III OSK 1247/23

Naczelny Sąd Administracyjny w składzie: Przewodniczący: sędzia NSA Olga Żurawska- Matusiak Sędziowie: sędzia NSA Rafał Stasikowski sędzia del. WSA Ireneusz Dukiel (sprawozdawca) Protokolant: asystent sędziego Piotr Rzekiecki po rozpoznaniu w dniu 15 maja 2026 r. na rozprawie w Izbie Ogólnoadministracyjnej skarg kasacyjnych [...] S.A. z siedzibą w [...] i Biura Informacji Kredytowej S.A. z siedzibą w Warszawie od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 14 grudnia 2022 r. sygn. akt II SA/Wa 947/22 w sprawie ze skargi Biura Informacji Kredytowej S.A. z siedzibą w Warszawie na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 30 marca 2022 r. nr DS.523.2612.2021.FT.UD w przedmiocie przetwarzania danych osobowych oddala skargi kasacyjne.

Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 14 grudnia 2022r., sygn. akt II SA/Wa 947/22, po rozpoznaniu sprawy ze skargi Biura Informacji Kredytowej S.A. z siedzibą w Warszawie (dalej również jako strona skarżąca) na decyzję Prezesa Urzędu Ochrony Danych Osobowych (dalej jako organ lub PUODO) z dnia [...] marca 2022 r., Nr [...], w przedmiocie przetwarzania danych osobowych oddalił skargę. Z uzasadnienia wyroku wynika, że G.K. (dalej jako wnioskodawczyni) złożyła do PUODO skargę na nieprawidłowości w procesie przetwarzania jej danych osobowych przez [...] S.A. (dalej również jako bank) polegające na przetwarzaniu jej danych osobowych w zakresie zapytania kredytowego niezakończonego udzieleniem kredytu, bez podstawy prawnej, w tym przez stronę skarżącą oraz na odmowie spełnienia jej żądania w zakresie usunięcia przez bank informacji o tym zapytaniu. Wskazała ona, że bank przetwarza bez podstawy prawnej jej dane osobowe wynikające z zapytania kredytowego niezakończonego zawarciem umowy. Wnioskodawczyni wniosła o nakazanie bankowi usunięcia jej danych osobowych. W złożonych wyjaśnieniach bank podał, że dane osobowe wnioskodawczyni pozyskał bezpośrednio od niej w związku ze złożonym wnioskiem o udzielenie kredytu detalicznego nr [...] z dnia [...] lutego 2021 r. Bank wskazał, że pozyskane dane obejmowały: imię, nazwisko, PESEL, nazwisko rodowe matki, datę urodzenia, płeć, kraj urodzenia, miejsce urodzenia, obywatelstwo, adres zamieszkania, adres korespondencyjny, numer telefonu komórkowego, serię i numer dowodu osobistego, datę ważności dowodu osobistego, numer telefonu komórkowego, status podatkowy, status dewizowy, stan cywilny, wykształcenie, status mieszkaniowy, liczbę osób w gospodarstwie domowym, koszty gospodarstwa domowego, inne miesięczne obciążenia finansowe, reżim majątkowy małżonków, dane pracodawcy (nazwa zakładu pracy, NIP, branża, rodzaj miejsca pracy), zawód wykonywany, miesięczny dochód netto, okres osiągania dochodu, tytuł osiąganego dochodu. Dalej bank wyjaśnił, że podstawę prawną przetwarzania danych osobowych pozyskanych w związku ze złożonym wnioskiem stanowił art. 6 ust. 1 lit. c RODO w zw. z art. 70 ust. 1 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (t. jedn. Dz.U. z 2021 r., poz. 2439, dalej jako Prawo bankowe). W dacie złożenia wyjaśnień bank przetwarzał dane wnioskodawczyni w zakresie zapytania kredytowego z dnia [...] lutego 2021 r. na podstawie art. 6 ust. 1 lit. c RODO w zw. z art. 70a ust. 1 Prawa bankowego oraz art. 118 Kodeksu cywilnego. Celem przetwarzania tych danych jest możliwość obrony swoich praw w przypadku zaskarżenia przez wnioskodawczynię decyzji kredytowej na zasadach ogólnych sformułowanych w powszechnie obowiązujących przepisach prawa. Bank wskazał, że dane osobowe wnioskodawczyni dotyczące ww. zapytania będzie przetwarzał przez okres 3 lat od wydania decyzji kredytowej tj. do [...] lutego 2024 r. Bank podał również, że przetwarza dane osobowe w związku ze złożonymi reklamacjami oraz że dane te będą przetwarzane w celu archiwalnym, na podstawie art. 6 ust. 1 lit. c RODO w zw. z art. 118 Kodeksu cywilnego przez okres 6 lat, liczonym odpowiednio od daty rozpatrzenia reklamacji złożonych w dniach: [...] marca 2021 r. oraz [...] kwietnia 2021 r. Bank wyjaśnił także, że przekazał stronie skarżącej dane osobowe wnioskodawczyni (w zakresie: imię i nazwisko, nr PESEL, rodzaj dokumentu tożsamości) dotyczące zapytania kredytowego z dnia [...] lutego 2021 r. w celu oceny jej wiarygodności kredytowej oraz analizy ryzyka kredytowego. Bank wskazał również, że podstawą prawną przekazania ww. danych stronie skarżącej był art. 6 ust 1 lit. c RODO w zw. z art. 70 ust. 1 Prawa bankowego oraz art. 6 ust. 1 lit. a RODO w związku z wyrażoną zgodą na przygotowanie indywidulanej oferty kredytowej. Wyjaśnił również, że otrzymał od wnioskodawczyni żądanie z dnia [...] marca 2021 r. zaprzestania przetwarzania jej danych osobowych, w tym ich przetwarzania przez stronę skarżącą. Pismem z dnia [...] marca 2021 r. bank odmówił realizacji tego żądania. Na żądanie PUODO bank nie wskazał toczących się postępowań na skutek wzajemnych roszczeń banku i wnioskodawczyni. Z kolei strona skarżąca w złożonych wyjaśnieniach wskazała, że pozyskała dane osobowe wnioskodawczyni od banku na podstawie art. 105 ust. 4 i art. 105a ust. 1 Prawa bankowego oraz na podstawie łączącej bank i stronę skarżącą umowy. Wskazano, że przetwarza dane wnioskodawczyni w zakresie zapytania kredytowego z dnia [...] lutego 2021 r. Jak wyjaśniono przetwarza dane pochodzące z zapytań kredytowych przez okres 12 miesięcy od dnia złożenia zapytania w celu oceny zdolności kredytowej i analizy ryzyka kredytowego konkretnego klienta (indywidualna ocena zdolności kredytowej) oraz w celu przeciwdziałania przestępstwom oraz wykonywania obowiązków w zakresie określonym w przepisach o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu. Strona skarżąca wyjaśniła, że będzie przetwarzała dane osobowe wnioskodawczyni w związku ze złożonym zapytaniem kredytowym w celu budowy modeli scoringowych, tj. narzędzi wykorzystywanych przez banki do oceny zdolności kredytowej i analizy ryzyka kredytowego przez okres 5 lat od dnia złożenia zapytania, w celu statystycznym i analiz przez okres nie dłuższy niż 10 lat od dnia przekazania zapytania stronie skarżącej oraz w celu rozpatrywania ewentualnych reklamacji i roszczeń odszkodowawczych — do momentu przedawnienia potencjalnych roszczeń wynikających z zapytania; oraz z uwagi na konieczność wypełnienia ustawowego obowiązku wynikającego z art. 15 RODO w przypadku wystąpienia przez osobę, której dane dotyczą z wnioskiem o udzielenie informacji. Jednocześnie strona skarżąca wskazała, że wnioskodawczyni nie wystąpiła z żądaniem opartym o art. 15 RODO, ani nie wystąpiła z żadnym konkretnym roszczeniem, jak również strona skarżąca nie wystąpiła wobec wnioskodawczyni i nie zamierza występować z takim roszczeniem. Organ wzmiankowaną na wstępie decyzją z dnia 30 marca 2022 r., działając na podstawie art. 104 § 1 k.p.a. w zw. z art. 7 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (t. jedn. Dz.U. z 2019 r., poz. 1781, dalej jako u.o.d.o.), art. 6 ust. 1 oraz art. 58 ust. 2 lit. c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 119 z dnia 4 maja 2016 r., str. 1, Dz. Urz. UE L 127 z dnia 3 maja 2018, str. 2 oraz Dz. Urz. UE L 74 z dnia 4 marca 2021r., str. 35, dalej jako RODO): - w pkt 1 nakazał bankowi usunięcie danych osobowych wnioskodawczyni w zakresie zapytania kredytowego z dnia [...] lutego 2021 r., niezakończonego udzieleniem kredytu; - w pkt 2 nakazał stronie skarżącej usunięcie danych osobowych wnioskodawczyni w zakresie zapytania kredytowego z dnia [...] lutego 2021 r., niezakończonego udzieleniem kredytu, przekazanych przez bank. W uzasadnieniu swojego rozstrzygnięcia organ wyjaśnił, że podstawą prawną przetwarzania danych osobowych klientów przez bank i stronę skarżącą może być obecnie art. 6 ust. 1 lit. f RODO, gdy przetwarzanie to jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora. Organ wskazał następnie, że wnioskodawczyni wystąpiła do banku z wnioskiem o udzielenie kredytu. Bank oraz strona skarżąca, na podstawie art. 105a ust. 1 w zw. z art. 70 ust. 1 Prawa bankowego, były zatem – zdaniem organu – uprawnione do przetwarzania jej danych osobowych w celu oceny zdolności kredytowej. Skoro jednak nie doszło do zawarcia umowy kredytu to odpadła przesłanka legalizująca dalsze przetwarzanie jej danych osobowych przez bank oraz stronę skarżącą. Przesłanki zawarte w art. 105a Prawa bankowego dotyczą bowiem przetwarzania informacji objętych tajemnicą bankową w okresie przed powstaniem zobowiązania, w trakcie jego trwania oraz po wygaśnięciu zobowiązania. Jak wskazano pomiędzy bankiem a wnioskodawczynią nie zawiązał się żaden stosunek zobowiązaniowy, który stosownie do art. 105a ust. 1-6 Prawa bankowego dawałby podstawę do dalszego przetwarzania jej danych osobowych. Wyjaśniono, że celem przetwarzania danych osobowych wnioskodawczyni była ocena zdolności kredytowej i analizy ryzyka kredytowego. W związku z dokonaniem przez bank oceny zdolności kredytowej i analizy ryzyka kredytowego cel przetwarzania danych osobowych wnioskodawczyni został zrealizowany i brak było podstaw prawnych do kontynuowania tego procesu. W ocenie organu za podstawę przetwarzania danych osobowych nie mogły być również uznane wskazane przez stronę skarżącą cele statystyczne i analizy, w tym cel stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013. PUODO wyjaśnił, że zebrany w sprawie materiał dowodowy nie wykazał, by strona skarżąca mogła przetwarzać dane osobowe wnioskodawczyni dotyczące zapytania kredytowego z dnia [...] lutego 2021 r. na podstawie art. 106d Prawa bankowego w celach przeciwdziałania przestępstwom oraz wykonywania obowiązków w zakresie określonym w przepisach AML, albowiem w toku prowadzonego postępowania nie wykazał, aby zaszła którakolwiek z przesłanek określonych w ww. przepisie. W szczególności nie wykazał, aby zaszły uzasadnione podejrzenia, o których mowa w art. 106d ust. 1 pkt 1-2 Prawa bankowego, oraz nie wskazał także nałożonego na niego obowiązku określonego w przepisach o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu, o którym mowa w art. 106d ust. 1 pkt 3 tej ustawy. Odnosząc się do powołanego zarówno przez bank, jak i przez stronę skarżącą, celu ustalenia, dochodzenia lub obrony roszczeń stwierdzono, że zebrany w postępowaniu materiał dowodowy nie wykazał, aby wnioskodawczyni wystąpiła z jakimkolwiek roszczeniem wobec tych podmiotów, które uzasadniałoby ich uprawnienie do zachowania i przetwarzania jej danych osobowych dla celów dowodowych w związku z dochodzeniem przez nią tego roszczenia. W ocenie PUODO brak było podstaw dla przyjęcia, że terminy dotyczące przedawnienia roszczeń wynikających ze stosunków zobowiązaniowych określają jednocześnie ramy czasowe, w których dane osobowe mogą być przetwarzane przez bank i stronę skarżącą. Jak wskazano przedawnienie roszczenia nie wywołuje skutków na gruncie ochrony danych osobowych, nie wpływa bowiem na fakt istnienia roszczenia, a powoduje jedynie zmianę w sferze zarzutów procesowych w postaci możliwość podniesienia okoliczności przedawnienia w sporze sądowym. Okolicznością usprawiedliwiającą przetwarzanie danych osobowych w celu dochodzenia roszczeń jest sam fakt istnienia roszczenia oraz zamiar jego dochodzenia, nie jest nią natomiast zmiana w uprawnieniach procesowych podmiotu pozwanego. Za bezpodstawne organ uznał ponadto przyjęcie, że strona skarżąca jest uprawniona do przetwarzania danych osobowych pozyskanych w związku z zapytaniem złożonym przez bank w dniu [...] lutego 2021 r. uzasadniając to koniecznością ewentualnego wypełnienia obowiązku wynikającego z art. 15 RODO. Jak wyjaśniono skoro bowiem wnioskodawczyni zażądała usunięcia jej danych osobowych na podstawie art. 17 ust. 1 RODO, należało przyjąć, że nie jest zainteresowana realizacją prawa dostępu do przetwarzanych jej danych osobowych. Jeśli bowiem administrator nie przetwarza danych dotyczących osoby, która zwraca się z żądaniem udzielenia informacji, to działanie administratora ogranicza się do odpowiedzi przeczącej i nie ma on obowiązku podawać podmiotowi danych innych informacji. W ocenie PUODO, w sprawie brak było celu uzasadniającego przetwarzanie danych osobowych wnioskodawczyni zawartych w przedmiotowym zapytaniu kredytowym zarówno przez bank, jak i przez stronę skarżącą. Jak wskazano bank w związku z pozyskaniem danych osobowych wnioskodawczyni w celu oceny zdolności kredytowej stał się administratorem tych danych osobowych. Natomiast strona skarżąca stała się administratorem danych osobowych wnioskodawczyni z uwagi na przekazanie tych danych przez bank. W związku z powyższym stwierdzono, że bank oraz strona skarżąca są odrębnymi administratorami. Każdy z tych podmiotów przetwarza bowiem dane osobowe wnioskodawczyni we własnych celach i samodzielnie ustala sposoby ich przetwarzania. Strona skarżąca złożyła skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie (dalej jako Sąd Wojewódzki lub Sąd pierwszej instancji) na powyższą decyzję wnosząc o jej uchylenie w części dotyczącej pkt 2 decyzji, zasądzenie kosztów postępowania (w tym kosztów zastępstwa procesowego), a także wstrzymanie jej wykonania w zaskarżonym zakresie. Sąd Wojewódzki podanym na wstępie wyrokiem oddalił skargę uznając ją za niezasadną. Jak wskazano w uzasadnieniu wyroku decyzja PUODO z dnia [...] marca 2022 r. w zaskarżonej części (pkt 2 decyzji) nakazuje stronie skarżącej usunięcia danych osobowych wnioskodawczyni, przekazanych w związku z zapytaniem kredytowym z dnia [...] lutego 2021 r., złożonym przez bank, niezakończonym udzieleniem kredytu. Sąd pierwszej instancji wyjaśnił, że poza sporem pozostaje to, że strona skarżąca pozyskała dane osobowe wnioskodawczyni od banku w związku ze złożeniem zapytania kredytowego z dnia [...] lutego 2021 r. W przypadku tym nie doszło do zawarcia umowy kredytu. Niesporne – według Sądu Wojewódzkiego – pozostaje również, że strona skarżąca była uprawniona do przetwarzania danych osobowych w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Skoro jednak nie doszło do zawarcia umowy kredytu, to odpadła przesłanka legalizująca dalsze przetwarzanie danych osobowych. W ocenie Sądu pierwszej instancji znajduje to potwierdzenie w treści art. 105a Prawa bankowego. Dalej stwierdzono, że w sprawie celem przetwarzania danych osobowych wnioskodawczyni była ocena zdolności kredytowej i analizy ryzyka kredytowego. W związku z dokonaniem przez stronę skarżącą tejże oceny powyższy cel przetwarzania danych osobowych został zrealizowany i przy braku zawarcia stosownej umowy brak jest podstaw prawnych do kontynuowania tego procesu. Jako trafne określił Sąd Wojewódzki stanowisko organu, że nie wystąpiła przesłanka legalizująca proces przetwarzania danych określona w art. 6 ust. 1 lit. c i lit. f RODO. W ocenie Sądu pierwszej instancji nieuzasadnione okazały się podniesione w skardze zarzuty naruszenia przepisów prawa materialnego, w tym w szczególności art. 6 ust. 1 lit. c RODO w zw. z art. 105 ust. 1 pkt 1c w zw. z art. 105 ust. 4 w zw. z art. 105 ust.1 pkt 1 c w zw. z art. 105 ust. 4 i w zw. z art. 105a w zw. z art. 70 i art. 5 ust. 1 pkt 3 Prawa bankowego. Przechodząc dalej wyjaśniono, że podstawy prawnej przetwarzania danych osobowych w niniejszej sprawie nie mógł stanowić zatem art. 105 ust. 4 Prawa bankowe zarówno samodzielnie, ani też w powiązaniu z art. 105a tej ustawy. W rezultacie przesłanka z art. 6 ust. 1 lit. c RODO nie znajdowała – zdaniem Sądu Wojewódzkiego – zastosowania w okolicznościach sprawy. Przepis ten dotyczy bowiem sytuacji, gdy przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego administratora danych, a nie realizacji uprawnienia, o którym mowa w art. 105 ust. 4 Prawa bankowego. Ponadto przepis art. 105 ust. 4 Prawa bankowego nie stanowi o dopuszczalności przetwarzania danych osobowych dotyczących wniosków kredytowych w sytuacji, gdy nie doszło do zawarcia umowy z bankiem. Uznanie takiego procesu przetwarzania danych za legalny wymaga podstawy prawnej, której nie stanowią regulaminy ani umowy zawierane między poszczególnymi instytucjami a bankami. W ocenie Sądu pierwszej instancji art. 70 Prawa bankowego stanowi wyłącznie o badaniu przez banki zdolności kredytowej i nie zawiera regulacji dotyczących przetwarzania danych osobowych. Zdaniem Sądu Wojewódzkiego powyższa argumentacja dotycząca art. 105 ust. 4 Prawa bankowego nie pozwala też na uznanie, że przepis ten określa prawnie uzasadniony interes realizowany przez stronę skarżącą lub przez stronę trzecią, a który mógłby być rozważny w kontekście art. 6 ust. 1 lit f RODO. Jako nieskuteczny określił Sąd pierwszej instancji również zarzut naruszenia art. 6 ust. 1 lit c RODO w zw. z art. 70a w zw. z art. 105 ust. 4 pkt 1 i 2 oraz w zw. z art. 105a Prawa bankowego. Wyjaśniono przy tym, że brak jest uzasadnienia dla przyjęcia, że strona skarżąca jest uprawniona do przetwarzania danych osobowych w związku z koniecznością ewentualnego wypełnienia obowiązku wynikającego z art. 70a ust. 1 i ust. 2 Prawa bankowego. Wnioskodawczyni wykazała bowiem w sposób jednoznaczny wolę usunięcia danych, zatem przyjąć należało, że nie jest zainteresowana realizacją prawa do wyjaśnienia dotyczącego dokonanej oceny zdolności kredytowej, w myśl art. 70a ust. 1 i 2 Prawa bankowego. Przechodząc do zarzutu naruszenia art. 6 ust. 1 lit e RODO wyjaśniono, że w odróżnieniu od przesłanki z art. 6 ust. 1 lit. c – RODO w art. 6 ust. 3 nie wymaga określenia w podstawie prawnej celu przetwarzania, a jedynie takiej jej konstrukcji, z której wynika niezbędność przetwarzania do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi. Analizowane przepisy art. 70, art. 70a, art. 105 ust. 4 i art. 105a Prawa bankowego nie wskazują – zdaniem Sądu pierwszej instancji – na niezbędność przetwarzania przez stronę skarżącą danych osobowych osoby ubiegającej się o kredyt w sytuacji, gdy nie doszło do zawarcia umowy. Elementu tego nie można się również doszukać w dyspozycji art. 9b Prawa bankowego oraz art. 2 ustawy z dnia 21 lipca 2006 r. o nadzorze nad rynkiem finansowym (t. jedn. Dz. U. z 2022 r. poz. 660). W konsekwencji nie podzielono także zarzutu naruszenia przez organ art. 6 ust. 1 lit. e RODO. Zdaniem Sądu Wojewódzkiego nietrafny okazał się również zarzut naruszenia art. 6 ust. 1 lit. f RODO. W tym aspekcie wyjaśniono, że zebrany w postępowaniu materiał dowodowy nie wykazał, aby uczestnik postępowania wystąpił z jakimkolwiek roszczeniem wobec strony skarżącej, które uzasadniałoby uprawnienie tych podmiotów do zachowania i przetwarzania jego danych osobowych dla celów dowodowych w związku z dochodzeniem tego roszczenia. Strona skarżąca nie wskazała także na istnienie roszczeń, których dochodzi od wnioskodawczyni. Okolicznością usprawiedliwiającą przetwarzanie danych osobowych w celu dochodzenia roszczeń jest sam fakt istnienia roszczenia oraz rzeczywisty zamiar jego dochodzenia. Przyjęcie poglądu strony skarżącej skutkowałoby tym, że dane osobowe uczestnika postępowania mogłyby być przetwarzane w nieskończoność, gdyż upływ terminu przedawnienia nie uniemożliwia dochodzenia roszczeń skoro nie powoduje ich wygaśnięcia (wywołuje wyłącznie zmianę w sferze zarzutów procesowych). Zdaniem Sądu Wojewódzkiego nie był trafny zarzut skargi dotyczący naruszenia przez organ art. 6 ust. 1 lit. f RODO w zw. z Rekomendacjami S, W i T Komisji Nadzoru Finansowego. Jak stwierdzono rekomendacje te nie stanowią obowiązujących przepisów prawa, zatem nie mogły mieć znaczenia dla rozstrzygnięcia podjętego w sprawie. Ponadto rekomendacje nie odnoszą się do kwestii przetwarzania danych osobowych w zakresie zapytań kredytowych w sytuacji, gdy umowa pomiędzy bankiem a potencjalnym klientem nie została zawarta. Sąd Wojewódzki nie uznał również jako przesłanki uzasadniającej zasadność przetwarzania danych osobowych wnioskodawczyni konieczności "zapewnienia rozliczalności działań Skarżącego". Jak zaznaczono – w tym zakresie – strona skarżąca próbuje dowieść, że przetwarza dane osobowe po to, aby móc wykazać, że są one przetwarzane zgodnie z prawem. W ocenie Sądu pierwszej instancji nie jest w takiej sytuacji spełniona przesłanka określona w art. 6 ust. 1 lit f RODO. Przetwarzanie danych w celu udokumentowania prawidłowości ich przetwarzania nie może stanowić samoistnej podstawy prawnej prawidłowego ich przetwarzania. Wymagany jest do tego przepis materialnoprawny o skonkretyzowanym charakterze. W ocenie Sądu Wojewódzkiego prawidłowo także uznał organ, że art. 106d Prawa bankowego nie uprawniał BIK do przetwarzania danych osobowych wnioskodawczyni. Odnośnie przepisów ustawy z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (t. jedn. Dz. u. z 2025 r., poz. 644), które w ocenie strony skarżącej miałyby zastosowanie w sprawie wskazano, że przepisy te dotyczą stosowania środków bezpieczeństwa finansowego wobec klientów instytucji (banków) w ramach prowadzonych stosunków gospodarczych. Nie odnoszą się natomiast do sytuacji, w której przetwarzane są dane z wniosków kredytowych, pomimo nienawiązania stosunku gospodarczego poprzez zawarcie umowy kredytowej. Jako nieuzasadnione określono zarzuty dotyczące naruszenia przepisów prawa procesowego, tj. art. 7, art. 77 § 1 oraz art. 80 k.p.a. bowiem organ prawidłowo zebrał i ocenił zgromadzony w sprawie materiał dowodowy opierając się na wyjaśnieniach strony skarżącej dotyczących przetwarzania danych osobowych zawartych w zapytaniu kredytowym (pkt 2 decyzji). Zdaniem Sądu pierwszej instancji uzasadnienie decyzji odpowiada wymogom określonym w art. 107 § 3 k.p.a. W ocenie Sądu Wojewódzkiego organ prawidłowo nakazał usunięcie przez stronę skarżącą danych osobowych wnioskodawczyni zawartych w zapytaniu kredytowym. Jak wskazano brak było podstawy prawnej aby dane te znajdowały się w zbiorze strony skarżącej. W tym zakresie zauważono, że strona skarżąca przetwarza powyższe dane przez okres 12 miesięcy, jednak po tym czasie nie ulegają one automatycznemu usunięciu. Pozostają jednak zarchiwizowane (podobnie jak raport kredytowy w banku) bez możliwości przetwarzania w trybie powołanych wyżej przepisów. Zdaniem Sądu pierwszej instancji nieuzasadniony jest również zarzut naruszenia art. 7b k.p.a. poprzez zaniechanie zwrócenia się do Komisji Nadzoru Finansowego w celu kompleksowego wyjaśnienia stanu faktycznego sprawy. W ocenie Sądu Wojewódzkiego stan faktyczny i prawny sprawy został przez organ prawidłowo ustalony i należycie rozpatrzony w oparciu o zgromadzony materiał dowodowy, w tym w oparciu o wyjaśnienia strony skarżącej. Zdaniem Sądu nie zachodziły przesłanki do podjęcia przez PUODO współdziałania z innymi organami administracji publicznej w oparciu o ww. przepis w celu wydania rozstrzygnięcia w sprawie. Końcowo Sąd pierwszej instancji zauważył, że PUODO jest wyspecjalizowanym w sprawach dotyczących ochrony danych osobowych i niezależnym organem, który ma status i kompetencje organu nadzorczego określone w przepisach RODO. Z tego względu PUODO jest uprawniony do samodzielnego dokonywania interpretacji przepisów prawa w zakresie dotyczącym ochrony danych osobowych. Stanowisko to znajduje potwierdzenie w art. 51 oraz w motywach 117, 122 oraz 123 RODO. Podsumowując Sąd Wojewódzki stwierdził, że decyzja PUODO w zaskarżonej części jest zgodna z prawem, zaś zarzuty skargi nie zasługiwały na uwzględnienie. Od powyższego wyroku wniesiono dwie skargi kasacyjne. W skardze kasacyjnej banku zaskarżono wyrok Sądu Wojewódzkiego w całości, zarzucając: 1. naruszenie przepisów postępowania, tj. art. 133 § 1 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (obecnie t. jedn. Dz.U. z 2026 r. poz. 143 ze. zm., dalej jako u.p.p.s.a.) w zw. z 151 u.p.p.s.a. w zw. z art.107 § 1 pkt 5 k.p.a. i art. 8 ust. 2 Konstytucji RP albowiem rozstrzygnięcie decyzji będącej przedmiotem zaskarżonego wyroku nie jest oparte o art.6 RODO. Wyrok utrzymuje w mocy decyzję opartą o błędną podstawę prawną albowiem podstawą decyzji PUODO nie mógł być art. 6 ale ewentualnie art.17 RODO, którego jako podstawy decyzji nie wskazano ani nie analizowano. Jedynie spełnienie wymogów ostatnio przywołanego przepisu mogłoby być podstawą prawną nakazu usunięcia danych, skoro z akt sprawy wiadomo, że istotnym przedmiotem skargi wnioskodawczyni był zamiar powstrzymania strony skarżącej przed wykonywaniem jego ustawowej funkcji, która wynika z art.105 ust. 4 pkt 1 Prawa bankowego w postaci udzielenia przez stronę skarżącą informacji innym bankom o wniosku kredytowym złożonym przez wnioskodawczynię zważywszy, że to udostępnienia trwało 12 miesięcy i już zakończyło się. Skoro art.17 RODO nie był podstawą prawną decyzji utrzymanej w mocy zaskarżonym wyrokiem to zdaniem strony narusza reguły sądowo-administracyjnej procedury i miało to istotny wpływ na wynik sprawy; 2. naruszenie przepisów prawa materialnego: 1) przez błędną wykładnię art.6 ust.1 lit. f RODO w zw. z art.105 ust. 4 pkt 1 Prawa bankowego poprzez całkowicie nieumotywowane uznanie, że przepis art.105 ust. 4 Prawa bankowego "[...] który uprawnia do tego (przetwarzania- dopisek pełnomocnika banku) bez zgody osoby, której informacje dotyczą ale po wygaśnięciu zobowiązania wynikającego z umowy wynikającego z umowy z bankiem [...]", która to wykładnia stoi w zupełnej sprzeczności z przepisem art.105 ust. 4 pkt 1, który upoważnia do gromadzenia, przetwarzania i udostępniania bankom - informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013. Przedmiotem udostępnienia w związku z czynnościami bankowymi mają być zatem informacje, o tym czy dana osoba wniosła o udzielenie kredytu bo takowe są już objęte tajemnicą bankową; 2) przez błędną wykładnię art.6 ust.1 lit. f RODO w zw. z art.105 ust. 4 pkt 1 Prawa bankowego, tj. nieuzasadnione twierdzenie, że przepisy "art.70, art.70a, 105 ust.4, art.105a Prawa bankowego nie wskazują na niezbędność przetwarzania danych osobowych osoby ubiegającej się o kredyt w sytuacji, gdy nie doszło do zawarcia umowy.", co wskazuje na całkowite pominięcie fundamentalnej funkcji przepisu art.105 ust. 4 pkt 1 Prawa bankowego polegającej na przetwarzaniu informacji o zapytaniach kredytowych przez określony czas, gdyż dla oceny zarówno analizy ryzyka kredytowego (czyli wartości systemowej) jak i zdolności kredytowej osoby wnoszącej o kredyt, znaczenie ma to czy osoba składała taki lub inny wniosek w innym banku o umowę o charakterze kredytowym i czy daną umowę zawarto; 3) przez błędną wykładnię art.6 ust.1 lit. f RODO w zw. z art.118 Kodeksu cywilnego i niezastosowanie art. 6 ust.1 lit. f RODO w zw. z art.117 § 21 tejże ustawy, poprzez odmowę uznania prawnie uzasadnionego interesu strony skarżącej do przetwarzania danych osobowych w okresie archiwizacji, który nie przekracza okresu przedawnienia roszczeń. W oparciu o powyższe zarzuty wniesiono o uchylenie zaskarżonego wyroku w całości i przekazanie sprawy do ponownego rozpoznania, ewentualnie uchylenie zaskarżonego wyroku w całości i rozpoznanie skargi, o ile Naczelny Sąd Administracyjny uzna, że istota sprawy jest dostatecznie wyjaśniona, wyznaczenie rozprawy celem rozpoznania niniejszej sprawy, a także zasądzenie od organu zwrotu kosztów postępowania, w tym kosztów zastępstwa procesowego według norm przepisanych. Z kolei w skardze kasacyjnej strony skarżącej zaskarżono wyrok Sądu pierwszej instancji w całości i zarzucono: 1. naruszenie przepisów postępowania, tj.: 1) art. 145 § 1 pkt 1 lit. c) u.p.p.s.a. w zw. z art. 7, w zw. z art. 77 § 1, w zw. z art. 80 k.p.a. w zw. z art. 7 u.o.d.o., poprzez uznanie przez Sąd Wojewódzki, że organ prawidłowo zebrał i ocenił zgromadzony w sprawie materiał dowodowy, podczas gdy organ ten: - zaniechał dokonania wyczerpującej analizy charakteru, zakresu oraz celów gospodarczo - ekonomicznych dla jakich została powołana strona skarżąca oraz obowiązków prawnych i obowiązków wynikających z zawartych przez nią umów z bankami i instytucjami ustawowo upoważnionymi do udzielania kredytów, co doprowadziło do wadliwej i niepełnej oceny stanu faktycznego skutkującej wadliwą oceną w zakresie ustalenia podstaw prawnych legitymujących stronę skarżącą do przetwarzania danych osobowych, - zaniechał dokonania oceny Rekomendacji S, W i T Komisji Nadzoru Finansowego (dalej: KNF) jako organu właściwego do sprawowania nadzoru nad instytucjami krajowymi w rozumieniu przepisów UE (regulatora rynku finansowego), które to regulacje nakładają na banki i instytucje ustawowo upoważnione do udzielania kredytów, a w konsekwencji na stronę skarżącą, jako instytucję gromadzącą dane służące do oceny zdolności kredytowej oraz budującą modele scoringowe służące bankom i tymże instytucjom, określone wymagania, które podlegają nadzorowi i egzekwowaniu przez KNF na podstawie bezwzględnie obowiązujących przepisów prawa, co doprowadziło do wadliwej oceny niezbędności przetwarzania przez stronę skarżącą danych osobowych wnioskodawczyni w przypadku nie zawarcia umowy kredytowej dla zabezpieczenia interesów banków oraz stabilności rynku gospodarczo-finansowego i w konsekwencji do wadliwego uznania, że w ww. przypadku nie zachodzą przesłanki legitymujące stronę skarżącą do przetwarzania danych osobowych wnioskodawczyni, - nie dokonał analizy podstawowych zasad funkcjonowania stabilnego sektora finansowego, w tym pod kątem istnienia - po stronie banków, a w konsekwencji strony skarżącej jako instytucji gromadzącej dane służące do oceny zdolności kredytowej oraz budującej modele scoringowe służące bankom - oczywistego interesu prawnego przejawiającego się w odmowie udzielenia kredytu i wynikającego z braku istnienia zdolności kredytowej po stronie wnioskodawczyni, co prowadzi do zabezpieczenia interesu banków przed nieodpowiedzialną polityką udzielania kredytów osobom, które nie mają szans na ich spłacenie oraz do zapewnienia stabilności gospodarczo-ekonomicznej sektora bankowego, a w ujęciu makro zapobieganiu kryzysom gospodarczym, co doprowadziło do wadliwej oceny niezbędności przetwarzania przez stronę skarżącą danych osobowych wnioskodawczyni w przypadku nie zawarcia umowy kredytowej dla zabezpieczenia interesów banków oraz stabilności rynku gospodarczo-finansowego i w konsekwencji do wadliwego uznania, że w ww. przypadku nie zachodzą przesłanki legitymujące stronę skarżącą do przetwarzania danych osobowych wnioskodawczyni, - nie zbadał wszystkich podstaw prawnych dalszego przetwarzania danych o zapytaniach kredytowych, w sytuacji nie zawarcia umowy kredytu, pomimo, iż przepisy prawa upoważniają stronę skarżącą do przetwarzania tych danych, co doprowadziło do wadliwej i niepełnej oceny stanu faktycznego skutkującej wadliwą oceną w zakresie ustalenia podstaw prawnych legitymujących stronę skarżącą do przetwarzania danych osobowych, co w konsekwencji doprowadziło do oddalenia skargi przez Sąd Wojewódzki w skutek błędnego przyjęcia przez ten Sąd braku istnienia podstawy prawnej do przetwarzania danych, zatem braku legitymacji strony skarżącej do przetwarzania danych osobowych wnioskodawczyni; 2) art. 145 §1 pkt 1 lit. c u.p.p.s.a. w zw. z art. 7b k.p.a. w zw. z art. 7 k.p.a. w zw. z art. 77 k.p.a. w zw. z art. 7 u.o.d.o. poprzez uznanie, iż organ wyjaśnił stan faktyczny i prawny konieczny do podjęcia przez organ stosownych czynności, w tym zasadnie zaniechał zwrócenia się do KNF, podczas gdy dla kompleksowego wyjaśnienia sprawy konieczne było zwrócenie się do KNF i współdziałanie w zakresie niezbędnym do dokładnego wyjaśnienia stanu prawnego, mając na względzie interes społeczny i słuszny interes obywateli w postaci ustalenia należytych zasad, celów zakresu przetwarzania danych osobowych o niezrealizowanych zapytaniach kredytowych tak, by procesy przetwarzania danych czyniły zadość zarówno przepisom prawa o ochronie danych osobowych, jak i przepisom szeroko pojętego prawa bankowego, w szczególności dla zapewnienia ochrony wartości, których gwarancje ochrony wynikają z ww. przepisów zgodnie z zasadą proporcjonalności, wskutek czego PUODO wydał zaskarżoną decyzję w niepełnym stanie faktycznym i prawnym, czego Sąd Wojewódzki nie dostrzegł oddalając skargę i w konsekwencji wydał wyrok w oparciu o ten sam niepełny stan faktyczny i prawny; 3) art. 141 § 4 u.p.p.s.a. poprzez brak wskazania w uzasadnieniu wyroku przez Sąd Wojewódzki podstawy prawnej rozstrzygnięcia, jak i jej wyjaśnienia w zakresie, w jakim Sąd nie ustosunkował się w uzasadnieniu wyroku do zarzutu naruszenia przez PUODO art. 8 § 1 i § 2 k.p.a. poprzez odstąpienie przez organ od utrwalonej praktyki rozstrzygania spraw w takim samym stanie faktycznym i prawnym, co z kolei narusza zasadę pogłębiania zaufania obywateli do władzy publicznej, co w konsekwencji pozbawiło strony skarżącej możliwości odniesienia się do przesłanek jakimi kierował się Sąd Wojewódzki oceniając stan faktyczny i prawny sprawy. 2. naruszenie przepisów prawa materialnego, tj.: 1) art. 6 ust. 1 lit. c RODO w zw. z art. 105 ust. 1 pkt 1 c w zw. z art. 105 ust. 4 i w zw. z art. 105a w zw. z art. 70 i art. 5 ust. 1 pkt 3 Prawa bankowego poprzez ich niewłaściwe zastosowanie przejawiające się w przyjęciu, że w sytuacji, gdy nie doszło pomiędzy wnioskodawczynią a bankiem do zawarcia umowy kredytowej, strona skarżąca nie jest uprawniona do przetwarzania danych osobowych wnioskodawczyni, a w konsekwencji przyjęcie, że strona skarżąca nie posiada ww. podstawy prawnej do przetwarzania danych zawartych we wniosku o udzielenie kredytu w przypadku nie zawarcia umowy kredytowej, podczas gdy strona skarżąca jest ustawowo zobowiązana do realizacji obowiązku prawnego wynikającego z ww. przepisów polegającego na gromadzeniu, przetwarzaniu i udostępnianiu bankom oraz podmiotom szczegółowo wskazanym w przepisie informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych w postaci oceny zdolności kredytowej oraz analizy ryzyka kredytowego konkretnego klienta (indywidualna ocena zdolności kredytowej) oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 575/2013; 2) art. 6 ust. 1 lit. c RODO w zw. z art. 70a w zw. z art. 105 ust. 4 pkt 1 i 2 oraz w zw. z art. 105a Prawa bankowego poprzez jego niezastosowanie wskutek uznania, iż przepisy prawa nie nakładają na stronę skarżącą obowiązku przekazywania osobie fizycznej ubiegającej się o kredyt wyjaśnień dotyczących dokonanej oceny zdolności kredytowej, a w konsekwencji przyjęcie, że strona skarżąca nie posiada podstawy prawnej do przetwarzania danych wnioskodawczyni w sytuacji nie zawarcia umowy kredytowej, podczas gdy strona skarżąca posiada podstawę prawną przetwarzania z uwagi na niezbędność przetwarzania do wykonania obowiązku prawnego przez banki, instytucje ustawowo uprawnione do udzielania kredytów i stronę skarżącą, w postaci obowiązku przekazania osobie ubiegającej się o kredyt w formie pisemnej na jej wniosek wyjaśnień dotyczących dokonanej oceny zdolności kredytowej wnioskującego; 3) art. 6 ust. 1 lit. e RODO poprzez jego niezastosowanie wskutek uznania, że strona skarżąca nie posiada podstawy prawnej do przetwarzania danych wnioskodawczyni w sytuacji nie zawarcia umowy kredytowej, podczas gdy strona skarżąca posiada podstawę prawną przetwarzania z uwagi na niezbędność przetwarzania dla realizacji zadania w interesie publicznym przez banki, instytucje ustawowo uprawnione do udzielania kredytów i stronę skarżącą w postaci zabezpieczenia ekonomiczno-gospodarczego sektora bankowego, w tym depozytariuszy zapewnienia stabilności ekonomiczno-gospodarczej sektora bankowego, a w ujęciu makro zapobieganiu kryzysom gospodarczym; 4) art. 6 ust. 1 lit. f RODO poprzez jego niewłaściwe zastosowanie wskutek uznania, że przetwarzanie danych osobowych dla realizacji prawnie uzasadnionych interesów administratora danych w celach zabezpieczenia roszczeń może dotyczyć wyłącznie roszczeń istniejących i aktualnie dochodzonych i w konsekwencji nieuzasadnione przyjęcie, że prawnie uzasadniony interes administratora danych nie istnieje w sytuacji konieczności przetwarzania danych osobowych do ochrony przed roszczeniami istniejącymi, ale nie dochodzonymi w chwili dokonywania oceny, podczas gdy istotą uzasadnionego interesu administratora jest możliwość przetwarzania danych na wypadek konieczności obrony przed roszczeniami istniejącymi lub dochodzenia w przyszłości roszczeń istniejących, które w warunkach niniejszej sprawy są związane z przetwarzaniem danych osobowych na potrzeby opracowania oceny scoringowej wnioskodawczyni niezbędnej do przeprowadzenia analizy zdolności kredytowej oraz analizy ryzyka kredytowego, które to strona skarżąca zobowiązana jest gromadzić, przetwarzać i udostępniać bankom i instytucjom ustawowo upoważnionym do udzielania kredytów dla realizacji celów ustawowych badania zdolności kredytowej; 5) art. 6 ust. 1 lit. f RODO poprzez niewłaściwe zastosowanie poprzez przyjęcie, że wskutek braku zawarcia umowy kredytowej strona skarżąca nie posiada prawnie uzasadnionego interesu w przetwarzaniu danych wnioskodawczyni, podczas gdy istnieje prawnie uzasadniony interes strony skarżącej w przetwarzaniu tych informacji pomimo nie zawarcia umowy kredytowej, polegający na realizacji działań z zakresu opracowania, utrzymania aktualności i funkcjonalności zbudowanych modeli scoringowych w zgodzie z treścią Rekomendacji W, S i T KNF w zakresie dobrych praktyk i zarządzania ryzykiem kredytowym; 6) art. 6 ust. 1 lit. f RODO poprzez jego niezastosowanie wskutek uznania, że strona skarżąca nie posiada podstawy prawnej do przetwarzania danych wnioskodawczyni, podczas gdy strona skarżąca posiada podstawę prawną przetwarzania z uwagi na konieczność zapewnienia rozliczalności działań strony skarżącej jako administratora danych osobowych na zasadzie art. 5 ust. 2 RODO w postaci wykazania przestrzegania przepisów dotyczących jakości danych. W oparciu o powyższe zarzuty wniesiono o uchylenie zaskarżonego wyroku i przekazanie do ponownego rozpoznania Sądowi Wojewódzkiemu, zasądzenie kosztów postępowania, w tym kosztów zastępstwa procesowego i opłaty skarbowej od pełnomocnictwa, według norm prawem przepisanych oraz rozpoznanie skargi kasacyjnej na rozprawie. W odpowiedziach PUODO na skargi kasacyjne wniesiono o ich oddalenie. Naczelny Sąd Administracyjny zważył, co następuje: Stosownie do treści art. 183 § 1 Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej z urzędu biorąc pod rozwagę jedynie nieważność postępowania. Wobec niestwierdzenia żadnej z wad wymienionych w art. 183 § 2 u.p.p.s.a., a nadto w związku z niezaistnieniem przesłanek, o których mowa w art. 189 u.p.p.s.a., Naczelny Sąd Administracyjny dokonał kontroli zaskarżonego wyroku jedynie w zakresie wyznaczonym podstawami kasacyjnymi. Skargę kasacyjną można oprzeć na następujących podstawach: 1) naruszeniu prawa materialnego przez błędną jego wykładnię lub niewłaściwe zastosowanie (art. 174 pkt 1 u.p.p.s.a.), 2) naruszeniu przepisów postępowania, jeżeli uchybienie to mogło mieć istotny wpływ na wynik sprawy (art. 174 pkt 2 u.p.p.s.a.). Powołanie się na obie podstawy kasacyjne skutkuje tym, że w pierwszej kolejności badaniu podlegają zarzuty dotyczące naruszenia prawa procesowego, bowiem dopiero po przesądzeniu, że stan faktyczny przyjęty w zaskarżonym wyroku jest prawidłowy, można przejść do oceny poprawności zastosowania i wykładni przepisów prawa materialnego dokonanej przez Sąd pierwszej instancji. Rozpocząć należy od wskazania, że nie mógł zostać uwzględniony zarzut naruszenia art.133 § 1 u.p.p.s.a. w zw. z 151 u.p.p.s.a w zw. z art.107 § 1 pkt 5 k.p.a. i art. 8 ust. 2 Konstytucji RP zgłoszony przez skarżący kasacyjnie bank, w którego ocenie rozstrzygnięcie decyzji będącej przedmiotem zaskarżonego wyroku nie mogło być oparte o art. 6 RODO, który to przepis błędnie organ wskazał jako podstawę prawną, lecz ewentualnie art.17 RODO. W ocenie Naczelnego Sądu Administracyjnego nie można pominąć z pola widzenia zasadniczej kwestii, że w decyzji PUODO ocenie podlegała legalność przetwarzania danych osobowych wnioskodawczyni przez stronę skarżącą oraz bank. W rezultacie nie ulega wątpliwości, że w podstawie prawnej swojego rozstrzygnięcia organ musiał powołać art. 6 ust. 1 RODO, który wyszczególnia przesłanki warunkujące zgodność przetwarzania danych z prawem. Jednocześnie – co zdaje się pomijać skarżący kasacyjnie bank – organ w swoim rozstrzygnięciu powołał również art. 58 ust. 2 lit. c RODO, który to przepis przewiduje w stosunku do organu nadzorczego uprawnienie naprawcze polegające na: "nakazaniu administratorowi lub podmiotowi przetwarzającemu spełnienia żądania osoby, której dane dotyczą, wynikającego z praw przysługujących jej na mocy niniejszego rozporządzenia". W konsekwencji organ w sposób dostateczny określił podstawę prawną rozstrzygnięcia, powołując art. 104 § 1 k.p.a. w zw. z art. 7 ust. 1 i 2 u.o.d.o., art. 6 ust 1 oraz art. 58 ust. 2 lit. c RODO, co pozwala uznać podniesiony zarzut za niezasadny. Odnośnie z kolei zarzutów zgłoszonych przez stronę skarżącą odnośnie naruszenia art. 145 §1 pkt 1 lit. c u.p.p.s.a. w zw. z art. 7, w zw. z art. 77 § 1, w zw. z art. 80 k.p.a. w zw. z art. 7 u.o.d.o., a także art. 145 § 1 pkt 1 lit. c u.p.p.s.a. w zw. z art. 7b k.p.a. w zw. z art. 7 k.p.a. w zw. z art. 77 k.p.a. w zw. z art. 7 u.o.d.o. to należy zaznaczyć, że zostały one sformułowane – co najmniej częściowo – wadliwie. Powołany bowiem w zarzutach art. 145 § 1 pkt 1 lit. c u.p.p.s.a. nie miał w sprawie zastosowania, gdyż Sąd pierwszej instancji oddalając skargę działał na podstawie art. 151 u.p.p.s.a.. Niezależnie jednak Naczelny Sąd Administracyjny uznał za konieczne merytoryczne ustosunkowanie się do wskazanych wyżej zarzutów, które oscylują wokół rzekomych wadliwości na etapie prowadzonego przez organ postępowania wyjaśniającego. Zdaniem Naczelnego Sądu Administracyjnego postępowanie wyjaśniające zostało przez organ prawidłowo przeprowadzone, a stan faktyczny sprawy poprawnie ustalony. Organ nie był przy tym zobowiązany do swoistego poszukiwania za przetwarzającego dane administratora podstaw i przesłanek dalszego przetwarzania danych osobowych wnioskodawczyni, poza tymi, które wykazane zostały przez stronę skarżącą oraz bank w wyjaśnieniach złożonych w toku postępowania. Sąd Wojewódzki trafnie przy tym uznał, że zebrany materiał dowodowy był wystarczający dla rozstrzygnięcia sprawy, a PUODO dokonał pełnej i właściwej jego oceny w odniesieniu do przesłanek zgodności przetwarzania danych osobowych z prawem, o których mowa w art. 6 RODO, nawiązując także do tych przepisów prawa, które powoływała się strona skarżąca, ale i bank w swoich wyjaśnieniach. Odmienna ocena w zakresie wykładni i zastosowania powołanych przez organ przepisów prawa nie stanowi o naruszeniu przepisów postępowania, w tym art. 7, art. 7b, art. 77 § 1 i art. 80 k.p.a. Co istotne PUODO nie kwestionował w zaskarżonej decyzji uprawnień instytucji finansowych do dokonywania ustaleń i ocen w zakresie zdolności kredytowej. Przedmiotem sprawy była ocena zgodności z prawem dalszego przetwarzania danych osobowych zawartych w zapytaniach kredytowych, bowiem w istocie kwestionowane było jedynie późniejsze przetwarzanie danych. Nie ulega też wątpliwości, że Prezes UODO, jako organ wyspecjalizowany, bezspornie posiada uprawnienie do dokonania oceny w tym przedmiocie na gruncie przepisów RODO. W ocenie Naczelnego Sądu Administracyjnego – w składzie orzekającym – prawidłowe jest zatem twierdzenie organu, jak i następczo Sądu Wojewódzkiego, zgodnie z którym brak zawarcia umowy kredytowej skutkuje odpadnięciem przesłanki uzasadniającej dalsze przetwarzanie danych osobowych. Wbrew stanowisku strony skarżącej nie było przy tym podstaw do zwracania się przez organ do Komisji Nadzoru Finansowego. W tym zakresie wskazać należy również, że powoływane rekomendacje S, W i T Komisji Nadzoru Finansowego nie stanowią obowiązujących przepisów prawa, zatem nie mogły mieć znaczenia dla rozstrzygnięcia podjętego w niniejszej sprawie. Dodać przy tym należy, że rekomendacje nie odnoszą się do przetwarzania danych osobowych w zakresie zapytań kredytowych w sytuacji, gdy umowa pomiędzy bankiem a potencjalnym klientem nie została zawarta. Nie mógł zadziałać także – podniesiony w skardze kasacyjnej strony skarżącej – zarzut naruszenia art. 141 § 4 u.p.p.s.a. Zaznaczyć należy, że przywołany przepis dotyczy elementów uzasadnienia wyroku, tj. zwięzłego przedstawienia stanu sprawy, zarzutów podniesionych w skardze, stanowisk pozostałych stron, podstawy prawnej rozstrzygnięcia oraz jej wyjaśnienie, a jeżeli w wyniku uwzględnienia skargi sprawa ma być ponownie rozpatrzona przez organ administracji to uzasadnienie powinno ponadto zawierać wskazania co do dalszego postępowania. Zarzut naruszenia art. 141 § 4 u.p.p.s.a. może być skutecznie postawiony w dwóch przypadkach: gdy uzasadnienie wyroku nie zawiera wszystkich elementów, wymienionych w tym przepisie, i gdy w ramach przedstawienia stanu sprawy wojewódzki sąd administracyjny nie wskaże, jaki stan faktyczny i dlaczego właśnie ten stan faktyczny przyjął za podstawę orzekania. Naruszenie to musi być przy tym na tyle istotne, aby mogło mieć wpływ na wynik sprawy (art. 174 pkt 2 u.p.p.s.a.). Co równie istotne, za pomocą wskazanego wyżej zarzutu nie można skutecznie zwalczać ustaleń sądu co do stanu faktycznego ani kwestionować stanowiska sądu co do wykładni bądź zastosowania prawa materialnego. W ramach rozpatrywania zarzutu naruszenia art. 141 § 4 u.p.p.s.a. Naczelny Sąd Administracyjny zobowiązany jest jedynie do kontroli zgodności uzasadnienia zaskarżonego wyroku z wymogami wynikającymi ze statuowanej tym przepisem normy prawnej. Wadliwość uzasadnienia orzeczenia może stanowić przedmiot skutecznego zarzutu kasacyjnego z art. 141 § 4 u.p.p.s.a. w sytuacji, gdy sporządzone jest ono w taki sposób, że niemożliwa jest kontrola instancyjna zaskarżonego wyroku (por. np. wyrok NSA z dnia 27 września 2024 r., sygn. akt III OSK 2850/22 – dostępny w centralnej bazie orzeczeń sądów administracyjnych: http://orzeczenia.nsa.gov.pl, jak i pozostałe orzeczenia powołane w niniejszym uzasadnieniu). W ocenie Naczelnego Sądu Administracyjnego uzasadnienie zaskarżonego wyroku spełnia wymogi określone w art. 141 § 4 u.p.p.s.a., gdyż wyjaśnia motywy podjętego przez Sąd Wojewódzki rozstrzygnięcia i tym samym sprawia, że poddaje się ono kontroli instancyjnej. W szczególności Sąd pierwszej instancji wyraźnie wskazał powody, dla których podzielił stanowisko organu. Jednocześnie podnieść należy, że: "Fakt, że stanowisko zajęte przez sąd administracyjny I instancji jest odmienne od prezentowanego przez wnoszącego skargę kasacyjną nie oznacza, iż uzasadnienie zaskarżonego wyroku zawiera wady konstrukcyjne, nie poddaje się kontroli kasacyjnej, czy też, że jest wadliwe w stopniu uzasadniającym uchylenie wydanego w sprawie rozstrzygnięcia. Co więcej, również brak odniesienia się przez wojewódzki sąd administracyjny do niektórych zarzutów lub twierdzeń zawartych w skardze sam w sobie nie stanowi uchybienia skutkującego koniecznością uchylenia zaskarżonego wyroku, albowiem jest, czy też może nim być – to jest uchybieniem stanowiącym uzasadnioną podstawę uchylenia wyroku – pominięcie zarzutów i argumentów istotnych oraz – co istotne – wykazanie w skardze kasacyjnej takiego właśnie ich charakteru, a mianowicie, że należycie je oceniając oraz prawidłowo identyfikując z ich punktu widzenia istotę spornego w sprawie zagadnienia, sąd ten mógłby jednak inaczej orzec w sprawie" (zob. wyrok NSA z dnia 17 grudnia 2025 r., sygn. akt II GSK 1073/22). Podzielając wskazany wyżej pogląd, Naczelny Sąd Administracyjny doszedł do przekonania, że zgłoszony zarzut w zakresie naruszenia art. 141 § 4 u.p.p.s.a. nie może wywołać zamierzonego skutku. Zaprezentowana w uzasadnieniu wyroku odmienna względem skarżących kasacyjnie ocena zgodności z prawem zaskarżonej decyzji nie stanowi przy tym o naruszeniu przez Sąd Wojewódzki przepisu art. 141 § 4 u.p.p.s.a. Przechodząc do rozpoznania – zawartych w obu skargach kasacyjnych – zarzutów naruszenia prawa materialnego należy wskazać, że zasadnicza oś sporu w kontrolowanej sprawie koncentruje się na kwestionowaniu przyjęcia przez organ, jak i Sąd Wojewódzki, iż brak było podstaw prawnych do przetwarzania przez stronę skarżącą danych osobowych wnioskodawczyni w zakresie wynikającym z zapytania kredytowego, niezakończonego zawarciem umowy kredytowej z bankiem. Przypomnieć w tym miejscu można, że zgodnie z art. 6 ust. 1 RODO przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy spełniony jest co najmniej jeden z poniższych warunków: a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów; b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy; c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze; d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej; e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi; f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Według natomiast art. 105a ust. 1 Prawa bankowego przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów, instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, a także instytucje utworzone na podstawie art. 105 ust. 4, informacji stanowiących tajemnicę bankową i informacji udostępnionych przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem art. 104, art. 105 i art. 106-106d, w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Zgodnie zaś z art. 105a ust. 4 Prawa bankowego banki oraz instytucje, o których mowa w art. 105 ust. 4, mogą przetwarzać stanowiące tajemnicę bankową informacje dotyczące osoby fizycznej po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której informacje dotyczą, do celów stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013. Jednocześnie zgodnie z art. 105a ust. 5 Prawa bankowego przetwarzanie informacji stanowiących tajemnicę bankową w przypadkach, o których mowa w ust. 3, może być wykonywane przez okres nie dłuższy niż 5 lat od dnia wygaśnięcia zobowiązania, a w przypadku, o którym mowa w ust. 4, przez okres 12 lat od dnia wygaśnięcia zobowiązania. Stosownie zaś do art. 70 ust. 1 Prawa bankowego, bank uzależnia przyznanie kredytu od zdolności kredytowej kredytobiorcy. Przez zdolność kredytową rozumie się zdolność do spłaty zaciągniętego kredytu wraz z odsetkami w terminach określonych w umowie. Kredytobiorca jest obowiązany przedłożyć na żądanie banku dokumenty i informacje niezbędne do dokonania oceny tej zdolności. Analiza wyżej wskazanych przepisów pozwala na uznanie (co niewadliwie uczynił Sąd pierwszej instancji), że uprawnione było przetwarzanie danych osobowych wnioskodawczyni w celu oceny jej zdolności kredytowej i analizy ryzyka kredytowego. W okolicznościach sprawy nie można jednak pomijać, że pomimo zapytania kredytowego z dnia [...] lutego 2021 r. nie doszło do zawarcia umowy, a fakt ten nie był kontestowany w toku postępowania. Bezsprzecznie ocena zdolności kredytowej i analiza ryzyka kredytowego zostały zrealizowane. Zatem cel przetwarzania danych, dla którego zostały one zgromadzone w zapytaniu kredytowym, został osiągnięty. Nadto wnioskodawczyni wniosła o zaprzestanie przetwarzania jej danych w związku z zapytaniem kredytowym, w rezultacie którego nie doszło do zawarcia umowy kredytowej. W konsekwencji przesłanka uzasadniająca przetwarzanie danych wnioskodawczyni zdezaktualizowała się. Skoro bowiem nie doszło do powstania stosunku zobowiązaniowego (wobec niezawarcia umowy), który stosownie do art. 105a ust. 1-6 Prawa bankowego dawałby podstawę do dalszego przetwarzania danych osobowych przez skarżących kasacyjnie, to należało uznać, tak jak prawidłowo przyjął PUODO, że ustał cel przetwarzania danych osobowych pozyskanych tylko i wyłącznie w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. W tym też zakresie skład orzekający w całości podziela i przyjmuje za swoje stanowisko wyrażone w wyroku Naczelnego Sądu Administracyjnego z dnia 27 marca 2026 r., sygn. akt III OSK 753/23, w którym wskazano m.in., że: "przesłanki zawarte w art. 105a Prawa bankowego dotyczą przetwarzania informacji objętych tajemnicą bankową w okresie przed powstaniem zobowiązania, w trakcie jego trwania oraz po wygaśnięciu zobowiązania. Natomiast w sytuacji, gdy w następstwie złożenia wniosku kredytowego nie dochodzi do zawarcia umowy kredytowej (umowy pożyczki) z bankiem, jak miało to miejsce w sprawie, brak jest ustawowych przesłanek legalizujących przetwarzanie danych osobowych zawartych w zapytaniu kredytowym. Przetwarzane są one bowiem bez podstawy prawnej, w celach innych niż te, w których zostały zebrane, tj. oceny zdolności kredytowej i analizy ryzyka kredytowego. Nie budzi wątpliwości, że ocena zdolności kredytowej i ryzyka kredytowego ma charakter czynności wstępnych przed zawarciem umowy kredytowej. Dalsze przetwarzanie danych, uzyskanych wyłącznie w celu oceny zdolności kredytowej i analizy ryzyka kredytowego, w przypadku braku zawarcia stosownej umowy, pozostaje w oderwaniu od celu, dla którego dane zebrano. Na gruncie RODO niedopuszczalne jest - w takim stanie faktycznym, jak w sprawie, gdy nie zawarto umowy kredytowej - przetwarzanie danych osobowych "na przyszłość", w innych celach niż je zebrano, gdy nie można zrekonstruować wyraźnej podstawy prawnej takich działań [...]." Przechodząc do kwestii obowiązku przekazania osobie ubiegającej się o kredyt wyjaśnień dotyczących dokonanej oceny zdolności kredytowej wnioskującego, która to miałaby uzasadniać dalsze przetwarzanie danych osobowych wskazać należy, że zgodnie z art. 70a ust. 1 Prawa bankowego: "Banki i inne instytucje ustawowo upoważnione do udzielania kredytów na wniosek osoby fizycznej, prawnej lub jednostki organizacyjnej niemającej osobowości prawnej, o ile posiada zdolność prawną, ubiegającej się o kredyt przekazują, w formie pisemnej, wyjaśnienie dotyczące dokonanej przez siebie oceny zdolności kredytowej wnioskującego." Jak wynika z akt sprawy, wnioskodawczyni nie zwracała się z wnioskiem o wyjaśnienie dotyczące dokonanej przez siebie oceny zdolności kredytowej. Wręcz przeciwnie wnioskodawczyni zwróciła się o usunięcie jej danych osobowych, a ze względu na brak żądanego działania wystąpiła z wnioskiem do PUODO. Obiektywna analiza okoliczności sprawy nie pozwala na przyjęcie twierdzenia, że celem wnioskodawczyni była realizacja uprawniania wynikającego z art. 70a ust. 1 Prawa bankowego. Z tych też względów nie mógł zadziałać zarzut naruszenia art. 6 ust. 1 lit. c RODO w zw. z art. 70a w zw. z art. 105 ust. 4 pkt. 1 i 2 oraz w zw. z art. 105a Prawa bankowego. Zdaniem Naczelnego Sądu Administracyjnego strona skarżąca nie przedstawiła przekonujących argumentów, które wskazywałyby na naruszenie art. 6 ust. 1 lit. e RODO. Nie można pomijać, że przesłanka została zasygnalizowana przez stronę skarżącą dopiero na etapie skargi do Sądu Wojewódzkiego. W rezultacie organ nie poddawał tej przesłanki analizie w ramach zaskarżonej decyzji. Niezależnie – w ocenie Naczelnego Sądu Administracyjnego – nie można uznać aby w rozpoznawanej sprawie strona skarżąca realizowała zadania w interesie publicznym lub działała w ramach sprawowania władzy publicznej powierzonej administratorowi, co jest konieczne ze względu na literalne brzmienie art. 6 ust. 3 RODO. Tak samo nieskuteczna okazała się argumentacja skarg kasacyjnych wskazująca na potrzebę przechowywania danych zawartych w zapytaniu kredytowym osoby, z którą nie zawarto umowy kredytowej, na wypadek ewentualnych przyszłych roszczeń. Jako prawnie uzasadniony interes administratora na gruncie art. 6 ust. 1 lit. f RODO nie może być rozumiana każda potrzeba wygenerowana przez danego administratora w związku z prowadzoną działalnością gospodarczą. Przyjęcie takiej koncepcji poddawałoby w wątpliwość funkcjonowanie wszystkich pozostałych przesłanek legalności przetwarzania danych ujętych w RODO, skoro sama potrzeba, pojawiająca się dynamicznie w ramach prowadzonej działalności, czyniłaby dopuszczalnym przetwarzanie danych osobowych. Niewątpliwie zaś ten prawnie uzasadniony interes administratora nie może pozbawiać jednostki prawa do dysponowania własnymi danymi osobowymi i ochrony prywatności. Wyjaśnić przyjdzie, że przetwarzanie danych osobowych na wypadek ewentualnego dochodzenia lub obrony roszczeń nie mieści się w usprawiedliwionych celach wskazanego przepisu. Zgromadzone akta sprawy nie pozwalają jednocześnie na przyjęcie, ażeby wnioskodawczyni, która zażądała usunięcia danych w zakresie zapytania kredytowego, miała jakiekolwiek roszczenie na drodze cywilnoprawnej względem strony skarżącej. Ponownie jednak podkreślić należy, że wyraziła ona wolę usunięcia swoich danych osobowych, powołując się na ich przetwarzanie bez podstawy prawnej. Z tego względu wadliwa jest koncepcja zakładająca, że art. 6 ust. 1 lit. f RODO mógłby stanowić podstawę do dalszego przetwarzania danych, na wypadek ewentualnego dochodzenia roszczeń. Naczelny Sąd Administracyjny – w składzie orzekającym – podziela jednocześnie stanowisko prezentowane w judykaturze, zgodnie z którym: "niedopuszczalne jest więc przetwarzanie danych osobowych niejako «na zapas» z założeniem, że mogą być one ewentualnie przydatne w przyszłości oraz z odwołaniem się przy tym do przepisów dotyczących przedawnienia roszczeń cywilnoprawnych" (zob. np. wyrok NSA z dnia 1 października 2025 r., sygn. akt III OSK 872/22). Wywodzenie zatem także z kwestii przedawnienia roszczeń samodzielnej podstawy do przetwarzania danych – w sytuacji, gdy mowa o danych osoby, z którą nie zawarto umowy kredytowej czy umowy pożyczki, nie jest uprawnione i nie stanowi przesłanki do ich dalszego przetwarzania (por. wyrok NSA z dnia 27 marca 2026 r., sygn. akt III OSK 753/23). Odnośnie podnoszonej okoliczności realizacji działań z zakresu opracowania, utrzymania aktualności i funkcjonalności zbudowanych modeli scoringowych w zgodzie z treścią rekomendacji W, S i T Komisji Nadzoru Finansowego w zakresie dobrych praktyk i zarządzania ryzykiem kredytowym przyjdzie jeszcze raz zaznaczyć, że nie stanowią one prawa powszechnie obowiązującego, a tym samym wzorca kontroli zgodności z prawem zaskarżonej decyzji. Rekomendacje te nie odnoszą się nadto do przetwarzania danych osobowych w zakresie zapytań kredytowych w sytuacji, gdy umowa pomiędzy bankiem a potencjalnym klientem nie została zawarta. Końcowo wskazać należy, że nie mógł zostać uznany za skuteczny zarzut naruszenia art. 6 ust. 1 lit. f RODO w związku ze stwierdzeniem przez Sąd Wojewódzki, że nie zachodzi podstawa prawna do przetwarzania danych osobowych wnioskodawczyni z uwagi na konieczność zapewnienia rozliczalności działań strony skarżącej. Trafnie ocenił Sąd Wojewódzki, że przetwarzanie danych w celu udokumentowania prawidłowości ich przetwarzania nie stanowi samoistnej podstawy prawnej prawidłowego ich przetwarzania. Skoro zatem obie skargi kasacyjne nie zawierały usprawiedliwionych podstaw, gdyż żaden z podniesionych w nich zarzutów nie zasługiwał na uwzględnienie, to Naczelny Sąd Administracyjny je oddalił, działając na podstawie art. 184 u.p.p.s.a.