II SA/Wa 100/25

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Izabela Głowacka-Klimas, Sędzia WSA Joanna Kube (spr.), Asesor WSA Anna Pośpiech-Kłak, Protokolant specjalista Joanna Głowala po rozpoznaniu na rozprawie w dniu 25 listopada 2025 r. sprawy ze skargi [...] Bank [...] z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] listopada 2024 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę Prezes Urzędu Ochrony Danych Osobowych (dalej: "Prezes UODO", "organ") decyzją z dnia [...] listopada 2024 r. nr [...], na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2024 r. poz. 572; dalej: "k.p.a."), w zw. z art. 7 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. z 2019 r. poz. 1781; dalej: "u.o.d.o."), art. 6 ust. 1 i art. 58 ust. 2 lit. c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.Urz. UE L 119 z dnia 4 maja 2016 r., str. 1, Dz.Urz. UE L 127 z 23 maja 2018 r., str. 2 oraz Dz.Urz. UE L 74 z 4 marca 2021 r., str. 35; dalej: "RODO"), po przeprowadzeniu postępowania administracyjnego w sprawie skargi P. M. (dalej: "skarżący"), prowadzącego działalność gospodarczą pod firmą P. M. - Firma "[...]", na nieprawidłowości w procesie przetwarzania jego danych osobowych przez [...] Bank Polska S.A. z siedzibą w [...] (dalej: "Bank"), polegające na ich udostępnieniu do Biura Informacji Kredytowej S.A. z siedzibą w Warszawie (dalej: "BIK"), nakazał Bankowi zaprzestanie przetwarzania danych osobowych P. M., prowadzącego działalność gospodarczą pod firmą P. M. - Firma "[...]", dotyczących umowy kredytowej numer [...] z dnia [...] grudnia 2017 r., przetwarzanych bez podstawy prawnej po wygaśnięciu zobowiązania w bazie Biura Informacji Kredytowej S.A. z siedzibą w Warszawie, w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. W uzasadnieniu decyzji Prezes UODO stwierdził, że przeprowadzone w sprawie postępowanie wykazało, iż zobowiązanie skarżącego wobec Banku, wynikające z umowy kredytu z dnia [...] grudnia 2017 r. aneksowanej w dniu [...] czerwca 2018 r., wygasło w dniu [...] września 2021 r. Skarżący podniósł, że okoliczności wskazywane w art. 105a ust. 3 Prawa bankowego nie zostały spełnione, w związku z czym Bank nie był uprawniony do przetwarzania jego danych osobowych w BIK. Bank wskazał, że nie przetwarza danych osobowych skarżącego na podstawie art. 105a ust. 3 Prawa bankowego i nie przedstawił dowodów na spełnienie obowiązków wynikających z powyższego przepisu. W przedmiotowej sprawie nie ma zatem dowodu na to, że Bank spełnił wobec skarżącego obowiązek określony w art. 105a ust. 3 Prawa bankowego, tj. skutecznie poinformował skarżącego o zamiarze przetwarzania informacji jego dotyczących, stanowiących tajemnicę bankową, bez jego zgody, po wygaśnięciu zobowiązania wynikającego z ww. umowy. W ocenie Prezesa UODO, stanowisko Banku i BIK, zgodnie z którym przepis art. 105a ust. 3 Prawa bankowego odnosi się wyłącznie do możliwości przetwarzania przez banki informacji o wygasłych zobowiązaniach osób fizycznych, a nie przedsiębiorców, nie jest prawidłowe, nie znajduje bowiem podstaw w obowiązującym stanie prawnym. Jednocześnie organ wskazał, że w przedmiotowej sprawie przepis art. 105a ust. 3 Prawa bankowego nie może stanowić podstawy do przetwarzania danych skarżącego w BIK przez Bank, z uwagi na niespełnienie przesłanek, które uprawniałyby go do przetwarzania danych osobowych skarżącego po wygaśnięciu zobowiązania. W opinii Prezesa UODO, art. 105a ust. 2 Prawa bankowego nie może stanowić - również w chwili obecnej - przesłanki do przetwarzania danych skarżącego w BIK. Bank nie wykazał bowiem uzyskania od skarżącego pisemnej zgody na przetwarzanie jego danych po wygaśnięciu zobowiązania. Wobec powyższego - w ocenie organu nadzorczego - w przedmiotowej sprawie nie zostały spełnione przesłanki zarówno z art. 105a ust. 2, jak i z art. 105a ust. 3 Prawa bankowego, a zatem zasadnym było nakazanie zaprzestania przetwarzania danych osobowych skarżącego dotyczących umowy kredytowej z dnia [...] grudnia 2017 r. przez Bank w systemie BIK, w celu oceny zdolności kredytowej i analizy ryzyka kredytowego, wobec braku podstawy prawnej dla takiego przetwarzania. Organ stwierdził, że postępowanie administracyjne - prowadzone przez Prezesa UODO - służy kontroli zgodności przetwarzania danych osobowych z przepisami o ochronie danych osobowych i jest ukierunkowane na wydanie decyzji administracyjnej na podstawie art. 58 ust. 2 RODO. W ocenie organu, Bank nie wykazał podstawy prawnej do dalszego przetwarzania danych osobowych skarżącego po wygaśnięciu jego zobowiązania wobec Banku, dlatego, korzystając z uprawnienia przewidzianego w art. 58 ust. 2 lit. c RODO, organ nakazał Bankowi zaprzestanie przetwarzania danych osobowych skarżącego, przetwarzanych w związku z umową z dnia [...] grudnia 2017 r. aneksowaną w dniu [...] czerwca 2018 r. w systemie BIK, w celu oceny zdolności kredytowej i analizy ryzyka kredytowego, wobec braku podstawy prawnej dla takiego przetwarzania. Bank, pismem z dnia [...] grudnia 2024 r., skierował skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na decyzję z dnia [...] listopada 2024 r., nr [...] zaskarżając ją w całości. Zaskarżonej decyzji zarzucił: 1. naruszenie przepisów prawa materialnego mające istotny wpływ na wynik sprawy: a) art. 105a ust. 3 Prawa bankowego w zw. z art. 6 ust. 1 lit. f) RODO poprzez jego niewłaściwą interpretację i przyjęcie, iż poinformowanie klienta o zamiarze przetwarzania jego danych osobowych w związku z zaległością jest obowiązkiem banku warunkującym przetwarzanie danych skarżącego, podczas gdy wykładnia tego przepisu nie pozostawia wątpliwości, iż dotyczy on wyłącznie konsumentów, a nie znajduje zastosowania do przedsiębiorców; - art. 58 ust. 2 lit. b w zw. z art. 6 ust. 1 lit. f) RODO, poprzez niewłaściwe zastosowanie i przyjęcie, iż w niniejszej sprawie przetwarzanie danych skarżącego miało miejsce bez podstawy prawnej i w konsekwencji nieprawidłowe nałożenie na Bank kary administracyjnej w postaci upomnienia, podczas gdy przetwarzanie danych oparte jest na prawnie uzasadnionym interesie Banku; 2. Wnoszący skargę zarzucił również naruszenie prawa procesowego w sposób mający istotny wpływ na wynik sprawy, w szczególności: a) art. 7, art. 77 § 1 oraz art. 80 k.p.a. poprzez: - nieprzeprowadzenie dowodów wnioskowanych przez Bank w treści pisma z dnia [...] maja 2022 r., - brak wszechstronnego i dogłębnego rozważenia wszystkich okoliczności faktycznych sprawy, wybiórcze gromadzenie i weryfikowanie dowodów, zastąpienie swobodnej oceny dowodów całkowitą dowolnością skutkujące błędem w ustaleniach faktycznych poprzez przyjęcie, iż Bank nie dokonał skutecznego powiadomienia skarżącego postępowania, o którym mowa w art. 105a ust. 3 Prawa bankowego, podczas gdy powiadomienie takie miało miejsce przy złożeniu przez skarżącego dyspozycji wycofania zgody na przetwarzanie jego danych w BIK w dniu [...] października 2021 r., a pod treścią informacji podpisał się skarżący osobiście, a w konsekwencji błędne przyjęcie, iż niespełnione zostały przesłanki wskazane w art. 105a ust. 3 Prawa bankowego i brak jest podstawy przetwarzania danych osobowych skarżącego, - poprzez nierozpoznanie sprawy w całokształcie wszystkich jej okoliczności faktycznych i prawnych, w szczególności niedostateczną weryfikację faktu poinformowania skarżącego, o którym mowa w art. 105a ust. 3 Prawa bankowego; b) art. 124 § 2 k.p.a. poprzez nie zawarcie w uzasadnieniu zaskarżonej decyzji uzasadnienia faktycznego obejmującego wskazanie faktów, które organ uznał za udowodnione, dowodów, na których się oparł oraz przyczyn, z powodu których innym dowodom odmówił wiarygodności i mocy dowodowej, w szczególności w zakresie wyjaśnień Banku co do powiadomienia skarżącego, o którym mowa w art. 105a ust. 3 Prawa bankowego; c) art. 8 k.p.a. i 11 k.p.a. poprzez prowadzenie przedmiotowego postępowania w sposób niezgodny z zasadą przekonywania i pogłębiania zaufania do organów administracji, przejawiające się w: - zaniechaniu pełnego uzasadnienia decyzji, - nieustosunkowaniu się organu do podniesionych twierdzeń i dowodów Banku; d) art. 107 k.p.a. poprzez ograniczenie uzasadnienia decyzji i nie odniesienie się do wszystkich twierdzeń Banku oraz dokumentów przedłożonych w toku postępowania. Powołując się na tak sformułowane zarzuty, Bank wniósł o uchylenie zaskarżonej decyzji w całości, zasądzenie od organu zwrotu kosztów postępowania według norm przepisanych, w tym kosztów zastępstwa procesowego oraz opłaty skarbowej od pełnomocnictwa według norm przepisanych. Na podstawie art. 106 § 3 p.p.s.a. wnioskował o przeprowadzenie dowodu z dołączonych do skargi dokumentów, tj. dyspozycji wycofania zgody na przetwarzanie danych zawierającą informację, o której mowa w art. 105a ust. 3 Prawa bankowego, na fakt: powiadomienia skarżącego, o którym mowa w art. 105a ust. 3 Prawa bankowego. W obszernym uzasadnieniu skargi Bank rozwinął argumentację sformułowaną na rzecz postawionych w niej zarzutów. Bank podniósł, że art. 105a ust. 3 Prawa bankowego nie znajduje zastosowania do przedsiębiorców, bowiem zgodnie z wykładnią dokonaną przez Ministerstwo Finansów oraz treścią uzasadnienia do projektu ustawy z dnia 26 stycznia 2007 r. o zmianie ustawy - Prawo bankowe, usunięcie słowa "konsument" nie spowodowało rozszerzenia dotychczasowego zakresu podmiotowego tego przepisu (Rządowy projekt ustawy o zmianie ustawy - Prawo bankowe, druk nr 1240 wpłynął 12-12-2006, źrodło: https://orka.seim.gov.pl/proc5.nsf/opisv/1240.htm.). Treść uzasadnienia projektu ustawy w tym zakresie została uzupełniona stanowiskiem Ministerstwa Finansów, które wskazało, że "intencją zmian polegających na wykreśleniu odesłania do pojęcia "konsument" w art. 105a ustawy - Prawo bankowe było jednoznaczne przesądzenie, że przetwarzanie danych stanowiących tajemnicę bankową na podstawie ww. przepisów, dotyczy wszystkich umów kredytu zawieranych przez bank (i inne instytucje ustawowo upoważnione do udzielania kredytów) z osobami fizycznymi, bez ograniczania do umów o kredyt konsumencki, o którym mowa w ustawie o kredycie konsumenckim. Tym samym wprowadzone zmiany nie oznaczały rozszerzenia dotychczasowego zakresu podmiotowego art. 105a ustawy - Prawo bankowe, dotyczącego osób fizycznych. Ponadto – w ocenie Banku - zgodnie z rozporządzeniem Ministra Finansów z dnia 27 marca 2007 r., wydanym na podstawie art. 105a ust. 7 ustawy - Prawo bankowe (Dz. U. Nr 56, poz. 373), szczegółowy zakres przetwarzanych informacji po wygaśnięciu zobowiązania, wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, obejmuje dane dotyczące osoby fizycznej, bez określenia danych, które dotyczą osoby fizycznej prowadzącej działalność gospodarczo (np. REGON)" - pismo z dnia 10 września 2013 r., wydane przez: Ministerstwo Finansów, FN/FN1/033/A/1//OLT/RD-93398/2013, Zakres podmiotowy art. 105a prawa bankowego, M.Pr.Bank. 2014, nr 6, str. 4-6. Minister Finansów, jako organ administracji rządowej, odpowiedzialny za obszar instytucji finansowych i wprowadzający do porządku prawnego art. 105a Prawa bankowego w 2005 r. oraz jego nowelizację w 2007 r., jest organem właściwym do przedstawienia wykładni prawa w przypadku jakichkolwiek wątpliwości interpretacyjnych. Powyższe, zdaniem Banku, prowadzi do wniosku, że organ stosując art. 105a ust. 3 Prawa bankowego całkowicie pomija wykładnię autentyczną, historyczną i celowościową ww. przepisu. Dodatkowo zauważył, że również orzecznictwo sądowe i nauka prawa podzielają argumentację Banku, gdzie jednolicie przyjmuje się zastosowanie art. 105a ust. 3 Prawa bankowego wyłącznie do konsumentów (por. m.in. wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 18 stycznia 2022 r., sygn. akt II SA/Wa 3584/21; wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 4 października 2022 r., sygn. akt II SA/Wa 701/22; A. Żygadło, Przetwarzanie informacji stanowiących tajemnicę bankową po wygaśnięciu zobowiązania, Pr. Bankowe 2006, nr 4, s. 83). Według Banku, organ błędnie ustalił stan faktyczny oraz w wyniku wadliwego postępowania dowodowego i dowolnej oceny materiału dowodowego przyjął, że nie doszło do skutecznego powiadomienia skarżącego, o którym mowa w art. 105a ust. 3 Prawa bankowego, podczas gdy skarżący własnoręcznie podpisał dyspozycję cofnięcia zgody zawierającej informację, o której mowa w art. 103a ust. 3 Prawa bankowego. Na wypadek nie podzielenia przez Sąd stanowiska Banku, z daleko posuniętej ostrożności procesowej wskazano, że Bank pomimo braku takiego obowiązku powiadomił klienta zgodnie z dyspozycją art. 105 ust. 3 Prawa bankowego w związku z wycofaniem przez niego zgody na przetwarzanie jego danych osobowych po wygaśnięciu zobowiązania. Organ w wyniku swoich działań oraz zaniechań w związku z prowadzonym postępowaniem w niniejszej sprawie, a także wskutek wadliwej oceny faktów i zgromadzonego materiału przyjął, że nie doszło do skutecznego powiadomienia skarżącego, o którym mowa w art. 105a ust. 3 Prawa bankowego. Wyjaśniono, że skarżący zgłosił w Banku dwie dyspozycje cofnięcia zgody na przetwarzanie danych dot. jego zobowiązań po ich wygaśnięciu. Podkreślono, że realizował takie zlecenie poprzez wypełnienie i podpisanie formularza bankowego przewidzianego dla takiej sytuacji w dniu [...] października 2021 r. Zwrócono uwagę, że skarżący, wypełniając formularz udostępniony przez Bank, został powiadomiony o możliwości przekazania jego danych osobowych do BIK na podstawie art. 105a Prawa bankowego bez zgody klienta w przypadku, gdy klient opóźniał się ponad 60 dni ze spłatą zobowiązania wobec Banku i upłynęło 30 dni od powiadomienia go o tym fakcie. Pouczenie na formularzu zawiera także dodatkową informację dla osoby, która składa taką dyspozycję o treści: "W związku z powyższym, jeśli spełnia Pani/Pan ww. warunki, to dyspozycja odwołania zgody na przetwarzanie danych po wygaśnięciu zobowiązania zostanie wykonana, ale nie spowoduje zaprzestania ich przetwarzania". Według Banku, treść załączonych do skargi dyspozycji skarżącego stanowi powiadomienie, o którym mowa w treści art. 103a ust. 3 Prawa bankowego. Co więcej, informacja ta jest szersza niż wymaga tego Prawo bankowe i jasno wskazuje, że wycofanie zgody na przetwarzanie danych o zobowiązaniu po jego wygaśnięciu nie spowoduje zaprzestania ich przetwarzania. Powyższe podważa ustalenia organu, który przyjął, iż Bank nie powiadomił skarżącego o możliwości przetwarzania jego danych bez jego zgody na podstawie art. 105a ust. 3 Prawa bankowego. W odpowiedzi na skargę Prezes UODO wniósł o jej oddalenie, podtrzymując stanowisko wyrażone w uzasadnieniu zaskarżonej decyzji. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje. Zgodnie z art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (Dz.U. z 2024 r. poz. 1267), sąd administracyjny sprawuje wymiar sprawiedliwości poprzez kontrolę pod względem zgodności z prawem skarżonej decyzji administracyjnej. Jest więc to kontrola legalności rozstrzygnięcia zapadłego w postępowaniu administracyjnym, z punktu widzenia jego zgodności z prawem materialnym i procesowym. Oceniając przedmiotową decyzję według powyższych kryteriów, uznać należy, iż nie narusza ona prawa. Biorąc pod uwagę prawidłową wykładnię i zastosowanie przez Prezesa UODO przepisów RODO, w tym art. 6 ust. 1 RODO w związku z art. 105a ust. 3 Prawa bankowego, organ nie naruszył w tej sprawie również przepisów k.p.a., które miałyby wpływ na wynik sprawy. Wszystkie zarzuty skargi Sąd uznał za nietrafne. Sąd podzielił argumentację Prezesa UODO, przedstawioną w zaskarżonej decyzji i stanowisko organu, zgodnie z którym, brak było podstaw do przetwarzania danych osobowych P. M. przez Bank po wygaśnięciu zobowiązania wynikającego z umowy, bez jego zgody, w celu oceny zdolności kredytowej i analizy ryzyka kredytowego (w tym udostępnienia ich BIK). Przy czym, w sprawie nie było kwestionowane przez organ, że przetwarzanie dotyczyło danych osoby fizycznej prowadzącej działalność gospodarczą, po wygaśnięciu zobowiązania. Trafnie organ wskazał, że przesłanki takiej nie stanowi w tej sprawie art. 105a ust. 2 Prawa bankowego, który wymaga zgody osoby fizycznej, ani art. 105a ust. 3 Prawa bankowego. Zgodnie z pierwszym z powołanych przepisów, tj. art. 105a ust. 2 Prawa bankowego, z zastrzeżeniem ust. 3, instytucje, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową oraz informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, w zakresie dotyczącym osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, pod warunkiem uzyskania pisemnej zgody osoby, której informacje te dotyczą, z zastrzeżeniem ust. 2a. Zgoda ta może być w każdym czasie odwołana. W przedmiotowej sprawie zgody takiej Bank nie uzyskał. Stosownie zaś do art. 105a ust. 3 Prawa bankowego, banki, instytucje oraz podmioty, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową i informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank, inną instytucję ustawowo upoważnioną do udzielania kredytów, instytucję pożyczkową albo podmiot, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, o zamiarze przetwarzania dotyczących jej tych informacji, bez jej zgody. Zasadnie również organ stwierdził, że przepis art. 105a ust. 3 Prawa bankowego nie stanowił przesłanki warunkującej dopuszczalność przetwarzania danych osobowych skarżącego po wygaśnięciu zobowiązania, albowiem Bank nie przedstawił dowodu na doręczenie mu dokumentu, w którego treści zawarta była informacja o okolicznościach wskazanych w art. 105a ust. 3 Prawa bankowego. W sprawie nie było kwestionowane przez organ, że przetwarzanie dotyczyło danych osoby fizycznej prowadzącej działalność gospodarczą, po wygaśnięciu zobowiązania. Sąd przychylił się do stanowiska Prezesa UODO, że przepis art. 105a ust. 3 Prawa bankowego odnosi się do każdej osoby fizycznej, w tym także tej prowadzącej działalność gospodarczą. W ocenie Sądu, brzmienie powołanego przepisu nie wyklucza jego stosowania do osób fizycznych prowadzących działalność gospodarczą. Fakt prowadzenia działalności gospodarczej nie pozbawia osoby fizycznej na gruncie RODO, ochrony jaka przewidziana została w tym akcie prawnym. Wykładany przez organ przepis art. 105a ust. 3 Prawa bankowego nie może być interpretowany w sposób, który wyklucza realizację przez banki i inne instytucje obowiązków w nim przewidzianych, wobec osób fizycznych prowadzących działalność gospodarczą. Interpretacja art. 105a Prawa bankowego, czyniąca dopuszczalne przetwarzanie, po wygaśnięciu zobowiązania, danych osobowych osoby fizycznej prowadzącej działalność gospodarczą, bez jej zgody i bez spełnienia wymogów z art. 105a ust. 3 Prawa bankowego, pozostawiałaby te osoby fizyczne poza ramami RODO. RODO tymczasem znajduje zastosowanie do przetwarzania danych tych osób fizycznych. Tak więc stanowisko Banku nie mogło przeważyć w tej sprawie nad - wprost wyrażonymi w Prawie bankowym - przesłankami dopuszczalności przetwarzania danych osoby fizycznej (w tym także prowadzącej działalność gospodarczą) w związku z przepisami RODO. Zasady przetwarzania danych objętych tajemnicą bankową określa art. 105a Prawa bankowego. Na gruncie tego przepisu należy oceniać zatem dopuszczalność przetwarzania poszczególnych danych osobowych w określonych ściśle celach. Powyższe konkluzje pozostają w zgodzie z wypracowanymi poglądami judykatury zarówno krajowej (por. wyrok WSA w Warszawie z dnia 12 czerwca 2017 r. sygn. akt II SA/Wa 1991/16 - informacja wtedy dotyczy osoby fizycznej, gdy przekazuje (komunikuje) coś na jej temat. Chodzi zatem o informację, która daje się powiązać z osobą lub powoduje, że możliwe jest jej odniesienie do konkretnej osoby fizycznej, zidentyfikowanej lub możliwej do zidentyfikowania, przy czym identyfikacja odbywa się na podstawie całokształtu posiadanych informacji), jak i judykatury europejskiej (wyrok Trybunału Sprawiedliwości UE z dnia 9 marca 2017 r. sygn. akt C-398/15 - okoliczność, iż informacje wpisują się w ramy działalności zawodowej, nie oznacza, że nie można ich scharakteryzować jako dane osobowe). Definicja danych osobowych odnosi się zatem do osób fizycznych bez względu na rolę, jaką odgrywają - czy są konsumentami, przedsiębiorcami, czy pracownikami itd. Podobne stanowisko zajął Naczelny Sąd Administracyjny w wyroku z dnia 25 kwietnia 2025 r. sygn. akt III OSK 7370/21 oraz Wojewódzki Sąd Administracyjny w Warszawie w wyroku z dnia 16 października 2024 r. sygn. akt II SA/Wa 299/24. Przenosząc powyższe na realia przedmiotowej sprawy uznać należy, że organ nie naruszył przepisów prawa uznając, iż art. 105a ust. 2 i 3 Prawa bankowego znajduje zastosowanie do każdej osoby fizycznej – nawet prowadzącej działalność gospodarczą. Skoro wymogi prawa, co do dopuszczalności przetwarzania danych osobowych P. M., nie zostały spełnione, to zarzuty naruszenia przez Prezesa UODO art. 105a ust. 3 Prawa bankowego Sąd uznał za nieuzasadnione. Organ nie mógł naruszyć art. 58 ust. 2 lit. b w zw. z art. 6 ust. 1 lit. f) RODO, ponieważ w przedmiotowej sprawie nie nałożył na Bank kary administracyjnej w postaci upomnienia. Sąd nie stwierdził w tej sprawie również naruszenia art. 7, art. 8, art. 11, art. 77, art. 80, art. 107 i art. 124 § 2 k.p.a. Organ dokonał ustaleń faktycznych niezbędnych i wystarczających jednocześnie dla rozstrzygnięcia tej sprawy. Materiał dowodowy rozpatrzył wszechstronnie, a jego ocena nie była dowolna. Poruszona w uzasadnieniu skargi kwestia stanowiska Ministra Finansów, w tym względzie nie mogła mieć wpływu na rozstrzygnięcie organu, albowiem Prezes UODO obowiązany jest rozstrzygać w sprawie zgodnie z przepisami prawa. Przepisy RODO nie dają zaś podstaw do interpretacji art. 105a ust. 3 Prawa bankowego pozostawiającej osoby fizyczne prowadzące działalność gospodarczą poza ochroną z nich wynikającą. W sprawie organ nie naruszył zasady zaufania uczestników postępowania do władzy publicznej. Bank do skargi dołączył dokument z dnia [...] października 2021 r. dotyczący dyspozycji wycofania przez skarżącego zgody na przetwarzanie danych osobowych. Sąd na rozprawie w dniu 26 listopada 2025 r. dopuścił, na podstawie art. 106 § 3 ustawy - Prawo o postępowaniu przed sądami administracyjnymi, ww. dowód. Proces przetwarzania danych osobowych skarżącego w oparciu o art. 105a ust. 3 Prawa bankowego miał miejsce od [...] września 2021 r. Bank natomiast wywodzi, że powiadomił skarżącego o zamiarze przetwarzania jego danych osobowych na podstawie art. 105a ust. 3 Prawa bankowego w dniu [...] października 2021 r. Zatem przedłożony dokument został niewątpliwie wytworzony po rozpoczęciu procesu przetwarzania danych na podstawie art. 105 a ust. 3 Prawa bankowego, a tym samym nie został zachowany warunek 30 dni od poinformowania tej osoby przez Bank o zamiarze przetwarzania jej danych osobowych w BIK. Powyższy dokument nie jest więc dowodem na spełnienie warunków z art. 105a ust. 3 Prawa bankowego. Oznacza to, że z dokumentu tego nie wynika, iż Bank dokonał skutecznego powiadomienia skarżącego, o którym mowa w art. 105a ust. 3 Prawa bankowego. W tym stanie rzeczy, nie podzielając argumentów zawartych w skardze, oraz uznając iż organ w sposób prawidłowy zebrał i ocenił materiał dowodowy, zaś przy wykonywaniu tych czynności nie naruszył przepisów prawa, Wojewódzki Sąd Administracyjny w Warszawie orzekł, jak w sentencji wyroku, na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2024 r. poz. 935 z późn. zm.).