III OSK 2472/22

Dnia 19 listopada 2025 roku Naczelny Sąd Administracyjny w składzie: Przewodniczący: sędzia NSA Mirosław Wincenciak Sędziowie: sędzia NSA Artur Kuś (spr.) sędzia del. WSA Tadeusz Kiełkowski Protokolant: starszy asystent sędziego Nina Muszyńska po rozpoznaniu w dniu 19 listopada 2025 roku na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej [...] S.A. z siedzibą w W. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z 30 czerwca 2022 r. sygn. akt II SA/Wa 3409/21 w sprawie ze skargi [...] S.A. z siedzibą w W. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z 20 lipca 2021 r. nr ZSPU.440.892.2019.FT.MI.132176, 132174, 132173 w przedmiocie przetwarzania danych osobowych 1. oddala skargę kasacyjną 2. zasądza od [...] S.A. z siedzibą w W. na rzecz Prezesa Urzędu Ochrony Danych Osobowych kwotę 360 (trzysta sześćdziesiąt) złotych tytułem zwrotu kosztów postępowania kasacyjnego.

Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z 30 czerwca 2022 r. sygn. akt II SA/Wa 3409/21 oddalił skargę [...] S.A. z siedzibą w W. (dalej: "Bank", "skarżący") na decyzję Prezesa Urzędu Ochrony Danych Osobowych (dalej: "PUODO", "organ") z 20 lipca 2021 r. nr ZSPU.440.892.2019.FT.MI.132176, 132174, 132173 w przedmiocie przetwarzania danych osobowych. W uzasadnieniu wyroku Sąd I instancji przyjął następujące okoliczności faktyczne i prawne. W dniu 10 września 2013 r. T. K. (dalej: "wnioskodawca") wniósł do PUODO skargę na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Bank, polegające na ich udostępnieniu na rzecz Biura Informacji Kredytowej Spółka Akcyjna z siedzibą w Warszawie (dalej: "BIK"). PUODO decyzją znak: ZSPU.440.892.2019.FT.MI.132176.132174.132173 z 20 lipca 2021 r. na podstawie art. 104 i art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2021 r., poz. 735, dalej: "k.p.a."), art. 160 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781) w zw. z art. 18 ust. 1 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r., poz. 922 ze zm.) oraz art. 6 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (dalej: "rozporządzenie RODO") (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, s. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, s. 35), orzekł: w pkt 1 – o umorzeniu postępowania w zakresie nieprawidłowości w procesie przetwarzania danych osobowych wnioskodawcy przez Bank, polegających na ich udostępnieniu na rzecz BIK, w trybie art. 105a ust. 3 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz. U. z 2020 r. poz. 1896, zwana dalej: "p.b."); w pkt 2 – o nakazaniu zaprzestanie przetwarzania przez Bank danych osobowych wnioskodawcy w zakresie imiona, nazwisko, PESEL, data urodzenia, miejsce urodzenia, kraj urodzenia, obywatelstwo, status rezydencji, imiona rodziców, nazwisko panieńskie matki, adres zamieszkania, telefon komórkowy, stan cywilny, pleć, dane dotyczące posiadanych produktów, dane finansowe, numer CIF, pozyskanych w związku z umową z dnia 16 czerwca 2004 r. karty kredytowej nr [...], przetwarzanych w celu obrony przed ewentualnymi roszczeniami. W uzasadnieniu podjętej decyzji organ wskazał na następujące ustalenia stanu faktycznego sprawy: W dniu 16 czerwca 2004 r. wnioskodawca zawarł z Bankiem Umowę Karty Kredytowej [...] o numerze [...]. W dniu 26 września 2006 r. z powodu zgubienia, karta ta została zastrzeżona. W dniu 28 września 2006r. w miejsce zastrzeżonej karty została wydana nowa karta kredytowa [...] o numerze [...]. Opóźnienie w spłacie karty wynosiło powyżej 60 dni. W związku ze zwłoką powyżej 60 dni w spełnieniu świadczenia wynikającego z Umowy Karty Kredytowej przez wnioskodawcę, Bank wysłał do niego 10 stycznia 2010 r. pismo z informacją o zamiarze przetwarzania jego danych po wygaśnięciu zobowiązania bez jego zgody, jeżeli w terminie 30 dni, od dnia doręczenia przedmiotowego pisma, nie ureguluje zaległych należności. We wskazanym przez Bank terminie wnioskodawca nie uregulował należności. Wobec tego Bank i BIK miał prawo do przetwarzania danych wnioskodawcy również na podstawie art. 105a ust. 3 p.b., tj. po wygaśnięciu zobowiązania z tytułu Umowy. Ponadto w grudniu 2009 r. Bank podjął wobec wnioskodawcy działania windykacyjne. W dniu 9 grudnia 2009 r. wysłał do ww. wezwanie do zapłaty, a w dniu 30 grudnia 2009 r. ostateczne wezwanie do zapłaty. W związku z brakiem spłaty przez wnioskodawcę zaległości, Bank 6 listopada 2010 r. wysłał do niego oświadczenie o wypowiedzeniu Umowy Karty Kredytowej. Następnie 9 marca 2011 r., w wyniku zgodnego działania stron, została zawarta Umowa Ugody numer [...], która 31 marca 2011 r. doprowadziła do zmiany ewidencji zobowiązania wynikającego z tytułu Umowy Karty Kredytowej [...]. Według wyjaśnień skarżącego Bank przetwarza dane osobowe wnioskodawcy (również z uwagi na posiadanie przez ww. innych produktów banku niż ww. karta kredytowa) w zakresie: imiona, nazwisko, PESEL, data urodzenia, miejsce urodzenia, kraj urodzenia, obywatelstwo, status rezydencji, imiona rodziców, nazwisko panieńskie matki, adres zamieszkania, telefon komórkowy, stan cywilny, płeć, dane dotyczące posiadanych produktów, dane finansowe, dane pozyskane w związku ze złożonymi przez wnioskodawcę reklamacjami oraz prowadzonymi postępowaniami mającymi na celu odzyskanie wierzytelności, numer CIF. Aktualnie Bank przetwarza dane osobowe wnioskodawcy, pozyskane w związku z Umową Karty Kredytowej nr [...], na podstawie art. 6 ust. 1 lit. f) rozporządzenia RODO, w celu realizowanym w ramach prawnie uzasadnionego interesu Banku, tj. w celu obrony przed ewentualnymi roszczeniami. Natomiast BIK przetwarza obecnie dane osobowe dotyczące wnioskodawcy w zakresie umowy karty kredytowej z 29 września 2006 r. Obecnie rachunek ten ma status rachunku zamkniętego i dane przetwarzane są w celu stosowania metod wewnętrznych oraz innych metod i modeli na podstawie art. 105a ust. 4 i 5 p.b. Zdaniem PUODO, skoro kwestionowane przez wnioskodawcę udostępnienie jego danych osobowych przez Bank na rzecz BIK nastąpiło w okresie obowiązywania ustawy o ochronie danych osobowych z 1997 r., do oceny zgodności z prawem tego procesu zastosowanie mają przepisy tej ustawy. Ponadto wobec faktu, że dane osobowe wnioskodawcy są nadal przetwarzane przez bank, zastosowanie w sprawie mają również przepisy rozporządzenia RODO, ponieważ organ musi ocenić, czy kwestionowany proces przetwarzania danych na dzień wydania decyzji administracyjnej jest zgodny z prawem. PUODO stwierdził, że w niniejszej sprawie zaistniała przesłanka bezprzedmiotowości postępowania, skutkująca jego umorzeniem na podstawie art. 105 § 1 k.p.a. Wskazał, że ze zgromadzonego w sprawie materiału dowodowego wynika bowiem, że Bank nie przetwarza obecnie w bazie BIK danych osobowych wnioskodawcy, dotyczących Umowy Karty Kredytowej o nr [...] w kwestionowany przez niego sposób tj. na podstawie art. 105a ust. 3 p.b. Obecnie dane osobowe ww. dotyczące Umowy Karty Kredytowej nr [...] przetwarzane są w celu stosowania metod wewnętrznych oraz innych metod i modeli na podstawie art. 105a ust. 4 i 5 p.b. Zatem kwestionowany przez wnioskodawcę proces przetwarzania jego danych osobowych nie istnieje. Ponadto ww. przyczyna bezprzedmiotowości powstała po wszczęciu postępowania, a przed jego zakończeniem. Organ ustalił też, iż aktualnie Bank przetwarza dane osobowe wnioskodawcy dotyczące Umowy Karty Kredytowej nr [...] na podstawie art. 6 ust. 1 lit. f rozporządzenia RODO w celu obrony przed ewentualnymi roszczeniami. Jednak zebrany w niniejszym postępowaniu materiał dowodowy nie wykazał, aby wnioskodawca wystąpił z jakimkolwiek roszczeniem wobec banku, które uzasadniałoby uprawnienie do zachowania i przetwarzania jego danych osobowych dla celów dowodowych w związku z dochodzeniem przez ww. tego roszczenia. Brak jest zatem spełnienia wskazywanej przez skarżącego przesłanki niezbędności do celów wynikających z prawnie usprawiedliwionych interesów, realizowanych przez administratora, odnośnie przetwarzania danych osobowych wnioskodawcy. Przesłanka z art. 6 ust 1 lit. f rozporządzenia RODO dotyczy sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia, potrzeba dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem. W związku z tym, że przeprowadzone postępowanie administracyjne nie wykazało, aby wnioskodawca skierował wobec banku jakiekolwiek roszczenie, PUODO stwierdził, iż skarżący przetwarza dane osobowe wnioskodawcy wyłącznie "na zapas", tj. aby zabezpieczyć się przed ewentualnym przyszłymi i niepewnymi roszczeniami wnioskodawcy. Zdaniem PUODO, przyjęcie odmiennej interpretacji ww. przepisów, skutkowałoby pozbawieniem wnioskodawcy ochrony na gruncie rozporządzenia RODO oraz ustawy o ochronie danych osobowych. Ponadto przyjęcie za prawidłowe stanowiska, iż przetwarzanie danych osobowych w celu uchylenia się od negatywnych skutków w przypadku zgłoszenia w przyszłości ewentualnego i nieokreślonego roszczenia, stanowi prawnie usprawiedliwiony cel w rozumieniu art. 6 ust. 1 lit. f rozporządzenia RODO, oznaczałoby, że dane osobowe wnioskodawcy mogą być przetwarzane przez Bank permanentnie, bez konieczności ich usunięcia. Teoretycznie możliwa jest sytuacja, w której wnioskodawca zwróciłby się do skarżącego z roszczeniem już po upływie terminu jego przedawnienia, zaś Bank uznałby, że przetwarzanie danych osobowych wnioskodawcy ma uzasadnienie w przesłance określonej art. 6 ust. 1 lit. f rozporządzenia RODO w celu realizacji prawa do obrony przed ewentualnym roszczeniem wnioskodawcy również po upływie ww. terminu. Zdaniem PUODO, brak jest też uzasadnienia dla przyjęcia, iż terminy dotyczące przedawnienia roszczeń, wynikających ze stosunków zobowiązaniowych, określają jednocześnie ramy czasowe, w których dane osobowe mogą być przetwarzane przez Bank. Przedawnienie roszczenia nie wywołuje skutków na gruncie ochrony danych osobowych, nie wpływa bowiem na fakt istnienia roszczenia, a powoduje jedynie zmianę w sferze zarzutów procesowych, w postaci możliwości podniesienia okoliczności przedawnienia w sporze sądowym. Okolicznością usprawiedliwiającą przetwarzanie danych osobowych w celu dochodzenia roszczeń jest sam fakt istnienia roszczenia oraz zamiar jego dochodzenia, nie jest nią natomiast zmiana w uprawnieniach procesowych podmiotu pozwanego. PUODO stwierdził, iż skoro brak jest sporu toczącego się między wnioskodawcą i skarżącym, dotyczącego stosunku zobowiązaniowego, brak jest celu uzasadniającego przetwarzanie ww. danych osobowych wnioskodawcy, w rozumieniu art. 6 ust. 1 lit. f rozporządzenia RODO. Wobec powyższego, kontynuowanie do chwili obecnej przetwarzania danych osobowych wnioskodawcy w celu ustalenia, dochodzenia lub obrony przed ewentualnymi, przyszłymi i niepewnymi roszczeniami, jest zbędne i niezgodne z obowiązującymi przepisami o ochronie danych osobowych. W związku z tym PUODO nakazał bankowi zaprzestania przetwarzania danych osobowych wnioskodawcy przetwarzanych w ww. celu. W skardze do Wojewódzkiego Sądu Administracyjnego w Warszawie (i jej uzupełnieniu) skarżący zaskarżył ww. decyzję w części dotyczącej punktu 2 (tj. nakazu zaprzestania przetwarzania przez Bank danych osobowych wnioskodawcy w zakresie wskazanym w tym punkcie decyzji). Wniósł o uchylenie zaskarżonej decyzji w części obejmującej punkt 2 oraz zasądzenie zwrotu kosztów postępowania. Zaskarżonej decyzji skarżący zarzucił naruszenie prawa materialnego, które miało wpływ na wynik sprawy, tj. art. 6 ust. 1 lit. f rozporządzenia RODO w zw. z art. 117, art. 118 i art. 119 ustawy z dnia 23 kwietnia 1964 r. - Kodeks cywilny (Dz.U. z 2019 r. poz. 1145 dalej: "k.c.") polegające na błędnej wykładni w postaci uznania przez organ, że przechowywanie danych dla celu obrony przed roszczeniami przez okres przedawnienia roszczeń, również w przypadku, gdy ani administrator ani osoba, której dane dotyczą nie zgłosiła roszczenia, nie stanowi prawnie uzasadnionego interesu banku w rozumieniu art. 6 ust. 1 lit. f rozporządzenia RODO. Uzasadniając złożoną skargę skarżący szczegółowo uzasadnił ww. zarzuty. W odpowiedzi na skargę PUODO wniósł o jej oddalenie, podtrzymując swoje dotychczasowe stanowisko wyrażone w uzasadnieniu zaskarżonej decyzji. Powołanym na wstępie wyrokiem Wojewódzki Sąd Administracyjny w Warszawie oddalił skargę na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2024 r., poz. 935 ze zm., dalej: "p.p.s.a."). Sąd I instancji wskazał, że aktualnie Bank przetwarza dane osobowe wnioskodawcy, pozyskane w związku z Umową Karty Kredytowej nr [...], na podstawie art. 6 ust. 1 lit. f) rozporządzenia RODO, w celu realizowanym w ramach prawnie uzasadnionego interesu banku, tj. w celu obrony przed ewentualnymi roszczeniami. Natomiast BIK przetwarza obecnie dane osobowe dotyczące wnioskodawcy w zakresie umowy karty kredytowej z 29 września 2006 r. Obecnie rachunek ten ma status rachunku zamkniętego i dane przetwarzane są w celu stosowania metod wewnętrznych oraz innych metod i modeli na podstawie art. 105a ust. 4 i 5 p.b. Sąd zwrócił uwagę, że jako podstawę aktualnego przetwarzania danych osobowych wnioskodawcy, Bank wskazał zabezpieczenie swoich interesów w przypadku ewentualnego dochodzenia przez wnioskodawcę ewentualnych roszczeń. W ocenie Sądu zebrany w toku postępowania administracyjnego materiał dowodowy nie wykazał, by wnioskodawca wystąpił wobec Banku z jakimkolwiek roszczeniem, które uprawniłoby Bank do zachowania i przetwarzania jego danych osobowych dla celów dowodowych w związku z dochodzeniem przez nich tego roszczenia. Gdyby natomiast (hipotetycznie) wnioskodawca wystąpił z roszczeniami do sądu powszechnego, musiałby podać wszystkie swoje dane osobowe, niezbędne do prowadzenia postępowania, określone w kodeksie postępowania cywilnego (dalej: "k.p.c."). W związku z powyższym Sąd I instancji stwierdził, że Bank, jako hipotetyczny pozwany, nie musi przechowywać tak daleko idących danych wnioskodawcy, jak ustalone w sprawie, na wypadek wystąpienia przez niego z ewentualnymi roszczeniami ("na zapas"), gdyż w potencjalnie wniesionym pozwie musiałyby one zostać przez wnioskodawcę podane, więc Bank miałby do nich pełny wgląd. Brak w pozwie tych danych wnioskodawcy musiałby zostać uzupełniony pod rygorem zwrotu pozwu (art.130 k.p.c.), wnioskodawca nie może więc uniknąć ich podania. W ocenie Sądu I instancji, PUODO prawidłowo uznał, że brak jest spełnienia wskazywanej przez Bank przesłanki niezbędności przetwarzania danych do celów, wynikających z prawnie usprawiedliwionych interesów, realizowanych przez administratora odnośnie przetwarzania skarżonych danych osobowych. Przesłanka z art. 6 ust 1 lit. f rozporządzenia RODO dotyczy sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych, przez administratora jest konieczność udowodnienia, potrzeba dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem. Sąd I instancji podkreślił, że w orzecznictwie sądów administracyjnych w odniesieniu do przesłanki analogicznej do art. 6 ust. 1 lit. f rozporządzenia RODO wynikającej z art. 23 ust. 1 pkt 5 uprzednio obowiązującej ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. 2016 r. poz. 922 ze zm.) wypracowane zostało stanowisko, że przetwarzanie danych winno być niezbędne dla wypełnienia prawnie usprawiedliwionych celów. W ocenie Sądu I instancji niedopuszczalne jest więc przetwarzanie danych osobowych niejako "na zapas" z założeniem, że mogą być one ewentualnie przydatne w przyszłości oraz z odwołaniem się przy tym do przepisów dotyczących przedawnienia roszczeń cywilnoprawnych. Zdaniem Sądu, przeciwna argumentacja prowadziłaby do absurdalnych wniosków, że banki są uprawnione dłużej przetwarzać dane osób, z którymi nie łączył je stosunek prawny, niż dane osób z którymi doszło do zawarcia umowy kredytowej, a w stosunku do których mają zastosowanie ograniczenia wynikające z art. 105a p.b. Zdaniem Sądu I instancji, odwoływanie się w tym wypadku do celów dowodowych na potrzeby ewentualnych postępowań cywilnych, karnych, czy też administracyjnych jakie klient mógłby potencjalnie wtoczyć bankowi na tle nieistniejącego miedzy stronami stosunku zobowiązaniowego, nie znajduje żadnego logicznego, ani prawnego uzasadnienia. Sąd podzielił stanowisko organu, że wskazana przez Bank podstawa nie uzasadnia przetwarzania danych osobowych wnioskodawcy, bowiem nie wystąpił on z żadnym roszczeniem wobec Banku. Tym samym przetwarzanie jego danych osobowych nie ma umocowania w przepisach prawa i nie jest niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez Bank, a w szczególności podjęcia obrony przed ewentualnymi reklamacjami lub roszczeniami odszkodowawczymi. W ocenie Sadu I instancji, niezasadny jest podniesiony w skardze zarzut, dotyczący naruszenia art. 6 pkt 1 lit. f rozporządzenia RODO w zw. z art. 117 § 2 i § 21, art. 118 i art. 119 k.c., bowiem PUODO prawidłowo wywiódł, że określona tym przepisem podstawa przetwarzania danych osobowych w niniejszej sprawie nie wystąpiła. Bank wywiódł skargę kasacyjną od powyższego wyroku zarzucając naruszenie: I. przepisów postępowania, które miało istotny wpływ na wynik sprawy, tj. 1. art. 134 § 1 p.p.s.a. w zw. z art. 135 p.p.s.a. w zw. z art. 145 § 1 pkt 2 p.p.s.a. oraz art. 61 § 1 k.p.a., 156 § 1 pkt 2 k.p.a., poprzez zaniechanie stwierdzenia nieważności pkt 2 decyzji PUODO z 20 lipca 2021 r., w sytuacji, gdy PUODO nakazując usunięcie danych osobowych wnioskodawcy przez Bank, wykroczył poza jego żądanie określone w piśmie inicjującym postępowanie w sprawie przed organem; w przypadku jego nieuwzględnienia powyższego zarzutu: 2. art. 151 p.p.s.a. w zw. z art. 8 § 2 k.p.a. oraz z art. 145 § 1 pkt 1 lit. c p.p.s.a. poprzez oddalenie skargi w sytuacji, w której organ naruszył art. 8 k.p.a. w stopniu, który mógł mieć istotny wpływ na wynik sprawy, poprzez odstąpienie przez organ bez uzasadnionej przyczyny od utrwalonej praktyki rozstrzygania spraw w takim samym stanie faktycznym i prawnym, co jednocześnie naruszyło zasadę prowadzenia postępowania w sposób budzący zaufanie jego uczestników do władzy publicznej, w związku z czym WSA w Warszawie powinien był uchylić zaskarżoną decyzję w części na podstawie art. 145 § 1 pkt. 1 lit. c p.p.s.a.; 3. art. 106 § 3 i 5 p.p.s.a. w zw. z art. 2352 § 2 k.p.c. polegające na niewydaniu postanowień o pominięciu następujących dowodów z dokumentów: a. decyzja GIODO z 13 maja 2014 r. nr DOLIS/DEC-457/14; b. decyzja PUODO z 20 marca 2019 r., znak: ZSPR.440.493.2019; c. decyzja PUODO z 22 czerwca 2020 r. znak: ZSPR.440.1251.2019; d. decyzja PUODO z września 2020 r., znak: ZWAD.440.194.2019; przy jednoczesnym nieprzeprowadzeniu tych dowodów, podczas gdy okoliczności objęte wnioskami dowodowymi miały istotne znaczenie dla przeprowadzenia kontroli legalności zaskarżonej decyzji PUODO, a ich przeprowadzenie i poprawna analiza doprowadziłby Sąd do wniosku, że organ bez uzasadnionej przyczyny odstąpił od utrwalonej praktyki rozstrzygania spraw w takim samym stanie faktycznym i prawnym (naruszenie art. 8 § 2 k.p.a.) i w konsekwencji do uchylenia zaskarżonej decyzji. II. prawa materialnego tj.: 1. art. 6 ust. 1 lit. f rozporządzenia RODO w zw. z art. 117 i art. 118 k.c. w zw. z art. 5 ust. 4 ustawy z dnia 13 kwietnia 2018 r. o zmianie ustawy - Kodeks cywilny oraz niektórych innych ustaw (Dz. U. 2018 poz. 1104) poprzez błędną wykładnię polegającą na uznaniu, że przetwarzanie danych osobowych wnioskodawcy przez Bank nie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów Banku oraz nie ma oparcia w art. 6 ust. 1 lit. f rozporządzenia RODO, podczas gdy przetwarzanie danych osobowych wnioskodawcy było niezbędne do celów obrony przed ewentualnymi roszczeniami oraz miało oparcie w art. 6 ust. 1 lit. f RODO; 2. art. 5 ust. 1 lit. c RODO poprzez jego niezastosowanie w zw. art. 117 k.c. i art. 118 k.c. w zw. z art. 5 ust. 4 ustawy z dnia 13 kwietnia 2018 r. o zmianie ustawy - Kodeks cywilny oraz niektórych innych ustaw (Dz. U. 2018 poz. 1104) poprzez ich błędną wykładnię polegającą na uznaniu, że zgłoszenie roszczenia wobec Banku jest elementem koniecznym dla uzasadnienia niezbędności przetwarzania danych Klienta, podczas gdy przetwarzanie danych osobowych Klienta było niezbędne do ustalenia i obrony przed ewentualnymi roszczeniami w okresie przedawnienia roszczeń wynikających z umowy między Klientem a Bankiem. Podnosząc powyższe zarzuty Bank wniósł o uchylenie zaskarżonego wyroku przez WSA w Warszawie w całości i rozstrzygnięcie sprawy co do istoty na podstawie art. 188 p.p.s.a., w tym poprzez stwierdzenie nieważności zaskarżonej decyzji w zakresie jej pkt 2 i umorzenie postępowania administracyjnego w tym zakresie, ewentualnie o uchylenie zaskarżonego wyroku w całości i przekazanie sprawy do ponownego rozpoznania oraz zasądzenie zwrotu kosztów postępowania według norm przepisanych. Skarżący kasacyjnie wniósł o rozpoznanie skargi kasacyjnej na rozprawie. Pismem z 26 września 2022 r. organ złożył odpowiedź na skargę kasacyjną wnosząc jej oddalenie. Naczelny Sąd Administracyjny zważył, co następuje. 1. Stosownie do art. 183 § 1 p.p.s.a., Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, biorąc pod rozwagę z urzędu jedynie nieważność postępowania. W rozpoznawanej sprawie nie zachodzi żadna z okoliczności skutkujących nieważnością postępowania, o jakich mowa w art. 183 § 2 p.p.s.a. i nie zachodzi żadna z przesłanek, o których mowa w art. 189 p.p.s.a., które Naczelny Sąd Administracyjny rozważa z urzędu dokonując kontroli zaskarżonego skargą kasacyjną wyroku. W tych okolicznościach w sprawie badaniu podlegały wyłącznie zarzuty podniesione w skardze kasacyjnej na uzasadnienie przytoczonych podstaw kasacyjnych. Rozpoznając sprawę Naczelny Sąd Administracyjny związany jest granicami skargi. Związanie granicami skargi oznacza związanie podstawami zaskarżenia wskazanymi w skardze kasacyjnej oraz jej wnioskami. Naczelny Sąd Administracyjny bada przy tym wszystkie podniesione przez stronę skarżącą kasacyjnie zarzuty naruszenia prawa (tak NSA w uchwale pełnego składu z 26 października 2009 r. sygn. akt I OPS 10/09, opubl. w ONSAiWSA 2010 z. 1 poz. 1). Zgodnie z art. 174 p.p.s.a. skargę kasacyjną można oprzeć na następujących podstawach: 1) naruszeniu prawa materialnego przez błędną jego wykładnię lub niewłaściwe zastosowanie, a także 2) naruszeniu przepisów postępowania, jeżeli uchybienie to mogło mieć istotny wpływ na wynik sprawy. Stosownie do art. 176 p.p.s.a. strona skarżąca kasacyjnie ma obowiązek przytoczyć podstawy skargi kasacyjnej wnoszonej od wyroku Sądu I instancji i szczegółowo je uzasadnić wskazując, które przepisy ustawy zostały naruszone, na czym to naruszenie polegało i jaki miało wpływ na wynik sprawy. Rola Naczelnego Sądu Administracyjnego w postępowaniu kasacyjnym ogranicza się do skontrolowania i zweryfikowania zarzutów wnoszącego skargę kasacyjną. Skarga kasacyjna jest niezasadna. 2. Istota sprawy sprowadza się do oceny zgodności z prawem wyroku Sądu I instancji, który oddalił skargę Banku na pkt 2 decyzji PUODO z 20 lipca 2021 r. w przedmiocie przetwarzania danych osobowych w zakresie nakazu zaprzestania przetwarzania przez Bank danych osobowych wnioskodawcy w sposób wskazany w decyzji. Bank przetwarzał bowiem dane osobowe wnioskodawcy pozyskane w związku z umową karty kredytowej (na podstawie art. 6 ust. 1 lit. f rozporządzenia RODO) w celu realizowanym w ramach "prawnie uzasadnionego interesu banku", tj. w celu obrony przed ewentualnymi roszczeniami. Natomiast BIK przetwarzał dane osobowe dotyczące wnioskodawcy w zakresie umowy karty kredytowej (a rachunek ten ma status rachunku zamkniętego i dane przetwarzane są w celu stosowania metod wewnętrznych oraz innych metod i modeli na podstawie art. 105a ust. 4 i 5 p.b.). 3. W ocenie NSA, skarga kasacyjna jest niezasadna i wszelkie zawarte w niej zarzuty wskazujące na naruszenie przez Sąd I instancji prawa procesowego oraz prawa materialnego są niezasadne z kilku zasadniczych powodów. Po pierwsze - sformułowany w skardze kasacyjnej przez Bank zarzut zaniechania przez Sąd I instancji stwierdzenia nieważności pkt 2 decyzji PUODO z 20 lipca 2021 r. w sytuacji, gdy organ nakazując Bankowi usunięcie danych osobowych skarżącego wykroczył poza żądanie określone przez skarżącego w piśmie inicjującym postępowanie w sprawie przed organem - jest całkowicie chybiony. Bank niezasadnie wywiódł, iż Sąd I instancji zobowiązany był dostrzec w realiach niniejszej sprawy przesłankę stwierdzenia nieważności zaskarżonego rozstrzygnięcia w postaci rażącego naruszenia prawa, tj. "rażącego" naruszenia art. 61 § 1 k.p.a. W niniejszej sprawie PUODO na mocy art. 61 § 1 k.p.a. związany był żądaniem wniesionym przez skarżącego. Organ jest związany żądaniem wniosku, który prowadzi do wszczęcia postępowania w sprawie, a jednocześnie określa przedmiot sprawy. Organ administracji nie jest w żadnym razie uprawniony do samodzielnego precyzowania treści żądania, mogłoby to bowiem prowadzić do niedopuszczalnej zmiany jego kwalifikacji prawnej, wbrew intencjom osoby wnoszącej podanie. Tylko strona określa przedmiot swego żądania, a tym samym i przedmiot postępowania, jego uszczegółowienie należy do strony, nie zaś do sfery ocennej organu administracji (por. wyrok NSA z 21 kwietnia 2023 r., sygn. akt I OSK 3279/19). Skarżący skierował do PUODO skargę, w której zakwestionował proces przetwarzania jego danych osobowych przez Bank (tj. jego legalność) w związku z konkretną umową oraz dodatkowo podniósł, że jego dane osobowe zostały w sposób nieprawidłowy przekazane przez Bank do BIK. Postępowanie w niniejszej sprawie toczyło się tym samym w ściśle określonym przedmiocie dotyczącym nieprawidłowości w procesie przetwarzania danych osobowych skarżącego, którego częścią było wskazane w skardze m.in. udostępnienie danych do innego podmiotu. Decyzja PUODO kończąca postępowanie w tej sprawie odnosiła się tym samym do całości żądania skarżącego i nie wykraczała poza jego granice. Tym samym nie sposób przyjąć, że spełniona została przesłanka z art. 156 ust. 1 pkt 2 k.p.a. (tj. wydano decyzję "bez podstawy prawnej" lub z "rażącym naruszeniem prawa"). Dla skuteczności zarzutu skargi kasacyjnej opartego na art. 134 § 1 p.p.s.a. należy wykazać, że Sąd I instancji, rozpoznając skargę, dokonał oceny pod względem zgodności z prawem innej sprawy (w znaczeniu przedmiotowym i podmiotowym) lub z przekroczeniem granic danej sprawy, a także w przypadku gdy powinien był wyjść poza granice zakreślone zarzutami i wnioskami skargi oraz powołaną w niej podstawą prawną, a tego nie uczynił, i że owo zaniechanie mogło mieć istotny wpływ na wynik sprawy, ale również wtedy, gdy strona w postępowaniu sądowym wskazywała na istotne dla sprawy uchybienia popełnione na etapie postępowania administracyjnego bądź powołała w postępowaniu sądowym dowody, które zostały przez sąd pominięte, względnie, gdy w postępowaniu administracyjnym popełniono uchybienia na tyle istotne, a przy tym oczywiste, iż bez względu na treść zarzutów Sąd nie powinien był przechodzić nad nimi do porządku. Taka sytuacja nie miała miejsca w niniejszym postępowaniu. Z kolei zarzut naruszenia art. 135 p.p.s.a. nie może być przedmiotem skutecznego zarzutu skargi kasacyjnej, ponieważ wspomniany przepis stanowi uprawnienie dla wojewódzkiego sądu administracyjnego do orzekania w granicach danej sprawy, a nie dla wnoszącego skargę na ściśle określony akt lub czynność organu administracji publicznej (por. wyrok NSA z 21 marca 2023 r., sygn. akt III OSK 1984/21). Po drugie – niezasadne jest również twierdzenie Banku, że "(...) istnieje utrwalona praktyka organu w sprawach o takim samym stanie faktycznym i prawnym, zgodnie z którą organ dopuścił możliwość przetwarzania danych osobowych na podstawie art. 6 ust. 1 lit. f rozporządzenia RODO, w celu obrony przed ewentualnymi roszczeniami przez okres ich przedawnienia". Tym samym, zdaniem NSA, zarzut zawarty w skardze kasacyjnej i wskazujący na naruszenie art. 151 p.p.s.a. w zw. z art. 8 § 2 k.p.a. oraz z art. 145 § 1 pkt 1 lit. c p.p.s.a. był niezasadny. Podkreślić trzeba, że każda sprawa, która została zainicjowana przed organem administracji publicznej ma swój indywidualny charakter i jest analizowana w kontekście ustaleń faktycznych i prawnych czynionych przez organ na potrzeby tej konkretnej sprawy. Zatem każda sprawa jest rozpatrywana przez organ indywidualnie, zaś każdy stan faktyczny i prawny weryfikowany osobno. Wskazać ponadto należy, że zgodnie z zasadą praworządności wyrażoną w art. 7 k.p.a. organy administracji publicznej powinny wydawać decyzję zgodnie z brzmieniem aktualnie obowiązujących przepisów prawa. Wbrew twierdzeniom Banku, aktualna praktyka orzecznicza organu zmierza w kierunku przeciwnym od wskazanego w skardze kasacyjnej. Aktualna praktyka PUODO w tym zakresie jest również podzielana przez sądy administracyjne, które wielokrotnie wskazywały, że Banki nie mogą przetwarzać danych osobowych na podstawie art. 6 ust. 1 lit. f rozporządzenia RODO w celu zabezpieczenia się przed ewentualnym przyszłymi i niepewnymi roszczeniami (por. wyrok NSA z 1 października 2025 r., sygn. akt III OSK 1877/22; wyrok NSA z 10 lipca 2025 r., sygn. akt III OSK 1594/22). W orzecznictwie podkreśla się, że zakres stosowania art. 6 ust. 1 lit. f RODO przesądza, że dopuszczalność przetwarzania danych osobowych na tej podstawie (tj. "niezbędność" takiego przetwarzania) powinna być oceniana wyłącznie kauzalnie, z uwzględnieniem, że zasadnicze znaczenie w tym przedmiocie powinny mieć uwarunkowania konkretnej relacji pomiędzy administratorem a osobą, której dotyczą przetwarzane dane. Po trzecie – bezzasadne są zarzuty Banku dotyczące nieprzeprowadzenia dowodu ze wskazanych w skardze kasacyjnej dokumentów oraz niewydania postanowienia o pominięciu dowodu i wskazujące na naruszenie art. 106 § 3 i § 5 p.p.s.a. w zw. z art. 235(2) § 2 k.p.a. Zakres postępowania dowodowego określony w ww. art. 106 § 3 p.p.s.a. w postępowaniu sądowoadministracyjnym jest dostosowany do funkcji tego postępowania, której celem jest ocena zgodności z prawem procesu zastosowania przez organy administracji publicznej norm prawa do określonego stanu faktycznego. Postępowanie dowodowe i dokonywanie w jego trakcie ustaleń faktycznych przez sąd administracyjny jest dopuszczalne jedynie w powyższym zakresie. Celem postępowania dowodowego prowadzonego przed sądem administracyjny jest jedynie ocena, czy organy prawidłowo ustaliły ten stan i czy prawidłowo zastosowały przepisy prawa materialnego do poczynionych ustaleń. To zaś oznacza, że postępowanie dowodowe przed sądem administracyjnym nie może zmierzać do rozpatrzenia sprawy, w tym ustalania nowego stanu faktycznego sprawy. W postępowaniu przed sądem administracyjnym strona nie może oczekiwać, iż sąd będzie prowadził postępowanie dowodowe i ustalał stan faktyczny sprawy (por. wyrok NSA z 15 października 2025 r., sygn. akt III OSK 2068/24). Dodatkowo należy pamiętać, że przeprowadzenie dowodu uzupełniającego z dokumentów jest możliwe, w świetle art. 106 § 3 p.p.s.a., jeżeli łącznie spełnione są dwa warunki, tj. jest to niezbędne do wyjaśnienia istotnych wątpliwości oraz nie spowoduje to nadmiernego przedłużenia postępowania w sprawie. W niniejszej sprawie z akt sprawy wynika, że na rozprawie przed Sądem I instancji w dniu 30 czerwca 2022 r. Bank cofnął wniosek o przeprowadzenie dowodu we wskazanym zakresie. Tym samym Sąd I instancji nie wydał rozstrzygnięcia o dopuszczeniu dowodu, bądź jego pominięciu. Zatem nie było potrzeby również oceniać, czy wskazane dowody były "niezbędne" i czy nie powodowały "nadmiernego przedłużenia postępowania w sprawie". Dopiero bowiem spełnienie tych przesłanek (traktowanych jako wyjątek od zasady) umożliwiało ewentualnie wykorzystanie wskazanych dokumentów w sprawie. Po czwarte – odnosząc się do zarzutów skargi kasacyjnej i wskazujących na naruszenia prawa materialnego, czyli art. 6 ust. 1 lit f rozporządzenia RODO w zw. z art. 117 k.c. i art. 118 k.c. w zw. z art. 5 ust. 4 ustawy z dnia 13 kwietnia 2018 r. o zmianie ustawy - Kodeks cywilny oraz niektórych innych ustaw (Dz. U. 2018 poz. 1104), oraz naruszenia art. 5 ust. 1 lit. c rozporządzenia RODO, uznać należy, że zarzuty te są całkowicie niezasadne. Zdaniem NSA, wskazany zakres art. 6 ust. 1 lit. f rozporządzenia RODO dotyczy bowiem sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia, potrzeba dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym (przyszłym i niepewnym) roszczeniem. Akceptacja przetwarzania danych osobowych "na zapas" z uwagi na niepewne przyszłe zdarzenie jakim jest ewentualne zgłoszenie roszczeń w przyszłości, doprowadziłoby do sytuacji w której podmioty finansowe mogłyby przetwarzać dane osobowe swoich klientów, bez konieczności ich usunięcia, nawet jeśli łączyłaby ich wcześniej jedynie krótkotrwale trwająca relacja umowna, czy też zobowiązaniowa. Taka interpretacja art. 6 ust. 1 lit. f RODO jest nieprawidłowa. Zgodnie z motywem 47 rozporządzenia RODO podstawą prawną przetwarzania mogą być prawnie "uzasadnione interesy" administratora, w tym administratora, któremu mogą zostać ujawnione dane osobowe, lub strony trzeciej, o ile w świetle rozsądnych oczekiwań osób, których dane dotyczą, opartych na ich powiązaniach z administratorem nadrzędne nie są interesy lub podstawowe prawa i wolności osoby, której dane dotyczą. Taki prawnie "uzasadniony interes" może istnieć na przykład w przypadkach, gdy zachodzi istotny i odpowiedni rodzaj powiązania między osobą, której dane dotyczą, a administratorem, na przykład gdy osoba, której dane dotyczą, jest klientem administratora lub działa na jego rzecz. Aby stwierdzić istnienie prawnie "uzasadnionego interesu", należy w każdym przypadku przeprowadzić dokładną ocenę, w tym ocenę tego, czy w czasie i w kontekście, w którym zbierane są dane osobowe, osoba, której dane dotyczą, może spodziewać się, że jej dane będą przetwarzanie również w tym celu. Zatem nie można przyjąć, że "uzasadnionym interesem" administratora (o którym mowa w art. 6 ust. 1 lit. f rozporządzenia RODO oraz w motywie 47 rozporządzenia RODO) jest każdy interes. W ocenie NSA, w niniejszej sprawie występuje interes skarżącego wymagający ochrony danych osobowych, który przeważa nad interesem Banku, który ma aktualnie charakter wyłącznie hipotetyczny i jedynie domniemany. Dodatkowo należy wskazać, że przesłanka określona w art. 6 ust. 1 lit. f rozporządzenia RODO nie jest ukierunkowana na pełną ochronę interesów sektora gospodarczego (finansowego), ale uzależniona jest od tego, czy przetwarzanie to jest "niezbędne" do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą. Regulacja ta nie odnosi się zatem do ochrony wszelkich interesów sektora gospodarczego (finansowego). Przede wszystkim ma za zadanie chronić osoby, których proces ten dotyczy przed nieuprawnionym przetwarzaniem ich danych osobowych. Nie można twierdzić, że przetwarzanie danych osobowych "na wszelki wypadek", czy "na zapas" lub w odniesieniu do "ewentualnych i potencjalnych roszczeń" stanowi "uzasadniony interes" Banku. Każdej osobie przysługuje własne indywidualne prawo do prywatności, chroniące prywatną sferę tej osoby i uprawniające ją do samodzielnego decydowania o ujawnieniu informacji pochodzących z tej sfery (por. wyrok SN z 26 maja 2017 r., sygn. akt I CSK 557/16). W wyroku NSA z 8 stycznia 2025 r. (sygn. akt III OSK 4868/21) trafnie wskazano, że przetwarzanie danych osobowych byłych klientów przez Banki do celów dochodzenia ewentualnych roszczeń, bądź obrony przed nimi, nie znajduje oparcia w przepisach rozporządzenia RODO, w tym w art. 6 ust. 1 lit. f. Niedopuszczalne jest więc przetwarzanie danych osobowych niejako "na zapas" z założeniem, że mogą być one ewentualnie przydatne w przyszłości. NSA w składzie niniejszym w pełni podziela wskazaną tezę, ale teza taka powinna być weryfikowana zawsze w odniesieniu do konkretnego przypadku. Po piąte - zebrany w niniejszym postępowaniu materiał dowodowy nie wykazał, aby skarżący wystąpił z jakimkolwiek roszczeniem wobec Banku, które uzasadniałoby uprawnienie tego Banku do zachowania i przetwarzania jego danych osobowych dla celów dowodowych w związku z dochodzeniem przez skarżącego roszczenia. Zatem brak jest w niniejszej sprawie spełnienia wskazywanej przez Bank przesłanki "niezbędności" do celów wynikających z prawnie usprawiedliwionych interesów realizowanych przez administratora odnośnie do przetwarzania danych osobowych skarżącego. Przeprowadzone przez organ postępowanie administracyjne nie wykazało, aby skarżący skierował wobec Banku jakiekolwiek roszczenie. Bank również takich danych nie przedstawił. Tym samym przetwarzanie jego danych osobowych nie ma umocowania w przepisach prawa i nie jest niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez Bank, a w szczególności podjęcia obrony przed ewentualnymi reklamacjami lub roszczeniami odszkodowawczymi. Zasadnie również Sąd I instancji wskazał w uzasadnieniu wyroku (s. 10-11), że "(...) gdyby natomiast (hipotetycznie) wnioskodawca wystąpił z roszczeniami do sądu powszechnego, musiałby podać wszystkie swoje dane osobowe, niezbędne do prowadzenia postępowania, określone w kodeksie postępowania cywilnego. (...) Przepis art. 126 § 1 k.p.c. stanowi, że każde pismo procesowe powinno zawierać (...). Bank, jako hipotetyczny pozwany, nie musi więc przechowywać tak daleko idących danych wnioskodawcy, jak ustalone w sprawie, na wypadek wystąpienia przez niego z ewentualnymi roszczeniami ("na zapas"), gdyż w potencjalnie wniesionym pozwie musiałyby one zostać przez wnioskodawcę podane, więc Bank miałby do nich pełny wgląd. Brak w pozwie tych danych wnioskodawcy musiałby zostać uzupełniony pod rygorem zwrotu pozwu (art. 130 k.p.c.), wnioskodawca nie może więc uniknąć ich podania". Zatem przetwarzanie danych osobowych skarżącego przez Bank odbywało się w niniejszej sprawie wyłącznie "na zapas" czy też "na wszelki wypadek" aby zabezpieczyć się przed ewentualnym przyszłymi i niepewnymi jego roszczeniami. Tym samym przetwarzanie danych osobowych wnioskodawcy nie miało umocowania w przepisach prawa i nie było niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez Bank. 4.Z tych względów i na podstawie art. 184 p.p.s.a. Naczelny Sąd Administracyjny orzekł jak w sentencji wyroku. O kosztach postępowania sądowego Naczelny Sąd Administracyjny orzekł na podstawie art. 204 pkt 1 p.p.s.a. oraz art. 205 § 2 p.p.s.a. ----------------------- # 16