Przekazanie danych klienta banku radcy prawnemu świadczącemu pomoc prawną – wyrok z 17 czerwca 2026 r., III OSK 1984/23

Wyrok Naczelnego Sądu Administracyjnego dotyczy skargi na decyzję prezesa Urzędu Ochrony Danych Osobowych o odmowie stwierdzenia naruszenia przepisów RODO w związku z przekazaniem przez bank danych osobowych klienta radcy prawnemu świadczącemu na rzecz banku usługi z zakresu ochrony danych osobowych. Skarżąca twierdziła, że bank bez podstawy prawnej udostępnił jej dane, w tym adres IP, a radca prawny przetwarzał je bezprawnie

NSA wskazał, że przekazanie danych osobowych przez bank na rzecz radcy prawnego nastąpiło na podstawie dwóch niezależnych stosunków prawnych. Po pierwsze, na podstawie umowy powierzenia przetwarzania danych zawartej zgodnie z art. 28 ust. 3 RODO.

Po drugie, w związku ze świadczeniem przez radcę prawnego pomocy prawnej na rzecz banku, co znajduje podstawę w art. 104 ust. 2 pkt 3 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe, dopuszczającym przekazywanie informacji objętych tajemnicą bankową adwokatom i radcom prawnym świadczącym pomoc prawną na rzecz banku.

Nawet jeżeli określone dane wykraczały poza zakres przewidziany w umowie powierzenia, nie oznaczało to automatycznie bezprawności ich przekazania. W zakresie wykonywania pomocy prawnej radca prawny nie działa bowiem wyłącznie jako podmiot przetwarzający dane w imieniu administratora, lecz co do zasady jako odrębny administrator danych osobowych. Status ten wynika z charakteru zawodu radcy prawnego oraz obowiązku samodzielnego świadczenia pomocy prawnej.

Świadczenie pomocy prawnej może wymagać przetwarzania danych osobowych zarówno klientów podmiotu korzystającego z pomocy prawnej, jak i innych osób, których dane zostały przekazane przez klienta lub pozyskane w toku wykonywania usług prawnych. Zakres danych niezbędnych do realizacji tego celu zależy od okoliczności konkretnej sprawy i nie musi pokrywać się z zakresem danych wskazanych w umowie powierzenia przetwarzania danych.

NSA nie podzielił stanowiska strony, że bank powinien był ograniczyć przekazywane informacje do danych zanonimizowanych. Uznał, że bank miał prawnie uzasadniony interes w uzyskaniu profesjonalnego wsparcia prawnego w zakresie ochrony danych osobowych, a przekazanie danych radcy prawnemu służyło realizacji tego celu. Obowiązki wynikające z ustawy z dnia 6 lipca 1982 r. o radcach prawnych oraz Kodeksu Etyki Radcy Prawnego stanowią istotny element ochrony danych osobowych przekazywanych w związku ze świadczeniem pomocy prawnej.

Tajemnica zawodowa obejmuje zarówno informacje uzyskane od klienta, jak i dokumenty oraz korespondencję powstałe w związku ze świadczeniem pomocy prawnej, a radca prawny ma obowiązek zabezpieczenia tych informacji przed nieuprawnionym ujawnieniem.

NSA III OSK 1984/23