II SA/Wa 2330/20

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Łukasz Krzycki, Sędzia WSA Joanna Kruszewska-Grońska (spr.), Sędzia WSA Janusz Walawski, po rozpoznaniu na posiedzeniu niejawnym w dniu 23 czerwca 2021 r. sprawy ze skargi T. K. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] września 2020 r. nr [...] w przedmiocie przetwarzania danych osobowych - oddala skargę - Zaskarżoną w niniejszej sprawie decyzją z [...] września 2020 r. nr [...] Prezes Urzędu Ochrony Danych Osobowych (dalej: "Prezes UODO", "organ"), na podstawie art. 138 § 1 pkt 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2021 r., poz. 735; dalej: "k.p.a.") oraz art. 160 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781; dalej: "u.o.d.o. z 2018 r.") w związku z art. 18 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r., poz. 922; dalej: "u.o.d.o. z 1997 r."), a także art. 6 ust. 1 lit. f rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. U. UE. L. 2016.119.1 ze zm.; dalej: "RODO"), po rozpoznaniu wniosku T. K. (dalej: "skarżąca") o ponowne rozpatrzenie sprawy, utrzymał w mocy swoją decyzję z [...] lipca 2019 r. nr [...] o odmowie uwzględnienia wniosku skarżącej dotyczącego nieprawidłowości w przetwarzaniu jej danych osobowych przez Bank [...] S.A. z siedzibą w W. (dalej: "Bank"), w tym ich udostępnienie na rzecz U. S.A. z siedzibą w W. (dalej: "U."), Biura [...] S.A. z siedzibą w W. (dalej: "B.") oraz Krajowego Rejestru Długów Biura Informacji Gospodarczej S.A. z siedzibą w W. (dalej: "KRD"). Do wydania zaskarżonej decyzji doszło w następujących okolicznościach sprawy. W dniu [...] sierpnia 2017 r. do Biura Generalnego Inspektora Ochrony Danych Osobowych wpłynął wniosek skarżącej z [...] sierpnia 2017 r. o udzielenie pomocy wobec nieprawidłowości w przetwarzaniu jej danych osobowych przez Bank, w tym ich udostępnienie na rzecz U. , B. oraz KRD. Skarżąca podniosła, że od [...] marca 2017 r. nie może wyegzekwować od Banku wyjaśnień na temat sprzedaży jej wierzytelności na rzecz U. Do połowy kwietnia 2017 r. była "ustawicznie nękana" przez U. w związku z windykacją należności, nie wiedząc skąd U. zdobyło jej dane osobowe. Skarżąca wskazała, iż Bank nie informował jej o zamiarze sprzedaży jej wierzytelności. Zażądała, aby organ nakazał: (1) Bankowi - zastosowanie dodatkowych środków zabezpieczających jej dane osobowe; (2) U. - usunięcie jej danych osobowych z baz danych B. oraz KRD, jak również złożenie wyjaśnień na temat sposobu pozyskania przez U. jej danych osobowych z Banku. W toku postępowania administracyjnego, zainicjowanego ww. wnioskiem skarżącej, Prezes UODO ustalił, że [...] czerwca 1991 r. skarżąca zawarła umowę kredytu z przedsiębiorstwem bankowym - Bankiem [...] w W. (dalej: "S."). Na mocy umowy sprzedaży z [...] czerwca 1995 r. zawartej między likwidatorem S. a Bankiem, Bank w ramach nabycia S. przejął prawa i obowiązki wynikające z ww. umowy kredytu. W ten sposób pozyskał dane osobowe skarżącej obejmujące: imię, nazwisko, serię i numer dokumentu tożsamości, adres, numer PESEL, datę urodzenia, obywatelstwo, imiona rodziców. Ponadto na mocy umowy E. z [...] lipca 2008 r. Bank pozyskał dane osobowe skarżącej w postaci: imienia, nazwiska, imion rodziców, daty i miejsca urodzenia, numeru PESEL, nazwy i numeru dokumentu tożsamości, adresu, obywatelstwa oraz numeru telefonu. Powyższa umowa została rozwiązana [...] grudnia 2008 r., a ww. dane są przetwarzane w celach rachunkowych oraz archiwalnych w oparciu o art. 74 ust. 2 pkt 4 i pkt 8 ustawy z dnia 29 września 1994 r. o rachunkowości (Dz. U. z 2021 r., poz. 217 ze zm.; dalej: "u.r."). [...] marca 2015 r. doszło do zawarcia umowy pomiędzy U. oraz N. (dalej: "Fundusz"). Na podstawie tej umowy Fundusz jako administrator danych osobowych powierzył U. przetwarzanie danych osobowych dłużników, w tym skarżącej, w celach windykacji należności pieniężnych, czyli wyegzekwowania umów, na podstawie których dłużnicy zobowiązali się do zapłaty określonych kwot na rzecz Banku - wierzyciela pierwotnego. Z kolei w dniu [...] stycznia 2016 r. Bank zawarł z U. umowę sprzedaży wierzytelności, w tym wierzytelności skarżącej. Przekazanie danych osobowych obejmowało dane osobowe skarżącej, którymi dysponował Bank. Jednak ostatecznie nie doszło do wykonana ww. umowy w zakresie wierzytelności skarżącej, ponieważ na U. nie została przeniesiona hipoteka zabezpieczająca wierzytelność. [...] kwietnia 2017 r. Bank poinformował U. (drogą poczty elektronicznej), że umowa sprzedaży wierzytelności nie obejmuje wierzytelności skarżącej i wezwał Ultimo w trybie pilnym do zwrotu dokumentacji skarżącej. Zwrot tej dokumentacji nastąpił w lipcu 2017 r. U. także powiadomiło skarżącą o zaprzestaniu przetwarzania jej danych osobowych w celach windykacji wierzytelności. U. oświadczyło, iż każdorazowo wycofuje dane osobowe dłużnika ze wszystkich miejsc, do których dane te uprzednio przekazało i dane osobowe skarżącej zostały usunięte. Aktualnie U. przetwarza dane osobowe skarżącej w postaci: imienia, nazwiska oraz adresu w celu przyjmowania wpływającej korespondencji i udzielania na nią odpowiedzi. Prezes UODO ustalił też, że [...] stycznia 2000 r. Bank zawał ze skarżącą porozumienie dotyczące spłaty jej zadłużenia z tytułu udzielonego kredytu. Obecnie Bank przetwarza dane osobowe skarżącej w celu dochodzenia roszczeń od skarżącej, a także na podstawie art. 105a ust. 4 i ust. 5 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz. U. z 2020 r., poz. 1896 ze zm.; dalej: "P.b.") do celów stosowania metod wewnętrznych oraz innych metod i modeli. B. nie przetwarza danych osobowych skarżącej. Natomiast KRD przetwarza dane osobowe skarżącej w zakresie imienia, nazwiska, numeru PESEL, adresu zamieszkania, obywatelstwa, kwoty i podstawy zobowiązania, gdyż ww. dane osobowe skarżącej zostały przekazane do KRD przez: - [...] Polska S.A. z siedzibą w W. w dniu [...] października 2014 r. w trybie art. 14 ustawy z dnia 9 kwietnia 2010 r. o udostępnianiu informacji gospodarczych i wymianie danych gospodarczych (Dz. U. z 2020 r., poz. 389 ze zm.; dalej: "u.i.g."), - [...] Obrót S.A. z siedzibą w R. w trybie art. 12 u.i.g. KRD nie pozyskało danych osobowych skarżącej ani od Banku ani od U. W świetle powyższych ustaleń organ decyzją z [...] lipca 2019 r. odmówił uwzględnienia wniosku skarżącej. W uzasadnieniu ww. rozstrzygnięcia Prezes UODO podał, że w niniejszej sprawie mamy do czynienia z prawnie uzasadnionym interesem Banku, dla realizacji którego przetwarzanie danych osobowych skarżącej jest niezbędne. Pomiędzy Bankiem a skarżącą istnieje bowiem umowa kredytu, z której wynika aktywne zobowiązanie oraz porozumienie dotyczącego jego spłaty, co wiąże się z koniecznością przechowywania oraz archiwizowania danych osobowych. Przetwarzanie danych osobowych skarżącej przez Bank nie narusza faktycznych lub podstawowych praw i wolności podmiotu danych. Obok art. 6 ust. 1 lit. f) RODO Bank przetwarza dane osobowe skarżącej na podstawie art. 6 ust. 1 lit. c) RODO i art. 74 74 ust. 2 pkt 4 i pkt 8 u.r. w związku z zawartą ze skarżącą [...] lipca 2008 r. i rozwiązaną [...] grudnia 2008 r. umową E., a także w oparciu o art. 105a ust. 4 P.b. uprawniający banki do przewarzania informacji dotyczących osoby fizycznej i stanowiących tajemnicę bankową po wygaśnięciu zobowiązania wynikającego z zawartej z bankiem umowy - bez zgody osoby, której te informacje dotyczą - do celów stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej RODO. Prezes UODO wyjaśnił również, iż przed dniem [...] maja 2018 r. proces przetwarzania danych osobowych skarżącej przez Bank znajdował oparcie w art. 23 ust. 1 pkt 5 u.o.d.o. z 1997 r. Dalej organ podał, że U. przestało przetwarzać dane osobowe skarżącej, które zostały udostępnione przez Bank. Aktualnie U. przetwarza dane osobowe skarżącej w zakresie imienia, nazwiska i adresu na mocy art. 6 ust. 1 lit. f) RODO, czyli prawnie usprawiedliwionego interesu administratora, którym w tym przypadku jest przyjmowanie korespondencji dotyczącej skarżącej i udzielanie na nią odpowiedzi w ramach postępowania prowadzonego przed Prezesem UODO, a także udzielanie odpowiedzi na pisma samej skarżącej. Z kolei KRD przetwarza dane osobowe skarżącej w oparciu o art. 6 ust. 1 lit. f) RODO w związku z art. 12 u.i.g., ponieważ to [...] Polska S.A. z siedzibą w W. jako wierzyciel skarżącej w dniu [...] października 2014 r. przekazał jej dane osobowe do KRD. Zatem KRD nie przetwarza danych osobowych skarżącej, które miałyby zostać udostępnione przez Bank bądź U. Natomiast B. nie przetwarza żadnych danych osobowych skarżącej. W konsekwencji organ stwierdził, że Bank, KRD oraz U. przetwarzają dane osobowe skarżącej zgodnie z przepisami prawa, zaś nie potwierdziły się zarzuty skarżącej co do przekazania jej danych osobowych przez Bank na rzecz U. i B. Po rozpoznaniu wniosku skarżącej o ponowne rozpatrzenie sprawy, Prezes UODO powołaną na wstępie decyzją utrzymał w mocy własną decyzję wydaną [...] lipca 2019 r. w pierwszej instancji. W uzasadnieniu decyzji drugoinstancyjnej organ podzielił w całości stanowisko zaprezentowane w swoim uprzednim rozstrzygnięciu. Decyzja Prezesa UODO z [...] września 2020 r. stała się przedmiotem skargi skarżącej do Wojewódzkiego Sądu Administracyjnego w Warszawie, w której zarzuciła: 1. naruszenie przepisów postępowania, które miało wpływ na wynik sprawy, tj. a) art. 7, art. 77 § 1 i art. 107 § 1 k.p.a. poprzez błędne ustalenie, że U. w drodze umowy z [...] marca 2015 r. uzyskało od Funduszu dane osobowe skarżącej w sytuacji gdy, zgodnie z ustaleniami organu, Bank miał przekazać dane skarżącej w drodze umowy sprzedaży wierzytelności z [...] stycznia 2016 r., a zatem niespełna rok później, co jest wyrazem nielogicznej i niespójnej oceny zebranego w sprawie materiału dowodowego i w konsekwencji nieuzasadnionego zaniechania dokonania dalszych czynności wyjaśniających i zmierzających do stwierdzenia sprzecznego z przepisami prawa przetwarzania danych osobowych skarżącej, b) art. 7, art. 77 § 1 i art. 107 § 1 k.p.a. poprzez przekroczenie granic swobodnej oceny materiału dowodowego, a mianowicie nadanie wyjaśnieniom złożonym w formie pisemnej przez Bank oraz U. waloru dowodu i oparcie się na nich w zakresie ustalania stanu faktycznego sprawy, w sytuacji gdy wyjaśnienia stron postępowania nie powinny stanowić dowodu o charakterze wyłącznym, a organ powinien zweryfikować załączone do akt oświadczenia stron poprzez uzyskanie treści umów z [...] stycznia 2016 r., c) art. 138 § 1 pkt 1 k.p.a. poprzez utrzymanie decyzji wydanej przez organ w pierwszej instancji, w sytuacji gdy ze zgromadzonego w sprawie materiału dowodowego wynika niezgodne z prawem przetwarzanie przez U. w 2016 i 2017 r. oraz niezgodne z prawem udostępnienie przez Bank danych skarżącej, co powinno skutkować uchyleniem decyzji wydanej w postępowaniu pierwszej instancji i prowadzenie postępowania celem nałożenia na powyższe podmioty kar przewidzianych ustawą; 2. przepisów prawa materialnego, tj. a) art. 79 ust. 1 ustawy z dnia 6 lipca 1982 r. o księgach wieczystych i hipotece (Dz. U. z 2019 r., poz. 2204; dalej: "u.k.w.") poprzez jego błędną wykładnię i uznanie, że pomimo nieprzeniesienia hipoteki dochodzi do skutecznego zawarcia umowy sprzedaży wierzytelności i od woli stron tej umowy zależy jej wykonalność, tymczasem prawidłowa wykładnia ww. przepisu prowadzi do wniosku, że umowa sprzedaży wierzytelności zabezpieczonej hipoteką bez stosownego wpisu w księdze wieczystej nie rodzi skutków prawnych w niej określonych, wobec niespełnienia jednej z przesłanek przeniesienia wierzytelności na nowego wierzyciela, b) art. 23 ust. 1 pkt 5 u.o.d.o. z 1997 r. w związku z art. 104 ust. 2 pkt 4 P.b. poprzez jego błędne zastosowanie i uznanie, że w przypadku nieskutecznego zawarcia przez Bank, jako wierzyciela, umowy w przedmiocie sprzedaży wierzytelności zabezpieczonej hipotecznie Bankowi przysługuje prawnie usprawiedliwione uprawnienie do przetwarzania danych osobowych skarżącej poprzez ich przekazanie Funduszowi, tymczasem wobec nieskutecznego zawarcia umowy sprzedaży wierzytelności należy ocenić działanie Banku i Funduszu jako wyłącznie wyrażenie woli zawarcia takiej umowy, co nie powinno być uznane za usprawiedliwiony cel, o którym mowa w ww. przepisie, toteż w niniejszej sprawie przepis ten nie podlega zastosowaniu. W oparciu o tak sformułowane zarzuty skarżąca wniosła o uchylenie zaskarżonej decyzji Prezesa UODO, a także poprzedzającej ją decyzji z [...] lipca 2019 r. oraz przekazanie sprawy organowi do ponownego rozpatrzenia. W uzasadnieniu skargi skarżąca podkreśliła m.in., że organ oparł analizę sprawy i ocenę materiału dowodowego na "jednostronnych oświadczeniach stron postępowania, nie dokonując wszechstronnego i wyczerpującego jego rozpatrzenia, co skutkowało wydaniem decyzji dotkniętej wadą stronniczości i braku wszechstronności". Ponadto Prezes UODO błędnie ocenił te oświadczenia, uznając "w sposób nielogiczny", iż U. zgodnie z prawem przetwarzało dane skarżącej na podstawie umowy z [...] marca 2015 r. łączącej ww. podmiot ze spółką A. S.A. zarządzającą Funduszem. Skarżąca zakwestionowała twierdzenie, że U. było kiedykolwiek jej wierzycielem. Bank udostępnił jej dane w ramach wykonania umowy sprzedaży wierzytelności (której skuteczność skarżąca podważa), stosownie do treści art. 104 ust. 2 pkt 4 P.b., powierzając je w niezbędnym zakresie nowemu wierzycielowi - Funduszowi. Według skarżącej, nie sposób uznać za "niezbędny zakres" przekazanie danych dłużników Banku podmiotowi trzeciemu (a za taki podmiot uważa U.) w stosunku do wierzyciela, zwłaszcza w formie zbiorczej umowy. Taki automatyzm nie uwzględnia specyfiki poszczególnych dłużników. Skarżąca podkreśliła, że zarówno Bank, jak i Fundusz przyjęli - niezgodnie z rzeczywistym stanem rzeczy - iż doszło do zawarcia umowy wskutek podpisania dokumentu z [...] stycznia 2006 r. W tym kontekście skarżąca podniosła, że art. 79 ust 1 zd. 2 u.k.w. ustanawia dodatkową, obok zawarcia umowy przelewu, przesłankę nabycia wierzytelności w postaci wpisu w księdze wieczystej. Pod względem konstrukcyjnym jest to przesłanka nabycia wierzytelności, a nie hipoteki. Wobec braku wpisu w księdze wieczystej skarżąca uważa za bezskuteczną umowę przelewu jej wierzytelności zawartą pomiędzy Bankiem a Funduszem. W konsekwencji Fundusz nigdy nie stał się wierzycielem skarżącej, zaś działające w jego imieniu U. nigdy nie miało uprawnień do przetwarzania danych osobowych skarżącej i dochodzenia od niej spłaty wierzytelności na rzecz Funduszu. W odpowiedzi na skargę Prezes UODO wniósł o jej oddalenie, podtrzymując stanowisko wyrażone w zaskarżonej decyzji. Wojewódzki Sąd Administracyjnego w Warszawie zważył, co następuje: Skarga nie zasługuje na uwzględnienie. Na wstępie należy wskazać, że zgodnie z art. 166 ust. 1 u.o.d.o. z 2018 r. (która weszła w życie z dniem 25 maja 2018 r. w miejsce u.o.d.o. z 1997 r.) Generalny Inspektor Ochrony Danych Osobowych stał się Prezesem Urzędu. Stosownie zaś do treści art. 167 ust. 1 u.o.d.o. z 2018 r., z dniem wejścia jej w życie Biuro Generalnego Inspektora Ochrony Danych Osobowych stało się Urzędem. Z kolei w myśl art. 160 ust. 1 i ust. 2 u.o.d.o. z 2018 r. postępowania prowadzone przez Generalnego Inspektora Ochrony Danych Osobowych, wszczęte i niezakończone przed dniem wejścia w życie niniejszej ustawy, prowadzone są przez Prezesa Urzędu na podstawie u.o.d.o. z 1997 r., zgodnie z zasadami określonymi w k.p.a. W niniejszej sprawie kwestionowany przez skarżącą proces przetwarzania jej danych rozpoczął się pod rządami u.o.d.o. z 1997 r. i trwa nadal, zatem należało ocenić legalność tego procesu w świetle uprzednio oraz aktualnie obowiązujących unormowań. Wedle art. 7 pkt 2 u.o.d.o. z 1997 r. przez przetwarzanie danych rozumie się jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych. Przepis art. 23 ust. 1 u.o.d.o. z 1997 r. przewidywał w pkt 3 i 5, że przetwarzanie danych jest dopuszczalne tylko wtedy, gdy: - jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą (pkt 3); - jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą (pkt 5 ). Jednocześnie, stosownie do art. 23 ust. 4 u.o.d.o. z 1997 r., za prawnie usprawiedliwiony cel, o którym mowa w ust. 1 pkt 5, uważa się w szczególności: 1) marketing bezpośredni własnych produktów lub usług administratora danych; 2) dochodzenie roszczeń z tytułu prowadzonej działalności gospodarczej. Jak wynika z akt administracyjnych sprawy, [...] czerwca 1995 r. Bank przejął S., który 4 lata wcześniej (dokładnie [...] czerwca 1991 r.) udzielił skarżącej kredytu. W dniu [...] stycznia 2000 r. Bank zawarł ze skarżącą porozumienie dotyczące spłaty zadłużenia z tytułu udzielonego kredytu. Skarżąca jest nadal kredytobiorcą – dłużnikiem względem Banku, który przetwarza jej dane osobowe w celach windykacyjnych do czasu spłaty ww. zobowiązania. Cel windykacyjny, czyli dochodzenie przez Bank roszczeń z tytułu prowadzonej działalności gospodarczej (do której należy udzielanie kredytów) mieści się w kategorii "prawnie uzasadnionych celów", o których mowa w art. 23 ust. 1 pkt 5 w związku z art. 23 ust. 4 pkt 2 u.o.d.o. z 1997 r. Przepisy te obowiązywały do [...] maja 2018 r., lecz po tej dacie podstawę prawną przetwarzania danych osobowych skarżącej (obejmujących: imię, nazwisko, serię i numer dokumentu tożsamości, adres, numer PESEL, datę urodzenia, obywatelstwo, imiona rodziców) przez Bank jako wierzyciela stanowi art. 6 ust. 1 lit. f) RODO. Zgodnie z tym przepisem, przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy - i w takim zakresie, w jakim - spełniony jest co najmniej jeden z poniższych warunków: lit. f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Przypomnieć też należy, że skarżącą i Bank przez kilka miesięcy (od [...] lipca 2008 r. do [...] grudnia 2008 r.) łączyła umowa E., na mocy której Bank pozyskał dane osobowe skarżącej w zakresie: imienia, nazwiska, imion rodziców, daty i miejsca urodzenia, numeru PESEL, nazwy i numeru dokumentu tożsamości, adresu, obywatelstwa oraz numeru telefonu. Zatem przetwarzanie powyższych danych - w celach rachunkowych i archiwalnych - znajduje umocowanie w art. 74 ust. 2 pkt 4 i pkt 8 u.r. Ponadto nie sposób podważyć wskazanej przez Bank podstawy prawnej przetwarzania danych osobowych skarżącej w postaci art. 105a ust. 4 i ust. 5 P.b. Przepis art. 105a ust. 4 P.b. przewiduje, że banki oraz instytucje, o których mowa w art. 105 ust. 4, mogą przetwarzać stanowiące tajemnicę bankową informacje dotyczące osoby fizycznej po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której informacje dotyczą, do celów stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013. W takim przypadku, według art. 105a ust. 5 P.b., przetwarzanie informacji stanowiących tajemnicę bankową może być wykonywane przez okres 12 lat od dnia wygaśnięcia zobowiązania. Natomiast trafnie zauważa skarżąca, że ani U. ani Fundusz nie były uprawnione do przetwarzania jej danych osobowych. Wprawdzie ww. podmioty łączyła zawarta [...] marca 2015 r. umowa, w myśl której Fundusz jako administrator danych osobowych powierzył U. przetwarzanie danych osobowych dłużników. Jednak nie mogła ona obejmować danych osobowych skarżącej. Nadto umowa pomiędzy Bankiem a U. z [...] stycznia 2006 r. nie była skuteczna, gdyż nie została przeniesiona hipoteka zabezpieczająca wierzytelność Banku, co przyznał organ. Podkreślić przy tym należy, że Bank był uprawniony do cesji wierzytelności. Stosownie do treści art. 509 § 1 ustawy z dnia 23 kwietnia 1964 r. Kodeks cywilny (Dz. U. z 2020 r., poz. 1740 ze zm.), wierzyciel może bez zgody dłużnika przenieść wierzytelność na osobę trzecią (przelew), chyba że sprzeciwiałoby się to ustawie, zastrzeżeniu umownemu albo właściwości zobowiązania. Jak wskazał Naczelny Sąd Administracyjny w wyroku z 6 czerwca 2005 r., sygn. I OPS 2/05, wydanym w składzie w 7 sędziów, prawnie usprawiedliwiony cel, o którym mowa w art. 23 ust. 1 pkt 5 u.o.d.o. z 1997 r. o ochronie danych osobowych może być oparty także na przepisach prawa cywilnego. Jednakże do sprzedaży wierzytelności skarżącej na rzecz innych podmiotów nie doszło. W dniu [...] kwietnia 2017 r. Bank (drogą elektroniczną) poinformował U., iż umowa sprzedaży wierzytelności nie dotyczy wierzytelności skarżącej i wezwał U. w trybie pilnym do zwrotu jej dokumentacji, co nastąpiło w lipcu 2017 r. Oznacza to, że bezpodstawne przetwarzanie danych skarżącej przez U. rozpoczęło się i zakończyło pod rządami u.o.d.o. z 1997 r., jak również nie miało miejsca w dacie złożenia przez nią skargi do Generalnego Inspektora Ochrony Danych Osobowych ([...] sierpnia 2017 r.). Po zwrocie dokumentacji skarżącej U. było uprawnione do przetwarzania imienia, nazwiska i adresu skarżącej na mocy art. 6 ust. 1 lit. f) RODO w zakresie obsługi korespondencji dotyczącej skarżącej, w tym udzielania odpowiedzi na pisma w jej sprawie. Odnosząc się do B. i KRD, należy stwierdzić, że Bank nie udostępnił ww. podmiotom danych osobowych skarżącej – BIG nigdy ich nie przetwarzał, zaś KRD przetwarzał je w trybie u.i.g., pozyskując je uprzednio od [...] S.A. z siedzibą w W. oraz [...] Obrót S.A. z siedzibą w R. W ocenie Sądu, organ w toku postępowania zbadał wszystkie istotne okoliczności faktyczne sprawy, stosownie do treści art. 7 i art. 77 § 1 k.p.a., a stanowisko wyrażone w zaskarżonej decyzji uzasadnił w sposób wymagany przez normę zawartą w przepisie art. 107 § 3 k.p.a. Nie jest zatem trafny zarzut naruszenia przepisów proceduralnych. Tut. Sąd nie dopatrzył się także naruszenia prawa materialnego, w szczególności - podniesionego w ramach zarzutów skargi - art. 23 ust. 1 pkt 5 u.o.d.o. z 1997 r. czy art. 79 ust. 1 u.k.w. Ten ostatni z ww. przepisów nie był w ogóle stosowany przez Prezesa UODO. Mając na uwadze powyższe, na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2019 r., poz. 2325 ze zm.), Wojewódzki Sąd Administracyjny w Warszawie orzekł jak w sentencji wyroku.