Centralna Baza Orzeczeń Sądów Administracyjnych

Naczelny Sąd Administracyjny w składzie: Przewodniczący: Sędzia NSA Piotr Korzeniowski Sędziowie: Sędzia NSA Małgorzata Masternak - Kubiak Sędzia del. WSA Mariusz Kotulski (spr.) Protokolant: asystent sędziego Krzysztof Książek po rozpoznaniu w dniu 16 stycznia 2024 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej Prezesa Urzędu Ochrony Danych Osobowych od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 10 marca 2020 r. sygn. akt II SA/Wa 2037/19 w sprawie ze skargi [...] S.A. z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] lipca 2019 r. nr [...] w przedmiocie przetwarzania danych osobowych 1. uchyla zaskarżony wyrok i oddala skargę, 2. zasądza od [...] S.A. z siedzibą w [...] na rzecz Prezes Urzędu Ochrony Danych Osobowych kwotę 580 (pięćset osiemdziesiąt) złotych tytułem zwrotu kosztów postępowania kasacyjnego.

Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 10 marca 2020 r. sygn. akt II SA/Wa 2037/19, po rozpoznaniu sprawy ze skargi S. S. A. z siedzibą w W. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] lipca 2019 r. nr [...]. w przedmiocie przetwarzania danych osobowych, uchylił pkt 1 zaskarżonej decyzji (pkt 1), a także zasądził od Prezesa Urzędu Ochrony Danych Osobowych na rzecz S. S. A. z siedzibą w W. kwotę 697 złotych tytułem zwrotu kosztów postępowania sądowego (pkt 2).

Wyrok zapadł w następującym stanie faktycznym i prawnym sprawy.

W piśmie z dnia 10 stycznia 2017 r. J.W. (dalej: "skarżący") wniósł do Generalnego Inspektora Ochrony Danych Osobowych skargę na bezprawne przetwarzanie i administrowanie jego danymi osobowymi przez S. S.A. z siedzibą w W. (dalej: "Bank") w B. S.A. z siedzibą w W.

W petitum skargi J.W. wniósł o:

1) zobowiązanie S. S.A. z siedzibą w W. do aktualizacji danych osobowych skarżącego w rejestrze B. S.A. z siedzibą w W. w zakresie umowy kredytowej nr [...] (poprzedni numer [...]) z dnia 9 marca 2010 r., zgodnie ze stanem faktycznym i prawnym - poprzez:

a) dokonanie zamknięcia rachunku z datą zawarcia porozumienia pomiędzy J.W. a S. S.A. oraz otwarcia nowego rachunku obejmującego płatności stanowiące przedmiot ugody, albo

b) zaprzestanie ewidencjonowania rachunku, jako "w windykacji" od dnia zawarcie ugody.

W związku z wniesioną skargą Prezes Urzędu Ochrony Danych Osobowych (dalej: "Prezes UODO", "organ nadzorczy") przeprowadził stosowne postępowanie wyjaśniające, w wyniku którego zgromadził odpowiedni materiał dowodowy, ustalając stan faktyczny konieczny do wydania rozstrzygnięcia.

W toku postępowania wyjaśniającego organ nadzorczy ustalił, że dane osobowe J.W. zostały pozyskane przez S. S.A. w związku z zawartą w dniu 9 marca 2010 r. umową kredytową. Dane te obejmowały:imię, nazwisko, nr PESEL, nr dowodu osobistego, płeć, data urodzenia, adres zamieszkania, w celu wykonywania czynności związanych z działalnością bankową.

W kwietniu 2010 r. S. S.A., powołując się na przepisy art. 105 ust. 4 oraz art. 105a ust. 1 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz. U. z 2018 r., poz. 2187 ze zm., zwana dalej: "Prawo bankowe"), przekazał do B. dane osobowe J.W. obejmujące jego imię, nazwisko, nr PESEL, nr dowodu osobistego, płeć, data urodzenia, adres zamieszkania.

W dniu 5 października 2011 r. J.W. zawarł z S. S.A. ugodę nr [...], dotyczącą ustalenia warunków spłaty wierzytelności przysługującej S. S.A. względem J.W. (treść ugody w aktach administracyjnych).

W dniu 9 maja 2016 r. S. S.A. wysłał do J.W. listem poleconym pismo "Ostateczne wezwanie do zapłaty", które zawierało informację o zamiarze skorzystania z prawa do przetwarzania informacji stanowiących tajemnicę bankową na podstawie art. 105a ust. 3 ustawy - Prawo bankowe przez okres 5 lat po wygaśnięciu zobowiązania, bez zgody osoby, której te informacje dotyczą oraz o możliwości przetwarzania tych informacji przez B. oraz inne instytucje wskazane w art. 105a ust. 1 ustawy - Prawo bankowe (vide: wydruk z książki nadawczej - Pisma [...] z dnia 9 maja 2016 r. - POLECONE, KN nr: [...] znajduje się w aktach sprawy).

W dniu 29 lipca 2016 r. nastąpiła całkowita spłata zobowiązania J.W. wobec S. S.A. i od tego dnia - jak stwierdził organ nadzorczy – S. S.A. przetwarza dane osobowe J.W. w B. na podstawie art. 105a ust. 3 ustawy - Prawo bankowe.

Z ustaleń organu nadzorczego wynika, że w dniu 18 sierpnia 2016 r. oraz 11 października 2016 r. J.W. wystąpił do S. S.A. o zaprzestanie przetwarzania jego danych osobowych w zakresie oceny zdolności kredytowej i analizy ryzyka kredytowego. J.W. nie zakwestionował wprawdzie powstania zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej przez niego z S. S.A., ale zaprzeczył, jakoby S. S.A. spełnił obowiązek poinformowania go o zamiarze przetwarzania dotyczących jego informacji stanowiących tajemnicę bankową bez jego zgody, co było wymagane zgodnie z art. 105a ust. 3 ustawy - Prawo bankowe.

W wyniku analizy zgromadzonego materiału dowodowego, Prezes Urzędu Ochrony Danych Osobowych decyzją z dnia [...] lipca 2019 r., nr [...], działając na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2018 r., poz. 2096 ze zm., zwana dalej: "k.p.a.") oraz art. 160 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2018 r., poz. 1000 ze zm., zwana dalej: "u.o.d.o.") oraz art. 12 i art. 18 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r., poz. 922 ze zm., zwana dalej: "u.o.d.o. z 1997 r.") w związku z art. 105 ust. 4 i art. 105a ust. 1 i 3 ustawy - Prawo bankowe:

1) nakazał S. S.A. zaprzestanie przetwarzania danych osobowych skarżącego J.W., zamieszkałego w C., [...] K., dotyczących umowy kredytowej nr [...] (poprzedni numer [...]) w systemie B. S.A., przetwarzanych na podstawie art. 105a ust. 3 i ust. 5 ustawy z dnia 29 sierpnia 1997 r. - Prawo bankowe (pkt 1 zaskarżonej decyzji),

2) w pozostałym zakresie odmówił uwzględnienia wniosku (pkt 2 zaskarżonej decyzji).

W piśmie z dnia 9 sierpnia 2019 r. S. S.A. wniósł skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie.

W odpowiedzi na skargę Prezes Urzędu Ochrony Danych Osobowych wniósł o jej oddalenie, podtrzymując swoje dotychczasowe stanowisko wyrażone w uzasadnieniu zaskarżonej decyzji.

Wojewódzki Sąd Administracyjny w Warszawie w powołanym wyżej wyroku uznał, że skarga była zasadna i zasługiwała na uwzględnienie, albowiem zaskarżona decyzja Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] lipca 2019 r., w zakresie punktu pierwszego nakazującego zaprzestanie przetwarzania danych osobowych - narusza w sposób istotny obowiązujące przepisy prawa.

Uzasadniając swoje stanowisko Sąd I instancji wskazał, że wydając zaskarżoną decyzję z dnia [...] lipca 2019 r., Prezes Urzędu Ochrony Danych Osobowych w sposób nieuzasadniony nakazał skarżącemu Bankowi zaprzestanie przetwarzania danych osobowych J.W. dotyczących umowy kredytowej nr [...] w systemie B. S.A., albowiem - rozstrzygając w tym zakresie - organ nadzorczy naruszył w sposób istotny przepis art. 105a ust. 3 ustawy - Prawo bankowe, dokonując jego błędnej wykładni polegającej na nieuprawnionym przyjęciu, że wykonanie obowiązku informacyjnego, o którym mowa w tym przepisie, polega na skutecznym doręczeniu klientowi banku informacji o zamiarze przetwarzania jego danych osobowych bez jego zgody, gdy tymczasem - jak słusznie zauważyła strona skarżąca - prawidłowa interpretacja tego przepisu winna prowadzić do przyjęcia, iż "poinformowanie" oznacza jedynie rzeczywiste umożliwienie klientowi banku zaznajomienia się ze wspomnianą informacją.

Wojewódzki Sąd Administracyjny w Warszawie uznał ponadto, że Prezes Urzędu Ochrony Danych Osobowych, wydając sporną decyzję, dopuścił się jednocześnie - mogącego mieć zasadniczy wpływ na wynik sprawy - naruszenia przepisów procedury administracyjnej, a w szczególności art. 7 k.p.a., art. 77 § 1 k.p.a., art. 80 k.p.a., a także art. 107 § 3 k.p.a. w zw. z art. 7 ust. 1 u.o.d.o., polegającego przede wszystkim na przekroczeniu granic swobodnej oceny dowodów i w konsekwencji błędnym przyjęciu, że przedłożony przez skarżący Bank wydruk z książki nadawczej nie stanowi dowodu poinformowania J.W. o zamiarze przetwarzania jego danych osobowych bez jego zgody, o którym mowa w art. 105a ust. 3 ustawy - Prawo Bankowe, podczas gdy, w ocenie Sądu, jest to dostateczny dowód przekazania wymaganej przez art. 105a ust. 3 cyt. ustawy informacji klientowi banku.

Sąd I instancji stwierdził, że organ administracji publicznej, wydając zaskarżoną decyzję administracyjną z dnia [...] lipca 2019 r. - dopuścił się w powyższym zakresie istotnego naruszenia zasady praworządności wyrażonej w przepisach art. 6 k.p.a. i art. 7 in principio k.p.a. oraz art. 7 Konstytucji RP.

Zdaniem Sądu, zarówno naruszenie powołanych wyżej przepisów procedury administracyjnej, jak i związana z tym uchybieniem niewłaściwa ocena prawidłowości zastosowania kluczowych dla rozstrzygnięcia sprawy przepisów prawa materialnego, a przede wszystkim błędna analiza normy prawnej wyrażonej w przepisie art. 105a ust. 3 ustawy - Prawo bankowe, miały istotny wpływ na ostateczny wynik sprawy, a więc stanowią dostateczną podstawę prawną do uchylenia punktu pierwszego zaskarżonej decyzji wydanej przez Prezesa UODO.

Sąd uznał, zgadzając się w tym zakresie ze stanowiskiem skarżącego Banku, że prawidłowa wykładania art. 105a ust. 3 ustawy - Prawo bankowe powinna prowadzić do wniosku, że trzydziestodniowy termin, po upływie którego jest możliwe przetwarzanie danych osobowych osoby, która dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, bez jej zgody, biegnie od momentu, gdy osoba ta została poinformowana przez Bank o takim zamiarze, przy czym - co istotne - sformułowanie "poinformować" należy rozumieć, jako rzeczywiste umożliwienie klientowi banku zaznajomienie się z ww. informacją.

W konsekwencji Sąd I instancji uwzględniając zgromadzony w toku postępowania wyjaśniającego materiał dowodowy uznał, że organ nadzorczy w sposób nieprawidłowy dokonał interpretacji art. 105a ust. 3 ustawy - Prawo bankowe, co w konsekwencji doprowadziło do błędnego przyjęcia w niniejszej sprawie, że skarżący Bank nie miał podstaw do przetwarzania danych osobowych klienta, bez jego zgody.

Sąd I instancji stwierdził, że wysyłając J.W. w dniu 9 maja 2016 r. przesyłką poleconą informację o przetwarzaniu jego danych osobowych (vide: dowód z wydruku z książki nadawczej - pisma [...] z dnia 9 maja 2016 r. - POLECONE, KN nr: [...] - w aktach administracyjnych niniejszej sprawy), skarżący Bank umożliwił tej osobie zaznajomienie się z powyższą informacją. W konsekwencji, zdaniem Sądu, od dnia 9 czerwca 2016 r. skarżący Bank mógł przetwarzać dane osobowe J.W., bez jego zgody, w tym poprzez ich przekazanie do B.

W ocenie Sądu, organ nadzorczy zignorował fakt, iż skarżący Bank wysłał powyższą informację o przetwarzaniu danych osobowych J.W. na wskazany przez niego adres w umowie kredytowej. W tej sytuacji, wbrew sugestiom organu nadzorczego, uznać należy, że skoro przesyłka polecona zaadresowana do J.W. nie została zwrócona, to przesyłka, w której znajdowała się informacja o przetwarzaniu danych osobowych zgodnie z art. 105a ust. 3 ustawy - Prawo bankowe, została skutecznie doręczona temu klientowi. Zatem Bank zasadnie zarzucił Prezesowi UODO, że brak było podstaw, aby przyjąć, iż przedstawiony w toku postępowania wydruk ostemplowanej książki nadawczej nie stanowił dowodu na udostępnienie J.W. o zamiarze przetwarzania jego danych osobowych bez jego zgody.

Skargę kasacyjną od tego wyroku wniósł Prezes Urzędu Ochrony Danych Osobowych, zaskarżając wyrok w całości i zarzucając mu:

1) naruszenie przepisów postępowania mające istotny wpływ na wynik sprawy, tj.: art. 145 § 1 pkt 1 lit. c ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2019 poz. 2325 z późn. zm., zwana dalej: "p.p.s.a.") w zw. z art. 7, art. 77 § 1, art. 80 oraz art. 107 § 3 k.p.a., poprzez niezasadne uznanie, że Prezes Urzędu Ochrony Danych Osobowych wydając decyzję naruszył ww. przepisy postępowania, co w konsekwencji doprowadziło do uchylenia zaskarżonej decyzji,

2) naruszenie przepisów prawa materialnego, tj. art. 105a ust. 3 ustawy - Prawo bankowe poprzez jego błędną wykładnię polegającą na przyjęciu, że wykonanie obowiązku informacyjnego, o którym mowa w tym przepisie, nie musi polegać na skutecznym doręczeniu klientowi banku informacji o zamiarze przetwarzania jego danych osobowych bez jego zgody, a wystarczające jest rzeczywiste umożliwienie klientowi banku zaznajomienia się ze wspomnianą informacją poprzez jej wysłanie drogą pocztową i wykazanie tego stosownym wydrukiem z książki nadawczej, gdy tymczasem prawidłowa wykładnia tego przepisu prowadzi do wniosku, że "poinformowanie" w rozumieniu tego przepisu oznacza skuteczne doręczenie klientowi banku informacji o zamiarze przetwarzania jego danych osobowych bez jego zgody.

Mając powyższe na uwadze skarżący kasacyjnie wniósł o uchylenie w całości zaskarżonego wyroku i przekazanie sprawy do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie, zasądzenie zwrotu kosztów postępowania według norm prawem przepisanych, a także rozpoznanie skargi kasacyjnej na rozprawie.

Powyższe zarzuty rozwinięto w uzasadnieniu skargi kasacyjnej.

W odpowiedzi na skargę kasacyjną S. S.A. z siedzibą w W. wniósł o jej oddalenie, zasądzenie kosztów postępowania kasacyjnego, w tym zastępstwa procesowego według norm przepisanych, a także rozpoznanie sprawy na rozprawie.

Naczelny Sąd Administracyjny zważył, co następuje.

Zgodnie z art. 183 § 1 p.p.s.a. Naczelny Sąd Administracyjny przy rozpatrywaniu sprawy na skutek wniesienia skargi kasacyjnej związany jest granicami tej skargi, a z urzędu bierze pod rozwagę tylko nieważność postępowania w wypadkach określonych w § 2, z których żaden w rozpoznawanej sprawie nie zachodzi. Oznacza to, że przytoczone w skardze kasacyjnej przyczyny wadliwości prawnej zaskarżonego orzeczenia determinują zakres kontroli dokonywanej przez Naczelny Sąd Administracyjny. Sąd ten, w odróżnieniu od wojewódzkiego sądu administracyjnego, nie bada całokształtu sprawy, lecz tylko weryfikuje zasadność zarzutów postawionych w skardze kasacyjnej.

Podstawy, na których można oprzeć skargę kasacyjną zostały określone w art. 174 p.p.s.a. Przepis art. 174 pkt 1 p.p.s.a. przewiduje dwie postacie naruszenia prawa materialnego, a mianowicie błędną jego wykładnię lub niewłaściwe zastosowanie. Przez błędną wykładnię należy rozumieć niewłaściwe zrekonstruowanie treści normy prawnej wynikającej z konkretnego przepisu, natomiast przez niewłaściwe zastosowanie, dokonanie wadliwej subsumcji przepisu do ustalonego stanu faktycznego. Również druga podstawa kasacyjna wymieniona w art. 174 pkt 2 p.p.s.a. – naruszenie przepisów postępowania – może przejawiać się w tych samych postaciach, co naruszenie prawa materialnego, przy czym w wypadku oparcia skargi kasacyjnej na tej podstawie skarżący powinien nadto wykazać istotny wpływ wytkniętego uchybienia na wynik sprawy.

W przypadku jednak sformułowania zarzutów w oparciu o art. 174 pkt 2 p.p.s.a., przedstawianych jako skutek przyjęcia przez sąd wojewódzki określonego poglądu w sferze prawa materialnego, z czym nie zgadza się autor skargi kasacyjnej, prezentujący inny pogląd w sferze prawa materialnego niż ten, który przyjęto za podstawę wyroku, właściwe jest rozpoznanie przez Naczelny Sąd Administracyjny w pierwszej kolejności zarzutu naruszenia prawa materialnego, skoro zasadność zarzutów natury procesowej może się okazać skuteczna jedynie wówczas, gdy przyjęcie przez sąd wojewódzki określonego poglądu w sferze prawa materialnego okazałoby się wadliwe.

Podzielić należy zarzut naruszenia przepisów prawa materialnego, tj. art. 105a ust. 3 ustawy.

Jak wynika z brzmienia art. 105a ust. 3 Prawa bankowego Banki, instytucje oraz podmioty, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową i informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank, inną instytucję ustawowo upoważnioną do udzielania kredytów, instytucję pożyczkową albo podmiot, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, o zamiarze przetwarzania dotyczących jej tych informacji, bez jej zgody.

Istotną przesłanką umożliwiającą zastosowanie tego przepisu jest poinformowanie osoby, która nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem itd., przez ten bank lub inną instytucję wymienioną w tym przepisie o zamiarze przetwarzania dotyczących jej informacji, bez jej zgody.

Należy też podkreślić, że jeśli w okresie 30 dni od poinformowania o zamiarze przetwarzania informacji bez zgody, klient spłacił całą zaległość wobec banku, to po upływie 30. dnia bank i inna instytucja upoważniona do udzielania kredytów oraz instytucja z art. 105 ust. 4 Prawa bankowego nie mogą przetwarzać informacji bez jego zgody. Termin trzydziestodniowy został bowiem wprowadzony w celu zapewnienia konsumentowi ostatecznej możliwości wywiązania się z zobowiązań wobec banku i uniknięcia tym samym sankcji w postaci przetwarzania o nim informacji jako o niesolidnym dłużniku przez okres 5 lat.

Prawodawca nie zdefiniował użytego w art.105 ust. 3 Prawa bankowego pojęcia "poinformować", ani nie stworzył w tym zakresie żadnych szczególnych wymogów formalnych co do sposobu i treści takiego poinformowania klienta lub byłego klienta banku. Prawidłowa wykładnia tego przepisu nie może jednak oznaczać całkowitej dowolności w tym zakresie.

"Poinformować" to tyle co "udzielić informacji, wskazówek, objaśnić, powiadomić o czymś, podać do wiadomości" (Słownik języka polskiego, pod red. M. Szymczaka, Warszawa 1988, t. II, s.766), czyli spowodować, że ktoś zaczyna o czymś wiedzieć.

W literaturze i orzecznictwie sądowoadministracyjnym zwraca się na materialny (ochronny), a nie formalny charakter tego przepisu. Dane osobowe są wartością chronioną ustawowo, a prawo od ich ochrony - jak przyjmuje się w piśmiennictwie – "stanowi swego rodzaju emanację ogólnego prawa gwarantowanego Konstytucją RP (art. 47). Spostrzeżenie to oparte jest na założeniu, że dane osobowe są niejako częścią życia prywatnego lub rodzinnego, względnie że posługiwanie się danymi dotyczącymi innej osoby wkracza w przyznaną jej kompetencję decydowania o swoim życiu osobistym" (zob. J. Barta, P. Fajgielski, R. Markiewicz - Komentarz do art.1 ustawy o ochronie danych osobowych, System informacji prawnej LEX).

I o ile podzielić należy stanowisko, iż przy analizie przepisu art. 105a ust. 3 Prawa bankowego, nie powinno się także abstrahować od istoty (celu) wprowadzenia instytucji przetwarzania danych osobowych dłużnika bez jego zgody na mocy tego przepisu ustawy (należy pamiętać, że B. ma za zadanie przetwarzać dane nierzetelnych dłużników, tj. osób, które pomimo zaciągnięcia określonego zobowiązania wobec banku, nie wywiązują się z umowy i nie spłacają swojego zobowiązania, chroniąc w ten sposób inne podmioty przed wyłudzaniem kolejnych pożyczek, a także pośrednio - rzetelnych kredytobiorców), to jednak pozycja dłużnika jest wobec podmiotu udzielającego pożyczki słabsza, a skutek w postaci przetwarzania danych osobowych bez jego zgody ma charakter publicznoprawny.

Powyższe oznacza, że wszelkie regulacje znoszące tę ochronę muszą być odczytywane i wykładane ściśle, z uwzględnieniem funkcji jakiej mają służyć. Przy takiej wykładni, sformułowanie użyte w przepisie art. 105a ust. 3 Prawa bankowego, dotyczące obowiązku informacyjnego banku, musi więc oznaczać, że nie jest to tylko obowiązek formalny. Jakkolwiek ustawodawca w żaden sposób nie ograniczył sposobów i form takiego powiadomienia, to w każdym wypadku sposób ten powinien umożliwić zweryfikowanie faktu poinformowania klienta banku o zamierzonym przetwarzaniu jego danych osobowych.

Zgodzić się należy ze stroną skarżącą kasacyjnie, że ustawodawca w żaden sposób nie ograniczył sposobów i form takiego poinformowania. Zauważyć jednak należy, że prawodawca użył kategorycznej formy "poinformować" (czasownik przechodni dokonany), a nie "informować". Określony w ustawie skutek na nastąpić po upływie "30 dni od poinformowania tej osoby przez bank", a nie od np. wysłania jej informacji. Takie "poinformowanie" może nastąpić np. osobiście w placówce banku lub innego podmiotu wymienionego w art. 105a ust. 3 Prawa bankowego, poprzez przesyłkę doręczaną listownie lub przez pracownika banku albo innego uprawnionego podmiotu, a nawet nie można również wykluczyć możliwości skierowania takiej informacji drogą elektroniczną (o ile strony w zawartej umowie taką formę korespondencji przewidziały przez bank w tym zakresie z podmiotem zewnętrznym). O ile więc sposób i forma poinformowania klienta mogą być różnorodne, to jednak w każdym wypadku sposób ten powinien umożliwić zweryfikowanie faktu poinformowania klienta banku o zamierzonym przetwarzaniu jego danych osobowych. Wybór formy poinformowania adresata, operatora pocztowego i sposobu przekazania informacji oraz związany z tym obowiązek wykazania tego faktu obciążają bank lub inny zobowiązany podmiot, gdyż to one wywodzą z tego faktu skutki prawne. Taki sposób rozumienia obowiązku poinformowania zamieszczonego w art. 105a ust. 3 prawa bankowego wynika nie tylko z gwarancyjnego charakteru tego przepisu dla kredytobiorcy, ale także z dobrze pojętego interesu podmiotów udzielających kredytów, aby w sposób skuteczny zamieścić w B. stosowną informację o nierzetelnym kredytobiorcy.

Jak wskazano wyżej, wskazanie daty doręczenia przesyłki zawierającej stosowną informację umożliwia także prawidłowe wskazanie początku trzydziestodniowego terminu, o którym mowa w art. 105a ust. 3 Prawa bankowego (nie jest nim bowiem data nadania przesyłki na poczcie).

Podsumowując stwierdzić należy, że prawidłowo organ Prezes UODO przyjął, że przepis art. 105a ust. 3 Prawa bankowego obligował Bank do wykazania spełnienia powyższego obowiązku.

Z przedstawionego materiału dowodowego zgromadzonego w sprawie wynika jedynie, że w dniu 9 maja 2016 r. S. S.A. wysłał do J.W. listem poleconym pismo "Ostateczne wezwanie do zapłaty", które zawierało informację o zamiarze skorzystania z prawa do przetwarzania informacji stanowiących tajemnicę bankową na podstawie art. 105a ust. 3 ustawy - Prawo bankowe przez okres 5 lat po wygaśnięciu zobowiązania, bez zgody osoby, której te informacje dotyczą oraz o możliwości przetwarzania tych informacji przez B. oraz inne instytucje wskazane w art. 105a ust. 1 ustawy - Prawo bankowe (vide: wydruk z książki nadawczej - Pisma [...] z dnia 9 maja 2016 r. - POLECONE, KN nr: [...] znajduje się w aktach sprawy). Jednocześnie Bank nie przedstawił żadnego dowodu doręczenia tej przesyłki poleconej (wskazującego na datę doręczenia np. wydruk z strony śledzenia przesyłek rejestrowanych), przy jednoczesnym zaprzeczeniu przez J.W. jakoby S. S.A. spełnił obowiązek poinformowania go o zamiarze przetwarzania dotyczących jego informacji stanowiących tajemnicę bankową bez jego zgody, co było wymagane zgodnie z art. 105a ust. 3 ustawy - Prawo bankowe.

W konsekwencji za zasadny ocenić należy zarzut naruszenia przepisów postępowania mający istotny wpływ na wynik sprawy, tj.: art. 145 § 1 pkt 1 lit. c p.p.s.a. w zw. z art. 7, art. 77 § 1, art. 80 oraz art. 107 § 3 k.p.a., poprzez niezasadne uznanie, że Prezes UODO wydając decyzję naruszył ww. przepisy postępowania.

Uregulowana w art. 7 k.p.a. zasada prawdy obiektywnej nakazuje organowi prowadzącemu postępowanie zebranie z urzędu lub na wniosek strony oraz rozpatrzenie całego materiału dowodowego w sposób pozwalający na ustalenie stanu faktycznego sprawy zgodnego z rzeczywistością. Oczywiście chodzi tu o wyjaśnienie okoliczności faktycznych w takim stopniu, w jakim wymaga tego rozstrzygnięcie sprawy. Zasada ta jest podstawową regułą każdej nowoczesnej regulacji procesowej. Należy pamiętać, że prawidłowe ustalenie stanu faktycznego sprawy stanowi warunek konieczny – chociaż jeszcze niewystarczający – prawidłowego jej rozstrzygnięcia. Zawsze bowiem niewyjaśnienie lub niedostateczne wyjaśnienie stanu faktycznego sprawy będzie prowadziło do wydania wadliwej decyzji. W teorii prawa mówi się wtedy o subsumcji faktu uznanego za udowodniony pod konkretną normę administracyjnego prawa materialnego – por. J. Wróblewski (w:) W. Lang, J. Wróblewski, S. Zawadzki, Teoria państwa i prawa, Warszawa 1980, s. 431. Należy podkreślić, iż od 11 kwietnia 2011 r. zmieniono brzmienie art. 7 k.p.a., statuującego tę zasadę, przez wyraźne podkreślenie, że zebranie materiału dowodowego sprawy następuje zarówno z urzędu, jak i na wniosek strony. W ten sposób wyraźnie zwrócono uwagę na obowiązek strony współdziałania z organem w celu ustalenia stanu faktycznego sprawy zgodnego z rzeczywistością. Zmiana ta niesie ze sobą ten skutek, że na zasadzie prawdy obiektywnej nie można już dalej opierać twierdzenia, iż jest ona źródłem ciężaru dowodowego spoczywającego na organie prowadzącym postępowanie. Nie ma już bowiem podstawy prawnej uzasadniającej taki wniosek. Natomiast ta zmiana daje podstawę do zajęcia stanowiska, że w sytuacji gdy dany środek dowodowy niezbędny do ustalenia konkretnej okoliczności faktycznej, z istnienia której strona wywodzi dla siebie skutki prawne, nie znajduje się w posiadaniu organu, to wynikający z zasady prawdy obiektywnej obowiązek organu prowadzącego postępowanie ogranicza się do konieczności poinformowania strony o przedstawienia posiadanych dowodów.

Z art. 77 § 1 k.p.a. wynika obowiązek zebrania i rozpatrzenia pełnego materiału dowodowego w sprawie, którego realizacja ma miejsce na dwóch płaszczyznach. Po pierwsze, polega on na przeprowadzeniu postępowania dowodowego co do wszystkich okoliczności stanowiących fakty prawotwórcze, a więc takich, z którymi w świetle przepisów obowiązującego prawa związane są określone skutki prawne. Po drugie, zebrany materiał dowodowy powinien znaleźć pełne odzwierciedlenie w uzasadnieniu faktycznym decyzji.

Jeśli zaś chodzi o obowiązek dokonania oceny na podstawie całokształtu materiału dowodowego, czy dana okoliczność została udowodniona (art. 80 k.p.a.), to nie można twierdzić, iż jakaś okoliczność została udowodniona, jeżeli w materiale dowodowym, utrwalonym w aktach sprawy, brak jest dowodu na jej potwierdzenie. Jeżeli zobowiązany podmiot wykazuje jedynie domniemanie realizacji nałożonego na niego ustawowo obowiązku, a jednocześnie w materiale dowodowym zawarte jest zaprzeczenie wykonania tego obowiązku (które dezawuuje skutek wynikający z tej okoliczności), to oznacza, że nie ziściła się przesłanka wynikająca z prawa materialnego umożliwiająca w konsekwencji zastosowanie tej normy materialnoprawnej. W konsekwencji w pełni został także zrealizowany przez organ obowiązek wynikający z art. 107 § 3 k.p.a.

Zdaniem Naczelnego Sądu Administracyjnego, wszystkich tych obowiązków dopełnił organ administracji orzekający w niniejszej sprawie i zarzuty Sądu I instancji w tym zakresie są nieuzasadnione.

Tym samym w ocenie Sądu prawidłowe jest stanowisko organu, który doszedł do przekonania, że Bank nie wykazał, iż dopełnił wymaganego w art. 105a ust. 3 ustawy Prawo bankowe obowiązku poinformowania J.W. o zamiarze przetwarzania dotyczących go informacji stanowiących tajemnicę bankową bez jego zgody. W aktach administracyjnych brak jest bowiem dowodów wskazujących na fakt, że Bank poinformował swojego klienta o zamiarze przetwarzania powyższych danych osobowych, chociaż niewątpliwie Bank podjął działania zmierzające do zrealizowania tego obowiązku (wysłał pismo ze stosowną informacją).

Podzielić także należy stanowisko organu odnoszące się do zarzutów skargi naruszenia art. 105a ust. 2 w zw. z art. 105 ust. 4 Prawa bankowego, że skarżący Bank nie podał w materiale dowodowym w niniejszej sprawie art. 105a ust. 2 Prawa bankowego, jako podstawy przetwarzania danych J.W. w B. Zdaniem organu nadzorczego, było wręcz przeciwnie, albowiem jako podstawę przetwarzania danych osobowych J.W. podawany był art. 105a ust. 3 Prawa bankowego. Słusznie także Prezes UODO wskazał, iż twierdzenie skarżącego Banku, jakoby dysponował on zgodą J.W. na przetwarzanie jego danych osobowych po wygaśnięciu zobowiązania, stoi w sprzeczności z zebranym materiałem dowodowym, ponieważ pismem z dnia 18 sierpnia 2016 r. uczestnik postępowania wycofał udzielone przez siebie zgody na przetwarzanie jego danych osobowych po wygaśnięciu zobowiązania. Z zebranego materiału dowodowego wynika, że skarżący Bank przyjął do wiadomości wycofanie wspomnianych zgód, gdyż w piśmie z dnia 21 października 2016 r. oraz w piśmie do skarżącego z dnia 18 listopada 2016 r., jako podstawę dalszego przetwarzania danych osobowych J.W. bez jego zgody, przyjął art. 105 ust. 4 i art. 105a ust. 3 Prawa bankowego. Zatem zarzut skarżącego Banku, jakoby Prezes UODO pominął dowód w postaci ugody nr [...], nie znajduje uzasadnienia, gdyż w związku z wycofaniem przez J.W. zgody na przetwarzanie jego danych osobowych po wygaśnięciu zobowiązania i przyjęciu tego oświadczenia woli przez Bank, treść ugody, w tym fakt, że nie stworzyła ona nowego zobowiązania między jej stronami, nie miała dalszego związku z prowadzonym postępowaniem.

W tym stanie rzeczy stwierdzając, że skarga kasacyjna jest uzasadniona, a istota sprawy jest dostatecznie wyjaśniona, Naczelny Sąd Administracyjny miał podstawy do uchylenia zaskarżonego wyroku oraz do rozpoznania skargi w oparciu o art. 188 p.p.s.a., a w następstwie tego do oddalenia skargi na podstawie art. 151 p.p.s.a.

O kosztach postępowania kasacyjnego orzeczono na podstawie art.203 pkt 2 p.p.s.a.