III OSK 1533/21

III OSK 1533/21 - Wyrok NSA
Data orzeczenia
2022-10-21
orzeczenie prawomocne
Data wpływu
2021-01-04
Sąd
Naczelny Sąd Administracyjny
Sędziowie
Tadeusz Lipiński
Wojciech Jakimowicz
Zbigniew Ślusarczyk /przewodniczący sprawozdawca/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Sygn. powiązane
II SA/Wa 1841/17 - Wyrok WSA w Warszawie z 2019-01-11
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych~Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę kasacyjną
Powołane przepisy
Dz.U. 2016 poz 922
art. 23 ust. 1 pkt 5, art. 31
Ustawa z dnia 29 sierpnia 1997 r. o ochronie danych osobowych - tekst jedn.
Dz.U. 2016 poz 1988
art. 6a ust. 1 pkt 2
Ustawa z dnia 29 sierpnia 1997 r. Prawo bankowe.
Sentencja
Naczelny Sąd Administracyjny w składzie: Przewodniczący: Sędzia NSA Zbigniew Ślusarczyk (spr.) Sędziowie Sędzia NSA Wojciech Jakimowicz Sędzia del. WSA Tadeusz Lipiński po rozpoznaniu w dniu 21 października 2022 r. na posiedzeniu niejawnym w Izbie Ogólnoadministracyjnej skargi kasacyjnej U. P., E. P., M. P. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 11 stycznia 2019 r. sygn. akt II SA/Wa 1841/17 w sprawie ze skargi U. P., E. P., M. P. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia 6 września 2017 r. nr DOLiS/DEC-1090/17/67680/17,67683/17,67686/17 w przedmiocie przetwarzania danych osobowych oddala skargę kasacyjną.
Uzasadnienie
Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z 11 stycznia 2019 r. sygn. akt II SA/Wa 1841/17, na podstawie art. 151 ustawy z 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2018 r., poz. 1302 ze zm.) dalej "p.p.s.a." oddalił skargę U. P., E. P., M. P. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z 6 września 2017 r. nr DOLiS/DEC-1090/17/67680/17,67683/17,67686/17 w przedmiocie przetwarzania danych osobowych.
W uzasadnieniu wyroku Sąd pierwszej instancji wskazał, że sprawa została zainicjowana skargą U. P., E. P., M. P., wniesioną do organu ochrony danych osobowych na przekazanie ich danych osobowych przez [...] Bank S.A. z siedzibą we W. do Kancelarii Prawnej "L." sp. k. z siedzibą we W. Sąd podzielił pogląd Generalnego Inspektora Ochrony Danych Osobowych, że przekazanie danych osobowych skarżących znajdowało umocowanie w art. 31 ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.U. z 2016, poz. 922) zwanej dalej "u.o.d.o." [...] Bank S.A. i Kancelaria Prawna "L." sp. k. z siedzibą we W. zawarły bowiem umowę powierzenia, co oznacza, że bank, przetwarzając dane osobowe skarżących w celu dochodzenia roszczeń wynikających z umowy kredytowej, był administratorem ich danych osobowych, natomiast Kancelaria Prawna "L." była podmiotem, któremu powierzono przetwarzanie danych osobowych skarżących, w celu dochodzenia roszczeń banku. W konsekwencji zdaniem Sądu pierwszej instancji przetwarzanie danych osobowych było dopuszczalne i zgodne z przepisami ustawy.
Sąd pierwszej instancji podkreślił także, że organ nie posiadał kompetencji do oceny, czy roszczenie banku było uzasadnione, ponieważ właściwym do rozstrzygania kwestii istnienia zobowiązania jest sąd powszechny. Zdaniem Sądu postępowanie było prowadzone przez Generalnego Inspektora Ochrony Danych Osobowych zgodnie z zasadami określonymi w Kodeksie postępowania administracyjnego, w tym również w zgodzie z art. 7 k.p.a. Nietrafne były w ocenie Sądu zarzuty nieprzeprowadzenia stosownych dowodów, ponieważ zgromadzony materiał dowodowy był wystarczający do wydania decyzji w zakresie kompetencji organu.
Skargę kasacyjną złożyli U. P., E. P. i M. P., zaskarżając powyższy wyrok w całości. Zarzucili naruszenie przepisów postępowania, tj.:
a) art. 7 k.p.a., czyli tzw. zasady prawdy obiektywnej, która nakazuje organowi administracji publicznej stać na straży praworządności i z urzędu, a już w szczególności na wniosek strony, wyjaśnić wszystkie i wszelkie okoliczności faktyczne mogące mieć wpływ na wynik sprawy,
b) art. 75 § 1 k.p.a., który stanowi, iż "Jako dowód należy dopuścić wszystko, co może przyczynić się do wyjaśnienia sprawy, a nie jest sprzeczne z prawem. W szczególności dowodem mogą być dokumenty, zeznania świadków, opinie biegłych oraz oględziny." - przez brak przeprowadzenia dowodu z historii wpłat skarżących na konto [...] Bank S.A., któremu zarzucają skarżący bezprawne przetwarzanie danych osobowych,
c) art. 106 § 3 p.p.s.a. przez brak zastosowania tego przepisu i brak przeprowadzenia przez Sąd dowodów z dokumentów, które jako jedyne mogły udowodnić stan faktyczny takim jak był, a nie takim jak go przedstawiła strona zainteresowana w sprawie korzystnym dla niej wynikiem tj. bank,
d) art. 233 § 1 Kodeksu postępowania cywilnego w zw. z art. 106 § 5 p.p.s.a.,
e) art. 141 § 4 p.p.s.a. – przez "brak wyczerpującej i należycie wyjaśniającego uzasadnienia wyroku" w zakresie zarzutu skargi z 9 października 2017 r. odnośnie do naruszenia zasady prawdy obiektywnej i braku należytego zebrania materiału dowodowego.
W oparciu o tak sformułowane zarzuty U. P., E. P. i M. P. wnieśli "o zmianę zaskarżonego orzeczenia w całości w zakresie stwierdzenia", iż doszło do bezprawnego przetwarzania danych osobowych skarżących przez [...] Bank S.A. oraz o zasądzenie na ich rzecz kosztów postępowania sądowego według norm przepisanych, w tym kosztów zastępstwa procesowego w postępowaniu kasacyjnym.
W uzasadnieniu skargi kasacyjnej wskazali, że przedmiotem sporu nie jest interpretacja przepisów u.o.d.o., a kwestia ustalenia stanu faktycznego w zakresie uznania, czy bank miał prawo do przekazania danych osobowych skarżących osobie trzeciej. Zdaniem skarżących wydaje się bezsporne, że bank mógł powierzyć te dane dopiero wtedy, gdy zaistniała taka konieczność. W ocenie WSA momentem uprawniającym bank do przekazania danych skarżących był moment powstania zaległości w racie kredytowej. Skarżący kasacyjnie kwestionują takie stanowisko jako niezgodne z zawartą umową kredytową, wedle której bank miał obowiązek wezwać skarżących do dobrowolnej zapłaty istniejącego długu.
Autorka skargi kasacyjnej wskazała, że bank zaniechał zweryfikowania terminu doręczenia monitu skarżącym i nie ustalił, czy i kiedy istnieje przeterminowana zaległość uprawniająca bank do przekazania danych osobowych skarżących firmie windykacyjnej. Podkreśliła, że bank przekazał dane osobowe skarżących przed upływem terminu do dobrowolnego uregulowania zobowiązania. Organ odmawiając przeprowadzenia wnioskowanych dowodów naruszył zasadę prawdy obiektywnej, opierając się na oświadczeniu banku niepopartym żadnymi dowodami w spornych i istotnych dla rozstrzygnięcia kwestiach. W ocenie skarżących kasacyjnie Sąd pierwszej instancji skupił się wyłącznie na istnieniu zadłużenia i pominął okoliczność istnienia oraz związania banku i skarżących treścią umowy regulującej warunki windykacji, a w konsekwencji także podstawę przekazania danych kredytobiorców osobom trzecim.
W odpowiedzi na skargę kasacyjną Prezes Urzędu Ochrony Danych Osobowych (następca prawny Generalnego Inspektora Ochrony Danych Osobowych) wniósł o oddalenie skargi kasacyjnej. Organ w całości podtrzymał stanowisko zajęte w sprawie i podzielił argumentację przedstawioną w zaskarżonym wyroku.
Zarządzeniem Przewodniczącej Wydziału III Izby Ogólnoadministracyjnej NSA z 7 lipca 2022 r. w związku z brakiem zgody wszystkich stron na rozpoznanie sprawy na posiedzeniu niejawnym, na podstawie art. 15 zzs4 ust. 1 i 3 ustawy z 2 marca 2020 r. o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19, innych chorób zakaźnych oraz wywołanych nimi sytuacji kryzysowych (Dz. U. z 2020 r., poz. 1842) sprawa została skierowana na posiedzenie niejawne z uwagi na to, że przeprowadzenie rozprawy na odległość z jednoczesnym bezpośrednim przekazem obrazu i dźwięku nie było możliwe.
Sprawę rozpoznano na posiedzeniu niejawnym w składzie trzech sędziów na podstawie art. 15zzs4 ust. 1 - 3 ustawy z dnia 2 marca 2020 r. o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19, innych chorób zakaźnych oraz wywołanych nimi sytuacji kryzysowych (Dz. U. poz. 374 ze zm.), w brzmieniu nadanym przez art. 4 pkt 3 ustawy z dnia 28 maja 2021 r. o zmianie ustawy - Kodeks postępowania cywilnego oraz niektórych innych ustaw (Dz. U. z 2021 r., poz. 1090). Zgodnie z ww. regulacją "[w] okresie obowiązywania stanu zagrożenia epidemicznego albo stanu epidemii ogłoszonego z powodu COVID-19 oraz w ciągu roku od odwołania ostatniego z nich Naczelny Sąd Administracyjny nie jest związany żądaniem strony o przeprowadzenie rozprawy (...)", w okresie tym "wojewódzkie sądy administracyjne oraz Naczelny Sąd Administracyjny przeprowadzają rozprawę przy użyciu urządzeń technicznych umożliwiających przeprowadzenie jej na odległość z jednoczesnym przekazem obrazu i dźwięku, z tym że osoby w niej uczestniczące nie muszą przebywać w budynku sądu". Stosownie do ustępu 3 ww. artykułu "[p]rzewodniczący może zarządzić przeprowadzenie posiedzenia niejawnego, jeżeli uzna rozpoznanie sprawy za konieczne, a nie można przeprowadzić jej na odległość z jednoczesnym bezpośrednim przekazem obrazu i dźwięku". W ocenie Naczelnego Sądu Administracyjnego rozpoznanie sprawy było konieczne z uwagi na długość toczącego się postępowania sądowego. W tej szczególnej sytuacji rozpoznanie skargi kasacyjnej na posiedzeniu niejawnym było w ocenie NSA rozsądnym kompromisem pomiędzy prawem stron do jawnego rozpoznania sprawy, a prawem do rozpoznania sprawy bez nieuzasadnionej zwłoki (art. 45 Konstytucji RP) oraz zasadą proporcjonalności, z której wynika możliwość ograniczenia konstytucyjnych praw z uwagi na konieczność ochrony zdrowia. Strony uprzedzono o takim trybie rozpoznania sprawy i umożliwiono im zajęcie ostatecznego stanowiska w sprawie pisemnie.
Naczelny Sąd Administracyjny zważył, co następuje:
Stosownie do art. 183 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz. U. z 2022 r. poz. 329), zwanej dalej p.p.s.a., Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, biorąc pod rozwagę z urzędu jedynie nieważność postępowania. W rozpoznawanej sprawie nie zachodzi żadna z okoliczności skutkujących nieważnością postępowania, o jakich mowa w art. 183 § 2 p.p.s.a. i nie zachodzi żadna z przesłanek, o których mowa w art. 189 p.p.s.a., które Naczelny Sąd Administracyjny rozważa z urzędu dokonując kontroli zaskarżonego skargą kasacyjną wyroku. W tych okolicznościach w sprawie badaniu podlegały wyłącznie zarzuty podniesione w skardze kasacyjnej na uzasadnienie przytoczonych podstaw kasacyjnych.
Rozpoznanie sprawy wyłącznie w granicach skargi kasacyjnej, oznacza związanie przytoczonymi w skardze kasacyjnymi jej podstawami, określonymi w art. 174 p.p.s.a oraz zarzutami. Sąd kasacyjny nie ma prawa rozwijać, czy też doprecyzowywać, bądź uzupełniać stawianych zarzutów. Nie jest również władny badać, czy zaskarżony wyrok nie narusza innych przepisów niż wskazane w podstawach, na których skargę kasacyjną oparto (por. wyroki Naczelnego Sądu Administracyjnego w Warszawie z 12 kwietnia 2018 r., sygn. II OSK 2457/17, z 8 marca 2018 r., sygn. I OSK 955/16, z 2 marca 2018 r., sygn. I OSK 2306/17, z 25 listopada 2014 r., sygn. II GSK 1253/13, z 27 listopada 2015 r., sygn. I OSK 902/14). Skarga kasacyjna jest sformalizowanym środkiem zaskarżenia sporządzanym przez fachowego pełnomocnika procesowego. W skardze tej zatem winny być sprecyzowane zarzuty kasacyjne w taki sposób, by możliwe było odniesienie się przez ich treść do zaskarżonego orzeczenia. Tego wymogu nie spełniają powołane w skardze kasacyjnej zarzuty wskazane w punktach a) i b), tj. naruszenia przepisów postępowania: art. 7 k.p.a. i art. 75 § 1 k.p.a.
W zakresie zarzutu naruszenia przepisów postępowania, nie jest wystarczające zarzucenie naruszenia przepisów procedury administracyjnej. Prawidłowa konstrukcja zarzutu opartego na podstawie kasacyjnej przewidzianej w art. 174 pkt 2 p.p.s.a. winna wskazywać na naruszenie art. 145 § 1 pkt 1 lit. c) p.p.s.a. w związku z konkretnymi przepisami procedury administracyjnej, których naruszenie dawałoby podstawę do uchylenia zaskarżonego wyroku, należy także wykazać, że uchybienie to miało istotny wpływ na wynik sprawy. Skarga kasacyjna w części nie spełnia tych wymogów, bowiem naruszenie art. 7 k.p.a. i art. 75 § 1 k.p.a. nie zostało powiązane z naruszeniem art. 145 § 1 pkt 1 lit. c) p.p.s.a. (lub także z innymi przepisami p.p.s.a.), a co było konieczne, bowiem Sąd I instancji samodzielnie nie stosuje przepisów postępowania administracyjnego, a wyłącznie ogranicza się do kontroli poprawności zastosowania tych przepisów. Wyłączną podstawę działań i rozstrzygnięć podejmowanych przez sąd administracyjny stanowią przepisy postępowania sądowoadministracyjnego. Stanowią one tzw. normy odniesienia. Normami tymi nie są przepisy k.p.a., które tworzą z kolei tzw. normy dopełnienia (por. wyrok NSA z 12 stycznia 2012 r., sygn. I FSK 199/11). Naruszenie norm odniesienia przez sąd polega na niedostrzeżeniu naruszenia przez organ norm dopełnienia. W rozpoznawanej sprawie brak jest w konstrukcji zarzutów a) i b) powiązania norm dopełnienia z normami odniesienia.
Jednak Naczelny Sąd Administracyjny realizując zawarty w art. 174 pkt. 1 i 2 oraz art. 183 § 1 p.p.s.a. obowiązek, zobligowany jest w procesie kontroli kasacyjnej odnieść się do wszystkich zarzutów przytoczonych w podstawach kasacyjnych (vide uchwała pełnego składu NSA z 26 października 2009 r., sygn. akt I OPS 10/09). Obowiązek przeprowadzenia kontroli merytorycznej zarzutu rozciąga się jednak tylko na te przypadki, gdy wadliwość zarzutu jest możliwa do usunięcia w drodze rozumowania poprzez analizę argumentacji zawartej w uzasadnieniu środka odwoławczego. Mając na uwadze treść powyższej uchwały Naczelny Sąd Administracyjny po analizie petitum skargi kasacyjnej i jej uzasadnienia, przyjął, iż jej autorka naruszenia wskazanych przepisów art. 7 k.p.a. i art. 75 § 1 k.p.a. upatruje także w naruszeniu przepisu art. 145 § 1 pkt 1 lit. c) p.p.s.a.
W skardze kasacyjnej zarzucono tylko naruszenie przepisów postępowania, tj. art. 7, art. 75 § 1 k.p.a., art. 106 § 3 i 5 p.p.s.a. i art. 233 § 1 k.p.c. Istota tych zarzutów sprowadza się do twierdzenia, że organ administracji i Sąd na skutek nieprzeprowadzenia dodatkowych dowodów zawnioskowanych przez skarżących nie wyjaśnili wszelkich okoliczności faktycznych mogących mieć wpływ na wynik sprawy. Ponadto zarzucono naruszenie art. 141 § 4 p.p.s.a. przez "brak wyczerpującego i należycie wyjaśniającego uzasadnienia wyroku w zakresie zarzutu skargi odnośnie do naruszenia zasady prawdy obiektywnej i braku należytego zebrania materiału dowodowego". Nie zarzucono natomiast błędnej wykładni lub niewłaściwego zastosowania przepisów prawa materialnego. Tymczasem, w niniejszej sprawie to wykładnia mających zastosowanie przepisów prawa materialnego determinowała zakres postępowania dowodowego niezbędnego do prawidłowego rozstrzygnięcia niniejszej sprawy.
Sąd I instancji podzielił stanowisko organu co do wykładni przepisów prawa materialnego. Sąd ten wskazał, że z treści art. 1 ust. 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.U. z 2016, poz. 922) dalej jako u.o.d.o. wynika, iż przysługujące każdemu prawo do ochrony dotyczących go danych osobowych, nie ma charakteru absolutnego, bowiem przetwarzanie danych może mieć miejsce ze względu na dobro publiczne, dobro osoby, której dane dotyczą lub dobro osób trzecich w zakresie i trybie określonym ustawą. Ochrona danych osobowych nie powinna zatem posiadać prymatu pierwszeństwa i funkcjonować w oderwaniu od przepisów służących ochronie innych wartości. Przepis art. 12 u.o.d.o. statuuje główne zadania i kompetencje Generalnego Inspektora Ochrony Danych Osobowych, który pełni zarówno funkcję organu kontrolującego poprawność przetwarzania danych osobowych zgodnie z obowiązującymi przepisami oraz rzecznika interesów poszczególnych osób i interesów publicznych, jak i organu, który w tym zakresie został wyposażony we władcze kompetencje wydawania decyzji administracyjnych i rozpatrywania skarg w sprawach wykonania przepisów o ochronie danych osobowych. Z regulacji art. 18 ust. 1 u.o.d.o. wynika, iż GIODO w przypadku naruszenia przepisów o ochronie danych osobowych nakazuje z urzędu lub na wniosek osoby zainteresowanej, w drodze decyzji administracyjnej, przywrócenie stanu zgodnego z prawem, a w szczególności: 1) usunięcie uchybień, 2) uzupełnienie, uaktualnienie, sprostowanie, udostępnienie lub nieudostępnienie danych osobowych, 3) zastosowanie dodatkowych środków zabezpieczających zgromadzone dane osobowe, 4) wstrzymanie przekazywania danych osobowych do państwa trzeciego, 5) zabezpieczenie danych lub przekazanie ich innym podmiotom, 6) usunięcie danych osobowych. Stosownie do treści art. 7 pkt 2 u.o.d.o. przez przetwarzanie danych osobowych rozumie się jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych. W świetle art. 23 ust. 1 ww. ustawy, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy: 1) osoba, której dane dotyczą, wyrazi na to zgodę, chyba że chodzi o usunięcie dotyczących jej danych, 2) jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa, 3) jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą, 4) jest niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego, 5) jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Analiza powyższych przesłanek dopuszczających przetwarzanie danych osobowych prowadzi do wniosku, iż zgoda osoby, której dane dotyczą, będzie zawsze legalizowała przetwarzanie jej danych osobowych przez podmiot, który taką zgodę uzyskał. Natomiast zgoda osoby, której dane dotyczą, na przetwarzanie jej danych osobowych nie jest wymagana wówczas, gdy administrator danych potrafi wskazać przepis prawa legalizujący dokonywanie czynności, o których mowa w art. 7 ust. 2 ustawy. Zaznaczyć w tym miejscu należy, iż administrator danych może przetwarzać dane osobowe samodzielnie, nie ma jednak przeszkód, aby w ramach dozwolonych przez prawo rozwiązań korzystał z usług innych podmiotów. Możliwość taką przewiduje art. 31 u.o.d.o., zgodnie z którym, administrator danych może powierzyć innemu podmiotowi, w drodze umowy zawartej na piśmie, przetwarzanie danych (ust. 1). Podmiot, o którym mowa w ust. 1. może przetwarzać dane wyłącznie w zakresie i celu przewidzianym w umowie (ust. 2). Podmiot, o którym mowa w ust. 1, jest obowiązany przed rozpoczęciem przetwarzania danych podjąć środki zabezpieczające zbiór danych, o których mowa w art. 36-39, oraz spełnić wymagania określone w przepisach, o których mowa w art. 39a. W zakresie przestrzegania tych przepisów podmiot ponosi odpowiedzialność jak administrator danych (ust. 3). W przypadkach, o których mowa w ust. 1-3, odpowiedzialność za przestrzeganie przepisów niniejszej ustawy spoczywa na administratorze danych, co nie wyłącza odpowiedzialności podmiotu, który zawarł umowę, za przetwarzanie danych niezgodnie z tą umową (ust. 4). Do kontroli zgodności przetwarzania danych przez podmiot o którym mowa w ust. 1 z przepisami o ochronie danych osobowych stosuje się odpowiednio przepisy art. 14-19 (ust. 5). Ponadto, zgodnie z art. 6a ust. 1 pkt 2 ustawy z 29 sierpnia 1997 r. Prawo bankowe (Dz. U. z 2016 r. poz.1988 ze zm.) bank może, w drodze umowy zawartej na piśmie, powierzyć przedsiębiorcy lub przedsiębiorcy zagranicznemu, z zastrzeżeniem art. 6d, wykonywanie czynności faktycznych związanych z działalnością bankową. Zgodnie zaś z art. 7 pkt 6 lit. a ustawy o ochronie danych osobowych przez odbiorcę danych rozumie się każdego, komu udostępnia się dane osobowe, z wyłączeniem podmiotów, o których mowa w art. 31 tej ustawy. Administrator danych osobowych powierzając dane osobowe, nie udostępnia ich zatem odbiorcy danych. Do powierzenia danych nie ma tym samym zastosowania art. 23 ust. 1 u.o.d.o., ponieważ nie jest to nowy proces przetwarzania danych osobowych. GIODO nie był natomiast władny oceniać, czy dochodzenie roszczeń przez Bank od skarżących z tytułu zawartej umowy kredytowej było uzasadnione, czy też nie, bowiem przepisy ustawy o ochronie danych osobowych stanowią, że przetwarzanie danych jest dopuszczalne w celu dochodzenia roszczeń na podstawie art. 23 ust. 1 pkt 5 ustawy. Właściwym do rozstrzygania w kwestii istnienia (nieistnienia) zobowiązania z umowy kredytowej, jak słusznie zauważył organ, jest natomiast sąd powszechny.
Mając na względzie wyżej przedstawione uregulowania prawne, Sąd I instancji uznał, że organ przeprowadził wyczerpujące postępowanie dowodowe na podstawie którego organ ustalił prawidłowy stan faktyczny, będący podstawą zaskarżonej decyzji. Należy tu przypomnieć, że skarżący nie kwestionują istnienia podstawy prawnej legalizującej przetwarzanie ich danych osobowych przez Bank w związku z realizacją umowy kredytu hipotecznego, a wskazywali jedynie, że brak było podstawy prawnej do przekazania ich danych osobowych przez Bank kancelarii prawnej w celu egzekucji zaległości, jaka powstała z tytułu spłaty kredytu. gdyż wcześniej już ją uregulowali. Z zaaprobowanych przez Sąd ustaleń organu wynika, że przekazanie danych osobowych skarżących przez Bank Kancelarii Prawnej nastąpiło w oparciu o "Umowę świadczenia usług windykacyjnych", zawartą 1 marca 2011 r. pomiędzy [...] Bank S.A. a Kancelarią Prawną "L.". W związku z tym, że Bank zanotował na koniec 2015 r. zaległość w spłatach kredytu przez skarżących w wysokości 43,79 CHF i 25 złotych, Bank pismem oznaczonym jako monit z 28 grudnia 2015 r., wezwał skarżących do zapłaty zaległości w terminie 5 dni od dnia otrzymania monitu. Skarżący 4 stycznia 2016 r., o godzinie 17.48 dokonali przelewu zaległości, którą to kwotę Bank zaksięgował 5 stycznia 2016 r. Również 5 stycznia 2016 r. Bank powierzył przetwarzanie danych osobowych skarżących Kancelarii Prawnej "L." na podstawie pisemnej umowy, w trybie art. 31 ustawy o ochronie danych osobowych w celu realizacji należności wynikającej z umowy kredytu hipotecznego. Pismem z 7 stycznia 2016 r. Kancelaria Prawna "L." wezwała skarżących do uregulowania zadłużenia wobec Banku. Bank odnotował uregulowanie należności i 7 stycznia 2016 r. zaprzestał przetwarzania przedmiotowych danych w Kancelarii Prawnej. Aktualnie Kancelaria Prawna "L." nie przetwarza danych osobowych skarżących w celach windykacyjnych.
Przedstawiony stan faktyczny w zasadzie jest zgodny z twierdzeniami skarżących. Jedynie w kwestii zaksięgowania spłaty zadłużenia należy wyjaśnić, że wbrew twierdzeniom skarżących, organ ani Sąd nie przyjęły, iż nastąpiło to 7 stycznia 2016 r., lecz 5 stycznia 2016 r., tj. tak jak twierdzą skarżący. Z pisma Banku z 20 września 2016 r. nie wynika, że zaksięgowanie nastąpiło 7 stycznia 2016 r., lecz że "w dniu 7.01.2016 zaprzestał przetwarzania przedmiotowych danych w Kancelarii".
Zdaniem Naczelnego Sądu Administracyjnego ustalone przez organ okoliczności stanowiły wystarczającą podstawę faktyczną do wydania prawidłowego rozstrzygnięcia. Jak to bowiem wskazał Sąd pierwszej instancji, należy zgodzić się z organem, że umowa zawarta 1 marca 2011 r. pomiędzy Bankiem a Kancelarią Prawną "L." wypełnia przesłanki umowy powierzenia, o której mowa w art. 31 ustawy o ochronie danych osobowych, zarówno z uwagi na jej formę (pisemna), jak i treść (określenie celu, dla realizacji którego będą przetwarzane powierzone dane). Oznacza to, że Bank przetwarzając dane osobowe skarżących w celu dochodzenia roszczeń wynikających z umowy kredytowej, był administratorem ich danych osobowych. Natomiast Kancelaria Prawna "L." była podmiotem, któremu powierzono przetwarzanie danych osobowych skarżących, w celu dochodzenia roszczeń Banku. Przetwarzanie danych osobowych przez Kancelarię Prawną w trybie art. 31 ustawy o ochronie danych osobowych było zatem dopuszczalne i zgodne z przepisami tej ustawy. Jeszcze raz należy wyjaśnić, że GIODO nie był natomiast władny oceniać, czy dochodzenie roszczeń przez Bank od skarżących z tytułu zawartej umowy kredytowej było uzasadnione, czy też nie, bowiem przepisy ustawy o ochronie danych osobowych stanowią, że przetwarzanie danych jest dopuszczalne w celu dochodzenia roszczeń na podstawie jej art. 23 ust. 1 pkt 5. Właściwym do rozstrzygania w kwestii istnienia (nieistnienia) zobowiązania z umowy kredytowej, jak słusznie zauważył organ, jest natomiast sąd powszechny. W skardze kasacyjnej nie podjęto nawet próby podważenia przedstawionego tu stanowiska organu, uznanego przez Sąd I instancji za prawidłowe.
Zarzuty podniesione w skardze kasacyjnej oparte są na odmiennym, nieusprawiedliwionym stanowisku podważającym uprawnienie banku jako administratora danych osobowych skarżących, do powierzenia ich danych Kancelarii Prawnej na podstawie art. 31 u.o.d.o. Autorka skargi kasacyjnej całkowicie pomija to, że Bank jako administrator danych osobowych, powierzając te dane, nie udostępnia ich odbiorcy danych. Takim odbiorcą danych nie jest bowiem Kancelaria Prawna. W rezultacie, do powierzenia danych przez Bank - Kancelarii Prawnej "L.", w celu dochodzenia roszczeń banku, nie ma zastosowania art. 23 ust. 1 u.o.d.o. W konsekwencji zbędne było ustalenie w sprawie innych jeszcze okoliczności, szczególnie momentu powstania zaległości w racie kredytowej, terminu doręczenia skarżącym monitu, warunków windykacji wynikających z umowy kredytowej i czy Bank przekazał dane osobowe skarżących przed 5 stycznia 2016 r. Zbędne było tez dalsze prowadzenie postępowania dowodowego w celu ustalenia, czy Kancelaria Prawna nadal przetwarza dane skarżących. Wobec braku wskazania przez skarżących jakichkolwiek okoliczności świadczących, że Bank lub Kancelaria Prawna nadal (po 7 stycznia 2016 r.) przetwarza dane skarżących w celach egzekucji należności, organ i Sąd prawidłowo oparły się na niepodważonym oświadczeniu Banku, że Kancelaria Prawna nie przetwarza już danych osobowych skarżących w celach windykacyjnych na rzecz Banku.
Z tych względów jako niezasadne jawią się zarzuty naruszenia art. 7 k.p.a. i 75 § 1 k.p.a., ponieważ Sąd słusznie uznał, że organ wyjaśnił wszystkie okoliczności faktyczne mogące mieć wpływ na wynik sprawy. Zbędne było przeprowadzenie dowodu z historii wpłat skarżących na konto Banku, któremu skarżący zarzucają bezprawne przetwarzanie danych osobowych, ponieważ, jak wynika z ustaleń organu zaaprobowanych przez Sąd, okoliczności przelewu kwoty zadłużenia (4 stycznia 2016 r.) i zaksięgowania tej wpłaty przez bank (5 stycznia 2016 r.) zostały ustalone zgodnie z wcześniejszymi twierdzeniami skarżących. W konsekwencji zbędne było dopuszczenie dowodu z jakichkolwiek dodatkowych dokumentów przez Sąd na podstawie art. 106 § 3 p.p.s.a. Wobec braku obowiązku przeprowadzenia przez Sąd I instancji uzupełniającego postępowania dowodowego, Sąd nie naruszył również przepisów art. 233 § 1 k.p.c. w zw. z art. 106 § 5 p.p.s.a.
Z tych przyczyn, z braku przesłanek z art. 106 § 3 p.p.s.a. Naczelny Sąd Administracyjny nie uwzględnił wniosku skarżących o przeprowadzenie dowodu z dokumentu bankowego na okoliczność wykazania, że spłaty zadłużenia skarżący dokonali 4 stycznia 2016 r. a została ona zaksięgowana w Banku 5 stycznia 2016 r.
Z braku przesłanek z art. 145 § 1 pkt 1 lit. c) p.p.s.a. Sąd I instancji prawidłowo, na podstawie art. 151 p.p.s.a. oddalił skargę.
Nie można się też zgodzić z zarzutem naruszenia art. 141 § 4 p.p.s.a. Zdaniem Naczelnego Sądu Administracyjnego Sąd I instancji wyczerpująco i należycie wyjaśnił przez pryzmat przepisów ustawy o ochronie danych osobowych w uzasadnieniu wyroku, dlaczego nie stwierdził aby doszło do naruszenia przez GIODO zasady prawdy obiektywnej wynikającej z art. 7 k.p.a. Z uzasadnienia zaskarżonego wyroku wynika też, dlaczego Sąd uznał za bezzasadne zarzuty zaniechania przeprowadzenia stosownych dowodów. Odmienne stanowisko Sądu co do zakresu koniecznego do przeprowadzenia postępowania dowodowego, nie uprawnia do postawienia Sądowi pierwszej instancji skutecznego zarzutu naruszenia art. 141 § 4 p.p.s.a.
Mając na uwadze powyższe wywody, Naczelny Sąd Administracyjny uznał, że skarga kasacyjna nie ma usprawiedliwionych podstaw, dlatego na mocy art. 184 p.p.s.a. ją oddalił.