III OSK 2833/22

III OSK 2833/22 - Wyrok NSA
Data orzeczenia
2024-12-17
orzeczenie prawomocne
Data wpływu
2022-12-13
Sąd
Naczelny Sąd Administracyjny
Sędziowie
Małgorzata Masternak - Kubiak /przewodniczący/
Mariusz Kotulski
Zbigniew Ślusarczyk /sprawozdawca/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Sygn. powiązane
II SA/Wa 858/22 - Wyrok WSA w Warszawie z 2022-09-20
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Uchylono zaskarżony wyrok i oddalono skargę
Powołane przepisy
Dz.U. 2021 poz 2439
art. 105a ust. 3
Ustawa z dnia 29 sierpnia 1997 r. Prawo bankowe (t.j.)
Dz.U.UE.L 2016 nr 119 poz 1 art. 58 ust. 2 lit. b i c
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z  przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE
Sentencja
Naczelny Sąd Administracyjny w składzie: Przewodniczący: sędzia NSA Małgorzata Masternak-Kubiak sędzia NSA Zbigniew Ślusarczyk (spr.) sędzia del. WSA Mariusz Kotulski Protokolant asystent sędziego Dominika Daśko po rozpoznaniu w dniu 17 grudnia 2024 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej Prezesa Urzędu Ochrony Danych Osobowych od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 20 września 2022 r. sygn. akt II SA/Wa 858/22 w sprawie ze skargi [...] Bank S.A. [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 15 marca 2022 r. nr DS.523.6082.2020.FT.MG w przedmiocie przetwarzania danych osobowych 1. uchyla zaskarżony wyrok i oddala skargę, 2. zasądza od [...] Bank S.A. z siedzibą we Wrocławiu na rzecz Prezesa Urzędu Ochrony Osobowych kwotę 460 (czterysta sześćdziesiąt) złotych tytułem zwrotu kosztów postępowania kasacyjnego.
Uzasadnienie
Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z 20 września
2022 r., sygn. akt II SA/Wa 858/22, wydanym po rozpoznaniu sprawy ze skargi [...] Bank S.A. [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z 15 marca 2022 r. nr DS.523.6082.2020.FT.MG w przedmiocie przetwarzania danych osobowych, na podstawie art. 145 § 1 pkt 1 lit. a i c oraz art. 200 i art. 205 § 2 ustawy z 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2022 r., poz. 329 ze zm.), dalej "p.p.s.a.", w pkt. 1. sentencji - wyroku uchylił zaskarżoną decyzję w części obejmującej punkty 1 i 2, a w pkt. 2. sentencji wyroku - zasądził od Prezesa Urzędu Ochrony Danych Osobowych na rzecz [...] Bank S.A. [...] zwrot kosztów postępowania.
W uzasadnieniu ww. wyroku Sąd I instancji podał, że Prezes Urzędu Ochrony Danych Osobowych (zwany dalej Prezesem UODO) decyzją z 15 marca 2022 r. wydaną na podstawie art. 104 § 1, art. 105 § 1 k.p.a., w zw. z art. 7 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781), oraz na podstawie art. 6 ust. 1 i art. 58 ust. 2 lit. b) i lit. c) Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 4 maja 2016, str. 1 oraz Dz. Urz. UE L 127 z 23 maja 2018 str. 2) – zwanego dalej RODO, w zw. z art. 105a ust. 3 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz. U. z 2021 r. poz. 2439), po przeprowadzeniu postępowania administracyjnego w sprawie skargi K. R. na nieprawidłowości w procesie przetwarzania jej danych osobowych przez [...] Bank S.A. [...], polegające na udostępnieniu danych osobowych w bazie Biura Informacji Kredytowej S.A. z siedzibą w Warszawie i w bazie Bankowy Rejestr prowadzonej przez Związek Banków Polskich z siedzibą w Warszawie, bez podstawy prawnej:
1. nakazał [...] Bank S.A., zaprzestanie przetwarzania na podstawie art. 105a ust. 3 ustawy Prawo bankowe danych osobowych K. R. w zakresie danych dotyczących umowy o przyznanie limitu kredytowego i wydanie karty [...] nr [...] z [...] grudnia 2013 r., przetwarzanych w bazie Biura Informacji Kredytowej S.A. w celu oceny zdolności kredytowej i analizy ryzyka kredytowego;
2. udzielił [...] Bank S.A. upomnienia za naruszenie art. 6 ust. 1 RODO polegającego na przetwarzaniu danych osobowych K. R. w zakresie danych dotyczących umowy o kredyt gotówkowy nr [...] z [...] sierpnia 2013 r. w systemie Biura Informacji Kredytowej S.A. w celu oceny zdolności kredytowej i analizy ryzyka kredytowego w okresie od 19 marca 2019 r. do 7 czerwca 2021 r.;
3. w pozostałym zakresie umorzył postępowanie.
Jak stwierdził dalej WSA w Warszawie, ww. decyzja została wydana w następującym stanie faktycznym i prawnym: Do Prezesa UODO, wpłynęła skarga K. R. (zwanej również skarżącą) na nieprawidłowości w procesie przetwarzania jej danych osobowych przez [...] Bank S.A. [...] (zwany dalej Bankiem) polegające na udostępnieniu danych osobowych skarżącej w bazie Biura Informacji Kredytowej S.A. z siedzibą w Warszawie (zwanego dalej BIK) i w bazie Bankowy Rejestr prowadzonej przez Związek Banków Polskich z siedzibą w Warszawie (zwanego dalej ZBP) bez podstawy prawnej. W treści skargi skarżąca wskazała, że Bank nie spełnił wymagań uprawniających go do rozpoczęcia przetwarzania jej danych osobowych w bazie BIK w związku z wierzytelnością wynikającą z umowy o kredyt z [...] sierpnia 2013 r. oraz umową o przyznanie karty kredytowej z [...] grudnia 2013 r. zawartych przez skarżącą z Bankiem, ponieważ skarżąca 19 marca 2020 r. odwołała zgodę na przetwarzanie jej danych osobowych w BIK i Bankowym Rejestrze, zaś Bank nie spełnił łącznie wszystkich warunków z art. 105a ust. 3 ustawy Prawo bankowe, tzn. nigdy nie powiadomił skarżącej o zamiarze przetwarzania jej danych osobowych bez jej zgody w bazie BIK.
W piśmie z 13 stycznia 2021 r. Bank, w odpowiedzi na wezwanie Prezesa UODO wyjaśnił, że dane osobowe skarżącej zostały pozyskane w wyniku zawarcia umowy o kredyt gotówkowy nr [...] z [...] sierpnia 2013 r. (zwanej dalej umową 1) oraz umowy o przyznanie limitu kredytowego i wydanie karty [...] nr [...] z [...] grudnia 2013 r. (zwanej dalej umową 2). W związku z zawartymi umowami Bank pozyskał dane identyfikacyjne, dane adresowe, dane finansowe oraz dane kontaktowe skarżącej. Bank wskazał też, że w związku z zaległościami w spłacie rat kredytu, wysłał do skarżącej pismem z 27 czerwca 2014 r., wypowiedzenie umowy 1 wraz z informacją o zamiarze przetwarzania danych skarżącej na podstawie art. 105a ust. 3 Prawa bankowego. Natomiast w związku z zaległościami w spłacie rat kredytu wynikającymi z umowy 2 w dniu 21 czerwca
2014 r. Bank wysłał również pismo o wypowiedzeniu tej umowy i zamiarze przetwarzania danych skarżącej na podstawie art. 105a ust. 3 Prawa bankowego. Ostatecznie umowa 1 została spłacona 7 czerwca 2016 r., natomiast umowa 2 w dniu 22 sierpnia 2020 r. Dane osobowe skarżącej (dane identyfikacyjne, dane adresowe) zostały przekazane do BIK na podstawie art. 105 ust. 4 Prawa bankowego z chwilą zawarcia umów kredytowych. Jednocześnie Bank zaprzeczył, by przekazał dane osobowe skarżącej do ZBP.
Dodatkowo w piśmie z 22 marca 2021 r. Bank wyjaśnił, że przetwarzanie przez BIK danych dotyczących umów skarżącej w oparciu o art. 105a ust. 3 Prawa bankowego rozpoczęło się z chwilą wygaśnięcia zobowiązań skarżącej, tj. dla umowy 1 w dniu 7 czerwca 2016 r., natomiast dla umowy 2 zobowiązanie wygasło 22 sierpnia 2019 r. (a nie jak wcześniej podał błędnie w dniu 22 sierpnia 2020 r.) i od tego momentu dane są przetwarzane na podstawie art. 105a ust. 3 Prawa bankowego. Bank podał też, że zawarł z BIK umowę powierzenia, na podstawie której BIK przetwarza dane osobowe klientów Banku, przekazane przez Bank, na dowód czego przedstawił umowę z dnia 22 sierpnia 2016 r. w sprawie gromadzenia, przetwarzania i udostępniania informacji w bazie BIK.
BIK, w odpowiedzi na wezwanie Prezesa UODO, w pismach z 5 maja 2021 r. oraz z 7 października 2021 r. poinformował organ, że przetwarzał dane skarżącej przekazane przez Bank w zakresie umowy 1, wprowadzonej do zbioru danych BIK 30 września 2013 r. oraz umowy 2, wprowadzonej do zbioru danych BIK 27 stycznia 2014 r., na podstawie art. 105a ust. 4 i 5 w zw. z art. 105 ust. 4 Prawa bankowego w celu stosowania metod wewnętrznych oraz innych metod i modeli. BIK podniósł nadto, że Bank nie zwracał się o usunięcie danych osobowych skarżącej w zakresie ww. umów, a skarżąca nie zwracała się do BIK z wnioskiem o realizację jej praw z zakresu ochrony danych osobowych. BIK wyjaśnił również, że dane skarżącej będą przetwarzane przez okres 12 lat od dnia wygaśnięcia zobowiązania. Umowa 2 ma status rachunku odzyskanego i przetwarzana jest w celu oceny zdolności kredytowej i analizy ryzyka kredytowego na podstawie art. 105a ust. 3 w zw. z art. 105 ust. 4 ustawy Prawo bankowe.
W piśmie z 4 lutego 2021 r. ZBP wyjaśnił, że nie przetwarza w Systemie Bankowy Rejestr danych skarżącej.
Uzasadniając wydane rozstrzygnięcie Prezes UODO wskazał, że przepisem uprawniającym administratorów danych do przetwarzania zwykłych danych osób fizycznych jest art. 6 ust. 1 RODO, zgodnie z którym, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy spełniona jest jedna z przesłanek wskazanych w tym przepisie, a katalog przesłanek wymienionych w ww. przepisie, jest zamknięty, przy czym każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny. Co do zasady podstawą prawną przetwarzania danych osobowych klientów przez Bank w BIK może być obecnie art. 6 ust. 1 lit. f) RODO, o ile przetwarzanie to jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora. Prezes UODO zaznaczył jednocześnie, że przetwarzanie danych osobowych klientów Banku przez BIK odbywa się na podstawie zawartej z Bankiem umowy z 22 sierpnia 2016 r. w sprawie gromadzenia, przetwarzania i udostępniania informacji w bazie BIK.
Prezes UODO podniósł też, że BIK jest instytucją utworzoną na podstawie
art. 105 ust. 4 Prawa bankowego, natomiast przetwarzanie danych uregulowane jest w art. 105a ust. 1 i ust. 3 Prawa bankowego.
Zdaniem organu istotnym w niniejszej sprawie jest to, że Bank nie spełnił wobec skarżącej obowiązku określonego w art. 105a ust. 3 Prawa bankowego, tj. nie poinformował jej skutecznie o zamiarze przetwarzania dotyczących jej informacji stanowiących tajemnicę bankową, bez jej zgody po wygaśnięciu zobowiązania wynikającego z przedmiotowych umów (Bank nie przedstawił dowodu na prawidłowe doręczenie skarżącej dokumentu, w treści którego zawarta była informacja o okolicznościach wskazanych w art. 105a ust. 3 Prawa bankowego). Prezes UODO stwierdził nadto, że sam fakt, że skarżąca nie wykonała zobowiązania lub spóźniła się z jego wykonaniem co najmniej 60 dni, nie upoważnia Banku do przetwarzania jej danych na warunkach określonych w art. 105a ust. 3 Prawa bankowego. Moment, od którego należy liczyć sześćdziesięciodniowy termin, w którym konsument dopuszcza się zwłoki w wykonaniu zobowiązania, to termin wykonania zobowiązania, dopiero po upływie 60 dni zaczyna biec termin 30 dni. Termin 30 dni biegnie od momentu, w którym konsument zostanie skutecznie poinformowany przez instytucję o zamiarze przetwarzania. Ostatecznie to upływ 30 dni od momentu poinformowania stanowi wypełnienie przesłanek art. 105a ust. 3 Prawa bankowego. Z powyższego wynika zatem, że Bank przetwarzając dane skarżącej na warunkach określonych w ww. przepisie, musi wykazać, że skarżąca została poinformowana o zamiarze przetwarzania ich bez jej zgody. Jednak samo oświadczenie o wysłaniu korespondencji i przedstawienie kopii listy wysyłkowej nie stanowi dowodu na jej dostarczenie lub poinformowanie o jej treści adresata. Organ zaznaczył przy tym, że przepisy powszechnie obowiązujące nie formułują obowiązku wysłania informacji, o której mowa w art. 105a ust. 3 Prawa bankowego w szczególnej formie. To do podmiotu informującego należy zatem wybór formy przekazania odbiorcy komunikatu, o zamiarze przetwarzania danych osobowych bez jego zgody. Jednocześnie to podmiot informujący wywodzi z powyższego skutki prawne, zatem to on musi wykazać, że poinformował skarżącą o zamiarze przetwarzania danych stanowiących tajemnicę bankową, bez jej zgody na podstawie art. 105a ust. 3 Prawa bankowego, a powyższe stanowisko znajduje oparcie w wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z 15 marca 2017 r. sygn. akt II SA/Wa 1695/16.
W odniesieniu natomiast do danych związanych z umową 1 Prezes UODO wskazał, że aktualnie proces ich przetwarzania odbywa się na podstawie art. 105a ust. 4 Prawa bankowego. Z oświadczenia Banku wynika bowiem, że zobowiązanie wynikające z ww. umowy wygasło 7 czerwca 2016 r. i od tego momentu dane z nią związane były przetwarzane w BIK na podstawie art. 105a ust. 3 Prawa bankowego. Z wyjaśnień BIK wynika z kolei, że aktualnie dane nie są już przetwarzane w celu oceny zdolności kredytowej i ryzyka kredytowego, lecz do celów stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013. Dane dotyczące ww. umowy aktualnie przetwarzane są zatem na podstawie art. 105a ust. 4 Prawa bankowego. Prezes UODO podniósł zatem, że aktualny proces przetwarzania danych osobowych związanych z umową 1 nie jest uzależniony od dodatkowych wymogów, takich jak w przypadku procesu odbywającego się na podstawie art. 105a ust. 3 Prawa bankowego, nie jest ponadto uzależniony od zgody skarżącej, a tym samym jego kontynuowanie znajduje uzasadnienie w przesłance z art. 6 ust. 1 lit. f) RODO.
Organ dostrzegł jednakże, że w okresie od 19 marca 2019 r., tj. od momentu, w którym K. R. wycofała zgodę na przetwarzanie jej danych przez Bank po wygaśnięciu zobowiązania do 7 czerwca 2021 r., w którym to dniu upłynął termin przetwarzania wynikający z art. 105a ust. 3 w zw. z art. 105a ust. 5 Prawa bankowego, dane osobowe skarżącej związane z umową 1, były przetwarzane w celu oceny zdolności kredytowej i analizy ryzyka kredytowego nieprawidłowo, w sposób sprzeczny z wymogami przewidzianymi w art. 105a ust. 3 Prawa bankowego. W związku ze stwierdzonymi nieprawidłowościami, korzystając z uprawnienia, o którym mowa w art. 58 ust. 2 lit. b RODO, organ udzielił Bankowi upomnienia.
Prezes UODO stwierdził też, że w toku prowadzonego postępowania wyjaśniającego ustalono, że Bank nie przekazał danych osobowych K. R. do ZBP. Dane osobowe skarżącej nie były zatem przetwarzane w systemie Bankowy Rejestr, prowadzonym przez ZBP. Tym samym kwestionowany przez skarżącą proces przetwarzania danych osobowych w tym obszarze sprawy nie istnieje, stąd też postępowanie w tej kwestii należało umorzyć, uznając je za bezprzedmiotowe.
Skargę na decyzję Prezesa UODO w zakresie punktów 1 i 2 wniósł [...] Bank S.A., wnosząc o jej uchylenie w zaskarżonej części.
WSA w Warszawie uznał, że zarzuty skargi są uzasadnione, a Prezes UODO dokonał nieprawidłowej wykładni art. 105a ust. 3 Prawa bankowego, naruszył powołane w skardze przepisy postępowania i w konsekwencji dopuścił się naruszenia art. 58 ust. 2 lit. b i c RODO. Uzasadniając zasadność skargi, Sąd I instancji wyjaśnił, że podstawę materialnoprawną decyzji w kwestionowanej części stanowił art. 6 ust. 1 i art. 58 ust. 2 lit. b, c RODO w związku z art. 105a ust. 3 Prawa bankowego. Przepis art. 6 ust. 1 RODO stanowi, że przetwarzanie danych osobowych jest zgodne z prawem wyłącznie w przypadkach, gdy – i w takim zakresie, w jakim – spełniony jest co najmniej jeden z warunków wymienionych w tym przepisie. Natomiast, przepis art. 105a ust. 1 Prawa bankowego stanowi, że przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów, instytucje pożyczkowe oraz podmioty, o których mowa wart. 59d ustawy z 12 maja 2011 r. o kredycie konsumenckim, a także instytucje utworzone na podstawie art. 105 ust. 4, informacji stanowiących tajemnicę bankową i informacji udostępnionych przez instytucje pożyczkowe oraz podmioty, o których mowa
w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem art. 104, art. 105 i art. 106 - 106d ustawy w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Zgodnie z kolei z art. 105a ust. 3 Prawa bankowego banki, instytucje oraz podmioty, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową i informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa wart. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011r. o kredycie konsumenckim, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank, inną instytucję ustawowo upoważnioną do udzielania kredytów, instytucję pożyczkową albo podmiot, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, o zamiarze przetwarzania dotyczących jej tych informacji, bez jej zgody.
Sąd przypomniał, że stosując uprawnienia naprawcze z art. 58 ust. 2 lit. b i c RODO, tj. nakazując Bankowi zaprzestanie przetwarzania danych osobowych K. R. w zakresie danych dotyczących umowy o przyznanie limitu kredytowego i wydanie karty [...] nr [...] z [...] grudnia 2013 r., przetwarzanych w bazie BIK w celu oceny zdolności kredytowej i analizy ryzyka kredytowego oraz udzielając Bankowi upomnienia za naruszenie art. 6 ust. 1 RODO polegającego na przetwarzaniu danych osobowych K. R. w zakresie danych dotyczących umowy o kredyt gotówkowy nr [...] z dnia [...] sierpnia 2013 r. w systemie BIK w celu oceny zdolności kredytowej i analizy ryzyka kredytowego w okresie od 9 marca 2019 r. do 7 czerwca 2021 r, Prezes UODO stwierdził, że Bank nie spełnił jednej z przesłanek wymienionych w art. 105a ust. 3 Prawa bankowego, tj. nie poinformował K. R. o zamiarze przetwarzania dotyczących jej danych, bez jej zgody. WSA w Warszawie nie zgodził się z tym stanowiskiem organu.
W oparciu o akta sprawy Sąd ustalił, że na potwierdzenie spełnienia powyższego obowiązku Bank przedstawił kopie oświadczeń z 21 czerwca
2014 r. oraz z 27 czerwca 2014 r. skierowanych do K. R. o wypowiedzeniu ww. umów, na podany przez nią adres korespondencyjny, w których to oświadczeniach zawarł m.in. informację o zamiarze korzystania z prawa do przetwarzania danych stanowiących tajemnicę bankową przez okres 5 lat po wygaśnięciu zobowiązania, bez zgody osoby, której te dane dotyczą oraz o możliwości przetwarzania tych informacji przez BIK S.A. i inne instytucje wskazane w art. 105a ust. 1 Prawa bankowego przez okres 5 lat po wygaśnięciu zobowiązania, bez zgody osoby, której te informacje dotyczą (k. 18-19 akt admin.). Na oświadczeniach tych widniej potwierdzenie nadania w CP PP Warszawa W101 (pisma z dnia 21 czerwca 2014 r. w dniu 23 czerwca 2014 r. oraz pisma z 27 czerwca 2014 r. w dniu 30 czerwca 2014 r. Ponadto Bank przedstawił kopię wydruku z pocztowej książki nadawczej ( k. 43 akt adm.).
Sąd przywołał również treść art. 3 pkt 8 ustawy z dnia 23 listopada 2012 r. - Prawo pocztowe (Dz.U. z 2020 r., poz. 1041 ze zm.), w myśl którego to przepisu przez "nadanie" rozumie się polecenie doręczenia przesyłki pocztowej lub kwoty pieniężnej określonej w przekazie pocztowym oraz przekazanie druku bezadresowego zgodnie z umową o świadczenie usługi pocztowej. Zawarcie umowy o świadczenie usługi pocztowej następuje w szczególności przez przyjęcie przez operatora pocztowego przesyłki pocztowej do przemieszczenia i doręczenia (art. 15 ust. 1 pkt 1). Według natomiast art. 2 ust. 1 pkt 22 ww. ustawy, przesyłka polecona to przesyłka listowa będąca przesyłką rejestrowaną, przemieszczana i doręczana w sposób zabezpieczający ją przed utratą, ubytkiem zawartości lub uszkodzeniem.
W myśl zaś art. 17 powołanej ustawy, potwierdzenie nadania przesyłki rejestrowanej lub przekazu pocztowego wydane przez placówkę pocztową operatora wyznaczonego ma moc dokumentu urzędowego. Przepis § 27 rozporządzenia Ministra Administracji i Cyfryzacji z dnia 29 kwietnia 2013 r. w sprawie warunków wykonywania usług powszechnych przez operatora wyznaczonego (Dz. U. z 2020 r. poz. 1026) stanowi natomiast, że w przypadku przesyłek rejestrowanych, umowę (o świadczenie usług pocztowych) uważa się za zawartą z chwilą wydania nadawcy przez operatora wyznaczonego dowodu przyjęcia przesyłki rejestrowanej.
Z powyższych ustaleń i powołanych przepisów Sąd wywiódł, że skoro przesyłki polecone zawierające ww. oświadczenia Banku z 21 czerwca 2014 r. oraz
z 27 czerwca 2014 r. zostały skierowane do K. R.na prawidłowy adres korespondencyjny i - jak wielokrotnie podkreślał Bank w toku postępowania - nie zostały zwrócone do nadawcy, to należy uznać, że dotarły do adresata, a w konsekwencji, że Bank spełnił obowiązek "poinformowania" K. R. o zamiarze przetwarzania dotyczących jej danych, bez jej zgody - zgodnie z art. 105a ust. 3 Prawa bankowego.
Według WSA w Warszawie, z akt sprawy nie wynika z kolei, aby K.R. wykazała okoliczności, które mogłyby obalić domniemanie doręczenia jej ww. listów poleconych, a mianowicie, że nie otrzymała tychże listów, nie poinformowała Banku o zmianie adresu lub - chociażby - że zgłosiła reklamację w urzędzie pocztowym. Tym samym Sąd I instancji wyprowadził wniosek, że skoro [...] Bank S.A. dysponuje dowodami nadania spornej korespondencji, a jej adresat w toku postępowania administracyjnego nie wykazał okoliczności, które mogłyby obalić domniemanie doręczenia listów poleconych, to nie ma podstaw do przyjęcia, że Bank nie dopełnił obowiązku "poinformowania" o którym mowa w art. 105a ust.3 Prawa bankowego.
Sąd I instancji nie podzielił stanowiska wyrażonego w uzasadnieniu zaskarżonej decyzji, wedle którego przesłanka "poinformowania" o przetwarzaniu przez Bank danych osobowych K. R. zgodnie
z art. 105a ust. 3 Prawa bankowego zostałaby spełniona w przypadku przedstawienia przez Bank dowodu na prawidłowe doręczenie skarżącej dokumentu, w treści którego zawarta była informacja o okolicznościach wskazanych w tym przepisie, zaś samo oświadczenie o wysłaniu korespondencji i przedstawienie kopii wydruku z pocztowej książki nadawczej nie stanowi dowodu na jej dostarczenie lub poinformowanie o jej treści adresata.
W końcowej części uzasadnienia dokonał podsumowania swoich rozważań
i jeszcze raz podkreślił, że dla spełnienia obowiązku informacyjnego z art. 105a ust. 3 Prawa bankowego wystarczające jest wysłanie wymaganej korespondencji listem poleconym i dysponowanie dowodem jego nadania, co stanowi podstawę domniemania, że przesłanka została doręczona adresatowi. Takie rozumienie przesłanki "poinformowania", o którym mowa w ww. przepisie, wbrew stanowisku organu, znajduje także poparcie w treści art. 14 ust. 1 pkt 3 ustawy z dnia 9 kwietnia 2010 r. o udostępnianiu informacji gospodarczych i wymianie danych gospodarczych (Dz. U. z 2020 r., poz. 389 ze zm.), zgodnie z którym, wierzyciel może przekazać do biura (informacji gospodarczej) informacje gospodarcze o zobowiązaniu dłużnika będącego konsumentem wyłącznie wówczas, gdy: upłynął co najmniej miesiąc od wysłania przez wierzyciela listem poleconym albo doręczenia dłużnikowi będącemu konsumentem do rąk własnych, na adres do doręczeń wskazany przez dłużnika będącego konsumentem, a jeżeli nie wskazał takiego adresu - na adres miejsca zamieszkania albo na adres do doręczeń elektronicznych wpisany do bazy adresów elektronicznych, wezwania do zapłaty, zawierającego ostrzeżenie o zamiarze przekazania danych do biura, z podaniem firmy i adresu siedziby tego biura. W świetle ww. przepisu przesłanka przekazania informacji (a więc poinformowania) o zobowiązaniu dłużnika jest spełniona w przypadku upływu miesiąca od wysłania przez wierzyciela listem poleconym wezwania do zapłaty. W ten sam sposób należy, w ocenie Sądu, wykładać art. 105a ust. 3 Prawa bankowego przyjmując, że termin "30 dni od poinformowania" przez bank danej osoby o zamiarze przetwarzania jej danych osobowych, bez jej zgody, biegnie od daty wysłania listem poleconym stosownego oświadczenia banku w tym przedmiocie.
Odnosząc się z kolei do argumentacji organu, że ostatecznie to upływ 30 dni od momentu poinformowania stanowi wypełnienie przesłanek z art. 105a ust. 3 Prawa bankowego należy zwrócić uwagę, że w stanie faktycznym niniejszej sprawy, jak wynika z wyjaśnień Banku z dnia 22 marca 2021 r. (k- 42 akt adm.), przetwarzanie przez Bank danych dotyczących umów kredytowych K.R. w oparciu o art. 105a ust. 3 Prawa bankowego rozpoczęło się dopiero z chwilą wygaśnięcia zobowiązań wynikających z tych umów, a więc w odniesieniu do umowy o kredyt gotówkowy nr [...] w dniu [...] czerwca 2016 r., a w odniesieniu do umowy o przyznanie limitu kredytowego i wydanie karty [...] nr [...] w dniu 22 sierpnia 2019 r. Natomiast Bank przesłał K. R. informacje o zamiarze przetwarzania jej danych osobowych w sposób przewidziany w tym przepisie listami poleconymi w czerwcu 2014 r.
Skargę kasacyjną od powyższego wyroku wniósł Prezes UODO, reprezentowany przez radcę prawnego. Zaskarżając wyrok WSA w Warszawie
w całości, wniósł na podstawie art. 188 p.p.s.a o uchylenie w całości zaskarżonego wyroku i oddalenie skargi [...] Bank S.A., ewentualnie, w oparciu o przepis art. 185 § 1 p.p.s.a., wniósł o uchylenie w całości zaskarżonego wyroku i przekazanie sprawy do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie. Wystąpił także o zasądzenie zwrotu kosztów postępowania, w tym kosztów zastępstwa procesowego, według norm przepisanych.
Zaskarżonemu wyrokowi zarzucił naruszenie przepisu prawa materialnego, tj. art. 105a ust. 3 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (t.j. Dz.U. z 2021 r. poz. 2439 - zwanej dalej ustawą p.b.) przez jego błędną wykładnię polegającą na przyjęciu, że wykonanie obowiązku informacyjnego, o którym mowa w tym przepisie, nie musi polegać na skutecznym doręczeniu klientowi banku informacji o zamiarze przetwarzania jego danych osobowych bez jego zgody, a wystarczające jest rzeczywiste umożliwienie klientowi banku zaznajomienia się ze wspomnianą informacją poprzez jej wysłanie drogą pocztową i wykazanie tego stosownym wydrukiem z książki nadawczej wobec domniemania doręczenia, gdy tymczasem prawidłowa wykładnia tego przepisu prowadzi do wniosku, że "poinformowanie" w rozumieniu tego przepisu oznacza skuteczne doręczenie klientowi banku informacji o zamiarze przetwarzania jego danych osobowych bez jego zgody, co w konsekwencji doprowadziło do uchylenia zaskarżonej decyzji w zakresie punktu 1.
W uzasadnieniu skargi kasacyjnej jej autor podniósł m.in., że żaden przepis ustawy Prawo bankowe nie wymaga, aby obowiązek informacyjny, o którym mowa w art. 105a ust. 3 tej ustawy, był realizowany w szczególnej formie. Nie musi być to przesyłka polecona, gdyż forma spełnienia tego obowiązku jest całkowicie dowolna, byleby tylko klient banku został poinformowany o zamiarze przetwarzania jego danych. W opinii Prezesa UODO skuteczne przekazanie informacji do adresata, wybór operatora pocztowego i sposobu przekazania informacji oraz ryzyko z tym związane obciążają Bank, gdyż to on wywodzi z tego faktu poinformowania skutki prawne. Ponadto skarżący kasacyjnie organ wskazał, że uznanie za datę poinformowania klienta banku daty wysłania pisma doprowadziłoby w konsekwencji do sytuacji, w której dłużnicy mieliby zróżnicowany realny czas na podjęcie ewentualnych działań (wykonania zobowiązania) w związku z otrzymanym powiadomieniem.
W odpowiedzi na skargę kasacyjną, [...] Bank S.A. [...], reprezentowany przez radcę prawnego, wniósł o jej oddalenie oraz o zasądzenie zwrotu kosztów postępowania, w tym kosztów zastępstwa prawnego według norm przepisanych. Uzasadniając złożony wniosek procesowy Bank w znaczącej części powtórzył stanowisko sądu z uzasadnienia zaskarżonego wyroku.
W piśmie z 26 listopada 2024 r., pełnomocnik Banku, na podstawie art. 161 § 1 pkt 3 p.p.s.a., wniosła o umorzenie postępowania z uwagi na jego bezprzedmiotowość w części dotyczącej przetwarzania danych uczestniczki w BIK, co do pkt I, decyzji, ponieważ bank nie przetwarza już jej danych.
Naczelny Sąd Administracyjny zważył, co następuje:
Przede wszystkim Naczelny Sąd Administracyjny stwierdza brak podstaw do umorzenia postępowania kasacyjnego, ponieważ Sądy administracyjne stosownie do treści art. 1 § 1 i 2 ustawy z 25 lipca 2002 r. Prawo o ustroju sądów administracyjnych oraz art. 3 § 1 i § 2 pkt 1 p.p.s.a. kontrolując zaskarżoną decyzję pod wglądem jej zgodności z prawem obowiązującym na dzień jej wydania i według stanu faktycznego z chwili jej wydania. Zatem wszelkie okoliczności w tym wskazywane przez skarżący Bank zaprzestanie przetwarzana danych uczestniczki po wydaniu zaskarżonej decyzji nie ma wpływu na ocenę jej zgodności z prawem. Okoliczność ta nie ma tym bardziej znaczenia, ponieważ zaszła po wydania zaskarżonego wyroku.
Stosownie do art. 183 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz. U. z 2024 r., poz. 935) zwanej dalej p.p.s.a., Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, biorąc pod rozwagę z urzędu jedynie nieważność postępowania. W rozpoznawanej sprawie nie zachodzi żadna z okoliczności skutkujących nieważnością postępowania, o jakich mowa w art. 183 § 2 p.p.s.a. i nie zachodzi żadna z przesłanek, o których mowa w art. 189 p.p.s.a., które Naczelny Sąd Administracyjny rozważa z urzędu dokonując kontroli zaskarżonego skargą kasacyjną wyroku. W tych okolicznościach w sprawie badaniu podlegały wyłącznie zarzuty podniesione w skardze kasacyjnej na uzasadnienie przytoczonej podstawy kasacyjnej.
Podstawy, na których można oprzeć skargę kasacyjną zostały określone w art. 174 p.p.s.a. Przepis art. 174 pkt 1 p.p.s.a. przewiduje dwie postacie naruszenia prawa materialnego, a mianowicie błędną jego wykładnię lub niewłaściwe zastosowanie. Przez błędną wykładnię należy rozumieć niewłaściwe zrekonstruowanie treści normy prawnej wynikającej z konkretnego przepisu, natomiast przez niewłaściwe zastosowanie, dokonanie wadliwej subsumcji przepisu do ustalonego stanu faktycznego. Również druga podstawa kasacyjna wymieniona w art. 174 pkt 2 p.p.s.a. – naruszenie przepisów postępowania – może przejawiać się w tych samych postaciach, co naruszenie prawa materialnego, przy czym w wypadku oparcia skargi kasacyjnej na tej podstawie skarżący powinien nadto wykazać istotny wpływ wytkniętego uchybienia na wynik sprawy.
W rozpatrywanej sprawie spór dotyczy wykładni pojęcia "poinformowania", o którym mowa w art. 105a ust. 3 ustawy Prawo bankowe. Zdaniem organu, sporządzenie i wysłanie pisma nie jest równoznaczne z udowodnieniem jego prawidłowego doręczenia, a w konsekwencji skutecznego poinformowania adresatki o zamiarze przetwarzania przez Bank danych stanowiących tajemnicę bankową, bez jej zgody. Samo bowiem oświadczenie o wysłaniu korespondencji i przedstawienie jej kopii, nie stanowi dowodu na jej doręczenie (poinformowanie o jej treści adresatki). Bank wywodził natomiast, że przesyłki polecone zawierające oświadczenie Banku zostały skierowane do klientki banku na prawidłowy adres (wskazany w umowie kredytowej) i nie zostały zwrócone do nadawcy. Jego zdaniem, skoro dysponuje dowodem nadania spornych przesyłek, to oznacza, że poinformował adresatkę o zamiarze przetwarzania danych w BIK, bez jej zgody, stosownie do art. 105a ust. 3 Prawa bankowego. Wojewódzki Sąd Administracyjny w Warszawie podzielił to zapatrywanie Banku.
Zdaniem Naczelnego Sądu Administracyjnego stanowisko Sądu I instancji nie jest prawidłowe, należy bowiem podzielić stanowisko zaprezentowane w wyroku Naczelnego Sądu Administracyjnego z 16 stycznia 2024 r., który to orzekał w zbliżonym stanie faktycznym, podzielając stanowisko Prezesa Urzędu Ochrony Danych Osobowych.
Podzielić należy zarzut naruszenia przepisów prawa materialnego, tj. art. 105a ust. 3 ustawy Prawo bankowe. Jak wynika z brzmienia art. 105a ust. 3 Prawa bankowego banki, instytucje oraz podmioty, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową i informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank, inną instytucję ustawowo upoważnioną do udzielania kredytów, instytucję pożyczkową albo podmiot, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, o zamiarze przetwarzania dotyczących jej tych informacji, bez jej zgody.
Istotną przesłanką umożliwiającą zastosowanie tego przepisu jest poinformowanie osoby, która nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem itd., przez ten bank lub inną instytucję wymienioną w tym przepisie o zamiarze przetwarzania dotyczących jej informacji, bez jej zgody.
Należy też podkreślić, że jeśli w okresie 30 dni od poinformowania o zamiarze przetwarzania informacji bez zgody, klient spłacił całą zaległość wobec banku, to po upływie 30. dnia bank i inna instytucja upoważniona do udzielania kredytów oraz instytucja z art. 105 ust. 4 Prawa bankowego nie mogą przetwarzać informacji bez jego zgody. Termin trzydziestodniowy został bowiem wprowadzony w celu zapewnienia konsumentowi ostatecznej możliwości wywiązania się z zobowiązań wobec banku i uniknięcia tym samym sankcji w postaci przetwarzania o nim informacji jako o niesolidnym dłużniku przez okres 5 lat.
Prawodawca nie zdefiniował użytego w art. 105 ust. 3 Prawa bankowego pojęcia "poinformować", ani nie stworzył w tym zakresie żadnych szczególnych wymogów formalnych co do sposobu i treści takiego poinformowania klienta lub byłego klienta banku. Prawidłowa wykładnia tego przepisu nie może jednak oznaczać całkowitej dowolności w tym zakresie. "Poinformować" to tyle co "udzielić informacji, wskazówek, objaśnić, powiadomić o czymś, podać do wiadomości" (Słownik języka polskiego, pod red. M. Szymczaka, Warszawa 1988, t. II, s.766), czyli spowodować, że ktoś zaczyna o czymś wiedzieć. W literaturze i orzecznictwie sądowoadministracyjnym zwraca się uwagę na materialny (ochronny), a nie formalny charakter tego przepisu. Dane osobowe są wartością chronioną ustawowo, a prawo od ich ochrony - jak przyjmuje się w piśmiennictwie – "stanowi swego rodzaju emanację ogólnego prawa gwarantowanego Konstytucją RP (art. 47). Spostrzeżenie to oparte jest na założeniu, że dane osobowe są niejako częścią życia prywatnego lub rodzinnego, względnie że posługiwanie się danymi dotyczącymi innej osoby wkracza w przyznaną jej kompetencję decydowania o swoim życiu osobistym" (zob. J. Barta, P. Fajgielski, R. Markiewicz - Komentarz do art. 1 ustawy o ochronie danych osobowych, System informacji prawnej LEX).
O ile podzielić należy stanowisko, iż przy analizie przepisu art. 105a ust. 3 Prawa bankowego, nie powinno się także abstrahować od istoty (celu) wprowadzenia instytucji przetwarzania danych osobowych dłużnika bez jego zgody na mocy tego przepisu ustawy (należy pamiętać, że Biuro Informacji Kredytowej ma za zadanie przetwarzać dane nierzetelnych dłużników, tj. osób, które pomimo zaciągnięcia określonego zobowiązania wobec banku, nie wywiązują się z umowy i nie spłacają swojego zobowiązania, chroniąc w ten sposób inne podmioty przed wyłudzaniem kolejnych pożyczek, a także pośrednio - rzetelnych kredytobiorców), to jednak pozycja dłużnika jest wobec podmiotu udzielającego pożyczki słabsza, a skutek w postaci przetwarzania danych osobowych bez jego zgody ma charakter publicznoprawny.
Powyższe oznacza, że wszelkie regulacje znoszące tę ochronę muszą być odczytywane i wykładane ściśle, z uwzględnieniem funkcji jakiej mają służyć. Przy takiej wykładni, sformułowanie użyte w przepisie art. 105a ust. 3 Prawa bankowego, dotyczące obowiązku informacyjnego banku, musi więc oznaczać, że nie jest to tylko obowiązek formalny. Jakkolwiek ustawodawca w żaden sposób nie ograniczył sposobów i form takiego powiadomienia, to w każdym wypadku sposób ten powinien umożliwić zweryfikowanie faktu poinformowania klienta banku o zamierzonym przetwarzaniu jego danych osobowych. Ustawodawca w żaden sposób nie ograniczył sposobów i form takiego poinformowania. Zauważyć jednak należy, że prawodawca użył kategorycznej formy "poinformować" (czasownik przechodni dokonany), a nie "informować". Określony w ustawie skutek ma nastąpić po upływie "30 dni od poinformowania tej osoby przez bank", a nie od np. wysłania jej informacji. Takie "poinformowanie" może nastąpić np. osobiście w placówce banku lub innego podmiotu wymienionego w art. 105a ust. 3 Prawa bankowego, przez przesyłkę doręczaną listownie lub przez pracownika banku albo innego uprawnionego podmiotu, a nawet nie można również wykluczyć możliwości skierowania takiej informacji drogą elektroniczną (o ile strony w zawartej umowie taką formę korespondencji przewidziały przez bank w tym zakresie z podmiotem zewnętrznym). O ile więc sposób i forma poinformowania klienta mogą być różnorodne, to jednak w każdym wypadku sposób ten powinien umożliwić zweryfikowanie faktu poinformowania klienta banku o zamierzonym przetwarzaniu jego danych osobowych. Wybór formy poinformowania adresata, operatora pocztowego i sposobu przekazania informacji oraz związany z tym obowiązek wykazania tego faktu obciążają bank lub inny zobowiązany podmiot, gdyż to one wywodzą z tego faktu skutki prawne. Taki sposób rozumienia obowiązku poinformowania zamieszczonego w art. 105a ust. 3 prawa bankowego wynika nie tylko z gwarancyjnego charakteru tego przepisu dla kredytobiorcy, ale także z dobrze pojętego interesu podmiotów udzielających kredytów, aby w sposób skuteczny zamieścić w BIK stosowną informację o nierzetelnym kredytobiorcy. Jak wskazano wyżej, wskazanie daty doręczenia przesyłki zawierającej stosowną informację umożliwia także prawidłowe wskazanie początku trzydziestodniowego terminu, o którym mowa w art. 105a ust. 3 Prawa bankowego (nie jest nim bowiem data nadania przesyłki na poczcie ani data uzależniona od domniemanego odebrania przesyłki).
Podsumowując stwierdzić należy, że Prezes UODO prawidłowo przyjął, że przepis art. 105a ust. 3 Prawa bankowego obligował Bank do wykazania spełnienia powyższego obowiązku.
W tym stanie rzeczy, stwierdzając, że skarga kasacyjna ma usprawiedliwioną podstawę, a istota sprawy jest dostatecznie wyjaśniona, Naczelny Sąd Administracyjny w oparciu o art. 188 p.p.s.a. uchylił zaskarżony wyrok i rozpoznał skargę.
Z zebranego materiału dowodowego zgromadzonego w sprawie wynika, że na potwierdzenie spełnienia obowiązku z art. 105a ust. 3 Prawa bankowego Bank przedstawił kopie oświadczeń z 21 czerwca 2014 r. oraz z 27 czerwca 2014 r. skierowanych do K. R. (dalej także jako skarżąca (w postępowaniu administracyjnym)) o wypowiedzeniu umów zawartych z Bankiem, na podany przez nią adres korespondencyjny, w których to oświadczeniach Bank zawarł m.in. informację o zamiarze korzystania z prawa do przetwarzania danych stanowiących tajemnicę bankową przez okres 5 lat po wygaśnięciu zobowiązania, bez zgody osoby, której te dane dotyczą oraz o możliwości przetwarzania tych informacji przez BIK S.A. i inne instytucje wskazane w art. 105a ust. 1 Prawa bankowego przez okres 5 lat po wygaśnięciu zobowiązania, bez zgody osoby, której te informacje dotyczą (k. 18-19 akt admin.). Na oświadczeniach tych widnieje potwierdzenie nadania w CP PP Warszawa W101 (pisma z 21 czerwca 2014 r. nadane 23 czerwca 2014 r. oraz pisma z 27 czerwca 2014 r. nadane 30 czerwca 2014 r. Ponadto Bank przedstawił kopię wydruku z pocztowej książki nadawczej (k. 43 akt adm.). Z powyższego wynika, że Bank - informacje o zamiarze przetwarzania danych osobowych w sposób przewidziany w tym przepisie, przesłał skarżącej listami poleconymi i dysponuje potwierdzeniami nadania tych przesyłek. Jednocześnie Bank nie przedstawił żadnego dowodu doręczenia tych przesyłek poleconych (wskazującego na datę doręczenia np. wydruk z strony śledzenia przesyłek rejestrowanych), przy jednoczesnym zaprzeczeniu przez skarżącą jakoby [...] Bank S.A. spełnił obowiązek poinformowania jej o zamiarze przetwarzania dotyczących jej informacji stanowiących tajemnicę bankową bez jej zgody, co było wymagane zgodnie z art. 105a ust. 3 ustawy - Prawo bankowe.
Konsekwencją przedstawionego wyżej stanowiska jest to, że za niezasadny uznać należy zarzut Banku podniesiony w skardze, naruszenia przepisów postępowania mającego istotny wpływ na wynik sprawy, tj.: art. 145 § 1 pkt 1 lit. c p.p.s.a. w zw. z art. 6, art. 7, art. 8 § 1 i 2, art. 77 § 1 k.p.a. i art. 80 k.p.a. oraz art. 107 § 3 k.p.a. Organ nie naruszając tych przepisów prawidłowo uznał, że okoliczność poinformowania skarżącej o zamiarze przetwarzania jej danych osobowych po wygaśnięciu zobowiązań wynikających z umów kredytowych nie została przez Bank udowodniona. Naczelny Sąd Administracyjny podziela pogląd organu, że Bank nie przedstawił dowodu na prawidłowe doręczenie skarżącej dokumentów, w treści których była informacja o okolicznościach wskazanych w art. 105a ust. 3 Prawa bankowego. Żaden z dowodów przedstawionych przez Bank (wydruk stron z systemu bankowego o rejestracji wysłania zawiadomienia, oświadczenia banku) nie potwierdził by skarżąca otrzymała informację o zamiarze przetwarzana jej danych osobowych. Informacje o dokonaniu wysyłki takiej wiadomości nie mogą stanowić o uczynieniu zadość obowiązkowi z art. 105a ust. 3 Prawa bankowego. W celu weryfikacji dopuszczalności przetwarzania danych osobowych na podstawie art. 105a ust. 3 Prawa bankowego, Bank powinien przedstawić organowi stosowne dowody na potwierdzenie rzeczywistego wykonania wymienionego w tym przepisie obowiązku poinformowania i w tym zakresie Prezes UODO nie mógł opierać się wyłącznie na oświadczeniu banku. Racjonalna ocena dowodów przedłożonych przez strony niniejszego postępowania dokonana w myśl zasad wyrażonych w art. 75 § 1 k.p.a. i art. 80 k.p.a. nie może prowadzić do wniosku, że udowodniono okoliczność poinformowania skarżącej o zamiarze przetwarzania jej danych osobowych w sposób określony w art. 105a ust. 3 Prawa bankowego. Analiza przedłożonych przez strony dowodów w sprawie prowadzi do wniosku, że okoliczność poinformowania skarżącej stanowiła wyłącznie domniemanie wywiedzione z okoliczności skierowania do niej listem poleconym korespondencji zawierającej informacje, które w okolicznościach niniejszej sprawy, w tym w obliczu oświadczenia skarżącej, należy uznać za obalone.
Uregulowana w art. 7 k.p.a. zasada prawdy obiektywnej nakazuje organowi prowadzącemu postępowanie zebranie z urzędu lub na wniosek strony oraz rozpatrzenie całego materiału dowodowego w sposób pozwalający na ustalenie stanu faktycznego sprawy zgodnego z rzeczywistością. Oczywiście chodzi tu o wyjaśnienie okoliczności faktycznych w takim stopniu, w jakim wymaga tego rozstrzygnięcie sprawy. Zasada ta jest podstawową regułą każdej nowoczesnej regulacji procesowej. Należy pamiętać, że prawidłowe ustalenie stanu faktycznego sprawy stanowi warunek konieczny – chociaż jeszcze niewystarczający – prawidłowego jej rozstrzygnięcia. Zawsze bowiem niewyjaśnienie lub niedostateczne wyjaśnienie stanu faktycznego sprawy będzie prowadziło do wydania wadliwej decyzji. W teorii prawa mówi się wtedy o subsumcji faktu uznanego za udowodniony pod konkretną normę administracyjnego prawa materialnego – por. J. Wróblewski (w:) W. Lang, J. Wróblewski, S. Zawadzki, Teoria państwa i prawa, Warszawa 1980, s. 431. Należy podkreślić, iż od 11 kwietnia 2011 r. zmieniono brzmienie art. 7 k.p.a., statuującego tę zasadę, przez wyraźne podkreślenie, że zebranie materiału dowodowego sprawy następuje zarówno z urzędu, jak i na wniosek strony. W ten sposób wyraźnie zwrócono uwagę na obowiązek strony współdziałania z organem w celu ustalenia stanu faktycznego sprawy zgodnego z rzeczywistością. Zmiana ta niesie ze sobą ten skutek, że na zasadzie prawdy obiektywnej nie można już dalej opierać twierdzenia, iż jest ona źródłem ciężaru dowodowego spoczywającego na organie prowadzącym postępowanie. Nie ma już bowiem podstawy prawnej uzasadniającej taki wniosek. Natomiast ta zmiana daje podstawę do zajęcia stanowiska, że w sytuacji gdy dany środek dowodowy niezbędny do ustalenia konkretnej okoliczności faktycznej, z istnienia której strona wywodzi dla siebie skutki prawne, nie znajduje się w posiadaniu organu, to wynikający z zasady prawdy obiektywnej obowiązek organu prowadzącego postępowanie ogranicza się do konieczności poinformowania strony o przedstawienia posiadanych dowodów.
Zgodnie z art. 75 § 1 k.p.a. jako dowód należy dopuścić wszystko, co może przyczynić się do wyjaśnienia sprawy, a nie jest sprzeczne z prawem. W szczególności dowodem mogą być dokumenty, zeznania świadków, opinie biegłych oraz oględziny. Natomiast z art. 77 § 1 k.p.a. wynika obowiązek zebrania i rozpatrzenia pełnego materiału dowodowego w sprawie, którego realizacja ma miejsce na dwóch płaszczyznach. Po pierwsze, polega on na przeprowadzeniu postępowania dowodowego co do wszystkich okoliczności stanowiących fakty prawotwórcze, a więc takich, z którymi w świetle przepisów obowiązującego prawa związane są określone skutki prawne. Po drugie, zebrany materiał dowodowy powinien znaleźć pełne odzwierciedlenie w uzasadnieniu faktycznym decyzji.
Jeśli zaś chodzi o obowiązek dokonania oceny na podstawie całokształtu materiału dowodowego, czy dana okoliczność została udowodniona (art. 80 k.p.a.), to nie można twierdzić, iż jakaś okoliczność została udowodniona, jeżeli w materiale dowodowym, utrwalonym w aktach sprawy, brak jest dowodu na jej potwierdzenie. Jeżeli zobowiązany podmiot wykazuje jedynie domniemanie realizacji nałożonego na niego ustawowo obowiązku, a jednocześnie w materiale dowodowym zawarte jest zaprzeczenie wykonania tego obowiązku (które dezawuuje skutek wynikający z tej okoliczności), to oznacza, że nie ziściła się przesłanka wynikająca z prawa materialnego umożliwiająca w konsekwencji zastosowanie tej normy materialnoprawnej. Zdaniem Naczelnego Sądu Administracyjnego, z wszystkich tych obowiązków wywiązał się organ administracji orzekający w niniejszej sprawie i zarzuty Sądu I instancji w tym zakresie są nieuzasadnione. W konsekwencji w pełni został także zrealizowany przez organ obowiązek wynikający z art. 107 § 3 k.p.a.
Chybione jest stanowisko Sądu I instancji powołującego się na przepisy ustawy Prawo pocztowe oraz Regulamin świadczenia usług pocztowych i uznającego, że skarżący Bank dysponuje dowodem na przekazanie skarżącej informacji o zamiarze przetwarzania danych osobowych bez jej zgody. Zgodnie z art. 17 ustawy z 23 listopada 2012 r. Prawo pocztowe (Dz. U. z 2022 r. poz. 896) potwierdzenie nadania przesyłki rejestrowanej lub przekazu pocztowego wydane przez placówkę pocztową operatora wyznaczonego ma moc dokumentu urzędowego, co oznacza, że stwierdza on zaistnienie opisanych w nim faktów i korzysta z domniemania prawdziwości, a jego ewentualne obalenie musi być oparte na przekonywujących dowodach. Podkreślić jednak należy, że Prezes UODO nie kwestionuje faktu dokonania nadania przesyłek listami poleconymi do skarżącej. Jednak traktowanie tego faktu jako dowodu poinformowania (dostarczenia informacji) skarżącej zgodnie z art. 105a ust. 3 Prawa bankowego nie ma uzasadnienia w brzmieniu art. 17 ustawy Prawo pocztowe. Dodatkowo należy zauważyć, że ciężar udowodnienia rzeczywistego spełnienia przesłanek określonych w art. 105a ust. 3 Prawa bankowego, ciąży na Banku jako administratorze danych. Zatem w świetle konieczności wykazania istnienia prawnie uzasadnionego interesu po stronie administratora danych, wszelkie dowody w w.w. zakresie nie mogą opierać się na domniemaniach.
Podsumowując w ocenie Naczelnego Sądu Administracyjnego, prawidłowe jest stanowisko organu, który doszedł do przekonania, że Bank nie wykazał, iż dopełnił wymaganego w art. 105a ust. 3 ustawy Prawo bankowe obowiązku poinformowania skarżącej o zamiarze przetwarzania dotyczących jej informacji stanowiących tajemnicę bankową bez jej zgody. W aktach administracyjnych brak jest bowiem dowodów wskazujących na fakt, że Bank poinformował swoją klientkę o zamiarze przetwarzania powyższych danych osobowych, chociaż niewątpliwie Bank podjął działania zmierzające do zrealizowania tego obowiązku (wysłał pisma ze stosowną informacją). Prezes UODO zastosował się do zasad ogólnych postępowania administracyjnego: zasady praworządności, zasady prawdy obiektywnej i pogłębiania zaufania do władzy publicznej oraz nie przekroczył granic swobodnej oceny dowodów i prawidłowo przyjął, że potwierdzenie nadania pisma listem poleconym nie stanowi dowodu poinformowania skarżącej o zamiarze przetwarzania jej danych osobowych bez jej zgody.
Wyżej wykazano, że zarzuty skargi okazały się niezasadne a zaskarżona decyzja jest zgodna z prawem, w rezultacie oddalono skargę Banku na podstawie art. 151 p.p.s.a.
O kosztach postępowania kasacyjnego od [...] Bank SA [...] na rzecz Prezesa Urzędu Ochrony Danych osobowych orzeczono na podstawie art. 203 pkt 2 w zw. z art. 205 § 2 p.p.s.a.