III OSK 2714/23

III OSK 2714/23 - Wyrok NSA
Data orzeczenia
2024-12-17
orzeczenie prawomocne
Data wpływu
2023-10-11
Sąd
Naczelny Sąd Administracyjny
Sędziowie
Małgorzata Masternak - Kubiak /przewodniczący/
Mariusz Kotulski
Zbigniew Ślusarczyk /sprawozdawca/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Sygn. powiązane
II SA/Wa 2145/22 - Wyrok WSA w Warszawie z 2023-04-20
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Uchylono zaskarżony wyrok i oddalono skargę
Powołane przepisy
Dz.U. 2021 poz 2439
art. 105a ust. 3
Ustawa z dnia 29 sierpnia 1997 r. Prawo bankowe (t.j.)
Dz.U.UE.L 2016 nr 119 poz 1 art. 58 ust. 2 lit. b i c
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z  przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE
Sentencja
Naczelny Sąd Administracyjny w składzie: Przewodniczący: sędzia NSA Małgorzata Masternak-Kubiak sędzia NSA Zbigniew Ślusarczyk (spr.) sędzia del. WSA Mariusz Kotulski Protokolant asystent sędziego Dominika Daśko po rozpoznaniu w dniu 17 grudnia 2024 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej Prezesa Urzędu Ochrony Danych Osobowych od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 20 kwietnia 2023 r. sygn. akt II SA/Wa 2145/22 w sprawie ze skargi [...] Bank S.A. z siedzibą [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 26 września 2022 r. nr DS.523.4046.2022.FT.MT.184368, 184369 w przedmiocie przetwarzania danych osobowych 1. uchyla zaskarżony wyrok i oddala skargę, 2. zasądza od [...] Bank S.A. z siedzibą [...] na rzecz Prezesa Urzędu Ochrony Danych Osobowych kwotę 580 (pięćset osiemdziesiąt) złotych tytułem zwrotu kosztów postępowania kasacyjnego.
Uzasadnienie
Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z 20 kwietnia
2023 r., sygn. akt II SAWa 2145/22, wydanym po rozpoznaniu sprawy ze skargi [...] Bank S.A. z siedzibą [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z 26 września 2022 r. nr DS.523.4046.2022.FT.MT.184368,184369 w przedmiocie przetwarzania danych osobowych, na podstawie art. 145 § 1 pkt 1 lit. a i c oraz art. 200 i art. 205 § 2 ustawy z 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2023 r., poz. 259 ze zm.), dalej "p.p.s.a.", w pkt. 1. sentencji - wyroku uchylił zaskarżoną decyzję, a w pkt. 2. sentencji wyroku - zasądził od Prezesa Urzędu Ochrony Danych Osobowych na rzecz [...] Bank S.A. z siedzibą [...] zwrot kosztów postępowania.
W uzasadnieniu ww. wyroku Sąd I instancji podał, że pismem z 6 lipca 2022 r. W. C. (dalej: "uczestniczka postępowania") wniosła do Prezesa Urzędu Ochrony Danych Osobowych (dalej: "PUODO", "organ") skargę na niezgodne z prawem przetwarzanie przez [...] Bank S.A. z siedzibą [...] (dalej: "bank", "skarżący") jej danych osobowych, polegające na udostępnieniu i przetwarzaniu danych osobowych dotyczących umowy kredytowej z 21 lutego 2008 r. nr [...] w Biurze Informacji Kredytowej S.A. z siedzibą w Warszawie (dalej: "BIK") bez podstawy prawnej.
Uczestniczka postępowania podała w skardze, że 21 lutego 2008 r. zawarła ze skarżącym umowę o kredyt gotówkowy, a dane dotyczące ww. zobowiązania zostały wpisane do bazy BIK. 24 lutego 2022 r. uczestniczka postępowania, przez swojego pełnomocnika, odwołała zgodę na przetwarzanie jej danych dotyczących przedmiotowego zobowiązania oraz wniosła o przeniesienie danych związanych z umową do sekcji statystycznej danych przetwarzanych w BIK. Bank odmówił, a pełnomocnik uczestniczki składał odwołania w jej imieniu. Ponadto w pismach
z 4 kwietnia 2022 r. i 16 maja 2022 r. pełnomocnik uczestniczki zażądał doręczenia dokumentów potwierdzających możliwość przetwarzania jej danych osobowych w BIK bez jej zgody na podstawie art. 105a ust. 3 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz. U. z 2022 r., poz. 2324 ze zm.; dalej: "P.b.") wraz z dowodem otrzymania przez nią oświadczenia o wypowiedzeniu umowy z informacją o zamiarze przetwarzania danych stanowiących tajemnicę bankową bez zgody klienta. Skarżący w odpowiedziach (zawartych w pismach z 25 marca 2022 r., 9 maja 2022 r.
i 2 czerwca 2022 r.) twierdził, że listem poleconym przesłał uczestniczce postępowania oświadczenie o wypowiedzeniu umowy, a w piśmie tym zamieszczono informacje o zamiarze przetwarzania danych stanowiących tajemnicę bankową bez jej zgody.
Zdaniem uczestniczki postępowania, bank nie spełnił wszystkich warunków wynikających z art. 105a ust. 3 P.b., dlatego wniosła ona o nakazanie usunięcia jej danych osobowych.
Po przeprowadzeniu postępowania administracyjnego zainicjowanego ww. skargą (wnioskiem), PUODO decyzją z 26 września 2022 r. nr DS.523.4046.2022.FT.MT.184368,184369, w oparciu o art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (obecnie tekst jednolity: Dz. U. z 2023, r. poz. 775 ze zm.; dalej: "k.p.a.") w związku z art. 7 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r, poz. 1781; dalej: "u.o.d.o.") oraz art. 6 ust. 1 i art. 58 ust. 2 lit. c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych - Dz. Urz. UE L 119 z 4 maja 2016 r., str. 1; Dz. Urz. UE L 127 z 23 maja 2018 r., str. 2; Dz. Urz. UE L 74 z 4 marca 2021 r., str. 35; dalej: "RODO") w związku z art. 105a ust. 3 P.b., nakazał bankowi zaprzestanie przetwarzania danych osobowych uczestniczki postępowania dotyczących umowy z 21 lutego 2008 r. nr [...], przetwarzanych na podstawie art. 105a ust. 3 P.b. w celu oceny zdolności kredytowej i analizy ryzyka kredytowego w systemie BIK.
W uzasadnieniu decyzji organ, odnosząc art. 105a ust. 1 i 3 P.b. do okoliczności faktycznych sprawy, zaakcentował, że wprawdzie zobowiązanie uczestniczki postępowania wobec skarżącego, wynikające z umowy z 21 lutego 2008 r. nr [...], wygasło 11 stycznia 2022 r., a uczestniczka w spłacie zadłużenia dopuściła się zwłoki trwającej dłużej niż 60 dni, to istotny jest brak spełnienia przez bank obowiązku określonego w art. 105a ust. 3 P.b., tj. skarżący nie poinformował skutecznie uczestniczki postępowania o zamiarze przetwarzania dotyczących jej informacji stanowiących tajemnicę bankową, bez jej zgody po wygaśnięciu zobowiązania wynikającego z ww. umowy. Sam fakt, iż uczestniczka postępowania nie wykonała zobowiązania lub spóźniła się z jego wykonaniem co najmniej 60 dni, nie upoważnia banku do przetwarzania jej danych na warunkach określonych w art. 105a ust. 3 P.b.
Skarżący, przetwarzając dane uczestniczki postępowania na podstawie ww. przepisu, musi wykazać, że została ona poinformowana o zamiarze przetwarzania ich bez jej zgody. Tymczasem uczestniczka postępowania podniosła, że przesłanki z art. 105a ust. 3 P.b. nie zostały spełnione, zatem bank nie jest uprawniony do przetwarzania jej danych osobowych w BIK. Natomiast skarżący uznał przesłanki ujęte w ww. przepisie za spełnione, podkreślając, że ustawodawca nie stworzył żadnych wymogów formalnych co do sposobu i treści poinformowania klienta o zamiarze przetwarzania jego danych w trybie art. 105a ust. 3 P.b.
Jak skonkludował PUODO, brak jest dowodów wskazujących na prawidłowe i skuteczne poinformowanie uczestniczki o treści ww. przepisu - innych niż oświadczenie banku, pozostające w sprzeczności z twierdzeniami uczestniczki postępowania. Skarżący nie przedstawił dowodu na prawidłowe doręczenie jej dokumentu, w treści którego zawarto informację o warunkach z art. 105a ust. 3 P.b. W konsekwencji nie zostało udowodnione skuteczne poinformowanie uczestniczki postępowania o treści ww. przepisu.
Sporządzenie i wysłanie pisma nie jest równoznaczne z jego doręczeniem,
a zatem nie może świadczyć o poinformowaniu uczestniczki postępowania o zamiarze przetwarzania danych bez jej zgody. Przepisy powszechnie obowiązujące nie formułują obowiązku wysłania informacji, o której mowa w art. 105a ust. 3 P.b. w szczególnej formie, czyli to do podmiotu informującego należy wybór formy przekazania odbiorcy komunikatu o zamiarze przetwarzania danych osobowych bez jego zgody. Skoro to podmiot informujący – bank wywodzi z powyższego skutki prawne, musi on wykazać, że poinformował uczestniczkę postępowania o zamiarze przetwarzania danych stanowiących tajemnicę bankową, bez jej zgody na podstawie art. 105a ust. 3 P.b.
[...] Bank S.A. z siedzibą [...] zaskarżył decyzję Prezesa Urzędu Ochrony Danych Osobowych do Wojewódzkiego Sądu Administracyjnego w Warszawie. Skarżący wniósł o uchylenie zaskarżonej decyzji.
WSA w Warszawie uznał, że zarzuty skargi są uzasadnione, a organ dokonał nieprawidłowej wykładni art. 105a ust. 3 P.b., naruszył powołane w skardze przepisy postępowania i w konsekwencji dopuścił się naruszenia art. 58 ust. 2 lit. c RODO.
Na wstępie Sąd I instancji wyjaśnił, że zgodnie z art. 105a ust. 1 Prawa bankowego, przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów, instytucje pożyczkowe oraz podmioty, o których mowa wart. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, a także instytucje utworzone na podstawie art. 105 ust. 4, informacji stanowiących tajemnicę bankową i informacji udostępnionych przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem
art. 104, art. 105 i art. 106 - 106d ustawy w celu oceny zdolności kredytowej i analizy ryzyka kredytowego.
Według art. 105a ust. 3 ustawy Prawo bankowe banki, instytucje oraz podmioty, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową i informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa wart. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa
w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank, inną instytucję ustawowo upoważnioną do udzielania kredytów, instytucję pożyczkową albo podmiot, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, o zamiarze przetwarzania dotyczących jej tych informacji, bez jej zgody.
Natomiast przepis art. 105a ust. 5 Prawa bankowego stanowi, że przetwarzanie informacji stanowiących tajemnicę bankową w przypadkach, o których mowa w ust. 3, może być wykonywane przez okres nie dłuższy niż 5 lat od dnia wygaśnięcia zobowiązania, a w przypadku, o którym mowa w ust. 4, przez okres 12 lat od dnia wygaśnięcia zobowiązania.
WSA w Warszawie zaznaczył, że w rozpoznanej sprawie spór dotyczył wykładni pojęcia "poinformowania", o którym mowa w art. 105a ust. 3 ustawy Prawo bankowe.
Zdaniem organu oraz uczestniczki postępowania, wysłanie pisma nie jest równoznaczne z udowodnieniem jego prawidłowego doręczenia, a tym samym ze skutecznym poinformowaniem adresata o zamiarze przetwarzania przez bank danych stanowiących tajemnicę bankową, bez jego zgody. sporządzenie i wysłanie pism nie jest równoznaczne z udowodnieniem ich prawidłowego doręczenia, a w konsekwencji skutecznego poinformowania adresata o zamiarze przetwarzania przez Bank danych stanowiących tajemnicę bankową, bez jego zgody.
Z kolei wg stanowiska Banku, jak stwierdził dalej Sąd I instancji, wysłana uczestniczce postępowania przesyłka polecona, zawierająca oświadczenie banku, nie została zwrócona do nadawcy. Skoro skarżący dysponuje dowodem nadania tej przesyłki (wydrukiem z księgi nadawczej), to oznacza - w świetle przywołanego wyroku Sądu Najwyższego z 17 marca 2010 r., sygn. akt II CSK 454/09, iż poinformował on adresata (tj. uczestniczkę postępowania) o zamiarze przetwarzania danych w BIK, bez jego zgody, stosownie do art. 105a ust. 3 P.b.
Sąd za prawidłowe uznał stanowisko Banku.
W tym zakresie Sąd I instancji przywołał również unormowanie art. 3 pkt 8 ustawy z dnia 23 listopada 2012 r. - Prawo pocztowe (Dz.U. z 2020 r., poz. 1041), zgodnie z którym, przez "nadanie" rozumie się polecenie doręczenia przesyłki pocztowej lub kwoty pieniężnej określonej w przekazie pocztowym oraz przekazanie druku bezadresowego zgodnie z umową o świadczenie usługi pocztowej. Zawarcie umowy o świadczenie usługi pocztowej następuje w szczególności przez przyjęcie przez operatora pocztowego przesyłki pocztowej do przemieszczenia i doręczenia (art. 15 ust. 1 pkt 1). Według art. 2 ust. 1 pkt 22 ustawy, przesyłka polecona to przesyłka listowa będąca przesyłką rejestrowaną, przemieszczana i doręczana w sposób zabezpieczający ją przed utratą, ubytkiem zawartości lub uszkodzeniem.
Z kolei, jak stwierdził dalej WSA w Warszawie, w myśl art. 17 powołanej ustawy, potwierdzenie nadania przesyłki rejestrowanej lub przekazu pocztowego wydane przez placówkę pocztową operatora wyznaczonego ma moc dokumentu urzędowego. Przepis § 27 rozporządzenia Ministra Administracji i Cyfryzacji z dnia 29 kwietnia 2013 r. w sprawie warunków wykonywania usług powszechnych przez operatora wyznaczonego (Dz. U. z 2020 r. poz. 1026) stanowi natomiast, że w przypadku przesyłek rejestrowanych, umowę (o świadczenie usług pocztowych) uważa się za zawartą z chwilą wydania nadawcy przez operatora wyznaczonego dowodu przyjęcia przesyłki rejestrowanej.
Jednocześnie Sąd zaznaczył, że w sprawie nie był sporny między stronami fakt nadania na adres uczestniczki postępowania wypowiedzenia umowy z informacją wymaganą przepisem art. 105a ust. 3 P.b.; sporna była ocena prawna skutków tej okoliczności.
Sąd I instancji uznał, że Pocztowa Książka Nadawcza jest dowodem nadania przesyłki przez nadawcę (Sąd powołał się na wyrok Wojewódzkiego Sądu Administracyjnego w Rzeszowie z 17 grudnia 2018 r., sygn. akt II SA/Rz 1043/18, orzeczenia.nsa.gov.pl), natomiast dowód nadania przesyłki zawierający stempel pocztowy uznaje się za dokument urzędowy, korzystający z domniemania prawdziwości i autentyczności.
Dowód ten, zdaniem Sądu, stanowi także uprawdopodobnienie doręczenia przesyłki adresatowi (wyrok Naczelnego Sądu Administracyjnego z 20 stycznia 2021 r., sygn. akt III OSK 2491/21).
WSA w Warszawie wyprowadził zatem wniosek, że skoro strona [...] Bank S.A. dysponuje dowodem nadania spornej korespondencji, a jej adresat w toku postępowania administracyjnego nie wykazał okoliczności, które mogłyby obalić domniemanie doręczenia listów poleconych, to nie ma podstaw do przyjęcia, że Bank nie dopełnił obowiązku "poinformowania" o którym mowa
w art. 105a ust.3 Prawa bankowego.
Co więcej, zdaniem Sądu, akie rozumienie przesłanki "poinformowania", koresponduje z treścią art. 14 ust. 1 pkt 3 ustawy z dnia 9 kwietnia 2010 r. o udostępnianiu informacji gospodarczych i wymianie danych gospodarczych (Dz. U. z 2020 r., poz. 389 ze zm.) w brzmieniu obowiązującym w dacie wydania zaskarżonej decyzji, zgodnie z którym wierzyciel może przekazać do biura informacji gospodarczych o zobowiązaniach konsumentów informacje gospodarcze o zobowiązaniu dłużnika będącego konsumentem wyłącznie wówczas, gdy: upłynął co najmniej miesiąc od wysłania przez wierzyciela listem poleconym albo doręczenia dłużnikowi będącemu konsumentem do rąk własnych, na adres do doręczeń wskazany przez dłużnika będącego konsumentem, a jeżeli nie wskazał takiego adresu - na adres miejsca zamieszkania, wezwania do zapłaty, zawierającego ostrzeżenie o zamiarze przekazania danych do biura, z podaniem firmy i adresu siedziby tego biura. W świetle tego przepisu przesłanka przekazania informacji (a więc poinformowania) o zobowiązaniu dłużnika jest spełniona wraz z upływem miesiąca od wysłania przez wierzyciela listem poleconym wezwania do zapłaty.
W ten sam sposób należy, w ocenie Sądu, wykładać art. 105a ust. 3 P.b., że termin "30 dni od poinformowania" przez bank danej osoby o zamiarze przetwarzania jej danych osobowych, bez jej zgody, biegnie od daty wysłania listem poleconym stosownego oświadczenia banku w tym przedmiocie.
W konsekwencji Sąd nie zgodził się z interpretacją pojęcia "poinformowanie"
z art. 105a ust. 3 P.b., ograniczoną wyłącznie do sytuacji, w której bank dysponuje dowodem doręczenia korespondencji adresatowi, tj. zwrotnym potwierdzeniem odbioru. Wystarczające dla uznania, że przesłanka "poinformowania" została spełniona jest bowiem wykazanie przez bank, iż przesyłka została wysłana listem poleconym i nie została zwrócona do adresata, a takie właśnie okoliczności miały miejsce w tej sprawie.
Skargę kasacyjną od powyższego wyroku wniósł Prezes UODO, reprezentowany przez radcę prawnego. Zaskarżając wyrok WSA w Warszawie
w całości. Organ, na podstawie art. 176 § 2 p.p.s.a., wniósł o rozpoznanie przedstawionej skargi kasacyjnej na rozprawie. Na podstawie art. 188 p.p.s.a wniósł o uchylenie w całości zaskarżonego wyroku i oddalenie skargi [...] Bank S.A., ewentualnie, w oparciu o przepis art. 185 § 1 p.p.s.a., wniósł o uchylenie w całości zaskarżonego wyroku i przekazanie sprawy do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie. Wystąpił także o zasądzenie zwrotu kosztów postępowania, w tym kosztów zastępstwa procesowego, według norm przepisanych.
Skarżący kasacyjnie zaskarżonemu wyrokowi zarzucił:
1. naruszenie przepisów postępowania mające istotny wpływ na wynik sprawy, tj.
art. 145 § 1 pkt 1 lit. c p.p.s.a. w zw. z art. 75 i art. 80 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2023 r. poz. 775 ze zm.), zwanej dalej k.p.a., w zw. z art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych, poprzez błędne uznanie, że okoliczność poinformowania W. C. zwanej dalej skarżącą, o zamiarze przetwarzania jej danych osobowych dotyczących umowy kredytowej z 21 lutego 2008 r. roku po wygaśnięciu zobowiązania wynikającego z tej umowy, została w toku niniejszego postępowania udowodniona, podczas gdy [...] Bank S.A., z siedzibą [...], zwana dalej Bankiem, nie przedstawiła dowodu na zapoznanie się przez skarżącą z dokumentami, w treści których zawarta była informacja o okolicznościach wskazanych w art. 105a ust. 3 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (t.j. Dz.U. 2022 poz. 2324), zwanej dalej Prawem bankowym;
2. naruszenie przepisów prawa materialnego, tj.: art. 105a ust. 3 Prawa bankowego poprzez jego błędną wykładnię polegającą na przyjęciu, że wykonanie obowiązku informacyjnego, o którym mowa w tym przepisie, wystarczające jest wyłącznie dysponowanie dowodem nadania korespondencji zawierającej informację o zamiarze przetwarzania danych osobowych po wygaśnięciu zobowiązania wynikającego z umowy oraz niewykazanie przez adresata tej korespondencji w toku postępowania admnistracyjnego istnienia okoliczności, które mogłyby obalić domniemanie doręczenia listu poleconego, co w konsekwencji doprowadziło do uchylenia zaskarżonej decyzji, podczas gdy prawidłowa wykładnia tego przepisu prowadzi do wniosku, że "poinformowanie" w rozumieniu tego przepisu oznacza skuteczne doręczenie klientowi banku informacji o zamiarze przetwarzania jego danych osobowych bez jego zgody.
W uzasadnieniu skargi, jej autor, podniósł m.in., że żaden przepis ustawy Prawo bankowe nie wymaga, aby obowiązek informacyjny, o którym mowa w art. 105a ust. 3 tej ustawy, był realizowany w szczególnej formie. Nie musi być to przesyłka polecona, gdyż forma spełnienia tego obowiązku jest całkowicie dowolna, byleby tylko klient banku został poinformowany o zamiarze przetwarzania jego danych. W opinii Prezesa UODO skuteczne przekazanie informacji do adresata, wybór operatora pocztowego i sposobu przekazania informacji oraz ryzyko z tym związane obciążają Bank, gdyż to on wywodzi z tego faktu poinformowania skutki prawne.
W odpowiedzi na skargę kasacyjną, [...] Bank S.A. z/s [...], reprezentowany przez radcę prawnego, wniósł o jej oddalenie oraz o zasądzenie zwrotu kosztów postępowania, w tym kosztów zastępstwa prawnego według norm przepisanych. Uzasadniając złożony wniosek procesowy Bank w znaczącej części powtórzył stanowisko uzasadnienia zaskarżonego wyroku.
Naczelny Sąd Administracyjny zważył, co następuje:
Stosownie do art. 183 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz. U. z 2024 r., poz. 935) zwanej dalej p.p.s.a., Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, biorąc pod rozwagę z urzędu jedynie nieważność postępowania. W rozpoznawanej sprawie nie zachodzi żadna z okoliczności skutkujących nieważnością postępowania, o jakich mowa w art. 183 § 2 p.p.s.a. i nie zachodzi żadna z przesłanek, o których mowa w art. 189 p.p.s.a., które Naczelny Sąd Administracyjny rozważa z urzędu dokonując kontroli zaskarżonego skargą kasacyjną wyroku. W tych okolicznościach w sprawie badaniu podlegały wyłącznie zarzuty podniesione w skardze kasacyjnej na uzasadnienie przytoczonych podstaw kasacyjnych.
Podstawy, na których można oprzeć skargę kasacyjną zostały określone w art. 174 p.p.s.a. Przepis art. 174 pkt 1 p.p.s.a. przewiduje dwie postacie naruszenia prawa materialnego, a mianowicie błędną jego wykładnię lub niewłaściwe zastosowanie. Przez błędną wykładnię należy rozumieć niewłaściwe zrekonstruowanie treści normy prawnej wynikającej z konkretnego przepisu, natomiast przez niewłaściwe zastosowanie, dokonanie wadliwej subsumcji przepisu do ustalonego stanu faktycznego. Również druga podstawa kasacyjna wymieniona w art. 174 pkt 2 p.p.s.a. – naruszenie przepisów postępowania – może przejawiać się w tych samych postaciach, co naruszenie prawa materialnego, przy czym w wypadku oparcia skargi kasacyjnej na tej podstawie skarżący powinien nadto wykazać istotny wpływ wytkniętego uchybienia na wynik sprawy.
W przypadku sformułowania zarzutów w oparciu o art. 174 pkt 2 p.p.s.a., przedstawianych jako skutek przyjęcia przez sąd wojewódzki określonego poglądu w sferze prawa materialnego, z czym nie zgadza się autor skargi kasacyjnej, prezentujący inny pogląd w sferze prawa materialnego niż ten, który przyjęto za podstawę wyroku, właściwe jest rozpoznanie przez Naczelny Sąd Administracyjny w pierwszej kolejności zarzutu naruszenia prawa materialnego, skoro zasadność zarzutów natury procesowej może się okazać skuteczna jedynie wówczas, gdy przyjęcie przez sąd wojewódzki określonego poglądu w sferze prawa materialnego okazałoby się wadliwe.
W rozpatrywanej sprawie spór dotyczy wykładni pojęcia "poinformowania", o którym mowa w art. 105a ust. 3 ustawy Prawo bankowe. Zdaniem organu, sporządzenie i wysłanie pisma nie jest równoznaczne z udowodnieniem jego prawidłowego doręczenia, a w konsekwencji skutecznego poinformowania adresatki o zamiarze przetwarzania przez Bank danych stanowiących tajemnicę bankową, bez jej zgody. Samo bowiem oświadczenie o wysłaniu korespondencji i przedstawienie jej kopii, nie stanowi dowodu na jej doręczenie (poinformowanie o jej treści adresatki). Bank wywodził natomiast, że przesyłka polecona zawierająca oświadczenie Banku została skierowana do klientki banku na prawidłowy adres (wskazany w umowie kredytowej) i nie została zwrócona do nadawcy. Jego zdaniem, skoro dysponuje dowodem nadania spornej przesyłki, to oznacza, że poinformował adresatkę o zamiarze przetwarzania danych w BIK, bez jej zgody, stosownie do art. 105a ust. 3 Prawa bankowego. Wojewódzki Sąd Administracyjny w Warszawie podzielił to zapatrywanie Banku.
Zdaniem Naczelnego Sądu Administracyjnego stanowisko Sądu I instancji nie jest prawidłowe, należy bowiem podzielić stanowisko zaprezentowane w wyroku Naczelnego Sądu Administracyjnego z 16 stycznia 2024 r., który to orzekał w zbliżonym stanie faktycznym, podzielając stanowisko Prezesa Urzędu Ochrony Danych Osobowych.
Podzielić należy zarzut naruszenia przepisów prawa materialnego, tj. art. 105a ust. 3 ustawy Prawo bankowe. Jak wynika z brzmienia art. 105a ust. 3 Prawa bankowego banki, instytucje oraz podmioty, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową i informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank, inną instytucję ustawowo upoważnioną do udzielania kredytów, instytucję pożyczkową albo podmiot, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, o zamiarze przetwarzania dotyczących jej tych informacji, bez jej zgody.
Istotną przesłanką umożliwiającą zastosowanie tego przepisu jest poinformowanie osoby, która nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem itd., przez ten bank lub inną instytucję wymienioną w tym przepisie o zamiarze przetwarzania dotyczących jej informacji, bez jej zgody.
Należy też podkreślić, że jeśli w okresie 30 dni od poinformowania o zamiarze przetwarzania informacji bez zgody, klient spłacił całą zaległość wobec banku, to po upływie 30. dnia bank i inna instytucja upoważniona do udzielania kredytów oraz instytucja z art. 105 ust. 4 Prawa bankowego nie mogą przetwarzać informacji bez jego zgody. Termin trzydziestodniowy został bowiem wprowadzony w celu zapewnienia konsumentowi ostatecznej możliwości wywiązania się z zobowiązań wobec banku i uniknięcia tym samym sankcji w postaci przetwarzania o nim informacji jako o niesolidnym dłużniku przez okres 5 lat.
Prawodawca nie zdefiniował użytego w art. 105 ust. 3 Prawa bankowego pojęcia "poinformować", ani nie stworzył w tym zakresie żadnych szczególnych wymogów formalnych co do sposobu i treści takiego poinformowania klienta lub byłego klienta banku. Prawidłowa wykładnia tego przepisu nie może jednak oznaczać całkowitej dowolności w tym zakresie. "Poinformować" to tyle co "udzielić informacji, wskazówek, objaśnić, powiadomić o czymś, podać do wiadomości" (Słownik języka polskiego, pod red. M. Szymczaka, Warszawa 1988, t. II, s.766), czyli spowodować, że ktoś zaczyna o czymś wiedzieć. W literaturze i orzecznictwie sądowoadministracyjnym zwraca się uwagę na materialny (ochronny), a nie formalny charakter tego przepisu. Dane osobowe są wartością chronioną ustawowo, a prawo od ich ochrony - jak przyjmuje się w piśmiennictwie – "stanowi swego rodzaju emanację ogólnego prawa gwarantowanego Konstytucją RP (art. 47). Spostrzeżenie to oparte jest na założeniu, że dane osobowe są niejako częścią życia prywatnego lub rodzinnego, względnie że posługiwanie się danymi dotyczącymi innej osoby wkracza w przyznaną jej kompetencję decydowania o swoim życiu osobistym" (zob. J. Barta, P. Fajgielski, R. Markiewicz - Komentarz do art. 1 ustawy o ochronie danych osobowych, System informacji prawnej LEX).
O ile podzielić należy stanowisko, iż przy analizie przepisu art. 105a ust. 3 Prawa bankowego, nie powinno się także abstrahować od istoty (celu) wprowadzenia instytucji przetwarzania danych osobowych dłużnika bez jego zgody na mocy tego przepisu ustawy (należy pamiętać, że Biuro Informacji Kredytowej ma za zadanie przetwarzać dane nierzetelnych dłużników, tj. osób, które pomimo zaciągnięcia określonego zobowiązania wobec banku, nie wywiązują się z umowy i nie spłacają swojego zobowiązania, chroniąc w ten sposób inne podmioty przed wyłudzaniem kolejnych pożyczek, a także pośrednio - rzetelnych kredytobiorców), to jednak pozycja dłużnika jest wobec podmiotu udzielającego pożyczki słabsza, a skutek w postaci przetwarzania danych osobowych bez jego zgody ma charakter publicznoprawny.
Powyższe oznacza, że wszelkie regulacje znoszące tę ochronę muszą być odczytywane i wykładane ściśle, z uwzględnieniem funkcji jakiej mają służyć. Przy takiej wykładni, sformułowanie użyte w przepisie art. 105a ust. 3 Prawa bankowego, dotyczące obowiązku informacyjnego banku, musi więc oznaczać, że nie jest to tylko obowiązek formalny. Jakkolwiek ustawodawca w żaden sposób nie ograniczył sposobów i form takiego powiadomienia, to w każdym wypadku sposób ten powinien umożliwić zweryfikowanie faktu poinformowania klienta banku o zamierzonym przetwarzaniu jego danych osobowych. Ustawodawca w żaden sposób nie ograniczył sposobów i form takiego poinformowania. Zauważyć jednak należy, że prawodawca użył kategorycznej formy "poinformować" (czasownik przechodni dokonany), a nie "informować". Określony w ustawie skutek ma nastąpić po upływie "30 dni od poinformowania tej osoby przez bank", a nie od np. wysłania jej informacji. Takie "poinformowanie" może nastąpić np. osobiście w placówce banku lub innego podmiotu wymienionego w art. 105a ust. 3 Prawa bankowego, przez przesyłkę doręczaną listownie lub przez pracownika banku albo innego uprawnionego podmiotu, a nawet nie można również wykluczyć możliwości skierowania takiej informacji drogą elektroniczną (o ile strony w zawartej umowie taką formę korespondencji przewidziały przez bank w tym zakresie z podmiotem zewnętrznym). O ile więc sposób i forma poinformowania klienta mogą być różnorodne, to jednak w każdym wypadku sposób ten powinien umożliwić zweryfikowanie faktu poinformowania klienta banku o zamierzonym przetwarzaniu jego danych osobowych. Wybór formy poinformowania adresata, operatora pocztowego i sposobu przekazania informacji oraz związany z tym obowiązek wykazania tego faktu obciążają bank lub inny zobowiązany podmiot, gdyż to one wywodzą z tego faktu skutki prawne. Taki sposób rozumienia obowiązku poinformowania zamieszczonego w art. 105a ust. 3 prawa bankowego wynika nie tylko z gwarancyjnego charakteru tego przepisu dla kredytobiorcy, ale także z dobrze pojętego interesu podmiotów udzielających kredytów, aby w sposób skuteczny zamieścić w BIK stosowną informację o nierzetelnym kredytobiorcy. Jak wskazano wyżej, wskazanie daty doręczenia przesyłki zawierającej stosowną informację umożliwia także prawidłowe wskazanie początku trzydziestodniowego terminu, o którym mowa w art. 105a ust. 3 Prawa bankowego (nie jest nim bowiem data nadania przesyłki na poczcie ani data uzależniona od domniemanego odebrania przesyłki).
Podsumowując stwierdzić należy, że Prezes UODO prawidłowo przyjął, że przepis art. 105a ust. 3 Prawa bankowego obligował Bank do wykazania spełnienia powyższego obowiązku.
Z zebranego materiału dowodowego zgromadzonego w sprawie wynika, że w związku ze zwłoką W. C. (dalej także jako skarżąca (w postępowaniu administracyjnym)) w spłacie zobowiązania wobec banku, wynikającego z umowy z 21 lutego 2008 r. nr [...], Bank wysłał oświadczenie o wypowiedzeniu umowy z 6 marca 2016 r. (data nadania 4 marca 2016 r.) w którym znalazła się informacja dotycząca przetwarzania danych skarżącej – bez jej zgody na podstawie art. 105a ust 3 ustawy Prawo bankowe. Korespondencję z oświadczeniem Bank przesłał skarżącej listem poleconym bez zwrotnego potwierdzenia odbioru. Bank dysponuje dowodem nadania tej przesyłki – wydrukiem z księgi nadawczej i twierdzi, że przesyłka ta nie została zwrócona. Jednocześnie Bank nie przedstawił żadnego dowodu doręczenia tej przesyłki poleconej (wskazującego na datę doręczenia np. wydruk z strony śledzenia przesyłek rejestrowanych), przy jednoczesnym zaprzeczeniu przez skarżącą jakoby [...] Bank S.A. spełnił obowiązek poinformowania jej o zamiarze przetwarzania dotyczących jej informacji stanowiących tajemnicę bankową bez jej zgody, co było wymagane zgodnie z art. 105a ust. 3 ustawy - Prawo bankowe.
W konsekwencji za zasadny uznać należy zarzut naruszenia przepisów postępowania mający istotny wpływ na wynik sprawy, tj.: art. 145 § 1 pkt 1 lit. c p.p.s.a. w zw. z art. 75 § 1 k.p.a. i art. 80 k.p.a. w zw. z art. 7 ust. 1 ustawy o ochronie danych osobowych, przez błędne uznanie, że okoliczność poinformowania skarżącej o zamiarze przetwarzania jej danych osobowych po wygaśnięciu zobowiązań wynikających z umów kredytowych, została przez Bank udowodniona. Zdaniem Naczelnego Sądu Administracyjnego Bank nie przedstawił dowodu na prawidłowe doręczenie skarżącej dokumentów, w treści których była informacja o okolicznościach wskazanych w art. 105a ust. 3 Prawa bankowego. Żaden z dowodów przedstawionych przez Bank (wydruk stron z systemu bankowego o rejestracji wysłania zawiadomienia, oświadczenia banku) nie potwierdził by skarżąca otrzymała informację o zamiarze przetwarzana jej danych osobowych. Informacje o dokonaniu wysyłki takiej wiadomości nie mogą stanowić o uczynieniu zadość obowiązkowi z art. 105a ust. 3 Prawa bankowego. W celu weryfikacji dopuszczalności przetwarzania danych osobowych na podstawie art. 105a ust. 3 Prawa bankowego, Bank powinien przedstawić organowi stosowne dowody na potwierdzenie rzeczywistego wykonania wymienionego w tym przepisie obowiązku poinformowania i w tym zakresie Prezes UODO nie mógł opierać się wyłącznie na oświadczeniu banku. Racjonalna ocena dowodów przedłożonych przez strony niniejszego postępowania dokonana w myśl zasad wyrażonych w art. 75 § 1 k.p.a. i art. 80 k.p.a. nie może prowadzić do wniosku, że udowodniono okoliczność poinformowania skarżącej o zamiarze przetwarzania jej danych osobowych w sposób określony w art. 105a ust. 3 Prawa bankowego. Analiza przedłożonych przez strony dowodów w sprawie prowadzi do wniosku, że okoliczność poinformowania skarżącej stanowiła wyłącznie domniemanie wywiedzione z okoliczności skierowania do niej listem poleconym korespondencji zawierającej informacje, które w okolicznościach niniejszej sprawy, w tym w obliczu oświadczenia skarżącej, należy uznać za obalone.
Uregulowana w art. 7 k.p.a. zasada prawdy obiektywnej nakazuje organowi prowadzącemu postępowanie zebranie z urzędu lub na wniosek strony oraz rozpatrzenie całego materiału dowodowego w sposób pozwalający na ustalenie stanu faktycznego sprawy zgodnego z rzeczywistością. Oczywiście chodzi tu o wyjaśnienie okoliczności faktycznych w takim stopniu, w jakim wymaga tego rozstrzygnięcie sprawy. Zasada ta jest podstawową regułą każdej nowoczesnej regulacji procesowej. Należy pamiętać, że prawidłowe ustalenie stanu faktycznego sprawy stanowi warunek konieczny – chociaż jeszcze niewystarczający – prawidłowego jej rozstrzygnięcia. Zawsze bowiem niewyjaśnienie lub niedostateczne wyjaśnienie stanu faktycznego sprawy będzie prowadziło do wydania wadliwej decyzji. W teorii prawa mówi się wtedy o subsumcji faktu uznanego za udowodniony pod konkretną normę administracyjnego prawa materialnego – por. J. Wróblewski (w:) W. Lang, J. Wróblewski, S. Zawadzki, Teoria państwa i prawa, Warszawa 1980, s. 431. Należy podkreślić, iż od 11 kwietnia 2011 r. zmieniono brzmienie art. 7 k.p.a., statuującego tę zasadę, przez wyraźne podkreślenie, że zebranie materiału dowodowego sprawy następuje zarówno z urzędu, jak i na wniosek strony. W ten sposób wyraźnie zwrócono uwagę na obowiązek strony współdziałania z organem w celu ustalenia stanu faktycznego sprawy zgodnego z rzeczywistością. Zmiana ta niesie ze sobą ten skutek, że na zasadzie prawdy obiektywnej nie można już dalej opierać twierdzenia, iż jest ona źródłem ciężaru dowodowego spoczywającego na organie prowadzącym postępowanie. Nie ma już bowiem podstawy prawnej uzasadniającej taki wniosek. Natomiast ta zmiana daje podstawę do zajęcia stanowiska, że w sytuacji gdy dany środek dowodowy niezbędny do ustalenia konkretnej okoliczności faktycznej, z istnienia której strona wywodzi dla siebie skutki prawne, nie znajduje się w posiadaniu organu, to wynikający z zasady prawdy obiektywnej obowiązek organu prowadzącego postępowanie ogranicza się do konieczności poinformowania strony o przedstawienia posiadanych dowodów.
Zgodnie z art. 75 § 1 k.p.a. jako dowód należy dopuścić wszystko, co może przyczynić się do wyjaśnienia sprawy, a nie jest sprzeczne z prawem. W szczególności dowodem mogą być dokumenty, zeznania świadków, opinie biegłych oraz oględziny. Natomiast z art. 77 § 1 k.p.a. wynika obowiązek zebrania i rozpatrzenia pełnego materiału dowodowego w sprawie, którego realizacja ma miejsce na dwóch płaszczyznach. Po pierwsze, polega on na przeprowadzeniu postępowania dowodowego co do wszystkich okoliczności stanowiących fakty prawotwórcze, a więc takich, z którymi w świetle przepisów obowiązującego prawa związane są określone skutki prawne. Po drugie, zebrany materiał dowodowy powinien znaleźć pełne odzwierciedlenie w uzasadnieniu faktycznym decyzji.
Jeśli zaś chodzi o obowiązek dokonania oceny na podstawie całokształtu materiału dowodowego, czy dana okoliczność została udowodniona (art. 80 k.p.a.), to nie można twierdzić, iż jakaś okoliczność została udowodniona, jeżeli w materiale dowodowym, utrwalonym w aktach sprawy, brak jest dowodu na jej potwierdzenie. Jeżeli zobowiązany podmiot wykazuje jedynie domniemanie realizacji nałożonego na niego ustawowo obowiązku, a jednocześnie w materiale dowodowym zawarte jest zaprzeczenie wykonania tego obowiązku (które dezawuuje skutek wynikający z tej okoliczności), to oznacza, że nie ziściła się przesłanka wynikająca z prawa materialnego umożliwiająca w konsekwencji zastosowanie tej normy materialnoprawnej. Zdaniem Naczelnego Sądu Administracyjnego, z wszystkich tych obowiązków wywiązał się organ administracji orzekający w niniejszej sprawie i zarzuty Sądu I instancji w tym zakresie są nieuzasadnione. W konsekwencji w pełni został także zrealizowany przez organ obowiązek wynikający z art. 107 § 3 k.p.a.
Chybione jest stanowisko Sądu I instancji powołującego się na przepisy ustawy Prawo pocztowe oraz Regulamin świadczenia usług pocztowych i uznającego, że skarżący Bank dysponuje dowodem na przekazanie skarżącej informacji o zamiarze przetwarzania danych osobowych bez jej zgody. Zgodnie z art. 17 ustawy z 23 listopada 2012 r. Prawo pocztowe (Dz. U. z 2022 r. poz. 896) potwierdzenie nadania przesyłki rejestrowanej lub przekazu pocztowego wydane przez placówkę pocztową operatora wyznaczonego ma moc dokumentu urzędowego, co oznacza, że stwierdza on zaistnienie opisanych w nim faktów i korzysta z domniemania prawdziwości, a jego ewentualne obalenie musi być oparte na przekonywujących dowodach. Podkreślić jednak należy, że Prezes UODO nie kwestionuje faktu dokonania nadania przesyłki listem poleconym do skarżącej. Jednak traktowanie tego faktu jako dowodu poinformowania (dostarczenia informacji) skarżącej zgodnie z art. 105a ust. 3 Prawa bankowego nie ma uzasadnienia w brzmieniu art. 17 ustawy Prawo pocztowe. Dodatkowo należy zauważyć, że ciężar udowodnienia rzeczywistego spełnienia przesłanek określonych w art. 105a ust. 3 Prawa bankowego, ciąży na Banku jako administratorze danych. Zatem w świetle konieczności wykazania istnienia prawnie uzasadnionego interesu po stronie administratora danych, wszelkie dowody w w.w. zakresie nie mogą opierać się na domniemaniach.
Tym samym, w ocenie Naczelnego Sądu Administracyjnego, prawidłowe jest stanowisko organu, który doszedł do przekonania, że Bank nie wykazał, iż dopełnił wymaganego w art. 105a ust. 3 ustawy Prawo bankowe obowiązku poinformowania skarżącej o zamiarze przetwarzania dotyczących jej informacji stanowiących tajemnicę bankową bez jej zgody. W aktach administracyjnych brak jest bowiem dowodów wskazujących na fakt, że Bank poinformował swoją klientkę o zamiarze przetwarzania powyższych danych osobowych, chociaż niewątpliwie Bank podjął działania zmierzające do zrealizowania tego obowiązku (wysłał pismo ze stosowną informacją). Prezes UODO zastosował się do zasad ogólnych postępowania administracyjnego: zasady praworządności, zasady prawdy obiektywnej i pogłębiania zaufania do władzy publicznej oraz nie przekroczył granic swobodnej oceny dowodów i prawidłowo przyjął, że potwierdzenie nadania pisma listem poleconym nie stanowi dowodu poinformowania skarżącej o zamiarze przetwarzania jej danych osobowych bez jej zgody. Zatem organ nie dopuścił się zarzucanego w skardze Banku naruszenia art. 6, art. 7, art. 8 § 1 i 2, art. 77 § 1 i art. 107 § 3 k.p.a.
W tym stanie rzeczy, stwierdzając, że skarga kasacyjna ma usprawiedliwione podstawy, a istota sprawy jest dostatecznie wyjaśniona, Naczelny Sąd Administracyjny uchylił zaskarżony wyrok i rozpoznał skargę w oparciu o art. 188 p.p.s.a.
Wyżej wykazano, że zarzuty skargi okazały się niezasadne a zaskarżona decyzja jest zgodna z prawem, w rezultacie oddalono skargę Banku na podstawie art. 151 p.p.s.a.
O kosztach postępowania kasacyjnego od [...] Bank SA z siedzibą [...] na rzecz Prezesa Urzędu Ochrony Danych osobowych orzeczono na podstawie art. 203 pkt 2 w zw. z art. 205 § 2 p.p.s.a.