Centralna Baza Orzeczeń Sądów Administracyjnych

Naczelny Sąd Administracyjny w składzie: Przewodniczący: sędzia NSA Przemysław Szustakiewicz (spr.) Sędziowie sędzia NSA Rafał Stasikowski sędzia del. WSA Mariusz Kotulski Protokolant starszy asystent sędziego Joanna Ukalska po rozpoznaniu w dniu 2 grudnia 2025 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej [...] Bank [...] od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 1 lutego 2022 r. sygn. akt II SA/Wa 2106/21 w sprawie ze skargi [...] Bank [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 23 marca 2021 r. nr ZSPR.440.1958.2019.PT.MKA.117202 w przedmiocie nakazu usunięcia danych osobowych 1. uchyla zaskarżony wyrok w całości i przekazuje sprawę do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie; 2. odstępuje od zasądzenia kosztów postępowania kasacyjnego w całości.

Wojewódzki Sąd Administracyjny w Warszawie, wyrokiem z dnia 1 lutego 2022 r., sygn. akt II SA/Wa 2106/21, oddalił skargę [...] Bank [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 23 marca 2021 r., nr ZSPR.440.1958.2019.PT.MKA.117202 w przedmiocie nakazu usunięcia danych osobowych. W sprawie ustalono następujący stan faktyczny i prawny:

Do Urzędu Ochrony Danych Osobowych wpłynęła skarga B.P. na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Bank, polegające na niespełnieniu żądania usunięcia jego danych osobowych.

Pismem z dnia 13 marca 2020 r. Bank wyjaśnił, że pozyskał dane osobowe strony bezpośrednio od niego, w związku z zawarciem w dniu 23 września 2013 r. umów, w tym umowy ramowej o korzystanie z systemu bankowości internetowej oraz umowy rachunku, umowy o kartę płatniczą do rachunku oraz umowy o korzystanie z systemu bankowości elektronicznej dla klientów indywidualnych. Bank wskazał, że pozyskał dane strony w zakresie: imienia, nazwiska, PESEL, nazwiska rodowego matki, imion rodziców, daty urodzenia, płci, kraju urodzenia, miejsca urodzenia, statusu dewizowego, statusu podatkowego, obywatelstwa, adresu zamieszkania, adresu korespondencyjnego, adresu e-mail, serii i numeru dowodu osobistego, numeru paszportu, numeru telefonu komórkowego, stanu cywilnego, statusu mieszkaniowego, wykształcenia, liczby osób w gospodarstwie, kosztów gospodarstwa domowego, źródła dochodu, okresu osiągania dochodu, danych pracodawcy, zawodu wykonywanego, wysokości dochodu. Ponadto Bank wskazał, że aktualnie przetwarza pozyskane dane osobowe strony w celu archiwalnym.

Następnie Prezes Urzędu Ochrony Danych Osobowych decyzją z dnia 23 marca 2021 r., nr ZSPR.440.1958.2019.PT.MKA, działając na podstawie art. 5 ust. 1 lit. b, art. 6 ust. 1, art. 17 ust. 1 lit. a, art. 58 ust. 2 lit. c oraz art. 60 ust. 7 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 04.05.2016, str. 1 oraz Dz. Urz. UE L 127 z 23.05.2018, str. 2, dalej jako "RODO"), nakazał Bankowi usunięcie danych osobowych strony w zakresie: imienia, nazwiska, PESEL, nazwiska rodowego matki, imion rodziców, daty urodzenia, płci, kraju urodzenia, miejsca urodzenia, statusu dewizowego, statusu podatkowego, obywatelstwa, adresu zamieszkania, adresu korespondencyjnego, adresu e-mail, serii i numeru dowodu osobistego, numeru paszportu, numeru telefonu komórkowego, stanu cywilnego, statusu mieszkaniowego, wykształcenia, liczby osób w gospodarstwie, kosztów gospodarstwa domowego, źródła dochodu, okresu osiągania dochodu, danych pracodawcy, zawodu wykonywanego, wysokości dochodu.

W uzasadnieniu decyzji organ wyjaśnił, że RODO określa legalność przetwarzania danych osobowych. Każda z przesłanek z art. 6 ust. 1 RODO ma charakter autonomiczny i niezależny, co oznacza, że spełnienie jednej z nich stanowi w danym przypadku o zgodności z prawem przetwarzania danych osobowych. Zgoda osoby, której dane dotyczą nie jest jedyną podstawą uprawniającą do przetwarzania jej danych osobowych (lit. a). Proces przetwarzania danych będzie zgodny z przepisami ustawy również wtedy, gdy administrator danych wykaże spełnienie choćby jednej przesłanki z art. 6 ust. 1 RODO.

Ponadto organ wskazał, że zgodnie z art. 5 ust. 1 pkt. b RODO dane osobowe muszą być zbieranie w konkretnych wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami. W ocenie organu, po wydaniu dyspozycji zakończenia wszystkich umów łączących stronę z Bankiem oraz w związku z jej wnioskiem z dnia 12 września 2019 r. o usunięcie danych osobowych, przetwarzanie danych osobowych strony przez Bank w zakresie jego imienia, nazwiska, PESEL, nazwiska rodowego matki, imion rodziców, daty urodzenia, płci, kraju urodzenia, miejsca urodzenia, statusu dewizowego, statusu podatkowego, obywatelstwa, adresu zamieszkania, adresu korespondencyjnego, adresu e-mail, serii i numeru dowodu osobistego, numeru paszportu, numeru telefonu komórkowego, stanu cywilnego, statusu mieszkaniowego, wykształcenia, liczby osób w gospodarstwie, kosztów gospodarstwa domowego, źródła dochodu, okresu osiągania dochodu, danych pracodawcy, zawodu wykonywanego, wysokości dochodu nie znajduje prawnego uzasadnienia w przepisach RODO. Zdaniem Prezesa UODO, dalsze przetwarzanie przez Bank danych osobowych strony stanowi naruszenie art. 6 ust. 1 i 17 ust. 1 RODO.

Prezes UODO zauważył, że Bank wskazał, że przetwarza obecnie dane strony w celu archiwizacji, ale w żaden sposób nie wykazał okoliczności uzasadniających przetwarzanie po zamknięciu wszystkich umów przez stronę. Ponadto, Bank wskazał, że podstawą prawną okresu przetwarzania danych stanowi art. 118 kc. Jednakże zebrany w postępowaniu materiał dowodowy nie wykazał, aby strona wystąpiła z jakimkolwiek roszczeniem wobec Banku, które uzasadniałoby uprawnienie Banku do zachowania i przetwarzania danych osobowych strony dla celów dowodowych w związku z dochodzeniem przez nią roszczenia. W ocenie Prezesa UODO, brak jest zatem spełnienia przesłanki niezbędności do celów wynikających z prawnie usprawiedliwionych interesów realizowanych przez administratora odnośnie do przetwarzania danych osobowych strony.

Prezes UODO wyjaśnił również, że przesłanka z art. 6 ust 1 lit. f RODO dotyczy sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia, potrzeba dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem. W związku z tym, że przeprowadzone przez Prezesa UODO postępowanie administracyjne nie wykazało, aby strona skierowała wobec Banku jakiekolwiek roszczenie, organ stwierdził, iż Bank przetwarza dane osobowe strony wyłącznie "na zapas", aby zabezpieczyć się przed ewentualnym przyszłymi i niepewnymi roszczeniami strony. Zdaniem Prezesa UODO, przyjęcie za prawidłowe stanowiska, iż przetwarzanie danych osobowych w celu uchylenia się od negatywnych skutków w przypadku zgłoszenia w przyszłości ewentualnego i nieokreślonego roszczenia, stanowi prawnie usprawiedliwiony cel w rozumieniu art. 6 ust. 1 lit. f RODO oznaczałoby, że dane osobowe strony mogą być przetwarzane przez Bank permanentnie, bez konieczności ich usunięcia.

Organ wskazał ponadto, że brak jest uzasadnienia dla przyjęcia, że terminy dotyczące przedawnienia roszczeń wynikających ze stosunków zobowiązaniowych określają jednocześnie ramy czasowe, w których dane osobowe mogą być przetwarzane przez Bank. Przedawnienie roszczenia nie wywołuje skutków na gruncie ochrony danych osobowych, nie wpływa bowiem na fakt istnienia roszczenia, a powoduje jedynie zmianę w sferze zarzutów procesowych w postaci możliwości podniesienia okoliczności przedawnienia w sporze sądowym. Okolicznością usprawiedliwiającą przetwarzanie danych osobowych w celu dochodzenia roszczeń jest sam fakt istnienia roszczenia oraz zamiar jego dochodzenia, nie jest nią natomiast zmiana w uprawnieniach procesowych podmiotu pozwanego.

Skargę na powyższe rozstrzygnięcie do Wojewódzkiego Sądu Administracyjnego w Warszawie wywiódł Bank.

W odpowiedzi na skargę organ wniósł o jej oddalenie.

Powołanym na wstępie wyrokiem, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2019 r., poz. 2325 ze zm., dalej "P.p.s.a.") uznał, że skarga jest niezasadna.

W uzasadnieniu Sąd I instancji wskazał, że Bank zarzuca organowi błąd w ustaleniach faktycznych, albowiem (uczestnik postępowania) był stroną 18 różnych umów podlegających różnym przepisom prawa, a nie – jak przyjął organ - tylko 4 wskazanych w pkt 1 decyzji, co skutkowało całkowitym pominięciem przepisów prawa mających zastosowanie do tych stosunków prawnych. Ponadto Bank podniósł, że nie jest prawdziwa informacja, jakoby wszystkie umowy nie ulegały rozwiązaniu w 2018 r.

W ocenie Sądu I instancji analiza zebranego materiału dowodowego oraz zaskarżonych decyzji przeczy zasadności wskazanych zarzutów. Przede wszystkim wbrew twierdzeniom skargi - Prezes UODO w pkt 1 zaskarżonej decyzji nie zawarł takiego stwierdzenia, gdyż użył kwantyfikatora "w tym", które należy intepretować, jako synonim "między innymi". Powyższe zmienia perspektywę oceny analizowanego zakresu przedmiotowego umów, jakich dokonał organ, gdyż w istocie, analiza ta obejmuje wszystkie istotne dla sprawy umowy, a nie "tylko" wybrane (tj. zdaniem skarżącego – 4 umowy). Również twierdzenia Banku, że "(...) nie jest prawdziwa informacja, że wszystkie umowy nie ulegały rozwiązaniu w 2018 r." nie znajduje potwierdzenia w treści zaskarżonej decyzji, o czym świadczy analiza załączonego do akt sprawy materiału dowodowego. Niezależnie od powyższego Sąd I instancji wyjaśnił, że jeśli Bank chciał ten dowód wzruszyć, to zgodnie z przepisem art. 7 k.p.a., inicjatywa w postępowaniu dowodowym przysługuje także stronom postępowania. Brak aktywności dowodowej Banku w tym aspekcie upoważniał organ do odstąpienia od obowiązku poszukiwania z urzędu dalszych dowodów w tym zakresie i przyjęcia ustaleń faktycznych wynikających ze zgromadzonego materiału dowodowego.

W ocenie Sądu I instancji, jako bezpodstawny uznać należy zarzut naruszenia przez organ art. 7 w zw. z art. 77, art. 80 oraz art. 107 ust. 1 pkt. 4 k.p.a., w kontekście pominięcia w zaskarżonej decyzji okoliczności przetwarzania danych w celach archiwalnych. Przeczy temu wprost choćby fragment uzasadnienia, w którym organ jednoznacznie stwierdza, że "Bank wskazał, że przetwarza obecnie dane skarżącego w celu archiwizacji, ale w żaden sposób nie wykazał okoliczności uzasadniających przetwarzanie po zamknięciu wszystkich umów przez skarżącego. Ponadto, Bank wskazał, że podstawą prawną okresu przetwarzania danych stanowi art. 118 Kodeks Cywilny." Powyższe zarzuty są ściśle związane z istotą sporu między stronami w aspekcie materialnoprawnym, tj. wykładni przepisu art. 6 ust. 1 RODO. Bank stara się bowiem wywieść, że poprzez naruszenie art. 6 oraz art. 107 ust. 1 pkt. 4 k.p.a. w kontekście uznania, iż "decyzja uznaje niesporny fakt, że Bank przetwarza dane strony przeciwnej w celu archiwalnym "(...) dokonano wadliwej subsumpcji przepisu art. 6 ust. 1 RODO, gdyż w takim przypadku "Bank ma prawo przetwarzać dane na podstawie art. 6 ust. 1 lit. c) RODO". Bank formułując powyższy zarzut dokonuje jednak "swobodnej interpretacji" materiału dowodowego, gdyż z ustaleń faktycznych wynika w sposób bezsporny, że Bank, oprócz informacji, że przetwarza dane osobowe uczestnika w celu archiwalnym, wskazując okresy powiązane z przedawnieniem roszczeń, o których mowa w art. 118 k.c., nie wykazał jakichkolwiek konkretnych roszczeń, którego przedawnienie miałoby dotyczyć. Z zebranego materiału dowodowego nie wynika także, aby uczestnik wystąpił z jakimkolwiek roszczeniem wobec Banku, które uzasadniałoby uprawnienie Banku do zachowania i przetwarzania jego danych osobowych dla celów dowodowych w związku z dochodzeniem określonego roszczenia.

W tym stanie rzeczy za Prezesem UODO przyjąć należy, że nie została spełniona przesłanka niezbędności przetwarzania w celach wynikających z prawnie usprawiedliwionych interesów realizowanych przez administratora. Przesłanka z art. 6 ust 1 lit. f) RODO dotyczy sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia potrzeby dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem. Skoro w toku postępowania nie stwierdzono aby uczestnik postępowania kiedykolwiek skierował wobec Banku jakiekolwiek roszczenie, ew. Bank wdrożył jakieś postępowanie odszkodowawcze wobec "klienta", to zasadnym jest twierdzenie, że Bank przetwarza dane osobowe uczestnika w celu wyłącznie "na zapas", aby zabezpieczyć się przed ewentualnymi przyszłymi i niepewnymi roszczeniami.

W ocenie WSA w Warszawie, przyjęcie za prawidłowe forsowanego w skardze poglądu, iż przetwarzanie danych osobowych w celu uchylenia się od negatywnych skutków w przypadku zgłoszenia w przyszłości ewentualnego i nieokreślonego roszczenia, stanowi prawnie usprawiedliwiony cel w rozumieniu art. 6 ust. 1 lit. f RODO oznaczałoby, że dane osobowe uczestnika mogą być przetwarzane przez Bank permanentnie, bez konieczności ich usunięcia. Samo powołanie się przez Bank na przetwarzanie danych w celach archiwalnych nie może być uznane za wystarczające wykazanie podstawy prawnej przetwarzania. Bank jako podmiot profesjonalny, przetwarzający dane osobowe na dużą skalę, powinien być w stanie odpowiedzieć w sposób zgodny ze stanem faktycznym na konkretne i jednoznaczne pytanie organu o aktualną podstawę i cel przetwarzania danych osobowych. Bank jako administrator danych dysponować powinien najlepszą wiedzą co do prowadzonych przez siebie procesów przetwarzania danych osobowych, ich aktualnych celów i podstaw prawnych. Jest ponadto zobowiązany do udzielenia organowi nadzorczemu, zgodnie z art. 58 ust. 1 lit. e) RODO wszelkich informacji niezbędnych do realizacji zadań przez ten Prezesa UODO, w tym do zadania z art. 57 ust. 1 lit. f) RODO polegającego na rozpatrywaniu spraw wniesionych przez osobę, której dane dotyczą. Obowiązek wykazania przez administratora przestrzegania przepisów dotyczących ochrony danych osobowych wynika także z art. 5 ust. 2 RODO. RODO nie przesądza jednak o tym, jak administrator powinien realizować obowiązki wynikające z zasady rozliczalności zawartej w art. 5 ust. 2, niemniej jednak wskazuje na konieczność rozliczania się z przestrzegania przepisów, raportowania ich realizacji oraz przedstawiania dowodów świadczących o prawidłowym wykonywaniu obowiązków. Zasada rozliczalności zobowiązuje administratorów do demonstrowania podjęcia wszelkich środków mających na celu zapewnienie zgodności z obowiązkiem ochrony danych osobowych. W świetle tej zasady to administrator, a nie organ nadzorczy zajmujący się ochroną danych osobowych, odpowiada za opracowanie, aktualizowanie i utrzymywanie wszystkich procedur i dokumentów związanych z ochroną danych osobowych, a także za stworzenie możliwości dowodowych wykazujących zgodność przetwarzania z przepisami.

W ocenie WSA w Warszawie, niezasadny jest zarzut naruszenia art. 107 ust. 1 pkt. 4 k.p.a. w związku z art. 60 ust. 7 RODO, ze względu na brak wcześniejszego poinformowania Banku o prowadzeniu przez Prezesa UODO postępowania transgranicznego. Skarga na Bank wpłynęła do luksemburskiego organu nadzorczego, który zidentyfikował opisane w skardze przetwarzanie jako mające charakter transgraniczny. Skoro w sprawie klientem Banku była osoba zamieszkała na terytorium Luksemburga, to organ luksemburski prawidłowo wskazał, iż skarga ma charakter transgraniczny, gdyż dotyczy właśnie "przetwarzania transgranicznego", co odpowiada przesłance z art. 4 pkt. 23) RODO. Tym samym została spełniona przesłanka z art. 4 pkt 23 RODO, wystarczająca by uznać, że kwestionowane przetwarzanie ma charakter transgraniczny. Polski organ nadzorczy, którym jest Prezes UODO, prawidłowo więc zgodził się z opinią organu luksemburskiego, iż przetwarzanie ma charakter transgraniczny oraz uznał się za wiodący organ nadzorczy w tej sprawie, ze względu na to, że Bank posiada swoją siedzibę na terytorium Polski.

W ocenie Sądu organ dokonał prawidłowej subsumpcji mających zastosowanie przepisów, słusznie przyjmując, że do chwili zakończenia wszystkich umów łączących uczestnika z Bankiem, Bank przetwarzając dane osobowe uczestnika posiadał podstawę prawną przetwarzania jego danych w związku z art. 6 ust. 1 lit. b) RODO. Jednakże po wydaniu dyspozycji zakończenia wszystkich umów łączących uczestnika z Bankiem oraz w związku ze złożeniem w dniu 12 września 2019 r. przez uczestnika wniosku o usunięcie jego danych osobowych, przetwarzanie danych osobowych uczestnika przez Bank nie znajduje prawnego uzasadnienia w przepisach RODO.

W dniu 18 lipca 2022 r. skargę kasacyjną na powyższy wyrok wywiódł Bank, zaskarżając go w całości i wnosząc o uchylenie zaskarżonego wyroku w całości oraz przekazanie sprawy do ponownego rozpoznania, ewentualnie uchylenie zaskarżonego wyroku w całości i rozpoznanie skargi; zasądzenie kosztów postępowania, w tym kosztów zastępstwa procesowego według norm przepisanych oraz rozpoznania skargi kasacyjnej na rozprawie. Zaskarżonemu wyrokowi zarzucono naruszenie:

1. art. 134 § 1 oraz art. 151 P.p.s.a. w związku z art. 7 i art. 8 ust. 2 Konstytucji RP oraz w związku z art. 7 i art. 77 k.p.a., poprzez uznanie - pomimo niespornego faktu, który podnosił Bank, że po ustaniu stosunków prawnych wiążących uprzednio Bank i uczestnika, dane uczestnika są przetwarzane w celu archiwizacyjnym - że Bank ma usunąć dane uczestnika wbrew oczywiście wiążącym Bank przepisom nakazującym ich przetwarzanie w celu archiwizacyjnym w okresach wskazanych w tych przepisach, w tym wbrew przepisom:

a) art. 31 § 1 i art. 86 ustawy z dnia 29 sierpnia 1997 r. Ordynacja podatkowa, które zobowiązują odpowiednio każdego płatnika i podatnika - a Bank w tej sprawie występował w obu rolach - do przechowania dokumentów związanych odpowiednio z poborem lub inkasem podatków do czasu upływu terminu przedawnienia zobowiązania płatnika lub inkasenta albo z księgami podatkowymi do upływu okresu przedawnienia zobowiązania podatkowego,

b) art. 49 ust. 1 i ust. 2 ustawy z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (dalej: "ustawa AML") w związku z art. 34 ust. 1 w szczególności art. 34 ust. 1 pkt. 1; pkt. 2; pkt. 4c); art. 34 ust. 3 w związku z art. 36, art. 37 ustawy AML, w sytuacjach przewidzianych w art. 35 ust. 1, w tym art. 35 ust. 1 pkt. 1 i art. 35 ust. 1 pkt 6 ustawy AML, przy czym przepis art. 49 obliguje do przechowywania danych i dokumentów potwierdzających m.in. dokumenty i informacje uzyskane w wyniku stosowania środków bezpieczeństwa finansowego, a to oznacza także w wyniku identyfikacji i weryfikacji i aktualizacji tych dokumentów i informacji, które to działania są środkiem bezpieczeństwa finansowego zgodnie z art. 34 ust. 1 pkt. 1, pkt. 2 i pkt. 4c) ustawy AML;

c) art. 83a ust. 4 i ust. 4a ustawy z dnia 29 lipca 2005 r. o obrocie instrumentami finansowymi, który nakazuje przetwarzać dane, dokumenty i informacje przez okres wskazany w tym przepisie;

d) art. 74 ust. 2 pkt 4-8 w zw. z art. 74 ust. 3 ustawy z dnia 29 września 1994 r. o rachunkowości, który nakazuje przetwarzać dane, dokumenty i informacje przez okres wskazany w tym przepisie,

2. art. 6 ust. 1 lit. c) RODO w związku z art. 1 i art. 3, art. 144 ust. 1 lit. d), art. 145 ust. 1, art. 170 ust. 3 lit. a), art. 171 ust. 2 i art. 179 ust. 1 lit. a) oraz art. 181 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady nr 575/2013 z dnia 26 czerwca 2013 r. w sprawie wymogów ostrożnościowych dla Instytucji kredytowych i firm inwestycyjnych, zmieniające rozporządzenie (UE) nr 648/2012 (Dz. Urz. UE L 2013 Nr 176, str. 1, dalej jako "CPR"), w związku z art.105a ust. 4 oraz ust. 5 Prawa bankowego upoważniające (także) banki do przetwarzania informacji dotyczących osoby fizycznej po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem bez zgody osoby, której informacje dotyczą, do celów stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia CPR przez okres 12 lat od dnia wygaśnięcia zobowiązania,

- co oznacza, że przetwarzanie danych w okresie archiwizacyjnym odbywa się w celu wypełnienia obowiązku prawnego ciążącego na Banku jako administratorze, tj. na podstawie powyższych przepisów prawa i stosownie do art. 6 ust. 1 lit. e RODO .

Naruszenie to należy uznać za rażące, albowiem zaskarżony wyrok narusza zasadę legalizmu (praworządności), tj. nie został wydany na podstawie i w granicach prawa, skoro utrzymał w mocy decyzję nakazującą w istocie pominąć stosowanie wyżej wymienionych przepisów prawa materialnego.

3. art. 134 § 1 oraz art. 151 P.p.s.a. w związku z art. 7 i art. 8 ust. 2 Konstytucji RP poprzez zaniechanie rozpatrzenia zarzutów skargi Banku kierowanej do Wojewódzkiego Sądu Administracyjnego w Warszawie w zakresie zarzutów nr 7, 8, 9, 10, 12, w których to zarzutach Bank wskazywał na przepisy prawa przewidujące, odpowiednio do dyspozycji art. 6 ust. 1 lit. c) RODO, obowiązki administratora do przetwarzania informacji lub dokumentów zawierających dane osobowe w opisanych w tych przepisach celu i okresie archiwizacyjnym.

Brak rozważenia zarzutów Banku oznacza, że WSA w Warszawie naruszył ww. reguły procedury sądowoadministracyjnej i miało to istotny wpływ na wynik sprawy.

4. art. 134 § 1 oraz art. 151 P.p.s.a. w związku z art. 7 i art. 8 ust. 2 Konstytucji RP oraz w związku z art. 7 i art. 77 § 1 k.p.a. poprzez błędne uznanie, że przepis art. 5 ust. 2 RODO zwalnia organ administracji w postępowaniu administracyjnym ze stosowania przepisów prawa wskazanych w pkt. 1) oraz zarzutach wymienionych w pkt. 2) powyżej, w przypadku, gdy administrator nie powołał się na te przepisy (choć jak wynika z zarzutu 2) nawet ich powołanie nie spowodowało ich rozpatrzenia w postępowaniu przed WSA w Warszawie lub też błędne uznanie, że przepis art. 5 ust. 2 RODO przerzuca w postępowaniu administracyjnym ciężar wykazania stanu prawnego, któremu podlega Bank, co: (a) jest sprzeczne z zasadą praworządności (legalizmu), która wprost wynika z powołanych przepisów Konstytucji RP i art. 7 k.p.a., a nadto (b) stanowi błędną wykładnię art. 5 ust. 2 RODO tak, jakby był to przepis procedury administracyjnej, w tym przepis zastępujący art. 7 k.p.a. podczas, gdy jest to przepis prawa materialnego, umieszczony w części ogólnej zasad RODO.

Naruszenie procedury w tym zakresie jest szczególnie poważne, albowiem w istocie zmierza do zmiany charakteru art. 5 ust. 2 RODO i prowadzi do zmiany reguł procesu administracyjnego, tak jakby wskutek ww. przepisu RODO miałby to być proces kontradyktoryjny, w którym organ mógłby nie brać pod uwagę bezwzględnie obowiązujących przepisów prawa wymienionych w zarzucie wskazanym w pkt. 1) oraz zarzutach wymienionych w pkt. 2) powyżej, a dot. archiwizacji dokumentów i informacji;

5. art. 151 P.p.s.a. w związku z art. 7 i art. 8 ust. 2 Konstytucji RP oraz w związku z art. 7 i art. 77 § 1 k.p.a. - bowiem WSA w Warszawie błędnie ustalił stan prawny sprawy albowiem z ustaleń stanu faktycznego wyciągnął nieprawidłowe wnioski w zakresie stanu prawnego w żaden sposób nie wiążąc dat ustania stosunków prawnych z obowiązkami przewidzianymi ww. przepisami prawa o archiwizacji dokumentów i informacji opisanych w zarzucie pkt. 1), zarzutach powołanych w pkt. 2) powyżej oraz zarzutach pkt. 2-4. Opisany błąd w stosowaniu przepisów postępowania doprowadził do błędnej oceny stanu prawnego sprawy, dlatego ma istotny wpływ na jej wynik;

6. art. 6 ust. 1 lit. f RODO w związku z art. 118 i art. 117 § 21 k.c., a także w związku z art. 70a ustawy Prawo bankowe poprzez błędną wykładnię i uznanie, że istnienie uzasadnionego interesu prawnego Banku do przetwarzania danych osobowych w okresie archiwizacji, czyli po rozwiązaniu stosunku prawnego musi związać się z określonym roszczeniem, co jest po pierwsze wewnętrznie sprzecznym wymogiem i narusza art. 6 ust. 1 lit. f RODO;

7. art. 6 ust. 1 lit. f RODO w związku z art. 118 i art. 117 § 21 k.c., poprzez błędną wykładnię i uznanie, że istnienie uzasadnionego interesu prawnego Banku do przetwarzania danych osobowych w okresie archiwizacji czyli po rozwiązaniu stosunku prawnego musi związać się z przetwarzaniem "permanentnym" albowiem zgodnie z art. 117 § 21 k.c. nie można domagać się zaspokojenia roszczenia przeciwko konsumentowi po upływie okresu przedawnienia;

8. art. 6 ust. 1 lit. f RODO w związku z art. 118 k.c., poprzez błędną wykładnię i uznanie, że Bank nie legitymuje się uzasadnionym interesem prawnym przetwarzania danych, jeśli tylko uczestnik zażąda ich usunięcia, nie wskazując przy tym jakie konkretne interesy, prawa lub wolności uczestnika miałyby przeważać nad uprawnieniem Banku do przetwarzania danych osobowych w okresie archiwizacji, czyli po rozwiązaniu stosunku prawnego. Bez oceny w zakresie zważenia konkretnych interesów, praw lub wolności stron można orzec tylko, że zarówno uprawnienia Banku do archiwizacji danych i dokumentów w nienadmiernych okresach archiwizacji jak i uprawnienia uczestnika do ochrony swych danych - są równoważne;

9. art. 31 § 1 i art. 86 ustawy z dnia 29 sierpnia 1997 r. Ordynacja podatkowa, które zobowiązują odpowiednio każdego płatnika i podatnika do przechowania dokumentów związanych odpowiednio z poborem lub inkasem podatków do czasu upływu terminu przedawnienia zobowiązania płatnika lub inkasenta albo z księgami podatkowymi do upływu okresu przedawnienia zobowiązania podatkowego;

10. art. 49 ust. 1 i ust. 2 ustawy AML w związku z art. 34 ust. 1 w szczególności art. 34 ust. 1 pkt. 1, pkt. 2, pkt. 4c); art. 34 ust. 3, w związku z art. 36, art. 37 ustawy AML, w sytuacjach przewidzianych w art. 35 ust. 1, w tym art. 35 ust. 1 pkt. 1 i pkt. 6 ustawy AML, przy czym przepis art. 49 obliguje do przechowywania danych i dokumentów potwierdzających m.in. dokumenty i informacje uzyskane w wyniku stosowania środków bezpieczeństwa finansowego, a to oznacza także w wyniku identyfikacji i weryfikacji i aktualizacji tych dokumentów i informacji, które to działania są środkiem bezpieczeństwa finansowego zgodnie z art. 34 ust. 1 pkt. 1, pkt. 2 i pkt. 4c) ustawy AML;

11. art. 83a ust. 4 i ust. 4a ustawy o obrocie instrumentami finansowymi, który nakazuje przetwarzać dane, dokumenty i informacje przez okres wskazany w tym przepisie;

12. art. 74 ust. 2 pkt. 4-8 w zw. z art. 74 ust. 3 ustawy z dnia 29 września 1994 r. o rachunkowości, który nakazuje przetwarzać dane, dokumenty i informacje przez okres wskazany w tym przepisie;

13. art. 6 ust. 1 lit. c RODO w związku z art. 1 i art. 3, art. 144 ust. 1 lit. d), art. 145 ust. 1, art. 170 ust. 3 lit. a), art. 171 ust. 2 i art. 179 ust. 1 lit. a) oraz art.181 ust. 2 rozporządzenia CPR, w związku z art. 105a ust. 4 oraz ust.5 Prawa bankowego upoważniające (także) banki do przetwarzania informacji dotyczących osoby fizycznej po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem bez zgody osoby, której informacje dotyczą, do celów stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia CPR przez okres 12 lat od dnia wygaśnięcia zobowiązania;

14. art.5 ust. 2 RODO przez niewłaściwe zastosowanie, albowiem ten przepis prawa materialnego nie może być stosowany jako norma określająca zasady rozkładu ciężaru dowodu w postępowaniu administracyjnym ani sądowo-administracyjnym;

15. art. 17 ust. 1 lit. a) RODO, który stanowi, że administrator ma obowiązek usunąć dane osobowe jeśli nie są one niezbędne dla celów, dla których zostały zebrane lub w inny sposób przetwarzane przez bezpodstawne zastosowanie, wobec faktu, że uczestnik zwrócił się z wnioskiem o usunięcie danych w dniu 12.09.2019 r. w tym dniu nie przysługiwało mu roszczenie z art.17 ust. 1 lit. a) RODO albowiem:

a) w dniu złożenia wniosku obowiązywała jeszcze jedna z umów, co znajduje odzwierciedlenie także w wyroku, który na str. 2 ustalił, że ostatnią umowę rozwiązano 03.03.2020 r.;

b) najważniejsze jest jednak, że przypadku, gdy Bank jako administrator jest zobowiązany po ustaniu stosunku prawnego archiwizować dokumenty i informacje, w tym dane osobowe w nich umieszczone to uczestnikowi nie służy roszczenie z art. 17 ust. 1 lit. a RODO albowiem dane są nadal niezbędne do celów określonych przepisami prawa. Zdaniem Banku, roszczenie z art. 17 ust. 1 lit. a RODO nie powstanie, gdy dane są przechowywane w celu archiwizacyjnym w okresie przedawnienia roszczeń. Niezależnie od faktu, że cel tego przepisu był i jest zupełnie inny niż to stara się wywodzić zaskarżony wyrok (prawo do zapomnienia danych umieszczonych na stronach czy w wyszukiwarkach internetowych) poprawność wniosków Banku wprost wynika z art. 17 ust. 3 lit. b), d) i e) RODO. Zdaniem Banku, nie jest dopuszczalna taka wykładnia art. 17 ust. 1 lit. a RODO, która czyni niemożliwym wykonanie obowiązków archiwizowania dokumentacji przewidzianych prawem krajowym lub prawem Unii, ani też która uniemożliwia skorzystanie z uprawnienia uzasadnionego interesu, o ile w tym ostatnim przypadku nie zostały naruszone określone (konkretne) prawa i wolności osoby fizycznej.

Zdaniem Banku wszystkie przywołane zarzuty powinny zostać uwzględnione. Niemniej jednak przyjąć należy, że zaskarżony wyrok nie może się ostać, albowiem nie jest dopuszczalne istnienie w obrocie prawnym orzeczenia nakazującego usunięcie (określonych) danych osobowych w sytuacji, gdy:

(a) nie ulega żadnej wątpliwości, że Bank przetwarza dane osobowe uczestnika w celu archiwalnym (po ustaniu stosunków prawnych) i jednocześnie

(b) Bank - jak każdy podmiot poddany określonym przepisom prawa i to bez względu na fakt czy przepisy te znane były sądowi w dacie wydania wyroku lub organowi administracyjnemu w dacie wydania decyzji - jest zobowiązany do przestrzegania ww. przepisów rangi ustawy, które nakazują przetwarzanie danych osobowych w celu archiwalnym i w okresach przewidzianych ww. przepisami prawa, przy czym jest także oczywiste, że w zaskarżonym wyroku WSA w Warszawie, zarzutów dotyczących powyższych okoliczności nie rozpoznał.

W odpowiedzi na skargę kasacyjną Prezes Urzędu Ochrony Danych Osobowych wniósł o jej oddalenie jako niezasadnej.

Naczelny Sąd Administracyjny zważył, co następuje:

Zgodnie z art. 183 § 1 P.p.s.a Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, bierze jednak z urzędu pod rozwagę nieważność postępowania, której przesłanki określone w § 2 art. 183 P.p.s.a. w rozpoznawanej sprawie nie występują.

Związanie Naczelnego Sądu Administracyjnego podstawami skargi kasacyjnej wymaga prawidłowego ich określenia w samej skardze. Należy zatem wskazać konkretne przepisy prawa, którym - zdaniem skarżącego - uchybił sąd i zamieścić uzasadnienie podstawy kasacyjnej, czyli uzasadnić uchybienia zarzucane sądowi. Uzasadnienie podstaw kasacyjnych polega na wykazaniu przez autora skargi kasacyjnej, że stawiane przez niego zarzuty mają usprawiedliwioną podstawę i zasługują na uwzględnienie. Uzasadniając zarzut naruszenia prawa materialnego przez jego błędną wykładnię wykazać należy, że sąd mylnie zrozumiał stosowany przepis prawa, natomiast uzasadniając zarzut niewłaściwego zastosowania przepisu prawa materialnego wykazać należy, iż sąd stosując przepis popełnił błąd w subsumcji czyli, że niewłaściwie uznał, iż stan faktyczny przyjęty w sprawie odpowiada stanowi faktycznemu zawartemu w hipotezie normy prawnej zawartej w przepisie prawa. W obu tych przypadkach autor skargi kasacyjnej wykazać musi ponadto w uzasadnieniu, jak w jego ocenie powinien być rozumiany stosowany przepis prawa, czyli jaka powinna być jego prawidłowa wykładnia bądź jak powinien być stosowany konkretny przepis prawa ze względu na stan faktyczny sprawy, a w przypadku zarzutu niezastosowania przepisu - dlaczego powinien być zastosowany. Uzasadniając zaś naruszenie przepisów postępowania wykazać należy, że uchybienie im mogło mieć istotny wpływ na wynik sprawy. Skarga kasacyjna nieodpowiadająca powyższym wymaganiom uniemożliwia sądowi ocenę jej zasadności.

W rozpoznawanej sprawie zarzuty skargi kasacyjnej obejmują zarówno naruszenie przepisów postępowania, jak i przepisów prawa materialnego.

W pierwszej kolejności rozpoznaniu podlegały zarzuty naruszenia przepisów postępowania, ponieważ dopiero po przesądzeniu, że stan faktyczny sprawy został ustalony w sposób prawidłowy, możliwe jest badanie zasadności zarzutów naruszenia prawa materialnego.

Na wstępie należy podnieść, że zarzuty naruszenia przepisów prawa procesowego oscylują faktycznie wokół nieodniesienia się przez Sąd I instancji do wszystkich zarzutów wniesionej skargi, a zatem naruszenia art. 134 § 1 P.p.s.a. - co w konsekwencji doprowadziło Sąd I instancji do błędnego zastosowania art. 151 P.p.s.a., a więc oddalenia skargi.

Przypomnieć należy, że zgodnie z art. 134 § 1 P.p.s.a - wojewódzki sąd administracyjny rozstrzyga w granicach danej sprawy nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną, z zastrzeżeniem art. 57a P.p.s.a. Przepis ten oznacza, że w postępowaniu sądowoadministracyjnym sąd I instancji nie może oceniać poprzestać jedynie na ocenie zarzutów skargi kasacyjnej, ale jest zobowiązany, aby skontrolować działanie lub zaniechanie organu administracji publicznej całościowo pod wglądem przestrzegania przez niego prawa. Owe kompleksowe zbadanie sprawy obejmuje jej kontrolę "wszerz" i "w głąb". Kontrola wszerz sprawy "nie oznacza bowiem tylko zezwolenia i uprawnienia tego sądu do wykroczenia poza granice zaskarżenia, lecz również jego obowiązek" (T. Woś [w:] H. Knysiak-Sudyka, M. Romańska, T. Woś, Prawo o postępowaniu przed sądami administracyjnymi. Komentarz, wyd. VI, Warszawa 2016, art. 134). Wojewódzki sąd administracyjny jest zatem zobowiązany zbadać sprawę pod względem możliwości naruszenia przez organ każdego przepisu prawa procesowego lub materialnego, który dotyczy danej sprawy (por. wyrok NSA z dnia 26 maja 1998 r., II SA 915/97, OSP 1999/4, poz. 79). Natomiast orzekanie "w głąb" obejmuje wszelkie te postępowania i wydane bądź zapadłe w nich rozstrzygnięcia (także akty i czynności) administracyjne, bez względu na to, czy były one zaskarżalne w toku instancji, które poprzedzając zaskarżone, warunkowały dokonaną w nim konkretyzację stosunku prawnego podlegającego rozstrzygnięciu. Innymi słowy, granice sprawy, o której mowa w art. 134 § 1 i 135 P.p.s.a., wyznacza istota stosunku administracyjnoprawnego podlegającego załatwieniu danym, skarżonym, rozstrzygnięciem (aktem lub czynnością) administracyjnoprawnym" (wyrok NSA z dnia 16 listopada 2005 r., FSK 2261/04). Sąd I instancji jest zatem zobowiązany dokonać kontroli wszystkich aktów wyznaczających stosunek administracyjnoprawny, który został uregulowany w danym postępowaniu.

Niemniej jednak niezwiązanie zarzutami skargi nie oznacza, że Sąd może je pominąć lub lekceważyć, szczególnie jeśli zarzuty pozostają w związku ze sprawą, a skarżący uzasadnia, że dane zastosowanie lub brak zastosowania określonych przepisów. W sytuacji, zatem gdy sąd nie odniesie się do skonkretyzowanych zarzutów skargi – to takie pominięcie oznacza, że w istocie "zawęził" on zakres sprawy, a więc faktycznie rozpoznał inną sprawę niż była przedmiotem sprawy lub też nie rozpoznał jej w całości co stanowi obrazę art. 134 § 1 P.p.s.a. Brak zaś uzasadnienia w tym zakresie jest istotną wadą uzasadnienia.

Taka sytuacja wystąpiła w sprawie, na co słusznie zwrócił uwagę skarżący kasacyjnie. W skardze złożonej do wojewódzkiego sadu administracyjnego Bank podniósł, że w jego przekonaniu organ naruszył prawa materialnego i procesowego:

I. przepisy postępowania administracyjnego, które miało istotny wpływ na wynik sprawy tj.:

1. naruszenie art. 7 w zw. z art. 77, art. 80 oraz art. 107 ust. 1 k.p.a. polegające na:

a) błędnym wskazaniu w decyzji stanu faktycznego, co jest sprzeczne z materiałem dowodowym zgromadzonym w toku postępowania administracyjnego albowiem B.P. był stroną 18 (osiemnastu) różnych umów podlegających różnym przepisom prawa (w tym m.in. umów rachunków, umów o system bankowości internetowej (elektronicznej), umów o karty płatnicze, umów kredytowych, umowy o świadczenie usług maklerskich, umów pośrednictwa w zakupie funduszy inwestycyjnych, umów o lokaty inwestycyjne, a nie tylko 4 (czterech) wskazanych w pkt 1 decyzji, co przede wszystkim skutkowało całkowitym pominięciem przepisów prawa mających zastosowanie do tych stosunków prawnych, nadto nie jest prawdziwa informacja, że wszystkie umowy nie ulegały rozwiązaniu w 2018 r.,

b) sprzeczności pomiędzy bezspornymi okolicznościami wynikającymi z zebranego materiału dowodowego, a sentencją i uzasadnieniem decyzji albowiem pomimo przyznania, że po wygaśnięciu stosunków prawnych Bank przetwarza dane Bar skarżącego w celach archiwalnych, który to cel archiwalny z reguły wynika z właściwych przepisów prawa nakazujących archiwizować/przechowywać dane lub dokumentację, w tym przepisów wskazanych w niniejszej skardze - decyzja w ogóle nie bierze tego celu przetwarzania pod uwagę, naruszając tym samym wszystkie przepisy prawa wymagające od Banku przetwarzania danych/przechowywania dokumentów po wygaśnięciu stosunku prawnego;

2. art. 7b k.p.a. polegające na zaniechaniu zwrócenia się do Komisji Nadzoru Finansowego, jako organu właściwego w sprawach związanych m.in. z badaniem zdolności kredytowej i analizą ryzyka kredytowego, a także budową modeli statystycznych w zakresie wykorzystywania danych do realizacji tych zadań, w tym danych osobowych dotyczących zapytaniach kredytowych;

3. art. 107 ust. 1 pkt 4 k.p.a. w związku z art. 5 ust. 1 lit. b) RODO albowiem zgodnie z zebranym materiałem dowodowym przedmiotem tej sprawy, przedmiotem decyzji, nie jest w żadnym razie ograniczenie celu przetwarzania danych; Bank oświadczył, że przetwarza dane w celu archiwalnym i nikt - ani organ ani B.P. - tego celu nie podważył, ani nie podważył zakresu danych zebranych w związku z zawieraniem i wykonywaniem przez wiele lat dwudziestu różnych umów;

4. art. 6, art. 107 ust. 1 pkt 4 k.p.a. w związku z wskazanym, jako podstawa prawna decyzji art. 6 ust. 1 RODO, polegające na jego niewłaściwym zastosowaniu, i uznaniu, że przepis ten może być podstawą decyzji nakazującej usunięcie danych podczas, gdy przepis art. 6 ust. 1 RODO określa dopuszczalne prawem podstawy przetwarzania danych i nie może stanowić podstawy prawnej decyzji odmawiającej Bankowi prawa przetwarzania danych, tym bardziej, że decyzja uznaje niesporny fakt, że Bank przetwarza dane Strony w celu archiwalnym, co odpowiada prawdzie, co oznacza, że Bank ma prawo przetwarzać dane na podstawie art. 6 ust. 1 lit. c RODO zgodnie z odpowiednimi przepisami dotyczącymi przechowania danych, dokumentów lub innego aspektu archiwalnego celu przetwarzania danych;

5. art. 6, art. 107 ust. 1 pkt 4 k.p.a. w związku z art.17 ust. 1 lit. a RODO poprzez niewłaściwe zastosowanie art. 17 ust. 1 lit. a RODO polegające na uznaniu, że B.P. przysługuje skuteczne żądanie usunięcia danych przetwarzanych przez administratora nawet wówczas, gdy administrator przetwarza dane w celu archiwalnym i jest związany albo bezwzględnie obowiązującymi przepisami prawa obligującymi go do przechowywania danych osobowych, umów, nagrań lub innych dokumentów - po wygaśnięciu stosunku prawnego albo rekomendacjami wydanymi przez uprawnione organy nadzorcze; tym zakresie decyzja narusza zasadę praworządności albowiem organ powinien z urzędu rozważać sytuacje, gdy bezwzględnie obowiązuje przepisy nakazują przetwarzać dane (dokumenty) w celu archiwalnym;

6. art. 107 ust. 1 pkt 4 k.p.a. w związku z art. 60 ust. 7 RODO poprzez błędne zastosowanie art. 60 ust. 7 RODO albowiem pomimo powołania w podstawie prawnej decyzji art. 60 ust. 7 RODO, zaskarżona decyzja nie została wydana w trybie współpracy między wiodącym organem nadzorczym a innymi organami nadzorczymi, a treści decyzji (ani w jej rozstrzygnięciu ani w uzasadnieniu) nie ma śladu postępowania przewidzianego rozdziałem VII RODO, nie wskazano też żadnej okoliczności, która uzasadniałaby przyjęcie trybu opisanego w Rozdziale VII RODO, wreszcie w niniejsze sprawie tryb ten nie został przyjęty, a w sprawie nie uczestniczyły, wg naszej najlepszej wiedzy, żadne organy nadzorcze innego kraju UE, ani też nie mamy do czynienia z transgranicznym przetwarzaniem danych, które uzasadniałoby stosowanie procedury z art. 60 i nast. RODO.

II. przepisy prawa materialnego, które miały wpływ na wynik sprawy tj.:

1. art. 6 ust. 1 lit. c RODO w związku z art. 86 ustawy Ordynacja podatkowa polegające na niezastosowaniu art. 86 Ordynacji podatkowej, który przewiduje obowiązek zachowania dokumentów związanych z prowadzeniem ksiąg rachunkowych do czasu określonego art. 70 i nast. Ordynacji podatkowej - przedawnienia zobowiązania podatkowego, a dokumentami będącymi podstawą księgowania przychodów banku w danym roku podatkowym są umowy (Bank nie wystawia faktur z tytułu wykonanej czynności bankowej), w tym umowy zawarte ze stroną, w oparciu, o które przychody te były Bankowi należne, przy czym zastrzec trzeba, że wszystkie dane osobowe wymienione w decyzji były przetwarzane w celu wykonywania umów, a po ich rozwiązaniu w celu archiwalnym, co w żadnej mierze nie zostało podważone w toku postępowania administracyjnego; Wspomniany okres przedawnienia nie upłynął, gdyż wynosi on 5 lat od końca roku kalendarzowego, w którym upłynął termin płatności podatku (czyli roku następnego po roku uzyskania przychodu, gdyż rozliczenie podatku CIT jest zawsze za rok poprzedni);

2. art. 6 ust. 1 lit. c) RODO w związku z art. 33 ust. 2, art. 33 ust. 3, art. 34 ust. 1, art. 36, art. 46 ust. 1 oraz art. 49 ust. 1 i ust. 2 ustawy z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (tj. Dz. U. z 2020 r. poz. 971, dalej: ustawa AML), polegające na ich niezastosowaniu i przyjęciu, że Bank nie legitymuje się przesłanką przetwarzania danych wynikającą z art. 6 ust. 1 lit. c) RODO w związku z ww. przepisami ustawy AML, podczas gdy przepisy te nakładają na Bank obowiązek przetwarzania informacji, w tym danych osobowych w celu przeciwdziałania praniu pieniędzy oraz finansowaniu terroryzmu, w tym obowiązek przechowywania kopii dokumentów i informacje uzyskane w wyniku stosowania środków bezpieczeństwa finansowego oraz dowody wskazane w art. 49 ust. 1 pkt przez okres 5 lat licząc od dnia roku następującego po roku, w którym zakończono stosunku gospodarcze. Naruszenie to analogicznie odnosi się do art. 49 ust. 2 dotyczącego obowiązku przechowania wyników analiz przez okres 5 lat od pierwszego dnia roku następującego po roku ich przeprowadzenia, decyzja całkowicie pomija bezwzględnie obowiązujące przepisy ustawy AML;

3. art. 6 ust. 1 lit. c RODO w związku z art. 83a ust. 4a ustawy o obrocie instrumentami finansowymi polegające na niestosowaniu art. 83a ust. 4a tej ustawy, który przewiduje, że obowiązek przechowywania i archiwizowania dokumentów i informacji wskazanych w ust. 4 tego przepisu, z zastrzeżeniem art. 73 i art. 76 ust. 11 rozporządzenia UE 2017/565, wygasa z upływem 5 lat, licząc od pierwszego dnia roku następującego po roku, w którym dokumenty lub nośniki informacji zostały sporządzone lub otrzymane, a w przypadku regulaminów, procedur oraz innych regulacji wewnętrznych - z upływem 5 lat, licząc od pierwszego dnia roku następującego po roku, w którym przestały one obowiązywać. Komisja może zażądać od firmy inwestycyjnej przechowywania i archiwizowania takich danych lub dokumentów po upływie tego terminu, nie dłużej jednak niż przez 7 lat, licząc od pierwszego dnia roku następującego po roku, w którym zostały one sporządzone lub otrzymane, lub przestały obowiązywać;

4. art. 6 ust. 1 lit. c RODO w związku z art. 74 ustawy o rachunkowości poprzez naruszenie art. 74 wskazującym 5 letni okres przechowywania danych i dokumentów, który to okres jest liczony od początku roku następnego po roku obrotowym, które dane zbiory dotyczą. Wśród zbiorów mamy także inne dokumenty obejmujące system służący ochronie danych i ich zbiorów, w tym dowodów księgowych, ksiąg rachunkowych i innych dokumentów stanowiących podstawę dokonanych w nich zapisów (art. 10. ust. 1 pkt 4 ustawy o rachunkowości);

5. art. 6 ust. 1 lit. f RODO w związku z Rekomendacją W (np.17.8) i Rekomendacji T (np. 1.12,6.6,6.10,7.2-3.) Komisji Nadzoru Finansowego, polegające na jego niewłaściwym zastosowaniu i przyjęciu, że skarżący nie legitymuje się przesłanką przetwarzania danych wynikającą z art. 6 ust. 1 lit. f) RODO w związku z Rekomendacjami W i T Komisji Nadzoru Finansowego, podczas gdy przepisy te nakładają na banki obowiązek analizy danych historycznych (historii rachunku, spłat klienta), jak również historii metod i modeli statystycznych;

6. art. 6 ust. 1 lit. c RODO w związku z art. 144 ust. 1 lit. d, art. 145 ust. 1, art. 170 ust. 3 lit. a, art. 171 ust. 2 i art. 179 ust. 1 lit. a oraz art. 181 ust. 2 CRR, polegające na jego niestosowaniu i przyjęciu, że skarżący nie legitymuje się przesłanką przetwarzania danych wynikającą z art. 6 ust. 1 lit. c RODO w związku z powyższymi przepisami CRR wskazującymi na określone obowiązki w zakresie wymogów ostrożnościowych.

Tymczasem z uzasadnienia zaskarżonego orzeczenia wynika, że Sąd I instancji w istocie ocenił tylko kwestie związane z zaistnieniem przesłanki legalizującej związanej ze stosowaniem przepisów prawa cywilnego dotyczącej przedawnienie roszczeń oraz ogólnie odniósł się do zasady niezbędności przechowywania danych osobowych przez administratora bez odniesienia się szczegółowo do zarzutów skargi. Rozpatrując zatem ponowienie sprawę WSA w Warszawie odniesie się do zarzutów skargi badając sprawę oceni zasadność wszystkich zarzutów wymienionych w skardze Banku nie zawężając ram sprawy sądowoadministracyjnej.

Skoro trafny okazał się zarzut naruszenia art. 134 § 1 P.p.s.a., to przedwczesne byłoby wyrażanie przez Naczelny Sąd Administracyjny stanowiska w kwestiach objętych pozostałymi zarzutami skargi kasacyjnej.

Mając na uwadze powyższe rozważania, Naczelny Sąd Administracyjny, na podstawie art. 185 § 1 P.p.s.a., orzekł jak w sentencji. Ponownie rozpoznając sprawę, Wojewódzki Sąd Administracyjny w Warszawie dokona ponownej oceny sprawy i odniesie się do podniesionych w skardze zarzutów.

Na podstawie art. 207 § 2 P.p.s.a. Naczelny Sąd Administracyjny, odstąpił od zasądzenia zwrotu kosztów postępowania kasacyjnego w całości, uznając, iż zachodzi szczególnie uzasadniony przypadek, o którym mowa w tym przepisie. W istocie rzeczy bowiem w rozpatrywanej sprawie wyłączną przyczyną sprawiającą, że doszło do postępowania kasacyjnego, było wadliwe orzeczenie Sądu I instancji, które spowodowało wniesienie skargi kasacyjnej uwzględnionej przez Naczelny Sąd Administracyjny. Brak zatem dostatecznych podstaw do tego, by obciążyć stronę przeciwną kosztami postępowania kasacyjnego.