I OSK 2479/16

Naczelny Sąd Administracyjny w składzie: Przewodniczący: sędzia NSA Aleksandra Łaskarzewska sędzia NSA Ewa Kręcichwost-Durchowska sędzia NSA Zbigniew Ślusarczyk (spr.) Protokolant starszy asystent sędziego Joanna Ukalska po rozpoznaniu w dniu 28 września 2018 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej C. P. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 20 maja 2016 r. sygn. akt II SA/Wa 1652/15 w sprawie ze skargi C.P. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] sierpnia 2015 r. nr [...] w przedmiocie przetwarzanie danych osobowych 1. oddala skargę kasacyjną, 2. zasądza od C. P. na rzecz Prezesa Urzędu Ochrony Danych Osobowych kwotę 480 (słownie: czterysta osiemdziesiąt) złotych tytułem zwrotu kosztów postępowania kasacyjnego. Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 20 maja 2016 r. sygn. akt II SA/Wa 1652/15 na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2012, poz. 270 ze zm., dalej: p.p.s.a.) oddalił skargę C. P. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] sierpnia 2015 r. nr [...] w przedmiocie przetwarzania danych osobowych C. P. przez Bank [...] w W. S.A. z siedzibą w W. (dalej: Bank [...]) polegającego na udostępnieniu jego danych osobowych na rzecz Biura Informacji Kredytowej S.A. z siedzibą w Warszawie (dalej: BIK) i Związku Banków Polskich z siedzibą w Warszawie (dalej: ZBP) oraz niezrealizowaniu obowiązku informacyjnego, o którym mowa w art. 24 ust. 1 i art. 33 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2014, poz. 1182 ze zm., dalej: ustawa o ochronie danych osobowych). Na mocy tej decyzji organ w oparciu o art. 12 pkt 2, art. 18 ust. 1 pkt 6, art. 22, art. 23 ust. 1 i art. 33 ustawy o ochronie danych osobowych oraz art. 105 ust. 4 i art. 105a ust. 1 ustawy dnia 29 sierpnia 1997 r. - Prawo bankowe (Dz. U. z 2015, poz. 128 ze zm., dalej: Prawo bankowe) odmówił uwzględnienia wniosku C. P. w pozostałym zakresie, tj. poza nakazaniem BIK usunięcia ze zbioru danych BIK danych osobowych wnioskodawcy, przetwarzanych w zakresie dwóch zapytań złożonych przez Bank [...] w dniu 17 maja 2012 r. oraz jednego złożonego przez Bank [...] w dniu 15 listopada 2012 r., w celu zarządzania klientem. Skargę kasacyjną od tego wyroku złożył C. P., zaskarżając go w całości wniósł o "uchylenie zaskarżonej i poprzedzającej decyzji GIODO oraz zobowiązanie GIODO do wydania decyzji nakazującej usunięcie danych osobowych stanowiących tajemnicę bankową przetwarzanych przez BIK i ZBP, które zostały i są nadal przekazywane przez Bank [...] oraz zakazanie przekazywania danych osobowych skarżącego przetwarzanych w Banku [...] do ZBP i BIK". Ponadto wniósł o "zwrot poniesionych przez skarżącego wpisów sądowych, zasądzenie na rzecz skarżącego kosztów postępowania przez WSA oraz zasądzenie kosztów zastępstwa adwokackiego za instancję kasacyjną według norm przepisanych". Zaskarżonemu orzeczeniu zarzucił naruszenie prawa materialnego poprzez: 1) niewłaściwe zastosowanie art. 105 ust. 4 Prawa bankowego poprzez błędne ustalenie, że ZBP działający na podstawie ustawy z dnia 30 maja 1989 r. o izbach gospodarczych jest samodzielnie uprawniony do przetwarzania danych osobowych stanowiących tajemnicę bankową; 2) niewłaściwe zastosowanie art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych w zw. z art. 5, 6, 70 ust. 1, 105a ust. 1, 104 ust. 2 i 3 oraz 105 ust. 4 Prawa bankowego poprzez błędne ustalenie, że bank mógł bez zgody klienta przekazywać dane stanowiące tajemnicę bankową do instytucji utworzonych na podstawie art. 105 ust. 4 Prawa bankowego, takich jak BIK czy ZBP; 3) niewłaściwe zastosowanie art. 23 ust. 1 pkt 1 ustawy o ochronie danych osobowych w zw. z art. 65 § 1, 535 § 1, 385 § 2 oraz 3851 § 1 kodeksu cywilnego poprzez błędną ocenę złożonego przez skarżącego oświadczenia woli, które nie było zgodą na udostępnienie danych stanowiących tajemnicę bankową do ZBP i BIK i - co istotne - przekazywanie danych miało miejsce po rozwiązaniu umowy; 4) niewłaściwe zastosowanie art. 105a ust. 3 Prawa bankowego poprzez błędne ustalenie, że ZBP (pomijają ustawową legitymację do przetwarzania danych) był uprawniony do przetwarzania danych przekazanych w czerwcu 2004 r. przez Bank [...], gdy tymczasem przepis ten obowiązywał od 16 czerwca 2005 r., a ponadto wymagane jest uprzednie powiadomienie o przekazywaniu danych klienta bez jego zgody do instytucji utworzonych na podstawie ar. 105 ust. 4 Prawa bankowego. W uzasadnieniu wskazano, że z treści § 54 Regulaminu Kart Kredytowych [...] wynika, że skarżący, akceptując ten regulamin, został jedynie poinformowany o przekazywaniu danych przez Bank [...], ale explicite wymaganej zgody nie udzielił. Zdaniem autora skargi kasacyjnej postanowienie to nie spełnia wymogów jasnej i sprecyzowanej zgody lub pisemnego upoważnienia do przetwarzania (w tym przekazywania) danych osobowych "powoda" do wymienionych w nim instytucji (tj. do Biura Informacji Kredytowej S.A. w Warszawie oraz Systemu Międzybankowej Informacji Gospodarczej - Bankowy Rejestr, prowadzonego przez Związek Banków Polskich w Warszawie). Ponadto w ocenie autora skargi kasacyjnej, nawet w razie przyjęcia, że skarżący upoważnił Bank [...] do przekazywania informacji objętych tajemnicą bankową, upoważnienie takie mogło być skuteczne tylko przez czas obowiązywania umowy o korzystanie z karty kredytowej. Po dniu rozwiązania umowy takie upoważnienie powinno być udzielone ponownie. W ocenie autora skargi kasacyjnej do przekazania danych osobowych skarżącego przez Bank [...] do BIK i ZBP niezbędne było uzyskanie jego wyraźnej zgody na ujawnienie informacji stanowiących tajemnicę bankową. Autor skargi kasacyjnej podniósł, że Sąd I instancji w ogóle nie odniósł się do orzecznictwa przytoczonego na potwierdzenie powyższej tezy w skardze do WSA. Ponadto podniesiono, że w sprawie nie ma zastosowania art. 104 ust. 2 Prawa bankowego, upoważniający do przekazywania danych stanowiących tajemnicę bankową. Podkreślono, że ocena zdolności kredytowej poprzedza udzielenie kredytu i nie jest czynnością bankową w rozumieniu tej ustawy. Dodatkowo zwrócono uwagę na to, że art. 105 ust. 4 Prawa bankowego wskazuje, że "instytucję" do gromadzenia informacji współtworzyć musi co najmniej jeden bank oraz bankowa izba gospodarcza, za którą można uznać ZBP, gdyż funkcjonuje w oparciu o ustawę o izbach gospodarczych. W takim stanie rzeczy wątpliwa jest w ocenie autora skargi kasacyjnej legitymacja Systemu Międzybankowej Informacji Gospodarczej, działającego przy ZBP do gromadzenia danych stanowiących tajemnicę bankową. W odpowiedzi na skargę kasacyjną Generalny Inspektor Ochrony Danych Osobowych wniósł o jej oddalenie. W ocenie organu zaskarżony wyrok odpowiada prawu. Następca prawny GIODO - Prezes Urzędu Ochrony Danych Osobowych wniósł ponadto o zasądzenie od skarżącego kasacyjnie kosztów postępowania kasacyjnego. Naczelny Sąd Administracyjny zważył, co następuje: Sposób sporządzenia skargi kasacyjnej powoduje konieczność przytoczenia uwag związanych z wymogami dla skargi kasacyjnej przewidzianymi w ustawie Prawo o postępowaniu przed Sądami administracyjnymi. Godzi się bowiem przypomnieć, że rozpoznając skargę kasacyjną – po myśli art. 183 ustawy z dnia 30 sierpnia 2002 roku - Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2018 roku, poz. 1302 ze zm.) – Naczelny Sąd Administracyjny czyni to w granicach zakreślonych przez ramy tego środka odwoławczego, gdyż jest nimi związany, biorąc pod rozwagę z urzędu w zasadzie tylko nieważność postępowania. Przy braku przesłanek nieważnościowych w sprawie podlegały rozpoznaniu wyłącznie zarzuty podniesione w skardze kasacyjnej na uzasadnienie przytoczonych podstaw kasacyjnych. W myśl art. 174 p.p.s.a. skargę kasacyjną można oprzeć na następujących podstawach: 1) naruszeniu prawa materialnego przez błędną jego wykładnię lub niewłaściwe zastosowanie; 2) naruszeniu przepisów postępowania, jeżeli uchybienie to mogło mieć istotny wpływ na wynik sprawy. Związanie NSA podstawami skargi kasacyjnej wymaga prawidłowego ich określenia w samej skardze. Oznacza to konieczność powołania konkretnych przepisów prawa, którym – zdaniem skarżącego – uchybił sąd, określenia, jaką postać miało to naruszenie, uzasadnienia zarzutu ich naruszenia, a w razie zgłoszenia zarzutu naruszenia przepisów postępowania – wykazania dodatkowo, że to wytknięte uchybienie mogło mieć istotny wpływ na wynik sprawy. Zarzut naruszenia prawa materialnego, może przejawiać się w dwóch postaciach: jako błędna wykładnia albo jako niewłaściwe zastosowanie określonego przepisu prawa. Podnosząc zarzut naruszenia prawa materialnego przez jego błędną wykładnię wykazać należy, że sąd mylnie zrozumiał stosowany przepis prawa, natomiast uzasadniając zarzut niewłaściwego zastosowania przepisu prawa materialnego wykazać należy, że sąd stosując przepis popełnił błąd subsumcji, czyli że niewłaściwie uznał, iż stan faktyczny przyjęty w sprawie nie odpowiada stanowi faktycznemu zawartemu w hipotezie normy prawnej zawartej w przepisie prawa. W obu tych przypadkach autor skargi kasacyjnej wykazać musi, jak w jego ocenie powinien być rozumiany stosowany przepis prawa, czyli jaka powinna być jego prawidłowa wykładnia. Jednocześnie należy podkreślić, że ocena zasadności zarzutu naruszenia prawa materialnego może być dokonana wyłącznie na podstawie ustalonego w sprawie stanu faktycznego, nie zaś na podstawie stanu faktycznego, który skarżący uznaje za prawidłowy (por. wyrok NSA z dnia 13 sierpnia 2013 r., sygn. akt II GSK 717/12, LEX nr 1408530; wyrok NSA z dnia 4 lipca 2013 r., sygn. akt I GSK 934/12, LEX nr 1372091). Z punktu widzenia skuteczności postawionych w skardze kasacyjnej zarzutów podkreślenia wymaga, że przytoczenie podstawy kasacyjnej musi być precyzyjne. Jeżeli przepis prawa składa się z kilku jednostek redakcyjnych wówczas zarzucane naruszenie należy powiązać z jego konkretną jednostką redakcyjną. W odniesieniu do przepisu, który nie stanowi jednej zamkniętej całości, a składa się z paragrafów, punktów i innych jednostek redakcyjnych, wymóg skutecznie wniesionej skargi kasacyjnej jest spełniony wówczas, gdy wskazuje ona konkretny przepis naruszony przez sąd pierwszej instancji, z podaniem numeru artykułu, ustępu, punktu i ewentualnie innej jednostki redakcyjnej przepisu. Warunek przytoczenia podstawy kasacyjnej i jej uzasadnienia nie jest spełniony, gdy skarga kasacyjna zawiera wywody zmuszające sąd drugiej instancji do domyślania się, który przepis prawa autor kasacji miał na uwadze, podnosząc zarzut naruszenia przepisów prawa. Kasacja nieodpowiadająca tym wymaganiom, pozbawiona konstytuujących ją elementów treściowych uniemożliwia sądowi ocenę jej zasadności. Ze względu na wymagania stawiane skardze kasacyjnej, usprawiedliwione zasadą związania Naczelnego Sądu Administracyjnego jej podstawami, sporządzenie skargi kasacyjnej jest obwarowane przymusem adwokacko - radcowskim (art. 175 § 1 - 3 p.p.s.a). Opiera się on na założeniu, że powierzenie czynności sporządzenia skargi kasacyjnej wykwalifikowanym prawnikom zapewni jej odpowiedni poziom merytoryczny i formalny, umożliwiający Sądowi kasacyjnemu dokonanie kontroli zaskarżonego orzeczenia. Autor rozpoznawanej skargi kasacyjnej nie wszystkie wskazane wyżej wymagania spełnił. W szczególności nie podał stosownych jednostek redakcyjnych art. 5 i art. 6 ustawy Prawo bankowe, których naruszenie zarzucił. Nie uzasadnił także właściwie naruszenia prawa materialnego. Naruszeń w tym zakresie upatruje w niewłaściwym zastosowaniu wskazanych przepisów ale "przez błędne ustalenia". Natomiast ustaleń w sprawie dokonuje się na podstawie przepisów postępowania. W orzecznictwie NSA panuje niekwestionowany pogląd, że próba zwalczenia ustaleń faktycznych poczynionych przez sąd I instancji nie może nastąpić przez zarzut naruszenia prawa materialnego (art. 174 pkt 1 p.p.s.a.). Ewentualnie może być ona skuteczna, tylko w ramach podstawy kasacyjnej wymienionej w art. 174 pkt 2 p.p.s.a. – wyrok NSA z 6 lipca 2004 r., FSK 192/04, ONSAiWSA 2004, nr 3, poz. 68. I odwrotnie zresztą, zarzut naruszenia prawa materialnego nie może być skutecznie uzasadniony próbą zwalczenia poczynionych w sprawie ustaleń – wyrok NSA z 16 września 2004 r., FSK 471/04, ONSAiWSA 2005, nr 5, poz. 96, jak to ma miejsce w skardze kasacyjnej rozpoznawanej w niniejszej sprawie. W świetle orzecznictwa Naczelnego Sądu Administracyjnego braki w powyższym zakresie nie uzasadniają wprawdzie stwierdzenia, że skarga kasacyjna nie spełnia ustawowych wymogów określonych w art. 176 p.p.s.a. i podlega odrzuceniu (por. wyrok NSA z dnia 11 maja 2006 r., II FSK 684/05, LEX nr 273665), nie stanowi jednak wypełnienia koniecznego wymogu profesjonalizmu we wnoszeniu skargi kasacyjnej przez profesjonalnego pełnomocnika. Przedstawione uchybienia pełnomocnika skarżącego co prawda nie uniemożliwiają rozpoznania skargi kasacyjnej ale znacznie ograniczają możliwość odniesienia się do tak sformułowanych zarzutów i ograniczają ich skuteczność. Z powyższego wynika, że skoro w skardze kasacyjnej nie doszło do skutecznego podważenia stanu faktycznego ponieważ nie podniesiono w niej zarzutów naruszenia przepisów postępowania regulujących ustalanie stanu faktycznego będącego podstawą zaskarżonego wyroku i rozstrzygnięcia organu administracji, Naczelny Sąd Administracyjny ocenę podniesionych zarzutów skargi kasacyjnej oparł na stanie faktycznym ustalonym przez GIODO i zaakceptowanym przez Sąd pierwszej instancji. Należy tu też zaznaczyć, że ten stan faktyczny został ustalony na dzień wydania zaskarżonej decyzji. Z ustaleń tych wynika w szczególności to, że skarżący nie zapłacił Bankowi [...] należności z tytułu udzielonego mu kredytu w związku z zawartą przez niego umową o korzystanie z karty kredytowej typu [...]. Zatem zobowiązanie skarżącego z tego tytułu, pomimo rozwiązania umowy, nie wygasło. W ocenie Naczelnego Sądu Administracyjnego, podniesione w skardze kasacyjnej zarzuty naruszenia wskazanych w niej przepisów prawa materialnego nie mogły odnieść zamierzonego skutku. Odnosząc się do pierwszego z zarzutów dotyczącego niewłaściwego zastosowania art. 105 ust. 4 ustawy Prawo bankowe, uznać należy, iż jest on nietrafny. Istota tego zarzutu sprowadza się do zakwestionowania stwierdzenia Wojewódzkiego Sądu Administracyjnego w Warszawie, który zaaprobował stanowisko organu przyjmujące, że Związek Banków Polskich utworzony w oparciu o w/w przepis, działający na podstawie ustawy z dnia 30 maja 1989 r. o izbach gospodarczych jest uprawniony do przetwarzania danych stanowiących tajemnicę bankową. Zdaniem skarżącego System Międzybankowej Informacji Gospodarczej – Bankowy Rejestr jest prowadzony przez Związek Banków Polskich, a nie instytucję utworzoną wspólnie przez banki i bankową izbę gospodarczą (jaką jest ZBP). Skoro Związek Banków Polskich nie jest "instytucją", o której mowa w art. 105 ust. 4 ustawy Prawo bankowe, to nie może samodzielnie gromadzić, przetwarzać i udostępniać bankom informacji stanowiących tajemnicę bankową. Na wstępie zauważyć należy, iż powołany przepis nie określa formy organizacyjnej "instytucji" upoważnionej do gromadzenia, przetwarzania i udostępniania bankom informacji stanowiących tajemnicę bankową. Związek Banków Polskich można uznać za taką instytucję. Jest on administratorem danych zawartych w Systemie Międzybankowej Informacji Gospodarczej – Bankowy Rejestr, który funkcjonuje w oparciu o statut ZBP i umowy z poszczególnymi bankami "o zasadach uczestnictwa i współpracy w zakresie wymiany informacji w systemie Międzybankowej Informacji Gospodarczej – Bankowy Rejestr", do których załącznik stanowi odpowiedni regulamin. Naczelny Sąd Administracyjny podziela stanowisko NSA przyjęte w wyroku z dnia 10 listopada 2015 r. (sygn. akt I OSK 1318/14), że na mocy Regulaminu Wymiany Informacji w Systemie Międzybankowej Informacji Gospodarczej – Bankowy Rejestr, system ten polega na przyjmowaniu i gromadzeniu przez Związek Banków Polskich informacji o klientach banków, a następnie kontaktowaniu się banków zainteresowanych tymi informacjami. W załączniku nr 1 do regulaminu zostały określone kryteria klasyfikowania klientów do systemu z uwzględnieniem postanowień uchwały Komisji Nadzoru Bankowego z dnia 22 grudnia 1998 r. nr 13/98 w sprawie zasad tworzenia rezerw na ryzyko związane z działalnością banków (Dz. Urz. NBP Nr 29, poz. 65). Dane klientów, wraz z informacjami o wierzytelnościach są przetwarzane w w/w Rejestrze w związku z tym, że informacje te są potrzebne w celu udzielenia kredytów, pożyczek pieniężnych, gwarancji bankowych i poręczeń. Związek Banków Polskich, przetwarzając dane osobowe w Systemie Międzybankowej Informacji Gospodarczej – Bankowy Rejestr, czyni to na podstawie art. 23 ust. 1 pkt 2 u.o.d.o. Powyższe rozważania prowadzą do wniosku, iż Sąd pierwszej instancji prawidłowo zastosował przepis art. 105 ust. 4 ustawy Prawo bankowe i zasadnie uznał, że w rozumieniu tego przepisu Związek Banków Polskich jest instytucją upoważnioną – do gromadzenia, przetwarzania i udostępniania bankom informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych. Podane w art. 5 ustawy Prawo bankowe czynności bankowe są elementem składowym szeroko rozumianej "działalności bankowej", obejmującej ponadto wykonywanie przez bank innych działań wymienionych w art. 6 tej ustawy. Natomiast jednym z elementów czynności polegających na udzielaniu kredytów jest ocena zdolności kredytowej i analiza ryzyka kredytowego. Zdaniem Naczelnego Sądu Administracyjnego nietrafny jest również kolejny zarzut skargi kasacyjnej – niewłaściwego zastosowania art. 23 ust. 1 pkt 2 u.o.d.o. w zw. z art. 5, art. 6, art. 70 ust. 1, art. 104 ust. 2, art. 104 ust. 3, oraz art. 105 ust. 4 ustawy Prawo bankowe. Wskazać należy, iż zgoda na przetwarzanie danych, o której mowa w art. 23 ust. 1 pkt 1 u.o.d.o., nie jest jedyną przesłanką legalizującą proces przetwarzania danych. Dla legalności procesu przetwarzania danych osobowych wystarczające jest spełnienie jednej z przesłanek wymienionych w art. 23 ust. 1 u.o.d.o. Przesłanki te odnoszą się do wszelkich form przetwarzania danych wymienionych w art. 7 pkt 2 u.o.d.o., w tym w szczególności do ich udostępnienia. Są także względem siebie równoprawne. W przedmiotowej sprawie przekazanie danych skarżącego stanowiących tajemnicę bankową przez Bank [...] do ZBP i BIK nastąpiło w oparciu o przesłankę określoną w art. 23 ust.1 pkt 2 (w zw. z art. 105 ust. 4 i 105a ust. 1 ustawy Prawo bankowe), a dla legalności tego udostępnienia (na mocy art. 105 ust. 4 i 105a ust. 1 ustawy Prawo bankowe) zgoda skarżącego nie była wymagana. Stosownie do art. 23 ust. 1 pkt 2 u.o.d.o., przetwarzanie danych osobowych jest dopuszczalne wtedy, gdy jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa. Z art. 70 ust. 1 ustawy Prawo bankowe wynika, że bank uzależnia przyznanie kredytu od zdolności kredytowej kredytobiorcy. Przez zdolność kredytową rozumie się zdolność do spłaty zaciągniętego kredytu wraz z odsetkami w terminach określonych w umowie. Kredytobiorca jest obowiązany przedłożyć na żądanie banku dokumenty i informacje niezbędne do dokonania oceny tej zdolności i analizy ryzyka kredytowego. Bank, wypełniając ten obowiązek, był uprawniony do przekazania ZBP i BIK danych osobowych skarżącego wraz z informacjami dotyczącymi jego zobowiązań kredytowych (art. 105 ust. 4 i art. 105a ust. 1 ustawy Prawo bankowe). Nie stoi temu na przeszkodzie wskazany jako naruszony art. 104 ust. 3 ustawy Prawo bankowe. Przepis ten stanowi, że banku nie obowiązuje, z zastrzeżeniem ust. 4, zachowanie tajemnicy bankowej wobec osoby, której dotyczą informacje objęte tajemnicą. Osobom trzecim informacje te mogą być ujawnione, z zastrzeżeniem art. 105, art. 106a i art. 106b, wyłącznie gdy osoba, której informacje te dotyczą, na piśmie upoważni bank do przekazania określonych informacji wskazanej przez siebie osobie lub jednostce organizacyjnej. Użyty w tym przepisie zwrot "z zastrzeżeniem art. 105" oznacza, że zgoda nie jest wymagana, gdy przetwarzanie danych dotyczy instytucji utworzonej w oparciu o art. 105 ust. 4 ustawy Prawo bankowe (por. wyrok NSA z dnia 11 kwietnia 2011 r. sygn. akt I OSK 820/10 M.Pr.Bank. 2012/2/19-23). Dodanie od dnia 1 kwietnia 2007 r. w art. 105 ust. 4 powołanej ustawy słowa "upoważnione" nie zmienia wcześniejszego znaczenia tego przepisu, a jedynie doprecyzowuje jego treść, gdyż po to stworzono możliwość tworzenia instytucji do gromadzenia, przetwarzania i udostępniania danych, aby banki mogły właściwe wypełniać ustawowe obowiązki. BIK i ZBP zostały utworzone właśnie w celu zmniejszenia dla banków i instytucji kredytowych ryzyka udzielania trudnych kredytów, przyśpieszenia i uproszczenia procedur kredytowych, wspomagania decyzji banków dotyczących udzielania kredytu. Przepis art. 105a ust. 1 tej ustawy potwierdza tylko takie ustalenia, a wnioski wypływające z odesłania do art. 104 ust. 3 cyt. ustawy zostały wyżej omówione. Z przywołanego w uzasadnieniu zarzutu drugiego wyroku NSA z dnia 14 września 2005 r. sygn. akt I OSK 39/05 i wyroku Sądu Apelacyjnego w Warszawie Sygn. akt VI ACa 1192/09 co prawda wynika, że przepis art. 105 ust. 4 ustawy Prawo bankowe nie stanowi samoistnej podstawy do przetwarzania danych osobowych bez zgody osób, których dotyczą, to jednak pogląd ten nie podważa stanowiska GIODO i Sądu, bowiem jako podstawę przyjęcia w niniejszej sprawie zbędności zgody skarżącego na przetwarzanie jego danych osobowych przyjęto nie tylko ten przepis ale przepisy art. 23 ust. 1 pkt 2 u.o.d.o. w zw. z art. 105 ust. 4, art. 70 ust. 1 i art. 105a ust. 1 ustawy Prawo bankowe. Odnoszenie się do zarzutu skargi kasacyjnej podanego w pkt 3 tj. naruszenia art. 23 ust 1 pkt 1 u.o.d.o. w zw. z art. 65 § 1 k.c. art. 535 § 1 k.c. art. 385 § 2 k.c. i art. 385¹ § 1 k.c. dotyczącym kwestii braku zgody skarżącego na udostępnienie przez Bank danych stanowiących tajemnicę bankową do BIK i ZBP, szeroko uargumentowanym w uzasadnieniu skargi kasacyjnej, nie było konieczne, gdyż zagadnienie to zostało wyjaśnione przy omawianiu zarzutu określonego w pkt 2, poprzez stwierdzenie, że w tym przypadku zgoda skarżącego nie była wymagana. Zatem kwestie dotyczące tego czy zgoda taka została udzielona nie miały znaczenia dla rozstrzygnięcia sprawy. Nietrafny okazał się także zarzut naruszenia art. 105a ust. 3 ustawy Prawo bankowe, poprzez jego niewłaściwe zastosowanie. Powołany przepis dotyczy wyrażenia przez osobę, której dane dotyczą, zgody na przetwarzanie danych po wygaśnięciu zobowiązania. W niniejszej sprawie nie miał on zastosowania albowiem zobowiązania skarżącego wynikające z umów kredytowych wobec Banku, jak już wskazano wyżej, nie wygasły. Dla obowiązku uzyskania takiej zgody bez znaczenia jest okoliczność, że ZBP pozyskał dane skarżącego przed dniem wejścia w życie ustawy z dnia 15 kwietnia 2005 r. o zmianie ustawy o ochronie informacji niejawnych oraz niektórych innych ustaw (Dz. U. Nr 85, poz. 727), tj. przed dniem 16 czerwca 2005 r. Fakt ten oznacza jedynie, że przed tą datą ZBP nie mógłby przetwarzać danych osobowych skarżącego po wykonaniu przez niego zobowiązania, po tej dacie mógłby to robić w przypadku, gdy zaistniałyby przesłanki z art. 105a ust. 3 ustawy Prawo bankowe. Natomiast obowiązek zachowania tajemnicy bankowej przez bank wynikający z art. 104 ust. 1 ustawy Prawo bankowe, jak już wyżej wskazano, nie jest wyłączony tylko w przypadkach wymienionych w art. 104 ust. 2 ustawy Prawo bankowe ale także sytuacjach przewidzianych art. 104 ust. 3 ustawy Prawo bankowe, zatem także w sytuacji mającej miejsce w niniejszej sprawie tj. gdy podstawą wyłączenia jest art. 105 ust. 4 ustawy Prawo bankowe, w zw. z art. 70 ust. 1 i art. 105a ust. 1 ustawy Prawo bankowe w zw. z art. 23 ust. 1 pkt 2 u.o.d.o. Mając powyższe na uwadze Naczelny Sąd Administracyjny uznał, że skarga kasacyjna nie zawiera usprawiedliwionych podstaw i w oparciu o art. 184 p.p.s.a. podlega oddaleniu. Z uwagi na wynik sprawy na podstawie art. 204 pkt 1 p.p.s.a. zasądzono od skarżącego kasacyjnie na rzecz następcy prawnego GIODO - Prezesa Urzędu Ochrony Danych Osobowych koszty postępowania kasacyjnego ograniczające się do wynagrodzenia radcy prawnego w wysokości 480 złotych.