Skuteczne poinformowanie dłużnika przez bank o zamiarze przetwarzania danych osobowych - Wyrok NSA z dnia 13 czerwca 2024 r., sygn. III OSK 2334/22

Przepis art. 105a ust. 3 Prawa bankowego uprawniający banki do przetwarzania danych osobowych dłużników bez ich zgody, nie wymaga faktycznego potwierdzenia odbioru zawiadomienia przez dłużnika, jeżeli bank dołożył wszelkiej staranności, aby zawiadomienie zostało doręczone na wskazany przez dłużnika adres, a dłużnik miał realną możliwość zapoznania się z jego treścią.

Naczelny Sąd Administracyjny w składzie: Przewodniczący: Sędzia NSA Jerzy Stelmasiak Sędziowie: Sędzia NSA Piotr Korzeniowski Sędzia del. WSA Paweł Mierzejewski (spr.) po rozpoznaniu w dniu 13 czerwca 2024 r. na posiedzeniu niejawnym w Izbie Ogólnoadministracyjnej skargi kasacyjnej R.K. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 21 kwietnia 2022 r. sygn. akt II SA/Wa 3836/21 w sprawie ze skargi R.K. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 9 września 2021 r. nr DS.523.1757.2021.FT.AN. w przedmiocie przetwarzania danych osobowych oddala skargę kasacyjną.

Uzasadnienie

Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 21 kwietnia 2022 r., sygn. akt II SA/Wa 3836/21, po rozpoznaniu sprawy ze skargi R.K. (dalej jako "skarżąca" oraz "skarżąca kasacyjnie") na decyzję Prezesa Urzędu Ochrony Danych Osobowych (dalej jako "organ") z dnia 9 września 2021 r. nr DS.523.1757.2021.FT.AN. w przedmiocie przetwarzania danych osobowych, oddalił skargę.

U podstaw rozstrzygnięcia wydanego przez Sąd pierwszej instancji legły następujące ustalenia oraz ocena prawna.

Zaskarżoną decyzją wydaną na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (tekst jedn. Dz. U. z 2021 r. poz. 735), dalej "k.p.a.", art. 6 ust. 1 lit. f rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 ze zm.), dalej "RODO", w zw. z art. 105a ust. 3 ustawy z dnia 29 sierpnia 1997 r. - Prawo bankowe (tekst jedn. Dz. U. z 2020 r. poz. 1896), organ, po przeprowadzeniu postępowania administracyjnego w sprawie ze skargi w przedmiocie nieprawidłowości w procesie przetwarzania danych osobowych skarżącej przez G. S.A. z siedzibą w [...] (dalej "bank"), polegających na udostępnieniu danych osobowych skarżącej do bazy Bankowy Rejestr, prowadzonej przez Związek [...] z siedzibą w [...], bez podstawy prawnej odmówił jej uwzględnienia.