. 106-106d, w celu oceny zdolności kredytowej i analizy ryzyka kredytowego.
Stosownie zaś do treści art. 105a ust. 2 P.b., z zastrzeżeniem ust. 3, instytucje, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową oraz informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z 12 maja 2011 r. o kredycie konsumenckim, w zakresie dotyczącym osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z 12 maja 2011 r. o kredycie konsumenckim, pod warunkiem uzyskania pisemnej zgody osoby, której informacje te dotyczą, z zastrzeżeniem ust. 2a. Zgoda ta może być w każdym czasie odwołana.
Z kolei art. 105a ust. 3 P.b wskazuje, że banki, instytucje oraz podmioty, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową i informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z 12 maja 2011 r. o kredycie konsumenckim, dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z 12 maja 2011 r. o kredycie konsumenckim, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z 12 maja 2011 r. o kredycie konsumenckim, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank, inną instytucję ustawowo upoważnioną do udzielania kredytów, instytucję pożyczkową albo podmiot, o którym mowa w art. 59d ustawy z 12 maja 2011 r. o kredycie konsumenckim, o zamiarze przetwarzania dotyczących jej informacji, bez jej zgody.
W skierowanej do PUODO skardze klient oświadczył, że Bank nie dysponuje dowodem skutecznego powiadomienia go o zamiarze przetwarzania jego danych dotyczących informacji stanowiących tajemnicę bankową, bez jego zgody, po wygaśnięciu zobowiązania wynikającego z umowy.
Natomiast skarżący za wystarczający dowód w sprawie uważa oświadczenie o wypowiedzeniu umowy kredytu wraz z potwierdzeniem nadania tego pisma do klienta listem poleconym (odpis z pocztowej książki nadawczej), mającym moc dokumentu urzędowego.
Zatem istota sprawy, a zarazem sporu między stronami postępowania, sprowadza się do tego, czy Bank dopełnił obowiązku informacyjnego wynikającego z art. 105a ust. 3 in fine P.b.
Zdaniem składu orzekającego w niniejszej sprawie, przetwarzanie przez skarżącego danych osobowych klienta nie znajdowało oparcia w ww. przepisie. Prawidłowa wykładnia zawartego w nim zwrotu "poinformowania tej osoby" powinna uwzględniać nie tylko art. 61 § 1 k.c., ale także dodatkowy 30-dniowy termin na wykonanie zobowiązania przewidziany w art. 105a ust. 3 P.b. W literaturze przedmiotu podkreśla się bowiem, iż "sam fakt, że klient nie wykonał zobowiązania lub spóźnił się z jego wykonaniem co najmniej 60 dni, nie upoważnia instytucji do przetwarzania jego danych. Musi bowiem zostać poinformowany o możliwości przetwarzania jego danych bez uzyskania od niego zgody. Dopiero bezskuteczny upływ 30 dni od momentu poinformowania stanowi wypełnienie przesłanek z art. 105a ust. 3 (pr. bank.). W przypadku, gdy konsument spełni świadczenie w czasie tych 30 dni, instytucje tracą prawo do przetwarzania informacji bez jego uprzedniej zgody. (...) Moment, od którego należy liczyć sześćdziesięciodniowy termin, w którym konsument dopuszcza się zwłoki w wykonaniu zobowiązania, to termin wykonania zobowiązania. Dopiero po upływie 60 dni zaczyna biec trzydziestodniowy termin, w którym instytucja jeszcze oczekuje na wykonanie zobowiązania klienta. Termin trzydziestodniowy nie biegnie jednak ex lege, a dopiero od momentu, w którym konsument zostanie poinformowany o zamiarze przetwarzania. Termin ten liczy się nie od momentu wysłania informacji, ale od chwili, w której konsument mógł się z nią zapoznać. Wydaje się, iż sama czynność poinformowania może nastąpić wcześniej niż po upływie 60 dni" (vide A. Żygadło, Przetwarzanie informacji stanowiących tajemnicę bankową po wygaśnięciu zobowiązania, Pr. Bankowe 2006/4/83; a także wyroki tutejszego Sądu: z 18 stycznia 2022 r., sygn. akt II SA/Wa 3584/21; z 4 października 2022 r., sygn. akt II SA/Wa 701/22; z 12 października 2022 r., sygn. akt II SA/Wa 189/22).
Konstrukcja przyjęta w art. 61 § 1 zdanie pierwsze k.c. odpowiada tzw. kwalifikowanej teorii doręczenia, która zadowala się dojściem oświadczenia woli do adresata w taki sposób, że miał on możliwość zapoznania się z jego treścią (vide wyrok SN z 8 września 2016 r., sygn. akt II CSK 750/15, M. Pr. Bank. 2017/10, s. 21 i 35 z glosą T. Czecha oraz z omówieniem M. Bączyka, M. Pr. Bank 2017/11, s. 58). To, czy rzeczywiście klient z tym oświadczeniem Banku zapoznał się nie ma w kontekście art. 61 § 1 k.c. znaczenia co do zasady (vide wyroki SN: z 18 listopada 1999 r., sygn. akt I PKN 375/99, OSNAPiUS 2001/7, poz. 227; z 20 maja 2015 r., sygn. akt I CSK 547/14, LEX nr 1767493 i z 22 marca 2017 r., sygn. akt III CSK 148/16, LEX nr 23552146 oraz uchwała składu siedmiu sędziów SN z 31 marca 2016 r., III CZP 89/15; Z. Radwański [w:] System Prawa Prywatnego, t. 2, 2008, s. 292).
Stanowisko skarżącego wiąże się więc z zagrożeniem dla osoby, której oświadczenie woli jest składane, bowiem Bank wywodzi istotne skutki prawne z oświadczenia, o którym jego adresat mógł w ogóle nie wiedzieć bądź nie znać jego treści. Negatywne skutki teorii doręczenia mogą ujawnić się w zasadzie tylko w ramach już istniejącego między stronami stosunku prawnego, ponieważ tylko wtedy jednostronne oświadczenia (czynności prawne) mogą oddziaływać niekorzystnie na sytuację prawną adresata oświadczenia woli. Do powstania zaś tego stosunku zazwyczaj niezbędna jest zgoda adresata, a wyrażając ją i przyznając w ten sposób – choćby mocą czynników innych niż treść samego oświadczenia (por. art. 56 k.c.) – drugiej stronie możliwość jednostronnego oddziaływania na swoją sytuację prawną (np. wypowiedzenia umowy albo wysokości świadczenia, odstąpienia, przyjęcia oferty, wezwania do wykonania zobowiązania, wyboru świadczenia przemiennego), adresat musi liczyć się ze składaniem takich oświadczeń i nie może dysponować instrumentem, który w prosty sposób mógłby paraliżować ich skutki (np. stroniąc od zapoznania się z tym oświadczeniem). Dlatego faktyczne zapoznanie się z oświadczeniem przynależy już wyłącznie do prawnie irrelewantnej sfery wewnętrznej adresata oświadczenia (vide R. Trzaskowski [w:] Kodeks cywilny. Komentarz Tom I. Część ogólna cz. 2 /art. 56-125/ pod red. J. Gudowskiego, Lex/el 2021, cz. 3 do art. 61).
W ocenie Sądu rozpoznającego przedmiotową sprawę, w świetle treści art. 105a ust. 3 P.b., nie może budzić żadnych wątpliwości, że poinformowanie, o którym mowa w tym przepisie, z uwagi na wskazany wyżej dodatkowy 30-termin na wykonanie zobowiązania, powinno nastąpić w ten sposób, aby można było ustalić początek biegu tego terminu. Dopiero bowiem bezskuteczny upływ dodatkowego 30-dniowego terminu upoważnia Bank do przetwarzania danych osobowych w oparciu o omawiany przepis. Nadanie powiadomienia listem poleconym nie pozwala na ustalenie początku biegu tego terminu. Skoro to skarżący wywodzi skutki prawne z powiadomienia klienta o zamiarze przetwarzania jego danych osobowych stanowiących tajemnicę bankową bez jego zgody, to skarżący musi również wykazać, iż bezskutecznie upłynęło 30 dni od daty poinformowania klienta o tym zamiarze. Wykazanie tej okoliczności wymaga zaś wykazania początku biegu 30-dniowego terminu.
W wyroku z 16 stycznia 2024 r., sygn. akt III OSK 3233/21, wykładając przepis art. 105a ust. 3 P.b., NSA zwrócił uwagę, że prawodawca użył kategorycznej formy "poinformować" (czasownik przechodni dokonany), a nie "informować". Określony w ustawie skutek ma nastąpić po upływie "30 dni od poinformowania tej osoby przez bank", a nie od np. wysłania jej informacji. Takie "poinformowanie" może nastąpić np. osobiście w placówce banku lub innego podmiotu wymienionego w art. 105a ust. 3 P.b., poprzez przesyłkę doręczaną listownie lub przez pracownika banku albo innego uprawnionego podmiotu, a nawet nie można również wykluczyć możliwości skierowania takiej informacji drogą elektroniczną (o ile strony w zawartej umowie taką formę korespondencji przewidziały przez bank w tym zakresie z podmiotem zewnętrznym). O ile więc sposób i forma poinformowania klienta mogą być różnorodne, to jednak w każdym wypadku sposób ten powinien umożliwić zweryfikowanie faktu poinformowania klienta banku o zamierzonym przetwarzaniu jego danych osobowych. Wybór formy poinformowania adresata, operatora pocztowego i sposobu przekazania informacji oraz związany z tym obowiązek wykazania tego faktu obciążają bank lub inny zobowiązany podmiot, gdyż to one wywodzą z tego faktu skutki prawne. Taki sposób rozumienia obowiązku poinformowania, przewidzianego w art. 105a ust. 3 P.b., wynika nie tylko z gwarancyjnego charakteru tego przepisu dla kredytobiorcy, ale także z dobrze pojętego interesu podmiotów udzielających kredytów, aby w sposób skuteczny zamieścić w [...] stosowną informację o nierzetelnym kredytobiorcy. W konkluzji NSA podzielił stanowisko PUODO, iż przepis art. 105a ust. 3 P.b. obligował Bank do wykazania spełnienia powyższego obowiązku.
W konsekwencji za niezasadne tutejszy Sąd uznał zarzuty skargi, w tym zarzut naruszenia przepisów postępowania, tj.: art. 6, art. 7, art. 8 § 1 i 2, art. 77 § 1, art. 80 i art. 107 § 3 k.p.a. poprzez błędne przyjęcie przez organ, że potwierdzenie nadania pisma listem poleconym nie stanowi dowodu poinformowania klienta o zamiarze przetwarzania jego danych osobowych bez jego zgody w oparciu o art. 105a ust. 3 P.b.
Dowód nadania przesyłki listem poleconym dowodzi jedynie, iż przesyłkę nadano. To, że wedle art. 17 P.p. potwierdzenie nadania przesyłki rejestrowanej lub przekazu pocztowego, wydane przez placówkę pocztową operatora wyznaczonego, ma moc dokumentu urzędowego, nie jest równoznaczne z wykazaniem, iż poinformowanie nastąpiło w konkretnej dacie, czyli że przesyłkę doręczono klientowi. Potwierdzenie nadania przesyłki rejestrowanej, w myśl art. 17 P.p., stanowi dowód, iż przesyłkę nadano. Natomiast nie jest uprawnione wywodzenie z ww. przepisu skutku w postaci doręczenia przesyłki konkretnej osobie i w konkretnej dacie, zwłaszcza w sytuacji, gdy z takim doręczeniem (poinformowaniem w konkretnej dacie) ustawodawca wiąże ściśle określone skutki. Nie ma zatem żadnych podstaw, aby na gruncie art. 105a ust. 3 P.b., opierając się na P.p., próbować ustalać domniemany czy najbardziej prawdopodobny termin, w którym to ewentualnie doręczenie przesyłki mogło nastąpić.
Dostrzec przy tym wypada, że skarżący miał możliwość uzyskania dowodu doręczenia przesyłki rejestrowanej, gdyby - jako nadawca przesyłki - tego zażądał.
Okoliczność, iż klient nie zakwestionował skuteczności wypowiedzenia umowy kredytu nie ma znaczenia w aspekcie legalności przetwarzania jego danych osobowych. PUODO nie rozstrzygał kwestii skuteczności czynności prawnej wypowiedzenia umowy. Nie mieści się ona też we właściwości sądu administracyjnego.
Dodatkowo podkreślenia wymaga materialny (ochronny), a nie formalny charakter obowiązku informacyjnego, o którym mowa w art. 105a ust. 3 P.b., co odnotował NSA w ww. wyroku z 16 stycznia 2024 r. Dane osobowe są wartością chronioną ustawowo, a prawo do ich ochrony stanowi swego rodzaju emanację ogólnego prawa gwarantowanego Konstytucją RP (art. 47). Spostrzeżenie to oparte jest na założeniu, iż dane osobowe są niejako częścią życia prywatnego lub rodzinnego, względnie - że posługiwanie się danymi dotyczącymi innej osoby wkracza w przyznaną jej kompetencję decydowania o swoim życiu osobistym.
Wprawdzie ustawodawca w żaden sposób nie ograniczył sposobów i form "poinformowania", o którym mowa w art. 105a ust. 3 P.b., to w każdym wypadku sposób ten powinien umożliwić zweryfikowanie faktu poinformowania klienta o zamierzonym przetwarzaniu jego danych osobowych lub przynajmniej potwierdzenie, iż klientowi umożliwiono zapoznanie się z taką informacją. Sytuacja taka nie miała miejsca w rozpatrywanej sprawie. To na Banku spoczywał obowiązek wykazania przesłanek z art. 105a ust. 3 P.b.; niedopuszczalne było dokonywanie w tym zakresie jakichkolwiek domniemań faktycznych.
Ponadto skarżący obecnie przetwarza dane osobowe klienta na mocy art. 6 ust. 1 lit. f RODO w celu obrony i dochodzenia roszczeń, mimo że klient nie wystąpił z roszczeniem wobec Banku, jak też skarżący nie dochodzi roszczeń od klienta, a tylko takie okoliczności uzasadniałyby uprawnienie Banku do zachowania i przetwarzania danych osobowych klienta. Nie sposób zaaprobować przetwarzania przez skarżącego danych "na zapas", w oczekiwaniu - przez określony odrębnymi przepisami okres przedawnienia roszczeń o charakterze majątkowym - na to zdarzenie przyszłe i niepewne. Terminy dotyczące przedawnienia roszczeń wynikających ze stosunków zobowiązaniowych nie zakreślają ram czasowych przetwarzania danych osobowych. Innymi słowy, przedawnienie roszczenia nie wywołuje skutków na gruncie ochrony danych osobowych, nie wpływa bowiem na fakt istnienia roszczenia, lecz powoduje jedynie zmianę w sferze zarzutów procesowych w postaci możliwości podniesienia okoliczności przedawnienia w sporze sądowym. Okolicznością usprawiedliwiającą przetwarzanie danych osobowych w celu dochodzenia roszczeń jest sam fakt istnienia roszczenia oraz zamiar jego dochodzenia, co na gruncie przedmiotowej sprawy nie wystąpiło.
Wbrew twierdzeniom Banku, przesłanka określona w art. 6 ust. 1 lit. f RODO nie jest ukierunkowana na ochronę interesów sektora bankowego czy też gospodarczego. Podobnie jak pozostałe przesłanki wymienione w art. 6 ust. 1 RODO stanowi przesłankę zgodności z prawem procesu przetwarzania. Tym samym chroni przede wszystkim osobę, której proces ten dotyczy przed nieuprawnionym przetwarzaniem jej danych osobowych. Nie można powoływać się na prawnie uzasadniony interes w przypadku, gdy dane osobowe przetwarzane są "na zapas", tj. na wypadek gdyby taki prawnie uzasadniony interes mógł się pojawić dopiero w przyszłości. Bank niezasadnie skoncentrował się na własnych interesach gospodarczych, nie dostrzegając, że z punktu widzenia ochrony danych osobowych dane te mogą być przetwarzane do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, ale wyłącznie wówczas, gdy są nadrzędne nad interesami i prawami osoby, której dane dotyczą. Tymczasem taka sytuacja w niniejszej sprawie nie zaistniała, ponieważ ważąc interesy oraz podstawowe prawa i wolności klienta, takie jak chociażby gwarantowane (na gruncie prawa europejskiego, Konstytucji RP czy prawa cywilnego) prawo do prywatności, z interesem administratora, który dotyczy w tym wypadku zachowania w swych zasobach danych "na wszelki wypadek", czyli na wypadek tego, że mogą się okazać przydatne w przyszłości do dochodzenia lub obrony ewentualnych roszczeń, które obecnie nie istnieją, należało dojść do wniosku, iż to interesy oraz podstawowe prawa i wolności osoby, której dane dotyczą, są nadrzędne.
Niewykazanie przez Bank spełnienia obowiązku informacyjnego, o którym mowa w art. 105a ust. 3 P.b., a także brak sporu toczącego się pomiędzy skarżącym a klientem, implikuje brak podstawy prawnej do przetwarzania danych osobowych klienta, bez jego zgody, w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Dlatego organ zasadnie skorzystał z uprawnienia przewidzianego w art. 58 ust. 2 lit. c RODO, nakazując Bankowi zaprzestanie przetwarzania danych klienta dotyczących umowy o kredyt z [...] maja 2018 r. w ww. celu w systemie [...].
Nie dopatrując się naruszenia przez organ tak prawa materialnego, jak i prawa procesowego, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2023 r., poz. 1634 ze zm.), oddalił skargę.
Sprawa została rozpoznana w trybie uproszczonym w oparciu o art. 119 pkt 2 i art. 120 ww. ustawy.