II SA/Wa 1399/24 - Wyrok

Data orzeczenia	2025-04-10	
Data wpływu	2024-08-29	
Sąd	Wojewódzki Sąd Administracyjny w Warszawie	
Sędziowie	Ewa Marcinkowska /przewodniczący/
Łukasz Krzycki
Mateusz Rogala /sprawozdawca/	
Symbol z opisem	647  Sprawy związane z ochroną danych osobowych	
Hasła tematyczne	Ochrona danych osobowych	
Skarżony organ	Generalny Inspektor Ochrony Danych Osobowych	
Treść wyniku	Uchylono zaskarżoną decyzję w części	
Powołane przepisy	Dz.U. 2020 nr 0 poz 1740; art 118; Ustawa z dnia 23 kwietnia 1964 r. Kodeks cywilny - t.j.
Dz.U. 2023 nr 0 poz 1124; art.49 ust 1; Ustawa z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (t.j.)	
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Ewa Marcinkowska, Sędzia WSA Łukasz Krzycki, Asesor WSA Mateusz Rogala (spr.), , Protokolant specjalista Joanna Głowala po rozpoznaniu na rozprawie w dniu 10 kwietnia 2025 r. sprawy ze skargi P. P. S.A. z siedzibą w W. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] czerwca 2024 r. nr [...] w przedmiocie przetwarzania danych osobowych 1. uchyla punkt 1 i 2 zaskarżonej decyzji; 2. oddala skargę w pozostałym zakresie; 3. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz strony skarżącej P. P. S.A. z siedzibą w W. kwotę 680 (słownie: sześćset osiemdziesiąt) złotych, tytułem zwrotu kosztów postępowania.	
Uzasadnienie
Zaskarżoną do Wojewódzkiego Sądu Administracyjnego w Warszawie decyzją z dnia [...] czerwca 2024 r. nr [...], wydaną na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. – Kodeks postępowania administracyjnego (Dz. U. z 2023 r., poz. 775 ze zm., powoływanej dalej jako k.p.a.), art. 7 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781) oraz art. 6 ust. 1 i art. 58 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady UE nr 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 04.05.2016, str. 1 ze zm., powoływanego dalej jako rozporządzenie nr 2016/679), Prezes Urzędu Ochrony Danych Osobowych po przeprowadzeniu postępowania administracyjnego w sprawie skargi D. C. (powoływanego dalej również jako uczestnik postępowania) na nieprawidłowości w procesie przetwarzania jego danych osobowych przez P. S.A. z siedzibą w W., polegające na przetwarzaniu jego danych osobowych bez podstawy prawnej:

- w pkt 1 decyzji nakazał P. S.A. usunięcie danych osobowych D. C. w zakresie następujących umów: 1) Umowy nr [...] - zakończonej spłatą w dniu 26 września 2012 r.; 2) Umowy nr [...] - zakończonej spłatą w dniu 15 października 2013 r.; 3) Umowy nr [...] - zakończonej spłatą w dniu 10 września 2014 r.; 4) Umowy nr [...] - zakończonej spłatą w dniu 16 kwietnia 2015 r.;

- w pkt 2 decyzji nakazał P. S.A. usunięcie danych osobowych D. C., w zakresie wniosków o pożyczkę z dnia [...] kwietnia 2019 r. oraz z dnia [...] czerwca 2019 r.;

- w pkt 3 decyzji udzielił P. S.A. upomnienia za naruszenie art. 6 ust. 1 rozporządzenia nr 2016/679 polegające na przetwarzaniu w dniu 16 stycznia

2023 r. danych osobowych D. C. w celach marketingowych z wykorzystaniem adresu poczty elektronicznej, bez podstawy prawnej;

- w pkt 4 decyzji odmówił uwzględnienia wniosku w pozostałym zakresie.

W uzasadnieniu swojego rozstrzygnięcia organ podał, że D. C. wniósł do organu skargę na nieprawidłowości w procesie przetwarzania jego danych osobowych przez P. S.A. polegające na przetwarzaniu jego danych osobowych, w tym w celach marketingowych, bez podstawy prawnej. Wnoszący skargę wskazał, że wielokrotnie wysyłał do spółki P. prośbę o usunięcie jego danych osobowych wraz z zaprzestaniem ich przetwarzania. W odpowiedzi otrzymał trzy pisma potwierdzające, że spółka nie przetwarza jego danych. Natomiast na adres mailowy uczestnika postępowania są wysyłane wiadomości od spółki z propozycjami pożyczek. Spółka wskazała uczestnikowi postępowania, iż przesyłane treści nie mają charakteru handlowego, tylko są wysyłane w celu informacji.

W toku postępowania P S.A. wyjaśniła, że pozyskała dane osobowe uczestnika postępowania bezpośrednio od niego w wyniku złożenia przez niego wniosku o pożyczkę i zawarcia umowy o pożyczkę pomiędzy spółką a uczestnikiem postępowania. Spółka wskazała, że uczestnik postępowania zawarł z nią pięć umów. Aktualnie są przez nią przetwarzane dane osobowe uczestnika postępowania w związku z umową pożyczki z dnia [...] maja 2016 r. nr [...]. Spółka podała, w jakich celach obecnie przetwarzane są dane osobowe uczestnika postępowania w związku z zawarciem tej umowy.

Spółka podniosła następnie, że dane osobowe uczestnika postępowania z pozostałych umów, o numerach: [...], [...],[...] oraz [...] są aktualnie przetwarzane przez nią w następujących celach:

a) jako dowód podejmowania przez spółkę środków bezpieczeństwa finansowego na podstawie art. 6 ust. 1 lit. c) rozporządzenia nr 2016/679 w zw. z art. 33-34 ustawy z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (Dz. U. z 2023 r., poz. 1124 ze zm., powoływanej dalej jako ustawa AML). Spółka wskazała, że termin 5 lat, o którym mowa w tych przepisach, należy liczyć dla całości dokumentacji dotyczącej konkretnego klienta od momentu zakończenia ostatniej relacji dotyczącej tej osoby. Do definitywnego zakończenia stosunków gospodarczych doszło wraz z odmową udzielenia przez spółkę pożyczki na wniosek złożony przez uczestnika postępowania dnia 14 czerwca 2019 r. W związku z tym spółka jest zobowiązana do przechowywania danych osobowych uczestnika postępowania w tym celu do dnia 14 czerwca 2024 r.;

b) w celu dowodowym (rozumianym jako cel archiwalny) na podstawie art. 6 ust. 1 lit. f) rozporządzenia nr 2016/679, czyli ze względu na prawnie uzasadniony interes spółki, polegający na dochodzeniu lub obronie przed ewentualnymi roszczeniami. W latach 2011 - 2018 uczestnika postępowania i spółkę łączyły stałe stosunki gospodarcze, ponieważ systematycznie korzystał on z usługi pożyczek oferowanych przez spółkę. Jak wynika z Polityki retencji danych przyjętej przez spółkę, po upływie obowiązkowego okresu przechowywania dokonywana jest ocena niezbędności dalszego przechowywania danych. W związku z tym, że ostatnia zawarta z uczestnikiem postępowania umowa została rozliczona w 2019 r., to okres przedawnienia roszczeń wynikających z łączącego strony stosunku gospodarczego w związku z zawartymi umowami pożyczek zgodnie z art. 118 k.c. wynosi 6 lat, przy czym termin przedawnienia roszczeń przypada na ostatni dzień roku kalendarzowego, czyli na dzień 31 grudnia 2025 r. Rozliczenie umowy nr 252999200 wyznacza moment zakończenia stosunków gospodarczych pomiędzy uczestnikiem postępowania a spółką.

Spółka podniosła, że dane osobowe uczestnika postępowania zebrane w ramach ww. umów zostaną usunięte po ustaniu wszystkich celów przetwarzania, czyli po upływie najdłuższego przyjętego okresu przechowywania, czyli po dniu 31 grudnia 2025 r.

Spółka wskazała, że dodatkowo pozyskała dane osobowe uczestnika postępowania od niego w dniu [...] kwietnia 2019 r. oraz w dniu [...] czerwca 2019 r. w wyniku złożenia przez niego wniosku o pożyczkę na stronie internetowej. Spółka pozyskała od niego dane w celu przygotowania oferty pożyczki (w tym badania wiarygodności i oceny zdolności kredytowej i sprawdzenia dostępności oferty) i przygotowania do zawarcia umowy pożyczki (art. 6 ust. 1 lit. b rozporządzenia nr 2016/679) oraz realizacji obowiązków prawnych spółki jako administratora (art. 6 ust. 1 lit. c rozporządzenia nr 2016/679) wynikających z: a) art. 9 ust. 4 u.k.k. (ocena zdolności kredytowej); b) art. 33 i art. 34 ustawy AML (środki bezpieczeństwa finansowego), w zakresie zgodnym z art. 36 ustawy AML; c) art. 105a ust.1a-1b ustawy – Prawo bankowe.

Dane pozyskano od uczestnika postępowania na wniosku o pożyczkę w zakresie: imię, nazwisko, nr PESEL, adres e-mail, numer telefonu, adres zameldowania/zamieszkania, nr rachunku bankowego, data urodzenia, numer dokumentu tożsamości, adres IP.

Spółka wyjaśniła, że aktualnie przetwarza dane osobowe uczestnika postępowania zebrane w związku z wnioskami o pożyczkę z dnia [...] kwietnia 2019 r. i z dnia [...] czerwca 2019 r. Spółka przetwarza dane osobowe uczestnika postępowania pochodzące z tych dwóch wniosków w następujących celach:

- jako dowód podejmowania przez spółkę środków bezpieczeństwa finansowego na podstawie art. 6 ust. 1 lit. c) w zw. z art. 33-34 ustawy AML. Zgodnie z art. 49 ust. 1 pkt 1 ustawy AML spółka jest zobowiązana do przechowywania przez okres 5 lat, licząc od dnia zakończenia stosunków gospodarczych z klientem, uzyskanych w wyniku stosowania środków bezpieczeństwa finansowego kopii dokumentów i informacji, w tym informacji uzyskanych za pomocą środków identyfikacji elektronicznej oraz usług zaufania umożliwiających identyfikację elektroniczną w rozumieniu rozporządzenia nr 910/2014 - wobec powyższego, spółka jest zobowiązana do przechowywania danych osobowych z wniosków o obydwie pożyczki w tym celu do dnia 14 czerwca 2024 r.;

- w celu dowodowym (rozumianym jako cel archiwalny) na podstawie art. 6 ust. 1 lit. f) rozporządzenia nr 2016/679 w zw. z art. 118 k.c., czyli ze względu na prawnie uzasadniony interes spółki polegający na dochodzeniu lub obronie przed ewentualnymi roszczeniami, które mogą wynikać z wniosków o pożyczkę lub z odmowy jej udzielenia przez spółkę - wobec powyższego spółka wyjaśniła, że termin przedawnienia roszczeń dla obydwu wniosków o pożyczkę przypada na ostatni dzień roku kalendarzowego, czyli na dzień 31 grudnia 2025 r.

Spółka podała, że dane osobowe uczestnika postępowania zebrane w ramach wniosków o pożyczkę zostaną usunięte po ustaniu wszystkich celów przetwarzania, czyli upływie najdłuższego przyjętego okresu przechowywania, czyli po dniu 31 grudnia 2025 r.

Spółka wyjaśniła dalej, że w dniu 11 czerwca 2019 r. uczestnik postępowania skontaktował się z nią telefonicznie. Podczas rozmowy zwrócił się do spółki z żądaniem wycofania zgody na kontakt telefoniczny w celach marketingowych. W odpowiedzi na żądanie spółka udzieliła odpowiedzi uczestnikowi postępowania potwierdzającej spełnienie żądania wycofania zgody marketingowej na kontakt telefoniczny.

W dniu 23 września 2022 r. uczestnik postępowania skontaktował się ze spółką drogą e-mail i przekazał żądanie usunięcia danych osobowych. To samo żądanie zostało powtórzone przez niego w dniu 27 września 2022 r. Spółka odpowiedziała na żądanie w dniu 28 września 2022 r., informując uczestnika postępowania o podstawie dalszego przetwarzania danych osobowych i odmowie usunięcia danych osobowych. W dniu 3 października 2022 r. uczestnik postępowania ponowił żądanie usunięcia danych. Spółka odniosła się do tego żądania w odpowiedzi z dnia 20 października 2022 r., podtrzymując swoje stanowisko.

W dniu 16 stycznia 2023 r. uczestnik postępowania zwrócił się do spółki z zapytaniem dotyczącym otrzymanej od spółki wiadomości e-mail z tego samego dnia. Wiadomość ta została wysłana na adres e-mail uczestnika postępowania przez spółkę w wyniku błędu technicznego. Wiadomość ta była następującej treści: "Dzień dobry D.! Twoja oferta to LOAN_OFFER_AMOUNT zł. Przygotowaliśmy już dla Ciebie tę kwotę. Zaloguj się na swoje konto, aby ją zaakceptować. Warto się pospieszyć - oferta pożyczki jest ważna tylko do LOAN OFFER EXPIRY_DATE. Rzeczywista roczna stopa oprocentowania (RRSO): RRSO%. Zaloguj się na konto. Serdecznie pozdrawiamy, Zespół P.".

W dniu 18 stycznia 2023 r. spółka poinformowała uczestnika postępowania o nieprawidłowościach w wysyłce wiadomości z dnia 16 stycznia 2023 r. Uczestnik postępowania przekazał do spółki pismo z dnia 8 lutego 2023 r. z prośbą o wyjaśnienie oraz z roszczeniem rekompensaty w związku z otrzymaniem ww. wiadomości e-mail. W odpowiedzi spółka wyjaśniła, że wiadomość e-mail została wysłana do niego w wyniku błędu technicznego. Wiadomość nie zawierała oferty marketingowej. Stanowiła jedynie draft zawierający kody zasilające bez wskazania kwoty oferty.

W związku z powyższym spółka stwierdziła, że nie przygotowywała i nie wysyłała ofert marketingowych na adres e-mail uczestnika postępowania, a więc nie doszło do przetwarzania jego danych osobowych w celach marketingowych.

Spółka wyjaśniła, że pozyskała zgodę uczestnika postępowania na kontakt marketingowy za pomocą środków komunikacji elektronicznej, w szczególności poczty elektronicznej, w formie elektronicznej w dniu 14 czerwca 2019 r. Zgoda została zarejestrowana w systemach spółki z datą 25 czerwca 2019 r. i została następnie przez uczestnika postępowania odwołana wnioskiem o usunięcie danych osobowych z dnia 23 września 2022 r. Zgoda została zarejestrowana jako odwołana w systemach spółki w dniu 28 września 2022 r. na podstawie wniosku o usunięcie danych osobowych z dnia 23 września 2022 r.

Spółka wyjaśniła, że nie przetwarza danych osobowych uczestnika postępowania do celów marketingowych oraz nie wysyła do niego wiadomości marketingowych, zgodnie z jego wolą.

W dalszej części uzasadnienia swojego rozstrzygnięcia organ wyjaśnił, że przed wejściem w życie w dniu 13 lipca 2018 r. ustawy AML, obowiązywała ustawa z dnia 16 listopada 2000 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (Dz. U. z 2000 r., nr 116, poz. 1216). Zgodnie z tą ustawą, spółka znajdowała się w katalogu instytucji obowiązanych do stosowania środków bezpieczeństwa wskazanych w art. 2 tej ustawy. Wobec okoliczności, że umowy nr [...], nr [...], nr [...] oraz nr [...], objęte przedmiotem niniejszego postępowania, zostały zakończone przed rozpoczęciem obowiązywania ustawy AML, zastosowanie do nich znajdowała ustawa z dnia 16 listopada 2000 r. Zgodnie z art. 9k tej ustawy, informacje uzyskane w wyniku stosowania środków, o których mowa w art. 8b i 9e, były przechowywane przez okres 5 lat, licząc od pierwszego dnia roku następującego po roku, w którym przeprowadzono transakcję z klientem.

Zgodnie natomiast z art. 49 ust. 1 ustawy AML w brzmieniu obowiązującym w dniu wejścia w życie tejże ustawy, tj. w dniu 13 lipca 2018 r., instytucje obowiązane zobowiązane zostały do przechowywania przez okres 5 lat, licząc od pierwszego dnia roku następującego po roku, w którym zakończono stosunki gospodarcze z klientem lub w którym przeprowadzono transakcje okazjonalne: 1) kopie dokumentów i informacje uzyskane w wyniku stosowania środków bezpieczeństwa finansowego; 2) dowody potwierdzające przeprowadzone transakcje i ewidencje transakcji, obejmujące oryginalne dokumenty lub kopie dokumentów konieczne do identyfikacji transakcji.

Następnie, na mocy ustawy z dnia 30 marca 2021 r. (Dz. U. z 2021 r., poz. 815) zmieniającej ustawę AML z dniem 31 października 2021 r., ww. art. 49 ustawy AML zmienił swoje brzmienie. Zgodnie z ww. zmianą, która obowiązuje aktualnie, z art. 49 ust. 1 ustawy AML wynika, iż instytucje obowiązane przechowują przez okres 5 lat, licząc od dnia zakończenia stosunków gospodarczych z klientem lub od dnia przeprowadzenia transakcji okazjonalnej: 1) uzyskane w wyniku stosowania środków bezpieczeństwa finansowego kopie dokumentów i informacje, w tym informacje uzyskane za pomocą środków identyfikacji elektronicznej oraz usług zaufania umożliwiających identyfikację elektroniczną w rozumieniu rozporządzenia 910/2014; 2) dowody potwierdzające przeprowadzone transakcje i ewidencje transakcji, obejmujące oryginalne dokumenty lub kopie dokumentów konieczne do identyfikacji transakcji. Organ podał, że jak wynika z uzasadnienia do rządowego projektu ustawy o zmianie ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu oraz niektórych innych ustaw (Druk nr 909),: "z dniem wejścia w życie przepis art. 49 ustawy o p.p.p.f.t. w nowym brzmieniu znajdzie zastosowanie również do dokumentów, których przechowywanie rozpoczęło się przed dniem wejścia w życie niniejszej ustawy."

Biorąc powyższe pod uwagę, organ stwierdził, że okres przechowywania dokumentacji dotyczącej zastosowanych środków bezpieczeństwa przez spółkę w związku z umowami nr [...], nr [...], nr [...] oraz nr [...] upłynął. A zatem wskazany przez spółkę obowiązek przechowywania dokumentacji wymaganej na podstawie ww. przepisów prawa aktualnie już nie istnieje. Zdaniem organu, okres przetwarzania danych należy liczyć dla każdej z ww. umów osobno. Organ nie podzielił tym samym stanowiska spółki, iż termin 5 lat należy liczyć dla całości dokumentacji dotyczącej konkretnego klienta od momentu zakończenia ostatniej relacji dotyczącej tej osoby.

Odnosząc się do przetwarzania przez spółkę danych osobowych uczestnika postępowania w zakresie ww. umów w celu dowodowym (rozumianym jako cel archiwalny) na podstawie art. 6 ust. 1 lit. f) rozporządzenia nr 2016/679 w zw. z art. 118 k.c., organ podkreślił, że zebrany w materiał dowodowy nie wykazał, aby uczestnik postępowania wystąpił z jakimkolwiek roszczeniem wobec spółki dotyczącym ww. umów, które uzasadniałoby uprawnienie spółki do zachowania i przetwarzania jego danych osobowych dla celów dowodowych w związku z dochodzeniem przez uczestnika postępowania tego roszczenia. Spółka nie wskazała także na istnienie roszczeń, których dochodzi od uczestnika postępowania. Organ podkreślił, że przesłanka z art. 6 ust. 1 lit. f) rozporządzenia nr 2016/679 dotyczy sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia, potrzeba dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem. Przyjęcie jako prawidłowe stanowiska, iż przetwarzanie danych osobowych w celu uchylenia się od negatywnych skutków w przypadku zgłoszenia w przyszłości ewentualnego i nieokreślonego roszczenia, stanowi prawnie usprawiedliwiony cel w rozumieniu art. 6 ust. 1 lit. f) rozporządzenia nr 2016/679 oznaczałoby bowiem, że dane osobowe uczestnika postępowania mogą być przetwarzane permanentnie, bez konieczności ich usunięcia. Teoretycznie możliwe jest przecież, by uczestnik postępowania zwrócił się do spółki z roszczeniem po upływie terminu przedawnienia roszczenia.

W ocenie organu, okolicznością usprawiedliwiającą przetwarzanie danych osobowych w celu dochodzenia roszczeń jest sam fakt istnienia roszczenia oraz zamiar jego dochodzenia, nie jest nią natomiast zmiana w uprawnieniach procesowych podmiotu pozwanego.

Na poparcie swojego stanowiska organ powołał orzeczenia sądów administracyjnych.

Odnosząc się z kolei do kwestii przetwarzania danych osobowych uczestnika postępowania w zakresie wniosków o pożyczkę z dnia [...] kwietnia 2019 r. oraz z dnia [...] czerwca 2019 r., organ przywołał odpowiednie przepisy ustawy AML i wskazał, że obowiązek przechowywania danych osobowych związanych z zastosowaniem środków bezpieczeństwa jest powiązany z przeprowadzeniem transakcji. W przypadku ww. wniosków o pożyczkę niezakończonych zawarciem umowy nie doszło ostatecznie do przeprowadzenia transakcji. Nie doszło również do nawiązania stosunków gospodarczych. Zgodnie z art. 35 ust. 1 pkt 1 ustawy AML, instytucje obowiązane, w tym banki, stosują środki bezpieczeństwa finansowego w przypadku nawiązywania stosunków gospodarczych. W przypadku gdy instytucja obowiązana nie może zastosować jednego ze środków bezpieczeństwa finansowego, o których mowa w art. 34 ust. 1: nie nawiązuje stosunków gospodarczych lub rozwiązuje stosunki gospodarcze (art. 41 ust. 1 pkt 1 i pkt 4 ustawy AML). Zgodnie z ustawową definicją stosunków gospodarczych, rozumieć przez nie należy stosunki instytucji obowiązanej z klientem związane z działalnością zawodową instytucji obowiązanej, które w chwili ich nawiązywania wykazują cechę trwałości (art. 2 ust. 2 pkt 20 ustawy AML). W ocenie organu, wnioski o pożyczkę, które spotkały się z decyzją odmowną w zakresie udzielenia pożyczki, nie posiadają cechy trwałości, które w aspekcie powyższych przepisów ustawy AML uzasadniałyby dalsze przetwarzanie powiązanych z nimi danych osobowych.

Zebrany w sprawie materiał dowodowy nie wykazał, aby spółka mogła przetwarzać dane osobowe uczestnika postępowania, dotyczące wniosków o pożyczkę z dnia [...] kwietnia 2019 r. oraz z dnia [...] czerwca 2019 r. na podstawie art. 33-34 oraz art. 49 ust. 1 pkt 1 ustawy AML, gdyż spółka nie wykazała, aby zaszła którakolwiek z przesłanek określonych w ww. przepisach. W szczególności spółka nie wskazała nałożonego na nią obowiązku określonego w przepisach o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu.

Odnosząc się do powołanego przez spółkę celu dowodowego, organ ponownie zauważył, że zebrany w niniejszym postępowaniu materiał dowodowy nie wykazał, aby uczestnik postępowania, w związku z przedmiotowymi wnioskami o pożyczkę, wystąpił z jakimkolwiek roszczeniem wobec spółki, które uzasadniałoby uprawnienie spółki do zachowania i przetwarzania jego danych osobowych dla celów dowodowych w związku z dochodzeniem przez uczestnika postępowania tego roszczenia. Spółka nie wskazała także na istnienie roszczeń, których dochodzi od uczestnika postępowania.

W związku z powyższym organ uznał, że w niniejszej sprawie brak jest prawnie uzasadnionego interesu administratora, uzasadniającego przetwarzanie danych osobowych uczestnika postępowania w oparciu o art. 6 ust. 1 lit. f) rozporządzenia nr 2016/679 w zw. z art. 118 k.c. w celu dochodzenia lub obrony ewentualnych roszczeń w związku z wnioskami o pożyczkę z dnia [...] kwietnia 2019 r. oraz z dnia [...] czerwca 2019 r.

W konsekwencji organ uznał, że w odniesieniu do umów: nr [...], nr [...], nr [...] oraz nr [...] nie istnieje żadna z wyrażonych w art. 6 ust. 1 rozporządzenia nr 2016/679 przesłanek, która stanowiłaby o legalności tych procesów przetwarzania danych w zakresie ww. umów. Dlatego też, korzystając z uprawnienia przewidzianego w art. 58 ust. 2 lit. c) rozporządzenia nr 2016/679, Prezes Urzędu Ochrony Danych Osobowych nakazał spółce usunięcie danych osobowych uczestnika postępowania w zakresie umowy nr [...], umowy nr [...], umowy nr [...] oraz umowy nr [...].

W zakresie umowy nr [...], w ocenie organu, spółka nie ma podstaw, aby przetwarzać dane osobowe uczestnika postępowania w celu obrony przed ewentualnymi roszczeniami na podstawie przesłanki z art. 6 ust. 1 lit. f rozporządzenia nr 2016/679. Upłynęły ponadto terminy wynikające z ustawy AML, bowiem do zakończenia stosunków gospodarczych w zakresie tej umowy doszło w 2018 r. Niemniej kwestionowane przez uczestnika postępowania przetwarzanie przez spółkę jego danych osobowych w zakresie umowy nr 252999200 znajduje obecnie oparcie w innej przesłance legalizującej, tj. w przesłance określonej w art. 6 ust. 1 lit. c) rozporządzenia nr 2016/679, z uwagi na ciążące na spółce obowiązki prawne, do których realizacji niezbędne jest przetwarzanie danych osobowych uczestnika postępowania, wynikające z Ordynacji podatkowej oraz ustawy o rachunkowości, wobec czego brak jest obecnie podstaw do skierowania do spółki nakazu usunięcia danych osobowych uczestnika postępowania w zakresie tejże umowy. Wobec powyższego organ odmówił uwzględnienia wniosku w zakresie umowy nr [...].

W odniesieniu do wniosków o pożyczkę z dnia [...] kwietnia 2019 r. oraz z dnia [...] czerwca 2019 r., zdaniem organu, nie istnieje żadna z wyrażonych w art. 6 ust. 1 rozporządzenia nr 2016/679 przesłanek, która stanowiłaby o legalności tego procesu. Wobec powyższego, na podstawie art. 58 ust. 2 lit. c rozporządzenia nr 2016/679, organ nakazał spółce usunięcie danych osobowych uczestnika postępowania w zakresie ww. wniosków.

Odnosząc się do przetwarzania danych osobowych uczestnika postępowania w celach marketingowych, organ podkreślił, że nie podziela stanowiska spółki, iż wiadomość z dnia 16 stycznia 2023 r., skierowana do uczestnika postępowania, nie miała charakteru marketingowego. Wiadomość ta wskazała bezpośrednio uczestnikowi postępowania na możliwość skorzystania z oferty pożyczki i nakłaniała go, by zalogował się na swoje konto celem akceptacji oferty.

Organ podkreślił, że w przypadku, gdy nie zachodzi istotny i odpowiedni rodzaj powiązania między osobą, której dane dotyczą, a administratorem (np. osoba, której dane dotyczą przestała być klientem administratora lub nigdy nim nie była), administrator nie może przetwarzać danych osobowych ww. osoby w celach marketingowych oparciu o art. 6 ust. 1 lit. f) rozporządzenia nr 2016/679, gdyż nie może być wówczas mowy o prawnie uzasadnionym interesie administratora, nadrzędnym nad interesami lub podstawowymi prawami i wolnościami osoby, której dane dotyczą. W takim przypadku administrator, by przetwarzać dane osobowe w sposób legalny, powinien uzyskać zgodę osoby, której dane dotyczą, na przetwarzanie jej danych osobowych w celach marketingowych. Spółka w toku postępowania administracyjnego nie wykazała posiadania zgody na przetwarzanie danych osobowych uczestnika postępowania na dzień wysłania mu ww. wiadomości marketingowej.

Uczestnik postępowania w dniu 16 stycznia 2023 r. nie był klientem spółki. Tym samym należy uznać, że aby przetwarzać dane w celach marketingowych administrator powinien mieć na to oddzielną zgodę, zgodnie z art. 6 ust. 1 lit. a) rozporządzenia nr 2016/679. W ocenie organu, spółka nie miała zatem podstaw prawnych do przetwarzania danych osobowych uczestnika postępowania na potrzeby marketingu bezpośredniego. W procesie przetwarzania danych osobowych uczestnika postępowania przez spółkę doszło zatem do naruszenia art. 6 ust. 1 rozporządzenia nr 2016/679. Ponadto spółka nie dołożyła należytej staranności w wypełnieniu swoich obowiązków jako administratora, tj. nie wykazała, aby uzyskała zgodę uczestnika postępowania na otrzymywanie materiałów marketingowych drogą elektroniczną. Nie przedłożyła również dowodu na wyrażenie przez uczestnika postępowania zgody na przetwarzanie jego danych osobowych, w tym na przetwarzanie jego adresu poczty elektronicznej w celach marketingu bezpośredniego.

Po stronie uczestnika postępowania nie zachodziły rozsądne przesłanki, by spodziewać się, że jego dane osobowe mogą nadal być przetwarzane przez spółkę w celu marketingu bezpośredniego. Uczestnik postępowania nie był klientem spółki, nie wyraził zgody na przetwarzanie danych w celach marketingowych przez spółkę, ponadto wycofał zgodę na otrzymywanie materiałów marketingowych drogą elektroniczną. W ocenie organu, spółka nie mogła zatem przetwarzać danych osobowych uczestnika postępowania w celach marketingowych w oparciu o art. 6 ust. 1 lit. f rozporządzenia nr 2016/679, nie wykazała ponadto, aby zachodziła jakakolwiek inna przesłanka spośród wymienionych w art. 6 ust. 1 rozporządzenia, która stanowiłaby o legalności tego procesu.

Z tych przyczyn organ uznał, że właściwe jest zastosowanie wobec spółki upomnienia za stwierdzone naruszenie przepisów o ochronie danych osobowych, tj. art. 6 ust. 1 rozporządzenia nr 2016/679, polegające na przetwarzaniu w dniu 16 stycznia

2023 r. danych osobowych uczestnika postępowania w celach marketingowych z wykorzystaniem adresu poczty elektronicznej, bez podstawy prawnej. Brak jest natomiast podstaw do wydania przez Prezesa Urzędu nakazu zaprzestania przez spółkę przetwarzania danych osobowych uczestnika postępowania w celu marketingu bezpośredniego, ponieważ spółka wskazała, że aktualnie nie przetwarza danych osobowych uczestnika postępowania w ww. celu, a tym samym kwestionowany przez uczestnika postępowania proces przetwarzania jego danych osobowych nie jest obecnie kontynuowany.

Odnosząc się do stanowiska spółki, że przedmiotowa wiadomość została wysłana w wyniku błędu organ wyjaśnił, że spółka, jako administrator danych, ponosi odpowiedzialność za wdrożenie odpowiednich środków z uwagi na konieczność zapewnienia skutecznej realizacji praw osób, których dane dotyczą. Tym samym spółka ponosi odpowiedzialność za niezgodne z prawem przetwarzanie danych osobowych uczestnika postępowania na potrzeby marketingu bezpośredniego, ponieważ to na niej ciąży obowiązek zorganizowania procesu przetwarzania danych w taki sposób, aby był on zgodny z prawem, m.in. poprzez wdrożenie odpowiednich środków technicznych i organizacyjnych, co w przedmiotowej sprawie powinno skutkować prawidłowym odnotowaniem wycofania zgód uczestnika postępowania i zaprzestaniem przetwarzania jego danych osobowych oraz brakiem wysyłki na jego adres poczty elektronicznej wiadomości e-mail z dnia 16 stycznia 2023 r.

P. S.A. wniósł do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na powyższą decyzję, zaskarżając ją w całości. Spółka zarzuciła zaskarżonej decyzji naruszenie prawa materialnego, tj.:

1. art. 6 ust. 1 lit. f) rozporządzenia nr 2016/679 w zw. z art. 117 § 2, art. 118 i art. 119 k.c., poprzez ich niewłaściwe zastosowanie, polegające na przyjęciu, że spółka nie legitymuje się przesłanką przetwarzania danych osobowych - w zakresie umów nr: [...], [...], [...], [...],[...] oraz w zakresie wniosków o pożyczkę z dnia: [...].04.2019 r. i [...].06.2019 r. - wynikającą z wymienionych przepisów, podczas gdy przetwarzanie tych danych wynika z prawnie uzasadnionych interesów spółki i jest niezbędne do obrony przed ewentualnymi roszczeniami;

2. art. 6 ust. 1 lit. f) rozporządzenia nr 2016/679 w zw. z art. 33 ust. 2, art. 33 ust. 3, art. 34 ust. 1 pkt 4, art. 36 oraz art. 49 ustawy AML, poprzez ich niewłaściwe zastosowanie, polegające na przyjęciu, że spółka nie legitymuje się przesłanką przetwarzania danych osobowych - w zakresie wniosków o pożyczkę z dnia [...].04.2019 r. i [...].06.2019 r. - wynikającą z wymienionych przepisów, podczas gdy przetwarzanie tych danych wynika z obowiązków zawartych w ustawie AML;

3. art. 58 ust. 2 lit. b) w związku z art. 6 ust. 1 rozporządzenia nr 2016/679, poprzez ich niewłaściwe zastosowanie, polegające na przyjęciu, że spółka przetwarza dane klienta bez podstawy prawnej i udzielenia spółce upomnienia z tego tytułu, podczas gdy prawidłowa interpretacja wskazanych w poprzednich punktach petitum przepisów prowadzi do wniosku, że przetwarzanie tych danych wynika z prawnie uzasadnionych interesów spółki.

Skarżąca postawiła także zarzut naruszenia przepisów postępowania, które miało istotny wpływ na wynik sprawy, tj. art. 7 w zw. z art. 77 § 1, art. 80 i art. 107 § 3 k.p.a., polegające na niewyczerpującym zebraniu i rozpatrzeniu całego materiału dowodowego przez organ oraz niepodjęciu wszelkich kroków niezbędnych do dokładnego wyjaśnienia stanu faktycznego odnoszącego się do ustalenia charakteru korespondencji elektronicznej skierowanej do klienta w dnia 16 stycznia 2023 r. i, tym samym, uzasadnieniu swojego rozstrzygnięcia w sposób uniemożliwiający poznanie przyczyn uznania tej korespondencji za mającą charakter marketingowy.

Skarżąca wniosła o uchylenie zaskarżonej decyzji w całości i przekazanie sprawy organowi do ponownego rozpatrzenia oraz o zasądzenie kosztów postępowania.

W uzasadnieniu skargi skarżąca podniosła, że z art. 6 ust. 1 lit. f) rozporządzenia nr 2016/679 wynika pośrednio, że ustalenie dochodzenie lub obrona roszczeń może stanowić prawnie uzasadniony interes administratora danych, który przeważa nad interesem jednostki. Skarżąca podkreśliła, że obrona przed ewentualnymi roszczeniami z reguły zaś jest skierowana "na przyszłość", tj. po to by bronić się przed roszczeniami, które często są zgłaszane po spłaceniu umowy, chociażby w przypadku często występującego obecnie w obrocie prawnym skupowania wierzytelności przez podmioty wyspecjalizowane i dochodzeniu roszczeń z tytułu sankcji kredytu darmowego.

Zdaniem skarżącej, w niniejszej sprawie już sam fakt złożenia skargi przez klienta do UODO może uprawdopodabniać, że wystąpi on z innymi roszczeniami wobec spółki. Ponadto klient, już w reklamacji dotyczącej omyłkowo wysłanej do niego korespondencji elektronicznej z dnia 16 stycznia 2023 r. sygnalizował chęć domagania się zadośćuczynienia. Relacja łącząca klienta z administratorem danych w tej sprawie jest więc relacją zawierającą w sobie prawnie dopuszczalne roszczenie, które może być dochodzone na drodze sądowej. Nakazanie usunięcia przez spółkę danych osobowych klienta spowoduje zaś niemożność odniesienia się do okoliczności faktycznych dotyczących zgłoszonych roszczeń, niemożność porównania przedstawionych przez klienta informacji ze swoimi informacjami w sprawie, a także niemożność ewentualnego zaspokojenia roszczeń klienta oraz obrony przed nimi na drodze sądowej.

Niezależnie od powyższego, spółka wskazała, że dane osobowe przechowuje w celach dowodowych także na okoliczność prawidłowo przeprowadzonego procesu wnioskowania o pożyczkę oraz oceny zdolności kredytowej, w tym udzielonych przez klienta zgód. Wystąpienie do biura informacji gospodarczej bez upoważnienia osoby, której informacje dotyczą, zagrożone jest bowiem grzywną 30.000 zł - zgodnie z art. 50 ustawy z dnia 9 kwietnia 2010 r. o udostępnianiu informacji gospodarczych i wymianie danych gospodarczych (Dz. U. z 2023 r., poz. 2160). Organ pominął jednak w uzasadnieniu wydanej w niniejszej sprawie decyzji przepisy powołanej ustawy dotyczące obowiązku posiadania upoważnienia konsumenta do ujawnienia informacji o jego zobowiązaniach oraz kary za wystąpienie do biura informacji gospodarczej bez takowego upoważnienia.

Spółka podniosła następnie, że z przepisów ustawy – Prawo bankowe oraz ustawy AML niewątpliwie wynika uprawnienie spółki do monitorowania stosunków gospodarczych klienta i stosowania odpowiednich środków bezpieczeństwa finansowego przez spółkę, z którą klient zawierał poszczególne umowy. I aby to monitorowanie było w pełni skuteczne - spełniło istotny cel, jakim jest bezpieczeństwo finansowe - wskazany w art. 49 ustawy AML termin 5 lat należy liczyć dla całości dokumentacji dotyczącej konkretnego klienta od momentu zakończenia ostatniej relacji z tym klientem. Jak bowiem wskazuje się w literaturze przedmiotu, wskazany przez ustawodawcę okres retencji to 5 lat, licząc od dnia zakończenia stosunków gospodarczych z klientem lub od dnia przeprowadzenia transakcji okazjonalnej. W praktyce zatem w przypadku stosunków o charakterze trwałym okres przechowywania niektórych dokumentów i informacji może wynosić kilkanaście lub nawet kilkadziesiąt lat.

Skarżąca spółka nie podzieliła zatem stanowiska organu, że wynikający z powyższych przepisów okres przetwarzania danych należy liczyć dla każdej z umów osobno. Takie rozumowanie wynika nie tylko z błędnej wykładni art. 6 ust. 1 lit. f) rozporządzenia nr 2016/679 w powiązaniu z przepisami ustawy AML, ale też z niezrozumienia, w jaki sposób owe dane przetwarza się w systemach elektronicznych - są one łączone w wielu tabelach, aktualizowane i nadpisywane, są też notatki i historia kontaktów z klientem, historia spłat, rozliczenia bankowe w systemach księgowych, które również dotyczą konkretnej umowy. Wręcz nierealnym jest w dużym przedsiębiorstwie udzielającym pożyczek, aby takie dane weryfikować w odniesieniu do konkretnej umowy (a nie w odniesieniu do konkretnego klienta) i usuwać je niejako "ręcznie".

Dlatego też prawidłowa wykładnia przepisów art. 6 ust. 1 lit. f) rozporządzenia nr 2016/679 w związku z art. 33 ust. 2 i 3, art. 34 ust. 1 pkt 4, art. 36 oraz art. 49 ustawy AML - przy zrozumieniu istoty stosunków gospodarczych i istoty przetwarzania danych w systemie elektronicznym - prowadzi do uznania, że przetwarzanie danych osobowych klienta przez spółkę w niniejszej sprawie wynika z obowiązków zawartych w ustawie AML i wskazany w art. 49 ustawy AML termin 5 lat należy liczyć w odniesieniu do dokumentacji dotyczącej konkretnego klienta od momentu zakończenia z nim ostatniej relacji.

Uzasadniając postawiony w skardze zarzut naruszenia przepisów postępowania spółka podniosła, że jej zdaniem organ nie wyjaśnił w ogóle, dlaczego - pomimo przyznania w toku postępowania przez spółkę, że doszło do omyłkowego przesłania korespondencji klientowi - odrzucił ten dowód w postępowaniu. Spółka podnosiła, iż w dniu 16 stycznia 2023 r. wysłała na e-mail klienta wiadomość spowodowaną błędem technicznym w wewnętrznym systemie informatycznym spółki. Spółka zauważyła wystąpienie błędu technicznego w tym samym dniu i natychmiast podjęła działania naprawcze. Poinformowała również e-mailem - w dniu 18 stycznia 2023 r. - klienta o błędnie wysłanej wiadomości, przesyłając prośbę o zignorowanie poprzedniej wiadomości.

W odpowiedzi na skargę organ wniósł o jej oddalenie, odnosząc się szczegółowo do postawionych w skardze zarzutów i uznając je za bezzasadne.

Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje:

Skarga zasługuje na uwzględnienie w zakresie dotyczącym pkt 1 i 2 zaskarżonej decyzji, tj. nakazu usunięcia danych osobowych uczestnika postępowania dotyczących wymienionych w decyzji umów oraz wniosków kredytowych. W pozostałej części, tj. dotyczącej pkt 3 i 4 zaskarżonej decyzji, a więc w zakresie udzielenia skarżącej upomnienia oraz odmowy uwzględnienia wniosku D. C. w pozostałym zakresie, skarga okazała się niezasadna.

Odnosząc się w pierwszej kolejności do nakazu usunięcia danych osobowych zawartego w pkt 1 i 2 zaskarżonej decyzji, należy zwrócić uwagę, że skarżąca jako podstawę przetwarzania danych osobowych uczestnika postępowania w tym zakresie powoływała się po pierwsze na przepisy ustawy AML, w szczególności art. 49 ust. 1 tej ustawy (art. 6 ust. 1 lit. c rozporządzenia nr 2016/679 w zw. z art. 33 i art. 34 ustawy AML), a ponadto na konieczność obrony przed ewentualnymi roszczeniami (art. 6 ust. 1 lit. f rozporządzenia nr 2016/679 w związku z art. 118 Kodeksu cywilnego).

Co do pierwszej ze wskazanych wyżej podstaw, należy zwrócić uwagę, że zgodnie z treścią art. 49 ust. 1 ustawy AML, instytucje obowiązane przechowują przez okres 5 lat, licząc od pierwszego dnia roku następującego po roku, w którym zakończono stosunki gospodarcze z klientem lub w którym przeprowadzono transakcje okazjonalne: 1) kopie dokumentów i informacje uzyskane w wyniku stosowania środków bezpieczeństwa finansowego; 2) dowody potwierdzające przeprowadzone transakcje i ewidencje transakcji, obejmujące oryginalne dokumenty lub kopie dokumentów konieczne do identyfikacji transakcji.

Ustawa zawiera w art. 2 ust. 2 legalną definicję stosunków gospodarczych (pkt 20) oraz transakcji okazjonalnej (pkt 22). W myśl tych przepisów stosunkami gospodarczymi są stosunki instytucji obowiązanej (którą niespornie stanowi również skarżąca) z klientem związane z działalnością zawodową instytucji obowiązanej, które w chwili ich nawiązywania wykazują cechę trwałości. Z kolei transakcją okazjonalną jest transakcja, która nie jest przeprowadzana w ramach stosunków gospodarczych. W świetle powyższego jako wyróżnik stosunków gospodarczych w rozumieniu ustawy AML należy uznać występowanie cechy trwałości. Jak podkreśla się w doktrynie, tego rodzaju cechę trwałości posiadać będą wszelkie umowy, których istota polega na obowiązywaniu przez określony czas (np. umowa prowadzenia rachunku bankowego lub umowa pożyczki), w odróżnieniu od umów jednorazowych, takich jak np. konkretna umowa sprzedaży. Jak podnosi K. Dygaszewicz, "cecha trwałości jest kryterium niedookreślonym, ale potwierdzeniem trwałego charakteru może być zawarcie umowy regulującej świadczenie usług danemu klientowi. Także pojedyncza transakcja zrealizowana przy wykorzystaniu przykładowo rachunku prowadzonego przez instytucję obowiązaną nie będzie nosiła znamion transakcji okazjonalnej, ale będzie to transakcja wykonana w ramach stosunków gospodarczych." (K. Dygaszewicz [w:] Komentarz do ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu [w:] Prawo obrotu pieniężnego. Komentarz, red. P. Zapadka, Warszawa 2023, art. 2).

W ocenie Sądu, nie budzi zatem wątpliwości, że zawarcie przez uczestnika postępowania ze skarżącą pierwszej umowy pożyczki stanowiło o rozpoczęciu pomiędzy tymi stronami stosunków gospodarczych. Nie można przy tym zgodzić się z organem, że owe stosunki gospodarcze ustają dla każdej z zawartych umów oddzielnie. Przyjęcie takiego rozumienia ww. przepisów oznaczałoby wypaczenie istoty ustawowych rozwiązań, które służyć mają zapewnieniu archiwizacji dokumentów w celu wykrycia procederu prania pieniędzy lub wspierania terroryzmu. Zjawiska te mają bowiem niejednokrotnie charakter długotrwały (wieloletni), a rozbicie transakcji z klientem na wiele umów, dla których czas archiwizacji dokumentów byłby liczony osobno, mogłoby przyczynić się do utrudnienia wykrycia niezgodnej z prawem aktywności uczestników stosunków gospodarczych.

Jak podkreśla się w doktrynie, wskazany w art. 49 ust. 1 ustawy AML pięcioletni okres retencji należy rozumieć tak, że "mowa jest w nim o dniu zakończenia ostatnich stosunków gospodarczych pomiędzy klientem a instytucją obowiązaną. A zatem, jeśli klient posiadał rachunek bankowy w okresie 2019–2022, a jednocześnie zawarł umowy pożyczki gotówkowej w okresie 2019–2020, to dokumenty związane z oboma produktami będą przechowywane przez okres 5 lat od dnia, w którym uległo rozwiązanie tej z dwóch wskazanych relacji z instytucją, która trwała najdłużej (w tym przykładzie – rachunku bankowego). Co za tym idzie, dokumenty relacji zakończonej w trakcie trwania innej relacji podlegają okresowi retencji właściwemu dla relacji trwająca, czyli mogą być przechowywane dłużej niż 5 lat." (R. Obczyński [w:] Przeciwdziałanie praniu pieniędzy oraz finansowaniu terroryzmu. Komentarz, red. M. Nowakowski, Warszawa 2023, art. 49).

To stanowisko, Sąd w składzie rozpoznającym niniejszą sprawę w całości podziela. Organ nieprawidłowo zatem stwierdził w uzasadnieniu zaskarżonej decyzji, że wskazany w art. 49 ust. 1 ustawy AML termin 5 lat należy liczyć dla każdej umowy oddzielnie, podczas gdy powinien uwzględnić, że stosunki gospodarcze z uczestnikiem postępowania zakończyły się po ostatecznym rozliczeniu ostatniej umowy pożyczki, tj. w dniu 23 października 2018 r.

Nie można przy tym zgodzić się ze skarżącą, że stosunki gospodarcze z klientem definitywnie zakończyły się wraz z odmową udzielenia przez skarżącą pożyczki z dnia 14 czerwca 2019 r. Wnioski kredytowe, które nie doprowadziły do zawarcia umowy pożyczki nie prowadzą bowiem do wydłużenia (lub odnowienia) trwania stosunków gospodarczych z klientem, skoro zostały już one uprzednio zakończone, a na dzień składania wniosku o pożyczkę stron nie łączyła żadna umowa, tak jak miało to miejsce w niniejszej sprawie.

Podsumowując tę część rozważań, należy wskazać, że organ nieprawidłowo przyjął, iż termin wskazany w art. 49 ust. 1 ustawy AML należy liczyć osobno dla każdej umowy łączącej strony, lecz w związku z tym, że stosunki gospodarcze skarżącej z uczestnikiem postępowania ustały w dniu 23 października 2018 r., a więc ponad 5 lat przed wydaniem zaskarżonej decyzji, dokonana przez organ błędna wykładnia ww. przepisu nie miała wpływu na wynik sprawy.

Zdaniem Sądu, należało jednak uchylić zarówno pkt 1, jak i pkt 2 zaskarżonej decyzji, bowiem organ niedostatecznie wnikliwie w uzasadnieniu zaskarżonej decyzji rozważył powoływana przez skarżącą podstawę do przetwarzania danych osobowych uczestnika postępowania związaną z koniecznością obrony przed ewentualnymi roszczeniami. W kwestii przetwarzania danych osobowych przez administratora danych na podstawie art. 6 ust. 1 lit. f) rozporządzenia nr 2016/679 w celu zabezpieczenia uzasadnionych interesów administratora na wypadek ewentualnego sporu sądowego w okresie do upływu terminu przedawnienia roszczeń, wypowiedział się Naczelny Sąd Administracyjny w wyroku z dnia 20 lutego 2024 r. sygn. akt III OSK 2700/22 (wszystkie powoływane orzeczenia są dostępne w internetowej bazie orzeczeń sądów administracyjnych). Wprawdzie w sprawie, której dotyczył wspomniany wyrok, podstawę przetwarzania danych osobowych, o której mowa w art. 6 ust. 1 lit. f) rozporządzenia nr 2016/679, administrator wywodził z przepisów Kodeksu pracy, to w ocenie Sądu rozważania natury ogólnej dokonane przez Naczelny Sąd Administracyjny w tym wyroku, dotyczące wykładni art. 6 ust. 1 lit. f) rozporządzenia nr 2016/679 w kontekście przetwarzania danych osobowych w celu obrony administratora danych przed ewentualnymi roszczeniami, zachowują swoją aktualność w realiach niniejszej sprawy.

Należy zwrócić uwagę, że zgodnie z art. 6 ust. 1 lit. f) rozporządzenia nr 2016/679, przetwarzanie jest zgodne z prawem, gdy jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem.

Zastosowanie tego przepisu jest zatem uzasadnione, gdy łącznie spełnione są następujące przesłanki: 1) po stronie administratora istnieją cele, dla osiągnięcia których przetwarzanie danych osobowych jest niezbędne; 2) cele te wynikają z "prawnie uzasadnionych interesów" realizowanych przez administratora; 3) "prawnie uzasadnione interesy" realizowane przez administratora mają charakter nadrzędny wobec interesów lub podstawowych praw i wolności osoby, której dotyczą przetwarzane dane.

Naczelny Sąd Administracyjny w powołanym wyroku podkreślił, że poprzez cel, dla osiągnięcia którego przetwarzanie danych osobowych jest niezbędne, należy rozumieć stan rzeczy, układ rzeczywistości, do którego dąży administrator poprzez to przetwarzanie. "Niezbędność" przetwarzania danych osobowych do osiągnięcia obranego przez administratora celu sprowadza się do ustalenia, że bez tego przetwarzania nie da się go zrealizować. Chodzi więc o wykazanie logicznie uzasadnionego i weryfikowalnego związku przyczynowo-skutkowego pomiędzy przetwarzaniem danych osobowych a realizacją stanu rzeczy, do którego dąży administrator. Ustalenie "niezbędności" przetwarzania danych osobowych dla celów administratora musi opierać się na przesłankach konkretnych, uwzględniających możliwie najszersze spektrum uwarunkowań jego realizacji. Przetwarzanie danych osobowych na podstawie art. 6 ust. 1 lit. f rozporządzenia nr 2016/679 wymaga od administratora wykazania, że jest to konieczne z uwagi na charakter celu, okoliczności faktyczne i prawne jego realizacji oraz relacje podmiotowe pomiędzy administratorem a osobą, której te dane dotyczą. Z kolei prawnie uzasadniony interes administratora należy rozumieć jako interes prawnie dopuszczony, niesprzeczny z porządkiem prawnym.

NSA podkreślił, że do prawnie uzasadnionych interesów administratora danych osobowych prawodawca unijny odwołał się w motywie 47 preambuły rozporządzenia nr 2016/679, w którym stwierdził, że "taki prawnie uzasadniony interes może istnieć na przykład w przypadkach, gdy zachodzi istotny i odpowiedni rodzaj powiązania między osobą, której dane dotyczą, a administratorem, na przykład gdy osoba, której dane dotyczą, jest klientem administratora lub działa na jego rzecz. Aby stwierdzić istnienie prawnie uzasadnionego interesu, należałoby w każdym przypadku przeprowadzić dokładną ocenę, w tym ocenę tego, czy w czasie i w kontekście, w którym zbierane są dane osobowe, osoba, której dane dotyczą, ma rozsądne przesłanki by spodziewać się, że może nastąpić przetwarzanie danych w tym celu." Treść motywu 47 preambuły rozporządzenia nr 2016/679 nie wskazuje więc konkretnie, matrycowo, jakie warunki powinny zostać spełnione, aby można było stwierdzić, że administrator przetwarza dane osobowe zgodnie ze swoimi prawnie uzasadnionymi interesami. Podano jedynie przykładowo, iż może chodzić o szczególnego rodzaju relację pomiędzy administratorem a osobą, której dane są przetwarzane. W każdym, konkretnym układzie należy rozstrzygnąć, czy treść i charakter tej relacji w sposób rozsądny uzasadnia takie przetwarzanie w określonym zakresie i czasie.

W motywie 47 rozporządzenia nr 2016/679 w ogóle nie powiązano "prawnie uzasadnionych interesów" administratora z porządkiem prawnym. Akcent położony został natomiast na charakter relacji łączącej administratora z osobą, której dane są przetwarzane, jej kontekstowość oraz wynikającą z jej indywidualnych uwarunkowań racjonalnie uzasadnioną potrzebę tego przetwarzania. Motyw 47 preambuły rozporządzenia nr 2016/679 w kontekście rekonstrukcji zakresu stosowania art. 6 ust. 1 lit. f) rozporządzenia przesądza, że dopuszczalność przetwarzania danych osobowych na tej podstawie powinna być oceniana kauzalnie, z uwzględnieniem, że zasadnicze znaczenie w tym przedmiocie, powinny mieć uwarunkowania konkretnej relacji pomiędzy administratorem, a osobą której dotyczą przetwarzane dane. Porządek prawny - w tej przestrzeni formułowania ocen - należy traktować jako granicę dopuszczalności prawnie uzasadnionego interesu administratora, na którym opiera przetwarzanie danych osobowych. Porządek prawny może więc być przeszkodą do przetwarzania danych osobowych na podstawie art. 6 ust. 1 lit. f) rozporządzenia nr 2016/679, jeżeli interesu administratora nie da się z nim pogodzić - interes administratora będzie sprzeczny z porządkiem prawnym, a więc nie będzie prawnie uzasadniony. Porządek prawny nie stanowi ścisłej podstawy uzasadnionego interesu administratora do przetwarzania danych osobowych na podstawie art. 6 ust. 1 lit. f) rozporządzenia nr 2016/679, wyznacza natomiast granicę tego przetwarzania.

Naczelny Sąd Administracyjny podkreślił, że kwantyfikatorem rozstrzygającym o dopuszczalności przetwarzania danych osobowych na podstawie art. 6 ust. 1 lit. f) rozporządzenia nr 2016/679 jest charakter relacji istniejącej pomiędzy administratorem danych osobowych, a osobą, której dane podlegają przetwarzaniu. Jeżeli z charakteru tej relacji da się racjonalnie wywieść, że przetwarzanie danych osobowych jest niezbędne do zrealizowania przez administratora celu wynikającego z tej relacji i jest to cel przez prawo dopuszczony, to zastosowanie art. 6 ust. 1 lit. f) rozporządzenia nr 2016/679 będzie uzasadnione, chyba że interesy lub podstawowe prawa i wolności osoby, której przetwarzane dane dotyczą będą nadrzędne wobec interesu administratora.

Odnosząc się do kwestii relacji łączącej administratora danych oraz osobę, której dane dotyczą, w powoływanym wyroku Naczelny Sąd Administracyjny zwrócił uwagę na brzmienie motywu 50 oraz art. 6 ust. 4 rozporządzenia nr 2016/679, który określa, kiedy istnieje możliwość zmiany celu przewarzania danych osobowych względem celu, w którym zostały pierwotnie zebrane.

Zgodnie z motywem 50 rozporządzenia nr 2016/679 przetwarzanie danych osobowych do celów innych niż cele, w których dane te zostały pierwotnie zebrane, jest dozwolone wyłącznie w przypadkach, gdy jest zgodne z celami, w których dane osobowe zostały pierwotnie zebrane. Ustalenie, czy pomiędzy pierwotnym celem przetwarzania, a wtórnym celem przetwarzania zachodzi zgodność, wymaga uwzględnienia między innymi: wszelkich powiązań pomiędzy tymi celami; kontekstu, w którym dane osobowe zostały zebrane, obejmującego w szczególności rozsądne przesłanki pozwalające osobom, których dane dotyczą, oczekiwać dalszego wykorzystania danych, oparte na rodzaju ich powiązania z administratorem; charakteru danych osobowych; konsekwencji zamierzonego dalszego przetwarzania dla osób, których dane dotyczą; oraz istnienia odpowiednich zabezpieczeń zarówno podczas pierwotnej, jak i zamierzonej operacji dalszego przetwarzania.

Z kolei art. 6 ust. 4 rozporządzenia nr 2016/679 stanowi, że w przypadku, gdy przetwarzanie w celu innym niż cel, w którym dane osobowe zostały zebrane, nie odbywa się na podstawie zgody osoby, której dane dotyczą, ani prawa Unii lub prawa państwa członkowskiego stanowiących w demokratycznym społeczeństwie niezbędny i proporcjonalny środek służący zagwarantowaniu celów, o których mowa w art. 23 ust. 1, administrator - aby ustalić, czy przetwarzanie w innym celu jest zgodne z celem, w którym dane osobowe zostały pierwotnie zebrane - bierze pod uwagę między innymi: a) wszelkie związki między celami, w których zebrano dane osobowe, a celami zamierzonego dalszego przetwarzania; b) kontekst, w którym zebrano dane osobowe, w szczególności relację między osobami, których dane dotyczą, a administratorem; c) charakter danych osobowych, w szczególności czy przetwarzane są szczególne kategorie danych osobowych zgodnie z art. 9 lub dane osobowe dotyczące wyroków skazujących i czynów zabronionych zgodnie z art. 10; d) ewentualne konsekwencje zamierzonego dalszego przetwarzania dla osób, których dane dotyczą; e) istnienie odpowiednich zabezpieczeń, w tym ewentualnie szyfrowania lub pseudonimizacji.

Uwzględniając powyższe Naczelny Sąd Administracyjny wskazał na potrzebę dokonywania przez organ każdorazowej oceny charakteru relacji łączącej administratora danych oraz osobę, której dane dotyczą, w kontekście możliwości dalszego przetwarzania pozyskanych danych celem zabezpieczenia uzasadnionych prawnych interesów administratora oraz tej osoby na wypadek ewentualnego sporu sądowego. NSA podkreślił jednocześnie, że nie podziela stanowiska (które zostało również wyrażone przez organ w uzasadnieniu zaskarżonej decyzji w niniejszej sprawie), że dane osobowe nie mogą być przetwarzane "na zapas", "na przyszłość". Rozważanie zakresu stosowania art. 6 ust. 1 lit. f) rozporządzenia nr 2016/679 w przyjętym kontekście jest nieuzasadnione treścią tego przepisu i choć bywa wyrażane w orzecznictwie, nie może być ocenione jako precyzyjne i tym samym prawidłowe. Wyłączenie stosowania art. 6 ust. 1 lit. f) rozporządzenia nr 2016/679, gdy administrator przetwarza dane osobowe na wypadek ewentualnego sporu sądowego, wyłącznie z uwagi na jego potencjalność jest nieuzasadnione. Taka interpretacja ww. przepisu byłaby zbyt formalistyczna i nieznajdująca potwierdzenia w przyjętym sposobie jego rozumienia. Przetwarzanie danych osobowych na podstawie art. 6 ust. 1 lit. f) rozporządzenia nr 2016/679 powinno być bowiem niezbędne dla realizacji celu wynikającego z prawnie uzasadnionych interesów administratora, a te należy ustalać z uwzględnieniem charakteru i kontekstu relacji łączącej administratora z osobą, której dane osobowe są przetwarzane. Jeżeli łącząca te dwa podmioty relacja zawiera w sobie prawnie dopuszczalne roszczenie, które może być dochodzone na drodze sądowej, to nie można z góry wyłączyć dopuszczalności przetwarzania danych osobowych na podstawie art. 6 ust. 1 lit. f) rozporządzenia nr 2016/679, wyłącznie z uwagi na potencjalność realizacji tego roszczenia. Należy zauważyć, że relacja łącząca administratora z osobą, której dane za jej zgodą są przetwarzane może ulec zmianie, przekształceniu, wygaśnięciu, co może się wiązać z powstaniem innej, (nowej) relacji, w ramach której uprzednio wyrażona zgoda na przetwarzanie nie będzie już adekwatna. Istotą tej "nowej" relacji może być potencjalny i zarazem prawnie dopuszczalny spór sądowy wynikający z niewłaściwej realizacji praw i obowiązków będących przedmiotem relacji "starej". Nie można w takim układzie wykluczyć, że przetwarzanie danych osobowych przez administratora do czasu wystąpienia przez którąkolwiek ze stron z roszczeniem na drogę sądową, lub do czasu przedawnienia tego roszczenia, będzie zgodne z art. 6 ust. 1 lit. f) rozporządzenia nr 2016/679. Celem administratora wynikającym z jego prawnie uzasadnionych interesów będzie zabezpieczenie się na wypadek konieczności wejścia w spór sądowy.

W ocenie NSA, kwestia ta wymaga sformułowania ocen prawnych z uwzględnieniem uwarunkowań cechujących konkretną relację łączącą administratora i osobę, której dane dotyczą. Podobnie wypowiedział się również Naczelny Sąd Administracyjny w wyroku z dnia 5 lutego 2025 r. sygn. akt III OSK 6553/21, a stanowisko to Sąd w składzie rozpoznającym niniejszą sprawę w całości podziela.

Przenosząc powyższe rozważania na grunt rozpoznawanej sprawy, należy stwierdzić, że przetwarzanie danych osobowych na podstawie art. 6 ust. 1 lit. f) rozporządzenia nr 2016/679 powinno być niezbędne dla realizacji celu wynikającego z prawnie uzasadnionych interesów administratora, a te należy ustalać z uwzględnieniem charakter i kontekstu relacji łączącej administratora z osobą, której dane osobowe są przetwarzane. Jeżeli łącząca te dwa podmioty relacja zawiera w sobie prawnie dopuszczalne roszczenie, które może być dochodzone na drodze sądowej, to nie można z góry wyłączyć dopuszczalności przetwarzania danych osobowych na podstawie art. 6 ust. 1 lit. f) rozporządzenia nr 2016/679, wyłącznie z uwagi na potencjalność realizacji tego roszczenia. Jeśli zaś układ okoliczności faktycznych wskazuje na brak roszczeń stron względem siebie, to należy przyjąć, iż nie dojdzie do nawiązania "nowej relacji" między nimi (np. postępowania sądowego) i nie jest w takiej sytuacji dopuszczalne dalsze przetwarzanie danych osobowych na tej podstawie.

W niniejszej sprawie organ nie dokonał tego rodzaju szczegółowych ustaleń, poprzestając na stwierdzeniu, że z akt administracyjnych nie wynika, by strony występowały wobec siebie z roszczeniami oraz, że niedopuszczalne jest przetwarzanie danych osobowych niejako "na zapas" w celu obrony przed ewentualnymi roszczeniami. Organ nie ocenił, czy w okolicznościach faktycznych niniejszej sprawy skarżąca ma podstawę przetwarzania danych osobowych uczestnika postępowania w art. 6 ust. 1 lit. f) rozporządzenia nr 2016/679, wynikającą z zabezpieczenia się przed potencjalnymi roszczeniami. Organ nie dokonał oceny, czy sytuacja, w jakiej znalazła się skarżąca w związku z wcześniejszym zawarciem umów pożyczki z uczestnikiem postępowania oraz z negatywnym rozpatrzeniem jego wniosków o pożyczki, może skutkować roszczeniami, czy też w sytuacji faktycznej zaistniałej w tej sprawie, nie ma mowy o istnieniu nawet potencjalnych roszczeń. Organ nie uwzględnił również treści art. 50 ustawy z dnia 9 kwietnia 2010 r. o udostępnianiu informacji gospodarczych i wymianie danych gospodarczych, zgodnie z którym, kto występuje do biura o ujawnienie informacji gospodarczych bez upoważnienia osoby, której informacje dotyczą, jeżeli takie upoważnienie jest wymagane przepisami ustawy, podlega grzywnie do 30.000 złotych. Organ nie wskazał, jakiego rodzaju roszczenia przysługują stronom w związku z zawartymi umowami pożyczki i kiedy roszczenia te ulegają przedawnieniu. Nie odniósł się również do treści pisma uczestnika postępowania z dnia 8 lutego 2023 r. (k. 31 akt administracyjnych) skierowanego do skarżącej, w którym zażądał on od skarżącej rekompensaty za swój "wysiłek" w związku z nieprawidłowym przetwarzaniem jego danych osobowych, Dopiero taka pogłębiona analiza sytuacji prawnej skarżącej mogłaby ewentualnie uzasadniać twierdzenia, że brak jest podstawy prawnej wskazanej w art. 6 ust. 1 lit. f) rozporządzenia nr 2016/679 do przetwarzania danych osobowych uczestnika postępowania. W zaskarżonej decyzji brak jest stanowiska i rozważań organu w tym zakresie, co stanowi o jej wadliwości skutkującej jej uchyleniem w części stanowiącej pkt 1 i 2 rozstrzygnięcia organu.

Przechodząc do oceny zaskarżonej decyzji, w zakresie pkt 3, tj. udzielenia upomnienia skarżącej spółce, należy w pierwszej kolejności zwrócić uwagę, że organ udzielił skarżącej upomnienia jedynie za naruszenie przepisów o ochronie danych osobowych polegające na przetwarzaniu danych osobowych uczestnika postępowania w dniu 16 stycznia 2023 r. w celach marketingowych z wykorzystaniem adresu poczty elektronicznej, bez podstawy prawnej.

Rozważania organu dotyczące istnienia podstawy do dalszego przetwarzania danych osobowych w związku z umowami pożyczki oraz wnioskami o pożyczkę, których dotyczył pkt 1 i 2 zaskarżonej decyzji, nie miały zatem związku z rozstrzygnięciem zawartym w pkt 3, które dotyczyło wyłącznie zdarzenia polegającego na przesłaniu uczestnikowi postępowania przez skarżącą korespondencji o charakterze marketingowym

W tym zakresie Sąd podziela stanowisko organu, że otrzymane przez skarżącego za pośrednictwem poczty elektronicznej pismo z dnia 16 stycznia 2023 r. (k. 30 akt administracyjnych) miało charakter marketingowy.

Jak podkreśla się w orzecznictwie sądów administracyjnych charakter marketingowy danej informacji oznacza, że jej celem jest zaprezentowanie zainteresowanemu określonych produktów handlowych, podkreślenie ich rynkowej atrakcyjności i w konsekwencji nakłonienie adresata do skorzystania z oferty (por. wyrok Naczelnego Sądu Administracyjnego z dnia 24 stycznia 2018 r. sygn. akt I OSK 177/16).

W analizowanym piśmie istotnie nie wskazano skarżącemu konkretnej oferty (poprzez sprecyzowanie kwoty ewentualnej pożyczki, rzeczywistej stopy oprocentowania oraz daty, do której oferta jest ważna), jednak niezależnie od powyższego treść pisma stanowi niewątpliwie zachętę do skorzystania z usług skarżącej spółki i zawarcia umowy pożyczki (wprawdzie bliżej niesprecyzowanej). Innymi słowy uczestnik postępowania uzyskał informację, której celem było nakłonienie go do skorzystania z usług skarżącej.

Nie jest sporne w tej sprawie, że uczestnik postępowania wycofał zgodę na otrzymywanie informacji w celach marketingowych, a pomimo tego rodzaju informację od skarżącej otrzymał, co oznacza, że doszło do naruszenia art. 6 ust. 1 rozporządzenia nr 2016/679, co z kolei uprawniało organ do udzielenia upomnienia skarżącej spółce za to naruszenie.

Należy przy tym zgodzić się z organem, że na odpowiedzialność skarżącej w tym zakresie nie ma wpływu fakt, iż przesłanie korespondencji nastąpiło wskutek omyłki pracownika lub błędu technicznego. Administrator danych osobowych powinien bowiem w taki sposób organizować proces przetwarzania danych, aby był on zgodny z prawem, a odpowiedzialność za naruszenie przepisów o ochronie danych osobowych nie jest odpowiedzialnością ponoszoną na zasadzie winy.

Z tych przyczyn Sąd uznał, że decyzja w zakresie rozstrzygnięcia zawartego w pkt 3 jest prawidłowa, co uzasadniało oddalenie skargi w tej części.

Sąd oddalił również skargę w części dotyczącej pkt 4 zaskarżonej decyzji, uznając, że rozstrzygnięcie organu w tym zakresie jest korzystne dla skarżącej, z tym że należy odnotować, iż aktualność w tym zakresie zachowują zawarte powyżej rozważania Sądu dotyczące podstawy prawnej przetwarzania danych osobowych wynikającej z treści przepisów ustawy AML oraz konieczności obrony przed ewentualnymi roszczeniami.

Z tych wszystkich przyczyn Wojewódzki Sąd Administracyjny w Warszawie, działając na podstawie art. 145 § 1 pkt 1 lit. a) i c) ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2024 r., poz. 935 ze zm., powoływanej dalej jako p.p.s.a. orzekł jak w pkt 1 sentencji. Sąd oddalił skargę w pozostałej części w pkt 2 sentencji na podstawie art. 151 p.p.s.a. O kosztach postępowania w pkt 3 sentencji Sąd orzekł na podstawie na podstawie art. 200 w związku z art. 205 p.p.s.a. Na zasądzoną od organu na rzecz skarżącej kwotę składa się wynagrodzenie jej pełnomocnika procesowego (480 zł), zgodnie z § 14 ust. 1 pkt 1 lit. c) rozporządzenia Ministra Sprawiedliwości z dnia 22 października 2015 r. w sprawie opłat za czynności radców prawnych (Dz. U. z 2023 r., poz. 1935 ze zm.) oraz wpis sądowy od wniesionej skargi w wysokości 200 zł.