Czy świadczenie usług pomocy prawnej uzasadnia przekazanie radcy prawnemu danych osobowych klienta — z którym bank nie jest w sporze? Czy wystarczającą podstawą jest świadczenie usług pomocy prawnej, która polega nie tylko na reprezentacji przed sądem — oraz okoliczność, że chodzi o dane osoby, która z bankiem ma umowę?
wyrok Naczelnego Sądu Administracyjnego z 17 czerwca 2026 r. (III OSK 1984/23)
Charakter pomocy prawnej świadczonej przez adwokata lub radcę prawnego statuowany w art. 4 ustawie o radcach prawnych pozwala na udostępnienie przez podmioty na rzecz których świadczą oni swoje usługi wszelkich danych, które są potrzebne dla wykonywania pomocy prawnej polegającej na udzielaniu porad prawnych, sporządzaniu opinii prawnych, opracowywaniu projektów aktów prawnych oraz występowaniu przed sądami i urzędami.
opis stanu faktycznego:
- sprawa zaczęła się od wysłanego przez klientkę do banku zapytania o przetwarzane dane osobowe;
- z odpowiedzi wynikało, że bank przetwarza m.in. dane o adresie IP w celu „zasilania systemów przeciwfraudowych”, ale też miało miejsce przekazanie osobowych (w tym imię i nazwisko oraz numer PESEL) radcy prawnemu, z którym bank zawarł „ogólną” umowę o wsparcie prawne w zakresie ochrony danych osobowych;
art. 104 ust. 2 pkt 3 prawa bankowego
Obowiązek [zachowania tajemnicy bankowej] nie dotyczy przypadków, w których:
3) następuje udzielenie informacji objętych tajemnicą bankową adwokatom lub radcom prawnym w związku ze świadczeniem przez nich pomocy prawnej na rzecz banku;
art. 6 ust. 1 ustawy o radcach prawnych
Świadczenie pomocy prawnej przez radcę prawnego polega w szczególności na udzielaniu porad i konsultacji prawnych, sporządzaniu opinii prawnych, opracowywaniu projektów aktów prawnych oraz występowaniu przed urzędami i sądami w charakterze pełnomocnika lub obrońcy.
- zdaniem zainteresowanej — która nie była w sporze prawnym z bankiem, a radca prawny nie był ani inspektorem danych osobowych pracującym na rzecz banku, ani pełnomocnikiem w sprawie z jej udziałem — nie istniały podstawy do udostępniania jej danych osobowych, zatem wniosła skargę do PUODO;
- organ uznał, że podstawą przetwarzania danych był przepis pozwalający ujawnić adwokatom i radcom prawnym, jako podmiotowi przetwarzającemu, informacje objęte tajemnicą bankową oraz prawnie uzasadniony interes banku polegający na konieczności uzyskania wsparcia prawnego w tej materii;
- skoro więc dane osobowe były przetwarzane m.in. w takich celach jak „konsultacje, nadzór i aktualizacje procedur dotyczących przetwarzania danych osobowych; stałe doradztwo prawne związane z przetwarzaniem danych osobowych; w tym nadzorowanie procesów dotyczących realizowania uprawnień; konsultacje w zakresie przeprowadzania oceny skutków przetwarzania danych osobowych dla ich ochrony; analizowanie dokumentacji w zakresie prawidłowego przetwarzania danych osobowych; wsparcie w przypadku wystąpienia sytuacji naruszenia zasad ochrony danych osobowych / incydentów bezpieczeństwa danych; bieżąca pomoc prawna w zakresie rozwiązywania problemów związanych z procesem przetwarzania danych osobowych i stosowania środków zabezpieczeń danych” (etc., etc.), to nie ma podstaw do uwzględnienia skargi;
wyrok WSA:
- pogląd ten podtrzymał WSA: bank ma prawo zawrzeć z radcą prawnym umowę o świadczenie usług pomocy prawnej, na podstawie której powierza mu przetwarzanie danych osobowych, zaś przesłanką przetwarzania danych w takim przypadku jest prawnie uzasadniony interes administratora (art. 6 ust. 1 lit. f RODO);
- a ponieważ na radcy prawnym spoczywa obowiązek zachowania w tajemnicy wszelkich informacji powierzonych przez klienta, w tym także danych osobowych, trudno mówić o jakimkolwiek naruszeniu (wyrok WSA w Warszawie z 10 marca 2023 r., II SA/Wa 1657/22);
skarga kasacyjna:
- po pierwsze dla świadczenia usług pomocy prawnej — w celu udzielenia „ewentualnej” pomocy prawnej — nie było konieczne udostępnienie danych osobowych;
- zaś tak czy inaczej przepis o możliwości udzielenia prawnikowi informacji objętych tajemnicą bankową nie może być interpretowany jako podstawa prawna do udostępnienia danych osobowych klienta banku;
- bo przecież nie można tracić z pola widzenia okoliczności, że nie było żadnego sporu, procesu, etc., który usprawiedliwiałby zajęcie się jej sprawą i przetwarzanie jej danych osobowych;
- (inny z zarzutów dotyczył też nieprawidłowości w treści umowy powierzenia przetwarzania);
wyrok NSA:
- po pierwsze przekazane danych osobowych radcy prawnemu świadczącemu usługi na rzecz banku nie nastąpiło na podstawie przepisów o tajemnicy bankowej, lecz na podstawie RODO, zaś przepis prawa bankowego stanowił niejako uzupełniającą podstawę prawną;
- po drugie nie ma wątpliwości, że radca prawny wykonywał dla banku określone usługi, zaś sposób świadczenia pomocy prawnej określa także ustawa, która nakazuje m.in. zachowanie w tajemnicy wszystkich informacji pozyskanych;
- po trzecie (co chyba nie wybrzmiało dostatecznie mocno w uzasadnieniu) świadczenie usług pomocy prawnej przez radcę prawnego polega nie tylko na zastępstwie procesowym, ale też udzielaniu porad i konsultacji, sporządzaniu opinii — więc literalnie wszystko do siebie pasuje;
- a skoro istotą świadczenia usług jest przetwarzanie przez prawnika danych osobowych przekazanych przez klienta, przy czym radca czy adwokat działa wówczas jako administrator, to trudno się przyczepić, że bank zdecydował się na przekazanie radcy prawnemu danych osobowych klientki;
- natomiast jeśli chodzi o obowiązek zachowania w tajemnicy wszystkiego, o czym radca prawny dowiedział się w związku z udzielaniem pomocy prawnej, to trzeba pamiętać, że wymóg ten jest nieograniczony w czasie — i radcy nie wolno ujawnić tych informacji nawet PUODO).
Summa summarum w ocenie NSA przesłanką legalizującą przetwarzanie danych osobowych była już sama w sobie okoliczność, iż skarżąca była klientką banku, zatem wszystkie informacje wynikające z tej relacji mogły być udostępniane radcy prawnemu — zatem skarga kasacyjna została oddalona jako bezzasadna.
Zamiast komentarza: mnie się wydaje, że coś tu jest nie tak. Nawet jeśli świadczenie pomocy prawnej usprawiedliwia przekazanie radcy prawnemu danych osobowych klienta banku — to przecież nawet istnienie formalnej przesłanki nie zwalnia z wymogu przestrzegania zasady ograniczenia celu i minimalizacji danych. Zatem pytanie brzmi: czy radca prawny naprawdę musi znać dane osobowe klientów banku, dla którego świadczy „ogólne”, tj. niezwiązane z konkretnym klientem, usługi?