II SA/Wa 1661/23

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Izabela Głowacka-Klimas, Sędzia WSA Tomasz Szmydt, Sędzia WSA Andrzej Wieczorek (spr.), po rozpoznaniu w trybie uproszczony w dniu 15 kwietnia 2024 r. sprawy ze skargi [...] S.A. z siedzibą [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] czerwca 2023 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę Prezes Urzędu Ochrony Danych Osobowych (dalej organ/Prezes UODO) decyzją z dnia [...] czerwca 2023 r. nr [...] nakazał [...] S.A. z siedzibą [...] (dalej Bank/skarżący), zaprzestanie przetwarzania danych A. G. (dalej uczestniczka), dotyczących umowy z dnia [...] kwietnia 2014 r., numer [...] (dalej Umowa), przetwarzanych na podstawie art. 105a ust. 3 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz. U. z 2022 r. poz. 2439 ze zm.; dalej: Prawo bankowe) w systemie [...] S.A. z siedzibą w [...] (dalej [...]) w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Uczestniczka wniosła do organu skargę, na nieprawidłowości w procesie przetwarzania jej danych osobowych przez Bank polegające na przetwarzaniu jej danych osobowych bez podstawy prawnej w zakresie Umowy oraz ich udostępnieniu na rzecz [...]. W toku prowadzonego postępowania administracyjnego, ustalono: Uczestniczka zawarła z Bankiem Umowę. Bank pomimo całkowitej spłaty zobowiązania i niepoinformowania uczestniczki o zamiarze dalszego przetwarzania jej danych osobowych, wciąż przetwarza jej dane osobowe. Podniosła, że Bank nie spełnił wymogów, określonych w art. 105a Prawa bankowego. Wyjaśniła, że wycofała zgodę na przetwarzanie jej danych osobowych przez Bank, mimo tego Bank nadal przetwarza jej dane osobowe w bazie [...], wobec czego zasadne jest wniesienie skargi o nakazanie Bankowi usunięcia jej danych osobowych, przetwarzanych w bazie [...] (dowód: skarga z dnia [...] października 2021 r. wraz z załącznikami oraz pismo uzupełniające braki z dnia [...] grudnia 2021 r.). Bank wyjaśnił, że pozyskał dane osobowe uczestniczki w wyniku zawarcia Umowy. Stwierdził, że uczestniczka dopuściła się zwłoki w terminie spłaty zobowiązań wynikających z Umowy trwającej powyżej 60 dni. W związku z faktem, że uczestniczka rażąco naruszyła postanowienia Umowy, Bank przesłał list uczestniczce, na podany przez nią adres (oświadczenie z dnia [...] sierpnia 2015 r. data nadania [...] sierpnia 2015 r.) W oświadczeniu zawarta została również informacja, że Bank po spełnieniu zobowiązania przez uczestniczkę uprawniony będzie do przetwarzania jej danych na podstawie art. 105a ust. 3 Prawa bankowego. Bank wskazał, że nie posiada dowodu dostarczenia ww. pism do uczestniczki (dowód: wyjaśnienia Banku z dnia [...] stycznia 2023 r. wraz z załącznikami). Bank wyjaśnił, że od poinformowania uczestniczki o zamiarze przetwarzania jej danych osobowych na podstawie art. 105a ust. 3 Prawa bankowego do momentu przetwarzania ich w [...], upłynęło co najmniej 30 dni, gdyż korespondencja została wysłana do uczestniczki w związku z Umową w dniu [...] sierpnia 2015 r., a przetwarzanie jej danych osobowych na podstawie art. 105a ust. 3 Prawa bankowego rozpoczęło się w dniu [...] września 2018 r., tj. w dniu zamknięcia Umowy. Bank wyjaśnił, że przekazał dane osobowe uczestniczki do [...] w zakresie: aktualnej kwoty kredytu, stanu zadłużenia, zaległości, imienia i nazwiska, numeru PESEL, numeru dowodu osobistego oraz adresu zamieszkania (dowód: wyjaśnienia Banku z dnia [...] stycznia 2023 r. wraz z załącznikami). Nadto poinformował, że po raz pierwszy przekazał dane osobowe uczestniczki do [...] na podstawie art. 105 ust. 4 Prawa bankowego, dla Umowy w dniu [...] kwietnia 2014 r. wsadem z dnia [...] kwietnia 2014 r. Bank wskazał, że oznaczenie sanacyjności powiązane jest z wysyłką pisma z informacją o zamiarze przetwarzania danych na podstawie art. 105a ust.3 Prawa bankowego, oznaczenie statusu sankcyjnego (daty) przewiduje upływ określonego terminu od daty wysyłki pisma z klauzulą dotyczącą przetwarzania danych w [...] (dowód: wyjaśnienia Banku z dnia [...] stycznia 2023 r. wraz z załącznikami). Bank wskazał, że dane osobowe uczestniczki z Umowy będą przetwarzane przez [...] na podstawie art. 105a ust. 3 Prawa bankowego przez 5 lat od daty [...] września 2018 r. (dowód: wyjaśnienia Banku z dnia [...] stycznia 2023 r. wraz z załącznikami). Uczestniczka zwróciła się do Banku w dniu [...] kwietnia 2021 r. z żądaniem zaprzestania przetwarzania jej danych osobowych w bazie [...], na które to żądanie Bank udzielił odpowiedzi odmownej w dniu [...] maja 2021 r. Bank wskazał, że dane osobowe uczestniczki będą przetwarzane na podstawie art. 105a ust. 3 Prawa bankowego, z uwagi na spełnienie się warunków określonych tym artykułem. Równocześnie Bank poinformował uczestniczkę, że wniosek wycofujący zgody na przetwarzanie jej danych osobowych w bazie [...] zostanie zrealizowany pięć lat po wygaśnięciu zobowiązania. Uczestniczka ponowiła wniosek z żądaniem zaprzestania przetwarzania. [...] wskazał, że aktualnie przetwarza dane osobowe uczestniczki dot. Umowy w celu oceny zdolności kredytowej i analizy ryzyka kredytowego na podstawie art. 105a ust. 3 Prawa bankowego, ze względu na przekazanie przez Bank do [...] informacji o spełnieniu warunków, o których mowa w tym przepisie dających podstawę do przetwarzania danych bez zgody uczestniczki. Dane będą przetwarzane w tym celu przez okres 5 lat od dnia wygaśnięcia zobowiązania, zgodnie z art. 105a ust. 5 Prawa bankowego [...] wyjaśnił, że dane zostały pozyskane na podstawie art. 105 ust. 4 Prawa bankowego, art. 105a ust. 1 Prawa bankowego oraz na podstawie łączącej Bank i [...] umowy, w zakresie danych identyfikujących uczestniczkę oraz danych dotyczących zaciągniętych zobowiązań. Dane zostały pozyskane w celu wykonywania czynności bankowych, w szczególności oceny zdolności kredytowej i analizy ryzyka kredytowego, w celach statystycznych i analiz, których wynikiem nie są dane osobowe i wynik ten nie służy za podstawę podejmowania decyzji dotyczących konkretnych osób fizycznych oraz w celu stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w art. 105a ust. 4 Prawa bankowego. Dane zostały przekazane do [...] przez Bank w dniu [...] maja 2014 r. Jako datę wygaśnięcia zobowiązania wynikającego z Umowy Bank wskazał dzień [...] września 2018 r. (dowód: wyjaśnienia [...] z dnia 24 lutego 2022 r.). [...] wyjaśnił, że aktualnie przetwarza dane osobowe uczestniczki wynikające z Umowy w zakresie: imienia, nazwiska, numeru PESEL, serii i numer dowodu osobistego, płci, daty urodzenia, statusu obywatelstwa, adresu zamieszkania oraz danych dotyczących zaciągniętych zobowiązań (dowód: wyjaśnienia [...] z dnia [...] stycznia 2023 r.). [...] wyjaśnił, że Bank oraz uczestniczka nie zwracali się do [...] z wnioskiem o usunięcie danych osobowych uczestniczki wynikających z Umowy (dowód: wyjaśnienia [...] z dnia 24 lutego 2022 r.). Analizując sprawę w opisanym wyżej stanie faktycznym organ stwierdził, że przepisem uprawniającym administratorów danych do przetwarzania zwykłych danych osób fizycznych jest art. 6 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35, zwanego dalej RODO), zgodnie z którym, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy spełniona jest jedna z przesłanek wskazanych w tym przepisie. Katalog przesłanek wymienionych w art. 6 ust. 1 RODO, jest zamknięty. Każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny. W ocenie organu co do zasady podstawą prawną przetwarzania danych osobowych klientów przez Bank w [...] może być obecnie art. 6 ust. 1 lit. f RODO, o ile przetwarzanie to jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora. Przetwarzanie danych osobowych klientów Banku przez [...] odbywa się na podstawie umowy zawartej z Bankiem. Podniósł, że [...] jest instytucją utworzoną na podstawie art. 105 ust. 4 Prawa bankowego, który stanowi, że banki mogą, wspólnie z bankowymi izbami gospodarczymi, utworzyć instytucje upoważnione do gromadzenia, przetwarzania i udostępniania bankom informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 575/2013 z dnia 26 czerwca 2013 r. w sprawie wymogów ostrożnościowych dla instytucji kredytowych oraz zmieniające rozporządzenie (UE) nr 648/2012 (Dz.U.UE.L.2013.176.1 z dnia 27 czerwca 2013 r., zwane dalej: rozporządzeniem nr 575/2013), innym instytucjom ustawowo upoważnionym do udzielania kredytów informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są niezbędne w związku z udzielaniem kredytów, pożyczek pieniężnych, gwarancji bankowych i poręczeń (pkt 2), instytucjom kredytowym informacji stanowiących tajemnicę bankową w zakresie niezbędnym do oceny zdolności kredytowej konsumenta, o której mowa w art. 9 ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim (Dz.U. z 2022 r. poz. 246 ze zm., zwanej dalej ustawą o kredycie) (pkt 3), instytucjom pożyczkowym i podmiotom, o których mowa w art. 59d ustawy o kredycie na zasadzie wzajemności, informacji stanowiących odpowiednio tajemnice bankową oraz informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy o kredycie, w zakresie niezbędnym do oceny zdolności kredytowej konsumenta, o której mowa w art. 9 tej ustawy, i analizy ryzyka kredytowego (pkt 4). Wskazał, że zgodnie z art. 105a ust. 1 Prawa bankowego, przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów, instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy o kredycie, a także instytucje utworzone na podstawie art. 105 ust. 4 Prawa bankowego, informacji stanowiących tajemnicę bankową i informacji udostępnionych przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy o kredycie, w zakresie dotyczącym osób fizycznych, może być wykonywane, z zastrzeżeniem art. 104,105 i art. 106 - 106d Prawa bankowego w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Zgodnie zaś z art. 105a ust. 3 Prawa bankowego banki, instytucje oraz podmioty, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową i informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy o kredycie, dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy o kredycie, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy o kredycie, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank, inną instytucję ustawowo upoważnioną do udzielania kredytów, instytucję pożyczkową albo podmiot, o którym mowa w art. 59d ustawy o kredycie, o zamiarze przetwarzania dotyczących jej tych informacji, bez jej zgody. W odniesieniu do żądania uczestniczki nakazania Bankowi zaprzestania przetwarzania w [...] danych osobowych uczestniczki z Umowy, wskazał, że uczestniczka wystąpiła do Banku w dniu [...] kwietnia 2021 r. z żądaniem zaprzestania przetwarzania i udostępniania jej danych osobowych w [...]. Pismem z dnia [...] maja 2021 r. Bank wskazał, że spełnione zostały przesłanki do przetwarzania danych osobowych uczestniczki bez jej zgody na podstawie art. 105a ust. 3 Prawa bankowego. Zobowiązanie uczestniczki wobec Banku wygasło [...] września 2018 r., to jak wynika ze zgromadzonego materiału dowodowego odnośnie spłaty zadłużenia, uczestniczka dopuściła się zwłoki trwającej dłużej niż 60 dni w przypadku ww. zobowiązania. W ocenie organu istotnym w niniejszej sprawie jest to, że Bank nie spełnił wobec uczestniczki obowiązku określonego w art. 105a ust. 3 Prawa bankowego, tj. nie poinformował jej skutecznie o zamiarze przetwarzania dotyczących jego informacji stanowiących tajemnicę bankową, bez jej zgody po wygaśnięciu zobowiązania wynikającego z przedmiotowej umowy. Stwierdził, że sam fakt, iż uczestniczka nie wykonała zobowiązania lub spóźniła się z jego wykonaniem co najmniej 60 dni nie upoważnia Banku do przetwarzania jej danych na warunkach określonych w art. 105a ust. 3 Prawa bankowego. Moment, od którego należy liczyć sześćdziesięciodniowy termin, w którym osoba fizyczna dopuszcza się zwłoki w wykonaniu zobowiązania, to termin wykonania zobowiązania. Dopiero po upływie 60 dni zaczyna biec termin 30 dni, w którym instytucja oczekuje jeszcze na wykonanie zobowiązania klienta. Termin 30 dni biegnie od momentu, w którym osoba fizyczna zostanie skutecznie poinformowana przez instytucję o zamiarze przetwarzania. Ostatecznie to bezskuteczny upływ 30 dni od momentu poinformowania - a nie zaś jak twierdzi Bank - nadania pisma z informacją - stanowi o wypełnieniu przesłanek z art. 105a ust. 3 Prawa bankowego. Wobec wysłania oświadczenia o wypowiedzeniu przedmiotowej umowy wraz z informacją o zamiarze przetwarzania danych uczestniczce na podstawie art. 105a ust. 3 Prawa bankowego listem poleconym, nie można ustalić daty zapoznania się przez uczestniczkę z przesłaną jej informacją, a tym samym niemożliwe jest ustalenie daty, od której płynie 30 dniowy termin określony ww. przepisie. Prezes UODO stwierdził, że podziela w tym zakresie stanowisko wyrażone w wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 18 stycznia 2022 r. w sprawie o sygn. II SA/Wa 3584/21, zgodnie z którym cyt.: "poinformowanie adresata oświadczenia winno, z uwagi na wspomniany powyżej dodatkowy trzydziestodniowy termin na wykonanie zobowiązania, nastąpić w ten sposób, by można było ustalić początek biegu tego terminu. Dopiero bowiem bezskuteczny upływ owego trzydziestodniowego dodatkowego terminu upoważnia Bank do przetwarzania danych osobowych w oparciu o przepis art. 105a ust. 3 Prawa bankowego. W ocenie organu nadanie powiadomienia, o którym mowa w art. 105a ust. 3 ustawy - Prawo bankowe, listem nie pozwala - w okolicznościach niniejszej sprawy - na ustalenie początku biegu wskazanego terminu. Organ uznał, że skoro to Bank wywodzi skutki prawne z powiadomienia strony o zamiarze przetwarzania jej danych osobowych stanowiących tajemnicę bankową bez jej zgody, to musi wykazać, że bezskutecznie upłynęło 30 dni od daty poinformowania strony o tym zamiarze. W ocenie organu wykazanie tej okoliczności wymaga wskazania początku biegu owego trzydziestodniowego terminu". Zdaniem organu z powyższego wynika zatem, iż Bank przetwarzając dane uczestniczki na warunkach określonych w ww. przepisie, musi wykazać, że została ona poinformowana o zamiarze przetwarzania jej danych bez jej zgody. W niniejszej sprawie uczestniczka podniosła natomiast, że okoliczności wskazywane w art. 105a ust. 3 Prawa bankowego nie zostały spełnione w związku z czym Bank nie był uprawniony do przekazania jego danych osobowych do [...]. Organ podkreślił, że brak jest innych dowodów wskazujących na prawidłowe i skuteczne poinformowanie uczestniczki o treści art. 105a ust. 3 Prawa bankowego niż oświadczenie Banku, pozostające w sprzeczności z twierdzeniami uczestniczki. Bank nie przedstawił dowodu na prawidłowe doręczenie uczestniczce dokumentu, w treści, którego zawarta była informacja o okolicznościach wskazanych w art. 105a ust. 3 Prawa bankowego, zatem okoliczność skutecznego poinformowania uczestniczki o treści art. 105a ust. 3 Prawa bankowego nie może zostać uznana za udowodnioną. W ocenie organu sporządzenie i wysłanie ww. pisma, nie jest równoznaczne z udowodnieniem jego prawidłowego doręczenia, skutkującego poinformowaniem uczestniczki o zamiarze przetwarzania danych stanowiących tajemnicę bankową, bez jego zgody na podstawie art. 105a ust. 3 Prawa bankowego. Samo bowiem oświadczenie o wysłaniu korespondencji i przedstawienie jej kopii wraz z kopią książki nadawczej korespondencji wysłanej listem poleconym nie stanowi dowodu na jej dostarczenie lub poinformowanie ojej treści adresata. Organ stwierdził, że to podmiot informujący wywodzi z powyższego skutki prawne, zatem to on musi wykazać, że poinformował uczestniczkę o zamiarze przetwarzania danych stanowiących tajemnicę bankową, bez jej zgody na podstawie art. 105a ust. 3 Prawa bankowego. Wobec powyższego organ orzekł jak w decyzji. Skargę na powyższą decyzję wniósł do Wojewódzkiego Sądu Administracyjnego w Warszawie skarżący, zarzucając: 1) naruszenie przepisów postępowania, mające istotny wpływ na wynik sprawy, tj. art. 6, art. 7, art. 8 § 1 i 2, art. 77 § 1, art. 80 oraz art. 107 § 3 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (t. j. Dz. U. z 2021 r. poz. 735 ze zm., dalej jako: KPA) w zw. z art. 7 ust. 1 UODO, polegające na niezastosowaniu zasad ogólnych postępowania administracyjnego: praworządności, prawdy obiektywnej i pogłębiania zaufania do władzy publicznej oraz przekroczeniu granic swobodnej oceny dowodów, a w konsekwencji błędnym przyjęciu, że potwierdzenie nadania pisma listem poleconym nie stanowi dowodu poinformowania Uczestniczki postępowania o zamiarze przetwarzania jej danych osobowych bez jej zgody, w oparciu o w art. 105a ust. 3 Prawa bankowego, podczas gdy jest to dokument mający moc dokumentu urzędowego, stanowiący dostateczny dowód przekazania informacji zgodnie z wymogami art. 105a ust. 3 Prawa bankowego; 2) naruszenie przepisów prawa materialnego, które miało wpływ na wynik sprawy, tj. art. 105a ust. 3 Prawa bankowego, poprzez jego błędną wykładnię, skutkującą przyjęciem, że wykonanie obowiązku informacyjnego, o którym mowa w powołanym przepisie, polega na skutecznym doręczeniu osobie fizycznej, po wygaśnięciu jej zobowiązania wynikającego z umowy zawartej z bankiem, informacji o zamiarze przetwarzania jej danych osobowych bez jej zgody, podczas gdy prawidłowa interpretacja tego przepisu prowadzi do wniosku, iż "poinformowanie" oznacza rzeczywiste umożliwienie zapoznania się z treścią wyżej wymienionej informacji. Strona skarżąca uznała, że w niniejszej sprawie sporna jest jedynie przesłanka poinformowania uczestniczki postępowania przez Bank o zamiarze przetwarzania dotyczących jej danych, bez jej zgody. Zarzuciła, że Prezes UODO błędnie ocenił fakt wysłania do uczestniczki postępowania informacji o zamiarze przetwarzania jej danych osobowych na podstawie art. 105a ust. 3 Prawa bankowego listami poleconymi. Jej zdaniem nie można zgodzić się ze stwierdzeniem wyrażonym w uzasadnieniu zaskarżonej decyzji jakoby brak było innych dowodów, na okoliczność poinformowania uczestniczki o treści art. 105a ust. 3 Prawa bankowego, niż oświadczenie Banku (str. 6-7 skarżonej decyzji). Podniosła, że Bank przedstawił dowód w postaci oświadczenia o wypowiedzeniu Umowy wraz z potwierdzeniem nadania tego pisma listem poleconym (odpis z pocztowej książki nadawczej), mającym moc dokumentu urzędowego. Przesyłka polecona zaadresowana do uczestniczki nie została zwrócona, a zatem przyjąć należy, iż została prawidłowo doręczona adresatowi. Wskazał, że świetle art. 17 ustawy z dnia z dnia 23 listopada 2012 r. - Prawo pocztowe (t. j. Dz.U. z 2020 r. poz. 1041, dalej: PP lub Prawo Pocztowe), przyjąć należy, że Bank dysponuje dowodem przekazania uczestniczce informacji o zamiarze przetwarzania jej danych osobowych i dowód ten przedstawił Organowi w toku postępowania. Zdaniem skarżącego podkreślenia wymaga, że potwierdzenie nadania przesyłki rejestrowanej wydane przez placówkę pocztową operatora wyznaczonego ma moc dokumentu urzędowego, zatem przedłożony przez Bank dowód w postaci odpisu z pocztowej książki nadawczej jednoznacznie wskazuje na spełnienie przez Bank obowiązku informacyjnego, o którym mowa w art. 105a ust. 3 Prawa bankowego. Uznał, że przyznanie potwierdzeniu nadania przesyłki rejestrowej wydanemu przez operatora wyznaczonego mocy prawnej dokumentu urzędowego rozpatrywać należy przez pryzmat art. 76 § 1 KPA, który stanowi, że dokumenty urzędowe sporządzone w przepisanej formie przez powołane do tego organy państwowe w ich zakresie działania, stanowią dowód tego, co zostało w nich urzędowo stwierdzone. Wprawdzie potwierdzenie nadania przesyłki poleconej nie jest dokumentem urzędowym, a jedynie ma "moc dokumentu urzędowego", jednak na zasadzie analogii do dokumentu tego należy stosować domniemania odnoszące się do dokumentów urzędowych, tj. domniemanie zgodności z prawdą oświadczenia uprawnionego podmiotu. Wobec tego, jeśli uczestniczka postępowania kwestionuje skuteczność doręczenia jej przesyłek poleconych z Banku, powinna powołać dowody na te okoliczność, gdyż art. 76 § 3 KPA umożliwia przeprowadzenie dowodu przeciwko treści dokumentu, o którym mowa w art. 76 § 1 KPA (tak: wyrok NSA z 11 maja 1998 r., sygn. akt II SA 517/98, niepubl.). Zdaniem strony skarżącej, uzasadniony jest zarzut naruszenia przez Organ przepisów postępowania administracyjnego mającego istotny wpływ na wynik sprawy, tj. art. 6, art. 7, art. 8 § 1 i 2, art. 77 § 1, art. 107 § 3 KPA, w szczególności zaś art. 80 KPA, bowiem swobodna ocena dowodów powinna opierać się na materiale dowodowym zebranym przez organ oraz wszechstronnej ocenie całokształtu materiału dowodowego. Organ powinien przy tym dokonać oceny znaczenia i wartości dowodów dla toczącej się sprawy, z zastrzeżeniem ograniczeń dotyczących dokumentów urzędowych, które mają, na podstawie art. 76 § 1 KPA, szczególna moc dowodowa, a rozumowanie, w wyniku którego Organ ustala istnienie okoliczności faktycznych powinno być zgodne z prawidłami logiki (por. wyrok WSA w Warszawie z dnia 08 sierpnia 2006 r., sygn. akt IV SA/Wa 774/06, Legalis nr 91807). W ocenie strony skarżącej wymogów tych nie spełnia zaskarżona decyzja wydana przez Prezesa UODO. Wskazała, że naruszenie wymienionych reguł, a także norm procesowych odnoszących się do środków dowodowych, stanowi przekroczenie granic swobodnej oceny dowodów (B. Adamiak, J. Borkowski, Kodeks postępowania administracyjnego. Komentarz. Wyd. 16, Warszawa 2019, Legalis). W konsekwencji powyższego uznała, że Organ nieprawidłowo ustalił, że Bank przetwarzał dane osobowe uczestniczki postępowania w sposób sprzeczny z wymogami przewidzianymi w art. 105a ust. 3 Prawa bankowego. Jej zdaniem Bank prawidłowo poinformował uczestniczkę postępowania o przetwarzaniu jej danych osobowych, i w związku z tym Bank oraz [...] mogą dane te przetwarzać na podstawie art. 105a ust. 3 Prawa Bankowego. Wobec czego jej zdaniem zaskarżona decyzja narusza zarówno: - prawo materialne: art. 105a ust. 3 Prawa bankowego, jak i - przepisy proceduralne: art. 6, art. 7, art. 8 § 1 i 2, art. 77 § 1, art. 80 oraz art. 107 § 3 KPA. Zdaniem strony skarżącej zarówno naruszenie powołanych wyżej przepisów procedury administracyjnej, jak i związana z tym uchybieniem niewłaściwa wykładnia przepisów prawa materialnego, miały istotny wpływ na wynik sprawy, a więc stanowią dostateczną podstawą prawną do uchylenia zaskarżonej decyzji. Mając na uwadze powyższe zarzuty, na podstawie art. 145 § 1 pkt 1) lit. a i c p.p.s.a. wnosił o: 1) uchylenie decyzji Prezesa UODO w całości; 2) zasądzenie od Prezesa UODO na rzecz strony skarżącej - na podstawie art. 200 p.p.s.a. - kosztów postępowania, w tym kosztów zastępstwa prawnego, według norm przepisanych. W odpowiedzi na skargę organ podtrzymał stanowisko jak w zaskarżonej decyzji. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Skarga nie zasługuje na uwzględnienie. Przedmiotem skargi jest decyzja Prezesa UODO z dnia [...] czerwca 2023 r. nr [...], mocą której nakazał stronie skarżącej zaprzestanie przetwarzania danych uczestniczki w systemie [...] w celu oceny zdolności kredytowej i analizy ryzyka kredytowego, przetwarzanych na podstawie art. 105a ust. 3 Prawa bankowego. Zgodnie z art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (t.j. z dnia 02 grudnia 2022 r., Dz. U. z 2022 r., poz. 2492), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej, przy czym kontrola ta sprawowana jest pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej. W świetle powołanych przepisów cyt. ustawy, Wojewódzki Sąd Administracyjny w Warszawie, w zakresie swojej właściwości, ocenia zaskarżoną decyzję administracyjną, postanowienie, czy też inny akt lub czynność z zakresu administracji publicznej dotyczącą uprawnień lub obowiązków wynikających z przepisów prawa, z punktu widzenia ich zgodności z prawem materialnym i przepisami postępowania administracyjnego, według stanu faktycznego i prawnego obowiązującego w dacie wydania tego aktu lub podjęcia spornej czynności. Chodzi więc o kontrolę aktów lub czynności z zakresu administracji publicznej dokonywaną pod względem ich zgodności z prawem materialnym i przepisami procesowymi, nie zaś według kryteriów słuszności. Ponadto, co wymaga podkreślenia, Sąd rozstrzyga w granicach danej sprawy, nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną (vide: art. 134 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (t.j. z dnia 17 sierpnia 2023r., Dz. U. z 2023 r., poz. 1634 - zwaną dalej P.p.s.a."). Kontrolując sprawę w ramach swoich kompetencji, Sąd uznał, że skarga nie zasługuje na uwzględnienie, bowiem zaskarżona decyzja nie narusza prawa w stopniu mającym wpływ na wynik sprawy. W pierwszej kolejności zauważyć należy, że skarga skierowana do Prezesa UODO dotyczyła ewentualnych naruszeń w przetwarzaniu danych osobowych przez Bank. Tym samym organ miał obowiązek zbadać, czy Bank, dopuścił się jakichkolwiek nieprawidłowości w przetwarzaniu danych osobowych uczestniczki. Prezes UODO był przy tym związany treścią żądania zawartego we wniosku uczestniczki z dnia [...] października 2021 r., w którym to wnioskodawczyni wskazała, że Bank przetwarza jej dane osobowe bez podstawy prawnej wynikającej z art. 105a ust. 3 Prawa bankowego. Uczestniczka wystąpiła do Banku w dniu [...] kwietnia 2021 r. z żądaniem zaprzestania przetwarzania i udostępniania jej danych osobowych w [...]. Pismem z dnia [...] maja 2021 r. Bank wskazał, że spełnione zostały przesłanki do przetwarzania danych osobowych uczestniczki bez jej zgody na podstawie art. 105a ust. 3 Prawa bankowego. Dokonując oceny zgodności z prawem zaskarżonej decyzji wskazać na wstępie należy, że zgodnie z motywem 40 RODO, aby przetwarzanie danych było zgodne z prawem, powinno się odbywać na podstawie zgody osoby, której dane dotyczą, lub na innej uzasadnionej podstawie przewidzianej prawem: albo w niniejszym rozporządzeniu, albo w innym akcie prawnym Unii lub w prawie państwa członkowskiego, o których mowa w niniejszym rozporządzeniu, w tym musi się ono odbywać z poszanowaniem obowiązku prawnego, któremu podlega administrator, lub z poszanowaniem umowy, której stroną jest osoba, której dane dotyczą, lub w celu podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy. Przepisem uprawniającym administratorów danych do przetwarzania zwykłych danych osób fizycznych jest art. 6 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35, zwanego dalej RODO), zgodnie z którym, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy spełniona jest jedna z przesłanek wskazanych w tym przepisie. Katalog przesłanek wymienionych w art. 6 ust. 1 RODO, jest zamknięty. Każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny. Podstawą prawną przetwarzania danych osobowych klientów przez Bank w [...] może być obecnie art. 6 ust. 1 lit. f RODO, o ile przetwarzanie to jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora. Wskazania ponadto wymaga, że przetwarzanie danych osobowych klientów Banku przez [...] odbywa się na podstawie umowy zawartej z Bankiem. [...] jest instytucją utworzoną na podstawie art. 105 ust. 4 Prawa bankowego, który stanowi, że banki mogą, wspólnie z bankowymi izbami gospodarczymi, utworzyć instytucje upoważnione do gromadzenia, przetwarzania i udostępniania bankom informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013, innym instytucjom ustawowo upoważnionym do udzielania kredytów informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są niezbędne w związku z udzielaniem kredytów, pożyczek pieniężnych, gwarancji bankowych i poręczeń (pkt 2), instytucjom kredytowym informacji stanowiących tajemnicę bankową w zakresie niezbędnym do oceny zdolności kredytowej konsumenta, o której mowa w art. 9 ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim (Dz.U. z 2022 r. poz. 246 ze zm., zwanej dalej ustawą o kredycie) (pkt 3), instytucjom pożyczkowym i podmiotom, o których mowa w art. 59d ustawy o kredycie na zasadzie wzajemności, informacji stanowiących odpowiednio tajemnice bankową oraz informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy o kredycie, w zakresie niezbędnym do oceny zdolności kredytowej konsumenta, o której mowa w art. 9 tej ustawy, i analizy ryzyka kredytowego (pkt 4). Zgodnie z art. 105a ust. 1 Prawa bankowego, przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów, instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy o kredycie, a także instytucje utworzone na podstawie art. 105 ust. 4, informacji stanowiących tajemnicę bankową i informacji udostępnionych przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy o kredycie, w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem art. 104,105 i art. 106 - 106d Prawa bankowego w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Zgodnie zaś z art. 105a ust. 3 Prawa bankowego banki, instytucje oraz podmioty, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową i informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy o kredycie, dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy o kredycie, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy o kredycie, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank, inną instytucję ustawowo upoważnioną do udzielania kredytów, instytucję pożyczkową albo podmiot, o którym mowa w art. 59d ustawy o kredycie, o zamiarze przetwarzania dotyczących jej tych informacji, bez jej zgody. Bank wskazywał, że choć zobowiązanie uczestniczki wobec Banku wygasło [...] września 2018 r., to jak wynika ze zgromadzonego materiału dowodowego odnośnie spłaty zadłużenia, uczestniczka dopuściła się zwłoki trwającej dłużej niż 60 dni w przypadku ww. zobowiązania. Bank twierdził, że wypełnił wobec uczestniczki obowiązek określony w art. 105a ust. 3 Prawa bankowego, tj. poinformował ją skutecznie o zamiarze przetwarzania dotyczących ją informacji stanowiących tajemnicę bankową, bez jej zgody po wygaśnięciu zobowiązania wynikającego z przedmiotowej Umowy. Zdaniem Banku nie można zgodzić się ze stwierdzeniem wyrażonym w uzasadnieniu zaskarżonej decyzji jakoby brak było innych dowodów na okoliczność poinformowania uczestniczki o treści art. 105a ust. 3 Prawa bankowego niż oświadczenie Banku. Bank stwierdził, że przedstawił dowód w postaci oświadczenia o wypowiedzeniu Umowy wraz z potwierdzeniem nadania tego pisma listem poleconym (odpis z pocztowej książki nadawczej), mającym moc dokumentu urzędowego. Przesyłka polecona zaadresowana do uczestniczki nie została zwrócona, a zatem przyjąć należy, iż została prawidłowo doręczona adresatowi. Organ podkreślił, że brak jest innych dowodów wskazujących na prawidłowe i skuteczne poinformowanie uczestniczki o treści art. 105a ust. 3 Prawa bankowego niż oświadczenie Banku, pozostające w sprzeczności z twierdzeniami uczestniczki. Bank nie przedstawił dowodu na prawidłowe doręczenie uczestniczce dokumentu, w treści, którego zawarta była informacja o okolicznościach wskazanych w art. 105a ust. 3 Prawa bankowego, zatem okoliczność skutecznego poinformowania Skarżącej o treści art. 105a ust. 3 Prawa bankowego nie może zostać uznana za udowodnioną. W tym stanie rzeczy w niniejszej sprawie sporna jest jedynie przesłanka poinformowania uczestniczki postępowania przez Bank o zamiarze przetwarzania dotyczących jej danych, bez jej zgody. "Przetwarzanie", zgodnie z art. 4 pkt 2 RODO, oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie. Przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów oraz instytucje utworzone, na podstawie art. 105 ust. 4 Prawa bankowego, informacji stanowiących tajemnicę bankową w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem art. 104, art. 105 i art. 106-106c tej ustawy, w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Wspomniane instytucje mogą, z zastrzeżeniami wyraźnie ustalonymi w Prawie bankowym, przetwarzać informacje stanowiące tajemnicę bankową w zakresie dotyczącym osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, pod warunkiem uzyskania pisemnej zgody osoby, której informacje te dotyczą. Zgoda ta może być w każdym czasie odwołana. Dopuszczalność przetwarzania informacji stanowiących tajemnicę bankową przez instytucje utworzone na podstawie art. 105 ust. 4 Prawa bankowego po wygaśnięciu zobowiązania wynikającego z umowy, bez zgody osoby, której informacje takie dotyczą, reguluje w art. 105a ust. 3 Prawa bankowego. Stosownie do tego przepisu banki, instytucje ustawowo upoważnione do udzielania kredytów oraz instytucje utworzone na podstawie art. 105 ust. 4 Prawa bankowego mogą przetwarzać informacje stanowiące tajemnicę bankową, dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank lub inną instytucję ustawowo upoważnioną do udzielania kredytów o zamiarze przetwarzania dotyczących jej informacji stanowiących tajemnicę bankową, bez jej zgody. Podkreślenia wymaga, że jeśli w okresie 30 dni od powiadomienia o zamiarze przetwarzania informacji jego dotyczących bez zgody po wygaśnięciu zobowiązania, klient spłacił całą zaległość wobec banku, to po upływie 30 dnia bank i inna instytucja upoważniona do udzielania kredytów oraz instytucja z art. 105 ust. 4 Prawa bankowego nie mogą przetwarzać informacji bez jego zgody. Termin trzydziestodniowy został bowiem wprowadzony w celu zapewnienia konsumentowi ostatecznej możliwości wywiązania się z zobowiązań wobec banku i uniknięcia tym samym sankcji w postaci przetwarzania o nim informacji jako o niesolidnym dłużniku przez okres 5 lat. [...] jest instytucją utworzoną na podstawie art. 105 ust. 4 Prawa bankowego, przetwarzającą dane osobowe w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. W ocenie Sądu prawidłowa jest teza organu, że sam fakt, iż uczestniczka nie wykonała zobowiązania lub spóźniła się z jego wykonaniem co najmniej 60 dni nie upoważnia Banku do przetwarzania jej danych na warunkach określonych w art. 105a ust. 3 Prawa bankowego. Moment, od którego należy liczyć sześćdziesięciodniowy termin, w którym osoba fizyczna dopuszcza się zwłoki w wykonaniu zobowiązania, to termin wykonania zobowiązania. Dopiero po upływie 60 dni zaczyna biec termin 30 dni, w którym instytucja oczekuje jeszcze na wykonanie zobowiązania klienta. Termin 30 dni biegnie od momentu, w którym osoba fizyczna zostanie skutecznie poinformowana przez instytucję o zamiarze przetwarzania. Ostatecznie to bezskuteczny upływ 30 dni od momentu poinformowania - a nie zaś jak twierdzi Bank - nadania pisma z informacją - stanowi o wypełnieniu przesłanek z art. A 105a ust. 3 Prawa bankowego. Wobec wysłania oświadczenia o wypowiedzeniu przedmiotowej Umowy wraz z informacją o zamiarze przetwarzania danych uczestniczki na podstawie art. 105a ust. 3 Prawa bankowego listem poleconym, nie można ustalić daty zapoznania się przez uczestniczkę z przesłaną jej informacją, a tym samym niemożliwe jest ustalenie daty, od której płynie 30 dniowy termin określony ww. przepisie. Sąd w tym składzie podziela w tym zakresie stanowisko wyrażone w wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 18 stycznia 2022 r. w sprawie o sygn. II SA/Wa 3584/21, zgodnie z którym cyt.: "poinformowanie adresata oświadczenia winno, z uwagi na wspomniany powyżej dodatkowy trzydziestodniowy termin na wykonanie zobowiązania, nastąpić w ten sposób, by można było ustalić początek biegu tego terminu. Dopiero bowiem bezskuteczny upływ owego trzydziestodniowego dodatkowego terminu upoważnia Bank do przetwarzania danych osobowych w oparciu o przepis art. 105a ust. 3 Prawa bankowego. Nadanie powiadomienia, o którym mowa w art. 105a ust. 3 ustawy - Prawo bankowe, listem nie pozwala - w okolicznościach niniejszej sprawy - na ustalenie początku biegu wskazanego terminu. Skoro to Bank wywodzi skutki prawne z powiadomienia strony o zamiarze przetwarzania jej danych osobowych stanowiących tajemnicę bankową bez jej zgody, to musi wykazać, że bezskutecznie upłynęło 30 dni od daty poinformowania strony o tym zamiarze. Wykazanie tej okoliczności wymaga jednak - co oczywiste - wykazania początku biegu owego trzydziestodniowego terminu". Kwestia wykładni użytego w art. 105a ust. 3 Prawa bankowego zwrotu "od poinformowania tej osoby przez bank" była wielokrotnie przedmiotem rozważań NSA i Wojewódzkiego Sądu Administracyjnego w Warszawie. W wyroku z dnia 27 sierpnia 2019 r. wydanym w sprawie sygn. akt I OSK 2514/17 NSA wyjaśnił, iż: "Z powołanego przepisu wyraźnie wynika, że przetwarzanie danych jest dopuszczalne, gdy po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank. Zatem to na Banku ciążył obowiązek poinformowania (...) o zamiarze przetwarzania jej danych. Ustawodawca nie stworzył w tym zakresie żadnych szczególnych wymogów formalnych, co do sposobu i treści takiego poinformowania klienta lub byłego klienta banku. Nie oznacza to jednak całkowitej dowolności w tym zakresie. Jakkolwiek ustawodawca w żaden sposób nie ograniczył sposobów i form takiego powiadomienia, jednakże w każdym wypadku sposób ten powinien umożliwić zweryfikowanie faktu poinformowania klienta banku o zamierzonym przetwarzaniu jego danych osobowych lub też przynajmniej potwierdzenie, że klientowi umożliwiono zapoznanie się z taką informacją. W tym zakresie nie mogą mieć miejsca jakiekolwiek domniemania faktyczne." "Informacje o dokonaniu wysyłki takiej wiadomości nie mogą stanowić o uczynieniu zadość obowiązkowi z art. 105a ust. 3 Prawa bankowego. W celu weryfikacji dopuszczalności przetwarzania danych osobowych na podstawie art. 105a ust. 3 Prawa bankowego, GIODO musi dysponować stosownymi dowodami na rzeczywiste wykonanie wymienionego w tym przepisie obowiązku poinformowania i w tym zakresie nie może opierać się wyłącznie na oświadczeniu Banku. Takie stanowisko jest już utrwalone w orzecznictwie (zob. np. wyrok NSA z dnia 27 października 2017 r., sygn. akt I OSK 3362/15, LEX nr 2463181)." Skład orzekający w niniejszej sprawie podziela przytoczony powyżej pogląd prawny. Konieczną zatem była ocena przedstawionej przez Bank dokumentacji pod kontem wypełnienia powyższej przesłanki. W ocenie Sądu Prezes UODO trafnie stwierdził, iż Bank nie wykazał, że uczestniczka została poinformowana o zamiarze przetwarzania jej danych osobowych na podstawie art. 105a ust. 3 Prawa bankowego. Wyjaśnić należy, iż to rzeczą Banku jest wskazanie konkretnego dokumentu, z którego wynika wykonanie powyższego obowiązku informacyjnego oraz wykazanie, iż dokument ten został doręczony osobie, o której mowa w tym przepisie. Nie można tym samym podzielić twierdzenia skargi, że art. 105a ust. 3 Prawa bankowego ma umożliwić przekazywanie przez m.in. banki, danych nierzetelnych dłużników, tj. osób, które pomimo zaciągnięcia określonego zobowiązania wobec banku, nie wywiązują się z umowy i nie spłacają swojego zobowiązania przez okres dłuższy niż 60 dni, do [...]. Takie rozumienie powołanego przepisu czyniłoby [...] rejestrem dłużników. Wywód skargi, że przyjęcie wykładni art. 105a ust. 3 Prawa bankowego zaproponowanej przez organ "prowadziłoby do istotnych nadużyć po stronie nierzetelnych dłużników i wypaczałoby sens regulacji, dając osobom niewywiązującym się ze swoich zobowiązań możliwość unikania ujawnienia informacji o nich [...] poprzez proste uchylanie się od odbioru korespondencji" nie jest trafny. Z zaskarżonej decyzji nic takiego nadto nie wynika. Wskazania wymaga przy tym, że ustalenie faktyczne zaskarżonej decyzji, że uczestniczka postępowania dopuściła się zwłoki w spłacie zobowiązania trwającej dłużej niż 60 dni, nie jest sporne. Kwestią sporną jest natomiast dopełnienie przez Bank kolejnego zawartego w art. 105a ust. 3 Prawa bankowego warunku, tj. poinformowania uczestniczki postępowania o zamiarze przetwarzania dotyczących jej informacji, bez jej zgody. Ustawodawca w art. 105a ust. 3 Prawa bankowego nie stworzył żadnych szczególnych wymogów formalnych, co do sposobu i treści poinformowania klienta lub byłego klienta banku o zamiarze przetwarzania jego danych. Nie oznacza to jednak całkowitej dowolności w tym zakresie. Sąd rozpoznający niniejszą sprawę podziela prezentowany w orzecznictwie sądowoadministracyjnym pogląd, że jakkolwiek ustawodawca w żaden sposób nie ograniczył sposobów i form takiego powiadomienia, to w każdym wypadku sposób ten powinien umożliwić zweryfikowanie faktu poinformowania klienta banku o zamierzonym przetwarzaniu jego danych osobowych lub też przynajmniej potwierdzenie, że klientowi umożliwiono zapoznanie się z taką informacją (por. wyrok NSA z dnia 27 sierpnia 2019 r., sygn. akt I OSK 2514/17, orzeczenia.nsa.gov.pl). Zdaniem Sądu, prawidłowa wykładnia zawartego w art. 105a ust. 3 Prawa bankowego zwrotu "poinformowania tej osoby" powinna uwzględnić nie tylko treść normy zawartej w art. 61 § 1 Kodeksu cywilnego, ale także tę część normy zawartej w art. 105a ust. 3 Prawa bankowego, która ustanawia dodatkowy trzydziestodniowy termin na wykonanie zobowiązania. W literaturze przedmiotu podkreśla się bowiem, iż: "Sam fakt, że klient nie wykonał zobowiązania lub spóźnił się z jego wykonaniem co najmniej 60 dni, nie upoważnia instytucji do przetwarzania jego danych. Musi bowiem zostać poinformowany o możliwości przetwarzania jego danych bez uzyskania od niego zgody. Dopiero bezskuteczny upływ 30 dni od momentu poinformowania stanowi wypełnienie przesłanek z art. 105a ust. 3 [pr. bank.]. W przypadku, gdy konsument spełni świadczenie w czasie tych 30 dni, instytucje tracą prawo do przetwarzania informacji bez jego uprzedniej zgody. [...] Moment, od którego należy liczyć sześćdziesięciodniowy termin, w którym konsument dopuszcza się zwłoki w wykonaniu zobowiązania, to termin wykonania zobowiązania. Dopiero po upływie 60 dni zaczyna biec trzydziestodniowy termin, w którym instytucja jeszcze oczekuje na wykonanie zobowiązania klienta. Termin trzydziestodniowy nie biegnie jednak ex lege, a dopiero od momentu, w którym konsument zostanie poinformowany o zamiarze przetwarzania. Termin ten liczy się nie od momentu wysłania informacji, ale od chwili, w której konsument mógł się z nią zapoznać. Wydaje się, iż sama czynność poinformowania może nastąpić wcześniej niż po upływie 60 dni" (tak: A. Z. Przetwarzanie informacji stanowiących tajemnicę bankową po wygaśnięciu zobowiązania", Pr. Bankowe 2006/4/83, v. wyrok WSA w Warszawie z dnia 18 stycznia 2022 r. sygn. akt II SA/Wa 3584/21, wyrok WSA w Warszawie z dnia 4 października 2022 r. sygn. akt II SA/Wa 701/22, wyrok WSA w Warszawie z dnia 12 października 2022 r. sygn. akt II SA/Wa 189/22, orzeczenia.nsa.gov.pl). Wskazać należy, że konstrukcja przyjęta w art. 61 § 1 zdanie pierwsze k.c. odpowiada tzw. kwalifikowanej teorii doręczenia, która zadowala się dojściem oświadczenia woli do adresata w taki sposób, że miał on możliwość zapoznania się z jego treścią (por. wyrok Sądu Najwyższego z dnia 08 września 2016 r., sygn. akt II CSK 750/15, M. Pr. Bank. 2017/10, s. 21 i 35, z glosą T. Czecha oraz z omówieniem M. Bączyka, M. Pr. Bank 2017/11, s. 58). To, czy rzeczywiście się z tym oświadczeniem zapoznał, co do zasady nie ma w kontekście art. 61 § 1 k.c. znaczenia (vide: wyroki Sądu Najwyższego: z dnia 18 listopada 1999 r., sygn. akt I PKN 375/99, OSNAPiUS 2001/7, poz. 227; z dnia 20 maja 2015 r., sygn. akt I CSK 547/14, LEX nr 1767493 i z dnia 22 marca 2017 r., sygn. akt III CSK 148/16, LEX nr 23552146 oraz przytoczona uchwała składu siedmiu sędziów Sądu Najwyższego z dnia 31 marca 2016 r., sygn. akt III CZP 89/15; Z. Radwański [w:] System Prawa Prywatnego, t. 2, 2008, s. 292). Rozwiązanie to wiąże się z pewnym zagrożeniem dla osoby, której oświadczenie woli jest składane, zakłada bowiem możliwość zaistnienia sytuacji, w których oświadczenie to zostanie uznane za złożone, z czym częstokroć będą związane istotne skutki prawne, choć jego adresat nie wiedział o tym oświadczeniu albo nie znał jego treści. W literaturze przedmiotu podkreśla się, iż zagrożenie to jest akceptowalne przede wszystkim dlatego, że negatywne skutki teorii doręczenia mogą ujawnić się w zasadzie tylko w ramach już istniejącego między stronami stosunku prawnego, ponieważ tylko wtedy jednostronne oświadczenia (czynności prawne) mogą oddziaływać niekorzystanie na sytuację prawną adresata oświadczenia woli. Do powstania zaś tego stosunku zazwyczaj niezbędna jest zgoda adresata, a wyrażając ją i przyznając w ten sposób – choćby mocą czynników innych niż treść samego oświadczenia (por. art. 56) – drugiej stronie możliwość jednostronnego oddziaływania na swą sytuacje prawną (np. wypowiedzenia umowy albo wysokości świadczenia, odstąpienia, przyjęcia oferty, wezwania do wykonania zobowiązania, wyboru świadczenia przemiennego), adresat musi liczyć się ze składaniem takich oświadczeń i nie może dysponować instrumentem, który w prosty sposób mógłby paraliżować ich skutki (np. stroniąc od zapoznania się z tym oświadczeniem). Dlatego faktyczne zapoznanie się z oświadczeniem przynależy już wyłącznie do prawnie irrelewantnej sfery wewnętrznej adresata oświadczenia (tak: Roman Trzaskowski w: "Kodeks cywilny. Komentarz Tom I. Część ogólna cz. 2 (art. 56-125)" pod red. Jacka Gudowskiego, Lex/el 2021, (cz.3 do art. 61). W ocenie Sądu rozpoznającego niniejszą sprawę – w świetle treści art. 105a ust. 3 Prawa bankowego – nie może budzić żadnych wątpliwości, że poinformowanie, o którym mowa w tym przepisie, powinno, z uwagi na wskazany wyżej dodatkowy trzydziestodniowy termin na wykonanie zobowiązania, nastąpić w ten sposób, aby można było ustalić początek biegu tego terminu. Dopiero bowiem bezskuteczny upływ owego trzydziestodniowego dodatkowego terminu upoważnia Bank do przetwarzania danych osobowych w oparciu o przepis art. 105a ust. 3 Prawa bankowego. Wobec powyższego, nadanie powiadomienia, o którym mowa w art. 105a ust. 3 Prawa bankowego listem poleconym nie pozwala – w okolicznościach niniejszej sprawy – na ustalenie początku biegu wskazanego terminu. Skoro to Bank wywodzi skutki prawne z powiadomienia strony o zamiarze przetwarzania jej danych osobowych stanowiących tajemnicę bankową bez jej zgody, to musi wykazać, że bezskutecznie upłynęło 30 dni od daty poinformowania strony o tym zamiarze. Wykazanie tej okoliczności wymaga jednak wykazania początku biegu owego trzydziestodniowego terminu. Za niezasadne w świetle powyższego Sąd uznał zarzuty skargi, w tym zarzut naruszenia przepisów postępowania, tj. art. 6, 7, 8 § 1 i 2, art. 77 § 1, 80 i 107 § 3 k.p.a. poprzez błędne przyjęcie przez organ, że potwierdzenie nadania pisma listem poleconym nie stanowi dowodu poinformowania uczestnika postępowania o zamiarze przetwarzania jego danych osobowych bez jego zgody w oparciu o art. 105a ust. 3 Prawa bankowego. Dowód nadania przesyłki listem poleconym dowodzi jedynie, że przesyłkę nadano. To, że zgodnie z art. 17 Prawa pocztowego, potwierdzenie nadania przesyłki rejestrowanej lub przekazu pocztowego wydane przez placówkę pocztową operatora wyznaczonego ma moc dokumentu urzędowego, nie jest równoznaczne z wykazaniem, że poinformowanie nastąpiło w konkretnej dacie, tj. że przesyłka doręczona została konsumentowi. Potwierdzenie nadania przesyłki rejestrowanej, zgodnie z art. 17 Prawa pocztowego, stanowi dowód, że daną przesyłkę nadano. Wywodzenie z powołanego przepisu Prawa pocztowego skutku w postaci doręczenia przesyłki konkretnej osobie, w konkretnej przy tym dacie, nie jest uprawnione, zwłaszcza w sytuacji, gdy z danym doręczeniem (poinformowaniem) w konkretnej dacie ustawodawca wiąże ściśle określone skutki. Nie ma żadnych podstaw, aby na gruncie art. 105a ust. 3 Prawa bankowego, opierając się na Prawie pocztowym, próbować ustalać domniemany, czy najbardziej prawdopodobny termin, w którym to ewentualnie mogło nastąpić doręczenie przesyłki zawierającej informację, o której mowa w art. 105a ust. 3 Prawa bankowego. Zwrócić przy tym należy uwagę, że zgodnie z § 21 ust. 1 rozporządzenia Ministra Administracji i Cyfryzacji z dnia 29 kwietnia 2013 r. w sprawie warunków wykonywania usług powszechnych przez operatora wyznaczonego (Dz. U. z 2013 r., poz. 545), wydanego na podstawie art. 47 ustawy z dnia 23 listopada 2012 r. - Prawo pocztowe (Dz. U. poz. 1529) (w brzmieniu obowiązującym na dzień nadania przez Bank przesyłki poleconej, tj. [...] sierpnia 2015 r. ), przesyłki rejestrowane doręcza się zgodnie z art. 37 ustawy Prawo pocztowe za pokwitowaniem odbioru, po stwierdzeniu tożsamości osoby uprawnionej do odbioru. Zgodnie z § 21 ust. 3 tego rozporządzenia, pokwitowanie odbioru przesyłki rejestrowanej powinno zawierać czytelny podpis odbiorcy i datę odbioru. Zgodnie z § 31 ust. 1 tego rozporządzenia, operator wyznaczony świadczy usługę w sposób umożliwiający uzyskanie przez nadawcę dokumentu potwierdzającego odbiór przesyłki rejestrowanej, wyłącznie na pisemne żądanie nadawcy. Bank dowiódł, że nadał określoną przesyłkę [...] sierpnia 2015 r., nie wykazał natomiast, w jakiej dacie osoba, której dane dotyczą, została poinformowana o zamiarze przetwarzania jej danych bez jej zgody. Bank nie przedstawił dowodu potwierdzającego odbiór przesyłki, choć możliwość jego uzyskania miał, albowiem przepisy prawa umożliwiają w przypadku nadania przesyłki rejestrowanej, uzyskanie dowodu doręczenia, jeśli nadawca tego zażąda. Brak zwrotu przesyłki poleconej do nadawcy nie stanowi dowodu jej doręczenia adresatowi w konkretnej dacie. Bank dowodzi, opierając się na Prawie pocztowym obowiązującym w czasie nadania przesyłki, że prawdopodobnie nastąpiło doręczenie powiadomienia, albowiem przesyłki nie zwrócono Bankowi jako nadawcy. Podkreślić w związku z tym należy, że jest to wyłącznie domniemanie doręczenia przesyłki poleconej, wynikające z dowodu jej nadania. Natomiast Bank mając możliwość uzyskania potwierdzenia doręczenia, nie skorzystał – co wynika z całokształtu okoliczności sprawy – z istniejących na gruncie prawa możliwości w tym zakresie i nie zażądał od operatora pocztowego dokumentu potwierdzenia odbioru przesyłki rejestrowanej (dowodu takiego w każdym razie Bank w postępowaniu administracyjnym i sądowym nie przedstawił). Z orzecznictwa Sądu Najwyższego i Naczelnego Sądu Administracyjnego wynika jednoznacznie, że domniemanie doręczenia, o którym mowa wyżej, może być przez adresata obalone przez wykazanie, że nie miał możliwości zapoznania się z zawartym w nim oświadczeniem woli (vide: wyrok SN z dnia 17 marca 2010 r. sygn. akt II CSK 454/09 (OSNC 2010/10/142), wyrok NSA sygn. akt III OSK 2491/21). Uczestniczka postępowania nie potwierdziła odbioru korespondencji. Bank nie wykazał, że powiadomienie nastąpiło i nie wykazał w jakiej dacie to powiadomienie nastąpiło. W analizowanej sprawie brak jest możliwości ustalenia daty poinformowania, co powoduje, iż brak jest podstaw do przyjęcia, że powiadomienie uczestniczki o zamiarze przetwarzania jej danych osobowych wyczerpało wymogi art. 105a ust. 3 Prawa bankowego oraz że upłynął bezskutecznie dodatkowy trzydziestodniowy termin na spełnienie świadczenia. W tych okolicznościach, zdaniem Sądu, Prezes UODO prawidłowo rozstrzygnął w zaskarżonej decyzji. Nie można bowiem w tych okolicznościach za zgodne z prawem uznać przetwarzania danych osobowych w [...] na podstawie art. 105a ust. 3 Prawa bankowego, które to przetwarzanie w [...] na tej podstawie, ma miejsce, jak ustalił organ, na podstawie wyjaśnień Banku od dnia [...] kwietnia 2014 r. Dodatkowo wskazania wymaga, że w orzecznictwie Naczelnego Sądu Administracyjnego podkreśla się materialny (ochronny), a nie formalny charakter obowiązku informacyjnego, o którym mowa w art. 105a ust. 3 Prawa bankowego. Zauważa się przy tym za poglądami wyrażanymi w literaturze przedmiotu, że dane osobowe są wartością chronioną ustawowo, a prawo od ich ochrony stanowi swego rodzaju emanację ogólnego prawa gwarantowanego Konstytucją RP (art. 47). Spostrzeżenie to oparte jest na założeniu, że dane osobowe są niejako częścią życia prywatnego lub rodzinnego, względnie że posługiwanie się danymi dotyczącymi innej osoby wkracza w przyznaną jej kompetencję decydowania o swoim życiu osobistym. W konsekwencji, wszelkie regulacje znoszące tę ochronę muszą być odczytywane (vide: wyroki Naczelnego Sądu Administracyjnego: z dnia 07 sierpnia 2018 r., sygn. akt I OSK 2123/16 i I OSK 2051/16, z dnia 25 lipca 2017 r., sygn. akt I OSK 2859/16 orzeczenia.nsa.gov.pl; P. Fajgielski [w:] Komentarz do rozporządzenia nr 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) [w:] Ogólne rozporządzenie o ochronie danych. Ustawa o ochronie danych osobowych. Komentarz, wyd. II, Warszawa 2022, art. 1.). Zatem, raz jeszcze wskazania wymaga, że choć ustawodawca w żaden sposób nie ograniczył sposobów i form "poinformowania", o którym mowa w art. 105a ust. 3 Prawa bankowego, to w każdym wypadku sposób ten powinien umożliwić zweryfikowanie faktu poinformowania klienta banku o zamierzonym przetwarzaniu jego danych osobowych lub przynajmniej potwierdzenie, że klientowi umożliwiono zapoznanie się z taką informacją (vide: wyrok WSA w Warszawie z dnia 21 grudnia 2022 r., sygn. akt II SA/Wa 358/21, orzeczenia.nsa.gov.pl). Sytuacja taka nie nastąpiła w niniejszej sprawie. Zatem, nie są dopuszczalne, wobec treści art. 105a ust. 3 Prawa bankowego, na gruncie tej sprawy, ściśle dotyczącej ochrony danych osobowych, jakiekolwiek domniemania faktyczne. Raz jeszcze podkreślenia wymaga, co wielokrotnie wskazywano w orzecznictwie Naczelnego Sądu Administracyjnego, że ze względu na konstrukcję tego przepisu, to na banku spoczywa obowiązek wykazania określonych w nim przesłanek dopuszczalności przetwarzania (vide: wyroki NSA z dnia 27 sierpnia 2019 r., sygn. akt I OSK 2514/17, z dnia 07 sierpnia 2018 r., sygn. akt I OSK 2123/15 i sygn. akt I OSK 2051/16, z dnia 27 października 2017 r., sygn. akt I OSK 3362/15, z dnia 25 lipca 2017 r., sygn. akt I OSK 2859/16 orzeczenia.nsa.gov.pl). Przedstawione przez Bank dowody nadania przesyłki poleconej nie pozwalają stwierdzić, że Bank poinformował uczestniczkę postępowania o zamiarze przetwarzania jej danych osobowych bez jego zgody w [...] i ustalić dzień, od którego rozpoczął bieg termin trzydziestu dni, w którym uczestniczka postępowania mogła uchylić się od negatywnych konsekwencji w postaci przetwarzania informacji o niej, jako o niesolidnym dłużniku. Sąd nie stwierdził również naruszenia art. 6 ust. 1 lit.f RODO w zw. z art. 105a ust. 3 Prawa bankowego w odniesieniu do nakazu sformułowanego w punkcie 2 zaskarżonej decyzji. Odnosząc się do tego zarzutu w zw. z przytoczonymi w skardze przepisami k.c. w odniesieniu do przetwarzania danych na wypadek konieczności obrony lub dochodzenia ewentualnych roszczeń, wskazania wymaga, że art. 6 ust. 1 lit.f RODO stanowi o uprawnieniu do przetwarzania, gdy jest ono niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Za usprawiedliwiony cel w rozumieniu powołanego przepisu nie może zostać uznane przetwarzanie danych osobowych na wypadek obrony przed ewentualnymi roszczeniami do czasu ich przedawnienia zgodnie z art. 118 k.c. Z akt sprawy nie wynika, aby uczestniczka, która zażądała usunięcia danych wystąpiła z roszczeniem na drodze cywilnoprawnej do Banku, które uzasadniałoby uprawnienie Banku do zachowania i przetwarzania jego danych w celu ustalenia, dochodzenia lub obrony przed roszczeniami. Z wyjaśnień Banku nie wynika, aby uczestniczka postępowania posiadała w stosunku do Banku zobowiązania. Z tego względu nie jest dopuszczalne przyjęcie, że art. 6 ust. 1 lit.f RODO stanowi podstawę dla Banku, do "dalszego" przetwarzania jej danych osobowych w celu obrony przed ewentualnymi roszczeniami. Zaskarżona decyzja nie narusza prawa procesowego i materialnego. Decyzja zawiera uzasadnienie faktyczne i prawne. Uzasadnienie zaskarżonej decyzji spełnia wymogi art. 107 § 3 k.p.a. Mając na uwadze powyższe, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 p.p.s.a., orzekł jak w wyroku.