II SA/Wa 425/24

II SA/Wa 425/24 - Wyrok WSA w Warszawie
Data orzeczenia
2024-11-08
orzeczenie prawomocne
Data wpływu
2024-03-27
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Dorota Kozub-Marciniak /sprawozdawca/
Joanna Kruszewska-Grońska /przewodniczący/
Joanna Kube
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Uchylono zaskarżoną decyzję
Powołane przepisy
Dz.U. 2024 poz 935
art. 145 § 1 pkt 1 lit. b
Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t. j.)
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Joanna Kruszewska-Grońska, Sędzia WSA Joanna Kube, Asesor WSA Dorota Kozub-Marciniak (spr.), Protokolant referent Marta Stec po rozpoznaniu na rozprawie w dniu 8 listopada 2024 r. sprawy ze skargi [...]. S.A. z siedzibą w [...]. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] stycznia 2024 r. nr [...] w przedmiocie przetwarzania danych osobowych 1. uchyla zaskarżoną decyzję; 2. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz [...] S.A. z siedzibą w [...] kwotę 200 zł (słownie: dwieście złotych) tytułem zwrotu kosztów postępowania sądowego.
Uzasadnienie
[...] Bank [...] S.A. w [...] (dalej, jako: Bank) wniósł do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na decyzję Prezesa Urzędu Ochrony Danych Osobowych (dalej, jako: organ lub PUODO) z dnia [...] stycznia 2024 r., którą organ udzielił upomnienia Bankowi za naruszenie art. 6 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 4 maja 2016, str. 1, Dz. Urz. UE L 127 z 23 maja 2018, str. 2 oraz Dz. Urz. UE L 74 z 4 marca 2021, str. 35, dalej: RODO), polegające na przetwarzaniu danych osobowych K. G. (dalej, jako: skarżący), dotyczących umowy z dnia [...] czerwca 2012 r. o kredyt gotówkowy (nr [...]) w systemie [...] S.A. z siedzibą w [...] (dalej, jako: [...]) w celu oceny zdolności kredytowej i analizy ryzyka kredytowego w okresie od [...] maja 2018 r. do dnia [...] marca 2020 r. pomimo braku spełnienia przesłanek z art. 105a ust. 3 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz. U. z 2023 r. poz. 2488).
Uzasadniając zaskarżoną decyzję organ podniósł, iż skarżący wystąpił do PUODO ze skargą na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Bank polegające na udostępnieniu danych osobowych do [...] Skarżący wskazał, że Bank nie spełnił wymagań uprawniających go do rozpoczęcia przetwarzania danych osobowych dotyczących umowy kredytowej [...] z dnia [...] czerwca 2012 r. ponieważ Bank nie spełnił łącznie wszystkich warunków z art. 105a ust. 3 ustawy Prawo bankowe, tzn. Bank nigdy nie powiadomił skarżącego o zamiarze przetwarzania jego danych osobowych bez jego zgody w bazie [...]. Skarżący w piśmie do Banku z dnia [...] listopada 2018 r. wycofał zgody na przetwarzanie przez Bank jego danych osobowych po wygaśnięciu zobowiązania wynikającego z umowy. Ponadto zażądał poinformowania go przez Bank o zaprzestaniu udostępniania jego danych osobowych w rejestrze [...] w celu oceny zdolności kredytowej w związku z niespełnieniem przesłanek wynikających z art. 105a ust. 3 Prawa bankowego. Skarżący oświadczył, że nie otrzymał żadnej odpowiedzi. Dlatego w dniu [...] lutego 2019 r. złożył kolejny wniosek wycofujący zgodę na przetwarzanie jego danych osobowych po wygaśnięciu ww. zobowiązania. Z uwagi na brak odpowiedzi na ww. pisma w dniu [...] kwietnia 2019 r. złożył kolejny wniosek o zaprzestanie przetwarzania jego danych osobowych w systemie [...] w trybie określonym w art 105a ust. 3 Prawa bankowego. Skarżący zażądał od Prezesa UODO usunięcia uchybień w procesie przetwarzania danych osobowych poprzez usunięcie jego danych osobowych przetwarzanych bez podstawy prawnej.
Dalej organ wskazał, iż ustalił, że Bank pozyskał dane osobowe skarżącego podczas zawarcia umowy kredytowej. Kredyt ten nie był terminowo regulowany przez skarżącego. Skarżący pozostawał w zwłoce powyżej 60 dni, w konsekwencji czego do skarżącego został wysłany list zwykły zawierający powiadomienie o zamiarze przetwarzania jego danych w [...]. Zakres pozyskanych przez Bank danych osobowych skarżącego obejmował imię, nazwisko, numer PESEL, numer klienta, obywatelstwo, numer i serię dowodu osobistego, dane zawarte w kopii dowodu osobistego, adres zamieszkania, data urodzenia, numer telefonu, informacje o produktach Banku, historię kontaktów klienta z Bankiem.
Bank wyjaśnił, iż ww. zobowiązanie zostało uregulowane przez skarżącego w dniu [...] lipca 2016 r. Bank przetwarzał dane osobowe skarżącego o wygasłym zobowiązaniu na podstawie art. 105a ust 2 Prawa bankowego, na podstawie zgody skarżącego wyrażonej w dniu [...] czerwca 2012 r. w dokumencie "Oświadczenia woli Klienta w zakresie przetwarzania dotyczących go informacji po wygaśnięciu zobowiązania". W dniu [...] grudnia 2017 r. skarżący wycofał zgodę na przetwarzanie przez Bank jego danych osobowych po wygaśnięciu zobowiązania ([...] z dnia [...] czerwca 2012 r.). Bank wskazał, że nie dysponuje dowodem doręczenia powiadomienia o zamiarze przetwarzania jego danych osobowych na podstawie art. 105 a ust. 3 Prawa bankowego. W związku z tym, nie jest możliwie wskazanie daty, od której należy liczyć 30 dniowy termin od powiadomienia skarżącego o zamiarze przetwarzania jego danych osobowych w [...]. Po podjęciu indywidualnej decyzji, Bank zaprzestał przetwarzania danych osobowych skarżącego w systemie [...] na podstawie art. 105a ust. 3 Prawa bankowego. W dniu [...] marca 2020 r. Bank wystąpił do [...] o przesunięcie danych osobowych skarżącego do części statystycznej systemu [...]. Zgodnie z wyjaśnieniami Banku przetwarzał on dane osobowe skarżącego dotyczące umowy kredytowej na podstawie art. 105a ust. 3 Prawa bankowego od [...] sierpnia 2016 r. do dnia [...] marca 2020 r.
Dalej PUODO wskazał, iż z wyjaśnień [...] wynika, że otrzymał od Banku dane osobowe skarżącego dotyczące umowy kredytowej, które wprowadził do zbioru danych [...] w dniu [...] lipca 2012 r. Dane zostały udostępnione na podstawie na podstawie art. 105 ust. 4 Prawa bankowego i na podstawie łączącej strony umowy z dnia [...] sierpnia 2016 r. [...] wyjaśnił, że w dniu [...] marca 2020 r. Bank dokonał aktualizacji danych skarżącego w [...] i z tym dniem zmieniła się podstawa przetwarzania danych przez [...] w zw. z przedmiotowym rachunkiem. [...] aktualnie nie przetwarza danych osobowych skarżącego pozyskanych od Banku na podstawie art. 105a ust. 3 Prawa bankowego. Przedmiotowy rachunek ma status rachunku odzyskanego i jest przetwarzany na podstawie łączącej Bank i [...] umowy oraz art. 105a ust. 4 i 5 w zw. z art. 105 ust. 4 Prawa bankowego w celu stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013.
Organ przytoczył następnie art. 6 ust. 1 RODO oraz art. 105 ust. 1, 2, 3 i 4, a także art. 105a ust. 1, 3, 4 i 5 ustawy Prawo bankowe i wskazał, że choć zobowiązanie skarżącego, wynikające z umowy kredytowej wobec Banku wygasło w dniu [...] lipca 2016 r., to skarżący dopuścił się zwłoki odnośnie do spłaty zadłużenia trwającej dłużej niż 60 dni w przypadku ww. zobowiązań. Istotnym zdaniem organu w niniejszej sprawie jest to, że Bank nie spełnił wobec niego obowiązku określonego w art. 105a ust. 3 Prawa bankowego, tj. nie poinformował go skutecznie o zamiarze przetwarzania dotyczących jego informacji stanowiących tajemnicę bankową bez jego zgody po wygaśnięciu zobowiązania, wynikającego z przedmiotowej umowy. Sam fakt, iż skarżący nie wykonał zobowiązania lub spóźnił się z jego wykonaniem co najmniej 60 dni, nie upoważnia Banku do przetwarzania jego danych na warunkach określonych w art. 105a ust. 3 Prawa bankowego. Moment, od którego należy liczyć sześćdziesięciodniowy termin, w którym osoba fizyczna dopuszcza się zwłoki w wykonaniu zobowiązania, to termin wykonania zobowiązania. Dopiero po upływie 60 dni zaczyna biec termin 30 dni. Termin 30 dni biegnie od momentu, w którym osoba fizyczna zostanie skutecznie poinformowana przez instytucję o zamiarze przetwarzania. Ostatecznie to upływ 30 dni od momentu poinformowania stanowi o wypełnieniu przesłanek z art. 105a ust. 3 Prawa bankowego.
Wobec wysłania oświadczenia o wypowiedzeniu przedmiotowej umowy wraz z informacją o zamiarze przetwarzania danych skarżącego na podstawie art. 105a ust. 3 Prawa bankowego listem zwykłym, nie można ustalić daty zapoznania się przez skarżącego z przesłaną informacją, a tym samym niemożliwe jest ustalenie daty, od której płynie 30 dniowy termin określony ww. przepisie.
Zdaniem PUODO, Bank przetwarzając dane skarżącego na warunkach określonych w ww. przepisie, musi wykazać, że skarżący został poinformowany o zamiarze przetwarzania ich bez jego zgody.
W niniejszej sprawie skarżący podniósł natomiast, że okoliczności wskazywane w art. 105a ust. 3 Prawa bankowego nie zostały spełnione, w związku z czym Bank nie był uprawniony do przetwarzania jego danych osobowych w [...]. Bank w toku postępowania sam przyznał, że ww. przesłanki, w tym poinformowanie skarżącego o okolicznościach wskazanych w art. 105a ust. 3 Prawa bankowego nie zostały spełnione. Organ podkreślił, że brak jest jakichkolwiek dowodów wskazujących na prawidłowe i skuteczne poinformowanie skarżącego o treści art. 105a ust. 3 Prawa bankowego. Bank nie przedstawił dowodu na prawidłowe doręczenie skarżącemu dokumentu, w treści, którego zawarta była informacja o okolicznościach wskazanych w art. 105a ust. 3 Prawa bankowego, zatem okoliczność skutecznego poinformowania o treści art. 105a ust. 3 Prawa bankowego nie może zostać uznana za udowodnioną.
Dodatkowo organ podniósł, że sporządzenie i wysłanie ww. pisma, nie jest równoznaczne z udowodnieniem jego prawidłowego doręczenia, skutkującego poinformowaniem skarżącego o zamiarze przetwarzania danych stanowiących tajemnicę bankową, bez jego zgody na podstawie art. 105a ust. 3 Prawa bankowego. Samo bowiem oświadczenie o przygotowaniu i wysłaniu korespondencji nie stanowi dowodu na jej dostarczenie lub poinformowanie o jej treści adresata. Przepisy powszechnie obowiązujące nie formułują obowiązku wysłania informacji, o której mowa w art. 105a ust. 3 Prawa bankowego w szczególnej formie. To do podmiotu informującego należy zatem wybór formy przekazania odbiorcy komunikatu, o zamiarze przetwarzania danych osobowych bez jego zgody. Jednocześnie to podmiot informujący wywodzi z powyższego skutki prawne, zatem to on musi wykazać, że poinformował skarżącego o zamiarze przetwarzania danych stanowiących tajemnicę bankową, bez jego zgody na podstawie art. 105a ust. 3 Prawa bankowego.
Zdaniem PUODO w tej sprawie nie zostały spełnione przesłanki z art. 105a ust 3 Prawa bankowego. Ze zgromadzonego materiału dowodowego, wynika że Bank dopiero w dniu [...] marca 2020 r. wystąpił o usunięcie danych osobowych skarżącego z systemu [...] oraz zaprzestał przetwarzania danych osobowych skarżącego ww. systemie na podstawie art. 105a ust. 3 Prawa bankowego.
Końcowo organ wyjaśnił, że postępowanie administracyjne prowadzone przez PODO służy kontroli zgodności przetwarzania danych osobowych z przepisami o ochronie danych osobowych i jest ukierunkowane na wydanie decyzji administracyjnej na podstawie art. 58 ust. 2 RODO. Jednak dopiero od daty rozpoczęcia obowiązywania przepisów RODO, organ ma możliwość nałożenia upomnienia za przetwarzanie danych niezgodne z przepisami. Nałożenie upomnienia w oparciu o przepisy RODO w stosunku do zdarzenia, które miało miejsce przed ww. datą, byłoby sprzeczne z przepisami. Niemniej jednak z uwagi na fakt, iż nieprawidłowe przetwarzanie danych miało miejsce również po wejściu w życie RODO, tj. po 25 maja 2018 r., gdyż Bank w okresie od [...] maja 2018 r. do dnia [...] marca 2020 r. przetwarzał dane osobowe skarżącego, dotyczące umowy kredytowej w systemie [...], w celu oceny zdolności kredytowej i analizy ryzyka kredytowego, pomimo braku spełniania przesłanek wynikających z art. 105a ust. 3 Prawa bankowego, POUDO, korzystając z uprawnienia przewidzianego w art. 58 ust. 2 lit. b RODO udzielił Bankowi upomnienia za ww. naruszenie.
Z tym rozstrzygnięciem Bank nie zgodził się i wywiódł skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie.
Zaskarżonej decyzji zarzucono:
1. Naruszenie przepisów prawa procesowego w sposób mający istotny wpływ na wynik sprawy, w szczególności:
a. art. 7 K.p.a., art. 77 § 1 K.p.a. oraz art. 80 K.p.a. poprzez brak wszechstronnego i dogłębnego rozważenia wszystkich okoliczności faktycznych sprawy, wybiórcze gromadzenie i weryfikowanie dowodów, zastąpienie swobodnej oceny dowodów całkowitą dowolnością skutkujące błędem w ustaleniach faktycznych poprzez przyjęcie, iż Bank nie dokonał skutecznego powiadomienia skarżącego, o którym mowa w art. 105a ust. 3 Prawa Bankowego podczas gdy powiadomienie takie miało miejsce co najmniej trzykrotnie, tj. w dniach: [...] grudnia 2017 r., [...] listopada 2018 r., [...] kwietnia 2019 r., a pod treścią informacji podpisał się skarżący osobiście, a w konsekwencji błędne przyjęcie, iż niespełnione zostały przesłanki wskazane w art. 105a ust. 3 ustawy Prawo bankowe i brak jest podstawy przetwarzania danych osobowych skarżącego;
b. art. 15 K.p.a. poprzez nierozpoznanie sprawy w całokształcie wszystkich jej okoliczności faktycznych i prawnych, w szczególności niedostateczną weryfikację faktu poinformowania skarżącego, o którym mowa w art. 105a ust. 3 ustawy Prawo bankowe;
c. art. 124 § 2 K.p.a. poprzez nie zawarcie w uzasadnieniu zaskarżonej decyzji uzasadnienia faktycznego obejmującego wskazanie faktów, które organ uznał za udowodnione, dowodów, na których się oparł oraz przyczyn z powodu których innym dowodom odmówił wiarygodności i mocy dowodowej, w szczególności w zakresie wyjaśnień Banku co do powiadomienia skarżącego, o którym mowa w art. 105a ust. 3 ustawy Prawo bankowe;
d. art. 8 K.p.a. i 11 K.p.a. poprzez prowadzenie postępowania w sposób niezgodny z zasadą przekonywania i pogłębiania zaufania do organów administracji, przejawiające się w zaniechaniu pełnego uzasadnienia decyzji, nieustosunkowaniu się organu do podniesionych twierdzeń i dowodów Banku;
e. art. 14 K.p.a. w zw. z art. 107 K.p.a. poprzez ograniczenie uzasadnienia decyzji i nie odniesienie się do wszystkich twierdzeń Banku, oraz dokumentów przedłożonych w toku postępowania.
Z daleko posuniętej ostrożności procesowej, na wypadek gdyby powyższe zarzuty związane z błędnym ustaleniem przez organ stanu faktycznego i niewłaściwym zastosowaniem przepisów proceduralnych nie znalazły uznania w ocenie Sądu, Bank zaskarżonej decyzji zarzucił:
2. naruszenie przepisów prawa materialnego, które miało wpływ na wynik sprawy tj.:
a. art. 105a ust. 3 ustawy Prawo bankowe w zw. z art. 6 ust. 1 lit f RODO poprzez jego niewłaściwą interpretację i wadliwe zastosowanie oraz przyjęcie, iż poinformowanie klienta banku o możliwości przetwarzania jego danych osobowych bez jego zgody tylko wtedy wywołuje skutek w postaci rozpoczęcia biegu trzydziestodniowego terminu, po upływie którego jest możliwe przetwarzanie danych osobowych poprzez przekazanie ich przez bank do jednej z instytucji wymienionych w tym przepisie, jeżeli bank dysponuje dowodem na to, że takie zawiadomienie rzeczywiście do tej osoby dotarło, podczas gdy prawidłowa interpretacja tego przepisu jest taka, że ww. skutek następuje zawsze, gdy bank skieruje do takiej osoby stosowne zawiadomienie, a zatem niezależnie od formy i środka przekazu, a także niezależnie od tego, czy dotarło do adresata albo niezależnie od przyczyn, z których do niego nie dotarto;
b. art. 58 ust. 2 lit. b w zw. z art. 6 ust. 1 lit f RODO, poprzez niewłaściwe zastosowanie i przyjęcie, iż w niniejszej sprawie przetwarzanie danych skarżącego miało miejsce bez podstawy prawnej i w konsekwencji nieprawidłowe nałożenie na Bank kary administracyjnej w postaci upomnienia podczas gdy przetwarzanie danych oparte jest na prawnie uzasadnionym interesie Banku;
3. naruszenie przepisów postępowania w sposób mający istotny wpływ na wynik sprawy, w szczególności:
a. art. 7 K.p.a. w zw. z art. 77 § 1 K.p.a. w zw. art. 107 § 1 pkt 6 i § 3 K.p.a. poprzez dokonanie dowolnej, a nie swobodnej oceny dowodów oraz niezweryfikowanie przez organ adresu korespondencyjnego wskazanego przez skarżącego jako właściwego do kierowania korespondencji bankowej podczas gdy skarżący zmienił adres zamieszkania nie aktualizując niezwłocznie tej informacji w Banku;
b. art. 7 K.p.a. w zw. z art. 77 § 1 K.p.a. w zw. art. 107 § 1 pkt 6 i § 3 K.p.a. w zw. z art. 21 ustawy Prawo pocztowe w zw. z § 36 Regulaminu świadczenia usług powszechnych Poczty Polskiej S.A. poprzez dokonanie dowolnej, a nie swobodnej oceny dowodów i błędne przyjęcie, że:
• skarżący nie został powiadomiony w myśl art. 105a ust. 3 PB poprzez wysłanie przez Bank listem zwykłym takiego powiadomienia pomimo, że art. 105a ust. 3 ustawy Prawo bankowe nie wymaga obowiązku udowodnienia faktu powiadomienia,
• Oświadczenie banku, że korespondencja została nadana przesyłką zwykłą oraz, że korespondencja taka nie została zwrócona do nadawcy nie stanowi wystarczającego dowodu potwierdzającego fakt powiadomienia skarżącego,
• wysyłka korespondencji listem zwykłym prowadzi do wniosku, że korespondencja taka nie została doręczona, a skarżący nie został powiadomiony, podczas gdy korespondencja nadana przez Bank na adres skarżącego będący w posiadaniu Banku nie została zwrócona do Banku,
• Poczta Polska S.A. nie wywiązała się z zawartej umowy o świadczenie usługi powszechnej, tj. doręczenie pod wskazany przez skarżącego adres korespondencji nadanej przez Bank listem zwykłym.
Mając na uwadze powyższe zarzuty Bank wniósł o:
1. na podstawie art. 54 § 3 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postepowaniu przed sądami administracyjnymi (Dz. U. z 2023 r. p[oz. 1634 ze zm., dalej, jako: P.p.s.a.) o uwzględnienie przez Prezesa UODO skargi w całości i uchylenie zaskarżone decyzji z dnia [...] stycznia 2024 r.;
w przypadku braku dokonania samokontroli przez organ:
2. na podstawie art. 145 § 1 pkt 1 lit. a i c i pkt 3 P.p.s.a. w związku z art. 135 P.p.s.a., o uchylenie w całości zaskarżonej decyzji Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] stycznia 2024 r., a z daleko posuniętej ostrożności procesowej w przypadku stwierdzenia przez Sąd braku podstaw do uchylenia zaskarżonej decyzji: o przekazanie sprawy do ponownego rozpoznania;
3. na podstawie art. 200 P.p.s.a. i 205 P.p.s.a. o zasądzenie na rzecz Banku kosztów postępowania, w tym zwrotu kosztów zastępstwa procesowego i opłaty skarbowej od pełnomocnictwa, według norm przepisanych.
Ponadto Bank wniósł o rozpoznanie sprawy na rozprawie oraz na podstawie art. 106 § 3 P.p.s.a. o przeprowadzenie dowodu z dołączonych do skargi dokumentów, tj.: dyspozycji wycofania zgody na przetwarzanie danych zawierającej informację, o której mowa w art. 105a ust. 3 ustawy Prawo bankowe z dnia 17 grudnia 2017 r., dyspozycji wycofania zgody na przetwarzanie danych zawierającej informację, o której mowa w art. 105a ust. 3 ustawy Prawo bankowe z dnia 21 listopada 2018 r., dyspozycji wycofania zgody na przetwarzanie danych zawierającej informację, o której mowa w art. 105a ust. 3 ustawy Prawo bankowe z dnia 16 kwietnia 2019 r. - na fakt powiadomienia skarżącego, o którym mowa w art. 105a ust. 3 ustawy Prawo bankowe.
W uzasadnieniu skargi przedstawiono argumentację na poparcie stawianych zarzutów.
W odpowiedzi na skargę organ wniósł o jej oddalenie i podtrzymał swoje dotychczasowe stanowisko, uznając zarzuty skargi za bezzasadne.
Na rozprawie w dniu 8 listopada 2024 r. Sąd postanowił dopuścić dowód z dokumentów dołączonych do skargi.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:
Skarga zasługuje na uwzględnienie.
Zgodnie z art. 4 pkt 2 RODO, przetwarzanie danych osobowych oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie.
Warunki uznania przetwarzania danych osobowych za legalne określono w art. 6 ust. 1 RODO, który stanowi, że przetwarzanie jest zgodne z prawem wyłącznie w przypadkach i w takim zakresie, w jakim spełniony jest co najmniej jeden z poniższych warunków:
a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów;
b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą lub do podjęcia działań na żądanie osoby, której dane dotyczą przed zawarciem umowy;
c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze;
d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej;
e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi;
f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem.
Akapit pierwszy lit. f nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań.
W myśl art. 105a ust. 1 ustawy Prawo bankowe przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów, instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z 12 maja 2011 r. o kredycie konsumenckim, a także instytucje utworzone na podstawie art. 105 ust. 4, informacji stanowiących tajemnicę bankową i informacji udostępnionych przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z 12 maja 2011 r. o kredycie konsumenckim, w zakresie dotyczącym osób fizycznych, może być wykonywane, z zastrzeżeniem art. 104, art. 105 i art. 106-106d, w celu oceny zdolności kredytowej i analizy ryzyka kredytowego.
Zgodnie natomiast z art. 105a ust. 3 ustawy Prawo bankowe, Banki, instytucje oraz podmioty, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową i informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank, inną instytucję ustawowo upoważnioną do udzielania kredytów, instytucję pożyczkową albo podmiot, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, o zamiarze przetwarzania dotyczących jej tych informacji, bez jej zgody.
Kwestia wykładni użytego w art. 105a ust. 3 Prawa bankowego zwrotu "od poinformowania tej osoby przez bank" była już przedmiotem rozważań Naczelnego Sądu Administracyjnego i Wojewódzkiego Sądu Administracyjnego w Warszawie.
Naczelny Sąd Administracyjny w wyroku z dnia 27 sierpnia 2019 r. sygn. akt I OSK 2514/17 wskazał, że "obowiązek poinformowania strony umowy w trybie art. 105a ust. 3 Prawa bankowego to nie to samo, co zaświadczenie o określonych faktach, które może być zastąpione oświadczeniem strony złożonym pod rygorem odpowiedzialności za fałszywe zeznania.". Zdaniem NSA "Ustawodawca nie stworzył żadnych szczególnych wymogów formalnych, co do sposobu i treści poinformowania klienta lub byłego klienta banku o zamiarze przetwarzania jego danych. Nie oznacza to jednak całkowitej dowolności w tym zakresie. Jakkolwiek ustawodawca w żaden sposób nie ograniczył sposobów i form takiego powiadomienia, jednakże w każdym wypadku sposób ten powinien umożliwić zweryfikowanie faktu poinformowania klienta banku o zamierzonym przetwarzaniu jego danych osobowych lub też przynajmniej potwierdzenie, że klientowi umożliwiono zapoznanie się z taką informacją. W tym zakresie nie mogą mieć miejsca jakiekolwiek domniemania faktyczne.". Sąd wskazywał, że również, iż informacje o dokonaniu wysyłki takiej wiadomości nie mogą stanowić o uczynieniu zadość obowiązkowi z art. 105a ust. 3 Prawa bankowego. W celu weryfikacji dopuszczalności przetwarzania danych osobowych na podstawie art. 105a ust. 3 Prawa bankowego, organ musi dysponować stosownymi dowodami na rzeczywiste wykonanie wymienionego w tym przepisie obowiązku poinformowania i w tym zakresie nie może opierać się wyłącznie na oświadczeniu Banku. Podobne poglądy wyrażone został również przez Naczelny Sąd Administracyjny w przeszłości, chociażby w wyroku z dnia 27 października 2017 r., sygn. akt I OSK 3362/15.
Także Wojewódzki Sąd Administracyjny w Warszawie wskazywał, iż "to rzeczą banku jest wskazanie konkretnego dokumentu, z którego wynika wykonanie obowiązku informacyjnego na podstawie art. 105a ust. 3 Prawa bankowego oraz wykazanie, iż dokument ten został doręczony osobie, o której mowa w tym przepisie." (por. wyrok z dnia 8 października 2021 r. sygn. akt II SA/Wa 110/21, ale także wyrok z dnia 25 kwietnia 2024 r. sygn. akt II SA/Wa 1637/23).
Sąd rozpoznający sprawę niniejszą podziela wskazane wyżej poglądy i wskazuje, że prawidłowa wykładnia zawartego w art. 105a ust. 3 ustawy Prawo bankowe zwrotu "poinformowania tej osoby" powinna uwzględniać nie tylko art. 61 § 1 k.c., ale także dodatkowy 30-dniowy termin na wykonanie zobowiązania przewidziany w art. 105a ust. 3. W literaturze przedmiotu podkreśla się bowiem, iż "sam fakt, że klient nie wykonał zobowiązania lub spóźnił się z jego wykonaniem co najmniej 60 dni, nie upoważnia instytucji do przetwarzania jego danych. Musi bowiem zostać poinformowany o możliwości przetwarzania jego danych bez uzyskania od niego zgody. Dopiero bezskuteczny upływ 30 dni od momentu poinformowania stanowi wypełnienie przesłanek z art. 105a ust. 3. W przypadku, gdy konsument spełni świadczenie w czasie tych 30 dni, instytucje tracą prawo do przetwarzania informacji bez jego uprzedniej zgody. Moment, od którego należy liczyć sześćdziesięciodniowy termin, w którym konsument dopuszcza się zwłoki w wykonaniu zobowiązania, to termin wykonania zobowiązania. Dopiero po upływie 60 dni zaczyna biec trzydziestodniowy termin, w którym instytucja jeszcze oczekuje na wykonanie zobowiązania klienta. Termin trzydziestodniowy nie biegnie jednak ex lege, a dopiero od momentu, w którym konsument zostanie poinformowany o zamiarze przetwarzania. Termin ten liczy się nie od momentu wysłania informacji, ale od chwili, w której konsument mógł się z nią zapoznać. Wydaje się, iż sama czynność poinformowania może nastąpić wcześniej niż po upływie 60 dni (por. A. Żygadło, Przetwarzanie informacji stanowiących tajemnicę bankową po wygaśnięciu zobowiązania, Pr. Bankowe 2006/4/83; a także wyroki Wojewódzkiego Sądu Administracyjnego w Warszawie: z dnia 18 stycznia 2022 r., sygn. akt II SA/Wa 3584/21; z dnia 4 października 2022 r., sygn. akt II SA/Wa 701/22; z dnia 12 października 2022 r., sygn. akt II SA/Wa 189/22).
Konstrukcja przyjęta w art. 61 § 1 zdanie pierwsze k.c. odpowiada tzw. kwalifikowanej teorii doręczenia, która zadowala się dojściem oświadczenia woli do adresata w taki sposób, że miał on możliwość zapoznania się z jego treścią (por. wyrok SN z dnia 8 września 2016 r., sygn. akt II CSK 750/15, M. Pr. Bank. 2017/10, s. 21 i 35 z glosą T. Czecha oraz z omówieniem M. Bączyka, M. Pr. Bank 2017/11, s. 58). To, czy rzeczywiście klient z tym oświadczeniem Banku zapoznał się nie ma w kontekście art. 61 § 1 k.c. znaczenia co do zasady (vide wyroki SN: z dnia 18 listopada 1999 r., sygn. akt I PKN 375/99, OSNAPiUS 2001/7, poz. 227; z dnia 20 maja 2015 r., sygn. akt I CSK 547/14, LEX nr 1767493 i z dnia 22 marca 2017 r., sygn. akt III CSK 148/16, LEX nr 23552146 oraz uchwała składu siedmiu sędziów SN z dnia 31 marca 2016 r., III CZP 89/15; Z. Radwański (w:) System Prawa Prywatnego, t. 2, 2008, s. 292).
W ocenie Sądu rozpoznającego przedmiotową sprawę, w świetle treści art. 105a ust. 3 ustawy Prawo bankowe, nie może budzić żadnych wątpliwości, że poinformowanie, o którym mowa w tym przepisie, z uwagi na wskazany wyżej dodatkowy 30-termin na wykonanie zobowiązania, powinno nastąpić w ten sposób, aby można było ustalić początek biegu tego terminu. Dopiero bowiem bezskuteczny upływ dodatkowego 30-dniowego terminu upoważnia Bank do przetwarzania danych osobowych w oparciu o omawiany przepis.
Konieczną zatem była ocena przedstawionej przez Bank dokumentacji pod kątem wypełnienia powyższej przesłanki.
W ocenie Sądu Prezes UODO trafnie stwierdził, iż Bank w toku postępowania przed organem nie wykazał, że skarżący został poinformowany o zamiarze przetwarzania jego danych osobowych na podstawie art. 105a ust. 3 Prawa bankowego. Wyjaśnić należy, iż to rzeczą Banku jest wskazanie konkretnego dokumentu z którego wynika wykonanie powyższego obowiązku informacyjnego oraz wykazanie, iż dokument ten został doręczony osobie, o której mowa w tym przepisie.
Z akt tej sprawy bezsprzecznie wynika, że Bank w odpowiedzi na wezwania PUODO wskazał, że nie dysponuje dowodem doręczenia skarżącemu powiadomienia o zamiarze przetwarzania jego danych osobowych na podstawie art. 105 a ust. 3 Prawa bankowego. Co więcej Bank wskazał w piśmie z dnia [...] marca 2020 r. również, że po analizie sprawy stwierdził "brak przesłanki do przetwarzania danych o wygasłym zobowiązaniu.". W związku z tym, nie było możliwie wskazanie daty, od której należy liczyć 30 dniowy termin od powiadomienia skarżącego o zamiarze przetwarzania jego danych osobowych w [...]. Skoro tak, to biorąc pod uwagę zgromadzony w toku postępowania administracyjnego materiał dowodowy, właściwa była ocena PUODO, że nie zostały spełnione warunki art. 105a ust. 3 Prawa bankowego, w związku z czym Bank nie był uprawniony do przetwarzania danych osobowych skarżącego w [...] po wygaśnięciu zobowiązania wynikającego z umowy kredytowej. Jak już bowiem była o tym mowa, ustawodawca w żaden sposób nie ograniczył sposobów i form "poinformowania", o którym mowa w art. 105a ust. 3 ustawy Prawo bankowe, to w każdym wypadku sposób ten powinien umożliwić zweryfikowanie faktu poinformowania klienta o zamierzonym przetwarzaniu jego danych osobowych lub przynajmniej potwierdzenie, iż umożliwiono mu zapoznanie się z taką informacją. To na Banku spoczywał obowiązek wykazania przesłanek z art. 105a ust. 3 ustawy Prawo bankowe; niedopuszczalne było dokonywanie w tym zakresie jakichkolwiek domniemań faktycznych.
Zauważyć jednak należy, iż Bank do skargi do sądu administracyjnego dołączył dokumenty i zażądał przeprowadzenia z nich dowodu. Dokumenty te obejmują trzy wydruki z wewnętrznej bazy Banku dotyczące dyspozycji wycofania zgody na przetwarzanie danych osobowych, zawierające informację, o której mowa w art. 105a ust. 3 ustawy Prawo bankowe. dokumenty te datowane są na: [...] grudnia 2017 r., [...] listopada 2018 r. oraz [...] kwietnia 2019 r. Na rozprawie w dniu 8 listopada 2024 r. Sąd postanowił dopuścić ww. dowody uznając, iż stanowią one nowe dowody istniejące w dniu wydania zaskarżonej decyzji, nieznane organowi, który decyzję wydał (art. 145 § 1 pkt 5 K.p.a.).
W kontekście powyższego należy przypomnieć, że spełnienie przesłanki z art. 145 § 1 pkt 5 K.p.a., otwierającej ponowne rozpoznanie i rozstrzygnięcie sprawy zakończonej decyzją ostateczną, wymaga wystąpienia łącznie trzech warunków. Pierwszy przewiduje, że zgłoszone okoliczności faktyczne lub dowody są nowe, a zatem nie były znane organowi rozpoznającemu sprawę w postępowaniu zwykłym. Drugi warunek wymaga, by nowe okoliczności faktyczne, nowe dowody miały istotne znaczenie dla sprawy. Występuje tu związek z regulacją materialnoprawną. Trzeci warunek, to istnienie okoliczności faktycznej, istnienie dowodu w dniu wydania decyzji objętej żądaniem wznowienia postępowania. Spełnienie łącznie tych trzech warunków daje podstawy do stwierdzenia, że postępowanie zakończone ostateczną decyzją zostało dotknięte istotnym naruszeniem przepisów prawa procesowego co do ustalenia stanu faktycznego, uzasadniając ponowne rozpoznanie i rozstrzygnięcie sprawy (por. wyrok Naczelnego Sądu Administracyjnego z dnia 14 lutego 2024 r. sygn. akt II OSK 1233/21).
W ocenie Sądu, ujawnienie się nowych, a istotnych dla sprawy okoliczności faktycznych może być rezultatem przeprowadzenia dowodów bądź ujawnienia się dowodów po wydaniu decyzji, byleby tylko rzecz dotyczyła faktów mających miejsce przed wydaniem decyzji, które są istotne dla sprawy, a nie były znane organowi w momencie jej podejmowania. Z taką sytuacją mamy do czynienia w rozpoznawanej sprawę.
Przedstawione przez Bank dokumenty, datowane na: [...] grudnia 2017 r., [...] listopada 2018 r. oraz [...] kwietnia 2019 r., pod którymi osobiście podpisał się skarżący, zawierają informację, o której mowa w art. 105a ust. 3 ustawy Prawo bankowe. Dokumenty te nie były znane organowi, który wydał decyzję w dniu [...] stycznia 2024 r., organ nie oceniał ich znaczenia dla rozstrzygnięcia sprawy, a miały one, zdaniem Sądu, istotne znaczenie dla sprawy.
Powyższe przesądza, w ocenie Sądu, iż zachodzi podstawa do uchylenia zaskarżonej decyzji w oparciu o art. 145 § 1 pkt 1 lit. b P.p.s.a., zgodnie z którym Sąd uwzględniając skargę na decyzję (...) uchyla decyzję (...) w całości albo w części, jeżeli stwierdzi naruszenie prawa dające podstawę do wznowienia postępowania administracyjnego.
W tej sytuacji, rzeczą organu będzie zatem - przy ponownym rozpoznaniu sprawy - ocenić znaczenie omawianych dokumentów dla rozstrzygnięcia sprawy, a rezultat dokonanej oceny przedstawić w uzasadnieniu wydanej decyzji.
Mając na względzie powyższe Wojewódzki Sąd Administracyjny w Warszawie, działając na podstawie art. 145 § 1 pkt 1 lit. b P.p.s.a. orzekł jak w pkt 1 sentencji. Rozstrzygnięcie o kosztach postępowania (pkt 2 sentencji wyroku), na który złożył się wpis od skargi w kwocie 200 zł, oparto o treść art. 200 w zw. z art. 205 § 1 P.p.s.a.