II SA/Wa 745/23

II SA/Wa 745/23 - Wyrok WSA w Warszawie
Data orzeczenia
2023-10-24
orzeczenie prawomocne
Data wpływu
2023-04-14
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Agnieszka Góra-Błaszczykowska /przewodniczący sprawozdawca/
Iwona Maciejuk
Joanna Kube
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę
Powołane przepisy
Dz.U. 2023 poz 1634
art. 151
Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi - t.j.
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Agnieszka Góra-Błaszczykowska (spr.), Sędzia WSA Joanna Kube, Sędzia WSA Iwona Maciejuk, , , po rozpoznaniu w trybie uproszczonym w dniu 24 października 2023 r. sprawy ze skargi [...] Bank S.A. z siedzibą we W. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] lutego 2023 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę
Uzasadnienie
Przedmiotem rozpoznania w niniejszej sprawie była skarga [....] Bank Spółka Akcyjna z siedzibą w W. na decyzję Prezesa Urzędu Ochrony Danych Osobowych znak [....] z dnia [....] lutego 2023 r. w przedmiocie przetwarzania danych osobowych.
Skarga została złożona w następującym stanie faktycznym sprawy:
M. M. (zwany dalej: wnioskodawca), wniósł do Prezesa Urzędu Ochrony Danych Osobowych (zwany dalej: PUODO, organ), skargę na nieprawidłowości w procesie przetwarzania jego danych osobowych przez [....] Bank Spółka Akcyjna z siedzibą w W. (zwany dalej: bank, skarżący), polegające na przetwarzaniu jego danych osobowych bez podstawy prawnej oraz udostępnieniu ich do Biura Informacji Kredytowej S.A. z siedzibą w Warszawie (zwany dalej: BIK), bez podstawy prawnej.
Decyzją z dnia [....] lutego 2023 r. Prezes UODO, działając na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2022 r. poz. 2000 ze. zm., zwana dalej: k.p.a.) w zw. z art. 7 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781, zwana dalej: u.o.d.o.), art. 6 ust. 1 oraz art. 58 ust. 2 lit. c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych), (Dz. Urz. UE L 119 z 04.05.2016, str. 1 oraz Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35, zwane dalej: rozporządzeniem 2016/679) w zw. z art. 105a ust. 3 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz. U. z 2022 r. poz. 2324, zwana dalej: u.p.b.), w pkt 1 – nakazał skarżącemu zaprzestania przetwarzania danych osobowych wnioskodawcy, dotyczących umowy pożyczki nr [...] z dnia 5 listopada 2013 r. w bazie BIK, przetwarzanych na podstawie art. 105a ust. 3 u.p.b. w celu oceny zdolności kredytowej i analizy ryzyka kredytowego; w pkt 2 – nakazał skarżącemu zaprzestania przetwarzania danych osobowych wnioskodawcy dotyczących umowy pożyczki nr [...] z dnia [...]listopada 2013 r. przetwarzanych w celu obrony przed ewentualnymi roszczeniami.
W uzasadnieniu podjętej decyzji organ wskazał na następujące ustalenia stanu faktycznego sprawy. Wnioskodawca wskazał, że bank nieprawidłowo przetwarza jego dane osobowe, nadto nie spełnił wymagań uprawniających go do rozpoczęcia przetwarzania jego danych osobowych w bazie BIK, w związku z umową pożyczki nr [...] z dnia [...] listopada 2013 r. zawartą przez wnioskodawcę z bankiem, ponieważ bank nie spełnił łącznie wszystkich warunków wynikających z art. 105a ust. 3 u.p.b., tzn. bank nigdy nie powiadomił wnioskodawcy o zamiarze przetwarzania jego danych osobowych bez jego zgody w bazie BIK. Wnioskodawca zawarł z bankiem w dniu [...] listopada 2013 r. umowę pożyczki, która została sprzedana w dniu [...] marca 2020 r. do Prokura Niestandaryzowany Sekurytyzacyjny Fundusz Inwestycyjny Zamknięty zarządzany przez [...] S.A. z siedzibą w W. (zwana dalej: [...]).
Bank wskazał, że dane osobowe wnioskodawcy zostały pozyskane w związku z zawartą umową pożyczki w celu: realizacji umowy pożyczki, wykonania obowiązków prawnych ciążących na banku oraz realizacji prawnie uzasadnionych interesów, polegających na dochodzeniu roszczeń lub obrony przed roszczeniami. Bank pozyskał dane osobowe wnioskodawcy niezbędne dla zawarcia umowy kredytowej, tj. dane identyfikacyjne, w tym: imię, nazwisko, PESEL, numer dowodu osobistego: dane adresowe (adres zameldowania oraz adres korespondencyjny), dane kontaktowe oraz informacje finansowe. Bank wskazał, że przetwarza dane wnioskodawcy, dotyczące umowy pożyczki z dnia [...] listopada 2013 r. na podstawie prawnie uzasadnionego interesu, tj. na podstawie art. 6 ust. 1 lit. f rozporządzenia 2016/679 w związku z art. 105a ust. 3 u.p.b. i wyjaśnił, że prawnie uzasadnionym interesem banku jest obrona przed ewentualnymi roszczeniami ze strony wnioskodawcy do czasu ich przedawnienia w zw. z art. 118 ustawy z dnia 23 kwietnia 1964 r. Kodeks cywilny (Dz.U. z 2020 r., poz. 1740 ze zm., zwana dalej: k.c.).
Natomiast podstawą przetwarzania danych w BIK jest w szczególności art. 105a ust. 3 u.p.b. Bank wyjaśnił, że przetwarzanie danych osobowych w związku z zawartą umową pożyczki oparte zostało na podstawie art. 105 ust. 4 u.p.b. i rozpoczęło się w dniu [...] listopada 2013 r. W oparciu o art. 105 ust. 4 u.p.b. informacje dotyczące zawartej umowy pożyczki, w tym dane osobowe, były cyklicznie aktualizowane przez bank w bazie [...] S.A. Wsady informacyjne zawierały m.in. identyfikacyjne dane osobowe, dane dotyczące kredytu, takie jak: data powstania, rodzaj kredytu, okres na jaki kredyt został udzielony, waluta kredytu, terminowość spłat, a także informacje o zadłużeniu, podjętej przez bank windykacji, czy egzekucji należności.
Bank wskazał, że w związku z cesją wierzytelności z umowy pożyczki została ona zamknięta w BIK w statusie – odzyskana w dniu [...] marca 2020 r. ze wskazaniem szczególnego statusu rachunku - dług sprzedany. Od tego momentu bank nie przekazuje do BIK nowych informacji dotyczących zobowiązania. Wskazał dalej, że przetwarzanie danych na podstawie art. 105a ust. 3 u.p.b. rozpoczęło się z chwilą zamknięcia umowy pożyczki, tj. w dniu [...]marca 2020 r. i w oparciu o art. 105a ust. 5 u.p.b. może być wykonywane przez BIK przez okres nie dłuższy niż 5 lat od dnia [...] marca 2020 r. Bank w swoich wyjaśnieniach podkreślił, iż poinformował wnioskodawcę pismem z dnia [...] marca 2016 r. o zamiarze przetwarzania jego danych osobowych, dotyczących umowy pożyczki w BIK, w trybie art. 105a ust. 3 u.p.b. i przedstawił potwierdzenie nadania pisma z ww. informacją do wnioskodawcy. Bank wyjaśnił, że przetwarzanie danych w trybie ww. przepisu w BIK rozpoczęło się [...] marca 2020 r. Wnioskodawca złożył w dniu [...] września 2020 r. wniosek do banku dotyczący zaprzestania przetwarzania jego danych osobowych w systemie BIK. W odpowiedzi na pismo wnioskodawcy, bank pismem z dnia [...] listopada 2020 r. wskazał podstawę przetwarzania danych osobowych wnioskodawcy.
BIK wyjaśnił, że pozyskał dane osobowe wnioskodawcy od banku na podstawie art. 105a ust. 1 i art. 105 ust. 4 u.p.b. oraz na podstawie łączącej bank i BIK umowy w sprawie gromadzenia, przetwarzania i udostępniania informacji w bazie [...] BIK "Kredytobiorcy" z dnia [...] sierpnia 2016 r. Przetwarzanie danych osobowych wnioskodawcy w systemie BIK odbywało się w zakresie dotyczącym zawartej pomiędzy wnioskodawcą a bankiem umowy pożyczki. Dane osobowe wnioskodawcy zostały wprowadzone do systemu BIK w dniu [...] grudnia 2013 r. Powyższy rachunek ma status rachunku zamkniętego i odzyskanego i przetwarzany jest w celu oceny zdolności kredytowej i analizy ryzyka kredytowego na podstawie art. 105a ust. 3 w zw. z art. 105 ust. 4 u.p.b. Zarówno wnioskodawca, jak i bank nie zwrócili się do BIK z wnioskiem o usunięcie danych osobowych wnioskodawcy. W dalszej korespondencji bank wskazał, iż zarówno bank, jak i wnioskodawca nie wnieśli jakichkolwiek roszczeń względem siebie.
Organ stwierdził, że przepisem uprawniającym administratorów danych do przetwarzania zwykłych danych osób fizycznych jest art. 6 ust. 1 rozporządzenia 2016/679, zgodnie z którym przetwarzanie danych jest dopuszczalne tylko wtedy, gdy spełniona jest jedna z przesłanek wskazanych w tym przepisie. Katalog przesłanek wymienionych w art. 6 ust. 1 rozporządzenia 2016/679 jest zamknięty. Każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny. Co do zasady podstawą prawną przetwarzania danych osobowych klientów przez bank w BIK może być obecnie art. 6 ust. 1 lit. f rozporządzenia 2016/679, gdy przetwarzanie to jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora. Przetwarzanie danych osobowych klientów banku w BIK odbywa się na podstawie zawartej z bankiem umowy.
Organ podał, że choć zobowiązanie wnioskodawcy wynikające z umowy pożyczki zawartej w dniu [...] listopada 2013 r. wobec banku wygasło w dniu [...]marca 2020 r., wobec sprzedaży wierzytelności wynikającej z ww. umowy do [...], to jak wynika ze zgromadzonego materiału dowodowego odnośnie spłaty zadłużenia, wnioskodawca dopuścił się zwłoki trwającej dłużej niż 60 dni w wykonaniu ww. zobowiązania. Istotnym jednakże w niniejszej sprawie jest to, że bank nie spełnił wobec niego obowiązku określonego w art. 105a ust. 3 u.p.b., tj. nie poinformował go skutecznie o zamiarze przetwarzania dotyczących jego informacji stanowiących tajemnicę bankową, bez jego zgody po wygaśnięciu zobowiązania wynikającego z przedmiotowej umowy. Stwierdził, że sam fakt, iż wnioskodawca nie wykonał zobowiązania lub spóźnił się z jego wykonaniem, co najmniej 60 dni, nie upoważnia banku do przetwarzania jego danych na warunkach określonych w art. 105a ust. 3 u.p.b.. Moment, od którego należy liczyć sześćdziesięciodniowy termin, w którym konsument dopuszcza się zwłoki w wykonaniu zobowiązania, to termin wykonania zobowiązania. Dopiero po upływie 60 dni zaczyna biec termin 30 dni, w którym instytucja oczekuje jeszcze na wykonanie zobowiązania klienta. Termin 30 dni biegnie od momentu, w którym osoba fizyczna zostanie skutecznie poinformowana przez instytucję o zamiarze przetwarzania. Ostatecznie to bezskuteczny upływ 30 dni od momentu poinformowania - a nie zaś jak twierdzi bank - nadania pisma z informacją – stanowi o wypełnieniu przesłanek z art. 105a ust. 3 u.p.b. Wobec wysłania oświadczenia o wypowiedzeniu przedmiotowej umowy wraz z informacją o zamiarze przetwarzania danych wnioskodawcy na podstawie art. 105a ust. 3 u.p.b. listem poleconym, nie można ustalić daty zapoznania się przez wnioskodawcę z przesłaną mu informacją, a tym samym niemożliwe jest ustalenie daty, od której płynie 30 dniowy termin określony ww. przepisie.
Organ wywiódł zatem, iż bank przetwarzając dane wnioskodawcy na warunkach określonych w ww. przepisie musi wykazać, że wnioskodawca został poinformowany o zamiarze przetwarzania jego danych bez jego zgody. W niniejszej sprawie wnioskodawca podniósł natomiast, że okoliczności wskazywane w art. 105a ust. 3 u.p.b. nie zostały spełnione, więc bank nie był uprawniony do przekazania jego danych osobowych do BIK. W sprawie brak jest innych dowodów wskazujących na prawidłowe i skuteczne poinformowanie wnioskodawcy o treści art. 105a ust. 3 u.p.b. niż oświadczenie banku, pozostające w sprzeczności z twierdzeniami wnioskodawcy. Bank nie przedstawił dowodu na prawidłowe doręczenie ww. dokumentu, w treści którego zawarta była informacja o okolicznościach wskazanych w art. 105a ust. 3 u.p.b., zatem okoliczność skutecznego poinformowania wnioskodawcy o treści art. 105a ust. 3 u.p.b. nie może zostać uznana za udowodnioną.
Organ podkreślił, że sporządzenie i wysłanie ww. pisma nie jest równoznaczne z udowodnieniem jego prawidłowego doręczenia, skutkującego poinformowaniem wnioskodawcy o zamiarze przetwarzania danych, stanowiących tajemnicę bankową, bez jego zgody na podstawie art. 105a ust. 3 u.p.b. Samo bowiem oświadczenie o wysłaniu korespondencji i przedstawienie jej kopii wraz z kopią potwierdzenia nadania tej korespondencji nie stanowi dowodu na jej dostarczenie lub poinformowanie o jej treści adresata. Przepisy powszechnie obowiązujące nie formułują obowiązku wysłania informacji, o której mowa w art. 105a ust. 3 u.p.b. w szczególnej formie. To do podmiotu informującego należy wybór formy przekazania odbiorcy, o zamiarze przetwarzania danych osobowych bez jego zgody. Jednocześnie to podmiot informujący wywodzi z powyższego skutki prawne, zatem to on musi wykazać, że poinformował wnioskodawcę o zamiarze przetwarzania danych stanowiących tajemnicę bankową, bez jego zgody na podstawie art. 105a ust. 3 u.p.b.
W konsekwencji organ ocenił, że w sprawie nie zostały spełnione przesłanki z art. 105a ust 3 u.p.b., zgodnie z którym bank może przetwarzać informacje, stanowiące tajemnicę bankową dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy bez ich zgody w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. W toku prowadzonego postępowania nadzorczego Prezes UODO nie stwierdził okoliczności uprawniających bank do przetwarzania danych osobowych wnioskodawcy w oparciu o ww. podstawę prawną w powyższym celu w BIK.
Organ wskazał dalej, iż zebrany w sprawie materiał dowodowy nie wykazał, aby wnioskodawca wystąpił z jakimkolwiek roszczeniem wobec banku, które uzasadniałoby uprawnienie banku do zachowania i przetwarzania jego danych osobowych, dotyczących umowy pożyczki dla celów dowodowych w związku z dochodzeniem przez wnioskodawcę tego roszczenia. Brak jest zatem spełnienia wskazywanej przez bank przesłanki niezbędności do celów wynikających z prawnie usprawiedliwionych interesów realizowanych przez administratora odnośnie przetwarzania danych osobowych wnioskodawcy. Przesłanka z art. 6 ust 1 lit. f rozporządzenia 2016/679 dotyczy sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia, potrzeba dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem.
W związku z tym stwierdził, iż bank przetwarza dane osobowe wnioskodawcy w ww. celu wyłącznie "na zapas", aby zabezpieczyć się przed ewentualnym przyszłymi i niepewnymi roszczeniami wnioskodawcy. Przyjęcie odmiennego stanowiska powodowałoby pozbawienie wnioskodawcy ochrony na gruncie rozporządzenia 2016/679 i ustawy o chronię danych osobowych i oznaczałoby, że dane osobowe wnioskodawcy mogą być przetwarzane przez bank permanentnie, bez konieczności ich usunięcia. Brak jest uzasadnienia dla przyjęcia, iż terminy dotyczące przedawnienia roszczeń wynikających ze stosunków zobowiązaniowych określają jednocześnie ramy czasowe, w których dane osobowe mogą być przetwarzane przez bank.
Zdaniem Prezesa UODO wobec stwierdzenia, że bank nie wskazał roszczenia, którego zaspokojenia domaga się od wnioskodawcy, jak również brak jest sporu toczącego się pomiędzy wnioskodawcą a bankiem, dotyczącego stosunku zobowiązaniowego, który wprawdzie łączył strony, ale wygasł, brak jest celu uzasadniającego przetwarzanie ww. danych osobowych wnioskodawcy, dotyczących umowy pożyczki nr [...] z dnia [...] listopada 2013 r., w oparciu o art. 6 ust. 1 lit. f rozporządzenia 2016/679. Zatem kontynuowanie do chwili obecnej przetwarzania danych osobowych wnioskodawcy, dotyczących umowy pożyczki w celu ustalenia, dochodzenia lub obrony przed ewentualnymi, przyszłymi i niepewnymi roszczeniami, należy uznać za zbędne i niezgodne z obowiązującymi przepisami o ochronie danych osobowych. W związku z powyższym organ nakazał bankowi zaprzestanie przetwarzania danych osobowych wnioskodawcy, dotyczących umowy pożyczki w ww. celu.
Wobec faktu, że postępowanie administracyjne prowadzone przez organ nadzoru w każdym przypadku służy zbadaniu zasadności skierowania pod adresem określonego podmiotu nakazu, odpowiadającego dyspozycji art. 58 ust. 2 rozporządzenia 2016/679, służącego przywróceniu stanu zgodnego z prawem w procesie przetwarzania danych, Prezes UODO na podstawie art. 58 ust. 2 lit. c rozporządzenia 2016/679, nakazał ponadto bankowi zaprzestanie przetwarzania na podstawie art. 105a ust. 3 u.p.b. danych osobowych wnioskodawcy, dotyczących umowy pożyczki w BIK w celu oceny zdolności kredytowej i analizy ryzyka kredytowego.
W skardze do sądu administracyjnego skarżący, reprezentowany przez profesjonalnego pełnomocnika, zaskarżył ww. decyzję w całości. Skarżący wniósł o uchylenie zaskarżonej decyzji oraz zasądzenie zwrotu kosztów postępowania. Wydanej decyzji skarżący zarzucił naruszenie:
1. przepisów postępowania, mające istotny wpływ na wynik sprawy - art. 6, art. 7, art. 8 § 1 i 2, art. 77 § 1, art. 80 oraz art. 107 § 3 k.p.a. w zw. z art. 7 ust. 1 u.o.d.o., polegające na niezastosowaniu zasad ogólnych postępowania administracyjnego: praworządności, prawdy obiektywnej i pogłębiania zaufania do władzy publicznej oraz przekroczeniu granic swobodnej oceny dowodów, a w konsekwencji błędnym przyjęciu, że potwierdzenie nadania pisma listem poleconym nie stanowi dowodu poinformowania uczestnika postępowania o zamiarze przetwarzania jego danych osobowych bez jego zgody, w oparciu o w art. 105a ust. 3 u.p.b., podczas gdy jest to dokument mający moc dokumentu urzędowego, stanowiący dostateczny dowód przekazania informacji zgodnie z wymogami art. 105a ust. 3 u.p.b.;
2. przepisów prawa materialnego, które miało wpływ na wynik sprawy - art. 105a ust. 3 u.p.b. poprzez jego błędną wykładnię, skutkującą przyjęciem, że wykonanie obowiązku informacyjnego, o którym mowa w powołanym przepisie, polega na skutecznym doręczeniu osobie fizycznej, po wygaśnięciu jej zobowiązania wynikającego z umowy zawartej z bankiem, informacji o zamiarze przetwarzania jej danych osobowych bez jej zgody, podczas gdy prawidłowa interpretacja tego przepisu prowadzi do wniosku, iż "poinformowanie" oznacza rzeczywiste umożliwienie zapoznania się z treścią wyżej wymienionej informacji.
Uzasadniając złożoną skargę skarżący szczegółowo uzasadnił ww. zarzuty.
W odpowiedzi na skargę organ wniósł o jej oddalenie, podnosząc argumentację tożsamą z zaprezentowaną w zaskarżonej decyzji.
Wojewódzki Sąd Administracyjny w Warszawie, zważył co następuje:
Stosownie do treści art. 3 § 1 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2023 r. poz. 1634, zwana dalej: p.p.s.a.), sądy administracyjne sprawują kontrolę działalności administracji publicznej i stosują środki określone w ustawie. Oznacza to, iż sąd rozpoznając skargę ocenia, czy zaskarżona decyzja nie narusza przepisów prawa materialnego bądź przepisów postępowania administracyjnego. Zgodnie z art. 134 p.p.s.a. Sąd rozstrzyga w granicach danej sprawy, nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną w niej podstawą prawną. Uwzględnienie skargi następuje w przypadku stwierdzenia naruszenia przez Sąd przepisów prawa, wskazanego w art. 145 § 1 pkt 1 p.p.s.a. Zgodnie z art. 135 p.p.s.a. orzekanie następuje w granicach sprawy, w której wydano zaskarżoną decyzję i odbywa się z uwzględnieniem wówczas obowiązujących przepisów prawa.
Problem prawny sprowadzał się do oceny, czy prawidłowo organ uznał, że skarżący nie wykazał spełnienia wobec wnioskodawcy przesłanek informacyjnych z art. 105a ust. 3 u.p.b.
Przepis art. 105a ust. 3 p.b. stanowi, że banki, instytucje oraz podmioty, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową i informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu, świadczenia wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa wart. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank, inną instytucję ustawowo upoważnioną do udzielania kredytów, instytucję pożyczkową albo podmiot, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, o zamiarze przetwarzania dotyczących jej informacji, bez jej zgody.
Zdaniem Sądu, organ prawidłowo przyjął, że SKOK nie spełnił wobec wnioskodawcy obowiązku, określonego w art. 105a pkt 3 p.b., tj. nie poinformował skutecznie wnioskodawcy o zamiarze przetwarzania dotyczących go informacji stanowiących tajemnicę bankową, bez jego zgody, po wygaśnięciu zobowiązania wynikającego z ww. umowy. Sam fakt, iż wnioskodawca nie wykonał zobowiązania lub spóźnił się z jego wykonaniem co najmniej 60 dni, nie upoważnia bowiem do przetwarzania jego danych na warunkach określonych w art. 105a ust. 3 u.p.b.
W orzecznictwie tutejszego Sądu konsekwentnie przyjmuje się, że prawidłowa wykładnia zawartego w art. 105a ust. 3 p.b. zwrotu "poinformowania tej osoby" winna uwzględnić nie tylko treść normy zawartej w art. 61 § 1 Kodeksu cywilnego, ale także tę część normy, zawartej w art. 105a ust. 3 p.b., która ustanawia dodatkowy trzydziestodniowy termin na wykonanie zobowiązania. Organ powołał zresztą szereg orzeczeń tutejszego Sądu, potwierdzających ugruntowanie tej linii orzeczniczej (vide s.6-7 decyzji oraz 7-10 odpowiedzi na skargę), więc w tym miejscu Sąd nie będzie ich ponownie przytaczał.
W literaturze przedmiotu podkreśla się, iż: "sam fakt, że klient nie wykonał zobowiązania lub spóźnił się z jego wykonaniem co najmniej 60 dni, nie upoważnia instytucji do przetwarzania jego danych. Musi bowiem zostać poinformowany o możliwości przetwarzania jego danych bez uzyskania od niego zgody. Dopiero bezskuteczny upływ 30 dni od momentu poinformowania, stanowi wypełnienie przesłanek z art. 105a ust. 3 p.b. W przypadku, gdy konsument spełni świadczenie w czasie tych 30 dni, instytucje tracą prawo do przetwarzania informacji bez jego uprzedniej zgody. Chwila, od której należy liczyć sześćdziesięciodniowy termin, w którym konsument dopuszcza się zwłoki w wykonaniu zobowiązania, to termin wykonania zobowiązania. Dopiero po upływie 60 dni zaczyna biec trzydziestodniowy termin, w którym instytucja jeszcze oczekuje na wykonanie zobowiązania klienta. Termin trzydziestodniowy nie biegnie jednak ex lege, a dopiero od chwili, w której konsument zostanie poinformowany o zamiarze przetwarzania. Termin ten liczy się nie od chwili wysłania informacji, ale od chwili, w której konsument mógł się z nią zapoznać" (tak: Agnieszka Żygadło Przetwarzanie informacji stanowiących tajemnicę bankową po wygaśnięciu zobowiązania", Pr. Bankowe 2006/4/83).
Przyjęta w art. 61 § 1 zdanie 1 k.c. konstrukcja odpowiada tzw. kwalifikowanej teorii doręczenia, która przyjmuje, że oświadczenie woli jest złożone z chwilą, z którą doszło do adresata w taki sposób, że miał on możliwość zapoznania się z jego treścią (tak samo przyjął WSA w Warszawie w uzasadnieniach wyroków w sprawach II SA/Wa 3584/21 i II SA/Wa 189/22, w których powołano m.in. wyrok SN z 8 września 2016 r., sygn. akt II CSK 750/15). To, czy rzeczywiście się z tym oświadczeniem zapoznał, nie ma więc co do zasady znaczenia (por. wyroki SN: z 18 listopada 1999 r., sygn. akt I PKN 375/99, OSNAPiUS 2001/7, poz. 227; z 20 maja 2015 r., sygn. akt I CSK 547/14, LEX nr 1767493 i z 22 marca 2017 r., sygn. akt III CSK 148/16, LEX nr 23552146 uchwała /7/ SN z 31 marca 2016 r., III CZP 89/15).
Z uwagi jednak na wskazany w art. 105a ust. 3 p.b. dodatkowy trzydziestodniowy termin na wykonanie zobowiązania, poinformowanie adresata oświadczenia powinno nastąpić w taki sposób, by można było ustalić początek biegu tego terminu, a w konsekwencji ustalić, kiedy adresat miał możliwość zapoznania się z jego treścią. Dopiero bowiem bezskuteczny upływ owego trzydziestodniowego dodatkowego terminu, upoważnia bank do przetwarzania danych osobowych w oparciu o przepis art. 105a ust. 3 p.b.
W sprawie brak jest dokumentu potwierdzającego datę otrzymania przez wnioskodawcę przesyłki w opisanym wyżej zakresie (np. wydruku z aplikacji Poczty Polskiej – emonitoring – śledzenie przesyłek). Nie jest wystarczające wykazanie nadania korespondencji do wnioskodawcy, nawet gdyby był to list polecony, gdy nie ma możliwości określenia początku biegu w.w. terminu.
Brak możliwości ustalenia daty początkowej biegu opisanych wyżej terminów skutkuje uznaniem, iż powiadomienie wnioskodawcy o zamiarze przetwarzania jego danych osobowych nie wyczerpało wymogów art. 105a ust. 3 p.b. Sąd zdaje sobie sprawę, że upływ czasu uniemożliwia obecnie ustalenie początku biegu w.w. terminu, ale taka sytuacja nie może być interpretowana na niekorzyść wnioskodawcy. Dlatego w opisanej sytuacji nie ma znaczenia posiadanie dowodu nadania powiadomienia, o którym mowa w art. 105a ust. 3 p.b., listem poleconym.
Z opisanego względu Sąd uznał, że zaskarżona decyzja jest prawidłowa, a zarzuty skargi zmierzają w istocie do podważenia konsekwentnego orzecznictwa sądów administracyjnych w zakresie znaczenia spełnienia wymogów art.105 a p.b.
Nieprawidłowe więc było przetwarzanie danych osobowych wnioskodawcy, dotyczących zobowiązania, wynikającego z tej umowy, i nie znajduje ono oparcia w żadnej z przesłanek określonych w art. 6 ust. 1 rozporządzenia 2016/679.
W konsekwencji zasadnie Prezes UODO skorzystał z uprawnienia, przewidzianego w art. 58 ust. 2 lit. c rozporządzenia 2016/679 o nakazaniu skarżącemu zaprzestania przetwarzania danych osobowych wnioskodawcy w ww. zakresie.
W kontekście opisanego stanu faktycznego i prawnego sprawy Sąd za niezasadne uznał zarzuty skargi, dotyczące naruszenia wyżej wskazanych przepisów prawa materialnego oraz w szczególności art. 105a ust. 3 p.b. Z powyżej wyjaśnionych względów przepis ten został przez organ prawidłowo zastosowany.
Organ nie naruszył również przepisów postępowania - art. 6, art. 7, art. 8 § 1 i 2, art. 77 § 1, art. 80 oraz 107 § 3 k.p.a. w zw. z art. 7 u.o.d.o. i nie przekroczył granic swobodnej oceny dowodów. Jak wyżej zauważono, potwierdzenie nadania listem poleconym nie stanowi dowodu poinformowania o zamiarze przetwarzania danych osobowych wnioskodawcy bez jego zgody, o którym mowa w art. 105a ust. 3 u.p.b. Jeżeli nie ma daty doręczenia, samo nadanie przesyłki nie daje bowiem podstawy do wyliczenia początku biegu 30 dniowego terminu, o którym mowa w tym przepisie.
W okolicznościach niniejszej sprawy skarga nie zasługiwała na uwzględnienie, dlatego Sąd, działając na podstawie art. 151 p.p.s.a., orzekł jak w sentencji wyroku.