Stan faktyczny
E.J. zwróciła się do Prezesa Urzędu Ochrony Danych Osobowych (dalej: Prezes UODO) o stwierdzenie nieprawidłowości w procesie przetwarzania jej danych osobowych przez Bank „T.” S.A. (dalej: Bank) i radcę prawnego K.L. We wniosku podkreśliła, że choć jest klientką Banku, to nie prowadzi z nim żadnych sporów prawnych, a K.L. nie występuje jako pełnomocnik Banku. Pomimo tego Bank przekazał K.L. dane klientki, m.in. adres IP komputera, imię, nazwisko, PESEL, adres, numer dowodu osobistego. Zdaniem E.J. radca prawny wykorzystuje jej dane do zasilania systemów antyfraudowych.
Bank oraz K.L. wyjaśnili, że zawarli umowę o świadczenie usług, w ramach której radca prawny zobowiązał się do wsparcia prawnego Banku w zakresie ochrony danych osobowych. W celu jej realizacji strony zawarły umowę powierzenia przetwarzania danych, na podstawie której doszło do przekazania danych E.J. Klientka zwróciła się bowiem o udzielenie informacji o kategoriach i zakresie przetwarzanych danych osobowych, zgodnie z art. 15 RODO. Bank przygotował projekt odpowiedzi, który zawierał informacje o posiadanych przez E.J. produktach bankowych i jej dane osobowe, w tym adres IP komputera, z którego korzysta z usług bankowości elektronicznej. Projekt pisma został przekazany do konsultacji K.L. Bank jako podstawę prawną przekazania danych osobowych skarżącej na rzecz K.L. wskazał art. 104 ust. 2 pkt 3 PrBank i art. 6 ust. 1 lit. f RODO.
Prezes UODO odmówił uwzględnienia wniosku E.J. Podstawą zawarcia przez Bank i K.L. umowy powierzenia przetwarzania danych, zawierającej wszystkie niezbędne elementy z art. 28 ust. 3 RODO, był art. 104 ust. 2 pkt 3 PrBank. Przepis ten umożliwia bankom udzielanie informacji objętych tajemnicą bankową m.in. radcom prawnym w związku ze świadczeniem przez nich pomocy prawnej. Organ podkreślił, że ochronę interesów E.J. i bezpieczeństwo jej danych zapewniają przepisy ustawy z 6.7.1982 r. o radcach prawnych (t.j. Dz.U. z 2024 r. poz. 499; dalej: RadPrU) i Kodeksu Etyki Radcy Prawnego, które nakładają na radcę prawnego szereg obowiązków w tym zakresie. W konsekwencji Prezes UODO stwierdził, że wbrew zarzutom E.J., zarówno udostępnienie jej danych osobowych przez Bank, jak i ich przetwarzanie przez K.L., mają podstawę prawną. W przypadku Banku jest to art. 6 ust. 1 lit. f RODO w zw. z art. 104 ust. 2 pkt 3 PrBank, natomiast w przypadku radcy prawnego – art. 6 ust. 1 lit. c RODO w zw. z art. 4 RadPrU.
Podstawy przetwarzania danych osobowych przez radcę prawnego
E.J. zaskarżyła decyzję Prezesa UODO, jednak WSA w Warszawie przyznał rację organowi. W ocenie Sądu, po stronie Banku istniał prawnie uzasadniony interes, w rozumieniu art. 6 ust. 1 lit. f RODO, polegający na możliwości uzyskania przez Bank wsparcia prawnego od radcy prawnego w zakresie ochrony danych osobowych. Za prawidłowe uznano stwierdzenie, że w ramach dokonanego na rzecz radcy prawnego udostępnienia danych, zastosowanie znalazły, oprócz przepisów RODO i PrBank, również przepisy RadPrU oraz Kodeksu Etyki Radcy Prawnego. Wbrew zarzutom skarżącej, prowadzone przez organ postępowanie nie wykazało, że K.L. naruszył jakiekolwiek regulacje dotyczące ochrony danych osobowych. Odnosząc się do obaw skarżącej, że jej dane mogły być wykorzystane w celu innym niż świadczenie pomocy prawnej, podkreślono, że art. 3 ust. 3-5 RadPrU nakłada na radcę prawnego obowiązki związane z zachowaniem w tajemnicy wszystkiego, o czym dowiedział się w związku z udzieleniem pomocy prawnej. Natomiast art. 15 i art. 23 Kodeksu Etyki Radcy Prawnego zobowiązują radcę prawnego do zabezpieczenia przed niepowołanym ujawnieniem wszelkich informacji objętych tajemnicą zawodową, niezależnie od ich formy i sposobu utrwalenia, w tym również wszelkie tworzone przez radcę prawnego dokumenty oraz korespondencję z klientem i osobami uczestniczącymi w prowadzeniu sprawy.
E.J. zarzucała, że nie wszystkie dane przekazane radcy prawnemu zostały objęte umową powierzenia przetwarzania danych, tak było w przypadku adresu IP jej komputera. WSA w Warszawie wyjaśnił, że art. 28 ust. 3 RODO odwołuje się zarówno do umowy, jak i do innego instrumentu prawnego, które określają przedmiot i czas trwania przetwarzania, charakter i cel przetwarzania, rodzaj danych osobowych oraz kategorie osób, których dane dotyczą, obowiązki i prawa administratora. W rezultacie zakres danych osobowych przetwarzanych w ramach świadczonej pomocy prawnej może być znacznie szerszy od tego, który był zawarty w umowie powierzenia pomiędzy Bankiem a K.L.
Zarzuty skargi kasacyjnej
E.J. w skardze kasacyjnej kwestionowała m.in. uznanie, że administrator danych osobowych może przekazać dane osobowe, których rodzaj nie został wskazany w umowie powierzenia. Zarzucała, że praca, jaką wykonał K.L., miała w rzeczywistości charakter edytorski, trudno bowiem uznać sprawdzenie projektu pisma pod względem lingwistycznym i gramatycznym za świadczenie pomocy prawnej. Zdaniem skarżącej, nawet jeśli uznać czynności podjęte przez radcę prawnego za udzielenie pomocy prawnej, to nie było konieczności przetwarzania jej danych osobowych, gdyż pomoc prawna mogła zostać udzielona w oparciu o zanonimizowane dane. Skarżąca twierdziła również, że błędne jest uznanie przez Sąd, iż wykonywanie przez K.L. zawodu radcy prawnego zapewnia bezpieczeństwo przetwarzania danych osobowych. Samo istnienie obowiązku zachowania tajemnicy zawodowej podczas świadczenia pomocy prawnej nie przesądza o faktycznym zabezpieczeniu uzyskanych przez radcę prawnego informacji.
Stanowisko NSA
NSA oddalił skargę kasacyjną, wskazując, że do ujawnienia jej danych osobowych przez Bank radcy prawnemu doszło na podstawie dwóch niezależnych stosunków prawnych. Pierwszy z nich to umowa powierzenia przetwarzania danych zawarta na podstawie art. 28 ust. 3 RODO, drugi zaś świadczenie przez radcę prawnego pomocy prawnej na rzecz Banku w oparciu o art. 104 ust. 2 pkt 3 PrBank. Uwzględniając art. 4 RadPrU NSA stwierdził, że radca prawny pełni co do zasady rolę odrębnego administratora w przypadku przetwarzania danych osobowych przekazanych przez klienta w celu świadczenia pomocy prawnej. W ramach swojej działalności radca prawny nie może być w pełni zależny od poleceń klienta w zakresie celów i sposobów przetwarzania danych otrzymanych od niego lub zebranych w toku świadczenia pomocy prawnej. W celu właściwego wykonywania swojego zawodu radca prawny musi mieć swobodę samodzielnego podejmowania decyzji w tym zakresie. Świadczenie usług pomocy prawnej wykracza zatem poza zawartą pomiędzy Bankiem i radcą prawnym umowę powierzenia. W zależności więc od kontekstu przetwarzania danych osobowych ich zakres może być znacznie szerszy od tego, który był zawarty w umowie powierzenia. NSA stwierdził przy tym, że gwarantem prawidłowego zabezpieczenia przetwarzania danych osobowych przekazywanych w związku ze świadczeniem pomocy prawnej są wskazane przez WSA w Warszawie obowiązki wynikające z RadPrU oraz Kodeksu Etyki Radcy Prawnego.
NSA stwierdził, że zarzut, iż czynności radcy prawnego w tej sprawie polegały na sprawdzeniu projektu pisma pod względem lingwistycznym i gramatycznym wskazuje na niezrozumienie istoty pomocy prawnej. Zgodnie z art. 6 ust. 1 RadPrU w przypadku radcy prawnego pomoc prawna polega w szczególności na udzielaniu porad i konsultacji prawnych, sporządzaniu opinii prawnych, opracowywaniu projektów aktów prawnych oraz występowaniu przed urzędami i sądami w charakterze pełnomocnika lub obrońcy. NSA podkreślił znaczenie właściwej interpretacji tekstów prawnych, gdzie każde słowo może mieć istotne znaczenie dla zrekonstruowania normy prawnej, a nawet postawienie „przecinka” w odpowiednim miejscu może mieć wpływ na treść przepisu (zob. wyrok TK z 7.7.2003 r., SK 38/01, Legalis).
W uzasadnieniu wyroku wyjaśniono, że wykładnia art. 6 ust. 1 lit. f RODO dokonana na podstawie motywu 47 RODO wskazuje, że przesłanka legalizująca przetwarzanie danych osobowych jest spełniona, gdy wystąpią łącznie dwa warunki. Po pierwsze, gdy zachodzi powiązanie pomiędzy administratorem a osobą, której dane są przetwarzane, a po drugie, gdy dane te są zbierane zasadnie co do celu, dla jakiego zostały zebrane. Oba te warunki zostały spełnione. E.J. jest bowiem klientką Banku, a przetwarzanie jej danych osobowych w ramach stosunku Bank – radca prawny wynikało z charakteru usług świadczonych przez K.L. na rzecz Banku. W rezultacie wszelkie dane E.J., które były w posiadaniu Banku, mogły podlegać konsultacjom prawnym. Dotyczy to też adresu IP komputera klientki, który pozwala na ustalenie, skąd mogła być wysyłana korespondencja do Banku, czy numerów kont bankowych, które mogą być wykorzystane w razie ewentualnego postępowania egzekucyjnego.
Wyrok NSA z 17.6.2026 r., III OSK 1984/23, Legalis
Artykuł pochodzi z Systemu Legalis. Bądź na bieżąco, polub nas na Facebooku →
