III OSK 1937/22

III OSK 1937/22 - Wyrok NSA
Data orzeczenia
2025-10-10
orzeczenie prawomocne
Data wpływu
2022-08-04
Sąd
Naczelny Sąd Administracyjny
Sędziowie
Mariusz Kotulski
Olga Żurawska - Matusiak
Wojciech Jakimowicz /przewodniczący sprawozdawca/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Sygn. powiązane
II SA/Wa 3096/21 - Wyrok WSA w Warszawie z 2022-02-02
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych~Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę kasacyjną
Powołane przepisy
Dz.U. 2024 poz 935
art.141 §4, art.145 §1 pkt 1 lit.c,
Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t. j.)
Dz.U. 2022 poz 2000
art.6, art.7, art.11,art.77 §1, art.80, art.105 §1, art.107 §3
Ustawa z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego - t.j.
Dz.U. 2024 poz 1646
art.105a ust.3
Ustawa z dnia 29 sierpnia 1997 r. Prawo bankowe
Sentencja
Naczelny Sąd Administracyjny w składzie: Przewodniczący: Sędzia NSA Wojciech Jakimowicz (spr.) Sędziowie: Sędzia NSA Olga Żurawska-Matusiak Sędzia del. WSA Mariusz Kotulski Protokolant: asystent sędziego Aleksandra Kraus po rozpoznaniu w dniu 10 października 2025 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej P. S.A. z siedzibą w W. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 2 lutego 2022 r., sygn. akt II SA/Wa 3096/21 w sprawie ze skargi P. S.A. z siedzibą w W. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 6 lipca 2021 r., nr ZSPR.440.844.2019.FT.KR w przedmiocie przetwarzania danych osobowych 1. oddala skargę kasacyjną; 2. zasądza od P. S.A. z siedzibą w W. na rzecz Prezesa Urzędu Ochrony Danych Osobowych kwotę 360 (trzysta sześćdziesiąt) złotych tytułem zwrotu kosztów postępowania kasacyjnego.
Uzasadnienie
Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 2 lutego 2022 r., sygn. akt II SA/Wa 3096/21 oddalił skargę P. S.A. z siedzibą w W. (dalej także jako: Bank) na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 6 lipca 2021 r., nr ZSPR.440.844.2019.FT.KR w przedmiocie przetwarzania danych osobowych.
Wyrok ten zapadł w następującym stanie faktycznym i prawnym sprawy:
W dniu 8 kwietnia 2019 r. D. S. (dalej także jako: uczestnik postępowania) złożył do Prezesa Urzędu Ochrony Danych Osobowych (dalej także jako: organ) skargę na niezgodne z prawem przetwarzanie jego danych osobowych przez Bank polegające na udostępnieniu jego danych osobowych w Biurze Informacji Kredytowej S.A. z siedzibą w Warszawie (dalej także jako: BIK) w związku z umową pożyczki o numerze [...] oraz umową o wydanie i użytkowanie karty kredytowej [...]. Uczestnik postępowania wniósł o niezwłoczne zaprzestanie przetwarzania jego danych osobowych w systemie BIK, w trybie określonym w art. 105a ust. 3 ustawy Prawo bankowe oraz o przeprowadzenie przez organ postępowania wyjaśniającego w tym zakresie.
Prezes Urzędu Ochrony Danych Osobowych, na podstawie art. 104 § 1 Kodeksu postępowania administracyjnego oraz art. 6 ust. 1 i art. 58 ust. 2 lit. b rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE w związku z art. 105a ust. 3 ustawy Prawo bankowe, w punkcie 1 decyzji z dnia 6 lipca 2021 r., nr ZSPR.440.844.2019.FT.KR udzielił Bankowi upomnienia za naruszenie art. 6 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE polegające na udostępnieniu danych osobowych uczestnika postępowania w związku z umową nr [...] oraz umową nr [...] w BIK, bez podstawy prawnej, a w punkcie 2 odmówił uwzględnienia wniosku uczestnika postępowania w pozostałym zakresie.
W uzasadnieniu decyzji organ wskazał, że w toku prowadzonego postępowania ustalił następujący stan faktyczny. Bank pozyskał dane osobowe uczestnika postępowania w związku ze złożonymi przez niego wnioskami o zawarcie umów oraz w związku z zawartymi z Bankiem umowami o produkty bankowe:
- nr [...] (kredyt gotówkowy);
- nr [...] (kredyt gotówkowy);
- nr [...] (kredyt gotówkowy);
- nr [...] (rachunek Superkonto);
- nr [...] (kredyt gotówkowy);
- nr [...] (zadłużenie przeniesione z kredytu odnawialnego);
- nr [...] (kredyt gotówkowy, konwersja z karty kredytowej).
Bank wyjaśnił, iż uczestnik postępowania dopuścił się zwłoki w spłacie zobowiązania powyżej 60 dni, a w dniach: 12 sierpnia 2013 r. w związku z zaległością z dnia 12 czerwca 2013 r. w wysokości 1 101,05 zł w odniesieniu do umowy nr [...] oraz z dnia 10 maja 2012 r. w związku z opóźnieniem z dnia 10 marca 2012 r. w wysokości 50,00 zł w odniesieniu do umowy nr [...], Bank wysłał do uczestnika postępowania pisma zawiadamiające o zamiarze przetwarzania danych bez jego zgody po wygaśnięciu zobowiązania. W związku z tym, że przedmiotowe pisma zostały wysłane listami zwykłymi, Bank nie dysponuje dowodami ich nadania. Następnie Bank przekazał dane osobowe uczestnika postępowania dotyczące ww. rachunków do BIK.
Uczestnik postępowania kwestionował zasadność przetwarzania jego danych w BIK do celów oceny zdolności kredytowej i analizy ryzyka kredytowego i występował do Banku o zaprzestanie przetwarzania jego danych w BIK. W odpowiedzi na powyższe wnioski Bank poinformował uczestnika postępowania pismem z dnia 27 maja 2019 r., że w drodze wyjątku, uwzględnił jego prośbę i dane w powiązaniu z ww. zobowiązaniami zostaną przeniesione do części statystycznej w BIK w terminie 7 dni od daty sporządzenia pisma. W związku z powyższym dane te nie będą przetwarzane w celu oceny zdolności kredytowej.
W odniesieniu do umowy o kredyt gotówkowy nr [...] w bazie BIK kredyt ten figuruje jako zamknięty ze statusem "odzyskany", z datą spłaty w dniu 12 listopada 2014 r. z wycofaną zgodą klienta na przetwarzanie danych oraz warunkami niespełnionymi na przetwarzanie danych bez zgody klienta. Zobowiązanie jest przetwarzane w Banku do celów archiwalnych. Zgodnie z art. 105a ust. 4 i 5 ustawy Prawo bankowe, zobowiązanie jest przetwarzane w BIK do celów stosowania metod wewnętrznych oraz innych metod i modeli przez okres 12 lat od daty spłaty. Po upływie 12 lat od daty spłaty, czyli okresu przetwarzania danych do celów stosowania metod wewnętrznych oraz innych metod i modeli, zobowiązania są usuwane z bazy BIK.
Rachunek nr [...] w bazie BIK figuruje, jako zamknięty (odzyskany), z datą spłaty w dniu 3 października 2014 r., z wycofaną zgodą klienta na przetwarzanie danych po wygaśnięciu zobowiązania oraz warunkami niespełnionymi na przetwarzanie danych bez zgody klienta. Zobowiązanie jest przetwarzane w Banku do celów archiwalnych. Zgodnie z art. 105a ust. 4 i 5 ustawy Prawo bankowe, zobowiązanie jest przetwarzane w BIK S.A. do celów stosowania metod wewnętrznych oraz innych metod i modeli przez okres 12 lat od daty spłaty. Po upłynięciu 12 lat od daty spłaty, czyli okresu przetwarzania danych do celów stosowania metod wewnętrznych oraz innych metod i modeli, zobowiązania są usuwane z bazy BIK.
Następnie organ wyjaśnił, że BIK jest instytucją utworzoną na podstawie art. 105 ust. 4 ustawy Prawo bankowe, który stanowi, że banki mogą, wspólnie z bankowymi izbami gospodarczymi, utworzyć instytucje upoważnione do gromadzenia, przetwarzania i udostępniania bankom informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013, innym instytucjom ustawowo upoważnionym do udzielania kredytów informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są niezbędne w związku z udzielaniem kredytów, pożyczek pieniężnych, gwarancji bankowych i poręczeń (pkt 2), instytucjom kredytowym informacji stanowiących tajemnicę bankową w zakresie niezbędnym do oceny zdolności kredytowej konsumenta, o której mowa w art. 9 ustawy o kredycie konsumenckim (pkt 3), instytucjom pożyczkowym i podmiotom, o których mowa w art. 59d ustawy o kredycie konsumenckim, na zasadzie wzajemności, informacji stanowiących odpowiednio tajemnicę bankową oraz informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy o kredycie konsumenckim, w zakresie niezbędnym do oceny zdolności kredytowej konsumenta, o której mowa w art. 9 tej ustawy, i analizy ryzyka kredytowego (pkt 4).
Organ wskazał, że zgodnie z art. 105a ust. 1 ustawy Prawo bankowe przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów, instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy o kredycie konsumenckim, a także instytucje utworzone na podstawie art. 105 ust. 4, informacji stanowiących tajemnicę bankową i informacji udostępnionych przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy o kredycie, w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem art. 104, art. 105 i art. 106 - 106d ustawy Prawo bankowe w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Zgodnie zaś z art. 105a ust. 3 ustawy Prawo bankowe banki, instytucje oraz podmioty, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową i informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy o kredycie konsumenckim, dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy o kredycie konsumenckim, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy o kredycie konsumenckim, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank, inną instytucję ustawowo upoważnioną do udzielania kredytów, instytucję pożyczkową albo podmiot, o którym mowa w art. 59d ustawy o kredycie konsumenckim, o zamiarze przetwarzania dotyczących jej informacji, bez jej zgody.
W związku z powyższym organ przyjął, że należy dokonać oceny, czy Bank, przekazując dane osobowe uczestnika postępowania do BIK w związku z zobowiązaniami wynikającymi z umowy nr [...] oraz umowy nr [...], działał na podstawie przepisów prawa - spełnił wszystkie przesłanki wynikające z treści art. 105a ust. 3 ustawy Prawo bankowe.
Organ ustalił, że uczestnik postępowania dopuścił się zwłoki trwającej dłużej niż 60 dni w przypadku obu ww. zobowiązań, ale zaznaczył, że istotnym w sprawie jest jednak to, że Bank nie spełnił wobec uczestnika postępowania obowiązku określonego w art. 105a pkt 3 ustawy Prawo bankowe, tj. nie poinformował go skutecznie o zamiarze przetwarzania dotyczących go informacji, stanowiących tajemnicę bankową, bez jego zgody po wygaśnięciu zobowiązania wynikającego z przedmiotowej umowy.
Organ stwierdził, że sam fakt, iż uczestnik postępowania nie wykonał zobowiązania lub spóźnił się z jego wykonaniem co najmniej 60 dni, nie upoważnia Banku do przetwarzania jego danych na warunkach określonych w art. 105a ust. 3 ustawy Prawo bankowe. Moment, od którego należy liczyć sześćdziesięciodniowy termin, w którym konsument dopuszcza się zwłoki w wykonaniu zobowiązania, to termin wykonania zobowiązania. Dopiero po upływie 60 dni zaczyna biec termin 30 dni, w którym instytucja oczekuje jeszcze na wykonanie zobowiązania klienta. Termin 30 dni biegnie od momentu, w którym konsument zostanie skutecznie poinformowany przez instytucję o zamiarze przetwarzania. Ostatecznie to bezskuteczny upływ 30 dni od momentu poinformowania stanowi wypełnienie przesłanek z art. 105a ust. 3 ustawy Prawo bankowe.
Organ podkreślił, że z powyższego wynika zatem, iż Bank przetwarzając dane uczestnika postępowania na warunkach określonych w ww. przepisie, musi wykazać, że został on poinformowany o zamiarze ich przetwarzania, bez jego zgody. W niniejszej sprawie uczestnik postępowania podniósł natomiast, że okoliczności wskazywane w art. 105a pkt 3 ustawy Prawo bankowe nie zostały spełnione, w związku z czym Bank nie był uprawniony do przetwarzania jego danych osobowych w BIK w związku z wymienianymi zobowiązaniami.
Bank wyjaśnił, że pisma zawierające informację o zamiarze przetwarzania danych osobowych bez zgody uczestnika postępowania, po wygaśnięciu zobowiązania zostały wysłane na wskazany przez niego adres do korespondencji, listami zwykłymi, w związku z czym Bank nie dysponuje dowodami ich nadania. Organ uznał, że brak jest zatem dowodów wskazujących na prawidłowe i skuteczne poinformowanie uczestnika postępowania o treści art. 105a ust. 3 ustawy Prawo bankowe.
Organ podkreślił, że sporządzenie i wysłanie ww. pisma, nie jest równoznaczne z udowodnieniem jego prawidłowego doręczenia, skutkującego poinformowaniem uczestnika postępowania o zamiarze przetwarzania danych stanowiących tajemnicę bankową, bez jego zgody na podstawie art. 105a ust. 3 ustawy Prawo bankowe. Samo bowiem oświadczenie o wysłaniu korespondencji w ocenie organu nie stanowi dowodu na jej dostarczenie lub poinformowanie o jej treści adresata.
Organ przyznał, że przepisy powszechnie obowiązujące nie formułują obowiązku wysłania informacji, o której mowa w art. 105a ust. 3 ustawy Prawo bankowe w szczególnej formie. To do podmiotu informującego należy zatem wybór formy przekazania odbiorcy komunikatu, o zamiarze przetwarzania danych osobowych bez jego zgody. Jednocześnie organ podkreślił, że to podmiot informujący wywodzi z powyższego skutki prawne, zatem to on musi wykazać, że poinformował uczestnika postępowania o zamiarze przetwarzania danych stanowiących tajemnicę bankową, bez jego zgody na podstawie art. 105a ust. 3 ustawy Prawo bankowe.
W związku z powyższym organ stwierdził, że w niniejszej sprawie nie zostały spełnione przesłanki z art. 105a ust 3 ustawy Prawo bankowe. Organ zauważył jednak, że Bank postąpił zgodnie z żądaniem uczestnika postępowania i jego dane osobowe w związku z umową nr [...] oraz umową nr [...] zostały przeniesione do części statystycznej w BIK i nie są przetwarzane w celu oceny zdolności kredytowej. Podstawę ich przetwarzania stanowi zatem art. 105a ust. 4 ustawy Prawo bankowe, który pozwala bankom oraz instytucjom, o których mowa w art. 105 ust. 4, a zatem również BIK, na przetwarzanie stanowiących tajemnicę bankową informacji dotyczących osoby fizycznej po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której informacje dotyczą, do celów stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013. Wobec powyższego organ nie mógł postąpić zgodnie z wnioskiem uczestnika postępowania i nakazać usunięcie jego danych osobowych z BIK. Zważając jednakże na nieprawidłowości w procesie przetwarzania danych osobowych uczestnika postępowania przez Bank polegające na przekazaniu jego danych osobowych do BIK bez podstawy prawnej, tj. bez spełnienia przesłanek, o których mowa w art. 105a ust. 3 ustawy Prawo bankowe, organ korzystając z uprawnienia przewidzianego w art. 58 ust. 2 lit. b RODO, udzielił Bankowi upomnienia za naruszenie art. 6 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE w tym zakresie.
W piśmie z dnia 5 sierpnia 2021 r. Bank wywiódł do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na powyższą decyzję organu i wnosząc o jej uchylenie w całości i umorzenie postępowania, ewentualnie w przypadku nieuwzględnienia powyższego wniosku o uchylenie zaskarżonej decyzji w całości i zasądzenie od organu na rzecz Banku zwrotu kosztów postępowania, w tym zwrotu kosztów zastępstwa procesowego, według norm prawem przepisanych, zarzucił:
I. naruszenie przepisów postępowania, które mogło mieć wpływ na wynik sprawy, tj.:
1. art. 7 w związku z art. 77 § 1 i art. 107 § 1 pkt 6 i § 3 Kodeksu postępowania administracyjnego polegające na niewyczerpującym zebraniu i rozpatrzeniu całego materiału dowodowego i niepodjęciu działań niezbędnych do dokładnego wyjaśnienia stanu faktycznego sprawy w szczególności poprzez dokonanie dowolnej, a nie swobodnej oceny dowodów w postaci:
a) pisma z dnia 27 maja 2019 r. znak: BRK-ZWR-DŁ-0500-128CC5C0E/19 - w aktach sprawy, k. 32;
b) pisma z dnia 28 września 2018 r. znak: ZW90-ET-51-12812CBAC/2018 - w aktach sprawy, k. 4;
c) pisma dot. pisma z dnia 5 stycznia 2018 r. znak: BRK-ZWR-KS-0500-1275680B6/18 - w aktach sprawy, k. 5-8;
d) pisma z dnia 10 lipca 2019 r. - w aktach sprawy, k. 29;
e) pisma z dnia 6 marca 2020 r. - w aktach sprawy, k. 40;
f) skargi D. S. na niezgodne z prawem przetwarzanie danych osobowych przez Bank - w aktach sprawy, k. 1-3;
g) potwierdzenia doręczenia przesyłki poleconej z dnia 27 lipca 2020 r. - w aktach sprawy, k. 42 verte;
h) potwierdzenia doręczenia przesyłki poleconej - w aktach sprawy, k. 19 verte, k. 11;
z których w ocenie Banku wprost wynika, że uczestnik postępowania został poinformowany o zamiarze przetwarzania jego danych w trybie art. 105a ust. 3 ustawy Prawo bankowe i zapoznał się z tą informacją najpóźniej w dacie odbioru pisma znak: BRK-ZWR-KS-0500-1275680B6/18 dot. pisma z dnia 5 stycznia 2018 r., co doprowadziło do błędnego ustalenia, że Bank nie doręczył uczestnikowi postępowania informacji o zamiarze dalszego przetwarzania jego danych osobowych, o którym to zawiadomieniu mowa w art. 105a ust 3 ustawy Prawo bankowe, a w konsekwencji przetwarzanie danych uczestnika postępowania miało miejsce w sposób nieuprawniony;
2. art. 7 w związku z art. 77 § 1 i art. 80 Kodeksu postępowania administracyjnego polegające na dokonaniu oceny zebranego w sprawie materiału dowodowego w sposób nieprawidłowy (niewyczerpujący, z pominięciem zasad logiki i doświadczenia życiowego) oraz z pominięciem całokształtu materiału dowodowego zebranego w sprawie, co w konsekwencji doprowadziło do błędnego wniosku, zgodnie z którym należało przyjąć, że uczestnik postępowania nie otrzymał informacji o zamiarze przetwarzania danych bez jego zgody w sytuacji, w której z całokształtu materiału dowodowego zebranego przez organ administracji prowadzący postępowanie wynika wniosek przeciwny albowiem:
a) sam uczestnik postępowania w treści skargi na niezgodne z prawem przetwarzanie danych osobowych przez Bank z dnia 8 kwietnia 2019 r. nie zaprzecza faktowi, że informacje takowe od Banku otrzymał, a jedynie wskazuje, że Bank nie dysponuje dowodem, że uczestnik postępowania został poinformowany o zamiarze przetwarzania jego danych bez jego zgody, a w związku z tym nie można uznać, że uczestnik postępowania nie otrzymał informacji o zamiarze przetwarzania jego danych bez jego zgody;
b) Bank w piśmie z dnia 6 marca 2020 r. znak: DBE-BZS-Z3-JKC/2333/21352/2020 i piśmie z dnia 10 lipca 2019 r. znak: DBE-BZS-Z3-JK/2333/19952/2019 złożył obszerne wyjaśnienia obejmujące swym zakresem oświadczenie na okoliczność faktu skierowania do uczestnika postępowania informacji, o której mowa w art. 105a ust. 3 ustawy Prawo bankowe w formie pisemnej (tj. w piśmie z dnia 10 lipca 2019 r. i w piśmie z dnia 6 marca 2020 r.) listami zwykłymi;
c) przepis art. 105a ust. 3 ustawy Prawo bankowe ani inne przepisy powszechnie obowiązującego prawa nie formułują obowiązku wysyłania informacji, o której mowa w art. 105a ust. 3 ustawy Prawo bankowe, w szczególnej formie, a tym samym nie można było z góry uznać, że Bank obowiązku nie dopełnił, a tylko należało zweryfikować fakt poinformowania uczestnika postępowania o zamiarze przetwarzania jego danych osobowych przez Bank i fakt umożliwienia uczestnikowi postępowania zapoznania się z taką informacją;
3. art. 75 w związku z art. 50 § 1 w związku z art. 7 Kodeksu postępowania administracyjnego, poprzez zaniechanie przeprowadzenia dowodu z zeznań osobistych uczestnika postępowania w sytuacji, w której jego pisemne oświadczenia, że nigdy nie został poinformowany o zamiarze przetwarzania danych osobowych w związku z niespłaceniem zobowiązania, pozostawały wewnętrznie sprzeczne, co doprowadziło do błędnego ustalenia, że Bank nie doręczył uczestnikowi postępowania informacji o zamiarze dalszego przetwarzania jego danych osobowych w sposób określony w art. 105a ust. 3 ustawy Prawo bankowe;
4. art. 75 § 2 w związku z art. 107 Kodeksu postępowania administracyjnego polegające na tym, że organ administracji publicznej wydający zaskarżoną decyzję niesłusznie i nie uwzględnił oświadczenia Banku złożonego w piśmie z dnia 6 marca 2020 r. znak: DBE-BZS-Z3-JKC/2333/21352/2020 (k. 29) i piśmie z dnia 10 lipca 2019 r. znak: OBE-BZS-Z3-jK/2333/19952/2019 (k. 40) na temat wysłania do uczestnika postępowania pisma z dnia 10 maja 2012 r. i pisma z dnia 12 sierpnia 2013 r., zawiadamiających o zamiarze przetwarzania danych bez zgody uczestnika postępowania po wygaśnięciu zobowiązania pomimo, że przepisy powszechnie obowiązujące nie formułują obowiązku wysyłania informacji, o której mowa w art. 105a ust. 3 ustawy Prawo bankowe w szczególnej formie i w związku z tym zasadnym pozostawało poprzestanie na oświadczeniach Banku o dokonaniu wysyłki stosownej informacji do uczestnika postępowania, złożonych w piśmie z dnia 10 lipca 2019 r. i w piśmie z dnia 6 marca 2020 r.;
5. art. 7 w związku z art. 77 § 1 w związku z art. 107 § 1 pkt 6 i § 3 Kodeksu postępowania administracyjnego polegające na tym, że organ wydający zaskarżoną decyzję zaniechał podjęcia czynności niezbędnych do przeprowadzenia postępowania dowodowego w sposób prawidłowy i wyczerpujący w szczególności poprzez zaniechanie dokonania ustaleń w zakresie kiedy, tj. w jakiej dacie, miało miejsce nieprawidłowe przetwarzanie danych osobowych uczestnika postępowania, a tym samym poprzez zaniechane dokonania ustaleń na okoliczności istotne z punktu widzenia normy art. 105a ustawy Prawo bankowe, co miało skutek w postaci wydania decyzji na podstawie niepełnego i wadliwie ocenionego materiału dowodowego oraz błędnie ustalonego stanu faktycznego, prowadząc w konsekwencji do wadliwego uzasadnienia decyzji;
6. art. 105 § 1 w związku z art. 6 i art. 11 w związku z art. 107 § 3 Kodeksu postępowania administracyjnego polegające na zaniechaniu dokonania ustaleń w treści uzasadnienia zaskarżonej decyzji w zakresie kiedy, tj. w jakiej dacie, miało miejsce nieprawidłowe przetwarzanie danych osobowych uczestnika postępowania, co doprowadziło do nieuzasadnionego przesądzenia w sposób stanowczy o faktach, które mają bezpośredni wpływ na sytuację prawną Banku;
7. art. 105 § 1 w związku z art. 104 § 1 Kodeksu postępowania administracyjnego w związku z art. 58 ust. 2 lit. b rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE, poprzez udzielenie Bankowi upomnienia w sytuacji, w której organ ustalił, że zarówno w chwili wydania zaskarżonej decyzji, jak i obecnie, przetwarzanie danych osobowych uczestnika postępowania następuje w sposób zgodny z brzmieniem art. 105a ust. 3 ustawy Prawo bankowe, co doprowadziło do zbędnego zastosowania środka naprawczego;
8. art. 104 § 1 Kodeksu postępowania administracyjnego w związku z art. 58 ust. 2 lit. b rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE, poprzez rozstrzygnięcie sprawy w drodze decyzji administracyjnej, chociaż taka forma rozstrzygnięcia nie została przewidziana przez ustawodawcę, co skutkowało nieuzasadnionym wydaniem aktu administracyjnego;
II. naruszenie przepisów prawa materialnego, tj.:
1. art. 105a ust. 3 ustawy Prawo bankowe, poprzez jego błędną wykładnię polegającą na błędnym przyjęciu, że poinformowanie klienta banku o możliwości przetwarzania jego danych osobowych bez jego zgody tylko wtedy wywołuje skutek w postaci rozpoczęcia biegu trzydziestodniowego terminu, po upływie którego jest możliwe przetwarzanie danych osobowych poprzez przekazanie ich przez bank do jednej z instytucji wymienionych w tym przepisie, jeżeli bank dysponuje dowodem na to, że takie zawiadomienie rzeczywiście do tej osoby dotarło w sytuacji, w której prawidłowa interpretacja tego przepisu jest taka, że wymieniony skutek następuje zawsze, gdy bank skieruje do takiej osoby w sposób skuteczny stosowne zawiadomienie, a zatem niezależnie od formy i środka przekazu;
2. art. 6 ust. 1 lit. f rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE, poprzez niezastosowanie normy wynikającej z tego przepisu, co skutkowało błędnym przyjęciem, że Bank nie był uprawniony do przetwarzania danych osobowych uczestnika postępowania polegającego na udostępnieniu jego danych osobowych w BIK w sytuacji, w której Bank posiadał podstawę prawną przetwarzania danych uczestnika postępowania, którą stanowił art. 6 ust 1 lit. f rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE, a tym samym przetwarzanie danych osobowych uczestnika postępowania przez Bank było uprawnione;
3. art. 58 ust 2 lit. b rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE, poprzez jego błędną wykładnię i uznanie, że organ może udzielić upomnienia w sytuacji, w której nieuprawnione przetwarzanie danych osobowych nie występuje.
W odpowiedzi na skargę organ wniósł o oddalenie skargi podtrzymując stanowisko wyrażane w zaskarżonej decyzji.
Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 2 lutego 2022 r., sygn. akt II SA/Wa 3096/21 oddalił skargę Banku na decyzję organu z dnia 6 lipca 2021 r., nr ZSPR.440.844.2019.FT.KR w przedmiocie przetwarzania danych osobowych.
W uzasadnieniu wyroku Sąd I instancji wyjaśnił, że zgodnie z art. 6 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE, przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy – i w takim zakresie, w jakim – spełniony jest co najmniej jeden z poniższych warunków: a) osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów; b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy; c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze; d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej; e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi; f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Akapit pierwszy lit. f) nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań.
Następnie Sąd I instancji wyjaśnił, że art. 57 ust. 1 lit. f ww. rozporządzenia stanowi natomiast, że bez uszczerbku dla innych zadań określonych na mocy niniejszego rozporządzenia każdy organ nadzorczy na swoim terytorium rozpatruje skargi wniesione przez osobę, której dane dotyczą, lub przez podmiot, organizację lub zrzeszenie zgodnie z art. 80, w odpowiednim zakresie prowadzi postępowania w przedmiocie tych skarg i w rozsądnym terminie informuje skarżącego o postępach i wynikach tych postępowań, w szczególności jeżeli niezbędne jest dalsze prowadzenie postępowań lub koordynacja działań z innym organem nadzorczym.
Wojewódzki Sąd Administracyjny w Warszawie dodał, że zgodnie z art. 58 ust. 1 powołanego rozporządzenia, każdemu organowi nadzorczemu przysługują wszystkie następujące uprawnienia w zakresie prowadzonych postępowań: a) nakazanie administratorowi i podmiotowi przetwarzającemu, a w stosownym przypadku przedstawicielowi administratora lub podmiotu przetwarzającego, dostarczenia wszelkich informacji potrzebnych organowi nadzorczemu do realizacji swoich zadań; b) prowadzenie postępowań w formie audytów ochrony danych; c) dokonywanie przeglądu udzielonych certyfikacji na mocy art. 42 ust. 7; d) zawiadamianie administratora lub podmiotu przetwarzającego o podejrzeniu naruszenia niniejszego rozporządzenia; e) uzyskiwanie od administratora i podmiotu przetwarzającego dostępu do wszelkich danych osobowych i wszelkich informacji niezbędnych organowi nadzorczemu do realizacji swoich zadań; f) uzyskiwanie dostępu do wszystkich pomieszczeń administratora i podmiotu przetwarzającego, w tym do sprzętu i środków służących do przetwarzania danych, zgodnie z procedurami określonymi w prawie unijnym lub w prawie państwa członkowskiego.
Sąd I instancji wyjaśnił, że w przedmiotowej sprawie, podstawę prawną do przetwarzania danych osobowych uczestnika postępowania przez Bank, stanowił przepis art. 105a ust. 3 ustawy Prawo bankowe, zaś podstawę prawną przetwarzania danych osobowych klientów przez Bank w Biurze Informacji Kredytowej stanowił art. 6 ust. 1 lit. f w związku z art. 28 ust. 3 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (przetwarzanie na podstawie zawartej z Bankiem będącym administratorem danych umowy powierzenia przetwarzania danych osobowych).
Wojewódzki Sąd Administracyjny w Warszawie powtórzył za organem, że BIK jest instytucją utworzoną na podstawie art. 105 ust. 4 ustawy Prawo bankowe, który stanowi, że banki mogą, wspólnie z bankowymi izbami gospodarczymi, utworzyć instytucje upoważnione do gromadzenia, przetwarzania i udostępniania bankom informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013, innym instytucjom ustawowo upoważnionym do udzielania kredytów informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są niezbędne w związku z udzieleniem kredytów, pożyczek pieniężnych, gwarancji bankowych i poręczeń (pkt 2), instytucjom kredytowym informacji stanowiących tajemnicę bankową w zakresie niezbędnym do oceny zdolności kredytowej konsumenta, o której mowa w art. 9 ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim (pkt 3), instytucjom pożyczkowym i podmiotom, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, na zasadzie wzajemności, informacji stanowiących odpowiednio tajemnicę bankową oraz informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, w zakresie niezbędnym do oceny zdolności kredytowej konsumenta, o której mowa w art. 9 tej ustawy, i analizy ryzyka kredytowego (pkt 4).
Sąd I instancji wskazał także, że zgodnie z art. 105a ust. 1 ustawy Prawo bankowe, przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów, instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy o kredycie konsumenckim, a także instytucje utworzone na podstawie art. 105 ust. 4, informacji stanowiących tajemnicę bankową i informacji udostępnionych przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy o kredycie konsumenckim, w zakresie dotyczącym osób fizycznych, może być wykonywane, z zastrzeżeniem art. 104, 105 i art. 106 – 106d ustawy Prawo bankowe, w celu oceny zdolności kredytowej i analizy ryzyka kredytowego.
W myśl natomiast art. 105a ust. 3 Prawa bankowego, banki, instytucje oraz podmioty, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową i informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy o kredycie konsumenckim, dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy o kredycie konsumenckim, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy o kredycie konsumenckim, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank, inną instytucję ustawowo upoważnioną do udzielania kredytów, instytucję pożyczkową albo podmiot, o którym mowa w art. 59d ustawy o kredycie konsumenckim, o zamiarze przetwarzania dotyczących jej tych informacji, bez jej zgody.
Wojewódzki Sąd Administracyjny w Warszawie podkreślił, że kwestia wykładni użytego w art. 105a ust. 3 ustawy Prawo bankowe, zwrotu "od poinformowania tej osoby przez bank" była wielokrotnie przedmiotem rozważań Naczelnego Sądu Administracyjnego i Wojewódzkiego Sądu Administracyjnego w Warszawie i powołał się na wyrok z dnia 27 sierpnia 2019 r., wydany w sprawie sygn. akt I OSK 2514/17, w którym Naczelny Sąd Administracyjny wyjaśnił, iż: "Z powołanego przepisu wyraźnie wynika, że przetwarzanie danych jest dopuszczalne, gdy po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank. Zatem to na Banku ciążył obowiązek poinformowania (...) o zamiarze przetwarzania jej danych. Ustawodawca nie stworzył w tym zakresie żadnych szczególnych wymogów formalnych, co do sposobu i treści takiego poinformowania klienta lub byłego klienta banku. Nie oznacza to jednak całkowitej dowolności w tym zakresie. Jakkolwiek ustawodawca w żaden sposób nie ograniczył sposobów i form takiego powiadomienia, jednakże w każdym wypadku sposób ten powinien umożliwić zweryfikowanie faktu poinformowania klienta banku o zamierzonym przetwarzaniu jego danych osobowych lub też przynajmniej potwierdzenie, że klientowi umożliwiono zapoznanie się z taką informacją. W tym zakresie nie mogą mieć miejsca jakiekolwiek domniemania faktyczne". Sąd I instancji powołał się także na wyrok Naczelnego Sądu Administracyjnego z dnia 27 października 2017 r., sygn. akt I OSK 3362/15, w którym stwierdzono z kolei, że "Informacje o dokonaniu wysyłki takiej wiadomości nie mogą stanowić o uczynieniu zadość obowiązkowi z art. 105a ust. 3 Prawa bankowego. W celu weryfikacji dopuszczalności przetwarzania danych osobowych na podstawie art. 105a ust. 3 Prawa bankowego, GIODO musi dysponować stosownymi dowodami na rzeczywiste wykonanie wymienionego w tym przepisie obowiązku poinformowania i w tym zakresie nie może opierać się wyłącznie na oświadczeniu Banku. Takie stanowisko jest już utrwalone w orzecznictwie".
Wojewódzki Sąd Administracyjny w Warszawie podzielił przytoczone powyżej poglądy prawne i wyjaśnił, że w niniejszej sprawie konieczna była zatem ocena przedstawionej przez Bank dokumentacji pod kątem wypełnienia powyższej przesłanki. W ocenie Sądu I instancji, organ trafnie stwierdził, iż Bank nie wykazał, że uczestnik postępowania został poinformowany o zamiarze przetwarzania jego danych osobowych na podstawie art. 105a ust. 3 ustawy Prawo bankowe. Wyjaśnił jednocześnie, że to rzeczą Banku jest wskazanie konkretnego dokumentu, z którego wynika wykonanie powyższego obowiązku informacyjnego oraz wykazanie, iż dokument ten został doręczony osobie, o której mowa w tym przepisie. Sąd I instancji stwierdził, że w niniejszej sprawie Bank wadliwie przyjął, iż uczestnik postępowania posiadał wiedzę o zamiarze przetwarzania jego danych osobowych w oparciu o przepis art. 105a ust. 3 ustawy Prawo bankowe.
Jak wskazał Wojewódzki Sąd Administracyjny w Warszawie, w stanie faktycznym sprawy niewątpliwe jest, że uczestnik postępowania dopuścił się zwłoki trwającej dłużej niż 60 dni w przypadku wskazywanych zobowiązań. Istotnym jednakże w niniejszej sprawie jest to, że Bank nie spełnił wobec niego obowiązku określonego w art. 105a ust. 3 ustawy Prawo bankowe tj. nie poinformował go skutecznie o zamiarze przetwarzania dotyczących go informacji, stanowiących tajemnicę bankową, bez jego zgody po wygaśnięciu zobowiązania wynikającego z przedmiotowej umowy. Wojewódzki Sąd Administracyjny w Warszawie podkreślił, że sam fakt, iż uczestnik postępowania nie wykonał zobowiązania lub spóźnił się z jego wykonaniem co najmniej 60 dni, nie upoważnia Banku do przetwarzania jego danych na warunkach określonych w art. 105a ust. 3 ustawy Prawo bankowe i wyjaśnił, że moment, od którego należy liczyć sześćdziesięciodniowy termin, w którym konsument dopuszcza się zwłoki w wykonaniu zobowiązania, to termin wykonania zobowiązania. Dopiero po upływie 60 dni zaczyna biec termin 30 dni, w którym instytucja oczekuje jeszcze na wykonanie zobowiązania klienta. Termin 30 dni biegnie od momentu, w którym konsument zostanie skutecznie poinformowany przez instytucję o zamiarze przetwarzania. Ostatecznie to bezskuteczny upływ 30 dni od momentu poinformowania stanowi wypełnienie przesłanek z art. 105a ust. 3 ustawy Prawo bankowe.
Wojewódzki Sąd Administracyjny w Warszawie wskazał, że z powyższego wynika zatem, iż Bank, przetwarzając dane uczestnika postępowania na warunkach określonych w ww. przepisie, musi wykazać, że uczestnik postępowania został poinformowany o zamiarze przetwarzania ich bez jego zgody. Uczestnik postępowania podniósł natomiast, jak zauważył Sąd I instancji, że okoliczności wskazywane w art. 105a ust. 3 ustawy Prawo bankowe nie zostały spełnione w związku z czym Bank nie był uprawniony do przetwarzania jego danych osobowych w BIK w związku z przedmiotowymi zobowiązaniami. Bank zaś wyjaśnił, że pisma zawierające informację o zamiarze przetwarzania danych osobowych bez zgody uczestnika postępowania po wygaśnięciu zobowiązania zostały wysłane na wskazany przez niego adres do korespondencji, listami zwykłymi w związku z czym Bank nie dysponuje dowodami ich nadania. Brak jest zatem dowodów wskazujących na prawidłowe i skuteczne poinformowanie uczestnika postępowania o treści 105a ust. 3 ustawy Prawo bankowe.
Jednocześnie Sąd I instancji podkreślił, że pisma wymienione przez Bank w treści skargi na przedmiotową decyzję, w szczególności pismo Banku z dnia 28 września 2018 r. znak: ZW90-ET-51-12812CBAC/2018, nie stanowią informacji, o której mowa w art. 105a ust. 3 ustawy Prawo bankowe, ani też dowodu na skuteczne poinformowanie uczestnika postępowania o zamiarze przetwarzania jego danych w trybie ww. przepisu. W pismach tych Bank jedynie wspomina o tym że wysłał uczestnikowi postępowania informację o zamiarze umieszczenia jego danych w BIK. Powyższe nie stanowi jednak dowodu na to, że Bank takie pismo wcześniej rzeczywiście do uczestnika postępowania skierował, ani na to, czy i kiedy je ewentualnie otrzymał. Ponadto sam uczestnik postępowania zaprzeczył, aby otrzymał ww. pismo z Banku, tj. aby został przez Bank poinformowany o zamiarze przetwarzania jego danych w sposób określony w ww. przepisie. Zatem fakt kierowania do niego innych pism nie stanowi dowodu na poinformowanie go o zamiarze przetwarzania przez Bank jego danych osobowych w trybie art. 105a ust. 3 ustawy Prawo bankowe.
Sąd I instancji dodał, że sam Bank w skardze do WSA w Warszawie stwierdził, iż "(...) fakt doręczenia D. S. pism z dnia 10 maja 2012 r. i z dnia 12 sierpnia 2013 r. pozostaje sporny" (str.11 skargi).
Biorąc powyższe pod uwagę Wojewódzki Sąd Administracyjny w Warszawie stwierdził, że skoro zatem w niniejszej sprawie nie zostały spełnione przesłanki z art. 105a ust. 3 ustawy Prawo bankowe, to Prezes Urzędu Ochrony Danych Osobowych, korzystając z uprawnienia przewidzianego w art. 58 ust. 2 lit. b rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE, trafnie udzielił Bankowi w drodze decyzji administracyjnej upomnienia za naruszenie art. 6 ust. 1 ww. rozporządzenia polegającego na udostępnieniu danych osobowych uczestnika postępowania w związku z umową pożyczki oraz umową o wydanie i używanie karty kredytowej.
Jednocześnie Sąd I instancji uznał, że organ trafnie również odmówił uwzględnienia wniosku uczestnika postępowania w pozostałym zakresie, tj. zasadności przetwarzania jego danych w BIK do celów oceny zdolności kredytowej i analizy ryzyka kredytowego. Bank bowiem, uwzględniając wniosek uczestnika postępowania, pismem z dnia 27 maja 2019 r. poinformował, że w drodze wyjątku, uwzględnił jego prośbę i dane w powiązaniu z zobowiązaniami dotyczącymi zaległości z dnia 12 czerwca 2013 r. w odniesieniu do umowy nr [...] i z dnia 10 marca 2012 r. w odniesieniu do umowy nr [...] zostaną przeniesione do części statystycznej w BIK w terminie 7 dni od daty sporządzenia pisma. W związku z powyższym dane te nie będą przetwarzane w celu oceny zdolności kredytowej.
Skargę kasacyjną od powyższego wyroku wywiódł Bank i zaskarżając ten wyrok w całości oraz wnosząc o uchylenie zaskarżonego wyroku w całości i przekazanie sprawy do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie oraz o zasądzenie od organu na rzecz Banku zwrotu kosztów postępowania według norm prawem przepisanych, a także o rozpoznanie skargi kasacyjnej na rozprawie, zarzucił zaskarżonemu rozstrzygnięciu naruszenie przepisów postępowania i prawa materialnego polegające na:
1. naruszeniu art. 141 § 4 ustawy Prawo o postępowaniu przed sądami administracyjnymi, poprzez wadliwe uzasadnienie zaskarżonego wyroku, nieodpowiadające wymaganiom art. 141 § 4 ustawy Prawo o postępowaniu przed sądami administracyjnymi polegające na braku rozpoznania i dokonania oceny prawnej przez Wojewódzki Sąd Administracyjny w zakresie wszystkich podniesionych przez skarżącego w skardze zarzutów;
2. naruszeniu art. 145 § 1 pkt 1 lit. c ustawy Prawo o postępowaniu przed sądami administracyjnymi w związku z art. 7, art. 77 § 1 i art. 80 Kodeksu postępowania administracyjnego mające istotny wpływ na wynik sprawy, poprzez oddalenie zamiast uwzględnienia skargi, pomimo że nie zebrano i nie rozpatrzono w sposób wyczerpujący całego materiału dowodowego, w tym w szczególności nie dokonano ustaleń w zakresie kiedy – tj. w jakiej dacie – miało miejsce nieprawidłowe przetwarzanie danych osobowych uczestnika postępowania, a tym samym nie dokonano ustaleń na okoliczności istotne z punktu widzenia normy art. 105a ustawy Prawo bankowe, co skutkowało wydaniem decyzji na podstawie niepełnego i wadliwie ocenionego materiału dowodowego i błędnie ustalonego stanu faktycznego, prowadząc w konsekwencji do wadliwego uzasadnienia tejże decyzji;
3. naruszeniu art. 145 § 1 pkt 1 lit. c ustawy Prawo o postępowaniu przed sądami administracyjnymi w związku z art. 105 § 1 w związku z art. 6, art. 11, art. 107 § 3 Kodeksu postępowania administracyjnymi, mające istotny wpływ na wynik sprawy, poprzez oddalenie zamiast uwzględnienia skargi, pomimo że w treści decyzji Prezesa Urzędu Ochrony Danych Osobowych z dnia 6 lipca 2021 r., nr ZSPR.440.844.2019.FT.KR zaniechano dokonania ustaleń w zakresie kiedy, tj. w jakiej dacie miało miejsce nieprawidłowe przetwarzanie danych osobowych uczestnika postępowania, co doprowadziło do nieuzasadnionego przesądzenia w sposób stanowczy o faktach, które mają bezpośredni wpływ na sytuację prawną Banku;
4. naruszeniu art. 145 § 1 pkt 1 lit. c ustawy Prawo o postępowaniu przed sądami administracyjnymi w związku z art. 75 § 2 w związku z art. 107 Kodeksu postępowania administracyjnego mające istotny wpływ na wynik sprawy, poprzez niezastosowanie tych przepisów i wyprowadzenie wniosku, że Bank nie wskazał konkretnego dokumentu, z którego wynika wykonanie obowiązku informacyjnego względem uczestnika postępowania:
- pomimo że w zakres materiału dowodowego wchodzi taki dokument, tj. pismo z dnia 6 marca 2020 r. znak: DBE-BZS-Z3-JKC/2333/21352/2020 (k. 29) i pismo z dnia 10 lipca 2019 r. znak: DBE-BZS-Z3-JK/2333/19952/2019 (k. 40), w których znajduje się oświadczenie Banku złożone na temat wysłania do uczestnika postępowania pisma z dnia 10 maja 2012 r. i pisma z dnia 12 sierpnia 2013 r. zawiadamiających o zamiarze przetwarzania danych bez zgody uczestnika postępowania po wygaśnięciu zobowiązania;
- pomimo, że przepisy powszechnie obowiązujące nie formułują obowiązku wysyłania informacji, o której mowa w art. 105a ust. 3 ustawy Prawo bankowe w szczególnej formie i w związku z tym Bank dopełnił obowiązków wynikających z przepisów prawa poprzez oświadczenie o dokonaniu wysyłki stosownej informacji do uczestnika postępowania złożone w piśmie z dnia 10 lipca 2019 r. znak: DBE-BZS-Z3-JK/2333/19952/2019 (k. 40) i w piśmie z dnia 6 marca 2020 r. znak: DBE-BZS-Z3-JKC/2333/21352/2020 (k. 29).
- pomimo, że sam uczestnik postępowania w treści skargi na niezgodne z prawem przetwarzanie danych osobowych przez Bank z dnia 8 kwietnia 2019 r. nie zaprzecza faktowi, że informacje takowe od Banku otrzymał, a jedynie wskazuje, że Bank nie dysponuje dowodem, że uczestnik został poinformowany o zamiarze przetwarzania jego danych bez jego zgody, a w związku z tym nie można uznać, że uczestnik postępowania nie otrzymał informacji o zamiarze przetwarzania jego danych bez jego zgody;
5. naruszeniu art. 145 § 1 pkt 1 lit. c ustawy Prawo o postępowaniu przed sądami administracyjnymi w związku z art. 7, art. 77 § 1 w związku z art. 107 § 1 pkt 6 i § 3 Kodeksu postępowania administracyjnego, poprzez oddalenie skargi i nieuchylenie decyzji organu z dnia 6 lipca 2021 r., znak: ZSPR.440.844.2019.FT.KR, pomimo że decyzja ta została wydana bez podjęcia działań niezbędnych do dokładnego wyjaśnienia stanu faktycznego sprawy, a w szczególności poprzez dokonanie dowolnej, a nie swobodnej oceny dowodów w postaci:
a. pisma Banku z dnia 27 maja 2019 r., znak: BRK-ZWR-DŁ-0500-128CC5C0E/19 – w aktach sprawy, k. 32;
b. pisma Banku z dnia 28 września 2018 r., znak: ZW90-ET-51-1281CBAC/2018 – w aktach sprawy, k. 4;
c. pisma Banku dotyczącego pisma z dnia 5 stycznia 2018 r., znak: BRK-ZWR-KS-0500-127568086/18 – w aktach sprawy, k. 5-8;
d. pisma Banku z dnia 10 lipca 2019 r. – w aktach sprawy, k. 29;
e. pisma Banku z dnia 6 marca 2020 r. – w aktach sprawy, k. 40;
f. skargi uczestnika postępowania na niezgodne z prawem przetwarzanie danych osobowych przez Bank – w aktach sprawy, k. 1-3;
g. potwierdzenia doręczenia przesyłki poleconej z dnia 27 lipca 2020 r. – w aktach sprawy, k. 42 verte;
h. potwierdzenia doręczenia przesyłki poleconej – w aktach sprawy k. 19, verte, k. 11;
z których wprost wynika, że uczestnik postępowania został poinformowany o zamiarze przetworzenia jego danych w trybie art. 105a ust. 3 ustawy Prawo bankowe i zapoznał się z tą informacją najpóźniej w dacie odbioru pisma znak: BRK-ZWR-KS-0500-1275680B6/18 dot. pisma z dnia 5 stycznia 2018 r., co doprowadziło do błędnego ustalenia w toku postępowania administracyjnego, że Bank nie doręczył uczestnikowi postępowania informacji o zamiarze dalszego przetwarzania jego danych osobowych, o którym to zawiadomieniu mowa w art 105a ust. 3 ustawy Prawo Bankowe, a w konsekwencji przetwarzanie danych uczestnika postępowania miało miejsce w sposób nieuprawniony.
W uzasadnieniu skargi kasacyjnej strona skarżąca kasacyjnie podniosła, że organ w dacie wydania decyzji nr ZSPR.440.844.2019.F.KR dysponował stosownymi dowodami na rzeczywiste wykonanie przez Bank obowiązku informacyjnego, o którym mowa w art. 105a ust. 3 ustawy Prawo bankowe, co Bank wskazywał już w treści skargi do Sądu I instancji, przedstawiając chronologię wydarzeń świadczących o tym, że przesłanka "poinformowania tej osoby przez bank" w rozumieniu normy art. 105a ust 3 ustawy Prawo bankowe została spełniona na gruncie stanu faktycznego niniejszej sprawy. Jak wskazała strona skarżąca kasacyjnie, po pierwsze w treści skargi z dnia 8 kwietnia 2019 r. uczestnik postępowania wprost odwołał się do pisma Banku w odpowiedzi na pismo z dnia 5 stycznia 2018 r. znak: BRK-ZWR-KS-0500-127560B6/18 (wycofanie zgody na przetwarzanie danych), co oznacza, że najpóźniej w tym dniu znał ich treść, w tym informację o zamiarze przetwarzania danych osobowych. Po drugie, zasady logicznego rozumowania pozwalają przyjąć, że pisma z dnia 10 maja 2012 r. i z dnia 12 sierpnia 2013 r. zostały uczestnikowi postępowania doręczone w terminie kilku dni po ich nadaniu. Twierdzenie to jest uzasadnione w oparciu o całokształt dokumentacji zgromadzonej w aktach sprawy i swobodną oraz krytyczną oceną twierdzeń uczestnika postępowania, a przede wszystkim jest uzasadnione w świetle zasad doświadczenia życiowego. W dniu 8 kwietnia 2019 r. (data sporządzenia skargi) uczestnik postępowania znał treść pisma Banku z dnia 28 września 2018 r. i znał treść pisma stanowiącego odpowiedź na pismo uczestnika postępowania z dnia 5 stycznia 2018 r. Strona skarżąca kasacyjnie podkreśliła, że twierdzenie o doręczeniu wskazanych pism nie opiera się zatem na jakichkolwiek domniemaniach tylko na jasnych i jednoznacznych oświadczeniach, które pochodzą bezpośrednio od zainteresowanego.
Biorąc powyższe pod uwagę w ocenie strony skarżącej kasacyjnie w niniejszej sprawie, wbrew zaskarżonemu wyrokowi, została spełniona przesłanka "poinformowania osoby przez bank" wynikająca z art. 105 ust. 3 ustawy Prawo bankowe.
Strona skarżąca kasacyjnie dodała także, że nawet w przypadku uznania, że istotnie miały miejsce jakiekolwiek nieprawidłowości związane z przetwarzaniem danych osobowych uczestnika postępowania, co skarżący kasacyjnie kwestionuje, w toku postępowania administracyjnego nie ustalono w jakiej konkretnie dacie nieprawidłowości te miały miejsce, co winno stanowić przedmiot analizy Sądu I instancji, gdyż dotyczy nie tylko faktów posiadających bezpośredni wpływ na sytuację prawną Banku, ale również dotyczy okoliczności istotnych z punktu widzenia przesłanek normy art. 105a ustawy Prawo bankowe.
W odpowiedzi na skargę kasacyjną organ wniósł o oddalenie skargi kasacyjnej jako całkowicie bezzasadnej podtrzymując swoje dotychczasowe stanowisko wyrażone w decyzji z dnia 6 lipca 2021 r., a także w odpowiedzi na skargę złożonej do Sądu I instancji, jak również popierając w pełni stanowisko Sądu I instancji zawarte w zaskarżonym wyroku. Organ wskazał, że strona skarżąca kasacyjnie w znacznej części powieliła wcześniej podnoszoną argumentację, zawartą przedkładanych pismach kierowanych do organu oraz do Wojewódzkiego Sądu Administracyjnego w Warszawie, a zatem zdaniem organu zawarta w skardze kasacyjnej argumentacja stanowi wyłącznie polemikę z prawidłowym stanowiskiem wyrażonym przez Sąd I instancji. Organ dodał jednocześnie, że w świetle art. 105a ust. 3 ustawy Prawo bankowe niedopuszczalne jest przerzucanie na skarżącego ciężaru udowodnienia, że nie został on poinformowany o zamiarze przetwarzania jego danych osobowych w sposób określony w tym przepisie, gdyż to podmiot informujący wywodzi z powyższego skutki prawne, a zatem to on musi wykazać, że poinformował skarżącego o zamiarze przetwarzania danych stanowiących tajemnicę bankową, bez jego zgody na podstawie art. 105a ust. 3 ustawy Prawo bankowe. Organ wskazał także, że wbrew twierdzeniom skargi kasacyjnej dokonał dokładnej analizy i prawidłowej oceny wskazywanych przez Bank pism, jednak nie stanowią one dowodu na skuteczne poinformowanie uczestnika postępowania o zamiarze przetwarzania jego danych osobowych, gdyż w pismach tych Bank jedynie wspomina o tym, że wysłał uczestnikowi postępowania informacje o zamiarze umieszczenia jego danych osobowych w BIK. Natomiast kierowanie do uczestnika postępowania przez Bank innych pism nie stanowi dowodu na poinformowanie go o zamiarze przetwarzania danych osobowych przez Bank w trybie art. 105a ust. 3 ustawy Prawo bankowe. Odnosząc się zaś do zarzutu dotyczącego nieustalenia daty przekazania danych osobowych uczestnika postępowania do BIK, organ podkreślił, że choć wprawdzie w sentencji decyzji nie zawarto konkretnych dat w tym zakresie, to wynika to wprost z zaskarżonego rozstrzygnięcia.
Naczelny Sąd Administracyjny zważył, co następuje:
Zgodnie z treścią art. 183 § 1 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (tj.: Dz.U. z 2024 r., poz. 935) - zwanej dalej p.p.s.a., Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, bierze jednak z urzędu pod rozwagę nieważność postępowania. W sprawie nie występują, enumeratywnie wyliczone w art. 183 § 2 p.p.s.a., przesłanki nieważności postępowania sądowoadministracyjnego. Z tego względu, przy rozpoznaniu sprawy, Naczelny Sąd Administracyjny związany był granicami skargi kasacyjnej.
Skargę kasacyjną można oprzeć na następujących podstawach:
1) naruszeniu prawa materialnego przez błędną jego wykładnię lub niewłaściwe zastosowanie,
2) naruszeniu przepisów postępowania, jeżeli uchybienie to mogło mieć istotny wpływ na wynik sprawy (art. 174 p.p.s.a.).
Granice skargi kasacyjnej wyznaczają wskazane w niej podstawy.
Z uwagi na sposób skonstruowania skargi kasacyjnej w niniejszej sprawie, należy przypomnieć, że Naczelny Sąd Administracyjny, ze względu na ograniczenia wynikające ze wskazanych regulacji prawnych, nie może we własnym zakresie konkretyzować zarzutów skargi kasacyjnej, uściślać ich bądź w inny sposób korygować. Związanie Naczelnego Sądu Administracyjnego granicami skargi kasacyjnej oznacza również związanie wskazanymi w niej podstawami zaskarżenia, które determinują zakres kontroli kasacyjnej, jaką Naczelny Sąd Administracyjny sprawuje na podstawie i w granicach prawa (art. 7 Konstytucji RP) - w celu stwierdzenia ewentualnej wadliwości zaskarżonego orzeczenia. Z faktu związania Naczelnego Sądu Administracyjnego granicami skargi kasacyjnej wynika wykluczenie możliwości domniemywania intencji strony składającej ten środek zaskarżenia, konkretyzowania jego zarzutów, czy też uzupełniania występujących w nim braków dotyczących podstaw skargi kasacyjnej i ich uzasadnienia.
Ze względu na wymogi konstrukcyjne skargi kasacyjnej, ich sporządzanie zostało powierzone profesjonalnym podmiotom, których fachowość powinna gwarantować prawidłowe skonstruowanie zarzutów, zgodnie z przepisami p.p.s.a. Do autora skargi kasacyjnej należy zatem wskazanie konkretnych przepisów prawa materialnego lub przepisów postępowania, które w jego ocenie naruszył Sąd I instancji i precyzyjne wyjaśnienie, na czym polegało ich niewłaściwe zastosowanie lub błędna interpretacja, w odniesieniu do prawa materialnego, bądź wykazanie istotnego wpływu naruszenia prawa procesowego na rozstrzygnięcie sprawy przez Sąd I instancji. Podkreślić należy, że zgodnie ze stanowiskiem przyjętym w uchwale pełnego składu NSA z dnia 26 października 2009 r., I OPS 10/09, "Przytoczenie podstaw kasacyjnych, rozumiane jako wskazanie przepisów, które - zdaniem wnoszącego skargę kasacyjną - zostały naruszone przez wojewódzki sąd administracyjny, nakłada na Naczelny Sąd Administracyjny (...) obowiązek odniesienia się do wszystkich zarzutów przytoczonych w podstawach kasacyjnych". Naczelny Sąd Administracyjny tylko wtedy może uczynić zadość temu obowiązkowi, gdy wnoszący skargę kasacyjną poprawnie określi, jakie przepisy jego zdaniem naruszył wojewódzki sąd administracyjny i na czym owo naruszenie polegało.
Skarga kasacyjna w niniejszej sprawie została sporządzona niestarannie, a zwłaszcza nie sprecyzowano w niej podstaw kasacyjnych, o jakich stanowi art. 174 p.p.s.a. ze wskazaniem, czy w ocenie wnoszącego skargę kasacyjną miało miejsce naruszenie prawa materialnego przez błędną jego wykładnię lub niewłaściwe zastosowanie, czy naruszenie przepisów postępowania, jeżeli uchybienie to mogło mieć istotny wpływ na wynik sprawy, czy też naruszenie zarówno prawa materialnego, jak i przepisów postępowania. Skarga kasacyjna nie przyporządkowuje zatem zarzutów do konkretnego punktu art. 174 p.p.s.a., a jedynie zbiorczo wskazuje na zarzucenie zaskarżonemu wyrokowi naruszenia przepisów postępowania i prawa materialnego. W świetle orzecznictwa Naczelnego Sądu Administracyjnego brak ten nie uzasadnia wprawdzie stwierdzenia, że skarga kasacyjna nie spełnia ustawowych wymogów określonych w art. 176 p.p.s.a. i podlega odrzuceniu (por. wyrok NSA z dnia 11 maja 2006 r., II FSK 684/05, LEX nr 273665), nie stanowi jednak wypełnienia koniecznego wymogu profesjonalizmu we wnoszeniu skargi kasacyjnej przez profesjonalnego pełnomocnika i w znacznym stopniu determinuje wynik kontroli instancyjnej.
Niezależnie od powyższego przechodząc do analizy zarzutów sformułowanych w skardze kasacyjnej, na podstawie których - jak już wskazano – nie sprecyzowano podstaw kasacyjnych, odnotować należy procesowy charakter przepisów, których naruszenie usiłuje wytknąć autor skargi kasacyjnej. W ramach pierwszego z nich skarżący kasacyjnie wskazuje na naruszenie przez Sąd I instancji art. 141 § 4 p.p.s.a., poprzez wadliwe uzasadnienie zaskarżonego wyroku, nieodpowiadające wymaganiom z art. 141 § 4 p.p.s.a., polegające na braku rozpoznania i dokonania oceny prawnej przez Wojewódzki Sąd Administracyjny w zakresie wszystkich podniesionych przez Bank w skardze zarzutów. Zarzut ten jest bezzasadny.
Przede wszystkim wyjaśnić należy, że zarzut naruszenia art. 141 § 4 p.p.s.a. może być skutecznie postawiony w dwóch przypadkach: gdy uzasadnienie wyroku nie zawiera wszystkich elementów, wymienionych w tym przepisie i gdy w ramach przedstawienia stanu sprawy, wojewódzki sąd administracyjny nie wskaże, jaki i dlaczego stan faktyczny przyjął za podstawę orzekania (por. uchwałę NSA z dnia 15 lutego 2010 r., sygn. akt: II FPS 8/09, LEX nr 552012, wyrok NSA z dnia 20 sierpnia 2009 r., sygn. akt: II FSK 568/08, LEX nr 513044). Naruszenie to musi być przy tym na tyle istotne, aby mogło mieć wpływ na wynik sprawy (art. 174 pkt 2 p.p.s.a.). Za jego pomocą nie można skutecznie zwalczać prawidłowości przyjętego przez sąd stanu faktycznego, jak i niemożliwe jest także kwestionowanie w ramach zarzutu naruszenia art. 141 § 4 p.p.s.a. stanowiska sądu co do wykładni bądź zastosowania prawa materialnego. Przepis art. 141 § 4 p.p.s.a. jest przepisem proceduralnym, regulującym wymogi uzasadnienia. W ramach rozpatrywania zarzutu naruszenia tego przepisu Naczelny Sąd Administracyjny zobowiązany jest jedynie do kontroli zgodności uzasadnienia zaskarżonego wyroku z wymogami wynikającymi z powyższej normy prawnej. Wadliwość uzasadnienia orzeczenia może stanowić przedmiot skutecznego zarzutu kasacyjnego z art. 141 § 4 p.p.s.a., w sytuacji, gdy sporządzone jest ono w taki sposób, że niemożliwa jest kontrola instancyjna zaskarżonego wyroku (por. postanowienie NSA z dnia 22 maja 2014 r., II OSK 481/14). Tymczasem uzasadnienie zaskarżonego w niniejszej sprawie wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie zawiera przedstawienie stanu sprawy, zarzutów podniesionych w skardze, stanowiska strony przeciwnej, podstawę prawną rozstrzygnięcia oraz jej wyjaśnienie. Sąd I instancji odniósł się do wszystkich kwestii istotnych z punktu widzenia merytorycznego rozstrzygnięcia sprawy i wskazał powody, dla których uznał, że skarga na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 6 lipca 2021 r., nr ZSPR.440.844.2019.FT.KR w przedmiocie przetwarzania danych osobowych, na podstawie której m.in. udzielono Bankowi upomnienia za przetwarzanie danych osobowych uczestnika postępowania bez podstawy prawnej, nie zasługiwała w niniejszej sprawie na uwzględnienie. Treść uzasadnienia zaskarżonego wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie czyni go więc w pełni poddającym się kontroli kasacyjnej i wprost wynika z niego rezultat i wnioski przeprowadzonej kontroli działalności administracji publicznej. Przedstawiona przez Sąd I instancji argumentacja jest czytelna sprawiając, że wyrok poddaje się kontroli instancyjnej, a to wszystko czyni zarzut naruszenia art. 141 § 4 p.p.s.a. bezskutecznym. Na marginesie jedynie można dodać, że obowiązek odniesienia się do zarzutów skargi oznacza konieczność odniesienia się do kwestii istotnych z punktu widzenia rozstrzygnięcia sprawy. Podkreślić należy, że przywołany przez autora skargi kasacyjnej art. 141 § 4 p.p.s.a. nie wymaga szczegółowego odniesienia się przez Sąd I instancji do wszystkich zarzutów skargi oraz podniesionej w niej argumentacji, ale wymaga odniesienia się do tych zarzutów, których zbadanie jest niezbędne do przeprowadzenia kontroli zaskarżonego aktu administracyjnego, co miało miejsce w realiach tej sprawy. Zarzutu naruszenia art. 141 § 4 p.p.s.a. nie może zatem skutecznie uzasadniać nieuwzględnieniem wszystkich zarzutów skargi czy nieodniesieniem się przez sąd do wszystkich kwestii podnoszonych przez stronę. To, że skarżący kasacyjnie nie jest przekonany o trafności rozstrzygnięcia sprawy przez sąd, nie oznacza jeszcze wadliwości uzasadnienia wyroku (por. wyrok NSA z 30 listopada 2011 r., sygn. akt I OSK 1451/11). Brak przekonania strony o trafności rozstrzygnięcia sprawy, w tym co do przyjętego kierunku wykładni i zastosowania prawa, czy też oceny zgromadzonego w sprawie materiału dowodowego, która nie koresponduje z oczekiwaniami skarżącego kasacyjnie, nie oznacza wadliwości uzasadnienia wyroku. Polemika z merytorycznym stanowiskiem sądu pierwszej instancji nie może czynić skutecznym zarzutu naruszenia art. 141 § 4 p.p.s.a.
Konstrukcja dwóch kolejnych zarzutów naruszenia przepisów postępowania umożliwia natomiast ich łączne rozpoznanie, bowiem na ich podstawie strona skarżąca kasacyjnie zarzucając Sądowi I instancji naruszenie art. 145 § 1 pkt 1 lit. c p.p.s.a. w powiązaniu z przepisami ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2024 r., poz. 572 ze zm.) – dalej zwanej: k.p.a., tj. art. 7, art. 77 § 1, art. 80 k.p.a. (drugi zarzut) oraz art. 105 § 1 w związku z art. 6, art. 11 i art. 107 § 3 k.p.a. (trzeci zarzut), usiłuje wytknąć nieprawidłowości w przeprowadzonym postępowaniu w zakresie braku ustalenia przez organ konkretnej daty nieprawidłowego przetwarzania danych osobowych uczestnika postępowania przez Bank. Zarzuty te nie mogły jednak odnieść skutku.
Przede wszystkim w związku z tym, że strona skarżąca kasacyjnie zarzuca naruszenie przez Wojewódzki Sąd Administracyjny w Warszawie art. 145 § 1 pkt 1 lit. c p.p.s.a. podkreślenia wymaga, że w orzecznictwie Naczelnego Sądu Administracyjnego ugruntowane jest stanowisko, że przepis art. 145 § 1 pkt 1 lit. c p.p.s.a., podobnie zresztą jak art. 146 § 1, art. 147, art. 149 § 1, czy też art. 151 i art. 161 § 1 p.p.s.a. ma charakter ogólny (blankietowy) i określa kompetencje sądu administracyjnego w fazie orzekania. Tego typu przepis nie może więc stanowić samodzielnej podstawy kasacyjnej. Strona skarżąca kasacyjnie chcąc powołać się na zarzut naruszenia art. 145 § 1 pkt 1 lit. c p.p.s.a. zobowiązana jest więc bezpośrednio powiązać omawiany zarzut z zarzutem naruszenia konkretnych przepisów, którym – jej zdaniem – Sąd I instancji uchybił w toku rozpoznania sprawy. Naruszenie ww. przepisów jest zawsze następstwem uchybienia innym przepisom, czy to procesowym, czy też materialnym (por. wyroki NSA: z dnia 30 kwietnia 2015 r., I OSK 1701/14, z dnia 29 kwietnia 2015 r., I OSK 1595/14, z dnia 29 kwietnia 2015 r., I OSK 1596/14, z dnia 24 kwietnia 2015 r., I OSK 1088/14, z dnia 8 kwietnia 2015 r., I OSK 71/15, z dnia 9 stycznia 2015 r., I OSK 638/14). Niezależnie jednak od tego, z uwagi na to, że strona skarżąca kasacyjnie wytyka Sądowi I instancji naruszenie art. 145 § 1 pkt 1 lit. c p.p.s.a., podkreślenia wymaga to, że Wojewódzki Sąd Administracyjny w Warszawie oddalając skargę w niniejszej sprawie na podstawie art. 151 p.p.s.a., nie stosował art. 145 § 1 pkt 1 lit. c p.p.s.a. określającego kompetencje sądu w razie uwzględnienia skargi na decyzję lub postanowienie, a zatem przede wszystkim z tego powodu nie mógł naruszyć tego przepisu.
Niezależnie od powyższego, w związku z tym, że strona skarżąca kasacyjnie powiązała zarzut niestosowanego w sprawie art. 145 § 1 pkt 1 lit. c p.p.s.a ze wskazanymi powyżej przepisami k.p.a. podnosząc brak ustalenia przez organ w niniejszej sprawie konkretnej daty nieprawidłowego przetwarzania danych osobowych uczestnika postępowania przez Bank, co ma mieć w ocenie autora skargi kasacyjnej istotny wpływ na wynik sprawy, wskazać należy, że w ocenie Naczelnego Sądu Administracyjnego podnoszone przez autora skargi kasacyjnej zarzuty w tym zakresie są zupełnie niezrozumiałe, bo choć rzeczywiście w sentencji zaskarżonej w sprawie decyzji nie zawarto dat przekazania przez Bank danych osobowych uczestnika postępowania do BIK, to ze szczegółowo, logicznie i prawidłowo ustalonego w uzasadnieniu decyzji stanu faktycznego sprawy, opartego zresztą na wyjaśnieniach Banku, moment tego przekazania wynika wprost. Niezależnie od powyższego wskazać należy, że zgodnie z art. 174 pkt 2 p.p.s.a., jak już wskazywano, skargę kasacyjną można oprzeć na zarzutach naruszenia przepisów postępowania, ale wyłącznie jeżeli uchybienie to mogło mieć istotny wpływ na wynik sprawy. Autor skargi kasacyjnej nie wskazał natomiast w jaki sposób rzekome uchybienie organu polegające na niewskazaniu konkretnych dat przekazania przez Bank danych osobowych uczestnika postępowania do BIK miało wpływ na wynik niniejszej sprawy. Uzasadnienie zarzutów w tym zakresie ogranicza się do lakonicznego stwierdzenia, że wskutek powyższego "nie dokonano ustaleń na okoliczności istotne z punktu widzenia normy art. 105a ustawy Prawo bankowe, co skutkowało wydaniem decyzji na podstawie niepełnego i wadliwie ocenionego materiału dowodowego i błędnie ustalonego stanu faktycznego" (pierwszy z omawianych zarzutów), czy też do wskazania, że powyższe "doprowadziło do nieuzasadnionego przesądzenia w sposób stanowczy o faktach, które mają bezpośredni wpływ na sytuację prawną Banku" (drugi z omawianych zarzutów), nie konkretyzując jednocześnie z jakich powodów brak tej daty w sentencji decyzji ma istotne znaczenie z punktu widzenia brzmienia normy art. 105a ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz. U. z 2024 r., poz. 1646 ze zm.) i jaki konkretnie ma to wpływ na sytuację prawną Banku. Mając powyższe na uwadze jako, niezasadne należało ocenić dwa powyżej omówione zarzuty naruszenia przepisów postępowania.
Bezzasadne są również dwa kolejne zarzuty, na podstawie których autor skargi kasacyjnej podnosząc naruszenie przez Wojewódzki Sąd Administracyjny w Warszawie art. 145 § 1 pkt 1 lit. c p.p.s.a. w powiązaniu z art. 75 § 2 k.p.a. w związku z art. 107 k.p.a. oraz z art. 7, art. 77 § 1 w związku z art. 106 § 1 pkt 6 i § 3 k.p.a. wytyka błędne – zdaniem skarżącego kasacyjnie - uznanie przez Sąd I instancji, że Bank nie wykazał konkretnego dokumentu, z którego wynika wykonanie przez niego obowiązku informacyjnego względem uczestnika postępowania. Abstrahując od tego, że strona skarżąca kasacyjnie ponownie przywołuje niestosowany w sprawie art. 145 § 1 pkt 1 lit. c p.p.s.a., to w ocenie Naczelnego Sądu Administracyjnego należy zgodzić się ze stanowiskiem organu, następnie zaakceptowanym przez Wojewódzki Sąd Administracyjny w Warszawie, że Bank w przeprowadzonym w niniejszej sprawie postępowaniu administracyjnym nie dostarczył ani wiarygodnego, ani tym bardziej urzędowego dowodu, który potwierdzałby skuteczne zrealizowanie przez niego obowiązku informacyjnego względem uczestnika postępowania w zakresie zamiaru przetwarzania dotyczących go informacji, stanowiących tajemnicę bankową, bez jego zgody, tj. obowiązku informacyjnego wynikającego z art. 105a ust. 3 ustawy Prawo bankowe. Żadne z wymienionych przez autora skargi kasacyjnej pism, które znajdują się zresztą w aktach administracyjnych niniejszego postępowania i które były przedmiotem analizy organu, nie potwierdzają w sposób niebudzący wątpliwości realizacji ww. obowiązku przez Bank. Tym samym słusznie przyjął organ w uzasadnieniu zaskarżonej decyzji, że Bank skutecznie nie spełnił wobec uczestnika postępowania obowiązku określonego w art. 105a ust. 3 ustawy Prawo bankowe. Jak prawidłowo podkreślił Sąd I instancji w związku z konstrukcją art. 105a ust. 3 ustawy Prawo bankowe, to rolą Banku jest wykazanie w postępowaniu przez Prezesem Urzędu Ochrony Danych Osobowych daty, w której doszło do poinformowania osoby, której dane dotyczą, o zamiarze przetwarzania jej danych osobowych po wygaśnięciu zobowiązania, bez jej zgody, nie zaś daty, w której hipotetycznie osoba ta mogła zapoznać się z powyższą informacją (por. wyroki NSA z 17 grudnia 2024 r., sygn. akt III OSK 1763/24, z 27 sierpnia 2019 r., sygn. akt I OSK 2514/17, z 7 sierpnia 2018 r., sygn. akt I OSK 2123/15 i sygn. akt I OSK 2051/16, z 27 października 2017 r., sygn. akt I OSK 3362/1, z 25 lipca 2017 r., sygn. akt I OSK 2859/16). To Bank najlepiej zna bowiem sytuację faktyczną i powinien wywodząc pozytywne dla siebie skutki prawne przestawić dowody przemawiające – w sposób niewątpliwy - za prawidłowością przetwarzania przez niego danych osobowych. Natomiast dowody i wyjaśnienia przedstawiane przez Bank w niniejszym postępowaniu prawidłowości przetwarzania danych osobowych uczestnika postępowania nie potwierdzają, a zatem wyrażone przez Wojewódzki Sąd Administracyjny w Warszawie stanowisko w tym zakresie uznać należało za prawidłowe.
Skoro podniesione w skardze kasacyjnej zarzuty okazały się nieskuteczne, Naczelny Sąd Administracyjny nie miał podstaw do jej uwzględnienia, co skutkowało oddaleniem skargi kasacyjnej w oparciu o art. 184 p.p.s.a.
O kosztach postępowania kasacyjnego rozstrzygnięto na podstawie art. 204 pkt 1 p.p.s.a.