Zaskarżoną decyzją wydaną na podstawie art. 104 § 1 k.p.a., art. 6 ust. 1 lit. f RODO, w zw. z art. 105a ust. 3 Prawo bankowe, organ, po przeprowadzeniu postępowania administracyjnego w sprawie ze skargi w przedmiocie nieprawidłowości w procesie przetwarzania danych osobowych skarżącej przez G. S.A. (dalej “bank”), polegających na udostępnieniu danych osobowych skarżącej do bazy Bankowy Rejestr, prowadzonej przez Związek […] z siedzibą w […], bez podstawy prawnej odmówił jej uwzględnienia.
Bank poinformował skarżącą, że z uwagi na nieterminowe wywiązywanie się z postanowień wynikających z umowy kredytowej nr […], a tym samym wystąpieniem przesłanek określonych w art. 105a ust. 3 Prawa bankowego, bank może przetwarzać dane osobowe skarżącej w SBR, a fakt całkowitej spłaty zobowiązania nie jest podstawą do usunięcia wpisu z ww. rejestru, gdyż w myśl art. 105a ust. 5 dane te mogą być wykorzystywanie bez zgody skarżącej przez okres 5 lat od dnia wygaśnięcia zobowiązania.
Opisanym na wstępie wyrokiem Sąd pierwszej instancji oddalił skargę na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (tekst jedn. Dz. U. z 2022 r., poz. 329 ze zm.), dalej jako “P.p.s.a.” uznając, że zaskarżone rozstrzygnięcie nie narusza prawa
Mając na uwadze powyższe zapatrywania podzielić jednakże należy generalne stanowisko, iż przy analizie przepisu art. 105a ust. 3 ustawy – Prawo bankowe nie powinno się także abstrahować od istoty (celu) wprowadzenia instytucji przetwarzania danych osobowych dłużnika bez jego zgody na mocy tego przepisu ustawy. Ustawodawca w treści wskazanego przepisu odniósł się bowiem do kwestii przetwarzania danych nierzetelnych dłużników, to jest osób, które pomimo zaciągnięcia określonego zobowiązania wobec banku, nie wywiązują się z umowy i nie spłacają swojego zobowiązania, chroniąc w ten sposób inne podmioty przed wyłudzaniem kolejnych pożyczek, a także pośrednio – rzetelnych kredytobiorców.
Przy takiej wykładni, sformułowanie użyte w przepisie art. 105a ust. 3 ustawy – Prawo bankowe, dotyczące obowiązku informacyjnego banku, musi więc oznaczać, że nie jest to tylko obowiązek formalny. Jakkolwiek ustawodawca w żaden sposób nie ograniczył sposobów i form takiego powiadomienia, to sposób ten powinien umożliwić zweryfikowanie faktu wykonania przez bank obowiązku poinformowania klienta banku o zamierzonym przetwarzaniu jego danych osobowych.
Jak wskazano w orzecznictwie (zob. przywołany wyrok Naczelnego Sądu Administracyjnego z dnia 16 stycznia 2024 r.; sygn. akt III OSK 3233/21) “poinformowanie” może nastąpić np. osobiście w placówce banku lub innego podmiotu wymienionego w art. 105a ust. 3 Prawa bankowego, poprzez przesyłkę doręczaną listownie lub przez pracownika banku albo innego uprawnionego podmiotu, a nawet nie można również wykluczyć możliwości skierowania takiej informacji drogą elektroniczną (o ile strony w zawartej umowie taką formę korespondencji przewidziały przez bank w tym zakresie z podmiotem zewnętrznym).
Z akt wynika, że bank podjął działania zmierzające do zrealizowania tego obowiązku wysyłając pismo ze stosowną informacją (za zwrotnym potwierdzeniem odbioru) na podany przez skarżącą kasacyjnie (widniejący w umowie kredytowej) adres do korespondencji, którego to pisma skarżąca kasacyjnie – pomimo możliwości w tym zakresie – nie odebrała.
Skoro przesyłka miała charakter rejestrowany przyjąć należy, że bank dysponuje dowodem na przekazanie skarżącej kasacyjnie informacji o zamiarze przetwarzania jej danych osobowych bez jej zgody, który to dowód w świetle art. 17 ustawy dnia 23 listopada 2012 r. – Prawo pocztowe (obecny publikator: Dz. U. z 2023 r., poz. 1640 ze zm.) ma walor dokumentu urzędowego.
Za prawidłowe uznać należy zapatrywanie przedstawione przez organ w odpowiedzi na skargę kasacyjną, że uznanie zasadności twierdzeń skarżącej kasacyjnie prowadziłoby w istocie do zaakceptowania sytuacji, w której nierzetelny klient banku mógłby celowo nie odbierać prawidłowo kierowanej do niego korespondencji, aby uniknąć negatywnych skutków w postaci przetwarzania jego danych osobowych bez jego zgody, po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem.
