III OSK 2672/23

III OSK 2672/23 - Wyrok NSA
Data orzeczenia
2024-12-17
orzeczenie prawomocne
Data wpływu
2023-10-06
Sąd
Naczelny Sąd Administracyjny
Sędziowie
Małgorzata Masternak - Kubiak /przewodniczący/
Mariusz Kotulski /sprawozdawca/
Zbigniew Ślusarczyk
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Sygn. powiązane
III OSK 2672/24 - Postanowienie NSA z 2025-01-31
II SA/Wa 1156/23 - Postanowienie WSA w Warszawie z 2024-06-11
II SA/Wa 2058/22 - Wyrok WSA w Warszawie z 2023-05-31
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargę kasacyjną
Powołane przepisy
Dz.U. 2023 poz 259
art. 134 § 1
Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi - t.j.
Dz.U. 2021 poz 735
art. 6, art. 7, art. 8 § 1 i 2, art. 77 § 1, art. 80, art. 107 § 3
Ustawa z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego - tekst jedn.
Dz.U. 2019 poz 1781
art. 7 ust. 1
Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych (t. j.)
Dz.U. 2021 poz 2439
art. 105a ust. 3
Ustawa z dnia 29 sierpnia 1997 r. Prawo bankowe (t.j.)
Dz.U.UE.L 2016 nr 119 poz 1 art. 6 ust. 1 lit. f
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z  przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE
Sentencja
Naczelny Sąd Administracyjny w składzie: Przewodniczący: Sędzia NSA Małgorzata Masternak-Kubiak Sędziowie: Sędzia NSA Zbigniew Ślusarczyk Sędzia del. WSA Mariusz Kotulski (spr.) Protokolant: asystent sędziego Dominika Daśko po rozpoznaniu w dniu 17 grudnia 2024 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej [...] S.A. z siedzibą w [...] od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 31 maja 2023 r. sygn. akt II SA/Wa 2058/22 w sprawie ze skargi [...] S.A. z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] września 2022 r. nr [...] w przedmiocie przetwarzania danych osobowych 1. oddala skargę kasacyjną, 2. zasądza od [...] S.A. z siedzibą w [...] na rzecz Prezesa Urzędu Ochrony Danych Osobowych kwotę 360 (trzysta sześćdziesiąt) złotych tytułem zwrotu kosztów postępowania kasacyjnego.
Uzasadnienie
Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 31 maja 2023 r. sygn. akt II SA/Wa 2058/22 oddalił skargę [...] S. A. z siedzibą [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 14 września 2022 r. nr DS.523.945.2022.FT.MT.183435,183436 w przedmiocie przetwarzania danych osobowych.
Wyrok zapadł w następującym stanie faktycznym i prawnym sprawy.
K.H. (dalej: "strona", "uczestniczka") złożyła skargę do Prezesa Urzędu Ochrony Danych Osobowych (dalej: "Prezes UODO", "organ") na nieprawidłowości w procesie przetwarzania jej danych osobowych przez [...] S.A. z siedzibą [...] (dalej: "Bank"), polegające na przetwarzaniu jej danych osobowych dotyczących umowy nr [...] z 19 sierpnia 2013 r. bez podstawy prawnej oraz ich udostępnieniu na rzecz Biura Informacji Kredytowej S.A. (dalej: "BIK").
K.H. w treści skargi wskazała, że mimo ustania jej relacji z Bankiem po całkowitej spłacie zobowiązania Bank nadal przetwarza jej dane osobowe bez podstawy prawnej oraz udostępnia je w zewnętrznej bazie BIK mimo, iż wycofała ona swoją zgodę na jakiekolwiek działania. Bank nie spełnił wymagań uprawniających go do rozpoczęcia przetwarzania jej danych osobowych w bazie BIK w związku z wierzytelnością wynikającą z umowy nr 373960440281 z 19 sierpnia 2013 r., ponieważ Bank nie spełnił łącznie wszystkich warunków wynikających z art. 105a ust. 3 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz. U. z 2021 r. poz. 2439 z późn. zm., zwana dalej: "ustawa Prawo bankowe"), tj. Bank nie dysponuje dowodami na potwierdzenie poinformowania strony o zamiarze przetwarzania jej danych osobowych w bazie BIK. W związku z powyższym wnioskodawczyni wniosła o nakazanie usunięcia jej danych osobowych.
Bank wyjaśnił, że pozyskał dane osobowe strony w wyniku zawarcia umowy nr [...] z 19 sierpnia 2013 r. w zakresie: dane identyfikacyjne tj. imię i nazwisko, nr PESEL, nr dowodu osobistego, adres zameldowania i korespondencyjny; nazwa zakładu pracy i wysokość osiąganych dochodów. Bank wskazał, że do BIK w czasie trwania umowy nr 373960440281 z 19 sierpnia 2013 r. przekazywane były cyklicznie dane: o aktualnej kwocie kredytu, stanie zadłużenia, zaległościach oraz dane osobowe (imię i nazwisko, PESEL, numer dowodu osobistego, adres zamieszkania). Bank wskazał ponadto, że aktualnie przetwarza dane osobowe strony na podstawie art. 6 ust. 1 lit. f rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35, zwane dalej: "RODO"), w celu obrony przed ewentualnymi roszczeniami do czasu ich przedawnienia zgodnie z art. 118 ustawy z dnia 23 kwietnia 1964 Kodeks cywilny (Dz. U. z 2020 r. poz. 1740, dalej: "k.c."). Dane osobowe wnioskodawczyni przetwarzane są również w BIK na podstawie art. 105a ust. 3 ustawy Prawo bankowe przez okres wskazany w ww. przepisie.
Bank wskazał, że przekazał do BIK informacje o zobowiązaniu wynikającym z umowy stanowiące tajemnicę bankową oraz dane identyfikacyjne strony. Dane te mogą być przetwarzane przez BIK oraz udostępniane bankom i innym instytucjom ustawowo upoważnionym do udzielania kredytów oraz instytucjom kredytowym w celach i zakresie określonym przepisami art. 105 ust. 4 i art. 105a ustawy Prawo bankowe. Bank wyjaśnił, że przesłał stronie oświadczenie o wypowiedzeniu umowy w dniu 9 września 2015 r. listem poleconym. W oświadczeniu zawarta została informacja, że Bank po spełnieniu zobowiązania przez wnioskodawczynię uprawniony będzie do przetwarzania jego danych na podstawie art. 105a ust. 3 ustawy Prawo bankowe. Korespondencja została wysłana do strony na wskazany przez nią adres, a zgodnie z art. 61 k.c. oświadczenie woli, które ma być złożone innej osobie, jest złożone z chwilą, gdy doszło do niej w taki sposób, że mogła zapoznać się z jego treścią. Zgodnie w wyjaśnieniami Banku zwłoka w spełnieniu świadczenia wynikającego z przedmiotowej umowy przez stronę trwała powyżej 60 dni. Bank wyjaśnił, że pismem z 12 października 2021 r. strona zwracała się do Banku z żądaniem zaprzestania przetwarzania jej danych osobowych w bazie BIK.
Zgodnie z wyjaśnieniami BIK pozyskało dane osobowe strony od Banku na podstawie art. 105 ust. 4 i art. 105a ust. 1 ustawy Prawo bankowe oraz na podstawie łączącej Bank i BIK umowy. BIK wskazało, że przetwarza dane strony przekazane przez Bank w zakresie rachunku umowy kredytowej z 19 sierpnia 2013 r., wprowadzonej do zbioru danych BIK w dniu 30 września 2013 r. BIK również wyjaśniło, że przetwarza dane osobowe strony związane z przedmiotowym zobowiązaniem w celu oceny zdolności kredytowej i analizy ryzyka kredytowego na podstawie art. 105a ust. 3 ustawy Prawo bankowe ze względu na przekazanie przez Bank do BIK informacji o spełnieniu warunków, o których mowa w tym przepisie dających podstawę do przetwarzania danych bez zgody wnioskodawczyni. BIK wskazało, że dane te będą przetwarzane w ww. celu przez okres 5 lat od dnia wygaśnięcia zobowiązania, zgodnie z art. 105a ust. 5 ustawy Prawo bankowe, a w przypadku przedmiotowego zobowiązania, jako datę wygaśnięcia zobowiązania Bank wskazał 22 marca 2019 r. BIK również wyjaśniło, że ani Bank nie zwracał się do BIK z wnioskiem o usunięcie danych strony, ani strona nie występowała z wnioskiem w tym zakresie.
Bank wyjaśnił, że pismo z informacją o zamiarze przetwarzania danych wnioskodawczyni na podstawie art. 105a ust. 3 ustawy Prawo bankowe wysłał listem poleconym w dniu 9 września 2015 r. i od tej daty Bank liczy upływ 30-dniowego terminu z dodaniem jeszcze 7 dni na doręczenie korespondencji do strony. Bank przedstawił dowód nadania przedmiotowej korespondencji. Bank podkreślił, że ustawodawca nie stworzył żadnych wymogów formalnych, co do sposobu i treści poinformowania klienta o zamiarze przetwarzania jego danych na podstawie art. 105a ust. 3 ustawy Prawo bankowe, jednakże sposób powinien umożliwić zweryfikowanie faktu poinformowania klienta o zamierzonym przetwarzaniu lub potwierdzenie, że klientowi umożliwiono zapoznanie się z taką informacją. Bank w treści złożonych wyjaśnień wskazał, że nie posiada umowy ze względu na jej sprzedaż w dniu 15 marca 2019 r. do Prokura Niestandaryzowanego Sekurytyzacyjnego Funduszu Inwestycyjnego Zamkniętego, zarządzanego przez K. S.A. z siedzibą [...]. Bank wskazał, że strona nie wystąpiła z roszczeniem względem Banku, a Bank nie wystąpił i nie zamierza wystąpić wobec wnioskodawczyni z żadnym roszczeniem.
Prezes Urzędu Ochrony Danych Osobowych decyzją z 14 września 2022 r. nr DS.523.945.2022.FT.MT.183435,183436 działając na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2021 r. poz. 735 z późn. zm., zwana dalej: "k.p.a."), w związku z art. 7 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781, zwana dalej: "u.o.d.o.") i art. 6 ust. 1 oraz art. 58 ust. 2 lit. c RODO w zw. z art. 105a ust. 3 ustawy Prawo bankowe, nakazał [...] S.A. z siedzibą [...]:
1. zaprzestanie przetwarzania danych osobowych K.H., dotyczących umowy nr [...] z 19 sierpnia 2013 r., przetwarzanych na podstawie art. 105a ust. 3 ustawy Prawa bankowego w celu oceny zdolności kredytowej i analizy ryzyka kredytowego, w systemach własnych oraz w systemie Biura Informacji Kredytowej S.A., z siedzibą w Warszawie,
2. zaprzestanie przetwarzania danych osobowych K.H., dotyczących umowy nr 373960440281 z 19 sierpnia 2013 r., przetwarzanych bez podstawy prawnej w celu obrony przed ewentualnymi roszczeniami.
Na powyższą decyzję pismem z 18 października 2022 r. Bank wniósł skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie.
W odpowiedzi na skargę organ wniósł o jej oddalenie oraz podtrzymał twierdzenia zawarte w uzasadnieniu przedmiotowej decyzji. W szczegółowy sposób odniósł się do zarzutów skargi uznając je za niezasadne.
W piśmie procesowym z 3 stycznia 2023 r. Bank podtrzymał w całości swoją dotychczasową argumentację w sprawie.
Wojewódzki Sąd Administracyjny w Warszawie w powołanym wyżej wyroku oddalił skargę [...] S. A. z siedzibą [...] uznając, że zaskarżona decyzja została wydana zgodnie z prawem.
Uzasadniając swoje stanowisko Sąd I instancji wskazał, że prawidłowa wykładnia zawartego w art. 105a ust. 3 ustawy Prawo bankowe zwrotu "poinformowania tej osoby" winna uwzględnić nie tylko treść normy zawartej w art. 61 § 1 k.c., ale także tę część normy zawartej w art. 105a ust. 3 ustawy Prawo bankowe, która ustanawia dodatkowy trzydziestodniowy termin na wykonanie zobowiązania. W literaturze przedmiotu podkreśla się bowiem, iż sam fakt, że klient nie wykonał zobowiązania lub spóźnił się z jego wykonaniem co najmniej 60 dni, nie upoważnia instytucji do przetwarzania jego danych. Musi bowiem zostać poinformowany o możliwości przetwarzania jego danych bez uzyskania od niego zgody. Dopiero bezskuteczny upływ 30 dni od momentu poinformowania stanowi wypełnienie przesłanek z art. 105a ust. 3. W przypadku, gdy konsument spełni świadczenie w czasie tych 30 dni, instytucje tracą prawo do przetwarzania informacji bez jego uprzedniej zgody. Moment, od którego należy liczyć sześćdziesięciodniowy termin, w którym konsument dopuszcza się zwłoki w wykonaniu zobowiązania, to termin wykonania zobowiązania. Dopiero po upływie 60 dni zaczyna biec trzydziestodniowy termin, w którym instytucja jeszcze oczekuje na wykonanie zobowiązania klienta. Termin trzydziestodniowy nie biegnie jednak ex lege, a dopiero od momentu, w którym konsument zostanie poinformowany o zamiarze przetwarzania. Termin ten liczy się nie od momentu wysłania informacji, ale od chwili, w której konsument mógł się z nią zapoznać. Wydaje się, iż sama czynność poinformowania może nastąpić wcześniej niż po upływie 60 dni (tak: Agnieszka Żygadło Przetwarzanie informacji stanowiących tajemnicę bankową po wygaśnięciu zobowiązania", Pr. Bankowe 2006/4/83).
Sąd pierwszej instancji uznał, że podzielić należy zatem pogląd skarżącego Banku, że faktyczne zapoznanie się przez adresata z treścią oświadczenia Banku nie ma w kontekście art. 105a § 3 ustawy Prawo bankowe i art. 61 § 1 k.c. znaczenia, jako że należy już wyłącznie do prawnie irrelewantnej sfery wewnętrznej adresata oświadczenia. Jednakże poinformowanie adresata oświadczenia winno, z uwagi na wspomniany powyżej dodatkowy trzydziestodniowy termin na wykonanie zobowiązania, nastąpić w ten sposób, by można było ustalić początek biegu tego terminu. Dopiero bowiem bezskuteczny upływ owego trzydziestodniowego dodatkowego terminu upoważnia Bank do przetwarzania danych osobowych w oparciu o przepis art. 105a ust. 3 ustawy Prawo bankowe.
W ocenie Sądu nadanie powiadomienia, o którym mowa w art. 105a ust. 3 ustawy Prawo bankowe, listem poleconym nie pozwala – w okolicznościach niniejszej sprawy – na ustalenie początku biegu wskazanego terminu. Skoro to Bank wywodzi skutki prawne z powiadomienia strony o zamiarze przetwarzania jej danych osobowych stanowiących tajemnicę bankową bez jej zgody, to musi wykazać, że bezskutecznie upłynęło 30 dni od daty poinformowania strony o tym zamiarze. Wykazanie tej okoliczności wymaga jednak – co oczywiste – wykazania początku biegu owego trzydziestodniowego terminu.
W analizowanej sprawie brak jest możliwości ustalenia tej okoliczności, co powoduje, że brak jest podstaw do przyjęcia, że powiadomienie wnioskodawczyni o zamiarze przetwarzania jej danych osobowych wyczerpało wymogi art. 105a ust. 3 ustawy Prawo bankowe oraz że upłynął bezskutecznie dodatkowy trzydziestodniowy termin na spełnienie świadczenia.
Zdaniem Wojewódzkiego Sądu Administracyjnego w Warszawie za nietrafny należy też uznać zarzut Banku naruszenia prawa materialnego, które miało wpływ na wynik sprawy, tj. art. 6 ust. 1 lit. f RODO w związku z art. 105a ust. 3 ustawy Prawo bankowe - poprzez jego błędną wykładnię, skutkującą przyjęciem, że przetwarzanie danych osobowych strony przez okres przedawnienia roszczeń Banku wobec wnioskodawczyni, nie stanowi prawnie uzasadnionego interesu administratora, podczas gdy prawidłowa interpretacja tego przepisu prowadzi do wniosku, iż takie przetwarzanie jest dopuszczalne przez okres przedawnienia roszczeń wynikający z art. 118 k.c., w zakresie uzasadnionym celem takiego przetwarzania.
Sąd I instancji stwierdził, że z materiału dowodowego zgromadzonego w toku przedmiotowego postępowania wynika, że Bank obecnie przetwarza dane osobowe strony na podstawie art. 6 ust. 1 lit. f RODO w celu obrony i dochodzenia roszczeń pomimo, że wnioskodawczyni nie wystąpiła z roszczeniem wobec Banku, jak również Bank nie dochodzi roszczeń od strony, które to okoliczności uzasadniałyby uprawnienie Banku do zachowania, i przetwarzania danych osobowych wnioskodawczyni w związku z ich zabezpieczeniem i dochodzeniem. Nie sposób zgodzić się z Bankiem jakoby w okresie, kiedy każda ze stron stosunku zobowiązaniowego może wystąpić do sądu z roszczeniami wynikającymi z tego stosunku, czyli przez określony odrębnymi przepisami okres przedawnienia roszczeń o charakterze majątkowym, istniał prawnie uzasadniony interes administratora danych do ich przetwarzania, z zastrzeżeniem, że przetwarzanie to odbywa się w sposób ograniczony wyłącznie do celu, jakim jest cel dowodowy w ewentualnym postępowaniu sądowym, a zatem co do zasady przetwarzanie to polega na przechowywaniu danych.
Zdaniem Sądu brak było podstaw dla przyjęcia, że terminy dotyczące przedawnienia roszczeń wynikających ze stosunków zobowiązaniowych określają jednocześnie ramy czasowe, w których dane osobowe mogą być przetwarzane przez Bank. Przedawnienie roszczenia nie wywołuje skutków na gruncie ochrony danych osobowych, nie wpływa bowiem na fakt istnienia roszczenia, a powoduje jedynie zmianę w sferze zarzutów procesowych w postaci możliwości podniesienia okoliczności przedawnienia w sporze sądowym. Podkreślenia wymaga, że okolicznością usprawiedliwiającą przetwarzanie danych osobowych w celu dochodzenia roszczeń jest sam fakt istnienia roszczenia oraz zamiar jego dochodzenia, nie jest nią natomiast zmiana w uprawnieniach procesowych podmiotu pozwanego.
W ocenie Sądu, brak jest zatem spełnienia wskazywanej przez Bank przesłanki niezbędności do celów wynikających z prawnie usprawiedliwionych interesów realizowanych przez administratora odnośnie do przetwarzania danych osobowych wnioskodawczyni. Przesłanka z art. 6 ust. 1 lit. f RODO dotyczy sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia, potrzeba dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem, które może powstać w przyszłości. W związku z tym, że przeprowadzone przez organ postępowanie administracyjne nie wykazało, aby strona skierowała wobec Banku jakiekolwiek roszczenie lub aby Bank dochodził roszczeń wobec niej, należy zgodzić się z Prezesem UODO, że Bank przetwarza dane osobowe wnioskodawczyni w ww. celu wyłącznie "na zapas", aby zabezpieczyć się przed ewentualnym przyszłymi i niepewnymi roszczeniami strony.
Zdaniem Sądu należy podkreślić, że wbrew twierdzeniom Banku, przesłanka określona w art. 6 ust. 1 lit. f RODO nie jest ukierunkowana na ochronę interesów sektora bankowego czy też gospodarczego. Legalność przetwarzania danych osobowych w oparciu o tę przesłankę uzależniona jest od tego, czy przetwarzanie to jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą. W ocenie Sądu przepis ten nie polega zatem na ochronie wszelkich interesów sektora bankowego. Podobnie jak pozostałe przesłanki wymienione w art. 6 ust. 1 RODO stanowi przesłankę zgodności z prawem procesu przetwarzania. Tym samym chroni przede wszystkim osobę, której proces ten dotyczy przed nieuprawnionym przetwarzaniem jej danych osobowych. Nie można ponadto mówić o zaistnieniu prawnie uzasadnionego interesu w przypadku, gdy dane osobowe przetwarzane są na zapas, na wypadek gdyby taki prawnie uzasadniony interes pojawić się mógł dopiero w przyszłości. Bank niezasadnie skupił się na własnych interesach gospodarczych nie dostrzegając jednocześnie, że z punktu widzenia ochrony danych osobowych dane te mogą być wprawdzie przetwarzane do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, ale wyłącznie wówczas, gdy są nadrzędne nad interesami i prawami osoby, której dane dotyczą. Tymczasem sytuacja taka w niniejszej sprawie nie zachodziła, ponieważ ważąc interesy i podstawowe prawa i wolności osoby, której dane dotyczyły, takie jak chociażby gwarantowane (tak na gruncie prawa europejskiego, Konstytucji RP czy prawa cywilnego) prawo do prywatności, z interesem administratora, który dotyczy w tym wypadku zachowania w swych zasobach danych "na wszelki wypadek", tj. na wypadek tego, że mogą się okazać przydatne w przyszłości do dochodzenia lub obrony ewentualnych roszczeń, które obecnie nie istnieją, należało dojść do wniosku, że to interesy i podstawowe prawa i wolności osoby, której dane dotyczą są nadrzędne.
Wojewódzki Sąd Administracyjny w Warszawie podkreślił, że niezasadny jest również zarzut naruszenia przepisów postępowania, które miało istotny wpływ na wynik sprawy, tj. art. 6, art. 7, art. 8 § 1 i 2, art. 77 § 1, art. 80 oraz art. 107 § 3 k.p.a. w zw. z art. 7 ust. 1 u.o.d.o., polegający na niezastosowaniu zasad ogólnych postępowania administracyjnego: praworządności, prawdy obiektywnej i pogłębiania zaufania do władzy publicznej oraz przekroczeniu granic swobodnej oceny dowodów i - w konsekwencji - błędnym przyjęciu, że potwierdzenie nadania listem poleconym nie stanowi dowodu poinformowania strony o zamiarze przetwarzania jej danych osobowych bez jej zgody, w oparciu o w art. 105a ust. 3 ustawy Prawo bankowe, podczas gdy jest to wyłącznie potwierdzenie nadania pisma listem poleconym, mające moc dokumentu urzędowego, stanowiące dostateczny dowód przekazania informacji zgodnie z wymogami art. 105a ust. 3 ustawy Prawo bankowe. Prezes UODO podjął w niniejszej sprawie przewidziane prawem czynności służące wnikliwemu i rzetelnemu ustaleniu okoliczności faktycznych sprawy. Ustalenia faktyczne organu zostały dokonane w oparciu o całość materiału dowodowego, zgromadzonego i zbadanego w sposób wyczerpujący, a więc przy podjęciu wszelkich kroków niezbędnych do dokładnego wyjaśnienia okoliczności sprawy. Ocena materiału dowodowego została dokonana przez organ zgodnie z zasadą swobodnej oceny dowodów i nie nosi cech dowolności. Decyzja w niniejszej sprawie nie została zaś wydana z naruszeniem art. 107 § 3 k.p.a. Uzasadnienie rozstrzygnięcia spełnia bowiem wymogi określone w ww. przepisie. Zawiera ocenę zebranego w postępowaniu materiału dowodowego, wykładnię stosowanych przepisów oraz ocenę przyjętego stanu faktycznego w świetle obowiązującego prawa. Uzasadnienie zaskarżonej decyzji jest spójne wewnętrznie i logiczne, nie zawiera przy tym luk ani sprzeczności.
Skargę kasacyjną od tego wyroku wniósł [...] S. A. z siedzibą [...], zaskarżając wyrok w całości i zarzucając mu na podstawie art. 174 pkt 1 i 2 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2023 r. poz. 259, zwana dalej: "p.p.s.a."):
1) naruszenie przepisów postępowania, mające istotny wpływ na wynik sprawy, tj. art. 134 § 1 p.p.s.a. w zw. z art. 6, 7, 8 § 1 i 2, art. 77 § 1, art. 80 oraz art. 107 § 3 k.p.a. w zw. z art. 7 ust. 1 u.o.d.o. poprzez brak odniesienia się do zarzutów strony skarżącej dotyczących istotnych aspektów sprawy, w zakresie w jakim strona skarżąca zarzuciła organowi przekroczeniu granic swobodnej oceny dowodów i - w konsekwencji - błędne przyjęcie, że potwierdzenie nadania pisma listem poleconym nie stanowi dowodu poinformowania uczestniczki postępowania o zamiarze przetwarzania jej danych osobowych bez jej zgody, w oparciu o w art. 105a ust. 3 ustawy Prawo bankowe, podczas gdy jest to dokument mający moc dokumentu urzędowego, stanowiący dostateczny dowód przekazania informacji zgodnie z wymogami art. 105a ust. 3 ustawy Prawo bankowe oraz przyjęcie, że niemożliwe jest stwierdzenie daty doręczenia przesyłki, wobec czego Bank nie udowodnił faktu wykonania obowiązku informacyjnego;
2) naruszenie przepisów prawa materialnego, tj. art. 105a ust. 3 ustawy Prawo bankowe poprzez jego błędną wykładnię, skutkującą przyjęciem, że wykonanie obowiązku informacyjnego, o którym mowa w powołanym przepisie, nie polega na skutecznym doręczeniu osobie fizycznej, po wygaśnięciu jej zobowiązania wynikającego z umowy zawartej z bankiem, informacji o zamiarze przetwarzania jej danych osobowych bez jej zgody tylko na "rzeczywistym umożliwieniu" zapoznania się z treścią powyższej informacji, przy uznaniu, że nadanie przesyłki poleconej nie spełnia przedmiotowej przesłanki oraz przyjęciem, że w przypadku nadania przesyłki poleconej niemożliwe jest ustalenie daty początkowej biegu trzydziestodniowego terminu wskazanego w powyższym przepisie wobec czego nie można uznać, że Bank wykonał obowiązek informacyjny;
3) naruszenie przepisów prawa materialnego, tj. art. 6 ust. 1 lit. f RODO w związku z art. 105a ust. 3 ustawy Prawo bankowe - poprzez jego błędną wykładnię, skutkującą przyjęciem, że przetwarzanie danych osobowych uczestniczki postępowania przez okres przedawnienia roszczeń Banku wobec uczestniczki postępowania, nie stanowi prawnie uzasadnionego interesu administratora, podczas gdy prawidłowa interpretacja tego przepisu prowadzi do wniosku, iż takie przetwarzanie jest dopuszczalne przez okres przedawnienia roszczeń wynikający z art. 118 k.c. w zakresie uzasadnionym celem takiego przetwarzania.
Mając powyższe na uwadze skarżący kasacyjnie wniósł o uchylenie w całości zaskarżonego wyroku i rozpoznanie skargi, ewentualnie uchylenie zaskarżonego wyroku w całości oraz przekazanie sprawy Wojewódzkiemu Sądowi Administracyjnemu do ponownego rozpoznania. Jednocześnie skarżący kasacyjnie Bank wniósł o zasądzenie kosztów postępowania, w tym kosztów zastępstwa procesowego według norm prawem przepisanych, a także rozpoznanie skargi na rozprawie.
Powyższe zarzuty rozwinięto w uzasadnieniu skargi kasacyjnej.
W odpowiedzi na skargę kasacyjną Prezes Urzędu Ochrony Danych Osobowych wniósł o jej oddalenie.
Pismem z 26 listopada 2024 r. pełnomocnik strony skarżącej kasacyjnie wniósł o "umorzenie postępowania z uwagi na jego bezprzedmiotowość", gdyż dane uczestniczki nie są już przetwarzane w systemach Banku w celu obrony przed ewentualnymi roszczeniami.
Naczelny Sąd Administracyjny zważył, co następuje.
Przede wszystkim Naczelny Sąd Administracyjny stwierdza brak podstaw do umorzenia postępowania kasacyjnego, ponieważ sądy administracyjne stosownie do treści art. 1 § 1 i 2 ustawy z 25 lipca 2002 r. Prawo o ustroju sądów administracyjnych oraz art. 3 § 1 i § 2 pkt 1 p.p.s.a. kontrolując zaskarżoną decyzję pod wglądem jej zgodności z prawem obowiązującym na dzień jej wydania i według stanu faktycznego z chwili jej wydania. Zatem wszelkie okoliczności, w tym wskazywane przez pełnomocnika skarżącego kasacyjnie Banku, o zaprzestanie przetwarzana danych uczestniczki po wydaniu zaskarżonej decyzji nie ma wpływu na ocenę jej zgodności z prawem. Okoliczność ta nie ma tym bardziej znaczenia, ponieważ zaszła po wydania zaskarżonego wyroku.
Zgodnie z art. 183 § 1 p.p.s.a. Naczelny Sąd Administracyjny przy rozpatrywaniu sprawy na skutek wniesienia skargi kasacyjnej związany jest granicami tej skargi, a z urzędu bierze pod rozwagę tylko nieważność postępowania w wypadkach określonych w § 2, z których żaden w rozpoznawanej sprawie nie zachodzi. Oznacza to, że przytoczone w skardze kasacyjnej przyczyny wadliwości prawnej zaskarżonego orzeczenia determinują zakres kontroli dokonywanej przez Naczelny Sąd Administracyjny. Sąd ten, w odróżnieniu od wojewódzkiego sądu administracyjnego, nie bada całokształtu sprawy, lecz tylko weryfikuje zasadność zarzutów postawionych w skardze kasacyjnej.
Podstawy, na których można oprzeć skargę kasacyjną zostały określone w art. 174 p.p.s.a. Przepis art. 174 pkt 1 p.p.s.a. przewiduje dwie postacie naruszenia prawa materialnego, a mianowicie błędną jego wykładnię lub niewłaściwe zastosowanie. Przez błędną wykładnię należy rozumieć niewłaściwe zrekonstruowanie treści normy prawnej wynikającej z konkretnego przepisu, natomiast przez niewłaściwe zastosowanie, dokonanie wadliwej subsumcji przepisu do ustalonego stanu faktycznego. Również druga podstawa kasacyjna wymieniona w art. 174 pkt 2 p.p.s.a. – naruszenie przepisów postępowania – może przejawiać się w tych samych postaciach, co naruszenie prawa materialnego, przy czym w wypadku oparcia skargi kasacyjnej na tej podstawie skarżący powinien nadto wykazać istotny wpływ wytkniętego uchybienia na wynik sprawy.
W przypadku jednak sformułowania zarzutów w oparciu o art. 174 pkt 2 p.p.s.a., przedstawianych jako skutek przyjęcia przez sąd wojewódzki określonego poglądu w sferze prawa materialnego, z czym nie zgadza się autor skargi kasacyjnej, prezentujący inny pogląd w sferze prawa materialnego niż ten, który przyjęto za podstawę wyroku, właściwe jest rozpoznanie przez Naczelny Sąd Administracyjny w pierwszej kolejności zarzutu naruszenia prawa materialnego, skoro zasadność zarzutów natury procesowej może się okazać skuteczna jedynie wówczas, gdy przyjęcie przez sąd wojewódzki określonego poglądu w sferze prawa materialnego okazałoby się wadliwe.
Mając powyższe na uwadze w pierwszej kolejności w pierwszej kolejności jako niezasadny ocenić należy zarzut naruszenia art. 105a ust. 3 ustawy Prawo bankowe poprzez jego błędną wykładnię.
Jak wynika z brzmienia art. 105a ust. 3 ustawy Prawo bankowe banki, instytucje oraz podmioty, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową i informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank, inną instytucję ustawowo upoważnioną do udzielania kredytów, instytucję pożyczkową albo podmiot, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, o zamiarze przetwarzania dotyczących jej tych informacji, bez jej zgody.
Istotną przesłanką umożliwiającą zastosowanie tego przepisu jest poinformowanie osoby, która nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem itd., przez ten bank lub inną instytucję wymienioną w tym przepisie o zamiarze przetwarzania dotyczących jej informacji, bez jej zgody.
Należy też podkreślić, że jeśli w okresie 30 dni od poinformowania o zamiarze przetwarzania informacji bez zgody, klient spłacił całą zaległość wobec banku, to po upływie 30. dnia bank i inna instytucja upoważniona do udzielania kredytów oraz instytucja z art. 105 ust. 4 Prawa bankowego nie mogą przetwarzać informacji bez jego zgody. Termin trzydziestodniowy został bowiem wprowadzony w celu zapewnienia konsumentowi ostatecznej możliwości wywiązania się z zobowiązań wobec banku i uniknięcia tym samym sankcji w postaci przetwarzania o nim informacji jako o niesolidnym dłużniku przez okres 5 lat.
Prawodawca nie zdefiniował użytego w art.105 ust. 3 ustawy Prawo bankowe pojęcia "poinformować", ani nie stworzył w tym zakresie żadnych szczególnych wymogów formalnych co do sposobu i treści takiego poinformowania klienta lub byłego klienta banku. Prawidłowa wykładnia tego przepisu nie może jednak oznaczać całkowitej dowolności w tym zakresie.
"Poinformować" to tyle co "udzielić informacji, wskazówek, objaśnić, powiadomić o czymś, podać do wiadomości" (Słownik języka polskiego, pod red. M. Szymczaka, Warszawa 1988, t. II, s.766), czyli spowodować, że ktoś zaczyna o czymś wiedzieć.
W literaturze i orzecznictwie sądowoadministracyjnym zwraca się na materialny (ochronny), a nie formalny charakter tego przepisu. Dane osobowe są wartością chronioną ustawowo, a prawo od ich ochrony - jak przyjmuje się w piśmiennictwie – "stanowi swego rodzaju emanację ogólnego prawa gwarantowanego Konstytucją RP (art. 47). Spostrzeżenie to oparte jest na założeniu, że dane osobowe są niejako częścią życia prywatnego lub rodzinnego, względnie że posługiwanie się danymi dotyczącymi innej osoby wkracza w przyznaną jej kompetencję decydowania o swoim życiu osobistym" (zob. J. Barta, P. Fajgielski, R. Markiewicz - Komentarz do art.1 ustawy o ochronie danych osobowych, System informacji prawnej LEX).
Chociaż przy analizie przepisu art. 105a ust. 3 ustawy Prawo bankowe, nie powinno się także abstrahować od istoty (celu) wprowadzenia instytucji przetwarzania danych osobowych dłużnika bez jego zgody na mocy tego przepisu ustawy (należy pamiętać, że Biuro Informacji Kredytowej ma za zadanie przetwarzać dane nierzetelnych dłużników, tj. osób, które pomimo zaciągnięcia określonego zobowiązania wobec banku, nie wywiązują się z umowy i nie spłacają swojego zobowiązania, chroniąc w ten sposób inne podmioty przed wyłudzaniem kolejnych pożyczek, a także pośrednio - rzetelnych kredytobiorców), to jednak pozycja dłużnika jest wobec podmiotu udzielającego pożyczki słabsza, a skutek w postaci przetwarzania danych osobowych bez jego zgody ma charakter publicznoprawny.
Powyższe oznacza, że wszelkie regulacje znoszące tę ochronę muszą być odczytywane i wykładane ściśle, z uwzględnieniem funkcji jakiej mają służyć. Przy takiej wykładni, sformułowanie użyte w przepisie art. 105a ust. 3 ustawy Prawo bankowe, dotyczące obowiązku informacyjnego banku, musi więc oznaczać, że nie jest to tylko obowiązek formalny. Jakkolwiek ustawodawca w żaden sposób nie ograniczył sposobów i form takiego powiadomienia, to w każdym wypadku sposób ten powinien umożliwić zweryfikowanie faktu poinformowania klienta banku o zamierzonym przetwarzaniu jego danych osobowych.
Zgodzić się należy ze stroną skarżącą kasacyjnie, że ustawodawca w żaden sposób nie ograniczył sposobów i form takiego poinformowania. Zauważyć jednak należy, że prawodawca użył kategorycznej formy "poinformować" (czasownik przechodni dokonany), a nie "informować". Określony w ustawie skutek na nastąpić po upływie "30 dni od poinformowania tej osoby przez bank", a nie od np. wysłania jej informacji. Takie "poinformowanie" może nastąpić np. osobiście w placówce banku lub innego podmiotu wymienionego w art. 105a ust. 3 ustawy Prawo bankowe, poprzez przesyłkę doręczaną listownie lub przez pracownika banku albo innego uprawnionego podmiotu, a nawet nie można również wykluczyć możliwości skierowania takiej informacji drogą elektroniczną (o ile strony w zawartej umowie taką formę korespondencji przewidziały przez bank w tym zakresie z podmiotem zewnętrznym). O ile więc sposób i forma poinformowania klienta mogą być różnorodne, to jednak w każdym wypadku sposób ten powinien umożliwić zweryfikowanie faktu poinformowania klienta banku o zamierzonym przetwarzaniu jego danych osobowych. Wybór formy poinformowania adresata, operatora pocztowego i sposobu przekazania informacji oraz związany z tym obowiązek wykazania tego faktu obciążają bank lub inny zobowiązany podmiot, gdyż to one wywodzą z tego faktu skutki prawne. Taki sposób rozumienia obowiązku poinformowania zamieszczonego w art. 105a ust. 3 ustawy Prawo bankowe wynika nie tylko z gwarancyjnego charakteru tego przepisu dla kredytobiorcy, ale także z dobrze pojętego interesu podmiotów udzielających kredytów, aby w sposób skuteczny zamieścić w BIK stosowną informację o nierzetelnym kredytobiorcy.
Jak wskazano wyżej, wskazanie daty doręczenia przesyłki zawierającej stosowną informację umożliwia także prawidłowe wskazanie początku trzydziestodniowego terminu, o którym mowa w art. 105a ust. 3 ustawy Prawo bankowe (nie jest nim bowiem oświadczenie o dacie wysłania korespondencji wraz z kopią pisma, ani nawet data wynikająca z nadania pisma listem poleconym).
Podsumowując stwierdzić należy, że prawidłowo organ Prezes UODO przyjął, że przepis art. 105a ust. 3 ustawy Prawo bankowe obligował bank do wykazania spełnienia powyższego obowiązku.
W konsekwencji nie jest zasadny także zarzut naruszenia art. 6 ust. 1 lit. f rozporządzenia 2016/679 w związku z art. 105a ust. 3 ustawy Prawo bankowe poprzez jego błędną wykładnię, skutkującą przyjęciem, że przetwarzanie danych osobowych uczestnika postępowania przez okres przedawnienia roszczeń banku wobec uczestnika postępowania, nie stanowi prawnie uzasadnionego interesu administratora, podczas gdy prawidłowa interpretacja tego przepisu prowadzi do wniosku, iż takie przetwarzanie jest dopuszczalne przez okres przedawnienia roszczeń wynikający z art. 118 k.c. w zakresie uzasadnionym celem takiego przetwarzania.
Zgodnie z art. 6 ust. 1 lit. f RODO przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy - i w takim zakresie, w jakim przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem.
Tym samym zgodzić się należy ze stanowiskiem, że dla możliwości oparcia przetwarzania danych osobowych na przesłance z art. 6 ust. 1 lit. f RODO konieczne jest, by przetwarzanie było niezbędne dla realizacji prawnie uzasadnionych interesów administratora. Nie wystarczy zatem samo ich występowanie, lecz dodatkowo konieczne jest wykazanie, że dla ich realizacji przetwarzanie danych osobowych jest niezbędne. Oznacza to zatem, że przetwarzanie danych dla realizacji prawnie uzasadnionego interesu administratora lub strony trzeciej musi być, rozsądnie oceniając, potrzebne (por. "RODO. Ogólne rozporządzenie o ochronie danych. Komentarz " WKP 2018, D. Lubasz, W. Chomiczewski, i inni).
Zwrócić także należy uwagę, iż z treści zarzutu i uzasadnienia skargi kasacyjnej wynika, że istotą zarzutu jest nie tyle błędna wykładnia powołanych przez Sąd I instancji przepisów, lecz ich niewłaściwe zastosowanie. Autor skargi kasacyjnej odwołuje się bowiem do błędnej kwalifikacji stanu faktycznego poprzez uznanie, iż "przetwarzanie danych osobowych uczestnika postępowania przez okres przedawnienia roszczeń banku wobec uczestnika postępowania, nie stanowi prawnie uzasadnionego interesu administratora". Jednak ta postać naruszenia prawa materialnego tj. poprzez niewłaściwe zastosowanie wskazanych przepisów, nie została podniesiona w zarzucie skargi kasacyjnej. Podkreślić należy, że ocena zasadności zarzutu naruszenia prawa materialnego może być dokonana wyłącznie na podstawie ustalonego w sprawie stanu faktycznego, nie zaś na podstawie stanu faktycznego, który skarżący uznaje za prawidłowy (por. wyrok NSA z dnia 13 sierpnia 2013 r., II GSK 717/12; wyrok NSA z dnia 4 lipca 2013 r., I GSK 934/12). Zgodnie z ugruntowanymi poglądami prezentowanymi w orzecznictwie Naczelnego Sądu Administracyjnego niedopuszczalne jest zastępowanie zarzutu naruszenia przepisów postępowania, zarzutem naruszenia prawa materialnego i za jego pomocą kwestionowanie ustaleń faktycznych. Nie można skutecznie powoływać się na zarzut niewłaściwego zastosowania prawa materialnego, o ile równocześnie nie zostaną także skutecznie zakwestionowane ustalenia faktyczne, na których oparto skarżone rozstrzygnięcie (zob. wyrok NSA z dnia 31 stycznia 2013 r., I OSK 1171/12). Próba zwalczenia ustaleń faktycznych poczynionych przez sąd pierwszej instancji nie może nastąpić przez zarzut naruszenia prawa materialnego (zob. wyroki NSA z dnia 29 stycznia 2013 r., I OSK 2747/12; z dnia 6 marca 2013 r., II GSK 2327/11). Ocena zarzutu prawa materialnego może być dokonana wyłącznie na podstawie konkretnego stanu faktycznego, nie zaś na podstawie stanu faktycznego, który skarżący uznaje za prawidłowy (zob. wyrok NSA z dnia 6 marca 2013 r., II GSK 2328/11; wyrok NSA z dnia 14 lutego 2013 r., II GSK 2173/11). Jeżeli skarżący uważa, że ustalenia faktyczne są błędne, to zarzut naruszenia prawa materialnego poprzez błędne zastosowanie jest co najmniej przedwczesny. Zarzut naruszenia prawa materialnego nie może opierać się na wadliwym (kwestionowanym przez stronę) ustaleniu faktu (zob. wyrok NSA z dnia 13 marca 2013 r., II GSK 2391/11, LEX nr 1296051). Błędne zastosowanie (bądź niezastosowanie) przepisów materialnoprawnych zasadniczo każdorazowo pozostaje w ścisłym związku z ustaleniami stanu faktycznego sprawy i może być wykazane pod warunkiem wcześniejszego obalenia tych ustaleń czy też szerzej - dowiedzenia ich wadliwości. Gdy skarżący nie podważa skutecznie okoliczności faktycznych sprawy zarzuty niewłaściwego zastosowania prawa materialnego są zarzutami bezpodstawnymi (por. wyrok NSA z dnia 4 lipca 2013 r., I FSK 1092/12; wyrok NSA z dnia 1 grudnia 2010 r., II FSK 1506/09; wyroki NSA: z dnia 11 października 2012 r., I FSK 1972/11; z dnia 3 listopada 2011 r., I FSK 2071/09).
Uwzględniając powyższe uwagi, jako nieuzasadnione ocenić należy zarzuty naruszenia przepisów postępowania, mające istotny wpływ na wynik sprawy, tj. art. 134 § 1 p.p.s.a. w zw. z art. 6, 7, 8 § 1 i 2, art. 77 § 1, art. 80 oraz art. 107 § 3 k.p.a. w zw. z art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781, zwana dalej: u.o.d.o.") poprzez, jak wynika z treści zarzutu i uzasadnienia skargi kasacyjnej, błędne ich zastosowanie.
Po pierwsze art. 134 § 1 p.p.s.a., którego naruszenia dopatruje się strona skarżąca kasacyjnie stanowi, że "Sąd rozstrzyga w granicach danej sprawy nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną, z zastrzeżeniem art. 57a". Przepis ten określa zatem granice rozpoznania skargi przez sąd administracyjny pierwszej instancji, zaś granice danej sprawy wyznacza jej przedmiot wynikający z treści zaskarżonego działania lub bezczynności organu administracji publicznej. Oznacza to, że o naruszeniu normy wynikającej z powyższego przepisu można byłoby mówić, gdyby sąd wykroczył poza granice sprawy, w której została wniesiona skarga, albo – mimo wynikającego z tego przepisu obowiązku – nie wyszedł poza zarzuty i wnioski skargi, np. nie zauważając naruszeń prawa, które nie były powołane przez skarżącego, a które Sąd I instancji zobowiązany był uwzględnić z urzędu. Sąd I instancji rozpoznając skargę niewątpliwie orzekał w granicach sprawy, oceniając postępowanie w zakresie skargi [...] S.A. z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 3 grudnia 2021 r. nr DS.523.445.2021.FT.AN. w przedmiocie przetwarzania danych osobowych, a zatem nie orzekał w granicach (w znaczeniu podmiotowym i przedmiotowym) innej sprawy niż ta, w której została wniesiona skarga.
W drugim zaś przypadku istotne jest to, że "strona nie może ograniczyć się do wytyku wyłącznie naruszenia art. 134 § 1 p.p.s.a., gdyż wówczas przepis ten nie może stanowić samodzielnej podstawy skargi kasacyjnej. W takiej sytuacji strona zobowiązana jest powiązać art. 134 § 1 p.p.s.a. z takimi przepisami, których złamania przez organ administracji miał nie dopatrzyć się Sąd pierwszej instancji" (zob. wyrok NSA z dnia 22 maja 2014 r., I OSK 782/13). Strona skarżąca kasacyjnie wiąże zarzut naruszenia art. 134 § 1 p.p.s.a. z art. 6, 7, 8 § 1 i 2, art. 77 § 1, art. 80 oraz art. 107 § 3 k.p.a. w zw. z art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781, zwana dalej: u.o.d.o."). Strona skarżąca kasacyjnie ograniczyła się jedynie do ogólnego stwierdzenia naruszenia powołanych przepisów. Jednak nie jest wystarczające powołanie się ogólnie na błędną ocenę zgromadzonych w sprawie dowodów, nienależyte wyjaśnienie wszystkich okoliczności sprawy oraz uchybienie zasadom prawdy obiektywnej i pogłębiania zaufania, a więc stwierdzenie, że nie podjęto prawidłowych działań w celu ustalenia istoty sprawy. Ocena ta zrealizowana została w oparciu o materiał zgromadzony przez PUODO, ale także w swej istocie przedstawiony przez samą stronę skarżącą kasacyjna w jej dokumentacji i pismach (art. 7 i art. 77 § 1 k.p.a.). Procedujący w sprawie organ administracji działał w granicach i na podstawie obowiązującego prawa (art. 6 k.p.a.). Jak wskazano to wyżej, to bank ma wykazać, że skutecznie poinformował uczestniczki K.H. w trybie art. 105a ust. 3 ustawy Prawo bankowe o zamiarze przetwarzania jego danych osobowych bez jego zgody. Zasadnie bowiem organ stwierdził, że samo potwierdzenie nadania pisma listem poleconym nie stanowi dowodu poinformowania uczestnika postępowania o zamiarze przetwarzania jego danych osobowych bez jego zgody, w oparciu o w art. 105a ust. 3 ustawy Prawo bankowe.
Dodatkowo należy wskazać, że w ramach zarzutu naruszenia art. 134 § 1 p.p.s.a. nie można skutecznie kwestionować dokonanej przez Sąd oceny ustalonego stanu faktycznego z punktu widzenia jego zgodności lub niezgodności z mającym zastosowanie w sprawie stanem prawnym, czy też prawidłowości dokonanej przez Sąd oceny działań organu administracji publicznej pod kątem zachowania przepisów procedur obowiązujących ten organ (por. m. in. wyrok NSA z 25 marca 2011 r., I FSK 1862/09; wyrok NSA z dnia 11 kwietnia 2007 r., II OSK 610/06; postanowienie NSA z dnia 11 stycznia 2012 r., I OSK 2438/11; wyrok NSA z dnia 15 października 2015 r., I GSK 241/14). W ramach zarzutu naruszenia art. 134 § 1 p.p.s.a. nie można skutecznie kwestionować prawidłowości zajętego stanowiska prawnego i wyrażonych w uzasadnieniu zaskarżonego wyroku poglądów (por. wyrok NSA z dnia 2 lipca 2015 r., I OSK 450/15), ani prawidłowości oceny materiału dowodowego (por. wyrok NSA z dnia 21 października 2010 r., I GSK 264/09).
Z powyższych przyczyn Naczelny Sąd Administracyjny uznał skargę kasacyjną za pozbawioną usprawiedliwionych podstaw, co skutkowało jej oddaleniem na podstawie art. 184 p.p.s.a.
Rozstrzygnięcie o kosztach postępowania kasacyjnego zostało wydane w oparciu o przepis art. 204 pkt 1 w zw. z art. 205 § 2 p.p.s.a.