WSA w Warszawie: wcześniejsza wiedza nie legalizuje ujawnienia danych
Pełna treść wyroku w bazie Judykatura pokazuje spór o znaczenie wcześniejszej znajomości danych przez ich odbiorcę. Pełna treść wyroku w bazie Judykatura przedstawia także granice wpływu prawomocnego wyroku cywilnego na ocenę legalności przetwarzania danych. Wojewódzki Sąd Administracyjny w Warszawie potwierdził, że oba zagadnienia należy oceniać odrębnie.
Ten wpis udostępniamy w całości bezpłatnie. Zapisz się do newslettera — wyślemy w nim subskrybentom kod z 10% rabatem na pierwszy zakup dostępu.
⚖️ Najważniejsze tezy (kliknij, by rozwinąć)
Teza 1 — Wcześniejsza wiedza odbiorcy
Sama okoliczność wcześniejszego dysponowania danymi osobowymi przez osobę, której bank udostępnił te dane w późniejszym czasie, nie ma wpływu na legalność przetwarzania tych danych przez bank. Bank nie wykazał, aby proces przetwarzania znajdował uzasadnienie w którejkolwiek z przesłanek z art. 6 ust. 1 RODO.
Teza 2 — Odrębność umów najmu skrytek
Brak dokumentu potwierdzającego trójstronny charakter procedury przejęcia skrytek bankowych nie pozwala uznać, że osoba trzecia była uprawniona do uzyskania informacji o umowie zawartej przez inną osobę. Rozwiązanie przez osobę trzecią umowy najmu i zawarcie tego samego dnia przez inną osobę odrębnej umowy najmu tych samych skrytek stanowi dwa zdarzenia niemające ze sobą związku.
Teza 3 — Niezależność reżimów prawnych
Ocena legalności przetwarzania danych osobowych na podstawie art. 6 ust. 1 RODO należy do prawa publicznego i pozostaje odrębna od oceny naruszenia dóbr osobistych zakotwiczonej w naruszeniu tajemnicy bankowej, należącej do prawa prywatnego. Oddalenie powództwa cywilnego dotyczącego naruszenia tajemnicy bankowej nie przesądza więc o legalności przetwarzania danych osobowych.
Teza 4 — Autonomia oceny Prezesa UODO
Prezes UODO jest wyspecjalizowanym, niezależnym organem nadzorczym, uprawnionym do samodzielnego i autonomicznego ustalania okoliczności związanych z legalnością przetwarzania danych osobowych. Nie rozstrzyga o roszczeniach cywilnoprawnych ani nie ocenia prawidłowości stosowania prawa w sprawach należących do właściwości innych sądów i organów.
Teza 5 — Wiążąca moc sentencji
Moc wiążąca prawomocnego orzeczenia odnosi się wyłącznie do jego sentencji, a nie do przesłanek, które doprowadziły do rozstrzygnięcia. Roszczenia cywilnoprawne dotyczące naruszenia dóbr osobistych oraz żądania przysługujące na gruncie RODO nie są tożsame i mają charakter niezależny względem siebie.
Wyrok z 8 kwietnia 2026 r. dotyczy sytuacji, w której bank wydał osobie trzeciej zaświadczenie zawierające dane klientki oraz informacje o zawarciu przez nią umów najmu skrytek sejfowych. Prezes UODO udzielił bankowi upomnienia za naruszenie art. 6 ust. 1 RODO, a sąd oddalił skargę banku na ten środek.
Sprawa ma znaczenie praktyczne, ponieważ sąd wyraźnie rozdzielił faktyczną znajomość informacji przez odbiorcę od istnienia podstawy prawnej jej ponownego udostępnienia. Potwierdzenie danych przez administratora jest przetwarzaniem, które samo wymaga wykazania jednej z przesłanek legalności z art. 6 ust. 1 RODO.
Czego dotyczyła sprawa?
Bank przekazał córce klientki zaświadczenie, w którym potwierdził fakt zawarcia przez klientkę umów najmu konkretnych skrytek sejfowych. Bank argumentował, że odbiorczyni już wcześniej znała te informacje, ponieważ uprzednio sama była stroną umów dotyczących tych skrytek. Wskazywał również, że późniejsza umowa klientki stanowiła element przejęcia korzystania ze skrytek.
Sąd nie podzielił tej argumentacji. Bank nie przedstawił dokumentu potwierdzającego, aby procedura miała charakter trójstronny i odbywała się za porozumieniem klientki, jej córki oraz banku. Z ustaleń wynikało natomiast, że osoba trzecia rozwiązała własną umowę, a klientka zawarła tego samego dnia odrębną umowę najmu tych samych skrytek.
Czy wcześniejsza znajomość danych wystarcza?
Nie. Sąd zaakceptował ustalenie Prezesa UODO, zgodnie z którym wcześniejsze dysponowanie informacją przez odbiorcę nie wpływa na legalność późniejszego udostępnienia jej przez bank.
W uzasadnieniu wskazano wprost, że „sama okoliczność wcześniejszego dysponowania danymi osobowymi Skarżącej przez osobę, której Bank udostępnił te dane w późniejszym czasie, nie ma wpływu na legalność przetwarzania tych danych przez Bank”.
To istotne doprecyzowanie. Administrator nie może utożsamiać braku nowości informacji po stronie odbiorcy z brakiem przetwarzania albo z istnieniem podstawy prawnej przetwarzania. Każde udostępnienie danych wymaga samodzielnej oceny jego zgodności z art. 6 ust. 1 RODO.
Sąd uznał, że bank nie wykazał ani zgody klientki, ani niezbędności przetwarzania do wykonania umowy, ani niezbędności do wypełnienia obowiązku prawnego. Nie potwierdził również, aby odbiorczyni była uprawniona do uzyskania informacji jako beneficjentka tajemnicy bankowej.
Czy wyrok cywilny o tajemnicy bankowej wiąże Prezesa UODO?
Bank powoływał się na prawomocne oddalenie powództwa cywilnego dotyczącego naruszenia tajemnicy bankowej. Sąd administracyjny uznał jednak, że rozstrzygnięcie to nie przesądza o legalności przetwarzania danych osobowych.
Sąd podkreślił, że „należy odróżnić badanie legalności przetwarzania danych osobowych (art. 6 ust. 1 RODO) co jest domeną prawa publicznego, od oceny naruszenia dóbr osobistych zakotwiczonym w naruszeniu tajemnicy bankowej, co z kolei jest domeną prawa prywatnego”.
Są to dwa niezależne reżimy prawne. Oddalenie roszczenia cywilnego oznaczało jedynie, że w realiach tamtej sprawy nie stwierdzono wskazanego czynu niedozwolonego. Nie eliminowało to obowiązku samodzielnej oceny, czy bank miał podstawę prawną do udostępnienia danych w rozumieniu RODO.
Sąd przypomniał również, że moc wiążąca prawomocnego orzeczenia dotyczy jego sentencji, a nie przesłanek, które doprowadziły do rozstrzygnięcia. Nie zachodziła zatem tożsamość przedmiotu sprawy cywilnej i postępowania prowadzonego przez Prezesa UODO.
Znaczenie dla administratorów
Wyrok potwierdza, że administrator powinien dokumentować podstawę prawną każdego ujawnienia danych, także wtedy, gdy odbiorca zna już określone informacje z wcześniejszych relacji z osobą, której dane dotyczą. Znajomość danych przez odbiorcę nie zastępuje zgody, niezbędności wykonania umowy ani obowiązku prawnego.
Orzeczenie potwierdza także autonomię Prezesa UODO w badaniu zgodności przetwarzania z RODO. Ocena dokonana w sporze cywilnym dotyczącym tajemnicy bankowej lub dóbr osobistych nie zastępuje tej oceny i nie przesądza o jej wyniku.
Wyrok jest nieprawomocny.
Niniejsze opracowanie powstało częściowo z wykorzystaniem modelu sztucznej inteligencji ogólnego przeznaczenia i mimo dołożonej staranności może zawierać błędy. Przekazane informacje nie stanowią porady prawnej — przedstawiają wyłącznie pogląd Autora.
Dalsza część omówienia, wszystkie tezy i pełna treść orzeczenia są dostępne w subskrypcji AKTUALNOŚCI PLUS.
Dowiesz się, jak organy nadzorcze w UE, sądy administracyjne i powszechne oraz TSUE argumentują swoje rozstrzygnięcia — i utrzymasz zgodność swojej organizacji z aktualną linią orzeczniczą.