II SA/Wa 158/21

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Ewa Marcinkowska, Sędzia WSA Iwona Maciejuk (spr.), Sędzia WSA Andrzej Góraj, po rozpoznaniu na posiedzeniu niejawnym w dniu 28 lipca 2021 r. sprawy ze skarg [...] Bank [...] S.A. z siedzibą w W. oraz B. S.A. z siedzibą w W. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] listopada 2020 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargi. Prezes Urzędu Ochrony Danych Osobowych decyzją z dnia [...] listopada 2020 r. nr [...], na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2020 r. poz. 256), zwanej dalej k.p.a., art. 160 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781) w zw. z art. 18 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r., poz. 922) oraz art. 6 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dziennik Urzędowy Unii Europejskiej, L 119, 4 maja 2016) zwanego dalej RODO w zw. z art. 105a ust. 2 i 3 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz. U. z 2019 r. poz. 2357) wskazując na przeprowadzenie postępowania administracyjnego w sprawie skargi B. K. na nieprawidłowości w procesie przetwarzania jego danych osobowych przez [...] S.A. (poprzednio Bank [...] S.A.) z siedzibą w W. polegające na przetwarzaniu danych osobowych bez podstawy prawnej oraz udostępnieniu danych osobowych na rzecz Biura Informacji Kredytowej S.A. z siedzibą w W., nakazał [...] S.A. (poprzednio Bank [...] S.A.) z siedzibą w W. zaprzestania przetwarzania danych osobowych B. K. przetwarzanych w związku z umową o numerze [...] w systemie Biura Informacji Kredytowej S.A. z siedzibą w [...] w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. W uzasadnieniu Prezes UODO wskazał, że do Biura GIODO (aktualnie: Urząd Ochrony Danych Osobowych) w dniu [...] stycznia 2018 r. wpłynęła skarga B. K. na nieprawdłowości w procesie przetwarzania jego danych osobowych przez [...] S.A. (poprzednio Bank [...] S.A.) z siedzibą w W. polegające na przetwarzaniu danych osobowych wymienionego bez podstawy prawnej oraz udostępnieniu danych osobowych na rzecz Biura Informacji Kredytowej S.A. z siedzibą w [...]. Prezes Urzędu Ochrony Danych Osobowych wskazał, że ustalił następujący stan faktyczny: 1. wnioskodawca w treści skargi wskazał, że Bank nie spełnił wymagań uprawniających go do rozpoczęcia przetwarzania jego danych osobowych w bazie BIK, w związku z wierzytelnością wynikającą z umowy nr [...] o kredyt samochodowy zawartej z Bankiem w dniu [...] listopada 2014 r. ponieważ Bank nie spełnił łącznie wszystkich warunków z art. 105a ust. 3 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz. U. z 2019 r. poz. 2357), tzn. Bank nigdy nie powiadomił wnioskodawcy o zamiarze przetwarzania jego danych osobowych bez jego zgody w bazie BIK. Wobec powyższego wnioskodawca zażądał zaprzestania dalszego przetwarzania jego danych osobowych, 2. wnioskodawca, jako osoba fizyczna prowadząca działalność gospodarczą pod firmą "[...]" zawarł z Bankiem w dniu [...] listopada 2014 r. umowę kredytową nr [...], z tytułu której powstało zadłużenie. Organ wskazał, że zobowiązanie wynikające z umowy zostało spłacone w dniu [...] listopada 2014 r. (powołał się na wyjaśnienia Banku z dnia [...] lutego 2018 r.); 3. dane osobowe wnioskodawcy zostały zebrane w związku z ww. umową kredytową. Dane osobowe wnioskodawcy w zakresie: imię i nazwisko, data i miejsce urodzenia, seria i numer dowodu osobistego, obywatelstwo, imię ojca wnioskodawcy, imię i nazwisko panieńskie matki skarżącego, numer PESEL, adres zamieszkania, numer telefonu komórkowego, numer REGON, NIP przetwarzane są obecnie przez Bank w celach oceny zdolności i wiarygodności kredytowej, 4. zobowiązanie wnioskodawcy wynikające z umowy nr [...] o kredyt samochodowy z dnia [...] listopada 2014 r. zostało przez skarżącego spłacone. Natomiast na dzień [...] września 2017 r. zaległość wnioskodawcy wobec Banku z tytułu ww. umowy wynosiła 99,12 zł. 5. w wyjaśnieniach z dnia [...] marca 2018 r. BIK wskazał, że dane podmiotu gospodarczego "[...]" zostały przekazane przez Bank w zakresie jednego zobowiązania finansowego. Rachunek ma status rachunku zamkniętego. Dane dotyczące zobowiązania zostały przekazane do BIK przez Bank na podstawie art. 105 ust. 4 Prawa bankowego i na podstawie łączącej strony umowy. BIK przetwarza ww. rachunek w celu oceny zdolności kredytowej i analizy ryzyka kredytowego na podstawie art. 105 ust. 4 Prawa bankowego (dowód: wyjaśnienia BIK z dnia [...] marca 2018 r.). 6. BIK i Bank wyjaśniły, że w ich ocenie wobec przedsiębiorców (w tym osób fizycznych prowadzących działalność gospodarczą) nie ma zastosowania wymóg z art. 105a ust. 3 Prawa bankowego w zakresie informowania ich o zamiarze przetwarzania dotyczących ich informacji stanowiących tajemnicę bankową, bez ich zgody. Wnioskodawca wycofał zgodę na przetwarzanie jego danych osobowych przez Bank, natomiast Bank uznaje, że art. 105a ust. 2 Prawa bankowego nie dotyczy każdej osoby fizycznej. W ocenie Banku przepis ten znajduje zastosowanie, podobnie jak art. 105a ust. 1 oraz 105a ust. 3 Prawa Bankowego wyłącznie do osoby fizycznej będącej konsumentem, a także w ocenie Banku przetwarzanie danych osobowych skarżącego jako osoby fizycznej prowadzącej działalność gospodarczą w BIK może następować również po wygaśnięciu zobowiązania bez zgody tej osoby (w zakresie zobowiązań firmowych), 7. w piśmie z dnia [...] grudnia 2018 r. pełnomocnik wnioskodawcy przywołała stanowisko Rzecznika Finansowego dotyczące przedmiotowej sprawy, zawarte w piśmie z dnia [...] listopada 2018 r., w którym zaprezentowano odmienne stanowisko w sprawie zastosowania art. 105a Prawa Bankowego wobec przedsiębiorców, a Bank został wezwany do zaprzestania przetwarzania danych Skarżącego. W przedmiotowym piśmie Rzecznik Finansowy wskazał, że wnioskodawca, jako osoba fizyczna prowadząca działalność gospodarczą powinien zostać poinformowany o zamiarze przetwarzania jego danych osobowych, zgodnie z dyspozycją normy przewidzianej w art. 105a ust. 3 Prawa Bankowego. Rozstrzygając w niniejszej sprawie Prezes UODO wskazał, że wydając decyzję administracyjną, zobowiązany jest do rozstrzygania sprawy w oparciu o stan faktyczny istniejący w chwili wydania tej decyzji. Podniósł, że decydujące znaczenie dla rozstrzygnięcia, jakie musi być wydane w przedmiotowej sprawie, ma okoliczność, że kwestionowane przez wnioskodawcę udostępnienie jego danych osobowych przez Bank na rzecz BIK nastąpiło w okresie obowiązywania ustawy z 1997 r., w związku z czym do oceny zgodności z prawem tego procesu zastosowanie mają przepisy tejże ustawy. Ponadto dane osobowe wnioskodawcy są nadal przetwarzane. Wskazał, że zastosowanie znajdują w niniejszej sprawie również przepisy obowiązujące w czasie wydawania rozstrzygnięcia tj. RODO, ponieważ Prezes Urzędu Ochrony Danych Osobowych musi ocenić czy kwestionowany proces przetwarzania danych osobowych na dzień wydania decyzji administracyjnej jest zgodny z prawem. Organ wskazał, że co do zasady podstawą prawną przetwarzania danych osobowych klientów przez Bank w systemie BIK w okresie obowiązywania ustawy z 1997 r. był art. 23 ust. 1 pkt 2 ustawy, t.j. było to niezbędne dla zrealizowania uprawnienia lub wypełnienia obowiązku prawnego ciążącego na administratorze. Od 25 maja 2018 r. podstawę ww. przetwarzania stanowi art. 6 ust. 1 lit. f RODO, tj. przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora. Prezes UODO wskazał, że BIK jest instytucją utworzoną na podstawie art. 105 ust. 4 Prawa bankowego. Przytoczył ten przepis. Wskazał, że zobowiązanie wnioskodawcy, wynikające z umowy zawartej w dniu [...] listopada 2014 r., wobec Banku wygasło. Wnioskodawca cofnął zgodę na przetwarzanie jego danych osobowych w BIK po wygaśnięciu ww. zobowiązania wobec Banku. Organ stwierdził, że z materiału dowodowego zgromadzonego w sprawie nie wynika, żeby Bank poinformował wnioskodawcę w ustawowym terminie o zamiarze przetwarzania informacji dotyczących wnioskodawcy, bez jego zgody. W skardze z dnia 9 stycznia 2018 r. wnioskodawca wskazał, że nie został powiadomiony przez Bank o zamiarze przetwarzania jego danych osobowych bez jego zgody w bazie BIK. W przedmiotowej sprawie nie ma zatem dowodu na to, że Bank spełnił wobec wnioskodawcy obowiązek określony w art. 105a ust. 3 Prawa bankowego, tj. skutecznie poinformował wnioskodawcę o zamiarze przetwarzania informacji jego dotyczących stanowiących tajemnicę bankową, bez jego zgody po wygaśnięciu zobowiązania wynikającego z ww. umowy. Organ podał, że w przedmiotowej sprawie sporną kwestią pomiędzy stronami stanowiło, czy art. 105a Prawa bankowego ma zastosowanie do przetwarzania danych osób fizycznych prowadzących działalność gospodarczą. Bank i BIK powołując się m.in. na "stanowisko Rady Prawa Bankowego przy Związku Banków Polskich oraz Biura Informacji w kontekście stosowania art. 105a ustawy Prawo bankowe" wskazujące, że "nie ma podstaw do usuwania zobowiązań osób prowadzących działalność gospodarczą z bazy BIK Przedsiębiorca S.A. po spłacie zobowiązania (oraz zapytań kierowanych o BIK S.A.), gdyż dane przedsiębiorców traktowane są w inny sposób niż dane osób fizycznych będących konsumentami" uznał, że art. 105a Prawa bankowego nie ma zastosowania do osób fizycznych prowadzących działalność gospodarczą. BIK powołując się na stanowisko Dyrektora Departamentu Rozwoju Finansowego z dnia [...] września 2013 r. również uznał, że art. 105a Prawa bankowego "należy interpretować wyłącznie w odniesieniu do osób fizycznych - konsumentów, a przetwarzanie informacji o przedsiębiorcach nie jest ograniczone zarówno regułami czasowymi, jak i postępowaniem określonym w tym przepisie". Natomiast wnioskodawca, działający przez pełnomocnika, jak i Rzecznik Finansowy w piśmie z dnia [...] listopada 2018 r. wskazali, że gdyby intencją ustawodawcy było wykluczenie spod reżimu art. 105a Prawa bankowego osoby fizyczne prowadzące działalność gospodarczą ww. przepis stanowiłby o tym wprost poprzez użycie słowa "konsument" bądź "osoba fizyczna nieprowadząca działalności gospodarczej/osoba fizyczna nie będąca przedsiębiorcą". "Wskutek nowelizacji z dnia 01 kwietnia 2007 r. z tekstu art. 105 ustawy Prawo bankowe usunięto słowa "konsument" pozostawiając "osoba fizyczna", należy przyjąć że intencją ustawodawcy było objęcie reżimem tegoż przepisu również osoby fizyczne niebędące konsumentami, tj. osoby fizyczne prowadzące działalność gospodarczą (...)". W ocenie Prezesa Urzędu Ochrony Danych Osobowych zarówno Bank jak i BIK nie wskazały podstawy prawnej, z której w sposób jednoznaczny i nie pozostawiający żadnych wątpliwości wynikałoby, że osoby fizyczne prowadzące działalność gospodarczą nie są objęte reżimem art. 105a Prawa bankowego. Odnosząc się do interpretacji Banku w zakresie "nieistniejącego już rozporządzenia" Ministra Finansów z dnia 27 marca 2007 r. Prezes UODO wskazał, że nie podziela opinii Banku zgodnie z którą nie wymienienie numeru REGON w zakresie informacji przetwarzanych w celu oceny zdolności kredytowej i analizy ryzyka kredytowego oraz dla celów stosowania metod statystycznych prowadzi do wniosku, że intencją prawodawcy było uregulowanie zasad przetwarzania danych osobowych dotyczących jedynie osób fizycznych będących konsumentami, należy wskazać, że jest ona nieprawidłowa. W ocenie Prezesa UODO brak numerem REGON we wskazanym zakresie nie świadczy o tym, że osobą fizyczną jest tylko osoba nie posiadająca numeru REGON. Wobec powyższego uznać należy stanowisko Banku wskazujące, że nie potrzebował on zgody skarżącego do przetwarzania danych osobowych w BIK za sprzeczne z treścią art. 105a ust. 3 Prawa Bankowego, zgodnie z którym Bank może przetwarzać dane osobowe po spełnieniu łącznie kilku przesłanek m.in. po upływie 30 dni od poinformowania osoby fizycznej o zamiarze przetwarzania informacji bez jej zgody. Organ raz jeszcze przytoczył art. 105 ust. 4 Prawa bankowego, na podstawie którego utworzony został BIK. Przytoczył też art. 105a ustawy Prawo bankowe. Prezes UODO stwierdził, że choć zobowiązanie wnioskodawcy, wynikające z umowy nr [...] o kredyt samochodowy zawartej w dniu [...] listopada 2014 r. wobec Banku wygasło, to jak wynika ze zgromadzonego materiału dowodowego odnośnie spłaty zadłużenia, wnioskodawca dopuścił się zwłoki trwającej dłużej niż 60 dni w przypadku ww. zobowiązania. Istotnym, jednakże w niniejszej sprawie jest to, że Bank nie spełnił wobec niego obowiązku określonego w art. 105a pkt 3 Prawa bankowego, tj. nie poinformował go skutecznie o zamiarze przetwarzania dotyczących jego informacji stanowiących tajemnicę bankową, bez jego zgody po wygaśnięciu zobowiązania wynikającego z przedmiotowej umowy. Organ stwierdził, że sam fakt, iż wnioskodawca nie wykonał zobowiązania lub spóźnił się z jego wykonaniem co najmniej 60 dni, nie upoważnia Banku do przetwarzania jego danych na warunkach określonych w art. 105a ust. 3 Prawa bankowego. Moment, od którego należy liczyć sześćdziesięciodniowy termin, w którym konsument dopuszcza się zwłoki w wykonaniu zobowiązania, to termin wykonania zobowiązania. Dopiero po upływie 60 dni zaczyna biec termin 30 dni, w którym instytucja oczekuje jeszcze na wykonanie zobowiązania klienta. Termin 30 dni biegnie od momentu, w którym konsument zostanie skutecznie poinformowany przez instytucję o zamiarze przetwarzania. Ostatecznie to bezskuteczny upływ 30 dni od momentu poinformowania stanowi wypełnienie przesłanek z art. 105a ust. 3 Prawa bankowego. Z powyższego wynika zatem, iż Bank przetwarzając dane wnioskodawcy na warunkach określonych www. przepisie, musi wykazać, że wnioskodawca został poinformowany o zamiarze przetwarzania ich bez jego zgody. W niniejszej sprawie wnioskodawca podniósł natomiast, że okoliczności wskazywane w art. 105a pkt 3 Prawa bankowego nie zostały spełnione w związku z czym Bank nie jest uprawniony do przetwarzania jego danych osobowych w BIK. Prezes UODO wskazał, że Bank nie przedstawił dowodu na prawidłowe doręczenie wnioskodawcy dokumentu, w treści, którego zawarta była informacja o okolicznościach wskazanych w art. 105a ust. 3 Prawa bankowego, zatem okoliczność skutecznego poinformowania skarżącego o treści art. 105a ust. 3 Prawa bankowego nie może zostać uznana za udowodnioną. Podkreślił, że sporządzenie i wysłanie ww. pisma, nie jest równoznaczne z udowodnieniem jego prawidłowego doręczenia, skutkującego poinformowaniem wnioskodawcy o zamiarze przetwarzania danych stanowiących tajemnicę bankową, bez jego zgody na podstawie art. 105a ust. 3 Prawa bankowego Samo bowiem oświadczenie o wysłaniu korespondencji i przedstawienie jej kopii nie stanowi dowodu na jej dostarczenie lub poinformowanie o jej treści adresata. Organ wskazał, że przepisy powszechnie obowiązujące nie formułują obowiązku wysłania informacji, o której mowa w art. 105a ust. 3 Prawa bankowego w szczególnej formie. To do podmiotu informującego należy zatem wybór formy przekazania odbiorcy komunikatu, o zamiarze przetwarzania danych osobowych bez jego zgody. Jednocześnie to podmiot informujący wywodzi z powyższego skutki prawne, zatem to on musi wykazać, że poinformował wnioskodawcę o zamiarze przetwarzania danych stanowiących tajemnicę bankową, bez jego zgody na podstawie art. 105a ust. 3 Prawa bankowego. Organ powołał się na wyrok WSA w Warszawie z dnia 15 marca 2017 r. sygn.. akt II SA/Wa 1695/16. Prezes UODO raz jeszcze wskazał, że w niniejszej sprawie nie zostały spełnione przesłanki z art. 105a ust. 3 Prawa bankowego, zgodnie z którym Bank może przetwarzać (w tym mógł udostępnić do BIK) informacje stanowiące tajemnicę bankową dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy bez ich zgody w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Prezes Urzędu nie stwierdził okoliczności uprawniających Bank do przetwarzania danych osobowych wnioskodawcy w oparciu o ww. podstawę prawną w powyższym celu. W ocenie organu nadzorczego w przedmiotowej sprawie nie zostały spełnione przesłanki zarówno z art. 105a ust. 2 jak i z art. 105a ust. 3 Prawa bankowego, a zatem zasadne jest nakazanie zaprzestania przetwarzania danych osobowych wnioskodawcy przez Bank w systemie BIK w celu oceny zdolności kredytowej i analizy ryzyka kredytowego, wobec braku podstawy prawnej dla takiego przetwarzania. Decyzja Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] listopada 2020 r. nr [...] stała się przedmiotem skarg do Wojewódzkiego Sądu Administracyjnego w Warszawie: 1. [...] S.A. z siedzibą w W. (sprawa zarejestrowana została pod sygn. akt II SA/Wa 158/21) oraz 2. Biura Informacji Kredytowej S.A. z siedzibą w W. (sprawa zarejestrowana została pod sygn. akt II SA/Wa 159/21). [...] S.A., reprezentowana przez radcę prawnego, wnosząc o uchylenie zaskarżonej decyzji i zasądzenie zwrotu kosztów postępowania, w tym kosztów zastępstwa procesowego, według norm przepisanych, zarzucił: 1. naruszenie przepisów postępowania, które miało istotny wpływ na wynik sprawy, to jest: - art. 8 § 2 k.p.a. polegające na odstąpieniu przez PUODO bez uzasadnionej przyczyny od utrwalonej praktyki rozstrzygania spraw w takim samym stanie faktycznym i takim samym stanie prawnym, poprzez przyjęcie, że przez osobę fizyczną, o której mowa w art. 105a Prawa bankowego należy rozumieć również przedsiębiorców, podczas gdy ten sam organ rozpatrując w krótkim odstępie czasu sprawę w takim samym stanie faktycznym i takim samym stanie prawnym przyjął, że art. 105a Prawa bankowego nie ma zastosowania do przedsiębiorców, 2. naruszenie prawa materialnego, które miało wpływ na wynik sprawy, to jest: - art. 105 ust. 4 Prawa bankowego poprzez błędne przyjęcie, że przepis tego artykułu nie może być podstawą przetwarzania danych osobowych uczestnika 1 (B. K.) przez skarżącego w systemie Uczestnika 2 (BIK S.A.) w związku z art. 6 ust. 1 lit. f RODO, a taką podstawą jest natomiast art. 105a ust. 3 ww. ustawy, - art. 105a ust. 3 Prawa bankowego poprzez jego błędną wykładnię, polegającą na przyjęciu, że "osoba fizyczna", o której mowa w tym przepisie obejmuje swoim zakresem przedsiębiorców (osoby fizyczne prowadzące działalność gospodarczą), podczas gdy prawidłowa wykładnia tego przepisu powinna była doprowadzić PUODO do uznania, że przepis ten ma zastosowanie jedynie do osób fizycznych będących konsumentami, a w konsekwencji do przyjęcia, że skarżący nie był obowiązany do poinformowania Uczestnika 1 (B. K.) o zamiarze przetwarzania dotyczących go informacji bez jego zgody. W uzasadnieniu pełnomocnik skarżącego wskazał m.in., że zakres zastosowania art. 105a Prawa bankowego nie obejmuje osób fizycznych prowadzących działalność gospodarczą, na co wskazuje "Stanowisko Rady Prawa Bankowego przy Związku Banków Polskich oraz Biura Informacji w kontekście stosowania art. 105a ustawy - Prawo bankowe" z 27 kwietnia 2012 r. Co więcej zgodnie z uzasadnieniem projektu ustawy z 2007 r. wprowadzającej zmiany do Prawa bankowego w zakresie usunięcia z art. 105a ust. 1, 2 i 3 Prawa bankowego dookreślenia "konsument", zmiana ta miała na celu wyeliminowanie analogii do pojęcia konsument w rozumieniu ustawy z 20 lipca 2001 r. o kredycie konsumenckim, ponieważ nie wszystkie umowy zawierane przez bank z osobami fizycznymi będą umowami konsumenckimi. Również z treści rozporządzenia Ministra Finansów z 27 marca 2007 r. w sprawie szczegółowego zakresu przetwarzanych informacji dotyczących osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów oraz trybu usuwania tych informacji wynika, że intencją ustawodawcy było uregulowanie zasad przetwarzania danych osobowych osób fizycznych będących konsumentami, ze względu na brak w zakresie informacji przetwarzanych w celu oceny zdolności kredytowej i analizy ryzyka kredytowego oraz dla celów stosowania metod statystycznych nie został wymieniony nr REGON, który stanowi wyznacznik identyfikujący przedsiębiorcę w obrocie gospodarczym. Zdaniem skarżącego powyższe okoliczności wskazują na to, że przepis art. 105a Prawa bankowego nie dotyczy osób fizycznych prowadzących działalność gospodarczą, a przetwarzanie danych B. K. jest możliwe na podstawie art. 105 ust. 4 Prawa bankowego, również po wygaśnięciu zobowiązania wynikającego z umowy zawartej ze skarżącym bez konieczności uzyskiwania zgody B. K. Podobne stanowisko przedstawił Uczestnik 2 (Bank) w piśmie z [...] marca 2018 r. Pełnomocnik wskazał też na decyzje organu wydane w innych sprawach, które w ocenie skarżącego wskazują, że organ odstąpił od dotychczasowej praktyki. Pełnomocnik podniósł, że podstawą przetwarzania danych osobowych B. K. przetwarzanych w związku z umową o nr [...] w systemie BIK S.A. w celu oceny zdolności kredytowej i analizy ryzyka kredytowego, również po wygaśnięciu zobowiązania wynikającego z ww. umowy kredytowej jest prawnie uzasadniony interes (prawnie usprawiedliwiony cel) realizowany przez skarżącego, opierający się na art. 105 ust. 4 Prawa bankowego. Nie można przy tym twierdzić, że w przypadku zobowiązania, które wygasło jedyną podstawą przetwarzania danych przez skarżącego może być art. 105a ust. 3 Prawa bankowego, ponieważ jak podniesiono w niniejszej skardze (zob. pkt 4 poniżej), przepis ten ma zastosowanie wyłącznie do osób fizycznych będących konsumentami, natomiast B. K. jest osobą fizyczną prowadzącą działalność gospodarczą. Zwrócił przy tym uwagę m.in. na uzasadnienie do ustawy z 26 stycznia 2007 r. o zmianie ustawy - Prawo bankowe, która zmieniła art. 105a Prawa bankowego w ten sposób, że pojęcie "konsument" dookreślające osobę fizyczną, o której mowa w przepisie tego artykułu, zostało usunięte. Biuro Informacji Kredytowej S.A., reprezentowane przez radcę prawnego, wnosząc o uchylenie zaskarżonej decyzji oraz zasądzenie zwrotu kosztów postępowania, w tym kosztów zastępstwa procesowego według norm przepisanych, zarzuciło: 1. naruszenie przepisów postępowania, które miało istotny wpływ na wynik sprawy, tj.: - art. 7 w związku z art. 77 i art. 80 k.p.a. polegające na niewyczerpującym zebraniu i rozpatrzeniu całego materiału dowodowego i niepodjęciu wszelkich kroków niezbędnych do dokładnego wyjaśnienia stanu faktycznego i załatwienia sprawy, co skutkowało nakazem zaprzestania przetwarzania danych osobowych B. K. w systemie skarżącego w celu oceny zdolności kredytowej i analizy ryzyka kredytowego; - art. 8 ust. 1 i 2 k.p.a. poprzez wydanie decyzji, która bez uzasadnionej przyczyny odstępuje od utrwalonej praktyki rozstrzygania spraw w takim samym stanie faktycznym i prawnym, co z kolei narusza zasady pogłębiania zaufania obywateli do władzy publicznej; 2. naruszenie prawa materialnego, które miało wpływ na wynik sprawy, tj. art. 6 ust. 1 lit. C RODO w zw. z art. 105 ust. 4 i art. 105a ust. 2 i 3 ustawy Prawo bankowe, polegające na jego niewłaściwym zastosowaniu i przyjęciu, że skarżący nie legitymuje się przesłanką przetwarzania danych wynikającą z art. 6 ust. 1 lit. C RODO w związku z art. 105 ust. 4 Prawa bankowego. W uzasadnieniu pełnomocnik wskazał m.in., że organ zwrócił się do skarżącego oraz do Banku o wyjaśnienie podstaw prawnych przetwarzania danych osobowych B. K., na co skarżący i Bank udzielili odpowiedzi, w których m.in. powołali się na uzasadnienie do projektu ustawy z dnia 26 stycznia 2007 r. o zmianie ustawy - Prawo bankowe (Dz. U. z 2007 r. nr 42 poz. 272) oraz na pismo Ministerstwa Finansów z dnia 10 września 2013 r. Organ natomiast w decyzji wspomniał jedynie, że skarżący i Bank powołali się na w/wym. dokumenty jednak w najmniejszym nawet stopniu się do nich nie odniósł. Organ nie wypowiedział się, co do ich treści i w konsekwencji, organ nie wziął pod uwagę rzeczywistych intencji ustawodawcy jakie ustawodawcy przyświecały przy okazji nowelizacji przepisów Prawa bankowego, a jedynie oparł się na domniemaniach co do intencji ustawodawcy wyrażonych przez Rzecznika Finansowego i pełnomocnika B. K. Pełnomocnik zwrócił uwagę, że organ ani wcześniej Rzecznik Finansowy wydając arbitralnie swoją opinię nie sięgnęli do źródeł stanowionego prawa aby odczytać intencję ustawodawcy, tzn. przede wszystkim nie sięgnęli do wspomnianego już wyżej projektu ustawy z dnia 26 stycznia 2007 r. o zmianie ustawy - Prawo Bankowe (Dz. U. z 2007 r. nr 42 poz. 272). W ocenie pełnomocnika to Minister Finansów jako organ administracji rządowej odpowiedzialny za obszar instytucji finansowych i wprowadzający do porządku prawnego art. 105a Prawa bankowego w 2005 r. oraz jego nowelizację w 2007 r jest organem właściwym do przedstawienia wykładni historycznej i celowościowej przepisu w przypadku jakichkolwiek wątpliwości interpretacyjnych. Tymczasem pomimo przedstawienia przez skarżącego i Bank powyższych wyjaśnień organ ograniczył się do przyjęcia stanowiska Rzecznika Finansowego oraz pełnomocnika B. K., których interpretacje stoją w całkowitej sprzeczności z wykładnią celowościową i historyczną przepisów przedstawioną przez organ odpowiedzialny za ich przygotowanie i reprezentujący racjonalnego ustawodawcę. Pełnomocnik przedstawił też fragmenty decyzji organu ochrony danych osobowych wydanych w innych sprawach, podnosząc, że organ odstąpił od dotychczasowej praktyki w tego rodzaju sprawach. Pełnomocnik raz jeszcze wskazał, że postanowienia art. 105a ust. 2 ustawy – Prawo bankowe statuują generalną zasadę, że przetwarzanie informacji stanowiących tajemnicę bankową po wygaśnięciu zobowiązania jest dopuszczalne wyłącznie po uzyskaniu zgody osoby, której informacje te dotyczą (zgoda ta może być w każdym czasie odwołana). Wyjątki w zakresie wymogu uzyskania zgody na przetwarzanie informacji określają przepisy art. 105a ust. 3-4 ustawy. Ratio legis wprowadzenia do porządku prawnego art. 105a Prawa bankowego było zapewnienie osobie fizycznej - konsumentowi ostatecznej możliwości wywiązania się ze zobowiązań wobec banku i uniknięcia tym samym sankcji w postaci przetwarzania o nim informacji jako o niesolidnym dłużniku przez okres 5 lat. Stosując wykładnię historyczną, przepis art. 105a należy interpretować wyłącznie w odniesieniu do osób fizycznych - konsumentów, a przetwarzanie informacji o przedsiębiorcach nie jest zatem ograniczone zarówno regułami czasowymi, jak i postępowaniem określonym w tym przepisie. Prezes UODO w odpowiedzi na obie wymienione wyżej skargi wniósł o ich oddalenie, podtrzymując stanowisko zajęte w zaskarżonej decyzji. Dodatkowo organ odnosząc się do zarzutu odstąpienia od dotychczasowej praktyki wskazał, że wymienione przez Bank i BIK S.A.: decyzja GIODO z dnia [...] kwietnia 2018 r. ([...]) oraz Decyzja GIODO z dnia [...] maja 2018 r. ([...]) zostały wydane w momencie obowiązywania ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r., poz. 922) i przed rozpoczęciem obowiązywania przepisów RODO. Natomiast decyzja Prezesa UODO z dnia [...] stycznia 2020 r. ([...]) została wydana wskutek skargi, która wpłynęła do Prezesa UODO dnia [...] lipca 2018 r., czyli w momencie gdy w polskim porządku prawnym rozpoczęto już stosować przepisy RODO. Z kolei zaskarżona decyzja Prezesa UODO została wydana na skutek skargi, która wpłynęła do Prezesa UODO dnia [...] stycznia 2018 r., jednak z przyczyn szczegółowo opisanych w dalszej części niniejszej odpowiedzi na skargę, Prezes UODO rozstrzygał ww. sprawę w oparciu o przepisy zarówno ustawy z 1997 r., jak i RODO, do czego zobligowany był z uwagi na okoliczność, że kwestionowany proces przetwarzania danych osobowych kontynuowany był także w czasie stosowania RODO. Organ podkreślił nadto, że każda sprawa jest rozpatrywana przez Prezesa Urzędu Ochrony Danych Osobowych indywidualnie, zaś każdy stan faktyczny i prawny weryfikowany osobno. Organ odnosząc się do treści pisma Dyrektora Departamentu [...] w Ministerstwie Finansów z dnia [...] września skierowanego do Prezesa Związku Banków Polskich wskazał, że w Polsce jedynym właściwym i wyspecjalizowanym w sprawach dotyczących ochrony danych osobowych jest Prezes UODO, który ma status i kompetencje organu nadzorczego określone w RODO. Z tego względu dokonywanie oficjalnej interpretacji prawa w tym zakresie leży po stronie Prezesa UODO. Zgodnie z RODO jest to wyłączną kompetencją organów nadzorczych oraz Europejskiej Rady Ochrony Danych. Tym samym UODO jest jedynym organem umocowanym prawnie do wydawania wytycznych i interpretowania w tym zakresie przepisów prawa. W związku z tym Prezes UODO nie jest związany ww. powoływanymi przez Bank objaśnieniami prawnymi dotyczącymi stosowania RODO. Odnosząc się do interpretacji Banku i BIK S.A. w zakresie uchylonego rozporządzenia Ministra Finansów z dnia 27 marca 2007 r. Prezes Urzędu Ochrony Danych Osobowych wskazał, że nie podziela opinii Banku zgodnie z którą nie wymienienie numeru REGON w zakresie informacji przetwarzanych w celu oceny zdolności kredytowej i analizy ryzyka kredytowego oraz dla celów stosowania metod statystycznych prowadzi do wniosku, że intencją prawodawcy było uregulowanie zasad przetwarzania danych osobowych dotyczących jedynie osób fizycznych będących konsumentami. W ocenie organu brak numeru REGON we wskazanym zakresie nie świadczy o tym, że osobą fizyczną jest tylko osoba nie posiadająca numeru REGON. Jednocześnie wskazał, że prawodawca w akcie prawnym rangi ustawowej nie zróżnicował w tym zakresie sytuacji osób fizycznych nieprowadzących działalności gospodarczej, od osób fizycznych, które taką działalność prowadzą. Wobec powyższego uznać należy za nieprawidłowe stanowisko Banku wskazujące na to, że mógł on przetwarzać dane osobowe skarżącego w BIK bez wyrażenia przez niego uprzedniej zgody na powyższe, bądź też bez spełnienia przesłanek określonych w art. 105a ust. 3 Prawa Bankowego, tj. m. in. bez spełnienia określonego w ww. przepisie obowiązku informacyjnego. Odnosząc się do uzasadnienia projektu ustawy, na co powoływał się skarżący, organ wskazał m.in., że przepis art. 105a nie dotyczy informacji o kredycie konsumenckim, a informacji stanowiących tajemnice bankową i informacji udostępnionych przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, w zakresie dotyczącym osób fizycznych. Wojewódzki Sąd Administracyjny w Warszawie postanowieniem z dnia 5 marca 2021 r. sygn.. akt II SA/Wa 159/21 połączył sprawę ze skargi [...] S.A. z siedzibą w W. oraz sprawę ze skargi Biura Informacji Kredytowej S.A. z siedzibą w W. do łącznego rozpoznania i rozstrzygnięcia oraz prowadzenia pod sygnaturą II SA/Wa 158/21. Pełnomocnik BIK S.A. w piśmie procesowym z dnia 31 marca 2021 r. podtrzymał zarzuty skargi. Wskazał, że kwestią sporną w niniejszej sprawie jest okoliczność, czy art. 105a ustawy Prawo bankowe ma zastosowanie do przetwarzania danych osób fizycznych prowadzących działalność gospodarczą. Tym samym to ten właśnie artykuł ustawy Prawo bankowe powinien być brany przez organ pod uwagę w kontekście jego ewentualnych zmian w trakcie toczących się postępowań i wydanych decyzji, na które powołuje się skarżący w swojej skardze. Pełnomocnik wskazał, że art. 105a ustawy Prawo bankowe nie uległ zmianie (w zakresie będącym przedmiotem zainteresowania niniejszej sprawy) w okresie toczących się postępowań i wydanych decyzji, które skarżący przywołuje w skardze. Podkreślił, że w niniejszej sprawie podstawy prawne przetwarzania danych osobowych objętych tajemnicą bankową po wygaśnięciu zobowiązania powinny być oceniane przede wszystkim z w oparciu o przepisy ustawy Prawo bankowe, które jako przepisy przewidujące dalej idącą ochronę są przepisami lex specialis w stosunku do przepisów RODO. Prezes UODO w piśmie procesowym z dnia 2 lipca 2021 r. podtrzymał dotychczasowe stanowisko i argumentację zawartą w odpowiedzi na skargę. Dodał, że instrukcje, objaśnienia i wytyczne Ministra Finansów nie mają waloru normatywnego, a więc wydanie decyzji w oparciu o nie, nie zaś o treść przepisów prawa, stanowiłoby naruszenie zasady praworządności, zawartej w art. 6 k.p.a. Organ podniósł też, że zgadza się, że osoba fizyczna prowadząca działalność gospodarczą jest przedsiębiorcą w rozumieniu definicji wskazanej w art. 4 ust. 1 pkt 16a Prawa bankowego. Jednakże Prezes UODO nie podziela argumentacji BIK, zgodnie z którą osobą fizyczną w rozumieniu art. 105a Prawa bankowego jest tylko taka osoba fizyczna, która działalności gospodarczej nie prowadzi. Taka interpretacja jest nieprawidłowa i prowadziłaby do pozbawienia ochrony na gruncie przepisów o ochronie danych osobowych osób fizycznych, które prowadzą działalność gospodarczą. Przepisy o ochronie danych osobowych nie dotyczą wyłącznie tych osób fizycznych, które nie prowadzą działalności gospodarczej. Co więcej nie przewidują w ogóle podziału osób fizycznych na prowadzące działalność gospodarczą i nieprowadzące takiej działalności. Prezes UODO wskazał jednocześnie, że gdyby intencją ustawodawcy było, aby ww. przepis prawa bankowego nie dotyczył osób fizycznych prowadzących działalność gospodarczą, to dałby temu wyraz poprzez jednoznaczne tego wskazanie, tak jak zrobił to w przypadku szeroko powoływanych przez BIK przepisów dotyczących przedsiębiorców, w których wprost wskazuje na to, że dotyczą one przedsiębiorców. Organ podniósł, że jak wskazał sam BIK, przepisy Prawa bankowego w zakresie w jakim dotyczą przetwarzania danych osobowych objętych tajemnicą bankową po wygaśnięciu zobowiązania, stanowią lex specialis w stosunku do przepisów RODO. Jednakże podobnie jak RODO nie zawierają ograniczenia, przesądzającego o ich zastosowaniu wyłącznie do osób fizycznych, które nie prowadzą działalności gospodarczej. Tym samym argumentację BIK w tym zakresie uznać należy zdaniem organu za chybioną. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje. Skargi nie podlegały uwzględnieniu. Organ nie naruszył w tej sprawie przepisów k.p.a., które miałyby wpływ na wynik sprawy, jak również nie naruszył przepisów prawa materialnego. Wszystkie zarzuty obu skarg Sąd uznał za nietrafne. Sąd podzielił argumentację Prezesa Urzędu Ochrony Danych Osobowych przedstawioną w zaskarżonej decyzji i stanowisko organu zgodnie z którym, brak było podstaw do przetwarzania danych osobowych B. K. Przez Bank po wygaśnięciu zobowiązania wynikającego z umowy, bez jego zgody, w celu oceny zdolności kredytowej i analizy ryzyka kredytowego (w tym udostępnienia ich BIK S.A.). W sprawie nie było kwestionowane przez organ, że przetwarzanie dotyczyło danych osoby fizycznej prowadzącej działalność gospodarczą, po wygaśnięciu zobowiązania. Wynikało to wprost już z samego wniosku B. K. z dnia [...] stycznia 2018 r. skierowanego do GIODO. Okoliczność ta w żadnym razie nie wyklucza prawidłowości stanowiska organu. Zdaniem Sądu, w stanie faktycznym tej sprawy, zasadnie organ stwierdził, że nie zostały spełnione przesłanki warunkujące dopuszczalność przetwarzania danych osobowych B. K. po wygaśnięciu zobowiązania w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Trafnie organ wskazał, że przesłanki takiej nie stanowi w tej sprawie art. 105a ust. 2 Prawa bankowego, który wymaga zgody osoby fizycznej ani art. 105a ust. 3 Prawa bankowego. Zgodnie z pierwszym z powołanych przepisów, z zastrzeżeniem ust. 3, instytucje, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową oraz informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, w zakresie dotyczącym osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, pod warunkiem uzyskania pisemnej zgody osoby, której informacje te dotyczą, z zastrzeżeniem ust. 2a. Zgoda ta może być w każdym czasie odwołana. W sprawie jest bezsporne, że zgoda została przez B. K. odwołana. Stosownie zaś do art. 105a ust. 3 Prawa bankowego, banki, instytucje oraz podmioty, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową i informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank, inną instytucję ustawowo upoważnioną do udzielania kredytów, instytucję pożyczkową albo podmiot, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, o zamiarze przetwarzania dotyczących jej tych informacji, bez jej zgody. Zasadnie organ stwierdził, że także ten przepis nie stanowił przesłanki warunkującej dopuszczalność przetwarzania danych osobowych B. K. po wygaśnięciu zobowiązania albowiem, jak wskazał organ, Bank nie przedstawił dowodu na prawidłowe doręczenie B. K. dokumentu, w którego treści zawarta była informacja o okolicznościach wskazanych w art. 105a ust. 3 Prawa bankowego. Powyższe nie było kwestionowane przez Bank. Organ miał podstawy stwierdzić, że wymogi określone w art. 105a ust. 3 Prawa bankowego nie zostały dochowane, na co zresztą we wniosku inicjującym postępowanie przed organem ochrony danych osobowych jednoznacznie wskazywał B. K. W sprawie tej Sąd przychylił się do stanowiska Prezesa UODO, że przepis art. 105a ust. 3 Prawa bankowego odnosi się do każdej osoby fizycznej, w tym także tej prowadzącej działalność gospodarczą. Brzmienie powołanego przepisu nie wyklucza jego stosowania do osób fizycznych prowadzących działalność gospodarczą. Fakt prowadzenia działalności gospodarczej nie pozbawia osoby fizycznej na gruncie RODO, ochrony jaka przewidziana została w tym akcie prawnym. Wykładany przez organ przepis art. 105 ust. 3a Prawa bankowego nie może być interpretowany w sposób, który wyklucza realizację przez banki i inne instytucje obowiązków w nim przewidzianych, wobec osób fizycznych prowadzących działalność gospodarczą. Interpretacja powołanych przepisów, czyniąca dopuszczalne przetwarzanie po wygaśnięciu zobowiązania, danych osobowych osoby fizycznej prowadzącej działalność gospodarczą, bez jej zgody i bez spełnienia wymogów z art. 105a ust. 3 Prawa bankowego, pozostawiałaby te osoby fizyczne poza ramami RODO. RODO tymczasem znajduje zastosowanie do przetwarzania danych tych osób fizycznych. W sprawie nie ma przy tym wątpliwości, że wobec trwania przetwarzania danych osobowych B. K. po wejściu w życie RODO, ten akt prawny znajdował zastosowanie, co trafnie stwierdził organ ochrony danych osobowych. Okoliczność, że zdaniem Banku art. 105a ust. 3 nie powinien mieć zastosowania do osób fizycznych prowadzących działalność gospodarczą, nie zmienia prawidłowości dokonanej w tej sprawie przez organ wykładni tego przepisu w jego obecnym brzmieniu, w czasie, gdy obowiązuje RODO. Sąd nie stwierdził w tej sprawie naruszenia art. 7, art. 77, art. 80, czy art. 8 k.p.a. Organ dokonał ustaleń faktycznych niezbędnych i wystarczających jednocześnie dla rozstrzygnięcia tej sprawy. Materiał dowodowy rozpatrzył wszechstronnie, a jego ocena nie była dowolna. Kwestia stanowiska MF nie mogła mieć wpływu na rozstrzygnięcie organu, albowiem Prezes UODO obowiązany jest rozstrzygać w sprawie zgodnie z przepisami prawa. Przepisy RODO nie dają zaś podstaw do interpretacji art. 105a ust. 3 Prawa bankowego pozostawiającej osoby fizyczne prowadzące działalność gospodarczą poza ochroną z nich wynikającą. W sprawie nie został naruszony też art. 8 k.p.a. Organ nie naruszył zasady zaufania uczestników postępowania do władzy publicznej. Organ wykazał też w odpowiedzi na skargę, że nie może być mowy o odstąpieniu od utrwalonej praktyki. Odmienność stanów faktycznych i prawnych w sprawach przedstawionych przez skarżących, w tym przede wszystkim zastosowanie w tej sprawie także RODO, nie daje podstaw do stwierdzenia, aby naruszony został art. 8 § 1 i § 2 k.p.a. Biorąc pod uwagę prawidłową wykładnię i zastosowanie przez Prezesa UODO przepisów RODO, w tym art. 6 ust. 1 lit.f RODO w związku z związku z art. 105 ust. 4 i art. 105a ust. 2 i 3 Prawa bankowego, Sąd nie znalazł podstaw do uwzględnienia skargi. Odnosząc się do zarzutów BIK S.A. wskazania wymaga też, że zgodnie z art. 6 ust. 1 lit.f RODO, przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy - i w takim zakresie, w jakim - spełniony jest co najmniej jeden z poniższych warunków: przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Stosownie zaś do art. 6 ust. 1 lit.c RODO, przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze. Przepis art. 105 ust. 4 pkt 1 Prawa bankowego stanowi zaś, że banki mogą, wspólnie z bankowymi izbami gospodarczymi, utworzyć instytucje upoważnione do gromadzenia, przetwarzania i udostępniania bankom - informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013. Wobec podstaw powstania instytucji, jaką jest BIK S.A., zasadnie Prezes UODO wskazał na art. 6 ust. 1 lit.f RODO, a nie na wskazywany przez BIK S.A. art. 6 ust. 1 lit.c RODO, jako podstawę przetwarzania danych osobowych. Stanowisko BIK S.A. i Banku nie mogło przeważyć w tej sprawie nad wprost wyrażonymi w Prawie bankowym przesłankami dopuszczalności przetwarzania danych osoby fizycznej (w tym także prowadzącej działalność gospodarczą) w związku z przepisami RODO. Wymogi prawa co do dopuszczalności przetwarzania danych osobowych B. K. nie zostały spełnione stąd zarzuty naruszenia przez Prezesa UODO art. 105 ust. 4, art. 105a ust. 3 Prawa bankowego Sąd uznał za nieuzasadnione. Nadto przepis art. 105 ust. 4 Prawa bankowego jest przepisem o charakterze ogólnym, który stanowi o możliwości utworzenia wspólnie z bankowymi izbami gospodarczymi, instytucji upoważnionych do gromadzenia, przetwarzania i udostępniania danych. Przepis ten nie daje jednak podstaw do nieograniczonego przetwarzania wszelkich danych osobowych przez utworzone instytucje. Zasady przetwarzania danych objętych tajemnicą bankową określa art. 105a Prawa bankowego. Na gruncie tego przepisu należy oceniać zatem dopuszczalność przetwarzania poszczególnych danych osobowych w określonych ściśle celach. Zaskarżona decyzja wydana w ustalonym i bezspornym stanie faktycznym, należycie umotywowana, nie daje podstaw do uwzględnienia skarg. Z tych względów, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz. U. z 2019 r., poz. 2325 ze zm.) w zw. z art. 15zzs4 ust. 3 ustawy z dnia 2 marca 2020 r. o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19, innych chorób zakaźnych oraz wywołanych nimi sytuacji kryzysowych (Dz. U. poz. 374 ze zm.), orzekł jak w wyroku.