III OSK 1191/23

Naczelny Sąd Administracyjny w składzie: Przewodniczący: Sędzia NSA Wojciech Jakimowicz Sędziowie: Sędzia NSA Sławomir Wojciechowski Sędzia del. WSA Mariusz Kotulski (sprawozdawca) Protokolant: starszy asystent sędziego Aleksandra Kraus po rozpoznaniu w dniu 15 maja 2026 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej [...] S.A. z siedzibą w [...] od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 18 stycznia 2023 r. sygn. akt II SA/Wa 694/22 w sprawie ze skargi [...] S.A. z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] lutego 2022 r. nr [...] w przedmiocie przetwarzania danych osobowych 1. oddala skargę kasacyjną; 2. zasądza od [...] S.A. z siedzibą w [...] na rzecz Prezesa Urzędu Ochrony Danych Osobowych kwotę 360 (trzysta sześćdziesiąt) złotych tytułem zwrotu kosztów postępowania kasacyjnego.

Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 18 stycznia 2023 r. sygn. akt II SA/Wa 694/22 oddalił skargę [...] S.A. z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] lutego 2022 r. nr [...] w przedmiocie przetwarzania danych osobowych. Wyrok zapadł w następującym stanie faktycznym i prawnym sprawy. Prezes Urzędu Ochrony Danych Osobowych (dalej: "Prezes UODO", "organ") decyzją z dnia [...] lutego 2022 r. nr [...], działając na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2021 r. poz. 735, zwanej dalej: "k.p.a.") w zw. z art. 7 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781, zwanej dalej: "u.o.d.o") oraz art. 6 ust. 1 lit. c i art. 58 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35, zwanego dalej: "RODO") po przeprowadzeniu postępowania administracyjnego w sprawie skargi B. S. na nieprawidłowości w procesie przetwarzania jej danych osobowych przez [...] S.A. z siedzibą w [...] polegające na przetwarzaniu jej danych osobowych bez podstawy prawnej oraz odmowie usunięcia jej danych osobowych, odmówił uwzględnienia wniosku. W uzasadnieniu Prezes UODO w pierwszej kolejności przedstawił stan faktyczny sprawy. Wskazał, że do organu wpłynęła skarga B. S. (dalej: "wnioskodawczyni") na nieprawidłowości w procesie przetwarzania jej danych osobowych przez [...] S.A. z siedzibą w [...] (dalej: "Bank", "Spółka"), polegające na przetwarzaniu danych osobowych wnioskodawczyni bez podstawy prawnej oraz odmowie usunięcia jej danych osobowych. Wnioskodawczyni wskazała w treści swojej skargi, że Bank dwukrotnie odmówił realizacji żądania usunięcia jej danych osobowych z bazy danych Banku oraz powiązanych z nim podmiotów. W przeszłości miała podpisaną umowę z Bankiem, ale w ciągu roku zgodnie z przedstawionym jej planem spłaty, spłaciła wszystkie raty. Nie posiada żadnych innych zobowiązań wobec Banku. W kierowanych w październiku i listopadzie 2019 r. żądaniach usunięcia jej danych osobowych dwukrotnie otrzymała odmowę od Banku. Obawia się, że jej dane nie są już niezbędne do celów, dla których zostały zebrane i nie występują podstawy ich przetwarzania. W toku prowadzonego postępowania Bank wyjaśnił, że pozyskał dane osobowe bezpośrednio od wnioskodawczyni w dniu 11 lutego 2017 r. w związku z zawarciem umowy kredytu na zakup towarów/usług za pośrednictwem [...] S.A. z siedzibą w [...], któremu Bank powierzył przetwarzanie danych osobowych w związku ze świadczeniem przez ten podmiot usług pośrednictwa finansowego. Wnioskodawczyni uregulowała zobowiązania kredytowe z umowy w dniu 17 marca 2018 r. Bank pozyskał od wnioskodawczyni dane osobowe w celu: zawarcia i realizacji umowy, przeprowadzenia oceny zdolności kredytowej na podstawie art. 70 ust. 1 ustawy z dnia 29 sierpnia 1997 r. Prawa bankowego (Dz. U. z 2020 r. poz. 1896, zwanej dalej: "Prawem bankowym", prowadzenia analizy ryzyka kredytowego na podstawie art. 105a Prawa bankowego; stosowania środków bezpieczeństwa finansowego na podstawie art. 34 ustawy z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (Dz.U. 2021 r. poz. 1132 zwaną dalej: "ustawą AML"), przechowywania dokumentów księgowych na podstawie art. 74 ustawy z dnia 29 września 1994 r. o rachunkowości (Dz. U. z 2021 r. poz. 217, zwanej dalej: "ustawą o rachunkowości") oraz w celach marketingowych na podstawie wyrażonej przez wnioskodawczynię zgody. Bank wskazał, że obecnie przetwarza dane osobowe wnioskodawczyni w następujących celach: rozpatrywania reklamacji oraz ustalania, obrony i dochodzenia roszczeń - jako podstawę prawną Bank wskazał art. 6 ust. 1 lit. f RODO; stosowania przyjętych zasad rachunkowości - jako podstawę prawną Bank wskazał art. 74 ustawy o rachunkowości w zw. z art. 6 pkt 1. lit. c RODO; przechowywania dokumentacji dla potrzeb przeciwdziałania praniu pieniędzy i finansowania terroryzmu - jako podstawę prawną wskazał art. 49 ust. 1 ustawy AML. Bank wskazał, że przetwarza dane osobowe wnioskodawczyni w zakresie danych identyfikacyjnych: imię i nazwisko, PESEL, dane dokumentu tożsamości (data urodzenia, seria i numer dowodu osobistego, data wydania i ważności dowodu osobistego), danych teleadresowych: adres zameldowania, adres korespondencyjny, numer telefonu, adres email, a także danych pochodzących z zapytań kredytowych w celu zarządzania ryzykiem detalicznych ekspozycji kredytowych. Bank wskazał, że po jego odpowiedzi z 22 listopada 2019 r. wnioskodawczyni nie kierowała do Banku dalszych pism lub roszczeń. Bank nie zgłaszał ani nie zgłasza roszczeń wobec wnioskodawczyni. Pomimo powyższego Bank w celu rozpatrywania reklamacji oraz ustalania, obrony i dochodzenia roszczeń będzie przetwarzać dane osobowe wnioskodawczyni w oparciu art. 118 ustawy z dnia 23 kwietnia 1964 r. Kodeks cywilny (Dz. U. z 2020 r. poz. 1740, zwanej dalej: "Kodeksem cywilnym"), przez okres 10 lat od dnia zakończenia zobowiązania, tj. do dnia 17 marca 2028 r. Jednocześnie Bank podniósł, że w zakresie, w jakim dane osobowe wnioskodawczyni przetwarza na podstawie art. 74 ustawy o rachunkowości termin przetwarzania danych w tym celu wynosi 5 lat, licząc od początku roku następującego po roku obrotowym, którego dany zbiór dotyczy. Bank zaprzestanie przetwarzać dane osobowe wnioskodawczyni w tym celu 1 stycznia 2024 r. W odniesieniu natomiast do podstawy z art. 49 ust. 1 AML - Bank będzie przetwarzać dane w tym celu przez okres 5 lat zgodnie z art. 49 ust. 2 ustawy o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu, licząc od pierwszego dnia roku następującego po roku, w którym Bank zakończył stosunki gospodarcze z wnioskodawczynią. Bank zaprzestanie przetwarzać dane osobowe wnioskodawczyni w tym celu 1 stycznia 2024 r. Bank stwierdził, że wnioskodawczyni zwróciła się do Banku z wnioskiem o usunięcie danych osobowych w pismach z 4 października 2019 r. oraz z 31 października 2019 r., na które Bank odpowiedział pismami z 10 października 2019 r., z 29 października 2019 r. oraz pismem z 22 listopada 2019 r., w których odmówił spełnienia żądania wnioskodawczyni wskazując, że aktualnie nadal występują przesłanki uzasadniające dalsze przetwarzanie jej danych osobowych przez Bank. Dodatkowo Bank poinformował wnioskodawczynię, że uwzględnił jej wniosek w zakresie zaprzestania przetwarzania danych osobowych w celach marketingowych. Dodatkowo wnioskodawczyni przedstawiła w załączeniu skargi kopię pisma z 7 listopada 2019 r., stanowiącego ponowienie wcześniejszego wniosku o usunięcie danych osobowych jeszcze przed otrzymaniem odpowiedzi Banku. Pismem z 14 marca 2022 r. Spółka wniosła skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie. W odpowiedzi na skargę organ wniósł o oddalenie skargi. Wojewódzki Sąd Administracyjny w Warszawie w powołanym wyżej wyroku oddalił skargę [...] S.A. z siedzibą w [...] uznając, że zaskarżona decyzja została wydana zgodnie z prawem. Uzasadniając swoje stanowisko Sąd I instancji wskazał, że bezspornym pozostaje w niniejszej sprawie, że Prezes UODO po przeprowadzeniu postępowania administracyjnego zakończonego decyzją z dnia 11 lutego 2022 r. prawidłowo odmówił uwzględnienia wniosku wnioskodawczyni stwierdzając, że proces przetwarzania danych osobowych wnioskodawczyni przez Bank znajduje uzasadnienie w przesłance z art. 6 ust. 1 lit. c RODO. Sporne zaś pozostaje, czy Bank prawidłowo przetwarza dane osobowe wnioskodawczyni w oparciu o przesłankę z art. 6 ust. 1 lit. f RODO. Oceniając przebieg postępowania Sąd uznał, że organ trafnie uznał, wbrew temu co podnosi skarżąca, że brak jest podstaw, aby uznać, że Bank prawidłowo przetwarza dane osobowe wnioskodawczyni w oparciu o przesłankę z art. 6 ust. 1 lit. f RODO. Słusznie organ uznał, że Bank przetwarza dane osobowe wnioskodawczyni w celu zabezpieczenia się przed ewentualnym roszczeniem wyłącznie "na zapas", bowiem przeprowadzone przez Prezesa UODO postępowanie administracyjne nie wykazało, aby wnioskodawczyni skierowała wobec Spółki jakiekolwiek roszczenie. Sąd podzielił pogląd organu, że przesłanka wynikająca z art. 6 ust. 1 lit. f RODO dotyczy sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia, potrzeba dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem. W rozpoznawanej sprawie WSA w Warszawie podkreślił, że przetwarzanie danych osobowych wnioskodawczyni w celu obrony przed ewentualnymi roszczeniami lub ewentualnym ich dochodzeniem przez okres przedawnienia roszczeń cywilnych Bank wskazał w wyjaśnieniach z 23 czerwca 2020 r. wskazując, że obecnie przetwarza dane osobowe wnioskodawczyni w celach spełnienia obowiązków wynikających z przepisów prawa oraz prawnie usprawiedliwionych celów administratora na podstawie art. 6 ust. 1 lit. c) i f). Prezes UODO, będąc związanym zakresem skargi wnioskodawczyni, zobowiązany był do dokonania oceny legalności procesu przetwarzania danych osobowych prowadzonego przez Bank, przy uwzględnieniu wyjaśnień Banku w powyższym zakresie. Stosownie bowiem do treści art. 107 § 1 pkt 4 k.p.a. integralną częścią decyzji jest uzasadnienie faktyczne i prawne. Zgodnie zaś z art. 107 § 3 k.p.a. uzasadnienie faktyczne decyzji powinno w szczególności zawierać wskazanie faktów, które organ uznał za udowodnione, dowodów, na których się oparł, oraz przyczyn, z powodu których innym dowodom odmówił wiarygodności i mocy dowodowej, zaś uzasadnienie prawne - wyjaśnienie podstawy prawnej decyzji, z przytoczeniem przepisów prawa. W sprawie dotyczącej legalności procesu przetwarzania danych osobowych niezbędna jest zatem ocena wszystkich wskazanych przez administratora przesłanek przetwarzania. Uchylenie fragmentu decyzji dotyczącego niedopuszczalności przetwarzania danych osobowych "na zapas" w celu obrony przed ewentualnymi roszczeniami lub dochodzeniem przyszłych niepewnych roszczeń, spowodowałoby tym samym wadliwość uzasadnienia przedmiotowej decyzji. Decyzja pozbawiona byłaby wówczas oceny prawnej prowadzonego przez Bank procesu przetwarzania danych osobowych wnioskodawczyni w celu obrony przed ewentualnymi roszczeniami w oparciu o przesłankę z art. 6 ust. 1 lit. f, który to proces jak wynika ze stanu faktycznego przedmiotowej sprawy, w tym z wyjaśnień skarżącej, był przez Bank prowadzony. Jednocześnie Sąd I instancji stwierdził, że skarżąca wskazała, że stanowisko organu dotyczące niedopuszczalności przetwarzania danych osobowych w celu obrony przed ewentualnymi roszczeniami lub ich ewentualnym dochodzeniem w przyszłości jest sprzeczne z podstawową funkcją instytucji przedawnienia, jednakże nie wyjaśniła, na czym ta sprzeczność miałaby polegać. Zgodzić się zaś należy z Prezesem UODO, że uzależnienie okresu przetwarzania danych osobowych w celu obrony przed ewentualnymi roszczeniami od okresu przedawnień roszczeń cywilnoprawnych nie ma jakiegokolwiek uzasadnienia. W ocenie Sądu zgodzić się też należy z Prezesem UODO, że przetwarzanie danych w celu dochodzenia roszczeń (przetwarzanie w celach windykacyjnych) oraz obrony przed roszczeniami, nie jest tożsame z przetwarzaniem na wypadek przyszłej i niepewnej konieczności dochodzenia roszczeń, które dopiero mogą pojawić się w przyszłości lub obrony przed nimi. Podkreślić bowiem należy, że przesłanka z art. 6 ust. 1 lit. f RODO dotyczy sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia, potrzeba dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem, które wnioskodawczyni być może skieruje do Banku w przyszłości, a być może taka sytuacja nie będzie mieć miejsca. Bank pomija, że przetwarzanie danych osobowych w oparciu o przesłankę określoną w art. 6 ust. 1 lit. f RODO może odbywać się, gdy przetwarzanie to jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych. Nie można zaś uznać, że przetwarzanie danych osobowych prowadzone niejako "na wszelki wypadek" jest nadrzędne nad interesami oraz podstawowymi prawami i wolnościami wnioskodawczyni. Skargę kasacyjną od tego wyroku wniósł [...] S.A. z siedzibą w [...], zaskarżając wyrok w całości i zarzucając mu na podstawie art. 174 pkt 1 i 2 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2022 r. poz. 329, zwanej dalej: "p.p.s.a.") naruszenie: 1) naruszenie przepisów postępowania, które mogło mieć istotny wpływ na wynik sprawy, tj. naruszenie art. 151 p.p.s.a. poprzez jego niewłaściwe zastosowanie i w konsekwencji nieuwzględnienie skargi Banku, pomimo naruszenia przez organ przepisów art. 7, 77 oraz 80 k.p.a. poprzez niewyczerpujące rozpatrzenie materiału dowodowego, w tym także poprzez brak analizy zasad retencji danych osobowych obowiązujących w Banku, oraz dokonanie jego dowolnej oceny, przejawiającej się w uznaniu, że: - bank nie dysponuje przesłankami legalizującymi przetwarzanie danych osobowych uczestnik, pomimo że to przetwarzanie danych osobowych jest niezbędne do realizacji prawnie uzasadnionych interesów Banku w związku z obroną przed roszczeniami i/lub ich dochodzeniem; - przetwarzanie danych osobowych uczestniczki w celu obrony przed roszczeniami lub/i ich dochodzeniem skutkuje ich permanentnym przetwarzaniem. 2) prawa materialnego, tj. art. 6 ust. 1 lit. f RODO w zw. z art. 117 § 1, § 2 i § 21 oraz 118 Kodeksu cywilnego poprzez ich błędną wykładnię, polegającą na uznaniu, że: - obrona i dochodzenie roszczeń mogą dotyczyć wyłącznie już istniejących roszczeń; - prawnie uzasadnionym interesem administratora nie może być obrona przed roszczeniami lub dochodzenie roszczeń jeszcze nieskonkretyzowanymi w postaci wezwania lub pozwu; - upływ terminu przedawnienia pozostaje bez znaczenia dla sytuacji zarówno wierzyciela, jak i dłużnika. Mając powyższe na uwadze skarżący kasacyjnie wniósł o uchylenie zaskarżonego wyroku w całości oraz przekazanie sprawy w tym zakresie do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie, zasądzenie zwrotu kosztów postępowania kasacyjnego, w tym kosztów zastępstwa procesowego i opłaty skarbowej od pełnomocnictwa od organu według norm prawem przepisanych, a także rozpoznanie skargi kasacyjnej na rozprawie. Jednocześnie Bank wniósł o umożliwienie - na podstawie art. 15zzs4 ust. 2 ustawy z dnia 2 marca 2020 r. o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19, innych chorób zakaźnych oraz wywołanych nimi sytuacji kryzysowych - udziału pełnomocnika Banku w rozprawie przy użyciu urządzeń technicznych umożliwiających przeprowadzenie jej na odległość z jednoczesnym bezpośrednim przekazem obraz i dźwięku, bez obowiązku przebywania osób w niej uczestniczących w budynku sądu ze względu na obowiązujący stan zagrożenia epidemicznego. Powyższe zarzuty rozwinięto w uzasadnieniu skargi kasacyjnej. W odpowiedzi na skargę kasacyjną Prezes UODO wniósł o jej oddalenie. Naczelny Sąd Administracyjny zważył, co następuje: Zgodnie z art. 183 § 1 p.p.s.a. Naczelny Sąd Administracyjny przy rozpatrywaniu sprawy na skutek wniesienia skargi kasacyjnej związany jest granicami tej skargi, a z urzędu bierze pod rozwagę tylko nieważność postępowania w wypadkach określonych w § 2, z których żaden w rozpoznawanej sprawie nie zachodzi. Oznacza to, że przytoczone w skardze kasacyjnej przyczyny wadliwości prawnej zaskarżonego orzeczenia determinują zakres kontroli dokonywanej przez Naczelny Sąd Administracyjny. Sąd ten, w odróżnieniu od wojewódzkiego sądu administracyjnego, nie bada całokształtu sprawy, lecz tylko weryfikuje zasadność zarzutów postawionych w skardze kasacyjnej. Podstawy, na których można oprzeć skargę kasacyjną zostały określone w art. 174 p.p.s.a. Przepis art. 174 pkt 1 p.p.s.a. przewiduje dwie postacie naruszenia prawa materialnego, a mianowicie błędną jego wykładnię lub niewłaściwe zastosowanie. Przez błędną wykładnię należy rozumieć niewłaściwe zrekonstruowanie treści normy prawnej wynikającej z konkretnego przepisu, natomiast przez niewłaściwe zastosowanie, dokonanie wadliwej subsumcji przepisu do ustalonego stanu faktycznego. Również druga podstawa kasacyjna wymieniona w art. 174 pkt 2 p.p.s.a. – naruszenie przepisów postępowania – może przejawiać się w tych samych postaciach, co naruszenie prawa materialnego, przy czym w wypadku oparcia skargi kasacyjnej na tej podstawie skarżący powinien nadto wykazać istotny wpływ wytkniętego uchybienia na wynik sprawy. Jako niezasadne ocenić należy zarzuty dotyczące naruszenia przepisów postępowania, które mogło mieć istotny wpływ na wynik sprawy, tj. "art. 151 p.p.s.a. poprzez jego niewłaściwe zastosowanie i w konsekwencji nieuwzględnienie skargi Banku, pomimo naruszenia przez organ przepisów art. 7, 77 oraz 80 k.p.a. poprzez niewyczerpujące rozpatrzenie materiału dowodowego" W odniesieniu do powyższych zarzutów, koncentrujących się wokół braków w zakresie postępowania wyjaśniającego należy wskazać, że w ramach realizacji zasady prawdy obiektywnej, wynikającej z art. 7 k.p.a., organ jest obowiązany z urzędu stwierdzić, jakie dowody są niezbędne w danej sprawie oraz również z urzędu dowody te przeprowadzić. Jednakże obowiązek wyczerpującego zebrania i zbadania całego materiału dowodowego należy odnieść do zakresu wynikającego z materialnoprawnej podstawy rozstrzygnięcia. Innymi słowy organ nie ma obowiązku ustalania faktów niemających znaczenia dla rozstrzygnięcia sprawy. W ocenie Naczelnego Sądu Administracyjnego wszystkie istotne z punktu widzenia podstawy materialnoprawnej rozstrzygnięcia fakty zostały prawidłowo ustalone w postępowaniu wyjaśniającym. Po przeprowadzeniu analizy akt administracyjnych sprawy nie sposób przyjąć, że doszło do wadliwości w procesie ustalania stanu faktycznego sprawy. Stwierdzić należy, że ustalony przez organ stan faktyczny sprawy nie budzi wątpliwości – co potwierdza w skardze kasacyjnej także sam Bank. 1. Bank wyjaśnił, że pozyskał dane osobowe bezpośrednio od wnioskodawczyni 11 lutego 2017 r. w związku z zawarciem umowy kredytu na zakup towarów/usług za pośrednictwem [...] S.A. z siedzibą w [...]. 2. Wnioskodawczyni uregulowała zobowiązania kredytowe z umowy w dniu 17 marca 2018 r. 3. Bank wskazał, że obecnie przetwarza dane osobowe wnioskodawczyni w następujących celach: rozpatrywania reklamacji oraz ustalania, obrony i dochodzenia roszczeń - jako podstawę prawną Bank wskazał art. 6 ust. 1 lit. f RODO; stosowania przyjętych zasad rachunkowości - jako podstawę prawną Bank wskazał art. 74 ustawy o rachunkowości w zw. z art. 6 pkt 1. lit. c RODO (termin przetwarzania danych w tym celu wynosi 5 lat, licząc od początku roku następującego po roku obrotowym, którego dany zbiór dotyczy tj. do 1 stycznia 2024 r.) oraz przechowywania dokumentacji dla potrzeb przeciwdziałania praniu pieniędzy i finansowania terroryzmu - jako podstawę prawną wskazał art. 49 ust. 1 ustawy AML (te dane Bank będzie przetwarzać przez okres 5 lat, licząc od pierwszego dnia roku następującego po roku, w którym Bank zakończył stosunki gospodarcze z wnioskodawczynią tj. do 1 stycznia 2024 r.). Jednocześnie bank poinformował, że po jego odpowiedzi z 22 listopada 2019 r. wnioskodawczyni nie kierowała do Banku dalszych pism lub roszczeń. Również Bank nie zgłaszał ani nie zgłasza roszczeń wobec wnioskodawczyni. Pomimo powyższego Bank wskazał, że w celu rozpatrywania reklamacji oraz ustalania, obrony i dochodzenia roszczeń Bank będzie przetwarzać dane osobowe wnioskodawczyni w oparciu art. 118 k.c. przez okres 10 lat od dnia zakończenia zobowiązania, tj. do dnia 17 marca 2028 r. Istota tego zarzutu odnosi się do kwestii związanych z rozumieniem przesłanek legalizujących przetwarzanie danych osobowych wnioskodawczyni przez Bank oraz stwierdzeniem czy zachodzą one w niniejszej sprawie, a nie do ustaleń stanu faktycznego sprawy. Powyższe okoliczności faktyczne nie były sporne, a jednocześnie to one determinowały zakres rozpoznania sprawy. Dlatego też twierdzenie skarżącego kasacyjnie, iż stan faktyczny został ustalony w sposób niepełny, jest błędne. Podnoszone w omawianych zarzutach skargi kasacyjnej okoliczności są irrelewantne z punktu widzenia rozstrzygnięcia niniejszej sprawy. Zdaniem Naczelnego Sądu Administracyjnego nie ma wątpliwości, że Prezes UODO dokonał niezbędnych w sprawie ustaleń faktycznych i zebrał niezbędny materiał dowodowy, co trafnie ocenił Sąd I instancji. Organ rozpatrzył wszechstronnie i należycie zgromadzony materiał dowodowy, a ocena tego materiału na gruncie przepisów RODO nie budzi zastrzeżeń oraz jest prawidłowa. Odmienna ocena w zakresie wykładni i zastosowania powołanych przez organ przepisów prawa nie stanowi o naruszeniu przepisów postępowania art. 7, 77 oraz 80 k.p.a. Organ zbadał istnienie interesu prawnego skarżącego kasacyjnie do przetwarzania danych osobowych wnioskodawczyni. Niezrozumiały jest argument dotyczący braku przeprowadzenia przez Sąd I instancji "analizy zasad retencji danych osobowych obowiązujących w Banku". Otóż przypomnieć należy, że normy prawa administracyjnego są bezwzględnie wiążące i tylko one mogą stanowić podstawę prawną dla działań organów administracji publicznej – w niniejszym przypadku dla Prezesa UODO. Zatem kwestia wewnętrznych regulacji Banku i "analizy zasad retencji danych osobowych obowiązujących w Banku" jest prawnie irrelewantna dla oceny prawidłowości działania Prezesa UODO w niniejszej sprawie. Działalność Banku w zakresie przetwarzania i ochrony danych osobowych jego klientów i pracowników musi być zgoda z obowiązującym prawem w tym m.in. z RODO. Prezes UODO nie kwestionował w zaskarżonej decyzji uprawnień Banku do procesu przetwarzania danych osobowych wnioskodawczyni przez Bank na podstawie art. 6 ust. 1 lit. c RODO w związku ze wskazanymi: art. 74 ustawy o rachunkowości oraz art. 49 ust. 1 ustawy AML. Natomiast uznał, że Bank nieprawidłowo przetwarza dane osobowe wnioskodawczyni w oparciu o przesłankę z art. 6 ust. 1 lit. f RODO w celu zabezpieczenia się przed ewentualnym roszczeniem wyłącznie "na zapas", bowiem przeprowadzone przez Prezesa UODO postępowanie administracyjne nie wykazało, aby wnioskodawczyni skierowała wobec Banku jakiekolwiek roszczenie. Przesłanka wynikająca z art. 6 ust. 1 lit. f RODO dotyczy sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia, potrzeba dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem. Naczelny Sąd Administracyjny, odnosząc się do zarzutu naruszenia prawa materialnego tj. art. 6 ust. 1 lit. f RODO w zw. z art. 117 § 1, § 2 i § 21 oraz 118 Kodeksu cywilnego poprzez ich błędną wykładnię stwierdza, że jest on niezasadny. Otóż art. 6 ust. 1 lit. f RODO stanowi o uprawnieniu do przetwarzania, gdy jest ono niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Za usprawiedliwiony cel w rozumieniu ww. przepisu nie może zostać uznane przetwarzanie danych osobowych na wypadek ewentualnego dochodzenia lub obrony roszczeń. Z akt sprawy nie wynika, aby wnioskodawczyni, która zażądała usunięcia swoich danych osobowych, miała jakiekolwiek roszczenie na drodze cywilnoprawnej do strony skarżącej kasacyjnie. Z tego względu nie jest dopuszczalne przyjęcie, że to art. 6 ust. 1 lit. f RODO mógłby stanowić podstawę do "dalszego" przetwarzania danych, na wypadek ewentualnego dochodzenia roszczeń. W toku postępowania administracyjnego nie wykazano - i nie wynika to też ze skargi kasacyjnej - jakich ewentualnie roszczeń mógłby dochodzić podmiot, który zażądał usunięcia swoich danych osobowych. Sąd w składzie rozpoznającym sprawę podziela pogląd Naczelnego Sądu Administracyjnego, zgodnie z którym niedopuszczalne jest przetwarzanie danych osobowych niejako "na zapas" z założeniem, że mogą być one ewentualnie przydatne w przyszłości, na przykład z odwołaniem się do przepisów dotyczących przedawnienia roszczeń (por. wyroki NSA: z 27 marca 2018 r., I OSK 1459/16 i z 1 października 2025 r., III OSK 872/22). Celem RODO, tak, jak poprzednio Dyrektywy 95/46/WE, jest ochrona prywatności, która powinna być rozpatrywana także w świetle art. 8 Konwencji o Ochronie Praw Człowieka i Podstawowych Wolności. W sprawie tej nie istnieje tego rodzaju powiązanie pomiędzy osobą, której dane dotyczą a bankiem, które pozwalałoby "wyprowadzić" istnienie prawnie uzasadnionego interesu po stronie strony skarżącej kasacyjnie w "dalszym" przetwarzaniu danych tej osoby. W demokratycznym państwie prawnym nie jest dopuszczalne dowolne rozszerzanie uprawnień jakiegokolwiek podmiotu, ani organu władzy, ani spółki prawa handlowego, ani żadnego innego podmiotu będącego administratorem w zakresie przetwarzania danych osobowych (art. 47, art. 51 Konstytucji RP). Dane osobowe mogą być przetwarzane co do zasady w celach, w jakich je zebrano. Cele te powinny być adekwatne i ograniczone do tego co niezbędne do ich osiągnięcia, w których zostały zebrane (art. 5 ust. 1 lit. c RODO). Zdaniem NSA, wskazany zakres art. 6 ust. 1 lit. f RODO dotyczy bowiem sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia, potrzeba dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym (przyszłym i niepewnym) roszczeniem. Akceptacja przetwarzania danych osobowych "na zapas" z uwagi na niepewne przyszłe zdarzenie jakim jest ewentualne zgłoszenie roszczeń w przyszłości, doprowadziłoby do sytuacji w której podmioty finansowe mogłyby przetwarzać dane osobowe swoich klientów, bez konieczności ich usunięcia, nawet jeśli łączyłaby ich wcześniej jedynie krótkotrwale trwająca relacja umowna, czy też zobowiązaniowa. Taka interpretacja art. 6 ust. 1 lit. f RODO jest nieprawidłowa. Zgodnie z motywem 47 rozporządzenia RODO podstawą prawną przetwarzania mogą być prawnie "uzasadnione interesy" administratora, w tym administratora, któremu mogą zostać ujawnione dane osobowe, lub strony trzeciej, o ile w świetle rozsądnych oczekiwań osób, których dane dotyczą, opartych na ich powiązaniach z administratorem nadrzędne nie są interesy lub podstawowe prawa i wolności osoby, której dane dotyczą. Taki prawnie "uzasadniony interes" może istnieć na przykład w przypadkach, gdy zachodzi istotny i odpowiedni rodzaj powiązania między osobą, której dane dotyczą, a administratorem, na przykład gdy osoba, której dane dotyczą, jest klientem administratora lub działa na jego rzecz. Aby stwierdzić istnienie prawnie "uzasadnionego interesu", należy w każdym przypadku przeprowadzić dokładną ocenę, w tym ocenę tego, czy w czasie i w kontekście, w którym zbierane są dane osobowe, osoba, której dane dotyczą, może spodziewać się, że jej dane będą przetwarzanie również w tym celu. Zatem nie można przyjąć, że "uzasadnionym interesem" administratora (o którym mowa w art. 6 ust. 1 lit. f rozporządzenia RODO oraz w motywie 47 rozporządzenia RODO) jest każdy interes. W ocenie NSA, w niniejszej sprawie występuje interes wnioskodawczyni wymagający ochrony danych osobowych, który przeważa nad interesem Banku, który ma aktualnie charakter wyłącznie hipotetyczny i jedynie domniemany. Dodatkowo należy wskazać, że przesłanka określona w art. 6 ust. 1 lit. f rozporządzenia RODO nie jest ukierunkowana na pełną ochronę interesów sektora gospodarczego (finansowego), ale uzależniona jest od tego, czy przetwarzanie to jest "niezbędne" do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą. Regulacja ta nie odnosi się zatem do ochrony wszelkich interesów sektora gospodarczego (finansowego). Przede wszystkim ma za zadanie chronić osoby, których proces ten dotyczy przed nieuprawnionym przetwarzaniem ich danych osobowych. Nie można twierdzić, że przetwarzanie danych osobowych "na wszelki wypadek", czy "na zapas" lub w odniesieniu do "ewentualnych i potencjalnych roszczeń" stanowi "uzasadniony interes" Banku. Każdej osobie przysługuje własne indywidualne prawo do prywatności, chroniące prywatną sferę tej osoby i uprawniające ją do samodzielnego decydowania o ujawnieniu informacji pochodzących z tej sfery (por. wyrok SN z 26 maja 2017 r., sygn. akt I CSK 557/16). W wyroku NSA z 8 stycznia 2025 r. (sygn. akt III OSK 4868/21) trafnie wskazano, że przetwarzanie danych osobowych byłych klientów przez Banki do celów dochodzenia ewentualnych roszczeń, bądź obrony przed nimi, nie znajduje oparcia w przepisach rozporządzenia RODO, w tym w art. 6 ust. 1 lit. f. Niedopuszczalne jest więc przetwarzanie danych osobowych niejako "na zapas" z założeniem, że mogą być one ewentualnie przydatne w przyszłości (zob. wyrok NSA z 19 listopada 2025 r., sygn. III OSK 2472/22). Ponadto należy zauważyć, że nie brak jest w aktualnym stanie prawnym przepisów, które zobowiązują niektóre podmioty do przetwarzania danych osobowych przez okres przedawnienia roszczeń z tytułu zawartych umów. Tytułem przykładu przytoczyć można art. 29 ust. 10 ustawy z dnia 11 września 2015 r. o działalności ubezpieczeniowej i reasekuracyjnej (t.j. Dz.U. z 2024 r. poz. 838), zgodnie z którym zakład ubezpieczeń przechowuje informacje i dokumenty, o których mowa w ust. 6 (tj. informacje i dokumenty gromadzone w celu ustalenia odpowiedzialności zakładu ubezpieczeń lub wysokości odszkodowania lub świadczenia) do czasu upływu terminu przedawnienia roszczeń z umowy ubezpieczenia. A contrario skoro ustawodawca nie zobowiązał wszystkich przedsiębiorców do przechowywania danych osobowych byłych klientów przez czas przedawnienia roszczeń w celu ustalenia odpowiedzialności lub wysokości odszkodowania, to tym samym zgodnie z zasadą racjonalnego ustawodawcy nie można takiej konstrukcji rozciągać na inne regulacje prawne. Tekst aktu prawodawczego służy ustawodawcy do sformułowania określonych norm postępowania świadczących o tym, że prawodawca zna i uwzględnia reguły języka danej społeczności, a jeśli od nich odstępuje, odpowiednio to zaznacza, np. przez definicje legalne. Przyjmuje się, że prawodawca formułuje takie normy, które według jego wiedzy w danym układzie społecznym nadają się do tego, by wpływać na zachowanie adresatów i nie ustanawia norm niezgodnych między sobą. Postępowanie adresatów zgodne z ustanawianymi normami prowadzi – według jego wiedzy – do rezultatów optymalnych, a w każdym razie aprobowanych na gruncie przypisywanego prawodawcy systemu wartości (por. M. Augustyniak, Zasady racjonalnego prawodawcy w kontekście teorii i praktyki prawniczej, Aktualne problemy prawa, tom 1, nr 4, kwiecień 2020, s. 37-41). Z wyżej przytoczonych względów Naczelny Sąd Administracyjny, działając na podstawie art. 184 p.p.s.a., oddalił skargę kasacyjną. Rozstrzygnięcie o kosztach postępowania kasacyjnego zostało wydane w oparciu o przepis art. 204 pkt 1 p.p.s.a.