Wyrok - II SA/Wa 248/25 - Wojewódzki Sąd Administracyjny w Warszawie - z dnia 24 września 2025
Teza
Oddalono skargę. Ochrona danych osobowych, Sprawy związane z ochroną danych osobowych. Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Ewa Marcinkowska, Sędzia WSA Joanna Kruszewska-Grońska (spr.), Asesor WSA Anna Pośpiech-Kłak, po rozpoznaniu w trybie uproszczonym w dniu 24 września 2025 r. sprawy ze skargi [...] S.A. z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] grudnia 2024 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę UZASADNIENIE Decyzją z [...] grudnia 2024 r. nr [...] Prezes Urzędu OchroOddalono skargę. Ochrona danych osobowych, Sprawy związane z ochroną danych osobowych. Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Ewa Marcinkowska, Sędzia WSA Joanna Kruszewska-Grońska (spr.), Asesor WSA Anna Pośpiech-Kłak, po rozpoznaniu w trybie uproszczonym w dniu 24 września 2025 r. sprawy ze skargi [...] S.A. z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] grudnia 2024 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę UZASADNIENIE Decyzją z [...] grudnia 2024 r. nr [...] Prezes Urzędu Ochro
Najważniejsze informacje
W skrócie
Wynik
oddalono skargę
Przedmiot
skarga administracyjna / kontrola aktu administracyjnego
Typ sprawy
sprawa administracyjna / kontrola aktu administracyjnego
Etap
postępowanie administracyjne sądowe / skarga na decyzję lub akt
Tematy
skarga administracyjna
kontrola administracyjna
Role w sprawie
uczestnik postępowania
apelujący / skarżący
uczestnik
Data orzeczenia
24 września 2025
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Przewodniczący
Anna Pośpiech-Kłak
Podstawa prawna
Rozstrzygnięcie
Oddalono skargę
UZASADNIENIE
Decyzją z [...] grudnia 2024 r. nr [...] Prezes Urzędu Ochrony Danych Osobowych (dalej: "PUODO", "organ"), na mocy art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2024 r., poz. 572 ze zm.; dalej: "k.p.a.") w związku z art. 7 ust. 1 i ust. 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781; dalej: "u.o.d.o. z 2019 r."), a także art. 6 ust. 1 oraz art. 58 ust. 2 lit. c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych - Dz. Urz. UE L 119 z 2016 r., str. 1 ze sprost.; dalej: "RODO"), nakazał [...] Bank [...] S.A. z siedzibą w [...] (dalej: "skarżący", "Bank") zaprzestania przetwarzania danych osobowych P. W. (dalej: "uczestnik postępowania", "klient"), dotyczących zobowiązania wynikającego z umowy z [...] stycznia 2017 r. nr [...] w Biurze Informacji Kredytowej S.A. z siedzibą w [...] (dalej: "BIK"), na podstawie art. 105a ust. 3 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (obecnie tekst jednolity: Dz. U. z 2024 r., poz. 1646 ze zm.; dalej: "P.b."), w celu oceny zdolności kredytowej i analizy ryzyka kredytowego.Do wydania ww. decyzji doszło w następującym stanie faktycznym sprawy.W skierowanej do PUODO skardze z [...] kwietnia 2024 r. uczestnik postępowania podniósł, że Bank bezprawnie wykorzystuje i udostępnia BIK jego dane osobowe, pozyskane przy zawieraniu umowy pożyczki w dniu [...] stycznia 2017 r. Skarżący przez szereg lat nie informował klienta o zaległości z tytułu ww. umowy - w kwocie raptem 74 zł, którą ten spłacił niezwłocznie po pozyskaniu od BIK informacji o tej zaległości. Jak podkreślił uczestnik postępowania, Bank nie powiadomił go o zamiarze przetwarzania jego danych bez jego zgody w trybie art. 105a ust. 3 P.b., a on od lat figuruje jako dłużnik w rejestrze BIK w odniesieniu do ww. kwoty, co formalnie uniemożliwia mu pozyskanie pożyczki czy kredytu w jakimkolwiek banku. Ponadto skarżący bezpodstawnie zastrzega sobie prawo dalszego przetwarzania jego danych osobowych i to przez okres 10 lat. W świetle powyższego, klient wniósł o spowodowanie zaprzestania przetwarzania jego danych przez Bank, a w rezultacie usunięcie jego danych z rejestru BIK.W toku postępowania administracyjnego, wszczętego opisaną wyżej skargą, organ pozyskał wyjaśnienia od Banku oraz BIK.Skarżący podał, że:( pozyskał dane osobowe bezpośrednio od klienta w związku ze złożeniem przez niego [...] stycznia 2017 r. wniosku o zawarcie kredytu ratalnego nr [...], który zakończył się w dniu [...] stycznia 2017 r. zawarciem umowy kredytu na zakup towarów/usług nr [...]. Zobowiązanie zostało spłacone [...] maja 2023 r. i umowa w ww. dacie została rozliczona;( dane osobowe uczestnika postępowania zostały pozyskane w celu:- zawarcia i realizacji umowy na mocy art. 23 ust. 1 pkt 3 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r., poz. 922 ze zm.; dalej: "u.o.d.o. z 1997 r.",- realizacji kontaktu marketingowego w oparciu o art. 23 ust. 1 pkt 1 u.o.d.o. z 1997 r.,- realizacji obowiązków prawnych w zakresie:przeprowadzenia oceny zdolności kredytowej (vide art. 70 ust. 1 P.b. w związku z art. 23 ust. 1 pkt 2 u.o.d.o. z 1997 r.),wykonywania środków bezpieczeństwa finansowego (vide art. 8b-9a ustawy z dnia 16 listopada 2000 r. o przeciwdziałaniu praniu pieniędzy i finansowania terroryzmu - Dz. U. z 2017 r., poz. 1049 ze zm. w związku z art. 23 ust. 1 pkt 2 u.o.d.o. z 1997 r.),przechowywania dokumentów księgowych (vide art. 74 ustawy z dnia 29 września 1994 r. o rachunkowości - obecnie tekst jednolity: Dz. U. z 2023 r., poz. 120 ze zm.; dalej: "u.r.", a także wynikające z niej przepisy szczególne, do których stosowania jest zobowiązany skarżący);( pozyskał dane osobowe klienta w zakresie: imię i nazwisko, PESEL, dane dokumentu tożsamości (data urodzenia, seria i nr dowodu osobistego, data wydania i ważności dowodu osobistego), dane teleadresowe (adres zameldowania, adres zamieszkania, korespondencyjny, nr telefonu), płeć, dane niezbędne do oceny zdolności kredytowej: stan cywilny, informacje o dochodzie i jego źródle, dane o obciążeniach gospodarstwa domowego;( obecnie przetwarza dane osobowe uczestnika postępowania w związku z rozliczoną umową, w celu spełnienia obowiązków, które wynikają z przepisów prawa (vide art. 6 ust. 1 lit. c RODO), tj.:- przechowywania dokumentów księgowych (vide art. 74 u.r.),- realizacji obowiązków związanych z wykonaniem środków bezpieczeństwa finansowego oraz przechowywania danych dla celów przeciwdziałania praniu pieniędzy oraz finansowaniu terroryzmu (vide art. 34 ust. 1, ust. 3 i ust. 4 oraz art. 36-37 i art. 49 ustawy z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu - Dz. U. z 2025 r., poz. 644 ze zm.) oraz realizacji prawnie uzasadnionych interesów administratora (vide art. 6 ust. 1 lit. f RODO),- rozpatrywania reklamacji oraz ustalania, obrony i dochodzenia roszczeń (vide art. 6 ust. 1 lit. f RODO),- oceny zdolności kredytowej i analizy ryzyka kredytowego;( aktualnie przetwarza dane klienta w następującym zakresie: imię i nazwisko, PESEL, dane dokumentu tożsamości (data urodzenia, seria i nr dowodu osobistego, data wydania i ważności dowodu osobistego), dane teleadresowe (adres zameldowania, adres korespondencyjny, nr telefonu, adres), obywatelstwo, informacje o posiadanym produkcie i jego rozliczenia;( wysłał zapytania w celu przeprowadzenia oceny zdolności kredytowej i analizy ryzyka kredytowego (vide art. 70 ust. 1 w związku z art. 105 ust. 4 i art. 105a ust. 1 P.b.). Następnie skarżący przekazał dane osobowe klienta do BIK na mocy umowy w sprawie gromadzenia, przetwarzania i udostępniania informacji w bazie SI BIK "Kredytobiorcy", która to umowa została zawarta [...] sierpnia 2016 r. pomiędzy skarżącym a BIK;( stwierdził, iż klient wyraził zgodę na przetwarzanie i udostępnianie przez BIK przekazanych przez skarżącego, a dotyczących klienta, informacji, o których mowa w art. 105a ust. 2 P.b. Zgoda została wyrażona i utrwalona przy zawieraniu umowy z uczestnikiem postępowania. Jednak Bank przetwarza dane osobowe klienta po wygaśnięciu umowy nie na podstawie zgody, lecz na mocy art. 105a ust. 3 P.b. oraz spełnionych przesłanek wynikających z tego przepisu, gdyż uczestnik postępowania dopuścił się zwłoki w spłacie rat kredytu, która przekroczyła 60 dni w dniu [...] marca 2020 r., a zobowiązanie klient spłacił [...] maja 2023 r., czym zakończył 1236 dni opóźnienia. Skarżący poinformował klienta o przekroczeniu 60 dni zadłużenia oraz o przetwarzaniu danych dotyczących zadłużenia w rejestrze BIK pismem z [...] marca 2020 r., nadanym [...] marca 2020 r. - na dowód powyższego Bank dysponuje kopią ww. pisma oraz książki nadawczej tej przesyłki; nadto skarżący nie odnotował zwrotu przedmiotowej korespondencji;( nie zwracał się do BIK o usunięcie danych osobowych klienta odnośnie umowy nr [...];( w rejestrach BIK były przetwarzane dane osobowe uczestnika postępowania w zakresie: dane identyfikujące (imię i nazwisko, PESEL, seria i nr dokumentu tożsamości, płeć, data urodzenia, obywatelstwo), dane dotyczące zobowiązania (data zawarcia i spłaty umowy, kwota finansowania, przewidywana data zakończenia umowy, informacje o zaległościach i spłacie zobowiązania).Natomiast BIK wyjaśnił, że:( przetwarza dane o umowie kredytowej zawartej przez klienta z Bankiem w dniu [...] stycznia 2017 r., a wprowadzonej do jego zbioru danych pod nr [...]. Dane zostały pozyskane na podstawie art. 105 ust. 4 i art. 105a ust. 1 P.b. oraz na podstawie łączącej go ze skarżącym umowy, w zakresie danych identyfikujących zobowiązania. Dane te zostały pozyskane w celu wykonywania czynności bankowych, w szczególności oceny zdolności kredytowej i analizy ryzyka kredytowego, w celach statystycznych i analiz, których wynikiem nie są dane osobowe, a wynik ten nie służy za podstawę podejmowania decyzji dotyczących konkretnych osób fizycznych, a także w celu stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w art. 105a ust. 4 P.b. Omawiane dane zostały przekazane BIK przez Bank w dniu 9 stycznia 2017 r. w postaci tzw. wsadów informacyjnych (banki nie przekazują kopii umów kredytowych);( obecnie przetwarza dane osobowe dotyczące zobowiązania z [...] stycznia 2017 r., w tym historii spłaty, w celu oceny zdolności kredytowej i analizy ryzyka kredytowego na podstawie art. 105a ust. 3 P.b., ze względu na przekazanie mu przez skarżącego informacji o spełnieniu warunków, o których mowa w ww. przepisie dających podstawę do przetwarzania danych bez zgody uczestnika postępowania;( dane będą przetwarzane w tym celu przez okres 5 lat od dnia wygaśnięcia zobowiązania, stosownie do art. 105a ust. 5 P.b. W przypadku zobowiązania, jako datę jego wygaśnięcia Bank wskazał [...] maja 2023 r. Ponadto dane o zobowiązaniu są przetwarzane przez BIK w celach statystycznych i analiz, których wynikiem nie są dane osobowe i wynik ten nie służy za podstawę podejmowania decyzji dotyczących konkretnych osób fizycznych - podstawą prawną przetwarzania danych osobowych w omawianym celu jest prawnie uzasadniony interes administratora danych wynikający z przepisów P.b. (m.in. art. 105 ust. 4 i art. 105a ust. 4 P.b.), jak też w celu stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w art. 105a ust. 4 P.b. - dane w tych celach są przetwarzane maksymalnie przez okres 12 lat od dnia wygaśnięcia zobowiązania, w myśl art. 105a ust. 5 P.b.;( Bank nie zwracał się do niego o usunięcie danych osobowych klienta dotyczących ww. zobowiązania, lecz uczestnik postępowania kilkakrotnie zwracał się do niego o usunięcie danych osobowych odnośnie tego zobowiązania.Powołując się na art. 6 ust. 1 RODO, organ wywiódł, iż co do zasady podstawą prawną przetwarzania danych osobowych klientów przez Bank w rejestrze BIK może być art. 6 ust. 1 lit. f RODO, gdy przetwarzanie to jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora, przy czym przetwarzanie danych przez BIK odbywa się na podstawie zawartej z Bankiem umowy. Następnie PUODO przytoczył treść art. 105 ust. 4 oraz art. 105a ust. 1 i ust. 3 P.b., zaznaczając, że banki oraz BIK mogą przetwarzać m.in. informacje stanowiące tajemnicę bankową i informacje udostępniane przez instytucje pożyczkowe dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z zawartej umowy.Dalej organ odnotował, że zobowiązanie klienta wobec skarżącego, wynikające z umowy z [...] stycznia 2017 r. nr [...] wygasło w dniu [...] maja 2023 r., przy czym uczestnik postępowania dopuścił się zwłoki trwającej dłużej niż 60 dni w spłacie tego zobowiązania.Według PUODO, Bank nie przedstawił dowodów na spełnienie wobec klienta obowiązku określonego w art. 105a ust. 3 P.b., tj. nie poinformował go skutecznie o zamiarze przetwarzania dotyczących go informacji stanowiących tajemnicę bankową, bez jego zgody po wygaśnięciu zobowiązania wynikającego z przedmiotowej umowy.Sam fakt, iż uczestnik postępowania nie wykonał zobowiązania lub spóźnił się z jego wykonaniem co najmniej 60 dni, nie upoważnia skarżącego do przetwarzania danych klienta na warunkach określonych w ww. przepisie. Moment, od którego należy liczyć 60-dniowy termin, w którym osoba, której dane dotyczą, dopuszcza się zwłoki w wykonaniu zobowiązania, to termin wykonania zobowiązania. Dopiero po upływie 60 dni zaczyna biec termin 30-dniowy, przy czym termin ten biegnie od momentu, w którym klient zostanie skutecznie poinformowany przez instytucję o zamiarze przetwarzania. Ostatecznie to bezskuteczny upływ 30 dni od momentu poinformowania stanowi wypełnienie przesłanek z art. 105a ust. 3 P.b. Skoro Bank wysłał listem poleconym oświadczenie o zamiarze przetwarzania danych klienta w oparciu o art. 105a ust. 3 P.b., to nie można ustalić daty zapoznania się przez uczestnika postępowania z przesłaną do niego informacją, a tym samym niemożliwe jest ustalenie daty, od której biegnie 30-dniowy termin określony w tym przepisie.PUODO odnotował, iż jego stanowisko zostało zaakceptowane przez Naczelny Sąd Administracyjny (dalej: "NSA") w wyroku z 16 stycznia 2024 r., sygn. III OSK 3233/21, w którym stwierdzono: "(...) pozycja dłużnika jest wobec podmiotu udzielającego pożyczki słabsza, a skutek w postaci przetwarzania danych osobowych bez jego zgody ma charakter publicznoprawny. Powyższe oznacza, że wszelkie regulacje znoszące tę ochronę muszą być odczytywane i wykładane ściśle, z uwzględnieniem funkcji jakiej mają służyć. Przy takiej wykładni, sformułowanie użyte w przepisie art. 105a ust. 3 Prawa bankowego, dotyczące obowiązku informacyjnego banku, musi więc oznaczać, że nie jest to tylko obowiązek formalny. Jakkolwiek ustawodawca w żaden sposób nie ograniczył sposobów i form takiego powiadomienia, to w każdym wypadku sposób ten powinien umożliwić zweryfikowanie faktu poinformowania klienta banku o zamierzonym przetwarzaniu jego danych osobowych. Zgodzić się należy ze stroną skarżącą kasacyjnie, że ustawodawca w żaden sposób nie ograniczył sposobów i form takiego poinformowania. Zauważyć jednak należy, że prawodawca użył kategorycznej formy "poinformować" (czasownik przechodni dokonany), a nie >>informować30 dni od poinformowania tej osoby przez bankpoinformowanie>poinformowaniawysłania zawiadomienia, dotyczące obowiązku informacyjnego banku, musi więc oznaczać, że nie jest to tylko obowiązek formalny. Jakkolwiek ustawodawca w żaden sposób nie ograniczył sposobów i form takiego powiadomienia, to w każdym wypadku sposób ten powinien umożliwić zweryfikowanie faktu poinformowania klienta banku o zamierzonym przetwarzaniu jego danych osobowych. Zgodzić się należy ze stroną skarżącą kasacyjnie, że ustawodawca w żaden sposób nie ograniczył sposobów i form takiego poinformowania. Zauważyć jednak należy, że prawodawca użył kategorycznej formy "poinformować" (czasownik przechodni dokonany), a nie >>informować30 dni od poinformowania tej osoby przez bankpoinformowanie>poinformowaniawysłania zawiadomienia