II SA/Wa 899/25

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Sławomir Antoniuk, Sędzia WSA Joanna Kruszewska-Grońska, Asesor WSA Anna Pośpiech-Kłak (spr.), Protokolant referent Beata Kowalska po rozpoznaniu na rozprawie w dniu 3 listopada 2025 r. sprawy ze skargi J.K. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] kwietnia 2025 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę Do Prezesa Urzędu Ochrony Danych Osobowych wpłynęła skarga J. K., zw. dalej "skarżącą", na nieprawidłowości w procesie przetwarzania jej danych osobowych przez [...] Bank [...] S.A. z siedzibą w [...], zw. dalej "Bankiem", polegające na udostępnieniu przez Bank danych osobowych skarżącej podmiotom nieuprawnionym. Skarżąca wskazała, że była wieloletnią klientką Banku, w którym prowadziła konto zarówno osobiste, jak i firmowe. Skarżąca wskazała, że w dniu [...] kwietnia 2022 r. w trakcie wizyty w oddziale Banku, pracownica Banku poinformowała ją, że Bank zidentyfikował ją jako rezydenta podatkowego [...], bo tam się urodziła. Następnie w aplikacji mobilnej pojawił się u skarżącej komunikat o treści: "Aby Twoje oświadczenie o rezydencji podatkowej [...] było ważne, wyślij nam skan lub zdjęcie jednego z poniższych: • zaświadczenie o utracie obywatelstwa [...] • wyjaśnienie, dlaczego nie uzyskałeś amerykańskiego obywatelstwa z chwilą narodzin • zaświadczenie o zrzeczeniu się statusu stałego rezydenta [...] Potrzebujemy tego, aby potwierdzić, że nie jesteś rezydentem podatkowym [...]. Dopóki tego nie potwierdzimy, nie możesz skorzystać z naszej oferty." Skarżąca wskazała, że wielokrotnie składa do Banku pisma o wyjaśnienie sytuacji oraz "zaprzestanie upokarzania jej w sprawie [...]". Ostatecznie w listopadzie 2023 r. Bank wypowiedział skarżącej wszystkie umowy. Skarżąca wskazała, że jej Bank bezpodstawnie przekazał jej dane osobowe do państwa trzeciego. W złożonej skardze skarżąca wskazała, że kwestionuje udostępnienie jej danych w związku z [...] przez Bank innym podmiotom: Ministerstwu Finansów, zw. dalej "MF"/Krajowej Administracji Skarbowej, zw. dalej "KAS". W złożonych wyjaśnieniach Bank wskazał, że pozyskał dane osobowe skarżącej bezpośrednio od niej w związku z zawieranymi umowami o produkty i usługi bankowe: - jako osobą fizyczną - Umowa Rachunku Oszczędnościowo-Rozliczeniowego z dnia [...] października 2002 roku numerze [...] (rozwiązana [...] stycznia 2024 roku); Umowa Otwartego Konta Oszczędnościowego z dnia [...] listopada 2004 roku o numerze [...] (rozwiązana z dniem [...] stycznia 2024 roku); Umowa o kartę przedpłaconą z dnia [...] października 2020 roku [...] (rozwiązana z dniem [...] stycznia 2024 roku); - jako osobą fizyczną prowadzącą działalność gospodarczą: Umowa rachunku Konto [...] dla Firmy w PLN z dnia [...] kwietnia 2015 roku o numerze [...] (rozwiązana z dniem [...] lutego 2024 roku); Umowa rachunku Otwarte Konto Oszczędnościowe w PLN z dnia [...] kwietnia 2015 roku numerze [...] (rozwiązana z dniem [...] lutego 2024 roku). Nadto Bank wskazał, że zgodnie z obowiązkiem wynikającym z art. 62a Prawa bankowego prowadził rachunek VAT o numerze [...] do rachunku Konto [...] dla firmy skarżącej w PLN, który został rozwiązany wraz z rozwiązaniem ww. rachunku, tj. z dniem [...] lutego 2024 roku. W związku z powyższym Bank pozyskał dane osobowe skarżącej w zakresie: imię i nazwisko, PESEL, nazwisko rodowe matki, data urodzenia, miejsce urodzenia, kraj urodzenia, kraj obywatelstwa, status dewizowy, status podatkowy, adres, numer telefonu, nazwa dokumentu, seria i numer dokumentu, data ważności dokumentu tożsamości, data wydania dokumentu tożsamości, obywatelstwo, kraj zamieszkania, źródło pochodzenia środków, dane dot. prowadzonej działalności gospodarczej (nazwa, forma prawna, NIP, REGON, adres siedziby, numer telefonu, procent udziałów, rodzaj klasyfikacji działalności, symbol rodzaju klasyfikacji). Bank wyjaśnił, że udostępnił dane osobowe skarżącej do KAS w związku z [...] w dniach: [...] kwietnia 2023 r., [...] marca 2024 r. w zakresie umów zawartych z osobą fizyczną: [...], [...], [...]. Udostępnione dane, w przypadku umów zawartych z osobą fizyczną prowadząca działalność gospodarczą dotyczyły rachunków o numerach: [...]; [...]; [...]. Bank wskazał, że podstawą prawną udostępnienia przez Bank danych osobowych skarżącej do KAS był art. 4 ust. 1 pkt 2a ustawy z dnia 9 października 2015 r. o wykonywaniu Umowy między Rządem Rzeczypospolitej Polskiej a Rządem [...] w sprawie poprawy wypełniania międzynarodowych obowiązków podatkowych oraz wdrożenia ustawodawstwa [...] (Dz. U. z 2023 r. poz. 41), zw. dalej "ustawą [...]". Bank przekazał do KAS dane osobowe skarżącej w zakresie: numer klienta, rodzaj klienta, imię, nazwisko, kraj, kod pocztowy, miejscowość, ulica, nr budynku, numer mieszkania, data urodzenia, numer identyfikacji podatkowej klienta, numer rachunku, saldo rachunku, waluta oryginalna rachunku, wartość w PLN, rodzaj przychodu, kwota przychodu, waluta oryginalna przychodu, kwota przychodu w PLN. Bank wskazał, że wielokrotnie zwracał się do skarżącej, zarówno pocztą tradycyjną, jak i poprzez wiadomość elektroniczną w aplikacji Moje [...], z prośbą o wyjaśnienie złożonego oświadczenia [...], wskazując powód prośby, dokumenty niezbędne do uzupełnienia, sposób dostarczenia dokumentów, termin dostarczenia dokumentów (m.in. pismem określającym termin dostarczenia przez skarżącą wymaganej dokumentacji do [...] maja 2022 r, pismem z dnia [...] maja 2022 r., pismem określającym termin dostarczenia przez skarżącą wymaganej dokumentacji do dnia [...] lipca 2022 r., pismem z dnia [...] listopada 2022 r., pismem z dnia [...] stycznia 2023 r., pismem z dnia [...] czerwca 2023 r., w którym Bank wysłał ostateczne wezwanie do dostarczenia dokumentu pod rygorem wypowiedzenia umowy). Bank wskazał w pismach kierowanych do skarżącej cyt. "[...] (ang. [...]) to regulacja podatkowa [...]. Zgodnie z [...] instytucje finansowe muszą przekazywać organom podatkowym [...] informacje o rachunkach amerykańskich rezydentów podatkowych. Rządy Polski i [...] [...] października 2014 r. podpisały umowę w sprawie poprawy wypełniania międzynarodowych obowiązków podatkowych oraz wdrożenia ustawodawstwa [...] - razem z uzgodnieniami końcowymi. [...] października 2015 r. Polska przyjęła ustawę o wykonywaniu tej umowy, która weszła w życie 1 grudnia 2015 r. Zgodnie z tą ustawą polskie banki powinny przekazywać polskim władzom podatkowym informacje o rachunkach klientów, którzy podlegają obowiązkowi podatkowemu w [...]. Następnie te informacje są przekazywane do [...]. Bank wyjaśnił, że wzywał skarżącą do przedstawienia dokumentacji poświadczającej fakt, że nie jest obywatelką [...], mimo iż urodziła się na terenie [...]: zaświadczenie o utracie obywatelstwa [...] albo pisemne wyjaśnienie, dlaczego nie uzyskała [...] obywatelstwa z chwilą narodzin, albo zaświadczenie o zrzeczeniu się statusu stałego rezydenta [...]. Bank wyjaśnił, że ponadto informował skarżącą, że w przypadku niedostarczenia dokumentów w terminie, zostanie uznana za osobę będącą amerykańskim rezydentem podatkowym, co będzie skutkowało przekazaniem takiej informacji przez Bank do KAS. Bank wskazał także, że skarżąca [...] września 2022 r. zgłosiła Inspektorowi Ochrony Danych Banku naruszenie jej danych osobowych przez Bank polegające na bezprawnym i nielegalnym przekazaniu jej danych osobowych Szefowi KAS, na co Inspektor Ochrony Danych Banku udzielił odpowiedzi [...] października 2022 r., wskazując, że Bank nie otrzymał od skarżącej oświadczenia o statusie rezydencji podatkowej [...]. Bank wyjaśnił skarżącej, że [...] grudnia 2015 r. weszła w życie ustawa o wykonaniu umowy między rządem RP a rządem [...], tzw. [...], która nakłada między innymi na Bank obowiązek informowania amerykańskiego urzędu skarbowego o kontach, które są prowadzone dla podatników [...]. Taki obowiązek dotyczy wszystkich osób, które spełniają przesłanki tzw. "osoby [...]". skarżąca ponownie wystąpiła z pismem z dnia [...] października 2022 r., w treści którego wskazała, że złożyła oświadczenie o statusie rezydencji podatkowej [...] w oddziale Banku [...] kwietnia 2022 r. oraz że faktycznie urodziła się w [...], ale w odniesieniu do przesłanki tzw. "osoby [...]" jest wyjątkiem prawnie uregulowanym, który Bank jest zobowiązany znać. Bank w odpowiedzi na ww. pismo poinformował skarżącą, że konieczne jest uzupełnienie ww. oświadczenia. Bank poinformował również skarżącą, że w przypadku nie uzupełnienia tego oświadczenia jej dane zostaną przekazane do KAS w zakresie: imię i nazwisko, numer konta bankowego, saldo konta, informacje o rachunkach powierniczych, informacje o rachunkach depozytowych. Bank wyjaśnił także, że udzielił odpowiedzi na dwa wezwania skarżącej do zaprzestania poniżania w sprawie [...], w których skarżąca wskazała także, że nie jest i nigdy nie była rezydentką podatkową [...], zaś odpowiedzi te zostały wystosowane w imieniu Zarządu Banku przez pracownika Banku działającego na podstawie stosownego pełnomocnictwa i że intencją Banku nigdy nie był brak poszanowania prywatności skarżącej, a należyte wykonywanie ciążących na Banku obowiązków. Kolejno w odpowiedzi z [...] sierpnia 2023 r. na wezwanie skarżącej z [...] sierpnia 2023, Bank podtrzymał swoje stanowisko. Bank wskazał, że na skutek niedostarczenia przez skarżącą niezbędnych dokumentów potwierdzających status rezydencji podatkowej, wypowiedział skarżącej umowy. Bank wskazał również, że zakres danych osobowych skarżącej przekazanych przez Bank do KAS wynika z art. 2 ust. 2 lit. a Umowy między Rządem Rzeczypospolitej Polskiej a Rządem [...] w sprawie poprawy wypełniania międzynarodowych obowiązków podatkowych oraz wdrożenia ustawodawstwa [...] oraz towarzyszących Uzgodnień Końcowych podpisanych w Warszawie dnia [...] października 2014 roku. Bank wskazał, cyt. "W związku z art. 2 ust. 2 lit. a pkt b) w przypadku jakiegokolwiek rachunku depozytowego, raportowaniu podlega łączna wartość brutto odsetek wypłaconych lub uznanych na poczet rachunku w roku kalendarzowym lub innym stosownym okresie raportowania, co zostało wskazane przez Bank w pozycji: rodzaj przychodu oraz waluta przychodu. Ponadto, zgodnie z art. 3 ust. 4 ww. Umowy, Bank w przypadku braku numeru identyfikacji podatkowej przekazuje datę urodzenia: "Bez względu na postanowienia ustępu 3 niniejszego artykułu, w odniesieniu do każdego raportowanego rachunku, który jest rachunkiem prowadzonym przez raportującą instytucję finansową na dzień [...] czerwca 2014 r. i zgodnie z artykułem 6 ustęp 4 niniejszej Umowy, Strony nie są zobowiązane do pozyskania i objęcia wymianą informacji polskiego NIP lub [...] NIP jakiejkolwiek osoby, jeżeli taki numer identyfikujący podatnika nie jest dostępny w rejestrach raportującej instytucji finansowej. W takim przypadku Strony powinny pozyskiwać i wymieniać informacje o dacie urodzenia tej osoby, jeżeli raportująca instytucja finansowa posiada te dane". Odnośnie do przekazania imienia skarżącej przez Bank do KAS, Bank wziął pod uwagę Załącznik I Obowiązki przeprowadzania procedur sprawdzających w zakresie identyfikacji i raportowania amerykańskich rachunków raportowanych oraz płatności do określonych wyłączonych instytucji finansowych do ww. Umowy, w którym to w pkt II ppkt B znajdują się odwołania do formularza [...] lub innych uzgodnionych formularzy. W formularzu [...] natomiast znajduje się nazwa klienta, a nie samo nazwisko. Mając na uwadze powyższe, w oświadczeniu o statusie [...] i [...] dla osób fizycznych stanowiącym formularz Banku, Klient wskazuje imię/imiona oraz nazwisko". Bank przedłożył również oświadczenia o statusie rezydencji podatkowej [...] złożone przez skarżącą w dniu [...] kwietnia 2022 r., z którego wynika, że miejscem urodzenia skarżącej jest [...], [...]. Jednocześnie skarżąca wskazała obywatelstwo: Polska. Po przeprowadzeniu postępowania administracyjnego w niniejszej sprawie, decyzją z dnia [...] kwietnia 2025 r. PUODO odmówił uwzględnienia wniosku skarżącej, uznając, że Bank posiadał podstawy prawne do udostępnienia danych osobowych skarżącej do KAS w postaci art. 6 ust. 1 lit. c RODO, w związku z istnieniem obowiązków prawnych realizowanych przez administratora na podstawie art. 4 ust. 1 pkt 2 lit. a ustawy [...] w zw. z art. 2 ust. 2 lit. a umowy między Rządem Rzeczypospolitej Polskiej a Rządem [...] w sprawie poprawy wypełniania międzynarodowych obowiązków podatkowych oraz wdrożenia ustawodawstwa [...], oraz towarzyszące Uzgodnienia Końcowe, podpisane w [...] dnia [...] października 2014 r. (Dz. U. z 2015 r. poz. 1647), zw. dalej "umową [...]". W dniu [...] kwietnia 2025 r. do Wojewódzkiego Sądu Administracyjnego w Warszawie, za pośrednictwem Prezesa Urzędu Ochrony Danych Osobowych, wpłynęła skarga skarżącej na ww. decyzję organu z dnia [...] kwietnia 2025 r., która wnosi o uchylenie zaskarżonej decyzji i zasądzenie zwrotu kosztów postępowania według norm przypisanych. Zaskarżonej decyzji skarżąca zarzuciła, że Prezes UODO: - ani razu nie zwrócił się do skarżącej o skany lub kopie korespondencji z Bankiem, nie wyraził swojej opinii na temat wymuszania od obywateli polskich występowania do organu obcego państwa, jakim jest [...], co wiąże się z przetwarzaniem danych osobowych obywateli polskich przez państwo nienależące do Europejskiego Obszaru Gospodarczego, czyli tzw. "państwo trzecie", w sprawie, która powinna być rozstrzygana przez państwo polskie, nie zawarł żadnego odniesienia do jakiejkolwiek analizy ryzyka naruszenia praw i wolności osób fizycznych, których dane dotyczą, przywołanej w motywie 76 RODO; - nie rozważył aspektu naruszenia prywatności skarżącej w kontekście art. 7 i 8 Karty Praw Podstawowych Unii Europejskiej; - usankcjonował niedopełnienie przez Bank obowiązków wynikających z art. 5 ust. 1 lit. a) i ust. 2, art. 6 ust. 1, art. 24 ust. 1 i 2 oraz art. 25 ust. 1 i 2 RODO, poprzez przyjęcie za Bankiem, że fakt urodzenia się skarżącej na terytorium [...] oznacza, że nabyła ona obywatelstwo tego kraju; - nie uwzględnił treści Rezolucji Parlamentu Europejskiego z dnia [...] lipca 2018 r. [...] Szkodliwe skutki [...] dla obywateli UE" w sprawie szkodliwych skutków [...] ustawy o wypełnianiu obowiązków podatkowych w stosunku do rachunków posiadanych za granicą ([...]) dla obywateli UE, w szczególności 7/11 tzw. [...] z przypadku ([...]) oraz Oświadczenia [...] Europejskiej Rady Ochrony Danych (zwanej dalej [...]) w sprawie [...] z dnia [...] lutego 2019 roku oraz Wytycznych [...], przyjętych w dniu [...] grudnia 2020 roku i dotyczących kwestii międzynarodowego przekazywania danych między podmiotami publicznymi odbywającego się w różnych celach związanych ze współpracą administracyjną; - nie przestrzegał zasad bezstronności i równego traktowania, postępowanie Prezesa UODO nie zostało przeprowadzone w sposób budzący jej zaufanie, a treść uzasadnienia zaskarżonej decyzji jednoznacznie wskazuje na faworyzowanie Banku oraz wybielanie i usprawiedliwianie jego postępowania wobec skarżącej i jej danych osobowych. Ponadto skarżąca podkreśliła, że "Moja sprawa dotyczy przede wszystkim respektowania art. 7 "Poszanowanie życia prywatnego i rodzinnego" oraz art. 8 "Ochrona danych osobowych" Karty praw podstawowych Unii Europejskiej w przypadku moim i co najmniej kilkuset innych obywateli polskich urodzonych w [...], którzy zgodnie z prawem [...] nie są obywatelami [...].". W odpowiedzi na skargę Prezes UODO, podtrzymując dotychczasową argumentację, wniósł o jej oddalenie. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Zgodnie z art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. Prawo o ustroju sądów administracyjnych (Dz.U. z 2024 r., poz. 1267), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej, przy czym kontrola ta sprawowana jest pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej. Tym samym Wojewódzki Sąd Administracyjny, w zakresie swojej właściwości, ocenia zaskarżoną decyzję administracyjną, postanowienie, czy też inny akt lub czynność z zakresu administracji publicznej dotyczącą uprawnień lub obowiązków wynikających z przepisów prawa, z punktu widzenia ich zgodności z prawem materialnym i przepisami postępowania administracyjnego, według stanu faktycznego i prawnego obowiązującego w dacie wydania tego aktu lub podjęcia spornej czynności. Chodzi więc o kontrolę aktów lub czynności z zakresu administracji publicznej dokonywaną wyłącznie pod względem ich zgodności z prawem materialnym i przepisami procesowymi, nie zaś według kryteriów słuszności, czy też zgodności z zasadami współżycia społecznego. Stosownie do treści art. 134 § 1 p.p.s.a., sąd rozstrzyga w granicach danej sprawy nie będąc związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną. Sąd nie może wydać orzeczenia na niekorzyść skarżącego, chyba że stwierdzi naruszenie prawa skutkujące stwierdzeniem nieważności zaskarżonego aktu lub czynności (§ 2). Skarga oceniana w świetle powyższych kryteriów nie podlegała uwzględnieniu. W pierwszej kolejności należy podkreślić, że Prezes Urzędu Ochrony Danych Osobowych może podejmować wyłącznie te czynności, które mieszczą się w zakresie jego uprawnień oraz dotyczą spraw, które należą do jego właściwości. Uprawnienia te i kompetencje wynikają z przepisów RODO, ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych,, a także z szeregu regulacji szczegółowych, które wskazują na ograniczenia kompetencji PUODO w kontekście przetwarzania danych przez określone podmioty lub w określonych okolicznościach. W ramach prowadzonych postępowań, które są wszczynane na skutek wniesienia skargi indywidualnej, PUODO dokonuje oceny legalności przetwarzania danych osobowych osoby skarżącej się, w świetle obowiązujących przepisów prawa. W odniesieniu do przedmiotowej sprawy, na podstawie treści zaskarżonej decyzji, należy wskazać, że zgodnie z art. 4 ust. 1 pkt 2 lit. a ustawy [...], raportujące polskie instytucje finansowe są zobowiązane do pozyskiwania i przekazywania Szefowi KAS lub innemu organowi upoważnionemu informacji o [...] rachunkach raportowanych, o których mowa w art. 2 ust. 2 lit. a umowy [...]. Zgodnie z art. 4 ust. 2 tej ustawy, na potrzeby identyfikacji [...] rachunków raportowanych oraz rachunków posiadanych przez wyłączone instytucje finansowe, raportujące polskie instytucje finansowe stosują określone w załączniku I do umowy [...] procedury sprawdzające, a także żądają od posiadaczy rachunków przedstawienia wskazanych w tym załączniku oświadczeń, wyjaśnień i dokumentów. Zgodnie z definicją zawartą w art. 1 ust. 1 lit. o umowy [...], "raportującą polską instytucją finansową" jest każda polska instytucja finansowa, która nie jest nieraportującą polską instytucją finansową; instytucją raportującą jest natomiast bank. Natomiast zgodnie z art. 1 ust. 1 lit. ee, "osobą [...]" w rozumieniu umowy [...] jest m.in. osoba, która jest obywatelem lub osobą przebywającą na stałe w [...] oraz spółka osobowa lub kapitałowa utworzona w [...] lub na podstawie prawa [...], a także [...], jeżeli spełnione są określone warunki dotyczące prawa do wydawania poleceń lub orzeczeń w sprawach zarządzania trustem oraz kontroli nad majątkiem przez osoby [...]. Postanowienia litery ee winny być interpretowane zgodnie z Kodeksem Skarbowym [...]. W Załączniku I do umowy [...], w punkcie II część B pkt 1, określono procedury weryfikacji istniejących rachunków indywidualnych, których saldo lub wartość na dzień [...] czerwca 2014 r. przekraczała [...] (lub [...] w przypadku pieniężnych umów ubezpieczenia lub umów renty), a które nie przekraczały [...] ("rachunki o niższej wartości"). W tym kontekście wskazano, że "raportująca polska instytucja finansowa dokonuje przeglądu elektronicznej bazy danych w celu ustalenia istnienia przesłanek wskazujących na osobę [...] ([...]), takich jak m.in.: identyfikacja posiadacza jako obywatela lub rezydenta [...], miejsce urodzenia w [...], aktualny adres w [...], numer telefonu, stałe zlecenie przelewu środków na konto w [...], pełnomocnictwo lub upoważnienie do podpisu udzielone osobie z adresem w [...], czy adres do doręczeń lub skrzynka pocztowa stanowiąca jedyny adres w bazie danych". Jednocześnie, zgodnie z punktem 4 tego samego cytatu, "bez względu na występowanie [...], raportująca polska instytucja finansowa nie jest zobowiązana do traktowania rachunku jako [...], jeżeli spełnione są określone warunki: m.in. posiadacz rachunku złoży oświadczenie, że nie jest obywatelem [...] ani rezydentem podatkowym USA, okazując paszport innego kraju, czy certyfikat utraty obywatelstwa [...], albo wiarygodne wyjaśnienie przyczyn braku takiego dokumentu". W odniesieniu do okoliczności faktycznych ustalonych w sprawie, należy zauważyć, że dnia [...] kwietnia 2022 r. Skarżąca wypełniła formularz Banku zatytułowany "Zmiana/potwierdzenie danych klienta indywidualnego", w którym wskazała, że jej kraj urodzenia to [...], a jednocześnie złożyła oświadczenie, że nie jest rezydentem podatkowym tego kraju. Bank wielokrotnie wzywał skarżącą, zarówno listownie, jak i poprzez wiadomości elektroniczne w aplikacji Moje [...], do wyjaśnienia złożonego oświadczenia [...], wskazując konkretne terminy, sposób i sposób dostarczenia wymaganej dokumentacji (np. do [...] maja 2022 r., [...] maja 2022 r., [...] lipca 2022 r., [...] listopada 2022 r., [...] stycznia 2023 r., [...] czerwca 2023 r.). We wszystkich tych pismach, które zostały przedłożone w postępowaniu, Bank wyjaśniał powód żądania, wskazywał niezbędne dokumenty oraz terminy ich dostarczenia. Odnosząc powyższe do ustalonego stanu faktycznego, wskazać należy, że w dniu [...] kwietnia 2022 r. skarżąca wypełniła formularz Banku zatytułowany "Zmiana/potwierdzenie danych klienta indywidualnego", z którego wynikało, iż jej miejsce urodzenia to [...], a także złożyła oświadczenie, iż nie jest rezydentem podatkowym tego kraju. Bank, wielokrotnie wzywał skarżącą, zarówno drogą tradycyjną, jak i poprzez wiadomości elektroniczne wysyłane za pośrednictwem aplikacji Moje [...], do wyjaśnienia złożonego oświadczenia w zakresie obowiązku raportowania podatkowego ([...]). W szczególności, pismem z dnia [...] maja 2022 r. wyznaczono termin dostarczenia wymaganej dokumentacji, następnie z dnia [...] maja 2022 r., a także kolejnych pismach, w tym z dnia [...] lipca 2022 r., [...] listopada 2022 r., [...] stycznia 2023 r. oraz [...] czerwca 2023 r., Bank ponownie wezwał skarżącą do uzupełnienia danych, załączając ostateczne wezwanie z pouczeniem o ryzyku wypowiedzenia umowy w przypadku braku reakcji. W treści tych pism, które zostały przedłożone w ramach toczącego się postępowania w formie załączników do wyjaśnień składanych przez Bank, wskazano powody żądanej informacji, wymagane dokumenty, sposób ich dostarczenia oraz terminy. W odpowiedzi na zgłoszenie skarżącej z dnia [...] września 2022 r. do Inspektora Ochrony Danych Osobowych, Bank w dniu [...]października 2022 r. udzielił jej informacji, iż ograniczył korzystanie z usług z powodu braku ważnych danych, w szczególności nie otrzymując od skarżącej oświadczenia o statusie rezydencji podatkowej [...]. Podkreślono, że jest to konieczne celem właściwego kontynuowania współpracy, ponieważ dane wskazujące na miejsce urodzenia, w tym wypadku [...], stanowią przesłankę do przyjęcia od klienta oświadczenia o rezydencji podatkowej zgodnie z ustawą [...]. Bank wyjaśnił, iż obowiązek ten wynika z ustawowych regulacji wynikających z umowy [...], które obligują do raportowania informacji o kontach prowadzonych dla podatników [...], a zatem także do przekazywania danych o klientach, których status taki został potwierdzony lub domniemywany na podstawie zebranych informacji. Z powyższych pism wynika, że Bank przedstawił skarżącej przyczyny żądania uzupełnienia jej oświadczenia, wykazał istnienie obowiązku prawnego oraz powołał przepisy, z których ten obowiązek wynikał. W świetle obowiązujących przepisów legalnych uzasadnione było stwierdzenie, że proces przetwarzania danych skarżącej opiera się na podstawie art. 6 ust. 1 lit. c RODO w związku z obowiązkami prawno-podatkowymi realizowanymi na podstawie art. 4 ust. 1 pkt 2 lit. a ustawy [...], w powiązaniu z art. 2 ust. 2 lit. a umowy [...]. Wbrew twierdzeniom skarżącej, PUODO szczegółowo przeanalizował treść punktu 4 lit. a rozdziału II ust. B Załącznika I do ustawy [...], którego brzmienie zostało przytoczone powyżej. Należy podkreślić, iż przepis ten zawiera trzy przesłanki, które muszą być spełnione łącznie, aby można było uznać daną osobę za "osobę [...]". Z zebranego materiału dowodowego wynika, że Bank wzywał skarżącą do uzupełnienia informacji jedynie w zakresie powołanej przesłanki nr [...], tj. konieczności wyjaśnienia, dlaczego skarżąca nie uzyskała obywatelstwa [...] z chwilą narodzin. Nie można zgodzić się z argumentacją skarżącej, że zarówno Bank, jak i Prezes UODO powinni automatycznie znać przepisy dotyczące wyjątków od nabycia obywatelstwa [...]. Znajomość tych przepisów nie oznacza jednak, iż organ czy podmiot przetwarzający dane posiadają wiedzę o okolicznościach faktycznych, które mogą uzasadniać zastosowanie takich wyjątków. Skarżąca nie wskazała, jaki konkretny wyjątek prawny ma zastosowanie do jej sytuacji, co uniemożliwiło uwzględnienie takiego wyjaśnienia przez Bank i PUODO. W związku z brakiem pełnych informacji od skarżącej, zgodnie z postanowieniami Załącznika I do umowy [...], Bank mógł uznać skarżącą za tzw. osobę [...] ([...]). Powyższa regulacja uzasadnia nie tylko uznanie skarżącej za osobę podlegającą raportowaniu, ale także konieczność przekazania danych odpowiednim organom [...], a następnie także polskim (KAS). Podkreślić należy, że w toku postępowania skarżąca odmawiała wskazania przewidzianego wyjątku, który wyłączałby jej obywatelstwo [...]; jedynie w skardze podniosła, iż powołując się na przepisy 14 poprawki do Konstytucji USA, można byłoby wykazać, że nie nabyła ona obywatelstwa [...]. Nie przedłożyła jednak żadnego stosownego oświadczenia potwierdzającego, że spełnia warunki wyłączające nabycie obywatelstwa [...]. Co więcej, na rozprawie skarżąca oświadczyła "że nie informowała banku, że jest dzieckiem dyplomaty urodzonym na terenie [...]". Sąd nie zgadza się z zarzutem skarżącej, jakoby PUODO nie zwrócił się do skarżącej o kopie korespondencji z Bankiem bądź inne dowody potwierdzające twierdzenia skarżącej. Zgodnie z art. 7 k.p.a. organ administracji obowiązany jest, zarówno z urzędu, jak i na wniosek strony, podejmować wszelkie czynności konieczne do dokładnego wyjaśnienia stanu faktycznego, dbając o interes społeczny i słuszny interes obywateli. Stan faktyczny ustala się przede wszystkim na podstawie dokumentów i wyjaśnień przedłożonych przez strony. Korespondencja kierowana na adres wskazany przez skarżącą była dostępna i została przedłożona przez Bank oraz częściowo przez nią samą. W celu zweryfikowania zarzutów skarżącej, PUODO wielokrotnie zwracał się do Banku o złożenie wyjaśnień, korzystając z uprawnień przewidzianych w art. 58 RODO, a zgromadzony materiał dowodowy był wystarczający do ustalenia stanu faktycznego i podjęcia decyzji. Z art. 7 i art. 77 § 1 k.p.a. wynika, że organ prowadzący postępowanie administracyjne ma obowiązek wyczerpującego zbadania i rozpatrzenia całego materiału dowodowego. Nie oznacza to – zdaniem Sądu - że strona pozostaje bez udziału w tym procesie. Wręcz przeciwnie – brak zaangażowania strony w dostarczanie dowodów lub nieudowodnienie określonych okoliczności może skutkować niekorzystnym dla niej rozstrzygnięciem. Organ nie jest zobowiązany do poszukiwania dowodów na rzecz strony, szczególnie gdy sama wykazuje bierność i nie inicjuje własnych działań dowodowych. Nie można zatem oczekiwać od organu, że będzie dowodził faktów przeciwko własnym ustaleniom w przypadku braku aktywności strony. Natomiast rozstrzygnięcie podjęte w tej sprawie opierało się na stanie faktycznym ustalonym na podstawie wyjaśnień złożonych zarówno przez skarżącą, jak i na dowodach oraz wyjaśnieniach złożonych przez bank, które nie budziły wątpliwości organu w chwili wydawania decyzji. Istotne jest podkreślenie, że oświadczenia stron są równoprawnym dowodem i podlegają swobodnej ocenie organu. Ponadto, ocena materiału dowodowego nie może być uznana za dowolną lub wykraczającą poza granice swobodnej oceny, jeśli nie narusza zasad logiki i jest spójna z doświadczeniem życiowym. Możliwość przedstawienia przez stronę odmiennych ocen materiału dowodowego nie oznacza, iż ocena organu jest błędna. W związku z tym, prezentowana przez skarżącą alternatywna interpretacja materiału dowodowego nie może stanowić podstawy do kwestionowania prawidłowości rozstrzygnięcia i zarzutu naruszenia art. 7, art. 77 czy art. 80 k.p.a. W odniesieniu do zarzutu skarżącej, że PUODO faworyzował bank, naruszając zasady bezstronności i równego traktowania, Sąd podkreśla, że skarżąca zgłosiła taki zarzut, nie uzasadniając go żadnym argumentem. W konsekwencji należy go odczytywać jako wyraz niezadowolenia z samego wyniku postępowania. Równocześnie, PUODO na podstawie art. 10 k.p.a. zapewnił stronom możliwość czynnego udziału w każdym stadium postępowania i przed wydaniem decyzji umożliwił wypowiedzenie się co do zgromadzonych dowodów i materiałów. Sama zaś treść rozstrzygnięcia została oparta na obowiązujących przepisach prawa. Co więcej, zarzut skarżącej, jakoby PUODO nie wyraził opinii na temat "wymuszania od obywateli polskich występowania do organu obcego państwa", w ocenie Sądu, jest niezasadny. Postępowanie administracyjne prowadzone przez PUODO rozpatruje sprawę odnosząca się do przetwarzania danych osobowych konkretnej osoby. Dlatego nie jest możliwe, na kanwie konkretnej sprawy, aby organ wyrażał opinię na temat podmiotów zewnętrznych, innych niż osoba zgłaszająca skargę. Odnosząc się do kwestii analizy ryzyka naruszenia praw i wolności osób, których dane dotyczą, oraz do braku ustaleń dotyczących czy bank przeprowadził taką analizę, Sąd zauważa, że zagadnienie to nie było przedmiotem rozstrzygnięcia w zaskarżonej decyzji. W postępowaniu dotyczącym skargi skarżącej, PUODO badał wyłącznie legalność przetwarzania danych osobowych skarżącej i w tym zakresie ustalił, że przekazanie danych do KAS odbyło się zgodnie z obowiązującymi przepisami prawa, zarówno co do samego przekazania, jak i kategorii danych. Na koniec, w świetle podniesionego przez skarżącą argumentu, że sprawa dotyczy ochrony art. 7 oraz art. 8 Karty Praw Podstawowych UE, Sąd zaznacza, że postępowanie przed PUODO jest postępowaniem indywidualnym, ukierunkowanym wyłącznie na rozpatrzenie skargi osoby, której dane dotyczą. Nie może ono obejmować badania zgodności przetwarzania danych innych osób z prawami wynikającymi z tej karty. Skarga skarżącej koncentrowała się wyłącznie na naruszeniach jej własnych praw w zakresie przetwarzania danych. Co więcej, postępowanie to było wszczynane na podstawie skargi skarżącej, a jego zakres był determinowany zarzutami i żądaniami skarżącej. Ponadto, według wytycznych Europejskiej Rady Ochrony Danych ([...]), wydanych [...] grudnia 2020 r., strony zachęca się do stosowania tych wytycznych na etapie planowania zmian umów międzynarodowych. Zgodnie z art. 96 RODO, umowy zawarte przed [...] maja 2016 r. pozostają w mocy do czasu ich zmiany, zastąpienia lub uchylenia. W ocenie PUODO, wytyczne te stanowią zalecenia, które należy uwzględniać przy wprowadzaniu zmian w stosunkach międzynarodowych. Z kolei, wezwania Parlamentu Europejskiego do przeglądu i dostosowania umów, takich jak [...], do wymogów RODO, nie skutkowały jeszcze zmianami w zawartej przez Polskę umowie, co czyni ją nadal obowiązującą na podstawie art. 96 RODO. W związku z powyższym, Sąd nie zgadza się z zarzutami skarżącej, że odmawiając uwzględnienia jej wniosku, PUODO ignoruje Rezolucję [...] Parlamentu Europejskiego oraz wytyczne dotyczące [...]. W postępowaniu administracyjnym, które ma charakter indywidualny, PUODO był zobowiązany do stosowania obowiązującego prawa i je zastosował. Na koniec, skarżąca zgłosiła także zarzut, iż PUODO usankcjonował niedopełnienie przez bank obowiązków wynikających z art. 24 i 25 RODO. W tym zakresie PUODO właściwie wskazał, że sprawa nie dotyczy oceny środków technicznych lub organizacyjnych zastosowanych przez bank, lecz legalności samego procesu przetwarzania danych. Obowiązki w zakresie zabezpieczenia danych, ich adekwatności i skuteczności są przedmiotem odrębnego postępowania, które może wszcząć organ z urzędu. Organ ten badać może wyłącznie legalność procesu przetwarzania. Mając powyższe na względzie, w ocenie Sądu, zaskarżona decyzja nie narusza norm prawa materialnego w stopniu który miałby wpływ na wynik sprawy, jak również prawa procesowego, w stopniu który miałby istotny wpływ na wynik sprawy. Z tych względów Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 p.p.s.a., orzekł jak w sentencji wyroku.