II SA/Wa 224/24

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Andrzej Kołodziej (spr.), Sędzia WSA Łukasz Krzycki, Asesor WSA Anna Pośpiech-Kłak, Protokolant starszy specjalista Elwira Sipak po rozpoznaniu na rozprawie w dniu 11 października 2024 r. sprawy ze skarg [...] S.A. z siedzibą w [...] i Biura Informacji Kredytowej S.A. z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] grudnia 2023 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargi Prezes Urzędu Ochrony Danych Osobowych (dalej: "Prezes UODO", "organ") decyzją z dnia [...] grudnia 2023 r., nr [...], na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2023 r. poz. 775 ze zm.; dalej "k.p.a."), w zw. z art. 7 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. z 2019 r. poz. 1781; dalej "u.o.d.o."), art. 6 ust. 1 i art. 58 ust. 2 lit. c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.Urz. UE L 119 z dnia 4 maja 2016 r., str. 1, Dz.Urz. UE L 127 z 23 maja 2018 r., str. 2 oraz Dz.Urz. UE L 74 z 4 marca 2021 r., str. 35; dalej "RODO"), po przeprowadzeniu postępowania administracyjnego w sprawie skargi M. D, (dalej: "uczestnik"), na nieprawidłowości w procesie przetwarzania jej danych osobowych przez [...] S.A z siedzibą w [...] (dalej: "Bank"), polegające na ich udostępnieniu do B. S.A. z siedzibą w [...] (dalej: "B[...]") bez podstawy prawnej, nakazał Bankowi zaprzestania przetwarzania danych osobowych uczestnika (przetwarzanych w związku z zawartą z uczestnikiem umową) w systemie B[...] w celu oceny zdolności kredytowej i analizy ryzyka kredytowego . Do wydania ww. decyzji doszło w następującym stanie faktycznym sprawy: Do Prezesa UODO wpłynęła skarga uczestnika z dnia 27 kwietnia 2021 r., reprezentowanego przez profesjonalnego pełnomocnika, na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Bank w systemie B[...]. Jak wynika z treści ww. skargi uczestnik w dniu 03 grudnia 2019 r. skierował do Banku wniosek o zaprzestanie przetwarzania jego danych osobowych dotyczących spłaconego w całości zobowiązania z umowy kredytu. Wobec odmowy ze strony Banku skierował do Rzecznika Klienta Banku odwołanie a także w dniu 15 lutego 2021 r. ponowił wniosek o zaprzestanie przez Bank przetwarzania jego danych osobowych, który również okazał się być bezskuteczny. W związku z wszczęciem przez Prezesa UODO postępowania administracyjnego z ww. skargi uczestnika, w piśmie z dnia 20 maja 2021 r., w odpowiedzi na wezwanie organu z 13 maja 2021 r. do złożenia wyjaśnień, Bank wskazał, że w kartotece bankowej nie figuruje uczestnik. Natomiast B[...] w piśmie z dnia 9 lipca 2021 r. wskazał, iż pozyskał dane uczestnika od Banku zgodnie z obowiązującymi przepisami ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (t.j. Dz. U. z 2023 r. poz. 2488 z późn. zm., dalej: "Prawo bankowe") oraz na podstawie łączącej B[...] i Bank umowy. B[...] wyjaśnił także, że przetwarza dane uczestnika w zakresie zapytań kredytowych i monitoringu osoby fizycznej złożonych przez Bank, w celach statystycznych oraz stosowania metod wewnętrznych i innych metod i modeli. Wskazał, że Bank nie zwracał się do B[...] o usunięcie danych uczestnika, zaś uczestnik nie zwracał się do B[...] z wnioskiem o realizację jego praw z zakresu ochrony danych osobowych. Wobec wystosowanego przez organ wezwania do uzupełnienia ww. informacji w pismach z [...] października 2021 r., [...] marca 2022 r., [...] listopada 2022 r. oraz [...] marca 2023 r., uprzednio wnosząc każdorazowo o przedłużenie terminu wskazanego przez organ, Bank wskazał, iż: - dane uczestnika zostały pozyskane podczas zawarcia umowy o kredyt obrotowy z dnia [...] listopada 2012 r. wraz aneksem i są przetwarzane jako dane osoby fizycznej prowadzącej działalność gospodarczą oraz jako dane osoby fizycznej, - podstawą uzyskania danych osobowych były przepisy Prawa bankowego, - dane uczestnika przetwarzane są w zakresie: imienia, nazwiska, imion ojca i matki, nazwiska rodowego matki, PESEL, daty i miejsca urodzenia, typu i numeru dokumentu tożsamości, adresu zamieszkania, adresu korespondencyjnego, nr telefonu, wykształcenia, stanu cywilnego i adresu e-mail, - podstawą przetwarzania danych osobowych uczestnika są obowiązujące przepisy prawa, w tym przede wszystkim art. 105 Prawa bankowego oraz art. 6 ust. 1 lit. b, c i f RODO, - pierwszy raz dane uczestnika zostały przekazane do B[...] w dniu [...] grudnia 2012 r., - do B[...] przekazano dane osobowe uczestnika w zakresie: imienia, nazwiska, PESEL, serii i nr dowodu osobistego, daty urodzenia, adresu zamieszkania, płci, a także dotyczące prowadzonej przez uczestnika jednoosobowej działalności gospodarczej w zakresie: nazwy, REGON, NIP oraz dane właściciela firmy. - na dzień 3 marca 2022 r. w kartotece uczestnika nie ma nierozpoznanych wniosków i reklamacji związanych z roszczeniami uczestnika wobec Banku, czy też roszczeniami Banku wobec uczestnika. Bank przesłał również do akt administracyjnych sprawy kopię umów zawartych z uczestnikiem oraz kopię umowy zawartej z B[...]. Natomiast B[...] w piśmie z dnia 18 października 2021 r. i z dnia 6 marca 2023 r. wskazał, iż przetwarza w bazie SI B[...] "Przedsiębiorca" przekazane przez Bank na podstawie art. 105 ust. 4 Prawa bankowego dane uczestnika, jako prowadzącego jednoosobową działalność gospodarczą, w celu oceny zdolności kredytowej i analizy ryzyka kredytowego oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli wskazanych w przepisach Prawa bankowego i RODO. Dane zostały przekazane do B[...] w dniu 20 grudnia 2012 r. i zgodnie z art. 5 ust. 1 lit. e RODO będą przetwarzane przez okres 5 lat od dnia wygaśnięcia zobowiązania w celu oceny zdolności kredytowej i analizy ryzyka kredytowego oraz przez kres 12 lat w celach statystycznych oraz w celu stosowania metod wewnętrznych oraz innych metod i modeli. Wyjaśnił, iż jako datę wygaśnięcia zobowiązania Bank wskazał dzień 21 listopada 2019 r. Podkreślił, iż w jego ocenie wobec przedsiębiorców nie ma zastosowania wymóg z art. 105a ust. 3 Prawa bankowego. Wyjaśnił także, że przetwarza dane uczestnika wynikające z umowy kredytu z dnia [...] listopada 2012 r. w zakresie przekazanym przez Bank obejmującym: dane identyfikujące uczestnika (imię i nazwisko, PESEL, seria i nr dowodu osobistego), dane przedsiębiorstwa (nazwa firmy, forma prana, NIP, REGON, adres siedziby) oraz dane dotyczące zobowiązania (typ transakcji, nr umowy, data zawarcia umowy, pierwotna kwota, relacja do zobowiązania, waluta, data ustania relacji, data powstania relacji, status zobowiązania, przewidywana data zakończenia, liczba uczestników transakcji, historia spłaty). Po przeprowadzeniu postępowania administracyjnego i zgromadzeniu materiału dowodowego organ wydał zaskarżoną w niniejszym postępowaniu decyzję, w uzasadnieniu, której powołał się na opisany powyżej stan faktyczny sprawy i w pierwszej kolejności wyjaśnił, że RODO określa obowiązki administratora danych, do których należy przetwarzanie danych osobowych z zachowaniem przesłanek w nim określonych. Wyjaśnił także, iż przepisem uprawniającym administratorów danych do przetwarzania danych osób fizycznych jest art. 6 ust. 1 RODO, zgodnie z którym przetwarzanie danych jest dopuszczalne tylko wtedy, gdy spełniona jest jedna z przesłanek wskazanych w tym przepisie. Wskazał, że katalog przesłanek wymienionych w art. 6 ust. 1 RODO jest zamknięty. Każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny. W konsekwencji zgoda osoby, której dane dotyczą nie jest jedyną podstawą przetwarzania danych osobowych, ponieważ proces przetwarzania danych będzie zgodny z RODO również wówczas, gdy administrator danych wykaże spełnienie innej z wyżej wymienionych przesłanek. Niezależnie od zgody osoby, której dane dotyczą (art. 6 ust. 1 lit. a RODO) przetwarzanie danych osobowych jest dopuszczalne między innymi wtedy, gdy jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem (art. 6 ust. 1 lit. f RODO). Wyjaśnił ponadto, iż co do zasady podstawę prawną przetwarzania danych osobowych klientów przez Bank w systemie B[...] stanowi art. 6 ust. 1 lit. f RODO, w sytuacji gdy przetwarzanie to jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora. Dalej wskazał, że niezależnie od regulacji z zakresu ochrony danych osobowych, kwestię utworzenia oraz przetwarzania przez B[...] danych osobowych klientów Banku regulują przepisu Prawa bankowego Jak podał uzasadnieniu zaskarżonej decyzji Prezes UODO, z ustalonego w niniejszej sprawie stanu faktycznego wynika, że zobowiązanie uczestnika wobec Banku, wynikające z umowy zawartej w dniu [...] listopada 2012 r. wraz aneksami, do którego zawarte były dwie umowy ugody, wygasło w dniu 21 listopada 2019 r. Ponadto uczestnik w piśmie z dnia 3 grudnia 2019 r. wycofał wobec Banku zgodę na przetwarzanie jego danych osobowych oraz zażądał zaprzestania ich przetwarzania w B[...]. Zaakcentował, iż z materiału dowodowego zgromadzonego w sprawie nie wynika fakt poinformowania uczestnika przez Bank w ustawowym terminie o zamiarze przetwarzania dotyczących go danych bez jego zgody. W ocenie organu, w przedmiotowej sprawie nie ma zatem dowodu na to, że Bank spełnił wobec uczestnika obowiązek określony w art. 105a ust. 3 Prawa bankowego, tj. skutecznie poinformował uczestnika o zamiarze przetwarzania informacji o jego dotyczących stanowiących tajemnicę bankową, bez jego zgody po wygaśnięciu zobowiązania wynikającego z zawartej z uczestnikiem umowy. Prezes UODO w toku prowadzonego postępowania administracyjnego nie stwierdził również okoliczności uprawniających Bank do przetwarzania danych osobowych uczestnika w oparciu o ww. podstawę prawną i w powyższym celu w B[...]. W ocenie Prezesa UODO powyższe działanie Banku nie było prawidłowe, albowiem nie zasługuje na aprobatę stanowisko, zgodnie z którym przepis art. 105a ust.3 Prawa bankowego odnosi się wyłącznie do możliwości przetwarzania przez banki informacji o wygasłych zobowiązaniach osób fizycznych, a nie przedsiębiorców. Przepis ten dotyczy bowiem wszystkich osób fizycznych, także tych, które tak jak uczestnik prowadzą działalność gospodarczą. Organ podkreślił, iż w jego ocenie przepis art. 105 ust. 4 Prawa bankowego nie stanowi samoistnej podstawy do przetwarzania danych osobowych uczestnika przez Bank w B[...], albowiem przewiduje on jedynie uprawnienie do utworzenia instytucji upoważnionej do gromadzenia, przetwarzania i udostępniania wymienionym w nim podmiotom określonych informacji, w tym informacji stanowiących tajemnicę bankową. W opinii Prezesa UODO podstawy prawnej przetwarzania danych osobowych uczestnika w B[...] nie stanowi także art. 105a ust. 1 Prawa bankowego, gdyż przepis ten dotyczy przetwarzania informacji przed powstaniem zobowiązania oraz w czasie, gdy zobowiązanie jeszcze nie wygasło. Reasumując organ uznał, iż Bank nie wykazał podstawy prawnej do dalszego przetwarzania danych osobowych uczestnika w B[...] po wygaśnięciu zobowiązania, w celu oceny zdolności kredytowej i analizy ryzyka kredytowego i w związku z tym korzystając z uprawnienia przewidzianego w art. 58 ust. 2 lit. c RODO, nakazał Bankowi zaprzestanie przetwarzania w systemie B[...] danych osobowych uczestnika dotyczących umowy z dnia [...] listopada 2012 r. wraz z aneksem i zawartymi w tym przedmiocie ugodami, w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Powyższa decyzja stała się przedmiotem skargi do Wojewódzkiego Sądu Administracyjnego w Warszawie wniesionej zarówno przez Bank, jak i B[...]. Bank, reprezentowany przez profesjonalnego pełnomocnika, wywiódł swoją skargę w piśmie z dnia [...] stycznia 2024 r. zaskarżając przedmiotową decyzję w całości i zarzucając jej naruszenie: I. przepisów prawa materialnego, które miało wpływ na wynik sprawy, tj.: 1) art. 105a ust 2 i 3 Prawa bankowego poprzez jego błędną wykładnię i uznanie, że normy prawne zawarte ww. przepisach mają zastosowanie do przedsiębiorcy (osoby fizycznej prowadzącej działalność gospodarczy), a w konsekwencji do uznania przez organ, że Bank nie może przetwarzać danych osobowych przedsiębiorcy (osoby fizycznej prowadzącej działalność gospodarczą), bez uprzedniego wykonania obowiązków wynikających z ww. norm, podczas gdy prawidłowa wykładnia art. 105a ust 2 i 3 Prawa bankowego wskazuję, że przepisy te znajdują zastosowanie jedynie do konsumenta, a rozszerzenie ich skuteczności na przedsiębiorcę stoi w sprzeczności z wykładnią ww. przepisów, 2) art. 6 ust 1 lit b i c ROOO w zw. z ort. 105 ust 4 Prawa bankowego, poprzez ich niezastosowanie ewentualnie ich błędną wykładnie, a w konsekwencji uznanie przez organ, że Bank przetwarza dane uczestnika bez podstawy prawnej, podczas gdy prawidłowe zastosowanie ww. przepisów winno doprowadzić organ do ustalenia, że Bank przetwarza dane osobowe uczestnika prowadzącego jednoosobową działalność gospodarczą na podstawie ww. przepisów prawa materialnego, 3) art. 58 ust 2 lit c ROOO poprzez jego błędne zastosowanie i nakazanie Bankowi zaprzestania przetwarzania danych osobowych w sytuacji, w której przy prawidłowym ustaleniu stanu faktycznego i właściwej wykładni przepisów prawa materialnego organ winien uznać, że brak jest podstaw do nakazania Bankowi zaprzestania przetwarzania danych osobowych uczestnika prowadzącego jednoosobową działalność gospodarczą, II. przepisów postępowania, które mogło mieć wpływ na wynik sprawy, tj.: 1) art. 8 § 2 k.p.a. poprzez odstąpienie przez organ od utrwalonej praktyki rozstrzygania spraw w takim samym stanie faktycznym i prawnym, 2) art. 7 k.p.a. w zw. z art. 77 § 1 k.p.a. w zw. art. 107 § 1 pkt 6 i § 3 k.p.a. w zw. z art. 80 k.p.a., poprzez nieuwzględnienie, że w dacie wydania zaskarżonej decyzji Bank przetwarzał dane uczestnika jako osoby prowadzącej działalność gospodarczą, przetwarzał więc dane przedsiębiorcy, a nie dane konsumenta, co ma istotne znaczenie dla dokonania prawidłowej subsumpcji przepisów prawa materialnego. W oparciu o powyższe zarzuty wniósł o uchylenie zaskarżonej decyzji w całości, wstrzymanie jej wykonania przez Sąd oraz zasądzenie od organu na rzecz Banku zwrotu kosztów postępowania, w tym koszów zastępstwa procesowego, według norm przepisanych. W obszernym uzasadnieniu skargi rozwinął argumentację sformułowaną na rzecz postawionych w niej zarzutów. W odpowiedzi na skargę z 12 lutego 2024 r. Prezes UODO wniósł o jej oddalenie, podtrzymując stanowisko wyrażone w uzasadnieniu zaskarżonej decyzji. Natomiast B[...], również reprezentowany przez profesjonalnego pełnomocnika, wywiódł swoją skargę w piśmie z dnia 8 stycznia 2024 r. zaskarżając przedmiotową decyzję w całości i zarzucając jej naruszenie: I. przepisów prawa materialnego, tj.: 1) art. 105a ust. 2 i 3 Prawa bankowego poprzez jego błędną wykładnię i przyjęcie, że w zakresie podmiotowym użytego we wskazanym przepisie pojęcia "osób fizycznych", znajdują się osoby fizyczne prowadzące działalność gospodarczą, a w konsekwencji także przyjęcie, że Bank miał obowiązek wypełnić przesłanki legalizujące przetwarzanie danych osobowych wskazane w przepisie art. 105a ust. 2 i 3 Prawa bankowego, aby legalnie przetwarzać dane uczestnika (w tym udostępnić je B[...]), podczas gdy z prawidłowej wykładni przepisu art. 105a ust. 2 i 3 Prawa bankowego wynika, że ma on zastosowanie wyłącznie do osób fizycznych - konsumentów; 2) art. 6 ust. 1 lit. c) RODO) w zw. z art. 105 ust. 1 pkt. 1c w zw. z art. 105 ust. 4 i w zw. z art. 105a w zw. z art. 70 i art. 5 ust. 1 pkt. 3 prawa bankowego, poprzez jego niezastosowanie i w konsekwencji nakazanie zaprzestania przetwarzania danych osobowych uczestnika w systemie B[...] w celu oceny zdolności kredytowej i analizy ryzyka kredytowego, podczas gdy B[...] jako administrator danych przetwarzanych w systemie B[...] jest ustawowo zobowiązany do realizacji obowiązku prawnego wynikającego z ww. przepisów polegającego na gromadzeniu, przetwarzaniu i udostępnianiu bankom oraz podmiotom szczegółowo wskazanym w przepisie informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych w postaci oceny zdolności kredytowej oraz analizy ryzyka kredytowego konkretnego klienta (indywidualna ocena zdolności kredytowej) oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 575/2013 z dnia 26 czerwca 2013 r. w sprawie wymogów ostrożnościowych dla instytucji kredytowych i firm inwestycyjnych, zmieniające rozporządzenie (UE) nr 648/2012 (dalej: "rozporządzenie nr 575/2013"); ewentualnie, na wypadek nieuwzględnienia ww. zarzutu art. 6 ust. 1 lit. f) RODO poprzez jego niezastosowanie wskutek przyjęcia, że B[...] nie posiada podstawy prawnej przetwarzania danych uczestnika, podczas gdy jako administrator danych przetwarzanych w systemie B[...], posiada on podstawę prawną przetwarzania danych uczestnika w postaci niezbędności przetwarzania dla realizacji prawnie uzasadnionych interesów administratora oraz podmiotów trzecich wskazanych wart. 105 ust. 4 pkt. 1-5 Prawa bankowego, w postaci realizacji obowiązku gromadzenia, przetwarzania oraz udostępnienia bankom oraz podmiotom wskazanym w ww. przepisie informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych w postaci oceny zdolności kredytowej oraz analizy ryzyka kredytowego konkretnego klienta (indywidualna ocena zdolności kredytowej) oraz w celu budowy i utrzymania modeli scoringowych, a więc narzędzi wykorzystywanych przez banki do oceny zdolności kredytowej i analizy ryzyka kredytowego oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013; 3) art. 6 ust. 1 lit. e) RODO poprzez jego niezastosowanie wskutek uznania, że B[...] jako administrator danych przetwarzanych w systemie B[...] nie posiada podstawy prawnej do przetwarzania danych uczestnika w systemie B[...] w celu oceny zdolności kredytowej oraz analizy ryzyka kredytowego, podczas gdy B[...] posiada podstawę prawną przetwarzania z uwagi na niezbędność przetwarzania dla realizacji zadania w interesie publicznym przez banki i B[...] w postaci zabezpieczenia ekonomiczno-gospodarczego sektora bankowego, w tym depozytariuszy i zapewnienia stabilności ekonomiczno-gospodarczej sektora bankowego, a w ujęciu makro zapobieganiu kryzysom gospodarczym II. przepisów prawa procesowego, mającego istotny wpływ na wynik sprawy, tj.: 1) art. 7, w zw. z art. 77 § 1 i w zw. z art. 80 k.p.a. w zw. z art. 7 u.o.d.o., poprzez niewyczerpujące zebranie, nierozpatrzenie i błędną ocenę całokształtu materiału dowodowego przejawiającego się w zaniechaniu dokonania wyczerpującej analizy charakteru, zakresu oraz celów gospodarczo - ekonomicznych dla jakich zostało powołane B[...] oraz obowiązków prawnych i obowiązków wynikających z zawartych przez B[...] umów z bankami, skutkującą wadliwą i niepełną oceną stanu faktycznego sprawy oraz charakteru działania B[...] jako administratora danych osobowych przetwarzanych w systemie B[...], co w konsekwencji skutkowało nieuzasadnionym wydaniem przez organ nakazu usunięcia danych osobowych uczestnika z systemu B[...], 2) art. 7 k.p.a., art. 77 k.p.a. w zw. z art. 80 k.p.a. poprzez: a) niezbadanie przez organ wszystkich podstaw prawnych dalszego przetwarzania danych o spłaconych (terminowo oraz nieterminowo) zobowiązaniach klientów banków, pomimo, iż przepisy prawa upoważniają B[...] do przetwarzania tych danych, co w konsekwencji doprowadziło do błędnego nakazania Bankowi usunięcie danych osobowych z systemu B[...] wobec błędnego przyjęcia przez organ braku istnienia podstawy prawnej do przetwarzania danych, b) brak wyczerpującej analizy stanu prawnego istotnego dla okoliczności sprawy, w szczególności z uwagi na brak analizy celowościowej, systemowej i historycznej art. 105a Prawa bankowego poprzez ograniczenie się wyłącznie do językowej wykładni przepisu, poprowadzonej przez pryzmat definicji danych osobowych z art. 4 pkt 1) RODO. Powołując się na tak sformułowane zarzuty B[...] wniósł o uchylenie decyzji w całości, zasądzenie od Organu na rzecz Skarżącego zwrotu kosztów postępowania według norm przepisanych, w tym kosztów zastępstwa procesowego (w tym zwrotu opłaty skarbowej od pełnomocnictwa w kwocie 17 zł), wstrzymanie wykonania zaskarżonej decyzji w całości oraz rozpoznanie sprawy na rozprawie. W uzasadnieniu skargi szczegółowo omówił i uzasadnił zgłaszane w sprawie zarzuty i prezentowane stanowisko. W odpowiedzi na powyższą skargę w piśmie z dnia 12 lutego 2024 r. Prezes UODO wniósł o jej oddalenie, po raz kolejny podtrzymując stanowisko wyrażone w uzasadnieniu zaskarżonej decyzji. Uczestnik postępowania, reprezentowany przez profesjonalnego pełnomocnika, w piśmie z dnia 5 czerwca 2024 r. odnosząc się do obydwu wskazanych powyżej skarg wniósł o ich oddalenie w całości jako oczywiście bezzasadnych oraz zasądzenie kosztów postępowania, w tym koszów zastępstwa procesowego, według norm przepisanych. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje. Zgodnie z art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (Dz. U. z 2024 r. poz. 1267) sąd administracyjny sprawuje wymiar sprawiedliwości poprzez kontrolę pod względem zgodności z prawem skarżonej decyzji administracyjnej. Jest więc to kontrola legalności rozstrzygnięcia zapadłego w postępowaniu administracyjnym, z punktu widzenia jego zgodności z prawem materialnym i procesowym. Oceniając przedmiotową decyzję według powyższych kryteriów, uznać należy, iż nie narusza ona prawa. Istota sprawy w niniejszym postępowaniu sprowadzała się do oceny tego, czy przepisy art. 105a ust. 2 i 3 ustawy Prawo bankowe znajdują zastosowanie do osób fizycznych prowadzących działalność gospodarczą. W ocenie tut. Sądu na tak postawione pytanie należało udzielić pozytywnej odpowiedzi. Przede wszystkim podkreślenia wymaga, iż okoliczność prowadzenia działalności gospodarczej przez osobę fizyczną, nie pozbawia tej osoby przymiotów i przywilejów wynikających z faktu bycia osobą fizyczną. Nadto, to przecież osoba fizyczna posiada osobowość prawną. Nadal też jej nazwisko, nawet użyte w powiązaniu z nazwą prowadzonej działalności gospodarczej, umożliwia zidentyfikowanie właśnie konkretnej osoby fizycznej. Analizując omawianą problematykę nie sposób też abstrahować od definicji przedsiębiorcy użytej w ustawie z 6 marca 2018 r. – Prawo przedsiębiorców (Dz. U. z 2024 r. poz. 236), w myśl której przedsiębiorcą jest m.in. osoba fizyczna wykonująca działalność gospodarczą. Skoro więc podjęcie działalności gospodarczej przez osobę fizyczną nie pozbawia jej osobowości prawnej (tzw. przedsiębiorstwo prowadzone przez osobę fizyczną nie uzyskuje samodzielnej, odrębnej od tej osoby, osobowości prawnej), w obrocie prawnym osoba prowadząca działalność gospodarczą nadal pozostaje osobą fizyczną ze wszelkimi, wynikającymi z tego faktu konsekwencjami. Dokonując wykładni oznaczonych na wstępie niniejszych rozważań przepisów, na potrzeby postępowania związanego z materią przetwarzania danych osobowych, niepodobna czynić tego w oderwaniu od norm prawnych regulujących problematykę ochrony danych osobowych. Wykładnia przepisów nie może bowiem abstrahować od celu, którego realizacji dotyczą przepisy będące podstawą rozstrzygania w konkretnej sprawie. Stąd dokonanej w skargach wykładni historycznej i systemowej, ale odnoszącej się tylko do przepisów prawa bankowego, tut. Sąd nie mógł zaaprobować w realiach faktycznych i prawnych rozpoznawanej sprawy i uznał ową wykładnię jako pozostającą w oderwaniu od istoty decyzji objętej skargami. W świetle powyższego, w ocenie tut. Sądu koniecznym było odniesienie się do art. 5 pkt 1 RODO, w myśl którego dane osobowe oznaczają wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej ("osobie, której dane dotyczą"). Możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej. Skoro więc z przywołanej definicji wynika, iż imię i nazwisko osoby prowadzącej działalność gospodarczą (użyte nawet w powiązaniu z nazwą owej działalności) umożliwia identyfikację tej osoby, to oznacza to, iż osoba fizyczna, która prowadzi działalność gospodarczą , nadal korzysta z ochrony swoich danych osobowych jak każda osoba fizyczna. Powyższe konkluzje pozostają w zgodzie z wypracowanymi poglądami judykatury zarówno krajowej (wyrok WSA w Warszawie z 12.06.2017 r. sygn. akt II SA/Wa 1991/16 - informacja wtedy dotyczy osoby fizycznej, gdy przekazuje (komunikuje) coś na jej temat. Chodzi zatem o informację, która daje się powiązać z osobą lub powoduje, że możliwe jest jej odniesienie do konkretnej osobowy fizycznej zidentyfikowanej lub możliwej do zidentyfikowania, przy czym identyfikacja odbywa się na podstawie całokształtu posiadanych informacji) jak i judykatury europejskiej (wyrok Trybunału Sprawiedliwości UE z 9.03.2017r. sygn.. akt C-398/15 - okoliczność, iż informacje wpisują się w ramy działalności zawodowej, nie oznacza, że nie można ich scharakteryzować jako dane osobowe. Definicja danych osobowych odnosi się zatem do osób fizycznych bez względu na rolę, jaką odgrywają (czy są konsumentami, przedsiębiorcami czy pracownikami itd.). Podobne stanowisko zajął Wojewódzki Sąd Administracyjny w Warszawie w wyroku z dnia 28 lipca 2021 r. sygn. akt II SA/Wa 158/21, zgodnie z którym "(...) Sąd przychylił się do stanowiska Prezesa UODO, że przepis art. 105a ust. 3 Prawa bankowego odnosi się do każdej osoby fizycznej, w tym także tej prowadzącej działalność gospodarczą. Brzmienie powołanego przepisu nie wyklucza jego stosowania do osób fizycznych prowadzących działalność gospodarczą. Fakt prowadzenia działalności gospodarczej nie pozbawia osoby fizycznej na gruncie RODO, ochrony jaka przewidziana została w tym akcie prawnym. Wykładany przez organ przepis art. 105 ust. 3a Prawa bankowego nie może być interpretowany w sposób, który wyklucza realizację przez banki i inne instytucje obowiązków w nim przewidzianych, wobec osób fizycznych prowadzących działalność gospodarczą. Interpretacja powołanych przepisów, czyniąca dopuszczalne przetwarzanie po wygaśnięciu zobowiązania, danych osobowych osoby fizycznej prowadzącej działalność gospodarczą, bez jej zgody i bez spełnienia wymogów z art. 1O5a ust. 3 Prawą bankowego, pozostawiałaby te osoby fizyczne poza ramami RODO". Przenosząc powyższe na realia faktyczne niniejszej sprawy uznać należało, że organ nie naruszył przepisów prawa uznając, że art.105a ust. 2 i 3 Prawa bankowego znajduje zastosowanie do każdej osoby fizycznej – nawet prowadzącej działalność gospodarczą. Chybiony jest również zarzut naruszenia przepisu art. 6 ust. 1 lit. b i c RODO w zw. z art. 105 ust. 4 Prawa bankowego. Zauważyć należy, że przepisy RODO regulują obowiązki administratora danych, do których należy przetwarzanie danych osobowych z zachowaniem przesłanek określonych w tych przepisach. Przepisem uprawniającym administratorów danych do przetwarzania zwykłych danych osób fizycznych, w tym ich udostępniania, jest art. 6 ust. 1 RODO, zgodnie z którym, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy spełniona jest jedna z przesłanek wskazanych w tym przepisie. Katalog przesłanek wymienionych w art. 6 ust. 1 RODO, jest zamknięty. Każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny. Wskazać należy, że co do zasady podstawę prawną przetwarzania danych osobowych klientów przez Bank w systemie B[...] może stanowić art. 6 ust. 1 lit. f RODO, gdy przetwarzanie to jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora. Podkreślenia wymaga, że art. 105 ust. 4 Prawa bankowego nie stanowi samodzielnej przesłanki uprawniającej do przetwarzania danych osobowych bez zgody osoby, której dane dotyczą. Wskazał na to Naczelny Sąd Administracyjny w wyroku z dnia 14 września 2005 r. w sprawie o sygn. akt I OSK 39/05, zgodnie z którym cyt. "Stosownie do art. 105 ust. 4 Prawa bankowego, banki mogą, wspólnie z bankowymi izbami gospodarczymi, utworzyć instytucje do zbierania i udostępniania bankom oraz innym instytucjom ustawowo upoważnionym do udzielania kredytów informacji o wierzytelnościach oraz o obrotach i stanach rachunków bankowych w zakresie, w jakim informacje te są potrzebne w związku z udzielaniem kredytów, pożyczek pieniężnych, gwarancji bankowych i poręczeń. Nie można zatem podzielić stanowiska, aby zezwalający na utworzenie instytucji zajmujących się szczególnym przetwarzaniem danych osobowych przepis stanowił zarazem podstawę do przetwarzania przez nie danych osobowych bez zgody osób, których dane dotyczą, gdyż nie tylko literalne brzmienie przepisu nie uzasadnia takiego przekazania, lecz i argumenty logiki prawniczej nie prowadzą do takiego wniosku. Nie można bowiem dowodzić, że w utworzonej zgodnie z prawem instytucji wolno działać w sposób, który sama uzna za odpowiadający jej celom, gdyż zezwolenie na utworzenie nie jest równoznaczne z zezwoleniem na działanie bez ograniczeń. Nietrafny jest więc zarzut, aby art. 105 ust. 4 Prawa bankowego był - w rozumieniu art. 23 ust. 1 pkt 2 ustawy o ochronie danych osobowych - przepisem prawa zezwalającym na przetwarzanie danych". Powyższy przepis nie ustanawia zatem obowiązku, lecz wyłącznie uprawnienie wskazanych podmiotów do utworzenia instytucji o charakterze pomocniczym, upoważnionej do gromadzenia, przetwarzania i udostępnienia danych osobowych objętych tajemnicą bankową i nie stanowi podstawy do przetwarzania danych osobowych w zw. z art. 6 ust. 1 lit. c RODO. Nie zasługiwały w tym kontekście na uwzględnienie zarzuty naruszenia przepisów postępowania, w tym w szczególności art. 7 w zw. z art. 77 § 1 w zw. z art. 107 § 1 i § 3 w zw. z art. 80 K.p.a. Co się zaś tyczy zarzutu naruszenia art. 8 § 2 K.pa. poprzez odstąpienie przez organ od utrwalonej praktyki rozstrzygania spraw w takim samym stanie faktycznym i prawnym to należy podnieść, że przeczą temu przytoczone wyżej rozstrzygnięcia sądów administracyjnych. Ponadto każda sprawa rozstrzygana przez Prezesa UODO ma indywidualny charakter i stosowanie swoistej zasady "automatyzmu" nie jest wskazane. Stąd w sytuacji, gdy okolicznością niesporną był fakt, że skonkretyzowane w sentencji decyzji zobowiązanie M. D. wygasło, jak też uwzględniając to, że Bank nie pozyskał od niej zgody na przetwarzanie jej danych osobowych po wygaśnięciu zobowiązania, skarżone rozstrzygnięcie organu jawiło się jako prawidłowe. Na dzień orzekania sporne dane osobowe przetwarzane bowiem były bez podstawy prawnej. W tym stanie rzeczy, nie podzielając argumentów zawartych w złożonych skargach, oraz uznając iż organ w sposób prawidłowy zebrał i ocenił materiał dowodowy, zaś przy wykonywaniu tych czynności nie naruszył przepisów prawa, Wojewódzki Sąd Administracyjny w Warszawie orzekł jak w sentencji wyroku na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2024 r., poz. 935).