II SA/Wa 421/25

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Agnieszka Wilczewska-Rzepecka, Sędzia WSA Izabela Głowacka-Klimas (spr.), Sędzia WSA Joanna Kube, Protokolant specjalista Joanna Głowala po rozpoznaniu na rozprawie w dniu 21 listopada 2025 r. sprawy ze skargi Banku [...] S.A. z siedzibą w [...] na punkt pierwszy i drugi decyzji Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] stycznia 2025 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę Decyzją z dnia [...] stycznia 2025 r. znak [...] Prezes Urzędu Ochrony Danych Osobowych (dalej PUODO) działając na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2024 r. poz. 572), w zw. z art. 7 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (t. j. Dz. U. z 2019 r. poz. 1781), oraz na podstawie art. 6 ust. 1 i art. 58 ust. 2 lit. b, na podstawie art. 12 ust. 1, art. 21 ust. 2 i 3 i art. 58 ust. 2 lit. b oraz na podstawie art. 6 ust. 1 lit. f i art. 58 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35, dalej: "RODO") po przeprowadzeniu postępowania administracyjnego w sprawie skargi Pana T. B. (Uczestnik), zam. w [...] , przy ul. [...], na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Bank [...] S.A., z siedzibą w [...], przy ul. [...], polegające na przetwarzaniu jego danych osobowych w ramach profilowania bez podstawy prawnej w zakresie transakcji w bankowości elektronicznej oraz posiadanego rachunku w innym banku, Prezes Urzędu Ochrony Danych Osobowych : udzielił upomnienia Bankowi [...] S.A., z siedzibą w [...], przy ul. [...], za naruszenie art. 6 ust. 1 w zw. z art. 21 ust. 2 i 3 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35), polegające na profilowaniu danych osobowych Pana T. B., zam. w [...] , przy ul. [...], na potrzeby marketingu bezpośredniego w okresie od dnia [...] września 2021 r. do [...] października 2021 r. bez podstawy prawnej, pomimo wniesionego sprzeciwu; udzielił upomnienia Bankowi [...] S.A., z siedzibą w [...], przy ul. [...], za naruszenie art. 12 ust. 1 w zw. z art. 21 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35) poprzez udzielenie w dniu [...] października 2021 r. Panu T. B., zam. w [...] , przy ul. [...], nieprawidłowych informacji o odnotowaniu wycofania jego zgody na profilowanie w celach marketingowych; w pozostałym zakresie odmówił uwzględnienia wniosku. Do wydania przedmiotowej decyzji doszło w następującym stanie faktycznym i prawnym: W dniu [...] listopada 2021r. T. B. (dalej: "Uczestnik") wniósł do Prezesa Urzędu Ochrony Danych Osobowych (dalej: "PUODO") skargę na naruszenie przepisów o ochronie danych osobowych przez Bank [...] S.A. z siedzibą w [...] (dalej: "Bank"). W tym samym piśmie, Uczestnik wniósł o nałożenie przez PUODO na Bank kary pieniężnej na podstawie art. 101 ustawy o ochronie danych osobowych (Dz.U. z 2019 poz. 1781) w zw. z art. 83 ust. 5 pkt a) RODO w związku z naruszeniem przepisów dotyczących podstawowych zasad przetwarzania danych osobowych, w tym warunków zgody. W uzasadnieniu skargi, T. B. wskazał, że z Bankiem łączy go umowa o prowadzenie rachunku bankowego dla osoby fizycznej. W związku z tym podczas wykonywania przez Uczestnika transakcji za pośrednictwem elektronicznego systemu bankowego, dane dotyczące ich wykonywania były przez Bank przetwarzane bez jego zgody. W dniu [...] września 2021r. na numer telefonu podany do potwierdzenia transakcji w ramach bankowości elektronicznej, Bank wysłał do Uczestnika wiadomość o możliwości połączenia jego drugiego konta w innym banku z aplikacją Banku [...] . Skarżący niezwłocznie zgłosił ten fakt naruszenia danych osobowych i tajemnicy bankowej poprzez formularz zamieszczony na stronie Banku. W odpowiedzi na zgłoszenie, Bank poinformował Uczestnika, że podczas wykonywania przelewu na konto prowadzone w innym banku wyraził on zgodę na profilowanie czyli indywidualizowanie ofert, dlatego Bank zaproponował Uczestnikowi dodanie konta z innego banku do aplikacji Banku [...] i skorzystanie z usługi otwartej bankowości. Uczestnik podnosił, że nigdy nie wyrażał zgody o której wspomniał Bank w przesłanej do niego wiadomości. Mimo próśb Uczestnika o podanie przez Bank daty i formy w jakiej ta zgoda została wyrażona, Bank pozostawił prośbę Uczestnika bez odpowiedzi. Oświadczył natomiast, że wycofał zgodę Uczestnika i uznał to za złożenie sprzeciwu. Bank wskazał, że uzyskał dane Uczestnika w następującym zakresie: a) dane identyfikacyjne: imię, nazwisko, nr PESEL, data i miejsce urodzenia; seria i numer dokumentu tożsamości, obywatelstwo, b) dane kontaktowe: nr telefonu, adres e-mail, adres zamieszkania, adres korespondencyjny; c) dane dotyczące zatrudnienia: forma zatrudnienia; d) dane finansowe miesięczne koszty utrzymania i zobowiązania; e) dane socjo-demograficzne: stan cywilny, informacja o wspólności majątkowej, imię ojca, imię matki, nazwisko panieńskie matki, f) dane pozyskane z BIK S.A., g) dane transakcyjne (szczegóły dotyczące realizowanych transakcji). Ponadto Bank wskazał, że Uczestnik w dalszym ciągu pozostaje klientem Banku i posiada aktywne produkty natomiast umowy limitu w koncie osobistym zostały rozwiązane. Bank obecnie przetwarza dane Uczestnika w następującym zakresie: a) dane identyfikacyjne: imię, nazwisko, nr PESEL, data i miejsce urodzenia; seria i numer dokumentu tożsamości, obywatelstwo; b) dane kontaktowe: nr telefonu, adres email, adres zamieszkania, adres korespondencyjny; c) dane dotyczące zatrudnienia: forma zatrudnienia; d) dane finansowe: miesięczne koszty utrzymania i zobowiązania e) dane socjo-demograficzne: stan cywilny, informacja o wspólności majątkowej, imię ojca, imię matki, nazwisko panieńskie matki; f) dane pozyskane z BIK S.A. g) dane transakcyjne (szczegóły dotyczące realizowanych transakcji). Bank wskazał, że aktualnie przetwarza dane osobowe Uczestnika w następujących celach w oparciu o następujące postawy: a) analizy ryzyka kredytowego na podstawie art. 6 ust. 1 lit. c RODO zgodnie z art. 105a ust. 1—1c ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz. U. z 2023 r. poz. 2488), zwanej dalej Prawem bankowym w zw. z art. 180 ust. 2 lit. e Rozporządzenia Parlamentu Europejskiego i rady nr 575/2013 z dnia 26 czerwca 2013 r. w sprawie wymogów ostrożnościowych dla instytucji kredytowych i firm inwestycyjnych, zmieniające rozporządzenie (UE) nr 648/2012 (Dz. Urz. UE L 2013 Nr 176, str. 1) - Bank wskazał, że Bank ma obowiązek przetwarzać dane Uczestnika w tym celu przez okres 5 lat; b) statystycznych (w związku z zamkniętymi produktami) na podstawie art. 6 ust. 1 lit. c RODO zgodnie z art. 105a ust. 4 i ust. 5 Prawa bankowego - Bank wskazał, że do okresu ww. przetwarzania mają zastosowanie terminy retencji wskazane w tych przepisach tj. 12 lat zgodnie z treścią art. 105a ust. 5 Prawa bankowego; c) informacyjnych, na podstawie art. 6 ust. 1 lit c RODO zgodnie z art. 70a Prawo Bankowe - Bank wskazał, że zgodnie z dyspozycją przepisu art. 70a Prawa bankowego możliwe zwrócenie się do Banku z wnioskiem o wyjaśnienie podjętej decyzji, Bank realizuje takie wnioski przez cały okres, przez który przetwarza dane dla innych celów; d) realizacji obowiązków Banku związanych z identyfikacją i weryfikacją tożsamości klientów Banku w celu przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu oraz zapobieganiu przestępstwom, na podstawie art. 6 ust. 1 lit. c RODO zgodnie z art. 34 ust. 1 pkt 1, art. 35 ust. 1 pkt 1 i ust. 2 art. 36 ust. 1 w zw. z art. 49 ustawy z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (Dz. U. z 2023 r. poz. 1124), zwanej dalej ustawą AML - Bank wskazał, że dane przetwarzane ww. celu będą przez okres 5 lat licząc od dnia zakończenia stosunków gospodarczych z klientem lub od dnia przeprowadzenia transakcji okazjonalnej zgodnie z art. 49 ustawy AML; e) realizacji obowiązków Banku wynikających z przepisów księgowych i podatkowych na podstawie na podstawie art. 6 ust. 1 lit. c RODO zgodnie z art. art. 74 ustawy z dnia 29 września 1994 r. o rachunkowości (Dz. U. z 2023 r. poz. 120) oraz art. 70 § 1 w zw. z art. 86 § 1 ustawy z dnia 29 sierpnia 1997 r. Ordynacja podatkowa (Dz. U. z 2023 r. poz. 2382) - Bank wskazał, że ww. dane przetwarzane będą przez okres określony w ww. przepisach tj. w zakresie przetwarzania danych osobowych dla celów dokumentacji podatkowej przez okres 5 lat licząc od końca roku kalendarzowego, w którym upłynął termin płatności podatku, zaś w zakresie przetwarzania danych osobowych dla celów dokumentacji księgowej przez okres 5 lat licząc od końca roku kalendarzowego, w którym operacje, transakcje i postępowanie zostały ostatecznie zakończone, spłacone, rozliczone lub przedawnione; f) archiwalnych i dowodowych, w szczególności w celu ustalenia, dochodzenia i obrony roszczeń zgodnie z terminami przedawnienia roszczeń określonymi w art. 118 k.c., w związku z art. 5 ustawy z dnia 13 kwietnia 2018 r. oraz w związku z realizacją reklamacji na podstawie art. 6 ust. 1 lit. f RODO - Bank wskazał, że do okresu retencji ma zastosowanie okres przedawnienia roszczeń; g) w celach marketingowych, w zakresie promowania produktów i usług własnych na podstawie na podstawie art. 6 ust. 1 lit f RODO - Bank wskazał, że przetwarzał dane osobowe w ww. celu do czasu zgłoszenia sprzeciwu; h) w celach marketingowych; w zakresie promowania produktów i usług podmiotów współpracujących z Bankiem, na podstawie art. 6 ust. 1 lit. a RODO; do czasu odwołania zgody. Nadto, Bank wskazał również, że przetwarza dane transakcyjne, w tym dotyczące przelewów wykonywanych z wykorzystaniem kanałów bankowości elektronicznej w związku z realizacją Umowy rachunków bankowych oraz karty debetowej z dnia [...] września 2016 r., w ramach której Uczestnik otrzymał także dostęp do kanałów bankowości elektronicznej, na podstawie art. 6 ust. 1 lit. b RODO, do czasu zakończenia ww. umowy. Dane związane z dokonywanymi transakcjami służą także wykonywaniu obowiązków przeciwdziałania praniu pieniędzy i finansowaniu terroryzmu oraz zapobieganiu przestępstwom, na podstawie art. 6 ust. 1 lit. c RODO zgodnie z art. 34 ust. 1 pkt 4 w zw. z art. 49 ustawy AML do czasu wskazanego w ww. przepisach tj. przez okres 5 lat licząc od dnia zakończenia stosunków gospodarczych z klientem lub od dnia przeprowadzenia transakcji okazjonalnej. Kolejną podstawą do przetwarzania takich danych są przepisy Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2015/847 z dnia 20 maja 2015 r. w sprawie informacji towarzyszących transferom środków pieniężnych i uchylenia rozporządzenia (WE) nr 1781/2006 (Dz.U UE L z 2015 r. 141 str. 1), w szczególności na podstawie art. 4 i 5 ww. rozporządzenia oraz właściwe dla danej transakcji przepisy ustawy o usługach płatniczych z dnia 19 sierpnia 2011 r. (Dz. U. z 2022 r. poz. 2360). Bank wskazał, że dane transakcyjne klientów Banku są monitorowane także dla potrzeb bezpieczeństwa na podstawie art. 6 ust. 1 lit. f RODO oraz na podstawie art. 106d Prawa bankowego, w zależności od przypadku czy zaistnienia uzasadnionych podejrzeń co do popełnienia przestępstwa przy użyciu bankowości elektronicznej. Ponadto dane dotyczące Uczestnik do czasu zgłoszenia sprzeciwu były także wykorzystywane do w celu dostosowywania ofert marketingowych, w oparciu o profilowanie. Bank podkreślił, że powyższe odbywało się w ograniczony zakresie np. do celów marketingowych nie są wykorzystywane przez Bank np. opisy transakcji. Przeprowadzanie procesu profilowania w oparciu o dane osobowe Uczestnika odbywało się na podstawie art. 6 ust. 1 lit. f RODO w celu dostosowywania ofert marketingowych. Bank wskazał, że zaprzestał profilowania danych osobowych Uczestnika w celu dostosowywania ofert marketingowych w wyniku wniesienia przez niego w dniu [...] września 2021 r. sprzeciwu wobec przeprowadzania operacji profilowania w celu dostosowywania ofert marketingowych (zarejestrowanego przez Bank pod numerem [...]) w dniu [...] października 2021 r., a następnie poinformował Uczestnika o realizacji tego żądania w dniu [...] października 2021 r., tj. w terminie określonym w art. 12 ust. 3 RODO. Jednocześnie Bank wskazał, że potraktował sprzeciw Uczestnika wniesiony przez niego w dniu [...] września 2021 r. jako sprzeciw wobec operacji profilowania w celu dostosowywania ofert marketingowych dokonywanego na podstawie art. 6 ust. 1 lit. f. RODO, o którym mowa w art. 21 ust. 2 RODO. W uzasadnieniu wskazanej na wstępie decyzji PUODO wskazał, że RODO określa obowiązki administratora danych, do których należy przetwarzanie danych osobowych z zachowaniem przesłanek określonych w tym rozporządzeniu. Przepisem uprawniającym administratorów danych do przetwarzania danych osób fizycznych jest art. 6 ust. 1 RODO, zgodnie z którym, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy spełniona jest jedna z przesłanek wskazanych w tym przepisie. Katalog przesłanek wymienionych w art. 6 ust. 1 RODO jest zamknięty. Każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny. Oznacza to, że przesłanki te co do zasady są równoprawne, a wobec tego spełnienie co najmniej jednej z nich stanowi o zgodnym z prawem przetwarzaniu danych osobowych. W konsekwencji zgoda osoby, której dane dotyczą nie jest jedyną podstawą przetwarzania danych osobowych, bowiem proces przetwarzania danych będzie zgodny z RODO również wówczas, gdy administrator danych wykaże spełnienie innej z wyżej wymienionych przesłanek. Niezależnie od zgody osoby, której dane dotyczą (art. 6 ust. 1 lit. a RODO) gdy jest to niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem (art. 6 ust. 1 lit. f RODO). Z kolei zgodnie z motywem 47 RODO podstawą prawną przetwarzania mogą być prawnie uzasadnione interesy administratora, w tym administratora, któremu mogą zostać ujawnione dane osobowe, lub strony trzeciej, o ile w świetle rozsądnych oczekiwań osób, których dane dotyczą, opartych na ich powiązaniach z administratorem nadrzędne nie są interesy lub podstawowe prawa i wolności osoby, której dane dotyczą. Jak wskazano w treści ww. motywu za działanie wykonywane w prawnie uzasadnionym interesie można uznać przetwarzanie danych osobowych do celów marketingu bezpośredniego. Należy wskazać, że zgodnie z art. 4 pkt 4 RODO ( w decyzji błędnie wskazano art. 2 pkt 4 RODO) profilowanie oznacza dowolną formę zautomatyzowanego przetwarzania danych osobowych, które polega na wykorzystaniu danych osobowych do oceny niektórych czynników osobowych osoby fizycznej, w szczególności do analizy lub prognozy aspektów dotyczących efektów pracy tej osoby fizycznej, jej sytuacji ekonomicznej, zdrowia, osobistych preferencji, zainteresowań, wiarygodności, zachowania, lokalizacji lub przemieszczania się. Z kolei jak wyjaśniono w motywie 72 RODO profilowanie podlega przepisom RODO dotyczącym przetwarzania danych osobowych, takim jak przepisy określające podstawy prawne przetwarzania lub zasady ochrony danych. Należy również wskazać, że zgodnie z art. 22 ust. 1 RODO osoba, której dane dotyczą, ma prawo do tego, by nie podlegać decyzji, która opiera się wyłącznie na zautomatyzowanym przetwarzaniu, w tym profilowaniu, i wywołuje wobec tej osoby skutki prawne lub w podobny sposób istotnie na nią wpływa. Ust. 1 nie ma zastosowania, jeżeli ta decyzja: a) jest niezbędna do zawarcia lub wykonania umowy między osobą, której dane dotyczą, a administratorem; b) jest dozwolona prawem Unii lub prawem państwa członkowskiego, któremu podlega administrator i które przewiduje właściwe środki ochrony praw, wolności i prawnie uzasadnionych interesów osoby, której dane dotyczą; lub c) opiera się na wyraźnej zgodzie osoby, której dane dotyczą. Jak stanowi art. 21 ust. 2 RODO jeżeli dane osobowe są przetwarzane na potrzeby marketingu bezpośredniego, osoba, której dane dotyczą, ma prawo w dowolnym momencie wnieść sprzeciw wobec przetwarzania dotyczących jej danych osobowych na potrzeby takiego marketingu, w tym profilowania, w zakresie, w jakim przetwarzanie jest związane z takim marketingiem bezpośrednim. Z kolei zgodnie z ust. 3 ww. przepisu jeżeli osoba, której dane dotyczą, wniesie sprzeciw wobec przetwarzania do celów marketingu bezpośredniego, danych osobowych nie wolno już przetwarzać do takich celów. W niniejszej sprawie pomiędzy Bankiem a Uczestnikiem była zawarta umowa rachunków bankowych oraz karty debetowej z dnia [...] września 2016 r., w ramach której Uczestnik otrzymał także dostęp do kanałów bankowości elektronicznej. W wyniku korzystania przez Uczestnika z usług Banku, Bank pozyskiwał i przetwarzał dane osobowe Uczestnika w zakresie danych dotyczących przeprowadzanych przez niego transakcji. Część ww. danych Uczestnika, Bank przetwarzał w celach marketingowych. Bank wskazał, że do profilowania objętego treścią skargi Uczestnika, wykorzystywane były przez Bank dane identyfikacyjne (tj. imię, nazwisko) oraz transakcyjne (tj. fakt dokonania przelewu, numer rachunku na jaki wykonano przelew). Bank wskazał, że proces profilowania objęty skargą nie wypełniał znamion zautomatyzowanego przetwarzania, o którym mowa w art. 22 ust. 1 RODO, a także w procesie profilowania nie były wykorzystywane dane osobowe, o których mowa w art. 9 ust. 1 RODO. Skarżone profilowanie danych osobowych Uczestnika w zakresie jego danych transakcyjnych z uwagi, że odbywało się w celach marketingowych przez Bank miało oparcie w art. 6 ust. 1 lit. f RODO do czasu wniesienia przez Uczestnika sprzeciwu wobec takiego przetwarzania. Od momentu wniesienia sprzeciwu profilowanie związane z przetwarzaniem danych osobowych Uczestnika na potrzeby marketingu bezpośredniego, stało się niedopuszczalne. Bank wskazał jednakże, że zaprzestał profilowania danych Uczestnika w celach marketingowych dopiero w dniu w dniu 11 października 2021 r., a zatem wskazane profilowanie w celach marketingowych odbywało się w okresie od dnia [...] września 2021 r. do dnia [...] października 2021 r. , bez podstawy prawnej. Bank był również obowiązany do udzielenia odpowiedzi na sprzeciw Uczestnika z dnia [...] września 2021 r., co też uczynił w dniu [...] września 2021 r., tym samym Bank zachował termin wskazany w art. 12 ust. 3 RODO to jednak w wyniku błędu pracownika Skarżący otrzymał nieprawidłową informację, z której wynikało, że Bank odnotował wycofanie zgody na profilowanie przez skarżącego, tymczasem Skarżący nigdy takiej zgody nie udzielał. Bank przy udzieleniu odpowiedzi na sprzeciw Uczestnika naruszył zatem art. 12 ust. 1 RODO, tj. zasadę przejrzystej komunikacji, gdyż przekazane przez Bank informacje były nieprawidłowe. Bank dokonał sprostowania tych informacji dopiero w wiadomości z dnia [...] listopada 2021 r. Tym samym korzystając z środka naprawczego przewidzianego w art. 58 ust. 1 lit. b RODO Prezes Urzędu Ochrony Danych Osobowych udzielił upomnienia Bankowi za naruszenie art. 12 ust. 1 RODO poprzez udzielenie Uczestnikowi nieprawidłowych informacji o podstawie profilowania jego danych osobowych w celach marketingowych w dniu [...] października 2021 r. w odpowiedzi na sprzeciw Uczestnika wobec takiego przetwarzania. Postępowanie administracyjne prowadzone przez Prezesa Urzędu Ochrony Danych Osobowych służy kontroli zgodności przetwarzania danych z przepisami o ochronie danych osobowych i w każdym przypadku służy zbadaniu zasadności skierowania pod adresem określonego podmiotu nakazu, odpowiadającego dyspozycji art. 58 ust. 2 RODO służącego przywróceniu stanu zgodnego z prawem, w procesie przetwarzania danych. W ocenie Prezesa Urzędu Ochrony Danych Osobowych kwestionowane w skardze profilowanie danych osobowych Uczestnika przez Bank na potrzeby marketingu bezpośredniego miało oparcie w przesłance z art. 6 ust. 1 lit. f RODO do czasu wniesienia sprzeciwu przez Uczestnika na podstawie art. 21 ust. 2 RODO w dniu [...] września 2021 r. Po wniesieniu sprzeciwu przez Uczestnika proces ten odbywał się bez podstawy prawnej do dnia [...] października 2021 r. Za powyższe nieprawidłowości Prezes Urzędu Ochrony Danych Osobowych na podstawie art. 58 ust. 2 lit b RODO udzielił Bankowi upomnienia. Przy tym, Bank w odpowiedzi skierowanej do Uczestnika na jego sprzeciw w dniu [...] października 2021 r. udzielił mu błędnych informacji, a tym samym naruszył zasadę przejrzystej komunikacji wyrażoną w art. 12 ust. 1 RODO, za co Prezes Urzędu Ochrony Danych Osobowych korzystając ze swojego uprawnienia naprawczego przewidzianego w art. 58 ust. 2 lit. b RODO udzielił Bankowi upomnienia. W dniu [...] lutego 2025r. Bank [...] (dalej: "Skarżący") złożył do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na decyzję Prezesa PUODO z dnia [...] stycznia 2025r. w zakresie pkt. 1 i 2. Zaskarżonej decyzji zarzucił: a. w zakresie pkt 1 Decyzji naruszenie przepisów prawa procesowego, tj. art. 7, art. 77, art. 80 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. 2024 r. poz. 572 ze zm.) (dalej jako k.p.a.) poprzez stwierdzenie, że Spółka przetwarzała dane osobowe Klienta bez podstawy prawnej w celach marketingowych w okresie od [...] września 2021 r. do [...] października 2021 r., podczas gdy Spółka nie dokonywała żadnych operacji na danych osobowych Klienta w celach marketingowych, a organ nie przeprowadził żadnego dowodu w sprawie, który wskazywałby na to, że Spółka faktycznie przetwarzała dane osobowe w celach marketingowych we wskazywanym okresie. Organ błędnie dokonał ustaleń w tym zakresie, stwierdzając okoliczność faktyczną, która nie wynika ze zgromadzonego materiału dowodowego, zatem trzeba uznać, że ustalenia faktyczne w ww. sprawie są niepełne i brak jest wszechstronnego zebrania oraz rozpatrzenia materiału dowodowego w sprawie, co skutkowało nałożeniem na Spółkę upomnienia za przetwarzanie danych osobowych Klienta polegającego na przetwarzaniu jego danych osobowych w celach marketingowych w okresie od [...] września do [...] października 2021 r., podczas gdy w przypadku prawidłowych ustaleń faktycznych w sprawie organ powinien stwierdzić brak istnienia tego procesu przetwarzania i odmówić uwzględnienia skargi Klienta w tym zakresie lub umorzyć postępowanie w tej części, z uwagi na jego bezprzedmiotowość - a zatem powyższe naruszenie organu miało istotny wpływ na wynik sprawy b. w zakresie pkt 2 Decyzji naruszenie art. 12 ust. 1 w zw. z art. 21 ust. 2 RODO poprzez ich niewłaściwe zastosowanie przez Prezesa UODO polegające na błędnym przyjęciu, że Bank naruszył zasadę przejrzystej komunikacji udzielając Klientowi w dniu [...] października 2021 r. odpowiedzi na żądanie z dnia [...] września 2021 r., podczas gdy Klient otrzymał informację wskazującą na zaprzestanie przetwarzania przez Bank jego danych osobowych na potrzeby marketingu bezpośredniego zgodnie z żądaniem, a zatem skutkującą realizacją jego żądania, co oznacza, że Bank nie naruszył zasad przejrzystego komunikowania się z podmiotem danych, a tym samym nie naruszył art. 12 ust. 1 w zw. z art. 21 ust. 2 RODO, co miało wpływ na wynik sprawy; c. w zakresie pkt 2 Decyzji naruszenie art. 58 ust. 2 lit. b RODO poprzez zastosowanie środka sankcyjnego w postaci upomnienia w stosunku do Spółki, podczas gdy rzekome uchybienie stwierdzane przez Organ w pkt 2 Decyzji jest działaniem nieproporcjonalnie nadmiarowym w stosunku do ww. uchybienia. Wniósł o: 1. uchylenie zaskarżonej decyzji w zakresie pkt 1 i 2 oraz przekazanie sprawy do ponownego rozpoznania w tym zakresie, 2. zasądzenie na rzecz Spółki od Prezesa PUODO zwrotu kosztów postępowania według norm przepisanych, w tym kosztów zastępstwa procesowego, 3. rozpoznanie sprawy na rozprawie. Skarżący w uzasadnieniu skargi szeroko oraz szczegółowo omówił wskazane w petitum skargi zarzuty. PUODO w odpowiedzi na skargę wniósł o jej oddalenie. W dniu [...] kwietnia 2025r. T. B. wniósł do tut. Sądu pismo zatytułowane "oświadczenie uczestnika na prawach strony", w którym odniósł się do zarzutów jakie Skarżący przedstawił w skardze, jednocześnie podzielając argumentację Prezesa PUODO zawartą w odpowiedzi na skargę. Wojewódzki Sąd Administracyjny zważył co następuje: Zgodnie z art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (t.j. Dz. U. z 2022 r., poz. 2492), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej, przy czym kontrola ta sprawowana jest pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej. W świetle powołanych przepisów, Wojewódzki Sąd Administracyjny w Warszawie, w zakresie swojej właściwości, ocenia zaskarżoną decyzję administracyjną, postanowienie, czy też inny akt lub czynność z zakresu administracji publicznej dotyczącą uprawnień lub obowiązków wynikających z przepisów prawa, z punktu widzenia ich zgodności z prawem materialnym i przepisami postępowania administracyjnego, według stanu faktycznego i prawnego obowiązującego w dacie wydania tego aktu lub podjęcia spornej czynności. Chodzi więc o kontrolę aktów lub czynności z zakresu administracji publicznej dokonywaną wyłącznie pod względem ich zgodności z prawem materialnym i przepisami procesowymi, nie zaś według kryteriów słuszności, czy też zgodności z zasadami współżycia społecznego. Sprawa rozpoznana została w trybie uproszczonym. Zgodnie z art. 119 pkt 2 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi Dz. U. z 2023 r., poz. 1634 ze zm.), zwanej dalej p.p.s.a., sprawa może być rozpoznana w trybie uproszczonym, jeżeli strona zgłosi wniosek o skierowanie sprawy do rozpoznania w trybie uproszczonym, a żadna z pozostałych stron w terminie czternastu dni od zawiadomienia o złożeniu wniosku nie zażąda przeprowadzenia rozprawy. Stosownie do treści art. 134 § 1 p.p.s.a., sąd rozstrzyga w granicach danej sprawy nie będąc związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną. Sąd nie może wydać orzeczenia na niekorzyść skarżącego, chyba że stwierdzi naruszenie prawa skutkujące stwierdzeniem nieważności zaskarżonego aktu lub czynności (§ 2). Skarga oceniana w świetle powyższych kryteriów nie podlegała uwzględnieniu. W sprawie tej Sąd dokonując oceny legalności zaskarżonej decyzji Prezesa UODO, zobowiązany był – co do zasady – zbadać jej zgodność przede wszystkim z przepisami prawa europejskiego, w tym w szczególności z regulacjami RODO. W ocenie Sądu, analizowana pod tym kątem skarga nie zasługuje na uwzględnienie, albowiem zaskarżona decyzja Prezesa UODO z dnia [...] stycznia 2025 r. – nie narusza obowiązujących przepisów prawa. Sąd uznał, że Prezes UODO, wydając zaskarżoną decyzję nie dopuścił się naruszenia zarówno wiążących Polskę przepisów prawa europejskiego, jak i regulacji prawa krajowego, w tym k.p.a., w stopniu mającym istotny wpływ na końcowy wynik sprawy zakończonej wydaniem zaskarżonej decyzji. Prezes Urzędu Ochrony Danych Osobowych jest organem właściwym w sprawie ochrony danych osobowych (art. 34 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych) i jednocześnie organem nadzorczym, w rozumieniu RODO (art. 34 ust. 2 u.o.d.o.). Jak stanowi art. 57 ust. 1 lit. a i lit. f RODO, bez uszczerbku dla innych zadań określonych na mocy niniejszego rozporządzenia, każdy organ nadzorczy na swoim terytorium monitoruje i egzekwuje stosowanie niniejszego rozporządzenia, a także rozpatruje skargi wniesione przez osobę, której dane dotyczą. W wyniku przeprowadzonej analizy stanowiska Prezesa UODO przedstawionego w uzasadnieniu zaskarżonej decyzji, Sąd stwierdził, że - wbrew zarzutom skargi – organ ochrony danych osobowych, wydając zaskarżoną decyzję, nie dopuścił się - mogącego mieć wpływ na wynik sprawy - naruszenia przepisów procedury administracyjnej, a w szczególności art. 7 k.p.a., art. 75 k.p.a., art. 77 § 1 k.p.a., których naruszenie skarżący zarzuca, ale także innych przepisów procedury administracyjnej, w tym. art. 80 k.p.a., czy art. 107 § 3 k.p.a., albowiem organ wyjaśnił wszystkie okoliczności istotne dla prawidłowego i pełnego rozstrzygnięcia niniejszej sprawy, w granicach prowadzonego postępowania, wyznaczonych skargą uczestniczki niniejszego postępowania. Prezes UODO dokonał także zdaniem Sądu właściwej oceny zebranego w sprawie materiału dowodowego, dokonując tej oceny w kontekście prawidłowo zastosowanych przepisów RODO. W działaniach Prezesa Urzędu Ochrony Danych Osobowych, jako organu administracji publicznej, w tej sprawie Sąd nie stwierdził jakichkolwiek istotnych nieprawidłowości, zarówno w zakresie dokonanych ustaleń stanu faktycznego, jak i zastosowania do jego oceny przepisów prawa materialnego. Uzasadnienie zaskarżonej decyzji odpowiada wymogom art. 107 § 3 k.p.a., Prezes UODO wyjaśnił klarownie motywy podjętego rozstrzygnięcia i powody, jakie legły u jego podstaw. Argumentacja organu jest w tym zakresie wyczerpująca i wyjaśnia dlaczego zapadło takie a nie inne rozstrzygnięcie. Istota problemu w niniejszej sprawie sprowadza się do udzielenia odpowiedzi na pytanie, czy Bank po złożeniu sprzeciwu przez uczestnika postepowania mógł przetwarzać dalej przez blisko miesiąc dane osobowe skarżącego oraz czy Bank dopuścił się naruszenie art. 12 ust. 1 w zw. z art. 21 ust. 2 RODO poprzez udzielenie skarżącemu nieprawidłowej informacji. Odpowiedź na obydwa pytania jest zdaniem Sądu twierdząca. Udzielając odpowiedzi na pytanie pierwsze należy w pierwszej kolejności wyjaśnić pojęcie profilowanie danych. Należy zauważyć, że zgodnie z art.4 pkt4 RODO "profilowanie" oznacza dowolną formę zautomatyzowanego przetwarzania danych osobowych, które polega na wykorzystaniu danych osobowych do oceny niektórych czynników osobowych osoby fizycznej, w szczególności do analizy lub prognozy aspektów dotyczących efektów pracy tej osoby fizycznej, jej sytuacji ekonomicznej, zdrowia, osobistych preferencji, zainteresowań, wiarygodności, zachowania, lokalizacji lub przemieszczania się. Motyw 72 RODO wskazuje, że profilowanie podlega przepisom niniejszego rozporządzenia dotyczącym przetwarzania danych osobowych, takim jak przepisy określające podstawy prawne przetwarzania lub zasady ochrony danych. Warunki uznania przetwarzania danych osobowych za legalne określono z kolei w art. 6 ust. 1 RODO. Jako podstawę przetwarzania danych Uczestnika Bank wskazał art. 6 ust. 1 f) RODO przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Bank wskazał, że do profilowania objętego skargą uczestnika wykorzystywane były dane identyfikacyjne - imię i nazwisko oraz transakcje tj. fakt dokonania przelewu , nr rachunku na który wykonano przelew, profilowanie objęte skargą nie wypełniało znamion automatycznego przetwarzania, o którym mowa w art. 22 ust.1 RODO, a także w procesie profilowania nie były wykorzystywane dane, o których mowa w art. 9 RODO. W ocenie Sądu, stanowisko organu nadzorczego, że opisane wyżej przetwarzanie danych osobowych uczestnika znajdowało podstawę w art. 6 ust. 1 lit. f RODO, jest prawidłowe, gdyż w tym wypadku mamy do czynienia z profilowaniem na potrzeby marketingu bezpośredniego. Jednak zgodnie z art.21 ust. 2 RODO osoba, której dane dotyczą, ma prawo w dowolnym momencie wnieść sprzeciw - z przyczyn związanych z jej szczególną sytuacją - wobec przetwarzania dotyczących jej danych osobowych opartego na art. 6 ust. 1 lit. e) lub f), w tym profilowania na podstawie tych przepisów. Z chwilą wniesienia sprzeciwu Administratorowi nie wolno już przetwarzać danych osobowych art.21 ust. 3 RODO, chyba że wykaże on istnienie ważnych prawnie uzasadnionych podstaw do przetwarzania, nadrzędnych wobec interesów, praw i wolności osoby, której dane dotyczą, lub podstaw do ustalenia, dochodzenia lub obrony roszczeń. Jak wynika ze zgromadzonego w sprawie materiału dowodowego Uczestnik w dniu [...] września 2021 r. złożył sprzeciw wobec przeprowadzania operacji profilowania w celu dostosowania ofert marketingowych. Tak więc dzień [...] września 2021 r. do chwili wpływu sprzeciwu było ostatnim dniem ,w którym Bank mógł dokonywać operacji profilowania danych uczestnika w celu dostosowania ofert marketingowych. Tymczasem z wyjaśnień Banku znajdujących się w piśmie z dnia [...] grudnia 2022 r. wynika, że Bank zaprzestał profilowania danych osobowych Uczestnika w celu dostosowania ofert marketingowych w dniu [...] października 2021 r. ,a wiec blisko miesiąc po wniesieniu sprzeciwu. Biorąc powyższe pod rozwagę należy uznać, że w niniejszej sprawie w powyższym zakresie organ był uprawniony do zastosowania wobec Banku środka naprawczego w postaci upomnienia. Jak wskazał organ Bank przetwarzał dane osobowe Uczestnika w ramach profilowania bez podstawy prawnej w zakresie transakcji w bankowości elektronicznej oraz posiadanego rachunku w innym banku w celu dostosowania oferty marketingowej w okresie od [...] września 2021r. do [...] października 2021 r. Podkreślenia wymaga również fakt, że to sam Bank wskazał końcową datę zaprzestania przetwarzania, a więc nie istniała konieczność dalszego poszukiwania przez organ dowodów na potwierdzenie tego faktu. Odnosząc się do drugiego pytania postawionego na wstępie uzasadnienia tj. czy Bank dopuścił się naruszenie art. 12 ust. 1 w zw. z art. 21 ust. 2 RODO poprzez udzielenie skarżącemu nieprawidłowej informacji należy wskazać, że art.12 ust.1 RODO dotyczy przejrzystej informacji i przejrzystego komunikowania. "Przepis ten wprowadza skierowaną do administratorów dyrektywę postępowania, zgodnie z którą wszelka komunikacja prowadzona z podmiotem danych musi się odbywać w zwięzłej, przejrzystej, zrozumiałej oraz łatwo dostępnej formie, jasnym i prostym językiem. Podobny wymóg dotyczy informacji przekazywanych osobie, której dane dotyczą, w związku z pozyskiwaniem dotyczących jej danych. Uczynienie mu zadość wymaga od administratora nowego spojrzenia na jakość relacji z podmiotem danych, w tym uwzględnienia możliwości poznawczych osób, których dane gromadzi, które z założenia będą się różnić na przykład w przypadku odbiorców dorosłych i dzieci." Wskazać również należy, że niedopuszczalne w świetle zasady przejrzystego informowania i przejrzystej komunikacji jest formułowanie informacji skierowanych do osób, których dane dotyczą, językiem hermetycznym, pełnym skomplikowanych zwrotów technicznych odnoszących się do przetwarzania danych w systemach informatycznych czy próba "ukrycia" przed klientem informacji objętych tzw. klauzulą informacyjną poprzez zastosowanie odpowiedniego układu tekstu na stronie internetowej. Podobnie ocenia się umieszczenie linku do polityki prywatności w taki sposób, by był on dla użytkowników jak najmniej zauważalny (np. przez zastosowanie zbyt małej czcionki czy szczególny dobór koloru. Podkreślić wymaga także, że jednym z najistotniejszych gwarantów praw informacyjnych podmiotów danych jest tzw. obowiązek informacyjny, którego istotę stanowi zobowiązanie administratora do przekazywania każdej osobie, której dane dotyczą, określonych informacji w związku z pozyskiwaniem jej danych osobowych. Jak wyżej wskazano w sytuacji gdy Uczestnika postępowania na podstawie art.21 ust.2 RODO wniósł sprzeciw od przetwarzania jego danych, organ ma obowiązek zaprzestania przetwarzania danych. Zgodnie z art.12 ust.3 RODO Administrator bez zbędnej zwłoki (nie dłużej niż miesiąc ) udziela osobie, której dane dotyczą informacji o działaniach podjętych w związku z żądaniem. Informacja skierowana przez Bank do Uczestnika postępowania, po złożeniu przez niego sprzeciwu była jednak błędna, gdyż Bank w dniu [...] października 2021 r. poinformował Uczestnika postępowania o wycofaniu przez niego zgody na przetwarzanie danych osobowych, co nie jest równoważne ze złożeniem sprzeciwu wobec przetwarzania danych osobowych. Uczestnik postępowania w korespondencji z dnia [...] października 2021 r. wskazał, że nigdy nie wyrażał zgody na profilowanie. Dopiero w wiadomości Banku z dnia [...] listopada 2021 r. skierowanej do Uczestnika postępowania prawidłowo wskazano, że dane Uczestnika były profilowane przez Bank na podstawie art. 6 ust.1 lit. f RODO. Tak więc w ocenie Sądu doszło w niniejszej sprawie do naruszenia art.12 ust.1 RODO tj. zasady przejrzystej komunikacji, gdyż przekazana przez Bank informacja była nieprawdziwa. Również wybór środków naprawczych zastosowanych wobec Banku w niniejszej sprawie jest w ocenie Sądu prawidłowy ,gdyż zgodnie z art. 58 ust.2 służy przywróceniu stanu zgodnego z prawem w procesie przetwarzania danych osobowych. Biorąc powyższe pod rozwagę działając na podstawie art. 151 p.p.s.a. Sąd oddalił skargę na punkt 1 i 2 decyzji z dnia [...] stycznia 2025 r..