Centralna Baza Orzeczeń Sądów Administracyjnych

Naczelny Sąd Administracyjny w składzie: Przewodniczący: sędzia NSA Małgorzata Masternak-Kubiak sędzia NSA Zbigniew Ślusarczyk (spr.) sędzia del. WSA Mariusz Kotulski Protokolant asystent sędziego Dominika Daśko po rozpoznaniu w dniu 17 grudnia 2024 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej Prezesa Urzędu Ochrony Danych Osobowych od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 25 sierpnia 2021 r. sygn. akt II SA/Wa 262/21 w sprawie ze skargi [...] Bank S.A. z siedzibą [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 3 grudnia 2020 r. nr ZSPR.440.1590.2019.FT.AJ./102078,102079,102076 w przedmiocie przetwarzania danych osobowych 1. uchyla zaskarżony wyrok i oddala skargę, 2. zasądza od [...] Bank S.A. z siedzibą [...] na rzecz Prezesa Urzędu Ochrony Osobowych kwotę 580 (pięćset osiemdziesiąt) złotych tytułem zwrotu kosztów postępowania kasacyjnego.

Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z 25 sierpnia

2021 r., sygn. akt II SA/Wa 262/22, wydanym po rozpoznaniu sprawy ze skargi [...] Bank S.A. [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z 3 grudnia 2020 r. nr ZSPR.440.1590.2019.FT.AJ./102078, 102079,102076 w przedmiocie przetwarzania danych osobowych, na podstawie art. 145 § 1 pkt 1 lit. a oraz art. 200 i art. 205 § 2 ustawy z 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2019 r., poz. 2325), dalej "p.p.s.a.", w pkt. 1. sentencji - wyroku uchylił zaskarżoną decyzję, a w pkt. 2. sentencji wyroku - zasądził od Prezesa Urzędu Ochrony Danych Osobowych na rzecz [...] Bank S.A. [...] zwrot kosztów postępowania sądowego.

Wyrok został wydany w poniższym stanie faktycznym i prawnym.

Decyzją nr ZSPR.440.1590.2019.FT.AJ./102078/102079/102076 z 3 grudnia 2020 r. Prezes Urzędu Ochrony Danych Osobowych (dalej: "Prezes UODO", "organ"), działając na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2018 r., poz. 2096 ze zm.), dalej: "k.p.a.", oraz art. 6 ust. 1, art. 58 ust. 2 lit. c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.U. UE. L. z dnia 4 maja 2016 r.), dalej: "ogólne rozporządzenie o ochronie danych", w związku z art. 105a ust. 3 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz. U. z 2020 r., poz. 1896), nakazał [...] Bank S.A. [...], (dalej: "Bank", "strona skarżąca") zaprzestania przetwarzania danych osobowych J. G. (dalej: "wnioskodawczyni", "uczestniczka postępowania") dotyczących umów: nr [...] z dnia [...] listopada 2013 r. oraz nr [...] z dnia [...] listopada 2014 r. w bazie Biura Informacji Kredytowej S.A. z siedzibą w Warszawie (dalej: "BIK S.A.", "uczestnik postępowania"), przetwarzanych na podstawie art. 105a ust. 3 ustawy Prawo bankowe w celu oceny zdolności kredytowej i analizy ryzyka kredytowego.

W uzasadnieniu powyższej decyzji organ przedstawił dotychczasowy tok postępowania, wskazując poniższe okoliczności.

I tak, organ podał, że do UODO wpłynęła skarga J. G., reprezentowanej przez pełnomocnika, na nieprawidłowości w procesie przetwarzania jej danych osobowych przez [...] Bank S.A. [...] polegające na przetwarzaniu jej danych osobowych w bazie BIK S.A.w zakresie umów nr [...] z dnia [...] listopada 2013 r. oraz nr [...] z dnia [...] listopada 2014 r.

W uzasadnieniu skargi J. G. wskazała, że Bank nie spełnił wymagań uprawniających do rozpoczęcia przetwarzania jej danych osobowych w bazie BIK S.A. w związku z wierzytelnościami wynikającymi z ww. umów, ponieważ Bank nie spełnił łącznie wszystkich warunków z art. 105a ust. 3 ustawy Prawo bankowe, bowiem nigdy nie powiadomił wnioskodawczyni o zamiarze przetwarzania jej danych osobowych bez jej zgody w bazie BIK. W związku z powyższym ww. wniosła o nakazanie Bankowi zaprzestania przetwarzania jej danych osobowych w bazie BIK.

Organ ustalił, że wnioskodawczyni zawarła z Bankiem umowy: nr [...] z [...]listopada 2013 r. oraz nr [...] z [...] listopada

2014 r., z tytułu których powstało zadłużenie. Opóźnienie w spłatach wynosiło powyżej 60 dni. Powyższe umowy zostały zamknięte w dniu [...] grudnia 2016 r.

Wnioskodawczyni zwracała się do Banku z żądaniem zaprzestania przetwarzania jej danych osobowych w bazie BIK S.A. w dniach: 24 kwietnia 2019 r., 29 maja 2019 r. oraz 12 lipca 2019 r.

Bank udzielił skarżącej odpowiedzi na ww. pisma w dniach: 17 maja 2019 r.,

2 lipca 2019 r. oraz 8 sierpnia 2019 r. odmawiając zaprzestania przetwarzania jej danych osobowych w bazie BIK.

Bank wskazał, że dane osobowe wnioskodawczyni zostały zebrane w związku z zawartymi umowami. Bank przetwarzał dane osobowe wnioskodawczyni w bazie BIK na podstawie zgód wyrażonych przez nią w ww. umowach - do czasu uwzględnienia przez Bank sprzeciwu wnioskodawczyni względem przetwarzania jej danych osobowych, tj. do 30 kwietnia 2019 r.

Bank podał również, że dane osobowe skarżącej w zakresie danych zebranych w związku z zawarciem ww. umów przetwarzane są obecnie w bazie BIK w oparciu o art. 105a ust. 3 ustawy Prawo bankowe w celu wykonywania czynności związanych z działalnością Banku przez okres 5 lat od wygaśnięcia zobowiązań wynikających z ww. umów, tj. do 12 grudnia 2021 r.

Bank wskazał ponadto, że w związku z zaległościami w spłacie zobowiązań wynikających z umów skierował do wnioskodawczyni w formie listów poleconych, odpowiednio w dniu 9 czerwca 2016 r. oraz w dniu 18 czerwca 2019 r., zawiadomienia o zamiarze przetwarzania danych po wygaśnięciu zobowiązania, bez jej zgody. Na dowód powyższego Bank przedłożył kopie ww. pism, oddruki list wysyłkowych oraz wydruki książki nadawczej. Przedmiotowe zawiadomienia zostały wysłane na adres wnioskodawczyni wskazany w umowach. Bank zaznaczył, że nie odnotował zwrotu ww. pism.

Organ ustalił również, że Bank zawarł z BIK S.A. umowę w sprawie gromadzenia, przetwarzania i udostępniania informacji w bazie SI BIK "Kredytobiorcy" z [...] sierpnia 2016 r., aneksowaną przez Bank oraz BIK S.A. [...] maja 2018 r., na podstawie której BIK S.A. przetwarza dane osobowe klientów Banku, przekazane przez Bank.

BIK S.A. aktualnie przetwarza dane osobowe skarżącej w zakresie danych dotyczących ww. umów, przekazanych przez Bank do BIK na podstawie art. 105 ust. 4 ustawy Prawo bankowe i na podstawie łączącej strony umowy. Ww. rachunki mają status rachunków zamkniętych odzyskanych i przetwarzane są w celu oceny zdolności kredytowej i analizy ryzyka kredytowego na podstawie art. 105a ust. 3 w związku z art. 105 ust. 4 ww. ustawy.

Mając powyższe na względzie Prezes UODO wskazał, że - co do zasady -podstawą prawną przetwarzania danych osobowych klientów przez Bank w BIK S.A. jest art. 6 ust. 1 lit. f ogólnego rozporządzenia o ochronie danych, tj. przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora. Zaznaczył nadto, że przetwarzanie danych osobowych klientów Banku przez BIK S.A. odbywa się zgodnie z art. 28 ust. 3 ww. rozporządzenia, tj. na podstawie zawartej z Bankiem, będącym administratorem, umowy powierzenia przetwarzania danych osobowych.

Dalej organ powołał art. 105 ust. 4 oraz art. 105a ust. 1 ustawy Prawo Bankowe. Wskazał, iż jakkolwiek zobowiązania wnioskodawczyni, wynikające z przedmiotowych umów wygasły, to dopuściła się ona zwłoki trwającej dłużej niż 60 dni w przypadku ww. zobowiązania. Bank jednakże nie spełnił wobec wnioskodawczyni obowiązku określonego w art. 105a pkt 3 ww. ustawy, tj. nie poinformował jej skutecznie o zamiarze przetwarzania dotyczących jej informacji stanowiących tajemnicę bankową, bez jej zgody po wygaśnięciu zobowiązań wynikających z ww. umów.

Organ zaznaczył, iż sam fakt, że wnioskodawczyni nie wykonała zobowiązań lub spóźniła się z ich wykonaniem co najmniej 60 dni, nie upoważnia Banku do przetwarzania jej danych na warunkach określonych w art. 105a ust. 3 ustawy Prawo bankowe. Moment, od którego należy liczyć sześćdziesięciodniowy termin, w którym konsument dopuszcza się zwłoki w wykonaniu zobowiązania, to termin wykonania zobowiązania. Dopiero po upływie 60 dni zaczyna biec termin 30 dni, w którym instytucja oczekuje jeszcze na wykonanie zobowiązania klienta. Termin 30 dni biegnie od momentu, w którym konsument zostanie skutecznie poinformowany przez instytucję o zamiarze przetwarzania.

Z powyższego wynika zatem, iż Bank, przetwarzając dane wnioskodawczyni na warunkach określonych w ww. przepisie, musi wykazać, że została ona poinformowana o zamiarze przetwarzania danych bez jej zgody. W niniejszej sprawie wnioskodawczyni podniosła natomiast, że okoliczności wskazywane w art. 105a pkt 3 ustawy Prawo bankowe nie zostały spełnione, a zatem Bank nie jest uprawniony do przetwarzania jej danych osobowych w BIK. Bank podniósł natomiast, że ww. przesłanki, w tym poinformowanie wnioskodawczyni o okolicznościach wskazanych w art. 105a ust. 3 ww. ustawy, zostały spełnione. Brak jest przy tym innych dowodów wskazujących na prawidłowe i skuteczne poinformowanie wnioskodawczyni o treści art. 105a ust. 3 ww. ustawy niż oświadczenie Banku, pozostające w sprzeczności z twierdzeniem skarżącej.

Zdaniem organu, Bank nie przedstawił dowodu na prawidłowe doręczenie wnioskodawczyni dokumentów, w treści których zawarta była informacja o okolicznościach wskazanych w art. 105a ust. 3 ww. ustawy, zatem okoliczność skutecznego poinformowania wnioskodawczyni o treści tego przepisu nie może zostać uznana za udowodnioną. Samo bowiem oświadczenie o wysłaniu korespondencji i przedstawienie jej kopii, wraz z oddrukiem list wysyłkowych i książki nadawczej, nie stanowi dowodu na jej dostarczenie lub poinformowanie o jej treści adresata.

Organ zaznaczył, iż przepisy powszechnie obowiązujące nie formułują obowiązku wysłania informacji, o której mowa w art. 105a ust. 3 ustawy w szczególnej formie. To do podmiotu informującego należy zatem wybór formy przekazania odbiorcy komunikatu o zamiarze przetwarzania danych osobowych bez jego zgody. Jednocześnie to podmiot informujący wywodzi z powyższego skutki prawne, zatem to on musi wykazać, że poinformował wnioskodawczynię o zamiarze przetwarzania danych stanowiących tajemnicę bankową, bez jej zgody.

Na poparcie powyższego stanowiska organ powołał wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 15 marca 2017 r. sygn. akt II SA/Wa 1695/16. Wskazał nadto, że w sytuacji, gdy oświadczenie zostało posłane adresatowi listem albo innym sposobem porozumiewania się na odległość, składający powinien wykazać np. za pomocą zwrotnego poświadczenia odbioru, że list został adresatowi doręczony. Powstały dowód nadania listu poleconego nie jest dowodem doręczenia go adresatowi.

Konkludując organ stwierdził, że w niniejszej sprawie nie zostały spełnione przesłanki z art. 105a ust. 3 ustawy Prawo bankowe, a zatem należało orzec jak w sentencji.

Skargę na decyzję Prezesa UODO w zakresie punktów 1 i 2 wniósł [...] Bank S.A., wnosząc o jej uchylenie w całości.

WSA w Warszawie uznał, że skarga zasługuje na uwzględnienie, ponieważ zaskarżona decyzja została wydana z naruszeniem prawa.

Uzasadniając zasadność skargi, Sąd I instancji na wstępie wyjaśnił, przytoczone przez organ podstawy materialnoprawne zaskarżonej decyzji.

Sąd wyjaśnił, że przepis art. 6 ust. 1 lit. f ogólnego rozporządzenia o ochronie danych stanowi, iż przetwarzanie danych osobowych jest zgodne z prawem gdy przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez osobę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem.

Z kolei w myśl art. 105a ust. 1 Prawa bankowego, przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów, instytucje pożyczkowe oraz podmioty, o których mowa wart. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, a także instytucje utworzone na podstawie art. 105 ust. 4, informacji stanowiących tajemnicę bankową i informacji udostępnionych przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem art. 104, art. 105 i art. 106 - 106d ustawy w celu oceny zdolności kredytowej i analizy ryzyka kredytowego.

Natomiast stosownie do art. 105a ust. 3 ustawy Prawo bankowe banki, instytucje oraz podmioty, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową i informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa wart. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011r. o kredycie konsumenckim, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank, inną instytucję ustawowo upoważnioną do udzielania kredytów, instytucję pożyczkową albo podmiot, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, o zamiarze przetwarzania dotyczących jej tych informacji, bez jej zgody.

Z kolei, stosując uprawnienie naprawcze z art. 58 ust. 2 lit. c ogólnego rozporządzenia o ochronie danych, tj. wydając decyzję nakazującą Bankowi zaprzestania przetwarzania danych osobowych uczestniczki postępowania - dotyczących umów nr [...] z [...] listopada 2013 r. oraz nr [...] z [...] listopada 2014 r. - w bazie BIK w celu oceny zdolności kredytowej i analizy ryzyka kredytowego, Prezes UODO stwierdził, że Bank nie spełnił jednej z przesłanek wymienionych w art. 105a ust. 3 Prawa bankowego, tj. nie poinformował uczestniczki postępowania o zamiarze przetwarzania dotyczących jej danych, bez jej zgody.

Sąd I instancji nie zgodził się w tym zakresie ze stanowiskiem organu.

W oparciu o akta sprawy Sąd ustalił, że na potwierdzenie spełnienia powyższego obowiązku Bank przedstawił kopie oświadczeń skierowanych do uczestniczki postępowania o wypowiedzeniu ww. umów, na adres wskazany w ww. umowach, w których to oświadczeniach zawarł m.in. informację o zamiarze korzystania z prawa do przetwarzania danych stanowiących tajemnicę bankową przez okres 5 lat po wygaśnięciu zobowiązania, bez zgody osoby, której te dane dotyczą oraz o możliwości przetwarzania tych informacji przez BIK S.A. i inne instytucje wskazane w art. 105a ust. 1 ustawy Prawo bankowe przez okres 5 lat po wygaśnięciu zobowiązania, bez zgody osoby, której te informacje dotyczą (k. 168 - 171 akt admin.). Ponadto Bank przedstawił oddruki list wysyłkowych (Lista wysyłkowa pism windykacyjnych (polecone) - BKN z 9 czerwca 2016 r. oraz Lista wysyłkowa pism windykacyjnych (polecone) - BKN z 18 czerwca 2016 r.), a także wydruki z książki nadawczej (k. 172 - 177 akt admin.).

Zdaniem Sądu, Bank - w celu wypełnienia obowiązku, o którym mowa

w art. 105a ust. 3 ustawy Prawo bankowe - informację o zamiarze przetwarzania danych osobowych w sposób przewidziany w tym przepisie przesłał uczestniczce postępowania listem poleconym i dysponuje potwierdzeniem nadania tej przesyłki.

Sąd przywołał również treść art. 2 ust. 1 pkt 22 ustawy z dnia 23 listopada 2012 r. Prawo pocztowe (Dz. U. z 2020 r., poz. 1041 ze zm.), zgodnie z którym to przepisem, przesyłka polecona to przesyłka listowa będąca przesyłką rejestrowaną, przemieszczana i doręczana w sposób zabezpieczający ją przed utratą, ubytkiem zawartości lub uszkodzeniem. Przypomniał też, że w myśl art. 17 ww. ustawy potwierdzenie nadania przesyłki rejestrowanej lub przekazu pocztowego wydane przez placówkę pocztową operatora wyznaczonego ma moc dokumentu urzędowego.

Z powyższych rozważań i analizy akt sprawy Sąd I instancji wyprowadził wniosek, wedle którego, skoro przesyłka polecona zawierająca ww. oświadczenia Banku została skierowana do uczestniczki postępowania na prawidłowy adres (wskazany w ww. umowach) i - jak wielokrotnie podkreślał Bank w toku postępowania - nie została zwrócona do nadawcy, to należy uznać, że dotarła do adresata, a w konsekwencji, że Bank spełnił obowiązek "poinformowania" uczestniczki postępowania o zamiarze przetwarzania dotyczących jej danych, bez jej zgody - zgodnie z art. 105a ust. 3 ustawy Prawo bankowe.

Jednocześnie, zdaniem Sądu I instancji, z akt sprawy nie wynika, aby uczestniczka postępowania wykazała okoliczności, które mogłyby obalić domniemanie doręczenia jej ww. listów poleconych, a mianowicie, że nie otrzymała tychże listów, nie poinformowała Banku o zmianie adresu lub - chociażby - że zgłosiła reklamację w urzędzie pocztowym.

W konsekwencji Sąd I instancji nie podzielił stanowiska wyrażonego w uzasadnieniu zaskarżonej decyzji, zgodnie z którym przesłanka "poinformowania"

o przetwarzaniu przez Bank danych osobowych uczestniczki postępowania zgodnie

z art. 105a ust. 3 ustawy Prawo bankowe zostałaby spełniona w przypadku przedstawienia przez Bank "dowodu na prawidłowe dostarczenie skarżącej dokumentów (...)", zaś "samo oświadczenie o wysłaniu korespondencji

i przedstawienie jej kopii, wraz z oddrukiem list wysyłkowych i książki nadawczej, nie stanowi dowodu na jej dostarczenie lub poinformowanie o jej treści adresata".

W końcowej części uzasadnienia dokonał podsumowania swoich rozważań

i jeszcze raz podkreślił, dla spełnienia obowiązku informacyjnego z art. 105a ust. 3 ustawy Prawo bankowe wystarczające jest wysłanie wymaganej korespondencji listem poleconym i dysponowanie dowodem jego nadania, co stanowi podstawę domniemania, że przesłanka została doręczona adresatowi. Takie rozumienie przesłanki "poinformowania", o którym mowa w ww. przepisie, koresponduje z treścią art. 14 ust. 1 pkt 3 ustawy z dnia 9 kwietnia 2010 r. o udostępnianiu informacji gospodarczych i wymianie danych gospodarczych (Dz. U. z 2020 r., poz. 389 ze zm.) w brzmieniu obowiązującym w dacie wydania zaskarżonej decyzji, zgodnie z którym wierzyciel może przekazać do biura (informacji gospodarczej) informacje gospodarcze o zobowiązaniu dłużnika będącego konsumentem wyłącznie wówczas, gdy: upłynął co najmniej miesiąc od wysłania przez wierzyciela listem poleconym albo doręczenia dłużnikowi będącemu konsumentem do rąk własnych, na adres do doręczeń wskazany przez dłużnika będącego konsumentem, a jeżeli nie wskazał takiego adresu - na adres miejsca zamieszkania, wezwania do zapłaty, zawierającego ostrzeżenie o zamiarze przekazania danych do biura, z podaniem firmy i adresu siedziby tego biura. W świetle ww. przepisu przesłanka przekazania informacji (a więc poinformowania) o zobowiązaniu dłużnika jest spełniona w przypadku upływu miesiąca od wysłania przez wierzyciela listem poleconym wezwania do zapłaty. W ten sam sposób należy wykładać art. 105a ust. 3 ustawy Prawo bankowe przyjmując, że termin "30 dni od poinformowania" przez bank danej osoby o zamiarze przetwarzania jej danych osobowych, bez jej zgody, biegnie od daty wysłania listem poleconym stosownego oświadczenia banku w tym przedmiocie. Nadmienić przy tym należy, że jak wynika z wyjaśnień Banku z dnia 19 listopada 2019 r. (k. 36 akt admin.) listy polecone zawierające informację o przetwarzaniu danych w oparciu o art. 105a ust. 3 ww. ustawy zostały wysłane do uczestniczki postępowania w dniach 9 czerwca 2016 r. i 18 czerwca 2016 r., zaś zaprzestanie przetwarzania danych na podstawie ww. przepisu będzie skuteczne po upływie 5 lat od wygaśnięcia zobowiązania, co miało miejsce 15 grudnia 2016 r.

W rezultacie, wedle WSA w Warszawie, organ dopuścił się naruszenia art. 58 ust. 2 lit. c ogólnego rozporządzenia o ochronie danych w związku z art. 105a ust. 3 ustawy Prawo bankowe.

Skargę kasacyjną od powyższego wyroku wniósł Prezes UODO, reprezentowany przez radcę prawnego. Zaskarżając wyrok WSA w Warszawie

w całości. Organ, na podstawie art. 176 § 2 p.p.s.a., wniósł o rozpoznanie przedstawionej skargi kasacyjnej na rozprawie. Na podstawie art. 188 p.p.s.a wniósł o uchylenie w całości zaskarżonego wyroku i oddalenie skargi [...] Bank S.A., ewentualnie, w oparciu o przepis art. 185 § 1 p.p.s.a., wniósł o uchylenie w całości zaskarżonego wyroku i przekazanie sprawy do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie.

Wystąpił także o zasądzenie zwrotu kosztów postępowania, w tym kosztów zastępstwa procesowego, według norm przepisanych.

Zaskarżonemu wyrokowi zarzucił naruszenie przepisu prawa materialnego, tj. art. 105a ust. 3 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (t.j. Dz.U. z 2021 r. poz. 2439 - zwanej dalej ustawą p.b.) poprzez jego błędną wykładnię polegającą na przyjęciu, że wykonanie obowiązku informacyjnego, o którym mowa w tym przepisie, nie musi polegać na skutecznym doręczeniu klientowi banku informacji o zamiarze przetwarzania jego danych osobowych bez jego zgody, a wystarczające jest rzeczywiste umożliwienie klientowi banku zaznajomienia się ze wspomnianą informacją poprzez jej wysłanie drogą pocztową i wykazanie tego stosownym wydrukiem z książki nadawczej wobec domniemania doręczenia, gdy tymczasem prawidłowa wykładnia tego przepisu prowadzi do wniosku, że "poinformowanie" w rozumieniu tego przepisu oznacza skuteczne doręczenie klientowi banku informacji o zamiarze przetwarzania jego danych osobowych bez jego zgody, co w konsekwencji doprowadziło do uchylenia zaskarżonej decyzji.

W uzasadnieniu skargi, jej autor, podniósł m.in., że żaden przepis ustawy Prawo bankowe nie wymaga, aby obowiązek informacyjny, o którym mowa w art. 105a ust. 3 tej ustawy, był realizowany w szczególnej formie. Nie musi być to przesyłka polecona, gdyż forma spełnienia tego obowiązku jest całkowicie dowolna, byleby tylko klient banku został poinformowany o zamiarze przetwarzania jego danych. W opinii Prezesa UODO skuteczne przekazanie informacji do adresata, wybór operatora pocztowego i sposobu przekazania informacji oraz ryzyko z tym związane obciążają Bank, gdyż to on wywodzi z tego faktu poinformowania skutki prawne. Ponadto skarżący kasacyjnie organ wskazał, że uznanie za datę poinformowania klienta banku daty wysłania pisma doprowadziłoby w konsekwencji do sytuacji, w której dłużnicy mieliby zróżnicowany realny czas na podjęcie ewentualnych działań (wykonania zobowiązania) w związku z otrzymanym powiadomieniem.

W odpowiedzi na skargę kasacyjną, [...] Bank S.A. [...], reprezentowany przez radcę prawnego, wniósł o jej oddalenie oraz o zasądzenie zwrotu kosztów postępowania, w tym kosztów zastępstwa prawnego według norm przepisanych. Uzasadniając złożony wniosek procesowy Bank w znaczącej części powtórzył stanowisko Sądu z uzasadnienia zaskarżonego wyroku.

Naczelny Sąd Administracyjny zważył, co następuje:

Stosownie do art. 183 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz. U. z 2024 r., poz. 935) zwanej dalej p.p.s.a., Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, biorąc pod rozwagę z urzędu jedynie nieważność postępowania. W rozpoznawanej sprawie nie zachodzi żadna z okoliczności skutkujących nieważnością postępowania, o jakich mowa w art. 183 § 2 p.p.s.a. i nie zachodzi żadna z przesłanek, o których mowa w art. 189 p.p.s.a., które Naczelny Sąd Administracyjny rozważa z urzędu dokonując kontroli zaskarżonego skargą kasacyjną wyroku. W tych okolicznościach w sprawie badaniu podlegały wyłącznie zarzuty podniesione w skardze kasacyjnej na uzasadnienie przytoczonej podstawy kasacyjnej.

Podstawy, na których można oprzeć skargę kasacyjną zostały określone w art. 174 p.p.s.a. Przepis art. 174 pkt 1 p.p.s.a. przewiduje dwie postacie naruszenia prawa materialnego, a mianowicie błędną jego wykładnię lub niewłaściwe zastosowanie. Przez błędną wykładnię należy rozumieć niewłaściwe zrekonstruowanie treści normy prawnej wynikającej z konkretnego przepisu, natomiast przez niewłaściwe zastosowanie, dokonanie wadliwej subsumcji przepisu do ustalonego stanu faktycznego. Również druga podstawa kasacyjna wymieniona w art. 174 pkt 2 p.p.s.a. – naruszenie przepisów postępowania – może przejawiać się w tych samych postaciach, co naruszenie prawa materialnego, przy czym w wypadku oparcia skargi kasacyjnej na tej podstawie skarżący powinien nadto wykazać istotny wpływ wytkniętego uchybienia na wynik sprawy.

W rozpatrywanej sprawie spór dotyczy wykładni pojęcia "poinformowania", o którym mowa w art. 105a ust. 3 ustawy Prawo bankowe. Zdaniem organu, sporządzenie i wysłanie pisma nie jest równoznaczne z udowodnieniem jego prawidłowego doręczenia, a w konsekwencji skutecznego poinformowania adresatki o zamiarze przetwarzania przez Bank danych stanowiących tajemnicę bankową, bez jej zgody. Samo bowiem oświadczenie o wysłaniu korespondencji i przedstawienie jej kopii, nie stanowi dowodu na jej doręczenie (poinformowanie o jej treści adresatki). Bank wywodził natomiast, że przesyłki polecone zawierające oświadczenie Banku zostały skierowane do klientki banku na prawidłowy adres (wskazany w umowie kredytowej) i nie zostały zwrócone do nadawcy. Jego zdaniem, skoro dysponuje dowodem nadania spornych przesyłek, to oznacza, że poinformował adresatkę o zamiarze przetwarzania danych w BIK, bez jej zgody, stosownie do art. 105a ust. 3 Prawa bankowego. Wojewódzki Sąd Administracyjny w Warszawie podzielił to zapatrywanie Banku.

Zdaniem Naczelnego Sądu Administracyjnego stanowisko Sądu I instancji nie jest prawidłowe, należy bowiem podzielić stanowisko zaprezentowane w wyroku Naczelnego Sądu Administracyjnego z 16 stycznia 2024 r., który to orzekał w zbliżonym stanie faktycznym, podzielając stanowisko Prezesa Urzędu Ochrony Danych Osobowych.

Podzielić należy zarzut naruszenia przepisów prawa materialnego, tj. art. 105a ust. 3 ustawy Prawo bankowe. Jak wynika z brzmienia art. 105a ust. 3 Prawa bankowego banki, instytucje oraz podmioty, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową i informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank, inną instytucję ustawowo upoważnioną do udzielania kredytów, instytucję pożyczkową albo podmiot, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, o zamiarze przetwarzania dotyczących jej tych informacji, bez jej zgody.

Istotną przesłanką umożliwiającą zastosowanie tego przepisu jest poinformowanie osoby, która nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem itd., przez ten bank lub inną instytucję wymienioną w tym przepisie o zamiarze przetwarzania dotyczących jej informacji, bez jej zgody.

Należy też podkreślić, że jeśli w okresie 30 dni od poinformowania o zamiarze przetwarzania informacji bez zgody, klient spłacił całą zaległość wobec banku, to po upływie 30. dnia bank i inna instytucja upoważniona do udzielania kredytów oraz instytucja z art. 105 ust. 4 Prawa bankowego nie mogą przetwarzać informacji bez jego zgody. Termin trzydziestodniowy został bowiem wprowadzony w celu zapewnienia konsumentowi ostatecznej możliwości wywiązania się z zobowiązań wobec banku i uniknięcia tym samym sankcji w postaci przetwarzania o nim informacji jako o niesolidnym dłużniku przez okres 5 lat.

Prawodawca nie zdefiniował użytego w art. 105 ust. 3 Prawa bankowego pojęcia "poinformować", ani nie stworzył w tym zakresie żadnych szczególnych wymogów formalnych co do sposobu i treści takiego poinformowania klienta lub byłego klienta banku. Prawidłowa wykładnia tego przepisu nie może jednak oznaczać całkowitej dowolności w tym zakresie. "Poinformować" to tyle co "udzielić informacji, wskazówek, objaśnić, powiadomić o czymś, podać do wiadomości" (Słownik języka polskiego, pod red. M. Szymczaka, Warszawa 1988, t. II, s.766), czyli spowodować, że ktoś zaczyna o czymś wiedzieć. W literaturze i orzecznictwie sądowoadministracyjnym zwraca się uwagę na materialny (ochronny), a nie formalny charakter tego przepisu. Dane osobowe są wartością chronioną ustawowo, a prawo od ich ochrony - jak przyjmuje się w piśmiennictwie – "stanowi swego rodzaju emanację ogólnego prawa gwarantowanego Konstytucją RP (art. 47). Spostrzeżenie to oparte jest na założeniu, że dane osobowe są niejako częścią życia prywatnego lub rodzinnego, względnie że posługiwanie się danymi dotyczącymi innej osoby wkracza w przyznaną jej kompetencję decydowania o swoim życiu osobistym" (zob. J. Barta, P. Fajgielski, R. Markiewicz - Komentarz do art. 1 ustawy o ochronie danych osobowych, System informacji prawnej LEX).

O ile podzielić należy stanowisko, iż przy analizie przepisu art. 105a ust. 3 Prawa bankowego, nie powinno się także abstrahować od istoty (celu) wprowadzenia instytucji przetwarzania danych osobowych dłużnika bez jego zgody na mocy tego przepisu ustawy (należy pamiętać, że Biuro Informacji Kredytowej ma za zadanie przetwarzać dane nierzetelnych dłużników, tj. osób, które pomimo zaciągnięcia określonego zobowiązania wobec banku, nie wywiązują się z umowy i nie spłacają swojego zobowiązania, chroniąc w ten sposób inne podmioty przed wyłudzaniem kolejnych pożyczek, a także pośrednio - rzetelnych kredytobiorców), to jednak pozycja dłużnika jest wobec podmiotu udzielającego pożyczki słabsza, a skutek w postaci przetwarzania danych osobowych bez jego zgody ma charakter publicznoprawny.

Powyższe oznacza, że wszelkie regulacje znoszące tę ochronę muszą być odczytywane i wykładane ściśle, z uwzględnieniem funkcji jakiej mają służyć. Przy takiej wykładni, sformułowanie użyte w przepisie art. 105a ust. 3 Prawa bankowego, dotyczące obowiązku informacyjnego banku, musi więc oznaczać, że nie jest to tylko obowiązek formalny. Jakkolwiek ustawodawca w żaden sposób nie ograniczył sposobów i form takiego powiadomienia, to w każdym wypadku sposób ten powinien umożliwić zweryfikowanie faktu poinformowania klienta banku o zamierzonym przetwarzaniu jego danych osobowych. Ustawodawca w żaden sposób nie ograniczył sposobów i form takiego poinformowania. Zauważyć jednak należy, że prawodawca użył kategorycznej formy "poinformować" (czasownik przechodni dokonany), a nie "informować". Określony w ustawie skutek ma nastąpić po upływie "30 dni od poinformowania tej osoby przez bank", a nie od np. wysłania jej informacji. Takie "poinformowanie" może nastąpić np. osobiście w placówce banku lub innego podmiotu wymienionego w art. 105a ust. 3 Prawa bankowego, przez przesyłkę doręczaną listownie lub przez pracownika banku albo innego uprawnionego podmiotu, a nawet nie można również wykluczyć możliwości skierowania takiej informacji drogą elektroniczną (o ile strony w zawartej umowie taką formę korespondencji przewidziały przez bank w tym zakresie z podmiotem zewnętrznym). O ile więc sposób i forma poinformowania klienta mogą być różnorodne, to jednak w każdym wypadku sposób ten powinien umożliwić zweryfikowanie faktu poinformowania klienta banku o zamierzonym przetwarzaniu jego danych osobowych. Wybór formy poinformowania adresata, operatora pocztowego i sposobu przekazania informacji oraz związany z tym obowiązek wykazania tego faktu obciążają bank lub inny zobowiązany podmiot, gdyż to one wywodzą z tego faktu skutki prawne. Taki sposób rozumienia obowiązku poinformowania zamieszczonego w art. 105a ust. 3 prawa bankowego wynika nie tylko z gwarancyjnego charakteru tego przepisu dla kredytobiorcy, ale także z dobrze pojętego interesu podmiotów udzielających kredytów, aby w sposób skuteczny zamieścić w BIK stosowną informację o nierzetelnym kredytobiorcy. Jak wskazano wyżej, wskazanie daty doręczenia przesyłki zawierającej stosowną informację umożliwia także prawidłowe wskazanie początku trzydziestodniowego terminu, o którym mowa w art. 105a ust. 3 Prawa bankowego (nie jest nim bowiem data nadania przesyłki na poczcie ani data uzależniona od domniemanego odebrania przesyłki).

Podsumowując stwierdzić należy, że Prezes UODO prawidłowo przyjął, że przepis art. 105a ust. 3 Prawa bankowego obligował Bank do wykazania spełnienia powyższego obowiązku.

W tym stanie rzeczy, stwierdzając, że skarga kasacyjna ma usprawiedliwioną podstawę, a istota sprawy jest dostatecznie wyjaśniona, Naczelny Sąd Administracyjny w oparciu o art. 188 p.p.s.a. uchylił zaskarżony wyrok i rozpoznał skargę.

Z zebranego materiału dowodowego zgromadzonego w sprawie wynika, że na potwierdzenie spełnienia obowiązku z art. 105a ust. 3 Prawa bankowego Bank przedstawił kopie oświadczeń z 9 czerwca 2016 r. oraz z 18 czerwca 2016 r. skierowanych do J. G. (dalej także jako skarżąca (w postępowaniu administracyjnym)) o wypowiedzeniu umów z bankiem, na adres wskazany w ww. umowach, w których to oświadczeniach zawarł m.in. informację o zamiarze korzystania z prawa do przetwarzania danych stanowiących tajemnicę bankową przez okres 5 lat po wygaśnięciu zobowiązania, bez zgody osoby, której te dane dotyczą oraz o możliwości przetwarzania tych informacji przez BIK S.A. i inne instytucje wskazane w art. 105a ust. 1 ustawy Prawo bankowe przez okres 5 lat po wygaśnięciu zobowiązania, bez zgody osoby, której te informacje dotyczą (k. 168 - 171 akt admin.). Ponadto Bank przedstawił oddruki list wysyłkowych (Lista wysyłkowa pism windykacyjnych (polecone) - BKN z 9 czerwca 2016 r. oraz Lista wysyłkowa pism windykacyjnych (polecone) - BKN z 18 czerwca 2016 r.), a także wydruki z książki nadawczej (k. 172 - 177 akt admin.). Z powyższego wynika, że Bank - w celu wypełnienia obowiązku, o którym mowa w art. 105a ust. 3 ustawy Prawo bankowe - informację o zamiarze przetwarzania danych osobowych przesłał skarżącej listem poleconym i dysponuje potwierdzeniem nadania tych przesyłek. Jednocześnie Bank nie przedstawił żadnego dowodu doręczenia tych przesyłek poleconych (wskazującego na datę doręczenia np. wydruk z strony śledzenia przesyłek rejestrowanych), przy jednoczesnym zaprzeczeniu przez skarżącą jakoby [...] Bank S.A. spełnił obowiązek poinformowania jej o zamiarze przetwarzania dotyczących jej informacji stanowiących tajemnicę bankową bez jej zgody, co było wymagane zgodnie z art. 105a ust. 3 ustawy - Prawo bankowe.

Konsekwencją przedstawionego wyżej stanowiska jest to, że za niezasadny uznać należy zarzut Banku podniesiony w skardze, naruszenia przepisów postępowania mającego istotny wpływ na wynik sprawy, tj.: art. 145 § 1 pkt 1 lit. c p.p.s.a. w zw. z art. 6, art. 7, art. 8 § 1 i 2, art. 77 § 1 k.p.a. i art. 80 k.p.a. oraz art. 107 § 3 k.p.a. Organ nie naruszając tych przepisów prawidłowo uznał, że okoliczność poinformowania skarżącej o zamiarze przetwarzania jej danych osobowych po wygaśnięciu zobowiązań wynikających z umów kredytowych nie została przez Bank udowodniona. Naczelny Sąd Administracyjny podziela pogląd organu, że Bank nie przedstawił dowodu na prawidłowe doręczenie skarżącej dokumentów, w treści których była informacja o okolicznościach wskazanych w art. 105a ust. 3 Prawa bankowego. Żaden z dowodów przedstawionych przez Bank (wydruk stron z systemu bankowego o rejestracji wysłania zawiadomienia, oświadczenia banku) nie potwierdził by skarżąca otrzymała informację o zamiarze przetwarzana jej danych osobowych. Informacje o dokonaniu wysyłki takiej wiadomości nie mogą stanowić o uczynieniu zadość obowiązkowi z art. 105a ust. 3 Prawa bankowego. W celu weryfikacji dopuszczalności przetwarzania danych osobowych na podstawie art. 105a ust. 3 Prawa bankowego, Bank powinien przedstawić organowi stosowne dowody na potwierdzenie rzeczywistego wykonania wymienionego w tym przepisie obowiązku poinformowania i w tym zakresie Prezes UODO nie mógł opierać się wyłącznie na oświadczeniu banku. Racjonalna ocena dowodów przedłożonych przez strony niniejszego postępowania dokonana w myśl zasad wyrażonych w art. 75 § 1 k.p.a. i art. 80 k.p.a. nie może prowadzić do wniosku, że udowodniono okoliczność poinformowania skarżącej o zamiarze przetwarzania jej danych osobowych w sposób określony w art. 105a ust. 3 Prawa bankowego. Analiza przedłożonych przez strony dowodów w sprawie prowadzi do wniosku, że okoliczność poinformowania skarżącej stanowiła wyłącznie domniemanie wywiedzione z okoliczności skierowania do niej listem poleconym korespondencji zawierającej informacje, które w okolicznościach niniejszej sprawy, w tym w obliczu oświadczenia skarżącej, należy uznać za obalone.

Uregulowana w art. 7 k.p.a. zasada prawdy obiektywnej nakazuje organowi prowadzącemu postępowanie zebranie z urzędu lub na wniosek strony oraz rozpatrzenie całego materiału dowodowego w sposób pozwalający na ustalenie stanu faktycznego sprawy zgodnego z rzeczywistością. Oczywiście chodzi tu o wyjaśnienie okoliczności faktycznych w takim stopniu, w jakim wymaga tego rozstrzygnięcie sprawy. Zasada ta jest podstawową regułą każdej nowoczesnej regulacji procesowej. Należy pamiętać, że prawidłowe ustalenie stanu faktycznego sprawy stanowi warunek konieczny – chociaż jeszcze niewystarczający – prawidłowego jej rozstrzygnięcia. Zawsze bowiem niewyjaśnienie lub niedostateczne wyjaśnienie stanu faktycznego sprawy będzie prowadziło do wydania wadliwej decyzji. W teorii prawa mówi się wtedy o subsumcji faktu uznanego za udowodniony pod konkretną normę administracyjnego prawa materialnego – por. J. Wróblewski (w:) W. Lang, J. Wróblewski, S. Zawadzki, Teoria państwa i prawa, Warszawa 1980, s. 431. Należy podkreślić, iż od 11 kwietnia 2011 r. zmieniono brzmienie art. 7 k.p.a., statuującego tę zasadę, przez wyraźne podkreślenie, że zebranie materiału dowodowego sprawy następuje zarówno z urzędu, jak i na wniosek strony. W ten sposób wyraźnie zwrócono uwagę na obowiązek strony współdziałania z organem w celu ustalenia stanu faktycznego sprawy zgodnego z rzeczywistością. Zmiana ta niesie ze sobą ten skutek, że na zasadzie prawdy obiektywnej nie można już dalej opierać twierdzenia, iż jest ona źródłem ciężaru dowodowego spoczywającego na organie prowadzącym postępowanie. Nie ma już bowiem podstawy prawnej uzasadniającej taki wniosek. Natomiast ta zmiana daje podstawę do zajęcia stanowiska, że w sytuacji gdy dany środek dowodowy niezbędny do ustalenia konkretnej okoliczności faktycznej, z istnienia której strona wywodzi dla siebie skutki prawne, nie znajduje się w posiadaniu organu, to wynikający z zasady prawdy obiektywnej obowiązek organu prowadzącego postępowanie ogranicza się do konieczności poinformowania strony o przedstawienia posiadanych dowodów.

Zgodnie z art. 75 § 1 k.p.a. jako dowód należy dopuścić wszystko, co może przyczynić się do wyjaśnienia sprawy, a nie jest sprzeczne z prawem. W szczególności dowodem mogą być dokumenty, zeznania świadków, opinie biegłych oraz oględziny. Natomiast z art. 77 § 1 k.p.a. wynika obowiązek zebrania i rozpatrzenia pełnego materiału dowodowego w sprawie, którego realizacja ma miejsce na dwóch płaszczyznach. Po pierwsze, polega on na przeprowadzeniu postępowania dowodowego co do wszystkich okoliczności stanowiących fakty prawotwórcze, a więc takich, z którymi w świetle przepisów obowiązującego prawa związane są określone skutki prawne. Po drugie, zebrany materiał dowodowy powinien znaleźć pełne odzwierciedlenie w uzasadnieniu faktycznym decyzji.

Jeśli zaś chodzi o obowiązek dokonania oceny na podstawie całokształtu materiału dowodowego, czy dana okoliczność została udowodniona (art. 80 k.p.a.), to nie można twierdzić, iż jakaś okoliczność została udowodniona, jeżeli w materiale dowodowym, utrwalonym w aktach sprawy, brak jest dowodu na jej potwierdzenie. Jeżeli zobowiązany podmiot wykazuje jedynie domniemanie realizacji nałożonego na niego ustawowo obowiązku, a jednocześnie w materiale dowodowym zawarte jest zaprzeczenie wykonania tego obowiązku (które dezawuuje skutek wynikający z tej okoliczności), to oznacza, że nie ziściła się przesłanka wynikająca z prawa materialnego umożliwiająca w konsekwencji zastosowanie tej normy materialnoprawnej. Zdaniem Naczelnego Sądu Administracyjnego, z wszystkich tych obowiązków wywiązał się organ administracji orzekający w niniejszej sprawie i zarzuty Sądu I instancji w tym zakresie są nieuzasadnione. W konsekwencji w pełni został także zrealizowany przez organ obowiązek wynikający z art. 107 § 3 k.p.a.

Chybione jest stanowisko Sądu I instancji powołującego się na przepisy ustawy Prawo pocztowe oraz Regulamin świadczenia usług pocztowych i uznającego, że skarżący Bank dysponuje dowodem na przekazanie skarżącej informacji o zamiarze przetwarzania danych osobowych bez jej zgody. Zgodnie z art. 17 ustawy z 23 listopada 2012 r. Prawo pocztowe (Dz. U. z 2022 r. poz. 896) potwierdzenie nadania przesyłki rejestrowanej lub przekazu pocztowego wydane przez placówkę pocztową operatora wyznaczonego ma moc dokumentu urzędowego, co oznacza, że stwierdza on zaistnienie opisanych w nim faktów i korzysta z domniemania prawdziwości, a jego ewentualne obalenie musi być oparte na przekonywujących dowodach. Podkreślić jednak należy, że Prezes UODO nie kwestionuje faktu dokonania nadania przesyłek listami poleconymi do skarżącej. Jednak traktowanie tego faktu jako dowodu poinformowania (dostarczenia informacji) skarżącej zgodnie z art. 105a ust. 3 Prawa bankowego nie ma uzasadnienia w brzmieniu art. 17 ustawy Prawo pocztowe. Dodatkowo należy zauważyć, że ciężar udowodnienia rzeczywistego spełnienia przesłanek określonych w art. 105a ust. 3 Prawa bankowego, ciąży na Banku jako administratorze danych. Zatem w świetle konieczności wykazania istnienia prawnie uzasadnionego interesu po stronie administratora danych, wszelkie dowody w w.w. zakresie nie mogą opierać się na domniemaniach.

Podsumowując w ocenie Naczelnego Sądu Administracyjnego, prawidłowe jest stanowisko organu, który doszedł do przekonania, że Bank nie wykazał, iż dopełnił wymaganego w art. 105a ust. 3 ustawy Prawo bankowe obowiązku poinformowania skarżącej o zamiarze przetwarzania dotyczących jej informacji stanowiących tajemnicę bankową bez jej zgody. W aktach administracyjnych brak jest bowiem dowodów wskazujących na fakt, że Bank poinformował swoją klientkę o zamiarze przetwarzania powyższych danych osobowych, chociaż niewątpliwie Bank podjął działania zmierzające do zrealizowania tego obowiązku (wysłał pisma ze stosowną informacją). Prezes UODO zastosował się do zasad ogólnych postępowania administracyjnego: zasady praworządności, zasady prawdy obiektywnej i pogłębiania zaufania do władzy publicznej oraz nie przekroczył granic swobodnej oceny dowodów i prawidłowo przyjął, że potwierdzenie nadania pisma listem poleconym nie stanowi dowodu poinformowania skarżącej o zamiarze przetwarzania jej danych osobowych bez jej zgody.

Wyżej wykazano, że zarzuty skargi okazały się niezasadne a zaskarżona decyzja jest zgodna z prawem, w rezultacie oddalono skargę Banku na podstawie art. 151 p.p.s.a.

O kosztach postępowania kasacyjnego od [...] Bank SA [...] na rzecz Prezesa Urzędu Ochrony Danych osobowych orzeczono na podstawie art. 203 pkt 2 w zw. z art. 205 § 2 p.p.s.a.