III OSK 103/24

Naczelny Sąd Administracyjny w składzie: Przewodniczący: Sędzia NSA Wojciech Jakimowicz Sędziowie: Sędzia NSA Tamara Dziełakowska Sędzia del. WSA Maciej Kobak (sprawozdawca) Protokolant: asystent sędziego Karol Kowalski po rozpoznaniu w dniu 18 września 2026 r. na rozprawie w Izbie Ogólnoadministracyjnej skarg kasacyjnych B. S.A. z siedzibą w W. oraz B. S.A. z siedzibą w W. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 17 sierpnia 2023 r. sygn. akt II SA/Wa 1946/22 w sprawie ze skarg B. S.A. z siedzibą w W. oraz B. S.A. z siedzibą w W. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 25 sierpnia 2022 r. nr DS.523.2616.2021.FT.DS w przedmiocie przetwarzania danych osobowych 1. oddala skargi kasacyjne; 2. zasądza od B. S.A. z siedzibą w W. na rzecz Prezesa Urzędu Ochrony Danych Osobowych kwotę 360 (trzysta sześćdziesiąt) złotych tytułem zwrotu kosztów postępowania kasacyjnego; 3. zasądza od B. S.A. z siedzibą w W. na rzecz Prezesa Urzędu Ochrony Danych Osobowych kwotę 360 (trzysta sześćdziesiąt) złotych tytułem zwrotu kosztów postępowania kasacyjnego.

Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z 17 sierpnia 2023 r. (II SA/Wa 1946/22) na podstawie art. 151 ustawy z 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2023 r. poz. 1634 ze zm.; dalej także: "p.p.s.a.") oddalił skargi B. S.A. z siedzibą w W. (dalej także: "Biuro", "BIK", "skarżąca 1") oraz B. S.A. z siedzibą w W. (dalej także: "B.", "Bank", "skarżąca 2") na decyzję Prezesa Urzędu Ochrony Danych Osobowych (dalej także: "Prezes UODO", "PUODO", "organ") z 25 sierpnia 2022 r. w przedmiocie przetwarzania danych osobowych. Wyrok ten zapadł na gruncie następującego stanu faktycznego sprawy. Decyzją z 25 sierpnia 2022 r. Prezes UODO, działając na podstawie art. 104 § 1 ustawy z 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz.U. z 2021 r. poz. 735 ze zm.; dalej także: "k.p.a.") w zw. z art. 7 ust. 1 i 2 ustawy z 10 maja 2018 r. o ochronie danych osobowych (Dz.U. z 2019 r., poz. 1781 ze zm.; dalej także: "u.o.d.o."), art. 6 ust. 1 oraz art. 58 ust. 2 lit. c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.Urz. UE L 119 z 4.05.2016, str. 1, Dz.Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35; dalej także: "RODO") po przeprowadzeniu postępowania administracyjnego w sprawie skargi J. Z. (dalej także: "wnioskodawca", "uczestnik"), na nieprawidłowości w procesie przetwarzania jego danych osobowych przez B. S.A. z siedzibą w W., polegające na przetwarzaniu jego danych osobowych w zakresie zapytania kredytowego z 20 lipca 2020 r. w B. S.A. (dalej również: "BIK") z siedzibą w W. bez podstawy prawnej, w pkt 1 nakazał BIK usunięcie danych osobowych J. Z., wynikających z zapytania kredytowego z 20 lipca 2020 r. przekazanego przez B. S.A. z siedzibą w W. natomiast w pkt 2 nakazał B. S.A. usunięcie danych osobowych J. Z. wynikających z zapytania kredytowego z 20 lipca 2020 r. W uzasadnieniu organ wskazał, że wpłynęła do niego skarga wnioskodawcy na nieprawidłowości w procesie przetwarzania danych osobowych przez Bank, polegające na przetwarzaniu danych osobowych wnioskodawcy w zakresie zapytania kredytowego z 20 lipca 2020 r. w BIKu, bez podstawy prawnej. Uczestnik w treści skargi wskazał, że Bank bezpodstawnie przetwarza jego dane osobowe pomimo tego, iż cofnął zgodę na ich udostępnienie i przetwarzanie, ponadto wskazał, że Bank nie spełnił wymagań uprawniających go do dalszego przetwarzania jego danych osobowych w bazie BIK. Wnioskodawca wniósł o nakazanie Bankowi zaprzestania przetwarzania jego danych osobowych w zakresie zapytania kredytowego. Bank wyjaśnił z kolei, że pozyskał dane wnioskodawcy w zakresie: danych identyfikacyjnych (imię, nazwisko, nazwisko rodowe matki, numer PESEL, data urodzenia, miejsce urodzenia, rodzaj, seria, numer, data wydania, data ważności i kopia dokumentu tożsamości, wykształcenie, obywatelstwo), danych kontaktowych (adres zameldowania, adres zamieszkania (korespondencyjny), numer telefonu, adres e-mail), danych dot. sytuacji rodzinnej i finansowej (stan cywilny, wysokość, rodzaj dochodu, okres zatrudnienia, zawód, stanowisko, informacja o rozdzielności majątkowej, liczba dzieci, dane kontaktowe w tym adres, numer NIP, REGON i numer telefonu zakładu pracy, potwierdzenie okresu ubezpieczenia oraz wysokości podstawy wymiaru składek na ubezpieczenie emerytalne i rentowe) w związku z wnioskiem kredytowym z 20 lipca 2020 r. Dane te pozyskane były w celu: zawarcia i wykonania umowy produktowej, określenia ryzyka kredytowego i zdolności do spłaty zadłużenia oraz oszacowania możliwości zaoferowania wnioskodawcy produktów bankowych na określonych warunkach, a także w związku z koniecznością spełnienia wymogów prawnych spoczywających na Banku (na podstawie art. 6 ust. 1 lit. b) RODO). Z kolei dane te zostały przekazane przez Bank do BIK w ramach procesowania rzeczonego wniosku kredytowego z 20 lipca 2020 r. w celu oceny zdolności kredytowej wnioskodawcy w Banku. B. dane te przekazał w tym samym dniu, tj. 20 lipca 2020 r. Podstawę prawną stanowił art. 5 ust. 1 pkt 3 w zw. z art. 70 ust. 1 w zw. z art. 105 ust. 4 w zw. z art. 105 ust. 1 pkt 1c) Prawa bankowego. Bank wyjaśnił, że dane osobowe wnioskodawcy będą przez niego przetwarzane w celach archiwalnych, przez okres dwóch lat od daty tego wniosku, na podstawie art. 6 ust. 1 lit. c) RODO w zw. z art. 6 ust. 1 lit. f) RODO, z uwagi na konieczność spełniania przez Bank poniższych wymogów: art. 70a i 105a ustawy z 29 sierpnia 1997 r. Prawo bankowe (Dz.U. z 2021 r. poz. 2439 ze zm.; dalej także: "P.b.") w związku z koniecznością zagwarantowania możliwości uzyskania wyjaśnień dotyczących dokonanej przez Bank oceny zdolności kredytowej (art. 70a P.b.) lub w związku z koniecznością zapewnienia prawa do otrzymania stosownych wyjaśnień Banku co do podstaw decyzji podejmowanych w trybie art. 105a ust. 1 P.b. B. przetwarza dane osobowe wnioskodawcy w celu oceny ryzyka kredytowego, w tym oceny globalnego ryzyka kredytowego, m.in. na podstawie art. 105a ust. 1-1c P.b. w zw. z przepisami rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 575/2013 z 26 czerwca 2013 r. w sprawie wymogów ostrożnościowych dla instytucji kredytowych oraz zmieniającego rozporządzenie (UE) nr 648/2012, a także w związku z wymogami określonymi przez Komisję Nadzoru Finansowego w Rekomendacji T dotyczącej dobrych praktyk w zakresie zarządzania ryzykiem detalicznych ekspozycji kredytowych oraz w zakresie stosowania modeli wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 575/2013 z 26 czerwca 2013 r. w sprawie wymogów ostrożnościowych dla instytucji kredytowych i firm inwestycyjnych, zmieniającego rozporządzenie (UE) nr 648/2012 (Dz.Urz. UE L 176 z 27.06.2013, str. 1, z późn. zm.), w zw. z art. 105 ust. 4 pkt 1) P.b. oraz art. 105a ust. 4 P.b., tj. m.in. wymogów kapitałowych określonych w części III ww. rozporządzenia - art. 147 ust. 5 w zw. z art. 147 ust. 2 lit. d) (dotyczących metod klasyfikowania ekspozycji do poszczególnych kategorii ekspozycji) lub art. 171 (dotyczących klasyfikacji do klas lub pul). Oprócz tego Bank przetwarza dane wnioskodawcy w celach ostrożnościowych, tj. w celu oceny ogólnej ekspozycji oraz ryzyka ekspozycji Banku, na podstawie właściwych przepisów rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 575/2013 z 26 czerwca 2013 r. w sprawie wymogów ostrożnościowych dla instytucji kredytowych oraz zmieniającego rozporządzenie (UE) nr 648/2012 w zw. z art. 105 ust. 4 P.b. Ponadto B. wskazał, że przetwarza dane w związku z możliwością dochodzenia przez wnioskodawcę od Banku ewentualnych roszczeń związanych z przedmiotem niniejszego postępowania, tj. na podstawie art. 6 ust. 1 lit. f) RODO w zw. z art. 118 ustawy z 23 kwietnia 1964 r. Kodeks cywilny w zw. z art. 82 RODO oraz związanej z tym konieczności umożliwienia Bankowi obrony przed ewentualnymi roszczeniami (art. 6 ust. 1 lit. f) RODO). Bank wyjaśnił, że wnioskodawca zwracał się do niego z wnioskiem o usunięcie zapytania kredytowego z 20 lipca 2020 r. w dniu 8 sierpnia 2020 r. oraz w dniu 7 stycznia 2021 r., jednakże odmówił realizacji żądania. Z kolei BIK wyjaśnił, że pozyskał dane wnioskodawcy od Banku na podstawie art. 105 ust. 4 i art. 105a ust. 1 P.b. oraz na podstawie łączącej Bank i BIK umowy. BIK wyjaśnił, że będzie przetwarzał dane osobowe wnioskodawcy przez okres maksymalnie 10 lat od dnia złożenia zapytania w celu budowy modeli scoringowych, co wynika z art. 105a ust. 4 i ust. 5 P.b., który odnosi się literalnie do przetwarzania danych o wygasłych zobowiązaniach. BIK wskazał, że potrzeba tak długiego przetwarzania danych, ma zastosowanie również do przetwarzania danych o zapytaniach kredytowych do budowania modeli scoringowych, w tym w celu stosowania metod i modeli, o których mowa w rozporządzeniu Parlamentu Europejskiego i Rady nr 575/2013 z 26 czerwca 2013 r. w sprawie wymogów ostrożnościowych dla instytucji kredytowych i firm inwestycyjnych, zmieniającym rozporządzenie (UE) nr 648/2012 (Dz.Urz. UE L 2013 Nr 176, str. 1; dalej także: "CRR") i do innych analiz statystycznych wykonywanych przez BIK. W związku z tym dla tych celów, na podstawie art. 5 ust. 1 lit. e RODO przyjęto 10-letni okres przetwarzania danych. BIK wskazał, że pozyskał dane wnioskodawcy w następujących celach: 1) wykonywania czynności bankowych, w szczególności oceny zdolności kredytowej i analizy ryzyka kredytowego, w tym z wykorzystaniem profilowania; 2) statystycznych i analiz, których wynikiem nie są dane osobowe i wynik ten nie służy za podstawę podejmowania decyzji dotyczących konkretnych osób fizycznych; 3) w celu stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w art. 105a ust. 4 P.b.; 4) w celach wynikających z art. 106d P.b. tj. w celach przeciwdziałania przestępstwom oraz wykonywania obowiązków w zakresie określonym w przepisach o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu. BIK podał również, że wnioskodawca nie wystąpił do niego z wnioskiem o usunięcie jego danych osobowych przetwarzanych w zakresie zapytania kredytowego z 20 lipca 2020 r. Prezes UODO zauważył następnie, że przepisem uprawniającym administratorów danych do przetwarzania zwykłych danych osób fizycznych jest art. 6 ust. 1 RODO, zaś katalog w nim wskazany jest katalogiem zamkniętym, charakter przesłanek w nim określonych jest autonomiczny i niezależny. Dodatkowo, proces przetwarzania danych osobowych musi być zgodny z zasadami ustanowionymi w art. 5 ust. 1 RODO. Wnioskodawca 20 lipca 2020 r. wystąpił do Banku z wnioskiem o udzielenie kredytu. Wobec powyższego Bank oraz BIK, na podstawie art. 105a ust. 1 Prawa bankowego w zw. z art. 70 ust. 1 tej ustawy, były uprawnione do przetwarzania danych osobowych w celu oceny zdolności kredytowej. Przy czym, nie doszło do zawarcia umowy kredytu pomiędzy wnioskodawcą, a Bankiem. W związku z powyższym utraciła moc przesłanka legalizująca dalsze przetwarzanie danych osobowych wnioskodawcy przez Bank oraz BIK. Przesłanki zawarte w art. 105a P.b. dotyczą bowiem przetwarzania informacji objętych tajemnicą bankową w okresie przed powstaniem zobowiązania, w trakcie jego trwania oraz po wygaśnięciu zobowiązania. Pomiędzy Bankiem, a wnioskodawcą nie zawiązał się żaden stosunek zobowiązaniowy, który stosownie do art. 105a ust. 1-6 P.b. dawałby podstawę do dalszego przetwarzania jego danych osobowych. Podkreślenia również wymaga, że celem przetwarzania danych osobowych uczestnika była ocena zdolności kredytowej i analiza ryzyka kredytowego. W związku z dokonaniem przez Bank oceny zdolności kredytowej i analizy ryzyka kredytowego ww. cel przetwarzania danych osobowych wnioskodawcy został zrealizowany i brak jest podstaw prawnych do kontynuowania tego procesu. Kolejno, organ wskazał, iż w odniesieniu do wskazanego przez Bank celu realizacji wymogów ostrożnościowych tj. oceny ogólnej ekspozycji oraz ryzyka ekspozycji Banku wynikających z CRR, że z przepisów tych nie wynika uprawnienie do przetwarzania danych osobowych w zakresie zapytań kredytowych niezakończonych zawarciem umowy, cytując przy tym treść art. 144 ust. 1 lit. d CRR. Obowiązku zastosowania powyższego rodzaju zapytań kredytowych nie przewiduje również art. 170 ust. 3 lit. a oraz ust. 4 lit. a, art. 171 ust. 2 oraz art. 179 ust. 1 lit. a CRR. Jak wynika z powyższych przepisów instytucja kredytowa jest obowiązana do zbierania informacji przydatnych do skutecznego zarządzania ryzykiem. Nie oznacza to jednak, że gromadzenie danych w systemach ratingowych może odbywać się z naruszeniem innych przepisów regulujących kwestie ochrony danych osobowych. Należy ponadto dodać, że inne przepisy rozporządzenia CRR zawierają konkretyzację danych, które mogą być użyte przez instytucje kredytowe oraz firmy inwestycyjne przy realizacji wymogów ostrożnościowych. W przedmiotowym rozporządzeniu wprost wskazano, że za elementy wskazujące na prawdopodobieństwo niedokonania płatności uznaje się sytuacje takie jak m. in. złożenie przez instytucję wniosku o postawienie dłużnika w stan upadłości lub podobnego wniosku w odniesieniu do zobowiązań kredytowych dłużnika wobec instytucji, jednostki dominującej lub którejkolwiek z jej jednostek zależnych (art. 178 ust. 3 lit. e) lub wystąpienie przez dłużnika o ogłoszenie upadłości lub o przyznanie podobnej ochrony lub postawienie dłużnika w stan upadłości bądź przyznanie mu podobnej ochrony, jeżeli umożliwiłoby mu to uniknięcie lub opóźnienie spłaty zobowiązań kredytowych wobec instytucji, jednostki dominującej lub którejkolwiek z jej jednostek zależnych (art. 178 ust. 3 lit. f). W CRR natomiast nie dokonano takiego konkretnego wskazania w przypadku zapytań kredytowych niezakończonych zawarciem umowy, tym samym nie sposób uznać, że przewiduje ono podstawy prawne do przetwarzania danych w nich zawartych. Zdaniem Prezesa UODO, Bank niewłaściwie wskazuje jako podstawę przetwarzania danych wnioskodawcy Rekomendację T Komisji Nadzoru Finansowego dotyczącą dobrych praktyk w zakresie zarządzania ryzykiem detalicznych ekspozycji kredytowych w związku z badaniem zdolności kredytowej, korzystania z zewnętrznych baz danych, posiadania narzędzi analitycznych wspierających pomiar poziomu ryzyka związanego z detalicznymi ekspozycjami kredytowymi. B. był bowiem uprawniony wyłącznie do przetwarzania danych osobowych wnioskodawcy w celu oceny zdolności kredytowej, zaś do zawarcia umowy między nim, a B. finalnie nie doszło, stąd odpadła przesłanka legalizująca dalsze przetwarzanie danych osobowych uczestnika przez Bank. Organ wyjaśnia także, że celem przetwarzania danych osobowych wnioskodawcy była ocena zdolności kredytowej i analiza ryzyka kredytowego, zaś wobec dokonania oceny takiego ryzyka i zdolności kredytowej ww. cel przetwarzania danych osobowych został zrealizowany, wobec czego brak jest podstaw prawnych do kontynuowania tego procesu, powołując się dodatkowo na pogląd NSA wyrażony w wyroku z 27 sierpnia 2019 r. (I OSK 2567/17). W ocenie Prezesa UODO za podstawę przetwarzania danych osobowych wnioskodawcy, nie mogą być również uznane wskazane przez BIK cele statystyczne i analizy, w tym cel stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części III rozporządzenia nr 575/2013. Organ podkreślił, że powołany przez BIK art. 105a ust. 4 P.b. daje podstawy do przetwarzania informacji dotyczących osoby fizycznej stanowiących tajemnicę bankową po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której te informacje dotyczą, jednakże w tym przypadku nie doszło do zawarcia umowy kredytu, a zatem nie powstał żaden stosunek zobowiązaniowy, o którym mowa w powołanym przepisie. Zebrany w sprawie materiał dowodowy nie wykazał by BIK mógł przetwarzać dane osobowe skarżącego na podstawie art. 106d P.b. w celach przeciwdziałania przestępstwom oraz wykonywania obowiązków w zakresie określonym w przepisach o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu, ponieważ w toku prowadzonego postępowania nie wykazał, aby zaszła którakolwiek z przesłanek określonych w ww. przepisie. W szczególności nie wykazał aby zaszły uzasadnione podejrzenia, o których mowa w art. 106d ust. 1 pkt 1-2, oraz nie wskazał także nałożonego na niego obowiązku określonego w przepisach o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu, o którym mowa w art. 106d ust. 1 pkt 3. Organ odnosząc się do powołanego zarówno przez Bank, jak i przez BIK, celu ustalenia, dochodzenia lub obrony roszczeń wskazał, że zebrany w niniejszym postępowaniu materiał dowodowy nie wykazał, aby wnioskodawca wystąpił z jakimkolwiek roszczeniem wobec Banku czy BIK, które uzasadniałoby uprawnienie tych podmiotów do zachowania i przetwarzania jego danych osobowych dla celów dowodowych w związku z dochodzeniem przez wnioskodawcę tego roszczenia. Bank i BIK nie wskazały także na istnienie roszczeń, których dochodzą od wnioskodawcy. Prezes UODO podkreślił, że przesłanka z art. 6 ust. 1 lit. f RODO dotyczy sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia, potrzeba dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem. Przyjmując odmienną interpretację ww. przepisów wnioskodawca zostałby pozbawiony ochrony na gruncie RODO oraz u.o.d.o. Przyjęcie za prawidłowe argumentacji, że przetwarzanie danych osobowych w celu uchylenia się od negatywnych skutków w przypadku zgłoszenia w przyszłości ewentualnego i nieokreślonego roszczenia, stanowi prawnie usprawiedliwiony cel w rozumieniu art. 6 ust. 1 lit. f RODO oznaczałoby, że dane osobowe wnioskodawcy mogłyby być przetwarzane przez BIK permanentnie, bez konieczności ich usunięcia. Brak jest uzasadnienia dla przyjęcia, iż terminy dotyczące przedawnienia roszczeń wynikających ze stosunków zobowiązaniowych określają jednocześnie ramy czasowe, w których dane osobowe mogą być przetwarzane przez Bank i BIK. Przedawnienie roszczenia nie wywołuje skutków na gruncie ochrony danych osobowych, nie wpływa bowiem na fakt istnienia roszczenia, a powoduje jedynie zmianę w sferze zarzutów procesowych w postaci możliwości podniesienia okoliczności przedawnienia w sporze sądowym. Okolicznością usprawiedliwiającą przetwarzanie danych osobowych w celu dochodzenia roszczeń jest sam fakt istnienia roszczenia oraz zamiar jego dochodzenia, nie jest nią natomiast zmiana w uprawnieniach procesowych podmiotu pozwanego. Brak jest ponadto uzasadnienia dla przyjęcia, że Bank jest uprawniony do przetwarzania danych osobowych w związku z koniecznością ewentualnego wypełnienia obowiązku wynikającego z art. 70a ust. 1 i ust. 2 P.b. W niniejszej sprawie ustalono, że wnioskodawca w dniu 20 lipca 2020 r. ubiegał się o pożyczkę w Banku, jednak jego wniosek został przez Bank oceniony negatywnie i nie zakończył się zawarciem umowy z B. Pismami z 5 sierpnia 2020 r. oraz 7 stycznia 2021 r. uczestnik zwrócił się do Banku z żądaniem usunięcia jego danych przetwarzanych w związku z ww. zapytaniem oraz usunięciem go z BIK. Proces przetwarzania danych osobowych związanych z ww. zapytaniem kredytowy zakwestionował następnie w postępowaniu toczącym się przed Prezesem UODO, domagając się ochrony danych osobowych. Uwzględnienie żądania wnioskodawcy usunięcia przedmiotowych danych skutkować będzie brakiem możliwości udzielenia informacji wskazanych w art. 70a ust. 1 i 2 P.b., z czym wnioskodawca, żądając usunięcia danych, musi się liczyć. W ocenie organu należy uznać więc, że wnioskodawca nie był i nie jest zainteresowany realizacją prawa do złożenia wniosku, o którym mowa w powyższym przepisie, a tym samym nie można uznać, aby stanowił on podstawę przetwarzania jego danych osobowych. Decyzja Prezesa UODO została zaskarżona odpowiednio przez skarżącą 1, w zakresie pkt 1 tejże decyzji, jak również przez skarżącą 2, w zakresie pkt 2 decyzji, podnosząc szereg zarzutów. Odpowiadając na skargi organ wniósł o ich oddalenie, podtrzymując stanowisko wyrażone w zaskarżonej decyzji. W uzasadnieniu powołanego na wstępie wyroku oddalającego obie skargi WSA odwołując się do przepisów RODO wyjaśnił, że dokonując oceny zgodności z prawem zaskarżonej decyzji w zakresie pkt 1 i 2, którą Prezes UODO nakazał Bankowi i BIK usunięcie danych osobowych wnioskodawcy w zakresie zapytania kredytowego z 20 lipca 2020 r. niezakończonego udzieleniem kredytu, że zgodnie z motywem 40 RODO, aby przetwarzanie danych było zgodne z prawem, powinno się odbywać na podstawie zgody osoby, której dane dotyczą, lub na innej uzasadnionej podstawie przewidzianej prawem: albo w niniejszym rozporządzeniu, albo w innym akcie prawnym Unii lub w prawie państwa członkowskiego, o których mowa w niniejszym rozporządzeniu, w tym musi się ono odbywać z poszanowaniem obowiązku prawnego, któremu podlega administrator, lub z poszanowaniem umowy, której stroną jest osoba, której dane dotyczą, lub w celu podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy, co znalazło przełożenie na w art. 6 ust. 1 RODO określającym przesłanki legalności przetwarzania danych osobowych. Sąd podzielił przy tym zapatrywania organu, że w sytuacji, gdy w następstwie złożenia wniosku kredytowego nie dochodzi do zawarcia umowy kredytowej z bankiem, brak jest przesłanek ustawowych legalizujących dalsze przetwarzanie danych osobowych niedoszłego klienta, taki bowiem wniosek wypływa z literalnego brzmienia art. 105a P.b. Przesłanki zawarte w powołanym przepisie dotyczą przetwarzania informacji objętych tajemnicą bankową w okresie przed powstaniem zobowiązania, w trakcie jego trwania oraz po wygaśnięciu zobowiązania. W sytuacji natomiast, gdy w następstwie złożenia wniosku kredytowego nie dochodzi do zawarcia umowy kredytowej z bankiem, brak jest ustawowych przesłanek legalizujących dalsze przetwarzanie przez Bank oraz BIK danych osobowych potencjalnego klienta. Ocena zdolności kredytowej i ryzyka kredytowego ma charakter czynności wstępnych przed zawarciem umowy przez Bank. Dalsze przetwarzanie danych, uzyskanych w celu oceny zdolności kredytowej, w przypadku braku zawarcia stosownej umowy, pozostawałoby w oderwaniu od celu, dla którego dane te uzyskano. Niedopuszczalne jest przetwarzanie danych osobowych na przyszłość, a także na potrzeby budowy oceny zdolności kredytowej innych podmiotów, jeżeli nie można zrekonstruować wyraźnej podstawy prawnej takich działań. W niniejszej sprawie celem przetwarzania danych osobowych wnioskodawcy była ocena zdolności kredytowej i analizy ryzyka kredytowego. W związku z dokonaniem przez Bank oraz BIK tejże oceny powyższy cel przetwarzania danych osobowych wnioskodawcy został zrealizowany i brak jest podstaw prawnych do kontynuowania tego procesu. Trafne jest zatem stanowisko organu, że nie wystąpiła przesłanka legalizująca proces przetwarzania danych określona w art. 6 ust. 1 lit. c i lit. f RODO. W ocenie Sądu Bank w sposób nieuprawniony próbuje rozszerzyć stosowanie normy wskazanej w art. 105a ust. 1 P.b. na sytuacje, w których nie dochodzi do zawarcia umowy, a dane osobowe osoby wnioskującej o kredyt są przetwarzane w celu oceny ryzyka kredytowego. Bank wskazuje bowiem, że dla takiej oceny istotna jest informacja o składanych wcześniej przez daną osobę wnioskach kredytowych i fakcie nieudzielenia jej kredytu. Bank podkreśla przy tym, że analiza ryzyka kredytowego jest jego obowiązkiem, czego Sąd nie negował. Instrumenty służące dokonaniu takiej oceny przez banki muszą jednak być stosowane z poszanowaniem przepisów prawa normujących uprawnienie banków do przetwarzania danych osobowych potencjalnych klientów. Prezentowana przez Bank wykładnia art. 105a ust. 1 P.b. prowadziłaby do wniosku, że na potrzeby oceny zdolności kredytowej i analizy ryzyka kredytowego banki lub inne podmioty wymienione w tym przepisie byłyby uprawnione do przetwarzania danych osobowych potencjalnych klientów bez żadnego ograniczenia czasowego, mimo że nie zawarto umowy o kredyt. W przypadku zaś gdyby doszło do zawarcia umowy, banki byłyby uprawnione do przetwarzania danych osobowych po wygaśnięciu zobowiązania, bez zgody osoby, której informacje dotyczą, przez okres wskazany w art. 105a ust 5 P.b. Skoro ustawodawca w art. 105a ust. 1 P.b. nie wskazał okresu, przez jaki mogą być przetwarzane informacje stanowiące tajemnicę bankową, a w art. 105a ust. 5 wskazał takie okresy w odniesieniu do sytuacji, w których wygasło zobowiązanie, to nie oznacza to, że okres przetwarzania tych informacji, w sytuacji gdy nie doszło do zawarcia umowy, jest nieograniczony. Oznacza to, że przetwarzanie danych osobowych w oparciu o art. 105a ust. 1 P.b. jest uprawnione w odniesieniu do konkretnego zapytania kredytowego. Jeżeli nie dochodzi do zawarcia umowy, to uprawnienie do dalszego przetwarzania danych osobowych w oparciu o ten przepis wygasa, co potwierdzać ma także wyrok NSA z 27 sierpnia 2019 r. (I OSK 2567/17) na który się powołano. Sąd meriti nie znalazł także podstaw do uwzględnienia zarzutu Banku, jakoby legitymował się on przesłanką przetwarzania danych wynikającą z art. 6 ust. 1 lit. f RODO w związku z Rekomendacjami S, W i T Komisji Nadzoru Finansowego, które to Rekomendacje nakładają na banki określone wymagania, które następnie podlegają egzekwowaniu przez Komisję Nadzoru Finansowego, na podstawie bezwzględnie obowiązujących przepisów, powołując się w tej kwestii na hierarchię źródeł prawa wynikającą z Konstytucji RP. Rekomendacje KNF nie są bowiem aktami prawa powszechnie obowiązującego, a tym samym nie mogą one stanowić źródła obowiązku prawnego ciążącego na administratorze, o którym mowa w art. 6 ust. 1 lit. c RODO lub źródła prawnie uzasadnionych interesów realizowanych przez administratora w rozumieniu art. 6 ust. 1 lit. f RODO. Na uwzględnienie nie zasługiwał również zarzut Banku dotyczący naruszenia art. 6 ust. 1 lit. c RODO w zw. z art. 144 ust. 1 lit. d, art. 145 ust. 1, art. 170 ust. 3 lit. a, 171 ust. 2 oraz art. 179 ust. 1 lit. a rozporządzenia nr 575/2013. Zauważyć bowiem należy, że zgodnie z art. 105a ust. 4 banki oraz instytucje, o których mowa w art. 105 ust. 4, mogą przetwarzać stanowiące tajemnicę bankową informacje dotyczące osoby fizycznej po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której informacje dotyczą, do celów stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013. W niniejszej sprawie nie doszło zaś do powstania zobowiązania. Poszukiwanie zatem uprawnienia do przetwarzania danych osobowych w takiej sytuacji w przepisach rozporządzenia nr 575/2013 jest nieuzasadnione. Jako niezasadne ocenione zostały również przez Sąd zarzuty naruszenia prawa materialnego, dokonując przy tym wykładni m.in. art. 105 i art. 70 P.b. oraz art. 6 ust. 1 lit. f i e RODO. Zdaniem WSA analizowane powyżej przepisy art. 70, art. 70a, art. 105 ust. 4 i art. 105a P.b. nie wskazują na niezbędność przetwarzania przez BIK danych osobowych osoby ubiegającej się o kredyt w sytuacji, gdy nie doszło do zawarcia umowy. Zdaniem Sądu nie ma przy tym wątpliwości, że Prezes UODO dokonał w tej sprawie niezbędnych dla jej rozstrzygnięcia ustaleń faktycznych. W zakresie mającym znaczenie dla sprawy zebrał niezbędny materiał dowodowy, zwracał się do stron o udzielenie stosownych wyjaśnień, strony wyjaśnień tych udzieliły. Organ zgromadzony materiał dowodowy rozpatrzył wszechstronnie i należycie, a ocena tego materiału na gruncie przepisów RODO nie budzi zdaniem Sądu zastrzeżeń, jest prawidłowa. Sąd zauważył również, że PUODO jest wyspecjalizowanym w sprawach dotyczących ochrony danych osobowych i niezależnym organem, który ma status i kompetencje organu nadzorczego określone w przepisach RODO. Z tego względu PUODO jest uprawniony do samodzielnego dokonywania interpretacji przepisów prawa w zakresie dotyczącym ochrony danych osobowych (art. 51, art. 52, art. 57, motyw 123, motyw 129 RODO). Podsumowując, Sąd uznał, że ustalenia Prezesa UODO w zakresie braku dopuszczalności przetwarzania danych wnioskodawcy w zakresie zapytania kredytowego wskazanego w decyzji jest prawidłowe. Nakaz zawarty zarówno w pkt 1 jak i 2 decyzji jest przy tym jasny, nie ma wątpliwości co do jego zakresu i jest wykonalny. Za nieuzasadnione Sąd uznał wszystkie zarzuty podniesione przez Bank i BIK w złożonych skargach. W ocenie Sądu organ zasadnie nakazał w pkt 1 decyzji BIK, a w pkt 2 decyzji Bankowi usunięcie danych osobowych w zakresie zapytania kredytowego z 20 lipca 2020 r. niezakończonego udzieleniem kredytu. W skardze kasacyjnej złożonej przez skarżącą 2, zaskarżając wyrok Sądu pierwszej instancji w części w jakiej oddalona została skarga Banku odnośnie do pkt 2 decyzji Prezesa UODO z 25 sierpnia 2022 r., zarzucono: II. na podstawie art. 176 § 1 pkt 2 w zw. z art. 174 p.p.s.a.: II.1. naruszenie przepisów postępowania, które miało istotny wpływ na wynik sprawy, (art. 174 pkt 2 p.p.s.a.), a to naruszenie art. 151 p.p.s.a. w zw. z art. 145 § 1 pkt 1 lit. c p.p.s.a. poprzez oddalenie skargi Banku z 23 września 2022 r. na pkt 2 decyzji, pomimo że Sąd pierwszej instancji powinien uchylić decyzję w zaskarżonym przez Bank zakresie, albowiem została wydana przez organ z obrazą przepisów postępowania, a to: A. art. 7 w zw. z art. 77 oraz art. 80 k.p.a. ponieważ Prezes UODO nie podjął wszystkich czynności niezbędnych do dokładnego wyjaśnienia oraz załatwienia sprawy, nie zebrał ani nie rozpatrzył materiału dowodowego w sposób wyczerpujący, a także nie dokonał wszechstronnej i merytorycznej oceny zgromadzonego materiału dowodowego: powyższe skutkowało wydaniem przez organ niezasadnego nakazu usunięcia przez skarżącą 2 danych osobowych wnioskodawcy wynikających z zapytania kredytowego z 20 lipca 2020 r. W szczególności Prezes UODO: i) nie ustalił wszystkich celów przetwarzania danych osobowych wnioskodawcy, jak również nie uwzględnił w decyzji wszystkich okoliczności przetwarzania tych danych. Przede wszystkim Prezes UODO bezzasadnie pominął, że bazy danych tworzone przez podmioty prowadzące działalność bankową mają rozbudowaną strukturę, w tym zawierają szereg funkcji wyszukiwania oraz udostępniania raportów. Zróżnicowane mogą być również uprawnienia dostępu do zasobów informacji dla poszczególnych grup pracowników (z perspektywy wykonywanych przez nich zadań). W ocenie Banku dopiero w takim szerokim kontekście należy rozważyć reguły przetwarzania danych osobowych - tj. ustalić, w jakim terminie i dla jakich celów takie przetwarzanie jest uprawnione oraz którzy pracownicy Banku powinni mieć dostęp do tych danych (w zakresie niezbędnym do wykonywania przez nich zadań). Zamiast tego Prezes UODO przyjął błędną tezę, jakoby dane powinny być usuwane niezwłocznie po wydaniu decyzji o odmowie udzielenia kredytu; ii) nie ustalił, że po upływie 12 miesięcy od skierowania przez Bank do BIKu zapytania kredytowego z 20 lipca 2020 r. (dotyczącego wniosku o udzielenie kredytu, złożonego przez wnioskodawcę w tym samym dniu) to zapytanie zostało przekazane do tzw. części statystycznej BIK. Tym samym, w dniu wydania decyzji (25 sierpnia 2022 r.) informacja o ww. zapytaniu kredytowym nie była już dostępna dla innych banków lub innych właściwych podmiotów czy instytucji w BIK oraz nie wpływała na ocenę zdolności kredytowej wnioskodawcy; iii) bezzasadnie pominął, że o ile analiza zdolności kredytowej dotyczy rozpoznania i oceny ryzyka związanego z przyznaniem kredytu konkretnej osobie w konkretnej wysokości, o tyle analiza ryzyka kredytowego wiąże się z koniecznością oszacowania ryzyka dla całego banku, związanego z danym portfelem zobowiązań. W celu ustalenia obiektywnych zasad akceptacji, Bank przeprowadza analizę ryzyka kredytowego na podstawie wiedzy zgromadzonej na temat wszystkich osób, które wnioskowały o kredyt - w tym tych, którym ostatecznie odmówiono udzielenia kredytu. Wyraźne rozróżnienie "zdolności kredytowej" oraz "ryzyka kredytowego" jest tym bardziej istotne w niniejszej sprawie, gdyż zarówno organ, jak i Sąd pierwszej instancji powołał się na wyrok z 27 sierpnia 2019 r., sygn. akt I OSK 2567/17, podczas gdy w tym orzeczeniu NSA nie oceniał potrzeby wykorzystania danych pod kątem niezbędności do analizy ryzyka kredytowego, a ponadto orzekał na podstawie nieobowiązujących już przepisów ustawy z 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jedn. Dz.U. z 2016 r., poz. 922 z późn. zm.) oraz nie analizował przepisów RODO. W tym kontekście warto również zaznaczyć, że obowiązująca wcześniej ustawa o ochronie danych osobowych z 1997 r. w sposób bardzo wąski definiowała "prawnie usprawiedliwione cele", natomiast prawodawca unijny, na podstawie art. 6 ust. 1 lit. f RODO, ustanowił znacznie szerszą przesłankę przetwarzania danych osobowych (uzasadniony interes administratora). W związku z tym ponownie warto podkreślić, że analizując wyrok NSA z 27 sierpnia 2019 r., sygn. akt I OSK 2567/17, trzeba mieć na uwadze, że zapadł on na podstawie przepisów prawa, które różniły się od aktualnie obowiązujących; iv) bezzasadnie założył, że skoro wnioskodawca zażądał usunięcia swoich danych osobowych związanych z zapytaniem kredytowym, to musi się liczyć z tym, że "(u)względnienie żądania Skarżącego [Wnioskodawcy - przyp. autora] usunięcia przedmiotowych danych skutkować będzie brakiem możliwości udzielenia informacji wskazanych w art. 70a ust. 1 i 2 prawa bankowego". Tymczasem z materiału dowodowego nie wynika, aby wnioskodawca istotnie "liczył się" lub był świadomy, że właśnie takie będą skutki jego żądania o usunięcie danych osobowych. Warto zwrócić uwagę, że w dniu wydania decyzji (25 sierpnia 2022 r.) obowiązek Banku przewidziany w art. 70a P.b. nie był ograniczony w czasie. W związku z tym sam fakt, że wnioskodawca nie zażądał wcześniej od Banku wyjaśnień dotyczących oceny zdolności kredytowej, nie musiał przecież oznaczać, że nie zdecyduje się na skierowanie takiego wniosku w przyszłości; B. art. 107 § 1 pkt. 5 oraz art. 107 § 3 w zw. z art. 104 § 2 k.p.a., ponieważ w decyzji nie wskazano ani nie wyjaśniono, jakie konkretnie dane osobowe wnioskodawcy oraz w jakim celu przetwarzane przez Bank, Prezes UODO uznaje za objęte zakresem "wynikającym z zapytania kredytowego z dnia 20 lipca 2020 r." podczas gdy osnowa decyzji powinna być skonstruowana tak precyzyjnie, aby po stronie obowiązanego podmiotu (tu: Bank i Biuro) nie było żadnych wątpliwości co do zakresu powinności wynikających z tej decyzji. Osnowa zaskarżonej decyzji nie spełnia tego wymogu - wynika z niej jedynie, wobec jakich zdarzeń (tu: zapytanie kredytowe z 20 lipca 2020 r.) mają zostać usunięte dane wnioskodawcy. Również w uzasadnieniu decyzji nie wyjaśniono, jakie konkretnie dane osobowe wnioskodawcy oraz w jakim celu przetwarzane przez Bank, Prezes UODO uznaje za objęte zakresem wynikającym z zapytania kredytowego z 20 lipca 2020 r.; C. art. 7 oraz art. 7b w zw. z art. 8 i art. 77 k.p.a., gdyż Prezes UODO nie zwrócił się do Komisji Nadzoru Finansowego (dalej jako: "KNF") jako organu właściwego w sprawach związanych m.in. z badaniem zdolności kredytowej i analizą ryzyka kredytowego oraz budową modeli scoringowych w zakresie wykorzystywania do realizacji tych zadań danych, w tym danych osobowych o niezrealizowanych zapytaniach kredytowych; tymczasem zwrócenie się przez organ do KNF pozwoliłoby na dokładne wyjaśnienie stanu faktycznego i prawnego sprawy, mając na względzie interes społeczny oraz słuszny interes obywateli w postaci ustalenia należytych zasad, celów i zakresu przetwarzania danych o niezrealizowanych zapytaniach kredytowych w taki sposób, aby - zgodnie z zasadą proporcjonalności - procesy przetwarzania danych czyniły zadość zarówno przepisom o ochronie danych osobowych, jak i przepisom szeroko pojętego prawa bankowego oraz zapewnieniu stabilności rynku gospodarczo-finansowego; II.2. naruszenie przepisów prawa materialnego (art. 174 pkt 1 p.p.s.a.), a to: A. naruszenie art. 6 ust. 1 lit. c RODO w zw. z art. 105 ust. 4 oraz art. 105a ust. 1 - 1c P.b. poprzez niewłaściwe zastosowanie, a w konsekwencji nieuzasadnione przyjęcie, że skoro nie doszło do zawarcia umowy kredytu, to Bank nie legitymował się przesłanką przetwarzania danych osobowych wnioskodawcy wynikającą z art. 6 ust. 1 lit. c RODO w zw. z art. 105 ust. 4 oraz art. 105a ust. 1 - 1c P.b., podczas gdy z tych przepisów wynika obowiązek przetwarzania danych (również danych z zapytań kredytowych) przez banki oraz inne instytucje wymienione w art. 105 ust. 4 P.b., na zasadzie wzajemności i w zakresie, w jakim informacje te są potrzebne bankom do wykonywania czynności bankowych, w tym oceny zdolności kredytowej i analizy ryzyka kredytowego. Celem art. 105 ust. 4 P.b. jest zatem nie tylko poinformowanie banku, który rozpatruje wniosek kredytowy, ale i przetwarzanie takiego zapytania przez określony czas i tym samym umożliwienie innemu bankowi (w związku z wnioskiem tej samej osoby złożonym w innym banku) otrzymanie informacji, czy wnioskodawca ubiegał się już o kredyt i z jakim skutkiem - co ma znaczenie dla oceny zdolności i wiarygodności kredytowej dla innego banku. Zdaniem skarżącej 2 przyjęcie jako właściwego stanowiska prezentowanego przez Prezesa UODO (zgodnie z którym BIK i banki powinny usuwać dane natychmiast po wydaniu decyzji o odmowie udzielenia kredytu) może ostatecznie doprowadzić do zakwestionowania wymiany jakichkolwiek informacji pomiędzy bankami i BIK. Ponadto, wbrew ocenie przedstawionej w wyroku, również obowiązki wynikające z art. 105a ust. 1 - 1 c P.b. nie przestają istnieć w sytuacji, gdy umowa kredytu nie zostaje zawarta - w takiej sytuacji Bank w dalszym ciągu jest objęty obowiązkiem przetwarzania danych w celu analizy ryzyka kredytowego; B. naruszenie art. 6 ust. 1 lit. c RODO w zw. z art. 105 ust. 1, art. 105 ust. 4 pkt 1, art. 5 ust. 1 pkt 3 oraz art. 70 ust. 1 P.b. w zw. z art. 9 ust. 2, 3 i 4 ustawy z 12 maja 2011 r. o kredycie konsumenckim (t.j. Dz.U. z 2023 r., poz. 1028 z późn. zm.; dalej jako: "ustawa o kredycie konsumenckim") poprzez jego niewłaściwe zastosowanie oraz nieuzasadnione przyjęcie, że Bank nie legitymuje się przesłanką przetwarzania danych wynikającą z art. 6 ust. 1 lit. c RODO w zw. z art. 105 ust. 1, art. 105 ust. 4 pkt 1, art. 5 ust. 1 pkt 3 oraz art. 70 ust. 1 P.b. w zw. z art. 9 ust. 2, 3 i 4 ustawy o kredycie konsumenckim, podczas gdy cel przetwarzania danych polega na dostarczaniu Bankowi przez BIK informacji (w tym ocen i modeli scoringowych) niezbędnych do wykonywania czynności bankowych (art. 5 ust. 1 pkt 3 P.b.), w tym udzielania kredytów, przy czym ocena zdolności kredytowej jest obowiązkiem banków (art. 70 P.b. w zw. z art. 9 ust. 2, 3 i 4 ustawy o kredycie konsumenckim). Ponadto brak danych wynikających z decyzji kredytowych wpłynąłby negatywnie na funkcjonujące i przyszłe modele scoringowe; C. naruszenie art. 6 ust. 1 lit. c RODO w zw. z art. 144 ust. 1 lit. d, art. 145 ust. 1, art. 170 ust. 3 lit. a, art. 171 ust. 2, art. 179 ust. 1 lit. a oraz art. 181 ust. 2 CRR poprzez niewłaściwe zastosowanie oraz nieuzasadnione przyjęcie, że Bank nie legitymuje się przesłanką przetwarzania danych wynikającą z art. 6 ust. 1 lit. c RODO w zw. z przepisami CRR, podczas gdy te przepisy wskazują na określone obowiązki banków w zakresie wymogów ostrożnościowych, a nadto nakładają na skarżącą 2 obowiązek tworzenia zaawansowanych modeli statystycznych z wykorzystaniem wszystkich istotnych oraz aktualnych informacji, natomiast Bank obowiązany jest do zachowania spójności modelu. Usunięcie danych osobowych wnioskodawcy natychmiast po wydaniu decyzji o odmowie udzielenia kredytu prowadziłoby zaś do naruszenia tego obowiązku; D. naruszenie art. 6 ust. 1 lit. c RODO w zw. z art. 106d ust. 3 P.b., art. 33 ust. 2, art. 33 ust. 3 pkt. 6, art. 34 ust. 1 pkt 4, art. 36, art. 46 oraz art. 49 ust. 1 ustawy z 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (t.j. Dz.U. z 2023 r., poz. 1124; dalej jako: "ustawa AML") poprzez ich niewłaściwe zastosowanie oraz nieuzasadnione przyjęcie, że Bank nie legitymuje się przesłanką przetwarzania danych wynikającą z przywołanych wyżej przepisów ustawy AML podczas gdy ww. przepisy ustawy AML nakładają na Bank obowiązek przetwarzania informacji, w tym danych osobowych, w celu zapewnienia bezpieczeństwa obrotu gospodarczego, poprzez przeprowadzenie szczegółowego badania na temat klientów, w tym przyszłych klientów, jak i badania powiązań kapitałowo-osobowych; E. naruszenie art. 6 ust. 1 lit. c RODO w zw. z art. 70a ust 1 i 2 P.b. poprzez niewłaściwe zastosowanie, a w konsekwencji nieuzasadnione przyjęcie, że przepisy art. 70a ust. 1 i 2 P.b. nie znajdują zastosowania w niniejszej sprawie; tymczasem argumentacja przedstawiona w tym zakresie jest oparta na błędnym i nieuprawnionym założeniu, że usunięcie danych na żądanie wnioskodawcy zwalnia Bank z obowiązku udzielenia wyjaśnień dotyczących oceny zdolności kredytowej. Taki wniosek nie wynika jednak z art. 70a ust. 1 i 2 P.b., a co więcej - w dniu wydania decyzji (25 sierpnia 2022 r.) obowiązek skarżącej 2 przewidziany w ww. przepisach nie był ograniczony w czasie. W związku z tym sam fakt, że wnioskodawca nie zażądał od Banku wyjaśnień dotyczących oceny zdolności kredytowej, nie musiał przecież oznaczać, że wnioskodawca nie zdecyduje się na skierowanie takiego wniosku w przyszłości; F. naruszenie art. 6 ust. 1 lit. f RODO w zw. z art. 117 § 2 i 21 art. 118 i art. 119 ustawy z 23 kwietnia 1964 r. - Kodeks cywilny (t.j. Dz.U. z 2023 r., poz. 1610; dalej jako: "k.c.") poprzez niewłaściwe zastosowanie, a w konsekwencji nieuzasadnione przyjęcie, że przechowywanie danych przez okres przedawnienia roszczeń nie stanowi prawnie uzasadnionego interesu Banku w rozumieniu art. 6 ust. 1 lit. f RODO, skoro w momencie wydawania decyzji ani Bank, ani wnioskodawca nie zgłosili jeszcze roszczeń; tymczasem przepisy art. 6 ust. 1 lit. f RODO w zw. z art. 117 § 2 i 21 art. 118 i art. 119 k.c. uprawniają Bank do przetwarzania danych osobowych w celu rozpatrywania oraz dochodzenia ewentualnych reklamacji lub roszczeń – również w sytuacji, gdy ani administrator danych osobowych (tu: Bank), ani osoba, której dane dotyczą (tu: wnioskodawca), nie zgłosiła jeszcze reklamacji lub roszczenia; G. naruszenie art. 6 ust. 1 lit. f RODO w zw. z następującymi rekomendacjami wydanymi przez KNF: (i) Rekomendacją T z lutego 2013 r., dotyczącą dobrych praktyk w zakresie zarządzania ryzykiem detalicznych ekspozycji kredytowych (załącznik do uchwały KNF nr 59/2013 z 26 lutego 2013 r. (Dz.Urz. KNF z 2013 r., poz. 11; dalej jako: "Rekomendacja T"); (ii) Rekomendacją W z lipca 2015 r., dotyczącą zarządzania ryzykiem modeli w bankach (załącznik do uchwały KNF nr 332/2015 z 21 lipca 2015 r. (Dz.Urz. KNF z 2015 r., poz. 49; dalej jako: "Rekomendacja W"); (iii) Rekomendacją S z grudnia 2019 r., dotyczącą dobrych praktyk w zakresie zarządzania ekspozycjami kredytowymi zabezpieczonymi hipotecznie (załącznik do uchwały KNF nr 492/2019 z 3 grudnia 2019 r. (Dz. Urz. KNF z 2019 r., poz. 39; dalej jako: "Rekomendacja S") - poprzez niewłaściwe zastosowanie oraz niezasadne przyjęcie, że Bank nie legitymuje się przesłanką przetwarzania wynikającą z art. 6 ust. 1 lit. f RODO w zw. z ww. rekomendacjami KNF, podczas gdy ww. rekomendacje KNF nakładają na banki oraz Biuro (jako instytucję powołaną na mocy art. 105 ust. 4 P.b.) określone wymagania nie tylko w związku z oceną danego, konkretnego wniosku kredytowego, ale także w odniesieniu do budowy metod i modeli statystycznych (w tym scoringowych); te wymagania podlegają następnie wyegzekwowaniu przez KNF na podstawie bezwzględnie obowiązujących przepisów prawa. Z uwagi na podniesione zarzuty skarżąca 2 wniosła o uchylenie wyroku w zaskarżonej części oraz uwzględnienie skargi Banku z 23 września 2022 r. i uchylenie pkt 2 decyzji, ewentualnie uchylenie wyroku w zaskarżonej części i przekazanie sprawy do ponownego rozpoznania, zasądzenie kosztów postępowania wraz z kosztami zastępstwa prawnego, według norm przepisanych i rozpoznanie sprawy na rozprawie. Rozwinięcie opisanych wyżej zarzutów nastąpiło w obszernej części uzasadnienia skargi kasacyjnej. Skargę kasacyjną złożyła również skarżąca 1, także zaskarżając wyrok WSA w części oddalającej skargę BIKu na pkt 1 decyzji Prezesa UODO z 25 sierpnia 2022 r., zarzucając na podstawie art. 174 pkt 2 p.p.s.a., naruszenie przepisów postępowania, mające istotny wpływ na wynik sprawy, tj.: 1.1. art. 151 p.p.s.a. w związku z art. 7, w zw. z art. 77 § 1, w zw. z art. 80 k.p.a. w zw. z art. 7 u.o.d.o., poprzez niezasadne oddalenie skargi, w sytuacji gdy zaskarżona decyzja została wydana z naruszeniem ww. przepisów, wobec: - zaniechania dokonania przez Prezesa UODO wyczerpującej analizy charakteru, zakresu oraz celów gospodarczo - ekonomicznych dla jakich zostało powołane B. S.A. oraz obowiązków prawnych i obowiązków wynikających z zawartych przez BIK umów z bankami i instytucjami ustawowo upoważnionymi do udzielania kredytów, co doprowadziło do wadliwej i niepełnej oceny stanu faktycznego skutkującej błędną oceną w zakresie ustalenia podstaw prawnych legitymujących BIK do przetwarzania danych osobowych; - zaniechania dokonania przez Prezesa UODO oceny Rekomendacji S, W i T Komisji Nadzoru Finansowego jako organu właściwego do sprawowania nadzoru nad instytucjami krajowymi w rozumieniu przepisów UE, które to regulacje nakładają na banki i instytucje ustawowo upoważnione do udzielania kredytów, a w konsekwencji na BIK określone wymagania, które podlegają nadzorowi i egzekwowaniu przez KNF na podstawie bezwzględnie obowiązujących przepisów prawa, co doprowadziło do wadliwej oceny niezbędności przetwarzania przez skarżącą 1 danych osobowych uczestnika w przypadku nie zawarcia umowy kredytowej dla zabezpieczenia interesów banków oraz stabilności rynku gospodarczo-finansowego; - niedokonanie przez Prezesa UODO analizy podstawowych zasad funkcjonowania stabilnego sektora finansowego, w tym pod kątem istnienia - po stronie banków, a w konsekwencji BIK jako instytucji gromadzącej dane służące do oceny zdolności kredytowej oraz budującej modele scoringowe służące bankom - oczywistego interesu prawnego przejawiającego się w odmowie udzielenia kredytu i wynikającego z braku istnienia zdolności kredytowej po stronie uczestnika, co prowadzi do zabezpieczenia interesu banków przed nieodpowiedzialną polityką udzielania kredytów osobom, które nie mają szans na ich spłacenie oraz do zapewnienia stabilności gospodarczo-ekonomicznej sektora bankowego, a w ujęciu makro zapobieganiu kryzysom gospodarczym, co doprowadziło do wadliwej oceny niezbędności przetwarzania przez skarżącą 1 danych osobowych uczestnika w przypadku nie zawarcia umowy kredytowej dla zabezpieczenia interesów banków oraz stabilności rynku gospodarczo-finansowego; - niezbadania przez Prezesa UODO wszystkich celów i podstaw prawnych dalszego przetwarzania danych o zapytaniach kredytowych, w sytuacji nie zawarcia umowy kredytu, pomimo, iż przepisy prawa upoważniają skarżącą 1 do przetwarzania tych danych, co doprowadziło do wadliwej i niepełnej oceny stanu faktycznego, co w konsekwencji doprowadziło do błędnego przyjęcia przez WSA braku legitymacji skarżącej 1 do przetwarzania danych osobowych uczestnika; 1.2. art. 151 p.p.s.a. w zw. z art. 7b k.p.a. w zw. z art. 7 k.p.a. w zw. z art. 77 k.p.a. w zw. z art. 7 u.o.d.o. poprzez niezasadne oddalenie skargi wskutek uznania, iż organ wyjaśnił stan faktyczny i prawny konieczny do podjęcia stosownych czynności, w tym zasadnie zaniechał zwrócenia się do KNF, podczas gdy dla kompleksowego wyjaśnienia sprawy konieczne było zwrócenie się do KNF i współdziałanie w zakresie niezbędnym do dokładnego wyjaśnienia stanu prawnego, mając na względzie interes społeczny i słuszny interes obywateli w postaci ustalenia należytych zasad, celów i zakresu przetwarzania danych osobowych o niezrealizowanych zapytaniach kredytowych tak, by procesy przetwarzania danych czyniły zadość zarówno przepisom prawa o ochronie danych osobowych, jak i przepisom szeroko pojętego prawa bankowego, w szczególności dla zapewnienia ochrony wartości, których gwarancje ochrony wynikają z ww. przepisów zgodnie z zasadą proporcjonalności, wskutek czego Prezesa UODO wydał zaskarżoną decyzję w niepełnym stanie faktycznym i prawnym, czego WSA nie dostrzegł oddalając skargę i w konsekwencji wydał wyrok w oparciu o ten sam niepełny stan faktyczny i prawny; Zaskarżonemu wyrokowi, na podstawie art. 174 pkt 1 p.p.s.a., zarzucono także naruszenie przepisów prawa materialnego, tj.: 2.1. art. 6 ust. 1 lit. c RODO w zw. z art. 105 ust. 1 pkt. 1c w zw. z art. 105 ust. 4 i w zw. z art. 105a w zw. z art. 70 i art. 5 ust. 1 pkt. 3 P.b. poprzez jego niezastosowanie wskutek przyjęcia, że w sytuacji, gdy nie doszło pomiędzy uczestnikiem, a Bankiem do zawarcia umowy kredytowej, BIK nie jest uprawniony do przetwarzania danych osobowych uczestnika, a w konsekwencji przyjęcie, że BIK nie posiada ww. podstawy prawnej do przetwarzania danych zawartych we wniosku o udzielenie kredytu, podczas gdy BIK jest zobowiązany do realizacji obowiązku prawnego wynikającego z ww. przepisów polegającego na gromadzeniu, przetwarzaniu i udostępnianiu bankom oraz podmiotom szczegółowo wskazanym w przepisie informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych w postaci oceny zdolności kredytowej oraz analizy ryzyka kredytowego konkretnego klienta (indywidualna ocena zdolności kredytowej) oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej CRR; 2.2. art. 6 ust. 1 lit. c RODO w zw. z art. 70a w zw. z art. 105 ust. 4 pkt. 1 i 2 oraz w zw. z art. 105a P.b. poprzez jego niezastosowanie wskutek uznania, iż przepisy prawa nie nakładają na BIK obowiązku przekazywania osobie fizycznej ubiegającej się o kredyt wyjaśnień dotyczących dokonanej oceny zdolności kredytowej, a w konsekwencji przyjęcie, że BIK nie posiada podstawy prawnej do przetwarzania danych uczestnika w sytuacji nie zawarcia umowy kredytowej, podczas gdy BIK posiada podstawę prawną przetwarzania z uwagi na niezbędność przetwarzania do wykonania obowiązku prawnego przez banki, instytucje ustawowo uprawnione do udzielania kredytów i BIK, w postaci obowiązku przekazania osobie ubiegającej się o kredyt w formie pisemnej na jej wniosek wyjaśnień dotyczących dokonanej oceny zdolności kredytowej; 2.3. art. 6 ust. 1 lit. e RODO poprzez jego niezastosowanie wskutek uznania, że BIK nie posiada podstawy prawnej do przetwarzania danych uczestnika w sytuacji nie zawarcia umowy kredytowej, podczas gdy BIK posiada podstawę prawną przetwarzania z uwagi na niezbędność przetwarzania dla realizacji zadania w interesie publicznym przez banki, instytucje ustawowo uprawnione do udzielania kredytów i BIK w postaci zabezpieczenia ekonomiczno-gospodarczego sektora bankowego, w tym depozytariuszy i zapewnienia stabilności ekonomiczno-gospodarczej sektora bankowego, a w ujęciu makro zapobieganiu kryzysom gospodarczym; 2.4. art. 6 ust. 1 lit. f RODO poprzez jego niewłaściwe zastosowanie wskutek uznania, że przetwarzanie danych osobowych dla realizacji prawnie uzasadnionych interesów administratora danych w celach zabezpieczenia roszczeń może dotyczyć wyłącznie roszczeń istniejących i aktualnie dochodzonych i w konsekwencji nieuzasadnione przyjęcie, że prawnie uzasadniony interes administratora danych nie istnieje w sytuacji konieczności przetwarzania danych osobowych do ochrony przed roszczeniami istniejącymi, ale niedochodzonymi w chwili dokonywania oceny, podczas gdy istotą uzasadnionego interesu administratora jest możliwość przetwarzania danych na wypadek konieczności obrony przed roszczeniami istniejącymi lub dochodzenia w przyszłości roszczeń istniejących, które w warunkach niniejszej sprawy są związane z przetwarzaniem danych osobowych na potrzeby opracowania oceny scoringowej uczestnika niezbędnej do przeprowadzenia analizy zdolności kredytowej oraz analizy ryzyka kredytowego, które to BIK zobowiązany jest gromadzić, przetwarzać i udostępniać bankom i instytucjom ustawowo upoważnionym do udzielania kredytów dla realizacji celów ustawowych badania zdolności kredytowej; 2.5. art. 6 ust. 1 lit. f RODO poprzez niewłaściwe zastosowanie wskutek przyjęcia, że wobec braku zawarcia umowy kredytowej, BIK nie posiada prawnie uzasadnionego interesu w przetwarzaniu danych uczestnika, podczas gdy istnieje prawnie uzasadniony interes BIK w przetwarzaniu tych informacji pomimo braku zawarcia umowy kredytowej, polegający na realizacji działań z zakresu opracowania, utrzymania aktualności i funkcjonalności zbudowanych modeli scoringowych w zgodzie z treścią Rekomendacji W, S i T Komisji Nadzoru Finansowego w zakresie dobrych praktyk i zarządzania ryzykiem kredytowym; 2.6. art. 6 ust. 1 lit. f RODO poprzez jego niezastosowanie wskutek uznania, że BIK nie posiada podstawy prawnej do przetwarzania danych uczestnika, podczas gdy BIK posiada podstawę prawną przetwarzania z uwagi na konieczność zapewnienia rozliczalności działań BIK jako administratora danych osobowych na zasadzie art. 5 ust. 2 RODO w postaci wykazania przestrzegania przepisów dotyczących jakości danych. W oparciu o powyższe zarzuty skarżąca 1 wniosła o uchylenie wyroku w części dotyczącej oddalenia skargi BIK i przekazanie sprawy do ponownego rozpoznania, zasądzenie od organu kosztów postępowania wraz z kosztami zastępstwa prawnego, według norm przepisanych i opłaty skarbowej od pełnomocnictwa, a także rozpoznania sprawy na rozprawie. Rozwinięcie podniesionych zarzutów znalazło się w obszernej części uzasadnienia skargi kasacyjnej. Organ odpowiadając na obie skargi kasacyjne wniósł o ich oddalenie, podtrzymując swoje dotychczasowe stanowisko. Naczelny Sąd Administracyjny zważył, co następuje: Stosownie do art. 183 § 1 p.p.s.a., Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach złożonych skarg kasacyjnych, uwzględniając z urzędu jedynie nieważność postępowania. W rozpoznawanej sprawie nie zachodzi żadna z okoliczności skutkujących nieważnością postępowania, o jakich mowa w art. 183 § 2 p.p.s.a., czy też żadna z przesłanek, wymienionych w art. 189 p.p.s.a., rozważanych przez Naczelny Sąd Administracyjny z urzędu dokonując kontroli zaskarżonego skargą kasacyjną wyroku. Tym samym, to wskazane w skargach kasacyjnych przyczyny wadliwości prawnej zaskarżonego wyroku determinują zakres kontroli realizowanej przez NSA, który w odróżnieniu od Sądu pierwszej instancji nie bada całokształtu sprawy, lecz tylko weryfikuje zasadność zarzutów podniesionych w skargach kasacyjnych. I. Odnosząc się do skargi kasacyjnej BIK, należy po pierwsze wskazać, że podniesiony w ramach podstawy procesowej zarzut "niezbadania przez organ wszystkich podstaw prawnych dalszego przetwarzania danych uczestnika w związku z zapytaniem o kredyt" jest niezasadny w takim ujęciu. Kwestia, czy przy bezspornych ustaleniach faktycznych powołane przez administratora przepisy oraz interesy legalizowały dalsze przetwarzanie danych, należy do sfery subsumcji prawa materialnego. Nie chodzi zatem o niedopuszczalność samej argumentacji, lecz o to, że nie wykazuje ona braków postępowania dowodowego organu. Zdaniem Naczelnego Sądu Administracyjnego, zarzuty wskazane jako naruszenie przepisów art. 7 w zw. z art. 77 § 1 w zw. z art. 80 oraz art. 7b k.p.a. w zw. z art. 7 u.o.d.o. nie znajdują usprawiedliwienia w okolicznościach sprawy. Sąd wojewódzki trafnie uznał, że zebrany materiał dowodowy był wystarczający dla rozstrzygnięcia sprawy, a Prezes UODO dokonał pełnej i właściwej jego oceny w odniesieniu do przesłanek zgodności przetwarzania danych osobowych z prawem, o których mowa w art. 6 RODO, nawiązując także do tych przepisów prawa, które powoływało BIK w swoich wyjaśnieniach. Nie można zgodzić się ze skarżącym kasacyjnie, że organ nie rozważył dostatecznie charakteru, zakresu oraz celów gospodarczo-ekonomicznych dla jakich zostało powołane B. S.A. Z zaskarżonej decyzji wynika, że organ uwzględnił w swoich rozważaniach cel działalności i charakter instytucji BIK utworzonej, jak podał, na podstawie art. 105 ust. 4 Prawa bankowego. Należy zaznaczyć, że istotnym i podstawowym ustaleniem w sprawie było to, że z klientem Banku nie doszło do zawarcia umowy. Natomiast odrębną kwestią jest analiza podstaw prawnych pozostawania jego danych w B. w sytuacji, gdy nie doszło do zawarcia umowy kredytu. Ten ostatni aspekt nie stanowi jednak elementu ustalania stanu faktycznego sprawy. Zasadnym jest zwrócenie uwagi, że w postępowaniu administracyjnym, którego przedmiotem jest sprawa zgodności z prawem przetwarzania danych osobowych badaniu podlega kwestia, czy administrator przetwarza dane osobowe w sposób prawidłowy i zgodny z przepisami o ochronie danych osobowych. Reguły przetwarzania danych osobowych zostały ujęte w art. 5 ust. 1 i ust. 2 RODO. Według art. 5 ust. 2 RODO, administrator jest odpowiedzialny za przestrzeganie przepisów ust. 1 i musi być w stanie wykazać ich przestrzeganie ("rozliczalność"). Oznacza to, że m.in. BIK, jako administrator danych osobowych wnioskodawcy żądającego ich usunięcia, zgodnie z zasadą rozliczalności (art. 5 ust. 2 RODO) był zobowiązany do wykazania przed organem nadzoru, że dane osobowe przetwarzane są zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą (art. 5 ust. 1 lit. a RODO) oraz że zarówno zakres, jak i sposób przetwarzania danych osobowych jest adekwatny do obranego przez niego celu i warunków jego realizacji - zasada ograniczonego celu przetwarzania (art. 5 ust. 1 lit. b RODO) i zasady minimalizacji przetwarzania danych (art. 5 ust. 1 lit. c RODO). Wbrew twierdzeniom skarżącego kasacyjnie, organ nadzoru właściwie oparł się na wyjaśnieniach administratora danych i rzetelnie je ocenił. Nie był przy tym zobowiązany do "poszukiwania" za przetwarzającego dane administratora podstaw i przesłanek dalszego przetwarzania danych osobowych uczestnika, poza tymi, które wykazał w swoim stanowisku BIK. Ostatecznie organ nie uznał powołanych przez BIK podstaw za wystarczające do uznania, że przetwarzanie danych osobowych uczestnika, w stanie faktycznym sprawy, odbywa się zgodnie z prawem. Nie doszło do naruszenia art. 7b k.p.a. Współdziałanie organów na podstawie tego przepisu jest wymagane wówczas, gdy jest niezbędne do dokładnego wyjaśnienia stanu faktycznego i prawnego sprawy. Prezes UODO, jako niezależny organ nadzorczy w rozumieniu art. 51, art. 52, art. 57 i art. 58 RODO, był właściwy do samodzielnej oceny legalności przetwarzania danych. Opinia Komisji Nadzoru Finansowego nie wiązałaby organu ani nie mogłaby ustanowić podstawy prawnej przetwarzania. W sprawie nie wskazano przy tym spornej okoliczności technicznej, której wyjaśnienie wymagałoby wiadomości KNF; zasadniczy spór dotyczył prawnej oceny dalszej retencji danych. Zaniechanie zwrócenia się do KNF nie naruszało zatem art. 7b k.p.a. i nie mogło mieć istotnego wpływu na wynik sprawy. Wbrew zarzutowi skarżącego kasacyjnie, pominięcie szczegółowej analizy Rekomendacji S, W i T Komisji Nadzoru Finansowego nie świadczyło o wadliwym ustaleniu stanu faktycznego. Rekomendacje te należą do instrumentów nadzorczych o charakterze nienormatywnym i nie są źródłem prawa powszechnie obowiązującego, dlatego same nie mogą ustanowić obowiązku prawnego w rozumieniu art. 6 ust. 1 lit. c RODO. Mogą natomiast współkształtować ocenę istnienia prawnie uzasadnionego interesu, o którym mowa w art. 6 ust. 1 lit. f RODO. Także wówczas administrator musi jednak wykazać niezbędność dalszego przetwarzania oraz przeprowadzić wyważenie kolidujących interesów. BIK nie wykazał, dlaczego po zakończeniu procedury kredytowej konieczne było zachowanie danych pozwalających na identyfikację uczestnika ani dlaczego celów modelowych nie można było osiągnąć przy użyciu danych anonimowych lub zagregowanych. Skarżący kasacyjnie nie wykazał też, aby zarzucane uchybienie mogło mieć istotny wpływ na wynik sprawy, czego wymaga art. 174 pkt 2 p.p.s.a. Przechodząc do zarzutów naruszenia prawa materialnego należy podkreślić, że ich istota sprowadza się do kwestionowania stanowiska WSA o braku podstaw prawnych do przetwarzania przez BIK danych osobowych uczestnika w zakresie wynikającym z zapytania kredytowego, niezakończonego zawarciem umowy kredytowej z instytucją upoważnioną do udzielania kredytów. Przypomnieć trzeba, że przetwarzanie danych osobowych uważa się za legalne, jeśli ich administrator spełni co najmniej jedną z przesłanek wskazanych w art. 6 ust. 1 RODO, który określa ogólne materialne przesłanki przetwarzania danych osobowych. Zgodnie z tą regulacją, przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy - i w takim zakresie, w jakim - spełniony jest co najmniej jeden z poniższych warunków: a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów; b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą lub do podjęcia działań na żądanie osoby, której dane dotyczą przed zawarciem umowy; c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze; d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą lub innej osoby fizycznej; e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi; f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą jest dzieckiem. Akapit pierwszy lit. f nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań. Wymienione przesłanki mają charakter generalny i odnoszą się do wszelkich form przetwarzania danych, w tym zarówno do przetwarzania "na własne potrzeby" administratora, jak i "na zewnątrz". Są one, co do zasady, równoprawne, mają charakter autonomiczny i niezależny, co oznacza, że wystarczy wystąpienie jednej z nich, by przetwarzanie danych mogło być uznane za usprawiedliwione. Zdaniem Naczelnego Sądu Administracyjnego trafnie Sąd wojewódzki przyjął, że w okolicznościach sprawy nie wykazano żadnej z powołanych przez BIK przesłanek legalizujących dalsze przetwarzanie danych osobowych uczestnika na podstawie art. 6 ust. 1 lit. c, e lub f RODO. Artykuł 105a ust. 1 Prawa bankowego pozwala na przetwarzanie danych także na etapie poprzedzającym zawarcie umowy, o ile jest to potrzebne do oceny zdolności kredytowej i analizy ryzyka kredytowego. Nie wynika z niego jednak samoistne uprawnienie do dalszego przechowywania danych po zakończeniu tej oceny, jeżeli umowa nie została zawarta. W takim przypadku pierwotny cel przetwarzania został osiągnięty, a dalsze przetwarzanie wymaga wykazania odrębnej podstawy prawnej i zgodności z zasadami określonymi w art. 5 ust. 1 RODO. Nie mógł zatem odnieść oczekiwanego skutku zarzut naruszenia art. 6 ust. 1 lit. c RODO w zw. z art. 105 ust. 1 pkt 1 lit. c, art. 105 ust. 4, art. 105a, art. 70 i art. 5 ust. 1 pkt 3 Prawa bankowego. Powołane regulacje uzasadniały przetwarzanie danych uczestnika w zakresie niezbędnym do rozpoznania konkretnego wniosku kredytowego, lecz nie ustanawiały obowiązku ich dalszego przechowywania przez BIK po zakończeniu tego procesu bez zawarcia umowy. Przez "obowiązek prawny" w rozumieniu art. 6 ust. 1 lit. c RODO należy rozumieć obowiązek mający podstawę w prawie Unii lub w prawie państwa członkowskiego, stosownie do art. 6 ust. 3 RODO. Podstawa ta powinna w sposób dostatecznie jasny, precyzyjny i przewidywalny określać cel oraz zakres przetwarzania. Źródłem takiego obowiązku mogą więc być także bezpośrednio stosowane przepisy prawa Unii, nie tylko ustawa lub rozporządzenie krajowe. W rozpoznawanej sprawie ani ogólne wymagania ostrożnościowe, ani rekomendacje nadzorcze nie ustanawiały jednak konkretnego obowiązku dalszego przechowywania danych osobowych uczestnika po nie zawarciu umowy kredytowej. Przepis art. 105 ust. 4 Prawa bankowego stanowi o tym, że banki mogą, wspólnie z bankowymi izbami gospodarczymi, utworzyć instytucje upoważnione do gromadzenia, przetwarzania i udostępniania: 1) bankom - informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013; 2) innym instytucjom ustawowo upoważnionym do udzielania kredytów - informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są niezbędne w związku z udzielaniem kredytów, pożyczek pieniężnych, gwarancji bankowych i poręczeń; 3) instytucjom kredytowym - informacji stanowiących tajemnicę bankową w zakresie niezbędnym do oceny zdolności kredytowej konsumenta, o której mowa w art. 9 ustawy z 12 maja 2011 r. o kredycie konsumenckim; 4) instytucjom pożyczkowym i podmiotom, o których mowa w art. 59d ustawy z 12 maja 2011 r. o kredycie konsumenckim (...); 5) jednostce zarządzającej systemem ochrony lub bankowi zrzeszającemu (...). Zasadnie WSA przyjął, że art. 105 ust. 4 Prawa bankowego wyznacza kompetencję i ramy działania instytucji utworzonej do gromadzenia, przetwarzania i udostępniania informacji stanowiących tajemnicę bankową, jaką jest BIK. Przepis ten dopuszcza przetwarzanie tylko w zakresie, w jakim informacje są potrzebne w związku z wykonywaniem czynności bankowych albo stosowaniem metod i modeli wskazanych w części trzeciej rozporządzenia nr 575/2013. Nie określa natomiast samoistnie okresu retencji danych z niezrealizowanych zapytań kredytowych i nie może być rozumiany jako podstawa nieograniczonego przechowywania wszelkich danych. Granice przetwarzania wyznaczają dalsze przepisy Prawa bankowego, w szczególności art. 105a, oraz zasady i podstawy legalizacyjne określone w RODO. Przepisy art. 105a ust. 1 i 1a wskazują cele, którym może służyć przetwarzanie danych osobowych, przepis ust. 1b kategorie danych osobowych, które mogą być przetwarzane, przepis ust. 2 - przesłankę legalizującą przetwarzanie danych w postaci zgody osoby fizycznej, przepis ust. 3 - warunki przetwarzania danych osobowych bez zgody osoby fizycznej, przepis ust. 4 - warunki i cele przetwarzania danych osobowych bez zgody osoby fizycznej po wygaśnięciu zobowiązania, przepis ust. 5 - czas przetwarzania danych osobowych, a przepis ust. 6 - zakres przetwarzanych danych obejmujący dane o osobie fizycznej oraz o treści zobowiązania. Wymaga przy tym skorygowania zbyt szerokie stwierdzenie, że art. 105a Prawa bankowego odnosi się wyłącznie do klientów, z którymi nawiązano stosunek zobowiązaniowy. Ustęp 1 tego artykułu obejmuje również przetwarzanie danych na etapie badania zdolności kredytowej i analizy ryzyka kredytowego, a więc przed zawarciem umowy. Nie ustanawia jednak okresu retencji danych po bezskutecznym zakończeniu tego etapu. Regulacje art. 105a ust. 2-5 dotyczą dalszego przetwarzania informacji powiązanych ze zobowiązaniem wynikającym z zawartej umowy, w tym po jego wygaśnięciu. Skoro w sprawie zobowiązanie nie powstało, z art. 105a ust. 1 nie można wyprowadzić autonomicznej podstawy do dalszego przetwarzania danych dotyczących zakończonego zapytania kredytowego. Stanowisko to znajduje bezpośrednie potwierdzenie w wyrokach Naczelnego Sądu Administracyjnego z 1 października 2025 r., III OSK 1552/22 i III OSK 1877/22, wydanych już na gruncie RODO. W pierwszym z nich wskazano, że po zakończeniu oceny zdolności kredytowej bez zawarcia umowy dalsze przetwarzanie danych narusza zasadę ograniczenia przechowywania z art. 5 ust. 1 lit. e RODO. W drugim podkreślono, że ogólne odwołanie do bezpieczeństwa finansowego nie uzasadnia zachowania danych dla celu odmiennego od tego, w którym zostały zebrane, z pominięciem art. 5 ust. 1 lit. b RODO. Tym samym zarzut, że pogląd wyrażony w wyroku z 27 sierpnia 2019 r., I OSK 2567/17, utracił aktualność po rozpoczęciu stosowania RODO, nie jest trafny. Artykuł 70 Prawa bankowego nakłada na bank obowiązek uzależnienia udzielenia kredytu od zdolności kredytowej kredytobiorcy. Przepis ten może uzasadniać przetwarzanie danych w zakresie niezbędnym do przeprowadzenia oceny konkretnego wniosku, nie określa jednak podstawy ani okresu przechowywania danych po zakończeniu tej oceny bez zawarcia umowy. Takiej podstawy nie tworzy również art. 70a ust. 1 i 2 Prawa bankowego. Przepis ten ustanawia obowiązek przekazania, na wniosek osoby ubiegającej się o kredyt, pisemnego wyjaśnienia dotyczącego dokonanej oceny zdolności kredytowej, w tym informacji o czynnikach mających wpływ na tę ocenę. Nie określa jednak okresu retencji ani nie nakłada generalnego obowiązku przechowywania pełnego zbioru danych z każdego zakończonego postępowania kredytowego. Sama hipotetyczna możliwość złożenia w przyszłości wniosku o wyjaśnienie nie wykazuje niezbędności takiej retencji w rozumieniu art. 6 ust. 1 lit. c RODO. Dla tej oceny nie było potrzebne przypisywanie uczestnikowi braku zainteresowania realizacją prawa z art. 70a Prawa bankowego. Z powyższych przyczyn jako niezasadny należało również ocenić zarzut dotyczący naruszenia art. 6 ust. 1 lit. c RODO w zw. z art. 70a w zw. z art. 105 ust. 4 pkt 1 i 2 oraz w zw. z art. 105a Prawa bankowego. Nie mogły odnieść skutku także zarzuty naruszenia art. 6 ust. 1 lit. e i f RODO. Prawnie uzasadniony interes polegający na dochodzeniu roszczeń lub obronie przed nimi może, zależnie od okoliczności, uzasadniać przetwarzanie danych. Nie wystarcza jednak abstrakcyjna możliwość powstania w przyszłości bliżej nieokreślonego roszczenia. Administrator powinien wykazać realny i skonkretyzowany spór, roszczenie albo co najmniej obiektywnie rozpoznawalną potrzebę procesową oraz niezbędność zachowania określonych danych. W tej sprawie nie wykazano ani roszczenia uczestnika wobec BIK, ani roszczenia BIK wobec uczestnika, ani innej skonkretyzowanej okoliczności uzasadniającej przechowywanie pełnych danych z zapytania kredytowego. Sąd w składzie rozpoznającym sprawę podziela wyrażony już w orzecznictwie pogląd, zgodnie z którym, niedopuszczalne jest przetwarzanie danych osobowych niejako "na zapas" z założeniem, że mogą być one ewentualnie przydatne w przyszłości, na przykład z odwołaniem się do przepisów dotyczących przedawnienia roszczeń (por. wyrok NSA z 1 października 2025 r., III OSK 872/22). Rekomendacje S, W i T Komisji Nadzoru Finansowego nie ustanawiają samodzielnie obowiązku prawnego przetwarzania danych, mogą jednak stanowić element oceny interesu realizowanego przez administratora na podstawie art. 6 ust. 1 lit. f RODO. W rozpoznawanej sprawie odwołanie się do jakości modeli scoringowych i bezpieczeństwa sektora bankowego nie zastępowało wykazania konieczności zachowania identyfikowalnych danych konkretnej osoby po niezawarciu umowy. BIK nie wykazał również, aby cel ten nie mógł zostać osiągnięty za pomocą danych skutecznie zanonimizowanych lub zagregowanych. Nie był skuteczny także zarzut odwołujący się do konieczności zapewnienia rozliczalności działań BIK. Artykuł 5 ust. 2 RODO nakłada na administratora obowiązek wykazania zgodności przetwarzania z zasadami określonymi w ust. 1, nie stanowi jednak samoistnej podstawy do nieograniczonego przechowywania wszystkich danych źródłowych. Rozliczalność może uzasadniać zachowanie odpowiedniej, ograniczonej dokumentacji operacji i podstaw przetwarzania, lecz BIK nie wykazał, że dla tego celu niezbędne było dalsze przechowywanie pełnych danych osobowych uczestnika wynikających z zapytania kredytowego. Nie zasługiwał na uwzględnienie również zarzut dotyczący art. 6 ust. 1 lit. e RODO. Okoliczność, że BIK jest podmiotem prywatnym, sama w sobie nie wyklucza zastosowania tej przesłanki. Konieczne jest jednak, aby prawo Unii lub prawo państwa członkowskiego, zgodnie z art. 6 ust. 3 RODO, powierzało administratorowi określone zadanie realizowane w interesie publicznym i wyznaczało ramy niezbędnego przetwarzania. BIK nie wskazał normy, która powierzałaby mu takie zadanie w zakresie dalszego przechowywania danych z niezrealizowanych zapytań kredytowych. Ogólne odwołanie do stabilności sektora finansowego nie spełnia tego wymagania. Podsumowując tę część rozważań, BIK nie wykazał podstawy legalizującej dalsze przetwarzanie danych osobowych uczestnika po zakończeniu postępowania kredytowego bez zawarcia umowy. Prezes UODO był zatem uprawniony, na podstawie art. 58 ust. 2 lit. c RODO, do nakazania administratorowi spełnienia żądania usunięcia danych, a Sąd pierwszej instancji prawidłowo oddalił skargę BIK. II. Niezasadna okazała się również skarga kasacyjna wniesiona przez Bank. Zarzut naruszenia art. 151 p.p.s.a. w zw. z art. 7, art. 77 § 1 i art. 80 k.p.a. nie wykazuje braków postępowania dowodowego. Dla rozstrzygnięcia istotne były: pozyskanie danych w związku z konkretnym wnioskiem kredytowym, przekazanie ich do BIK, zakończenie oceny zdolności kredytowej oraz nie zawarcie umowy. Okoliczności te były bezsporne. To, czy po zakończeniu procedury istniała podstawa dalszego przetwarzania, stanowiło zagadnienie prawa materialnego. Organ odniósł się do podstaw wskazanych przez Bank; nie miał obowiązku poszukiwania za administratorem innych przesłanek legalizujących przetwarzanie. Nie było również potrzeby czynienia ustaleń odnoszących się wyłącznie do długości terminów przedawnienia potencjalnych roszczeń. Sam bieg terminu przedawnienia nie tworzy podstawy przetwarzania danych osobowych. Powołanie się na cel dochodzenia roszczeń lub obrony przed nimi wymaga wykazania realnej i skonkretyzowanej potrzeby procesowej oraz niezbędności zachowania oznaczonych danych, a nie samej abstrakcyjnej możliwości powstania sporu. Konsekwentnie nie było podstaw do uwzględnienia zarzutu naruszenia art. 6 ust. 1 lit. f RODO w zw. z art. 117 § 2 i 2¹, art. 118 i art. 119 k.c. Administrator może przetwarzać dane w celu dochodzenia roszczeń lub obrony przed nimi, lecz nie oznacza to uprawnienia do przechowywania pełnych danych każdej osoby aż do upływu najdłuższego hipotetycznie możliwego terminu przedawnienia. W sprawie nie wykazano, aby uczestnik dochodził roszczeń wobec Banku, aby Bank dochodził roszczeń wobec uczestnika albo aby istniał inny konkretny spór. Samo żądanie usunięcia danych nie jest roszczeniem cywilnoprawnym uzasadniającym dalszą retencję danych kredytowych. Przyjęcie stanowiska Banku prowadziłoby do przetwarzania danych "na zapas". W orzecznictwie Naczelnego Sądu Administracyjnego wskazuje się, że hipotetyczna możliwość wystąpienia w przyszłości z roszczeniem nie uzasadnia sama przez się dalszego przetwarzania danych osobowych na podstawie art. 6 ust. 1 lit. f RODO (por. wyroki NSA: z 8 stycznia 2025 r., III OSK 4868/21, oraz z 1 października 2025 r., III OSK 872/22). Bank twierdzi, że PUODO powinien był zwrócić się do KNF jako organu właściwego w sprawach rynku finansowego, badania zdolności kredytowej, analizy ryzyka kredytowego i modeli scoringowych – zarzut naruszenia art. 151 p.p.s.a. w zw. z art. 7b k.p.a. Zdaniem skarżącej 2 brak współdziałania z KNF doprowadził do błędnego przyjęcia, że Bank nie ma podstawy prawnej do dalszego przetwarzania danych. Przepisy art. 7b k.p.a. nie nakładały na Prezesa UODO obowiązku zasięgnięcia stanowiska Komisji Nadzoru Finansowego. Organ nadzorczy do spraw ochrony danych osobowych jest właściwy do samodzielnej oceny legalności przetwarzania oraz wykładni RODO i przepisów krajowych wyznaczających podstawy przetwarzania. Opinia KNF mogłaby dostarczyć wiedzy technicznej o modelach ryzyka, lecz nie mogłaby sama ustanowić podstawy prawnej przetwarzania. W sprawie nie występowała sporna okoliczność techniczna, której wyjaśnienie było konieczne do wydania decyzji; spór dotyczył oceny prawnej podstaw dalszej retencji danych. Zarzut nie wykazuje także istotnego wpływu podnoszonego uchybienia na wynik sprawy. Nawet potwierdzenie przez KNF znaczenia modeli scoringowych i zarządzania ryzykiem kredytowym nie dowodziłoby jeszcze konieczności dalszego przechowywania danych osobowych konkretnej osoby, z którą nie zawarto umowy, ani nie zastępowałoby podstawy wymaganej przez art. 6 RODO. Z powyższym zarzutem łączy się powołanie przez Bank art. 6 ust. 1 lit. f RODO w związku z Rekomendacjami S, W i T KNF. Można przyjąć, że zarządzanie ryzykiem kredytowym oraz zapewnienie jakości modeli stanowią prawnie uzasadnione interesy Banku. Nie zwalnia to jednak administratora z wykazania, że przetwarzanie danych konkretnej osoby jest niezbędne do realizacji tych interesów i że przeprowadzono wymagane wyważenie praw oraz interesów. Bank nie wykazał, dlaczego po zakończeniu procedury kredytowej konieczne było zachowanie danych pozwalających na identyfikację uczestnika ani dlaczego wystarczające nie były dane anonimowe lub zagregowane. Twierdzenie, że po upływie 12 miesięcy zapytanie zostało przeniesione do "części statystycznej" BIK i nie było dostępne dla innych banków, nie zmienia tej oceny. Ograniczenie dostępu lub zmiana deklarowanego celu nie są równoznaczne z anonimizacją. Dopóki informację można przypisać uczestnikowi, pozostaje ona daną osobową i podlega RODO. Gdyby dane zostały nieodwracalnie zanonimizowane, RODO nie miałoby do nich zastosowania, lecz Bank nie wykazał ani takiej anonimizacji, ani konieczności posługiwania się danymi identyfikowalnymi dla celów statystycznych. Nie prowadziły do odmiennego wyniku odwołania do art. 70a, art. 105a i art. 106d Prawa bankowego oraz przepisów o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu. Artykuł 70a Prawa bankowego nie ustanawia generalnego okresu retencji, a art. 105a ust. 1 legalizuje przetwarzanie w zakresie potrzebnym do oceny zdolności kredytowej i analizy ryzyka w toku konkretnej procedury, nie zaś bezterminowo po jej zakończeniu. Z kolei przepisy art. 106d Prawa bankowego i ustawy AML mogą stanowić podstawę przechowywania danych objętych konkretnym obowiązkiem ustawowym. Bank nie wskazał jednak, jakie dane z zapytania z 20 lipca 2020 r. były objęte takim obowiązkiem, jakie zdarzenie uruchamiało retencję ani dlaczego wymagany był zakres danych objęty nakazem. Nietrafny był również zarzut oparty na art. 6 ust. 1 lit. c RODO w zw. z art. 144, art. 145, art. 170, art. 171, art. 179 i art. 181 rozporządzenia nr 575/2013. Bezpośrednio stosowane przepisy prawa Unii mogą być źródłem obowiązku prawnego, o którym mowa w art. 6 ust. 1 lit. c i ust. 3 RODO. Powołane przepisy CRR określają jednak wymagania dotyczące systemów ratingowych, jakości danych i modeli ryzyka; nie wynika z nich dostatecznie konkretny obowiązek dalszego przechowywania identyfikowalnych danych wszystkich osób, których wnioski kredytowe nie doprowadziły do zawarcia umowy. Bank nie wykazał takiego związku konieczności w odniesieniu do danych uczestnika. Nie można utożsamiać obowiązku zarządzania ryzykiem kredytowym z nieograniczonym uprawnieniem do dalszego przetwarzania danych osobowych po zakończeniu celu, dla którego je zebrano. Dalsze wykorzystanie danych w celach modelowych, statystycznych lub ostrożnościowych wymaga odrębnej podstawy prawnej, zachowania zasad ograniczenia celu, minimalizacji i ograniczenia przechowywania oraz wykazania niezbędności danych pozwalających na identyfikację osoby. Powyższa wykładnia nie opiera się wyłącznie na wyroku NSA z 27 sierpnia 2019 r., I OSK 2567/17, wydanym na tle poprzedniego stanu prawnego. Jej aktualność na gruncie RODO potwierdzają wyroki NSA z 1 października 2025 r., III OSK 1552/22 i III OSK 1877/22. W orzeczeniach tych przyjęto, że po zakończeniu oceny zdolności kredytowej bez zawarcia umowy dalsze przetwarzanie danych z zapytania nie znajduje oparcia w art. 105a ust. 1 Prawa bankowego, a ogólne cele bezpieczeństwa finansowego nie uchylają zasad ograniczenia celu i przechowywania z art. 5 ust. 1 lit. b i e RODO. Nie zasługiwał na uwzględnienie zarzut naruszenia art. 107 § 1 pkt 5 i § 3 w zw. z art. 104 § 2 k.p.a. Osnowa decyzji wskazuje administratora, osobę, której dane dotyczą, źródło i datę zapytania kredytowego, a uzasadnienie opisuje kategorie danych pozyskanych w związku z tym zapytaniem. Zakres obowiązku jest zatem obiektywnie możliwy do ustalenia w systemach Banku i nie wymaga wyliczenia w sentencji każdego atrybutu danych. Nakaz obejmuje dane przypisane do konkretnego zapytania z 20 lipca 2020 r.; nie obejmuje natomiast danych, których dalsze przechowywanie wynikałoby z odrębnej, wykazanej podstawy prawnej. W sprawie ziściła się przesłanka z art. 17 ust. 1 lit. a RODO, ponieważ dane nie były już niezbędne do celów, dla których zostały zebrane, a Bank nie wykazał innej podstawy ich dalszego przetwarzania ani wyjątku przewidzianego w art. 17 ust. 3 RODO. Prezes UODO mógł zatem, na podstawie art. 58 ust. 2 lit. c RODO, nakazać Bankowi spełnienie żądania usunięcia danych. Powołany w skardze art. 58 ust. 2 lit. b RODO dotyczy udzielenia upomnienia i nie stanowił podstawy zastosowanego w sprawie środka naprawczego. W tym stanie rzeczy, wobec niezasadności zarzutów obu skarg kasacyjnych, Naczelny Sąd Administracyjny, działając na podstawie art. 184 p.p.s.a., oddalił skargi kasacyjne. O kosztach postępowania kasacyjnego orzeczono na podstawie art. 204 pkt 1 p.p.s.a.