NSA uchylając wyrok WSA i oddalając skargę, wskazuje na interpretację “poinformowania”

W ostanim czasie Naczelny Sąd Administracyjny opublikował uzasadnienia kilku spraw dotyczących podobnego stanu faktycznego, który odnosił się do przetwarzania danych osobowych przez Bank.

W sprawach tych Prezes UODO w 2020 r. wydał kilka decyzji nakazujących pewnym Bankom:

zaprzestania przetwarzania danych osobowych J. G. (dalej: “wnioskodawczyni”, “uczestniczka postępowania”) dotyczących umów: nr […] z dnia […] listopada 2013 r. oraz nr […] z dnia […] listopada 2014 r. w bazie Biura Informacji Kredytowej S.A. z siedzibą w […] (dalej: “BIK S.A.”, “uczestnik postępowania”), przetwarzanych na podstawie art. 105a ust. 3 ustawy Prawo bankowe w celu oceny zdolności kredytowej i analizy ryzyka kredytowego.

Prezes UODO wskazał, że:

do UODO wpłynęła skarga J. G., reprezentowanej przez pełnomocnika, na nieprawidłowości w procesie przetwarzania jej danych osobowych przez […] S.A. z siedzibą w […] polegające na przetwarzaniu jej danych osobowych w bazie BIK S.A. w zakresie umów nr […] z dnia […] listopada 2013 r. oraz nr […] z dnia […] listopada 2014 r.

w uzasadnieniu skargi J. G. wskazała, że Bank nie spełnił wymagań uprawniających do rozpoczęcia przetwarzania jej danych osobowych w bazie BIK S.A. w związku z wierzytelnościami wynikającymi z ww. umów, ponieważ Bank nie spełnił łącznie wszystkich warunków z art. 105a ust. 3 ustawy Prawo bankowe, bowiem nigdy nie powiadomił wnioskodawczyni o zamiarze przetwarzania jej danych osobowych bez jej zgody w bazie BIK. W związku z powyższym ww. wniosła o nakazanie Bankowi zaprzestania przetwarzania jej danych osobowych w bazie BIK.

organ ustalił, że wnioskodawczyni zawarła z Bankiem umowy: nr […] z dnia […] listopada 2013 r. oraz nr […] z dnia […] listopada 2014 r., z tytułu których powstało zadłużenie. Opóźnienie w spłatach wynosiło powyżej 60 dni. Powyższe umowy zostały zamknięte w dniu […] grudnia 2016 r.

Bank wskazał ponadto, że w związku z zaległościami w spłacie zobowiązań wynikających z umów skierował do wnioskodawczyni w formie listów poleconych, odpowiednio w dniu […] czerwca 2016 r. oraz w dniu […] czerwca 2019 r., zawiadomienia o zamiarze przetwarzania danych po wygaśnięciu zobowiązania, bez jej zgody. Na dowód powyższego Bank przedłożył kopie ww. pism, oddruki list wysyłkowych oraz wydruki książki nadawczej. Przedmiotowe zawiadomienia zostały wysłane na adres wnioskodawczyni wskazany w umowach. Bank zaznaczył, że nie odnotował zwrotu ww. pism.

WSA w Warszawie w sierpniu 2021 r. uchylił decyzję wskazując:

z akt sprawy wynika w sposób jednoznaczny, że na potwierdzenie spełnienia powyższego obowiązku Bank przedstawił kopie oświadczeń skierowanych do uczestniczki postępowania o wypowiedzeniu ww. umów, na adres wskazany w ww. umowach, w których to oświadczeniach zawarł m.in. informację o zamiarze korzystania z prawa do przetwarzania danych stanowiących tajemnicę bankową przez okres 5 lat po wygaśnięciu zobowiązania, bez zgody osoby, której te dane dotyczą oraz o możliwości przetwarzania tych informacji przez BIK S.A. i inne instytucje wskazane w art. 105a ust. 1 ustawy Prawo bankowe przez okres 5 lat po wygaśnięciu zobowiązania, bez zgody osoby, której te informacje dotyczą (k. 168 – 171 akt admin.).

ponadto Bank przedstawił oddruki list wysyłkowych (Lista wysyłkowa pism windykacyjnych (polecone) – […] z dnia […] czerwca 2016 r. oraz Lista wysyłkowa pism windykacyjnych (polecone) – […] z dnia […] czerwca 2016 r.), a także wydruki z książki nadawczej (k. 172 – 177 akt admin.).

powyższego wynika, że Bank – w celu wypełnienia obowiązku, o którym mowa w art. 105a ust. 3 ustawy Prawo bankowe – informację o zamiarze przetwarzania danych osobowych w sposób przewidziany w tym przepisie przesłał uczestniczce postępowania listem poleconym i dysponuje potwierdzeniem nadania tej przesyłki.

zaznaczyć przy tym należy, że z akt sprawy nie wynika, aby uczestniczka postępowania wykazała okoliczności, które mogłyby obalić domniemanie doręczenia jej ww. listów poleconych, a mianowicie, że nie otrzymała tychże listów, nie poinformowała Banku o zmianie adresu lub – chociażby – że zgłosiła reklamację w urzędzie pocztowym.

w świetle powyższego stanowiska Sądu można przyjąć, że dla spełnienia obowiązku informacyjnego z art. 105a ust. 3 ustawy Prawo bankowe wystarczające jest wysłanie wymaganej korespondencji listem poleconym i dysponowanie dowodem jego nadania, co stanowi podstawę domniemania, że przesłanka została doręczona adresatowi.

Jednak NSA miał inny pogląd i wskazał, że:

W rozpatrywanej sprawie spór dotyczy wykładni pojęcia “poinformowania”, o którym mowa w art. 105a ust. 3 ustawy Prawo bankowe. Zdaniem organu, sporządzenie i wysłanie pisma nie jest równoznaczne z udowodnieniem jego prawidłowego doręczenia, a w konsekwencji skutecznego poinformowania adresatki o zamiarze przetwarzania przez Bank danych stanowiących tajemnicę bankową, bez jej zgody. Samo bowiem oświadczenie o wysłaniu korespondencji i przedstawienie jej kopii, nie stanowi dowodu na jej doręczenie (poinformowanie o jej treści adresatki). Bank wywodził natomiast, że przesyłki polecone zawierające oświadczenie Banku zostały skierowane do klientki banku na prawidłowy adres (wskazany w umowie kredytowej) i nie zostały zwrócone do nadawcy. Jego zdaniem, skoro dysponuje dowodem nadania spornych przesyłek, to oznacza, że poinformował adresatkę o zamiarze przetwarzania danych w BIK, bez jej zgody, stosownie do art. 105a ust. 3 Prawa bankowego. Wojewódzki Sąd Administracyjny w Warszawie podzielił to zapatrywanie Banku.

Zdaniem Naczelnego Sądu Administracyjnego stanowisko Sądu I instancji nie jest prawidłowe, należy bowiem podzielić stanowisko zaprezentowane w wyroku Naczelnego Sądu Administracyjnego z 16 stycznia 2024 r., który to orzekał w zbliżonym stanie faktycznym, podzielając stanowisko Prezesa Urzędu Ochrony Danych Osobowych.

Nadto NSA podniósł, że:

O ile podzielić należy stanowisko, iż przy analizie przepisu art. 105a ust. 3 Prawa bankowego, nie powinno się także abstrahować od istoty (celu) wprowadzenia instytucji przetwarzania danych osobowych dłużnika bez jego zgody na mocy tego przepisu ustawy (należy pamiętać, że Biuro Informacji Kredytowej ma za zadanie przetwarzać dane nierzetelnych dłużników, tj. osób, które pomimo zaciągnięcia określonego zobowiązania wobec banku, nie wywiązują się z umowy i nie spłacają swojego zobowiązania, chroniąc w ten sposób inne podmioty przed wyłudzaniem kolejnych pożyczek, a także pośrednio – rzetelnych kredytobiorców), to jednak pozycja dłużnika jest wobec podmiotu udzielającego pożyczki słabsza, a skutek w postaci przetwarzania danych osobowych bez jego zgody ma charakter publicznoprawny.

Ustawodawca w żaden sposób nie ograniczył sposobów i form takiego poinformowania. Zauważyć jednak należy, że prawodawca użył kategorycznej formy “poinformować” (czasownik przechodni dokonany), a nie “informować”. Określony w ustawie skutek ma nastąpić po upływie “30 dni od poinformowania tej osoby przez bank”, a nie od np. wysłania jej informacji. Takie “poinformowanie” może nastąpić np. osobiście w placówce banku lub innego podmiotu wymienionego w art. 105a ust. 3 Prawa bankowego, przez przesyłkę doręczaną listownie lub przez pracownika banku albo innego uprawnionego podmiotu, a nawet nie można również wykluczyć możliwości skierowania takiej informacji drogą elektroniczną (o ile strony w zawartej umowie taką formę korespondencji przewidziały przez bank w tym zakresie z podmiotem zewnętrznym).

O ile więc sposób i forma poinformowania klienta mogą być różnorodne, to jednak w każdym wypadku sposób ten powinien umożliwić zweryfikowanie faktu poinformowania klienta banku o zamierzonym przetwarzaniu jego danych osobowych. Wybór formy poinformowania adresata, operatora pocztowego i sposobu przekazania informacji oraz związany z tym obowiązek wykazania tego faktu obciążają bank lub inny zobowiązany podmiot, gdyż to one wywodzą z tego faktu skutki prawne.

Taki sposób rozumienia obowiązku poinformowania zamieszczonego w art. 105a ust. 3 prawa bankowego wynika nie tylko z gwarancyjnego charakteru tego przepisu dla kredytobiorcy, ale także z dobrze pojętego interesu podmiotów udzielających kredytów, aby w sposób skuteczny zamieścić w BIK stosowną informację o nierzetelnym kredytobiorcy. Jak wskazano wyżej, wskazanie daty doręczenia przesyłki zawierającej stosowną informację umożliwia także prawidłowe wskazanie początku trzydziestodniowego terminu, o którym mowa w art. 105a ust. 3 Prawa bankowego (nie jest nim bowiem data nadania przesyłki na poczcie ani data uzależniona od domniemanego odebrania przesyłki).

Podsumowując w ocenie Naczelnego Sądu Administracyjnego, prawidłowe jest stanowisko organu, który doszedł do przekonania, że Bank nie wykazał, iż dopełnił wymaganego w art. 105a ust. 3 ustawy Prawo bankowe obowiązku poinformowania skarżącej o zamiarze przetwarzania dotyczących jej informacji stanowiących tajemnicę bankową bez jej zgody.

aktach administracyjnych brak jest bowiem dowodów wskazujących na fakt, że Bank poinformował swoją klientkę o zamiarze przetwarzania powyższych danych osobowych, chociaż niewątpliwie Bank podjął działania zmierzające do zrealizowania tego obowiązku (wysłał pisma ze stosowną informacją). Prezes UODO zastosował się do zasad ogólnych postępowania administracyjnego: zasady praworządności, zasady prawdy obiektywnej i pogłębiania zaufania do władzy publicznej oraz nie przekroczył granic swobodnej oceny dowodów i prawidłowo przyjął, że potwierdzenie nadania pisma listem poleconym nie stanowi dowodu poinformowania skarżącej o zamiarze przetwarzania jej danych osobowych bez jej zgody.