II SA/Wa 858/22

II SA/Wa 858/22 - Wyrok WSA w Warszawie
Data orzeczenia
2022-09-20
orzeczenie prawomocne
Data wpływu
2022-05-24
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Arkadiusz Koziarski
Danuta Kania
Ewa Marcinkowska /przewodniczący sprawozdawca/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Sygn. powiązane
III OSK 2833/22 - Wyrok NSA z 2024-12-17
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Uchylono zaskarżoną decyzję w części
Powołane przepisy
Dz.U. 2021 poz 2439
art. 105a ust. 1 i ust. 3
Ustawa z dnia 29 sierpnia 1997 r. Prawo bankowe (t.j.)
Dz.U. 2020 poz 1041
art. 2 ust. 1 pkt 22, art. 3 pkt 8, art. 15 ust. 1 pkt 1, art. 17
Ustawa z dnia 23 listopada 2012 r. Prawo pocztowe - t.j.
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Ewa Marcinkowska (spr.), Sędzia WSA Danuta Kania, Asesor WSA Arkadiusz Koziarski, po rozpoznaniu w trybie uproszczonym w dniu 20 września 2022 r. sprawy ze skargi [...] Bank S.A. z siedzibą [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] marca 2022 r.nr [...] w przedmiocie przetwarzania danych osobowych 1. uchyla zaskarżoną decyzję w części obejmującej punkty 1 i 2; 2. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz [...] Bank S.A. z siedzibą [...] kwotę 697 (słownie: sześćset dziewięćdziesiąt siedem) złotych tytułem zwrotu kosztów postępowania.
Uzasadnienie
Prezes Urzędu Ochrony Danych Osobowych (zwany dalej Prezesem UODO) decyzją z dnia [...] marca 2022 r. nr [...], wydaną na podstawie art. 104 § 1, art. 105 § 1 K.p.a., w zw. z art. 7 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781), oraz na podstawie art. 6 ust. 1 i art. 58 ust. 2 lit. b) i lit. c) Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 4 maja 2016, str. 1 oraz Dz. Urz. UE L 127 z 23 maja 2018 str. 2) – zwanego dalej RODO, w zw. z art. 105a ust. 3 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz. U. z 2021 r. poz. 2439), po przeprowadzeniu postępowania administracyjnego w sprawie skargi K.R. na nieprawidłowości w procesie przetwarzania jej danych osobowych przez S. S.A. z siedzibą w W., polegające na udostępnieniu danych osobowych w bazie B. S.A. z siedzibą w W. i w bazie B. prowadzonej przez Z. z siedzibą w W., bez podstawy prawnej,
1. nakazał S. S.A., zaprzestanie przetwarzania na podstawie art. 105a ust. 3 ustawy Prawo bankowe danych osobowych K.R. w zakresie danych dotyczących umowy o przyznanie limitu kredytowego i wydanie karty C. nr [...] z dnia [...] grudnia 2013 r., przetwarzanych w bazie B. S.A. w celu oceny zdolności kredytowej i analizy ryzyka kredytowego;
2. udzielił S. S.A. upomnienia za naruszenie art. 6 ust. 1 RODO polegające na przetwarzaniu danych osobowych K.R. w zakresie danych dotyczących umowy o kredyt gotówkowy nr [...] z dnia [...] sierpnia 2013 r. w systemie B. S.A. w celu oceny zdolności kredytowej i analizy ryzyka kredytowego w okresie od dnia [...] marca 2019 r. do dnia [...] czerwca 2021 r.;
3. w pozostałym zakresie umorzył postępowanie.
Decyzja powyższa została wydana w następującym stanie faktycznym i prawnym.
Do Prezesa UODO, wpłynęła skarga K.R. (zwanej również skarżącą) na nieprawidłowości w procesie przetwarzania jej danych osobowych przez S. S.A. z siedzibą w W. (zwany dalej Bankiem) polegające na udostępnieniu danych osobowych skarżącej w bazie B. S.A. z siedzibą w W. (zwanego dalej B.) i w bazie B. prowadzonej przez Z. z siedzibą w W. (zwanego dalej Z.) bez podstawy prawnej.
W treści skargi skarżąca wskazała, że Bank nie spełnił wymagań uprawniających go do rozpoczęcia przetwarzania jej danych osobowych w bazie B. w związku z wierzytelnością wynikającą z umowy o kredyt z dnia [...] sierpnia 2013 r. oraz umową o przyznanie karty kredytowej z dnia [...] grudnia 2013 r. zawartych przez skarżącą z Bankiem, ponieważ skarżąca w dniu [...] marca 2020 r. odwołała zgodę na przetwarzanie jej danych osobowych w B. i B., zaś Bank nie spełnił łącznie wszystkich warunków z art. 105a ust. 3 ustawy Prawo bankowe, tzn. nigdy nie powiadomił skarżącej o zamiarze przetwarzania jej danych osobowych bez jej zgody w bazie B..
W piśmie z dnia [...] stycznia 2021 r. Bank, w odpowiedzi na wezwanie Prezesa UODO wyjaśnił, że dane osobowe skarżącej zostały pozyskane w wyniku zawarcia umowy o kredyt gotówkowy nr [...] z dnia [...] sierpnia 2013 r. (zwanej dalej umową 1) oraz umowy o przyznanie limitu kredytowego i wydanie karty C. nr [...] z dnia [...] grudnia 2013 r. (zwanej dalej umową 2). W związku z zawartymi umowami Bank pozyskał dane identyfikacyjne, dane adresowe, dane finansowe oraz dane kontaktowe skarżącej. Bank wskazał też, że w związku z zaległościami w spłacie rat kredytu, wysłał do skarżącej pismem z dnia [...] czerwca 2014 r., wypowiedzenie umowy [...] wraz z informacją o zamiarze przetwarzania danych skarżącej na podstawie art. 105a ust. 3 Prawa bankowego. Natomiast w związku z zaległościami w spłacie rat kredytu wynikającymi z umowy [...] w dniu [...] czerwca 2014 r. Bank wysłał również pismo o wypowiedzeniu tej umowy i zamiarze przetwarzania danych skarżącej na podstawie art. 105a ust. 3 Prawa bankowego. Ostatecznie umowa [...] została spłacona w dniu [...] czerwca 2016 r., natomiast umowa [...] w dniu [...] sierpnia 2020 r. Dane osobowe skarżącej (dane identyfikacyjne, dane adresowe) zostały przekazane do B[...] na podstawie art. 105 ust. 4 Prawa bankowego z chwilą zawarcia umów kredytowych. Jednocześnie Bank zaprzeczył, by przekazał dane osobowe skarżącej do Z[...].
Dodatkowo w piśmie z dnia [...] marca 2021 r. Bank wyjaśnił, że przetwarzanie przez B[...] danych dotyczących umów skarżącej w oparciu o art. 105a ust. 3 Prawa bankowego rozpoczęło się z chwilą wygaśnięcia zobowiązań skarżącej, tj. dla umowy [...] w dniu [...] czerwca 2016 r., natomiast dla umowy [...] zobowiązanie wygasło w dniu [...] sierpnia 2019 r. (a nie jak wcześniej podał błędnie w dniu [...] sierpnia 2020 r.) i od tego momentu dane są przetwarzane na podstawie art. 105a ust. 3 Prawa bankowego. Bank podał też, że zawarł z B[...] umowę powierzenia, na podstawie której B[...] przetwarza dane osobowe klientów Banku, przekazane przez Bank, na dowód czego przedstawił umowę z dnia [...] sierpnia 2016 r. w sprawie gromadzenia, przetwarzania i udostępniania informacji w bazie B[...].
B[...], w odpowiedzi na wezwanie Prezesa UODO, w pismach z dnia [...] maja 2021 r. oraz z dnia [...] października 2021 r. poinformował organ, że przetwarzał dane skarżącej przekazane przez Bank w zakresie umowy [...], wprowadzonej do zbioru danych B[...] w dniu [...] września 2013 r. oraz umowy [...], wprowadzonej do zbioru danych B[...] w dniu [...] stycznia 2014 r., na podstawie art. 105a ust. 4 i 5 w zw. z art. 105 ust. 4 Prawa bankowego w celu stosowania metod wewnętrznych oraz innych metod i modeli. B[...] podniósł nadto, że Bank nie zwracał się o usunięcie danych osobowych skarżącej w zakresie ww. umów, a skarżąca nie zwracała się do B[...] z wnioskiem o realizację jej praw z zakresu ochrony danych osobowych. B[...] wyjaśnił również, że dane skarżącej będą przetwarzane przez okres 12 lat od dnia wygaśnięcia zobowiązania. Umowa [...] ma status rachunku odzyskanego i przetwarzana jest w celu oceny zdolności kredytowej i analizy ryzyka kredytowego na podstawie art. 105a ust. 3 w zw. z art. 105 ust. 4 ustawy Prawo bankowe.
W piśmie z dnia [...] lutego 2021 r. Z[...] wyjaśnił, że nie przetwarza w Systemie Bankowy Rejestr danych skarżącej.
Uzasadniając wydane rozstrzygnięcie Prezes UODO wskazał, że przepisem uprawniającym administratorów danych do przetwarzania zwykłych danych osób fizycznych jest art. 6 ust. 1 RODO, zgodnie z którym, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy spełniona jest jedna z przesłanek wskazanych w tym przepisie, a katalog przesłanek wymienionych w ww. przepisie, jest zamknięty, przy czym każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny.
Organ wyjaśnił, że co do zasady podstawą prawną przetwarzania danych osobowych klientów przez Bank w B[...] może być obecnie art. 6 ust. 1 lit. f) RODO, o ile przetwarzanie to jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora. Prezes UODO zaznaczył jednocześnie, że przetwarzanie danych osobowych klientów Banku przez B[...] odbywa się na podstawie zawartej z Bankiem umowy z dnia [...] sierpnia 2016 r. w sprawie gromadzenia, przetwarzania i udostępniania informacji w bazie B[...].
Prezes UODO podniósł też, że B[...] jest instytucją utworzoną na podstawie art. 105 ust. 4 Prawa bankowego, natomiast przetwarzanie danych uregulowane jest w art. 105a ust. 1 i ust. 3 Prawa bankowego.
Zdaniem organu istotnym w niniejszej sprawie jest to, że Bank nie spełnił wobec skarżącej obowiązku określonego w art. 105a ust. 3 Prawa bankowego, tj. nie poinformował jej skutecznie o zamiarze przetwarzania dotyczących jej informacji stanowiących tajemnicę bankową, bez jej zgody po wygaśnięciu zobowiązania wynikającego z przedmiotowych umów (Bank nie przedstawił dowodu na prawidłowe doręczenie skarżącej dokumentu, w treści którego zawarta była informacja o okolicznościach wskazanych w art. 105a ust. 3 Prawa bankowego). Prezes UODO stwierdził nadto, że sam fakt, że skarżąca nie wykonała zobowiązania lub spóźniła się z jego wykonaniem co najmniej 60 dni, nie upoważnia Banku do przetwarzania jej danych na warunkach określonych w art. 105a ust. 3 Prawa bankowego. Moment, od którego należy liczyć sześćdziesięciodniowy termin, w którym konsument dopuszcza się zwłoki w wykonaniu zobowiązania, to termin wykonania zobowiązania, dopiero po upływie 60 dni zaczyna biec termin 30 dni. Termin 30 dni biegnie od momentu, w którym konsument zostanie skutecznie poinformowany przez instytucję o zamiarze przetwarzania. Ostatecznie to upływ 30 dni od momentu poinformowania stanowi wypełnienie przesłanek art. 105a ust. 3 Prawa bankowego. Z powyższego wynika zatem, że Bank przetwarzając dane skarżącej na warunkach określonych w ww. przepisie, musi wykazać, że skarżąca została poinformowana o zamiarze przetwarzania ich bez jej zgody. Jednak samo oświadczenie o wysłaniu korespondencji i przedstawienie kopii listy wysyłkowej nie stanowi dowodu na jej dostarczenie lub poinformowanie o jej treści adresata. Organ zaznaczył przy tym, że przepisy powszechnie obowiązujące nie formułują obowiązku wysłania informacji, o której mowa w art. 105a ust. 3 Prawa bankowego w szczególnej formie. To do podmiotu informującego należy zatem wybór formy przekazania odbiorcy komunikatu, o zamiarze przetwarzania danych osobowych bez jego zgody. Jednocześnie to podmiot informujący wywodzi z powyższego skutki prawne, zatem to on musi wykazać, że poinformował skarżącą o zamiarze przetwarzania danych stanowiących tajemnicę bankową, bez jej zgody na podstawie art. 105a ust. 3 Prawa bankowego, a powyższe stanowisko znajduje oparcie w wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 15 marca 2017 r. sygn. akt II SA/Wa 1695/16.
W odniesieniu natomiast do danych związanych z umową [...] Prezes UODO wskazał, że aktualnie proces ich przetwarzania odbywa się na podstawie art. 105a ust. 4 Prawa bankowego. Z oświadczenia Banku wynika bowiem, że zobowiązanie wynikające z ww. umowy wygasło w dniu [...] czerwca 2016 r. i od tego momentu dane z nią związane były przetwarzane w B[...] na podstawie art. 105a ust. 3 Prawa bankowego. Z wyjaśnień B[...] wynika z kolei, że aktualnie dane nie są już przetwarzane w celu oceny zdolności kredytowej i ryzyka kredytowego, lecz do celów stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr [...]. Dane dotyczące ww. umowy aktualnie przetwarzane są zatem na podstawie art. 105a ust. 4 Prawa bankowego. Prezes UODO podniósł zatem, że aktualny proces przetwarzania danych osobowych związanych z umową [...] nie jest uzależniony od dodatkowych wymogów, takich jak w przypadku procesu odbywającego się na podstawie art. 105a ust. 3 Prawa bankowego, nie jest ponadto uzależniony od zgody skarżącej, a tym samym jego kontynuowanie znajduje uzasadnienie w przesłance z art. 6 ust. 1 lit. f) RODO.
Organ dostrzegł jednakże, że w okresie od dnia [...] marca 2019 r., tj. od momentu, w którym K.R. wycofała zgodę na przetwarzanie jej danych przez Bank po wygaśnięciu zobowiązania do dnia [...] czerwca 2021 r., w którym to dniu upłynął termin przetwarzania wynikający z art. 105a ust. 3 w zw. z art. 105a ust. 5 Prawa bankowego, dane osobowe skarżącej związane z umową [...], były przetwarzane w celu oceny zdolności kredytowej i analizy ryzyka kredytowego nieprawidłowo, w sposób sprzeczny z wymogami przewidzianymi w art. 105a ust. 3 Prawa bankowego. W związku ze stwierdzonymi nieprawidłowościami, korzystając z uprawnienia, o którym mowa w art. 58 ust. 2 lit. b RODO, organ udzielił Bankowi upomnienia.
Prezes UODO stwierdził też, że w toku prowadzonego postępowania wyjaśniającego ustalono, że Bank nie przekazał danych osobowych K.R. do Z[...]. Dane osobowe skarżącej nie były zatem przetwarzane w systemie B., prowadzonym przez Z[...]. Tym samym kwestionowany przez skarżącą proces przetwarzania danych osobowych w tym obszarze sprawy nie istnieje, stąd też postępowanie w tej kwestii należało umorzyć, uznając je za bezprzedmiotowe.
S. S.A. w skardze na powyższą decyzję Prezesa UODO w zakresie punktów 1 i 2, skierowanej do Wojewódzkiego Sądu Administracyjnego w Warszawie zarzucił:
1) naruszenie przepisów prawa materialnego, które miało wpływ na wynik sprawy, tj. art. 105a ust. 3 Prawa bankowego poprzez jego błędną wykładnię, skutkującą przyjęciem, że wykonanie obowiązku informacyjnego, o którym mowa w ww. przepisie, polega na skutecznym doręczeniu osobie fizycznej, po wygaśnięciu jej zobowiązania wynikającego z umowy zawartej z bankiem, informacji o zamiarze przetwarzania jej danych osobowych bez jej zgody, podczas gdy prawidłowa interpretacja tego przepisu prowadzi do wniosku, że "poinformowanie" oznacza rzeczywiste umożliwienie zapoznania się z treścią ww. informacji;
2) naruszenie przepisów prawa materialnego, które miało wpływ na wynik sprawy, tj. art. 6 RODO w związku z art. 105a ust. 3 Prawa bankowego - poprzez jego błędną wykładnię, skutkującą przyjęciem, że przetwarzanie danych osobowych K.R. w okresie od [...] marca 2019 r. do [...] czerwca 2021 r. w związku z umową [...] odbywało się bez podstawy prawnej, podczas gdy prawidłowa interpretacja tego przepisu prowadzi do wniosku, że Bank wobec prawidłowego poinformowania skarżącej zgodnie z ww. przepisem, posiadał podstawę prawną przetwarzania jej danych osobowych;
3) naruszenie przepisów postępowania, mające istotny wpływ na wynik sprawy, tj. art. 6, art. 7, art. 8 § 1 i 2, art. 77 § 1, art. 80 oraz art. 107 § 3 K.p.a. w zw. z art. 7 ust. 1 UODO, polegające na:
a. niezastosowaniu zasad ogólnych postępowania administracyjnego: prawdy obiektywnej, praworządności i pogłębiania zaufania do władzy publicznej oraz przekroczeniu granic swobodnej oceny dowodów, a w konsekwencji błędnym przyjęciu, że nadanie pisma listem poleconym nie stanowi dowodu poinformowania K.R. o zamiarze przetwarzania jej danych osobowych bez jej zgody, w oparciu o art. 105a ust. 3 Prawa bankowego, podczas gdy jest to dokument mający moc dokumentu urzędowego, stanowiący dostateczny dowód przekazania informacji zgodnie z wymogami tego przepisu,
b. braku uzasadnienia naruszenia przez Bank art. 6 ust. 1 RODO, za które to naruszenie zostało wymierzone upomnienie.
W związku z powyższymi zarzutami Bank wniósł o:
1) uchylenie decyzji Prezesa UODO w zaskarżonej części;
2) zasądzenie od Prezesa UODO na rzecz Banku - na podstawie art. 200 P.p.s.a - kosztów postępowania, w tym kosztów zastępstwa prawnego, według norm przepisanych,
3) zobowiązanie organu do wydania decyzji oddalającej skargę K.R. o zaprzestanie przetwarzania jej danych osobowych w terminie wyznaczonym przez Sąd – na podstawie art. 145a § 1 P.p.s.a.;
4) rozpoznanie sprawy w trybie uproszczonym na podstawie art. 119 pkt 2 P.p.s.a.;
5) wstrzymanie wykonania zaskarżonej decyzji w części dotyczącej pkt 1 na podstawie art. 61 § 3 P.p.s.a. ze względu na niebezpieczeństwo spowodowania trudnych do odwrócenia skutków.
W uzasadnieniu skargi Bank podkreślił, że w sprawie sporna jest jedynie przesłanka poinformowania K.R. przez Bank o zamiarze przetwarzania jej danych, bez jej zgody. Dokonując wykładni językowej art. 105a ust. 3 Prawa bankowego Bank dowodził, że "poinformowanie" należy rozumieć jako rzeczywiste umożliwienie zaznajomienia się z informacją osobie, do której jest ona kierowana. Jednocześnie Bank podkreślił, że ustawodawca nie określił żadnych szczególnych wymogów formalnych, co do sposobu i treści takiego poinformowania. Zdaniem Banku, nie ulega jednak wątpliwości, że w każdym wypadku sposób ten powinien dawać sposobność potwierdzenia, że adresatowi umożliwiono zapoznanie się z informacją. Nadto, Bank zaznaczył, że prawidłowość ww. poglądu co do wykładni art. 105a ust. 3 Prawa bankowego potwierdza także orzecznictwo sądowoadministracyjne.
Bank wskazał też, że dokonując analizy art. 105a ust. 3 Prawa bankowego nie można abstrahować od celu wprowadzenia uregulowanej tam możliwości przetwarzania danych bez zgody samego dłużnika. Omawiany przepis ma umożliwić przekazywanie do B[...] przez m.in. banki danych nierzetelnych dłużników, tj. osób, które pomimo zaciągnięcia określonego zobowiązania wobec banku, nie wywiązują się z umowy i nie spłacają swojego zobowiązania przez okres dłuższy niż 60 dni. Celem tego przepisu nie jest więc ochrona nierzetelnego dłużnika, a ochrona sektora bankowego, a tym samym uczciwych kredytobiorców, przed zaciąganiem kredytów lub pożyczek przez osoby, które swoich zobowiązań nie regulują lub regulują je ze znacznym opóźnieniem.
Dalej Bank dowodził, że przyjęcie wykładni ww. przepisu zaproponowanej przez Prezesa UODO prowadziłoby do istotnych nadużyć po stronie nierzetelnych dłużników i wypaczałoby sens regulacji, dając osobom niewywiązującym się ze swoich zobowiązań możliwość unikania ujawnienia informacji o nich w B[...] poprzez proste uchylanie się od odbioru korespondencji. Dłużnicy tacy mogliby każdorazowo zarzucać, że nie mogli zapoznać się z treścią pisma, jeśli zwrotne potwierdzenie odbioru nie zostałoby podpisane przez daną osobę osobiście.
Bank podkreślił, że w dniu [...] czerwca 2014 r. wysłał do K.R. oświadczenie z dnia [...] czerwca 2014r. o wypowiedzeniu umowy [...], zawierające stosowną, wymaganą prawem informację o zamiarze przekazania jej danych osobowych do B[...]. Natomiast w wypadku umowy [...] takie oświadczenie - z dnia [...] czerwca 2014 r. - Bank wysłał w dniu 30 czerwca 2014 r.
Bank zaznaczył jednocześnie, że pisma te zostały wysłane listami poleconymi i skierowane na podany przez K.R. adres do korespondencji, K.R. w obu umowach zobowiązała się na bieżąco informować Bank o zmianie nazwiska, adresu lub miejsca pracy. Nigdy natomiast o zmianie adresu nie informowała, zatem należy uznać, że ww. oświadczenia wysłane zostały na właściwy adres.
Dodatkowo Bank wyjaśnił, że ze względu na cywilnoprawny charakter stosunków pomiędzy Bankiem, a K.R. – zastosowanie ma regulacja art. 61 § 1 ustawy z dnia 23 kwietnia 1964 r. - Kodeks cywilny (Dz. U. z 2020 r. poz. 1740 z późn. zm., dalej jako K.c.), dotycząca składania oświadczeń woli, wedle której oświadczenie woli, które ma być złożone innej osobie, jest złożone z chwilą, gdy doszło do niej w taki sposób, że mogła zapoznać się z jego treścią. Powołując wyrok Sądu Najwyższego z dnia 17 marca 2010 r. sygn. akt II CSK 454/09 (OSN 2010, Nr 10, poz. 142), Bank stwierdził, że nadanie listu poleconego (przesyłki rejestrowanej) obejmującego oświadczenie woli pozwala przyjąć w drodze domniemania faktycznego, że jego adresat mógł zapoznać się z jego treścią. Bank zarzucił zatem, że wedle poglądu przedstawionego przez Prezesa UODO "poinformowanie" w myśl art. 105a ust. 3 Prawa bankowego sprowadza się w zasadzie do udowodnienia przesłanki subiektywnej (tj. "rzeczywistego poinformowania" dłużnika). Natomiast w ocenie Banku, przyjęcie takiej interpretacji "poinformowania" zaprzeczałaby celowi ww. przepisu. Nie tylko zatem wykładnia językowa tego przepisu, ale także wykładnia funkcjonalna i celowościowa powinny decydować o przyjęciu obiektywnego rozumienia obowiązku poinformowania. Nie powinno być wątpliwości, że w powołanym przepisie nie chodzi o faktyczny rezultat, ale o zapewnienie realnej możliwości zapoznania się z informacją.
Wobec powyższego Bank stwierdził, że wysyłając list polecony z informacją o zamiarze przetwarzania danych osobowych dotyczących K.R., umożliwił jej zapoznanie się z tymi informacjami. W konsekwencji, po upływie trzydziestu dni, Bank mógł przetwarzać dane osobowe skarżącej, bez jej zgody, w tym poprzez ich przekazanie do B[...], ponieważ doszło do wymaganego przepisem art. 105a ust. 3 Prawa bankowego "poinformowania" podmiotu danych. Zatem w zakresie umowy [...] Bank uznał, że niewątpliwie posiada podstawę prawną przetwarzania danych osobowych K.R. w B[...] w oparciu o art. 6 ust. 1 lit. f) RODO w związku z art. 105a ust. 3 Prawa bankowego, ale także w związku z art. 118 K.c. przez okres przedawnienia roszczeń Banku wobec skarżącej, a w zakresie umowy [...] posiadał taką podstawę prawną w okresie od [...] marca 2019 r. do [...] czerwca 2021 r.
Wyjaśniając zarzut naruszenia przepisów postępowania Bank wskazał, że Prezes UODO jest zobowiązany do przestrzegania m.in. zasady pogłębiania zaufania obywateli do organów praworządnego państwa (art. 8 § 1 K.p.a.). Uwzględniając powyższą zasadę organ powinien w szczególności dokładnie wyjaśnić okoliczności sprawy, a także w sposób wyczerpujący zebrać i prawidłowo ocenić cały materiał dowodowy (art. 7, art. 77 § 1 i art. 80 K.p.a.) oraz uzasadnić swoje rozstrzygnięcie zgodnie z wymogami art. 107 § 3 K.p.a. Bank podniósł nadto, że w procedurze administracyjnej nie ma zamkniętego katalogu środków dowodowych, jakie mogą być powoływane w toku postępowania. Jako dowód może posłużyć wszystko, co jest zgodne z prawem i może przyczynić się do wyjaśnienia sprawy (art. 75 § 1 K.p.a.).
W związku z powyższym Bank zarzucił, że Prezes UODO błędnie ocenił fakt wysłania do skarżącej informacji o zamiarze przetwarzania jej danych osobowych na podstawie art. 105a ust. 3 Prawa bankowego listami poleconymi.
Bank podkreślił przy tym, że przedstawił dowód w postaci oświadczeń o wypowiedzeniu umowy nr [...] z dnia [...] czerwca 2014 r. oraz umowy nr [...] z dnia [...] czerwca 2014 r. wraz z potwierdzeniem nadania tych pism listem poleconym (odpisy z pocztowej książki nadawczej), mającymi moc dokumentów urzędowych. Przesyłka polecona zaadresowana na K.R. nie została zwrócona, a zatem przyjąć należy, że doręczono ją adresatce prawidłowo. Powołując przy tym orzecznictwo sądów powszechnych Bank podkreślił, że G.R. w żaden sposób nie wykazała, iż nie otrzymała wspomnianego listu poleconego lub że nie mogła się z nimi zapoznać, co mogłoby skutkować obaleniem domniemania doręczenia przesyłki adresatce.
W ocenie Banku, przyznanie potwierdzeniom nadania przesyłki rejestrowej wydanym przez operatora wyznaczonego mocy prawnej dokumentu urzędowego rozpatrywać należy przez pryzmat art. 76 § 1 K.p.a. Wprawdzie potwierdzenie nadania przesyłki poleconej nie jest dokumentem urzędowym, a jedynie ma "moc dokumentu urzędowego", jednak na zasadzie analogii do dokumentu tego należy stosować domniemania odnoszące się do dokumentów urzędowych, tj. domniemanie zgodności z prawdą oświadczenia uprawnionego podmiotu. Bank stwierdził zatem, że jeśli K.R. kwestionuje skuteczność doręczenia jej przesyłek poleconych z Banku, powinna powołać dowody na tą okoliczność, ponieważ art. 76 § 3 K.p.a. umożliwia przeprowadzenie dowodu przeciwko treści dokumentu, o którym mowa w art. 76 § 1 K.p.a.
Jednocześnie Bank zakwestionował argumentację Prezesa UODO, opartą na wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 15 marca 2017 r. sygn. akt II SA/Wa 1695/16, podkreślając różnice co do stanu faktycznego, ponieważ w ww. wyroku jako dowód spełnienia obowiązku informacyjnego z art. 105a ust. 3 Prawa bankowego, przedstawiono jedynie wydruk komputerowy zawierający datę nadania przesyłki i informację, że jest to przesyłka niestemplowana. Bank w tej sprawie nie dysponował zaś potwierdzeniem nadania listu przesyłką poleconą.
Wobec powyższego Bank uznał, że uzasadniony jest zarzut naruszenia przez organ przepisów postępowania administracyjnego mającego istotny wpływ na wynik sprawy, tj. art. 6, art. 7, art. 8 § 1 i 2, art. 77 § 1, art. 107 § 3 K.p.a., w szczególności zaś art. 80 K.p.a., bowiem swobodna ocena dowodów powinna opierać się na materiale dowodowym zebranym przez organ oraz wszechstronnej ocenie całokształtu materiału dowodowego. W ocenie Banku naruszenie wymienionych reguł, a także norm procesowych odnoszących się do środków dowodowych, stanowi przekroczenie granic swobodnej oceny dowodów. W konsekwencji powyższego Bank wskazał, że Prezes UODO nieprawidłowo ustalił, że w okresie od [...] marca 2019 r. (tj. dnia wycofania zgody K.R. na przetwarzanie danych) do [...] czerwca 2021 r. (dzień w którym upłynął 5 letni termin przetwarzania wynikający z art. 105a ust. 5 Prawa bankowego) przetwarzał dane osobowe skarżącej w sposób sprzeczny z wymogami przewidzianymi w art. 105a ust. 3 tej ustawy. Uznając bowiem za prawidłowe poinformowanie skarżącej o przetwarzaniu jej danych osobowych, Bank mógł je przetwarzać na ww. podstawie do dnia [...] czerwca 2021 r.
Prezes UODO w odpowiedzi na skargę wniósł o jej oddalenie, podtrzymując w pełni swoje stanowisko przedstawione w zaskarżone decyzji.
Odnosząc się do zarzutu naruszenia przepisów prawa materialnego organ wskazał, że badanie legalności przetwarzania danych osobowych w sprawie oparte było na sprawdzeniu, czy Bank jako wierzyciel spełnił wszystkie przesłanki legalizujące udostępnienie danych K.R. do B[...]. Prezes UODO uznał, że Bank nie wykazał, by K.R. została poinformowana o zamiarze przetwarzania jej danych osobowych w B[...] po wygaśnięciu zobowiązania wynikającego z umów bez jej zgody, a tym samym Bank nie może przetwarzać danych osobowych skarżącej na warunkach określonych w art. 105a ust. 3 Prawa bankowego.
W ocenie organu kluczową kwestią dla przetwarzania danych osobowych dłużników w rejestrach kredytowych jest prawidłowy sposób powiadomienia ich o zamiarze udostępnienia danych na rzecz tych instytucji. Udostępnienie takie pociąga za sobą skutki związane z potencjalnym pozyskaniem informacji o długu przez inne niż bank podmioty. Przyjmuje się, że bank musi być w stanie wykazać, że skutecznie zakomunikował tę okoliczność swojemu dłużnikowi i wykluczone są domniemania w tym zakresie. Przedmiotowy przepis ma bowiem charakter ochronny, a nie czysto formalny, jak błędnie w ocenie organu przyjmuje Bank.
Prezes UODO wyjaśnił, że stoi na stanowisku, zgodnie z którym w każdym wypadku sposób poinformowania musi być możliwy do zweryfikowania. Z tego powodu organ uznaje za błędne stanowisko prezentowane przez Bank, zgodnie z którym dowód w postaci odpisu z pocztowej książki nadawczej, z której wynika, że pismo zawierające informację o zamiarze przetwarzania danych osobowych K.R. po wygaśnięciu zobowiązania bez jej zgody, zostało wysłane listem poleconym, jednoznacznie wskazuje na spełnienie przez Bank obowiązku informacyjnego, o którym mowa w art. 105a ust. 3 Prawa bankowego.
W opinii Prezesa UODO, Bank niewłaściwie skupił się na wykładni językowej tego przepisu, pomijając pozostałe metody wykładni, co w efekcie doprowadziło do nieprawidłowego odczytania normy. Gdyby ustawodawca rzeczywiście uważał, że "poinformowanie" jest tożsame z wysłaniem pisma do dłużnika, zastosowałby rozwiązanie, którego użył w art. 14 ust. 1 pkt. 3 ustawy z dnia 9 kwietnia 2010 r. o udostępnianiu informacji gospodarczych i wymianie danych gospodarczych (Dz.U. 2020 poz. 389). Tymczasem w przypadku art. 105 a ust. 3 Prawa bankowego tego nie uczynił. Jednocześnie Prezes UODO wskazał, że użyta przez ustawodawcę w przedmiotowym przepisie forma czasownika "poinformować" jest formą dokonaną, natomiast nie jest równoznaczna z wysłaniem informacji, czy też nadaniem informacji, ponieważ takie wysłanie, czy też nadanie informacji nie świadczy w żaden sposób o tym, że jej odbiorca ją otrzymał i zapoznał się z jej treścią. Powyższe przesądza o tym, że Bank nieprawidłowo interpretuje treść ww. normy.
Organ zaznaczył, że celem wprowadzenia instytucji przetwarzania danych osobowych dłużników na mocy art. 105a ust. 3 Prawa bankowego, niekwestionowanym przez Prezesa UODO, jest przetwarzanie danych nierzetelnych dłużników oraz ochrona sektora bankowego przed wyłudzaniem kolejnych pożyczek, czy też kredytów przez osoby, które takich zobowiązań następnie nie spłacają, równoważąc jednak uprawnienie Banku gwarancyjnymi ograniczeniami chroniącymi osobę, której dane mają być przetwarzane. W opinii Prezesa UODO, celem tego przepisu jest przede wszystkim jednak wprowadzenie rozwiązania mającego chronić osobę, której dane dotyczą, przed wykorzystaniem przez bank silniejszej pozycji w obrocie, bowiem przetwarzanie danych osoby jako nierzetelnego dłużnika wpływa negatywnie na sytuację tej osoby, np. utrudniając zaciągnięcie zobowiązania kredytowego, o których to konsekwencjach, zgodnie z art. 105a ust. 3 Prawa bankowego, powinna być ona skutecznie poinformowana. Organ podkreślił w związku z powyższym, że przepis art. 105a ust. 3 Prawa bankowego ma charakter gwarancyjny i uprawnienia i obowiązki, które z niego wynikają, zmierzają do zapobiegnięcia naruszeniom praw klienta i wykorzystaniem w stosunku do niego przez bank swojej pozycji dominującej.
W ocenie Prezesa UODO dowód w postaci potwierdzenia nadania, czy też wydruku z książki nadawczej stanowić może jedynie dowód na to, że nadano korespondencję do K.R., czyli na okoliczność inną niż ta, o której mowa w odnośnym przepisie Prawa bankowego, tj. poinformowania osoby, której informacje dotyczą. Brak zwrotu korespondencji pozostaje bez wpływu na okoliczność faktycznego zapoznania się z jej treścią przez adresata. Organ wskazał nadto, że uznanie za datę poinformowania klienta banku daty wysłania pisma doprowadziłoby w konsekwencji do sytuacji, w której dłużnicy mieliby zróżnicowany realny czas na podjęcie ewentualnych działań (wykonania zobowiązania) w związku z otrzymanym powiadomieniem.
Prezes UODO wyjaśnił też, że w jego ocenie treść przepisu art. 61 § 1 K.c. nie może w realiach niniejszej sprawy skutkować uznaniem, że doszło do spełnienia przez Bank obowiązku informacyjnego, o którym mowa w art. 105a ust. 3 Prawa bankowego. Nie można zgodzić się ze stwierdzeniem, że wysłanie przesyłki poleconej zawierającej informację o zamiarze przetwarzania danych osobowych po wygaśnięciu zobowiązania bez zgody K.R. na wskazany przez nią adres w umowie oraz niezwrócenie jego do nadawcy stanowi dowód skutecznego doręczenia tej przesyłki klientowi Banku zgodnie z art. 105a ust. 3 Prawa bankowego. Zdaniem Prezesa UODO, Bank nieprawidłowo interpretuje ogólny przepis art. 61 ust. 1 K.c., bez uwzględnienia treści art. 105a ust. 3 Prawa bankowego. Ostatecznie bowiem to bezskuteczny upływ 30 dni od momentu poinformowania – a nie nadania pisma z informacją, stanowi o wypełnieniu przesłanek z art. 105a ust. 3 Prawa bankowego. Wobec wysłania oświadczenia o wypowiedzeniu przedmiotowej umowy wraz z informacją o zamiarze przetwarzania danych K.R. na podstawie art. 105a ust. 3 Prawa bankowego listem poleconym, nie można ustalić daty zapoznania się przez ww. z przesłaną jej informacją, a tym samym niemożliwe jest ustalenie daty, od której płynie 30 dniowy termin określony w ww. przepisie. Prezes UODO podkreślił też, że niedopuszczalne w świetle art. 105a ust. 3 Prawa bankowego jest przerzucanie na K.R. ciężaru udowodnienia, że nie została poinformowana o zamiarze przetwarzania jej danych osobowych w sposób określony w tym przepisie. To Bank wywodzi z powyższego skutki prawne, zatem to on musi wykazać, że poinformował K.R. o zamiarze przetwarzania danych stanowiących tajemnicę bankową, bez jej zgody na podstawie art. 105a ust. 3 Prawa bankowego. Zaś dopiero niewykazanie powyższego i zaprzeczenie K.R., aby do takiego poinformowania doszło jest wystarczające dla uznania, że nie spełniono tego obowiązku. Zdaniem organu, nie można także uznać, jak błędnie zdaje się przyjmować Bank, że 30 dniowy termin na poinformowanie należy liczyć od daty nadania pisma z informacją do skarżącej, ponieważ byłoby to sprzeczne z treścią art. 105a ust. 3, z którego jednoznacznie wynika, że termin ten liczony jest od poinformowania osoby przez bank o zamiarze przetwarzania dotyczących jej tych informacji, bez jej zgody.
Wobec powyższego Prezes UODO za niezasadny uznał podniesiony w skardze Banku zarzut naruszenia prawa materialnego, które miało wpływ na wynik sprawy, tj. art. 105a ust. 3 Prawa bankowego, poprzez jego błędną wykładnię, skutkującą przyjęciem, że wykonanie obowiązku informacyjnego, o którym mowa w powołanym przepisie, polega na skutecznym doręczeniu osobie fizycznej, po wygaśnięciu jej zobowiązania wynikającego z umowy zawartej z bankiem, informacji o zamiarze przetwarzania jej danych osobowych bez jej zgody, podczas gdy prawidłowa interpretacja tego przepisu prowadzi do wniosku, iż "poinformowanie" oznacza rzeczywiste umożliwienie zapoznania się z treścią ww. informacji, za czym przemawia wykładnia systemowa, celowościowa, funkcjonalna, jak i również zastosowana przez Bank, wykładnia językowa art. 105a ust. 3 Prawa bankowego.
Za niezasadny uznał również Prezes UODO zarzut naruszenia przepisów postępowania, które miało istotny wpływ na wynik sprawy. Organ stwierdził bowiem, że przedsięwziął w sprawie przewidziane prawem czynności służące wnikliwemu i rzetelnemu ustaleniu okoliczności faktycznych sprawy. Ustalenia faktyczne zostały dokonane w oparciu o całość materiału dowodowego zgromadzonego i zbadanego w sposób wyczerpujący, a więc przy podjęciu wszelkich kroków niezbędnych do dokładnego wyjaśnienia okoliczności sprawy. Organ zaznaczył, iż nie odmówił mocy dowodowej dokumentom złożonym przez Bank do akt administracyjnych. Stwierdził natomiast, że nie stanowią one dowodu na wypełnienie obowiązku informacyjnego Banku, o którym mowa w art. 105a ust. 3 Prawa bankowego. Ocena materiału dowodowego została dokonana przez organ zgodnie z zasadą swobodnej oceny dowodów i nie nosi cech dowolności.
Prezes UODO podkreślił jednocześnie, iż nie kwestionuje faktu dokonania nadania przez Bank przesyłek listowych do K.R., które Bank wykazał za pomocą przedłożonych wydruków z pocztowej książki nadawczej, opatrzonych stemplem pocztowym. Organ stwierdził jednak, że traktowanie tego faktu jako dowodu na poinformowanie (dostarczenie informacji) skarżącej zgodnie z art. 105a ust. 3 Prawa bankowego nie ma uzasadnienia w brzmieniu art. 17 ustawy Prawo pocztowe.
Odnosząc się do zarzutu Banku, co do braku uzasadnienia przez organ stwierdzonego naruszenia art. 6 ust 1 RODO, za które to naruszenie zostało wymierzone upomnienie, Prezes UODO podniósł, że Bank w żaden sposób nie uzasadnił powyższego zarzutu, natomiast treść uzasadnienia zaskarżonej decyzji wyjaśnia motywy organu w zakresie rozstrzygnięcia o upomnieniu.
Postanowieniem z dnia 25 czerwca 2022 r. Wojewódzki Sąd Administracyjny w Warszawie odmówił wstrzymania wykonania zaskarżonej decyzji.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:
Sąd administracyjny wykonuje wymiar sprawiedliwości, poddając kontroli decyzje wydawane przez organy administracji publicznej pod względem ich zgodności z prawem, badając czy właściwie zastosowano przepisy prawa materialnego i przestrzegano przepisów proceduralnych w postępowaniu administracyjnym. Sąd jest władny wzruszyć zaskarżoną decyzję jedynie w przypadku stwierdzenia naruszenia prawa. Art. 145 ustawy Prawo o postępowaniu przed sądami administracyjnymi (dalej jako P.p.s.a.) określa w jakich sytuacjach decyzje lub postanowienia podlegają uchyleniu.
Oceniając decyzję Prezesa UODO w zaskarżonej części w świetle powyższych kryteriów Sąd stwierdził, iż skarga S. S.A. jest uzasadniona.
Podstawę materialnoprawną decyzji w kwestionowanej części stanowił art. 6 ust. 1 i art. 58 ust. 2 lit. b, c RODO w związku z art. 105a ust. 3 Prawa bankowego.
Przepis art. 6 ust. 1 RODO stanowi, że przetwarzanie danych osobowych jest zgodne z prawem wyłącznie w przypadkach, gdy – i w takim zakresie, w jakim – spełniony jest co najmniej jeden z warunków wymienionych w tym przepisie.
Przepis art. 105a ust. 1 Prawa bankowego stanowi natomiast, że przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów, instytucje pożyczkowe oraz podmioty, o których mowa wart. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, a także instytucje utworzone na podstawie art. 105 ust. 4, informacji stanowiących tajemnicę bankową i informacji udostępnionych przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem art. 104, art. 105 i art. 106 - 106d ustawy w celu oceny zdolności kredytowej i analizy ryzyka kredytowego.
Zgodnie z kolei z art. 105a ust. 3 Prawa bankowego banki, instytucje oraz podmioty, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową i informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa wart. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011r. o kredycie konsumenckim, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank, inną instytucję ustawowo upoważnioną do udzielania kredytów, instytucję pożyczkową albo podmiot, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, o zamiarze przetwarzania dotyczących jej tych informacji, bez jej zgody.
Stosując uprawnienia naprawcze z art. 58 ust. 2 lit. b i c RODO, tj. nakazując Bankowi zaprzestanie przetwarzania danych osobowych K.R. w zakresie danych dotyczących umowy o przyznanie limitu kredytowego i wydanie karty C. nr [...] z dnia [...] grudnia 2013 r., przetwarzanych w bazie B[...] w celu oceny zdolności kredytowej i analizy ryzyka kredytowego oraz udzielając Bankowi upomnienia za naruszenie art. 6 ust. 1 RODO polegającego na przetwarzaniu danych osobowych K.R. w zakresie danych dotyczących umowy o kredyt gotówkowy nr [...] z dnia [...] sierpnia 2013 r. w systemie B[...] w celu oceny zdolności kredytowej i analizy ryzyka kredytowego w okresie od dnia [...] marca 2019 r. do dnia [...] czerwca 2021 r, Prezes UODO stwierdził, że Bank nie spełnił jednej z przesłanek wymienionych w art. 105a ust. 3 Prawa bankowego, tj. nie poinformował K.R. o zamiarze przetwarzania dotyczących jej danych, bez jej zgody.
W ocenie Sądu, z powyższym stanowiskiem organu nie sposób się zgodzić.
Z akt sprawy wynika, że na potwierdzenie spełnienia powyższego obowiązku Bank przedstawił kopie oświadczeń z dnia [...] czerwca 2014 r. oraz z dnia [...] czerwca 2014 r. skierowanych do K.R. o wypowiedzeniu ww. umów, na podany przez nią adres korespondencyjny, w których to oświadczeniach zawarł m.in. informację o zamiarze korzystania z prawa do przetwarzania danych stanowiących tajemnicę bankową przez okres 5 lat po wygaśnięciu zobowiązania, bez zgody osoby, której te dane dotyczą oraz o możliwości przetwarzania tych informacji przez B[...] S.A. i inne instytucje wskazane w art. 105a ust. 1 Prawa bankowego przez okres 5 lat po wygaśnięciu zobowiązania, bez zgody osoby, której te informacje dotyczą (k. 18-19 akt admin.). Na oświadczeniach tych widniej potwierdzenie nadania w CP PP [...] (pisma z dnia [...] czerwca 2014 r. w dniu [...] czerwca 2014 r. oraz pisma z dnia [...] czerwca 2014 r. w dniu [...] czerwca 2014 r. Ponadto Bank przedstawił kopię wydruku z pocztowej książki nadawczej ( k. 43 akt adm.).
Z powyższego wynika, że Bank - w celu wypełnienia obowiązku, o którym mowa w art. 105a ust. 3 Prawa bankowego - informacje o zamiarze przetwarzania danych osobowych w sposób przewidziany w tym przepisie przesłał K.R. listami poleconymi i dysponuje potwierdzeniami nadania tych przesyłek.
Zgodnie z art. 3 pkt 8 ustawy z dnia 23 listopada 2012 r. - Prawo pocztowe (Dz.U. z 2020 r., poz. 1041 ze zm.), przez "nadanie" rozumie się polecenie doręczenia przesyłki pocztowej lub kwoty pieniężnej określonej w przekazie pocztowym oraz przekazanie druku bezadresowego zgodnie z umową o świadczenie usługi pocztowej. Zawarcie umowy o świadczenie usługi pocztowej następuje w szczególności przez przyjęcie przez operatora pocztowego przesyłki pocztowej do przemieszczenia i doręczenia (art. 15 ust. 1 pkt 1). Według natomiast art. 2 ust. 1 pkt 22 ww. ustawy, przesyłka polecona to przesyłka listowa będąca przesyłką rejestrowaną, przemieszczana i doręczana w sposób zabezpieczający ją przed utratą, ubytkiem zawartości lub uszkodzeniem. W myśl zaś art. 17 powołanej ustawy, potwierdzenie nadania przesyłki rejestrowanej lub przekazu pocztowego wydane przez placówkę pocztową operatora wyznaczonego ma moc dokumentu urzędowego. Przepis § 27 rozporządzenia Ministra Administracji i Cyfryzacji z dnia 29 kwietnia 2013 r. w sprawie warunków wykonywania usług powszechnych przez operatora wyznaczonego (Dz. U. z 2020 r. poz. 1026) stanowi natomiast, że w przypadku przesyłek rejestrowanych, umowę (o świadczenie usług pocztowych) uważa się za zawartą z chwilą wydania nadawcy przez operatora wyznaczonego dowodu przyjęcia przesyłki rejestrowanej.
Skoro zatem - jak wynika z akt sprawy i co nie jest kwestionowane przez organ - przesyłki polecone zawierające ww. oświadczenia Banku z dnia [...] czerwca 2014 r. oraz z dnia [...] czerwca 2014 r. zostały skierowane do K.R. na prawidłowy adres korespondencyjny i - jak wielokrotnie podkreślał Bank w toku postępowania - nie zostały zwrócone do nadawcy, to należy uznać, że dotarły do adresata, a w konsekwencji, że Bank spełnił obowiązek "poinformowania" K.R. o zamiarze przetwarzania dotyczących jej danych, bez jej zgody - zgodnie z art. 105a ust. 3 Prawa bankowego.
Stanowisko to koresponduje z treścią, powołanego przez stronę skarżącą w skardze wyroku z 17 marca 2010 r., sygn. akt II CSK 454/09 (LEX nr 607178), w którym Sąd Najwyższy wywiódł, że "Jeżeli nadawca przesyłki rejestrowanej uiścił opłatę, otrzymał potwierdzenie nadania, a operator nie zwrócił mu tej przesyłki, można domniemywać, że została doręczona adresatowi. Należy zwrócić uwagę, że regułą jest, iż przesyłki pocztowe, zwłaszcza rejestrowane, są doręczane. Brak doręczenia zwykle powodują szczególne okoliczności, np. niedostatki w obsłudze pocztowej, błędne zaadresowanie przesyłki, znana nadawcy nieobecność adresata w miejscu zamieszkania itp. Wykazanie istnienia takich okoliczności wystarczy do podważenia wiarygodności omawianego dowodu prima facie". Sąd Najwyższy również postanowieniu z 21 grudnia 2021 r., sygn. akt II CSK 501/21 (LEX nr 3322213) stwierdził, że dowód nadania przesyłki rejestrowanej nie zawsze wystarcza do udowodnienia jej doręczenia. Domniemanie doręczenia przesyłki rejestrowanej, wynikające z dowodu jej nadania, może być przez adresata obalone przez wykazanie, że nie miał możliwości zapoznania się z zawartym w niej oświadczeniem woli.
Zaznaczyć przy tym należy, że z akt sprawy nie wynika, aby K.R. wykazała okoliczności, które mogłyby obalić domniemanie doręczenia jej ww. listów poleconych, a mianowicie, że nie otrzymała tychże listów, nie poinformowała Banku o zmianie adresu lub - chociażby - że zgłosiła reklamację w urzędzie pocztowym.
W świetle powyższego należy przyjąć, że skoro S. S.A. dysponuje dowodami nadania spornej korespondencji, a jej adresat w toku postępowania administracyjnego nie wykazał okoliczności, które mogłyby obalić domniemanie doręczenia listów poleconych, to nie ma podstaw do przyjęcia, że Bank nie dopełnił obowiązku "poinformowania" o którym mowa w art. 105a ust.3 Prawa bankowego.
Z uzasadnienia zaskarżonej decyzji wynika, że według Prezesa UODO przesłanka "poinformowania" o przetwarzaniu przez Bank danych osobowych K.R. zgodnie z art. 105a ust. 3 Prawa bankowego zostałaby spełniona w przypadku przedstawienia przez Bank dowodu na prawidłowe doręczenie skarżącej dokumentu, w treści którego zawarta była informacja o okolicznościach wskazanych w tym przepisie, zaś samo oświadczenie o wysłaniu korespondencji i przedstawienie kopii wydruku z pocztowej książki nadawczej nie stanowi dowodu na jej dostarczenie lub poinformowanie o jej treści adresata.
Sąd orzekający w niniejszej sprawie powyższego stanowiska nie podziela. Zgodnie z wykładnią językową "poinformować" to "udzielić informacji", "powiadomić o czymś" (Słownik Języka Polskiego PWN, https://sjp.pwn.pl). Nie można zatem uznać, że "poinformowanie", o którym mowa w art. 105a ust. 3 Prawa bankowego, ma miejsce wyłącznie w sytuacji, gdy bank dysponuje - w przypadku nadania przesyłki drogą pocztową - dowodem jej doręczenia adresatowi. Wystarczające dla uznania, że przesłanka "poinformowania" została spełniona jest wykazanie przez bank, że przesyłka została wysłana listem poleconym i nie została zwrócona do adresata, a takie właśnie okoliczności miały miejsce w niniejszej sprawie.
Zaznaczyć należy, że w uzasadnieniu zaskarżonej decyzji organ, na poparcie swego stanowiska, powołał fragment wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 15 marca 2017 r. sygn. akt II SA/Wa 1695/16 (publ. CBOSA), przy czym, jak trafnie wskazał Bank w treści skargi, stan faktyczny ww. sprawy będącej przedmiotem oceny Sądu jest całkowicie odmienny, od tego, który stanowi podstawę zaskarżonej decyzji w niniejszej sprawie. Sąd wskazał bowiem, że "(...) samo potwierdzenie komputerowe w prawym górnym rogu pism "PRZESYŁKA NIESTEMPLOWANA, Data nadania 2015-080-07", nie stanowi potwierdzenia wysłania pism (...) zwłaszcza, iż jak podaje sam Bank jest to "data ponownego wygenerowania pisma w związku z analizą pism skarżącej". Także zrzut ekranu komputerowego ww. aplikacji, z uwagi na "zakodowany" system zgromadzonych tam danych, bez głębszej analizy specjalistycznej (z zakresu informatyki), nie przedstawia wiarygodnego dowodu, iż poza wygenerowaniem przedmiotowych pism w istocie doszło do ich wysłania skarżącej. Dostrzec przy należy, iż Bank przedłożył dowody, które sam sporządził i to w taki sposób, który nie pozwala zweryfikować przedstawionego przezeń stanowiska. Skarżąca zaś kategorycznie stwierdza (bez potrzeby przesłuchiwania jej w charakterze świadka na tę okoliczność), iż spornych pism nie otrzymała. Bank nie dysponuje przy tym dowodem nadania przesyłek doręczycielowi, a w każdym razie w toku postępowania administracyjnego takowych nie przedstawił. Słuszne jest wprawdzie twierdzenie, że żaden przepis ustawy Prawo bankowe nie wymaga aby obowiązek informacyjny, o którym mowa w art. 105a ust. 3 tej ustawy, był realizowany przy pomocy przesyłek rejestrowanych - listów poleconych. Podkreślić jednak należy, iż w przypadku sporu ciężar dowodu doręczenia pisma spoczywa na stronie spełniającej obowiązek informacyjny. Wprawdzie w toku postępowania administracyjnego organ orzekający ocenił przedstawione przez Bank dokumenty, ale nie wynika z nich realizacja przez Bank (...) w stosunku do skarżącej obowiązku informacyjnego (wysłania, a nie tylko wygenerowania pism). Zatem Generalny Inspektor przedwcześnie przyjął, nie dysponując ku temu wystarczającym materiałem dowodowym, że doręczono skarżącej ww. sporne pisma, lub też Bank dołożył wymaganej w tych okolicznościach staranności, aby adresat pism informacyjnych mógł zaznajomić się z ich treścią".
W świetle powyższego stanowiska Sądu można przyjąć, że dla spełnienia obowiązku informacyjnego z art. 105a ust. 3 Prawa bankowego wystarczające jest wysłanie wymaganej korespondencji listem poleconym i dysponowanie dowodem jego nadania, co stanowi podstawę domniemania, że przesłanka została doręczona adresatowi. Takie rozumienie przesłanki "poinformowania", o którym mowa w ww. przepisie, wbrew stanowisku organu, znajduje także poparcie w treści art. 14 ust. 1 pkt 3 ustawy z dnia 9 kwietnia 2010 r. o udostępnianiu informacji gospodarczych i wymianie danych gospodarczych (Dz. U. z 2020 r., poz. 389 ze zm.), zgodnie z którym, wierzyciel może przekazać do biura (informacji gospodarczej) informacje gospodarcze o zobowiązaniu dłużnika będącego konsumentem wyłącznie wówczas, gdy: upłynął co najmniej miesiąc od wysłania przez wierzyciela listem poleconym albo doręczenia dłużnikowi będącemu konsumentem do rąk własnych, na adres do doręczeń wskazany przez dłużnika będącego konsumentem, a jeżeli nie wskazał takiego adresu - na adres miejsca zamieszkania albo na adres do doręczeń elektronicznych wpisany do bazy adresów elektronicznych, wezwania do zapłaty, zawierającego ostrzeżenie o zamiarze przekazania danych do biura, z podaniem firmy i adresu siedziby tego biura. W świetle ww. przepisu przesłanka przekazania informacji (a więc poinformowania) o zobowiązaniu dłużnika jest spełniona w przypadku upływu miesiąca od wysłania przez wierzyciela listem poleconym wezwania do zapłaty. W ten sam sposób należy, w ocenie Sądu, wykładać art. 105a ust. 3 Prawa bankowego przyjmując, że termin "30 dni od poinformowania" przez bank danej osoby o zamiarze przetwarzania jej danych osobowych, bez jej zgody, biegnie od daty wysłania listem poleconym stosownego oświadczenia banku w tym przedmiocie.
Odnosząc się do argumentacji organu, że ostatecznie to upływ 30 dni od momentu poinformowania stanowi wypełnienie przesłanek z art. 105a ust. 3 Prawa bankowego należy zwrócić uwagę, że w stanie faktycznym niniejszej sprawy, jak wynika z wyjaśnień Banku z dnia 22 marca 2021 r. (k- 42 akt adm.), przetwarzanie przez Bank danych dotyczących umów kredytowych K.R. w oparciu o art. 105a ust. 3 Prawa bankowego rozpoczęło się dopiero z chwilą wygaśnięcia zobowiązań wynikających z tych umów, a więc w odniesieniu do umowy o kredyt gotówkowy nr [...] w dniu [...] czerwca 2016 r., a w odniesieniu do umowy o przyznanie limitu kredytowego i wydanie karty C. nr [...] w dniu [...] sierpnia 2019 r. Natomiast Bank przesłał K.R. informacje o zamiarze przetwarzania jej danych osobowych w sposób przewidziany w tym przepisie listami poleconymi w czerwcu 2014 r.
Końcowo Sąd zauważa, że znane są mu z urzędu orzeczenia sądów administracyjnych powołane przez organ w odpowiedzi na skargę (np. wyroki Naczelnego Sądu Administracyjnego: z dnia 7 sierpnia 2018 r. sygn. akt I OSK 2123/16, z dnia 27 sierpnia 2019 r. sygn. akt I OSK 2514/17) i co do zasady podziela poglądy w nich zawarte. Jednakże, co należy podkreślić, orzeczenia te zapadły w odmiennych stanach faktycznych, w których banki nie były w stanie wykazać, że informacja o zamiarze przetwarzania danych w oparciu o art. 105a ust. 3 Prawa bankowego została skierowana do indywidualnie oznaczonego adresata, a nadto, że została wysłana w sposób korzystający z domniemania jej doręczenia, tj. listem poleconym, tak jak w niniejszej sprawie. Sąd podziela przy tym stanowisko wyrażone przez Wojewódzki Sąd Administracyjny w Warszawie w wyrokach - z 10 marca 2020 r. sygn. akt II SA/Wa 2037/19, z 25 sierpnia 2021 r. sygn. akt II SA/Wa 262/21 oraz z 29 marca 2022 r. sygn. akt II SA/Wa 3181/21 (publ. CBOSA), które zapadły w analogicznych stanach faktycznych.
Z powyższego wynika, że zarzuty skargi są uzasadnione. Prezes UODO dokonał nieprawidłowej wykładni art. 105a ust. 3 Prawa bankowego, naruszył powołane w skardze przepisy postępowania i w konsekwencji dopuścił się naruszenia art. 58 ust. 2 lit. b i c RODO.
Mając powyższe na uwadze, Sąd na podstawie art. 145 § 1 pkt 1 lit. a i c P.p.s.a. orzekł jak w punkcie 1 sentencji wyroku. O kosztach postępowania, obejmujących wpis od skargi oraz wynagrodzenie pełnomocnika w stawce minimalnej wraz z opłatą skarbową od pełnomocnictwa, Sąd postanowił w oparciu o art. 200 i art. 205 § 2 jak w punkcie 2 sentencji wyroku.
W niniejszej sprawie nie zachodziły natomiast okoliczności, które uzasadniałyby zastosowanie przez Sąd art. 145a § 1 P.p.s.a.