III OSK 2334/22

III OSK 2334/22 - Wyrok NSA
Data orzeczenia
2024-06-13
orzeczenie prawomocne
Data wpływu
2022-09-22
Sąd
Naczelny Sąd Administracyjny
Sędziowie
Jerzy Stelmasiak /przewodniczący/
Paweł Mierzejewski /sprawozdawca/
Piotr Korzeniowski
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Sygn. powiązane
II SA/Wa 3836/21 - Wyrok WSA w Warszawie z 2022-04-21
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę kasacyjną
Powołane przepisy
Dz.U. 2023 poz 1634
art. 184
Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi - t.j.
Sentencja
Naczelny Sąd Administracyjny w składzie: Przewodniczący: Sędzia NSA Jerzy Stelmasiak Sędziowie: Sędzia NSA Piotr Korzeniowski Sędzia del. WSA Paweł Mierzejewski (spr.) po rozpoznaniu w dniu 13 czerwca 2024 r. na posiedzeniu niejawnym w Izbie Ogólnoadministracyjnej skargi kasacyjnej R.K. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 21 kwietnia 2022 r. sygn. akt II SA/Wa 3836/21 w sprawie ze skargi R.K. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 9 września 2021 r. nr DS.523.1757.2021.FT.AN. w przedmiocie przetwarzania danych osobowych oddala skargę kasacyjną.
Uzasadnienie
Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 21 kwietnia 2022 r., sygn. akt II SA/Wa 3836/21, po rozpoznaniu sprawy ze skargi R.K. (dalej jako "skarżąca" oraz "skarżąca kasacyjnie") na decyzję Prezesa Urzędu Ochrony Danych Osobowych (dalej jako "organ") z dnia 9 września 2021 r. nr DS.523.1757.2021.FT.AN. w przedmiocie przetwarzania danych osobowych, oddalił skargę.
U podstaw rozstrzygnięcia wydanego przez Sąd pierwszej instancji legły następujące ustalenia oraz ocena prawna.
Zaskarżoną decyzją wydaną na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (tekst jedn. Dz. U. z 2021 r. poz. 735), dalej "k.p.a.", art. 6 ust. 1 lit. f rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 ze zm.), dalej "RODO", w zw. z art. 105a ust. 3 ustawy z dnia 29 sierpnia 1997 r. - Prawo bankowe (tekst jedn. Dz. U. z 2020 r. poz. 1896), organ, po przeprowadzeniu postępowania administracyjnego w sprawie ze skargi w przedmiocie nieprawidłowości w procesie przetwarzania danych osobowych skarżącej przez G. S.A. z siedzibą w [...] (dalej "bank"), polegających na udostępnieniu danych osobowych skarżącej do bazy Bankowy Rejestr, prowadzonej przez Związek [...] z siedzibą w [...], bez podstawy prawnej odmówił jej uwzględnienia.
W uzasadnieniu wydanej decyzji organ wskazał, że skarżąca w treści złożonej skargi zwróciła się z prośbą o nakazanie usunięcia jej danych osobowych z Centralnej Bazy Danych Bankowy Rejestr, prowadzonej przez [...], do której wpisał ją bank. Skarżąca wskazała, że posiadała w banku umowę kredytu konsumpcyjnego gotówkowego nr [...]. Z raportu Biura Informacji Kredytowej skarżąca dowiedziała się, że zalega z odsetkami w banku. Po wymianie korespondencji z bankiem skarżąca ustaliła, że zadłużenie na rachunku kredytowym ww. umowy wynika z braku spłaty odsetek karnych, które zostały naliczone zgodnie z zapisami ww. umowy. Skarżąca spełniła ustalone z bankiem warunki spłaty odsetek karnych. W dniu 1 marca 2021 r. skarżąca złożyła do banku żądanie zaprzestania przetwarzania jej danych osobowych w [...], wskazując, że bank nie spełnił wobec niej obowiązku informacyjnego, o którym mowa w art. 105a ust. 3 Prawa bankowego. W odpowiedzi bank pismem z dnia 4 marca 2021 r. poinformował skarżącą, że podtrzymuje swoją dotychczasową decyzję zawartą w piśmie z dnia 8 lutego 2021 r. wskazując, że obecnie brak jest podstaw do pozytywnego rozpatrzenia prośby dotyczącej usunięcia danych skarżącej z Systemu Bankowy Rejestr, prowadzonego przez [...] z powodu nieterminowego wywiązania się Skarżącej z postanowień wynikających z ww. umowy kredytowej.
Bank wskazał, że pozyskał dane osobowe skarżącej w dniu 10 marca 2014 r. bezpośrednio od skarżącej w toku zawarcia przez skarżącą z bankiem umowy kredytu konsumpcyjnego gotówkowego nr [...] Umowa została zawarta w dniu 18 marca 2014 r. na podstawie wniosku kredytowego nr [...] z dnia 10 marca 2014 r. Bank pozyskał dane osobowe skarżącej obejmujące: imię, nazwisko, numer PESEL, data urodzenia, adres zamieszkania, zameldowania i korespondencyjny, adres e- miał, numer telefonu, typ, numer i seria dowodu osobistego oraz data wystawienia, data ważności, wystawca oraz kraj pochodzenia dowodu osobistego, płeć, stan cywilny, imię ojca, imię matki, obywatelstwo, miejsce i kraj urodzenia, nazwisko panieńskie matki, wykształcenie, dane dotyczące zatrudnienia skarżącej, liczba osób na utrzymaniu, informacje dotyczące dochodu i źródła dochodu oraz obciążeń finansowych i przetwarzał dane osobowe skarżącej na podstawie art. 6 ust. 1 lit. b RODO, tj. gdy przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy. Bank wskazał, że aktualnie skarżąca nie posiada w banku żadnych aktywnych umów produktowych, a wśród produktów nieaktywnych znajdują się umowa kredytu konsumpcyjnego gotówkowego nr [...] zawarta w dniu 18 marca 2014 r. Bank aktualnie przetwarza dane osobowe skarżącej pozyskane w związku z ww. umową na podstawie art. 6 ust. 1 lit. c RODO tj. w celu wynikającym z wypełnienia obowiązków nałożonych przepisami prawa. Bank zobowiązany jest m.in. do przetwarzania danych osobowych skarżącej na podstawie art. 74 ust. 2 pkt 8 ustawy z dnia 29 września 1997 r. o rachunkowości (Dz. U. z 2021 r. poz. 217) oraz ustawy z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (Dz. U. z 2021 r. poz. 1132). Na podstawie art. 6 ust. 1 lit. f RODO bank przetwarza dane osobowe skarżącej do celów wynikających z prawnie uzasadnionych interesów realizowanych przez bank, do których zalicza się w szczególności: dochodzenie roszczeń związanych z zawartą umową oraz obronę przed roszczeniami kierowanymi wobec banku na podstawie art. 118 ustawy z dnia 23 kwietnia 1964 r. - Kodeks cywilny (Dz. U. z 2020 poz. 1740 ze zm.) w związku z art. 5 ust. 2 i 3 ustawy z dnia 13 kwietnia 2018 r. o zmianie ustawy - Kodeks cywilny oraz niektórych innych ustaw (Dz. U. z 2018 r. poz. 1104). Przetwarzanie danych skarżącej obywa się także w celach reklamacyjnych na podstawie przepisów ustawy z dnia 5 sierpnia 2015 r. o rozpatrywaniu reklamacji przez podmioty rynku finansowego i o Rzeczniku Finansowym (Dz. U. z 2015 r. poz. 1348 ze zm.). Bank przetwarza dane osobowe skarżącej również w celu udziału w postępowaniach sądowych i administracyjnych zgodnie z art. 10 § 1 k.p.a. oraz do celów wynikających z prawnie uzasadnionych interesów realizowanych przez bank, do których zaliczają się również wewnętrzne cele administracyjne banku, w tym bezpieczeństwo, statystyki i raportowanie wewnętrzne banku.
Organ wskazał dalej, że umowa nr [...] zawarta w dniu 18 marca 2014 r. została wypowiedziana przez bank z uwagi na nieterminowe regulowanie rat kredytowych przez skarżącą. Wypowiedzenie uprawomocniło się, a całość należności została postawiona w stan natychmiastowej wymagalności w systemie transakcyjnym banku w dniu 11 lipca 2016 r. W dniu 16 maja 2016 r. bank skierował do skarżącej oświadczenie o wypowiedzeniu umowy wraz z zawiadomieniem dotyczącym powstania zaległości w spłacie z tytułu umowy nr [...] i możliwości przetwarzania danych osobowych skarżącej bez jej zgody na podstawie przepisów art. 105a ustawy Prawo bankowe, m.in. w SBR administrowanym przez [...]. Pismo zostało nadane listem poleconym za zwrotnym potwierdzeniem odbioru. Korespondencja była awizowana powtórnie w dn. 30 maja 2016 r. i została zwrócona do banku w dniu 6 czerwca 2016 r. Jako dowód bank przedstawił kopię ww. korespondencji skierowanej do skarżącej. Jak wynika z wyjaśnień banku w dniu 22 sierpnia 2016 r. bank dokonał wpisu w SBR zawierającego dane skarżącej. W systemie transakcyjnym rachunek umowy kredytowej nr [...] pozostaje zamknięty. Zaniknięcie rachunku nastąpiło w dniu 21 września 2020 r. w wyniku podjęcia przez bank decyzji o umorzeniu części zaległości. W SBR została wprowadzona data "21 września 2020 r." jako data wygaśnięcia zobowiązania. Bank wskazał, że na podstawie art. 105a ust. 1 w związku z art. 105a ust. 3 Prawa bankowego miał prawo wpisania ww. danych osobowych skarżącej dot. umowy nr [...] z dnia 18 marca 2014 r. do SBR. Dane osobowe skarżącej w SBR będą przetwarzane przez okres 5 lat od daty wygaśnięcia zobowiązania, tj. do dnia 21 września 2025 r. Bank wyjaśnił przy tym, że nie zgadza się z twierdzeniami skarżącej zawartymi w skardze w zakresie braku jej wiedzy o możliwości restrukturyzacji umowy kredytu nr [...] z dnia 18 marca 2014 r., gdyż skarżąca korzystała z rozwiązania restrukturyzacyjnego zaaprobowanego przez bank, tj. w dniu 9 lutego 2015 r. podpisała z bankiem aneks do umowy kredytu nr [...] z dnia 18 marca 2014 r. Bank wskazał również, że skarżąca złożyła do banku szereg wniosków stanowiących żądania z art. 15-22 RODO i dotyczących kwestii przetwarzania jej danych osobowych w BIK oraz SBR, tj. wniosek z dnia 2 stycznia 2020 r., reklamację z dnia 14 stycznia 2020 r., reklamację z dnia 16 marca 2020 r., reklamację z dnia 31 sierpnia 2020 r., wniosek z dnia 11 listopada 2020 r., wniosek z dnia 12 stycznia 2021 r. oraz wniosek z dnia 1 marca 2021 r. Bank w odpowiedzi na powyższe wnioski i reklamacje skarżącej pismem z dnia 15 stycznia 2020 r., 17 lutego 2020 r., 26 marca 2020 r. 23 września 2020 r., 17 listopada 2020 r. 8 lutego 2021 r., 4 marca 2021 r. poinformował skarżącą, że z uwagi na nieterminowe wywiązywanie się z postanowień wynikających z umowy kredytowej nr [...], a tym samym wystąpieniem przesłanek określonych w art. 105a ust. 3 Prawa bankowego, bank może przetwarzać dane osobowe skarżącej w SBR, a fakt całkowitej spłaty zobowiązania nie jest podstawą do usunięcia wpisu z ww. rejestru, gdyż w myśl art. 105a ust. 5 dane te mogą być wykorzystywanie bez zgody skarżącej przez okres 5 lat od dnia wygaśnięcia zobowiązania.
Organ wskazał dalej, że przepisem uprawniającym administratorów danych do przetwarzania zwykłych danych osób fizycznych jest art. 6 ust. 1 RODO, zgodnie z którym, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy spełniona jest jedna z przesłanek wskazanych w tym przepisie. Katalog przesłanek wymienionych w art. 6 ust. 1 RODO, jest zamknięty. Każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny. Co do zasady, podstawą prawną przetwarzania danych osobowych klientów przez Bank w ZBP może być obecnie art. 6 ust. 1 lit. f RODO, w sytuacji, gdy przetwarzanie danych osobowych jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora. Wskazania ponadto wymaga, że przetwarzanie danych osobowych klientów Banku przez [...] odbywa się na podstawie zawartej z Bankiem umowy.
Organ podniósł, że zgodnie z art. 105a ust. 1 Prawa bankowego, przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów, instytucje pożyczkowe oraz podmioty, których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, a także instytucje utworzone na podstawie art. 105 ust. 4, informacji stanowiących tajemnicę bankową informacji udostępnionych przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem art. 104, 105 i art. 106 - 106d Prawa bankowego w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Zgodnie zaś z art. 105a ust. 3 Prawa bankowego banki, instytucje oraz podmioty, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową i informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa wart. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank, inną instytucję ustawowo upoważnioną do udzielania kredytów, instytucję pożyczkową albo podmiot, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. O kredycie konsumenckim, o zamiarze przetwarzania dotyczących jej tych informacji, bez jej zgody.
Organ wskazał, że moment, od którego należy liczyć sześćdziesięciodniowy termin, w którym konsument dopuszcza się zwłoki w wykonaniu zobowiązania, to termin wykonania zobowiązania. Dopiero po upływie 60 dni zaczyna biec termin 30 dni, w którym instytucja oczekuje jeszcze na wykonanie zobowiązania klienta. Termin 30 dni biegnie od momentu, w którym konsument zostanie skutecznie poinformowany przez instytucję o zamiarze przetwarzania. Ostatecznie to bezskuteczny upływ 30 dni od momentu poinformowania stanowi wypełnienie przesłanek z art. 105a ust. 3 Prawa bankowego. Z powyższego wynika zatem, iż bank przetwarzając dane skarżącej na warunkach określonych www. przepisie musi wykazać, że skarżąca została poinformowana o zamiarze przetwarzania ich bez jej zgody. W niniejszej sprawie skarżąca podniosła natomiast, że okoliczności wskazywane w art. 105a ust. 3 Prawa bankowego nie zostały spełnione, w związku z czym Bank nie jest uprawniony do przetwarzania jej danych osobowych w SBR prowadzonym przez [...]. Bank podniósł natomiast, że przetwarzanie danych osobowych skarżącej znajduje swoje uzasadnienie w art. 105a ust. 3 Prawa bankowego wskazując, że w przedmiotowej sprawie nie podlega wątpliwości, że skarżąca dopuściła się zwłoki w spełnieniu świadczenia trwającej powyżej 60 dni, a bank przesłał skarżącej informację o zamiarze przetwarzania jej danych osobowych na podstawie art. 105aust. 3 Prawa bankowego, natomiast od poinformowania skarżącej o zamiarze przetwarzania jej danych - bez jej zgody - upłynęło co najmniej 30 dni. Tym samym w ocenie banku, w przedmiotowej sprawie art. 105a ust. 3 Prawa bankowego znajduje zastosowanie, gdyż warunki w nim określone zostały spełnione. Bank wskazał, że obowiązek poinformowania, o którym mowa powyżej spełnił poprzez skierowanie do skarżącej listem poleconym pisma, które nie zostało przez skarżącą odebrane, zostało powtórnie awizowane w dniu 30 maja 2016 r., a następnie zwrócone do banku w dniu 6 czerwca 2016 r., na co bank przedstawił dowody w postaci treści pisma skierowanego do skarżącej oraz zwróconej do banku koperty z adnotacją o awizowaniu oraz o zwrocie.
Mając na uwadze powyższe okoliczności organ uznał, że w przedmiotowej sprawie zaistniała określona w art. 6 ust. 1 lit. f RODO przesłanka legalizująca obecny proces przetwarzania danych osobowych skarżącej przez bank w SBR prowadzonym przez ZBP w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Przetwarzanie to następowało w ocenie organu w celach wynikających z prawnie uzasadnionych interesów realizowanych przez administratora, zaś interesy skarżącej nie miały nadrzędnego charakteru. Organ podkreślił, że zobowiązanie skarżącej, wynikające z umowy kredytu konsumpcyjnego gotówkowego nr [...] z dnia 18 marca 2014 r., wobec banku wygasło, zaś jak wynika ze zgromadzonego materiału dowodowego odnośnie spłaty zadłużenia, skarżąca dopuściła się zwłoki trwającej dłużej niż 60 dni w przypadku ww. zobowiązania. Istotne w niniejszej sprawie jest jednak to, że bank dopełnił wszelkiej staranności by spełnić wobec skarżącej obowiązek wynikający z art. 105a ust. 3 Prawa bankowego, tj. podjął wszelkie możliwe działania by poinformować skarżącą o zamiarze przetwarzania dotyczących jej informacji stanowiących tajemnicę bankową, bez jej zgody po wygaśnięciu zobowiązania wynikającego z przedmiotowej umowy i przedłożył dowody na powyższe. Odwołując się do ww. art. 105a ust 3. Prawa bankowego organ wskazał, że powiadomienie o zamiarze przetwarzania danych w celu oceny zdolności kredytowej i analizy ryzyka kredytowego musi być doręczone osobie zainteresowanej w taki sposób, by mogła zapoznać się z jego treścią. Jak wynika z zgromadzonego materiału dowodowego w dniu 16 maja 2016 r. bank skierował do skarżącej na wskazany przez nią w ww. umowie adres korespondencyjny, oświadczenie banku o wypowiedzeniu umowy nr [...] wraz z zawiadomieniem dotyczącym powstania zaległości w spłacie z tytułu ww. umowy i możliwości przetwarzania danych osobowych skarżącej bez jej zgody na podstawie przepisów art. 105a Prawa bankowego, m.in. w SBR administrowanym przez [...]. Ww. zawiadomienie do skarżącej bank nadał listem poleconym, za zwrotnym potwierdzeniem odbioru. Korespondencja była awizowana i została zwrócona do banku w dniu 6 czerwca 2016 r., natomiast dokonanie wpisu w SBR, zawierającego dane osobowe skarżącej nastąpiło w dniu 22 sierpnia 2016 r. dokonał wpisu. Wobec powyższego, należy w ocenie organu stwierdzić, że wobec dołożenia przez bank wszelkiej staranności przy spełnieniu obowiązku poinformowania jej o zamiarze przetwarzania jej danych osobowych w trybie art. 105a ust. 3 Prawa bankowego, należy uznać, że bank spełnił wymogi określone w ww. przepisie. Podkreślić należy, że bank skierował zawiadomienie na podany przez skarżącą adres do korespondencji. Skarżąca miała zatem realną możliwość zapoznania się z treścią pisma. Bank przedłożył dowody, z których wynika, że pomimo dołożenia przez niego wszelkiej staranności, aby poinformować skarżącą i dysponować dowodem na to, że informacja taka do skarżącej dotarła i pomimo skierowania tej informacji na podany przez skarżącą adres, nie odebrała ona skierowanego do niej listu poleconego.
Organ podkreślił, że z ustanowionego w art. 105a ust. 3 Prawa bankowego przepisu wynika, że wspomniany wyżej termin na poinformowanie o zamiarze przetwarzania informacji wprowadzono po to, aby umożliwić dłużnikowi likwidację zadłużenia oraz zapobiec przetwarzaniu informacji negatywnych na jego temat. Obowiązek ten posiada więc charakter realny, gdyż powyższy termin ma zagwarantować osobie fizycznej możliwość przeciwdziałania negatywnym skutkom wynikającym z dalszego przetwarzania jej danych, a jednocześnie uzależnia on powstanie po stronie podmiotu uprawnionego (tu: banku) prawa do przetwarzania danych od upłynięcia trzydziestodniowego terminu na jego spełnienie. Określenie zatem zdarzenia rozpoczynającego bieg ww. terminu stanowi okoliczność, która musi być oznaczona precyzyjnie bowiem warunkuje możliwość przetwarzania danych. W ocenie organu, w przypadku wysłania do dłużnika zawiadomienia listem poleconym i jego nieodebrania przez dłużnika, początek biegu ww. trzydziestodniowego terminu należy liczyć od daty zwrotu do nadawcy listu poleconego z adnotacją o jego niepodjęciu w terminie. Wówczas po upływie 30 dni, przetwarzanie danych osobowych na zasadach określonych w art. 105a ust. 3 Prawa bankowego, po wygaśnięciu zobowiązania staje się legalne, z uwagi na dołożenie przez bank wszelkiej staranności, aby osoba, której dane dotyczą miała realną możliwość zapoznania się z informacją o zamiarze przetwarzania jej danych i podjęcia działań w celu likwidacji zadłużenia oraz zapobiegnięcia przetwarzaniu negatywnych informacji na swój temat. Bank, który dołożył wszelkiej staranności w zakresie przekazania ww. informacji skarżącej, nie może ponosić konsekwencji nieodebrania przez nią korespondencji, o ile skierował ją na podany przez nią adres do korespondencji i posiada dowód na to, że podjęte zostały próby jej doręczenia. Wskazać należy, że przyjęcie innej interpretacji przepisu art. 105a ust. 3 Prawa bankowego spowodowałaby umożliwienie dłużnikom uchylenia się od negatywnych konsekwencji, poprzez celowe nieodbieranie listów poleconych. Ponadto kierując się zwykłą dbałością o swoje sprawy, skarżąca zobowiązana była do podania bankowi i aktualizacji swojego obecnego adresu zamieszkania oraz do odbierania korespondencji kierowanej przez bank na ten adres.
Organ dodał, że przed wygaśnięciem zobowiązania, które nastąpiło w dniu 31 września 2020 r., w wyniku podjęcia przez bank decyzji o umorzeniu części zaległości, bank przetwarzał dane osobowe skarżącej w celu oceny zdolności kredytowej i analizy ryzyka kredytowego w oparciu o art. 105a ust. 1 Prawa bankowego, wobec posiadania przez skarżącą wobec banku niespłaconego zobowiązania wynikającego z umowy nr [...]. Proces ten był legalny z uwagi na zaistnienie przesłanki określonej w art. 6 ust. 1 lit. f RODO, zaś zgoda skarżącej na powyższe nie była w myśl ww. przepisu Prawa bankowego wymagana. Organ podkreślił, że postępowanie administracyjne prowadzone przez organ służy kontroli zgodności przetwarzania danych z przepisami o ochronie danych osobowych i jest ukierunkowane na przywrócenie stanu zgodnego z prawem poprzez wydanie decyzji administracyjnej na podstawie art. 58 ust. 2 RODO. Wobec stwierdzenia, iż w realiach rozpatrywanej sprawy nie doszło do nieprawidłowości w procesie przetwarzania danych osobowych skarżącej przez bank, to jest zostały spełnione przesłanki z art. 105a ust. 3 Prawa bankowego, zgodnie z którym bank może przetwarzać informacje stanowiące tajemnicę bankową dotyczące skarżącej po wygaśnięciu zobowiązania wynikającego z umowy nr [...] z dnia 18 marca 2014 r. bez jej zgody w celu oceny zdolności kredytowej i analizy ryzyka kredytowego, organ nie skorzystał z kompetencji przewidzianych we wskazanym przepisie.
W skardze na powyższą decyzję organu skierowanej do Wojewódzkiego Sądu Administracyjnego w Warszawie skarżąca podniosła zarzuty naruszenia:
I. prawa materialnego - art. 105a ust. 3 oraz art. 69 ust. 1 w zw. z art. 75 ust. 2 ustawy - Prawo bankowe w zw. z art. 61 § 1 wobec art. 476 i art. 455 ustawy – Kodeks cywilny, przez ich błędne zastosowanie; zdaniem skarżącej miało to wpływ na wynik sprawy bowiem błędnie przyjęto, że - w okolicznościach tej sprawy - poinformowanie skarżącej o możliwości przetwarzania danych osobowych bez jej zgody po wygaśnięciu zobowiązania z umowy kredytu jest skuteczne i umożliwiło bankowi przetwarzanie danych bez zgody, w sytuacji gdy:
- informacja banku o przetwarzaniu danych osobowych bez zgody skarżącej była związana z wierzytelnością z umowy kredytu powstałą na skutek złożenia oświadczenia o wypowiedzeniu umowy;
- wierzytelność na skutek wypowiedzenia umowy kredytu stała się wymagalna po upływie 30 dni od dnia doręczenia wypowiedzenia;
- wypowiedzenie umowy kredytu - wraz z wezwaniem do zapłaty całego zadłużenia na skutek wypowiedzenia - wysłano wraz z informacją o przetwarzaniu danych (jeden i drugi dokument noszą tę samą datę) i zapakowano zdaniem banku i organu administracji do jednej koperty, zaś ta przesyłka była dwukrotnie awizowana; w takim przypadku wypowiedzenie i informację doręczono skarżącej 28 maja 2016 r. (awizowano ją 20 maja 2016 r., a więc termin odbioru awizo upływał 27 maja 2016 r.); termin 30-dniowy upływał więc 27 czerwca 2016 r.; dopiero od dnia 28 czerwca 2016 r. skarżąca mogła być w zwłoce z zapłatą,
- w chwili doręczenia skarżącej informacji - o ile była w jednej przesyłce z wypowiedzeniem – skarżąca nie była w zwłoce przez co najmniej 60 dni - w ogóle nie nadszedł jeszcze termin zapłaty wierzytelności na skutek wypowiedzenia; tym bardziej bank nie mógł złożyć danej informacji i nie upłynął dla skarżącej termin 30 dni na spełnienie wierzytelności powstałej wskutek wypowiedzenia;
- bank nie dysponował dowodem na to, że zawiadomienie dotarło do skarżącej; prawidłowa wykładnia wskazanego przepisu nakazuje przyjąć, że wymaga on poinformowania klienta banku, a nie jedynie wysłania do niego zawiadomienia;
- w zawiadomieniu o możliwości przetwarzania danych osobowych nie ma wskazania wysokości zobowiązania na skutek wypowiedzenia - odwołano się do wypowiedzenia umowy, z którego treści nie wynika wysokość zobowiązania, powstałego na skutek wypowiedzenia; uniemożliwiło to skarżącej zweryfikowanie poprawności przesłanych przez bank danych w zakresie zaległości, prowadzącej do wypowiedzenia umowy; z kolei art. 105a ust. 3 ustawy - Prawo bankowe dotyczy przetwarzania danych w związku z zadłużeniem, powstałym po wypowiedzeniu umowy kredytu, a nie płatności ratalnych w trakcie jej obowiązywania (dane te przetwarza się na innej podstawie prawnej);
- wypowiedzenie umowy wskazuje zaległość w ratach w toku trwania umowy, jednak nie określa ich okresów i składowych, a zaległość z czasu trwania umowy (rat) nie odnosi się do zaległości o jakiej mowa w art. 105a ust. 3 – ustawy - Prawo bankowe;
II. prawa procesowego - art. 6, art. 7, art. 8 § 1 w zw. z art. 77 § 1 i art. 80 k.p.a., poprzez wadliwą ocenę zgromadzonego materiału dowodowego i błędne ustalenia, prowadzące do wydania bezzasadnej decyzji, a wobec tego naruszenia ogólnych zasad postępowania administracyjnego.
W szerszym uzasadnieniu rozwinięto powyższe zarzuty.
W odpowiedzi na skargę organ wniósł o jej oddalenie, podtrzymując dotychczasową argumentację.
Opisanym na wstępie wyrokiem Sąd pierwszej instancji oddalił skargę na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (tekst jedn. Dz. U. z 2022 r., poz. 329 ze zm.), dalej jako "P.p.s.a." uznając, że zaskarżone rozstrzygnięcie nie narusza prawa.
W ocenie Sądu pierwszej instancji trafne są konstatacje organu, zarówno w kwestii przywołania znajdujących w sprawie zastosowanie regulacji normatywnych jak i właściwego ich rozumienia oraz ustalenia istotnych w sprawie faktów.
Odnosząc się do zarzutów podniesionych w skardze Sąd meriti wskazał, że wbrew twierdzeniom skarżącej, w świetle zgromadzonego przez organ materiału dowodowego nie mogą budzić wątpliwości istotne uwarunkowania faktyczne sprawy. Zasadnie organ dał wiarę zapewnieniom banku - jako podmiotu prowadzącego profesjonalnie działalność w zakresie usług finansowych - że przesyłka, której próby doręczenia znajdują potwierdzenie w stosownych dokumentach, zawierała także zawiadomienie dla skarżącego - wymagane w myśl art. 105 § 3 ustawy - Prawo bankowe. Brak było zatem podstaw dla zakwestionowania tego twierdzenia zwłaszcza, gdy skarżąca nawet nie uprawdopodobniła, aby tak nie było. Wszak danej przesyłki nawet nie podjęła. W ocenie Sądu pierwszej instancji organ wywiódł również w sposób trafny, że powinności poinformowania dłużnika o zamiarze przetwarzania jego danych osobowych bez zgody - w myśl art. 105a ust. 3 ustawy - Prawo bankowe - czyni zadość także próba doręczenia pisma na wskazany przez klienta banku adres. Prawodawca nie przewidział wprawdzie wprost takiego przypadku. Jednakże należy tu przywołać per analogiam reguły instytucji tzw. doręczenia zastępczego. Trafnie zauważa organ, że prezentowana w skardze interpretacja - oparta na założeniu, jakoby warunkiem przetwarzania danych było faktyczne potwierdzenie przez samego dłużnika (wszak nawet potwierdzenie odbioru pisma przez domownika nie przesądza, że musiało ono dotrzeć do adresata), o poinformowaniu go o takiej możliwości - byłaby oczywiście sprzeczna z ratio legis przyjętych rozwiązań normatywnych. Okresowe (5 letnie) przetwarzanie danych dłużnika przez banki i inne wyspecjalizowane podmioty - wobec nieuregulowania przezeń w terminach należności - stanowi wszak rodzaj sui generis sankcji. Nie sposób przyjąć, aby możliwym było jej uniknięcie w razie niepodejmowania pism, kierowanych na wskazany przez dłużnika wierzycielowi (tu bank) adres do korespondencji.
Sąd pierwszej instancji podniósł, że poza granicami sprawy pozostawać musi eksponowana w skardze kwestia różnicy stanowisk pomiędzy skarżącą (reprezentowaną przez profesjonalnego pełnomocnika) a bankiem, co to wysokości niespłaconych terminowo należności oraz terminów ich powstania (np. czy na określony dzień wymagalne były tylko niespłacone raty czy też cała należność wobec skutecznego, zdaniem banku wypowiedzenia umowy). Wykracza to poza granice danej sprawy, gdzie wyspecjalizowany w kwestii ochrony danych osobowych organ ustala wyłącznie, czy w granicach prawa przetwarzane są dane osobowe klientów określonego banku, względem których podmiot ten pozostaje w stosunku umownym bądź przetwarzanie to może wynikać z innych podstaw prawnych np. uprzedniego braku terminowego realizowania należności, gdy umowy już wygasły. Nie może być natomiast rolą danego wyspecjalizowanego organu ustalanie, czy bank prawidłowo ocenił istnienie zobowiązania bądź jego wysokość na określony dzień. Kwestie te mogą być wyłącznie przedmiotem sporów, rozstrzyganych w trybie cywilnym przez sądy powszechne. Nie do zaakceptowania byłoby, aby w państwie praworządnym te same kwestie mogły być niejako alternatywnie przedmiotem oceny przez różne organy (sądy bądź administrację) w różnych trybach. Wedle danych banku, zobowiązanie skarżącej, nie było regulowane terminowo, zaś wygasło ostatecznie z dniem 21 września 2020 r. Właśnie ten stan faktyczny musi być uwzględniany przy ocenie przez dany organ administracji legalności dalszego przetwarzania przez bank - także przy użyciu rejestru - danych o zobowiązaniu skarżącej - w tym jej danych osobowych. Przedmiotem oceny jest bowiem prawidłowość przetwarzania danych osobowych w ramach świadczenia usług finansowych przez wyspecjalizowany podmiot, nie zaś ogólnie prawidłowość jego poszczególnych działań - w kontekście sporów z klientami. Chybione są w tym świetle zarzuty naruszenia stosownych reguł zamieszczonych w ustawie – Kodeks cywilny.
W ocenie Sądu pierwszej instancji chybione są nadto wywody skargi, gdzie wadliwość oceny stanu prawnego przez organ upatrywano w powoływanej okoliczności, że - na dzień przesłania skarżącej zawiadomienia o zamiarze przetwarzania jej danych - nie była jeszcze - od 60 dni - wymagana cała należność, powstała w następstwie wypowiedzenia umowy. Przepis stanowiący podstawę przetwarzania przez okres pięcioletni danych wierzyciela bez jego zgody, gdy nie reguluje on należności, nie dotyczy wyłącznie tych, powstałych dopiero po rozwiązaniu umowy. W sprawie - wedle danych banku - skarżąca nie regulowała rat. Upoważniało to danego wierzyciela - po upływie okresów zakreślonych w art. 105a ust. 3 ustawy - Prawo bankowe (odpowiednio 60 i 30 dni) - do przetwarzania danych byłego dłużnika pomimo wygaśnięcia umowy – jako nie regulującego terminowo należności. Wobec powyższego Sąd meriti nie dostrzegł – w świetle argumentacji skargi ani z urzędu – wad w zaskarżonym akcie, które przemawiałyby za jego wyeliminowaniem z obrotu prawnego. Organ trafnie skonstatował, że przetwarzanie danych osobowych skarżącej przez bank (także przy użyciu rejestru) znajduje podstawę w art. 6 ust. 1 lit. f RODO, wobec treści art. 105a ust. 3 ustawy - Prawo bankowe. Jak wskazano, nie budzą wątpliwości także istotne uwarunkowania faktyczne sprawy. Czyni to chybionym zarzut naruszenia przepisów postępowania w zakresie obowiązku właściwego jej wyjaśnienia.
Skargę kasacyjną od powyższego wyroku wywiodła skarżąca zaskarżając wyrok w całości. Zaskarżonemu wyrokowi zarzucono:
1) z odwołaniem się do art. 174 pkt 1 P.p.s.a. - naruszenie prawa materialnego:
a) art. 105a ust. 3 ustawy - Prawo bankowe przez jego błędną wykładnię polegającą na:
- przyjęciu, że powinności poinformowania dłużnika o zamiarze przetwarzania jego danych osobowych bez jego zgody w myśl ww. przepisu czyni zadość próba doręczenia pisma na wskazany przez klienta banku adres, podczas gdy prawidłowa interpretacja tego przepisu wskazuje na to, że poinformowanie klienta banku o możliwości przetwarzania jego danych osobowych bez jego zgody tylko wtedy wywołuje skutek w postaci rozpoczęcia biegu trzydziestodniowego terminu, po upływie którego jest możliwe przetwarzanie danych osobowych poprzez przekazanie ich przez bank do jednej z instytucji wymienionych w tym przepisie, jeżeli bank dysponuje dowodem na to, że takie zawiadomienie rzeczywiście do tej osoby dotarło;
- przyjęciu, że powołany przepis upoważnia wierzyciela do przetwarzania danych dłużnika po wygaśnięciu umowy w sytuacji wystąpienia zaległości w płatnościach ratalnych wynikających z umowy kredytu, podczas gdy prawidłowa interpretacja tego przepisu prowadzi do wniosku, że na jego podstawie możliwym jest przetwarzanie danych osobowych w związku z zadłużeniem powstałym po wypowiedzeniu umowy kredytu, a nie płatności ratalnych;
b) art. 105a ust. 3 oraz art. 69 ust. 1 w zw. z art. 75 ust. 2 ustawy - Prawo bankowe przez ich błędne zastosowanie, które miało wpływ na wynik sprawy polegające na błędnym przyjęciu, że w okolicznościach niniejszej sprawy poinformowanie skarżącej kasacyjnie o możliwości przetwarzania danych osobowych bez jej zgody po wygaśnięciu zobowiązania z umowy kredytu jest skuteczne i umożliwiło bankowi przetwarzanie jej danych bez jej zgody po wygaśnięciu zobowiązania w sytuacji:
- gdy bank nie dysponował dowodem na to, że takie zawiadomienie dotarło do skarżącej kasacyjnie, a prawidłowa wykładnia przepisu art. 105a ust. 3 Prawa bankowego nakazuje przyjąć, że wymaga on poinformowania klienta banku, a nie jedynie wysłania do niego zawiadomienia;
- gdy informacja banku o przetwarzaniu danych osobowych bez zgody skarżącej kasacyjnie związana była z wierzytelnością powstałą na skutek złożenia oświadczenia o wypowiedzeniu umowy, a wierzytelność na skutek wypowiedzenia umowy kredytu stała się wymagalna po upływie 30. dni od dnia doręczenia wypowiedzenia;
- gdy wypowiedzenie umowy kredytu wraz z wezwaniem do zapłaty całego zadłużenia na skutek wypowiedzenia zostało zdaniem banku wysłane wraz z ww. informacją o przetwarzaniu danych (jeden i drugi dokument noszą tę samą datę i zapakowane zostały zdaniem banku, organu administracji i Sądu pierwszej instancji do jednej koperty (przesyłki pocztowej), co wskazuje na to, że zaległość z umowy kredytu nie była wymagalna w dacie skierowania do skarżącej kasacyjnie informacji o możliwości przetwarzania danych osobowych bez jej zgody i nie został spełniony warunek zwłoki powyżej 60 dni w spełnieniu świadczenia;
- gdy w zawiadomieniu o możliwości przetwarzania danych osobowych brak jest wskazania wysokości zaległego zobowiązania na skutek wypowiedzenia, a jednocześnie odwołano się do wypowiedzenia umowy, z którego treści nie wynika wysokość zobowiązania powstałego na skutek wypowiedzenia wraz z wyszczególnieniem okresów i składowych tej zaległości, co uniemożliwiło skarżącej kasacyjnie zweryfikowanie poprawności danych przesłanych przez bank oraz gdy przepis art. 105a ust. 3 Prawa bankowego dotyczy przetwarzania danych w związku z zadłużeniem powstałym po wypowiedzeniu umowy kredytu, a nie płatności ratalnych w trakcie jej obowiązywania (dane te przetwarza się na innej podstawie prawnej);
- gdy wypowiedzenie umowy wskazuje zaległość w ratach w toku trwania umowy, jednak nie określa ich okresów i składowych, a zaległość z czasu trwania umowy (rat) nie odnosi się do zaległości, o jakiej mowa w art. 105a ust. 3 Prawa bankowego;
2) z odwołaniem się do art. 174 pkt 2 P.p.s.a. - naruszenie przepisów postępowania mających istotny wypływ na wynik sprawy - art. 151 P.p.s.a. w zw. z art. 145 § 1 pkt 1 lit. a) i c) P.p.s.a. w zw. z art. 7, art. 77, art. 80 i art. 107 k.p.a. poprzez oddalenie skargi zamiast jej uwzględniania, a w konsekwencji nieuchylenie decyzji organu, mimo zaniechania przez organ podjęcia czynności niezbędnych do przeprowadzenia postępowania dowodowego w sposób prawidłowy i wyczerpujący, co mogło mieć istotny wpływ na wynik sprawy w postaci wydania decyzji na podstawie niepełnego i wadliwie ocenionego materiału dowodowego i błędnie ustalonego stanu faktycznego, prowadząc w konsekwencji do wadliwego uzasadnienia zaskarżonej decyzji.
Wskazując na powyższe zarzuty skarżąca kasacyjnie wniosła o uchylenie zaskarżonego wyroku i rozpoznanie skargi poprzez jej uwzględnienie, to jest orzeczenie o uchyleniu w całości zaskarżonej decyzji organu z dnia 9 września 2021 r. i zasądzenie od organu na rzecz skarżącej kasacyjnie zwrotu kosztów postępowania, w tym kosztów zastępstwa radcy prawnego, wedle norm przepisanych. Nadto skarżąca kasacyjnie oświadczyła, że zrzeka się rozprawy.
W odpowiedzi na skargę kasacyjną organ wniósł o jej oddalenie.
Naczelny Sąd Administracyjny zważył, co następuje:
Zgodnie z art. 183 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (tekst jedn. Dz. U. z 2023 r., poz. 1634 ze zm.), dalej "P.p.s.a.", Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, bierze jednak z urzędu pod rozwagę nieważność postępowania. W sprawie nie występują, enumeratywnie wyliczone w art. 183 § 2 P.p.s.a., przesłanki nieważności postępowania sądowoadministracyjnego. Z tego względu, przy rozpoznaniu sprawy, Naczelny Sąd Administracyjny związany był granicami skargi kasacyjnej.
Skargę kasacyjną można oprzeć na następujących podstawach:
1) naruszeniu prawa materialnego przez błędną jego wykładnię lub niewłaściwe zastosowanie;
2) naruszeniu przepisów postępowania, jeżeli uchybienie to mogło mieć istotny wpływ na wynik sprawy (art. 174 pkt 1 i pkt 2 P.p.s.a.).
Granice skargi kasacyjnej wyznaczają wskazane w niej podstawy. Sformułowanie podstaw kasacyjnych w prawidłowy sposób jest o tyle istotne, że - jak wyżej wskazano - stosownie do art. 183 § 1 P.p.s.a. Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach zakreślonych w zarzutach skargi kasacyjnej, z urzędu biorąc pod uwagę jedynie nieważność postępowania, której przesłanki wymienione zostały w § 2 tego przepisu. Określona w art. 183 § 1 P.p.s.a. zasada związania granicami skargi kasacyjnej oznacza również związanie wskazanymi w niej podstawami zaskarżenia, które determinują zakres kontroli kasacyjnej, jaką Naczelny Sąd Administracyjny sprawuje na podstawie i w granicach prawa (zgodnie z art. 7 Konstytucji RP z dnia 2 kwietnia 1997 r.; Dz. U. Nr 78, poz. 483 ze zm.) – w celu stwierdzenia ewentualnej wadliwości zaskarżonego orzeczenia wydanego przez wojewódzki sąd administracyjny.
Orzekając w granicach wyznaczonych treścią art. 183 § 1 P.p.s.a. Naczelny Sąd Administracyjny uznał, że wniesiona skarga kasacyjna usprawiedliwionych podstaw nie zawiera.
Jak wynika z brzmienia art. 105a ust. 3 ustawy - Prawo bankowe banki, instytucje oraz podmioty, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową i informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank, inną instytucję ustawowo upoważnioną do udzielania kredytów, instytucję pożyczkową albo podmiot, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, o zamiarze przetwarzania dotyczących jej tych informacji, bez jej zgody.
Jak wskazuje się w orzecznictwie Naczelnego Sądu Administracyjnego (zob. w tej materii m.in. wyroki: z dnia 27 sierpnia 2019 r.; sygn. akt I OSK 2514/17 oraz z dnia 16 stycznia 2024 r.; sygn. akt III OSK 3233/21) istotną przesłanką umożliwiającą zastosowanie tego przepisu jest poinformowanie osoby, która nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem itd., przez ten bank lub inną instytucję wymienioną w tym przepisie o zamiarze przetwarzania dotyczących jej informacji, bez jej zgody. Co ważne, jeśli w okresie 30 dni od poinformowania o zamiarze przetwarzania informacji bez zgody, klient spłacił całą zaległość wobec banku, to po upływie 30 – go dnia bank i inna instytucja upoważniona do udzielania kredytów oraz instytucja z art. 105 ust. 4 Prawa bankowego nie mogą przetwarzać informacji bez jego zgody. Termin trzydziestodniowy został bowiem wprowadzony w celu zapewnienia konsumentowi ostatecznej możliwości wywiązania się z zobowiązań wobec banku i uniknięcia tym samym sankcji w postaci przetwarzania o nim informacji jako o niesolidnym dłużniku przez okres 5 lat.
Podkreślenia wymaga, że ustawodawca nie zdefiniował użytego w art.105a ust. 3 ustawy – Prawo bankowe pojęcia "poinformować" jak i nie określił normatywnie jakichkolwiek szczególnych wymogów formalnych co do sposobu i treści takiego "poinformowania" klienta banku lub byłego klienta banku. Prawidłowa wykładnia tego przepisu nie może jednak oznaczać całkowitej dowolności w tym zakresie. "Poinformować" generalnie oznacza zaś tyle co "udzielić informacji, wskazówek, objaśnić, powiadomić o czymś, podać do wiadomości" (Słownik języka polskiego, pod red. M. Szymczaka, Warszawa 1988, t. II, s.766), czyli spowodować, że ktoś zaczyna o czymś wiedzieć. Podkreślić przy tym należy materialny (ochronny), a nie formalny charakter tego przepisu. Dane osobowe są bowiem wartością chronioną ustawowo, a prawo od ich ochrony - jak przyjmuje się w piśmiennictwie – "stanowi swego rodzaju emanację ogólnego prawa gwarantowanego art. 47 Konstytucji RP.
Mając na uwadze powyższe zapatrywania podzielić jednakże należy generalne stanowisko, iż przy analizie przepisu art. 105a ust. 3 ustawy - Prawo bankowe nie powinno się także abstrahować od istoty (celu) wprowadzenia instytucji przetwarzania danych osobowych dłużnika bez jego zgody na mocy tego przepisu ustawy. Ustawodawca w treści wskazanego przepisu odniósł się bowiem do kwestii przetwarzania danych nierzetelnych dłużników, to jest osób, które pomimo zaciągnięcia określonego zobowiązania wobec banku, nie wywiązują się z umowy i nie spłacają swojego zobowiązania, chroniąc w ten sposób inne podmioty przed wyłudzaniem kolejnych pożyczek, a także pośrednio - rzetelnych kredytobiorców. Oczywistym jest przy tym wskazanie, że pozycja dłużnika wobec podmiotu udzielającego pożyczki jest z założenia słabsza, a skutek w postaci przetwarzania danych osobowych bez jego zgody ma charakter publicznoprawny. Powyższe oznacza, że w istocie wszelkie regulacje znoszące tę ochronę muszą być odczytywane i wykładane ściśle, z uwzględnieniem funkcji jakiej mają służyć. Przy takiej wykładni, sformułowanie użyte w przepisie art. 105a ust. 3 ustawy - Prawo bankowe, dotyczące obowiązku informacyjnego banku, musi więc oznaczać, że nie jest to tylko obowiązek formalny. Jakkolwiek ustawodawca w żaden sposób nie ograniczył sposobów i form takiego powiadomienia, to sposób ten powinien umożliwić zweryfikowanie faktu wykonania przez bank obowiązku poinformowania klienta banku o zamierzonym przetwarzaniu jego danych osobowych.
Zgodzić się należy ze stroną skarżącą kasacyjnie, że ustawodawca w żaden sposób nie ograniczył sposobów i form takiego poinformowania. Zauważyć nadto należy, że prawodawca użył kategorycznej formy "poinformować", a nie "informować", względnie "wysłać zawiadomienie". Określony w ustawie skutek ma bowiem nastąpić po upływie "30 dni od poinformowania tej osoby przez bank", a nie od dnia wysłania stosownej informacji. Jak wskazano w orzecznictwie (zob. przywołany wyrok Naczelnego Sądu Administracyjnego z dnia 16 stycznia 2024 r.; sygn. akt III OSK 3233/21) "poinformowanie" może nastąpić np. osobiście w placówce banku lub innego podmiotu wymienionego w art. 105a ust. 3 Prawa bankowego, poprzez przesyłkę doręczaną listownie lub przez pracownika banku albo innego uprawnionego podmiotu, a nawet nie można również wykluczyć możliwości skierowania takiej informacji drogą elektroniczną (o ile strony w zawartej umowie taką formę korespondencji przewidziały przez bank w tym zakresie z podmiotem zewnętrznym). O ile więc sposób i forma poinformowania klienta mogą być różnorodne, to jednak w każdym wypadku sposób ten powinien umożliwić zweryfikowanie faktu poinformowania klienta banku o zamierzonym przetwarzaniu jego danych osobowych. Wybór formy poinformowania adresata, operatora pocztowego i sposobu przekazania informacji oraz związany z tym obowiązek wykazania tego faktu obciążają bank lub inny zobowiązany podmiot, gdyż to one wywodzą z tego faktu skutki prawne. Taki sposób rozumienia obowiązku poinformowania zamieszczonego w art. 105a ust. 3 Prawa bankowego wynika nie tylko z gwarancyjnego charakteru tego przepisu dla kredytobiorcy, ale także z dobrze pojętego interesu podmiotów udzielających kredytów, aby w sposób skuteczny zamieścić w stosownym rejestrze stosowną informację o nierzetelnym kredytobiorcy.
Zdaniem Naczelnego Sądu Administracyjnego w składzie rozpoznającym sprawę podzielić należy zapatrywanie wyrażone przez Sąd pierwszej instancji, że na tle okoliczności faktycznych tej konkretnej sprawy (ustalonych przez organ na podstawie zgromadzonego przez organ obszernego materiału dowodowego) wynika, że bank wszystkie opisane wyżej obowiązki dopełnił, a zatem organ ochrony danych osobowych zasadnie uznał, że nie ma podstaw do wdrożenia środków prawnych przewidzianych dla tego organu przez obowiązujące przepisy. Jako prawidłowe poczytać należy stanowisko organu, który doszedł do przekonania, że bank wykazał w sposób należyty, iż dopełnił wymagany treścią w art. 105a ust. 3 ustawy - Prawo bankowe obowiązek. Podkreślenia wymaga, że powyższy pogląd nie jest determinowany wyłącznie oświadczeniem banku wskazującym na wysyłkę korespondencji (co w kontekście prawidłowej realizacji wymogu określonego w art. 105a ust. 3 ustawy – Prawo bankowe zostało zasadnie zakwestionowane w orzecznictwie sądów administracyjnych – zob. w tej materii wyrok Naczelnego Sądu Administracyjnego z dnia 27 października 2017 r.; sygn. akt I OSK 3362/15). W aktach administracyjnych rozpatrywanej sprawy znajdują się bowiem dowody wskazujące na fakt, że bank dopełnił wszelkiej staranności celem wypełnienia obowiązku określonego treścią art. 105a ust. 3 ustawy – Prawo bankowe. Z akt wynika, że bank podjął działania zmierzające do zrealizowania tego obowiązku wysyłając pismo ze stosowną informacją (za zwrotnym potwierdzeniem odbioru) na podany przez skarżącą kasacyjnie (widniejący w umowie kredytowej) adres do korespondencji, którego to pisma skarżąca kasacyjnie - pomimo możliwości w tym zakresie - nie odebrała. Skoro przesyłka miała charakter rejestrowany przyjąć należy, że bank dysponuje dowodem na przekazanie skarżącej kasacyjnie informacji o zamiarze przetwarzania jej danych osobowych bez jej zgody, który to dowód w świetle art. 17 ustawy dnia 23 listopada 2012 r. – Prawo pocztowe (obecny publikator: Dz. U. z 2023 r., poz. 1640 ze zm.) ma walor dokumentu urzędowego. Ze wskazanej regulacji wynika, że potwierdzenie nadania przesyłki rejestrowanej lub przekazu pocztowego wydane przez operatora wyznaczonego oraz wydruk potwierdzenia nadania przesyłki rejestrowanej lub przekazu pocztowego pobrane samodzielnie z systemu teleinformatycznego operatora wyznaczonego służącego do nadawania rejestrowanych przesyłek pocztowych lub przekazów pocztowych mają moc dokumentów urzędowych.
Mając na uwadze realia sprawy podzielić należy zapatrywanie, że powiadomienie o zamiarze przetwarzania danych w celu oceny zdolności kredytowej i analizy ryzyka kredytowego musi być doręczone osobie zainteresowanej w taki sposób, by mogła zapoznać się z jego treścią. W realiach sprawy wymienione wyżej stosowne zawiadomienie bank nadał do skarżącej listem poleconym, za zwrotnym potwierdzeniem odbioru. Korespondencja była awizowana i została zwrócona do banku w dniu 6 czerwca 2016 r. Oczywistym jest zatem, ze bank zapewnił skarżącej kasacyjnie realną możliwość zapoznania się z treścią pisma. Za prawidłowe uznać należy zapatrywanie przedstawione przez organ w odpowiedzi na skargę kasacyjną, że uznanie zasadności twierdzeń skarżącej kasacyjnie prowadziłoby w istocie do zaakceptowania sytuacji, w której nierzetelny klient banku mógłby celowo nie odbierać prawidłowo kierowanej do niego korespondencji, aby uniknąć negatywnych skutków w postaci przetwarzania jego danych osobowych bez jego zgody, po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem. Bank, który dołożył wszelkiej staranności w zakresie przekazania ww. informacji skarżącej kasacyjnie, nie może ponosić konsekwencji nieodebrania przez nią korespondencji, o ile skierował ją na podany przez nią adres do korespondencji i posiada dowód na to, że podjęte zostały próby jej doręczenia. Organ wskazuje w związku z tym w sposób w pełni racjonalny, że musi istnieć mechanizm, który w sytuacji zachowania przez bank wszelkiej staranności przy wysłaniu zawiadomienia, zgodnego z treścią art. 105a ust. 3 ustawy - Prawo bakowe, i przedstawienia przez dany bank dowodów na powyższe, uchroni bank przed opisanymi wyżej działaniami dłużnika. Przyjęcie w pełni odmiennej interpretacji przepisu art. 105a ust. 3 ustawy - Prawo bankowe determinować może umożliwienie dłużnikom banków uchylania się od negatywnych konsekwencji niespłacania zobowiązań, poprzez celowe nieodbieranie listów poleconych wysłanych za zwrotnym potwierdzeniem odbioru. Ratio legis wprowadzenia instytucji przetwarzania danych osobowych dłużników na mocy art. 105a ust. 3 ustawy - Prawo bankowe, w oparciu o który dane osobowe dłużnika są przetwarzane bez jego zgody, jest przede wszystkim ochrona danych osobowych klientów banków, których dane te dotyczą, ale także niedopuszczenie do sytuacji, w której możliwe będzie uchylanie się od odbioru korespondencji z zawiadomieniem, o którym mowa w art. 105a ust. 3 wskazanej ustawy wyłącznie w celu uchronienia się przed następstwami nieterminowego regulowania zobowiązań wobec banku. W ocenie Naczelnego Sądu Administracyjnego gdyby ustawodawca rzeczywiście chciał uzależnić możliwość przetwarzania danych osobowych w warunkach, o których mowa w art. 105a ust. 3 ustawy - Prawo bankowe, od skutecznego doręczenia klientowi banku wspomnianej informacji to takiego sformułowania użyłby niewątpliwie wprost w treści omawianego przepisu.
Naczelny Sąd Administracyjny w składzie rozpoznającym sprawę wskazuje nadto, że za przedstawioną powyżej interpretacją normy prawnej wyrażonej w art. 105a ust. 3 ustawy - Prawo bankowe przemawia wykładania celowościowa przepisów art. 105a ust. 3 w zw. z art. 105a ust. 1 ustawy - Prawo bankowe, z której wprost wynika, że celem ustawodawcy było pozwolenie bankom oraz instytucjom wskazanym w tych przepisach na przetwarzanie danych osobowych klienta (bez jego zgody), który nieterminowo spełnia swoje świadczenia, w celu umożliwienia ww. instytucjom realnej oceny zdolności kredytowej oraz analizy ryzyka kredytowego wobec takiego klienta. Oznacza to, że brak takiej możliwości wiązałby się z wyraźnym ryzykiem, że klient, który spóźnił się ze spełnieniem swojego świadczenia powyżej 60 dni, w przyszłości otrzymałby kredyty na warunkach bardziej preferencyjnych, aniżeli pozwala na to analiza ryzyka kredytowego. W konsekwencji podkreślić należy, że ratio legis omawianego przepisu art. 105a ust. 3 ustawy – Prawo bankowe stanowi ochrona sektora finansowego przed ponownym udzielaniem kredytów i pożyczek osobom, które takich zobowiązań nie są w stanie spłacić.
W związku z powyższym podniesiony w pkt 1 petitum skargi kasacyjnej zarzut naruszenia przepisów prawa materialnego uznać należy za niezasadny. Podkreślenia nadto wymaga - w odniesieniu do kwestii zawartej w warstwie opisowej zarzutów naruszenia prawa materialnego (pkt 1 lit b) odnośniki 2 – 5) - że organ ochrony danych osobowych nie posiada kompetencji do rozstrzygania sporów w sprawach dotyczących ważności zawartych umów i ich postanowień oraz skuteczności ich wypowiedzenia. Ta kwestia może być rozstrzygnięta wyłącznie przed sądem powszechnym. Tym samym organ nie mógł w prowadzonym przez siebie postępowaniu badać zasadności naliczania oraz sposobu naliczania przez bank odsetek karnych w związku z brakiem regularnej spłaty rat kredytu. Poza zakresem kompetencji było nadto badanie skuteczności wypowiedzenia umowy przez bank. Zasadnie zatem Sąd pierwszej instancji podniósł, że poza granicami sprawy pozostawać musi kwestia różnicy stanowisk pomiędzy skarżącą kasacyjnie a bankiem w przedmiocie wysokości niespłaconych terminowo należności oraz terminów ich powstania (w odniesieniu do zagadnienia wymagalności niespłaconych rat, względnie całej należności wobec skutecznego, zdaniem banku, wypowiedzenia zawartej ze skarżącą kasacyjnie umowy kredytowej).
Mając na uwadze powyższe rozważania uznać finalnie należy, że oczekiwanego przez skarżącą kasacyjnie skutku nie mógł odnieść zarzut podniesiony w pkt 2 petitum skargi kasacyjnej. Sąd pierwszej instancji mając na uwadze realia rozpatrywanej sprawy zasadnie oddalił bowiem wniesioną skargę na podstawie art. 151 P.p.s.a.
Skoro wniesiona skarga kasacyjna nie zawiera usprawiedliwionych podstaw Naczelny Sąd Administracyjny działając na podstawie art. 184 P.p.s.a. orzekł o jej oddaleniu.
Niniejsza sprawa zastała rozpoznana na posiedzeniu niejawnym na podstawie art. 182 § 2 i 3 P.p.s.a., bowiem skarżąca kasacyjnie zrzekła się rozprawy, zaś organ nie zażądał jej przeprowadzenia.