{\rtf1\ansi\ansicpg1252 \deff0{\fonttbl{\f0\froman\fcharset0 Times New Roman;}{\f1\froman\fcharset0 Helvetica;}{\f2\froman\fcharset0 Arial;}{\f3\froman\fcharset0 unknown;}} {\colortbl\red0\green0\blue0;\red255\green255\blue255;\red192\green192\blue192;} {\stylesheet {\style\s1 \ql\fi0\li0\ri0\f2\fs32\b\cf0 heading 1;} {\style\s2 \ql\fi0\li0\ri0\f2\fs28\b\i\cf0 heading 2;} {\style\s3 \ql\fi0\li0\ri0\f2\fs26\b\cf0 heading 3;} {\style\s0 \ql\fi0\li0\ri0\f2\fs24\cf0 Normal;} } {\*\listtable } {\*\listoverridetable } {\info} \paperw11907\paperh16840\margl1440\margr1120\margt1720\margb1440 {\footer \pard\plain\s0\ql\fi0\li0\ri0\plain\f0 2026-04-16 18:26\par }{\header \trowd \trftsWidth3\trwWidth9347\trqc\trgaph10\trpaddl0\trpaddr0\trpaddfl3\trpaddfr3 \clbrdrb\brdrs\brdrw10\brdrcf1 \clbrdrr\brdrs\brdrw10\brdrcf1 \clbrdrt\brdrs\brdrw10\brdrcf1 \clbrdrl\brdrs\brdrw10\brdrcf1 \clcbpat1 \clftsWidth3 \clwWidth7630 \cellx7630\clbrdrb\brdrs\brdrw10\brdrcf1 \clbrdrr\brdrs\brdrw10\brdrcf1 \clbrdrt\brdrs\brdrw10\brdrcf1 \clbrdrl\brdrs\brdrw10\brdrcf1 \clcbpat1 \clftsWidth3 \clwWidth1716 \cellx9346\pard\plain\intbl\s0\fi0\li0\ri0\plain\f0 Centralna Baza Orzecze\u324? S\u261?d\u243?w Administracyjnych \cell\pard\plain\intbl\s0\qr\fi0\li0\ri0\plain\f0 Str \f3{\field{\*\fldinst PAGE}{\fldrslt }}\f0 / \f3{\field{\*\fldinst NUMPAGES \\* Arabic}{\fldrslt 1 }} \cell \trowd \trftsWidth3\trwWidth9347\trqc\trgaph10\trpaddl0\trpaddr0\trpaddfl3\trpaddfr3 \clbrdrb\brdrs\brdrw10\brdrcf1 \clbrdrr\brdrs\brdrw10\brdrcf1 \clbrdrt\brdrs\brdrw10\brdrcf1 \clbrdrl\brdrs\brdrw10\brdrcf1 \clcbpat1 \clftsWidth3 \clwWidth7630 \cellx7630\clbrdrb\brdrs\brdrw10\brdrcf1 \clbrdrr\brdrs\brdrw10\brdrcf1 \clbrdrt\brdrs\brdrw10\brdrcf1 \clbrdrl\brdrs\brdrw10\brdrcf1 \clcbpat1 \clftsWidth3 \clwWidth1716 \cellx9346\row \pard}\pgwsxn11907\pghsxn16840 \marglsxn1440\margrsxn1120\margtsxn1720\margbsxn1440\pard\plain\s0\fi0\li0\ri0\plain\f1\fs24\b III OSK 872/22 - Wyrok\b0\par \par\trowd \trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3 \clbrdrt\brdrs\brdrw30\brdrcf0 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth1869 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrt\brdrs\brdrw30\brdrcf0 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth7477 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18\b Data orzeczenia\b0 \cell\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18 2025-10-01 \cell \trowd \trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3 \clbrdrt\brdrs\brdrw30\brdrcf0 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth1869 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrt\brdrs\brdrw30\brdrcf0 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth7477 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\row \trowd \trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3 \clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth1869 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth7477 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18\b Data wp\u322?ywu\b0 \cell\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18 2022-03-31 \cell \trowd \trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3 \clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth1869 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth7477 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\row \trowd \trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3 \clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth1869 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth7477 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18\b S\u261?d\b0 \cell\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18 Naczelny S\u261?d Administracyjny \cell \trowd \trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3 \clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth1869 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth7477 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\row \trowd \trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3 \clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth1869 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth7477 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18\b S\u281?dziowie\b0 \cell\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18 Hanna Knysiak - Sudyka \par Rafa\u322? Stasikowski \par Tamara Dzie\u322?akowska /przewodnicz\u261?cy sprawozdawca/ \cell \trowd \trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3 \clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth1869 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth7477 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\row \trowd \trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3 \clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth1869 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth7477 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18\b Symbol z opisem\b0 \cell\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18 647 Sprawy zwi\u261?zane z ochron\u261? danych osobowych \cell \trowd \trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3 \clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth1869 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth7477 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\row \trowd \trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3 \clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth1869 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth7477 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18\b Has\u322?a tematyczne\b0 \cell\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18 Inne \cell \trowd \trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3 \clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth1869 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth7477 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\row \trowd \trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3 \clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth1869 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth7477 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18\b Sygn. powi\u261?zane\b0 \cell\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18 II SA/Wa 1528/21 \cell \trowd \trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3 \clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth1869 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth7477 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\row \trowd \trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3 \clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth1869 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth7477 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18\b Skar\u380?ony organ\b0 \cell\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18 Generalny Inspektor Ochrony Danych Osobowych \cell \trowd \trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3 \clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth1869 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth7477 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\row \trowd \trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3 \clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth1869 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth7477 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18\b Tre\u347?\u263? wyniku\b0 \cell\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18 Uchylono zaskar\u380?ony wyrok w cz\u281?\u347?ci i w tej cz\u281?\u347?ci skarg\u281? oddalono, w pozosta\u322?ym zakresie skarg\u281? kasacyjn\u261? oddalono \cell \trowd \trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3 \clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth1869 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth7477 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\row \trowd \trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3 \clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth1869 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth7477 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18\b Powo\u322?ane przepisy\b0 \cell\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18 Dz.U. 2024 nr 0 poz 935; art. 145 par 1 pkt 1 lit. a i b; Ustawa z dnia 30 sierpnia 2002 r. Prawo o post\u281?powaniu przed s\u261?dami administracyjnymi (t. j.) \par Dz.U. 1997 nr 140 poz 939; art. 105a ust. 1-3; Ustawa z dnia 29 sierpnia 1997 r. - Prawo bankowe. \par Dz.U.UE.L 2016 nr 119 poz 1; art. 6 ust. 1 lit. b i f, art. 15, art. 17, art. 57 ust. 1, art. 58 ust. 1 i ust. 2 lit. b i g; Rozporz\u261?dzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony os\u243?b fizycznych w zwi\u261?zku z przetwarzaniem danych osobowych i w sprawie swobodnego przep\u322?ywu takich danych oraz uchylenia dyrektywy 95/46/WE \cell \trowd \trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3 \clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth1869 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth7477 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\row \trowd \trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3 \clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth9346 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18\b Sentencja\b0 \par\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs22 Naczelny S\u261?d Administracyjny w sk\u322?adzie: Przewodnicz\u261?ca s\u281?dzia NSA Tamara Dzie\u322?akowska (spr.) S\u281?dziowie: s\u281?dzia NSA Rafa\u322? Stasikowski s\u281?dzia del. WSA Hanna Knysiak-Sudyka Protokolant asystent s\u281?dziego Adam P\u322?usa po rozpoznaniu w dniu 1 pa\u378?dziernika 2025 r. na rozprawie w Izbie Og\u243?lnoadministracyjnej skargi kasacyjnej Prezesa Urz\u281?du Ochrony Danych Osobowych od wyroku Wojew\u243?dzkiego S\u261?du Administracyjnego w Warszawie z dnia 13 grudnia 2021 r. sygn. akt II SA/Wa 1528/21 w sprawie ze skargi M. S.A. z siedzib\u261? w W. na decyzj\u281? Prezesa Urz\u281?du Ochrony Danych Osobowych z dnia 9 lutego 2021 r. nr [...] w przedmiocie przetwarzania danych osobowych 1. uchyla zaskar\u380?ony wyrok w cz\u281?\u347?ci dotycz\u261?cej uchylenia pkt 3 decyzji Prezesa Urz\u281?du Ochrony Danych Osobowych z dnia 9 lutego 2021 r. i w tym zakresie skarg\u281? oddala, 2. w pozosta\u322?ym zakresie oddala skarg\u281? kasacyjn\u261?, 3. znosi wzajemnie mi\u281?dzy stronami koszty post\u281?powania kasacyjnego. \cell \trowd \trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3 \clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth9346 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\row \trowd \trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3 \clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth9346 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs18\b Uzasadnienie\b0 \par\pard\plain\intbl\s0\fi0\li0\ri0\plain\f1\fs22 Post\u281?powanie przed Prezesem Urz\u281?du Ochrony Danych Osobowych (dalej: organ lub PUODO) zosta\u322?o zainicjowane skarg\u261? \u321?.M. (dalej: uczestnik) na nieprawid\u322?owo\u347?ci w przetwarzaniu jego danych osobowych przez M. S.A. z siedzib\u261? w W. (dalej bank) polegaj\u261?ce na przetwarzaniu jego danych bez podstawy prawnej. \par \par W toku prowadzonego post\u281?powania organ ustali\u322?, \u380?e bank przetwarza dane osobowe uczestnika pozyskane bezpo\u347?rednio od niego, w zwi\u261?zku z zamkni\u281?tymi produktami: umow\u261? o prowadzenie bankowych rachunk\u243?w oszcz\u281?dno\u347?ciowych i umow\u261? o prowadzenie kredytu odnawialnego, co do kt\u243?rych uczestnik z\u322?o\u380?y\u322? 20 grudnia 2019 r. wypowiedzenie. Z wyja\u347?nie\u324? banku wynika\u322?o, \u380?e proces przetwarzania danych po wyga\u347?ni\u281?ciu ww. um\u243?w z dniem 28 lutego 2020 r. odbywa si\u281? na podstawie przes\u322?anki okre\u347?lonej w art. 6 ust. 1 lit f rozporz\u261?dzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony os\u243?b fizycznych w zwi\u261?zku z przetwarzaniem danych osobowych i w sprawie swobodnego przep\u322?ywu takich danych oraz uchylenia dyrektywy 95/46WE (Dz. Urz. UE L. nr 119. str. 1, ze zm.), zwanego dalej "RODO" w zw. z art. 118 Kodeksu cywilnego i jest niezb\u281?dny w celu dochodzenia lub obrony przed roszczeniami po zako\u324?czeniu umowy. Dodatkowo bank wyja\u347?ni\u322?, \u380?e w wyniku b\u322?\u281?du jego pracownika w systemie bankowym nie odnotowano wypowiedzenia przez uczestnika prolongaty kredytu odnawialnego w wyniku czego naliczono mu nies\u322?usznie w styczniu 2019 r. op\u322?at\u281? za odnowienie ww. kredytu i zaksi\u281?gowano na rachunku uczestnika. Informacj\u281? o tej zaleg\u322?o\u347?ci w sp\u322?acie bank 5 marca 2019 r. przekaza\u322? do Biura Informacji Kredytowej S.A. W dniach od 6 do 14 marca 2019 r. bank kontaktowa\u322? si\u281? z uczestnikiem pod adresem mailowym [1] informuj\u261?c go o powsta\u322?ym na jego rachunku zad\u322?u\u380?eniu i konieczno\u347?ci jego uregulowania. Na podstawie zg\u322?oszenia uczestnika bank zarejestrowa\u322? reklamacj\u281? w przedmiotowej sprawie, kt\u243?ra zosta\u322?a rozpatrzona pozytywnie i bezpodstawnie naliczona uczestnikowi op\u322?ata zosta\u322?a anulowana, a 24 lipca 2019 r. wprowadzono korekt\u281? i usuni\u281?to b\u322?\u281?dny zapis dotycz\u261?cy op\u243?\u378?nienia w sp\u322?acie z BIK. W zwi\u261?zku z pomy\u322?k\u261? banku uczestnik wyst\u281?powa\u322? w systemie bankowym jako aktywny klient do 5 lipca 2019 r., wi\u281?c bank kontaktowa\u322? si\u281? z nim w dniu 28 czerwca 2019 r. w celu aktualizacji danych jego dowodu osobistego. W zwi\u261?zku z powy\u380?szym uczestnik 1 lipca 2019 r. za po\u347?rednictwem adresu poczty elektronicznej [2], podaj\u261?c swoje imi\u281? i nazwisko, zwr\u243?ci\u322? si\u281? do banku na adres [3] o wskazanie podstawy \u380?\u261?dania i celu aktualizacji swoich danych osobowych przez bank. Jednocze\u347?nie za\u380?\u261?da\u322? przedstawienia zgody na przetwarzanie jego danych po zako\u324?czeniu umowy \u322?\u261?cz\u261?cej go z bankiem. Bank odm\u243?wi\u322? udzielenia \u380?\u261?danych informacji t\u322?umacz\u261?c, \u380?e przedstawione dane osobowe nie pozwalaj\u261? na identyfikacj\u281? uczestnika jako klienta banku. \par \par Oceniaj\u261?c powy\u380?sze dzia\u322?ania banku organ uzna\u322?, \u380?e przetwarzanie danych osobowych uczestnika w okresie od dnia 1 marca 2019 r. do dnia 5 lipca 2019 r. stanowi\u322?o naruszenie przepis\u243?w o ochronie danych osobowych. Bank wskazywa\u322?, \u380?e przetwarzanie danych osobowych uczestnika mia\u322?o miejsce w celu realizacji zawartych z nim um\u243?w o produkty bankowe, a tym samym odbywa\u322?o si\u281? w oparciu o art. 6 ust. 1 lit. b RODO. Jednak\u380?e skoro ww. umowy wygas\u322?y w dniu 28 lutego 2019 r. to tym samym odpad\u322?a przes\u322?anka legalizuj\u261?ca ich przetwarzanie. \par \par Odnosz\u261?c si\u281? do przekazania przez bank danych uczestnika do BIK organ wskaza\u322? na tre\u347?\u263? art. 105a ust. 1-3 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz. U. z 2020 r. poz. 1896 ze zm.) dalej jako "Prawo bankowe", okre\u347?laj\u261?cego zasady przetwarzania danych obj\u281?tych tajemnic\u261? bankow\u261?. Zgodnie z powo\u322?anym przepisem przetwarzanie danych przez banki i inne wskazane instytucje w zakresie dotycz\u261?cym os\u243?b fizycznych mo\u380?e by\u263? wykonywane z pewnymi zastrze\u380?eniami w celu oceny zdolno\u347?ci kredytowej i analizy ryzyka kredytowego. Do przetwarzania danych na tej podstawie nie jest wymagana zgoda osoby, kt\u243?rej dane s\u261? przetwarzane. Natomiast po wyga\u347?ni\u281?ciu zobowi\u261?zania wynikaj\u261?cego z umowy zawartej z bankiem lub inn\u261? instytucj\u261? ustawowo upowa\u380?nion\u261? do udzielania kredyt\u243?w zgoda jest wymagana (art. 105a ust. 2 Prawo bankowe). Wyj\u261?tkiem od powy\u380?szego jest jedynie sytuacja, gdy osoba, kt\u243?rej przetwarzanie danych dotyczy, nie wykona\u322?a zobowi\u261?zania lub dopu\u347?ci\u322?a si\u281? zw\u322?oki powy\u380?ej 60 dni w spe\u322?nieniu \u347?wiadczenia wynikaj\u261?cego z umowy zawartej z bankiem lub inn\u261? wskazan\u261? instytucj\u261?, a po zaistnieniu tych okoliczno\u347?ci up\u322?yn\u281?\u322?o co najmniej 30 dni od poinformowania tej osoby przez bank lub inn\u261? wskazan\u261? instytucj\u281? o zamiarze przetwarzania dotycz\u261?cych jej informacji bez jej zgody (art. 105a ust. 3 Prawa bankowego). \u379?adna z powy\u380?szych podstaw nie zaistnia\u322?a w niniejszej sprawie, bowiem od dnia wypowiedzenia umowy przez uczestnika bank nie by\u322? upowa\u380?niony do przetwarzania, w tym w systemach BIK, danych osobowych uczestnika. \par \par Odnosz\u261?c si\u281? do stanowiska organu Bank wskaza\u322?, \u380?e obecnie przetwarza dane osobowe uczestnika na podstawie art. 6 ust. 1 lit. f RODO, w zwi\u261?zku z art. 118 ustawy z dnia 23 kwietnia 1964 r. Kodeks cywilny (Dz. U. z 2020, poz. 1740 ze zm.), dalej "k.c." w celu dochodzenia roszcze\u324?. Organ w decyzji stwierdzi\u322?, \u380?e nie wykazano aby bank wyst\u261?pi\u322? do uczestnika z jakimkolwiek roszczeniem, b\u261?d\u378? te\u380? aby uczestnik skierowa\u322? roszczenie wobec banku, kt\u243?re uzasadnia\u322?yby uprawnienie banku do zachowania i przetwarzania jego danych osobowych dla ww. cel\u243?w. \par \par Na koniec organ zauwa\u380?y\u322?, \u380?e zgodnie z art. 15 ust. 1 RODO osoba, kt\u243?rej dane dotycz\u261?, jest uprawniona do uzyskania od administratora potwierdzenia, czy przetwarzane s\u261? dane osobowe jej dotycz\u261?ce, a je\u380?eli ma to miejsce, jest uprawniona do uzyskania dost\u281?pu do nich oraz uzyskania informacji, okre\u347?lonych w tym przepisie. Zauwa\u380?ono jednak, \u380?e bank kontaktowa\u322? si\u281? z uczestnikiem w zwi\u261?zku z dochodzeniem nienale\u380?nej wierzytelno\u347?ci za po\u347?rednictwem adresu mailowego [1], natomiast uczestnik zwracaj\u261?c si\u281? do banku w trybie art. 15 ust. 1 RODO pos\u322?u\u380?y\u322? si\u281? adresem mailowym [2] podaj\u261?c jedynie imi\u281? i nazwisko. W ocenie organu zatem bank m\u243?g\u322? mie\u263? w\u261?tpliwo\u347?ci co do to\u380?samo\u347?ci uczestnika i w rezultacie odm\u243?wi\u263? poinformowania go o przetwarzaniu jego danych osobowych. \par \par Reasumuj\u261?c organ uzna\u322?, \u380?e bank przetwarza\u322? dane osobowe uczestnika bez podstawy prawnej, z naruszeniem art. 6 ust. 1 RODO w celu realizacji umowy kredytu odnawialnego w terminie od 1 marca 2019 r. do 5 lipca 2019 r., w terminie od 1 marca 2019 r. do 28 czerwca 2019 r. w celu dochodzenia nienale\u380?nego roszczenia, a tak\u380?e w zakresie dotycz\u261?cym kredytu odnawialnego w BIK w terminie od 5 marca 2019 r. do 24 lipca 2019 r. Z tego wzgl\u281?du organ udzieli\u322? bankowi upomnie\u324?, korzystaj\u261?c z przys\u322?uguj\u261?cego mu uprawnienia okre\u347?lonego w art. 58 ust. 2 lit. b RODO (pkt 1 i 2 decyzji). W zakresie natomiast obecnego procesu przetwarzania danych osobowych uczestnika przez bank, korzystaj\u261?c z uprawnienia przewidzianego w art. 58 ust. 2 lit. g RODO, organ nakaza\u322? bankowi usuni\u281?cie danych osobowych uczestnika (pkt 3 decyzji). Natomiast w kontek\u347?cie obowi\u261?zku informacyjnego okre\u347?lonego w art. 15 RODO, organ odm\u243?wi\u322? uwzgl\u281?dnienia wniosku w tym zakresie (pkt 4 decyzji). \par \par Wojew\u243?dzki S\u261?d Administracyjny w Warszawie wyrokiem z 13 grudnia 2021 r. sygn. akt II SA/Wa 1528/21 na podstawie art. 145 \u167? 1 pkt 1 lit. a i b oraz art. 200 w zw. z art. 205 \u167? 2 ustawy z dnia 30 sierpnia 2002 r. \u8211? Prawo o post\u281?powaniu przed s\u261?dami administracyjnymi (Dz. U. z 2019 r. poz. 2325 ze zm.) dalej "p.p.s.a.", uchyli\u322? decyzj\u281? w zaskar\u380?onej cz\u281?\u347?ci tj. w punktach 1-3 oraz zas\u261?dzi\u322? od organu na rzecz banku zwrot koszt\u243?w post\u281?powania. W uzasadnieniu orzeczenia S\u261?d wskaza\u322?, \u380?e sprawa wymaga rozstrzygni\u281?cia dw\u243?ch problem\u243?w, tj. na\u322?o\u380?enia na Bank sankcji w postaci upomnienia (pkt 1-2 decyzji) oraz zastosowania przez organ uprawnie\u324? naprawczych w postaci nakazu usuni\u281?cia wszelkich danych uczestnika (pkt 3 decyzji). \par \par Odnosz\u261?c si\u281? do problemu nakazu usuni\u281?cia danych uczestnika S\u261?d stwierdzi\u322?, \u380?e organ mylnie przyj\u261?\u322?, jakoby w og\u243?le nie by\u322?o podstaw dla dalszego przetwarzania danych osobowych uczestnika wobec uprzedniego rozwi\u261?zania umowy i braku aktualnie spor\u243?w, co do zobowi\u261?za\u324? mi\u281?dzy nim, a bankiem. Przepis art. 6 ust. 1 lit. f RODO stanowi podstaw\u281? przetwarzania, gdy jest to niezb\u281?dne dla cel\u243?w, wynikaj\u261?cych z prawnie uzasadnionych interes\u243?w, realizowanych przez administratora, a interes\u243?w tych mo\u380?na upatrywa\u263? w przepisach prawa krajowego dotycz\u261?cych przedawnienia roszcze\u324? z tytu\u322?u um\u243?w. Z takich przepis\u243?w wynika bowiem mo\u380?liwo\u347?\u263? skutecznego dochodzenia roszcze\u324? przez obie strony um\u243?w przez okre\u347?lony czas. Nie mo\u380?na uzna\u263?, \u380?e art. 105a Prawa bankowego stanowi w tym przypadku lex specialis wy\u322?\u261?czaj\u261?ce uprawnienia wynikaj\u261?ce z og\u243?lnych regu\u322? k.c. w kwestii przedawnienia roszcze\u324? b\u261?d\u378? je modyfikuj\u261?cym. Tym samym uznanie, \u380?e rozwi\u261?zanie umowy przez bank skutkuje automatycznym obowi\u261?zkiem usuni\u281?cia danych uczestnika, wy\u322?\u261?cza\u322?oby w istocie prawo realizacji potencjalnych roszcze\u324? jeszcze przed jego przedawnieniem. W ocenie S\u261?du obowi\u261?zku takiego nie spos\u243?b te\u380? wywie\u378?\u263? z art. 17 RODO ustanawiaj\u261?cym tzw. "prawo do bycia zapomnianym" w zwi\u261?zku z wy\u322?\u261?czeniem zawartym w ust. 3 lit. e \u8211? dla ewentualnego ustalenia roszcze\u324? b\u261?d\u378? ich dochodzenia lub obrony. W zwi\u261?zku z powy\u380?szym, jako \u380?e tre\u347?\u263? art. 6 ust. 1 lit. f RODO pozwala\u322?a na przetwarzanie danych uczestnika, to w ocenie S\u261?du pierwszej instancji nie by\u322?y istotne inne zarzuty jakoby proces przetwarzania po wyga\u347?ni\u281?ciu zobowi\u261?zania uzasadnia\u322?y regulacje ustawy z dnia 5 sierpnia 2015 r. o rozpatrywaniu reklamacji przez podmioty rynku finansowego i o Rzeczniku Finansowym (Dz. U. z 2019 r., poz. 2279), ustawy z dnia 1 marca 2018 r. o przeciwdzia\u322?aniu praniu pieni\u281?dzy oraz finansowaniu terroryzmu (Dz. U. z 2020 r., poz. 971), ustawy z dnia 29 wrze\u347?nia 1994 r. o rachunkowo\u347?ci (Dz. U. z 2021 r., poz. 217) czy rozporz\u261?dzenia Parlamentu Europejskiego i Rady nr 575/2013 z dnia 26 czerwca 2013 w sprawie wymog\u243?w ostro\u380?no\u347?ciowych dla instytucji kredytowych i firm inwestycyjnych zmieniaj\u261?cego rozporz\u261?dzenie (UE) nr 648/2012 (Dz. Urz. UE L.2013, Nr 176 str. 1). Podsumowuj\u261?c ten w\u261?tek S\u261?d pierwszej instancji podkre\u347?li\u322?, \u380?e na dzie\u324? orzekania istnia\u322?y w sprawie przes\u322?anki dalszego przetwarzania danych uczestnika dla cel\u243?w realizacji przysz\u322?ych nieprzedawnionych jeszcze roszcze\u324? w zwi\u261?zku z faktem, \u380?e umowa \u322?\u261?cz\u261?ca uczestnika z bankiem zosta\u322?a rozwi\u261?zana 28 lutego 2019 r., a termin przedawnienia tego roszczenia okre\u347?la art. 118 k.c. Nie by\u322?o wi\u281?c podstaw do na\u322?o\u380?enia obowi\u261?zku usuni\u281?cia danych na podstawie art. 58 ust. 1 lit. g RODO. \par \par Odnosz\u261?c si\u281? do materii zastosowanych przez organ \u347?rodk\u243?w sankcyjnych S\u261?d stwierdzi\u322?, \u380?e wszelkie dzia\u322?ania banku stanowi\u322?y nast\u281?pstwa naruszenia regu\u322?, dotycz\u261?cych w\u322?a\u347?ciwej obs\u322?ugi uczestnika w ramach dzia\u322?ania okre\u347?lonej instytucji finansowej. Nie spos\u243?b uzna\u263?, \u380?e przepisy o ochronie danych osobowych maj\u261? w niniejszej sprawie s\u322?u\u380?y\u263? jako alternatywny i konkurencyjny mechanizm, s\u322?u\u380?\u261?cy egzekwowaniu odpowiedniej staranno\u347?ci w relacjach gospodarczych, gdy nast\u281?pstwem b\u322?\u281?du jest zb\u281?dne przetworzenie danych osobowych. Nie mo\u380?na wi\u281?c tego przypadku traktowa\u263? jako naruszenia przepis\u243?w RODO. Tym samym, organ nie by\u322? uprawniony do zastosowania sankcji w postaci upomnienia, bowiem nie s\u322?u\u380?y\u322?a ona stricte egzekwowaniu przepis\u243?w o ochronie danych osobowych, a tym samym uchybiono tre\u347?ci art. 58 ust. 2 lit. b w zw. z art. 57 ust. 1 lit. a RODO poprzez niew\u322?a\u347?ciwe zastosowanie tych przepis\u243?w. \par \par Dodatkowo S\u261?d pierwszej instancji odni\u243?s\u322? si\u281? te\u380? do faktu przetworzenia przez bank danych osobowych uczestnika wobec ich przekazanie do BIK i uzna\u322?, \u380?e w tym zakresie uznano, \u380?e organ bezpodstawnie odst\u261?pi\u322? od szczeg\u243?\u322?owego ustalenia czy bank dzia\u322?a\u322? w\u322?a\u347?ciwie w celu usuni\u281?cia stosownych danych osobowych uczestnika z baz BIK w zwi\u261?zku z uprzednim przes\u322?aniem b\u322?\u281?dnej informacji o nieuregulowaniu nale\u380?no\u347?ci. Kwestia ta jest natomiast o tyle istotna, \u380?e mo\u380?e mie\u263? wp\u322?yw na wynik sprawy w kontek\u347?cie oceny, czy w dzia\u322?aniach banku dosz\u322?o do uchybie\u324?. \par \par Skarg\u281? kasacyjn\u261? od powy\u380?szego wyroku wni\u243?s\u322? Prezes Urz\u281?du Ochrony Danych Osobowych \u380?\u261?daj\u261?c na podstawie art. 188 p.p.s.a. uchylenia w ca\u322?o\u347?ci zaskar\u380?onego wyroku i oddalenia skargi banku w przypadku uznania, \u380?e sprawa jest dostatecznie wyja\u347?niona, ewentualnie na podstawie art. 185 \u167? 1 p.p.s.a. uchylenia w ca\u322?o\u347?ci zaskar\u380?onego wyroku i przekazania sprawy do ponownego rozpoznania S\u261?dowi pierwszej instancji oraz zas\u261?dzenia zwrotu koszt\u243?w post\u281?powania na rzecz organu. Organ wni\u243?s\u322? r\u243?wnie\u380? o rozpoznanie sprawy na rozprawie. Zaskar\u380?onemu wyrokowi zarzucono: \par \par 1) naruszenie przepis\u243?w post\u281?powania maj\u261?ce istotny wp\u322?yw na wynik sprawy, tj. art. 145 \u167? 1 pkt 1 lit. c p.p.s.a. w zw. z art. 7, art. 77 \u167? 1, art. 80 k.p.a., w zw. z art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych, poprzez b\u322?\u281?dne uznanie, \u380?e organ nie zbada\u322? niniejszej sprawy w spos\u243?b w\u322?a\u347?ciwy, co w konsekwencji doprowadzi\u322?o do uchylenia zaskar\u380?onej decyzji, \par \par 2) naruszenie przepis\u243?w prawa materialnego, tj. 6 ust. 1 lit. f RODO, polegaj\u261?ce na jego nieprawid\u322?owej wyk\u322?adni poprzez uznanie, \u380?e przetwarzanie danych osobowych na wypadek ewentualnych, przysz\u322?ych i niepewnych roszcze\u324? stanowi uzasadniony interes prawny administratora, o ile przetwarzanie to odbywa si\u281? w terminach przedawnienia roszcze\u324? uregulowanych w art. 118 k.c., co w konsekwencji doprowadzi\u322?o do uchylenia zaskar\u380?onej decyzji w punkcie 3, \par \par 3) naruszenie przepis\u243?w prawa materialnego maj\u261?ce istotny wp\u322?yw na wynik sprawy, tj. art. 58 ust. 2 lit. b w zw. z art. 57 ust. 1 lit. a RODO, tj. poprzez uznanie, i\u380? Prezes Urz\u281?du Ochrony Danych Osobowych nie jest organem w\u322?a\u347?ciwym do rozstrzygania w zakresie nieprawid\u322?owo\u347?ci w procesie przetwarzania danych osobowych uczestnika, poniewa\u380? by\u322?y one nast\u281?pstwem b\u322?\u281?du pope\u322?nionego przez pracownika banku, co w ocenie s\u261?du nie pozwala zakwalifikowa\u263? takich nieprawid\u322?owo\u347?ci jako naruszenia przepis\u243?w dotycz\u261?cych ochrony danych osobowych przez bank b\u281?d\u261?cy administratorem, a w rezultacie uniemo\u380?liwia zastosowanie przez organ nadzorczy \u347?rodk\u243?w naprawczych wobec tego administratora co w konsekwencji doprowadzi\u322?o do uchylenia zaskar\u380?onej decyzji w punktach 1 i 2. \par \par W uzasadnieniu skargi kasacyjnej organ podkre\u347?li\u322?, \u380?e w jego ocenie brak jest podstaw do uznania, \u380?e przetwarzanie danych osobowych uczestnika przez bank uzasadniaj\u261? cele gospodarcze w okresie, gdy mo\u380?liwe jest realnie dochodzenie roszcze\u324? przez obie strony umowy. Zauwa\u380?y\u263? bowiem trzeba, \u380?e przedawnienie roszczenia nie wywo\u322?uje skutk\u243?w na gruncie ochrony danych osobowych, bowiem nie wp\u322?ywa na fakt istnienia roszczenia, a powoduje jedynie zmian\u281? w sferze zarzut\u243?w procesowych. Nie mo\u380?na te\u380? uto\u380?samia\u263? przetwarzania danych w celu dochodzenia roszczenia oraz obrony przed istniej\u261?cymi roszczeniami z przetwarzaniem na wypadek ewentualnego zaistnienia takich roszcze\u324? w przysz\u322?o\u347?ci. Przepis art. 6 ust. 1 lit. f RODO dotyczy jedynie sytuacji ju\u380? istniej\u261?cych, a przetwarzanie danych osobowych "na zapas" nie ma podstaw prawnych. Organ podkre\u347?li\u322?, \u380?e S\u261?d pierwszej instancji niezasadnie odszed\u322? w zaskar\u380?onym orzeczeniu od ukszta\u322?towanej linii orzeczniczej, zgodnie z kt\u243?r\u261? to kwestia ewentualno\u347?ci przysz\u322?ych roszcze\u324? jest kluczowa w uzasadnieniu mo\u380?liwo\u347?ci przetwarzania danych osobowych. Co wi\u281?cej organ zauwa\u380?y\u322?, \u380?e przes\u322?anka okre\u347?lona w art. 6 ust. 1 lit. f RODO pozwalaj\u261?ca na przetwarzanie danych osobowych, nie jest ukierunkowana na ochron\u281? interes\u243?w sektora gospodarczego. Legalno\u347?\u263? przetwarzania uzale\u380?niona jest w tym przypadku od tego, czy przetwarzanie to jest niezb\u281?dne do cel\u243?w wynikaj\u261?cych z prawnie uzasadnionych interes\u243?w realizowanych przez administratora lub przez stron\u281? trzeci\u261?, z wyj\u261?tkiem sytuacji, w kt\u243?rych nadrz\u281?dny charakter wobec tych interes\u243?w maj\u261? interesy lub podstawowe prawa i wolno\u347?ci osoby, kt\u243?rej dane dotycz\u261?. W przedmiotowej sprawie S\u261?d pierwszej instancji stwierdzi\u322? natomiast, \u380?e przetwarzanie danych "na wszelki wypadek" nie mog\u322?o by\u263? interesem nadrz\u281?dnym wobec praw i wolno\u347?ci jednostki. Ponadto zwr\u243?cono uwag\u281?, \u380?e brak jest przepis\u243?w, kt\u243?re zobowi\u261?zywa\u322?yby niekt\u243?re podmioty do przetwarzania danych osobowych przez okres przedawnienia roszcze\u324? z tytu\u322?u zawartych um\u243?w w przypadku um\u243?w bankowych, co nale\u380?y rozumie\u263? jako brak takiej intencji ze strony ustawodawcy. \par \par W odpowiedzi na skarg\u281? kasacyjn\u261? bank wni\u243?s\u322? o jej oddalenie i zas\u261?dzenie na swoj\u261? rzecz koszt\u243?w post\u281?powania oraz rozpoznania skargi kasacyjnej na rozprawie. W uzasadnieniu podzielono stanowisko zaprezentowane w zaskar\u380?onym orzeczeniu. W kontek\u347?cie nakazu usuni\u281?cia danych osobowych bank uzna\u322?, \u380?e przechowywanie danych osobowych przez okres przedawnienia nie mo\u380?e by\u263? traktowane jako przechowywanie "na zapas", bowiem usuni\u281?cie danych kontrahenta wy\u322?\u261?cza\u322?oby jego prawa realizacji potencjalnych roszcze\u324? przed jego przedawnieniem. Bank odwo\u322?a\u322? si\u281? do poj\u281?\u263? prawa podmiotowego oraz uprawnienia i wskaza\u322?, \u380?e interpretacja przyj\u281?ta przez organ prowadzi do sytuacji, w kt\u243?rej przestaje by\u263? mo\u380?liwa realizacja prawa podmiotowego przez obie strony stosunku cywilnoprawnego, bowiem nie jest mo\u380?liwa weryfikacja zasadno\u347?ci roszczenia bez danych klienta banku, kt\u243?ry uprzednio usun\u261?\u322? wszystkie dane osobowe klienta. \par \par Odnosz\u261?c si\u281? do kwestii przetwarzania danych osobowych uczestnika wskutek b\u322?\u281?du banku uznano, \u380?e nie \u347?wiadczy to automatycznie o przetwarzaniu niezgodnie z przepisami RODO. Upomnienie nie spe\u322?nia bowiem swojej roli w sytuacji, gdy jego na\u322?o\u380?enie jest oderwane od naruszenia, tak jak w niniejszej sprawie, bowiem wynika z ludzkiego b\u322?\u281?du. Co wi\u281?cej bank podkre\u347?li\u322?, \u380?e wbrew twierdzeniom organu, S\u261?d pierwszej instancji uzna\u322?, \u380?e nie wykazano, aby zachodzi\u322?y nieprawid\u322?owo\u347?ci w systemie przetwarzania danych osobowych uczestnika, kt\u243?re mog\u322?yby by\u263? przes\u322?ank\u261? udzielenia upomnienia. \par \par Naczelny S\u261?d Administracyjny zwa\u380?y\u322?, co nast\u281?puje: \par \par Skarga kasacyjna jest cz\u281?\u347?ciowo zasadna. \par \par Na pocz\u261?tek nale\u380?y zauwa\u380?y\u263?, \u380?e w ramach zarzutu naruszenia prawa procesowego powo\u322?ano art. 145 \u167? 1 pkt 1 lit. c p.p.s.a. w zw. z art. 7, art. 77 \u167? 1, art. 80 k.p.a., w zw. z art. 7 ust. 1 u.o.d.o. Organ naruszenia upatruje w b\u322?\u281?dnym uznaniu, \u380?e sprawa nie zosta\u322?a w\u322?a\u347?ciwie zbadana, co w konsekwencji doprowadzi\u322?o do uchylenia zaskar\u380?onej decyzji. \par \par W tym zakresie Naczelny S\u261?d Administracyjny podziela stanowisko organu, zgodnie z kt\u243?rym "organ obowi\u261?zany jest z urz\u281?du stwierdzi\u263?, jakie dowody s\u261? niezb\u281?dne w danej sprawie oraz tak\u380?e z urz\u281?du dowody te przeprowadzi\u263?, jednak obowi\u261?zek wyczerpuj\u261?cego zebrania i zbadania ca\u322?ego materia\u322?u dowodowego nie powoduje, i\u380? strona post\u281?powania zwolniona jest od wsp\u243?\u322?udzia\u322?u w realizacji tego obowi\u261?zku. Przepis art. 7 Kpa przyznaje zatem inicjatyw\u281? w post\u281?powaniu dowodowym tak\u380?e stronom". Po analizie akt administracyjnych sprawy nie spos\u243?b przyj\u261?\u263?, \u380?e dosz\u322?o do wad w procesie ustalania stanu faktycznego. Bank nie wykaza\u322? jakich okoliczno\u347?ci nie ustalono, a kt\u243?re mia\u322?yby \u347?wiadczy\u263? o lukach w ustalonym stanie faktycznym. Okoliczno\u347?\u263? dotycz\u261?ca b\u322?\u281?du banku skutkuj\u261?cego dalszym przetwarzaniem danych osobowych uczestnika rozpoznana zostanie w ramach analizy zarzut\u243?w materialnych skargi kasacyjnej. W zwi\u261?zku z powy\u380?szym zarzut ten nie m\u243?g\u322? odnie\u347?\u263? zamierzonego skutku. \par \par W rozpoznawanej sprawie bank do dnia 29 lutego 2019 r. przetwarza\u322? dane osobowe skar\u380?\u261?cego na podstawie art. 6 ust. 1 lit. b RODO, bowiem by\u322?o to niezb\u281?dne do wykonywania zawartej mi\u281?dzy stronami umowy. Natomiast na dzie\u324? wydania zaskar\u380?onej decyzji PUODO jako podstaw\u281? dalszego przetwarzania bank wskaza\u322? art. 6 ust. 1 lit. f w zw. z art. 118 k.c. i takie przetwarzanie nie mo\u380?e zosta\u263? uznane za zgodne z prawem. \par \par Pierwszy problem materialnoprawny wyst\u281?puj\u261?cy w sprawie dotyczy interpretacji i zastosowania art. 6 ust. 1 lit. f RODO, a dok\u322?adnie mo\u380?liwo\u347?ci przetwarzania danych osobowych uczestnika w okresie przedawnienia roszczenia wynikaj\u261?cego z rozwi\u261?zanej ju\u380? umowy \u322?\u261?cz\u261?cej uczestnika i bank. W tym zakresie Naczelny S\u261?d Administracyjny w pe\u322?ni podziela stanowisko zaprezentowane w wyroku NSA z 10 lipca 2025 r. sygn. akt III OSK 1594/22, w kt\u243?rym to uznano, \u380?e art. 6 ust. 1 lit. f RODO dotyczy sytuacji "ju\u380? istniej\u261?cej", w kt\u243?rej celem wynikaj\u261?cym z prawnie uzasadnionych interes\u243?w realizowanych przez administratora jest konieczno\u347?\u263? udowodnienia, potrzeba dochodzenia lub obrony przed roszczeniem istniej\u261?cym, nie za\u347? sytuacji, gdy dane s\u261? przetwarzane w celu zabezpieczenia si\u281? przed ewentualnym roszczeniem. \par \par W doktrynie i orzecznictwie wyja\u347?nia si\u281?, \u380?e zastosowanie art. 6 ust. 1 lit. f RODO jest uzasadnione, gdy \u322?\u261?cznie spe\u322?nione s\u261? nast\u281?puj\u261?ce przes\u322?anki: 1) po stronie administratora istniej\u261? cele, dla osi\u261?gni\u281?cia kt\u243?rych przetwarzanie danych osobowych jest niezb\u281?dne; 2) cele te wynikaj\u261? z "prawnie uzasadnionych interes\u243?w" realizowanych przez administratora; 3) "prawnie uzasadnione interesy" realizowane przez administratora maj\u261? charakter nadrz\u281?dny wobec interes\u243?w lub podstawowych praw i wolno\u347?ci osoby, kt\u243?rej dotycz\u261? przetwarzane dane (por. wyrok NSA z 5 lutego 2025 r., sygn. akt III OSK 6553/21, CBOSA). \par \par Celem przepis\u243?w o ochronie danych osobowych jest ochrona prywatno\u347?ci w rozumieniu art. 47 Konstytucji RP (por. wyrok NSA z 30 marca 2006 r., sygn. akt I OSK 628/05; wyrok NSA z 3 grudnia 2019 r., sygn. akt I OSK 920/18). Zagwarantowana w art. 51 Konstytucji RP autonomia informacyjna oznacza prawo do samodzielnego decydowania o ujawnianiu innym informacji dotycz\u261?cych swojej osoby, a tak\u380?e prawo do sprawowania kontroli nad takimi informacjami, je\u347?li znajduj\u261? si\u281? w posiadaniu innych podmiot\u243?w (por. wyrok TK z 19 lutego 2002 r., sygn. U 3/01). Konstytucja wyra\u380?a prawo jednostki do ochrony danych osobowych, w zakres kt\u243?rego wchodzi m.in. wymaganie ustawowej podstawy na\u322?o\u380?enia obowi\u261?zku ujawnienia przez dan\u261? osob\u281? informacji jej dotycz\u261?cych (ust. 1), zakaz pozyskiwania, gromadzenia i udost\u281?pniania innych informacji o obywatelach ni\u380? niezb\u281?dne w demokratycznym pa\u324?stwie prawnym (ust. 2), prawo dost\u281?pu jednostki do dokument\u243?w i zbior\u243?w danych oraz \u380?\u261?dania sprostowania b\u261?d\u378? usuni\u281?cia danych nieprawdziwych, niepe\u322?nych lub zebranych w spos\u243?b sprzeczny z ustaw\u261? (ust. 3 i 4). Powy\u380?sze rozwi\u261?zania oznaczaj\u261? z jednej strony, \u380?e przes\u322?anki legalizuj\u261?ce przetwarzanie danych osobowych powinny by\u263? wyk\u322?adane w spos\u243?b zaw\u281?\u380?aj\u261?cy, a post\u281?powanie w sprawach zwi\u261?zanych z wyst\u261?pieniem przes\u322?anki pozwalaj\u261?cej na ujawnienie danych osobowych powinno zmierza\u263? do tego, aby nie by\u322?o w\u261?tpliwo\u347?ci co do wyst\u261?pienia mo\u380?liwo\u347?ci przetwarzania danych osobowych przez dany podmiot (por. wyrok NSA z 20 stycznia 2021 r., sygn. akt III OSK 2986/21). \par \par Ustalenie "niezb\u281?dno\u347?ci" przetwarzania danych osobowych dla cel\u243?w administratora musi opiera\u263? si\u281? na przes\u322?ankach konkretnych, uwzgl\u281?dniaj\u261?cych mo\u380?liwie najszersze spektrum uwarunkowa\u324? jego realizacji (por. wyrok NSA z 20 lutego 2024 r., sygn. akt III OSK 2700/22). Poj\u281?cie niezb\u281?dno\u347?ci nale\u380?y rozumie\u263? w podobny spos\u243?b jak na gruncie przepisu art. 6 ust. 1 lit. b RODO. Oznacza ono zatem, \u380?e przetwarzanie danych dla realizacji prawnie uzasadnionego interesu administratora lub strony trzeciej musi by\u263?, rozs\u261?dnie oceniaj\u261?c, potrzebne. Podobnie jak na gruncie przepisu art. 6 ust. 1 lit. b RODO, r\u243?wnie\u380? tutaj musi wyst\u281?powa\u263? bezpo\u347?redni zwi\u261?zek pomi\u281?dzy realizacj\u261? prawnie uzasadnionego interesu a potrzeb\u261? przetwarzania danych osobowych (D. Lubasz, W. Chomiczewski [w:] RODO. Og\u243?lne rozporz\u261?dzenie o ochronie danych. Komentarz, red. E. Bielak-Jomaa, Warszawa 2018, art. 6). Przetwarzanie danych osobowych na podstawie art. 6 ust. 1 lit. f RODO wymaga wi\u281?c od administratora wykazania, \u380?e jest to "konieczne" z uwagi na charakter celu, okoliczno\u347?ci faktyczne i prawne jego realizacji oraz relacje podmiotowe pomi\u281?dzy administratorem a osob\u261?, kt\u243?rej te dane dotycz\u261?. Zgodnie z zasad\u261? rozliczalno\u347?ci (art. 5 ust. 2 RODO) administrator b\u281?dzie musia\u322? wykaza\u263?, \u380?e zar\u243?wno zakres, jak i spos\u243?b przetwarzania danych osobowych jest adekwatny do obranego przez niego celu i warunk\u243?w jego realizacji - zasada ograniczonego celu przetwarzania (art. 5 ust. 1 lit. b RODO) i zasady minimalizacji przetwarzania danych (art. 5 ust. 1 lit. c RODO). \par \par Drug\u261? przes\u322?ank\u261? przetwarzania danych osobowych na podstawie art. 6 ust. 1 lit. f RODO jest ustalenie, \u380?e cel, dla osi\u261?gni\u281?cia kt\u243?rego przetwarzanie to jest niezb\u281?dne "wynika z prawnie uzasadnionych interes\u243?w realizowanych przez administratora (lub przez stron\u281? trzeci\u261?)". Pod poj\u281?ciem tym rozumie\u263? nale\u380?y interes prawnie dopuszczony, niesprzeczny z porz\u261?dkiem prawnym. Odniesienia do tego poj\u281?cia mo\u380?na szuka\u263? te\u380? w motywie 47 preambu\u322?y RODO, w kt\u243?rym prawodawca unijny stwierdzi\u322?, \u380?e "[t]aki prawnie uzasadniony interes mo\u380?e istnie\u263? na przyk\u322?ad w przypadkach, gdy zachodzi istotny i odpowiedni rodzaj powi\u261?zania mi\u281?dzy osob\u261?, kt\u243?rej dane dotycz\u261?, a administratorem, na przyk\u322?ad gdy osoba, kt\u243?rej dane dotycz\u261?, jest klientem administratora lub dzia\u322?a na jego rzecz. Aby stwierdzi\u263? istnienie prawnie uzasadnionego interesu, nale\u380?a\u322?oby w ka\u380?dym przypadku przeprowadzi\u263? dok\u322?adn\u261? ocen\u281?, w tym ocen\u281? tego, czy w czasie i w kontek\u347?cie, w kt\u243?rym zbierane s\u261? dane osobowe, osoba, kt\u243?rej dane dotycz\u261?, ma rozs\u261?dne przes\u322?anki by spodziewa\u263? si\u281?, \u380?e mo\u380?e nast\u261?pi\u263? przetwarzanie danych w tym celu". Jako przyk\u322?ady prawnie uzasadnionego interesu ustawodawca unijny poda\u322? m.in.: zapobieganie oszustwom oraz marketing bezpo\u347?redni (motyw 47 RODO), przetwarzanie w ramach grupy przedsi\u281?biorc\u243?w lub instytucji powi\u261?zanych do wewn\u281?trznych cel\u243?w administracyjnych (motyw 48 RODO) lub zapewnienie bezpiecze\u324?stwa sieci i informacji (motyw 49 RODO). Przy rekonstrukcji zakresu zastosowania art. 6 ust. 1 lit. f RODO motyw 47 preambu\u322?y RODO przes\u261?dza, \u380?e dopuszczalno\u347?\u263? przetwarzania danych osobowych na tej podstawie powinna by\u263? oceniana kauzalnie, z uwzgl\u281?dnieniem, \u380?e zasadnicze znaczenie w tym przedmiocie, powinny mie\u263? uwarunkowania konkretnej relacji pomi\u281?dzy administratorem, a osob\u261? kt\u243?rej dotycz\u261? przetwarzane dane. Zgodnie z powy\u380?szym nie mo\u380?na uzna\u263?, \u380?e ka\u380?dy interes administratora danych ma "uzasadniony" charakter. \par \par Trzecia przes\u322?anka stanowi o wa\u380?eniu interes\u243?w administratora i osoby, kt\u243?rej dane s\u261? przetwarzane. Jest to swoista przes\u322?anka negatywna, bowiem stwierdzenie wyst\u281?powania w danym stanie faktycznym interes\u243?w lub podstawowych praw i wolno\u347?ci podmiotu danych, kt\u243?re maj\u261? charakter nadrz\u281?dny wobec prawnie uzasadnionych interes\u243?w administratora lub strony trzeciej uniemo\u380?liwia przetwarzanie danych osobowych tej osoby na podstawie art. 6 ust. 1 lit. f RODO. W gestii podmiotu przetwarzaj\u261?cego jest zatem przeprowadzenia swego rodzaju "testu wa\u380?enia interesu" swojego, kt\u243?ry powinien by\u263? niezb\u281?dny i usprawiedliwiony, oraz praw i wolno\u347?ci osoby, kt\u243?rej dane dotycz\u261?. Dopiero stwierdzenie, \u380?e interesy przetwarzaj\u261?cego s\u261? wa\u380?niejsze pozwala na legalne przetwarzanie danych (P. Szustakiewicz, Przetwarzanie danych kandydata na pracownika po zako\u324?czeniu procesu rekrutacji. Glosa do wyroku Naczelnego S\u261?du Administracyjnego z 20.02.2024 r., III OSK 2700/22, PPP 2024, nr 9, s. 116-125). Interesy i prawa podstawowe osoby, kt\u243?rej dane dotycz\u261?, mog\u261? by\u263? nadrz\u281?dne wobec interesu administratora danych w szczeg\u243?lno\u347?ci w przypadkach, gdy dane osobowe s\u261? przetwarzane w sytuacji, w kt\u243?rej nie ma rozs\u261?dnych przes\u322?anek, by spodziewa\u263? si\u281? dalszego przetwarzania. \par \par Przenosz\u261?c powy\u380?sze rozwa\u380?ania na niniejsz\u261? spraw\u281? nale\u380?y stwierdzi\u263?, \u380?e stanowisko S\u261?du pierwszej instancji nie zas\u322?uguje na aprobat\u281?. S\u322?usznie powo\u322?a\u322? organ w zaskar\u380?onej decyzji, \u380?e brak jest uzasadnienia dla przyj\u281?cia, i\u380? terminy dotycz\u261?ce przedawnienia roszcze\u324? wynikaj\u261?cych ze stosunk\u243?w zobowi\u261?zaniowych okre\u347?laj\u261? r\u243?wnocze\u347?nie ramy czasowe, w kt\u243?rych dane osobowe mog\u261? by\u263? przetwarzane przez bank na wypadek zaistnienia takich roszcze\u324? w przysz\u322?o\u347?ci. Zgodnie ze skarg\u261? kasacyjn\u261? "przedawnienie roszczenia nie wywo\u322?uje skutk\u243?w na gruncie ochrony danych osobowych, nie wp\u322?ywa bowiem na fakt istnienia roszczenia, a powoduje jedynie zmian\u281? w sferze zarzut\u243?w procesowych w postaci mo\u380?liwo\u347?ci podniesienia okoliczno\u347?ci przedawnienia w sporze s\u261?dowym". Zobowi\u261?zanie na skutek przedawnienia przekszta\u322?ca si\u281? w naturalne (por. wyrok SN z 9 lutego 2018 r., sygn. akt I CSK 246/17). Jak wskaza\u322? SN w postanowieniu z 18 czerwca 2015 r., sygn. akt III CZ 27/15: "(...) roszczenie to mo\u380?liwo\u347?\u263? domagania si\u281? od konkretnej osoby, aby w stosunku do uprawnionego zachowa\u322?a si\u281? w ten spos\u243?b, \u380?e spe\u322?ni na jej rzecz \u347?wiadczenie pieni\u281?\u380?ne lub niepieni\u281?\u380?ne, wykona pewn\u261? czynno\u347?\u263?, powstrzyma si\u281? od jakiego\u347? dzia\u322?ania lub zniesie dzia\u322?anie uprawnionego. Powstaje ono w nast\u281?pstwie zaistnienia w relacjach mi\u281?dzy uprawnionym i zobowi\u261?zanym fakt\u243?w, z kt\u243?rymi przepisy prawa wi\u261?\u380?\u261? konsekwencje determinuj\u261?ce tre\u347?\u263? poszczeg\u243?lnych roszcze\u324?". Oznacza to, \u380?e zobowi\u261?zanie nadal istnieje a wierzyciel mo\u380?e podejmowa\u263? szereg innych czynno\u347?ci windykacyjnych zmierzaj\u261?cych do pozas\u261?dowej regulacji zobowi\u261?zania. Nie mo\u380?na natomiast uto\u380?samia\u263? ze sob\u261? przetwarzania danych w celu dochodzenia roszcze\u324? oraz obrony przed istniej\u261?cymi roszczeniami z przetwarzaniem na wypadek ewentualnego zaistnienia takich roszcze\u324? w przysz\u322?o\u347?ci. Okoliczno\u347?ci\u261? usprawiedliwiaj\u261?c\u261? przetwarzanie danych osobowych w celu dochodzenia roszcze\u324? jest sam fakt istnienia roszczenia oraz zamiar jego dochodzenia, nie jest ni\u261? natomiast zmiana w uprawnieniach procesowych podmiotu pozwanego. Zgodnie z powy\u380?szym znaczenie przy ocenie zasadno\u347?ci przetwarzania na mocy art. 6 ust. 1 lit. f RODO ma w\u322?a\u347?nie "ewentualno\u347?\u263?" dochodzenia roszczenia lub obrony przed nimi, co zosta\u322?o ju\u380? w orzecznictwie s\u261?d\u243?w administracyjnych zauwa\u380?one (m.in. wyrok NSA z 27 marca 2018 r., sygn. akt I OSK 1459/16 lub wyrok NSA z 10 lipca 2025 r., sygn. akt III OSK 1594/22). \par \par Akceptacja przetwarzania danych osobowych "na zapas" z uwagi na niepewne przysz\u322?e zdarzenie jakim jest ewentualne zg\u322?oszenie roszcze\u324? w przysz\u322?o\u347?ci, doprowadzi\u322?oby do sytuacji w kt\u243?rej podmioty finansowe mog\u322?yby przetwarza\u263? dane osobowe swoich klient\u243?w, bez konieczno\u347?ci ich usuni\u281?cia, nawet je\u347?li \u322?\u261?czy\u322?aby ich wcze\u347?niej jedynie kr\u243?tkotrwale trwaj\u261?ca relacja umowna, czy te\u380? zobowi\u261?zaniowa. Taka interpretacja art. 6 ust. 1 lit. f RODO jest nieprawid\u322?owa, z perspektywy przytoczonego wcze\u347?niej motywu 47 RODO. Brak jest tutaj odniesienia do ka\u380?dorazowej weryfikacji problemu przez podmiot przetwarzaj\u261?cy dane osobowe, ze wskazaniem na rzeczywist\u261? konieczno\u347?\u263? zabezpieczenia swoich interes\u243?w w przypadku dochodzenia przez uczestnika ewentualnych roszcze\u324?. Z ustale\u324? faktycznych sprawy wynika, \u380?e z \u380?adnym roszczeniem wobec banku nie wyst\u261?piono, tak samo bank nie wskaza\u322? jakichkolwiek roszcze\u324?, z kt\u243?rymi nawet potencjalnie mia\u322?by wyst\u261?pi\u263? przeciwko uczestnikowi. Nie spos\u243?b wi\u281?c uzna\u263?, \u380?e taki poziom abstrakcyjno\u347?ci sytuacji pozwala na przetwarzanie danych uczestnika na podstawie art. 6 ust. 1 lit. f RODO. \par \par Warto te\u380? zaznaczy\u263?, \u380?e na tle regulacji art. 23 ust. 1 pkt 5 uprzednio obowi\u261?zuj\u261?cej ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922 z p\u243?\u378?n. zm.), w kt\u243?rej zapisana jest analogiczna przes\u322?anka legalno\u347?ci przetwarzania danych osobowych co w art. 6 ust. 1 lit. f RODO, s\u261?dy administracyjne nie mia\u322?y w\u261?tpliwo\u347?ci, \u380?e niedopuszczalne jest wi\u281?c przetwarzanie danych osobowych niejako "na zapas" z za\u322?o\u380?eniem, \u380?e mog\u261? by\u263? one ewentualnie przydatne w przysz\u322?o\u347?ci oraz z odwo\u322?aniem si\u281? przy tym do przepis\u243?w dotycz\u261?cych przedawnienia roszcze\u324? cywilnoprawnych (m.in. wyroki: WSA w Warszawie z 12 lipca 2017 r. sygn. akt II SA/Wa 2221/16, NSA z 27 sierpnia 2019 r. sygn. akt I OSK 2567/17, NSA z 6 marca 2019 r. sygn. akt I OSK 994/17, WSA w Warszawie z 13 stycznia 2021 r. sygn. akt II SA/Wa 607/20 CBOSA). Niew\u261?tpliwie stanowisko to trzeba uzna\u263? za aktualne. \par \par Na uwag\u281? zas\u322?uguje istnienie w aktualnym stanie prawnym przepis\u243?w, kt\u243?re zobowi\u261?zuj\u261? niekt\u243?re podmioty do przetwarzania danych osobowych przez okres przedawnienia roszcze\u324? z tytu\u322?u zawartych um\u243?w. Tytu\u322?em przyk\u322?adu przytoczy\u263? mo\u380?na art. 29 ust. 10 ustawy z dnia 11 wrze\u347?nia 2015 r. o dzia\u322?alno\u347?ci ubezpieczeniowej i reasekuracyjnej (Dz.U. z 2021 r. poz. 1130 ze zm.), zgodnie z kt\u243?rym zak\u322?ad ubezpiecze\u324? przechowuje informacje i dokumenty, o kt\u243?rych mowa w ust. 6 (tj. informacje i dokumenty gromadzone w celu ustalenia odpowiedzialno\u347?ci zak\u322?adu ubezpiecze\u324? lub wysoko\u347?ci odszkodowania lub \u347?wiadczenia) do czasu up\u322?ywu terminu przedawnienia roszcze\u324? z umowy ubezpieczenia. A contrario skoro ustawodawca nie zobowi\u261?za\u322? wszystkich przedsi\u281?biorc\u243?w do przechowywania danych osobowych by\u322?ych klient\u243?w przez czas przedawnienia roszcze\u324? w celu ustalenia odpowiedzialno\u347?ci lub wysoko\u347?ci odszkodowania, to tym samym zgodnie z zasad\u261? racjonalnego ustawodawcy nie mo\u380?na takiej konstrukcji rozci\u261?ga\u263? na inne regulacje prawne. Tekst aktu prawodawczego s\u322?u\u380?y ustawodawcy do sformu\u322?owania okre\u347?lonych norm post\u281?powania \u347?wiadcz\u261?cych o tym, \u380?e prawodawca zna i uwzgl\u281?dnia regu\u322?y j\u281?zyka danej spo\u322?eczno\u347?ci, a je\u347?li od nich odst\u281?puje odpowiednio to zaznacza, np. przez definicje legalne. Przyjmuje si\u281?, \u380?e prawodawca formu\u322?uje takie normy, kt\u243?re wed\u322?ug jego wiedzy w danym uk\u322?adzie spo\u322?ecznym nadaj\u261? si\u281? do tego, by wp\u322?ywa\u263? na zachowanie adresat\u243?w. Nie ustanawia norm niezgodnych mi\u281?dzy sob\u261?. Post\u281?powanie adresat\u243?w zgodne z ustanawianymi normami prowadzi \u8211? wed\u322?ug jego wiedzy \u8211? do rezultat\u243?w optymalnych, a w ka\u380?dym razie aprobowanych na gruncie przypisywanego prawodawcy systemu warto\u347?ci (por. M. Augustyniak, Zasady racjonalnego prawodawcy w kontek\u347?cie teorii i praktyki prawniczej, Aktualne problemy prawa, tom 1, nr 4, kwiecie\u324? 2020, s. 37-41). \par \par W kontek\u347?cie wa\u380?enia interes\u243?w r\u243?wnie\u380? nie spos\u243?b przyj\u261?\u263?, \u380?e pierwsze\u324?stwo mia\u322? interes banku, co uzasadnia\u322?o przetwarzanie danych uczestnika na podstawie art. 6 ust. 1 lit. f RODO. Og\u243?lnie rzecz ujmuj\u261?c regulacja RODO nie jest ukierunkowana na ochron\u281? interes\u243?w sektora gospodarczego, a ochron\u281? interes\u243?w jednostki przed nieuprawnionym przetwarzaniem jej danych. Jak ju\u380? zauwa\u380?ono w niniejszej sprawie przetwarzanie przez bank danych uczestnika mia\u322?o miejsce "na wszelki wypadek", a wi\u281?c dokonuj\u261?c wa\u380?enia interes\u243?w nale\u380?y uzna\u263?, \u380?e prawo do prywatno\u347?ci uczestnika powinno mie\u263? pierwsze\u324?stwo. \par \par Trzeba si\u281? te\u380? zgodzi\u263? ze stanowiskiem wyra\u380?onym w skardze kasacyjnej, zgodnie z kt\u243?rym istnieje szereg przepis\u243?w, kt\u243?re nak\u322?adaj\u261? na bank obowi\u261?zek przetwarzania danych osobowych przez wskazany okres po rozwi\u261?zaniu umowy, jednak\u380?e w niniejszym post\u281?powaniu bank nie powo\u322?a\u322? si\u281? na te inne podstawy i uzna\u322?, \u380?e przetwarzanie danych osobowych uczestnika ma miejsce jedynie na podstawie art. 6 ust. 1 lit. f RODO w zw. z art. 118 k.c. Tym samym, brak jest podstaw do dalszej analizy w tym zakresie. \par \par W zwi\u261?zku z powy\u380?szym zarzut 2) skargi kasacyjnej okaza\u322? si\u281? zasadny, bowiem decyzja organu z 9 lutego 2021 r. w zakresie pkt 3 by\u322?a prawid\u322?owa. Organ mia\u322? podstawy do nakazania bankowi usuni\u281?cia danych skar\u380?\u261?cego w zwi\u261?zku z faktem, \u380?e ich dalsze przetwarzanie nie mia\u322?o miejsca w spos\u243?b zgodny z prawem. \par \par Odpowiadaj\u261?c natomiast na pytanie, czy organ m\u243?g\u322? w ramach art. 58 ust. 2 lit. b RODO udzieli\u263? bankowi upomnienia za przetwarzanie danych osobowych uczestnika, kt\u243?re to przetwarzanie by\u322?o nast\u281?pstwem b\u322?\u281?dnego naliczenia op\u322?aty za odnowienie kredytu i zaksi\u281?gowania jej na rachunku uczestnika i przekazania informacji o tej zaleg\u322?o\u347?ci do BIK-u. (zarzut 3) zauwa\u380?y\u263? nale\u380?y, \u380?e przyj\u281?te przez S\u261?d pierwszej instancji stanowisko jest trafne. \par \par W niniejszej sprawie przetwarzanie danych osobowych uczestnika stanowi\u322?o wy\u322?\u261?cznie konsekwencj\u281? b\u322?\u281?dnego przypisania uczestnikowi zad\u322?u\u380?enia z tytu\u322?u sp\u322?aty kredytu odnawialnego, co wi\u281?cej by\u322?o niezb\u281?dne do rozpatrzenia reklamacji w tej sprawie i wyja\u347?nienia zaistnia\u322?ej pomy\u322?ki. Bank przetwarza\u322? dane uczestnika, przyjmuj\u261?c, \u380?e jest on jego d\u322?u\u380?nikiem z tytu\u322?u nieuiszczonej op\u322?aty za odnowienie kredytu. W konsekwencji te\u380? uruchomi\u322? procedury windykacyjne, a informacj\u281? o zad\u322?u\u380?eniu wraz z danymi osobowymi przekaza\u322? do BIK-u. Dane uczestnika zatem przetwarzane by\u322?y wy\u322?\u261?cznie w zwi\u261?zku z roszczeniem banku. Nie ma znaczenia, \u380?e roszczenie to ostatecznie okaza\u322?o si\u281? niezasadne. Zasadnie wskaza\u322? w tym przypadku bank, \u380?e "[f]akt, \u380?e dane osobowe klienta Banku przetwarzane by\u322?y w wyniku b\u322?\u281?du nie oznacza automatycznie, \u380?e dane osobowe przetwarzane by\u322?y bez podstawy prawnej b\u261?d\u378? niezgodnie z przepisami RODO. Nie oznacza tak\u380?e pozbawienia ochrony os\u243?b, kt\u243?rych dane dotycz\u261?". W ramach skargi kasacyjnej nie podniesiono bowiem innych okoliczno\u347?ci ni\u380? sam fakt przetwarzania danych w skutek b\u322?\u281?du, kt\u243?re mia\u322?y by \u347?wiadczy\u263? o nieprawid\u322?owo\u347?ciach i by\u263? podstaw\u261? do zastosowania uprawnie\u324? naprawczych przez organ. Tym samym jako \u380?e proces przetwarzania danych osobowych uczestnika nie by\u322? wadliwy, a przynajmniej taka okoliczno\u347?\u263? nie wynika z materia\u322?u dowodowego sprawy, co om\u243?wiono w ramach rozpoznania zarzutu 1) skargi kasacyjnej, nale\u380?y przyj\u261?\u263?, \u380?e przetwarzanie w zwi\u261?zku z uruchomieniem procedur windykacyjnych by\u322?o uprawnione i prawid\u322?owe z perspektywy przepis\u243?w RODO. \par \par Ponadto zasadnie S\u261?d pierwszej instancji uzna\u322?, \u380?e celem regulacji art. 58 ust. 2 RODO jest mo\u380?liwo\u347?\u263? wp\u322?yni\u281?cia na administratora lub podmiot przetwarzaj\u261?cy dane w przypadku zaistnienia naruszenia przepis\u243?w RODO. Z uprawnie\u324? tych nie mo\u380?na zatem korzysta\u263? dowolnie lub w celu odbiegaj\u261?cym od idei prawodawcy. Tym samym niedopuszczalne by\u322?oby ocenianie b\u322?\u281?du pracownika banku polegaj\u261?cego na przed\u322?u\u380?eniu podstawy przetwarzania danych osobowych klienta banku (przed\u322?u\u380?enie kredytu odnawialnego) z perspektywy przepis\u243?w o ochronie danych osobowych. Taka ocena dotyczy pewnych standard\u243?w obs\u322?ugi i mo\u380?e mie\u263? miejsce z perspektywy innych organ\u243?w nadzorczych, na co s\u322?usznie wskazywa\u322? S\u261?d pierwszej instancji. Zastosowane w rozpoznawanej sprawie upomnienie nie mia\u322?o zatem racji bytu, a tym samym nie by\u322? zasadny zarzut 3) skargi kasacyjnej. \par \par Maj\u261?c na uwadze podane argumenty, Naczelny S\u261?d Administracyjny, na podstawie art. 188 w zw. z art. 151 p.p.s.a. orzek\u322? jak w sentencji o uchyleniu wyroku S\u261?du pierwszej instancji w cz\u281?\u347?ci dotycz\u261?cej uchylenia pkt 3 zaskar\u380?onej decyzji i w tym zakresie skarg\u281? oddali\u322?. W pozosta\u322?ym zakresie, to jest dotycz\u261?cym uchylenia pkt 1 i 2 zaskar\u380?onej decyzji, skarga kasacyjna podlega\u322?a oddaleniu jako nieusprawiedliwiona. \par \par Dzia\u322?aj\u261?c na podstawie art. 207 \u167? 2 p.p.s.a. Naczelny S\u261?d Administracyjny zni\u243?s\u322? r\u243?wnie\u380? koszty post\u281?powania kasacyjnego wzajemnie pomi\u281?dzy stronami. \cell \trowd \trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3 \clbrdrt\brdrs\brdrw5\brdrcf2 \clbrdrl\brdrs\brdrw5\brdrcf2 \clcbpat1 \clftsWidth3 \clwWidth9346 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\row \trowd \trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3 \clbrdrb\brdrs\brdrw10\brdrcf1 \clbrdrr\brdrs\brdrw10\brdrcf1 \clbrdrl\brdrs\brdrw10\brdrcf1 \clcbpat1 \clftsWidth3 \clwWidth1869 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrb\brdrs\brdrw10\brdrcf1 \clbrdrr\brdrs\brdrw10\brdrcf1 \clbrdrl\brdrs\brdrw10\brdrcf1 \clcbpat1 \clftsWidth3 \clwWidth7477 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\pard\plain\intbl\s0\fi0\li0\ri0\plain \cell\pard\plain\intbl\s0\fi0\li0\ri0\plain \cell \trowd \trftsWidth3\trwWidth9347\trql\trgaph10\trpaddl50\trpaddr50\trpaddfl3\trpaddfr3 \clbrdrb\brdrs\brdrw10\brdrcf1 \clbrdrr\brdrs\brdrw10\brdrcf1 \clbrdrl\brdrs\brdrw10\brdrcf1 \clcbpat1 \clftsWidth3 \clwWidth1869 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx1869\clbrdrb\brdrs\brdrw10\brdrcf1 \clbrdrr\brdrs\brdrw10\brdrcf1 \clbrdrl\brdrs\brdrw10\brdrcf1 \clcbpat1 \clftsWidth3 \clwWidth7477 \clpadl50\clpadt50\clpadr50\clpadb50\clpadfl3\clpadft3\clpadfr3\clpadfb3\cellx9346\row \pard}