II SA/WA 701/22

II SA/Wa 701/22 - Wyrok WSA w Warszawie
Data orzeczenia
2022-10-04
orzeczenie prawomocne
Data wpływu
2022-04-26
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Andrzej Wieczorek
Izabela Głowacka-Klimas /przewodniczący sprawozdawca/
Michał Sułkowski
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Sygn. powiązane
III OSK 191/23 - Wyrok NSA z 2024-12-17
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę
Powołane przepisy
Dz.U. 2021 poz 2439
art. art. 105a ust. 3, ust. 4
Ustawa z dnia 29 sierpnia 1997 r. Prawo bankowe (t.j.)
Dz.U. 1964 nr 16 poz 93
art. 61 par. 1
Ustawa z dnia 23 kwietnia 1964 r. - Kodeks cywilny.
Dz.U.UE.L 2016 nr 119 poz 1 art. 6 ust. 1 lit. f)
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z  przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Izabela Głowacka-Klimas (spr.), Sędzia WSA Andrzej Wieczorek, Asesor WSA Michał Sułkowski, po rozpoznaniu w trybie uproszczonym w dniu 4 października 2022 r. sprawy ze skargi S. S.A. z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] lutego 2022 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę
Uzasadnienie
Prezes Urzędu Ochrony Danych Osobowych (dalej: organ, Prezes UODO) decyzją [....] lutego 2022 r., znak [...], na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz.U.
z 2021 r. poz. 735; dalej Kpa.), art. 6 ust. 1 oraz art. 58 ust. 2 lit. c) rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r.
w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dziennik Urzędowy Unii Europejskiej, L 119, z 4 maja 2016 r.; L 127 z 23 maja 2018, str. 2 oraz L 74 z 4 marca 2021, str. 35; dalej RODO) w związku z art. 105a ust. 3 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz.U. z 2020 r. poz. 1896), po przeprowadzeniu postępowania administracyjnego w sprawie skargi Pani A. J. (uczestniczka), zamieszkałej w G. przy ul. K. P. [...], na nieprawidłowości w procesie przetwarzania jej danych osobowych przez [...] S.A. z siedzibą we W. przyul. L. [...] (dalej: Bank, Spółka, skarżąca), polegające na przetwarzaniu danych osobowych uczestniczki bez podstawy prawnej, udostępnieniu ich do Biura Informacji Kredytowej S.A. z siedzibą w W., przy ul. Z. [...] , bez podstawy prawnej oraz niespełnieniu żądania usunięcia danych osobowych ww., nakazał Spółce zaprzestania przetwarzania danych osobowych Pani A. J. dotyczących umów nr [...] z dnia [...] grudnia 2015 r. oraz nr [...] z dnia [...] kwietnia 2016 r. przetwarzanych
w celu obrony przed ewentualnymi roszczeniami.
Do wydania powyższej decyzji doszło w następującym stanie sprawy.
Do Prezesa Urzędu Ochrony Danych Osobowych wpłynęła skarga Pani A.J. na nieprawidłowości w procesie przetwarzania jej danych osobowych przez [...] S.A. z siedzibą we W., polegające na przetwarzaniu danych osobowych bez podstawy prawnej, udostępnieniu ich do Biura Informacji Kredytowej S.A. z siedzibą w W. (BIK), bez podstawy prawnej oraz niespełnieniu żądania usunięcia danych osobowych uczestniczki.
Uczestniczka w treści skargi wskazał, że mimo ustania jej relacji z Bankiem po całkowitej spłacie zobowiązania Bank nadal przetwarza jej dane osobowe bez podstawy prawnej oraz udostępnia je w zewnętrznej bazie BIK. Podkreśliła
w skardze, że nie jest oraz nie chce być klientem Banku. W jej ocenie Bank nie spełnił wymagań uprawniających go do rozpoczęcia przetwarzania jej danych osobowych w bazie BIK w związku z wierzytelnościami wynikającymi z umów
nr [...] z dnia [...] grudnia 2015 r. oraz nr [...] z dnia [...] kwietnia 2016 r., ponieważ Bank nie spełnił łącznie wszystkich warunków z art. 105a ust. 3 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz.U. z 2020 r. poz. 1896),
tj. Bank nie dysponuje dowodami na potwierdzenie poinformowania uczestniczki
o zamiarze przetwarzania jej danych osobowych w bazie BIK. W związku
z powyższym zażądała nakazania Bankowi zaprzestania przetwarzania jej danych osobowych przez Bank oraz w bazie BIK dot. ww. umów.
Uczestniczka w kierowanej do Banku korespondencji (pismami z [...] lutego 2020 r., [...] kwietnia 2020 r., [...] czerwca 2020 r., [...] czerwca 2020 r., [...] października 2020 r.) wycofała zgodę na przetwarzanie jej danych przez Bank w bazie BIK w celu oceny zdolności kredytowej i analizy ryzyka, jednocześnie wycofując swoją zgodę na przetwarzanie jej danych osobowych przez Bank.
W odpowiedzi Bank pismami z [...] marca 2020 r. i [...] października 2020 r. wskazał, że z uwagi na zaistniałe przesłanki wynikające z art. 105a ust. 3 ustawy - Prawo bankowe Bank może przetwarzać dane osobowe uczestniczki w bazie BIK bez jej zgody.
Bank wskazał, że dane osobowe uczestniczki zostały pozyskane w wyniku zawarcia z nią umowy o kredyt na zakup towarów i usług nr [...] z [...] grudnia 2015 r. oraz umowy o przyznanie limitu kredytowego i wydania karty Comfort nr [...] z [...] kwietnia 2016 r. w celu zawarcia i realizacji ww. umów, spełnienia obowiązków prawnych ciążących na Banku oraz realizacji prawnie uzasadnionych interesów polegających na dochodzeniu lub obronie roszczeń. Podstawą legalizującą przetwarzanie danych był w szczególności art. 23 ust. 1 pkt 3
i 5 ustawy z dnia 29 sierpnia 1997 r o ochronie danych osobowych. Bank pozyskał dane osobowe ww. w zakresie: dane identyfikacyjne, dane adresowe, dane teleadresowe oraz dane finansowe uczestniczki (dowód: pismo Banku z [...] grudnia 2020 r. wraz z załącznikami).
Bank zawarł z BIK umowę powierzenia przetwarzania danych osobowych, na podstawie której BIK przetwarza dane osobowe klientów Banku, przekazane przez Bank. Ponadto Bank wskazał, że uczestniczka wyraziła zgody na przetwarzanie przez BIK i udostępnienie instytucjom finansowym przekazanych przez Bank informacji o zobowiązaniach powstałych z tytułu umów nr [...] z [...] grudnia 2015 r. oraz nr [...] z [...] kwietnia 2016 r. przez okres nie dłuższy niż pięć lat od dnia wygaśnięcia zobowiązania (dowód: pismo Banku z [...] grudnia 2020 r. wraz z załącznikami).
Bank wyjaśnił, że dane osobowe uczestniczki zostały przekazane do BIK na podstawie przepisów ustawy - Prawo bankowe. Obecne przetwarzanie danych osobowych uczestniczki w BIK związane jest z przetwarzaniem danych, o którym mowa w art. 105a ust. 3 ww. ustawy.
Bank wskazał, że wysłał do uczestniczki listy z wypowiedzeniem umowy
nr [...] z [...] grudnia 2015 r. w dniu [...] grudnia 2016 r., nadany w dniu [...] grudnia 2016 r., umowy nr [...] z [...] kwietnia 2016 r. z dnia [...] października 2016 r., nadany w dniu [...] października 2016 r. wraz z informacją o zamiarze przetwarzania danych bez jej zgody.
Bank wskazał, że w dniu [...] stycznia 2019 r. uczestniczka złożyła wniosek
o wycofanie zgody na przetwarzanie danych osobowych przez Bank w celach marketingowych, oceny zdolności kredytowej, ryzyka kredytowego oraz zgodę na przetwarzanie danych przez BIK po wygaśnięciu zobowiązań w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. W odpowiedzi Bank poinformował uczestniczkę, że została wycofana zgoda na przetwarzanie danych w celach marketingowych oraz w celu oceny zdolności kredytowej, jak również poinformował o przetwarzaniu jej danych na podstawie art. 105a ust. 3 ustawy - Prawo bankowe. Następnie pismem z [...] lutego 2020 r. uczestniczka wskazała między innymi, że nie otrzymała pisma informującego o zamiarze przetwarzania jej danych bez zgody. Bank w odpowiedzi poinformował o wysłaniu do niej listów z tą informacją, jak również o braku zwrotu wysłanej korespondencji. Pismem z [...] kwietnia 2020 r. uczestniczka ponowiła swój wniosek. Bank powtórnie poinformował o spełnieniu przesłanek uprawniających do sankcyjnego przetwarzania danych uczestniczki.
W kolejnych pismach uczestniczka ponownie składała wnioski z tożsamym żądaniem. Odpowiedź Banku pozostała niezmienna (dowód: pismo Banku z [...] grudnia 2020 r. wraz z załącznikami).
Bank wskazał, że uczestniczka nie wnosiła względem Banku żadnych roszczeń, za wyjątkiem żądania zaprzestania przetwarzania jej danych osobowych
w BIK oraz Bank nie wnosił i nie kieruje względem niej roszczeń (dowód: pismo Banku z [...] sierpnia 2021 r.).
BIK wskazał, że aktualnie przetwarza dane osobowe uczestniczki w zakresie danych przekazanych przez Bank dotyczących umowy o kredyt na zakup towarów
i usług nr [...] z [...] grudnia 2015 r. oraz umowy o przyznanie limitu kredytowego i wydania karty Comfort nr [...] z [...] kwietnia 2016 r. Dane dotyczące ww. umów zostały przekazane do BIK przez Bank na podstawie art. 105 ust. 4 ustawy - Prawo bankowe i na podstawie łączącej strony umowy. Ww. rachunki mają status rachunków odzyskanych i przetwarzane są w celu oceny zdolności kredytowej i analizy ryzyka kredytowego, na podstawie art. 105a ust. 3 w zw. z art. 105 ust. 4 ustawy - Prawo bankowe (dowód: pismo BIK z [...] czerwca 2021 r.).
Prezes UODO w uzasadnieniu podanej na wstępie decyzji wskazał, że RODO określa legalność przetwarzania danych osobowych. Każda z przesłanek z art. 6
ust. 1 RODO ma charakter autonomiczny i niezależny, co oznacza, że spełnienie jednej z nich stanowi w danym przypadku o zgodności z prawem przetwarzania danych osobowych. Podkreślił, że zgoda osoby, której dane dotyczą nie jest jedyną podstawą uprawniającą do przetwarzania jej danych osobowych (lit. a). Proces przetwarzania danych będzie zgodny z przepisami ustawy również wtedy, gdy administrator danych wykaże spełnienie choćby jednej przesłanki z wspomnianego art. 6 ust. 1 RODO, w tym, gdy przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem (lit. f).
Co do zasady, jak stwierdził organ, podstawą prawną przetwarzania danych osobowych klientów przez Bank w BIK jest obecnie art. 6 ust. 1 lit. f RODO,
tj. przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora. Przetwarzanie danych osobowych klientów Banku przez BIK odbywa się zgodnie z art. 28 ust. 3 RODO, tj. na podstawie zawartej z Bankiem będącym administratorem umowy powierzenia przetwarzania danych osobowych.
Organ wskazał, że BIK jest instytucją utworzoną na podstawie art. 105 ust. 4 ustawy - Prawo bankowe, który stanowi, że banki mogą, wspólnie z bankowymi izbami gospodarczymi, utworzyć instytucje upoważnione do gromadzenia, przetwarzania i udostępniania bankom informacji stanowiących tajemnicę bankową
w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013, innym instytucjom ustawowo upoważnionym do udzielania kredytów informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są niezbędne
w związku - z udzielaniem kredytów, pożyczek pieniężnych, gwarancji bankowych
i poręczeń (pkt 2), instytucjom kredytowym informacji stanowiących tajemnicę bankową w zakresie niezbędnym do oceny zdolności kredytowej konsumenta,
o której mowa w art. 9 ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim (pkt 3), instytucjom pożyczkowym i podmiotom, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim na zasadzie wzajemności, informacji stanowiących odpowiednio tajemnice bankową oraz informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, w zakresie niezbędnym do oceny zdolności kredytowej konsumenta, o której mowa w art. 9 tej ustawy, i analizy ryzyka kredytowego (pkt 4).
Prezes UODO przywołał treść przepisów art. 105a ust. 1, ust. 3, ust. 4 ustawy - Prawo bankowe, stwierdzając, że choć zobowiązanie uczestniczki, wynikające
z umowy o kredyt na zakup towarów i usług nr [...] z [...] grudnia 2015 r. oraz umowy o przyznanie limitu kredytowego i wydania karty Comfort
nr [...] z [...] kwietnia 2016 r. wobec Banku wygasło, to jak wynika ze zgromadzonego materiału dowodowego odnośnie do spłaty zadłużenia, uczestniczka dopuściła się zwłoki trwającej dłużej niż 60 dni w przypadku ww. zobowiązania. Zdaniem organu istotnym jednakże w niniejszej sprawie jest to, że Bank nie spełnił wobec niej obowiązku określonego w art. 105a pkt 3 ustawy - Prawo bankowe, tj. nie poinformował ją skutecznie o zamiarze przetwarzania dotyczących jej informacji stanowiących tajemnicę bankową, bez jej zgody po wygaśnięciu zobowiązania wynikającego z przedmiotowej umowy.
Prezes UODO stwierdził, że sam fakt, iż uczestniczka nie wykonała zobowiązania lub spóźniła się z jego wykonaniem co najmniej 60 dni, nie upoważnia Banku do przetwarzania jej danych na warunkach określonych w art. 105a ust. 3 ww. ustawy. Moment, od którego należy liczyć sześćdziesięciodniowy termin, w którym konsument dopuszcza się zwłoki w wykonaniu zobowiązania, to termin wykonania zobowiązania. Dopiero po upływie 60 dni zaczyna biec termin 30 dni, w którym instytucja oczekuje jeszcze na wykonanie zobowiązania klienta. Termin 30 dni biegnie od momentu, w którym konsument zostanie skutecznie poinformowany przez instytucję o zamiarze przetwarzania. Ostatecznie to bezskuteczny upływ 30 dni od momentu poinformowania stanowi wypełnienie przesłanek z art. 105a ust. 3 ustawy - Prawo bankowe.
Zdaniem organu z powyższego wynika, że Bank przetwarzając dane uczestniczki na warunkach określonych w ww. przepisie, musi wykazać, że została ona poinformowana o zamiarze przetwarzania ich bez jej zgody. W niniejszej sprawie uczestniczka podniosła natomiast, że okoliczności wskazywane w art. 105a ust. 3 ustawy - Prawo bankowe nie zostały spełnione w związku z czym Bank nie jest uprawniony do przetwarzania jej danych osobowych w BIK. Bank podniósł natomiast, że ww. przesłanki, w tym poinformowanie uczestniczki o okolicznościach wskazanych w art. 105a ust. 3 ww. ustawy zostały spełnione. Jak podał organ, brak jest innych dowodów wskazujących na prawidłowe i skuteczne poinformowanie uczestniczki o treści art. 105a ust. 3 ustawy - Prawo bankowe niż oświadczenie Banku, pozostającego w sprzeczności z twierdzeniami uczestniczki.
W ocenie organu Bank nie przedstawił dowodu na prawidłowe doręczenie uczestniczce dokumentu, w treści którego zawarta była informacja o okolicznościach wskazanych w art. 105a ust. 3 ustawy - Prawo bankowe, zatem okoliczność skutecznego poinformowania uczestniczki o treści art. 105a ust. 3 ww. ustawy nie może zostać uznana za udowodnioną. Dodatkowo organ podkreślił, że sporządzenie i wysłanie ww. pisma, nie jest równoznaczne z udowodnieniem jego prawidłowego doręczenia, skutkującego poinformowaniem o zamiarze przetwarzania danych stanowiących tajemnicę bankową, bez zgody uczestniczki na podstawie art. 105a ust. 3 tej ustawy. Samo bowiem oświadczenie o wysłaniu korespondencji
i przedstawienie jej kopii nie stanowi dowodu na jej dostarczenie lub poinformowanie o jej treści adresata. W tym miejscu Prezes UODO wskazał, że przepisy powszechnie obowiązujące nie formułują obowiązku wysłania informacji, o której mowa w art. 105a ust. 3 w szczególnej formie. To do podmiotu informującego należy zatem wybór formy przekazania odbiorcy komunikatu, o zamiarze przetwarzania danych osobowych bez jej zgody. Jednocześnie to podmiot informujący wywodzi
z powyższego skutki prawne, zatem to on musi wykazać, że poinformował uczestniczkę o zamiarze przetwarzania danych stanowiących tajemnicę bankową, bez jej zgody na podstawie art. 105a ust. 3 ustawy - Prawo bankowe.
Jak wskazał Prezes UODO, powyższe stanowisko organu znajduje oparcie
w wyroku Wojewódzkiego Sądu Administracyjnego z dnia 15 marca 2017 r., sygn. akt II SA/Wa 1695/16, zgodnie z którym, jeśli oświadczenie zostało posłane adresatowi listem albo innym sposobem porozumiewania się na odległość, składający powinien wykazać na przykład za pomocą zwrotnego poświadczenia odbioru, że list (telegram) został adresatowi doręczony. Powstały dowód nadania listu poleconego nie jest dowodem doręczenia go adresatowi.
Prezes UODO podzielił ponadto stanowisko Naczelnego Sądu Administracyjnego odnoszące się do analogicznej do art. 6 ust. 1 lit. f RODO przesłanki wynikającej z art. 23 ust. 1 pkt 5 ustawy z dnia 29 sierpnia 1997 r.
o ochronie danych osobowych (Dz.U. 2016 r. poz. 922 ze zm.), dotyczącej dopuszczalności przetwarzania danych osobowych dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, gdy przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Sąd ten w wyroku z dnia 6 marca 2019 r. w sprawie sygn. I OSK 994/17 (LEX nr 2670498) orzekł, cyt.: "Przepis art. 23 ust. 1 pkt 5 u.o.d.o. zezwala na przetwarzanie danych gdy jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Dokonując wykładni tego przepisu należy zatem zwrócić uwagę, że stosowanie ww. przepisu wymaga wykazania, że chodzi o realizowanie prawnie usprawiedliwionego celu, ale także dokonanie oceny czy dla realizacji tego celu niezbędne jest przekazanie danych, pomimo braku zgody osoby której dane te dotyczą. Ocena ta sprowadza się do wyważania racji i interesów osoby, której danych sprawa dotyczy, a która jest objęta ochroną prawną, a z drugiej administratora danych, również chronionego przez prawo w zakresie w jakim może realizować prawnie usprawiedliwione cele i uprawnienia."
W opinii Prezesa UODO zebrany w niniejszym postępowaniu materiał dowodowy nie wykazał, aby uczestniczka wystąpiła z jakimkolwiek roszczeniem wobec Banku, które uzasadniałoby uprawnienie Banku do zachowania
i przetwarzania jej danych osobowych dla celów dowodowych w związku
z dochodzeniem przez nią roszczenia. W ocenie Prezesa UODO brak jest zatem spełnienia wskazywanej przez Bank przesłanki niezbędności do celów wynikających z prawnie usprawiedliwionych interesów realizowanych przez administratora odnośnie do przetwarzania danych osobowych uczestniczki. Przesłanka z art. 6 ust 1 lit. f RODO dotyczy sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia, potrzeba dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem. W związku z tym, że przeprowadzone przez organ postępowanie administracyjne nie wykazało, aby uczestniczka skierowała wobec Banku jakiekolwiek roszczenie, Prezes UODO stwierdził, iż Bank przetwarza dane osobowe uczestniczki w ww. celu wyłącznie "na zapas", aby zabezpieczyć się przed ewentualnym przyszłymi i niepewnymi jego roszczeniami.
Organ podkreślił, że przy przyjęciu odmiennej interpretacji ww. przepisów, uczestniczka pozbawiona byłaby ochrony na gruncie RODO oraz ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych. Zaznaczył, że przyjęcie za prawidłowe stanowiska, iż przetwarzanie danych osobowych w celu uchylenia się od negatywnych skutków w przypadku zgłoszenia w przyszłości ewentualnego
i nieokreślonego roszczenia, stanowi prawnie usprawiedliwiony cel w rozumieniu art. 6 ust. 1 lit. f RODO, oznaczałoby, że dane osobowe uczestniczki mogą być przetwarzane przez Bank permanentnie, bez konieczności ich usunięcia. Organ zwrócił uwagę, że teoretycznie możliwym jest przecież by uczestniczka zwróciła się do Banku z roszczeniem po upływie terminu jego przedawnienia. Prowadziłoby to tym samym do uznania, że przetwarzanie danych osobowych uczestniczki przez Bank ma uzasadnienie w przesłance określonej art. 6 ust. 1 lit. f RODO w celu realizacji prawa do obrony przed ewentualnym roszczeniem również po upływie ww. terminu.
Podzielając powyższe rozważania Prezes UODO podkreślił, że w niniejszej sprawie nie zostały spełnione przesłanki z art. 105a ust. 3 ustawy - Prawo bankowe, zgodnie z którym Bank może przetwarzać informacje stanowiące tajemnicę bankową dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy bez ich zgody w celu oceny zdolności kredytowej i analizy ryzyka kredytowego, jak również brak jest sporu toczącego się pomiędzy uczestniczką a Bankiem, a więc celu uzasadniającego przetwarzanie ww. danych osobowych, w oparciu o ww. podstawę prawną w powyższych celach. W konsekwencji organ korzystając z uprawnienia przewidzianego w art. 58 ust. 2 lit. c RODO, nakazał Bankowi zaprzestanie przetwarzania na podstawie art. 105a ust. 3 ustawy - Prawo bankowe danych osobowych uczestniczki w BIK w celu oceny zdolności kredytowej i analizy ryzyka kredytowego oraz zaprzestanie przetwarzania jej danych osobowych dotyczących wskazanych powyżej umów w celu obrony przed ewentualnymi roszczeniami uczestniczki.
Skarżąca Spółka, reprezentowana przez radcę prawnego, wywiodła
do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na wskazaną
na wstępie decyzję Prezesa UODO, zarzucając naruszenie następujących przepisów, a mianowicie:
1) art. 105a ust. 3 ustawy z dnia 29 sierpnia 1997 r. - Prawo bankowe (t.j. Dz.U.
z 2020 r. poz. 1896 ze zm.; dalej jako: PB) poprzez jego błędną wykładnię, skutkującą przyjęciem, że wykonanie obowiązku informacyjnego, o którym mowa
w powołanym przepisie, polega na skutecznym doręczeniu osobie fizycznej, po wygaśnięciu jej zobowiązania wynikającego z umowy zawartej z bankiem, informacji o zamiarze przetwarzania jej danych osobowych bez jej zgody, podczas gdy prawidłowa interpretacja tego przepisu prowadzi do wniosku, iż "poinformowanie" oznacza rzeczywiste umożliwienie zapoznania się z treścią wyżej wymienionej informacji;
2) art. 6 ust. 1 lit. f rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016r. w sprawie ochrony osób fizycznych w związku
z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119; dalej jako: RODO)
w związku z art. 105a ust. 3 PB - poprzez jego błędną wykładnię, skutkującą przyjęciem, że przetwarzanie danych osobowych uczestniczki postępowania przez okres przedawnienia roszczeń Banku wobec uczestniczki postępowania, nie stanowi prawnie uzasadnionego interesu administratora, podczas gdy prawidłowa interpretacja tego przepisu prowadzi do wniosku, iż takie przetwarzanie jest dopuszczalne przez okres przedawnienia roszczeń wynikający z art. 118 ustawy
z dnia z dnia 23 kwietnia 1964 r. - Kodeks cywilny (t.j. z Dz.U. z 2020 r. poz. 1740, dalej jako: KC) w zakresie uzasadnionym celem takiego przetwarzania;
3) art. 6, art. 7, art. 8 § 1 i 2, art. 77 § 1, art. 80 oraz art. 107 § 3 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (t.j. Dz.U. z 2021 r. poz. 735 ze zm.; dalej jako: KPA) w zw. z art. 7 ust. 1 u.o.d.o., polegające na niezastosowaniu zasad ogólnych postępowania administracyjnego: praworządności, prawdy obiektywnej i pogłębiania zaufania do władzy publicznej oraz przekroczeniu granic swobodnej oceny dowodów, a w konsekwencji błędnym przyjęciu, że potwierdzenie nadania pisma listem poleconym nie stanowi dowodu poinformowania uczestniczki postępowania o zamiarze przetwarzania jej danych osobowych bez jej zgody, w oparciu o w art. 105a ust. 3 PB, podczas gdy jest to dokument mający moc dokumentu urzędowego, stanowiący dostateczny dowód przekazania informacji zgodnie z wymogami art. 105a ust. 3 PB.
Mając na uwadze powyższe zarzuty skarżąca Spółka wniosła o uchylenie decyzji Prezesa UODO w całości, zasądzenie od Prezesa UODO na rzecz skarżącej kosztów postępowania, w tym kosztów zastępstwa prawnego, według norm przepisanych. Jednocześnie wniosła o zobowiązanie organu do wydania decyzji oddalającej skargę uczestniczki postępowania o zaprzestanie przetwarzania
jej danych osobowych w terminie wyznaczonym przez Sąd oraz wstrzymanie wykonania zaskarżonej decyzji ze względu na niebezpieczeństwo spowodowania trudnych do odwrócenia skutków.
Jak wskazała skarżąca, okolicznością prawidłowo ustaloną przez organ (bezsporną) jest fakt dopuszczenia się przez uczestniczkę zwłoki trwającej dłużej niż 60 dni w spełnieniu świadczeń wynikających z ww. umów.
Zdaniem skarżącej analiza treści art. 105a ust. 3 PB prowadzi do wniosku, że trzydziestodniowy termin, po upływie którego jest możliwe przetwarzanie danych osobowych osoby, która dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, bez jej zgody, biegnie od momentu, gdy osoba ta została poinformowana przez bank o takim zamiarze. Skarżąca podkreśliła, że ustawodawca nie określił żadnych szczególnych wymogów formalnych, co do sposobu i treści takiego poinformowania. Nie ulega wątpliwości, że w każdym wypadku sposób ten powinien dawać sposobność potwierdzenia, że adresatowi umożliwiono zapoznanie się z informacją (por. wyrok Naczelnego Sądu Administracyjnego z dnia 27 października 2017 r., sygn. akt I OSK 3362/15, Legalis nr 1755324).
Skarżąca podniosła, że celem art. 105a ust. 3 PB nie jest więc ochrona nierzetelnego dłużnika, a ochrona sektora bankowego, a tym samym uczciwych kredytobiorców, przed zaciąganiem kredytów lub pożyczek przez osoby, które swoich zobowiązań nie regulują lub regulują je ze znacznym opóźnieniem. Przyjęcie wykładni art. 105a ust. 3 PB zaproponowanej przez organ prowadziłoby do istotnych nadużyć po stronie nierzetelnych dłużników i wypaczałoby sens regulacji, dając osobom niewywiązującym się ze swoich zobowiązań możliwość unikania ujawnienia informacji o nich w BIK poprzez proste uchylanie się od odbioru korespondencji. Dłużnicy tacy mogliby każdorazowo zarzucać, że nie mogli zapoznać się z treścią pisma, jeśli zwrotne potwierdzenie odbioru nie zostałoby podpisane przez daną osobę osobiście. Skarżąca zwróciła uwagę, że nadanie listu poleconego (przesyłki rejestrowanej) obejmującego oświadczenie woli pozwala przyjąć w drodze domniemania faktycznego, że jego adresat mógł zapoznać się z jego treścią (por. wyrok SN z 17.3.2010 r., II CSK 454/09, OSN 2010, Nr 10, poz. 142).
Skarżąca stanęła na stanowisku, że wysyłając list polecony z informacją
o zamiarze przetwarzania danych osobowych dotyczących Pani A. J., Bank umożliwił jej zapoznanie się z tymi informacjami. W konsekwencji - po upływie trzydziestu dni - Bank mógł przetwarzać dane osobowe uczestniczki, bez jej zgody,
w tym poprzez ich przekazanie do BIK, gdyż doszło do wymaganego przepisem art. 105a ust. 3 PB "poinformowania" podmiotu danych.
W ocenie skarżącej przyjęcie, zgodnie z którym przesłanka z art. 6 ust. 1 lit. f RODO dotyczy wyłącznie sytuacji sporu już istniejącego, gdy celem wynikającym
z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia określonych okoliczności w zawisłym już sporze, prowadziłoby do wniosku, że administrator, niezwłocznie po wykonaniu umowy (spełnieniu świadczenia wynikającego z danego stosunku prawnego), powinien usuwać dane osobowe. Takie podejście nie bierze w ogóle pod uwagę m.in. terminów rękojmi (które wynikają z ustawy, podobnie jak terminy przedawnienia) oraz faktu, że w obrocie gospodarczym administrator musi liczyć się z tym, że przez okres przedawnienia roszczeń jego kontrahent może zgłosić roszczenia wynikające
np. z wad fizycznych lub prawnych przedmiotu świadczenia lub nienależytego wykonania zobowiązania, gdy skutki tego nienależytego wykonania ujawnią się dopiero po jakimś czasie od "zakończenia" umowy. W konsekwencji skarżąca nie zgodziła się z Prezesem UODO, żeby możliwość powołania się na art. 6 ust. 1 lit. f RODO jako podstawy przetwarzania danych osobowych uczestniczki zaktualizowała się jedynie w sytuacji, kiedy uczestniczka podniosłaby już roszczenie przeciwko Bankowi.
W opinii skarżącej przetwarzanie danych osobowych uczestniczki przez okres przedawnienia roszczeń Banku wobec uczestniczki i uczestniczki wobec Banku jest prawnie uzasadnione. W tym czasie bowiem każda ze stron może zgłosić, a przede wszystkim - skutecznie dochodzić przed sadem - roszczeń z wyżej wymienionych umów. Nie jest to - jak twierdzi organ - przetwarzanie na zapas.
Skarżąca podkreśliła również, że potwierdzenie nadania przesyłki rejestrowanej wydane przez placówkę pocztową operatora wyznaczonego ma moc dokumentu urzędowego, zatem przedłożony przez Bank dowód w postaci odpisu
z pocztowej książki nadawczej jednoznacznie wskazują na spełnienie przez Bank obowiązku informacyjnego, o którym mowa w art. 105a ust. 3 PB.
W odpowiedzi na skargę Prezes UODO wniósł o jej oddalenie, odnosząc się do postawionych w niej zarzutów.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje.
Zgodnie z art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (t.j. Dz.U. z 2021 r., poz. 137), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej, przy czym kontrola ta sprawowana jest pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej.
W świetle powołanych przepisów cyt. ustawy, Wojewódzki Sąd Administracyjny w Warszawie, w zakresie swojej właściwości, ocenia zaskarżoną decyzję administracyjną, postanowienie, czy też inny akt lub czynność z zakresu administracji publicznej dotyczącą uprawnień lub obowiązków wynikających
z przepisów prawa, z punktu widzenia ich zgodności z prawem materialnym
i przepisami postępowania administracyjnego, według stanu faktycznego i prawnego obowiązującego w dacie wydania tego aktu lub podjęcia spornej czynności. Chodzi więc o kontrolę aktów lub czynności z zakresu administracji publicznej dokonywaną wyłącznie pod względem ich zgodności z prawem materialnym i przepisami procesowymi, nie zaś według kryteriów słuszności, czy też zgodności z zasadami współżycia społecznego.
Ponadto, co wymaga podkreślenia, Sąd rozstrzyga w granicach danej sprawy, nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną (vide: art. 134 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi – t.j. Dz.U. z 2022 r., poz. 329 ze zm. - dalej p.p.s.a.).
Zasadniczy spór w niniejszej sprawie sprowadza się do uznania skuteczności poinformowania uczestniczki o zamiarze przetwarzania przez Bank należących
do niej danych osobowych bez jej zgody. Jak wynika z poczynionych przez organ ustaleń, mających swoje potwierdzenie w zebranym materiale dowodowym
i przytoczonych w części historycznej niniejszego uzasadnienia, uczestniczka podniosła, że okoliczności wskazywane w art. 105a ust. 3 ustawy - Prawo bankowe nie zostały spełnione w związku z czym Bank nie jest uprawniony do przetwarzania jej danych osobowych w BIK. Bank podniósł natomiast, że ww. przesłanki, w tym poinformowanie uczestniczki o okolicznościach wskazanych w art. 105a ust. 3 ww. ustawy zostały spełnione. Z kolei jak wskazał organ, brak jest innych dowodów wskazujących na prawidłowe i skuteczne poinformowanie uczestniczki o treści
art. 105a ust. 3 ustawy - Prawo bankowe niż oświadczenie Banku, pozostające
w sprzeczności z twierdzeniami uczestniczki.
Przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów oraz instytucje utworzone na podstawie art. 105 ust. 4 ustawy - Prawo bankowe, informacji stanowiących tajemnicę bankową w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem art. 104, art. 105 i art. 106-106c tej ustawy, w celu oceny zdolności kredytowej i analizy ryzyka kredytowego.
Wspomniane instytucje mogą, z zastrzeżeniami wyraźnie ustalonymi
w ustawie - Prawo bankowe, przetwarzać informacje stanowiące tajemnicę bankową w zakresie dotyczącym osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną
do udzielania kredytów, pod warunkiem uzyskania pisemnej zgody osoby, której informacje te dotyczą. Zgoda ta może być w każdym czasie odwołana.
Dopuszczalność przetwarzania informacji stanowiących tajemnicę bankową przez instytucje utworzone na podstawie art. 105 ust. 4 ustawy - Prawo bankowe
po wygaśnięciu zobowiązania wynikającego z umowy, bez zgody osoby, której informacje takie dotyczą, wprowadziła regulacja zawarta w art. 105a ust. 3 ww. ustawy. Zgodnie z tym przepisem banki, instytucje ustawowo upoważnione do udzielania kredytów oraz instytucje utworzone na podstawie art. 105 ust. 4 Prawa bankowego mogą przetwarzać informacje stanowiące tajemnicę bankową, dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej
z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank lub inną instytucję ustawowo upoważnioną do udzielania kredytów o zamiarze przetwarzania dotyczących jej informacji stanowiących tajemnicę bankową, bez jej zgody.
Należy podkreślić, że jeśli w okresie 30 dni od powiadomienia o zamiarze przetwarzania informacji jego dotyczących bez zgody po wygaśnięciu zobowiązania klient spłacił całą zaległość wobec banku, to po upływie 30 dnia bank i inna instytucja upoważniona do udzielania kredytów oraz instytucja z art. 105 ust. 4 ustawy nie mogą przetwarzać informacji bez jego zgody. Termin trzydziestodniowy został bowiem wprowadzony w celu zapewnienia konsumentowi ostatecznej możliwości wywiązania się z zobowiązań wobec banku i uniknięcia tym samym sankcji w postaci przetwarzania o nim informacji jako o niesolidnym dłużniku przez okres 5 lat.
Przechodząc do analizy przepisu art. 105a ust. 3 ustawy - Prawo bankowe, należy wyraźnie podkreślić, iż ustawodawca nie stworzył żadnych szczególnych wymogów formalnych, co do sposobu i treści poinformowania klienta lub byłego klienta banku o zamiarze przetwarzania jego danych. Nie oznacza to jednak całkowitej dowolności w tym zakresie. Jakkolwiek ustawodawca w żaden sposób nie ograniczył sposobów i form takiego powiadomienia, jednakże w każdym wypadku sposób ten powinien umożliwić zweryfikowanie faktu poinformowania klienta banku
o zamierzonym przetwarzaniu jego danych osobowych lub też przynajmniej potwierdzenie, że klientowi umożliwiono zapoznanie się z taką informacją (por. wyrok NSA z dnia 27 sierpnia 2019 r., I OSK 2514/17, dostępny w CBOSA).
Zdaniem Sądu prawidłowa wykładnia zawartego w art. 105a ust. 3 ustawy - Prawo bankowe zwrotu "poinformowania tej osoby" winna uwzględnić nie tylko treść normy zawartej w art. 61 § 1 Kodeksu cywilnego, ale także tę część normy zawartej w art. 105a ust. 3 ustawy - Prawo bankowe, która ustanawia dodatkowy trzydziestodniowy termin na wykonanie zobowiązania. W literaturze przedmiotu podkreśla się bowiem, iż: "Sam fakt, że klient nie wykonał zobowiązania lub spóźnił się z jego wykonaniem co najmniej 60 dni, nie upoważnia instytucji do przetwarzania jego danych. Musi bowiem zostać poinformowany o możliwości przetwarzania jego danych bez uzyskania od niego zgody. Dopiero bezskuteczny upływ 30 dni od momentu poinformowania stanowi wypełnienie przesłanek z art. 105a ust. 3 [pr. bank.]. W przypadku, gdy konsument spełni świadczenie w czasie tych 30 dni, instytucje tracą prawo do przetwarzania informacji bez jego uprzedniej zgody. [...]
Moment, od którego należy liczyć sześćdziesięciodniowy termin, w którym konsument dopuszcza się zwłoki w wykonaniu zobowiązania, to termin wykonania zobowiązania. Dopiero po upływie 60 dni zaczyna biec trzydziestodniowy termin,
w którym instytucja jeszcze oczekuje na wykonanie zobowiązania klienta. Termin trzydziestodniowy nie biegnie jednak ex lege, a dopiero od momentu, w którym konsument zostanie poinformowany o zamiarze przetwarzania. Termin ten liczy się nie od momentu wysłania informacji, ale od chwili, w której konsument mógł się z nią zapoznać. Wydaje się, iż sama czynność poinformowania może nastąpić wcześniej niż po upływie 60 dni" (tak: Agnieszka Żygadło "Przetwarzanie informacji stanowiących tajemnicę bankową po wygaśnięciu zobowiązania", Pr. Bankowe 2006/4/83).
Wyjaśnienia wymaga, że konstrukcja przyjęta w art. 61 § 1 zdanie pierwsze k.c. odpowiada tzw. kwalifikowanej teorii doręczenia, która zadowala się dojściem oświadczenia woli do adresata w taki sposób, że miał on możliwość zapoznania się
z jego treścią (por. wyrok SN z 8 września 2016 r., sygn. akt II CSK 750/15, M. Pr. Bank. 2017/10, s. 21 i 35, z glosą T. Czecha oraz z omówieniem
M. Bączyka, M. Pr. Bank 2017/11, s. 58). To, czy rzeczywiście się z tym oświadczeniem zapoznał, co do zasady nie ma w kontekście art. 61 § 1 k.c. znaczenia (por. wyroki SN: z 18 listopada 1999 r., sygn. akt I PKN 375/99, OSNAPiUS 2001/7, poz. 227; z 20 maja 2015 r., sygn. akt I CSK 547/14, LEX nr 1767493 i z 22 marca 2017 r., sygn. akt III CSK 148/16, LEX nr 23552146 oraz przytoczona uchwała składu siedmiu sędziów SN z 31 marca 2016 r., III CZP 89/15; Z. Radwański [w:] System Prawa Prywatnego, t. 2, 2008, s. 292).
Rozwiązanie to wiąże się z pewnym zagrożeniem dla osoby, której oświadczenie woli jest składane, zakłada bowiem możliwość zaistnienia sytuacji,
w których oświadczenie to zostanie uznane za złożone, z czym częstokroć będą związane istotne skutki prawne, choć jego adresat nie wiedział o tym oświadczeniu albo nie znał jego treści.
Jak podkreśla się w literaturze przedmiotu, zagrożenie to jest akceptowalne przede wszystkim dlatego, że negatywne skutki teorii doręczenia mogą ujawnić się
w zasadzie tylko w ramach już istniejącego między stronami stosunku prawnego, ponieważ tylko wtedy jednostronne oświadczenia (czynności prawne) mogą oddziaływać niekorzystanie na sytuację prawną adresata oświadczenia woli.
Do powstania zaś tego stosunku zazwyczaj niezbędna jest zgoda adresata,
a wyrażając ją i przyznając w ten sposób – choćby mocą czynników innych niż treść samego oświadczenia (por. art. 56) – drugiej stronie możliwość jednostronnego oddziaływania na swą sytuacje prawną (np. wypowiedzenia umowy albo wysokości świadczenia, odstąpienia, przyjęcia oferty, wezwania do wykonania zobowiązania, wyboru świadczenia przemiennego), adresat musi liczyć się ze składaniem takich oświadczeń i nie może dysponować instrumentem, który w prosty sposób mógłby paraliżować ich skutki (np. stroniąc od zapoznania się z tym oświadczeniem). Dlatego faktyczne zapoznanie się z oświadczeniem przynależy już wyłącznie do prawnie irrelewantnej sfery wewnętrznej adresata oświadczenia (tak: Roman Trzaskowski w: "Kodeks cywilny. Komentarz Tom I. Część ogólna cz. 2 (art. 56-125)" pod red. Jacka Gudowskiego, Lex/el 2021, (cz.3 do art. 61).
W konsekwencji faktyczne zapoznanie się przez adresata z treścią oświadczenia Banku nie ma w kontekście art. 105a § 3 ustawy - Prawo bankowe
i art. 61 § 1 k.c. znaczenia, jako że należy już wyłącznie do prawnie irrelewantnej sfery wewnętrznej adresata oświadczenia. Jednakże, co istotne, poinformowanie adresata oświadczenia winno, z uwagi na wspomniany powyżej dodatkowy trzydziestodniowy termin na wykonanie zobowiązania, nastąpić w ten sposób, by można było ustalić początek biegu tego terminu. Dopiero bowiem bezskuteczny upływ owego trzydziestodniowego dodatkowego terminu upoważnia Bank do przetwarzania danych osobowych w oparciu o przepis art. 105a ust. 3 ustawy - Prawo bankowe.
Nie można wobec powyższego zaakceptować stanowiska skarżącej, że wysyłając list polecony z informacją o zamiarze przetwarzania danych osobowych Pani A. J., Bank umożliwił jej zapoznanie się z tym informacjami. Zatem
po upływie trzydziestu dni, Bank nie mógł przetwarzać danych osobowych uczestniczki, bez jej zgody, w tym poprzez ich przekazanie do BIK, gdyż na gruncie rozpatrywanej sprawy nie doszło do wymaganego przepisem art. 105a ust. 3 ustawy - Prawo bankowe "poinformowania" podmiotu danych.
Nadanie powiadomienia, o którym mowa w art. 105a ust. 3 ustawy - Prawo bankowe, listem poleconym nie pozwala – w okolicznościach niniejszej sprawy –
na ustalenie początku biegu wskazanego terminu. Skoro to Bank wywodzi skutki prawne z powiadomienia uczestniczki o zamiarze przetwarzania jej danych osobowych stanowiących tajemnicę bankową bez jej zgody, to musi wykazać, że bezskutecznie upłynęło 30 dni od daty poinformowania jej o tym zamiarze. Wykazanie tej okoliczności wymaga jednak – co oczywiste – wykazania początku biegu owego trzydziestodniowego terminu.
W rozpatrywanej sprawie nie ma możliwości ustalenia tej okoliczności,
co powoduje, iż brak jest podstaw do przyjęcia, że powiadomienie uczestniczki
o zamiarze przetwarzania jej danych osobowych wyczerpało wymogi art. 105a ust. 3 Prawa bankowego oraz że upłynął bezskutecznie dodatkowy trzydziestodniowy termin na spełnienie świadczenia. Bank nie przedstawił bowiem dowodu na prawidłowe doręczenie uczestniczce dokumentu, w treści którego zawarta była informacja o okolicznościach wskazanych w ww. przepisie, zatem okoliczność skutecznego poinformowania o treści art. 105a ust. 3 ustawy nie mogła zostać uznana za udowodnioną.
Wyjaśnić należy, że przepisy powszechnie obowiązujące nie formułują obowiązku wysłania informacji, o której mowa w art. 105a ust. 3 ustawy - Prawo bankowe w szczególnej formie. To do podmiotu informującego należy zatem wybór formy przekazania odbiorcy komunikatu o zamiarze przetwarzania danych osobowych bez jego zgody. Jednocześnie to podmiot informujący wywodzi
z powyższego skutki prawne, zatem to on musi wykazać, że poinformował stronę
o zamiarze przetwarzania danych stanowiących tajemnicę bankową, bez jej zgody na podstawie ww. przepisu.
Wojewódzki Sąd Administracyjny w Warszawie w wyroku z dnia 15 marca 2017 r., sygn. akt II SA/Wa 1695/16, stwierdził między innymi, tu cyt. "Jeśli więc oświadczenie zostało posłane adresatowi listem albo innym sposobem porozumiewania się na odległość, składający powinien wykazać np. za pomocą zwrotnego poświadczenia odbioru, że list (telegram) został adresatowi doręczony. Powstały dowód nadania listu poleconego nie jest wprawdzie dowodem doręczenia go adresatowi."
Ponadto wskazać należy, mając na uwadze zebrany w niniejszej sprawie materiał dowodowy, że uczestniczka nie wystąpiła z jakimkolwiek roszczeniem wobec Banku, które uzasadniałoby uprawnienie Banku do zachowania
i przetwarzania jej danych osobowych dla celów dowodowych w związku
z dochodzeniem przez nią roszczenia. Zatem brak jest wskazywanej przez Bank przesłanki niezbędności do celów wynikających z prawnie usprawiedliwionych interesów realizowanych przez administratora odnośnie do przetwarzania danych osobowych uczestniczki. Przesłanka z art. 6 ust 1 lit. f) RODO dotyczy sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia, potrzeba dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem.
W związku z tym, że przeprowadzone przez Prezesa UODO postępowanie administracyjne nie wykazało, aby uczestniczka skierowała wobec Banku jakiekolwiek roszczenie, należy stwierdzić, iż Bank przetwarzał dane osobowe uczestniczki w ww. celu wyłącznie, niejako "na zapas", aby zabezpieczyć się przed ewentualnymi przyszłymi i niepewnymi jego roszczeniami.
Innymi słowy, z uwagi na fakt, że Bank nie wskazał roszczenia, którego zaspokojenia domaga się od uczestniczki, jak również brak jest sporu toczącego się między nią a Bankiem dotyczącego stosunku zobowiązaniowego, Prezes UODO zasadnie przyjął, że brak jest celu uzasadniającego przetwarzanie ww. danych osobowych uczestniczki, w rozumieniu art. 6 ust. 1 lit. f) RODO. Wobec powyższego kontynuowanie do chwili wydania zaskarżonej decyzji przetwarzania danych osobowych uczestniczki w celu ustalenia, dochodzenia lub obrony przed ewentualnymi, przyszłymi i niepewnymi roszczeniami, prawidłowo uznano za zbędne i niezgodne zobowiązującymi przepisami o ochronie danych osobowych.
Reasumując stwierdzić należy, w rozpatrywanej sprawie nie zostały spełnione przesłanki z art. 105a ust. 3 ustawy - Prawo bankowe, zgodnie z którym Bank może przetwarzać informacje stanowiące tajemnicę bankową dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy bez ich zgody w celu oceny zdolności kredytowej i analizy ryzyka kredytowego, jak również brak jest sporu toczącego się pomiędzy uczestniczką a Bankiem, wobec czego brak jest celu uzasadniającego przetwarzanie ww. danych osobowych, w oparciu o ww. podstawę prawną w podanych przez organ celach. Dlatego też korzystając z uprawnienia przewidzianego w art. 58 ust. 2 lit. c) RODO, Prezes UODO zasadnie nakazał Bankowi zaprzestanie przetwarzania na podstawie art. 105a ust. 3 ww. ustawy danych osobowych uczestniczki w BIK w celu oceny zdolności kredytowej i analizy ryzyka kredytowego oraz zaprzestanie przetwarzania jej danych osobowych dotyczących umów nr [...] z dnia [...] grudnia 2015 r. oraz
nr [...] z dnia [...] kwietnia 2016 r. w celu obrony przed ewentualnymi roszczeniami uczestniczki.
Niejako ubocznie Sąd wskazuje, że błędne oznaczenie w sentencji zaskarżonej decyzji Prezesa UODO siedziby Banku – w W., zamiast prawidłowo we W. – nie ma wpływu na wynik sprawy bowiem nie ulega wątpliwości, że to Bank jest administratorem danych, których niezgodne z prawem przetwarzanie stało się przyczyną złożenia przez uczestniczkę skargi do Prezesa UODO.
Mając powyższe na uwadze, Sąd działając na podstawie art. 151 p.p.s.a. orzekł o oddaleniu skargi.
-----------------------
17