II SA/Wa 896/22

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Ewa Radziszewska-Krupa, Sędzia WSA Ewa Kwiecińska (spr.), Asesor WSA Arkadiusz Koziarski, Protokolant ref.staż. Maria Rutkowska po rozpoznaniu na rozprawie w dniu 17 marca 2023 r. spraw ze skarg Biura Informacji Kredytowej S.A. z siedzibą w W. oraz [...] Bank [...] S.A. z siedzibą w W. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] marca 2022 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargi

Decyzją z [...] marca 2022 r., znak: [...], Prezes Urzędu Ochrony Danych Osobowych (dalej: "Prezes UODO"), działając na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2021 r. poz. 735 ze zm., dalej: "k.p.a.") w zw. z art. 7 ust, 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781), art. 6 ust. 1 oraz art. 58 ust. 2 lit. c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35, dalej: "RODO") po przeprowadzeniu postępowania administracyjnego w sprawie K. W.: dalej "Wnioskodawczyni", dotyczącej nieprawidłowości w procesie przetwarzania jej danych osobowych, polegających na przetwarzaniu przez [...] Bank Polska S.A. (poprzednio Bank [...] S.A. – dalej: "Bank"), danych osobowych Wnioskodawczyni bez podstawy prawnej, w tym ich udostępnianie na rzecz Biura Informacji Kredytowej S.A. z siedzibą w [...] (dalej: "BIK"): w pkt. 1. nakazał [...] Bank Polska S.A. usunięcie danych osobowych K. W., w zakresie zapytania kredytowego z [...] maja 2018 r., w pkt. 2. nakazał Biuru Informacji Kredytowej S.A. usunięcie danych osobowych K. W. w zakresie zapytania kredytowego z [...] maja 2018 r., przekazanego przez [...] Bank Polska S.A. W uzasadnieniu Prezes UODO wskazał, że do organu wpłynęła skarga K. W. na nieprawidłowości w procesie przetwarzania danych osobowych przez [...] Bank Polska S.A., polegające na przetwarzaniu jej danych osobowych zawartych w zapytaniu kredytowym z dnia [...] maja 2018 r. bez podstawy prawnej, w tym w Biurze Informacji Kredytowej S.A. W toku prowadzonego postępowania administracyjnego Prezes UODO ustalił następujący stan faktyczny. Wnioskodawczyni wskazała, że w dniu [...] maja 2018 r. Bank przekazał zapytanie kredytowe do BIK, w wyniku czego w bazie BIK przetwarzane są jej dane osobowe dotyczące tego zapytania. Wnioskodawczyni podniosła, że nie doszło do zawarcia umowy pomiędzy nią a Bankiem. Wobec powyższego wniosła o usunięcie jej danych osobowych przetwarzanych bez podstawy prawnej Bank pozyskał dane osobowe Wnioskodawczyni bezpośrednio od niej w związku ze złożonym przez nią wnioskiem kredytowym z [...] maja 2018 r. Bank wyjaśnił, że przetwarza obecnie dane osobowe Wnioskodawczyni w zakresie: imienia, nazwiska, numeru PESEL, serii i numer dowodu osobistego w związku ze złożonym przez nią zapytaniem kredytowym na podstawie art. 105 ust. 1 pkt 1 c i art. 105 ust. 4 ustawy Prawo bankowe (Dz. U. z 2020 r., poz. 1896 ze zm.), zwanej dalej Prawem bankowym. W ocenie Banku przepisy te stanowią podstawę prawną do gromadzenia, przetwarzania i udostępniania przez te podmioty bankom informacji stanowiących tajemnicę bankową w związku z wykonywaniem przez banki czynności bankowych, w tym w związku z oceną zdolności kredytowej i analizą ryzyka kredytowego. Wynika to z treści art. 70 ust. 1 Prawa bankowego, który nakłada na banki obowiązek badania zdolności kredytowej (udzielanie kredytów jest jedną z czynności bankowych — art. 5 ust. 1 pkt 3 Prawa bankowego). Wyżej wymienione przepisy nakładają na Bank obowiązek zweryfikowania zdolności kredytowej przed zawarciem umowy o kredyt, zatem stanowią osobny, dodatkowy obowiązek banku do wykonania konkretnej czynności pozostającej w związku z wykonywaniem czynności bankowej, jaką jest przygotowanie i zawarcie umowy o kredyt. Ponadto powołane przepisy upoważniają banki do skorzystania z pomocy BIK przy wykonywaniu tego typu czynności. BIK pozyskał dane osobowe Wnioskodawczyni przekazane przez Bank w związku ze złożonym zapytaniem kredytowym z dnia [...] maja 2018 r. Powyższe dane osobowe Wnioskodawczyni zostały przekazane do BIK przez Bank na podstawie art. 105 ust. 4 oraz art. 105a ust. 1 Prawa bankowego oraz na podstawie łączącej Bank i BIK umowy. Skarżąca wystąpiła do Banku z wnioskiem o udzielenie kredytu. Wobec czego, zgodnie ze złożonymi wyjaśnieniami Bank oraz BIK, na podstawie art. 105 a ust. 1 Prawa bankowego w zw. z art. 70 ust. 1 tej ustawy, były uprawnione do przetwarzania danych osobowych Skarżącej pochodzących z zapytań kredytowych przez okres 12 miesięcy od dnia złożenia zapytania w celu oceny zdolności kredytowej i analizy ryzyka kredytowego konkretnego klienta (indywidualna ocena zdolności kredytowej) oraz w celu przeciwdziałania przestępstwom oraz wykonywania obowiązków w zakresie określonym w przepisach o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu. W przypadku Wnioskodawczyni wyżej wymienione zapytania kredytowe nie są przetwarzane w tych celach, ze względu na upływ 12 miesięcy od dnia złożenia zapytań. BIK będzie przetwarzał dane osobowe Wnioskodawczyni w związku ze złożonymi zapytaniami kredytowymi na podstawie art. 6 ust. 1 lit. c RODO w zw. z art. 70, art. 105 ust. 4 oraz art. 105a ust 1, 1a i 1b Prawa bankowego w celu budowy modeli scoringowych, tj. narzędzi wykorzystywanych przez banki do oceny zdolności kredytowej i analizy ryzyka kredytowego przez okres 5 lat od dnia złożenia zapytania, w celu statystycznym i analiz przez okres nie dłuższy niż 10 lat od dnia przekazania zapytania do BIK, w celu rozpatrywania ewentualnych reklamacji i roszczeń odszkodowawczych — do momentu przedawnienia potencjalnych roszczeń wynikających z zapytań oraz w celu wypełnienia obowiązku wynikającego z art. 15 RODO, w przypadku wystąpienia przez osobę, której dane dotyczą, z wnioskiem o udzielenie informacji. Wnioskodawczyni zwróciła się do Banku oraz BIK o usunięcie jej danych osobowych przetwarzanych w związku ze złożonymi wnioskami kredytowymi. Powyższe podmioty odmówiły usunięcia jej danych osobowych. Prezes UODO zauważył następnie, że przepisem uprawniającym administratorów danych do przetwarzania zwykłych danych osób fizycznych jest art. 6 ust. 1 RODO, zgodnie z którym przetwarzanie danych jest dopuszczalne tylko wtedy, gdy spełniona jest jedna z przesłanek wskazanych w tym przepisie. Katalog przesłanek wymienionych w art. 6 ust. 1 RODO jest zamknięty. Każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny. Dodatkowo, proces przetwarzania danych osobowych musi być zgodny z zasadami ustanowionymi w art. 5 ust. 1 RODO. Dalej organ wyjaśnił, że na podstawie art. 17 ust. 1 RODO osoba, której dane dotyczą, ma prawo żądania od administratora niezwłocznego usunięcia dotyczących jej danych osobowych, a administrator ma obowiązek bez zbędnej zwłoki usunąć dane osobowe m.in. gdy dane osobowe nie są już niezbędne do celów, w których zostały zebrane lub w inny sposób przetwarzane (lit. a). Co do zasady podstawą prawną przetwarzania danych osobowych klientów przez Bank i BIK może być obecnie art. 6 ust. 1 lit. f RODO, gdy przetwarzanie to jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora. Prezes UODO wskazał, że BIK jest instytucją utworzoną na podstawie art. 105 ust. 4 Prawa bankowego, którego treść przytoczono. Dalej wskazał, że zgodnie z art. 105a ust. 1 Prawa bankowego, przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów, instytucje pożyczkowe oraz podmioty, o których mowa wart. 59d ustawy o kredycie, a także instytucje utworzone na podstawie art. 105 ust. 4, informacji stanowiących tajemnicę bankową i informacji udostępnionych przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy o kredycie, w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem art. 104, 105 i art. 106-106d Prawa bankowego w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Zgodnie zaś z art. 105a ust. 4 Prawa bankowego banki oraz instytucje, o których mowa w art. 105 ust. 4, mogą przetwarzać stanowiące tajemnicę bankową informacje dotyczące osoby fizycznej po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której informacje dotyczą, do celów stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013. Stosownie zaś do art. 105a ust. 5 Prawa bankowego przetwarzanie informacji stanowiących tajemnicę bankową w przypadkach, o których mowa w ust. 3, może być wykonywane przez okres nie dłuższy niż 5 lat od dnia wygaśnięcia zobowiązania, a w przypadku, o którym mowa w ust. 4, przez okres 12 lat od dnia wygaśnięcia zobowiązania. Ponadto stosownie do art. 70 ust. 1 Prawa bankowego, bank uzależnia przyznanie kredytu od zdolności kredytowej kredytobiorcy. Przez zdolność kredytową rozumie się zdolność do spłaty zaciągniętego kredytu wraz z odsetkami w terminach określonych w umowie. Przenosząc powyższe na kanwę niniejszej sprawy, Prezes UODO wyjaśnił, że Wnioskodawczyni w dniu [...] maja 2018 r. wystąpiła do Banku z wnioskiem o udzielenie kredytu. Wobec powyższego Bank oraz BIK, na podstawie art. 105a ust. 1 Prawa bankowego w zw. z art. 70 ust. 1 tej ustawy, były uprawnione do przetwarzania danych osobowych Skarżącej w celu oceny zdolności kredytowej. Podkreślił, że nie doszło jednak do zawarcia umowy kredytu pomiędzy Wnioskodawczynią a Bankiem. W związku z powyższym odpadła przesłanka legalizująca dalsze przetwarzanie danych osobowych Wnioskodawczyni przez Bank oraz BIK. Przesłanki zawarte w art. 105a Prawa bankowego dotyczą bowiem przetwarzania informacji objętych tajemnicą bankową w okresie przed powstaniem zobowiązania, w trakcie jego trwania oraz po wygaśnięciu zobowiązania. Pomiędzy Bankiem a Wnioskodawczynią nie zawiązał się żaden stosunek zobowiązaniowy, który stosownie do art. 105a ust. 1-6 Prawa bankowego dawałby podstawę do dalszego przetwarzania danych osobowych Wnioskodawczyni. Prezes UODO podkreślił również, że celem przetwarzania jej danych osobowych była ocena zdolności kredytowej i analizy ryzyka kredytowego. W związku z dokonaniem przez Bank oceny zdolności kredytowej i analizy ryzyka kredytowego ww. cel przetwarzania danych osobowych Wnioskodawczyni został zrealizowany i brak jest podstaw prawnych do kontynuowania tego procesu. Stanowisko to potwierdza orzecznictwo przywołane następnie przez organ. W ocenie organu za podstawę przetwarzania danych osobowych Wnioskodawczyni, nie mogą być również uznane wskazane przez BIK cele statystyczne i analizy, w tym cel stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013. Podkreślić należy, że powołany przez BIK art. 105a ust. 4 Prawa bankowego daje podstawy do przetwarzania informacji dotyczących osoby fizycznej stanowiących tajemnicę bankową po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której te informacje dotyczą. W przedmiotowej sprawie nie doszło do zawarcia umowy kredytu pomiędzy Wnioskodawczynią a Bankiem, a zatem nie powstał żaden stosunek zobowiązaniowy, o którym mowa w powyższym przepisie. Organ przytoczył treść 106d Prawa bankowego, zgodnie z którym banki, inne instytucje ustawowo upoważnione do udzielania kredytów, izby rozliczeniowe utworzone na podstawie art. 67, instytucje utworzone na mocy art. 105 ust. 4, instytucje pożyczkowe, podmioty, których podstawowa działalność polega na udostępnianiu składników majątkowych na podstawie umowy leasingu, oraz podmioty, o których mowa w art. 59d ustawy o kredycie, mogą przetwarzać i wzajemnie udostępniać informacje, w tym informacje objęte tajemnicą bankową, w przypadkach: 1) uzasadnionych podejrzeń, o których mowa w art. 106a ust. 3, 2) uzasadnionych podejrzeń popełnienia przestępstw dokonywanych na szkodę banków, innych instytucji ustawowo upoważnionych do udzielania kredytów, instytucji kredytowych, instytucji finansowych, instytucji pożyczkowych oraz podmiotów, o których mowa w art. 59d ustawy o kredycie, i ich klientów, w celu i zakresie niezbędnym do zapobiegania tym przestępstwom; 3) wykonywania obowiązków w zakresie określonym w przepisach o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (ust. 1), Podmioty określone w ust. 1 mogą przetwarzać i wzajemnie udostępniać informacje, w tym informacje objęte tajemnicą bankową oraz informacje dotyczące wyroków skazujących, w przypadkach przestępstw dokonywanych na szkodę banków, innych instytucji ustawowo upoważnionych do udzielania kredytów, instytucji kredytowych, instytucji finansowych, instytucji pożyczkowych oraz podmiotów, o których mowa w art. 59d ustawy o kredycie, i ich klientów, w celu i zakresie niezbędnym do zapobiegania tym przestępstwom (ust. 2). Zebrany w sprawie materiał dowodowy nie wykazał, by BIK mógł przetwarzać dane osobowe Wnioskodawczyni na podstawie art. 106d Prawa bankowego w celach przeciwdziałania przestępstwom oraz wykonywania obowiązków w zakresie określonym w przepisach o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu, ponieważ w toku prowadzonego postępowania nie wykazał, aby zaszła którakolwiek z przesłanek określonych w ww. przepisie. W ocenie organu, w szczególności nie wykazał on, aby zaszły uzasadnione podejrzenia, o których mowa w art. 106d ust. 1 pkt 1 -2, oraz nie wskazał także nałożonego na niego obowiązku określonego w przepisach o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu, o którym mowa w art. 106d ust. 1 pkt 3. Odnosząc się natomiast do powołanego zarówno przez Bank, jak i przez BIK, celu ustalenia, dochodzenia lub obrony roszczeń, Prezes UODO wskazał, że zebrany w niniejszym postępowaniu materiał dowodowy nie wykazał, aby Wnioskodawczyni wystąpiła z jakimkolwiek roszczeniem wobec Banku czy BIK, które uzasadniałoby uprawnienie tych podmiotów do zachowania i przetwarzania jej danych osobowych dla celów dowodowych w związku z dochodzeniem przez Wnioskodawczynię tego roszczenia. Bank i BIK nie wskazały także na istnienie roszczeń, których dochodzą od Skarżącej. Organ podkreślił, że przesłanka z art. 6 ust. 1 lit. f RODO dotyczy sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia potrzeby dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem. Prezes UODO podzielił ponadto stanowisko Naczelnego Sądu Administracyjnego odnoszące się do analogicznej do art. 6 ust. 1 lit. f RODO przesłanki wynikającej z art. 23 ust. 1 pkt. 5 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. 2016 r. poz. 922 ze zm.), dotyczącej dopuszczalności przetwarzania danych osobowych dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, gdy przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. W wyroku z dnia 6 marca 2019 r. w sprawie sygn. I OSK 994/17 (LEX nr 2670498) NSA orzekł: "Dokonując wykładni tego przepisu należy zatem zwrócić uwagę, że stosowanie ww. przepisu wymaga wykazania, że chodzi o realizowanie prawnie usprawiedliwionego celu, ale także dokonanie oceny czy dla realizacji tego celu niezbędne jest przekazanie danych, pomimo braku zgody osoby której dane te dotyczą. Ocena ta sprowadza się do wyważania racji i interesów osoby, której danych sprawa dotyczy, a która jest objęta ochroną prawną, a z drugiej administratora danych, również chronionego przez prawo w zakresie w jakim może realizować prawnie usprawiedliwione cele i uprawnienia. Z kolei w wyroku z dnia 23 września 2005 r. (sygn. akt I OSK 712/05, publ. CBOSA) NSA wskazał, że rozstrzygając o legalności przetwarzania danych, trzeba każdorazowo, ważąc interesy stron, znaleźć równowagę między prawami i wolnościami jednostki z jednej strony a prawnie usprawiedliwionym interesem osoby trzeciej z drugiej strony. Oznacza to obowiązek zapewnienia właściwej równowagi praw i interesów stron w tym praw podstawowych. Zdaniem NSA przetwarzanie danych osobowych (...), który cofnął zgodę na ich przetwarzanie, nie jest niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratora, a którym jest prawo do podjęcia obrony przed ewentualnymi roszczeniami lub zarzutami dotyczącymi przetwarzania danych (...) w celu obsługi wniosku kredytowego. Niedopuszczalne jest przetwarzanie danych osobowych niejako "na zapas" z założeniem, że mogą być one ewentualnie przydatne w przyszłości. Pomiędzy stronami nie toczy się także żadne postępowanie reklamacyjne. Zatem przetwarzania danych strony, a więc na wszelki wypadek, nie można uznać za przetwarzanie niezbędne dla wypełnienia prawnie usprawiedliwionych celów. Zgodnie z art. 23 ust. 1 pkt 2 u.o.d.o. przetwarzanie danych osobowych jest dopuszczalne wtedy, gdy jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa. Przepis ten dopuszcza możliwość przetwarzania danych, uzależnia jednak legalność tego procesu od spełnienia dwóch istotnych wymogów, tj. istnienia odpowiedniego przepisu prawa, który przyznaje podmiotowi uprawnienie lub nakłada na niego obowiązek oraz niezbędności przetwarzania danych dla zrealizowania tego uprawnienia lub spełnienia obowiązku wynikającego z tego przepisu. Wymogi te powinny być spełnione łącznie. Prezes UODO podkreślił także, że przy przyjęciu odmiennej interpretacji ww. przepisów, Wnioskodawczyni zostałaby pozbawiona ochrony na gruncie RODO oraz ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781). Zaznaczył, że przyjęcie za prawidłowe stanowiska, iż przetwarzanie danych osobowych w celu uchylenia się od negatywnych skutków w przypadku zgłoszenia w przyszłości ewentualnego i nieokreślonego roszczenia, stanowi prawnie usprawiedliwiony cel w rozumieniu art. 6 ust. 1 lit. f RODO oznaczałoby, że jej dane osobowe mogą być przetwarzane przez BIK i Bank permanentnie, bez konieczności ich usunięcia. Prezes UODO wskazał, że teoretycznie możliwym jest przecież, by to Wnioskodawczyni zwróciła się do Banku lub BIK z roszczeniem po upływie terminu przedawnienia roszczenia. Prowadziłoby to tym samym do uznania, że przetwarzanie jej danych osobowych przez Bank i BIK ma uzasadnienie w przesłance określonej art. 6 ust. 1 lit. f RODO w celu realizacji prawa do obrony przed ewentualnym roszczeniem Wnioskodawczyni również po upływie w/w terminu. Organ wskazał, że brak jest uzasadnienia dla przyjęcia, iż terminy dotyczące przedawnienia roszczeń wynikających ze stosunków zobowiązaniowych określają jednocześnie ramy czasowe, w których dane osobowe mogą być przetwarzane przez Bank i BIK. Za konieczne organ uznał wskazanie, że przedawnienie roszczenia nie wywołuje skutków na gruncie ochrony danych osobowych, nie wpływa bowiem na fakt istnienia roszczenia, a powoduje jedynie zmianę w sferze zarzutów procesowych w postaci możliwości podniesienia okoliczności przedawnienia w sporze sądowym. Okolicznością usprawiedliwiającą przetwarzanie danych osobowych w celu dochodzenia roszczeń jest sam fakt istnienia roszczenia oraz zamiar jego dochodzenia, nie jest nią natomiast zmiana w uprawnieniach procesowych podmiotu pozwanego. W ocenie organu brak jest uzasadnienia dla przyjęcia, że BIK jest uprawniony do przetwarzania danych osobowych w związku z koniecznością ewentualnego wypełnienia obowiązku wynikającego z art. 15 RODO. Skoro bowiem Wnioskodawczyni zażądała usunięcia jej danych osobowych na podstawie art. 17 ust. 1 RODO, należy przyjąć, że nie jest zainteresowana realizacją prawa do dostępu do przetwarzanych jej danych osobowych. Ponadto usunięcie przez administratora danych osobowych nie uniemożliwia mu wykonania obowiązku uregulowanego w art. 15 RODO, gwarantującego osobie, której dane dotyczą, prawa do uzyskania od administratora informacji, czy jej dane są przetwarzane, a w przypadku pozytywnej odpowiedzi na tak postawione pytanie – uprawnienie do dostępu do danych na swój temat oraz uzyskania informacji o okolicznościach przetwarzania danych. Jeśli bowiem, administrator nie przetwarza danych dotyczących osoby, która zwraca się z żądaniem udzielenia informacji, to działanie administratora ogranicza się do odpowiedzi przeczącej i nie ma on obowiązku podawać podmiotowi danych innych informacji (tak również: Paweł Fajgielski [w:] Ogólne rozporządzenie o ochronie danych. Ustawa o ochronie danych osobowych. Komentarz. Wolters Kluwer Polska, 2018). W ocenie Prezesa UODO, w niniejszej sprawie brak jest celu uzasadniającego dalsze przetwarzanie danych osobowych Wnioskodawczyni zawartych w przedmiotowym zapytaniu kredytowym zarówno przez Bank, jak i przez BIK. Organ wskazał, że Bank w związku z pozyskaniem danych osobowych Wnioskodawczyni w celu oceny zdolności kredytowej stał się administratorem tych danych osobowych. Natomiast BIK stał się administratorem danych osobowych Wnioskodawczyni z uwagi na przekazanie tych danych przez Bank. W związku z powyższym należy stwierdzić, że Bank oraz BIK są odrębnymi administratorami. Każdy z tych podmiotów przetwarza bowiem dane osobowe Wnioskodawczyni we własnych celach i samodzielnie ustala sposoby ich przetwarzania. W odniesieniu do kwestionowanego przez nią przetwarzania jej danych osobowych przez Bank i BIK nie zaistniała żadna z wyrażonych w art. 6 ust. 1 RODO przesłanka, która stanowiłaby o legalności tego procesu. Skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie na powyższą decyzję wnieśli zarówno Biuro Informacji Kredytowej S.A. oraz [...] Bank Polska S.A. Sprawy zostały połączone do wspólnego rozpoznania pod sygn. akt II SA/Wa 896/22. We wniesionej skardze BIK S.A. wniósł o uchylenie decyzji w zaskarżonej części dotyczącej BIK S.A., a także wstrzymanie jej wykonania w tożsamym zakresie, a nadto o zasądzenie kosztów postępowania. Organowi zarzucono naruszenie przepisów prawa materialnego, tj.: 1. art. 6 ust. 1 lit. c) RODO w zw. z art. 105 ust. 1 pkt. 1c w zw. z art. 105 ust. 4 i w zw. z art. 105a w zw. z art. 70 i art. 5 ust. 1 pkt. 3 ustawy Prawo bankowe poprzez jego niewłaściwe zastosowanie i w konsekwencji nieuzasadnione przyjęcie, że BIK nie posiada ww. podstawy prawnej do przetwarzania danych zawartych we wniosku kredytowym w przypadku nie zawarcia umowy kredytowej, podczas gdy BIK jest ustawowo zobowiązany do realizacji obowiązku prawnego wynikającego z ww. przepisów polegającego na gromadzeniu, przetwarzaniu i udostępnianiu bankom oraz podmiotom szczegółowo wskazanym w przepisie informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych w postaci oceny zdolności kredytowej oraz analizy ryzyka kredytowego konkretnego klienta (indywidualna ocena zdolności kredytowej) oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 575/2013 z dnia 26 czerwca 2013 r. w sprawie wymogów ostrożnościowych dla instytucji kredytowych i firm inwestycyjnych, zmieniające rozporządzenie (UE) nr 648/2012 (dalej jako: rozporządzenia nr 575/2013); ewentualnie, na wypadek nieuwzględnienia ww. zarzutu, zarzucono naruszenie art. 6 ust. 1 lit. f) RODO poprzez jego niewłaściwą wykładnię i w konsekwencji niezastosowanie wskutek przyjęcia, że BIK nie posiada podstawy prawnej przetwarzania danych Wnioskodawczyni opartej na prawnie uzasadnionym interesie administratora oraz podmiotów trzecich wskazanych w art. 105 ust. 4 pkt. 1-5 Prawa bankowego, w postaci realizacji obowiązku gromadzenia, przetwarzania oraz udostępnienia bankom oraz podmiotom wskazanym w ww. przepisie informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych w postaci oceny zdolności kredytowej oraz analizy ryzyka kredytowego konkretnego klienta (indywidualna ocena zdolności kredytowej), w celu budowy i utrzymania modeli scoringowych, a więc narzędzi wykorzystywanych przez banki do oceny zdolności kredytowej i analizy ryzyka kredytowego oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013; 2. art. 6 ust. 1 lit. c) RODO w zw. z art. 70a w zw. z art. 105 ust. 4 pkt. 1 i 2 oraz w zw. z art. 105a Prawa bankowego poprzez jego niezastosowanie wskutek uznania, że BIK nie posiada podstawy prawnej do przetwarzania danych Wnioskodawczyni w sytuacji nie zawarcia umowy kredytowej, podczas gdy BIK posiada podstawę prawną przetwarzania z uwagi na niezbędność przetwarzania do wykonania obowiązku prawnego przez banki i BIK, w postaci obowiązku przekazania osobie ubiegającej się o kredyt w formie pisemnej na jego wniosek wyjaśnień dotyczących dokonanej oceny zdolności kredytowej wnioskującego; 3. art. 6 ust. 1 lit. e) RODO poprzez jego niezastosowanie wskutek uznania, że BIK nie posiada podstawy prawnej do przetwarzania danych Wnioskodawczyni w sytuacji nie zawarcia umowy kredytowej, podczas gdy BIK posiada podstawę prawną przetwarzania z uwagi na niezbędność przetwarzania dla realizacji zadania w interesie publicznym przez banki i BIK w postaci zabezpieczenia ekonomiczno-gospodarczego sektora bankowego, w tym depozytariuszy i zapewnienia stabilności ekonomiczno-gospodarczej sektora bankowego, a w ujęciu makro zapobieganiu kryzysom gospodarczym; 4. art. 6 ust. 1 lit. f) RODO poprzez jego niewłaściwe zastosowanie i w konsekwencji nieuzasadnione przyjęcie, że prawnie uzasadniony interes administratora danych nie może opierać się na przesłance ewentualnego zabezpieczenia roszczeń, podczas gdy istotą uzasadnionego interesu prawnego administratora jest możliwość przetwarzania danych przez okres przedawnienia roszczeń na wypadek konieczności obrony lub dochodzenia ewentualnych roszczeń, które mogą się pojawić w określonym czasie po przeprowadzeniu stosownej analizy zdolności kredytowej oraz analizie ryzyka kredytowego, które to BIK zobowiązany jest gromadzić, przetwarzać i udostępniać bankom dla realizacji celów ustawowych badania zdolności kredytowej: 5. art. 6 ust. 1 lit. f) RODO poprzez błędne uznanie, że wskutek braku zawarcia umowy kredytowej, BIK nie posiada prawnie uzasadnionego interesu w przetwarzaniu danych Wnioskodawczyni, podczas gdy istnieje prawnie uzasadniony interes Skarżącego w przetwarzaniu tych informacji pomimo nie zawarcia umowy kredytowej, polegający na realizacji działań z zakresu opracowania, utrzymania aktualności i funkcjonalności zbudowanych modeli scoringowych w zgodzie z treścią Rekomendacji W, S i T Komisji Nadzoru Finansowego w zakresie dobrych praktyk i zarządzania ryzykiem kredytowym; 6. art. 6 ust. 1 lit. f) RODO poprzez jego niezastosowanie wskutek uznania, że BIK nie posiada podstawy prawnej do przetwarzania danych Wnioskodawczyni, podczas gdy BIK posiada podstawę prawną przetwarzania z uwagi na konieczność zapewnienia rozliczalności działań BIK jako administratora danych osobowych na zasadzie art. 5 ust. 2 RODO w postaci wykazania przestrzegania przepisów dotyczących jakości danych. Zaskarżonej decyzji zarzucono również naruszenie prawa procesowego, mającego istotny wpływ na wynik sprawy, tj.: 1. art. 7, art. 77 § 1, art. 80 k.p.a. w zw. z art. 7 UODO poprzez niewyczerpujące zebranie, nierozpatrzenie i błędną ocenę całokształtu materiału dowodowego przejawiającego się w zaniechaniu dokonania wyczerpującej analizy charakteru, zakresu oraz celów gospodarczo – ekonomicznych, dla jakich zostało powołane BIK oraz obowiązków prawnych i obowiązków wynikających z zawartych przez BIK, umów z bankami, skutkującą wadliwą i niepełną oceną stanu faktycznego sprawy oraz charakteru działania BIK, co w konsekwencji skutkowało nieuzasadnionym wydaniem przez Organ nakazu usunięcia danych osobowych Wnioskodawczyni; 2. art. 7b w zw. z art. 7 w zw. z art. 77 k.p.a. w zw. z art. 7 UODO poprzez niedokładne wyjaśnienie stanu faktycznego i prawnego koniecznego do podjęcia przez Organ stosownych czynności, a w szczególności niezwrócenie się do Komisji Nadzoru Finansowego w celu kompleksowego wyjaśniania stanu faktycznego sprawy oraz współdziałania w zakresie niezbędnym do dokładnego wyjaśnienia stanu prawnego, mając na względzie interes społeczny i słuszny interes obywateli w postaci ustalenia należytych zasad, celów i zakresu przetwarzania danych osobowych o niezrealizowanych zapytaniach kredytowych tak, by procesy przetwarzania danych czyniły zadość zarówno przepisom prawa o ochronie danych osobowych, jak i przepisom szeroko pojętego prawa bankowego, w szczególności dla zapewnienia ochrony wartości, których gwarancje ochrony wynikają z ww. przepisów zgodnie z zasadą proporcjonalności; 3. art. 7, art. 77 § 1 i art. 80 k.p.a. poprzez zaniechanie dokonania oceny Rekomendacji S, W i T Komisji Nadzoru Finansowego jako organu właściwego do sprawowania nadzoru nad instytucjami krajowymi w rozumieniu przepisów UE (regulatora rynku finansowego), które to regulacje nakładają na banki, a w konsekwencji na BIK, jako instytucję gromadzącą dane służące do oceny zdolności kredytowej oraz budującą modele scoringowe służące bankom, określone wymagania, które podlegają nadzorowi i egzekwowaniu przez Komisję Nadzoru Finansowego na podstawie bezwzględnie obowiązujących przepisów prawa, co w konsekwencji doprowadziło do zaniechania przez Organ oceny podstaw prawnych i celów, dla jakich BIK oraz banki są upoważnione do przetwarzania danych w zakresie zdolności kredytowej również w przypadku nie zawarcia umowy kredytowej dla zabezpieczenia interesów banków oraz stabilności rynku gospodarczo-finansowego; 4. art. 7, art. 77 w zw. z art. 80 k.p.a. poprzez zaniechanie wyczerpującego zebrania i rozpatrzenia materiału dowodowego, a w szczególności przejawiającego się brakiem analizy treści skargi złożonej do PUODO przez Wnioskodawczynię pod kątem istnienia – po stronie banków, a w konsekwencji BIK jako instytucji gromadzącej dane służące do oceny zdolności kredytowej oraz budującej modele scoringowe służące bankom - oczywistego interesu prawnego przejawiającego się w odmowie udzielenia kredytu wynikającego z braku istnienia zdolności kredytowej po stronie Wnioskodawczyni, co prowadzi do zabezpieczenia interesu banków przed nieodpowiedzialną polityką udzielania kredytów osobom, które nie mają szans na ich spłacenie oraz do zapewnienia stabilności gospodarczo-ekonomicznej sektora bankowego, a w ujęciu makro zapobieganiu kryzysom gospodarczym; 5. art. 7, art. 77 w zw. z art. 80 k.p.a. poprzez zaniechanie dokonani wyczerpującego rozpatrzenia materiału dowodowego skutkującego błędnym ustaleniem stanu faktycznego przejawiające się błędnym ustaleniem, że Wnioskodawczyni zwróciła się również do BIK o usunięcie danych osobowych przetwarzanych w związku ze złożonymi wnioskami kredytowymi, a także błędnego ustalenia, że BIK odmówił usunięcia jej danych osobowych, podczas gdy z treści skargi złożonej do PUODO wprost wynika, że nie składała ona do BIK żądania usunięcia danych, a w konsekwencji stwierdzenie przez Organ, że "powyższe podmioty odmówiły usunięcia danych osobowych Skarżącej", jest niezgodne z rzeczywistym stanem faktycznym; 6. art. 7, art. 77 w zw. z art. 80 k.p.a. poprzez niezbadanie przez Organ wszystkich podstaw prawnych dalszego przetwarzania danych o zapytaniach kredytowych, w sytuacji nieudzielania kredytu, pomimo iż przepisy prawa upoważniają BIK do przetwarzania tych danych, co w konsekwencji doprowadziło do błędnego nakazania Skarżącemu usunięcie danych osobowych wobec błędnego przyjęcia przez Organ braku istnienia podstawy prawnej do przetwarzania danych. We wniesionej skardze [...] Bank Polska S.A. z siedzibą w [...] wniósł o uchylenie decyzji w zaskarżonej części dotyczącej [...] Bank Polska S.A. z siedzibą w [...], a także wstrzymanie jej wykonania w tożsamym zakresie, a nadto o zasądzenie kosztów postępowania. W skardze podniesiono zarzuty naruszenia przepisów prawa materialnego, które miało wpływ na wynik sprawy, tj.: a) art. 6 ust. 1 RODO w zw. z art. 70a ust. 1 Prawa bankowego w zw. z art. 105a ust. 1 - 1c i 3 w zw. z art. 106 d Prawa bankowego w zw. z art. 33, art. 34, art. 36, art. 46 ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu oraz przepisów rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 575/2013 z dnia 26 czerwca 2013 r. w sprawie wymogów ostrożnościowych dla instytucji kredytowych i firm inwestycyjnych, zmieniające rozporządzenie (UE) nr 648/2012 (Capital Requirements Regulation, dalej "CRR") poprzez niezastosowanie i pominięcie przy wydawaniu decyzji istnienia podstaw prawnych do przetwarzania danych osobowych Wnioskodawczyni przez Bank; b) art. 6 ust. 1 lit. c RODO w związku z art. 144 ust. 1 lit. d, art. 145 ust. 1, art. 170 ust. 3 lit. a, art. 171 ust. 2 i art. 179 ust 1 lit. a rozporządzenia Parlamentu Europejskiego i Rady nr 575/2013 z dnia 26 czerwca 2013 r. w sprawie wymogów ostrożnościowych dla instytucji kredytowych i firm inwestycyjnych, zmieniające rozporządzenie (UE) nr 648/2012 (Dz. Urz. UE L 2013 Nr 176, str. 1 - dalej "CRR") - które polegało na jego niewłaściwym danych wynikającą z art. 6 ust. 1 lit. c RODO w związku z powyższymi przepisami CRR wskazującymi na określone obowiązki w zakresie wymogów ostrożnościowych, podczas gdy przepisy te m. in. nakładają na banki konieczność gromadzenia i przechowywania danych, aby zapewnić skuteczne wsparcie procesów pomiaru ryzyka kredytowego oraz zarządzania ryzykiem kredytowym; c) art. 6 ust. 1 lit. f RODO w związku z Rekomendacjami S, W i T Komisji Nadzoru Finansowego - które polegało na jego niewłaściwym zastosowaniu i przyjęciu, że Bank nie legitymuje się przesłanką przetwarzania danych wynikającą z art. 6 ust. 1 lit. f RODO w związku z Rekomendacjami S, W i T Komisji Nadzoru Finansowego, podczas gdy przepisy te nakładają na banki, określone wymagania, które następnie podlegają egzekwowaniu przez Komisję Nadzoru Finansowego na podstawie bezwzględnie obowiązujących przepisów prawa; d) art. 6 ust. 1 lit. f RODO w zw. z art. 117 § 2 i 21, art. 118 i 119 k.c. w zw. z art. 5 ust. 2 ustawy z dnia 13 kwietnia 2018 r. o zmianie ustawy – Kodeks cywilny oraz niektórych innych ustaw poprzez błędne zastosowanie i uznanie, że kwestia ewentualnych roszczeń Klienta nie ma znaczenia dla oceny możliwości przetwarzania danych przez okres, do którego następuje upływ okresu przedawnienia; e) art. 58 ust. 2 lit. b w zw. z art. 6 ust. 1 w zw. z art. 5 ust 1 RODO poprzez niewłaściwe zastosowanie i przyjęcie, że Bank naruszył przepisy RODO i zasadne było wydanie decyzji nakazującej usunięcie danych osobowych, podczas gdy Bank nie dopuścił się naruszenia przepisów o ochronie danych osobowych. Bank podniósł ponadto następujące zarzuty dotyczące naruszenia przepisów postępowania, które mogło mieć istotny wpływ na wynik sprawy, tj: a) art. 7, art. 77 § 1, art. 80 k.p.a. poprzez zaniechanie dokładnego wyjaśnienia stanu faktycznego sprawy i prowadzenie postępowania wbrew regułom nakazującym wyczerpujące zebranie i rozpatrzenie materiału dowodowego oraz ocenę jego całokształtu, co przejawiało się w szczególności w: • braku dokonania wszechstronnej oceny wyjaśnień zawartych w pismach Banku informujących o podstawach przetwarzania danych Wnioskodawczyni; • ograniczeniu postępowania wyjaśniającego do kwestii dotyczących przekazania danych Wnioskodawczyni do BIK S.A. oraz podstaw przetwarzania danych z uwagi na art. 105 ust. 1 pkt 1 lit. c i art. 105 ust. 4, jak również art. 70 ust. 1 Prawa bankowego, a tym samym wadliwym zaniechaniu podjęcia czynności niezbędnych do dokładnego wyjaśnienia stanu faktycznego sprawy, w szczególności poprzez weryfikację czy upłynął termin przedawnienia roszczeń związanych z brakiem zawarcia umowy, co miało kluczowe znaczenie dla oceny, czy Bank miał uzasadniony interes w przetwarzaniu danych osobowych Klienta; • zaniechaniu wyjaśnienia aktualnego na datę wydania decyzji stanu faktycznego i stanu prawnego istotnego dla ustalenia zakresu i podstaw przetwarzania przez Bank danych osobowych Wnioskodawczyni i oparcie się w tym zakresie na wyjaśnieniach Banku złożonych w 2019 r., co skutkowało błędnym uznaniem, że przetwarzanie danych osobowych w zakresie złożonego zapytania kredytowego jest niedopuszczalne; b) art. 7b k.p.a – które polegało na zaniechaniu zwrócenia się do Komisji Nadzoru Finansowego, jako organu właściwego w sprawach związanych z rynkiem finansowym i jego regulowaniem, tj. m.in. z badaniem zdolności kredytowej i analizą ryzyka kredytowego, w tym budową modeli scoringowych w zakresie wykorzystywania do realizacji tych zadań danych, w tym danych osobowych o niezrealizowanych zapytaniach kredytowych. W obszernym uzasadnieniu obu skarg, zarówno BIK S.A., jak i Bank, rozwinęły podniesione zarzuty, omawiając wadliwość wydanej decyzji. W udzielonych odpowiedziach na obie skargi Prezes UODO wniósł o ich oddalenie, podtrzymując stanowisko wyrażone w zaskarżonej decyzji. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Zgodnie z art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (Dz. U. z 2023 r., poz. 259), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej, przy czym kontrola ta sprawowana jest pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej. W świetle powołanych powyżej przepisów Wojewódzki Sąd Administracyjny w Warszawie, w zakresie swojej właściwości, ocenia zaskarżoną decyzję administracyjną, postanowienie, czy też inny akt lub czynność z zakresu administracji publicznej dotyczącą uprawnień lub obowiązków wynikających z przepisów prawa, z punktu widzenia ich zgodności z prawem materialnym i przepisami postępowania administracyjnego, według stanu faktycznego i prawnego obowiązującego w dacie wydania tego aktu lub podjęcia spornej czynności. Chodzi więc o kontrolę aktów lub czynności z zakresu administracji publicznej dokonywaną pod względem ich zgodności z prawem materialnym i przepisami procesowymi, nie zaś według kryteriów słuszności. Ponadto, co wymaga podkreślenia, Sąd rozstrzyga w granicach danej sprawy, nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną (vide art. 134 § 1 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi – Dz. U. z 2023 r. poz. 259 – dalej P.p.s.a.). Przechodząc na grunt rozpoznawanej sprawy, zasadnym jest przytoczenie treści niektórych przepisów, które miały w sprawie zastosowanie. Zgodnie z art. 6 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z 04.05.2016, str. 1 oraz Dz. Urz. UE L 127 z 23.05.2018 str. 2 ze zm.), przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy – i w takim zakresie, w jakim – spełniony jest co najmniej jeden z poniższych warunków: a) osoba, której dane dotyczą, wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów; b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy; c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze; d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej; e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi; f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Akapit pierwszy lit. f) nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań. Zdaniem Sądu, za uprawnione należy uznać stanowisko Prezesa Urzędu, że w sytuacji, gdy w następstwie złożenia wniosku kredytowego nie dochodzi do zawarcia umowy kredytowej z bankiem, brak jest przesłanek ustawowych legalizujących dalsze przetwarzanie danych osobowych niedoszłego klienta. Taki wniosek wypływa z literalnego brzmienia art. 105a Prawa bankowego. Zgodnie z art. 105a ust. 1 Prawa bankowego, przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów oraz instytucje utworzone na podstawie art. 105 ust. 4, informacji stanowiących tajemnicę bankową w zakresie dotyczącym osób fizycznych może być wykonywane (...) w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Stosownie zaś do art. 105a ust. 2 Prawa bankowego, z zastrzeżeniem ust. 3, instytucje, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową oraz informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, w zakresie dotyczącym osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, pod warunkiem uzyskania pisemnej zgody osoby, której informacje te dotyczą, z zastrzeżeniem ust. 2a. Zgoda ta może być w każdym czasie odwołana. Natomiast art. 105a ust. 3 Prawa bankowego stanowi, że banki, instytucje oraz podmioty, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową i informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank, inną instytucję ustawowo upoważnioną do udzielania kredytów, instytucję pożyczkową albo podmiot, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, o zamiarze przetwarzania dotyczących jej tych informacji, bez jej zgody. Według zaś art. 105a ust. 4 Prawa bankowego, banki oraz instytucje, o których mowa w art. 105 ust. 4, mogą przetwarzać stanowiące tajemnicę bankową informacje dotyczące osoby fizycznej po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której informacje dotyczą, do celów stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013. Z kolei ust. 5 art. 105a Prawa bankowego przewiduje, że przetwarzanie informacji stanowiących tajemnicę bankową w przypadkach, o których mowa w ust. 3, może być wykonywane przez okres nie dłuższy niż 5 lat od dnia wygaśnięcia zobowiązania, a w przypadku, o którym mowa w ust. 4, przez okres 12 lat od dnia wygaśnięcia zobowiązania. Zakres przetwarzanych informacji, o których mowa w ust. 3 i 4, może obejmować dane dotyczące osoby fizycznej lub dane dotyczące zobowiązania (art. 105a ust. 6). Przesłanki zawarte w art. 105a Prawa bankowego dotyczą zatem przetwarzania informacji objętych tajemnicą bankową w okresie przed powstaniem zobowiązania, w trakcie jego trwania oraz po wygaśnięciu zobowiązania. W sytuacji natomiast, gdy w następstwie złożenia wniosku kredytowego nie dochodzi do zawarcia umowy kredytowej z bankiem, brak jest ustawowych przesłanek legalizujących dalsze przetwarzanie przez bank oraz BIK danych osobowych potencjalnego klienta. Ocena zdolności kredytowej i ryzyka kredytowego ma charakter czynności wstępnych przed zawarciem umowy przez bank. Dalsze przetwarzanie danych, uzyskanych w celu oceny zdolności kredytowej, w przypadku braku zawarcia stosownej umowy, pozostawałoby w oderwaniu od celu, dla którego dane te uzyskano. Niedopuszczalne jest przetwarzanie danych osobowych na przyszłość, a także na potrzeby budowy oceny zdolności kredytowej innych podmiotów, jeżeli nie można zrekonstruować wyraźnej podstawy prawnej takich działań. W niniejszej sprawie celem przetwarzania danych osobowych wnioskodawczyni była ocena zdolności kredytowej i analizy ryzyka kredytowego. W związku z dokonaniem przez Bank oraz BIK tejże oceny powyższy cel przetwarzania danych osobowych K. W. został zrealizowany i brak jest podstaw prawnych do kontynuowania tego procesu. Trafne jest zatem stanowisko organu, że nie wystąpiła przesłanka legalizująca proces przetwarzania danych określona w art. 6 ust. 1 lit. c i lit. f RODO. W ocenie Sądu Bank w sposób nieuprawniony próbuje rozszerzyć stosowanie normy wskazanej w art. 105a ust. 1 Prawa bankowego na sytuacje, w których nie dochodzi do zawarcia umowy, a dane osobowe osoby wnioskującej o kredyt są przetwarzane w celu oceny ryzyka kredytowego. Bank wskazuje bowiem, że dla takiej oceny istotna jest informacja o składanych wcześniej przez daną osobę wnioskach kredytowych i fakcie nieudzielenie jej kredytu. Bank podkreśla przy tym, że analiza ryzyka kredytowego jest jego obowiązkiem. Sąd nie neguje, że ocena ryzyka kredytowego jest obowiązkiem Banku. Instrumenty służące dokonaniu takiej oceny przez banki muszą jednak być stosowane z poszanowaniem przepisów prawa normujących uprawnienie banków do przetwarzania danych osobowych potencjalnych klientów. Słusznie też zauważa Prezes UODO w odpowiedzi na skargę, że prezentowana przez Bank wykładnia art. 105a ust. 1 Prawa bankowego prowadziłaby do wniosku, że na potrzeby oceny zdolności kredytowej i analizy ryzyka kredytowego banki lub inne podmioty wymienione w tym przepisie byłyby uprawnione do przetwarzania danych osobowych potencjalnych klientów bez żadnego ograniczenia czasowego, mimo że nie zawarto umowy o kredyt. W przypadku zaś gdyby doszło do zawarcia umowy, banki byłyby uprawnione do przetwarzania danych osobowych po wygaśnięciu zobowiązania, bez zgody osoby, której informacje dotyczą, przez okres wskazany w art. 105a ust 5 prawa bankowego. Skoro ustawodawca w art. 105a ust. 1 ustawy Prawo bankowe nie wskazał okresu, przez jaki mogą być przetwarzane informacje stanowiące tajemnicę bankową, a w art. 105a ust. 5 wskazał takie okresy w odniesieniu do sytuacji, w których wygasło zobowiązanie, to nie oznacza to, że okres przetwarzania tych informacji, w sytuacji gdy nie doszło do zawarcia umowy, jest nieograniczony. Oznacza to, że przetwarzanie danych osobowych w oparciu o art. 105a ust. 1 ustawy Prawo bankowe jest uprawnione w odniesieniu do konkretnego zapytania kredytowego. Jeżeli nie dochodzi do zawarcia umowy, to uprawnienie do dalszego przetwarzania danych osobowych w oparciu o ten przepis wygasa. Powyższe stanowisko znajduje potwierdzenie w wyroku Naczelnego Sądu Administracyjnego z dnia z 27 lipca 2019 r., sygn. akt I OSK 2567/17 (orzeczenia.nsa.gov.pl). W wyroku tym NSA podniósł, że "Celem oceny zdolności kredytowej i analizy ryzyka kredytowego w odniesieniu do konkretnego klienta jest bowiem zawarcie umowy kredytowej na określonych warunkach. Skoro do niej nie dochodzi wskutek tej czynności banku, to nie ma podstaw prawnych do dalszego ich przechowywania. Gdyby podzielić stanowisko skarżącego, że pozyskanie danych na etapie złożenia wniosku kredytowego uprawnia bank do ich nieograniczonego w czasie przechowywania po odmowie zawarcia umowy kredytowej, to regulacje zawarte w art. 105a ust. 2 i 3 i ust. 5 Prawa bankowego ograniczające w czasie przypadki przetwarzania danych klientów z umów kredytowych pozbawione byłyby sensu. (...) Skoro celem przetwarzania była ocena zdolności kredytowej i analizy ryzyka kredytowego, to cel ten odpadł z momentem jej dokonania. W przypadku osób, z którymi zawarto umowę kredytową, istnieje podstawa do dalszego ich przetwarzania, a w stosunku do tych, z którymi nie zawarto umowy, takiej podstawy nie sposób wywieść ani z przepisów obowiązującej wówczas ustawy, ani Prawa bankowego." Odnosząc się do zarzutów i twierdzeń Banku, iż legitymuje się przesłanką przetwarzania danych wynikającą z art. 6 ust. 1 lit. f RODO w związku z Rekomendacjami S, W i T Komisji Nadzoru Finansowego, które to Rekomendacje nakładają na banki określone wymagania, które następnie podlegają egzekwowaniu przez Komisję Nadzoru Finansowego, na podstawie bezwzględnie obowiązujących przepisów, stwierdzić należy, iż zarzuty te nie zasługują – w ocenie Sądu – na uwzględnienie. Wskazać w tym miejscu należy, iż źródłami powszechnie obowiązującego prawa w Rzeczypospolitej Polskiej są: Konstytucja, ustawy, ratyfikowane umowy międzynarodowe oraz rozporządzenia (art. 87 ust. 1 Konstytucji RP). Nie ulega zatem wątpliwości, że rekomendacje KNF nie są aktami prawa powszechnie obowiązującego. Nie mieszczą się bowiem w zamkniętym katalogu źródeł powszechnie obowiązującego prawa Rzeczypospolitej Polskiej, określonym w art. 87 Konstytucji RP. Ponadto wydaje je organ, który nie ma stosownego umocowania konstytucyjnego. W świetle dychotomiczności i konstytucyjnego systemu źródeł prawa problem stanowi jednak również klasyfikacja rekomendacji jako przepisów prawa o charakterze wewnętrznym w rozumieniu art. 93 ust. 1 Konstytucji RP. Za uznaniem rekomendacji jako elementu systemu aktów prawa wewnętrznego opowiedział się Sąd Najwyższy w postanowieniu z 7 grudnia 1999 r., sygn.. akt I CKN 796/99, LEX nr 38875, odnoszącym się do Komisji Nadzoru Bankowego (poprzednika KNF). Jednakże duża część doktryny reprezentuje stanowisko, iż rekomendacje KNF nie mają charakteru normatywnego (jako akty prawa wewnętrznego w rozumieniu art. 93 Konstytucji RP), lecz – stanowiąc jedynie postulat pod adresem banków dotyczący prawidłowej organizacji banku i bezpiecznego – charakter nie władczych form działania administracji (Agnieszka Mikos-Sitek (red.), Zapadka Piotr (red.), "Prawo bankowe. Komentarz", WKP 2022, teza 3 do art. 137). W świetle powyższego brak jest podstaw do przyjęcia, iż wskazane w skardze Banku Rekomendacje mogą stanowić źródło obowiązku prawnego ciążącego na administratorze, o którym mowa w art. 6 ust. 1 lit. c RODO lub źródło prawnie uzasadnionych interesów realizowanych przez administratora w rozumieniu art. 6 ust. 1 lit. f RODO. Z tego też względu za całkowicie chybiony uznać należało zarzut naruszenia art. 7b k.p.a., polegającego na zaniechaniu zwrócenia się przez Prezesa UODO do Komisji Nadzoru Finansowego jako organu właściwego w sprawach związanych z rynkiem finansowym i jego regulowaniem w celu kompleksowego wyjaśnienia stanu faktycznego sprawy oraz współdziałania w zakresie niezbędnym do dokładnego wyjaśnienia stanu prawnego. Analizując podniesiony zarzut naruszenia art., 6 ust. 1 RODO w zw. z art. 70a ust. 1 Prawa bankowego, godzi się wyjaśnić, iż zgodnie z art. 70a ust. 1 Prawa bankowego banki i inne instytucje ustawowo upoważnione do udzielania kredytów na wniosek osoby fizycznej, prawnej lub jednostki organizacyjnej niemającej osobowości prawnej, o ile posiada zdolność prawną, ubiegającej się o kredyt przekazują, w formie pisemnej, wyjaśnienie dotyczące dokonanej przez siebie oceny zdolności kredytowej wnioskującego. Wyjaśnienie, o którym mowa w ust. 1, obejmuje informacje na temat czynników, w tym danych osobowych wnioskującego, które miały wpływ na dokonaną ocenę zdolności kredytowej (art. 70a ust. 2). Przepis ten nie zakreśla żadnego terminu na wystąpienie z wnioskiem o przekazanie wyjaśnień dotyczących dokonania zdolności kredytowej. Nie może to jednak oznaczać, jak słusznie organ podnosi w zaskarżonej decyzji, że przetwarzanie danych osobowych w oparciu o ten przepis byłoby bezterminowe. Uczestniczka postępowania wykazała w sposób jednoznaczny wolę usunięcia danych, zatem przyjąć należy, że nie jest zainteresowana realizacją prawa do wyjaśnienia dotyczącego dokonanej oceny zdolności kredytowej, w myśl art. 70a ust. 1 i 2 Prawa bankowego. Brak jest zatem uzasadnienia dla przyjęcia, że Bank jest uprawniony do przetwarzania jej danych osobowych w związku z koniecznością ewentualnego wypełnienia obowiązku wynikającego z art. 70a ust. 1 i ust. 2 Prawa bankowego. Za prawnie usprawiedliwiony cel w rozumieniu art. 6 ust. 1 lit. f RODO nie może zostać uznane przetwarzanie danych osobowych na wypadek ewentualnego dochodzenia lub obrony roszczeń. Zebrany w niniejszym postępowaniu materiał dowodowy nie wykazał, aby uczestniczka postępowania wystąpiła z jakimkolwiek roszczeniem wobec Banku lub BIK, które uzasadniałoby uprawnienie tych podmiotów do zachowania i przetwarzania jej danych osobowych dla celów dowodowych w związku z dochodzeniem przez uczestniczkę tego roszczenia. Bank nie wskazał także na istnienie roszczeń, których dochodzi od uczestniczki. Okolicznością usprawiedliwiającą przetwarzanie danych osobowych w celu dochodzenia roszczeń jest sam fakt istnienia roszczenia oraz rzeczywisty zamiar jego dochodzenia. Przyjęcie poglądu Banku skutkowałoby tym, że dane osobowe uczestnika postępowania mogłyby być przetwarzane w nieskończoność, gdyż upływ terminu przedawnienia nie uniemożliwia dochodzenia roszczeń, skoro nie powoduje ich wygaśnięcia (wywołuje przecież wyłącznie zmianę w sferze zarzutów procesowych). Na uwzględnienie nie zasługiwał również zarzut Banku dotyczący naruszenia art. 6 ust. 1 lit. c RODO w zw. z art. 144 ust. 1 lit. d, art. 145 ust. 1, art. 170 ust. 3 lit. a, 171 ust. 2 oraz art. 179 ust. 1 lit. a rozporządzenia Parlamentu Europejskiego i rady nr 575/2013 ("CRR"). Zauważyć bowiem należy, że zgodnie z art. 105a ust. 4 banki oraz instytucje, o których mowa w art. 105 ust. 4, mogą przetwarzać stanowiące tajemnicę bankową informacje dotyczące osoby fizycznej po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której informacje dotyczą, do celów stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013. W niniejszej sprawie nie doszło zaś do powstania zobowiązania. Poszukiwanie zatem uprawnienia do przetwarzania danych osobowych w takiej sytuacji w przepisach rozporządzenia CRR jest nieuzasadnione. Niezasadne okazały się również zarzuty naruszenia przepisów prawa materialnego sformułowane w skardze wywiedzionej przez BIK. BIK w swojej skardze zarzucił m. in. naruszenie art. 6 ust. 1 lit. c RODO w zw. z art. 105 ust. 1 pkt 1c w zw. z art. 105 ust. 4 oraz w zw. z art. 105a w zw. z art. 70 i art. 5 ust. 1 pkt 3 Prawa bankowego. Odnośnie tego zarzutu podnieść należy, że przedstawione wyżej stanowisko Sądu dotyczące art. 105a Prawa bankowego jest aktualne również wobec zarzutu postawionego przez BIK. Z kolei art. 105 ust. 1 pkt 1c Prawo bankowego stanowi, że bank ma obowiązek udzielenia informacji stanowiących tajemnicę bankową wyłącznie instytucjom, o których mowa w ust. 4, w zakresie niezbędnym do stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w przepisach części trzeciej rozporządzenia nr 575/2013. Przepis ten stanowi o obowiązku udzielania przez banki informacji stanowiących tajemnicą bankową podmiotowi, jakim jest BIK. Przepis ten nie odnosi się do przetwarzania danych przez BIK w zakresie niezbędnym do stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w przepisach części trzeciej rozporządzenia nr 575/2013. O przetwarzaniu danych przez BIK w tym celu stanowi powołany wyżej art. 105a ust. 4 Prawa bankowego, który, przypomnieć należy, uprawnia do tego BIK bez zgody osoby, której informacje dotyczą, ale "po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów". Art. 70 Prawa bankowego stanowi natomiast wyłącznie o badaniu przez banki zdolności kredytowej i nie zawiera regulacji dotyczących przetwarzania danych osobowych. Z kolei art. 5 ust. 1 pkt 3 tej ustawy wskazuje, że czynnością bankową jest udzielanie kredytów. Art. 105 ust. 4 ustawy Prawo bankowe nie mógł zatem stanowić w niniejszej sprawie podstawy przetwarzania danych osobowych uczestnika przez BIK zarówno samodzielnie, jak i w powiązaniu z art. 105 ust. 1 pkt 1c, art. 105a, art. 70 i art. 5 ust. 1 pkt 3 Prawa bankowego. BIK w swoich zarzutach wskazywał też na naruszenie art. 6 ust. 1 lit. f RODO w zw. z art. 105 ust. 4 ustawy Prawo bankowego. Argumentacja dotycząca art. 105 ust. 4 Prawa bankowego, wskazująca na charakter tego przepisu, nie pozwala też na uznanie, że przepis ten określa prawnie uzasadniony interes realizowany przez BIK lub przez stronę trzecią, a który mógłby być rozważny w kontekście art. 6 ust. 1 lit f RODO. Art. 105 ust. 4 Prawa bankowego sam w sobie nie może bowiem stanowić podstawy prawnej przetwarzania danych osoby ubiegającej się o kredyt. W treści tego przepisu nie można zatem poszukiwać prawnie usprawiedliwionego interesu w przetwarzaniu danych osobowych w sytuacji jak w niniejszej sprawie. Postawiony w tym kontekście zarzut naruszenia art. 6 ust. 1 lit f RODO jest niezasadny. Na uwzględnienie nie zasługiwał również zarzut BIK dotyczący naruszenia art. 6 ust. 1 lit c RODO w zw. z art. 70a w zw. z art. 105 ust. 4 pkt 1 i 2 Prawa bankowego. Wyrażone wyżej stanowisko Sądu dotyczące art. 70a ustawy Prawo bankowe jako podstawy przetwarzania danych osobowych Uczestniczki postępowania przez Bank aktualne jest również w kontekście zarzutów sformułowanych przez BIK. Dodać jedynie należy, że art. 70a ustawy Prawo bankowe nakłada na banki i inne instytucje ustawowo upoważnione do udzielania kredytów obowiązek przekazywania osobie fizycznej ubiegającej się o kredyt wyjaśnień dotyczących dokonanej oceny zdolności kredytowej wnioskującego. Tego rodzaju obowiązku przepis ten nie nakłada na instytucje, o których mowa w art. 105 ust 4 Prawa bankowego. Ponadto żaden z przepisów z wymienionych przez BIK w skardze odnośnie tego zarzutu, tj. art. 70a, art. 105 ust. 4 pkt. 1 i 2, art. 105a Prawa bankowego, nie stanowi o przetwarzaniu danych osobowych wnioskującej o udzielenie kredytu przez okres 12 miesięcy. BIK zarzucił w skardze również naruszenie art. 6 ust. 1 lit e RODO. Podnieść należy, że przepis ten BIK powołał jako podstawę prawną legalizującą przetwarzanie danych osobowych Uczestniczki postępowania dopiero w skardze. Zastosowanie tego przepisu w niniejszej sprawie nie było w związku z tym przedmiotem oceny organu. Przepis ten przewiduje dwie przesłanki legalizujące przetwarzanie danych osobowych. Może być ono niezbędne do wykonania zadania realizowanego w interesie publicznym lub niezbędne w ramach sprawowania władzy publicznej powierzonej administratorowi. W obu przypadkach zarówno zadanie, jak i sprawowanie władzy publicznej muszą zostać sprecyzowane w przepisach, o których mowa w art. 6 ust. 3 RODO. Art. 6 ust. 3 RODO stanowi bowiem, że podstawa przetwarzania, o którym mowa w ust. 1 lit. c) i e), musi być określona: a) w prawie Unii; lub b) w prawie państwa członkowskiego, któremu podlega administrator. Cel przetwarzania musi być określony w tej podstawie prawnej lub, w przypadku przetwarzania, o którym mowa w ust. 1 lit. e) - musi być ono niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi. Podstawa prawna może zawierać przepisy szczegółowe dostosowujące stosowanie przepisów niniejszego rozporządzenia, w tym: ogólne warunki zgodności z prawem przetwarzania przez administratora; rodzaj danych podlegających przetwarzaniu; osoby, których dane dotyczą; podmioty, którym można ujawnić dane osobowe; cele, w których można je ujawnić; ograniczenia celu; okresy przechowywania; oraz operacje i procedury przetwarzania, w tym środki zapewniające zgodność z prawem i rzetelność przetwarzania, w tym w innych szczególnych sytuacjach związanych z przetwarzaniem, o których mowa w rozdziale IX. Prawo Unii lub prawo państwa członkowskiego muszą służyć realizacji celu leżącego w interesie publicznym, oraz być proporcjonalne do wyznaczonego, prawnie uzasadnionego celu. Strona skarżąca powołała się w zakresie tej podstawy przetwarzania danych osobowych na jej rolę w zabezpieczeniu ekonomiczno-gospodarczego sektora bankowego, w tym depozytariuszy i zapewnienia stabilności ekonomiczno-gospodarczej sektora bankowego, a w ujęciu makro zapobieganiu kryzysom gospodarczym. Podnieść należy, że w odróżnieniu od przesłanki z art. 6 ust. 1 lit. c – RODO w art. 6 ust. 3 nie wymaga określenia w podstawie prawnej celu przetwarzania, a jedynie takiej jej konstrukcji, z której wynika niezbędność przetwarzania do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi (zob. E. Bielak-Jomaa (red.), D. Lubasz (red.), "RODO. Ogólne rozporządzenie o ochronie danych. Komentarz", Lex). Zdaniem Sądu analizowane powyżej przepisy art. 70, art. 70a, art. 105 ust. 4 i art. 105a Prawa bankowego nie wskazują na niezbędność przetwarzania przez BIK danych osobowych osoby ubiegającej się o kredyt w sytuacji, gdy nie doszło do zawarcia umowy. Zarzut naruszenia przez organ art. 6 ust. 1 lit. e RODO nie zasługiwał zatem na uwzględnienie. BIK zarzuca również naruszenie art. 6 ust. 1 lit f RODO poprzez: - nieuzasadnione przyjęcie, że prawnie uzasadniony interes administratora danych nie może opierać się na przesłance ewentualnego zabezpieczenia roszczeń, - poprzez błędne uznanie, że wskutek braku zawarcia umowy kredytowej, BIK nie posiada prawnie uzasadnionego interesu w przetwarzaniu danych uczestnika, podczas gdy istnieje prawnie uzasadniony interes BIK w przetwarzaniu tych informacji pomimo nie zawarcia umowy kredytowej, polegający na realizacji działań z zakresu opracowania, utrzymania aktualności i funkcjonalności zbudowanych modeli scoringowych w zgodzie z treścią Rekomendacji W, S i T Komisji Nadzoru Finansowego w zakresie dobrych praktyk i zarządzania ryzykiem kredytowym. Kwestia zabezpieczenia roszczeń i Rekomendacji W, S i T Komisji Nadzoru Finansowego omówiona został już powyżej, w odniesieniu do zarzutów podniesionych przez Bank. Zbędne jest zatem powtarzane tej argumentacji w odniesieniu do zarzutów sformułowanych przez BIK. Nie mógł być skuteczny również zarzut naruszenia prawa materialnego sformułowany w pkt 6 skargi. W ramach tego zarzutu BIK próbował wykazać, że zachodzi podstawa prawna do przetwarzania danych osobowych Uczestniczki postepowania z uwagi na konieczność "zapewnienia rozliczalności działań Skarżącego". Strona skarżąca wskazuje, że przetwarzanie danych osobowych Uczestniczki postępowania umożliwia udokumentowanie tego, że są one przetwarzane z poszanowaniem podstawowych zasad jakości danych osobowych, o których mowa w art. 5 RODO. Innymi słowy BIK próbuje wykazać, że przetwarza dane osobowe po to, aby móc wykazać, że są one przetwarzane zgodnie z prawem. W ocenie Sądu nie jest w takiej sytuacji spełniona przesłanka określona w art. 6 ust. 1 lit f RODO. Przetwarzanie danych w celu udokumentowania prawidłowości ich przetwarzania nie stanowi celu, który wynika z prawnie uzasadnionego interesu. Nieuzasadnione są również zarzuty skarg dotyczące naruszenia przepisów prawa procesowego, tj. art. 7, art. 77 § 1 oraz art. 80 k.p.a., bowiem organ prawidłowo zebrał i ocenił zgromadzony w sprawie materiał dowodowy, opierając się na wyjaśnieniach Banku oraz BIK dotyczących przetwarzania danych osobowych Uczestnczki postepowania zawartych we wnioskach kredytowych. Uzasadnienie decyzji odpowiada zaś wymogom określonym w art. 107 § 3 k.p.a. Nieuzasadniony jest również, o czym wspomniano powyżej, zarzut naruszenia art. 7b k.p.a. poprzez zaniechanie zwrócenia się do Komisji Nadzoru Finansowego w celu kompleksowego wyjaśnienia stanu faktycznego sprawy. Zgodnie z art. 7b k.p.a. w toku postępowania organy administracji publicznej współdziałają ze sobą w zakresie niezbędnym do dokładnego wyjaśnienia stanu faktycznego i prawnego sprawy, mając na względzie interes społeczny i słuszny interes obywateli oraz sprawność postępowania, przy pomocy środków adekwatnych do charakteru, okoliczności i stopnia złożoności sprawy. W ocenie Sądu stan faktyczny i prawny sprawy został przez organ prawidłowo ustalony i należycie rozpatrzony w oparciu o zgromadzony materiał dowodowy, w tym w oparciu o wyjaśnienia Banku oraz BIK. Nie zachodziły więc przesłanki do podjęcia przez PUODO współdziałania z innymi organami administracji publicznej w oparciu o ww. przepis w celu wydania rozstrzygnięcia w sprawie. Sądowi znany jest z urzędu odmienny w tym względzie pogląd wyrażony przez Wojewódzki Sąd Administracyjny w Warszawie w nieprawomocnym wyroku z dnia 29 października 2021 r. sygn. akt II SA/Wa 506/21, jednak poglądu tego Sąd w składzie orzekającym w niniejszej sprawie nie podziela. Sąd zauważa, że PUODO jest wyspecjalizowanym w sprawach dotyczących ochrony danych osobowych i niezależnym organem, który ma status i kompetencje organu nadzorczego określone w przepisach RODO. Z tego względu PUODO jest uprawniony do samodzielnego dokonywania interpretacji przepisów prawa w zakresie dotyczącym ochrony danych osobowych. Stanowisko to znajduje potwierdzenie w art. 51 oraz w motywach 117, 122 oraz 123 RODO. Podsumowując, Sąd stwierdza, że decyzja PUODO jest zgodna z prawem, zaś zarzuty skarg nie zasługiwały na uwzględnienie. Mając na względzie powyższe, Wojewódzki Sąd Administracyjny w na podstawie art. 151 P.p.s.a. orzekł jak w sentencji wyroku.