II SA/Wa 712/23

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Waldemar Śledzik (spr.), Sędzia WSA Agnieszka Góra-Błaszczykowska, Sędzia WSA Andrzej Góraj, , po rozpoznaniu w trybie uproszczonym w dniu 4 października 2023 r. sprawy ze skargi B. P.B. Polska S.A. z siedzibą w W. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] stycznia 2023 r., nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę Do Prezesa Urzędu Ochrony Danych Osobowych wpłynęła skarga M. S. na nieprawidłowości w procesie przetwarzania jego danych osobowych przez [...]S.A. z siedzibą w W.(zwaną dalej także: "Bankiem"; "Skarżącym"), polegające na niezrealizowaniu wobec Uczestnika postępowania obowiązku informacyjnego na podstawie art. 14 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE ogólne rozporządzenie o ochronie danych (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35, zwanego dalej "RODO"), na nieuwzględnieniu żądania M. S. w zakresie: sprostowania jego danych osobowych, nieuwzględnieniu sprzeciwu wobec przetwarzania jego danych osobowych, niespełnieniu prawa dostępu przysługującego osobie, której dane dotyczą na podstawie art. 15 RODO oraz niespełnieniu żądania usunięcia jego danych osobowych na podstawie art. 17 RODO. W toku postępowania przeprowadzonego w niniejszej sprawie Prezes Urzędu Ochrony Danych Osobowych (zwany dalej również: "Prezesem UODO"; "Organem") ustalił następujący stan faktyczny: W skardze inicjującej niniejsze postępowanie M. S. (zwany dalej także jako: "Uczestnik postępowania") wskazał, że Bank kieruje do niego oferty marketingowe telefonicznie, listownie oraz na adres mailowy, pomimo iż w lipcu 2019 r. wycofał wszelkie zgody marketingowe. W/wym. wskazał, że w dniu [....] stycznia 2020 r. zwrócił się do Banku mailowo o usunięcie wszelkich jego danych osobowych i wyraził sprzeciw wobec ich przetwarzania. Uczestnik postępowania wskazał, że na powyższe nie dostał od Banku odpowiedzi, a oferty marketingowe dostaje nadal. Wobec powyższego Uczestnik postępowania zwrócił się do Prezesa UODO ze skargą na przetwarzanie jego danych osobowych bez podstawy prawnej, niewypełnienie wobec niego obowiązku z art. 14 RODO, niezrealizowanie prawa dostępu do danych, do ich sprostowania, usunięcia, do wniesienia sprzeciwu wobec ich przetwarzania oraz zadośćuczynienia w formie pieniężnej za przetwarzanie danych osobowych bez zgody danej osoby. Po wszczęciu przez Organ postępowania, Bank w ramach złożonych wyjaśnień wskazał, że pozyskał dane osobowe od Uczestnika postępowania, jako następca prawny [....] Oddział w Polsce, w związku z zawartą w dniu [....] sierpnia 2015 r. Umową Kredytu Ratalnego i Umową o Limit kredytowy oraz o Kartę Kredytową Zbliżeniową MasterCard. Bank wskazał, w szczególności, że "przetwarza dane Skarżącego (tj. Uczestnika postępowania – przyp. Sądu) od chwili przejęcia [....] Oddział w Polsce to jest od dnia [....] maja 2016 r." Wyjaśnił także, że Uczestnik postępowania zawarł również Umowę o Kredyt ratalny i o Kartę Kredytową z Bankiem. W związku z powyższym Bank pozyskał dane skarga M. S. w zakresie: imię, nazwisko, nazwisko panieńskie matki, data urodzenia, miejsce urodzenia, adres zameldowania i adres zamieszkania, nr PESEL, obywatelstwo, nr telefonu, numer i serię dowodu osobistego, wizerunek, numery rachunków jakie posiadał on w banku, salda na rachunkach Klienta, rodzaje produktów jakie posiadał, stanowisko na jakim był zatrudniany, osiągany dochód, adres miejsca pracy. Jednocześnie Bank podniósł, że wypełnił wobec Uczestnika postępowania obowiązek informacyjny wynikający z przepisu art. 24 ustawy z dnia [....] sierpnia 1997 r. o ochronie danych osobowych. Każdorazowo bowiem przy zawieraniu umowy wymagane informacje zawarte były w treści podpisywanej umowy, a M. S. potwierdzał zapoznanie się z nimi własnoręcznym podpisem. Zdaniem Banku, z przedłożonych dokumentów wynika również, że wobec Uczestnika postępowania został spełniony obowiązek informacyjny wynikający z art. 13 RODO, który to strona potwierdziła własnoręcznym podpisem na Karcie Danych Osobowych z dnia 26 lipca 2019 r. Bank wskazał również, że nie odnotował wniosku Uczestnika postępowania z żądaniem dostępu do danych osobowych na podstawie art. 15 RODO oraz jego wniosku z żądaniem sprostowania danych osobowych, jak również nie odnotował wniosku z żądaniem usunięcia jego danych osobowych. Ponadto Bank wyjaśnił, że Uczestnik postępowania zgłosił wycofanie wszystkich zgód marketingowych w trakcie rozmowy telefonicznej z konsultantem [....] lipca 2019 r. o godzinie 12:32. Oraz, ponownie, wycofał swoje zgody marketingowe w oddziale Banku [....] lipca 2019 r. Jednocześnie Bank przyznał, że mimo wycofania zgód w dniu [....] lipca 2019 r. wykonane zostało połączenie telefoniczne do M. S., ale konsultantka nie przedstawiła żadnej oferty marketingowej, a w/wym. poinformował na początku rozmowy, że zgłosił swój sprzeciw na przetwarzanie jego danych w celach marketingowych i rozmowa została zakończona. Bank podkreślił też, że przed [....] lipca 2019 r. do Uczestnika postępowania została wysłana listownie informacja marketingowa, którą mógł otrzymać po [....] lipca 2019 r. Bank wyjaśnił również, że Uczestnik postępowania skarżył się na otrzymywanie informacji marketingowych mailowo. Stwierdzono, że strona nie podała do wiadomości Banku swojego adresu mailowego, w zawartej umowie ani podczas aktualizacji swoich danych osobowych w oddziale Banku. Stwierdzono również, że podczas składania telefonicznie reklamacji Uczestnik postępowania podał swój adres mailowy [....] i zgodził się na użycie tego adresu mailowego jedynie w celu udzielenia odpowiedzi na reklamacje. Do M. S. nie były zatem wysyłane wiadomości mailowe o charakterze marketingowym. Natomiast mógł otrzymać informacje marketingowe dotyczycące Banku, jeżeli na przykład wyraził zgodę na marketing innemu podmiotowi, który na zlecenie Banku prowadził akcję marketingową. Wówczas jednak administratorem danych osobowych Uczestnika postępowania (adresu e-mail) jest inny podmiot (nie Bank) i strona powinna zwrócić się do tego podmiotu, aby wycofać zgody na marketing. Bank przyznał przy tym, że M. S. zwracał się do Banku z reklamacjami dotyczącymi przetwarzania jego danych osobowych w celach marketingowych oraz, że "Bank przychylał się do reklamacji Klienta i odpowiedź była pozytywna. (...) Na skutek błędu pracownika, który nie odnotował właściwie sprzeciwu we wszystkich systemach, skarżący otrzymywał informacje marketingowe pomimo zgłoszonego wcześniej sprzeciwu. Aktualnie, w wyniku interwencji Inspektora Ochrony Danych, zgody na przetwarzanie danych w celach marketingowych oraz sprzeciw na przetwarzanie danych w celach marketingowych zostały wprowadzone do wszystkich systemów." Bank wskazał także, że ostatecznie wprowadził sprzeciw na profilowanie i wycofanie zgód M. S. do wszystkich systemów Banku w dniu [....] października 2019 r. oraz, że umowy zawarte pomiędzy Uczestnikiem postępowania i Bankiem zostały zakończone [....] czerwca 2020 r. Końcowo dodał również, że "(...) będzie przetwarzał dane M. S. przez okres 6 lat liczonych co do zasady od rozwiązania przedmiotowych umów ze skutkiem na koniec roku kalendarzowego, tj. do końca 2026 r., w związku z koniecznością uwzględnienia dyspozycji powszechnie obowiązujących przepisów prawa takich jak: 1) przepisy art. 118 ustawy z 23 kwietnia 1964 r. Kodeks cywilny; 2) przepisy ustawy z 29 sierpnia 1997 r. Prawo bankowe, w tym art. 106 i 106d Prawa bankowego; 3) przepis art. 74 ustawy z 29 września 1994 r. o rachunkowości; 4) przepis ustawy z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu, w tym art. 33, 34, 35 i 49." Uczestnik postępowania pismem z dnia [....] kwietnia 2022 r. uzupełnił tak ustalony stan faktyczny, składając do Organu wydruki maili z ofertą marketingową Banku oraz wskazując, że na jednym z wydruków maila znajduje się pouczenie zawarte w stopce, z którego wynika, że oferta wysłana została na zlecenie Banku, ale podmiotem odpowiedzialnym za wysyłkę jest [....] sp. z o.o. z siedzibą w K. przy ul. P. [....](zwana dalej także "Spółką"), z którego wynika, że oferta wysyłana jest na podstawie udzielonej Spółce zgody oraz, że jest podmiotem właściwym do przyjmowania wniosków dotyczących danych osobowych, a także, że w przypadku gdy strona nie chce otrzymywać tego typu wiadomości, powinna skorzystać z linku wypisu. Odnosząc się do powyższego, Bank wskazał, że na podstawie przesłanych przez Uczestnika postępowania wydruków maili, można wywnioskować, że to nie Bank wysyłał maile do strony, ale podmiot, z którym Bank współpracuje w zakresie podejmowania działań marketingowych i który kieruje kampanie do określonej grupy docelowej. Bank wyjaśnił, że przedmiotem takich zleceń nie jest przekazanie bazy kontaktów, a jedynie zlecenie wysyłki o określonej treści, nie wskazując odbiorców tej komunikacji; wysyłka następuje wówczas na adresy mailowe, co do których administratorem danych nie jest Bank, a podmiot, z którym Bank współpracuje, np. operator poczty e-mail (jak onet.pl, wp.pl). Wówczas wysyłka odbywa się w oparciu o zgody udzielone przez podmiot danych takiemu podmiotowi, nie Bankowi. W związku z powyższym, zdaniem Banku, to nie bank przekazał dane osobowe Uczestnika postępowania, w tym adres mailowy, ale to "inny administrator" samodzielnie zdecydował, do jakich klientów reklama zostanie wysłana. W ocenie Banku, sądząc po reklamach, prawdopodobnym jest, że to firma Onet wysyłała maile do Uczestnika postępowania, w oparciu o zgody, jakimi dysponuje. Bank podkreślił, że nie dysponował adresem mailowym M. S. dopóki adres ten nie pojawił się w jego reklamacji. Wobec tego przyjąć należy, że Bank przetwarza adres mailowy Uczestnika postępowania wyłącznie w celu udzielenia odpowiedzi na złożoną reklamację w formie mailowej." W ramach tak dokonanych ustaleń faktycznych, po przeprowadzeniu postępowania administracyjnego, Prezes UODO wydał w dniu [...] stycznia 2023 r. decyzję administracyjną na mocy której udzielił Bankowi upomnienia za naruszenie art. 6 ust. 1 i art. 21 ust. 3 RODO polegające na przetwarzaniu danych osobowych Skarżącego w celach marketingu bezpośredniego w okresie od 22 lipca 2019 r. do 21 października 2019 r., bez podstawy prawnej, pomimo wniesionego przez Uczestnika postępowania sprzeciwu (pkt. 1 decyzji). Jednocześnie, w pkt 2 wym. decyzji, umorzył postępowanie w zakresie skargi M. S. na nieprawidłowości w procesie przetwarzania jego danych osobowych przez [...]S.A. z siedzibą w Warszawie, polegające na nieuwzględnieniu żądania sprostowania jego danych osobowych, uniemożliwieniu realizacji prawa dostępu do danych na podstawie art. 15 ww. rozporządzenia, na niespełnieniu żądania usunięcia jego danych osobowych na podstawie art. 17 ww. rozporządzenia oraz w zakresie w jakim proces przetwarzania jego danych osobowych w celach marketingowych prowadzony był przez odrębnego od [...]S.A. z siedzibą w Warszawie administratora, zaś w pozostałym zakresie odmówił uwzględnienia wniosku (pkt. 3 decyzji). Uzasadniając powyższe, Organ wskazał, że z ustalonego w niniejszej sprawie stanu faktycznego wynika, że Bank pozyskał dane osobowe Uczestnika postępowania w związku z zawartymi z nim umowami o produkty bankowe oraz przetwarzał te dane w celu realizacji tych umów. Podstawą prawną pozyskania i przetwarzania tych danych był więc art. 6 ust. 1 lit. b RODO. W dniu [...] czerwca 2020 r. umowy zawarte pomiędzy Uczestnikiem postępowania i Bankiem zostały zakończone. Bank wskazał, że obecnie kontynuuje wobec powyższego przetwarzanie danych M. S. na podstawie art. 6 ust. 1 lit. c RODO w związku z art. 106 i 106d ustawy z 29 sierpnia 1997 r. Prawo bankowe (Dz. U. z 2022 r., poz. 2324, zwanej dalej "Prawem bankowym"); przepisami ustawy z 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu (Dz. U. 2022 r., poz. 593, zwanej dalej "AML"), w tym art. 33, 34, 35 i 49; art. 74 ustawy z 29 września 1994 r. o rachunkowości (Dz. U. z 2021 r., poz. 217, zwanej dalej "ustawą o rachunkowości" oraz art. 725 i nast. Kc - w zakresie prowadzenia rachunku bankowego oraz będzie przetwarzał dane Uczestnika postępowania przez okres 6 lat liczonych co do zasady od rozwiązania przedmiotowych umów ze skutkiem na koniec roku kalendarzowego, tj. do końca 2026 r., w związku z koniecznością uwzględnienia dyspozycji art. 118 Kc. W takiej sytuacji, w ocenie Prezesa UODO przepis art. 6 ust. 1 lit. c samodzielnie nie stanowi podstawy legalizacyjnej przetwarzania, ale jedynie w połączeniu z odpowiednim przepisem prawa obowiązującego w państwie, któremu podlega administrator, lub też w połączeniu z odpowiednim przepisem unijnym, o treści zgodnej z wymogami określonymi w art. 6 ust. 3. Skoro umowy zawarte pomiędzy Uczestnikiem postępowania i Bankiem zostały zakończone [...] czerwca 2020 r. koniecznym jest dokonanie analizy, czy istnieją podstawy prawne, które czynią legalnym obecne kontynuowanie procesu przetwarzania danych osobowych Skarżącego, w tym czy uzasadnione jest przetwarzanie tych danych w celu wypełnienia obowiązków prawnych nałożonych na Bank, wynikających z przytoczonych przez Bank przepisów. Dokonując takiej analizy Organ wskazał, że zgodnie z art. 74 ust. 2 pkt. 4 ustawy o rachunkowości, podmiot zobowiązany ma obowiązek przechowywać m. in.: dowody księgowe dotyczące środków trwałych w budowie, pożyczek, kredytów oraz umów handlowych, roszczeń dochodzonych w postępowaniu cywilnym lub objętych postępowaniem karnym albo podatkowym - przez 5 lat od początku roku następującego po roku obrotowym, w którym operacje, transakcje i postępowanie zostały ostatecznie zakończone, spłacone, rozliczone lub przedawnione (ust. 2 pkt. 4). Zgodnie natomiast z brzmieniem art. 106d Prawa bankowego banki, inne instytucje ustawowo upoważnione do udzielania kredytów, izby rozliczeniowe utworzone na podstawie art. 67, instytucje utworzone na mocy art. 105 ust. 4, instytucje pożyczkowe, podmioty, których podstawowa działalność polega na udostępnianiu składników majątkowych na podstawie umowy leasingu, oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, mogą przetwarzać i wzajemnie udostępniać informacje, w tym informacje objęte tajemnicą bankową, w przypadkach: 1) uzasadnionych podejrzeń, o których mowa w art. 106a ust. 3; 2) uzasadnionych podejrzeń popełnienia przestępstw dokonywanych na szkodę banków, innych instytucji ustawowo upoważnionych do udzielania kredytów, instytucji kredytowych, instytucji finansowych, instytucji pożyczkowych oraz podmiotów, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, i ich klientów, w celu i zakresie niezbędnym do zapobiegania tym przestępstwom; 3) wykonywania obowiązków w zakresie określonym w przepisach o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (ust. 1). Podmioty określone w ust. 1 mogą przetwarzać i wzajemnie udostępniać informacje, w tym informacje objęte tajemnicą bankową oraz informacje dotyczące wyroków skazujących, w przypadkach przestępstw dokonywanych na szkodę banków, innych instytucji ustawowo upoważnionych do udzielania kredytów, instytucji kredytowych, instytucji finansowych,*’ instytucji pożyczkowych oraz podmiotów, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, i ich klientów, w celu i zakresie niezbędnym do zapobiegania tym przestępstwom (ust. 2). Stosownie zaś do art. 2 ust. 1 pkt 1 AML banki krajowe są instytucjami obowiązanymi, czyli podmiotami zobowiązanymi do wypełniania obowiązków przewidzianych w tej ustawie. W myśl art. 49 AML instytucje obowiązane przechowują przez okres 5 lat, licząc od pierwszego dnia roku następującego po roku, w którym zakończono stosunki gospodarcze z klientem lub w którym przeprowadzono transakcje okazjonalne kopie dokumentów i informacje uzyskane w wyniku stosowania środków bezpieczeństwa finansowego dowody potwierdzające przeprowadzone transakcje i ewidencje transakcji, obejmujące oryginalne dokumenty lub kopie dokumentów konieczne do identyfikacji transakcji. W świetle powyższych przepisów, w ocenie Prezesa UODO, proces przetwarzania danych osobowych Uczestnika postępowania przez Bank znajduje aktualnie oparcie w przesłance z art. 6 ust. 1 lit. c RODO w zw. z art. 74 ust. 2 pkt. 4 ustawy o rachunkowości, a także w zw z art. 106d ust. 1 pkt 3 Prawa bankowego w zw. z art. 49 AML, gdyż określone w ww. przepisach okresy jeszcze nie upłynęły. Bank nie wykazał natomiast, aby przetwarzanie danych osobowych Skarżącego było niezbędne dla wypełnienia obowiązku wynikającego z art. 118 Kodeksu cywilnego, regulującego terminy przedawnienia roszczeń. Nie jest możliwe uznanie, że ww. przepis prawa reguluje jakikolwiek obowiązek Banku. Brak jest jednocześnie uzasadnienia dla przyjęcia, że terminy dotyczące przedawnienia roszczeń wynikających ze stosunków zobowiązaniowych określają jednocześnie ramy czasowe, w których dane osobowe mogą być przetwarzane przez Bank. Przedawnienie roszczenia nie wywołuje skutków na gruncie ochrony danych osobowych, nie wpływa bowiem na fakt istnienia roszczenia, a powoduje jedynie zmianę w sferze zarzutów procesowych w postaci możliwości podniesienia okoliczności przedawnienia w sporze sądowym. Podkreślenia wymaga, że okolicznością usprawiedliwiającą przetwarzanie danych osobowych w celu dochodzenia roszczeń jest sam fakt istnienia roszczenia oraz zamiar jego dochodzenia, nie jest nią natomiast zmiana w uprawnieniach procesowych podmiotu pozwanego. Wskazać przy tym należy, że zebrany w niniejszym postępowaniu materiał dowodowy nie wykazał, aby istniało roszczenie, którego Bank dochodziłby od Skarżącego, ani roszczenie Uczestnika postępowania wobec Banku. Tym samym przetwarzanie danych osobowych w celu obrony lub dochodzenia ewentualnych roszczeń uznać należy za przetwarzanie tych danych "na zapas". Zdaniem Prezesa Urzędu, Bank nie wykazał również przesłanek do przetwarzania danych osobowych Uczestnika postępowania na podstawie art. 725 i następnych Kodeksu cywilnego, które są przepisami regulującymi kwestie dotyczące zawarcia umowy rachunku bankowego. Umowy zawarte pomiędzy Uczestnikiem postępowania i Bankiem zostały zakończone [...] czerwca 2020 r. Nie ma zatem podstaw do przetwarzania danych M. S. w oparciu o te przepisy. Odnosząc się do kwestionowanego przez Uczestnika postępowania procesu przetwarzania jego danych osobowych w celach marketingu bezpośredniego bez podstawy prawnej, zdaniem Organu analiza materiału dowodowego wykazała, że Skarżący w dniu [...] lipca 2019 r. wniósł sprzeciw względem ww. przetwarzania. Zgodnie z art. 21 ust. 2 RODO, jeżeli dane osobowe są przetwarzane na potrzeby marketingu bezpośredniego, osoba, której dane dotyczą, ma prawo w dowolnym momencie wnieść sprzeciw wobec przetwarzania dotyczących jej danych osobowych na potrzeby takiego marketingu, w tym profilowania, w zakresie, w jakim przetwarzanie jest związane z takim marketingiem bezpośrednim. Zgodnie z art. 21 ust. 3 RODO jeżeli osoba, której dane dotyczą, wniesie sprzeciw wobec przetwarzania do celów marketingu bezpośredniego, danych osobowych nie wolno już przetwarzać do takich celów. Prawo do sprzeciwu wobec przetwarzania danych osobowych w celach marketingu bezpośredniego jest zatem bezwzględnie skuteczne - administrator musi uczynić mu zadość. W ocenie Organu, po wniesieniu zatem przez Skarżącego ww. sprzeciwu, w myśl wskazanego powyżej art. 21 ust. 3 RODO, przetwarzanie jego danych osobowych w celach marketingu bezpośredniego stało się niedopuszczalne. Pomimo powyższego pracownik Banku w dniu [...] lipca 2019 r. skontaktował się z Uczestnikiem postępowania w celu przedstawienia mu oferty marketingowej. Bank wskazał, że powyższy kontakt nastąpił na skutek błędu pracownika, który nie odnotował właściwie sprzeciwu we wszystkich systemach. W ocenie Organu, powyższe działanie Banku nie znajdowało oparcia w żadnej z przesłanek legalizujących przetwarzanie danych osobowych, wyrażonych w art. 6 ust. 1 RODO, a ponadto nastąpiło z naruszeniem art. 21 ust. 3 RODO. Jednocześnie Organ podkreślił, że z zebranego w sprawie materiału dowodowego wynika, że pozostałe działania marketingowe, przejawiające się w wysyłaniu do Uczestnika postępowania ofert na jego adres mailowy, nie były podejmowane przez Bank. Z ustalonego w sprawie stanu faktycznego wynika bowiem, że Bank zlecał podmiotom zewnętrznym realizację kampanii marketingowych, ale bez wskazywania odbiorców tej kampanii. Wybór adresatów ofert marketingowych dokonywany był przez podmiot realizujący taką kampanię, spośród własnej bazy danych osobowych, których administratorem był ten podmiot, nie zaś Bank. Wobec powyższego skarga w ww. zakresie dotyczy procesu przetwarzania danych osobowych Uczestnika postępowania, który nie był prowadzony przez Bank, tylko przez inny podmiot, będący administratorem danych odnośnie ww. procesu. Organ podkreślił przy tym, że strona (M. S.) otrzymała informację w stopce maila zawierającego ofertę, jaki podmiot kieruje do niego przedmiotową korespondencję o charakterze marketingowym, zaś Bank ostatecznie wprowadził sprzeciw i wycofanie zgód Uczestnika postępowania do wszystkich systemów Banku w dniu [...]października 2019 r. Tym samym uznać należało, że przetwarzanie danych osobowych M. S. w celach prowadzenia marketingu bezpośredniego po wniesieniu przez niego sprzeciwu w dniu [...] lipca 2019r. do dnia [...] października 2019 r. było procesem, który nie znajdował uzasadnienia w żadnej z przesłanek, o których mowa w art. 6 ust. 1 RODO, prowadzonym ponadto z naruszeniem art. 21 ust. 3 RODO. Ponadto Organ w uzasadnieniu decyzji wyjaśnił, że postępowanie administracyjne prowadzone przez Prezesa Urzędu Ochrony Danych Osobowych służy kontroli zgodności przetwarzania danych z przepisami o ochronie danych osobowych i jest ukierunkowane na wydanie decyzji administracyjnej przywracającej stan zgodny z prawem na podstawie art. 58 ust. 2 RODO. Decyzje Prezesa UODO służą przywróceniu stanu zgodnego z prawem na podstawie art. 58 ust. 2 lit. b RODO między innymi poprzez udzielenie upomnienia administratorowi lub podmiotowi przetwarzającemu w przypadku naruszenia przepisów niniejszego rozporządzenia przez operację przetwarzania. Mając powyższe na uwadze, Prezes Urzędu uznał, że w niniejszej sprawie właściwe jest zastosowanie wobec Banku upomnienia za stwierdzone naruszenie przepisów o ochronie danych osobowych, tj. art. 6 ust. 1 i art. 21 ust. 3 RODO, wobec braku podstaw Banku do przetwarzania danych osobowych Skarżącego dla celów marketingu bezpośredniego, w okresie od [...] lipca 2019 r. do [...] października 2019 r., z uwagi na wniesiony przez niego sprzeciw. Ponadto w ocenie organu Bank prawidłowo przetwarzał i aktualnie przetwarza dane osobowe Skarżącego w oparciu o przesłankę z art. 6 ust. 1 lit. c RODO, gdyż jest to niezbędne do wypełnienia przez Bank obowiązków wynikających z art. 74 ust. 2 pkt.4 ustawy o rachunkowości, a także z art. 106d ust. 1 pkt 3 Prawa bankowego w zw. z art. 49 AML. Odnosząc się kolejno do zarzutu Uczestnika postępowania niespełnienia wobec niego przez Bank obowiązku informacyjnego wynikającego z art. 14 RODO, Organ wskazał, że obowiązek ten jest realizowany w przypadku pozyskania danych w sposób inny niż od osoby, której dane dotyczą. Z zebranego materiału dowodowego wynika, że wszelkie dane pozyskane przez Bank uzyskane zostały bezpośrednio od Uczestnika postępowania w związku z zawartymi pomiędzy nim a Bankiem umowami o usługi bankowe. Wobec powyższego należało odmówić uwzględnienia wniosku strony skarżącej w tym zakresie. Prezes UODO uznał, że bezprzedmiotowe jest postępowanie w zakresie skargi na nieuwzględnienie żądania Skarżącego sprostowania jego danych osobowych (art. 16 RODO), niespełnienie wobec Uczestnika postępowania prawa dostępu do danych (art. 15 RODO) oraz niespełnienia żądania usunięcia jego danych osobowych (art. 17 RODO). Organ podkreślił, że powyższe uprawnienia realizowane są wyłącznie na wniosek osoby uprawnionej i brak takiego wniosku oznacza, że po stronie administratora nie powstaje skorelowany z nim obowiązek, zaś z zebranego w sprawie materiału dowodowego nie wynika, Uczestnik postępowania zwrócił się do Banku z żądaniem realizacji praw wynikających żart. 15, 16 lub 17 RODO, nie przedłożył żadnych dowodów na potwierdzenie powyższej okoliczności, natomiast Bank zaprzeczył, by otrzymał od niego żądania w tym zakresie. Dlatego też zważywszy na powyższe, Organ zobowiązany był do umorzenia postępowania w powyższym zakresie tj. na nieprawidłowości w procesie przetwarzania danych osobowych Uczestnika postępowania przez [...]S.A. z siedzibą w Warszawie polegające na nieuwzględnieniu żądania sprostowania jego danych osobowych. W ocenie Organu, bezprzedmiotowym było również postępowanie w zakresie, w jakim dotyczyło ono przetwarzania danych osobowych Uczestnika postępowania w związku z działaniami marketingowymi prowadzonymi w stosunku do niego przez podmiot trzeci, nie objęty złożoną przez niego skargą do Prezesa UUODO, gdyż uprawnienie d określenia żądania kierowanego do Prezesa UODO, czy też do doprecyzowania tego żądania, posiada tylko strona. Organ nie może bowiem wyręczyć strony i zdecydować za nią w jakiej sprawie toczyć się będzie postępowanie zainicjowane jej wnioskiem ani wykraczać poza ramy żądania strony inicjującej swoim podaniem postępowanie. W związku z powyższym Organ zobowiązany był zgodnie z brzmieniem art. 105 § 1 Kpa z uwagi na bezprzedmiotowość postępowania umorzyć je - w odniesieniu do zarzutów skargi dotyczących nieuwzględnienia żądania Uczestnika postępowania co do sprostowania jego danych osobowych (art. 16 RODO), niespełnienia wobec niego prawa dostępu do danych (art. 15 RODO) oraz niespełnienia żądania usunięcia jego danych osobowych (art. 17 RODO), jak również przetwarzania jego danych osobowych na potrzeby działań marketingowych w zakresie, w jakim były one prowadzone przez inny podmiot niż ten, którego działanie było przedmiotem skargi, który to podmiot był odrębnym od Banku administratorem danych Uczestnika postępowania. Odnosząc się natomiast do żądania skargi w zakresie nałożenia administracyjnej kary pieniężnej na Bank, Organ wyjaśnił, że funkcją skargi wnoszonej do Prezesa UODO jest egzekwowanie przestrzegania przepisów o ochronie danych osobowych w operacjach przetwarzania danych, które bezpośrednio wpływają na prawa osoby, której przetwarzane dane dotyczą. W sferze kompetencji Prezesa UODO mieści się nakładanie administracyjnych kar pieniężnych, ale organ nie podejmuje tego rodzaju działań na wniosek osoby składającej skargę. W razie zaś wszczęcia takiego postępowania osobie zawiadamiającej o potencjalnych naruszeniach nie przysługuje status strony postępowania. W dniu [...] marca 2023 r. do Wojewódzkiego Sądu Administracyjnego w Warszawie, za pośrednictwem Prezesa Urzędu Ochrony Danych Osobowych, wpłynęła skarga Banku na ww. decyzję organu z dnia [...] stycznia 2023 r. W treści skargi Skarżący wniósł na podstawie art. 145 § 1 pkt 1 lit. a) i c) ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi o uchylenie zaskarżonej decyzji w części, tj. o uchylenie punktu 1) decyzji oraz uchylenie uzasadnienia w zakresie, w jakim Organ stwierdził, iż brak jest uzasadnionego interesu w przetwarzaniu danych osobowych Skarżącego w związku z brakiem upływu okresu przedawnienia roszczeń Skarżącego oraz na podstawie art. 200 p.p.s.a. o zwrot od Organu na rzecz Skarżącego kosztów postępowania, w tym kosztów zastępstwa procesowego według norm przepisanych. Skarżący zarzucił Organowi naruszenie: przepisów prawa materialnego, które miało wpływ na wynik sprawy, tj.: a) art. 6 ust. 1 RODO polegające na jego niewłaściwym zastosowaniu i przyjęciu, że doszło do przetwarzania danych Uczestnika postępowania w celach marketingowych w okresie wskazanym w decyzji, co stało się podstawą przyjęcia przez Organ, że doszło naruszenia wskazanego artykułu RODO; b) art. 21 ust. 3 RODO w związku z art. 6 ust. 1 RODO poprzez jego błędne zastosowanie i przyjęcie, że Bank pomimo zgłoszonego sprzeciwu podejmował działania marketingowe względem Uczestnika postępowania, kiedy w rzeczywistości żadne nie zostało wykazane i nie wynika z treści decyzji; c) art. 6 ust. 1 lit. f RODO w zw. z art. 118 k.c. poprzez niewłaściwe zastosowanie i przyjęcie, że przechowywanie danych przez okres przedawnienia roszczeń, w sytuacji w której administrator danych osobowych ani osoba, której dane dotyczą nie wniosła pozwu do właściwego sądu, ale nie upłynął jeszcze okres przedawnienia roszczeń, nie mieści się w ramach prawnie uzasadnionego interesu Skarżącego w rozumieniu art. 6 ust. 1 lit. f RODO, podczas gdy przepisy te umożliwiają wykazanie istnienia tego rodzaju prawnie uzasadnionego interesu w ustaleniu, dochodzeniu i ochronie przed roszczeniami i tym samym istnienie ważnej podstawy prawnej do przetwarzania danych osobowych; d) art. 58 ust. 2 lit. b w zw. z art. 6 ust. 1 poprzez niewłaściwe zastosowanie i przyjęcie, że Bank naruszył przepisy ustawy i RODO i zasadne było wydanie decyzji, w której upomniał Bank, podczas gdy Bank nie dopuścił się naruszenia przepisów o ochronie danych osobowych. 2. przepisów postępowania, które mogło mieć istotny wpływ na wynik sprawy, tj.: art. 7, art. 77 § 1, art. 80 w zw. z art. 8 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (Dz. U. z 2022 poz. 2000, zwanej dalej "Kpa"), poprzez zaniechanie dokładnego wyjaśnienia stanu faktycznego sprawy i prowadzenie postępowania wbrew regułom nakazującym wyczerpujące zebranie i rozpatrzenie materiału dowodowego oraz wyczerpującą i pełną ocenę jego całokształtu, jak również wbrew zasadzie prowadzenia postępowania w sposób budzący zaufanie strony do organów władzy publicznej, co przejawiało się w szczególności w: - braku komplementarnej analizy faktu, że Uczestnik postępowania wielokrotnie zgłaszał reklamacje do banku związane tak z kwestią nieuprawnionego przetwarzania danych osobowych w celach marketingowych pomimo sprzeciwu, jak również składał i składa żądania zapłaty kwot tytułem zadośćuczynienia, a tym samym powoływał się na istnienie roszczeń przeciwko Bankowi, co powoduje, że przetwarzanie danych w związku z treścią art. 118 Kodeksu cywilnego nie może być traktowane, jako przetwarzanie danych "na zapas", - braku dokonania wszechstronnej oceny zgromadzonego w sprawie materiału w szczególności ustalenie, że doszło do podjęcia działań marketingowych przez Bank, pomimo tego, że ustalono wyłącznie, ze Bank w okresie po zgłoszeniu sprzeciwu, w dniu [...] lipca 2019 roku kontaktował się telefonicznie z Uczestnikiem postępowania, jednak nie doszło do przedstawienia mu oferty marketingowej, a otrzymana listem korespondencja wysłana została jeszcze przed zgłoszeniem sprzeciwu przez Klienta, a wyłącznie doręczona została po zgłoszeniu sprzeciwu oraz nieustalenia, aby doszło do jakichkolwiek innych działań mających charakter marketingowy ze strony Banku (w szczególności w kontekście ustalenia, że "na podstawie przesłanych przez Skarżącego wydruków maili, można wywnioskować, że to nie Bank wysyłał maile do Skarżącego"), co skutkowało błędnym uznaniem, że istnieją podstawy do zastosowania uprawnienia naprawczego określonego w art. art. 58 ust. 2 lit. b i uznania, że Bank w okresie od 22 lipca 2019 roku do dnia 21 października 2019 roku podejmował względem Uczestnika postępowania działania marketingowe. W odpowiedzi na jego skargę, wniósł o jej oddalenie, podtrzymując stanowisko wyrażone w zaskarżonej decyzji z dnia [...] stycznia 2023 r. Wojewódzki Sąd Administracyjny w Warszawie, zważył co następuje: Na wstępie należy wskazać, że złożona w niniejszej sprawie skarga została rozpoznana przez Sąd na posiedzeniu niejawnym w trybie uproszczonym, stosownie do obowiązującego od dnia 15 sierpnia 2015 r. nowego brzmienia przepisu art. 119 pkt 2 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz.U. z 2023 r., poz. 259 – zwaną dalej "P.p.s.a."). Zgodnie z przywołanym art. 119 pkt 2 P.p.s.a., sprawa może być rozpoznana w trybie uproszczonym, jeżeli strona zgłosi wniosek o skierowanie sprawy do rozpoznania w trybie uproszczonym, a żadna z pozostałych stron w terminie czternastu dni od zawiadomienia o złożeniu wniosku nie zażąda przeprowadzenia rozprawy. W niniejszej sprawie wniosek o rozpoznanie sprawy w trybie art. 119 pkt 2 P.p.s.a. złożył Organ, przy braku sprzeciwu ze strony Skarżącego. Zgodnie z art. 120 P.p.s.a., w trybie uproszczonym sąd rozpoznaje sprawy na posiedzeniu niejawnym w składzie trzech sędziów. Rozpoznając przedmiotową sprawę Sąd wskazuje, że na podstawie art. 184 Konstytucji RP, w związku z art. 1 § 1 ustawy z dnia 25 lipca 2002r. Prawo o ustroju sądów administracyjnych (t.j. - Dz. U. z 2022 r., poz. 2492, zwaną dalej: "P.u.s.a.") sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej. Kontrola ta sprawowana jest pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej. Z kolei przepis art. 3 § 2 pkt 1 P.p.s.a. stanowi, że kontrola działalności administracji publicznej przez sądy administracyjne obejmuje orzekanie w sprawach skarg na decyzje administracyjne (oraz odpowiednio na postanowienia). W wyniku takiej kontroli decyzja (postanowienie) może zostać uchylona w razie stwierdzenia, że naruszono przepisy prawa materialnego w stopniu mającym wpływ na wynik sprawy lub doszło do takiego naruszenia przepisów prawa procesowego, które mogłoby w istotny sposób wpłynąć na wynik sprawy, ewentualnie w razie wystąpienia okoliczności mogących być podstawą wznowienia postępowania (art. 145 § 1 pkt 1 lit. a), b) i c) P.p.s.a.). Uwzględnienie skargi może nastąpić również poprzez stwierdzenie nieważności decyzji lub postanowienia – w wypadku ustalenia, że zaskarżony akt jest dotknięty jedną z wad wymienionych w art. 156 § 1 k.p.a. lub w innych przepisach, np. w art. 247 § 1 O.p. (art. 145 § 1 pkt 2 p.p.s.a.). Rozstrzygnięcie sądu nie wymaga w tym wypadku wcześniejszego ustalenia, że ujawniona wada miała wpływ na wynik sprawy. W wypadku niestwierdzenia wad skutkujących uchyleniem zaskarżonego rozstrzygnięcia, sąd skargę oddala, co wynika z art. 151 p.p.s.a. Sprawując kontrolę w oparciu o powołane kryterium zgodności z prawem sąd administracyjny orzeka na podstawie akt sprawy administracyjnej, biorąc pod uwagę stan faktyczny i prawny istniejący w dacie wydania ocenianej decyzji, nie uwzględniając okoliczności, które zaistniały w okresie późniejszym. Należy przy tym podkreślić, że sąd administracyjny nie ustala stanu faktycznego, a jedynie wskazuje, które ustalenia organu zostały przez niego przyjęte, a które nie (por. wyrok NSA z dnia 6 lutego 2008r., sygn. akt II FSK 1665/06, opublikowany - podobnie jak pozostałe przywołane w niniejszym uzasadnieniu orzeczenia sądów administracyjnych - w Centralnej Bazie Orzeczeń Sądów Administracyjnych: http://cbois.nsa.gov.pl). Zgodnie z art. 134 § 1 p.p.s.a. (w brzmieniu obowiązującym od 15 sierpnia 2015 r.) Sąd rozstrzyga w granicach danej sprawy, nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną, z zastrzeżeniem art. 57a p.p.s.a. (który w niniejszej sprawie nie ma zastosowania). W orzecznictwie sądów administracyjnych podkreśla się, że "niezwiązanie granicami skargi" oznacza, że Sąd ma prawo, a jednocześnie obowiązek dokonania oceny zgodności z prawem zaskarżonego aktu administracyjnego nawet wówczas, gdy dany zarzut nie został podniesiony w skardze (por. wyrok NSA z 28 marca 2018 r., sygn. akt I FSK 1000/16, LEX nr 2486221) z tym, że nie może swoimi ocenami prawnymi wkraczać w sprawę nową w stosunku do tej, która była albo powinna być przedmiotem postępowania administracyjnego i wydawanych w nim decyzji administracyjnych. Badając legalność zaskarżonej decyzji w świetle wskazanych kryteriów Sąd uznał, że skarga podlega na oddaleniu albowiem zaskarżona decyzja odpowiada prawu. Na wstępie rozważań Sąd zauważa, że zarzuty skargi dotyczą zarówno naruszeń prawa procesowego, które Skarżący upatruje w zaniechaniu dokładnego wyjaśnienia stanu faktycznego sprawy oraz braku dokonania wszechstronnej oceny zgromadzonego materiału dowodowego, w tym w szczególności na okoliczność działań mających charakter marketingowy ze strony skarżącego Banku na rzecz Uczestnika postępowania, jak i naruszeń prawa materialnego poprzez wadliwe zastosowanie przepisu art. 6 ust. 1 RODO w związku z art. 21 ust. 3 wym. rozporządzenia i przyjęcie, że doszło do przetwarzania danych Uczestnika postępowania w celach marketingowych w okresie wskazanym w decyzji oraz przepisu art. 6 ust. 1 lit. f RODO w zw. z art. 118 k.c. poprzez niewłaściwe zastosowanie i przyjęcie, że przechowywanie danych przez okres przedawnienia roszczeń, w sytuacji w której administrator danych osobowych ani osoba, której dane dotyczą nie wniosła pozwu do właściwego sądu, ale nie upłynął jeszcze okres przedawnienia roszczeń, nie mieści się w ramach prawnie uzasadnionego interesu Skarżącego w rozumieniu art. 6 ust. 1 lit. f RODO, podczas gdy przepisy te umożliwiają wykazanie istnienia tego rodzaju prawnie uzasadnionego interesu w ustaleniu, dochodzeniu i ochronie przed roszczeniami i tym samym istnienie ważnej podstawy prawnej do przetwarzania danych osobowych. Przy takiej konstrukcji skargi Sąd w pierwszej kolejności ma obowiązek w ramach sądowej kontroli legalności zaskarżonego aktu zbadać zarzuty procesowe skargi albowiem tylko właściwie ustalony stan faktyczny stanowi podstawę do oceny procesu subsumpcji tj. mających zastosowanie w sprawie przepisów materialnoprawnych. Dokonując takiej oceny Sąd w punkcie wyjścia stwierdza, że zgodnie z dyspozycją art. 7 ust. 1 u.o.d.o., w sprawach uregulowanych w ustawie ochronie danych osobowych, do postępowań prowadzonych przez PUODO stosuje się przepisy Kodeksu postępowania administracyjnego. Oznacza to m. innymi, że postępowanie dowodowe prowadzone przez organ winno odbywać się z zachowaniem reguł i zasad określonych w k.p.a. Jednym ze stadiów postępowania administracyjnego jest stadium wyjaśniające - pozwalające ustalić dokładny stan faktyczny w danej sprawie. W wyniku postępowania wyjaśniającego organ administracji publicznej ma dojść do wskazanej w art. 7 k.p.a. prawdy obiektywnej, co realizuje za pomocą środków dowodowych. Podkreślenia wymaga przy tym, że kierując się powyższą zasadą, organy administracji publicznej w toku postępowania stoją na straży praworządności, z urzędu lub na wniosek stron podejmują wszelkie czynności niezbędne do dokładnego wyjaśnienia stanu faktycznego oraz do załatwienia sprawy, mając na względzie interes społeczny i słuszny interes obywateli, zaś zgodnie z art. 77 § 1 k.p.a., organ administracji publicznej jest obowiązany w sposób wyczerpujący zebrać i rozpatrzyć cały materiał dowodowy (art. 77 § 1 k.p.a.). W ocenie Sądu, analiza akt postępowania oraz zgromadzonego materiału dowodowego upoważnia do przyjęcia iż - wbrew wywodom skargi – Organ prowadząc postępowanie w niniejszej sprawie dochował wskazanych wyżej reguł postępowania oraz ustalił niezbędny dla prawidłowego rozstrzygnięcia stan faktyczny i na tym tle dokonał właściwej oceny zgromadzonych materiałów dowodowych, zgodnie z zasadami doświadczenia zawodowego i swobodnej oceny dowodów, o której mowa w art. 80 k.p.a., w oparciu o dowody w postaci dokumentów i wyjaśnień przedstawionych przez strony postępowania. Sąd zauważa przy tym, że Prezes UODO, w związku z zainicjowaną przez M. S. skargą, w celu zweryfikowania przedstawionych Organowi zarzutów, korzystając z instrumentów prawnych określonych w art. 58 ust. 1 lit. a i e RODO, zwrócił się m. innymi do skarżącego Banku o złożenie pisemnych wyjaśnień w sprawie oraz potwierdzających je dowodów w kierunku ustalenia podstaw przetwarzania danych osobowych wymienionego Uczestnika postępowania. Z poczynionych ustaleń wynika w sposób nie budzący wątpliwości, że Skarżący Bank przetwarzał dane osobowe Uczestnika postępowania w okresie od [...] lipca 2019 r. do [...] października 2019 r. do celów marketingu bezpośredniego bez podstawy prawnej - pomimo złożonego przez Skarżącego sprzeciwu. Bezspornym jest także, że w dniu [...] lipca 2019 r. pracownik Banku wykonał do M. S. telefon w celu przedstawienia mu oferty handlowej i fakt ten został przyznany przez sam Bank w złożonych w sprawie wyjaśnieniach. Powyższe wynika wprost ze złożonych przez Skarżący Bank wyjaśnień z dnia [...]września 2021 r., w ramach których Bank m. innymi poinformował Organ, że "(...) w dniu [...] lipca 2019 r. nastąpiło połączenie telefoniczne konsultantki ze skarżącym (Uczestnikiem postępowania)", jednakże "nie przedstawiła ona żadnej oferty marketingowej", gdyż " (...) Skarżący poinformował na początku rozmowy, że zgłosił swój sprzeciw na przetwarzanie jego danych w celach marketingowych" i w związku z tym "rozmowa została zakończona". Bank w swoich wyjaśnieniach przyznał także, że "(...) przed [...] lipca 2019 r. do Skarżącego (tj. Uczestnika postępowania) została wysłana listownie informacja marketingowa, więc Skarżący mógł ją otrzymać po [...] lipca 2019 r.". Skarżący Bank sam zatem przyznał, że pomimo złożonego przez Uczestnika postępowania sprzeciwu dotyczącego przetwarzania jego danych osobowych do celów marketingu bezpośredniego, przetwarzał jego dane osobowe, wykonując do niego połączenie telefoniczne w celu przedstawienia mu oferty handlowej Banku. Ubocznie Sąd zauważa, że kwestia otrzymania przez Uczestnika postępowania informacji marketingowej wysłanej listownie, nadanej, jak podnosi Skarżący Bank, przed wniesieniem sprzeciwu, nie była powodem stwierdzenia przez Organ nieprawidłowości w działaniu Banku. Sąd zauważa też, że Skarżący Bank przyznał również w toku postępowania wyjaśniającego, iż doszło do nieprawidłowości w zakresie odnotowania sprzeciwu Uczestnika postępowania, wyjaśniając, że pracownik Banku w dniu [...] lipca 2019 r. skontaktował się ze Skarżącym w celu przedstawienia mu oferty marketingowej, ale kontakt ten "(...) nastąpił na skutek błędu pracownika, który nie odnotował właściwie sprzeciwu we wszystkich systemach" (por. wyjaśnienia Banku z [...] września 2020 r. wraz z załącznikami w postaci odpowiedzi udzielonych Uczestnikowi postępowania w odpowiedzi na złożone przez niego do Banku zgłoszenia). Reasumując powyższe, w ocenie Sądu, podniesione na etapie skargi zarzuty w omawianym wyżej zakresie, pozostają w sprzeczności zarówno z wyjaśnieniami, jakie złożył Bank na etapie składanych Organowi wyjaśnień, jak i ze zgromadzonych w aktach sprawy na tę okoliczność i ujawnionych w toku postępowania dowodów w sprawie. Nie zasługuje zatem na uwzględnienie forsowany przez Skarżącego zarzut, że nie doszło do przedstawienia oferty handlowej Uczestnikowi postępowania, gdyż zebrany w sprawie materiał dowodowy potwierdza wprost wykorzystanie (przetwarzanie) danych osobowych Uczestnika w celu przedstawienia mu oferty . Przy czym niepodważalne oraz istotne dla rozstrzygnięcia jest to, że połączenie telefoniczne zostało wykonane w tym właśnie celu i to pomimo wcześniej zgłoszonego sprzeciwu Uczestnika postępowania, co w świetle obowiązujących przepisów jest niedopuszczalne. Wbrew twierdzeniom skargi, analiza zebranego w sprawie materiału dowodowego jednoznacznie potwierdza, że w okresie od zgłoszenia przez Uczestnika postępowania sprzeciwu w dniu [...] lipca 2019 r., jego dane osobowe były przetwarzane przez Bank do celów marketingu bezpośredniego oraz, że do Uczestnika postępowania wykonano połączenie telefoniczne w celu przedstawienia mu oferty handlowej Banku. Dodać należy, że dopiero w dniu [...] października 2019 r. wprowadzono w systemach Banku sprzeciw Uczestnika postępowania na działania marketingowe Banku. Przedstawione ustalenia prowadzą do konkluzji, że w stosunku do Uczestnika postępowania doszło do przetwarzania danych osobowych w celach marketingowych, zaś zarzuty Skarżącego Banku mające na celu zniweczyć lub co najmniej podważyć te ustalenia, stanowią wyłącznie polemikę z przyjętymi przez Organ ustaleniami faktycznymi na tę okoliczność, które – raz jeszcze należy to podkreślić - mają pełne odzwierciedlenie w zgromadzonym materiale dowodowym. Jako niezasadny Sąd uznał przy tym zarzut naruszenia art. 80 k.pa, gdyż analiza akt wskazuje, że Organ rozstrzygał na podstawie całokształtu materiału dowodowego zebranego w sprawie, zaś ocena zgromadzonych nie ma charakteru dowolnej czy też opartej na niekompletnym lub nie w pełni rozpatrzonym materiale dowodowym. Reasumując dotychczasowe ustalenia i rozważania, w ocenie Sądu, stan faktyczny niniejszej sprawy ustalony został przez PUODO prawidłowo, zaś zarzuty skargi w tym zakresie są bezpodstawne. Z analizy akt oraz treści uzasadnienia zaskarżonej decyzji wynika też, że Organ uwzględnił treść wszystkich przeprowadzonych i rozpatrzonych dowodów, wskazując w uzasadnieniu decyzji fakty, które uznał za udowodnione, dowody, na których się oparł oraz przyczyny, z powodu których innym dowodom odmówił wiarygodności i mocy dowodowej. W ramach tak ustalonego stanu faktycznego, który z uwagi na wszechstronne zgromadzenie przez Organ materiału dowodowego i wyjaśnienie wszystkich istotnych okoliczności niezbędnych dla prawidłowego rozstrzygnięcia sprawy Sąd uznaje za własny, jako chybione należało uznać też zarzuty naruszenia prawa materialnego w nin. sprawie. Odnosząc się w pierwszej kolejności do zarzutu naruszenia art. 6 ust. 1 oraz art. 21 ust. 3 RODO, wstępnego wyjaśnienia wymaga, że zgodnie z art. 6 ust 1 lit. f RODO administrator może przetwarzać dane osobowe, gdy jest to niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Zgodnie z motywem 47 RODO podstawą prawną przetwarzania mogą być prawnie uzasadnione interesy administratora, w tym administratora, któremu mogą zostać ujawnione dane osobowe, lub strony trzeciej, o ile w świetle rozsądnych oczekiwań osób, których dane dotyczą, opartych na ich powiązaniach z administratorem nadrzędne nie są interesy lub podstawowe prawa i wolności osoby, której dane dotyczą. Aby stwierdzić istnienie prawnie uzasadnionego interesu, należy w każdym przypadku przeprowadzić dokładną ocenę, w tym ocenę tego, czy w czasie i w kontekście, w którym zbierane są dane osobowe, osoba, której dane dotyczą, ma rozsądne przesłanki by spodziewać się, że może nastąpić przetwarzanie danych w tym celu. Interesy i prawa podstawowe osoby, której dane dotyczą, mogą być nadrzędne wobec interesu administratora danych w szczególności w przypadkach, gdy dane osobowe są przetwarzane w sytuacji, w której osoby, których dane te dotyczą, nie mają rozsądnych przesłanek, by spodziewać się dalszego przetwarzania. Za działanie wykonywane w prawnie uzasadnionym interesie można uznać przetwarzanie danych osobowych do celów marketingu bezpośredniego. Z kolei zgodnie z art. 21 ust. 2 RODO, jeżeli dane osobowe są przetwarzane na potrzeby marketingu bezpośredniego, osoba, której dane dotyczą, ma prawo w dowolnym momencie wnieść sprzeciw wobec przetwarzania dotyczących jej danych osobowych na potrzeby takiego marketingu, w tym profilowania, w zakresie, w jakim przetwarzanie jest związane z takim marketingiem bezpośrednim. Nadto na podstawie art. 21 ust. 3 RODO jeżeli osoba, której dane dotyczą, wniesie sprzeciw wobec przetwarzania do celów marketingu bezpośredniego, danych osobowych nie wolno już przetwarzać do takich celów. Jak stwierdzono we wcześniejszych rozważaniach (odnoszących się do zarzutów prawa procesowego) na tle dokonanych ustaleń faktycznych bezspornym w niniejszej sprawie jest, że Uczestnik postępowania w dniu [...] lipca 2019 r. zażądał zaprzestania przetwarzania przez Bank jego danych osobowych dla celów marketingu bezpośredniego, wycofując zgody marketingowe (fakt ten przyznał sam Bank w swoich wyjaśnieniach do Organu z dnia [...] września 2021 r.). Po wniesieniu przez Uczestnika postępowania ww. sprzeciwu, w myśl wskazanego powyżej art. 21 ust. 3 RODO, przetwarzanie jego danych osobowych w celach marketingu bezpośredniego stało się więc niedopuszczalne. Inaczej określając, od daty wyrażenia sprzeciwu Bank utracił zatem prawo do przetwarzania danych osobowych M. S. do celów marketingu bezpośredniego albowiem odpadła przesłanka legalizująca to przetwarzanie, wynikająca z art. 6 ust. 1 lit. f RODO. Jednocześnie podkreślenia wymaga, że Skarżący Bank nie wskazał żadnej innej przesłanki legalizującej przetwarzanie danych osobowych wskazanego Uczestnika postępowania do celów marketingu bezpośredniego. Sąd podziela przy tym pogląd Organu, że dla rozstrzygnięcia w niniejszej sprawie bez znaczenia pozostaje podnoszony przez Skarżący Bank fakt, że ostatecznie nie doszło do przekazania oferty marketingowej, ponieważ Uczestnik postępowania nie wyraził na to zgody podczas rozmowy telefonicznej. Zauważyć jednak trzeba, że już sam fakt, że Bank wykorzystał dane osobowe Uczestnika postępowania, w tym jego numer telefonu, do wykonania połączenia w celu przedstawienia mu oferty handlowej, stanowi przetwarzanie danych osobowych w celach marketingowych, podczas gdy wolą Uczestnika postępowania było, aby jego dane po złożonym sprzeciwie nie były już przetwarzane w tym celu. Nie można zatem podzielić argumentacji Skarżącego Banku, że to "kwestia przedłożenia oferty marketingowej jest kluczowa dla uznania, iż proces przetwarzania danych osobowych w celach marketingowych miał miejsce". Skarżącemu najwyraźniej umyka z pola widzenia, że zgodnie z definicją zawartą w art. 4 pkt 2 RODO pojęcie "przetwarzania" jest znacznie szersze od rozumienia potocznego czy też treści, jaką przypisuje się mu w kontekście technicznym. Sąd przypomina, że zgodnie z utrwaloną linią orzeczniczą sądów administracyjnych, przetwarzanie na gruncie komentowanej ustawy oznacza każdą operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie. W przypadku przetwarzania danych np. w bazie danych, za przetwarzanie uznaje się zazwyczaj dokonywanie operacji na danych już do bazy wprowadzonych, natomiast procesy gromadzenia danych, wprowadzania ich do bazy czy przechowywania danych nie są zwykle uznawane za przetwarzanie danych. Chodzi o to, aby pojęciem przetwarzania objąć wszelkie operacje na danych, co ma umożliwić zapewnienie ochrony w odniesieniu do różnorodnych działań dokonywanych na danych, począwszy od gromadzenia danych poprzez rozmaite czynności, których przedmiotem są dane osobowe, a na usuwaniu danych skończywszy. Takie podejście prawodawcy motywowane jest praktycznymi doświadczeniami, z których wynika, że niektóre operacje, które potocznie nie są uznawane za przetwarzanie (np. przechowywanie danych), pociągają za sobą poważne ryzyko dla bezpieczeństwa danych" (por. P. Fjgielski [w:] Komentarz do rozporządzenia nr 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) [w:] Ogólne rozporządzenie o ochronie danych. Ustawa o ochronie danych osobowych. Komentarz, wyd. II, Warszawa 2022, art. 4). Tak więc samo zatem przechowywanie danych osobowych Uczestnika postępowania w celach marketingowych, a także wykorzystanie jego danych osobowych poprzez skierowanie do niego połączenia telefonicznego w celu przekazania mu komunikatu o charakterze marketingowym, stanowiło ich przetwarzanie, które powinno znajdować podstawy legalizujące w przepisach prawach. Tymczasem skoro Uczestnik postępowania już wcześniej wyraził sprzeciw na kontaktowanie się z nim przez Bank (w celach marketingowych) to tym samym Skarżący Bank nie powinien podejmować nawet próby kontaktu z Uczestnikiem w celach marketingowych przy wykorzystaniu jego danych osobowych, gdyż istotą skutecznie złożonego sprzeciwu na podstawie art. 21 ust. 2 RODO jest niedopuszczalność dalszego przetwarzania danych w celach marketingowych, niezależnie od sposobu kierowania przez administratora działań marketingowych wobec osoby, której dane dotyczą. W związku z powyższym, w ocenie Sądu, Organ prawidłowo uznał, że w tak zakreślonym stanie faktycznym, Skarżący Bank przetwarzał dane Uczestnika postępowania do celów marketingu bezpośredniego (w okresie od [...] lipca 2019 r. do [...] października 2019 r.) - bez podstawy prawnej. W konsekwencji, Prezes Urzędu na podstawie art. 58 ust. 2 lit. b RODO miał prawo udzielić Skarżącemu Bankowi upomnienia za naruszenie art. 6 ust. 1 i art. 21 ust. 3 RODO, polegające na przetwarzaniu danych osobowych M. S. w celach marketingu bezpośredniego w okresie od [...] lipca 2019 r. do [...] października 2019 r., bez podstawy prawnej, pomimo wniesionego przez niego sprzeciwu. Odnosząc się do wskazanego przez Skarżący Bank zarzutu naruszenia przepisu art. 6 ust. 1 lit. f RODO w kontekście ewentualnej konieczności dochodzenia roszczeń lub obrony przed nimi, Sąd podziela wypracowaną, w zasadzie jednolitą linię orzeczniczą sądów administracyjnych w tej kwestii, a mianowicie, że przesłanka z art. 6 ust. 1 lit. f RODO dotyczy sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia, potrzeba dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem (por. dla przykładu: Naczelnego Sądu Administracyjnego w wyroku z dnia 27 marca 2018 r., sygn. akt I OSK 1459/16). Dlatego też Sąd podziela prawidłowość kwestionowanego przez Skarżący Bank stanowiska Organu w powyższym zakresie dotyczącym niedopuszczalności przetwarzania danych osobowych "na zapas" tj. w celu obrony przed lub dochodzenia ewentualnych roszczeń, gdyż takiego rodzaju przetwarzanie stanowi niedopuszczalne przetwarzanie danych osobowych. Dodać można, że tego rodzaju działanie uznać należy także za sprzeczne z art. 26 ust. 1 u.o.d.o, który stanowi, że administrator danych, przetwarzający dane, powinien dołożyć szczególnej staranności w celu ochrony interesów osób, których dane dotyczą, a w szczególności jest obowiązany zapewnić, aby dane te były przetwarzane zgodnie z prawem, a także merytorycznie poprawne i adekwatne w stosunku do celów, w jakich są przetwarzane. Prawidłowo zatem organ uznał, że brak jest spełnienia wskazywanej przez Bank przesłanki niezbędności do celów wynikających z prawnie usprawiedliwionych interesów realizowanych przez administratora odnośnie przetwarzania skarżonych danych osobowych. Przesłanka z art. 6 ust 1 lit. f rozporządzenia 2016/679 dotyczy sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia, potrzeba dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem. Przyjęcie za prawidłowe stanowiska, iż przetwarzanie danych osobowych w celu uchylenia się od negatywnych skutków w przypadku zgłoszenia w przyszłości ewentualnego i nieokreślonego roszczenia, stanowi prawnie usprawiedliwiony cel w rozumieniu art. 6 ust. 1 lit. f RODO oznaczałoby, że dane osobowe mogą być przetwarzane przez Bank permanentnie, bez konieczności ich usunięcia. Dodatkowo wskazać należy, że po upływie okresu przedawnienia, roszczenie przekształca się w zobowiązanie naturalne, które co prawda nie może być dochodzone w sposób przymusowy, to jednak istnieje dalej, a jego spełnienie będzie spełnieniem świadczenia należnego. Jak wskazał Sąd Najwyższy w postanowieniu z dnia [...] czerwca 2015 r., sygn. akt III CZ 27/15 - "Roszczenie to możliwość domagania się od konkretnej osoby, aby w stosunku do uprawnionego zachowała się w ten sposób, że spełni na jej rzecz świadczenie pieniężne lub niepieniężne, wykona pewną czynność, powstrzyma się od jakiegoś działania lub zniesie działanie uprawnionego. Powstaje ono w następstwie zaistnienia w relacjach między uprawnionym i zobowiązanym faktów, z którymi przepisy prawa wiążą konsekwencje determinujące treść poszczególnych roszczeń". Skutkiem przedawnienia, nie jest wygaśniecie roszczenia, a tylko niemożność uzyskania ochrony sądowej i w konsekwencji możliwości uzyskania jego przymusowego zaspokojenia z majątku dłużnika. Zobowiązanie na skutek przedawnienia przekształca się w naturalne (tak również: wyrok Sądu Najwyższego z dnia 9 lutego 2018 r., I CSK 246/17, LEX nr 2483686). Oznacza to, że zobowiązanie nadal istnieje a wierzyciel może podejmować szereg czynności windykacyjnych zmierzających do pozasądowej regulacji zobowiązania. W pojęciu dochodzenia roszczeń bowiem, mieszczą się zarówno sądowe, jak i pozasądowe działania zmierzające do zaspokojenia wierzytelności przez wierzyciela, mieszczące się w granicach obowiązujących przepisów (tak również: Naczelny Sąd Administracyjny w wyroku z 10 listopada 2015 r. sygn. akt I OSK 1210/14). Wskazać ponadto należy, że obowiązujące przepisy prawa nie określają katalogu, który przewidywałby możliwe sposoby postępowań służące dochodzeniu roszczeń. Teoretycznie możliwym jest zatem, by Uczestnik postępowania zwrócił się do Banku z roszczeniem po upływie terminu przedawnienia tego roszczenia. Prowadziłoby to tym samym do uznania, że przetwarzanie danych osobowych przez Bank ma uzasadnienie w przesłance określonej art. 6 ust. 1 lit. f RODO w celu realizacji prawa do obrony przed ewentualnym roszczeniem skarżącego działanie Banku, również po upływie ww. terminu. Odnosząc powyższe rozważania do argumentów podniesionych przez Skarżącego w złożonej skardze, w której Bank podnosi, iż nie można wykluczyć powstania w nin. sprawie roszczeń z Uczestnikiem postępowania, Sąd w pierwszej kolejności zauważa, że z ustalonego stanu faktycznego sprawy wynika, że Uczestnik postępowania zgłaszał reklamacje i zastrzeżenia dotyczące wyłącznie podejmowanych przez Bank działań marketingowych. Analiza zebranego w sprawie materiału dowodowego wykazuje, że jego reklamacje zostały przez Skarżący Bank rozpoznane oraz, że zgodnie z wniesioną do Prezesa UODO skargą inicjującą niniejsze postępowanie, wolą Uczestnika postępowania było zakończenie tych działań przez Banku wobec jego osoby. Z uwagi na to, że umowa zawarta pomiędzy Bankiem a Uczestnikiem postępowania zakończyła się, a Skarżący Bank nie wykazał roszczenia, którego zaspokojenia domaga się Uczestnik postępowania, jak również brak jest sporu (w dacie decyzji rozstrzygającej) toczącego się między Uczestnikiem postępowania a Bankiem, dotyczącym tej umowy, w ocenie Sądu, Organ zasadnie przyjął, że brak jest celu uzasadniającego przetwarzanie ww. danych osobowych Uczestnika, w rozumieniu art. 6 ust. 1 lit. f RODO, gdyż nie jest to niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią. Zgodnie z już wcześniej przywołanym motywem 47 RODO podstawą prawną przetwarzania mogą być prawnie uzasadnione interesy administratora, w tym administratora, któremu mogą zostać ujawnione dane osobowe, lub strony trzeciej, o ile w świetle rozsądnych oczekiwań osób, których dane dotyczą, opartych na ich powiązaniach z administratorem nadrzędne nie są interesy lub podstawowe prawa i wolności osoby, której dane dotyczą. Aby stwierdzić istnienie prawnie uzasadnionego interesu, należałoby w każdym przypadku przeprowadzić dokładną ocenę, w tym ocenę tego, czy w czasie i w kontekście, w którym zbierane są dane osobowe, osoba, której dane dotyczą, ma rozsądne przesłanki by spodziewać się, że może nastąpić przetwarzanie danych w tym celu. Interesy i prawa podstawowe osoby, której dane dotyczą, mogą być nadrzędne wobec interesu administratora danych w szczególności w przypadkach, gdy dane osobowe są przetwarzane w sytuacji, w której osoby, których dane dotyczą, nie mają rozsądnych przesłanek, by spodziewać się dalszego przetwarzania. Mając na uwadze powyższe należy więc uznać, że przeprowadzenie testu równowagi i wykazanie jego wyników przesądzających o istnieniu przesłanki prawnie uzasadnionego interesu należy do zadań administratora. To administrator, stosownie do zasady rozliczalności uregulowanej w art. 5 ust. 2 RODO, zobowiązany jest do stosowania m. in. zasady zgodności z prawem (art. 5 ust. 1 lit. a RODO) i musi być w stanie wykazać jej przestrzeganie. Rolą zaś Prezesa Urzędu Ochrony Danych Osobowych jest zaś ocena powyższego działania administratora. Z analizy akt sprawy wynika natomiast, że: wszystkie umowy zostały zakończone; Skarżący Bank nie dochodzi wierzytelności względem Uczestnika postępowania; Skarżący Bank nie wykazał, by ciążyły na nim obowiązki prawne, dla których wypełnienia niezbędne było przetwarzanie danych osobowych Uczestnika, wynikające ze wskazanych przez Bank przepisów art. 118 i art. 725 i następnych Kodeksu cywilnego, lub, że istnieją inne obowiązki prawne, do wykonania których przetwarzanie przez Bank danych osobowych Uczestnika jest niezbędne, tj. np. obowiązki wynikające z art. 74 ust. 2 pkt. 4 ustawy o rachunkowości, art. 106d ust. 1 pkt 3 Prawa bankowego w zw. z art. 49 AML, co czyniłoby proces przetwarzania danych osobowych Uczestnika legalnym, bo wówczas znajdującym oparcie w przesłance z art. 6 ust. 1 lit. c RODO. Reasumując dotychczasowe rozważania i ustalenia, Sąd uznał, że zaskarżona decyzja odpowiada prawu, zaś wskazane w skardze zarzuty naruszenia prawa procesowego i materialnego są niezasadne. W tym stanie rzeczy Sąd obowiązany był na podstawie art. 151 p.p.s.a. skargę oddalić. ----------------------- i' ----------------------- #