Centralna Baza Orzeczeń Sądów Administracyjnych

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Andrzej Kołodziej, Sędzia WSA Danuta Kania (spr.), Sędzia WSA Tomasz Szmydt, po rozpoznaniu w trybie uproszczonym w dniu 24 marca 2021 r. sprawy ze skargi P.[...] S.A. z siedzibą w [....] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] maja 2020 r. nr [....] w przedmiocie przetwarzania danych osobowych 1. uchyla zaskarżoną decyzję, 2. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz P. [...] S.A. z siedzibą w [...] kwotę 697 zł (słownie: sześćset dziewięćdziesiąt siedem złotych) tytułem zwrotu kosztów postępowania.

Przedmiotem zaskarżenia jest decyzja Prezesa Urzędu Ochrony Danych Osobowych (dalej: "Prezes UODO", "organ") z dnia [...] maja 2020 r. nr [...], mocą której organ udzielił [...] S.A. z siedzibą w [...] (dalej: "[...] S.A.", "Bank") upomnienia za naruszenie art. 6 ust. 1 Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz.U.UE.L.2016.119.1 i Dz.U.UE.L.2018.127.2), dalej: "RODO", polegające na przetwarzaniu danych osobowych M. M. (dalej: skarżąca") w systemie [...] S.A. z siedzibą w [...] (dalej: "[...] S.A.), w celu oceny zdolności kredytowej i analizy ryzyka kredytowego w okresie od dnia [...] lutego 2018 r. do dnia [...] marca 2019 r., pomimo braku spełnienia przesłanek z art. 105a ust. 3 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz. U. z 2019 r. poz. 2357).

Powyższa decyzja została wydana w następującym stanie faktycznym i prawnym sprawy:

Do UODO wpłynęła skarga M. M. na nieprawidłowości w procesie przetwarzania jej danych osobowych przez [...] S.A. polegające na przetwarzaniu danych osobowych bez podstawy prawnej oraz udostępnieniu danych osobowych na rzecz [...] S.A.

Skarżąca wskazała, że Bank nie spełnił wymagań uprawniających go do rozpoczęcia przetwarzania jej danych osobowych w bazie [...], w związku z wierzytelnością wynikającą z umowy nr [...], bowiem Bank nigdy nie powiadomił skarżącej o zamiarze przetwarzania jej danych osobowych bez jej zgody w bazie [...] stosownie do art. 105a ust. 3 Prawa bankowego.

W toku postępowania administracyjnego organ ustalił, że:

- skarżąca zawarła z Bankiem w dniu [...] października 2012 r. umowę nr [...], z tytułu której powstało zadłużenie; opóźnienie w spłacie wynosiło powyżej 60 dni, a umowa została zamknięta w dniu [...] lutego 2018r.,

- Bank wskazał, że dane osobowe skarżącej zostały zebrane w związku z zawartymi umowami o produkty bankowe, w tym ww. umową nr [...]; dane osobowe skarżącej, tj.: imię, nazwisko, nazwisko rodowe, imiona rodziców, nazwisko panieńskie matki, płeć, data i miejsce urodzenia, pesel, typ i nr dokumentu tożsamości, adres zamieszkania, adres korespondencyjny, adres email, nr telefonu, nazwa pracodawcy, stanowisko, stan cywilny - przetwarzane są obecnie przez Bank w celach stosowania metod wewnętrznych oraz innych metod i modeli,

- w związku z zaległościami w spłacie zobowiązania wynikającego z umowy nr [...] Bank skierował do skarżącej zawiadomienie wysłane listem zwykłym w dniu [...] sierpnia 2017 r. o zamiarze przetwarzania danych po wygaśnięciu zobowiązania, bez jej zgody, zgodnie z przepisami art. 105a ust. 3 Prawa bankowego i przetwarzał dane osobowe skarżącej w celu oceny zdolności kredytowej i analizy ryzyka kredytowego,

- skarżąca w dniu [...] stycznia 2019 r. wystąpiła do Banku z wnioskiem o zaprzestanie przetwarzania jej danych osobowych w [...] S.A.; pismem z dnia [...] stycznia 2019 r. Bank poinformował skarżącą, że w zakresie zobowiązania wynikającego z umowy nr [...] w systemach informatycznych oznaczone zostało wycofanie zgody na przetwarzanie jej danych osobowych po wygaśnięciu ww. zobowiązania; pomimo wycofania zgody w związku z faktem spełnienia łącznie obydwu warunków określonych w art. 105a ust. 3 Prawa bankowego, Bank nabył prawo do przetwarzania danych osobowych do celów oceny zdolności kredytowej i analizy ryzyka kredytowego bez zgody skarżącej przez okres 5 lat od daty wygaśnięcia ww. zobowiązania,

- pismem z dnia [...] marca 2019 r. Bank poinformował skarżącą, że jej wniosek został uwzględniony i dane zostały przeniesione do części statystycznej w [...] S.A., wobec czego nie będą przetwarzane w celu oceny zdolności kredytowej i analizy ryzyka kredytowego; na dowód powyższego Bank przedłożył zrzut z ekranu potwierdzający przeniesienie danych do części statystycznej [...].

Uwzględniając powyższe organ wskazał, że podstawą prawną przetwarzania danych osobowych klientów przez Bank w [...] S.A. jest art. 6 ust. 1 lit. f RODO, tj. przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora, przy czym przetwarzanie danych odbywa się zgodnie z art. 28 ust. 3 RODO, tj. na podstawie zawartej z Bankiem - będącym administratorem - umowy powierzenia przetwarzania danych osobowych.

Dalej organ powołał art. 105a ust. 1 Prawa bankowego, zgodnie z którym przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów, instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, a także instytucje utworzone na podstawie art. 105 ust. 4, informacji stanowiących tajemnicę bankową i informacji udostępnionych przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem art. 104, 105 i art. 106 - 106d Prawa bankowego w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Zgodnie zaś z art. 105a ust. 3 Prawa bankowego banki, instytucje oraz podmioty, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową i informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011r. o kredycie konsumenckim, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank, inną instytucję ustawowo upoważnioną do udzielania kredytów, instytucję pożyczkową albo podmiot, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, o zamiarze przetwarzania dotyczących jej tych informacji, bez jej zgody.

Organ wskazał, że Bank nie spełnił wobec skarżącej obowiązku określonego w art. 105a ust. 3 Prawa bankowego, tj. nie poinformował jej skutecznie o zamiarze przetwarzania dotyczących jej informacji stanowiących tajemnicę bankową, bez jej zgody po wygaśnięciu zobowiązania wynikającego z przedmiotowej umowy. Sam fakt, że skarżąca nie wykonała zobowiązania lub spóźniła się z jego wykonaniem co najmniej 60 dni, nie upoważnia Banku do przetwarzania jej danych na warunkach określonych w art. 105a ust. 3 Prawa bankowego. Moment, od którego należy liczyć sześćdziesięciodniowy termin, w którym konsument dopuszcza się zwłoki w wykonaniu zobowiązania, to termin wykonania zobowiązania. Dopiero po upływie 60 dni zaczyna biec termin 30 dni, w którym instytucja oczekuje jeszcze na wykonanie zobowiązania klienta. Termin 30 dni biegnie od momentu, w którym konsument zostanie skutecznie poinformowany przez instytucję o zamiarze przetwarzania. Ostatecznie to bezskuteczny upływ 30 dni od momentu poinformowania stanowi wypełnienie przesłanek z art. 105a ust. 3 Prawa bankowego.

W niniejszej sprawie skarżąca podniosła, że okoliczności wskazywane w art. 105a ust. 3 ww. ustawy nie zostały spełnione w związku z czym Bank nie był uprawniony do przetwarzania jej danych osobowych w [...] S.A. Bank podniósł natomiast, że ww. przesłanki, w tym poinformowanie skarżącej o okolicznościach wskazanych w art. 105a ust. 3 ustawy zostały spełnione. Oprócz ww. oświadczenia, pozostającego w sprzeczności z twierdzeniami skarżącej, Bank nie przedstawił dowodu na prawidłowe doręczenie skarżącej dokumentu, w treści którego zawarta byłaby informacja o okolicznościach wskazanych w ww. przepisie. Zatem okoliczność skutecznego poinformowania skarżącej o treści art. 105a ust. 3 Prawa bankowego nie może zostać uznana za udowodnioną.

Organ podkreślił, że sporządzenie i wysłanie pisma, nie jest równoznaczne z udowodnieniem jego prawidłowego doręczenia, skutkującego poinformowaniem skarżącej o zamiarze przetwarzania danych stanowiących tajemnicę bankową, bez jej zgody. Samo bowiem oświadczenie o wysłaniu korespondencji nie stanowi dowodu na jej dostarczenie lub poinformowanie o jej treści adresata.

Przepisy powszechnie obowiązujące nie formułują obowiązku wysłania informacji, o której mowa w art. 105a ust. 3 Prawa bankowego w szczególnej formie. To do podmiotu informującego należy zatem wybór formy przekazania odbiorcy komunikatu, o zamiarze przetwarzania danych osobowych bez jego zgody. Jednocześnie to podmiot informujący wywodzi z powyższego skutki prawne, zatem to on musi wykazać, że poinformował skarżącą o zamiarze przetwarzania danych stanowiących tajemnicę bankową, bez jej zgody.

Podsumowując organ stwierdził, że Bank przetwarzał dane osobowe skarżącej w [...] S.A. bez spełniania ww. przesłanek także po wycofaniu przez skarżącą zgody na przekazanie tych danych do [...] S.A. po wygaśnięciu zobowiązania wynikającego z umowy z Bankiem. Powyższy proces trwał do chwili przeniesienia danych skarżącej do części statystycznej w [...] S.A., o czym Bank poinformował skarżącą pismem z dnia [...] marca 2019 r.

Wobec powyższego, korzystając z uprawnienia przewidzianego w art. 58 ust. 2 lit. b RODO, organ udzielił Bankowi upomnienia za naruszenie art. 6 ust. 1 RODO polegające na przetwarzaniu w okresie od dnia [...] lutego 2018 r. do dnia [...] marca 2019 r. danych osobowych skarżącej w systemie [...] SA. w celu oceny zdolności kredytowej i analizy ryzyka kredytowego pomimo braku spełniania przesłanek wynikających z art. 105a ust. 3 Prawa bankowego.

Pismem z dnia 22 czerwca 2020 r. [...] S.A. wniósł do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na decyzję Prezesa UODO z dnia [...] maja 2020 r. zarzucając naruszenie:

1) art. 7, art 77 § 1, art. 107 § 1 pkt 6 i art. 80 k.p.a., które miało istotny wpływ na wynik sprawy, poprzez:

a) dokonanie błędnego ustalenia faktycznego w zakresie okresu przetwarzania danych osobowych M. M. w systemie [...] S.A. w celu oceny zdolności kredytowej i analizy ryzyka kredytowego, pomimo braku wykazania przez Bank spełnienia przesłanek z art. 105a ust. 3 Prawa bankowego, i przyjęcie, że stan ten trwał od dnia [...] lutego 2018 r. do dnia [...] marca 2019 r., podczas gdy do dnia [...] stycznia 2019 r. przetwarzanie danych osobowych po wygaśnięciu zobowiązania odbywało się na podstawie pisemnej zgody ww. (art. 105 ust. 2 Prawa bankowego), b) nieuwzględnienie, że w dacie wydania zaskarżonej decyzji dane osobowe M. M. w [...] S.A. były przetwarzane zgodnie z art. 105a ust. 4 i 5 Prawa bankowego,

co w konsekwencji doprowadziło do nałożenia na [...] S.A. środka naprawczego,

2) art. 105 § 1, art. 104 § 1 k.p.a. w związku z art. 58 ust. 2 lit. b RODO, które miało istotny wpływ na wynik sprawy, poprzez wydanie decyzji w przedmiocie upomnienia [...] S.A. w sytuacji, gdy postępowanie ze skargi M. M. stało się bezprzedmiotowe z uwagi na przeniesienie jej danych osobowych do części statystycznej systemu [...] S.A. w marcu 2019 r.,

3) art. 58 ust. 2 lit. b RODO poprzez niewłaściwe zastosowanie i nałożenie na [...] S.A. środka naprawczego,

4) art. 104 § 1 k.p.a. w związku z art 58 ust 2 lit b RODO poprzez wydanie decyzji administracyjnej w sytuacji, gdy forma nałożenia tego środka naprawczego nie została określona przez ustawodawcę krajowego.

W związku z powyższym Bank wniósł o: uchylenie zaskarżonej decyzji i umorzenie postępowania; w przypadku nieuwzględnienia powyższego wniosku o uchylenie zaskarżonej decyzji; w każdym przypadku o zasądzenie od organu na rzecz [...] S.A. kosztów postępowania, w tym kosztów zastępstwa procesowego według norm przepisanych.

W motywach skargi Bank podniósł, że Prezes UODO dokonał wadliwych ustaleń faktycznych i bezpodstawnie przyjął, że Bank dopuścił się uchybienia art. 6 ust. 1 RODO w okresie od dnia [...] lutego 2018 r. do dnia [...] marca 2019 r. Organ nie dostrzegł bowiem, że zarówno z treści skargi M. M., pisma z dnia [...] stycznia 2019 r., jak i wyjaśnień Banku wynika, że przetwarzanie jej danych osobowych po wygaśnięciu zobowiązania odbywało się na podstawie jej pisemnej zgody, aż do czasu jej cofnięcia w zgłoszeniu z dnia [...] stycznia 2019 r.

Przetwarzanie danych osobowych w [...] S.A. w celu oceny zdolności kredytowej i analizy ryzyka kredytowego do tej daty, tj. [...] stycznia 2019 r., odbywało się zatem zgodnie z art 105a ust. 2 ustawy Prawo bankowe. Stosownie bowiem do treści tego przepisu, z zastrzeżeniem jego ust. 3, w [...] S.A. mogą być przetwarzane informacje stanowiące tajemnicę bankową oraz informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, w zakresie dotyczącym osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, pod warunkiem uzyskania pisemnej zgody osoby, której informacje te dotyczą, z zastrzeżeniem ust. 2a. Zgoda ta może być w każdym czasie odwołana. W tej sytuacji nie można było uznać, że w okresie od dnia [...] lutego 2018 r. do dnia [...]stycznia 2019r. dane osobowe ww. były przetwarzane w sposób uchybiający treści art. 6 ust. 1 RODO.

Bank zaprzestał przetwarzania danych osobowych skarżącej w [...] S.A. dla celów oceny zdolności kredytowej i analizy ryzyka kredytowego w marcu 2019 r. W konsekwencji ustał stan, który mógłby naruszać art. 105a ust. 3 ustawy Prawo bankowe, w sytuacji niespełnienia przewidzianych w nim przesłanek legalizujących przetwarzanie danych osobowych po wygaśnięciu zobowiązania bez zgody osoby, której dotyczą. Zatem w dacie wydania zaskarżonej decyzji stwierdzone przez organ nieprawidłowości w przetwarzaniu danych osobowych ww. nie istniały, co oznacza, że postępowanie zainicjowane jej skargą stało się bezprzedmiotowe i dlatego należało je umorzyć. Ewentualnie, przyjmując, że dane osobowe ww. w dacie wydania zaskarżonej decyzji były przetwarzane zgodnie z prawem, organ winien odmówić uwzględnienia wniosku z dnia [...] lutego 2019 r.

Zdaniem Banku, mając na względzie ratio legis instytucji środka naprawczego, należy zakwestionować możliwość jego nałożenia w sytuacji, gdy nie istnieje już stan naruszający art. 6 ust. 1 RODO (na co zwracał uwagę także organ). W konsekwencji udzielenie upomnienia [...] S.A., po przeniesieniu danych osobowych skarżącej do części statystycznej [...] S.A., należy uznać za niezasadne i sprzeczne z art. 58 ust. 2 RODO.

Niezależnie od powyższego należy wskazać, że dokonując oceny, czy w danym przypadku zastosować środek naprawczy, organ powinien uwzględnić kryteria określone w motywie 148 Preambuły RODO.

W okolicznościach niniejszej sprawy organ winien mieć na względzie, że stwierdzony stan naruszenia trwał około 2 miesięcy, nadto został on naprawiony przez Bank, jeszcze przed doręczeniem skargi złożonej przez M. M. do Prezesa UODO. Istotne jest także to, że zachowania [...] S.A. nie można uznać za umyślne. Bank wyjaśnił bowiem, że zawiadomienie o zamiarze przetwarzania danych osobowych po wygaśnięciu zobowiązania wysłał listem zwykłym. W świetle powyższego w okolicznościach niniejszej sprawy za niecelowe należy uznać nałożenie na [...] S.A. środka naprawczego w postaci upomnienia.

Końcowo Bank wskazał, że forma stosowania uprawnień naprawczych nie została określona w przepisach RODO. Przepis art. 58 RODO nie rozstrzyga, w jakiej formie prawnej organ nadzorczy powinien korzystać ze swoich uprawnień przewidzianych w ust. 2 wskazanego przepisu. Kwestia ta została pozostawiona do regulacji państwom członkowskim.

W odpowiedzi na skargę Prezes UODO wniósł o oddalenie skargi podtrzymując stanowisko jak w zaskarżonej decyzji.

Dodatkowo wskazał, że postanowieniem z dnia [...] lipca 2020 r. nr [...] sprostował oczywistą omyłkę pisarską w decyzji z dnia [...] maja 2020 r. nr [...] polegającą na użyciu na stronie pierwszej w dwudziestym trzecim wersie oraz na stronie siódmej w dwudziestym i dwudziestym pierwszym wersie stwierdzenia "w okresie od dnia [...] lutego 2018 r. do dnia [...] marca 2019 r.", które zastąpił stwierdzeniem "w okresie od dnia [...] stycznia 2019 r. do dnia [...] marca 2019 r.".

Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:

Zgodnie z art. 1 § 1 i § 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (Dz. U. z 2019 r., poz. 2167), dalej: "p.u.s.a." oraz art. 3 § 1 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2019 r., poz. 2325), dalej: "p.p.s.a.", sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej.

W myśl art. 134 § 1 p.p.s.a., sąd rozstrzyga w granicach danej sprawy nie będąc związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną, z zastrzeżeniem art. 57a. Sąd nie może wydać orzeczenia na niekorzyść skarżącego, chyba że stwierdzi naruszenie prawa skutkujące stwierdzeniem nieważności zaskarżonego aktu lub czynności (§ 2).

Skarga oceniana w świetle powyższych kryteriów zasługuje na uwzględnienie.

Na wstępie wskazać należy, że na skutek skargi [...] S.A. Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 24 marca 2021 r. sygn. akt II SA/Wa 1719/20 uchylił postanowienie Prezesa UODO z dnia [...] lipca 2020 r. nr [...] w przedmiocie sprostowania oczywistej omyłki pisarskiej w decyzji z dnia [...] maja 2020 r. nr [...].

W uzasadnieniu wyroku Sąd stwierdził, że ww. orzeczenie rektyfikacyjne jest wadliwe, bowiem zastąpienie w treści rozstrzygnięcia decyzji z dnia [...] maja 2020 r. oraz jej uzasadnienia zapisu: "w okresie od dnia [...] lutego 2018 r. do dnia [...] marca 2019 r." zapisem: w okresie od dnia [...] stycznia 2019 r. do dnia [...] marca 2019 r." stanowi przekroczenie granicy dopuszczalności zastosowania trybu określonego przepisem art. 113 § 1 k.p.a. Nie można bowiem mówić o oczywistej omyłce pisarskiej w sytuacji, kiedy organ dokonuje ingerencji w merytoryczną stronę decyzji. Prezes UODO w trybie sprostowania oczywistej omyłki pisarskiej z art. 113 § 1 k.p.a., zmienił treść ww. decyzji w części dotyczącej jej sentencji i uzasadnienia w zakresie długości okresu bezpodstawnego przetwarzania danych osobowych, a więc istotnego elementu stanu faktycznego, a takie działanie wykracza poza dopuszczalny zakres zastosowania ww. przepisu.

W świetle powyższego skarga [...] S.A. na decyzję z dnia [...] maja 2020 r. nr [...] podlega uwzględnieniu. Trafny jest bowiem zarzut naruszenia przez organ art. 7, art 77 § 1, art. 107 § 1 pkt 6 k.p.a. w związku z art. 105 ust. 2 Prawa bankowego w stopniu mogącym mieć istotny wpływ na wynik sprawy, co skutkowało uchyleniem ww. decyzji.

Organ bowiem błędnie przyjął w oparciu o zgromadzony materiał dowodowy, że Bank dopuścił się naruszenia art. 6 ust. 1 RODO w okresie od dnia [...] lutego 2018r. do dnia [...] marca 2019 r. Organ nie dostrzegł, że przetwarzanie danych osobowych skarżącej w [...] S.A. po wygaśnięciu zobowiązania, tj. od [...] lutego 2018r., miało miejsce na podstawie pisemnej zgody skarżącej, która została cofnięta dopiero w zgłoszeniu nr [...] z dnia [...] stycznia 2019 r. Powyższa okoliczność wynika z treści skargi z dnia [...] lutego 2019 r. inicjującej przedmiotowe postępowanie administracyjne, do której załączona została kopia ww. zgłoszenia. Na okoliczność wycofania zgody skarżącej na przetwarzanie danych osobowych w ww. dacie powołał się również Bank w piśmie skierowanym do skarżącej w dniu [...] stycznia 2019 r. oraz w wyjaśnieniach z dnia [...] sierpnia 2019 r. złożonych na wezwanie Prezesa UODO.

Okoliczność ta uszła uwadze organu, który zarówno w sentencji, jak i w uzasadnieniu decyzji przyjął, iż przetwarzanie danych osobowych skarżącej w celu oceny zdolności kredytowej i analizy ryzyka kredytowego pomimo braku spełnienia przesłanek z art. 105a ust. 3 Prawa bankowego, a w konsekwencji z naruszeniem art. 6 ust. 1 RODO, miało miejsce w okresie od dnia [...] lutego 2018 r. do dnia [...] marca 2019 r.

Tymczasem, jak trafnie wskazał Bank, przetwarzanie danych osobowych skarżącej we wskazanym powyżej celu do dnia [...] stycznia 2019 r., tj. do dnia złożenia ww. zgłoszenia, obywało się na podstawie art. 105a ust. 2 Prawa bankowego. Przepis ten stanowi, że z zastrzeżeniem ust. 3, instytucje, o których mowa w ust. 1 ([...] S.A.), mogą przetwarzać informacje stanowiące tajemnicę bankową oraz informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, w zakresie dotyczącym osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, pod warunkiem uzyskania pisemnej zgody osoby, której informacje te dotyczą, z zastrzeżeniem ust. 2a. Zgoda ta może być w każdym czasie odwołana.

Organ wprawdzie wskazał w uzasadnieniu zaskarżonej decyzji na okoliczność cofnięcia przez skarżącą zgody na przetwarzanie przez Bank danych osobowych, jednak z faktu tego nie wyprowadził prawidłowych wniosków. W konsekwencji błędnie uznał, że dane osobowe skarżącej były przetwarzane z naruszeniem art. 6 ust. 1 RODO w okresie od dnia [...] lutego 2018 r. do dnia [...] marca 2019 r.

Powyższe uchybienie, dotyczące określenia czasu trwania bezpodstawnego przetwarzania danych osobowych przez Bank, jest niewątpliwie istotne z punktu widzenia zastosowania środka naprawczego, co musiało skutkować uchyleniem zaskarżonej decyzji.

Odnośnie pozostałych zarzutów skargi wskazać należy, że zgodnie z art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781 ze zm.) w sprawach nieuregulowanych w ustawie do postępowań administracyjnych przed Prezesem Urzędu Ochrony Danych Osobowych, o których mowa w rozdziałach 4 - 7 i 11, stosuje się Kodeks postępowania administracyjnego. Z powyższego wynika, że rozstrzygnięcia organu nadzorczego wydawane są w trybie przepisów k.p.a. - w formie decyzji administracyjnej stosownie do art. 104 k.p.a.

Co do zasady okoliczność zaprzestania bezprawnego przetwarzania danych osobowych przez administratora danych (podmiot przetwarzający) przed wydaniem rozstrzygnięcia przez organ ochrony danych osobowych nie powoduje bezprzedmiotowości postępowania w rozumieniu art. 105 § 1 k.p.a. Organ może bowiem skorzystać z przysługujących mu uprawnień naprawczych (w tym poprzez zastosowanie środka z art. 58 ust. 2 lit. b RODO) również po ustaniu naruszeń. Nie jest wymagane, aby stan naruszenia był kontynuowany w dacie wydania rozstrzygnięcia, wystarczy bowiem samo ustalenie, że naruszenie takie zaistniało.

W niniejszym przypadku jednakże organ, ponownie rozpoznając sprawę, obowiązany będzie uwzględnić faktyczny okres bezpodstawnego przetwarzania danych osobowych skarżącej, a także okoliczność, że stan naruszenia przepisów RODO został naprawiony przez Bank w następstwie wniesienia do Prezesa UODO skargi z dnia [...] lutego 2019 r. Czynniki te niewątpliwie mogą mieć istotne znaczenie dla sposobu rozstrzygnięcia niniejszej sprawy.

Konkludując stwierdzić należy, że zaskarżona decyzja, została z naruszeniem art. 7, art. 77 § 1 i art. 107 § 3 k.p.a. w związku z art. 105a ust. 2 Prawa bankowego, co skutkowało jej uchyleniem. Z tych względów Wojewódzki Sąd Administracyjny w Warszawie, działając na podstawie art. 145 § 1 pkt 1 lit. a i c p.p.s.a. w związku z art. 119 pkt 2 p.p.s.a., orzekł jak w punkcie 1 sentencji wyroku. O kosztach postępowania obejmujących wpis od skargi (200 zł), wynagrodzenie pełnomocnika strony skarżącej w stawce minimalnej (480 zł) oraz opłatę skarbową od pełnomocnictwa (17 zł) Sąd postanowił jak w punkcie 2 sentencji wyroku.