II SA/Wa 1179/25

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Sławomir Antoniuk, Sędzia WSA Izabela Głowacka-Klimas (spr.), Asesor WSA Mateusz Rogala, , Protokolant referent Magdalena Morawiec, po rozpoznaniu na rozprawie w dniu 14 kwietnia 2026 r. sprawy ze skargi [...] Polska S.A. z siedzibą w [...] na pkt 1-4 decyzji Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] maja 2025 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę

Zaskarżoną w niniejszej sprawie decyzją z [...] maja 2025 r. nr [...], Prezes Urzędu Ochrony Danych Osobowych (dalej także jako: Prezes UODO, Organ), na podstawie art. 104 § 1 oraz art. 105 § 1 Ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz.U. z 2024 r. poz. 572, dalej: k.p.a.) w zw. z art. 7 ust. 1 i 2 Ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (t.j. Dz. U. z 2019 r. poz. 1781, dalej: u.o.d.o.), na podstawie art. 15 ust. 3 i art. 58 ust. 2 lit. c oraz na podstawie art. 18 ust. 1 i art. 58 ust. 2 oraz na podstawie art. 6 ust. 1 i art. 58 ust. 2 lit. b Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23 maja 2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35), po przeprowadzeniu postępowania administracyjnego w sprawie skargi R. Z. (dalej: Uczestnik postępowania) na nieprawidłowości w procesie przetwarzania jego danych osobowych przez [...] S.A. z siedzibą w W. (dalej także jako: Skarżąca, Spółka, [...]) polegające na przetwarzaniu jego danych osobowych bez podstawy prawnej oraz ich udostępnieniu do [...] Sp. z o.o. z siedzibą w K. (dalej: C.) oraz przetwarzaniu tych danych w celach marketingowych bez podstawy prawnej, braku spełnienia obowiązku informacyjnego wynikającego z art. 14 ww. rozporządzenia, braku prawidłowej realizacji wniosku z art. 15 ust. 3 ww. rozporządzenia oraz braku ograniczenia przetwarzania danych osobowych, zgodnie z art. 18 ww. rozporządzenia, Prezes Urzędu Ochrony Danych Osobowych w: pkt 1 udzielił Spółce upomnienia za naruszenie art. 6 ust. 1 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4 maja 2016, str. 1, Dz. Urz. UE L 127 z 23 maja 2018 roku, str. 2 oraz Dz. Urz. UE L 74 z 4 marca 2021 roku, str. 35), polegające na przekazaniu danych osobowych Uczestnika postępowania do C. bez podstawy prawnej, w zakresie wynikającym z wniosku kredytowego z dnia [...] grudnia 2018 r. w okresie od [...] grudnia 2018 r. do [...] sierpnia 2024 r. oraz w zakresie wynikającym z wniosku kredytowego z dnia [...] marca 2019 r. w okresie od [...] marca 2019 r. do [...] sierpnia 2024 r.; w pkt 2 udzielił Spółce upomnienia za naruszenie art. 6 ust 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4 maja 2016, str. 1, Dz. Urz. UE L 127 z 23 maja 2018, str. 2 oraz Dz. Urz. UE L 74 z 4 marca.2021, str. 35), polegające na przetwarzaniu w dniu 16 stycznia 2023 r. danych osobowych Uczestnika postępowania w celach marketingowych z wykorzystaniem adresu poczty elektronicznej, bez podstawy prawnej; w pkt 3 nakazał Spółce udzielenie odpowiedzi Uczestnikowi postępowania na jego żądanie wniesione na podstawie art. 15 ust. 3 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 4 maja 2016 roku, str. 1, Dz. Urz. UE L 127 z 23 maja 2018, str. 2 oraz Dz. Urz. UE L 74 z 4 marca 2021 roku, str. 35), we wniosku z dnia [...] sierpnia 2024 r. poprzez dostarczenie mu pełnej kopii jego danych osobowych podlegających przetwarzaniu; w pkt 4 udzielił [...] upomnienia za naruszenie art. 12 ust. 1 i 3 w zw. z art. 15 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4 maja 2016, str. 1, Dz. Urz. UE L 127 z 23 maja 2018 roku, str. 2 oraz Dz. Urz. UE L 74 z 4 marca 2021 roku, str. 35), polegające na niespełnieniu wobec Uczestnika postępowania obowiązku informacyjnego wynikającego z art. 15 ust. 1 ww. rozporządzenia, w terminie określonym w art. 12 ust. 3 tego rozporządzenia; w pkt 5 odmówił uwzględnienia wniosku Uczestnika, w zakresie dotyczącym braku realizacji przez [....] żądania ograniczenia przetwarzania danych osobowych wyrażonego we wniosku z dnia [...] listopada 2024 r. na podstawie art. 18 ust. 1 ww. rozporządzenia; w pkt 6 umorzył postępowanie w zakresie niespełnienia przez [...] wobec Uczestnika obowiązku informacyjnego z art. 14 ww. rozporządzenia. Do wydania przedmiotowego rozstrzygnięcia doszło w następującym stanie faktycznym i prawnym. Do PUODO wpłynęła skarga Uczestnika postępowania z dnia 12 listopada 2024 r. na nieprawidłowości w procesie przetwarzania jego danych osobowych przez [...] polegające na przetwarzaniu jego danych osobowych bez podstawy prawnej oraz ich udostępnieniu do C. a także przetwarzaniu tych danych w celach marketingowych bez podstawy prawnej, braku spełnienia obowiązku informacyjnego wynikającego z art. 14 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4 maja 2016 roku, str. 1, Dz. Urz. UE L 127 z 23 maja 2018, str. 2 oraz Dz. Urz. UE L 74 z 4 marca 2021 roku, str. 35), dalej: RODO, braku prawidłowej realizacji wniosku z art. 15 ust. 3 RODO oraz braku ograniczenia przetwarzania danych osobowych, zgodnie z art. 18 RODO. Uczestnik postępowania w skardze inicjującej niniejsze postępowanie wskazał, że zawarł ze Spółką 25 lutego 2008 roku umowę, która została spłacona i zamknięta. Uczestnik wskazał również, że Spółka kierowała wobec niego treści marketingowe, cyt. "Z uwagi na dalsze bezprawne działanie Administratora na moich danych osobowych sprawa znalazła finał w sądzie. Prawomocnym wyrokiem z dnia [..] lutego 2014 r. wydanym w sprawie [...] Sąd Okręgowy w [...] stwierdził bezprawne działanie Spółki w zakresie przetwarzania i wykorzystywania moich danych osobowych oraz ustalił, że doszło do naruszenia dóbr osobistych". Uczestnik postępowania wskazał, że nie składał do Spółki więcej wniosków pożyczkowych, ale w dniu 16 stycznia 2023 roku ponownie otrzymał ofertę pożyczek od Spółki. Po telefonie do Spółki Uczestnik postępowania otrzymał maila z dnia 18 stycznia 2023 r., że ten mail z ofertą pożyczek to rzekoma pomyłka. W dniu [...] sierpnia 2024 r. Uczestnik skierował do Spółki wniosek o udzielenie mu informacji w myśl art. 15 ust. 1 RODO oraz o kopię jego danych osobowych w myśl ust. 3 tego przepisu. Wskazał, że Spółka nie udzieliła mu pełnej odpowiedzi na jego wniosek. Pismem z dnia 18 listopada 2024 r. Uczestnik zwrócił się do Spółki o ograniczenie przetwarzania jego danych osobowych na podstawie art. 18 RODO, wskazując, iż "Nie jest uzasadnione przetwarzanie moich danych osobowych w tak szerokim jak wskazany przez Państwa zakresie. Nie znajduję ku temu uzasadnienia i w przypadku braku usunięcia moich danych żądam ograniczenia ich przetwarzania w myśl art. 18 RODO. Jako podstawę żądania wskazuję, że przetwarzanie jest niezgodne z prawem, a administrator nie potrzebuje już moich danych do celów przetwarzania, a są one mi potrzebne do ustalenia, dochodzenia lub obrony roszczeń" (cyt. Uczestnika postępowania). W związku z powyższym Uczestnik wniósł do Prezesa UODO o nakazanie Spółce zaprzestania udostępniania jego danych osobowych do C. oraz zaprzestania wykorzystywania tych danych w celach marketingowych; nakazania Spółce ograniczenia przetwarzania jego danych osobowych; nakazania Spółce prawidłowego wypełniania obowiązku wydania kopii danych osobowych w myśl art. 15 ust. 3 RODO. Następnie Uczestnik wskazał również, iż w związku z pismem, które otrzymał od [...] Sp. z o.o. z siedzibą w W. z dnia [...] stycznia 2025 r. oraz wydruku ze strony [...], uzyskał informację, że Spółka pozyskała jego dane osobowe od tego podmiotu w grudniu 2024 roku i mimo to Uczestnik nie otrzymał od Spółki informacji, o której mowa w art. 14 RODO (dowód: skarga z dnia 12.11.2024 r. oraz pismo Uczestnika z dnia 17 lutego 2025 roku). W złożonych wyjaśnieniach Spółka wskazała, że pozyskała dane osobowe Uczestnika w związku z umową zawartą w dniu 25 lutego 2008 r. w celu jej zawarcia i wykonania. Spółka wyjaśniła, że ze względu na ustanie celu, w którym dane zostały zebrane, Spółka już nie posiada zakresu pozyskanych przy zawarciu umowy danych osobowych. Aktualnie Spółka przetwarza dane osobowe Uczestnika w zakresie: imię, nazwisko, płeć, data urodzenia, numer PESEL, obywatelstwo, numer dokumentu tożsamości, numer telefonu, adres email, adres zamieszkania/zameldowania, IP, dane dot. umowy z [...] lutego 2008 r. (numer umowy, data zawarcia, wysokość udzielonej pożyczki oraz całkowita kwota do spłaty, wysokość raty i częstotliwość ich spłaty, data spłacenia, status umowy oraz kanał sprzedaży), ID systemowy wniosków oraz inne informacje dot. wniosków o kredyt konsumencki (data i czas, wnioskowana kwota, wynik przeprowadzonej oceny zdolności kredytowej). Spółka przetwarza dane osobowe Uczestnika również w związku ze złożonymi wnioskami o kredyt konsumencki w dniach [...] czerwca 2017 r., [...] grudnia 2018 r., [...] marca 2019 r. na podstawie: – art. 6 ust. 1 lit. c) RODO, w celu realizacji obowiązków prawnych wynikających z art. 5 oraz z art. 31 ustawy o rozpatrywaniu reklamacji przez podmioty rynku finansowego i o Rzeczniku Finansowym, do odpowiedzi na reklamacje klientów oraz na wezwanie Rzecznika Finansowego, do czego niezbędne jest przetwarzanie danych osobowych, w związku z art. 32 tej ustawy, który mówi o zagrożeniu karą finansową za brak przekazania informacji na żądanie Rzecznika Finansowego. Biorąc pod uwagę składane od 2008 r. zgłoszenie/wnioski/skargi i reklamacje przez Uczestnika. – art. 6 ust. 1 lit. f) RODO, w ramach uzasadnionego interesu administratora w celach archiwalnych i dowodowych; przetwarzanie danych odbywa się w ramach tzw. prawnie uzasadnionego interesu Administratora, jakim jest np. obrona ewentualnych roszczeń, m.in. ze względu na przedmiotowe postępowanie administracyjne przed Urzędem Ochrony Danych Osobowych, w celu obrony przed ewentualnymi roszczeniami, w tym przedstawiania faktów i dowodów istotnych dla rozstrzygnięcia sprawy – przetwarzanie danych jest prawnie uzasadnione, w zw. z art. 75 Kodeksu postępowania administracyjnego oraz w związku z art. 118 Kodeksu cywilnego, wskazującym ogólny termin przedawnienia roszczeń (6 lat). Spółka wskazała, że podlega też Ustawie o kredycie konsumenckim i nadzorowi Komisji Nadzoru Finansowego oraz UOKIK i do czasu przedawnienia roszczeń musi zachować rozliczalność i dokumentację prawidłowości przebiegu współpracy z konsumentem. Spółka wskazała, że nie przetwarza danych osobowych Skarżącego w celach marketingowych. Spółka wyjaśniła także, że podczas składania wniosków w dniach [...] grudnia 2018 r. oraz [...] marca 2019 r. na dane Uczestnika, zostały wyrażone zgody na udostępnienie danych uczestnikom F. i P., za pośrednictwem platformy utrzymywanej przez C. o treści: "W celu oceny mojej zdolności kredytowej zgadzam się na udostępnienie przez [...] SA w terminie 30 dni moich danych zebranych w procesie wnioskowania o kredyt konsumencki (tj. imię, nazwisko, numer PESEL, seria i numer dowodu osobistego, adres, email, telefon, numer rachunku bankowego, nr IP urządzenia, za pośrednictwem którego złożono wniosek) Uczestnikom Forum Wiarygodnej Wymiany Informacji i Platformy Wymiany Informacji Pożyczkowej w celu uzyskania od nich przetwarzanych w ich zbiorach danych informacji o historii moich kredytów konsumenckich oraz wyników analiz statystycznych, zestawienie tych informacji oraz wyników analiz statystycznych przez [...] SA i ich przetwarzanie przez [...] SA przez 3 lata od ich udostępnienia" oraz "W celu oceny mojej zdolności kredytowej zgadzam się na udostępnienie [...] SA przez Uczestników Forum Wiarygodnej Wymiany Informacji i Platformy Wymiany Informacji Pożyczkowej w terminie 30 dni przetwarzanych w ich zbiorach danych informacji o historii moich kredytów konsumenckich oraz wyników analiz statystycznych, w tym informacji stanowiących tajemnicę zawodową uregulowaną w art. 11 ustawy z dnia 19 sierpnia 2011 r. o usługach płatniczych (t.j Dz. U. z 2020 r. poz. 794)". Spółka wskazała, że ze względu na wnioskowanie w sposób elektroniczny, dowodami na udzielenie powyższych zgód są zapisane informacje w systemie informatycznym Spółki, z których wydruk Spółka przedstawiła. Po uzyskaniu zgody, Spółka wysyła zapytania, które zawierają zakres danych wskazany w zgodzie, tj. imię, nazwisko, PESEL, serię i numer dowodu osobistego, adres, email, telefon, nr rachunku bankowego, nr IP urządzenia za pośrednictwem którego złożony został wniosek. Spółka wskazała, cytując: "Po wycofaniu zgody, dane przestają być udostępniane w ramach platformy, natomiast pozostają w zbiorze danych Spółki powierzonego do przetwarzania przez C. Zapytania te zostały usunięte z dniem [...] sierpnia 2024 r. o czym Uczestnik został poinformowany pismem z dnia 3 grudnia 2024 roku". Spółka wskazała, że zawarła umowę powierzenia danych osobowych z C. w dniu 9 listopada 2018 r. Spółka wskazała również, że podczas składania wniosku w dniu 17.06.2017 r. ww. zgody nie zostały wyrażone, w związku z czym dane nie zostały udostępnione. Spółka wskazała, że Uczestnik zwrócił się do Spółki w dniu 19.08.2024 r. drogą elektroniczną z wnioskiem z art. 15 RODO, w tym ust. 3. Uczestnik w ww. wniosku zwrócił się o wskazanie: a) celów przetwarzania jego danych osobowych w C. Sp. z o.o.; b) kategorii odnośnych danych osobowych w C. Sp. z o.o. i Spółce; c) informacji o odbiorcach lub kategoriach odbiorców, którym dane osobowe zostały lub zostaną ujawnione, w szczególności o odbiorcach w państwach trzecich lub organizacjach międzynarodowych; d) w miarę możliwości planowany okres przechowywania danych osobowych, a gdy nie jest to możliwe, kryteria ustalania tego okresu; e) jeżeli dane osobowe nie zostały zebrane od osoby, której dane dotyczą – wszelkie dostępne informacje o ich źródle; f) informacji o zautomatyzowanym podejmowaniu decyzji, w tym o profilowaniu, o którym mowa w art. 22 ust. 1 i 4, oraz – przynajmniej w tych przypadkach – istotne informacje o zasadach ich podejmowania, a także o znaczeniu i przewidywanych konsekwencjach takiego przetwarzania dla osoby, której dane dotyczą oraz o przekazanie kopii jego danych osobowych w myśl art. 15 ust. 3 RODO. Spółka ustosunkowała się do wniosku Uczestnika pismem z dnia 18 września 2024 r. wysłanym w tym samym dniu, w odpowiedzi na otrzymaną wiadomość elektroniczną wskazując, że C. jest podmiotem przetwarzającym dane na zlecenie Spółki na podstawie zawartej umowy, w tym umowy powierzenia zgodnie z art. 28 RODO. Spółka wskazała następnie cele, dla których jako administrator przetwarza jego dane osobowe. Spółka wskazała również: kategorie danych osobowych Uczestnika, które przetwarza; informację o odbiorcach oraz o przekazywaniu danych do państwa trzeciego (poza EOG); okres przechowywania danych; informację o zautomatyzowanym podejmowaniu decyzji, w tym profilowaniu. W treści tej odpowiedzi Spółka załączyła również kopię danych osobowych Uczestnika, w której znalazły się: imię, nazwisko, płeć, data urodzenia, numer PESEL, numer dokumentu tożsamości, numer telefonu, adres email, adres zamieszkania/zameldowania, IP, dane dot. umowy z dnia [...].02.2008 r. (numer umowy, data zawarcia, wysokość udzielonej pożyczki oraz całkowita kwota do spłaty, wysokość raty i częstotliwość ich spłaty, data spłacenia, status umowy oraz kanał sprzedaży), ID systemowy wniosków oraz inne informacje dot. wniosków o kredyt konsumencki (data i czas, wnioskowana kwota, wynik przeprowadzonej oceny zdolności kredytowej). Pismem z dnia 3 grudnia 2024 r. Spółka uzupełniła informację przekazaną Skarżącemu o wskazanie danych osobowych przetwarzanych przez C. w zakresie: Imię, Nazwisko, PESEL, Rodzaj i numer dokumentu tożsamości, Data urodzenia, Płeć, Adres, Numer telefonu, Wnioskowana kwota, Wnioskowany okres kredytowania w dniach, Wnioskowana waluta, Adres email, Adres IP, Deklarowane dochody, Kanał sprzedaży. Spółka wskazała, że w odpowiedzi udzieliła pełnej i rzetelnej kopii danych osobowych podając w odpowiedzi pełny zakres i treść przetwarzanych przez Spółkę danych, (dowód: wyjaśnienia Spółki z dnia 9 grudnia 2024 r.). Spółka wskazała również, że Uczestnik zwrócił się do Spółki w dniu 3 listopada 2024 r. drogą elektroniczną, w nawiązaniu do korespondencji w temacie przetwarzania danych w C., z wnioskiem o ograniczenie przetwarzania jego danych osobowych na podstawie art. 18 RODO. Spółka ustosunkowała się do wniosku Uczestnika pismem z dnia 3.12.2024 r. wysłanym w tym samym dniu, w odpowiedzi na otrzymaną wiadomość elektroniczną wskazując na ograniczenie przetwarzania danych poprzez usunięcie danych u podmiotu przetwarzającego – C. Spółka wskazała kolejno, że wysłanie wiadomości mailowej z 16 stycznia 2023 r. zostało spowodowane błędem technicznym systemu informatycznego Spółki. W tym samym dniu Spółka natychmiast podjęła działania naprawcze, zapobiegające powstawaniu podobnych błędów w przyszłości. Spółka wskazała również, że nie była to spersonalizowana wiadomość, która miała na celu przedstawienie konkretnej oferty. Spółka wskazała treść ww. wiadomości: "Zapisaliśmy dla Ciebie ofertę medyczną pożyczki wraz z abonamentem medycznym. Warto się pośpieszyć – oferta jest ważna tylko do [...]. Rzeczywista roczna stopa oprocentowania (RRSO): RRSO%. Więcej informacji o pożyczce znajdziesz na internetowym koncie. Zaloguj się na konto. Serdecznie pozdrawiamy, [...]". Spółka wyjaśniła, że poinformowała Uczestnika mailem z 18 stycznia 2023 r. o ww. błędnie wysłanej wiadomości, przesyłając prośbę o jej zignorowanie. Spółka wskazała, że na dzień wysyłki błędnej wiadomości Uczestnik miał wycofane zgody marketingowe oraz zaznaczony sprzeciw na marketing. Spółka wskazała nadto, że nie pozyskiwała danych osobowych Uczestnika od Spółki [...] Sp. z o.o., w związku z czym nie była zobowiązana do spełnienia obowiązku informacyjnego wynikającego z art. 14 RODO. Spółka wskazała, że zwróciła się do [...] Sp. z o.o. o sprostowanie dokumentów, w których [...] Sp. z o.o. wskazuje, że ujawnia dane partnerom, wymienionych na liście [...], wśród których wskazana jest Spółka. Spółka wyjaśniła, że informacje te są błędne, gdyż Spółka nie pozyskuje żadnych danych osobowych od [...] sp. z o.o. Spółka wskazała również, że Uczestnik nie występował wobec Spółki z nowymi roszczeniami, skargą lub wnioskiem, które do chwili obecnej nie zostały rozpoznane. Również Spółka nie występowała i w chwili obecnej nie zamierza wystąpić z roszczeniem wobec Uczestnika. Spółka wskazała, cytując, "Od ostatnio rozpatrzonego przez Spółkę wniosku, na który odpowiedź została wysłana 3 grudnia 2024 r., rozpoczął się termin przedawnienia roszczeń, w trakcie którego Uczestnik może wnieść roszczenie wobec Spółki. W związku z czym, Spółka ma podstawę prawną do przetwarzania danych osobowych Uczestnika przez najbliższe 6 lat. Poza tym, ze względu na obecnie trwające postępowanie przed Urzędem, istnieje uzasadnienie, że Uczestnik wniesie roszczenie wobec Spółki. Warto wskazać, że Spółka jest uprawniona do przetwarzania danych osobowych Uczestnika na podstawie prawnie uzasadnionego interesu administratora (art. 6 ust. 1 lit. f RODO) przez okres przedawnienia roszczeń, nawet jeżeli Spółka jeszcze nie zidentyfikowała konkretnego istniejącego roszczenia, co oznacza, że nie jest to z perspektywy art. 5 ust. 1 lit e RODO nadmiarowe przetwarzanie danych osobowych". W złożonych wyjaśnieniach C. wskazał, że nie przetwarza obecnie przekazanych przez Spółkę danych osobowych Uczestnika oraz nie posiada również informacji, czy w przeszłości przetwarzał dane osobowe Uczestnika przekazane przez Spółkę. Po przeprowadzeniu postępowania administracyjnego PUODO wydał zaskarżoną decyzję z dnia [...] maja 2025 r., nr. [...]. W uzasadnieniu ww. decyzji wskazał, że RODO określa obowiązki administratora danych do których należy przetwarzanie danych osobowych z zachowaniem przesłanek określonych w RODO. Przepisem regulującym przesłanki przetwarzania danych osobowych przez administratorów jest art. 6 ust. 1 RODO. Katalog przesłanek wymienionych w art. 6 ust. 1 RODO jest zamknięty. Każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny. Oznacza to, że przesłanki te, co do zasady, są równoprawne, a wobec tego spełnienie co najmniej jednej z nich stanowi o zgodnym z prawem przetwarzaniu danych osobowych. W konsekwencji zgoda osoby, której dane dotyczą nie jest jedyną podstawą przetwarzania danych osobowych, ponieważ proces przetwarzania danych będzie zgodny z RODO również wówczas, gdy administrator danych wykaże spełnienie innej z wyżej wymienionych przesłanek. Niezależnie od zgody osoby, której dane dotyczą (art. 6 ust. 1 lit. a RODO) przetwarzanie danych osobowych jest dopuszczalne między innymi wtedy, gdy jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą (art. 6 ust. 1 lit. b RODO), gdy jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze (art. 6 ust. 1 lit. c RODO), jak również, gdy jest niezbędne do realizowania celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych w szczególności, gdy osoba, której dane dotyczą, jest dzieckiem (art. 6 ust. 1 lit. f RODO). Organ podkreślił, że każdy administrator obowiązany jest do przestrzegania zasad dotyczących przetwarzania danych osobowych, o których mowa w art. 5 ust. 1 RODO. Zgodnie z tym przepisem dane osobowe muszą być m.in. przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą ("zgodność z prawem, rzetelność, przejrzystość"), adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane ("minimalizacja danych"), prawidłowe i w razie potrzeby uaktualniane; należy podjąć wszelkie rozsądne działania, aby dane osobowe, które są nieprawidłowe w świetle celów ich przetwarzania, zostały niezwłocznie usunięte lub sprostowane ("prawidłowość"). Każde przetwarzanie danych osobowych musi mieć oparcie w przesłankach uregulowanych przepisami prawa. Zgodnie z art. 7 ust. 3 RODO osoba, której dane dotyczą, ma prawo w dowolnym momencie wycofać zgodę. Wycofanie zgody nie wpływa na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej wycofaniem. Osoba, której dane dotyczą, jest o tym informowana, zanim wyrazi zgodę. Wycofanie zgody musi być równie łatwe jak jej wyrażenie. Ponadto, jak stanowi art. 17 ust. 1 lit. b RODO Osoba, której dane dotyczą, ma prawo żądania od administratora niezwłocznego usunięcia dotyczących jej danych osobowych, a administrator ma obowiązek bez zbędnej zwłoki usunąć dane osobowe, jeżeli osoba, której dane dotyczą, cofnęła zgodę, na której opiera się przetwarzanie zgodnie z art. 6 ust. 1 lit. a) i nie ma innej podstawy prawnej przetwarzania. Z ustalonego w niniejszej sprawie stanu faktycznego wynika, że Spółka pozyskała i przetwarzała dane osobowe Uczestnika w związku z zawarciem z nim umowy z [...] lutego 2008 r. oraz wnioskami o kredyt konsumencki złożonymi w dniach [...] czerwca 2017 r., [...] grudnia 2018 r., [...] marca 2019 r. Podczas składania wniosków w dniach [...] grudnia 2018 r. oraz [...] marca 2019 r. Uczestnik wyraził zgody na udostępnienie jego danych uczestnikom F. i P. za pośrednictwem platformy utrzymywanej przez C. Na podstawie ww. zgód Uczestnika oraz na podstawie zawartej między Spółką a C. umowy powierzenia przetwarzania danych osobowych z dnia 9 listopada 2018 r., Spółka udostępniła do C. dane osobowe Uczestnika w trybie art. 28 RODO, w celu ich udostępnienia innym uczestnikom PIWP (Platformy Wymiany Informacji Pożyczkowej). W związku z wycofaniem powyższych zgód, zapytania te zostały usunięte z C. z dniem 28 sierpnia 2024 r. W ocenie PUODO zgoda pożyczkobiorcy na udostępnienie jego danych osobowych innym podmiotom nie jest jednak w każdym wypadku wystarczającą podstawą udostępnienia przez instytucję pożyczkową danych osobowych innemu podmiotowi. Analiza stanu faktycznego ustalonego w przedmiotowej sprawie prowadzi do wniosku, że zgody Uczestnika na przetwarzanie jego danych osobowych przez C. nie zostały wyrażone skutecznie. Organ przywołał treść art. 9 ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim (Dz. U. z 2023 r. poz. 1028, dalej: u.k.k.), kredytodawca przed zawarciem umowy o kredyt konsumencki jest zobowiązany do dokonania oceny zdolności kredytowej konsumenta (ust. 1). Ocena zdolności kredytowej dokonywana jest na podstawie informacji uzyskanych od konsumenta lub na podstawie informacji pozyskanych z odpowiednich baz danych lub zbiorów danych kredytodawcy (ust. 2). Następnie Organ powołał się na art. 105a ust. 1 Ustawy Prawo bankowe (Dz. U. z 2023 r. poz. 2488 ze zm.) oraz na art. 104 ust. 1 i art. 105a ust. 4 tej ustawy, które to przepisy odnoszą się do tajemnicy bankowej oraz instytucji upoważnionych do gromadzenia, przetwarzania i udostępniania m.in. instytucjom pożyczkowym i podmiotom, o których mowa w art. 59d u.k.k. – na zasadzie wzajemności, informacji stanowiących odpowiednio tajemnicę bankową oraz informacji udostępnionych przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d u.k.k., w zakresie niezbędnym do oceny zdolności kredytowej konsumenta, o której mowa w art. 9 tej ustawy, i analizy ryzyka kredytowego (pkt 4). Organ podkreślił ponadto, że w stosunku do instytucji pożyczkowych, kwestia tajemnicy bankowej została dodatkowo uregulowana w art. 59c u.k.k., który stanowi, że instytucja pożyczkowa i podmiot, o którym mowa w art. 59d, oraz osoby w nich zatrudnione, w tym na podstawie umowy o dzieło, umowy zlecenia lub innej umowy o podobnym charakterze, są obowiązane zachować w tajemnicy informacje stanowiące tajemnicę bankową, udostępnione zgodnie z art. 105 ust. 4 pkt 4 Prawa bankowego. Przetwarzanie tych informacji przez instytucję pożyczkową i podmiot, o którym mowa w art. 59d, może być wykonywane wyłącznie w celu oceny zdolności kredytowej konsumenta, o której mowa w art. 9, i analizy ryzyka kredytowego. Ten obowiązek trwa również po zaprzestaniu prowadzenia działalności jako instytucja pożyczkowa oraz po ustaniu wskazanych powyżej stosunków prawnych. Tym samym Organ stwierdził, że kwestia przetwarzania danych osobowych stanowiących tajemnicę bankową jest ściśle regulowana przepisami ww. ustaw. Mając powyższe na uwadze Organ zauważył, że częścią zawieranych przez Uczestnika i Spółkę umów były oświadczenia, w których Uczestnik wyrażał zgodę na udostępnianie przez Spółkę jego danych osobowych innym kredytodawcom – Uczestnikom Platformy Wymiany Informacji Pożyczkowej i na udostępnianie przez nich Spółce informacji o historii jego pożyczek oraz zestawianie tych informacji przez Spółkę. Nadto w złożonych oświadczeniach Uczestnik wyraził zgodę na przetwarzanie, w analizach statystycznych przez 3 lata, jego danych osobowych zebranych w procesie wnioskowania o pożyczkę, a także na ich udostępnianie przez Spółkę innym kredytodawcom – Uczestnikom Platformy Wymiany Informacji Pożyczkowej. Upoważnienia powyższe zezwalały Spółce o zwrócenie się do jednej z instytucji, o których mowa w art. 105 ust. 4 Prawa bankowego o udostępnienie informacji, w tym stanowiących tajemnicę bankową w związku z złożeniem przez Uczestnika do Spółki wniosku o udzielenie pożyczki. Ma to o tyle istotne znaczenie, że zakres udzielonych zgód dotyczących udostępnienia danych osobowych Uczestnika na rzecz C. dotyczy informacji pozyskanych w trakcie oceny zdolności kredytowej Uczestnika w związku z jego wnioskiem o udzielenie pożyczki, czyli w tym również informacji stanowiących tajemnicę bankową pozyskanych od instytucji, o której mowa w art. 105 ust. 4 Prawa bankowego. Takiej formy zgody na udostępnienie danych osobowych będących informacjami stanowiącymi tajemnicę bankową pozyskanych przez instytucję pożyczkową od instytucji, o której mowa w art. 105 ust. 4 Prawa bankowego nie przewiduje wskazany wcześniej art. 105 tejże ustawy. Co najważniejsze jednak, C. nie znajduje się w katalogu podmiotów wskazanych w art. 105 ust. 4, którym jako podmiotom przetwarzającym lub odrębnym administratorom, instytucje powstałe na podstawie powyższego przepisu mogą udostępnić informacje stanowiące tajemnicę bankową. Organ wskazał, że zasady m.in. udostępnienia informacji gospodarczych dotyczących wiarygodności płatniczej, a także ich ujawniania przechowywania, aktualizacji i usuwania zostały uregulowane w ustawie z dnia 9 kwietnia 2010 r. o udostępnianiu informacji gospodarczych i wymianie danych gospodarczych (Dz. U. z 2023 r., poz. 2160, dalej: ustawa o BIG), jak wskazano w art. 1 ust. 1 tejże ustawy. Zgodnie natomiast z art. 4 ustawy o BIG udostępnianie informacji gospodarczych osobom trzecim, nieoznaczonym w chwili przeznaczania tych informacji do udostępniania, następuje wyłącznie za pośrednictwem biura informacji gospodarczej, chyba że przepisy prawa przewidują inny tryb udostępniania danych. Jak wskazano w art. 7 ust. 1 ustawy o BIG przedmiotem działalności gospodarczej biura jest pośrednictwo w udostępnianiu informacji gospodarczych, polegające na przyjmowaniu informacji gospodarczych od wierzycieli, przechowywaniu i ujawnianiu tych informacji. Dodatkowo zgodnie z ust. 2 przepisu przedmiotem działalności gospodarczej biura może być również: 1) przetwarzanie archiwalnych informacji gospodarczych, o których mowa w art. 21 ust. 3 i 4, dla celów statystycznych, dotyczących dłużników niebędących konsumentami; 1 a) uzyskiwanie na zlecenie klienta biura danych z rejestru, o którym mowa w art. 28 ust. 1 pkt 1; 1 b) uzyskiwanie i przetwarzanie w zakresie uzasadnionym wykonywaniem ustawowych uprawnień lub obowiązków danych z rejestrów, o których mowa w art. 28 ust. 1 pkt 2-4, oraz danych zawartych w Monitorze Sądowym i Gospodarczym; 1 c) uzyskiwanie na zlecenie klienta biura i przetwarzanie w zakresie uzasadnionym wykonywaniem ustawowych uprawnień lub obowiązków danych z rejestrów, o których mowa w art. 28 ust. 1 pkt 5 lub 6; 1 d) dokonywanie analizy wiarygodności płatniczej podmiotu niebędącego konsumentem; 2) zarządzanie majątkiem biura; 3) prowadzenie działalności szkoleniowej lub edukacyjnej w zakresie objętym działalnością biura. Ponadto, biuro informacji gospodarczej, jak wskazano w art. 7 ust. 4 ustawy o BIG, nie może powierzyć innym podmiotom wykonywania czynności związanych z przedmiotem działalności gospodarczej, o którym mowa w ust. 1 i 2, z wyjątkiem innych biur oraz instytucji utworzonych na podstawie art. 105 ust. 4 Prawa bankowego. Mając powyższe na uwadze Organ wskazał, że nie sposób traktować C. jako podmiot mogący pełnić funkcję biura informacji gospodarczej, ani też jako instytucję z art. 105 ust. 4 Prawa bankowego, której biuro informacji gospodarczej mogłoby powierzyć czynności związane z przedmiotem swojej działalność. C. działa w formie prawnej spółki z ograniczoną odpowiedzialnością, a tymczasem, jak wskazano w ustawie o BIG, biuro informacji gospodarczej: może być prowadzone wyłącznie w formie spółki akcyjnej, o kapitale zakładowym nie mniejszym niż 4 000 000 złotych (art. 5 ust. 1); jest obowiązane używać w swojej firmie wyrazów "biuro informacji gospodarczej" (art. 8 ust. 1). Dodatkowo, zgodnie z art. 11a ust. 1 i 2 ustawy o BIG, biuro informacji gospodarczej jest zobowiązane do zawiadomienia ministra właściwego do spraw gospodarki o podjęciu oraz o zaprzestaniu wykonywania działalności gospodarczej, a także o adresie, na który należy przekazywać informacje gospodarcze, i o jego zmianach, w terminie 7 dni od dnia zaistnienia tych zdarzeń. Minister właściwy do spraw gospodarki udostępnia oraz aktualizuje w Biuletynie Informacji Publicznej wykaz biur wykonujących działalność gospodarczą oraz ich adresów, na które należy przekazywać informacje gospodarcze. W wykazie biur informacji gospodarczej opublikowanej w biuletynie informacji publicznej Ministerstwa Rozwoju i Technologii, C. nie został zaś wskazany. Mając na uwadze powyższe przepisy prawa oraz materiał dowodowy zebrany w niniejszej sprawie, C. w kwestionowanym procesie przetwarzania danych osobowych Uczestnika pełnił rolę podmiotu przetwarzającego działającego na podstawie umowy powierzenia przetwarzania danych osobowych. W powyższej umowie Spółka, jako administrator danych osobowych, oraz C., jako podmiot przetwarzający, zawarły zapisy regulujące proces przetwarzania danych osobowych w ramach ich współpracy. Należy jednak podkreślić, że kwestie gromadzenia informacji gospodarczej oraz tajemnicy bankowej zostały uregulowane przez ustawodawcę, a w świetle powołanych powyżej przepisów nie budzi wątpliwości, że C. nie spełnia wymogów, które uprawniałyby go do przetwarzania danych osobowych zawartych w informacji gospodarczej lub objętej tajemnicą bankową. W konsekwencji należy uznać, że umowa powierzenia danych osobowych została zawarta między Spółką i podmiotem, który nie spełnia wymogów określonych w powyższych przepisach prawa. Zawarcie z nim umowy na podstawie art. 28 ust. 3 RODO było tym samym niedopuszczalne. Wobec powyższego, w ocenie Prezesa UODO, udostępnienie danych osobowych Skarżącego do C. przez Spółkę od samego początku, tj. od momentu składania wniosków w dniach [...].12.2018 r. oraz [...].03.2019 r., pozbawione było podstaw prawnych. C. nie jest podmiotem spełniającym warunki określone w przepisach prawa, w tym w art. 105 ust. 4 Prawa bankowego, nie może pełnić funkcji biura informacji gospodarczej, ani też nie jest instytucją z art. 105 ust. 4 Prawa bankowego, której biuro informacji gospodarczej mogłoby powierzyć czynności związane z przedmiotem swojej działalności. Ostatecznie dane osobowe Uczestnika postępowania wynikające z wniosków z [...].12.2018 r. oraz [...].03.2019 r. zostały usunięte z C. w dniu 28.08.2024 r. Obecnie C. nie przetwarza danych osobowych Uczestnika. Odnosząc się do podniesionego przez Uczestnika zarzutu podejmowania wobec niego przez Spółkę działań o charakterze marketingowym bez podstawy prawnej, z ustalonego w sprawie materiału dowodowego wynika, że w dniu 16 stycznia 2023 r. Uczestnik otrzymał ofertę pożyczki od Spółki. Spółka przyznała, że wysłanie tej wiadomości zostało spowodowane błędem technicznym systemu informatycznego Spółki oraz że na ten dzień Uczestnik miał wycofane zgody marketingowe oraz zaznaczony sprzeciw na marketing. Organ nie podziela stanowiska Spółki, iż ww. wiadomość z dnia 16 stycznia 2023 r., skierowana do Uczestnika, nie miała charakteru marketingowego. Wskazuje się, że cyt.: "Istotą marketingu bezpośredniego jest dostarczanie informacji o możliwości nabycia towarów lub usług oraz składanie potencjalnym klientom propozycji zawarcia umowy. Pojęcie marketingu bezpośredniego występuje wielokrotnie w motywach i przepisach dyrektywy o prywatności. Pojęcie to obejmuje wszelkie formy reklamy i promocji, w ramach których materiały o takiej zawartości kierowane są bezpośrednio do zidentyfikowanego podmiotu lub podmiotów przy użyciu usług łączności elektronicznej. Poza oferowaniem produktów i usług w celach komercyjnych pojęcie to obejmować może również promowanie celów pozagospodarczych" (Art. 172 PrTelekom Piątek 2019, wyd. 4/Piątek, Legalis). Prezes UODO podzielił stanowisko Naczelnego Sądu Administracyjnego (dalej: NSA), wyrażone w wyroku z dnia 5 grudnia 2018 r. o sygn. I OSK 53/17, w którym NSA stwierdził, że za marketing należy uznać informację o produktach, które stanowią podkreślenie ich atrakcyjności i nakłonienie do działania polegającego na skorzystaniu z prezentowanej oferty. Ponadto, zgodnie z ww. wyrokiem NSA, działania marketingowe mają nie tyle informować, co przekonywać do podjęcia określonych działań poprzez oddziaływanie na emocje odbiorcy. W ocenie Prezesa UODO, wiadomość z dnia 16 stycznia 2023 r. skierowana do Uczestnika miała charakter marketingowy, gdyż wskazała bezpośrednio Uczestnikowi na możliwość skorzystania z oferty pożyczki i nakłaniała Uczestnika, by zalogował się na swoje konto celem akceptacji oferty. Zgodnie z motywem 47 RODO, podstawą prawną przetwarzania mogą być prawnie uzasadnione interesy administratora, w tym administratora, któremu mogą zostać ujawnione dane osobowe, lub strony trzeciej, o ile w świetle rozsądnych oczekiwań osób, których dane dotyczą, opartych na ich powiązaniach z administratorem nadrzędne nie są interesy lub podstawowe prawa i wolności osoby, której dane dotyczą. Taki prawnie uzasadniony interes może istnieć na przykład w przypadkach, gdy zachodzi istotny i odpowiedni rodzaj powiązania między osobą, której dane dotyczą, a administratorem, np. gdy osoba, której dane dotyczą, jest klientem administratora lub działa na jego rzecz. Aby stwierdzić istnienie prawnie uzasadnionego interesu, należałoby w każdym przypadku przeprowadzić dokładną ocenę, w tym ocenę tego, czy w czasie i w kontekście, w którym zbierane są dane osobowe, osoba, której dane dotyczą, ma rozsądne przesłanki by spodziewać się, że może nastąpić przetwarzanie danych w tym celu. Interesy i prawa podstawowe osoby, której dane dotyczą, mogą być nadrzędne wobec interesu administratora danych w szczególności w przypadkach, gdy dane osobowe są przetwarzane w sytuacji, w której osoby, których dane dotyczą, nie mają rozsądnych przesłanek, by spodziewać się dalszego przetwarzania. Za działanie wykonywane w prawnie uzasadnionym interesie można uznać przetwarzanie danych osobowych do celów marketingu bezpośredniego. Powyższe oznacza, że w przypadku, gdy nie zachodzi istotny i odpowiedni rodzaj powiązania między osobą, której dane dotyczą, a administratorem (np. osoba, której dane dotyczą przestała być klientem administratora lub nigdy nim nie była), administrator nie może przetwarzać danych osobowych ww. osoby w celach marketingowych oparciu o art. 6 ust. 1 lit. f RODO, gdyż nie może być wówczas mowy o prawnie uzasadnionym interesie administratora, nadrzędnym nad interesami lub podstawowymi prawami i wolnościami osoby, której dane dotyczą. W takim przypadku administrator, by przetwarzać dane osobowe w sposób legalny, powinien uzyskać zgodę osoby, której dane dotyczą, na przetwarzanie jej danych osobowych w celach marketingowych. Podkreślić należy, że Spółka przyznała, iż na dzień wysłania Uczestnikowi ww. wiadomości marketingowej, nie posiadała jego zgód na marketing oraz zaznaczony został sprzeciw na marketing. Należy ponadto wskazać, że zgodnie z art. 10 ust. 1 i 2 Ustawy z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną (t.j. Dz.U. z 2020 r. poz. 344; dalej: ustawa o świadczeniu usług drogą elektroniczną) w brzmieniu obowiązującym na dzień 16 stycznia 2023 r., zakazane było przesyłanie niezamówionej informacji handlowej skierowanej do oznaczonego odbiorcy będącego osobą fizyczną za pomocą środków komunikacji elektronicznej, w szczególności poczty elektronicznej. Przy czym informację handlową uważa się za zamówioną, jeżeli odbiorca wyraził zgodę na otrzymywanie takiej informacji, w szczególności udostępnił w tym celu identyfikujący go adres elektroniczny. Powyższe przepisy uzależniały zatem możliwość prowadzenia marketingu bezpośredniego oraz przesyłania informacji handlowej od uzyskania odpowiedniej zgody w tym zakresie. Mając powyższe na uwadze, wskazać należy, że przy wykorzystaniu poczty elektronicznej do prowadzenia marketingu bezpośredniego, Spółka miała obowiązek uzyskania od Uczestnika ww. zgody, jednak nie była to zgoda na podstawie art. 6 ust. 1 lit. a RODO, tylko zgoda, o której mowa w ww. powołanych przepisach ustawy o świadczeniu usług drogą elektroniczną. Materiał dowodowy, zebrany w aktach sprawy wskazuje, że Uczestnik nie wyraził zgody na prowadzenie wobec niego marketingu bezpośredniego za pomocą środków komunikacji elektronicznej, w szczególności poczty elektronicznej. Uczestnik, w dniu 16 stycznia 2023 r. nie był także klientem Spółki. Tym samym należy uznać, że aby przetwarzać dane w celach marketingowych administrator powinien mieć na to oddzielną zgodę, zgodnie z art. 6 ust. 1 lit. a RODO. W ocenie Prezesa UODO, Spółka nie miała zatem podstaw prawnych do przetwarzania danych osobowych Uczestnika na potrzeby marketingu bezpośredniego. W procesie przetwarzania danych osobowych Uczestnika przez Spółkę doszło zatem do naruszenia art. 6 ust. 1 RODO. Ponadto Spółka nie dołożyła należytej staranności w wypełnieniu swoich obowiązków jako administratora, tj. nie wykazała, aby uzyskała zgodę Uczestnika na otrzymywanie materiałów marketingowych drogą elektroniczną. Nie przedłożyła również dowodu na wyrażenie przez Uczestnika zgody na przetwarzanie jego danych osobowych, w tym na przetwarzanie jego adresu poczty elektronicznej w celach marketingu bezpośredniego. Z ustalonego w niniejszej sprawie stanu faktycznego wynika zatem, że w dniu 16 stycznia 2023 r. Spółka przetwarzała dane osobowe Uczestnika, który nie był jej klientem, w celach marketingowych. W ocenie Organu, prowadzenie marketingu bezpośredniego przez Spółkę wobec Uczestnika we wskazanym powyżej okresie nie mogło odbywać się w oparciu o powołaną wyżej przesłankę wyrażoną w art. 6 ust. 1 lit. f RODO. Spółka nie posiadała także zgody Uczestnika na przetwarzanie jego danych w celach marketingowych, zgodnie z art. 6 ust. 1 lit. a RODO. Po stronie Uczestnika nie zachodziły rozsądne przesłanki by spodziewać się, że jego dane osobowe mogą nadal być przetwarzane przez Spółkę w celu marketingu bezpośredniego. Uczestnik nie był klientem Spółki, nie wyraził zgody na przetwarzanie danych w celach marketingowych przez Spółkę, ponadto wycofał zgodę na otrzymywanie materiałów marketingowych drogą elektroniczną. W ocenie Organu, Spółka nie mogła zatem przetwarzać danych osobowych Uczestnika w celach marketingowych w oparciu o art. 6 ust. 1 lit f RODO, nie wykazała ponadto, aby zachodziła jakakolwiek inna przesłanka spośród wymienionych w art. 6 ust. 1 RODO, która stanowiłaby o legalności tego procesu. Odnosząc się natomiast do stanowiska Spółki, iż przedmiotowa wiadomość została wysłana w wyniku błędu należy wskazać, że w ocenie Organu Spółka, jako administrator danych, ponosi odpowiedzialność za wdrożenie odpowiednich środków z uwagi na konieczność zapewnienia skutecznej realizacji praw osób, których dane dotyczą. Organ wskazał, że decyzje Prezesa UODO służą przywróceniu stanu zgodnego z prawem na podstawie art. 58 ust 2 lit b RODO, między innymi poprzez udzielenie upomnienia administratorowi lub podmiotowi przetwarzającemu w przypadku naruszenia przepisów niniejszego rozporządzenia przez operację przetwarzania. Mając powyższe na uwadze, Prezes UODO uznał, że w niniejszej sprawie właściwe jest zastosowanie wobec Spółki upomnienia za stwierdzone naruszenie przepisów o ochronie danych osobowych, tj. art. 6 ust. 1 RODO, polegające na przetwarzaniu w dniu 16 stycznia 2023 r. danych osobowych Uczestnika w celach marketingowych z wykorzystaniem adresu poczty elektronicznej, bez podstawy prawnej. Brak jest natomiast podstaw do wydania przez Prezesa UODO nakazu zaprzestania przez Spółkę przetwarzania danych osobowych Uczestnika w celu marketingu bezpośredniego, ponieważ Spółka wskazała, że aktualnie nie przetwarza danych osobowych Uczestnika w ww. celu, a tym samym kwestionowany przez Uczestnika proces przetwarzania jego danych osobowych nie jest obecnie kontynuowany. Nadto, Prezes UODO uznał, że w niniejszej sprawie właściwe jest zastosowanie wobec Spółki upomnienia za stwierdzone naruszenie przepisów o ochronie danych osobowych, tj. art. 6 ust. 1 RODO, wobec braku podstaw Spółki do udostępnienia danych osobowych Uczestnika do C., w zakresie wynikającym ze złożonych przez niego wniosków kredytowych, odpowiednio w okresie od [...] grudnia 2018 r. do [...] sierpnia 2024 r. oraz od [...] marca 2019 r. do [...] sierpnia 2024 r. Aktualnie Spółka nie udostępnia danych osobowych Uczestnika do C., a tym samym kwestionowany przez Uczestnika proces przetwarzania jego danych osobowych nie jest obecnie kontynuowany. Odnosząc się do pozostałych zarzutów Uczestnika, Organ przywołał regulacje zawarte w art. 15 i 18 ust.1 lit b–d ,12 ust. 3 RODO. Organ wskazał, że z ustalonego w sprawie stanu faktycznego wynika, że pismem z dnia 19.08.2024 r. Uczestnik zwrócił do Spółki drogą elektroniczną z wnioskami z art. 15 ust. 1 oraz ust. 3 RODO. Uczestnik zwrócił się o wskazanie: a) celów przetwarzania jego danych osobowych w C. Sp. z o.o.; b) kategorii odnośnych danych osobowych w C. Sp. z o.o. i Spółce; c) informacji o odbiorcach lub kategoriach odbiorców, którym dane osobowe zostały lub zostaną ujawnione, w szczególności o odbiorcach w państwach trzecich lub organizacjach międzynarodowych; d) w miarę możliwości planowany okres przechowywania danych osobowych, a gdy nie jest to możliwe, kryteria ustalania tego okresu; e) jeżeli dane osobowe nie zostały zebrane od osoby, której dane dotyczą – wszelkie dostępne informacje o ich źródle; f) informacji o zautomatyzowanym podejmowaniu decyzji, w tym o profilowaniu, o którym mowa w art. 22 ust. 1 i 4, oraz – przynajmniej w tych przypadkach – istotne informacje o zasadach ich podejmowania, a także o znaczeniu i przewidywanych konsekwencjach takiego przetwarzania dla osoby, której dane dotyczą oraz o przekazanie kopii jego danych osobowych w myśl art. 15 ust. 3 RODO. Spółka ustosunkowała się do wniosku Uczestnika pismem z dnia 18 września 2024 roku wskazując, że C. jest podmiotem przetwarzającym dane na zlecenie Spółki na podstawie zawartej umowy, w tym umowy powierzenia zgodnie z art. 28 RODO. Spółka wskazała następnie cele, dla których jako administrator przetwarza jego dane osobowe. Spółka wskazała również: kategorie danych osobowych Uczestnika, które przetwarza; informację o odbiorcach oraz o przekazywaniu danych do państwa trzeciego (poza EOG); okres przechowywania danych; informację o zautomatyzowanym podejmowaniu decyzji, w tym profilowaniu. W treści tej odpowiedzi Spółka załączyła również kopię danych osobowych Uczestnika. Po dokonaniu porównania zakresu danych, których kopia została przekazana Uczestnikowi w piśmie z dnia 18.09.2024 r. oraz zakresu przetwarzanych przez Spółkę danych osobowych Uczestnika wskazanego w niniejszym postępowaniu, organ stwierdził, że Spółka nie udostępniła Uczestnikowi pełnej kopii jego danych osobowych podlegających przetwarzaniu. W odpowiedzi Spółki udzielonej Skarżącemu zabrakło bowiem danych Uczestnika w zakresie obywatelstwa. Pismem z dnia 3 grudnia 2024 r. Spółka uzupełniła informację przekazaną Uczestnikowi o wskazanie danych osobowych przetwarzanych przez C. w zakresie: Imię, Nazwisko, PESEL, Rodzaj i numer dokumentu tożsamości, Data urodzenia, Płeć, Adres, Numer telefonu, Wnioskowana kwota, Wnioskowany okres kredytowania w dniach, Wnioskowana waluta, Adres email, Adres IP, Deklarowane dochody, Kanał sprzedaży. Mając na uwadze powyższe, w ocenie Prezesa UODO, Spółka spełniając żądanie Skarżącego, wniesione na podstawie art. 15 ust. 1 i 3 RODO, uchybiła terminowi określonemu w art. 12 ust 3 RODO. Spółka odpowiedziała pismem z dnia 18.09.2024 r. na żądanie Uczestnika z dnia 19.08.2024 r. w sposób niepełny, a jego uzupełnienia dokonano dopiero w dniu 03.12.2024 r. Spółka nie skorzystała przy tym z możliwości przedłużenia terminu na udzielenie Uczestnikowi odpowiedzi. Ponadto Spółka nie przekazała Uczestnikowi kompletnej kopii jego danych osobowych, bowiem pominęła w udzielonych odpowiedziach informację o obywatelstwie Uczestnika. Podkreślić należy, że w ocenie Prezesa UODO Spółka udzielając odpowiedzi na powyższe żądanie Uczestnika nie była zobowiązana na podstawie art. 15 ust. 3 RODO do wydania Uczestnikowi kopii dokumentów dotyczących jego osoby. Udostępnienie kopii danych zawartych w dokumentach, zgodnie z art. 15 ust. 3 RODO, nie jest równoznaczne z obowiązkiem udostępnienia kopii dokumentów. Administrator nie ma bowiem obowiązku udostępniania osobie zainteresowanej nośnika, na którym przetwarzane są dane osobowe oraz danych, które nie stanowią danych osobowych w rozumieniu art. 4 pkt 1 RODO i nie dotyczą wnioskującego. Realizując obowiązek wynikający z art. 15 ust. 3 RODO, administrator może poprzestać na wskazaniu treści danych dotyczących osoby, z wyłączeniem pozostałych informacji zawartych na nośniku. Wykonanie obowiązku określonego w art. 15 ust. 3 RODO może być zatem realizowane zarówno poprzez sporządzenie kopii lub odpisu dokumentu (nośnika) zawierającego dane osobowe oraz inne dane, jak i poprzez podanie uprawnionemu treści jego danych osobowych, z pominięciem informacji znajdujących się w nośniku, które nie są danymi osobowymi w rozumieniu art. 4 pkt 1 RODO. Podkreślenia również wymaga, że w przypadku zwrócenia się do administratora o kopię przetwarzanych danych osobowych, administrator każdorazowo podejmuje decyzję, w jaki sposób zrealizuje to uprawnienie. Administrator może dokonać wyboru, czy udostępnia kopię dokumentów, czy też udostępnia kopię danych zawartych w tych dokumentach. Prezes UODO wskazał, że jego działania służą kontroli zgodności przetwarzania danych z przepisami o ochronie danych osobowych i są ukierunkowane na wydanie decyzji administracyjnej na podstawie art. 58 ust. 2 RODO, służącej przywróceniu stanu zgodnego z prawem. Spółka spełniła żądanie Uczestnika w sposób niekompletny, wobec czego Prezes UODO, korzystając z uprawnienia przewidzianego w art. 58 ust. 2 lit. c RODO, nakazał Spółce udostępnienie Uczestnikowi kompletnej kopii jego danych osobowych, przetwarzanych przez Spółkę, stosownie do art. 15 ust. 3 RODO. Ponadto, z uwagi na częściowe spełnienie przez Spółkę żądania Uczestnika z naruszeniem terminu określonego w art. 12 ust. 3 RODO, Prezes UODO na podstawie art. 58 ust. 2 lit. b RODO udzielił Spółce upomnienia za powyższe. W dalszej części decyzji odniesiono się do pkt 5 i 6, które to punkty nie były przedmiotem zaskarżenia w związku tym zostały pominięte w niniejszym uzasadnieniu. W dniu 17 czerwca 2025 r. do Wojewódzkiego Sądu Administracyjnego w Warszawie, za pośrednictwem Prezesa UODO, wpłynęła skarga Spółki w której zaskarżyła powyższą decyzję Organu w części, tj. w zakresie punktów 1–4 sentencji. Spółka na podstawie art. 57 §1 pkt 3 p.p.s.a. zarzuciła zaskarżonej decyzji: I. Naruszenie przepisów postępowania, tj.: a. w zakresie pkt 4 sentencji Decyzji: art. 7, art. 8 § 2, art. 77 § 1 art. 80 Ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. 2024 poz. 572 ze zm., dalej: k.p.a.) w zw. z art. 12 ust. 3 oraz art. 15 ust. 1 RODO z uwagi na dowolne przyjęcie, wbrew informacjom zawartym w materiale dowodowym zgromadzonym w aktach sprawy, że Spółka udzieliła Uczestnikowi odpowiedzi na jego wniosek z [...] sierpnia 2024 r. o wydanie mu kopii jego danych osobowych z naruszeniem terminu przewidzianego w art. 12 ust. 3 RODO, podczas gdy Spółka udzieliła mu odpowiedzi na jego wniosek dnia 18 września 2024 r. tj. przed upływem miesiąca od otrzymania wniosku Uczestnika, co miało istotny wpływ na wynik sprawy. Organ pominął, że pismo Spółki z 3 grudnia 2024 r. nie stanowi uzupełnienia odpowiedzi na wniosek Uczestnika z [...] sierpnia 2024 r., a stanowiło jedynie odpowiedź na kolejny wniosek Uczestnika z dnia 3 listopada 2024 r., w treści którego Uczestnik żądał ograniczenia przetwarzania jego danych osobowych. Organ pozostając w błędnym przekonaniu co do charakteru pisma Spółki z 3 grudnia 2024 r. stwierdził, że stanowiło ono uzupełnienie pisma Spółki z 18 września 2024 r., co następnie doprowadziło Organ do błędnego przekonania, że wniosek Uczestnika z [...] sierpnia 2024 r. nie został prawidłowo rozparzony w terminie, a zatem doszło do uchybienia terminowi miesięcznemu przewidzianemu w art. 12 ust. 3 RODO – co miało istotny wpływ na wynik sprawy i skutkowało bezzasadnym udzieleniem upomnienia Spółce na podstawie art. 58 ust. 2 lit. b RODO, z uwagi na rzekome uchybienie terminu na rozpatrzenie wniosku z [...] sierpnia 2024 r.; b. w zakresie pkt 4 sentencji Decyzji: art. 8 § 2 k.p.a. odstępując bez uzasadnienia od dotychczas wyrażanego stanowiska dotyczącego zakresu przedmiotowego art. 15 ust. 1 RODO, poprzez uznanie, że informacje dotyczące zakresu danych osobowych udostępnionych podmiotowi przetwarzającemu przez administratora wchodzą w zakres prawa dostępu do danych (art. 15 ust. 1 RODO), pomimo odmiennego stanowiska zajętego w decyzji Prezesa UODO, która była przedmiotem sprawy II SA/Wa 1539/23 rozstrzygniętej przez Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z 11 kwietnia 2024 r. – co miało istotny wpływ na wynik sprawy; c. w zakresie pkt 2 sentencji Decyzji: art. 7, art. 77 § 1, art. 80 z zw. z art. 107 § 3 k.p.a. poprzez ustalenie, że Spółka przetwarzała dane osobowe Uczestnika w celach marketingowych, podczas gdy Spółka nie przetwarzała danych osobowych Uczestnika w tych celach, ponieważ otrzymanie przez Uczestnika wiadomości z 16 stycznia 2023 r. nastąpiło w wyniku błędu systemowego Spółki, który wygenerował wadliwie sformułowaną wiadomość do Skarżącego. Ponadto, Organ, choć potwierdził, że do zdarzenia doszło w wyniku błędu systemu informatycznego, to wbrew tej okoliczności ustalił, że Spółka przetwarzała dane osobowe Uczestnika w celach marketingowych – co miało istotny wpływ na wynik sprawy, bo doprowadziło organ do oceny legalności przetwarzania danych osobowych przez Spółkę w celach, w których Spółka nie przetwarzała danych osobowych; d. w zakresie pkt 3 sentencji Decyzji: art. 7, art. 77 § 1 art. 80 k.p.a. w zw. z art. 15 ust. 3 RODO z uwagi na uznanie, że Spółka nie dostarczyła Uczestnikowi pełnej kopii jego danych osobowych w związku z jego wnioskiem z [...] sierpnia 2024 r. z uwagi na pominięcie wskazania obywatelstwa Uczestnika i w związku tym nakazanie Spółce udostępnienia pełnej kopii danych osobowych Uczestnika, podczas gdy Spółka pismem z 18 września 2024 r. przekazała mu kopię wszystkich danych osobowych, które Spółka przetwarzała. Spółka nie miała obowiązku wyodrębniać dodatkowo obywatelstwa Uczestnika w przekazaniu mu kopii jego danych osobowych, ponieważ informacja ta wynikała z wiadomości o dokumencie tożsamości Uczestnika (dowodzie osobistym), wydawanym jedynie obywatelom polskim – co miało istotny wpływ na wynik sprawy i skutkowało bezzasadnym nakazaniem Spółce dostarczenia pełnej kopii danych osobowych Uczestnikowi na podstawie art. 58 ust. 2 lit. c RODO. II. Naruszenie przepisów prawa materialnego: a. w zakresie punktu 1 Decyzji: naruszenie art. 28 ust.1–3 w zw. z art. 6 ust. 1 RODO, art. 59c ust. 1 u.k.k., art. 22 Konstytucji Rzeczypospolitej Polskiej z dnia 2 kwietnia 1997 r. (Dz. U. 1997 nr 78 poz. 483 ze zm. dalej: Konstytucja RP) poprzez uznanie, że Umowa powierzenia przetwarzania danych osobowych z 9 listopada 2018 roku (dalej: Umowa), zawarta pomiędzy Spółką oraz C. była niedopuszczalna i jako taka nie mogła stanowić podstawy prawnej do powierzenia przetwarzania danych osobowych Uczestnika przez C. w imieniu i na rzecz Spółki w ramach umowy zwartej na podstawie art. 28 ust. 3 RODO, z uwagi na to, że dane osobowe Uczestnika były objęte tajemnicą, którą Spółka powinna przestrzegać, a C., jako podmiot niebędący biurem informacji gospodarczej lub podmiotem utworzonym na podstawie art. 105 ust. 4 ustawy Prawo bankowe, nie mógł mieć do niej dostępu, podczas gdy Spółka była uprawniona powierzyć C. w oparciu o art. 28 ust. 1–3 RODO dane osobowe Uczestnika, zarówno w celu udostępnienia ich przez Spółkę innym instytucjom uprawnionym do dzielenia kredytu w ramach procesu oceny zdolności kredytowej w związku z wnioskami kredytowymi Uczestnika z 1 grudnia 2018 roku oraz 4 marca 2019 roku, jak i do przechowywania na rzecz Spółki danych osobowych Uczestnika związanych z ww. wnioskami do 28 sierpnia 2024 roku. Prezes UODO naruszył tym samym również art. 22 Konstytucji RP ograniczając swobodę prowadzenia działalności gospodarczej przez Spółkę, stwierdzając niedopuszczalność korzystania z usług outsourcingu i powierzenia przez Spółkę przetwarzania danych osobowych objętych tajemnicą określoną w art. 59c u.k.k. C. Powyższe uchybienia doprowadziły Prezesa UODO do uznania Umowy zawartej pomiędzy Spółką oraz C. za niedopuszczalną i stwierdzenia w oparciu o art. 6 ust. 1 w zw. z art. 58 ust. 2 lit. b RODO, że udostępnienie danych osobowych Uczestnika przez Spółkę do C. oraz przetwarzanie ich do 28 sierpnia 2024 r. w zasobach C. miało miejsce bez podstawy prawnej i skutkowało skierowaniem pod adresem Spółki upomnienia – co miało wpływ na wynik sprawy. W treści wniesionej skargi Spółka wniosła o uchylenie zaskarżonej decyzji w całości i przekazanie sprawy do ponownego rozpoznania, zasądzenie na rzecz Spółki od Prezesa UODO zwrotu kosztów postępowania, według norm przepisanych, w tym kosztów zastępstwa procesowego. W uzasadnieniu skargi rozwinęła poszczególne jej zarzuty. W odpowiedzi na skargę Prezes UODO wniósł o oddalenie skargi, podtrzymując stanowisko wyrażone w zaskarżonej decyzji. Pismem z dnia 31 lipca 2025 r. Spółka podtrzymała wszystkie wnioski oraz argumentację na ich poparcie zawarte w skardze z dnia [...] czerwca 2025 r. W odpowiedzi na skargę Uczestnik postępowania reprezentowany przez r. pr. G. K. wniósł o oddalenie skargi. Wojewódzki Sąd Administracyjny zważył co następuje. Zgodnie z art. 1 § 1 i § 2 Ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (Dz. U. z 2024 r. poz. 1267, dalej: p.u.s.a.) oraz art. 3 § 1 Ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz. U. z 2026 r. poz. 143 z późn. zm., dalej: p.p.s.a.), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej. W myśl art. 134 § 1 p.p.s.a., sąd rozstrzyga w granicach danej sprawy nie będąc związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną, z zastrzeżeniem art. 57a. Sąd nie może wydać orzeczenia na niekorzyść skarżącego, chyba że stwierdzi naruszenie prawa skutkujące stwierdzeniem nieważności zaskarżonego aktu lub czynności (§ 2). Podstawę materialnoprawną zaskarżonej decyzji stanowił art. 15 ust. 3 i art. 58 ust. 2 lit. c oraz na podstawie art. 18 ust. 1 i art. 58 ust. 2 oraz art. 6 ust. 1, art. 58 ust. 2 lit. b ogólnego rozporządzenia o ochronie danych. Skarga nie jest zasadna, albowiem decyzja Prezesa UODO z 8 maja 2025 r. w zaskarżonym zakresie odpowiada prawu. Jak wynika z akt sprawy Prezes UODO udzielił Skarżącej – spółce [...] – upomnienia za naruszenie art. 6 ust.1 i art. 28 ust. 3 RODO polegające na przetwarzaniu danych osobowych Uczestnika, R. Z., w bazach C. bez podstawy prawnej. Dla przypomnienia należy wskazać, że Uczestnik postępowania zwrócił się do Organu ze skargą na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Spółkę polegające na udostępnieniu danych osobowych Uczestnika do C. bez podstawy prawnej. Z akt sprawy wynika również, że Uczestnik zawarł ze Skarżącą umowę pożyczki i dobrowolnie udostępnił jej swoje dane osobowe. Skarżąca wskazała, że dane osobowe Uczestnika pozyskała w dniu [...] lutego 2008 r. w związku z zawarta umową. Spółka wyjaśniła, że ze względu na ustanie celu, w którym dane zostały zebrane, Spółka już nie posiada zakresu pozyskanych przy zawarciu umowy danych osobowych. Aktualnie Spółka przetwarza dane osobowe Uczestnika w zakresie: imię, nazwisko, płeć, data urodzenia, numer PESEL, obywatelstwo, numer dokumentu tożsamości, numer telefonu, adres email, adres zamieszkania/zameldowania, IP, dane dot. umowy z dnia [...] lutego 2008 r. (numer umowy, data zawarcia, wysokość udzielonej pożyczki oraz całkowita kwota do spłaty, wysokość raty i częstotliwość ich spłaty, data spłacenia, status umowy oraz kanał sprzedaży), ID systemowy wniosków oraz inne informacje dot. wniosków o kredyt konsumencki (data i czas, wnioskowana kwota, wynik przeprowadzonej oceny zdolności kredytowej). Spółka przetwarza dane osobowe Uczestnika również w związku ze złożonymi wnioskami o kredyt konsumencki w dniach [...] czerwca 2017 r., [...] grudnia 2018 r. oraz z dnia [...] marca 2019 r. Spółka wyjaśniła także, że podczas składania wniosków w dniach [...] grudnia 2018 r. oraz [...] marca 2019 r. na dane Uczestnika, zostały wyrażone zgody na udostępnienie danych uczestnikom F. i P., za pośrednictwem platformy utrzymywanej przez C. Spółka wskazała również, że zawarła z C. umowę powierzenia przetwarzania danych osobowych – C. jest podmiotem przetwarzającym dane osobowe na zlecenie Spółki. Spółka wskazała ponadto, że dane Uczestnika przekazane zostały do C. na podstawie art. 6 ust. 1 lit. a oraz art. 6 ust. 1 lit. b rozporządzenia RODO. Skarżąca wyjaśniła również, że dane osobowe Uczestnika przekazała C. na podstawie umowy powierzenia – art. 28 RODO. Istota problemu w niniejszej sprawie sprowadza się do udzielenia odpowiedzi na pytanie, czy Spółka była uprawniona do przekazania danych osobowych uczestnika do C. w celu ich przetwarzania i czy na takie przekazanie pozyskała zgodę uczestnika postępowania. Na wstępie rozważań w niniejszej sprawie należy wskazać odpowiednie regulacje prawne mające w sprawie zastosowanie. Jak stanowi art. 9 ustawy o kredycie konsumenckim (dalej: u.k.k.), kredytodawca przed zawarciem umowy o kredyt konsumencki jest zobowiązany do dokonania oceny zdolności kredytowej konsumenta (ust. 1). Ocena zdolności kredytowej dokonywana jest na podstawie informacji uzyskanych od konsumenta lub na podstawie informacji pozyskanych z odpowiednich baz danych lub zbiorów danych kredytodawcy (ust. 2). Z kolei z art. 59c u.k.k. wynika, że instytucja pożyczkowa i podmiot, o którym mowa w art. 59d, oraz osoby w nich zatrudnione, w tym na podstawie umowy o dzieło, umowy zlecenia lub innej umowy o podobnym charakterze, są obowiązane zachować w tajemnicy informacje stanowiące tajemnicę bankową, udostępnione zgodnie z art. 105 ust. 4 pkt 4 ustawy Prawo bankowe. Przetwarzanie tych informacji przez instytucję pożyczkową i podmiot, o którym mowa w art. 59d, może być wykonywane wyłącznie w celu oceny zdolności kredytowej konsumenta, o której mowa w art. 9 i analizy ryzyka kredytowego. Zgodnie z treścią art. 104 ust. 1 prawa bankowego: "Bank, osoby w nim zatrudnione oraz osoby, za których pośrednictwem bank wykonuje czynności bankowe, są obowiązane zachować tajemnicę bankową, która obejmuje wszystkie informacje dotyczące czynności bankowej, uzyskane w czasie negocjacji, w trakcie zawierania i realizacji umowy, na podstawie której bank tę czynność wykonuje". Tak więc, w ocenie Sądu, niewątpliwie dane Uczestnika postępowania w zakresie numeru PESEL, serii i nr dowodu osobistego, imienia i nazwiska, adresu mailowego, telefonu, adresu zamieszkania oraz zameldowania, numeru konta bankowego, IP, z którego klient korzysta, kwoty wniosku, okresu wniosku, ID wniosku, stanowią tajemnice bankową. Jak wskazano w komentarzu do ustawy Prawo bankowe (A. Mednis, Prawo bankowe. Komentarz, red. A. Mikos-Sitek, P. Zapadka, Warszawa 2022, art. 104), które to stanowisko skład orzekający w pełni podziela i akceptuje: "Zgodnie z komentowanym przepisem, tajemnicą bankową objęte są wszystkie informacje dotyczące czynności bankowej uzyskane w czasie negocjacji, w trakcie zawierania i realizacji umowy, na podstawie której bank tę czynność wykonuje. Zakres przedmiotowy został określony bardzo szeroko. Punktem wyjścia jest tu pojęcie czynności bankowych, których rodzaje wymieniono w art. 5 ust. 1 i 2 pr. bank. Przypomnijmy zatem, że do czynności tych należą m.in. przyjmowanie wkładów pieniężnych oraz prowadzenie rachunków tych wkładów, prowadzenie innych rachunków bankowych, udzielanie kredytów i pożyczek, udzielanie i potwierdzanie gwarancji bankowych, otwieranie i potwierdzanie akredytyw, emitowanie bankowych papierów wartościowych, przeprowadzanie bankowych rozliczeń pieniężnych, operacje czekowe i wekslowe, świadczenie usług płatniczych, wydawanie pieniądza elektronicznego, terminowe operacje finansowe, nabywanie i zbywanie wierzytelności pieniężnych, przechowywanie przedmiotów i papierów wartościowych oraz udostępnianie skrytek sejfowych, prowadzenie skupu i sprzedaży wartości dewizowych, udzielanie i potwierdzanie poręczeń, wykonywanie czynności zleconych, związanych z emisją papierów wartościowych, pośrednictwo w dokonywaniu przekazów pieniężnych oraz rozliczeń w obrocie dewizowym oraz wykonywanie innych czynności przewidzianych wyłącznie dla banku w odrębnych ustawach". W tym samym komentarzu do art. 104 Prawa bankowego podkreślono również, że "Rozszerzenie zakresu podmiotowego tajemnicy bankowej może wynikać także z innych przepisów. Przykładowo zgodnie z art. 59c ust. 1 u.k.k. instytucja pożyczkowa i zagraniczna instytucja pożyczkowa oraz osoby w nich zatrudnione, w tym na podstawie umowy o dzieło, umowy zlecenia lub innej umowy o podobnym charakterze, są obowiązane zachować w tajemnicy informacje stanowiące tajemnicę bankową, udostępnione zgodnie z art. 105 ust. 4 pkt 4 pr. bank., a przetwarzanie tych informacji przez te instytucje może być wykonywane wyłącznie w celu oceny zdolności kredytowej konsumenta i analizy ryzyka kredytowego. (...) Na podstawie art. 48k ust. 1 pr. bank, obowiązek zachowania tajemnicy bankowej ma zastosowanie do działalności instytucji kredytowych oraz ich oddziałów na terytorium Rzeczypospolitej Polskiej". Z kolei w myśl art. 105a ust. 1 Prawa bankowego, przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów, instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d u.k.k., a także instytucje utworzone na podstawie art. 105 ust. 4, informacji stanowiących tajemnicę bankową i informacji udostępnionych przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d u.k.k., w zakresie dotyczącym osób fizycznych, może być wykonywane, z zastrzeżeniem art. 104, art. 105 i art. 106–106d ustawy Prawo bankowe w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Zgodnie natomiast z art. 105 ust. 4 pkt 4 Prawa bankowego, Banki mogą, wspólnie z bankowymi izbami gospodarczymi, utworzyć instytucje upoważnione do gromadzenia, przetwarzania i udostępniania instytucjom pożyczkowym i podmiotom, o których mowa w art. 59d u.k.k. – na zasadzie wzajemności, informacji stanowiących odpowiednio tajemnicę bankową oraz informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d u.k.k., w zakresie niezbędnym do oceny zdolności kredytowej konsumenta, o której mowa w art. 9 tej ustawy i analizy ryzyka kredytowego. Jak wynika z art. 105 ust. 4 pkt 4e, instytucje utworzone na podstawie ust. 4 mogą udostępniać instytucjom pożyczkowym i podmiotom, o których mowa w art. 59d u.k.k., informacje stanowiące tajemnicę bankową pod warunkiem wyrażenia pisemnej zgody na przekazanie tych informacji przez osobę, której one dotyczą. Z art. 105 ust. 4 pkt 4f wynika, że zgoda konsumenta może być także wyrażona w postaci elektronicznej. W takim przypadku instytucja pożyczkowa lub podmiot, o którym mowa w art. 59d u.k.k., obowiązane są do utrwalania wyrażonej w ten sposób zgody na informatycznym nośniku danych w rozumieniu art. 3 pkt 1 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne. Art. 105 ust. 4 pkt 4g ustawy Prawo bankowe wskazuje, że przed udostępnieniem informacji na podstawie ust. 4e instytucje utworzone na podstawie ust. 4 sprawdzają, czy konsument wyraził zgodę na udostępnienie tych informacji, w formie, o której mowa w ust. 4e lub 4f. Analiza powyższych przepisów prowadzi do wniosku, że kwestia przetwarzania danych osobowych stanowiących tajemnice bankową jest ściśle regulowana. Jak wynika z akt sprawy Uczestnik postępowania udzielił Skarżącej, podczas postępowania o udzielenie pożyczki w dniach [...].12.2018 r. oraz [...].03.2019r., zgody na udostępnienie swoich danych uczestnikom F. i P., za pośrednictwem platformy utrzymywanej przez C. o treści: "W celu oceny mojej zdolności kredytowej zgadzam się na udostępnienie przez [...] S.A. w terminie 30 dni moich danych zebranych w procesie wnioskowania o kredyt konsumencki (tj. imię, nazwisko, numer PESEL, seria i numer dowodu osobistego, adres, email, telefon, numer rachunku bankowego, nr IP urządzenia, za pośrednictwem którego złożono wniosek) Uczestnikom Forum Wiarygodnej Wymiany Informacji i Platformy Wymiany Informacji Pożyczkowej w celu uzyskania od nich przetwarzanych w ich zbiorach danych informacji o historii moich kredytów konsumenckich oraz wyników analiz statystycznych, zestawienie tych informacji oraz wyników analiz statystycznych przez [...] SA i ich przetwarzanie przez [...] SA przez 3 lata od ich udostępnienia" oraz "W celu oceny mojej zdolności kredytowej zgadzam się na [...] SA przez Uczestników Forum Wiarygodnej Wymiany Informacji i Platformy Wymiany Informacji Pożyczkowej w terminie 30 dni przetwarzanych w ich zbiorach danych informacji o historii moich kredytów konsumenckich oraz wyników analiz statystycznych, w tym informacji stanowiących tajemnicę zawodową uregulowaną w art. 11 ustawy z dnia 19 sierpnia 2011 r. o usługach płatniczych (t.j Dz. U. z 2020 r. poz. 794)." Analiza powyższych zgód prowadzi, w ocenie Sądu, do wniosku, że zgoda Uczestnika postępowania na przetwarzanie jego danych osobowych przez C. nie została udzielona skutecznie. Jak słusznie zauważył Organ w uzasadnieniu zaskarżonej decyzji, uczestnik wyrażał zgodę na udostępnianie przez Spółkę jego danych osobowych innym kredytodawcom – Uczestnikom Platformy Wymiany Informacji Pożyczkowej i na udostępnianie przez nich Spółce informacji o historii jego kredytów oraz zestawianie tych informacji. Tak więc Skarżąca była uprawniona do zwrócenia się do jednej z instytucji, o których mowa w art. 105 ust. 4 Prawa bankowego o udostępnienie informacji, w tym stanowiących tajemnicę bankową, w związku z złożeniem przez Uczestnika do Spółki wniosku o udzielenie kredytu konsumenckiego. Podkreślenia wymaga zakres udzielonych zgód dotyczących udostępnienia danych osobowych Uczestnika na rzecz C. – zakres dotyczy informacji pozyskanych w trakcie oceny zdolności kredytowej Uczestnika w związku z jego wnioskiem o udzielenie kredytu konsumenckiego, czyli w tym również informacji stanowiących tajemnicę bankową pozyskanych od instytucji, o której mowa w art. 105 ust. 4 Prawa bankowego. Takiej formy zgody na udostępnienie danych osobowych będących informacjami stanowiącymi tajemnicę bankową pozyskanych przez instytucję pożyczkową od instytucji, o której mowa w art. 105 ust. 4 Prawa bankowego nie przewiduje wskazany wcześniej art. 105 tejże ustawy. C. nie znajduje się w katalogu podmiotów wskazanych w art. 105 ust. 4, którym jako podmiotom przetwarzającym lub odrębnym administratorom, instytucje powstałe na podstawie powyższego przepisu mogą udostępnić informacje stanowiące tajemnicę bankową. Reasumując, Spółka w oparciu o załączone zgody mogła zwrócić się do jednej z instytucji, o których mowa w art. 105 ust. 4 Prawa bankowego o udostępnienie informacji, w tym stanowiących tajemnicę bankową w związku z złożeniem przez Uczestnika do Spółki wniosku o udzielenie kredytu konsumenckiego (art. 105 ust.1 pkt 1a Prawa bankowego). Natomiast nie była uprawniona do przekazania danych osobowych Uczestnika postępowania, które to dane stanowią tajemnice bankową do C., ponieważ C. nie znajduje się w katalogu instytucji, o których mowa w art. 105 ust. 4 Prawa bankowego i w związku z powyższym podmiot ten nie jest uprawniony do przetwarzania danych osobowych zawierających tajemnicę bankową. W tym miejscu wskazać należy, że z art. 1 ust. 1 ustawy o BIG wynika, iż reguluje ona między innymi zasady udostępniania informacji gospodarczych dotyczących wiarygodności płatniczej, a także ich ujawniania, przechowywania, aktualizacji i usuwania. W tym miejscu przypomnieć należy, że biuro informacji gospodarczej, jak wskazano w art. 7 ust. 4 ustawy o BIG, nie może powierzyć innym podmiotom wykonywania czynności związanych z przedmiotem działalności gospodarczej, o którym mowa w ust. 1 i 2, z wyjątkiem innych biur oraz instytucji utworzonych na podstawie art. 105 ust. 4 Prawa bankowego. Analiza struktury organizacyjnej C. prowadzi do wniosku, że działa on w formie prawnej spółki z ograniczoną odpowiedzialnością, tymczasem jak wskazano w ustawie o BIG, biuro informacji gospodarczej może być prowadzone wyłącznie w formie spółki akcyjnej, o kapitale zakładowym nie mniejszym niż 4 000 000 złotych (art. 5 ust. 1); ponadto jest obowiązane używać w swojej firmie wyrazów "biuro informacji gospodarczej" (art. 8 ust. 1). Dodatkowo, zgodnie z art. 11a ust. 1 i 2 ustawy o BIG, biuro informacji gospodarczej jest zobowiązane do zawiadomienia ministra właściwego do spraw gospodarki o podjęciu oraz o zaprzestaniu wykonywania działalności gospodarczej, a także o adresie, na który należy przekazywać informacje gospodarcze, i o jego zmianach, w terminie 7 dni od dnia zaistnienia tych zdarzeń. Minister właściwy do spraw gospodarki udostępnia oraz aktualizuje w Biuletynie Informacji Publicznej wykaz biur wykonujących działalność gospodarczą oraz ich adresów, na które należy przekazywać informacje gospodarcze. W wykazie biur informacji gospodarczej opublikowanej w biuletynie informacji publicznej Ministerstwa Rozwoju i Technologii, C. nie został wskazany. Reasumując, w ocenie Sądu, C. nie może być traktowany jako instytucja, o której mowa w art. 105 ust. 4 Prawa bankowego ani jako biuro informacji gospodarczej. Na zakończenie należy podkreślić, za Prezesem UODO, że kwestie gromadzenia informacji gospodarczych i tajemnicy bankowej zostały uregulowane ustawowo, tak więc nie istnieje możliwość, aby C., nie spełniając wymogów ustawy, mógł przetwarzać informacje gospodarcze i tajemnice bankowe. W konsekwencji należy uznać, że umowa powierzenia danych osobowych została zawarta między Spółką i podmiotem, który nie spełnia wymogów określonych w powyższych przepisach prawa. Zawarcie z nim umowy na podstawie art. 28 ust. 3 RODO było tym samym niedopuszczalne. Wobec powyższego, w ocenie Sądu, Prezes UODO prawidłowo uznał, że udostępnienie danych osobowych Uczestnika do C. przez Spółkę pozbawione było podstaw prawnych. Jak wyżej wskazano C. nie jest podmiotem spełniającym warunki określone w przepisach prawa, w tym w art. 105 ust. 4 Prawa bankowego, nie może więc pełnić funkcji biura informacji gospodarczej, ani też nie jest instytucją z art. 105 ust. 4 Prawa bankowego. W tym miejscu należy podkreślić, że działania Prezesa UODO służą przywróceniu stanu zgodnego z prawem. Na podstawie art. 58 ust. 2 lit. b RODO Organ, w celu przywrócenia stanu zgodnego z prawem, mógł udzielić upomnienia administratorowi lub podmiotowi przetwarzającemu w przypadku naruszenia przepisów niniejszego rozporządzenia przez operację przetwarzania. Ponieważ w niniejszej sprawie doszło do naruszenia art. 6 ust. 1 RODO, wobec braku podstaw Skarżącej Spółki do udostępnienia danych osobowych Uczestnika do C., udzielenie Skarżącej upomnienia, w sytuacji braku dalszego przetwarzania danych osobowych Uczestnika było ze wszech miar słuszne. Odnosząc się do drugiego punktu decyzji dotyczącego upomnienia nałożonego na Spółkę za przetwarzanie w dniu 16 stycznia 2023 r. danych osobowych Uczestnika w celach marketingowych z wykorzystaniem adresu poczty elektronicznej bez podstawy prawnej, należy uznać, że zasługuje on na pozostawienie go w obrocie prawnym. Jak wynika ze stanu faktycznego sprawy, w dniu 16 stycznia 2023 r. Uczestnik postępowania otrzymał od Spółki ofertę pożyczki. Na ten dzień, co wynika z wyjaśnień Spółki, Uczestnik miał wycofane zgody marketingowe oraz zaznaczony sprzeciw na marketing. Spółka nie wykazała również, aby zachodziła jakakolwiek inna przesłanka z art. 6 ust. 1 RODO. Tak więc należy uznać, że Spółka przetwarzała dane osobowe Uczestnika bez podstawy prawnej w zakresie marketingu z wykorzystaniem adresu poczty elektronicznej i za to słusznie Organ nałożył na Spółkę upomnienie. Odnosząc się do wyjaśnień Spółki, że wiadomość powyższa została wysłana do Uczestnika w wyniku błędu systemowego – informatycznego, należy wskazać, że wyjaśnienia te, w ocenie Sądu, nie zasługują na uwzględnienie. Rolą Spółki jako administratora jest dokonanie takiej konfiguracji systemu przy zastosowanie takich narzędzi informatycznych, które uniemożliwią zaistnienie powyższej sytuacji. Jak wskazuje art. 5 ust. 1 RODO, Spółka zobowiązana jest do przetwarzania danych osobowych zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą. Z kolei art. 24 RODO wskazuje na konieczność wykorzystania przez administratora odpowiednich środków technicznych i organizacyjnych, aby przetwarzanie danych odbywało się zgodnie z RODO. Tak więc należy uznać, że Spółka przetwarzała dane osobowe Uczestnika bez podstawy prawnej w zakresie marketingu, z wykorzystaniem adresu poczty elektronicznej, za co Organ słusznie upomniał Spółkę. Przechodząc do pkt 3 i 4 decyzji, na wstępie należy wskazać, że z zebranego w sprawie materiału dowodowego wynika, iż Spółka, realizując żądanie Uczestnika z art. 15 ust. 3 RODO, nie udzieliła Uczestnikowi pełnej odpowiedzi, pominięta została bowiem informacja o przetwarzaniu przez Spółkę danych osobowych Uczestnika w zakresie jego obywatelstwa. W tym miejscu należy wskazać, że rezultatem wykonania prawa dostępu do danych osobowych powinno być udzielenie osobie, której dane dotyczą, żądanych przez nią informacji, zaś informacja ta powinna być kompletna. Przekazanie danych niekompletnych wprowadza bowiem wnioskującą osobę w błąd co do zakresu przetwarzania jej danych, co w konsekwencji może mieć wpływ na realizację dalszych praw osoby, której dane dotyczą. Ustalenie, że Spółka przetwarzała dane osobowe Uczestnika w zakresie obywatelstwa nastąpiło na podstawie wyjaśnień samej Spółki. Biorąc powyższe pod rozwagę należy uznać, że Organ prawidłowo nakazał w pkt 3 decyzji dostarczenia Uczestnikowi postępowania pełnej kopii jego danych osobowych podlegających przetwarzaniu przez Spółkę. Przechodząc do ostatniego zaskarżonego punktu decyzji, należy wskazać, że Uczestnik postępowania domagał się w piśmie z [...] sierpnia 2024 r. informacji dotyczących: celów przetwarzania jego danych osobowych w C.; informacji o odbiorcach lub kategoriach odbiorców, którym dane osobowe zostały lub zostaną ujawnione, w szczególności o odbiorcach w państwach trzecich lub organizacjach międzynarodowych; w miarę możliwości planowany okres przechowywania danych osobowych, a gdy nie jest to możliwe, kryteria ustalania tego okresu; jeżeli dane osobowe nie zostały zebrane od osoby, której dane dotyczą – wszelkie dostępne informacje o ich źródle; informacji o zautomatyzowanym podejmowaniu decyzji, w tym o profilowaniu, o którym mowa w art. 22 ust. 1 i 4, oraz – przynajmniej w tych przypadkach – istotne informacje o zasadach ich podejmowania, a także o znaczeniu i przewidywanych konsekwencjach takiego przetwarzania dla osoby, której dane dotyczą oraz o przekazanie kopii jego danych osobowych w myśl art. 15 ust. 3 RODO. Jak wskazano w zaskarżonej decyzji, Spółka ustosunkowała się do wniosku Uczestnika pismem z dnia 18.09.2024 r. wskazując, że C. jest podmiotem przetwarzającym dane na zlecenie Spółki, na podstawie zawartej umowy, w tym umowy powierzenia zgodnie z art. 28 RODO. Spółka wskazała następnie cele, dla których – jako administrator – przetwarza jego dane osobowe (ppkt a z wniosku Uczestnika). Spółka wskazała również: kategorie danych osobowych Uczestnika, które przetwarza (ppkt b z wniosku Skarżącego) – nie wskazała jednak kategorii danych osobowych przetwarzanych w C., o co wnioskował Uczestnik; informację o odbiorcach oraz o przekazywaniu danych do państwa trzeciego (poza EOG) (ppkt c z wniosku Uczestnika); okres przechowywania danych (ppkt d z wniosku Uczestnika); informację o zautomatyzowanym podejmowaniu decyzji, w tym profilowaniu (ppkt e z wniosku Uczestnika). Spółka przekazała Skarżącemu informacje dotyczące kategorii jego danych osobowych przetwarzanych w C., ale dopiero w kolejnym piśmie z dnia 3.12.2024 r. Sąd podziela stanowisko Organu wyrażone w zaskarżonej decyzji, że Spółka ostatecznie udzieliła Uczestnikowi pełnej odpowiedzi na jego żądanie z art. 15 ust. 1 RODO z dnia 19.08.2024 r. pismem z dnia 3.12.2024 r., w którym wskazała cyt. "Zakres danych wskazany w naszej pierwszej odpowiedzi dotyczy danych przetwarzanych przez [...] S.A., a nie przez C. W celu wyjaśnienia Pana wątpliwości, skierowaliśmy zapytanie do odpowiedniego działu, aby potwierdzić, jakie dane zostały udostępnione C. Jednocześnie otrzymaliśmy potwierdzenie usunięcia danych z C. 28 sierpnia 2024 roku. Wskazujemy zakres danych : • Imię • Nazwisko • PESEL • Rodzaj i numer dokumentu tożsamości, • Data urodzenia, • Płeć, • Adres, • Numer telefonu, • Wnioskowana kwota • Wnioskowany okres kredytowania w dniach • Wnioskowana waluta • Adres email • Adres IP • Deklarowane dochody • Kanał sprzedaży wobec czego Prezes Urzędu uznał za właściwe udzielenie". W piśmie tym Spółka bezpośrednio odnosi się do wcześniejszej odpowiedzi udzielonej na wniosek Uczestnika i wskazuje dane udostępnione do C. Jednocześnie w piśmie z 18.09.2025 r. Spółka nie wskazała, że termin odpowiedzi będzie dłuższy z uwagi na konieczność pozyskania dodatkowych informacji. Zgodnie natomiast z art. 12 ust. 3 RODO administrator bez zbędnej zwłoki – a w każdym razie w terminie miesiąca od otrzymania żądania – udziela osobie, której dane dotyczą, informacji o działaniach podjętych w związku z żądaniem na podstawie art. 15–22. W razie potrzeby termin ten można przedłużyć o kolejne dwa miesiące z uwagi na skomplikowany charakter żądania lub liczbę żądań. W terminie miesiąca od otrzymania żądania administrator informuje osobę, której dane dotyczą, o takim przedłużeniu terminu, z podaniem przyczyn opóźnienia. Jeśli osoba, której dane dotyczą, przekazała swoje żądanie elektronicznie, w miarę możliwości informacje także są przekazywane elektronicznie, chyba że osoba, której dane dotyczą, zażąda innej formy. Jak wynika z akt sprawy, Spółka spełniła żądanie Uczestnika postępowania w zakresie jego pisma z dnia z [...] sierpnia 2024 r. dopiero w dniu 3 grudnia 2024 r., nie ulega więc wątpliwości, że termin z art. 12 ust. 3 został przekroczony o ponad dwa miesiące. Tak więc należy uznać, że Organ był uprawniony do nałożenia na Spółkę w pkt 4 decyzji upomnienia za powyższe naruszenie. W ocenie Sądu w niniejszej sprawie nie doszło do naruszenia wskazanych w skardze przepisów postępowania, ponieważ stan faktyczny sprawy został ustalony w sposób prawidłowy oraz prawidłowo Organ dokonał subsumcji stanu faktycznego do odpowiednich przepisów prawa materialnego. Biorąc powyższe pod rozwagę, skargę należało oddalić na podstawie art. 151 p.p.s.a.