Centralna Baza Orzeczeń Sądów Administracyjnych

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Iwona Maciejuk (spr.), Sędzia WSA Agnieszka Góra-Błaszczykowska, Sędzia WSA Andrzej Góraj, po rozpoznaniu w trybie uproszczonym w dniu 15 lutego 2022 r. sprawy ze skargi P. S. A. z siedzibą w W. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] lipca 2021 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę.

Prezes Urzędu Ochrony Danych Osobowych decyzją z dnia [...] lipca 2021 r.

nr [...], na podstawie art. 104 § 1 ustawy z dnia 14 czerwca

1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2021 r. poz. 735), zwanej dalej k.p.a., art. 6 ust. 1 oraz art. 58 ust. 2 lit. b rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35) zwanego dalej RODO, w zw. z art. 105a ust. 3 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz. U. z 2020 r. poz. 1896 ze zm.), po przeprowadzeniu postępowania administracyjnego w sprawie skargi M. W. (Wnioskodawcy), na nieprawidłowości w procesie przetwarzania jego danych osobowych przez P. S.A. z siedzibą w [...] polegające na przekazaniu danych osobowych Skarżącego do Biura Informacji Kredytowej S.A. oraz do Centralnej Bazy Danych Bankowy Rejestr administrowanej przez Związek Banków Polskich, bez podstawy prawnej oraz niewypełnieniu obowiązku informacyjnego: 1) udzielił P. S.A. z siedzibą w [...] upomnienia za naruszenie art. 6 ust. 1 RODO polegające na przetwarzaniu danych osobowych M. W. w systemie Biura Informacji Kredytowej S.A. z siedzibą w [...] oraz w Bankowym Rejestrze prowadzonym przez Związek Banków Polskich z siedzibą w [...] w celu oceny zdolności kredytowej i analizy ryzyka kredytowego w związku z umową kredytu gotówkowego z dnia [...] października 2010 r. (po sprostowaniu: z dnia [...] października 2014 r.) o wskazanym w decyzji numerze pomimo braku spełnienia przesłanek z art. 105a ust. 3 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz. U. z 2020 r. poz. 1896 ze zm.); 2) w pozostałym zakresie odmówił uwzględnienia wniosku.

Postanowieniem z dnia [...] sierpnia 2021 r. nr [...] Prezes UODO, na podstawie art. 113 § 1 oraz art. 126 k.p.a. z art. 7 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (t. j. Dz. U. z 2019 r. poz. 1781), po rozpoznaniu z urzędu 1) sprostował oczywistą omyłkę pisarską w treści sentencji decyzji Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] lipca 2020 r. (znak: [...]) w ten sposób, że w pkt 1) sentencji na stronie 2 decyzji w wersie piątym zastąpić rok "2010" rokiem "2014"; 2) sprostował oczywistą omyłkę w treści uzasadnienia decyzji Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] lipca 2020 r. (znak: [...]) w ten sposób, że na stronie 2 w wersie dwudziestym dziewiątym wyrazy "[...] października 2014 r." zastąpić wyrazami "[...] stycznia 2020 r." 3) sprostował oczywistą omyłkę w treści uzasadnienia decyzji Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] lipca 2020 r. (znak: [...]) w ten sposób, że na stronie 7 w wersie dwudziestym siódmym zastąpić rok "2010" rokiem "2014".

W tym miejscu wskazania wymaga, że choć w rozstrzygnięciu postanowienia z dnia [...] sierpnia 2021 r. Prezes UODO wskazał na sprostowanie decyzji z dnia [...] lipca 2020 r., to w istocie, jak wynika z uzasadnienia tego postanowienia, sprostowanie dotyczy wymienionej już wyżej decyzji z dnia [...] lipca 2021 r., a nie z [...] lipca 2020 r.

W uzasadnieniu organ wskazał, że w toku prowadzonego postępowania administracyjnego, ustalił następujący stan faktyczny: 1. Wnioskodawca wskazał, że Bank przetwarza jego dane osobowe w zakresie zamkniętego zobowiązania z dnia [...].10.2014 r. bez podstawy prawnej oraz z naruszeniem obowiązków informacyjnych, gdyż nie poinformował go w sposób skuteczny o zamiarze przetwarzania jego danych osobowych przez BIK i ZBP. Wobec powyższego wniósł o nakazanie Bankowi usunięcia jego danych osobowych z rejestrów BIK i ZBP, spełnienia wobec niego obowiązku informacyjnego oraz niezwłocznego udzielenia odpowiedzi na jego wniosek o udostępnienie danych osobowych, a ponadto o nałożenie administracyjnej kary pieniężnej na administratorów. Wnioskodawca przedłożył wraz ze skargą pisma skierowane do Banku, tj. pismo z [...] października 2014 r. (po sprostowaniu omyłki – pismo z dnia [...] stycznia 2020 r.) zawierające wniosek o zakończenie przetwarzania danych osobowych, którym zażądał zakończenia przetwarzania jego danych osobowych w celu oceny zdolności kredytowej i ryzyka kredytowego przez BIK i ZBP oraz przesłania na jego adres korespondencyjny pisemnej informacji potwierdzającej zakończenie przetwarzania jego danych osobowych w Rejestrze Bankowym w celu oceny zdolności kredytowej i ryzyka kredytowego, a także pismo z [...] lutego 2020 r., w którym wskazał, że nadał nie otrzymał potwierdzenia odebrania przez niego pisemnego powiadomienia o zamiarze wpisu do BIK oraz poprosił Bank o wycofanie jego danych z BIK i ZBP w terminie 7 dni odnośnie zamkniętego zobowiązania z dnia [...].10.2014 r. i wezwał Bank do zaprzestania przetwarzania danych oraz przekazywania tych danych obcym podmiotom na podstawie ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych 2. Bank wskazał, że dane osobowe wnioskodawcy w zakresie: imię, nazwisko, nazwisko rodowe, imię ojca, imię matki, nazwisko panieńskie matki, pesel, data urodzenia, miejsce urodzenia, kraj urodzenia, obywatelstwo, typ i nr dokumentu tożsamości, adres zamieszkania, adres korespondencyjny, e-mail, nr telefonu, pozyskał w związku z umową kredytu gotówkowego numer [...], który został otwarty w dniu [...].10.2014 r. 3. Bank wyjaśnił, że do dnia [...] maja 2018 r. podstawą prawną przetwarzania danych osobowych wnioskodawcy był art. 23 ust. 1 pkt 3 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. 2016 r. poz. 922 ze zm.), zwanej dalej ustawą z 1997 r., na podstawie którego przetwarzanie danych było dopuszczalne wtedy, gdy było konieczne do realizacji umowy, gdy osoba, której dane dotyczą, była jej stroną lub gdy było to niezbędne do podjęcia działań przed zawarciem umowy na żądanie osoby, której dane dotyczyły. Po dniu [...] maja 2018 r. podstawą prawną przetwarzania jest art. 6 ust. 1 lit. b i c RODO. Z wyżej wskazanych podstaw prawnych wynika, że przetwarzanie jest zgodne z prawem na podstawie litery b), jeśli jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy oraz na podstawie litery c), jeśli przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze - aktem prawnym, który zawiera szczegółowe regulacje dotyczące procesu przetwarzania danych osobowych klientów banków jest ustawa z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz. U. z 2020 r. poz. 1896 ze zm.). 4. Organ wskazał, że Wnioskodawca dopuścił się zwłoki w spłacie zobowiązania nr [...] trwającej 64 dni. Bank wskazał, że wobec powyższego skierował do Wnioskodawcy pismo w dniu [...].05.2015 r. zawierające powiadomienie o zamiarze dalszego przetwarzania jego danych bez jego zgody po wygaśnięciu zobowiązania. Przedmiotowa zaległość została ostatecznie uregulowana przez klienta w dniu [...].07.2015 r. tj. w 130 dniu zaległości.

5. Prezes UODO podał, że Bank wyjaśnił, iż przekazał do BIK i ZBP dane osobowe Wnioskodawcy w powiązaniu z kredytem gotówkowym

nr [...] na podstawie art. 105 ust. 4 Prawa bankowego. Powyższy przepis stanowił podstawę do zawarcia z BIK umowy w sprawie zbierania i udostępniania informacji, regulującej tryb oraz zakres danych podlegających wymianie oraz umowy ze ZBP o zasadach uczestnictwa w Systemie Bankowy Rejestr. 6. Organ wskazał, że Wnioskodawca dwukrotnie kierował do Banku pismo informując, że cofa zgodę na przetwarzanie jego danych osobowych po wygaśnięciu zobowiązania i w związku z tym prosi o usunięcie jego danych osobowych z rejestrów BIK i ZBP. Wnioskodawca wskazywał, że nie otrzymał żadnej informacji o zamiarze przetwarzania jego danych w ww. rejestrach, wobec czego dalsze przetwarzanie jego danych osobowych bez jego zgody z ten sposób nie spełnia warunków, o których mowa

w art. 105a ust. 3 Prawo bankowe. W odpowiedzi na powyższe Bank poinformował Wnioskodawcę, że pomimo wycofania zgody, informacje dotyczące przedmiotowego zobowiązania w związku z faktem spełnienia, łącznie obydwu warunków określonych w art. 105a ust. 3 Prawa bankowego (tj. zwłoka w spłacie zobowiązania wyniosła powyżej 60 dni, Bank wysłał powiadomienie o zamiarze dalszego przetwarzania danych dot. ww. umowy), będą przetwarzane w BIK w celu oceny zdolności kredytowej i analizy ryzyka - bez jego zgody - przez okres, 5 lat licząc od daty wygaśnięcia zobowiązania. Powyższe dane będą prezentowane zarówno na raportach konsumenckich (tj. w przypadku raportu sporządzanego dla zainteresowanego klienta - nie dla Banków), jak i na raportach kredytowych BIK generowanych w następstwie złożenia przez banki zapytania o klienta. Jednocześnie zastrzeżono, iż powiadomienie z dnia [...].05.2015r. o zamiarze dalszego przetwarzania danych osobowych Wnioskodawcy z tytułu przedmiotowej umowy zostało wysłane listem zwykłym na wskazany wówczas adres do korespondencji z uwagi na brak określenia wymogu wysyłki korespondencji w przedmiotowym zakresie listem poleconym lub za potwierdzeniem odbioru. 7. Organ podał, że Bank wyjaśnił, że z uwagi na sprzedaż wierzytelności wobec Wnioskodawcy zewnętrznej firmie windykacyjnej, nie znajduje się w posiadaniu dokumentacji do umowy pożyczki nr [...], którą zawarł Wnioskodawca i tym samym nie może przedstawić oryginału oświadczenia zwierającego zgodę Wnioskodawcy na przetwarzanie informacji stanowiących tajemnicę bankową po wygaśnięciu zobowiązania. 8. Prezes UODO wskazał, że Bank wyjaśnił, że w dniu [...].06.2020 r. dane Wnioskodawcy - w powiązaniu z umową,

nr [...] zastały przeniesione do części statystycznej w BIK oraz zostały usunięte z Bankowego Rejestru prowadzonego przez ZBP. W zakresie przedmiotowej umowy, w systemach informatycznych Banku oraz w BIK widnieje "zgoda wycofana" i "warunki niespełnione". Powyższe oznacza, że zobowiązanie może zostać udostępnione przez BIK jedynie na potrzeby jego zaprezentowania na raporcie konsumenckim w sekcji danych statystycznych, udostępnionym wyłącznie Skarżącemu na podstawie jego dyspozycji. 9. Organ wskazał, że pismem z dnia [...].06.2020 r., w zakresie danych dotyczących zobowiązania z dnia [...].10.2014 r.. Bank poinformował Wnioskodawcę o usunięciu z Bankowego Rejestru prowadzonego przez ZBP jego danych osobowych i nie przetwarzaniu ich w BIK do oceny zdolności kredytowej i ryzyka kredytowego oraz, że dane Wnioskodawcy nie będą prezentowane w raportach udostępnianych przez BIK innym bankom. Wnioskodawca został poinformowany,

że informacje dotyczące zobowiązania będą przetwarzane wyłącznie do celów statystycznych.

Uzasadniając rozstrzygnięcie Prezes UODO wskazał, że co do zasady podstawą prawną przetwarzania danych osobowych klientów przez Bank w BIK jest obecnie art. 6 ust. 1 lit. f RODO, tj. przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora. W poprzednim stanie prawnym przesłankę legalności przetwarzania danych osobowych przez Bank i BIK stanowił art. 23 ust. 1 pkt 2 i 5 ustawy z 1997 r. Organ wskazał też m.in., że BIK oraz Bankowy Rejestr prowadzony przez ZBP są instytucjami utworzonymi na podstawie art. 105 ust. 4 Prawa bankowego. Przytoczył wymieniony przepis prawa, jak również art. 105a ust. 1 Prawa bankowego. Wskazał, że zgodnie z art. 105a ust. 3 Prawa bankowego banki, instytucje oraz podmioty, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową i informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy o kredycie, dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy o kredycie, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy o kredycie, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank, inną instytucję ustawowo upoważnioną do udzielania kredytów, instytucję pożyczkową albo podmiot, o którym mowa w art. 59d ustawy o kredycie, o zamiarze przetwarzania dotyczących jej tych informacji, bez jej zgody. Mając to na uwadze Prezes UODO wskazał, że choć zobowiązanie Wnioskodawcy, wynikające z umowy kredytu gotówkowego z dnia [...] października 2014 r. wobec Banku wygasło, to Wnioskodawca dopuścił się zwłoki trwającej dłużej niż 60 dni w przypadku ww. zobowiązania. Organ wskazał, że istotne jednakże w niniejszej sprawie jest to, że Bank nie spełnił wobec niego obowiązku określonego w art. 105a ust. 3 Prawa bankowego, tj. nie poinformował go skutecznie o zamiarze przetwarzania dotyczących go informacji stanowiących tajemnicę bankową, bez jego zgody po wygaśnięciu zobowiązania wynikającego z przedmiotowej umowy. Organ stwierdził, że sam fakt, iż Wnioskodawca nie wykonał zobowiązania lub spóźnił się z jego wykonaniem co najmniej 60 dni, nie upoważnia Banku do przetwarzania jego danych na warunkach określonych w art. 105a ust. 3 Prawa bankowego. Moment, od którego należy liczyć sześćdziesięciodniowy termin, w którym konsument dopuszcza się zwłoki w wykonaniu zobowiązania, to termin wykonania zobowiązania. Dopiero po upływie 60 dni zaczyna biec termin 30 dni, w którym instytucja oczekuje jeszcze na wykonanie zobowiązania klienta. Termin 30 dni biegnie od momentu, w którym konsument zostanie skutecznie poinformowany przez instytucję o zamiarze przetwarzania. Ostatecznie to bezskuteczny upływ 30 dni od momentu poinformowania stanowi wypełnienie przesłanek z art. 105a ust. 3 Prawa bankowego. Z powyższego wynika zatem, iż Bank przetwarzając dane Wnioskodawcy na warunkach określonych www. przepisie, musi wykazać, że Wnioskodawca został poinformowany o zamiarze przetwarzania ich bez jego zgody. Organ podał, że w niniejszej sprawie Wnioskodawca podniósł natomiast, że okoliczności wskazywane w art. 105a ust. 3 Prawa bankowego nie zostały spełnione, gdyż wycofał zgodę na przetwarzanie jego danych osobowych po wygaśnięciu zobowiązania, w związku z czym Bank nie był uprawniony do przetwarzania jej danych osobowych w BIK oraz w Bankowym Rejestrze administrowanym przez ZBP. Bank podniósł natomiast, że ww. przesłanki, w tym poinformowanie Wnioskodawcy o okolicznościach wskazanych w art. 105a ust. 3 Prawa bankowego zostały spełnione. Prezes UODO podkreślił, że brak jest innych dowodów wskazujących na prawidłowe i skuteczne poinformowanie Wnioskodawcy o treści art. 105a ust. 3 Prawa bankowego niż oświadczenie Banku, pozostające w sprzeczności z twierdzeniami Wnioskodawcy. Organ wskazał, że Bank nie przedstawił dowodu na prawidłowe doręczenie Skarżącemu dokumentu, w treści, którego zawarta była informacja o okolicznościach wskazanych w art. 105a ust. 3 Prawa bankowego. Podniósł, że sporządzenie i wysłanie ww. pisma, nie jest równoznaczne z udowodnieniem jego prawidłowego doręczenia, skutkującego poinformowaniem Wnioskodawcy o zamiarze przetwarzania danych stanowiących tajemnicę bankową, bez jego zgody na podstawie art. 105a ust. 3 Prawa bankowego. Samo bowiem oświadczenie o wysłaniu korespondencji listem zwykłym nie stanowi dowodu na jej dostarczenie lub poinformowanie o jej treści adresata. Wskazał, że przepisy powszechnie obowiązujące nie formułują obowiązku wysłania informacji,

o której mowa w art. 105a ust. 3 Prawa bankowego w szczególnej formie. To do podmiotu informującego należy zatem wybór formy przekazania odbiorcy komunikatu, o zamiarze przetwarzania danych osobowych bez jego zgody. Jednocześnie to podmiot informujący wywodzi z powyższego skutki prawne, zatem to on musi wykazać,

że poinformował Wnioskodawcę o zamiarze przetwarzania danych stanowiących tajemnicę bankową, bez jej zgody na podstawie art, 105a ust. 3 Prawa bankowego. Organ powołał się na wyrok WSA w Warszawie z dnia 15 marca 2017 r. sygn. akt II SA/Wa 1695/16. Prezes UODO raz jeszcze podkreślił, że w niniejszej sprawie nie zostały spełnione przesłanki z art. 105a ust 3 Prawa bankowego, zgodnie z którym Bank mógł przetwarzać informacje stanowiące tajemnicę bankową dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy bez ich zgody w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Podkreślić należy, że ze zgromadzonego materiału dowodowego, wynika Wnioskodawca informował Bank, iż nie wyraża zgody na przetwarzanie jego danych osobowych w rejestrach kredytowych, zaś Bank w pismach kierowanych do Wnioskodawcy wskazywał, że jego dane osobowe będą w ten sposób przetwarzane pomimo braku zgody, wobec spełnienia przesłanek z art. 105a ust. 3 Prawa bankowego (tj. zwłoka w spłacie zobowiązania wyniosła powyżej 60 dni, Bank wysłał powiadomienie o zamiarze dalszego przetwarzania danych dot. umowy z dnia [...].10.2014r.). Bank dopiero w związku z niniejszym postępowaniem, w dniu [...] czerwca 2020 r., wystąpił o usunięcie danych osobowych Wnioskodawcy z Bankowego Rejestru administrowanego przez ZBP oraz zaprzestał przetwarzania danych osobowych Wnioskodawcy w BIK na podstawie art. 105a ust. 3 Prawa bankowego. Organ wskazał, że aktualnie od [...].06.2020 r. dane Wnioskodawcy - w powiązaniu z umową, nr [...] przetwarzane są wyłącznie części statystycznej w BIK oraz zostały usunięte z Bankowego Rejestru prowadzonego przez ZBP. W zakresie przedmiotowej umowy, w systemach informatycznych Banku oraz w BIK widnieje "zgoda wycofana" i "warunki niespełnione". Powyższe oznacza, że zobowiązanie może zostać udostępnione przez BIK jedynie na potrzeby jego zaprezentowania na raporcie konsumenckim w sekcji danych statystycznych, udostępnionym wyłącznie Skarżącemu na podstawie jego dyspozycji. Powyższe jest zgodne z treścią art. 105a ust. 4 Prawa bankowego. Organ przytoczył treść tego przepisu prawa oraz art. 105a ust. 5 Prawa bankowego. Prezes UODO wskazał, że aktualny proces przetwarzania danych osobowych Wnioskodawcy w BIK odbywa się na podstawie przesłanki, o której mowa w art. 6 ust. 1 lit. f RODO, jako niezbędny do celów wynikających z prawnie uzasadnionych interesów realizowanych przez Bank, poprzez które należy rozumieć cele stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia ww. rozporządzenia nr 575/2013.

Organ wskazał, że materiał dowodowy zgromadzony w aktach sprawy nie potwierdził, aby Wnioskodawca składał wniosek o udostępnienie danych osobowych. Okoliczności takiej nie wykazał sam Wnioskodawca, zaś Bank przedłożył jedynie pisma Wnioskodawcy, z których wynika, że informował on jedynie Bank o cofnięciu zgody na przetwarzanie jego danych osobowych po wygaśnięciu zobowiązania i w związku z tym prosił o usunięcie jego danych osobowych z rejestrów BIK i ZBP.

W końcowej części decyzji Prezes UODO podał, że prowadzone przez niego postępowanie służy kontroli zgodności przetwarzania danych osobowych z przepisami o ochronie danych osobowych i jest ukierunkowane na wydanie decyzji administracyjnej na podstawie art. 58 ust. 2 RODO. Organ stwierdził, że z uwagi na to, że Bank do dnia [...] czerwca 2020 r. przetwarzał dane osobowe Wnioskodawcy w celu oceny zdolności kredytowej i analizy ryzyka kredytowego pomimo braku spełniania przesłanek wynikających z art. 105a ust. 3 Prawa bankowego, Prezes Urzędu Ochrony Danych Osobowych, korzystając z uprawnienia przewidzianego w art. 58 ust. 2 lit. b RODO udzielił Bankowi upomnienia za ww. naruszenie. Wobec zgłoszonego przez Wnioskodawcę żądania nałożenia na administratorów administracyjnej kary pieniężnej, wskazał, że nakładanie kar administracyjnych, o którym mowa w art. 58 ust. 2 lit i RODO, należy do zadań organu, a nie uprawnień naprawczych i tym samym nie może stanowić przedmiotu postępowania prowadzonego w indywidualnej sprawie. W pozostałym zakresie, stwierdzając legalność aktualnego procesu przetwarzania danych osobowych Wnioskodawcy w BIK na podstawie art. 105a ust. 4 Prawa bankowego. Prezes Urzędu odmówił uwzględnienia wniosku.

Decyzja Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] lipca 2021 r.

nr [...] stała się przedmiotem skargi P. S.A. z siedzibą w [...], reprezentowanej przez adwokata, do Wojewódzkiego Sądu Administracyjnego w Warszawie. Pełnomocnik zaskarżając decyzję w całości zarzucił:

I. naruszenie przepisów postępowania, które mogło mieć wpływ no wynik sprawy, tj.:

1. art. 7 w zw. z art. 77 § 1 w zw. ort. 107 § 1 pkt 6 i § 3 k.p.a. w zw. z art. 80 k.p.a. poprzez:

- nieuwzględnienie, że w dacie wydania zaskarżonej decyzji dane osobowe Wnioskodawcy w BIK były przetwarzane zgodnie z art. 105a ust 4 i 5 Prawa Bankowego, co w konsekwencji doprowadziło do nałożenia na Bank środka naprawczego;

- nieuwzględnienie, że w dacie zawarcia Umowy pożyczki ([...] października 2010 r.) wnioskodawca wyraził zgodę na przetwarzanie danych przez Bank na podstawie art. 105a ust. 2 Prawa Bankowego, co w konsekwencji doprowadziło do nałożenia na Bank środka naprawczego przy jednoczesnym braku określenia przez organ w jakim okresie Bank miałby rzekomo dopuścić się naruszenie przepisów w zakresie przetwarzania danych wnioskodawcy;

- dokonanie dowolnej a nie swobodnej oceny dowodów w postaci: pisma Skarżącego z dnia [...] lipca 2020 r. nr [...] wraz z załącznikami, pisma Skarżącego z dnia [...] czerwca 2020 r. nr [...] wraz z załącznikami, skargi Wnioskodawcy z dnia [...] marca 2020 r. "na niezgodne z prawem przetwarzanie danych osobowych przez [...] P." z których wynika wprost, że wnioskodawca zawarł z Bankiem umowę w dniu [...] października 2014 r., a nie jak wskazał organ w rozstrzygnięciu decyzji w dacie [...] października 2010 r. oraz że Bank od dnia [...] czerwca 2020 r. nie przetwarza jakichkolwiek danych Wnioskodawcy do celów oceny zdolności kredytowej i ryzyka kredytowego, dane te zostały bowiem przeniesione do części statystycznej w BIK oraz zostały usunięte z Bankowego Rejestru prowadzonego przez ZBP, a w konsekwencji błędne określenie podstawy faktycznej przetwarzania danych oraz nie określenie okresu w jakim Bank miałby przetwarzać dane Wnioskodawcy, w sytuacji gdy co najmniej bezsporne jest że Bank nie przetwarza danych Wnioskodawcy od dnia [...] czerwca 2020 r.; pisma Skarżącego z dnia [...] lipca 2020 r. nr [...] wraz z załącznikami, pisma Skarżącego z dnia [...] czerwca 2020 r. nr [...] wraz z załącznikami, z których wynika wprost, że Wnioskodawca wyraził zgodę na przetwarzanie danych przez Bank w trybie ort 105a ust. 2 Prawa Bankowego oraz został następnie poinformowany o zamiarze przetwarzania jego danych w trybie art. 105a ust. 3 Prawa Bankowego, co doprowadziło do błędnego ustalenia, że Skarżący przetwarzał dane Wnioskodawcy bez podstawy prawnej oraz nie doręczył Wnioskodawcy informacji o zamiarze dalszego przetwarzania jego danych osobowych, o którym to zawiadomieniu mowa w art. 105a ust. 3 Prawa Bankowego, a w konsekwencji przetworzenie danych Wnioskodawcy nastąpiło w sposób nieuprawniony;

- art. 75 w zw. z art. 50 § 1 w zw. z art. 7 k.p.a. poprzez zaniechanie przeprowadzenia dowodu z zeznań osobistych Wnioskodawcy, w sytuacji w której jego pisemne oświadczenia, że nigdy nie poinformowano go o zamiarze przetwarzania danych osobowych w związku z niespłaceniem zobowiązania, pozostawały wewnętrznie sprzeczne, co doprowadziło do błędnego ustalenia, że Skarżący przetwarzał dane bez zgody Wnioskodawcy i nie doręczył Wnioskodawcy informacji o zamiarze dalszego przetwarzania jego danych osobowych w sposób określony w art. 105a ust. 3 Prawa Bankowego;

3. art. 105 § 1 k.p.a. w zw. z art. 104 § 1 k.p.a. w z. z art. 58 ust. 2 lit. b RODO poprzez udzielenie Skarżącemu upomnienia w sytuacji, w której organ ustalił, że zarówno w chwili wydania zaskarżonej decyzji, podobnie jak i obecnie, przetwarzanie danych osobowych Wnioskodawcy następuje w sposób zgodny z brzmieniem art. 105a Prawo Bankowego, co doprowadziło do zbędnego zastosowania środka naprawczego;

4. art. 105 § k.p.a. w zw. z art. 6 k.p.a. w zw. z art. 11 k.p.a. w zw. z art. 107 § 3 k.p.c. poprzez ustalenie w treści uzasadnienia zaskarżonej decyzji, że nieprawidłowe przetwarzanie danych osobowych Wnioskodawcy miało miejsce przed dniem [...] czerwca 2020 r. chociaż organ nie wskazał, w oparciu o jakie dane, informacje oraz normy prawne dokonał takiego ustalenia, oraz nie określił okresu rzekomego naruszenia w treści rozstrzygnięcia, co doprowadziło do nieuzasadnionego przesądzenia w sposób stanowczy o faktach, które mogą mieć bezpośredni wpływ na sytuację prawną Skarżącego;

5. art. 104 § 1 k.p.a. w zw. z art. 58 ust. 2 lit. b RODO poprzez rozstrzygnięcie sprawy w drodze decyzji administracyjnej, chociaż taka forma rozstrzygnięcia nie została przewidziana przez ustawodawcę, co skutkowało nieuzasadnionym wydaniem aktu administracyjnego.

II. Naruszenie przepisu prawa materialnego, tj. art. 58 ust. 2 lit b RODO poprzez jego błędną wykładnię i uznanie, że organ może udzielić upomnienia w sytuacji, w której nieuprawnione przetwarzanie danych osobowych nie występuje.

Pełnomocnik wniósł o uchylenie zaskarżonej decyzji w całości i umorzenie postępowania; ewentualnie, w przypadku nieuwzględnienia powyższego wniosku, o uchylenie zaskarżonej decyzji, a także zasądzenie na rzecz skarżącego zwrotu kosztów postępowania, w tym koszów zastępstwa procesowego, według norm przepisanych.

W uzasadnieniu pełnomocnik rozszerzył argumentację w zakresie postawionych zarzutów. Wskazał m.in., że organ całkowicie pominął fakt wyrażania przez Wnioskodawcę zgody na przetwarzanie danych na etapie zawierania umowy kredytowej w dniu [...] października 2014 r., co nie znalazło żadnego odzwierciedlenia w treści decyzji.

Pełnomocnik wskazał, że informacja przesłana przez Bank trybie art. 105a ust 3 Prawa Bankowego została skierowana zgodnie z ciążącym na banku obowiązkiem, a zapoznanie się z korespondencją przez Wnioskodawcę było możliwe bez konieczności podjęcia jakichkolwiek dodatkowych działań. Wskazał, że zawiadomienie o zamiarze przetwarzania danych Wnioskodawcy po wygaśnięciu zobowiązań zostało do wysłane w dniu [...] maja 2015 r. Racjonalna ocena pozwala przyjąć, że skoro Wnioskodawca odbierał pod wskazanym adresem korespondencję w sposób stały w celu dbania o interesy majątkowe, to prawdopodobieństwo pominięcia przez niego akurat zawiadomień o zamiarze przetwarzania danych należy ocenić jako nikłe. Skarżący utrzymuje, że kompleksowo analiza zgromadzonego materiału dowodowego wyklucza możliwość przypisania mu odpowiedzialności za naruszenie danych osobowych Wnioskodawcy, a ewentualne naruszenie nie ma już miejsca.

Pełnomocnik powołując się na motyw 148 RODO podniósł też m.in., że zastosowanie upomnienia, mimo jego obiektywnie łagodnego charakteru, nie może charakteryzować się dowolnością oraz nie może znaleźć zastosowania w każdej sytuacji. W treści uzasadnienia zaskarżonej decyzji organ nie wskazał, dlaczego środek w postaci upomnienia uznał za zasadny.

Prezes Urzędu Ochrony Danych Osobowych w odpowiedzi na skargę wniósł o jej oddalenie, podtrzymując stanowisko zawarte w zaskarżonej decyzji. Odnosząc się do skargi podał m.in., że jak ustalono, Wnioskodawca pismem skierowanym do Banku wycofał zgodę wyrażoną na podstawie art. 105a ust. 2 Prawa bankowego. Powyższej okoliczności nie kwestionuje Bank. Podał, że zgodzić należy się z Bankiem, że do tego momentu dane osobowe Wnioskodawcy były przetwarzane przez Bank w celu oceny zdolności kredytowej i ryzyka kredytowego po wygaśnięciu zobowiązania, na podstawie wyrażonej przez Wnioskodawcę zgody. Powyższe wynika z treści przedłożonego przez Bank wniosku o pożyczkę gotówkową oraz wydruku z systemu informatycznego Banku. Prezes Urzędu nie kwestionował, aby Bank przez cały okres przetwarzania danych osobowych Wnioskodawcy po wygaśnięciu zobowiązania, nie miał ku temu podstaw, lecz stwierdził, że proces ten był bezprawny po wycofaniu zgody przez Wnioskodawcę aż do momentu wycofania przez Bank danych Wnioskodawcy z rejestrów BIK i ZBP, tj. do dnia [...] czerwca 2020 r. - wówczas gdy Bank kontynuował przetwarzanie danych osobowych Wnioskodawcy na podstawie art. 105a ust. 3 Prawa bankowego. Powyższe wynika z dyspozycyjnej części decyzji i jej uzasadnienia. Wskazał, że wbrew twierdzeniom Banku, Prezes Urzędu nie pominął faktu wyrażenia przez Wnioskodawcę zgody na podstawie art. 105a ust. 2 Prawa bankowego, lecz uznał, że po jej wycofaniu Bank nie spełniał wymogów do dalszego przetwarzania danych osobowych Wnioskodawcy w rejestrach administrowanych przez BIK i ZBP, o których mowa w art. 105a ust. 3 Prawa bankowego.

Bank w żadnym stopniu nie wykazał, że w obliczu wycofania przez Wnioskodawcę zgody na przetwarzanie jego danych osobowych po wygaśnięciu zobowiązania w celu oceny zdolności kredytowej i ryzyka kredytowego, są spełnione warunki do przetwarzania danych osobowych w rejestrach BIK i ZBP. Tym samym stanowisko zaprezentowane przez Bank w treści skargi na decyzję Prezesa Urzędu jest wyłącznie polemiką z ustaleniami organu poczynionymi również w oparciu o jego wyjaśnienia. Organ wskazał także, że warunkiem zatem prawidłowego przetwarzania danych osobowych dłużników w rejestrach kredytowych jest fakt powiadomienia ich o zamiarze udostępnienia danych na rzecz tych instytucji. Organ powołał się na wyrok NSA z dnia 27 sierpnia 2019 roku, w sprawie o sygn. akt I OSK 2514/17 oraz z dnia 27 października 2017 r. w sprawie o sygn. akt I OSK 3362/15.

Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje.

Skarga nie podlegała uwzględnieniu.

Organ nie naruszył w tej sprawie przepisów postępowania administracyjnego,

w tym art. 6, art. 7, art. 11, art. 50 § 1, art. 75, art. 77§ 1, art. 80, art. 104, art. 107 § 1 pkt 6 i § 3 k.p.a. w stopniu, który miałby wpływ na wynik sprawy. Organ dokonał ustaleń faktycznych niezbędnych i wystarczających jednocześnie dla rozstrzygnięcia tej sprawy. Materiał dowodowy rozpatrzył wszechstronnie, a jego ocena nie była dowolna. W sprawie nie doszło też do naruszenia art. 105 k.p.a., albowiem organ przepisu tego nie stosował. W sprawie tej nie było podstaw do stwierdzenia, że postępowanie jest bezprzedmiotowe. Organ zasadnie stwierdził, że doszło do naruszenia przepisów RODO, co pozwalało Prezesowi UODO – w stanie faktycznym tej sprawy – na zastosowanie art. 58 ust. 2 lit.b RODO, tj. udzielenie Skarżącemu w punkcie 1 decyzji – upomnienia. Zarzut naruszenia art. 58 ust. 2 lit.b RODO nie jest trafny.

Zgodnie z art. 105a ust. 2 Prawa bankowego, z zastrzeżeniem ust. 3, instytucje, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową oraz informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, w zakresie dotyczącym osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, pod warunkiem uzyskania pisemnej zgody osoby, której informacje te dotyczą, z zastrzeżeniem ust. 2a. Zgoda ta może być w każdym czasie odwołana.

W sprawie jest bezsporne, że zgoda udzielona przez Wnioskodawcę w związku z zawarciem umowy kredytu gotówkowego z dnia [...] października 2014 r.

na przetwarzanie danych w celu oceny zdolności kredytowej i ryzyka kredytowego po wygaśnięciu zobowiązania została odwołana (cofnięta). Prezes UODO

nie kwestionował w treści decyzji, że taka zgoda była przez Wnioskodawcę udzielona, albowiem dokonując ustaleń faktycznych wskazał, że Wnioskodawca m.in. pismem z dnia [...] stycznia 2020 r. cofnął zgodę. Nadto, sam punkt 1 rozstrzygnięcia organu wprost wskazuje na art. 105a ust. 3 Prawa bankowego, tj. na udzielenie upomnienia za naruszenie polegające na przetwarzaniu danych osobowych Wnioskodawcy w systemie Biura Informacji Kredytowej S.A. oraz w Bankowym Rejestrze prowadzonym przez Związek Banków Polskich w celu oceny zdolności kredytowej i analizy ryzyka kredytowego w związku z umową kredytu gotówkowego z dnia [...] października 2014 r. pomimo braku spełnienia przesłanek z art. 105a ust. 3 Prawa bankowego.

Stosownie do art. 105a ust. 3 Prawa bankowego, banki, instytucje oraz podmioty, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową

i informacje udostępnione przez instytucje pożyczkowe oraz podmioty,

o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni

w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim,

a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank, inną instytucję ustawowo upoważnioną do udzielania kredytów, instytucję pożyczkową albo podmiot, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, o zamiarze przetwarzania dotyczących jej tych informacji, bez jej zgody.

Nie budzi w świetle powyższego wątpliwości, że udzielenie przez organ upomnienia dotyczy okresu, od kiedy Bank nie dysponował już zgodą Wnioskodawcy,

o której mowa w art. 105 a ust. 2 Prawa bankowego, a jeszcze przetwarzał dane osobowe Wnioskodawcy w sposób, o którym mowa w decyzji, tj. pomimo braku spełnienia przesłanek z art. 105a ust. 3 Prawa bankowego, które to nieuprawnione przetwarzanie zakończyło się w dniu [...] czerwca 2020 r., co organ wskazał w decyzji.

Uzasadnienie zaskarżonej decyzji pozwala na dokonanie kontroli jej zgodności

z prawem, a ewentualne niedokładności czy brak precyzji ustaleń w tym uzasadnieniu, na które zwrócono uwagę w skardze, nie dają podstaw do wyeliminowania zaskarżonej decyzji z obrotu prawnego. Decyzja ta nie narusza prawa w stopniu, który miałby wpływ na wynik sprawy.

Zdaniem Sądu, ustalenie organu, co do faktu przetwarzania przez Bank danych osobowych Wnioskodawcy, pomimo braku spełnienia przesłanek z art. 105a ust. 3 Prawa bankowego, (po cofnięciu udzielonej wcześniej zgody), do dnia [...] czerwca 2020 r. jest trafne.

Zgodnie z art. 6 ust. 1lit.f RODO, przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy – i w takim zakresie, w jakim – spełniony jest co najmniej jeden z poniższych warunków: przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Akapit pierwszy lit. f) nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań.

Zasadnie organ stwierdził, że w sprawie nie zostały spełnione przesłanki

z art. 105a ust. 3 Prawa bankowego warunkujące dopuszczalność przetwarzania danych osobowych Wnioskodawcy po wygaśnięciu zobowiązania. Trafnie organ wskazał, że Bank nie przedstawił dowodu na doręczenie Wnioskodawcy dokumentu, w którego treści zawarta była informacja o okolicznościach wskazanych w art. 105a ust. 3 Prawa bankowego. W świetle powyższego zasadnie organ przyjął, że Bank nie poinformował skutecznie Wnioskodawcy o zamiarze przetwarzania dotyczących go informacji stanowiących tajemnicę bankową, bez jego zgody po wygaśnięciu zobowiązania.

Wskazania wymaga, że kwestia wykładni zawartego w art.105a ust. 3 Prawa bankowego zwrotu "od poinformowania tej osoby przez bank" była przedmiotem rozważań NSA i Wojewódzkiego Sądu Administracyjnego w Warszawie. W wyroku

z dnia 27 sierpnia 2019 r. wydanym w sprawie sygn. akt I OSK 2514/17 NSA wyjaśnił, iż: "Z powołanego przepisu wyraźnie wynika, że przetwarzanie danych jest dopuszczalne, gdy >>po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank<<. Zatem to na Banku ciążył obowiązek poinformowania (...) o zamiarze przetwarzania jej danych. Ustawodawca nie stworzył w tym zakresie żadnych szczególnych wymogów formalnych, co do sposobu i treści takiego poinformowania klienta lub byłego klienta banku. Nie oznacza to jednak całkowitej dowolności w tym zakresie. Jakkolwiek ustawodawca w żaden sposób nie ograniczył sposobów i form takiego powiadomienia, jednakże w każdym wypadku sposób ten powinien umożliwić zweryfikowanie faktu poinformowania klienta banku

o zamierzonym przetwarzaniu jego danych osobowych lub też przynajmniej potwierdzenie, że klientowi umożliwiono zapoznanie się z taką informacją. W tym zakresie nie mogą mieć miejsca jakiekolwiek domniemania faktyczne." "Informacje o dokonaniu wysyłki takiej wiadomości nie mogą stanowić o uczynieniu zadość obowiązkowi z art. 105a ust.3 Prawa bankowego. W celu weryfikacji dopuszczalności przetwarzania danych osobowych na podstawie art.105a ust.3 Prawa bankowego, GIODO musi dysponować stosownymi dowodami na rzeczywiste wykonanie wymienionego w tym przepisie obowiązku poinformowania i w tym zakresie nie może opierać się wyłącznie na oświadczeniu Banku. Takie stanowisko jest już utrwalone w orzecznictwie (v. wyrok NSA z 27.10.2017 r. sygn. akt I OSK 3362/15, LEX nr 2463181)."

Sąd rozpoznający niniejszą sprawę podziela przytoczony powyżej pogląd prawny.

Trafnie organ wskazał w decyzji, że Bank nie przedstawił dowodu na skuteczne poinformowanie Wnioskodawcy, o którym mowa w art. 105a ust. 3 Prawa bankowego. Zgodzić należy się z organem, że sporządzenie i wysłanie pisma nie jest równoznaczne z jego doręczeniem skutkującym poinformowaniem o zamiarze przetwarzania danych stanowiących tajemnice bankową, bez zgody, po wygaśnięciu zobowiązania. Istotnie, jak wskazał organ, przepisy powszechnie obowiązujące nie formułują obowiązku wysłania informacji, o której mowa w art. 105a ust. 3 Prawa bankowego w szczególnej formie i to do podmiotu informującego należy wybór formy przekazania odbiorcy komunikatu o zamiarze przetwarzania danych osobowych bez jego zgody, jednakże to również na podmiocie informującym ciąży równocześnie obowiązek wykazania, że ustawowy obowiązek w tym zakresie został wypełniony.

Zarzut naruszenia przez organ art. 75 k.p.a. poprzez nieprzeprowadzenie dowodu z przesłuchania Wnioskodawcy wobec twierdzenia przez niego, że nigdy nie poinformowano go o zamiarze przetwarzania danych osobowych w związku z niespłaceniem zobowiązania, nie jest zasadny. Trafnie organ wskazał, że to Bank musi wykazać, że poinformował Wnioskodawcę o zamiarze przetwarzania danych stanowiących tajemnicę bankową, bez jej zgody na podstawie art. 105a ust. 3 Prawa bankowego. Skarżący nie podważył skutecznie oświadczenia klienta o niewypełnieniu wymienionego obowiązku. Jednocześnie w sprawie nie było wątpliwości, że Skarżący wiedział o wycofaniu (odwołaniu) przez klienta Banku zgody na przetwarzanie danych osobowych. W znajdującym się w aktach postępowania administracyjnego piśmie Banku do Wnioskodawcy z dnia [...] marca 2020 r. wskazano, że "w systemach informatycznych, oznaczone jest wycofanie zgody na przetwarzanie Pana danych osobowych po wygaśnięciu ww. zobowiązania". Mimo to skarżący nadal przetwarzał te dane, uznając, że spełnił przesłanki z art. 105a ust. 3 Prawa bankowego, z czym Prezes UODO, zasadnie, nie zgodził się. W konsekwencji trafnie stwierdził brak podstawy prawnej z art. 6 ust. 1 RODO do przetwarzania tych danych po odwołaniu zgody przez klienta.

Okoliczność, że w dacie wydania przez organ zaskarżonej decyzji nie miało już miejsca niezgodne z prawem (kwestionowane) przetwarzanie danych osobowych nie stanowi podstawy – w stanie faktycznym tej sprawy – do umorzenia postępowania,

w sytuacji stwierdzenia przez organ, że miało miejsce naruszenie RODO. Zgodnie

z art. 105 § 1 k.p.a., gdy postępowanie z jakiejkolwiek przyczyny stało

się bezprzedmiotowe w całości albo w części, organ administracji publicznej wydaje decyzję o umorzeniu postępowania odpowiednio w całości albo w części. Przepis

art. 105 § 1 k.p.a. nie znajdował w tym przypadku zastosowania.

Skoro w sprawie nie zostały spełnione przesłanki z art. 105a ust. 3 Prawa bankowego, to Prezes UODO korzystając z uprawnienia przewidzianego w art. 58 ust.2 lit. b RODO, miał podstawy do udzielenia Bankowi w drodze decyzji administracyjnej upomnienia za naruszenie, o którym mowa w punkcie 1 decyzji. Trafnie także organ nie uwzględnił żądania Wnioskodawcy w pozostałym zakresie, dotyczącym kwestionowania nieudzielenia przez Bank odpowiedzi na wniosek o udostępnienie danych,

nie stwierdzając w tym aspekcie naruszenia prawa. W postępowaniu nie zostało wykazane, aby wnioskodawca taki wniosek do Skarżącego składał. Kwestionowanie zresztą przez Bank korzystnego w tym zakresie dla niego rozstrzygnięcia organu opiera się zasadniczo na twierdzeniu o braku podstaw do rozstrzygnięcia sprawy w drodze decyzji administracyjnej. Za bezzasadne Sąd uznał twierdzenie Skarżącego o braku podstaw do udzielenia przez Prezesa UODO upomnienia w drodze decyzji administracyjnej i rozstrzygania o tym w drodze indywidualnego kwalifikowanego aktu administracyjnego. Zgodnie z art. 104 § 1 k.p.a., który znajduje w tej sprawie zastosowanie, organ administracji publicznej załatwia sprawę przez wydanie decyzji, chyba że przepisy kodeksu stanowią inaczej. Zgodnie zaś z art. 104 § 2 k.p.a., decyzje rozstrzygają sprawę co do jej istoty w całości lub w części albo w inny sposób kończą sprawę w danej instancji. Nie ma wątpliwości, że sprawa niniejsza rozstrzygnięta została przez organ co do istoty w zakresie zgodności z prawem przetwarzania danych osobowych.

Z decyzji wynika przy tym, że skoro organ nie wymierzył skarżącemu kary pieniężnej, jak domagał się tego Wnioskodawca w postępowaniu przed Prezesem UODO, a udzielił – wobec stwierdzonego naruszenia RODO – jedynie upomnienia, oznacza to, że naruszenie uznał za niewielkie, uwzględniając wskazania motywu 148 RODO. Sam fakt udzielenia Skarżącemu upomnienia a nie wymierzenia kary pieniężnej wskazuje, że organ wziął pod uwagę charakter, wagę oraz czas trwania naruszenia, uwzględniając przy tym, że przetwarzanie danych naruszało RODO po wycofaniu (odwołaniu) przez wnioskodawcę zgody.

Mając powyższe na uwadze, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz. U. z 2019 r., poz. 2325 ze zm.) orzekł jak w wyroku.