II SA/Wa 1087/23

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Karolina Kisielewicz, Sędzia WSA Danuta Kania, Asesor WSA Dorota Kozub-Marciniak (spr.), Protokolant specjalista Joanna Głowala po rozpoznaniu na rozprawie w dniu 29 lutego 2024 r. sprawy ze skarg [...] S.A. z siedzibą w [...] oraz [...] S.A. z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] marca 2023 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargi

[...] S.A. z siedzibą w [...] (dalej, jako: Bank) oraz [...] S.A. z siedzibą w [...] (dalej, jako: [...]) wnieśli do Wojewódzkiego Sądu Administracyjnego w Warszawie skargi na odpowiednio punkt 1 i 2 decyzji Prezesa Urzędu Ochrony Danych Osobowych (dalej, jako: Prezes UODO) z dnia [...] marca 2023 r. w przedmiocie przetwarzania danych osobowych. Stan sprawy przedstawia się następująco. Do Prezesa Urzędu Ochrony Danych Osobowych wpłynęła skarga A. G.(dalej, jako: skarżąca), na nieprawidłowości w procesie przetwarzania jej danych osobowych przez Bank polegające na przetwarzaniu danych osobowych skarżącej w zakresie wynikającym z zapytania kredytowego z [...] stycznia 2020 r., które nie zakończyło się zawarciem umowy kredytowej, w tym w [...] S.A. z siedzibą w [...], bez podstawy prawnej oraz na niespełnieniu żądania skarżącej usunięcia jej danych osobowych dotyczących wyżej wymienionego zapytania kredytowego. W toku prowadzonego postępowania administracyjnego, Prezes UODO ustalił następujący stan faktyczny. Bank pozyskał dane osobowe skarżącej w związku z zawartymi ze skarżącą umowami produktowymi: umową ramową Rachunków bankowych, Karty, Elektronicznych Kanałów Dostępu oraz czterema umowami kredytu gotówkowego. Bank przetwarza dane osobowe skarżącej w związku z dalszym wykonywaniem ww. umowy ramowej oraz dwóch umów kredytowych. W okresie od [...] lutego 2018 r. do [...] stycznia 2020 r. skarżąca złożyła w Banku dwa wnioski kredytowe, które nie zakończyły się udzieleniem kredytu. Bank udostępnił do [...] dane osobowe skarżącej w związku z wnioskiem kredytowym złożonym w Banku w dniu [...] stycznia 2020 r. (wniosek niezakończony udzieleniem kredytu przez Bank). Dane osobowe przekazywane do [...] w zakresie weryfikacji wniosku kredytowego skarżącej obejmowały m.in. dane identyfikacyjne takie jak imiona, nazwisko, numer PESEL, seria, numer i rodzaj dokumentu tożsamości oraz informacje finansowe dotyczące m.in. kwoty kredytu. Bank wskazał, że przekazanie danych osobowych skarżącej przez Bank do [...] w przypadku zapytania kredytowego z [...] stycznia 2020 r. było realizowane w celu oceny zdolności kredytowej skarżącej w Banku. W związku z powyższym podstawą prawną złożenia przez Bank powyższych zapytań w [...] były przepisy: art. 5 ust. 1 pkt. 3 w zw. z art. 70 ust. 1 w zw. z art. 105 ust. 4 w zw. z art. 105 ust. 1 pkt. 1c ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe. W dniach [...] sierpnia 2020 r. i [...] września 2020 r. wpłynęły do Banku wnioski skarżącej (z [...] sierpnia 2020 r. i [...] września 2020 r.) w zakresie wycofania zgody na przetwarzanie przez [...] danych osobowych skarżącej przekazanych do [...] przez Bank w ramach zapytania kredytowego z [...] stycznia 2020 r. Bank dwukrotnie udzielił skarżącej odpowiedzi (pisma z dnia: [...] września 2020 r. i [...] września 20202 r.). W obu pismach Bank odmówił usunięcia danych osobowych skarżącej. Bank wskazał, że przetwarzał dane osobowe skarżącej dotyczące zapytania kredytowego z [...] stycznia 2020 r. w celach archiwalnych do dnia [...] stycznia 2022 r., na podstawie art. 6 ust 1 lit. c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dziennik Urzędowy Unii Europejskiej, L 119, 4 maja 2016 str. 1, Dz. Urz. UE L 127 z 23 maja 2018, str. 2 oraz Dz. Urz. UE L 74 z 4 marca 2021, str. 35), zwanego dalej RODO, w związku z art. 6 ust. 1 lit. f RODO, tj. z uwagi na konieczność spełniania przez Bank poniższych wymogów: 1) art. 70a i 105a ustawy z 29 sierpnia 1997 r. Prawo bankowe - w związku z koniecznością zagwarantowania możliwości uzyskania wyjaśnień dotyczących dokonanej przez Bank oceny zdolności kredytowej (art. 70a Prawa bankowego) lub w związku z koniecznością zapewnienia prawa do otrzymania stosownych wyjaśnień Banku co do podstaw decyzji podejmowanych w trybie art. 105a ust. 1 Prawa bankowego, 2) oceny ryzyka kredytowego, w tym oceny globalnego ryzyka kredytowego, m.in. na podstawie art. 105a ust. 1-1c Prawa bankowego, 3) wynikających z przepisów ustawy z 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (dalej jako ustawa AML), takich jak m.in.: a) identyfikowanie klienta i beneficjenta rzeczywistego (art. 36 ustawy AML), b) identyfikowanie i ocenianie ryzyka związanego z praniem pieniędzy i finansowaniem terroryzmu (art. 33 ust. 2 ustawy AML), c) identyfikowanie powiązań z osobami na eksponowanych stanowiskach, tj. obowiązek identyfikacji wśród obecnych i potencjalnych klientów osób na eksponowanych stanowiskach politycznych, członków rodzin oraz osób z nimi blisko związanych (art. 46 ustawy AML), d) stosowanie procedur pozwalających na poznanie klienta przed świadczeniem mu usług szczególnie poprzez wzięcie pod uwagę celu, regularności lub czasu trwania stosunków gospodarczych (art. 33 ust. 6 pkt 6 ustawy AML). Bank wyjaśnił, że zarówno Bank jak i skarżąca nie występowali wobec drugiej strony z roszczeniami związanymi z zapytaniem kredytowym z dnia [...] stycznia 2020 r. Aktualnie Bank przetwarza dane osobowe skarżącej pochodzące z wniosku kredytowego z dnia [...] stycznia 2020 r. (w tym związane z zapytaniem kredytowym zrealizowanym przez Bank w [...] w związku z procesowaniem wniosku kredytowego z [...] stycznia 2020 r.) na podstawie art. 6 ust. 1 lit. f RODO w zw. z art. 118 ustawy z 23 kwietnia 1964 r. Kodeks cywilny, w zw. z art. 82 RODO. Dane skarżącej będą przetwarzane przez Bank na podstawie ww. przepisów oraz w związku ze wskazanym powyżej celu przez okres 6 lat (liczonych na koniec roku kalendarzowego) od daty prawomocnego zakończenia postępowania prowadzonego przez Prezesa UODO. [...] wyjaśnił, że przetwarza dane osobowe skarżącej przekazane przez Bank w związku ze złożonymi zapytaniami kredytowymi w zakresie: imię i nazwisko, data urodzenia, numer PESEL, numer dokumentu tożsamości, adres, płeć, kwota wnioskowanego kredytu, waluta wnioskowanego kredytu. Powyższe dane osobowe skarżącej [...] pozyskał od Banku na podstawie art. 105 ust. 4 oraz 105a ust. 1 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe oraz na podstawie łączącej Bank i [...] umowy. [...] przetwarza dane pochodzące z zapytania kredytowego z dnia [...] stycznia 2020 r. w następujących celach: 1) przez okres 5 lat od dnia złożenia zapytania w celu budowy modeli scoringowych tj. narzędzi wykorzystywanych przez banki do oceny zdolności kredytowej i analizy ryzyka kredytowego (art. 6 ust. 1 lit. c RODO w zw. z art. 105 ust. 4 oraz art. 105a ust. 1, 1 a i 1 b ustawy Prawo bankowe; dodatkowo w przypadku oceny zdolności kredytowej na podstawie art. 70 ust. 1 ustawy Prawo bankowe, a w celu budowy modeli scoringowych na podstawie art. 6 ust. 1 lit. f RODO); 2) w celach statystycznych oraz stosowania metod wewnętrznych i innych metod i modeli, maksymalnie przez 10 lat od dnia złożenia zapytania (art. 6 ust. 1 lit. f RODO w zw. z art. 105 ust. 1 i art. 105a ust. 4 Prawa bankowego); 3) w celu rozpatrywania ewentualnych reklamacji lub roszczeń odszkodowawczych klientów, których termin przedawnienia zgodnie z art. 118 Kodeksu cywilnego wynosi 6 lat (cele dowodowe) (art. 6 ust. 1 lit. f RODO) oraz w celu wypełnienia obowiązku wynikającego z art. 15 RODO w przypadku wystąpienia przez osobę, której dane dotyczą z wnioskiem o udzielenie informacji; 4) w celu realizacji wniosków klientów banków dotyczących wyjaśnień dokonanej oceny zdolności kredytowej na podstawie art. 70a ustawy Prawo bankowe (art. 70a ustawy Prawo bankowe) (dowód: pismo [...] z dnia [...] stycznia 2021 r. oraz [...] lipca 2021 r.). [...] wskazał, że skarżąca nie zwracała się do [...] z żądaniem usunięcia jej danych osobowych przetwarzanych w zakresie zapytania kredytowego z dnia [...] stycznia 2020 r. Po zapoznaniu się ze zgromadzonym materiałem dowodowym Prezes UODO wydał zaskarżoną decyzję, którą: nakazał [...] S.A. z siedzibą w [...] przy ul. [...], zaprzestanie przetwarzania danych osobowych A. G. w zakresie wynikającym z zapytania kredytowego z dnia [...] stycznia 2020 r., nakazał [...] S.A. z siedzibą w [...] przy ul. [...], zaprzestanie przetwarzania danych osobowych A. G. w zakresie wynikającym z zapytania kredytowego z dnia [...] stycznia 2020 r. przekazanych przez [...] S.A. z siedzibą w [...] przy ul. [...]. W uzasadnieniu zaskarżonej decyzji Prezes UODO wskazał, że przepisem uprawniającym administratorów danych do przetwarzania zwykłych danych osób fizycznych jest art. 6 ust. 1 RODO. Katalog przesłanek wymienionych w art. 6 ust. 1 RODO, jest zamknięty. Każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny. Dodatkowo, proces przetwarzania danych osobowych musi być zgodny z zasadami ustanowionymi w art. 5 ust. 1 RODO. Do zasad tych zalicza się między innymi ograniczenie celu (art. 5 ust. 1 lit. b RODO) oraz minimalizację danych (art. 5 ust. 1 lit. c RODO). Wspomniane zasady wymagają, by dane osobowe były zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami, a proces przetwarzania danych osobowych był adekwatny, stosowny oraz ograniczony do tego, co niezbędne do celów, w których są przetwarzane. Co do zasady podstawą prawną przetwarzania danych osobowych klientów przez Bank i [...] może być obecnie art. 6 ust. 1 lit. f RODO, gdy przetwarzanie to jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora. Dalej organ podniósł, że [...] jest instytucją utworzoną na podstawie art. 105 ust. 4 Prawa bankowego. Prezes UODO przytoczył treść art. 105 ust. 4 pkt 1, 2, 3, 4, 5 Prawa bankowego, a także art. 105a ust. 1, ust. 4 i ust. 5 oraz art. 70 ust. 1 Prawa bankowego i wskazał, że skarżąca w dniu [...] stycznia 2020 r. wystąpiła do Banku z wnioskiem o udzielenie kredytu. Wobec powyższego Bank oraz [...], na podstawie art. 105a ust. 1 Prawa bankowego w zw. z art. 70 ust. 1 tej ustawy, były uprawnione do przetwarzania danych osobowych skarżącej w celu oceny zdolności kredytowej. Nie doszło jednak do zawarcia umowy kredytu pomiędzy skarżącą, a Bankiem. W związku z powyższym odpadła przesłanka legalizująca dalsze przetwarzanie danych osobowych skarżącej przez Bank oraz [...]. Przesłanki zawarte w art. 105a Prawa bankowego dotyczą bowiem przetwarzania informacji objętych tajemnicą bankową w okresie przed powstaniem zobowiązania, w trakcie jego trwania oraz po wygaśnięciu zobowiązania. Pomiędzy Bankiem a skarżącą nie zawiązał się w wyniku złożenia ww. wniosku o udzielenie kredytu żaden stosunek zobowiązaniowy, który stosownie do art. 105 a ust. 1-6 Prawa bankowego dawałby podstawę do dalszego przetwarzania danych osobowych skarżącej, wynikających ze złożonego przedmiotowego zapytania kredytowego. Podkreślenia również wymaga, że celem przetwarzania danych osobowych skarżącej była ocena zdolności kredytowej i analizy ryzyka kredytowego. W związku z dokonaniem przez Bank oceny zdolności kredytowej i analizy ryzyka kredytowego ww. cel przetwarzania danych osobowych skarżącej został zrealizowany i brak jest podstaw prawnych do kontynuowania tego procesu. W ocenie Prezesa UODO, nie można uznać, by Bank miał podstawy do przetwarzania danych osobowych skarżącej w zakresie wniosku kredytowego z dnia [...] stycznia 2020 r. w celach archiwalnych do dnia [...] stycznia 2022 r. W ocenie organu za podstawę przetwarzania danych osobowych skarżącej, nie mogą być również uznane wskazane przez [...] cele statystyczne i analizy, w tym cel stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013. Powołany przez [...] art. 105a ust. 4 Prawa bankowego daje podstawy do przetwarzania informacji dotyczących osoby fizycznej stanowiących tajemnicę bankową po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której te informacje dotyczą. W tej sprawie nie doszło w związku ze złożonym przez skarżącą wnioskiem kredytowym do zawarcia umowy kredytu pomiędzy skarżącą, a Bankiem, a zatem nie powstał żaden stosunek zobowiązaniowy, o którym mowa w powyższym przepisie. Mając na uwadze wyjaśnienia [...], z których wynika, że [...] będzie przetwarzał dane pochodzące z zapytania kredytowego z dnia [...] stycznia 2020 r. przez okres 5 lat od dnia złożenia zapytania, tj. do dnia [...] stycznia 2025 r. w celu budowy modeli scoringowych tj. narzędzi wykorzystywanych przez banki do oceny zdolności kredytowej i analizy ryzyka kredytowego (wskazując za podstawę przetwarzania art. 6 ust. 1 lit. c RODO w zw. z art. 105 ust. 4 oraz art. 105a ust. 1, 1a i 1b ustawy Prawo bankowe), Prezes UODO wskazał, że odwoływanie się do konieczności przetwarzania danych osobowych wnioskodawcy w zakresie zapytań kredytowych po dokonaniu weryfikacji zdolności kredytowej dla potrzeb tworzenia modeli scoringowych jest nieuprawnione. Scoring kredytowy to metoda oceny wiarygodności podmiotu - zwykle osoby fizycznej lub przedsiębiorstwa - ubiegającego się o kredyt bankowy. Polega on na określeniu wiarygodności kredytowej klienta na podstawie porównania jego profilu z profilem klientów, którzy już otrzymali kredyty i je spłacają. Istotą metody scoringu jest wnioskowanie o wiarygodności potencjalnego kredytobiorcy na podstawie porównania jego profilu z profilem klientów, którzy już otrzymali kredyt i terminowo go spłacają. W niniejszej sprawie skarżąca po złożeniu zapytania kredytowego nie zawarła umowy kredytowej z Bankiem, a tym samym nie spłacała zaciągniętego kredytu, zatem brak jest podstaw do przetwarzania jej danych zawartych w zapytaniu kredytowym do tworzenia modeli scoringowych. W ocenie organu za podstawę przetwarzania danych osobowych skarżącej, nie mogą być również uznane wskazane przez [...] cele statystyczne i analizy. Powołany przez [...] art. 105a ust. 4 Prawa bankowego daje do tego podstawy albowiem nie doszło do zawarcia umowy kredytu pomiędzy skarżącą a Bankiem, a zatem nie powstał żaden stosunek zobowiązaniowy, o którym mowa w powyższym przepisie. Odnosząc się natomiast do powołanego zarówno przez Bank, jak i przez [...], celu ustalenia, dochodzenia lub obrony roszczeń Prezes UODO wskazał, że zebrany materiał dowodowy nie wykazał, aby skarżąca wystąpiła z jakimkolwiek roszczeniem wobec Banku czy [...], które uzasadniałoby uprawnienie tych podmiotów do zachowania i przetwarzania jej danych osobowych dla celów dowodowych w związku z dochodzeniem przez skarżącą tego roszczenia. Bank i [...] nie wskazały także na istnienie roszczeń, których dochodzą od skarżącej. Przesłanka z art. 6 ust. 1 lit. f RODO dotyczy sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia, potrzeba dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem. Przyjęcie bowiem przeciwnego stanowiska prowadziłoby do tego, że skarżąca zostałby pozbawiona ochrony na gruncie RODO oraz ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781). Nadto Prezes UODO uznał, że brak jest uzasadnienia dla przyjęcia, iż terminy dotyczące przedawnienia roszczeń wynikających ze stosunków zobowiązaniowych określają jednocześnie ramy czasowe, w których dane osobowe mogą być przetwarzane przez Bank i [...]. Przedawnienie roszczenia nie wywołuje skutków na gruncie ochrony danych osobowych, nie wpływa bowiem na fakt istnienia roszczenia, a powoduje jedynie zmianę w sferze zarzutów procesowych w postaci możliwości podniesienia okoliczności przedawnienia w sporze sądowym. Okolicznością usprawiedliwiającą przetwarzanie danych osobowych w celu dochodzenia roszczeń jest sam fakt istnienia roszczenia oraz zamiar jego dochodzenia, nie jest nią natomiast zmiana w uprawnieniach procesowych podmiotu pozwanego. Ponadto, brak jest, zdaniem organu, uzasadnienia dla przyjęcia, że [...] jest uprawniony do przetwarzania danych osobowych w związku z koniecznością ewentualnego wypełnienia obowiązku wynikającego z art. 15 RODO. Skoro bowiem skarżąca zażądała usunięcia jej danych osobowych na podstawie art. 17 ust. 1 RODO, należy przyjąć, że nie jest zainteresowana realizacją prawo do dostępu do przetwarzanych jej danych osobowych. Ponadto usunięcie przez administratora danych osobowych nie uniemożliwia mu wykonania obowiązku uregulowanego w art. 15 RODO, gwarantującego osobie, której dane dotyczą, prawo do uzyskania od administratora informacji, czyjej dane są przetwarzane, a w przypadku pozytywnej odpowiedzi na tak postawione pytanie - uprawnienie do dostępu do danych na swój temat oraz uzyskania informacji o okolicznościach przetwarzania danych. Jeśli bowiem, administrator nie przetwarza danych dotyczących osoby, która zwraca się z żądaniem udzielenia informacji, to działanie administratora ogranicza się do odpowiedzi przeczącej i nie ma on obowiązku podawać podmiotowi danych innych informacji. W związku ze wskazaniem przez Bank, że przetwarzanie danych osobowych skarżącej niezbędne jest aktualnie również do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora w związku z postępowaniem prowadzonym przez Prezesa UODO, organ podał, że dane osobowe mogą być przetwarzane przez okres niezbędny do realizacji celu, zatem zakończenie postępowania administracyjnego powoduje wygaśnięcie tego celu przetwarzania. Wobec powyższego, w ocenie Prezesa Urzędu Ochrony Danych Osobowych, w niniejszej sprawie brak jest celu uzasadniającego dalsze przetwarzanie danych osobowych skarżącej przez Bank oraz [...] w zakresie zapytań kredytowych. Organ dodał, że Bank w związku z pozyskaniem danych osobowych skarżącej w celu oceny zdolności kredytowej stał się administratorem tych danych osobowych. Natomiast [...] stało się administratorem danych osobowych skarżącej z uwagi na przekazanie tych danych przez Bank. W związku z powyższym należy stwierdzić, że Bank oraz [...] są odrębnymi administratorami. Z tym rozstrzygnięciem nie zgodził się Bank (w zakresie pkt 1 decyzji) oraz [...] (w zakresie pkt 2 decyzji) i wywiedli skargi do Wojewódzkiego Sądu Administracyjnego w Warszawie. [...] w swojej skardze (sygn. akt II SA/Wa 1087/23) wniósł o uchylenie decyzji w zaskarżonej części oraz o zasądzenie na jego rzecz kosztów postępowania, w tym kosztów zastępstwa prawnego według norm przepisanych. Zaskarżonej w części pkt 2 decyzji zarzucono naruszenie przepisów prawa materialnego i procesowego, tj.: 1. art. 6 ust. 1 lit. c RODO w zw. żart. 105 ust. 1 pkt. 1cw zw. z art. 105 ust. 4 i w zw. z art. 105a w zw. z art. 70 i art. 5 ust. 1 pkt. 3 ustawy - Prawo bankowe poprzez jego niewłaściwe zastosowanie i w konsekwencji nieuzasadnione przyjęcie, że [...] nie posiada ww. podstawy prawnej do przetwarzania danych zawartych we wniosku kredytowym w przypadku nie zawarcia umowy kredytowej, podczas gdy [...] jest ustawowo zobowiązany do realizacji obowiązku prawnego wynikającego z ww. przepisów polegającego na gromadzeniu, przetwarzaniu i udostępnianiu bankom oraz podmiotom szczegółowo wskazanym w przepisie informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych w postaci oceny zdolności kredytowej oraz analizy ryzyka kredytowego konkretnego klienta (indywidualna ocena zdolności kredytowej) oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 575/2013 z dnia 26 czerwca 2013 r. w sprawie wymogów ostrożnościowych dla instytucji kredytowych i firm inwestycyjnych, zmieniające rozporządzenie (UE) nr 648/2012 (dalej jako: rozporządzenia nr 575/2013); ewentualnie, na wypadek nieuwzględnienia ww. zarzutu, zarzucono naruszenie art. 6 ust. 1 lit. f RODO poprzez jego niewłaściwą wykładnię i w konsekwencji niezastosowanie wskutek przyjęcia, że [...] nie posiada podstawy prawnej przetwarzania danych skarżącej opartej na prawnie uzasadnionym interesie administratora oraz podmiotów trzecich wskazanych w art. 105 ust. 4 pkt. 1-5 Prawa bankowego, w postaci realizacji obowiązku gromadzenia, przetwarzania oraz udostępnienia bankom oraz podmiotom wskazanym w ww. przepisie informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych w postaci oceny zdolności kredytowej oraz analizy ryzyka kredytowego konkretnego klienta (indywidualna ocena zdolności kredytowej), w celu budowy i utrzymania modeli scoringowych, a więc narzędzi wykorzystywanych przez banki do oceny zdolności kredytowej i analizy ryzyka kredytowego oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013; 2. art. 6 ust. 1 lit. c RODO w zw. z art. 70a w zw. z art. 105 ust. 4 pkt. 1 i 2 oraz w zw. z art. 105a Prawa bankowego poprzez jego niezastosowanie wskutek uznania, że [...] nie posiada podstawy prawnej do przetwarzania danych skarżącej w sytuacji nie zawarcia umowy kredytowej, podczas gdy skarżący posiada podstawę prawną przetwarzania z uwagi na niezbędność przetwarzania do wykonania obowiązku prawnego przez banki i [...], w postaci obowiązku przekazania osobie ubiegającej się o kredyt w formie pisemnej na jego wniosek wyjaśnień dotyczących dokonanej oceny zdolności kredytowej wnioskującego; 3. art. 6 ust. 1 lit. e RODO poprzez jego niezastosowanie wskutek uznania, że skarżący nie posiada podstawy prawnej do przetwarzania danych skarżącej w sytuacji nie zawarcia umowy kredytowej, podczas gdy skarżący posiada podstawę prawną przetwarzania z uwagi na niezbędność przetwarzania dla realizacji zadania w interesie publicznym przez banki i [...] w postaci zabezpieczenia ekonomiczno-gospodarczego sektora bankowego, w tym depozytariuszy i zapewnienia stabilności ekonomiczno- gospodarczej sektora bankowego, a w ujęciu makro zapobieganiu kryzysom gospodarczym; 4. art. 6 ust. 1 lit. f RODO poprzez jego niezastosowanie wskutek uznania, że przetwarzanie danych osobowych dla realizacji prawnie uzasadnionych interesów administratora danych w celach zabezpieczenia roszczeń może dotyczyć wyłącznie roszczeń istniejących i aktualnie dochodzonych i w konsekwencji nieuzasadnione przyjęcie, że prawnie uzasadniony interes administratora danych nie istnieje w sytuacji konieczności przetwarzania danych osobowych do ochrony przed roszczeniami istniejącymi, ale nie dochodzonymi w chwili dokonywania oceny, podczas gdy istotą uzasadnionego interesu administratora jest możliwość przetwarzania danych na wypadek konieczności obrony przed roszczeniami istniejącymi lub dochodzenia w przyszłości roszczeń istniejących, które w warunkach niniejszej sprawy są związane z przetwarzaniem danych osobowych na potrzeby opracowania oceny scoringowej skarżącej niezbędnej do przeprowadzenia analizy zdolności kredytowej oraz analizy ryzyka kredytowego, które to [...] zobowiązany jest gromadzić, przetwarzać i udostępniać bankom i instytucjom ustawowo upoważnionym do udzielania kredytów dla realizacji celów ustawowych badania zdolności kredytowej; 5. art. 6 ust. 1 lit. f RODO poprzez jego niezastosowanie wskutek uznania, że w przypadku braku zawarcia umowy kredytowej, [...] nie posiada prawnie uzasadnionego interesu w przetwarzaniu danych skarżącej, podczas gdy istnieje prawnie uzasadniony interes [...] w przetwarzaniu tych informacji pomimo nie zawarcia umowy kredytowej, polegający na realizacji działań z zakresu opracowania, utrzymania aktualności i funkcjonalności zbudowanych modeli scoringowych w zgodzie z treścią Rekomendacji W, S i T Komisji Nadzoru Finansowego w zakresie dobrych praktyk i zarządzania ryzykiem kredytowym; 6. art. 6 ust. 1 lit. f RODO poprzez jego niezastosowanie wskutek uznania, że [...] nie posiada podstawy prawnej do przetwarzania danych skarżącej, podczas gdy [...] posiada podstawę prawną przetwarzania z uwagi na konieczność zapewnienia rozliczalności działań jako administratora danych osobowych na zasadzie art. 5 ust. 2 RODO w postaci wykazania przestrzegania przepisów dotyczących jakości danych; 7. art. 7, w zw. z art. 77 § 1 i w zw. z art. 80 K.p.a. w zw. z art. 7 UODO, poprzez niewyczerpujące zebranie, nierozpatrzenie i błędną ocenę całokształtu materiału dowodowego przejawiającego się w zaniechaniu dokonania wyczerpującej analizy charakteru, zakresu oraz celów gospodarczo - ekonomicznych dla jakich zostało powołane [...] S.A. oraz obowiązków prawnych i obowiązków wynikających z zawartych przez [...] umów z bankami, skutkującą wadliwą i niepełną oceną stanu faktycznego sprawy oraz charakteru działania [...], co w konsekwencji skutkowało nieuzasadnionym wydaniem przez organ nakazu zaprzestania przetwarzania danych osobowych; 8. art. 7b K.p.a. w zw. z art. 7 K.p.a. w zw. z art. 77 K.p.a. w zw. z art. 7 UODO poprzez niedokładne wyjaśnienie stanu faktycznego i prawnego koniecznego do podjęcia przez organ stosownych czynności, a w szczególności niezwrócenie się do Komisji Nadzoru Finansowego w celu kompleksowego wyjaśniania stanu faktycznego sprawy oraz współdziałania w zakresie niezbędnym do dokładnego wyjaśnienia stanu prawnego, mając na względzie interes społeczny i słuszny interes obywateli w postaci ustalenia należytych zasad, celów i zakresu przetwarzania danych osobowych o niezrealizowanych zapytaniach kredytowych tak, by procesy przetwarzania danych czyniły zadość zarówno przepisom prawa o ochronie danych osobowych, jak i przepisom szeroko pojętego prawa bankowego, w szczególności dla zapewnienia ochrony wartości, których gwarancje ochrony wynikają z ww. przepisów zgodnie z zasadą proporcjonalności; 9. art. 7 K.p.a., art. 77 § 1 K.p.a. i art. 80 K.p.a. poprzez zaniechanie dokonania oceny Rekomendacji S, W i T Komisji Nadzoru Finansowego jako organu właściwego do sprawowania nadzoru nad instytucjami krajowymi w rozumieniu przepisów UE (regulatora rynku finansowego), które to regulacje nakładają na banki, a w konsekwencji na [...], jako instytucję gromadzącą dane służące do oceny zdolności kredytowej oraz budującą modele scoringowe służące bankom, określone wymagania, które podlegają nadzorowi i egzekwowaniu przez Komisję Nadzoru Finansowego na podstawie bezwzględnie obowiązujących przepisów prawa, co w konsekwencji doprowadziło do zaniechania przez organ oceny podstaw prawnych i celów dla jakich [...] oraz banki są upoważnione do przetwarzania danych w zakresie zdolności kredytowej również w przypadku nie zawarcia umowy kredytowej dla zabezpieczenia interesów banków oraz stabilności rynku gospodarczo-finansowego; 10. art. 7 K.p.a., art. 77 K.p.a. w zw. z art. 80 K.p.a. poprzez zaniechanie wyczerpującego zebrania i rozpatrzenia materiału dowodowego, a w szczególności przejawiającego się brakiem analizy treści skargi złożonej do Prezesa UODO pod kątem istnienia - po stronie banków, a w konsekwencji [...] jako instytucji gromadzącej dane służące do oceny zdolności kredytowej oraz budującej modele scoringowe służące bankom - oczywistego interesu prawnego przejawiającego się w odmowie udzielenia kredytu wynikającego z braku istnienia zdolności kredytowej po stronie skarżącej, co prowadzi do zabezpieczenia interesu banków przed nieodpowiedzialną polityką udzielania kredytów osobom, które nie mają szans na ich spłacenie oraz do zapewnienia stabilności gospodarczo-ekonomicznej sektora bankowego, a w ujęciu makro zapobieganiu kryzysom gospodarczym; 11. art. 7 K.p.a., art. 77 K.p.a. w zw. z art. 80 K.p.a. poprzez niezbadanie przez organ wszystkich podstaw prawnych dalszego przetwarzania danych o zapytaniach kredytowych, w sytuacji nieudzielenia kredytu, pomimo, iż przepisy prawa upoważniają [...] do przetwarzania tych danych, co w konsekwencji doprowadziło do błędnego nakazania [...] zaprzestania przetwarzania danych osobowych wobec błędnego przyjęcia przez organ braku istnienia podstawy prawnej do przetwarzania danych; W obszernym uzasadnieniu skargi przedstawiono szczegółową argumentację na poparcie stawianych zarzutów. Bank w swojej skardze (sygn. akt II SA/Wa 1088/23) wniósł o uchylenie decyzji w zaskarżonej części (pkt 1) oraz o zasądzenie na jego rzecz kosztów postępowania, w tym kosztów zastępstwa prawnego według norm przepisanych. Zaskarżonej w części pkt 1 decyzji zarzucono naruszenie przepisów prawa materialnego i procesowego, tj.: 1. art. 107 § 1 pkt 5 w zw. z art. 104 ust. 2 w zw. z art. 8 K.p.a. - poprzez sformułowanie rozstrzygnięcia w sposób nieprecyzyjny, wywołujący po stronie Banku wątpliwość co do zakresu jej powinności. W treści pkt 1 decyzji organ nakazał Bankowi zaprzestanie przetwarzania danych osobowych nie wskazując przy tym szczegółowo zakresu danych objętych tym nakazem. W konsekwencji przedmiotem nakazu jest niedookreślony zakres danych osobowych, który ma wynikać z zapytania kredytowego z dnia [...] stycznia 2020 r. W ten sposób organ niejako przeniósł na skarżącą ciężar określenia faktycznego zakresu jej zobowiązania, powodując po jej stronie niepewność co do jego ram, podczas gdy rozstrzygnięcia formułowane przez organy administracji publicznej, powinny być jednoznaczne i zrozumiałe dla stron; 2. art. 58 ust. 2 lit. c RODO w zw. z art. 17 ust. 1 RODO w zw. z art. 6 ust. 1 RODO poprzez jego niewłaściwe zastosowanie i przyjęcie, że Bank powinien spełnić żądanie i zaprzestać przetwarzania danych osobowych A. G., podczas gdy Bank przetwarza jej dane osobowe w innych celach - w oparciu o przesłanki przetwarzania, wynikające z art. 6 ust. 1 RODO; 3. art. 6 ust. 1 lit. f RODO, w zw. z art. 117 § 2 i § 21, art. 118 i 119 k.c. poprzez jego niewłaściwe zastosowanie i przyjęcie, że przechowywanie danych przez okres przedawnienia roszczeń - również, gdy ani administrator ani osoba, której dane dotyczą nie zgłosiła jeszcze roszczenia - nie stanowi prawnie uzasadnionego interesu Banku w rozumieniu art. 6 ust. 1 lit. f RODO, podczas gdy przepisy te uprawniają do przetwarzania danych osobowych w celu rozpatrywania i dochodzenia ewentualnych reklamacji lub roszczeń. W uzasadnieniu skargi przedstawiono argumentację na poparcie stawianych zarzutów. W odpowiedziach na skargi Prezes UODO wniósł o ich oddalenie i podtrzymał swoje dotychczasowe stanowisko. Organ odniósł się do zarzutów skarg i uznał je za pozbawione racji. Na rozprawie w dniu 29 lutego 2024 r. Sąd postanowił połączyć sprawy ze skarg Banku i [...] do wspólnego rozpoznania i rozstrzygnięcia oraz prowadzenia pod sygn. akt II SA/Wa 1087/23. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Skargi nie zasługują na uwzględnienie. W świetle RODO przetwarzanie danych osobowych uważa się za legalne, jeśli ich administrator spełni co najmniej jedną z przesłanek wskazanych w art. 6 ust. 1 tego aktu, a mianowicie: a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów, b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy, c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze, d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą lub innej osoby fizycznej, e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi, f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności, gdy osoba, której dane dotyczą, jest dzieckiem. Zgodnie z art. 105 ust. 4 ustawy z dnia 27 sierpnia 1997 r. - Prawo bankowe (Dz. U. z 2015 r. poz. 128 z późn. zm.). Banki mogą, wspólnie z bankowymi izbami gospodarczymi, utworzyć instytucje upoważnione do gromadzenia, przetwarzania i udostępniania: 1) bankom - informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych oraz w zw. ze stosowaniem metod statystycznych, o których mowa w art. 128 ust. 3 oraz w art. 128d ust. 1; 2) innym instytucjom ustawowo upoważnionym do udzielania kredytów - informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są niezbędne w związku z udzielaniem kredytów pożyczek pieniężnych, gwarancji bankowych i poręczeń; 3) instytucjom kredytowym - informacji stanowiących tajemnicę bankową w zakresie niezbędnym do oceny zdolności kredytowej konsumenta, o której mowa w art. 9 ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim. Na podstawie art. 105a cytowanej ustawy, przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów oraz instytucje utworzone na podstawie art. 105 ust. 4, informacji stanowiących tajemnicę bankową w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem art. 104, art. 105 i art. 106-106c, w celu oceny zdolności kredytowej i analizy ryzyka kredytowego (ust. 1). Instytucje, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank lub inną instytucję ustawowo upoważnioną do udzielania kredytów o zamiarze przetwarzania dotyczących jej informacji stanowiących tajemnicę bankową, bez jej zgody (ust. 3). Banki oraz instytucje, o których mowa w art. 105 ust. 4, mogą przetwarzać informacje stanowiące tajemnicę bankową dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, bez zgody osoby, której informacje dotyczą, dla celów stosowania metod statystycznych, o których mowa w art. 128 ust. 3 (ust 4.). Stosownie zaś do art. 70 ust. 1 Prawa bankowego, bank uzależnia przyznanie kredytu od zdolności kredytowej kredytobiorcy. Przez zdolność kredytową rozumie się zdolność do spłaty zaciągniętego kredytu wraz z odsetkami w terminach określonych w umowie. Kredytobiorca jest obowiązany przedłożyć na żądanie banku dokumenty i informacje niezbędne do dokonania oceny tej zdolności. Nie budzi wątpliwości, że zarówno Bank, jak i [...], były uprawnione do przetwarzania danych osobowych A. G. na podstawie art. 105a ust. 1 w zw. z art. 70 ust. 1 Prawa bankowego, a więc w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. W rozpatrywanej sprawie spór sprowadza się natomiast do odpowiedzi na pytanie, czy w sytuacji, w której nie doszło do zawarcia umowy kredytu między A. G. a Bankiem, istnieje podstawa do przetwarzania przez Bank oraz [...] jej danych osobowych. Według art. 105a ust. 2 Prawa bankowego, z zastrzeżeniem ust. 3, instytucje, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową oraz informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, w zakresie dotyczącym osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, pod warunkiem uzyskania pisemnej zgody osoby, której informacje te dotyczą, z zastrzeżeniem ust. 2a. Zgoda ta może być w każdym czasie odwołana. Banki, instytucje oraz podmioty, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową i informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank, inną instytucję ustawowo upoważnioną do udzielania kredytów, instytucję pożyczkową albo podmiot, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, o zamiarze przetwarzania dotyczących jej tych informacji, bez jej zgody (art. 105a ust. 3). Zgodnie z art. 105a ust. 4 powołanej ustawy, banki oraz instytucje, o których mowa w art. 105 ust. 4, mogą przetwarzać stanowiące tajemnicę bankową informacje dotyczące osoby fizycznej po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której informacje dotyczą, do celów stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013. Przetwarzanie informacji stanowiących tajemnicę bankową w przypadkach, o których mowa w ust. 3, może być wykonywane przez okres nie dłuższy niż 5 lat od dnia wygaśnięcia zobowiązania, a w przypadku, o którym mowa w ust. 4, przez okres 12 lat od dnia wygaśnięcia zobowiązania (art. 105a ust. 5). Zakres przetwarzanych informacji, o których mowa w ust. 3 i 4, może obejmować dane dotyczące osoby fizycznej lub dane dotyczące zobowiązania (art. 105a ust. 6). Sąd podziela zapatrywanie organu, wyrażone w zaskarżonej decyzji, że skoro nie doszło do zawarcia umowy kredytu, to odpadła przesłanka legalizująca dalsze przetwarzanie danych osobowych skarżącej A. G., które to przetwarzanie miało na celu – co wymaga podkreślenia – ocenę zdolności kredytowej i analizę ryzyka kredytowego (przed zawarciem umowy). W ocenie Sądu, przepis art. 105a Prawa bankowego, nie daje podstaw do dalszego przetwarzania danych skarżącej po zakończeniu oceny zdolności kredytowej i analizy ryzyka kredytowego, gdy umowy nie zawarto. Pomiędzy Bankiem, a wymienioną osobą fizyczną nie zawiązał się żaden stosunek zobowiązaniowy, który stosownie do art. 105a ust. 1-6 Prawa bankowego dawałby podstawę do dalszego przetwarzania jej danych osobowych zarówno przez Bank jak i [...]. Przepisy art. 105a Prawa bankowego dotyczą przetwarzania informacji objętych tajemnicą bankową w okresie przed powstaniem zobowiązania, w trakcie jego trwania oraz po wygaśnięciu zobowiązania. Natomiast w sytuacji, gdy w następstwie złożenia wniosku kredytowego nie dochodzi do zawarcia umowy kredytowej z bankiem, brak jest ustawowych przesłanek legalizujących dalsze przetwarzanie przez Bank oraz [...] danych osobowych potencjalnego klienta. Ocena zdolności kredytowej i ryzyka kredytowego ma charakter czynności wstępnych przed zawarciem umowy przez bank. Dalsze przetwarzanie danych, uzyskanych w celu oceny zdolności kredytowej, w przypadku braku zawarcia stosownej umowy, pozostawałoby w oderwaniu od celu, dla którego dane te uzyskano. Niedopuszczalne jest przetwarzanie danych osobowych na przyszłość, a także na potrzeby budowy oceny zdolności kredytowej innych podmiotów, jeżeli nie można zrekonstruować wyraźnej podstawy prawnej takich działań. Pozbawiona usprawiedliwionych podstaw jest próba rozszerzenia stosowania normy wskazanej w art. 105a ust. 1 Prawa bankowego na sytuacje, w których nie dochodzi do zawarcia umowy, a dane osobowe osoby wnioskującej o kredyt są przetwarzane w celu oceny ryzyka kredytowego. Taka wykładnia art. 105a ust. 1 Prawa bankowego prowadziłaby do wniosku, że na potrzeby oceny zdolności kredytowej i analizy ryzyka kredytowego banki lub inne podmioty wymienione w tym przepisie byłyby uprawnione do przetwarzania danych osobowych potencjalnych klientów bez żadnego ograniczenia czasowego, mimo że nie zawarto umowy o kredyt. W przypadku zaś, gdyby doszło do zawarcia umowy banki byłyby uprawnione do przetwarzania danych osobowych po wygaśnięciu zobowiązania, bez zgody osoby, której informacje dotyczą, przez okres wskazany w art. 105a ust 5 Prawa bankowego. Skoro ustawodawca w art. 105a ust. 1 ustawy Prawo bankowe nie wskazał okresu, przez jaki mogą być przetwarzane informacje stanowiące tajemnicę bankową, a w art. 105a ust. 5 wskazał takie okresy w odniesieniu do sytuacji, w których wygasło zobowiązanie, to nie oznacza to, że okres przetwarzania tych informacji, w sytuacji gdy nie doszło do zawarcia umowy, jest nieograniczony. Oznacza to, że przetwarzanie danych osobowych w oparciu o art. 105a ust. 1 ustawy Prawo bankowe jest uprawnione w odniesieniu do konkretnego zapytania kredytowego. Jeżeli nie dochodzi do zawarcia umowy to uprawnienie do przetwarzania danych osobowych w oparciu o ten przepis wygasa. Powyższe stanowisko znajduje potwierdzenie w wyroku Naczelnego Sądu Administracyjnego z dnia z 27 lipca 2019 r. sygn. akt I OSK 2567/17, w którym Sąd podniósł, że "Celem oceny zdolności kredytowej i analizy ryzyka kredytowego w odniesieniu do konkretnego klienta jest bowiem zawarcie umowy kredytowej na określonych warunkach. Skoro do niej nie dochodzi wskutek tej czynności banku to nie ma podstaw prawnych do dalszego ich przechowywania. Gdyby podzielić stanowisko skarżącego, że pozyskanie danych na etapie złożenia wniosku kredytowego uprawnia bank do ich nieograniczonego w czasie przechowywania po odmowie zawarcia umowy kredytowej, to regulacje zawarte w art. 105 a ust. 2 i 3 i ust. 5 Prawa bankowego ograniczające w czasie przypadki przetwarzania danych klientów z umów kredytowych pozbawione byłyby sensu. (...). Skoro celem przetwarzania była ocena zdolności kredytowej i analizy ryzyka kredytowego, to cel ten odpadł z momentem jej dokonania. W przypadku osób, z którymi zawarto umowę kredytową, istnieje podstawa do dalszego ich przetwarzania, a w stosunku do tych, z którymi nie zawarto umowy takiej podstawy nie sposób wywieść ani z przepisów obowiązującej wówczas ustawy, ani Prawa bankowego." Pogląd ten wyrażony został wprawdzie na gruncie poprzednio obowiązującej ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych i obowiązującej przed RODO Dyrektywy 95/46, jednakże w ocenie Sądu nie stracił na aktualności. Przepisy RODO wzmacniają jeszcze w porównaniu z Dyrektywą 95/46 ochronę danych osób fizycznych. Aktualności tego poglądu Naczelnego Sądu Administracyjnego nie zmienia także fakt, że [...] i Bank, przyjęły w swej praktyce określone terminy dalszego przetwarzania danych osobowych osoby, z którą nie zawarto umowy kredytu. Sprawa niniejsza dotyczy przetwarzania danych osoby fizycznej, z którą Bank nie zawarł żadnej umowy, ustał przy tym cel przetwarzania jej danych osobowych wynikający z art. 105a ust. 1 w zw. z art. 70 ust. 1 Prawa bankowego, osoba ta wniosła o zaprzestanie przetwarzania danych i ich usunięcie. Przesłanki do dalszego przetwarzania danych osobowych wymienionej (na przyszłość i w innych wskazywanych obecnie przez Bank i [...] celach) nie stanowi w tej sprawie, w jej okolicznościach faktycznych, ani dla Banku ani dla [...] żadna z przesłanek z art. 6 ust. 1 lit. a-f RODO (czyli nie jest to ani zgoda, ani przetwarzanie niezbędne do wykonania umowy lub działań przed zawarciem umowy, ani wypełnienie obowiązku prawnego ciążącego na administratorze, ani niezbędność dla ochrony żywotnych interesów osoby fizycznej lub innej osoby, ani wykonanie zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej, ani niezbędność do celów wynikających z prawnie uzasadnionych interesów). Nie można się przy tym zgodzić z [...], że organ naruszył m.in. również art. 6 ust. 1 lit. e RODO, albowiem wbrew twierdzeniom skargi w sprawie tej nie mamy do czynienia z przetwarzaniem przez [...] i Bank jako spółki prawa handlowego danych osobowych (osoby z którą Bank nie zawarł umowy) w ramach zadania realizowanego w interesie publicznym, o czym jest mowa w art. 6 ust. 1 lit. e RODO. Przetwarzanie danych osobowych przez Bank i [...], jako spółki prawa handlowego nie ma miejsca na podstawie art. 6 ust. 1 lit e RODO, niezależnie od wyznaczanych sobie przez te podmioty celów. Także określenie jako przedmiotu działalności "przetwarzanie danych" wymaga dla tego przetwarzania legalnej podstawy. Powołanie się na konieczność zabezpieczenia ekonomiczno-gospodarczego sektora bankowego, zapewnienie stabilności gospodarczej sektora bankowego jako uzasadnienie interesu publicznego, o którym mowa w art. 6 ust. 1 lit. e, w odniesieniu do przetwarzania danych zawartych w zapytaniu kredytowym osoby, z którą bank nie zawarł umowy nie jest trafne. Dalej przypomnieć należy, iż zgodnie z art. 105 ust. 1 pkt 1c Prawo bankowego, bank ma obowiązek udzielenia informacji stanowiących tajemnicę bankową wyłącznie instytucjom, o których mowa w ust. 4, w zakresie niezbędnym do stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w przepisach części trzeciej rozporządzenia nr 575/2013, natomiast z art. 105 ust. 4 tej ustawy wynika, że banki mogą, wspólnie z bankowymi izbami gospodarczymi, utworzyć instytucje upoważnione do gromadzenia, przetwarzania i udostępniania m.in. bankom oraz innym podmiotom określonym w tym przepisie informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013. Zdaniem Sądu, przepis art. 105 ust. 4 Prawa bankowego jest przepisem o charakterze ogólnym, który nie nakłada na Bank obowiązku korzystania z zewnętrznej bazy zawierającej informacje o wnioskach z sektora bankowego oraz sektora pożyczkowego, a jedynie stanowi o możliwości utworzenia wspólnie z bankowymi izbami gospodarczymi, instytucji upoważnionych do gromadzenia, przetwarzania i udostępniania danych, a w konsekwencji nie daje podstaw do nieograniczonego przetwarzania wszelkich danych osobowych przez utworzone instytucje. Zasady przetwarzania danych objętych tajemnicą bankową określa art. 105a Prawa bankowego, którego możliwość uznania za podstawę przetwarzania danych osobowych w niniejszej sprawie został omówiona powyżej. Na gruncie tego przepisu należy oceniać zatem dopuszczalność przetwarzania poszczególnych danych osobowych w określonych ściśle celach. Podstawy prawnej przetwarzania danych osobowych w niniejszej sprawie nie mógł stanowić zatem art. 105 ust. 4 Prawa bankowego samodzielnie, ani też w powiązaniu z art. 105 ust. 1 pkt 1c tej ustawy. W świetle powyższego przesłanka z art. 6 ust. 1 lit. c RODO nie znajduje zastosowania w okolicznościach niniejszej sprawy. Przepis ten dotyczy bowiem sytuacji, gdy przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego administratora danych, a nie realizacji uprawnienia, o którym mowa w art. 105 ust. 4 Prawa bankowego. Ponadto przepis art. 105 ust. 4 Prawa bankowego nie stanowi o dopuszczalności przetwarzania danych osobowych dotyczących wniosków kredytowych w sytuacji, gdy nie doszło do zawarcia umowy z bankiem. Uznanie takiego procesu przetwarzania danych za legalny wymaga podstawy prawnej, której nie stanowią regulaminy ani umowy zawierane między poszczególnymi instytucjami a bankami. W ocenie Sądu aktualny pozostaje pogląd wyrażony w wyroku NSA z dnia 14 września 2005 r., sygn. akt I OSK 39/05, wskazujący, że "Nie można zatem podzielić stanowiska, aby zezwalający na utworzenie instytucji zajmujących się szczególnym przetwarzaniem danych osobowych przepis stanowił zarazem podstawę do przetwarzania przez nie danych osobowych bez zgody osób, których dane dotyczą, gdyż nie tylko literalne brzmienie przepisu nie uzasadnia takiego przekazania, lecz i argumenty logiki prawniczej nie prowadzą do takiego wniosku. Nie można bowiem dowodzić, że w utworzonej zgodnie z prawem instytucji wolno działać w sposób, który sama uzna za odpowiadający jej celom, gdyż zezwolenie na utworzenie nie jest równoznaczne z zezwoleniem na działanie bez ograniczeń." Mimo, że powołany wyrok opiera się na innym brzmieniu przepisu art. 105 Prawa bankowego, w ocenie Sądu, istota poglądu wyrażonego przez NSA w odniesieniu do przetwarzania danych osobowych, jako instytucję utworzoną na podstawie art. 105 ust. 4 Prawa bankowego, nie straciła na aktualności. Zmiana brzmienia art. 105 Prawa bankowego na przestrzeni lat, jakie minęły od czasu wydania powołanego wyroku, dodatkowo utwierdza w trafności poglądu wyrażonego przez NSA w wymienionym wyroku, a także trafności stanowiska Prezesa UODO zaprezentowanego w zaskarżonej decyzji w sytuacji, gdy ani Bank ani [...] nie wykazały przesłanki legalizującej dalsze przetwarzanie danych osobowych uczestniczki postępowania, po osiągnięciu celu w postaci oceny zdolności kredytowej i ryzyka kredytowego. Na uwzględnienie nie zasługiwał również zarzut dotyczący naruszenia art. 6 ust. 1 lit. f RODO także w związku z przytoczonymi w skardze Banku przepisami k.c. i w nawiązaniu do wskazywanej przez Bank (ale także i [...]) potrzeby przechowywania danych zawartych w zapytaniach kredytowych osoby, z którą nie zawarto umowy kredytowej w celu ustalenia, dochodzenia i ochrony przed roszczeniami, ewentualnego zabezpieczenia roszczeń, na wypadek konieczności obrony lub dochodzenia ewentualnych roszczeń, które mogą się pojawić w określonym czasie po przeprowadzeniu stosownej analizy zdolności kredytowej oraz analizie ryzyka kredytowego. Przepis art. 6 ust. 1 lit. f RODO stanowi o uprawnieniu do przetwarzania danych, gdy jest ono niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności, gdy osoba, której dane dotyczą, jest dzieckiem. Za usprawiedliwiony cel w rozumieniu powołanego przepisu nie może zostać uznane przetwarzanie danych osobowych na wypadek ewentualnego dochodzenia lub obrony roszczeń. Z akt sprawy nie wynika, aby A. G., która zażądała usunięcia danych w zakresie zapytań kredytowych, miała jakiekolwiek roszczenia na drodze cywilnoprawnej do Banku lub [...]. Z tego względu nie jest dopuszczalne przyjęcie, że to art. 6 ust. 1 lit. f RODO mógłby stanowić podstawę dla Banku, czy [...] do dalszego przetwarzania jej danych na wypadek ewentualnego dochodzenia roszczeń. Również sam Bank w toku postępowania administracyjnego nie wykazał, nie wynika też ze skargi, jakich ewentualnie roszczeń chciałby dochodzić od osoby, która ostatecznie zażądała usunięcia swoich danych w zakresie tego zapytania kredytowego i z którą to osobą fizyczną nie zawarto umowy. Wskazania wymaga, że z art. 3531 k.c. wynika zasada swobody umów. Strony mogą zatem w ramach autonomii woli kształtować stosunki cywilnoprawne mocą własnych decyzji. Przepis art. 3531 k.c. wskazuje na podstawowy element, jaki dla swobody umów obligacyjnych ma kompetencja stron w zakresie kształtowania treści zobowiązania. Umowy nie zawarto, zobowiązanie nie powstało. [...] i Bank nie wskazały, aby A. G. kierowała do nich jakiekolwiek roszczenia (zażądała jedynie usunięcia własnych danych osobowych w związku z tym, że ustał cel ich przetwarzania). Ważąc interesy skarżącej, która żądała respektowania jej praw do ochrony danych osobowych wynikających z RODO i interesy Banku (oraz [...]), w sytuacji, gdy nie zawarto umowy kredytowej, brak jest podstaw do przyjęcia, że spełniona została przesłanka z art. 6 ust. 1 lit. f RODO. Sąd rozpoznający niniejszą sprawę podziela pogląd Naczelnego Sądu Administracyjnego, zgodnie z którym niedopuszczalne jest przetwarzanie danych osobowych niejako "na zapas" z założeniem, że mogą być one ewentualnie przydatne w przyszłości, na przykład z odwołaniem się do przepisów dotyczących przedawnienia roszczeń (por. wyrok NSA z dnia 27 marca 2018 r., sygn. akt I OSK 1459/16). Wywodzenie zatem także z kwestii przedawnienia roszczeń samodzielnej podstawy do przetwarzania danych – w sytuacji, gdy mowa o danych osoby, z którą Bank nie zawarł umowy kredytowej, nie jest uprawnione i nie stanowi przesłanki do ich dalszego przetwarzania. Zgodnie z art. 70a ust. 1 Prawa bankowego, banki i inne instytucje ustawowo upoważnione do udzielania kredytów na wniosek osoby fizycznej, prawnej lub jednostki organizacyjnej niemającej osobowości prawnej, o ile posiada zdolność prawną, ubiegającej się o kredyt przekazują, w formie pisemnej, wyjaśnienie dotyczące dokonanej przez siebie oceny zdolności kredytowej wnioskującego. Zgodnie z art. 70 ust. 2 wyjaśnienie, o którym mowa w ust. 1, obejmuje informacje na temat czynników, w tym danych osobowych wnioskującego, które miały wpływ na dokonaną ocenę zdolności kredytowej. W świetle powyższego, powstanie obowiązku, o którym mowa w art. 70a ust. 1 Prawa bankowego, uzależnione jest od złożenia stosownego wniosku przez osobę ubiegającą się o kredyt. Wniosek taki nie został złożony, a skarżąca wniosła o usunięcie swoich danych. W związku z odmową w tym zakresie podjęła też działania przed Prezesem UODO. Z akt sprawy i całokształtu okoliczności nie wynika, aby wymieniona osoba wystąpiła do Banku, czy [...] o jakiekolwiek wyjaśnienie dotyczące dokonanej oceny zdolności kredytowej. Wynika zaś, że złożyła żądanie usunięcia danych. Nie może być więc mowy o tym, aby w sprawie znajdował zastosowanie art. 70a ust. 1 i 2 Prawa bankowego, uprawniający Bank do przetwarzania danych osobowych A. G. w związku z koniecznością ewentualnego wypełnienia obowiązku wynikającego z art. 70a ust. 1 i ust. 2 Prawa bankowego. Nie jest trafny zarzut [...] dotyczący naruszenia przez organ art. 6 ust. 1 lit. f RODO w związku z Rekomendacjami S, W i T Komisji Nadzoru Finansowego. Powoływane Rekomendacje Komisji Nadzoru Finansowego nie są źródłem prawa powszechnie obowiązującego. Nie mieszczą się bowiem w zamkniętym katalogu źródeł powszechnie obowiązującego prawa Rzeczypospolitej Polskiej, określonym w art. 87 Konstytucji RP. Ponadto wydaje je organ, który nie ma stosownego umocowania konstytucyjnego. W świetle dychotomiczności i konstytucyjnego systemu źródeł prawa problem stanowi jednak również klasyfikacja rekomendacji jako przepisów prawa o charakterze wewnętrznym w rozumieniu art. 93 ust. 1 Konstytucji RP. Za uznaniem rekomendacji jako elementu systemu aktów prawa wewnętrznego opowiedział się Sąd Najwyższy w postanowieniu z dnia 7 grudnia 1999 r., sygn. akt I CKN 796/99, LEX nr 38875, odnoszącym się do Komisji Nadzoru Bankowego (poprzednika KNF). Jednakże duża część doktryny reprezentuje stanowisko, iż rekomendacje KNF nie mają charakteru normatywnego (jako akty prawa wewnętrznego w rozumieniu art. 93 Konstytucji RP), lecz – stanowiąc jedynie postulat pod adresem banków dotyczący prawidłowej organizacji banku i bezpiecznego – charakter nie władczych form działania administracji (Agnieszka Mikos-Sitek (red.), Zapadka Piotr (red.), "Prawo bankowe. Komentarz", WKP 2022, teza 3 do art. 137). Nie ma przy tym podstaw, aby w tym przypadku, w stanie faktycznym tej sprawy, wywodzić z Rekomendacji KNF – wobec osoby, z którą nie zawarto umowy kredytowej i która zażądała usunięcia danych – prawnie uzasadnione interesy Banku (i [...]), o których jest mowa w art. 6 ust. 1 lit. f RODO. Rekomendacje KNF, które zawierają konkretne wymagania regulacyjne wobec narzędzi używanych przez banki, nie powinny być interpretowane w sprzeczności z RODO w zakresie legalności przetwarzania danych (w zakresie zapytań kredytowych) osób, z którymi nie zawarto umów kredytowych, nie mogą być wykładane w sposób prowadzący do nieuprawnionego przetwarzania takich danych. Twierdzenie, że wypełnienie nakazu Prezesa UODO w postaci usunięcia danych osobowych A. G. przetwarzanych niezgodnie z prawem prowadziłoby do uniemożliwienia [...] i Bankowi realizacji Rekomendacji nie daje podstaw do stwierdzenia o dopuszczalności dalszego przetwarzania na gruncie RODO danych zawartych w zapytaniu kredytowym osoby, z którą Bank umowy nie zawarł, a jednocześnie nie uzyskał zgody tej osoby na dalsze przetwarzanie jej danych osobowych w celach innych niż te, w jakich je zgromadził. Odnosząc się jeszcze do zarzutu naruszenia art. 6 ust. 1 lit. e RODO, należy zauważyć, że powołany przepis przewiduje dwie przesłanki legalizujące przetwarzanie danych osobowych. Może być ono niezbędne do wykonania zadania realizowanego w interesie publicznym lub niezbędne w ramach sprawowania władzy publicznej powierzonej administratorowi. W obu przypadkach zarówno zadanie, jak i sprawowanie władzy publicznej, muszą zostać sprecyzowane w przepisach, o których mowa w art. 6 ust. 3 RODO. Art. 6 ust. 3 RODO stanowi bowiem, że podstawa przetwarzania, o którym mowa w ust. 1 lit. c) i e), musi być określona: a) w prawie Unii lub b) w prawie państwa członkowskiego, któremu podlega administrator. Cel przetwarzania musi być określony w tej podstawie prawnej lub - w przypadku przetwarzania, o którym mowa w ust. 1 lit. e - musi być ono niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi. Podstawa prawna może zawierać przepisy szczegółowe dostosowujące stosowanie przepisów niniejszego rozporządzenia, w tym: ogólne warunki zgodności z prawem przetwarzania przez administratora; rodzaj danych podlegających przetwarzaniu; osoby, których dane dotyczą; podmioty, którym można ujawnić dane osobowe; cele, w których można je ujawnić; ograniczenia celu; okresy przechowywania oraz operacje i procedury przetwarzania, w tym środki zapewniające zgodność z prawem i rzetelność przetwarzania, w tym i w innych szczególnych sytuacjach związanych z przetwarzaniem, o których mowa w rozdziale IX. Prawo Unii lub prawo państwa członkowskiego muszą służyć realizacji celu leżącego w interesie publicznym, oraz być proporcjonalne do wyznaczonego, prawnie uzasadnionego celu. [...] powołał się w zakresie tej podstawy przetwarzania danych osobowych na jej rolę w zabezpieczeniu ekonomiczno-gospodarczego sektora bankowego, w tym depozytariuszy i zapewnienia stabilności ekonomiczno-gospodarczej sektora bankowego, a w ujęciu makro zapobieganiu kryzysom gospodarczym. Podnieść należy, że w odróżnieniu od przesłanki z art. 6 ust. 1 lit. c – RODO w art. 6 ust. 3 nie wymaga określenia w podstawie prawnej celu przetwarzania, a jedynie takiej jej konstrukcji, z której wynika niezbędność przetwarzania do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi (zob. E. Bielak-Jomaa (red.), D. Lubasz (red.), "RODO. Ogólne rozporządzenie o ochronie danych. Komentarz", Lex). Zdaniem Sądu analizowane powyżej przepisy art. 70, art. 70a, art. 105 ust. 4 i art. 105a Prawa bankowego nie wskazują na niezbędność przetwarzania przez [...] danych osobowych osoby ubiegającej się o kredyt w sytuacji, w której nie doszło do zawarcia umowy. Zarzut naruszenia przez organ art. 6 ust. 1 lit. e RODO nie zasługiwał zatem na uwzględnienie. Nie jest również uzasadniony sformułowany w skardze [...] zarzut naruszenia art. 6 ust. 1 lit f RODO poprzez błędne uznanie, że wskutek braku zawarcia umowy kredytowej, [...] nie posiada prawnie uzasadnionego interesu w przetwarzaniu danych A. G., podczas gdy istnieje prawnie uzasadniony interes [...] w przetwarzaniu tych informacji pomimo nie zawarcia umowy kredytowej, polegający na realizacji działań z zakresu opracowania, utrzymania aktualności i funkcjonalności zbudowanych modeli scoringowych w zgodzie z treścią Rekomendacji W, S i T Komisji Nadzoru Finansowego w zakresie dobrych praktyk zarządzania ryzykiem kredytowym. Celem RODO, tak, jak poprzednio Dyrektywy 95/46/WE, jest ochrona prywatności, która powinna być rozpatrywana także w świetle art. 8 Konwencji o Ochronie Praw Człowieka i Podstawowych Wolności. W sprawie tej nie istnieje tego rodzaju powiązanie pomiędzy osobą, której dane dotyczą, a Bankiem, jak również pomiędzy tą osobą, a [...], które pozwalałoby "wyprowadzić" istnienie prawnie uzasadnionego interesu po stronie [...] i Banku w dalszym przetwarzaniu danych tej osoby. Z okoliczności sprawy nie wynika przy tym, aby osoba ta mogła spodziewać się w czasie, gdy pozyskiwano od niej dane w celu oceny zdolności kredytowej i ryzyka kredytowego, że będą one dalej przetwarzane pomimo niezawarcia umowy kredytowej (motyw 47 RODO). Należy także podkreślić, zdaniem Sądu, że jako prawnie uzasadniony interes administratora na gruncie art. 6 ust. 1 lit. f RODO nie może być rozumiana każda potrzeba wygenerowana przez danego administratora w związku z prowadzoną działalnością gospodarczą. Przyjęcie takiej koncepcji poddawałoby w wątpliwość funkcjonowanie wszystkich pozostałych przesłanek legalności przetwarzania danych ujętych w RODO, skoro sama potrzeba, pojawiająca się dynamicznie w ramach prowadzonej działalności gospodarczej (handlowej) czyniłaby dopuszczalnym przetwarzanie danych osobowych. Niewątpliwie zaś ten prawnie uzasadniony interes administratora nie może pozbawiać jednostki prawa do dysponowania własnymi danymi osobowymi i ochrony prywatności. Nadto, wskazać należy na brzmienie art. 7 lit. f nieobowiązującej już Dyrektywy 95/46/WE, którą ustawa z 1997 r. implementowała (art. 23 ust. 1 pkt 5 ustawy z 1997 r.), a stanowił on, że przetwarzanie danych jest konieczne dla potrzeb wynikających z uzasadnionych interesów administratora danych lub osoby trzeciej lub osobom, którym dane są ujawniane, z wyjątkiem sytuacji, kiedy interesy takie podporządkowane są interesom związanym z podstawowymi prawami i wolnościami osoby, której dane dotyczą, które gwarantują ochronę na podstawie art. 1 ust. 1. W Dyrektywie mowa była zatem o uzasadnionych interesach administratora danych. Podnieść należy przy tym, że w orzecznictwie Trybunału Sprawiedliwości przyjmuje się i pogląd ten prezentuje także Sąd rozpoznający niniejszą sprawę, że "Ze względu na to, że RODO uchyliło i zastąpiło dyrektywę 95/46, a właściwe przepisy tego rozporządzenia mają w istocie zakres identyczny jak właściwe przepisy tej dyrektywy, orzecznictwo Trybunału dotyczące wspomnianej dyrektywy znajduje również co do zasady zastosowanie w odniesieniu do tego rozporządzenia" (por. wyrok Trybunału Sprawiedliwości z dnia 17 czerwca 2021 r., C-597/19, punkt 107). Zwrócić należy przy tym uwagę, że w sprawie niniejszej, w jej okolicznościach faktycznych, to prawa i wolności osoby fizycznej, mają nadrzędny charakter nad interesami Banku, jak również [...]. Pamiętać trzeba bowiem, że celem udostępnienia danych osobowych przez osobę fizyczną było rozpatrzenie konkretnego wniosku kredytowego (cel był ściśle określony), zgodnie z przepisami Prawa bankowego, o czym była już mowa wyżej. Powyższe nie daje podstaw do dalszego przetwarzania danych "na przyszłość" po zakończeniu oceny zdolności kredytowej i analizy ryzyka kredytowego. Samo powołanie się na zasadę rozliczalności (art. 5 ust. 2 RODO) nie legalizuje przetwarzania jakichkolwiek danych. Konieczne jest bowiem, aby w pierwszej kolejności przetwarzanie danych było zgodne z prawem. W rozpoznawanej sprawie cel przetwarzania legalnie zebranych danych osobowych osoby fizycznej (zebranych w celu oceny zdolności kredytowej i analizy ryzyka kredytowego) ustał. W sprawie tej, co wykazano już wyżej, takiej podstawy prawnej, stanowiącej przesłankę do "dalszego" przetwarzania danych osobowych wymienionej osoby fizycznej, w sprawie tej nie wykazano. W ocenie Sądu niedopuszczalna jest taka interpretacja powołanych w skargach przepisów, która czyniłaby uprawnionym na gruncie RODO dalsze przetwarzanie danych osobowych zawartych w zapytaniu kredytowym osoby, z którą nie zawarto umowy (a zatem w celach innych niż cele, w jakich je zebrano), w sytuacji, gdy Prawo bankowe wyraźnie reguluje dopuszczalność przetwarzania danych osobowych przed powstaniem zobowiązania, w trakcie jego trwania i po wygaśnięciu. Przyjęcie odmiennej interpretacji prowadziłoby do tego, że w odniesieniu do kategorii osób, których dane zawarte zostały w zapytaniu kredytowym, a z którymi nie zawarto umowy kredytowej, istniałaby pełna dowolność tak w zasadach ich przetwarzania (bez zgody osoby - jak należy wnioskować ze stanowisk Banku i [...]), bez informacji przedstawianej przed pozyskaniem danych o innych celach przetwarzania niż ocena zdolności kredytowej i ryzyka kredytowego, zarówno przez Bank jak i [...], jak również dowolne ustalenia w odniesieniu do czasu ich przetwarzania. Zatem sytuacja osoby, która zwróciła się z zapytaniem kredytowym i z którą nie zawarto umowy kredytowej, jest z punktu widzenia ochrony danych osobowych, biorąc pod uwagę przepisy Prawa bankowego, sytuacją "gorszą" niż sytuacja osoby, która zawarła umowę kredytową i jej zobowiązanie wygasło. W tym drugim bowiem przypadku, dla dalszego przetwarzania danych w [...] po wygaśnięciu zobowiązania wynikającego z danej umowy, niezbędna jest zgoda osoby, której dane dotyczą. Zgodę taką można nadto w każdym czasie odwołać. Zwrócić należy uwagę, że przedmiotem niniejszej sprawy i kompetencji Prezesa UODO nie jest ustalenie możliwego sposobu realizacji przez Bank i [...] obowiązków nakładanych na te podmioty przez instytucje nadzorcze w zakresie prowadzonej działalności. Nie ma przeszkód i jest wskazane, aby realizację tych obowiązków wykonywać z poszanowaniem RODO. Przedmiotem oceny organu ochrony danych osobowych była w tej sprawie wyłącznie kwestia oceny zgodności z prawem dalszego przetwarzania danych osobowych konkretnej osoby fizycznej w konkretnych okolicznościach faktycznych. Sąd nie znalazł podstaw do zakwestionowania tej oceny organu. Podkreślenia wymaga, że w demokratycznym państwie prawnym nie jest dopuszczalne dowolne rozszerzanie uprawnień jakiegokolwiek podmiotu - ani organu władzy, ani spółki prawa handlowego, ani żadnego innego podmiotu będącego administratorem w zakresie przetwarzania danych osobowych (art. 47, art. 51 Konstytucji RP). Dane osobowe mogą być przetwarzane co do zasady w celach, w jakich zostały zebrane. Uprawnienia te powinny być adekwatne, stosowne oraz ograniczone do tego, co niezbędne do osiągnięcia celów, w których zostały zebrane i są przetwarzane (art. 5 ust. 1 lit. c RODO). Przetwarzanie przez Bank i [...] "na przyszłość" danych zawartych w zapytaniu kredytowym, w sytuacji, gdy nie zawarto umowy, nie znajduje umocowania w żadnej przesłance z art. 6 ust. 1 RODO. Sąd podziela te poglądy prezentowane w orzecznictwie sądowoadministracyjnym, zgodnie z którymi dalsze przetwarzanie danych uzyskanych w celu oceny zdolności kredytowej w przypadku nie zawarcia stosownej umowy, pozostawałoby w oderwaniu od celu, dla którego je uzyskano. Niedopuszczalne jest dalsze przetwarzanie danych osobowych na przyszłość, a także na potrzeby budowy oceny zdolności kredytowej innych podmiotów, jeżeli nie można zrekonstruować wyraźnej podstawy prawnej takich działań, jak miało to miejsce w niniejszej sprawie (por. wyrok NSA z dnia 27 sierpnia 2019 r. sygn. akt 2567/17). Nieuzasadnione są również zarzuty skarg dotyczące naruszenia przepisów prawa procesowego bowiem organ prawidłowo zebrał i ocenił zgromadzony w sprawie materiał dowodowy, opierając się na wyjaśnieniach Banku oraz [...] dotyczących przetwarzania danych osobowych A. G. zawartych w zapytaniu kredytowym. Odmienna ocena zarówno Banku, jak i [...] w zakresie wykładni i zastosowania powołanych przez organ przepisów prawa, nie stanowi o naruszeniu przepisów postępowania, w tym art. 7, art. 7, art. 77 i art. 80 k.p.a. Zarzut naruszenia powołanych przepisów, podniesiony przez [...], poprzez brak analizy przez Prezesa UODO skargi A. G. pod kątem istnienia po stronie banków i [...] oczywistego interesu prawnego przejawiającego się w odmowie udzielenia kredytu wynikającego z braku istnienia zdolności kredytowej po stronie skarżącej, nie jest zasadny. W ocenie Sądu, uzasadnienie decyzji odpowiada zaś wymogom określonym w art. 107 § 3 K.p.a. Nieuzasadniony jest również zarzut naruszenia art. 7b K.p.a. poprzez zaniechanie zwrócenia się przez Prezesa UODO do KNF w celu kompleksowego wyjaśniania stanu faktycznego sprawy oraz współdziałania w zakresie niezbędnym do dokładnego wyjaśnienia stanu prawnego, mając na względzie interes społeczny i słuszny interes obywateli w postaci ustalenia należytych zasad, celów i zakresu przetwarzania danych osobowych o niezrealizowanych zapytaniach kredytowych tak, by procesy przetwarzania danych czyniły zadość zarówno przepisom prawa o ochronie danych osobowych, jak i przepisom szeroko pojętego prawa bankowego, w szczególności dla zapewnienia ochrony wartości, których gwarancje ochrony wynikają z ww. przepisów zgodnie z zasadą proporcjonalności. Zgodnie z art. 7b K.p.a. w toku postępowania organy administracji publicznej współdziałają ze sobą w zakresie niezbędnym do dokładnego wyjaśnienia stanu faktycznego i prawnego sprawy, mając na względzie interes społeczny i słuszny interes obywateli oraz sprawność postępowania, przy pomocy środków adekwatnych do charakteru, okoliczności i stopnia złożoności sprawy. W ocenie Sądu stan faktyczny i prawny sprawy został przez organ prawidłowo ustalony i należycie rozpatrzony w oparciu o zgromadzony materiał dowodowy, w tym w oparciu o wyjaśnienia Banku oraz [...]. Nie zachodziły więc przesłanki do podjęcia przez Prezesa UODO współdziałania z innymi organami administracji publicznej w oparciu o ww. przepis w celu wydania rozstrzygnięcia w sprawie. Prezes UODO jest wyspecjalizowanym w sprawach dotyczących ochrony danych osobowych i niezależnym organem, który ma status i kompetencje organu nadzorczego określone w przepisach RODO. Z tego względu Prezes UODO jest uprawniony do samodzielnego dokonywania interpretacji przepisów prawa w zakresie dotyczącym ochrony danych osobowych. Stanowisko to znajduje potwierdzenie w art. 51 oraz w motywach 117, 122 oraz 123 RODO. Konkludując, przesłanki do przetwarzania danych osobowych A. G. (na przyszłość i w innych wskazywanych obecnie przez Bank i [...] celach) nie stanowi w tej sprawie, w jej okolicznościach faktycznych ani dla Banku, ani dla [...] żaden z art. 6 ust. 1 lit. a-f RODO. Ustaleń Sądu w tym zakresie nie zmienia analiza treści znajdującej się w aktach administracyjnych umowy zawartej między [...] i Bankiem. Umowa ta nie stanowi samoistnej podstawy legalności przetwarzania danych osobowych A. G. w celach wskazywanych obecnie przez wymienione podmioty. Stosowanie RODO nie może zostać wyłączone poprzez zapis umowy. Ustalenie Prezesa UODO w zakresie braku dopuszczalności przetwarzania danych skarżącej zawartych w zapytaniu kredytowym wskazanym w decyzji jest prawidłowe. Nadto wbrew twierdzeniom Banku, nakaz zawarty zarówno w punkcie 1 jak i 2 decyzji jest przy tym jasny, nie ma wątpliwości co do jego zakresu i jest wykonalny. W przypadku natomiast wątpliwości decydujące znaczenie ma osnowa decyzji, która w tej sprawie została sporządzona prawidłowo, klarownie i nie stwarza podstawy do twierdzenia o niewykonalności zaskarżonej decyzji. Podsumowując Sąd stwierdza, że zaskarżona decyzja jest zgodna z prawem, zaś zarzuty skarg nie zasługiwały na uwzględnienie. W ocenie Sądu organ zasadnie nakazał w punkcie 1 decyzji Bankowi, a w punkcie 2 decyzji [...] usunięcie danych osobowych A. G. w zakresie wynikającym z zapytania kredytowego z dnia [...] stycznia 2020 r. Mając na względzie powyższe Wojewódzki Sąd Administracyjny w na podstawie art. 151 ustawy z dnia 30 sierpnia 2022 r. – Prawo o postepowaniu przed sądami administracyjnymi (Dz. U. z 2023 r. poz. 1634 ze zm.) orzekł jak w sentencji wyroku.