III OSK 1984/23

Naczelny Sąd Administracyjny w składzie: Przewodniczący: sędzia NSA Artur Kuś (sprawozdawca) Sędziowie: sędzia NSA Przemysław Szustakiewicz sędzia del. Kazimierz Bandarzewski Protokolant: starszy asystent sędziego Edyta Kuczkowska po rozpoznaniu w dniu 17 czerwca 2026 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej E. J. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z 10 marca 2023 r. sygn. akt II SA/Wa 1657/22 w sprawie ze skargi E. J. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z 5 lipca 2022 r. nr DS.523.1744.2020.FT.AN w przedmiocie przetwarzania danych osobowych 1. oddala skargę kasacyjną; 2. zasądza od E. J. na rzecz Prezesa Urzędu Ochrony Danych Osobowych kwotę 360 (trzysta sześćdziesiąt) złotych tytułem zwrotu kosztów postępowania kasacyjnego.

Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z 10 marca 2023 r. sygn. akt II SA/Wa 1657/22 oddalił skargę E. J. (dalej: "skarżąca") na decyzję Prezesa Urzędu Ochrony Danych Osobowych (dalej: "PUODO") z 5 lipca 2022 r. nr DS.523.1744.2020.FT.AN w przedmiocie przetwarzania danych osobowych. W uzasadnieniu wyroku Sąd I instancji przyjął następujące okoliczności faktyczne i prawne. PUODO decyzją z 5 lipca 2022 r. nr DS.523.1744.2020.FT.AN odmówił uwzględnienia wniosku skarżącej na nieprawidłowości w procesie przetwarzania jej danych osobowych przez: - [...] Bank Polska S.A. z siedzibą w Warszawie (dalej: "Bank"), które polegało na ich udostępnieniu bez podstawy prawnej na rzecz K. L., prowadzącej działalność gospodarczą pod nazwą K. K. Kancelaria Radcy Prawnego z siedzibą w [...] (dalej: "Przedsiębiorca") i niewypełnieniu przez Bank obowiązku informacyjnego z art. 15 ust. 1 RODO; - Przedsiębiorcę przez przetwarzanie ww. danych osobowych skarżącej bez podstawy prawnej. W podstawie prawnej powołano m.in. art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2024 r. poz. 572 ze zm., dalej: "k.p.a.") w zw. z art. 7 ust. 1 i 2 ustawy z 10 maja 2018 r. o ochronie danych osobowych (Dz.U. z 2019 r., poz. 1781, dalej: "u.o.d.o.") oraz art. 6 ust. 1 lit. c i lit. f, art. 15 ust. 1, art. 28 ust. 3 oraz art. 58 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.Urz. UE L 119 z 4.05.2016, s. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, s. 35; dalej: "RODO"). PUODO w uzasadnieniu wskazał m.in., że po przeprowadzeniu postępowania wyjaśniającego ustalił na podstawie: a) skargi z 23 marca 2020 r. i pisma skarżącej z 12 października 2020 r., że skarżąca wniosła o: - stwierdzenie naruszania przez: Bank przepisów o ochronie danych osobowych - przez nieuprawnione przekazanie jej danych osobowych Przedsiębiorcy; - Przedsiębiorcę przepisów o ochronie danych osobowych przez nieuprawnione ich przetwarzanie; - nakazanie Bankowi zaprzestania przekazywania jej danych osobowych na rzecz Przedsiębiorcy; - nakazanie Przedsiębiorcy zaprzestania przetwarzania jej danych osobowych i ich usunięcia; - sprawdzenie bezpieczeństwa przetwarzania jej danych osobowych przez Przedsiębiorcę. Skarżąca wskazała, że 10 lutego 2020 r. zwróciła się do Przedsiębiorcy o przekazanie pełnej listy przetwarzanych jej danych osobowych ze wskazaniem celu ich przetwarzania oraz podstawy prawnej ich przetwarzania. Skarżąca otrzymała od Przedsiębiorcy 19 marca 2020 r. pismo z 11 marca 2020 r., w którym przedstawiono zakres przetwarzanych danych osobowych, ze wskazaniem treści konkretnych danych, podstawę i cel przetwarzania. Zdaniem skarżącej, Przedsiębiorca przetwarza adres IP komputera skarżącej w połączeniu z imieniem, nazwiskiem, PESEL skarżącej w celu zasilania systemów przeciwfraudowych. Skarżąca podniosła, że jakkolwiek Przedsiębiorca wskazał, że przetwarza IP w celu realizacji wsparcia prawnego w zakresie danych osobowych, ale w tym zakresie nie jest niezbędne przetwarzanie numeru IP, który łącznie z pozostałymi danymi skarżącej wskazuje na konkretną osobę. Udostępnienie Przedsiębiorcy pozostałych danych osobowych (imię, nazwisko, PESEL, adres, nr dowodu osobistego) wykracza poza cel określony w art. 104 ust. 2 pkt 3 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz.U. z 2020 r., poz. 1896 ze zm., dalej: "p.b."). Skarżąca nie prowadzi z Bankiem żadnych sporów prawnych. Przedsiębiorca nie występuje jako pełnomocnik Banku. Bank posiada etatowego Inspektora Ochrony Danych, a Przedsiębiorca nie znajduje się na liście podmiotów, które świadczą Bankowi usługi w ramach outsourcingu. Skarżąca wskazała, że 10 lutego 2020 r. zwróciła się do Banku o pełną i wyczerpującą informację, jakie jej dane osobowe są przekazywane Przedsiębiorcy, ale do 20 marca 2020 r. nie otrzymała od Banku odpowiedzi; b) wyjaśnień Banku z 26 czerwca 2020r. i wyjaśnień Przedsiębiorcy z 8 i 22 czerwca 2020 r. - Bank oraz Przedsiębiorca wskazali, że do udostępnienia danych osobowych Skarżącej przez Bank na rzecz Przedsiębiorcy doszło na podstawie Umowy powierzenia przetwarzania danych z 4 czerwca 2019 r., zawartej pomiędzy Bankiem a Przedsiębiorcą (dalej: "Umowa"), w celu realizacji umowy o świadczenie usług dotyczącej wsparcia prawnego Banku w zakresie ochrony danych osobowych. Bank jest administratorem danych osobowych skarżącej, a Przedsiębiorca w ramach prowadzonej działalności gospodarczej działa jako podmiot przetwarzający te dane. Bank jako podstawę prawną przekazania danych osobowych skarżącej na rzecz Przedsiębiorcy wskazał art. 104 ust. 2 pkt 3 p.b. i art. 6 ust. 1 lit. f RODO; c) wyjaśnień Banku z 19 stycznia 2021 r., że skarżąca 18 grudnia 2019 r. zwróciła się do Banku o udzielenie informacji o kategoriach i zakresie przetwarzanych danych osobowych, zgodnie z art. 15 RODO; Bank przygotował projekt odpowiedzi i 13 stycznia 2020 r. przekazał go do konsultacji Przedsiębiorcy; skarżąca jest klientem Banku, korzysta z usług bankowości elektronicznej, dlatego wśród jej danych znalazła się informacja o adresie IP komputera; projekt odpowiedzi zawierał informacje o posiadanych przez skarżącą produktach bankowych i dane osobowe, w tym adres IP, ponieważ pismo Banku konsultowane z Przedsiębiorcą dotyczyło zakresu i podstawy przetwarzania tych danych; przedsiębiorca nie mógłby należycie świadczyć pomocy prawnej w zleconym zakresie bez znajomości udostępnionych informacji; d) wyjaśnień Banku z 19 stycznia 2021 r. i wyjaśnień Przedsiębiorcy z 22 czerwca 2020 r. i kopii Umowy z 4 czerwca 2019 r. (określającej zakres powierzenia danych osobowych), że: - Bank przekazał Przedsiębiorcy dane dotyczące klientów Banku, pracowników Banku, klientów i pracowników T. sp. z o.o. w zakresie: płci, imienia, nazwiska, imienia ojca, imienia matki, nazwiska panieńskiego matki, obywatelstwa, miejscowości urodzenia, kraju urodzenia, nr PESEL, rodzaju dokumentu tożsamości, serii i numeru dokumentu tożsamości, daty ważności dokumentu tożsamości, nr telefonu komórkowego i stacjonarnego, adresu e-mail, kraju, ulicy, nr domu, kodu pocztowego, miejscowości, poczty. W zakresie danych podstawowych lokaty: kwota, okres, rozliczenie lokaty standard. W zakresie danych rozliczenia: nr konta, posiadacz konta. Informacja o oświadczeniu FATCA: Czy osoba jest podatnikiem w USA? Oświadczenie CRS: informacja dotycząca rezydencji podatkowej aktualne miejsce zamieszkania: ulica, numer domu, kod pocztowy, miejscowość, kraj (podaj rodzaje danych osobowych), usługi: wyciągi (papierowe/elektroniczne), pakiet SMS karta płatnicza: zamawiam kartę (tak/nie), uczestnictwo w programie [...], imię i nazwisko na karcie Limity transakcyjne: transakcje gotówkowe, transakcje bezgotówkowe, zlecane przez internet, zlecane przez Automatyczny Serwis Telefoniczny Serwisy assistance: Concierge, Serwis medyczny. Serwis Moto, Serwis Domowy Dane podstawowe: liczba osób na utrzymaniu, zajmowane mieszkanie, okres przebywania w aktualnym miejscu zamieszkania, wykształcenie, posiadanie samochodu, dane finansowe: miejsce uzyskiwania dochodów (Polska/poza Polską), podstawowe źródło dochodów, pozycja zawodowa w podstawowym miejscu pracy, liczba zatrudnionych w miejscu pracy, wykonywany zawód, miesięczny dochód netto w gospodarstwie domowym, całkowity dochód, miesięczna suma rat od zaciągniętych i poręczonych kredytów, suma limitów, odnawialnych (karta kredytowa, limit debetowy). Inne niż kredytowe stałe zobowiązania finansowe (np. alimenty), suma całkowitego zadłużenia z tytułu kredytów i pożyczek w bankach i innych podmiotach. Dane pożyczki: okres pożyczki, wnioskowana kwota, przelew na konto numer, posiadacz konta. Dane założycielskie: pełna nazwa firmy, NIP, REGON, forma prawna firmy, numer KRS, forma prawna firmy. Dane adresowe: kraj, ulica, nr domu, kod pocztowy, miejscowość, Poczta. Dane kontaktowe: telefon stacjonarny, telefon komórkowy, adres e-mail; - celem przetwarzania danych powierzonych Przedsiębiorcy są: a) konsultacje, nadzór i aktualizacje procedur dotyczących przetwarzania danych osobowych, zgodnych z RODO i wewnętrznych polityk ochrony danych osobowych, wskazanych w § 1 pkt 6 Umowy; b) stałe doradztwo prawne związane z przetwarzaniem danych osobowych; w tym nadzorowanie procesów dotyczących realizowania uprawnień osób, których dane są przetwarzane oraz nadzorowanie realizowania obowiązku informacyjnego przez Zleceniodawców; c) konsultacje w zakresie przeprowadzania oceny skutków przetwarzania danych osobowych dla ich ochrony; d) prowadzenie audytów dostawców zewnętrznych; e) przygotowywania szkoleń dla pracowników (bez względu na podstawę zatrudnienia współpracowników, Zleceniodawców, nie rzadziej niż 1 raz na 6 miesięcy f) analizowanie dokumentacji w zakresie prawidłowego przetwarzania danych osobowych; g) opiniowanie umów i innych dokumentów w zakresie zgodności z przepisami dotyczącymi ochrony danych osobowych; w tym umów powierzenia przetwarzania danych osobowych w rozumieniu art. 28 RODO; h) wsparcie w przypadku wystąpienia sytuacji naruszenia zasad ochrony danych osobowych / incydentów bezpieczeństwa danych; i) bieżąca pomoc prawna w zakresie rozwiązywania problemów związanych z procesem przetwarzania danych osobowych i stosowania środków zabezpieczeń danych; j) doradztwo prawne w pozostałym, zleconym zakresie; e) skargi z 23 marca 2020 r. i wyjaśnień Przedsiębiorcy z 8 czerwca 2020 r., że skarżąca 10 lutego 2020 r., powołując się na art. 15 RODO, zwróciła się do Przedsiębiorcy o przekazanie jej pełnej i wyczerpującej informacji o przetwarzaniu przez Przedsiębiorcę jej danych osobowych, żądając wskazania źródła pozyskania Jej danych osobowych, celu ich przetwarzania oraz podania zakresu przekazanych kancelarii danych. Przedsiębiorca pismem z 11 marca 2020 r. przekazał skarżącej informacje o zakresie przetwarzanych danych osobowych (konkretne dane osobowe), źródła i celu ich pozyskania, podstawy prawnej ich przetwarzania; f) skargi z 23 marca 2020 r. i wyjaśnień Banku z 26 czerwca 2020 r., że skarżąca 10 lutego 2020 r. wystąpiła do Banku, powołując się na art. 15 RODO, o udzielenie informacji o danych przekazanych przez Bank na rzecz Przedsiębiorcy i kilku innych podmiotów, w tym wskazanie: jaki jest zakres danych przekazanych tym podmiotom (z podaniem kategorii danych i konkretnego ich brzmienia) oraz jaki jest cel przetwarzania danych przez te podmioty. Bank w odpowiedzi z 10 marca 2020 r., poinformował o kategoriach danych osobowych skarżącej przekazanych na rzecz konkretnych podmiotów, z konkretnym ich brzmieniem i cel ich przekazania. Wskazał, że Przedsiębiorcy przekazano pełny zakres danych osobowych przetwarzanych przez Bank, wskazany w piśmie skierowanym do skarżącej 17 stycznia 2020 r.; g) pism skarżącej z 12 października 2020 r. i 15 stycznia 2021 r., że Prokuratura Rejonowa [...] prowadzi dochodzenie (PR 2 Ds. 821.2020), a Sąd Rejonowy dla [...] po rozpoznaniu sprawy 9 grudnia 2020 r. zasugerował prokuratorowi przesłuchanie inspektora danych osobowych Banku, Prezesa Zarządu i członka Zarządu Banku oraz nakazał zbadanie, czy udzielenie odpowiedzi na wniosek skarżącej wymagało wsparcia prawnego, skoro Bank udzielił odpowiedzi bezpośrednio, a nie przez Przedsiębiorcę. W związku z tym skarżąca wniosła o sprawdzenie, czy udzielenie odpowiedzi na jej wniosek wymagało wsparcia prawnego kancelarii radcy prawnego, a ponadto, jakie konkretnie prawnie uzasadnione interesy administratora danych wymagały ich przekazania przez Bank Przedsiębiorcy, w jakim celu to się odbyło, w jakim trybie miało miejsce przekazanie danych. PUODO wskazał, że przepisem uprawniającym administratorów danych do przetwarzania zwykłych danych osób fizycznych, w tym ich udostępniania, jest art. 6 ust. 1 RODO, zgodnie z którym, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy spełniona jest jedna z przesłanek wskazanych w tym przepisie. Katalog przesłanek wymienionych w art. 6 ust. 1 RODO, jest zamknięty. Każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny, wobec tego spełnienie co najmniej jednej z nich stanowi o zgodnym z prawem przetwarzaniu danych osobowych. Zgoda osoby, której dane dotyczą nie jest jedyną podstawą przetwarzania danych osobowych. Przetwarzanie danych osobowych jest dopuszczalne niezależnie od zgody osoby, której dane dotyczą (art. 6 ust. 1 lit. a RODO) m.in., gdy jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze (art. 6 ust. 1 lit. c RODO), a także gdy jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora (art. 6 ust. 1 lit. f RODO). Zgodnie z motywem 47 RODO podstawą prawną przetwarzania mogą być prawnie uzasadnione interesy administratora, w tym administratora, któremu mogą zostać ujawnione dane osobowe, o ile w świetle rozsądnych oczekiwań osób, których dane dotyczą, opartych na ich powiązaniach z administratorem, nadrzędne nie są interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, np. gdy osoba, której dane dotyczą, jest klientem administratora lub działa na jego rzecz. PUODO, odnosząc się do zarzutu skarżącej o bezpodstawnym przetwarzaniu danych osobowych, wyjaśnił, że w aktach sprawy znajduje się Umowa powierzenia przetwarzania danych, a jako podstawę prawną jej zawarcia Bank wskazał art. 104 ust. 2 pkt 3 p.b. Zgodnie z tym przepisem, banki mogą udzielać informacji objętych tajemnicą bankową adwokatom lub radcom prawnym w związku ze świadczeniem przez nich pomocy prawnej na rzecz banku. Bank wskazał w tym zakresie na swój prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO) polegający na wsparciu prawnym Banku w zakresie ochrony danych osobowych. PUODO wskazał, że to administrator ustala cele i sposoby przetwarzania danych osobowych, a procesor przetwarza dane w imieniu i na rzecz administratora, w ramach obranych przez niego celów, sposobami, o których ten pierwszy zdecydował (choćby na najbardziej ogólnym poziomie, co przejawiać się może w decyzji o skorzystaniu z outsourcingu), w ramach podstaw prawnych przetwarzania wynikających odpowiednio z art. 6 i art. 9 RODO. Podmiot przetwarzający nie ustala ich we własnym zakresie. Istotne jest więc, czyje cele są realizowane, na czyją rzecz przetwarzanie się odbywa oraz stopień samodzielności w odniesieniu do danych osobowych tego, kto je przetwarza. Przedmiotem powierzenia może być dokonywanie każdej operacji przetwarzania, o której mowa w art. 4 pkt 2 RODO, bądź zespołu takich operacji, na podstawie umowy lub innego instrumentu prawnego (art. 28 ust. 3 RODO). Jeśli przedmiotem świadczenia na rzecz zlecającego jest: zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie - przez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie, to mamy do czynienia ze stosunkiem powierzenia, w którym zewnętrzny podmiot, wykonujący te czynności dla administratora, jest podmiotem przetwarzającym. Do uznania za przetwarzającego wystarczy powierzenie mu czynności jednorazowej i jednorodnej. Nie jest konieczne, by przetwarzanie dotyczyło czynności powtarzalnych, stałych lub okresowych. Zdaniem PUODO, Umowa zawiera niezbędne elementy z art. 28 ust. 3 RODO (przedmiot umowy, obowiązki podmiotu przetwarzającego, kwestie podpowierzenia, audytu, zgłaszania naruszeń, czas trwania umowy i zasady odpowiedzialności stron), a analiza materiału dowodowego sprawy nie wykazała, aby Bank przekazał dane osobowe Skarżącej na rzecz podmiotu niespełniającego wymagań z art. 28 ust. 1 RODO i motywu 81 RODO. Dodatkowo Bank wyjaśnił, że przekazał dane Skarżącej na rzecz radcy prawnego, na mocy art. 104 ust. 2 pkt 3 p.b. PUODO wskazał też, że świadczenie usług pomocy prawnej nakłada na Przedsiębiorcę szereg obowiązków związanych z wykonywaniem zawodu radcy prawnego, wykraczających poza ww. Umowę, w celu ochrony prawnej interesów klienta. Przedsiębiorca w zakresie wykraczającym poza ww. Umowę, w ramach świadczenia na rzecz Banku pomocy prawnej, staje się odrębnym administratorem danych osobowych skarżącej i podstawę do przetwarzania danych osobowych skarżącej stanowi też art. 4 ustawy z 6 lipca 1982 r. o radcach prawnych (Dz.U. z 2020 r. poz. 75, dalej: "u.r.p.") w związku z art. 6 ust. 1 lit. c RODO. W zakresie świadczenia na rzecz Banku pomocy prawnej przez Przedsiębiorcę, będącego radcą prawnym, znajdują zastosowanie przepisy u.r.p. i uchwała Nadzwyczajnego Krajowego Zjazdu Radców Prawnych z 22 listopada 2014 r. nr 3/2014 "Kodeks Etyki Radcy Prawnego" (dalej: "Kodeks Etyki"). Przepisy u.r.p. nie wskazują wprost roli, jaką pełnią osoby wykonujące zawód radcy prawnego w procesie przetwarzania danych osobowych w związku z wykonywaniem działalności zawodowej, ale nakładają na Przedsiębiorcę szereg obowiązków związanych z wykonywaniem zawodu radcy prawnego. PUODO podkreślił, że do powierzenia przez Bank Przedsiębiorcy danych osobowych skarżącej nie była wymagana jej zgoda. Bank udostępnił Przedsiębiorcy dane osobowe skarżącej, w celu umożliwienia świadczenia pomocy prawnej na rzecz Banku, do czego Bank był uprawniony zgodnie z art. 104 ust. 2 pkt 3 p.b. Udostępnienie nastąpiło na mocy art. 6 ust. 1 lit. f RODO. Przedsiębiorca - radca prawny, w świetle art. 4 u.r.p., pełni co do zasady rolę odrębnego administratora w przypadku przetwarzania danych osobowych przekazanych przez klienta w celu świadczenia pomocy prawnej. Tym samym przetwarzał dane osobowe skarżącej na mocy art. 6 ust. 1 lit. c RODO w zw. z art. 4 u.r.p., gdyż był obowiązany do świadczenia pomocy prawnej na rzecz Banku, który jest jego klientem. Brak jest zatem nieprawidłowości w działaniu Przedsiębiorcy. Zdaniem PUODO, Bank spełnił ponadto wobec skarżącej obowiązek informacyjny, odpowiadając na jej wniosek z 10 lutego 2020 r., na podstawie art. 15 RODO. Bank w wyjaśnieniach podał numer listu nadanego do skarżącej 10 marca 2020r. i załączył korespondencję skierowaną do skarżącej w tym liście. PUODO, odnosząc się do wniosku skarżącej o sprawdzenie bezpieczeństwa przetwarzania danych osobowych skarżącej przez Przedsiębiorcę, wskazał, że zbadanie zgodności z przepisami o ochronie danych osobowych ogólnych praktyk stosowanych przez podmiot przetwarzający dane osobowe, nie może być przedmiotem skargi wniesionej w indywidualnej sprawie. W razie zaś wszczęcia kontroli przez PUODO osobie zawiadamiającej o potencjalnych naruszeniach nie przysługuje status strony postępowania. PUODO wyjaśnił, że nie skorzystał z środków naprawczych, gdyż w procesie przetwarzania danych osobowych przez Bank i Przedsiębiorcę nie doszło do nieprawidłowości. Skarżąca w skardze do Wojewódzkiego Sądu Administracyjnego w Warszawie zarzuciła naruszenie: - art. 7 k.p.a. w zw. z art. 77 § 1 k.p.a. w. zw. z art. 78 § 1 k.p.a. przez naruszenie zasady prawdy obiektywnej oraz nieuwzględnienie słusznego interesu obywatela; - art. 8 ust. 1 k.p.a. przez naruszenie zasady zaufania do władzy publicznej, łamiąc zasadę bezstronności - przez pobieżną analizę zebranego materiału dowodowego, brak wystarczającego zastosowania zasad określonych w motywie 47 RODO do interpretacji art. 6 ust 1 pkt f RODO; brak pogłębionej analizy Umowy powierzenia z 4 czerwca 2019 r., dokonanie jej błędnej interpretacji, brak wskazania, jaki prawnie chroniony interes miałby być chroniony przez powierzenie Przedsiębiorcy danych osobowych skarżącej. PUODO w odpowiedzi na skargę wniósł o jej oddalenie oraz podtrzymał dotychczasowe stanowisko w sprawie. Skarżąca w piśmie z 3 listopada 2022 r. podtrzymała skargę, dodając, że żaden przepis prawa nie nakłada na Bank obowiązku korzystania z pomocy prawnej. Skarżąca w piśmie z 11 stycznia 2023 r. podtrzymała skargę i przekazała stanowisko dotyczące decyzji PUODO z 14 listopada 2022 r. w której nakazano Bankowi spełnienie wobec skarżącej obowiązku wynikającego z art. 15 ust. 1 lit. c RODO i udzielono Bankowi upomnienia za nieterminowe spełnienie obowiązku informacyjnego. Skarżąca w piśmie z 13 lutego 2023 r. podtrzymała i rozszerzyła skargę, wskazując na możliwość naruszenia prawa w związku z przetwarzaniem Jej wizerunku. PUODO w piśmie z 3 marca 2023 r. wyjaśnił, że postępowanie zakończone decyzją zaskarżoną przez skarżącą toczyło się w przedmiocie nieprawidłowości w procesie przetwarzania jej danych osobowych przez Bank, polegających na udostępnieniu jej danych osobowych na rzecz Przedsiębiorcy oraz w przedmiocie nieprawidłowości w procesie przetwarzania danych osobowych skarżącej przez Przedsiębiorcę polegających na przetwarzaniu jej danych osobowych bez podstawy prawnej. Organ nie oceniał spełnienia przez Bank i Przedsiębiorcę obowiązków wynikających z art. 13 RODO i art. 14 RODO. Powołanym na wstępie wyrokiem Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2024 r., poz. 935 ze zm., dalej: "p.p.s.a.") oddalił skargę. W uzasadnieniu Sąd I instancji stwierdził, że PUODO w zaskarżonej decyzji przy dokonywaniu ocen, czy Bank miał podstawy prawne do przekazania Przedsiębiorcy danych osobowych skarżącej i czy Przedsiębiorca w związku z tym nie naruszył przepisów o ochronie danych osobowych, powołał się na obie przesłanki z art. 28 ust. 3 RODO, oceniając: ww. Umowę powierzenia przetwarzania danych osobowych oraz "inny instrument prawny" – świadczenie pomocy prawnej przez radcę prawnego (Przedsiębiorcę), z której Bank miał prawo skorzystać, a Przedsiębiorca miał obowiązek ją wyświadczyć. W ocenie Sądu I instancji, PUODO prawidłowo przyjął, że po stronie Banku istniał prawnie uzasadniony interes (w rozumieniu art. 6 ust. 1 lit. f RODO) polegający na możliwości uzyskania przez Bank wsparcia prawnego od Przedsiębiorcy w zakresie ochrony danych osobowych oraz zawarcia ww. Umowy powierzenia przetwarzania danych osobowych skarżącej z 4 czerwca 2019r. zawarta przez Bank z Przedsiębiorcą. Zdaniem Sądu I instancji, PUODO trafnie też ocenił przedłożoną do akt sprawy w prawidłowej formie – w wyniku inicjatywy skarżącej - ww. Umowę, przyjmując, że zawiera ona elementy, o których mowa w art. 28 ust. 3 RODO. Stanowisko organu ma potwierdzenie w materiale dowodowym sprawy. Dodatkowo PUODO trafnie wskazał w uzasadnieniu zaskarżonej decyzji, że ww. Umowa powierzenia przetwarzania danych nie była jedyną podstawą prawną do przekazania przez Bank danych osobowych skarżącej na rzecz Przedsiębiorcy, który przetwarzał dane osobowe Skarżącej w zakresie przekazanym przez Bank, ale tylko w celu świadczenia pomocy prawnej, a nie w innym celu, na który powołuje się skarżąca w odniesieniu do adresu IP komputera - zasilania systemów przeciwfraudowych. W tym celu dane osobowe skarżącej przetwarzał Bank w związku z korzystaniem przez skarżącą z usług bankowości elektronicznej. PUODO powołał się ponadto na świadczenie przez Przedsiębiorcę (radca prawny) wobec Banku pomocy prawnej, o czym Przedsiębiorca informował skarżącą w kierowanych do niej pismach (w aktach sprawy; k. 5, k. 112 akt administracyjnych). Tym samym prawidłowe było uznanie przez PUODO w zaskarżonej decyzji, że w ramach dokonanego na rzecz Przedsiębiorcy udostępnienia danych, zastosowanie znalazły, oprócz ww. przepisów RODO i p.b., również przepisy u.p.r. oraz przepisy Kodeksu Etyki. Unormowania te nakładają na Przedsiębiorcę szereg obowiązków związanych z wykonywaniem zawodu radcy prawnego. Prowadzone przez PUODO postępowanie nie wykazało, że Przedsiębiorca, świadcząc na rzecz Banku pomoc prawną w zakresie ochrony danych osobowych powierzonych, naruszył przepisy dotyczące ochrony danych osobowych. Sąd I instancji stwierdził również, że PUODO, mając na względzie wątpliwości skarżącej, odnoszące się do bezpieczeństwa przechowywanych przez Przedsiębiorcę danych osobowych skarżącej, wskazał prawidłowo, że radca prawny, zgodnie z art. 3 ust. 3 u.r.p. jest obowiązany zachować w tajemnicy wszystko, o czym dowiedział się w związku z udzieleniem pomocy prawnej, zaś obowiązek ten nie może być ograniczony w czasie (art. 3 ust. 4 u.r.p.). Ponadto radca prawny nie może być zwolniony z obowiązku zachowania tajemnicy zawodowej, co do faktów, o których dowiedział się udzielając pomocy prawnej lub prowadząc sprawę (art. 3 ust. 5 u.r.p.). Zdaniem Sądu I instancji, trafne było też powołanie się przez PUODO na art. 23 Kodeksu Etyki, z którego wynika, że radca prawny obowiązany jest zabezpieczyć przed niepowołanym ujawnieniem wszelkie informacje objęte tajemnicą zawodową, niezależnie od ich formy i sposobu utrwalenia. Prawidłowo też odwołano się do art. 15 Kodeksu Etyki, z którego wynika, że tajemnica zawodowa radcy prawnego obejmuje również wszelkie tworzone przez radcę prawnego dokumenty oraz korespondencję radcy prawnego z klientem i osobami uczestniczącymi w prowadzeniu sprawy - powstałe dla celów związanych ze świadczeniem pomocy prawnej (ust. 2), a także, że informacje ujawnione radcy prawnemu przed podjęciem przez niego czynności zawodowych, jeżeli z okoliczności sprawy wynika, że ujawnienie nastąpiło dla potrzeb świadczenia pomocy prawnej i uzasadnione było oczekiwaniem, że radca prawny będzie ją świadczył (ust. 3). Sąd I instancji stwierdził, że nie znalazł też podstaw do zakwestionowania stanowiska PUODO w zakresie powołania się w zaskarżonej decyzji na art. 6 ust. 1 lit. c RODO w związku z art. 4 u.r.p. oraz wskazania, że Przedsiębiorca na tej podstawie był uprawniony do przetwarzania danych osobowych skarżącej. Radca prawny pełni, co do zasady, rolę odrębnego administratora w przypadku przetwarzania danych osobowych przekazanych przez klienta w celu świadczenia pomocy prawnej w zakresie danych osobowych klienta Banku. Przepis art. 28 ust. 3 RODO odwołuje się zarówno do umowy lub do innego instrumentu prawnego, które określają przedmiot i czas trwania przetwarzania, charakter i cel przetwarzania, rodzaj danych osobowych oraz kategorie osób, których dane dotyczą, obowiązki i prawa administratora. Tym samym nawet, gdyby doszło do przetwarzania danych osobowych poza umową powierzenia przetwarzania, ale w ramach świadczonej pomocy prawnej, a otrzymane z Banku dane byłyby niezbędne Przedsiębiorcy, który jest jednocześnie radcą prawnym, do świadczenia pomocy prawnej, o której mowa w art. 4 u.r.p. i która jest istotą wykonywania przez niego zawodu, to należało uznać, że wydanie zaskarżonej decyzji było prawidłowe w zakresie uznania, że nie doszło do nieprawidłowości w procesie przetwarzania danych osobowych Skarżącej przez Przedsiębiorcę, który świadczył na rzecz Banku pomoc prawną, a ponadto zawarł z Bankiem ww. Umowę powierzenia. Sąd I instancji podkreślił, że istotą zawodu radcy prawnego, zgodnie z art. 6 ust. 1 u.p.r., jest świadczenie pomocy prawnej. W związku z tym ustawodawca zakłada, że w ramach ww. pomocy prawnej będzie dochodzić do przetwarzania danych osobowych, zarówno klientów radcy prawnego, jak i osób trzecich przekazanych przez klienta oraz zebranych z innych źródeł na potrzeby wykonania usługi. Prawidłowe świadczenie pomocy prawnej wymaga, aby radca prawny samodzielnie podejmował decyzje w ramach świadczenia pomocy prawnej, w tym w zakresie celów i sposobów przetwarzania danych osobowych przekazanych przez klienta i zebranych w toku świadczenia usługi prawnej, i nie był w tym względzie w pełni zależny od polecenia klienta. W działalności radcy prawnego dochodzi do sytuacji, w których konieczne jest przetwarzanie danych osobowych w zakresie niezbędnym do osiągnięcia celu. Tym samym w zależności od kontekstu przetwarzanie danych osobowych w ramach świadczonej pomocy prawnej zakres danych może być znacznie szerszy od tego, który był zawarty w umowie powierzenia pomiędzy Bankiem a Przedsiębiorcą. Zdaniem Sądu I instancji, nie sposób zakwestionować stanowiska PUODO, że Bank mógł przekazać na rzecz Przedsiębiorcy w ramach stosunku świadczonej przez Przedsiębiorcę pomocy prawnej dane osobowe skarżącej, które uznał za stosowne. Przepisy prawa nie przewidują bowiem w tym zakresie ograniczeń. Sąd tym samym uznał, że prawidłowa była decyzja PUODO, który nie znalazł podstaw do uwzględnienia wniosku skarżącej, w związku z tym, że nie dopatrzył się nieprawidłowości w procesie przetwarzania przez Bank danych osobowych Skarżącej, przez udostępnienie tychże danych Przedsiębiorcy - radcy prawnemu, świadczącemu pomoc prawną, na podstawie ww. przepisów u.r.p. Skoro proces przetwarzania danych był legalny, to nie sposób zakwestionować prawidłowości stanowiska PUODO wyrażonego w zaskarżonej decyzji. Ma ono oparcie w art. 6 ust. 1 lit. f RODO. Na tej podstawie Bank miał prawnie uzasadniony interes w przekazaniu Przedsiębiorcy danych osobowych Skarżącej, opierając się przy tym na umowie powierzenia przetwarzania danych oraz potrzebie skorzystania z pomocy prawnej świadczonej przez uprawniony do tego podmiot w związku art. 104 ust. 2 pkt 3 p.b. Sąd za nieuzasadniony uznał zarzut skarżącej, podnoszony w skardze, że Bank nie dopełnił obowiązku informacyjnego w zakresie celu przekazania przedsiębiorcy numeru IP, zaś Przedsiębiorca w zakresie celu przetwarzania numeru IP. Zdaniem Sądu I instancji, PUODO trafnie w uzasadnieniu zaskarżonej decyzji wyjaśnił, że Bank wypełnił w tym zakresie należycie obowiązek informacyjny, o którym mowa w art. 15 RODO, wobec skarżącej, która przyznała, że otrzymała informację, że celem przetwarzania jej numeru IP przez Przedsiębiorcę jest świadczenie pomocy prawnej na rzecz Banku. Przedmiotem postępowania przed wydaniem zaskarżonej decyzji nie były też nieprawidłowości polegające na niespełnieniu wobec skarżącej obowiązku informacyjnego przez Przedsiębiorcę. Skarżąca w skardze z 23 marca 2020 r. nie wskazywała, że Przedsiębiorca nie dopełnił wobec Niej obowiązku informacyjnego w tym zakresie, a jedynie nie zgadzała się z otrzymaną od Przedsiębiorcy w tym zakresie odpowiedzią. Skarżąca wniosła skargę kasacyjną od powyższego wyroku zaskarżając go w całości i zarzucając naruszenie: I. prawa materialnego poprzez ich błędną wykładnię, tj.: 1. art. 28 ust. 3 RODO poprzez uznanie, że: a. administrator danych osobowych może przekazać dane osobowe do ich przetwarzania, których rodzaj nie został wskazany w umowie o powierzeniu przetwarzania danych osobowych, podczas gdy art. 28 ust. 3 RODO wskazuje, że strony umowy o powierzenie przetwarzania danych osobowych zobowiązane są do określenia rodzaju danych osobowych, które zostaną przekazane, b. podmiot przetwarzający dane w imieniu administratora uprawniony jest do przetwarzania danych osobowych, których rodzaj nie został wskazany w umowie o powierzeniu przetwarzania danych osobowych, podczas gdy art. 28 ust. 3 RODO wskazuje, że strony umowy o powierzenie przetwarzania danych osobowych zobowiązane są do określenia rodzaju danych osobowych które zostaną przekazane, - co miało istotny wpływ na wynik sprawy bowiem skutkowało uznaniem, że powierzenie przetwarzania danych osobowych nastąpiło zgodnie z prawem oraz uznaniem, że Przedsiębiorca przetwarzał dane osobowe w przedmiotowej sprawie zgodnie z prawem; 2. art. 28 ust. 3 RODO w zw. z art. 104 ust. 2 pkt 3 p.b. poprzez uznanie, że przepis art. 104 ust. 2 pkt 3 p.b. może stanowić podstawę do powierzenia przetwarzania danych osobowych, podczas gdy przepis ten dotyczy sytuacji, gdy Bank nie jest zobowiązany do zachowania tajemnicy bankowej oraz nie reguluje prawa do powierzenia danych osobowych do ich przetwarzania, co miało istotny wpływ na wynik sprawy bowiem skutkowało uznaniem, że powierzenie przetwarzania danych osobowych nastąpiło zgodnie z prawem oraz uznaniem, że Przedsiębiorca przetwarzał dane osobowe w przedmiotowej sprawie zgodnie z prawem; 3. art. 6 ust. 1 lit. c RODO w zw. z art. 4 oraz art. 6 u.r.p. poprzez ich nieprawidłową wykładnię i uznanie, że: a. sprawdzenie projektu pisma pod względem lingwistycznym i gramatycznym stanowi świadczenie pomocy prawnej, podczas gdy jest to usługa czysto edytorska, wobec czego w przedmiotowej sprawie przetwarzanie danych osobowych nie było niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze, b. dla udzielenia ewentualnej pomocy prawnej konieczne było przekazanie przez Bank Przedsiębiorcy danych osobowych skarżącej, podczas gdy dla ewentualnego świadczenia pomocy prawnej nie było konieczne przetwarzanie danych osobowych, wobec czego w przedmiotowej sprawie przetwarzanie nie było niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze - co miało istotny wpływ na wynik sprawy bowiem skutkowało uznaniem, że powierzenie przetwarzania danych osobowych nastąpiło zgodnie z prawem oraz uznaniem, że Przedsiębiorca przetwarzał dane osobowe w przedmiotowej sprawie zgodnie z prawem; 4. art. 6 ust. 1 lit. f RODO poprzez uznanie, że: a. przetwarzanie danych osobowych przez Bank oraz Przedsiębiorcę w celu udzielenia ewentualnej pomocy prawnej na rzecz Banku było niezbędne dla celów wynikających z prawnie uzasadnionych interesów Banku, a tym samym uznanie, że dla udzielenia ewentualnej pomocy prawnej konieczne było przetwarzanie danych osobowych skarżącej podczas gdy dla udzielenia pomocy prawnej nie było konieczne przetwarzanie danych osobowych, a pomoc prawna mogła zostać udzielona w oparciu o zanonimizowane dane, oraz b. zaistniał prawnie uzasadniony interes Banku w przetwarzaniu danych osobowych i pominięcie w ocenie zaistnienia uzasadnionego interesu Banku testu czy osoba, której dane osobowe są przetwarzane mogła się racjonalnie spodziewać, że jej dane osobowe w tym celu będą przetwarzane podczas gdy nie wystąpił uzasadniony interes Banku bowiem skarżąca nie mogła się spodziewać się, że może nastąpić przetwarzanie danych w tym celu, - co miało istotny wpływ na wynik sprawy bowiem skutkowało uznaniem, że powierzenie przetwarzania danych osobowych nastąpiło zgodnie z prawem oraz uznaniem, że Przedsiębiorca przetwarzała dane osobowe w przedmiotowej sprawie zgodnie z prawem; 5. art. 32 ust. 1 RODO w związku z art. 3 ust. 3, 4, 5 u.r.p. oraz art. 16 i 23 Kodeks Etyki poprzez uznanie, że samo wykonywanie zawodu radcy prawnego zapewnia bezpieczeństwo przetwarzania danych osobowych z uwagi na obowiązek zachowania przez radcę prawnego tajemnicy zawodowej podczas samo istnienie normy zobowiązującej do zabezpieczenia informacji nie przesądza o jego faktycznym zabezpieczeniu co miało istotny wpływ na wynik sprawy bowiem skutkowało uznaniem, że powierzenie przetwarzania danych osobowych nastąpiło zgodnie z prawem oraz uznaniem, że Przedsiębiorca przetwarzała dane osobowe w przedmiotowej sprawie zgodnie z prawem; II. przepisów postępowania, tj.: 1. art. 145 § 1 pkt 1 lit. c oraz art. 151 p.p.s.a. w zw. z art. 7 k.p.a., art. 77 § 1 k.p.a. oraz art. 80 k.p.a. poprzez oddalenie skargi i utrzymanie w mocy decyzji PUODO z 5 lipca 2022 r. podczas gdy decyzja ta została wydana naruszeniem przepisów postępowania, bowiem organ nie ustalił faktów oraz zdarzeń, które mają znaczenie dla załatwienia sprawy oraz dokonał dowolnej oceny dowodów wskutek czego organ doszedł do wniosków nie wynikających w sposób logiczny ze zgromadzonego materiału dowodowego wobec czego źle ustalił stan faktyczny w ten sposób, że: a. powierzenie przetwarzania danych osobowych przez Bank następowało na podstawie umowy zawartej z Przedsiębiorcą 4 czerwca 2019 r., podczas Bank przekazał Przedsiębiorcy dane osobowe rodzaju niewskazanego w umowie, tj. adres IP komputera skarżącej, a zatem przekazanie danych osobowych nie nastąpiło na podstawie umowy; b. przetwarzanie danych osobowych przez Przedsiębiorcę dokonywane było w celu świadczenia pomocy prawnej, podczas gdy zgodnie z pismem Przedsiębiorcy z 11 marca 2020 r. adres IP komputera skarżącej przetwarzany był w celu zasilenia systemów antyfraudowych, - co miało istotny wpływ na wynik sprawy poprzez uznanie, że Bank oraz Przedsiębiorca przetwarzają dane osobowe skarżącej zgodnie z obowiązującymi i przepisami, a w konsekwencji poprzez oddalenie przez sąd skargi skarżącej. Podnosząc powyższe zarzuty skarżąca wniosła o uchylenie w całości wyroku WSA w Warszawie z 10 marca 2023 r. sygn. akt II SA/Wa 1657/22 i przekazanie sprawy do ponownego rozpoznania sądowi oraz o zasądzenie kosztów postępowania w tym kosztów sądowych oraz kosztów zastępstwa procesowego według norm prawem przepisanych, w tym również kwoty 17 zł tytułem zwrotu uiszczonej opłaty skarbowej od pełnomocnictwa. Skarżąca rozpoznanie skargi kasacyjnej na rozprawie. W odpowiedzi na skargę kasacyjną organ wniósł o jej oddalenie. Naczelny Sąd Administracyjny zważył, co następuje. 1. Zgodnie z art. 183 § 1 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2024 r. poz. 935 ze zm.; dalej: "p.p.s.a.") Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, bierze jednak z urzędu pod rozwagę przesłanki uzasadniające nieważność postępowania wymienione w art. 183 § 2 p.p.s.a. oraz przesłanki uzasadniające odrzucenie skargi bądź umorzenie postępowania przed wojewódzkim sądem administracyjnym, stosownie do art. 189 p.p.s.a. Żadna z powyższych przesłanek w tej sprawie nie zaistniała. Rozpoznając sprawę Naczelny Sąd Administracyjny związany jest granicami skargi. Związanie granicami skargi oznacza związanie podstawami zaskarżenia wskazanymi w skardze kasacyjnej oraz jej wnioskami. Naczelny Sąd Administracyjny bada przy tym wszystkie podniesione przez stronę skarżącą kasacyjnie zarzuty naruszenia prawa (tak NSA w uchwale pełnego składu z 26 października 2009 r. sygn. I OPS 10/09, opubl. w ONSAiWSA 2010 z. 1 poz. 1). Zgodnie z art. 174 p.p.s.a. skargę kasacyjną można oprzeć na następujących podstawach: 1) naruszeniu prawa materialnego przez błędną jego wykładnię lub niewłaściwe zastosowanie, a także 2) naruszeniu przepisów postępowania, jeżeli uchybienie to mogło mieć istotny wpływ na wynik sprawy. Stosownie do art. 176 p.p.s.a. strona skarżąca kasacyjnie ma obowiązek przytoczyć podstawy skargi kasacyjnej wnoszonej od wyroku Sądu I instancji i szczegółowo je uzasadnić wskazując, które przepisy ustawy zostały naruszone, na czym to naruszenie polegało i jaki miało wpływ na wynik sprawy. Rola NSA w postępowaniu kasacyjnym ogranicza się do skontrolowania i zweryfikowania zarzutów wnoszącego skargę kasacyjną. 2. Skarga kasacyjna nie zawiera usprawiedliwionych podstaw. Istota sprawy sprowadza się do oceny zgodności z prawem wyroku Sądu I instancji, który oddalił skargę skarżącej na decyzję PUODO z 5 lipca 2022 r. w przedmiocie przetwarzania danych osobowych. W ocenie Sądu I instancji, PUODO prawidłowo przyjął w zaskarżonej decyzji, że w niniejszej sprawie istniały podstawy prawne do przetwarzania danych osobowych skarżącej przez Bank w związku z ich przekazaniem Przedsiębiorcy prowadzącemu Kancelarię Radcy Prawnego, który zawarł z Bankiem Umowę o świadczenie usług dotyczącą wsparcia prawnego Banku w zakresie ochrony danych osobowych. PUODO przyjął, że: - przepisem uprawniającym administratorów danych do przetwarzania zwykłych danych osób fizycznych, w tym ich udostępniania, jest art. 6 ust. 1 RODO; - przetwarzanie danych osobowych jest dopuszczalne niezależnie od zgody osoby, której dane dotyczą (art. 6 ust. 1 lit. a RODO) m.in., gdy jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze (art. 6 ust. 1 lit. c RODO), a także gdy jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora (art. 6 ust. 1 lit. f RODO); - w aktach sprawy znajduje się "Umowa powierzenia przetwarzania danych" a jako podstawę prawną jej zawarcia Bank wskazał art. 104 ust. 2 pkt 3 p.b.; - Umowa ta zawiera niezbędne elementy z art. 28 ust. 3 RODO; - po stronie Banku istniał "prawnie uzasadniony interes" (art. 6 ust. 1 lit. f RODO) polegający na możliwości uzyskania przez Bank wsparcia prawnego od Przedsiębiorcy w zakresie ochrony danych osobowych oraz zawarcia Umowy powierzenia przetwarzania danych osobowych skarżącej zawartej przez Bank z Przedsiębiorcą; - w niniejszej sprawie zastosowanie znalazły oprócz przepisów RODO i p.b. również przepisy u.p.r. (np. art. 6 ust. 1 u.p.r.) oraz przepisy Kodeksu Etyki Radcy Prawnego; - Bank wypełnił również w tym zakresie należycie obowiązek informacyjny wobec skarżącej o którym mowa w art. 15 RODO. Z kolei istota zarzutów zawartych w skardze kasacyjnej sprowadza się do tego, że dla świadczenia pomocy prawnej przez Przedsiębiorcę na rzecz Banku nie było konieczne przetwarzanie wszelkich danych osobowych skarżącej (np. adresu IP komputera). Sama Umowa powierzenia przetwarzania danych osobowych Przedsiębiorcy z Bankiem nie wymieniała tego rodzaju danych osobowych a skoro tak, to nie można uznać, że powierzenie przetwarzania danych następowało na podstawie tej Umowy. 3. W ocenie NSA, sposób sformułowania zarzutów skargi kasacyjnej pozwala na odniesienie się do nich w sposób komplementarny. Żaden z podnoszonych zarzutów nie zasługuje na uwzględnienie, z kilku zasadniczych powodów. Po pierwsze - przypomnieć należy, że zgodnie z art. 145 § 1 pkt 1 lit. c p.p.s.a, decyzja podlega uchyleniu, gdy Sąd stwierdzi naruszenie prawa, jeżeli mogło mieć istotny wpływ na wynik sprawy. Tym samym naruszenie wskazanego przepisu będzie miało miejsce wówczas, gdy kontrolując legalność zaskarżonej decyzji Sąd nie dostrzeże, że rozstrzygnięcie to narusza przepisy postępowania, bądź odnajdując te błędy prawne niewłaściwie oceni ich wpływ na wynik sprawy administracyjnej, przy czym w obu wypadkach ta wadliwość w rozumowaniu Sądu musi mieć istotny wpływ na wynik sprawy sądowoadministracyjnej. Oznacza to, że gdyby organ nie naruszył prawa, to najprawdopodobniej zapadłaby decyzja o innej treści. Tylko bowiem takie naruszenia przepisów mogłyby uzasadniać zastosowanie przez Sąd I instancji środka przewidzianego w art. 145 § 1 pkt 1 lit. c p.p.s.a. Przedstawiony w uzasadnieniu zaskarżonego wyroku stan faktyczny wskazuje na to, że w postępowaniu administracyjnym zgromadzono materiał dowodowy w zakresie wystarczającym dla oceny zaistnienia przesłanek określonych w art. 6 ust. 1 lit. f RODO w zakresie przetwarzania danych osobowych skarżącej kasacyjnie. Wyrażona zaś w art. 7 k.p.a. zasada prawdy obiektywnej odnosi się w równym stopniu do zakresu i wnikliwości postępowania wyjaśniającego i dowodowego, jak i do stosowania norm prawa materialnego, to jest do całokształtu przepisów prawnych służących załatwieniu sprawy. Organy administracji publicznej mają obowiązek działać wnikliwie i szybko, posługując się możliwie najprostszymi środkami prowadzącymi do załatwienia sprawy, a także obowiązek podejmowania wszelkich kroków niezbędnych do jej wyjaśnienia i załatwienia, a następnie na podstawie całokształtu materiału dowodowego ocenić, czy dana okoliczność została udowodniona. Z kolei art. 77 k.p.a. i art. 80 k.p.a. wskazują na zasady postępowania dowodowego przed organem administracji publicznej. W ocenie NSA w niniejszej sprawie nie można WSA w Warszawie postawić skutecznie zarzutu naruszenia powołanych przepisów, gdyż nie dopuścił się naruszeń, które miałyby wpływ na podjęte rozstrzygniecie. Sąd I instancji ocenił treść zaskarżenie decyzji, a stan faktyczny sprawa co do zarówno podmiotów w niej występujących, ich charakteru jak i zakresu danych osobowych przetwarzanych przez podmiotu świadczącego pomoc prawną na rzecz Banku. Natomiast, to, że ocena stanu faktycznego nie odpowiada żądaniom skarżącej kasacyjnie – nie oznacza, że sprawie doszło do naruszenia przepisów postępowania. Tym samym zarzut (zawarty w pkt 6 skargi kasacyjnej) o naruszeniu przez Sąd w zaskarżonym wyroku art. 145 § 1 pkt 1 lit. c p.p.s.a. i art. 151 p.p.s.a. w zw. z art. 7 k.p.a., art. 77 § 1 k.p.a. oraz art. 80 k.p.a. należy uznać za nieusprawiedliwiony. Po drugie - odnosząc się do zarzutów naruszenia przepisów prawa materialnego poprzez jego błędną wykładnię, tj. naruszenia art. 28 ust. 3 RODO oraz art. 28 ust. 3 RODO w zw. z art. 104 ust. 2 pkt 3 p.b. (tj. zarzut zawarty w punkcie 1 i 2 skargi kasacyjnej) należy wskazać, że są one całkowicie bezzasadne. Treść wskazanych zarzutów prowadzi do uznania, że skarżąca nie przyjmuje do wiadomości, iż do ujawnienia jej danych osobowych przez Bank na rzecz Przedsiębiorcy (radcy prawnej) doszło na podstawie dwóch niezależnych stosunków prawnych: a) Umowy zawartej na podstawie art. 28 ust. 3 RODO; b) w oparciu o art. 104 ust. 2 pkt 3 p.b. (świadczenie przez Przedsiębiorcę – radcę prawnego pomocy prawnej na rzecz Banku). Okoliczności te zostały zauważone przez Sąd I instancji, który wskazał, że udostępnienie przez Bank danych osobowych skarżącej poza zakresem określonym w zawartej przez Bank a Przedsiębiorcą Umowie, nastąpiło w celu świadczenia pomocy prawnej na podstawie odrębnej Umowy o świadczenie pomocy prawnej i z uwagi na powyższe dokonane zostało zgodnie z obowiązującymi przepisami. Zgodnie z art. 28 ust. 3 RODO, administrator ma prawo powierzyć przetwarzanie danych osobowych podmiotowi przetwarzającemu na podstawie umowy lub innego instrumentu prawnego, które określają przedmiot i czas trwania przetwarzania, charakter i cel przetwarzania, rodzaj danych osobowych oraz kategorie osób, których dane dotyczą, obowiązki i prawa administratora. Przepis ten wskazuje niezbędne elementy, które powinna zawierać prawidłowo sporządzona umowa powierzenia. Prawidłowo przyjął Sąd I instancji, że Umowa powierzenia z 4 czerwca 2019 r. zawarta pomiędzy Bankiem i Przedsiębiorcą zawiera te szczegółowe elementy. Po trzecie - niezależnie od pełnienia funkcji podmiotu przetwarzającego Przedsiębiorca świadczył wobec Banku pomoc prawną jako radca prawny. W ramach dokonanego na jego rzecz udostępnienia danych znajdują zatem zastosowanie oprócz przepisów RODO również przepisy u.p.r. oraz Kodeks Etyki Radcy Prawnego. Regulacje te nakładają na Przedsiębiorcę szereg obowiązków związanych z wykonywaniem zawodu radcy prawnego. Uwzględniając art. 4 u.r.p. stwierdzić należy, że radca prawny pełni co do zasady rolę odrębnego administratora w przypadku przetwarzania danych osobowych przekazanych przez klienta w celu świadczenia pomocy prawnej. Zatem w realiach niniejszej sprawy Przedsiębiorca, w zakresie wykraczającym poza zawartą z Bankiem Umowę powierzenia przetwarzania, tj. w zakresie świadczenia na rzecz Banku pomocy prawnej jest odrębnym administratorem danych osobowych skarżącej. Przedsiębiorca, będący radcą prawnym przetwarza dane osobowe skarżącej działając jako odrębny administrator w zakresie, w jakim otrzymane od Banku dane niezbędne mu były do świadczenia pomocy prawnej. Wprawdzie Przedsiębiorca działa w ramach Umowy z Bankiem, jednakże zgodnie z art. 4 u.r.p. jako radca prawny ma on dodatkowo obowiązek świadczenia usług, gdyż jest to istotą wykonywania przez niego zawodu. Istotą zawodu radcy prawnego (zgodnie z art. 6 ust. 1 u.p.r.) jest bowiem właśnie świadczenie pomocy prawnej. W związku z tym pomoc taka zakłada przetwarzanie danych osobowych zarówno jego klientów, jak i osób trzecich przekazanych przez klienta oraz zebranych z innych źródeł na potrzeby wykonania danej usługi. Prawidłowe świadczenie pomocy prawnej wymaga, aby radca prawny samodzielnie podejmował decyzje w ramach świadczenia pomocy prawnej, w tym w zakresie celów i sposobów przetwarzania danych osobowych przekazanych przez klienta i zebranych w toku świadczenia usługi prawnej i nie był w tym względzie w pełni zależny od polecenia klienta (który przecież nie musie posiadać odpowiedniej wiedzy prawniczej). W działalności radcy prawnego dochodzi do sytuacji, w których konieczne jest przetwarzanie danych osobowych w zakresie niezbędnym do osiągnięcia zamierzonego celu. Tym samym w zależności od kontekstu przetwarzanie danych osobowych w ramach świadczonej pomocy prawnej zakres danych może być znacznie szerszy od tego, który był zawarty w Umowie powierzenia pomiędzy Bankiem a Przedsiębiorcą. Bank mógł przekazać na rzecz Przedsiębiorcy w ramach stosunku świadczonej przez niego pomocy prawnej przetwarzane dane osobowe, które uznał za stosowne, bowiem przepisy prawa nie przewidują w tym zakresie żadnych ograniczeń. Zdaniem NSA, zasadnie zatem Sąd I instancji nie dopatrzył się nieprawidłowości w procesie przetwarzania przez Bank danych osobowych skarżącej polegającego na udostępnieniu jej danych osobowych Przedsiębiorcy jako radcy prawnemu świadczącemu pomoc prawną na podstawie przepisów u.r.p. Podsumowując, dopuszczalność przekazania podmiotowi profesjonalnie zajmującemu się świadczeniem pomocy prawnej informacji objętych tajemnicą bankową wynika z art. 104 ust. 2 pkt 3 p.b., zgodnie z którym banki mogą udzielać informacji objętych tajemnicą bankową adwokatom lub radcom prawnym w związku z świadczeniem przez nich pomocy prawnej na rzecz banku. Zatem niezależnie od zawartej Umowy powierzenia, na podstawie której doszło do ujawnienia danych osobowych skarżącej przez Bank na rzecz Przedsiębiorcy i na podstawie której jednocześnie Przedsiębiorca nie działał jako odrębny administrator, lecz wyłącznie podmiot przetwarzający dane w imieniu Banku, dane osobowe skarżącej zostały ujawnione również w oparciu o art. 104 ust. 2 pkt 3 p.b. w celu świadczenia przez Przedsiębiorcę pomocy prawnej na rzecz Banku. Cel jakim jest świadczenie usług pomocy prawnej wykracza poza zawartą pomiędzy Bankiem i Przedsiębiorcą Umowę powierzenia. Po czwarte – zasadnie również Sąd I instancji wskazał, że art. 16 i art. 23 Kodeksu Etyki Radcy Prawnego jest gwarantem prawidłowego zabezpieczenia przetwarzania danych osobowych. Radca prawny zgodnie z art. 23 Kodeksu Etyki Radcy Prawnego uchwalonego przez Nadzwyczajny Krajowy Zjazd Radców Prawnych w dniu 22 listopada 2014 r. (uchwała nr 3/2014) obowiązany jest zabezpieczyć przed niepowołanym ujawnieniem wszelkie informacje objęte tajemnicą zawodową, niezależnie od ich formy i sposobu utrwalenia. Ponadto tajemnica zawodowa radcy prawnego obejmuje również wszelkie tworzone przez radcę prawnego dokumenty oraz korespondencję radcy prawnego z klientem i osobami uczestniczącymi w prowadzeniu sprawy - powstałe dla celów związanych ze świadczeniem pomocy prawnej (art. 15 ust. 2 Kodeksu), a także informacje ujawnione radcy prawnemu przed podjęciem przez niego czynności zawodowych, jeżeli z okoliczności sprawy wynika, że ujawnienie nastąpiło dla potrzeb świadczenia pomocy prawnej i uzasadnione było oczekiwaniem, że radca prawny będzie ją świadczył (art. 15 ust. 3 Kodeksu). Natomiast z art. 16 Kodeksu dochowanie przez radcę prawnego tajemnicy zawodowej obejmuje nie tylko zakaz ujawniania informacji i dokumentów, o których mowa w art. 15 Kodeksu, ale również zakaz skorzystania z nich w interesie własnym lub innej osoby, chyba że przepisy prawa lub Kodeksu stanowią inaczej. Nie jest zatem trafne przyjmowanie, że w przypadku podpisania Umowy powierzenia poszukiwanie innego instrumentu uprawniającego do powierzenia przetwarzania danych osobowych nie jest uprawnione. Zarówno bowiem sama Umowa powierzenia jak i umowa o świadczenie usług pomocy prawnej znajdują podstawy w obowiązujących przepisach prawa. Zdaniem NSA, argumentacja taka przemawia również za brakiem zasadności kolejnego zarzutu skarżącej tj. zarzutu naruszenia art. 6 ust. 1 lit. c RODO w zw. z art. 4 u.r.p. i art. 6 u.r.p. (zarzut zawarty w pkt 3 skargi kasacyjnej). Po piąte – w związku z powyższym, niezasadne są także twierdzenia skarżącej, że: "(...) sprawdzenie projektu pisma pod względem lingwistycznym i gramatycznym (...) jest to usługa czysto edytorska, wobec czego w przedmiotowej sprawie przetwarzanie danych osobowych nie było niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze". Przypomnieć trzeba, że zawód radcy prawnego polega na świadczeniu pomocy prawnej. W przypadku radcy prawnego pomoc prawna zgodnie z art. 6 ust. 1 u.r.p. polega w szczególności na udzielaniu porad i konsultacji prawnych, sporządzaniu opinii prawnych, opracowywaniu projektów aktów prawnych oraz występowaniu przed urzędami i sądami w charakterze pełnomocnika lub obrońcy. Zarzut taki postawiony przez profesjonalnego pełnomocnika w skardze kasacyjnej może budzić uzasadnione zdziwienie wskazujące na niezrozumienie istoty pomocy prawnej, szczególnie w kontekście właściwej interpretacji tekstów prawnych. Nie trzeba chyba przypominać, że w interpretacji prawa każde słowo może mieć istotne znaczenie dla zrekonstruowania normy prawnej a nawet postawienie "przecinka" w odpowiednim miejscu może mieć wpływ na treść przepisu (por. wyrok TK z 7 lipca 2003 r., sygn. akt SK 38/01, w którym TK uznał, że dodanie przecinka po wyrazie "długotrwałej", a przed wyrazem "choroby", spowodowało rozszerzenie zakresu badanej normy co spowodowało w efekcie stwierdzenie niekonstytucyjności pkt 3 obwieszczenia Prezesa Rady Ministrów z dnia 13 października 1997 r. o sprostowaniu błędów). Po szóste - niezasadny jest również kolejny zarzut skarżącej tj. zarzut naruszenia art. 32 ust. 1 RODO w zw. z art. 3 ust. 3, 4, 5 u.r.p. oraz art. 16 i art. 23 Kodeksu Etyki Radcy Prawnego (pkt 5 zarzutów skargi kasacyjnej). Skarżąca wskazała, że w jej ocenie wskazane przepisy nakładają na radcę prawnego obowiązki, ale w żadnym przypadku nie stwierdzają, że przetwarzanie danych osobowych pod względem technicznym jest zabezpieczone w każdym przypadku. Zauważyć trzeba, że stosowanie odpowiednich środków bezpieczeństwa (o których mowa w art. 32 ust. 1 RODO) jest obowiązkiem administratorów określonym w RODO. W niniejszej sprawie PUODO ani też Sąd I instancji nie badał kwestii zabezpieczeń danych osobowych oraz ich adekwatności, które mogą być przedmiotem postępowania wszczętego przez organ wyłącznie z urzędu. Ocena prawidłowości zabezpieczeń następuje wyłącznie w postępowaniu wszczętym przez organ z urzędu. Postępowanie prowadzone przez PUODO w postępowaniu dotyczącym skargi indywidualnej nie jest ukierunkowane na pozyskanie informacji na temat stosowanych przez administratora danych zabezpieczeń oraz na przekazanie tychże informacji na rzecz osób fizycznych, zainteresowanych sprawą lecz jego celem jest zbadanie legalności przetwarzania danych osobowych konkretnej osoby wnoszącej skargę. Zatem zarzut ten nie ma zatem żadnego związku z niniejszą sprawą. Po siódme – bezzasadny jest również zarzut naruszenia przez Sąd I instancji art. 6 ust. 1 lit. f RODO (pkt 4 zarzutów skargi kasacyjnej). Skarżąca kwestionuje przetwarzanie jej danych osobowych przez Bank w oparciu o przesłankę z art. 6 ust. 1 RODO wskazując, że uzyskanie pomocy prawnej nie stanowiło "prawnie uzasadnionego interesu prawnego Banku", celem wykonania którego niezbędne było przekazanie danych osobowych skarżącej na rzecz Przedsiębiorcy. Skarżąca wskazała, że ani PUODO ani Sąd nie przeprowadziły testu równowagi (zgodnie ze wskazaniami motywu 47 RODO). Przypomnieć należy, że wedle art. 6 ust. 1 lit. f RODO przetwarzanie danych osobowych jest zgodne z prawem, gdy jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią. Z kolei motyw 47 RODO dookreśla, że "(...) podstawą prawną przetwarzania mogą być prawnie uzasadnione interesy administratora, w tym administratora, któremu mogą zostać ujawnione dane osobowe, lub strony trzeciej, o ile w świetle rozsądnych oczekiwań osób, których dane dotyczą, opartych na ich powiązaniach z administratorem nadrzędne nie są interesy lub podstawowe prawa i wolności osoby, której dane dotyczą". Taki prawnie uzasadniony interes może istnieć na przykład w przypadkach, gdy zachodzi istotny i odpowiedni rodzaj powiązania między osobą, której dane dotyczą a administratorem. Na przykład gdy osoba, której dane dotyczą, jest klientem administratora lub działa na jego rzecz. Aby stwierdzić istnienie prawnie uzasadnionego interesu, należałoby w każdym przypadku przeprowadzić dokładną ocenę, w tym ocenę tego, czy w czasie i w kontekście, w którym zbierane są dane osobowe, osoba, której dane dotyczą, ma rozsądne przesłanki by spodziewać się, że może nastąpić przetwarzanie danych w tym celu. Wykładnia celowościowa art. 6 ust. 1 lit. f RODO dokonana na podstawie motywu 47 RODO wskazuje, że przesłanka legalizująca przetwarzania danych osobowych jest spełniona, gdy wystąpią łączenie dwa warunki. Po pierwsze, gdy zachodzi powiazanie pomiędzy administratorem a osobą, której dane są przetwarzane, a po drugie, gdy dane te są zbierane zasadnie co do celu, dla jakiego zostały zebrane. W sprawie, nie budzi wątpliwości, że pierwszy warunek przesłanki legalizującej został spełniony, ponieważ skarżąca była klientem Banku, a zatem już ten sam fakt, co wynika wprost z motywu 47 RODO zaistniał. Po drugie zaś wbrew zarzutom skargi kasacyjnej, WSA w Warszawie odniósł się do kwestii proporcjonalności zebranych danych wskazując, że przetwarzanie danych osobowych skarżącej kasacyjnie w ramach stosunku Bank-Kancelaria wynikało z charakteru usług prawnych świadczonych na rzecz Bank. Stąd wszelkie dane skarżącej (w tym także jej korespondencja z Bankiem lub adres IP komputera), które były w posiadaniu Banku mogły podlegać konsultacjom prawnym. W tym zakresie NSA podziela stanowisko Sądu I instancji, że charakter pomocy prawnej świadczonej przez adwokata lub radcę prawnego statuowany w art. 4 u.r.p. pozwala na udostepnienie przez podmioty na rzecz których świadczą oni swoje usługi wszelkich danych, które są potrzebne dla wykonywania pomocy prawnej polegającej na udzielaniu porad prawnych, sporządzaniu opinii prawnych, opracowywaniu projektów aktów prawnych oraz występowaniu przed sądami i urzędami. Do takich danych należą również dane IP komputera lub numery kont bankowych strony. Pierwsze bowiem pozwalają na ustalenie skąd mogła być wysyłana korespondencja do Banku a drugie do ewentualnego postępowania egzekucyjnego. 3. W związku z powyższym, Naczelny Sąd Administracyjny na podstawie art. 184 p.p.s.a. orzekł, jak w sentencji wyroku. O kosztach postępowania Sąd orzekł na podstawie art. 204 pkt 1 p.p.s.a.