II SA/Wa 1780/24

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Izabela Głowacka-Klimas, Sędzia WSA Iwona Maciejuk (spr.), Asesor WSA Mateusz Rogala, , po rozpoznaniu w trybie uproszczonym w dniu 15 maja 2025 r. sprawy ze skargi J. K. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] września 2024 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę. Prezes Urzędu Ochrony Danych Osobowych decyzją z dnia [...] września 2024 r. nr [...], na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2024 r. poz. 572) w zw. z art. 7 ust. 1 i 2 ustawy o ochronie danych osobowych z dnia 10 maja 2018 r. (Dz. U. z 2019 r. poz. 1781) oraz na podstawie z art. 6 ust. 1 i art. 58 ust. 2 lit. b rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35), zwanego dalej także RODO, po przeprowadzeniu postępowania administracyjnego w sprawie skargi J. K na nieprawidłowości w procesie przetwarzania jego danych osobowych przez [...] S.A. z siedzibą w [...], polegające na udostępnieniu innym podmiotom jego danych, osobowych bez podstawy prawnej w zakresie jego adresu zamieszkania jako płatnika podczas transferu środków pieniężnych (w przypadku gdy wszyscy dostawcy usług płatniczych uczestniczący w łańcuchu płatności mieli siedzibę w UE), w których kwota nie przekracza 1.000,- EUR (słownie: jeden tysiąc euro), które nie wydawały się być powiązane z innymi transferami środków pieniężnych, które łącznie z przedmiotowym transferem opiewały na kwotę przekraczającą 1.000,- EUR (słownie: jeden tysiąc euro) w okresie po dniu [...] maja 2022 r., udzielił [...] S.A. z siedzibą w [...] upomnienia za naruszenie art. 6 ust. 1 RODO, polegające na udostępnieniu danych osobowych J. K, innych niż nazwisko/nazwę płatnika podczas transferu środków pieniężnych (w przypadku gdy wszyscy dostawcy usług płatniczych uczestniczący w łańcuchu płatności mieli siedzibę w UE), których kwota nie przekraczała 1000 EUR i które nie wydawały się być powiązane z innymi transferami środków pieniężnych, które łącznie z przedmiotowym transferem opiewały na kwotę przekraczającą 1 000 EUR, bez podstawy prawnej, w zakresie jego adresu zamieszkania, w okresie po [...] maja 2022 r. Prezes UODO w uzasadnieniu wskazał, że do Prezesa UODO wpłynęła skarga J. K na nieprawidłowości w procesie przetwarzania jego danych osobowych przez [...] S.A., z siedzibą w [...], zwaną dalej Bankiem, polegające na udostępnieniu innym podmiotom jego danych osobowych bez podstawy prawnej w zakresie jego adresu zamieszkania jako płatnika podczas transferu środków pieniężnych (w przypadku gdy wszyscy dostawcy usług płatniczych uczestniczący w łańcuchu płatności mieli siedzibę w UE), w których kwota nie przekracza 1.000,- EUR (słownie: jeden tysiąc euro), które nie wydawały się być powiązane z innymi transferami środków pieniężnych, które łącznie z przedmiotowym transferem opiewały na kwotę przekraczającą 1.000,- EUR (słownie: jeden tysiąc euro), w okresie po dniu [...] maja 2022 r. Prezes UODO w toku prowadzonego postępowania ustalił następujący stan faktyczny: 1. Skarżący wskazał, że jego skarga dotyczy uporczywego udostępniania jego danych osobowych na rzecz podmiotów trzecich bez podstawy prawnej oraz zgody skarżącego przez Bank przy realizacji usług na podstawie umowy o prowadzenie rachunku oszczędnościowo rozliczeniowego pomimo decyzji Prezesa UODO udzielającej Bankowi upomnienia w tym zakresie. Skarżący wniósł o podjęcie stosownej reakcji na nieprawidłowości, które wystąpiły w procesie przetwarzania jego w danych osobowych, gdyż upomnienie jako forma dyscyplinująca nie przyniosła spodziewanych efektów. Jak wskazał Skarżący w decyzji organu nadzorczego z dnia [...] maja 2022 r. wydanej w sprawie o sygnaturze [...] skarżone przez niego nieprawidłowości zostały potwierdzone przez Prezesa UODO i dotyczyły one przetwarzania danych osobowych skarżącego innych niż nazwisko/nazwa płatnika podczas transferu środków płatniczych (w przypadku gdy wszyscy dostawcy usług płatniczych uczestniczący w łańcuchu płatności mieli siedzibę w UE), których kwota nie przekraczała 1000 EUR i które nie wydawały się być powiązane z innymi transferami środków pieniężnych, które łącznie z przedmiotowym transferem opiewały na kwotę nie przekraczającą 1000 EUR bez podstawy prawnej. Pomimo uprawomocnienia się decyzji i zaakceptowania jej przez Bank (o czym skarżący został poinformowany w trakcie wymiany korespondencji z Bankiem), nieprawidłowości w przetwarzaniu występują nadal. Skarżący wskazał, że Bank nie potrafi określić terminu usunięcia nieprawidłowości, a wskazywany dotychczas skarżącemu termin wprowadzenia rozwiązań organizacyjnych dostosowujących procedury przy płatnościach, tj. koniec pierwszego półrocza 2023 r., nie został zachowany. Skarżący wskazał, że jego skarga dotyczy dalszego udostępnienia jego danych osobowych pomimo ww. decyzji organu nadzoru (dowód: skarga skarżącego z dnia [...] października 2023 r. wraz z załącznikami, pismo skarżącego z dnia [...] stycznia 2024 r. wraz z załącznikami). 2. Bank wskazał, że kwestie dotyczące podstaw prawnych w zakresie katalogu przetwarzanych danych osobowych przy realizacji zleceń płatniczych poniżej 1000 EUR oraz gdy wszyscy dostawcy usług płatniczych uczestniczący w łańcuchu płatności mają siedzibę w Unii, była przedmiotem skargi z dnia [...] czerwca 2021 r. zarejestrowanej pod sygnaturą [...]. W toku prowadzonego postępowania wyjaśniającego, argumentacja Banku opierała się m.in. na fakcie, że art. 5 pkt 1 Rozporządzenia Parlamentu Europejskiego I Rady (UE) 2015/847 z dnia 20 maja 2015 r. w sprawie informacji towarzyszących transferom środków pieniężnych i uchylenia rozporządzenia (WE) nr 1781/2006, wskazuje, że na drodze odstępstwa od obowiązków wskazanych w art. 4 pkt 1 ww. rozporządzenia, w przypadku gdy wszyscy dostawcy usług płatniczych uczestniczący w łańcuchu płatności mają siedzibę w Unii, transferom środków pieniężnych towarzyszą co najmniej numer rachunku płatniczego zarówno płatnika, jak i odbiorcy. Przytoczone odstępstwo, wskazuje, że transferowi środków pieniężnych powinien towarzyszyć co najmniej numer rachunku odbiorcy, niemniej przepis nie określa zamkniętego katalogu danych, który dostawca usług płatniczych może wykorzystać przy realizacji transferu płatności. Tym samym Bank uznawał, że przy realizacji zleceń płatniczych mogą zostać przekazane do odbiorcy płatności takie dane jak: nazwisko/nazwa płatnika, numer rachunku płatniczego oraz adres płatnika, a działanie to nie będzie naruszać przepisów ochrony danych wynikających z rozporządzenia RODO. Przedstawiona przez Bank argumentacja nie została uznana przez organ nadzorczy, co wiązało się z wydaniem w dniu [...] maja 2022 r. przez Prezesa UODO decyzji upominającej Bank za naruszenie art. 6 ust.1 RODO przy realizacji transferów środków pieniężnych (w przypadku gdy wszyscy dostawcy usług płatniczych uczestniczących w łańcuchu płatności mieli siedzibę w UE), których kwota nie przekracza 1000 EUR i które nie wydawały się powiązane z innymi transferami środków pieniężnych, przekraczającymi kwotę 1000 EUR. Po szczegółowej analizie prawnej otrzymanej decyzji, Bank uznał przedstawione przez organ uzasadnienie oraz odstąpił od prawa wniesienia skargi do sądu administracyjnego na przedmiotową decyzję (dowód: pismo Banku z dnia [...] stycznia 2024 r. wraz z załącznikami). 3. Bank wskazał, że uznanie decyzji Prezesa UODO z dnia [...] maja 2022 r. wydanej w sprawie o sygnaturze [...] jako wiążącej, skutkowało po stronie Banku zobowiązaniem do dostosowania procesów realizacji transferów pieniężnych poniżej 1000 EUR do interpretacji zgodnej z postanowieniami przedmiotowej decyzji. W związku z powyższym, przez Inspektora Ochrony Danych Osobowych do jednostki IT Banku zostały zgłoszone wymagania projektowe dotyczące zmian w sposobie realizacji omawianych zleceń płatniczych. Mając jednak na uwadze fakt, że zmiany dostosowujące tryb realizacji transferów płatniczych obejmują szeroki zakres działań, wiele warstw w systemie informatycznym Banku, ostateczny termin wdrożenia projektu był wielokrotnie przekładany. Mając także na uwadze fakt, że przedmiotowy projekt ma charakter regulatorski w zakresie zapewnienia zgodności przetwarzania danych z przepisami prawa, otrzymał on wysoki priorytet. Niemniej mające miejsce w 2023 r. zmiany przepisów prawa w zakresie m.in. możliwości korzystania przez klientów z edowodów, wymusiła realizację i wdrożenie projektów ad-hoc, przez co projekt dotyczący zmian realizacji transferów pieniężnych został przesunięty w czasie. Obecny, planowany termin na wdrożenie zmian został określony przez zespół IT na ll/lll kwartał 2024 r. Bank wskazał, że zaimplementowane zmiany trybu realizacji płatności będą dotyczyć całego portfela klientów Banku zdefiniowanych jako "płatnik" zgodnie z Rozporządzeniem nr 1781/2006 Parlamentu Europejskiego i Rady z dnia 15 listopada 2006 r. w sprawie informacji o zleceniodawcach, które towarzyszą przekazom pieniężnym (Dz. U. UE L 345 str. 1 z dnia 8.12.2006) (dowód: pismo Banku z dnia [...] stycznia 2024 r. wraz z załącznikami). 4. Bank wskazał, że po wydaniu przez Prezesa UODO decyzji z dnia [...] maja 2022 r. w sprawie o sygnaturze [...], skarżący kierował do Banku reklamacje dotyczące trybu realizacji przelewów. Przedstawiona przez Bank kopia korespondencji wygląda następująco: a) reklamacja skarżącego z dnia [...] lipca 2022 r. przekazana za pośrednictwem bankowości internetowej, w której skarżący wskazywał, że w dniu [...] lipca 2020 r. wykonał przelew na kwotę 10 zł, przy którym skarżący musiał podać imię, nazwisko oraz adres zamieszkania, co w ocenie skarżącego miało świadczyć o niewykonaniu decyzji Prezesa UODO przez Bank; b) Bank przesłał pisemną odpowiedź do skarżącego w dniu [...] sierpnia 2022 r., w której poinformował skarżącego, że obecnie pracuje nad wdrożeniem do systemu informatycznego wytycznych przedstawionej w wskazanej przez skarżącego decyzji; c) kolejna reklamacja skarżącego wpłynęła do Banku w dniu [...] października 2022 r., w której skarżący pytał o termin zakończenia prac w zakresie dostosowania systemu realizacji płatności do decyzji Prezesa UODO; d) Bank odpowiadając na wniosek skarżącego przygotował dwie odrębne odpowiedzi, tj. odpowiedź na zgłoszoną reklamację z dnia [...] listopada 2022 r. oraz pismo będące realizacją prawa dostępu do danych wynikający z art. 15 RODO; Bank przekazał również skarżącemu wykaz beneficjentów, którym zostały przekazane dane osobowe Skarżącego; e) Skarżący w dniu [...] listopada 2022 r. ponownie zwrócił się do Banku i zakwestionował termin realizacji reklamacji, który w jego ocenie został uchybiony przez Bank; f) w dniu [...] grudnia 2022 r. skarżący przesłał do Banku kolejne zgłoszenie, w którym wskazywał, że Bank nie wskazał mu podstaw prawnych wysyłania bez jego zgody adresu podczas realizacji przelewu; g) Bank wskazał, że jednocześnie skarżący przesłał wiadomości e-mail bezpośrednio do Inspektora Ochrony Danych Banku w dniach [...] grudnia 2022 r. oraz [...] sierpnia 2023 r., na co ten ustosunkował się w dniu [...] stycznia 2023 r. oraz [...] września 2023 r. (dowód: pismo Banku z dnia [...] stycznia 2024 r. wraz z załącznikami). 5. Bank przesłał zestawienie typu zleceń płatniczych wykonanych przez skarżącego z rachunków bankowych w Banku wraz ze wskazaniem zakresu danych skarżącego przekazanych do innych podmiotów w okresie od [...] maja 2022 r. Na wskazanym wykazie wśród niektórych transakcji poniżej 1.000,-EUR widnieją dane osobowe skarżącego w zakresie jego adresu zamieszkania tj. [...],[...] [...]". Bank potwierdził, że wszyscy odbiorcy wskazanych w zestawieniu płatności mają swoją siedzibę w Unii Europejskiej. Zestawienie zawierało wszystkie transakcje do kwoty 5 000 zł, natomiast zostały wykluczone transakcje, które po przeliczeniu według średniego kursu walut obcych ogłoszonego przez NBP przekraczają równowartość 1000 EUR. Zestawienie zawierało następujące typy transakcji płatniczych: płatności BLIK (realizowane za pośrednictwem systemu Krajowej Izby Rozliczeniowej Express Elixir), przelew do innego banku krajowego (realizowane za pośrednictwem systemu Krajowej Izby Rozliczeniowej Elixir), przelew P2P (przelew na telefon realizowane w trybie on-line w systemie Krajowej Izby Rozliczeniowej Express Elixir); przelew wewnętrzny własny (przeksięgowanie wewnętrzne na rachunkach skarżącego), realizacja polecenia zapłaty z rachunku Klienta (realizowane za pośrednictwem systemu Krajowej Izby Rozliczeniowej); realizacja zlecenia stałego (realizowane za pośrednictwem systemu Krajowej Izby Rozliczeniowej); rozliczenie transakcji skarbowej (transakcje zawierane bezpośrednio z Bankiem) (dowód: pismo Banku z dnia [...] stycznia 2024 r. wraz z załącznikami, pismo Banku z dnia [...] marca 2024 r. wraz z załącznikami). 6. Prezes UODO w dniu [...] maja 2022 r. wydał decyzję w sprawie o sygnaturze [...], mocą której w pkt 1 udzielił Bankowi upomnienia za naruszenie art. 6 ust. 1 RODO polegające na przetwarzaniu danych osobowych skarżącego innych niż nazwisko/nazwę płatnika podczas transferu środków pieniężnych (w przypadku gdy wszyscy dostawcy usług płatniczych uczestniczący w łańcuchu płatności mieli siedzibę w UE), których kwota nie przekraczała 1000 EUR i które nie wydawały się być powiązane z innymi transferami środków pieniężnych, które łącznie z przedmiotowym transferem opiewały na kwotę przekraczającą 1 000 EUR, bez podstawy prawnej, natomiast w punkcie drugim w pozostałym zakresie odmówił uwzględnienia wniosku (dowód: notatka służbowa z dnia 19 października 2023 r. wraz z załącznikiem). Rozstrzygając Prezes UODO zaznaczył, że nie ma możliwości w ramach postępowania wszczętego na skutek skargi indywidualnej dokonania oceny ogólnych praktyk dotyczących przetwarzania danych osobowych przez administratora. Ogólne, stosowane przez administratora danych w procesach ich przetwarzania praktyki, jak również ich adekwatność oraz skuteczność, a także przyjęte procedury przetwarzania danych w systemach płatności przez administratora i podmioty działające w jego imieniu, mogą być jedynie przedmiotem postępowania wszczętego przez organ z urzędu. Ponadto skarżący kwestionuje przetwarzanie jego danych osobowych, mające miejsce po wydaniu decyzji przez Prezesa UODO w dniu [...] maja 2022 r. w sprawie o sygnaturze [...] w sposób, który w tej decyzji został uznany za nieprawidłowy. Organ w sprawie o sygnaturze [...] udzielił Bankowi upomnienia za naruszenie art. 6 ust. 1 RODO polegające na przetwarzaniu danych osobowych skarżącego innych niż nazwisko/nazwę płatnika podczas transferu środków pieniężnych (w przypadku gdy wszyscy dostawcy usług płatniczych uczestniczący w łańcuchu płatności mieli siedzibę w UE), których kwota nie przekraczała 1000 EUR i które nie wydawały się być powiązane z innymi transferami środków pieniężnych, które łącznie z przedmiotowym transferem opiewały na kwotę przekraczającą 1 000 EUR, bez podstawy prawnej. Prezes UODO wyjaśnił, że przepisem uprawniającym administratorów danych do przetwarzania danych osób fizycznych jest art. 6 ust. 1 RODO, zgodnie z którym, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy spełniona jest jedna z przesłanek wskazanych w tym przepisie. Katalog przesłanek wymienionych w art. 6 ust. 1 RODO, jest zamknięty. Każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny. Oznacza to, że przesłanki te co do zasady są równoprawne, a wobec tego spełnienie co najmniej jednej z nich stanowi o zgodnym z prawem przetwarzaniu danych osobowych. W konsekwencji zgoda osoby, której dane dotyczą nie jest jedyną podstawą przetwarzania danych osobowych, bowiem proces przetwarzania danych będzie zgodny z RODO wówczas, gdy m. in. przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze (art. 6 ust. 1 lit. c RODO). Dodatkowo, proces przetwarzania danych osobowych musi być zgodny z zasadami ustanowionymi w art. 5 ust. 1 RODO. Jedną z tych zasad jest zasada minimalizacji danych, zgodnie z którą dane osobowe muszę być adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane (art. 5 ust. 1 lit. c RODO). Prezes UODO odniósł się do przepisów rozporządzenia Parlamentu Europejskiego i Rady (UE) 2015/847 z dnia 20 maja 2015 r. w sprawie informacji towarzyszących transferom środków pieniężnych i uchylenia rozporządzenia (WE) nr 1781/2006 (Dz. U. UE L 141 str. 1 z dnia 5.06.2015), zwanego dalej Rozporządzeniem 2015/847 oraz ustawy z dnia 19 sierpnia 2011 r. o usługach płatniczych (Dz. U. z 2024 r. poz. 30), zwanej dalej u.p. Zgodnie z art. 4 ust. 1 Rozporządzenia 2015/847, dostawca usług płatniczych płatnika zapewnia, by transferowi środków pieniężnych towarzyszyły następujące informacje o płatniku: a) nazwisko/nazwa płatnika; b) numer rachunku płatniczego płatnika; oraz c) adres płatnika, numer urzędowego dokumentu osobistego, numer identyfikacyjny klienta lub data i miejsce urodzenia. Zgodnie z art. 4 ust. 4 Rozporządzenia 2015/847 przed transferem środków pieniężnych dostawca usług płatniczych płatnika weryfikuje prawdziwość informacji, o których mowa w ust. 1, na podstawie dokumentów, danych lub informacji uzyskanych z wiarygodnego i niezależnego źródła. Jak stanowi zaś art. 4 ust. 5 Rozporządzenia 2015/847 uznaje się, że weryfikacja, o której mowa w ust. 4, została przeprowadzona w przypadku gdy, m.in. tożsamość płatnika zweryfikowano zgodnie z art. 13 Dyrektywy 2015/849, a informacje uzyskane w ramach tej weryfikacji zachowano zgodnie z art. 40 tej dyrektywy. Prezes UODO zwrócił uwagę, że art. 4 ust. 1 Rozporządzenia 2015/847 doznaje ograniczenia w związku z regulacją zawartą w art. 5 ust. 1 Rozporządzenia 2015/847, zgodnie z którą w drodze odstępstwa od art. 4 ust. 1 i 2 ww. rozporządzenia, w przypadku gdy wszyscy dostawcy usług płatniczych uczestniczący w łańcuchu płatności mają siedzibę w Unii, transferom środków pieniężnych towarzyszą co najmniej numer rachunku płatniczego zarówno płatnika, jak i odbiorcy lub, w przypadku gdy zastosowanie ma art. 4 ust. 3, niepowtarzalny identyfikator transakcji, bez uszczerbku - w stosownych przypadkach - dla wymogów dotyczących informacji określonych w rozporządzeniu (UE) nr 260/2012. Zgodnie natomiast z art. 5 ust. 2 Rozporządzenia 2015/847, niezależnie od ust. 1 dostawca usług płatniczych płatnika udostępnia w terminie trzech dni roboczych od otrzymania wniosku o udzielenie informacji od dostawcy usług płatniczych odbiorcy lub pośredniczącego dostawcy usług płatniczych: a) w przypadku transferów środków pieniężnych, których kwota przekracza 1 000 EUR, niezależnie od tego, czy transfery te są dokonywane jako jedna lub kilka transakcji, które wydają się być powiązane - informacje o płatniku lub odbiorcy zgodnie z art. 4; b) w przypadku transferów środków pieniężnych, których kwota nie przekracza 1 000 EUR i które nie wydają się być powiązane z innymi transferami środków pieniężnych, które łącznie z przedmiotowym transferem opiewają na kwotę przekraczającą 1 000 EUR - co najmniej: (i) nazwisko/nazwę płatnika, nazwisko/nazwę odbiorcy; oraz (ii) numery rachunków płatniczych płatnika i odbiorcy lub, w przypadku gdy zastosowanie ma art. 4 ust. 3, niepowtarzalny identyfikator transakcji. Zgodnie z art. 5 ust. 3 Rozporządzenia 2015/847, w drodze odstępstwa od art. 4 ust. 4 w przypadku transferów środków pieniężnych, o których mowa w ust. 2 lit. b) niniejszego artykułu, dostawca usług płatniczych płatnika nie musi weryfikować informacji o płatniku, chyba że dostawca usług płatniczych płatnika: a) otrzymał środki pieniężne, które mają być przedmiotem transferu, w gotówce lub w postaci anonimowego pieniądza elektronicznego; lub b) ma uzasadnione powody, by podejrzewać pranie pieniędzy lub finansowanie terroryzmu. Zgodnie z art. 143 u. p.: zlecenie płatnicze uznaje się za wykonane na rzecz właściwego odbiorcy, jeżeli zostało wykonane zgodnie z informacjami, o których mowa w art. 23 ust. 1 pkt 1 lub w art. 27 pkt 2 lit. b, a w przypadku wskazania w treści zlecenia płatniczego unikatowego identyfikatora – jeżeli zostało wykonane zgodnie z tym unikatowym identyfikatorem bez względu na dostarczone przez użytkownika inne informacje dodatkowe (ust. 1). Przy wykonaniu transakcji płatniczych z wykorzystaniem rachunku bankowego unikatowym identyfikatorem jest numer rachunku bankowego, chyba że strony uzgodnią w umowie ramowej inny unikatowy identyfikator (ust. 3). Art. 23 ust. 1 pkt 1 u. p. wskazuje natomiast, iż dostawca jest obowiązany dostarczyć lub udostępnić użytkownikowi wyszczególnienie informacji, które muszą być dostarczone przez użytkownika, aby zlecenie płatnicze mogło zostać prawidłowo zainicjowane lub wykonane, albo informację, że wystarczające jest podanie unikatowego identyfikatora. Z kolei art. 27 pkt 2 lit. b wskazuje, że dostawca przekazuje użytkownikowi informacje dotyczące korzystania z usługi płatniczej, tj. wyszczególnienie informacji, które muszą być dostarczone przez użytkownika, aby zlecenie płatnicze mogło zostać prawidłowo zainicjowane lub wykonane albo informację, że wystarczające jest podanie unikatowego identyfikatora. W świetle powyższych przepisów, Prezes UODO stwierdził, że kwestionowane przez skarżącego udostępnienie jego danych osobowych w zakresie adresu zamieszkania było nadmiarowe. Podkreślił również, że art. 5 ust. 1 Rozporządzenia 2015/847, stanowiący wyjątek od art. 4 ust. 1 tegoż aktu prawnego, określa minimalny zakres danych osobowych płatnika, który jest niezbędny przy realizacji transferów środków pieniężnych. Gdy nie zachodzą przesłanki z wyżej powołanych art. 5 ust. 2 lit. a Rozporządzenia 2015/847 oraz art. 5 ust. 2 lit. b tiret pierwsze i tiret drugie Rozporządzenia 2015/847, w przypadku, gdy dostawcy usług płatniczych uczestniczący w łańcuchu płatności mają siedzibę w UE, jedynym obligatoryjnym elementem towarzyszącym transferom środków pieniężnych jest numer rachunku płatniczego zarówno płatnika, jak i odbiorcy. W ocenie Prezesa UODO okoliczność, że ww. przepis nie określa zamkniętego katalogu danych, który dostawca usług płatniczych może wykorzystać przy realizacji transferu płatności, nie oznacza, że dopuszczalnym jest wykorzystanie również danych w postaci adresu zamieszkania płatnika. Prezes UODO mając na względzie art. 91 ust. 3 Konstytucji Rzeczpospolitej Polskiej z dnia 2 kwietnia 1997 r. wskazał, iż Bank stosując art. 143 ust. 1 i 3 u.o.p. jest zobowiązany dostosować katalog informacji wymaganych od użytkownika do brzmienia art. 5 ust. 1 i 2 Rozporządzenia 2015/847 oraz mając na względzie zasadę wynikającą z art. 5 ust. 1 lit. c RODO, zgodnie z którą dane osobowe muszą być adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane ("minimalizacja danych"). Prezes UODO powołując się na doktrynę wskazał, że zlecenie płatnicze, czyli polecenie wykonania transakcji płatniczej, jest uznawane za wykonane na rzecz właściwego odbiorcy, jeżeli dostawca wykonał to zlecenie zgodnie z podanymi mu informacjami: 1) których zakres dostawca uprzednio wskazał (przed wykonaniem pojedynczej transakcji płatniczej lub w umowie ramowej) jako informacje, które użytkownik koniecznie musi dostarczyć, aby zlecenie płatnicze mogło zostać prawidłowo wykonane; 2) obejmującymi wyłącznie podanie unikatowego identyfikatora, o ile dostawca wskazał (przed wykonaniem pojedynczej transakcji płatniczej lub w umowie ramowej), że podanie tego identyfikatora jest wystarczające do prawidłowego wykonania zlecenia płatniczego. W przypadku, gdy użytkownik wskazał unikatowy identyfikator transakcja jest uznawana za wykonaną bez względu na dostarczone przez użytkownika inne informacje dodatkowe. Unikatowy identyfikator to przede wszystkim numer rachunku bankowego (dla transakcji z użyciem rachunku bankowego, co do zasady jego numer będzie unikatowym identyfikatorem, o ile strony nie uzgodnią innego identyfikatora) lub rachunku płatniczego, ewentualnie także kombinacja liter, liczb lub symboli określona przez dostawcę dla użytkownika, która jest podawana przez jednego użytkownika i pozwala na jednoznaczne zidentyfikowanie drugiego biorącego udział w danej transakcji płatniczej użytkownika. Oznacza to, że transakcja jest wykonywana na numer rachunku podany przez użytkownika nawet jeżeli nie ma zbieżności pomiędzy danymi posiadacza tego rachunku a danymi odbiorcy transakcji płatniczej i taka transakcja jest uznawana za wykonaną prawidłowo. Biorąc powyższe pod uwagę, Prezes UODO stwierdził, że przetwarzanie danych skarżącego innych niż nazwisko/nazwa płatnika w taki sposób, iż ww. dane osobowe były udostępniane innym podmiotom podczas transferu środków pieniężnych (w przypadku gdy wszyscy dostawcy usług płatniczych uczestniczący w łańcuchu płatności mieli siedzibę w UE), których kwota nie przekraczała 1000 EUR i które nie wydawały się być powiązane z innymi transferami środków pieniężnych, które łącznie z przedmiotowym transferem opiewały na kwotę przekraczającą 1 000 EUR przez Bank jest sprzeczne z zasadą, o której mowa w art. 5 ust. 1 lit. c RODO, pozwalającą administratorowi na przetwarzanie danych adekwatnych, stosownych oraz ograniczonych do tego, co niezbędne do celów, w których są przetwarzane. Na podstawie ustalonych okoliczności Prezes UODO stwierdził, że w okresie po [...] maja 2022 r. w przedmiotowej sprawie doszło do udostępnienia danych osobowych skarżącego na rzecz nieuprawnionych odbiorców, który to proces nie znajdował oparcia w żadnej z przesłanek legalizujących proces przetwarzania danych osobowych, wyrażonych w art. 6 ust. 1 RODO. Zatem przetwarzanie danych osobowych skarżącego przez Bank we wskazany wyżej sposób, odbyło się z naruszeniem przepisów o ochronie danych osobowych (art. 6 ust. 1 w zw. z art. 5 ust. 1 lit. c RODO). Prezes UODO odwołując się do treści art. 5 ust. 1 i 2, art. 31, art. 58 ust. 1 lit. a) i e) RODO oraz do doktryny wskazał, że stwierdzenie, że administrator powinien być w stanie wykazać przestrzeganie zasad, odczytywać można jako nałożenie na administratora ciężaru dowodowego w zakresie przestrzegania zasad przetwarzania danych. W razie sporu z osobą, której dane dotyczą, albo z organem nadzorczym, administrator powinien być w stanie przedstawić dowody na to, że przestrzega zasad. Prezes UODO stwierdził, że materiał dowodowy zgromadzony w przedmiotowej sprawie potwierdził, że Bank przetwarzał dane osobowe skarżącego inne niż nazwisko/nazwę płatnika podczas transferu środków pieniężnych (w przypadku gdy wszyscy dostawcy usług płatniczych uczestniczący w łańcuchu płatności mieli siedzibę w UE), których kwota nie przekraczała 1000 EUR i które nie wydawały się być powiązane z innymi transferami środków pieniężnych, które łącznie z przedmiotowym transferem opiewały na kwotę przekraczającą 1 000 EUR, bez podstawy prawnej. Proces ten nie znajdował bowiem oparcia w żadnej z przesłanek z art. 6 ust. 1 RODO. W związku z powyższym Prezes UODO, korzystając z przysługującego mu uprawnienia określonego w art. 58 ust. 2 lit. b RODO udzielił Bankowi upomnienia w zakresie stwierdzonego naruszenia przepisów ochrony danych osobowych. Odnosząc się natomiast do żądania skarżącego nakazania Bankowi podjęcia działań mających na celu zaprzestanie przez Bank nieuprawnionego udostępniania jego danych osobowych bez jego zgody podczas dokonywania wskazanych transferów środków pieniężnych, stwierdził, że w postępowaniu wszczętym na skutek skargi indywidualnej przedmiotem rozstrzygnięcia organu są konkretne procesy przetwarzania, które zaistniały, nie zaś procesy przetwarzania, które dopiero mogą pojawić się w przyszłości. Ponadto nie jest możliwe wydanie rozstrzygnięcia zobowiązującego administratora do zmiany stosowanej przez niego ogólnej praktyki w zakresie procesów przetwarzania danych osobowych, ponieważ rozstrzygnięcie takie może zapaść wyłącznie w postępowaniu prowadzonym przez organ z urzędu. W razie zaś wszczęcia takiego postępowania osobie zawiadamiającej o potencjalnych nieprawidłowościach nie przysługuje status strony postępowania i nie jest ona informowana o jego przebiegu. Kwestie ogólnych praktyk dotyczących przetwarzania danych osobowych dotyczą bowiem danych osobowych nie tylko skarżącego, ale także innych osób, których dane są przetwarzane. J. K w skardze do Wojewódzkiego Sądu Administracyjnego w Warszawie wniósł o uchylenie decyzji Prezesa UODO z dnia [...] września 2024 r. nr [...] i przekazanie sprawy w tym zakresie Prezesowi UODO do ponownego wznowienia oraz zwrot kosztów wpisu od skargi, wniósł o zobowiązanie Prezesa UODO do określenia w decyzji administracyjnej rodzaju i zakresu sankcji zgodnie z motywem 148 w zw. z art. 83 1 i 2 Rozporządzenia RODO zarzucając naruszenie art 83 ust 1 RODO oraz art. 77 § 1 k.p.a. Skarżący w uzasadnieniu wskazał m.in., że nadawca podczas realizacji przelewu w Banku będącym podmiotem skargi, wskazuje jedynie rachunek z którego ma być dokonany przelew przelewu i wypełnia wyłącznie dane odbiorcy przelewu. Nadawca nie ma żadnego wpływu na zakres udostępnianych swoich danych osobowych przez Bank podczas realizacji przelewu w kanale bankowości internetowej i mobilnej. Numer rachunku nadawcy w przelewie Bank arbitralnie uzupełnia danymi osobowymi nadawcy w tym jego adresem zamieszkania korzystając z informacji pozyskanej od klienta przy zakładaniu rachunku. Dane osobowe nadawcy w sposób systematyczny weryfikowane są pod względem ich jakości zgodnie z ustawą z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu. Nadawca przelewu nie ma żadnego wpływu na zakres udostępniania jego danych osobowych przez Bank przy realizacji przelewu, w tym na udostępnianie adresu zamieszkania. I to było przedmiotem żądania podjęcia działań w sprawie indywidualnej. Skarżący przywołując treść motywu 148 Rozporządzenia RODO ocenił, iż w przypadku stwierdzenia naruszenia przepisów rozporządzenia, zasadą jest to, iż organy winny nakładać sankcje, w tym administracyjne kary pieniężne, oprócz lub zamiast odpowiednich środków. Poprzestanie na środku w postaci upomnienia, jest wyjątkiem od nałożenia sankcji i może nastąpić w dwóch przypadkach: gdy naruszenie jest niewielkie lub gdy grożąca kara pieniężna stanowiłaby dla osoby fizycznej nieproporcjonalne obciążenie. Skarżący zwrócił uwagę, że Bank nie wprowadził mechanizmów zapobiegających stosowaniu naruszenia; naruszenie ma charakter stały, zorganizowany i systemowy, co wskazuje, na to iż proceder dotyczy wszystkich tego rodzaju transakcji w zaznaczonym czasie (charakter masowy naruszenia); podmiot nie dokonał nadto usunięcia stosowanej praktyki po wydaniu przez Prezesa UODO poprzedniej decyzji stwierdzającej stosowane naruszenie; samo naruszenie ma charakter trwały i umyślny. Tym samym organ bezpodstawnie pominął obowiązek nałożony na niego wynikający z motywu 148 RODO, zastosowania odpowiedniej sankcji mającej na celu skuteczne zapobieżenie stosowanej praktyce w danym podmiocie. Skarżący stoi na stanowisku, że wymierzona kara ma być skuteczna, proporcjonalna i odstraszająca. Skarżący zaznaczył, że z chwilą uprawomocnienia się decyzji dotyczącej jego żądania podjęcia działań w sprawie indywidualnej Bank ([...].06.2022 r.) Bank będący podmiotem sporu powinien zgodnie z art. 33 RODO zgłaszać każde naruszenie. Ponadto organ przy wymierzaniu kary powinien zwrócić uwagę na kryteria zawarte w art. 83 ust. 2 RODO. Zgodnie z decyzją [...] Prezesa UODO z [...].05.2022 r. wina za naruszenie leży po stronie banków które udostępniając adres nadawcy naruszyły przepisy RODO i złamały tajemnicę bankową. Natomiast oczekiwanie na realizację obowiązku informacyjnego przez odbiorcę, który na skutek naruszenia przepisów przez bank nadawcy wszedł w posiadanie danych osobowych i nie posiada celu przetwarzania w tym zakresie wydaje się być nieuprawnione. W ocenie skarżącego nastąpiło zagrożenie kradzieżą tożsamości nadawcy przelewu – umieszczenie adresu nadawcy na przelewie przez Bank (niezależnie od tego czy było to za zgodą czy bez zgody nadawcy) umożliwia wykorzystanie go przez odbiorcę jako "przelew weryfikujący"; zmuszenie klienta do korzystania z produktu obarczonego wadą prawną – w punkcie 4 c) decyzji nie zawarta została istotna informacja przekazana przez Bank klientowi "Do czasu wprowadzenia zmian w systemie dotyczących realizacji przelewów poniżej 1 000 EUR, prosimy, aby wstrzymał się Pan od zlecania takich płatności". Zmiany w systemie nie zostały zrealizowane do dnia [...]10.2024 r. Skarżący podniósł, że Prezes UODO pomimo wiedzy o liczbie poszkodowanych uzyskany z Banku oraz dwukrotnego powiadomienia przez skarżącego "żądaniu podjęcia działań w sprawie indywidualnej" nie wszczął postępowania z urzędu w tej sprawie. Charakter naruszenia dotyczy głównie krajowego systemu rozliczeń "elixir" (niedostosowaniu banków obsługi tego systemu do wymagań RODO). System rozliczeń SEPA dotyczący rozliczeń płatniczych w EURO na terenie Europejskiego Obszaru Gospodarczego nie zawiera w swojej specyfikacji miejsca na przekazywanie adresu nadawcy i odbiorcy płatności. Także system rozliczeń kartowych nie wykorzystuje adresu w rozliczeniach. Prezes UODO w odpowiedzi na skargę wniósł o jej oddalenie oraz o rozpoznanie sprawy w trybie uproszczonym, podtrzymując stanowisko, wyrażone w zaskarżonej decyzji. Organ w uzasadnieniu dodał m.in., że w zakresie uprawnień przysługujących Prezesowi UODO znajduje się nakładanie sankcji administracyjnych w postaci kar pieniężnych, zgodnie z art. 58 ust. 2 lit. i RODO, niemniej jednak organ nie podejmuje tego rodzaju działań na żądanie osoby składającej skargę. Swobodę uznania organu w powyższym zakresie potwierdza między innymi stanowisko doktryny, zgodnie z którym celem kar pieniężnych nie jest zatem naprawa - przywrócenie stanu zgodnego z prawem, ale wyrządzenie dolegliwości finansowej podmiotowi naruszającemu przepisy prawa, przy czym jest to forma przymusu administracyjnego odrębna od przymusu egzekucyjnego służąca ochronie dobra w postaci interesu publicznego. To środek nacechowany znacznym zakresem uznania administracyjnego - swobody organów w orzekaniu oraz charakteryzujący się wysokim stopniem dolegliwości. Odnosząc się do wskazanego przez skarżącego faktu dochodowości działalności administratora (wysokość wypłaconych przez Bank dywidend na rzecz akcjonariuszy) pozostaje bez znaczenia, bowiem w treści motywu 148 RODO podkreślono, że chociaż kwestia proporcjonalności obciążenia kary pieniężnej powinna być brana pod uwagę przy jej orzeczeniu przez organ, to jednak przy tym organ powinien się jednocześnie kierować oceną samego charakteru naruszenia (np. jego wagi, czasu trwania itp.). Organ, powołując się na orzecznictwo podkreślił, że w sytuacji gdy organ nie dostrzega podstaw do wszczęcia postępowania z urzędu, brak jest środków procesowych pozwalających na zmuszenie organu administracji do podjęcia działań. Organ wskazał, że kwestia złożenia (lub jego braku) przez administratora zawiadomienia o naruszeniu nie ma znaczenia z perspektywy rozpatrzenia przez organ skargi indywidualnej, gdyż jak wynika z przepisów, oba instrumenty mają względem siebie charakter niezależny. Tym samym organ rozpatrując skargę skarżącego nie był obowiązany do zbadania kwestii złożenia lub niezłożenia zawiadomienia o naruszeniu przez Bank. Prezes UODO zaznaczył, że nie ma uprawnienia do stwierdzenia naruszenia tajemnicy bankowej, lecz jego ocena ogranicza się wyłącznie do stwierdzenia nieprawidłowości w procesie przetwarzania danych. Odnosząc się do zagrożenia kradzieżą tożsamości nadawcy przelewu wskazał, że zdarzenia mają charakter hipotetyczny. Do takiego rodzaju nieprawidłowości organ nadzorczy może zastosować uprawnienie naprawcze polegające na udzieleniu ostrzeżenia, który jest środkiem naprawczym przewidzianym w art. 58 ust. 2 lit. a RODO. Prezes UODO wyjaśnił, że nie ma możliwości zastosowania takiego środka naprawczego w postępowaniu dotyczącym przetwarzania danych osobowych skarżącego z uwagi na to, że skarga indywidualna wniesiona do organu nie może dotyczyć aktualnie nieistniejących lub hipotetycznych procesów. Dodał, że ocena wadliwości prawnej dostarczonego produktu następuje w ramach sprawy cywilnej, które są rozpatrywane przez sądy powszechne. Prezes UODO podniósł, iż aby było możliwe stwierdzenie czy okres adaptacji rozwiązań organizacyjnych przez Bank jest nadmierny, to ta ocena jest możliwa wyłącznie w ramach postępowania wszczętego z urzędu. Podkreślił również, że samo stwierdzenie zaistnienia naruszeń przepisów rozporządzenia stanowiących podstawę do nałożenia administracyjnej kary pieniężnej nie obliguje organu do sięgnięcia po ten rodzaj sankcji. Prezes UODO ponownie wskazał, że postępowanie dotyczące skargi indywidualnej nie jest ukierunkowane na pozyskanie informacji na temat stosowanych przez administratora procedur i ogólnych praktyk dotyczących przetwarzania danych oraz na przekazaniu tychże informacji na rzecz osób fizycznych, zainteresowanych sprawą, lecz jego celem jest zbadanie legalności przetwarzania danych osobowych konkretnej osoby wnoszącej skargę. Indywidualna skarga osoby fizycznej oraz wszczęcie przez Prezesa UODO postępowania z urzędu (np. na skutek wniesionego zawiadomienia przez administratora danych) inicjują dwa odrębne postępowania administracyjne o odmiennym charakterze, ukierunkowane na odmienne cele i mające odmienny przedmiot czynności wyjaśniających. Skarżący w piśmie procesowym z dnia 28 listopada 2024 r. podtrzymał skargę. Podniósł, że ponowne zastosowanie upomnienia w decyzji w przypadku uporczywego łamania prawa przez Bank nie wyrządza dolegliwości finansowej podmiotowi naruszającemu przepisy prawa. W ocenie skarżącego obecna decyzja jak i decyzja poprzednia w sprawie indywidualnej dotyczącej tego samego naruszenia nie zawierała stosownego uzasadnienia oceny, która powinna być wykonana w oparciu o kryteria wymienione w art. 83 ust. 2 RODO. Decydując, czy nałożyć administracyjną karę pieniężną, oraz ustalając jej wysokość, zwraca się w każdym indywidualnym przypadku należytą uwagę na wymieniony katalog kryteriów. Użyte sformułowanie "czy nałożyć" nie pozostawia przestrzeni na interpretację organu sugerującego w uzasadnieniu, że udzielenie upomnienia zwalnia organ od wykonania oceny naruszenia zgodnie z kryteriami zawartymi w art. 83 ust. 2 RODO "Oprócz lub zamiast środków" wskazuje natomiast niezależność zastosowania kary pieniężnej i środków ochrony prawnej. Potwierdza to motyw 148 RODO wskazujący na konieczność wykonania oceny naruszenia zgodnie z kryteriami art 83. ust 2 RODO, przy czym decyzja o odstąpieniu od wymierzania kary pieniężnej, nie może powodować obniżenia skuteczności egzekwowania przepisów RODO, a samo odstąpienie od kary pieniężnej może dotyczyć wąskiego katalogu wymienionych w motywie przesłanek. Podczas przeprowadzania postępowania w sprawie indywidualnej skarżący przedstawił organowi dowód w skardze indywidualnej o powtarzalnych praktykach dotyczących wyłącznie jego osoby. Natomiast administrator w postępowaniu wyjaśniającym potwierdził, że naruszenie dotyczy również pozostałych klientów administratora, co mogłoby, lecz nie stanowiło dla Prezesa UODO podstawy do wszczęcia postępowania administracyjnego z urzędu. W ocenie skarżącego ujawnienie oprócz imienia i nazwiska adresu nadawcy przelewu powoduje, że proces pseudonimizacji zostaje odwrócony, bo odbiorca potrafi na podstawie imienia, nazwiska i adresu ustalić tożsamość posiadacza rachunku. Wysłanie adresu nadawcy podczas realizacji przelewu powinno być poprzedzone wyrażeniem przez niego zgody na ewentualne wykorzystanie tych danych do weryfikacji tożsamości. Skarżący stwierdził, że z uwagi na to, iż decyzja indywidualna Prezesa UODO [...] z [...].05.2022 r. nie została upubliczniona, instytucje finansowe inne niż administrator nie traktują udostępniania adresu nadawcy przy realizacji przelewów do 1000 Euro na terenie EOG jako naruszenie. Aby egzekwować karę pieniężną od instytucji finansowych uprzednio należy powiadomić je o tym, że takie działanie traktowane jest przez organ jako naruszenie. Przytaczanie argumentu nie karania podmiotów finansowych z powodu powszechności praktyki skutkującej naruszeniem na rynku krajowym nie jest stosowne w świetle prawa. Powszechność wysyłki adresu podczas realizacji przelewu krajowego o równowartości do 1000 Euro (jest na terenie EOG) przez bank nadawcy wynika z braku dostosowania praktyk stosowanych w krajowym systemie rozliczeniowym do wymogów RODO. Krajowych, bo system SEPA (system rozliczeniowy stosowany w Unii Europejskiej dla rozliczeń w euro) od początku dostosowany jest do wymogów RODO, a numerowi IBAN (międzynarodowemu odpowiednikowi NRB) towarzyszy wyłącznie nazwa nadawcy (w przypadku osoby fizycznej nazwisko i imię). Nadal na formularzach przelewów krajowych i w formularzach bankowości elektronicznej występuje miejsce na wpisanie adresu, lecz klienci z powodu praktyk niedostosowanych do wymogów RODO nie są świadomi tego, że to pole jest opcjonalne i nie wymaga wypełnienia dla przelewów o równowartości do 1000 euro. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje. Zgodnie z art. 1 § 1 i § 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (Dz. U. z 2024 r., poz. 1267), dalej: "p.u.s.a." oraz art. 3 § 1 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2024 r., poz. 935), dalej: "p.p.s.a.", sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej. W świetle powołanych przepisów, Wojewódzki Sąd Administracyjny w Warszawie, w zakresie swojej właściwości, ocenia zaskarżoną decyzję administracyjną, postanowienie, czy też inny akt lub czynność z zakresu administracji publicznej dotyczącą uprawnień lub obowiązków wynikających z przepisów prawa, z punktu widzenia ich zgodności z prawem materialnym i przepisami postępowania administracyjnego, według stanu faktycznego i prawnego obowiązującego w dacie wydania tego aktu lub podjęcia spornej czynności. Chodzi więc o kontrolę aktów lub czynności z zakresu administracji publicznej dokonywaną wyłącznie pod względem ich zgodności z prawem materialnym i przepisami procesowymi, nie zaś według kryteriów słuszności, czy też zgodności z zasadami współżycia społecznego. Sprawa rozpoznana została w trybie uproszczonym. Zgodnie z art. 119 pkt 2 p.p.s.a., sprawa może być rozpoznana w trybie uproszczonym, jeżeli strona zgłosi wniosek o skierowanie sprawy do rozpoznania w trybie uproszczonym, a żadna z pozostałych stron w terminie czternastu dni od zawiadomienia o złożeniu wniosku nie zażąda przeprowadzenia rozprawy. Taka sytuacja zaistniała w niniejszej sprawie. Organ wniósł o rozpoznanie sprawy w trybie uproszczonym. Skarżący i uczestnik postępowania nie żądali przeprowadzenia rozprawy. Stosownie do treści art. 134 § 1 p.p.s.a., sąd rozstrzyga w granicach danej sprawy nie będąc związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną, z zastrzeżeniem art. 57a. Sąd nie może wydać orzeczenia na niekorzyść skarżącego, chyba że stwierdzi naruszenie prawa skutkujące stwierdzeniem nieważności zaskarżonego aktu lub czynności (§ 2). Skarga oceniana w świetle powyższych kryteriów nie podlegała uwzględnieniu. W sprawie tej Sąd dokonując oceny legalności zaskarżonej decyzji Prezesa UODO, zobowiązany był zbadać jej zgodność z przepisami prawa procesowego i materialnego, w tym przede wszystkim z przepisami prawa europejskiego, tj. z RODO. W ocenie Sądu, analizowana pod tym kątem skarga nie zasługuje na uwzględnienie, albowiem zaskarżona decyzja Prezesa UODO z dnia [...] września 2024 r. nie narusza obowiązujących przepisów prawa. Sąd uznał, że Prezes UODO, wydając zaskarżoną decyzję nie dopuścił się naruszenia zarówno wiążących RP przepisów prawa europejskiego, jak i regulacji prawa krajowego, w tym k.p.a., w stopniu mogącym mieć istotny wpływ na końcowy wynik sprawy zakończonej wydaniem zaskarżonej decyzji. Prezes Urzędu Ochrony Danych Osobowych jest organem właściwym w sprawie ochrony danych osobowych (art. 34 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych) i jednocześnie organem nadzorczym, w rozumieniu RODO (art. 34 ust. 2 u.o.d.o.). Jak stanowi art. 57 ust. 1 lit. a i lit. f RODO, bez uszczerbku dla innych zadań określonych na mocy niniejszego rozporządzenia, każdy organ nadzorczy na swoim terytorium monitoruje i egzekwuje stosowanie niniejszego rozporządzenia, a także rozpatruje skargi wniesione przez osobę, której dane dotyczą. W wyniku przeprowadzonej analizy stanowiska Prezesa UODO przedstawionego w uzasadnieniu zaskarżonej decyzji, Sąd stwierdził, że - wbrew zarzutom skargi – organ ochrony danych osobowych, wydając zaskarżoną decyzję, nie dopuścił się naruszenia przepisów procedury administracyjnej, a w szczególności wskazanego w skardze art. 77 § 1 k.p.a., ale także innych przepisów procedury administracyjnej, w tym. art. 6, art. 7, art. 8, art. 9, jak też art. 80 i art. 107 § 3 k.p.a., w stopniu, który miałby wpływ na wynik niniejszej sprawy. Organ wyjaśnił wszystkie okoliczności istotne dla prawidłowego i pełnego rozstrzygnięcia niniejszej sprawy, w granicach prowadzonego postępowania, wyznaczonych skargą. Prezes UODO dokonał także właściwej oceny zebranego w sprawie materiału dowodowego, dokonując tej oceny w kontekście prawidłowo zastosowanych przepisów RODO. Udzielając Bankowi upomnienia organ nie naruszył art. 58 ust. 2 lit.b RODO. W działaniach Prezesa Urzędu Ochrony Danych Osobowych, jako organu administracji publicznej, w tej sprawie Sąd nie stwierdził istotnych nieprawidłowości, zarówno w zakresie dokonanych ustaleń stanu faktycznego, jak i zastosowania do jego oceny przepisów prawa materialnego. Uzasadnienie zaskarżonej decyzji nie w pełni odpowiada wymogom art. 107 § 3 k.p.a., jednakże Prezes UODO wystarczająco klarownie wyjaśnił motywy podjętego rozstrzygnięcia i powody, jakie legły u jego podstaw. Argumentacja organu jest w tym zakresie wystarczająco wyczerpująca i wyjaśnia dlaczego zapadło takie a nie inne rozstrzygnięcie. Zaskarżoną decyzją z dnia [...] września 2024 r. organ udzielił upomnienia [...] S.A. z siedzibą w [...] za naruszenie art. 6 ust. 1 RODO, które polegało na udostępnieniu danych osobowych skarżącego, innych niż nazwisko/nazwę płatnika podczas transferu środków pieniężnych (w przypadku gdy wszyscy dostawcy usług płatniczych uczestniczący w łańcuchu płatności mieli siedzibę w UE), których kwota nie przekraczała 1000 EUR i które nie wydawały się być powiązane z innymi transferami środków pieniężnych, które łącznie z przedmiotowym transferem opiewały na kwotę przekraczającą 1 000 EUR, bez podstawy prawnej, w zakresie jego adresu zamieszkania, w okresie po [...] maja 2022 r. Podkreślenia wymaga, co wskazane zostało przez organ w ustaleniach faktycznych zaskarżonej decyzji, że już wcześniej, w innym postepowaniu między tymi samymi stronami, Prezes UODO w dniu [...] maja 2022 r. wydał decyzję mocą której w pkt 1 udzielił Bankowi upomnienia za naruszenie art. 6 ust. 1 RODO polegające na przetwarzaniu danych osobowych skarżącego innych niż nazwisko/nazwę płatnika podczas transferu środków pieniężnych bez podstawy prawnej, natomiast w punkcie drugim w pozostałym zakresie odmówił uwzględnienia wniosku. Powyższe wyjaśnia stwierdzenie w zaskarżonej decyzji naruszenia RODO w okresie po [...] maja 2022 r. W sprawie tej skarżący w skardze do Prezesa UODO wskazał, że dotyczy ona uporczywego udostępniania jego danych osobowych na rzecz podmiotów trzecich bez podstawy prawnej oraz zgody skarżącego przez Bank przy realizacji usług na podstawie umowy o prowadzenie rachunku oszczędnościowo-rozliczeniowego pomimo decyzji Prezesa Urzędu Ochrony Danych Osobowych udzielającej Bankowi upomnienia w tym zakresie. Skarżący wnosił o podjęcie stosownej reakcji na nieprawidłowości, które wystąpiły w procesie przetwarzania jego w danych osobowych, podkreślając, że upomnienie – udzielone w decyzji z dnia [...] maja 2022 r. – jako forma dyscyplinująca nie przyniosła spodziewanych efektów. W toku postępowania przed Prezesem UODO w niniejszej sprawie Bank przesłał zestawienie typu zleceń płatniczych wykonanych przez skarżącego z rachunków bankowych wraz ze wskazaniem zakresu danych skarżącego przekazanych do innych podmiotów w okresie od [...] maja 2022 r. Na wskazanym wykazie wśród niektórych transakcji poniżej 1.000 EUR widnieją dane osobowe skarżącego w zakresie jego adresu zamieszkania. Bank potwierdził, że wszyscy odbiorcy wskazanych w zestawieniu płatności mają swoją siedzibę w Unii Europejskiej. Zestawienie zawierało wszystkie transakcje do kwoty 5 000 zł, natomiast zostały wykluczone transakcje, które po przeliczeniu według średniego kursu walut obcych ogłoszonego przez NBP przekraczają równowartość 1000 EUR. Zestawienie zawierało następujące typy transakcji płatniczych: płatności BLIK (realizowane za pośrednictwem systemu Krajowej Izby Rozliczeniowej Express Elixir), przelew do innego banku krajowego (realizowane za pośrednictwem systemu Krajowej Izby Rozliczeniowej Elixir), przelew P2P (przelew na telefon realizowane w trybie on-line w systemie Krajowej Izby Rozliczeniowej Express Elixir); przelew wewnętrzny własny (przeksięgowanie wewnętrzne na rachunkach skarżącego), realizacja polecenia zapłaty z rachunku Klienta (realizowane za pośrednictwem systemu Krajowej Izby Rozliczeniowej); realizacja zlecenia stałego - (realizowane za pośrednictwem systemu Krajowej Izby Rozliczeniowej); rozliczenie transakcji skarbowej (transakcje zawierane bezpośrednio z Bankiem). Dokonując oceny zgodności z prawem przetwarzania danych osobowych skarżącego po [...] maja 2022 r. organ zasadnie oceny tej dokonał z uwzględnieniem przepisów Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2015/847 z dnia 20 maja 2015 r. w sprawie informacji towarzyszących transferom środków pieniężnych i uchylenia rozporządzenia (WE) nr 1781/2006 (Dz. U. UE L 141 str. 1 z dnia 5.06.2015) oraz ustawy o usługach płatniczych. Zgodnie z art. 4 ust. 1 Rozporządzenia 2015/847, dostawca usług płatniczych płatnika zapewnia, by transferowi środków pieniężnych towarzyszyły następujące informacje o płatniku: a) nazwisko/nazwa płatnika; b) numer rachunku płatniczego płatnika; oraz c) adres płatnika, numer urzędowego dokumentu osobistego, numer identyfikacyjny klienta lub data i miejsce urodzenia. Zgodnie z art. 4 ust. 4 Rozporządzenia 2015/847 przed transferem środków pieniężnych dostawca usług płatniczych płatnika weryfikuje prawdziwość informacji, o których mowa w ust. 1, na podstawie dokumentów, danych lub informacji uzyskanych z wiarygodnego i niezależnego źródła. Jak stanowi zaś art. 4 ust. 5 Rozporządzenia 2015/847 uznaje się, że weryfikacja, o której mowa w ust. 4, została przeprowadzona w przypadku gdy, m.in. tożsamość płatnika zweryfikowano zgodnie z art. 13 Dyrektywy 2015/849, a informacje uzyskane w ramach tej weryfikacji zachowano zgodnie z art. 40 tej dyrektywy. Stosownie do art. 5 ust. 1 Rozporządzenia 2015/847, w przypadku gdy wszyscy dostawcy usług płatniczych uczestniczący w łańcuchu płatności mają siedzibę w Unii, transferom środków pieniężnych towarzyszą co najmniej numer rachunku płatniczego zarówno płatnika, jak i odbiorcy lub, w przypadku gdy zastosowanie ma art. 4 ust. 3, niepowtarzalny identyfikator transakcji, bez uszczerbku - w stosownych przypadkach - dla wymogów dotyczących informacji określonych w rozporządzeniu (UE) nr 260/2012. Zgodnie natomiast z art. 5 ust. 2 Rozporządzenia 2015/847, niezależnie od ust. 1 dostawca usług płatniczych płatnika udostępnia w terminie trzech dni roboczych od otrzymania wniosku o udzielenie informacji od dostawcy usług płatniczych odbiorcy lub pośredniczącego dostawcy usług płatniczych: a) w przypadku transferów środków pieniężnych, których kwota przekracza 1 000 EUR, niezależnie od tego, czy transfery te są dokonywane jako jedna lub kilka transakcji, które wydają się być powiązane - informacje o płatniku lub odbiorcy zgodnie z art. 4; b) w przypadku transferów środków pieniężnych, których kwota nie przekracza 1 000 EUR i które nie wydają się być powiązane z innymi transferami środków pieniężnych, które łącznie z przedmiotowym transferem opiewają na kwotę przekraczającą 1 000 EUR - co najmniej: (i) nazwisko/nazwę płatnika, nazwisko/nazwę odbiorcy; oraz (ii) numery rachunków płatniczych płatnika i odbiorcy lub, w przypadku gdy zastosowanie ma art. 4 ust. 3, niepowtarzalny identyfikator transakcji. Należy przytoczyć również art. 5 ust. 3 Rozporządzenia 2015/847, zgodnie z którym w drodze odstępstwa od art. 4 ust. 4 w przypadku transferów środków pieniężnych, o których mowa w ust. 2 lit. b) niniejszego artykułu, dostawca usług płatniczych płatnika nie musi weryfikować informacji o płatniku, chyba że dostawca usług płatniczych płatnika: a) otrzymał środki pieniężne, które mają być przedmiotem transferu, w gotowce lub w postaci anonimowego pieniądza elektronicznego; lub b) ma uzasadnione powody, by podejrzewać pranie pieniędzy lub finansowanie terroryzmu. Zgodnie z art. 143 u.p., zlecenie płatnicze uznaje się za wykonane na rzecz właściwego odbiorcy, jeżeli zostało wykonane zgodnie z informacjami, o których mowa w art. 23 ust. 1 pkt 1 lub w art. 27 pkt 2 lit. b, a w przypadku wskazania w treści zlecenia płatniczego unikatowego identyfikatora – jeżeli zostało wykonane zgodnie z tym unikatowym identyfikatorem bez względu na dostarczone przez użytkownika inne informacje dodatkowe (ust. 1). Przy wykonaniu transakcji płatniczych z wykorzystaniem rachunku bankowego unikatowym identyfikatorem jest numer rachunku bankowego, chyba że strony uzgodnią w umowie ramowej inny unikatowy identyfikator (ust. 3). Art. 23 ust. 1 pkt 1 u.p. wskazuje natomiast, iż dostawca jest obowiązany dostarczyć lub udostępnić użytkownikowi wyszczególnienie informacji, które muszą być dostarczone przez użytkownika, aby zlecenie płatnicze mogło zostać prawidłowo zainicjowane lub wykonane, albo informację, że wystarczające jest podanie unikatowego identyfikatora. Przepis art. 27 pkt 2 lit. b wskazuje, że dostawca przekazuje użytkownikowi informacje dotyczące korzystania z usługi płatniczej, tj. wyszczególnienie informacji, które muszą być dostarczone przez użytkownika, aby zlecenie płatnicze mogło zostać prawidłowo zainicjowane lub wykonane albo informację, że wystarczające jest podanie unikatowego identyfikatora. Mając powyższe na uwadze przypomnieć należy, że przetwarzanie danych osobowych przez administratora powinno znajdować podstawę prawną. Przesłanki legalności przetwarzania danych osobowych określone zostały w art. 6 ust. 1 RODO. Przepis ten przewiduje, że przetwarzanie jest zgodne z prawem wyłącznie w razie spełnienia co najmniej jednej z przesłanek określonych w ust. 1 lit. a)-f) tego artykułu, a mianowicie - jak wynika także z motywu 40 RODO - osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów; gdy przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy; gdy przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze; gdy przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej; gdy przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi lub gdy przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, Trybunał Sprawiedliwości w wyroku z dnia 4 maja 2023 r. C-60/22 podkreślił, że "Ten wykaz przypadków, w których przetwarzanie danych osobowych może zostać uznane za zgodne z prawem jest wyczerpujący i zamknięty, co oznacza, by że aby można było uznać je za zgodne z prawem, przetwarzanie powinno być objęte jednym z przypadków przewidzianych w art. 6 ust. 1 akapit pierwszy RODO [zob. podobnie wyroki: z dnia 2 czerwca 2021 r., Latvijas Republikas Saeima (Punkty karne) , C-439/19, EU:C:2021:504, pkt 99 i przytoczone tam orzecznictwo; z dnia 8 grudnia 2022 r., Inspektor v Inspektorata kam Visshia sadeben savet (Cele przetwarzania danych osobowych) - Postępowanie karne) , C-180/21, EU:C:2022:967, pkt 83]". Mając powyższe na uwadze prawidłowo zdaniem Sądu Prezes UODO stwierdził, biorąc pod uwagę przywołane wyżej przepisy Rozporządzenia 2015/847 oraz ustawę o usługach płatniczych, że nie sposób było uznać, że Bank był uprawniony do udostępniania podczas transferów środków pieniężnych wykonywanych przez skarżącego (w przypadku gdy wszyscy dostawcy usług płatniczych uczestniczący w łańcuchu płatności mieli siedzibę w UE), których kwota nie przekraczała 1000 EURO i które nie wydawały się być powiązane z innymi transferami środków pieniężnych, które łącznie z przedmiotowym transferem opiewały na kwotę przekraczającą 1 000 EUR, danych wykraczających poza jego nazwisko oraz jego numer rachunku płatniczego (zgodnie z art. 5 ust. 2 lit. b tiret pierwsze i tiret drugie Rozporządzenia 2015/847). Zasadnie organ stwierdził w związku z powyższym, że kwestionowane przez skarżącego udostępnienie jego danych osobowych w zakresie adresu zamieszkania było nadmiarowe. Raz jeszcze podkreślenia wymaga, że art. 5 ust. 1 Rozporządzenia 2015/847, stanowiący wyjątek od art. 4 ust. 1, określa minimalny zakres danych osobowych płatnika, który jest niezbędny przy realizacji transferów środków pieniężnych. Sąd podziela twierdzenie organu, że w sytuacji, gdy nie zachodzą przesłanki z wyżej powołanych art. 5 ust. 2 lit. a Rozporządzenia 2015/847 oraz art. 5 ust. 2 lit. b tiret pierwsze i tiret drugie Rozporządzenia 2015/847, w przypadku, gdy dostawcy usług płatniczych uczestniczący w łańcuchu płatności mają siedzibę w UE, jedynym obligatoryjnym elementem towarzyszącym transferom środków pieniężnych jest numer rachunku płatniczego zarówno płatnika, jak i odbiorcy. Okoliczność, że ww. przepis nie określa zamkniętego katalogu danych, który dostawca usług płatniczych może wykorzystać przy realizacji transferu płatności, nie oznacza, że dopuszczalne jest przetwarzanie w takim przypadku również adresu zamieszkania płatnika. Wskazane wyżej ustalenia i stwierdzenia Prezesa UODO nie są przez skarżącego kwestionowane w skardze do Sądu albowiem przesądziły one co do istoty o uwzględnieniu przez Prezesa UODO skargi skarżącego i stanowiły podstawę skorzystania przez Prezesa UODO w zaskarżonej decyzji z dnia [...] września 2024 r. z uprawnienia określonego w art. 58 ust. 2 lit.b RODO w stosunku do Banku jako administratora, który dopuścił się naruszenia przepisów RODO w okresie po [...] maja 2022 r. Przypomnieć należy przy tym, że zgodnie z orzecznictwem Trybunału Sprawiedliwości każde przetwarzanie danych osobowych powinno być zgodne z zasadami określonymi w art. 5 ust. 1 RODO i spełniać przesłanki zgodności z prawem wymienione w art. 6 RODO (zob. w szczególności wyroki: z dnia 6 października 2020 r., La Quadrature du Net i in. , C-511/18, C-512/18 i C-520/18, EU:C:2020:791, pkt 208). Dane osobowe muszą być zatem adekwatne, stosowne i ograniczone do tego co niezbędne do celów, w których są przetwarzane ("minimalizacja danych"). Podnoszony w skardze zarzut kwestionujący sposób sformułowania ustalenia zawartego w punkcie 4a zaskarżonej decyzji, sugerujący, jak wskazuje skarżący, że "dane nadawcy wprowadzane są samodzielnie przez klienta bankowości internetowej Banku" nie ma znaczenia dla rozstrzygnięcia niniejszej sprawy. Prezes UODO nie sugerował, że dane w zakresie adresu zamieszkania przetwarzane były z inicjatywy skarżącego. Prezes UODO nie twierdził nadto, że skarżący jako klient Banku ma wpływ na zakres danych udostępnianych przez Bank. Materiał dowodowy stanowiący podstawę stwierdzonego naruszenia przez Bank przepisów RODO w zakresie przetwarzania danych osobowych skarżącego został zebrany w sposób wyczerpujący i należycie, wszechstronnie przeanalizowany. Nie ma podstaw do kwestionowania prawidłowości ustaleń organu. Odnosząc się natomiast do zasadniczej kwestii, która legła u podstaw wywiedzionej do Sądu skargi na decyzję Prezesa UODO, tj. do kwestii niezastosowania art. 83 ust. 1 RODO, podnieść na wstępie należy, że to nie podmiot danych, którego skargę Prezes UODO rozpatruje, decyduje o zastosowaniu konkretnego uprawnienia naprawczego w sytuacji stwierdzenia naruszenia RODO. To wyłącznie Prezes UODO, jako organ powołany do rozpatrywania skarg podmiotów danych decyduje o zastosowanym środku prawnym wymienionym w art. 58 ust. 2 RODO. W sprawie niniejszej organ, w związku z ustaleniem, że w okresie po [...] maja 2022 r. w przedmiotowej sprawie doszło do nadmiarowego udostępnienia danych osobowych skarżącego na rzecz nieuprawnionych odbiorców, który to proces nie znajdował oparcia w żadnej z przesłanek legalizujących proces przetwarzania danych osobowych, wyrażonych w art. 6 ust. 1 RODO, udzielił Bankowi upomnienia. Prezes UODO zastosował zatem art. 58 ust. 2 lit.b RODO. Zgodnie z art. 58 ust. 2 lit. b RODO, każdemu organowi nadzorczemu przysługują wszystkie następujące uprawnienia naprawcze: udzielanie upomnień administratorowi lub podmiotowi przetwarzającemu w przypadku naruszenia przepisów niniejszego rozporządzenia przez operacje przetwarzania. Organ uznał ten środek za adekwatny do stwierdzonego naruszenia RODO. W ocenie Sądu, w świetle przedstawionych w zaskarżonej decyzji ustaleń faktycznych, w tym wyjaśnień Banku dotyczących zmian dostosowujących tryb realizacji transferów płatniczych, organ w sprawie skarżącego zastosował adekwatny do naruszenia środek prawny. Organ mimo, że nie odniósł się szerzej do proporcjonalności zastosowanego środka wyraźnie powiązał go w uzasadnieniu decyzji ze stwierdzonym w tej sprawie konkretnym naruszeniem przepisów ochrony danych osobowych. Zdaniem Sądu organ stosując upomnienie wobec Banku nie przekroczył zasad proporcjonalności. Zdaniem Sądu zastosowany środek jest adekwatny do stwierdzonego w decyzji naruszenia RODO. Waga stwierdzonego naruszenia i jego charakter dawały podstawę do zastosowania upomnienia. Naruszenie RODO dotyczyło konkretnego stanu faktycznego w zakresie przetwarzania danych osobowych skarżącego a nie ogólnych praktyk Banku w zakresie przetwarzania danych osobowych. Odnosząc się do żądania skarżącego nakazania przez Prezesa UODO Bankowi podjęcia działań mających na celu zaprzestanie przez Bank nieuprawnionego udostępniania jego danych osobowych bez jego zgody podczas dokonywania transferów środków pieniężnych, organ wskazał, że w postępowaniu wszczętym na skutek skargi indywidualnej przedmiotem rozstrzygnięcia organu są konkretne procesy przetwarzania, które zaistniały, nie zaś procesy przetwarzania, które dopiero mogą pojawić się w przyszłości. Podkreślił też, że nie jest możliwe wydanie rozstrzygnięcia zobowiązującego administratora do zmiany stosowanej przez niego ogólnej praktyki w zakresie procesów przetwarzania danych osobowych, ponieważ rozstrzygnięcie takie może zapaść wyłącznie w postępowaniu prowadzonym przez organ z urzędu. W razie zaś wszczęcia takiego postępowania osobie zawiadamiającej o potencjalnych nieprawidłowościach nie przysługuje status strony postępowania i nie jest ona informowana o jego przebiegu. Prezes UODO zaznaczył też, że kwestie ogólnych praktyk dotyczących przetwarzania danych osobowych dotyczą nie tylko danych skarżącego, ale także innych osób, których dane są przetwarzane. Skarżący uważa, że Prezes UODO ma obowiązek wymierzenia Bankowi kary pieniężnej. Wskazania wymaga w związku z tym, że zgodnie z art. 58 ust. 2 lit.i RODO, organowi nadzorczemu przysługuje uprawnienie naprawcze zastosowania, oprócz lub zamiast środków, o których mowa w niniejszym ustępie, administracyjnej kary pieniężnej na mocy art. 83, zależnie od okoliczności konkretnej sprawy. Organ ochrony danych ma zatem możliwość – jeśli w jego ocenie dają do tego podstawę okoliczności danej sprawy – zastosować oprócz lub zamiast m.in. upomnienia, także administracyjną karę pieniężną. Organ decyduje zatem, zależnie od okoliczności sprawy, o zastosowanym środku naprawczym. Sąd dokonując kontroli zgodności z prawem kwestionowanej decyzji ocenia, czy organ miał podstawy i czy zasadnie i prawidłowo zastosował wskazany w decyzji środek naprawczy. Dokonując oceny w zakresie zastosowania w niniejszej sprawie upomnienia Sąd, jak wskazano już wyżej, stwierdził, że organ zastosował adekwatny środek naprawczy w związku ze stwierdzonym w decyzji naruszeniem RODO w zakresie przetwarzania danych osobowych skarżącego po [...] maja 2022 r. Odnosząc się do argumentów skargi i pisma procesowego skarżącego z dnia 28 listopada 2024 r. raz jeszcze podkreślenia wymaga, że decyzja o nałożeniu administracyjnej kary pieniężnej należy do organu, nie jest podejmowana na wniosek. Zgodnie z motywem 148 RODO, "Aby egzekwowanie przepisów niniejszego rozporządzenia było skuteczniejsze, należy za jego naruszenie nakładać sankcje, w tym administracyjne kary pieniężne - oprócz lub zamiast odpowiednich środków nakładanych na mocy niniejszego rozporządzenia przez organ nadzorczy. Jeżeli naruszenie jest niewielkie lub jeżeli grożąca kara pieniężna stanowiłaby dla osoby fizycznej nieproporcjonalne obciążenie, można zamiast tego udzielić upomnienia. Powinno się jednak zwrócić należytą uwagę na charakter, wagę oraz czas trwania naruszenia, na to, czy naruszenie nie było umyślne, na działania podjęte dla zminimalizowania szkody, na stopień odpowiedzialności lub wszelkie mające znaczenie wcześniejsze naruszenia, na sposób, w jaki organ nadzorczy dowiedział się o naruszeniu, na przestrzeganie środków nałożonych na administratora lub podmiot przetwarzający, na stosowanie kodeksów postępowania oraz wszelkie inne czynniki obciążające lub łagodzące. Nakładanie sankcji, w tym administracyjnych kar pieniężnych, powinno podlegać odpowiednim zabezpieczeniom proceduralnym zgodnym z ogólnymi zasadami prawa Unii i z Kartą praw podstawowych, w tym skutecznej ochronie prawnej i prawu do rzetelnego procesu.". Skarżący zarzucił, że organ niezasadnie pominął obowiązek wynikający z motywu 148 RODO zastosowania "odpowiedniej sankcji mającej na celu skuteczne zapobieżenie stosowanej praktyce w danym podmiocie". Odnosząc się do wskazanego zarzutu raz jeszcze podkreślenia wymaga, że organ dokonywał w niniejszej sprawie oceny zgodności z przepisami RODO przetwarzania przez Bank danych osobowych skarżącego w okresie wskazanym w skardze (rozpatrywał indywidualną sprawę podmiotu danych). Celem niniejszego postępowania nie była i nie mogła być ocena "praktyk w danym podmiocie". Prezes UODO w ramach postępowania, które zakończyło się zaskarżoną decyzją, nie dokonywał oceny ogólnych praktyk administratora danych w zakresie przetwarzania wszystkich danych osobowych w ramach prowadzonej działalności bankowej. Kwestia ta wykracza poza istotę niniejszego postępowania, prowadzonego ze skargi indywidualnej skarżącego. Uzasadnienie zaskarżonej decyzji w zakresie udzielenia Bankowi upomnienia nie jest wyczerpujące, jednakże to uchybienie przepisowi art. 107 § 3 k.p.a., jak wskazywano już wyżej, nie ma wpływu na wynik niniejszej sprawy, albowiem zastosowany środek naprawczy był adekwatny do charakteru stwierdzonego uchybienia. Raz jeszcze podkreślenia wymaga, że organ oceniał charakter i wagę naruszenia w tej konkretnej sprawie, nie było to postępowanie prowadzone z urzędu w zakresie praktyk stosowanych przez Bank generalnie, systemowo. W motywie 141 RODO, wskazano, że "Każda osoba, której dane dotyczą, powinna mieć prawo wniesienia skargi do jednego organu nadzorczego oraz prawo do skutecznego środka ochrony prawnej przed sądem, zgodnie z art. 47 Karty praw podstawowych, w szczególności w państwie członkowskim, w którym ma miejsce zwykłego pobytu, a jeżeli uzna, że jej prawa wynikające z niniejszego rozporządzenia są naruszane, lub jeżeli organ nadzorczy nie reaguje na skargę, częściowo lub w całości ją odrzuca lub oddala, lub nie podejmuje działania, choć jest to niezbędne do ochrony praw tej osoby. Postępowanie wyjaśniające na podstawie skargi powinno być prowadzone - z zastrzeżeniem kontroli sądowej - w zakresie odpowiadającym konkretnej sprawie. (...)". Poza sporem jest to, że postępowanie wszczęte na skutek skargi indywidualnej dotyczy wyłącznie danych osoby wnoszącej skargę. Natomiast ewentualne działania Prezesa UODO w sprawie ogólnych praktyk stosowanych przez administratora nie są podejmowane na wniosek, są podejmowane z urzędu. Przytaczany w skardze katalog kryteriów wymierzania administracyjnej kary pieniężnej nie ma zastosowania w niniejszej sprawie, albowiem organ nie stosował art. 83 RODO w niniejszej sprawie. Odnosząc się do argumentacji skargi i pisma procesowego z dnia 28 listopada 2024 r., w którym wskazano, że celem sankcji powinno być "wyrządzenie dolegliwości finansowej podmiotowi naruszającemu przepisy prawa" wskazać należy, że to organowi nadzorczemu RODO pozostawia decyzję co do podejmowanych środków prawnych w ramach prowadzonych postępowań. Skarżący argumentację odnosi do kwestii niewdrożenia przez Bank, na dzień wydania zaskarżonej decyzji, mimo już wcześniej nałożonego na Bank upomnienia w związku z naruszeniem przetwarzania danych osobowych skarżącego, środków, które zapobiegłyby dalszemu niezgodnemu przetwarzaniu danych osobowych skarżącego. Jak wynika jednak z zaskarżonej decyzji, jej ustaleń faktycznych, Bank podjął działania mające skutkować wdrożeniem zmian systemowych. W zaskarżonej decyzji, na podstawie wyjaśnień Banku, wskazano m.in., że "Obecny, planowany termin na wdrożenie zmian został określony przez zespół IT na ll/lll kwartał 2024 r. Bank wskazał, że zaimplementowane zmiany trybu realizacji płatności będą dotyczyć całego portfela klientów Banku zdefiniowanych jako "płatnik" zgodnie z Rozporządzeniem nr 1781/2006 Parlamentu Europejskiego i Rady z dnia 15 listopada 2006 r. w sprawie informacji o zleceniodawcach, które towarzyszą przekazom pieniężnym (Dz. U. UE L 345 str. 1 z dnia 8.12.2006)". Przedmiotem niniejszego postępowania administracyjnego nie była ocena działań Banku w zakresie stosowanej praktyki. Kwestie te mogłyby być oceniane w prowadzonym przez organ z urzędu postępowaniu. Zagadnienia te nie wpływają zatem na zgodność z prawem zaskarżonej decyzji i nie świadczą o niezasadności udzielonego przez organ Bankowi upomnienia za przetwarzanie danych skarżącego z naruszeniem art. 6 ust. 1 RODO. W sprawie niniejszej, w jej stanie faktycznym, organ nie zdecydował o zastosowaniu żadnego dodatkowego środka poza upomnieniem. Rozważania skarżącego dotyczące elementów wymienionych w art. 83 ust. 1-5 RODO i ich oceny miałyby podstawy, gdyby organ zastosował środek, o którym mowa w art. 83 RODO. Jednakże skorzystanie z uprawnień naprawczych jest autonomiczną decyzją Prezesa UODO podejmowana w konkretnych okolicznościach. Odnosząc się do argumentacji pisma procesowego skarżącego podkreślenia wymaga nadto, że obowiązek nałożenia administracyjnej kary pieniężnej przewidziano jednoznacznie w art. 83 ust. 6 RODO, w którym to przepisie jest mowa o nieprzestrzeganiu nakazu orzeczonego przez organ nadzorczy na podstawie art. 58 ust. 2 RODO. Zgodnie z tym przepisem, nieprzestrzeganie nakazu orzeczonego przez organ nadzorczy na podstawie art. 58 ust. 2 podlega na mocy ust. 2 niniejszego artykułu administracyjnej karze pieniężnej w wysokości do 20 000 000 EUR, a w przypadku przedsiębiorstwa - w wysokości do 4 % jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa. Sytuacja taka nie wystąpiła w niniejszej sprawie. Poprzednia decyzja Prezesa UODO, do której odwołuje się skarżący i o której wspomina organ w zaskarżonej decyzji (decyzja z dnia [...] maja 2022 r.), nie zawierała nakazu określonego postępowania przez administratora, a udzielała upomnienia za naruszenie RODO. Nie zaszedł zatem przypadek, w którym na organie spoczywałby obecnie obowiązek wymierzenia administracyjnej kary pieniężnej. Odnosząc się natomiast do twierdzenia skarżącego, że "Powszechność wysyłki adresu podczas realizacji przelewu krajowego o równowartości do 1000 Euro (jest na terenie EOG) przez bank nadawcy wynika z braku dostosowania praktyk stosowanych w krajowym systemie rozliczeniowym do wymogów RODO." raz jeszcze wskazania wymaga, że powyższe twierdzenie nie mogło wpłynąć na wynik niniejszej sprawy, albowiem postępowanie zakończone zaskarżoną decyzją dotyczyło wyłącznie oceny zgodności z prawem przetwarzania danych osobowych skarżącego. Sąd nie ma możliwości rozstrzygania o kwestiach, które nie były przedmiotem zaskarżonej decyzji. W postępowaniu tym organ nie dokonywał zaś oceny stosowanej przez Bank generalnej praktyki w zakresie przetwarzania danych osobowych, jak i kwestii zgłoszenia naruszenia ochrony danych organowi nadzorczemu (art. 33 RODO). Na gruncie wyczerpująco i należycie dokonanych w niniejszej sprawie ustaleń faktycznych prawidłowo Prezes UODO stwierdził w zaskarżonej decyzji, że doszło do naruszenia RODO w zakresie przetwarzania danych osobowych skarżącego przez Bank po [...] maja 2022 r. i zasadnie udzielił Bankowi upomnienia za to naruszenie. Odnosząc się do argumentacji skargi i pisma procesowego skarżącego Sąd dodatkowo wskazuje, że nie może wydać orzeczenia na niekorzyść skarżącego, chyba że stwierdzi naruszenie prawa skutkujące stwierdzeniem nieważności zaskarżonego aktu lub czynności (art. 134 § 2 p.p.s.a.). W sprawie tej nie zaszły przesłanki stwierdzenia nieważności zaskarżonej decyzji. Podkreślenia wymaga przy tym, że zaskarżona decyzja uwzględnia skargę złożoną przez skarżącego do Prezesa UODO, stwierdza naruszenie RODO przez Bank. Przepis art. 82 ust. 1 RODO przewiduje zaś, że każda osoba, która poniosła szkodę majątkową lub niemajątkową w wyniku naruszenia niniejszego rozporządzenia, ma prawo uzyskać od administratora lub podmiotu przetwarzającego odszkodowanie za poniesioną szkodę. W sprawie tej nie było podstaw do wyeliminowania zaskarżonej decyzji z obrotu prawnego. Sąd rozstrzyga w granicach sprawy dokonując kontroli pod względem zgodności z prawem materialnym i przepisami procesowymi, nie zaś według kryterium słuszności. Mając powyższe na uwadze Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 w zw. z art. 119 pkt 2 i art. 120 ustawy - Prawo o postępowaniu przed sądami administracyjnymi, orzekł jak w wyroku.