II SA/Wa 6/22

II SA/Wa 6/22 - Wyrok WSA w Warszawie
Data orzeczenia
2022-09-15
orzeczenie prawomocne
Data wpływu
2022-01-03
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Danuta Kania
Joanna Kruszewska-Grońska /przewodniczący/
Michał Sułkowski /sprawozdawca/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Uchylono zaskarżoną decyzję
Powołane przepisy
Dz.U. 2020 poz 256
art. 145 par 1 pkt 5
Ustawa z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego - t.j.
Dz.U. 2022 poz 329
art. 145 par 1 pkt 1 lit.  b
Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi  - t.j.
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Joanna Kruszewska-Grońska, Sędzia WSA Danuta Kania, Asesor WSA Michał Sułkowski (spr.), , Protokolant st. specjalista Ewa Kielak, , po rozpoznaniu na rozprawie w dniu 15 września 2022 r. sprawy ze skargi A.W. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] października 2021 r. nr [...] w przedmiocie przetwarzania danych osobowych uchyla zaskarżoną decyzję
Uzasadnienie
A.W. w piśmie z 27 stycznia 2020 r. wniósł do Prezesa Urzędu Ochrony Danych Osobowych (dalej "PUODO") skargę na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Bank [...] S.A. z siedzibą w [...] (dalej "Bank"). W skardze wywiódł, że 19 listopada 2019 r. Bank poinformował za pośrednictwem wiadomości sms o zmianach w regulaminach i taryfach rachunków bankowych, których treść udostępnił w serwisie elektronicznym [...]. W odpowiedzi skarżący złożył Bankowi oświadczenie o braku akceptacji dla zmian: 1. w dniu 11 grudnia 2019 r. w formie elektronicznej w Serwisie [...] (data odbioru 13 grudnia 2019 r.) oraz 2. dodatkowo listem poleconym (data odbioru 16 grudnia 2019 r.).
Wobec powyższego, jak skonstatował A.W., łącząca go z Bankiem umowa rachunku bankowego uległa rozwiązaniu z dniem [...] grudnia 2019 r. Mino to, Bank nadal prowadzi rachunek bankowy na nazwisko skarżącego, przetwarza jego dane osobowe w szerokim zakresie (właściwym dla rachunku bankowego) oraz utrzymuje aktywną możliwość dostępu za pomocą sieci www do zasobów, w których przetwarza bezumownie dane osobowe.
Skarżący wskazał, że 16 grudnia 2019 r. skierował do Banku pismo, w którym poinformował o zaistniałych nieprawidłowościach i zażądał przywrócenia przetwarzania do stanu zgodnego z prawem, jednakże jego żądanie nie zostało spełnione. Jak stwierdził A.W., dla Banku nie ma znaczenia, że prowadzi rachunek bankowy po rozwiązaniu umowy rachunku bankowego.
PUODO w piśmie z 8 czerwca 2020 r. wezwał Bank do ustosunkowania się do treści skargi i złożenia wyjaśnień w sprawie.
W odpowiedzi udzielonej w piśmie z 17 czerwca 2020 r. Bank wymienił produkty bankowe, o które umowy były lub są podstawą przetwarzania danych osobowych A.W., wskazując, że pozyskał dane osobowe skarżącego w następującym zakresie: 1) imię i nazwisko; 2) data urodzenia; 3) miejsce urodzenia; 4) imię ojca; 5) imię matki; 6) numer PESEL; 7) typ dokumentu tożsamości oraz jego seria i numer wraz z datą ważności; 8) obywatelstwo; 9) wykształcenie; 10) płeć; 11) nazwisko rodowe matki; 12) stan cywilny; 13) rezydent; 14) stosunek do służby wojskowej; 15) podpis klienta; 16) dane adresowe; 17) dane kontaktowe (numery telefonów); 18) dane finansowe związane z zawartymi umowami i posiadanymi produktami.
Jak dalej wyjaśnił Bank, w odniesieniu do czynnych produktów, tj. Konta [...] (Umowa [...]) o numerze rachunku [...] oraz Pożyczki [...] (Umowa [...]) o numerze rachunku [...] przetwarza dane osobowe skarżącego na podstawie art. 6 ust. 1 lit. b rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (dalej powoływane jako "RODO"), tj. przetwarzanie odbywa się w związku z wykonywaniem umowy skarżącego z Bankiem.
Bank podał również, że:
1. 11 grudnia 2019 r. skarżący za pośrednictwem bankowości elektronicznej (usługi [...]) przekazał do Banku wiadomość – Oświadczenie o sprzeciwie wobec wprowadzonych zmian oraz poinformował Bank, że przesłał przedmiotowe oświadczenie na adres Banku;
2. w odpowiedzi 13 grudnia 2019 r. Bank udzielił skarżącemu informacji, że skrzynka, na którą zostało skierowane oświadczenie pełni jedynie funkcję informacyjną, zaś wskazana dyspozycja nie może zostać zrealizowana za pośrednictwem przedmiotowego kanału. Jednocześnie skarżący został poinformowany o innych ścieżkach komunikacji z Bankiem;
3. pomimo przekierowania skarżącego na inne kanały komunikacji, jako właściwe do składania dyspozycji, 16 grudnia 2019 r. skarżący ponownie za pośrednictwem usługi [...] zwrócił się do Banku o zaprzestanie przetwarzania jego danych osobowych;
4. w odpowiedzi 10 stycznia 2020 r. Bank udzielił skarżącemu informacji, o podstawach przetwarzania jego danych osobowych.
Bank wyjaśnił ponadto, że z uwagi na zasadność podjęcia dodatkowych działań w celu wyjaśnienia sprawy związanej z utrzymywaniem przez Bank aktywnego rachunku nr [...] Biuro Inspektora Ochrony Danych Osobowych zwróciło się do właściwego oddziału Banku o ponowne nawiązanie kontaktu ze skarżącym w celu uzgodnienia procedury postępowania umożliwiającej zamknięcie rachunku do spłat aktywnej pożyczki. Z wyjaśnień oddziału Banku w [...] wynika, że do wykonania dyspozycji zamknięcia rachunku niezbędne jest założenie rachunku technicznego do spłaty pożyczki i podpisanie w tym celu aneksu do umowy pożyczki. Taki tryb postępowania wynika z § 10 ust. 6 zawartej ze skarżącym Umowy Pożyczki [...] z [...] września 2017 r. nr [...]. Bank nie może zamknąć rachunku w oparciu o złożone przez skarżącego jednostronne oświadczenie z uwagi na zobowiązania Banku i skarżącego wynikające z powołanej umowy.
Do pisma z 17 czerwca 2020 r. Bank dołączył m.in. kopię Umowy Pożyczki Ekspresowej z [...] września 2017 r. nr [...] oraz kopię Umowy [...] nr [...].
PUODO w piśmie z 19 sierpnia 2020 r. wezwał Bank do złożenia dodatkowych wyjaśnień dotyczących przesłanego przez skarżącego w grudniu 2019 r. pocztą sprzeciwu wobec wprowadzonych zmian w regulaminie opłat i prowizji.
Jednocześnie PUDO wezwał skarżącego do nadesłania kopii pisma wysłanego przez niego do Banku 16 grudnia 2019 r.
Bank w piśmie z 26 sierpnia 2020 r. potwierdził fakt otrzymania pisma skarżącego z 11 grudnia 2019 r. i oświadczył, że udzielił odpowiedzi na to pismo w piśmie z 17 stycznia 2020 r.
Dalej Bank wyjaśnił, że zgodnie z informacjami udzielonymi PUODO w piśmie z 17 czerwca 2020 r. skierował do skarżącego informację dotyczącą warunków rozwiązania umowy rachunku w przypadku czynnej umowy pożyczki, jednak pismo to zostało zwrócone jako niepodjęte przez adresata.
Bank dodał, że procedura, o jakiej informował skarżącego jest mu znana, ponieważ wynika z § 10 ust. 6 zawartej w nim Umowy Pożyczki Ekspresowej z [...] września 2017 r. nr [...]. Bank stwierdził, że nie ma podstaw prawnych do tego, by zaprzestać przetwarzania danych osobowych skarżącego we wnioskowanym przez niego zakresie na podstawie złożonego przez niego sprzeciwu, ponieważ nie zostały spełnione przesłanki określone w umowie zawartej pomiędzy Bankiem a skarżącym.
A.W. w skierowanym do PUODO piśmie z 1 września 2020 r. opisał dotychczasową wymianę korespondencji prowadzonej z Bankiem, konkludując, że przed upływem jakichkolwiek terminów w sposób niebudzący wątpliwości poinformował Bank o braku swojej akceptacji dla zmian oraz skutku braku akceptacji w postaci rozwiązania umów rachunków bankowych. Do pisma dołączył m.in. oświadczenie z 11 grudnia 2019 r. o sprzeciwie wobec zmian w regulaminach rachunków oraz taryfie prowizji i opłat. W oświadczeniu stwierdził także, że od kolejnego miesiąca spłat pożyczki będzie dokonywać z zewnętrznego rachunku na numer rachunku kredytowego [...] oraz nadmienił, że gdyby Bank chciał wskazać inny numer konta do spłat, prosi o stosowną informację.
Skarżący zajął stanowisko w sprawie w kolejnym piśmie z 25 listopada 2020 r., zwracając się zarazem o pilne wydanie decyzji w sprawie. A.W. stwierdził, że Bank odnosi się w sposób mylący do przetwarzania danych w ramach innych umów, pozostających bez związku z jego skargą złożoną do PUODO. Wyjaśnił, że skarży wyłącznie bezumowne przetwarzanie jego danych osobowych dotyczące rozwiązanej umowy rachunku bankowego, która obecnie powinna stanowić zbiór archiwalny, a nie przetwarzanie jego danych przez Bank w związku z ciągle wiążącą umową pożyczki, w ramach której jego dane powinny być przetwarzane pod odrębnym zbiorem i w zakresie znacznie węższym niż rachunek bankowy, jak również zabezpieczone w inny sposób pod względem technologicznym.
Do pisma z 25 listopada 2020 r. A.W. dołączył m.in. kopię aneksu do umowy rachunku bankowego [...] zawartego [...] września 2019 r. z zaznaczonym postanowieniem aneksu, zgodnie z którym posiadacz rachunku może składać oświadczenia woli związane w wykonywaniem czynności bankowych przez serwis [...], a oświadczenia te spełniają wymagania formy pisemnej, a także kopię korespondencji Banku informującej o zmianach m.in. opłat i prowizji za czynności bankowe, oraz o możliwości złożenia sprzeciwu wobec zmian przed dniem ich wejścia w życie, skutkującego wygaśnięciem umowy na dany produkt.
PUODO w pismach z 8 stycznia 2021 r. zawiadomił strony o zgromadzeniu materiału dowodowego w zakresie wystarczającym do wydania decyzji, a także o prawie wypowiedzenia się co do zebranych w toku postępowania dowodów i materiałów oraz zgłoszonych żądań.
A.W. zapoznał się z aktami sprawy 20 stycznia 2021 r.
PUODO decyzją z [...] października 2021 r. znak: [...], na podstawie art. 104 § 1 K.p.a. w zw. z art. 7 ust. 1 i ust. 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych oraz na podstawie art. 6 ust. 1 lit. b i art. 58 ust. 2 RODO – po przeprowadzeniu postępowania w sprawie skargi A.W. na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Bank, polegające na przetwarzaniu danych osobowych dotyczących rachunku bankowego nr [...] bez podstawy prawnej – odmówił uwzględnienia wniosku.
W uzasadnieniu decyzji PUODO opisał przebieg postępowania wszczętego skargą A.W .z 27 stycznia 2020 r., po czym zaznaczył, że prowadzone przez niego postępowanie służy kontroli zgodności przetwarzania danych osobowych z przepisami o ochronie danych osobowych i jest ukierunkowane na przywrócenie stanu zgodnego z prawem poprzez wydanie decyzji administracyjnej na podstawie art. 58 ust. 2 RODO. Organ nadzorczy wskazał też, że RODO określa obowiązki administratora danych, do których należy przetwarzanie danych osobowych z zachowaniem przesłanek określonych w RODO. Odwołując się do katalogu przesłanek legalizujących przetwarzanie danych osobowych zawartego w art. 6 ust. 1 RODO, PUODO zauważył, że zgoda osoby, której dane dotyczą nie jest jedyną podstawą przetwarzania danych osobowych, ponieważ proces przetwarzania danych będzie zgodny z RODO również wówczas, gdy administrator danych wykaże spełnienie innej podstawy wymienionej w art. 6 ust. 1 RODO. Przetwarzanie danych osobowych jest natomiast dopuszczalne m.in. wtedy, gdy jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą.
Uwzględniając powyższe, organ nadzorczy stwierdził, że z materiału dowodowego zebranego w toku postępowania wynika, że sporna umowa o Konto [...] (Umowa [...]) o numerze rachunku [...], w ocenie Banku wbrew twierdzeniom skarżącego nie uległa rozwiązaniu z uwagi na niespełnienie przez skarżącego wymogów dotyczących złożenia skutecznej dyspozycji rozwiązania umowy.
Dalej PUODO zaznaczył, że nie sprawuje nadzoru i nie może ingerować w sprawy zastrzeżone do właściwości innych organów, zatem jego rolą nie jest w szczególności rozstrzyganie sporów wynikających z umów o świadczenie usług bankowych. Dlatego, jak dalej wywiódł organ nadzorczy, umowa zawarta między stronami nie podlega jego ocenie i wywołuje skutki prawne dopóki nie zostanie zakwestionowana w formie i trybie przewidzianym przez prawo. PUODO nie może zatem badać skuteczności złożonego przez A.W. oświadczenia o wypowiedzeniu umowy Konta [...] (Umowa [...]) o numerze rachunku [...]. W takim przypadku wykroczyłby bowiem poza swoje ustawowo określone kompetencje, które pozwalają mu na ocenę wyłącznie procesu przetwarzania danych osobowych prowadzonego w związku z powołaną umową.
W ocenie organu nadzorczego, Bank w złożonych wyjaśnieniach udokumentował istnienie rzeczonej umowy, co uprawnia go do przetwarzania danych osobowych skarżącego, gdyż proces ten jest niezbędny do jej wykonania. Jak skonstatował PUODO, umowa ta pozostaje wciąż czynna, zatem dane osobowe A.W. są aktualnie przetwarzane przez Bank legalnie, wobec zaistnienia przesłanki, o której mowa w art. 6 ust. 1 lit. b RODO, gdyż jest to niezbędne do wykonania umowy, której stroną jest skarżący.
A.W. w piśmie z 26 listopada 2021 r. wniósł do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na decyzję PUODO z [...] października 2021 r. znak: [...]. Skarżący podniósł, że zaskarżona decyzja została wydana z rażącym naruszeniem prawa, zarzucając:
1. naruszenie art. 1 ust. 1 ustawy o ochronie danych osobowych poprzez niezapewnienie mu ochrony wynikającej z art. 2 RODO;
2. naruszenie art. 5 ust. 1 RODO poprzez wydanie wadliwej decyzji skutkującej brakiem zapewnienia przetwarzania jego danych:
a. zgodnie z prawem, rzetelnie i w sposób przejrzysty,
b. w konkretnym, wyraźnym i prawnie uzasadnionym celu i nieprzetwarzanie dalej w sposób niezgodny z tymi celami (w tym przetwarzanie do celów innych niż archiwalne po rozwiązaniu umowy rachunku bankowego),
c. w sposób adekwatny, stosowny oraz ograniczony do tego, co niezbędne dla celów, w których są przetwarzanie (brak zapewnienia zasady "minimalizacji danych"),
d. w sposób prawidłowy przy podjęciu wszelkich rozsądnych działań, aby dane osobowe, które są nieprawidłowe w świetle celów ich przetwarzania, zostały niezwłocznie usunięte lub sprostowane (brak zapewnienia zasady "prawidłowości");
3. błędną kwalifikację podstaw prawnych do przetwarzania danych osobowych, co miało wpływ na wynik sprawy i stanowiło błędną wykładnię przepisów oraz niewłaściwe ich zastosowanie;
4. naruszenie art. 77 § 1 K.p.a. poprzez niewystarczające wyjaśnienie podstawy faktycznej i prawnej decyzji, co miało wpływ na wynik sprawy.
W uzasadnieniu skargi A.W. stwierdził, że z uzasadnienia decyzji można jedynie domyślać się, że PUODO uznał za podstawę legalizującą przetwarzanie danych osobowych "niezbędność do wykonania umowy, której stroną jest osoba, której dane dotyczą". Zarzucił, że podstawą wydania decyzji była ocena Banku - wbrew twierdzeniom skarżącego - zgodnie z którą umowa rachunku bankowego nie uległa rozwiązaniu z uwagi na niespełnienie przez skarżącego wymogów dotyczących złożenia skutecznej dyspozycji rozwiązania umowy. W ocenie A.W. "kuriozalnym jest fakt", że PUODO jako podstawę zaskarżonej decyzji wskazuje ocenę stanu faktycznego i ocenę stanu prawnego dokonaną przez podmiot komercyjny, a nie wskazuje jaka jest jego własna ocena i na czym się opiera. Jak podniósł skarżący, PUODO w żaden sposób nie dokonał oceny dowodów i wyjaśnień złożonych przez niego w toku postępowania, co dyskwalifikuje uzasadnienie wydanej decyzji.
Skarżący zakwestionował także stanowisko organu nadzorczego, zgodnie z którym umowa rachunku bankowego jest czynnością prawną niepodlegającą ocenie, wywołującą skutki prawne dopóki nie zostanie zakwestionowana, wobec czego PUODO nie może badać skuteczności oświadczenia o wypowiedzeniu umowy rachunku bankowego, ale może oceniać proces przetwarzania danych w związku z tą umową. W ocenie A.W., stanowisko organu nadzorczego prowadzi do wniosku, że przetwarzanie danych osobowych konsumentów przez podmioty komercyjne w pełnym zakresie po ustaniu umów jest w pełni legalne i wystarczy, aby nadzorowany podmiot komercyjny okazał archiwalną umowę. Skarżący zakwestionował takie rozumienie zasady legalności przetwarzania danych osobowych oraz kompetencji PUODO w procesie przetwarzania danych konsumenta do stanu zgodnego z prawem.
A.W. dostrzegł także niespójność argumentacji zawartej w uzasadnieniu zaskarżonej decyzji. Jak wywiódł, z jednej strony PUODO stwierdził, że nie jest kompetentny do oceny umów i oświadczeń woli ich strony natomiast z drugiej strony, dokonał oceny spornej w sprawie umowy rachunku bankowego poprzez stwierdzenie – na podstawie oświadczenia Banku – że umowa ta obowiązuje. Jak skonstatował skarżący, skoro organ nadzorczy stwierdził, że umowa rachunku bankowego pozostaje "czynna", to tym samym przesądził, że dokonane przez niego wypowiedzenie umowy było nieskuteczne.
A.W. zauważył ponadto, że nie zwracał się do PUODO o rozstrzygnięcie sporu wynikającego z umowy o świadczenie usług bankowych, a wyłącznie o skontrolowanie zgodności przetwarzania jego danych osobowych przez Bank. Podniósł też, że w sprawie niepotrzebnie przyjmowano od Banku oświadczenia i dokumentację niedotyczącą rozpatrywanej sprawy, odnoszącą się do zupełnie innego stosunku prawnego łączącego go z Bankiem, które od początku nie miało żadnego związku z przedmiotową sprawą. W związku z tym skarżący za nieprawdziwe uznał zawarte w uzasadnieniu zaskarżonej decyzji stwierdzenie PUODO, jakoby w toku postępowania ograniczył zakres złożonej skargi. Jak skonstatował, od początku jej przedmiotem był wyłącznie zakres danych przetwarzanych w celu prowadzenia rachunku bankowego.
A.W. dodał, że ustaleniom PUODO w sprawie i prawidłowości decyzji przeczy też postępowanie samego Banku, który zaprzestał "chyba" prowadzenia rachunku bankowego, a obecnie wskazuje do spłaty numer rachunku technicznego, którego istnieniu zaprzeczał w trakcie postępowania.
W konkluzji skarżący stwierdził, że o ile PUODO przyjął, iż przesłanką legalizującą przetwarzanie jego danych osobowych jest niezbędność do wykonania umowy, której stroną jest osoba, której dane dotyczą, to oczywistym jest, że koniecznym warunkiem poprawności decyzji jest uprzednia weryfikacja, czy umowa taka rzeczywiście istnieje, jest wymagalna i wywołuje skutki prawne dla jej stron. Jak stwierdził A.W., kuriozalnym jest fakt, że PUODO z jednej strony próbuje się "odciąć" od takiej weryfikacji, a z drugiej daje wiarę twierdzeniom Banku, że umowa istnieje i jest wiążąca. W jego ocenie, jednostronne dawanie wiary oświadczeniu Banku bez uzasadnienia, dlaczego równocześnie oświadczenie konsumenta jest niewiarygodne, jak również zignorowanie dowodów przedłożonych przez konsumenta stanowi potwierdzenie tego, że organ nadzorczy nie dążył w toku postępowania do ustalenia prawdy materialnej, nie ocenił prawidłowo i obiektywnie wartości dowodowej poszczególnych środków dowodowych oraz fałszywie zasłonił się rzekomą niemożnością dokonywania oceny umowy koniecznej do wydania prawidłowej decyzji.
PUODO wniósł o oddalenie skargi, podtrzymując w odpowiedzi na skargę stanowisko zawarte w uzasadnieniu zaskarżonej decyzji.
A.W. w piśmie z 12 września 2022 r. oświadczył, że 26 lutego 2022 r. otrzymał w serwisie [...] wiadomość Banku, w której poinformowano go, że:
1. rachunek bankowy w związku, z którym Bank nieprawidłowo (w ocenie skarżącego) przetwarza jego dane, został skutecznie wypowiedziany 1 października 2021 r.;
2. pomimo wypowiedzenia umowy rachunku bankowego Bank nie zamyka rachunku.
Skarżący stwierdził ponadto, że nie otrzymał z Banku żadnej korespondencji dotyczącej wypowiedzenia umowy rachunku, zatem w jego ocenie wypowiedzenie nie mogło być skuteczne, sokoro – jak wskazał A.W.– umowa uległa rozwiązaniu [...] grudnia 2019 r.
Skarżący dodał, że skuteczne wypowiedzenie umowy rachunku bankowego powoduje utratę jakiejkolwiek podstawy do przetwarzania jego danych osobowych w obecnym zakresie.
Do pisma z 12 września 2022 r. skarżący dołączył wydruk wiadomości z 21 lutego 2022 r. skierowanej do niego przez Bank za pośrednictwem usługi [...].
Na rozprawie w dniu 15 września 2022 r. A.W. podtrzymał stanowisko w sprawie. Sąd postanowieniem wydanym na tej rozprawie dopuścił dowód uzupełniający w postaci wydruku zrzutu ekranu serwisu [...] zawierającego wiadomość wskazaną w piśmie skarżącego z 12 września 2022 r.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje.
Skarga podlegała uwzględnieniu. Należy jednak zaznaczyć, że stosownie do treści art. 134 § 1 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2022 r. poz. 329 ze zm.; dalej powoływana jako "P.p.s.a."), Sąd rozstrzygnął sprawę w jej granicach, nie będąc związany zarzutami i wnioskami skargi.
W pierwszej kolejności należy stwierdzić, że wbrew stanowisku A.W. z zaskarżonej decyzji jednoznacznie wynika, że PUODO ustalił, iż Bank [...] S.A. z siedzibą w [...] przetwarza dane osobowe skarżącego zgodnie z prawem, z uwagi na spełnienie przesłanki legalizującej przetwarzanie tych danych, przewidzianej w art. 6 ust. 1 lit. b RODO ("przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy"). Przepis art. 6 ust. 1 lit. b RODO został powołany w podstawie prawnej wydania zaskarżonej decyzji, natomiast w jej uzasadnieniu organ nadzorczy wprost stwierdził, że "[...] dane osobowe Skarżącego są aktualnie przetwarzanie przez Bank legalnie, wobec zaistnienia przesłanki, o której mowa w art. 6 ust. 1 lit. b RODO, gdyż jest to niezbędne do wykonania umowy, której stroną jest Skarżący [...]".
A.W. nie ma zatem racji twierdząc, że na podstawie zaskarżonej decyzji można jedynie domyślać się, iż za przesłankę legalizującą przetwarzanie jego danych osobowych PUODO uznał art. 5 ust. 1 lit. b RODO. Podstawa ta w sposób niebudzący wątpliwości wynika z zaskarżonej decyzji.
Nie można też zgodzić się ze skarżacym co do tego, że PUODO oparł się wyłącznie na twierdzeniu Banku ("podmiotu komercyjnego") i w żaden sposób nie wyjaśnił, dlaczego nie dał wiary twierdzeniom i dokumentom przedstawionym przez skarżącego ("konsumenta").
W aktach sprawy znajdują się kopie (1) Umowy [...] nr [...] z [...] kwietnia 2012 r. oraz (2) Umowy Pożyczki Ekspresowej z [...] września 2017 r. nr [...]. Obie te umowy zostały powołane w uzasadnieniu zaskarżonej decyzji, jako dowody, na podstawie których organ nadzorczy ustalił stan faktyczny sprawy. Druga z nich wprost odwołuje się do pierwszej w § 10, w którym określono – według wyboru pożyczkobiorcy – sposób spłaty poprzez dokonywanie przez Bank obciążeń rachunku nr [...] tytułem wymagalnych należności na podstawie pełnomocnictwa udzielonego przez skarżącego Bankowi do dokonywania potrąceń ze wskazanego rachunku. Kopia rzeczonego pełnomocnictwa również znajduje się w aktach sprawy.
W umowie z [...] września 2017 r. przewidziano także możliwość rezygnacji przez pożyczkobiorcę ze spłaty zadłużenia w powyżej opisany sposób, tj. z rachunku nr [...]. Na ten wypadek przewidziano dwie możliwości, wymagające aneksu do umowy: (1) albo ustanowienie na rzecz Banku pełnomocnictwa do innego rachunku pożyczkobiorcy prowadzonego przez Bank, o zakresie przewidzianym w dotychczasowym pełnomocnictwie, (2) albo wskazanie przez Bank numeru rachunku, poprzez który będą rozliczane należności Banku z tytułu pożyczki.
W sytuacji, gdy w odpowiedzi na wezwanie PUODO Bank wyjaśnił, dlaczego w jego ocenie umowa rachunku bankowego nadal – pomimo złożenia przez skarżącego sprzeciwu wobec wprowadzonych zmian w regulaminach i taryfach – obowiązuje oraz dołączył do odpowiedzi opisane wyżej umowy i pełnomocnictwo, organ nadzorczy nie miał podstaw do stwierdzenia, że pierwsza z wymienionych umów nie obowiązuje, a w konsekwencji, że przetwarzanie danych osobowych skarżącego nie jest niezbędne w celu wykonania tej umowy (art. 6 ust. 1 lit. b RODO). Umowa ta niewątpliwie została zawarta, natomiast między Bankiem a skarżącym powstał spór co do jej obowiązywania po [...] grudnia 2019 r., wobec złożenia przez A.W. sprzeciwu wobec zmian w regulaminach i taryfach. W ocenie Banku, z uwagi na postanowienia umowy pożyczki, umowa rachunku bankowego nie przestała obowiązywać – pomimo złożenia sprzeciwu. W ocenie skarżącego, z uwagi na złożenie sprzeciwu (ten fakt nie jest w sprawie sporny), umowa wygasła.
Do rozstrzygnięcia opisanego sporu nie jest jednak uprawniony ani PUODO, ani sąd administracyjny, tylko sąd cywilny. PUODO nie może oceniać prawidłowości wykonywania umów, wprowadzania do nich zmian, nie ma prawa kontrolować podstaw ich wypowiadania, czy rozwiązywania. Dotyczy to wszelkich umów cywilnoprawnych, w tym także umów rachunku bankowego, problematyka ta podlega bowiem kognicji sądów powszechnych. Stanowisko wskazujące na niedopuszczalność rozstrzygania przez organ nadzorczy kwestii istnienia lub nieistnienia wierzytelności cywilnoprawnych, czy ważności czynności cywilnoprawnych, było już wielokrotnie wyrażane w orzecznictwie sądów administracyjnych (zob. np. wyroki Naczelnego Sądu Administracyjnego z 9 grudnia 2015 r. sygn. akt I OSK 1850/14, z 26 maja 2009 r. sygn. akt I OSK 808/08, prawomocny wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z 19 lipca 2007 r. sygn. akt II SA/Wa 678/07 – niepublikowane; dostępne: https://orzeczenia.nsa.gov.pl).
Nie może być zatem mowy o dowolności ustaleń PUODO, skoro w aktach sprawy znalazły się umowa będąca źródłem zobowiązania skarżącego polegającego na zapewnieniu na rachunku bankowym nr [...] środków na spłatę pożyczki udzielonej na podstawie tej umowy oraz pełnomocnictwo do dokonywania przez Bank potrąceń z tego rachunku, a także wyjaśniania Banku, w których podano powody, z których umowa rachunku bankowego nie wygasła po złożeniu przez A.W. sprzeciwu wobec zmian w regulaminach i taryfach.
Zauważając dalej, że w świetle art. 1 ustawy z dnia 25 lipca 2002 r. Prawo o ustroju sądów administracyjnych (Dz. U. z 2021 r. poz. 137 ze zm.) sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej pod względem zgodności z prawem, należy zaznaczyć, że dla oceny legalności decyzji miarodajny jest stan faktyczny istniejący na dzień wydania tej decyzji (zob. też np. wyrok Naczelnego Sądu Administracyjnego z 2 marca 2021 r. sygn. akt II OSK 2478/18 – niepublikowany; dostępny: https://orzeczenia.nsa.gov.pl).
Mając powyższe spostrzeżenie na uwadze, trzeba podkreślić, że z akt sprawy w sposób niebudzący wątpliwości wynika, iż okolicznością zasadniczą dla stwierdzenia przez PUODO zaistnienia przesłanki, o której mowa w art. 6 ust. 1 lit. b RODO, a tym samym dla podjęcia zaskarżonego rozstrzygnięcia, było to, że umowa rachunku bankowego [...] nr [...] nie została rozwiązana. Świadczą o tym jednoznacznie stwierdzenia zawarte w uzasadnieniu decyzji: 1. (str. 4 decyzji), "[...] z zebranego materiału dowodowego wynika, że sporna umowa o Konto [...] (Umowa [...]) o numerze rachunku [...], w ocenie Banku wbrew twierdzeniu Skarżącego nie uległa rozwiązaniu z uwagi na niespełnienie przez Skarżącego wymogów dotyczących skutecznej dyspozycji rozwiązania umowy [...]" oraz 2. (str. 5 decyzji) "[...] wyżej wymieniona umowa pozostaje aktualnie wciąż czynna, stwierdzić zatem należy, że dane osobowe Skarżącego są aktualnie przetwarzane przez Bank legalnie (...)". Także w odpowiedzi na skargę organ nadzorczy powołał się na brak dowodów na "ustanie stosunku umownego z Bankiem".
Uwzględniając powyższe, należy dostrzec, że od zgromadzenia przez PUODO materiału dowodowego, który został uznany za wystarczający do wydania decyzji, do wydania zaskarżonej decyzji upłynęło prawie dziewięć i pół miesiąca, natomiast od dołączenia do akt sprawy ostatniego pisma wyjaśniającego Banku do wydania decyzji upłynął rok i ponad półtora miesiąca. Pismo to wpłynęło do PUODO 31 sierpnia 2020 r., organ nadzorczy skierował do stron postępowania zawiadomienie o zgromadzeniu materiału dowodowego 8 stycznia 2021 r., natomiast zaskarżoną decyzję wydał [...] października 2021 r.
Wedle tymczasem skierowanej do skarżącego przez Bank za pośrednictwem usługi [...] wiadomości z 21 lutego 2022 r., "(...) rachunek [...] został skutecznie wypowiedziany przez bank w dniu 1.10.2021 r. (...)". Należy przy tym zaznaczyć, że z akt sprawy wynika, iż usługa [...] wykorzystywana jest przez Bank w m.in. w celu dostarczenia informacji o zmianach postanowień umownych i innych informacji (kopia aneksu do umowy [...] z [...] kwietnia 2012 r. na karcie nr 73 akt postępowania administracyjnego - § 2 ust. 1).
Biorąc to pod uwagę, należy wskazać, że zgodnie z art. 106 § 3 P.p.s.a, sąd może z urzędu lub na wniosek stron przeprowadzić dowody uzupełniające z dokumentów, jeżeli jest to niezbędne do wyjaśnienia istotnych wątpliwości i nie spowoduje nadmiernego przedłużenia postępowania w sprawie. Do postępowania dowodowego, o którym mowa w § 3, stosuje się odpowiednio przepisy Kodeksu postępowania cywilnego, który w art. 2431 stanowi, że przepisy niniejszego oddziału (Oddział 2 "Dokumenty" – przyp. Sądu) stosuje się do dokumentów zawierających tekst, umożliwiających ustalenie ich wystawców. Przepisy te stosuje się więc do wszystkich dokumentów zawierających tekst (informację zapisaną za pomocą systemu liter i reguł językowych), bez względu na postać tego tekstu czy rodzaj nośnika, na którym tekst został utrwalony, o ile dają możliwość ustalenia ich wystawcy (zob. M. Sieńko [w:] Kodeks postępowania cywilnego. Komentarz aktualizowany. Tom I. Art. 1-477(16), red. M. Manowska, LEX/el. 2022, art. 2431).
Dołączony do pisma skarżącego z 12 września 2022 r. wydruk zawierający tekst wskazanej wyżej wiadomości z 21 lutego 2021 r., w której pracownik działający w imieniu Banku stwierdził, że otrzymał informację, iż rachunek [...] został skutecznie wypowiedziany przez Bank w dniu 1 października 2021 r., jest zatem dokumentem, a co za tym idzie, mógł stanowić przedmiot dowodu uzupełniającego, przeprowadzonego na podstawie art. 106 § 3 P.p.s.a.
Przeprowadzenie tego dowodu było natomiast niezbędne do wyjaśnienia istotnych wątpliwości w sprawie, sprowadzających się do ustalenia, czy zasadnicza dla stwierdzenia przez PUODO zaistnienia przesłanki, o której mowa w art. 6 ust. 1 lit. b RODO okoliczność sprawy - ustalona na podstawie znajdujących się w aktach kopii umowy [...] i umowy Pożyczki [...] oraz wyjaśnień Banku, z których ostatnie zostało dołączone do akt sprawy przeszło rok przed wydaniem zaskarżonej decyzji - pozostawała aktualna w dniu wydania tej decyzji. Z treści wiadomości Banku skierowanej do skarżącego 21 lutego 2022 r. wynika bowiem, że przed wydaniem zaskarżonej decyzji zaistniała okoliczność nieznana organowi nadzorczemu, która w świetle dowodów zgromadzonych w postępowaniu poprzedzającym wydanie tej decyzji i powołanych w jej uzasadnieniu (kopii umowy [...], kopii umowy Pożyczki [...] oraz wyjaśnień Banku) była i pozostaje istotna dla rozstrzygnięcia sprawy. Skoro bowiem PUODO, odwołując się w uzasadnieniu decyzji do ww. umów i wyjaśnień Banku, stwierdził, że (1) umowa rachunku bankowego [...], w ocenie Banku wbrew twierdzeniu A.W. nie uległa rozwiązaniu z uwagi na niespełnienie przez skarżącego wymogów dotyczących skutecznej dyspozycji rozwiązania umowy, oraz że (2) pozostaje ona aktualnie wciąż "czynna", a co za tym idzie (3) dane osobowe skarżącego są aktualnie przetwarzanie przez Bank legalnie, wobec zaistnienia przesłanki, o której mowa w art. 6 ust. 1 lit. b RODO, gdyż jest to niezbędne do wykonania umowy, to (4) wypowiedzenie tej umowy przez Bank (przed wydaniem zaskarżonej decyzji) jest okolicznością istotną dla rozstrzygnięcia sprawy i nie mogło zostać nieuwzględnione przez Sąd, który – jak powyżej zaznaczono – ocenia legalność zaskarżonej decyzji wedle stanu faktycznego istniejącego w dacie wydania tej decyzji. Wobec okoliczności dokonania przez Bank wypowiedzenia umowy rachunku bankowego nr [...] w dniu 1 października 2021 r., nie można bowiem stwierdzić, czy w dniu wydania zaskarżonej decyzji Bank nadal przetwarzał dane osobowe A.W. w oparciu o przesłankę legalizującą przewidzianą w art. 6 ust. 1 lit. b RODO, a jeśli tak, to czy był do tego uprawniony, czy też w oparciu o inną przesłankę legalizującą, a jeśli tak, to czy był do tego uprawniony. Należy przy tym jeszcze raz zaznaczyć, że zasadniczym ustaleniem, które legło u podstaw stwierdzenia przez PUODO istnienia przesłanki, o której mowa w art. 6 ust. 1 lit. b RORO było stwierdzenie, że umowa rachunku nie uległa rozwiązaniu.
W tak ustalonym stanie przedmiotowej sprawy należało zgodzić się z poglądem wyrażanym w orzecznictwie sądów administracyjnych, zgodnie z którym nie ma podstaw, by pojęcie "naruszenia prawa", w rozumieniu art. 145 § 1 pkt 1 lit b P.p.s.a. ograniczać jedynie do części przesłanek wznowienia postępowania. Naruszenie prawa nie może bowiem być odnoszone tylko do sytuacji, gdy zachodzi prosta sprzeczność między treścią przepisu a sposobem jego zastosowania przez organ administracji. Każda zatem podstawa wznowienia postępowania administracyjnego jest tożsama z "naruszeniem prawa" i powinna być brana pod uwagę w toku sądowej kontroli decyzji (zob. np. wyroki Naczelnego Sądu Administracyjnego: z 25 lutego 2020 r. sygn. akt II OSK 145/20, z 23 marca 2016 r. sygn. akt I OSK 2947/14, z 9 grudnia 2011 r. sygn. akt II OSK 807/11, z 13 marca 2019 r. sygn. akt II OSK 3632/18, z 5 kwietnia 2012 r. sygn. akt II OSK 815/11 – niepublikowane; poza dwoma ostatnimi z wymienionych dostępne: https://orzeczenia.nsa.gov.pl).
Należy zatem wskazać, że zgodnie z art. 145 § 1 pkt 5 K.p.a., w sprawie zakończonej decyzją ostateczną wznawia się postępowanie, jeżeli wyjdą na jaw istotne dla sprawy nowe okoliczności faktyczne lub nowe dowody istniejące w dniu wydania decyzji, nieznane organowi, który wydał decyzję. Jakkolwiek opisana wyżej wiadomość Banku została skierowana do skarżącego 21 lutego 2022 r., to odnosi się do istotnej dla rozstrzygnięcia sprawy okoliczności faktycznej zaistniałej przed wydaniem zaskarżonej decyzji. Wynika z niej bowiem, odmiennie niż z wyjaśnień Banku, do których PUODO odwołał się w uzasadnieniu zaskarżonej decyzji, że umowa rachunku bankowego nr [...] została wypowiedziana i nastąpiło to przed wydaniem zaskarżonej decyzji. W sprawie wyszła więc na jaw istotna dla sprawy nowa okoliczność, nieznana organowi, który wydał zaskarżoną decyzję, co skutkowało uchyleniem tej decyzji.
W ponownie przeprowadzonym postępowaniu PUODO ustali, czy Bank nadal przetwarza dane osobowe A. W. dotyczące rachunku bankowego nr [...] w oparciu o przesłankę legalizującą przewidzianą w art. 6 ust. 1 lit. b RODO, a jeśli tak, to czy jest do tego uprawniony, czy przetwarza obecnie te dane w oparciu o inną przesłankę legalizującą, a jeśli tak, to czy jest do tego uprawniony.
W tym stanie rzeczy, na podstawie art. 145 § 1 pkt 1 lit. b P.p.s.a. w zw. z art. 145 § 1 pkt 5 K.p.a., Wojewódzki Sąd Administracyjny w Warszawie orzekł jak w sentencji.