II SA/Wa 1478/16

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Przemysław Szustakiewicz, Sędziowie WSA Iwona Dąbrowska, Ewa Kwiecińska (spr.), , Protokolant specjalista Wiesława Jesiotr, po rozpoznaniu na rozprawie w dniu 31 maja 2017 r. sprawy ze skargi P. z siedzibą w W. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] czerwca 2016 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę UZASDNIENIE Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia [...] czerwca 2016 r. nr [...] dot. [...] wydaną na podstawie art. 138 § 1 pkt 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (t.j. Dz. U. z 2016 r. poz. 23) oraz art. 12 pkt 2, art. 22, art. 23 ust. 1 pkt 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (t.j. Dz. U. z 2015 r. poz. 2135 ze zm.) w związku z art. 105 ust. 4 oraz art. 105a ust. 3 i 4 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (t.j. Dz. U. 2015 r. poz. 128 ze zm.), utrzymał w mocy własną decyzję z dnia [...] lutego 2015 r. nr [...]. Do Generalnego Inspektora Ochrony Danych Osobowych wpłynęła skarga N.G. na przetwarzanie przez [...] S.A. danych osobowych, w tym na ich udostępnienie w Biurze Informacji Kredytowej S.A., w zakresie informacji wynikających z umowy kredytowej numer [...] zawartej w dniu [...] września 2009 r. Skarżąca żądała przywrócenia stanu zgodnego z prawem, poprzez zaprzestanie przetwarzania danych osobowych. Generalny Inspektor Ochrony Danych Osobowych ustalił, że strona zawarła z Bankiem w dniu [...] września 2009 r. umowę kredytową nr [...], z tytułu której to umowy powstało zadłużenie. W wyjaśnieniach z dnia 8 sierpnia 2014 r. Bank wskazał, że dane osobowe N.G. zostały przekazane do BIK S.A. w związku z zobowiązaniem nr [...] na podstawie umowy w sprawie zbierania i udostępniania informacji zawartej w dniu [...] czerwca 2001 r. pomiędzy BIK S.A., a [...] SA. W bazie BIK S.A. ww. zobowiązanie figuruje jako rachunek zamknięty, z datą zamknięcia [...] października 2012 r., z wycofana zgodą klienta na przetwarzanie danych po wygaśnięciu zobowiązania oraz ze wskaźnikiem "warunki spełnione". Pierwsze przekazanie danych do BIK S.A. nastąpiło we wsadzie za wrzesień 2009 r., ostatnie we wsadzie za październik 2012 r. W związku z figurowaniem wskaźnika "warunki spełnione" z art. 105a ust. 3 ustawy – Prawo bankowe, przedmiotowa umowa kredytowa będzie prezentowana na raportach do oceny zdolności kredytowej przez 5 lat od daty spłaty. Bank wskazał, że powiadomienie o zamiarze przetwarzania danych po wygaśnięciu zobowiązania, spełniające jednocześnie obowiązek informacyjny z art. 105a ust. 3 Prawa bankowego, zostało przesłane do strony w dniu 26 kwietnia 2011 r., na dowód czego Bank przesłał zrzut ekranu z aplikacji. Z analizy zrzutu ekranu z aplikacji wynika, że korespondencja dotycząca zawiadomienia o przetwarzaniu danych osobowych z art. 105a ust. 3 Prawa bankowego została wysłana na odbiorcę: C., ul. [...],[...] B. Korespondencja ta dotyczyła zobowiązania nr [...]. Strona pismem z dnia 18 października 2013 r., zwróciła się do Banku z wnioskiem o usunięcie danych osobowych z Bankowego Rejestru, Związku Banków Polskich, Biura Informacji Kredytowej S.A., KRD Biura Informacji Gospodarczej S.A i [...] S.A. Złożyła oświadczenie o wycofaniu zgody na przetwarzanie danych osobowych po wygaśnięciu zobowiązania. Bank udzielił odpowiedzi, z której wynika, iż pomimo wycofania zgody z uwagi na łączne spełnienie obydwu warunków określonych w art. 105a ust. 3 Prawa bankowego, dane w powiązaniu z przedmiotowym zobowiązaniem będą przetwarzane do celów oceny zdolności kredytowej. W dniu [...] lutego 2015 r. Generalny Inspektor Ochrony Danych Osobowych wydał decyzję administracyjną, w której nakazał [...] S.A., z siedzibą w [...] zaprzestanie przetwarzania danych osobowych N.G., dotyczących rachunku numer [...] w systemie Biura Informacji Kredytowej S.A. w trybie określonym w art. 105a ust. 3 ustawy Prawo bankowe. Bank złożył wniosek o ponowne rozpatrzenie niniejszej sprawy. We wniosku Bank zarzucił wydanej decyzji nieuwzględnienie przy jej wydaniu wyjaśnień dotyczących spełnienia przez Bank obowiązku wynikającego z art. 105a ust. 3 ustawy Prawo bankowe. Zawiadomienie o zamiarze przetwarzania danych po wygaśnięciu zobowiązania bez zgody klienta zostało wysłane listem zwykłym i w związku z powyższym Bank nie dysponuje pocztowym dowodem nadania. Bank przesłał wzór pisma kierowanego do klientów w kwietniu 2011 r., wyjaśniając, że: operator pocztowy umożliwia wygenerowanie dokumentu z elektronicznych archiwów przez okres 6 miesięcy wstecz (termin ten wynika z umowy zawartej pomiędzy Bankiem a operatorem pocztowym). Jednakże, w zarchiwizowanych w Banku plikach wygenerowanych po 26 kwietnia 2011 r. widnieją dane N.G., jako osoby, do której skierowane zostało pismo informujące o zamiarze przetwarzania przez Bank danych osobowych na podstawie art. 105a ust. 3 ustawy Prawo bankowe. W uzasadnieniu decyzji z dnia [...] czerwca 2016 r. Generalny Inspektor Ochrony Danych Osobowych stwierdził, że argumenty podniesione przez Bank we wniosku o ponowne rozpatrzenie sprawy nie uzasadniają konieczności zmiany decyzji. Przekazanie danych osobowych przez Bank do BIK S.A. w celu oceny zdolności kredytowej i analizy ryzyka kredytowego nastąpiło w oparciu o przesłankę, o której mowa w art. 23 ust. 1 pkt 2 ustawy, w związku z powołanymi powyżej art. 105a ust. 1 i art. 105 ust. 4 Prawa bankowego. Wskazać należy, że choć zobowiązanie skarżącej wobec Banku wygasło, to jednak jak wynika ze zgromadzonego materiału dowodowego odnośnie spłaty zadłużenia, dopuściła się ona zwłoki trwającej dłużej niż 60 dni. W niniejszej sprawie, skarżąca podniosła, że Bank nie spełnił wobec niej obowiązku określonego w art. 105a ust. 3 Prawa bankowego, tj. nie poinformował jej skutecznie o zamiarze przetwarzania dotyczących jej informacji stanowiących tajemnicę bankową, bez jej zgody po wygaśnięciu zobowiązania wynikającego z ww. umowy. W jej ocenie pozostawanie w zwłoce z wykonaniem zobowiązania nie upoważnia Banku do przetwarzania jej danych na warunkach określonych w art. 105a ust. 3 Prawa bankowego, ponieważ nie została ona skutecznie poinformowana o możliwości przetwarzania jej danych w trybie wynikającym z art. 105a ust 3 Prawa bankowego. Zdaniem organu w sprawie istnieją dwa sprzeczne ze sobą oświadczenia. Bank twierdzi, że wysłał do skarżącej w dniu 26 kwietnia 2011 r. powiadomienie o zamiarze przetwarzania jej danych po wygaśnięciu zobowiązania, spełniające jednocześnie obowiązek informacyjny z art. 105a ust. 3 Prawa bankowego. Skarżąca twierdzi, że takiego pisma nigdy nie otrzymała. Bank na potwierdzenie tej okoliczności przedstawił dwa dowody, pierwszym jest zrzut ekranu z aplikacji potwierdzający datę wysyłki, datę zaległości, kwotę zaległości, adres wysyłki korespondencji do skarżącej. Z dokumentu tego wynika, iż korespondencja dotycząca zawiadomienia o przetwarzaniu danych osobowych z art. 105a ust. 3 Prawa bankowego, dotycząca zobowiązania nr [...], została wysłana na odbiorcę: C., ul. [...],[...] B. Bank wyjaśnił, iż w dniu 26 czerwca 2013 r. strona dokonała modyfikacji swoich danych osobowych – nazwiska oraz adresu zamieszkania. Jako dowód przesłano zrzut ekranu z aplikacji, potwierdzający zamianę danych osobowych, wyjaśniający skąd wzięła się nazwa "C.", jak również dlaczego korespondencja nie została wysłana na adres skarżącej, tj. ul. [...],[...]. Jako drugi dowód Bank przedstawił wzór pisma kierowanego do klientów Banku dotyczącego spełnienia obowiązku informacyjnego wynikającego z art. 105a ust. 3 Prawa bankowego. Ww. wzór pisma nie zawiera żadnych informacji świadczących o tym, że tożsame pismo zostało wysłane do skarżącej. Bank nie przedstawił kopii pisma wysłanego do skarżącej, co jednoznacznie świadczyłoby o spełnieniu obowiązku informacyjnego z art. 105a ust. 3 Prawa bankowego. Organ wskazał, iż ze względu na charakter uprawnień Generalnego Inspektora, służących mu w toku prowadzonego postępowania, rozstrzygając sprawę poddaną jego ocenie, opiera się on przede wszystkim na pisemnych wyjaśnieniach stron oraz przesłanych przez nie dowodach. W toku prowadzonego postępowania przedsięwzięto czynności służące wnikliwemu i rzetelnemu ustaleniu okoliczności faktycznych przedmiotowej sprawy i zebraniu materiału dowodowego, który pozwolił na wydanie adekwatnego rozstrzygnięcia. Organ prowadzący postępowanie musi dążyć do ustalenia prawdy materialnej i według swej wiedzy, doświadczenia oraz wewnętrznego przekonania ocenić wartość dowodową poszczególnych środków dowodowych, wpływ udowodnienia jednej okoliczności na inne okoliczności (wyrok Naczelnego Sądu Administracyjnego z dnia 9 lipca 1999 r. o sygn. III SA 5417/98). Zdaniem Generalnego Inspektora w niniejszej sprawie Bank nie udowodnił w sposób wystarczający spełnienia wobec skarżącej obowiązku informacyjnego z art. 105a ust. 3 Prawa bankowego. Nie przedstawiono kopii pisma, która byłaby dowodem, że obowiązek informacyjny z art. 105a ust. 3 Prawa bankowego został spełniony. Wobec niemożności wykazania przez Bank spełnienia przesłanek wynikających z art. 105a ust. 3 Prawa bankowego zasadnym było nakazanie zaprzestania przetwarzania danych osobowych skarżącej w BIK S.A. w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. [...] S.A. w [...] wniósł do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] czerwca 2016 r. Skarżący zarzucił wskazanej decyzji naruszenie przepisów postępowania: ‒ art. 75 § 1 ustawy – Kodeks postępowania administracyjnego poprzez odmowę uznania za dowód i nieprzeprowadzenie dowodu z dokumentacji przedłożonej do akt sprawy Bank, w tym w szczególności w postaci: a) wzoru dokumentu, który w kwietniu 2011 r. kierowany był do klientów Banku w sprawie opóźnień i związanych z tym konsekwencji w postaci przetwarzania danych w Biurze Informacji Kredytowej S.A. w związku z realizacją obowiązku wynikającego z art. 105a ust. 3 Prawa bankowego, b) zrzutu ekranu z aplikacji bankowej, z którego wynika, że w dniu 26 kwietnia 2011 r. zostało wysłane do N.G. zawiadomienie o zamiarze przetwarzania jej danych po wygaśnięciu zobowiązania. Skarżący zarzucił także naruszenie przepisów postępowania, mające istotny wpływ na wynik sprawy: ‒ art. 75 § 2 k.p.a. poprzez odmowę przyjęcia oświadczenia Banku w zakresie okoliczności nie wymagających urzędowego potwierdzenia, podczas gdy w sytuacji wadliwego uznania przez GIODO, że dokumenty przestawione przez Bank nie stanowią środków dowodowych, zwłaszcza wzór pisma wysyłanego do klientów w kwietniu 2011 r., konieczne było poprzestanie na oświadczeniu Banku o dokonaniu w dniu 26 kwietnia 2011 r. wysyłki odpowiedniej korespondencji do N.G., ‒ art. 7, art. 77 § 1 oraz art. 80 k.p.a. poprzez zaniechanie podjęcia czynności niezbędnych do przeprowadzenia postępowania dowodowego w sposób prawidłowy i wyczerpujący, co się przełożyło na wydanie decyzji w oparciu o wadliwie zebrany i oceniony materiał dowodowy oraz błędnie ustalony stan faktyczny oraz poprzez przekroczenie granic swobodnej oceny dowodów - dowolną ocenę zebranego w sprawie materiału dowodowego, to jest błędne przyjęcie, iż złożone przez N.G. dokumenty i oświadczenia są wystarczające do przyjęcia, że Bank przetwarza jej dane osobowe w sposób sprzeczny z dyspozycją art. 105a ust. 3 Prawa bankowego, ‒ art. 107 k.p.a. poprzez niedokonanie w uzasadnieniu decyzji analizy i oceny całokształtu materiału dowodowego, a w szczególności brak wskazania, jakie fakty GIODO uznał za udowodnione lub nieudowodnione, na jakich dowodach – poza twierdzeniami N.G. – oparł rozstrzygnięcie i dlaczego nie uznał dowodów przeciwnych, w szczególności wzoru dokumentu, który w kwietniu 2011 r. kierowany był do klientów Banku w sprawie opóźnień i związanych z tym konsekwencji w postaci przetwarzania danych w BIK w związku z realizacją obowiązku wynikającego z art. 105a ust. 3 Prawa bankowego oraz zrzutu ekranu z aplikacji bankowej, ‒ art. 8 i art. 107 § 3 k.p.a. poprzez nienależyte uzasadnienie decyzji z uwagi na zawarcie w nim zbyt ogólnych twierdzeń, brak precyzyjnego wyjaśnienia podstawy faktycznej i prawnej rozstrzygnięcia, ‒ art. 6 ustawy – Kodeks cywilny poprzez bezpodstawne przyjęcie, że to na Banku spoczywał ciężar dowodu w zakresie wykazania poinformowania strony o zamiarze przetwarzania jej danych osobowych w BIK, podczas gdy to na organie prowadzącym postępowanie administracyjne spoczywał obowiązek weryfikacji informacji zawartych w skardze N.G.. Skarżący zarzucił także naruszenie przepisów prawa materialnego: ‒ art. 105a ust. 3 ustawy – Prawo bankowe poprzez zastosowanie rozszerzającej wykładni treści przepisu, co w konsekwencji doprowadziło do uznania, że Bank nie spełnił ustawowego obowiązku informacyjnego. Wskazując na powyższe skarżący wniósł o uchylenie zaskarżonej decyzji oraz decyzji jej poprzedzającej, a także o zasądzenie zwrotu kosztów postępowania. GIODO prowadząc postępowanie, dopuścił się szeregu naruszeń przepisów regulujących szczegółowe zasady prowadzenia postępowania dowodowego. Dowody zaoferowane przez Bank nie były sprzeczne z prawem, zaś organ odmówił im przymiotu dowodu bez podstawy prawnej. Dokument elektroniczny posiada moc prawną równą dokumentowi sporządzonemu w formie papierowej. Zdaniem skarżącego, w ocenie GIODO, dokumenty elektroniczne przedstawione przez Bank nie stanowią dokumentów na gruncie k.p.a. Powyższe twierdzenie jest błędne i sprzeczne z art. 8 ustawy z dnia 18 września 2001 r. o podpisie elektronicznym. Aplikacje bankowe prowadzone są m.in. w celu prawidłowego wykonywania czynność bankowych i wprowadzanie do niej fałszywych danych mogłoby narazić Bank na utratę korzyści materialnych albo brak zaufania ze strony obecnych, jak również potencjalnych klientów. Bank jako profesjonalny podmiot prawny prowadzący działalność gospodarczą, zobowiązany jest do zachowania należytej staranności w zakresie wykonywanej działalności W świetle zasad doświadczenia życiowego i logiki należy uznać, że skoro dane Klientki znajdują w się w elektronicznym systemie Banku, w którym archiwizowane są dane dotyczące wysyłanej do klientów korespondencji, to takowa wysyłka została wykonana. Zdaniem skarżącego uzasadnienie zaskarżonej decyzji nie zawierało w tym względzie jakiegokolwiek wyjaśnienia przyczyn, dla których poszczególne elementy materiału dowodowego nie zostały uznane za dopuszczalne, jak również względów, dla których organ dał wiarę twierdzeniom strony wnoszącej skargę, a odmówił wiarygodności stanowisku Banku. W uzasadnieniu brak jest wyjaśnienia, dlaczego oświadczenie pełnomocnika strony o nieotrzymaniu zawiadomienia o zamiarze przetwarzania danych przez Bank przez N.G. organ uznał za wiarygodne i nadał mu moc dowodową w sprawie. Skarga klientki była ewidentnie ukierunkowana na wykreślenie jej danych z BIK, przy istnieniu oczywistego interesu w takim działaniu, zważywszy na wpływ wpisu do BIK na ocenę zdolności kredytowej i możliwość zaciągania dalszych zobowiązań. Jednocześnie, Bank nie posiada bezpośredniego interesu w ujawnianiu danych klientów w BIK, bowiem działanie to nie przekłada się na jego sferę prawną. W rozpatrywanym przypadku, mając na uwadze fakt występowania zaległości w spłacie zobowiązania nr [...], w przypadku chęci zaciągnięcia kolejnego zobowiązania, w interesie N.G. jest więc usunięcie danych z BIK. Przyjęcie założenia, że Bank ma w takim przypadku interes prawny w przetwarzaniu danych Klienta byłoby sprzeczne z zasadami doświadczenia życiowego. Zestawienie tych okoliczności w faktem, iż stanowisko strony skarżącej było gołosłowne w toku postępowania administracyjnego, zaś stanowisko Banku poparte zapisami w systemach Banku, nie sposób uznać oceny dokonanej przez GIODO za prawidłową. Należało przyjąć, że skoro dane klientki znajdują się w elektronicznym systemie Banku, w którym archiwizowane są dane dotyczące wysyłanej do klientów korespondencji, to takowa wysyłka została dokonana, zaś informacja prawidłowo doręczona klientce. Organ zaś nie odniósł się do tej okoliczności i nie przeanalizował oświadczenia strony w tym zakresie pod kątem oceny mocy dowodowej, jak również nie skonfrontował oświadczenia strony z dokumentami przedstawionymi przez Bank. GIODO doprowadził do wypaczenia regulacji art. 105a ust. 3 Prawa bankowego, poprzez zastosowanie wykładni rozszerzającej, zmierzającej do przypisania bankom obowiązku informowania klientów o zamiarze przetwarzania należących do nich danych osobowych w BIK po wygaśnięciu zobowiązana, co najmniej przesyłką rejestrowaną, pod rygorem uznania, że obowiązek informacyjny nie został skutecznie spełniony. W odpowiedzi na skargę organ wniósł o jej oddalenie i podtrzymł twierdzenia zawarte w treści uzasadnienia zaskarżonej decyzji. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje. Zgodnie z brzmieniem art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (t.j. Dz. U. z 2016 r. poz. 1066 ze zm.), sąd administracyjny sprawuje wymiar sprawiedliwości poprzez kontrolę pod względem zgodności z prawem zaskarżonej decyzji administracyjnej i to z przepisami obowiązującymi w dacie jej wydania. Oznacza to, iż sąd administracyjny kontroluje legalność rozstrzygnięcia zapadłego w postępowaniu z punktu widzenia jego zgodności z obowiązującymi przepisami prawa. Rozpatrywana pod tym kątem skarga [...] S. A. nie zasługuje na uwzględnienie. Rozważania należy rozpocząć od stwierdzenia, że zadaniem ustawy 29 sierpnia 1997 r. o ochronie danych osobowych nie jest jedynie stanie na straży interesów tych, których przetwarzane dane osobowe dotyczą. Naczelną zasadą ustawy nie jest też zakaz przetwarzania danych osobowych, lecz przestrzeganie zakresu i trybu ich przetwarzania. Powyższa ustawa w art. 1 stwierdza bowiem, że dane osobowe mogą być przetwarzane, jeżeli służy to dobru publicznemu, dobru osoby, której dane dotyczą lub dobru osób trzecich. Ochrona danych osobowych, na podstawie przepisów powołanej ustawy, nie powinna być oderwana od przepisów służących ochronie innych wartości. Stosownie do treści art. 7 pkt 2 cytowanej ustawy, przez przetwarzanie danych osobowych rozumie się jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie, a zwłaszcza te, które wykonuje się w systemach informatycznych. Z kolei w art. 23 § 1 ustawy zostały wymienione przesłanki legalizujące przetwarzanie danych osobowych. Zgodnie z treścią tego przepisu przetwarzanie danych jest dopuszczalne tylko wtedy, gdy: 1) osoba, której dane dotyczą, wyrazi na to zgodę, chyba że chodzi o usunięcie dotyczących jej danych, 2) jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa, 3) jest to konieczne do realizacji umowy, gdy osoba, której dane dotyczą, jest jej stroną lub gdy jest to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczą, 4) jest niezbędne do wykonania określonych prawem zadań realizowanych dla dobra publicznego, 5) jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Cytowany powyżej przepis ustawy określa ogólne materialne przesłanki przetwarzania danych osobowych. Przesłanki te mają charakter generalny, odnoszą się do wszelkich form przetwarzania danych, w tym zarówno do przetwarzania "na własne potrzeby" administratora, jak i "na zewnątrz". Są one co do zasady równoprawne, mają charakter autonomiczny i niezależny, co oznacza, że wystarczy wystąpienie jednej z nich, by przetwarzanie danych mogło być uznane za usprawiedliwione. Oznacza także, że zgoda osoby, której dane dotyczą, nie jest wyłączną przesłanką przetwarzania danych osobowych, (por. J. Barta, P. Fajgielski, R. Markiewicz "Ochrona danych osobowych. Komentarz.", publ. LEX nr 106659, wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 19 lipca 2007 r., sygn. akt II SA/Wa 678/07, publ. LEX nr 368229). Zgodnie z art. 105 ust. 4 ustawy z dnia 27 sierpnia 1997 r. – Prawo bankowe (t.j. Dz. U. z 2015 r. poz. 128 ze zm.). Banki mogą, wspólnie z bankowymi izbami gospodarczymi, utworzyć instytucje upoważnione do gromadzenia, przetwarzania i udostępniania: 1) bankom – informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych oraz w zw. ze stosowaniem metod statystycznych, o których mowa w art. 128 ust. 3 oraz w art. 128d ust. 1; 2) innym instytucjom ustawowo upoważnionym do udzielania kredytów – informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są niezbędne w związku z udzielaniem kredytów pożyczek pieniężnych, gwarancji bankowych i poręczeń; 3) instytucjom kredytowym – informacji stanowiących tajemnicę bankową w zakresie niezbędnym do oceny zdolności kredytowej konsumenta, o której mowa w art. 9 ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim. Stosownie zaś do art. 105a cytowanej ustawy, przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów oraz instytucje utworzone na podstawie art. 105 ust. 4, informacji stanowiących tajemnicę bankową w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem art. 104, art. 105 i art. 106-106c, w celu oceny zdolności kredytowej i analizy ryzyka kredytowego (ust. 1). Instytucje, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank lub inną instytucję ustawowo upoważnioną do udzielania kredytów o zamiarze przetwarzania dotyczących jej informacji stanowiących tajemnicę bankową, bez jej zgody (ust. 3). Banki oraz instytucje, o których mowa w art. 105 ust. 4, mogą przetwarzać informacje stanowiące tajemnicę bankową dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, bez zgody osoby, której informacje dotyczą, dla celów stosowania metod statystycznych, o których mowa w art. 128 ust. 3 (ust 4.). W rozpoznawanej sprawie Generalny Inspektor Ochrony Danych Osobowych nakazał skarżącemu Bankowi zaprzestania przetwarzania danych osobowych N.G. będącej klientem tego Banku. Organ doszedł bowiem do przekonania, że Bank nie wykazał, że dopełnił wymaganego w cyt. powyżej art. 105 a ust. 3 ustawy Prawo bankowe obowiązku poinformowania N.G. o zamiarze przetwarzania dotyczących jej informacji, stanowiących tajemnicę bankową, w zakresie jej rachunku bankowego, bez jej zgody. W ocenie Sądu stanowisko to jest prawidłowe. W aktach administracyjnych brak jest bowiem dowodów wskazujących na fakt, że Bank poinformował swoją klientkę o zamiarze przetwarzania powyższych danych. Nie zasługują w tym zakresie na uwzględnienie zarzuty skargi dotyczące przeprowadzonego postępowania dowodowego. Przedstawione przez skarżący Bank dokumenty (wzór zawiadomienia kierowanego do klientów w sprawie opóźnień, zrzut z ekranu pliku z aplikacji bankowej), zostały trafnie ocenione przez organ w trakcie postępowania administracyjnego. Nie wynika z nich bowiem w sposób jednoznaczny fakt wykonania przez Bank w stosunku do N.G. obowiązku informacyjnego. Zgodzić należy się z GIODO, iż zrzut ekranu z aplikacji potwierdzający datę wysyłki powiadomienia o zamiarze przetwarzania danych po wygaśnięciu zobowiązania nie jest wystarczający do tego, by przyjąć, iż takie powiadomienie zostało doręczone N.G. i że miała ona możliwość zapoznania się z jego treścią (art. 61 § 1 i § 2 k.c.). W rozpatrywanej sprawie N.G. dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy kredytowej zawartej z Bankiem w dniu [...] września 2009 r. Okoliczność ta nie jest sporna między stronami. Nie jest również sporne, że zobowiązanie wygasło. W związku z powyższym przekazanie przez Bank danych N.G. do Biura Informacji Kredytowej po wygaśnięciu zobowiązania wymagało powiadomienia jej o zamiarze przetwarzania danych oraz upływu 30 dni od poinformowania takiej osoby o zamiarze przetwarzania jej danych osobowych, stanowiących tajemnicę bankową. Wskazane powiadomienie musi zatem być doręczone osobie zainteresowanej w taki sposób, by mogła zapoznać się z jego treścią. Okoliczności te nie mogą budzić wątpliwości, bo od ich zaistnienia zależy uprawnienie banku do przetwarzania danych osobowych. W niniejszej sprawie wątpliwości te istnieją, ponieważ tzw. zrzut z ekranu aplikacji bankowej nie pozwala na bezsporne przyjęcie, że powiadomienie z dnia 26 kwietnia 2011 r. było rzeczywiście wysłane do strony zainteresowanej. W aktach zaś brak jest innych dowodów potwierdzających fakt doręczenia powiadomienia. Jednocześnie Sąd wyjaśnia, że zarzut naruszenia art. 6 Kodeksu cywilnego, nie może odnieść zamierzonego skutku, gdyż przepis ten nie ma zastosowania w sprawie. Postępowanie dowodowe w niniejszej sprawie podlega regulacjom zawartym w Kodeksie postępowania administracyjnego, gdyż sprawa tocząca się przed Generalnym Inspektorem Ochrony Danych Osobowych jest sprawą administracyjną (art. 1 pkt 1 k.p.a.). Reasumując, zgodzić się należy z organem, iż Bank nie przedstawił dowodu skutecznego doręczenia N.G. spornej korespondencji ani dowodu jej nadania, bowiem za fakt nie może zostać uznany niespersonalizowany wzór dokumentu oraz ekstrakt z pliku wygenerowanego z aplikacji bankowej. W tym zakresie samo oświadczenie Banku, jak i wzór pisma kierowanego do Klientów – jak twierdzi Bank również do skarżącej, jest niewystarczające. Konsekwencją powyższych stwierdzeń jest to, że również pozostałe zarzuty, podniesione przez skarżący Bank, dotyczące błędnie i jedynie częściowo ustalonego stanu faktycznego oraz niewyczerpującego uzasadnienia zapadłego rozstrzygnięcia w sprawie, są niezasadne. W ocenie Sądu organ prawidłowo ustalił stan faktyczny w sprawie, dopuszczając jako dowód wszelkie oświadczenia i dowody przedstawione przez skarżący Bank, ocenił je i wydał rozstrzygnięcie odpowiadające prawu. Uzasadnienie zaś zaskarżonej decyzji wskazuje zarówno podstawę prawną, jak i faktyczną podjętego rozstrzygnięcia. Dlatego też skarga jako niezasadna podlega oddaleniu. Mając powyższe na uwadze, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (tekst jednolity Dz. U. z 2016 r., poz. 718 ze zm.), orzekł jak w sentencji.