II SA/Wa 236/23

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Joanna Kruszewska-Grońska (spr.), Sędzia WSA Łukasz Krzycki, Asesor WSA Dorota Kozub-Marciniak, , po rozpoznaniu w trybie uproszczonym w dniu 15 listopada 2023 r. sprawy ze skargi S. S.A. z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] listopada 2022 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę Zaskarżoną w niniejszej sprawie decyzją z [...] listopada 2022 r. nr [...] Prezes Urzędu Ochrony Danych Osobowych (dalej: "PUODO", "organ"), mając za podstawę art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (obecnie tekst jednolity: Dz. U. z 2023 r., poz. 775 ze zm.; dalej: "k.p.a.") w związku z art. 7 ust. 1 i ust. 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781), art. 6 ust. 1 oraz art. 58 ust. 2 lit. c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych - Dz. Urz. UE L 119 z dnia 4 maja 2016 r., str. 1 ze sprost.; dalej: "RODO") w związku z art. 105a ust. 3 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (obecnie tekst jednolity: Dz. U. z 2023 r., poz. 2488 ze zm.; dalej: "P.b."), w pkt 1 nakazał S. S.A. z siedzibą w [...] (dalej: "skarżący", "Bank") zaprzestania przetwarzania danych osobowych M. G. (dalej: "klient", "M. G.") dotyczących umowy kredytu na zakup towarów i usług zawartej [...] lutego 2018 r. o nr [...], przetwarzanych na podstawie art. 105a ust. 3 P.b. w celu oceny zdolności kredytowej i analizy ryzyka kredytowego w systemie Biura Informacji Kredytowej S.A. z siedzibą w W. (dalej: "BIK"), a w pkt 2 nakazał skarżącemu zaprzestania przetwarzania danych osobowych M. G. w zakresie dotyczącym ww. umowy kredytu w systemach Banku. W uzasadnieniu powyższego rozstrzygnięcia organ podał, że klient w adresowanej do PUODO skardze z 23 czerwca 2021 r. wskazał na nieprawidłowości w procesie przetwarzania jego danych osobowych przez skarżącego, polegające na udostępnieniu BIK przez Bank danych osobowych M. G. bez podstawy prawnej. Podniósł, iż skarżący nie spełnił wymagań uprawniających go do rozpoczęcia przetwarzania jego danych osobowych w bazie BIK w związku z wierzytelnością wynikającą z umowy kredytu zawartą [...] lutego 2018 r., a mianowicie nie powiadomił go o zamiarze przetwarzania jego danych osobowych bez jego zgody w bazie BIK, przez co nie sprostał wymogowi z art. 105a ust. 3 P.b. Dlatego klient zażądał nakazania Bankowi zaprzestania przetwarzania jego danych w bazie BIK oraz nakazania powiadomienia przez Bank odbiorców jego danych w razie ich usunięcia przez skarżącego. Natomiast Bank wyjaśnił, że pozyskał dane osobowe klienta w zakresie: imienia, nazwiska, nr PESEL, nr i serii dowodu osobistego, adresu zameldowania i adresu korespondencyjnego, adresu poczty elektronicznej, nr telefonu komórkowego, informacji odnośnie jego: zatrudnienia, wynagrodzenia, zobowiązań, stanu cywilnego, wspólności majątkowej, kosztów utrzymania gospodarstwa domowego oraz łącznej liczby osób na wspólnym utrzymaniu w związku z umową kredytu nr [...] na zakup towarów i usług, zawartą [...] lutego 2018 r. pomiędzy M. G. i Bankiem, z tytułu której powstało zadłużenie. Opóźnienie w spłacie wynosiło powyżej 60 dni. Wobec zaległości, skarżący skierował do klienta zawiadomienie o zamiarze przetwarzania danych po wygaśnięciu zobowiązania bez jego zgody, zgodnie z art. 105a ust. 3 P.b., przy czym zawiadomienie to zostało wysłane 7 września 2018 r. listem poleconym. Jednocześnie Bank przyznał, iż nie dysponuje dowodem nadania ani zwrotnym potwierdzeniem odbioru ww. korespondencji. Jako dowód potwierdzający wysłanie zawiadomienia skarżący przedstawił wydruk z aplikacji, w której archiwizuje dane dotyczące pism skierowanych do klientów (vide pisma skarżącego z 16 lipca 2021 r. i z 21 marca 2022 r. w aktach administracyjnych sprawy). W odpowiedzi na wezwanie M. G. do zaprzestania przetwarzania jego danych osobowych, przetwarzanych w oparciu o art. 105a ust. 3 P.b., Bank wskazał na przesłanki, na podstawie których był uprawniony do przekazania przedmiotowych danych osobowych do BIK, w związku z umową kredytową nr [...]. Obecnie dane osobowe klienta w zakresie ww. umowy są przetwarzane w bazie BIK. Zakres tych danych obejmuje dane identyfikacyjne, dane adresowe oraz dane dotyczące zobowiązań i historii ich spłat. Rachunek M. G. ma aktualnie status rachunku zamkniętego, a jego dane osobowe przetwarzane są w celu oceny zdolności kredytowej i analizy ryzyka kredytowego, na mocy art. 105a ust. 3 w związku z art. 105 ust. 4 P.b., a także na podstawie umowy zawartej przez Bank z BIK (vide pismo BIK z 14 października 2021 r. oraz pisma Banku z 21 marca 2022 r. i z 18 lipca 2022 r. w aktach administracyjnych sprawy). Bank podkreślił, że aktualnie przetwarza dane osobowe klienta na podstawie swojego prawnie uzasadnionego interesu, czyli na podstawie art. 6 ust. 1 lit. f RODO w celu obrony przed ewentualnymi roszczeniami w związku z art. 118 ustawy z dnia 23 kwietnia 1964 r. Kodeks cywilny (obecnie tekst jednolity: Dz. U. z 2023 r., poz. 1610 ze zm.; dalej: "k.c."). Pierwsze wezwanie M. G. do zaprzestania przetwarzania jego danych w trybie art. 105a ust. 3 P.b. skarżący otrzymał 4 października 2019 r. W odpowiedzi na to wezwanie Bank potwierdził realizację przesłanek określonych w ww. przepisie, przywołując nr nadania korespondencji z informacją o zamiarze przetwarzania danych klienta bez jego zgody, która to korespondencja została wysłana na podany przez M. G. adres do korespondencji. Z kolei skarżący po raz pierwszy przekazał BIK dane osobowe klienta, w tym dane dotyczące umowy kredytowej nr [...] wsadem informacyjnym za dzień [...] lutego 2018 r. Obecnie umowa kredytowa o nr [...] jest oznaczona w BIK jako zamknięta, o statusie odzyskana - po przeprowadzeniu działań windykacyjnych oraz egzekucji komorniczej. Datą odzyskania jest [...] lipca 2019 r. i od tego dnia ww. umowa jest przetwarzana przez BIK na podstawie art. 105a ust. 3 P.b. Upływ 30-dniowego terminu, przewidzianego w ww. przepisie, liczy od dnia wysłania listem poleconym pisma skierowanego do klienta, a do powyższego terminu należy dodać siedem dni na doręczenie korespondencji. Bank zaakcentował, iż zgoda M. G. na przetwarzanie danych przez BIK po spłacie zobowiązania została wycofana [...] listopada 2020 r. (vide pisma skarżącego z 16 lipca 2021 r. i z 6 kwietnia 2022 r. oraz pismo BIK z 14 października 2021 r.). Powołując się na art. 6 ust. 1 RODO, organ wywiódł, że co do zasady podstawą prawną przetwarzania danych osobowych klientów przez Bank w BIK może być art. 6 ust. 1 lit. f RODO, gdy przetwarzanie to jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora, przy czym przetwarzanie danych przez BIK odbywa się na podstawie zawartej z Bankiem umowy. Następnie PUODO przytoczył treść art. 105 ust. 4 i art. 105a ust. 1 i ust. 3 P.b., zaznaczając, że banki oraz BIK mogą przetwarzać m.in. informacje stanowiące tajemnicę bankową i informacje udostępniane przez instytucje pożyczkowe dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z zawartej umowy. Dalej organ odnotował, że zobowiązanie M. G. wynikające z umowy z [...] lutego 2018 r. wygasło wobec skarżącego [...] lipca 2019 r., lecz klient dopuścił się zwłoki trwającej dłużej niż 60 dni w spłacie tego zobowiązania. Według PUODO, istotne w niniejszej sprawie to, iż Bank nie spełnił wobec M. G. obowiązku określonego w art. 105a ust. 3 P.b, tj. nie poinformował go skutecznie o zamiarze przetwarzania dotyczących go informacji stanowiących tajemnicę bankową, bez jego zgody, po wygaśnięciu zobowiązania wynikającego z umowy. Sam fakt, że klient nie wykonał zobowiązania lub spóźnił się z jego wykonaniem co najmniej 60 dni, nie upoważnia skarżącego do przetwarzania jego danych na warunkach określonych w ww. przepisie. Moment, od którego należy liczyć 60-dniowy termin, w którym osoba, której dane dotyczą, dopuszcza się zwłoki w wykonaniu zobowiązania, to termin wykonania zobowiązania. Dopiero po upływie 60 dni zaczyna biec termin 30-dniowy, przy czym termin ten biegnie od momentu, w którym klient zostanie skutecznie poinformowany przez instytucję o zamiarze przetwarzania. Ostatecznie to bezskuteczny upływ 30 dni od momentu poinformowania stanowi wypełnienie przesłanek z art. 105a ust. 3 P.b. Skoro Bank wysłał listem poleconym oświadczenie o wypowiedzeniu umowy kredytu wraz z informacją o zamiarze przetwarzania danych klienta na podstawie ww. przepisu, to nie można ustalić daty zapoznania się przez M. G. z przesłaną do niego informacją, a tym samym niemożliwe jest ustalenie daty, od której biegnie 30-dniowy termin określony w tym przepisie. Organ uznał, iż skarżący nie przestawił dowodu na prawidłowe doręczenie klientowi dokumentu, w którego treści zawarta była informacja o okolicznościach wskazanych w art. 105a ust. 3 P.b. Zatem nie można stwierdzić, że Bank skuteczne poinformował M. G. o treści ww. przepisu. Samo sporządzenie i wysłanie pisma nie jest równoznaczne z udowodnieniem jego prawidłowego doręczenia. Oświadczenie o przygotowaniu i wysłaniu korespondencji, czy też wydruk z aplikacji, w której archiwizowane są dane o pismach skierowanych do klientów, nie stanowią dowodu na jej dostarczenie lub poinformowanie o jej treści adresata. PUODO zauważył, iż przepisy powszechnie obowiązującego prawa nie formułują obowiązku wysłania informacji określonej w art. 105a ust. 3 P.b. w szczególnej formie. To do podmiotu informującego należy więc wybór formy przekazania odbiorcy komunikatu o zamiarze przetwarzania danych osobowych bez jego zgody. Jednocześnie to podmiot informujący wywodzi z powyższego skutki prawne, czyli to on musi wykazać, że poinformował klienta o zamiarze przetwarzania danych stanowiących tajemnicę bankową, bez jego zgody na mocy ww. przepisu. Organ zaaprobował stanowisko wyrażone przez Naczelny Sąd Administracyjny (dalej: "NSA") w wyroku z 7 sierpnia 2018 r., sygn. akt I OSK 2123/16, w myśl którego "literalne odczytanie art. 105a ust. 3 Prawa bankowego może wskazywać na to, że ustawodawca nie stworzył w tym zakresie żadnych szczególnych wymagań formalnych co do sposobu i treści takiego poinformowania klienta lub byłego klienta banku. Prawidłowa wykładnia tego przepisu nie może jednak oznaczać całkowitej dowolności w tym zakresie. Przede wszystkim należy zwrócić uwagę na materialny (ochronny), a nie formalny charakter tego przepisu. Wymaga on w sposób kategoryczny >>poinformowania<<, a nie >>wysłania zawiadomienia<<" (orzeczenia sądów administracyjnych są publikowane w internetowej bazie orzeczeń na stronie NSA: orzeczenia.nsa.gov.pl). PUODO skonkludował, iż w toku postępowania nie stwierdzono zaistnienia okoliczności uprawniających skarżącego do przetwarzania danych osobowych M. G. w oparciu o art. 105a ust. P.b. Organ zwrócił też uwagę, że zebrany w sprawie materiał dowodowy nie wykazał, aby klient wystąpił z jakimkolwiek roszczeniem wobec Banku, które uzasadniałoby uprawnienie skarżącego do zachowania i przetwarzania jego danych osobowych dla celów dowodowych w związku z dochodzeniem tego roszczenia. W konsekwencji nie została spełniona przesłanka niezbędności do celów wynikających z prawnie usprawiedliwionych interesów realizowanych przez administratora odnośnie przetwarzania danych osobowych M. G. Przesłanka z art. 6 ust. 1 lit. f RODO dotyczy sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia potrzeby dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem. Oznacza to, iż Bank przetwarza dane osobowe klienta w ww. celu wyłącznie "na zapas", aby zabezpieczyć się przed jego ewentualnymi, tj. przyszłymi i niepewnymi, roszczeniami. W tym kontekście PUODO podzielił pogląd wyrażony przez NSA w wyroku z 6 marca 2019 r., sygn. akt I OSK 994/17. Przeciwne rozumienie art. 6 ust. 1 lit. f RODO prowadziłoby do przyjęcia, że dane osobowe klienta mogą być przetwarzane przez Bank permanentnie, bez konieczności ich usunięcia. Organ podniósł, iż przedawnienie roszczenia ze stosunku zobowiązaniowego nie wywołuje skutków na gruncie ochrony danych osobowych, gdyż nie wpływa na fakt istnienia roszczenia; powoduje jedynie zmianę w sferze zarzutów procesowych w postaci możliwości podniesienia okoliczności przedawnienia w sporze sądowym. Tymczasem skarżący nie wskazał roszczenia, którego zaspokojenia domaga się od klienta, jak również brak jest sporu toczącego się między M. G. a Bankiem w zakresie stosunku zobowiązaniowego. Dlatego kontynuowanie do chwili obecnej przetwarzania danych osobowych klienta w celu ustalenia, dochodzenia lub obrony przed ewentualnymi, przyszłymi i niepewnymi roszczeniami, PUODO ocenił jako zbędne i niezgodne z obowiązującymi przepisami o ochronie danych osobowych. Korzystając z uprawnienia przewidzianego w art. 58 ust. 2 lit. c RODO, organ nakazał skarżącemu zaprzestanie przetwarzania na podstawie art. 105a ust. 3 P.b. danych osobowych klienta dotyczących umowy kredytowej z [...] lutego 2018 r. nr [...] w celu oceny zdolności kredytowej i analizy ryzyka kredytowego, jak również nakazał skarżącemu zaprzestanie przetwarzania tych danych osobowych w systemach Banku, gdyż ten przetwarza je obecnie w celu ustalenia, dochodzenia lub obrony przed ewentualnymi, przyszłymi i niepewnymi roszczeniami. Pismem z 13 grudnia 2022 r. Bank zaskarżył opisaną wyżej decyzję PUODO z [...] listopada 2022 r. do Wojewódzkiego Sądu Administracyjnego w Warszawie, zarzucając naruszenie: 1. art. 6, art. 7, art. 8 § 1 i § 2, art. 77 § 1, art. 80 oraz art. 107 § 3 k.p.a. w związku z art. 7 ust. 1 u.o.d.o., polegające na niezastosowaniu zasad ogólnych postępowania administracyjnego: praworządności, prawdy obiektywnej i pogłębiania zaufania do władzy publicznej oraz przekroczeniu granic swobodnej oceny dowodów, a w konsekwencji błędnym przyjęciu, że potwierdzenie nadania pisma listem poleconym nie stanowi dowodu poinformowania klienta o zamiarze przetwarzania jego danych osobowych bez jego zgody w oparciu o art. 105a ust. 3 P.b., podczas gdy jest to dokument mający moc dokumentu urzędowego, stanowiący dostateczny dowód przekazania informacji zgodnie z wymogami ww. przepisu; 2. art. 105a ust. 3 P.b. poprzez jego błędną wykładnię, skutkującą przyjęciem, iż wykonanie obowiązku informacyjnego, o którym mowa w tym przepisie, polega na skutecznym doręczeniu osobie fizycznej, po wygaśnięciu jej zobowiązania wynikającego z umowy zawartej z bankiem, informacji o zamiarze przetwarzania jej danych osobowych bez jej zgody, podczas gdy prawidłowa interpretacja tego przepisu prowadzi do wniosku, że "poinformowanie" oznacza rzeczywiste umożliwienie zapoznania się z treścią ww. informacji. W oparciu o ww. zarzuty, Bank wniósł o uchylenie zaskarżonej decyzji; zasądzenie kosztów postępowania, w tym kosztów zastępstwa prawnego, według norm przepisanych; zobowiązanie PUODO do wydania decyzji oddalającej skargę M. G. o zaprzestanie przetwarzania jego danych osobowych; a także o rozpoznanie sprawy w trybie uproszczonym. W uzasadnieniu skargi Bank szczegółowo umotywował jej zarzuty. Zaakcentował, iż przedstawił wydruk z książki nadawczej wraz z oświadczeniem o wypowiedzeniu umowy kredytu, a nie tylko "zrzut z ekranu" swoich wewnętrznych systemów informatycznych, w których generowane są pisma. Potwierdzenie nadania przesyłki rejestrowej, wydane przez operatora wyznaczonego, ma moc dokumentu urzędowego. Przedmiotowa korespondencja została wysłana na (wciąż aktualny) adres podany w umowie przez klienta, który nie poinformował skarżącego o zmianie adresu ani nie zakwestionował skuteczności doręczenia przesyłki. Stosownie do treści art. 17 ustawy z dnia 23 listopada 2012 r. Prawo pocztowe (obecnie tekst jednolity: Dz. U. z 2023 r., poz. 1640; dalej: "P.p."), należy przyjąć, że skarżący dysponuje dowodem przekazania M. G. informacji o zamiarze przetwarzania jego danych osobowych i dowód ten przedstawił organowi w toku postępowania. Na poparcie swojego stanowiska Bank przywołał wyrok NSA z 11 maja 1998 r., sygn. akt II SA 517/98, w którym wskazano, iż potwierdzenie nadania przesyłki nie jest dokumentem urzędowym, a jedynie ma moc dokumentu urzędowego i dlatego na zasadzie analogii do tego dokumentu należy stosować domniemania odnoszące się do dokumentów urzędowych (art. 76 § 1 k.p.a.). Wobec tego, jeśli klient kwestionuje skuteczność jej doręczenia, winien powołać dowody na tę okoliczność, bowiem art. 76 § 3 k.p.a. umożliwia przeprowadzenie dowodu przeciwko treści dokumentu, o którym mowa w art. 76 § 1 k.p.a. Ponadto Sąd Najwyższy (dalej: "SN") w wyroku z 20 stycznia 2004 r., sygn. akt II CK 358/02 uznał, że "powstały dowód nadania listu poleconego nie jest wprawdzie dowodem doręczenia go adresatowi, lecz jest dowodem prima facie (por. S. Rudnicki, S. Dmowski: Komentarz do Kodeksu cywilnego. Księga pierwsza, Warszawa 2003 r.)". SN dodał, że "Adresat oświadczenia może obalić to domniemanie wykazując, iż nie miał możliwości zapoznania się z treścią oświadczenia". Dokonując analizy art. 105a ust. 3 P.b., nie można abstrahować od celu tego przepisu, którym nie jest ochrona nierzetelnego dłużnika, lecz ochrona sektora bankowego, a tym samym uczciwych kredytobiorców. Przyjęcie wykładni zaproponowanej przez organ prowadziłoby do istotnych nadużyć po stronie nierzetelnych dłużników i wypaczałoby sens regulacji, dając osobom niewywiązującym się ze zobowiązań, możliwość unikania ujawniania informacji o nich w BIK poprzez proste uchylanie się od odbioru korespondencji. W ocenie Banku, stanowisko PUODO prowadzi do wniosku, iż każde wypowiedzenie umowy powinno być wysłane za potwierdzeniem odbioru lub doręczane do rąk własnych drugiej strony, a to stoi w jawnej sprzeczności z art. 61 § 1 k.c. Wbrew zapatrywaniu organu, wyrażonemu w zaskarżonej decyzji, w art. 105a ust. 3 P.b. nie chodzi o faktyczny rezultat, ale o zapewnienie adresatowi realnej możliwości zapoznania się z informacją. W przedmiotowej sprawie klient miał taką możliwość. W konsekwencji Bank, wysyłając mu w dniu 7 września 2018 r. list polecony z informacją o zamiarze przetwarzania danych osobowych, mógł przetwarzać jego dane osobowe, co czynił sankcyjnie od [...] lipca 2019 r., tj. od daty "odzyskania", czyli spłaty zobowiązania. W kwestii przetwarzania danych "na zapas" skarżący stwierdził, że taka sytuacja nie zachodzi w niniejszej sprawie. Bank i klienta łączyła umowa kredytu na zakup towarów i usług, który nie został spłacony w terminie. Dlatego przetwarzanie danych osobowych M. G. przez okres przedawnienia roszczeń jest prawnie uzasadnione, gdyż w tym okresie każda ze stron może skutecznie dochodzić przed sądem roszczeń wynikających z umowy. W odpowiedzi na skargę PUODO wniósł o jej oddalenie z przyczyn wywiedzionych w uzasadnieniu zaskarżonej decyzji, a także zażądał rozpoznania sprawy w trybie uproszczonym. Podkreślił, iż dowód w postaci potwierdzenia nadania czy też wydruku z książki nadawczej może stanowić jedynie dowód na to, że nadano korespondencję do klienta, czyli na okoliczność inną niż ta, o której mowa w art. 105a ust. 3 P.b., tj. poinformowania osoby, której informacje dotyczą. Brak zwrotu korespondencji pozostaje bez wpływu na okoliczność faktycznego zapoznania się z jej treścią przez adresata. Co więcej, uznanie daty wysłania pisma za datę poinformowania klienta doprowadziłoby w konsekwencji do sytuacji, w której dłużnicy mieliby zróżnicowany realny czas na podjęcie ewentualnych działań (wykonanie zobowiązania) w związku z otrzymanym powiadomieniem. Bank nieprawidłowo interpretuje ogólny przepis art. 61 § 1 k.c., bez uwzględnienia treści art. 105a ust. 3 P.b. Ostatecznie bowiem to upływ 30 dni od momentu poinformowania, a nie - jak twierdzi Bank - nadania pisma z informacją, stanowi o wypełnieniu przesłanek ujętych w ww. przepisie. Wobec wysłania oświadczenia o wypowiedzeniu umowy wraz z informacją o zamiarze przetwarzania danych M. G. na podstawie art. 105a ust. 3 P.b. listem poleconym, nie można ustalić daty zapoznania się przez niego z przesłaną do niego informacją, a tym samym niemożliwe jest ustalenie daty, od której płynie 30-dniowy termin określony w ww. przepisie. Niedopuszczalne jest więc poczynione przez skarżącego założenie, w jakiej dacie klient mógł najpóźniej odebrać nadaną do niego przesyłkę poleconą. Za chybione organ uznał powołanie się przez Bank na art. 17 P.p., akcentując, że nie kwestionuje faktu nadania przez skarżącego przesyłek listowych do M. G. Natomiast traktowanie faktu nadania przesyłki jako dowodu na poinformowanie klienta (dostarczenie mu informacji) zgodnie z art. 105a ust. 3 P.b. nie znajduje uzasadnienia w brzmieniu art. 17 P.p. Uczestnicy postępowania: M. G. i BIK nie złożyli odpowiedzi na skargę (ani innych pism procesowych), jak również nie zażądali przeprowadzenia rozprawy. W piśmie z 13 marca 2023 r. Bank w całości podtrzymał stanowisko zaprezentowane w skardze, podważając jednocześnie słuszność argumentacji PUODO przedstawionej w odpowiedzi na skargę. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Skarga nie zasługuje na uwzględnienie. Według art. 4 pkt 2 RODO, przetwarzanie danych osobowych oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie. Warunki uznania przetwarzania danych osobowych za legalne określono w art. 6 ust. 1 RODO, który stanowi, że przetwarzanie jest zgodne z prawem wyłącznie w nw. przypadkach i w takim zakresie, w jakim spełniony jest co najmniej jeden z poniższych warunków: a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów; b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą lub do podjęcia działań na żądanie osoby, której dane dotyczą przed zawarciem umowy; c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze; d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej; e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi; f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Akapit pierwszy lit. f nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań. W myśl art. 105a ust. 1 P.b. przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów, instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, a także instytucje utworzone na podstawie art. 105 ust. 4 informacji stanowiących tajemnicę bankową i informacji udostępnionych przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, w zakresie dotyczącym osób fizycznych, może być wykonywane, z zastrzeżeniem art. 104, art. 105 i art. 106-106d, w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Stosownie zaś do treści art. 105a ust. 2 P.b., z zastrzeżeniem ust. 3, instytucje, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową oraz informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, w zakresie dotyczącym osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, pod warunkiem uzyskania pisemnej zgody osoby, której informacje te dotyczą, z zastrzeżeniem ust. 2a. Zgoda ta może być w każdym czasie odwołana. Z kolei art. 105a ust. 3 P.b wskazuje, że banki, instytucje oraz podmioty, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową i informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank, inną instytucję ustawowo upoważnioną do udzielania kredytów, instytucję pożyczkową albo podmiot, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, o zamiarze przetwarzania dotyczących jej informacji, bez jej zgody. W skierowanej do PUODO skardze M. G. oświadczył, że skutecznie wycofał zgody na przetwarzanie jego danych osobowych po wygaśnięciu zobowiązania wynikającego z umowy kredytowej zawartej ze skarżącym [...] lutego 2018 r., a Bank nie dysponuje dowodem skutecznego powiadomienia go o zamiarze przetwarzania dotyczących go informacji, stanowiących tajemnicę bankową, bez jego zgody, po ustaniu zobowiązania. Z kolei skarżący za wystarczający dowód w sprawie uważa oświadczenie o wypowiedzeniu umowy kredytu wraz z potwierdzeniem nadania tego pisma (na podany przez M. G. adres) listem poleconym (odpis z pocztowej książki nadawczej), mającym moc dokumentu urzędowego. Zatem istota sprawy, a zarazem sporu między stronami postępowania, sprowadza się do tego, czy Bank dopełnił obowiązku informacyjnego wynikającego z art. 105a ust. 3 in fine P.b. Zdaniem składu orzekającego w niniejszej sprawie, przetwarzanie przez skarżącego danych osobowych klienta nie znajdowało oparcia w ww. przepisie. Prawidłowa wykładnia zawartego w nim zwrotu "poinformowania tej osoby" powinna uwzględniać nie tylko art. 61 § 1 k.c., ale także dodatkowy 30-dniowy termin na wykonanie zobowiązania przewidziany w art. 105a ust. 3 P.b. W literaturze przedmiotu podkreśla się bowiem, iż "sam fakt, że klient nie wykonał zobowiązania lub spóźnił się z jego wykonaniem co najmniej 60 dni, nie upoważnia instytucji do przetwarzania jego danych. Musi bowiem zostać poinformowany o możliwości przetwarzania jego danych bez uzyskania od niego zgody. Dopiero bezskuteczny upływ 30 dni od momentu poinformowania stanowi wypełnienie przesłanek z art. 105a ust. 3 (pr. bank.). W przypadku, gdy konsument spełni świadczenie w czasie tych 30 dni, instytucje tracą prawo do przetwarzania informacji bez jego uprzedniej zgody. (...) Moment, od którego należy liczyć sześćdziesięciodniowy termin, w którym konsument dopuszcza się zwłoki w wykonaniu zobowiązania, to termin wykonania zobowiązania. Dopiero po upływie 60 dni zaczyna biec trzydziestodniowy termin, w którym instytucja jeszcze oczekuje na wykonanie zobowiązania klienta. Termin trzydziestodniowy nie biegnie jednak ex lege, a dopiero od momentu, w którym konsument zostanie poinformowany o zamiarze przetwarzania. Termin ten liczy się nie od momentu wysłania informacji, ale od chwili, w której konsument mógł się z nią zapoznać. Wydaje się, iż sama czynność poinformowania może nastąpić wcześniej niż po upływie 60 dni" (vide A. Żygadło, Przetwarzanie informacji stanowiących tajemnicę bankową po wygaśnięciu zobowiązania, Pr. Bankowe 2006/4/83; a także wyroki tutejszego Sądu: z 18 stycznia 2022 r., sygn. akt II SA/Wa 3584/21; z 4 października 2022 r., sygn. akt II SA/Wa 701/22; z 12 października 2022 r., sygn. akt II SA/Wa 189/22). Konstrukcja przyjęta w art. 61 § 1 zdanie pierwsze k.c. odpowiada tzw. kwalifikowanej teorii doręczenia, która zadowala się dojściem oświadczenia woli do adresata w taki sposób, że miał on możliwość zapoznania się z jego treścią (vide wyrok SN z 8 września 2016 r., sygn. akt II CSK 750/15, M. Pr. Bank. 2017/10, s. 21 i 35 z glosą T. Czecha oraz z omówieniem M. Bączyka, M. Pr. Bank 2017/11, s. 58). To, czy rzeczywiście klient z tym oświadczeniem Banku zapoznał się nie ma w kontekście art. 61 § 1 k.c. znaczenia co do zasady (vide wyroki SN: z 18 listopada 1999 r., sygn. akt I PKN 375/99, OSNAPiUS 2001/7, poz. 227; z 20 maja 2015 r., sygn. akt I CSK 547/14, LEX nr 1767493 i z 22 marca 2017 r., sygn. akt III CSK 148/16, LEX nr 23552146 oraz uchwała składu siedmiu sędziów SN z 31 marca 2016 r., III CZP 89/15; Z. Radwański [w:] System Prawa Prywatnego, t. 2, 2008, s. 292). Stanowisko skarżącego wiąże się więc z zagrożeniem dla osoby, której oświadczenie woli jest składane, bowiem Bank wywodzi istotne skutki prawne z oświadczenia, o którym jego adresat mógł w ogóle nie wiedzieć bądź nie znać jego treści. Negatywne skutki teorii doręczenia mogą ujawnić się w zasadzie tylko w ramach już istniejącego między stronami stosunku prawnego, ponieważ tylko wtedy jednostronne oświadczenia (czynności prawne) mogą oddziaływać niekorzystnie na sytuację prawną adresata oświadczenia woli. Do powstania zaś tego stosunku zazwyczaj niezbędna jest zgoda adresata, a wyrażając ją i przyznając w ten sposób – choćby mocą czynników innych niż treść samego oświadczenia (por. art. 56 k.c.) – drugiej stronie możliwość jednostronnego oddziaływania na swoją sytuację prawną (np. wypowiedzenia umowy albo wysokości świadczenia, odstąpienia, przyjęcia oferty, wezwania do wykonania zobowiązania, wyboru świadczenia przemiennego), adresat musi liczyć się ze składaniem takich oświadczeń i nie może dysponować instrumentem, który w prosty sposób mógłby paraliżować ich skutki (np. stroniąc od zapoznania się z tym oświadczeniem). Dlatego faktyczne zapoznanie się z oświadczeniem przynależy już wyłącznie do prawnie irrelewantnej sfery wewnętrznej adresata oświadczenia (vide R. Trzaskowski [w:] Kodeks cywilny. Komentarz Tom I. Część ogólna cz. 2 /art. 56-125/ pod red. J. Gudowskiego, Lex/el 2021, cz. 3 do art. 61). W ocenie Sądu rozpoznającego przedmiotową sprawę, w świetle treści art. 105a ust. 3 P.b., nie może budzić żadnych wątpliwości, że poinformowanie, o którym mowa w tym przepisie, z uwagi na wskazany wyżej dodatkowy 30-termin na wykonanie zobowiązania, powinno nastąpić w ten sposób, aby można było ustalić początek biegu tego terminu. Dopiero bowiem bezskuteczny upływ dodatkowego 30-dniowego terminu upoważnia Bank do przetwarzania danych osobowych w oparciu o omawiany przepis. Nadanie powiadomienia listem poleconym nie pozwala na ustalenie początku biegu tego terminu. Skoro to skarżący wywodzi skutki prawne z powiadomienia M. G. o zamiarze przetwarzania jego danych osobowych stanowiących tajemnicę bankową bez jego zgody, to skarżący musi również wykazać, iż bezskutecznie upłynęło 30 dni od daty poinformowania klienta o tym zamiarze. Wykazanie tej okoliczności wymaga zaś wykazania początku biegu 30-dniowego terminu. W wyroku z 16 stycznia 2024 r., sygn. akt III OSK 3233/21, NSA, wykładając przepis art. 105a ust. 3 P.b., zwrócił uwagę, że prawodawca użył kategorycznej formy "poinformować" (czasownik przechodni dokonany), a nie "informować". Określony w ustawie skutek ma nastąpić po upływie "30 dni od poinformowania tej osoby przez bank", a nie od np. wysłania jej informacji. Takie "poinformowanie" może nastąpić np. osobiście w placówce banku lub innego podmiotu wymienionego w art. 105a ust. 3 P.b., poprzez przesyłkę doręczaną listownie lub przez pracownika banku albo innego uprawnionego podmiotu, a nawet nie można również wykluczyć możliwości skierowania takiej informacji drogą elektroniczną (o ile strony w zawartej umowie taką formę korespondencji przewidziały przez bank w tym zakresie z podmiotem zewnętrznym). O ile więc sposób i forma poinformowania klienta mogą być różnorodne, to jednak w każdym wypadku sposób ten powinien umożliwić zweryfikowanie faktu poinformowania klienta banku o zamierzonym przetwarzaniu jego danych osobowych. Wybór formy poinformowania adresata, operatora pocztowego i sposobu przekazania informacji oraz związany z tym obowiązek wykazania tego faktu obciążają bank lub inny zobowiązany podmiot, gdyż to one wywodzą z tego faktu skutki prawne. Taki sposób rozumienia obowiązku poinformowania, przewidzianego w art. 105a ust. 3 P.b., wynika nie tylko z gwarancyjnego charakteru tego przepisu dla kredytobiorcy, ale także z dobrze pojętego interesu podmiotów udzielających kredytów, aby w sposób skuteczny zamieścić w BIK stosowną informację o nierzetelnym kredytobiorcy. W konkluzji NSA podzielił stanowisko PUODO, iż przepis art. 105a ust. 3 P.b. obligował Bank do wykazania spełnienia powyższego obowiązku. W konsekwencji za niezasadne tutejszy Sąd uznał zarzuty skargi, w tym zarzut naruszenia przepisów postępowania, tj.: art. 6, art. 7, art. 8 § 1 i 2, art. 77 § 1, art. 80 i art. 107 § 3 k.p.a. poprzez błędne przyjęcie przez organ, że potwierdzenie nadania pisma listem poleconym nie stanowi dowodu poinformowania M. G. o zamiarze przetwarzania jego danych osobowych bez jego zgody w oparciu o art. 105a ust. 3 P.b. Dowód nadania przesyłki listem poleconym dowodzi jedynie, iż przesyłkę nadano. To, że wedle art. 17 P.p. potwierdzenie nadania przesyłki rejestrowanej lub przekazu pocztowego, wydane przez placówkę pocztową operatora wyznaczonego, ma moc dokumentu urzędowego, nie jest równoznaczne z wykazaniem, iż poinformowanie nastąpiło w konkretnej dacie, czyli że przesyłkę doręczono klientowi. Potwierdzenie nadania przesyłki rejestrowanej, w myśl art. 17 P.p., stanowi dowód, iż przesyłkę nadano. Natomiast nie jest uprawnione wywodzenie z ww. przepisu skutku w postaci doręczenia przesyłki konkretnej osobie i w konkretnej dacie, zwłaszcza w sytuacji, gdy z takim doręczeniem (poinformowaniem w konkretnej dacie) ustawodawca wiąże ściśle określone skutki. Nie ma zatem żadnych podstaw, aby na gruncie art. 105a ust. 3 P.b., opierając się na Regulaminie świadczenia usług powszechnych i na P.p., próbować ustalać domniemany czy najbardziej prawdopodobny termin, w którym to ewentualnie doręczenie przesyłki mogło nastąpić. Dostrzec przy tym wypada, że skarżący miał możliwość uzyskania dowodu doręczenia przesyłki rejestrowanej, gdyby - jako nadawca przesyłki - tego zażądał. Okoliczność, iż klient nie zakwestionował skuteczności wypowiedzenia umowy kredytu nie ma znaczenia w aspekcie legalności przetwarzania jego danych osobowych. PUODO nie rozstrzygał kwestii skuteczności czynności prawnej wypowiedzenia umowy. Nie mieści się ona też we właściwości sądu administracyjnego. Dodatkowo podkreślenia wymaga materialny (ochronny), a nie formalny charakter obowiązku informacyjnego, o którym mowa w art. 105a ust. 3 P.b., co odnotował NSA w ww. wyroku z 16 stycznia 2024 r. Dane osobowe są wartością chronioną ustawowo, a prawo do ich ochrony stanowi swego rodzaju emanację ogólnego prawa gwarantowanego Konstytucją RP (art. 47). Spostrzeżenie to oparte jest na założeniu, iż dane osobowe są niejako częścią życia prywatnego lub rodzinnego, względnie - że posługiwanie się danymi dotyczącymi innej osoby wkracza w przyznaną jej kompetencję decydowania o swoim życiu osobistym. Wprawdzie ustawodawca w żaden sposób nie ograniczył sposobów i form "poinformowania", o którym mowa w art. 105a ust. 3 P.b., to w każdym wypadku sposób ten powinien umożliwić zweryfikowanie faktu poinformowania klienta o zamierzonym przetwarzaniu jego danych osobowych lub przynajmniej potwierdzenie, iż klientowi umożliwiono zapoznanie się z taką informacją. Sytuacja taka nie miała miejsca w rozpatrywanej sprawie. To na Banku spoczywał obowiązek wykazania przesłanek z art. 105a ust. 3 P.b.; niedopuszczalne było dokonywanie w tym zakresie jakichkolwiek domniemań faktycznych. Ponadto skarżący obecnie przetwarza dane osobowe M. G. na mocy art. 6 ust. 1 lit. f RODO w celu obrony i dochodzenia roszczeń, mimo że M. G. nie wystąpił z roszczeniem wobec Banku, jak też skarżący nie dochodzi roszczeń od klienta, a tylko takie okoliczności uzasadniałyby uprawnienie Banku do zachowania i przetwarzania danych osobowych klienta. Nie sposób zaaprobować przetwarzania przez skarżącego danych "na zapas", w oczekiwaniu - przez określony odrębnymi przepisami okres przedawnienia roszczeń o charakterze majątkowym - na to zdarzenie przyszłe i niepewne. Terminy dotyczące przedawnienia roszczeń wynikających ze stosunków zobowiązaniowych nie zakreślają ram czasowych przetwarzania danych osobowych. Innymi słowy, przedawnienie roszczenia nie wywołuje skutków na gruncie ochrony danych osobowych, nie wpływa bowiem na fakt istnienia roszczenia, lecz powoduje jedynie zmianę w sferze zarzutów procesowych w postaci możliwości podniesienia okoliczności przedawnienia w sporze sądowym. Okolicznością usprawiedliwiającą przetwarzanie danych osobowych w celu dochodzenia roszczeń jest sam fakt istnienia roszczenia oraz zamiar jego dochodzenia, co na gruncie przedmiotowej sprawy nie wystąpiło. Trafnie organ podnosi, iż przesłanka z art. 6 ust. 1 lit. f RODO dotyczy sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia potrzeby dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem, które może powstać w przyszłości. Wbrew twierdzeniom Banku, przesłanka określona w art. 6 ust. 1 lit. f RODO nie jest ukierunkowana na ochronę interesów sektora bankowego czy też gospodarczego. Podobnie jak pozostałe przesłanki wymienione w art. 6 ust. 1 RODO stanowi przesłankę zgodności z prawem procesu przetwarzania. Tym samym chroni przede wszystkim osobę, której proces ten dotyczy przed nieuprawnionym przetwarzaniem jej danych osobowych. Nie można powoływać się na prawnie uzasadniony interes w przypadku, gdy dane osobowe przetwarzane są "na zapas", tj. na wypadek gdyby taki prawnie uzasadniony interes mógł się pojawić dopiero w przyszłości. Bank niezasadnie skoncentrował się na własnych interesach gospodarczych, nie dostrzegając, że z punktu widzenia ochrony danych osobowych dane te mogą być przetwarzane do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, ale wyłącznie wówczas, gdy są nadrzędne nad interesami i prawami osoby, której dane dotyczą. Tymczasem taka sytuacja w niniejszej sprawie nie zaistniała, ponieważ ważąc interesy oraz podstawowe prawa i wolności klienta takie jak chociażby gwarantowane (na gruncie prawa europejskiego, Konstytucji RP czy prawa cywilnego) prawo do prywatności z interesem administratora, który dotyczy w tym wypadku zachowania w swych zasobach danych "na wszelki wypadek", czyli na wypadek tego, że mogą się okazać przydatne w przyszłości do dochodzenia lub obrony ewentualnych roszczeń, które obecnie nie istnieją, należało dojść do wniosku, iż to interesy oraz podstawowe prawa i wolności osoby, której dane dotyczą, są nadrzędne. W konsekwencji organ zasadnie skorzystał z uprawnień przewidzianych w art. 58 ust. 2 lit. c RODO. Nie dopatrując się naruszenia przez organ tak prawa materialnego, jak i prawa procesowego, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2023 r., poz. 1634 ze zm.), oddalił skargę. Sprawa została rozpoznana w trybie uproszczonym w oparciu o art. 119 pkt 2 i art. 120 ww. ustawy.