III OSK 1890/22

III OSK 1890/22 - Wyrok NSA
Data orzeczenia
2025-10-17
orzeczenie prawomocne
Data wpływu
2022-08-02
Sąd
Naczelny Sąd Administracyjny
Sędziowie
Hanna Knysiak - Sudyka /sprawozdawca/
Olga Żurawska - Matusiak /przewodniczący/
Wojciech Jakimowicz
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Inne
Sygn. powiązane
II SA/Wa 868/21 - Wyrok WSA w Warszawie z 2021-11-10
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Uchylono zaskarżony wyrok i przekazano sprawę do ponownego rozpoznania przez Wojewódzki Sąd Administracyjny
Powołane przepisy
Dz.U. 2019 poz 1781
art. 7 ust. 1, art. 10
Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych (t. j.)
Dz.U. 2020 poz 1740
art. 117 §  2 i §  21, art. 118 i art. 119
Ustawa z dnia 23 kwietnia 1964 r. Kodeks cywilny - t.j.
Dz.U. 2015 poz 1844
art. 29 ust. 10
Ustawa z dnia 11 września 2015 r. o działalności ubezpieczeniowej i reasekuracyjnej
Dz.U. 2024 poz 935
art. 185 §  1
Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t. j.)
Sentencja
Naczelny Sąd Administracyjny w składzie: Przewodniczący sędzia NSA Olga Żurawska-Matusiak Sędziowie: sędzia NSA Wojciech Jakimowicz sędzia del. WSA Hanna Knysiak-Sudyka (spr.) Protokolant asystent sędziego Piotr Rzekiecki po rozpoznaniu w dniu 17 października 2025 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej Prezesa Urzędu Ochrony Danych Osobowych od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 10 listopada 2021 r. sygn. akt II SA/Wa 868/21 w sprawie ze skargi [...] Bank S.A. z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] stycznia 2021 r. nr [...] w przedmiocie przetwarzania danych osobowych 1. uchyla zaskarżony wyrok i przekazuje sprawę do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie; 2. zasądza od [...] Bank S.A. w [...] na rzecz Prezesa Urzędu Ochrony Danych Osobowych kwotę 580 (pięćset osiemdziesiąt) złotych tytułem zwrotu kosztów postępowania kasacyjnego.
Uzasadnienie
Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z 10 listopada 2021 r., sygn. akt II SA/Wa 868/21, po rozpoznaniu sprawy ze skargi [...] Bank S.A. z siedzibą w [...] (dalej: "skarżący" lub "bank") na decyzję Prezesa Urzędu Ochrony Danych Osobowych (dalej: "Prezes UODO" lub "organ") z dnia [...] stycznia 2021 r., nr [...] w przedmiocie przetwarzania danych osobowych, uchylił zaskarżoną decyzję w części obejmującej punkt 1 decyzji (pkt 1) oraz zasądził od organu na rzecz strony skarżącej kwotę 697 złotych tytułem zwrotu kosztów postępowania sądowego (pkt 2).
Wyrok został wydany w następującym stanie faktycznym i prawnym.
Zaskarżoną decyzją Prezes UODO działając na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (Dz.U. z 2020 r., poz. 256 ze zm.; dalej: "k.p.a."), art. 6 ust. 1 lit. c i lit. f oraz art. 58 ust. 2 lit. b Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dziennik Urzędowy Unii Europejskiej, L119, z dnia 4 maja 2016 r.; dalej: "RODO" lub "rozporządzenie 2016/679"), po przeprowadzeniu postępowania administracyjnego zainicjowanego skargą M.M. (dalej: "wnioskodawca" lub "uczestnik postępowania") na nieprawidłowości w procesie przetwarzania jego danych osobowych przez [...] Bank S.A. z siedzibą w [...], polegające na przetwarzaniu jego danych osobowych bez podstawy prawnej:
1. udzielił [...] Bank S.A. z siedzibą w [...] upomnienia za naruszenie art. 6 ust. 1 RODO, polegające na przetwarzaniu danych osobowych M.M. w celu wykonania umowy o zawieranie umów produktowych wraz z umową o bankowość elektroniczną [...] z dnia [...] maja 2013 r. bez podstawy prawnej, w terminie od 25 maja 2018 r. do 20 lutego 2020 r. (pkt 1 zaskarżonej umowy);
2. w pozostałym zakresie odmówił uwzględnienia wniosku (pkt 2 zaskarżonej decyzji).
Na powyższe orzeczenie [...] Bank S.A. z siedzibą w [...] wniosła skargę do Wojewódzkiego Sądu Administracyjnego, który wskazanym powyżej wyrokiem, na podstawie art. 145 § 1 pkt 1 lit. a i c ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2022 r. poz. 329 ze zm.; dalej: "p.p.s.a."), uwzględnił skargę uznając, że w niniejszej sprawie brak było podstaw do skorzystania przez Prezesa UODO z uprawnień naprawczych określonych w art. 58 ust. 2 lit. b RODO w postaci udzielenia upomnienia.
Uzasadniając swoje stanowisko Sąd pierwszej instancji wskazał, że Prezes UODO, wydając wspomnianą decyzję administracyjną w spornej części, dopuścił się - mogącego mieć zasadniczy wpływ na wynik sprawy - naruszenia przepisów procedury administracyjnej, w szczególności art. 107 § 1 i 3 k.p.a. w zw. z art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. z 2019 r., poz. 1781; dalej: "u.o.d.o."), które to naruszenie polegało przede wszystkim na tym, że uzasadnienie zaskarżonej decyzji jest sprzeczne z jej rozstrzygnięciem (sentencją) zawartym w punkcie 1 decyzji, zaś ów brak spójności pomiędzy sentencją a uzasadnieniem decyzji organu nadzorczego, jako stanowiące niemożliwe do konwalidowania naruszenie wspomnianych wyżej przepisów k.p.a., skutkowało w konsekwencji nieuzasadnionym udzieleniem przez organ nadzorczy upomnienia za rzekome naruszenie art. 6 ust. 1 RODO, polegające na przetwarzaniu danych osobowych M.M. w celu wykonania wspomnianych wyżej umów bez podstawy prawnej.
Ponadto Wojewódzki Sąd Administracyjny w Warszawie uznał, że niezależnie od wskazanego powyżej istotnego uchybienia procesowego, Prezes UODO dopuścił się przede wszystkim istotnego naruszenia przepisów prawa materialnego, w tym w szczególności naruszenia art. 6 ust. 1 lit. f RODO w związku z art. 117 § 2 i § 21, art. 118 i art. 119 ustawy z dnia 23 kwietnia 1964 r. - Kodeks cywilny (Dz.U. z 2020 r., poz. 1740; dalej: "k.c."), które to naruszenie polegało na niewłaściwym zastosowaniu wspomnianych przepisów i w konsekwencji nieuzasadnionym przyjęciu, że przechowywanie wspomnianych danych przez okres przedawnienia roszczeń, również w przypadku, gdy ani administrator danych ani osoba, której dane dotyczą, nie zgłosiła jeszcze roszczenia, nie stanowi prawnie uzasadnionego interesu skarżącego, w rozumieniu art. 6 ust. 1 lit. f RODO, gdy tymczasem przepisy te - w ocenie Sądu pierwszej instancji - uprawniają stronę skarżącą do przetwarzania danych osobowych w celu ustalenia, dochodzenia i ochrony przed roszczeniami.
Wojewódzki Sąd Administracyjny w Warszawie wskazał, że doszło również do naruszenia przepisów art. 58 ust. 2 lit. b RODO w zw. z art. 6 ust. 1 RODO, które polegało na ich niewłaściwym zastosowaniu i przyjęciu przez organ, że [...] Bank S.A. dopuściła się naruszenia przepisów RODO, które uzasadniałoby udzielenie skarżącej upomnienia, podczas gdy strona skarżąca legitymowała się podstawami prawnymi do przetwarzania danych osobowych M. O., co też potwierdził w uzasadnieniu spornej decyzji sam organ nadzorczy, wskazując na okoliczności świadczące o posiadaniu przez stronę skarżącą podstaw do przetwarzania danych osobowych byłego klienta, co z kolei świadczyłoby jednak o braku naruszenia przez stronę skarżącą przepisów RODO.
Tym samym Sąd pierwszej instancji uznał, że Prezes Urzędu Ochrony Danych Osobowych - wydając punkt pierwszy spornej decyzji administracyjnej - dopuścił się w powyższym zakresie istotnego naruszenia zasady praworządności, wyrażonej w przepisach art. 6 k.p.a. i art. 7 in principio k.p.a. w zw. z art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych oraz art. 7 Konstytucji RP.
Jak zauważył Sąd pierwszej instancji, Prezes UODO stwierdził w punkcie 1 spornej decyzji, że strona skarżąca naruszyła art. 6 ust. 1 RODO bez wyszczególnienia konkretnej z wymienionych w tym przepisie przesłanek, co oznaczałoby, że zdaniem organu nadzorczego skarżący nie był w ogóle uprawniony do przetwarzania w spornym okresie danych M.M.. Tymczasem takie rozumienie sentencji zawartej w punkcie 1 zaskarżonej decyzji jest w sposób oczywisty sprzeczne z jej uzasadnieniem, ponieważ na stronach 5, 6 i 9 uzasadnienia Prezes UODO przyznał jednocześnie, że skarżący ma prawo przetwarzać dane osobowe klientów, w tym wnioskodawcy, na podstawie przepisów ustawy z dnia 29 września 1994 r. o rachunkowości, a także na podstawie art. 105a ust. 4 i 5 ustawy z dnia 29 sierpnia 1997 r. - Prawo bankowe, co sugerowałoby w konsekwencji, iż organ nadzorczy uznał jednak, że skarżący legitymuje się w związku z powyższym przesłankami, o których mowa w art. 6 ust. 1 lit. c oraz lit. f RODO, co z kolei prowadziłoby do konkluzji, iż nie może być mowy o naruszeniu art. 6 ust. 1 rozporządzenia. Gdyby jednak organ nadzorczy kwestionował możliwość przetwarzania danych w związku z umową, powołując się na fakt jej skutecznego wypowiedzenia przez klienta, sentencja zawarta w spornym punkcie decyzji z dnia [...] stycznia 2021 r. powinna była wskazywać na wadliwe zastosowanie konkretnej przesłanki, a więc w takim przypadku art. 6 ust. 1 lit. b RODO, a nie całego art. 6 ust. 1 tego rozporządzenia unijnego.
Zdaniem Sądu pierwszej instancji Prezes UODO nakładając na stronę skarżącą upomnienie za rzekome naruszenie art. 6 ust. 1 RODO polegające na przetwarzaniu danych osobowych M.M. przez stronę skarżącą bez podstawy prawnej w sposób określony w punkcie 1 spornej decyzji, dopuścił się naruszenia art. 6 ust. 1 lit. f RODO w związku z art. 117 § 2 i § 21 , art. 118 i art. 119 k.c., które to naruszenie polegało na niewłaściwym zastosowaniu wspomnianych przepisów i w konsekwencji nieuzasadnionym przyjęciu, że przechowywanie przez stronę skarżącą wspomnianych danych przez okres przedawnienia roszczeń wynikających z umów, również w przypadku, gdy ani administrator danych, ani osoba, której dane dotyczą, nie zgłosiła jeszcze roszczenia, nie stanowi prawnie uzasadnionego interesu skarżącego, w rozumieniu art. 6 ust. 1 lit. f RODO, gdy tymczasem przepisy te - w ocenie Sądu pierwszej instancji - uprawniały stronę skarżącą do przetwarzania danych osobowych w celu ustalenia, dochodzenia i ochrony przed roszczeniami.
W ocenie Sądu pierwszej instancji nie sposób uznać - jak sugeruje organ - że przesłanka z art. 6 ust. 1 lit. f RODO dotyczy sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia, potrzeba dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem, gdy tymczasem przesłanka z art. 6 ust. 1 lit. f RODO jest ukierunkowana przede wszystkim na ochronę interesów podmiotów sektora gospodarczego. Jej konstrukcja oparta na klauzuli generalnej umożliwia dokonywanie przetwarzania danych w sytuacjach uzasadnionych prowadzoną działalnością biznesową. Wobec powyższego skarżący ma interes prawny, w rozumieniu RODO, do przetwarzania (wyłącznie poprzez ich przechowywanie) danych osobowych wnioskodawcy w celu obrony przed roszczeniami, które mogą być skutecznie dochodzone przez okres przedawnienia roszczeń wynikający z art. 118 k.c.
Zdaniem Sądu pierwszej instancji prawo do prywatności M. O. nie przeważa nad prawnie uzasadnionym interesem skarżącego, gdyż administrator danych jedynie przechowywał w spornym okresie dane uczestnika postępowania z potencjalną możliwością wykorzystania ich w postępowaniu sądowym i to przez znany, z góry określony okres (okres przedawnienia roszczeń). Tymczasem, zgodnie z motywem 47 RODO, interesy i prawa podstawowe osoby, której dane dotyczą, mogą być nadrzędne wobec interesu administratora danych w szczególności w przypadkach, gdy dane osobowe są przetwarzane w sytuacji, w której osoby, których dane dotyczą, nie mają rozsądnych przesłanek, by spodziewać się dalszego przetwarzania. Tym samym uczestnik postępowania mógł i powinien się spodziewać dalszego przetwarzania danych przez stronę skarżącą.
Wojewódzki Sąd Administracyjny w Warszawie wskazał, że całkowicie nieuzasadnione są obawy organu dotyczące rzekomego permanentnego przetwarzania danych przez skarżącego, skoro ten wielokrotnie wskazywał w toku postępowania, że przetwarza dane osobowe M.M. w celu ustalenia, dochodzenia lub obrony roszczeń, z zastosowaniem 6-letniego terminu przedawnienia, którego koniec przypada na ostatni dzień roku kalendarzowego liczonego od daty skutecznego wypowiedzenia umowy. Wbrew obawom Prezesa UODO, po upływie terminu przedawnienia roszczeń nie będzie można mówić już o uzasadnionym interesie do dalszego przetwarzania danych osobowych wnioskodawcy uzyskanych przez skarżącego w związku z zawarciem stosownych umów.
Wojewódzki Sąd Administracyjny uznał, że Prezes Urzędu Ochrony Danych Osobowych, wydając sporną decyzję administracyjną - dopuścił się w powyższym zakresie istotnego naruszenia zasady praworządności wyrażonej w przepisach art. 6 k.p.a. i art. 7 in principio k.p.a. oraz art. 7 Konstytucji RP. Analizowane działanie Prezesa UODO w sposób istotny naruszało także zasadę zaufania obywateli do organów praworządnego państwa i stosowanego przez nie prawa, wyrażoną w art. 8 § 1 k.p.a. Takie działanie organu nie spełniało w sposób ewidentny powyższych warunków, co stanowiło podstawę do wyeliminowania z obrotu prawnego spornej decyzji administracyjnej Prezesa UODO z dnia [...] stycznia 2021 r. w zaskarżonej części.
Skargę kasacyjną od tego wyroku wniósł Prezes UODO, zaskarżając wyrok w całości i zarzucając mu:
1. naruszenie przepisów postępowania, które miało istotny wpływ na wynik sprawy tj.:
a) art. 145 § 1 pkt 1 lit. c p.p.s.a. w zw. z art. 107 § 1 i § 3 k.p.a w zw. z art. 7 ust. 1 u.o.d.o., poprzez uznanie, że uzasadnienie zaskarżonej decyzji jest sprzeczne z jej rozstrzygnięciem zawartym w punkcie pierwszym decyzji, zaś ów brak spójności pomiędzy sentencją a uzasadnieniem decyzji organu nadzorczego, jako stanowiące niemożliwe do konwalidowania naruszenie art. 107 § 1 i 3 k.p.a., skutkowało w konsekwencji nieuzasadnionym udzieleniem przez organ nadzorczy upomnienia skarżącemu za rzekome naruszenie art. 6 ust. 1 RODO, polegające na przetwarzaniu danych osobowych M.M. w celu wykonania umowy o zawieranie umów produktowych wraz z umową o bankowość elektroniczną [...] z dnia [...] maja 2013 r. bez podstawy prawnej;
b) art. 145 § 1 pkt 1 lit. c p.p.s.a. w zw. z art. 6 i art. 7 k.p.a. w zw. z art. 7 ust. 1 u.o.d.o. oraz art. 7 Konstytucji RP poprzez uznanie, że Prezes UODO dopuścił się istotnego naruszenia zasady praworządności stwierdzając, iż bank dopuścił się nieprawidłowości w procesie przetwarzania danych osobowych skarżącego;
2. naruszenie przepisów prawa materialnego, a to:
a) art. 6 ust. 1 w zw. z art. 58 ust. 2 lit. b RODO polegające na ich niewłaściwym zastosowaniu i przyjęciu, że skarżący nie dopuścił się naruszenia przepisów RODO, które to naruszenie uzasadniałoby udzielenie skarżącemu upomnienia, bowiem ten legitymował się podstawami prawnymi do przetwarzania danych osobowych M.M., co w konsekwencji doprowadziło do uchylenia zaskarżonej decyzji w punkcie 1;
b) art. 6 ust. 1 lit. f RODO, polegające na jego nieprawidłowej wykładni poprzez uznanie, że przetwarzanie danych osobowych na wypadek ewentualnych, przyszłych i niepewnych roszczeń stanowi uzasadniony interes prawny administratora, o ile przetwarzanie to odbywa się w terminach przedawnienia roszczeń uregulowanych w art. 118 k.c., co w konsekwencji doprowadziło do uchylenia zaskarżonej decyzji w punkcie 1.
Wobec powyższych zarzutów skarżący kasacyjnie wniósł o uchylenie w całości zaskarżonego wyroku i rozpoznanie skargi, w przypadku uznania, że istota sprawy jest dostatecznie wyjaśniona, ewentualnie o uchylenie w całości zaskarżonego wyroku i przekazanie sprawy do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie, a także o rozpoznanie skargi kasacyjnej na rozprawie. Ponadto wniósł o zasądzenie zwrotu kosztów postępowania na rzecz organu według norm prawem przepisanych.
W uzasadnieniu skargi kasacyjnej skarżący kasacyjnie przedstawił argumentację, mającą na celu wykazanie zasadności podniesionych zarzutów.
W odpowiedzi na skargę kasacyjną strona skarżąca wniosła o oddalenie skargi kasacyjnej w całości jako bezzasadnej oraz zasądzenie na jej rzecz od organu zwrotu kosztów postępowania, w tym kosztów zastępstwa procesowego według nom przepisanych, wraz z kwotą 51 zł uiszczonej tytułem opłaty skarbowej od pełnomocnictwa. Strona skarżąca zawnioskowała również o rozpoznanie sprawy na rozprawie.
Naczelny Sąd Administracyjny zważył, co następuje:
Zgodnie z art. 183 § 1 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz.U. z 2024 r., poz. 935; dalej: "p.p.s.a.") Naczelny Sąd Administracyjny przy rozpatrywaniu sprawy na skutek wniesienia skargi kasacyjnej związany jest granicami tej skargi, a z urzędu bierze pod rozwagę tylko nieważność postępowania w wypadkach określonych w art. 183 § 2 p.p.s.a., z których żaden w rozpoznawanej sprawie nie zachodzi. Oznacza to, że przytoczone w skardze kasacyjnej przyczyny wadliwości prawnej zaskarżonego orzeczenia determinują zakres kontroli dokonywanej przez Naczelny Sąd Administracyjny. Sąd ten, w odróżnieniu od wojewódzkiego sądu administracyjnego, nie bada całokształtu sprawy, lecz jedynie weryfikuje zasadność zarzutów postawionych w skardze kasacyjnej.
Podstawy, na których można oprzeć skargę kasacyjną, zostały określone w art. 174 p.p.s.a. Przepis art. 174 pkt 1 p.p.s.a. przewiduje dwie postacie naruszenia prawa materialnego, a mianowicie błędną jego wykładnię lub niewłaściwe zastosowanie. Przez błędną wykładnię należy rozumieć niewłaściwe zrekonstruowanie treści normy prawnej wynikającej z konkretnego przepisu, natomiast przez niewłaściwe zastosowanie - dokonanie wadliwej subsumcji przepisu do ustalonego stanu faktycznego. Również druga podstawa kasacyjna wymieniona w art. 174 pkt 2 p.p.s.a. – naruszenie przepisów postępowania – może przejawiać się w tych samych postaciach, co naruszenie prawa materialnego, przy czym w wypadku oparcia skargi kasacyjnej na tej podstawie skarżący powinien nadto wykazać istotny wpływ wytkniętego uchybienia na wynik sprawy. Jednocześnie podkreślić należy, że w sytuacji, gdy strona wnosząca skargę kasacyjną zarzuca wyrokowi sądu pierwszej instancji zarówno naruszenie przepisów prawa materialnego, jak i naruszenie przepisów postępowania, w pierwszej kolejności trzeba odnieść się do zarzutu naruszenia przepisów postępowania, bowiem dopiero wówczas, gdy zostanie przesądzone, że stan faktyczny przyjęty przez sąd pierwszej instancji za podstawę orzekania jest prawidłowy albo nie został dostatecznie podważony, można przejść do oceny zasadności zarzutów prawa materialnego. W niniejszej sprawie jednak zarzuty naruszenia przepisów postępowania wiążą się w sposób bezpośredni z zarzutami naruszenia przez Sąd pierwszej instancji prawa materialnego, stąd też zarzuty te muszą być rozpoznane łącznie.
W niniejszej sprawie strona skarżąca kasacyjnie oparła skargę kasacyjną na obu podstawach: naruszeniu prawa materialnego oraz naruszeniu przepisów postępowania, które mogło mieć istotny wpływ na wynik sprawy (art. 174 pkt 1 i 2 p.p.s.a.). Rozpoznając zarzuty skargi kasacyjnej w tak zakreślonych granicach, stwierdzić należy, że są uzasadnione i z tego powodu skarga kasacyjna zasługiwała na uwzględnienie.
Wskazać należy, że dla uznania za usprawiedliwioną podstawę kasacyjną z art. 174 pkt 2 p.p.s.a. nie wystarcza samo wskazanie naruszenia przepisów postępowania, ale nadto wymagane jest, aby skarżący kasacyjnie wykazał, że następstwa stwierdzonych wadliwości postępowania były tego rodzaju lub skali, iż kształtowały one lub współkształtowały treść kwestionowanego w sprawie orzeczenia (tak: wyrok NSA z 4 lipca 2024 r., III OSK 2469/22, Legalis). O skuteczności zarzutów naruszenia przepisów postępowania nie decyduje każde uchybienie przepisów postępowania, lecz tylko i wyłącznie takie, które mogło mieć istotny wpływ na wynik sprawy. Przez "wpływ", o którym mowa w art. 174 pkt 2 p.p.s.a., rozumieć należy istnienie związku przyczynowego pomiędzy uchybieniem procesowym stanowiącym przedmiot zarzutu skargi kasacyjnej, a wydanym w sprawie zaskarżonym orzeczeniem sądu administracyjnego pierwszej instancji, który to związek przyczynowy, jakkolwiek nie musi być realny, to jednak musi uzasadniać istnienie hipotetycznej możliwości odmiennego wyniku sprawy. W konsekwencji, dla spełnienia wymogu z art. 174 pkt 2 p.p.s.a. nie wystarczy przytoczenie w petitum skargi kasacyjnej formuły o naruszeniu przepisów postępowania w stopniu mającym wpływ na wynik sprawy, lecz konieczne jest wykazanie, który przepis postępowania został naruszony, w jaki sposób oraz wykazanie wpływu zarzucanego naruszenia na wynik sprawy. Trzeba zatem wskazać indywidualne uzasadnienie dla każdego zarzutu formułowanego wobec każdego z tych przepisów, który w ocenie skarżącego kasacyjnie naruszył Sąd pierwszej instancji. Ponadto w treści samego zarzutu - niezależnie od obowiązku wyjaśnienia zajętego stanowiska w uzasadnieniu skargi kasacyjnej - konieczne jest wskazanie, na czym polegało naruszenie konkretnego przepisu oraz przedstawienie prawidłowej - w ocenie autora skargi kasacyjnej - wersji wykładni lub zastosowania danego przepisu, a także określenie wpływu zarzucanego naruszenia na treść rozstrzygnięcia (patrz: wyrok Naczelnego Sądu Administracyjnego z 12 lipca 2024 r., II GSK 666/24, Legalis).
Przed merytorycznym rozpoznaniem zarzutów skargi kasacyjnej należy wskazać, że zgodnie z postanowieniami art. 6 ust. 1 RODO "[p]rzetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy - i w takim zakresie, w jakim - spełniony jest co najmniej jeden z poniższych warunków - lit. f - przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem".
Zastosowanie art. 6 ust. 1 lit. f RODO jest więc uzasadnione, gdy łącznie spełnione są następujące przesłanki:
1) po stronie administratora istnieją cele, dla osiągnięcia których przetwarzanie danych osobowych jest niezbędne;
2) cele te wynikają z "prawnie uzasadnionych interesów" realizowanych przez administratora;
3) "prawnie uzasadnione interesy" realizowane przez administratora mają charakter nadrzędny wobec interesów lub podstawowych praw i wolności osoby, której dotyczą przetwarzane dane.
Poprzez cel, dla osiągnięcia którego przetwarzanie danych osobowych jest niezbędne, należy rozumieć stan rzeczy, układ rzeczywistości, do którego dąży administrator poprzez to przetwarzanie. "Niezbędność" przetwarzania danych osobowych do osiągnięcia obranego przez administratora celu sprowadza się do ustalenia, że bez tego przetwarzania nie da się go zrealizować. Chodzi więc o wykazanie logicznie uzasadnionego i weryfikowalnego związku przyczynowo-skutkowego pomiędzy przetwarzaniem danych osobowych a realizacją stanu rzeczy, do którego dąży administrator. Ustalenie "niezbędności" przetwarzania danych osobowych dla celów administratora musi opierać się na przesłankach konkretnych, uwzględniających możliwie najszersze spektrum uwarunkowań jego realizacji. Przetwarzanie danych osobowych na podstawie art. 6 ust. 1 lit. f RODO wymaga od administratora wykazania, że jest to konieczne z uwagi na charakter celu, okoliczności faktyczne i prawne jego realizacji oraz relacje podmiotowe pomiędzy administratorem a osobą, której te dane dotyczą. Zgodnie z zasadą rozliczalności (art. 5 ust. 2 RODO) administrator będzie zobowiązany wykazać, że zarówno zakres, jak i sposób przetwarzania danych osobowych jest adekwatny do obranego przez niego celu i warunków jego realizacji - zasada ograniczonego celu przetwarzania (art. 5 ust. 1 lit. b RODO) i zasada minimalizacji przetwarzanych danych (art. 5 ust. 1 lit. c RODO).
Kolejnym warunkiem przetwarzania danych osobowych na podstawie art. 6 ust. 1 lit. f RODO jest ustalenie, że cel, dla osiągnięcia którego przetwarzanie to jest niezbędne "wynika z prawnie uzasadnionych interesów realizowanych przez administratora (lub przez stronę trzecią)". Desygnatami "prawnie uzasadnionych interesów administratora" nie są przy tym wyłącznie te interesy, które ściśle wiążą się z realizacją praw i obowiązków wynikających z przepisów prawa. Takie wąskie rozumienie tego pojęcia prowadziłoby bowiem do częściowego zdublowania przesłanki przetwarzania danych osobowych z art. 6 ust. 1 lit. f z przesłanką określoną w art. 6 ust. 1 lit. c RODO. Artykuł 6 ust. 1 lit. c RODO legitymizuje przetwarzanie danych osobowych, jeżeli "jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze". Prawnie uzasadniony interes administratora należy więc rozumieć jako interes prawnie dopuszczony, niesprzeczny z porządkiem prawnym.
Do prawnie uzasadnionych interesów administratora danych osobowych prawodawca unijny odwołał się w motywie 47 preambuły RODO, w którym stwierdził, że "[t]aki prawnie uzasadniony interes może istnieć na przykład w przypadkach, gdy zachodzi istotny i odpowiedni rodzaj powiązania między osobą, której dane dotyczą, a administratorem, na przykład gdy osoba, której dane dotyczą, jest klientem administratora lub działa na jego rzecz. Aby stwierdzić istnienie prawnie uzasadnionego interesu, należałoby w każdym przypadku przeprowadzić dokładną ocenę, w tym ocenę tego, czy w czasie i w kontekście, w którym zbierane są dane osobowe, osoba, której dane dotyczą, ma rozsądne przesłanki by spodziewać się, że może nastąpić przetwarzanie danych w tym celu".
Treść motywu 47 preambuły RODO nie wskazuje więc konkretnie, matrycowo, jakie warunki powinny zostać spełnione, aby można było stwierdzić, że administrator przetwarza dane osobowe zgodnie ze swoimi prawnie uzasadnionymi interesami. Podano jedynie przykładowo, iż może chodzić o szczególnego rodzaju relację pomiędzy administratorem a osobą, której dane są przetwarzane. W każdym konkretnym układzie należy rozstrzygnąć, czy treść i charakter tej relacji w sposób rozsądny uzasadnia takie przetwarzanie w określonym zakresie i czasie. Wyeksponować trzeba, że w motywie 47 prawodawca unijny w ogóle nie powiązał "prawnie uzasadnionych interesów" administratora z porządkiem prawnym. Akcent położył natomiast na charakter relacji łączącej administratora z osobą, której dane są przetwarzane, jej kontekstowość oraz wynikającą z jej indywidualnych uwarunkowań racjonalnie uzasadnioną potrzebę tego przetwarzania. Motyw 47 preambuły RODO w kontekście rekonstrukcji zakresu stosowania art. 6 ust. 1 lit. f RODO przesądza, że dopuszczalność przetwarzania danych osobowych na tej podstawie powinna być oceniana kauzalnie, z uwzględnieniem, że zasadnicze znaczenie w tym przedmiocie powinny mieć uwarunkowania konkretnej relacji pomiędzy administratorem a osobą, której dotyczą przetwarzane dane. Porządek prawny - w tej przestrzeni formułowania ocen - należy traktować jako granicę dopuszczalności prawnie uzasadnionego interesu administratora, na którym opiera przetwarzanie danych osobowych. Porządek prawny może więc być przeszkodą do przetwarzania danych osobowych na podstawie art. 6 ust. 1 lit. f RODO, jeżeli interesu administratora nie da się z nim pogodzić - interes administratora będzie sprzeczny z porządkiem prawnym, a więc nie będzie prawnie uzasadniony. Porządek prawny nie stanowi ścisłej podstawy uzasadnionego interesu administratora do przetwarzania danych osobowych na podstawie art. 6 ust. 1 lit. f RODO, wyznacza natomiast granicę tego przetwarzania (zob. wyrok Naczelnego Sądu Administracyjnego z 8 stycznia 2025 r., III OSK 4868/21, LEX nr 3818703).
W stanie faktycznym niniejszej sprawy jako podstawę przetwarzania danych osobowych wnioskodawcy Bank wskazywał zabezpieczenie swoich interesów w przypadku dochodzenia przez wnioskodawcę ewentualnych roszczeń, podczas gdy nie zostało wykazane, by wnioskodawca wystąpił wobec Banku z jakimkolwiek roszczeniem. Nadto wnioskodawca nie ma żadnej aktywnej relacji produktowej z Bankiem będącym stroną skarżącą.
Wobec powyższego za zasadne należy uznać zarzuty naruszenia przez Sąd pierwszej instancji prawa materialnego, to jest art. 6 ust. 1 lit. f RODO, jak również art. 6 ust. 1 w zw. z art. 58 ust. 2 lit. b RODO. Zebrany przez organ w toku postępowania administracyjnego materiał dowodowy nie wykazał, by wnioskodawca wystąpił wobec Banku z jakimkolwiek roszczeniem, które uprawniłoby Bank do zachowania i przetwarzania jego danych osobowych dla celów dowodowych w związku z dochodzeniem przez niego tego roszczenia. Prawidłowo zatem organ uznał, że brak jest spełnienia wskazywanej przez Bank przesłanki niezbędności do celów wynikających z prawnie usprawiedliwionych interesów realizowanych przez administratora odnośnie przetwarzania skarżonych danych osobowych. Przesłanka z art. 6 ust 1 lit. f rozporządzenia 2016/679 dotyczy sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia, potrzeba dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem. Niedopuszczalne jest więc przyjęcie – jak uczynił to Sąd pierwszej instancji - że możliwe jest przetwarzanie danych osobowych niejako "na zapas", z założeniem, że mogą być one ewentualnie przydatne w przyszłości oraz z odwołaniem się przy tym do przepisów dotyczących przedawnienia roszczeń cywilnoprawnych. Odwoływanie się w tym wypadku do celów dowodowych na potrzeby ewentualnych roszczeń realizowanych w postępowaniach cywilnych, karnych, czy też administracyjnych, jakie klient mógłby potencjalnie wytoczyć Bankowi na tle nieistniejącego miedzy stronami stosunku zobowiązaniowego nie znajduje żadnego logicznego ani prawnego uzasadnienia (por. wyroki: Wojewódzkiego Sądu Administracyjnego w Warszawie z 12 lipca 2017 r., II SA/Wa 2221/16, Naczelnego Sądu Administracyjnego z 27 sierpnia 2019 r., I OSK 2567/17, Naczelnego Sądu Administracyjnego z 6 marca 2019 r., I OSK 994/17, publ.: orzeczenia.nsa.gov.pl). Konsekwencją błędnej wykładni art. 6 ust. 1 lit. f RODO było uznanie przez Wojewódzki Sąd Administracyjny w Warszawie, że udzielenie stronie skarżącej upomnienia nastąpiło z naruszeniem art. 58 ust. 2 lit. b RODO.
Ponadto należy zauważyć, że nie brak jest w aktualnym stanie prawnym przepisów, które zobowiązują niektóre podmioty do przetwarzania danych osobowych przez okres przedawnienia roszczeń z tytułu zawartych umów. Tytułem przykładu przytoczyć można art. 29 ust. 10 ustawy z dnia 11 września 2015 r. o działalności ubezpieczeniowej i reasekuracyjnej (Dz.U. z 2024 r. poz. 838), zgodnie z którym zakład ubezpieczeń przechowuje informacje i dokumenty, o których mowa w ust. 6 (tj. informacje i dokumenty gromadzone w celu ustalenia odpowiedzialności zakładu ubezpieczeń lub wysokości odszkodowania lub świadczenia) do czasu upływu terminu przedawnienia roszczeń z umowy ubezpieczenia. A contrario skoro ustawodawca nie zobowiązał wszystkich przedsiębiorców do przechowywania danych osobowych byłych klientów przez czas przedawnienia roszczeń w celu ustalenia odpowiedzialności lub wysokości odszkodowania, to tym samym zgodnie z zasadą racjonalnego ustawodawcy nie można takiej konstrukcji rozciągać na inne regulacje prawne. Tekst aktu prawodawczego służy ustawodawcy do sformułowania określonych norm postępowania świadczących o tym, że prawodawca zna i uwzględnia reguły języka danej społeczności, a jeśli od nich odstępuje odpowiednio to zaznacza, np. przez definicje legalne. Przyjmuje się, że prawodawca formułuje takie normy, które według jego wiedzy w danym układzie społecznym nadają się do tego, by wpływać na zachowanie adresatów. Nie ustanawia norm niezgodnych między sobą. Postępowanie adresatów zgodne z ustanawianymi normami prowadzi – według jego wiedzy – do rezultatów optymalnych, a w każdym razie aprobowanych na gruncie przypisywanego prawodawcy systemu wartości (por. M. Augustyniak, Zasady racjonalnego prawodawcy w kontekście teorii i praktyki prawniczej, Aktualne problemy prawa, tom 1, nr 4, kwiecień 2020, s. 37-41).
Konkludując za zasadny należy uznać także zarzut naruszenia art. 145 § 1 pkt 1 lit. c p.p.s.a. w zw. z art. 6 i art. 7 k.p.a. w zw. z art. 7 ust. 1 u.o.d.o. oraz art. 7 Konstytucji RP poprzez uznanie, że Prezes UODO dopuścił się istotnego naruszenia zasady praworządności stwierdzając, iż Bank dopuścił się nieprawidłowości w procesie przetwarzania danych osobowych. Na obecnym etapie postępowania sądowoadministracyjnego bowiem brak jest podstaw do formułowania względem Prezesa UODO zarzutu naruszenia zasady praworządności.
Względem zarzutu naruszenia przepisów postępowania, tj. art. 145 § 1 pkt 1 lit. c p.p.s.a. w zw. z art. 107 § 1 i § 3 k.p.a w zw. z art. 7 ust. 1 u.o.d.o. - zdaniem Naczelnego Sądu Administracyjnego - Sąd pierwszej instancji dokonał błędnej oceny poprawności uzasadnienia zaskarżonej decyzji i błędnie doszedł do wniosku, że uzasadnienie to nie odpowiada wymaganiom art. 107 § 1 i 3 k.p.a. w związku z art. 7 ust. 1 u.o.d.o., a uchybienie to mogło mieć wpływ na wynik sprawy. W uzasadnieniu zaskarżonej decyzji został w sposób szczegółowy przedstawiony stan faktyczny sprawy, który zresztą nie był kwestionowany. W istocie kwestią sporną było to, czy możliwe jest przetwarzanie danych osobowych w celu obrony przed ewentualnymi reklamacjami lub roszczeniami odszkodowawczymi w przyszłości. Fakt, iż Sąd pierwszej instancji nie podzielił stanowiska prezentowanego w tej kwestii przez organ w uzasadnieniu zaskarżonej decyzji, nie stanowi o naruszeniu art. 107 § 1 i 3 k.p.a. Organ szczegółowo nakreślił (s. 6-8 decyzji) naruszenie przez Bank przesłanki wynikającej z art. 6 ust 1 lit. f rozporządzenia 2016/679. Powyższe zostało jednoznacznie wskazane w sentencji przedmiotowego rozstrzygnięcia i znalazło odzwierciedlenie w jego uzasadnieniu. Zarówno z treści sentencji, jak i uzasadnienia w sposób nie budzący wątpliwości wynika, w jakim zakresie organ udzielił Bankowi upomnienia, a w jakim zakresie odmówił uwzględnienia wniosku i z jakich powodów.
Uzasadnienie zaskarżonej decyzji odpowiada zatem wymaganiom art. 107 § 1 i 3 k.p.a., natomiast kwestia odmiennej oceny przesłanki materialnoprawnej stanowiącej determinantę faktyczną decyzji w niniejszej sprawie nie może stanowić podstawy negatywnej oceny poprawności uzasadnienia decyzji pod kątem spełnienia wymagań stawianych w art. 107 § 1 i 3 k.p.a.
Wskazane wyżej wadliwości orzeczenia Sądu pierwszej instancji powodują, że musi ono zostać uchylone. Ponownie rozpoznając sprawę Wojewódzki Sąd Administracyjny przyjmie przedstawioną wyżej wykładnię przepisów prawa materialnego i w oparciu o nią dokona oceny zarzutów skargi i rozpozna sprawę sądowoadministracyjną.
Mając na uwadze powyższe Naczelny Sąd Administracyjny orzekł na podstawie art. 185 § 1 p.p.s.a., to jest uchylił zaskarżony wyrok i przekazał sprawę do ponownego rozpoznania sądowi pierwszej instancji.
O kosztach postępowania orzeczono na zasadzie art. 203 pkt 2 p.p.s.a., zgodnie z którym stronie, która wniosła skargę kasacyjną, należy się zwrot poniesionych przez nią niezbędnych kosztów postępowania kasacyjnego od skarżącego - jeżeli w wyniku uwzględnienia skargi kasacyjnej został uchylony wyrok sądu pierwszej instancji uwzględniający skargę.