II SA/Wa 110/21

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Ewa Kwiecińska (spr.), Sędzia WSA Agnieszka Góra-Błaszczykowska, Sędzia WSA Andrzej Góraj, po rozpoznaniu w trybie uproszczonym w dniu 8 października 2021 r. sprawy ze skargi [...] S.A. z siedzibą w W. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] listopada 2020 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę

Prezes Urzędu Ochrony Danych Osobowych wydał w dniu [...] listopada 2020 r. decyzję nr [...], którą 1. udzielił [...] Bankowi [...] S.A. z siedzibą w [...] upomnienia za naruszenie art. 6 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. U. U. E. L 119, 4 maja 2016), polegające na przetwarzaniu danych osobowych U. P. bez podstawy prawnej w celu oceny zdolności kredytowej w terminie od [...] maja 2018 r. do [...] października 2018 r. w bazie Biura Informacji Kredytowej S.A. z siedzibą w [...], 2. w pozostałym zakresie odmówił uwzględnienia wniosku. W uzasadnieniu decyzji z dnia [...] listopada 2020 r. Prezes Urzędu Ochrony Danych Osobowych stwierdził, iż do organu wpłynęła skarga U. P. na przetwarzanie jej danych osobowych przez Bank [...] S.A. z siedzibą w [...] oraz Biuro Informacji Kredytowej S.A. z siedzibą w [...]. Skarżąca wskazała, że Bank przetwarza jej dane osobowe dotyczące umowy kredytu mieszkaniowego nr [...] po ustaniu zobowiązania bez podstawy prawnej oraz wniosła o zaprzestanie przetwarzania jej danych osobowych dotyczących umowy kredytu w BIK, w trybie określonym w art. 105 ust. 3 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz. U. z 2019 r. poz. 2357 ze zm.). Prezes Urzędu Ochrony Danych Osobowych ustalił, że skarżąca otrzymała pismo Banku z dnia [...] kwietnia 2018 r. będące odpowiedzią na jej pismo z dnia [...] marca 2018 r. odnośnie umowy kredytu (w piśmie widnieje jako pożyczka hipoteczna), w którym Bank poinformował skarżącą, że cyt.: "W zakresie przetwarzania Pani danych w powiązaniu z umową pożyczki hipotecznej, mając na uwadze, że wierzytelność wynikająca z przedmiotowej umowy nie została przez Panią spłacona, lecz Bank dokonał jej przeniesienia na rzecz innego podmiotu, Pani dane będą przetwarzane przez BIK i MIG-BR przez okres 5-ciu lat licząc od daty przeniesienia wierzytelności na nabywcę, zgodnie z art. 105a ust. 5 ustawy Prawo bankowe, tj. do dnia [...] sierpnia 2021 r.". Bank pozyskał dane osobowe skarżącej w związku z zawartymi przez nią umowami na produkty bankowe: a) umowę kredytu o numerze [...], nr rachunku [...], otwartą dnia [...] sierpnia 2007 r. i zamkniętą/umorzoną dnia [...] sierpnia 2016 r., b) rachunek Superkonto z DSD nr [...] otwartego [...] sierpnia 2007 r. i zamkniętego dnia [...] października 2016 r., zwanego dalej superkonto. Celem pozyskania danych osobowych skarżącej w powyższych przypadkach było zawarcie umowy kredytu oraz superkonta. Dane osobowe skarżącej były pozyskane w zakresie: imię, nazwisko, nazwisko rodowe, imię ojca, imię matki, numer PESEL, data urodzenia, miejsce urodzenia, kraj urodzenia, obywatelstwo, typ i numer dowodu osobistego, adres zamieszkania, adres korespondencyjny, wykształcenie, nazwa pracodawcy, stan cywilny, numer telefonu. Bank nie wykazał, żeby nastąpiło przeniesienie wierzytelności z umowy kredytu na jakiegokolwiek nabywcę. Status tej wierzytelności został określony jako "w windykacji umorzony". Skarżąca nie wyraziła zgody na przetwarzanie jej danych osobowych po wygaśnięciu ww. zobowiązań. Bank przetwarza obecnie dane osobowe skarżącej w zakresie: imię, nazwisko, nazwisko rodowe, imię ojca, imię matki, numer PESEL, data urodzenia, miejsce urodzenia, kraj urodzenia, obywatelstwo, typ i numer dowodu osobistego, adres zamieszkania, adres korespondencyjny, wykształcenie, nazwa pracodawcy, stan cywilny, numer telefonu, celem realizacji umowy kredytu mieszkaniowego oraz umowy rachunku bankowego. Jako podstawę prawną przetwarzania danych osobowych skarżącej Bank wskazał art. 105 ust. 4 Prawa bankowego oraz przepisy rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 04.05.2016, str. 1 oraz Dz. Urz. UE L 127 z 23.05.2018, str. 2), zwanego dalej RODO. Bank przetwarzał dane skarżącej do celów oceny zdolności kredytowej, o czym została ona poinformowana listami zwykłymi. W dniu [...] października 2018 r. w systemach bankowych zmieniono wskaźnik na przetwarzanie danych skarżącej w zakresie umowy kredytowej na "warunki niespełnione", natomiast w zakresie superkonta wskaźnik ten został zmieniony w dniu [...] kwietnia 2019 r. W związku ze zmianami wskaźników w systemach bankowych dokonanymi w dniu [...] października 2018 r. i w dniu [...] kwietnia 2019 r., dane skarżącej przestały być przetwarzane do celów oceny zdolności kredytowej. Zgromadzone dane zostały przeniesione do celów stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 575/2013 z dnia 26 czerwca 2013 r. w sprawie wymogów ostrożnościowych dla instytucji kredytowych i firm inwestycyjnych, zmieniające rozporządzenie (UE) nr 648/2012 (Dz. Urz. UE L 176/1 z 27.06.2013 ze zm.), zwanego dalej rozporządzeniem 575/2013. Dane przetwarzanie dla ww. celów nie zawierają danych osobowych pozwalających na identyfikację osoby, do której dane należą. Prezes Urzędu Ochrony Danych Osobowych w uzasadnieniu decyzji z dnia [...] listopada 2020 r. nr [...] stwierdził, że przepisem uprawniającym administratorów danych do przetwarzania zwykłych danych osób fizycznych jest art. 6 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dziennik Urzędowy Unii Europejskiej, L 119, 4 maja 2016), zwanego dalej RODO, zgodnie z którym, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy spełniona jest jedna z przesłanek wskazanych w tym przepisie. Katalog przesłanek wymienionych w art. 6 ust. 1 RODO, jest zamknięty. Każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny. Co do zasady podstawą prawną przetwarzania danych osobowych klientów przez Bank w BIK jest obecnie art. 6 ust. 1 f RODO, tj. przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora. Przetwarzanie danych osobowych klientów Banku przez BIK odbywa się zgodnie z art. 28 ust. 3 RODO, tj. na podstawie zawartej z Bankiem będącym administratorem umowy powierzenia przetwarzania danych osobowych. BIK jest instytucją utworzoną na podstawie art. 105 ust. 4 Prawa bankowego, który stanowi, że banki mogą, wspólnie z bankowymi izbami gospodarczymi, utworzyć instytucje upoważnione do gromadzenia, przetwarzania i udostępniania bankom informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013, innym instytucjom ustawowo upoważnionym do udzielania kredytów informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są niezbędne w związku z udzielaniem kredytów, pożyczek pieniężnych, gwarancji bankowych i poręczeń (pkt 2), instytucjom kredytowym informacji stanowiących tajemnicę bankową w zakresie niezbędnym do oceny zdolności kredytowej konsumenta, o której mowa w art. 9 ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim (pkt 3), instytucjom pożyczkowym i podmiotom, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim na zasadzie wzajemności, informacji stanowiących odpowiednio tajemnicę bankową oraz informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, w zakresie niezbędnym do oceny zdolności kredytowej konsumenta, o której mowa w art. 9 tej ustawy, i analizy ryzyka kredytowego (pkt 4). Zgodnie z art. 105a ust. 1 Prawa bankowego, przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów, instytucje pożyczkowe oraz podmioty, o których mowa wart. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, a także instytucje utworzone na podstawie art. 105 ust. 4, informacji stanowiących tajemnicę bankową i informacji udostępnionych przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem art. 104, 105 i art. 106-106d Prawa bankowego w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Zgodnie zaś z art. 105a ust. 3 Prawa bankowego banki, instytucje oraz podmioty, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową i informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank, inną instytucję ustawowo upoważnioną do udzielania kredytów, instytucję pożyczkową albo podmiot, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, o zamiarze przetwarzania dotyczących jej tych informacji, bez jej zgody. Prezes UODO ustalił, że dane osobowe skarżącej były przetwarzane na podstawie art. 105a ust. 3 Prawa bankowego, o czym świadczy treść pisma z dnia [...] kwietnia 2018 r. Dane osobowe skarżącej miały być przetwarzane przez okres 5-ciu lat, licząc od daty przeniesienia wierzytelności na nabywcę, zgodnie z art. 105a ust. 5 Prawa bankowego, a jak wskazuje na to treść art. 105a ust 5, przetwarzanie informacji stanowiących tajemnicę bankową w przypadkach, o których mowa w ust. 3, może być wykonywane przez okres nie dłuższy niż 5 lat od dnia wygaśnięcia zobowiązania, co wskazuje, że dane osobowe były przetwarzane na podstawie art. 105a ust. 3 Prawa bankowego. Bank w swoich wyjaśnieniach wobec Urzędu Ochrony Danych Osobowych wskazał, iż dane skarżącej były przetwarzane do celów oceny zdolności kredytowej, o czym została ona poinformowana listami zwykłymi. Sam fakt, iż konsument nie wykonał zobowiązania lub spóźnił się z jego wykonaniem co najmniej 60 dni, nie upoważnia Banku do przetwarzania jego danych na warunkach określonych w art. 105a ust. 3 Prawa bankowego. Moment, od którego należy liczyć sześćdziesięciodniowy termin, w którym konsument dopuszcza się zwłoki w wykonaniu zobowiązania, to termin wykonania zobowiązania. Dopiero po upływie 60 dni zaczyna biec termin 30 dni, w którym instytucja oczekuje jeszcze na wykonanie zobowiązania klienta. Termin 30 dni biegnie od momentu, w którym konsument zostanie skutecznie poinformowany przez instytucję o zamiarze przetwarzania. Ostatecznie to bezskuteczny upływ 30 dni od momentu poinformowania stanowi wypełnienie przesłanek z art. 105a ust. 3 Prawa bankowego. Z powyższego wynika zatem, iż Bank przetwarzając dane skarżącej na warunkach określonych w ww. przepisie, musi wykazać, że została ona poinformowana o zamiarze przetwarzania ich bez jej zgody. Skarżąca podniosła natomiast, że okoliczności wskazywane w art. 105a pkt 3 Prawa bankowego nie zostały spełnione w związku z czym Bank nie jest uprawniony do przetwarzania jej danych osobowych w BIK. Bank podniósł natomiast, że ww. przesłanki, w tym poinformowanie skarżącej o okolicznościach wskazanych w art. 105a ust. 3 Prawa bankowego, zostały spełnione. Podkreślenia wymaga, że brak jest innych dowodów wskazujących na prawidłowe i skuteczne poinformowanie skarżącej o treści 105a ust. 3 Prawa bankowego niż oświadczenie Banku, pozostające w sprzeczności z twierdzeniami skarżącej. Bank nie przedstawił dowodu na prawidłowe doręczenie skarżącej dokumentu, w treści którego zawarta była informacja o okolicznościach wskazanych w art. 105a ust. 3 Prawa bankowego, zatem okoliczność skutecznego poinformowania skarżącej o treści art. 105a ust. 3 Prawa bankowego nie może zostać uznana za udowodnioną. Samo przedstawienie kopii nie stanowi dowodu na jej dostarczenie lub poinformowanie o jej treści adresata. W tym miejscu organ wskazał, że przepisy powszechnie obowiązujące nie formułują obowiązku wysłania informacji, o której mowa w art. 105a ust. 3 Prawa bankowego w szczególnej formie. To do podmiotu informującego należy zatem wybór formy przekazania odbiorcy komunikatu o zamiarze przetwarzania danych osobowych bez jego zgody. Jednocześnie to podmiot informujący wywodzi z powyższego skutki prawne, zatem to on musi wykazać, że poinformował skarżącą o zamiarze przetwarzania danych stanowiących tajemnicę bankową, bez jej zgody na podstawie art. 105a ust. 3 Prawa bankowego. Także zrzut ekranu komputerowego ww. aplikacji, z uwagi na "zakodowany" system zgromadzonych tam danych, bez głębszej analizy specjalistycznej (z zakresu informatyki), nie przedstawia wiarygodnego dowodu, iż poza wygenerowaniem przedmiotowych pism w istocie doszło do ich wysłania skarżącej. (...) Słuszne jest wprawdzie twierdzenie, że żaden przepis ustawy Prawo bankowe nie wymaga aby obowiązek informacyjny, o którym mowa wart. 105a ust. 3 tej ustawy, był realizowany przy pomocy przesyłek rejestrowanych - listów poleconych. Podkreślić jednak należy, iż w przypadku sporu ciężar dowodu doręczenia pisma spoczywa na stronie spełniającej obowiązek informacyjny. (...) Wprawdzie w toku postępowania administracyjnego organ orzekający ocenił przedstawione przez Bank dokumenty, ale nie wynika z nich realizacja przez Bank (...) w stosunku do skarżącej obowiązku informacyjnego (wysłania, a nie tylko wygenerowania pism). Jeśli więc oświadczenie zostało posłane adresatowi listem albo innym sposobem porozumiewania się na odległość, składający powinien wykazać np. za pomocą zwrotnego poświadczenia odbioru, że list (telegram) został adresatowi doręczony. Powstały dowód nadania listu poleconego nie jest dowodem doręczenia go adresatowi. Zdaniem organu w niniejszej sprawie nie zostały spełnione przesłanki z art. 105a ust 3 Prawa bankowego, zgodnie z którym Bank może przetwarzać informacje stanowiące tajemnicę bankową dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy bez ich zgody w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Prezes Urzędu w toku prowadzonego postępowania administracyjnego, również nie stwierdził okoliczności uprawniających Bank do przetwarzania danych osobowych skarżącej w oparciu o ww. podstawę prawną w powyższym celu. Dlatego też korzystając z uprawnienia przewidzianego w art. 58 ust. 2 lit. c RODO, Prezes Urzędu Ochrony Danych Osobowych nakazał Bankowi zaprzestanie przetwarzania na podstawie art. 105a ust. 3 Prawa bankowego danych osobowych skarżącej w BIK w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. W pismach z dnia [...] listopada 2018 r. i [...] kwietnia 2019 r. Bank wykazał, iż w dniu [...] października 2018 r. zmieniono wskaźnik na przetwarzanie danych skarżącej w zakresie umowy kredytowej na "warunki niespełnione", natomiast w zakresie superkonta wskaźnik został zmieniony w dniu [...] kwietnia 2019 r. W związku ze zmianą wskaźnika w systemie bankowym, dane skarżącej przestały być przetwarzane do celów oceny zdolności kredytowej. Zgromadzone dane zostały przeniesione do celów stosowaniu metod wewnętrznych. Wyjaśnienia BIK złożone pismem z dnia [...] grudnia 2018 r. potwierdzają, iż obecnie dane skarżącej przetwarzane są w celu stosowania metod wewnętrznych. Prezesowi Urzędu Ochrony Danych Osobowych przysługują uprawnienia naprawcze, w tym udzielanie upomnień administratorowi lub podmiotowi przetwarzającemu w przypadku naruszenia przepisów niniejszego rozporządzenia przez operacje przetwarzania (lit. b). Prezes Urzędu uznał, że w realiach niniejszej sprawy właściwe jest zastosowanie wobec Banku upomnienia za stwierdzone naruszenie przepisów o ochronie danych osobowych, tj. art. 5 ust. 1 RODO i 6 ust. 1 RODO, gdyż przetwarzanie danych osobowych skarżącej, polegające na udostępnieniu jej danych do bazy BIK, bez wypełnienia przesłanek z art. 105a ust. 3 Prawa bankowego nie miało podstawy prawnej, a zatem dane osobowe skarżącej były przetwarzane w bazie BIK bez podstawy prawnej. Odnosząc się do zarzutu skarżącej, że Bank przetwarza jej dane osobowe dotyczące umowy kredytu bez podstawy prawnej po ustaniu zobowiązania Prezes UODO wskazał, że przesłanki zgodności z prawem przetwarzania danych osobowych określa art. 6 ust. 1 RODO. Zgodnie z lit. a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów; zgodnie z lit. b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy; zgodnie z lit. c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze; zgodnie z lit. d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej; zgodnie z lit. e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi; oraz zgodnie z lit. f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. W przedmiotowej sprawie, podstawę prawną do przetwarzania danych osobowych skarżącej przez Bank po wygaśnięciu zobowiązania określa art. 6 ust. 1 lit. f) RODO w związku z art. 105a ust. 4 Prawa bankowego. Zgodnie z tym przepisem Banki oraz instytucje, o których mowa w art. 105 ust. 4, mogą przetwarzać stanowiące tajemnicę bankową informacje dotyczące osoby fizycznej po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której informacje dotyczą, do celów stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013. Terminy zakończenia przetwarzania określone są w art. 105a ust. 5 Prawa bankowego, zgodnie z którym przetwarzanie informacji stanowiących tajemnicę bankową w przypadkach, o których mowa w ust. 3, może być wykonywane przez okres nie dłuższy niż 5 lat od dnia wygaśnięcia zobowiązania, a w przypadku, o którym mowa w ust. 4, przez okres 12 lat od dnia wygaśnięcia zobowiązania. W tym miejscu organ wyjaśnił, iż od daty rozpoczęcia obowiązywania przepisów RODO, Prezes UODO ma możliwość nałożenia upomnienia za przetwarzanie danych niezgodne z przepisami. Nałożenie upomnienia w oparciu o przepisy RODO w stosunku do zdarzenia, które miało miejsce przed ww. datą, byłoby sprzeczne z przepisami. Nieprawidłowe przetwarzanie danych miało miejsce również po wejściu w życie RODO, tj. po 25 maja 2018 r., zasadnym zatem jest nałożenie upomnienia za przetwarzanie danych osobowych skarżącej przez Bank w BIK w terminie od 25 maja 2018 r., do czasu ich usunięcia, tj. do 30 października 2018 r. Odnosząc się do żądania skarżącej dotyczącego wydania nakazu zaprzestania przetwarzania na podstawie art. 105a ust. 3 Prawa bankowego danych osobowych w BIK w celu oceny zdolności kredytowej i analizy ryzyka kredytowego, Prezes zauważył, iż wydanie takiej decyzji w aktualnym stanie faktycznym nie jest możliwe. Bank zaprzestał przetwarzania danych osobowych skarżącej w BIK w dniu 30 października 2018 r. W związku z poczynionymi ustaleniami wydanie nakazu usunięcia danych, stanowiłoby nałożenie obowiązku niemożliwego do wykonania. Organ odmówił zatem uwzględnienia wniosku skarżącej. [...] S.A. z siedzibą w [...] wniósł do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] listopada 2020 r. nr [...]. Zaskarżonej decyzji Bank zarzucił naruszenie przepisów postępowania, które mogło mieć wpływ na wynik sprawy, tj.: 1. art. 7 k.p.a. w zw. z art. 77 § 1 k.p.a. w zw. art. 107 § 1 pkt 6 i § 3 k.p.a. poprzez dokonanie dowolnej, a nie swobodnej oceny dowodów w postaci: a) wniosku U. P. z dnia [...] października 2016 r., b) pisma Banku z dnia [...] października 2016 r. nr [...], c) pisma pełnomocnika U. P. z dnia [...] lutego 2017 r., d) pisma Banku z dnia [...] marca 2017 r. nr [...], e) odwołania wraz z wezwaniem do zapłaty złożonego przez pełnomocnika U. P. z dnia [...] listopada 2017 r., f) pisma Banku z dnia [...] kwietnia 2018 r. nr [...], g) skargi U. P. z dnia [...] sierpnia 2018 r. Z powyższych dokumentów, zdaniem Banku, wynika wprost, że U. P. została wielokrotnie poinformowana o zamiarze przetwarzania jej danych w trybie art. 105a ust. 3 Prawa Bankowego i zapoznała się z tą informacja najpóźniej 2 czerwca 2017 r. Powyższe doprowadziło do błędnego ustalenia, że Bank nie doręczył U. P. informacji o zamiarze dalszego przetwarzania jej danych osobowych, o którym to zawiadomieniu mowa w art. 105a ust. 3 Prawa bankowego, a w konsekwencji uznanie, że przetwarzanie danych U. P. nastąpiło w sposób nieuprawniony. Zaskarżonej decyzji Bank zarzucił również naruszenie przepisów: - art. 75 k.p.a. w zw. z art. 50 § 1 k.p.a. w zw. z art. 7 k.p.a. poprzez zaniechanie przeprowadzenia dowodu z zeznań osobistych U. P., w sytuacji w której jej pisemne oświadczenia, że nigdy nie poinformowano jej o zamiarze przetwarzania danych osobowych w związku z niespłaceniem zobowiązania, pozostawały wewnętrznie sprzeczne, co doprowadziło do błędnego ustalenia, że Bank nie doręczył U. P. informacji o zamiarze dalszego przetwarzania jej danych osobowych w sposób określony w art. 105a ust. 3 Prawa bankowego; - art. 105 § 1 k.p.a. w zw. z art, 104 § 1 k.p.a. w z. z art. 58 ust. 2 lit. b RODO poprzez udzielenie Bankowi upomnienia w sytuacji, w której Prezes UODO ustalił, że zarówno w chwili wydania zaskarżonej decyzji, podobnie jak i obecnie, przetwarzanie danych osobowych U. P. następuje w sposób zgodny z brzmieniem art. 105a Prawa bankowego, co doprowadziło do zbędnego zastosowania środka naprawczego; - art. 105 § 1 k.p.a. w zw. z art. 6 k.p.a. w zw. z art. 11 k.p.a. w zw. z art. 107 § 3 k.p.a. poprzez ustalenie w treści uzasadnienia zaskarżonej decyzji, że nieprawidłowe przetwarzanie danych osobowych U. P. miało miejsce przed dniem [...] maja 2018 r., chociaż Prezes UODO nie wskazał, w oparciu o jakie dane, informacje oraz normy prawne dokonał takiego ustalenia, co doprowadziło do nieuzasadnionego przesądzenia o faktach, które mogły mieć bezpośredni wpływ na sytuację prawną Banku; - art. 104 § 1 k.p.a. w zw. z art. 58 ust. 2 lit. b RODO poprzez rozstrzygnięcie sprawy w drodze decyzji administracyjnej, chociaż taka forma rozstrzygnięcia nie została przewidziana przez ustawodawcę, co skutkowało nieuzasadnionym wydaniem aktu administracyjnego. [...] S.A. z siedzibą w [...] zarzucił także naruszenie przepisu prawa materialnego, tj. art. art. 58 ust. 2 lit. b RODO poprzez jego błędną wykładnię i uznanie, że Prezes UODO może udzielić upomnienia w sytuacji, w której nieuprawnione przetwarzanie danych osobowych nie występuje. [...] S.A. z siedzibą w [...] wniósł o uchylenie zaskarżonej decyzji w całości i umorzenie postępowania, ewentualnie, w przypadku nieuwzględnienia powyższego wniosku, wniósł o uchylenie zaskarżonej decyzji. Zażądał ponadto zasądzenia od organu na rzecz Banku zwrotu kosztów postępowania, w tym koszów zastępstwa procesowego. W odpowiedzi na skargę organ wniósł o jej oddalenie oraz podtrzymał twierdzenia zawarte w uzasadnieniu przedmiotowej decyzji. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Zgodnie z art. 3 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz. U. z 2019 r. poz. 2325; zwanej dalej: "P.p.s.a,"), sądy administracyjne sprawują kontrolę działalności administracji publicznej i stosują środki określone w ustawie. Oznacza to, że zadaniem Wojewódzkiego Sądu Administracyjnego jest zbadanie legalności zaskarżonego aktu pod względem jego zgodności z prawem, to znaczy ustalenie czy organ orzekający w sprawie prawidłowo zinterpretował i zastosował przepisy prawa w odniesieniu do właściwie ustalonego stanu faktycznego. Kontrolując sprawę w ramach swoich kompetencji, Sąd uznał, że skarga nie zasługuje na uwzględnienie, bowiem zaskarżona decyzja nie narusza prawa w stopniu mającym wpływ na wynik sprawy. W pierwszej kolejności zauważyć należy, że skarga skierowana do Prezesa UODO dotyczyła ewentualnych naruszeń w przetwarzaniu danych osobowych przez Bank. Tym samym organ miał obowiązek zbadać, czy Bank, dopuścił się jakichkolwiek nieprawidłowości w przetwarzaniu danych osobowych skarżącej. Prezes UODO był przy tym związany treścią żądania zawartego we wniosku skarżącej z 28 maja 2018 r., w którym to wnioskodawczyni wskazała, że Bank przetwarza jej dane osobowe bez podstawy prawnej wynikającej z art. 105 a ust. 3 Prawa bankowego. Zgodnie z art. 6 ust. 1 rozporządzenia 2016/679, przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy – i w takim zakresie, w jakim – spełniony jest co najmniej jeden z poniższych warunków: a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów; b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy; c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze; d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej; e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi; f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Akapit pierwszy lit. f) nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań. Art. 57 ust.1 lit. f) ww. rozporządzenia stanowi natomiast, że bez uszczerbku dla innych zadań określonych na mocy niniejszego rozporządzenia każdy organ nadzorczy na swoim terytorium rozpatruje skargi wniesione przez osobę, której dane dotyczą, lub przez podmiot, organizację lub zrzeszenie zgodnie z art. 80, w odpowiednim zakresie prowadzi postępowania w przedmiocie tych skarg i w rozsądnym terminie informuje skarżącego o postępach i wynikach tych postępowań, w szczególności jeżeli niezbędne jest dalsze prowadzenie postępowań lub koordynacja działań z innym organem nadzorczym. Zgodnie z art. 58 ust. 1 powołanego rozporządzenia, każdemu organowi nadzorczemu przysługują wszystkie następujące uprawnienia w zakresie prowadzonych postępowań: a) nakazanie administratorowi i podmiotowi przetwarzającemu, a w stosownym przypadku przedstawicielowi administratora lub podmiotu przetwarzającego, dostarczenia wszelkich informacji potrzebnych organowi nadzorczemu do realizacji swoich zadań; b) prowadzenie postępowań w formie audytów ochrony danych; c) dokonywanie przeglądu udzielonych certyfikacji na mocy art. 42 ust. 7; d) zawiadamianie administratora lub podmiotu przetwarzającego o podejrzeniu naruszenia niniejszego rozporządzenia; e) uzyskiwanie od administratora i podmiotu przetwarzającego dostępu do wszelkich danych osobowych i wszelkich informacji niezbędnych organowi nadzorczemu do realizacji swoich zadań; f) uzyskiwanie dostępu do wszystkich pomieszczeń administratora i podmiotu przetwarzającego, w tym do sprzętu i środków służących do przetwarzania danych, zgodnie z procedurami określonymi w prawie unijnym lub w prawie państwa członkowskiego. W przedmiotowej sprawie, podstawę prawną do przetwarzania danych osobowych skarżącej przez Bank, stanowił przepis art.105 a ust. 3 Prawa bankowego, zaś podstawę prawną przetwarzania danych osobowych klientów przez Bank w Biurze Informacji Kredytowej stanowił art.6 ust. 1 lit. f RODO w związku z art. 28 ust. 3 RODO (przetwarzanie na podstawie zawartej z Bankiem będącym administratorem danych umowy powierzenia przetwarzania danych osobowych). Godzi się wyjaśnić, iż BIK jest instytucją utworzoną na podstawie art. 105 ust 4 Prawa bankowego, który stanowi, że banki mogą, wspólnie z bankowymi izbami gospodarczymi, utworzyć instytucje upoważnione do gromadzenia, przetwarzania i udostępniania bankom informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013, innym instytucjom ustawowo upoważnionym do udzielania kredytów informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są niezbędne w związku z udzieleniem kredytów, pożyczek pieniężnych, gwarancji bankowych i poręczeń (pkt 2), instytucjom kredytowym informacji stanowiących tajemnicę bankową w zakresie niezbędnym do oceny zdolności kredytowej konsumenta, o której mowa w art.9 ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim (pkt 3), instytucjom pożyczkowym i podmiotom, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim na zasadzie wzajemności, informacji stanowiących odpowiednio tajemnicę bankową oraz informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, w zakresie niezbędnym do oceny zdolności kredytowej konsumenta, o której mowa w art. 9 tej ustawy, i analizy ryzyka kredytowego (pkt 4). Zgodnie z art.105a ust.1 Prawa bankowego, przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów, instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, a także instytucje utworzone na podstawie art. 105 ust. 4, informacji stanowiących tajemnicę bankową i informacji udostępnionych przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem art. 104, 105 i art. 106 – 106d Prawa bankowego w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. W myśl natomiast art. 105a ust. 3 Prawa bankowego banki, instytucje oraz podmioty, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową i informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art.59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank, inną instytucję ustawowo upoważnioną do udzielania kredytów, instytucję pożyczkową albo podmiot, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, o zamiarze przetwarzania dotyczących jej tych informacji, bez jej zgody. Kwestia wykładni użytego w art.105a ust. 3 Prawa bankowego zwrotu "od poinformowania tej osoby przez bank" była wielokrotnie przedmiotem rozważań NSA i Wojewódzkiego Sądu Administracyjnego w Warszawie. W wyroku z dnia 27 sierpnia 2019 r. wydanym w sprawie sygn. akt I OSK 2514/17 NSA wyjaśnił, iż: "Z powołanego przepisu wyraźnie wynika, że przetwarzanie danych jest dopuszczalne, gdy >>po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank Skład orzekający w niniejszej sprawie podziela przytoczony powyżej pogląd prawny. Konieczną zatem była ocena przedstawionej przez Bank dokumentacji pod kontem wypełnienia powyższej przesłanki. W ocenie Sądu Prezes UODO trafnie stwierdził, iż Bank nie wykazał, że skarżąca została poinformowana o zamiarze przetwarzania jej danych osobowych na podstawie art. 105a ust.3 Prawa bankowego. Wyjaśnić należy, iż to rzeczą Banku jest wskazanie konkretnego dokumentu z którego wynika wykonanie powyższego obowiązku informacyjnego oraz wykazanie, iż dokument ten został doręczony osobie, o której mowa w tym przepisie. Tymczasem w niniejszej sprawie- jak wynika z treści skargi, Bank podkreślił iż to z treści korespondencji skarżącej wynika, iż posiadała ona wiedzę o zamiarze przetwarzanie jej danych osobowych w oparciu o przepis art.105a ust. 3 Prawa bankowego. Dodać należy, iż w skardze do WSA w Warszawie pełnomocnik Banku twierdził, iż "(...) fakt doręczenia wnioskodawczyni pism z [...] września 2009 r. oraz [...] sierpnia 2014 r. pozostaje sporny" (str.7 skargi). Odnosząc się z kolei do treści pism Banku z [...] października 2016 r. (k. 51 akt adm.) i [...] marca 2017 r. (k.53 akt adm. sprawy), które to pisma skarżącej- zdaniem Banku – stanowią "ostateczne wypełnienie obowiązków o których mowa w artykule 105a ust. 3 Prawa bankowego", stwierdzić należy, iż z ich treści nie wynika by stanowiły one wypełnienie przedmiotowego obowiązku informacyjnego. Treść tych pism wskazuje natomiast na już dokonane – w ocenie Banku – powiadomienie o zamiarze dalszego przetwarzania danych osobowych, co nie może zostać uznane – jak trafnie przyjął organ – za skuteczne poinformowanie skarżącej o zamiarze przetwarzania jej danych w kwestionowany sposób. Skoro zatem w niniejszej sprawie nie zostały spełnione przesłanki z art. 105a ust. 3 Prawa bankowego, to PUODO korzystając z uprawnienia przewidzianego w art. 58 ust.2 lit. b RODO, trafnie udzielił Bankowi w drodze decyzji administracyjnej upomnienia za naruszenie art. 6 ust.1 RODO polegającego na przetwarzaniu danych osobowych skarżącej bez podstawy prawnej w celu oceny zdolności kredytowej w okresie od [...] maja 2018 r. do [...] października 2018 r. w bazie BIK. Organ trafnie również odmówił uwzględnienia wniosku skarżącej w pozostałym zakresie, gdyż Bank zaprzestał przetwarzania danych osobowych skarżącej w BIK w dniu [...] października 2018 r. Mając na względzie powyższe Wojewódzki Sąd Administracyjny w Warszawie na podstawie art.151 P.p.s.a. orzekł jak w sentencji.