III OSK 2300/23

III OSK 2300/23 - Wyrok NSA
Data orzeczenia
2024-12-17
orzeczenie prawomocne
Data wpływu
2023-09-08
Sąd
Naczelny Sąd Administracyjny
Sędziowie
Małgorzata Masternak - Kubiak /przewodniczący/
Mariusz Kotulski
Zbigniew Ślusarczyk /sprawozdawca/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Sygn. powiązane
II SA/Wa 1540/22 - Wyrok WSA w Warszawie z 2023-04-28
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Uchylono zaskarżony wyrok i oddalono skargę
Powołane przepisy
Dz.U. 2021 poz 2439
art. 105a ust. 3
Ustawa z dnia 29 sierpnia 1997 r. Prawo bankowe (t.j.)
Dz.U.UE.L 2016 nr 119 poz 1 art. 58 ust. 2 lit. b i lit. c
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z  przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE
Sentencja
Naczelny Sąd Administracyjny w składzie: Przewodniczący: sędzia NSA Małgorzata Masternak-Kubiak sędzia NSA Zbigniew Ślusarczyk (spr.) sędzia del. WSA Mariusz Kotulski Protokolant asystent sędziego Dominika Daśko po rozpoznaniu w dniu 17 grudnia 2024 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej Prezesa Urzędu Ochrony Danych Osobowych od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 28 kwietnia 2023 r. sygn. akt II SA/Wa 1540/22 w sprawie ze skargi [...] Bank S.A. z siedzibą [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 30 czerwca 2022 r. nr DS.523.6395.2021.FT.UD w przedmiocie przetwarzania danych osobowych 1. uchyla zaskarżony wyrok i oddala skargę, 2. zasądza od [...] Bank S.A. z siedzibą [...] na rzecz Prezesa Urzędu Ochrony Osobowych kwotę 580 (pięćset osiemdziesiąt) złotych tytułem zwrotu kosztów postępowania kasacyjnego.
Uzasadnienie
Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z 28 kwietnia
2023 r., sygn. akt II SA/Wa 1540/22, wydanym po rozpoznaniu sprawy ze skargi [...] Bank S.A. z siedzibą [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z 30 czerwca 2022 r. nr DS.523.6395.2021.FT.UD w przedmiocie przetwarzania danych osobowych, na podstawie art. 145 § 1 pkt 1 lit. a oraz art. 200 i art. 205 § 2 ustawy z 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2019 r., poz. 2325), dalej "p.p.s.a.", w pkt. 1. sentencji - wyroku uchylił zaskarżoną decyzję, a w pkt. 2. sentencji wyroku - zasądził od Prezesa Urzędu Ochrony Danych Osobowych na rzecz [...] Bank S.A. z siedzibą [...] zwrot kosztów postępowania sądowego.
W uzasadnieniu ww. wyroku Sąd I instancji podał, że zaskarżoną decyzją – przywołując art. 104 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (Dz.U. z 2021 r. poz. 735 ze zm.), zwanej dalej "k.p.a.", oraz
art. 58 ust. 2 lit. c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L. nr 119. str. 1, ze zm.), zwanego dalej "RODO", oraz wobec skargi A. S., zwanej dalej "wnioskodawczynią", na nieprawidłowości w procesie przetwarzania jej danych osobowych przez [...] Bank S.A. (dalej jako "Bank"), polegające na przetwarzaniu bez podstawy prawnej danych osobowych, dotyczących umowy nr [...] z 19 marca 2015 r. (dalej jako "Umowa I") oraz umowy nr [...] z 27 lipca 2015 r. (dalej jako "Umowa II") w systemie Biura Informacji Kredytowej S.A. (dalej jako "Biuro") - nakazano Bankowi zaprzestanie przetwarzania danych osobowych wnioskodawczyni, dotyczących Umów I i II w celu oceny zdolności kredytowej i analizy ryzyka kredytowego w systemie Biura.
Z kolei w uzasadnieniu decyzji organ stwierdził, że wnioskodawczyni podnosła, że Bank przetwarza bez podstawy prawnej w systemie Biura dane osobowe - wynikające z Umów I i II; wskazał: "(...) mimo ustania mojej relacji z bankiem po całkowitej spłacie zobowiązania bank nadal przetwarzał i przetwarza moje dane osobowe udostępniając je także w zewnętrznej bazie BIK mimo iż wycofałem swoją zgodę na jakiekolwiek działania. Bank nie wypełnił jednocześnie obowiązku poinformowania mnie o dokonanych wpisach co sprawia że działania te są bezprawne." Wnioskodawczyni wnosła o nakazanie Bankowi usunięcia danych osobowych, przetwarzanych w Biurze (tak: skarga z 4 października 2021 r. oraz pismo Wnioskodawcy z 18 października 2021 r.).
Natomiast wg stanowiska banku, dane osobowe wnioskodawczyni pozyskano w związku z zawarciem Umowy I i II w zakresie niezbędnym do ich zawarcia; to dane identyfikacyjne, dane adresowe, dane teleadresowe oraz informacje finansowe. Bank wskazał, że dane przetwarza: "(...) w celu obrony przed ew. roszczeniami do czasu ich przedawnienia zgodnie z art. 118 Kodeksu cywilnego w zw. z art. 6 ust. 1 lit. f) RODO - co stanowi jednocześnie prawnie uzasadniony interes Banku. Dane Skarżącej przetwarzane są również na podstawie art. 105a ust. 3 Ustawy - Prawo Bankowe w BIK przez okres wskazany w art. 105a ust. 5 Ustawy - Prawo Bankowe (...)" (tak; wyjaśnienia Banku z 8 listopada 2021 r. z załącznikami oraz z 14 marca 2022 r. z załącznikami).
Wnioskodawczyni dopuściła się zwłoki w spłacie zobowiązania przekraczającej 60 dni również wobec Umowy II; Bank wskazał: "(...) wysłał do skarżącej oświadczenie o wypowiedzeniu umowy (data nadania: 19.11.2018 r.) z informacją o zamiarze przetwarzania jej danych na podstawie art. 105a ust. 3 Ustawy - Prawo Bankowe. "Informujemy tym samym, że przed datą wysłania ww. oświadczenia skarżąca wpłaciła na rachunek Umowy 2 kwotę 102,00 zł. w dniu 04.05.2018 r., następna wpłata nastąpiła dopiero w dniu 02.04.2020 r. w kwocie 343,83 zł. (wpłata komornika)." (tak: wyjaśnienia Banku z 8 listopada 2021 r. z załącznikami)".
Korespondencja z oświadczeniem o wypowiedzeniu Umowy I i II wysłano do wnioskodawczyni listem poleconym na wskazany przezeń adres: - z dniem 15 lutego 2018 r. dla Umowy I i odpowiednio - z dniem 19 listopada 2018 r. dla Umowy II.
Powyższe daty wysyłki wynikają z książki nadawczej. Bank nie przedłożył jednak potwierdzenia doręczenia wnioskodawcy wskazanej korespondencji; wskazał natomiast, że przetwarzanie danych wnioskodawczyni na podstawie art. 105a ust. 3 ustawy z dnia 29 sierpnia 1997 r. - Prawo bankowe (pub. Dz.U. z 2019 r. poz. 2357), rozpoczęło się dla Umowy I i II z dniem 12 marca 2021 r. Wobec tego upłynęło również co najmniej 30 dni od poinformowania wnioskodawczyni o zamiarze przetwarzania jej danych - bez zgody (tak: wyjaśnienia Banku z 8 listopada 2021 r. z załącznikami oraz z 14 marca 2022 r.).
Bank przekazał dane osobowe wnioskodawcy do Biura 31 października
2013 r. na podstawie art. 105 ust. 4 ustawy - Prawo bankowe; wskazał: "(...) Pierwszy wsad do BIK dla Umowy 1 nastąpił z dniem 31 lipca 2015 r., natomiast dla Umowy 2 z dniem 27 marca 2015 r."; obecnie dane wnioskodawczyni, wynikające z umów, są przetwarzane w Biurze na podstawie art. 105a ust. 3 ustawy - Prawo bankowe od 12 marca 2021 r.; "(...) Umowa 1 oraz Umowa 2 została zamknięta w BIK w z datą 12.03.2021r. Dane skarżącej w związku z Umową 1 oraz Umową 2 będą przetwarzane przez BIK na podstawie art. 105a ust. 3 Ustawy - Prawo Bankowe przez 5 lat od daty 12.03.2021 r. Wskazujemy, że zgoda skarżącej na przetwarzanie danych przez BIK po spłacie zobowiązania została wycofana z datą 13.07.2021 r." (tak: wyjaśnienia Banku z 8 listopada 2021 r. z załącznikami).
Wnioskodawczyni wniosła o zaprzestanie przetwarzania jej danych osobowych w bazie Biura 13 lipca 2021 r.; w odpowiedzi Bank poinformował wnioskodawczynię o podstawie prawnej dla przetwarzania jego danych osobowych; następnie wnioskodawczyni ponownie zażądała zaprzestania przetwarzania jej danych w Biurze; w odpowiedzi Bank ponownie poinformował ją o podstawie prawnej przetwarzania jej danych osobowych (tak: wyjaśnienia Banku z 8 lipca 2021 r. z załącznikami);
Biuro wskazało, że pozyskało dane osobowe wnioskodawczyni od Banku na podstawie art. 105 ust. 4 i art. 105a ust. 1 ustawy - Prawo bankowe oraz na podstawie łączącej Bank i Biuro umowy. Obecnie przetwarza dane osobowe wnioskodawczyni przekazane przez Bank w zakresie Umowy II wprowadzonej do zbioru danych Biura 11 sierpnia 2015 r. Rachunek ten ma status rachunku zamkniętego odzyskanego; przetwarzany jest w celu oceny zdolności kredytowej i analizy ryzyka kredytowego na podstawie art. 105a ust. 3 w zw. z art. 105 ust. 4 ustawy - Prawo bankowe; Biuro przetwarza również dane osobowe wnioskodawczyni, przekazane przez Bank w zakresie Umowy I - wprowadzonej do zbioru danych Biura 31 marca 2015 r.; wedle Biura: "(...) Rachunek ma obecnie status rachunku zamkniętego odzyskanego i przetwarzany jest w celu oceny zdolności kredytowej i analizy ryzyka kredytowego na podstawie art. 105a ust. 4 w zw. z art. 105 ust. 4 Prawa bankowego (...)" (tak: wyjaśnienia Biura z 19 listopada 2021 r.),
Przepisem uprawniającym administratorów danych do przetwarzania zwykłych danych osób fizycznych jest art. 6 ust. 1 RODO: zgodnie z nim, przetwarzanie danych jest dopuszczalne tylko, gdy spełniono jedną ze wskazanych w tym przepisie przesłanek; ich katalog jest zamknięty; każda z nich ma charakter autonomiczny
i niezależny; oznacza to, że są one - co do zasady – równoprawne. Wobec tego spełnienie co najmniej jednej z nich stanowi o zgodnym z prawem przetwarzaniu danych osobowych; w konsekwencji zgoda osoby, której dane dotyczą, nie jest jedyną podstawą przetwarzania danych osobowych; proces przetwarzania danych będzie bowiem zgodny z RODO również, gdy administrator danych wykaże spełnienie innej z wymienionych w art. 6 ust. 1 przesłanek; niezależnie od zgody osoby, której dane dotyczą (art. 6 ust. 1 lit. a RODO), przetwarzanie danych osobowych dopuszczono m.in., gdy jest to niezbędne do wykonania umowy, zaś osoba jest stroną, której dane dotyczą (art. 6 ust. 1 lit. b RODO), gdy jest to niezbędne do wypełnienia ciążącego na administratorze obowiązku prawnego (art. 6 ust. 1 lit. c RODO) lub gdy jest to niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią - z wyjątkiem sytuacji, gdy nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagają ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem (art. 6 ust. 1 lit. f RODO),
- co do zasady, podstawą prawną przetwarzania danych osobowych klientów przez Bank w Biurze może być obecnie art. 6 ust. 1 lit. f RODO - gdy przetwarzanie to jest niezbędne do celów, wynikających z realizowanych przez administratora prawnie uzasadnionych interesów.
Biuro utworzono na podstawie art. 105 ust. 4 ustawy - Prawo bankowe; stanowi on, że banki mogą, wspólnie z bankowymi izbami gospodarczymi, utworzyć instytucje upoważnione do gromadzenia, przetwarzania i udostępniania bankom informacji stanowiących tajemnicę bankową w zakresie, w jakim są one potrzebne w związku z wykonywaniem czynności bankowych oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013, (pkt 2).
Zgodnie z art. 105a ust. 1 ustawy - Prawo bankowe, przetwarzanie przez banki, a także instytucje utworzone na podstawie art. 105 ust. 4, informacji stanowiących tajemnicę bankową, w zakresie dotyczącym osób fizycznych, może być wykonywane - z zastrzeżeniem art. 104, 105 i art. 106 - 106d ustawy - Prawa bankowe - w celu oceny zdolności kredytowej i analizy ryzyka kredytowego; zgodnie zaś z art. 105a ust. 3 ustawy - Prawo bankowe banki, instytucje oraz podmioty, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową, dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, a - po zaistnieniu tych okoliczności - upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank, o zamiarze przetwarzania dotyczących jej tych informacji, bez zgody,
Mając powyższe na uwadze - wedle ustalonego w sprawie stanu faktycznego - zobowiązania wnioskodawczyni wobec Banku, wynikające z umowy I i II wygasły z dniem 12 marca 2021 r.; ze zgromadzonego materiału dowodowego wynika, że wnioskodawczyni dopuściła się zwłoki w spłacie zobowiązań trwającej dłużej niż 60 dni; istotne jest jednakże w niniejszej sprawie, że Bank nie przedstawił dowodu na spełnienie obowiązku określonego wart. 105a ust. 3 ustawy - Prawo bankowe - nie poinformował skutecznie wnioskodawczyni o zamiarze przetwarzania dotyczących go informacji, stanowiących tajemnicę bankową, bez zgody - po wygaśnięciu zobowiązań wynikających z przedmiotowych umów.
Z kolei samo niewykonanie przez wnioskodawczynię zobowiązania lub opóźnienie w jego wykonaniu co najmniej 60 dni, nie upoważnia Banku do przetwarzania danych na warunkach określonych w art. 105a ust. 3 ustawy - Prawo bankowe; moment, od którego należy liczyć sześćdziesięciodniowy termin, w którym konsument dopuszcza się zwłoki w wykonaniu zobowiązania, to termin wykonania zobowiązania; dopiero po upływie 60 dni zaczyna biec termin 30 dni, w którym instytucja oczekuje jeszcze na wykonanie zobowiązania klienta; termin 30 dni biegnie od momentu, w którym konsument zostanie skutecznie poinformowany przez instytucję o zamiarze przetwarzania; ostatecznie to bezskuteczny upływ 30 dni od momentu poinformowania stanowi wypełnienie przesłanek z art. 105a ust. 3 ustawy - Prawo bankowe,
Jak stąd wynika, Bank - przetwarzający dane osobowe wnioskodawczyni na warunkach określonych we wskazanym przepisie - musi wykazać, że poinformował go o zamiarze czynienia tego bez zgody.
W niniejszej sprawie wnioskodawczyni podniosła natomiast, że nie wystąpiły okoliczności wskazywane w art. 105a ust. 3 – ustawy Prawo bankowe; w związku z tym Bank nie jest uprawniony do przetwarzania jej danych osobowych w Biurze.
Bank podniósł, że wystąpiła przesłanka poinformowania wnioskodawczyni o okolicznościach wskazanych w art. 105a ust. 3 ustawy - Prawo bankowe - przez wysłanie korespondencji do wnioskodawcy listem poleconym; nie przedstawił jednak dowodów na jego doręczenie; nie ma dowodów, wskazujących na prawidłowe i skuteczne poinformowanie wnioskodawcy wedle treści 105a ust. 3 ustawy - Prawo bankowe; Bank takowych nie przedstawił; okoliczności skutecznego poinformowania wnioskodawczyni nie można zatem uznać za udowodnioną; sporządzenie i wysłanie pisma, nie jest równoznaczne z udowodnieniem jego prawidłowego doręczenia, skutkującego poinformowaniem wnioskodawczyni o zamiarze przetwarzania danych stanowiących tajemnicę bankową, bez jego zgody - na podstawie art. 105a ust. 3 ustawy - Prawo bankowe; samo oświadczenie o wysłaniu korespondencji i przedstawienie jej kopii wraz z kopią listy korespondencji bankowej, wysłanej listem poleconym, nie stanowi dowodu na jej dostarczenie lub poinformowanie o jej treści adresata.
W powszechnie obowiązujących przepisach nie sformułowano obowiązku wysłania informacji, o której mowa w art. 105a ust. 3 ustawy - Prawo bankowe, w szczególnej formie; wybór formy przekazania odbiorcy komunikatu o zamiarze przetwarzania danych osobowych bez jego zgody należy zatem do podmiotu informującego; to ten podmiot wywodzi jednocześnie z powyższego skutki prawne; zatem to on musi wykazać, że poinformował wnioskodawczynię o zamiarze przetwarzania danych, stanowiących tajemnicę bankową, bez zgody - na podstawie art. 105a ust. 3 ustawy - Prawo bankowe,
Powyższe stanowisko znajduje oparcie w wyroku Wojewódzkiego Sądu Administracyjnego z 15 marca 2017 r. (sygn. akt II SA/Wa 1695/16), w jego uzasadnieniu wskazano: " (...) samo potwierdzenie komputerowe w prawym górnym rogu pism "PRZESYŁKA NIESTEMPLOWANA, Data nadania 2015 - 08 - 07", nie stanowi potwierdzenia wysłania pism. Także zrzut ekranu komputerowego ww. aplikacji, z uwagi na "zakodowany" system zgromadzonych tam danych, bez głębszej analizy specjalistycznej (z zakresu informatyki), nie przedstawia wiarygodnego dowodu, iż poza wygenerowaniem przedmiotowych pism w istocie doszło do ich wysłania skarżącej. (...) Słuszne jest wprawdzie twierdzenie, że żaden przepis ustawy Prawo bankowe nie wymaga aby obowiązek informacyjny, o którym mowa w art. 105a ust. 3 tej ustawy, był realizowany przy pomocy przesyłek rejestrowanych - listów poleconych. Podkreślić jednak należy, iż w przypadku sporu ciężar dowodu doręczenia pisma spoczywa na stronie spełniającej obowiązek informacyjny. (...) Wprawdzie w toku postępowania administracyjnego organ orzekający ocenił przedstawione przez Bank dokumenty, ale nie wynika z nich realizacja przez Bank (...) w stosunku do skarżącej obowiązku informacyjnego (wysłania, a nie tylko wygenerowania pism)"; jeśli więc oświadczenie posłano adresatowi listem albo innym sposobem porozumiewania się na odległość, składający powinien wykazać - np. za pomocą zwrotnego poświadczenia odbioru - doręczenie listu (telegramu) adresatowi; dowód nadania listu poleconego nie jest dowodem doręczenia go adresatowi,
W niniejszej sprawie nie spełniono przesłanki z art. 105a ust. 3 ustawy - Prawo bankowe, wedle którego Bank może przetwarzać stanowiące tajemnicę bankową informacje dotyczącą osób fizycznych bez ich zgody po wygaśnięciu zobowiązania, wynikającego z umowy - w celu oceny zdolności kredytowej i analizy ryzyka kredytowego; w toku postępowania, nie stwierdzono również okoliczności uprawniających Bank do przetwarzania danych osobowych wnioskodawczyni w oparciu o wskazaną podstawę prawną w powyższym celu,
Prowadzone przez organ postępowanie administracyjne ma na celu zbadanie zasadności skierowania pod adresem określonego podmiotu nakazu, odpowiadającego dyspozycji art. 58 ust. 2 RODO; służy on przywróceniu stanu zgodnego z prawem w procesie przetwarzania danych; wobec tego - korzystając z uprawnienia przewidzianego w lit. c wskazanego artykułu - nakazano Bankowi zaprzestanie przetwarzania danych osobowych wnioskodawczyni w stosownym zakresie.
[...] Bank S.A. z siedzibą [...] zaskarżył ww. decyzję Prezesa Urzędu Ochrony Danych Osobowych i wniósł o jej uchylenie.
WSA w Warszawie uznał, że skarga zasługuje na uwzględnienie, ponieważ zaskarżoną decyzję wydano z naruszeniem przepisów prawa materialnego
w następstwie sformułowania mylnej oceny, jakoby w sprawie nie wystąpiły podstawy przetwarzania danych osobowych wnioskodawcy, w myśl art. 6 ust. 1 lit. f RODO.
Zdaniem Sądu I instancji, doprowadziło to do naruszenia dyspozycji art. 58 ust. 2 lit. c RODO, gdzie przewidziano środki naprawcze - w razie uchybienia przepisom rozporządzenia w zakresie dopuszczalności przetwarzania danych osobowych. Miało to istotny wpływ na wynik sprawy. W zastępstwie wskazanych naruszeń bezpodstawnie zobowiązano bowiem Bank do usunięcia danych wnioskodawcy w stosownym zakresie z bazy Biura.
WSA w Warszawie wyjaśnił, że spór w rozpoznanej sprawie sprowadzał się do tego, czy wysłanie odnośnych pism listem poleconym stanowi realizację powinności "poinformowania" klienta banku o zamiarze przetwarzania jego danych osobowych, co stanowi podstawę legalizacji przetwarzania danych.
W ocenie Sądu I instancji, w sprawie bowiem bezsporne było wystąpienie drugiej z przesłanek przetwarzania danych wnioskodawczyni - stosowne nieprawidłowości w wykonywaniu przezeń umów z Bankiem.
Zdaniem Sądu, w sprawie organ mylnie wywiódł, jakoby w stanie faktycznym nie było podstaw dla uznania, że wnioskodawczynię "poinformowano" o zamiarze przetwarzania jej danych osobowych bez zgody, co czyni zadość wymaganiom, co do legalizacji takiego procesu. Wg Sądu, w tym zakresie trafne są wywody skargi, uzupełnione stanowiskiem przesłanym jako riposta do odpowiedzi na skargę organu.
Sąd przyjął tę argumentację za własną, z zastrzeżeniem zamieszczonym
w końcowej części uzasadnienia. Tym samym, Sąd uznał, że wykładnia językowa przesłanek wskazanych w art. 105a ust. 3 ustawy - Prawo bankowe, a
w szczególności słowa "poinformować", jednoznacznie wskazuje, że "poinformowanie" należy rozumieć jako rzeczywiste umożliwienie zaznajomienia się z informacją osobie, do której jest ona kierowana; potwierdza to znaczenie słowa "poinformować" wskazane w Słowniku Języka Polskiego PWN: poinformować to "udzielić informacji, powiadomić o czymś".
Natomiast "gdyby ustawodawca rzeczywiście chciał uzależnić możliwość przetwarzania danych osobowych, w warunkach o których mowa w art. 105a ust. 3 Prawa bankowego, od skutecznego doręczenia wspomnianej informacji - jak twierdzi organ nadzorczy - to takiego sfomułowania użyłby niewątpliwie wprost w omawianym przepisie."
Ponadto Sąd dodał, że - jeżeli za wiarygodne uznać oświadczenie Banku, którego podstawę działania stanowi ustawa - Prawo bankowe, co do faktu braku zwrotu przesyłek poleconych, skierowanych do wnioskodawczyni (poza oświadczeniem nadawcy brak tu dowodu, w formie stosownego dokumentu) – to okoliczność poinformowania wnioskodawczyni udowodniono - w myśl zasad wyrażonych w art. 75 § 1 i art. 80 K.p.a. (zasada swobody dopuszczania dowodów oraz racjonalnej ich oceny nie zaś formalizmu). W świetle wynikających z ustawy – Prawo pocztowe, wraz z trafnie przywołanymi przez Bank w dodatkowym piśmie postanowieniami Regulaminu, reguł obrotu przesyłkami przez operatorów pocztowych, pisma polecone doręcza się bowiem adresatowi (innej osobie uprawnionej) bądź zwraca nadawcy.
Sąd stwierdził dalej, że skoro nie zakwestionowano dowodu nadania przesyłek do wnioskodawczyni, zaś oświadczenia osoby upoważnionej do reprezentowania Banku - jako generalnie instytucji zaufania publicznego – nie można uznać za niewiarygodne, to w sprawie wystąpiła przesłanka "poinformowania" klienta banku - przewidziana art. 105a ust. 3 ustawy - Prawo bankowe. Istnieje wobec tego podstawa przetwarzanie danych osobowych bez zgody wnioskodawczyni, w rozumieniu art. 6 ust. 1 lit. f RODO. Wykluczało to nałożenie przez organ na Bank obowiązku ich usunięcia - w ramach zastosowania środków naprawczych.
W ocenie Sądu I instancji, przyjęta przez organ koncepcja rozumienia regulacji zakłada zbyt daleko idącą ochronę interesu (w kontekście udostępniania danych osobowych) osób, które w istocie uchybiły swoim powinnościom, wynikającym z umów zawartych z bankami, kosztem bezpieczeństwa obrotu bankowego, któremu służy właśnie gromadzenie danych o klientach, których obsługa wiąże się ze znaczniejszym ryzykiem. Nie sposób zakładać, aby z woli prawodawcy mieli oni podlegać tak daleko idącej ochronie. Sąd przyjął za trafne stanowisko Banku, zgodnie z którym w istocie nawet uzyskanie potwierdzenia odbioru przesyłki nie stanowi wprost dowodu zapoznania się z przesłaną informacją przez zainteresowanego. Pojęcie "poinformowanie", użyte w art. 105a ust. 3 ustawy - Prawo bankowe należy więc zrozumieć w kontekście realnego zapewnienia możliwości zapoznania się z treścią korespondencji. Czyni temu zadość przesłanie pisma przesyłką poleconą, jeżeli nie zostanie ona zwrócona nadawcy.
Skargę kasacyjną od powyższego wyroku wniósł Prezes UODO, reprezentowany przez radcę prawnego. Zaskarżając wyrok WSA w Warszawie
w całości wniósł o rozpoznanie przedstawionej skargi kasacyjnej na rozprawie. Na podstawie art. 188 p.p.s.a wniósł o uchylenie w całości zaskarżonego wyroku i oddalenie skargi [...] Bank S.A., ewentualnie, w oparciu o przepis art. 185 § 1 p.p.s.a., wniósł o uchylenie w całości zaskarżonego wyroku i przekazanie sprawy do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie. Wystąpił także o zasądzenie zwrotu kosztów postępowania, w tym kosztów zastępstwa procesowego, według norm przepisanych.
Skarżący kasacyjnie zaskarżonemu wyrokowi zarzucił:
1. naruszenie przepisów postępowania mające istotny wpływ na wynik sprawy, tj.
art. 145 § 1 pkt 1 lit. c p.p.s.a. w zw. z art. 75 i art. 80 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2023 r. poz. 775 ze zm.), zwanej dalej k.p.a., w zw. z art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych, przez błędne uznanie, że okoliczność poinformowania Pani A. S. zam. w [...], zwanej dalej skarżącą, o zamiarze przetwarzania jej danych osobowych dotyczących umowy nr [...] z dnia 19 marca 2015 roku oraz umowy nr [...] z dnia 27 lipca 2015 roku, po wygaśnięciu zobowiązań wynikających z tych umów, została w toku niniejszego postępowania udowodniona, podczas gdy [...] Bank S.A., z siedzibą [...], przy ul. [...], zwana dalej Bankiem, nie przedstawiła dowodu na prawidłowe doręczenie Skarżącej dokumentów, w treści których zawarta była informacja o okolicznościach wskazanych w art. 105a ust. 3 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (t.j. Dz.U. 2022 poz. 2324), zwanej dalej Prawem bankowym;
2. naruszenie przepisów prawa materialnego, tj.: art. 105a ust. 3 Prawa bankowego poprzez jego błędną wykładnię polegającą na przyjęciu, że wykonanie obowiązku informacyjnego, o którym mowa w tym przepisie, nie musi polegać na skutecznym doręczeniu klientowi banku informacji o zamiarze przetwarzania jego danych osobowych bez jego zgody, a wystarczające jest jedynie umożliwienie klientowi banku zaznajomienia się ze wspomnianą informacją poprzez jej wysłanie drogą pocztową przesyłką poleconą i wskazanie, że przesyłka nie została zwrócona do nadawcy, co w konsekwencji doprowadziło do uchylenia zaskarżonej decyzji, gdy prawidłowa wykładnia tego przepisu prowadzi do wniosku, że "poinformowanie" w rozumieniu tego przepisu oznacza skuteczne doręczenie klientowi banku informacji o zamiarze przetwarzania jego danych osobowych bez jego zgody.
W uzasadnieniu skargi, jej autor, podniósł m.in., że żaden przepis ustawy Prawo bankowe nie wymaga, aby obowiązek informacyjny, o którym mowa w art. 105a ust. 3 tej ustawy, był realizowany w szczególnej formie. Nie musi być to przesyłka polecona, gdyż forma spełnienia tego obowiązku jest całkowicie dowolna, byleby tylko klient banku został poinformowany o zamiarze przetwarzania jego danych. W opinii Prezesa UODO skuteczne przekazanie informacji do adresata, wybór operatora pocztowego i sposobu przekazania informacji oraz ryzyko z tym związane obciążają Bank, gdyż to on wywodzi z tego faktu poinformowania skutki prawne.
W odpowiedzi na skargę kasacyjną, [...] Bank S.A. z/s we Wrocławiu, reprezentowany przez radcę prawnego, wniósł o jej oddalenie oraz o zasądzenie zwrotu kosztów postępowania, w tym kosztów zastępstwa prawnego według norm przepisanych. Uzasadniając złożony wniosek procesowy Bank w znaczącej części powtórzył stanowisko Sądu z uzasadnienia zaskarżonego wyroku.
Naczelny Sąd Administracyjny zważył, co następuje:
Stosownie do art. 183 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz. U. z 2024 r., poz. 935) zwanej dalej p.p.s.a., Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, biorąc pod rozwagę z urzędu jedynie nieważność postępowania. W rozpoznawanej sprawie nie zachodzi żadna z okoliczności skutkujących nieważnością postępowania, o jakich mowa w art. 183 § 2 p.p.s.a. i nie zachodzi żadna z przesłanek, o których mowa w art. 189 p.p.s.a., które Naczelny Sąd Administracyjny rozważa z urzędu dokonując kontroli zaskarżonego skargą kasacyjną wyroku. W tych okolicznościach w sprawie badaniu podlegały wyłącznie zarzuty podniesione w skardze kasacyjnej na uzasadnienie przytoczonych podstaw kasacyjnych.
Podstawy, na których można oprzeć skargę kasacyjną zostały określone w art. 174 p.p.s.a. Przepis art. 174 pkt 1 p.p.s.a. przewiduje dwie postacie naruszenia prawa materialnego, a mianowicie błędną jego wykładnię lub niewłaściwe zastosowanie. Przez błędną wykładnię należy rozumieć niewłaściwe zrekonstruowanie treści normy prawnej wynikającej z konkretnego przepisu, natomiast przez niewłaściwe zastosowanie, dokonanie wadliwej subsumcji przepisu do ustalonego stanu faktycznego. Również druga podstawa kasacyjna wymieniona w art. 174 pkt 2 p.p.s.a. – naruszenie przepisów postępowania – może przejawiać się w tych samych postaciach, co naruszenie prawa materialnego, przy czym w wypadku oparcia skargi kasacyjnej na tej podstawie skarżący powinien nadto wykazać istotny wpływ wytkniętego uchybienia na wynik sprawy.
W przypadku sformułowania zarzutów w oparciu o art. 174 pkt 2 p.p.s.a., przedstawianych jako skutek przyjęcia przez sąd wojewódzki określonego poglądu w sferze prawa materialnego, z czym nie zgadza się autor skargi kasacyjnej, prezentujący inny pogląd w sferze prawa materialnego niż ten, który przyjęto za podstawę wyroku, właściwe jest rozpoznanie przez Naczelny Sąd Administracyjny w pierwszej kolejności zarzutu naruszenia prawa materialnego, skoro zasadność zarzutów natury procesowej może się okazać skuteczna jedynie wówczas, gdy przyjęcie przez sąd wojewódzki określonego poglądu w sferze prawa materialnego okazałoby się wadliwe.
W rozpatrywanej sprawie spór dotyczy wykładni pojęcia "poinformowania", o którym mowa w art. 105a ust. 3 ustawy Prawo bankowe. Zdaniem organu, sporządzenie i wysłanie pisma nie jest równoznaczne z udowodnieniem jego prawidłowego doręczenia, a w konsekwencji skutecznego poinformowania adresatki o zamiarze przetwarzania przez Bank danych stanowiących tajemnicę bankową, bez jej zgody. Samo bowiem oświadczenie o wysłaniu korespondencji i przedstawienie jej kopii, nie stanowi dowodu na jej doręczenie (poinformowanie o jej treści adresatki). Bank wywodził natomiast, że przesyłki polecone zawierające oświadczenie Banku zostały skierowana do klientki banku na prawidłowy adres (wskazany w umowie kredytowej) i nie zostały zwrócone do nadawcy. Jego zdaniem, skoro dysponuje dowodem nadania spornych przesyłek, to oznacza, że poinformował adresatkę o zamiarze przetwarzania danych w BIK, bez jej zgody, stosownie do art. 105a ust. 3 Prawa bankowego. Wojewódzki Sąd Administracyjny w Warszawie podzielił to zapatrywanie Banku.
Zdaniem Naczelnego Sądu Administracyjnego stanowisko Sądu I instancji nie jest prawidłowe, należy bowiem podzielić stanowisko zaprezentowane w wyroku Naczelnego Sądu Administracyjnego z 16 stycznia 2024 r., który to orzekał w zbliżonym stanie faktycznym, podzielając stanowisko Prezesa Urzędu Ochrony Danych Osobowych.
Podzielić należy zarzut naruszenia przepisów prawa materialnego, tj. art. 105a ust. 3 ustawy Prawo bankowe. Jak wynika z brzmienia art. 105a ust. 3 Prawa bankowego banki, instytucje oraz podmioty, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową i informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank, inną instytucję ustawowo upoważnioną do udzielania kredytów, instytucję pożyczkową albo podmiot, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, o zamiarze przetwarzania dotyczących jej tych informacji, bez jej zgody.
Istotną przesłanką umożliwiającą zastosowanie tego przepisu jest poinformowanie osoby, która nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem itd., przez ten bank lub inną instytucję wymienioną w tym przepisie o zamiarze przetwarzania dotyczących jej informacji, bez jej zgody.
Należy też podkreślić, że jeśli w okresie 30 dni od poinformowania o zamiarze przetwarzania informacji bez zgody, klient spłacił całą zaległość wobec banku, to po upływie 30. dnia bank i inna instytucja upoważniona do udzielania kredytów oraz instytucja z art. 105 ust. 4 Prawa bankowego nie mogą przetwarzać informacji bez jego zgody. Termin trzydziestodniowy został bowiem wprowadzony w celu zapewnienia konsumentowi ostatecznej możliwości wywiązania się z zobowiązań wobec banku i uniknięcia tym samym sankcji w postaci przetwarzania o nim informacji jako o niesolidnym dłużniku przez okres 5 lat.
Prawodawca nie zdefiniował użytego w art. 105 ust. 3 Prawa bankowego pojęcia "poinformować", ani nie stworzył w tym zakresie żadnych szczególnych wymogów formalnych co do sposobu i treści takiego poinformowania klienta lub byłego klienta banku. Prawidłowa wykładnia tego przepisu nie może jednak oznaczać całkowitej dowolności w tym zakresie. "Poinformować" to tyle co "udzielić informacji, wskazówek, objaśnić, powiadomić o czymś, podać do wiadomości" (Słownik języka polskiego, pod red. M. Szymczaka, Warszawa 1988, t. II, s.766), czyli spowodować, że ktoś zaczyna o czymś wiedzieć. W literaturze i orzecznictwie sądowoadministracyjnym zwraca się uwagę na materialny (ochronny), a nie formalny charakter tego przepisu. Dane osobowe są wartością chronioną ustawowo, a prawo od ich ochrony - jak przyjmuje się w piśmiennictwie – "stanowi swego rodzaju emanację ogólnego prawa gwarantowanego Konstytucją RP (art. 47). Spostrzeżenie to oparte jest na założeniu, że dane osobowe są niejako częścią życia prywatnego lub rodzinnego, względnie że posługiwanie się danymi dotyczącymi innej osoby wkracza w przyznaną jej kompetencję decydowania o swoim życiu osobistym" (zob. J. Barta, P. Fajgielski, R. Markiewicz - Komentarz do art. 1 ustawy o ochronie danych osobowych, System informacji prawnej LEX).
O ile podzielić należy stanowisko, iż przy analizie przepisu art. 105a ust. 3 Prawa bankowego, nie powinno się także abstrahować od istoty (celu) wprowadzenia instytucji przetwarzania danych osobowych dłużnika bez jego zgody na mocy tego przepisu ustawy (należy pamiętać, że Biuro Informacji Kredytowej ma za zadanie przetwarzać dane nierzetelnych dłużników, tj. osób, które pomimo zaciągnięcia określonego zobowiązania wobec banku, nie wywiązują się z umowy i nie spłacają swojego zobowiązania, chroniąc w ten sposób inne podmioty przed wyłudzaniem kolejnych pożyczek, a także pośrednio - rzetelnych kredytobiorców), to jednak pozycja dłużnika jest wobec podmiotu udzielającego pożyczki słabsza, a skutek w postaci przetwarzania danych osobowych bez jego zgody ma charakter publicznoprawny.
Powyższe oznacza, że wszelkie regulacje znoszące tę ochronę muszą być odczytywane i wykładane ściśle, z uwzględnieniem funkcji jakiej mają służyć. Przy takiej wykładni, sformułowanie użyte w przepisie art. 105a ust. 3 Prawa bankowego, dotyczące obowiązku informacyjnego banku, musi więc oznaczać, że nie jest to tylko obowiązek formalny. Jakkolwiek ustawodawca w żaden sposób nie ograniczył sposobów i form takiego powiadomienia, to w każdym wypadku sposób ten powinien umożliwić zweryfikowanie faktu poinformowania klienta banku o zamierzonym przetwarzaniu jego danych osobowych. Ustawodawca w żaden sposób nie ograniczył sposobów i form takiego poinformowania. Zauważyć jednak należy, że prawodawca użył kategorycznej formy "poinformować" (czasownik przechodni dokonany), a nie "informować". Określony w ustawie skutek ma nastąpić po upływie "30 dni od poinformowania tej osoby przez bank", a nie od np. wysłania jej informacji. Takie "poinformowanie" może nastąpić np. osobiście w placówce banku lub innego podmiotu wymienionego w art. 105a ust. 3 Prawa bankowego, przez przesyłkę doręczaną listownie lub przez pracownika banku albo innego uprawnionego podmiotu, a nawet nie można również wykluczyć możliwości skierowania takiej informacji drogą elektroniczną (o ile strony w zawartej umowie taką formę korespondencji przewidziały przez bank w tym zakresie z podmiotem zewnętrznym). O ile więc sposób i forma poinformowania klienta mogą być różnorodne, to jednak w każdym wypadku sposób ten powinien umożliwić zweryfikowanie faktu poinformowania klienta banku o zamierzonym przetwarzaniu jego danych osobowych. Wybór formy poinformowania adresata, operatora pocztowego i sposobu przekazania informacji oraz związany z tym obowiązek wykazania tego faktu obciążają bank lub inny zobowiązany podmiot, gdyż to one wywodzą z tego faktu skutki prawne. Taki sposób rozumienia obowiązku poinformowania zamieszczonego w art. 105a ust. 3 prawa bankowego wynika nie tylko z gwarancyjnego charakteru tego przepisu dla kredytobiorcy, ale także z dobrze pojętego interesu podmiotów udzielających kredytów, aby w sposób skuteczny zamieścić w BIK stosowną informację o nierzetelnym kredytobiorcy. Jak wskazano wyżej, wskazanie daty doręczenia przesyłki zawierającej stosowną informację umożliwia także prawidłowe wskazanie początku trzydziestodniowego terminu, o którym mowa w art. 105a ust. 3 Prawa bankowego (nie jest nim bowiem data nadania przesyłki na poczcie ani data uzależniona od domniemanego odebrania przesyłki).
Podsumowując stwierdzić należy, że Prezes UODO prawidłowo przyjął, że przepis art. 105a ust. 3 Prawa bankowego obligował Bank do wykazania spełnienia powyższego obowiązku.
Z zebranego materiału dowodowego zgromadzonego w sprawie wynika, że wobec umowy nr 1 A S (dalej także jako skarżąca (w postępowaniu administracyjnym)) dopuściła się zwłoki w spłacie zobowiązania przekraczającej 60 dni, wobec tego Bank wysłał do niej oświadczenie o wypowiedzeniu umowy (data nadania: 15.02.2018 r.) z informacją o zamiarze przetwarzania jej danych na podstawie art. 105a ust. 3 Ustawy - Prawo Bankowe. Przed datą wysłania ww. oświadczenia skarżąca wpłaciła na rachunek umowy nr 1 kwotę 1100,00 zł. 18 sierpnia 2017 r., następna wpłata nastąpiła dopiero 5 marca 2018 r. w kwocie 2100,00 zł. bank poinformował ją jednocześnie, że do wypowiedzenia umowy nr 1 nie doszło, lecz ze względu na opóźnienie trwające powyżej 60 dni umowa nr 1 przetwarzana jest aktualnie na podstawie art. 105a ust. 3 Ustawy - Prawo Bankowe." Skarżąca dopuściła się zwłoki w spłacie zobowiązanie przekraczającej 60 dni również wobec umowy nr 2. W związku z tym [...] Bank S.A. wysłał do skarżącej oświadczenie o wypowiedzeniu umowy nr 2 (data nadania: 19 listopada 2018 r.) z informacją o zamiarze przetwarzania jej danych na podstawie art. 105a ust. 3 Ustawy - Prawo Bankowe. Informując dodatkowo, że przed datą wysłania ww. oświadczenia skarżąca wpłaciła na rachunek umowy kwotę 102,00 zł. 4 maja 2018 r., następna wpłata nastąpiła dopiero 2 kwietnia 2020 r. w kwocie 343,83 zł. (wpłata komornika). Korespondencję z oświadczeniem o wypowiedzeniu umowy nr 1 i 2 wysłano do skarżącej listem poleconym na wskazany przezeń adres: 15 lutego 2018 r. dla umowy nr 1 i 19 listopada 2018 r. dla umowy nr 2. Powyższe daty wysyłki wynikają z książki nadawczej. Jednocześnie Bank nie przedstawił żadnego dowodu doręczenia tych przesyłek poleconych (wskazującego na datę doręczenia np. wydruk z strony śledzenia przesyłek rejestrowanych), przy jednoczesnym zaprzeczeniu przez A. S. jakoby [...] Bank S.A. spełnił obowiązek poinformowania jej o zamiarze przetwarzania dotyczących jej informacji stanowiących tajemnicę bankową bez jej zgody, co było wymagane zgodnie z art. 105a ust. 3 ustawy - Prawo bankowe.
W konsekwencji za zasadny uznać należy zarzut naruszenia przepisów postępowania mający istotny wpływ na wynik sprawy, tj.: art. 145 § 1 pkt 1 lit. c p.p.s.a. w zw. z art. 75 § 1 k.p.a. i art. 80 k.p.a. w zw. z art. 7 ust. 1 ustawy o ochronie danych osobowych, przez błędne uznanie, że okoliczność poinformowania A.S. o zamiarze przetwarzania jej danych osobowych po wygaśnięciu zobowiązań wynikających z umów kredytowych, została przez Bank udowodniona. Zdaniem Naczelnego Sądu Administracyjnego Bank nie przedstawił dowodu na prawidłowe doręczenie skarżącej dokumentów, w treści których była informacja o okolicznościach wskazanych w art. 105a ust. 3 Prawa bankowego. Żaden z dowodów przedstawionych przez Bank (wzór zawiadomienia kierowanego do klientów w sprawie opóźnień, wydruk stron z systemu bankowego o rejestracji wysłania zawiadomienia, oświadczenia banku) nie potwierdził by skarżąca otrzymała informację o zamiarze przetwarzana jej danych osobowych. Informacje o dokonaniu wysyłki takiej wiadomości nie mogą stanowić o uczynieniu zadość obowiązkowi z art. 105a ust. 3 Prawa bankowego. W celu weryfikacji dopuszczalności przetwarzania danych osobowych na podstawie art. 105a ust. 3 Prawa bankowego, Bank powinien przedstawić organowi stosowne dowody na potwierdzenie rzeczywistego wykonania wymienionego w tym przepisie obowiązku poinformowania i w tym zakresie Prezes UODO nie mógł opierać się wyłącznie na oświadczeniu banku. Racjonalna ocena dowodów przedłożonych przez strony niniejszego postępowania dokonana w myśl zasad wyrażonych w art. 75 § 1 k.p.a. i art. 80 k.p.a. nie może prowadzić do wniosku, że udowodniono okoliczność poinformowania skarżącej o zamiarze przetwarzania jej danych osobowych w sposób określony w art. 105a ust. 3 Prawa bankowego. Analiza przedłożonych przez strony dowodów w sprawie prowadzi do wniosku, że okoliczność poinformowania skarżącej stanowiła wyłącznie domniemanie wywiedzione z okoliczności skierowania do niej listem poleconym korespondencji zawierającej informacje, które w okolicznościach niniejszej sprawy, w tym w obliczu oświadczenia skarżącej, należy uznać za obalone.
Uregulowana w art. 7 k.p.a. zasada prawdy obiektywnej nakazuje organowi prowadzącemu postępowanie zebranie z urzędu lub na wniosek strony oraz rozpatrzenie całego materiału dowodowego w sposób pozwalający na ustalenie stanu faktycznego sprawy zgodnego z rzeczywistością. Oczywiście chodzi tu o wyjaśnienie okoliczności faktycznych w takim stopniu, w jakim wymaga tego rozstrzygnięcie sprawy. Zasada ta jest podstawową regułą każdej nowoczesnej regulacji procesowej. Należy pamiętać, że prawidłowe ustalenie stanu faktycznego sprawy stanowi warunek konieczny – chociaż jeszcze niewystarczający – prawidłowego jej rozstrzygnięcia. Zawsze bowiem niewyjaśnienie lub niedostateczne wyjaśnienie stanu faktycznego sprawy będzie prowadziło do wydania wadliwej decyzji. W teorii prawa mówi się wtedy o subsumcji faktu uznanego za udowodniony pod konkretną normę administracyjnego prawa materialnego – por. J. Wróblewski (w:) W. Lang, J. Wróblewski, S. Zawadzki, Teoria państwa i prawa, Warszawa 1980, s. 431. Należy podkreślić, iż od 11 kwietnia 2011 r. zmieniono brzmienie art. 7 k.p.a., statuującego tę zasadę, przez wyraźne podkreślenie, że zebranie materiału dowodowego sprawy następuje zarówno z urzędu, jak i na wniosek strony. W ten sposób wyraźnie zwrócono uwagę na obowiązek strony współdziałania z organem w celu ustalenia stanu faktycznego sprawy zgodnego z rzeczywistością. Zmiana ta niesie ze sobą ten skutek, że na zasadzie prawdy obiektywnej nie można już dalej opierać twierdzenia, iż jest ona źródłem ciężaru dowodowego spoczywającego na organie prowadzącym postępowanie. Nie ma już bowiem podstawy prawnej uzasadniającej taki wniosek. Natomiast ta zmiana daje podstawę do zajęcia stanowiska, że w sytuacji gdy dany środek dowodowy niezbędny do ustalenia konkretnej okoliczności faktycznej, z istnienia której strona wywodzi dla siebie skutki prawne, nie znajduje się w posiadaniu organu, to wynikający z zasady prawdy obiektywnej obowiązek organu prowadzącego postępowanie ogranicza się do konieczności poinformowania strony o przedstawienia posiadanych dowodów.
Zgodnie z art. 75 § 1 k.p.a. jako dowód należy dopuścić wszystko, co może przyczynić się do wyjaśnienia sprawy, a nie jest sprzeczne z prawem. W szczególności dowodem mogą być dokumenty, zeznania świadków, opinie biegłych oraz oględziny. Natomiast z art. 77 § 1 k.p.a. wynika obowiązek zebrania i rozpatrzenia pełnego materiału dowodowego w sprawie, którego realizacja ma miejsce na dwóch płaszczyznach. Po pierwsze, polega on na przeprowadzeniu postępowania dowodowego co do wszystkich okoliczności stanowiących fakty prawotwórcze, a więc takich, z którymi w świetle przepisów obowiązującego prawa związane są określone skutki prawne. Po drugie, zebrany materiał dowodowy powinien znaleźć pełne odzwierciedlenie w uzasadnieniu faktycznym decyzji.
Jeśli zaś chodzi o obowiązek dokonania oceny na podstawie całokształtu materiału dowodowego, czy dana okoliczność została udowodniona (art. 80 k.p.a.), to nie można twierdzić, iż jakaś okoliczność została udowodniona, jeżeli w materiale dowodowym, utrwalonym w aktach sprawy, brak jest dowodu na jej potwierdzenie. Jeżeli zobowiązany podmiot wykazuje jedynie domniemanie realizacji nałożonego na niego ustawowo obowiązku, a jednocześnie w materiale dowodowym zawarte jest zaprzeczenie wykonania tego obowiązku (które dezawuuje skutek wynikający z tej okoliczności), to oznacza, że nie ziściła się przesłanka wynikająca z prawa materialnego umożliwiająca w konsekwencji zastosowanie tej normy materialnoprawnej. Zdaniem Naczelnego Sądu Administracyjnego, z wszystkich tych obowiązków wywiązał się organ administracji orzekający w niniejszej sprawie i zarzuty Sądu I instancji w tym zakresie są nieuzasadnione. W konsekwencji w pełni został także zrealizowany przez organ obowiązek wynikający z art. 107 § 3 k.p.a.
Chybione jest stanowisko Sądu I instancji powołującego się na przepisy ustawy Prawo pocztowe oraz Regulamin świadczenia usług pocztowych i uznającego, że skarżący Bank dysponuje dowodem na przekazanie skarżącej informacji o zamiarze przetwarzania danych osobowych bez jej zgody. Zgodnie z art. 17 ustawy z 23 listopada 2012 r. Prawo pocztowe (Dz. U. z 2022 r. poz. 896) potwierdzenie nadania przesyłki rejestrowanej lub przekazu pocztowego wydane przez placówkę pocztową operatora wyznaczonego ma moc dokumentu urzędowego, co oznacza, że stwierdza on zaistnienie opisanych w nim faktów i korzysta z domniemania prawdziwości, a jego ewentualne obalenie musi być oparte na przekonywujących dowodach. Podkreślić jednak należy, że Prezes UODO nie kwestionuje faktu dokonania nadania przesyłek listami poleconymi do skarżącej. Jednak traktowanie tego faktu jako dowodu poinformowania (dostarczenia informacji) skarżącej zgodnie z art. 105a ust. 3 Prawa bankowego nie ma uzasadnienia w brzmieniu art. 17 ustawy Prawo pocztowe. Dodatkowo należy zauważyć, że ciężar udowodnienia rzeczywistego spełnienia przesłanek określonych w art. 105a ust. 3 Prawa bankowego, ciąży na Banku jako administratorze danych. Zatem w świetle konieczności wykazania istnienia prawnie uzasadnionego interesu po stronie administratora danych, wszelkie dowody w w.w. zakresie nie mogą opierać się na domniemaniach.
Tym samym, w ocenie Naczelnego Sądu Administracyjnego prawidłowe jest stanowisko organu, który doszedł do przekonania, że Bank nie wykazał, iż dopełnił wymaganego w art. 105a ust. 3 ustawy Prawo bankowe obowiązku poinformowania A. S. o zamiarze przetwarzania dotyczących jej informacji stanowiących tajemnicę bankową bez jej zgody. W aktach administracyjnych brak jest bowiem dowodów wskazujących na fakt, że Bank poinformował swojej klientki o zamiarze przetwarzania powyższych danych osobowych, chociaż niewątpliwie Bank podjął działania zmierzające do zrealizowania tego obowiązku (wysłał pisma ze stosowną informacją). Prezes UODO zastosował się do zasad ogólnych postępowania administracyjnego: zasady praworządności, zasady prawdy obiektywnej i pogłębiania zaufania do władzy publicznej oraz nie przekroczył granic swobodnej oceny dowodów i prawidłowo przyjął, że potwierdzenie nadania pisma listem poleconym nie stanowi dowodu poinformowania skarżącej o zamiarze przetwarzania jej danych osobowych bez jej zgody. Zatem organ nie dopuścił się zarzucanego w skardze Banku naruszenia art. 6, art. 7, art. 8 § 1 i 2, art. 77 § 1 i art. 107 § 3 k.p.a.
W tym stanie rzeczy, stwierdzając, że skarga kasacyjna ma usprawiedliwione podstawy, a istota sprawy jest dostatecznie wyjaśniona, Naczelny Sąd Administracyjny uchylił zaskarżony wyrok i rozpoznał skargę w oparciu o art. 188 p.p.s.a.
Wyżej wykazano, że zarzuty skargi okazały się niezasadne a zaskarżona decyzja jest zgodna z prawem, w rezultacie oddalono skargę Banku na podstawie art. 151 p.p.s.a.
O kosztach postępowania kasacyjnego od [...] Bank SA z siedzibą [...] na rzecz Prezesa Urzędu Ochrony Danych osobowych orzeczono na podstawie art. 203 pkt 2 w zw. z art. 205 § 2 p.p.s.a.