III OSK 7370/21

III OSK 7370/21 - Wyrok NSA
Data orzeczenia
2025-04-25
orzeczenie prawomocne
Data wpływu
2021-11-26
Sąd
Naczelny Sąd Administracyjny
Sędziowie
Ewa Kwiecińska
Tadeusz Kiełkowski /sprawozdawca/
Zbigniew Ślusarczyk /przewodniczący/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Bankowe prawo
Sygn. powiązane
II SA/Wa 158/21 - Wyrok WSA w Warszawie z 2021-07-28
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargi kasacyjne
Powołane przepisy
Dz.U. 2024 poz 935
art. 184, 204 pkt 1
Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t. j.)
Sentencja
Naczelny Sąd Administracyjny w składzie: Przewodniczący: Sędzia NSA Zbigniew Ślusarczyk Sędziowie: Sędzia NSA Ewa Kwiecińska Sędzia del. WSA Tadeusz Kiełkowski (spr.) Protokolant: asystent sędziego Przemysław Iżyck po rozpoznaniu w dniu 25 kwietnia 2025 r. na rozprawie w Izbie Ogólnoadministracyjnej skarg kasacyjnych [...] S.A. z siedzibą w W. i [...] S.A. z siedzibą w W. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 28 lipca 2021 r. sygn. akt II SA/Wa 158/21 w sprawie ze skarg [...] S.A. z siedzibą w W. i [...] S.A. z siedzibą w W. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 20 listopada 2020 r. nr ZSPR.440.647.2019.FT.MW/99962, 99961, 99959 w przedmiocie przetwarzania danych osobowych 1. oddala skargi kasacyjne, 2. zasądza od [...] S.A. z siedzibą w W. na rzecz Prezesa Urzędu Ochrony Danych Osobowych kwotę 360 (trzysta sześćdziesiąt) złotych tytułem zwrotu kosztów postępowania kasacyjnego, 3. zasądza od [...] S.A. z siedzibą w W. na rzecz Prezesa Urzędu Ochrony Danych Osobowych kwotę 360 (trzysta sześćdziesiąt) złotych tytułem zwrotu kosztów postępowania kasacyjnego.
Uzasadnienie
Wyrokiem z dnia 28 lipca 2021 r., sygn. akt II SA/Wa 158/21, Wojewódzki Sąd Administracyjny w Warszawie (dalej "WSA w Warszawie" lub "Sąd I instancji") oddalił skargi [...] SA. z siedzibą w W. oraz [...] S.A. z siedzibą w W. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 20 listopada 2020 r. nr ZSPR.440.647.2019.FT.MW/99962, 99961, 99959 w przedmiocie przetwarzania danych osobowych.
Powyższy wyrok, od którego została złożona skarga kasacyjna, zapadł w następujących okolicznościach faktycznych i prawnych.
Do Biura GIODO (obecnie Urząd Ochrony Danych Osobowych) w dniu 21 stycznia 2018 r. wpłynęła skarga B.K. (dalej "wnioskodawca") z dnia 9 stycznia 2018 r. na nieprawidłowości w procesie przetwarzania jego danych osobowych przez [...] S.A. (poprzednio Bank [...] S.A.) z siedzibą w W. (dalej "Bank"), polegające na przetwarzaniu danych osobowych bez podstawy prawnej oraz udostępnieniu danych osobowych na rzecz [...] S.A. z siedzibą w W. (dalej "Biuro"). W treści skargi wnioskodawca wskazał, że Bank nie spełnił wymagań uprawniających go do rozpoczęcia przetwarzania jego danych osobowych w bazie Biura w związku z wierzytelnością wynikającą z umowy nr [...] o kredyt samochodowy, zawartej z Bankiem w dniu 6 listopada 2014 r. Bank nie spełnił bowiem łącznie wszystkich warunków z art. 105a ust. 3 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz. U. z 2019 r. poz. 2357), tzn. nigdy nie powiadomił wnioskodawcy o zamiarze przetwarzania jego danych osobowych bez jego zgody w bazie Biura. Wobec powyższego wnioskodawca zażądał zaprzestania dalszego przetwarzania jego danych osobowych.
Prezes Urzędu Ochrony Danych Osobowych (dalej "PUODO"), decyzją z dnia 20 listopada 2020 r. nr ZSPR.440.647.2019.FT.MW/99962, 99961, 99959 – na podstawie art. 104 § 1 k.p.a., art. 160 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781) w zw. z art. 18 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r., poz. 922) oraz art. 6 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dziennik Urzędowy Unii Europejskiej, L 119, 4 maja 2016, dalej "RODO") w zw. z art. 105a ust. 2 i 3 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz. U. z 2019 r. poz. 2357) – nakazał Bankowi zaprzestanie przetwarzania danych osobowych B.K. w związku z umową o numerze [...] w systemie Biura w celu oceny zdolności kredytowej i analizy ryzyka kredytowego.
W uzasadnieniu decyzji organ wskazał, że B.K. jako osoba fizyczna prowadząca działalność gospodarczą pod firmą "P." zawarł z Bankiem w dniu 6 listopada 2014 r. umowę kredytową nr [...], z tytułu której powstało zadłużenie. Dane osobowe wnioskodawcy zostały zebrane w związku z powołaną umową kredytową. Dane te w zakresie: imię i nazwisko, data i miejsce urodzenia, seria i numer dowodu osobistego, obywatelstwo, imię ojca wnioskodawcy, imię i nazwisko panieńskie matki skarżącego, numer PESEL, adres zamieszkania, numer telefonu komórkowego, numer REGON, NIP – przetwarzane są obecnie przez Bank w celach oceny zdolności i wiarygodności kredytowej. Jednocześnie zobowiązanie wnioskodawcy wynikające z umowy nr [...] o kredyt samochodowy z dnia 6 listopada 2014 r. zostało przez skarżącego spłacone w dniu 6 listopada 2014 r., stosownie do wyjaśnień Banku z dnia 28 lutego 2018 r. Na dzień 26 września 2017 r. zaległość wnioskodawcy wobec Banku z tytułu umowy wynosiła 99,12 zł. Dodatkowo Biuro w wyjaśnieniach z dnia 16 marca 2018 r. podało, że dane podmiotu gospodarczego "P." zostały przekazane przez Bank w zakresie jednego zobowiązania finansowego, a rachunek ma status rachunku zamkniętego. Dane dotyczące zobowiązania zostały przekazane do Biura przez Bank na podstawie art. 105 ust. 4 Prawa bankowego i na podstawie łączącej strony umowy. Biuro przetwarza ww. rachunek w celu oceny zdolności kredytowej i analizy ryzyka kredytowego na podstawie art. 105 ust. 4 Prawa bankowego.
W ocenie Banku i Biura wobec przedsiębiorców (w tym osób fizycznych prowadzących działalność gospodarczą) nie ma zastosowania wymóg z art. 105a ust. 3 Prawa bankowego w zakresie informowania ich o zamiarze przetwarzania dotyczących ich informacji stanowiących tajemnicę bankową, bez ich zgody. Wobec tego mimo, że wnioskodawca wycofał zgodę na przetwarzanie jego danych osobowych, Bank uznał, że art. 105a ust. 2 Prawa bankowego nie dotyczy każdej osoby fizycznej. W ocenie Banku przepis ten znajduje zastosowanie, podobnie jak art. 105a ust. 1 oraz 105a ust. 3 Prawa Bankowego, wyłącznie do osoby fizycznej będącej konsumentem. W konsekwencji w opinii Banku przetwarzanie danych osobowych wnioskodawcy, jako osoby fizycznej prowadzącej działalność gospodarczą, może następować w Biurze również po wygaśnięciu zobowiązania bez jego zgody (w zakresie zobowiązań firmowych).
Z kolei wnioskodawca nie zgadzając się z argumentami Banku przywołał w piśmie z dnia 7 grudnia 2018 r. stanowisko Rzecznika Finansowego dotyczące przedmiotowej sprawy, zawarte w piśmie z dnia 13 listopada 2018 r., w którym zaprezentowano odmienne stanowisko w sprawie zastosowania art. 105a Prawa Bankowego wobec przedsiębiorców. W przedmiotowym piśmie Rzecznik Finansowy wskazał, że wnioskodawca, jako osoba fizyczna prowadząca działalność gospodarczą powinien zostać poinformowany o zamiarze przetwarzania jego danych osobowych, zgodnie z dyspozycją normy przewidzianej w art. 105a ust. 3 Prawa Bankowego.
W tych okolicznościach PUODO wskazał, że decydujące znaczenie ma fakt, iż kwestionowane przez wnioskodawcę udostępnienie jego danych osobowych przez Bank na rzecz Biura nastąpiło w okresie obowiązywania ustawy z 1997 r., w związku z czym do oceny zgodności z prawem tego procesu zastosowanie mają przepisy tej ustawy. Zastosowanie znajdują w niniejszej sprawie także przepisy obowiązujące w czasie wydawania rozstrzygnięcia, tj. RODO, ponieważ organ musi ocenić, czy kwestionowany proces przetwarzania danych osobowych na dzień wydania decyzji administracyjnej jest zgodny z prawem.
Zdaniem PUODO co do zasady podstawą prawną przetwarzania danych osobowych klientów przez Bank w systemie Biura w okresie obowiązywania ustawy z 1997 r. był art. 23 ust. 1 pkt 2 ustawy, tj. było to niezbędne dla zrealizowania uprawnienia lub wypełnienia obowiązku prawnego ciążącego na administratorze. Od 25 maja 2018 r. podstawę ww. przetwarzania stanowi art. 6 ust. 1 lit. f RODO, tj. przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora. Biuro jest instytucją utworzoną na podstawie art. 105 ust. 4 Prawa bankowego. Zobowiązanie wnioskodawcy, wynikające z umowy zawartej w dniu 6 listopada 2014 r., wobec Banku wygasło, a wnioskodawca cofnął zgodę na przetwarzanie jego danych osobowych w Biurze po wygaśnięciu ww. zobowiązania wobec Banku. Z materiału dowodowego zgromadzonego w sprawie nie wynika, żeby Bank poinformował wnioskodawcę w ustawowym terminie o zamiarze przetwarzania informacji dotyczących wnioskodawcy, bez jego zgody, a dodatkowo wnioskodawca w skardze z dnia 9 stycznia 2018 r. podkreślił, że nie został powiadomiony przez Bank o zamiarze przetwarzania jego danych osobowych bez jego zgody w bazie Biura. W przedmiotowej sprawie nie ma zatem dowodu na to, że Bank spełnił wobec wnioskodawcy obowiązek określony w art. 105a ust. 3 Prawa bankowego, tj. skutecznie poinformował wnioskodawcę o zamiarze przetwarzania informacji jego dotyczących stanowiących tajemnicę bankową, bez jego zgody po wygaśnięciu zobowiązania wynikającego z umowy. Kwestię sporną pomiędzy stronami stanowi to, czy art. 105a Prawa bankowego ma zastosowanie do przetwarzania danych osób fizycznych prowadzących działalność gospodarczą.
Zdaniem PUODO ani Bank, ani Biuro nie wskazały podstawy prawnej, z której w sposób jednoznaczny i nie pozostawiający żadnych wątpliwości wynikałoby, że osoby fizyczne prowadzące działalność gospodarczą nie są objęte reżimem art. 105a Prawa bankowego. Odnosząc się do interpretacji Banku w zakresie "nieistniejącego już rozporządzenia Ministra Finansów z dnia 27 marca 2007 r.", organ wskazał, że nie podziela opinii, zgodnie z którą niewymienienie numeru REGON w zakresie informacji przetwarzanych w celu oceny zdolności kredytowej i analizy ryzyka kredytowego oraz dla celów stosowania metod statystycznych prowadzi do wniosku, iż intencją prawodawcy było uregulowanie zasad przetwarzania danych osobowych dotyczących jedynie osób fizycznych będących konsumentami. Zdaniem PUODO brak numerem REGON we wskazanym zakresie nie świadczy o tym, że osobą fizyczną jest tylko osoba nie posiadająca numeru REGON. Stanowisko Banku wskazujące, iż nie potrzebował zgody wnioskodawcy do przetwarzania danych osobowych w Biurze jest sprzeczne z treścią art. 105a ust. 3 Prawa Bankowego. Zgodnie bowiem z treścią tego przepisu Bank może przetwarzać dane osobowe po spełnieniu łącznie kilku przesłanek m.in. po upływie 30 dni od poinformowania osoby fizycznej o zamiarze przetwarzania informacji bez jej zgody. PUODO uznał, że choć zobowiązanie wnioskodawcy, wynikające z umowy nr [...] o kredyt samochodowy zawartej w dniu 6 listopada 2014 r., wobec Banku wygasło, to jak wynika ze zgromadzonego materiału dowodowego odnośnie spłaty zadłużenia, wnioskodawca dopuścił się zwłoki trwającej dłużej niż 60 dni w przypadku ww. zobowiązania. Jednakże istotnym w niniejszej sprawie jest to, iż Bank nie spełnił wobec wnioskodawcy obowiązku określonego w art. 105a pkt 3 Prawa bankowego, tj. nie poinformował go skutecznie o zamiarze przetwarzania dotyczących jego informacji stanowiących tajemnicę bankową, bez jego zgody po wygaśnięciu zobowiązania wynikającego ze wspomnianej umowy kredytowej. Dodatkowo organ stwierdził, że sam fakt, iż wnioskodawca nie wykonał zobowiązania lub spóźnił się z jego wykonaniem co najmniej 60 dni, nie upoważnia Banku do przetwarzania jego danych na warunkach określonych w art. 105a ust. 3 Prawa bankowego, ponieważ moment, od którego należy liczyć sześćdziesięciodniowy termin, w którym konsument dopuszcza się zwłoki w wykonaniu zobowiązania, to termin wykonania zobowiązania. Dopiero po upływie 60 dni zaczyna biec termin 30 dni, w którym instytucja oczekuje jeszcze na wykonanie zobowiązania klienta. W konsekwencji termin 30 dni biegnie od momentu, w którym konsument zostanie skutecznie poinformowany przez instytucję o zamiarze przetwarzania jego danych osobowych. Zatem ostatecznie to bezskuteczny upływ 30 dni od momentu poinformowania stanowi wypełnienie przesłanek z art. 105a ust. 3 Prawa bankowego.
W opinii PUODO nie zostały spełnione przesłanki z art. 105a ust. 3 Prawa bankowego, zgodnie z którym Bank może przetwarzać (w tym mógł udostępnić do Biura) informacje stanowiące tajemnicę bankową, a dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy bez ich zgody, w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Nie zostały spełnione przesłanki zarówno z art. 105a ust. 2, jak i z art. 105a ust. 3 Prawa bankowego, a zatem zasadne jest nakazanie zaprzestania przetwarzania danych osobowych wnioskodawcy przez Bank w systemie Biura w celu oceny zdolności kredytowej i analizy ryzyka kredytowego, wobec braku podstawy prawnej dla takiego przetwarzania.
Skargi do WSA w Warszawie na decyzję PUODO z dnia 20 listopada 2020 r. złożyli Bank i Biuro, wnosząc o uchylenie zaskarżonej decyzji i zasądzenie zwrotu kosztów postępowania, w tym kosztów zastępstwa procesowego, według norm przepisanych. Bank kwestionowanej decyzji zarzucił: 1) naruszenie przepisów postępowania, które miało istotny wpływ na wynik sprawy, to jest art. 8 § 2 k.p.a., polegające na odstąpieniu przez PUODO bez uzasadnionej przyczyny od utrwalonej praktyki rozstrzygania spraw w takim samym stanie faktycznym i takim samym stanie prawnym, poprzez przyjęcie, że przez osobę fizyczną, o której mowa w art. 105a Prawa bankowego należy rozumieć również przedsiębiorców, podczas gdy ten sam organ rozpatrując w krótkim odstępie czasu sprawę w takim samym stanie faktycznym i takim samym stanie prawnym przyjął, że art. 105a Prawa bankowego nie ma zastosowania do przedsiębiorców; 2) naruszenie prawa materialnego, które miało wpływ na wynik sprawy, to jest: a) art. 105 ust. 4 Prawa bankowego, poprzez błędne przyjęcie, że przepis tego artykułu nie może być podstawą przetwarzania danych osobowych B.K. przez Bank w systemie Biura w zw. z art. 6 ust. 1 lit. f RODO, a taką podstawą jest natomiast art. 105a ust. 3 ww. ustawy, b) art. 105a ust. 3 Prawa bankowego, poprzez jego błędną wykładnię, polegającą na przyjęciu, że "osoba fizyczna", o której mowa w tym przepisie, obejmuje swoim zakresem przedsiębiorców (osoby fizyczne prowadzące działalność gospodarczą), podczas gdy prawidłowa wykładnia tego przepisu powinna była doprowadzić PUODO do uznania, że przepis ten ma zastosowanie jedynie do osób fizycznych będących konsumentami, a w konsekwencji do przyjęcia, że Bank nie był obowiązany do poinformowania B.K. o zamiarze przetwarzania dotyczących go informacji bez jego zgody. Z kolei Biuro zaskarżonemu rozstrzygnięciu zarzuciło: 1) naruszenie przepisów postępowania, które miało istotny wpływ na wynik sprawy, tj.: a) art. 7 w związku z art. 77 i art. 80 k.p.a., polegające na niewyczerpującym zebraniu i rozpatrzeniu całego materiału dowodowego i niepodjęciu wszelkich kroków niezbędnych do dokładnego wyjaśnienia stanu faktycznego i załatwienia sprawy, co skutkowało nakazem zaprzestania przetwarzania danych osobowych B.K. w systemie skarżącego w celu oceny zdolności kredytowej i analizy ryzyka kredytowego; b) art. 8 ust. 1 i 2 k.p.a., poprzez wydanie decyzji, która bez uzasadnionej przyczyny odstępuje od utrwalonej praktyki rozstrzygania spraw w takim samym stanie faktycznym i prawnym, co z kolei narusza zasady pogłębiania zaufania obywateli do władzy publicznej; 2) naruszenie prawa materialnego, które miało wpływ na wynik sprawy, tj. art. 6 ust. 1 lit. C RODO w zw. z art. 105 ust. 4 i art. 105a ust. 2 i 3 ustawy Prawo bankowe, polegające na jego niewłaściwym zastosowaniu i przyjęciu, że Biuro nie legitymuje się przesłanką przetwarzania danych wynikającą z art. 6 ust. 1 lit. c RODO w związku z art. 105 ust. 4 Prawa bankowego. Odpowiadając na skargi PUODO wniósł o ich oddalenie
W dniu 28 lipca 2021 r. WSA w Warszawie wydał opisany na wstępie wyrok, którym oddalił skargi. W uzasadnieniu tego wyroku Sąd I instancji wskazał, że brak było podstaw do przetwarzania danych osobowych wnioskodawcy przez Bank po wygaśnięciu zobowiązania wynikającego z umowy, bez jego zgody, w celu oceny zdolności kredytowej i analizy ryzyka kredytowego (w tym udostępnienia ich Biurze). Nie zostały spełnione przesłanki warunkujące dopuszczalność przetwarzania danych osobowych wnioskodawcy po wygaśnięciu zobowiązania w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Przesłanki takiej nie stanowi art. 105a ust. 2 Prawa bankowego, który wymaga zgody osoby fizycznej, ani art. 105a ust. 3 Prawa bankowego. Powołując treść tych przepisów, Sąd I instancji wskazał, że pierwszy z nich nie mógł stanowić przesłanki przetwarzania przez Bank danych osobowych wnioskodawcy po spłacie umowy kredytowej, gdyż bezsporne jest, iż zgoda została przez wnioskodawcę odwołana. Drugi przepis nie stanowił przesłanki warunkującej dopuszczalność przetwarzania danych osobowych wnioskodawcy po wygaśnięciu zobowiązania, albowiem Bank nie przedstawił dowodu na prawidłowe doręczenie wnioskodawcy dokumentu, w którego treści zawarta była informacja o okolicznościach wskazanych w art. 105a ust. 3 Prawa bankowego. Powyższe nie było kwestionowane przez Bank. Wobec tego organ miał podstawy stwierdzić, iż wymogi określone w art. 105a ust. 3 Prawa bankowego nie zostały dochowane.
WSA w Warszawie przychylił się do stanowiska organu, że przepis art. 105a ust. 3 Prawa bankowego odnosi się do każdej osoby fizycznej, w tym także tej prowadzącej działalność gospodarczą. Brzmienie powołanego przepisu nie wyklucza jego stosowania do osób fizycznych prowadzących działalność gospodarczą. Fakt prowadzenia działalności gospodarczej nie pozbawia osoby fizycznej na gruncie RODO ochrony, jaka przewidziana została w tym akcie prawnym. Przepis ten nie może bowiem być interpretowany w sposób, który wyklucza realizację przez banki i inne instytucje obowiązków w nim przewidzianych wobec osób fizycznych prowadzących działalność gospodarczą. Interpretacja powołanych przepisów, czyniąca dopuszczalnym przetwarzanie po wygaśnięciu zobowiązania, danych osobowych osoby fizycznej prowadzącej działalność gospodarczą, bez jej zgody i bez spełnienia wymogów z art. 105a ust. 3 Prawa bankowego, pozostawiałaby te osoby fizyczne poza ramami RODO. Tymczasem RODO znajduje zastosowanie do przetwarzania danych tych osób fizycznych. W ocenie Sądu I instancji w niniejszej sprawie nie ma więc wątpliwości, że wobec trwania przetwarzania danych osobowych wnioskodawcy po wejściu w życie RODO, ten akt prawny znajdował zastosowanie, na co trafnie wskazał organ.
Zdaniem WSA w Warszawie organ także nie naruszył zasady zaufania uczestników postępowania do władzy publicznej (art. 8 k.p.a.). Odmienność stanów faktycznych i prawnych w sprawach przedstawionych przez skarżących, w tym przede wszystkim zastosowanie w tej sprawie także RODO, nie daje podstaw do stwierdzenia, aby naruszony został art. 8 § 1 i § 2 k.p.a.
Pismami z dnia 15 października 2021 r. Bank oraz Biuro wnieśli skargi kasacyjną od wyroku WSA w Warszawie z dnia 28 lipca 2021 r., sygn. akt II SA/Wa 158/21, zaskarżając go w całości.
Bank zarzucił zaskarżonemu wyrokowi:
I. Naruszenie przepisów postępowania, tj.:
1. art. 141 § 4 p.p.s.a. poprzez niewyjaśnienie przez Sąd w uzasadnieniu wyroku w sposób adekwatny do celu, jaki wynika z tego przepisu, dlaczego nie stwierdził w rozpatrywanej sprawie naruszenia przez PUODO przepisów procedury w zakresie art. 8 § 1 i 2 k.p.a., w szczególności poprzez ogólnikowe odniesienie się do podnoszonych przez stronę zarzutów oraz aprobatę stanowiska PUODO bez przeprowadzania samodzielnego wywodu prawnego, co mogło mieć istotny wpływ na wynik sprawy,
2. art. 151 p.p.s.a. poprzez bezzasadne oddalenie skargi w sytuacji, gdy zaskarżona decyzja naruszała art. 8 § 1 i 2 k.p.a., poprzez odstąpienie przez PUODO bez uzasadnionej przyczyny od utrwalonej praktyki rozstrzygania spraw w takim samym stanie faktycznym i takim samym stanie prawnym, poprzez przyjęcie, że przez osobę fizyczną, o której mowa w art. 105a ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe ("Prawo bankowe") należy rozumieć również przedsiębiorców, podczas gdy ten sam organ rozpatrując w krótkim odstępie czasu sprawę w takim samym stanie faktycznym i takim samym stanie prawnym przyjął, że art. 105a Prawa bankowego nie ma zastosowania do przedsiębiorców, a tym samym naruszenie zasady zaufania uczestników postępowania do władzy publicznej, które to naruszenie mogło mieć istotny wpływ na wynik sprawy, co powinno skutkować jej uchyleniem na podstawie art. 145 § 1 pkt. 1 lit. c p.p.s.a.
II. Naruszenie prawa materialnego, tj.:
1. art. 105 ust. 4 Prawa bankowego, w zw. z art. 6 ust. 1 lit. f RODO, poprzez niewłaściwe zastosowanie i przyjęcie, że przepis tego artykułu nie może być podstawą przetwarzania danych osobowych wnioskodawcy przez Bank w systemie Biura;
2. art. 105a ust. 3 Prawa bankowego, poprzez jego błędną wykładnię, polegającą na przyjęciu, że "osoba fizyczna", o której mowa w tym przepisie obejmuje swoim zakresem przedsiębiorców (osoby fizyczne prowadzące działalność gospodarczą), podczas gdy prawidłowa wykładnia tego przepisu powinna była doprowadzić Sąd do uznania, że przepis ten ma zastosowanie jedynie do osób fizycznych będących konsumentami, a w konsekwencji do przyjęcia, że Bank nie był obowiązany do poinformowania wnioskodawcy o zamiarze przetwarzania dotyczących go informacji bez jego zgody.
Bank wniósł o uwzględnienie skargi na zaskarżoną decyzję i uchylenie tej decyzji, ewentualnie uchylenie zaskarżonego wyroku w całości i przekazanie sprawy do ponownego rozpoznania Sądowi I instancji. Ponadto Bank wystąpił o zwrot kosztów postępowania, w tym kosztów zastępstwa procesowego od organu na rzecz Banku, według norm prawem przepisanych. W uzasadnieniu skargi kasacyjnej przedstawiono argumentację na poparcie sformułowanych zarzutów i wniosków.
Biuro zaskarżonemu wyrokowi zarzuciło:
I. Naruszenie prawa materialnego, tj.:
1. art. 105a ust. 2 i 3 Prawa bankowego w zw. z art. 134 § 1 p.p.s.a. poprzez błędną wykładnię przepisu art. 105a ust. 2 i 3 Prawa bankowego i przyjęcie, że w zakresie podmiotowym użytego we wskazanym przepisie pojęcia "osób fizycznych", znajdują się osoby fizyczne prowadzące działalność gospodarczą, a w konsekwencji także przyjęcie, że Bank miał obowiązek wypełnić przesłanki legalizujące przetwarzanie danych osobowych wskazane w przepisie art. 105a ust. 2 i 3 Prawa bankowego, aby legalnie przetwarzać dane B.K. (w tym udostępnić je Biuru), podczas gdy z prawidłowej wykładni przepisu art. 105a ust. 2 i 3 Prawa bankowego wynika, że ma on zastosowanie wyłącznie do osób fizycznych – konsumentów, co miało wpływ na wynik sprawy, gdyż skutkowało uznaniem, że Bank powinien zaprzestać przetwarzania danych B.K. przetwarzanych w związku z umową o nr [...] w systemie Biura w celu oceny zdolności kredytowej i analizy ryzyka kredytowego, podczas gdy Sąd I instancji powinien był podczas kontroli decyzji administracyjnej zgodnie z przepisem art. 134 § 1 p.p.s.a. orzec w granicach sprawy i wziąć pod uwagę z urzędu naruszenie prawa materialnego, które miało wpływ na wynik sprawy;
2. art. 105a ust. 2 i 3 Prawa bankowego, poprzez jego niewłaściwe zastosowanie i przyjęcie, że stanowi on podstawę prawną przetwarzania danych osobowych Pana B.K. przez Bank i Biuro, podczas gdy Sąd I instancji powinien był stwierdzić naruszenie prawa materialnego przez PUODO, które miało wpływ na wynik sprawy, ponieważ podstawę prawną przetwarzania danych przez Bank i Biuro w niniejszej sprawie stanowią niezastosowane przez PUODO art. 6 ust, 1 lit. c RODO w zw. z art. 105 ust. 4 Prawa bankowego, jako że art. 105 ust. 4 Prawa bankowego stanowi nie tylko upoważnienie do stworzenia takiego podmiotu jak Biuro i udostępnienia danych przez Bank, ale jest również podstawą do przetwarzania informacji objętych tajemnicą bankową, w tym danych osobowych przez Biuro.
II. Naruszenie przepisów postępowania mające istotny wpływ na wynik sprawy, tj.: art. 145 § 1 pkt 1 lit. c p.p.s.a. w zw. z art. 8 § 1 i § 2 k.p.a., poprzez nieuznanie przez Sąd I instancji, iż PUODO dopuścił się naruszenia przepisów postępowania, które miało istotny wpływ na wynik sprawy, tj. art. 8 § 1 i § 2 k.p.a. przez wydanie decyzji, która bez uzasadnionej przyczyny odstępuje od utrwalonej praktyki rozstrzygania spraw w takim samym stanie faktycznym i prawnym, co z kolei narusza zasadę pogłębiania zaufania obywateli do władzy publicznej.
Biuro wniosło o uchylenie zaskarżonego wyroku w całości, rozpoznanie skargi oraz uchylenie zaskarżonej decyzji PUODO w całości; względnie o uchylenie zaskarżonego wyroku w całości i przekazanie sprawy do ponownego rozpoznania WSA w Warszawie oraz zasądzenie na rzecz Biura kosztów postępowania według norm przepisanych. W uzasadnieniu skargi kasacyjnej przedstawiono argumentację na poparcie sformułowanych zarzutów i wniosków. Odpowiadając na skargi kasacyjne, PUODO wniósł o ich oddalenie.
Naczelny Sąd Administracyjny zważył, co następuje.
Zgodnie z art. 183 § 1 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz. U. z 2024 r. poz. 935, dalej p.p.s.a.) Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, bierze jednak z urzędu pod rozwagę nieważność postępowania. W niniejszej sprawie nie występują, enumeratywnie wyliczone w art. 183 § 2 p.p.s.a., przesłanki nieważności postępowania sądowoadministracyjnego. Z tego względu, przy rozpoznaniu sprawy, Naczelny Sąd Administracyjny związany był granicami skargi kasacyjnej. Granice skargi kasacyjnej wyznaczają wskazane w niej podstawy. Zgodnie z art. 174 p.p.s.a. skargę kasacyjną można oprzeć na następujących podstawach: 1) naruszeniu prawa materialnego przez błędną jego wykładnię lub niewłaściwe zastosowanie, 2) naruszeniu przepisów postępowania, jeżeli uchybienie to mogło mieć istotny wpływ na wynik sprawy.
Rozpoznawszy skargi kasacyjne z uwzględnieniem powyższych uwarunkowań, Naczelny Sąd Administracyjny stwierdził, że nie mają one usprawiedliwionych podstaw i tym samym podlegają oddaleniu.
Skargi kasacyjne zostały oparte na obu podstawach kasacyjnych, podniesiono w nich bowiem zarzuty naruszenia prawa materialnego, jak i zarzuty naruszenia przepisów postępowania. W takiej sytuacji co do zasady w pierwszej kolejności rozpoznaniu podlegają zarzuty naruszenia przepisów postępowania. Uchybienia przepisom postępowania mogą być skutecznie podnoszone, jeśli jednocześnie strona skarżąca kasacyjnie wykaże, że mogły mieć one istotny wpływ na wynik sprawy (por. wyrok NSA z dnia 24 marca 2023 r., III OSK 1167/22).
Odnosząc się zatem wpierw do podniesionego w skardze kasacyjnej Banku zarzutu naruszenia art. 141 § 4 p.p.s.a., zauważyć trzeba, że przepis ten traktuje o elementach uzasadnienia wyroku. Zarzut naruszenia tego przepisu może być skutecznie postawiony w dwóch przypadkach: gdy uzasadnienie wyroku nie zawiera wszystkich elementów, wymienionych w tym przepisie, i gdy w ramach przedstawienia stanu sprawy wojewódzki sąd administracyjny nie wskaże, jaki i dlaczego stan faktyczny przyjął za podstawę orzekania. Naruszenie to musi być przy tym na tyle istotne, aby mogło mieć wpływ na wynik sprawy (art. 174 pkt 2 p.p.s.a.). Za pomocą odnośnego zarzutu nie można skutecznie zwalczać prawidłowości przyjętego przez sąd stanu faktycznego ani kwestionować stanowiska sądu co do wykładni bądź zastosowania prawa materialnego. W ramach rozpatrywania zarzutu naruszenia art. 141 § 4 p.p.s.a. Naczelny Sąd Administracyjny zobowiązany jest jedynie do kontroli zgodności uzasadnienia zaskarżonego wyroku z wymogami wynikającymi ze statuowanej tym przepisem normy prawnej. Wadliwość uzasadnienia orzeczenia może stanowić przedmiot skutecznego zarzutu kasacyjnego z art. 141 § 4 p.p.s.a. w sytuacji, gdy sporządzone jest ono w taki sposób, że niemożliwa jest kontrola instancyjna zaskarżonego wyroku (por. wyrok NSA z 27 września 2024 r., III OSK 2850/22). W ocenie Naczelnego Sądu Administracyjnego uzasadnienie zaskarżonego wyroku spełnia wymogi określone w art. 141 § 4 p.p.s.a., wyjaśnia motywy podjętego przez Sąd I instancji rozstrzygnięcia i tym samym sprawia, że poddaje się ono kontroli instancyjnej.
W obu skargach kasacyjnych został również sformułowany zarzut naruszenia art. 151 tudzież art. 145 § 1 pkt 1 lit. c p.p.s.a. w związku z art. 8 § 1 i 2 k.p.a. W myśl art. 8 § 1 k.p.a. organy administracji publicznej prowadzą postępowanie w sposób budzący zaufanie jego uczestników do władzy publicznej, kierując się zasadami proporcjonalności, bezstronności i równego traktowania. Z kolei art. 8 § 2 k.p.a. stanowi, że organy administracji publicznej bez uzasadnionej przyczyny nie odstępują od utrwalonej praktyki rozstrzygania spraw w takim samym stanie faktycznym i prawnym. "Przez utrwaloną praktykę należy rozumieć zgodne z prawem, akceptowane przez sądy, stabilne, jednolite, ustandaryzowane i wieloletnie oraz znane publicznie postępowanie organów administracji publicznej przy rozstrzyganiu spraw tego samego rodzaju w takich samych stanach faktycznych i prawnych" (wyrok NSA z dnia 5 marca 2014 r., I OSK 2195/22). Ani poczynione w toku postępowania administracyjnego ustalenia, ani twierdzenia skarg kasacyjnych nie wskazują na to, aby istniała utrwalona praktyka rozstrzygania spraw powstałych na gruncie takiego stanu faktycznego i prawnego, jaki ma miejsce w sprawie niniejszej. O istnieniu takiej praktyki w założeniu nie świadczy – abstrahując od tożsamości czy też podobieństwa wchodzących w rachubę uwarunkowań – jedna ani nawet kilka decyzji podjętych uprzednio przez organ, zwłaszcza gdy nie były one poddane kontroli sądowej. Omawiany zarzut nie mógł zatem odnieść zamierzonego skutku.
Gdy idzie o zarzuty naruszenia prawa materialnego, to na plan pierwszy wysuwa się – również wspólny dla obu skarg kasacyjnych – zarzut naruszenia art. 105a ust. 2 i 3 Prawa bankowego przez błędną wykładnię. Zgodnie z art. 105a ust. 2 Prawa bankowego, z zastrzeżeniem ust. 3, instytucje, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową oraz informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, w zakresie dotyczącym osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59 ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, pod warunkiem uzyskania pisemnej zgody osoby, której informacje te dotyczą, z zastrzeżeniem ust. 2a. Zgoda ta może być w każdym czasie odwołana. Art. 105a ust. 3 Prawa bankowego stanowi natomiast, że banki, instytucje oraz podmioty, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową i informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank, inną instytucję ustawowo upoważnioną do udzielania kredytów, instytucję pożyczkową albo podmiot, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, o zamiarze przetwarzania dotyczących jej tych informacji, bez jej zgody.
Istota sporu o wykładnię powołanych przepisów, na którą wskazują zarzuty skarg kasacyjnych, sprowadza się do tego, czy przez "osobę fizyczną" należy tu rozumieć tylko osobą fizyczną będącą konsumentem, czy też każdą osobę fizyczną, w tym osobę fizyczną prowadzącą działalność gospodarczą (przedsiębiorcę). Sąd I instancji opowiedział się za tym drugim rozwiązaniem i Naczelny Sąd Administracyjny pogląd ten podziela.
"Powszechne jest stanowisko, że w państwach demokratycznych wykładnia językowa i znaczenie literalne powinny zajmować pozycję uprzywilejowaną w stosunku do wykładni systemowej i funkcjonalnej, a za pierwszeństwem wykładni językowej przemawiają zarówno argumenty analityczne (wykładnia prawa jest wykładnią tekstów prawnych), jak i argumenty polityczne, albowiem w państwie praworządnym obywatele mają prawo polegać na tym, co prawodawca w tekście prawnym powiedział, a nie na tym, co zamierzał powiedzieć lub co powiedziałby, gdyby znał nowe okoliczności" (W. Jakimowicz, Wykładnia w prawie administracyjnym, Warszawa 2006, s. 428). Od wyników wykładni językowej można odstąpić w sytuacjach w założeniu wyjątkowych – ilekroć w świetle powszechnie akceptowanych wartości jawią się one jako rażąco niesłuszne lub niesprawiedliwe, sprzeczne z wartościami konstytucyjnymi względnie wskazują na oczywisty błąd legislacyjny (por. W. Jakimowicz, tamże).
Literalne brzmienie art. 105a ust. 3 Prawa bankowego nie pozostawia wątpliwości co do tego, że hipoteza (zakres podmiotowy) statuowanej nim normy obejmuje wszystkie osoby fizyczne. Odnośny przepis nie wprowadza wyraźnie ani też w sposób możliwy do zidentyfikowania nie nawiązuje do rozróżnienia osób fizycznych na te, które prowadzą działalność gospodarczą, i te, które takiej działalności nie prowadzą (przedsiębiorców i konsumentów). Art. 105a ust. 3 Prawa bankowego "odnosi się do przetwarzania objętych tajemnicą bankową danych osób fizycznych, lege non distinguente zarówno konsumentów, jak i przedsiębiorców" (L. Kociucki, w: B. Bajor, L. Kociucki, J. M. Kondek, K. Królikowska, Prawo bankowe – komentarz do przepisów cywilnoprawnych, Warszawa 2020, s. 984). W ocenie Naczelnego Sądu Administracyjnego wyniki wykładni językowej są jednoznaczne i zarazem nie występują żadne wyjątkowe okoliczności, które pozwalałyby je odrzucić. Warto przy tym podkreślić, że chodzi o regulację, która ma zastosowanie w obliczu kolizji wartości – ochrony dóbr osobistych i danych osobowych z jednej strony i możliwości oceny zdolności kredytowej i analizy ryzyka kredytowego z drugiej strony. Nie ma podstaw, aby z powołaniem się tylko na tę drugą wartość kwestionować to, co wyraźnie wynika z literalnego brzmienia przepisu. W kontekście art. 105a ust. 3 Prawa bankowego w orzecznictwie Naczelnego Sądu Administracyjnego podkreśla się, że wszelkie regulacje znoszące ochronę danych osobowych "muszą być odczytywane i wykładane ściśle, z uwzględnieniem funkcji jakiej mają służyć" (zob. np. wyrok NSA z dnia 17 grudnia 2024 r., III OSK 7477/21).
Niezależnie od powyższego, warto zauważyć, że art. 105a ust. 3 Prawa bankowego – w pierwotnym brzemieniu – traktował o "osobach fizycznych (konsumentach)". Nadanie temu przepisowi obecnego brzmienia, w którym nie ma już mowy o "konsumentach", jest zmianą nader sugestywną, której w procesie jego wykładni również nie sposób pomijać – przy czym przemawia ona za wykładnią odnośnego przepisu przyjętą przez Sąd I instancji. W ocenie Naczelnego Sądu Administracyjnego, zaprezentowana w skargach kasacyjnych argumentacja, odwołująca się do wykładni historycznej i naprowadzająca na odmienne wyjaśnienie nowelizacji art. 105a ust. 3 Prawa bankowego, a także wskazująca na aspekty systemowe (art. 70 i 70a Prawa bankowego) – nie pozwala na podważenie wyników wykładni literalnej i funkcjonalnej. Zarzuty naruszenia art. 105a ust. 2 i 3 Prawa bankowego przez jego błędną wykładnię okazały się zatem niezasadne. Podobnie należy ocenić, skoro stan faktyczny sprawy był objęty hipotezą statuowanej tym przepisem normy, zarzuty jego niewłaściwego zastosowania. One również, siłą rzeczy, jawią się jako niezasadne.
Zdaniem Naczelnego Sądu Administracyjnego, nie doszło również do naruszenia art. 105 ust. 4 Prawa bankowego w zw. z art. 6 ust. 1 lit. f RODO "poprzez niewłaściwe zastosowanie i przyjęcie, że przepis tego artykułu nie może być podstawą przetwarzania danych osobowych wnioskodawcy przez Bank w systemie Biura". Trafnie Sąd I instancji wyjaśnił, że art. 105 ust. 4 Prawa bankowego jest przepisem o charakterze ogólnym, który stanowi o możliwości utworzenia wspólnie z bankowymi izbami gospodarczymi, instytucji upoważnionych do gromadzenia, przetwarzania i udostępniania danych. Przepis ten nie daje jednak podstaw do nieograniczonego przetwarzania wszelkich danych osobowych przez utworzone instytucje. Zasady przetwarzania danych objętych tajemnicą bankową określa art. 105a Prawa bankowego i na gruncie tego przepisu należy oceniać dopuszczalność przetwarzania poszczególnych danych osobowych w określonych ściśle celach. Skoro w niniejszej sprawie ma zastosowanie art. 105a ust. 2 i 3 Prawa bankowego (a o tym była mowa wyżej), to art. 105 ust. 4 Prawa bankowego w zw. z art. 6 ust. 1 lit. f RODO nie mógł stanowić samoistnej przesłanki legalizującej przetwarzanie danych.
Z tych przyczyn Naczelny Sąd Administracyjny, na podstawie art. 184 p.p.s.a., oddalił skargi kasacyjne. O kosztach postępowania kasacyjnego orzeczono podstawie art. 204 pkt 1 p.p.s.a.