Centralna Baza Orzeczeń Sądów Administracyjnych

Naczelny Sąd Administracyjny w składzie: Przewodniczący: Sędzia NSA Małgorzata Pocztarek (spr.) Sędziowie: Sędzia NSA Czesława Nowak- Kolczyńska Sędzia del. WSA Dariusz Chaciński Protokolant starszy asystent sędziego Marcin Rączka po rozpoznaniu w dniu 7 sierpnia 2018 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej [...] S.A. w Warszawie od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 12 maja 2016 r. sygn. akt II SA/Wa 1713/15 w sprawie ze skargi [...] S.A. w Warszawie na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia 12 sierpnia 2015 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę kasacyjną

Wyrokiem z dnia 12 maja 2016 r. o sygn. akt II SA/Wa 1713/15, Wojewódzki Sąd Administracyjny w Warszawie, oddalił skargę [...] S.A. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia 12 sierpnia 2015 r. nr [...] w przedmiocie przetwarzania danych osobowych.

Z uzasadnienia zaskarżonego wyroku wynika, że do Biura GIODO wpłynęła skarga P.T. na przetwarzanie przez [...] S.A. z siedzibą w Warszawie jego danych osobowych, w tym na ich udostępnienie w Biurze Informacji Kredytowej S.A. z siedzibą w Warszawie w zakresie informacji wynikających z umowy kredytowej numer [...] zawartej w dniu [...] września 2007 r.

Generalny Inspektor Ochrony Danych Osobowych przeprowadził w sprawie postępowanie wyjaśniające i ustalił, że skarżący zawarł z Bankiem w dniu [...] września 2007 r. umowę kredytową nr [...], z tytułu której powstało zadłużenie.

W wyjaśnieniach z dnia 11 sierpnia 2014 r. Bank wskazał, że dane osobowe skarżącego zostały przekazane do BIK S.A. w związku z ww. zobowiązaniem na podstawie Umowy w sprawie zbierania i udostępniania informacji zawartej w dniu 22 czerwca 2001 r. pomiędzy BIK S. A., a [...] S.A. W bazie BIK S.A. kredyt figuruje jako rachunek w statusie 00-Odzyskany, z datą odzyskania: 3 czerwca 2011 r., z wycofaną zgodą klienta na przetwarzanie danych po wygaśnięciu zobowiązania oraz ze wskaźnikiem "warunki spełnione". Przedmiotowe zobowiązanie zostało przekazane do BIK S.A. po raz pierwszy we wsadzie za wrzesień 2007 r. w dniu 17 września 2007 r. Ostatnie przekazanie danych do BIK S.A. o ww. zobowiązaniu (zawierające informację o zamknięciu zobowiązania z datą 3 czerwca 2011 r.) nastąpiło we wsadzie za maj 2011 r. W związku z figurowaniem wskaźnika "warunki spełnione" z art. 105a ust. 3 Prawa bankowego, przedmiotowa umowa kredytowa będzie prezentowana na raportach do oceny zdolności kredytowej przez 5 lat od daty spłaty bez zgody klienta.

Bank wskazał, że powiadomienie o zamiarze przetwarzania danych po wygaśnięciu zobowiązania, spełniające jednocześnie obowiązek informacyjny z art. 105a ust. 3 Prawa bankowego, zostało przesłane do skarżącego w dniu 13 sierpnia 2009 r. w związku z zaległością z dnia 14 czerwca 2009 r. Jako dowód na powyższe Bank przesłał zrzut ekranu z aplikacji potwierdzający datę wysyłki, datę zaległości, kwotę zaległości, adres wysyłki korespondencji. Nie przesłał natomiast treści korespondencji kierowanej do skarżącego.

Bank poinformował, że pełnomocnik skarżącego, pismem z dnia 27 lutego 2014r., zwrócił się do Banku z wnioskiem o usunięcie danych osobowych z Bankowego Rejestru, Związku Banków Polskich, Biura Informacji Kredytowej S.A., KRD Biura Informacji Gospodarczej S.A i [...] S.A. Jednocześnie złożył oświadczenie o wycofaniu zgody na przetwarzanie jego danych osobowych po wygaśnięciu zobowiązania. W piśmie z dnia 24 marca 2014 r. Bank udzielił odpowiedzi wskazując, iż pomimo, że w BIK S.A. wycofano zgodę na przetwarzanie danych po wygaśnięciu zobowiązania, to informacje dotyczące ww. umowy, w związku faktem spełnienia łącznie obydwu warunków określonych w art. 105a ust. 3 Prawa bankowego, będą przetwarzane przez okres 5 lat licząc od daty wygaśnięcia zobowiązania w celu oceny zdolności kredytowej i analizy ryzyka kredytowego.

Mając powyższe na względzie, decyzją z dnia 18 lutego 2015 r. Generalny Inspektor Ochrony Danych Osobowych nakazał [...] S.A. z siedzibą w Warszawie zaprzestanie przetwarzania danych osobowych P.T. dotyczących rachunku nr [...] w systemie Biura informacji Kredytowej S.A. z w trybie określonym w art. 105a ust. 3 ustawy Prawo bankowe.

W dniu 6 marca 2015 r. do Biura GIODO wpłynął wniosek Banku o ponowne rozpatrzenie sprawy.

Generalny Inspektor Ochrony Danych Osobowych nie znalazł podstaw do uwzględnienia wniosku o ponowne rozpatrzenie sprawy.

Wskazał, iż zgodnie z art. 105a ust. 1 Prawa bankowego, przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów oraz instytucje utworzone na podstawie art. 105 ust. 4, informacji stanowiących tajemnicę bankową w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem art. 104, 105 i art. 106 - 106c, w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. W myśl natomiast art. 105 ust. 4 ww. ustawy, banki mogą wspólnie z bankowymi izbami gospodarczymi, utworzyć instytucje upoważnione do gromadzenia, przetwarzania i udostępniania: bankom - informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych oraz w związku ze stosowaniem metod statystycznych, o których mowa w art. 128 ust. 3 oraz w art. 128d ust. 1 (pkt 1), innym instytucjom ustawowo upoważnionym do udzielania kredytów - informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są niezbędne w związku z udzielaniem kredytów, pożyczek pieniężnych, gwarancji bankowych i poręczeń (pkt 2), instytucjom kredytowym - informacji stanowiących tajemnicę bankową w zakresie niezbędnym do oceny zdolności kredytowej konsumenta, o której mowa w art. 9 ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim (pkt 3).

Przekazanie danych osobowych skarżącego nastąpiło w oparciu o przesłankę, o której mowa w art. 23 ust. 1 pkt 2 u.o.d.o., w związku z art. 105a ust. 1 i art. 105 ust. 4 Prawa bankowego. Dla legalności tego udostępnienia zgoda skarżącego nie była wymagana.

Zgodnie natomiast z art. 105a ust. 3 Prawa bankowego, instytucje, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank lub inną instytucję ustawowo upoważnioną do udzielania kredytów o zamiarze przetwarzania dotyczących jej informacji stanowiących tajemnicę bankową, bez jej zgody.

Organ wskazał, iż skarżący dopuścił się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy kredytowej zawartej z bankiem w dniu 14 września 2007 r., jednakże z akt sprawy nie wynika, aby Bank spełnił wobec skarżącego obowiązek określony w art. 105a ust. 3 Prawa bankowego, tj. aby poinformował skutecznie skarżącego o zamiarze przetwarzania jego danych, stanowiących tajemnicę bankową, bez jego zgody po wygaśnięciu zobowiązania wynikającego z ww. umowy. Bank nie przedstawił na potwierdzenie tej okoliczności żadnego dowodu w postaci treści pisma wysłanego do skarżącego ani dowodu nadania korespondencji, zaś skarżący podnosi, że takiego pisma nigdy nie otrzymał.

Zdaniem organu, zrzut z ekranu aplikacji nie stanowi dowodu faktycznego wysłania do skarżącego pisma informującego go o zamiarze Banku przetwarzania jego danych osobowych w ww. trybie. Jest to bowiem jedynie informacja, iż Bank w swoim systemie odznaczył skierowanie do skarżącego korespondencji, co nie znaczy, że czynność tę wykonał. To samo dotyczy ekstraktu z pliku wygenerowanego z aplikacji AXSone, bowiem jest to wygenerowany z systemu wydruk stanowiący wzorzec wysyłanych do dłużników i klientów Banku pism, nie wskazujący imiennie kogo rzeczone pismo miałoby dotyczyć.

Wobec niemożności wykazania przez Bank spełnienia przesłanek wynikających z art. 105a ust. 3 Prawa bankowego zasadnym było nakazanie zaprzestania przetwarzania danych osobowych skarżącego w BIK S.A. w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Stosownie bowiem do art. 18 ust. 1 u.o.d.o., w przypadku naruszenia przepisów o ochronie danych osobowych Generalny Inspektor z urzędu lub na wniosek osoby zainteresowanej, w drodze decyzji administracyjnej, nakazuje przywrócenie stanu zgodnego z prawem. Zdaniem organu, okoliczności faktyczne i prawne zaistniałe w niniejszej sprawie uzasadniały, zgodnie z art. 18 ust. 1 pkt 6 u.o.d.o., nakazanie wyeliminowania nieprawidłowości w procesie przetwarzania danych osobowych skarżącego w sposób określony w sentencji zaskarżonej decyzji.

Powyższa decyzja stała się przedmiotem skargi [...] S. A. z siedzibą w Warszawie do Wojewódzkiego Sądu Administracyjnego w Warszawie.

W odpowiedzi na skargę Generalny Inspektor Ochrony Danych Osobowych wniósł o jej oddalenie, podtrzymując dotychczasowe stanowisko w spawie.

Sąd I instancji uznał, że skarga nie zasługuje na uwzględnienie.

W pierwszej kolejności Sąd wskazał, że aktem prawnym zawierającym szczegółowe regulacje dotyczące procesu przetwarzania danych osobowych klientów banków jest ustawa z dnia 27 sierpnia 1997r. - Prawo bankowe (tekst jedn. Dz. U. z 2015 r., poz. 128). Zgodnie z art. 105 ust. 4 tejże ustawy Banki mogą, wspólnie z bankowymi izbami gospodarczymi, utworzyć instytucje upoważnione do gromadzenia, przetwarzania i udostępniania: (1) bankom - informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych oraz w związku ze stosowaniem metod statystycznych, o których mowa w art. 128 ust. 3 oraz w art. 128d ust. 1; (2) innym instytucjom ustawowo upoważnionym do udzielania kredytów - informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są niezbędne w związku z udzielaniem kredytów, pożyczek pieniężnych, gwarancji bankowych i poręczeń; (3) instytucjom kredytowym - informacji stanowiących tajemnicę bankową w zakresie niezbędnym do oceny zdolności kredytowej konsumenta, o której mowa w art. 9 ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim.

Stosownie zaś do art. 105a cytowanej ustawy przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów oraz instytucje utworzone na podstawie art. 105 ust. 4, informacji stanowiących tajemnicę bankową w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem art. 104, art. 105 i art. 106-106c, w celu oceny zdolności kredytowej i analizy ryzyka kredytowego (ust. 1). Instytucje, o których mowa w ust. 1, mogą, z zastrzeżeniem ust. 3, przetwarzać informacje stanowiące tajemnicę bankową w zakresie dotyczącym osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, pod warunkiem uzyskania pisemnej zgody osoby, której informacje te dotyczą. Zgoda ta może być w każdym czasie odwołana (ust. 2). Instytucje, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank lub inną instytucję ustawowo upoważnioną do udzielania kredytów o zamiarze przetwarzania dotyczących jej informacji stanowiących tajemnicę bankową, bez jej zgody (ust. 3). Banki oraz instytucje, o których mowa w art. 105 ust. 4, mogą przetwarzać informacje stanowiące tajemnicę bankową dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, bez zgody osoby, której informacje dotyczą, dla celów stosowania metod statystycznych, o których mowa w art. 128 ust. 3 (ust. 4). Przetwarzanie informacji stanowiących tajemnicę bankową w przypadkach, o których mowa w ust. 3, może być wykonywane przez okres nie dłuższy niż 5 lat od dnia wygaśnięcia zobowiązania, a w przypadku, o którym mowa w ust. 4, przez okres 12 lat od dnia wygaśnięcia zobowiązania (ust. 5). Zakres przetwarzanych informacji, o których mowa w ust. 3 i 4, może obejmować dane dotyczące osoby fizycznej lub dane dotyczące zobowiązania (ust. 6).

Zdaniem Sądu I instancji, uzasadnione jest stanowisko Generalnego Inspektora Ochrony Danych Osobowych, iż sam fakt, że klient nie wykonał zobowiązania lub spóźnił się z jego wykonaniem co najmniej 60 dni, nie upoważnia Banku do przetwarzania jego danych na warunkach określonych w art. 105a ust. 3 Prawa bankowego. Klient musi bowiem zostać poinformowany o możliwości przetwarzania jego danych bez uzyskania od niego zgody. Dopiero bezskuteczny upływ 30 dni od momentu poinformowania stanowi wypełnienie przesłanek z ww. przepisu. Moment, od którego należy liczyć 60-dniowy termin, w którym klient dopuszcza się zwłoki w wykonaniu zobowiązania, to termin niewykonania zobowiązania. Dopiero po upływie 60 dni zaczyna biec 30-dniowy termin, w którym instytucja jeszcze oczekuje na wykonanie zobowiązania klienta. Termin 30-dniowy nie biegnie jednak ex lege, a dopiero od momentu, w którym klient zostanie skutecznie poinformowany przez instytucję o zamiarze przetwarzania jego danych osobowych. Z powyższego wynika zatem, że aby przetwarzać dane klienta na warunkach określonych w ww. przepisie, Bank musi dysponować dowodem, że osoba, której dane dotyczą, została poinformowana o zamiarze przetwarzania ich - bez jej zgody.

W ocenie Sądu prawidłowe jest stanowisko organu, który doszedł do przekonania, że skarżący Bank nie wykazał, że dopełnił określonego w art. 105a ust. 3 Prawa bankowego obowiązku poinformowania P.T. o zamiarze przetwarzania dotyczących go informacji stanowiących tajemnicę bankową, wynikających z umowy kredytowej o wskazanym numerze, zawartej w dniu [...] września 2007 r., bez jego zgody.W aktach administracyjnych brak jest bowiem dowodów wskazujących na fakt, że Bank poinformował swojego klienta o zamiarze przetwarzania powyższych danych.

Sąd zauważył, że w toku postępowania skarżący Bank przedstawił dokumenty w postaci: zrzutu ekranu z aplikacji służącej rejestrowaniu korespondencji wychodzącej do klientów "Historia wysłanej korespondencji", ekstrakt z pliku wygenerowanego z aplikacji AXSone oraz wydrukowany z systemu wzór zawiadomienia kierowanego do klientów o zamiarze przetwarzania przez Bank informacji stanowiących tajemnicę bankową - nie wskazujący imiennie adresata, ani innych indywidualnych danych. Powyższe dokumenty, jak wynika z uzasadnienia zaskarżonej decyzji, zostały poddane analizie i ocenie w toku postępowania administracyjnego, jednak jak trafnie stwierdził organ - nie wynika z nich fakt wykonania przez Bank w stosunku do P.T. obowiązku informacyjnego, o którym mowa w art. 105a ust. 3 Prawa Bankowego.

Sąd zgodził się z organem, że z ww. dokumentów i wyjaśnień Banku wynika jedynie to, że Bank archiwizuje, w postaci plików danych, informacje dotyczące klientów i ich zobowiązań, dla których zostało przekazane zlecenie wysłania do klienta stosownej korespondencji. Brak jest natomiast dowodu, że w stosunku do P.T. taka korespondencja - informująca o zamiarze przetwarzania danych osobowych bez jego zgody - została wysłana i skutecznie doręczona. W tym zakresie zarówno oświadczenie Banku o przesłaniu listu zwykłego, jak i treść wzoru pisma kierowanego we wskazanym okresie do klientów Banku - jak twierdzi Bank również do P.T. - jest niewystarczające. Analogicznie należy ocenić zrzut ekranu z aplikacji używanej do rejestracji korespondencji oraz ekstrakt z pliku wygenerowanego z aplikacji AXSone. Jest to bowiem jedynie wewnętrzna informacja Banku, z której wynika, że Bank w swoim systemie odznaczył skierowanie do skarżącego korespondencji, co nie znaczy, że czynność tę faktycznie wykonał oraz że korespondencja dotarła do adresata.

Reasumując, w ocenie Sądu uzasadnione jest twierdzenie organu, że skarżący Bank, jako administrator danych osobowych swego klienta, w przypadku przetwarzania danych na podstawie art. 105a ust 3 Prawa bankowego, musi być zdolny do wykazania legitymacji do przekazania danych do Biura Informacji Kredytowej S.A. w postaci rzeczywistego spełnienia obowiązku informacyjnego. Wbrew twierdzeniom skargi, to na Banku spoczywa ciężar dowodu w zakresie wykazania poinformowania klienta o zamiarze przetwarzania jego danych osobowych - bez jego zgody. W niniejszej sprawie Bank nie wykazał, iż osoba, której dane dotyczą została o powyższym skutecznie poinformowana.

Sąd I instancji nie zgodził się ze skarżącym Bankiem, że postępowanie administracyjne w niniejszej sprawie zostało przeprowadzone z naruszeniem zasad postępowania dowodowego, w tym art. 75 § 1, art. 77 § 1 i art. 80 k.p.a. Ustalenia faktyczne organu zostały bowiem dokonane w całokształcie materiału dowodowego, zgromadzonego i zbadanego w sposób wyczerpujący, a więc przy podjęciu wszelkich kroków niezbędnych do dokładnego wyjaśniania okoliczności sprawy. Ocena materiału dowodowego została dokonana przez organ zgodnie z zasadą swobodnej oceny dowodów i nie nosi cech dowolności. Organ przeanalizował wyjaśnienia skarżącego Banku oraz przesłane materiały, wziął również pod uwagę stanowisko P.T, trafnie uznając, iż istnieją podstawy do wydania decyzji nakazującej Bankowi zaprzestanie przetwarzania danych osobowych wyżej wymienionego w trybie art. 105a ust. 3 Prawa bankowego.

Ponadto Sąd nie zgodził się z zarzutem skargi, iż zaskarżona decyzja została wydana z naruszeniem art. 107 § 3 k.p.a. Stwierdził, iż uzasadnienie rozstrzygnięcia spełnia bowiem wymogi określone w ww. przepisie. Zawiera ocenę zebranego w postępowaniu materiału dowodowego, wykładnię stosowanych przepisów oraz ocenę przyjętego stanu faktycznego w świetle obowiązującego prawa.

Od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie skargę kasacyjną do Naczelnego Sądu Administracyjnego złożyła [...] S.A., zaskarżając go w całości zarzuciła Sądowi I instancji naruszenie przepisów prawa materialnego tj.

1) art. 105a ust. 3 ustawy z dnia 29 sierpnia 1997 Prawo bankowe poprzez jego błędną wykładnię polegającą na błędnym przyjęciu, że poinformowanie klienta banku o możliwości przetwarzania jego danych osobowych bez jego zgody tylko wtedy wywołuje skutek w postaci rozpoczęcia biegu trzydziestodniowego terminu, po upływie którego jest możliwe przetwarzanie danych osobowych poprzez przekazanie ich przez bank do jednej z instytucji wymienionych w tym przepisie, jeżeli bank dysponuje dowodem na to, że takie zawiadomienie rzeczywiście do tej osoby dotarło, podczas gdy prawidłowa interpretacja tego przepisu jest taka, że ww. skutek następuje zawsze, gdy bank skieruje do takiej osoby stosowne zawiadomienie, a zatem niezależnie od formy i środka przekazu, a także niezależnie od tego, czy dotarło do adresata albo niezależnie od przyczyn, z których do niego nie dotarło.

Ponadto skarżąca kasacyjnie zarzuciła Sądowi I instancji naruszenie przepisów prawa procesowego, które miało istotny wpływ na wynik sprawy tj.

1) art. 3 § 1 i art. 145 § 1 pkt 1 lit. c) P.p.s.a. w związku z art. art. 7, 77 § 1, 80 i 107 k.p.a., w ten sposób, że Sąd w wyniku niewłaściwej kontroli legalności działalności administracji publicznej nie zastosował środka określonego w ustawie mimo, że organ administracji publicznej wydający zaskarżoną decyzję zaniechał podjęcia czynności niezbędnych do przeprowadzenia postępowania dowodowego w sposób prawidłowy i wyczerpujący, co miało skutek w postaci wydania decyzji na podstawie niepełnego i wadliwie ocenionego materiału dowodowego i błędnie ustalonego stanu faktycznego, prowadząc w konsekwencji do wadliwego uzasadnienia decyzji;

2) art. 3 § 1 i 145 § 1 pkt 1 lit. c) P.p.s.a. w związku z art. 75 § 2 k.p.a. w związku z art. 107 k.p.a, w ten sposób, że Sąd w wyniku niewłaściwej kontroli legalności działalności administracji publicznej nie zastosował środka określonego w ustawie mimo, że organ administracji publicznej wydający zaskarżoną decyzję niesłusznie odmówił przyjęcia oświadczenia Banku w zakresie okoliczności nie wymagających urzędowego potwierdzenia, podczas gdy w sytuacji niesłusznego uznania przez Głównego Inspektora Ochropy Danych Osobowych, że dokumenty elektroniczne przedstawione przez Bank nie stanowią dowodu na okoliczność poinformowania P.T. o zamiarze przetwarzania jego danych osobowych w BIK, konieczne było poprzestanie na oświadczeniu Banku o dokonaniu w dniu 13 sierpnia 2009 r. wysyłki stosownej informacji do P.T.

W konkluzji skargi kasacyjnej wniesiono o uchylenie zaskarżonego wyroku w całości i rozpoznanie skargi, ewentualnie o uchylenie zaskarżonego wyroku w całości i przekazanie sprawy do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie oraz zasądzenie kosztów postępowania według norm przepisanych.

W odpowiedzi na skargę kasacyjną organ wniósł o jej oddalenie.

Naczelny Sąd Administracyjny zważył, co następuje:

Zgodnie z art. 183 § 1 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t.j.: Dz. U. z 2017 r., poz. 1369 ze zm.) zwanej dalej P.p.s.a., Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, bierze jednak z urzędu pod rozwagę nieważność postępowania. W sprawie nie występują, enumeratywnie wyliczone w art. 183 § 2 P.p.s.a., przesłanki nieważności postępowania sądowoadministracyjnego. Z tego względu, przy rozpoznaniu sprawy, Naczelny Sąd Administracyjny związany był granicami skargi kasacyjnej.

Skarga kasacyjna nie zasługiwała na uwzględnienie. Skarga ta została oparta na obu podstawach kasacyjnych wymienionych w art. 174 pkt 1 i 2 P.p.s.a. W tej sytuacji jako pierwsze podlegają rozpoznaniu zarzuty naruszenia prawa procesowego, bowiem dopiero po przesądzeniu, że stan faktyczny sprawy przyjęty przez sąd w zaskarżonym wyroku jest prawidłowy albo nie został skutecznie podważony, można przejść do kontrolowania dokonanej przez Sąd I instancji wykładni lub zastosowania przepisów prawa materialnego.

Zarzuty naruszenia przepisów postępowania nie zasługiwały na uwzględnienie.

Uregulowana w art. 7 k.p.a. zasada prawdy obiektywnej nakazuje organowi prowadzącemu postępowanie zebranie z urzędu lub na wniosek strony oraz rozpatrzenie całego materiału dowodowego w sposób pozwalający na ustalenie stanu faktycznego sprawy zgodnego z rzeczywistością. Oczywiście chodzi tu o wyjaśnienie okoliczności faktycznych w takim stopniu, w jakim wymaga tego rozstrzygnięcie sprawy. Zasada ta jest podstawową regułą każdej nowoczesnej regulacji procesowej. Należy pamiętać, że prawidłowe ustalenie stanu faktycznego sprawy stanowi warunek konieczny – chociaż jeszcze niewystarczający – prawidłowego jej rozstrzygnięcia. Zawsze bowiem niewyjaśnienie lub niedostateczne wyjaśnienie stanu faktycznego sprawy będzie prowadziło do wydania wadliwej decyzji. Realizację obowiązku dokładnego wyjaśnienia stanu faktycznego organ administracji powinien rozpocząć od ustalenia rzeczywistej treści żądania strony (por. wyrok NSA OZ w Łodzi z 26 listopada 1999 r., I SA/Łd 1592/97) oraz zgłoszonych przez nią wniosków dowodowych. Dopiero ustalenie istoty tego żądania, a następnie wyjaśnienie stanu faktycznego sprawy umożliwi organowi administracji zastosowanie adekwatnej do tego stanu normy prawa materialnego. W teorii prawa mówi się wtedy o subsumcji faktu uznanego za udowodniony pod konkretną normę administracyjnego prawa materialnego – por. J. Wróblewski (w:) W. Lang, J. Wróblewski, S. Zawadzki, Teoria państwa i prawa, Warszawa 1980, s. 431. Należy podkreślić, iż od 11 kwietnia 2011 r. zmieniono brzmienie art. 7 k.p.a., statuującego tę zasadę, przez wyraźne podkreślenie, że zebranie materiału dowodowego sprawy następuje zarówno z urzędu, jak i na wniosek strony. W ten sposób wyraźnie zwrócono uwagę na obowiązek strony współdziałania z organem w celu ustalenia stanu faktycznego sprawy zgodnego z rzeczywistością. Zmiana ta niesie ze sobą ten skutek, że na zasadzie prawdy obiektywnej nie można już dalej opierać twierdzenia, iż jest ona źródłem ciężaru dowodowego spoczywającego na organie prowadzącym postępowanie. Nie ma już bowiem podstawy prawnej uzasadniającej taki wniosek. Natomiast ta zmiana daje podstawę do zajęcia stanowiska, że w sytuacji gdy dany środek dowodowy niezbędny do ustalenia konkretnej okoliczności faktycznej, z istnienia której strona wywodzi dla siebie skutki prawne, nie znajduje się w posiadaniu organu, to wynikający z zasady prawdy obiektywnej obowiązek organu prowadzącego postępowanie ogranicza się do konieczności poinformowania strony o przedstawienia posiadanych dowodów.

Z art. 77 § 1 k.p.a. wynika obowiązek zebrania i rozpatrzenia pełnego materiału dowodowego w sprawie, którego realizacja ma miejsce na dwóch płaszczyznach. Po pierwsze, polega on na przeprowadzeniu postępowania dowodowego co do wszystkich okoliczności stanowiących fakty prawotwórcze, a więc takich, z którymi w świetle przepisów obowiązującego prawa związane są określone skutki prawne. Po drugie, zebrany materiał dowodowy powinien znaleźć pełne odzwierciedlenie w uzasadnieniu faktycznym decyzji. Ustosunkowanie się w nim tylko do pewnych dowodów, a pominięcie milczeniem innych – którym odmówiono wiarygodności – przesądza, że organ nie rozpatrzył wyczerpująco zebranego w sprawie materiału - por. wyrok NSA z 28 sierpnia 1981 r., SA/Wr 87/81, ONSA 1981, nr 2, poz. 80. W uzasadnieniu organ nie może zatem pominąć jakiegokolwiek z przeprowadzonych w sprawie dowodów.

Jeśli zaś chodzi o obowiązek dokonania oceny na podstawie całokształtu materiału dowodowego, czy dana okoliczność została udowodniona (art. 80 k.p.a.), to nie można twierdzić, iż jakaś okoliczność została udowodniona, jeżeli w materiale dowodowym, utrwalonym w aktach sprawy, znajduje się dowód na jej potwierdzenie, a jednocześnie są w nim także dowody, które zaprzeczają tej okoliczności, jeżeli nie można przekonywająco tej sprzeczności wyjaśnić. Taki stan rzeczy wskazuje bowiem na luki w materiale dowodowym, a w konsekwencji na konieczność podjęcia dalszego postępowania dowodowego, skierowanego na wyjaśnienie występujących w materiale dowodowym sprzeczności - por. np. wyrok NSA z 7 kwietnia 1982 r., II SA 372/82, ONSA 1982, nr 1, poz. 33.

Przy tym warto zaznaczyć, że dla skuteczności zarzutu naruszenia zasady swobodnej oceny dowodów nie wystarcza stwierdzenie o wadliwości dokonanych ustaleń faktycznych, odwołujące się do stanu faktycznego, który w przekonaniu skarżącego odpowiada rzeczywistości. Konieczne jest tu wskazanie przyczyn dyskwalifikujących postępowanie sądu w tym zakresie. W szczególności skarżący kasacyjnie powinien wskazać, jakie kryteria oceny naruszył sąd I instancji przy ocenie konkretnych dowodów, uznając brak ich wiarygodności i mocy dowodowej lub niesłuszne przyznając im wiarę.

Zdaniem Naczelnego Sądu Administracyjnego, wszystkich tych obowiązków dopełnił organ administracji orzekający w niniejszej sprawie. Z uzasadnienia skargi kasacyjnej wynika, że w ocenie jej autora organy administracyjne i w ślad za tym Sąd I instancji pominęły część materiału dowodowego, a przynajmniej nie przydały mu cech wiarygodności (chodzi tu o wydruki z systemu elektronicznego banku) oraz nie przeprowadziły postępowania dowodowego we własnym zakresie w celu wyjaśnienia czy w istocie do strony dotarło zawiadomienie o zamiarze przetwarzania jej danych osobowych. Opierając się na treści uzasadnienia tak sformułowanego zarzutu kasacyjnego, można stwierdzić, że stanowi ono polemikę z ustaleniami organów administracyjnych, zaaprobowanymi przez Wojewódzki Sąd Administracyjny w Warszawie, bez wskazania dowodu, który został przez ten Sąd pominięty lub wadliwie oceniony. Ponadto należy jeszcze raz podkreślić, że obowiązek poszukiwania dowodów ciąży nie tylko na organie administracyjnym, ale obarcza także stronę, która w swym własnym, dobrze rozumianym interesie, powinna wykazywać należytą dbałość o przedstawienie odpowiednich i przekonujących środków dowodowych.

W rozpoznawanej sprawie Bank nie był stroną inicjującą postępowanie administracyjne przed GIODO, ale ze względu na konstrukcję przepisu art. 105a ust. 3 Prawa bankowego, to na Banku ciążył obowiązek wykazania spełnienia przesłanek umożliwiających zastosowanie tej regulacji. Dopuszczalność przetwarzania danych osobowych na podstawie tego przepisu, obwarowana jest spełnieniem kilku przesłanek. W sprawie sporna była jedynie przesłanka poinformowania P.T. przez Bank o zamiarze przetwarzania dotyczących jego danych, bez jego zgody. Ustawodawca nie stworzył w tym zakresie żadnych szczególnych wymogów formalnych co do sposobu i treści takiego poinformowania klienta lub byłego klienta banku. Nie oznacza to jednak całkowitej dowolności w tym zakresie. Jakkolwiek ustawodawca w żaden sposób nie ograniczył sposobów i form takiego zawiadomienia, jednakże w każdym wypadku sposób ten powinien umożliwić zweryfikowanie faktu poinformowania klienta banku o zamierzonym przetwarzaniu jego danych osobowych lub też przynajmniej potwierdzenie, że klientowi umożliwiono zapoznanie się z taką informacją. W tym zakresie nie mogą mieć miejsca jakiekolwiek domniemania faktyczne. Żaden z dowodów przedstawionych przez Bank (wzór zawiadomienia kierowanego do klientów w sprawie opóźnień, zrzut z ekranu pliku z aplkacji AXSOne) nie potwierdziły by P.T. otrzymał informację o zamiarze przetwarzania jego danych. Informacje o dokonaniu wysyłki takiej wiadomości nie mogą stanowić o uczynieniu zadość obowiązkowi z art. 105a ust. 3 Prawa bankowego. Zatem wbrew twierdzeniu skarżącego kasacyjnie Banku, organ nie tylko przeprowadził wszystkie wnioskowane przez Bank dowody, ale i w sposób szczegółowy poddał te dowody (dokumenty) analizie. Z tych względów niezasadny okazał się zarzut naruszenia przez Sąd I instancji art. 3 § 1 i art. 145 § 1 pkt 1 lit. c) P.p.s.a. w związku z art. art. 7, 77 § 1, 80 i 107 k.p.a.

Za nieusprawiedliwiony należy również uznać zarzut naruszenia art. art. 3 § 1 i 145 § 1 pkt 1 lit. c) P.p.s.a. w związku z art. 75 § 2 k.p.a. Z godnie z tym ostatnim przepisem, "jeżeli przepis prawa nie wymaga urzędowego potwierdzenia określonych faktów lub stanu prawnego w drodze zaświadczenia właściwego organu administracji, organ administracji publicznej odbiera od strony, na jej wniosek, oświadczenie złożone pod rygorem odpowiedzialności za fałszywe zeznania". Przepis ten nie mógł być naruszony, gdyż nie był stosowany w sprawie. Warunkiem przyjęcia, na podstawie powołanego przepisu, oświadczenia strony jest m. in. jej wniosek o dokonanie takiej czynności oraz uprzedzenie stronę przez organ o odpowiedzialności za fałszywe zeznania Z akt administracyjnych nie wynika, aby Bank złożył wniosek o przyjęcie od niego oświadczenia w trybie w/w przepisu. Podkreślić trzeba, iż oświadczenia składane w trybie art. 75 § 2 k.p.a. należy odróżniać od wyjaśnień (twierdzeń i oświadczeń) składanych przez strony w toku postępowania dowodowego.

Przechodząc do zarzutu naruszenia prawa materialnego należy wskazać, że literalne odczytanie art. 105a ust. 3 Prawa bankowego może wskazywać na to, że ustawodawca nie stworzył w tym zakresie żadnych szczególnych wymogów formalnych co do sposobu i treści takiego poinformowania klienta lub byłego klienta banku. Prawidłowa wykładnia tego przepisu nie może jednak oznaczać całkowitej dowolności w tym zakresie.

Przede wszystkim należy zwrócić uwagę na materialny (ochronny), a nie formalny charakter tego przepisu. Wymaga on w sposób kategoryczny "poinformowania", a nie "wysłania zawiadomienia", jak zdaje się twierdzić Bank w swoim stanowisku procesowym. Jak już wspomniano dane osobowe są wartością chronioną ustawowo, a prawo od ich ochrony - jak przyjmuje się w piśmiennictwie – "stanowi swego rodzaju emanację ogólnego prawa gwarantowanego Konstytucją RP (art. 47). Spostrzeżenie to oparte jest na założeniu, że dane osobowe są niejako częścią życia prywatnego lub rodzinnego, względnie że posługiwanie się danymi dotyczącymi innej osoby wkracza w przyznaną jej kompetencję decydowania o swoim życiu osobistym" (zob. J. Barta, P. Fajgielski, R. Markiewicz - Komentarz do art.1 ustawy o ochronie danych osobowych, System informacji prawnej LEX).

Powyższe oznacza, że wszelkie regulacje znoszące tę ochronę muszą być odczytywane i wykładane ściśle, z uwzględnieniem funkcji jakiej mają służyć. Przy takiej wykładni, sformułowanie użyte w przepisie art. 105a ust. 3 Prawa bankowego, dotyczące obowiązku informacyjnego banku, musi oznaczać, że nie jest to tylko obowiązek formalny. Zgodzić się należało ze skarżącym kasacyjnie, że ustawodawca w żaden sposób nie ograniczył sposobów i form takiego zawiadomienia (nie można również wykluczyć możliwości zawiadomienia drogą elektroniczną, o ile strony w zawartej umowie taką formę korespondencji przewidziały lub też posługiwania się przez bank w tym zakresie podmiotem zewnętrznym), ale w każdym wypadku sposób ten powinien umożliwić zweryfikowanie faktu poinformowania klienta banku o zamierzonym przetwarzaniu jego danych osobowych lub też przynajmniej potwierdzenie, że klientowi umożliwiono zapoznanie się z taką informacją. Prawidłowo Sąd I instancji przyjął zatem, że przepis ten obligował Bank do wykazania spełnienia powyższego obowiązku. W tym zakresie skład rozpoznający niniejszą sprawę w pełni podziela pogląd Naczelnego Sądu Administracyjnego wyrażony w wyroku z dnia 25 lipca 2017 r., sygn. akt I OSK 2859/16 (dostępnym w Internecie pod adresem: http://orzeczenia.nsa.gov.pl).

Mając powyższe na uwadze, na podstawie art. 184 P.p.s.a Naczelny Sąd Administracyjny orzekł, jak w sentencji.