|
UZASADNIENIE
Zaskarżoną decyzją z dnia […] lipca 2019 r., nr […]., Prezes Urzędu Ochrony Danych Osobowych (dalej także: “Prezes UODO” lub “organ nadzorczy”), działając na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. – Kodeks postępowania administracyjnego (tekst jednolity Dz. U. z 2018 r., poz. 2096 ze zm. – dalej także: “k.p.a.”) oraz art. 160 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2018 r., poz. 1000 ze zm. – dalej także “u.o.d.o.”) oraz art. 12 i art. 18 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jednolity Dz. U. z 2016 r., poz. 922 ze zm. – dalej także: “u.o.d.o. z 1997 r.”) w związku z art. 105 ust. 4 i art. 105a ust. 1 i 3 ustawy z dnia 29 sierpnia 1997r. – Prawo bankowe (tekst jednolity Dz. U. z 2018 r., poz. 2187 ze zm. – dalej także: “Prawo bankowe” lub “Pr.bank.”), po przeprowadzeniu postępowania administracyjnego w sprawie zainicjowanej skargą J.W. (dalej także: “uczestnik postępowania”), zamieszkałego w […] na przetwarzanie jego danych osobowych przez […]. z siedzibą w W. (dalej także: “skarżący Bank” lub “strona skarżąca”) oraz […] z siedzibą w W. (dalej także: “[…]”) – Prezes Urzędu Ochrony Danych Osobowych:
1) nakazał […] zaprzestanie przetwarzania danych osobowych skarżącego J.W., zamieszkałego w […], dotyczących umowy kredytowej nr […] (poprzedni numer […]) w systemie […]., przetwarzanych na podstawie art. 105a ust. 3 i ust. 5 ustawy z dnia 29 sierpnia 1997 r. – Prawo bankowe (pkt 1 zaskarżonej decyzji),
2) w pozostałym zakresie odmówił uwzględnienia wniosku (pkt 2 zaskarżonej decyzji).
Zaskarżona decyzja została wydana w następującym stanie faktycznym.
W piśmie z dnia […] stycznia 2017 r. J.W., reprezentowany przez pełnomocnika, wniósł do Biura Generalnego Inspektora Ochrony Danych Osobowych skargę na bezprawne przetwarzanie i administrowanie jego danymi osobowymi przez […] z siedzibą w W. w […] z siedzibą w W..
W petitum skargi J.W. wniósł o:
1) zobowiązanie […]., z siedzibą w W. do aktualizacji danych osobowych skarżącego w rejestrze […] z siedzibą w W. w zakresie umowy kredytowej nr […] (poprzedni numer […]) z dnia […] marca 2010 r., zgodnie ze stanem faktycznym i prawnym – poprzez:
a) dokonanie zamknięcia rachunku z datą zawarcia porozumienia pomiędzy J.W. a […] oraz otwarcia nowego rachunku obejmującego płatności stanowiące przedmiot ugody, albo
b) zaprzestanie ewidencjonowania rachunku, jako “w windykacji” od dnia zawarcie ugody.
W związku z wniesioną skargą Prezes Urzędu Ochrony Danych Osobowych przeprowadził stosowne postępowanie wyjaśniające, w wyniku którego zgromadził odpowiedni materiał dowodowy, ustalając stan faktyczny konieczny do wydania rozstrzygnięcia.
W toku postępowania wyjaśniającego organ nadzorczy ustalił, że dane osobowe J.W. zostały pozyskane przez […] w związku z zawartą w dniu […] marca 2010 r. umową kredytową. Dane te obejmowały: imię, nazwisko, nr PESEL, nr dowodu osobistego, płeć, data urodzenia, adres zamieszkania, w celu wykonywania czynności związanych z działalnością bankową.
W kwietniu 2010 r. […], powołując się na przepisy art. 105 ust. 4 oraz art. 105a ust. 1 ustawy z dnia 29 sierpnia 1997r. – Prawo bankowe, przekazał do […] dane osobowe J.W. obejmujące jego imię, nazwisko, nr PESEL, nr dowodu osobistego, płeć, data urodzenia, adres zamieszkania.
W dniu […] października 2011 r. J.W. zawarł z […] ugodę nr […], dotyczącą ustalenia warunków spłaty wierzytelności przysługującej […] względem J.W. (treść ugody w aktach administracyjnych).
W dniu […] maja 2016 r. […] wysłał do J.W. listem poleconym pismo “Ostateczne wezwanie do zapłaty”, które zawierało informację o zamiarze skorzystania z prawa do przetwarzania informacji stanowiących tajemnicę bankową na podstawie art. 105a ust. 3 ustawy – Prawo bankowe przez okres 5 lat po wygaśnięciu zobowiązania, bez zgody osoby, której te informacje dotyczą oraz o możliwości przetwarzania tych informacji przez […] oraz inne instytucje wskazane w art. 105a ust. 1 ustawy – Prawo bankowe (vide: wydruk z książki nadawczej – Pisma […] z dnia […] maja 2016 r. – POLECONE, KN nr: […] znajduje się w aktach sprawy).
W dniu […] lipca 2016 r. nastąpiła całkowita spłata zobowiązania J.W. wobec […] i od tego dnia – jak stwierdził organ nadzorczy – […] przetwarza dane osobowe J.W. w […] na podstawie art. 105a ust. 3 ustawy – Prawo bankowe.
Z ustaleń organu nadzorczego wynika, że w dniu […] sierpnia 2016 r. oraz […] października 2016 r. J.W. wystąpił do […] o zaprzestanie przetwarzania jego danych osobowych w zakresie oceny zdolności kredytowej i analizy ryzyka kredytowego. J.W. nie zakwestionował wprawdzie powstania zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej przez niego z […], ale zaprzeczył, jakoby […] spełnił obowiązek poinformowania go o zamiarze przetwarzania dotyczących jego informacji stanowiących tajemnicę bankową bez jego zgody, co było wymagane zgodnie z art. 105a ust. 3 ustawy – Prawo bankowe.
W wyniku analizy zgromadzonego materiału dowodowego, Prezes Urzędu Ochrony Danych Osobowych, działając na podstawie art. 104 § 1 k.p.a., a także art. 160 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych oraz art. 12 i art. 18 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych w związku z art. 105 ust. 4 i art. 105a ust. 1 i 3 ustawy – Prawo bankowe:
1) nakazał […] zaprzestanie przetwarzania danych osobowych skarżącego J.W., zamieszkałego w […], dotyczących umowy kredytowej nr […] (poprzedni numer […]) w systemie […], przetwarzanych na podstawie art. 105a ust. 3 i ust. 5 ustawy z dnia 29 sierpnia 1997 r. – Prawo bankowe (pkt 1 zaskarżonej decyzji),
2) w pozostałym zakresie odmówił uwzględnienia wniosku (pkt 2 zaskarżonej decyzji).
W uzasadnieniu decyzji Prezes UODO wskazał na wstępie, że od dnia 25 maja 2018 r. obowiązują przepisy rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 04.05.2016, str. 1 oraz Dz. Urz. UE L 127 z 23.05.2018, str. 2 – dalej także: “RODO”).
Prezes UODO wskazał, że wydając decyzję administracyjną zobowiązany jest do rozstrzygania w oparciu o stan faktyczny istniejący w chwili wydania tej decyzji.
Organ nadzorczy zauważył, że aktem prawnym zawierającym szczegółowe regulacje dotyczące procesu przetwarzania danych osobowych klientów banków jest przede wszystkim ustawa z dnia 29 sierpnia 1997 r. – Prawo bankowe, co oznacza, że ocena legalności przetwarzania danych osobowych J.W. przez […]., a także przez […] musi być zatem dokonywana w powiązaniu z przepisami Prawa bankowego. Prezes UODO stwierdził, że podstawą prawną przetwarzania danych osobowych J.W. przez skarżący Bank w […] jest przepis art. 105a ust. 3 ustawy – Prawo bankowe.
Prezes UODO wskazał, że żądania J.W. wynikające ze skargi, a dotyczące dokonania zamknięcia rachunku z datą zawarcia porozumienia pomiędzy nim a Bankiem oraz otwarcia nowego rachunku obejmującego płatności stanowiące przedmiot ugody, albo zaprzestania ewidencjonowania rachunku, jako “w windykacji” od dnia zawarcie ugody, odnoszą się do kwestii cywilnoprawnych. W tej sytuacji, Prezes UODO stwierdził, że nie badał kwestii dotyczących stosunku cywilnoprawnego pomiędzy J.W. a Bankiem, a w szczególności kwestii jego zmian związanych z ugodą, albowiem takie sprawy są sprawami cywilnymi, w rozumieniu art. 1 ustawy z dnia 17 listopada 1964 r. – Kodeks postępowania cywilnego (tekst jednolity Dz. U. z 2019 r., poz. 1460 ze zm. – dalej także “k.p.c.”) i powinny być rozpatrywane w postępowaniach prowadzonych przez sądy powszechne. Organ nadzorczy podniósł, że zgodnie z art. 189 k.p.c., powód może żądać ustalenia przez sąd istnienia lub nieistnienia stosunku prawnego lub prawa, gdy ma w tym interes prawny.
W tej sytuacji, Prezes UODO wskazał, że dokonał oceny legalności przetwarzania danych osobowych przez […] w […]. pod kątem ich aktualizacji, zgodnie ze skargą.
Prezes UODO zauważył na wstępie, że […] jest instytucją utworzoną na podstawie art. 105 ust. 4 ustawy – Prawo bankowe, który stanowi, że banki mogą, wspólnie z bankowymi izbami gospodarczymi, utworzyć instytucje upoważnione do gromadzenia, przetwarzania i udostępniania: bankom – informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013, innym instytucjom ustawowo upoważnionym do udzielania kredytów – informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są niezbędne w związku z udzielaniem kredytów, pożyczek pieniężnych, gwarancji bankowych i poręczeń (pkt 2), instytucjom kredytowym – informacji stanowiących tajemnicę bankową w zakresie niezbędnym do oceny zdolności kredytowej konsumenta, o której mowa w art. 9 ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim (pkt 3), instytucjom pożyczkowym i podmiotom, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim – na zasadzie wzajemności, informacji stanowiących odpowiednio tajemnice bankową oraz informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, w zakresie niezbędnym do oceny zdolności kredytowej konsumenta, o której mowa w art. 9 tej ustawy, i analizy ryzyka kredytowego (pkt 4).
Prezes UODO, powołując się na brzmienie art. 105a ust. 1 ustawy – Prawo bankowe – wskazał, że przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów, instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, a także instytucje utworzone na podstawie art. 105 ust. 4 (np. […]), informacji stanowiących tajemnicę bankową i informacji udostępnionych przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem art. 104, 105 i art. 106 106d Prawa bankowego w celu oceny zdolności kredytowej i analizy ryzyka kredytowego.
Organ nadzorczy zauważył, że zgodnie z art. 105a ust. 3 ustawy – Prawo bankowe, banki, instytucje oraz podmioty, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową i informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, a po zaistnieniu tych okoliczności upłynęło, co najmniej 30 dni od poinformowania tej osoby przez bank, inną instytucję ustawowo upoważnioną do udzielania kredytów, instytucję pożyczkową albo podmiot, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, o zamiarze przetwarzania dotyczących jej tych informacji, bez jej zgody.
Prezes UODO stwierdził, iż w świetle powołanych wyżej przepisów uznać należy, że choć wynikające z umowy kredytowej zobowiązanie J.W. wobec Banku wygasło, to jednak – jak wynika ze zgromadzonego materiału dowodowego odnośnie spłaty zadłużenia – dopuścił się on zwłoki trwającej dłużej niż 60 dni w przypadku przedmiotowego zobowiązania.
Niemniej, organ nadzorczy zauważył, że […] nie spełnił wobec J.W. obowiązku określonego w art. 105a ust. 3 ustawy – Prawo bankowe, albowiem postępowanie wyjaśniające nie wykazało, aby Bank poinformował skutecznie J.W. o zamiarze przetwarzania dotyczących go informacji stanowiących tajemnicę bankową, bez jego zgody, po wygaśnięciu zobowiązania wynikającego z ww. umowy, pomimo, iż Bank przesłał takie zawiadomienie listem poleconym.
Prezes UODO stwierdził, że sam fakt, iż J.W. nie wykonał zobowiązania lub spóźnił się z jego wykonaniem co najmniej 60 dni, nie upoważnia Banku do przetwarzania jego danych na warunkach określonych w art. 105a ust. 3 Prawa bankowego. Zdaniem organu nadzorczego, moment, od którego należy liczyć sześćdziesięciodniowy termin, w którym konsument dopuszcza się zwłoki w wykonaniu zobowiązania, to termin wykonania zobowiązania, zaś dopiero po upływie 60 dni zaczyna biec trzydziestodniowy termin, w którym instytucja oczekuje na wykonanie zobowiązania klienta. Według organu nadzorczego, termin trzydziestodniowy nie biegnie jednak ex lege, a dopiero od momentu, w którym konsument zostanie skutecznie poinformowany przez instytucję o zamiarze przetwarzania, zaś ostatecznie, to bezskuteczny upływ 30 dni od momentu poinformowania stanowi wypełnienie przesłanek z art. 105a ust. 3 ustawy – Prawo bankowe.
W związku z powyższym, Prezes UODO uznał, iż Bank przetwarzając dane J.W. na warunkach określonych w ww. przepisie, musi wykazać, że klient ten został poinformowany o zamiarze przetwarzania ich bez jego zgody.
Prezes UODO zauważył, że wprawdzie nie ma obowiązku przesyłania takiej korespondencji listami poleconymi za zwrotnym poświadczeniem odbioru, niemniej jednak w niniejszym stanie faktycznym Bank nie dysponuje dowodem, iż korespondencja taka w zakresie ww. zobowiązania została skarżącemu kiedykolwiek skutecznie doręczona.
Prezes UODO uznał, że art. 105a ust. 3 ustawy – Prawo bankowe wyraźnie stawia wymóg “poinformowania” osoby, której informacje dotyczą, “o zamiarze przetwarzania dotyczących jej informacji stanowiących tajemnicę bankową, bez jej zgody”, co z kolei oznacza, że aby przetwarzać dane klienta na warunkach określonych we wskazanym przepisie art. 105a ust. 3 Pr.bank., Bank musi dysponować dowodem, że osoba, której dane dotyczą, została poinformowana o zamiarze przetwarzania ich bez jej zgody.
W ocenie organu nadzorczego, za taki dowód nie może uznać wydruku z książki nadawczej – Pisma […] z dnia […] maja 2016 r. – POLECONE, nr: […] i […] nr […] (znajdującego się w aktach sprawy), w której archiwizowane są pliki dotyczące zawiadomień wysyłanych listem poleconym przez Bank, gdzie pod pozycją 15 widnieją dane adresowe skarżącego.
Prezes UODO uznał, że powyższy dowód i wyjaśnienia przekazane organowi przez Bank świadczą jedynie o przesłaniu skarżącemu wspomnianego wyżej pisma z dnia […] maja 2016 r., lecz nie stanowią dowodu na okoliczność, iż korespondencja ta została skarżącemu skutecznie doręczona.
Organ nadzorczy podkreślił, że to na Banku spoczywa ciężar udowodnienia, że poinformował J.W. o zamiarze przetwarzania jego danych bez jego zgody. Według organu nadzorczego, to w interesie Banku leżeć powinno, aby poinformowanie, o którym mowa w art. 105a ust. 3 ustawy – Prawo bankowe, odbyło się w taki sposób, który umożliwi łatwe wykazanie skutecznego poinformowania w przypadku ewentualnego sporu.
Prezes UODO stwierdził, że niedopuszczalna jest taka wykładnia art. 105a ust. 3 ustawy – Prawo bankowe, z której wynikałoby, iż to na osobie fizycznej (na kliencie) spoczywa ciężar udowodnienia, że nie została poinformowana o zamiarze przetwarzania danych osobowych.
W tej sytuacji, według organu nadzorczego, nie można na podstawie przedstawionych przez Bank dokumentów uznać, że warunki, o których mowa w art. 105a ust. 3 ustawy – Prawo bankowe, zostały spełnione, albowiem bank nie dysponuje zwrotnym potwierdzeniem odbioru, ani też innym dokumentem potwierdzającym odbiór ww. korespondencji przez J.W.. Organ nadzorczy zauważył, że wspomniany przepis wyraźnie stanowi o “poinformowaniu” a nie o samym wysłaniu informacji o zamiarze przetwarzania danych osobowych po wygaśnięciu zobowiązania, zaś Bank nie wykazał, aby klient otrzymał list polecony wysłany w dniu 9 maja 2016 r.
W tym miejscu, Prezes UODO powołał się na wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 15 marca 2017 r., sygn. akt II SA/Wa 1695/16, w którym Sąd uznał, że “(…) samo potwierdzenie komputerowe w prawym górnym rogu pism “PRZESYŁKA NIESTENTLOWANA, Data nadania 2015-08-07”, nie stanowi potwierdzenia wysłania pism. Także zrzut ekranu komputerowego ww. aplikacji, z uwagi na “zakodowany” system zgromadzonych tam danych, bez głębszej analizy specjalistycznej (z zakresu informatyki), nie przedstawia wiarygodnego dowodu, iż poza wygenerowaniem przedmiotowych pism w istocie doszło do ich wysłania skarżącej. (…) Słuszne jest wprawdzie twierdzenie, że żaden przepis ustawy Prawo bankowe nie wymaga, aby obowiązek informacyjny o którym mowa w art. 105a ust. 3 tej ustawy, był realizowany przy pomocy przesyłek rejestrowanych – listów poleconych. Podkreślić jednak należy, iż w przypadku sporu ciężar dowodu doręczenia pisma spoczywa na stronie spełniającej obowiązek informacyjny. (…) Wprawdzie w toku postępowania administracyjnego organ orzekający ocenił przedstawione przez Bank dokumenty, ale nie wynika z nich realizacja przez Bank (…) w stosunku do skarżącej obowiązku informacyjnego (wysłania, a nie tylko wygenerowania pism)”.
W konsekwencji, Prezes UODO uznał, że jeśli oświadczenie zostało posłane adresatowi listem albo innym sposobem porozumiewania się na odległość, składający powinien wykazać, np. za pomocą zwrotnego poświadczenia odbioru, że list (telegram) został adresatowi doręczony. W tej sytuacji, na gruncie rozpatrywanej sprawy, organ nadzorczy uznał, że powstały dowód nadania listu poleconego nie jest wprawdzie dowodem doręczenia go adresatowi, lecz jest dowodem prima facie (por. S. Rudnicki, S. Dmowski, Komentarz do Kodeksu Cywilnego. Księga pierwsza, Warszawa 2003 r.). W ocenie organu nadzorczego, oznacza to, że adresat oświadczania może obalić to domniemanie wskazując, iż nie miał możliwości zapoznania się z treścią oświadczenia (vide: wyrok Sądu Najwyższego z dnia 2 lutego 2005 r., sygn. akt IV CK 459/04, LEX nr 142068, M. Prawn. 2005/4/181).
Prezes UODO, wskazał także na wyrok Sądu Najwyższego z dnia 17 marca 2010 r., sygn. akt II CSK 454/09, OSNC 2010/10/142, w którym to Sąd Najwyższy stwierdził wprost, że domniemanie doręczenia przesyłki rejestrowanej, wynikające z dowodu jej nadania, może być przez adresata obalone przez wykazanie, że nie miał możliwości zapoznania się z zawartym w niej oświadczeniem woli, przerzucając tym samym ciężar dowodu w tym zakresie na jej adresata.
Konkludując, Prezes UODO stwierdził, iż nie zostały spełnione przesłanki z art. 105a ust 3 ustawy – Prawo bankowe, zgodnie z którym Bank może przetwarzać informacje stanowiące tajemnicę bankową dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy bez ich zgody.
W tej sytuacji, organ nadzorczy uznał, iż zaszły podstawy do zastosowania przepisu art. 18 ust. 1 pkt 6 u.o.d.o., zgodnie z którym Prezes Urzędu Ochrony Danych Osobowych w przypadku naruszenia przepisów o ochronie danych osobowych z urzędu lub na wniosek osoby zainteresowanej, w drodze decyzji administracyjnej, nakazuje przywrócenie stanu zgodnego z prawem, a w szczególności usunięcie danych osobowych.
W piśmie z dnia […] sierpnia 2019 r. […]., reprezentowany przez adwokata, wniósł do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na powyższą decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia […] lipca 2019 r.
W petitum skargi […] zarzucił Prezesowi Urzędu Ochrony Danych Osobowych:
1. naruszenie przepisów prawa materialnego, które miało wpływ na wynik sprawy, tj. art. 105a ust. 3 ustawy – Prawo bankowe – poprzez zastosowanie przez organ nadzorczy błędnej wykładni tego przepisu, zgodnie z którą wykonanie obowiązku informacyjnego, o którym mowa w tym przepisie, polega na skutecznym doręczeniu klientowi banku informacji o zamiarze przetwarzania jego danych osobowych bez jego zgody, podczas gdy prawidłowa interpretacja tego przepisu jest taka, że “poinformowanie” oznacza rzeczywiste umożliwienie klientowi banku zaznajomienie się z ww. informacją,
2. naruszenie przepisu art. 105a ust. 2 w zw. z art. 105 ust. 4 ustawy – Prawo bankowe – poprzez jego niezastosowanie w sytuacji, w której Bank dysponował zgodą na przetwarzanie danych osobowych w postaci przekazania ich do instytucji utworzonej przez banki, na mocy art. 105 ust. 4 ustawy – Prawo bankowe, tj. […], udzieloną w ugodzie z dnia […] października 2011 r.,
3. naruszenie przepisów postępowania, mające istotny wpływ na wynik sprawy, tj. art. 6 k.p.a., art. 7 k.p.a., art. 8 § 1 k.p.a., art. 77 § 1 k.p.a. oraz art. 80 k.p.a. w zw. z art. 7 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych – poprzez przekroczenie granic swobodnej oceny dowodów, z uwagi na błędne przyjęcie, że wydruk z księgi nadawczej – Pisma […] z 2016-05-09-POLECONE, KN […] i […] nr […] (dalej także: “wydruk z książki nadawczej”) nie stanowi dowodu poinformowania o zamiarze przetwarzania danych osobowych klienta banku bez jego zgody, o którym mowa w art. 105a ust. 3 ustawy – Prawo bankowe, podczas gdy jest to dostateczny dowód przekazania wymaganej przez art. 104a ust. 3 ustawy – Prawo Bankowe informacji klientowi banku,
4. naruszenie przepisów postępowania, mające istotny wpływ na wynik sprawy, tj. art. 6 k.p.a., art. 7 k.p.a., art. 8 § 1 k.p.a., art. 77 § 1 k.p.a. oraz art. 80 k.p.a. w zw. z art. 7 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych – poprzez pobieżne, nie zaś wyczerpujące i całościowe rozpatrzenie materiału dowodowego, polegające na pominięciu dowodu w postaci ugody nr […], w której to ugodzie strony oświadczyły, że nie tworzy ona nowego zobowiązania pomiędzy nimi, zaś klient banku wyraził zgodę na przetwarzanie i udostępnianie jego danych osobowych przez […] przez okres do pięciu lat od dnia wygaśnięcia jego zobowiązania wobec banku oraz pominięcie faktu, że zobowiązanie to wygasło w wyniku spłaty w 2016 r.
Mając na uwadze powyższe zarzuty, skarżący Bank wniósł o uchylenie pkt. 1 zaskarżonej decyzji, a także o dopuszczenie dowodów wskazanych w uzasadnieniu skargi oraz zasądzenie – na podstawie art. 200 P.p.s.a. – kosztów postępowania sądowego, według norm przepisanych, w tym kosztów zastępstwa procesowego.
Jednocześnie, skarżący Bank, na podstawie art. 145a § 1 P.p.s.a., wniósł o zobowiązanie organu nadzorczego do wydania decyzji oddalającej pkt 1 skargi uczestnika postępowania o zaprzestanie przetwarzania jego danych osobowych w terminie wyznaczonym przez Sąd.
W uzasadnieniu skargi strona skarżąca zarzuciła, iż ugruntowane stanowisko Prezesa PUODO dotyczące kwestii doręczeń na gruncie art. 105a ustawy – Prawo bankowe oparte jest na nieprawidłowej wykładni prawa materialnego, albowiem organ nadzorczy prezentuje stanowisko, jakoby udostępnienie osobie fizycznej określonej informacji (dotyczącej dalszego przetwarzania danych osobowych bez jej zgody) było równoznaczne z doręczeniem takiej osobie pisma zawierającego stosowne pouczenie, co bank ma obowiązek udowodnić za pomocą zwrotnego potwierdzenia odbioru.
Zdaniem skarżącego Banku tak przyjęta interpretacja może mieć daleko idące skutki dla całego sektora finansowego, który przekazuje dane do Biura Informacji Kredytowej na mocy art. 105a ust. 3 ustawy – Prawo bankowe, a – zdaniem którego – brak jest konieczności doręczania pism tego rodzaju za zwrotnym potwierdzeniem odbioru. Jednocześnie, strona skarżąca zauważyła, że zmiana rodzaju przesyłki stosowanej do przekazywania tego typu informacji pociągałaby za sobą nie tylko znaczne koszty związane z opłata za przesyłkę, ale także znaczne koszty organizacyjne.
W ocenie skarżącego Banku, Prezes UODO ignoruje również cel wprowadzenia instytucji przetwarzania danych osobowych dłużników na mocy art. 105a ust. 3 ustawy – Prawo bankowe, w oparciu o który dane osobowe dłużnika są przetwarzane bez jego zgody. Skarżący Bank podkreślił, że […] ma za zadanie przetwarzać dane nierzetelnych dłużników, tj. osób, które pomimo zaciągnięcia określonego zobowiązania wobec banku, nie wywiązują się z umowy i nie spłacają swojego zobowiązania przez okres dłuższy niż 60 dni. Ponadto, strona skarżąca podkreśliła, że celem art. 105a ust. 3 ustawy – Prawo bankowe nie jest więc ochrona nierzetelnego dłużnika, a ochrona sektora bankowego przed wyłudzaniem kolejnych pożyczek, czy też kredytów przez osoby, które takich zobowiązań następnie nie spłacają. W tej sytuacji, zdaniem skarżącego Banku, otoczenie osób, których dane są przetwarzane w […] na podstawie art. 105a ust. 3 Pr.bank., dodatkową ochroną prawną, stanowi wypaczenie sensu tejże regulacji. Na marginesie, strona skarżąca wskazała, że jeśli przyjęłoby się prezentowaną przez Prezesa UODO wykładnię art. 105a ust. 3 ustawy – Prawo bankowe, najprostszym narzędziem dostępnym nierzetelnemu dłużnikowi w celu uniknięcia ujęcia go w […], byłoby po prostu uchylanie się od odbioru korespondencji osobiście. W tej sytuacji, zdaniem skarżącego Banku, dłużnik mógłby bowiem argumentować, że nie mógł zapoznać się z treścią pisma, jeśli zwrotne potwierdzenie odbioru zostanie podpisane nie przez niego osobiście, ale chociażby przez domownika.
Zdaniem skarżącego Banku, prawidłowa wykładania art. 105a ust. 3 ustawy – Prawo bankowe prowadzi do wniosku, że trzydziestodniowy termin, po upływie którego jest możliwe przetwarzanie danych osobowych osoby, która dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, bez jej zgody, biegnie od momentu, gdy osoba ta została poinformowana przez Bank o takim zamiarze, przy czym słowo “poinformować” należy rozumieć jako rzeczywiste umożliwienie klientowi banku zaznajomienie się z ww. informacją.
Powyższe, w ocenie skarżącego Bank, wynika z wykładni językowej omawianej przesłanki, zgodnie z którą “poinformować” oznacza “udzielić informacji, powiadomić o czymś” (vide: Internetowy słownik języka polskiego PWN, https://sip.pwn.pl/sip/:2503348, dostęp: 31.07.2019 r.).
Według skarżącego Banku, gdyby bowiem ustawodawca chciał uzależnić możliwość przetwarzania danych osobowych w warunkach, o których mowa w art. 105a ust. 3 Prawa bankowego, od skutecznego doręczenia klientowi banku ww. informacji – jak też twierdzi organ nadzorczy – to takiego sformułowania użyłby też w omawianym przepisie.
Ponadto, skarżący Bank stwierdził, że za taką interpretacją przemawia również wykładania celowościowa przepisów art. 105a ust. 3 w zw. z art. 105a ust. 1 ustawy – Prawo bankowe, z której wprost wynika, że celem ustawodawcy było pozwolenie bankom oraz instytucjom wskazanym w tych przepisach, w tym m.in. […], na przetwarzanie danych osobowych klienta (bez jego zgody), który nieterminowo spełnia swoje świadczenia, w celu umożliwienia ww. instytucjom realnej oceny zdolności kredytowej oraz analizy ryzyka kredytowego wobec takiego klienta. Oznacza to, według skarżącego Banku, że brak takiej możliwości wiązałby się natomiast z ryzykiem, że klient, który spóźnił się ze spełnieniem swojego świadczenia powyżej 60 dni, w przyszłości otrzymałby kredyty na warunkach bardziej preferencyjnych, aniżeli pozwala na to analiza ryzyka kredytowego. W konsekwencji, uznać należy, że ratio legis omawianego przepisu stanowi ochrona sektora finansowego przed ponownym udzielaniem kredytów i pożyczek osobom, które takich zobowiązań nie są w stanie spłacić.
Zdaniem skarżącego Banku, organ nadzorczy przyjął błędną interpretację słowa “poinformować”, które miałoby oznaczać skuteczne doręczenie, a która prowadziłaby do konieczności dysponowania przez Bank potwierdzeniem odbioru powiadomienia o przetwarzaniu danych osobowych, które de facto wiązałaby się z blokadą całego procesu informacyjnego.
Według strony skarżącej, w takiej sytuacji dłużnik mógłby uchylać się od składania stosowanych oświadczeń, aby w przyszłości móc otrzymać kredyt na warunkach nieadekwatnych do jego zdolności kredytowych.
W ocenie skarżącego Banku, za przyjętą przez stronę skarżącą interpretacją przepisu art. 105a ust. 3 Prawa bankowego przemawia również stanowisko wyrażone przez Naczelny Sąd Administracyjny w wyroku z dnia 27 października 2017 r., sygn. akt I OSK 3362/15, w którym NSA stwierdził, że “jakkolwiek ustawodawca w żaden sposób nie ograniczył sposobów i form takiego zawiadomienia, jednakże w każdym wypadku sposób ten powinien umożliwić zweryfikowanie faktu poinformowania klienta banku o zamierzonym przetwarzaniu jego danych osobowych lub też przynajmniej potwierdzeniem, że klientowi umożliwiono zapoznanie się z taką informacją”. Według strony skarżącej, za takim sposobem interpretacji opowiedział się również Wojewódzki Sąd Administracyjny w Warszawie, który w wyroku z dnia 11 grudnia 2017 r., sygn. akt Il SA/Wa 324/17 stwierdził, iż “sformułowanie użyte w przepisie art. 105a ust. 3 Prawa bankowego, dotyczące obowiązku informacyjnego banku, musi oznaczać, że nie jest to tylko obowiązek formalny. Wprawdzie ustawodawca w żaden sposób nie ograniczył sposobów i form takiego zawiadomienia (nie można również wykluczyć możliwości zawiadomienia droga elektroniczną, o ile strony w zawartej umowie taką formę korespondencji przewidziały, ale w każdym wypadku sposób ten powinien umożliwić zweryfikowanie faktu poinformowania klienta banku o zamierzonym przetwarzaniu jego danych osobowych lub tez przynajmniej potwierdzenie, że klientowi umożliwiono zapoznanie się z taką informacją”.
Mając na względzie powyższe orzecznictwo, skarżący Bank uznał, że nie powinno budzić wątpliwości to, iż organ nadzorczy w sposób nieprawidłowy dokonał interpretacji art. 105a ust. 3 ustawy – Prawo bankowe, co w konsekwencji doprowadziło do błędnego przyjęcia w niniejszej sprawie, że skarżący Bank nie miał podstaw do przetwarzania danych osobowych klienta, bez jego zgody.
W tym miejscu, skarżący Bank ponownie wskazał, że wysyłając w dniu 10 maja 2016 r. przesyłką poleconą informację o przetwarzaniu danych osobowych skarżącego, umożliwił mu zaznajomienie się z powyższą informacją. W konsekwencji, zdaniem strony skarżącej, od dnia […] czerwca 2016 r. skarżący Bank mógł przetwarzać dane osobowe J.W., bez jego zgody, w tym poprzez ich przekazanie do […].
Ponadto, strona skarżąca podkreśliła, że w niniejszej sprawie pisemna zgoda wymagana przez art. 105a ust. 2 ustawy – Prawo bankowe została przez skarżący Bank uzyskana, czego potwierdzeniem jest oświadczenie złożone przez J.W. w ramach ugody z dnia […] października 2011 r. W tej sytuacji, zdaniem skarżącego Banku, wobec uzyskania przez Bank zgody na przetwarzanie i udostępnianie danych osobowych klienta przez […] nie może budzić wątpliwości, że skarżący Bank posiadał ważną podstawę prawną do przekazania danych do […] i zastosowanie do oceny zgodności z prawem przetwarzania danych ma przepis art. 105a ust. 2 ustawy – Prawo bankowe, co niestety zostało całkowicie przez Prezesa UODO pominięte.
Zdaniem skarżącego Banku, w przedmiotowej sprawie organ nadzorczy nie rozpatrzył rzetelnie całego materiału dowodowego, albowiem pominął fakt, że przedstawiony przez […] wydruk z książki nadawczej został opieczętowany stemplem pocztowym “[…]”. Tym samym, według strony skarżącej, organ nadzorczy naruszył przepisy art. 6 k.p.a., art. 7 k.p.a., art. 8 k.p.a. oraz art. 77 § 1 k.p.a. Skarżący Bank uznał, że okoliczność ta jest o tyle istotna, o ile zważy się, że w sposób jednoznaczny dowodzi temu, iż informacja o przetwarzaniu danych osobowych klienta została mu przesłana przesyłką poleconą, co z kolei oznacza spełnienie przez skarżący Bank obowiązku informacyjnego, o którym mowa w art. 105a ust. 3 ustawy – Prawo bankowe.
W tej sytuacji, skarżący Bank uznał, że niezrozumiałe jest powołanie się przez organ nadzorczy w swoich rozważaniach dotyczących rzekomego niespełnienie przez Bank wobec klienta obowiązku informacyjnego, o którym mowa w art. 105a ust. 3 ustawy – Prawo bankowe, na wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 15 marca 2017 r., sygn. akt Il SA/Wa 1695/16, skoro zastany tam stan faktyczny znacznie różni się od tego, jaki zaistniał w przedmiotowej sprawie. Skarżący Bank podkreślił, że w niniejszej sprawie, w przeciwieństwie do sprawy będącej przedmiotem oceny zwartej w powyższym wyroku, strona skarżąca przedstawiła ostemplowany wydruk z książki nadawczej wraz z ostatecznym wezwaniem do zapłaty z dnia […] maja 2016 r., co powoduje, że zestawienie przez organ nadzorczy tych dwóch odmiennych stanów faktycznych, dowodzi o pobieżności rozpatrzenia niniejszej sprawy.
Skarżący Bank zauważył jednocześnie, że znane jest mu orzecznictwo wojewódzkich sądów administracyjnych oraz Naczelnego Sądu Administracyjnego, zgodnie z którym potwierdzenie nadania listu zwykłego nie stanowi dowodu spełnienia obowiązku informacyjnego, o którym mowa w art. 105a ust. 3 ustawy – Prawo bankowe.
Z uwagi na powyższe, zdając sobie sprawę jak istotne dla klientów Banku jest otrzymanie ww. informacji, skarżący Bank zdecydował się na informowanie o przetwarzaniu danych osobowych na podstawie ww. przepisu przy użyciu przesyłek poleconych.
W tym miejscu, skarżący Bank podniósł, że zgodnie z art. 3 pkt 22 ustawy dnia 23 listopada 2012 r. – Prawo pocztowe (tekst jednolity Dz. U. z 2018 r., poz. 2188 ze zm. – dalej także: “Prawo pocztowe”), “przesyłką poleconą” jest przesyłka listowna będącą przesyłką rejestrowaną, przemieszczaną i doręczaną w sposób zabezpieczający ją przed utratą, ubytkiem zawartości lub uszkodzeniem, a “przesyłką rejestrowaną”, zgodnie z art. 3 pkt 23 Prawa pocztowego, jest przesyłka przyjęta za pokwitowaniem przyjęcia i doręczana za pokwitowaniem odbioru. Strona skarżąca wskazała ponadto, że wydanie potwierdzenia nadania oznacza zawarcie umowy o świadczenie usługi pocztowej (vide: art. 3 pkt 8 Prawa pocztowego, § 27 rozporządzenia Ministra Administracji i Cyfryzacji z dnia 29 kwietnia 2013 r. w sprawie warunków wykonywania usług powszechnych przez operatora wyznaczonego – Dz. U. poz. 545 ze zm.).
W tej sytuacji, strona skarżąca powołała się na wyrok Sądu Najwyższego z dnia 17 marca 2010 r., sygn. akt Il CSK 454/09, w którym Sąd Najwyższy uznał, że “jeżeli nadawca przesyłki rejestrowanej uiścił opłatę, otrzymał potwierdzenie nadania, a operator nie zwrócił mu tej przesyłki, można domniemywać, że została doręczona adresatowi. W związku z tym należy uznać, że dowód nadania przesyłki rejestrowanej stanowi domniemanie doręczenia jej adresatowi, który może je obalić, wykazując, że nie miał możliwości zapoznania się z jej treścią. Należy zwrócić uwagę, że regułą jest, iż przesyłki pocztowe, zwłaszcza rejestrowane, są doręczane. Brak doręczenia zwykle powodują szczególne okoliczności, np. niedostatki w obsłudze pocztowej, błędne zaadresowanie przesyłki, znana nadawcy nieobecność adresata w miejscu zamieszkania itp. Wykazanie istnienia takich okoliczności wystarczy do podważenia wiarygodności omawianego dowodu prima facie”.
Wskazując na powyższy wyrok Sądu Najwyższego, skarżący Bank zauważył po pierwsze, iż wysłał informację o przetwarzaniu danych osobowych J.W. na wskazany przez niego adres w umowie kredytowej, zwracając przy tym uwagę, że zgodnie z § 10 pkt 2 Ugody […] zawartej pomiędzy tym klientem a skarżącym Bankiem w dniu […] maja 2011 “dłużnicy zobowiązują się informować Bank o każdej zmianie adresu zamieszkania oraz adresu do korespondencji”.
Ponadto, skarżący Bank zauważył, że nie została mu zwrócona zaadresowana do J.W. przesyłka polecona, w której znajdowała się informacja o przetwarzaniu danych osobowych zgodnie z art. 105a ust. 3 ustawy – Prawo bankowe, co dowodzi temu, że została ona skutecznie doręczona temu klientowi.
Jednocześnie, skarżący Bank wskazał, że w toku postępowania administracyjnego J.W. w żaden sposób nie wykazał, że nie otrzymał wskazanej wyżej przesyłki poleconej i tym samym nie miał możliwości zapoznania się z obowiązkiem informacyjnym, o którym mowa w art. 105a ust. 3 ustawy – Prawo bankowe.
Strona skarżąca podniosła także, iż zgodnie z art. 17 ustawy – Prawo pocztowe, “Potwierdzenie nadania przesyłki rejestrowanej lub przekazu pocztowego wydane przez placówkę pocztową operatora wyznaczonego ma moc dokumentu urzędowego”, co – w ocenie skarżącego Banku – świadczy o tym, iż Bank dysponuje dowodem na przekazanie skarżącemu informacji o zamiarze przetwarzania jego danych osobowych bez jego zgody i to dodatkowo jest to dowód o mocy dokumentu urzędowego, zaś zgodnie zaś z art. 76 § 1 k.p.a., dokumenty urzędowe stanowią dowód tego, co zostało w nich urzędowo stwierdzone.
W tej sytuacji, skarżący Bank stwierdził, że nie podziela stanowiska Prezesa UODO, jakoby przedstawiony wydruk ostemplowanej książki nadawczej nie stanowi dowodu na udostępnienie J.W. informacji o zamiarze przetwarzania jego danych osobowych bez jego zgody. Ponadto, strona skarżąca uznała, że nieuzasadnione jest zrównywanie przez organ nadzorczy sytuacji faktycznej zaistniałej w niniejszej sprawie ze stanami faktycznymi, w których banki przedstawiały, jako dowód nadania przesyłki do klienta wyłącznie zrzuty swoich wewnętrznych systemów informatycznych, w których generowane były pisma.
W ocenie skarżącego Banku, Prezes UODO nie może bowiem uznawać, że dokument prywatny ma taką samą moc dowodową jak dokument urzędowy w postaci poświadczonego przez pocztę potwierdzenia nadania listu poleconego.
W konsekwencji, skarżący Bank zarzucił, że organ nadzorczy naruszył art. 80 k.p.a., ponieważ dokonał oceny dowodu z wydruku księgi nadawczej wbrew zasadom logiki, tzn. przyjął, że wysłanie przesyłki poleconej z informacją o przetwarzaniu danych osobowych, zgodnie z art. 105a ust. 3 ustawy – Prawo bankowe, nie potwierdza poinformowania skarżącego przez Bank o wspomnianym przetwarzaniu jego danych osobowych.
W tym miejscu, strona skarżąca zauważyła, że Generalny Inspektor Ochrony Danych Osobowych, którego sukcesorem jest Prezes UODO, w decyzji, o której mowa w wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 5 sierpnia 2016 r., sygn. akt II SA/Wa 2147/15 (LEX nr 2137436), uznał, że wykonanie obowiązku informacyjnego, o którym mowa w art. 105a ust. 3 Prawa bankowego, potwierdzają kopie pism oraz wydruki książki nadawczej, a także fakt, że Bank nie odnotował zwrotu żadnego z pism. Strona skarżąca zauważyła, że z powyższym stanowiskiem organu nadzorczego zgodził się Sąd w powyższym wyroku.
Zdaniem skarżącego Banku, Prezes UODO, dokonując oceny materiału dowodowego, powinien był – zgodnie z art. 77 § 1 k.p.a. i art. 80 k.p.a. – dokonać oceny całości materiału dowodowego zgromadzonego w sprawie, gdy tymczasem, na gruncie niniejszego postępowania organ nadzorczy całkowicie pominął dowód z dokumentu, jakim jest ugoda z dnia […] października 2011 r., zawarta między stronami.
W ocenie skarżącego Banku, należy zauważyć, że zawarta przez strony ugoda zawiera także zgodę skarżącego na przetwarzanie i udostępnianie jego danych przez […] przez okres do 5 lat od dnia wygaśnięcia jego zobowiązania z Bankiem. W tym miejscu, skarżący Bank podniósł, że zobowiązanie wygasa z chwilą jego spełnienia. Dodał ponadto, że w przypadku nawet przedawnienia roszczenie nie wygasa, lecz staje się zobowiązaniem naturalnym, co powoduje, że każda zaległość prowadzi do tego, że nie dochodzi do wygaśnięcia zobowiązania.
Skarżący Bank stwierdził, że Prezes UODO powinien był uwzględnić w rozstrzygnięciu sprawy dowód, jakim jest ugoda oraz złożone w jej ramach oświadczenie o udzieleniu zgody na przetwarzanie danych osobowych przez […]. Bank wskazał, że zgoda ta obowiązywała zaś – zgodnie z jej treścią – przez okres do pięciu lat od dnia wygaśnięcia zobowiązania pomiędzy klientem a Bankiem, tj. pięć lat od spłaty zobowiązania przez J.W., która nastąpiła w 2016 r.
Strona skarżąca zarzuciła, że Prezes UODO całkowicie pominął dowód z ugody, w tym ze złożonego w jej ramach oświadczenia o zgodzie na przetwarzanie danych przez […], co stanowi naruszenie przepisów art. 6 k.p.a., art. 7 k.p.a., art. 8 § 1 k.p.a., art. 77 § 1 oraz art. 80 k.p.a.
Skarżący Bank uznał, że w konsekwencji tych naruszeń procesowych, Prezes UODO nie zastosował art. 105a ust. 2 ustawy – Prawo bankowe, który dopuszcza przetwarzanie danych na podstawie zgody klienta banku, co doprowadziło do błędnego rozstrzygnięcia i stwierdzenia jakoby Bank nie posiadał podstawy prawnej do przekazania danych do […], zaś […] nie dysponował podstawą prawną do przetwarzania danych osobowych J.W..
Mając na względzie powyższe, skarżący Bank uznał, że Prezes UODO – pomimo swojego obowiązku dogłębnego wyjaśnienia sprawy – błędnie przyjął, że Bank nie dysponuje podstawą prawną do przetwarzania danych klienta w […]. Według strony skarżącej, organ nadzorczy pominął również część materiału dowodowego, w której zawarta była zgoda skarżącego pozwalająca na przetwarzanie jego danych w powyższy sposób, na mocy art. 105a ust. 2 ustawy – Prawo bankowe i przepisu tego nie zastosował, a jednocześnie błędnie zinterpretował art. 105a ust. 3 ustawy – Prawo bankowe, utożsamiając “poinformowanie klienta banku” o możliwości przetwarzania jego danych osobowych bez jego zgody ze skutecznym doręczeniem mu przesyłki poleconej za zwrotnym potwierdzeniem odbioru.
W konsekwencji, zdaniem skarżącego Banku, Prezes UODO dopuścił się wadliwej wykładni prawa materialnego, jak i błędnie zinterpretował dowody zgromadzone w sprawie.
W tej sytuacji, Bank stwierdził, że – wbrew zarzutom organu nadzorczego – ma podstawę prawną do przetwarzania danych J.W., a więc nie zachodziły przesłanki do nakazania zaprzestania ich przetwarzania, co winno skutkować uchyleniem przez Sąd punktu 1 zaskarżonej decyzji Prezesa UODO.
W odpowiedzi na skargę Prezes Urzędu Ochrony Danych Osobowych wniósł o jej oddalenie, podtrzymując swoje dotychczasowe stanowisko wyrażone w uzasadnieniu zaskarżonej decyzji.
Odnosząc się do zarzutów skarżącego Banku, organ nadzorczy wyraźnie zaznaczył, że w pełni podtrzymuje swoje stanowisko, iż zgodnie z brzmieniem art. 105a ust. 3 ustawy – Prawo bankowe to w interesie Banku leżeć powinno, aby poinformowanie, o którym mowa w art. 105a ust. 3 Pr.bank., odbyło się taki sposób, który umożliwi łatwe wykazanie skutecznego poinformowania w przypadku ewentualnego sporu.
Zdaniem organu nadzorczego, uznać należy, że choć wynikające z umowy kredytowej zobowiązanie J.W. wobec skarżącego Banku wygasło, to jednak – jak wynika ze zgromadzonego materiału dowodowego odnośnie spłaty zadłużenia – klient dopuścił się zwłoki trwającej dłużej niż 60 dni w przypadku przedmiotowego zobowiązania.
Niemniej, organ nadzorczy podkreślił, że istotnym w niniejszej sprawie jest to, że skarżący Bank nie spełnił wobec klienta obowiązku określonego w art. 105a ust. 3 Prawa bankowego, albowiem postępowanie wyjaśniające nie wykazało, że poinformował J.W. skutecznie o zamiarze przetwarzania dotyczących jego informacji stanowiących tajemnicę bankową, bez jego zgody, po wygaśnięciu zobowiązania wynikającego z ww. umowy, chociaż Bank przesłał takie zawiadomienie listem poleconym.
Według Prezesa UODO, sam fakt, iż J.W. nie wykonał zobowiązania lub spóźnił się z jego wykonaniem co najmniej 60 dni, nie upoważnia skarżącego Banku do przetwarzania jego danych na warunkach określonych w art. 105a ust. 3 Prawa bankowego.
Organ nadzorczy zauważył, że moment, od którego należy liczyć sześćdziesięciodniowy termin, w którym konsument dopuszcza się zwłoki w wykonaniu zobowiązania, to termin wykonania zobowiązania. Dopiero po upływie 60 dni zaczyna biec trzydziestodniowy termin, w którym instytucja oczekuje na wykonanie zobowiązania klienta. Według organu nadzorczego, termin trzydziestodniowy nie biegnie jednak ex lege, a dopiero od momentu, w którym konsument zostanie skutecznie poinformowany przez instytucję o zamiarze przetwarzania. Organ nadzorczy wskazał, że ostatecznie to bezskuteczny upływ 30 dni od momentu poinformowania stanowi wypełnienie przesłanek z art. 105a ust. 3 Prawa bankowego.
Z powyższego, zdaniem Prezesa UODO, wynika zatem, iż skarżący Bank przetwarzając dane klienta na warunkach określonych w art. 105a ust. 3 Pr.bank., musi wykazać, że klient został poinformowany o zamiarze przetwarzania ich bez jego zgody.
Organ nadzorczy zauważył wprawdzie, że żaden przepis ustawy – Prawo bankowe nie wymaga, aby obowiązek informacyjny, o którym mowa w art. 105a ust. 3 tej ustawy, był realizowany w szczególnej formie, a więc bank nie ma obowiązku przesyłania takiej korespondencji listami poleconymi ze zwrotnym poświadczeniem odbioru. Niemniej, organ nadzorczy uznał jednocześnie, iż w niniejszym stanie faktycznym skarżący Bank nie dysponuje dowodem, iż korespondencja taka w zakresie ww. zobowiązania została kiedykolwiek skutecznie doręczona klientowi, a to po stronie Banku, jako podmiotu spełniającego obowiązek informacyjny, leży ciężar dowodu doręczenia pisma.
Organ nadzorczy podkreślił, że przepis art. 105a ust. 3 ustawy – Prawo bankowe wyraźnie stawia wymóg “poinformowania” osoby, której informacje dotyczą, “o zamiarze przetwarzania dotyczących jej informacji stanowiących tajemnicę bankową, bez jej zgody”, co z kolei oznacza, że aby przetwarzać dane klienta na warunkach określonych w ww. przepisie, Bank musi dysponować dowodem, że osoba, której dane dotyczą, została poinformowana o zamiarze przetwarzania ich bez jej zgody. Prezes UODO stwierdził, że za taki dowód nie może uznać wydruku z książki nadawczej, w której archiwizowane są pliki dotyczące zawiadomień wysyłanych listem poleconym przez Bank, gdzie pod pozycją 15 widnieją dane adresowe J.W..
Prezes UODO zauważył, że opinia skarżącego Banku opierająca się na rozważaniach natury lingwistycznej, a także na wykładni celowościowej stoi w sprzeczności z orzecznictwem, zgodnie z którym przyjmuje się, że w celu weryfikacji dopuszczalności przetwarzania danych osobowych na podstawie art. 105a ust. 3 Prawa bankowego, organ nadzorczy musi dysponować stosownymi dowodami na rzeczywiste wykonanie wymienionego w tym przepisie obowiązku informacyjnego i w tym zakresie nie może opierać się wyłącznie na oświadczeniu Banku.
Organ nadzorczy zauważył, że uczestnik postępowania zaprzeczył, iż przesyłka została mu doręczona i że miał możliwość zapoznania się z jej treścią, zaś Bank nie przedstawił dowodu na poinformowanie uczestnika postępowania o zamiarze przetwarzania jego danych bez jego zgody, lecz jedynie dowody wysłania przesyłki do uczestnika postępowania, bez dowodu odebrania przesyłki przez adresata. Zdaniem Prezesa UODO, niedopuszczalna jest taka wykładnia art. 105a ust. 3 Prawa bankowego, że to na osobie fizycznej (kliencie banku) spoczywał ciężar udowodnienia, że nie został poinformowany o ww. zamiarze przetwarzania danych osobowych.
Mając powyższe na względzie, organ nadzorczy uznał, że dowód i wyjaśnienia przekazane organowi przez skarżący Bank świadczą jedynie o przesłaniu J.W. pisma z dnia […] maja 2016 r., natomiast nie stanowią one dowodu na okoliczność, iż korespondencja ta została klientowi skutecznie doręczona. Organ nadzorczy zauważył bowiem, że skarżący Bank nie dysponuje zwrotnym potwierdzeniem odbioru ani innym dokumentem potwierdzającym odbiór ww. korespondencji przez J.W.. Tymczasem, jak wskazał organ nadzorczy, przepis art. 105a ust. 3 Prawa bankowego wyraźnie stanowi o “poinformowaniu” a nie o samym wysłaniu informacji o zamiarze przetwarzania danych osobowych po wygaśnięciu zobowiązania, natomiast skarżący Bank nie wykazał, że klient otrzymał list polecony wysłany dnia 9 maja 2016 r.
Odnosząc się z kolei do zarzutów naruszenia art. 105a ust. 2 w zw. z art. 105 ust. 4 Prawa bankowego, organ nadzorczy zauważył, że skarżący Bank nie podał w materiale dowodowym w sprawie art. 105a ust. 2 Prawa bankowego jako podstawy przetwarzania danych osobowych uczestnika postępowania w […]. Zdaniem organu nadzorczego, było wręcz przeciwnie, albowiem jako podstawę przetwarzania danych osobowych J.W. podawany był art. 105a ust. 3 Prawa bankowego.
Ponadto, zdaniem Prezesa UODO, twierdzenie skarżącego Banku, jakoby dysponował zgodą uczestnika postępowania na przetwarzanie jego danych osobowych po wygaśnięciu zobowiązania, stoi w sprzeczności z zebranym materiałem dowodowym, gdyż pismem z dnia […] sierpnia 2016 r. uczestnik postępowania wycofał udzielone przez siebie zgody na przetwarzanie jego danych osobowych po wygaśnięciu zobowiązania. Zdaniem organu nadzorczego, z zebranego materiału dowodowego wynika, że skarżący Bank przyjął do wiadomości wycofanie wspomnianych zgód i w piśmie z dnia […] października 2016 r. oraz w piśmie do uczestnika postępowania z dnia […] listopada 2016 r., jako podstawę dalszego przetwarzania danych osobowych uczestnika postępowania bez jego zgody, przyjął art. 105 ust. 4 i art. 105a ust. 3 Prawa bankowego.
Ponadto, Prezes UODO wskazał, że – wbrew zarzutom strony skarżącej – prowadząc postępowanie w niniejszej sprawie, przedsięwziął wszelkie przewidziane prawem czynności służące wnikliwemu i rzetelnemu ustaleniu okoliczności faktycznych przedmiotowej sprawy i zebraniu materiału dowodowego potrzebnego do rozstrzygnięcia jej decyzją administracyjną.
Według organu nadzorczego, zarzut skarżącego Banku, jakoby Prezes UODO pominął dowód w postaci ugody nr […], nie ma żadnego uzasadnienia, gdyż w związku z wycofaniem przez uczestnika jego zgody na przetwarzanie jego danych osobowych po wygaśnięciu zobowiązania i przyjęciu tego oświadczenia woli przez Bank, treść ugody, w tym fakt, że nie stworzyła ona nowego zobowiązania między jej stronami, nie miała dalszego związku z prowadzonym postępowaniem.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje.
Zgodnie z art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (tekst jednolity Dz. U. z 2019 r., poz. 2167 ze zm.), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej, przy czym kontrola ta sprawowana jest pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej.
W świetle powołanych przepisów cyt. ustawy, Wojewódzki Sąd Administracyjny w Warszawie, w zakresie swojej właściwości, ocenia zaskarżoną decyzję administracyjną, postanowienie, czy też inny akt lub czynność z zakresu administracji publicznej dotyczącą uprawnień lub obowiązków wynikających z przepisów prawa, z punktu widzenia ich zgodności z prawem materialnym i przepisami postępowania administracyjnego, według stanu faktycznego i prawnego obowiązującego w dacie wydania tego aktu lub podjęcia spornej czynności. Chodzi więc o kontrolę aktów lub czynności z zakresu administracji publicznej dokonywaną pod względem ich zgodności z prawem materialnym i przepisami procesowymi, nie zaś według kryteriów słuszności, czy też zgodności z zasadami współżycia społecznego.
Ponadto, co wymaga podkreślenia, Sąd rozstrzyga w granicach danej sprawy, nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną (vide: art. 134 § 1 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi – tekst jednolity Dz. U. z 2019 r., poz. 2325, dalej także: “P.p.s.a.”).
Należy jednocześnie wyraźnie zaznaczyć, że od dnia wejścia w życie Traktatu Akcesyjnego z dnia 16 kwietnia 2003 r. (Dz. U. z 2004 r. Nr 90, poz. 864), na mocy, którego Polska stała się państwem członkowskim Unii Europejskiej, kontrola sądu administracyjnego obejmuje również zgodność rozstrzygnięć organów administracji publicznej z prawem europejskim (prawem Unii Europejskiej), rozumianym, jako całokształt dorobku prawnego Unii Europejskiej (acquis communautaire), w tym zasad ogólnych prawa europejskiego, interpretowanych oraz stosowanych w sposób jednolity na całym obszarze Unii Europejskiej.
Należy zauważyć, że zgodnie z zasadą pierwszeństwa, prawo Unii Europejskiej ma wartość nadrzędną nad prawem krajowym państw członkowskich Unii Europejskiej. Nie ulega wątpliwości, że zasada pierwszeństwa dotyczy wszystkich aktów wspólnotowych, które mają moc wiążącą. W konsekwencji, państwa członkowskie UE nie mogą więc stosować przepisu krajowego, który jest niezgodny z prawem UE, gdyż zasada pierwszeństwa gwarantuje jednolitą ochronę prawną obywateli na całym terytorium UE. Jednocześnie, nie ulega wątpliwości, że sądy krajowe muszą czuwać nad przestrzeganiem zasady pierwszeństwa.
Warto również zwrócić uwagę na zasadę bezpośredniego skutku prawa UE, która umożliwia podmiotom indywidualnym powoływanie się bezpośrednio na prawo unijne przed sądami i to niezależnie od tego, czy w prawie krajowym istnieją podobne regulacje prawne. W ten sposób zasada bezpośredniego skutku gwarantuje stosowanie i skuteczność prawa unijnego w krajach UE.
Zasada bezpośredniego skutku dotyczy nie tylko prawa pierwotnego zawartego w Traktatach UE, ale także aktów prawa wtórnego, a więc aktów przyjętych przez instytucje Unii Europejskiej na podstawie wspomnianego prawa traktatowego. W tym miejscu, należy jednak wyraźnie zauważyć, że zakres bezpośredniego skutku zależy od rodzaju danego aktu. W świetle zarówno przepisów traktatowych, jak i dotychczasowego orzecznictwa Trybunału Sprawiedliwości Unii Europejskiej, pełny skutek bezpośredni mają przepisy rozporządzeń, które są bezpośrednio stosowane w państwach członkowskich UE.
W tej sytuacji, Wojewódzki Sąd Administracyjny w Warszawie, dokonując oceny legalności zaskarżonej decyzji Prezesa Urzędu Ochrony Danych Osobowych z dnia […] lipca 2019 r., zobowiązany był zbadać również jej zgodność z przepisami prawa europejskiego, w tym przede wszystkim regulacjami zawartymi w rozporządzeniu Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych – zwane także: “RODO”; publikowane /w:/ Dz. Urz. UE L 119 z dnia 4 maja 2016 r. oraz Dz. Urz. UE L 127 z dnia 23 maja 2018, str. 2 ze zm.).
W ocenie Wojewódzkiego Sądu Administracyjnego w Warszawie, analizowana pod tym kątem skarga […] z siedzibą w W. zasługuje na uwzględnienie, albowiem zaskarżona decyzja Prezesa Urzędu Ochrony Danych Osobowych z dnia […] lipca 2019 r., nr […] w zakresie punktu pierwszego nakazującego zaprzestanie przetwarzania danych osobowych – narusza w sposób istotny obowiązujące przepisy prawa.
Według Sądu, wydając zaskarżoną decyzję z dnia […] lipca 2019 r., Prezes Urzędu Ochrony Danych Osobowych w sposób nieuzasadniony nakazał skarżącemu Bankowi zaprzestanie przetwarzania danych osobowych J.W. dotyczących umowy kredytowej nr […] w systemie […], albowiem – rozstrzygając w tym zakresie – organ nadzorczy naruszył w sposób istotny przepis art. 105a ust. 3 ustawy z dnia 29 sierpnia 1997 r. – Prawo bankowe, dokonując jego błędnej wykładni polegającej na nieuprawnionym przyjęciu, że wykonanie obowiązku informacyjnego, o którym mowa w tym przepisie, polega na skutecznym doręczeniu klientowi banku informacji o zamiarze przetwarzania jego danych osobowych bez jego zgody, gdy tymczasem – jak słusznie zauważyła strona skarżąca – prawidłowa interpretacja tego przepisu winna prowadzić do przyjęcia, iż “poinformowanie” oznacza jedynie rzeczywiste umożliwienie klientowi banku zaznajomienia się ze wspomnianą informacją.
Wojewódzki Sąd Administracyjny w Warszawie uznał ponadto, że Prezes Urzędu Ochrony Danych Osobowych, wydając sporną decyzję, dopuścił się jednocześnie – mogącego mieć zasadniczy wpływ na wynik sprawy – naruszenia przepisów procedury administracyjnej, a w szczególności art. 7 k.p.a., art. 77 § 1 k.p.a., art. 80 k.p.a., a także art. 107 § 3 k.p.a. w zw. z art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych, polegającego przede wszystkim na przekroczeniu granic swobodnej oceny dowodów i w konsekwencji błędnym przyjęciu, że przedłożony przez skarżący Bank wydruk z książki nadawczej nie stanowi dowodu poinformowania J.W. o zamiarze przetwarzania jego danych osobowych bez jego zgody, o którym mowa w art. 105a ust. 3 ustawy – Prawo Bankowe, podczas gdy, w ocenie Sądu, jest to dostateczny dowód przekazania wymaganej przez art. 105a ust. 3 cyt. ustawy informacji klientowi banku.
Tym samym, Sąd stwierdził, że organ administracji publicznej, wydając zaskarżoną decyzję administracyjną z dnia […] lipca 2019 r. – dopuścił się w powyższym zakresie istotnego naruszenia zasady praworządności wyrażonej w przepisach art. 6 k.p.a. i art. 7 in principio k.p.a. oraz art. 7 Konstytucji RP.
Zdaniem Sądu, zarówno naruszenie powołanych wyżej przepisów procedury administracyjnej, jak i związana z tym uchybieniem niewłaściwa ocena prawidłowości zastosowania kluczowych dla rozstrzygnięcia sprawy przepisów prawa materialnego, a przede wszystkim błędna analiza normy prawnej wyrażonej w przepisie art. 105a ust. 3 ustawy – Prawo bankowe, miały istotny wpływ na ostateczny wynik sprawy, a więc stanowią dostateczną podstawę prawną do uchylenia punktu pierwszego zaskarżonej decyzji wydanej przez Prezesa UODO.
Przechodząc do oceny legalności zaskarżonej decyzji, należy na wstępie wyraźnie wskazać, że Prezes Urzędu Ochrony Danych Osobowych jest organem właściwym w sprawie ochrony danych osobowych (art. 34 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych) i jednocześnie organem nadzorczym, w rozumieniu rozporządzenia 2016/679 (art. 34 ust. 2 u.o.d.o.).
Jak stanowi przepis art. 57 ust. 1 lit. f RODO, bez uszczerbku dla innych zadań określonych na mocy niniejszego rozporządzenia, każdy organ nadzorczy na swoim terytorium monitoruje i egzekwuje stosowanie niniejszego rozporządzenia, m.in. rozpatrując skargi wniesione przez osobę, której dane dotyczą.
Nie ulega wątpliwości, że rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) stanowi kompleksową regulację dotyczącą ochrony danych osobowych, która nie wymaga implementacji ustawą krajową, aby mogła być stosowana w danym państwie.
Jednocześnie, państwom członkowskim Unii Europejskiej pozostawiono jednak pewien zakres swobody w zakresie regulacji na poziomie krajowym, aby niektóre zagadnienia doprecyzować (np. w przypadku organu nadzorczego, czy odpowiedzialności za naruszenie zasad ochrony danych osobowych), czy też dostosować zasady wprowadzone przez RODO do innych obowiązujących w danym porządku prawnym zasad.
Ze wskazanego wyżej przepisu art. 57 ust. 1 lit. f RODO wynika m.in., iż procedura, w ramach której prowadzone są postępowania zainicjowane skargą wniesioną przez osobę, której dane dotyczą, określana jest przez poszczególne państwa członkowskie Unii Europejskiej. Pozostawienie w tym zakresie państwom członkowskim autonomii jest wyrazem realizacji zasady autonomii proceduralnej państw członkowskich. W tej sytuacji, skargi są wnoszone i rozpatrywane na podstawie przepisów proceduralnych obowiązujących w danym państwie członkowskim UE.
Art. 60 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych stanowi, że postępowanie w sprawie naruszenia przepisów o ochronie danych osobowych, zwane dalej “postępowaniem”, jest prowadzone przez Prezesa Urzędu.
Nie ulega wątpliwości, że postępowanie w sprawie naruszenia przepisów o ochronie danych jest jednym z postępowań administracyjnych przed Prezesem Urzędu Ochrony Danych Osobowych. O takim jego charakterze rozstrzyga art. 7 ust. 1 ustawy o ochronie danych osobowych, który postępowanie z rozdziału 7 kwalifikuje jako administracyjne i przewiduje w sprawach w niej nieuregulowanych stosowanie do tego postępowania Kodeksu postępowania administracyjnego. Warto przy tym zauważyć, że ustawodawca w art. 7 ust. 1 cyt. ustawy nie przewiduje stosowania odpowiedniego, oznacza to zatem stosowanie przepisów ogólnej procedury administracyjnej wprost, z modyfikacjami wynikającymi z regulacji ustawy o ochronie danych osobowych.
Użyte w art. 60 u.o.d.o. określenie “naruszenie przepisów o ochronie danych osobowych” ma zakres szeroki i obejmuje naruszenia wszystkich przepisów o ochronie danych, zarówno zawartych w unijnym rozporządzeniu, jak i w przepisach krajowych, które uzupełniają lub modyfikują regulacje unijne.
Zgodnie z art. 7 ust. 1 u.o.d.o., w sprawach nieuregulowanych w ustawie do postępowań administracyjnych przed Prezesem Urzędu Ochrony Danych Osobowych, o których mowa w rozdziale 4-7 i 11 (a więc również w rozdziale 7 dotyczącym postępowania w sprawie naruszenia przepisów o ochronie danych osobowych), stosuje się przepisy Kodeksu postępowania administracyjnego.
Zdaniem Sądu, nie ulega wątpliwości, że związanie rygorami procedury administracyjnej oznacza, że Prezes UODO jest obowiązany m.in. do przestrzegania zasady pogłębiania zaufania obywateli do organów praworządnego Państwa (art. 8 § 1 k.p.a.). W tej sytuacji, organ nadzorczy, uwzględniając powyższą zasadę, zobowiązany jest przede wszystkim dokładnie wyjaśnić okoliczności sprawy, konkretnie ustosunkować się do żądań i twierdzeń strony skarżącej oraz uwzględnić w decyzji zarówno interes społeczny, jak i słuszny interes strony skarżącej. Organ nadzorczy jest ponadto obowiązany w sposób wyczerpujący zebrać i ocenić cały materiał dowodowy (art. 7, art. 77 § 1 i art. 80 k.p.a.) oraz uzasadnić swoje rozstrzygnięcie według wymagań określonych w przepisie art. 107 § 3 k.p.a.
Przedmiotem skargi, o której mowa w art. 57 ust. 1 lit. f RODO, może być na przykład brak dbałości administratora o merytoryczną poprawność przetwarzanych danych, przetwarzanie tych danych w innym celu niż ten, dla którego zostały zebrane, bezpodstawne nieudostępnianie danych. Skarga może dotyczyć również podejrzenia przetwarzania danych przez osobę nieuprawnioną.
Jeżeli zatem określona osoba zgłasza Prezesowi Urzędu Ochrony Danych Osobowych nieprawidłowości w zakresie przetwarzania swoich danych osobowych, organ ten jest zobligowany do wszczęcia postępowania wyjaśniającego, którego zadaniem jest ustalenie, czy dane osobowe są w istocie przetwarzane, a jeżeli tak, to w jakim celu i czy proces ten następuje z poszanowaniem przepisów zarówno RODO, jak i ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych.
Taka sytuacja miała miejsce w rozpoznawanej sprawie. Otóż, Prezes Urzędu Ochrony Danych Osobowych, rozpatrując skargę J.W. z dnia […] stycznia 2017 r., zobowiązany był dokonać oceny, czy w sprawie doszło w ogóle do przetwarzania danych osobowych skarżącego, a w konsekwencji, czy ewentualnie sporne przetwarzanie – o ile do niego rzeczywiście doszło – było zgodne z prawem, przy jednoczesnym uwzględnieniu okoliczności przetwarzania tych danych, jeśli miało ono miejsce, a także przy uwzględnieniu całokształtu zgromadzonego w sprawie materiału dowodowego oraz w kontekście odpowiednio zastosowanych przepisów prawa, w tym przede wszystkim przepisów RODO oraz ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych.
Należy zauważyć, iż w świetle przepisu art. 4 pkt 2 RODO, przez “przetwarzanie” rozumie się operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, takie jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie.
W tej sytuacji, mając na względzie powyższą definicję przetwarzania, Prezes Urzędu Ochrony Danych Osobowych, jako organ nadzorczy, zobowiązany był, analizując wniesioną w dniu […] stycznia 2017 r. skargę, przeprowadzić stosowne postępowanie wyjaśniające i na podstawie całokształtu zgromadzonego materiału dowodowego ustalić, czy powoływana przez skarżącego okoliczność bezprawnego przetwarzania jego danych osobowych została udowodniona.
Z uwagi na fakt, iż zarówno RODO, jak i ustawa o ochronie danych osobowych nie regulują kwestii postępowania dowodowego i powinności organu nadzorczego związanych z czynieniem ustaleń faktycznych, zastosowanie w tym zakresie znajdują reguły i zasady określone w Kodeksie postępowania administracyjnego.
Organ nadzorczy, rozstrzygając sprawę zainicjowaną wspomnianą skargą J.W., zobowiązany był więc uwzględnić fakt, iż dowodami w postępowaniu mogą być w szczególności dokumenty, zeznania świadków, opinie biegłych oraz oględziny (art. 75 § 1 k.p.a.).
Celem postępowania administracyjnego jest rozstrzygnięcie sprawy administracyjnej dotyczącej konkretnie wskazanego adresata. Jednym ze stadiów postępowania jest stadium wyjaśniające – pozwalające ustalić dokładny stan faktyczny w danej sprawie. W wyniku postępowania wyjaśniającego organ administracji publicznej ma dojść do wskazanej w art. 7 k.p.a. prawdy obiektywnej, co czyni za pomocą środków dowodowych.
Warto przy tym zauważyć, że Kodeks postępowania administracyjnego nie wskazuje dowodów “mocniejszych” oraz “słabszych”, przyjmując zasadę równej mocy środków dowodowych.
Kodeks postępowania administracyjnego nie określa również zamkniętego katalogu środków dowodowych, jakie mogą być stosowane w toku postępowania administracyjnego. Ustawodawca posłużył się jedynie przykładowym wyliczeniem, wskazując, że w szczególności mogą nimi być dokumenty, zeznania świadków, opinie biegłych oraz oględziny. Jako dowód może natomiast posłużyć wszystko, co jest zgodne z prawem i może przyczynić się do wyjaśnienia sprawy. Należy podkreślić, że chodzi tu o sprzeczność zarówno z prawem materialnym, jak i proceduralnym. Przyjęta w art. 75 § 1 k.p.a. koncepcja wskazuje, że wymienione przykładowo w tym przepisie dowody powinny zostać uznane za podstawowe i najczęściej stosowane w postępowaniu administracyjnym.
Mając na względzie powyższe, należy zauważyć, że Prezes UODO, przeprowadzając postępowanie wyjaśniające, uzyskał stosowne wyjaśnienia zarówno od podmiotów, które – według wnoszącego skargę – miały bezprawnie przetwarzać jego dane osobowe, tj. […] oraz […], jak i od samego J.W. – klienta skarżącego Banku, który wniósł wspomnianą skargę z dnia […] stycznia 2017 r.
Jak wynika z ustaleń organu nadzorczego dane osobowe J.W. zostały pozyskane przez […] w związku z zawartą w dniu […] marca 2010 r. umową kredytową. Dane te obejmowały: imię, nazwisko, nr PESEL, nr dowodu osobistego, płeć, data urodzenia, adres zamieszkania, w celu wykonywania czynności związanych z działalnością bankową.
Ponadto, z ustaleń tych wynika, że w kwietniu 2010 r. skarżący Bank, powołując się na przepisy art. 105 ust. 4 oraz art. 105a ust. 1 ustawy z dnia 29 sierpnia 1997r. – Prawo bankowe, przekazał do […] dane osobowe J.W. obejmujące jego imię, nazwisko, nr PESEL, nr dowodu osobistego, płeć, data urodzenia, adres zamieszkania.
W dniu […] października 2011 r. J.W. zawarł ze skarżącym Bankiem ugodę nr […], na mocy której ustalono warunki spłaty wierzytelności przysługującej Bankowi względem wspomnianego klienta.
Niemniej, z uwagi na zwłokę w realizacji zobowiązań, w dniu […] maja 2016 r. […] wysłał do J.W. listem poleconym pismo “Ostateczne wezwanie do zapłaty”, które zawierało informację o zamiarze skorzystania z prawa do przetwarzania informacji stanowiących tajemnicę bankową na podstawie art. 105a ust. 3 ustawy – Prawo bankowe przez okres 5 lat po wygaśnięciu zobowiązania, bez zgody osoby, której te informacje dotyczą oraz o możliwości przetwarzania tych informacji przez […] oraz inne instytucje wskazane w art. 105a ust. 1 ustawy – Prawo bankowe (vide: wydruk z książki nadawczej – Pisma […]) z dnia […] maja 2016 r. – POLECONE, KN nr: […] […] nr […] – w aktach administracyjnych sprawy).
W dniu […] lipca 2016 r. nastąpiła całkowita spłata zobowiązania J.W. wobec skarżącego Banku i od tego dnia – jak stwierdził organ nadzorczy – […] przetwarza dane osobowe J.W. w […] na podstawie art. 105a ust. 3 ustawy – Prawo bankowe.
Z ustaleń organu nadzorczego wynika jednocześnie, że w dniu […] sierpnia 2016 r. oraz […] października 2016 r. J.W. wystąpił do […] o zaprzestanie przetwarzania jego danych osobowych w zakresie oceny zdolności kredytowej i analizy ryzyka kredytowego. J.W. nie zakwestionował wprawdzie powstania zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej przez niego ze skarżącym Bankiem, ale zaprzeczył, jakoby […] spełnił obowiązek poinformowania go o zamiarze przetwarzania dotyczących jego informacji stanowiących tajemnicę bankową bez jego zgody, co było wymagane zgodnie z art. 105a ust. 3 ustawy – Prawo bankowe.
W tej sytuacji, nakazując skarżącemu Bankowi w pkt. 1 zaskarżonej decyzji zaprzestanie przetwarzania danych osobowych uczestnika postępowania dotyczących umowy kredytowej nr […] w systemie […], przetwarzanych na podstawie art. 105a ust. 3 i ust. 5 Prawa bankowego, Prezes UODO w uzasadnieniu swojego stanowiska m. in. wskazał, że skarżący Bank nie był uprawniony do przetwarzania danych osobowych klienta z uwagi na niespełnienie łącznie warunków, o których mowa w art. 105a ust. 3 Pr.bank., z uwagi na to, że klient “nie został skutecznie poinformowany o zamiarze przetwarzania dotyczących jego informacji stanowiących tajemnicę bankową, bez jego zgody po wygaśnięciu zobowiązania wynikającego z umowy kredytowej”. Organ nadzorczy uznał bowiem, że wyrażony w przepisie art. 105a ust. 3 Prawa bankowego wymóg poinformowania osoby, której informacje dotyczą, wiąże się z koniecznością dysponowania przez Bank dowodem skutecznego doręczenia takiej informacji. Przy czym, za taki dowód organ nadzorczy nie uznał wydruku z książki nadawczej, który potwierdza wysłanie do klienta przesyłką poleconą informacji o ww. przetwarzaniu, gdyż – według organu nadzorczego – wspomniany wydruk nie stanowi dowodu no okoliczność, iż “korespondencja ta została [klientowi] skutecznie doręczona”.
Zgodnie z art. 105a ust. 3 ustawy z dnia 29 sierpnia 1997 r. – Prawo bankowe, banki, instytucje oraz podmioty, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową i informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank, inną instytucję ustawowo upoważnioną do udzielania kredytów, instytucję pożyczkową albo podmiot, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, o zamiarze przetwarzania dotyczących jej tych informacji, bez jej zgody.
W tej sytuacji uznać należy, że przepis art. 105a ust. 3 Prawa bankowego dopuszcza możliwość przetwarzania informacji stanowiących tajemnicę bankową dotyczących osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której informacje dotyczą, gdy:
– osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem lub inna instytucja ustawowo upoważniona do udzielania kredytów,
– a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank lub inna instytucie ustawowo upoważniona do udzielania kredytów o zamiarze przetwarzania dotyczących jej informacji stanowiących tajemnice bankowa bez jej zgody.
Okres przetwarzania informacji w takim wypadku nie może być dłuższy niż 5 lat od wygaśnięcia zobowiązania.
Z uwagi na fakt, że ziszczenie się pierwszej przesłanki legalizującej przetwarzanie danych osobowych J.W. przez skarżący Bank nie budzi żadnych wątpliwości, w niniejszej sprawie przedmiotem sporu było spełnienie przez skarżący Bank drugiej przesłanki, a więc “poinformowania” klienta o zamiarze przetwarzania.
Nie ulega wątpliwości, że przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów oraz instytucje utworzone na podstawie art. 105 ust. 4, informacji stanowiących tajemnicę bankową w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem art. 104, art. 105 i art. 106-106c, w celu oceny zdolności kredytowej i analizy ryzyka kredytowego.
Wspomniane instytucje mogą, z zastrzeżeniami wyraźnie ustalonymi w ustawie – Prawo bankowe, przetwarzać informacje stanowiące tajemnicę bankową w zakresie dotyczącym osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, pod warunkiem uzyskania pisemnej zgody osoby, której informacje te dotyczą. Zgoda ta może być w każdym czasie odwołana.
Instytucje te mogą przetwarzać informacje stanowiące tajemnicę bankową dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank lub inną instytucję ustawowo upoważnioną do udzielania kredytów o zamiarze przetwarzania dotyczących jej informacji stanowiących tajemnicę bankową, bez jej zgody.
Banki oraz instytucje, o których mowa w art. 105 ust. 4, mogą przetwarzać informacje stanowiące tajemnicę bankową dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, bez zgody osoby, której informacje dotyczą, dla celów stosowania metod statystycznych, o których mowa w art. 128 ust. 3.
Przetwarzanie informacji stanowiących tajemnicę bankową w przypadkach, o których mowa w ust. 3, może być wykonywane przez okres nie dłuższy niż 5 lat od dnia wygaśnięcia zobowiązania, a w przypadku, o którym mowa w ust. 4, przez okres 12 lat od dnia wygaśnięcia zobowiązania.
Dopuszczalność przetwarzania informacji stanowiących tajemnicę bankową przez instytucje utworzone na podstawie art. 105 ust. 4 Prawa bankowego po wygaśnięciu zobowiązania wynikającego z umowy, bez zgody osoby, której informacje takie dotyczą, wprowadziła regulacja zawarta w art. 105a ust. 3 Prawa bankowego. Zgodnie z tym przepisem banki, instytucje ustawowo upoważnione do udzielania kredytów oraz instytucje utworzone na podstawie art. 105 ust. 4 Prawa bankowego mogą przetwarzać informacje stanowiące tajemnicę bankową, dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank lub inną instytucję ustawowo upoważnioną do udzielania kredytów o zamiarze przetwarzania dotyczących jej informacji stanowiących tajemnicę bankową, bez jej zgody.
Należy podkreślić, że jeśli w okresie 30 dni od powiadomienia o zamiarze przetwarzania informacji jego dotyczących bez zgody po wygaśnięciu zobowiązania klient spłacił całą zaległość wobec banku, to po upływie 30. dnia bank i inna instytucja upoważniona do udzielania kredytów oraz instytucja z art. 105 ust. 4 Pr.bank. nie mogą przetwarzać informacji bez jego zgody. Termin trzydziestodniowy został bowiem wprowadzony w celu zapewnienia konsumentowi ostatecznej możliwości wywiązania się z zobowiązań wobec banku i uniknięcia tym samym sankcji w postaci przetwarzania o nim informacji jako o niesolidnym dłużniku przez okres 5 lat.
Przechodząc do analizy przepisu art. 105a ust. 3 Prawa bankowego, należy wyraźnie podkreślić, iż ustawodawca nie stworzył żadnych szczególnych wymogów formalnych, co do sposobu i treści poinformowania klienta lub byłego klienta banku o zamiarze przetwarzania jego danych. Nie oznacza to jednak całkowitej dowolności w tym zakresie. Jakkolwiek ustawodawca w żaden sposób nie ograniczył sposobów i form takiego powiadomienia, jednakże w każdym wypadku sposób ten powinien umożliwić zweryfikowanie faktu poinformowania klienta banku o zamierzonym przetwarzaniu jego danych osobowych lub też przynajmniej potwierdzenie, że klientowi umożliwiono zapoznanie się z taką informacją.
W ocenie Sądu, warto podkreślić, iż dokonując analizy przepisu art. 105a ust. 3 Prawa bankowego, nie powinno się abstrahować od istoty (celu) wprowadzenia instytucji przetwarzania danych osobowych dłużników na mocy art. 105a ust. 3 cyt. ustawy, w oparciu o który dane osobowe dłużnika są przetwarzane bez jego zgody. Należy pamiętać, że […] ma za zadanie przetwarzać dane nierzetelnych dłużników, tj. osób, które pomimo zaciągnięcia określonego zobowiązania wobec banku, nie wywiązują się z umowy i nie spłacają swojego zobowiązania przez okres dłuższy niż 60 dni. Ponadto, uznać należy, że celem art. 105a ust. 3 ustawy – Prawo bankowe nie jest ochrona nierzetelnego dłużnika, lecz ochrona sektora bankowego przed wyłudzaniem kolejnych pożyczek, czy też kredytów przez osoby, które takich zobowiązań następnie nie spłacają. W tej sytuacji, zdaniem Sądu, przyjąć należy, że otoczenie osób, których dane są przetwarzane w […] na podstawie art. 105a ust. 3 Pr.bank., dodatkową ochroną prawną, może stanowić istotne wypaczenie sensu tejże regulacji ustawowej.
Warto zauważyć, na co słusznie zwraca uwagę również strona skarżąca, że jeśli przyjęlibyśmy prezentowaną przez Prezesa UODO wykładnię art. 105a ust. 3 ustawy – Prawo bankowe, ułatwilibyśmy nierzetelnym dłużnikom podejmowanie dosyć prostych działań polegających na uchylaniu się od osobistego odbioru korespondencji, w celu uniknięcia ujęcia ich danych osobowych w […].
Mając na względzie powyższe, Sąd uznał, zgadzając się w tym zakresie ze stanowiskiem skarżącego Banku, że prawidłowa wykładania art. 105a ust. 3 ustawy – Prawo bankowe winna prowadzić do wniosku, że trzydziestodniowy termin, po upływie którego jest możliwe przetwarzanie danych osobowych osoby, która dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, bez jej zgody, biegnie od momentu, gdy osoba ta została poinformowana przez Bank o takim zamiarze, przy czym – co istotne – sformułowanie “poinformować” należy rozumieć, jako rzeczywiste umożliwienie klientowi banku zaznajomienie się z ww. informacją.
Powyższe, w ocenie Sądu, wynika z wykładni językowej omawianej przesłanki (“poinformować” oznacza “udzielić informacji, powiadomić o czymś”), a więc gdyby ustawodawca rzeczywiście chciał uzależnić możliwość przetwarzania danych osobowych w warunkach, o których mowa w art. 105a ust. 3 Prawa bankowego, od skutecznego doręczenia klientowi banku wspomnianej informacji – jak twierdzi organ nadzorczy – to takiego sformułowania użyłby niewątpliwie wprost w omawianym przepisie.
Ponadto, przyjąć należy, że za powyższą interpretacją normy prawnej wyrażonej w art. 105a ust. 3 ustawy – Prawo bankowe przemawia również wykładania celowościowa przepisów art. 105a ust. 3 w zw. z art. 105a ust. 1 ustawy – Prawo bankowe, z której wprost wynika, że celem ustawodawcy było pozwolenie bankom oraz instytucjom wskazanym w tych przepisach, w tym m.in. […], na przetwarzanie danych osobowych klienta (bez jego zgody), który nieterminowo spełnia swoje świadczenia, w celu umożliwienia ww. instytucjom realnej oceny zdolności kredytowej oraz analizy ryzyka kredytowego wobec takiego klienta. Oznacza to, jak słusznie zauważył skarżący Bank, że brak takiej możliwości wiązałby się z wyraźnym ryzykiem, że klient, który spóźnił się ze spełnieniem swojego świadczenia powyżej 60 dni, w przyszłości otrzymałby kredyty na warunkach bardziej preferencyjnych, aniżeli pozwala na to analiza ryzyka kredytowego. W konsekwencji, podkreślić należy, że ratio legis omawianego przepisu art. 105a ust. 3 cyt. ustawy stanowi ochrona sektora finansowego przed ponownym udzielaniem kredytów i pożyczek osobom, które takich zobowiązań nie są w stanie spłacić.
W tej sytuacji, zdaniem Sądu, uznać należy, że organ nadzorczy przyjął błędną interpretację słowa “poinformować”, które miałoby oznaczać skuteczne doręczenie, a która prowadziłaby do konieczności dysponowania przez skarżący Bank potwierdzeniem odbioru powiadomienia o przetwarzaniu danych osobowych, które de facto wiązałaby się z blokadą całego procesu informacyjnego, co w konsekwencji mogłoby doprowadzić do sytuacji, w której dłużnik mógłby uchylać się od składania stosowanych oświadczeń, aby w przyszłości móc otrzymać kredyt na warunkach nieadekwatnych do jego zdolności kredytowych.
W ocenie Sądu, trzeba pamiętać jednak, że wprawdzie ustawodawca w żaden sposób nie ograniczył sposobów i form takiego zawiadomienia, jednakże w każdym wypadku sposób ten powinien umożliwić zweryfikowanie faktu poinformowania klienta banku o zamierzonym przetwarzaniu jego danych osobowych lub też przynajmniej potwierdzeniem, że klientowi umożliwiono zapoznanie się z taką informacją.
Mając na względzie powyższe, a także uwzględniając zgromadzony w toku postępowania wyjaśniającego materiał dowodowy – uznać należy, że organ nadzorczy w sposób nieprawidłowy dokonał interpretacji art. 105a ust. 3 ustawy – Prawo bankowe, co w konsekwencji doprowadziło do błędnego przyjęcia w niniejszej sprawie, że skarżący Bank nie miał podstaw do przetwarzania danych osobowych klienta, bez jego zgody.
Otóż, wskazać należy, że wysyłając J.W. w dniu 9 maja 2016 r. przesyłką poleconą informację o przetwarzaniu jego danych osobowych (vide: dowód z wydruku z książki nadawczej – pisma […] z dnia […] maja 2016 r. – POLECONE, KN nr: […] i […] nr […] – w aktach administracyjnych niniejszej sprawy), skarżący Bank umożliwił tej osobie zaznajomienie się z powyższą informacją. W konsekwencji, zdaniem Sądu, od dnia […] czerwca 2016 r. skarżący Bank mógł przetwarzać dane osobowe J.W., bez jego zgody, w tym poprzez ich przekazanie do […].
W ocenie Sądu, organ nadzorczy zignorował fakt, iż skarżący Bank wysłał powyższą informację o przetwarzaniu danych osobowych J.W. na wskazany przez niego adres w umowie kredytowej. W tej sytuacji, wbrew sugestiom organu nadzorczego, uznać należy, że skoro przesyłka polecona zaadresowana do J.W. nie została zwrócona, to przesyłka, w której znajdowała się informacja o przetwarzaniu danych osobowych zgodnie z art. 105a ust. 3 ustawy – Prawo bankowe, została skutecznie doręczona temu klientowi.
Jednocześnie, warto zauważyć, że również w świetle art. 17 ustawy – Prawo pocztowe, przyjąć należy, iż skarżący Bank dysponuje dowodem na przekazanie J.W. informacji o zamiarze przetwarzania jego danych osobowych bez jego zgody.
W tej sytuacji, skarżący Bank zasadnie zarzucił Prezesowi UODO, że brak było podstaw, aby przyjąć, iż przedstawiony w toku postępowania wydruk ostemplowanej książki nadawczej nie stanowił dowodu na udostępnienie J.W. informacji o zamiarze przetwarzania jego danych osobowych bez jego zgody.
Wojewódzki Sąd Administracyjny w Warszawie uznał tym samym, że Prezes UODO, wydając sporną decyzję, dopuścił się jednocześnie – mogącego mieć zasadniczy wpływ na wynik sprawy – naruszenia przepisów procedury administracyjnej, a w szczególności art. 7 k.p.a., art. 77 § 1 k.p.a., art. 80 k.p.a., a także art. 107 § 3 k.p.a. w zw. z art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych, polegającego przede wszystkim na przekroczeniu granic swobodnej oceny dowodów i w konsekwencji – błędnym przyjęciu, że przedłożony przez skarżący Bank wydruk z książki nadawczej nie stanowi dowodu poinformowania J.W. o zamiarze przetwarzania jego danych osobowych bez jego zgody, o którym mowa w art. 105a ust. 3 ustawy – Prawo Bankowe, podczas gdy, w ocenie Sądu, jest to dostateczny dowód przekazania wymaganej przez art. 105a ust. 3 cyt. ustawy informacji klientowi banku.
Mając na względzie powyższe, Wojewódzki Sąd Administracyjny w Warszawie – działając na podstawie przepisu art. 145 § 1 pkt 1 lit. a i c P.p.s.a. – orzekł, jak w sentencji wyroku.
Zasądzając jednocześnie od Prezesa Urzędu Ochrony Danych Osobowych na rzecz skarżącego Banku kwotę 697 złotych tytułem zwrotu kosztów postępowania sądowego, Sąd działał na podstawie przepisów art. 200 P.p.s.a. oraz art. 205 § 2 P.p.s.a. w związku z art. 209 P.p.s.a. |
