Wyrok NSA z dnia 21 października 2022 r., sygn. III OSK 1533/21

Przetwarzanie danych osobowych przez banki i inne instytucje finansowe w celu dochodzenia roszczeń wynikających z zawartych umów jest dopuszczalne na mocy art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych, co umożliwia wykorzystywanie danych osobowych w ramach realizacji prawnie usprawiedliwionych celów, bez naruszania praw i wolności osób, których dane dotyczą.

Naczelny Sąd Administracyjny w składzie: Przewodniczący: Sędzia NSA Zbigniew Ślusarczyk (spr.) Sędziowie Sędzia NSA Wojciech Jakimowicz Sędzia del. WSA Tadeusz Lipiński po rozpoznaniu w dniu 21 października 2022 r. na posiedzeniu niejawnym w Izbie Ogólnoadministracyjnej skargi kasacyjnej U. P., E. P., M. P. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 11 stycznia 2019 r. sygn. akt II SA/Wa 1841/17 w sprawie ze skargi U. P., E. P., M. P. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z dnia 6 września 2017 r. nr DOLiS/DEC-1090/17/67680/17,67683/17,67686/17 w przedmiocie przetwarzania danych osobowych oddala skargę kasacyjną.

Uzasadnienie

Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z 11 stycznia 2019 r. sygn. akt II SA/Wa 1841/17, na podstawie art. 151 ustawy z 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2018 r., poz. 1302 ze zm.) dalej "p.p.s.a." oddalił skargę U. P., E. P., M. P. na decyzję Generalnego Inspektora Ochrony Danych Osobowych z 6 września 2017 r. nr DOLiS/DEC-1090/17/67680/17,67683/17,67686/17 w przedmiocie przetwarzania danych osobowych.

W uzasadnieniu wyroku Sąd pierwszej instancji wskazał, że sprawa została zainicjowana skargą U. P., E. P., M. P., wniesioną do organu ochrony danych osobowych na przekazanie ich danych osobowych przez [...] Bank S.A. z siedzibą we W. do Kancelarii Prawnej "L." sp. k. z siedzibą we W. Sąd podzielił pogląd Generalnego Inspektora Ochrony Danych Osobowych, że przekazanie danych osobowych skarżących znajdowało umocowanie w art. 31 ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.U. z 2016, poz. 922) zwanej dalej "u.o.d.o." [...] Bank S.A. i Kancelaria Prawna "L." sp. k. z siedzibą we W. zawarły bowiem umowę powierzenia, co oznacza, że bank, przetwarzając dane osobowe skarżących w celu dochodzenia roszczeń wynikających z umowy kredytowej, był administratorem ich danych osobowych, natomiast Kancelaria Prawna "L." była podmiotem, któremu powierzono przetwarzanie danych osobowych skarżących, w celu dochodzenia roszczeń banku. W konsekwencji zdaniem Sądu pierwszej instancji przetwarzanie danych osobowych było dopuszczalne i zgodne z przepisami ustawy.