sygn. III OSK 2175/24 17 czerwca 2026 Naczelny Sąd Administracyjny

Wyrok - III OSK 2175/24 - Naczelny Sąd Administracyjny - z dnia 17 czerwca 2026

Teza
Oddalono skargę kasacyjną. Naczelny Sąd Administracyjny w składzie: Przewodniczący: Sędzia NSA Artur Kuś Sędziowie: Sędzia NSA Przemysław Szustakiewicz (sprawozdawca) Sędzia del. WSA Kazimierz Bandarzewski Protokolant: starszy asystent sędziego Edyta Kuczkowska po rozpoznaniu w dniu 17 czerwca 2026 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej E.J. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 8 kwietnia 2024 r., sygn. akt II SA/Wa 1549/23 w sprawie ze skargi E.J. na decyzję Prezesa Urzędu Ochrony DanycOddalono skargę kasacyjną. Naczelny Sąd Administracyjny w składzie: Przewodniczący: Sędzia NSA Artur Kuś Sędziowie: Sędzia NSA Przemysław Szustakiewicz (sprawozdawca) Sędzia del. WSA Kazimierz Bandarzewski Protokolant: starszy asystent sędziego Edyta Kuczkowska po rozpoznaniu w dniu 17 czerwca 2026 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej E.J. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 8 kwietnia 2024 r., sygn. akt II SA/Wa 1549/23 w sprawie ze skargi E.J. na decyzję Prezesa Urzędu Ochrony Danyc
Najważniejsze informacje

W skrócie

Wynik oddalono skargę
Typ sprawy sprawa nieprocesowa
Etap skarga kasacyjna
Tryb rozprawa
Role w sprawie
wnioskodawca / wnioskodawczyni apelujący / skarżący wnioskodawca
Data orzeczenia 17 czerwca 2026
Sąd Naczelny Sąd Administracyjny
Przewodniczący Artur Kuś
Rozstrzygnięcie

Oddalono skargę kasacyjną

Naczelny Sąd Administracyjny w składzie: Przewodniczący: Sędzia NSA Artur Kuś Sędziowie: Sędzia NSA Przemysław Szustakiewicz (sprawozdawca) Sędzia del. WSA Kazimierz Bandarzewski Protokolant: starszy asystent sędziego Edyta Kuczkowska po rozpoznaniu w dniu 17 czerwca 2026 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej E.J. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 8 kwietnia 2024 r., sygn. akt II SA/Wa 1549/23 w sprawie ze skargi E.J. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 9 maja 2023 r., nr DS.523.2699.2020.FT.TS w przedmiocie przetwarzania danych osobowych 1. oddala skargę kasacyjną; 2. zasądza od E.J. na rzecz Prezesa Urzędu Ochrony Danych Osobowych kwotę 360 (trzysta sześćdziesiąt) złotych tytułem zwrotu kosztów postępowania kasacyjnego.

UZASADNIENIE
Wojewódzki Sąd Administracyjny w Warszawie, wyrokiem z dnia 8 kwietnia 2024 r., sygn. akt II SA/Wa 1549/23, oddalił skargę E.J. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 9 maja 2023 r., nr DS.523.2699.2020.FT.TS w przedmiocie przetwarzania danych osobowych. W sprawie ustalono następujący stan faktyczny i prawny:Prezes Urzędu Ochrony Danych Osobowych, decyzją z dnia 9 maja 2023 r., nr DS.523.2699.2020.FT.TS, działając na podstawie art. 7 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781, dalej: u.o.d.o.) oraz art. 58 ust. 2 i art. 6 ust. 1 lit. c, f oraz na podstawie art. 58 ust. 1 lit. c i art. 15 ust. 1 lit. a rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35; dalej: RODO): w pkt 1 – nakazał [...] S.A. [...] spełnienie wobec E.J. obowiązku wynikającego z art. 15 ust. 1 lit. a RODO poprzez wskazanie celów przetwarzania danych osobowych strony w zakresie adresu IP jej komputera; a w pkt 2 odmówił uwzględnienia wniosku.W uzasadnieniu podjętej decyzji organ wskazał, że pismem z dnia 13 maja 2020 r. E.J., wniosła do Prezesa UODO skargę na nieprawidłowości w procesie przetwarzania jej danych osobowych przez [...] S.A. [...] (dalej: Bank) oraz [...] Sp. p. [...] (dalej: Kancelaria), polegające na nieuprawnionym udostępnieniu jej danych osobowych przez Bank na rzecz Kancelarii.Na wezwanie organu Bank wyjaśnił, że pozyskał dane osobowe strony w dniu 16 listopada 2006 r. w związku z zawarciem umowy o prowadzenie rachunku bankowego. Bank oraz Kancelaria w złożonych wyjaśnieniach wskazały, że udostępnienie danych osobowych strony przez Bank na rzecz Kancelarii nastąpiło na podstawie art. 104 ust. 2 pkt 3 Prawa bankowego oraz na podstawie art. 6 ust. 1 lit. f RODO w celu realizacji obsługi prawnej i świadczenia pomocy prawnej wobec Banku. Realizacja wsparcia prawnego przez Kancelarię miała podstawę wynikającą z umowy o świadczenie usług prawnych z 2 stycznia 2017 r., zawartej pomiędzy Bankiem i Kancelarią. Bank wyjaśnił ponadto, że 18 grudnia 2019 r. strona skierowała do Banku wniosek w zakresie udzielenia informacji o kategoriach i zakresie przetwarzanych danych osobowych zgodnie z art. 15 RODO. Wniosek ten zawierał żądanie przekazania informacji o danych przetwarzanych przez Bank, a dotyczących: danych osobowych obejmujących płeć, imię, nazwisko, imiona rodziców, obywatelstwo, miejscowość urodzenia, kraj urodzenia, numer PESEL; dokument tożsamości, w tym rodzaj dokumentu, seria i numer, data ważności; informacje kontaktowe, tj. numer telefonu komórkowego, numer telefonu stacjonarnego, adres poczty elektronicznej; adres stały obejmujący kraj, ulicę, numer domu, kod pocztowy, miejscowość, pocztę; informację dotyczącą rezydencji podatkowej (oświadczenie FATCA); informację dotyczącą rezydencji podatkowej (oświadczenie CRS); aktualne miejsce zamieszkania obejmujące ulicę, numer domu, kod pocztowy; numer IP komputera i cel jego przetwarzania. We wniosku wniosła o podanie konkretnego brzmienia danych (np. brzmienia imienia, nazwiska itp.). Bank oświadczył jednocześnie, że strona nie składała odrębnego wniosku o ustalenie pełnej listy celów i zakresu używania przez Bank numeru IP jej komputera, poza wskazanym wcześniej wnioskiem, w którym zażądała wskazania numeru IP komputera i celu jego przetwarzania. W odpowiedzi na ten wniosek Bank przekazał informacje o numerze IP komputera - wskazał konkretny numer IP wraz z wyjaśnieniem, że jego przetwarzanie ma na celu zasilenie systemów przeciwfraudowych. Ponadto strona wezwała Bank do przedłożenia informacji na temat przetwarzanych przez Bank danych dotyczących produktów bankowych, marketingu prowadzonego przez Bank oraz podmiotów, wobec których Bank udostępnił jej dane osobowe. Bank przygotował projekt odpowiedzi i w dniu 13 stycznia 2020 r. przekazał go do konsultacji z Kancelarią. Bank wyjaśnił, że bez znajomości udostępnionych informacji Kancelaria nie mogłaby należycie świadczyć pomocy prawnej w zleconym zakresie.Według wyjaśnień Kancelarii, pozyskała ona dane osobowe strony od Banku w dniu 17 stycznia 2020 r. Jako podstawę prawną pozyskania wskazała podstawy wynikające z obowiązku realizacji wsparcia prawnego, świadczenia pomocy prawnej przez adwokatów i radców prawnych na rzecz Banku, w oparciu o zawartą umowę o świadczenie obsługi prawnej oraz na podstawie art. 104 ust. 2 pkt 3 Prawa bankowego w związku z art. 6 ust. 1 lit. f RODO, jak również w zakresie w jakim wnioskodawczyni kieruje wnioski dotyczące RODO oraz w zakresie niniejszego postępowania administracyjnego - realizację obowiązków wynikających z przepisów RODO, przepisy postępowania administracyjnego, obronę przed roszczeniami, dla których wskazała podstawę w art. 6 ust. 1 lit. f RODO. Kancelaria wskazała również, że przetwarza dane osobowe strony w celu realizacji obsługi prawnej, świadczenia pomocy prawnej na rzecz Banku na podstawie umowy zawartej pomiędzy Kancelarią i Bankiem, w celu dochodzenia lub obrony przed roszczeniami kierowanymi wobec Kancelarii, w celu wypełnienia obowiązków związanych z wykonywaniem zawodu, realizacji obowiązków wynikających z RODO wobec osoby, której dane dotyczą. Zakres danych osobowych przetwarzanych przez Kancelarię w celu obsługi Banku obejmuje: płeć, imię, nazwisko, imiona rodziców, obywatelstwo, miejscowość urodzenia, kraj urodzenia, numer PESEL, dokument tożsamości, a w tym rodzaj dokumentu, seria i numer, data ważności; numer tel. komórkowy, numer tel. stacjonarny, adres obejmujący kraj, ulicę, numer domu, kod pocztowy, miejscowość, pocztę; adres IP komputera i cel jego przetwarzania oraz numery rachunków bankowych. Natomiast w stosunku do danych osobowych przetwarzanych przez Kancelarię w związku z realizacją praw strony i obrony przed roszczeniami, zakres ten obejmuje: wnioski w zakresie RODO kierowane do Kancelarii przez stronę, odpowiedzi udzielone przez Kancelarię, pismo z organu nadzoru, dokumentację sprawy prowadzonej przed organem nadzoru. Kancelaria wskazała także, że 10 lutego 2020 r. strona zwróciła się do Kancelarii o udostępnienie jej informacji dotyczących zakresu danych przekazanych Kancelarii, celu przetwarzania danych przez Kancelarię oraz źródła ich przekazania. W odpowiedzi na powyższe pismo Kancelaria 11 marca 2020 r. przesłała informację dotyczącą zakresu przetwarzanych danych i celu w jakim przetwarzanie następuje. Strona pismem z 14 lipca 2020 r. zażądała usunięcia przetwarzanych jej danych osobowych. Kancelaria wyjaśniła także, że pomiędzy Bankiem i Kancelarią nie została zawarta umowa powierzenia przetwarzania danych osobowych, ponieważ przetwarzając dane swoich klientów w związku ze świadczeniem pomocy prawnej, Kancelaria działa jako niezależny administrator danych osobowych. Strony zawarły umowę pisemną na prowadzenie obsługi prawnej 2 stycznia 2017 r. Z uwagi na specyfikę zawodu adwokata oraz radcy prawnego, w tym w szczególności niezależność adwokatów oraz radców prawnych, nie jest możliwe zawarcie umowy powierzenia przetwarzania z klientami, ponieważ takie działanie oznaczałoby stosunek podporządkowania między administratorem danych (klientem) a podmiotem przetwarzającym (adwokatem/radcą prawnym).Mając powyższe na uwadze, Prezes UODO wyjaśnił, że przepisem uprawniającym administratorów danych do przetwarzania zwykłych danych osób fizycznych, w tym ich udostępniania, jest art. 6 ust. 1 RODO, zgodnie z którym, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy spełniona jest jedna z przesłanek wskazanych w tym przepisie. Katalog przesłanek wymienionych w art. 6 ust. 1 RODO, jest zamknięty. Każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny. Oznacza to, że przesłanki te co do zasady są równoprawne, a wobec tego spełnienie co najmniej jednej z nich stanowi o zgodnym z prawem przetwarzaniu danych osobowych. W konsekwencji zgoda osoby, której dane dotyczą nie jest jedyną podstawą przetwarzania danych osobowych, ponieważ proces przetwarzania danych będzie zgodny z RODO również wówczas, gdy administrator danych wykaże spełnienie innej z wyżej wymienionych przesłanek. Przetwarzanie danych osobowych jest dopuszczalne między innymi wtedy, gdy jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze (art. 6 ust. 1 lit. c RODO), jak również gdy jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora (art. 6 ust. 1 lit. f RODO). Zgodnie z motywem 47 RODO podstawą prawną przetwarzania mogą być prawnie uzasadnione interesy administratora, w tym administratora, któremu mogą zostać ujawnione dane osobowe, lub strony trzeciej, o ile w świetle rozsądnych oczekiwań osób, których dane dotyczą, opartych na ich powiązaniach z administratorem nadrzędne nie są interesy lub podstawowe prawa i wolności osoby, której dane dotyczą.Organ za nieuzasadniony uznał zarzut dotyczący bezprawnego udostępnienia przez Bank danych osobowych na rzecz Kancelarii. Zdaniem organu, umowa o prowadzenie obsługi prawnej, zawarta pomiędzy Bankiem i Kancelarią w dniu 2 stycznia 2017 r., na podstawie art. 104 ust. 2 pkt 3 Prawa bankowego, pozwalała Bankowi udzielać informacji objętych tajemnicą bankową adwokatom lub radcom prawnym w związku ze świadczeniem przez nich pomocy prawnej na rzecz Banku. Ponadto Bank posiadał prawnie uzasadniony interes (art. 6 ust. 1 lit. f RODO), polegający na korzystaniu ze wsparcia prawnego profesjonalnego podmiotu w zakresie ochrony danych osobowych. Z kolei świadczenie pomocy prawnej przez Kancelarię na rzecz Banku ma oparcie w przepisach ustawy z dnia 26 maja 1982 r. Prawo o adwokaturze (Dz.U. z 2022 r., poz. 1184), ustawy z dnia z dnia 6 lipca 1982 r. o radcach prawnych (Dz. U. z 2022 r., poz. 1166) oraz Kodeksie Etyki Adwokackiej i Kodeksie Etyki Radcy Prawnego, które to regulacje nakładają na Kancelarię szereg obowiązków związanych z wykonywaniem zawodu radcy prawnego oraz zawodu adwokata.Uwzględniając treść art. 4 ustawy o radcach prawnych oraz treść art. 4 ustawy o adwokaturze organ stwierdził, że administratorem danych osobowych przekazanych przez klienta w celu świadczenia pomocy prawnej, przetwarzanych przez radcę prawnego jak i adwokata wykonujących zawody w spółce partnerskiej jest spółka partnerska, która zawarła z klientem umowę dotyczącą świadczenia na jego rzecz pomocy prawnej, w niniejszej sprawie zatem za odrębnego administratora uznać należy Kancelarię. Bank udostępnił dane osobowe strony na rzecz Kancelarii w celu umożliwienia świadczenia przez nią na rzecz Banku pomocy prawnej, do czego Bank był uprawniony zgodnie z art. 104 ust. 2 pkt 3 Prawa bankowego. Udostępnienie nastąpiło zatem w oparciu o art. 6 ust. 1 lit. f RODO, w celu realizacji prawnie uzasadnionego interesu prawnego, którym było uzyskanie pomocy prawnej. Na skutek udostępnienia danych osobowych przez Bank na rzecz Kancelarii przetwarza ona dane osobowe strony jako odrębny administrator wykonując obowiązki nałożone na nią przepisami odrębnych ustaw (ustawy o radcach prawnych oraz ustawy o adwokaturze). Wobec powyższego uznać należy, że Kancelaria przetwarza dane osobowe strony na podstawie art. 6 ust. 1 lit. c RODO w zw. z art. 4 ustawy o radcach prawnych oraz w zw. z art. 4 ustawy o adwokaturze, gdyż jest obowiązana do świadczenia pomocy prawnej na rzecz Banku, który jest jej klientem. Organ nie dopatrzył się nieprawidłowości w procesie przetwarzania danych osobowych strony przez Kancelarię. Kancelaria jako podmiot profesjonalny, świadczący pomoc prawną Bankowi na podstawie przepisów prawa, prawidłowo przetwarza dane osobowe przekazane jej przez Bank, w tym również adres IP komputera strony i pozostałe dane przekazane przez Bank. Istotą wykonywania ww. zawodów zaufania publicznego jest bowiem świadczenie pomocy prawnej, które z uwagi na charakter powinno następować w sposób samodzielny i niezależny.Organ uznał natomiast, iż Bank dopuścił się nieprawidłowości w zakresie realizacji żądania dotyczącego wskazania celu przetwarzania danych osobowych w zakresie IP komputera. Organ podniósł, iż w piśmie z 18 grudnia 2019 r. strona zażądała od Banku spełnienia wobec niej obowiązku informacyjnego, wynikającego z art. 15 ust. 1 RODO. Zwróciła się o przekazanie konkretnego brzmienia numeru IP jej komputera ze wskazaniem celu przetwarzania tych danych przez Bank. W odpowiedzi na powyższy wniosek (pismo z 17 stycznia 2020 r.), Bank wskazał numer IP komputera strony podlegający przetwarzaniu i jednocześnie wskazał, że przetwarza tę informację w celu zasilenia systemów przeciwfraudowych. Natomiast z treści przedłożonego przez stronę do akt postępowania pisma Banku (z 13 sierpnia 2020 r.), skierowanego do Komendy Rejonowej Policji Warszawa II wynika, że "Adres IP uzyskiwany i przetwarzany jest przez Bank na podstawie: art. 6 ust. 1 lit. b RODO w celu przeprowadzenia czynności związanych z umową, art. 6 ust 1 lit. f RODO w celu wypełnienia obowiązków wynikających z przepisów prawa m.in. ale nie wyłącznie do: "realizacji komunikacji i usług za pośrednictwem stron internetowych, zapewnienie bezpieczeństwa transakcji, w szczególności zapobieganie nadużyciom, ochrony przed roszczeniami, w celach administracyjnych, w ramach zasilenia systemów antyfraudowych." Bank udzielił zatem dwóch różnych odpowiedzi na tożsame w treści pytania. Powyższe odpowiedzi Banku wskazują, że przetwarza on dane osobowe w zakresie numeru IP komputera także w innych celach, niż wskazane w odpowiedzi na wniosek z 18 grudnia 2019 r. Wobec powyższych rozbieżności organ uznał, że strona nie otrzymała od Banku rzetelnej odpowiedzi na przedstawione przez nią żądanie wskazania, w jakich celach przetwarzany przez Bank jest numer IP jej komputera. W konsekwencji, organ odmówił uwzględnienia wniosku w zakresie nieprawidłowości w procesie przetwarzania danych osobowych polegającego na udostępnieniu przez Bank danych osobowych strony na rzecz Kancelarii jako opartych na przesłance z art. 6 ust. 1 lit. f RODO. Za legalny uznał także proces przetwarzania danych osobowych strony przez Kancelarię, znajdujący umocowanie w art. 6 ust. 1 lit. c RODO. Stwierdzając natomiast nieprawidłowości w zakresie realizacji żądania wskazania celu przetwarzania przez Bank danych osobowych w zakresie adresu IP komputera, Prezes UODO, korzystając z uprawnienia przysługującego mu na podstawie art. 58 ust. 2 lit. c RODO, nakazał Bankowi spełnienie żądania strony, poprzez wskazanie pełnej listy celów przetwarzania tych danych, stosownie do obowiązku wynikającego z art. 15 ust. 1 lit. a RODO.Z powyższą decyzją nie zgodziła się strona, wnosząc skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie.W odpowiedzi na skargę organ wniósł o jej oddalenie.Powołanym na wstępie wyrokiem, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sadami administracyjnymi (Dz. U. z 2023 r., poz. 1634, dalej P.p.s.a.) uznał, że skarga nie zasługuje na uwzględnienie.W ocenie Sądu I instancji, Prezes UODO nie naruszył obowiązujących przepisów, albowiem prawidłowo przyjął, że w niniejszej sprawie zachodzi sytuacja, w której zgromadzony przez organ nadzorczy materiał dowodowy wykazał, że nie doszło do nieprawidłowości w procesie przetwarzania danych osobowych skarżącej przez Bank oraz Kancelarię.WSA w Warszawie uznał, że w świetle zebranego w sprawie materiału dowodowego prawidłowe są ustalenia Prezesa UODO, że po stronie Banku istniał prawnie uzasadniony interes w rozumieniu art. 6 ust. 1 lit. f RODO, polegający na możliwości uzyskania przez Bank wsparcia prawnego od Kancelarii w ramach zawartej umowy z 2 stycznia 2017 r. o świadczenie usług prawnych. Przetwarzanie danych osobowych skarżącej przez Kancelarię miało natomiast oparcie w art. 6 ust. 1 lit. c RODO w zw. z art. 4 ustawy o radcach prawnych oraz w zw. z art. 4 ustawy o adwokaturze, gdyż Kancelaria jest obowiązana do świadczenia pomocy prawnej na rzecz Banku, który jest jej klientem. Przy czym należy zwrócić uwagę, że w świetle art. 4 ust. 1 ustawy o adwokaturze oraz art. 6 ust. 1 ustawy o radcach prawnych, świadczenie pomocy prawnej, polega w szczególności na udzielaniu porad prawnych, sporządzaniu opinii prawnych, opracowywaniu projektów aktów prawnych oraz występowaniu przed sądami i urzędami w charakterze pełnomocnika lub obrońcy. Tym samym każda porada, konsultacja z radcą prawnym bądź adwokatem stanowi świadczenie pomocy prawnej. Bank zatem zwracając się do Kancelarii o poradę w zakresie pisma kierowanego do skarżącej skorzystał z pomocy prawnej świadczonej na jego rzecz przez Kancelarię. Prezes UODO nie ma natomiast podstaw od tego, aby oceniać, czy Bank zasadnie skorzystał z pomocy prawnej podmiotu profesjonalnego, działającego w sposób uregulowany przepisami ustaw.Nieuzasadniony jest zarzut, że organ nie dokonał kontroli o jakiej mowa w motywie 47 RODO. Jak słusznie zaważył organ, Bank ma prawo skorzystania z pomocy prawnej adwokata lub radcy prawnego, tak jak każdy inny przedsiębiorca. Skarżąca decydując się na skorzystanie z usług bankowych, a następnie prowadząc korespondencję z Bankiem, powinna była natomiast liczyć się z tym, iż wymiana tej korespondencji będzie podlegała konsultacjom prawnym przez Bank.Prawidłowe są też ustalenia organu, że Kancelaria nie pełniła funkcji podmiotu przetwarzającego, lecz administratora, wobec czego art. 28 ust. 3 RODO w niniejszej sprawie nie znajdował zastosowania. Wobec tego, iż Kancelaria świadczyła na rzecz Banku pomoc prawną jako profesjonalny pełnomocnik należy mieć na względzie przepisy Działu 1a ustawy o adwokaturze oraz Działu 1a ustawy o radcach prawnych, które wskazują zakres zastosowania RODO w zakresie świadczenia usług prawnych przez adwokatów i radców prawnych. Przepisy te nie przesądzają wprost o roli adwokata i radcy prawnego w procesie przetwarzania danych osobowych, jednakże odnoszą się do obowiązków nałożonych przez RODO na administratora, nie zaś na podmiot przetwarzający. Dotyczą ponadto ograniczenia stosowania niektórych przepisów RODO w związku z udzieleniem pomocy prawnej w zakresie ochrony danych osobowych z uwagi na tajemnicę zawodową. Przepisy te wskazują jednoznacznie okresy przechowywania i usunięcia danych osobowych przetwarzanych przez adwokatów i radców prawnych, co przesądza o tym, iż nie mogą oni podlegać poleceniom innych podmiotów, co do terminu usunięcia danych osobowych. Nałożenie na adwokatów i radców prawnych obowiązku przechowywania danych osobowych przez wskazany w przepisach ustawy o adwokaturze i ustawy o radcach prawnych określony czas uzasadnione jest bowiem w szczególności m.in. dotyczącym ich obowiązkiem unikania konfliktu interesów, co implikuje konieczność przechowywania danych osobowych, celem możliwości weryfikacji w przyszłości czy taki konflikt zaistniał, a także obowiązkiem prawidłowego przeprowadzania postępowań dyscyplinarnych. Ponadto przepisy te wskazują wprost na to, że obowiązek zachowania przez adwokatów i radców prawnych tajemnicy zawodowej nie ustaje w przypadku skierowania do tych osób przez Prezesa UODO żądania ujawnienia informacji uzyskanych w związku z udzielaniem pomocy prawnej.Nie znajdują też uzasadnienia zarzuty naruszenia art. 32 ust. 1 RODO w związku z art. 3 ust. 3, 4, 5 ustawy o radcach prawnych i art. 16 i 23 Kodeksu etyki radcy prawnego oraz art. 4 ust. 1, art. 6 ust. 1 i art. 16b ustawy o adwokaturze, poprzez uznanie, że samo wykonywanie zawodu radcy prawnego i adwokata zapewnia bezpieczeństwo przetwarzania danych osobowych z uwagi na obowiązek zachowania przez radcę prawnego i adwokata tajemnicy zawodowej. Prezes UODO w trakcie rozpatrywania sprawy wszczętej na skutek wniesienia skargi indywidualnej rozstrzyga wyłącznie kwestie legalności procesu przetwarzania danych osobowych konkretnej osoby. Organ nie bada natomiast kwestii zabezpieczeń danych osobowych oraz ich adekwatności i prawidłowości, które mogą być przedmiotem postępowania wszczętego przez organ wyłącznie z urzędu. Postępowanie prowadzone przez Prezesa UODO w postępowaniu dotyczącym skargi indywidualnej nie jest zatem ukierunkowane na pozyskanie informacji na temat stosowanych przez administratora danych zabezpieczeń oraz na przekazanie tychże informacji na rzecz osób fizycznych, zainteresowanych sprawą, lecz jego celem jest zbadanie legalności przetwarzania danych osobowych konkretnej osoby wnoszącej skargę.Odnośnie natomiast zarzutów dotyczących naruszenie motywów 10 i 11 RODO, w kontekście negowania przez skarżącą potrzeby skorzystania przez Bank z pomocy prawnej Kancelarii i przekazania w tym celu jej danych osobowych, Sąd zauważył, że motywy 10 i 11 RODO skierowane są do organów Państwa odpowiedzialnego za wprowadzenie przepisów, które zapewnią stosowanie przepisów RODO oraz spójne i jednolite w całej Unii stosowanie przepisów o ochronie podstawowych praw i wolności osób fizycznych w związku z przetwarzaniem danych osobowych, a tym samym nie mogło dojść do ich naruszenia przez organ.Odnosząc się do zarzutów w zakresie nieuprawnionego przetwarzania przez Bank informacji o stanie cywilnym skarżącej WSA w Warszawie wyjaśnił, że postępowanie zakończone zaskarżoną decyzją było postępowaniem skargowym – wszczętym skargą strony na nieprawidłowości w procesie przetwarzania jej danych osobowych przez Bank oraz Kancelarię polegających na nieuprawnionym przekazaniu danych osobowych skarżącej przez Bank na rzecz Kancelarii oraz nieuprawnionym przetwarzaniu przez Kancelarię jej danych osobowych. Prezes UODO nie badał więc w postępowaniu zakończonym zaskarżoną decyzją kwestii legalności przetwarzania przez Bank informacji o stanie cywilnym skarżącej, a tym samym ta kwestia nie mogła być przedmiotem oceny Sądu.Skargę kasacyjną na powyższy wyrok wywiodła skarżąca, zaskarżając wyrok w całości i wnosząc o uchylenie wyroku oraz zaskarżonej decyzji w zakresie pkt. 2 decyzji i przekazanie sprawy organowi do ponownego rozpoznania, ewentualnie uchylenie zaskarżonego wyroku i przekazanie sprawy Sądowi do ponownego rozpoznania oraz zasądzenie kosztów postępowania kasacyjnego niezbędnych do celowego dochodzenia praw, w tym kosztów zastępstwa procesowego według norm przepisanych. Zaskarżonemu wyrokowi zarzuciła naruszenie:1. art. 151 w zw. z art. 145 § 1 pkt 1 lit. (c) P.p.s.a. w zw. z art. 7 k.p.a. w zw. z art. 77, art. 107 § 3 i art. 80 k.p.a. polegające na tym, że WSA w Warszawie dokonując oceny legalności zaskarżonej decyzji zaniechał wyjaśnienia wszystkich okoliczności faktycznych sprawy, tj. (1) przyczyn niedokonania anonimizacji lub pseudoanonimizacji danych osobowych E.J. w ramach projektu odpowiedzi Banku na jej wniosek z dnia 18 grudnia 2019 r., przesłanego do konsultacji do Kancelarii, skoro Kancelaria w ramach wykonywania zleconego zadania nie mogła zweryfikować poprawności i zupełności danych osobowych E.J. zawartych w projekcie, a także (2) niezbędności przesłania projektu do konsultacji prawnej do Kancelarii, w sytuacji, w której projekt ten został również wysłany do Kancelarii Radcy Prawnego K.L., specjalizującej się w ochronie danych osobowych, co w konsekwencji doprowadziło do oddalenia skargi, pomimo że w toku postępowania administracyjnego organ nie odniósł się - w kontekście powyższych okoliczności - należycie do kryteriów udostępnienia danych osobowych w trybie art. 6 ust. 1 lit. (f) w zw. z motywem 47 RODO, tj. w zakresie proporcjonalności udostępnienia danych osobowych skarżącej przez Bank do Kancelarii, lecz organ ograniczył się jedynie do stwierdzenia istnienia uzasadnionego interesu po stronie Banku w związku z zawarciem stosownej umowy z dnia 2 stycznia 2017 r. o prowadzeniu obsługi prawnej przez Kancelarię na rzecz Banku;2. art. 6 ust. 1 lit. (f) w zw. z motywem 47 RODO poprzez jego niewłaściwe zastosowanie, polegające na dokonaniu przez Sąd błędnej oceny prawidłowości zastosowania tego przepisu prawa przez organ, polegający na ograniczeniu się, przy badaniu spełnienia przesłanek legalności udostępnienia danych osobowych skarżącej przez Bank do Kancelarii w trybie art. 6 ust. 1 lit. (f) RODO wyłącznie do weryfikacji istnienia prawnie uzasadnionego interesu po stronie Banku w skorzystaniu ze wsparcia prawnego ze strony Kancelarii w ramach zawartej umowy z dnia 2 stycznia 2017 r. o świadczenie usług prawnych, podczas gdy dla stwierdzenia legalności udostępnienia danych osobowych konieczne jest uznanie, że badane udostępnienie było proporcjonalne, a więc (1) występował zarówno prawnie chroniony interes administratora, jak również (2) udostępnienie to było niezbędne do ochrony tego uzasadnionego interesu, tzn. ochrona tego interesu nie była możliwa bez udostępnienia tych danych osobowych, a ponadto, że (3) interesy lub podstawowe prawa i wolności podmiotu danych osobowych nie mają charakteru nadrzędnego nad uzasadnionym interesem administratora (tzw. test proporcjonalności);3. art. 57 ust. 1 lit. (a) i (f) w zw. z art. 6 ust. 1 lit. (f) w zw. z motywem 47 RODO poprzez dokonanie ich błędnej wykładni przez Sąd polegający na uznaniu, że Prezes Urzędu Ochrony Danych Osobowych, jako krajowy organ nadzorczy nie ma podstaw do oceny zasadności skorzystania przez Bank z pomocy prawnej podmiotu profesjonalnego, podczas gdy z jednej strony do zadań organu należy monitorowanie i egzekwowanie stosowania przepisów RODO oraz rozpatrywanie skarg indywidualnych, a z drugiej strony, weryfikacja legalności udostępnienia danych osobowych w trybie art. 6 ust. 1 lit. (f) RODO wymaga uznania, że badane udostępnienie było proporcjonalne, a więc (1) występował zarówno prawnie chroniony interes administratora, jak również (2) udostępnienie to było niezbędne do ochrony tego uzasadnionego interesu, tzn. ochrona tego interesu nie była możliwa bez udostępnienia tych danych osobowych, a ponadto, że (3) interesy lub podstawowe prawa i wolności podmiotu danych osobowych nie mają charakteru nadrzędnego nad uzasadnionym interesem administratora (tzw. test proporcjonalności);W odpowiedzi na skargę kasacyjną organ wniósł o jej oddalenie jako niezasadnej.W odpowiedzi na skargę kasacyjną Bank również wniósł o jej oddalenie oraz zasądzenie kosztów zastępstwa procesowego według norm przepisanych. Na rozprawie pełnomocnik Banku cofnął wniosek o zasądzenie kosztów postępowania.Naczelny Sąd Administracyjny zważył, co następuje:Zgodnie z art. 183 § 1 P.p.s.a Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, bierze jednak z urzędu pod rozwagę nieważność postępowania, której przesłanki określone w § 2 art. 183 P.p.s.a. w rozpoznawanej sprawie nie występują.Związanie Naczelnego Sądu Administracyjnego podstawami skargi kasacyjnej wymaga prawidłowego ich określenia w samej skardze. Należy zatem wskazać konkretne przepisy prawa, którym - zdaniem skarżącego kasacyjnie - uchybił sąd i zamieścić uzasadnienie podstawy kasacyjnej, czyli uzasadnić uchybienia zarzucane Sądowi. Uzasadnienie podstaw kasacyjnych polega na wykazaniu przez autora skargi kasacyjnej, że stawiane przez niego zarzuty mają usprawiedliwioną podstawę i zasługują na uwzględnienie. Uzasadniając zarzut naruszenia prawa materialnego przez jego błędną wykładnię wykazać należy, że sąd mylnie zrozumiał stosowany przepis prawa, natomiast uzasadniając zarzut niewłaściwego zastosowania przepisu prawa materialnego wykazać należy, iż sąd stosując przepis popełnił błąd w subsumcji czyli, że niewłaściwie uznał, iż stan faktyczny przyjęty w sprawie odpowiada stanowi faktycznemu zawartemu w hipotezie normy prawnej zawartej w przepisie prawa. W obu tych przypadkach autor skargi kasacyjnej wykazać musi ponadto w uzasadnieniu, jak, w jego ocenie, powinien być rozumiany stosowany przepis prawa, czyli jaka powinna być jego prawidłowa wykładnia bądź, jak powinien być stosowany konkretny przepis prawa ze względu na stan faktyczny sprawy, a w przypadku zarzutu niezastosowania przepisu - dlaczego powinien być zastosowany. Uzasadniając zaś naruszenie przepisów postępowania wykazać należy, że uchybienie im mogło mieć istotny wpływ na wynik sprawy. Skarga kasacyjna nieodpowiadająca powyższym wymaganiom uniemożliwia sądowi ocenę jej zasadności.W rozpoznawanej sprawie zarzuty skargi kasacyjnej obejmują zarówno naruszenie przepisów postępowania, jak i przepisów prawa materialnego, aczkolwiek nie określają formy naruszeń.W pierwszej kolejności rozpoznaniu podlegały zarzuty naruszenia przepisów postępowania, ponieważ dopiero po przesądzeniu, że stan faktyczny sprawy został ustalony w sposób prawidłowy, możliwe jest badanie zasadności zarzutów naruszenia prawa materialnego.Przypomnieć należy, że zgodnie z art. 145 § 1 pkt 1 lit. c P.p.s.a., decyzja podlega uchyleniu, gdy sąd stwierdzi naruszenie prawa, jeżeli mogło mieć istotny wpływ na wynik sprawy. Tym samym naruszenie wskazanego przepisu będzie miało miejsce wówczas, gdy kontrolując legalność zaskarżonej decyzji sąd nie dostrzeże, że rozstrzygnięcie to narusza przepisy postępowania, bądź odnajdując te błędy prawne niewłaściwie oceni ich wpływ na wynik sprawy administracyjnej, przy czym w obu wypadkach ta wadliwość w rozumowaniu sądu musi mieć istotny wpływ na wynik sprawy sądowoadministracyjnej. Oznacza to, że gdyby organ nie naruszył prawa, to najprawdopodobniej zapadłaby decyzja o innej treści. Tylko bowiem takie naruszenia przepisów mogłyby uzasadniać zastosowanie przez Sąd pierwszej instancji środka przewidzianego w art. 145 § 1 pkt 1 lit. c P.p.s.a.Przedstawiony w uzasadnieniu zaskarżonego wyroku stan faktyczny wskazuje na to, że w postępowaniu administracyjnym zgromadzono materiał dowodowy w zakresie wystarczającym dla oceny zaistnienia przesłanek określonych w art. 6 ust. 1 lit. f RODO w zakresie przetwarzania danych osobowych skarżącej kasacyjnie. Wyrażona zaś w art. 7 k.p.a. zasada prawdy obiektywnej odnosi się w równym stopniu do zakresu i wnikliwości postępowania wyjaśniającego i dowodowego, jak i do stosowania norm prawa materialnego, to jest do całokształtu przepisów prawnych służących załatwieniu sprawy. Organy administracji publicznej mają obowiązek działać wnikliwie i szybko, posługując się możliwie najprostszymi środkami prowadzącymi do załatwienia sprawy, a także obowiązek podejmowania wszelkich kroków niezbędnych do jej wyjaśnienia i załatwienia, a następnie na podstawie całokształtu materiału dowodowego ocenić, czy dana okoliczność została udowodniona. Z kolei art. 77 i art. 80 k.p.a. wskazują na zasady postępowania dowodowego przed organem administracji publicznej. Natomiast art. 107 § 3 k.p.a. wskazuje co powinno zawierać uzasadnienie decyzji organu administracji publicznej.W ocenie Naczelnego Sądu Administracyjnego, w niniejszej sprawie nie można WSA w Warszawie postawić skutecznie zarzutu naruszenia powołanych przepisów, gdyż nie dopuścił się naruszeń, które miałyby wpływ na podjęte rozstrzygnięcie. Sąd I instancji ocenił treść zaskarżonej decyzji, a stan faktyczny sprawy co do zarówno podmiotów w niej występujących, ich charakteru, jak i zakresu danych osobowych przetwarzanych przez podmiot świadczący pomoc prawną na rzecz Banku – jest jednoznaczny. Natomiast to, że ocena stanu faktycznego nie odpowiada żądaniom skarżącej kasacyjnie – nie oznacza, że w sprawie doszło do naruszenia przepisów postępowania. Tym samym zarzut skargi kasacyjnej o naruszeniu art. 145 § 1 pkt 1 lit. c i art. 151 P.p.s.a. należy uznać za nieusprawiedliwiony, bowiem w realiach niniejszej sprawy zaistniały przesłanki do oddalenia skargi. Tym samym brak było podstaw do zastosowania przez Sąd art. 145 § 1 pkt 1 lit. c P.p.s.a.Równie niezasadny jest zarzut naruszenia art. 6 ust. 1 lit. f w zw. z motywem 47 RODO. Przypomnieć w tym miejscu należy, że wedle art. 6 ust. 1 lit. f RODO przetwarzanie danych osobowych jest zgodne z prawem, gdy jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią. Z kolei motyw 47 RODO dookreśla, że "podstawą prawną przetwarzania mogą być prawnie uzasadnione interesy administratora, w tym administratora, któremu mogą zostać ujawnione dane osobowe, lub strony trzeciej, o ile w świetle rozsądnych oczekiwań osób, których dane dotyczą, opartych na ich powiązaniach z administratorem nadrzędne nie są interesy lub podstawowe prawa i wolności osoby, której dane dotyczą. Taki prawnie uzasadniony interes może istnieć na przykład w przypadkach, gdy zachodzi istotny i odpowiedni rodzaj powiązania między osobą, której dane dotyczą, a administratorem, na przykład gdy osoba, której dane dotyczą, jest klientem administratora lub działa na jego rzecz. Aby stwierdzić istnienie prawnie uzasadnionego interesu, należałoby w każdym przypadku przeprowadzić dokładną ocenę, w tym ocenę tego, czy w czasie i w kontekście, w którym zbierane są dane osobowe, osoba, której dane dotyczą, ma rozsądne przesłanki by spodziewać się, że może nastąpić przetwarzanie danych w tym celu.Wykładnia celowościowa art. 6 ust. 1 lit. f RODO dokonana na podstawie treści motywu 47 RODO wskazuje, że przesłanka legalizująca przetwarzania danych osobowych jest spełniona, gdy wystąpią łączenie dwa warunki - pierwszy, gdy zachodzi powiazanie pomiędzy administratorem a osobą, której dane są przetwarzane i drugi, dane są zbierane zasadnie co do celu, dla jakiego zostały zebrane. W sprawie, nie budzi wątpliwości, że pierwszy warunek przesłanki legalizującej został spełniony, ponieważ skarżąca kasacyjnie była klientem Banku, a zatem już ten sam fakt – co wynika wprost z treści motywu 47 RODO zaistniał. W sprawie zaistniał również warunek drugi. Wbrew bowiem zarzutom skargi, WSA w Warszawie odniósł się do kwestii proporcjonalności zebranych danych wskazując, że przetwarzanie danych osobowych skarżącej kasacyjnie w ramach stosunku Bank-Kancelaria wynikało z charakteru usług prawnych świadczonych na rzecz Banku, stąd wszelkie dane skarżącej (w tym także jej korespondencja z Bankiem), które były w posiadaniu Banku mogły podlegać konsultacjom prawnym (s. 17 uzasadnienia). W tym zakresie Naczelny Sąd Administracyjny podziela stanowisko Sądu I instancji, że charakter pomocy prawnej świadczonej przez adwokata lub radcę prawnego statuowany w art. 4 ustawy o radcach prawnych i art. 4 ustawy o adwokaturze pozwala na udostępnienie przez podmioty, na rzecz których świadczą oni swoje usługi wszelkich danych, które są potrzebne dla wykonywania pomocy prawnej polegającej na udzielaniu porad prawnych, sporządzaniu opinii prawnych, opracowywaniu projektów aktów prawnych oraz występowaniu przed sądami i urzędami. Do takich danych należą również dane IP komputera lub numery kont bankowych strony. Po pierwsze bowiem pozwalają na ustalenie skąd mogła być wysyłana korespondencja do Banku, a drugie do ewentualnego postępowania egzekucyjnego.W sprawie nie doszło również do obrazy art. 57 ust. 1 lit. (a) i (f) w zw. z art. 6 ust. 1 lit. (f) w zw. z motywem 47 RODO poprzez dokonanie ich błędnej wykładni polegającej na uznaniu, że Prezes UODO nie ma podstaw do oceny zasadności skorzystania przez Bank z pomocy prawnej podmiotu profesjonalnego, ponieważ Sąd I instancji nie postawił takiej tezy. Natomiast WSA w Warszawie w obszernych wywodach swojego uzasadnienia wykazał, że Bank miał prawo do skorzystania z pomocy prawnej i w jej ramach przekazać Kancelarii dane osobowe skarżącej, a przepisy statuujące zasady wykonywania zawodu adwokata i radcy prawnego wraz z przepisami RODO szczegółowo określają obowiązki adwokatów i radców prawnych w zakresie przetwarzania danych osobowych otrzymanych od klientów (s. 17-19 uzasadnienia).Biorąc zatem pod uwagę, że skarga kasacyjna nie zawierała usprawiedliwionych podstaw, Naczelny Sąd Administracyjny, w oparciu o art. 184 P.p.s.a., orzekł jak w sentencji.O kosztach postępowania kasacyjnego Naczelny Sąd Administracyjny orzekł na podstawie art. 209 w zw. z art. 204 pkt 1 w zw. z art. 205 § 2 P.p.s.a..