II SA/Wa 3781/21

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Tomasz Szmydt (spr.), Sędzia WSA Andrzej Wieczorek, Sędzia WSA Izabela Głowacka-Klimas, Protokolant specjalista Elwira Sipak po rozpoznaniu na rozprawie w dniu 4 maja 2022 r. sprawy ze skargi Powszechnej Kasy Oszczędności Bank Polski S. A. z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] września 2021 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę Powszechna Kasa Oszczędności Bank Polski S.A. z siedzibą w [...] wniósł skargę na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] września 2021r., w przedmiocie przetwarzania danych osobowych. Do Urzędu Ochrony Danych Osobowych wpłynęła skarga Pani M. M. (zwanej dalej Skarżącą), na nieprawidłowości w procesie przetwarzania jej danych osobowych przez Powszechną Kasę Oszczędności Bank Polski S.A. z siedzibą w [...], (zwaną dalej Bankiem), polegające na przetwarzaniu danych osobowych bez podstawy prawnej oraz udostępnieniu danych osobowych na rzecz Biura Informacji Kredytowej S.A. z siedzibą w [...] (zwanej dalej BIK). Skarżąca w treści skargi wskazała, że Bank nie spełnił wymagań uprawniających go do rozpoczęcia przetwarzania jej danych osobowych w bazie BIK, w związku z wierzytelnością wynikającą z umowy nr [...], ponieważ Bank nie spełnił łącznie wszystkich warunków z art. 105a ust. 3 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz. U. z 2019 r. poz. 2357), zwanej dalej Prawem bankowym, tzn. Bank nigdy nie powiadomił Skarżącej o zamiarze przetwarzania jej danych osobowych bez jej zgody w bazie BIK. W toku prowadzonego postępowania administracyjnego, Prezes Urzędu Ochrony Danych Osobowych ustalił następujący stan faktyczny: 1. Skarżąca zawarła z Bankiem w dniu [...] października 2012 r. umowę nr [...], z tytułu której powstało zadłużenie. Opóźnienie w spłacie wynosiło powyżej 60 dni. Powyższa umowa została zamknięta w dniu [...] lutego 2018 r. (dowód: skarga z dnia [...] lutego 2019 r., wyjaśnienia Banku z dnia [...] sierpnia 2019 r.); 2. Bank wskazał, że dane osobowe Skarżącej zostały zebrane w związku z zawartymi umowami o produkty bankowe, w tym ww. umową nr [...]. Dane osobowe Skarżącej w zakresie imię, nazwisko, nazwisko rodowe, imiona rodziców, nazwisko panieńskie matki, płeć, data i miejsce urodzenia, PESEL, typ i nr dokumentu tożsamości, adres zamieszkania, adres korespondencyjny, adres email, nr telefonu, nazwa pracodawcy, stanowisko, stan cywilny przetwarzane są obecnie przez Bank w celach stosowania metod wewnętrznych oraz innych metod i modeli (dowód: wyjaśnienia Banku z dnia [...] sierpnia 2019 r.); 3. Bank wskazał ponadto, że w związku z zaległościami w spłacie zobowiązania wynikającego z umowy nr [...] skierował do Skarżącej zawiadomienie wysłane listem zwykłym w dniu [...] sierpnia 2017 r. o zamiarze przetwarzania danych po wygaśnięciu zobowiązania, bez jej zgody, zgodnie z przepisami art. 105a ust. 3 Prawa bankowego i przetwarzał dane osobowe Skarżącej w celu oceny zdolności kredytowej i analizy ryzyka kredytowego (dowód: wyjaśnienia Banku z dnia [...] sierpnia 2019 r.); 4. Skarżąca w dniu [...] stycznia 2019 r. wystąpiła do Banku z wnioskiem o zaprzestanie przetwarzania jej danych osobowych w BIK. Pismem z dnia [...] stycznia 2019 r. Bank poinformował Skarżącą, że w zakresie zobowiązania wynikającego z umowy nr [...] w systemach informatycznych oznaczone zostało wycofanie zgody na przetwarzanie jej danych osobowych po wygaśnięciu ww. zobowiązania. Bank ponadto wyjaśnił, że pomimo wycofania zgody w związku z faktem spełnienia łącznie obydwu warunków określonych w art. 105a ust. 3 Prawa bankowego, Bank nabył prawo do przetwarzania danych osobowych do celów oceny zdolności kredytowej i analizy ryzyka kredytowego bez zgody Skarżącej przez okres 5 lat od daty wygaśnięcia ww. zobowiązania. Następnie pismem z dnia [...] marca 2019 r. Bank poinformował Skarżącą, że jej wniosek został uwzględniony i dane zostały przeniesione do części statystycznej w BIK, wobec czego nie będą przetwarzane w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Na dowód powyższego Bank przedłożył zrzut z ekranu potwierdzający przeniesienie danych do części statystycznej IMS (dowód: wyjaśnienia Banku z dnia [...] sierpnia 2019 r.). Organ wskazał, iż zgodnie z art. 105a ust. 1 Prawa bankowego, przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów, instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, a także instytucje utworzone na podstawie art. 105 ust. 4, informacji stanowiących tajemnicę bankową i informacji udostępnionych przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem art. 104, 105 i art. 106 - 106d Prawa bankowego w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Zgodnie zaś z art. 105aust. 3 Prawa bankowego banki, instytucje oraz podmioty, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową i informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa wart. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa wart. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011r. o kredycie konsumenckim, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank, inną instytucję ustawowo upoważnioną do udzielania kredytów, instytucję pożyczkową albo podmiot, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, o zamiarze przetwarzania dotyczących jej tych informacji, bez jej zgody. Ponadto stosownie do art. 105a ust. 4 Prawa bankowego banki oraz instytucje, o których mowa w art. 105 ust. 4, mogą przetwarzać stanowiące tajemnicę bankową informacje dotyczące osoby fizycznej po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której informacje dotyczą, do celów stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013.5. Przetwarzanie informacji stanowiących tajemnicę bankową w przypadkach, o których mowa w ust. 4 może być wykonywane przez okres nie dłuższy niż 12 lat od dnia wygaśnięcia zobowiązania (art. 105aust.5 Prawa bankowego). Organ wskazał, że choć zobowiązanie Skarżącej, wynikające z umowy nr [...], zawartej w dniu [...] października 2012 r. wobec Banku wygasło, to jak wynika ze zgromadzonego materiału dowodowego odnośnie spłaty zadłużenia. Skarżąca dopuściła się zwłoki trwającej dłużej niż 60 dni w przypadku ww. zobowiązania. Istotnym jednakże w niniejszej sprawie jest to, że Bank nie spełnił wobec niej obowiązku określonego wart. 105a ust. 3 Prawa bankowego, tj. nie poinformował jej skutecznie o zamiarze przetwarzania dotyczących jej informacji stanowiących tajemnicę bankową, bez jej zgody po wygaśnięciu zobowiązania wynikającego z przedmiotowej umowy. Organ stwierdził, że sam fakt, iż Skarżąca nie wykonała zobowiązania lub spóźniła się z jego wykonaniem, co najmniej 60 dni, nie upoważnia Banku do przetwarzania jej danych na warunkach określonych wart. 105a ust. 3 Prawa bankowego. Moment, od którego należy liczyć sześćdziesięciodniowy termin, w którym konsument dopuszcza się zwłoki w wykonaniu zobowiązania, to termin wykonania zobowiązania. Organ wskazał, iż dopiero po upływie 60 dni zaczyna biec termin 30 dni, w którym instytucja oczekuje jeszcze na wykonanie zobowiązania klienta. Termin 30 dni biegnie od momentu, w którym konsument zostanie skutecznie poinformowany przez instytucję o zamiarze przetwarzania. Ostatecznie to bezskuteczny upływ 30 dni od momentu poinformowania stanowi wypełnienie przesłanek z art. 105a ust. 3 Prawa bankowego. Z powyższego wynika zatem, iż Bank przetwarzając dane Skarżącej na warunkach określonych w ww. przepisie, musi wykazać, że Skarżąca została poinformowana o zamiarze przetwarzania ich bez jej zgody. W niniejszej sprawie Skarżąca podniosła natomiast, że okoliczności wskazywane w art. 105 a ust. 3 Prawa bankowego nie zostały spełnione w związku z czym Bank nie był uprawniony do przetwarzania jej danych osobowych w BIK. Bank podniósł natomiast, że ww. przesłanki, w tym poinformowanie Skarżącej o okolicznościach wskazanych w art. 105a ust. 3 Prawa bankowego zostały spełnione. Organ podkreślił, że brak jest innych dowodów wskazujących na prawidłowe i skuteczne poinformowanie Skarżącej o treści art. 105a ust. 3 Prawa bankowego niż oświadczenie Banku, pozostające w sprzeczności z twierdzeniami Skarżącej. Bank nie przedstawił dowodu na prawidłowe doręczenie Skarżącej dokumentu, w treści, którego zawarta była informacja o okolicznościach wskazanych w art. 105a ust. 3 Prawa bankowego, zatem okoliczność skutecznego poinformowania Skarżącej o treści art. 105a ust. 3 Prawa bankowego nie może zostać uznana za udowodnioną. Dodatkowo należy podkreślić, że sporządzenie i wysłanie ww. pisma, nie jest równoznaczne z udowodnieniem jego prawidłowego doręczenia, skutkującego poinformowaniem Skarżącej o zamiarze przetwarzania danych stanowiących tajemnicę bankową, bez jej zgody na podstawie art. 105a ust. 3 Prawa bankowego. Samo bowiem oświadczenie o wysłaniu korespondencji nie stanowi dowodu na jej dostarczenie lub poinformowanie o jej treści adresata. Organ, podzielając powyższą wykładnię uznał, że w niniejszej sprawie nie zostały spełnione przesłanki z art. 105a ust. 3 Prawa bankowego, zgodnie z którym Bank mógł przetwarzać informacje stanowiące tajemnicę bankową dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy bez ich zgody w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Bank przetwarzał dane osobowe Skarżącej w BIK bez spełniania ww. przesłanek także po wycofaniu przez Skarżącą zgody na przekazanie tych danych do BIK po wygaśnięciu zobowiązania wynikającego z umowy z Bankiem. Powyższy proces trwał do chwili przeniesienia danych Skarżącej do części statystycznej w BIK, o czym Bank poinformował Skarżącą pismem z [...] marca 2019 r. Wobec powyższego korzystając z uprawnienia przewidzianego w art. 58 ust. 2 lit. b RODO, Prezes Urzędu Ochrony Danych Osobowych udzielił Bankowi upomnienia za naruszenie art. 6 ust. 1 RODO polegające na przetwarzaniu danych osobowych Skarżącej w systemie BIK w celu oceny 3 zdolności kredytowej i analizy ryzyka kredytowego pomimo braku spełniania przesłanek wynikających z art. 105a ust. 3 Prawa bankowego. Decyzją Prezesa UODO z dnia [...] maja 2020 r. nr: [...] (doręczoną 27 maja 2020 r.) udzielił PKO BP S.A. upomnienia za naruszenie art. 6 ust. 1 Rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 96/46/WE (dalej: RODO), polegające na przetwarzaniu danych osobowych Pani M. M. w systemie BIK S.A. w celu oceny zdolności kredytowej i analizy ryzyka kredytowego w okresie od dnia [...] lutego 2018 r. do dnia [...] marca 2019 r. pomimo braku spełnienia przesłanek z art. 105a ust. 3 ustawy Prawo bankowe. Wyrokiem z dnia 24 marca 2021 r. Wojewódzki Sąd Administracyjny w Warszawie sygn. akt II SA/WA 1336/20 na skutek skargi PKO BP S.A. uchylił ww. Decyzję administracyjną. W uzasadnieniu wskazał, że przy ponownym rozpoznaniu sprawy Organ powinien uwzględnić rzeczywisty czas trwania bezpodstawnego przetwarzania danych osobowych przez Bank, albowiem jest to okoliczność istotna w kontekście zastosowania środka naprawczego. Dodatkowo Sąd wyjaśnił, że także to, że stan naruszenia został naprawiony przez Bank powinno mieć znaczenie dla sposobu rozstrzygnięcia sprawy. Organ ponownie rozpoznając sprawę podkreślił, że ze zgromadzonego materiału dowodowego, wynika że Bank ostatecznie uwzględnił wniosek Skarżącej dotyczący przetwarzania jej danych osobowych w celu oceny zdolności kredytowej i analizy ryzyka kredytowego i przeniósł dane Skarżącej do części statystycznej w BIK, o czym poinformował Skarżącą pismem z dnia [...] marca 2019 r. Natomiast, ocena dokonywana przez Prezesa Urzędu Ochrony Danych Osobowych w każdym przypadku służy zbadaniu zasadności skierowania pod adresem określonego podmiotu nakazu odpowiadającego dyspozycji art. 58 ust. 2 RODO służącego przywróceniu stanu zgodnego z prawem w procesie przetwarzania danych. Z uwagi na to, że Bank w okresie od dnia [...] stycznia 2019 r. do dnia [...] marca 2019 r., pomimo braku spełnienia przesłanek z art. 105a ust. 3 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe. Prezes Urzędu Ochrony Danych Osobowych, korzystając z uprawnienia przewidzianego w art. 58 ust. 2 lit. b RODO udzielił Bankowi upomnienia za ww. naruszenie. Prezes Urzędu Ochrony Danych Osobowych decyzją z dnia [...] września 2021r., nr [....] udzielił Powszechnej Kasie Oszczędności Bank Polski S.A. z siedzibą w [...] upomnienia za naruszenie art. 6 ust. 1 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dziennik Urzędowy Unii Europejskiej, L 119, 4 maja 2016), polegające na przetwarzaniu danych osobowych Pani M. M., dotyczących umowy nr [...], w systemie Biura Informacji Kredytowej S.A. z siedzibą w [...], w celu oceny zdolności kredytowej i analizy ryzyka kredytowego w okresie od dnia [...] stycznia 2019 r. do dnia [...] marca 2019 r., pomimo braku spełnienia przesłanek z art. 105a ust. 3 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz. U. z 2020 r. poz. 1896). Powszechna Kasa Oszczędności Bank Polski S.A. z siedzibą w [...] wniosła skargę na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] września 2021r., w przedmiocie przetwarzania danych osobowych. Zaskarżonej Decyzji zarzucał naruszenie następujących przepisów: 1. art. 7 k.p.a, art. 77 § 1 k.p.a., 107 § 1 pkt 6 oraz § 3 k.p.a. i art. 80 k.p.a., które miało istotny wpływ na wynik sprawy, poprzez; a) pominięcie faktu wydania wyroku przez Wojewódzki Sąd Administracyjny w Warszawie z dnia 24 marca 2021 r. sygn. akt II SA/Wa 1336/20 (por. wyrok WSA w Warszawie z dnia 24 marca 2021 r); b) pominięcie faktu, że jeszcze przed doręczeniem do PKO BP S.A. skargi z dnia [...] lutego 2019r., Bank przeniósł dane Pani M. M. do części statystycznej BIK S.A. (por. wyjaśnienia Banku z dnia [...] sierpnia 2019 r., zrzut z ekranu potwierdzający przeniesienie danych do części statystycznej IMS); c) nieuwzględnienie rzeczywistego okresu przetwarzania danych osobowych Pani M. M. w BIK S.A. w celu oceny zdolności kredytowej i analizy ryzyka kredytowego po wycofaniu przez nią zgody wyrażonej w trybie art. 105o ust. 2 Prawa bankowego; d) nieuwzględnienie, że w dacie wydania zaskarżonej decyzji dane osobowe Pani M. M. w BIK S.A. były przetwarzane zgodnie z art. 105 a ust. 4 i 5 Prawa bankowego, co w konsekwencji doprowadziło do nałożenia na PKO BP S.A. środka naprawczego w postaci upomnienia; e) niewyjaśnienie w uzasadnieniu zaskarżonej decyzji, dlaczego w realiach niniejszej sprawy, Prezes DODO uznał za zasadne i celowe zastosować wobec Banku środek naprawczy w postaci upomnienia, co w konsekwencji doprowadziło do niewyjaśnienia podstawy faktycznej i prawnej rozstrzygnięcia; 2. art. 153 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi poprzez pominięcie wskazań zawartych w uzasadnieniu wyroku wydanego przez Wojewódzki Sąd Administracyjny w Warszawie w dniu 24 marca 2021 r. sygn. akt II SA/Wa 1336/20, co do czynników, jakie Organ powinien wziąć pod uwagę ponownie rozpoznając sprawę; 3. art. 58 ust. 2 lit. b Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE poprzez niewłaściwe zastosowanie i nałożenie na PKO BP S.A. środka naprawczego. 4. art. 105 § 1 k.p.a. i art. 104 § 1 k.p.a. w zw. z art. 58 ust. 2 lit. b Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE, które miało istotny wpływ na wynik sprawy, poprzez wydanie decyzji administracyjnej w przedmiocie upomnienia PKO BP S.A. w sytuacji, gdy postępowanie ze skargi Pani M. M. stało się bezprzedmiotowe z uwagi na przeniesienie jej danych osobowych do części statystycznej systemu Biura Informacji Kredytowej S.A. w marcu 2019 r. W ocenie PKO BP S.A. Prezes UODO ponownie dokonał wadliwych, bo niepełnych ustaleń faktycznych istotnych dla rozstrzygnięcia niniejszej sprawy Organ pominął okoliczność, że jeszcze przed doręczeniem przez Prezesa UODO skargi Pani M. M., Bank podjął działania mające na celu przeniesienie jej danych do części statystycznej BIK S.A., co nastąpiło w dniu [...] marca 2019 r. (por. wyjaśnienia Banku z dnia [...] sierpnia 2019 r., zrzut z ekranu potwierdzający przeniesienie danych do części statystycznej IMS). Skarżący wskazał, iż w efekcie stan przetwarzania danych osobowych Pani M. M. w BIK S.A. w celu oceny zdolności kredytowej i analizy ryzyka kredytowego po wycofaniu przez nią zgody wyrażonej w trybie art. 105a ust. 2 Prawa bankowego trwał niespełna 2 miesiące, a nie jak pierwotnie ustalono ok. 13 miesięcy (por. Decyzja Prezesa UODO z dnia 25 maja 2020 r.). Wbrew wskazaniom Wojewódzkiego Sądu Administracyjnego Warszawie, Prezes UODO nie wziął pod uwagę, że w dacie wydania zaskarżonej Decyzji, nie istniał już stan, który naruszałby art. 105 a ust 3 Prawa bankowego oraz art. 6 ust. 1 RODO. Po przeniesieniu w marcu 2019 r. danych osobowych Pani M. M. do części statystycznej BIK S.A. ich przetwarzanie następuje na podstawie art. 105a ust. 4, 5, 6 Prawa bankowego. W oparciu o wskazane przepisy banki mogą przetwarzać stanowiące tajemnicę bankową informacje dotyczące osoby fizycznej po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem bez zgody osoby, której informacje dotyczą, do celów stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013. Skarżący wskazywał, iż powyższe uchybienia doprowadziły do ponownego zastosowania wobec PKO BP S.A. środka naprawczego w postaci upomnienia, mimo że w okolicznościach niniejszej sprawy, w świetle wskazań poczynionych przez Wojewódzki Sąd Administracyjny, należało uznać to za niezasadne i niecelowe. Jednocześnie Prezes UODO nie wyjaśnił, dlaczego uznał za właściwe jego zastosowanie w realiach niniejszej sprawy. W konsekwencji decyzja narusza art. 107 § 1 pkt 6 oraz § 3 k.p.a., jak wyjaśnił Wojewódzki Sądu Administracyjnego w Krakowie w wyroku z dnia 11 sierpnia 2021 r. I SA/Kr 773/21: "Z istoty samego uzasadnienia wynika, że powinno ono wskazywać przesłanki, którymi kierował się organ wydając dane orzeczenie, a więc powinno w sposób wyczerpujący wyjaśniać podstawę rozstrzygnięcia i okoliczności, które za takim, a nie innym rozstrzygnięciem przemawiają. Celem uzasadnienia jest przedstawienie procesów myślowych, które doprowadziły organ do wydania danego aktu, wskazanie motywów będących podstawą podjętego przez niego rozstrzygnięcia i wreszcie wskazanie argumentów tłumaczących, dlaczego takie, o nie inne stanowisko było prawidłowe w określonym stanie faktycznym." W ocenie skarżącego, uzasadnienie zaskarżonej Decyzji tych wymogów nie spełnia. Art. 58 ust. 2 RODO określa środki naprawcze, jakie w przypadku stwierdzenia naruszenia przepisów Rozporządzenia, mogą być stosowane przez Prezesa UODO. Mają one na celu przywrócenie stanu zgodnego z prawem, a więc naprawienie stwierdzonych przez ten organ naruszeń. Jednym z nich jest upomnienie (ort, 58 ust. 2 lit. b). Może ono być stosowane w przypadku, gdy naruszenie przepisów rozporządzenia jest niewielkie lub jeżeli grożąca kara pieniężna stanowiłaby dla osoby fizycznej nieproporcjonalne obciążenie. jak wyjaśniono w motywie 148 Preambuły ww. Rozporządzenia podejmując decyzję w przedmiocie zastosowania środka naprawczego należy mieć na względzie charakter, wagę oraz czas trwania naruszenia, a także to, czy naruszenie nie było umyślne, działania podjęte dla zminimalizowania szkody oraz wszelkie inne czynniki obciążające lub łagodzące. Naprawczy charakter upomnienia przejawia się w tym, że przez jego udzielenie Prezes Urzędu Ochrony Danych Osobowych zmierza do przywrócenia stanu zgodnego z prawem, ale bez zastosowania przymusu państwowego - bez władczej ingerencji w działanie podmiotu, do którego upomnienie adresuje. Powyższe prowadzi do wniosku, że zastosowanie upomnienia, nie może charakteryzować się dowolnością oraz nie może znaleźć zastosowania w każdej sytuacji. Mając zatem na uwadze rotio legis instytucji środka naprawczego skarżący zakwestionował możliwość jego nałożenia, w sytuacji, gdy nie istnieje już stan uznany za naruszający art. 6 ust. 1 RODO. Prezes Urzędu Ochrony Danych Osobowych wnosił o oddalenie skargi w całości. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Zgodnie z art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (Dz. U. Nr 153, poz. 1269 ze zm.), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej, sprawowaną pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej. Na podstawie art. 134 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. 2019r., poz.2325, zwanej dalej p.p.s.a.) Sąd przy rozstrzyganiu sprawy nie jest związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną. Sąd administracyjny, stosownie do art. 133 § 1 p.p.s.a. orzeka na podstawie akt sprawy. Oznacza to, że Sąd rozpoznaje sprawę na podstawie stanu faktycznego i prawnego istniejącego w dniu wydania kontrolowanej decyzji, na podstawie materiału dowodowego zgromadzonego przez organ administracji publicznej w toku całego postępowania administracyjnego. Warto też wyjaśnić, że Sąd administracyjny w postępowaniu sądowo-administracyjnym nie ustala stanu faktycznego sprawy, lecz bada czy w trakcie postępowania administracyjnego ujawniono wszelkie istotne okoliczności i czy były one uwzględnione przy wydawaniu decyzji i w jaki sposób zostały ocenione zebrane w sprawie dowody. Skarga rozpoznawana w oparciu o powyższe kryteria nie zasługiwała na uwzględnienie. Zgodnie z art. 105 ust. 4 ustawy z dnia 27 sierpnia 1997 r. - Prawo bankowe (t.j. Dz. U. z 2015 r. poz. 128 z późn. zm.). Banki mogą, wspólnie z bankowymi izbami gospodarczymi, utworzyć instytucje upoważnione do gromadzenia, przetwarzania i udostępniania: 1) bankom - informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych oraz w zw. ze stosowaniem metod statystycznych, o których mowa w art. 128 ust. 3 oraz w art. 128d ust. 1; 2) innym instytucjom ustawowo upoważnionym do udzielania kredytów - informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są niezbędne w związku z udzielaniem kredytów pożyczek pieniężnych, gwarancji bankowych i poręczeń; 3) instytucjom kredytowym - informacji stanowiących tajemnicę bankową w zakresie niezbędnym do oceny zdolności kredytowej konsumenta, o której mowa w art. 9 ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim. Na podstawie art. 105a cytowanej ustawy, przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów oraz instytucje utworzone na podstawie art. 105 ust. 4, informacji stanowiących tajemnicę bankową w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem art. 104, art. 105 i art. 106-106c, w celu oceny zdolności kredytowej i analizy ryzyka kredytowego (ust. 1). Instytucje, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank lub inną instytucję ustawowo upoważnioną do udzielania kredytów o zamiarze przetwarzania dotyczących jej informacji stanowiących tajemnicę bankową, bez jej zgody (ust. 3). Banki oraz instytucje, o których mowa w art. 105 ust. 4, mogą przetwarzać informacje stanowiące tajemnicę bankową dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, bez zgody osoby, której informacje dotyczą, dla celów stosowania metod statystycznych, o których mowa w art. 128 ust. 3 (ust 4.). W ocenie organu, Bank nie wykazał, że dopełnił wymaganego art. 105a ust. 3 ustawy Prawo bankowe obowiązku poinformowania o zamiarze przetwarzania dotyczących jej informacji, stanowiących tajemnicę bankową, w zakresie rachunku bankowego, bez zgody osoby, której to działanie dotyczy. W ocenie Sądu stanowisko to jest prawidłowe. W aktach administracyjnych brak jest bowiem dowodów wskazujących na fakt, że Bank poinformował klienta o zamiarze przetwarzania powyższych danych. Przekazanie przez Bank danych do Biura Informacji Kredytowej po wygaśnięciu zobowiązania wymagało powiadomienia ww. o zamiarze przetwarzania danych oraz upływu 30 dni od poinformowania o zamiarze przetwarzania danych osobowych, stanowiących tajemnicę bankową (ar. 105a ust. 3 ustawy Prawo Bankowe). Wskazane powiadomienie musi zatem być doręczone osobie zainteresowanej w taki sposób, by mogła zapoznać się z jego treścią. Okoliczności te nie mogą budzić wątpliwości, bo od ich zaistnienia zależy uprawnienie banku do przetwarzania danych osobowych. W niniejszej sprawie wątpliwości te istnieją, ponieważ wysłanie tzw. listu poleconego, nie pozwala na bezsporne przyjęcie, że powiadomienie istotnie dotarło do adresata. Jeżeli Bank wywodzi skutki prawne z powiadomienia strony o zamiarze przetwarzania jej danych osobowych, to musi wykazać, że bezskutecznie upłynęło 30 dni od daty poinformowania strony o tym zamiarze. Wykazanie tej okoliczności wymaga wykazania początkowego biegu ww. terminu. W przedmiotowej sprawie brak jest natomiast możliwości wykazania tej okoliczności. Kolejno, nawiązując do wyroku WSA w Warszawie z dnia 24 marca 2021r. sygn. akt II SA/Wa 1336/20 wskazać należy, że: "(...) Co do zasady okoliczność zaprzestania bezprawnego przetwarzania danych osobowych przez administratora danych (podmiot przetwarzający) przed wydaniem rozstrzygnięcia przez organ ochrony danych osobowych nie powoduje bezprzedmiotowości postępowania w rozumieniu art. 105 § 1 k.p.a. Organ może bowiem skorzystać z przysługujących mu uprawnień naprawczych (w tym poprzez zastosowanie środka z art. 58 ust. 2 lit. b RODO) również po ustaniu naruszeń. Nie jest wymagane, aby stan naruszenia był kontynuowany w dacie wydania rozstrzygnięcia, wystarczy bowiem samo ustalenie, że naruszenie takie zaistniało. W niniejszym przypadku jednakże organ, ponownie rozpoznając sprawę, obowiązany będzie uwzględnić faktyczny okres bezpodstawnego przetwarzania danych osobowych skarżącej, a także okoliczność, że stan naruszenia przepisów RODO został naprawiony przez Bank w następstwie wniesienia do Prezesa UODO skargi z dnia [...] lutego 2019 r. Czynniki te niewątpliwie mogą mieć istotne znaczenie dla sposobu rozstrzygnięcia niniejszej sprawy." Zgodnie z art. 153 p.p.s.a., ocena prawna i wskazania, co do dalszego postępowania wyrażone w orzeczeniu sądu wiążą w sprawie ten sąd oraz organ, którego działanie, bezczynność lub przewlekłe prowadzenie postępowania było przedmiotem zaskarżenia. Zatem bezprzedmiotowe są dalsze rozważania nad możliwością zastosowania przez organ środka z art. 58 ust. 2 lit. b RODO) również po ustaniu naruszeń. Wojewódzki Sąd Administracyjny w Warszawie w wyroku z dnia 24 marca 2021r. wypowiedział się w tym zakresie w sposób jasny i wiążący. Elementem, który był zobowiązany organ ponownie rozważyć, to okres bezpodstawnego przetwarzania danych osobowych skarżącej, a także okoliczność, że stan naruszenia przepisów RODO został naprawiony przez Bank w następstwie wniesienia do Prezesa UODO skargi z dnia [...] lutego 2019 r. Należy podzielić stanowisko organu, iż Prezes Urzędu uwzględnił wskazania Sądu i dokonał zmiany daty stwierdzonej nieprawidłowości w procesie przetwarzania danych osobowych Skarżącej. W zaskarżonej decyzji wskazano, że nieprawidłowość ta trwała od momentu wycofania przez Skarżącą zgody na przetwarzanie tych danych do momentu przeniesienia danych osobowych Skarżącej do części statystycznej BIK. Organ wziął także pod uwagę, że proces nieprawidłowego przetwarzania zakończył się przed wydaniem decyzji i uwzględnił zmianę podstaw przetwarzania upominając Bank za okres przetwarzania danych osobowych Skarżącej, w którym Bank nie wykazał, że spełnił przesłanki legalizujące ten proces po wygaśnięciu zobowiązania wynikającego z umowy zawartej przez Skarżącą z Bankiem. Powyższe wynika z dyspozycyjnej części decyzji i jej uzasadnienia. Prezes Urzędu nie pominął faktu wyrażenia przez Skarżącą zgody na podstawie art. 105a ust. 2 Prawa bankowego, lecz uznał, że dopiero po jej wycofaniu Bank nie spełniał wymogów do dalszego przetwarzania danych osobowych Skarżącej w rejestrach administrowanych przez BIK, o których mowa w art. 105a ust. 3 Prawa bankowego. Organ uwzględnił zatem rzeczywisty okres przetwarzania danych Skarżącej bez podstawy prawnej w celu oceny zdolności kredytowej i analizy ryzyka kredytowego uznając, że trwał on po wycofaniu przez nią zgody, o której stanowi art. 105a ust. 2 Prawa bankowego - od dnia [...] stycznia 2019 r. do momentu przeniesienia ich do części statystycznej - do [...] marca 2019 r. W ocenie Sądu, zastosowanie upomnienia w realiach niniejszej sprawy uznać należy za prawidłowe i uwzględniające kryteria wskazane w motywie 148 RODO Należy podzielić stanowisko organu, iż upomnienie jest środkiem, który poza wskazaniem podmiotowi na nieprawidłowość w procesie przetwarzania danych osobowych, której się dopuścił ma także charakter prewencyjny, a więc udzielenie upomnienia za nieprawidłowości w procesie przetwarzania danych osobowych, który zaistniał w czasie obowiązywania przepisów RODO, pozwała na to, aby Bank zweryfikował swoje procesy przetwarzania w taki sposób, aby wykluczyć podobne naruszenia w przyszłości. Powyższe jest o tyle istotne dla samego Banku, że może uchronić go w przyszłości przed stosowaniem przez organ innych uprawnień naprawczych, m.in. administracyjnej kary pieniężnej. Uregulowane w art. 58 ust. 2 uprawnienia znajdują zatem zastosowanie, gdy stan naruszenia obecnie nie istnieje. Ponadto, upomnienie nie jest jedynym środkiem naprawczym o charakterze prewencyjnym - podobny charakter ma ostrzeżenie, o którym mowa w art. 58 ust, 2 lit. a. Oceniając zatem rozdaj naruszenia, czas jego trwania oraz reakcję Banku, należy uznać, iż Organ nie przekroczył swoich uprawnień a zastosowany środek jest adekwatny. Konsekwencją powyższych stwierdzeń jest to, że również pozostałe zarzuty, podniesione przez skarżący Bank, dotyczące błędnie i jedynie częściowo ustalonego stanu faktycznego oraz niewyczerpującego uzasadnienia zapadłego rozstrzygnięcia w sprawie, są niezasadne. W ocenie Sądu organ prawidłowo ustalił stan faktyczny w sprawie, dopuszczając jako dowód wszelkie oświadczenia i dowody przedstawione przez skarżący Bank, ocenił je i wydał rozstrzygnięcie odpowiadające prawu. Uzasadnienie zaś zaskarżonej decyzji wskazuje zarówno podstawę prawną, jak i faktyczną podjętego rozstrzygnięcia. Dlatego też skarga jako niezasadna podlega oddaleniu. Mając powyższe na uwadze, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (tekst jedn.: Dz. U. z 2016 r. poz. 718 z późn. zm.), orzekł jak w sentencji