II SA/Wa 685/25

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Danuta Kania, Sędzia WSA Joanna Kruszewska-Grońska (spr.), Asesor WSA Dorota Kozub-Marciniak, Protokolant specjalista Maryla Wiśniewska po rozpoznaniu na rozprawie w dniu 20 listopada 2025 r. sprawy ze skargi [...] Sp. z o.o. z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] lutego 2025 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę Zaskarżoną w niniejszej sprawie decyzją z [...] lutego 2025 r. nr [...] Prezes Urzędu Ochrony Danych (dalej: "PUODO", "organ"), mając za podstawę art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (obecnie tekst jednolity: Dz. U. z 2025 r., poz. 1691; dalej: "k.p.a.") w związku z art. 7 ust. 1 i ust. 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781), a także art. 6 ust. 1, art. 28 ust. 3 oraz art. 58 ust. 2 lit. b rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych - Dz. Urz. UE L 119 z 2016 r., str. 1 ze sprost.; dalej: "RODO"), po przeprowadzeniu postępowania administracyjnego zainicjowanego skargą D. D. (dalej: "uczestnik postępowania", "klient") na nieprawidłowości w procesie przetwarzania jego danych osobowych przez [...] Sp. z o.o. z siedzibą w [...] (dalej: "skarżąca", "spółka [...]"), a polegające na przetwarzaniu danych osobowych uczestnika postępowania bez podstawy prawnej i udostępnieniu ich [...] Sp. z o.o. z siedzibą w [...] (dalej: "spółka [...]"), w pkt 1 nakazał skarżącej zaprzestanie przetwarzania danych osobowych uczestnika postępowania, wynikających z umowy pożyczki z [...] grudnia 2017 r., przetwarzanych bez podstawy prawnej, a w pkt 2 udzielił skarżącej upomnienia za naruszenie art. 6 ust. 1 RODO, polegające na przetwarzaniu danych osobowych uczestnika postępowania w bazach spółki [...], bez podstawy prawnej, w okresie od [...] maja 2018 r. do [...] października 2021 r. W uzasadnieniu ww. rozstrzygnięcia organ podał, że w skierowanej do niego skardze klient zgłosił, iż [...] stycznia 2020 r. został poinformowany przez spółkę [...] o udostępnianiu przez skarżącą do prowadzonego przez spółkę [...] rejestru informacji gospodarczych danych osobowych uczestnika postępowania w sytuacji, gdy spółka [...] nie ma do tego żadnych podstaw, gdyż klient nie jest dłużnikiem skarżącej ani nie łączą go z nią żadne relacje gospodarcze. Kwestionując udostępnienie danych spółce [...], uczestnik postępowania zażądał nakazania usunięcia jego danych osobowych. W toku postępowania, wszczętego wzmiankowaną skargą, skarżąca wyjaśniła, że jest instytucją pożyczkową - udziela kredytów konsumenckich na mocy ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim (obecnie tekst jednolity: Dz. U. z 2025 r., poz. 1362; dalej: "u.k.k."), m.in. udziela pożyczek za pośrednictwem portalu internetowego [...]. Uczestnik postępowania przekazał spółce [...] swoje dane [...] grudnia 2017 r. o godz. 19:10:06, składając po raz pierwszy wniosek o udzielenie pożyczki na tym portalu. W dniu [...] grudnia 2017 r. o godz. 09:33:11 ponowił wniosek o pożyczkę i po jego rozpatrzeniu w ww. dacie zawarto z uczestnikiem postępowania umowę pożyczki. W związku z powyższym skarżąca pozyskała następujące dane klienta: imię i nazwisko, dane adresowe, dane kontaktowe (tj. nr telefonu, e-mail), nr PESEL, wiek, seria i nr dowodu tożsamości, miesięczna kwota i tytuł dochodu, nr rachunku bankowego, kraj urodzenia, obywatelstwo oraz forma zatrudnienia. Ponadto spółka [...] pozyskała dane z baz danych, do których zwróciła się z zapytaniem, w oparciu o udzielone przez klienta zgody, w tym upoważnienia w rozumieniu przepisów ustawy z dnia 9 kwietnia 2010 r. o udostępnieniu informacji gospodarczych i wymianie danych gospodarczych (obecnie tekst jednolity: Dz. U. z 2025 r., poz. 85 ze zm.; dalej: "u.i.g."). Wzmiankowana pożyczka została spłacona 15 stycznia 2018 r. Dalej skarżąca wskazała, iż [...] grudnia 2017 r. przekazała do spółki [...] dane osobowe uczestnika postępowania na podstawie umowy powierzenia z [...] lutego 2017 r., łączącej ww. spółki, przy czym imię i nazwisko, nr PESEL, seria i nr dowodu osobistego, e-mail, nr telefonu, adres zamieszkania i zameldowania, nr konta bankowego, nr IP, z którego klient korzysta, kwota i okres wniosku, okres i ID wniosku zostały przekazane spółce [...] przez skarżącą na podstawie zgody udzielonej przez uczestnika postępowania w trakcie rejestracji (upoważnienie w rozumieniu przepisów u.i.g.). Klient udzielił bowiem zgód o następującej treści: ( "W celu dokonania przez Pożyczkodawcę - [...] Sp. z o.o. oceny mojej zdolności kredytowej wyrażam zgodę na udostępnienie przez Pożyczkobiorcę - mojego numeru PESEL innym kredytodawcom - Uczestnikom Platformy Wymiany Informacji Pożyczkowej i na udostępnienie przez nich Pożyczkodawcy informacji o historii moich pożyczek oraz zestawienie tych informacji przez Pożyczkodawcę- [...] Sp. z o.o."; ( "W celu dokonania przez Pożyczkodawcę - [...] Sp. z o.o. oceny mojej zdolności kredytowej wyrażam zgodę na przetwarzanie, w analizach statystyczności przez 3 lata moich danych osobowych zebranych w procesie wnioskowania o pożyczkę, a także na ich udostępnienie przez Pożyczkodawcę innym kredytodawcom - Uczestnikom Platformy Wymiany Informacji Pożyczkowej i na dokonanie przez nich analizy statystycznych oraz udostępnienie i zestawienie ich wyników Pożyczkodawcy"; ( "W celu dokonania przez Pożyczkodawcę - [...] Sp. z o.o. oceny mojej zdolności kredytowej wyrażam zgodę na przetwarzanie przez Pożyczkodawcę - [...] Sp. z o.o. moich danych osobowych określonych w umowie o kredyt konsumencki zawartej z Pożyczkodawcą oraz informacji dotyczących wykonywania zobowiązań z tej umowy, nie dłużej jednak niż przez okres 3 lat, odpowiednio po wykonaniu zobowiązań wobec Pożyczkodawcy wynikających z zawartej umowy o kredyt konsumencki, zbyciu przez Pożyczkodawcę wierzytelności wynikających z umowy o kredyt konsumencki lub rozwiązaniu umowy o kredyt konsumencki". Jak przyznała skarżąca, bez odznaczenia tych zgód, klient nie zostałby przepuszczony przez system do następnego etapu pożyczkobrania. Dodała, że uczestnik postępowania nigdy nie zwrócił się do niej bezpośrednio o usunięcie danych czy wycofanie zgód. Natomiast [...] grudnia 2020 r. spółka [...] została poinformowana o żądaniu usunięcia danych klienta z zasobów spółki [...] przez [...] Sp. z o.o., która świadczy na rzecz skarżącej usługi w zakresie obsługi posprzedażowej pożyczek. Dalej spółka [...] wyjaśniła, iż mail z [...] grudnia 2020 r. z żądaniem usunięcia danych uczestnika postępowania, mimo że "wyszedł" z serwera pocztowego, to nie dotarł do spółki [...], prawdopodobnie na skutek błędu technicznego. Wobec braku dalszych żądań ze strony klienta, skarżąca - do dnia wszczęcia postępowania przez PUODO - uważała, iż żądanie to zostało zrealizowane. Po powzięciu informacji o możliwości zaistnienia ewentualnych nieprawidłowości w zakresie realizacji żądań uczestnika postępowania, spółka [...] podjęła działania mające na celu zapobieżenia powstaniu takich sytuacji w przyszłości, m.in. poprzez ponowne ustalenie wytycznych w zakresie poprawnej realizacji żądań klientów na gruncie RODO. Realizacja przedmiotowego żądania została potwierdzona przez spółkę [...] [...] października 2021 r. Aktualnie skarżąca przetwarza dane osobowe klienta w związku z koniecznością wypełnienia ciążących na niej obowiązków prawnych wynikających z art. 74 ust. 1 i ust. 2 ustawy z dnia 29 września 1994 r. o rachunkowości (Dz. U. z 2023 r., poz. 120 ze zm.; dalej: "u.r."), art. 86 § 1 ustawy z dnia 29 sierpnia 1997 r. Ordynacja podatkowa (obecnie tekst jednolity: Dz. U. z 2025 r., poz. 111 ze zm.; dalej: "O.p."), art. 9 ust. 1, ust. 2 i ust. 4, art. 10-14, art. 29 oraz art. 45 u.k.k. w związku z art. 118 ustawy z dnia 1964 r. Kodeks cywilny (obecnie tekst jednolity: 2025 r., poz. 1071 ze zm.; dalej: "k.c."), art. 3 ust. 1, art. 5 ust. 1 i ust. 2, art. 9, art. 24 ust. 1-3, art. 25 ust. 1 i ust. 2, art. 26, art. 27, art. 29, art. 30 i art. 31 ustawy z dnia 5 sierpnia 2015 r. o rozpatrywaniu reklamacji przez podmioty rynku finansowego, o Rzeczniku Finansowym i o Funduszu Edukacji Finansowej (obecnie tekst jednolity: Dz. U. z 2024 r., poz. 1109 ze zm.; dalej: "u.r.r.") w związku z art. 189g § 1 i § 2 k.p.a., art. 49 ust. 1 i ust. 2 ustawy z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (obecnie tekst jednolity: Dz. U. z 2025 r., poz. 644; dalej: "AML"), jak również w oparciu o art. 6 ust. 1 lit. f RODO. Zakres przetwarzanych przez skarżącą danych osobowych klienta obejmuje: imię i nazwisko, dane adresowe, dane kontaktowe, nr PESEL, wiek, serię i nr dowodu tożsamości, nr rachunku bankowego, miesięczną kwotę i tytuł dochodu, kraj urodzenia, obywatelstwo, formę zatrudnienia (dane pracodawcy), dane z baz danych potrzebne do oceny zdolności kredytowej, a także adres IP. Dane te będą przetwarzane przez spółkę [...] do czasu wygaśnięcia wzajemnych roszczeń oraz upływu okresów przedawnienia wynikających z treści art. 189g § 1 i § 2 k.p.a. w związku z art. 118 k.c. wobec konieczności rozliczenia się z ustawowych obowiązków przed właściwymi organami. Jednocześnie skarżąca oświadczyła, iż uczestnik postępowania nie wystąpił do niej z reklamacją bądź z konkretnymi roszczeniami, jak też ona nie formułowała żadnych roszczeń względem klienta i obecnie nie zamierza ich zgłaszać. Z kolei spółka [...] wskazała, że w odpowiedzi na pismo uczestnika postępowania z [...] lutego 2023 r. o ponowne wyjaśnienie, kto jej przekazuje dane osobowe klienta, poinformowała go (pismem z [...] lutego 2023 r.), iż jako podmiot przetwarzający przetwarza dane powierzone przez administratorów, w tym przez spółkę [...]. Ponadto spółka [...] oświadczyła, że w październiku 2021 r., zgodnie z wnioskiem administratora (tj. skarżącej), usunęła wszelkie dane osobowe uczestnika postępowania ze swoich baz i zbiorów przetwarzanych na zlecenie spółki [...]. Spółka [...] opisała też incydent zaistniały [...] lutego 2022 r. w trakcie przygotowywania odpowiedzi do organu, a mianowicie pracownik sprawdzający dane systemowe omyłkowo "wymusił" w systemie wysłanie "ręcznego" zapytania do procesora o sprawdzenie klienta w bazach. Przedmiotowe zapytanie miało charakter nieautoryzowany, było pojedynczym odpytaniem w systemie, nie skutkowało wygenerowaniem raportu oraz pozostało bez rozpoznania z uwagi na błąd walidacji po stronie procesora. Zawarte w ww. zapytaniu dane osobowe nie były widoczne dla innych uczestników Platformy Wymiany Informacji Pożyczkowej lub partnerów spółki [...]. Jednak pracownik ww. spółki nie poinformował przełożonych o ręcznym omyłkowym odpytaniu, dlatego spółka [...] do [...] lutego 2023 r. (kiedy to PUODO skierował do niej pismo), nie posiadała wiedzy na temat ponownego przekazania danych do procesora. W dniu [...] marca 2023 r. otrzymała potwierdzenie usunięcia na jej wniosek (z tej samej daty) danych klienta z jej zasobów. Dalej spółka [...] podkreśliła, iż skarżąca nie udostępniła jej danych osobowych uczestnika postępowania. W rezultacie spółka [...] nie jest i nie była administratorem danych klienta przekazanych jej przez spółkę [...]. Natomiast [...] lutego 2022 r. skarżąca powierzyła jej do przetwarzania dane osobowe uczestnika postępowania na mocy dwóch zawartych przez spółki [...] i [...] umów: umowy świadczenia usług "CSP" Raporty CCC oraz Umowy Powierzenia Przetwarzania Danych Osobowych Platforma Wymiany Informacji Pożyczkowej. Obie ww. umowy to umowy powierzenia przetwarzania danych osobowych w rozumieniu art. 28 RODO, a spółka [...] wykonuje je jako podmiot przetwarzający, o którym mowa w art. 4 pkt 8 RODO. W ten sposób spółka [...] pozyskała następujące dane osobowe: imię, nazwisko, płeć, data urodzenia, ulica, nr domu, nr mieszkania, kod pocztowy, miasto, kraj, PESEL, nr dowodu, nr telefonu, nr konta bankowego, e-mail. Jak już wzmiankowano, dane te zostały usunięte z baz spółki [...] [...] marca 2023 r., o czym w tym samym dniu poinformowano skarżącą. Aktualnie spółka [...] nie przetwarza danych osobowych uczestnika postępowania, powierzonych jej do przetwarzania przez spółkę [...]. Organ zaznaczył, że w niniejszej sprawie dokonał jedynie oceny legalności przetwarzania danych osobowych klienta, lecz nie badał kwestii istnienia lub nieistnienia umowy łączącej go ze skarżącą, gdyż zagadnienie to pozostaje poza kompetencjami PUODO jako sprawa cywilna podlegająca kognicji sądu powszechnego. Tym niemniej organ odnotował, iż spółka [...] przetwarzała dane osobowe uczestnika postępowania w związku z umową pożyczki zawartą z nim na odległość. W myśl art. 29 ust. 1 u.k.k., umowa o kredyt konsumencki powinna być zawarta w formie pisemnej, chyba że odrębne przepisy przewidują inną szczególną formę. Wprawdzie w u.k.k. preferowana jest forma pisemna, to nie jest wykluczone zawarcie jej w inny sposób, w tym na odległość. Stosownie do treści art. 5 pkt 13 u.k.k., umowa o kredyt konsumencki zawierana na odległość to umowa o kredyt konsumencki zawierana z konsumentem bez jednoczesnej obecności obu stron, przy wykorzystaniu środków porozumiewania się na odległość, przewidziana w ustawie z dnia 2 marca 2000 r. o ochronie niektórych praw konsumentów oraz o odpowiedzialności za szkodę wyrządzoną przez produkt niebezpieczny (Dz. U. z 2012 r., poz. 1225). Ustawa ta utraciła moc z dniem 25 grudnia 2014 r. na podstawie art. 52 pkt 1 ustawy z dnia 30 maja 2014 r. o prawach konsumenta (Dz. U. 2024 r., poz. 1796 ze zm.; dalej: "u.p.k."), która weszła w życie 25 grudnia 2014 r. Aktualnie w rozumieniu u.k.k. umowa o kredyt konsumencki zawierana na odległość to taka umowa o kredyt konsumencki, która spełnia warunki z art. 2 pkt 1 u.p.k., czyli umowa, którą kredytodawca zawiera z konsumentem w ramach zorganizowanego systemu zawierania umów na odległość, bez jednoczesnej fizycznej obecności stron, z wyłącznym wykorzystaniem jednego lub większej liczby środków porozumiewania się na odległość do chwili zawarcia umowy włącznie. Na dowód zawarcia umowy o kredyt z uczestnikiem postępowania, skarżąca przedłożyła wydruki z logów systemowych z serwisu pożyczkowego. Tym samym PUODO nie może podważyć skuteczności ww. umowy. Dalej organ stwierdził, że spółka [...] jako instytucja pożyczkowa w rozumieniu u.k.k. jest instytucją obowiązaną w rozumieniu przepisów AML. Zgodnie z art. 49 ust. 1 AML, na skarżącej ciąży wymóg przechowywania przez okres 5 lat, licząc od pierwszego dnia roku następującego po roku, w którym zakończono stosunki gospodarcze z klientem lub w którym przeprowadzono transakcje okazjonalne: 1) uzyskane w wyniku stosowania środków bezpieczeństwa finansowego kopie dokumentów i informacje, w tym informacje uzyskane za pomocą środków identyfikacji elektronicznej oraz usług zaufania umożliwiających identyfikację elektroniczną w rozumieniu rozporządzenia 910/2014; 2) dowody potwierdzające przeprowadzone transakcje i ewidencje transakcji, obejmujące oryginalne dokumenty lub kopie dokumentów konieczne do identyfikacji transakcji. Według art. 35 ust. 1 pkt 1 AML, instytucje obowiązane stosują środki bezpieczeństwa finansowego w przypadku nawiązywania stosunków gospodarczych. W przypadku gdy instytucja obowiązana nie może zastosować jednego ze środków bezpieczeństwa finansowego, o których mowa w art. 34 ust. 1, nie nawiązuje stosunków gospodarczych lub rozwiązuje stosunki gospodarcze (art. 41 ust. 1 pkt 1 i pkt 4 AML). Przy czym, jak wskazuje ustawowa definicja stosunków gospodarczych, należy rozumieć przez nie stosunki instytucji obowiązanej z klientem, związane z działalnością zawodową instytucji obowiązanej, które w chwili ich nawiązywania wykazują cechę trwałości (art. 2 ust. 2 pkt 20 AML). W kontekście ww. przepisów PUODO przypomniał, iż umowa łącząca skarżącą i uczestnika postępowania została zawarta [...] grudnia 2017 r., a zamknięta [...] stycznia 2018 r. Tak więc skarżąca była obowiązana do przetwarzania danych osobowych klienta wynikających z zawartej umowy w oparciu o art. 74 ust. 2 pkt 4 u.r., art. 86 § 1 O.p. oraz art. 49 ust. 1 i ust. 2 AML. Pierwszy z ww. przepisów stanowi, że dowody księgowe dotyczące środków trwałych w budowie, pożyczek, kredytów oraz umów handlowych, roszczeń dochodzonych w postępowaniu cywilnym lub objętych postępowaniem karnym albo podatkowym, przechowuje się przez 5 lat od początku roku następującego po roku obrotowym, w którym operacje, transakcje i postępowanie zostały ostatecznie zakończone, spłacone, rozliczone lub przedawnione. Natomiast art. 86 § 1 O.p. przewiduje, iż podatnicy obowiązani do prowadzenia ksiąg podatkowych przechowują księgi i związane z ich prowadzeniem dokumenty do czasu upływu okresu przedawnienia zobowiązania podatkowego, chyba że ustawy podatkowe stanowią inaczej. Jednakże - jak skonkludował organ - na chwilę obecną upłynęły terminy obowiązkowego przechowywania dokumentów określone w ww. przepisach. Odnosząc się do pozostałych celów, wymienionych przez spółkę [...] w aspekcie rozpatrywania skarg i roszczeń związanych z korzystaniem z jej usług, dochodzenia ewentualnych roszczeń, obsługi reklamacji i realizacji uprawnień konsumenckich, w oparciu o art. 9 ust. 1, ust. 2 i ust. 4, art. 10-14, art. 29 i art. 45 u.k.k. w związku z art. 118 k.c., art. 3 ust. 1, art. 5 ust. 1 i ust. 2, art. 9, art. 24 ust. 1-3, art. 25 ust. 1 i ust. 2, art. 26, art. 27, art. 29, art. 30 i art. 31 u.r.r. w związku z art. 189g § 1 i § 2 k.p.a., PUODO uznał, iż skarżąca nie wykazała, aby ww. przepisy mogły aktualnie stanowić podstawę przetwarzania danych osobowych klienta. Powołane przepisy u.k.k. dotyczą m.in. badania oceny zdolności kredytowej i zawierania umów, zaś umowa z uczestnikiem postępowania została rozliczona. Również spółka [...] nie wykazała, aby aktualnie toczyły postępowania reklamacyjne z udziałem klienta, co uzasadniałoby przetwarzanie jego danych na mocy przepisów u.r.r. Wreszcie skarżąca nie podała, w kontekście art. 189g § 1 i § 2 k.p.a., przez jaki okres będzie przetwarzać dane uczestnika postępowania, stwierdzając tylko, że dane te będą przetwarzane do czasu wygaśnięcia wzajemnych roszczeń oraz upływu okresów przedawnienia wynikających z treści ww. przepisów k.p.a. Organ nie dopatrzył się też zaistnienia przesłanki niezbędności do celów wynikających z prawnie usprawiedliwionych interesów realizowanych przez administratora, bowiem materiał dowodowy nie wskazuje, by klient wystąpił z roszczeniem względem spółki [...]. Przesłanka wynikająca z art. 6 ust. 1 lit. f RODO dotyczy sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów, realizowanych przez administratora, jest konieczność udowodnienia, potrzeba dochodzenia lub obrony przed roszczeniem istniejącym, a nie sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem. Skoro uczestnik postępowania nie wystąpił wobec skarżącej z jakimkolwiek roszczeniem ani też ona nie zamierzała kierować roszczeń względem klienta, to - w ocenie PUODO - doszło do przetwarza danych osobowych uczestnika postępowania przez spółkę [...] wyłącznie "na zapas", aby zabezpieczyć się przed ewentualnymi przyszłymi i niepewnymi roszczeniami klienta. Organ zwrócił także uwagę, iż brak jest podstaw do przyjęcia terminów przedawnienia roszczeń wynikających ze stosunków zobowiązaniowych jako ram czasowych, w których mogą być przetwarzane dane osobowe. Przedawnienie roszczenia nie wywołuje skutków na gruncie ochrony danych osobowych, gdyż nie wpływa na istnienie roszczenia, lecz powoduje zmianę w sferze zarzutów procesowych w postaci możliwości podniesienia okoliczności przedawnienia w sporze sądowym. Okolicznością usprawiedliwiającą przetwarzanie danych osobowych w celu dochodzenia roszczeń jest sam fakt istnienia roszczenia oraz zamiar jego dochodzenia, nie jest nią natomiast zmiana w uprawnieniach procesowych podmiotu pozwanego. Powyższe stanowisko PUODO zostało potwierdzone przez Naczelny Sąd Administracyjny w wyroku z 8 stycznia 2025 r., sygn. akt III OSK 4868/21 (orzeczenia sądów administracyjnych są dostępne w internetowej bazie orzeczeń na stronie: orzeczenia.nsa.gov.pl). W kwestii udostępnienia danych osobowych klienta przez skarżącą na rzecz spółki [...], organ podniósł, że w chwili rejestracji i złożenia pierwszego wniosku o pożyczkę w dniu [...] grudnia 2017 r. uczestnik postępowania wyraził zgodę na udostępnienie jego danych osobowych w ramach "Platformy Wymiany Informacji Pożyczkowej" prowadzonej przez spółkę [...]. Administrator może powierzyć innemu podmiotowi dane osobowe do przetwarzania ich w jego imieniu ("podmiot przetwarzający"). Jednakże, aby podmiot przetwarzający był uprawniony do przetwarzania danych osobowych w imieniu administratora, to w myśl art. 28 ust. 3 RODO powierzenie musi się odbyć na podstawie umowy lub innego instrumentu prawnego, które podlegają prawu Unii lub prawu państwa członkowskiego i wiążą podmiot przetwarzający i administratora, określają przedmiot i czas trwania przetwarzania, charakter i cel przetwarzania, rodzaj danych osobowych oraz kategorie osób, których dane dotyczą, obowiązki i prawa administratora. Zgoda uczestnika postępowania obejmowała weryfikację oceny zdolności kredytowej oraz możliwości weryfikacji prawidłowości wykonania tej oceny, windykacji i dochodzenia roszczeń, jak również udostępnienie przez klienta jego danych innym kredytodawcom - Uczestnikom Platformy Wymiany Informacji Pożyczkowej i udostępnienie przez nich skarżącej informacji o historii jego pożyczek oraz zestawienie tych informacji przez spółkę [...]. Zdaniem PUODO, zgoda pożyczkobiorcy na udostępnienie jego danych osobowych innym podmiotom nie jest w każdym wypadku wystarczającą podstawą udostępnienia przez instytucję pożyczkową danych osobowych innemu podmiotowi. Zgody uczestnika postępowania na przetwarzanie jego danych osobowych przez spółkę [...] nie mogły zostać wyrażone skutecznie. Powołując się na przepisy normujące przetwarzanie danych osobowych stanowiących tajemnicę bankową, organ wskazał, iż spółka [...] nie należy do katalogu podmiotów wymienionych w art. 105 ust. 4 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz. U. z 2024 r., poz. 1646 ze zm.; dalej: "P.b."), którym to podmiotom mogą być udostępnione informacje stanowiące tajemnicę bankową. Następnie analizując przepisy u.i.g., PUODO ocenił, iż spółka [...] nie jest podmiotem mogącym pełnić funkcję biura informacji gospodarczej ani też instytucji z art. 105 ust. 4 P.b., której biuro informacji gospodarczej mogłoby powierzyć czynności związane z przedmiotem swojej działalności. Spółka [...] działa w formie prawnej spółki z ograniczoną odpowiedzialnością, podczas gdy - stosownie do zapisów u.i.g. - biuro informacji gospodarczej: może być prowadzone wyłącznie w formie spółki akcyjnej, o kapitale zakładowym nie mniejszym niż 4 000 000 złotych (art. 5 ust. 1 u.i.g.); jest obowiązane używać w swojej firmie wyrazów "biuro informacji gospodarczej" (art. 8 ust. 1 u.i.g.). Ponadto zgodnie z art. 11a ust. 1 i ust. 2 u.i.g., biuro informacji gospodarczej jest zobowiązane do zawiadomienia ministra właściwego do spraw gospodarki o podjęciu oraz o zaprzestaniu wykonywania działalności gospodarczej, a także o adresie, na który należy przekazywać informacje gospodarcze, i o jego zmianach, w terminie 7 dni od dnia zaistnienia tych zdarzeń. Z kolei minister właściwy do spraw gospodarki udostępnia oraz aktualizuje w Biuletynie Informacji Publicznej wykaz biur wykonujących działalność gospodarczą oraz ich adresów, na które należy przekazywać informacje gospodarcze. Tymczasem spółka [...] nie została ujęta w wykazie biur informacji gospodarczej opublikowanej w biuletynie informacji publicznej Ministerstwa Rozwoju i Technologii. Wprawdzie spółki: [...] i [...] umownie uregulowały proces przetwarzania danych osobowych w ramach ich współpracy, ale to ustawa normuje gromadzenie informacji gospodarczej oraz tajemnicy bankowej, a nie budzi wątpliwości organu, iż spółka [...] nie spełnia wymogów uprawniających do przetwarzania tego rodzaju danych, tj. danych osobowych zawartych w informacji gospodarczej lub objętej tajemnicą bankową. W konsekwencji niedopuszczalne było zawarcie przez skarżącą umowy ze spółką [...] na podstawie art. 28 ust. 3 RODO. Wobec stwierdzenia na chwilę obecną braku podstaw do przetwarzania danych uczestnika postępowania przez skarżącą - wobec upływu ustawowych terminów przetwarzania danych oraz nieistnienia prawnie uzasadnionych interesów realizowanych przez administratora danych, jak też innych przesłanek legalizujących to przetwarzanie, organ skorzystał z uprawnienia przewidzianego w art. 58 ust. 2 lit. c RODO i nakazał spółce [...] zaprzestanie przetwarzania danych osobowych klienta wynikających z umowy pożyczki z [...] grudnia 2017 r. Według PUODO, skarżąca nie dysponowała podstawami prawnymi do udostępnienia danych osobowych klienta w bazie spółki [...], który to podmiot nie jest uprawniony do przetwarzania danych stanowiących tajemnicę bankową czy udostępnienia informacji gospodarczej. Udostępnienie to trwało od [...] grudnia 2017 r. do [...] października 2021 r., przy czym organ ma możliwość nałożenia upomnienia za przetwarzanie danych niezgodne z przepisami po wejściu w życie RODO, tj. po [...] maja 2018 r., stąd upomnienie nałożono za nieprawidłowe przetwarzanie danych osobowych od [...] maja 2018 r. do [...] października 2021 r. Kolejne pojawienie się danych klienta w bazie spółki [...] nastąpiło w sposób niezależny od skarżącej. Opisaną wyżej decyzję organu spółka [...] (reprezentowana przez radcę prawnego P. C.) uczyniła przedmiotem skargi do Wojewódzkiego Sądu Administracyjnego w Warszawie, zarzucając naruszenie: 1) przepisów postępowania, które miało istotny wpływ na wynik sprawy, tj. a) art. 7 w związku z art. 77 i art. 80 k.p.a., polegające na niewyczerpującym zebraniu i rozpatrzeniu materiału dowodowego i niepodjęciu kroków niezbędnych do dokładnego wyjaśnienia stanu faktycznego i załatwienia sprawy, co skutkowało ustaleniem nieprawidłowości w zakresie przetwarzania danych osobowych uczestnika postępowania przez skarżącą, a tym samym nakazaniem spółce [...] zaprzestania przetwarzania danych osobowych klienta w zakresie wskazanym w punkcie 1 zaskarżonej decyzji, b) art. 7, art. 77 § 1 i art. 80 k.p.a., polegające na niepodjęciu czynności niezbędnych do dokładnego wyjaśnienia stanu faktycznego sprawy oraz niewyczerpującym rozpatrzeniu materiału dowodowego, w szczególności nieprzeprowadzeniu dowodu z dokumentu w postaci Umowy powierzenia przetwarzania danych osobowych - Platforma Wymiany Informacji Pożyczkowej zawartej pomiędzy spółkami: [...] i [...], a także ograniczeniu się do uznania ww. Umowy za niedopuszczalną w świetle obowiązującego prawa, co stanowiło nieprawidłowe niezastosowanie art. 28 ust. 3 RODO, a w konsekwencji doprowadziło organ do stwierdzenia naruszenia art. 6 ust. 1 i art. 28 ust. 3 RODO oraz nałożenia na skarżącą upomnienia, podczas gdy zawarcie ww. Umowy i powierzenie przetwarzania danych osobowych spółce [...] było uprawnione oraz zgodne z przepisami obowiązującego prawa, a zastosowanie art. 28 ust. 3 RODO mogłoby doprowadzić do poznania materiału dającego podstawę do wydania prawidłowego rozstrzygnięcia w sprawie, c) art. 7, art. 77 § 1 i art. 80 k.p.a., polegające nieprawidłowym zebraniu materiału dowodowego niezbędnego do prawidłowego rozstrzygnięcia sprawy, niewyczerpującym rozpatrzeniu zebranego materiału dowodowego oraz na jego dowolnej ocenie, w szczególności poprzez wybiórczą i nieprawidłową interpretację materiału dowodowego zebranego w sprawie, a co za tym idzie naruszenie zasady prawdy obiektywnej, tj. błędne przyjęcie, że: - klient udzielał zgody na przekazanie jego danych osobowych do spółki [...], podczas gdy treść zgody klienta jasno wskazuje, że dotyczy ona przekazania jego danych osobowych Uczestnikom Platformy Wymiany Informacji, a nie spółce [...] jak błędnie ustalił to Organ, zaś spółka [...] przetwarzała dane osobowe uczestnika postępowania wyłącznie na podstawie łączącej go ze skarżącą Umowy powierzenia przetwarzania danych osobowych - Platforma Wymiany Informacji Pożyczkowej jako podmiot przetwarzający w rozumieniu art. 4 pkt 8 RODO, - "zgody Klienta na przetwarzanie jego danych osobowych przez [...] nie mogły zostać wyrażone skutecznie", podczas gdy uczestnik postępowania nie udzielał żadnych zgód na przetwarzanie jego danych osobowych przez spółkę [...] - jego dane osobowe zostały powierzone do przetwarzania spółce [...] na podstawie zawartej ze skarżącą ww. Umowy, - dane klienta były przetwarzane w bazach spółki [...], podczas gdy ze zgromadzonego w sprawie materiału dowodowego wynika, iż spółka [...] przetwarzała dane uczestnika postępowania wyłącznie jako podmiot przetwarzający, tj. w imieniu i na polecenie spółki [...] - w ramach zbioru danych (bazy) skarżącej, zgodnie z treścią § 1 ust. 1 ww. Umowy, d) art. 7, art. 77 § 1 i art. 80 k.p.a., polegające na błędnych ustaleniach w zakresie stanu faktycznego sprawy, tj. przyjęciu, że: - zgody udzielone przez uczestnika postępowania (zwane w uzasadnieniu zaskarżonej decyzji również upoważnieniami z uwagi na błędne założenie przez PUODO, iż w niniejszej sprawie znajdują zastosowanie przepisy u.i.g.), zezwalały skarżącej na zwrócenie się do instytucji, o której mowa w art. 105 ust. 4 P.b., o udostępnienie informacji, w tym stanowiących tajemnicę bankową w związku ze złożeniem przez klienta do spółki [...] wniosku o udzielenie pożyczki, podczas gdy zgody udzielone przez klienta dotyczyły wyłącznie przetwarzania danych w ramach Platformy Wymiany Informacji Pożyczkowej, w której nie uczestniczyła i nie uczestniczy żadna z instytucji, o której mowa w art. 105 ust. 4 P.b., - funkcjonalność ww. platformy obejmuje udostępnianie instytucjom pożyczkowym -zgodnie z art. 105 ust. 4 pkt 4 P.b. - informacji stanowiących tajemnicę bankową, pozyskanych od instytucji wymienionych w tym przepisie, podczas gdy funkcjonalność ww. platformy nie obejmuje udostępniania instytucjom pożyczkowym informacji stanowiących tajemnicę bankową, ani bezpośrednio od instytucji z art. 105 ust. 4 P.b. ani za pośrednictwem spółki [...], e) art. 8 i art. 107 § 3 k.p.a., przez nienależyte uzasadnienie zaskarżonej decyzji z uwagi na referowanie szeregu przepisów, niejednokrotnie niemających zastosowania do stanu faktycznego sprawy, bezrefleksyjne wklejenie do uzasadnienia decyzji treści niedotyczących przedmiotu postępowania (w tym odwołanie do systemu BIK i wskazanie, iż skarżąca jest bankiem), podczas gdy obowiązkiem PUOD jest takie uzasadnienie decyzji ostatecznej, które stanowi logiczną i zwartą całość, tak by możliwe było prześledzenie toku rozumowania organu i motywów rozstrzygnięcia, a także - w razie ewentualnej skargi - nie było wątpliwości, że decyzja została wydana w oparciu o prawidłową analizę zebranego materiału dowodowego, zgodnie z zasadami postępowania, f) art. 189g § 1 i § 2 k.p.a. w związku z art. 118 k.c., poprzez jego niewłaściwą wykładnię i przyjęcie, iż przedmiotowe przepisy nie będą miały zastosowania w niniejszej sprawie, a przetwarzanie danych klienta przez okres tamże wskazany jest pozbawione podstawy prawnej, podczas gdy skarżąca jest uprawniona do przetwarzania danych z uwagi na uzasadniony interes polegający na konieczności obrony przed roszczeniami klientów lub przeciwdziałaniu nałożeniu kar administracyjnych przez uprawnione organy; 2) przepisów prawa materialnego, które miało istotny wpływ na wynik sprawy, tj. a) art. 6 ust. 1 lit. f RODO w związku z art. 117, art. 118 i art. 119 k.c. oraz w związku art. 5. ust. 1 ustawy z dnia 13 kwietnia 2018 r. o zmianie ustawy - Kodeks cywilny oraz niektórych innych ustaw - polegające na błędnej interpretacji przepisów, która doprowadziła do uznania przez PUODO, że przechowywanie danych przez okres przedawnienia roszczeń - również w przypadku, gdy ani administrator ani osoba, której dane dotyczą nie zgłosiła roszczenia - nie stanowi prawnie uzasadnionego interesu administratora w rozumieniu art. 6 ust. 1 lit. f RODO, b) art. 6 ust. 1 lit. c RODO w związku z art. 5 ust. 1, art. 6, art. 9 i art. 32 u.r.r., polegające na jego niewłaściwym zastosowaniu i przyjęciu, iż na administratorze jako podmiocie rynku finansowego nie spoczywają określone obowiązki w zakresie rozpatrywania i udzielania odpowiedzi bez ograniczeń czasowych na reklamacje klientów, co uprawnia skarżącą do przetwarzania danych osobowych ze wskazanej umowy pożyczki na podstawie art. 6 ust. 1 lit. c RODO w celu realizacji tych obowiązków do czasu przedawnienia wszelkich roszczeń, c) art. 6 ust. 1 RODO, poprzez niezasadne przyjęcie, że spółka [...] udostępniła spółce [...] dane osobowe klienta, a zatem powinna legitymować się jedną z podstaw prawnych do przetwarzania danych, wskazanych w art. 6 ust 1 RODO, podczas gdy spółki [...] i [...] nie były odrębnymi administratorami danych uczestnika postępowania, lecz zachodziła pomiędzy nimi relacja powierzenia przetwarzania tych danych na podstawie umowy powierzenia przetwarzania danych, zgodnej z art. 28 ust. 3 RODO, co skutkowało uznaniem przez PUODO, iż skarżąca bez podstawy prawnej udostępniła dane osobowe klienta spółce [...], podczas gdy nastąpiło wzmiankowane powierzenie, d) art. 58 ust. 2 lit. b RODO, poprzez jego nieprawidłowe zastosowanie i upomnienie skarżącej, mimo że nie dopuściła się naruszenia przepisów o ochronie danych osobowych, e) art. 28 ust. 3 RODO w związku z art. 4 i art. 7 u.i.g. poprzez ich błędną wykładnię, a w konsekwencji uznanie, iż zawarcie umowy powierzenia pomiędzy spółkami: [...] i [...] było niedopuszczalne, w szczególności z uwagi na fakt, że spółka [...] nie jest biurem informacji gospodarczej w rozumieniu u.i.g., co skutkowało uznaniem przez organ, iż skarżąca udostępniła spółce [...] dane osobowe klienta bez podstawy prawnej oraz udzieleniem skarżącej upomnienia, podczas gdy zawarcie umowy powierzenia przetwarzanie danych uczestnika postępowania było zgodne z przepisami obowiązującego prawa, f) art. 9 u.k.k., poprzez jego błędną wykładnię wynikającą z oparcia przepisu o nieprawidłowo ustalony stan faktyczny sprawy i przyjęcie, że jedynymi źródłami, z wykorzystaniem których może dochodzić do wymiany danych służących ocenie zdolności kredytowej pomiędzy kredytodawcami, w tym instytucjami pożyczkowymi, mogą być zbiory danych prowadzone dla celów oceny zdolności kredytowej wyłącznie przez instytucje, o których mowa w art. 105 ust. 4 P.b. oraz biura informacji gospodarczej, o których mowa w u.i.g., które to zbiory, w myśl definicji zawartej w art. 5 pkt 15 u.k.k., stanowią bazy danych, o których mowa w art. 9 ust. 2 u.k.k., podczas gdy art. 9 u.k.k. nie określa zamkniętego katalogu tych źródeł, a kredytodawcy mogą wykorzystywać do realizacji tego celu także inne źródła, zarówno wewnętrzne jak i zewnętrzne, g) art. 9 u.k.k. poprzez jego niewłaściwe zastosowanie i przyjęcie, iż stanowi on jedyną podstawę dokonywania oceny zdolności kredytowej przez instytucję pożyczkową w sytuacji, gdy szczegółowe obowiązki oraz zasady dotyczące przeprowadzania oceny zdolności kredytowej przez instytucję pożyczkową są zawarte w art. 9a u.k.k., h) art. 9a ust. 2 u.k.k., poprzez jego niezastosowanie w sprawie, a tym samym przyjęcie, że podmiotami, którymi instytucja pożyczkowa może się posłużyć w procesie oceny zdolności kredytowej, są włącznie instytucje wymienione w art. 105 ust. 4 P.b. oraz biura informacji gospodarczej, podczas gdy zaufanymi dostawcami, o których mowa w art. 9a ust. 2 u.k.k., są "w szczególności" podmioty wskazane wprost w pkt 1 i 2 ust. 2, a zatem przepis stanowi katalog otwarty i takimi podmiotami mogą być też inne podmioty dostarczające instytucjom pożyczkowym danych niezbędnych dla przeprowadzenia oceny zdolności kredytowej, i) art. 9 i art. 59c u.k.k. oraz art. 104, art. 105 i art. 105a P.b., poprzez ich błędną wykładnię i przyjęcie, iż kwestia przetwarzania przez kredytodawców danych służących ocenie zdolności kredytowej jest ściśle uregulowana przepisami u.k.k. oraz P.b. w taki sposób, że wymiana tych danych pomiędzy kredytodawcami oraz ich przetwarzanie może odbywać się jedynie z wykorzystaniem, czy też za pośrednictwem, instytucji z art. 105 ust. 4 P.b. lub biura informacji gospodarczej w rozumieniu u.i.g., j) art. 104 ust. 3 P.b. poprzez jego błędne zastosowanie i przyjęcie, iż znajduje zastosowanie do instytucji pożyczkowych, podczas gdy wyłączne zastosowanie tego przepisu zachodzi w przypadku banków, k) art. 104 ust. 3 P.b. poprzez jego błędne zastosowanie, polegające na przyjęciu, że w przypadku udzielenia przez osobę, której dotyczą informacje objęte tajemnicą bankową, upoważnienia do przekazania określonych informacji, wskazanej przez tę osobę, osobie lub jednostce organizacyjnej, warunkiem takiego przekazania jest spełnienie dodatkowych przesłanek, określonych w art. 105, art. 106a i art. 106b P.b., podczas gdy odesłanie do tych przepisów w art. 104 ust. 3 P.b. oznacza jedynie, iż w przypadku wystąpienia okoliczności wskazanych w tych przepisach, upoważnienie udzielone przez osobę, której dotyczą informacje objęte tajemnicą bankową, nie jest warunkiem ujawnienia tych informacji, l) art. 105a ust. 1 P.b. poprzez jego niewłaściwe zastosowanie i przyjęcie, że art. 104, art. 105 i art. 106-106d P.b. określają dodatkowe przesłanki czy też warunki przetwarzania wskazanych w art. 105a ust. 1 P.b. informacji w celu przeprowadzania oceny zdolności kredytowej lub analizy ryzyka kredytowego przez instytucje pożyczkowe, podczas gdy odesłanie do tych przepisów w art. 105a ust. 1 P.b. oznacza jedynie, iż w przypadkach wskazanych w art. 104, art. 105 i art. 106-106d P.b. przetwarzanie informacji (określonych w art. 105a ust. 1 P.b.) może być wykonywane w innych celach niż ocena zdolności kredytowej i analiza ryzyka kredytowego, m) art. 1 ust. 1 w związku z art. 4 i art. 7 ust. 1 u.i.g. poprzez jego błędne zastosowanie i przyjęcie, że przetwarzanie informacji opiera się na postanowieniach tej ustawy oraz znajduje zastosowanie w niniejszym stanie faktycznym, a tym samym działanie skarżącej, polegające na powierzeniu informacji spółce [...], było nieuprawnione, podczas gdy ww. regulacje nie znajdą zastosowania w niniejszej sprawie, zaś podstawą przetwarzania przez spółkę [...] jest umowa powierzenia przetwarzania danych osobowych, o której mowa w art. 28 ust. 3 RODO. W świetle tak sformułowanych zarzutów skarżąca wniosła o uchylenie zaskarżonej decyzji w całości, zwrot kosztów postępowania, w tym kosztów zastępstwa procesowego, według norm prawem przepisanych, a także rozpoznanie sprawy na rozprawie. W odpowiedzi na skargę PUODO wniósł o oddalenie skargi, podtrzymując stanowisko wyrażone w uzasadnieniu zaskarżonej decyzji. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Zgodnie z art. 1 § 1 i § 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (Dz. U. z 2024 r., poz. 1267) oraz art. 3 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2024 r., poz. 935 ze zm.; dalej: "p.p.s.a."), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej. Kontrola ta polega na ocenie zgodności zaskarżonego aktu z przepisami postępowania administracyjnego, a także prawidłowości zastosowania i wykładni norm prawa materialnego. Wedle art. 134 § 1 p.p.s.a. sąd rozstrzyga w granicach danej sprawy, nie będąc związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną, z zastrzeżeniem art. 57a. Sąd nie może wydać orzeczenia na niekorzyść skarżącego, chyba że stwierdzi naruszenie prawa skutkujące stwierdzeniem nieważności zaskarżonego aktu lub czynności (§ 2). Skarga oceniana w świetle powyższych kryteriów nie zasługuje na uwzględnienie, bowiem decyzja PUODO z [...] lutego 2025 r. nie narusza prawa. Sąd nie stwierdził, aby organ, wydając zaskarżoną decyzję, dopuścił się naruszenia przepisów prawa materialnego w stopniu mającym wpływ na wynik sprawy (art. 145 § 1 pkt 1 lit. a p.p.s.a.) bądź przepisów postępowania administracyjnego w stopniu mogącym mieć istotny wpływ na wynik sprawy (art. 145 § 1 pkt 1 lit. c p.p.s.a.). Zasady przetwarzania danych osobowych określa art. 5 ust. 1 RODO, wskazując m.in., iż dane osobowe muszą być przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą ("zgodność z prawem, rzetelność i przejrzystość") - vide art. 5 ust. 1 lit. a RODO. Przepis art. 5 ust. 2 RODO stanowi, że administrator jest odpowiedzialny za przestrzeganie zasad wymienionych w ust. 1 i musi być w stanie wykazać ich przestrzeganie (rozliczalność). Natomiast art. 6 ust. 1 RODO wymienia niezależne (samoistne) i równoważne przesłanki legalizujące proces przetwarzania danych osobowych. Stosownie do treści ww. przepisu, przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy - i w takim zakresie, w jakim - spełniony jest co najmniej jeden z poniższych warunków: a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów; b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy; c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze; d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej; e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi; f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Akapit pierwszy lit. f nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań. Na gruncie niniejszej sprawy nie budzi wątpliwości, iż skarżąca - jako instytucja pożyczkowa - przetwarzała dane osobowe uczestnika postępowania w celu dokonania oceny zdolności kredytowej, co skutkowało zawarciem z nim umowy kredytowej. Zgodnie z art. 104 ust. 1 P.b., bank, osoby w nim zatrudnione oraz osoby, za których pośrednictwem bank wykonuje czynności bankowe (a do tych czynności zalicza się udzielanie kredytów i pożyczek), są obowiązane zachować tajemnicę bankową, która obejmuje wszystkie informacje dotyczące czynności bankowej, uzyskane w czasie negocjacji, w trakcie zawierania i realizacji umowy, na podstawie której bank tę czynność wykonuje. Zakres przedmiotowy tajemnicy bankowej jest bardzo szeroki, ponieważ obejmuje wszystkie informacje dotyczące czynności bankowej uzyskane nie tylko podczas zawierania i realizacji umowy, ale i w trakcie negocjacji. Również zakres podmiotowy tajemnicy bankowej został szeroko ukształtowany, o czym świadczy m.in. art. 59c ust. 1 u.k.k. Przepis ten wskazuje, że instytucja pożyczkowa i zagraniczna instytucja pożyczkowa oraz osoby w nich zatrudnione, w tym na podstawie umowy o dzieło, umowy zlecenia lub innej umowy o podobnym charakterze, są obowiązane zachować w tajemnicy informacje stanowiące tajemnicę bankową, udostępnione zgodnie z art. 105 ust. 4 pkt 4 P.b., a przetwarzanie tych informacji przez te instytucje może być wykonywane wyłącznie w celu oceny zdolności kredytowej konsumenta i analizy ryzyka kredytowego. Także art. 48k ust. 1 P.b. formułuje obowiązek zachowania tajemnicy bankowej w odniesieniu do działalności instytucji kredytowych oraz ich oddziałów na terytorium Rzeczypospolitej Polskiej (vide A. Mednis [w:] Prawo bankowe. Komentarz, red. A. Mikos-Sitek, P. Zapadka, LEX/el. 2025, art. 104). Stosownie do treści art. 104 ust. 3 P.b., banku nie obowiązuje, z zastrzeżeniem ust. 4 i 4a, zachowanie tajemnicy bankowej wobec osoby, której dotyczą informacje objęte tajemnicą. Osobom trzecim informacje te mogą być ujawnione, z zastrzeżeniem art. 105, art. 106a i art. 106b, wyłącznie gdy osoba, której informacje te dotyczą, na piśmie upoważni bank do przekazania określonych informacji wskazanej przez siebie osobie lub jednostce organizacyjnej. Upoważnienie może być także wyrażone w postaci elektronicznej. W takim przypadku bank obowiązany jest do utrwalenia wyrażonego w ten sposób upoważnienia na informatycznym nośniku danych w rozumieniu art. 3 pkt 1 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne. Z kolei art. 105 ust. 4 P.b przewiduje, że banki mogą, wspólnie z bankowymi izbami gospodarczymi, utworzyć instytucje upoważnione do gromadzenia, przetwarzania i udostępniania: 1) bankom - informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013; 2) innym instytucjom ustawowo upoważnionym do udzielania kredytów - informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są niezbędne w związku z udzielaniem kredytów, pożyczek pieniężnych, gwarancji bankowych i poręczeń; 3) instytucjom kredytowym - informacji stanowiących tajemnicę bankową w zakresie niezbędnym do oceny zdolności kredytowej konsumenta, o której mowa w art. 9 u.k.k.; 4) instytucjom pożyczkowym i podmiotom, o których mowa w art. 59d u.k.k. - na zasadzie wzajemności, informacji stanowiących odpowiednio tajemnicę bankową oraz informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d u.k.k., w zakresie niezbędnym do oceny zdolności kredytowej konsumenta, o której mowa w art. 9 tej ustawy, i analizy ryzyka kredytowego; 5) jednostce zarządzającej systemem ochrony lub bankowi zrzeszającemu - informacji stanowiących tajemnicę bankową w zakresie, w jakim są one niezbędne dla realizacji jej zadań określonych w art. 19 ust. 2, art. 22i ust. 1 i 3-5 oraz art. 22v ust. 2 ustawy o funkcjonowaniu banków spółdzielczych, ich zrzeszaniu się i bankach zrzeszających; 6) krajowym instytucjom płatniczym, małym instytucjom płatniczym, krajowym instytucjom pieniądza elektronicznego, unijnym instytucjom płatniczym lub unijnym instytucjom pieniądza elektronicznego, w rozumieniu ustawy z dnia 19 sierpnia 2011 r. o usługach płatniczych udzielającym kredytu płatniczego, o którym mowa w art. 74 ust. 3 tej ustawy - informacji stanowiących tajemnicę bankową, w zakresie niezbędnym do oceny zdolności kredytowej konsumenta, o której mowa w art. 9 u.k.k. Niesporna jest także okoliczność udzielenia skarżącej przez klienta zgód na udostępnienie jego danych osobowych Uczestnikom Platformy Wymiany Informacji Pożyczkowej, prowadzonej przez spółkę [...]. Zgody te dotyczyły informacji pozyskanych w toku oceny zdolności kredytowej uczestnika postępowania i były konieczne do pozytywnego rozpatrzenia wniosku o udzielenie pożyczki. Jednocześnie spółki: [...] i [...] łączyła umowa powierzenia przetwarzania danych. W ten sposób w ramach ww. umowy nastąpiło przekazanie danych osobowych klienta, w tym danych stanowiących tajemnicę bankową, spółce [...], a następnie - w oparciu o wzmiankowane zgody - udostępniono je Uczestnikom ww. Platformy. Prawidłowe jest stanowisko organu, iż udostępnienie przez skarżącą danych osobowych uczestnika postępowania w bazie spółki [...] nie miało podstaw prawnych. Jak trafnie ocenił PUODO, spółka [...] - właściciel i administrator ww. platformy nie jest ani podmiotem ujętym w cytowanym wyżej art. 105 ust. 4 P.b. ani też biurem informacji gospodarczej. Już sama forma prawna spółki [...] wyłącza ją z tej drugiej kategorii podmiotów w świetle art. 5 ust. 1 u.i.g. Powyższa ocena implikuje konkluzję, że zapisy umowy powierzenia danych osobowych, zawartej pomiędzy spółkami [...] (jako administratorem danych osobowych) i [...] (jako podmiotem przetwarzającym) nie odpowiadały wymogom ustawowym regulującym przetwarzanie danych osobowych zawartych w informacji gospodarczej lub objętej tajemnicą bankową. Zasadnie stwierdził więc organ, iż zawarcie ww. umowy na podstawie art. 28 ust. 3 RODO było niedopuszczalne. Skarżąca, w związku z łączącą ją z klientem od [...] grudnia 2017 r. do [...] stycznia 2018 r. umową pożyczki, była uprawniona do przetwarzania jego danych osobowych na mocy art. 74 ust. 2 pkt 4 u.r., art. 86 § 1 O.p. oraz art. 49 ust. 1 i 2 AML, jednakże bezspornie upłynęły już terminy obowiązkowego przechowywania dokumentów wynikające z ww. przepisów. W ocenie tutejszego Sądu, nie są zasadne zarzuty skargi. W szczególności nie sposób zaakceptować poglądu spółki [...] co do przesłanki dalszego przetwarzania danych osobowych uczestnika postępowania po zamknięciu umowy z klientem, niejako "na zapas", w celu zabezpieczenia się przez ewentualnym roszczeniem w sytuacji, gdy uczestnik postępowania nie wystąpił z jakimkolwiek roszczeniem wobec skarżącej. Jak podniósł NSA w wyroku z 4 grudnia 2014 r., sygn. akt I OSK 1001/13 (powołanym w wyroku NSA z 20 lutego 2024 r., sygn. akt III OSK 2700/22), uzależnienie dopuszczalności przetwarzania danych osobowych w oparciu o art. 23 ust. 1 pkt 5 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych od wyraźnej deklaracji wystąpienia na drogę procesu cywilnego jest zbyt formalistyczne i nie znajduje oparcia w prawie. Stanowisko to, jakkolwiek wyrażone na podstawie uprzednio obowiązującej ustawy o ochronie danych osobowych, w pełni zachowuje aktualność (vide wyrok NSA z 19 listopada 2025 r., sygn. akt III OSK 2472/22). Reasumując, organ właściwie przyjął, że w niniejszej sprawie nie zaistniała żadna z wymienionych w art. 6 ust. 1 RODO przesłanek legalizujących działanie spółki [...], co uzasadniało podjęte przez PUODO działania naprawcze przewidziane w art. 58 ust. 2 lit. b i lit. c RODO. Tutejszy Sąd nie stwierdził naruszenia tak prawa materialnego, jak i przepisów postępowania. Organ podjął wszelkie niezbędne czynności, konieczne dla wyjaśnienia stanu faktycznego sprawy, a zgromadzony w sprawie materiał dowodowy poddał wszechstronnej ocenie, zgodnie z dyspozycją art. 80 k.p.a. Także uzasadnienie zaskarżonej decyzji odpowiada wymogom art. 107 § 3 k.p.a. W tym miejscu za chybiony trzeba uznać zarzut nieprzeprowadzenia dowodu z umowy powierzenia przetwarzania danych osobowych z [...] lutego 2017 r. zawartej między spółkami: [...] i [...]. W zaskarżonej decyzji PUODO kilkakrotnie odwoływał się do tego dokumentu - opisał go w stanie faktycznym i poddał swobodnej ocenie, stwierdzając niedopuszczalność zawarcia umowy między ww. podmiotami w oparciu o art. 28 ust. 3 RODO. Wyjaśnić też trzeba, że odmienna ocena w zakresie wykładni i zastosowania powołanych przez PUODO przepisów prawa, nie stanowi o naruszeniu przepisów postępowania. Natomiast powołanie się przez organ in fine zaskarżonej decyzji "na przetwarzanie danych osobowych Skarżącej przez Bank w systemie BIK" stanowi - w kontekście całej treści zaskarżonej decyzji - oczywistą omyłkę pisarską. Mając na uwadze wszystko powyższe, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 p.p.s.a., orzekł jak w sentencji wyroku.