II SA/Wa 166/25

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Izabela Głowacka-Klimas (spr.), Sędzia WSA Joanna Kube, Sędzia WSA Iwona Maciejuk, Protokolant specjalista Joanna Głowala po rozpoznaniu na rozprawie w dniu 26 listopada 2025 r. sprawy ze skargi Biura Informacji Kredytowej S.A. z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] listopada 2024 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę W dniu 20 listopada 2024r. PUODO na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz.U z 2024 r. poz. 572 ze zm.), w zw. z art. 7 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781) oraz na podstawie art. 6 ust. 1 i art. 58 ust. 2 lit. c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35) w zw. z art. 105a ust. 3 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz. U. z 2024 r. poz. 1646) po przeprowadzeniu postępowania administracyjnego w sprawie skargi Pana K. D. (dalej: "Uczestnik"), prowadzącego działalność gospodarczą pod firmą "[...]" Usługi Budowlane K. D. w [...] przy ul. [...], na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Bank [...] S.A. z siedzibą w [...] przy ul. [...], polegające na udostępnieniu jego danych osobowych dotyczących umowy o kredyt z dnia [...].08.2016 r., numer [...]; umowy o kredyt z dnia [...].10.2016 r., numer [...]; umowy o kredy z dnia [...].03.2017 r., numer [...] na rzecz [...] S.A. z siedzibą w [...] przy ul. [...], bez podstawy prawnej, Prezes Urzędu Ochrony Danych Osobowych: nakazuje Bankowi [...]S.A. z siedzibą w [...] przy ul. [...], zaprzestanie przetwarzania danych osobowych Pana K. D., prowadzącego działalność gospodarczą pod firmą "[...]" Usługi Budowlane K. D. w [...] przy ul. [...], dotyczących umowy o kredyt z dnia [...].08.2016 r., numer [...], przetwarzanych bez podstawy prawnej po wygaśnięciu zobowiązania wynikającego z wyżej wymienionej umowy, w bazie [...] S.A. z siedzibą w [...] przy ul. [...], w celu oceny zdolności kredytowej i analizy ryzyka kredytowego; nakazuje Bankowi [...] S.A. z siedzibą w [...] przy ul. [...], zaprzestanie przetwarzania danych osobowych Pana K. D., prowadzącego działalność gospodarczą pod firmą "[...]" Usługi Budowlane K. D. w [...] przy ul. [...], dotyczących umowy o kredyt z dnia [...].10.2016 r. numer [...] przetwarzanych bez podstawy prawnej po wygaśnięciu zobowiązania wynikającego z wyżej wymienionej umowy, w bazie [...] S.A. z siedzibą w [...] przy ul. [...], w celu oceny zdolności kredytowej i analizy ryzyka kredytowego; nakazuje Bankowi [...] S.A. z siedzibą w [...] przy ul. [...], zaprzestanie przetwarzania danych osobowych Pana K. D., prowadzącego działalność gospodarczą pod firmą "[...]" Usługi Budowlane K. D. w [...] przy ul. [...], dotyczących umowy o kredy z dnia [...].03.2017 r., numer [...], przetwarzanych bez podstawy prawnej po wygaśnięciu zobowiązania wynikającego z wyżej wymienionej umowy, w bazie [...] S.A. z siedzibą w [...] przy ul. [...], w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Do wydania przedmiotowej decyzji doszło w następującym stanie faktycznym i prawnym: W dniu [...] listopada 2021r. K. D. prowadzący działalność gospodarczą pod firmą "[...]" Usługi Budowlane wniósł do Prezesa Urzędu Ochrony Danych Osobowych (dalej: "PUODO") skargę na nieprawidłowości w przetwarzaniu jego danych osobowych przez Bank [...] S.A. z siedzibą w [...] (dalej: "Bank"). Uczestnik w skardze złożonej do PUODO wskazał, że był klientem [...] Bank w którym posiadał kilka kredytów. Jak nadmienił nie spłacał ich terminowo, jednakże w maju 2021 r. udało mu się spłacić wszystkie zaciągnięte w tym banku kredyty. Uczestnik złożył więc do Banku pismo o wycofaniu wszelkich zgód oraz poprosił o aktualizację rejestrów bankowych. W październiku Uczestnik otrzymał od Banku informację odmowną. Z wyjaśnień Banku wynika, że pozyskał dane osobowe Uczestnika dotyczące umów kredytowych: 1. [...] zawarta w dniu [...] sierpnia 2016r. (sporządzona dnia [...] sierpnia 2016r.) 2. [...] zawierane w formie elektronicznej (online) i akceptowana przez Uczestnika za pośrednictwem wiadomości SMS (sporządzona dnia [...] października 2016r.) 3. [...] zawarta w dniu [...] marca 2017r. (sporządzona dnia [...] marca 2017r.) w celu zawarcia i wykonywania umowy na podstawie art. 6 ust. 1 lit. b rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.Urz. UE L 119 z 4.05.2016r. str. 1, Dz. Urz. UE L 127 z 23 maja 2018, str. 2 oraz Dz.Urz. UE L 74 z 4.03.2021, str. 35, dalej RODO. Wszystkie wskazane umowy zostały zamknięte w dniu [...] maja 2021r., w tym też dniu nastąpiła całkowita spłata zobowiązań. Aktualnie Bank przetwarza dane osobowe Uczestnika w zakresie ww. umów na podstawie: 1) art. 6 ust. 1 lit. c lub f Rozporządzenia 2016/679, w związku z art. 118 oraz art. 421 Ustawy z dnia 23 kwietnia 1964 r. - Kodeks cywilny (dalej "Kodeks cywilny"); przetwarzanie odbywa się w celu ustalenia, dochodzenia lub obrony roszczeń, z zastosowaniem 6-letniego terminu przedawnienia liczonego od daty wygaśnięcia zobowiązania (zamknięcia produktu), przy czym koniec terminu przedawnienia przypada na ostatni dzień roku kalendarzowego; 2) art. 6 ust. 1 lit. f RODO w związku art. 105a ust. 4 i 5 ustawy z dnia 29 sierpnia 1997 r. - Prawo bankowe (Dz.U. z 2024 r. poz. 1646, dalej: Prawo bankowe) w celu wynikającym z prawnie uzasadnionego interesu administratora polegającego na stosowaniu metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia UE nr 575/2013 - przez okres 12 lat od wygaśnięcia zobowiązania; 3) art. 6 ust. 1 lit. c RODO w związku z art. 74 ust. 2 ustawy o rachunkowości, tj. na podstawie obowiązku prawnego, w celach archiwizacyjnych dowodów księgowych - przez okres 5 lat liczonych od początku roku następującego po roku obrotowym, w którym operacje, transakcje lub postępowanie zostały ostatecznie zakończone, spłacone, rozliczone lub przedawnione; 4) art. 6 ust. 1 lit. c RODO w zw. z art. 106d Prawa bankowego oraz art. 49 ust. 1 i 2 ustawy z dnia 1 marca o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu dla celów przeciwdziałania i zapobiegania przestępstwom popełnianym na szkodę banków i innych instytucji finansowych oraz ich klientów, a także innych przestępstw wskazanych w art. 106a ust. 3 Prawa bankowego - przez okres 5 lat od licząc od pierwszego dnia roku następującego po roku, w którym zakończono stosunki gospodarcze z klientem lub w którym przeprowadzono transakcje okazjonalne lub w którym zastosowano środki bezpieczeństwa finansowego. Dane Uczestnika zostały przekazane przez Bank do B. na podstawie art. 105 ust. 4 i art. 105a ust. 1 Prawa bankowego oraz umowy zawartej z B.. Zakres przekazanych danych obejmuje dane Uczestnika typu: imię, nazwisko, numeru PESEL, płeć, dane dokumentu tożsamości, obywatelstwo, data urodzenia, adres, regon, NIP. Ponadto Bank wskazał, że spełnił on wobec Uczestnika obowiązek informacyjny wynikający z art. 105a ust. 3 Prawo bankowe (Dz.U. 2024, poz. 1646), poprzez skierowanie na adres korespondencyjny Uczestnika: – pisma z dnia [...].03.2021 r. ([...]) Ostateczne wezwanie do zapłaty dot. umowy [...], przesyłka doręczona w dniu [...].03.2021r. – pisma z dnia [...].03.2021 r. ([...]) Ostateczne wezwanie do zapłaty dot. umowy [...], przesyłka doręczona w dniu [...].04.2021 r. Bank wyjaśnił, ze zaległość w spłacie zadłużenia: – [...] powstała w dniu [...].01.2021 r. i wynosiła 833 PLN. Spłata należności nastąpiła w dniu [...].05.2021 r. Bank liczył 30-dniowy termin określony w art. 105a ust. 3 Prawa bankowego od dnia 29.03.2021 r. – [...]powstała w dniu [...].01.2021 r. i wynosiła 1790 PLN. Spłata należności nastąpiła w dniu [...].05.2021 r. Bank liczył 30-dniowy termin określony w art. 105a ust. 3 Prawa bankowego od dnia 29.03.2021 r. – [...] powstała w dniu [...].01.2021 r. i wynosiła 624 PLN. Spłata należności nastąpiła w dniu [...].05.2021 r. Bank liczył 30-dniowy termin określony w art. 105a ust. 3 Prawa bankowego od dnia 06.04.2021 r. B. wskazał, że aktualnie przetwarza dane o umowach kredytowych zawartych pomiędzy Uczestnikiem a Bankiem kolejno w dniach 5 sierpnia 2016 r. (przekazana do B. z nr [...] w dniu [...] lutego 2017 r.), [...] października 2016 r. (przekazana do B. z nr [...] w dniu [...] listopada 2016 r.) i [...] marca 2017 r. (przekazana do B. z nr [...] w dniu [...]kwietnia 2017 r.). Wyżej wskazane rachunki kredytowe mają obecnie status rachunków zamkniętych. Dane dotyczące wyżej wskazanych zobowiązań zostały pozyskane przez B. od Banku na podstawie art. 105 ust. 4 ustawy Prawo bankowe i na podstawie łączącej Bank i B. umowy, w zakresie danych identyfikujących Uczestnika (PESEL, seria i numer dowodu osobistego), danych przedsiębiorstwa (nazwa firmy, forma prawna, NIP, REGON, adres siedziby) oraz danych dotyczących zaciągniętych zobowiązań. Dane zostały pozyskane w celu wykonywania czynności bankowych, w szczególności oceny zdolności kredytowej i analizy ryzyka kredytowego, w celach statystycznych i analiz, których wynikiem nie są dane osobowe i wynik ten nie służy za podstawę podejmowania decyzji dotyczących konkretnych osób fizycznych oraz w celu stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w art. 105a ust. 4 Prawa bankowego. Aktualnie B. przetwarza dane Uczestnika wynikające z wyżej wskazanych zobowiązań w celu oceny zdolności kredytowej i analizy ryzyka kredytowego na podstawie art. 105 ust. 4 ustawy Prawo bankowe w związku z art. 70 ust. 1 tej ustawy, w celach statystycznych i analiz, których wynikiem nie są dane osobowe i wynik ten nie służy za podstawę podejmowania decyzji dotyczących konkretnych osób fizycznych na podstawie prawnie uzasadnionego interesu administratora danych oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia Parlamentu Europejskiego i rady (UE) nr 575/2013 z dnia 26 czerwca 2013 r. w sprawie wymogów ostrożnościowych dla instytucji kredytowych i firm inwestycyjnych, zmieniające rozporządzenie (UE) nr 648/2012, na podstawie art. 105 ust. 4 Prawa bankowego i art. 105 ust. 1 pkt 1 ctej ustawy. Dane Uczestnika wynikające z wyżej wskazanych zobowiązań będą przetwarzane przez B. z uwzględnieniem art. 5 ust. 1 lit. e RODO przez okres 5 lat od dnia wygaśnięcia zobowiązań w celu oceny zdolności kredytowej i analizy ryzyka kredytowego oraz przez okres 12 lat w celach statystycznych oraz w celu stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013. Jako datę wygaśnięcia zobowiązań Bank wskazał kolejno [...] marca 2022 r., [...] maja 2021 r. i [...] maja 2021 r. B. wskazał, że w jego ocenie do przedsiębiorców (w tym osób fizycznych prowadzących działalność gospodarczą) nie ma zastosowania wymóg z art. 105a ust. 3 ustawy - Prawo bankowe w zakresie informowania ich o zamiarze przetwarzania dotyczących ich informacji stanowiących tajemnicę bankową, bez ich zgody (w zakresie zobowiązań firmowych), ani nie jest konieczne pozyskanie zgody na przetwarzanie danych po wygaśnięciu zobowiązania, o której mowa w art. 105a ust. 2 ustawy Prawo bankowe. Po analizie całego materiału dowodowego, prezes PUODO wydał w dniu [...] listopada 2024r decyzję o treści wskazanej powyżej. W uzasadnieniu decyzji PUODO wskazał, że przepisem uprawniającym administratorów danych do przetwarzania zwykłych danych osób fizycznych jest art. 6 ust. 1 RODO, zgodnie z którym, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy spełniona jest jedna z przesłanek wskazanych w tym przepisie. Katalog przesłanek wymienionych w art. 6 ust. 1 RODO, jest zamknięty. Każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny. Co do zasady podstawą prawną przetwarzania danych osobowych klientów przez Bank w B. może być obecnie art. 6 ust. 1 lit. f RODO, gdy przetwarzanie to jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora. Wskazania wymaga, że przetwarzanie danych osobowych odbywa się w oparciu o umowę zawartą pomiędzy Bankiem i B.. Wskazać należy że B. jest instytucją utworzoną na podstawie art. 105 ust. 4 Prawa bankowego, który stanowi, że banki mogą, wspólnie z bankowymi izbami gospodarczymi, utworzyć instytucje upoważnione do gromadzenia, przetwarzania i udostępniania bankom informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013, innym instytucjom ustawowo upoważnionym do udzielania kredytów informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są niezbędne w związku z udzielaniem kredytów, pożyczek pieniężnych, gwarancji bankowych i poręczeń (pkt 2), instytucjom kredytowym informacji stanowiących tajemnicę bankową w zakresie niezbędnym do oceny zdolności kredytowej konsumenta, o której mowa w art. 9 ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim (pkt 3), instytucjom pożyczkowym i podmiotom, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim na zasadzie wzajemności, informacji stanowiących odpowiednio tajemnice bankową oraz informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, w zakresie niezbędnym do oceny zdolności kredytowej konsumenta, o której mowa w art. 9 tej ustawy, i analizy ryzyka kredytowego (Pkt 4). Zgodnie z art. 105a ust. 1 Prawa bankowego, przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów, instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, a także instytucje utworzone na podstawie art. 105 ust. 4, informacji stanowiących tajemnicę bankową i informacji udostępnionych przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem art. 104,105 i art. 106 - 106d Prawa bankowego w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Zgodnie zaś z art. 105a ust. 3 Prawa bankowego banki, instytucje oraz podmioty, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową i informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank, inną instytucję ustawowo upoważnioną do udzielania kredytów, instytucję pożyczkową albo podmiot, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, o zamiarze przetwarzania dotyczących jej tych informacji, bez jej zgody. Ponadto stosownie do art. 105a ust. 4 Prawa bankowego banki oraz instytucje, o których mowa w art. 105 ust. 4, mogą przetwarzać stanowiące tajemnicę bankową informacje dotyczące osoby fizycznej po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której informacje dotyczą, do celów stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013. Przetwarzanie informacji stanowiących tajemnicę bankową w przypadkach, o których mowa w ust. 4 może być wykonywane przez okres nie dłuższy niż 12 lat od dnia wygaśnięcia zobowiązania (art. 105a ust. 5 Prawa bankowego). Z kolei choć zobowiązania Uczestnika, wynikające z umowy o kredyt z dnia [...].08.2016 r., numer [...]; umowy o kredyt z dnia [...].10.2016 r "numer [...] oraz umowy o kredy z dnia [...].03.2017 r., numer [...] wobec Banku wygasły [...] maja 2021 r., to jak wynika ze zgromadzonego materiału dowodowego odnośnie spłaty zadłużenia, Uczestnik dopuścił się zwłoki trwającej dłużej niż 60 dni w przypadku ww. zobowiązań. Istotnym jednakże w niniejszej sprawie jest to, że Bank nie spełnił wobec Uczestnika obowiązku określonego w art. 105a ust. 3 Prawa bankowego, tj. nie poinformował Uczestnika skutecznie po dopuszczeniu się przez niego zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z Bankiem, o zamiarze przetwarzania dotyczących jego informacji stanowiących tajemnicę bankową, bez jego zgody po wygaśnięciu zobowiązań wynikających z przedmiotowych umów. Stwierdzić należy, że sam fakt, iż Uczestnik nie wykonał zobowiązania lub spóźnił się z jego wykonaniem co najmniej 60 dni, nie upoważnia Banku do przetwarzania jego danych na warunkach określonych w art. 105a ust. 3 Prawa bankowego. Moment, od którego należy liczyć sześćdziesięciodniowy termin, w którym osoba fizyczna dopuszcza się zwłoki w wykonaniu zobowiązania, to termin wykonania zobowiązania. Dopiero po upływie 60 dni zaczyna biec termin 30 dni od poinformowania tej osoby, w którym instytucja oczekuje jeszcze na wykonanie zobowiązania klienta. Termin 30 dni biegnie od momentu, w którym osoba fizyczna zostanie skutecznie poinformowana przez instytucję o zamiarze przetwarzania. Ostatecznie to bezskuteczny upływ 30 dni od momentu poinformowania - a nie zaś jak twierdzi Bank - nadania pisma z informacją - stanowi o wypełnieniu przesłanek z art. 105a ust. 3 Prawa bankowego. W niniejszej sprawie, Bank wskazał, że w piśmie z dnia [...].03.2021r. ([...]) - ostateczne wezwanie do zapłaty dot. umowy [...]; piśmie z dnia [...].03.2021 r. ([...]) - ostateczne wezwanie do zapłaty dot. umowy [...] oraz piśmie z dnia [...].03.2021 r. ([...]) - ostateczne wezwanie do zapłaty dot. umowy [...], na podstawie art. 105a ust. 3 Prawa bankowego, poinformował Uczestnika o kwotach zaległości z tytułu niedotrzymania warunków umowy oraz o zamiarze przetwarzania danych Uczestnika bez jego zgody. Wobec wysłania ww. oświadczeń listem poleconym, nie można jednak ustalić daty zapoznania się przez Uczestnika z przesłaną jemu informacją, a tym samym niemożliwe jest ustalenie daty, od której płynie 30 dniowy termin określony ww. przepisie. PUODO podziela w tym zakresie stanowisko jakie zostało wyrażone w wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie sygn. II SA/Wa 3584/21 z dnia 18 stycznia 2022r., w którym to Sąd wskazał, że cyt.: "poinformowanie adresata oświadczenia winno, z uwagi na wspomniany powyżej dodatkowy trzydziestodniowy termin na wykonanie zobowiązania, nastąpić w ten sposób, by można było ustalić początek biegu tego terminu. Dopiero bowiem bezskuteczny upływ owego trzydziestodniowego dodatkowego terminu upoważnia Bank do przetwarzania danych osobowych w oparciu o przepis art. 105a ust. 3 Prawa bankowego. Nadanie powiadomienia, o którym mowa w art. 105a ust. 3 ustawy - Prawo bankowe, listem poleconym nie pozwala - w okolicznościach niniejszej sprawy - na ustalenie początku biegu wskazanego terminu. Skoro to Bank wywodzi skutki prawne z powiadomienia strony o zamiarze przetwarzania jej danych osobowych stanowiących tajemnicę bankową bez jej zgody, to musi wykazać, że bezskutecznie upłynęło 30 dni od daty poinformowania strony o tym zamiarze. Wykazanie tej okoliczności wymaga jednak - co oczywiste - wykazania początku biegu owego trzydziestodniowego terminu". W związku z tym, jak wskazał PUODO Bank przetwarzając dane uczestnika na warunkach określonych w ww. przepisie, musi wykazać, że Uczestnik został poinformowany o zamiarze przetwarzania ich bez jego zgody. Bank zaś w swych wyjaśnieniach podnosił, że Uczestnik został skutecznie poinformowany o zamiarze przetwarzania jego danych osobowych na podstawie art. 105a ust. 3 Prawo bankowe. PUODO wskazał jednak, że brak jest innych dowodów, niż oświadczenie Banku, o wskazujących na prawidłowe poinformowanie Uczestnika o przetwarzaniu jego danych osobowych na podstawie art. 105 ust. 3 Prawo bankowe. Kolejno, jak wskazał PUODO w uzasadnieniu swej decyzji, Bank nie przedstawił skutecznych dowodów na doręczenie Uczestnikowi informacji zawartych w art. 105a ust. 3 Prawo bankowe. W związku z czym okoliczność skutecznego poinformowania Uczestnika o treści ww. przepisu nie może zostać uznana za udowodnioną. Dodatkowo należy podkreślić, że sporządzenie i wysłanie ww. pisma, nie jest równoznaczne z udowodnieniem jego prawidłowego doręczenia, skutkującego poinformowaniem Uczestnika o zamiarze przetwarzania danych stanowiących tajemnicę bankową, bez jego zgody na podstawie art. 105a ust. 3 Prawa bankowego. Samo bowiem oświadczenie o przygotowaniu i wysłaniu korespondencji wraz z kopią książki nadawczej oraz przedstawienie wydruków informacji pozyskanych ze strony internetowej, nie stanowią dowodu na dostarczenie korespondencji Uczestnikowi lub poinformowanie o jej treści Uczestnika. W tym miejscu należy wskazać, że przepisy powszechnie obowiązujące nie formułują obowiązku wysłania informacji, o której mowa w art. 105a ust. 3 Prawa bankowego w szczególnej formie. To do podmiotu informującego należy zatem wybór formy przekazania odbiorcy komunikatu, o zamiarze przetwarzania danych osobowych bez jego zgody. Jednocześnie to podmiot informujący wywodzi z powyższego skutki prawne, zatem to on musi wykazać, że poinformował Uczestnika o zamiarze przetwarzania danych stanowiących tajemnicę bankową, bez jego zgody na podstawie art. 105a ust. 3 Prawa bankowego, o tym że spełnione zostały wszystkie przesłanki z art. 105a ust. 3 Prawa bankowego. PUODO wskazał również, że podziela stanowisko wyrażone przez Naczelny Sąd Administracyjny w Warszawie w wyroku z dnia 7 sierpnia 2018r. sygn. I OSK 2123/16 gdzie wskazano, że mimo braku wyraźnego wskazania przez ustawodawcę szczególnych wymogów formalnych co do sposobu i treści poinformowania klienta lub byłego klienta banku, to jednak należy zwrócić uwagę na jego materialny a nie formalny charakter który wymaga w sposób kategoryczny "poinformowania" a nie "wysłania zawiadomienia". Podsumowując, jak wskazał PUODO, w niniejszej sprawie nie zostały spełnione przesłanki z art. 105a ust. 3 Prawa bankowego, zgodnie z którym Bank może przetwarzać informacje stanowiące tajemnicę bankową dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy bez ich zgody w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Prezes Urzędu Ochrony Danych Osobowych, w toku prowadzonego postępowania administracyjnego, również nie stwierdził okoliczności uprawniających Bank do przetwarzania danych osobowych Uczestnika w oparciu o ww. podstawę prawną w powyższym celu. Istotne w niniejszej sprawie jest, że zdaniem B., art. 105a ust. 3 Prawa bankowego nie ma zastosowania do przetwarzania danych osobowych osób fizycznych prowadzących działalność gospodarczą. Prezes Urzędu nie podziela powyższego stanowiska i uważa, że przepis art. 105a ust. 3 Prawa bankowego odnosi się do każdej osoby fizycznej, w tym także do osoby prowadzącej działalność gospodarczą. Powyższe stanowisko zostało również wyrażone w wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 28 lipca 2021r. sygn. II SA/Wa 158/21. W związku z powyższym w opinii PUODO stanowisko B., zgodnie z którym przepis art. 105a ust 3 Prawa bankowego odnosi się wyłącznie do możliwości przetwarzania przez banki informacji o wygasłych zobowiązaniach osób fizycznych, a nie przedsiębiorców, nie jest prawidłowe, nie znajduje bowiem podstaw w obowiązującym stanie prawnym. Jednocześnie wskazać należy, że w niniejszej sprawie przepis art. 105a ust. 3 Prawa bankowego nie może stanowić podstawy do przetwarzania danych Uczestnika w B. przez Bank z uwagi na niespełnienie wynikających z niego przesłanek. Należy jednak podkreślić, że Bank oświadczył, że spełnił wobec Uczestnika obowiązek informacyjny wynikający z art. 105 a ust. 3 Prawa bankowego, a zatem potwierdził, że taki obowiązek w ocenie Banku powinien zostać spełniony w stosunku do osoby fizycznej prowadzącej działalność gospodarczą. W opini PUODO nie może stanowić również w chwili obecnej przesłanki do przetwarzania danych Uczestnika w B. art. 105a ust. 2 Prawa bankowego. Bank nie wykazał uzyskania od Uczestnika pisemnej zgody na przetwarzanie jego danych po wygaśnięciu zobowiązania. Jak wykazano powyżej, Bank nie spełnił również przesłanek wynikających z art. 105a ust. 3 Prawa bankowego, które uprawniałyby go do przetwarzania danych osobowych Uczestnika po wygaśnięciu zobowiązania. Wobec powyższego w ocenie organu nadzorczego w przedmiotowej sprawie nie zostały spełnione przesłanki zarówno z art. 105a ust. 2, jak i z art. 105a ust. 3 Prawa bankowego, a zatem zasadnym jest nakazanie zaprzestania przetwarzania danych osobowych Uczestnika dotyczących: umowy o kredyt z dnia [...].08.2016 r., numer [...]; umowy o kredyt z dnia [...].10.2016 r., numer [...]; umowy o kredy z dnia [...].03.2017 r., numer [...] przez Bank w systemie B. w celu oceny zdolności kredytowej i analizy ryzyka kredytowego, wobec braku podstawy prawnej dla takiego przetwarzania. Postępowanie prowadzone przez PUODO służy zbadaniu zasadności skierowania pod adresem określonego podmiotu nakazu, odpowiadającego dyspozycji art. 58 ust. 2 RODO, służącego przywróceniu stanu zgodnego z prawem w procesie przetwarzania danych. Wobec powyższego korzystając z uprawnienia przewidzianego w art. 58 ust. 2 lit. c RODO, Prezes Urzędu Ochrony Danych Osobowych skierował do Banku nakazy zaprzestania przetwarzania danych osobowych Uczestnika dotyczących: umowy o kredyt z dnia [...].08.2016 r., numer [...]; umowy o kredyt z dnia [...].10.2016 r., numer [...] oraz umowy o kredy z dnia [...].03.2017 r., numer [...] w B. w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. W dniu [...] grudnia 2024r. B. (dalej: "Skarżący") złożył do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na decyzję Prezesa PUODO z dnia [...] listopada 2024r. Zaskarżonej decyzji zarzucił: 1. naruszenie prawa materialnego, tj.: 1. art. 105a ust. 2 i 3 ustawy z dnia 29 sierpnia 1997 r. - Prawo bankowe (t.j. Dz. U. z 2024 r. poz. 1646, dalej: "Prawo bankowe") poprzez jego błędną wykładnię i przyjęcie, że w zakresie podmiotowym pojęcia "osób fizycznych" użytego we wskazanym przepisie, znajdują się osoby fizyczne prowadzące działalność gospodarczą, a w konsekwencji przyjęcie, że Bank miał obowiązek wypełnić przesłanki legalizujące przetwarzanie danych osobowych, wskazane w przepisie art. 105a ust. 2 i 3 Prawa bankowego, aby legalnie przetwarzać dane Uczestnika 2 (w tym udostępnić je B.), podczas gdy z prawidłowej wykładni przepisu art. 105a ust. 2 i 3 Prawa bankowego wynika, że ma on zastosowanie wyłącznie do osób fizycznych - konsumentów; 2. art. 6 ust. 1 lit. c) rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. U. UE. L. z 2016 r. Nr 119, str. 1 z późn. zm., dalej jako RODO) w zw. z art. 105 ust. 1 pkt. 1c w zw. z art. 105 ust. 4 i w zw. z art. 105a w zw. z art. 70 i art. 5 ust. 1 pkt. 3 Prawa bankowego poprzez jego niezastosowanie i w konsekwencji nakazanie zaprzestania przetwarzania danych osobowych Uczestnika w bazie B. w celu oceny zdolności kredytowej i analizy ryzyka kredytowego, podczas gdy Skarżący jako administrator danych przetwarzanych w systemie B. jest ustawowo zobowiązany do realizacji obowiązku prawnego wynikającego z ww. przepisów polegającego na gromadzeniu, przetwarzaniu i udostępnianiu bankom oraz podmiotom szczegółowo wskazanym w przepisie informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych w postaci oceny zdolności kredytowej oraz analizy ryzyka kredytowego konkretnego klienta (indywidualna ocena zdolności kredytowej) oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 575/2013 z dnia 26 czerwca 2013 r. w sprawie wymogów ostrożnościowych dla instytucji kredytowych i firm inwestycyjnych, zmieniające rozporządzenie (UE) nr 648/2012 (dalej jako: rozporządzenia nr 575/2013); ewentualnie, na wypadek nieuwzględnienia ww. zarzutu, zarzucam naruszenie art. 6 ust. 1 lit. f) RODO poprzez jego niezastosowanie wskutek przyjęcia, że Skarżący nie posiada podstawy prawnej przetwarzania danych Banku podczas gdy Skarżący, jako administrator danych przetwarzanych w systemie B., posiada podstawę prawną przetwarzania danych Uczestnika w postaci niezbędności przetwarzania dla realizacji prawnie uzasadnionych interesów administratora oraz podmiotów trzecich wskazanych wart. 105 ust. 4 pkt. 1-5 Prawa bankowego, w postaci realizacji obowiązku gromadzenia, przetwarzania oraz udostępnienia bankom oraz podmiotom wskazanym w ww. przepisie informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych w postaci oceny zdolności kredytowej oraz analizy ryzyka kredytowego konkretnego klienta (indywidualna ocena zdolności kredytowej) oraz w celu budowy i utrzymania modeli scoringowych, a więc narzędzi wykorzystywanych przez banki do oceny zdolności kredytowej i analizy ryzyka kredytowego oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013; 2. naruszenie prawa procesowego, mającego istotny wpływ na wynik sprawy, tj.: 2.1 art. 7, w zw. z art. 77 § 1 iw zw. z art. 80 w zw. z art. 107 § 3 KPA w zw. z art. 7 ust. 1 UODO, poprzez niewyczerpujące zebranie, nierozpatrzenie i błędną ocenę całokształtu materiału dowodowego przejawiającego się w zaniechaniu dokonania wyczerpującej analizy charakteru, zakresu oraz celów gospodarczo - ekonomicznych dla jakich zostało powołane [...] S.A. oraz obowiązków prawnych i obowiązków wynikających z zawartych przez B. umów z bankami, skutkującą wadliwą i niepełną oceną stanu faktycznego sprawy oraz charakteru działania Skarżącego jako administratora danych osobowych przetwarzanych w systemie B., co w konsekwencji skutkowało nieuzasadnionym wydaniem przez Organ nakazu zaprzestania przetwarzania danych osobowych Uczestnika w bazie B.; 2.2 art. 7, w zw. z art. 77 § 1 w zw. z art. 80 KPA poprzez: 2.2.1. niezbadanie przez Organ wszystkich podstaw prawnych dalszego przetwarzania danych o spłaconych (terminowo oraz nieterminowo) zobowiązaniach klientów banków, pomimo, iż przepisy prawa upoważniają Skarżącego do przetwarzania tych danych, co w konsekwencji doprowadziło do błędnego nakazania Bankowi zaprzestania przetwarzania danych osobowych Uczestnika w bazie B. wobec błędnego przyjęcia przez Organ braku istnienia podstawy prawnej do przetwarzania danych, 2.2.2 brak wyczerpującej analizy stanu prawnego istotnego dla okoliczności sprawy, w szczególności z uwagi na brak analizy celowościowej, systemowej i historycznej art. 105a Prawa bankowego poprzez ograniczenie się wyłącznie do językowej wykładni przepisu, poprowadzonej przez pryzmat definicji danych osobowych z art. 4 pkt 1) RODO; Wniósł o: 1. uchylenie zaskarżonej decyzji w całości na podstawie art. 145 § 1 pkt. 1 lit. a i c p.p.s.a 2. zasądzenie od organu na rzecz Skarżącego zwrotu kosztów postępowania według norm przepisanych, w tym kosztów zastępstwa procesowego (w tym zwrotu opłaty skarbowej od pełnomocnictwa w kwocie 17 zł), na podstawie art. 200 p.p.s.a 3. o wstrzymanie wykonania zaskarżonej decyzji. Skarżący w uzasadnieniu skargi szeroko oraz szczegółowo omówił wskazane w petitum skargi zarzuty. PUODO w odpowiedzi na skargę wniósł o jej oddalenie. Wojewódzki Sąd Administracyjny zważył co następuje: Skarga nie zasługuje na uwzględnienie albowiem zaskarżona decyzja nie narusza prawa. Organ nie naruszył w tej sprawie przepisów k.p.a., które miałyby wpływ na wynik sprawy, jak również nie naruszył przepisów prawa materialnego. Wszystkie zarzuty skargi Sąd uznał za nietrafne. Sąd podzielił argumentację Prezesa Urzędu Ochrony Danych Osobowych przedstawioną w zaskarżonej decyzji i stanowisko organu zgodnie z którym, brak było podstaw do przetwarzania danych osobowych K. D. przez Bank po wygaśnięciu zobowiązania wynikającego z umowy, bez jego zgody, w celu oceny zdolności kredytowej i analizy ryzyka kredytowego (w tym udostępnienia ich B. S.A.). W sprawie nie było kwestionowane przez organ, że przetwarzanie dotyczyło danych osoby fizycznej prowadzącej działalność gospodarczą, po wygaśnięciu zobowiązań. Wynikało to wprost już z samej skargi Uczestnika postępowania złożonej do organu z dnia [...] listopada 2021 r., gdzie wprost wskazano, że był klientem [...] Bank w którym posiadał kilka kredytów. Jak nadmienił nie spłacał ich terminowo, jednakże w maju 2021 r. udało mu się spłacić wszystkie zaciągnięte w tym banku kredyty. Uczestnik złożył więc do Banku pismo o wycofaniu wszelkich zgód oraz poprosił o aktualizację rejestrów bankowych. Zdaniem Sądu, w stanie faktycznym tej sprawy, zasadnie organ stwierdził, że nie zostały spełnione przesłanki warunkujące dopuszczalność przetwarzania danych osobowych K. D. po wygaśnięciu zobowiązania w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Trafnie organ wskazał, że przesłanki takiej nie stanowi w tej sprawie art. 105a ust. 3 Prawa bankowego. W tym miejscu należy wyjaśnić, że zgodnie z art. 105a ust.2 prawa bankowego, z zastrzeżeniem ust. 3, instytucje, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową oraz informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, w zakresie dotyczącym osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, pod warunkiem uzyskania pisemnej zgody osoby, której informacje te dotyczą, z zastrzeżeniem ust. 2a. Zgoda ta może być w każdym czasie odwołana. W sprawie jest bezsporne, że zgoda została przez Uczestnika odwołana. Stosownie zaś do art. 105a ust. 3 Prawa bankowego, banki, instytucje oraz podmioty, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową i informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank, inną instytucję ustawowo upoważnioną do udzielania kredytów, instytucję pożyczkową albo podmiot, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, o zamiarze przetwarzania dotyczących jej tych informacji, bez jej zgody. Zasadnie organ stwierdził, że także ten przepis nie stanowił przesłanki warunkującej dopuszczalność przetwarzania danych osobowych K. D. po wygaśnięciu zobowiązań albowiem, jak wskazał organ, Bank nie przedstawił dowodu na prawidłowe doręczenie K. D. dokumentu, w którego treści zawarta była informacja o okolicznościach wskazanych w art. 105a ust. 3 Prawa bankowego. Jak wskazał Naczelny Sąd Administracyjny w wyroku z dnia 7 sierpnia 2018 r. "ze względu na konstrukcję przepisu art. 105a ust. 3 Prawa bankowego, to na Banku ciążył obowiązek wykazania spełnienia przesłanek umożliwiających zastosowanie tej regulacji. Dopuszczalność przetwarzania danych osobowych na podstawie tego przepisu, obwarowana jest spełnieniem kilku przesłanek. W sprawie sporna była jedynie przesłanka poinformowania Uczestnika przez Bank o zamiarze przetwarzania dotyczących jego danych, bez jego zgody. Ustawodawca nie stworzył w tym zakresie żadnych szczególnych wymogów formalnych co do sposobu i treści takiego poinformowania klienta lub byłego klienta banku. Nie oznacza to jednak całkowitej dowolności w tym zakresie. Jakkolwiek ustawodawca w żaden sposób nie ograniczył sposobów i form takiego zawiadomienia, jednakże w każdym wypadku sposób ten powinien umożliwić zweryfikowanie faktu poinformowania klienta banku o zamierzonym przetwarzaniu jego danych osobowych lub też przynajmniej potwierdzenie, że klientowi umożliwiono zapoznanie się z taką informacją. W tym zakresie nie mogą mieć miejsca jakiekolwiek domniemania faktyczne. Żaden z dowodów przedstawionych przez Bank nie potwierdziły by uczestnik otrzymał informację o zamiarze przetwarzania jego danych. Informacje o dokonaniu wysyłki takiej wiadomości nie mogą stanowić o uczynieniu zadość obowiązkowi z art. 105a ust. 3 Prawa bankowego." Przenosząc powyższe na grunt niniejszej sprawy należy wskazać, że Prezes PUODO prawidłowo ustalił, że zobowiązania Uczestnika, wynikające z umowy o kredyt z dnia [...].08.2016 r., numer [...]; umowy o kredyt z dnia [...].10.2016 r" numer [...] oraz umowy o kredy z dnia [...].03.2017 r., numer [...] wobec Banku wygasły [...] maja 2021 r., to jak wynika ze zgromadzonego materiału dowodowego odnośnie spłaty zadłużenia, Skarżący dopuścił się zwłoki trwającej dłużej niż 60 dni w przypadku ww. zobowiązań. Jednak w celu dalszego przetwarzania danych osobowych Uczestnika Bank winien spełnić wobec Uczestnika obowiązek określonego w art. 105a ust. 3 Prawa bankowego, tj. poinformować Uczestnika skutecznie po dopuszczeniu się przez niego zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z Bankiem, o zamiarze przetwarzania dotyczących jego informacji stanowiących tajemnicę bankową, bez jego zgody po wygaśnięciu zobowiązań wynikających z przedmiotowych umów. Sąd podziela w pełni stanowisko organu, że sam fakt, iż Uczestnika nie wykonał zobowiązania lub spóźnił się z jego wykonaniem co najmniej 60 dni, nie upoważnia Banku do przetwarzania jego danych na warunkach określonych w art. 105a ust. 3 Prawa bankowego. Moment, od którego należy liczyć sześćdziesięciodniowy termin, w którym osoba fizyczna dopuszcza się zwłoki w wykonaniu zobowiązania, to termin wykonania zobowiązania. Dopiero po upływie 60 dni zaczyna biec termin 30 dni od poinformowania tej osoby, w którym instytucja oczekuje jeszcze na wykonanie zobowiązania klienta. Termin 30 dni biegnie od momentu, w którym osoba fizyczna zostanie skutecznie poinformowana przez instytucję o zamiarze przetwarzania jej danych. Ostatecznie to bezskuteczny upływ 30 dni od momentu poinformowania stanowi o wypełnieniu przesłanek z art. 105a ust. 3 Prawa bankowego. W niniejszej sprawie Bank wystosował co prawda do Uczestnika ostateczne wezwania do zapłaty, na podstawie art. 105a ust. 3 Prawa bankowego, poinformował Skarżącego o kwotach zaległości z tytułu niedotrzymania warunków umowy oraz o zamiarze przetwarzania danych Skarżącego bez jego zgody. Oświadczenia Banku wysłane zostały listem poleconym. Jak wskazał Wojewódzki Sad Administracyjny w Warszawie w yroku z dnia 18 stycznia 2022 r. " Nadanie powiadomienia, o którym mowa w art. 105a ust. 3 ustawy - Prawo bankowe, listem poleconym nie pozwala - w okolicznościach niniejszej sprawy - na ustalenie początku biegu wskazanego terminu. Skoro to Bank wywodzi skutki prawne z powiadomienia strony o zamiarze przetwarzania jej danych osobowych stanowiących tajemnicę bankową bez jej zgody, to musi wykazać, że bezskutecznie upłynęło 30 dni od daty poinformowania strony o tym zamiarze. Wykazanie tej okoliczności wymaga jednak - co oczywiste - wykazania początku biegu owego trzydziestodniowego terminu" (II SA/Wa 3584/21 - Wyrok WSA w Warszawie z 2022-01-18 (nsa.gov.pl)). Reasumując Sąd podziela stanowisko organu, że poinformowanie adresata oświadczenia winno, z uwagi na wspomniany powyżej dodatkowy trzydziestodniowy termin na wykonanie zobowiązania, nastąpić w ten sposób, by można było ustalić początek biegu tego terminu. Dopiero bowiem bezskuteczny upływ owego trzydziestodniowego dodatkowego terminu upoważnia Bank do przetwarzania danych osobowych w oparciu o przepis art. 105a ust. 3 Prawa bankowego. W niniejszej sprawie nie można ustalić początku biegu trzydziestodniowego terminu w związku z tym należy uznać, że art. 105a ust. 3 Prawa bankowego nie mógł stanowić podstawy do przetwarzania danych osobowych uczestnika postepowania. Podkreślić również należy, że przepis art. 105a ust. 3 Prawa bankowego odnosi się do każdej osoby fizycznej, w tym także tej prowadzącej działalność gospodarczą. Brzmienie powołanego przepisu nie wyklucza jego stosowania do osób fizycznych prowadzących działalność gospodarczą. Fakt prowadzenia działalności gospodarczej nie pozbawia osoby fizycznej na gruncie RODO, ochrony jaka przewidziana została w tym akcie prawnym. Wykładany przez organ przepis art. 105 ust. 3a Prawa bankowego nie może być interpretowany w sposób, który wyklucza realizację przez banki i inne instytucje obowiązków w nim przewidzianych, wobec osób fizycznych prowadzących działalność gospodarczą. Interpretacja powołanych przepisów, czyniąca dopuszczalne przetwarzanie po wygaśnięciu zobowiązania, danych osobowych osoby fizycznej prowadzącej działalność gospodarczą, bez jej zgody i bez spełnienia wymogów z art. 105a ust. 3 Prawa bankowego, pozostawiałaby te osoby fizyczne poza ramami RODO. Okoliczność, że zdaniem B. art. 105a ust. 3 nie powinien mieć zastosowania do osób fizycznych prowadzących działalność gospodarczą, nie zmienia prawidłowości dokonanej w tej sprawie przez organ wykładni tego przepisu w jego obecnym brzmieniu, w czasie, gdy obowiązuje RODO. Gdyby intencją ustawodawcy było, aby ww. przepis prawa bankowego nie dotyczył osób fizycznych prowadzących działalność gospodarczą, to dałby temu wyraz poprzez jednoznaczne tego wskazanie, tak jak zrobił to w przypadku przepisów dotyczących przedsiębiorców, w których wprost wskazuje na to, że dotyczą one przedsiębiorców. Tymczasem Prawo bankowe definiuje pojęcie przedsiębiorcy poprzez odesłanie w art. 4 ust. 1 pkt 16a do przepisów ustawy z dnia 6 marca 2018 r. - Prawo przedsiębiorców (Dz. U. z 2019 r. poz. 1292 i 1495 oraz z 2020 r. poz. 424 i 1086). Tym bardziej więc zasadne jest stanowisko Prezesa UODO, iż w pojęciu osoby fizycznej, którym posłużono się w art. 105a ust. 3 Prawa bankowego, znajduje się również osoba fizyczna prowadząca działalność gospodarczą. Mając powyższe na uwadze, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (tekst jednolity Dz. U. z 2024 r., poz. 935 ze zm.), orzekł jak w sentencji.