Centralna Baza Orzeczeń Sądów Administracyjnych

Naczelny Sąd Administracyjny w składzie: Przewodnicząca sędzia NSA Tamara Dziełakowska Sędziowie: sędzia NSA Sławomir Wojciechowski sędzia del. WSA Hanna Knysiak–Sudyka (spr.) Protokolant asystent sędziego Adam Płusa po rozpoznaniu w dniu 8 stycznia 2025 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej Banku [...] S.A. w W. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 13 stycznia 2021 r. sygn. akt II SA/Wa 607/20 w sprawie ze skargi Banku [...] S.A. w W. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] stycznia 2020 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę kasacyjną.

Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 13 stycznia 2021 r. sygn. akt II SA/Wa 607/20 oddalił skargę Banku [...] S.A. z siedzibą w W. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] stycznia 2020 r. nr [...] w przedmiocie przetwarzania danych osobowych.

Wyrok zapadł w następującym stanie faktycznym i prawnym sprawy.

W dniu 9 lipca 2018 r. (data wpływu do organu) H. K. i T. K. (dalej: "wnioskodawcy") wnieśli do Prezesa Urzędu Ochrony Danych Osobowych (dalej: "Prezes UODO", "organ") skargę na nieprawidłowości w procesie przetwarzania ich danych osobowych przez Bank [...] Spółka Akcyjna z siedzibą w W. (dalej: "bank", "skarżący"), polegające na przetwarzaniu danych osobowych wnioskodawców bez podstawy prawnej oraz do celów marketingowych.

W treści skargi wnioskodawcy wnieśli o zakazanie bankowi posługiwania się, przetwarzania i archiwizowania wszelkich danych osobowych ich dotyczących.

Prezes Urzędu Ochrony Danych Osobowych decyzją z dnia [...] stycznia 2020 r. znak [...], działając na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2018 r. poz. 2096 z późn. zm., zwana dalej: "k.p.a."), art. 6 ust. 1, art. 21 ust. 3 oraz art. 58 ust. 2 lit. b i lit. c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 04.05.2016, str. 1, ze zm., zwane dalej: "rozporządzeniem 2016/679", "RODO"), orzekł:

w pkt 1 – o nakazie usunięcia przez bank danych osobowych wnioskodawców, w zakresie ich imion, nazwiska, typu dokumentów tożsamości, numerów dokumentów tożsamości, dat ważności dokumentów tożsamości, kraju wydania dokumentów tożsamości, numerów identyfikacyjnych PESEL, dat urodzenia, miejsc urodzenia, kraju urodzenia, statusów rezydencji, obywatelstwa, imion rodziców, stanu cywilnego, nazwisk panieńskich matek, płci, adresu zamieszkania, adresu korespondencyjnego, numeru telefonu komórkowego, numeru telefonu domowego, formy zatrudnienia i preferowanego języka kontaktu, danych dotyczących posiadanych produktów banku, numerów CIF (numer identyfikacyjny nadawany klientom banku);

w pkt 2 – o udzieleniu bankowi upomnienia za naruszenie art. 6 ust. 1, art. 12 ust. 2 i ust. 3, oraz art. 21 ust. 3 rozporządzenia 2016/679 polegające na: a) nieuwzględnieniu w terminie sprzeciwu wnioskodawców, wyrażonego w piśmie z dnia 23 maja 2018 r., z naruszeniem przepisu, zgodnie z którym administrator ułatwia osobie, której dane dotyczą, wykonanie praw przysługujących jej na mocy art. 15-22, b) przetwarzaniu danych osobowych wnioskodawców, w celach marketingowych bez podstawy prawnej, pomimo zgłoszonego sprzeciwu.

W uzasadnieniu podjętej decyzji organ wskazał na następujące ustalenia stanu faktycznego sprawy:

W związku z zawarciem umowy Konta Osobistego i umowy Konta Oszczędnościowego bank pozyskał dane osobowe wnioskodawców w zakresie: imion, nazwisk, typu dokumentu tożsamości, numeru dokumentu tożsamości, daty ważności dokumentu tożsamości, kraju wydania dokumentu tożsamości, numeru identyfikacyjnego PESEL, daty urodzenia, miejsca urodzenia, kraju urodzenia, statutu, rezydencji, obywatelstwa, imion rodziców, stanu cywilnego, nazwiska panieńskiego matki, płci, adresu zamieszkania, adresu korespondencyjnego, numeru telefonu komórkowego, numeru telefonu domowego, formy zatrudnienia i preferowanego języka kontaktu, w celu przygotowania i zawarcia ww. umów, jak również ich realizacji.

W dniu 7 kwietnia 2017 r. wnioskodawcy złożyli w banku dyspozycję zmiany rodzaju rachunku oszczędnościowo-rozliczeniowego z Konta Osobistego na Konto Techniczne. W dniu 4 maja 2018 r. bank przesłał wnioskodawcom "informacje dotyczące przetwarzania danych osobowych w Banku [...] S.A.", które zawierają cele i terminy przetwarzania danych w banku.

Pismem z dnia 23 maja 2018 r., podpisanym odręcznie przez wnioskodawców i zawierającym ich imiona i nazwiska oraz adres, wnioskodawcy zwrócili się do banku o zaprzestanie przesyłania na ich adres materiałów reklamowych i wyciągów bankowych oraz wycofali zgodę na przetwarzanie ich danych osobowych przez bank, które to wycofanie zgody obejmowało cyt.: "używanie, przetwarzanie i archiwizowanie wszelkich naszych danych osobowych przez Bank [...] S.A.".

W dniu 20 czerwca 2018 r. bank poinformował wnioskodawców o niezastosowaniu się do żądania wyrażonego w piśmie z dnia 23 maja 2018 r., ze względu na brak możliwości potwierdzenia tożsamości wnioskodawców, ponadto o możliwości złożenia żądania osobiście w dowolnej placówce banku lub poprzez przesłanie wniosku o tej treści poprzez infolinię lub kanał internetowy banku.

Bank wyjaśnił także, iż otrzymywaną przez wnioskodawców korespondencję stanowiły wyciągi bankowe w związku z prowadzonym na rzecz wnioskodawców Kontem Technicznym oraz Kontem Oszczędnościowym. W piśmie z dnia 29 czerwca 2018 r. wnioskodawcy odmówili skorzystania z kanałów komunikacji wskazanych im przez bank w piśmie z dnia 20 czerwca 2018 r. i ponowili swoje oświadczenie o wycofaniu zgody na przetwarzanie ich danych osobowych przez bank, wzywając skarżącego do zastosowania się do ich żądania wyrażonego w piśmie z dnia 23 maja 2018 r. cyt.: "zawierającego wyraźny zakaz posługiwania się, przetwarzania i archiwizowania danych osobowych moich i mojej małżonki".

W dniu 13 lipca 2018 r. bank, poprzez swojego pracownika A. D., w odpowiedzi na pisma składane do banku przez wnioskodawców, skontaktował się z ww. przez podany przez wnioskodawców numer telefonu komórkowego celem wyjaśnienia sytuacji i potwierdzenia tożsamości wnioskodawców. Wnioskodawcy odmówili prowadzenia rozmowy. W dniu 20 lipca 2018 r., kierując się treścią przeprowadzonej z wnioskodawcami korespondencji, bank dokonał zamknięcia Konta Technicznego oraz Konta Oszczędnościowego wnioskodawców i od tej daty nie przetwarza ich danych osobowych w celach marketingowych.

W dniu 1 sierpnia 2018 r. bank wysłał do wnioskodawców miesięczny wyciąg z rachunku bankowego, a w dniu 3 sierpnia 2018 r. wyciąg łączony z rachunku bankowego, które zawierały informację o subskrypcji przez bank nowej lokaty strukturyzowanej.

W piśmie z dnia 26 listopada 2018 r. bank oświadczył, że obecnie przetwarza dane wnioskodawców w zakresie imion, nazwisk, typu dokumentu tożsamości, numeru dokumentu tożsamości, daty ważności dokumentu tożsamości, kraju wydania dokumentu tożsamości, numeru identyfikacyjnego PESEL, daty urodzenia, miejsca urodzenia, kraju urodzenia, statutu rezydencji, obywatelstwa, imion rodziców, stanu cywilnego, nazwiska panieńskiego matki, płci, adresu zamieszkania, adresu korespondencyjnego, numeru telefonu komórkowego, numeru telefonu domowego, formy zatrudnienia i preferowanego języka kontaktu, dane dotyczące posiadanych produktów banku, numer CIF (numer identyfikacyjny nadawany klientom banku), na podstawie art. 6 ust. 1 lit. f rozporządzenia 2016/679 z dnia 27 kwietnia 2016 r. tj. w prawnie uzasadnionym interesie realizowanym przez bank, w celu ustalenia, dochodzenia lub obrony przed ewentualnymi roszczeniami wnioskodawców.

Na powyższą decyzję Prezesa Urzędu Ochrony Danych Osobowych skarżący wniósł skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie.

W odpowiedzi na skargę organ wniósł o oddalenie skargi, podnosząc argumentację tożsamą z tą, jaką prezentował w zaskarżonej decyzji.

W pismach złożonych w toku postępowania sądowego skarżący wniósł nadto o przeprowadzenie dowodu uzupełniającego z dokumentów, tj.:

1) decyzji Generalnego Inspektora Ochrony Danych Osobowych (poprzednika Prezesa UODO) z [...] maja 2014 r., sygn. [...] na okoliczność istnienia utrwalonej praktyki, odmiennej niż stanowisko przyjęte w zaskarżonej decyzji, pomimo istnienia takiego samego stanu faktycznego i prawnego sprawy;

2) decyzji Prezesa UODO z [...] marca 2019 r., sygn. [...] na okoliczność istnienia utrwalonej praktyki, odmiennej niż stanowisko przyjęte w zaskarżonej decyzji, pomimo istnienia takiego samego stanu faktycznego i prawnego sprawy;

3) decyzji Prezesa UODO z września 2020 r., sygn. [...] (nie publikowana, uzyskana w trybie dostępu do informacji publicznej, dzień wydania został usunięty przez organ).

Wojewódzki Sąd Administracyjny w Warszawie w powołanym wyżej wyroku oddalił skargę Banku [...] S.A. z siedzibą w W. uznając, że zaskarżona decyzja została wydana zgodnie z prawem.

Uzasadniając swoje stanowisko Sąd pierwszej instancji wskazał, że z ustaleń Sądu bezsprzecznie wynika, iż w toku prowadzonego przez organ postępowania skarżący nie wskazywał, by przetwarzał dane osobowe wnioskodawców na innej niż określona w art. 6 ust. 1 lit. f) rozporządzenia 2016/679 podstawie, tj. w celu zabezpieczenia swoich interesów w razie ewentualnych roszczeń wnioskodawców.

Wojewódzki Sąd Administracyjny w Warszawie stwierdził, że stan faktyczny niniejszej sprawy ustalony został przez Prezesa UODO prawidłowo. W toku prowadzonego postępowania administracyjnego nie doszło do naruszenia powoływanych w skardze art. 7, art. 77 i art. 80 k.p.a. Organ przeprowadził wymagane prawem postępowanie wyjaśniające wystarczające dla ustalenia okoliczności mających podstawowe znaczenie dla rozstrzygnięcia sprawy i dokonania oceny, czy zaszły prawem przewidziane warunki do wydania decyzji. Sąd pierwszej instancji podkreślił, że zgodnie z zasadą wyrażoną w art. 80 k.p.a., organ prowadzący postępowanie według swojej wiedzy, doświadczenia oraz wewnętrznego przekonania ocenia wartość dowodową poszczególnych środków dowodowych, wpływ udowodnienia jednej okoliczności na inne okoliczności. Oceniając wyniki postępowania dowodowego (wiarygodność i moc dowodów), organ powinien uwzględnić treść wszystkich przeprowadzonych i rozpatrzonych dowodów, wskazując w uzasadnieniu decyzji fakty, które uznał za udowodnione, dowody, na których się oparł oraz przyczyny, z powodu których innym dowodom odmówił wiarygodności i mocy dowodowej. Analiza uzasadnienia zaskarżonej decyzji prowadzi do przyjęcia, że Prezes UODO dochował powyższych obowiązków i nie naruszył reguł swobodnej oceny dowodów.

Sąd pierwszej instancji uznał, że zaznaczyć także trzeba, iż przed wydaniem zaskarżonej decyzji, zgodnie z obowiązującymi w tym zakresie przepisami k.p.a., organ poinformował skarżącego (pismo z dnia 31 maja 2019 r.) o treści art. 10 § 1 k.p.a., tj. o zgromadzeniu materiału dowodowego wystarczającego do wydania decyzji, na które skarżący nie zareagował i nie wskazał innych aniżeli uprzednio podnoszona podstaw przetwarzania danych osobowych wnioskodawców.

Sąd pierwszej instancji stwierdził, że w sytuacji, gdy wnioskodawcy – w następstwie pisma skarżącego z dnia 4 maja 2018 r. "informacje dotyczące przetwarzania danych osobowych (...)", złożyli pismo z dnia 23 maja 2018 r., w którym zwrócili się do banku o zaprzestanie przesyłania na ich adres materiałów reklamowych i wyciągów bankowych oraz zawarli pisemne oświadczenie o wycofaniu zgody na przetwarzanie ich danych osobowych przez bank, które to wycofanie zgody obejmowało: "używanie, przetwarzanie i archiwizowanie wszelkich naszych danych osobowych (...)", bank nie miał podstaw prawnych do legalnego przetwarzania ich danych osobowych. Ostatecznie konto oszczędnościowe i techniczne wnioskodawców, zgodnie z ich żądaniem, bank zamknął w dniu 20 lipca 2019 r.

Wojewódzki Sąd Administracyjny w Warszawie stwierdził, że jako podstawę aktualnego przetwarzania danych osobowych wnioskodawców bank wskazał zabezpieczenie swoich interesów w przypadku dochodzenia przez wnioskodawców ewentualnych roszczeń. Jednak zebrany przez organ w toku postępowania administracyjnego materiał dowodowy nie wykazał, by wnioskodawcy wystąpili wobec banku z jakimkolwiek roszczeniem, które uprawniałoby bank do zachowania i przetwarzania ich danych osobowych dla celów dowodowych w związku z dochodzeniem przez nich tego roszczenia. Prawidłowo zatem organ uznał, że brak jest spełnienia wskazywanej przez bank przesłanki niezbędności do celów wynikających z prawnie usprawiedliwionych interesów realizowanych przez administratora odnośnie przetwarzania skarżonych danych osobowych. Przesłanka z art. 6 ust 1 lit. f rozporządzenia 2016/679 dotyczy sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia, potrzeba dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem.

W ocenie Sądu wskazana przez bank podstawa nie uzasadnia przetwarzania danych osobowych wnioskodawców, bowiem nie wystąpili oni z żadnym roszczeniem wobec banku. Tym samym przetwarzanie ich danych osobowych nie ma umocowania w przepisach prawa i nie jest niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez bank, a w szczególności podjęcia obrony przed ewentualnymi reklamacjami lub roszczeniami odszkodowawczymi. Gdyby natomiast (hipotetycznie) wnioskodawcy wystąpili z roszczeniami do sądu powszechnego, musieliby podać wszystkie swoje dane osobowe, niezbędne do prowadzenia postępowania, określone w kodeksie postępowania cywilnego. Bank, jako hipotetyczny pozwany, miałby wtedy do nich pełny wgląd.

W świetle powyższych rozważań za niezasadny uznać należy podniesiony w skardze zarzut dotyczący naruszenia art. 6 pkt 1 lit. f rozporządzenia 2016/679 w związku z art. 117 § 2 i § 21, art. 118 i art. 119 ustawy z dnia 23 kwietnia 1964 r. Kodeks cywilny (Dz. U. z 2019 r. poz. 1145 z późn. zm., zwana dalej: "k.c."), bowiem jak przedstawiono wyżej Prezes UODO prawidłowo wywiódł, że określona tym przepisem podstawa przetwarzania danych osobowych w niniejszej sprawie nie wystąpiła.

Zdaniem Sądu pierwszej instancji niezasadny jest także zarzut skargi w zakresie naruszenia przez organ art. 8 k.p.a., ponieważ przedstawione przez skarżącą w toku postępowania sądowego decyzje wydane zostały w innych, niż ustalony w sprawie, stanach faktycznych.

Mając na uwadze powołane okoliczności, Wojewódzki Sąd Administracyjny w Warszawie, działając na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2019 r. poz. 2325 z późn. zm., zwana dalej: "p.p.s.a."), orzekł o oddaleniu skargi.

Skargę kasacyjną od tego wyroku wniósł Bank [...] S.A. z siedzibą w W., zaskarżając wyrok w całości i zarzucając mu:

1. na podstawie art. 174 pkt 1 p.p.s.a. naruszenie prawa materialnego, tj.:

1) art. 7 k.p.a. w związku z art. 6 k.p.a. oraz art. 7 Konstytucji Rzeczypospolitej Polskiej (dalej "Konstytucja RP") poprzez błędną interpretację art. 7 k.p.a. polegającą na uznaniu przez WSA, że wyjaśnienie przez organ stanu faktycznego obejmuje ustalenie podstaw prawnych przetwarzania danych wynikających z powszechnie obowiązujących przepisów prawa. Ustalenie praw i obowiązków stron jest obowiązkiem organu wynikającym z zasady praworządności i nie stanowi elementu ustalania stanu faktycznego;

2) art. 17 ust. 3 lit. b) i e) RODO poprzez jego niewłaściwe zastosowanie, polegające na nieuwzględnieniu przez WSA faktu, że skarżąca ma ustawowy obowiązek przetwarzania danych Państwa K. po zakończeniu umowy, a w szczególności, że dane te są niezbędne do ustalenia, dochodzenia lub obrony roszczeń;

3) art. 6 ust. 1 lit. f RODO w związku z art. 117, 118 i 119 k.c. polegającego na błędnej interpretacji poprzez uznanie przez WSA, że przechowywanie danych przez okres przedawnienia roszczeń, również w przypadku, gdy ani administrator ani osoba, której dane dotyczą nie zgłosiła roszczenia, nie stanowi prawnie uzasadnionego interesu banku w rozumieniu art. 6 ust. 1 lit. f RODO;

4) art. 6 ust. 1 lit. c) RODO w związku z art. 5 ust. 1, art. 6 i art. 9 ustawy z dnia 5 sierpnia 2015 r. o rozpatrywaniu reklamacji przez podmioty rynku finansowego i o Rzeczniku Finansowym (Dz. U. z 2019 r. poz. 2279, zwana dalej: "ustawa o rozpatrywaniu reklamacji przez podmioty rynku finansowego") polegające na jego niewłaściwym zastosowaniu i przyjęciu, że na banku jako podmiocie rynku finansowego nie spoczywają określone obowiązki w zakresie rozpatrywania i udzielania odpowiedzi bez ograniczeń czasowych na reklamacje klientów, co uprawnia skarżącego kasacyjnie do przetwarzania danych osobowych państwa K. na podstawie art. 6 ust. 1 lit. c) RODO w celu realizacji tych obowiązków;

5) art. 6 ust. 1 lit. c RODO w związku z art. 33, 34 i 49 ustawy z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu ("ustawa AML"), polegające na jego niewłaściwym zastosowaniu i przyjęciu przez WSA, że skarżąca kasacyjnie nie legitymuje się przesłanką przetwarzania danych wynikającą z art. 6 ust. 1 lit. c RODO w związku z art. 33, 34 i 49 ustawy AML, podczas gdy przepisy te nakładają na skarżącą kasacyjnie obowiązek przetwarzania danych osobowych przez 5 lat od licząc od pierwszego dnia roku następującego po roku, w którym zakończono stosunki gospodarcze z klientem dla celów przeciwdziałania praniu pieniędzy;

6) art. 6 ust. 1 lit. c RODO w związku z art. 74 ust. 2 pkt 1 i 8 ustawy z dnia 29 września 1994 r. o rachunkowości (Dz.U. z 2019 r. poz. 351, zwana dalej: "ustawa o rachunkowości") polegające na jego niewłaściwym zastosowaniu i przyjęciu przez WSA, że skarżąca kasacyjnie nie legitymuje się przesłanką przetwarzania danych wynikającą z art. 6 ust. 1 lit. c RODO w związku z art. 74 ust. 2 pkt 1 i 8 ustawy o rachunkowości, podczas gdy przepisy te nakładają na skarżącą kasacyjnie obowiązek przetwarzania danych osobowych przez 5 lat dla celów rachunkowych.

II. Na podstawie art. 174 pkt 2 p.p.s.a. naruszenie przepisów postępowania mające istotny wpływ na wynik sprawy, tj.:

7) art. 141 § 4 p.p.s.a. poprzez całkowite pominięcie podniesionych w skardze i w piśmie uzupełniającym zarzutów naruszenia przepisów ustawy o rozpatrywaniu reklamacji przez podmioty rynku finansowego, ustawy AML, ustawy o rachunkowości oraz art. 8 § 2 k.p.a.;

8) art. 145 § 1 pkt 1 lit. c) p.p.s.a. w związku z art. 7, 77 i 80 k.p.a. poprzez nieuchylenie decyzji w całości pomimo, iż organ nie rozpatrzył w całości stanu faktycznego sprawy.

Mając powyższe na uwadze skarżący kasacyjnie wniósł o uchylenie zaskarżonego wyroku w całości, rozpoznanie skargi oraz uchylenie decyzji Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] stycznia 2020 r. sygn. [...] w całości, względnie o uchylenie zaskarżonego wyroku w całości i przekazanie sprawy do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie. Jednocześnie bank wniósł o zasądzenie kosztów postępowania według norm przepisanych, a także rozpoznanie sprawy objętej niniejszą skargą kasacyjną na rozprawie.

Powyższe zarzuty rozwinięto w uzasadnieniu skargi kasacyjnej.

W odpowiedzi na skargę kasacyjną Prezes Urzędu Ochrony Danych Osobowych wniósł o jej oddalenie.

W piśmie procesowym z dnia 13 lipca 2021 r. Bank [...] S.A. z siedzibą w W. przedstawił swoje stanowisko wobec odpowiedzi Prezesa Urzędu Ochrony Danych Osobowych z dnia 12 kwietnia 2021 r.

Pismem procesowym z dnia 17 sierpnia 2021 r. zatytułowanym "Duplika" Prezes Urzędu Ochrony Danych Osobowych podtrzymał stanowisko wyrażone w ww. odpowiedzi na skargę kasacyjną.

Naczelny Sąd Administracyjny zważył, co następuje:

Zgodnie z art. 183 § 1 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz. U. z 2024 r., poz. 935; dalej "p.p.s.a."), Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, bierze jednak z urzędu pod rozwagę nieważność postępowania. W sprawie nie występują, enumeratywnie wyliczone w art. 183 § 2 p.p.s.a., przesłanki nieważności postępowania sądowoadministracyjnego. Z tego względu przy rozpoznaniu sprawy Naczelny Sąd Administracyjny związany był granicami skargi kasacyjnej.

Skargę kasacyjną można oprzeć na następujących podstawach:

1) naruszeniu prawa materialnego przez błędną jego wykładnię lub niewłaściwe zastosowanie;

2) naruszeniu przepisów postępowania, jeżeli uchybienie to mogło mieć istotny wpływ na wynik sprawy (art. 174 p.p.s.a.).

Granice skargi kasacyjnej wyznaczają wskazane w niej podstawy. Oznacza to, że przytoczone w skardze kasacyjnej przyczyny wadliwości prawnej zaskarżonego wyroku determinują zakres kontroli dokonywanej przez sąd drugiej instancji, który w odróżnieniu od sądu pierwszej instancji nie bada całokształtu sprawy, lecz tylko weryfikuje zasadność zarzutów podniesionych w skardze kasacyjnej.

W sytuacji, kiedy skarga kasacyjna zarzuca naruszenie prawa materialnego oraz naruszenie przepisów postępowania, co do zasady w pierwszej kolejności rozpoznaniu podlegają zarzuty naruszenia przepisów postępowania, ponieważ dopiero po przesądzeniu, że stan faktyczny przyjęty przez sąd w zaskarżonym wyroku jest prawidłowy albo nie został dostatecznie podważony, można przejść do skontrolowania procesu subsumcji danego stanu faktycznego pod zastosowany przez sąd pierwszej instancji przepisu prawa materialnego (por. wyrok NSA z dnia 27 czerwca 2012 r., sygn. akt II GSK 819/11, Lex nr 1217424; wyrok NSA z dnia 26 marca 2010 r., sygn. akt II FSK 1842/08, Lex nr 596025; wyrok NSA z dnia 4 czerwca 2014 r., sygn. akt II GSK 402/13, Lex nr 1488113).

Odnosząc się do najdalej idącego zarzutu naruszenia art. 141 § 4 p.p.s.a wskazać należy, że jest on nieuzasadniony. Na tej podstawie można kwestionować kompletność elementów uzasadnienia, a nie jego prawidłowość merytoryczną. Trzeba przy tym podkreślić, że Sąd pierwszej instancji nie ma obowiązku szczegółowego odniesienia się do wszystkich twierdzeń podniesionych w skardze. Uzasadnienie wyroku powinno być tak sporządzone, aby wynikało z niego, dlaczego sąd uznał zaskarżone orzeczenie za zgodne lub niezgodne z prawem, dlaczego nie stwierdził czy stwierdził w rozpatrywanej sprawie naruszenia przez organy administracji przepisów prawa materialnego, czy też przepisów procedury w stopniu, który mógłby mieć wpływ na treść rozstrzygnięcia (por. wyrok NSA z 4 stycznia 2011 r., sygn. akt II OSK 1985/09). Ewentualna wadliwość argumentacji bądź prezentowanie przez stronę innego poglądu, niż wskazany w uzasadnieniu, nie stanowi o naruszeniu przez sąd art. 141 § 4 p.p.s.a. Uzasadnienie zaskarżonego w niniejszej sprawie wyroku sporządzone zostało w sposób umożliwiający zapoznanie się ze stanowiskiem Sądu pierwszej instancji, jak również zawiera wszystkie elementy wymienione w tym przepisie. Polemika z merytorycznym stanowiskiem sądu pierwszej instancji nie może sprowadzać się do zarzutu naruszenia art. 141 § 4 p.p.s.a., poprzez który nie można skutecznie zwalczać ani prawidłowości przyjętego za podstawę orzekania stanu faktycznego, ani stanowiska sądu co do wykładni bądź zastosowania prawa (por. wyrok NSA z dnia 26 listopada 2014 r. sygn. akt II OSK 1131/13; wyrok NSA z dnia 20 stycznia 2015 r. sygn. akt I FSK 2081/13; wyrok NSA z dnia 12 marca 2015r. sygn. akt I OSK 2338/13; wyrok NSA z dnia18 marca 2015 r. sygn. akt I GSK 1779/13, wyrok NSA z dnia 10 kwietnia 2018 r. sygn. akt II GSK 1995/16).

W odniesieniu do zarzutu naruszenia art. 145 § 1 pkt 1 lit. c p.p.s.a. w związku z art. 7, 77 i 80 k.p.a. należy przede wszystkim podnieść, że konstrukcja zarzutu jest wadliwa. Sąd pierwszej instancji oddalił skargę, orzekł zatem w oparciu o art. 151 p.p.s.a., a nie w oparciu o wskazany w tej podstawie kasacyjnej art. 145 § 1 pkt 1 lit. c p.p.s.a. Nadto art. 77 k.p.a. składa się z czterech paragrafów o różnej treści normatywnej, a skarżący kasacyjnie nie wskazał, naruszenie którego z nich zarzuca, co było jego obowiązkiem. Przez podstawę kasacyjną należy bowiem rozumieć konkretny przepis prawa, którego naruszenie przez Sąd pierwszej instancji zarzuca skarga kasacyjna, a w odniesieniu do przepisu, który nie stanowi jednej zamkniętej całości, a składa się z ustępów, punktów i innych jednostek redakcyjnych, wymóg skutecznie wniesionej skargi kasacyjnej jest spełniony wówczas, gdy wskazuje ona konkretny przepis naruszony przez sąd pierwszej instancji, z podaniem numeru artykułu, ustępu, punktu i ewentualnie innej jednostki redakcyjnej przepisu.

Zarzut powyższy sprowadza się do nierozpatrzenia w całości stanu faktycznego sprawy. Należy podnieść, że w postępowaniu administracyjnym zostały przeprowadzone i ocenione w ramach swobodnej oceny dowodów wszystkie dowody znane organowi. Przed wydaniem zaskarżonej decyzji organ poinformował skarżącego kasacyjnie o zgromadzeniu materiału dowodowego, skarżący nie wskazał jednak innych dowodów, jak również nie wskazał podstaw przetwarzania danych osobowych wnioskodawców innych niż wskazywane do tego momentu.

Należy podnieść, że zgodnie z zasadą prawdy obiektywnej, która została skonstruowana w art. 7 k.p.a., w toku postępowania organy administracji publicznej z urzędu lub na wniosek stron podejmują wszelkie czynności niezbędne do dokładnego wyjaśnienia stanu faktycznego oraz do załatwienia sprawy. Organ administracji publicznej ma zatem obowiązek zebrania i rozpatrzenia materiału dowodowego w taki sposób, aby ustalić stan faktyczny sprawy zgodny z rzeczywistością. Zasada prawdy obiektywnej została skonkretyzowana w art. 77 § 1 k.p.a., zgodnie z którym "organ administracji publicznej jest obowiązany w sposób wyczerpujący zebrać i rozpatrzyć cały materiał dowodowy". Natomiast zgodnie z art. 80 k.p.a. "organ administracji publicznej ocenia na podstawie całokształtu materiału dowodowego, czy dana okoliczność została udowodniona". Biorąc pod uwagę treść przytoczonych wyżej przepisów należy uznać, że w postępowaniu administracyjnym obowiązuje zasada oficjalności postępowania dowodowego. Okoliczność, w której strona również ma prawo wykazywania inicjatywy dowodowej, nie zwalnia organu administracji publicznej z obowiązku podejmowania z urzędu czynności zmierzających do pełnego wyjaśnienia stanu faktycznego oraz do załatwienia sprawy. Organ administracji publicznej jest obowiązany z urzędu:

1. ustalić, jakie okoliczności faktyczne mają znaczenie dla rozstrzygnięcia sprawy;

2. ustalić, jakie dowody powinny zostać przeprowadzone w celu ustalenia powyższych okoliczności;

3. przeprowadzić dowody, które uznał za niezbędne dla dokonania prawidłowych ustaleń w zakresie stanu faktycznego sprawy;

4. dokonać oceny przeprowadzonych dowodów zgodnie z zasadą swobodnej oceny dowodów (por. wyrok NSA z 23.02.2012 r., II GSK 118/12, LEX nr 1125454).

Realizacja przez organ administracji publicznej powyższych obowiązków nie pozbawia oczywiście strony prawa do czynnego udziału w czynnościach postępowania dowodowego związanych z realizacją zasady czynnego udziału strony w postępowaniu. Prawo strony do czynnego udziału w każdym stadium postępowania jest realizowane w szczególności przez prawo do inicjatywy dowodowej, ukształtowane w art. 78 k.p.a., prawo do brania czynnego udziału w czynnościach postępowania dowodowego (art. 79 k.p.a.), jak również prawo do wypowiedzenia się co do przeprowadzonych dowodów, wynikające z art. 10 § 1 i art. 81 k.p.a.

Z zasadą prawdy obiektywnej wiąże się kwestia rozłożenia ciężaru dowodu (onus probandi) w postępowaniu administracyjnym. Zasada prawdy obiektywnej przenosi ciężar dowodu w postępowaniu administracyjnym na organ administracji publicznej prowadzący postępowanie w sprawie. Co do zasady gospodarzem postępowania administracyjnego jest organ administracji publicznej, który powinien je prowadzić zgodnie z zasadą oficjalności, jednak strona ma prawo do czynnego uczestnictwa w postępowaniu wyjaśniającym, a w szczególności prawo inicjatywy dowodowej, z którego powinna korzystać, chcąc uniknąć negatywnych konsekwencji związanych z poczynionymi przez organ ustaleniami w zakresie stanu faktycznego sprawy na podstawie znanych organowi środków dowodowych.

Powyższe stanowisko dobrze ilustruje wyrok z 8.11.2013 r., II OSK 1291/12, w którym NSA stwierdził, że "organ jest wprawdzie zobowiązany do wyczerpującego zebrania i rozpatrzenia całego materiału dowodowego, jednakże strona nie jest zwolniona od lojalnego współdziałania w wyjaśnianiu okoliczności faktycznych. Powinna ona bowiem przedstawić wszystkie informacje niezbędne do ustalenia stanu faktycznego sprawy, jak również udostępnić dowody znajdujące się w jej posiadaniu lub które tylko ona może przedstawić, potwierdzające okoliczności wskazane w uzasadnieniu wniosku wszczynającego postępowanie. Obowiązki te w żaden sposób nie wyłączają wymogu dążenia przez organ administracji do wyjaśnienia prawdy materialnej (art. 7 i 77 § 1 k.p.a.), niemniej jednak oznaczają, że składający wniosek powinien aktywnie współdziałać z organem w celu ustalenia wszystkich okoliczności sprawy. W sprawach, w których strona nie przedstawiła, jak też organ nie znalazł z urzędu dowodów potwierdzających fakty i zdarzenia, z których strona wywodzi dla siebie określone (z reguły korzystne) skutki prawne, przed wydaniem decyzji negatywnej organ administracji powinien zawsze wezwać stronę do uzupełnienia materiału dowodowego poprzez przedstawienie przez nią brakujących dowodów czy też sprecyzowania dotychczasowych niejasnych czy też ogólnikowych wyjaśnień".

Należy zatem uznać, że "obowiązki organów administracji publicznej w zakresie przeprowadzenia dowodów z urzędu celem odtworzenia prawdy obiektywnej nie sięgają tak daleko, by zwalniały stronę ze współudziału w zebraniu materiału dowodowego" (wyrok NSA z 17.02.2011 r., II GSK 273/10, LEX nr 992347; por. też wyrok NSA z 7.12.2010 r., II OSK 1677/10, LEX nr 746724). W szczególności wówczas, gdy organ administracji publicznej dokonał pewnych ustaleń w zakresie stanu faktycznego na podstawie przeprowadzonych dowodów, a strona kwestionuje te dowody i ustalenia, przeciwdowód może być przeprowadzony z jej inicjatywy, organ nie ma natomiast obowiązku poszukiwania dowodów dla wykazania słuszności stanowiska strony (por. wyrok NSA z 10.12.2009 r., II OSK 1933/08, LEX nr 582865).

Trzeba podkreślić, że w postępowaniu administracyjnym, którego przedmiotem jest sprawa zgodności z prawem przetwarzania danych osobowych badaniu podlega kwestia, czy administrator przetwarza dane osobowe w sposób prawidłowy i zgodny z przepisami o ochronie danych osobowych. Istotne znaczenie ma regulacja art. 5 ust. 1 i 2 RODO Zgodnie z powyższym przepisem : "1. Dane osobowe muszą być:

a) przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą ("zgodność z prawem, rzetelność i przejrzystość");

b) zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami; dalsze przetwarzanie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych nie jest uznawane w myśl art. 89 ust. 1 za niezgodne z pierwotnymi celami ("ograniczenie celu");

c) adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane ("minimalizacja danych");

d) prawidłowe i w razie potrzeby uaktualniane; należy podjąć wszelkie rozsądne działania, aby dane osobowe, które są nieprawidłowe w świetle celów ich przetwarzania, zostały niezwłocznie usunięte lub sprostowane ("prawidłowość");

e) przechowywane w formie umożliwiającej identyfikację osoby, której dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane; dane osobowe można przechowywać przez okres dłuższy, o ile będą one przetwarzane wyłącznie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych na mocy art. 89 ust. 1, z zastrzeżeniem że wdrożone zostaną odpowiednie środki techniczne i organizacyjne wymagane na mocy niniejszego rozporządzenia w celu ochrony praw i wolności osób, których dane dotyczą ("ograniczenie przechowywania");

f) przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych ("integralność i poufność").

2. Administrator jest odpowiedzialny za przestrzeganie przepisów ust. 1 i musi być w stanie wykazać ich przestrzeganie ("rozliczalność").

Zgodnie z zasadą rozliczalności (art. 5 ust. 2 RODO) to na administratorze danych spoczywa obowiązek wykazania, że zarówno zakres, jak i sposób przetwarzania danych osobowych jest adekwatny do obranego przez niego celu i warunków jego realizacji - zasada ograniczonego celu przetwarzania (art. 5 ust. 1 lit. b RODO) i zasady minimalizacji przetwarzania danych (art. 5 ust. 1 lit. c RODO). Powyższe przesądza o bezzasadności podniesionego zarzutu naruszenia przepisów postępowania poprzez nierozpatrzenie w całości stanu faktycznego sprawy. Z tych samych przyczyn bezzasadny jest zarzut naruszenia art. 7 k.p.a. i art. 6 k.p.a. oraz art. 7 Konstytucji RP.

Także pozostałe podniesione w skardze kasacyjnej zarzuty naruszenia prawa materialnego nie są uzasadnione.

W szczególności nie jest zasadny zarzut naruszenia art. 17 ust. 3 lit. b i e RODO oraz art. 6 ust. 1 lit. f RODO w związku z art. 117, 118 i 119 ustawy Kodeks cywilny. Artykuł 17 RODO, regulując prawo "do bycia zapomnianym" wskazuje, że ust. 1 i 2 tego przepisu nie mają zastosowania w zakresie, w jakim przetwarzanie jest niezbędne do wywiązania się z prawnego obowiązku wymagającego przetwarzania na mocy prawa Unii lub prawa państwa członkowskiego, któremu podlega administrator lub do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi oraz do ustalenia, dochodzenia lub obrony roszczeń. Prawidłowe jest stanowisko Sądu pierwszej instancji, że niedopuszczalne jest przetwarzanie danych osobowych niejako "na zapas" z założeniem, że mogą być one ewentualnie przydatne w przyszłości oraz z odwołaniem się do przepisów dotyczących przedawnienia roszczeń cywilnoprawnych.

Zgodnie z postanowieniami art. 6 ust. 1 RODO "[p]rzetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy - i w takim zakresie, w jakim - spełniony jest co najmniej jeden z poniższych warunków - lit. f - przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem".

Zastosowanie art. 6 ust. 1 lit. f RODO jest więc uzasadnione, gdy łącznie spełnione są następujące przesłanki:

1) po stronie administratora istnieją cele, dla osiągnięcia których przetwarzanie danych osobowych jest niezbędne;

2) cele te wynikają z "prawnie uzasadnionych interesów" realizowanych przez administratora;

3) "prawnie uzasadnione interesy" realizowane przez administratora mają charakter nadrzędny wobec interesów lub podstawowych praw i wolności osoby, której dotyczą przetwarzane dane.

Poprzez cel, dla osiągnięcia którego przetwarzanie danych osobowych jest niezbędne, należy rozumieć stan rzeczy, układ rzeczywistości, do którego dąży administrator poprzez to przetwarzanie. "Niezbędność" przetwarzania danych osobowych do osiągnięcia obranego przez administratora celu sprowadza się do ustalenia, że bez tego przetwarzania nie da się go zrealizować. Chodzi więc o wykazanie logicznie uzasadnionego i weryfikowalnego związku przyczynowo-skutkowego pomiędzy przetwarzaniem danych osobowych a realizacją stanu rzeczy, do którego dąży administrator. Ustalenie "niezbędności" przetwarzania danych osobowych dla celów administratora musi opierać się na przesłankach konkretnych, uwzględniających możliwie najszersze spektrum uwarunkowań jego realizacji. Przetwarzanie danych osobowych na podstawie art. 6 ust. 1 lit. f RODO wymaga od administratora wykazania, że jest to konieczne z uwagi na charakter celu, okoliczności faktyczne i prawne jego realizacji oraz relacje podmiotowe pomiędzy administratorem a osobą, której te dane dotyczą. Zgodnie z zasadą rozliczalności (art. 5 ust. 2 RODO) administrator będzie zobowiązany wykazać, że zarówno zakres, jak i sposób przetwarzania danych osobowych jest adekwatny do obranego przez niego celu i warunków jego realizacji - zasada ograniczonego celu przetwarzania (art. 5 ust. 1 lit. b RODO) i zasada minimalizacji przetwarzanych danych (art. 5 ust. 1 lit. c RODO).

Kolejnym warunkiem przetwarzania danych osobowych na podstawie art. 6 ust. 1 lit. f RODO jest ustalenie, że cel, dla osiągnięcia którego przetwarzanie to jest niezbędne "wynika z prawnie uzasadnionych interesów realizowanych przez administratora (lub przez stronę trzecią)". Desygnatami "prawnie uzasadnionych interesów administratora" nie są przy tym wyłącznie te interesy, które ściśle wiążą się z realizacją praw i obowiązków wynikających z przepisów prawa. Takie wąskie rozumienie tego pojęcia prowadziłoby bowiem do częściowego zdublowania przesłanki przetwarzania danych osobowych z art. 6 ust. 1 lit. f z przesłanką określoną w art. 6 ust. 1 lit. c RODO; art. 6 ust. 1 lit. c RODO legitymizuje przetwarzanie danych osobowych, jeżeli "jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze". Prawnie uzasadniony interes administratora należy więc rozumieć jako interes prawnie dopuszczony, niesprzeczny z porządkiem prawnym.

Do prawnie uzasadnionych interesów administratora danych osobowych prawodawca unijny odwołał się w motywie 47 preambuły RODO, w którym stwierdził, że "[t]aki prawnie uzasadniony interes może istnieć na przykład w przypadkach, gdy zachodzi istotny i odpowiedni rodzaj powiązania między osobą, której dane dotyczą, a administratorem, na przykład gdy osoba, której dane dotyczą, jest klientem administratora lub działa na jego rzecz. Aby stwierdzić istnienie prawnie uzasadnionego interesu, należałoby w każdym przypadku przeprowadzić dokładną ocenę, w tym ocenę tego, czy w czasie i w kontekście, w którym zbierane są dane osobowe, osoba, której dane dotyczą, ma rozsądne przesłanki by spodziewać się, że może nastąpić przetwarzanie danych w tym celu".

Treść motywu 47 preambuły RODO nie wskazuje więc konkretnie, matrycowo, jakie warunki powinny zostać spełnione, aby można było stwierdzić, że administrator przetwarza dane osobowe zgodnie ze swoimi prawnie uzasadnionymi interesami. Podano jedynie przykładowo, iż może chodzić o szczególnego rodzaju relację pomiędzy administratorem a osobą, której dane są przetwarzane. W każdym konkretnym układzie należy rozstrzygnąć, czy treść i charakter tej relacji w sposób rozsądny uzasadnia takie przetwarzanie w określonym zakresie i czasie. Wyeksponować trzeba, że w motywie 47 prawodawca unijny w ogóle nie powiązał "prawnie uzasadnionych interesów" administratora z porządkiem prawnym. Akcent położył natomiast na charakter relacji łączącej administratora z osobą, której dane są przetwarzane, jej kontekstowość oraz wynikającą z jej indywidualnych uwarunkowań racjonalnie uzasadnioną potrzebę tego przetwarzania. Motyw 47 preambuły RODO w kontekście rekonstrukcji zakresu stosowania art. 6 ust. 1 lit. f RODO przesądza, że dopuszczalność przetwarzania danych osobowych na tej podstawie powinna być oceniana kauzalnie, z uwzględnieniem, że zasadnicze znaczenie w tym przedmiocie, powinny mieć uwarunkowania konkretnej relacji pomiędzy administratorem, a osobą której dotyczą przetwarzane dane. Porządek prawny - w tej przestrzeni formułowania ocen - należy traktować jako granicę dopuszczalności prawnie uzasadnionego interesu administratora, na którym opiera przetwarzanie danych osobowych. Porządek prawny może więc być przeszkodą do przetwarzania danych osobowych na podstawie art. 6 ust. 1 lit. f RODO, jeżeli interesu administratora nie da się z nim pogodzić - interes administratora będzie sprzeczny z porządkiem prawnym, a więc nie będzie prawnie uzasadniony. Porządek prawny nie stanowi ścisłej podstawy uzasadnionego interesu administratora do przetwarzania danych osobowych na podstawie art. 6 ust. 1 lit. f RODO, wyznacza natomiast granicę tego przetwarzania.

W powyższym kontekście należy podnieść, iż w stanie faktycznym niniejszej sprawy jako podstawę przetwarzania danych osobowych wnioskodawców strona skarżąca kasacyjnie wskazywała zabezpieczenie swoich interesów w przypadku dochodzenia przez wnioskodawców ewentualnych roszczeń, podczas gdy nie zostało wykazane, by wnioskodawcy wystąpili wobec strony skarżącej kasacyjnie z jakimkolwiek roszczeniem. Nadto wnioskodawcy przestali być klientami banku wobec zamknięcia ich konta oszczędnościowego i technicznego z dniem 20 lipca 2019 r.

W odniesieniu do zarzutu naruszenia art. 6 ust. 1 lit. c RODO w związku z art. 5 ust. 1, art. 6 i art. 9 ustawy z dnia 5 sierpnia 2015 r. o rozpatrywaniu reklamacji przez podmioty rynku finansowego i o Rzeczniku Finansowym (t.j. Dz.U. z 2024 r., poz. 1109) należy podnieść, że powyższe regulacje nie mogą stanowić podstawy do nieograniczonego czasowo przetwarzania danych osobowych, szczególnie tych osób, które już nie są klientami banku. Gdyby inaczej odczytywać powyższe regulacje, prawo do bycia zapomnianym stanowiłoby fikcję. Nadto na taką podstawę przetwarzania danych osobowych administrator nie powoływał się w postępowaniu administracyjnym.

Nie jest zasadny także zarzut naruszenia art. 6 ust. 1 lit. c RODO w związku z art. 33, 34 i 49 ustawy z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (t.j. Dz.U. z 2023 r., poz. 1124). Przede wszystkim zarzut ten został nieprawidłowo skonstruowany, gdyż art. 33, 34 i 49 ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu składają się z wielu jednostek redakcyjnych o różnej treści normatywnej, a skarżący kasacyjnie nie wskazał, naruszenie których z nich zarzuca, co było jego obowiązkiem. W tej sytuacji Sąd odwoławczy nie może domyślać się intencji autora skargi kasacyjnej.

Na marginesie warto również podkreślić, że w toku postępowania administracyjnego skarżący kasacyjnie nie wskazał konkretnie, jakie regulacje prawne powyższej ustawy stanowią podstawę do przetwarzania danych osobowych wnioskodawców.

W odniesieniu do zarzutu naruszenia art. 6 ust. 1 lit. c RODO w związku z art. 74 ust. 2 pkt 1 i 8 ustawy z dnia 29 września 1994 r. o rachunkowości (t.j. Dz.U. z 2023 r., poz. 120) również należy podnieść, że w toku postępowania administracyjnego strona skarżąca kasacyjnie nie podniosła powyższej okoliczności jako uzasadniającej przetwarzanie danych osobowych wnioskodawców. Należy raz jeszcze nawiązać w tym miejscu do zasady rozliczalności wynikającej z art. 5 ust. 2 RODO i jej konsekwencji. Stwierdzenie, że administrator powinien być w stanie wykazać przestrzeganie zasad, odczytywać należy jako nałożenie na administratora ciężaru dowodowego w zakresie przestrzegania zasad przetwarzania danych. W razie sporu z osobą, której dane dotyczą, albo z organem nadzorczym, administrator powinien być w stanie przedstawić dowody na to, że przestrzega zasad. W niniejszym postępowaniu skarżący kasacyjnie nie wykazał dopuszczalności przetwarzania danych osobowych w sytuacji wycofania przez wnioskodawców zgody na ich przetwarzanie.

Z tych względów, na podstawie art. 184 p.p.s.a., Naczelny Sąd Administracyjny oddalił skargę kasacyjną z powodu braku usprawiedliwionych podstaw.