II SA/Wa 1636/23

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Joanna Kruszewska-Grońska, Sędzia WSA Joanna Kube, Asesor WSA Arkadiusz Koziarski (spr.), , po rozpoznaniu w trybie uproszczonym w dniu 10 lipca 2024 r. sprawy ze skargi S. z siedzibą w [...]. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] czerwca 2023 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę Prezes Urzędu Ochrony Danych Osobowych, dalej "PUODO", decyzją z dnia [...] czerwca 2023 r. nr [...], wydaną na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2023 r. poz. 775, z późn. zm.), dalej "k.p.a.", w zw. z art. 7 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781), art. 6 ust. 1 oraz art. 58 ust. 2 lit. c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35), dalej "RODO", w zw. z art. 105a ust. 3 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz. U. z 2022 r. poz. 2324 ze zm.), po przeprowadzeniu postępowania administracyjnego w sprawie skargi J. M. na nieprawidłowości w procesie przetwarzania jego danych osobowych przez [...] Bank S.A. z siedzibą w [...], dalej "Bank", polegające na udostępnieniu jego danych osobowych bez podstawy prawnej dotyczących umowy nr [...] z dnia [...] kwietnia 2014 r. na rzecz [...] S.A. z siedzibą w [...], dalej "[...]", nakazał Bankowi, zaprzestanie przetwarzania danych osobowych J. M., dotyczących umowy nr [...] z dnia [...] kwietnia 2014 r. przetwarzanych na podstawie art. 105a ust. 3 ustawy Prawo bankowe w celu oceny zdolności kredytowej i analizy ryzyka kredytowego w systemie [...]. W uzasadnieniu organ wyjaśnił, że do Urzędu Ochrony Danych Osobowych wpłynęła skarga J. M., dalej "skarżący" lub "uczestnik postępowania", na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Bank, polegające na udostępnieniu danych osobowych skarżącego dotyczących umowy nr [...] z dnia [...] kwietnia 2014 r. na rzecz [...], bez podstawy prawnej. PUODO wskazał, że w toku przeprowadzonego postępowania wyjaśniającego w niniejszej sprawie, ustalił następujący stan faktyczny: 1. Skarżący wskazał, że pomimo całkowitej spłaty zadłużenia wynikającego z powyższej umowy Bank nadal przetwarza jego dane osobowe w bazie [...]. Skarżący zwracał się do Banku z prośbą o usunięcie jego danych osobowych w powyżej wskazanym zakresie z ww. bazy, jednak bezskutecznie. W ocenie skarżącego Bank nie ma podstaw do przetwarzania jego danych osobowych w zakresie przedmiotowej umowy w [...], gdyż nie spełnił wobec niego obowiązku poinformowania go o zamiarze przetwarzania dotyczących go danych bez jego zgody po ustaniu zobowiązania. Wobec powyższego skarżący wniósł o usunięcie jego danych osobowych udostępnionych w bazie [...] bez jego zgody lub zaktualizowanie ich do stanu faktycznego, a więc przeniesienie ich do sekcji statystycznej [...] i zaprzestanie ich przetwarzania. 2. Bank wyjaśnił, że pozyskał dane osobowe skarżącego w zakresie danych identyfikacyjnych: imię, nazwisko, data urodzenia, numer PESEL, obywatelstwo, seria i numer dowodu osobistego, adres zameldowania, adres korespondencyjny, numer telefonu, adres e-mail, nazwa zakładu pracy i adres, dochód miesięczny, w związku z zawarciem umowy nr [...] z dnia [...] kwietnia 2014 r. w celu realizacji zawartej umowy, wykonania obowiązków prawnych ciążących na Banku, realizacji prawnie uzasadnionych interesów polegających na dochodzeniu roszczeń lub obrony przed roszczeniami. 3. Bank poinformował, że w związku ze zwłoką w spełnieniu świadczenia wynikającego z zawartej umowy, wysłał skarżącemu oświadczenie o wypowiedzeniu umowy z dnia [...] października 2015 r. (data nadania: dnia [...] października 2015 r.), w którym znalazła się informacja dotycząca przetwarzania danych skarżącego bez zgody, tj. na podstawie art. 105a ust. 3 ustawy Prawo bankowe. Korespondencja ta została wysłana do skarżącego listem poleconym bez zwrotnego potwierdzenia odbioru. Bank nie odnotował zwrotu powyższej korespondencji. Jako dowód potwierdzający wysłanie zawiadomienia Bank przedstawił wydruk z aplikacji, w której archiwizowane są dane o pismach skierowanych do klientów. Bank wyjaśnił, że w związku z tym, iż korespondencja została wysłana skarżącemu na wskazany przez niego adres, należy przyjąć, że skarżący mógł zapoznać się z informacją o zamiarze przetwarzania jego danych na podstawie art. 105a ust. 3 ustawy Prawo bankowe. Ponadto Bank poinformował, że zwłoka w spełnieniu świadczenia wynikającego z umowy przez skarżącego trwała powyżej 60 dni oraz że dane osobowe skarżącego dot. tej umowy będą przetwarzane przez [...] na podstawie art. 105a ust. 3 ustawy Prawo bankowe przez 5 lat od daty [...] lipca 2019 r. Bank liczy upływ 30-dniowego terminu, zgodnie z art. 105a ust. 3 ustawy Prawo bankowe od dnia wysłania do klienta Banku - listem poleconym - informacji o zamiarze przetwarzania danych klienta na podstawie art. 105a ust. 3 ustawy Prawo bankowe, dodając do tego okresu jeszcze 7 dni na dostarczenie korespondencji. 4. Skarżący pismem z dnia [...] stycznia 2023 r. wniósł żądanie zaprzestania przetwarzania jego danych osobowych w [...] oraz usunięcie jego danych osobowych. Bank w odpowiedzi z dnia [...] lutego 2023 r. odmówił spełnienia żądania i wskazał skarżącemu podstawy prawne dalszego przetwarzania jego danych osobowych w [...]. 5. Dane dot. umowy przetwarzane są przez Bank: a. w celu obrony przed ewentualnymi roszczeniami ze strony skarżącego do czasu ich przedawnienia, zgodnie z art. 118 Kodeksu cywilnego w zw. z art.6 ust. 1 lit. f) RODO - co stanowi jednocześnie prawnie uzasadniony interes Banku; Bank poinformował, że nie kieruje względem skarżącego roszczeń, natomiast przetwarza jego dane osobowe w celu skutecznej obrony przed ewentualnymi roszczeniami ze strony skarżącego; b. w celu oceny zdolności kredytowej oraz analizy ryzyka kredytowego na podstawie art. 105a ust. 3 ustawy Prawo bankowe w [...] przez okres wskazany w art. 105a ust. 5 ustawy Prawo bankowe; c. w celu realizacji wymogu przechowywania dokumentów oraz informacji uzyskanych w wyniku stosowania środków bezpieczeństwa finansowego na podstawie art. 49 ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowania terroryzmu w związku z art. 6 ust. 1 lit. c) RODO. 6. Bank poinformował, że nie dysponuje kopią umowy nr [...] z dnia [...] kwietnia 2014 r., ponieważ została ona zniszczona w wyniku zdarzenia losowego, tj. pożaru archiwum [...] Sp. z o.o., w którym była ona przechowywana. 7. [...] wyjaśnił, że przetwarza dane skarżącego wynikające z ww. umowy w zakresie przekazanym przez Bank obejmującym dane identyfikujące skarżącego: imię, nazwisko, PESEL, seria i numer dowodu osobistego, płeć, data urodzenia, obywatelstwo, adres zamieszkania oraz dane dotyczące zobowiązania: relacja klienta do rachunku, data powstania relacji, data ustania relacji, typ transakcji, kwota kredytu z kosztem odsetkowym, kwota kredytu, kwota raty, waluta, data zawarcia umowy, liczba rat, okres obowiązywania umowy, liczba uczestników transakcji, kurs waluty, przewidywana data zakończenia, częstotliwość spłat odsetek, częstotliwość spłat kapitału, pierwotne saldo rachunku, informacje na temat historii spłaty, w tym informacja o opóźnieniach w spłacie, informacja o spełnieniu warunków z art. 105a ust. 3 ustawy Prawo bankowe, informacja o udzieleniu i wycofaniu zgody, o której mowa w art. 105a ust. 2 ustawy Prawo bankowe. 8. [...] wskazał, że obecnie przetwarza dane osobowe dotyczące umowy nr [...] z dnia [...] kwietnia 2014 r. w tym historii spłaty: a. w celu oceny zdolności kredytowej i analizy ryzyka kredytowego na podstawie art. 105a ust. 3 ustawy Prawo bankowe, ze względu na przekazanie przez Bank do [...] informacji o spełnieniu warunków, o których mowa w tym przepisie dających podstawę do przetwarzania danych bez zgody skarżącego. Dane będą przetwarzane w tym celu przez okres 5 lat od dnia wygaśnięcia zobowiązania, zgodnie z art. 105a ust. 5 ustawy Prawo bankowe. W przypadku zobowiązania, jako datę jego wygaśnięcia Bank wskazał [...] lipca 2019 r.; b. w celach statystycznych i analiz, których wynikiem nie są dane osobowe i wynik ten nie służy za podstawę podejmowania decyzji dotyczących konkretnych osób fizycznych - podstawą prawną przetwarzania danych osobowych w tym celu jest prawnie uzasadniony interes administratora danych wynikający z przepisów Prawa bankowego (m.in. art. 105 ust. 4 oraz art. 105a ust. 4); c. w celu stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w art. 105a ust. 4 Prawa bankowego - podstawą przetwarzania danych osobowych jest powołany przepis Prawa bankowego. Dane w tych celach są przetwarzane maksymalnie przez okres 12 lat od dnia wygaśnięcia zobowiązania zgodnie z art. 105a ust. 5 ustawy Prawo bankowe. 9. Bank nie zwracał się do [...] z wnioskiem o usunięcie danych skarżącego dotyczących ww. zobowiązania. W dniu [...] stycznia 2021 r. skarżący wystąpił do [...] z żądaniem usunięcia jego danych dotyczących zobowiązań. [...] odmówił spełnienia żądania. W dniu [...] września 2022 r. skarżący zwrócił się do [...] o odwołanie zgody na przetwarzanie jego danych osobowych w zakresie ww. umowy oraz o przeniesienie tego zobowiązania do części statystycznej. W dniu [...] listopada 2022 r. skarżący odwołał zgodę ogólną na udostępnienie informacji o zamkniętych zobowiązaniach, a w dniu [...] listopada 2022 r. [...] poinformował skarżącego o zrealizowaniu tej dyspozycji. Dalej PUODO wyjaśnił, że przepisem uprawniającym administratorów danych do przetwarzania zwykłych danych osób fizycznych jest art. 6 ust. 1 RODO, zgodnie z którym, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy spełniona jest jedna z przesłanek wskazanych w tym przepisie. Katalog przesłanek wymienionych w art. 6 ust. 1 RODO, jest zamknięty. Każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny. Organ wskazał, że co do zasady podstawą prawną przetwarzania danych osobowych klientów przez Bank w [...] może być obecnie art. 6 ust. 1 lit. f RODO, gdy przetwarzanie to jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora. Przetwarzanie danych osobowych odbywa się w oparciu o umowę zawartą pomiędzy Bankiem i [...], który jest instytucją utworzoną na podstawie art. 105 ust. 4 Prawa bankowego. PUODO wyjaśnił, że zgodnie z art. 105a ust. 1 Prawa bankowego, przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów, instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, a także instytucje utworzone na podstawie art. 105 ust. 4, informacji stanowiących tajemnicę bankową i informacji udostępnionych przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem art. 104, 105 i art. 106 - 106d Prawa bankowego w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Zgodnie zaś z art. 105a ust. 3 Prawa bankowego banki, instytucje oraz podmioty, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową i informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank, inną instytucję ustawowo upoważnioną do udzielania kredytów, instytucję pożyczkową albo podmiot, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, o zamiarze przetwarzania dotyczących jej tych informacji, bez jej zgody. PUODO stwierdził, że choć zobowiązanie skarżącego wynikające z umowy o nr [...] z dnia [...] kwietnia 2014 r. wobec Banku wygasło z dniem [...] lipca 2019 r., to jak wynika ze zgromadzonego materiału dowodowego odnośnie spłaty zadłużenia, skarżący dopuścił się zwłoki trwającej dłużej niż 60 dni w przypadku wyżej wymienionego zobowiązania. Zdaniem organu, istotnym jednakże w niniejszej sprawie jest to, iż Bank nie spełnił wobec niego obowiązku określonego w art. 105a ust. 3 Prawa bankowego, tj. nie poinformował go skutecznie o zamiarze przetwarzania dotyczących go informacji stanowiących tajemnicę bankową bez jego zgody po wygaśnięciu zobowiązań wynikających z przedmiotowej umowy. Sam fakt, iż skarżący nie wykonał zobowiązania lub spóźnił się z jego wykonaniem co najmniej 60 dni, nie upoważnia bowiem Banku do przetwarzania jego danych na warunkach określonych w art. 105a ust. 3 Prawa bankowego. Moment, od którego należy liczyć sześćdziesięciodniowy termin, w którym osoba, której dane dotyczą dopuszcza się zwłoki w wykonaniu zobowiązania, to termin wykonania zobowiązania. Dopiero po upływie 60 dni zaczyna biec termin 30 dni. Termin 30 dni biegnie od momentu, w którym osoba, której dane dotyczą zostanie skutecznie poinformowana przez instytucję o zamiarze przetwarzania. Ostatecznie to bezskuteczny upływ 30 dni od momentu poinformowania stanowi wypełnienie przesłanek z art. 105a ust. 3 Prawa bankowego. PUODO uznał, że wobec wysłania oświadczenia o wypowiedzeniu przedmiotowej umowy wraz z informacją o zamiarze przetwarzania danych skarżącego na podstawie art. 105a ust. 3 Prawa bankowego listem poleconym, nie można ustalić daty zapoznania się przez skarżącego z przesłaną do niego informacją, a tym samym niemożliwe jest ustalenie daty, od której płynie 30 dniowy termin określony w ww. przepisie. PUODO podkreślił, że stosownie do treści art. 105a ust. 3 Prawa bankowego należy ustalić datę, w której doszło do poinformowania osoby, której dane dotyczą, o zamiarze przetwarzania jej danych osobowych po wygaśnięciu zobowiązania, bez jej zgody, nie zaś datę, w której hipotetycznie osoba ta mogła zapoznać się z powyższą informacją. Natomiast Bank wyjaśnił, że datę doręczenia skarżącemu przesyłki zawierającej powyższą informację ustalił dodając do daty, w której nadał korespondencję do skarżącego, tj. [...] października 2015 r., 7-dniowy termin, w którym jego zdaniem powinno nastąpić skuteczne doręczenie przesyłki i w ten sposób przyjął, że skarżący mógł zapoznać się z informacją o zamiarze przetwarzania jego danych. W ocenie organu powyższe jest sprzeczne z treścią art. 105a ust. 3 Prawa bankowego. Za niedopuszczalne należy bowiem uznać ustalanie daty, w której doszło do poinformowania o okolicznościach wskazanych w ww. przepisie prawa w oparciu o przypuszczenie Banku, że we wskazanym przez niego terminie 7 dni mogło dojść do doręczenia informacji do skarżącego. Zdaniem PUODO podzielić należy stanowisko wyrażone przez Naczelny Sąd Administracyjny, zgodnie z którym daty, będącej początkiem biegu 30-dniowego terminu wskazanego w art. 105a ust. 3 Prawa bankowego, nie można ustalać w oparciu o domniemania (wyrok Naczelnego Sądu Administracyjnego z dnia 27 sierpnia 2019 roku, w sprawie o sygn. akt I OSK 2514/17). Brak dowodu doręczenia skarżącemu przedmiotowej przesyłki skutkuje więc niemożliwością ustalenia konkretnego terminu zapoznania się przez skarżącego z treścią wskazanej informacji. Organ stwierdził, że Bank przetwarzając dane skarżącego na warunkach określonych w ww. przepisie, musi wykazać, że skarżący został poinformowany o zamiarze przetwarzania jego danych bez jego zgody. W niniejszej sprawie skarżący podniósł natomiast, że okoliczności wskazywane w art. 105a ust. 3 Prawa bankowego nie zostały spełnione w związku z czym Bank nie był uprawniony do przekazania jego danych osobowych do [...]. PUODO podkreślił, że brak jest innych dowodów wskazujących na prawidłowe i skuteczne poinformowanie skarżącego o treści art. 105a ust. 3 Prawa bankowego niż oświadczenie Banku, pozostające w sprzeczności z twierdzeniami skarżącego. PUODO zwrócił uwagę, że Bank nie przedstawił dowodu na prawidłowe doręczenie skarżącemu dokumentu, w treści którego zawarta była informacja o okolicznościach wskazanych w art. 105a ust. 3 Prawa bankowego, zatem okoliczność skutecznego poinformowania skarżącego o treści art. 105a ust. 3 Prawa bankowego nie może zostać uznana za udowodnioną. Organ podkreślił, że sporządzenie i wysłanie ww. pisma, nie jest równoznaczne z udowodnieniem jego prawidłowego doręczenia, skutkującego poinformowaniem skarżącego o zamiarze przetwarzania danych stanowiących tajemnicę bankową, bez jego zgody na podstawie art. 105a ust. 3 Prawa bankowego. Samo bowiem oświadczenie o przygotowaniu i wysłaniu korespondencji, czy też wydruk z aplikacji, w której archiwizowane są dane o pismach skierowanych do klientów, nie stanowią dowodu na jej dostarczenie lub poinformowanie o jej treści adresata. Przepisy powszechnie obowiązujące nie formułują obowiązku wysłania informacji, o której mowa w art. 105a ust. 3 Prawa bankowego w szczególnej formie. To do podmiotu informującego należy zatem wybór formy przekazania odbiorcy komunikatu, o zamiarze przetwarzania danych osobowych bez jego zgody. Jednocześnie to podmiot informujący wywodzi z powyższego skutki prawne, zatem to on musi wykazać, że poinformował skarżącego o zamiarze przetwarzania danych stanowiących tajemnicę bankową, bez jego zgody na podstawie art. 105a ust. 3 Prawa bankowego. PUODO wskazał, że podziela stanowisko Naczelnego Sądu Administracyjnego wyrażone w wyroku z dnia 7 sierpnia 2018 r. w sprawie o sygn. I OSK 2123/16, zgodnie z którym cyt.: "literalne odczytanie art. 105a ust. 3 Prawa bankowego może wskazywać na to, że ustawodawca nie stworzył w tym zakresie żadnych szczególnych wymogów formalnych co do sposobu i treści takiego poinformowania klienta lub byłego klienta banku. Prawidłowa wykładnia tego przepisu nie może jednak oznaczać całkowitej dowolności w tym zakresie. Przede wszystkim należy zwrócić uwagę na materialny (ochronny), a nie formalny charakter tego przepisu. Wymaga on w sposób kategoryczny »poinformowania«, a nie »wysłania zawiadomienia«". W ocenie PUODO w niniejszej sprawie nie zostały spełnione przesłanki z art. 105a ust 3 Prawa bankowego, zgodnie z którym Bank może przetwarzać informacje stanowiące tajemnicę bankową dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy bez ich zgody w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Organ podał ponadto, że w toku prowadzonego postępowania administracyjnego, również nie stwierdził okoliczności uprawniających Bank do przetwarzania danych osobowych skarżącego w oparciu o ww. podstawę prawną w powyższym celu. Końcowo organ zaznaczył, że prowadzone przez niego postępowanie administracyjne w każdym przypadku służy zbadaniu zasadności skierowania pod adresem określonego podmiotu nakazu, odpowiadającego dyspozycji art. 58 ust. 2 RODO, służącego przywróceniu stanu zgodnego z prawem w procesie przetwarzania danych. Wobec powyższego korzystając z uprawnienia przewidzianego w art. 58 ust. 2 lit. c RODO, PUODO nakazał Bankowi zaprzestanie przetwarzania na podstawie art. 105a ust. 3 Prawa bankowego danych osobowych skarżącego dotyczących umowy kredytowej o nr. [...] z dnia [...] kwietnia 2014 r. przetwarzanych w [...] w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Na powyższą decyzję Bank wniósł skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie. Zaskarżonej decyzji Bank zarzucił: 1) naruszenie przepisów postępowania, mające istotny wpływ na wynik sprawy, tj. art. 6, art. 7, art. 8 § 1 i 2, art. 77 § 1, art. 80 oraz art. 107 § 3 k.p.a. w zw. z art. 7 ust. 1 ustawy o ochronie danych osobowych, polegające na niezastosowaniu zasad ogólnych postępowania administracyjnego: praworządności, prawdy obiektywnej i pogłębiania zaufania do władzy publicznej oraz przekroczeniu granic swobodnej oceny dowodów, a w konsekwencji błędnym przyjęciu, że potwierdzenie nadania pisma listem poleconym nie stanowi dowodu poinformowania uczestnika postępowania o zamiarze przetwarzania jego danych osobowych bez jego zgody, w oparciu o w art. 105a ust. 3 ustawy Prawo bankowe, podczas gdy jest to dokument mający moc dokumentu urzędowego, stanowiący dostateczny dowód przekazania informacji zgodnie z wymogami art. 105a ust. 3 ustawy; 2) naruszenie przepisów prawa materialnego, które miało wpływ na wynik sprawy, tj. art. 105a ust. 3 ustawy Prawo bankowe, poprzez jego błędną wykładnię, skutkującą przyjęciem, że wykonanie obowiązku informacyjnego, o którym mowa w powołanym przepisie, polega na skutecznym doręczeniu osobie fizycznej, po wygaśnięciu jej zobowiązania wynikającego z umowy zawartej z bankiem, informacji o zamiarze przetwarzania jej danych osobowych bez jej zgody, podczas gdy prawidłowa interpretacja tego przepisu prowadzi do wniosku, iż "poinformowanie" oznacza rzeczywiste umożliwienie zapoznania się z treścią wyżej wymienionej informacji. W oparciu o powyższe zarzuty, Bank wniósł o: 1) uchylenie zaskarżonej decyzji w całości; 2) zasądzenie od PUODO na jego rzecz kosztów postępowania, w tym kosztów zastępstwa prawnego, według norm przepisanych. Jednocześnie Bank wniósł o: 1) zobowiązanie organu do wydania decyzji oddalającej skargę uczestnika postępowania o zaprzestanie przetwarzania jego danych osobowych w terminie wyznaczonym przez Sąd; 2) rozpoznanie sprawy w trybie uproszczonym; 3) wstrzymanie wykonania zaskarżonej decyzji w całości ze względu na niebezpieczeństwo spowodowania trudnych do odwrócenia skutków. W uzasadnieniu skargi Bank wysłał zawiadomienie dotyczące wypowiedzenia zawartej z uczestnikiem postępowania umowy, listem poleconym z informacją wymaganą art. 105a ust. 3 ustawy Prawo bankowe na adres uczestnika postępowania. Wysłana do uczestnika postępowania korespondencja polecona, w której znajdowała się informacja o przetwarzaniu danych osobowych zgodnie z art. 105a ust. 3 Prawo bankowe nigdy nie została zwrócona. Bank zwrócił uwagę, że w świetle art. 17 ustawy z dnia z dnia 23 listopada 2012 r. - Prawo pocztowe (Dz.U. z 2020 r. poz. 1041), przyjąć należy, że Bank dysponuje dowodem przekazania uczestnikowi postępowania informacji o zamiarze przetwarzania jego danych osobowych i dowód ten przedstawił organowi w toku postępowania. Bank podkreślił, że potwierdzenie nadania przesyłki rejestrowanej wydane przez placówkę pocztową operatora wyznaczonego ma moc dokumentu urzędowego, zatem przedłożony przez Bank dowód w postaci odpisu z pocztowej książki nadawczej jednoznacznie wskazuje na spełnienie przez Bank obowiązku informacyjnego, o którym mowa w art. 105a ust. 3 ustawy Prawo bankowe. Dalej Bank wskazał, że przyznanie potwierdzeniu nadania przesyłki rejestrowej wydanemu przez operatora wyznaczonego mocy prawnej dokumentu urzędowego rozpatrywać należy przez pryzmat art. 76 § 1 k.p.a., który stanowi, że dokumenty urzędowe sporządzone w przepisanej formie przez powołane do tego organy państwowe w ich zakresie działania, stanowią dowód tego, co zostało w nich urzędowo stwierdzone. Wprawdzie potwierdzenie nadania przesyłki poleconej nie jest dokumentem urzędowym, a jedynie ma "moc dokumentu urzędowego", jednak na zasadzie analogii do dokumentu tego należy stosować domniemania odnoszące się do dokumentów urzędowych, tj. domniemanie zgodności z prawdą oświadczenia uprawnionego podmiotu. Wobec tego, jeśli uczestnik postępowania kwestionuje skuteczność doręczenia mu przesyłek poleconych z Banku, powinien powołać dowody na tę okoliczność, gdyż art. 76 § 3 k.p.a. umożliwia przeprowadzenie dowodu przeciwko treści dokumentu, o którym mowa w art. 76 § 1 k.p.a. Bank stwierdził również, że analiza treści art. 105a ust. 3 ustawy Prawo bankowe prowadzi do wniosku, że trzydziestodniowy termin, po upływie którego jest możliwe przetwarzanie danych osobowych osoby, która dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, bez jej zgody, biegnie od momentu, gdy osoba ta została poinformowana przez bank o takim zamiarze. Ustawodawca nie określił przy tym żadnych szczególnych wymogów formalnych, co do sposobu i treści takiego poinformowania. Zdaniem Banku nie ulega wątpliwości, że w każdym wypadku sposób ten powinien dawać sposobność potwierdzenia, że adresatowi umożliwiono zapoznanie się z informacją. Wykładnia językowa przesłanek wskazanych w art. 105a ust. 3 ustawy Prawo bankowe, a w szczególności słowa "poinformować", jednoznacznie wskazuje, iż "poinformowanie" należy rozumieć jako rzeczywiste umożliwienie zaznajomienia się informacją osobie, do której jest ona kierowana. Zdaniem Banku dokonując analizy art. 105a ust. 3 ustawy Prawo bankowe nie można abstrahować od celu wprowadzenia uregulowanej tam możliwości przetwarzania danych bez zgody samego dłużnika. Omawiany przepis ma umożliwić przekazywanie przez m.in. banki, danych nierzetelnych dłużników, tj. osób, które pomimo zaciągnięcia określonego zobowiązania wobec banku, nie wywiązują się z umowy i nie spłacają swojego zobowiązania przez okres dłuższy niż 60 dni, do [...]. Celem art. 105a ust. 3 ustawy Prawo bankowe nie jest więc ochrona nierzetelnego dłużnika, a ochrona sektora bankowego, a tym samym uczciwych kredytobiorców, przed zaciąganiem kredytów lub pożyczek przez osoby, które swoich zobowiązań nie regulują lub regulują je ze znacznym opóźnieniem. W ocenie Banku przyjęcie wykładni art. 105a ust. 3 ustawy Prawo bankowe zaproponowanej przez organ prowadziłoby do istotnych nadużyć po stronie nierzetelnych dłużników i wypaczałoby sens regulacji, dając osobom niewywiązującym się ze swoich zobowiązań możliwość unikania ujawnienia informacji o nich w [...] poprzez proste uchylanie się od odbioru korespondencji. Dłużnicy tacy mogliby każdorazowo zarzucać, że nie mogli zapoznać się z treścią pisma, jeśli zwrotne potwierdzenie odbioru nie zostałoby podpisane przez daną osobę osobiście. Bank zarzucił, że wykładnia przyjęta przez organ jest błędna także i z tego powodu, że gdyby przyjąć ją za słuszną, w analogiczny sposób należałoby oczekiwać od każdego wierzyciela, że będzie wysyłał dłużnikowi wezwanie do zapłaty za potwierdzeniem osobistego odbioru lub doręczał do rąk własnych dłużnika. Miałoby to ten skutek, że nierzetelny dłużnik starający się uniemożliwić skuteczne dochodzenie roszczeń, uchylałby się od odebrania przesyłek, co utrudniłoby w istotnym stopniu proces windykacji i dawało niezasadne przywileje osobom niewywiązującym się ze swoich zobowiązań. W przedmiotowej sprawie informacja została wysłana uczestnikowi postępowania razem z oświadczeniem o wypowiedzeniu umowy. Uczestnik nigdy nie zakwestionował skuteczności wypowiedzenia umowy, choć przecież brak doręczenia oświadczenia o nim, w teorii mógłby pozbawić wypowiedzenia skuteczności. Wykładnia przyjęta przez PUODO prowadziłaby do wniosku, że także każde wypowiedzenie umowy powinno być wysyłane za potwierdzeniem odbioru lub doręczane do rąk własnych drugiej strony. Stoi to w jawnej sprzeczności z przepisami dotyczącymi oświadczeń woli, w szczególności z art. 61 § 1 Kodeksu cywilnego. W odpowiedzi na skargę organ wniósł o oddalenie skargi, podtrzymując argumentację zawartą w zaskarżonej decyzji. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Na wstępie należy wyjaśnić, że złożona w niniejszej sprawie skarga została rozpoznana na posiedzeniu niejawnym w trybie uproszczonym, stosownie do art. 119 pkt 2 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2024 r. poz. 935), dalej "p.p.s.a." Zgodnie z powołaną regulacją, sprawa może być rozpoznana w trybie uproszczonym, jeżeli strona zgłosi wniosek o skierowanie sprawy do rozpoznania w trybie uproszczonym, a żadna z pozostałych stron w terminie czternastu dni od zawiadomienia o złożeniu wniosku nie zażąda przeprowadzenia rozprawy. W skardze Bank wniósł o rozpoznanie sprawy w trybie uproszczonym, zaś żadna z pozostałych stron nie zażądała przeprowadzenia rozprawy. Zgodnie z art. 1 § 1 i § 2 ustawy z dnia 25 lipca 2002 r. Prawo o ustroju sądów administracyjnych (Dz. U. z 2022 r., poz. 2492, z późn. zm.) oraz art. 3 § 1 p.p.s.a., sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej. Kontrola ta polega na ocenie zgodności zaskarżonego aktu z przepisami postępowania administracyjnego, a także prawidłowości zastosowania i wykładni norm prawa materialnego. Kontrola ta jest dokonywana według stanu faktycznego i prawnego obowiązującego w dacie wydania zaskarżonego aktu. W myśl art. 134 § 1 i 2 p.p.s.a. sąd rozstrzyga w granicach danej sprawy nie będąc związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną, z zastrzeżeniem art. 57a, przy czym sąd nie może wydać orzeczenia na niekorzyść skarżącego, chyba że stwierdzi naruszenie prawa skutkujące stwierdzeniem nieważności zaskarżonego aktu lub czynności. Rozpatrując skargę wedle powyższych kryteriów Sąd uznał, że nie zasługuje ona na uwzględnienie. Istota sprawy, a zarazem sporu między stronami, sprowadza się do tego, czy Bank dopełnił obowiązku informacyjnego wobec uczestnika postepowania, zgodnie z art. 105a ust. 3 in fine ustawy Prawo bankowe, czy też nie miało to miejsca oraz czy w związku z tym PUODO w okolicznościach faktycznych sprawy był uprawniony do skorzystania w zaskarżonej decyzji z uprawnienia naprawczego, przewidzianego w art. 58 ust. 2 lit. c) RODO i nakazania Bankowi – w związku z żądaniem osoby, której dane osobowe dotyczyły - zaprzestania przetwarzania ww. danych osobowych uczestnika postępowania, związanych z ww. umową kredytową w systemie [...]. W myśl bowiem art. 4 pkt 2 RODO przetwarzanie danych oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie. Warunki uznania przetwarzania danych osobowych za legalne określono w art. 6 ust. 1 RODO, zgodnie z którym, przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy - i w takim zakresie, w jakim - spełniony jest co najmniej jeden z poniższych warunków: a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów; b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy; c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze; d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej; e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi; f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Akapit pierwszy lit. f nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań. Zgodnie z art. 105a ust. 1 ustawy Prawo bankowe, przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów, instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, a także instytucje utworzone na podstawie art. 105 ust. 4 ustawy Prawo bankowe, informacji stanowiących tajemnicę bankową i informacji udostępnionych przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem art. 104, art. 105 i art. 106-106d, w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Z art. 105a ust. 2 ustawy Prawo bankowe wynika, że z zastrzeżeniem ust. 3, instytucje, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową oraz informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, w zakresie dotyczącym osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, pod warunkiem uzyskania pisemnej zgody osoby, której informacje te dotyczą, z zastrzeżeniem ust. 2a. Zgoda ta może być w każdym czasie odwołana. Stosownie do treści art. 105a ust. 3 ustawy Prawo bankowe, banki, instytucje oraz podmioty, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową i informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank, inną instytucję ustawowo upoważnioną do udzielania kredytów, instytucję pożyczkową albo podmiot, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, o zamiarze przetwarzania dotyczących jej informacji, bez jej zgody. Jak wskazuje się w orzecznictwie Naczelnego Sądu Administracyjnego (zob. wyroki: z dnia 27 sierpnia 2019 r.; sygn. akt I OSK 2514/17 oraz z dnia 16 stycznia 2024 r., sygn. akt III OSK 3233/21, orzeczenia.nsa.gov.pl) istotną przesłanką umożliwiającą zastosowanie tego przepisu jest poinformowanie osoby, która nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem itd., przez ten bank lub inną instytucję wymienioną w tym przepisie o zamiarze przetwarzania dotyczących jej informacji, bez jej zgody. Co ważne, jeśli w okresie 30 dni od poinformowania o zamiarze przetwarzania informacji bez zgody, klient spłacił całą zaległość wobec banku, to po upływie 30 – go dnia bank i inna instytucja upoważniona do udzielania kredytów oraz instytucja z art. 105 ust. 4 Prawa bankowego nie mogą przetwarzać informacji bez jego zgody. Termin trzydziestodniowy został bowiem wprowadzony w celu zapewnienia konsumentowi ostatecznej możliwości wywiązania się z zobowiązań wobec banku i uniknięcia tym samym sankcji w postaci przetwarzania o nim informacji jako o niesolidnym dłużniku przez okres 5 lat. Podkreślenia wymaga, że ustawodawca nie zdefiniował użytego w art.105a ust. 3 ustawy Prawo bankowe pojęcia "poinformować" jak i nie określił normatywnie jakichkolwiek szczególnych wymogów formalnych co do sposobu i treści takiego "poinformowania" klienta banku lub byłego klienta banku. Prawidłowa wykładnia tego przepisu nie może jednak oznaczać całkowitej dowolności w tym zakresie. "Poinformować" generalnie oznacza zaś tyle co "udzielić informacji, wskazówek, objaśnić, powiadomić o czymś, podać do wiadomości" (Słownik języka polskiego, pod red. M. Szymczaka, Warszawa 1988, t. II, s.766), czyli spowodować, że ktoś zaczyna o czymś wiedzieć. Podkreślić przy tym należy materialny (ochronny), a nie formalny charakter tego przepisu. Dane osobowe są bowiem wartością chronioną ustawowo, a prawo od ich ochrony - jak przyjmuje się w piśmiennictwie – "stanowi swego rodzaju emanację ogólnego prawa gwarantowanego art. 47 Konstytucji RP. Mając na uwadze powyższe zapatrywania podzielić jednakże należy generalne stanowisko, iż przy analizie przepisu art. 105a ust. 3 ustawy Prawo bankowe nie powinno się także abstrahować od istoty (celu) wprowadzenia instytucji przetwarzania danych osobowych dłużnika bez jego zgody na mocy tego przepisu ustawy. Ustawodawca w treści wskazanego przepisu odniósł się bowiem do kwestii przetwarzania danych nierzetelnych dłużników, to jest osób, które pomimo zaciągnięcia określonego zobowiązania wobec banku, nie wywiązują się z umowy i nie spłacają swojego zobowiązania, chroniąc w ten sposób inne podmioty przed wyłudzaniem kolejnych pożyczek, a także pośrednio - rzetelnych kredytobiorców. Oczywistym jest przy tym wskazanie, że pozycja dłużnika wobec podmiotu udzielającego pożyczki jest z założenia słabsza, a skutek w postaci przetwarzania danych osobowych bez jego zgody ma charakter publicznoprawny. Powyższe oznacza, że w istocie wszelkie regulacje znoszące tę ochronę muszą być odczytywane i wykładane ściśle, z uwzględnieniem funkcji jakiej mają służyć. Przy takiej wykładni, sformułowanie użyte w przepisie art. 105a ust. 3 ustawy Prawo bankowe, dotyczące obowiązku informacyjnego banku, musi więc oznaczać, że nie jest to tylko obowiązek formalny. Jakkolwiek ustawodawca w żaden sposób nie ograniczył sposobów i form takiego powiadomienia, to sposób ten powinien umożliwić zweryfikowanie faktu wykonania przez bank obowiązku poinformowania klienta banku o zamierzonym przetwarzaniu jego danych osobowych. Zauważyć bowiem należy, że prawodawca użył kategorycznej formy "poinformować", a nie "informować", względnie "wysłać zawiadomienie". Określony w ustawie skutek ma bowiem nastąpić po upływie "30 dni od poinformowania tej osoby przez bank", a nie od dnia wysłania stosownej informacji. Jak wskazano w orzecznictwie (zob. przywołany wyrok Naczelnego Sądu Administracyjnego z dnia 16 stycznia 2024 r.; sygn. akt III OSK 3233/21) "poinformowanie" może nastąpić np. osobiście w placówce banku lub innego podmiotu wymienionego w art. 105a ust. 3 Prawa bankowego, poprzez przesyłkę doręczaną listownie lub przez pracownika banku albo innego uprawnionego podmiotu, a nawet nie można również wykluczyć możliwości skierowania takiej informacji drogą elektroniczną (o ile strony w zawartej umowie taką formę korespondencji przewidziały przez bank w tym zakresie z podmiotem zewnętrznym). O ile więc sposób i forma poinformowania klienta mogą być różnorodne, to jednak w każdym wypadku sposób ten powinien umożliwić zweryfikowanie faktu poinformowania klienta banku o zamierzonym przetwarzaniu jego danych osobowych. Wybór formy poinformowania adresata, operatora pocztowego i sposobu przekazania informacji oraz związany z tym obowiązek wykazania tego faktu obciążają bank lub inny zobowiązany podmiot, gdyż to one wywodzą z tego faktu skutki prawne. Taki sposób rozumienia obowiązku poinformowania zamieszczonego w art. 105a ust. 3 Prawa bankowego wynika nie tylko z gwarancyjnego charakteru tego przepisu dla kredytobiorcy, ale także z dobrze pojętego interesu podmiotów udzielających kredytów, aby w sposób skuteczny zamieścić w stosownym rejestrze stosowną informację o nierzetelnym kredytobiorcy (por. wyrok NSA z dnia 13 czerwca 2024 r., sygn. akt III OSK 2334/22, orzeczenia.nsa.gov.pl). Sąd podziela też stanowisko PUODO, wyrażone w oparciu o poglądy prezentowane w judykaturze, że daty, będącej początkiem biegu 30-dniowego terminu wskazanego w art. 105a ust. 3 ustawy Prawo bankowe, nie można ustalać w oparciu o domniemania. Biorąc pod uwagę powyższe, podzielić należy stanowisko PUODO wyrażone w uzasadnieniu zaskarżonej decyzji, że przetwarzanie przez Bank danych osobowych uczestnika postępowania, wbrew stanowisku Banku prezentowanemu w postępowaniu administracyjnym i w skardze do WSA w Warszawie, nie miało podstaw w art. 105a ust. 3 in fine ustawy Prawo bankowe. Z przepisu tego wynika bowiem, że warunkiem dopuszczalności przetwarzania informacji o kliencie, będącym osobą fizyczną, po wygaśnięciu zobowiązania, jest upływ co najmniej 30 dni od poinformowania tej osoby przez bank o zamiarze przetwarzania tych informacji. Bank nie dysponuje natomiast dowodem wskazującym, że uczestnikowi postępowania doręczone zostało zawiadomienie o zamiarze przetwarzania jego danych bez jej zgody. Brak dowodu doręczenia uczestnikowi postępowania ww. przesyłki skutkuje więc niemożliwością ustalenia konkretnego terminu zapoznania się przez niego z treścią wskazanej informacji (por. np. wyrok NSA z 27 sierpnia 2019 r. sygn. akt I OSK 2514/17, orzeczenia.nsa.gov.pl). Z przedstawionego materiału dowodowego zgromadzonego w sprawie wynika jedynie, że w dniu [...] października 2015 r. Bank wysłał do uczestnika postępowania listem poleconym pismo oświadczenie o wypowiedzeniu umowy, w którym znalazła się informacja dotycząca przetwarzania danych osobowych uczestnika postępowania bez jego zgody, tj. na podstawie art. 105a ust. 3 ustawy Prawo bankowe. Korespondencja ta została wysłana listem poleconym bez zwrotnego potwierdzenia odbioru. Bank nie przedstawił żadnego dowodu doręczenia tej przesyłki poleconej. Jednocześnie uczestnik postępowania zaprzecza temu aby Bank spełnił wobec niego obowiązek poinformowania o zamiarze przetwarzania dotyczących jego informacji stanowiących tajemnicę bankową bez jego zgody, co było wymagane zgodnie z art. 105a ust. 3 ustawy Prawo bankowe. Zdaniem Sądu rację ma organ, wskazując w uzasadnieniu zaskarżonej decyzji, że z akt administracyjnych wynika, że Bank nie spełnił łącznie wszystkich warunków przewidzianych w art. 105a ust. 3 ustawy Prawo bankowe, uprawniających do rozpoczęcia przetwarzania ww. danych osobowych uczestnika postępowania w bazie [...]. W aktach administracyjnych nie ma bowiem dowodu wskazującego, że doszło do skutecznego zawiadomienia uczestnika postępowania przez Banku o zamiarze przetwarzania tych danych, bez jego zgody. Dowód nadania przesyłki listem poleconym dowodzi jedynie, że przesyłkę nadano. To, że zgodnie z art. 17 Prawa pocztowego, potwierdzenie nadania przesyłki rejestrowanej lub przekazu pocztowego wydane przez placówkę pocztową operatora wyznaczonego ma moc dokumentu urzędowego, nie jest równoznaczne z wykazaniem, że poinformowanie nastąpiło w konkretnej dacie, tj., że przesyłka doręczona została konsumentowi. Potwierdzenie nadania przesyłki rejestrowanej, zgodnie z art. 17 Prawa pocztowego, stanowi dowód, że daną przesyłkę nadano. Wywodzenie z powołanego przepisu Prawa pocztowego skutku w postaci doręczenia przesyłki konkretnej osobie, w konkretnej przy tym dacie, nie jest uprawnione, zwłaszcza w sytuacji, gdy z danym doręczeniem (poinformowaniem) w konkretnej dacie ustawodawca wiąże ściśle określone skutki. Nie ma żadnych podstaw, aby na gruncie art. 105a ust. 3 ustawy Prawo bankowe, opierając się na Regulaminie świadczenia usług powszechnych i na Prawie pocztowym, próbować ustalać domniemany czy najbardziej prawdopodobny termin, w którym to ewentualnie mogło nastąpić doręczenie przesyłki zawierającej informację, o której mowa w art. 105a ust. 3 ustawy Prawo bankowe. Nadanie powiadomienia, o którym mowa w art. 105a ust. 3 ustawy Prawo bankowe, listem poleconym nie pozwala – w okolicznościach sprawy – na ustalenie początku biegu wskazanego terminu. Skoro to Bank wywodzi skutki prawne z powiadomienia strony o zamiarze przetwarzania jej danych osobowych stanowiących tajemnicę bankową bez jej zgody, to musi wykazać, że bezskutecznie upłynęło 30 dni od daty poinformowania strony o tym zamiarze. Wykazanie tej okoliczności wymaga jednak – co oczywiste – wykazania początku biegu owego trzydziestodniowego terminu. W okolicznościach faktycznych sprawy, wynikających z akt administracyjnych nie miało to miejsca. Skoro w sprawie nie było możliwe ustalenie tej okoliczności, to prawidłowe było uznanie przez PUODO, że nie wyczerpano w sprawie wymogów art. 105a ust. 3 ustawy Prawo bankowe. Zwrócić przy tym należy uwagę, że w rozpatrywanej sprawie Bank podnosił, że [...] października 2015 r. nadał jednocześnie do uczestnika postępowania przesyłkę zawierającą oświadczenie Banku o wypowiedzeniu umowy z [...] kwietnia 2014 r. Bank wskazuje również, że uczestnik postępowania nigdy nie kwestionował skuteczności wypowiedzenia umowy. Zdaniem Sądu okoliczność, że uczestnik postępowania nie zakwestionował skuteczności wypowiedzenia umowy nie ma znaczenia w sprawie dotyczącej zgodności z prawem przetwarzania jego danych osobowych. Organ ochrony danych osobowych nie rozstrzyga bowiem kwestii skuteczności czynności prawnej wypowiedzenia umowy. Z orzecznictwa Sądu Najwyższego i Naczelnego Sądu Administracyjnego wynika natomiast jednoznacznie, że domniemanie doręczenia, o którym mowa wyżej, może być przez adresata obalone przez wykazanie, że nie miał możliwości zapoznania się z tym poinformowaniem (por. wyrok SN z 17 marca 2010r. sygn. akt II CSK 454/09, OSNC 2010/10/142; wyrok NSA z 20 stycznia 2021 r. sygn. akt III OSK 2491/21, Lex nr 3117872). Ponadto, tak jak już podniesiono powyżej, w orzecznictwie Naczelnego Sądu Administracyjnego podkreśla się materialny (ochronny), a nie formalny charakter obowiązku informacyjnego, o którym mowa w art. 105a ust. 3 ustawy Prawo bankowe. Zauważa się przy tym, za poglądami wyrażanymi w literaturze przedmiotu, że dane osobowe są wartością chronioną ustawowo, a prawo od ich ochrony stanowi swego rodzaju emanację ogólnego prawa gwarantowanego Konstytucją RP (art. 47). Spostrzeżenie to oparte jest na założeniu, że dane osobowe są niejako częścią życia prywatnego lub rodzinnego, względnie - że posługiwanie się danymi dotyczącymi innej osoby wkracza w przyznaną jej kompetencję decydowania o swoim życiu osobistym. Reasumując stwierdzić należy, w rozpatrywanej sprawie nie zostały spełnione przesłanki z art. 105a ust. 3 ustawy Prawo bankowe, zgodnie z którym Bank może przetwarzać informacje stanowiące tajemnicę bankową dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy bez ich zgody w celu oceny zdolności kredytowej i analizy ryzyka kredytowego, wobec czego brak jest celu uzasadniającego przetwarzanie ww. danych osobowych, w oparciu o ww. podstawę prawną w podanych przez organ celach. Dlatego też korzystając z uprawnienia przewidzianego w art. 58 ust. 2 lit. c) RODO, PUODO zasadnie nakazał Bankowi zaprzestanie przetwarzania na podstawie art. 105a ust. 3 ww. ustawy danych osobowych uczestniczka w systemie [...]. Mając powyższe na względzie Sąd na podstawie art. 151 p.p.s.a. oddalił skargę.