II SA/Wa 257/23

SENTENCJA Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Sławomir Antoniuk, Sędzia WSA Danuta Kania, Asesor WSA Mateusz Rogala (spr.), , Protokolant referent stażysta Kinga Krysik, , po rozpoznaniu na rozprawie w dniu 8 grudnia 2023 r. sprawy ze skargi [...] S.A. z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] listopada 2022 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę UZASADNIENIE Zaskarżoną do Wojewódzkiego Sądu Administracyjnego w Warszawie decyzją z dnia [...] listopada 2022 r. nr [...] Prezes Urzędu Ochrony Danych Osobowych, działając m.in. na podstawie art. 6 ust. 1 lit. c) i f) oraz art. 58 ust. 2 lit. f) rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z dnia 4 maja 2016 r., s. 1), po przeprowadzeniu postępowania administracyjnego w sprawie skargi S. B. na nieprawidłowości w procesie przetwarzania jej danych osobowych przez [...] S.A. z siedzibą w [...], w pkt 1 nakazał [...] S.A zaprzestanie przetwarzania danych osobowych S.B., pozyskanych w związku z wykonywaniem umowy ramowej dla firm zawartej w dniu [...] grudnia 2019 r. z [...] Sp. z o.o. z siedzibą w [...], w celach innych niż cele archiwalne oraz cele wynikające z obowiązku prawnego ciążącego na administratorze, zaś w pkt 2 odmówił uwzględnienia wniosku w pozostałym zakresie. W uzasadnieniu swojego rozstrzygnięcia organ stwierdził, że w toku postępowania ustalono, iż bank pozyskał dane osobowe S. B., jako prezesa zarządu spółki [...] Sp. z o.o. w związku z zawarciem w dniu [...] grudnia 2019 r. umowy ramowej dla firm. Skarżąca nie jest stroną tej umowy, bowiem jej stroną jest spółka. Wobec powyższego podstawą przetwarzania danych osobowych skarżącej w związku z powyższą umową nie może być art. 6 ust. 1 lit. b) rozporządzenia nr 2016/679, gdyż legalizuje on przetwarzanie danych osobowych, w przypadku, gdy jest ono niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie tej osoby przed zawarciem z nią umowy. Bank ,zawierając w dniu [...] grudnia 2019 r. umowę ze spółką, pozyskał dane osobowe skarżącej, która pełniła w dniu zawarcia tej umowy funkcję prezesa zarządu spółki, uprawnionego do jej reprezentacji. Wobec powyższego organ uznał, że przetwarzanie danych osobowych skarżącej, reprezentującej spółkę jako stronę umowy zawartej z bankiem, było niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez bank. Za prawnie uzasadnione interesy banku, nadrzędne nad interesem skarżącej uznać należało pozyskanie i przetwarzanie w związku z umową zawartą ze spółką danych osobowych osoby uprawnionej do reprezentacji spółki i prowadzenia jej spraw, a zatem umocowanej w myśl art. 201 § 1 ustawy z dnia 15 września 2000 r. Kodeks spółek handlowych do zawarcia umowy z bankiem i jej realizacji. Powyższy proces przetwarzania po rozpoczęciu stosowania przepisów rozporządzenia nr 2016/679 miał zatem oparcie w przesłance z art. 6 ust. 1 lit. f) tego rozporządzenia. Organ wyjaśnił następnie, że skarżąca pismem z dnia [...] marca 2020 r. poinformowała bank o tym, że przestała pełnić funkcję prezesa zarządu spółki. Na dowód powyższego załączyła aktualny wydruk z Krajowego Rejestru Sądowego, z którego wynika, że dokonano zmian w składzie zarządu spółki. Pomimo powyższego bank kontynuuje proces przetwarzania danych osobowych skarżącej, jako aktualnego reprezentanta spółki. W ocenie Prezesa UODO, przetwarzanie przez bank danych osobowych skarżącej jako danych osobowych aktualnego reprezentanta spółki należy uznać za nieprawidłowe. Nie ulega wątpliwości, że skarżąca wielokrotnie kontaktowała się z bankiem w celu poinformowania o zaprzestaniu pełnienia funkcji prezesa zarządu spółki. W ocenie organu, z chwilą zaprzestania pełnienia przez skarżącą funkcji prezesa zarządu spółki odpadł cel przetwarzania danych osobowych skarżącej, jako osoby pełniącej w spółce funkcję członka organu osoby prawnej, uprawnionej do reprezentacji spółki. Prezes UODO stwierdził, że bank może obecnie przetwarzać dane osobowe skarżącej wyłącznie w celach archiwalnych - wyłącznie jako informacje o osobie uprawnionej do reprezentacji spółki w momencie zawarcia umowy z dnia [...] grudnia 2019 r. Powyższy proces przetwarzania danych osobowych skarżącej ma oparcie również w przesłance legalizującej proces przetwarzania danych osobowych z art. 6 ust. 1 lit. f) rozporządzenia nr 2016/679. Ponadto organ uznał, że bank prawidłowo kontynuuje proces przetwarzania danych osobowych skarżącej pozyskanych w związku z wykonywaniem umowy z dnia [...] grudnia 2019 r., jako byłego reprezentanta spółki z uwagi na niezbędność tego procesu do wypełnienia obowiązków wynikających z przepisów prawa, tj. ustawy o rachunkowości oraz ustawy z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu, a zatem w oparciu o przesłankę z art. 6 ust. 1 lit. c) rozporządzenia nr 2016/679. Odnosząc się do powołanego przez bank przetwarzania danych osobowych skarżącej pozyskanych w związku z wykonywaniem umowy ramowej dla firm zawartej w dniu [...] grudnia 2019 r. ze spółką w celu ustalenia, dochodzenia lub obrony roszczeń, organ wyjaśnił, że zebrany w postępowaniu materiał dowodowy nie wykazał, aby skarżąca wystąpiła z jakimkolwiek roszczeniem wobec banku, które uzasadniałoby uprawnienie tych podmiotów do zachowania i przetwarzania jej danych osobowych dla celów dowodowych w związku z dochodzeniem przez skarżącą tego roszczenia. Bank nie wskazał także na istnienie roszczeń, których dochodzi od skarżącej. Organ podkreślił, że przesłanka z art. 6 ust. 1 lit. f) rozporządzenia nr 2016/679 dotyczy sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia, potrzeba dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem. [...] S.A. wniósł na powyższą decyzję skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie, zaskarżając ją w części obejmującej pkt 1 decyzji. Zaskarżonej decyzji bank zarzucił naruszenie przepisów prawa materialnego, które miało wpływ na wynik sprawy, tj.: a) art. 23 ust. 1 pkt 3 i 5 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych i art. 6 ust 1 lit. f) rozporządzenia nr 2016/679, poprzez niewłaściwe zastosowanie i wydanie decyzji, która poprzez swoją konstrukcję uniemożliwia przetwarzanie danych dotyczących uczestniczki pozyskanych w związku z wykonywaniem umowy ramowej dla firm, co de facto prowadzi do nakazu usunięcia wszelkich danych osobowych S. B., jako że dane te pokrywają się z danymi pozyskanymi w wyniku innych relacji pozyskiwanych przez bank, jak również mając na uwadze, że proces anonimizacji danych w banku przeprowadzany jest po numerze PESEL, a co za tym idzie utajnieniu danych podlegać by musiały wszystkie dane odnośnie uczestniczki, a ograniczenie ich do zakresu wskazanego w treści pkt 1 decyzji jest niemożliwe; b) art. 23 ust. 1 pkt 3 i 5 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych i art. 6 ust. 1 lit. f) rozporządzenia nr 2016/679 w zw. z art. 117 § 2 i 21, art. 118 i 119 k.c. poprzez przyjęcie, że przechowywanie danych przez okres przedawnienia roszczeń, w sytuacji w której administrator danych osobowych ani osoba, której dane dotyczą, nie wniosła pozwu do właściwego sądu, ale nie upłynął jeszcze okres przedawnienia roszczeń, nie mieści się w ramach prawnie uzasadnionego interesu skarżącego w rozumieniu art. 6 ust. 1 lit. f) rozporządzenia nr 2016/679, podczas gdy przepisy te umożliwiają wykazanie istnienia tego rodzaju prawnie uzasadnionego interesu w ustaleniu, dochodzeniu i ochronie przed roszczeniami i tym samym istnienie ważnej podstawy prawnej do przetwarzania danych osobowych, wszystko powyższe w szczególności w kontekście brzmienia decyzji, która nie jest jednoznaczna co do zakresu archiwizacji (jeżeli bowiem zarchiwizowane mają być dane pozyskane w związku z wykonaniem umowy ramowej dla firm, to dotyczy to m.in. danych odnośnie imienia, nazwiska, daty urodzenia i innych); c) art. 118 w zw. z art. 5 ust. 2 ustawy z dnia 13 kwietnia 2018 r. o zmianie ustawy - Kodeks cywilny oraz niektórych innych ustaw, poprzez niezastosowanie i niedokonanie rozważań w zakresie tego, czy nastąpiło przedawnienie ewentualnych roszczeń, podczas gdy przepis ten powinien znaleźć zastosowanie i prowadzić do wniosku o braku upływu okresu przedawnienia w momencie wydawania decyzji organu; d) art. 58 ust. 2 lit. b) w zw. z art. 6 ust. 1 w zw. z art. 5 ust. 1 rozporządzenia nr 2016/679 poprzez niewłaściwe zastosowanie i przyjęcie, że bank naruszył przepisy rozporządzenia i zasadne było wydanie decyzji nakazującej usunięcie danych osobowych, podczas gdy bank nie dopuścił się naruszenia przepisów o ochronie danych osobowych. Bank postawił również zarzuty naruszenia przepisów postępowania, które mogło mieć istotny wpływ na wynik sprawy, tj.: a) art. 7, art. 77 § 1, art. 80 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (Dz. U. z 2021 r., poz. 735 ze zm., powoływanej dalej jako k.p.a.), poprzez zaniechanie dokładnego wyjaśnienia stanu faktycznego sprawy i prowadzenie postępowania wbrew regułom nakazującym wyczerpujące zebranie i rozpatrzenie materiału dowodowego oraz ocenę jego całokształtu, co przejawiało się w szczególności w pominięciu tego, że dane klienta przetwarzane są nie tylko w związku z reprezentowaniem osoby prawnej, ale również z uwagi na inne produkty klienta (tak indywidualne, jak i wspólne), a brak jest możliwości rozdzielenia danych, które się pokrywają; braku dokonania wszechstronnej oceny wyjaśnień zawartych w piśmie banku z dnia [...] maja 2021 r., w szczególności w zakresie wskazania, że wykreślenie danych uczestniczki jest niemożliwe z uwagi na istnienie podstaw do przetwarzania, wynikających również z innych zobowiązań S.B.; zaniechaniu wyjaśnienia aktualnego na datę wydania decyzji stanu faktycznego istotnego dla ustalenia zakresu i podstaw przetwarzania przez bank danych osobowych S. B.; wszystko powyższe skutkowało wydaniem błędnej i nieprecyzyjnej decyzji, która swoim zakresem obejmuje szereg danych uzyskanych również z innych niż wskazana w decyzji podstaw i która powoduje konieczność usunięcia wszystkich danych odnośnie umów zawartych przez uczestniczkę; b) art. 9 k.p.a. w zw. z art. 7 k.p.a. poprzez brak wyczerpującej informacji odnośnie zakresu decyzji, w szczególności nieodniesienie się w treści decyzji (i jej uzasadnieniu) do kwestii danych, które pokrywają się w związku z innymi posiadanymi przez S. B. produktami, ale również niedostateczne wyjaśnienie kwestii niemożności utajnienia danych uczestniczki wyłącznie w zakresie wskazanym w treści decyzji. Mając na uwadze powyższe zarzuty, strona skarżąca wniosła o uchylenie pkt 1 zaskarżonej decyzji, o wstrzymanie wykonania pkt 1 decyzji oraz o zwrot kosztów postępowania. W uzasadnieniu skargi strona skarżąca podniosła, że przetwarza dane osobowe S.B. nie tylko w związku z zajmowanym uprzednio stanowiskiem w spółce [...] Sp. z o.o., ale również z uwagi na inne relacje i posiadane produkty w banku. Zaskarżona decyzja nakazuje zaprzestanie przetwarzania danych pozyskanych w związku z wykonywaniem umowy ramowej dla firm, jednak całkowicie pomija kwestię tego, że dane te są tożsame z pozyskanymi w wykonywaniu umów zawartych w związku z posiadanymi przez uczestniczkę produktami. Wykonanie nakazu wynikającego z decyzji spowodowałoby więc usunięcie z systemów banku nie tylko danych pozyskanych w związku z wykonaniem umowy ramowej dla firm, ale i pozyskanych w związku z pozostałymi produktami uczestniczki, bowiem dane te są tożsame, a anonimizacja danych nastąpiłaby po numerze PESEL. Ponadto w ocenie banku, przetwarzanie danych w celu zabezpieczenia się przed potencjalnym roszczeniem znajduje podstawę w postaci uzasadnionego interesu administratora i nie stanowi gromadzenia danych "na zapas". Roszczenia te bowiem mogą powstać i mogą być dochodzone. Może biec termin ich przedawnienia. Dane osobowe nie są zatem przetwarzane "na zapas", ale w związku z realną koniecznością podjęcia obrony przed powstałymi roszczeniami. W odpowiedzi na skargę organ wniósł o jej oddalenie. Postanowieniem z dnia 22 lutego 2023 r. sygn. akt II SA/Wa 257/23 Wojewódzki Sąd Administracyjny w Warszawie wstrzymał wykonanie zaskarżonej decyzji w zakresie pkt 1. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Skarga nie zasługuje na uwzględnienie. Wymaga podkreślenia, że zgodnie z art. 134 § 1 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. 2023 r., poz. 1634 ze zm., powoływanej dalej jako p.p.s.a.), Sąd rozstrzyga w granicach danej sprawy nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną, z zastrzeżeniem art. 57a. Sąd rozpoznał zatem skargę skarżącej zarówno pod względem naruszenia przepisów prawa materialnego, jak i procesowego, pomimo postawienia w skardze m.in. zarzutów naruszenia przepisów ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych. Wskazywana przez stronę skarżącą ustawa o ochronie danych osobowych utraciła moc z dniem 25 maja 2018 r. (z wyjątkami wskazanymi w art. 175 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych – Dz. U. z 2019, poz. 1781 ze zm., które nie mają zastosowania w niniejszej sprawie). Skoro przetwarzanie danych osobowych S. B. pozyskanych w związku z wykonywaniem umowy ramowej dla firm zawartej w dniu [...] grudnia 2019 r. z [...] Sp. z o.o., rozpoczęło się po uchyleniu przywoływanej w skardze ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych, to nie można było skutecznie zarzucić organowi naruszenia przepisów tej ustawy. Mając jednak na względzie treść przywołanego art. 134 § 1 p.p.s.a., Sąd rozpoznał sprawę w jej całokształcie, niezależnie od błędnie postawionych w omawianej części zarzutów, i nie stwierdził naruszenia przez organ przepisów prawa materialnego, które miało wpływ na wynik sprawy, a także naruszenia przepisów postępowania, które mogło mieć istotny wpływ na wynik sprawy. Przede wszystkim należy stwierdzić, że powoływane przez skarżącą w skardze okoliczności związane z przetwarzaniem przez bank danych osobowych S. B., w związku z innymi umowami zawartymi bezpośrednio z klientką, pozostają bez związku z rozstrzygnięciem zawartym w pkt 1 zaskarżonej decyzji. Otóż, organ nakazał stronie skarżącej zaprzestanie przetwarzania danych osobowych S. B., pozyskanych w związku z wykonywaniem umowy ramowej dla firm zawartej w dniu [...] grudnia 2019 r. z [...] Sp. z o.o., w celach innych niż cele archiwalne oraz cele wynikające z obowiązku prawnego ciążącego na administratorze. Rozstrzygnięcie organu jest zatem precyzyjne, a jednocześnie wąsko zakreślone, dotyczy bowiem jedynie kwestii przetwarzania danych osobowych pozyskanych w związku z umową ramową z dnia [...] grudnia 2019 r. Wbrew stanowisku banku organ nie nakazał w pkt 1 decyzji usunięcia czy zanonimizowania wszelkich danych S. B. przetwarzanych przez bank. W istocie pkt 1 decyzji nakazuje bankowi, aby zaprzestał przetwarzania danych S. B. identyfikujących ją jako prezesa zarządu spółki [...]. Co wymaga podkreślenia, bank w toku postępowania w istocie nie kwestionował, że S. B. nie jest już osoba uprawnioną do reprezentacji spółki [...]. Okoliczność ta zatem, mająca zresztą potwierdzenie w informacji uzyskanej z Krajowego Rejestru Sądowego, nie jest w tej sprawie sporna. W związku z powyższym nie można skutecznie zarzucić organowi naruszenia przepisów postępowania w tym zakresie, bowiem prawidłowo ustalił stan faktyczny tej sprawy, zaś istotna z punktu widzenia jej rozstrzygnięcia okoliczność zakończenia przez S. B. pełnienia funkcji prezesa zarządu spółki [...] nie budzi wątpliwości stron postępowania. Bank zarzuca natomiast organowi, że wykonanie pkt 1 zaskarżonej decyzji będzie niemożliwe z uwagi na sposób skonstruowania systemu informatycznego banku. Odnosząc się do powyższego, należy stwierdzić, że rolą administratora danych osobowych jest zapewnienie, by przetwarzanie danych osobowych następowało jedynie na podstawie wynikającej z przepisów prawa i by w momencie, w którym ustaje prawna przyczyna przetwarzania danych osobowych skutecznie zaprzestać przetwarzania danych w oparciu o tę podstawę. Zgodnie bowiem z art. 6 rozporządzenia nr 2018/679 przetwarzanie danych osobowych jest zgodne z prawem wyłącznie w przypadkach wymienionych w tym przepisie. Nie ulega przy tym wątpliwości, że dany podmiot może przetwarzać dane osobowe konkretnej osoby jednocześnie w związku z realizacją kilku celów i musi tak zorganizować sposób przetwarzania danych, by móc dostosować zakres gromadzonych i przetwarzanych danych do poszczególnych celów ich przetwarzania oraz sposobu ich pozyskania. W niniejszej sprawie bank, jak już wskazano, nie został zobowiązany do usunięcia wszystkich danych osobowych S. B., a jedynie do zaprzestania ich przetwarzania w zakresie danych pozyskanych w związku z zawarciem umowy z dnia [...] grudnia 2019 r. Dla wykonania zaskarżonego rozstrzygnięcia konieczne będzie zatem zidentyfikowanie przez bank danych uzyskanych w związku z ww. umową i zaprzestanie ich przetwarzania jedynie w tym zakresie (nie zaś w odniesieniu do danych osobowych klientki przetwarzanych w związku z realizacją innych prawem przewidzianych celów). Bank nie może natomiast powoływać się na sposób organizacji swojego systemu informatycznego jako przeszkodę w wykonaniu decyzji organu, bowiem jego zadaniem jako administratora danych osobowych jest zapewnienie, że przetwarzanie danych osobowych będzie zgodne z prawem, a zatem, że służyć będzie realizacji jednego z celów wymienionych w art. 6 rozporządzenia nr 2018/679. W przypadku gdy jeden z istniejących celów traci swoją aktualność konieczne jest uwzględnienie tego w procesie przetwarzania danych osobowych, co słusznie nakazał bankowi organ w pkt 1 zaskarżonej decyzji. Sąd uznał zatem, że rozstrzygnięcie organu w zaskarżonej części nie narusza przepisów prawa materialnego, tj. w szczególności rozporządzenia nr 2018/679. Organ uwzględnił bowiem prawidłowo, że odpadła podstawa przetwarzania przez bank danych osobowych S. B. pozyskanych w związku z zawarciem umowy ramowej z dnia [...] grudnia 2019 r. i tylko w tym zakresie nakazał stronie skarżącej zaprzestanie ich przetwarzania. Odnosząc się do zarzutów banku dotyczących niezbędności dalszego przetwarzania danych S. B. w związku z koniecznością podjęcia obrony przed ewentualnymi roszczeniami, należy zauważyć, że jak podkreśla się w orzecznictwie sądów administracyjnych, niedopuszczalne jest przetwarzanie danych osobowych niejako "na zapas" z założeniem, że mogą być one ewentualnie przydatne w przyszłości, na przykład z odwołaniem się do przepisów dotyczących przedawnienia roszczeń (zob. wyrok Naczelnego Sądu Administracyjnego z dnia 27 marca 2018 r. sygn. akt I OSK 1459/16, dostępny w internetowej bazie orzeczeń sądów administracyjnych). To stanowisko Sąd w składzie rozpoznającym niniejszą sprawę w całości podziela. Biorąc wszystkie powyższe okoliczności pod uwagę, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 p.p.s.a., orzekł jak w sentencji.