Ten wyrok NSA jest istotny przede wszystkim procesowo: dotyczy granic sądowej kontroli decyzji Prezesa UODO oraz tego, czy sąd administracyjny może „naprawiać” decyzję organu poprzez dopowiadanie ustaleń i rozważań, których organ w uzasadnieniu nie przeprowadził. NSA uchylił zarówno wyrok WSA w Warszawie, jak i decyzję Prezesa UODO. Punktem wyjścia była decyzja Prezesa UODO, wydana po postępowaniu ze skargi M.G. i W.G., w której organ udzielił bankowi upomnienia „w związku z naruszeniem art. 5 ust. 1 lit. f oraz art. 24 ust. 1 i art. 32 ust. 1 i 2 RODO, polegającym na zagubieniu przesyłki zawierającej dane osobowe skarżących”. Z ustaleń opisanych w uzasadnieniu wynika, że w dniu 1 kwietnia 2019 r. oddział banku nadał do centrali przesyłkę z dokumentacją bankową; przesyłka „powinna dotrzeć do Centrali Banku w dniu 2 kwietnia 2019 r.”. Bank podjął działania wyjaśniające: „w dniu 3 kwietnia 2019 r. Bank podjął działania w celu wyjaśnienia… opóźnienia”, następnie „w dniu 8 kwietnia 2019 r. Bank złożył oficjalną reklamację”. Operator wskazał, że „w dniu 16 kwietnia 2019 r. firma kurierska poinformowała Bank o zmianie statusu przesyłki na status zagubionej”, a ostatecznie „w dniu 10 maja 2019 r. … nie zdołała zlokalizować przesyłki i zakończyła próby jej poszukiwania”. W przesyłce znajdowały się m.in.: pełnomocnictwo, umowy rachunków i kart oraz ankieta inwestycyjna i jej wynik. NSA przytacza, że na dokumentach były m.in. „imię, nazwisko, PESEL, adres zameldowania, numery rachunków bankowych, numer CIF” (dla skarżącej) oraz „imię, nazwisko i PESEL” (dla skarżącego). Bank – według relacji w uzasadnieniu – po incydencie wdrożył działania o charakterze organizacyjnym, m.in. komunikaty do pracowników dotyczące prawidłowego zaklejania kopert, oraz „obowiązek pakowania dokumentów przygotowanych do wysyłki w dwie koperty” WSA oddalił skargę banku, przyjmując m.in.: perspektywę rozliczalności i zarządzania ryzykiem (w uzasadnieniu przedstawiono wywód o ciągłej ocenie ryzyka i konieczności wykazywania adekwatności zabezpieczeń). Jednak w kasacji bank wprost postawił zarzuty procesowe, że organ nie poczynił pełnych ustaleń, a WSA dokonał samodzielnych ustaleń […]