II SA/Wa 969/25

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Łukasz Krzycki, Sędzia WSA Danuta Kania, Sędzia WSA Joanna Kruszewska-Grońska (spr.), , Protokolant starszy specjalista Elwira Sipak, po rozpoznaniu na rozprawie w dniu 26 lutego 2026 r. sprawy ze skargi Banku [...] z siedzibą w [...] na punkt 1 decyzji Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] kwietnia 2025 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę

Decyzją z [...] kwietnia 2024 r. nr [...] Prezes Urzędu Ochrony Danych Osobowych (dalej: "PUODO", "organ"), na mocy art. 104 § 1 i art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (obecnie tekst jednolity: Dz. U. z 2025 r., poz. 1691; dalej: "k.p.a.") w związku z art. 7 ust. 1 i ust. 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781; dalej: "u.o.d.o."), a także art. 6 ust. 1 oraz art. 58 ust. 2 lit. c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych - Dz. Urz. UE L 119 z 2016 r., str. 1 ze sprost.; dalej: "RODO"), w pkt 1 nakazał Bankowi [...] S.A. z siedzibą w [...] (dalej: "skarżący", "Bank") usunięcie danych osobowych M. W. (dalej: "uczestnik postępowania", "klient"), a w pkt 2 umorzył postępowanie w pozostałym zakresie. Do wydania ww. decyzji doszło w następującym stanie faktycznym sprawy. Po ukończeniu działań windykacyjnych prowadzonych przez Bank wobec klienta, pismem z [...] sierpnia 2018 r. uczestnik postępowania wystąpił do skarżącego z pismem, w którym zażądał potwierdzenia, że nie posiada w Banku żadnych rachunków (bankowych bądź inwestycyjnych) ani żadnego zadłużenia, a w przypadku posiadania otwartego rachunku - wniósł o potraktowanie jego pisma jako wypowiedzenia oraz przesłanie mu potwierdzenia zamknięcia wszystkich rachunków. Ponadto klient wycofał zgodę na przetwarzanie jego danych osobowych zarówno przez skarżącego, jak i przez wszystkie podmioty, którym Bank przekazał jego dane. W odpowiedzi na to żądanie skarżący, w piśmie z [...] września 2018 r., poinformował, iż zgodnie ze stosowaną przez niego taryfą opłat i prowizji, wystawienie zaświadczenia podlega opłacie w kwocie 50 zł. W skardze do organu na nieprawidłowości w procesie przetwarzania danych osobowych (pismo z [...] sierpnia 2018 r., sprecyzowane pismem z [...] grudnia 2018 r.) uczestnik postępowania, wskazując, że uprzednio nie występował do Banku w trybie art. 15 ust. 3 RODO o kopie jego danych osobowych podlegających przetwarzaniu, domagał się przekazania wszystkich jego danych, jakie skarżący przetwarza, w tym obejmujących wszystkie jego rachunki bankowe i zobowiązania finansowe wraz z następującymi informacjami: - kiedy i jak były spłacane, - jakie były terminy prowadzenia działań egzekucyjnych i windykacyjnych (konkretnie "od dnia do dnia"), - jakie kwoty były poddane windykacji i egzekucji oraz jakie kwoty zostały wyegzekwowane, także przez kogo i w jakich terminach, - jakie były terminy umorzenia egzekucji i zaprzestania prowadzenia działań windykacyjnych, - kiedy i komu sprzedano ewentualne wierzytelności oraz w jakich kwotach. Klient również zażądał: - potwierdzenia przez skarżącego informacji, iż wszystkie jego rachunki są zamknięte, a zobowiązania spłacone, zaś Bank nie prowadzi względem niego żadnych działań windykacyjnych czy egzekucyjnych, - zaprzestania przetwarzania przez skarżącego wszelkich jego danych (tak w celach marketingowych, jak i w jakimkolwiek innym celu) m.in. o zamkniętych kredytach i kartach kredytowych, - odszkodowania od Banku. Skarżący wyjaśnił, że pozyskał dane osobowe uczestnika postępowania w związku z następującymi umowami, które już nie obowiązują: ( umowa rachunku oszczędnościowego - "Konta [...]" z [...] stycznia 2001 r. o nr [...] - wygasła [...] grudnia 2010 r., ( umowa z [...] grudnia 2009 r. konta oszczędnościowego o nr [...] - wygasła [...] grudnia 2010 r., ( umowa z [...] grudnia 2009 r. o kredyt gotówkowy "Kredyt [...]" o nr [...] - wygasła [...] sierpnia 2010 r., ( umowa z [...] listopada 2010 r. o kredyt gotówkowy "Kredyt [...]" o nr [...] - wygasła [...] lutego 2011 r., ( umowa z [...] lutego 2011 r. rachunku oszczędnościowo-rozliczeniowego [...] Konto [...] i lokaty w [...] (wobec braku dostępnego egzemplarza tej umowy, Bank zgłosił organowi naruszenie) - wygasła [...] marca 2017 r. (data likwidacji lokaty założonej w ramach ww. umowy: [...] lutego 2011 r.), ( umowa z [...] lutego 2011 r. o kredyt gotówkowy "Kredyt [...]" o nr [...] - wygasła [...] września 2016 r., ( umowa z [...] lutego 2011 r. o kredyt gotówkowy "Kredyt [...]" o nr [...] - wygasła [...] września 2016 r., ( umowa z [...] sierpnia 2011 r. o kartę kredytową o nr [...] - wygasła [...] września 2016 r. Dalej skarżący podał, iż aktualnie przetwarza dane osobowe klienta w zakresie: danych identyfikacyjnych, kontaktowych, w tym teleadresowych, dane dotyczące posiadanych produktów lub usług oraz dane finansowe w celu: ( uczestnictwa w niniejszym postępowaniu prowadzonym przez PUODO - na podstawie art. 6 ust. 1 lit. c w związku z art. 58 ust. 1 lit. a i lit. e RODO, k.p.a. i u.o.d.o., a po jego prawomocnym zakończeniu będzie przetwarzać (przechowywać) ww. dane w celu archiwalnym przez 5 lat w oparciu o art. 6 ust. 1 lit. f RODO, tj. prawnie uzasadniony interes polegający na zarchiwizowaniu zgromadzonej dokumentacji w związku z prowadzoną działalnością gospodarczą; ( archiwalnym (dowodowym) na mocy art. 6 ust. 1 lit. c i lit. f RODO w związku z art. 92ba ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (obecnie tekst jednolity: Dz. U. z 2026 r., poz. 38; dalej: "P.b."), przewidującym obowiązek udzielania przez Bank zbiorczej informacji o rachunkach bankowych osób fizycznych na wniosek posiadaczy rachunku, ich spadkobierców lub zarządcy sukcesyjnego, jak również w związku z prawnie uzasadnionym interesem skarżącego polegającym na zarchiwizowaniu zgromadzonej dokumentacji w ramach prowadzonej działalności gospodarczej - z uwagi na zakończone w 2019 r. postępowania reklamacyjne. Przepisy P.b. nie określają terminu, w jakim osoba uprawniona (np. spadkobierca posiadacza rachunku) może wystąpić o przekazanie zbiorczej informacji. Bank stwierdził, że dane osobowe klienta będzie przetwarzał (przechowywał) w celu archiwalnym (dowodowym) - w związku z zakończonym postępowaniem reklamacyjnym - przez okres 5 lat na podstawie prawnie uzasadnionego interesu polegającego na zarchiwizowaniu zgromadzonej dokumentacji w ramach prowadzonej działalności gospodarczej, a w celu realizacji obowiązku wynikającego z art. 92ba P.b. - przez okres istnienia tego obowiązku w stosunku do skarżącego, przy czym aktualnie okres ten nie został oznaczony. W kontekście zakończonego postępowania reklamacyjnego, Bank wymienił następujące przepisy jako podstawę prawną przetwarzania danych osobowych uczestnika postępowania w celu archiwalnym (dowodowym): art. 6 ust. 1 lit. c i lit. f RODO w związku z m.in.: a) art. 74 ust. 2 pkt 6 ustawy z dnia 29 września 1994 r. o rachunkowości (Dz. U. z 2023 r., poz. 120 ze zm.; dalej: "u.r."), zgodnie z którym dokumenty dotyczące rękojmi i reklamacji należy przechowywać co najmniej przez okres 1 roku po terminie upływu rękojmi lub rozliczeniu reklamacji. W myśl art. 74 ust. 3 u.r., okres ten oblicza się od początku roku następującego po roku obrotowym, którego dane zbiory dotyczą; b) art. 118 ustawy z dnia 23 kwietnia 1964 r. Kodeks cywilny (obecnie tekst jednolity: Dz. U. z 2025 r., poz. 1071 ze zm.; dalej: "k.c.") na potrzeby ustalenia, dochodzenia lub obrony przed roszczeniami; według tego przepisu podstawowy okres przedawnienia wynosi 6 lat (zatem przyjęty przez Bank okres przechowywania mieści się w ww. okresie); c) art. 5-10 ustawy z dnia 5 sierpnia 2015 r. o rozpatrywaniu reklamacji przez podmioty rynku finansowego, o Rzeczniku Finansowym i o Funduszu Edukacji Finansowej (obecnie tekst jednolity: Dz. U. z 2024 r., poz. 1109 ze zm.; dalej: "r.r.") określającymi obowiązki skarżącego jako podmiotu, o którym mowa w art. 2 pkt 3 lit. b r.r., jak też ze względu na zagrożenie karą pieniężną przewidzianą w art. 32 ust. 1 r.r. za naruszenie tych obowiązków; c) art. 50 ust. 1 i 2 ustawy z dnia 16 lutego 2007 r. o ochronie konkurencji i konsumentów (obecnie tekst jednolity: Dz. U. z 2025 r., poz. 1714), art. 139 ust. 1 pkt 2 ustawy z dnia 29 sierpnia 1997 r. P.b., jak też art. 58 ust. 1 lit. e RODO z uwagi na wynikające z tych przepisów uprawnienia organów nadzorczych wobec Banku do żądania wszelkich koniecznych informacji, w tym przekazywania dokumentów, niezbędnych organom nadzorczym do realizacji ich zadań. Aktualnie skarżący przetwarza następujące dane osobowe uczestnika postępowania: imię, nazwisko, nazwisko panieńskie matki, status rezydencji podatkowej, obywatelstwo, PESEL, data urodzenia, płeć, cechy dokumentu tożsamości oraz organ wydający, adres zamieszkania i korespondencyjny, kontaktowy numer telefonu, kontaktowy adres e-mail, imię ojca, miejsce urodzenia, stan cywilny, wykształcenie, zawód, źródło dochodu, dane zakładu pracy, nr identyfikacyjny klienta, typ klienta (osoby prywatne), dane posiadanych produktów i usług oraz dane finansowe. Bank przyznał, iż ani klient nie dochodzi względem niego żadnych roszczeń ani on od klienta. Postępowanie reklamacyjne dotyczące spornego przetwarzania danych zakończyło się [...] lipca 2019 r., przy czym skarżący zwrócił uwagę, że organy nadzoru niejednokrotnie dokonują zapytań o postępowania reklamacyjne z ubiegłych lat, a na dowód tego przedstawił w wersji zanonimizowanej, skierowane do niego pisma: Prezesa Urzędu Ochrony Konkurencji i Konsumentów z [...] października 2023 r. oraz Urzędu Komisji Nadzoru Finansowego z [...] lipca 2022 r. i z [...] lutego 2024 r. Dalej skarżący podniósł, iż uczestnik postępowania w piśmie z [...] grudnia 2018 r. wystąpił o przekazanie kopii danych, zaś Bank na to żądanie udzielił bezpłatnej odpowiedzi pismem z [...] stycznia 2019 r. (w dniu [...] stycznia 2019 r. klient potwierdził doręczenie mu tej korespondencji). Niezależnie od powyższego, skarżący dodatkowo przesłał uczestnikowi postępowania raport z danymi, wygenerowany za pomocą systemu informatycznego. Odnosząc się do żądań klienta o zaprzestanie przetwarzania jego danych osobowych (w tym w celach marketingowych) i usunięcie tych danych, a także odwołanie zgody z art. 105a ust. 2 P.b. na przetwarzanie danych osobowych po wygaśnięciu zobowiązania, Bank poinformował uczestnika postępowania, że nie może usunąć (zaprzestać przetwarzania) jego danych osobowych z uwagi na uprawnienia i obowiązki skarżącego wynikające z przepisów prawa powszechnie obowiązującego. Natomiast skarżący odwołał oświadczenia marketingowe klienta i nie przetwarza jego danych w celach marketingowych. Wobec ww. dyspozycji, skarżący odwołał obowiązujące zgody uczestnika postępowania na przetwarzanie danych po wygaśnięciu zobowiązania w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. W rezultacie Bank i Biuro Informacji Kredytowej S.A. z siedzibą w [...] nie przetwarzają danych osobowych klienta w ww. celach. Skarżący zaznaczył, iż z zastrzeżeniem odrębności dopuszczonych w art. 15 ust. 3 i art. 12 ust. 5 RODO, nie pobiera opłat za realizację praw z zakresu ochrony danych osobowych osób, których dane dotyczą. Powołując się na art. 6 ust. 1 RODO oraz art. 74 ust. 2 pkt 6 i ust. 3 u.r., PUODO zauważył, że skoro postępowanie reklamacyjne w sprawie klienta zakończyło się [...] lipca 2019 r., to upłynął nałożony przepisami u.r. obowiązek archiwizacji dokumentacji. Proces przetwarzania przez skarżącego danych osobowych uczestnika postępowania na potrzeby ustalenia, dochodzenia lub obrony przed roszczeniami, organ ocenił jako niedopuszczalny, bo dokonywany "na zapas". W tym aspekcie wskazał na ujętą w art. 5 ust. 1 lit. e RODO zasadę ograniczenia przechowywania danych, jak też wyroki: Wojewódzkiego Sądu Administracyjnego w Warszawie z 20 lipca 2020 r., sygn. akt II SA/Wa 2602/19 i Naczelnego Sądu Administracyjnego (dalej: "NSA") z 27 marca 2018 r., sygn. akt I OSK 1459/16 (orzeczenia sądów administracyjnych są publikowane w internetowej bazie orzeczeń na stronie NSA: orzeczenia.nsa.gov.pl). Organ odwołał się do przepisów art. 2 pkt 2, art. 5 ust. 1 i art. 6 r.r., akcentując, iż skarżący nie wykazał, aby uczestnik postępowania złożył reklamację, której rozpatrzenie aktualnie uzasadniałoby przetwarzanie jego danych osobowych. Zatem jest to również niedopuszczalne przetwarzanie danych osobowych "na zapas". Przepisy r.r. nie wskazują terminu realizacji uprawnienia do wniesienia reklamacji. W konsekwencji przetwarzanie danych osobowych klienta na wypadek konieczności rozpatrzenia reklamacji stoi w ewidentnej sprzeczności z wyrażoną w art. 5 ust. 1 lit. e RODO zasadą ograniczonego przechowywania. Taki pogląd zaprezentował NSA w wyroku z 8 stycznia 2025 r., sygn. akt III OSK 4868/21. Następnie organ odniósł się do powoływanej przez Bank regulacji zawartej w art. 92ba P.b., która uzupełnia art. 59a P.b., a jej głównej celem jest przeciwdziałanie istnieniu tzw. rachunków nieaktywnych obejmujących zarówno rachunki, o istnieniu których zapomniał sam ich posiadacz, jak i rachunków, które wygasły z powodów wymienionych w art. 59a P.b. Skarżący nie podał terminu przetwarzania danych osobowych klienta na podstawie art. 92ba P.b. Terminu tego nie wskazuje też ww. art. Należy więc uznać, że pomimo wygaśnięcia ostatniego rachunku uczestnika postępowania w 2017 r., skarżący nadal przetwarza jego dane w ww. celu. Gdyby przyjąć, iż omawiane unormowanie stanowi samodzielną przesłankę uprawniającą do przetwarzania danych obecnych i byłych klientów, to proces przetwarzania (także w odniesieniu do dawnych klientów) trwałby permanentnie, a to narusza przepisy o ochronie danych osobowych, w tym zasadę ograniczonego przechowywania danych (vide art. 5 ust. 1 lit. e RODO). Przepisy nieprzewidujące terminu przetwarzania danych nie mogą stanowić podstawy do nieograniczonego czasowo przetwarzania danych osobowych byłych klientów Banku. Dlatego proces przetwarzania danych nie znajduje uzasadnienia w żadnej z przesłanek ujętych w art. 6 ust. 1 RODO. Odnosząc się do konieczności przetwarzania danych osobowych w związku z przedmiotowym postępowaniem, PUODO wskazał, że dane osobowe mogą być przetwarzane przez okres niezbędny do realizacji celu, a zakończenie postępowania w niniejszej sprawie spowoduje wygaśnięcie celu przetwarzania. Wątpliwości organu wzbudziło zatem stanowisko Banku, iż po prawomocnym zakończeniu postępowania skarżący będzie sporne dane przetwarzać (przechowywać) w celu archiwalnym (dowodowym) przez 5 lat w oparciu o art. 6 ust. 1 lit. f RODO, tj. prawnie uzasadniony interes polegający na zarchiwizowaniu zgromadzonej dokumentacji w związku z prowadzoną działalnością gospodarczą. Przede wszystkim Bank nie podał kryterium przyjętego okresu przetwarzania ani podstaw prawnych bądź okoliczności faktycznych, które uzasadniałyby ww. proces przetwarzania. Jak zaznaczył organ, dokonywana przez niego ocena w każdym przypadku służy zbadaniu zasadności skierowania pod adresem określonego podmiotu nakazu, odpowiadającego dyspozycji art. 58 ust. 2 RODO i służącego przywróceniu stanu zgodnego z prawem. W przedmiotowej sprawie PUODO nie stwierdził po stronie skarżącego podstaw prawnych uprawniających go przetwarzania danych osobowych klienta, dlatego organ skorzystał z uprawnienia naprawczego przewidzianego w art. 58 ust. 2 lit. c RODO, nakazując Bankowi usunięcie danych osobowych uczestnika postępowania. W kwestii zarzutu niespełnienia przez skarżącego obowiązku informacyjnego, PUODO przytoczył treść przepisów art. 15 ust. 1-3 oraz art. 12 ust. 3 RODO, uznając, że korespondencja, kierowana przez klienta do Banku, nie stanowiła wniosku, o którym mowa w art. 15 RODO, co zresztą przyznał sam uczestnik postępowania. Również skarżący oświadczył, iż klient nie żądał dostępu do danych ani uzyskania ich kopii. Skoro uczestnik postępowania przed złożeniem skargi do organu, nie wystąpił do Banku (jako administratora danych) z żądaniem realizacji jego prawa dostępu do danych w trybie art. 15 RODO, to skarga w zakresie realizacji obowiązku informacyjnego jest przedwczesna i bezprzedmiotowa. PUODO nie może wyręczać podmiotu danych w realizacji jego uprawnień określonych w przepisach RODO. Dopiero niespełnienie czy też nieprawidłowe spełnienie obowiązku informacyjnego będzie podlegać weryfikacji organu. Natomiast brak uprzedniego (tj. przed wniesieniem skargi do organu) żądania uczestnika postępowania w przedmiocie dostępu do danych bądź uzyskania ich kopii zobowiązuje PUODO do umorzenia postępowania w omawianym zakresie, w oparciu o art. 105 § 1 k.p.a., jako bezprzedmiotowego. In fine decyzji organ ustosunkował się do żądania klienta o odszkodowanie. Otóż, wskazując na art. 82 ust. 1 RODO, wyjaśnił, że może podejmować tylko te czynności, które znajdują się w zakresie jego uprawnień oraz tylko w tych sprawach, które należą do jego właściwości. PUODO nie posiada kompetencji do rozstrzygania spraw dotyczących odszkodowania z tytułu poniesionej szkody majątkowej lub niemajątkowej. Roszczeń w tego rodzaju sprawach można dochodzić przed sądem okręgowym, co wynika z art. 93 u.o.d.o. Pismem z [...] maja 2025 r. Bank (reprezentowany przez radcę prawnego L. L.) wywiódł do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na opisaną wyżej decyzję PUODO z [...] kwietnia 2025 r., zarzucając naruszenie prawa materialnego, które miało wpływ na wynik sprawy, tj.: 1. art. 6 ust. 1 lit. f w związku z art. 17 ust. 3 lit. e RODO poprzez jego błędną wykładnię i uznanie, iż uzasadniony interes administratora do przetwarzania danych osobowych w postaci potrzeby ustalenia, dochodzenia lub obrony przed roszczeniami istnieje wyłącznie w przypadku potrzeby dochodzenia lub obrony przed roszczeniem aktualnie istniejącym, a nie w przypadku samej możliwości wystąpienia przez podmiot danych z roszczeniem do czasu upływu okresu przedawnienia, podczas gdy: - ograniczanie możliwości przetwarzania danych osobowych na potrzeby ustalenia, dochodzenia lub obrony przed roszczeniami do roszczeń aktualnie dochodzonych od administratora nie znajduje podstaw w treści art. 6 ust. 1 lit. f RODO, - z treści art. 17 ust. 3 lit. e RODO wprost wynika możliwość przetwarzania przez administratora danych osobowych w celu ustalenia, dochodzenia lub obrony przed roszczeniami, nadto uprawnienie to nie zostało ograniczone do roszczeń aktualnie dochodzonych, - przyjęcie przez organ braku możliwości przetwarzania danych osobowych na podstawie art. 6 ust. 1 lit. f RODO - wobec braku dochodzonego roszczenia lub obrony przed aktualnie dochodzonym roszczeniem - prowadzi do zupełnego wykluczenia możliwości stosowania tej podstawy prawnej przez administratora danych osobowych, ponieważ nie zdarza się, co więcej - nie istnieje obowiązek prawny, by dochodzić roszczenia od administratora danych osobowych kiedy tylko pojawi się taka możliwość; podmiot uprawniony do dochodzenia roszczenia może podjąć działania w tym zakresie w dowolnym, wybranym przez siebie, momencie; niejednokrotnie podejmuje je bezpośrednio przed upływem terminu przedawnienia roszczeń; tym samym interpretacja PUODO przeczy zasadom wynikającym z przepisów prawa materialnego, logiki postępowania oraz doświadczenia życiowego. Wprawdzie niniejsza sprawa dotyczy konkretnego podmiotu danych i konkretnych danych osobowych, objętych decyzją, to utrwalenie takiej wykładni prawa materialnego może prowadzić do celowego jej wykorzystania przez podmiot uprawniony, który ewentualne wytoczenie roszczenia, poprzedzi wniesieniem sprzeciwu wobec przetwarzania danych, a następnie (po usunięciu danych osobowych) podejmie działania w celu dochodzenia ewentualnych roszczeń względem administratora danych osobowych, - możliwość przetwarzania danych osobowych w związku z ewentualnymi przyszłymi roszczeniami została oceniona jako dopuszczalna w orzecznictwie wojewódzkich sądów administracyjnych i NSA; 2) art. 5 ust. 1 lit. a, lit. b i lit. c RODO poprzez ich niezastosowanie i odniesienie się przez organ w uzasadnieniu decyzji wyłącznie do zasady ograniczenia przetwarzania danych osobowych, o której mowa w art. 5 ust. 1 lit. e RODO, podczas gdy: - przetwarzając dane uczestnika postępowania, Bank dochował zasad: przetwarzania zgodnego z prawem (vide art. 5 ust. 1 lit. a RODO), ograniczenia celu przetwarzania (vide art. 5 ust. 1 lit. b RODO oraz minimalizacji danych (vide art. 5 ust. 1 lit. c RODO), - dokonując oceny w zakresie występowania ewentualnych nieprawidłowości w procesie przetwarzania danych u administratora, PUODO powinien wziąć pod uwagę wszystkie zasady określone w art. 5 RODO i nie analizować ich w sposób wybiórczy (dowolny), - zasada, wyrażona w art. 5 ust. 1 lit. e RODO, ma charakter następczy w procesie przetwarzania danych osobowych; zatem jeżeli organ nie stwierdził naruszenia żadnej innej zasady z art. 5 RODO, w szczególności zasad zgodności z prawem oraz minimalizacji danych (vide art. 5 ust. 1 lit. a i lit. b RODO odpowiednio), to w tym przypadku nie może dojść do naruszenia zasady ograniczenia przechowywania danych; 3) art. 21 ust. 1 w związku z art. 17 ust. 1 lit. c RODO poprzez ich niezastosowanie i nakazanie usunięcia danych osobowych na mocy art. 58 ust. 2 lit. c RODO w sytuacji, gdy: - klient nie złożył sprzeciwu wobec przetwarzania przez Bank jego danych osobowych w oparciu o art. 6 ust. 1 lit. f RODO, przez co nie był uprawniony do żądania usunięcia jego danych osobowych przetwarzanych na tej podstawie w myśl art. 17 ust. 1 lit. c RODO, - w konsekwencji PUODO nie był uprawniony do nakazania skarżącemu usunięcia danych osobowych uczestnika postępowania, tj. spełnienia żądania przewidzianego w art. 58 ust. 2 lit. c RODO; 4) art. 6 ust. 1 lit. c RODO w związku z art. 5 ust. 1, art. 6 i art. 9 r.r. poprzez ich błędną wykładnię i uznanie, że: - wyłącznie wniesienie reklamacji przez podmiot danych uzasadnia przetwarzanie danych osobowych w celu konieczności rozpatrzenia tej reklamacji, podczas gdy w świetle art. 5 ust. 1, art. 6 i art. 9 r.r. obowiązkiem Banku nie jest jedynie rozpatrzenie aktualnie procedowanej reklamacji, ale też konieczność rozpatrzenia reklamacji, które w przyszłości mogą wpłynąć do skarżącego. Wbrew wykładni organu, r.r. nie przewiduje jakichkolwiek ograniczeń czasowych dla podmiotu uprawnionego do złożenia reklamacji; tak więc podmiot danych może wnieść reklamację w dowolnie wybranym przez siebie momencie, a uwzględniając cel reklamacji, Bank zobowiązany jest do jej rozpatrzenia - w szczególności, o ile nie upłynął termin przedawnienia roszczeń wobec skarżącego; 5) art. 6 ust. 1 lit. f RODO w związku z art. 5 ust. 1, art. 6, art. 9 i art. 35 r.r. poprzez jego nieprawidłową wykładnię i uznanie, iż skoro klient skorzystał już w pewnym zakresie z prawa reklamacji i postępowanie reklamacyjne w tym zakresie zostało zakończone, to możliwość dalszego przetwarzania danych osobowych przez Bank w celu potrzeby ustalenia, dochodzenia lub obrony przed roszczeniami nie jest uprawniona, podczas gdy zakończenie postępowania reklamacyjnego dotyczącego jedynie części obszaru współpracy skarżącego z uczestnikiem postępowania, nie wyklucza ryzyka złożenia przez klienta reklamacji co do innego obszaru współpracy lub podjęcia dalszych działań odnośnie zakończonego postępowania reklamacyjnego przed sądem lub poza sądem. Wbrew wykładni PUODO, podmiotowi danych przysługuje nieograniczone prawo składania reklamacji w odniesieniu do niezależnych obszarów relacji gospodarczych z Bankiem, w szczególności w przypadku wielu umów łączących skarżącego z uczestnikiem postępowania; 6) art. 2 Konstytucji RP w związku z art. 5 ust. 1 lit. e RODO, a także art. 5 ust. 1, art. 6 i art. 9 r.r. poprzez ich błędną wykładnię i uznanie, że przetwarzanie danych osobowych na wypadek konieczności rozpatrzenia reklamacji stoi w sprzeczności z zasadą ograniczonego przechowywania danych (vide art. 5 ust. 1 lit. e RODO), ponieważ przepisy r.r. nie przewidują terminu realizacji uprawnienia do wniesienia reklamacji, podczas gdy: - zgodnie z art. 5 ust. 1, art. 6 i art. 9 r.r. skarżący musi wywiązać się z obowiązków określonych w ww. przepisach i brak określenia normatywnego terminu na wniesienie reklamacji nie zwalnia go z ich spełnienia, - obarczanie Banku odpowiedzialnością za nieprawidłowe lub co najmniej budzące wątpliwości skonstruowanie normy prawnej, do której jest obowiązany się stosować, w oczywisty sposób stoi w sprzeczności z zasadą demokratycznego państwa prawa ujętą w art. 2 Konstytucji RP; 7) art. 2 Konstytucji RP w związku z art. 6 ust. 1 lit. c RODO oraz art. 92ba P.b. poprzez nieprawidłową wykładnię i uznanie, iż przepisy prawa nieprzewidujące terminu przetwarzania danych nie mogą stanowić podstawy do nieograniczonego czasowo przetwarzania danych byłych klientów skarżącego, podczas gdy: - zgodnie z jednoznacznym brzmieniem art. 92ba P.b., Bank musi sprostać obowiązkom przewidzianym w tym przepisie, tj. udzielać informacji wymienionym w nim podmiotom; brak określenia normatywnego terminu na zrealizowanie uprawnienia do udzielenia informacji, nie zwalnia skarżącego z wykonania tego obowiązku, - obarczanie Banku odpowiedzialnością za nieprawidłowe skonstruowanie normy prawnej, do której musi się stosować, w sposób oczywisty narusza zasadę demokratycznego państwa prawa sformułowaną w art. 2 Konstytucji RP. Ponadto skarżący zarzucił naruszenie przepisów postępowania, które miało istotny wpływ na wynik sprawy, a to: 1) art. 7 w związku z art. 77 § 1 i art. 80 k.p.a. poprzez brak rozpatrzenia całokształtu materiału dowodowego zebranego w sprawie i ustalenie, że Bank nie ustanowił terminu przetwarzania danych osobowych podmiotów danych na mocy art. 6 ust. 1 lit. f RODO i zamierza przetwarzać dane osobowe na tej podstawie przez okres nieograniczony, podczas gdy - wbrew ustaleniom PUODO - skarżący poinformował uczestnika postępowania, iż okres przetwarzania danych osobowych w oparciu o ww. przepis wynosi 5 lat po wygaśnięciu zobowiązania, a okres ten jest skorelowany z okresem przedawnienia roszczeń wynikającym z art. 117 k.c., przy czym Bank z ostrożności wskazał okres krótszy niż wymagany w ww. przepisie; 2) art. 107 § 3 k.p.a. poprzez brak podania w uzasadnieniu zaskarżonej decyzji argumentacji prawnej, dla której organ przyjął, że: - spełnianie ustawowych obowiązków w zakresie udzielania informacji dotyczącej działalności regulowanej Banku wobec organów nadzoru nie stanowi podstawy uzasadniającej przetwarzanie danych osobowych klienta na podstawie art. 6 ust. 1 lit. f RODO, - przetwarzanie danych osobowych uczestnika postępowania na wypadek konieczności rozpatrzenia reklamacji stoi w ewidentnej sprzeczności z zasadą ograniczonego przechowywania danych osobowych, określoną w art. 5 ust. 1 lit. e RODO, - przetwarzanie danych osobowych przez skarżącego na mocy art. 6 ust. 1 lit. f RODO, tj. na potrzeby ustalenia, dochodzenia lub obrony przed roszczeniami stoi w sprzeczności z ww. zasadą ujętą w art. 5 ust. 1 lit. e RODO, a zwłaszcza, jakie okoliczności legły u podstaw zakwestionowania przetwarzania danych osobowych na wypadek potencjalnych roszczeń; 3) art. 104 § 1 k.p.a. w związku z art. 58 ust. 2 lit. c RODO poprzez wydanie decyzji nakazującej Bankowi usunięcie danych osobowych klienta, podczas gdy przetwarzanie tych danych przez skarżącego było prawidłowe. W świetle tak sformułowanych zarzutów Bank domagał się: ( uchylenia zaskarżonej decyzji w części obejmującej pkt 1, czyli uchylenia nakazu usunięcia przez Bank danych osobowych klienta; ( wstrzymania wykonania zaskarżonej decyzji w ww. zakresie przez organ, a w przypadku nieuwzględnienia przez PUODO tego wniosku - wydania przez Sąd postanowienia o wstrzymaniu wykonania zaskarżonej części decyzji, tj. obejmującej pkt 1 decyzji; ( zasądzenia od organu na jego rzecz kosztów postępowania, w tym kosztów zastępstwa procesowego według norm przepisanych. W uzasadnieniu skargi Bank rozwinął poszczególne jej zarzuty. W odpowiedzi na skargę PUODO wniósł o jej oddalenie, podtrzymując stanowisko wyrażone w motywach zaskarżonej decyzji. Postanowieniem z [...] czerwca 2025 r. nr [...] organ odmówił wstrzymania wykonania zaskarżonej decyzji. W piśmie z [...] lipca 2025 r., stanowiącym replikę na odpowiedź na skargę, skarżący podtrzymał dotychczasowe zarzuty i wnioski. Bank podkreślił, iż wyraźnie wskazał okresy przetwarzania danych osobowych klienta, co czyni bezpodstawnym twierdzenia organu, że przetwarza dane permanentnie lub w nieograniczonym czasie. Zdaniem skarżącego, PUODO wypacza sens wdrożenia RODO w państwach UE, bo "w absolutnie nieproporcjonalny sposób nadaje prymat prawu do prywatności osoby fizycznej, w całości pomijając prawo do prowadzenia działalności gospodarczej, skutecznego środka prawnego i dostępu do sądu". Prawomocnym postanowieniem z 10 lipca 2025 r., sygn. akt II SA/Wa 969/25, Wojewódzki Sąd Administracyjny w Warszawie odmówił wstrzymania wykonania zaskarżonej decyzji w zakresie pkt 1. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Skarga nie zasługuje na uwzględnienie. Według art. 4 pkt 1 RODO, dane osobowe oznaczają informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej ("osobie, której dane dotyczą"). Możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej. W myśl art. 4 pkt 2 RODO przetwarzanie danych osobowych oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie. Zgodnie zaś z art. 4 pkt 7 RODO, administrator to osoba fizyczna lub prawna, organ publiczny, jednostka lub inny podmiot, który samodzielnie lub wspólnie z innymi ustala cele i sposoby przetwarzania danych osobowych. Zakwestionowane przez organ przetwarzanie danych dotyczy tzw. "zwykłych" danych, pozyskanych przez Bank jako administratora w ramach prowadzonej działalności gospodarczej - w odróżnieniu od szczególnych kategorii danych osobowych ujętych w art. 9 i art. 10 RODO. Zasady przetwarzania danych osobowych określa art. 5 ust. 1 RODO. I tak dane osobowe muszą być: a) przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą ("zgodność z prawem, rzetelność i przejrzystość"); b) zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami; dalsze przetwarzanie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych nie jest uznawane w myśl art. 89 ust. 1 za niezgodne z pierwotnymi celami ("ograniczenie celu"); c) adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane ("minimalizacja danych"); d) prawidłowe i w razie potrzeby uaktualniane; należy podjąć wszelkie rozsądne działania, aby dane osobowe, które są nieprawidłowe w świetle celów ich przetwarzania, zostały niezwłocznie usunięte lub sprostowane ("prawidłowość"); e) przechowywane w formie umożliwiającej identyfikację osoby, której dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane; dane osobowe można przechowywać przez okres dłuższy, o ile będą one przetwarzane wyłącznie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych na mocy art. 89 ust. 1, z zastrzeżeniem że wdrożone zostaną odpowiednie środki techniczne i organizacyjne wymagane na mocy niniejszego rozporządzenia w celu ochrony praw i wolności osób, których dane dotyczą ("ograniczenie przechowywania"); f) przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych ("integralność i poufność"). Przepis art. 5 ust. 2 RODO stanowi, iż administrator jest odpowiedzialny za przestrzeganie powyższych zasad i musi być w stanie wykazać ich przestrzeganie (rozliczalność). Natomiast art. 6 ust. 1 RODO wymienia niezależne (samoistne) i równoważne przesłanki legalizujące proces przetwarzania danych osobowych. Stosownie do treści ww. przepisu, przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy - i w takim zakresie, w jakim - spełniony jest co najmniej jeden z poniższych warunków: a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów; b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy; c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze; d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej; e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi; f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Akapit pierwszy lit. f nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań. Ta ostatnia przesłanka (tj. zawarta w lit. f), ma charakter swoistej klauzuli generalnej, która zwiększa elastyczność katalogu zawartego w art. 6 ust. 1 RODO. Stosowanie przepisu art. 6 ust. 1 lit. f RODO następuje dwuetapowo. W pierwszym etapie trzeba zweryfikować, czy kumulatywnie spełnione są dwa warunki, a mianowicie: (1) czy występuje prawnie uzasadniony interes, który jest realizowany przez administratora lub przez stronę trzecią oraz (2) czy przetwarzanie danych osobowych jest niezbędne dla realizacji celu wynikającego z powyższego interesu. W drugim etapie należy ocenić, czy nie jest spełniona przesłanka o charakterze negatywnym w postaci występowania w danym stanie faktycznym interesów lub podstawowych praw i wolności podmiotu danych, które mają charakter nadrzędny wobec prawnie uzasadnionych interesów administratora lub strony trzeciej. W przypadku spełnienia tego warunku nie będzie można powołać się na art. 6 ust. 1 lit. f RODO jako uzasadnienie dla przetwarzania danych osobowych. Istota tej negatywnej przesłanki polega na wyważeniu dwóch dóbr chronionych prawem, tj. prawnie uzasadnionego interesu administratora lub strony trzeciej - z jednej strony oraz interesów, podstawowych praw i wolności podmiotu danych - z drugiej strony. Prawnie uzasadniony interes trzeba rozumieć nie jako interes wynikający z przepisów prawa, lecz jako interes, który jest zgodny z prawem. Owa zgodność z prawem stanowi ograniczenie pojęcia interesu administratora lub strony trzeciej jako potencjalnej podstawy do przetwarzania danych osobowych. W doktrynie przyjmuje się, że wykładnia pojęcia prawnie uzasadnionego interesu powinna być szeroka i obejmować interesy gospodarcze, faktyczne lub prawne (vide D. Lubasz i W. Chomiczewski [w:] E. Bielak-Jomaa [red.], D. Lubasz [red.], RODO. Ogólne rozporządzenie o ochronie danych. Komentarz, WKP 2018 i powołane tam poglądy). Tak rozumiany prawnie uzasadniony interes musi być realizowany przez administratora lub przez stronę trzecią. Może to być interes nie tylko administratora, który przetwarza już dane osobowe, lecz również administratora, któremu dane te mogą dopiero zostać ujawnione. Pojęcie niezbędności oznacza z kolei, iż przetwarzanie danych dla realizacji prawnie uzasadnionego interesu administratora lub strony trzeciej musi być, rozsądnie oceniając, potrzebne, a więc musi występować bezpośredni związek pomiędzy realizacją prawnie uzasadnionego interesu a potrzebą przetwarzania danych osobowych. Do prawnie uzasadnionych interesów administratora danych osobowych prawodawca unijny odwołał się w motywie 47 preambuły RODO, wskazując, że "taki prawnie uzasadniony interes może istnieć na przykład w przypadkach, gdy zachodzi istotny i odpowiedni rodzaj powiązania między osobą, której dane dotyczą, a administratorem, na przykład gdy osoba, której dane dotyczą, jest klientem administratora lub działa na jego rzecz. Aby stwierdzić istnienie prawnie uzasadnionego interesu, należałoby w każdym przypadku przeprowadzić dokładną ocenę, w tym ocenę tego, czy w czasie i w kontekście, w którym zbierane są dane osobowe, osoba, której dane dotyczą, ma rozsądne przesłanki by spodziewać się, że może nastąpić przetwarzanie danych w tym celu". Treść motywu 47 preambuły RODO nie wskazuje konkretnie, matrycowo, jakie warunki powinny zostać spełnione, aby można było stwierdzić, że administrator przetwarza dane osobowe zgodnie ze swoimi prawnie uzasadnionymi interesami. Podano jedynie przykładowo, iż może chodzić o szczególnego rodzaju relację pomiędzy administratorem a osobą, której dane są przetwarzane. W każdym konkretnym układzie należy rozstrzygnąć, czy treść i charakter tej relacji w sposób rozsądny uzasadnia takie przetwarzanie w określonym zakresie i czasie. W ww. motywie prawodawca unijny w ogóle nie powiązał "prawnie uzasadnionych interesów" administratora z porządkiem prawnym. Natomiast położył akcent na charakter relacji łączącej administratora z osobą, której dane są przetwarzane, jej kontekstowość oraz wynikającą z jej indywidualnych uwarunkowań racjonalnie uzasadnioną potrzebę tego przetwarzania. Omawiany motyw 47 preambuły RODO w kontekście rekonstrukcji zakresu stosowania art. 6 ust. 1 lit. f RODO przesądza, że dopuszczalność przetwarzania danych osobowych na tej podstawie powinna być oceniana kauzalnie, z uwzględnieniem, iż zasadnicze znaczenie w tym przedmiocie, powinny mieć uwarunkowania konkretnej relacji pomiędzy administratorem a osobą, której dotyczą przetwarzane dane. Porządek prawny - w tej przestrzeni formułowania ocen - należy traktować jako granicę dopuszczalności prawnie uzasadnionego interesu administratora, na którym opiera przetwarzanie danych osobowych. Porządek prawny może więc być przeszkodą do przetwarzania danych osobowych na podstawie art. 6 ust. 1 lit. f RODO, jeżeli interesu administratora nie da się z nim pogodzić - interes administratora będzie sprzeczny z porządkiem prawnym, a więc nie będzie prawnie uzasadniony. Porządek prawny nie stanowi ścisłej podstawy uzasadnionego interesu administratora do przetwarzania danych osobowych na podstawie art. 6 ust. 1 lit. f RODO, wyznacza natomiast granicę tego przetwarzania. W stanie faktycznym niniejszej sprawy jako podstawę przetwarzania danych osobowych uczestnika postępowania skarżący wskazał zabezpieczenie swoich interesów w przypadku dochodzenia przez klienta ewentualnych roszczeń, podczas gdy nie zostało wykazane, by ten wystąpił wobec Banku z jakimkolwiek roszczeniem. Wprawdzie uczestnika postępowania ze skarżącym wiązały liczne umowy, jednak najpóźniejsze z nich wygasły ponad 8 lat przed wydaniem zaskarżonej decyzji, a najwcześniejsze - ponad 14 lat przed wydaniem zaskarżonej decyzji. W orzecznictwie NSA - zarówno na tle nigdy nienawiązanego stosunku prawnego, jak i nieistniejących już relacji prawnych - wypracowano pogląd, że niedopuszczalne jest przetwarzanie danych osobowych niejako "na zapas" z założeniem, iż mogą być one przydatne w przyszłości w celu zabezpieczenia się przed ewentualnym roszczeniami czy reklamacjami (vide wyroki NSA: z 8 stycznia 2025 r., sygn. akt III OSK 4868/21; z 1 października 2025 r., sygn. akt III OSK 1877/22; z 10 lipca 2025 r., sygn. akt III OSK 1594/22; z 13 listopada 2025 r., sygn. akt III OSK 2636/22; z 19 listopada 2025 r., sygn. akt III OSK 2472/22; z 14 stycznia 2026 r., sygn. akt III OSK 183/23). Zakres stosowania art. 6 ust. 1 lit. f RODO przesądza, że dopuszczalność przetwarzania danych osobowych na tej podstawie (tj. "niezbędność" takiego przetwarzania) powinna być oceniana wyłącznie kauzalnie, z uwzględnieniem, iż zasadnicze znaczenie w tym przedmiocie powinny mieć uwarunkowania konkretnej relacji pomiędzy administratorem a osobą, której dotyczą przetwarzane dane. Ma zatem rację organ, że akceptacja przetwarzania danych osobowych "na zapas", z uwagi na przyszłe i niepewne zdarzenia, umożliwiłaby przetwarzanie danych osobowych "niedoszłych" oraz byłych klientów banków w sposób permanentny, bez konieczności ich usuwania. Tymczasem regulacja art. 6 ust. 1 lit. f RODO przede wszystkim ma za zadanie chronić osoby przed nieuprawnionym przetwarzaniem ich danych osobowych, a nie hipotetyczne czy domniemane interesy sektora gospodarczego (finansowego). Nadrzędny charakter mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą. Każdej osobie przysługuje własne indywidualne prawo do prywatności, chroniące prywatną sferę tej osoby i uprawniające ją do samodzielnego decydowania o ujawnieniu informacji pochodzących z tej sfery. Bank niezasadnie skoncentrował się na własnych interesach gospodarczych, nie dostrzegając, iż z punktu widzenia ochrony danych osobowych dane te mogą być przetwarzane do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, ale wyłącznie wówczas, gdy są nadrzędne nad interesami i prawami osoby, której dane dotyczą. Taka sytuacja w niniejszej sprawie nie zaistniała, ponieważ ważąc interesy oraz podstawowe prawa i wolności klienta, takie jak chociażby gwarantowane (na gruncie prawa europejskiego, Konstytucji RP czy prawa cywilnego) prawo do prywatności, z interesem administratora, który dotyczy w tym wypadku zachowania w swych zasobach danych "na wszelki wypadek", czyli na wypadek tego, że mogą się okazać przydatne w przyszłości do dochodzenia lub obrony ewentualnych roszczeń (obecnie nieistniejących), należało dojść do wniosku, iż to interesy oraz podstawowe prawa i wolności osoby, której dane dotyczą, są nadrzędne. Podobnie ograniczenie z art. 17 ust. 3 lit. e RODO nie może zostać uwzględnione w przedmiotowej sprawie ze względu na brak przesłanki niezbędności w przetwarzaniu danych osobowych uczestnika postępowania. PUODO, wydając decyzję administracyjną, zobowiązany jest do rozstrzygania sprawy w oparciu o stan faktyczny istniejący w chwili wydania tej decyzji; nie może opierać się na przyszłych i niepewnych okolicznościach faktycznych. Innymi słowy, do kompetencji organu należało jedynie zbadanie legalności przetwarzania danych osobowych klienta przez Bank, biorąc pod uwagę okoliczności istniejące w chwili wydania decyzji. Poszczególne procedury zawierające przepisy dotyczące ciężaru dowodu czy przedawnienia roszczeń nie mogą uzasadniać przetwarzania danych osobowych, jeżeli między stronami nie toczy się żadne postępowanie. Nie jest też trafny zarzut naruszenia art. 6 ust. 1 lit. c RODO w związku z przepisami normującymi rozpatrywanie reklamacji, tj. art. 5 ust. 1, art. 6 i art. 9 r.r. Wojewódzki Sąd Administracyjny w Warszawie podziela stanowisko, w myśl którego nie mogą one stanowić podstawy do nieograniczonego czasowo przetwarzania danych osobowych, szczególnie tych osób, które już nie są klientami banku. Gdyby inaczej odczytywać powyższe regulacje, prawo do bycia zapomnianym stanowiłoby fikcję. W przypadku braku aktualnie procedowanej reklamacji, a taka sytuacja występuje w rozpoznawanej sprawie, nie sposób rozważać obowiązku terminowego udzielenia odpowiedzi na reklamację. Z kolei przewidziane w art. 92ba P.b. obowiązki informacyjne wobec posiadacza rachunku, osoby, która uzyskała tytuł prawny do spadku po posiadaczu rachunku, zarządcy sukcesyjnego lub wobec dostawcy usług płatniczych nie zostały obwarowane żadnym terminem w kontekście okresu przechowywania danych, co stanowi w praktyce istotny problem (vide powołane w odpowiedzi na skargę pismo Związków Banków Polskich z [...] maja 2020 r. stanowiące odpowiedź na pismo Przewodniczącego Senackiej Komisji Budżetu i Finansów Publicznych). Sąd aprobuje w tej kwestii interpretację organu, iż wzmiankowana regulacja nie uprawnia do przetwarzania danych osobowych w nieskończoność, lecz odnosi się do "nieaktywnych" rachunków, które jeszcze pozostają w dyspozycji banku (w systemach informatycznych lub papierowych archiwach), czyli zazwyczaj przez okres 5 lat, przewidziany w art. 74 ust. 2 i ust. 3 u.r. Dostrzec wypada, że w czasie istnienia obowiązku archiwizacyjnego Banku, uczestnik postępowania nie mógł skutecznie domagać się usunięcia jego danych, co wynika z treści art. 17 ust. 3 lit. b RODO. Według tego przepisu, ust. 1 i 2 art. 17 nie mają zastosowania, w zakresie w jakim przetwarzanie jest niezbędne do wywiązania się z prawnego obowiązku wymagającego przetwarzania na mocy prawa Unii lub prawa państwa członkowskiego, któremu podlega administrator, lub do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi. Nie ma wątpliwości, iż w przedmiotowej sprawie upłynął obowiązek archiwizowania dokumentów, gdyż postępowanie reklamacyjne dotyczące klienta zakończyło się [...] maja 2019 r. Podsumowując, tutejszy Sąd uznał zarzuty skargi za nieuzasadnione. W demokratycznym państwie prawnym nie jest dopuszczalne dowolne rozszerzanie uprawnień jakiegokolwiek podmiotu - organu władzy, spółki prawa handlowego czy też żadnego innego podmiotu będącego administratorem w zakresie przetwarzania danych osobowych (art. 47 i art. 51 Konstytucji RP). Dane osobowe mogą być przetwarzane co do zasady w celach, w jakich je zebrano. W okolicznościach niniejszej sprawy Sąd stwierdza, iż PUODO prawidłowo zastosował wobec Banku środek naprawczy przewidziany w art. 58 ust. 2 lit. c RODO. Tutejszy Sąd nie stwierdził naruszenia tak prawa materialnego, jak i przepisów postępowania. Organ podjął wszelkie niezbędne czynności, konieczne dla wyjaśnienia stanu faktycznego sprawy, a zgromadzony w sprawie materiał dowodowy poddał wszechstronnej ocenie, zgodnie z dyspozycją art. 80 k.p.a. Także uzasadnienie zaskarżonej decyzji odpowiada wymogom art. 107 § 3 k.p.a. Mając powyższe na względzie, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2026 r., poz. 143 ze zm.), orzekł jak w sentencji wyroku.