Orzeczenie · 2022-05-23

II SA/Wa 3550/21

Sąd

Wojewódzki Sąd Administracyjny w Warszawie

Miejsce

Warszawa

Data

2022-05-23

NSAAdministracyjneWysokawsa

ochrona danych osobowychRODOGDPRprawo bankowetajemnica bankowadostęp do danychweryfikacja tożsamościsąd administracyjnydecyzja UODObank

Podsumowanie

Przejdź do pełnego tekstu

Przedmiotem sprawy była skarga banku na decyzję Prezesa Urzędu Ochrony Danych Osobowych (PUODO), która nakazała bankowi udostępnienie kopii danych osobowych wnioskodawcy. Wnioskodawca domagał się udostępnienia danych na adres e-mail, z którego wysłał wniosek, jednak bank odmówił, uzależniając to od aktualizacji adresu korespondencyjnego w systemie bankowym. PUODO uznał odmowę za nieuzasadnioną i nakazał bankowi dostarczenie kopii danych. Bank zaskarżył tę decyzję, zarzucając naruszenie przepisów RODO i prawa bankowego, w szczególności poprzez nieuwzględnienie obowiązku ochrony tajemnicy bankowej i konieczności weryfikacji tożsamości klienta. Sąd administracyjny uznał skargę za zasadną. Sąd podkreślił, że bank, jako instytucja podlegająca szczególnym przepisom prawa bankowego i dotyczącym cyberbezpieczeństwa, ma obowiązek zachowania tajemnicy bankowej i musi zapewnić bezpieczeństwo danych. W związku z tym, bank miał prawo żądać od klienta dodatkowych informacji w celu potwierdzenia jego tożsamości, zwłaszcza gdy adres e-mail, z którego wysłano wniosek, różnił się od adresu zarejestrowanego w systemie bankowym. Sąd uznał, że PUODO nieprawidłowo ustalił stan faktyczny, pomijając obowiązki banku wynikające z prawa bankowego i procedur bezpieczeństwa, co doprowadziło do wydania błędnej decyzji. W konsekwencji, sąd uchylił zaskarżoną decyzję w części dotyczącej nakazu udostępnienia danych.

Asystent · analiza prawna

Przeanalizuj tę sprawę w pełnym kontekście orzecznictwa.

Analiza orzecznictwa · odpowiedzi na pytania · badanie przepisów · drafting pism.

Wypróbuj Asystenta

Wartość praktyczna

Siła precedensu: Wysoka

Do czego można powołać

Uzasadnienie odmowy udostępnienia danych osobowych przez bank na niezweryfikowany adres e-mail ze względu na ochronę tajemnicy bankowej i konieczność weryfikacji tożsamości klienta.

Ograniczenia stosowania

Dotyczy sytuacji, gdy bank ma uzasadnione wątpliwości co do tożsamości wnioskodawcy i gdy adres e-mail różni się od zarejestrowanego w systemie.

Zagadnienia prawne (3)

Czy bank, jako administrator danych osobowych, ma obowiązek udostępnić kopię danych osobowych klienta na adres e-mail, z którego klient wysłał wniosek, jeśli adres ten nie jest zarejestrowany w systemie bankowym i bank ma uzasadnione wątpliwości co do tożsamości wnioskodawcy?Ratio decidendi

Odpowiedź sądu

Nie, bank nie ma takiego obowiązku, jeśli ma uzasadnione wątpliwości co do tożsamości wnioskodawcy i niezweryfikowany adres e-mail może narazić go na naruszenie tajemnicy bankowej lub przepisów o ochronie danych osobowych.

Uzasadnienie

Sąd uznał, że bank, działając zgodnie z RODO i prawem bankowym, ma prawo żądać dodatkowych informacji w celu potwierdzenia tożsamości klienta, gdy istnieje rozbieżność między danymi w systemie a danymi podanymi we wniosku. Odmowa wysłania danych na niezweryfikowany adres e-mail jest uzasadniona koniecznością ochrony tajemnicy bankowej i bezpieczeństwa danych.

Czy odmowa banku udostępnienia kopii danych osobowych na niezweryfikowany adres e-mail, uzależniona od aktualizacji danych przez klienta, stanowi naruszenie przepisów RODO?Ratio decidendi

Odpowiedź sądu

Nie, jeśli bank działa w celu potwierdzenia tożsamości klienta i ochrony danych zgodnie z obowiązującymi przepisami.

Uzasadnienie

Sąd stwierdził, że bank działał prawidłowo, uwzględniając wewnętrzne procedury i przepisy prawa, które nakazują weryfikację tożsamości przed udostępnieniem danych. Klient miał obowiązek aktualizacji swoich danych kontaktowych, a bank nie mógł udostępnić danych na niezweryfikowany adres e-mail bez ryzyka naruszenia prawa.

Czy Prezes UODO prawidłowo ocenił stan faktyczny sprawy, pomijając obowiązki banku wynikające z prawa bankowego i procedur bezpieczeństwa teleinformatycznego?Ratio decidendi

Odpowiedź sądu

Nie, organ nie uczynił zadość obowiązkom wynikającym z przepisów procesowych, pomijając okoliczności związane z tajemnicą bankową i koniecznością weryfikacji tożsamości.

Uzasadnienie

Sąd uznał, że organ nie zebrał i nie rozpatrzył wszechstronnie materiału dowodowego, w szczególności nie uwzględnił specyfiki działalności bankowej i związanych z nią obowiązków w zakresie ochrony danych i tajemnicy bankowej, co skutkowało wadliwą oceną i błędną decyzją.

Rozstrzygnięcie

Decyzja

Uchylono decyzję

Uchylono punkt pierwszy zaskarżonej decyzji Prezesa Urzędu Ochrony Danych Osobowych.

Przepisy (25)

Główne

rozporządzenie 2016/679 art. 6 § ust. 1 lit. b) i f)

Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE

rozporządzenie 2016/679 art. 15

p.b. art. 104 § ust. 1-3

Ustawa z dnia 29 sierpnia 1997 r. - Prawo bankowe

p.b. art. 104 § ust. 1

Ustawa z dnia 29 sierpnia 1997 r. - Prawo bankowe

p.b. art. 104 § ust. 2

Ustawa z dnia 29 sierpnia 1997 r. - Prawo bankowe

rozporządzenie 2016/679 art. 12 § ust. 6

rozporządzenie 2016/679 art. 24 § ust. 1

rozporządzenie 2016/679 art. 32 § ust. 1 i 2

rozporządzenie 2016/679 art. 15 § ust. 3

rozporządzenie 2016/679 art. 15 § ust. 1

Pomocnicze

k.p.a. art. 104 § § 1

Ustawa z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego

u.o.d.o. art. 7 § ust. 1

Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych

rozporządzenie 2016/679 art. 58 § ust. 2 lit. c)

p.p.s.a. art. 3 § ust. 1

Ustawa z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi

p.p.s.a. art. 134

Ustawa z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi

p.p.s.a. art. 145 § § 1 pkt 1 lit. c

Ustawa z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi

k.p.a. art. 7

Ustawa z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego

k.p.a. art. 77 § § 1

Ustawa z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego

k.p.a. art. 80

Ustawa z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego

k.p.a. art. 107 § § 3

Ustawa z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego

k.p.a. art. 156 § § 1 pkt 5

Ustawa z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego

k.p.a. art. 156 § § 1

Ustawa z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego

k.p.a. art. 75 § § 1

Ustawa z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego

k.p.a. art. 84 § § 1

Ustawa z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego

Rozporządzenie Ministra Sprawiedliwości z dnia 22 października 2015 r. w sprawie opłat za czynności adwokackie art. 14 § ust. 1 pkt 1 lit. c

Argumenty

Skuteczne argumenty

Bank miał prawo odmówić udostępnienia kopii danych na niezweryfikowany adres e-mail ze względu na ochronę tajemnicy bankowej i bezpieczeństwo danych. • Bank miał prawo żądać dodatkowych informacji w celu potwierdzenia tożsamości klienta zgodnie z art. 12 ust. 6 RODO. • Decyzja Prezesa UODO była wadliwa z powodu nieprawidłowego ustalenia stanu faktycznego i pominięcia przepisów prawa bankowego.

Godne uwagi sformułowania

bank nie jest uprawniony do udostępnienia danych, objętych tajemnicą bankową jakiejkolwiek osobie bez uprzedniego zweryfikowania, czy jest to osoba uprawniona do otrzymania takich danych • jakiekolwiek wątpliwości banku jako administratora danych osobowych w tej kwestii wymagają podjęcia działań weryfikacyjnych • nieprawidłowa była ocena organu uznająca, że podjęte przez bank działania, mające na celu weryfikację danych wnioskodawcy, stanowią w istocie odmowę realizacji prawa do uzyskania kopii danych • organ nie uczynił zadość obowiązkom, wynikającym z powyższych przepisów procesowych • organ pominął okoliczność, że skarżący bank związany jest przepisami prawa bankowego, nakładających na niego szereg obowiązków, w tym szczególny obowiązek zachowania tajemnicy bankowej

Skład orzekający

Agnieszka Góra-Błaszczykowska

przewodniczący sprawozdawca

Andrzej Wieczorek

członek

Izabela Głowacka-Klimas

członek

Informacje dodatkowe

Wartość precedensowa

Siła: Wysoka

Powoływalne dla: "Uzasadnienie odmowy udostępnienia danych osobowych przez bank na niezweryfikowany adres e-mail ze względu na ochronę tajemnicy bankowej i konieczność weryfikacji tożsamości klienta."

Ograniczenia: Dotyczy sytuacji, gdy bank ma uzasadnione wątpliwości co do tożsamości wnioskodawcy i gdy adres e-mail różni się od zarejestrowanego w systemie.

Wartość merytoryczna

Ocena: 7/10

Sprawa dotyczy powszechnego problemu ochrony danych osobowych i tajemnicy bankowej w kontekście komunikacji elektronicznej, co jest istotne zarówno dla prawników, jak i dla klientów banków.

“Bank odmówił wysłania danych na e-mail. Sąd uznał, że miał do tego prawo – oto dlaczego.”

Asystent AI dla prawników

Twój asystent do analizy prawnej.

Zadaj pytanie prawne, zleć analizę orzecznictwa i przepisów, lub poproś o projekt pisma — AI przeszuka polskie orzecznictwo i aktualne akty prawne.

Analiza orzecznictwa i przepisów
Drafting pism i dokumentów
Odpowiedzi na pytania prawne
Pogłębiona analiza z doktryny

Wypróbuj Asystenta AI za darmo

Powiązane przepisy

p.b. art. 104 k.p.a. art. 104 k.p.a. art. 107 k.p.a. art. 156 k.p.a. art. 7 k.p.a. art. 75 k.p.a. art. 77 k.p.a. art. 80 k.p.a. art. 84 p.p.s.a. art. 134 p.p.s.a. art. 145 p.p.s.a. art. 3

Powiązane tematy

ochrona danych osobowych RODO GDPR prawo bankowe tajemnica bankowa dostęp do danych weryfikacja tożsamości sąd administracyjny decyzja UODO bank

Pełny tekst orzeczenia

Oryginalna treść postanowienia (niezmieniona). Otwiera się jako osobna strona.

Przeczytaj pełny tekst