Centralna Baza Orzeczeń Sądów Administracyjnych

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Ewa Marcinkowska, Sędzia WSA Danuta Kania (spr.), Sędzia WSA Sławomir Antoniuk, po rozpoznaniu na posiedzeniu niejawnym w dniu 25 sierpnia 2021 r. sprawy ze skargi [...] S.A. z siedzibą [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] grudnia 2020 r. nr [...] w przedmiocie przetwarzania danych osobowych 1. uchyla zaskarżoną decyzję, 2. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz [...] S.A. z siedzibą [...] kwotę 697 (sześćset dziewięćdziesiąt siedem) złotych, tytułem zwrotu kosztów postępowania sądowego.

Decyzją nr [...] z dnia [...] grudnia 2020 r. Prezes Urzędu Ochrony Danych Osobowych (dalej: "Prezes UODO", "organ"), działając na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2018 r., poz. 2096 ze zm.), dalej: "k.p.a.", oraz art. 6 ust. 1, art. 58 ust. 2 lit. c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.U. UE. L. z dnia 4 maja 2016 r.), dalej: "ogólne rozporządzenie o ochronie danych", w związku z art. 105a ust. 3 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz. U. z 2020 r., poz. 1896), nakazał [...] S.A. z siedzibą w [...], (dalej: "Bank", "strona skarżąca") zaprzestania przetwarzania danych osobowych J. G. (dalej: "wnioskodawczyni", "uczestniczka postępowania") dotyczących umów: nr [...] z dnia [...] listopada 2013 r. oraz nr [...] z dnia [...] listopada 2014 r. w bazie Biura Informacji Kredytowej S.A. z siedzibą w [...] (dalej: "BIK S.A.", "uczestnik postępowania"), przetwarzanych na podstawie art. 105a ust. 3 ustawy Prawo bankowe w celu oceny zdolności kredytowej i analizy ryzyka kredytowego.

W uzasadnieniu powyższej decyzji organ przedstawił dotychczasowy tok postępowania wskazując, co następuje:

Do UODO wpłynęła skarga J. G., reprezentowanej przez pełnomocnika, na nieprawidłowości w procesie przetwarzania jej danych osobowych przez [...] S.A. z siedzibą w [...] polegające na przetwarzaniu jej danych osobowych w bazie BIK S.A. w zakresie umów nr [...] z dnia [...] listopada 2013 r. oraz nr [...] z dnia [...] listopada 2014 r.

W uzasadnieniu skargi J. G. wskazała, że Bank nie spełnił wymagań uprawniających do rozpoczęcia przetwarzania jej danych osobowych w bazie BIK S.A. w związku z wierzytelnościami wynikającymi z ww. umów, ponieważ Bank nie spełnił łącznie wszystkich warunków z art. 105a ust. 3 ustawy Prawo bankowe, bowiem nigdy nie powiadomił wnioskodawczyni o zamiarze przetwarzania jej danych osobowych bez jej zgody w bazie BIK. W związku z powyższym ww. wniosła o nakazanie Bankowi zaprzestania przetwarzania jej danych osobowych w bazie BIK.

Organ ustalił, że wnioskodawczyni zawarła z Bankiem umowy: nr [...] z dnia [...] listopada 2013 r. oraz nr [...] z dnia [...] listopada 2014 r., z tytułu których powstało zadłużenie. Opóźnienie w spłatach wynosiło powyżej 60 dni. Powyższe umowy zostały zamknięte w dniu [...] grudnia 2016 r.

Wnioskodawczyni zwracała się do Banku z żądaniem zaprzestania przetwarzania jej danych osobowych w bazie BIK S.A. w dniach: [...] kwietnia 2019 r., [...] maja 2019 r. oraz [...] lipca 2019 r.

Bank udzielił skarżącej odpowiedzi na ww. pisma w dniach: [...] maja 2019 r., [...] lipca 2019 r. oraz [...] sierpnia 2019 r. odmawiając zaprzestania przetwarzania jej danych osobowych w bazie BIK.

Bank wskazał, że dane osobowe wnioskodawczyni zostały zebrane w związku z zawartymi umowami. Bank przetwarzał dane osobowe wnioskodawczyni w bazie BIK na podstawie zgód wyrażonych przez nią w ww. umowach - do czasu uwzględnienia przez Bank sprzeciwu wnioskodawczyni względem przetwarzania jej danych osobowych, tj. do dnia [...] kwietnia 2019 r.

Bank podał również, że dane osobowe skarżącej w zakresie danych zebranych w związku z zawarciem ww. umów przetwarzane są obecnie w bazie BIK w oparciu o art. 105a ust. 3 ustawy Prawo bankowe w celu wykonywania czynności związanych z działalnością Banku przez okres 5 lat od wygaśnięcia zobowiązań wynikających z ww. umów, tj. do dnia [...] grudnia 2021 r.

Bank wskazał ponadto, że w związku z zaległościami w spłacie zobowiązań wynikających z umów skierował do wnioskodawczyni w formie listów poleconych, odpowiednio w dniu [...] czerwca 2016 r. oraz w dniu [...] czerwca 2019 r., zawiadomienia o zamiarze przetwarzania danych po wygaśnięciu zobowiązania, bez jej zgody. Na dowód powyższego Bank przedłożył kopie ww. pism, oddruki list wysyłkowych oraz wydruki książki nadawczej. Przedmiotowe zawiadomienia zostały wysłane na adres wnioskodawczyni wskazany w umowach. Bank zaznaczył, że nie odnotował zwrotu ww. pism.

Organ ustalił również, że Bank zawarł z BIK S.A. umowę w sprawie gromadzenia, przetwarzania i udostępniania informacji w bazie SI BIK "Kredytobiorcy" z dnia [...] sierpnia 2016 r., aneksowaną przez Bank oraz BIK S.A. w dniu [...] maja 2018 r., na podstawie której BIK S.A. przetwarza dane osobowe klientów Banku, przekazane przez Bank.

BIK S.A. aktualnie przetwarza dane osobowe skarżącej w zakresie danych dotyczących ww. umów, przekazanych przez Bank do BIK na podstawie art. 105 ust. 4 ustawy Prawo bankowe i na podstawie łączącej strony umowy. Ww. rachunki mają status rachunków zamkniętych odzyskanych i przetwarzane są w celu oceny zdolności kredytowej i analizy ryzyka kredytowego na podstawie art. 105a ust. 3 w związku z art. 105 ust. 4 ww. ustawy.

Mając powyższe na względzie Prezes UODO wskazał, że - co do zasady -podstawą prawną przetwarzania danych osobowych klientów przez Bank w BIK S.A. jest art. 6 ust. 1 lit. f ogólnego rozporządzenia o ochronie danych, tj. przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora. Zaznaczył nadto, że przetwarzanie danych osobowych klientów Banku przez BIK S.A. odbywa się zgodnie z art. 28 ust. 3 ww. rozporządzenia, tj. na podstawie zawartej z Bankiem, będącym administratorem, umowy powierzenia przetwarzania danych osobowych.

Dalej organ powołał art. 105 ust. 4 oraz art. 105a ust. 1 ustawy Prawo Bankowe. Wskazał, iż jakkolwiek zobowiązania wnioskodawczyni, wynikające z przedmiotowych umów wygasły, to dopuściła się ona zwłoki trwającej dłużej niż 60 dni w przypadku ww. zobowiązania. Bank jednakże nie spełnił wobec wnioskodawczyni obowiązku określonego w art. 105a pkt 3 ww. ustawy, tj. nie poinformował jej skutecznie o zamiarze przetwarzania dotyczących jej informacji stanowiących tajemnicę bankową, bez jej zgody po wygaśnięciu zobowiązań wynikających z ww. umów.

Organ zaznaczył, iż sam fakt, że wnioskodawczyni nie wykonała zobowiązań lub spóźniła się z ich wykonaniem co najmniej 60 dni, nie upoważnia Banku do przetwarzania jej danych na warunkach określonych w art. 105a ust. 3 ustawy Prawo bankowe. Moment, od którego należy liczyć sześćdziesięciodniowy termin, w którym konsument dopuszcza się zwłoki w wykonaniu zobowiązania, to termin wykonania zobowiązania. Dopiero po upływie 60 dni zaczyna biec termin 30 dni, w którym instytucja oczekuje jeszcze na wykonanie zobowiązania klienta. Termin 30 dni biegnie od momentu, w którym konsument zostanie skutecznie poinformowany przez instytucję o zamiarze przetwarzania.

Z powyższego wynika zatem, iż Bank, przetwarzając dane wnioskodawczyni na warunkach określonych w ww. przepisie, musi wykazać, że została ona poinformowana o zamiarze przetwarzania danych bez jej zgody. W niniejszej sprawie wnioskodawczyni podniosła natomiast, że okoliczności wskazywane w art. 105a pkt 3 ustawy Prawo bankowe nie zostały spełnione, a zatem Bank nie jest uprawniony do przetwarzania jej danych osobowych w BIK. Bank podniósł natomiast, że ww. przesłanki, w tym poinformowanie wnioskodawczyni o okolicznościach wskazanych w art. 105a ust. 3 ww. ustawy, zostały spełnione. Brak jest przy tym innych dowodów wskazujących na prawidłowe i skuteczne poinformowanie wnioskodawczyni o treści art. 105a ust. 3 ww. ustawy niż oświadczenie Banku, pozostające w sprzeczności z twierdzeniem skarżącej.

Zdaniem organu, Bank nie przedstawił dowodu na prawidłowe doręczenie wnioskodawczyni dokumentów, w treści których zawarta była informacja o okolicznościach wskazanych w art. 105a ust. 3 ww. ustawy, zatem okoliczność skutecznego poinformowania wnioskodawczyni o treści tego przepisu nie może zostać uznana za udowodnioną. Samo bowiem oświadczenie o wysłaniu korespondencji i przedstawienie jej kopii, wraz z oddrukiem list wysyłkowych i książki nadawczej, nie stanowi dowodu na jej dostarczenie lub poinformowanie o jej treści adresata.

Organ zaznaczył, iż przepisy powszechnie obowiązujące nie formułują obowiązku wysłania informacji, o której mowa w art. 105a ust. 3 ustawy w szczególnej formie. To do podmiotu informującego należy zatem wybór formy przekazania odbiorcy komunikatu o zamiarze przetwarzania danych osobowych bez jego zgody. Jednocześnie to podmiot informujący wywodzi z powyższego skutki prawne, zatem to on musi wykazać, że poinformował wnioskodawczynię o zamiarze przetwarzania danych stanowiących tajemnicę bankową, bez jej zgody.

Na poparcie powyższego stanowiska organ powołał wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 15 marca 2017 r. sygn. akt II SA/Wa 1695/16. Wskazał nadto, że w sytuacji, gdy oświadczenie zostało posłane adresatowi listem albo innym sposobem porozumiewania się na odległość, składający powinien wykazać np. za pomocą zwrotnego poświadczenia odbioru, że list został adresatowi doręczony. Powstały dowód nadania listu poleconego nie jest dowodem doręczenia go adresatowi.

Konkludując organ stwierdził, że w niniejszej sprawie nie zostały spełnione przesłanki z art. 105a ust. 3 ustawy Prawo bankowe, a zatem należało orzec jak w sentencji.

Pismem z dnia 21 grudnia 2020 r. [...] S.A. z siedzibą [...], reprezentowany przez profesjonalnego pełnomocnika, pismem z dnia 21 grudnia 2020 r. wniósł do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na powyższą decyzję Prezesa UODO zarzucając naruszenie:

- art. 105a ust. 3 ustawy Prawo bankowe poprzez jego błędną wykładnię, skutkującą przyjęciem, że wykonanie obowiązku informacyjnego, o którym mowa w powołanym przepisie, polega na skutecznym doręczeniu osobie fizycznej, po wygaśnięciu jej zobowiązania wynikającego z umowy zawartej z bankiem, informacji o zamiarze przetwarzania jej danych osobowych bez jej zgody, podczas gdy prawidłowa interpretacja tego przepisu prowadzi do wniosku, iż "poinformowanie" oznacza rzeczywiste umożliwienie zapoznania się z treścią ww. wymienionej informacji,

- art. 6, art. 7, art. 8 § 1 i 2, art. 77 § 1, art. 80 oraz art. 107 § 3 k.p.a. w związku z art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych, polegające na przekroczeniu granic swobodnej oceny dowodów i - w konsekwencji - błędnym przyjęciu, że wydruk z książki nadawczej nie stanowi dowodu poinformowania uczestniczki postępowania o zamiarze przetwarzania jej danych osobowych bez jej zgody, w oparciu o w art. 105a ust. 3 ustawy Prawo bankowe, podczas gdy jest to potwierdzenie nadania pisma listem poleconym, mające moc dokumentu urzędowego, stanowiące dostateczny dowód przekazania informacji zgodnie z wymogami art. 105a ust. 3 ww. ustawy.

W związku z powyższymi zarzutami Bank wniósł o: uchylenie zaskarżonej decyzji w całości; zasądzenie od Prezesa UODO na rzecz strony skarżącej kosztów postępowania, w tym kosztów zastępstwa procesowego według norm przepisanych; zobowiązanie organu do wydania decyzji oddalającej skargę uczestniczki postępowania o zaprzestanie przetwarzania jej danych osobowych w terminie wyznaczonym przez Sąd.

W uzasadnieniu Bank wskazał, iż analiza treści art. 105a ust. 3 ustawy Prawo bankowe prowadzi do wniosku, że trzydziestodniowy termin, po upływie którego jest możliwe przetwarzanie danych osobowych osoby, która dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, bez jej zgody, biegnie od momentu, gdy osoba ta została poinformowana przez bank o takim zamiarze. Ustawodawca nie określił żadnych szczególnych wymogów formalnych, co do sposobu i treści takiego poinformowania. Nie ulega wątpliwości, że w każdym wypadku sposób ten powinien dawać sposobność potwierdzenia, że adresatowi umożliwiono zapoznanie się z informacją. Prawidłowość powyższego stanowiska potwierdzają poglądy prezentowane przez Naczelny Sąd Administracyjny m.in. w wyrokach z dnia 27 października 2017 r. sygn. akt I OSK 3362/15, z dnia 11 grudnia 2017 r. sygn. akt II SA/Wa 324/17, z dnia 10 marca 2020 r. sygn. akt II SA/Wa 2037/19.

Bank podkreślił, iż wysłał do uczestniczki postępowania listem poleconym oświadczenia o wypowiedzeniu umów kredytowych zawierające stosowną, wymaganą prawem informację o zamiarze przekazania jej danych osobowych do BIK. Obie przesyłki skierowane zostały na podany przez uczestniczkę postępowania adres do korespondencji wskazany w obu umowach. Uczestniczka postępowania zobowiązała się - zgodnie z cz. VI ust. 8 umowy o kredyt konsolidacyjny - do informowania Banku na bieżąco o zmianie nazwiska, adresu lub miejsca pracy. O zmianie adresu Bank nigdy nie został poinformowany. Wysyłając przesyłką poleconą zawierającą informację o zamiarze przetwarzania danych osobowych dotyczących uczestniczki postępowania, Bank umożliwił jej zapoznanie się z tą informacją. W konsekwencji więc, po upływie trzydziestu dni Bank mógł przetwarzać dane osobowe bez jej zgody, w tym poprzez ich przekazanie do BIK.

Bank zaznaczył, iż w świetle art. 17 ustawy z dnia 23 listopada 2012 r. Prawo pocztowe (Dz. U. z 2020 r., poz. 1041), dysponuje dowodami przekazania uczestniczce postępowania informacji o zamiarze przetwarzania jej danych osobowych i dowody te przedstawił organowi w toku postępowania. Potwierdzenie nadania przesyłki rejestrowanej wydane przez placówkę pocztową operatora wyznaczonego ma moc dokumentu urzędowego, zatem przedłożone przez Bank dowody w postaci odpisów z pocztowej książki nadawczej jednoznacznie wskazują na spełnienie przez Bank obowiązku informacyjnego, o którym mowa w art. 105a ust. 3 ustawy Prawo Bankowe. Ponadto wysłane do uczestniczki postępowania przesyłki polecone, w których znajdowały się informacje o przetwarzaniu danych osobowych, nigdy nie zostały zwrócone. Uczestniczka postępowania w żaden sposób nie wykazała, że nie otrzymała ww. listów poleconych (lub chociażby, że poinformowała Bank o zmianie adresu, bądź że zgłosiła reklamację w urzędzie pocztowym).

Powyższych okoliczności organ nie wziął pod uwagę wydając zaskarżoną decyzję, co skutkuje naruszeniem reguł postępowania dowodowego. Wbrew stanowisku organu Bank miał podstawę prawną do przetwarzania danych osobowych uczestniczki postępowania i nie zachodzą podstawy do nakazania zaprzestania ich przetwarzania.

W odpowiedzi na skargę Prezes UODO wniósł o oddalenie skargi. Dodatkowo wskazał, iż nie podziela stanowiska prezentowanego przez Bank, zgodnie z którym dowody w postaci odpisów z pocztowej książki nadawczej, z których wynika, że pisma zawierające informację o zamiarze przetwarzania danych osobowych uczestniczki postępowania po wygaśnięciu zobowiązania bez jej zgody wysłane do niej listami poleconymi, jednoznacznie wskazują na spełnienie przez Bank obowiązku informacyjnego, o którym mowa w art. 105a ust. 3 ustawy Prawo bankowe. Dowód w postaci potwierdzenia nadania czy też oddruku z książki nadawczej stanowić może jedynie dowód na to, że nadano korespondencję do uczestniczki postępowania, czyli na okoliczność inną niż ta, o której mowa w ww. przepisie, tj. poinformowania osoby, której informacje dotyczą. Brak zwrotu korespondencji pozostaje bez wpływu na okoliczność faktycznego zapoznania się z jej treścią przez adresata. Co więcej, uznanie za datę poinformowania klienta banku daty wysłania pisma doprowadziłoby w konsekwencji do sytuacji, w której dłużnicy mieliby zróżnicowany realny czas na podjęcie ewentualnych działań (wykonania zobowiązania) w związku z otrzymanym powiadomieniem.

Organ wskazał również, że nie odmówił mocy dowodowej dokumentom złożonym przez Bank do akt administracyjnych. Organ stwierdził natomiast, iż nie stanowią one dowodu na wypełnienie obowiązku informacyjnego Banku, o którym mowa w art. 105a ust. 3 ustawy Prawo bankowe. Ocena materiału dowodowego została dokonana przez organ zgodnie z zasadą swobodnej oceny dowodów i nie nosi cech dowolności. Organ przeanalizował wyjaśnienia skarżącej i Banku oraz przesłane materiały, wziął również pod uwagę stanowisko wyrażone w ugruntowanym orzecznictwie sądów administracyjnych trafnie uznając, że istnieją podstawy do wydania decyzji nakazującej Bankowi zaprzestanie przetwarzania danych osobowych skarżącej bez jej zgody, w oparciu o ww. przepis, bez uprzedniego spełnienia określonych w jego treści obowiązków.

W piśmie procesowym z dnia 8 marca 2021 r. Bank wskazał, iż popiera zarzuty i wnioski skargi. Jednocześnie Bank odniósł się do treści odpowiedzi na skargę akcentując, iż w sytuacji, gdy organ nie kwestionuje, że przesyłka została nadana listem poleconym na prawidłowy adres, a nadto nie została zwrócona zgodnie z postanowieniami Regulaminu świadczenia usług powszechnych w wersji obowiązującej od dnia 19 sierpnia 2014 r. do dnia 1 listopada 2016 r., to należy uznać, że dotarła do adresata.

Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:

Zgodnie z art. 1 § 1 i § 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (Dz. U. z 2019 r., poz. 2167), dalej: "p.u.s.a." oraz art. 3 § 1 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2019 r., poz. 2325), dalej: "p.p.s.a.", sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej.

W myśl art. 134 § 1 p.p.s.a., sąd rozstrzyga w granicach danej sprawy nie będąc związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną, z zastrzeżeniem art. 57a. Sąd nie może wydać orzeczenia na niekorzyść skarżącego, chyba że stwierdzi naruszenie prawa skutkujące stwierdzeniem nieważności zaskarżonego aktu lub czynności (§ 2).

Skarga oceniana w świetle powyższych kryteriów zasługuje na uwzględnienie, bowiem zaskarżona decyzja została wydana z naruszeniem prawa.

Podstawę materialnoprawną zaskarżonej decyzji stanowił art. 6 ust. 1 lit. f, art. 58 ust. 2 lit. c ogólnego rozporządzenia o ochronie danych w związku z art. 105a ust. 3 ustawy Prawo bankowe.

Przepis art. 6 ust. 1 lit. f ogólnego rozporządzenia o ochronie danych stanowi, iż przetwarzanie danych osobowych jest zgodne z prawem gdy przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez osobę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem.

Z kolei w myśl art. 105a ust. 1 Prawa bankowego, przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów, instytucje pożyczkowe oraz podmioty, o których mowa wart. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, a także instytucje utworzone na podstawie art. 105 ust. 4, informacji stanowiących tajemnicę bankową i informacji udostępnionych przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem art. 104, art. 105 i art. 106 - 106d ustawy w celu oceny zdolności kredytowej i analizy ryzyka kredytowego.

Stosownie natomiast do art. 105a ust. 3 ustawy Prawo bankowe banki, instytucje oraz podmioty, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową i informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa wart. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011r. o kredycie konsumenckim, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank, inną instytucję ustawowo upoważnioną do udzielania kredytów, instytucję pożyczkową albo podmiot, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, o zamiarze przetwarzania dotyczących jej tych informacji, bez jej zgody.

Stosując uprawnienie naprawcze z art. 58 ust. 2 lit. c ogólnego rozporządzenia o ochronie danych, tj. wydając decyzję nakazującą Bankowi zaprzestania przetwarzania danych osobowych uczestniczki postępowania - dotyczących umów nr [...] z dnia [...] listopada 2013 r. oraz nr [...] z dnia [...] listopada 2014 r. - w bazie BIK w celu oceny zdolności kredytowej i analizy ryzyka kredytowego, Prezes UODO stwierdził, że Bank nie spełnił jednej z przesłanek wymienionych w art. 105a ust. 3 Prawa bankowego, tj. nie poinformował uczestniczki postępowania o zamiarze przetwarzania dotyczących jej danych, bez jej zgody.

W ocenie Sądu, z powyższym stanowiskiem organu nie sposób się zgodzić.

Z akt sprawy wynika w sposób jednoznaczny, że na potwierdzenie spełnienia powyższego obowiązku Bank przedstawił kopie oświadczeń skierowanych do uczestniczki postępowania o wypowiedzeniu ww. umów, na adres wskazany w ww. umowach, w których to oświadczeniach zawarł m.in. informację o zamiarze korzystania z prawa do przetwarzania danych stanowiących tajemnicę bankową przez okres 5 lat po wygaśnięciu zobowiązania, bez zgody osoby, której te dane dotyczą oraz o możliwości przetwarzania tych informacji przez BIK S.A. i inne instytucje wskazane w art. 105a ust. 1 ustawy Prawo bankowe przez okres 5 lat po wygaśnięciu zobowiązania, bez zgody osoby, której te informacje dotyczą (k. 168 - 171 akt admin.). Ponadto Bank przedstawił oddruki list wysyłkowych (Lista wysyłkowa pism windykacyjnych (polecone) - [...] z dnia [...] czerwca 2016 r. oraz Lista wysyłkowa pism windykacyjnych (polecone) - [...] z dnia [...] czerwca 2016 r.), a także wydruki z książki nadawczej (k. 172 - 177 akt admin.).

Z powyższego wynika, że Bank - w celu wypełnienia obowiązku, o którym mowa w art. 105a ust. 3 ustawy Prawo bankowe - informację o zamiarze przetwarzania danych osobowych w sposób przewidziany w tym przepisie przesłał uczestniczce postępowania listem poleconym i dysponuje potwierdzeniem nadania tej przesyłki.

Zgodnie natomiast z art. 2 ust. 1 pkt 22 ustawy z dnia 23 listopada 2012 r. Prawo pocztowe (Dz. U. z 2020 r., poz. 1041 ze zm.) przesyłka polecona to przesyłka listowa będąca przesyłką rejestrowaną, przemieszczana i doręczana w sposób zabezpieczający ją przed utratą, ubytkiem zawartości lub uszkodzeniem. Z kolei w myśl art. 17 ww. ustawy potwierdzenie nadania przesyłki rejestrowanej lub przekazu pocztowego wydane przez placówkę pocztową operatora wyznaczonego ma moc dokumentu urzędowego.

Skoro - jak wynika z akt sprawy - przesyłka polecona zawierająca ww. oświadczenia Banku została skierowana do uczestniczki postępowania na prawidłowy adres (wskazany w ww. umowach) i - jak wielokrotnie podkreślał Bank w toku postępowania - nie została zwrócona do nadawcy, to należy uznać, że dotarła do adresata, a w konsekwencji, że Bank spełnił obowiązek "poinformowania" uczestniczki postępowania o zamiarze przetwarzania dotyczących jej danych, bez jej zgody - zgodnie z art. 105a ust. 3 ustawy Prawo bankowe.

Na potwierdzenie powyższego stanowiska warto powołać pogląd wyrażony przez Sąd Najwyższy w wyroku z dnia 17 marca 2010 r. sygn. akt II CSK 454/09 (publ. LEX nr 607178), zgodnie z którym: "Jeżeli nadawca przesyłki rejestrowanej uiścił opłatę, otrzymał potwierdzenie nadania, a operator nie zwrócił mu tej przesyłki, można domniemywać, że została doręczona adresatowi. W związku z tym należy uznać, że dowód nadania przesyłki rejestrowanej stanowi domniemanie doręczenia jej adresatowi, który może je obalić, wykazując, że nie miał możliwości zapoznania się z jej treścią. Należy zwrócić uwagę, że regułą jest, iż przesyłki pocztowe, zwłaszcza rejestrowane, są doręczane. Brak doręczenia zwykle powodują szczególne okoliczności, np. niedostatki w obsłudze pocztowej, błędne zaadresowanie przesyłki, znana nadawcy nieobecność adresata w miejscu zamieszkania itp. Wykazanie istnienia takich okoliczności wystarczy do podważenia wiarygodności omawianego dowodu prima facie".

Zaznaczyć przy tym należy, że z akt sprawy nie wynika, aby uczestniczka postępowania wykazała okoliczności, które mogłyby obalić domniemanie doręczenia jej ww. listów poleconych, a mianowicie, że nie otrzymała tychże listów, nie poinformowała Banku o zmianie adresu lub - chociażby - że zgłosiła reklamację w urzędzie pocztowym.

Z uzasadnienia zaskarżonej decyzji wynika, że przesłanka "poinformowania" o przetwarzaniu przez Bank danych osobowych uczestniczki postępowania zgodnie z art. 105a ust. 3 ustawy Prawo bankowe zostałaby spełniona w przypadku przedstawienia przez Bank "dowodu na prawidłowe dostarczenie skarżącej dokumentów (...)", zaś "samo oświadczenie o wysłaniu korespondencji i przedstawienie jej kopii, wraz z oddrukiem list wysyłkowych i książki nadawczej, nie stanowi dowodu na jej dostarczenie lub poinformowanie o jej treści adresata". Organ wskazał również, że w sytuacji gdy "oświadczenie zostało posłane adresatowi listem albo innym sposobem porozumiewania się na odległość, składający powinien wykazać np. za pomocą zwrotnego poświadczenia odbioru, że list został adresatowi doręczony. Powstały dowód nadania listu poleconego nie jest dowodem doręczenia go adresatowi". Zatem w ocenie organu przesłanka "poinformowania" o przetwarzaniu danych osobowych zgodnie z art. 105a ust. 3 ustawy Prawo bankowe, w okolicznościach niniejszej sprawy, tj. gdy Bank skorzystał z usług operatora wyznaczonego, zostałaby spełniona wyłącznie wówczas, gdyby Bank skierował do uczestniczki postępowania list polecony "za potwierdzeniem odbioru" i dysponował dowodem jego doręczenia. Tylko bowiem w takiej sytuacji można byłoby - zdaniem organu - przyjąć, że uczestniczka postępowania została "skutecznie poinformowana" o przetwarzaniu przez Bank jej danych osobowych w oparciu o ww. przepis.

Sąd orzekający w niniejszej sprawie powyższego stanowiska nie podziela. Zgodnie z wykładnią językową "poinformować" to "udzielić informacji", "powiadomić o czymś" (Słownik Języka Polskiego PWN, https://sjp.pwn.pl). Nie można bowiem uznać, że "poinformowanie", o którym mowa w art. 105a ust. 3 ustawy Prawo bankowe, ma miejsce wyłącznie w sytuacji, gdy bank dysponuje - w przypadku nadania przesyłki drogą pocztową - dowodem jej doręczenia adresatowi, tj. "zwrotnym potwierdzeniem odbioru". Wystarczające dla uznania, że przesłanka "poinformowania" została spełniona jest bowiem wykazanie przez bank, że przesyłka została wysłana listem poleconym i nie została zwrócona do adresata, a takie właśnie okoliczności miały miejsce w niniejszej sprawie.

Zaznaczyć należy, że w uzasadnieniu zaskarżonej decyzji organ, na poparcie swego stanowiska, powołał fragment wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 15 marca 2017 r. sygn. akt II SA/Wa 1695/16 (publ. CBOSA), przy czym, jak trafnie wskazał Bank w treści skargi, stan faktyczny ww. sprawy będącej przedmiotem oceny Sądu jest całkowicie odmienny, od tego, który stanowi podstawę zaskarżonej decyzji w niniejszej sprawie. Sąd wskazał bowiem, że "(...) samo potwierdzenie komputerowe w prawym górnym rogu pism "PRZESYŁKA NIESTEMPLOWANA, Data nadania 2015-080-07", nie stanowi potwierdzenia wysłania pism (...) zwłaszcza, iż jak podaje sam Bank jest to "data ponownego wygenerowania pisma w związku z analizą pism skarżącej". Także zrzut ekranu komputerowego ww. aplikacji, z uwagi na "zakodowany" system zgromadzonych tam danych, bez głębszej analizy specjalistycznej (z zakresu informatyki), nie przedstawia wiarygodnego dowodu, iż poza wygenerowaniem przedmiotowych pism w istocie doszło do ich wysłania skarżącej. Dostrzec przy należy, iż Bank przedłożył dowody, które sam sporządził i to w taki sposób, który nie pozwala zweryfikować przedstawionego przezeń stanowiska. Skarżąca zaś kategorycznie stwierdza (bez potrzeby przesłuchiwania jej w charakterze świadka na tę okoliczność), iż spornych pism nie otrzymała. Bank nie dysponuje przy tym dowodem nadania przesyłek doręczycielowi, a w każdym razie w toku postępowania administracyjnego takowych nie przedstawił. Słuszne jest wprawdzie twierdzenie, że żaden przepis ustawy Prawo bankowe nie wymaga aby obowiązek informacyjny, o którym mowa w art. 105a ust. 3 tej ustawy, był realizowany przy pomocy przesyłek rejestrowanych - listów poleconych. Podkreślić jednak należy, iż w przypadku sporu ciężar dowodu doręczenia pisma spoczywa na stronie spełniającej obowiązek informacyjny. Wprawdzie w toku postępowania administracyjnego organ orzekający ocenił przedstawione przez Bank dokumenty, ale nie wynika z nich realizacja przez Bank (...) w stosunku do skarżącej obowiązku informacyjnego (wysłania, a nie tylko wygenerowania pism). Zatem Generalny Inspektor przedwcześnie przyjął, nie dysponując ku temu wystarczającym materiałem dowodowym, że doręczono skarżącej ww. sporne pisma, lub też Bank dołożył wymaganej w tych okolicznościach staranności, aby adresat pism informacyjnych mógł zaznajomić się z ich treścią".

W świetle powyższego stanowiska Sądu można przyjąć, że dla spełnienia obowiązku informacyjnego z art. 105a ust. 3 ustawy Prawo bankowe wystarczające jest wysłanie wymaganej korespondencji listem poleconym i dysponowanie dowodem jego nadania, co stanowi podstawę domniemania, że przesłanka została doręczona adresatowi. Takie rozumienie przesłanki "poinformowania", o którym mowa w ww. przepisie, koresponduje z treścią art. 14 ust. 1 pkt 3 ustawy z dnia 9 kwietnia 2010 r. o udostępnianiu informacji gospodarczych i wymianie danych gospodarczych (Dz. U. z 2020 r., poz. 389 ze zm.) w brzmieniu obowiązującym w dacie wydania zaskarżonej decyzji, zgodnie z którym wierzyciel może przekazać do biura (informacji gospodarczej) informacje gospodarcze o zobowiązaniu dłużnika będącego konsumentem wyłącznie wówczas, gdy: upłynął co najmniej miesiąc od wysłania przez wierzyciela listem poleconym albo doręczenia dłużnikowi będącemu konsumentem do rąk własnych, na adres do doręczeń wskazany przez dłużnika będącego konsumentem, a jeżeli nie wskazał takiego adresu - na adres miejsca zamieszkania, wezwania do zapłaty, zawierającego ostrzeżenie o zamiarze przekazania danych do biura, z podaniem firmy i adresu siedziby tego biura. W świetle ww. przepisu przesłanka przekazania informacji (a więc poinformowania) o zobowiązaniu dłużnika jest spełniona w przypadku upływu miesiąca od wysłania przez wierzyciela listem poleconym wezwania do zapłaty. W ten sam sposób należy wykładać art. 105a ust. 3 ustawy Prawo bankowe przyjmując, że termin "30 dni od poinformowania" przez bank danej osoby o zamiarze przetwarzania jej danych osobowych, bez jej zgody, biegnie od daty wysłania listem poleconym stosownego oświadczenia banku w tym przedmiocie. Nadmienić przy tym należy, że jak wynika z wyjaśnień Banku z dnia [...] listopada 2019 r. (k. 36 akt admin.) listy polecone zawierające informację o przetwarzaniu danych w oparciu o art. 105a ust. 3 ww. ustawy zostały wysłane do uczestniczki postępowania w dniach [...] czerwca 2016 r. i [...] czerwca 2016 r., zaś zaprzestanie przetwarzania danych na podstawie ww. przepisu będzie skuteczne po upływie 5 lat od wygaśnięcia zobowiązania, co miało miejsce [...] grudnia 2016 r.

Końcowo Sąd zauważa, że znane są mu z urzędu orzeczenia sądów administracyjnych powołane przez organ w odpowiedzi na skargę (np. wyroki Naczelnego Sądu Administracyjnego: z dnia 7 sierpnia 2018 r. sygn. akt I OSK 2123/16, z dnia 27 sierpnia 2019 r. sygn. akt I OSK 2514/17) i co do zasady podziela poglądy w nich zawarte. Jednakże, co należy podkreślić, orzeczenia te zapadły w odmiennych stanach faktycznych, w których banki nie były w stanie wykazać, że informacja o zamiarze przetwarzania danych w oparciu o art. 105a ust. 3 ustawy Prawo bankowe została skierowana do indywidualnie oznaczonego adresata, a nadto, że została wysłana w sposób korzystający z domniemania jej doręczenia, tj. listem poleconym, tak jak w niniejszej sprawie. Sąd podziela przy tym stanowisko wyrażone przez Wojewódzki Sąd Administracyjny w Warszawie z dnia 10 marca 2020r. sygn. akt II SA/Wa 2037/19 (publ. CBOSA), które zapadło w analogicznym stanie faktycznym.

Na marginesie Sąd wskazuje, że w sentencji zaskarżonej decyzji oraz w jej uzasadnieniu organ błędnie oznaczył siedzibę Banku podając, iż jest to [...], podczas gdy jest to [...].

Stwierdzając, że organ dopuścił się naruszenia art. 58 ust. 2 lit. c ogólnego rozporządzenia o ochronie danych w związku z art. 105a ust. 3 ustawy Prawo bankowe, Sąd uchylił zaskarżoną decyzję zobowiązując jednocześnie organ do uwzględnienia oceny prawnej przedstawionej powyżej.

W konsekwencji, na podstawie art. 145 § 1 pkt 1 lit. a p.p.s.a. w związku z art. 15zzs4 ust. 3 ustawy z dnia 2 marca 2020 r. o szczególnych rozwiązaniach związanych z zapobieganiem, przeciwdziałaniem i zwalczaniem COVID-19, innych chorób zakaźnych oraz wywołanych nimi sytuacji kryzysowych (Dz. U. poz. 374 ze zm.), Sąd orzekł jak w punkcie 1 sentencji wyroku. O kosztach postępowania, obejmujących wpis od skargi oraz wynagrodzenie pełnomocnika w stawce minimalnej wraz z opłatą skarbową od pełnomocnictwa, Sąd postanowił w oparciu o art. 200 i art. 205 § 2 jak w punkcie 2 sentencji wyroku.