II SA/Wa 3651/21

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Danuta Kania, Sędzia WSA Waldemar Śledzik, Asesor WSA Michał Sułkowski (spr.), , Protokolant starszy specjalista Aleksandra Weiher, po rozpoznaniu na rozprawie w dniu 5 lipca 2022 r. sprawy ze skargi [...] Bank [...] S.A. z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] sierpnia 2021 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę.

M. F. w piśmie z 30 kwietnia 2019 r. wniósł do PUODO skargę na niezgodne z prawem przetwarzanie jego danych osobowych przez Bank [...] S.A. z siedzibą w [...] (dalej "Bank") w systemie BIK w trybie określonym w art. 105a ust. 3 Prawa bankowego, w związku z umowami pożyczki o numerach [...] i [...].

Do skargi M. F. dołączył kopię pisma Banku z 17 kwietnia 2019 r., w którym w odpowiedzi na jego pismo poinformowano, że w zakresie umowy:

1. nr [...] Kredyt Gotówkowy – w systemach informatycznych oznaczone zostało wycofanie zgody na przetwarzanie danych osobowych po wygaśnięciu zobowiązania. Pomimo wycofania zgody, w związku ze spełnieniem łącznie obydwu warunków określonych w art. 105a ust. 3 Prawa bankowego (tj. zwłoka w spłacie zobowiązania wyniosła powyżej 60 dni; Bank wysłał powiadomienie o zamiarze dalszego przetwarzania danych), Bank nabył prawo do przetwarzania danych osobowych do celów oceny zdolności kredytowej i analizy ryzyka kredytowego – bez zgody klienta – przez okres 5 lat od wygaśnięcia zobowiązania. W związku z powyższym dane będą nadal przetwarzane w BIK S.A. Powiadomienie o zamiarze dalszego przetwarzania danych po wygaśnięciu zobowiązania z tytułu ww. umowy, pismo Banku z [...] kwietnia 2011 r., zostało nadane przez bank listem zwykłym na wskazany wówczas adres do korespondencji z uwagi na brak określenia wymogu wysyłki korespondencji w przedmiotowym zakresie listem poleconym lub za potwierdzeniem odbioru;

2. nr [...] Kredyt Gotówkowy – w systemach informatycznych oznaczone zostało wycofanie zgody na przetwarzanie danych osobowych po wygaśnięci zobowiązania. Pomimo wycofania zgody, w związku ze spełnieniem łącznie obydwu warunków określonych w art. 105a ust. 3 Prawa bankowego (tj. zwłoka w spłacie zobowiązania wyniosła powyżej 60 dni; Bank wysłał powiadomienie o zamiarze dalszego przetwarzania danych), Bank nabył prawo do przetwarzania danych osobowych do celów oceny zdolności kredytowej i analizy ryzyka kredytowego – bez zgody klienta – przez okres 5 lat od wygaśnięcia zobowiązania. W związku z powyższym dane będą nadal przetwarzane w BIK S.A. Powiadomienie o zamiarze dalszego przetwarzania danych po wygaśnięciu zobowiązania z tytułu ww. umowy, pismo Banku z [...] kwietnia 2011 r., zostało nadane przez bank listem zwykłym na wskazany wówczas adres do korespondencji z uwagi na brak określenia wymogu wysyłki korespondencji w przedmiotowym zakresie listem poleconym lub za potwierdzeniem odbioru.

PUODO w pismach z 10 października 2019 r., na podstawie art. 58 ust. 1 lit. a i e rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (dalej "RODO"), zwrócił się do Banku, a także do Biura Informacji Kredytowej S.A. o ustosunkowanie się do treści skargi i złożenie wyjaśnień.

Bank w piśmie z 15 listopada 2019 r. wskazał m.in., że w związku ze zobowiązaniami wynikającymi z zawartych umów dane klienta zostały przekazane do BIK S.A. utworzonego na podstawie przepisów Prawa bankowego. Dane zostały przekazane na podstawie umowy zawartej [...] czerwca 2001 r. pomiędzy BIK a Bankiem, która określa zasady współpracy w zakresie zbierania i udostępniania informacji na podstawie art. 105 ust. 4 Prawa bankowego. Zobowiązania przekazane były do bazy BIK S.A. z danymi:

1) umowa [...],

Rodzaj: kredyt gotówkowy,

Status: umowa w restrukt. spłacona,

Data otwarcia: 2009.09. [...],

Data zamknięcia: 2016.03. [...],

Waluta: złoty,

Kwota umowy: [...],

Właściciel: M. F.,

Maksymalna historyczna liczba dni opóźnienia: 330,

Zgoda klienta na udostępnianie danych po wygaśnięciu zobowiązania: zgoda wycofana,

Data wycofania zgody na przetwarzanie danych po spłacie zobowiązania: 2019-01-[...],

Data wysłania zawiadomienia do klienta o zamiarze przetwarzania danych: 2011-04-[...],

2) umowa [...],

Rodzaj: kredyt gotówkowy,

Status: umowa w restrukt. spłacona,

Data otwarcia: 2009.03. [...],

Data zamknięcia: 2016.03. [...],

Waluta: złoty,

Kwota umowy: [...],

Maksymalna historyczna liczba dni opóźnienia: 330,

Zgoda klienta na udostępnianie danych po wygaśnięciu zobowiązania: zgoda wycofana,

Data wycofania zgody na przetwarzanie danych po spłacie zobowiązania: 2019-04-[...],

Data wysłania zawiadomienia do klienta o zamiarze przetwarzania danych: 2011-04-[...].

Ponadto Bank stwierdził, że w związku z obecnie przekazaną skargą Klienta podjęta została indywidualna decyzja o zakończeniu przetwarzania danych M. F. dla celów oceny zdolności kredytowej i analizy ryzyka kredytowego. W związku z tym Bank dokonał [...] listopada 2019 r. korekty dotyczącej przeniesienia danych wymienionego w powiązaniu z ww. zobowiązaniami do części statystycznej BIK S.A. Dane nie są obecnie przetwarzane na podstawie art. 105a ust. 3 Prawa bankowego do celów oceny zdolności kredytowej i analizy ryzyka kredytowego.

PUODO w piśmie z 3 listopada 2020 r., na podstawie art. 58 ust. 1 lit. a i lit. e RODO, wezwał Bank do uzupełnienia złożonych wyjaśnień poprzez:

1) wskazanie daty udostępnienia danych osobowych M. F. do BIK w zakresie umów [...] i [...],

2) wskazanie daty wygaśnięcia zobowiązań wynikających z ww. umów,

3) przedłożenie dowodu doręczenia zawiadomienia o zamiarze przetwarzania danych z [...] kwietnia 2011 r., wraz ze wskazaniem treści tego zawiadomienia,

4) przedłożenie kopii umowy wiążącej Bank i BIK.

PUODO skierował też ponowne wezwanie do złożenia wyjaśnień przez BIK.

Bank w piśmie z 13 listopada 2020 r. poinformował, że dane M. F. przetwarzane przez Bank w związku z zawartymi umowami kredytowymi zostały przekazane do BIK S.A.:

[...] października 2009 r. – w zakresie dotyczącym umowy [...];

[...] kwietnia 2009 r. – w zakresie dotyczącym umowy [...].

Zobowiązanie [...] zostało spłacone [...] marca 2016 r., a zobowiązanie [...] zostało spłacone [...] marca 2016 r.

Bank wyjaśnił, że w związku z wystąpieniem zwłoki w spłacie ww. zobowiązań "(...) w dniu [...].04.2011 r. wygenerowane zostały do Skarżącego zawiadomienia o zamiarze przetwarzania danych osobowych bez jego zgody po wygaśnięciu zobowiązania. Przedmiotowa korespondencja generowana jest automatycznie w ramach korespondencji masowej [...]". Do pisma dołączono wzór dokumentu, który był kierowany do klientów Banku w kwietniu 2011 r. w związku z realizacją obowiązku wynikającego z art. 105a ust. 3 Prawa bankowego.

Bank stwierdził też, że "[...] korespondencja kierowana do klientów dotycząca zawiadomienia o zamiarze przetwarzania danych po wygaśnięciu zobowiązań została wysłana listem zwykłym – z uwagi na brak wymogu wysyłki korespondencji w przedmiotowym zakresie listem poleconym lub za potwierdzeniem odbioru [...]". Podkreślił, że ustawodawca nie zdefiniował w art. 105a ust. 3 obowiązku informowania klientów o zamiarze dalszego przetwarzania danych (bez ich zgody) po wygaśnięciu zobowiązania – za potwierdzeniem odbioru. Wymóg dotyczy wyłącznie poinformowania o zamiarze dalszego przetwarzania, a takie działania Bank podjął. Bank podkreślił również, że korespondencja do M. F. została skierowana na adres wykorzystywany do korespondencji w ramach zawartych umów. Dodał, że dane M. F. powiązane z przedmiotowymi umowami nie są obecnie przetwarzane przez bank w trybie określonym w art. 105a ust. 3 Prawa bankowego do celów oceny zdolności kredytowej i analizy ryzyka kredytowego.

W piśmie z 1 czerwca 2021 r. (doręczonym 7 czerwca 2021 r.) zawiadomiono Bank o możliwości wypowiedzenia się co do zebranych dowodów i materiałów oraz zgłoszonych żądań.

PUODO decyzją z [...] sierpnia 2021 r. nr [...], na podstawie art. 6 ust. 1 oraz art. 58 ust. 2 lit. b RODO w zw. z art. 105a ust. 3 Prawa bankowego, udzielił upomnienia Bakowi za naruszenie art. 6 ust. 1 RODO polegające na przetwarzaniu danych osobowych M. F. dotyczących umowy nr [...] z [...] września 2009 r. o kredyt gotówkowy w celu oceny zdolności kredytowej i analizy ryzyka kredytowego w okresie od [...] stycznia 2019 r. do [...] listopada 2019 r. i umowy nr [...] z dnia [...] marca 2009 r. o kredyt gotówkowy w celu oceny zdolności kredytowej i analizy ryzyka kredytowego w okresie od [...] kwietnia 2019 r. do [...] listopada 2019 r. w systemie Biura Informacji Kredytowej S.A. z siedzibą w [...], z uwagi na brak spełnienia przesłanek z art. 105a ust. 3 Prawa bankowego.

W uzasadnieniu decyzji organ nadzorczy wywiódł, że Bank nie spełnił wobec M. F. obowiązku wynikającego z art. 105a ust. 3 Prawa bankowego, tj. nie poinformował skutecznie o zamiarze przetwarzania danych dotyczących jego i informacji stanowiących tajemnicę bankową, bez jego zgody po wygaśnięciu zobowiązania. PUODO stwierdził, że to Bank musi wykazać, iż M. F. został poinformowany o zamiarze przetwarzania danych bez jego zgody. W okolicznościach przedmiotowej sprawy, M. F. stwierdził, że przesłanki przetwarzania danych na podstawie art. 105a ust. 3 Prawa bankowego nie zostały spełnione, natomiast Bank oświadczył, że doszło do poinformowania wymienionego o zamiarze przetwarzania jego danych bez zgody. Brak jest jednak innych dowodów wskazujących na prawidłowe i skuteczne poinformowanie skarżącego o treści art. 105a ust. 3 Prawa bankowego niż oświadczenie Banku, pozostające w sprzeczności z twierdzeniami M. F..

Organ nadzorczy stwierdził, że Bank nie przedstawił dowodu potwierdzającego doręczenie M. F. dokumentu, w treści którego zawarta byłaby informacja o okolicznościach wskazanych w art. 105a ust. 3 Prawa bankowego, zatem okoliczność skutecznego poinformowania o treści art. 105a ust. 3 Prawa bankowego nie może zostać uznana za udowodnioną. Dodatkowo PUODO podkreślił, że sporządzenie i wysłanie ww. pisma nie jest równoznaczne z udowodnieniem jego prawidłowego doręczenia, skutkującego poinformowaniem skarżącego o zamiarze przetwarzania danych stanowiących tajemnicą bankową, bez jego zgody na podstawie art. 105a ust. 3 Prawa bankowego. Samo bowiem oświadczenie o przygotowaniu i wysłaniu korespondencji nie stanowi dowodu na jej dostarczenie lub poinformowanie o jej treści adresata. Jak zaznaczył organ nadzorczy, to do podmiotu informującego należy wybór formy przekazania odbiorcy komunikatu o zamiarze przetwarzania danych osobowych bez jego zgody. Jednocześnie to podmiot informujący wywodzi z powyższego skutki prawne, to zatem on ma wykazać, że poinformował M. F. o zamiarze przetwarzania danych stanowiących tajemnicę bankową, bez jego zgody na podstawie art. 105a ust. 3 Prawa bankowego.

Bank zaskarżył decyzję PUODO z [...] sierpnia 2021 r. do Wojewódzkiego Sądu Administracyjnego w Warszawie, zarzucając naruszenie:

1. art. 7, art. 77 § 1, 107 § 1 pkt 6 oraz § 3 i art. 80 K.p.a., które miało istotny wpływ na wynik sprawy, poprzez:

a. niedostateczne uzasadnienie faktyczne zaskarżonej decyzji i nieomówienie przyczyn, z powodu, których organ odmówił wiarygodności i mocy dowodowej oświadczeniu Banku zawartemu w pismach z 17 kwietnia 2019 r., 15 listopada 2019 r., 13 listopada 2020 r. w przedmiocie spełnienia wymogów wynikających z art. 105a ust. 3 Prawa bankowego;

b. dokonanie wadliwej oceny zgromadzonego w sprawie materiału dowodowego, a w konsekwencji błędne ustalenie stanu faktycznego w zakresie przyjęcia, że Bank przetwarzał dane osobowe M. F. w BIK S.A. bez spełnienia przesłanek z art. 105a ust. 3 Prawa bankowego do dnia [...] listopada 2019 r.;

c. nieuwzględnienie, że z pisma Banku z 17 kwietnia 2019 r. również wynikał zamiar przetwarzania danych osobowych M. F. po wygaśnięciu wskazanych w zaskarżonej decyzji zobowiązań wobec cofnięcia przez niego zgody na przetwarzanie danych osobowych;

d. nieuwzględnienie, że w dacie wydania zaskarżonej decyzji dane osobowe M. F. w BIK S.A. były przetwarzane zgodnie z art. 105a ust. 4 i 5 Prawa bankowego;

co w konsekwencji doprowadziło do nałożenia na Bank środka naprawczego;

2. art. 105 § 1 i art. 104 § 1 K.p.a. w zw. z art. 58 ust. 2 lit. b RODO, które miało istotny wpływ na wynik sprawy, poprzez wydanie decyzji administracyjnej w przedmiocie upomnienia Banku w sytuacji, gdy postępowanie ze skargi M. F. stało się bezprzedmiotowe z uwagi na przeniesienie jego danych osobowych do części statystycznej systemu BIK S.A. w dniu [...] listopada 2019 r.;

3. art. 58 ust. 2 lit. b RODO poprzez niewłaściwe zastosowanie i nałożenie na Bank środka naprawczego;

4. art. 104 § 1 K.p.a. w zw. z art. 58 ust. 2 lit. b RODO poprzez wydanie decyzji administracyjnej w sytuacji, gdy forma nałożenia tego środka naprawczego nie została określona przez ustawodawcę krajowego.

Podnosząc powyższe zarzuty, skarżąca wniosła o:

1. uchylenie zaskarżonej decyzji i umorzenie postępowania, a w przypadku nieuwzględnienia tego wniosku -

2. uchylenie zaskarżonej decyzji;

3. zasądzenie kosztów postępowania, w tym kosztów zastępstwa procesowego, według norm przepisanych;

4. uzupełnienie postępowania dowodowego i dopuszczenie dowodu z następujących dokumentów:

a. pisma z 14 kwietnia 2011 r. wraz kopertą celem wykazania faktu nadania w dniu 15 kwietnia 2011 r. do M. F. pisma znak: [...] zawierającego informację o zamiarze przetwarzania przez Bank informacji stanowiących tajemnicę bankową, wynikających z umowy nr [...] z [...] września 2009 r. bez jego zgody, wysłania ww. pisma na jego adres, dwukrotnego awizowania przesyłki pocztowej,

b. pisma z 6 grudnia 2011 r. wraz ze zwrotnym potwierdzeniem odbioru celem wykazania faktu nadania w dniu 13 grudnie 2011 r. do M. F. pisma znak: [...] zawierającego informację o zamiarze przetwarzania przez Bank informacji stanowiących tajemnicę bankową, wynikających z umowy nr [...] z [...] marca 2009 r. bez jego zgody, wysłania ww. pisma na jego adres, odebrania pisma przez członka jego rodziny.

Skarżąca stwierdziła, że dołącza do skargi ww. dokumenty w postaci kopii ograniczonych do treści niezbędnych dla rozstrzygnięcia sprawy.

PUODO wniósł o oddalenie skargi, podtrzymując w odpowiedzi na skargę argumentację zawartą w uzasadnieniu zaskarżonej decyzji.

Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje.

Skarga nie podlegała uwzględnieniu.

Zaskarżoną decyzją Prezes Urzędu Ochrony Danych Osobowych (dalej "PUODO") skorzystał z uprawnienia naprawczego przewidzianego w art. 58 ust. 2 lit. b rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. U. UE. L. z 2016 r. Nr 119, str. 1 ze zm.; dalej powoływane jako "RODO"), który stanowi dla organu nadzorczego podstawę do udzielania upomnień administratorowi lub podmiotowi przetwarzającemu w przypadku naruszenia przepisów rozporządzenia przez operacje przetwarzania.

"Przetwarzanie", zgodnie z art. 4 pkt 2 RODO, oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie.

Warunki uznania przetwarzania danych osobowych za legalne określono z kolei w art. 6 ust. 1 RODO, zgodnie z którym, przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy - i w takim zakresie, w jakim - spełniony jest co najmniej jeden z poniższych warunków: a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów; b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy; c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze; d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej; e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi;

f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem.

Akapit pierwszy lit. f) nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań.

Ponieważ zaskarżoną decyzją udzielono Bankowi upomnienia w związku z przetwarzaniem danych osobowych M. F. w systemie Biura Informacji Kredytowej S.A. z siedzibą w [...] (dalej "BIK") należy zaznaczyć, że przetwarzanie danych osobowych klientów banków przez BIK odbywa się zgodnie z art. 28 ust. 3 RODO, na podstawie zawartej z będącym administratorem danych Bankiem umowy powierzenia przetwarzania danych osobowych. BIK jest natomiast instytucją utworzoną w oparciu o art. 105 ust. 4 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz. U. z 2020 r. poz. 1896 ze zm. – dalej "Prawo bankowe").

Zgodnie z art. 105a ust. 1 Prawa bankowego, przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów, instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, a także instytucje utworzone na podstawie art. 105 ust. 4, informacji stanowiących tajemnicę bankową i informacji udostępnionych przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem art. 104, art. 105 i art. 106-106d, w celu oceny zdolności kredytowej i analizy ryzyka kredytowego.

Jak wynika z art. 105a ust. 2 Prawa bankowego, z zastrzeżeniem ust. 3, instytucje, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową oraz informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, w zakresie dotyczącym osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, pod warunkiem uzyskania pisemnej zgody osoby, której informacje te dotyczą, z zastrzeżeniem ust. 2a. Zgoda ta może być w każdym czasie odwołana.

Stosownie jednak do treści art. 105a ust. 3 Prawa bankowego, banki, instytucje oraz podmioty, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową i informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank, inną instytucję ustawowo upoważnioną do udzielania kredytów, instytucję pożyczkową albo podmiot, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, o zamiarze przetwarzania dotyczących jej tych informacji, bez jej zgody.

Z akt sprawy zakończonej zaskarżoną decyzją wynika (i nie jest to przedmiotem sporu między stronami), że: 1) zobowiązania M. F. wynikające z umów kredytowych nr [...] i nr [...] wygasły – odpowiednio [...] marca 2016 r. i [...] marca 2016 r.; 2) M. F. dopuścił się zwłoki powyżej 60 dni w spełnieniu świadczeń wynikających z tych umów; 3) [...] stycznia 2019 r. M. F. wycofał zgodę na przetwarzanie danych osobowych po spłacie zobowiązania wynikającego z umowy nr [...], a [...] kwietnia 2019 r. M. F. wycofał zgodę na przetwarzanie danych osobowych po spłacie zobowiązania wynikającego z umowy nr [...]; 4) [...] listopada 2019 r. Bank zaprzestał przetwarzania danych osobowych M. F. w bazie BIK celu oceny zdolności kredytowej i analizy ryzyka kredytowego na podstawie art. 105a ust. 3 Prawa bankowego. Dane podlegają przetwarzaniu wyłącznie do celów stosowania metod wewnętrznych na podstawie art. 105 ust. 4 i ust. 5 Prawa bankowego.

Istota sprawy sprowadzała się zatem do ustalenia, czy Bank - zgodnie z art. 105a ust. 3 Prawa bankowego - poinformował M. F. o zamiarze przetwarzania jego danych osobowych po wygaśnięciu wyżej wymienionych zobowiązań bez jego zgody. Należy przy tym zaznaczyć, że ze względu na konstrukcję tego przepisu, to na Banku spoczywał obowiązek wykazania określonych w nim przesłanek dopuszczalności przetwarzania (zob. np. wyrok Naczelnego Sądu Administracyjnego z 7 sierpnia 2018 r. sygn. akt I OSK 2123/15 – niepublikowany; dostępny: https://orzeczenia.nsa.gov.pl).

Jak wynika z akt sprawy, w odpowiedzi na wezwanie PUODO z 3 listopada 2020 r. Bank w piśmie z 13 listopada 2020 r. stwierdził, że "(...) w związku z wystąpieniem zwłoki w spłacie ww. zobowiązań w dniu [...].04.2011 r. wygenerowane zostały do Skarżącego zawiadomienia o zamiarze przetwarzania danych osobowych bez jego zgody po wygaśnięciu zobowiązania. Przedmiotowa korespondencja generowana jest automatycznie w ramach korespondencji masowej [...]". Dalej Bank wywiódł, że "[...] korespondencja kierowana do klientów dotycząca zawiadomienia o zamiarze przetwarzania danych po wygaśnięciu zobowiązań została wysłana listem zwykłym – z uwagi na brak wymogu wysyłki korespondencji w przedmiotowym zakresie listem poleconym lub za potwierdzeniem odbioru [...]"..

Do pisma z 13 listopada 2020 r. dołączono wzór dokumentu, który wedle twierdzenia Banku był kierowany do jego klientów w kwietniu 2011 r. w związku z realizacją obowiązku wynikającego z art. 105a ust. 3 Prawa bankowego.

Mając powyższe na uwadze, należy stwierdzić, że jakkolwiek w art. 105a ust. 3 Prawa bankowego nie określono szczegółowych wymogów formalnych, co do sposobu i treści poinformowania klienta lub byłego klienta banku o zamiarze przetwarzania danych bez jego zgody, to bynajmniej nie oznacza to, że dopuszczono dowolność w tym zakresie. Jak podkreśla się w orzecznictwie sądów administracyjnych, chociaż ustawodawca w żaden sposób nie ograniczył sposobów i form takiego powiadomienia, to w każdym wypadku sposób ten powinien umożliwić zweryfikowanie faktu poinformowania klienta banku o zamierzonym przetwarzaniu jego danych osobowych lub też przynajmniej potwierdzenie, że klientowi umożliwiono zapoznanie się z taką informacją. W tym zakresie nie mogą mieć miejsca jakiekolwiek domniemania faktyczne. W celu weryfikacji dopuszczalności przetwarzania danych osobowych na podstawie art.105a ust. 3 Prawa bankowego, PUODO musi zatem dysponować stosownymi dowodami na rzeczywiste wykonanie wymienionego w tym przepisie obowiązku poinformowania i w tym zakresie nie może opierać się wyłącznie na oświadczeniu Banku (zob. np. wyroki Naczelnego Sądu Administracyjnego z 27 października 2017 r. sygn. akt I OSK 3362/15 i z 27 sierpnia 2019 r. sygn. akt I OSK 2514/17; prawomocny wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z 8 października 2021 r. sygn. akt II SA/Wa 110/21 – niepublikowane; dostępne: https://orzeczenia.nsa.gov.pl).

Podzielając w pełni powyższe stanowisko, należy stwierdzić, że Bank, pomimo skierowanego przez PUODO wezwania, nie przedstawił jakichkolwiek dowodów potwierdzających, że faktycznie – jak utrzymuje – [...] kwietnia 2011 r. poinformował M. F. o zamiarze przetwarzania danych osobowych bez jego zgody na podstawie art. 105a ust. 3 Prawa bankowego. Takim dowodem z pewnością nie jest wzór pisma nieopatrzony jakimikolwiek danymi identyfikującymi, który miał być wykorzystywany w celu realizacji obowiązku wynikającego z art. 105a ust. 3 Prawa bankowego. Bank nie przedstawił w toku postępowania ani dowodu doręczenia M. F. skierowanego do niego pisma zawierającego informacje zgodną z art. 105a ust. 3 Prawa bankowego, ani dowodu nadania takiego pisma, ani nawet kopii samego pisma (zawierającego jakiekolwiek zindywidualizowane dane), które miało być wystosowane do M. F.. W istocie nie wykazał więc, że dopełnił obowiązku warunkującego dopuszczalność przetwarzania danych osobowych na podstawie art. 105a ust. 3 Prawa bankowego, bowiem – jak powyżej wywiedziono – samo oświadczenie, iż "(...) takie działania (...) podjął (...)", nie mogło stanowić podstawy do przyjęcia przez PUODO, że rzeczywiście miało to miejsce.

Wbrew twierdzeniu Banku, PUODO nie pominął faktu skierowania do M. F. pisma z [...] kwietnia 2019 r., którego kopię wymieniony dołączył do skargi z 30 kwietnia 2019 r. Pismo to zostało powołane w uzasadnieniu zaskarżonej decyzji (str. 2, pkt 1). Nie stanowi ono jednak dowodu poinformowania o zamiarze przetwarzania danych osobowych M. F. bez jego zgody. Przeciwnie, pismo to stanowi informację o tym, że Bank przetwarza już te dane zgodnie z prawem, ponieważ spełnione zostały warunki określone w art. 105a ust. 3 Prawa bankowego, w tym warunek powiadomienia o zamiarze przetwarzania danych bez zgody po wygaśnięciu zobowiązania, co – zgodnie z informacją zawartą w tym piśmie - miało nastąpić [...] kwietnia 2011 r.

Sąd postanowił uwzględnić wniosek dowodowy zawarty w skardze i przeprowadził dowód uzupełniający z dołączonych do niej dokumentów w postaci wyciągów z pism z 14 kwietnia 2011 r. znak: [...] (karta nr 22) oraz z 6 grudnia 2011 r. znak: [...] (karta nr 25). Pisma te zostały bowiem skierowane do M. F. przed wydaniem zaskarżonej decyzji, natomiast Sąd podziela pogląd wyrażany w orzecznictwie sądów administracyjnych, zgodnie z którym, nie ma podstaw, by pojęcie "naruszenia prawa", w rozumieniu art. 145 § 1 pkt 1 lit b ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2022 r. poz. 329 ze zm. – dalej powoływana jako "P.p.s.a.") ograniczać jedynie do części przesłanek wznowienia postępowania. Naruszenie prawa nie może bowiem być odnoszone tylko do sytuacji, gdy zachodzi prosta sprzeczność między treścią przepisu a sposobem jego zastosowania przez organ administracji. Każda zatem podstawa wznowienia postępowania administracyjnego jest tożsama z "naruszeniem prawa" i powinna być brana pod uwagę w toku sądowej kontroli decyzji (zob. np. wyroki Naczelnego Sądu Administracyjnego: z 25 lutego 2020 r. sygn. akt II OSK 145/20, z 23 marca 2016 r. sygn. akt I OSK 2947/14, z 9 grudnia 2011 r. sygn. akt II OSK 807/11, z 13 marca 2019 r. sygn. akt II OSK 3632/18, z 5 kwietnia 2012 r. sygn. akt II OSK 815/11 – niepublikowane; poza dwoma ostatnimi z wymienionych dostępne: https://orzeczenia.nsa.gov.pl).

Podstawę uchylenia zaskarżonej decyzji mogłyby zatem stanowić art. 145 § 1 pkt 1 lit. b P.p.s.a. w zw. a z art. 145 § 1 pkt 5 K.p.a. (wyjdą na jaw istotne dla sprawy nowe okoliczności faktyczne lub nowe dowody istniejące w dniu wydania decyzji, nieznane organowi, który wydał decyzję), pod warunkiem jednak, że wyżej wymienne pisma stanowiłyby dowód dopełnienia przez Bank obowiązku poinformowania M. F. o zamiarze przetwarzania jego danych osobowych na podstawie art. 105a ust. 3 Prawa bankowego.

Należy więc w pierwszym rzędzie zauważyć, że oba rzeczone pisma, jako podstawę przetwarzania informacji jednoznacznie wskazują nie art. 105a ust. 3 Prawa bankowego, lecz art. 105a ust. 2 tej ustawy, który dopuszczalność przetwarzania warunkuje zgodą osoby, której informację dotyczą, i która to zgoda może zostać cofnięta.

Podniesiona przez Bank na etapie wniesienia skargi argumentacja, jakoby to pisma z 14 kwietnia 2011 r. i 6 grudnia 2011 r. miały stanowić dowód wywiązania się z obowiązku poinformowania M. F. o zamiarze przetwarzania jego danych bez zgody na podstawie art. 105a ust. 3 Prawa bankowego, przeczy też konsekwentnie prezentowanemu w toku postępowania administracyjnego stanowisku, że informacja taka została udzielona [...] kwietnia 2011 r. (pisma Banku z 17 kwietnia 2019 r., z 15 listopada 2019 r., z 13 listopada 2020 r.).

Co więcej, inaczej niż w dołączonym do pisma Banku z 13 listopada 2020 r. wzorze pisma informacyjnego, w pismach z 14 kwietnia 2011 r. i z 6 grudnia 2011 r. nie zawarto informacji o tym, że Bank będzie przetwarzał dane, o ile M. F. nie ureguluje zadłużenia w terminie 30 dni od poinformowania. Mając to na uwadze, należy natomiast podkreślić materialny (ochronny), a nie formalny charakter obowiązku informacyjnego, o którym mowa w art. 105a ust. 3 Prawa bankowego. Termin 30 dni został bowiem wprowadzony w celu zapewnienia klientowi banku będącemu osobą fizyczną ostatecznej możliwości wywiązania się ze zobowiązania i tym samym uniknięcia negatywnych konsekwencji w postaci przetwarzania o nim informacji, jako o niesolidnym dłużniku. Jeśli zatem w okresie 30 dni od powiadomienia o zamiarze przetwarzania informacji bez zgody klient spłaci całą zaległość wobec banku, to po upływie 30 dni bank oraz inna instytucja, o której mowa w art. 105 ust. 4 Prawa bankowego, nie mogą przetwarzać informacji bez zgody klienta.

Z powyższych względów Sąd nie znalazł podstaw do uznania, że dołączone do skargi pisma z 14 kwietnia 2011 r. i z 6 grudnia 2011 r. podważają prawidłowość kluczowego dla rozstrzygnięcia sprawy ustalenia o braku spełnienia przez Bank obowiązku informacyjnego zgodnie z art. 105a ust. 3 Prawa bankowego.

Chybiony jest także zarzut naruszenia art. 105 § 1 i art. 104 K.p.a. w zw. z art. 58 ust. 2 lit. b RODO. Okoliczność bowiem zaprzestania przetwarzania danych bez przesłanki legalizującej przed wydaniem rozstrzygnięcia przez organ nadzorczy nie powoduje bezprzedmiotowości postępowania w rozumieniu art. 105 § 1 K.p.a. PUODO może bowiem skorzystać z przysługujących mu uprawnienia naprawczego w postaci upomnienia również po ustaniu naruszenia. Nie jest wymagane, aby stan naruszenia był kontynuowany w dacie wydania rozstrzygnięcia, bowiem wystarczy samo ustalenie, że naruszenie zaistniało.

Wbrew stanowisku skarżącej również forma prawna (decyzji administracyjnej), w której PODO udzielił upomnienia nie budzi wątpliwości. Zgodnie bowiem z art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781 – stan prawny na dzień wydania zaskarżonej decyzji; dalej powoływana jako "uodo"), w sprawach nieuregulowanych w ustawie do postępowań administracyjnych przed Prezesem Urzędu Ochrony Danych Osobowych (dalej "PUODO"), o których mowa w rozdziałach 4-7 i 11, stosuje się ustawę z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego. Postępowaniami, o których mowa w rozdziale 7 uodo są postępowania w sprawie naruszenia przepisów o ochronie danych osobowych, do których zalicza się postępowania prowadzone w ramach realizacji przez PUODO zadań i uprawnień organu nadzorczego określonych w art. 57 i art. 58 RODO.

Reasumując, kontrola zaskarżonej decyzji nie dała podstaw do stwierdzenia, że została ona wydana z naruszeniem przepisów postępowania lub prawa materialnego. Wszystkie istotne okoliczności sprawy, ustalone w oparciu o należycie zgromadzony materiał dowodowy, zostały prawidłowo ocenione. Ocena ta doprowadziła do trafnego wniosku, że Bank nie wykazał, iż poinformował M. F. o zamiarze przetwarzania jego danych osobowych na podstawie art. 105a ust. 3 Prawa bankowego, a co za tym idzie, że nie był uprawniony do ich przetwarzania w oparciu o ten przepis. Co za tym idzie, PUODO zasadnie udzielił upomnienia na podstawie art. 58 ust. 2 lit. b RODO.

W tym stanie rzeczy, na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2022 r. poz. 329 ze zm.), Wojewódzki Sąd Administracyjny w Warszawie oddalił skargę.