II SA/Wa 248/25

II SA/Wa 248/25 - Wyrok WSA w Warszawie
Data orzeczenia
2025-09-24
orzeczenie nieprawomocne
Data wpływu
2025-02-14
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Anna Pośpiech-Kłak
Ewa Marcinkowska /przewodniczący/
Joanna Kruszewska-Grońska /sprawozdawca/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Sygn. powiązane
III OZ 251/25 - Postanowienie NSA z 2025-05-30
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę
Powołane przepisy
Dz.U. 2024 poz 1646
art. 105a ust. 3
Ustawa z dnia 29 sierpnia 1997 r. Prawo bankowe
Dz.U.UE.L 2016 nr 119 poz 1 art. 6 ust. 1 i art. 58 ust. 2 lit. c
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z  przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Ewa Marcinkowska, Sędzia WSA Joanna Kruszewska-Grońska (spr.), Asesor WSA Anna Pośpiech-Kłak, po rozpoznaniu w trybie uproszczonym w dniu 24 września 2025 r. sprawy ze skargi [...] S.A. z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] grudnia 2024 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę
Uzasadnienie
Decyzją z [...] grudnia 2024 r. nr [...] Prezes Urzędu Ochrony Danych Osobowych (dalej: "PUODO", "organ"), na mocy art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2024 r., poz. 572 ze zm.; dalej: "k.p.a.") w związku z art. 7 ust. 1 i ust. 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781; dalej: "u.o.d.o. z 2019 r."), a także art. 6 ust. 1 oraz art. 58 ust. 2 lit. c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych - Dz. Urz. UE L 119 z 2016 r., str. 1 ze sprost.; dalej: "RODO"), nakazał [...] Bank [...] S.A. z siedzibą w [...] (dalej: "skarżący", "Bank") zaprzestania przetwarzania danych osobowych P. W. (dalej: "uczestnik postępowania", "klient"), dotyczących zobowiązania wynikającego z umowy z [...] stycznia 2017 r. nr [...] w Biurze Informacji Kredytowej S.A. z siedzibą w [...] (dalej: "BIK"), na podstawie art. 105a ust. 3 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (obecnie tekst jednolity: Dz. U. z 2024 r., poz. 1646 ze zm.; dalej: "P.b."), w celu oceny zdolności kredytowej i analizy ryzyka kredytowego.
Do wydania ww. decyzji doszło w następującym stanie faktycznym sprawy.
W skierowanej do PUODO skardze z [...] kwietnia 2024 r. uczestnik postępowania podniósł, że Bank bezprawnie wykorzystuje i udostępnia BIK jego dane osobowe, pozyskane przy zawieraniu umowy pożyczki w dniu [...] stycznia 2017 r. Skarżący przez szereg lat nie informował klienta o zaległości z tytułu ww. umowy - w kwocie raptem 74 zł, którą ten spłacił niezwłocznie po pozyskaniu od BIK informacji o tej zaległości. Jak podkreślił uczestnik postępowania, Bank nie powiadomił go o zamiarze przetwarzania jego danych bez jego zgody w trybie art. 105a ust. 3 P.b., a on od lat figuruje jako dłużnik w rejestrze BIK w odniesieniu do ww. kwoty, co formalnie uniemożliwia mu pozyskanie pożyczki czy kredytu w jakimkolwiek banku. Ponadto skarżący bezpodstawnie zastrzega sobie prawo dalszego przetwarzania jego danych osobowych i to przez okres 10 lat. W świetle powyższego, klient wniósł o spowodowanie zaprzestania przetwarzania jego danych przez Bank, a w rezultacie usunięcie jego danych z rejestru BIK.
W toku postępowania administracyjnego, wszczętego opisaną wyżej skargą, organ pozyskał wyjaśnienia od Banku oraz BIK.
Skarżący podał, że:
( pozyskał dane osobowe bezpośrednio od klienta w związku ze złożeniem przez niego [...] stycznia 2017 r. wniosku o zawarcie kredytu ratalnego nr [...], który zakończył się w dniu [...] stycznia 2017 r. zawarciem umowy kredytu na zakup towarów/usług nr [...]. Zobowiązanie zostało spłacone [...] maja 2023 r. i umowa w ww. dacie została rozliczona;
( dane osobowe uczestnika postępowania zostały pozyskane w celu:
- zawarcia i realizacji umowy na mocy art. 23 ust. 1 pkt 3 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r., poz. 922 ze zm.; dalej: "u.o.d.o. z 1997 r.",
- realizacji kontaktu marketingowego w oparciu o art. 23 ust. 1 pkt 1 u.o.d.o. z 1997 r.,
- realizacji obowiązków prawnych w zakresie:
przeprowadzenia oceny zdolności kredytowej (vide art. 70 ust. 1 P.b. w związku z art. 23 ust. 1 pkt 2 u.o.d.o. z 1997 r.),
wykonywania środków bezpieczeństwa finansowego (vide art. 8b-9a ustawy z dnia 16 listopada 2000 r. o przeciwdziałaniu praniu pieniędzy i finansowania terroryzmu - Dz. U. z 2017 r., poz. 1049 ze zm. w związku z art. 23 ust. 1 pkt 2 u.o.d.o. z 1997 r.),
przechowywania dokumentów księgowych (vide art. 74 ustawy z dnia 29 września 1994 r. o rachunkowości - obecnie tekst jednolity: Dz. U. z 2023 r., poz. 120 ze zm.; dalej: "u.r.", a także wynikające z niej przepisy szczególne, do których stosowania jest zobowiązany skarżący);
( pozyskał dane osobowe klienta w zakresie: imię i nazwisko, PESEL, dane dokumentu tożsamości (data urodzenia, seria i nr dowodu osobistego, data wydania i ważności dowodu osobistego), dane teleadresowe (adres zameldowania, adres zamieszkania, korespondencyjny, nr telefonu), płeć, dane niezbędne do oceny zdolności kredytowej: stan cywilny, informacje o dochodzie i jego źródle, dane o obciążeniach gospodarstwa domowego;
( obecnie przetwarza dane osobowe uczestnika postępowania w związku z rozliczoną umową, w celu spełnienia obowiązków, które wynikają z przepisów prawa (vide art. 6 ust. 1 lit. c RODO), tj.:
- przechowywania dokumentów księgowych (vide art. 74 u.r.),
- realizacji obowiązków związanych z wykonaniem środków bezpieczeństwa finansowego oraz przechowywania danych dla celów przeciwdziałania praniu pieniędzy oraz finansowaniu terroryzmu (vide art. 34 ust. 1, ust. 3 i ust. 4 oraz art. 36-37 i art. 49 ustawy z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu - Dz. U. z 2025 r., poz. 644 ze zm.) oraz realizacji prawnie uzasadnionych interesów administratora (vide art. 6 ust. 1 lit. f RODO),
- rozpatrywania reklamacji oraz ustalania, obrony i dochodzenia roszczeń (vide art. 6 ust. 1 lit. f RODO),
- oceny zdolności kredytowej i analizy ryzyka kredytowego;
( aktualnie przetwarza dane klienta w następującym zakresie: imię i nazwisko, PESEL, dane dokumentu tożsamości (data urodzenia, seria i nr dowodu osobistego, data wydania i ważności dowodu osobistego), dane teleadresowe (adres zameldowania, adres korespondencyjny, nr telefonu, adres), obywatelstwo, informacje o posiadanym produkcie i jego rozliczenia;
( wysłał zapytania w celu przeprowadzenia oceny zdolności kredytowej i analizy ryzyka kredytowego (vide art. 70 ust. 1 w związku z art. 105 ust. 4 i art. 105a ust. 1 P.b.). Następnie skarżący przekazał dane osobowe klienta do BIK na mocy umowy w sprawie gromadzenia, przetwarzania i udostępniania informacji w bazie SI BIK "Kredytobiorcy", która to umowa została zawarta [...] sierpnia 2016 r. pomiędzy skarżącym a BIK;
( stwierdził, iż klient wyraził zgodę na przetwarzanie i udostępnianie przez BIK przekazanych przez skarżącego, a dotyczących klienta, informacji, o których mowa w art. 105a ust. 2 P.b. Zgoda została wyrażona i utrwalona przy zawieraniu umowy z uczestnikiem postępowania. Jednak Bank przetwarza dane osobowe klienta po wygaśnięciu umowy nie na podstawie zgody, lecz na mocy art. 105a ust. 3 P.b. oraz spełnionych przesłanek wynikających z tego przepisu, gdyż uczestnik postępowania dopuścił się zwłoki w spłacie rat kredytu, która przekroczyła 60 dni w dniu [...] marca 2020 r., a zobowiązanie klient spłacił [...] maja 2023 r., czym zakończył 1236 dni opóźnienia. Skarżący poinformował klienta o przekroczeniu 60 dni zadłużenia oraz o przetwarzaniu danych dotyczących zadłużenia w rejestrze BIK pismem z [...] marca 2020 r., nadanym [...] marca 2020 r. - na dowód powyższego Bank dysponuje kopią ww. pisma oraz książki nadawczej tej przesyłki; nadto skarżący nie odnotował zwrotu przedmiotowej korespondencji;
( nie zwracał się do BIK o usunięcie danych osobowych klienta odnośnie umowy nr [...];
( w rejestrach BIK były przetwarzane dane osobowe uczestnika postępowania w zakresie: dane identyfikujące (imię i nazwisko, PESEL, seria i nr dokumentu tożsamości, płeć, data urodzenia, obywatelstwo), dane dotyczące zobowiązania (data zawarcia i spłaty umowy, kwota finansowania, przewidywana data zakończenia umowy, informacje o zaległościach i spłacie zobowiązania).
Natomiast BIK wyjaśnił, że:
( przetwarza dane o umowie kredytowej zawartej przez klienta z Bankiem w dniu [...] stycznia 2017 r., a wprowadzonej do jego zbioru danych pod nr [...]. Dane zostały pozyskane na podstawie art. 105 ust. 4 i art. 105a ust. 1 P.b. oraz na podstawie łączącej go ze skarżącym umowy, w zakresie danych identyfikujących zobowiązania. Dane te zostały pozyskane w celu wykonywania czynności bankowych, w szczególności oceny zdolności kredytowej i analizy ryzyka kredytowego, w celach statystycznych i analiz, których wynikiem nie są dane osobowe, a wynik ten nie służy za podstawę podejmowania decyzji dotyczących konkretnych osób fizycznych, a także w celu stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w art. 105a ust. 4 P.b. Omawiane dane zostały przekazane BIK przez Bank w dniu 9 stycznia 2017 r. w postaci tzw. wsadów informacyjnych (banki nie przekazują kopii umów kredytowych);
( obecnie przetwarza dane osobowe dotyczące zobowiązania z [...] stycznia 2017 r., w tym historii spłaty, w celu oceny zdolności kredytowej i analizy ryzyka kredytowego na podstawie art. 105a ust. 3 P.b., ze względu na przekazanie mu przez skarżącego informacji o spełnieniu warunków, o których mowa w ww. przepisie dających podstawę do przetwarzania danych bez zgody uczestnika postępowania;
( dane będą przetwarzane w tym celu przez okres 5 lat od dnia wygaśnięcia zobowiązania, stosownie do art. 105a ust. 5 P.b. W przypadku zobowiązania, jako datę jego wygaśnięcia Bank wskazał [...] maja 2023 r. Ponadto dane o zobowiązaniu są przetwarzane przez BIK w celach statystycznych i analiz, których wynikiem nie są dane osobowe i wynik ten nie służy za podstawę podejmowania decyzji dotyczących konkretnych osób fizycznych - podstawą prawną przetwarzania danych osobowych w omawianym celu jest prawnie uzasadniony interes administratora danych wynikający z przepisów P.b. (m.in. art. 105 ust. 4 i art. 105a ust. 4 P.b.), jak też w celu stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w art. 105a ust. 4 P.b. - dane w tych celach są przetwarzane maksymalnie przez okres 12 lat od dnia wygaśnięcia zobowiązania, w myśl art. 105a ust. 5 P.b.;
( Bank nie zwracał się do niego o usunięcie danych osobowych klienta dotyczących ww. zobowiązania, lecz uczestnik postępowania kilkakrotnie zwracał się do niego o usunięcie danych osobowych odnośnie tego zobowiązania.
Powołując się na art. 6 ust. 1 RODO, organ wywiódł, iż co do zasady podstawą prawną przetwarzania danych osobowych klientów przez Bank w rejestrze BIK może być art. 6 ust. 1 lit. f RODO, gdy przetwarzanie to jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora, przy czym przetwarzanie danych przez BIK odbywa się na podstawie zawartej z Bankiem umowy. Następnie PUODO przytoczył treść art. 105 ust. 4 oraz art. 105a ust. 1 i ust. 3 P.b., zaznaczając, że banki oraz BIK mogą przetwarzać m.in. informacje stanowiące tajemnicę bankową i informacje udostępniane przez instytucje pożyczkowe dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z zawartej umowy.
Dalej organ odnotował, że zobowiązanie klienta wobec skarżącego, wynikające z umowy z [...] stycznia 2017 r. nr [...] wygasło w dniu [...] maja 2023 r., przy czym uczestnik postępowania dopuścił się zwłoki trwającej dłużej niż 60 dni w spłacie tego zobowiązania.
Według PUODO, Bank nie przedstawił dowodów na spełnienie wobec klienta obowiązku określonego w art. 105a ust. 3 P.b., tj. nie poinformował go skutecznie o zamiarze przetwarzania dotyczących go informacji stanowiących tajemnicę bankową, bez jego zgody po wygaśnięciu zobowiązania wynikającego z przedmiotowej umowy.
Sam fakt, iż uczestnik postępowania nie wykonał zobowiązania lub spóźnił się z jego wykonaniem co najmniej 60 dni, nie upoważnia skarżącego do przetwarzania danych klienta na warunkach określonych w ww. przepisie. Moment, od którego należy liczyć 60-dniowy termin, w którym osoba, której dane dotyczą, dopuszcza się zwłoki w wykonaniu zobowiązania, to termin wykonania zobowiązania. Dopiero po upływie 60 dni zaczyna biec termin 30-dniowy, przy czym termin ten biegnie od momentu, w którym klient zostanie skutecznie poinformowany przez instytucję o zamiarze przetwarzania. Ostatecznie to bezskuteczny upływ 30 dni od momentu poinformowania stanowi wypełnienie przesłanek z art. 105a ust. 3 P.b. Skoro Bank wysłał listem poleconym oświadczenie o zamiarze przetwarzania danych klienta w oparciu o art. 105a ust. 3 P.b., to nie można ustalić daty zapoznania się przez uczestnika postępowania z przesłaną do niego informacją, a tym samym niemożliwe jest ustalenie daty, od której biegnie 30-dniowy termin określony w tym przepisie.
PUODO odnotował, iż jego stanowisko zostało zaakceptowane przez Naczelny Sąd Administracyjny (dalej: "NSA") w wyroku z 16 stycznia 2024 r., sygn. III OSK 3233/21, w którym stwierdzono: "(...) pozycja dłużnika jest wobec podmiotu udzielającego pożyczki słabsza, a skutek w postaci przetwarzania danych osobowych bez jego zgody ma charakter publicznoprawny. Powyższe oznacza, że wszelkie regulacje znoszące tę ochronę muszą być odczytywane i wykładane ściśle, z uwzględnieniem funkcji jakiej mają służyć. Przy takiej wykładni, sformułowanie użyte w przepisie art. 105a ust. 3 Prawa bankowego, dotyczące obowiązku informacyjnego banku, musi więc oznaczać, że nie jest to tylko obowiązek formalny. Jakkolwiek ustawodawca w żaden sposób nie ograniczył sposobów i form takiego powiadomienia, to w każdym wypadku sposób ten powinien umożliwić zweryfikowanie faktu poinformowania klienta banku o zamierzonym przetwarzaniu jego danych osobowych. Zgodzić się należy ze stroną skarżącą kasacyjnie, że ustawodawca w żaden sposób nie ograniczył sposobów i form takiego poinformowania. Zauważyć jednak należy, że prawodawca użył kategorycznej formy "poinformować" (czasownik przechodni dokonany), a nie >>informować<<. Określony w ustawie skutek na nastąpić po upływie >>30 dni od poinformowania tej osoby przez bank<<, a nie od np. wysłania jej informacji. Takie >>poinformowanie<< może nastąpić np. osobiście w placówce banku lub innego podmiotu wymienionego w art. 105a ust. 3 Prawa bankowego, poprzez przesyłkę doręczaną listownie lub przez pracownika banku albo innego uprawnionego podmiotu, a nawet nie można również wykluczyć możliwości skierowania takiej informacji drogą elektroniczną (o ile strony w zawartej umowie taką formę korespondencji przewidziały przez bank w tym zakresie z podmiotem zewnętrznym). O ile więc sposób i forma poinformowania klienta mogą być różnorodne, to jednak w każdym wypadku sposób ten powinien umożliwić zweryfikowanie faktu poinformowania klienta banku o zamierzonym przetwarzaniu jego danych osobowych. Wybór formy poinformowania adresata, operatora pocztowego i sposobu przekazania informacji oraz związany z tym obowiązek wykazania tego faktu obciążają bank lub inny zobowiązany podmiot, gdyż to one wywodzą z tego faktu skutki prawne. Taki sposób rozumienia obowiązku poinformowania zamieszczonego w art. 105a ust. 3 prawa bankowego wynika nie tylko z gwarancyjnego charakteru tego przepisu dla kredytobiorcy, ale także z dobrze pojętego interesu podmiotów udzielających kredytów, aby w sposób skuteczny zamieścić w BIK stosowną informację o nierzetelnym kredytobiorcy" (orzeczenia sądów administracyjnych są publikowane w internetowej bazie orzeczeń na stronie NSA: orzeczenia.nsa.gov.pl).
Wcześniej podobny pogląd zaprezentował NSA w wyroku z 7 sierpnia 2018 r., sygn. akt I OSK 2123/16, w myśl którego "literalne odczytanie art. 105a ust. 3 Prawa bankowego może wskazywać na to, że ustawodawca nie stworzył w tym zakresie żadnych szczególnych wymagań formalnych co do sposobu i treści takiego poinformowania klienta lub byłego klienta banku. Prawidłowa wykładnia tego przepisu nie może jednak oznaczać całkowitej dowolności w tym zakresie. Przede wszystkim należy zwrócić uwagę na materialny (ochronny), a nie formalny charakter tego przepisu. Wymaga on w sposób kategoryczny >>poinformowania<<, a nie >>wysłania zawiadomienia<<".
Organ powołał się także na wyrok tutejszego Sądu z 18 stycznia 2022 r., sygn. akt II SA/Wa 3584/21.
PUODO zaakcentował, że brak jest innych dowodów wskazujących na prawidłowe i skuteczne poinformowanie uczestnika postępowania o treści art. 105a ust. 3 P.b. niż oświadczenie skarżącego, pozostające w sprzeczności z twierdzeniami klienta. Sporządzenie i wysłanie ww. pisma nie jest równoznaczne z udowodnieniem jego prawidłowego doręczenia, skutkującego poinformowaniem uczestnika postępowania o zamiarze przetwarzania danych stanowiących tajemnicę bankową, bez jego zgody w trybie ww. przepisu. Dowodu na dostarczenie korespondencji lub poinformowanie o jej treści adresata nie stanowi też kopia książki nadawczej. Powszechnie obowiązujące przepisy nie przewidują obowiązku wysłania informacji, o której mowa w art. 105a ust. 3 P.b. w szczególnej formie, zatem to do podmiotu informującego (tu: skarżącego) należy wybór formy przekazania odbiorcy komunikatu o zamiarze przetwarzania danych osobowych bez jego zgody. Jednocześnie to podmiot informujący wywodzi z powyższego skutki prawne, czyli to on musi wykazać spełnienie przesłanek ujętych w ww. przepisie. Tymczasem Bank nie wykazał, iż może przetwarzać informacje stanowiące tajemnicę bankową dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy bez ich zgody w celu oceny zdolności kredytowej i analizy ryzyka kredytowego, w tym w systemie BIK. Również organ w toku prowadzonego postępowania nie stwierdził okoliczności uprawniających skarżącego do przetwarzania danych osobowych uczestnika postępowania na tej podstawie prawnej w ww. celu w systemie BIK.
Korzystając z uprawnienia przewidzianego w art. 58 ust. 2 lit. c RODO, organ nakazał skarżącemu zaprzestanie przetwarzania na podstawie art. 105a ust. 3 P.b. danych osobowych klienta dotyczących umowy kredytowej z [...] stycznia 2017 r. nr [...] przetwarzanych w celu oceny zdolności kredytowej i analizy ryzyka kredytowego.
Pismem z [...] stycznia 2025 r. Bank (reprezentowany przez radcę prawnego S. M.) zaskarżył opisaną wyżej decyzję PUODO z [...] grudnia 2024 r. do Wojewódzkiego Sądu Administracyjnego w Warszawie, zarzucając naruszenie:
1) przepisów postępowania, które mogło mieć istotny wpływ na wynik sprawy, tj. art. 28 k.p.a., przez skierowanie do niego decyzji obligującej BIK do podjęcia określonych działań, podczas gdy skarżący nie powinien być stroną decyzji;
2) przepisów postępowania, które mogło mieć istotny wpływ na wynik sprawy, tj. naruszenie art. 7, art. 77 § 1 i art. 80 k.p.a. w związku z art. 7 ust. 1 u.o.d.o. z 2019 r., polegające na przekroczeniu granic swobodnej oceny dowodów i w konsekwencji błędnym przyjęciu, że przedłożony przez Bank wydruk z książki nadawczej nie stanowi dowodu poinformowania uczestnika postępowania o zamiarze przetwarzania jego danych osobowych, o którym mowa w art. 105a ust. 3 P.b., podczas gdy jest to dostateczny dowód przekazania informacji wymaganej przez ww. przepis;
3) prawa materialnego, które miało wpływ na wynik sprawy, tj. art. 105a ust. 3 P.b. poprzez dokonanie jego błędnej wykładni polegającej na nieuprawnionym przyjęciu, iż wykonanie obowiązku informacyjnego, o którym mowa w tym przepisie, polega na skutecznym doręczeniu klientowi Banku informacji o zamiarze przetwarzania jego danych osobowych bez jego zgody, podczas gdy prawidłowa interpretacja tego przepisu winna prowadzić do przyjęcia, iż "poinformowanie" oznacza jedynie rzeczywiste umożliwienie klientowi Banku zaznajomienia się ze wspomnianą informacją.
W oparciu o ww. zarzuty skarżący wniósł o: stwierdzenie nieważności zaskarżonej decyzji z uwagi na skierowanie jej do osoby niebędącej stroną postępowania (art. 156 § 1 pkt 4 k.p.a.), ewentualnie jej uchylenie; umorzenie postępowania administracyjnego; wstrzymanie wykonania zaskarżonej decyzji; zasądzenie od organu na jego rzecz zwrotu kosztów postępowania sądowego, w tym kosztów zastępstwa procesowego, według norm przepisanych oraz opłaty skarbowej od pełnomocnictwa w wysokości 17 zł.
W uzasadnieniu skargi Bank rozwinął jej zarzuty.
W odpowiedzi na skargę PUODO wniósł o odrzucenie skargi ze względu na jej wniesienie po terminie, ewentualnie - w przypadku braku podstaw do odrzucenia skargi - o jej oddalenie. Organ zwrócił uwagę, że w ostatnim czasie NSA podzielił powyższe stanowisko w wyrokach wydanych w dniu 17 grudnia 2024 r. w sprawach o sygn. akt: III OSK 1428/24, III OSK 1763/24, III OSK 3059/23, III OSK 7477/21, III OSK 2833/22, III OSK 1575/22, III OSK 191/23, III OSK 251/23, III OSK 2672/23, III OSK 2300/23 i III OSK 2714/23.
W kwestii zarzutu naruszenia art. 28 k.p.a. PUODO wyjaśnił, iż BIK przetwarza dane osobowe klienta, przekazane mu przez skarżącego, jako oddzielny administrator. Czyni to w oparciu o przedstawione mu przez Bank informacje o spełnieniu przez skarżącego przesłanek z art. 105a ust. 3 P.b., a także podaną przez Bank datę wygaśnięcia zobowiązania. Dlatego w realiach przedmiotowej sprawy niezrozumiałe byłoby uznanie, że podmiotem odpowiedzialnym za nieprawidłowości w procesie przetwarzania danych osobowych klienta jest BIK. W sytuacji braku spełnienia przesłanek wynikających z ww. przepisu, Bank jest zobowiązany poinformować o tym BIK i zaprzestać przetwarzania danych w jego rejestrze prowadzonym w wadliwy sposób. Myli się więc skarżący, uznając, iż to BIK jest zobligowany zaskarżoną decyzją do podjęcia działań.
Ponadto przedmiotem prowadzonego przez organ postępowania nie był proces przetwarzania danych osobowych uczestnika postępowania przez BIK w oparciu o art. 105a ust. 4 P.b. Okoliczność przetwarzania przez BIK danych osobowych klienta na mocy ww. przepisu, w sposób niezależny od Banku, nie ma żadnego znaczenia dla niniejszej sprawy i jej rozstrzygnięcia. Podobnie, bez wpływu na wynik tej sprawy, pozostaje sposób rozstrzygania przez PUODO spraw dotyczących zapytań kredytowych, w których nakazy kierowane są zarówno do Banku, jak i BIK. Są to odmienne procesy przetwarzania danych osobowych.
In fine odpowiedzi na skargę organ zawnioskował o rozpoznanie sprawy w trybie uproszczonym.
Postanowieniem z [...] lutego 2025 r. nr [...] PUODO odmówił wstrzymania wykonania zaskarżonej decyzji.
Prawomocnym postanowieniem z 14 marca 2025 r., sygn. akt II SA/Wa 248/25, Wojewódzki Sąd Administracyjny w Warszawie odmówił wstrzymania wykonania zaskarżonej decyzji.
Skarżący oraz uczestnik postępowania nie zażądali przeprowadzenia rozprawy.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:
Niniejsza sprawa została rozpoznana w trybie uproszczonym w oparciu o art. 119 pkt 2 i art. 120 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2024 r., poz. 935 ze zm.; dalej: "p.p.s.a."). Pierwszy z ww. przepisów stanowi, że sprawa może być rozpoznana w trybie uproszczonym, jeżeli strona zgłosi wniosek o skierowanie sprawy do rozpoznania w trybie uproszczonym, a żadna z pozostałych stron w terminie czternastu dni od zawiadomienia o złożeniu wniosku nie zażąda przeprowadzenia rozprawy. Natomiast art. 120 p.p.s.a. wskazuje, iż w trybie uproszczonym sąd rozpoznaje sprawy na posiedzeniu niejawnym w składzie trzech sędziów.
Na wstępie należy podnieść, iż Sąd nie znalazł podstaw do odrzucenia skargi. Wbrew twierdzeniu PUODO, zaskarżona decyzja została wniesiona z zachowaniem 30-dniowego terminu przewidzianego w art. 53 § 1 p.p.s.a. Jak bowiem wynika z akt sprawy, Bankowi doręczono zaskarżoną decyzję drogą elektroniczną 5 grudnia 2024 r. (vide karta nr 93 akt administracyjnych), a skarga została nadana w urzędzie pocztowym 7 stycznia 2025 r. (vide karta nr 18 akt sądowych), jednakże ostatni dzień 30-dniowego terminu, tj. 4 stycznia 2025 r. przypadał na sobotę. Stosownie zaś do treści art. 83 § 2 p.p.s.a., jeżeli ostatni dzień terminu przypada na sobotę lub dzień ustawowo wolny od pracy, za ostatni dzień terminu uważa się następny dzień po dniu lub dniach wolnych od pracy. Kolejne dwa dni (tj. 5 stycznia 2025 r. - niedziela oraz 6 stycznia 2025 r. - Święto Trzech Króli) były ustawowo wolne od pracy (vide art. 1 pkt 1 lit. b i pkt 2 ustawy z dnia 18 stycznia 1951 r. o dniach wolnych od pracy - Dz. U. z 2025 r., poz. 296). W tej sytuacji, nadając skargę w urzędzie pocztowym w [...] w dniu [...] stycznia 2025 r., Bank zachował ustawowy termin do wniesienia skargi.
W ocenie Sądu, skarga nie zasługuje na uwzględnienie.
Odnosząc się do najdalej idącego żądania stwierdzenia nieważności decyzji ze względu na skierowanie jej do niewłaściwego adresata (tj. skarżącego zamiast BIK), Sąd stwierdza, że nie jest ono zasadne. Jak słusznie zauważył PUODO w odpowiedzi na skargę, Bank jest odrębnym i niezależnym od BIK, administratorem danych osobowych klienta. To skarżący przekazał te dane do BIK i to na Banku ciążą obowiązki: rzetelnego przekazywania do BIK danych osobowych klientów skarżącego; terminowej aktualizacji tych danych; informowania zarówno o wynikających z umów zobowiązaniach (w formie zapytań i wsadów informacyjnych), jak i o braku podstaw do przetwarzania danych w trybie art. 105a ust. 3 P.b., gdyż BIK opiera się na przekazanych mu przez Bank danych. Powyższy obowiązek znajduje potwierdzenie w § 2 ust. 2 umowy z 1 sierpnia 2016 r. zawartej przez Bank i BIK. Również w skardze z [...] kwietnia 2024 r., inicjującej kontrolowane przez tutejszy Sąd postępowanie, klient wyraźnie zarzucił, iż skarżący "bezprawnie wykorzystuje i udostępnia" BIK jego dane osobowe pozyskane przy zawieraniu umowy pożyczki z [...] stycznia 2017 r., milcząc przez szereg lat o zaległości w wysokości 74 zł, a jednocześnie nie informując o zamiarze przetwarzania danych bez zgody klienta w trybie art. 105a ust. 3 P.b.
Według art. 4 pkt 2 RODO, przetwarzanie danych osobowych oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie.
Warunki uznania przetwarzania danych osobowych za legalne określono w art. 6 ust. 1 RODO, który stanowi, że przetwarzanie jest zgodne z prawem wyłącznie w przypadkach i w takim zakresie, w jakim spełniony jest co najmniej jeden z poniższych warunków: a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów; b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą lub do podjęcia działań na żądanie osoby, której dane dotyczą przed zawarciem umowy; c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze; d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej; e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi; f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Akapit pierwszy lit. f nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań.
W myśl art. 105a ust. 1 P.b. przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów, instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z 12 maja 2011 r. o kredycie konsumenckim, a także instytucje utworzone na podstawie art. 105 ust. 4, informacji stanowiących tajemnicę bankową i informacji udostępnionych przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z 12 maja 2011 r. o kredycie konsumenckim, w zakresie dotyczącym osób fizycznych, może być wykonywane, z zastrzeżeniem art. 104, art. 105 i art. 106-106d, w celu oceny zdolności kredytowej i analizy ryzyka kredytowego.
Zgodnie z art. 105a ust. 2 P.b., z zastrzeżeniem ust. 3, instytucje, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową oraz informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z 12 maja 2011 r. o kredycie konsumenckim, w zakresie dotyczącym osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z 12 maja 2011 r. o kredycie konsumenckim, pod warunkiem uzyskania pisemnej zgody osoby, której informacje te dotyczą, z zastrzeżeniem ust. 2a. Zgoda ta może być w każdym czasie odwołana.
Z kolei art. 105a ust. 3 P.b wskazuje, że banki, instytucje oraz podmioty, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową i informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z 12 maja 2011 r. o kredycie konsumenckim, dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z 12 maja 2011 r. o kredycie konsumenckim, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z 12 maja 2011 r. o kredycie konsumenckim, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank, inną instytucję ustawowo upoważnioną do udzielania kredytów, instytucję pożyczkową albo podmiot, o którym mowa w art. 59d ustawy z 12 maja 2011 r. o kredycie konsumenckim, o zamiarze przetwarzania dotyczących jej informacji, bez jej zgody.
W skierowanej do PUODO skardze uczestnik postępowania akcentował bezprawność przetwarzania jego danych osobowych przez skarżącego w systemie BIK. Organ uznał, że Bank nie dysponuje dowodem skutecznego powiadomienia klienta o zamiarze przetwarzania jego danych dotyczących informacji stanowiących tajemnicę bankową, bez jego zgody, po wygaśnięciu zobowiązania wynikającego z umowy. Natomiast skarżący za wystarczający dowód w sprawie uważa skierowane do uczestnika postępowania pismo z [...] marca 2020 r. (nadane [...] marca 2020 r.) wraz z kopią z pocztowej książki nadawczej (vide karty nr 56 i nr 58 akt administracyjnych).
Zatem istota sprawy, a zarazem sporu między stronami postępowania, sprowadza się do tego, czy Bank dopełnił obowiązku informacyjnego wynikającego z art. 105a ust. 3 in fine P.b.
Zdaniem składu orzekającego, przetwarzanie przez skarżącego danych osobowych klienta nie znajdowało oparcia w ww. przepisie. Prawidłowa wykładnia zawartego w nim zwrotu "poinformowania tej osoby" powinna uwzględniać nie tylko art. 61 § 1 ustawy z dnia 23 kwietnia 1964 r. Kodeks cywilny (obecnie tekst jednolity: Dz. U. z 2025 r., poz. 1071; dalej: "k.c."), ale także dodatkowy 30-dniowy termin na wykonanie zobowiązania przewidziany w art. 105a ust. 3 P.b. W literaturze przedmiotu podkreśla się bowiem, iż "sam fakt, że klient nie wykonał zobowiązania lub spóźnił się z jego wykonaniem co najmniej 60 dni, nie upoważnia instytucji do przetwarzania jego danych. Musi bowiem zostać poinformowany o możliwości przetwarzania jego danych bez uzyskania od niego zgody. Dopiero bezskuteczny upływ 30 dni od momentu poinformowania stanowi wypełnienie przesłanek z art. 105a ust. 3 (pr. bank.). W przypadku, gdy konsument spełni świadczenie w czasie tych 30 dni, instytucje tracą prawo do przetwarzania informacji bez jego uprzedniej zgody. (...) Moment, od którego należy liczyć sześćdziesięciodniowy termin, w którym konsument dopuszcza się zwłoki w wykonaniu zobowiązania, to termin wykonania zobowiązania. Dopiero po upływie 60 dni zaczyna biec trzydziestodniowy termin, w którym instytucja jeszcze oczekuje na wykonanie zobowiązania klienta. Termin trzydziestodniowy nie biegnie jednak ex lege, a dopiero od momentu, w którym konsument zostanie poinformowany o zamiarze przetwarzania. Termin ten liczy się nie od momentu wysłania informacji, ale od chwili, w której konsument mógł się z nią zapoznać. Wydaje się, iż sama czynność poinformowania może nastąpić wcześniej niż po upływie 60 dni" (vide A. Żygadło, Przetwarzanie informacji stanowiących tajemnicę bankową po wygaśnięciu zobowiązania, Pr. Bankowe 2006/4/83; a także wyroki tutejszego Sądu: z 18 stycznia 2022 r., sygn. akt II SA/Wa 3584/21; z 4 października 2022 r., sygn. akt II SA/Wa 701/22; z 12 października 2022 r., sygn. akt II SA/Wa 189/22).
Konstrukcja przyjęta w art. 61 § 1 zdanie pierwsze k.c. odpowiada tzw. kwalifikowanej teorii doręczenia, która zadowala się dojściem oświadczenia woli do adresata w taki sposób, że miał on możliwość zapoznania się z jego treścią (vide wyrok SN z 8 września 2016 r., sygn. akt II CSK 750/15, M. Pr. Bank. 2017/10, s. 21 i 35 z glosą T. Czecha oraz z omówieniem M. Bączyka, M. Pr. Bank 2017/11, s. 58). To, czy rzeczywiście klient z tym oświadczeniem Banku zapoznał się nie ma w kontekście art. 61 § 1 k.c. znaczenia co do zasady (vide wyroki SN: z 18 listopada 1999 r., sygn. akt I PKN 375/99, OSNAPiUS 2001/7, poz. 227; z 20 maja 2015 r., sygn. akt I CSK 547/14, LEX nr 1767493 i z 22 marca 2017 r., sygn. akt III CSK 148/16, LEX nr 23552146 oraz uchwała składu siedmiu sędziów SN z 31 marca 2016 r., III CZP 89/15; Z. Radwański [w:] System Prawa Prywatnego, t. 2, 2008, s. 292).
Skarżący wywodzi istotne skutki prawne z oświadczenia, o którym jego adresat mógł w ogóle nie wiedzieć bądź nie znać jego treści. Negatywne skutki teorii doręczenia mogą ujawnić się w zasadzie tylko w ramach już istniejącego między stronami stosunku prawnego, ponieważ tylko wtedy jednostronne oświadczenia (czynności prawne) mogą oddziaływać niekorzystnie na sytuację prawną adresata oświadczenia woli. Do powstania zaś tego stosunku zazwyczaj niezbędna jest zgoda adresata, a wyrażając ją i przyznając w ten sposób – choćby mocą czynników innych niż treść samego oświadczenia (vide art. 56 k.c.) – drugiej stronie możliwość jednostronnego oddziaływania na swoją sytuację prawną (np. wypowiedzenia umowy albo wysokości świadczenia, odstąpienia, przyjęcia oferty, wezwania do wykonania zobowiązania, wyboru świadczenia przemiennego), adresat musi liczyć się ze składaniem takich oświadczeń i nie może dysponować instrumentem, który w prosty sposób mógłby paraliżować ich skutki (np. stroniąc od zapoznania się z tym oświadczeniem). Dlatego faktyczne zapoznanie się z oświadczeniem przynależy już wyłącznie do prawnie irrelewantnej sfery wewnętrznej adresata oświadczenia (vide R. Trzaskowski [w:] Kodeks cywilny. Komentarz Tom I. Część ogólna cz. 2 /art. 56-125/ pod red. J. Gudowskiego, Lex/el 2021, cz. 3 do art. 61).
W świetle treści art. 105a ust. 3 P.b., nie może budzić żadnych wątpliwości, że poinformowanie, o którym mowa w tym przepisie, z uwagi na wskazany wyżej dodatkowy 30-termin na wykonanie zobowiązania, powinno nastąpić w taki sposób, aby można było ustalić początek biegu tego terminu. Dopiero bowiem bezskuteczny upływ dodatkowego 30-dniowego terminu upoważnia Bank do przetwarzania danych osobowych w oparciu o omawiany przepis. Nadanie powiadomienia listem poleconym nie pozwala na ustalenie początku biegu ww. terminu. Skoro to skarżący wywodzi skutki prawne z powiadomienia klienta o zamiarze przetwarzania jego danych osobowych stanowiących tajemnicę bankową bez jego zgody, to skarżący musi również wykazać, iż bezskutecznie upłynęło 30 dni od daty poinformowania klienta o tym zamiarze. Wykazanie tej okoliczności wymaga zaś wykazania początku biegu 30-dniowego terminu.
Tutejszy Sąd w pełni podziela stanowisko zaprezentowane przez NSA m.in. w wyroku z 16 stycznia 2024 r., sygn. akt III OSK 3233/21, przywołanym przez organ w zaskarżonej decyzji, a ugruntowane w kolejnych wyrokach NSA, np. wymienionych w odpowiedzi na skargę: z 17 grudnia 2014 r., sygn. akt: III OSK 191/23, III OSK 1763/24, III OSK 2672/23 i III OSK 251/23.
Dostrzec wypada, że potwierdzenie nadania przesyłki rejestrowanej, które - w myśl art. 17 ustawy z dnia 23 listopada 2012 r. Prawo pocztowe (Dz. U. z 2025 r., poz. 366 ze zm.) - ma moc dokumentu urzędowego, nie jest równoznaczne z wykazaniem, iż poinformowanie nastąpiło w konkretnej dacie, czyli że przesyłkę doręczono adresatowi. Podobnie brak zwrotu korespondencji do nadawcy nie oznacza jej skutecznego doręczenia, gdyż przesyłka mogła np. zaginąć. Bank miał zresztą możliwość uzyskania dowodu doręczenia przesyłki rejestrowanej, gdyby - jako nadawca przesyłki - tego zażądał.
Dodatkowo podkreślenia wymaga materialny (ochronny), a nie formalny charakter obowiązku informacyjnego, o którym mowa w art. 105a ust. 3 P.b., co odnotował NSA m.in. w ww. wyroku z 16 stycznia 2024 r. Dane osobowe są wartością chronioną ustawowo, a prawo do ich ochrony stanowi swego rodzaju emanację ogólnego prawa gwarantowanego Konstytucją RP (art. 47). Spostrzeżenie to oparte jest na założeniu, iż dane osobowe są niejako częścią życia prywatnego lub rodzinnego, względnie - że posługiwanie się danymi dotyczącymi innej osoby wkracza w przyznaną jej kompetencję decydowania o swoim życiu osobistym.
Wprawdzie ustawodawca w żaden sposób nie ograniczył sposobów i form "poinformowania", o którym mowa w art. 105a ust. 3 P.b., to w każdym wypadku sposób ten powinien umożliwić zweryfikowanie faktu poinformowania klienta o zamierzonym przetwarzaniu jego danych osobowych lub przynajmniej potwierdzenie, iż klientowi umożliwiono zapoznanie się z taką informacją. Sytuacja taka nie miała miejsca w rozpatrywanej sprawie. To na Banku spoczywał obowiązek wykazania przesłanek z art. 105a ust. 3 P.b., z czego nie wywiązał się.
Przesłanka określona w art. 6 ust. 1 lit. f RODO nie jest ukierunkowana na ochronę interesów sektora bankowego czy też gospodarczego, lecz podobnie jak pozostałe przesłanki wymienione w art. 6 ust. 1 RODO, stanowi przesłankę zgodności z prawem procesu przetwarzania. Tym samym chroni przede wszystkim osobę, której proces ten dotyczy przed nieuprawnionym przetwarzaniem jej danych osobowych. Nie można powoływać się na prawnie uzasadniony interes w przypadku, gdy dane osobowe przetwarzane są "na zapas", tj. na wypadek gdyby taki prawnie uzasadniony interes mógł się pojawić dopiero w przyszłości. Bank niezasadnie skoncentrował się na własnych interesach gospodarczych, nie dostrzegając, że z punktu widzenia ochrony danych osobowych dane te mogą być przetwarzane do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, ale wyłącznie wówczas, gdy są nadrzędne nad interesami i prawami osoby, której dane dotyczą. Tymczasem taka sytuacja w niniejszej sprawie nie zaistniała, ponieważ ważąc interesy oraz podstawowe prawa i wolności klienta, takie jak chociażby gwarantowane (na gruncie prawa europejskiego, Konstytucji RP czy prawa cywilnego) prawo do prywatności, z interesem administratora, który dotyczy w tym wypadku zachowania w swych zasobach danych "na wszelki wypadek", czyli na wypadek tego, że mogą się okazać przydatne w przyszłości do dochodzenia lub obrony ewentualnych roszczeń, które obecnie nie istnieją, należało dojść do wniosku, iż to interesy oraz podstawowe prawa i wolności osoby, której dane dotyczą, są nadrzędne.
Niewykazanie przez Bank spełnienia obowiązku informacyjnego, o którym mowa w art. 105a ust. 3 P.b., a także brak toczącego się sporu pomiędzy skarżącym i uczestnikiem postępowania, implikuje brak podstawy prawnej do przetwarzania danych osobowych klienta, bez jego zgody, w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Dlatego organ zasadnie skorzystał z uprawnienia przewidzianego w art. 58 ust. 2 lit. c RODO, nakazując Bankowi zaprzestanie przetwarzania danych uczestnika postępowania dotyczących zobowiązania wynikającego z umowy z [...] stycznia 2017 r. nr [...] w ww. celu w systemie BIK.
Nie dopatrując się naruszenia przez PUODO tak prawa materialnego, jak i prawa procesowego, Wojewódzki Sąd Administracyjny w Warszawie, na mocy art. 151 p.p.s.a., oddalił skargę.