III OSK 1816/23

Naczelny Sąd Administracyjny w składzie: Przewodniczący: Sędzia NSA Wojciech Jakimowicz Sędziowie: Sędzia NSA Sławomir Wojciechowski Sędzia del. WSA Mariusz Kotulski (sprawozdawca) Protokolant: asystent sędziego Dominika Daśko po rozpoznaniu w dniu 12 czerwca 2026 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej [...] S.A. z siedzibą w [...] od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 8 marca 2023 r. sygn. akt II SA/Wa 2027/22 w sprawie ze skargi [...] S.A. z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] września 2022 r. nr [...] w przedmiocie odmowy uwzględnienia wniosku 1. oddala skargę kasacyjną, 2. zasądza od [...] Spółka Akcyjna z siedzibą w [...] na rzecz Prezesa Urzędu Ochrony Danych Osobowych kwotę 360 (trzysta sześćdziesiąt) złotych tytułem zwrotu kosztów postępowania kasacyjnego.

Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 8 marca 2023 r. sygn. akt II SA/Wa 2027/22 oddalił skargę [...] S.A. z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] września 2022 r. nr [...] w przedmiocie odmowy uwzględnienia wniosku. Wyrok zapadł w następującym stanie faktycznym i prawnym sprawy. Prezes Urzędu Ochrony Danych Osobowych (dalej: "Prezes UODO") decyzją z dnia [...] września 2022 r. nr [...], na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2021 r. poz. 735, zwanej dalej: "k.p.a.") oraz art. 6 ust. 1 lit. c i art. 58 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35, zwanego dalej: "RODO"), po przeprowadzeniu postępowania administracyjnego w sprawie skargi G. B. na nieprawidłowości w procesie przetwarzania jej danych osobowych przez [...] S.A. z siedzibą w [...] (dalej: "Bank") polegające na odmowie usunięcia jej danych osobowych, odmówił uwzględnienia wniosku. W uzasadnieniu organ wyjaśnił, że do Urzędu wpłynęła skarga G. B., na nieprawidłowości w procesie przetwarzania danych osobowych skarżącej przez Bank, polegające na odmowie usunięcia jej danych osobowych. Prezes UODO wskazał, że ustalił następujący stan faktyczny. 1) Skarżąca w treści przedmiotowej skargi wskazała, że w marcu 2020 r. zrezygnowała z usług Banku i wniosła o usunięcie swoich danych osobowych. Bank odmówił spełnienia jej żądania ze względu na przetwarzanie danych skarżącej cyt.: "(...) na podstawie prawnie uzasadnionego interesu i w celu niezbędnym do ustalenia, dochodzenia lub obrony naszych ewentualnych roszczeń". Skarżąca podniosła, że w momencie rozwiązaniu umowy rachunku bankowego wszystkie zobowiązania wobec Banku były uregulowane i w związku z tym wniosła o usunięcie jej danych osobowych. 2) Bank wyjaśnił, że pozyskał dane osobowe skarżącej w związku z udzielonym przez nią w dniu 10 lipca 2008 r. pełnomocnictwem dla R. B.. Dane osobowe skarżącej były przetwarzane na podstawie art. 23 ust. 1 pkt 3 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.U. 1997 Nr 133, poz. 883 z późn. zm.) w związku z wykonaniem umów o rachunek bankowy. Aktualnie bank przetwarza dane osobowe skarżącej w zakresie: imiona, nazwisko, imię ojca, nazwisko panieńskie matki, data i miejsce urodzenia, kraj pochodzenia, obywatelstwo, stan cywilny, numer PESEL, dane z dowodu osobistego, dane adresowe, dane kontaktowe, informacje o produktach posiadanych w banku (dowód: wyjaśnienia Banku z dnia 11 czerwca 2021 r. wraz z załącznikami). 3) Bank wskazał, że aktualnie przetwarza ww. dane w związku z zakończonymi w dniu 6 marca 2020 r. umowami rachunku bankowego na podstawie art. 6 ust. 1 lit. f RODO, w celach dowodowych, do obsługi reklamacji, wniosków oraz skarg, ustalania dochodzenia oraz obrony roszczeń, a także na podstawie art. 6 ust. 1 lit. c RODO w celu wykonywania obowiązków prawnych. Bank wskazał, że ww. obowiązki wynikają w szczególności z ustawy z dnia 29 września 1994 r. o rachunkowości (wypełnianie obowiązków przechowywania dokumentacji księgowej - art. 71 ust. 1 w zw. z art. 74 ww. ustawy) oraz ustawy z dnia w marca 2018 r. o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu (wypełnianie obowiązku przechowywania kopii dokumentów i informacji uzyskanych w związku ze stosowaniem środków bezpieczeństwa finansowego - art. 49 ww. ustawy). 4) Zgodnie z wyjaśnieniami Banku skarżąca zwróciła się w dniu 25 stycznia 2021 r. z żądaniem usunięcia jej danych osobowych wraz z historią jej rachunków i operacji na nich poczynionych. W dniu 6 lutego 2021 r. skarżąca otrzymała pisemną odpowiedź, że Bank nie zrealizuje jej prawa do usunięcia danych osobowych. Wyjaśniono, że dane osobowe Bank przetwarza po rozwiązaniu umów o produkty na podstawie prawnie uzasadnionego interesu i w celu niezbędnym do ustalenia, dochodzenia lub obrony ewentualnych roszczeń Banku. Prezes Urzędu Ochrony Danych Osobowych decyzją z dnia [...] września 2022 r. nr [...] odmówił uwzględnienia skargi G. B. na nieprawidłowości w procesie przetwarzania jej danych osobowych przez [...] S.A. z siedzibą w [...]. Na powyższą decyzję Bank wniósł skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie. W odpowiedzi na skargę Prezes UODO wniósł o jej oddalenie podtrzymując stanowisko wyrażone w zaskarżonej decyzji. Ponadto organ wniósł o rozpoznanie sprawy w trybie uproszczonym. Wojewódzki Sąd Administracyjny w Warszawie w powołanym wyżej wyroku oddalił skargę Banku uznając, że zaskarżona decyzja została wydana zgodnie z prawem. Uzasadniając swoje stanowisko Sąd I instancji wskazał, że bezspornym pozostaje w niniejszej sprawie, że Prezes UODO po przeprowadzeniu postępowania administracyjnego zakończonego decyzją z [...] lutego 2022 r. prawidłowo odmówił uwzględnienia wniosku uczestniczki postępowania stwierdzając, że proces przetwarzania danych osobowych wnioskodawczyni przez Bank znajduje uzasadnienie w przesłance z art. 6 ust. 1 lit. c RODO. Sporne zaś pozostaje, czy Bank prawidłowo przetwarza dane osobowe uczestniczki postępowania w oparciu o przesłankę z art. 6 ust. 1 lit. f RODO. Oceniając przebieg postępowania Sąd uznał, że organ trafnie uznał, wbrew temu co podnosi Bank, że brak jest podstaw, aby uznać, że prawidłowo przetwarza dane osobowe uczestniczki postępowania w oparciu o przesłankę z art. 6 ust. 1 lit. f RODO. Słusznie jest stwierdzenie, że Bank przetwarza dane osobowe wnioskodawczyni w celu zabezpieczenia się przed ewentualnym roszczeniem wyłącznie "na zapas", bowiem przeprowadzone przez Prezesa UODO postępowanie administracyjne nie wykazało, aby G. B. skierowała wobec Banku jakiekolwiek roszczenie. Sąd podzielił pogląd organu, że przesłanka wynikająca z art. 6 ust. 1 lit. f RODO dotyczy sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia, potrzeba dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem. W rozpoznawanej sprawie Wojewódzki Sąd Administracyjny w Warszawie stwierdził, że nie sposób uznać, że obie przesłanki z art. 6 ust. 1 lit. f RODO zostały spełnione w niniejszej sprawie przy przetwarzaniu danych osobowych G. B. przez Bank w celu obrony przed ewentualnymi roszczeniami lub ewentualną potrzebą dochodzenia roszczeń w przyszłości. Słusznie organ podnosi w odpowiedzi na skargę, że przesłanka określona w art. 6 ust. 1 lit. f RODO nie jest ukierunkowana na ochronę interesów sektora bankowego czy też gospodarczego. Legalność przetwarzania danych osobowych w oparciu o tę przesłankę uzależniona jest od tego, czy przetwarzanie to jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą. Przepis ten nie polega zatem na ochronie wszelkich interesów sektora bankowego. Podobnie jak pozostałe przesłanki wymienione w art. 6 ust. 1 RODO stanowi przesłankę zgodności z prawem procesu przetwarzania. Tym samym chroni przede wszystkim osobę, której proces ten dotyczy przed nieuprawnionym przetwarzaniem jej danych osobowych. Nie można ponadto mówić o zaistnieniu prawnie uzasadnionego interesu w przypadku, gdy dane osobowe przetwarzane są na zapas, na wypadek gdyby taki prawnie uzasadniony interes pojawić się mógł dopiero w przyszłości. Bank niezasadnie skupił się na interesach gospodarczych podmiotów przetwarzających dane osobowe, nie dostrzegając jednocześnie, że z punktu widzenia ochrony danych osobowych dane te mogą być wprawdzie przetwarzane do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, ale wyłącznie wówczas, gdy są nadrzędne nad interesami i prawami osoby, której dane dotyczą. Tymczasem sytuacja taka w niniejszej sprawie nie zachodziła, ponieważ ważąc interesy i podstawowe prawa i wolności osoby, której dane dotyczyły, takie jak chociażby gwarantowane (tak na gruncie prawa europejskiego, Konstytucji RP czy prawa cywilnego) prawo do prywatności, z interesem administratora, który dotyczy w tym wypadku zachowania w swych zasobach danych "na wszelki wypadek", tj. na wypadek tego, że mogą się okazać przydatne w przyszłości do dochodzenia lub obrony ewentualnych roszczeń, które obecnie nie istnieją, należało dojść do wniosku, że to interesy i podstawowe prawa i wolności osoby, której dane dotyczą są nadrzędne. Jednocześnie Sąd I instancji wskazał, że Prezes UODO nie może opierać się na przyszłych niepewnych zdarzeniach, które mogą, lecz nie muszą nastąpić. Organ wydając decyzję administracyjną, zobowiązany jest do rozstrzygania sprawy w oparciu o stan faktyczny istniejący w chwili wydania tej decyzji. Tym samym decyzja organu nie może wbrew stanowisku Banku opierać się na przyszłych i niepewnych okolicznościach faktycznych. Skargę kasacyjną od tego wyroku wniósł [...] S.A. z siedzibą w [...], zaskarżając wyrok w całości i zarzucając mu: I. na podstawie art. 174 pkt 1 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2023 r. poz. 259, zwanej dalej: "p.p.s.a.") naruszenie prawa materialnego, tj.: 1. art. 6 ust. 1 lit. f RODO, poprzez jego błędną wykładnię, a w konsekwencji uznanie, że przetwarzanie danych osobowych w celu ustalenia, dochodzenia lub obrony roszczeń (także hipotetycznych) nie stanowi prawnie uzasadnione interesu banku podczas, gdy bank przetwarza dane uczestnika postępowania w okresie przedawnienia roszczeń cywilnych przez okres wynikających z przepisów ustawy z dnia 23 kwietnia 1964 r. Kodeks cywilny (Dz. U. z 2022 r. poz. 1360 z późn. zm., zwanej dalej: "k.c."), co pozostaje w zgodzie z zasadą transparentności i privacy by default, a nadto poprzez pominięcie, że prawodawca unijny uzależnił możliwość przetwarzania danych osobowych od zaistnienia prawnie uzasadnionego interesu, o którym dowodzi wynik testu równowagi (oceny, o której mowa w art. 47 RODO), co zostało całkowicie pominięte przez organ oraz następnie Wojewódzki Sąd Administracyjny; 2. "art. 6 ust. 1 lit. f RODO w zw. z art. 117 § 2 i 21, art. 118 i 119 k.c.", polegające na jego niewłaściwym zastosowaniu i przyjęciu, jakoby przechowywanie danych przez okres przedawnienia roszczeń - również, gdy ani administrator ani osoba, której dane dotyczą nie zgłosiła jeszcze roszczenia, nie stanowi prawnie uzasadnionego interesu banku, w rozumieniu art. 6 ust. 1 lit. f RODO; podczas gdy przepisy te uprawniają bank do przetwarzania danych osobowych w celu ustalenia, dochodzenia lub ochrony przed roszczeniami; II. na podstawie art. 174 pkt 2 p.p.s.a. naruszenie przepisów postępowania, które mogło mieć istotny wpływ na wynik sprawy, a to art. 151 p.p.s.a. poprzez nieuprawnione zastosowanie, spowodowane niedostrzeżeniem wad procesowych postępowania administracyjnego, w sytuacji, gdy skarżący wykazał, że postępowanie organu nadzorczego dotknięte było wadami, które uniemożliwiły prawidłowe ustalenie stanu faktycznego w sprawie, albowiem organ wbrew art. 7 k.p.a., art. 77 § 1 k.p.a. oraz art. 80 k.p.a.: 1. nie przeprowadził postępowania dowodowego w zakresie ustalenia, że przeprowadzony przez skarżącego test równowagi (ocena, o której mowa w art. 47 RODO) nie wskazuje, aby przetwarzanie danych osobowych w spornym celu było uprawnione (organ nawet nie informował, że będzie zajmował stanowisko w tym zakresie) podczas, gdy okoliczność ta miała decydujące znaczenie dla ustalenia czy bank jako administrator zasadnie uznał, że jego prawa mają nadrzędny charakter wobec interesów lub podstawowych praw i wolności osoby fizycznej, tj. byłego klienta. Tymczasem zgodnie z motywem 47 RODO: Podstawą prawną przetwarzania mogą być prawnie uzasadnione interesy administratora, w tym administratora, któremu mogą zostać ujawnione dane osobowe, lub strony trzeciej, o ile w świetle rozsądnych oczekiwań osób, których dane dotyczą, opartych na ich powiązaniach z administratorem nadrzędne nie są interesy lub podstawowe prawa i wolności osoby, której dane dotyczą. Taki prawnie uzasadniony interes może istnieć na przykład w przypadkach, gdy zachodzi istotny i odpowiedni rodzaj powiązania między osoba, której dane dotyczą, a administratorem, na przykład gdy osoba, której dane dotyczą, jest klientem administratora lub działa na jego rzecz. Aby stwierdzić istnienie prawnie uzasadnionego interesu, należałoby w każdym przypadku przeprowadzić dokładna ocenę, w tym ocenę tego, czy w czasie i w kontekście, w którym zbierane są dane osobowe, osoba, której dane dotyczą, ma rozsądne przesłanki by spodziewać się, że może nastąpić przetwarzanie danych w tym celu. Interesy i prawa podstawowe osoby, której dane dotyczą, mogą być nadrzędne wobec interesu administratora danych w szczególności w przypadkach gdy dane osobowe są przetwarzane w sytuacji, w której osoby, których dane dotyczą, nie mają rozsądnych przesłanek, by spodziewać się dalszego przetwarzania. [...] W powyższym kontekście organ, co zaaprobował błędnie Wojewódzki Sąd Administracyjny, w ogóle nie badał, czy podmiot danych był informowany o przetwarzaniu jego danych w spornym celu, co pozostawało wymagane do oceny zgodnej z cytowanym motywem. III. Ponadto na podstawie art. 174 pkt 2 p.p.s.a. naruszenie przepisów postępowania, które mogło mieć istotny wpływ na wynik sprawy, tj. art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. Prawo o ustroju sądów administracyjnych (Dz. U. z 2021 r. poz. 137 z późn. zm., zwanej dalej: "p.u.s.a."), art. 3 § 1 i § 2 pkt 1 w zw. z art. 141 § 4 p.p.s.a. poprzez wadliwe uzasadnienie zaskarżonego wyroku, nieodpowiadające wymogom określonym w art. 141 § 4 p.p.s.a., polegające na całkowitym braku rozpoznania i dokonania oceny prawnej zaskarżonej decyzji Prezesa UODO, w kontekście wskazanych wyżej sprzeczności z przepisami prawa materialnego i procesowego, a w szczególności podniesionego w skardze zarzutu naruszenia przez organ art. 6 ust. 1 lit. f RODO, art. 8 § 2 k.p.a., i pominięcia kwestii testu równowagi (oceny, o której mowa w art. 47 RODO), którego wynik decyduje, czy interesy administratora są nadrzędne wobec interesów lub praw i wolności podmiotu danych, a następnie dania temu wyrazu w uzasadnieniu zaskarżonego wyroku, podczas gdy Sąd winien ocenić wszechstronnie kwestię prawidłowości rozstrzygnięcia administracyjnego, w tym z punktu widzenia zastosowania przepisów prawa materialnego, jak też odpowiednio to uzasadnić - czego nie uczynił. Mając powyższe na uwadze skarżący kasacyjnie wniósł o uchylenie zaskarżonego wyroku w całości i przekazanie sprawy do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie, zasądzenie zwrotu kosztów postępowania kasacyjnego, w tym kosztów zastępstwa procesowego według norm przepisanych, a także rozpoznanie skargi kasacyjnej na rozprawie. Powyższe zarzuty rozwinięto w uzasadnieniu skargi kasacyjnej. W odpowiedzi na skargę kasacyjną Prezes UODO wniósł o jej oddalanie. Naczelny Sąd Administracyjny zważył, co następuje: Zgodnie z art. 183 § 1 p.p.s.a. Naczelny Sąd Administracyjny przy rozpatrywaniu sprawy na skutek wniesienia skargi kasacyjnej związany jest granicami tej skargi, a z urzędu bierze pod rozwagę tylko nieważność postępowania w wypadkach określonych w § 2, z których żaden w rozpoznawanej sprawie nie zachodzi. Oznacza to, że przytoczone w skardze kasacyjnej przyczyny wadliwości prawnej zaskarżonego orzeczenia determinują zakres kontroli dokonywanej przez Naczelny Sąd Administracyjny. Sąd ten, w odróżnieniu od wojewódzkiego sądu administracyjnego, nie bada całokształtu sprawy, lecz tylko weryfikuje zasadność zarzutów postawionych w skardze kasacyjnej. Podstawy, na których można oprzeć skargę kasacyjną zostały określone w art. 174 p.p.s.a. Przepis art. 174 pkt 1 p.p.s.a. przewiduje dwie postacie naruszenia prawa materialnego, a mianowicie błędną jego wykładnię lub niewłaściwe zastosowanie. Przez błędną wykładnię należy rozumieć niewłaściwe zrekonstruowanie treści normy prawnej wynikającej z konkretnego przepisu, natomiast przez niewłaściwe zastosowanie, dokonanie wadliwej subsumcji przepisu do ustalonego stanu faktycznego. Również druga podstawa kasacyjna wymieniona w art. 174 pkt 2 p.p.s.a. – naruszenie przepisów postępowania – może przejawiać się w tych samych postaciach, co naruszenie prawa materialnego, przy czym w wypadku oparcia skargi kasacyjnej na tej podstawie skarżący powinien nadto wykazać istotny wpływ wytkniętego uchybienia na wynik sprawy. W pierwszej kolejności jako nieuzasadnione ocenić należy zarzuty naruszenia przepisów postępowania, które mogło mieć istotny wpływ na wynik sprawy, tj. art. 1 § 1 i 2 p.u.s.a., art. 3 § 1 i § 2 pkt 1 w zw. z art. 141 § 4 p.p.s.a. Na wstępie podnieść należy, że całkowicie nieuprawniony jest zarzut naruszenia art. 1 § 1 i 2 p.u.s.a. Otóż przepis art. 1 § 1 i 2 p.u.s.a. ma charakter ustrojowy i może stanowić podstawę kasacyjną jedynie w drodze wyjątku, np. gdy sąd odmówił rozpoznania skargi, mimo prawidłowości jej wniesienia, czy też orzekał w sprawie, która nie podlega rozpoznaniu przez sądy administracyjne, albo rozpoznając prawidłowo wniesioną skargę dokonał kontroli w sprawie w oparciu o inne kryterium, niż kryterium legalności. Okoliczność, iż strona skarżąca kasacyjnie nie zgadza się ze stanowiskiem i argumentacją Sądu I instancji, przedstawioną w uzasadnieniu zaskarżonego wyroku, nie uzasadnia zarzutu naruszenia powyższego przepisu. Zwłaszcza, że przedmiotowa sprawa należy do kognicji sądów administracyjnych, została rozpoznana przez właściwy sąd, a fachowy pełnomocnik strony skarżącej nie wskazał w skardze kasacyjnej jakie to inne kryteria kontroli (celowość, rzetelność, gospodarność itd.), zamiast kryterium legalności stosował Sąd I instancji w niniejszej sprawie. Jako całkowicie bezzasadny ocenić należy zarzut naruszenia art. 3 § 1 i § 2 pkt 1 p.p.s.a., które mają także charakter ustrojowy. Wydanie wyroku, niezgodnego z oczekiwaniem skarżącego, nie może być zaś utożsamiane z uchybieniem powołanej normie. Przepis ten zakreśla jedynie właściwość sądów administracyjnych, stanowiąc, że sądy te sprawują wymiar sprawiedliwości m. in. przez kontrolę działalności administracji publicznej pod względem zgodności z prawem. Jeżeli podnosząc zarzuty naruszenia art. 3 § 1 p.p.s.a., skarżący w istocie zmierza do podważenia oceny prawnej poczynionej przez sąd pierwszej instancji, to nie może być to skuteczne, gdyż przepisy te zakreślają jedynie zakres sądowej kontroli działalności organów administracji, natomiast sposób przeprowadzania tej kontroli regulowany jest w dalszych przepisach p.p.s.a. Tymczasem do naruszenia art. 3 § 1 p.p.s.a. mogłoby dojść wyłącznie wówczas, gdyby skarga w ogóle nie została przez sąd rozpoznana lub wbrew ustalonym w tym przepisie wymogom sąd administracyjny uchylił się od kontroli działalności administracji publicznej bądź też zastosował w ramach tej kontroli środki nieprzewidziane w ustawie. Ewentualne naruszenie przez sąd przy rozstrzygnięciu sprawy prawa materialnego czy procesowego nie oznacza, że sąd ten uchybił wynikającemu z ww. regulacji zakresowi kontroli działalności administracji publicznej jak i że nie zastosował środków określonych w ustawie. Również art. 3 § 2 pkt 1 p.p.s.a. nie stanowi podstawy dla czynienia zaskarżonemu orzeczeniu zarzutu błędnego rozstrzygnięcia, gdyż celowi temu służą inne przepisy. Przepis ten nie zawiera samodzielnej treści normatywnej. Określa on ogólnie kognicję sądu administracyjnego w zakresie kontroli decyzji administracyjnych. Zaskarżony akt administracyjny ma właśnie formę decyzji administracyjnej. Wydanie wyroku, niezgodnego z oczekiwaniem skarżącego, nie może być utożsamiane z uchybieniem powołanej normie. Uzasadnieniu zaskarżonego wyroku także nie można zarzucić, że nie realizuje ono niezbędnych elementów uzasadnienia określonych w art. 141 § 4 p.p.s.a., a których zamieszczenie pozwala odtworzyć sposób rozumowania Sądu. Sporządzenie uzasadnienia jest czynnością następczą w stosunku do podjętego rozstrzygnięcia, stąd też tylko w nielicznych sytuacjach naruszenie tej normy prawnej może stanowić skuteczną podstawę skargi kasacyjnej. Pamiętać bowiem należy, że usprawiedliwiony będzie zarzut naruszenia art. 141 § 4 p.p.s.a tylko wówczas, gdy pomiędzy tym uchybieniem a wynikiem postępowania sądowoadministracyjnego będzie istniał potencjalny związek przyczynowy. Do sytuacji, w której wadliwość uzasadnienia wyroku może stanowić usprawiedliwioną podstawę skargi kasacyjnej, należy zaliczyć tę, gdy to uzasadnienie nie pozwala na kontrolę kasacyjną orzeczenia. Dzieje się tak wówczas, gdy nie ma możliwości jednoznacznej rekonstrukcji podstawy rozstrzygnięcia (zob. wyrok NSA z 25 lutego 2009 r., sygn. I OSK 487/08). Co więcej Sąd ma obowiązek zwięzłego przedstawienia stanu sprawy, co obejmuje nie tylko przytoczenie ustaleń dokonanych przez organ administracji publicznej, ale także ich ocenę pod względem zgodności z prawem. Tymczasem te wszystkie elementy znajdują się w uzasadnieniu zaskarżonego wyroku, a uzasadnienie części prawnej wyroku jest wystarczające dla uzyskania informacji o przesłankach rozstrzygnięcia. Fakt, że strona skarżąca kasacyjnie nie zgadza się z argumentacją Sądu I instancji zaprezentowaną w uzasadnieniu, nie została nią przekonana, a wręcz uważa ją za błędną nie oznacza jeszcze naruszenia art. 141 § 4 p.p.s.a. Nie jest zasadny także zarzut naruszenia "art. 6 ust. 1 lit. f RODO w zw. z art. 117 § 2 i 21, art. 118 i 119 k.c.", polegający na jego niewłaściwym zastosowaniu i przyjęciu, jakoby przechowywanie danych przez okres przedawnienia roszczeń - również, gdy ani administrator ani osoba, której dane dotyczą nie zgłosiła jeszcze roszczenia, nie stanowi prawnie uzasadnionego interesu banku, w rozumieniu art. 6 ust. 1 lit. f RODO; podczas gdy przepisy te uprawniają bank do przetwarzania danych osobowych w celu ustalenia, dochodzenia lub ochrony przed roszczeniami. Na wstępie zauważyć należy, że art. 117 k.c. nie ma § 21. Być może chodziło o inny przepis (artykuł lub paragraf), lecz nie sposób tego jednoznacznie stwierdzić wobec braku stosownej argumentacji naruszenia tego przepisu w uzasadnieniu skargi kasacyjnej. Nadto Prezes UODO nie kwestionował w zaskarżonej decyzji uprawnień Banku do procesu przetwarzania danych osobowych wnioskodawczyni przez Bank na podstawie art. 6 ust. 1 lit. c RODO w związku ze wskazanymi: art. 74 ustawy o rachunkowości oraz art. 49 ust. 1 ustawy AML. Natomiast uznał, że Bank nieprawidłowo przetwarza dane osobowe wnioskodawczyni w oparciu o przesłankę z art. 6 ust. 1 lit. f RODO w celu zabezpieczenia się przed ewentualnym roszczeniem wyłącznie "na zapas", bowiem przeprowadzone przez Prezesa UODO postępowanie administracyjne nie wykazało, aby wnioskodawczyni skierowała wobec Banku jakiekolwiek roszczenie. Przesłanka wynikająca z art. 6 ust. 1 lit. f RODO dotyczy sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia, potrzeba dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem. Zgodnie z art. 6 ust. 1 lit. f RODO przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy - i w takim zakresie, w jakim przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Tym samym zgodzić się należy ze stanowiskiem, że dla możliwości oparcia przetwarzania danych osobowych na przesłance z art. 6 ust. 1 lit. f RODO konieczne jest, by przetwarzanie było niezbędne dla realizacji prawnie uzasadnionych interesów administratora. Nie wystarczy zatem samo ich występowanie, lecz dodatkowo konieczne jest wykazanie, że dla ich realizacji przetwarzanie danych osobowych jest niezbędne. Oznacza to zatem, że przetwarzanie danych dla realizacji prawnie uzasadnionego interesu administratora lub strony trzeciej musi być, rozsądnie oceniając, potrzebne (por. "RODO. Ogólne rozporządzenie o ochronie danych. Komentarz" WKP 2018, D. Lubasz, W. Chomiczewski, i inni). Za usprawiedliwiony cel w rozumieniu art. 6 ust. 1 lit. f RODO nie może zostać uznane przetwarzanie danych osobowych na wypadek ewentualnego dochodzenia lub obrony roszczeń. Z akt sprawy nie wynika, aby wnioskodawczyni, która zażądała usunięcia swoich danych osobowych, miała jakiekolwiek roszczenie na drodze cywilnoprawnej do strony skarżącej kasacyjnie. Z tego względu nie jest dopuszczalne przyjęcie, że to art. 6 ust. 1 lit. f RODO mógłby stanowić podstawę do "dalszego" przetwarzania danych, na wypadek ewentualnego dochodzenia roszczeń. W toku postępowania administracyjnego nie wykazano - i nie wynika to też ze skargi kasacyjnej - jakich ewentualnie roszczeń mógłby dochodzić podmiot, który zażądał usunięcia swoich danych osobowych. Sąd w składzie rozpoznającym sprawę podziela pogląd Naczelnego Sądu Administracyjnego, zgodnie z którym niedopuszczalne jest przetwarzanie danych osobowych niejako "na zapas" z założeniem, że mogą być one ewentualnie przydatne w przyszłości, na przykład z odwołaniem się do przepisów dotyczących przedawnienia roszczeń (por. wyroki NSA: z 27 marca 2018 r., I OSK 1459/16 i z 1 października 2025 r., III OSK 872/22). Celem RODO, tak, jak poprzednio Dyrektywy 95/46/WE, jest ochrona prywatności, która powinna być rozpatrywana także w świetle art. 8 Konwencji o Ochronie Praw Człowieka i Podstawowych Wolności. W sprawie tej nie istnieje tego rodzaju powiązanie pomiędzy osobą, której dane dotyczą a bankiem, które pozwalałoby "wyprowadzić" istnienie prawnie uzasadnionego interesu po stronie strony skarżącej kasacyjnie w "dalszym" przetwarzaniu danych tej osoby. W demokratycznym państwie prawnym nie jest dopuszczalne dowolne rozszerzanie uprawnień jakiegokolwiek podmiotu, ani organu władzy, ani spółki prawa handlowego, ani żadnego innego podmiotu będącego administratorem w zakresie przetwarzania danych osobowych (art. 47, art. 51 Konstytucji RP). Dane osobowe mogą być przetwarzane co do zasady w celach, w jakich je zebrano. Cele te powinny być adekwatne i ograniczone do tego co niezbędne do ich osiągnięcia, w których zostały zebrane (art. 5 ust. 1 lit. c RODO). Zdaniem NSA, wskazany zakres art. 6 ust. 1 lit. f RODO dotyczy bowiem sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia, potrzeby dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym (przyszłym i niepewnym) roszczeniem. Akceptacja przetwarzania danych osobowych "na zapas" z uwagi na niepewne przyszłe zdarzenie jakim jest ewentualne zgłoszenie roszczeń w przyszłości, doprowadziłoby do sytuacji w której podmioty finansowe mogłyby przetwarzać dane osobowe swoich klientów, bez konieczności ich usunięcia, nawet jeśli łączyłaby ich wcześniej jedynie krótkotrwale trwająca relacja umowna, czy też zobowiązaniowa. Taka interpretacja art. 6 ust. 1 lit. f RODO jest nieprawidłowa. Zgodnie z motywem 47 rozporządzenia RODO podstawą prawną przetwarzania mogą być prawnie "uzasadnione interesy" administratora, w tym administratora, któremu mogą zostać ujawnione dane osobowe, lub strony trzeciej, o ile w świetle rozsądnych oczekiwań osób, których dane dotyczą, opartych na ich powiązaniach z administratorem nadrzędne nie są interesy lub podstawowe prawa i wolności osoby, której dane dotyczą. Taki prawnie "uzasadniony interes" może istnieć na przykład w przypadkach, gdy zachodzi istotny i odpowiedni rodzaj powiązania między osobą, której dane dotyczą, a administratorem, na przykład gdy osoba, której dane dotyczą, jest klientem administratora lub działa na jego rzecz. Aby stwierdzić istnienie prawnie "uzasadnionego interesu", należy w każdym przypadku przeprowadzić dokładną ocenę, w tym ocenę tego, czy w czasie i w kontekście, w którym zbierane są dane osobowe, osoba, której dane dotyczą, może spodziewać się, że jej dane będą przetwarzanie również w tym celu. Zatem nie można przyjąć, że "uzasadnionym interesem" administratora (o którym mowa w art. 6 ust. 1 lit. f rozporządzenia RODO oraz w motywie 47 rozporządzenia RODO) jest każdy interes. W ocenie NSA, w niniejszej sprawie występuje interes wnioskodawczyni wymagający ochrony danych osobowych, który przeważa nad interesem Banku, który ma aktualnie charakter wyłącznie hipotetyczny i jedynie domniemany. Dodatkowo należy wskazać, że przesłanka określona w art. 6 ust. 1 lit. f rozporządzenia RODO nie jest ukierunkowana na pełną ochronę interesów sektora gospodarczego (finansowego), ale uzależniona jest od tego, czy przetwarzanie to jest "niezbędne" do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą. Regulacja ta nie odnosi się zatem do ochrony wszelkich interesów sektora gospodarczego (finansowego). Przede wszystkim ma za zadanie chronić osoby, których proces ten dotyczy przed nieuprawnionym przetwarzaniem ich danych osobowych. Nie można twierdzić, że przetwarzanie danych osobowych "na wszelki wypadek", czy "na zapas" lub w odniesieniu do "ewentualnych i potencjalnych roszczeń" stanowi "uzasadniony interes" Banku. Każdej osobie przysługuje własne indywidualne prawo do prywatności, chroniące prywatną sferę tej osoby i uprawniające ją do samodzielnego decydowania o ujawnieniu informacji pochodzących z tej sfery (por. wyrok SN z 26 maja 2017 r., sygn. akt I CSK 557/16). W wyroku NSA z 8 stycznia 2025 r. (sygn. akt III OSK 4868/21) trafnie wskazano, że przetwarzanie danych osobowych byłych klientów przez Banki do celów dochodzenia ewentualnych roszczeń, bądź obrony przed nimi, nie znajduje oparcia w przepisach rozporządzenia RODO, w tym w art. 6 ust. 1 lit. f. Niedopuszczalne jest więc przetwarzanie danych osobowych niejako "na zapas" z założeniem, że mogą być one ewentualnie przydatne w przyszłości (zob. wyrok NSA z 19 listopada 2025 r., sygn. III OSK 2472/22). Ponadto należy zauważyć, że nie brak jest w aktualnym stanie prawnym przepisów, które zobowiązują niektóre podmioty do przetwarzania danych osobowych przez okres przedawnienia roszczeń z tytułu zawartych umów. Tytułem przykładu przytoczyć można art. 29 ust. 10 ustawy z dnia 11 września 2015 r. o działalności ubezpieczeniowej i reasekuracyjnej (t.j. Dz. U. z 2024 r. poz. 838), zgodnie z którym zakład ubezpieczeń przechowuje informacje i dokumenty, o których mowa w ust. 6 (tj. informacje i dokumenty gromadzone w celu ustalenia odpowiedzialności zakładu ubezpieczeń lub wysokości odszkodowania lub świadczenia) do czasu upływu terminu przedawnienia roszczeń z umowy ubezpieczenia. A contrario skoro ustawodawca nie zobowiązał wszystkich przedsiębiorców do przechowywania danych osobowych byłych klientów przez czas przedawnienia roszczeń w celu ustalenia odpowiedzialności lub wysokości odszkodowania, to tym samym zgodnie z zasadą racjonalnego ustawodawcy nie można takiej konstrukcji rozciągać na inne regulacje prawne. Tekst aktu prawodawczego służy ustawodawcy do sformułowania określonych norm postępowania świadczących o tym, że prawodawca zna i uwzględnia reguły języka danej społeczności, a jeśli od nich odstępuje, odpowiednio to zaznacza, np. przez definicje legalne. Przyjmuje się, że prawodawca formułuje takie normy, które według jego wiedzy w danym układzie społecznym nadają się do tego, by wpływać na zachowanie adresatów i nie ustanawia norm niezgodnych między sobą. Postępowanie adresatów zgodne z ustanawianymi normami prowadzi – według jego wiedzy – do rezultatów optymalnych, a w każdym razie aprobowanych na gruncie przypisywanego prawodawcy systemu wartości (por. M. Augustyniak, Zasady racjonalnego prawodawcy w kontekście teorii i praktyki prawniczej, Aktualne problemy prawa, tom 1, nr 4, kwiecień 2020, s. 37-41). Dodać jedynie należy, że powoływane w uzasadnieniu skargi kasacyjnej: nieprawomocny wyrok WSA w Warszawie z 13 grudnia 2021 r., sygn. II SA/Wa 1528/21 został w punkcie 3 uchylony wyrokiem NSA z 1 października 2025 r., sygn. III OSK 872/22, a nieprawomocny wyrok WSA w Warszawie z 10 listopada 2021 r., sygn. II SA/Wa 868/21 został uchylony wyrokiem NSA z 17 października 2025 r., sygn. III OSK 1890/22. W obu wyrokach NSA zajął stanowisko tożsame w wyżej zaprezentowanym w niniejszej sprawie. Z wyżej przytoczonych względów Naczelny Sąd Administracyjny, działając na podstawie art. 184 p.p.s.a., oddalił skargę kasacyjną. Rozstrzygnięcie o kosztach postępowania kasacyjnego zostało wydane w oparciu o przepis art. 204 pkt 1 p.p.s.a.