II SA/Wa 3096/21

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Joanna Kube (spr.), Sędzia WSA Iwona Maciejuk, Sędzia WSA Danuta Kania, po rozpoznaniu w trybie uproszczonym w dniu 2 lutego 2022 r. sprawy ze skargi [...] Bank [...] z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] lipca 2021 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę Prezes Urzędu Ochrony Danych Osobowych, dalej "Prezes UODO", w sprawie ze skargi D. S. na nieprawidłowości w procesie przetwarzania jego danych osobowych wydał w dniu [...] lipca 2021 r. decyzję nr [...], którą udzielił P. S.A. z siedzibą w W., dalej: "Bank", 1. upomnienia za naruszenie art. 6 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. U. U. E. L 119, 4 maja 2016), polegające na udostępnieniu danych osobowych D. S. bez podstawy prawnej w Biurze Informacji Kredytowej S.A. z siedzibą w W., zwaną dalej: "BIK", w związku z umową pożyczki oraz umową o wydanie i używanie karty kredytowej, 2. w pozostałym zakresie odmówił uwzględnienia wniosku. W uzasadnieniu decyzji z dnia [...] lipca 2021 r. Prezes UODO stwierdził, iż do organu wpłynęła skarga D. S. na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Bank, polegające na udostępnieniu jego danych osobowych w BIK, w związku z umową pożyczki o numerze [...] oraz umową o wydanie i używanie karty kredytowej [...]. Skarżący wniósł o nakazanie Bankowi zaprzestania przetwarzania jego danych osobowych w BIK w trybie określonym w art. 105a ust. 3 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz. U. z 2020 r. poz. 1896 ze zm.). 1. Prezes UODO ustalił, że Bank pozyskał dane osobowe skarżącego w związku ze złożonymi wnioskami o zawarcie umów oraz w związku z zawartymi z Bankiem umowami o produkty bankowe: - nr [...] (kredyt gotówkowy), - nr [...] (kredyt gotówkowy), - nr [...] (kredyt gotówkowy), - nr [...] (rachunek Superkonto), - nr [...] (kredyt gotówkowy), - nr [...] (zadłużenie przeniesione z kredytu odnawialnego) - oraz [...] (kredyt gotówkowy, konwersja z karty kredytowej). 2. Bank wyjaśnił, iż skarżący dopuścił się zwłoki w spłacie zobowiązania powyżej 60 dni, a w dniach: [...] sierpnia 2013 r. w związku z zaległością z dnia [...] czerwca 2013 r. w wysokości [...] zł w odniesieniu do umowy nr [...] oraz z dnia [...] maja 2012 r. w związku z opóźnieniem z dnia [...] marca 2012 r. w wysokości [...] zł. w odniesieniu do umowy nr [...] Bank wysłał do skarżącego pisma zawiadamiające o zamiarze przetwarzania danych bez jego zgody po wygaśnięciu zobowiązania. Przedmiotowe pisma zostały wysłane listami zwykłymi w związku z czym Bank nie dysponuje dowodami ich nadania. Następnie Bank przekazał dane osobowe skarżącego dotyczące ww. rachunków do BIK. 3. Skarżący kwestionował zasadność przetwarzania jego danych w BIK do celów oceny zdolności kredytowej i analizy ryzyka kredytowego i występował do Banku o zaprzestanie przetwarzania jego danych w BIK. W odpowiedzi na powyższe wnioski Bank poinformował skarżącego pismem z dnia [...] maja 2019 r., że w drodze wyjątku, uwzględnił jego prośbę i dane w powiązaniu z ww. zobowiązaniami zostaną przeniesione do części statystycznej w BIK w terminie 7 dni od daty sporządzenia pisma. W związku z powyższym dane te nie będą przetwarzane w celu oceny zdolności kredytowej. 4. W odniesieniu do umowy o kredyt gotówkowy nr [...] w bazie BIK kredyt ten figuruje jako zamknięty ze statusem "odzyskany", z datą spłaty [...].11.2014 z wycofaną zgodą klienta na przetwarzanie danych oraz warunkami niespełnionymi na przetwarzanie danych bez zgody klienta. Zobowiązanie jest przetwarzane w Banku do celów archiwalnych. Zgodnie z art. 105a ust. 4 i 5 Prawa bankowego, zobowiązanie jest przetwarzane w BIK do celów stosowania metod wewnętrznych oraz innych metod i modeli przez okres 12 lat od daty spłaty. Po upływie 12 lat od daty spłaty, czyli okresu przetwarzania danych do celów stosowania metod wewnętrznych oraz innych metod i modeli, zobowiązania są usuwane z bazy BIK. 5. Rachunek nr [...] w bazie BIK figuruje, jako zamknięty (odzyskany), z datą spłaty [...].10.2014, z wycofaną zgodą klienta na przetwarzanie danych po wygaśnięciu zobowiązania oraz warunkami niespełnionymi na przetwarzanie danych bez zgody klienta. Zobowiązanie jest przetwarzane w Banku do celów archiwalnych. Zgodnie z art. 105a ust. 4 i 5 Prawa bankowego, zobowiązanie jest przetwarzane w BIK S.A. do celów stosowania metod wewnętrznych oraz innych metod i modeli przez okres 12 lat od daty spłaty. Po upłynięciu 12 lat od daty spłaty, czyli okresu przetwarzania danych do celów stosowania metod wewnętrznych oraz innych metod i modeli, zobowiązania są usuwane z bazy BIK. BIK jest instytucją utworzoną na podstawie art. 105 ust. 4 Prawa bankowego, który stanowi, że banki mogą, wspólnie z bankowymi izbami gospodarczymi, utworzyć instytucje upoważnione do gromadzenia, przetwarzania i udostępniania bankom informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013, innym instytucjom ustawowo upoważnionym do udzielania kredytów informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są niezbędne w związku z udzielaniem kredytów, pożyczek pieniężnych, gwarancji bankowych i poręczeń (pkt 2), instytucjom kredytowym informacji stanowiących tajemnicę bankową w zakresie niezbędnym do oceny zdolności kredytowej konsumenta, o której mowa w art. 9 ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim (pkt 3), instytucjom pożyczkowym i podmiotom, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim (Dz. U. z 2019 poz. 1083 ze zm.), na zasadzie wzajemności, informacji stanowiących odpowiednio tajemnicę bankową oraz informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy o kredycie konsumenckim, w zakresie niezbędnym do oceny zdolności kredytowej konsumenta, o której mowa w art. 9 tej ustawy, i analizy ryzyka kredytowego (pkt 4). Zgodnie z art. 105a ust. 1 Prawa bankowego, przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów, instytucje pożyczkowe oraz podmioty, o których mowa wart. 59d ustawy o kredycie, a także instytucje utworzone na podstawie art. 105 ust. 4, informacji stanowiących tajemnicę bankową i informacji udostępnionych przez instytucje pożyczkowe oraz podmioty, o których mowa w art, 59d ustawy o kredycie, w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem art, 104, 105 i art. 106 - 106d Prawa bankowego w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Zgodnie zaś z art. 105a ust. 3 Prawa bankowego banki, instytucje oraz podmioty, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową i informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art, 59d ustawy o kredycie, dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy o kredycie konsumenckim, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa wart. 59d ustawy o kredycie konsumenckim, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank, inną instytucję ustawowo upoważnioną do udzielania kredytów, instytucję pożyczkową albo podmiot, o którym mowa w art. 59d ustawy o kredycie konsumenckim, o zamiarze przetwarzania dotyczących jej tych informacji, bez jej zgody. Prezes UODO zatem przyjął, że należy dokonać oceny, czy Bank, przekazując dane osobowe skarżącego do BIK w związku z zobowiązaniami wynikającymi z umowy nr [...] oraz umowy nr [...], działał na podstawie przepisów prawa - spełnił wszystkie przesłanki wynikające z treści art. 105a ust. 3 Prawa bankowego. Skarżący dopuścił się zwłoki trwającej dłużej niż 60 dni w przypadku obu ww. zobowiązań. Istotnym w sprawie jest to, że Bank nie spełnił wobec niego obowiązku określonego wart. 105a pkt 3 Prawa bankowego, tj. nie poinformował go skutecznie o zamiarze przetwarzania dotyczących jego informacji, stanowiących tajemnicę bankową, bez jego zgody po wygaśnięciu zobowiązania wynikającego z przedmiotowej umowy. Organ stwierdził, że sam fakt, iż skarżący nie wykonał zobowiązania lub spóźnił się z jego wykonaniem co najmniej 60 dni, nie upoważnia Banku do przetwarzania jego danych na warunkach określonych wart. 105a ust. 3 Prawa bankowego. Moment, od którego należy liczyć sześćdziesięciodniowy termin, którym konsument dopuszcza się zwłoki w wykonaniu zobowiązania, to termin wykonania zobowiązania. Dopiero po upływie 60 dni zaczyna biec termin 30 dni, w którym instytucja oczekuje jeszcze na wykonanie zobowiązania klienta. Termin 30 dni biegnie od momentu, w którym konsument zostanie skutecznie poinformowany przez instytucję o zamiarze przetwarzania. Ostatecznie to bezskuteczny upływ 30 dni od momentu poinformowania stanowi wypełnienie przesłanek z art. 105a ust. 3 Prawa bankowego. Z powyższego wynika zatem, iż Bank przetwarzając dane skarżącego na warunkach określonych w ww. przepisie, musi wykazać, że skarżący został poinformowany o zamiarze przetwarzania ich bez jego zgody. W niniejszej sprawie skarżący podniósł, że okoliczności wskazywane w art. 105a pkt 3 Prawa bankowego nie zostały spełnione w związku z czym Bank nie był uprawniony do przetwarzania jego danych osobowych w BIK w związku z przedmiotowymi zobowiązaniami. Bank wyjaśnił, że pisma zawierające informację o zamiarze przetwarzania danych osobowych bez zgody skarżącego po wygaśnięciu zobowiązania zostały wysłane na wskazany przez niego adres do korespondencji, listami zwykłymi w związku z czym Bank nie dysponuje dowodami ich nadania. Brak jest zatem dowodów wskazujących na prawidłowe i skuteczne poinformowanie skarżącego o treści 105a ust. 3 Prawa bankowego. Prezes UODO podkreślił, że sporządzenie i wysłanie ww. pisma, nie jest równoznaczne z udowodnieniem jego prawidłowego doręczenia, skutkującego poinformowaniem skarżącego o zamiarze przetwarzania danych stanowiących tajemnicę bankową, bez jego zgody na podstawie art. 105a ust. 3 Prawa bankowego. Samo bowiem oświadczenie o wysłaniu korespondencji nie stanowi dowodu na jej dostarczenie lub poinformowanie o jej treści adresata. Wskazał, że przepisy powszechnie obowiązujące nie formułują obowiązku wysłania informacji, o której mowa w art. 105a ust. 3 Prawa bankowego, w szczególnej formie. To do podmiotu informującego należy zatem wybór formy przekazania odbiorcy komunikatu, o zamiarze przetwarzania danych osobowych bez jego zgody. Jednocześnie to podmiot informujący wywodzi z powyższego skutki prawne, zatem to on musi wykazać, że poinformował skarżącego o zamiarze przetwarzania danych stanowiących tajemnicę bankową, bez jego zgody na podstawie art. 105a ust. 3 Prawa bankowego. Prezes UODO, argumentując powołał się na stanowisko zajęte przez Wojewódzki Sąd Administracyjny w wyroku z dnia 15 marca 2017 r., sygn. akt II SA/Wa 1695/16, z którego wynika, że w sytuacji, gdy oświadczenie zostało posłane adresatowi listem albo innym sposobem porozumiewania się na odległość, składający powinien wykazać np. za pomocą zwrotnego poświadczenia odbioru, że list (telegram) został adresatowi doręczony. Prezes UODO, podzielając powyższe rozważania podkreślił, że w niniejszej sprawie nie zostały spełnione przesłanki z art. 105a ust 3 Prawa bankowego. Bank postąpił jednak zgodnie z żądaniem skarżącego. Dane osobowe skarżącego w związku z umową nr [...] oraz umową nr [...] zostały przeniesione do części statystycznej w BIK i nie są przetwarzane w celu oceny zdolności kredytowej. Podstawę ich przetwarzania stanowi zatem art. 105a ust. 4 Prawa bankowego, który pozwala bankom oraz instytucjom, o których mowa w art. 105 ust. 4, a zatem również BIK, na przetwarzanie stanowiących tajemnicę bankową informacji dotyczących osoby fizycznej po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której informacje dotyczą, do celów stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013. Wobec powyższego organ nie mógł postąpić zgodnie z wnioskiem skarżącego i nakazać usunięcie jego danych osobowych z BIK. Zważając jednakże na nieprawidłowości w procesie przetwarzania danych osobowych skarżącego przez Bank polegające na przekazaniu jego danych osobowych do BIK bez podstawy prawnej, tj. bez spełnienia przesłanek, o których mowa w art. 105a ust. 3 Prawa bankowego, Prezes Urzędu, korzystając z uprawnienia przewidzianego w art. 58 ust. 2 lit. b RODO, udzielił Bankowi upomnienia za naruszenie art. 6 ust. 1 RODO w tym zakresie. P. S.A. z siedzibą w W. wniósł do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] lipca 2021 r. nr [...]. Zaskarżonej decyzji Bank zarzucił naruszenie przepisów postępowania, które mogło mieć wpływ na wynik sprawy, tj.: 1.1. art. 7 k.p.a. w zw. z art. 77 § 1 k.p.a. w zw. z art. 107 § 1 pkt 6 i § 3 k.p.a. polegające na niewyczerpującym zebraniu i rozpatrzeniu całego materiału dowodowego i niepodjęciu działań niezbędnych do dokładnego wyjaśnienia stanu faktycznego sprawy w szczególności poprzez dokonanie dowolnej a nie swobodnej oceny dowodów w postaci: a. pisma skarżącego z dnia [...] maja 2019 r. znak: [...] - w aktach sprawy, k. 32; b. pisma skarżącego z dnia [...] września 2018 r. znak: [...] - w aktach sprawy, k. 4; c. pisma skarżącego dot. pisma z dnia [...] stycznia 2018 r. znak; [...]- w aktach sprawy, k. 5-8; d. pisma skarżącego z dnia [...] lipca 2019 r. - w aktach sprawy, k. 29, e. pisma skarżącego z dnia [...] marca 2020 r. - w aktach sprawy, k. 40, f. skargi D. S. na niezgodne z prawem przetwarzanie danych osobowych przez Bank - w aktach sprawy, k. 1-3; g. potwierdzenia doręczenia przesyłki poleconej z dnia [...] lipca 2020 r. - w aktach sprawy, k. 42 verte; h. potwierdzenia doręczenia przesyłki poleconej - w aktach sprawy, k. 19 verte, k. 11; z których wprost wynika, że D. S. został poinformowany o zamiarze przetwarzania jego danych w trybie art. 105a ust. 3 Prawa bankowego i zapoznał się z tą informacją najpóźniej w dacie odbioru pisma znak: [...] dot. pisma z dnia [...] stycznia 2018 r., co doprowadziło do błędnego ustalenia, że skarżący nie doręczył D. S. informacji o zamiarze dalszego przetwarzania jego danych osobowych, o którym to zawiadomieniu mowa w art. 105a ust 3 Prawa bankowego, a w konsekwencji przetwarzanie danych D. S. miało miejsce w sposób nieuprawniony; 1.2. art. 7 k.p.a. w zw. z ort. 77 § 1 k.p.a. i ort. 80 k.p.a. polegające na dokonaniu oceny zebranego w sprawie materiału dowodowego w sposób nieprawidłowy (niewyczerpujący, z pominięciem zasad logiki i doświadczenia życiowego) oraz z pominięciem całokształtu materiału dowodowego zebranego w sprawie, co w konsekwencji doprowadziło do błędnego wniosku, zgodnie z którym należało przyjąć, że D. S. nie otrzymał informacji o zamiarze przetwarzania danych bez jego zgody w sytuacji, w której z całokształtu materiału dowodowego zebranego przez organ administracji prowadzący postępowanie wynika wniosek przeciwny albowiem: a) sam uczestnik w treści skargi na niezgodne z prawem przetwarzanie danych osobowych przez Bank z dnia [...] kwietnia 2019 r. nie zaprzecza faktowi, że informacje takowe od skarżącego otrzymał, a jedynie wskazuje, że Bank nie dysponuje dowodem, że uczestnik został poinformowany o zamiarze przetwarzania jego danych bez jego zgody, a w związku z tym nie można uznać, że uczestnik nie otrzymał informacji o zamiarze przetwarzania danych D. S. bez jego zgody; b) skarżący w piśmie z dnia [...] marca 2020 r. znak: [...] i piśmie z dnia [...] lipca 2019 r. znak: [...] złożył obszerne wyjaśnienia obejmujące swym zakresem oświadczenie Banku na okoliczność faktu skierowania do D. S. informacji, o której mowa w art. 105a ust. 3 Prawa bankowego w formie pisemnej (tj. w piśmie z dnia [...] lipca 2019 r. i w piśmie z dnia [...] marca 2020 r.) listami zwykłymi; c) przepis art. 105a ust. 3 Prawa bankowego ani inne przepisy powszechnie obowiązującego prawa nie formułują obowiązku wysyłania informacji, o której mowa w art. 105a ust. 3 Prawa bankowego, w szczególnej formie, a tym samym nie można było z góry uznać, że Bank obowiązku nie dopełnił, a tylko należało zweryfikować fakt poinformowania uczestnika D. S. o zamiarze przetwarzania jego danych osobowych przez Bank i fakt umożliwienia uczestnikowi zapoznania się z taką informacją; 1.3. art. 75 k.p.a. w zw. z art. 50 § 1 k.p.a. w zw. z art. 7 k.p.a. poprzez zaniechanie przeprowadzenia dowodu z zeznań osobistych D. S., w sytuacji w której jego pisemne oświadczenia, że nigdy nie został poinformowany o zamiarze przetwarzania danych osobowych w związku z niespłaceniem zobowiązania, pozostawały wewnętrznie sprzeczne, co doprowadziło do błędnego ustalenia, że Bank nie doręczył D. S. informacji o zamiarze dalszego przetwarzania jego danych osobowych w sposób określony w art. 105a ust. 3 Prawa bankowego; 1.4. art. 75 § 2 k.p.a. w zw. z art. 107 k.p.a. polegające na tym, że organ administracji publicznej wydający zaskarżoną decyzję niesłusznie nie uwzględnił oświadczenia Banku złożonego w piśmie z dnia [...] marca 2020 r. znak: [...] (k. 29) i piśmie z dnia [...] lipca 2019 r. znak: [...] (k. 40) na temat wysłania do D. S. pisma z dnia [...] maja 2012 r. i pisma z dnia [...] sierpnia 2013 r., zawiadamiających o zamiarze przetwarzania danych bez zgody D. S. po wygaśnięciu zobowiązania pomimo, że przepisy powszechnie obowiązujące nie formułują obowiązku wysyłania informacji, o której mowa w art. 105a ust 3 Prawa bankowego w szczególnej formie i w związku z tym zasadnym pozostawało poprzestanie na oświadczeniach Banku o dokonaniu wysyłki stosownej informacji do D. S., złożonych w piśmie z dnia [...] lipca 2019 r. i w piśmie z dnia [...] marca 2020 r.; 1.5. art. 7 k.p.a. w zw. z art. 77 § 1 k.p.a. w zw. ort. 107 § 1 pkt 6 i § 3 k.p.a. polegające na tym, że organ administracji wydający zaskarżoną decyzję zaniechał podjęcia czynności niezbędnych do przeprowadzenia postępowania dowodowego w sposób prawidłowy i wyczerpujący w szczególności poprzez zaniechanie dokonania ustaleń w zakresie kiedy, tj. w jakiej dacie, miało miejsce nieprawidłowe przetwarzanie danych osobowych D. S., a tym samym poprzez zaniechane dokonania ustaleń na okoliczności istotne z punktu widzenia normy art. 105a Prawa bankowego, co miało skutek w postaci wydania decyzji na podstawie niepełnego i wadliwie ocenionego materiału dowodowego oraz błędnie ustalonego stanu faktycznego, prowadząc w konsekwencji do wadliwego uzasadnienia decyzji; 1.6. art. 105 § 1 k.p.a. w zw. z art. 6 k.p.a. w zw. z art. 11 k.p.a. w zw. z art. 107 § 3 k.p.a. polegające na zaniechaniu dokonania ustaleń w treści uzasadnienia zaskarżonej decyzji w zakresie kiedy, tj. w jakiej dacie, miało miejsce nieprawidłowe przetwarzanie danych osobowych D. S., co doprowadziło do nieuzasadnionego przesądzenia w sposób stanowczy o faktach, które mają bezpośredni wpływ na sytuację prawną skarżącego; 1.7. art. 105 § 1 k.p.a. w zw. z art. 104 § 1 k.p.a. w z. z art. 58 ust. 2 lit. b RODO poprzez udzielenie skarżącemu upomnienia w sytuacji, w której Prezes UODO ustalił, że zarówno w chwili wydania zaskarżonej decyzji, jak i obecnie, przetwarzanie danych osobowych D. S. następuje w sposób zgodny z brzmieniem art. 105a ust. 3 Prawa bankowego, co doprowadziło do zbędnego zastosowania środka naprawczego; 1.8. art. 104 § 1 k.p.a. w zw. z ort. 58 ust. 2 lit. b RODO poprzez rozstrzygnięcie sprawy w drodze decyzji administracyjnej, chociaż taka forma rozstrzygnięcia nie została przewidziana przez ustawodawcę, co skutkowało nieuzasadnionym wydaniem aktu administracyjnego; 2. naruszenie przepisów prawa materialnego, tj.: 2.1. art. 105a ust. 3 Prawa bankowego poprzez jego błędną wykładnię polegającą na błędnym przyjęciu, że poinformowanie klienta banku o możliwości przetwarzania jego danych osobowych bez jego zgody tylko wtedy wywołuje skutek w postaci rozpoczęcia biegu trzydziestodniowego terminu, po upływie którego jest możliwe przetwarzanie danych osobowych poprzez przekazanie ich przez bank do jednej z instytucji wymienionych w tym przepisie, jeżeli Bank dysponuje dowodem na to, że takie zawiadomienie rzeczywiście do tej osoby dotarło w sytuacji, w której prawidłowa interpretacja tego przepisu jest taka, że wymieniony skutek następuje zawsze, gdy bank skieruje do takiej osoby w sposób skuteczny stosowne zawiadomienie, a zatem niezależnie od formy i środka przekazu; 2.2. art. 6 ust. 1 lit. f RODO poprzez niezastosowanie normy wynikającej z tego przepisu, co skutkowało błędnym przyjęciem, że Bank nie był uprawniony do przetwarzania danych osobowych D. S. polegającego na udostępnieniu jego danych osobowych w BIK w sytuacji, w której Bank posiadał podstawę prawną przetwarzania danych D. S., którą stanowił art. 6 ust 1 lit. f RODO, a tym samym przetwarzanie danych osobowych D. S. przez Bank było uprawnione; 2.3. art. 58 ust 2 lit b RODO poprzez jego błędną wykładnię i uznanie, że Prezes UODO może udzielić upomnienia w sytuacji, w której nieuprawnione przetwarzanie danych osobowych nie występuje. W odpowiedzi na skargę organ wniósł o jej oddalenie oraz podtrzymał twierdzenia zawarte w uzasadnieniu zaskarżonej decyzji. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Zgodnie z art. 3 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz. U. z 2019 r. poz. 2325 ze zm.; zwanej dalej: "p.p.s.a,"), sądy administracyjne sprawują kontrolę działalności administracji publicznej i stosują środki określone w ustawie. Oznacza to, że zadaniem Sądu jest zbadanie legalności zaskarżonego aktu pod względem jego zgodności z prawem, to znaczy ustalenie, czy organ orzekający w sprawie prawidłowo zinterpretował i zastosował przepisy prawa w odniesieniu do właściwie ustalonego stanu faktycznego. Kontrolując sprawę w ramach swoich kompetencji, Sąd uznał, że skarga nie zasługuje na uwzględnienie, bowiem zaskarżona decyzja nie narusza prawa w stopniu mającym wpływ na wynik sprawy. W pierwszej kolejności zauważyć należy, że skarga D. S., skierowana do Prezesa Urzędu Ochrony Danych Osobowych, dotyczyła ewentualnych naruszeń w przetwarzaniu danych osobowych przez Bank. Tym samym organ miał obowiązek zbadać, czy Bank, dopuścił się jakichkolwiek nieprawidłowości w przetwarzaniu danych osobowych skarżącego. Prezes UODO był przy tym związany treścią żądania zawartego we wniosku skarżącego z dnia [...] kwietnia 2019 r., w którym to wnioskodawca wskazał, że Bank przetwarza jego dane osobowe z naruszeniem prawa określonym w art. 105a ust. 3 Prawa bankowego. Zgodnie z art. 6 ust. 1 rozporządzenia 2016/679, przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy – i w takim zakresie, w jakim – spełniony jest co najmniej jeden z poniższych warunków: a) osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów; b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy; c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze; d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej; e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi; f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Akapit pierwszy lit. f) nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań. Art. 57 ust.1 lit. f ww. rozporządzenia stanowi natomiast, że bez uszczerbku dla innych zadań określonych na mocy niniejszego rozporządzenia każdy organ nadzorczy na swoim terytorium rozpatruje skargi wniesione przez osobę, której dane dotyczą, lub przez podmiot, organizację lub zrzeszenie zgodnie z art. 80, w odpowiednim zakresie prowadzi postępowania w przedmiocie tych skarg i w rozsądnym terminie informuje skarżącego o postępach i wynikach tych postępowań, w szczególności jeżeli niezbędne jest dalsze prowadzenie postępowań lub koordynacja działań z innym organem nadzorczym. Zgodnie z art. 58 ust. 1 powołanego rozporządzenia, każdemu organowi nadzorczemu przysługują wszystkie następujące uprawnienia w zakresie prowadzonych postępowań: a) nakazanie administratorowi i podmiotowi przetwarzającemu, a w stosownym przypadku przedstawicielowi administratora lub podmiotu przetwarzającego, dostarczenia wszelkich informacji potrzebnych organowi nadzorczemu do realizacji swoich zadań; b) prowadzenie postępowań w formie audytów ochrony danych; c) dokonywanie przeglądu udzielonych certyfikacji na mocy art. 42 ust. 7; d) zawiadamianie administratora lub podmiotu przetwarzającego o podejrzeniu naruszenia niniejszego rozporządzenia; e) uzyskiwanie od administratora i podmiotu przetwarzającego dostępu do wszelkich danych osobowych i wszelkich informacji niezbędnych organowi nadzorczemu do realizacji swoich zadań; f) uzyskiwanie dostępu do wszystkich pomieszczeń administratora i podmiotu przetwarzającego, w tym do sprzętu i środków służących do przetwarzania danych, zgodnie z procedurami określonymi w prawie unijnym lub w prawie państwa członkowskiego. W przedmiotowej sprawie, podstawę prawną do przetwarzania danych osobowych skarżącego D. S. przez Bank, stanowił przepis art.105a ust. 3 Prawa bankowego, zaś podstawę prawną przetwarzania danych osobowych klientów przez Bank w Biurze Informacji Kredytowej stanowił art.6 ust. 1 lit. f RODO w związku z art. 28 ust. 3 RODO (przetwarzanie na podstawie zawartej z Bankiem będącym administratorem danych umowy powierzenia przetwarzania danych osobowych). BIK jest instytucją utworzoną na podstawie art. 105 ust 4 Prawa bankowego, który stanowi, że banki mogą, wspólnie z bankowymi izbami gospodarczymi, utworzyć instytucje upoważnione do gromadzenia, przetwarzania i udostępniania bankom informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013, innym instytucjom ustawowo upoważnionym do udzielania kredytów informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są niezbędne w związku z udzieleniem kredytów, pożyczek pieniężnych, gwarancji bankowych i poręczeń (pkt 2), instytucjom kredytowym informacji stanowiących tajemnicę bankową w zakresie niezbędnym do oceny zdolności kredytowej konsumenta, o której mowa w art.9 ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim (pkt 3), instytucjom pożyczkowym i podmiotom, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, na zasadzie wzajemności, informacji stanowiących odpowiednio tajemnicę bankową oraz informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, w zakresie niezbędnym do oceny zdolności kredytowej konsumenta, o której mowa w art. 9 tej ustawy, i analizy ryzyka kredytowego (pkt 4). Zgodnie z art. 105a ust.1 Prawa bankowego, przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów, instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, a także instytucje utworzone na podstawie art. 105 ust. 4, informacji stanowiących tajemnicę bankową i informacji udostępnionych przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, w zakresie dotyczącym osób fizycznych, może być wykonywane, z zastrzeżeniem art. 104, 105 i art. 106 – 106d Prawa bankowego, w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. W myśl natomiast art. 105a ust. 3 Prawa bankowego, banki, instytucje oraz podmioty, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową i informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art.59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank, inną instytucję ustawowo upoważnioną do udzielania kredytów, instytucję pożyczkową albo podmiot, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, o zamiarze przetwarzania dotyczących jej tych informacji, bez jej zgody. Kwestia wykładni, użytego w art. 105a ust. 3 Prawa bankowego, zwrotu "od poinformowania tej osoby przez bank" była wielokrotnie przedmiotem rozważań NSA i Wojewódzkiego Sądu Administracyjnego w Warszawie. W wyroku z dnia 27 sierpnia 2019 r., wydanym w sprawie sygn. akt I OSK 2514/17, NSA wyjaśnił, iż: "Z powołanego przepisu wyraźnie wynika, że przetwarzanie danych jest dopuszczalne, gdy po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank. Zatem to na Banku ciążył obowiązek poinformowania (...) o zamiarze przetwarzania jej danych. Ustawodawca nie stworzył w tym zakresie żadnych szczególnych wymogów formalnych, co do sposobu i treści takiego poinformowania klienta lub byłego klienta banku. Nie oznacza to jednak całkowitej dowolności w tym zakresie. Jakkolwiek ustawodawca w żaden sposób nie ograniczył sposobów i form takiego powiadomienia, jednakże w każdym wypadku sposób ten powinien umożliwić zweryfikowanie faktu poinformowania klienta banku o zamierzonym przetwarzaniu jego danych osobowych lub też przynajmniej potwierdzenie, że klientowi umożliwiono zapoznanie się z taką informacją. W tym zakresie nie mogą mieć miejsca jakiekolwiek domniemania faktyczne." "Informacje o dokonaniu wysyłki takiej wiadomości nie mogą stanowić o uczynieniu zadość obowiązkowi z art. 105a ust. 3 Prawa bankowego. W celu weryfikacji dopuszczalności przetwarzania danych osobowych na podstawie art. 105a ust. 3 Prawa bankowego, GIODO musi dysponować stosownymi dowodami na rzeczywiste wykonanie wymienionego w tym przepisie obowiązku poinformowania i w tym zakresie nie może opierać się wyłącznie na oświadczeniu Banku. Takie stanowisko jest już utrwalone w orzecznictwie (zob. np. wyrok NSA z 27.10.2017 r., sygn. akt I OSK 3362/15, LEX nr 2463181)." Skład orzekający w niniejszej sprawie podziela przytoczony powyżej pogląd prawny. Konieczną zatem była ocena przedstawionej przez Bank dokumentacji pod kontem wypełnienia powyższej przesłanki. W ocenie Sądu, Prezes UODO trafnie stwierdził, iż Bank nie wykazał, że skarżący został poinformowany o zamiarze przetwarzania jego danych osobowych na podstawie art. 105a ust. 3 Prawa bankowego. Wyjaśnić należy, iż to rzeczą Banku jest wskazanie konkretnego dokumentu, z którego wynika wykonanie powyższego obowiązku informacyjnego oraz wykazanie, iż dokument ten został doręczony osobie, o której mowa w tym przepisie. W niniejszej sprawie Bank wadliwie przyjął, powołując się na treść korespondencji skarżącego, iż posiadał on wiedzę o zamiarze przetwarzania jego danych osobowych w oparciu o przepis art. 105a ust. 3 Prawa bankowego. W stanie faktycznym sprawy niewątpliwe jest, że skarżący dopuścił się zwłoki trwającej dłużej niż 60 dni w przypadku ww. zobowiązań. Istotnym jednakże w niniejszej sprawie jest to, że Bank nie spełnił wobec niego obowiązku określonego wart. 105a ust. 3 Prawa bankowego, tj. nie poinformował go skutecznie o zamiarze przetwarzania dotyczących jego informacji, stanowiących tajemnicę bankową, bez jego zgody po wygaśnięciu zobowiązania wynikającego z przedmiotowej umowy. Sam fakt, iż skarżący nie wykonał zobowiązania lub spóźnił się z jego wykonaniem co najmniej 60 dni, nie upoważnia Banku do przetwarzania jego danych na warunkach określonych w art. 105a ust. 3 Prawa bankowego. Moment, od którego należy liczyć sześćdziesięciodniowy termin, w którym konsument dopuszcza się zwłoki w wykonaniu zobowiązania, to termin wykonania zobowiązania. Dopiero po upływie 60 dni zaczyna biec termin 30 dni, w którym instytucja oczekuje jeszcze na wykonanie zobowiązania klienta. Termin 30 dni biegnie od momentu, w którym konsument zostanie skutecznie poinformowany przez instytucję o zamiarze przetwarzania. Ostatecznie to bezskuteczny upływ 30 dni od momentu poinformowania stanowi wypełnienie przesłanek z art. 105a ust. 3 Prawa bankowego. Z powyższego wynika zatem, iż Bank, przetwarzając dane skarżącego na warunkach określonych w ww. przepisie, musi wykazać, że skarżący został poinformowany o zamiarze przetwarzania ich bez jego zgody. Skarżący podniósł natomiast, że okoliczności wskazywane w art. 105a ust. 3 Prawa bankowego nie zostały spełnione w związku z czym Bank nie był uprawniony do przetwarzania jego danych osobowych w BIK w związku z przedmiotowymi zobowiązaniami. Bank zaś wyjaśnił, że pisma zawierające informację o zamiarze przetwarzania danych osobowych bez zgody skarżącego po wygaśnięciu zobowiązania zostały wysłane na wskazany przez niego adres do korespondencji, listami zwykłymi w związku z czym Bank nie dysponuje dowodami ich nadania. Brak jest zatem dowodów wskazujących na prawidłowe i skuteczne poinformowanie skarżącego o treści 105a ust. 3 Prawa bankowego. Pisma wymienione przez Bank w treści skargi na przedmiotową decyzję, w szczególności pismo Banku z dnia [...] września 2018 r. znak: [...] nie stanowi informacji, o której mowa w art. 105a ust. 3 Prawa bankowego, ani też dowodu na skuteczne poinformowanie skarżącego o zamiarze przetwarzania jego danych w trybie ww. przepisu. W pismach tych Bank jedynie wspomina o tym że wysłał skarżącemu informację o zamiarze umieszczenia jego danych w BIK. Powyższe nie stanowi jednak dowodu na to, że Bank takie pismo wcześniej rzeczywiście do D. S. skierował, ani na to, czy i kiedy je ewentualnie otrzymał. Ponadto sam D. S. zaprzeczył, aby otrzymał ww. pismo z Banku, tj. aby został przez Bank poinformowany o zamiarze przetwarzania jego danych w sposób określony w ww. przepisie. Zatem fakt kierowania do niego innych pism nie stanowi dowodu na poinformowanie go o zamiarze przetwarzania przez Bank jego danych osobowych w trybie art. 105a ust. 3 Prawa bankowego. Dodać przy tym należy, iż Bank w skardze do WSA w Warszawie stwierdził, iż "(...) fakt doręczenia D. S. pism z dnia [...] maja 2012 r. i z dnia [...] sierpnia 2013 r. pozostaje sporny" (str.11 skargi). Skoro zatem w niniejszej sprawie nie zostały spełnione przesłanki z art. 105a ust. 3 Prawa bankowego, to Prezes Urzędu Ochrony Danych Osobowych, korzystając z uprawnienia przewidzianego w art. 58 ust.2 lit. b RODO, trafnie udzielił Bankowi w drodze decyzji administracyjnej upomnienia za naruszenie art. 6 ust.1 RODO polegającego na udostępnieniu danych osobowych skarżącego w związku z umową pożyczki oraz umową o wydanie i używanie karty kredytowej. Organ trafnie również odmówił uwzględnienia wniosku skarżącego w pozostałym zakresie, tj. zasadności przetwarzania jego danych w BIK do celów oceny zdolności kredytowej i analizy ryzyka kredytowego. Bank bowiem, uwzględniając wniosek skarżącego, pismem z dnia [...] maja 2019 r. poinformował, że w drodze wyjątku, uwzględnił jego prośbę i dane w powiązaniu z zobowiązaniami dotyczącymi zaległości z dnia [...] czerwca 2013 r. w odniesieniu do umowy nr [...] i z dnia [...] marca 2012 r. w odniesieniu do umowy nr [...] zostaną przeniesione do części statystycznej w BIK w terminie 7 dni od daty sporządzenia pisma. W związku z powyższym dane te nie będą przetwarzane w celu oceny zdolności kredytowej. Mając na względzie powyższe Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art.151 p.p.s.a., orzekł jak w sentencji.