III OSK 1162/23

Naczelny Sąd Administracyjny w składzie: Przewodniczący: sędzia NSA Olga Żurawska-Matusiak Sędziowie: sędzia NSA Zbigniew Ślusarczyk (sprawozdawca) sędzia del. WSA Maciej Kobak Protokolant: asystent sędziego Dawid Lis po rozpoznaniu w dniu 21 maja 2026 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej B. S.A. z siedzibą w W. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 13 stycznia 2023 r. sygn. akt II SA/Wa 942/22 w sprawie ze skarg B.(1) S.A. z siedzibą w W. i B. S.A. z siedzibą w W. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 30 marca 2022 r. nr DS.523.2609.2021.FT.UD w przedmiocie przetwarzania danych osobowych 1. oddala skargę kasacyjną, 2. zasądza od B. S.A. z siedzibą w W. na rzecz Prezesa Urzędu Ochrony Danych Osobowych kwotę 500 (pięćset) złotych tytułem zwrotu kosztów postępowania kasacyjnego.

Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z 13 stycznia 2023 r. sygn. akt II SA/Wa 942/22, na podstawie art. 151 ustawy z 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2022 r., poz. 329 ze zm.) zwanej dalej p.p.s.a., oddalił skargi B(1). S.A. z siedzibą w Warszawie i B. S.A. z siedzibą w Warszawie na decyzję Prezesa Urzędu Ochrony Danych Osobowych z 30 marca 2022 r. nr DS.523.2609.2021.FT.UD w przedmiocie przetwarzania danych osobowych. W uzasadnieniu wyroku Sąd I instancji wskazał, że zaskarżoną decyzją organ, po przeprowadzeniu postępowania administracyjnego w sprawie skargi G. K. (dalej jako "uczestniczka") na nieprawidłowości w procesie przetwarzania jej danych osobowych przez B(1). S.A. z siedzibą w Warszawie (dalej jako "Bank") polegające na przetwarzaniu jej danych osobowych w zakresie zapytania kredytowego niezakończonego udzieleniem kredytu, bez podstawy prawnej, w tym w B. S.A. z siedzibą w Warszawie (dalej jako "B.") oraz na odmowie spełnienia żądania wymienionej w zakresie usunięcia przez Bank informacji o tym zapytaniu, nakazał w pkt 1 B(1). z siedzibą w Warszawie usunięcie danych osobowych uczestniczki w zakresie zapytania kredytowego z 15 lutego 2021 r., niezakończonego udzieleniem kredytu oraz w pkt 2 nakazał B. S.A. z siedzibą w Warszawie usunięcie danych osobowych uczestniczki w zakresie zapytania kredytowego z 15 lutego 2021 r., niezakończonego udzieleniem kredytu, przekazanych przez B(1). Polska S.A. z siedzibą w Warszawie. Decyzja została wydana na podstawie art. 104 § 1 ustawy z 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2021 r. poz. 735), zwanej dalej" k.p.a.", w zw. z art. 7 ust. 1 i 2 ustawy z 10 maja 2018 r. o ochronie danych osobowych ( t.j. Dz. U. z 2019 r., poz. 1781) i art. 6 ust. 1 oraz art. 58 ust. 2 lit. c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dziennik Urzędowy Unii Europejskiej, L 119, 4 maja 2016, str. 1, Dziennik Urzędowy Unii Europejskiej, L127 z 23 maja 2018, str. 2 oraz dziennik Urzędowy Unii Europejskiej, L 74 z 4 marca 2021, str. 35) zwanego dalej "RODO". Sąd I instancji wyjaśnił, że Prezes Urzędu Ochrony Danych Osobowych zakwestionował przetwarzanie przez Bank oraz przez B. danych osobowych uczestniczki, w zakresie danych: imię, nazwisko, nazwisko panieńskie matki, data urodzenia, miejsce urodzenia, adres zameldowania i adres zamieszkania, nr PESEL, obywatelstwo, nr telefonu, numer i serię dowodu osobistego, wizerunek, stanowisko, osiągany dochód, adres miejsca pracy, w związku z zapytaniem kredytowym niezakończonym udzieleniem kredytu. Uczestniczka cofnęła zgodę na przetwarzanie danych osobowych w zakresie zapytania kredytowego. Oddalając skargi Sąd I instancji podzielił stanowisko organu o braku podstaw do przetwarzania danych osobowych uczestniczki. B. pozyskał dane osobowe uczestniczki w zakresie zapytania kredytowego z 15 lutego 2021 r. od Banku, na podstawie art. 105 ust. 4, art. 105a ust. 1 Prawa Bankowego oraz umowy zawartej między B. i Bankiem. B. przyjął, że dane dla celów oceny zdolności kredytowej i analizy ryzyka kredytowego (indywidualna ocena zdolności kredytowej) będzie przetwarzał przez okres 12 lat od dnia złożenia zapytania kredytowego, dla celów przeciwdziałania przestępstwom oraz wykonywania obowiązków w zakresie określonym w przepisach o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu; przetwarzania w celu budowania modeli scoringowych i analizy ryzyka kredytowego przez przyjęty przez B. okres nie krócej niż 5 lat i nie dłużej niż 10 lat od dnia złożenia zapytania kredytowego, celów statystycznych i analizy (mających na celu dostarczenie bankom analiz m.in. pozwalających ocenić jakość polityki kredytowej na tle rynku) przez okres nie dłuższy niż 10 lat od dnia złożenia zapytania. Jako cel przetwarzania danych osobowych uczestniczki B. wskazał też ewentualne reklamacje i roszczenia odszkodowawcze. Odnosząc się do stanowiska skarżących Sąd w pierwszej kolejności wskazał, że aby przetwarzanie danych było zgodne z prawem, powinno się odbywać na podstawie zgody osoby, której dane dotyczą, lub na innej uzasadnionej podstawie przewidzianej prawem: albo w RODO, albo w innym akcie prawnym Unii Europejskiej lub w prawie państwa członkowskiego, o których mowa w RODO, w tym musi się ono odbywać z poszanowaniem obowiązku prawnego, któremu podlega administrator, lub z poszanowaniem umowy, której stroną jest osoba, której dane dotyczą, lub w celu podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy. Podstawy przetwarzania danych zdaniem Sądu nie stanowił art. 105a Prawa bankowego. Przepis ten dopuszcza przetwarzanie danych po wygaśnięciu zobowiązania wynikającego z umowy, za zgodą osoby, której informacje dotyczą, bez zgody, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia. Banki oraz inne instytucje mogą nadto przetwarzać stanowiące tajemnicę bankową informacje dotyczące osoby fizycznej po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której informacje dotyczą, do celów stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013. Niemniej w sprawie tej nie doszło do zawarcia umowy kredytowej pomiędzy klientką a Bankiem. Należało zgodzić się z organem, że odpadła przesłanka legalizująca dalsze przetwarzanie danych osobowych uczestniczki przez Bank oraz B., które to przetwarzanie miało na celu ocenę zdolności kredytowej i analizę ryzyka kredytowego przed zawarciem umowy. W ocenie Sądu I instancji nie zaszła także żadna inna przesłanka dopuszczalności przetwarzania przez Bank i B. danych wymienionej osoby zawartych w zapytaniu kredytowym. Ocena zdolności kredytowej i ryzyka kredytowego ma charakter czynności wstępnych przed zawarciem umowy przez bank. Dalsze przetwarzanie danych, uzyskanych pierwotnie wyłącznie w celu oceny zdolności kredytowej i analizy ryzyka kredytowego, w przypadku braku zawarcia stosownej umowy, pozostaje w oderwaniu od celu, dla którego dane zostały zebrane. Sąd odnosząc się szeroko do argumentacji zawartej w skargach wskazał, że zastosowania nie ma przesłanka przetwarzania danych wskazana w art. 6 ust. 1 lit. c RODO, tj. gdy przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze. Przepis ten dotyczy bowiem sytuacji, gdy przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego administratora danych, a nie realizacji uprawnienia, o którym mowa w art. 105 ust. 4 Prawa bankowego, dalej jako "u.P.b." Ponadto, nie może stanowić sama w sobie podstawy do przetwarzania danych osobowych na przyszłość kwestia sposobu funkcjonowania w Banku, czy w B. systemu oceny zdolności kredytowej, którego zresztą nie przedstawiono. Zaakceptowanie wykładni przepisów Prawa bankowego, ustawy z 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (Dz. U. z 2021 r., poz. 1132, ze zm.), zwanej dalej także ustawą "AML", rozporządzenia nr 575/2013 zaprezentowanej w skargach zarówno przez Bank jak i B. prowadziłoby do stwierdzenia, że na potrzeby oceny zdolności kredytowej i analizy ryzyka kredytowego bank i B. ma prawo nieograniczonego w czasie przetwarzania danych osoby, z którą Bank nie zawarł umowy o kredyt, zaś prawo to doznaje ograniczenia, gdy doszło do zawarcia takiej umowy. Odnosząc się do zarzutu dotyczącego ustawy AML Sąd wskazał, że ustawa ta nakłada na instytucje obowiązane obowiązek m.in. stosowania wobec swoich klientów określonych środków bezpieczeństwa finansowego. Przepisy ustawy uprawniają do monitorowania stosunków gospodarczych klienta i stosowania odpowiednich środków bezpieczeństwa finansowego, co nie ma odniesienia do niniejszej sprawy. Bank nie wskazał jakie działania (w sferze stosunków gospodarczych niedoszłego klienta, osoby, z którą nie zawarł umowy kredytowej) chciałby monitorować. Nie jest dla Sądu I instancji działaniem zrozumiałym powoływanie się przez Bank w kontekście tych przepisów na konieczność monitorowania niedookreślonych stosunków gospodarczych między Bankiem a osobą, z którą umowy kredytowej nie zawarto i która nadto, klientem Banku nie jest, na co jednoznacznie wskazywała. W przypadku braku nawiązaniu stosunków gospodarczych pomiędzy Bankiem a klientką brak jest zaistnienia zdarzeń wymienionych w art. 49 ust. 1 ustawy AML, tj. zakończenia stosunku gospodarczego z klientem lub przeprowadzenia transakcji okazjonalnej, od wystąpienia których można dopiero liczyć wskazany w ww. przepisie termin przetwarzania danych osobowych. Podsumowując, zdaniem WSA w Warszawie przyjęcie interpretacji zaprezentowanej w skargach prowadziłoby do tego, że w odniesieniu do kategorii osób, których dane zawarte zostały w zapytaniu kredytowym, z którymi nie zawarto umowy kredytowej, istniałaby pełna dowolność tak w zasadach ich przetwarzania, jak również dowolne ustalenia w odniesieniu do czasu ich przetwarzania. Sytuacja osoby, która zwróciła się z zapytaniem kredytowym i z którą nie zawarto umowy kredytowej, byłaby z punktu widzenia ochrony danych osobowych, sytuacją "gorszą" niż sytuacja osoby, która zawarła umowę kredytową i jej zobowiązanie wygasło. Skargę kasacyjną wniosło B., zaskarżając powyższy wyrok w części oddalającej skargę B. na decyzję Prezesa UODO z 30 marca 2022 r. nr DS.523.2609.2021.FT.UD. Zarzucił naruszenie przepisów postępowania, mające istotny wpływ na wynik sprawy, tj.: 1. art. 145 §1 pkt 1 lit. c) p.p.s.a. w związku z art. 7, w zw. z art. 77 § 1, w zw. z art. 80 k.p.a. w zw. z art. 7 ustawy z 10 maja 2018 r. o ochronie danych osobowych (t. j. Dz.U. z 2019 r., poz. 1781. dalej jako u.o.d.o.), przez uznanie przez Wojewódzki Sąd Administracyjny w Warszawie, że organ prawidłowo zebrał i ocenił zgromadzony w sprawie materiał dowodowy, podczas gdy organ ten: - zaniechał dokonania wyczerpującej analizy charakteru, zakresu oraz celów gospodarczo-ekonomicznych dla jakich zostało powołane B. S.A. oraz obowiązków prawnych i obowiązków wynikających z zawartych przez B. umów z bankami i instytucjami ustawowo upoważnionymi do udzielania kredytów, co doprowadziło do wadliwej i niepełnej oceny stanu faktycznego skutkującej wadliwą oceną w zakresie ustalenia podstaw prawnych legitymujących skarżącego do przetwarzania danych osobowych, - zaniechał dokonania oceny Rekomendacji S, W i T Komisji Nadzoru Finansowego jako organu właściwego do sprawowania nadzoru nad instytucjami krajowymi w rozumieniu przepisów UE (regulatora rynku finansowego), które to regulacje nakładają na banki i instytucje ustawowo upoważnione do udzielania kredytów, a w konsekwencji na B. jako instytucję gromadzącą dane służące do oceny zdolności kredytowej oraz budującą modele scoringowe służące bankom i tymże instytucjom, określone wymagania, które podlegają nadzorowi i egzekwowaniu przez Komisję Nadzoru Finansowego na podstawie bezwzględnie obowiązujących przepisów prawa, co doprowadziło do wadliwej oceny niezbędności przetwarzania przez skarżącego danych osobowych uczestniczki w przypadku nie zawarcia umowy kredytowej dla zabezpieczenia interesów banków oraz stabilności rynku gospodarczo-finansowego i w konsekwencji do wadliwego uznania, że w ww. przypadku nie zachodzą przesłanki legitymujące skarżącego do przetwarzania danych osobowych uczestniczki, - nie dokonał analizy podstawowych zasad funkcjonowania stabilnego sektora finansowego w tym pod kątem istnienia - po stronie banków, a w konsekwencji B. jako instytucji gromadzącej dane służące do oceny zdolności kredytowej oraz budującej modele scoringowe służące bankom - oczywistego interesu prawnego przejawiającego się w odmowie udzielenia kredytu i wynikającego z braku istnienia zdolności kredytowej po stronie uczestniczki, co prowadzi do zabezpieczenia interesu banków przed nieodpowiedzialną polityką udzielania kredytów osobom, które nie mają szans na ich spłacenie oraz do zapewnienia stabilności gospodarczo-ekonomicznej sektora bankowego, a w ujęciu makro zapobieganiu kryzysom gospodarczym, co doprowadziło do wadliwej oceny niezbędności przetwarzania przez skarżącego danych osobowych uczestniczki w przypadku nie zawarcia umowy kredytowej dla zabezpieczenia interesów banków oraz stabilności rynku gospodarczo-finansowego i w konsekwencji do wadliwego uznania, że w ww. przypadku nie zachodzą przesłanki legitymujące skarżącego do przetwarzania danych osobowych uczestniczki, - nie zbadał wszystkich podstaw prawnych dalszego przetwarzania danych o zapytaniach kredytowych, w sytuacji nie zawarcia umowy kredytu, pomimo, iż przepisy prawa upoważniają skarżącego do przetwarzania tych danych, co doprowadziło do wadliwej i niepełnej oceny stanu faktycznego skutkującej wadliwą oceną w zakresie ustalenia podstaw prawnych legitymujących skarżącego do przetwarzania danych osobowych, co w konsekwencji doprowadziło do oddalenia skargi przez WSA wskutek błędnego przyjęcia przez WSA braku istnienia podstawy prawnej do przetwarzania danych, zatem braku legitymacji skarżącego do przetwarzania danych osobowych uczestniczki. 2. art. 145 § 1 pkt 1 lit. c) p.p.s.a. w związku z art. 7b k.p.a. w zw. z art. 7 k.p.a. w zw. z art. 77 k.p.a. w zw. z art. 7 u.o.d.o. przez uznanie, iż organ wyjaśnił stan faktyczny i prawny konieczny do podjęcia przez organ stosownych czynności, w tym zasadnie zaniechał zwrócenia się do Komisji Nadzoru Finansowego (dalej jako KNF), podczas gdy dla kompleksowego wyjaśnienia sprawy konieczne było zwrócenie się do KNF i współdziałanie w zakresie niezbędnym do dokładnego wyjaśnienia stanu prawnego, mając na względzie interes społeczny i słuszny interes obywateli w postaci ustalenia należytych zasad, celów i zakresu przetwarzania danych osobowych o niezrealizowanych zapytaniach kredytowych tak, by procesy przetwarzania danych czyniły zadość zarówno przepisom prawa o ochronie danych osobowych, jak i przepisom szeroko pojętego prawa bankowego, w szczególności dla zapewnienia ochrony wartości, których gwarancje ochrony wynikają z ww. przepisów zgodnie z zasadą proporcjonalności, wskutek czego PUODO wydał zaskarżoną decyzję w niepełnym stanie faktycznym i prawnym, czego WSA nie dostrzegł oddalając skargę i w konsekwencji wydał wyrok w oparciu o ten sam niepełny stan faktyczny i prawny. Ponadto B. zarzucił naruszenie przepisów prawa materialnego, tj.: 1. art. 6 ust. 1 lit. c RODO w zw. z art. 105 ust. 1 pkt. 1c w zw. z art. 105 ust. 4 i w zw. z art. 105a w zw. z art. 70 i art. 5 ust. 1 pkt. 3 ustawy z 29 sierpnia 1997 r. (Dz.U. z 2021 r. poz. 2439) - Prawo bankowe, dalej jako "Prawo bankowe" przez ich niewłaściwe zastosowanie przejawiające się w przyjęciu, że w sytuacji, gdy nie doszło pomiędzy uczestniczką a Bankiem do zawarcia umowy kredytowej. Skarżący nie jest uprawniony do przetwarzania danych osobowych uczestniczki, a w konsekwencji przyjęcie, że skarżący nie posiada ww. podstawy prawnej do przetwarzania danych zawartych we wniosku o udzielenie kredytu w przypadku nie zawarcia umowy kredytowej, podczas gdy B. jest ustawowo zobowiązany do realizacji obowiązku prawnego wynikającego z ww. przepisów polegającego na gromadzeniu, przetwarzaniu i udostępnianiu bankom oraz podmiotom szczegółowo wskazanym w przepisie informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych w postaci oceny zdolności kredytowej oraz analizy ryzyka kredytowego konkretnego klienta (indywidualna ocena zdolności kredytowej) oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia Parlamentu Europejskiego i rady (UE) nr 575/2013 z 26 czerwca 2013 r. w sprawie wymogów ostrożnościowych dla instytucji kredytowych i firm inwestycyjnych, zmieniające rozporządzenie (UE) nr 648/2012 (dalej jako: rozporządzenie nr 575/2013), 2. art. 6 ust. 1 lit. c) RODO w zw. z art. 70a w zw. z art. 105 ust. 4 pkt. 1 i 2 oraz w zw. z art. 105a Prawa bankowego przez jego niezastosowanie wskutek uznania, iż przepisy prawa nie nakładają na skarżącego obowiązku przekazywania osobie fizycznej ubiegającej się o kredyt wyjaśnień dotyczących dokonanej oceny zdolności kredytowej, a w konsekwencji przyjęcie, że skarżący nie posiada podstawy prawnej do przetwarzania danych uczestniczki w sytuacji nie zawarcia umowy kredytowej, podczas gdy skarżący posiada podstawę prawną przetwarzania z uwagi na niezbędność przetwarzania do wykonania obowiązku prawnego przez banki, instytucje ustawowo uprawnione do udzielania kredytów i B., w postaci obowiązku przekazania osobie ubiegającej się o kredyt w formie pisemnej na jej wniosek wyjaśnień dotyczących dokonanej oceny zdolności kredytowej wnioskującego, 3. art. 6 ust. 1 lit. e) RODO przez jego niezastosowanie wskutek uznania, że skarżący nie posiada podstawy prawnej do przetwarzania danych uczestniczki w sytuacji nie zawarcia umowy kredytowej, podczas gdy skarżący posiada podstawę prawną przetwarzania z uwagi na niezbędność przetwarzania dla realizacji zadania w interesie publicznym przez banki, instytucje ustawowo uprawnione do udzielania kredytów i B. w postaci zabezpieczenia ekonomiczno-gospodarczego sektora bankowego, w tym depozytariuszy i zapewnienia stabilności ekonomiczno-gospodarczej sektora bankowego, a w ujęciu makro zapobieganiu kryzysom gospodarczym, 4. art. 6 ust. 1 lit. f) RODO przez jego niewłaściwe zastosowanie wskutek uznania, że przetwarzanie danych osobowych dla realizacji prawnie uzasadnionych interesów administratora danych w celach zabezpieczenia roszczeń może dotyczyć wyłącznie roszczeń istniejących i aktualnie dochodzonych i w konsekwencji nieuzasadnione przyjęcie, że prawnie uzasadniony interes administratora danych nie istnieje w sytuacji konieczności przetwarzania danych osobowych do ochrony przed roszczeniami istniejącymi, ale nie dochodzonymi w chwili dokonywania oceny, podczas gdy istotą uzasadnionego interesu administratora jest możliwość przetwarzania danych na wypadek konieczności obrony przed roszczeniami istniejącymi lub dochodzenia w przyszłości roszczeń istniejących, które w warunkach niniejszej sprawy są związane z przetwarzaniem danych osobowych na potrzeby opracowania oceny scoringowej uczestniczki niezbędnej do przeprowadzenia analizy zdolności kredytowej oraz analizy ryzyka kredytowego, które to skarżący zobowiązany jest gromadzić, przetwarzać i udostępniać bankom i instytucjom ustawowo upoważnionym do udzielania kredytów dla realizacji celów ustawowych badania zdolności kredytowej, 5. art. 6 ust. 1 lit. f) RODO przez niewłaściwe zastosowanie przez przyjęcie, że wskutek braku zawarcia umowy kredytowej B. nie posiada prawnie uzasadnionego interesu w przetwarzaniu danych uczestniczki, podczas gdy istnieje prawnie uzasadniony interes skarżącego w przetwarzaniu tych informacji pomimo nie zawarcia umowy kredytowej, polegający na realizacji działań z zakresu opracowania, utrzymania aktualności i funkcjonalności zbudowanych modeli scoringowych w zgodzie z treścią Rekomendacji W, S i T Komisji Nadzoru Finansowego w zakresie dobrych praktyk i zarządzania ryzykiem kredytowym, 6. art. 6 ust. 1 lit. f) RODO przez jego niezastosowanie wskutek uznania, że skarżący nie posiada podstawy prawnej do przetwarzania danych uczestniczki, podczas gdy skarżący posiada podstawę prawną przetwarzania z uwagi na konieczność zapewnienia rozliczalności działań skarżącego jako administratora danych osobowych na zasadzie art. 5 ust. 2 RODO w postaci wykazania przestrzegania przepisów dotyczących jakości danych. W oparciu o tak sformułowane zarzuty B. wniósł o uchylenie wyroku w zaskarżonej części i przekazanie do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie. Ponadto wniósł o zasądzenie kosztów postępowania, w tym kosztów zastępstwa procesowego i opłaty skarbowej od pełnomocnictwa, według norm prawem przepisanych. W odpowiedzi na skargę kasacyjną organ wniósł o oddalenie skargi kasacyjnej. W uzasadnieniu odpowiedzi na skargę kasacyjną podniesiono, że organ w pełni podziela stanowisko zajęte przez Wojewódzki Sąd Administracyjny w Warszawie w zaskarżonym wyroku uznając, że zarzuty sformułowane w ww. skardze kasacyjnej są całkowicie bezzasadne. W ocenie Prezesa UODO ocena stanu faktycznego, jak i prawnego, w tym ocena roli B. w procesie kwestionowanego procesu przetwarzania danych osobowych była wystarczająca do wydania rozstrzygnięcia w niniejszej sprawie, uwzględniając kompetencje organu nadzorczego i zakres postępowania. Zdaniem organu art. 105 ust. 4 Prawa bankowego nie stanowi samodzielnej przesłanki uprawniającej do przetwarzania danych osobowych bez zgody osoby, której dane dotyczą. Powyższy przepis nie ustanawia obowiązku, lecz wyłącznie uprawnienie wskazanych podmiotów do utworzenia instytucji o charakterze pomocniczym, upoważnionej do gromadzenia, przetwarzania i udostępnienia danych osobowych objętych tajemnicą bankową. W związku z powyższym podstawą przetwarzania danych osobowych w B. nie może być przesłanka wynikająca z art. 6 ust. 1 lit. c RODO. Podstawą taką nie mogą być także pozostałe przepisy wskazane w skardze kasacyjnej. Naczelny Sąd Administracyjny zważył, co następuje: Stosownie do treści art. 183 § 1 ustawy z 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz. U. z 2026 r., poz. 143 ze zm.) dalej: p.p.s.a.) Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, a z urzędu bierze pod uwagę nieważność postępowania, której przesłanki zostały enumeratywnie wymienione w § 2 art. 183 tej ustawy. Oznacza to, że jeżeli – tak jak w rozpoznawanej sprawie – nie zachodzi nieważność postępowania, to zakres postępowania kasacyjnego wyznacza strona wnosząca skargę kasacyjną przez przytoczenie podstaw kasacyjnych i ich uzasadnienie. W skardze kasacyjnej sformułowano zarówno zarzuty naruszenia prawa materialnego, jak i przepisów postępowania. W takiej sytuacji w pierwszej kolejności należy odnieść się do zarzutów naruszenia przepisów postępowania. W obu zarzutach naruszenia przepisów postępowania podnosi się naruszenia art. 7 k.p.a. w zw. z art. 77 k.p.a. w zw. z art. 7 u.o.d.o. przez uznanie, iż organ prawidłowo zebrał i ocenił zgromadzony w sprawie materiał dowodowy, a także przez uznanie, że organ ten wyjaśnił stan faktyczny i prawny konieczny do podjęcia przez Prezesa UODO stosownych czynności. W odniesieniu do powyższych zarzutów, koncentrujących się wokół braków w zakresie postępowania wyjaśniającego należy wskazać, że w ramach realizacji zasady prawdy obiektywnej, wynikającej z art. 7 k.p.a., organ jest obowiązany z urzędu stwierdzić, jakie dowody są niezbędne w danej sprawie oraz również z urzędu dowody te przeprowadzić. Jednakże obowiązek wyczerpującego zebrania i zbadania całego materiału dowodowego należy odnieść do zakresu wynikającego z materialnoprawnej podstawy rozstrzygnięcia. Innymi słowy, organ nie ma obowiązku ustalania faktów niemających znaczenia dla rozstrzygnięcia sprawy. W ocenie Naczelnego Sądu Administracyjnego wszystkie istotne z punktu widzenia podstawy materialnoprawnej rozstrzygnięcia fakty zostały prawidłowo ustalone w postępowaniu wyjaśniającym. Po przeprowadzeniu analizy akt administracyjnych sprawy nie sposób przyjąć, że doszło do wadliwości w procesie ustalania stanu faktycznego sprawy. W sprawie jest niesporne, że B. pozyskało dane osobowe uczestniczki w związku z zapytaniem kredytowym, w wyniku którego nie doszło do zawarcia umowy. Niesporne jest również, że skarżący kasacyjnie był podmiotem uprawnionym do przetwarzania danych osobowych uczestniczki w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Powyższe okoliczności nie były sporne, a jednocześnie to one determinowały zakres rozpoznania sprawy. Dlatego też twierdzenie skarżącego kasacyjnie, iż stan faktyczny został ustalony w sposób niepełny, jest niezasadne. Podnoszone w omawianych zarzutach skargi kasacyjnej okoliczności są irrelewantne z punktu widzenia rozstrzygnięcia niniejszej sprawy. Zdaniem Naczelnego Sądu Administracyjnego nie ma wątpliwości, że Prezes UODO dokonał niezbędnych w sprawie ustaleń faktycznych i zebrał niezbędny materiał dowodowy, co trafnie przyjął Sąd I instancji. Organ rozpatrzył wszechstronnie i należycie zgromadzony materiał dowodowy, a ocena tego materiału na gruncie przepisów RODO nie budzi zastrzeżeń i należy uznać ją za prawidłową. Odmienna ocena w zakresie wykładni i zastosowania powołanych przez organ przepisów prawa nie stanowi o naruszeniu przepisów postępowania, w tym art. 7, art. 7b, art. 77 § 1 i art. 80 k.p.a. Organ zbadał istnienie interesu prawnego skarżącego kasacyjnie do przetwarzania danych osobowych uczestniczki i uznał, że w świetle obowiązujących przepisów prawa interes ten nie zachodził. Prezes UODO nie kwestionował w zaskarżonej decyzji uprawnień instytucji finansowych do dokonywania ustaleń i ocen w zakresie zdolności kredytowej. Przedmiotem sprawy była ocena zgodności z prawem "dalszego" przetwarzania danych osobowych zawartych w zapytaniach kredytowych, bowiem to przetwarzanie danych było kwestionowane. Prezes UODO bezspornie posiada uprawnienie do dokonania oceny w tym przedmiocie na gruncie RODO, jako organ wyspecjalizowany. Zdaniem Naczelnego Sądu Administracyjnego prawidłowe jest stanowisko, że skoro nie doszło do zawarcia umowy kredytu, to odpadła przesłanka legalizująca dalsze przetwarzanie danych osobowych, o czym będzie jeszcze mowa niżej. Nie było podstaw do zwracania się przez organ do Komisji Nadzoru Finansowego w celu "dokładnego wyjaśnienia stanu prawnego", o co postulował skarżący kasacyjnie. Nietrafna okazała się także argumentacja skargi kasacyjnej o konieczności analizy charakteru, zakresu oraz celów gospodarczo-ekonomicznych dla jakich zostało powołane B., oceny Rekomendacji S, W i T Komisji Nadzoru Finansowego, a także zasad funkcjonowania stabilnego sektora finansowego, skoro – w świetle poniższych ustaleń – podstawa przetwarzania danych osobowych może być zawarta w przepisach prawa powszechnego, w tym ustawach i rozporządzeniach UE, podstawa ta nie może być natomiast wywodzona z uwarunkowań gospodarczych prowadzonej działalności gospodarczej, ani też z aktów niemających charakteru aktu prawa powszechnie obowiązującego. Przechodząc do oceny zarzutów naruszenia prawa materialnego należy podnieść, że zgodnie z motywem 40 RODO, aby przetwarzanie danych było zgodne z prawem, powinno się odbywać na podstawie zgody osoby, której dane dotyczą, lub na innej uzasadnionej podstawie przewidzianej prawem: albo w niniejszym rozporządzeniu, albo w innym akcie prawnym Unii lub w prawie państwa członkowskiego, o których mowa w niniejszym rozporządzeniu, w tym musi się ono odbywać z poszanowaniem obowiązku prawnego, któremu podlega administrator lub z poszanowaniem umowy, której stroną jest osoba, której dane dotyczą, lub w celu podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy. Powyższe znalazło wyraz w art. 6 ust. 1 RODO, określającym przesłanki legalności przetwarzania danych osobowych. Zgodnie z tym przepisem, przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy - i w takim zakresie, w jakim - spełniony jest co najmniej jeden z poniższych warunków: a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów; b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy; c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze; d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej; e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi; f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Akapit pierwszy lit. f nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań. Zgodnie z art. 105a ust. 1 u.P.b. przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów, instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim (t.j. Dz.U. z 2024 r., poz. 1497; dalej: "u.k.k."), a także instytucje utworzone na podstawie art. 105 ust. 4 u.P.b., informacji stanowiących tajemnicę bankową i informacji udostępnionych przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d u.k.k., w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem art. 104, art. 105 i art. 106-106d u.P.b., w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Zgodnie zaś z art. 105a ust. 4 u.P.b., banki oraz instytucje, o których mowa w art. 105 ust. 4 u.P.b., mogą przetwarzać stanowiące tajemnicę bankową informacje dotyczące osoby fizycznej po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której informacje dotyczą, do celów stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013. Jednocześnie zgodnie z art. 105a ust. 5 u.P.b., przetwarzanie informacji stanowiących tajemnicę bankową w przypadkach, o których mowa w ust. 3, może być wykonywane przez okres nie dłuższy niż 5 lat od dnia wygaśnięcia zobowiązania, a w przypadku, o którym mowa w ust. 4, przez okres 12 lat od dnia wygaśnięcia zobowiązania. Zgodnie z art. 70 ust. 1 u.P.b., bank uzależnia przyznanie kredytu od zdolności kredytowej kredytobiorcy. Przez zdolność kredytową rozumie się zdolność do spłaty zaciągniętego kredytu wraz z odsetkami w terminach określonych w umowie. Kredytobiorca jest obowiązany przedłożyć na żądanie banku dokumenty i informacje niezbędne do dokonania oceny tej zdolności. W świetle ww. przepisów, a w szczególności na podstawie art. 105a ust. 1 i art. 70 ust. 1 u.P.b. uprawnione było przetwarzanie danych osobowych uczestniczki w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Należy jednak podkreślić, że w związku z zapytaniem kredytowym z 15 lutego 2021 r. nie doszło do zawarcia umowy kredytowej, a powyższa okoliczność nie była kwestionowana w toku postępowania. Nie może być wątpliwości, że ocena zdolności kredytowej i analiza ryzyka kredytowego zostały dokonane (zrealizowane). Cel przetwarzania danych, dla którego zostały one zgromadzone w zapytaniu kredytowym, został osiągnięty. Nadto uczestniczka wniosła o zaprzestanie przetwarzania jej danych w związku z zapytaniami kredytowymi, w rezultacie których nie udzielono jej kredytu. Wobec tego należy zgodzić się ze stanowiskiem, że odpadła przesłanka legalizująca dalsze przetwarzanie danych osobowych uczestniczki, które to przetwarzanie miało na celu - co wymaga raz jeszcze podkreślenia - ocenę zdolności kredytowej i analizę ryzyka kredytowego - przed zawarciem umowy. Skoro nie doszło do nawiązania stosunku zobowiązaniowego, który stosownie do art. 105a ust. 1-6 u.P.b. dawałby podstawę do dalszego przetwarzania danych osobowych przez skarżącego kasacyjnie, to należało uznać, tak jak prawidłowo przyjął Prezes UODO, że ustał cel przetwarzania danych osobowych pozyskanych tylko i wyłącznie w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Z ww. przepisów wynika, że przesłanki zawarte w art. 105a u.P.b. dotyczą przetwarzania informacji objętych tajemnicą bankową w okresie przed powstaniem zobowiązania, w trakcie jego trwania oraz po wygaśnięciu zobowiązania. Natomiast w sytuacji, gdy w następstwie złożenia wniosku kredytowego nie dochodzi do zawarcia umowy kredytowej (umowy pożyczki) z bankiem, jak miało to miejsce w sprawie, brak jest ustawowych przesłanek legalizujących przetwarzanie danych osobowych zawartych w zapytaniu kredytowym. Przetwarzane są one bowiem bez podstawy prawnej, w celach innych niż te, w których zostały zebrane, tj. oceny zdolności kredytowej i analizy ryzyka kredytowego. Nie budzi wątpliwości, że ocena zdolności kredytowej i ryzyka kredytowego ma charakter czynności wstępnych przed zawarciem umowy kredytowej. Dalsze przetwarzanie danych, uzyskanych wyłącznie w celu oceny zdolności kredytowej i analizy ryzyka kredytowego, w przypadku braku zawarcia stosownej umowy, pozostaje w oderwaniu od celu, dla którego dane zebrano. Na gruncie RODO niedopuszczalne jest - w takim stanie faktycznym, jak w sprawie, gdy nie zawarto umowy kredytowej - przetwarzanie danych osobowych "na przyszłość", w innych celach niż je zebrano, gdy nie można zrekonstruować wyraźnej podstawy prawnej takich działań w odniesieniu do uczestniczki. Odnosząc się do zarzutu naruszenia prawa materialnego, a to art. 70a ust. 1 u.P.b. należy wskazać, że zgodnie z tym przepisem banki i inne instytucje ustawowo upoważnione do udzielania kredytów na wniosek osoby fizycznej, prawnej lub jednostki organizacyjnej niemającej osobowości prawnej, o ile posiada zdolność prawną, ubiegającej się o kredyt przekazują, w formie pisemnej, wyjaśnienie dotyczące dokonanej przez siebie oceny zdolności kredytowej wnioskującego. Zgodnie zaś z art. 70a ust. 2 u.P.b., wyjaśnienie, o którym mowa w ust. 1, obejmuje informacje na temat czynników, w tym danych osobowych wnioskującego, które miały wpływ na dokonaną ocenę zdolności kredytowej. Powstanie obowiązku, o którym mowa w art. 70a ust. 1 u.P.b., uzależnione jest od złożenia wniosku o przedłożenie wyjaśnień dotyczących dokonanej oceny zdolności kredytowej. Z akt nie wynika, aby został złożony taki wniosek. Uczestniczka zwróciła się natomiast o usunięcie danych osobowych związanych z zapytaniem kredytowym i w związku z odmową w tym zakresie podjęła działania przed Prezesem UODO. Dodać również należy, że art. 70a u.P.b. nakłada na banki i inne instytucje ustawowo upoważnione do udzielania kredytów obowiązek przekazywania osobie fizycznej ubiegającej się o kredyt wyjaśnień dotyczących dokonanej oceny zdolności kredytowej wnioskującego. Tego rodzaju obowiązku przepis ten nie nakłada na instytucje, o których mowa w art. 105 ust. 4 u.P.b. Nie może być więc mowy o tym, aby podstawę do dalszego przetwarzania danych osobowych uczestniczki stanowił art. 70a ust. 1 u.P.b. Omawiany zarzut skargi kasacyjnej nie jest zatem uzasadniony. Naczelny Sąd Administracyjny, odnosząc się ponownie do zarzutu naruszenia art. 6 ust. 1 lit. f RODO, tym razem w nawiązaniu do wskazywanej przez skarżącego kasacyjnie potrzeby przechowywania danych zawartych w zapytaniu kredytowym osoby, z którą nie zawarto umowy kredytowej, na wypadek ewentualnych przyszłych roszczeń wskazuje, że art. 6 ust. 1 lit. f RODO stanowi o uprawnieniu do przetwarzania, gdy jest ono niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Za usprawiedliwiony cel w rozumieniu ww. przepisu nie może zostać uznane przetwarzanie danych osobowych na wypadek ewentualnego dochodzenia lub obrony roszczeń. Z akt sprawy nie wynika, aby wnioskodawczyni, która zażądała usunięcia danych w zakresie zapytania kredytowego, miała jakiekolwiek roszczenie na drodze cywilnoprawnej do strony skarżącej. Natomiast jednoznacznie zażądała usunięcia swoich danych osobowych, powołując się na ich przetwarzanie bez podstawy prawnej. Z tego względu nie jest dopuszczalne przyjęcie, że to art. 6 ust. 1 lit. f RODO mógłby stanowić podstawę do "dalszego" przetwarzania danych, na wypadek ewentualnego dochodzenia roszczeń. W toku postępowania administracyjnego nie wykazano - i nie wynika to też ze skarg - jakich ewentualnie roszczeń mógłby dochodzić podmiot, który zażądał usunięcia swoich danych w zakresie zapytań kredytowych i z którym nie zawarto umowy kredytowej. Ważąc zatem interesy uczestniczki, która zażądała respektowania jej praw do ochrony danych osobowych, wynikających z RODO, oraz interesy strony skarżącej kasacyjnie, w sytuacji, gdy nie zawarto z uczestniczką umowy kredytowej, należało uznać, że brak było podstaw do przyjęcia, że spełniona została przesłanka z art. 6 ust. 1 lit. f RODO. Sąd w składzie rozpoznającym sprawę podziela pogląd Naczelnego Sądu Administracyjnego, zgodnie z którym niedopuszczalne jest przetwarzanie danych osobowych niejako "na zapas" z założeniem, że mogą być one ewentualnie przydatne w przyszłości, na przykład z odwołaniem się do przepisów dotyczących przedawnienia roszczeń (por. wyroki NSA: z 27 marca 2018 r., I OSK 1459/16 i z 1 października 2025 r., III OSK 872/22). Wywodzenie zatem także z kwestii przedawnienia roszczeń samodzielnej podstawy do przetwarzania danych - w sytuacji, gdy mowa o danych osoby, z którą nie zawarto umowy kredytowej czy umowy pożyczki, nie jest uprawnione i nie stanowi przesłanki do ich dalszego przetwarzania. Celem RODO, tak jak poprzednio Dyrektywy 95/46/WE, jest ochrona prywatności, która powinna być rozpatrywana także w świetle art. 8 Konwencji o Ochronie Praw Człowieka i Podstawowych Wolności. W sprawie tej nie istnieje tego rodzaju powiązanie pomiędzy osobą, której dane dotyczą a bankiem, jak również pomiędzy tą osobą a stroną skarżącą, które pozwalałoby "wyprowadzić" istnienie prawnie uzasadnionego interesu po stronie strony skarżącej kasacyjnie w "dalszym" przetwarzaniu danych tej osoby. Z okoliczności sprawy nie wynika przy tym, aby osoba ta mogła spodziewać się w czasie, gdy pozyskiwano od niej dane w celu oceny zdolności kredytowej i ryzyka kredytowego, że będą one "dalej" przetwarzane mimo nie zawarcia umowy kredytowej (czy umowy pożyczki) (por. motyw 47 RODO). Jako prawnie uzasadniony interes administratora na gruncie art. 6 ust. 1 lit. f RODO nie może być rozumiana każda potrzeba wygenerowana przez danego administratora w związku z prowadzoną działalnością gospodarczą. Przyjęcie takiej koncepcji poddawałoby w wątpliwość funkcjonowanie wszystkich pozostałych przesłanek legalności przetwarzania danych ujętych w RODO, skoro sama potrzeba, pojawiająca się dynamicznie w ramach prowadzonej działalności, czyniłaby dopuszczalnym przetwarzanie danych osobowych. Niewątpliwie zaś ten prawnie uzasadniony interes administratora nie może pozbawiać jednostki prawa do dysponowania własnymi danymi osobowymi i ochrony prywatności. Pamiętać trzeba również, że celem udostępnienia danych osobowych przez osobę fizyczną było rozpatrzenie konkretnego wniosku kredytowego (cel był ściśle określony), zgodnie z przepisami u.P.b. Powyższe nie daje podstaw do dalszego przetwarzania danych "na przyszłość", po zakończeniu oceny zdolności kredytowej i analizy ryzyka kredytowego. Samo powołanie się na zasadę rozliczalności (art. 5 ust. 2 RODO) nie legalizuje przetwarzania jakichkolwiek danych. Konieczne jest bowiem, aby w pierwszej kolejności przetwarzanie danych było zgodne z prawem. Podstawy prawnej przetwarzania danych osobowych uczestniczki nie stanowi także art. 6 ust. 1 lit. e) RODO, tj. niezbędność przetwarzania danych do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi. Nie ulega wątpliwości, że B. nie przetwarza danych osobowych w ramach sprawowania władzy publicznej. Analizując natomiast przesłankę zadania realizowanego w interesie publicznym trzeba zauważyć, że pojęcie to obejmuje przetwarzanie danych przez organy władzy publicznej, ale także podmioty niepubliczne realizujące zadania publiczne, takie jak samorządy zawodowe czy prywatne zakłady administracyjne (np. uczelnie). Tymczasem B. nie zostało na podstawie ustaw powierzone władztwo administracyjne ani kompetencje organów administracji publicznej. Z działaniem w interesie publicznym nie może być utożsamiane ustawowe upoważnienie do gromadzenia, przetwarzania i udostępniania danych, o którym mowa w art. 105 ust. 4 u.P.b. W demokratycznym państwie prawnym nie jest dopuszczalne dowolne rozszerzanie uprawnień jakiegokolwiek podmiotu, ani organu władzy, ani spółki prawa handlowego, ani żadnego innego podmiotu będącego administratorem w zakresie przetwarzania danych osobowych (art. 47, art. 51 Konstytucji RP). Dane osobowe mogą być przetwarzane co do zasady w celach, w jakich je zebrano. Cele te powinny być adekwatne i ograniczone do tego co niezbędne do ich osiągnięcia, w których zostały zebrane (art. 5 ust. 1 lit. c RODO). Przetwarzanie "na przyszłość" danych zawartych w zapytaniach kredytowych, w sytuacji, gdy nie zawarto umowy kredytowej, nie znajduje umocowania w żadnej przesłance z art. 6 ust. 1 RODO. Przyjęcie odmiennej interpretacji prowadziłoby do tego, że wobec osoby, której dane zawarto w zapytaniu kredytowym i z którą nie zawarto umowy kredytowej, istniałaby dowolność, tak co do zasad przetwarzania jej danych osobowych, jak również co do przedstawienia innych celów przetwarzania, których nie ujawniono wprost przed pozyskaniem danych (innych niż ocena zdolności kredytowej i ryzyka kredytowego) oraz co do dowolnego ustalenia przez podmiot dysponujący danymi czasu przetwarzania danych z uwzględnieniem przyjmowanych celów, które służą określonym wymogom organu nadzoru nad rynkiem finansowym. Ponadto należy zauważyć, że nie brak jest w aktualnym stanie prawnym przepisów, które zobowiązują niektóre podmioty do przetwarzania danych osobowych przez okres przedawnienia roszczeń z tytułu zawartych umów. Tytułem przykładu przytoczyć można art. 29 ust. 10 ustawy z 11 września 2015 r. o działalności ubezpieczeniowej i reasekuracyjnej (t.j. Dz.U. z 2024 r. poz. 838), zgodnie z którym zakład ubezpieczeń przechowuje informacje i dokumenty, o których mowa w ust. 6 (tj. informacje i dokumenty gromadzone w celu ustalenia odpowiedzialności zakładu ubezpieczeń lub wysokości odszkodowania lub świadczenia) do czasu upływu terminu przedawnienia roszczeń z umowy ubezpieczenia. A contrario skoro ustawodawca nie zobowiązał wszystkich przedsiębiorców do przechowywania danych osobowych byłych klientów przez czas przedawnienia roszczeń w celu ustalenia odpowiedzialności lub wysokości odszkodowania, to tym samym zgodnie z zasadą racjonalnego ustawodawcy nie można takiej konstrukcji rozciągać na inne regulacje prawne. Tekst aktu prawodawczego służy ustawodawcy do sformułowania określonych norm postępowania świadczących o tym, że prawodawca zna i uwzględnia reguły języka danej społeczności, a jeśli od nich odstępuje, odpowiednio to zaznacza, np. przez definicje legalne. Przyjmuje się, że prawodawca formułuje takie normy, które według jego wiedzy w danym układzie społecznym nadają się do tego, by wpływać na zachowanie adresatów i nie ustanawia norm niezgodnych między sobą. Postępowanie adresatów zgodne z ustanawianymi normami prowadzi – według jego wiedzy – do rezultatów optymalnych, a w każdym razie aprobowanych na gruncie przypisywanego prawodawcy systemu wartości (por. M. Augustyniak, Zasady racjonalnego prawodawcy w kontekście teorii i praktyki prawniczej, Aktualne problemy prawa, tom 1, nr 4, kwiecień 2020, s. 37-41). Przyjęcie prezentowanego w skardze kasacyjnej stanowiska prowadziłoby do tego, że sytuacja osoby fizycznej, która zwróciła się z zapytaniem kredytowym i z którą nie zawarto umowy kredytowej byłaby gorsza z punktu widzenia ochrony danych osobowych przewidzianych w RODO i odczytywanych łącznie z ww. przepisami u.P.b., niż sytuacja osoby, która zawarła umowę kredytową i jej zobowiązanie wygasło. W tym drugim bowiem przypadku, po wygaśnięciu zobowiązania wynikającego z danej umowy, do dalszego przetwarzania danych niezbędna byłaby zgoda osoby, której dane dotyczą, odwołalna w każdym czasie. Podmiot, który zażądał usunięcia swoich danych osobowych, byłby pozbawiony ochrony, choć przetwarzano jego dane w celu, który nie jest ściśle związany z konkretną czynnością, w związku z którą uzyskano i przetwarzano dane. Zdaniem Naczelnego Sądu Administracyjnego chcąc realizować obowiązki nałożone przez instytucje nadzorcze w zakresie prowadzonej działalności, a jednocześnie chcąc przetwarzać dane osobowe konkretnej osoby fizycznej w konkretnych okolicznościach faktycznych (dane osoby, która w związku z zapytaniem kredytowym stanowiącym podstawę do zebrania i przetwarzania danych, nie uzyskała kredytu) należy przestrzegać przepisów RODO w zakresie "dalszego" przetwarzania, które nie wiąże się z oceną zdolności kredytowej i analizą ryzyka. Naczelny Sąd Administracyjny podziela bowiem prezentowane w orzecznictwie poglądy, zgodnie z którymi dalsze przetwarzanie danych, uzyskanych w celu oceny zdolności kredytowej, w przypadku nie zawarcia tej umowy, pozostawałoby w oderwaniu od celu, dla którego uzyskano i przetwarzano dane osobowe osoby fizycznej. Tym samym niedopuszczalne jest dalsze przetwarzanie danych osobowych na przyszłość, a także na potrzeby budowy oceny zdolności kredytowej innych podmiotów, jeżeli nie można zrekonstruować wyraźnej podstawy prawnej takich działań, jak miało to miejsce w sprawie (por. wyrok NSA z 27 sierpnia 2019 r. , I OSK 2567/17). Mając na uwadze powyższe wywody, Naczelny Sąd Administracyjny uznał, że skarga kasacyjna nie zawiera usprawiedliwionych podstaw, dlatego na mocy art. 184 p.p.s.a. ją oddalił. O kosztach postępowania kasacyjnego orzeczono na podstawie art. 204 pkt 1 p.p.s.a.