Decyzja

Na podstawie art. 104 § 1, art. 105 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2021 r. poz. 735 ze zm.), w zw. z art. 7 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (t. j. Dz. U. z 2019 r. poz. 1781) oraz na podstawie art. 6 ust. 1 i art. 58 ust. 2 lit. b, c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dziennik Urzędowy Unii Europejskiej, L 119, 4 maja 2016, str. 1,  Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35) w zw. z art. 105a ust. 3 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz. U. z 2021 r. poz. 2439), po przeprowadzeniu postępowania administracyjnego w sprawie skargi Pani XY zamieszkałej w miejscowości (…), na nieprawidłowości w procesie przetwarzania jej danych osobowych przez C. S.A. z siedzibą w Z. przy (…), polegające na udostępnieniu danych osobowych w bazie A. S.A. z siedzibą w X. przy ul. (…) i w bazie S prowadzonej przez B. z siedzibą w Y, ul. (…), bez podstawy prawnej, Prezes Urzędu Ochrony Danych Osobowych

1.     nakazuje C. S.A. z siedzibą w Z. przy ul. (…),  zaprzestanie przetwarzania na podstawie art. 105a ust. 3 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz. U. z 2021 r. poz. 2439) danych osobowych Pani XY zamieszkałej w miejscowości (…) w zakresie danych dotyczących  umowy o przyznanie limitu kredytowego i wydanie (…) nr (…) z dnia (…) grudnia 2013 r., przetwarzanych w bazie A. S.A. z siedzibą w X. przy (…) w celu oceny zdolności kredytowej i analizy ryzyka kredytowego;

2.     udziela C. S.A. z siedzibą w X. przy ul. (…),  upomnienia za naruszenie art. 6 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dziennik Urzędowy Unii Europejskiej, L 119, 4 maja 2016, str. 1,  Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35) polegające na przetwarzaniu danych osobowych Pani XY zamieszkałej w miejscowości (…) w zakresie danych dotyczących  umowyo kredyt gotówkowy nr (…) z dnia (…) sierpnia 2013 r. w systemie S. S.A. z siedzibą w Y. przy (…) w celu oceny zdolności kredytowej i analizy ryzyka kredytowego w okresie od dnia (…) marca 2019 r. do dnia (…) czerwca 2021 r.;

3.     w pozostałym zakresie umarza postępowanie.

Uzasadnienie

Do Prezesa Urzędu Ochrony Danych Osobowych, zwanego dalej także Prezesem UODO, wpłynęła skarga Pani XY. zamieszkałej w miejscowości (…) (zwanej dalej: Skarżącą), na nieprawidłowości w procesie przetwarzania jej danych osobowych przez C. S.A. z siedzibą w Z. przy (…), (zwaną dalej Bankiem) polegające na udostępnieniu danych osobowych Skarżącej w bazie A. S.A. z siedzibą w X. przy (…) (zwanej dalej A) i w bazie S prowadzonej przez B. z siedzibą w Y, ul. (…) (zwany dalej S) bez podstawy prawnej.

W toku prowadzonego postępowania administracyjnego, Prezes Urzędu Ochrony Danych Osobowych ustalił następujący stan faktyczny.

1. Skarżąca w treści skargi wskazała, że Bank nie spełnił wymagań uprawniających go do rozpoczęcia przetwarzania jej danych osobowych w bazie A w związku z wierzytelnością wynikającą z umowy o kredyt z dnia (…) sierpnia 2013 r. oraz umową o przyznanie karty kredytowej z dnia (…) grudnia 2013 r. zawartych przez Skarżącą z Bankiem, ponieważ Skarżąca w dniu (…) marca 2020 r. odwołała zgodę na przetwarzanie jej danych osobowych w A i S, zaś Bank nie spełnił łącznie wszystkich warunków z art. 105a ust. 3 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz. U. z 2021 r. poz. 2439), zwanej dalej Prawem bankowym, tzn. Bank nigdy nie powiadomił Skarżącej o zamiarze przetwarzania jej danych osobowych bez jej zgody w bazie A (pismo Skarżącej z dnia (…) listopada 2020 r.) 
2. Bank wskazał, że dane osobowe Skarżącej zostały pozyskane w wyniku zawarcia umowy o kredyt gotówkowy nr (…) z dnia (…) sierpnia 2013 r., zwanej dalej: Umową 1, oraz umowy o przyznanie limitu kredytowego i wydanie karty C. nr (…) z dnia (…) grudnia 2013 r., zwanej dalej Umową 2. W związku z zawartymi umowami Bank pozyskał dane identyfikacyjne, dane adresowe, dane finansowe oraz dane kontaktowe Skarżącej. (dowód: wyjaśnienia Banku z dnia (…) stycznia 2021 r. ).
3. Bank wskazał, że w związku z zaległościami w spłacie rat kredytu, Bank wysłał do Skarżącej pismem z dnia (…) czerwca 2014 r., wypowiedzenie Umowy 1 wraz z informacją o zamiarze przetwarzania danych Skarżącej na podstawie art. 105a ust. 3 Prawa bankowego. W związku z zaległościami w spłacie rat kredytu wynikającymi z Umowy 2 Bank w dniu (…) czerwca 2014 r. wysłał również pismo o wypowiedzeniu Umowy2 i zamiarze przetwarzania danych Skarżącej na podstawie art. 105a ust.3 Prawa bankowego. Ostatecznie Umowa1 została spłacona w dniu (…) czerwca 2016 r., natomiast Umowa 2 w dniu (…) sierpnia 2020 r. Dane osobowe Skarżącej (dane identyfikacyjne, dane adresowe) zostały przekazane do A na podstawie art. 105 ust. 4 Prawa bankowego z chwilą zawarcia Umów kredytowych. Bank nie przekazał danych osobowych Skarżącej do B. (dowód: wyjaśnienia Banku z dnia (…) stycznia 2021 r. ).
4. Przetwarzanie przez A danych dotyczących umów Skarżącej w oparciu o art. 105a ust. 3 Prawa bankowego rozpoczęło się z chwilą wygaśnięcia zobowiązań Skarżącej, tj. dla Umowy1 w dniu (…) czerwca 2016 r., natomiast dla Umowy2 zobowiązanie wygasło w dniu (…) sierpnia 2019 r. i od tego momentu dane są przetwarzane na podstawie art. 105a ust. 3 Prawa bankowego (dowód: odpowiedź Banku z dnia (…) marca 2021 r.).
5. Bank zawarł z A umowę powierzenia, na podstawie której A przetwarza dane osobowe klientów Banku, przekazane przez Bank (dowód: umowa z dnia (…) sierpnia 2016 r. w sprawie gromadzenia, przetwarzania i udostępniania informacji w bazie A (dowód: odpowiedź Banku z dnia (…) marca 2021 r.)
6. Obecnie A przetwarza dane Skarżącej przekazane przez Bank w zakresie Umowy1, wprowadzonej do zbioru danych A w dniu (…) września 2013 r. oraz Umowy 2, wprowadzonej do zbioru danych A w dniu (…) stycznia 2014 r. Umowa z dnia (…) sierpnia 2013 r. nr (…) przetwarzana jest na podstawie  art. 105a ust. 4 i 5 w zw. z art. 105 ust. 4 Prawa bankowego w celu stosowania metod wewnętrznych oraz innych metod i modeli. Dane Skarżącej będą przetwarzane przez okres 12 lat od dnia wygaśnięcia zobowiązania. Umowa z dnia (…) grudnia 2013 r. nr (…) wprowadzona do zbioru danych A w dniu (…) stycznia 2014 r. ma status rachunku odzyskanego i przetwarzana jest w celu oceny zdolności kredytowej i analizy ryzyka kredytowego na podstawie art. 105a ust. 3 w zw. z art. 105 ust. 4 ustawy Prawo bankowe.  (dowód: wyjaśnienia A z dnia (…) maja 2021 r oraz z dnia (…) października 2021 r.).
7. S. wyjaśnił, że nie przetwarza w Systemie S danych Skarżącej (wyjaśnienia S. z dnia (…) lutego 2021 r.)   

Po zapoznaniu się z całością zgromadzonego w sprawie materiału dowodowego, Prezes Urzędu Ochrony Danych Osobowych zważył, co następuje.

W pierwszej kolejności należy wskazać, że przepisem uprawniającym administratorów danych do przetwarzania zwykłych danych osób fizycznych jest art. 6 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dziennik Urzędowy Unii Europejskiej, L 119, 4 maja 2016, str. 1,  Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35), zwanego dalej RODO, zgodnie z którym, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy spełniona jest jedna z przesłanek wskazanych w tym przepisie. Katalog przesłanek wymienionych w art. 6 ust. 1 RODO, jest zamknięty. Każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny.

Co do zasady podstawą prawną przetwarzania danych osobowych klientów przez Bank w A może być obecnie art. 6 ust. 1 f RODO, o ile przetwarzanie to jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora. Wskazania ponadto wymaga, że przetwarzanie danych osobowych klientów Banku przez A odbywa się na podstawie zawartej z Bankiem umowy umowa z dnia (…) sierpnia 2016 r. w sprawie gromadzenia, przetwarzania i udostępniania informacji w bazie A.

Wskazać należy że A jest instytucją utworzoną na podstawie art. 105 ust. 4 Prawa bankowego, który stanowi, że banki mogą, wspólnie z bankowymi izbami gospodarczymi, utworzyć instytucje upoważnione do gromadzenia, przetwarzania i udostępniania bankom informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013, innym instytucjom ustawowo upoważnionym do udzielania kredytów informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są niezbędne w związku z udzielaniem kredytów, pożyczek pieniężnych, gwarancji bankowych i poręczeń (pkt 2), instytucjom kredytowym informacji stanowiących tajemnicę bankową w zakresie niezbędnym do oceny zdolności kredytowej konsumenta, o której mowa w art. 9 ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim (pkt 3), (Dz. U. z 2019 r. poz. 1083 ze zm.), zwanej dalej ustawą o kredycie, instytucjom pożyczkowym i podmiotom, o których mowa w art. 59d ustawy o kredycie na zasadzie wzajemności, informacji stanowiących odpowiednio tajemnice bankową oraz informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy o kredycie, w zakresie niezbędnym do oceny zdolności kredytowej konsumenta, o której mowa w art. 9 tej ustawy, i analizy ryzyka kredytowego (pkt 4).

Zgodnie z art. 105a ust. 1 Prawa bankowego, przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów, instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy o kredycie, a także instytucje utworzone na podstawie art. 105 ust. 4, informacji stanowiących tajemnicę bankową i informacji udostępnionych przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy o kredycie, w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem art. 104, 105 i art. 106 – 106d Prawa bankowego, w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Zgodnie zaś z art. 105a ust. 3 Prawa bankowego banki, instytucje oraz podmioty, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową i informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy o kredycie, dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy o kredycie, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy o kredycie, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank, inną instytucję ustawowo upoważnioną do udzielania kredytów, instytucję pożyczkową albo podmiot, o którym mowa w art. 59d ustawy o kredycie o zamiarze przetwarzania dotyczących jej informacji, bez jej zgody.

Istotnym w niniejszej sprawie jest to, że Bank nie spełnił wobec Skarżącej obowiązku określonego w art. 105a ust. 3 Prawa bankowego, tj. nie poinformował jej skutecznie o zamiarze przetwarzania dotyczących jej informacji stanowiących tajemnicę bankową, bez jej zgody po wygaśnięciu zobowiązania wynikającego z przedmiotowych umów. Stwierdzić należy, że sam fakt, iż Skarżąca nie wykonała zobowiązania lub spóźniła się z jego wykonaniem co najmniej 60 dni, nie upoważnia Banku do przetwarzania jej danych na warunkach określonych w art. 105a ust. 3 Prawa bankowego. Moment, od którego należy liczyć sześćdziesięciodniowy termin, w którym konsument dopuszcza się zwłoki w wykonaniu zobowiązania, to termin wykonania zobowiązania. Dopiero po upływie 60 dni zaczyna biec termin 30 dni. Termin 30 dni biegnie od momentu, w którym konsument zostanie skutecznie poinformowany przez instytucję o zamiarze przetwarzania. Ostatecznie to upływ 30 dni od momentu poinformowania stanowi wypełnienie przesłanek z art. 105a ust. 3 Prawa bankowego. Z powyższego wynika zatem, iż Bank przetwarzając dane Skarżącej na warunkach określonych w ww. przepisie, musi wykazać, że Skarżąca została poinformowana o zamiarze przetwarzania ich bez jej zgody. W niniejszej sprawie Skarżąca podniosła natomiast, że okoliczności wskazywane w art. 105a pkt 3 Prawa bankowego nie zostały spełnione, w związku z czym Bank nie jest uprawniony do przetwarzania jej danych osobowych w A. Bank podniósł natomiast, że ww. przesłanki, w tym poinformowanie Skarżącej o okolicznościach wskazanych w art. 105a ust. 3 Prawa bankowego zostały spełnione. Podkreślenia wymaga, że brak jest innych dowodów wskazujących na prawidłowe i skuteczne poinformowanie Skarżącej o treści 105a ust. 3 Prawa bankowego niż oświadczenie Banku, pozostające w sprzeczności z twierdzeniami Skarżącej.

Jak wynika ze zgromadzonego materiału dowodowego Skarżąca dopuściła się zwłoki w spłacie zobowiązań wobec Banku wynikających z Umowy 1 i Umowy 2. Bank nie przedstawił jednakże dowodu na prawidłowe doręczenie Skarżącej dokumentu, w treści którego zawarta była informacja o okolicznościach wskazanych w art. 105a ust. 3 Prawa bankowego, zatem okoliczność skutecznego poinformowania Skarżącej o treści art. 105a ust. 3 Prawa bankowego nie może zostać uznana za udowodnioną. Dodatkowo należy podkreślić, że sporządzenie i wysłanie ww. pisma, nie jest równoznaczne z udowodnieniem jego prawidłowego doręczenia, skutkującego poinformowaniem Skarżącej o zamiarze przetwarzania danych stanowiących tajemnicę bankową, bez jej zgody na podstawie art. 105a ust. 3 Prawa bankowego. Samo oświadczenie o wysłaniu korespondencji i przedstawienie kopii listy wysyłkowej nie stanowi dowodu na jej dostarczenie lub poinformowanie o jej treści adresata. W tym miejscu należy wskazać, że przepisy powszechnie obowiązujące nie formułują obowiązku wysłania informacji, o której mowa w art. 105a ust. 3 Prawa bankowego w szczególnej formie. To do podmiotu informującego należy zatem wybór formy przekazania odbiorcy komunikatu, o zamiarze przetwarzania danych osobowych bez jego zgody. Jednocześnie to podmiot informujący wywodzi z powyższego skutki prawne, zatem to on musi wykazać, że poinformował Skarżącą o zamiarze przetwarzania danych stanowiących tajemnicę bankową, bez jej zgody na podstawie art. 105a ust. 3 Prawa bankowego.

Powyższe stanowisko organu znajduje oparcie w wyroku Wojewódzkiego Sądu Administracyjnego z dnia 15 marca 2017 r., sygn. akt II SA/Wa 1695/16, zgodnie z którym cyt.: „ (…) samo potwierdzenie komputerowe w prawym górnym rogu pism "PRZESYŁKA NIESTEMPLOWANA, Data nadania 2015 - 08 - 07", nie stanowi potwierdzenia wysłania pism. Także zrzut ekranu komputerowego ww. aplikacji, z uwagi na "zakodowany" system zgromadzonych tam danych, bez głębszej analizy specjalistycznej (z zakresu informatyki), nie przedstawia wiarygodnego dowodu, iż poza wygenerowaniem przedmiotowych pism w istocie doszło do ich wysłania skarżącej. (…) Słuszne jest wprawdzie twierdzenie, że żaden przepis ustawy Prawo bankowe nie wymaga aby obowiązek informacyjny, o którym mowa w art. 105a ust. 3 tej ustawy, był realizowany przy pomocy przesyłek rejestrowanych - listów poleconych. Podkreślić jednak należy, iż w przypadku sporu ciężar dowodu doręczenia pisma spoczywa na stronie spełniającej obowiązek informacyjny. (…) Wprawdzie w toku postępowania administracyjnego organ orzekający ocenił przedstawione przez Bank dokumenty, ale nie wynika z nich realizacja przez Bank (...) w stosunku do skarżącej obowiązku informacyjnego (wysłania, a nie tylko wygenerowania pism)”. Jeśli więc oświadczenie zostało posłane adresatowi listem albo innym sposobem porozumiewania się na odległość, składający powinien wykazać np. za pomocą zwrotnego poświadczenia odbioru, że list (telegram) został adresatowi doręczony.

Podzielając powyższe rozważania raz jeszcze podkreślić należy, że w niniejszej sprawie nie zostały spełnione przesłanki z art. 105a ust 3 Prawa bankowego, zgodnie z którym Bank może przetwarzać informacje stanowiące tajemnicę bankową dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy bez ich zgody w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Prezes Urzędu Ochrony Danych Osobowych, w toku prowadzonego postępowania administracyjnego, również nie stwierdził okoliczności uprawniających Bank do przetwarzania danych osobowych Skarżącej w oparciu o ww. podstawę prawną w powyższym celu. Dlatego też korzystając z uprawnienia przewidzianego w art. 58 ust. 2 lit. c RODO, Prezes UODO nakazał Bankowi  zaprzestanie przetwarzania na podstawie art. 105a ust. 3 Prawa bankowego danych osobowych Skarżącej w A w celu oceny zdolności kredytowej i analizy ryzyka kredytowego w zakresie danych dotyczących  umowy o przyznanie limitu kredytowego i wydanie karty C. nr (…) z dnia (…) grudnia 2013 r. Jak wyjaśnił Bank zobowiązanie wynikające z powyższej umowy wygasło (…) sierpnia 2019 r. i od tego momentu dane osobowe związane w ww. umową przetwarzane są na podstawie art. 105 a ust. 3 Prawa bankowego.

W odniesieniu natomiast do danych związanych z umową o kredyt gotówkowy nr (…) z dnia (…) sierpnia 2013 r. wskazać należy, że aktualnie proces ich przetwarzania odbywa się na podstawie art. 105a ust. 4 Prawa bankowego. Bank wskazał, że zobowiązanie wynikające z powyższej umowy wygasło w dniu (…) czerwca 2016 r. i od tego momentu dane z nią związane były przetwarzane w A na podstawie art. 105a ust. 3 Prawa bankowego. A wyjaśnił, że aktualnie dane nie są już przetwarzane w celu oceny zdolności kredytowej i ryzyka kredytowego, lecz w do celów stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013. Dane dotyczące ww. umowy aktualnie przetwarzane są zatem na podst. art. 105 a ust. 4 prawa bankowego, zgodnie z którym banki oraz instytucje, o których mowa w art. 105 ust. 4, mogą przetwarzać stanowiące tajemnicę bankową informacje dotyczące osoby fizycznej po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której informacje dotyczą, do celów stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013. Wskazać należy zatem, że aktualny proces przetwarzania danych osobowych związanych z umową kredyt gotówkowy nr (…) z dnia (…) sierpnia 2013 r., nie jest uzależniony od dodatkowych wymogów, takich jak w przypadku procesu odbywającego się na podstawie art. 105a ust. 3 Prawa bankowego, nie jest ponadto uzależniony od zgody Skarżącej, a tym samym jego kontynuowanie znajduje uzasadnienie w przesłance z art. 6 ust. 1 lit. f RODO.

Organ dostrzegł jednakże, że w okresie od dnia (…) marca 2019 r., tj. od momentu, w którym Skarżąca wycofała zgodę na przetwarzanie jej danych przez Bank po wygaśnięciu zobowiązania do dnia (…) czerwca 2021 r., w którym to dniu upłynął termin przetwarzania wynikający z art. 105a ust. 3 w zw. z art. 105a ust. 5 Prawa bankowego, dane osobowe Skarżącej dotyczące umowyo kredyt gotówkowy nr (…) z dnia (…) sierpnia 2013 r., były przetwarzane w celu oceny zdolności kredytowej i analizy ryzyka kredytowego nieprawidłowo, w sposób sprzeczny z wymogami przewidzianymi w art. 105a ust. 3 Prawa bankowego. W zakresie stwierdzonych nieprawidłowości, organ korzystając z uprawnienia, o którym mowa w art. 58 ust. 2 lit. b RODO, udzielił Bankowi upomnienia.  

Ponadto w toku prowadzonego postępowania wyjaśniającego ustalono, że Bank nie przekazał danych osobowych Skarżącej do B. Dane osobowe Skarżącej nie były zatem przetwarzane w systemie S, prowadzonym przez B i w tym zakresie postępowanie należało uznać za bezprzedmiotowe.

Zgodnie z brzmieniem art. 105 § 1 ustawy z dnia 14 czerwca 1960 roku Kodeks postępowania administracyjnego (Dz. U. z 2021 r., poz. 735), zwanej dalej Kpa, gdy postępowanie z jakiejkolwiek przyczyny stało się bezprzedmiotowe w całości albo w części, organ administracji publicznej wydaje decyzję o umorzeniu postępowania odpowiednio w całości albo w części.

Podzielić należy wskazywany w doktrynie pogląd, że cyt.: „bezprzedmiotowość postępowania administracyjnego, o której stanowi art. 105 § 1 Kpa, oznacza, że brak jest któregoś z elementów materialnego stosunku prawnego, a wobec tego nie można wydać decyzji załatwiającej sprawę przez rozstrzygnięcie jej co do istoty. Przesłanka umorzenia postępowania może istnieć jeszcze przed wszczęciem postępowania, co zostanie ujawnione dopiero w toczącym się postępowaniu, a może ona powstać także w czasie trwania postępowania, a więc w sprawie już zawisłej przed organem administracyjnym.” (B. Adamiak, J. Borkowski, Kodeks postępowania administracyjnego. Komentarz, C.H.Beck, Warszawa 2006, s. 489). Ustalenie przez organ publiczny zaistnienia przesłanki, o której mowa w art. 105 § 1 Kpa, zobowiązuje go, jak podkreśla się w doktrynie do umorzenia postępowania, nie ma bowiem w sytuacji zaistnienia tej przesłanki podstaw do rozstrzygnięcia sprawy co do istoty, a dalsze prowadzenie postępowania w takim przypadku stanowiłoby o jego wadliwości, mającej istotny wpływ na wynik sprawy. Bezprzedmiotowość postępowania może być także wynikiem zmiany stanu faktycznego sprawy. Zgodnie, bowiem z brzmieniem art. 105 § 1 Kpa, gdy postępowanie z jakiejkolwiek przyczyny stało się bezprzedmiotowe w całości albo w części, organ administracji publicznej wydaje decyzję o umorzeniu postępowania odpowiednio w całości albo w części. Jak wskazał Wojewódzki Sąd Administracyjny w Warszawie cyt.: „bezprzedmiotowość postępowania administracyjnego to brak przedmiotu postępowania. Tym przedmiotem jest zaś konkretna sprawa, w której organ administracji państwowej jest władny i jednocześnie zobowiązany rozstrzygnąć na podstawie przepisów prawa materialnego o uprawnieniach lub obowiązkach indywidualnego podmiotu” (wyrok z dnia 5 października 2017 r. sygn. akt VI SA/Wa 1093/17).

W niniejszej sprawie, podzielając stanowisko wyrażone w przytoczonym powyżej wyroku sądu należy stwierdzić, że zaistniała przesłanka bezprzedmiotowości postępowania i umorzenia postępowania w oparciu o art. 105 § 1 Kpa w zakresie wskazanego w treści skargi procesu przetwarzania danych osobowych Skarżącej w rejestrze prowadzonym przez B. Jak wynika bowiem z materiału dowodowego zebranego w sprawie Bank nie przekazał danych osobowych Skarżącej do B i tym samym podmiot ten nigdy nie przetwarzał danych osobowych w sposób wskazany w treści skargi. Kwestionowany zatem przez Skarżącą proces przetwarzania danych osobowych w powyższym zakresie nie istnieje.

W tym stanie faktycznym i prawnym, Prezes Urzędu Ochrony Danych Osobowych rozstrzygnął, jak w sentencji.