III OSK 1274/23

Naczelny Sąd Administracyjny w składzie: Przewodniczący: sędzia NSA Mirosław Wincenciak Sędziowie: sędzia NSA Piotr Korzeniowski sędzia del. WSA Arkadiusz Windak (sprawozdawca) Protokolant: starszy asystent sędziego Łukasz Mazur po rozpoznaniu w dniu 19 maja 2026 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej [...] S.A. z siedzibą w [...] od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 12 stycznia 2023 r. sygn. akt II SA/Wa 575/22 w sprawie ze skargi [...] S.A. z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] stycznia 2022 r. nr [...] w przedmiocie przetwarzania danych osobowych 1) oddala skargę kasacyjną; 2) zasądza od [...] S.A. z siedzibą w [...] na rzecz Prezesa Urzędu Ochrony Danych Osobowych kwotę 360 (słownie: trzysta sześćdziesiąt) złotych tytułem zwrotu kosztów postępowania kasacyjnego.

Wyrokiem z 12 stycznia 2023 r. sygn. akt II SA/Wa 575/22 Wojewódzki Sąd Administracyjny w Warszawie po rozpoznaniu sprawy ze skargi [...] S.A. z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z [...] stycznia 2022 r. nr [...] w przedmiocie przetwarzania danych osobowych, oddalił skargę. W uzasadnieniu wyroku Sąd wskazał na następujący stan faktyczny i prawny sprawy. P.B. skierował do Prezesa Urzędu Ochrony Danych Osobowych skargę na nieprawidłowości w procesie przetwarzania jego danych osobowych przez [...] S.A. Oddział w Polsce, a obecnie [...] S.A. z siedzibą w [...], dalej: "Bank", polegające na przetwarzaniu jego danych osobowych bez podstawy prawnej, w tym ich udostępnieniu na rzecz Biura Informacji Kredytowej S.A. w Warszawie, dalej: "BIK", oraz na rzecz Związku Banków Polskich w Warszawie, dalej: "ZBP". W skardze podniósł, że dokonał zakupu ratalnego w [...], potwierdzonego umową o kredyt konsumencki nr [...]. Prezes Urzędu Ochrony Danych Osobowych, decyzją z [...] stycznia 2022 r. na podstawie art. 104 § 1 i art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2021 r. poz. 735 ze zm.), dalej: "k.p.a.", art. 160 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781) w zw. z art. 18 ust. 1 pkt 6 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922 ze zm.) oraz art. 6 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35), dalej: "RODO", po przeprowadzeniu postępowania administracyjnego w sprawie skargi P.B. na przetwarzanie jego danych osobowych bez podstawy prawnej, w tym ich udostępnieniu na rzecz Biura Informacji Kredytowej S.A. oraz na rzecz Związku Banków Polskich w Warszawie: 1) nakazał [...] S.A. z siedzibą w [...] przywrócenie stanu zgodnego z prawem w procesie przetwarzania danych osobowych P.B., poprzez usunięcie jego danych osobowych wynikających z umowy kredytu z [...] kwietnia 2010 r. nr [...]; 2) umorzył postępowanie w sprawie przetwarzania danych osobowych P.B. przez Biuro Informacji Kredytowej S.A. z siedzibą w Warszawie; 3) umorzył postępowanie w sprawie przetwarzania danych osobowych P.B. przez Związek Banków Polskich z siedzibą w Warszawie. Prezes UODO ustalił, że Bank do 4 grudnia 2013 r. przetwarzał dane osobowe skarżącego w związku z trwającą spłatą zobowiązania finansowego wynikającego z zawartej umowy kredytu z [...] kwietnia 2010 r. Z dniem 4 grudnia 2013 r. kredyt został spłacony. Aktualnie Bank przetwarza dane osobowe skarżącego w związku z ww. umową kredytu w celu obsługi reklamacji lub dochodzenia ewentualnych roszczeń. BIK nie przetwarza obecnie danych osobowych skarżącego. ZBP nie przetwarza w Systemie "Bankowy Rejestr" jakichkolwiek danych osobowych skarżącego. Prezes UODO wskazał, że z dniem 25 maja 2018 r., wraz z wejściem w życie ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych, postępowania prowadzone przez Generalnego Inspektora Ochrony Danych Osobowych, wszczęte i niezakończone przed 25 maja 2018 r. prowadzone są przez Prezesa UODO, na podstawie ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych. Wszelkie czynności podjęte przez Generalnego Inspektora Ochrony Danych Osobowych przed 25 maja 2018 r. pozostają skuteczne (art. 160 ust. 1-3 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych). Organ zaznaczył, że wydając decyzję administracyjną zobowiązany był do rozstrzygania w oparciu o stan faktyczny istniejący w chwili wydania decyzji. Organ stwierdził, że kwestionowane przetwarzanie danych osobowych skarżącego przez Bank, w związku z umową kredytu, w BIK i ZBP, w celu oceny zdolności kredytowej i oceny ryzyka kredytowego, miało oparcie w art. 23 ust. 1 pkt 3 i 5 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych w związku z art. 105 ust. 4 i art. 105a ust. 1 ustawy Prawo bankowe. Obecnie brak jest podstaw prawnych z art. 6 ust. 1 RODO do przechowywania przez Bank tych danych w celach reklamacji i dochodzenia ewentualnych roszczeń. Bank nie wskazał bowiem roszczenia, którego zaspokojenia domaga się od niego skarżący, brak jest również roszczenia Banku wobec skarżącego. Natomiast reklamacja skarżącego w przedmiotowej sprawie, dotycząca spłaty ww. kredytu została załatwiona pismem Banku skierowanym do skarżącego w dniu 23 lipca 2014 r. (w aktach sprawy). Wobec powyższego, wskazywanie art. 6 ust. 1 lit. f RODO oraz art. 6 ust. 1 lit. c RODO w związku z przepisami ustawy z dnia 23 kwietnia 1964 r. Kodeks cywilny (Dz. U. z 2020 r. poz. 1740 ze zm.) jako podstaw dalszego przetwarzania danych osobowych skarżącego w celu zabezpieczenia przed ewentualnymi, przyszłymi roszczeniami, należy uznać za nieprawidłowe. Organ wskazał również, że stosownie do art. 74 ust. 2 pkt 6 ustawy z dnia 29 września 1994 r. o rachunkowości (Dz. U. z 2021 r. poz. 217 ze zm.), dokumenty dotyczące rękojmi i reklamacji przechowuje się 1 rok po terminie upływu rękojmi lub rozliczeniu reklamacji. Zatem dalsze przetwarzanie danych osobowych skarżącego w związku z postępowaniem reklamacyjnym zakończonym 23 lipca 2014 r. jest nieuprawnione. Z uwagi na to, że kredyt został spłacony z dniem 4 grudnia 2013 r. brak jest również podstaw do archiwizowania danych skarżącego wynikających z ww. umowy o kredyt, stosownie do art. 74 ust. 2 pkt 4 ustawy o rachunkowości. Skoro zobowiązane wynikające z umowy o kredyt zostało ostatecznie spłacone 4 grudnia 2013 r., to niewątpliwie 5 letni okres wymagany powołanym przepisem ustawy o rachunkowości już upłynął. W ocenie Prezesa UODO, aktualny proces przetwarzania danych osobowych skarżącego jest niezgodny z przepisami o ochronie danych osobowych, bowiem przetwarzanie danych w celu nieistniejących przyszłych roszczeń i zakończonego postępowania reklamacyjnego nie ma oparcia w art. 6 ust. 1 lit. c) i f) RODO. Z kolei BIK i ZBP danych osobowych skarżącego już nie przetwarzają, co oznacza, że postępowania w tym zakresie stało się bezprzedmiotowe. [...] S.A. z siedzibą w [...] wniósł do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na powyższą decyzję w zakresie punktu 1, zarzucając naruszenie: art. 23 ust. 1 pkt 3 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych i art. 6 ust. 1 lit. f RODO w zw. z art. 117 § 2 i 21, art. 118 i 119 k.c., art. 18 ust. 1 pkt 6 w zw. z art. 23 ust. 1 pkt 5 ustawy z 1997 r. o ochronie danych osobowych i art. 58 ust. 2 lit. b w zw. z art. 6 ust. 1 RODO, art. 118 w zw. z art. 5 ust. 2 ustawy z dnia 13 kwietnia 2018 r. o zmianie ustawy - Kodeks cywilny oraz niektórych innych ustaw; art. 7, art. 77 § 1, art. 80 w zw. z art. 8 k.p.a. w zw. z art. 22 ustawy o ochronie danych osobowych. W odpowiedzi na skargę Prezes UODO wniósł o jej oddalenie. Uzasadniając wyrok z 12 stycznia 2023 r. (sygn. akt II SA/Wa 575/22) oddalający skargę, Wojewódzki Sąd Administracyjny wskazał, że przetwarzanie danych osobowych uważa się za legalne, jeśli ich administrator spełni co najmniej jedną z przesłanek wskazanych w art. 6 ust. 1 RODO. Podstawa prawna przetwarzania danych osobowych, wymieniona w przepisie art. 6 ust. 1 lit. f RODO, ma zastosowanie w sytuacji, gdy administrator nie posiada zgody osoby, której dane dotyczą, nie istnieje żaden przepis, który mógłby stanowić podstawę do przetwarzania danych osobowych oraz gdy administrator nie może powołać się na realizację umowy, a mimo to przetwarzanie danych należy uznać za legalne z uwagi na "prawnie uzasadniony interes" administratora lub strony trzeciej. Przesłanka ta ma charakter dodatkowy, uzupełniający pozostałe podstawy dopuszczalności przetwarzania. Oparcie przetwarzania danych osobowych na przepisie art. 6 ust. 1 lit. f RODO wymaga kumulatywnego spełnienia dwóch przesłanek pozytywnych. Po pierwsze, musi występować prawnie uzasadniony interes, który jest realizowany przez administratora lub przez stronę trzecią. Po drugie, niezbędna jest weryfikacja, czy przetwarzanie danych osobowych jest niezbędne dla realizacji celu wynikającego z prawnie uzasadnionych interesów. Następnie należy ocenić, czy nie jest spełniona przesłanka o charakterze negatywnym w postaci występowania w danym stanie faktycznym interesów lub podstawowych praw i wolności podmiotu danych, które mają charakter nadrzędny wobec prawnie uzasadnionych interesów administratora lub strony trzeciej. Stosowanie tej negatywnej przesłanki polega w istocie na wyważeniu dwóch dóbr chronionych prawem. W przypadku, gdyby administrator chciał skorzystać z tej podstawy przetwarzania danych, powinien przeprowadzić tzw. test równowagi, tzn. dokonać oceny, czy interes administratora lub strony trzeciej, przemawiający za przetwarzaniem danych, jest prawnie uzasadniony, czy przetwarzanie jest niezbędne do realizacji celu wynikającego z tego interesu, a następnie rozważyć, czy interesy lub podstawowe prawa i wolności osoby, której dane dotyczą nie przeważają nad prawnie uzasadnionym interesem administratora lub strony trzeciej. Sąd I instancji podał, że ze złożonych wyjaśnień w sprawie wynika, iż Bank do dnia 4 grudnia 2013 r. przetwarzał dane osobowe skarżącego w związku z trwającą spłatą zobowiązania finansowego wynikającego z zawartej umowy kredytu z 23 kwietnia 2010 r. Bank nie wykazał, poza koniecznością ochrony roszczeń mogących powstać w przyszłości, innej prawnie uzasadnionej podstawy dalszego przetwarzania danych osobowych pozyskanych w związku z umową kredytu. Przesłanka z art. 6 ust. 1 lit. f RODO dotyczy sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia, potrzeba dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem. W ocenie Sądu Wojewódzkiego, wskazana przez Bank podstawa nie uzasadnia przetwarzania danych osobowych P.B., bowiem nie wystąpił on z żadnym roszczeniem wobec Banku. Tym samym przetwarzanie jego danych osobowych nie ma umocowania w przepisach prawa i nie jest niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez Bank, a w szczególności podjęcia obrony przed ewentualnymi reklamacjami lub roszczeniami odszkodowawczymi. W świetle powyższych rozważań Sąd I instancji uznał, że Prezes UODO zasadnie skorzystał z uprawnienia przewidzianego w art. 58 ust. 2 lit. c RODO i nakazał Bankowi usunięcie danych osobowych. Sąd zaznaczył, że przed wydaniem zaskarżonej decyzji organ pismem z 27 marca 2020 r. zwrócił się do Banku o dodatkowe wyjaśnienia w sprawie ze skargi P.B. na nieprawidłowości w procesie przetwarzania jego danych osobowych, a ponadto pismem z [...] września 2021 r. poinformował w oparciu o art. 10 § 1 k.p.a., o zgromadzeniu materiału dowodowego wystarczającego do wydania decyzji, na które Bank nie zareagował i nie wskazał innych aniżeli uprzednio podnoszona podstaw przetwarzania danych osobowych P.B. W ocenie Sądu, w sprawie nie został naruszony przepis art. 7, art. 77 § 1 i art. 80 k.p.a. Mając na uwadze powołane okoliczności, Wojewódzki Sąd na podstawie art. 151 p.p.s.a. orzekł o oddaleniu skargi. Od wyroku skargę kasacyjną wniósł [...] S.A. Na podstawie art. 174 pkt 2 p.p.s.a. zaskarżonemu wyrokowi zarzucił naruszenie przepisów postępowania, które mogło mieć istotny wpływ na wynik sprawy (pkt II), tj.: a) art. 151 p.p.s.a. w zw. z art. 7, art. 77 § 1, art. 80 w zw. z art. 8 k.p.a. w zw. z art. 22 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (dalej "u.o.d.o.") poprzez niezasadne oddalenie skargi, w sytuacji, gdy zaskarżona decyzja została wydana z naruszeniem ww. przepisów postępowania, co przejawiało się w zaniechaniu dokładnego wyjaśnienia stanu faktycznego sprawy i braku wyczerpującego zebrania i rozpatrzenia materiału dowodowego oraz oceny jego całokształtu, jak również braku prowadzenia postępowania w sposób budzący zaufanie strony do organów władzy publicznej, a w szczególności w sytuacji, gdy: - pominięto, że treść pism P.B. znajdujących się w aktach sprawy potwierdza, że Klient kwestionował sposób rozliczenia wpłat dokonanych na poczet spłaty kredytu udzielonego na podstawie zawartej umowy, a tym samym już sam Klient powoływał się na istnienie roszczeń przeciwko Bankowi; - nie dokonano wszechstronnej oceny wyjaśnień zawartych w piśmie Banku z [...] września 2014 r. informującym, że dane osobowe P.B. podlegają przetwarzaniu z uwagi na obsługę reklamacji oraz dochodzenie ewentualnych roszczeń; - ograniczono postępowanie wyjaśniające do kwestii dotyczących (i) przekazania danych P.B. do Biura Informacji Kredytowej S.A. i Bankowego Rejestru prowadzonego przez Związek Banków Polskich oraz (ii) podstaw przetwarzania danych z uwagi na art. 105a ustawy - Prawo bankowe (dalej "p.b."), a tym samym wadliwie zaniechano podjęcia czynności niezbędnych do dokładnego wyjaśnienia stanu faktycznego sprawy, w szczególności poprzez weryfikację, czy upłynął termin przedawnienia roszczeń wynikających z umowy, co miało kluczowe znaczenie dla oceny, czy Bank miał uzasadniony interes w przetwarzaniu danych osobowych Klienta; - zaniechano wyjaśnienia aktualnego na datę wydania decyzji stanu faktycznego istotnego dla ustalenia zakresu i podstaw przetwarzania przez Bank danych osobowych P.B. i oparto się w tym zakresie na wyjaśnieniach Banku złożonych w 2014 r., co skutkowało błędnym uznaniem, że w dacie wydania decyzji Bank nie był uprawniony do przetwarzania danych osobowych Klienta, podczas gdy w takiej dacie nie upłynął termin przedawnienia roszczeń wynikających z Umowy, co stanowiło wystarczającą podstawę do przetwarzania danych osobowych Klienta, a tym samym nie było podstaw do oddalenia skargi; b) art. 134 § 1 p.p.s.a. w zw. art. 141 § 4 p.p.s.a. poprzez nierozpoznanie zarzutów podniesionych w skardze oraz zaniechanie odniesienia się do takich zarzutów w uzasadnieniu skargi przy jednoczesnym braku należytego wskazania i wyjaśnienia w uzasadnieniu wyroku podstawy faktycznej i prawnej rozstrzygnięcia, co uniemożliwia zrozumienie treści i podstaw rozstrzygnięcia, a także odniesienie się do ustaleń i twierdzeń Sądu mających istotny wpływ na kierunek oraz treść wydanego i skarżonego orzeczenia. Na podstawie art. 174 pkt 1 p.p.s.a. (pkt III) zaskarżonemu wyrokowi zarzucono naruszenie przepisów prawa materialnego, które miało wpływ na wynik sprawy: a) art. 23 ust 1 pkt. 3 u.o.d.o. z 1997 r. i art. 6 ust. 1 lit. f RODO w zw. z art. 117 § 2 i 21, art. 118 i 119 k.c. poprzez niewłaściwe zastosowanie i przyjęcie, że przechowywanie danych przez okres przedawnienia roszczeń, w sytuacji w której administrator danych osobowych ani osoba, której dane dotyczą nie wystąpiła z roszczeniem odszkodowawczym, ale nie upłynął jeszcze okres przedawnienia roszczeń, nie mieści się w ramach prawnie uzasadnionego interesu skarżącego w rozumieniu art. 6 ust. 1 lit. f RODO, podczas gdy przepisy te umożliwiają wykazanie istnienia tego rodzaju prawnie uzasadnionego interesu w ustaleniu, dochodzeniu i ochronie zarówno przed roszczeniami potencjalnymi jak i istniejącymi i tym samym istnienia ważnej podstawy prawnej do przetwarzania danych osobowych; b) art. 18 ust. 1 pkt 6 w zw. z art. 23 ust. 1 pkt 5 u.o.d.o. z 1997 r. i art. 58 ust. 2 lit. b w zw. z art. 6 ust. 1 RODO poprzez niewłaściwe zastosowanie i przyjęcie, że Bank naruszył przepisy ustawy i RODO, w wyniku czego zasadne było oddalenie przez Sąd skargi, podczas gdy Bank nie dopuścił się naruszenia przepisów o ochronie danych osobowych; c) art. 118 w zw. z art. 5 ust. 2 ustawy z dnia 13 kwietnia 2018 r. o zmianie ustawy - Kodeks cywilny oraz niektórych innych ustaw poprzez niezastosowanie i niedokonanie rozważań w zakresie tego czy nastąpiło przedawnienie ewentualnych roszczeń, podczas gdy przepis ten powinien znaleźć zastosowanie i prowadzić do wniosku o braku upływu okresu przedawnienia w momencie wydawania decyzji organu i tym samym zasadności przetwarzania danych osobowych Klienta przez Bank. Skarżący kasacyjnie wniósł o uchylenie zaskarżonego wyroku w całości i przekazanie sprawy do ponownego rozpoznania przez Sąd Wojewódzki, o rozpoznanie niniejszej sprawy na rozprawie, o zasądzenie od organu zwrotu kosztów postępowania kasacyjnego, w tym kosztów zastępstwa procesowego według norm przepisanych. Zdaniem Banku, w wyroku, podobnie jak w zaskarżonej decyzji, nie przeanalizowano znaczenia terminu przedawnienia roszczeń Klienta względem Banku, który upływa nie wcześniej niż 4 grudnia 2023 r., ograniczając się do wskazania, że przetwarzanie danych musi mieć podstawę w obronie przed roszczeniami będącymi przedmiotem istniejącego sporu, bądź takiego, który Bank zamierza zainicjować przeciwko Klientowi. Poza jakąkolwiek analizą zostały przypadki, w których to uczestnik mógłby wystąpić z roszczeniem przeciwko Bankowi i pominięto, że ryzyka takiego sporu nie można wykluczyć z uwagi na brak upływu terminu przedawnienia roszczeń. Okoliczność zakończenia postępowania reklamacyjnego nie uchyliła takiego sporu, a oznaczała jedynie, że zostały w całości przeprowadzone obowiązujące procedury rozpatrzenia reklamacji. Klient nigdy nie złożył Bankowi oświadczenia o zrzeczeniu się roszczeń wynikających z umowy. Zdaniem skarżącego kasacyjnie, podstawę przetwarzania danych osobowych strony stanowi obecnie art. 6 ust. 1 lit. f) rozporządzenia 2016/679 w związku z art. 118 Kodeksu cywilnego. Skarżący kasacyjnie powołał się na wyrok w sprawie o sygn. akt II SA/Wa 1528/21. W odpowiedzi na skargę kasacyjną Prezes Urzędu Ochrony Danych Osobowych wniósł o jej oddalenie. Naczelny Sąd Administracyjny w Warszawie zważył co następuje: Zgodnie z art. 183 § 1 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2024 r. poz. 935; dalej "p.p.s.a."), Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, bierze jednak z urzędu pod rozwagę nieważność postępowania. W sprawie nie występują, enumeratywnie wyliczone w art. 183 § 2 p.p.s.a., przesłanki nieważności postępowania sądowoadministracyjnego. Z tego względu przy rozpoznaniu sprawy Naczelny Sąd Administracyjny związany był granicami skargi kasacyjnej. Skargę kasacyjną można oprzeć na następujących podstawach: 1) naruszeniu prawa materialnego przez błędną jego wykładnię lub niewłaściwe zastosowanie; 2) naruszeniu przepisów postępowania, jeżeli uchybienie to mogło mieć istotny wpływ na wynik sprawy (art. 174 p.p.s.a.). Skarga kasacyjna oparta została na obydwu podstawach kasacyjnych określonych w art. 174 pkt 1 i 2 p.p.s.a. W sytuacji, kiedy skarga kasacyjna zarzuca naruszenie prawa materialnego oraz naruszenie przepisów postępowania, co do zasady w pierwszej kolejności rozpoznaniu podlegają zarzuty naruszenia przepisów postępowania. Odnosząc się do najdalej idącego zarzutu naruszenia przepisu art. 141 § 4 p.p.s.a. wskazać należy, że zgodnie z tą regulacją, uzasadnienie wyroku powinno zawierać zwięzłe przedstawienie stanu sprawy, zarzutów podniesionych w skardze, stanowisk pozostałych stron, podstawę prawną rozstrzygnięcia oraz jej wyjaśnienie. Jeżeli w wyniku uwzględnienia skargi sprawa ma być ponownie rozpatrzona przez organ administracji, uzasadnienie powinno ponadto zawierać wskazania co do dalszego postępowania. W ocenie Naczelnego Sądu Administracyjnego, uzasadnienie zaskarżonego wyroku sporządzone zostało w sposób logiczny, czytelny i umożliwiający zapoznanie się ze stanowiskiem Sądu, zawiera również wszystkie elementy wymienione w art. 141 § 4 p.p.s.a. Sąd Wojewódzki wyczerpująco przedstawił istotne dla rozstrzygnięcia okoliczności sprawy i wyjaśnił podstawę prawną rozstrzygnięcia. Sąd wskazał na wynikający z akt administracyjnych stan faktyczny sprawy, m.in., że Bank do 4 grudnia 2013 r. przetwarzał dane osobowe P.B. w związku z trwającą spłatą zobowiązania finansowego wynikającego z zawartej umowy kredytu. Z dniem 4 grudnia 2013 r. kredyt został spłacony. Natomiast reklamacja skarżącego dotycząca spłaty ww. kredytu została załatwiona pismem Banku skierowanym do skarżącego w dniu 23 lipca 2014 r. Sąd przedstawił też aktualne stanowisko Banku, że przetwarza dane osobowe skarżącego w związku z ww. umową kredytu w celu obsługi reklamacji lub dochodzenia ewentualnych roszczeń. Sąd Wojewódzki wyjaśnił również znaczenie przepisu art. 6 ust. 1 lit. f RODO. Z uzasadnienia wyroku w sposób czytelny wynika, dlaczego Sąd I instancji uznał zaskarżone orzeczenie za zgodne z prawem. Zdaniem Sądu kasacyjnego, Sąd Wojewódzki rozstrzygnął o wszystkich istotnych aspektach faktycznych i prawnych sprawy, także tych wynikających z zarzutów i argumentacji Banku. Podkreślić przy tym należy, że na podstawie art. 141 § 4 p.p.s.a. można kwestionować kompletność elementów uzasadnienia, a nie jego prawidłowość merytoryczną i sądową ocenę sprawy, jak próbuje to uczynić strona skarżąca kasacyjnie (por. wyrok NSA z dnia 6 marca 2013 r. sygn. akt II GSK 2243/11). Zdaniem skarżącego kasacyjnie naruszony został również art. 134 § 1 p.p.s.a., stanowiący o tym, że sąd rozstrzyga w granicach danej sprawy nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną. Wskazany przepis określa granice rozpoznania skargi przez Sąd I instancji, a granice danej sprawy wyznacza jej przedmiot wynikający z treści zaskarżonego działania organu administracji publicznej. Oznacza to, że o naruszeniu normy wynikającej z art. 134 § 1 p.p.s.a. można byłoby mówić, gdyby sąd wykroczył poza granice sprawy, w której została wniesiona skarga, albo - pomimo wynikającego z tego przepisu obowiązku - nie wyszedł poza zarzuty i wnioski skargi, np. nie zauważając naruszeń prawa, które nie były powołane w skardze, a które Sąd I instancji zobowiązany był uwzględnić z urzędu (...). W ramach zarzutu naruszenia art. 134 § 1 p.p.s.a. również nie można kwestionować prawidłowości zajętego stanowiska prawnego i wyrażonych w uzasadnieniu zaskarżonego wyroku poglądów, ani prawidłowości oceny materiału dowodowego, do czego zmierza argumentacja skargi kasacyjnej (por. wyrok NSA z 23 lipca 2024 r. sygn. akt III OSK 2045/22). Sąd I instancji rozpoznając skargę Banku na decyzję Prezesa UODO niewątpliwie orzekał w granicach sprawy, oceniając zgodność z prawem tej decyzji. Mając powyższe na uwadze zarzuty naruszenia art. 134 § 1 p.p.s.a. i art. 141 § 4 p.p.s.a. uznać należało za bezpodstawne. Naczelny Sąd Administracyjny jako nieuzasadnione ocenił zarzuty procesowe dot. naruszenia art. 151 p.p.s.a. w zw. z art. 7, art. 77 § 1, art. 80 w zw. z art. 8 ustawy k.p.a. w zw. z art. 22 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych. Nie można zgodzić się ze skarżącym kasacyjnie, że w postępowaniu sądowoadministracyjnym nie wzięto całego materiału dowodowego, w tym m.in. pism P.B. kwestionujących sposób rozliczenia wpłat dokonanych na poczet spłaty udzielonego kredytu, nie dokonano wszechstronnej oceny wyjaśnień zawartych w piśmie Banku z 22 września 2014 r., ograniczono postępowanie wyjaśniające do kwestii dotyczących przekazania danych P.B. do Biura Informacji Kredytowej S.A. i Bankowego Rejestru, czy też zaniechano wyjaśnienia aktualnego na datę wydania decyzji stanu faktycznego istotnego dla ustalenia zakresu i podstaw przetwarzania przez Bank danych osobowych P.B. Wszystkie te aspekty sprawy zostały przeanalizowane przez organ nadzoru i właściwie ocenione przez Sąd Wojewódzki w odniesieniu do przesłanek zgodności przetwarzania danych osobowych z prawem, o których mowa w RODO. Istotne w sprawie było ustalenie, że Bank do 4 grudnia 2013 r. przetwarzał dane osobowe skarżącego w związku z realizacją umowy kredytu z 23 kwietnia 2010 r., który to kredyt z dniem 4 grudnia 2013 r. został spłacony. Reklamacja wpłat również została załatwiona (vide: pisma Banku z 18 grudnia 2013 r. i z 22 września 2014 r.). Z akt sprawy nie wynika, aby na dzień wydania zaskarżonej decyzji uczestnika wiązało z Bankiem zobowiązanie kredytowe, a pomiędzy stronami pojawiły się jakiekolwiek roszczenia. Skarżący kasacyjnie, jak trafnie zauważył Sąd Wojewódzki, pomimo pism organu z 27 marca 2020 r. i z 16 września 2021 r. (zawiadomienie o uprawnieniu z art. 10 § 1 k.p.a.) nie zareagował na nie i nie wskazał okoliczności mogących stanowić podstawę dalszego przetwarzania danych osobowych uczestnika. W związku z argumentami skargi kasacyjnej należy podkreślić, że organ jest wprawdzie zobowiązany do wyczerpującego zebrania i rozpatrzenia całego materiału dowodowego, jednakże strona nie jest zwolniona od współdziałania w wyjaśnianiu okoliczności faktycznych. W każdym postępowaniu strona powinna przedstawić wszystkie informacje niezbędne do ustalenia stanu faktycznego sprawy, jak również udostępnić dowody znajdujące się w jej posiadaniu na potwierdzenie okoliczności przez nią powoływanych. W postępowaniu administracyjnym, którego przedmiotem jest sprawa zgodności z prawem przetwarzania danych osobowych badaniu podlega kwestia, czy administrator przetwarza dane osobowe osoby w sposób prawidłowy i zgodny z przepisami o ochronie danych osobowych. Dlatego istotne znaczenie mają reguły przetwarzania danych osobowych ujęte w art. 5 ust. 1 i 2 RODO. Zgodnie z ich założeniami, dane osobowe muszą być przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą, zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami, adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane ("minimalizacja danych"), prawidłowe i w razie potrzeby uaktualniane, przechowywane co do zasady w formie umożliwiającej identyfikację osoby, której dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane ("ograniczenie przechowywania") oraz przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych ("integralność i poufność") – vide: art. 5 ust. 1 RODO. Według art. 5 ust. 2 RODO, administrator jest odpowiedzialny za przestrzeganie przepisów ust. 1 i musi być w stanie wykazać ich przestrzeganie ("rozliczalność"). Regulacje te oznaczają, że Bank, jako administrator danych osobowych, zgodnie z zasadą rozliczalności (art. 5 ust. 2 RODO) był zobowiązany do wykazania przed organem nadzoru, że dane osobowe strony przetwarzane są zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą (art. 5 ust. 1 pkt a) oraz, że zarówno zakres, jak i sposób przetwarzania danych osobowych jest adekwatny do obranego przez niego celu i warunków jego realizacji - zasada ograniczonego celu przetwarzania (art. 5 ust. 1 lit. b RODO) i odpowiada zasadzie minimalizacji przetwarzania danych (art. 5 ust. 1 lit. c RODO). Naczelny Sąd Administracyjny uznał, że prawidłowo organ nadzoru oparł się na tych wyjaśnieniach, które Bank złożył w trakcie postępowania. Organ nie był zobowiązany do "poszukiwania" za przetwarzającego dane administratora podstaw i przesłanek dalszego przetwarzania danych osobowych uczestnika, poza tymi, które administrator wykazał w postępowaniu. Zwrócić należy uwagę, że Bank nie powołał się na inne podstawy przetwarzania danych osobowych uczestnika, niż wskazane w art. 6 ust. 1 lit. f RODO w zw. z art. 118 k.c., a zatem nie było rolą organu weryfikacja i dalsza analiza przepisów prawa dotąd niewyartykułowanych przez Bank, które mogłyby ewentualnie stanowić uzasadnioną podstawę działań Banku w postaci dalszego przetwarzania danych osobowych. Ocena czy przyszłe i ewentualne roszczenia z tytułu uprzednio zawartej umowy kredytowej uprawniają Bank do dalszego przetwarzania danych osobowych, na zasadzie art. 6 ust. 1 lit. f RODO, związana jest z wykładnią i stosowaniem tej normy i nie może być skutecznie podnoszona w zarzutach procesowych. Innymi słowy, kwestia właściwej subsumcji ustalonego stanu faktycznego pod normę będącą podstawą rozstrzygnięcia Sądu Wojewódzkiego nie może być przedmiotem zarzutów procesowych skargi kasacyjnej. Ze względu na powyższe oraz wynik analizy akt administracyjnych sprawy, nie sposób było przyjąć, że w postępowaniu doszło do wad w procesie ustalania okoliczności faktycznych sprawy. Naczelny Sąd Administracyjny zauważa, że również w skardze kasacyjnej Bank nie wykazał okoliczności, których ustaleń zaniechano, a które dowodziłyby o niedostatkach ustaleń stanu faktycznego sprawy. Skarżący kasacyjnie pomimo że powołuje się w uzasadnieniu skargi kasacyjnej na naruszenie przez organ zasady utrwalonej praktyki orzekania (art. 8 § 2 k.p.a.), nie wykazał funkcjonowania w tego rodzaju sprawach tzw. "utrwalonej praktyki rozstrzygania spraw" przez organ administracji, o której mowa w art. 8 § 2 k.p.a. Skarżący kasacyjnie powołał się na dwa orzeczenia sądów administracyjnych o sygn. akt II SA/Wa 868/21 i II SA/Wa 1528/21, co jednak nie przesądza o utrwalonej już praktyce orzekania w tego rodzaju sprawach. Podkreślić trzeba, że skład orzekający Sądu Wojewódzkiego nie był związany oceną prawną Sądu zaprezentowaną w innej sprawie, nawet w zbliżonym stanie faktycznym. Poza tym, Naczelny Sąd Administracyjny z urzędu posiada wiedzę, że wyrok wydany w sprawie II SA/Wa 1528/21 został uchylony w części orzeczeniem Naczelnego Sądu Administracyjnego wydanym w dniu 1 października 2025 r. w sprawie o sygn. akt III OSK 872/22. W orzeczeniu tym Sąd kasacyjny wskazał, m.in., że na dzień wydania zaskarżonej decyzji jako podstawę dalszego przetwarzania bank wskazał art. 6 ust. 1 lit. f w zw. z art. 118 k.c. lecz nie uznał dalszego przetwarzania za zgodnego z prawem. W tym zakresie Naczelny Sąd Administracyjny przyjął, że art. 6 ust. 1 lit. f RODO dotyczy sytuacji "już istniejącej", w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia potrzeby dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem. Z opisanych przyczyn nie można przyjąć, że w rozpatrywanej sprawie doszło do naruszenia wskazanych zasad procesowych. Zarzuty naruszenia prawa materialnego ujęte w pkt III lit. a-c petitum skargi kasacyjnej z uwagi na ich komplementarny charakter rozpoznane zostały łącznie. Na ich tle kluczowym zagadnieniem stało się rozstrzygnięcie czy w stanie faktycznym sprawy Bank miał prawo do przetwarzania danych osobowych uczestnika po dacie spłaty kredytu, a przed upływem terminu przedawnienia roszczeń związanych z umową kredytu, z powołaniem się na podstawę prawną z art. 6 ust. 1 lit. f RODO w związku z art. 118 k.c. Zastrzec trzeba, że art. 6 ust. 1 lit. f RODO stanowi odpowiednik powoływanego jednocześnie w skardze kasacyjnej (jako naruszonego) art. 23 ust. 1 pkt 5 ustawy z 1997 r. o ochronie danych osobowych. Naczelny Sąd Administracyjny stwierdził, że w stanie faktycznym sprawy zarzuty naruszenia prawa materialnego nie mogły odnieść oczekiwanego skutku. Sąd kasacyjny podziela stanowisko Sądu Wojewódzkiego, że na dzień wydania zaskarżonej decyzji jako podstawę dalszego przetwarzania Bank wskazał art. 6 ust. 1 lit. f w zw. z art. 118 k.c. i takie przetwarzanie danych osobowych uczestnika nie może zostać uznane za zgodne z prawem. Z akt sprawy nie wynika aby do dnia wydania zaskarżonej decyzji uczestnik wystąpił z roszczeniem wobec Banku, tak samo Bank nie wykazał jakichkolwiek roszczeń, z którymi nawet potencjalnie miałby wystąpić przeciwko uczestnikowi. Przypomnieć trzeba, że przetwarzanie danych osobowych uważa się za legalne, jeśli ich administrator spełni co najmniej jedną z przesłanek wskazanych w art. 6 ust. 1 RODO, który określa ogólne materialne przesłanki przetwarzania danych osobowych. Zgodnie z postanowieniami art. 6 ust. 1 lit. f RODO, przetwarzanie jest zgodne z prawem gdy jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Akapit pierwszy lit. f) nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań. Podstawa prawna przetwarzania danych osobowych, wymieniona w art. 6 ust. 1 lit. f RODO, ma zastosowanie w sytuacji, gdy administrator nie posiada zgody osoby, której dane dotyczą, nie istnieje żaden przepis, który mógłby stanowić podstawę do przetwarzania danych osobowych oraz gdy administrator nie może powołać się na realizację umowy, a mimo to przetwarzanie danych należy uznać za legalne z uwagi na "prawnie uzasadniony interes" administratora lub strony trzeciej. W doktrynie i orzecznictwie wyjaśnia się, że zastosowanie art. 6 ust. 1 lit. f RODO jest uzasadnione, gdy łącznie spełnione są następujące przesłanki: 1) po stronie administratora istnieją cele, dla osiągnięcia których przetwarzanie danych osobowych jest niezbędne; 2) cele te wynikają z "prawnie uzasadnionych interesów" realizowanych przez administratora; 3) "prawnie uzasadnione interesy" realizowane przez administratora mają charakter nadrzędny wobec interesów lub podstawowych praw i wolności osoby, której dotyczą przetwarzane dane (por. wyrok NSA z 5 lutego 2025 r. sygn. akt III OSK 6553/21). Sporną kwestią, która wynikła na tle omawianych zarzutów jest zagadnienie, czy przyszłe i ewentualne roszczenia z tytułu uprzednio zawartej i zakończonej umowy kredytowej uprawniają Bank do dalszego przetwarzania danych osobowych na zasadzie art. 6 ust. 1 lit. f RODO w związku z instytucją przedawnienia z art. 118 k.c. Naczelny Sąd Administracyjny stoi na stanowisku, że wszelkie regulacje znoszące ochronę danych osobowych muszą być odczytywane i wykładane ściśle, z uwzględnieniem funkcji jakiej mają służyć. Rozstrzygnięcie tego sporu wymaga wykładni art. 6 ust. 1 lit. f RODO, którą - zdaniem Naczelnego Sądu Administracyjnego - należy przeprowadzić z uwzględnieniem art. 5 ust. 1 i 2 RODO oraz art. 39 i preambuły RODO. Art. 5 ust. 1 stanowi m.in., że wszelkie przetwarzanie danych osobowych powinno być zgodne z prawem i rzetelne. W szczególności konkretne cele przetwarzania danych osobowych powinny być wyraźne, uzasadnione i określone w momencie ich zbierania. Dane osobowe powinny być adekwatne, stosowne i ograniczone do tego, co niezbędne do celów, dla których są one przetwarzane. Wymaga to w szczególności zapewnienia ograniczenia okresu przechowywania danych do ścisłego minimum. Dane osobowe powinny być przetwarzane tylko w przypadkach, gdy celu przetwarzania nie można w rozsądny sposób osiągnąć innymi sposobami. Aby zapobiec przechowywaniu danych osobowych przez okres dłuższy, niż jest to niezbędne, administrator powinien ustalić termin ich usuwania lub okresowego przeglądu. Trafnie zauważył Naczelny Sąd Administracyjny w wyroku z 1 października 2025 r. sygn. akt III OSK 872/22, że akceptacja przetwarzania danych osobowych "na zapas" z uwagi na niepewne przyszłe zdarzenie jakim jest ewentualne zgłoszenie roszczeń w przyszłości, doprowadziłoby do sytuacji w której podmioty finansowe mogłyby przetwarzać dane osobowe swoich klientów bez konieczności ich usunięcia, nawet jeśli łączyłaby ich wcześniej jedynie krótkotrwale trwająca relacja umowna, czy też zobowiązaniowa (podobnie NSA w wyroku z 10 lipca 2025 r. sygn. akt III OSK 1594/22). W ocenie składu orzekającego w niniejszej sprawie, taka interpretacja art. 6 ust. 1 lit. f RODO, którą przyjął Bank nie odpowiada zasadom i regułom przetwarzania danych osobowych (art. 5 ust. 1 pkt b) c) i e) - "ograniczenie celu", "minimalizacji danych" oraz "ograniczenie przechowywania". Na tle regulacji art. 23 ust. 1 pkt 5 uprzednio obowiązującej ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, w której zawarto analogiczną przesłankę legalności przetwarzania danych osobowych jak w art. 6 ust. 1 lit. f RODO, sądy administracyjne nie miały wątpliwości, że niedopuszczalne jest przetwarzanie danych osobowych "na zapas" z założeniem, że mogą być one ewentualnie przydatne w przyszłości oraz z odwołaniem się przy tym do przepisów dotyczących przedawnienia roszczeń cywilnoprawnych (por. m.in. wyroki: WSA w Warszawie z 12 lipca 2017 r. sygn. akt II SA/Wa 2221/16, NSA z 6 marca 2019 r. sygn. akt I OSK 994/17, NSA z 27 sierpnia 2019 r. sygn. akt I OSK 2567/17, WSA w Warszawie z 13 stycznia 2021 r. sygn. akt II SA/Wa 607/20). Mając to wszystko na uwadze Naczelny Sąd Administracyjny stwierdził, że przetwarzanie danych osobowych uczestnika postępowania nie miało umocowania w przepisach prawa i nie jest niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez Bank, w szczególności w celu podjęcia obrony przed roszczeniami strony, których zaistnienia nie wykazano. Nie do zaakceptowania jest stanowisko, że terminy dotyczące przedawnienia roszczeń wynikających ze stosunków zobowiązaniowych określają równocześnie ramy czasowe, w których dane osobowe mogą być przetwarzane przez Bank na wypadek zaistnienia takich roszczeń w przyszłości. Rację miał Sąd I instancji uznając za niezasadny zarzut naruszenia art. 6 pkt 1 lit. f RODO w zw. z art. 117 § 2 i art. 21, art. 118 i 119 k.c., bowiem Prezes Urzędu Ochrony Danych Osobowych na tle stanu faktycznego sprawy prawidłowo wywiódł, że określona art. 6 pkt 1 lit. f RODO podstawa przetwarzania danych osobowych w niniejszej sprawie nie wystąpiła. Z powyższych względów, działając na podstawie art. 184 p.p.s.a., Naczelny Sąd Administracyjny oddalił skargę kasacyjną.