II SA/Wa 3673/21

II SA/Wa 3673/21 - Wyrok WSA w Warszawie
Data orzeczenia
2022-03-28
orzeczenie nieprawomocne
Data wpływu
2021-10-28
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Andrzej Wieczorek
Izabela Głowacka-Klimas /przewodniczący sprawozdawca/
Piotr Borowiecki
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Sygn. powiązane
III OSK 1594/22 - Wyrok NSA z 2025-07-10
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Uchylono zaskarżoną decyzję
Powołane przepisy
Dz.U. 2016 poz 922
art. 23 ust. 1 pkt 5
Ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych - tekst jedn.
Dz.U.UE.L 2016 nr 119 poz 1 art. 6 ust. 1 lit. f)
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z  przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Izabela Głowacka-Klimas (spr.), Sędzia WSA Andrzej Wieczorek, Sędzia WSA Piotr Borowiecki, po rozpoznaniu w trybie uproszczonym w dniu 28 marca 2022 r. sprawy ze skargi S. S.A. z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] sierpnia 2021 r. nr [...] w przedmiocie przetwarzania danych osobowych 1. uchyla zaskarżoną decyzję; 2. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz S. S.A. z siedzibą w W. kwotę 697 (słownie: sześćset dziewięćdziesiąt siedem) złotych, tytułem zwrotu kosztów postępowania.
Uzasadnienie
Decyzją z dnia [...] sierpnia 2021 r. Prezes Urzędu Ochrony Danych Osobowych (Prezes UODO), działając na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz.U z 2021 r. poz. 735), art. 6 ust. 1 oraz art. 58 ust. 2 lit. c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych
w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie
o ochronie danych), (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35), po przeprowadzeniu postępowania administracyjnego w sprawie skargi Pana P. C. (uczestnik postępowania, Skarżący), na nieprawidłowości w procesie przetwarzania jego danych osobowych przez S. C. B. S.A. z siedzibą we W. (B.), polegające na przetwarzaniu danych osobowych uczestnika dotyczących umowy nr [...] z dnia [...] lutego 2009 r. bez podstawy prawnej oraz niespełnieniu jego żądania zaprzestania przetwarzania jego danych osobowych, nakazał S. C.B. S.A. z siedzibą w. W., zaprzestanie przetwarzania danych osobowych Pana P.C., dotyczących umowy nr [...] z dnia [...] lutego 2009 r.
Do wydania przedmiotowego rozstrzygnięcia doszło w następującym stanie faktycznym i prawnym:
Do Prezesa Urzędu Ochrony Danych Osobowych wpłynęła dnia [...] grudnia 2019 r. skarga Pana P. C. zam. w J. – Z. przy
ul. S. 28, reprezentowanego przez pełnomocnika Pana G. A., na nieprawidłowości w procesie przetwarzania jego danych osobowych przez S. C. B. S.A. z siedzibą w. W. przy ul. L. 48B, polegające na przetwarzaniu danych osobowych Skarżącego dotyczących umowy nr [...] z dnia [...] lutego 2009 r. bez podstawy prawnej oraz niespełnieniu jego żądania zaprzestania przetwarzania jego danych osobowych.
W toku postępowania przeprowadzonego w niniejszej sprawie Prezes Urzędu Ochrony Danych Osobowych ustalił następujący stan faktyczny.
1. Jak wskazał Skarżący w skardze cyt.: "(...) S. C. B. S.A. nie zaprzestał całkowitego przetwarzania jego danych osobowych, mimo złożonego przez konsumenta wniosku o zaprzestanie przetwarzania jego danych osobowych (cofnięcia zgody na przetwarzanie danych osobowych). (...) dane osobowe zostały przekazane w związku z zawarciem umowy pożyczki nr [...] z dnia [...].02.2009 roku. Mimo wystąpienia trudności ze spłatą, zobowiązanie zostało ono w całości uregulowane (spłata całkowita w [...].2018r. na rzecz podmiotu, który nabył wierzytelność z umowy)" (dowód: pismo Skarżącego z dnia [...] grudnia 2019 r.).
2. Bank pozyskał dane uczestnika w wyniku zawarcia szeregu umów, w tym
m.in. Umowy pożyczki z dnia [...] lutego 2009 r. o nr [...], która została skutecznie wypowiedziana z dniem [...] lutego 2011 r. w związku z czym, otrzymała numer [...]. Niniejsza Umowa pożyczki została następnie sprzedana w dniu [...] lutego 2018 r. do G. N., reprezentowanego przez G. S.A. Rozliczenie Umowy pożyczki nastąpiło w dniu [...] lutego 2018 r. (dowód: wyjaśnienia B. z dnia [...] listopada 2020 r.).
3. W związku z zawartymi umowami B. pozyskał dane osobowe Skarżącego, obejmujące dane identyfikacyjne, teleadresowe, finansowe oraz dane dotyczące zobowiązań Skarżącego (dowód: wyjaśnienia B. z dnia [...] czerwca 2020 r.).
4. B. wyjaśnił, że podstawą prawną przetwarzania danych osobowych Skarżącego stanowił art. 23 ust. 1 pkt 2), 3) i 5) ustawy z dnia 20 sierpnia 1997 roku o ochronie danych osobowych. Obecnie zaś B. wyjaśnił cyt.: "(...) aktualnie B. nie ustala lub dochodzi roszczenia względem Skarżącego w związku z zawartą Umową pożyczki, również uczestnik nie podniósł roszczenia względem Umowy, niemniej jednak z uwagi na sprzedaż wierzytelności – B. wyłącznie przechowuje dane z Umowy pożyczki (dane identyfikacyjne, dane adresowe, dane dot. zobowiązań Skarżącego), nie dokonując przy tym innych operacji przetwarzania na danych Skarżącego w celach dowodowych względem nabywcy wierzytelności na podstawie art. 509 KC w zw. z art. 516 KC w zw. z art. 118 KC w zw. z art. 6 ust. 1
lit. f RODO (...)" (dowód: wyjaśnienia B. z dnia [...] listopada 2020 r.).
5. W dniu w dniu [...] kwietnia 2019 r. Skarżący złożył do B. wniosek
o wycofanie zgody na przetwarzanie swoich danych osobowych. B. przekazał odpowiedź Skarżącemu w dniu [...] kwietnia 2019 r. informując m.in. Skarżącego, że całkowite zaprzestanie przetwarzania danych nie może zostać zrealizowane ze względu na spełnienie warunków uprawniających do przetwarzania w Biurze Informacji Kredytowej S.A. danych dotyczących umowy nr [...] stanowiących tajemnicę bankową bez zgody Skarżącego. B. w kolejnej odpowiedzi wskazał również Skarżącemu, że pismem z dnia [...] sierpnia 2010 r. poinformował Skarżącego o zamiarze przetwarzania danych stanowiących tajemnicę bankową bez zgody kredytobiorcy (dot. umowy nr [...]) (dowód: wyjaśnienia B. z dnia [...] czerwca oraz [...] listopada 2020 r. wraz z załącznikami).
W uzasadnieniu zaskarżonej decyzji Prezes UODO wyjaśnił, że wydając decyzję administracyjną zobowiązany jest do rozstrzygania w oparciu o stan faktyczny istniejący w chwili wydania tej decyzji. Jak podnosi doktryna "organ administracji publicznej ocenia stan faktyczny sprawy według chwili wydania decyzji administracyjnej. Reguła ta odnosi się także do oceny stanu prawnego sprawy, co oznacza, że organ administracji publicznej wydaje decyzję administracyjną na podstawie przepisów prawa obowiązujących w chwili jej wydania (...) Rozstrzyganie w postępowaniu administracyjnym polega na zastosowaniu obowiązującego prawa do ustalonego stanu faktycznego sprawy administracyjnej. W ten sposób organ administracji publicznej realizuje cel postępowania administracyjnego, jakim jest urzeczywistnienie obowiązującej normy prawnej w zakresie stosunków administracyjno-prawnych, gdy stosunki te tego wymagają" (Komentarz do ustawy
z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego, M. Jaśkowska, A. Wróbel, Lex., el/2012). Ponadto, w wyroku z dnia 7 maja 2008 r. w sprawie
o sygn. akt I OSK 761/07 Naczelny Sądu Administracyjny stwierdził, iż "badając bowiem legalność przetwarzania danych osobowych, GIODO ma obowiązek ustalenia, czy na datę wydawania rozstrzygnięcia w sprawie dane konkretnego podmiotu są przetwarzane oraz czy czynione to jest w sposób zgodny z prawem".
Organ wyjaśnił, że rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych), (Dz.Urz.UEL 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35), zwane dalej RODO, określa legalność przetwarzania danych osobowych. Każda z przesłanek z art. 6 ust. 1 RODO ma charakter autonomiczny i niezależny, co oznacza, że spełnienie jednej z nich stanowi w danym przypadku o zgodności z prawem przetwarzania danych osobowych. Podkreślić zatem należy także, że zgoda osoby, której dane dotyczą nie jest jedyną podstawą uprawniającą do przetwarzania jej danych osobowych (lit. a). Proces przetwarzania danych będzie zgodny z przepisami ustawy również wtedy, gdy administrator danych wykaże spełnienie choćby jednej przesłanki z wspomnianego art. 6 ust. 1 RODO, w tym, gdy przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem (lit. f).
Prezes UODO podzielił ponadto stanowisko Naczelnego Sądu Administracyjnego odnoszące się do analogicznej do art. 6 ust. 1 lit. f RODO przesłanki wynikającej z art. 23 ust. 1 pkt 5 ustawy z dnia 29 sierpnia 1997 r.
o ochronie danych osobowych (Dz. U. 2016 r. poz. 922 ze zm.), dotyczącej dopuszczalności przetwarzania danych osobowych dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, gdy przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą (wyrok NSA z dnia 6 marca 2019 r. w sprawie sygn. I OSK 994/17).
Jak wskazał organ, z materiału dowodowego zgromadzonego w toku niniejszego postępowania wynika, że Bank w dniu [...] lutego 2018 r. sprzedał wierzytelność wynikającą z zawartej pomiędzy Skarżącym a Bankiem umowy pożyczki z dnia [...] lutego 2009 r. o nr [...], która została skutecznie wypowiedziana w dniu [...] lutego 2011 r. do G. N. reprezentowanego przez G. S.A. B. również dysponuje wiedzą, że rozliczenie ww. umowy nastąpiło w dniu [...] lutego 2018 r., wskazując jednocześnie, iż obecnie przetwarza dane osobowe Skarżącego dotyczące ww. umowy jedynie w celach dowodowych względem nabywcy wierzytelności na podstawie art. 509 ustawy z dnia 23 kwietnia 1964 r. Kodeks cywilny (Dz. U. z 2020 r., poz. 1740), zwanej dalej KC, w zw. z art. 516 KC w zw. z art. 118 KC w zw. z art. 6 ust. 1 lit. f RODO.
Organ powołał się na art. 516 Kodeksu cywilnego (Kc.) i wyjaśnił, że zbywca wierzytelności ponosi względem nabywcy odpowiedzialność za to, że wierzytelność mu przysługuje. Za wypłacalność dłużnika w chwili przelewu ponosi odpowiedzialność tylko o tyle, o ile tę odpowiedzialność na siebie przyjął. Zgodnie natomiast z art. 118 Kc., jeżeli przepis szczególny nie stanowi inaczej, termin przedawnienia wynosi sześć lat, a dla roszczeń o świadczenia okresowe oraz roszczeń związanych z prowadzeniem działalności gospodarczej - trzy lata. Jednakże koniec terminu przedawnienia przypada na ostatni dzień roku kalendarzowego, chyba że termin przedawnienia jest krótszy niż dwa lata.
Z zebranego w niniejszym postępowaniu materiał dowodowy nie wynika, aby podmiot, który nabył wierzytelność od B. wystąpił z jakimkolwiek roszczeniem wobec B., które uzasadniałoby uprawnienie do zachowania i przetwarzania danych osobowych Skarżącego dla celów dowodowych, w szczególności, iż B. dysponuje wiedzą, że rozliczenie ww. umowy nastąpiło w dniu [...] lutego 2018 r.
W ocenie Prezesa UODO, brak jest zatem spełnienia wskazywanej przez B. przesłanki niezbędności do celów wynikających z prawnie usprawiedliwionych interesów realizowanych przez administratora odnośnie przetwarzania danych osobowych Skarżącego. Przesłanka z art. 6 ust 1 lit. f RODO dotyczy sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia, potrzeba dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem.
W związku z tym, że przeprowadzone przez Prezesa UODO postępowanie administracyjne nie wykazało, aby nabywca wierzytelności czy też Skarżący skierowali wobec B. jakiekolwiek roszczenie, a także aby to B.wystąpił z roszczeniem wobec ww. podmiotów, należy stwierdzić, iż B. przetwarza dane osobowe Skarżącego w ww. celu wyłącznie "na zapas", aby zabezpieczyć się przed ewentualnym przyszłymi i niepewnymi roszczeniami.
Prezes UODO podzielił ponadto stanowisko Naczelnego Sądu Administracyjnego odnoszące się do analogicznej do art. 6 ust. 1 lit. f RODO przesłanki wynikającej z art. 23 ust. 1 pkt 5 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.U. 2016 r. poz. 922 ze zm.), dotyczącej dopuszczalności przetwarzania danych osobowych dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, gdy przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Sąd ten w wyroku z dnia 6 marca 2019 r. w sprawie sygn. I OSK 994/17 (LEX nr 2670498) orzekł, cyt.: "Przepis art. 23 ust. 1 pkt 5 u.o.d.o. zezwala na przetwarzanie danych gdy jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Dokonując wykładni tego przepisu należy zatem zwrócić uwagę, że stosowanie ww. przepisu wymaga wykazania, że chodzi o realizowanie prawnie usprawiedliwionego celu, ale także dokonanie oceny czy dla realizacji tego celu niezbędne jest przekazanie danych, pomimo braku zgody osoby której dane te dotyczą. Ocena ta sprowadza się do wyważania racji i interesów osoby, której danych sprawa dotyczy, a która jest objęta ochroną prawną, a z drugiej administratora danych, również chronionego przez prawo w zakresie w jakim może realizować prawnie usprawiedliwione cele i uprawnienia. Naczelny Sąd Administracyjny w wyroku z dnia 23 września 2005 r. (sygn. aktl OSK 712/05,CBOSA) już wskazywał, że rozstrzygając o legalności przetwarzania danych trzeba każdorazowo, ważąc interesy stron, znaleźć równowagę między prawami i wolnościami jednostki z jednej strony a prawnie usprawiedliwionym interesem osoby trzeciej z drugiej strony. Oznacza to obowiązek zapewnienia właściwej równowagi praw i interesów stron w tym praw podstawowych. Zdaniem Naczelnego Sądu Administracyjnego przetwarzanie danych osobowych (...), który cofnął zgodę na ich przetwarzanie, nie jest niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez (...), a którym jest prawo do podjęcia obrony przed ewentualnymi roszczeniami lub zarzutami dotyczącymi przetwarzania danych (...) w celu obsługi wniosku kredytowego. Wskazać, należy że przepis art. 23 ust. 1 pkt 5 ustawy na pierwszym miejscu wymienia warunek, że przetwarzanie danych winno być niezbędne dla wypełnienia prawnie usprawiedliwionych celów. Prawidłowe jest stanowisko Sądu pierwszej instancji, że niedopuszczalne jest przetwarzanie danych osobowych niejako "na zapas" z założeniem, że mogą być one ewentualnie przydatne w przyszłości.".
Podkreślenia wymaga, że przy przyjęciu odmiennej interpretacji ww. przepisów, Skarżący pozbawiony byłby ochrony na gruncie RODO oraz ustawy
z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781). Zaznaczyć bowiem należy, że przyjęcie za prawidłowe stanowiska, iż przetwarzanie danych osobowych w celu uchylenia się od negatywnych skutków w przypadku zgłoszenia w przyszłości ewentualnego nieokreślonego roszczenia, stanowi prawnie usprawiedliwiony cel w rozumieniu art. 6 ust. 1 lit. f RODO oznaczałoby, że dane osobowe Skarżącego mogą być przetwarzane przez B. permanentnie, bez konieczności ich usunięcia. Teoretycznie możliwym jest by nabywca wierzytelności lub Skarżący zwrócili się do B. z roszczeniem po upływie terminu jego przedawnienia. Prowadziłoby to tym samym do uznania, że przetwarzanie danych osobowych Skarżącego przez Spółkę ma uzasadnienie w przesłance określonej art. 6 ust. 1 lit. f RODO w celu realizacji prawa do obrony przed ewentualnym roszczeniem również po upływie ww. terminu.
W ocenie Prezesa UODO brak jest uzasadnienia dla przyjęcia, iż terminy dotyczące przedawnienia roszczeń wynikających ze stosunków zobowiązaniowych określają jednocześnie ramy czasowe, w których dane osobowe mogą być przetwarzane przez B.. Koniecznym jest by podnieść, że przedawnienie roszczenia nie wywołuje skutków na gruncie ochrony danych osobowych, nie wpływa bowiem na fakt istnienia roszczenia, a powoduje jedynie zmianę w sferze zarzutów procesowych w postaci możliwości podniesienia okoliczności przedawnienia
w sporze sądowym. Podkreślenia wymaga, że okolicznością usprawiedliwiającą przetwarzanie danych osobowych w celu dochodzenia roszczeń jest sam fakt istnienia roszczenia oraz zamiar jego dochodzenia, nie jest nią natomiast zmiana
w uprawnieniach procesowych podmiotu pozwanego.
Zdaniem Prezesa UODO z uwagi na to, że rozliczenie umowy pożyczki z dnia [..] lutego 2009 r. o nr [...] nastąpiło w dniu [...] lutego 2018 r. oraz B. nie wskazał istnienia roszczeń, których zaspokojenia domaga się od Skarżącego oraz nabywcy wierzytelności, jak również nie wykazał aby zaspokojenia roszczeń domagał się od B.nabywca wierzytelności lub Skarżący, w ocenie Prezesa UODO, brak jest celu uzasadniającego przetwarzanie ww. danych osobowych Skarżącego, w rozumieniu art. 6 ust. 1 lit. f RODO. Wobec powyższego, kontynuowanie do chwili obecnej przetwarzania danych osobowych Skarżącego
w celu ustalenia, dochodzenia lub obrony przed ewentualnymi, przyszłymi
i niepewnymi roszczeniami, należy uznać za zbędne i niezgodne z obowiązującymi przepisami o ochronie danych osobowych. W związku z powyższym, Prezes UODO nakazał B. zaprzestanie przetwarzania danych osobowych Skarżącego wynikających z umowy pożyczki z dnia [...] lutego 2009 r. o nr [...], przetwarzanych w ww. celu.
W świetle powołanych przepisów, zgodnie z art. 58 ust. 2 lit. c) RODO, organowi nadzorczemu przysługuje uprawnienie naprawcze w postaci nakazania administratorowi lub podmiotowi przetwarzającemu spełnienia żądania osoby, której dane dotyczą, wynikającego z praw przysługujących jej na mocy niniejszego rozporządzenia.
Skargę na powyższe rozstrzygnięcie do Wojewódzkiego Sądu Administracyjnego w Warszawie wywiódł B.. Zaskarżonej decyzji zarzucił naruszenie przepisów prawa materialnego, które miało wpływ na wynik sprawy,
tj. art. 6 ust. 1 lit. f RODO poprzez jego błędną wykładnię, skutkującą przyjęciem, że przetwarzanie danych osobowych dłużnika wierzytelności, która została przelana na osobę trzecią, przez okres przedawnienia roszczeń cedenta wobec cesjonariusza, wynikających z umowy przelewu wierzytelności, nie stanowi prawnie uzasadnionego interesu administratora, podczas gdy prawidłowa interpretacja tego przepisu prowadzi do wniosku, iż takie przetwarzanie jest dopuszczalne przez okres przedawnienia roszczeń wynikający z art. 118 ustawy z dnia z dnia 23 kwietnia
1964 r. - Kodeks cywilny (t.j. z Dz.U. z 2020 r. poz. 1740, dalej jako: Kc.) w zakresie uzasadnionym celem takiego przetwarzania.
Mając na uwadze powyższe zarzuty, na podstawie art. 145 § 1 pkt 1) lit. a i c p.p.s.a. wnosił o :
1) uchylenie decyzji Prezesa UODO w całości;
2) zasądzenie od Prezesa UODO na rzecz Strony Skarżącej - na podstawie art. 200 p.p.s.a. - kosztów postępowania, w tym kosztów zastępstwa prawnego, według norm przepisanych.
Jednocześnie wnosił o:
3) zobowiązanie Organu do wydania decyzji oddalającej skargę Uczestnika postępowania o zaprzestanie przetwarzania jego danych osobowych w terminie wyznaczonym przez Sąd - na podstawie art. 145a § 1 p.p.s.a.;
4) rozpoznanie sprawy w trybie uproszczonym na podstawie art. 119 pkt 2 p.p.s.a.;
W uzasadnieniu skargi B. rozwinął poszczególne jej zarzuty. B. powołał się na treść art. 6 ust. 1 lit. f RODO. B. podkreślił, że wskazany przepis jest odpowiednikiem klauzuli "prawnie usprawiedliwionego celu" administratora danych osobowych wyrażonym w art. 23 ust. 1 pkt 5 poprzednio obowiązującej ustawy z dnia z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t.j. z dnia 13 czerwca
2016 r., Dz.U. z 2016 r. poz. 922, dalej jako: dUODO). Dokonując zatem analizy art. 6 ust. 1 lit. f RODO, należy odwołać się także do orzecznictwa i literatury powstałych na gruncie dUODO,
Przesłanka z art. 6 ust. 1 lit. f RODO, dla swojej aktualizacji, wymaga łącznego zaistnienia następujących okoliczności:
1) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią,
2) nie zachodzą sytuacje, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych.
Immanentną cechą prawnie uzasadnionych interesów administratora jest "niezbędność". Dane przetwarzane na potrzeby prawnie uzasadnionych interesów powinny być "niezbędne" do ich realizacji. Co więcej, interesy realizowane przy przetwarzaniu danych powinny być uzasadnione "prawnie". Jak wskazuje się
w doktrynie, nie można sformułowania "prawnie", w odniesieniu do uzasadnienia interesu, utożsamiać z uprawnieniem do przetwarzania danych, które miałoby wynikać z jakiegoś szczególnego przepisu prawa. Takie podejście prowadziłoby
do przyjęcia, że działania administratora danych powinny mieć swoje źródło
w uprawnieniach wynikających ze szczególnych przepisów prawa, co prowadziłoby do powstania konkurencyjnej podstawy przetwarzania danych w stosunku do art. 6 ust. 1 lit. c lub lit. e RODO. Brak jest również podstaw, by prawnie uzasadniony interes utożsamiać z interesem prawnym w rozumieniu przepisów o postępowaniu administracyjnym.
Podkreślenia wymaga, że przesłanka z art. 6 ust. 1 lit. f RODO jest ukierunkowana jest przede wszystkim na ochronę interesów podmiotów sektora gospodarczego. Jej konstrukcja oparta na klauzuli generalnej umożliwia dokonywanie przetwarzania danych w sytuacjach uzasadnionych prowadzoną działalnością biznesową.
Nie ulega wątpliwości, że Bank ma interes prawny w rozumieniu RODO, do przetwarzania (wyłączenie poprzez ich przechowywanie) danych osobowych Pana P. C. w celu obrony przed roszczeniami cesjonariusza, które mogą być skutecznie dochodzone przez okres przedawnienia roszczeń wynikający z art. 118 Kc., czyli przez okres 3 lat, liczony od dnia zapłaty ceny za wierzytelność przez G.N. w dniu [...] lutego 2018r. Co więcej interes ten spełnia także przesłankę konkretności, gdyż dotyczy obrony przed roszczeniami w ramach konkretnego stosunku prawnego - umowy przelewu wierzytelności zawartej
z G. N.w dniu [...] lutego 2018r.
Należy zatem konsekwentnie przyjąć, że w okresie, kiedy każda ze stron stosunku zobowiązaniowego może wystąpić do sądu z roszczeniami wynikającymi
z tego stosunku, czyli przez określony odrębnymi przepisami okres przedawnienia roszczeń, istnieje prawnie uzasadniony interes administratora danych do ich przetwarzania, z zastrzeżeniem, że przetwarzanie to odbywa się w sposób ograniczony wyłącznie do celu, jakim jest cel dowodowy w ewentualnym postępowaniu sądowym, a zatem co do zasady przetwarzanie to polega na przechowywaniu danych.
Przyjęcie odmiennego stanowiska, tzn. uznanie, że przesłanka z art. 6 ust. 1 lit. f RODO dotyczy wyłącznie sytuacji sporu już istniejącego, gdy celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia określonych okoliczności w zawisłym już sporze, prowadziłoby do wniosku, że administrator, niezwłocznie po wykonaniu umowy (spełnieniu świadczenia wynikającego z danego stosunku prawnego), powinien usuwać dane osobowe. Takie podejście nie bierze w ogóle pod uwagę m.in. terminów rękojmi (które wynikają z ustawy, podobnie jak terminy przedawnienia) oraz faktu, że w obrocie gospodarczym administrator musi liczyć się z tym, że przez okres przedawnienia roszczeń jego kontrahent może zgłosić roszczenia wynikające
np. z wad fizycznych lub prawnych przedmiotu świadczenia lub nienależytego wykonania zobowiązania, gdy skutki tego nienależytego wykonania ujawnią się dopiero po jakimś czasie od "zakończenia" umowy.
Przepis art. 516 Kc. nie jest jedyną podstawą odpowiedzialności cedenta wobec cesjonariusza. Z umowy przelewu wierzytelności może wynikać szereg roszczeń wynikających z niewykonania lub nienależytego wykonania obowiązków ubocznych wobec świadczenia głównego, jakim jest zapłata ceny i wydanie dokumentów dotyczących wierzytelności. Do przedawnienia wszelkich roszczeń wynikających z umowy przelewu wierzytelności zastosowanie znajdzie przepis art. 118 Kc., zgodnie z którym jeżeli przepis szczególny nie stanowi inaczej, termin przedawnienia wynosi sześć lat, a dla roszczeń o świadczenia okresowe oraz roszczeń związanych z prowadzeniem działalności gospodarczej - trzy lata. Jednakże koniec terminu przedawnienia przypada na ostatni dzień roku kalendarzowego, chyba że termin przedawnienia jest krótszy niż dwa lata. Roszczenia cesjonariusza wobec B. przedawnia się zatem dopiero z końcem roku 2021 r., zastosowanie do tego stosunku prawnego ma bowiem termin trzyletni, którego koniec przypada na ostatni dzień roku kalendarzowego.
Odnośnie przetwarzania danych osobowych niejako "na zapas" warto wskazać na wyrok WSA w Warszawie z dnia 11 stycznia 2017 r. , w którym WSA owszem wskazał, że niedopuszczalne jest więc przetwarzanie danych osobowych niejako "na zapas" z założeniem, że mogą być one ewentualnie przydatne
w przyszłości oraz z odwołaniem się przy tym do przepisów dotyczących przedawnienia roszczeń cywilnoprawnych, ale dotyczyło to stanu faktycznego,
w którym bank przetwarzał dane osoby, z którą nie łączył go nigdy żaden stosunek prawny. Słusznie zatem wskazał WSA, że "Odwoływanie się w tym wypadku do celów dowodowych na potrzeby ewentualnych postępowań cywilnych, karnych, czy też administracyjnych jakie W. L. mógłby potencjalnie wytoczyć B. na tle nieistniejącego między stronami stosunku zobowiązaniowego nie znajduje żadnego logicznego, ani prawnego uzasadnienia."
W niniejszej sprawie jednak sytuacja jest diametralnie inna, a B. i Uczestnik postępowania łączyła umowa pożyczki, z której wierzytelność została, zgodnie z prawem, zbyta na rzecz N.
Przetwarzanie danych osobowych Uczestnika postępowania przez okres przedawnienia roszczeń B. wobec cesjonariusza i cesjonariusza wobec B. jest zatem prawnie uzasadnione.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje.
Zgodnie z art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (tekst jednolity Dz. U. z 2021 r., poz. 137), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej, przy czym kontrola ta sprawowana jest pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej.
W świetle powołanych przepisów cyt. ustawy, Wojewódzki Sąd Administracyjny w Warszawie, w zakresie swojej właściwości, ocenia zaskarżoną decyzję administracyjną, postanowienie, czy też inny akt lub czynność z zakresu administracji publicznej dotyczącą uprawnień lub obowiązków wynikających
z przepisów prawa, z punktu widzenia ich zgodności z prawem materialnym
i przepisami postępowania administracyjnego, według stanu faktycznego i prawnego obowiązującego w dacie wydania tego aktu lub podjęcia spornej czynności. Chodzi więc o kontrolę aktów lub czynności z zakresu administracji publicznej dokonywaną wyłącznie pod względem ich zgodności z prawem materialnym i przepisami procesowymi, nie zaś według kryteriów słuszności, czy też zgodności z zasadami współżycia społecznego.
Ponadto, co wymaga podkreślenia, Sąd rozstrzyga w granicach danej sprawy, nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną (vide: art. 134 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi - tekst jednolity Dz.U. z 2022 r., poz. 329 - dalej także: "P.p.s.a.").
Należy jednocześnie wyraźnie zaznaczyć, że od dnia wejścia w życie Traktatu Akcesyjnego z dnia 16 kwietnia 2003 r. (Dz. U. z 2004 r. Nr 90, poz. 864), na mocy którego Polska stała się państwem członkowskim Unii Europejskiej, kontrola sądu administracyjnego obejmuje również zgodność rozstrzygnięć organów administracji publicznej z prawem europejskim (prawem Unii Europejskiej), rozumianym, jako całokształt dorobku prawnego Unii Europejskiej (acquis communautaire), w tym zasad ogólnych prawa europejskiego, interpretowanych oraz stosowanych w sposób jednolity na całym obszarze Unii Europejskiej.
Należy zauważyć, że w tej sytuacji, Wojewódzki Sąd Administracyjny
w Warszawie, dokonując oceny legalności zaskarżonej decyzji Prezesa Urzędu Ochrony Danych Osobowych, zobowiązany był - co do zasady - zbadać jej zgodność przede wszystkim z przepisami prawa europejskiego, w tym w szczególności
z regulacjami zawartymi w rozporządzeniu Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych - zwane także: "RODO").
W ocenie Wojewódzkiego Sądu Administracyjnego w Warszawie, analizowana pod tym kątem skarga S. C.B. S.A z siedzibę w. W. zasługuje na uwzględnienie, albowiem zaskarżona decyzja Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] sierpnia 2020 r., narusza w sposób istotny obowiązujące przepisy prawa.
Dla przypomnienia należy wskazać, że bezspornym w sprawie jest przy tym, że wierzytelność z umowy pożyczki nr [...] z dnia [...] lutego 2009 r. została przelana przez B. jako cedenta na rzecz G. N. S. F.I. Z. jako cesjonariusza
w dniu [...] lutego 2018 r., a w dniu [...] lutego 2018 r. G. N. zapłacił cenę
za wierzytelność.
Nie ulega również wątpliwości, że zobowiązanie P. . zostało w całości uregulowane (spłata całkowita w []...].2018r. na rzecz podmiotu, który nabył wierzytelność z umowy).
W tym miejscu należy wskazać, że roszczenia cesjonariusza mogą być skutecznie dochodzone przez okres 3 lat licząc od dnia zapłaty ceny
za wierzytelność, tj. od 14 lutego 2018 r.
Jedną z przesłanek dopuszczalności przetwarzania danych osobowych, wymienioną w art. 6 ust. 1 lit. f RODO jest niezbędność przetwarzania do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych,
w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Przepis ten jest odpowiednikiem art. 23 ust. 1 pkt 5 poprzednio obowiązującej ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t.j. z dnia 13 czerwca 2016 r., Dz.U.
z 2016 r. poz. 922, dalej jako: dUODO) - klauzuli "prawnie usprawiedliwionego celu przetwarzania".
Istota problemu w niniejszej sprawie sprowadza się do udzielenia odpowiedzi na pytanie, czy art. 6 ust. 1 lit. f RODO stwarzający podstawę do przetwarzania danych osobowych dotyczy wyłącznie sporu już istniejącego realnego, jak twierdzi organ, czy też może dotyczyć sporu hipotetycznego na co powołuje się S.C.B.S.A.
Stosowanie tego przepisu następuje dwuetapowo. Przede wszystkim oparcie przetwarzania danych osobowych na przepisie art. 6 ust. 1 lit. f RODO wymaga kumulatywnego spełnienia dwóch przesłanek. Po pierwsze, musi występować prawnie uzasadniony interes, który jest realizowany przez administratora lub przez stronę trzecią. Po drugie, niezbędna jest weryfikacja, czy przetwarzanie danych osobowych jest niezbędne dla realizacji celu wynikającego z powyższego interesu.
W drugim etapie trzeba natomiast ocenić, czy nie jest spełniona przesłanka
o charakterze negatywnym w postaci występowania w danym stanie faktycznym interesów lub podstawowych praw i wolności podmiotu danych, które mają charakter nadrzędny wobec prawnie uzasadnionych interesów administratora lub strony trzeciej. W przypadku spełnienia tego warunku nie będzie można powołać się na przepis art. 6 ust. 1 lit. f, jako uzasadnienie dla przetwarzania danych osobowych. Stosowanie tej negatywnej przesłanki polega w istocie na wyważeniu dwóch dóbr chronionych prawem, tj. prawnie uzasadnionego interesu administratora lub strony trzeciej z jednej strony i interesów, podstawowych praw oraz wolności podmiotu danych z drugiej.
Prawnie uzasadniony interes trzeba rozumieć nie jako interes wynikający
z przepisów prawa, lecz jako interes, który jest zgodny z prawem. Owa zgodność
z prawem stanowi ograniczenie pojęcia interesu administratora lub strony trzeciej jako potencjalnej podstawy do przetwarzania danych osobowych.
W doktrynie przyjmuje się, że wykładnia pojęcia prawnie uzasadnionego interesu powinna być szeroka i obejmować interesy gospodarcze, faktyczne, czy też prawne (por. m.in. D. Lubasz i W. Chomiczewski /w:/ E. Bielak-Jomaa (red.), D. Lubasz (red.), RODO. Ogólne rozporządzenie o ochronie danych. Komentarz, WKP 2018 i powołane tam poglądy).
Tak rozumiany prawnie uzasadniony interes musi być realizowany przez administratora lub przez stronę trzecią. Podkreślić przy tym trzeba, że może to być interes nie tylko administratora, który przetwarza już dane osobowe, lecz również administratora, któremu dane te mogą dopiero zostać ujawnione.
Pojęcie niezbędności oznacza z kolei, że przetwarzanie danych dla realizacji prawnie uzasadnionego interesu administratora lub strony trzeciej musi być, rozsądnie oceniając, potrzebne, a więc musi występować bezpośredni związek pomiędzy realizacją prawnie uzasadnionego interesu a potrzebą przetwarzania danych osobowych.
Zdaniem Sądu, nie można zgodzić się z zarzutem Prezesa UODO, iż konieczność usunięcia przez stronę skarżącą danych osobowych wynikała z tego, iż skarżący .C. B. S. nie wykazał, aby wnioskodawca P.C. lub nabywcy wierzytelności wystąpił z jakimkolwiek roszczeniem wobec B., które uzasadniałoby uprawnienie S. C. B. S.A. do zachowania i przetwarzania jego danych osobowych dla celów dowodowych w związku z dochodzeniem przez wnioskodawcę lub cesjonariusza tego roszczenia. W ocenie Sądu, nie sposób uznać bowiem - jak sugeruje organ nadzorczy - że przesłanka z art. 6 ust. 1 lit. f RODO dotyczy sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia, potrzeba dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem.
Według Sądu, takie stanowisko organu nadzorczego prowadziłoby do tego, iż nie byłyby uznawane za uzasadnione interesy skarżącego S. C.B.S.A., które w rzeczywistości istnieją przez cały okres przedawnienia roszczeń. W konsekwencji przyjęcia takiego stanowiska organu nadzorczego, skarżący S.C.B.S.A. zostałby zmuszony do usunięcia danych osobowych, które wciąż mogą okazać się niezbędne do realizacji prawa do obrony strony skarżącej przed sądem, w przypadku wystąpienia z roszczeniami przed terminem przedawnienia, co nastąpiło z dniem [...] grudnia 2021 r.
Zdaniem Sądu, uznać należy jednocześnie, że uzależnienie legalności podstawy do przetwarzania danych osobowych od wystąpienia z roszczeniem, jest postulatem niesprawiedliwym i dającym duże możliwości nadużyć na szkodę przedsiębiorców i klientów.
Warto również podkreślić, że całkowicie nieuzasadnione są obawy organu nadzorczego dotyczące rzekomego permanentnego przetwarzania danych przez S. C. B. S.A., skoro strona skarżąca wielokrotnie wskazywała
w toku postępowania, że przetwarza dane osobowe P.C. w celu ustalenia, dochodzenia lub obrony roszczeń, z zastosowaniem 3-letniego terminu przedawnienia, którego koniec przypada na ostatni dzień roku kalendarzowego liczonego od daty zapłaty ceny za wierzytelność przez G.N. w dniu [...] lutego 2018 r. Należy zatem konsekwentnie przyjąć, że w okresie, kiedy każda ze stron stosunku zobowiązaniowego może wystąpić do sądu z roszczeniami wynikającymi z tego stosunku, czyli przez określony odrębnymi przepisami okres przedawnienia roszczeń, istnieje prawnie uzasadniony interes administratora danych do ich przetwarzania, z zastrzeżeniem, że przetwarzanie to odbywa się w sposób ograniczony wyłącznie do celu, jakim jest cel dowodowy w ewentualnym postępowaniu sądowym, a zatem co do zasady przetwarzanie to polega na przechowywaniu danych.
W tej sytuacji, uznać należy, że - wbrew obawom Prezesa UODO - po upływie terminu przedawnienia roszczeń nie będzie można mówić już o uzasadnionym interesie do dalszego przetwarzania danych osobowych S.C. B.S.A..
W tej sytuacji, Sąd uznał, że Prezes Urzędu Ochrony Danych Osobowych, wydając sporną decyzję administracyjną - dopuścił się w powyższym zakresie istotnego naruszenia zasady praworządności wyrażonej w przepisach art. 6 k.p.a.
i art. 7 in principio k.p.a. oraz art. 7 Konstytucji RP.
Analizowane działanie Prezesa UODO w sposób istotny naruszało także zasadę zaufania obywateli do organów praworządnego państwa i stosowanego przez nie prawa, wyrażoną w art. 8 § 1 k.p.a. Nie ulega bowiem wątpliwości, że zasada zaufania wyrażona w przepisie art. 8 § 1 k.p.a. ma kontekst konstytucyjny
i unijny, zaś organy administracji publicznej są obowiązane, w ramach wykładni zgodnej z prawem UE i Konstytucją RP, uwzględniać, że zasada zaufania, również
w aspekcie procesowym, jest zasadniczym elementem zasady demokratycznego państwa prawa i jako taka ma swoje umocowanie i źródło w art. 2 Konstytucji RP.
W związku z powyższym, skoro działanie organu nadzorczego nie spełniało
w sposób ewidentny powyższych warunków, stanowiło to podstawę do wyeliminowania z obrotu prawnego zaskarżonej decyzji Prezesa UODO z dnia [...] sierpnia 2020 r.
Biorąc powyższe pod uwagę, Wojewódzki Sad Administracyjny w Warszawie - działając na podstawie art. 145 § 1 pkt 1 lit. a i c P.p.s.a. - orzekł, jak w pkt. 1 sentencji wyroku.
Zasądzając jednocześnie od Prezesa Urzędu Ochrony Danych Osobowych na rzecz skarżącego S. Co. B. S.A kwotę 697 (sześćset dziewięćdziesiąt siedem) złotych tytułem zwrotu kosztów postępowania sądowego,
w tym kosztów zastępstwa procesowego, Sąd działał na podstawie przepisów
art. 200 i art. 205 § 2 w związku z art. 209 P.p.s.a..