I OSK 1871/16

Naczelny Sąd Administracyjny w składzie: Przewodniczący: Sędzia NSA Iwona Bogucka (spr.) Sędziowie: Sędzia NSA Aleksandra Łaskarzewska Sędzia del. WSA Dariusz Chaciński Protokolant: sekretarz sądowy Adrian Wawer po rozpoznaniu w dniu 27 lipca 2018 roku na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej R. S.A. z siedzibą w W. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 3 marca 2016 r. sygn. akt II SA/Wa 1174/15 w sprawie ze skargi R. S.A. z siedzibą w W. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] maja 2015 r., nr [...] w przedmiocie przetwarzania danych osobowych 1. oddala skargę kasacyjną; 2. zasądza od R. S.A. z siedzibą w W. na rzecz Prezesa Urzędu Ochrony Danych osobowych kwotę 360 (trzysta sześćdziesiąt) zł tytułem zwrotu kosztów postępowania kasacyjnego.

Zaskarżonym wyrokiem Wojewódzki Sąd Administracyjny w Warszawie oddalił skargę R. S.A. z siedzibą w W. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia [...] maja 2015 r. nr [...] w przedmiocie przetwarzania danych osobowych. Wyrok zapadł w następującym stanie faktycznym i prawnym przyjętym przez Sąd I instancji: D. P. złożyła do Generalnego Inspektora Ochrony Danych Osobowych skargę dotyczącą przetwarzania jej danych osobowych przez R. S.A. z siedzibą w W. (dalej jako Bank), polegającego na gromadzeniu i przechowywaniu nagrań z przeprowadzonych z nią, zainicjowanych przez pracowników Banku w dniach [...] stycznia 2011 r., [...] stycznia 2011 r., [...] lutego 2011 r. i [...] marca 2011 r. rozmów telefonicznych. Skarżąca zakwestionowała w szczególności legalność zarejestrowania przeprowadzonych z nią, inicjowanych przez Bank rozmów telefonicznych. Pracownicy Banku dzwoniąc do niej nie informowali, że rozmowy są nagrywane. Podała, że gdyby wiedziała o nagrywaniu rozmów, nie wyraziłaby zgody na ich prowadzenie. Skarga dotyczyła również przekazania nagrań do Sądu Rejonowego w [...]. W toku przeprowadzonego postępowania wyjaśniającego Generalny Inspektor Ochrony Danych osobowych ustalił, że w 2008 roku strona zawarła z Bankiem umowę kredytu konsumpcyjnego. Wobec braku realizacji zobowiązań wynikających z tej umowy, Bank podjął czynności polegające na telefonicznym informowaniu o występujących zaległościach. W tym celu m. in. w dniach [...] stycznia 2011 r., [...] stycznia 2011 r., [...] lutego 2011 r. i [...] marca 2011 r. Bank ze swojej inicjatywy przeprowadził z klientką rozmowy telefoniczne. Bezsporne jest, że w toku tych rozmów strona nie była uprzedzona o ich nagrywaniu. Podczas rozmów skarżąca przekazała pracownikom Banku m. in. informacje o swojej sytuacji majątkowej i aktualnym stanie zdrowia. W konsekwencji powstałych zaległości w spłacie kredytu Bank wystąpił przeciwko stronie z powództwem do sądu powszechnego. W toku postępowania sądowego prowadzonego przed Sądem Rejonowym w [...] pod sygn. akt [...] Sąd wezwał Bank do przedłożenia: "rozmów prowadzonych przez pozwaną z pracownikami banku (w styczniu 2011 r. dwa razy, w lutym 2011 r. dwa czy trzy razy)". W wykonaniu tego wezwania Bank załączył do akt sprawy płytę zawierającą nagrania rozmów telefonicznych prowadzonych ze stroną, w tym nagrania z rozmów odbytych w dniach [...] stycznia 2011 r., [...] stycznia 2011 r., [...] lutego 2011 r. oraz [...] marca 2011 r. W wyjaśnieniach udzielonych organowi Bank oświadczył, że przetwarza dane osobowe strony na podstawie art. 23 ust. 1 pkt 3 ustawy o ochronie danych osobowych w związku z tym, iż jest to konieczne dla realizacji umowy kredytu konsumpcyjnego oraz na podstawie art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych w prawnie usprawiedliwionym celu dochodzenia roszczeń z tytułu prowadzonej działalności gospodarczej. Zakres przetwarzanych przez Bank danych szczegółowo przedstawiony został w umowie kredytu konsumpcyjnego. Informacje, do których dostarczenia Bank był zobowiązany na podstawie art. 24 ust. 1 ustawy o ochronie danych osobowych przekazane zostały stronie w momencie podpisania przez nią umowy kredytu. Pracownicy Banku w trakcie rozmów przeprowadzonych w dniach [...] stycznia 2011 r., [...] stycznia 2011 r., [...] lutego 2011 r. i [...] marca 2011 r. nie zbierali dodatkowych danych dotyczących strony, zatem nie powstał obowiązek udzielenia informacji określonych w ustawie o ochronie danych osobowych. Rozmowy dotyczyły wyłącznie zakresu, terminu i wysokości spłaty zaległego zobowiązania. Decyzją z dnia [...] marca 2014 r. nr [...] Generalny Inspektor Ochrony Danych Osobowych działając na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (t.j. Dz. U. z 2013, poz. 267, dalej k.p.a.) oraz art. 12 pkt 2, art. 18 ust. 1 pkt 2 oraz art. 23 ust. 1 i 27 ust. 2 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2002 r. Nr 101, poz. 926 z późn. zm., dalej u.o.d.o), nakazał Bankowi wyeliminowania nieprawidłowości w procesie przetwarzania danych osobowych D. P. poprzez ich usunięcie z zapisów rozmów telefonicznych przeprowadzonych z nią, a zainicjowanych przez pracowników Banku w dniach [...] stycznia 2011 r., [...] stycznia 2011 r., [...] lutego 2011 r., [...] marca 2011 r. W pozostałym zakresie odmówił nieuwzględnienia wniosku. W uzasadnieniu decyzji wskazano, że przetwarzanie danych osobowych jest procesem legalnym, gdy ich administrator legitymuje się jedną z przesłanek dopuszczalności przetwarzania danych wymienionych w art. 23 ust. 1 pkt 1-5 u.o.d.o. w przypadku przetwarzania danych osobowych zwykłych, bądź w art. 27 ust. 2 pkt 1 - 10 u.o.d.o. w przypadku przetwarzania danych osobowych szczególnie chronionych, które enumeratywnie wskazane zostały w art. 27 ust. 1 ustawy. Za dane sensytywne ustawodawca uznał m.in. informacje o stanie zdrowia oraz o orzeczeniach wydanych w postępowaniach sądowych i administracyjnych. Aktem prawnym zawierającym szczegółowe regulacje dotyczące procesu działalności prowadzonej przez banki, w tym dotyczące procesu przetwarzania przez nie danych osobowych ich klientów jest przede wszystkim ustawa z dnia 29 sierpnia 1997 r. Prawo bankowe (tekst jedn.: Dz. U. 2012 r., poz. 1376 ze zm.) i wszelkie działania banków winny znajdować oparcie w przepisach tego aktu prawnego. Organ nie podzielił twierdzenia Banku, jakoby podstawą jego działania była przesłanka z art. 23 ust. 1 pkt 5 u.o.d.o., a pracownicy Banku podczas przedmiotowych rozmów telefonicznych nie zbierali dodatkowych danych osobowych klientki. Z nagrań tych rozmów jednoznacznie wynika, iż w ich toku strona udzieliła rozmówcom informacji o sobie w zakresie szerszym, aniżeli informacje posiadane o niej wówczas przez Bank. Wśród tych informacji znalazły się nie tylko dane o aktualnej sytuacji materialnej i zawodowej, dane osobowe w postaci głosu, ale także informacje o stanie zdrowia, zatem dane szczególnie chronione. Strona podała w szczególności, że uległa wypadkowi i przebywa na zwolnieniu lekarskim, a także, że będzie korzystała z rehabilitacji. Tym samym zdaniem organu u podstaw pozyskiwania przez Bank danych osobowych strony nie leży żadna z przesłanek legalizujących proces przetwarzania, przez który rozumie się także gromadzenie danych, wymienionych zarówno w art. 23 ust. 1 ustawy, jak i w 27 ust. 2 pkt 1 -10 ustawy. W szczególności za podstawę takiego działania nie można uznać przesłanki, o której mowa w art. 23 ust. 1 pkt 5 u.o.d.o. Bank nawiązując ze stroną kontakty telefoniczne, podczas których ujawniała ona inne, aniżeli przetwarzane wówczas przez Bank informacje, niewątpliwie działał i przetwarzał je dla realizacji usprawiedliwionego celu jakim było dochodzenie roszczeń z tytułu prowadzonej działalności gospodarczej, jednakże niepoinformowanie strony o rejestrowaniu tych rozmów stanowiło naruszenie jej praw i wolności. W ocenie Generalnego Inspektora Ochrony Danych Osobowych brak informacji o nagrywaniu rozmów pozbawił stronę prawa do decydowania o życiu prywatnym. Skarżąca mając wiedzę o nagrywaniu rozmowy mogłaby zdecydować, czy i jakie informacje na swój temat chce przekazać pracownikowi Banku. Uzasadnia to nakazanie Bankowi wyeliminowanie nieprawidłowości w procesie przetwarzania danych osobowych strony poprzez usunięcie ich z zapisów rozmów przeprowadzonych w dniach [...] stycznia 2011 r., [...] stycznia 2011 r., [...] lutego 2011r. i [...] marca 2011 r. Odnosząc się natomiast do zarzutu dotyczącego legalności przetwarzania danych osobowych poprzez ich przekazanie do postępowania toczącego się przed sądem powszechnym wskazano, że jakkolwiek do rejestracji rozmów doszło z naruszeniem prawa, a Bank nie legitymował się tytułem do dalszego przetwarzania, brak jest podstaw do zastosowania przepisu art. 18 ust. 1 u.o.d.o. Nakaz w tym trybie byłby niemożliwy do wykonania ze względu na nieodwracalność zachowania. Przedmiotowe działanie Banku miało już bowiem miejsce, a aktualnie nagrania stanowią dowód w postępowaniu cywilnym. Sąd cywilny dopuścił z nich dowód, a w działalność sądu Generalny Inspektor Ochrony Danych Osobowych nie może ingerować. We wniosku o ponowne rozpoznanie sprawy Bank wniósł o uchylenie punktu 1 decyzji. Generalny Inspektor Ochrony Danych Osobowych decyzją z dnia [...] maja 2015 r. nr [...] utrzymał w mocy dotychczasowe rozstrzygnięcie i podaną argumentację. W skardze do sądu administracyjnego Bank wniósł o uchylenie wydanych decyzji i zasądzenie zwrotu kosztów postępowania, zarzucając naruszenie: - art. 23 ust. 4 u.o.d.o. poprzez jego niezastosowanie, - art. 7 ustawy prawo bankowe poprzez jego niezastosowanie, - art. 23 ust. 1 oraz art. 27 ust. 2 u.o.d.o. poprzez ich błędną wykładnię co doprowadziło do uznania, że przetwarza dane osobowe strony bez podstawy prawnej, - art. 7 w zw. z art. 77 § 1 oraz 80 i art. 107§ 3 k.p.a. poprzez: a) zaniechanie wyczerpującego zebrania i rozpatrzenia całego materiału dowodowego oraz dokładnego wyjaśnienia stanu faktycznego sprawy, b) oparcie rozstrzygnięcia na opiniach i stwierdzeniach o charakterze ogólnym, bez odniesienia ich treści do okoliczności przypadku, c) niepoprawne ustalenie stanu faktycznego polegające na uznaniu, że rozmowy z dnia [...] stycznia 2011 r. oraz z dnia [...] stycznia 2011 r. zawierały dane o stanie zdrowa, co miało istotny wpływ na wynik sprawy, ponieważ doprowadziło do wadliwego ustalenia podstawy faktycznej rozstrzygnięcia i wydania decyzji z naruszeniem prawa. W odpowiedzi na skargę organ wniósł o jej oddalenie, podtrzymując dotychczasowe stanowisko w sprawie. Uzasadniając oddalenie skargi Sąd I instancji wskazał, że stan faktyczny ustalony w sprawie nie budzi wątpliwości. Bank ze swojej inicjatywy przeprowadził ze stroną rozmowy telefoniczne, nie informując o ich rejestrowaniu, podczas tych rozmów telefonicznych strona przekazała pracownikom banku między innymi informacje o swojej sytuacji majątkowej i stanie zdrowia, które są danymi w rozumieniu ustawy o ochronie danych osobowych. Ocenie podlega legalność gromadzenia i przechowywania przez Bank nagrań z przeprowadzonych rozmów telefonicznych, pod kątem zgodności z przepisami u.o.d.o. Zgodnie z przepisami ustawy o ochronie danych osobowych przetwarzanie danych osobowych jest procesem legalnym, gdy ich administrator legitymuje się jedną z przesłanek dopuszczalności przetwarzania danych wymienionych w art. 23 ust. 1 pkt 1-5 ustawy, w przypadku przetwarzania danych osobowych zwykłych, bądź w art. 27 ust. 2 pkt 1 - 10 ustawy, w przypadku przetwarzania danych osobowych szczególnie chronionych, które enumeratywnie wskazane zostały w art. 27 ust. 1 ustawy. Sąd I instancji podzielił stanowisko, że podstawą działania Banku nie mógł być art.23 ust.1 pkt 5 u.o.d.o. Zgodnie z art. 23 ust.1 pkt 5 ustawy przetwarzanie danych osobowych jest dopuszczalne wtedy, gdy jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą, przy czym przez usprawiedliwiony cel, stosownie do treści art. 23 ust. 4 pkt 2, rozumie się w szczególności dochodzenie roszczeń z tytułu prowadzonej działalności gospodarczej. Aby administrator danych osobowych mógł powołać się na tę przesłankę uchylającą bezprawność przetwarzania, muszą zostać spełnione łącznie dwa elementy: proces ten musi być niezbędny dla wypełnienia realizowanych przez niego jego prawnie usprawiedliwionych celów oraz nie może naruszać praw i wolności osoby, której dane dotyczą. Warunkiem dopuszczalności przetwarzania danych na gruncie art. 23 ust. 1 pkt 5 u.o.d.o. jest to, aby przetwarzanie nie naruszało praw czy wolności konstytucyjnych osoby, której dane dotyczą. (J. Barta, P. Fajgielski, R. Markiewicz: Ochrona Danych Osobowych. Komentarz. Wolters Kluwer Polska Sp. z o.o. 2007 r., s. 471-472). Sąd I instancji podzielił stanowisko, że Bank działał i przetwarzał dane dla realizacji usprawiedliwionego celu, jakim było dochodzenie roszczeń z tytułu prowadzonej działalności gospodarczej, jednakże niepoinformowanie o rejestrowaniu rozmów stanowiło naruszenie praw i wolności. W toku prowadzonego przez organ postępowania wnioskodawczyni kilkakrotnie podkreślała, że gdyby wiedziała o fakcie nagrywania prowadzonych z nią rozmów telefonicznych mogłaby nie wyrazić zgody na ich prowadzenie. Natomiast fakt niepoinformowania o ich nagrywaniu pozbawił ją prawa do decydowania o jej życiu prywatnym. Wnioskodawczyni mając bowiem wiedzę o zapisie rozmowy mogłaby zdecydować czy i jakie informacje na swój temat chce przekazać pracownikowi Banku i możliwe jest, że nie udostępniałaby mu informacji o swoim stanie zdrowia. W ocenie Sądu nie można zatem uznać, że Bank w sposób legalny pozyskał i przetwarzał dane osobowe przekazane przez stronę podczas rozmów telefonicznych z pracownikami Banku. Działanie polegające na rejestracji inicjowanych przez Bank rozmów z klientami nie znajduje się w katalogu czynności bankowych określonych w ustawie Prawo bankowe, nadto nagrywanie rozmów z nieświadomymi tego faktu klientami nie znajduje podstawy w przesłankach legalizujących, wskazanych w ustawie o ochronie danych osobowych. Odnosząc się do zarzutów błędnego zastosowania art. 27 u.o.d.o. w stosunku do rozmów z [...] stycznia 2011 r. i [...] stycznia 2011 r., które nie zawierają informacji o stanie zdrowia strony wskazano, że w przedmiotowej sprawie niezasadne jest analizowanie, jaki zakres danych zawierają nagrania poszczególnych rozmów telefonicznych, bowiem w trakcie ich trwania niewątpliwie zostały utrwalone dane Skarżącej w szerszym zakresie niż tylko informacje o stanie jej zdrowia. Nakaz nałożony przez organ dotyczy usunięcia danych osobowych z zapisów nagranych rozmów telefonicznych. Sąd I instancji stwierdził też, że zgodnie z art. 7 pkt 5 u.o.d.o. udzielenie zgody przez osobę, której dane dotyczą, oznacza oświadczenie woli, którego treścią jest zgoda na przetwarzanie danych osobowych tego, kto składa oświadczenie; zgoda nie może być domniemana lub dorozumiana z oświadczenia woli o innej treści. Natomiast w odniesieniu do danych o stanie zdrowia, stosownie do art. 27 ust. 2 pkt 1 ustawy, ich przetwarzanie jest dopuszczalne jeżeli osoba, której dane dotyczą wyrazi na to zgodę na piśmie, chyba że chodzi o usunięcie danych jej dotyczącej. Nie można zatem zgodzić się ze stanowiskiem zaprezentowanym przez Bank, że strona przekazując dane o swoim stanie zdrowia wyraziła zgodę na przetwarzanie tych danych przez Bank. Podjęcie rozmowy i podawania informacji telefonicznie nie może być uznane za wyrażenie zgody w rozumieniu przepisów ustawy o ochronie danych osobowych. Prawidłowo również uznał organ, że pomimo iż działanie Banku stanowiło naruszenie przepisów ustawy o ochronie danych osobowych, brak jest podstaw do zastosowania przepisu art. 18 ust. 1 u.o.d.o., zgodnie z którym, w przypadku naruszenia przepisów ustawy Generalny Inspektor Ochrony Danych Osobowych z urzędu lub na wniosek osoby zainteresowanej, w drodze decyzji administracyjnej, nakazuje przywrócenie stanu zgodnego z prawem. Nakaz taki w przedmiotowej sprawie jest niemożliwy ze względu na nieodwracalność naruszenia, działanie Banku miało już miejsce. Aktualnie zapisy rozmów stanowią dowód w postępowaniu cywilnym, a w działalność Sądu Generalny Inspektor Ochrony Danych Osobowych nie może ingerować. W skardze kasacyjnej R. S.A. zaskarżył wyrok Sądu I instancji w całości, wnosząc alternatywnie o jego uchylenie i rozpoznanie sprawy lub uchylenie w całości zaskarżonego wyroku i przekazanie sprawy do ponownego rozpoznania, a także o zasądzenie zwrotu kosztów postępowania. Na podstawie art. art. 174 pkt 1 i 2 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. 153, poz. 1271 ze zm. dalej p.p.s.a.) Sądowi I instancji zarzucono naruszenie: 1/ przepisów postępowania, które miało istotny wpływ na wynik sprawy ponieważ doprowadziło bezpośrednio do naruszeń prawa materialnego: a) art. 145 ust. 1 pkt 1 lit. c) w związku z art. 133 § 1 p.p.s.a. poprzez zaakceptowanie ustaleń co do stanu faktycznego poczynionych przez organ, które to ustalenia były błędne, co prowadziło do naruszenia przez organ art. 7 kodeksu postępowania administracyjnego, zaś przez WSA do naruszenia przepisów wskazanych wyżej, b) art. 145 ust. 1 pkt 1 lit. c) w związku z art. 133 § 1 p.p.s.a. oraz art. 106 § 3 p.p.s.a. co doprowadziło do błędnego ustalenia stanu faktycznego poprzez: - nieuwzględnienie dokumentów składanych przez Bank do WSA wraz ze skargą na decyzję organu, z których wynikało, że Uczestniczka wyraziła zgodę na przetwarzanie danych o stanie jej zdrowia, poprzez przesyłanie tych informacji przez Uczestniczkę do Banku na piśmie, z odręcznym jej podpisem, - przyjęcie, iż rozmowy z dni: [...] stycznia 2011 r. i [...] stycznia 2011 r. zawierają informacje w zakresie szerszym niż Bank jako administrator danych może przetwarzać; 2/ przepisów prawa materialnego poprzez: a) niezastosowanie art. 27 ust. 2 pkt 1 ) i pkt 5) u.o.d.o. poprzez uznanie, że Bank nie posiadał legitymacji do przetwarzania danych osobowych Uczestniczki, b) niepoprawne zastosowanie art. 23 ust. 1 pkt 5) u.o.d.o. poprzez uznanie, że Bank przetwarzając dane o stanie zdrowia naruszył prawa i wolności Uczestniczki, c) niezastosowanie art. 7 ustawy prawo bankowe. W uzasadnieniu zarzutów skargi kasacyjnej podniesiono, że WSA pominął część materiału dowodowego złożonego w sprawie, na skutek czego błędnie ustalił stan faktyczny. WSA w żadnej części uzasadnienia nie odniósł się do pism Uczestniczki kierowanych do Banku, w których Uczestniczka przekazywała dane o stanie swojego zdrowia. Pisma te są w aktach sprawy. Sąd I instancji nie wskazał z jakiego powodu nie ocenił tych dowodów, odniósł się jedynie do rozmów telefonicznych, nie odniósł się do pism Uczestniczki, w których przekazywała ona informacje o swoim stanie zdrowia. Pisma kierowane przez Uczestniczkę do Banku, datowane na 18 marca 2011 r., 01 kwietnia 2011 r., 09 grudnia 2011 r., zawierające informacje o stanie jej zdrowia, są złożone na piśmie i podpisane. Pisma te zawierają informacje tożsame z informacjami przekazywanymi w toku rozmów telefonicznych, kierując je do Banku wyraziła zatem zgodę na przetwarzanie informacji o stanie jej zdrowia i dokonała tego na piśmie. Podniesiono także, że dwie z rozmów, które nakazano usunąć, nie zawierają danych wrażliwych. Jak wynika z akt postępowania, tylko co do tych danych zarówno Uczestniczka jak i organ miały wątpliwości i wskazywały na bezprawność przetwarzania danych. Nie ma zatem żadnej podstawy prawnej do nakazania usunięcie rozmów, w których Bank nie pozyskał danych, których nie miałby prawa posiadać. Sama Uczestniczka twierdzi, że Skarżący może przetwarzać dane w postaci jej głosu, zatem w tym zakresie, w jakim decyzja Organu i wyrok WSA nakazują usunięcie rozmów z [...] i [...] stycznia 2011 r. są one pozbawione podstawy faktycznej i prawnej. Powyższe okoliczności wskazują, że Sąd I instancji nie orzekał na podstawie akt postępowania, ponieważ część dowodów pominął. Naruszenie to ma istotny wpływ na rozstrzygnięcie, ponieważ doprowadziło do ustalenia w sposób nieprawidłowy stanu faktycznego i zastosowania niepoprawnie przepisów prawa materialnego, co stanowi naruszenie art. 145 ust. 1 pkt 1) lit c. p.p.s.a. Uzasadniając zarzuty naruszenia prawa materialnego podano, że Sąd I instancji wadliwie nie zastosował art. 27 ust. 1 pkt 1 i pkt 5 u.o.d.o. Zgodnie z tym przepisem dane wrażliwe można przetwarzać gdy osoba, której dane dotyczą, wyrazi zgodę na piśmie (pkt. 1) lub jest to niezbędne do prowadzenia spraw przed sądem (pkt. 5). Jak wyżej wskazano, Uczestniczka przesłała do Banku szereg pism, w których przekazywała dane o swoim stanie zdrowia, tożsame z informacjami przekazywanymi w toku rozmów telefonicznych. Uczestniczka samodzielnie i dobrowolnie przekazała te dane, w założonym przez Uczestniczkę celu związanym z ochroną jej istotnych interesów (w tym przypadku majątkowych), co oznacza zgodę na ich przetwarzanie złożoną na piśmie. Nie sposób uznać, że Uczestniczka pisząc do Banku i przekazując dane o stanie zdrowia nie godziła się na ich przetwarzanie. Pozbawione logiki jest twierdzenie, że Bank po otrzymaniu listu i zapoznaniu się z jego treścią winien list odsyłać do Uczestniczki, nie odpowiadając na niego, czy też zniszczyć taką przesyłkę. Należałoby też rozważyć, czy administrator danych otrzymując pismo zawierające informacje o stanie zdrowia musiałby dane te wycinać z pisma lub inaczej zamazywać. Oznaczałoby to ingerencję w treść pism i naruszenie ich integralności, co mogłoby pozbawić je wiarygodności. Sąd I instancji naruszył art. 27 ust. 1 pkt 1 u.o.d.o. uznając, że Uczestniczka nie wyraziła stosownej zgody. W ocenie Skarżącego naruszenie to wynika z naruszeń prawa procesowego. Zarzucono, że skoro nagrane rozmowy są materiałem dowodowym w postępowaniach sądowych, których Bank jest stroną, to spełniona jest przesłanka określona w pkt 5) ust.1 art. 27 u.o.d.o. Bank będąc stroną postępowań sądowych ma prawo posiadać wszelkie dowody przedstawiane w tych postępowaniach - w tym rozmowy z Uczestniczką. Orzeczony nakaz usunięcia rozmów z nośników musiałby dotyczyć wszelkich nośników, co byłoby nieuzasadnioną ingerencją w prawo do sądu, które obejmuje prawo dostępu do akt postępowania i posiadania kopii dowodów zgromadzonych w sprawie. Bezpodstawne jest stanowisko Sądu I instancji, że Uczestniczka nie udzieliła zgody na przetwarzanie, w tym nagrywanie, jej danych. Uczestniczka wiedziała, że rozmawia z pracownikiem Banku, wiedziała czego dotyczy rozmowa. Wiedziała zatem komu przekazuje dane o swoim stanie zdrowia, a również czyniła to w celu ściśle związanym z zawartą umową (w zamiarze odroczenia spłaty wierzytelności). Inicjatywa przekazania tych informacji wyszła bezpośrednio od Uczestniczki, która uczyniła to świadomie i dobrowolnie, a także powtórzyła informacje w formie pisemnej. Te okoliczności wskazują, że Bank nie naruszył żadnych wolności i praw Uczestniczki, która z własnej woli chciała poinformować o określonych zdarzeniach i stanie zdrowia. Bank tych danych nie pozyskał podstępnie, w dodatku nie prosząc o tego typu informacje. W sprawie Sąd I instancji powinien zastosować art. 7 ust. 1, 2, 3 i 4 ustawy prawo bankowe. Uczestniczka samodzielnie i dobrowolnie przekazała dane o swoim stanie zdrowia Skarżącemu, rozmowa była nagrana i utrwalona oraz przechowywana w trybie określonym w art. 7 ust. 3 i 4 ustawy prawo bankowe. Jakkolwiek ustawa ta nie wymienia jako czynności bankowej udzielania odpowiedzi na reklamacje czy egzekwowanie należności pieniężnych, są one powiązane z czynnościami bankowymi - podobnie jak rejestrowanie rozmów z klientami. W odpowiedzi na skargę kasacyjną Generalny Inspektor Ochrony Danych Osobowych wniósł o jej oddalenie podkreślając, że przedmiotem postępowania przed organem była legalność przetwarzania danych w postaci nagrań rozmów, wobec czego nie ma zasadniczego znaczenia zakres danych w nich zawarty. Nakaz usunięcia dotyczy w konsekwencji wszystkich danych z zapisów, a nie tylko dotyczących zdrowia. Zarzuty zawarte w skardze kasacyjnej oceniono jako niezasadne. O oddalenie skargi kasacyjnej w złożonej odpowiedzi na nią wniosła także uczestniczka postępowania, podtrzymując stanowisko o braku zgody na nagrywanie rozmów i wiedzy o ich nagrywaniu. Naczelny Sąd Administracyjny rozważył, co następuje: Zgodnie z art. 183 § 1 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2018 r., poz. 1302, dalej p.p.s.a.) Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, z urzędu biorąc pod uwagę tylko nieważność postępowania. W niniejszej sprawie nie stwierdzono żadnej z przesłanek nieważności wymienionych w art. 183 § 2 p.p.s.a., wobec czego rozpoznanie sprawy nastąpiło w granicach zgłoszonych podstaw i zarzutów skargi kasacyjnej. Stosownie do przepisu art.176 p.p.s.a. skarga kasacyjna winna zawierać zarówno przytoczenie podstaw kasacyjnych, jak i ich uzasadnienie. Przytoczenie podstaw kasacyjnych oznacza konieczność konkretnego wskazania tych przepisów, które zostały naruszone w ocenie wnoszącego skargę kasacyjną, co ma istotne znaczenie ze względu na zasadę związania Sądu II instancji granicami skargi kasacyjnej. W skardze kasacyjnej powołano obie podstawy określone w art. 174 pkt 1 i 2 p.p.s.a, zarzucając zarówno naruszenie prawa procesowego, jak i prawa materialnego. W pierwszej kolejności rozpoznaniu przez Naczelny Sąd Administracyjny podlegały zarzuty naruszenia prawa procesowego. Nietrafne jest przekonanie strony skarżącej kasacyjnie, że decyzja GIODO wywiera skutek wobec wszelkich nośników, na jakich zapisano przedmiotowe dane, a w posiadanie których Bank wszedł w wyniku czynności procesowych czy działań samej strony. Władcza ingerencja organu ochrony danych osobowych jest reakcją na stwierdzone naruszenia przetwarzania danych osobowych. Przetwarzanie danych, zgodnie z art. 7 pkt 2 u.o.d.o., to jakiekolwiek operacje wykonywane na danych osobowych, takie jak zbieranie, utrwalanie, przechowywanie, opracowywanie, zmienianie, udostępnianie i usuwanie. Przedmiotem reakcji GIODO było wyłącznie utrwalanie danych w formie nagrań rozmów telefonicznych, a to ze względu na brak zgody osoby na tę formę przetwarzania. Orzeczony nakaz nie dotyczy zatem przetwarzania tożsamych danych na skutek ich pozyskania z innych źródeł, takich jak pisma sporządzone przez stronę czy materiały procesowe udostępnione Bankowi przez sąd w toku postępowania. Nagrywanie rozmów zawierających jakiekolwiek informacje dotyczące zidentyfikowanej osoby fizycznej, czyli zawierających dane osobowe, jest formą przetwarzania tych danych i podlega reżimowi ustawy o ochronie danych osobowych. Należy zwrócić uwagę, że podstawą prawną orzeczonego nakazu nie był przepis art. 18 ust. 1 pkt 6 u.o.d.o., przewidujący usunięcie określonych danych osobowych, nakaz dotyczy usunięcia nieprawidłowości poprzez usunięcie danych z nagrań rozmów przeprowadzonych w określonych dniach. W art. 18 u.o.d.o. ustawodawca przewidział zróżnicowane sposoby przywracania stanu zgodnego z prawem, decyzja wydawana na tej podstawie umożliwia Generalnemu Inspektorowi wydawanie nakazów z uwzględnieniem charakteru stwierdzonego naruszenia. Zgodnie z art. 18 ust. 1 u.o.d.o., w przypadku naruszenia przepisów, Generalny Inspektor nakazuje przywrócenie stanu zgodnego z prawem. Jest to podstawowe zadanie interwencji podejmowanej przez organ, rodzaje działań wskazane w pkt 1-6 stanowią przykładowe wyliczenie i otwarty katalog działań mających przywrócić stan zgodny z prawem. W niniejszej sprawie naruszenie zostało stwierdzone wyłącznie w odniesieniu do nagrywania rozmów, w wydanych decyzjach organ podkreślał, że kontrolowaną kwestią była legalność gromadzenia i przechowywania nagrań z rozmów, podczas których przetwarzane były dane osobowe. Ustalono, że w wyniku rozmów strona udzieliła Bankowi informacji o sobie w zakresie szerszym, niż dotychczas posiadane przez Bank, dotyczyły one jej ówczesnej sytuacji zawodowej, dochodów, stanu zdrowia. Poza zakresem zainteresowania pozostają zatem późniejsze informacje pochodzące od strony, będące dla Banku kolejnym źródłem danych osobowych. Mając na względzie powyższe, za chybiony należy uznać zarzut naruszenia przepisów postępowania, odnoszących się do pominięcia przez Sąd I instancji treści dwóch z czterech nagranych rozmów oraz pominięcia faktu następczego przekazania przez stronę tożsamych danych w pismach skierowanych do Banku. Wobec treści orzeczonego nakazu kwestie te nie miały znaczenia dla sprawy, a ich poniechanie przez Sąd I instancji nie miało wpływu na wynik. Jakkolwiek nie wszystkie dane zarejestrowane poprzez nagranie stanowią dane wrażliwe o stanie zdrowia, to nie budzi wątpliwości, że mają one charakter danych osobowych w rozumieniu art. 6 ust. 1 u.o.d.o. Okoliczność ta nie była pominięta przez Sąd I instancji, który wprost odniósł się do tej kwestii w uzasadnieniu, co niweczy zarzut orzekania z naruszeniem art. 133 § 1 p.p.s.a. Natomiast skoro organ ochrony danych osobowych nie objął swoim nakazem danych o określonej treści, ale dane wyłącznie utrwalone na nagraniach z rozmów, to zarzut pominięcia przez Sąd I instancji w opisie stanu faktycznego faktu pozyskania określonych danych również w inny sposób, jakkolwiek prawdziwy, nie uzasadnia uwzględnienia skargi ze względu na brak wpływu tego pominięcia na wynik sprawy. Nie są także uzasadnione zarzuty naruszenia prawa materialnego. Nie mógł mieć w sprawie zastosowania przepis art. 27 ust. 2 pkt 1 u.o.d.o., zgodnie z którym przetwarzanie danych "wrażliwych'" jest dopuszczalne, gdy osoba, której dane dotyczą, wyrazi na to zgodę na piśmie. Ustalenia faktyczne nie wykazały, aby uczestniczka wyraziła pisemną zgodę na przetwarzanie pod postacią nagrań danych jej dotyczących. Natomiast fakt udzielenia analogicznych informacji w późniejszej korespondencji z Bankiem nie stanowi żadnej pisemnej zgody. Należy mieć na uwadze brzmienie art. 7 pkt 5 u.o.d.o. Zgoda osoby to świadczenie woli, którego treścią jest właśnie przetwarzanie danych, nie może ona być ani domniemana, ani dorozumiana z oświadczeń o innej treści (np. informujących o aktualnej sytuacji). Zgoda nie może mieć zatem charakteru konkludentnego, jak sugeruje Bank powołujący się na fakt uzyskania danych z pism nadesłanych przez klientkę. Nie są także skuteczne zarzuty naruszenia art. 27 ust. 2 pkt 5, dopuszczającego przetwarzanie danych, które są niezbędne do dochodzenia praw przed sądem. Przesłanki tej niewątpliwie nie wypełnia sam fakt, że rozmowy stały się dowodami w postępowaniach sądowych, nie świadczy to bowiem o ich "niezbędności" dla dochodzenia roszczeń. Jak wyżej wskazano, wadliwe jest też stanowisko, że decyzje organu obligują Bank do usunięcia zapisów z akt sprawy sądowej. Zarówno organ, jak i Sąd I instancji zajęły jasne stanowisko w kwestii skutków zaliczenia rozmów do materiału dowodowego spraw sądowych. Natomiast nie wskazano przepisu, który uzależnia dochodzenie roszczeń Banku od przedłożenia nagranych, ustnych wypowiedzi strony dotyczących powodów zaprzestania regulowania należności kredytowych. Podobnie wygląda sprawa w odniesieniu do zarzutu naruszenia art. 23 ust. 1 pkt 5 u.o.d.o. Nie było kwestionowane, że prawnie usprawiedliwionym celem przetwarzania danych jest dochodzenie roszczeń z tytułu działalności gospodarczej. Zasadnie jednak Sąd I instancji podzielił stanowisko, że uprawnienie to może być realizowane z poszanowaniem praw i wolności osoby, której dotyczą. Prawidłowe jest stanowisko Sądu I instancji, że nagrywanie rozmów bez wiedzy osoby nagrywanej jest formą inwigilacji, zbierania materiałów dotyczących tej osoby i mieści się w zakresie działań mogących kolidować z jej prawem do wolności od tego rodzaju zagrożeń, wymaga zatem legalizacji poprzez uzyskanie zgody. Niewątpliwie uczestniczka wiedziała, z kim rozmawia, ale nie wiedziała, że jej wypowiedź jest rejestrowana i dlatego dane osobowe w ten sposób przetworzone (zebrane i zgromadzone) podlegają usunięciu z zapisów. Nie miał także w sprawie zastosowania art. 7 ustawy Prawo bankowe, odnoszący się do dopuszczalności składnia w postaci elektronicznej oświadczeń woli związanych z dokonywaniem czynności bankowych. Przedmiotem ingerencji organu ochrony danych osobowych były czynności przetwarzania związane z nagrywaniem rozmów telefonicznych, a nie czynności dokonywane w formie elektronicznej. W stanie faktycznym nie stwierdzono też, aby w formie elektronicznej klientka udzieliła zgody na nagrywanie rozmów w badanym zakresie czynności podjętych przez Bank. Mając na uwadze podane argumenty, Naczelny Sąd Administracyjny, na podstawie art. 184 p.p.s.a. orzekł jak w sentencji o oddaleniu skargi kasacyjnej. O kosztach postępowania kasacyjnego postanowiono na podstawie art. 204 pkt 1 w zw. z art. 205 § 2 p.p.s.a.