III OSK 2078/23

Naczelny Sąd Administracyjny w składzie: Przewodniczący: Sędzia NSA Olga Żurawska-Matusiak Sędziowie: Sędzia NSA Wojciech Jakimowicz Sędzia del. WSA Maciej Kobak (sprawozdawca) Protokolant: asystent sędziego Piotr Rzekiecki po rozpoznaniu w dniu 19 czerwca 2026 r. na rozprawie w Izbie Ogólnoadministracyjnej skarg kasacyjnych B. S.A. z siedzibą w W. oraz B. S.A. z siedzibą w W. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 17 marca 2023 r. sygn. akt II SA/Wa 896/22 w sprawie ze skarg B. S.A. z siedzibą w W. oraz B. S.A. z siedzibą w . na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 31 marca 2022 r. nr ZSPR.440.1560.2018.FT.MW. MW.164957,164956,164960 w przedmiocie przetwarzania danych osobowych 1. oddala skargi kasacyjne, 2. zasądza od B. S.A z siedzibą w W. na rzecz Prezesa Urzędu Ochrony Danych Osobowych kwotę 360 (trzysta sześćdziesiąt) złotych tytułem zwrotu kosztów postępowania kasacyjnego, 3. zasądza od B. S.A. z siedzibą w W. na rzecz Prezesa Urzędu Ochrony Danych Osobowych kwotę 360 (trzysta sześćdziesiąt) złotych tytułem zwrotu kosztów postępowania kasacyjnego.

Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z 17 marca 2023 r. (II SA/Wa 896/22) na podstawie art. 151 ustawy z 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2024 r. poz. 935 ze zm.; dalej także: "p.p.s.a.") oddalił skargi B. S.A. z siedzibą w W. (dalej także: "Biuro", "BIK", "skarżąca 1") oraz B. S.A. z siedzibą w W. (dalej także: [...], "Bank", "skarżąca 2") na decyzję Prezesa Urzędu Ochrony Danych Osobowych (dalej także: "Prezes UODO", "PUODO", "organ") z 31 marca 2022 r. w przedmiocie przetwarzania danych osobowych. Wyrok ten zapadł na gruncie następującego stanu faktycznego sprawy. Decyzją z 31 marca 2022 r. Prezes UODO, działając na podstawie art. 104 § 1 ustawy z 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz.U. z 2021 r. poz. 735 ze zm.; dalej także: "k.p.a.") w zw. z art. 7 ust, 1 i 2 ustawy z 10 maja 2018 r. o ochronie danych osobowych (Dz.U. z 2019 r., poz. 1781), art. 6 ust. 1 oraz art. 58 ust. 2 lit. c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.Urz. UE L 119 z 4.05.2016, str. 1, Dz.Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz.Urz. UE L 74 z 4.03.2021, str. 35; dalej także: "RODO") po przeprowadzeniu postępowania administracyjnego w sprawie K. W. (dalej także: "wnioskodawczyni", "uczestniczka") dotyczącej nieprawidłowości w procesie przetwarzania jej danych osobowych, polegających na przetwarzaniu przez B. S.A. (poprzednio B. S.A.), danych osobowych wnioskodawczyni bez podstawy prawnej, w tym ich udostępnianie na rzecz BIK: w pkt 1. nakazał B. usunięcie danych osobowych wnioskodawczyni, w zakresie zapytania kredytowego z 21 maja 2018 r., w pkt 2. nakazał B. S.A. usunięcie danych osobowych K. W. w zakresie zapytania kredytowego z 21 maja 2018 r., przekazanego przez B. S.A. W uzasadnieniu organ wskazał, że wpłynęła do niego skarga wnioskodawczyni na nieprawidłowości w procesie przetwarzania danych osobowych przez Bank, polegające na przetwarzaniu jej danych osobowych zawartych w zapytaniu kredytowym z 21 maja 2018 r. bez podstawy prawnej, w tym w BIKu. W ramach prowadzonego postępowania administracyjnego PUODO ustalił, że 21 maja 2018 r. Bank przekazał zapytanie kredytowe do BIK, w wyniku czego w bazie BIK przetwarzane są dane osobowe wnioskodawczyni dotyczące tego zapytania. Finalnie nie doszło jednak do zawarcia umowy pomiędzy wnioskodawczynią, a Bankiem, stąd też wnioskodawczyni wniosła o usunięcie jej danych osobowych przetwarzanych bez podstawy prawnej. Bank pozyskał bowiem dane osobowe bezpośrednio od niej w związku ze złożonym przez nią wnioskiem kredytowym z 21 maja 2018 r. Bank wyjaśnił, że przetwarza obecnie dane osobowe wnioskodawczyni w zakresie: imienia, nazwiska, numeru PESEL, serii i numer dowodu osobistego w związku ze złożonym przez nią zapytaniem kredytowym na podstawie art. 105 ust. 1 pkt 1 c i art. 105 ust. 4 ustawy Prawo bankowe (Dz.U. z 2020 r., poz. 1896 ze zm.; dalej także: "Prawo bankowe"). W ocenie Banku przepisy te stanowią podstawę prawną do gromadzenia, przetwarzania i udostępniania przez te podmioty bankom informacji stanowiących tajemnicę bankową w związku z wykonywaniem przez banki czynności bankowych, w tym w związku z oceną zdolności kredytowej i analizą ryzyka kredytowego. Wynika to z treści art. 70 ust. 1 Prawa bankowego, który nakłada na banki obowiązek badania zdolności kredytowej (udzielanie kredytów jest jedną z czynności bankowych — art. 5 ust. 1 pkt 3 Prawa bankowego). Przepisy te nakładają na B. obowiązek zweryfikowania zdolności kredytowej przed zawarciem umowy o kredyt, zatem stanowią osobny, dodatkowy obowiązek banku do wykonania konkretnej czynności pozostającej w związku z wykonywaniem czynności bankowej, jaką jest przygotowanie i zawarcie umowy o kredyt. Ponadto powołane przepisy upoważniają banki do skorzystania z pomocy BIK przy wykonywaniu tego typu czynności. Z kolei BIK pozyskał dane osobowe wnioskodawczyni przekazane przez Bank w związku ze złożonym zapytaniem kredytowym z 21 maja 2018 r. Dane te zostały przekazane na podstawie art. 105 ust. 4 oraz art. 105a ust. 1 Prawa bankowego oraz na podstawie łączącej Bank i BIK umowy. Wobec czego, zgodnie ze złożonymi wyjaśnieniami Bank oraz BIK, na podstawie art. 105 a ust. 1 Prawa bankowego w zw. z art. 70 ust. 1 tej ustawy, były uprawnione do przetwarzania danych osobowych wnioskodawczyni pochodzących z zapytań kredytowych przez okres 12 miesięcy od dnia złożenia zapytania w celu oceny zdolności kredytowej i analizy ryzyka kredytowego konkretnego klienta (indywidualna ocena zdolności kredytowej) oraz w celu przeciwdziałania przestępstwom oraz wykonywania obowiązków w zakresie określonym w przepisach o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu. W przypadku wnioskodawczyni wyżej wymienione zapytania kredytowe nie są przetwarzane w tych celach, ze względu na upływ 12 miesięcy od dnia złożenia zapytań. BIK będzie przetwarzał dane osobowe wnioskodawczyni w związku ze złożonymi zapytaniami kredytowymi na podstawie art. 6 ust. 1 lit. c RODO w zw. z art. 70, art. 105 ust. 4 oraz art. 105a ust 1, 1a i 1b Prawa bankowego w celu budowy modeli scoringowych, tj. narzędzi wykorzystywanych przez banki do oceny zdolności kredytowej i analizy ryzyka kredytowego przez okres 5 lat od dnia złożenia zapytania, w celu statystycznym i analiz przez okres nie dłuższy niż 10 lat od dnia przekazania zapytania do BIK, w celu rozpatrywania ewentualnych reklamacji i roszczeń odszkodowawczych — do momentu przedawnienia potencjalnych roszczeń wynikających z zapytań oraz w celu wypełnienia obowiązku wynikającego z art. 15 RODO, w przypadku wystąpienia przez osobę, której dane dotyczą, z wnioskiem o udzielenie informacji. Wnioskodawczyni zwróciła się do Banku oraz BIK o usunięcie jej danych osobowych przetwarzanych w związku ze złożonymi wnioskami kredytowymi uzyskując odpowiedź odmowną. Prezes UODO zauważył następnie, że przepisem uprawniającym administratorów danych do przetwarzania zwykłych danych osób fizycznych jest art. 6 ust. 1 RODO, zaś katalog w nim wskazany jest katalogiem zamkniętym, charakter przesłanek w nim określonych jest autonomiczny i niezależny. Dodatkowo, proces przetwarzania danych osobowych musi być zgodny z zasadami ustanowionymi w art. 5 ust. 1 RODO. Dalej organ wyjaśnił, że na podstawie art. 17 ust. 1 RODO osoba, której dane dotyczą, ma prawo żądania od administratora niezwłocznego usunięcia dotyczących jej danych osobowych, a administrator ma obowiązek bez zbędnej zwłoki usunąć dane osobowe m.in. gdy nie są one już niezbędne do celów, w których zostały zebrane lub w inny sposób przetwarzane (lit. a). Co do zasady, podstawą prawną przetwarzania danych osobowych klientów przez Bank i BIK może być obecnie art. 6 ust. 1 lit. f RODO, gdy przetwarzanie to jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora. PUODO przywołał także przepisy Prawa bankowego charakteryzujące funkcjonowanie BIK, a także normujące uprawnienie tego podmiotu i Banku do przetwarzania danych. Organ podkreślił, że celem przetwarzania danych osobowych wnioskodawczyni była ocena zdolności kredytowej i analizy ryzyka kredytowego. W związku z dokonaniem przez Bank oceny zdolności kredytowej i analizy ryzyka kredytowego ww. cel przetwarzania danych osobowych wnioskodawczyni został zrealizowany i brak jest podstaw prawnych do kontynuowania tego procesu. Stanowisko to ma potwierdzać przywołane w decyzji orzecznictwo. W ocenie organu za podstawę przetwarzania danych osobowych wnioskodawczyni, nie mogą być również uznane wskazane przez BIK cele statystyczne i analizy, w tym cel stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia Parlamentu Europejskiego i rady nr 575/2013 z 26 czerwca 2013 r. w sprawie wymogów ostrożnościowych dla instytucji kredytowych i firm inwestycyjnych, zmieniające rozporządzenie (UE) nr 648/2012 (dalej także: "rozporządzenie 575/2013"). Podkreślić należy, że powołany przez BIK art. 105a ust. 4 Prawa bankowego daje podstawy do przetwarzania informacji dotyczących osoby fizycznej stanowiących tajemnicę bankową po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której te informacje dotyczą. W przedmiotowej sprawie nie doszło do zawarcia umowy kredytu pomiędzy wnioskodawczynią a Bankiem, a zatem nie powstał żaden stosunek zobowiązaniowy, o którym mowa w powyższym przepisie. Ponadto zebrany w sprawie materiał dowodowy nie wykazał, by BIK mógł przetwarzać dane osobowe wnioskodawczyni na podstawie art. 106d Prawa bankowego w celach przeciwdziałania przestępstwom oraz wykonywania obowiązków w zakresie określonym w przepisach o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu, ponieważ w toku prowadzonego postępowania nie wykazał, aby zaszła którakolwiek z przesłanek określonych w ww. przepisie. W ocenie PUODO, w szczególności nie wykazał on, aby zaszły uzasadnione podejrzenia, o których mowa w art. 106d ust. 1 pkt 1 -2 oraz nie wskazał także nałożonego na niego obowiązku określonego w przepisach o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu, o którym mowa w art. 106d ust. 1 pkt 3 Prawa bankowego. Odnosząc się natomiast do powołanego zarówno przez Bank, jak i przez BIK, celu ustalenia, dochodzenia lub obrony roszczeń, Prezes UODO wskazał, że zebrany w niniejszym postępowaniu materiał dowodowy nie wykazał, aby wnioskodawczyni wystąpiła z jakimkolwiek roszczeniem wobec Banku czy BIK, które uzasadniałoby uprawnienie tych podmiotów do zachowania i przetwarzania jej danych osobowych dla celów dowodowych w związku z dochodzeniem przez wnioskodawczynię tego roszczenia. Bank i BIK nie wskazały także na istnienie roszczeń, których dochodzą od Skarżącej. Organ podkreślił, że przesłanka z art. 6 ust. 1 lit. f RODO dotyczy sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia potrzeby dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem. Prezes UODO przywołał także dwa orzeczenia NSA (wyrok z 6.03.2019 r., I OSK 994/17 i z 23.09.2005 r., I OSK 712/05) dotyczące dopuszczalności przetwarzania danych osobowych dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, gdy przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą oraz legalności przetwarzania danych, nie dopuszczając możliwości przetwarzania niejako "na zapas" z założeniem, że mogą być one ewentualnie przydatne w przyszłości. Przyjęcie za prawidłowe stanowiska, iż przetwarzanie danych osobowych w celu uchylenia się od negatywnych skutków w przypadku zgłoszenia w przyszłości ewentualnego i nieokreślonego roszczenia, stanowi prawnie usprawiedliwiony cel w rozumieniu art. 6 ust. 1 lit. f RODO oznaczałoby, że jej dane osobowe mogą być przetwarzane przez BIK i Bank permanentnie, bez konieczności ich usunięcia, z czym nie sposób się zgodzić. Organ wskazał, że brak jest uzasadnienia dla przyjęcia, iż terminy dotyczące przedawnienia roszczeń wynikających ze stosunków zobowiązaniowych określają jednocześnie ramy czasowe, w których dane osobowe mogą być przetwarzane przez Bank i BIK. Za konieczne organ uznał wskazanie, że przedawnienie roszczenia nie wywołuje skutków na gruncie ochrony danych osobowych, nie wpływa bowiem na fakt istnienia roszczenia, a powoduje jedynie zmianę w sferze zarzutów procesowych w postaci możliwości podniesienia okoliczności przedawnienia w sporze sądowym. Okolicznością usprawiedliwiającą przetwarzanie danych osobowych w celu dochodzenia roszczeń jest sam fakt istnienia roszczenia oraz zamiar jego dochodzenia, nie jest nią natomiast zmiana w uprawnieniach procesowych podmiotu pozwanego. W ocenie organu brak jest uzasadnienia dla przyjęcia, że BIK jest uprawniony do przetwarzania danych osobowych w związku z koniecznością ewentualnego wypełnienia obowiązku wynikającego z art. 15 RODO. Skoro bowiem wnioskodawczyni zażądała usunięcia jej danych osobowych na podstawie art. 17 ust. 1 RODO, należy przyjąć, że nie jest zainteresowana realizacją prawa do dostępu do przetwarzanych jej danych osobowych. Ponadto usunięcie przez administratora danych osobowych nie uniemożliwia mu wykonania obowiązku uregulowanego w art. 15 RODO, gwarantującego osobie, której dane dotyczą, prawa do uzyskania od administratora informacji, czy jej dane są przetwarzane, a w przypadku pozytywnej odpowiedzi na tak postawione pytanie – uprawnienie do dostępu do danych na swój temat oraz uzyskania informacji o okolicznościach przetwarzania danych. Ostatecznie zdaniem Prezesa UODO, w niniejszej sprawie brak jest celu uzasadniającego dalsze przetwarzanie danych osobowych wnioskodawczyni zawartych w przedmiotowym zapytaniu kredytowym zarówno przez Bank, jak i przez BIK. Organ wskazał, że Bank w związku z pozyskaniem danych osobowych wnioskodawczyni w celu oceny zdolności kredytowej stał się administratorem tych danych osobowych, a BIK stał się ich administratorem z uwagi na przekazanie tych danych przez Bank. Oba te podmioty są tym samym odrębnymi administratorami. Każdy z tych podmiotów przetwarza bowiem dane osobowe wnioskodawczyni we własnych celach i samodzielnie ustala sposoby ich przetwarzania. W odniesieniu do kwestionowanego przez wnioskodawczynię przetwarzania jej danych osobowych przez Bank i BIK nie zaistniała żadna z wyrażonych w art. 6 ust. 1 RODO przesłanka, która stanowiłaby o legalności tego procesu. Decyzja Prezesa UODO stała się przedmiotem skarg BIK i Banku do sądu administracyjnego, w których podniesiono naruszenie szeregu przepisów. Odpowiadając na skargi organ wniósł o ich oddalenie, podtrzymując stanowisko wyrażone w zaskarżonej decyzji. W uzasadnieniu powołanego na wstępie wyroku oddalającego obie skargi WSA odwołując się do przepisów RODO i Prawa bankowego podzielił stanowisko Prezesa UODO, że w sytuacji, gdy w następstwie złożenia wniosku kredytowego nie dochodzi do zawarcia umowy kredytowej z bankiem, brak jest przesłanek ustawowych legalizujących dalsze przetwarzanie danych osobowych niedoszłego klienta, taki bowiem wniosek wypływa z literalnego brzmienia art. 105a Prawa bankowego. Przesłanki zawarte we wskazanym przepisie dotyczą zatem przetwarzania informacji objętych tajemnicą bankową w okresie przed powstaniem zobowiązania, w trakcie jego trwania oraz po wygaśnięciu zobowiązania. W sytuacji natomiast, gdy w następstwie złożenia wniosku kredytowego nie dochodzi do zawarcia umowy kredytowej z bankiem, brak jest ustawowych przesłanek legalizujących dalsze przetwarzanie przez Bank oraz BIK danych osobowych potencjalnego klienta. Ocena zdolności kredytowej i ryzyka kredytowego ma charakter czynności wstępnych przed zawarciem umowy przez Bank. Dalsze przetwarzanie danych, uzyskanych w celu oceny zdolności kredytowej, w przypadku braku zawarcia stosownej umowy, pozostawałoby w oderwaniu od celu, dla którego dane te uzyskano. Niedopuszczalne jest przetwarzanie danych osobowych na przyszłość, a także na potrzeby budowy oceny zdolności kredytowej innych podmiotów, jeżeli nie można zrekonstruować wyraźnej podstawy prawnej takich działań. W niniejszej sprawie celem przetwarzania danych osobowych wnioskodawczyni była ocena zdolności kredytowej i analizy ryzyka kredytowego. W związku z dokonaniem przez Bank oraz BIK tejże oceny powyższy cel przetwarzania danych osobowych wnioskodawczyni został zrealizowany i brak jest podstaw prawnych do kontynuowania tego procesu. Trafne jest zatem stanowisko organu, że nie wystąpiła przesłanka legalizująca proces przetwarzania danych określona w art. 6 ust. 1 lit. c i lit. f RODO. W ocenie sądu Bank w sposób nieuprawniony próbuje rozszerzyć stosowanie normy wskazanej w art. 105a ust. 1 Prawa bankowego na sytuacje, w których nie dochodzi do zawarcia umowy, a dane osobowe osoby wnioskującej o kredyt są przetwarzane w celu oceny ryzyka kredytowego. Bank wskazuje bowiem, że dla takiej oceny istotna jest informacja o składanych wcześniej przez daną osobę wnioskach kredytowych i fakcie nieudzielenia jej kredytu. Bank podkreśla przy tym, że analiza ryzyka kredytowego jest jego obowiązkiem, czego sąd nie neguje. Instrumenty służące dokonaniu takiej oceny przez banki muszą jednak być stosowane z poszanowaniem przepisów prawa normujących uprawnienie banków do przetwarzania danych osobowych potencjalnych klientów. Prezentowana przez Bank wykładnia art. 105a ust. 1 Prawa bankowego prowadziłaby do wniosku, że na potrzeby oceny zdolności kredytowej i analizy ryzyka kredytowego banki lub inne podmioty wymienione w tym przepisie byłyby uprawnione do przetwarzania danych osobowych potencjalnych klientów bez żadnego ograniczenia czasowego, mimo że nie zawarto umowy o kredyt. W przypadku zaś gdyby doszło do zawarcia umowy, banki byłyby uprawnione do przetwarzania danych osobowych po wygaśnięciu zobowiązania, bez zgody osoby, której informacje dotyczą, przez okres wskazany w art. 105a ust 5 Prawa bankowego. Skoro ustawodawca w art. 105a ust. 1 Prawa bankowego nie wskazał okresu, przez jaki mogą być przetwarzane informacje stanowiące tajemnicę bankową, a w art. 105a ust. 5 wskazał takie okresy w odniesieniu do sytuacji, w których wygasło zobowiązanie, to nie oznacza to, że okres przetwarzania tych informacji, w sytuacji gdy nie doszło do zawarcia umowy, jest nieograniczony. Oznacza to, że przetwarzanie danych osobowych w oparciu o art. 105a ust. 1 Prawa bankowego jest uprawnione w odniesieniu do konkretnego zapytania kredytowego. Jeżeli nie dochodzi do zawarcia umowy, to uprawnienie do dalszego przetwarzania danych osobowych w oparciu o ten przepis wygasa, co potwierdzać ma także wyrok NSA z 27 lipca 2019 r. (I OSK 2567/17) na który się powołano. Sąd meriti nie znalazł także podstaw do uwzględnienia zarzutu Banku, jakoby legitymował się on przesłanką przetwarzania danych wynikającą z art. 6 ust. 1 lit. f RODO w związku z Rekomendacjami S, W i T Komisji Nadzoru Finansowego, które to Rekomendacje nakładają na banki określone wymagania, które następnie podlegają egzekwowaniu przez Komisję Nadzoru Finansowego, na podstawie bezwzględnie obowiązujących przepisów, powołując się w tej kwestii na hierarchię źródeł prawa wynikającą z Konstytucji RP. Rekomendacje KNF nie są bowiem aktami prawa powszechnie obowiązującego, a tym samym nie mogą one stanowić źródła obowiązku prawnego ciążącego na administratorze, o którym mowa w art. 6 ust. 1 lit. c RODO lub źródła prawnie uzasadnionych interesów realizowanych przez administratora w rozumieniu art. 6 ust. 1 lit. f RODO. Na uwzględnienie nie zasługiwał również zarzut Banku dotyczący naruszenia art. 6 ust. 1 lit. c RODO w zw. z art. 144 ust. 1 lit. d, art. 145 ust. 1, art. 170 ust. 3 lit. a, 171 ust. 2 oraz art. 179 ust. 1 lit. a rozporządzenia nr 575/2013. Zauważyć bowiem należy, że zgodnie z art. 105a ust. 4 banki oraz instytucje, o których mowa w art. 105 ust. 4, mogą przetwarzać stanowiące tajemnicę bankową informacje dotyczące osoby fizycznej po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której informacje dotyczą, do celów stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013. W niniejszej sprawie nie doszło zaś do powstania zobowiązania. Poszukiwanie zatem uprawnienia do przetwarzania danych osobowych w takiej sytuacji w przepisach rozporządzenia nr 575/2013 jest nieuzasadnione. Jako niezasadne ocenione zostały również przez sąd zarzuty naruszenia prawa materialnego, dokonując przy tym wykładni m.in. art. 105 i art. 70 Prawa bankowego oraz art. 6 ust. 1 lit. f i e RODO. Zdaniem WSA analizowane powyżej przepisy art. 70, art. 70a, art. 105 ust. 4 i art. 105a Prawa bankowego nie wskazują na niezbędność przetwarzania przez BIK danych osobowych osoby ubiegającej się o kredyt w sytuacji, gdy nie doszło do zawarcia umowy. W ocenie sądu stan faktyczny i prawny sprawy został przez organ prawidłowo ustalony i należycie rozpatrzony w oparciu o zgromadzony materiał dowodowy, w tym w oparciu o wyjaśnienia Banku oraz BIK. Nie zachodziły więc przesłanki do podjęcia przez PUODO współdziałania z innymi organami administracji publicznej w oparciu o przepis art. 7b k.p.a. w celu wydania rozstrzygnięcia w sprawie. Sąd zauważył również, że PUODO jest wyspecjalizowanym w sprawach dotyczących ochrony danych osobowych i niezależnym organem, który ma status i kompetencje organu nadzorczego określone w przepisach RODO. Z tego względu PUODO jest uprawniony do samodzielnego dokonywania interpretacji przepisów prawa w zakresie dotyczącym ochrony danych osobowych. Stanowisko to znajduje potwierdzenie w art. 51 oraz w motywach 117, 122 oraz 123 RODO. Podsumowując, sąd uznał, że decyzja PUODO jest zgodna z prawem, a zarzuty skarg nie zasługiwały na uwzględnienie. W skardze kasacyjnej wywiedzionej zarówno przez BIK jak i Bank, w obu przypadkach zaskarżając wyrok Sądu pierwszej instancji w całości, skarżąca 1 na podstawie art. 174 pkt 2 p.p.s.a., zarzuciła naruszenie przepisów postępowania, mające istotny wpływ na wynik sprawy, tj.: 1. art. 145 §1 pkt 1 lit. c) p.p.s.a. w zw. z art. 7 w zw. z art. 77 § 1 w zw. z art. 80 k.p.a. w zw. z art. 7 ustawy z 10 maja 2018 r. o ochronie danych osobowych (t.j. Dz.U. z 2019 r., poz. 1781, dalej jako: "UODO"), poprzez uznanie przez WSA, że organ prawidłowo zebrał i ocenił zgromadzony w sprawie materiał dowodowy, podczas gdy organ ten: - zaniechał dokonania wyczerpującej analizy charakteru, zakresu oraz celów gospodarczo - ekonomicznych dla jakich zostało powołany BIK oraz obowiązków prawnych i obowiązków wynikających z zawartych przez BIK umów z bankami i instytucjami ustawowo upoważnionymi do udzielania kredytów, co doprowadziło do wadliwej i niepełnej oceny stanu faktycznego skutkującej wadliwą oceną w zakresie ustalenia podstaw prawnych legitymujących skarżącą 1 do przetwarzania danych osobowych; - zaniechał dokonania oceny Rekomendacji S, W i T Komisji Nadzoru Finansowego jako organu właściwego do sprawowania nadzoru nad instytucjami krajowymi w rozumieniu przepisów UE (regulatora rynku finansowego), które to regulacje nakładają na banki i instytucje ustawowo upoważnione do udzielania kredytów, a w konsekwencji na BIK, jako instytucję gromadzącą dane służące do oceny zdolności kredytowej oraz budującą modele scoringowe służące bankom i tymże instytucjom, określone wymagania, które podlegają nadzorowi i egzekwowaniu przez Komisję Nadzoru Finansowego na podstawie bezwzględnie obowiązujących przepisów prawa, co doprowadziło do wadliwej oceny niezbędności przetwarzania przez skarżącej 1 danych osobowych uczestniczki w przypadku nie zawarcia umowy kredytowej dla zabezpieczenia interesów banków oraz stabilności rynku gospodarczo-finansowego i w konsekwencji do wadliwego uznania, że w ww. przypadku nie zachodzą przesłanki legitymujące skarżącą 1 do przetwarzania danych osobowych uczestniczki; - nie dokonał analizy podstawowych zasad funkcjonowania stabilnego sektora finansowego w tym pod kątem istnienia - po stronie banków, a w konsekwencji BIK jako, instytucji, gromadzącej dane służące do oceny zdolności kredytowej oraz budującej modele scoringowe służące bankom - oczywistego interesu prawnego przejawiającego się w odmowie udzielenia kredytu i wynikającego z braku istnienia zdolności kredytowej po stronie uczestniczki, co prowadzi do zabezpieczenia interesu banków przed nieodpowiedzialną polityką udzielania kredytów osobom, które nie mają szans na ich spłacenie oraz do zapewnienia stabilności gospodarczo-ekonomicznej sektora bankowego, a w ujęciu makro zapobieganiu kryzysom gospodarczym, co doprowadziło do wadliwej oceny niezbędności przetwarzania przez skarżącą 1 danych osobowych uczestniczki w przypadku nie zawarcia umowy kredytowej dla zabezpieczenia interesów banków oraz stabilności rynku gospodarczo-finansowego i w konsekwencji do wadliwego uznania, że w ww. przypadku nie zachodzą przesłanki legitymujące skarżącą do przetwarzania danych osobowych uczestniczki; - nie zbadał wszystkich podstaw prawnych dalszego przetwarzania danych o zapytaniach kredytowych, w sytuacji nie zawarcia umowy kredytu, pomimo, iż przepisy prawa upoważniają skarżącą 1 do przetwarzania tych danych, co doprowadziło do wadliwej i niepełnej oceny stanu faktycznego skutkującej wadliwą oceną w zakresie ustalenia podstaw prawnych legitymujących skarżącą 1 do przetwarzania danych osobowych, co w konsekwencji doprowadziło do oddalenia skargi przez WSA w skutek błędnego przyjęcia przez WSA braku istnienia podstawy prawnej do przetwarzania danych, zatem braku legitymacji skarżącej 1 do przetwarzania danych osobowych uczestniczki; 2. art. 145 §1 pkt 1 lit. c) p.p.s.a. w zw. z art. 7b k.p.a. w zw. z art. 7 k.p.a. w zw. z art. 77 k.p.a. w zw. z art. 7 UODO poprzez uznanie, iż organ wyjaśnił stan faktyczny i prawny konieczny do podjęcia przez organ stosownych czynności, w tym zasadnie zaniechał zwrócenia się do Komisji Nadzoru Finansowego (KNF), podczas gdy dla kompleksowego wyjaśnienia sprawy konieczne było zwrócenie się do KNF i współdziałanie w zakresie niezbędnym do dokładnego wyjaśnienia stanu prawnego, mając na względzie interes społeczny i słuszny interes obywateli w postaci ustalenia należytych zasad, celów i zakresu przetwarzania danych: osobowych o niezrealizowanych zapytaniach kredytowych tak, by procesy przetwarzania danych czyniły zadość zarówno przepisom prawa o ochronie danych osobowych, jak i przepisom szeroko pojętego prawa bankowego, w szczególności, dla zapewnienia ochrony wartości, których gwarancje ochrony wynikają z ww. przepisów zgodnie z zasadą proporcjonalności, wskutek czego PUODO wydał zaskarżoną decyzję w niepełnym stanie faktycznym i prawnym, czego WSA nie dostrzegł oddalając skargę i w konsekwencji wydał wyrok w oparciu o ten sam niepełny stan faktyczny i prawny; Zaskarżonemu wyrokowi, na podstawie art. 174 pkt 1 p.p.s.a., BIK zarzucił także naruszenie przepisów prawa materialnego, tj.: 1. art. 6 ust. 1 lit. c) RODO w zw. z art. 105 ust. 1 pkt 1c w zw. z art. 105 ust. 4 i w zw. z art. 105a w zw. z art. 70 i art. 5 ust. 1 pkt 3 Prawa bankowego poprzez ich niewłaściwe zastosowanie przejawiające się w przyjęciu, że w sytuacji, gdy nie doszło pomiędzy uczestniczką, a B. zawarcia umowy kredytowej skarżąca 1 nie jest uprawniona do przetwarzania danych osobowych uczestniczki, a w konsekwencji przyjęcie, że skarżąca 1 nie posiada ww. podstawy prawnej do przetwarzania danych zawartych we wniosku o udzielenie kredytu w przypadku nie zawarcia umowy kredytowej, podczas gdy BIK jest ustawowo zobowiązany do realizacji obowiązku prawnego wynikającego z ww. przepisów polegającego na gromadzeniu, przetwarzaniu i udostępnianiu bankom oraz podmiotom szczegółowo wskazanym w przepisie informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych w postaci oceny zdolności kredytowej oraz analizy ryzyka kredytowego konkretnego klienta (indywidualna ocena zdolności kredytowej) oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013; 2. art. 6 ust. 1 lit. c) RODO w zw. z art. 70a w zw. z art. 105 ust. 4 pkt 1 i 2 oraz w zw. z art. 105a Prawa bankowego poprzez jego niezastosowanie wskutek uznania, iż przepisy prawa nie nakładają na skarżącą 1 obowiązku przekazywania osobie fizycznej ubiegającej się o kredyt wyjaśnień dotyczących dokonanej oceny zdolności kredytowej, a w konsekwencji przyjęcie, że skarżąca 1 nie posiada podstawy prawnej do przetwarzania danych uczestniczki w sytuacji nie zawarcia umowy o kredytowej, podczas gdy skarżąca 1 posiada podstawę prawną przetwarzania z uwagi na niezbędność przetwarzania do wykonania obowiązku prawnego przez banki, instytucje ustawowo uprawnione do udzielania kredytów i BIK, w postaci obowiązku przekazania osobie ubiegającej się o kredyt w formie pisemnej na jej wniosek wyjaśnień dotyczących dokonanej oceny zdolności kredytowej wnioskującego; 3. art. 6 ust. 1 lit. e) RODO poprzez jego niezastosowanie wskutek uznania, że skarżąca 1 nie posiada podstawy prawnej do przetwarzania danych uczestniczki w sytuacji nie zawarcia umowy kredytowej, podczas gdy skarżąca 1 posiada podstawę prawną przetwarzania z uwagi na niezbędność przetwarzania dla realizacji zadania w interesie publicznym przez banki, instytucje ustawowo uprawnione do udzielania kredytów i BIK w postaci zabezpieczenia ekonomiczno-gospodarczego sektora bankowego, w tym depozytariuszy i zapewnienia stabilności ekonomiczno-gospodarczej sektora bankowego, a w ujęciu makro zapobieganiu kryzysom gospodarczym; 4. art. 6 ust. 1 lit. f) RODO poprzez jego niewłaściwe zastosowanie wskutek uznania, że przetwarzanie danych osobowych dla realizacji prawnie uzasadnionych interesów administratora danych w celach zabezpieczenia roszczeń może dotyczyć wyłącznie roszczeń istniejących i aktualnie dochodzonych i w konsekwencji nieuzasadnione przyjęcie, że prawnie uzasadniony interes administratora danych nie istnieje w sytuacji konieczności przetwarzania danych osobowych do ochrony przed roszczeniami istniejącymi, ale nie dochodzonymi w chwili dokonywania oceny, podczas gdy istotą uzasadnionego interesu administratora jest możliwość przetwarzania danych na wypadek konieczności obrony przed roszczeniami istniejącymi lub dochodzenia w przyszłości roszczeń istniejących, które w warunkach niniejszej sprawy są związane z przetwarzaniem danych osobowych na potrzeby opracowania oceny scoringowej uczestniczki niezbędnej do przeprowadzenia analizy zdolności kredytowej oraz analizy ryzyka kredytowego, które to skarżąca 1 zobowiązana jest gromadzić, przetwarzać i udostępniać bankom i instytucjom ustawowo upoważnionym do udzielania kredytów dla realizacji celów ustawowych badania zdolności kredytowej; 5. art. 6 ust. 1 lit. f) RODO poprzez niewłaściwe zastosowanie poprzez przyjęcie, że wskutek braku zawarcia umowy kredytowej BIK nie posiada prawnie uzasadnionego interesu w przetwarzaniu danych uczestniczki, podczas gdy istnieje prawnie uzasadniony interes skarżącej 1 w przetwarzaniu tych informacji pomimo nie zawarcia umowy kredytowej, polegający na realizacji działań z zakresu opracowania, utrzymania aktualności i funkcjonalności zbudowanych modeli scoringowych w zgodzie z treścią Rekomendacji W, S i T Komisji Nadzoru Finansowego w zakresie dobrych praktyk i zarządzania ryzykiem kredytowym; 6. art. 6 ust. 1 lit. f) RODO poprzez jego niezastosowanie wskutek uznania, że skarżąca 1 nie posiada podstawy prawnej do przetwarzania danych uczestniczki, podczas gdy skarżąca 1 posiada podstawę prawną przetwarzania z uwagi na konieczność zapewnienia rozliczalności działań skarżącej 1 jako administratora danych osobowych na zasadzie art. 5 ust. 2 RODO w postaci wykazania przestrzegania przepisów dotyczących jakości danych. Wobec powyższych zarzutów BIK wniósł o uchylenie wyroku w zaskarżonej części i przekazanie sprawy do ponownego rozpoznania, zasądzenie kosztów postępowania, w tym kosztów zastępstwa procesowego i opłaty skarbowej od pełnomocnictwa, według norm prawem przepisanych, a także rozpoznanie skargi kasacyjnej na rozprawie, wstrzymanie wykonania zaskarżonej skargą decyzji w części, a to w zakresie nakazu zawartego w pkt 2 tejże decyzji, tj. w zakresie nakazu usunięcia danych osobowych uczestniczki. Wskazane zarzuty znalazły rozwinięcie w obszernej części uzasadnienia skargi kasacyjnej. Z kolei w skardze kasacyjnej Banku zarzucono "mogące mieć istotny wpływ na wynik sprawy naruszenie przepisów postępowania, które mogło mieć istotny wpływ na wynik sprawy, tj.: 2.1. art. 151 p.p.s.a. w zw. z art. 7, art. 77 § 1 k.p.a. i art. 80 k.p.a. poprzez oddalenie skargi w sytuacji, gdy organ zaniechał w toku postępowania administracyjnego dokładnego wyjaśnienia stanu faktycznego sprawy i prowadził postępowanie wbrew regułom nakazującym wyczerpujące zebranie i rozpatrzenie materiału dowodowego oraz ocenę jego całokształtu, co przejawiało się w szczególności w: 2.1.1. braku dokonania wszechstronnej oceny wyjaśnień zawartych w pismach Banku informujących o podstawach przetwarzania danych osobowych uczestniczki; 2.1.2. ograniczeniu postępowania wyjaśniającego do kwestii dotyczących przekazania danych uczestniczki do BIK oraz podstaw przetwarzania danych z uwagi na art. 105 ust. 1 pkt 1 lit. c i art. 105 ust. 4, jak również art. 70 ust. 1 Prawa bankowego, a tym samym wadliwym zaniechaniu podjęcia czynności niezbędnych do dokładnego wyjaśnienia stanu faktycznego sprawy, w szczególności poprzez weryfikację, czy upłynął termin przedawnienia roszczeń związanych z brakiem zawarcia umowy, co miało kluczowe znaczenie dla oceny, czy Bank miał uzasadniony interes w przetwarzaniu danych osobowych uczestniczki; 2.1.3. zaniechaniu wyjaśnienia aktualnego na datę wydania decyzji stanu faktycznego i stanu prawnego istotnego dla ustalenia zakresu i podstaw przetwarzania przez Bank danych osobowych uczestniczki i oparcie się w tym zakresie na wyjaśnieniach Banku złożonych w 2019 roku, co w konsekwencji skutkowało błędnym uznaniem, że przetwarzanie danych osobowych w zakresie złożonego zapytania kredytowego przez wnioskodawczynię jest niedopuszczalne; 2.2. art. 151 p.p.s.a. w zw. z art. 7b k.p.a. poprzez oddalenie skargi, w sytuacji gdy PUODO zaniechał zwrócenia się do Komisji Nadzoru Finansowego, jako organu właściwego w sprawach związanych z rynkiem finansowym i jego regulowaniem tj. m.in. z badaniem zdolności kredytowej i analizą ryzyka kredytowego, w tym budową modeli scoringowych w zakresie wykorzystywania do realizacji tych zadań danych, w tym danych osobowych o niezrealizowanych zapytaniach kredytowych, co w konsekwencji skutkowało błędnym przyjęciem, że Bank nie legitymuje się podstawą prawną przetwarzania danych osobowych wynikającą z konieczności stosowania wymagań stawianych podmiotom sektora finansowego; co w konsekwencji uniemożliwia realną kontrolę merytoryczną decyzji; warunkowo akceptując sentencję oraz ustalony stan faktyczny - przy czym skarżąca 2 kategorycznie nie akceptuje go - czyniąc wywiedzioną skargę wszechstronnym i kompletnym środkiem zaskarżenia: 3. zarzucono zaskarżonemu wyrokowi mające wpływ na wynik sprawy naruszenie przepisów prawa materialnego: 3.1. art. 151 p.p.s.a. w zw. z art. 6 ust. 1 RODO w zw. z art. 70a ust. 1 p.b. w zw. z art. 105a ust. 1 - 1c i 3 w zw. z art. 106d p.b. w zw. z art. 33, art. 34, art. 36, art. 46 ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (dalej "AML") oraz przepisów Rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 575/2013 z dnia 26 czerwca 2013 r. w sprawie wymogów ostrożnościowych dla instytucji kredytowych i firm inwestycyjnych, zmieniające rozporządzenie (UE) nr 648/2012 (Capital Reąuirements Regulation, dalej także: "CRR") poprzez ich nieprawidłowe zastosowanie i przyjęcie, że brak jest podstawy prawnej przetwarzania danych osobowych uczestniczki przez Bank, w sytuacji gdy wymienione przepisy formułują obowiązki prawne Banku, których realizacja wymaga przetwarzania przez Bank danych osobowych uczestniczki; 3.2. art. 151 p.p.s.a. w zw. z art. 6 ust. 1 lit. c RODO w związku z art. 144 ust. 1 lit. d, art. 145 ust. 1, art. 170 ust. 3 lit. a, art. 171 ust. 2 i art. 179 ust 1 lit. a CRR - poprzez ich nieprawidłowe zastosowanie i przyjęcie, że brak jest podstawy prawnej przetwarzania danych uczestniczki przez Bank, w sytuacji gdy wymienione przepisy formułują obowiązki prawne Banku, których realizacja wymaga przetwarzania przez Bank danych osobowych uczestniczki; 3.3. art. 151 p.p.s.a. w zw. z art. 6 ust. 1 lit. f RODO w związku z Rekomendacjami S, W i T Komisji Nadzoru Finansowego - które polegało na jego niewłaściwym zastosowaniu i przyjęciu, że Bank nie legitymuje się przesłanką przetwarzania danych wynikającą z art. 6 ust. 1 lit. f RODO w związku z Rekomendacjami S, W i T Komisji Nadzoru Finansowego, poprzez ich nieprawidłowe zastosowanie i przyjęcie, że brak jest podstawy prawnej przetwarzania danych uczestniczki przez Bank, w sytuacji gdy wymienione przepisy formułują obowiązki prawne Banku, których realizacja wymaga przetwarzania przez Bank danych osobowych uczestniczki; 3.4. art. 151 p.p.s.a. w zw. z art. 6 ust. 1 lit. f RODO w zw. z art. w zw. z art. 117 § 2 i 21, art. 118 i 119 k.c. w zw. z art. 5 ust. 2 ustawy z 13.04.2018 r. o zmianie ustawy - Kodeks cywilny oraz niektórych innych ustaw poprzez błędne zastosowanie i uznanie, że kwestia ewentualnych roszczeń klienta nie ma znaczenia dla oceny możliwości przetwarzania danych przez okres, do którego następuje upływ okresu przedawnienia; 3.5. art. 151 p.p.s.a. w zw. z art. 58 ust. 2 lit. b w zw. z art. 6 ust. 1 w zw. z art. 5 ust. 1 RODO poprzez niewłaściwe zastosowanie i przyjęcie, że Bank naruszył przepisy RODO i zasadne było wydanie decyzji nakazującej usunięcie danych osobowych, podczas gdy Bank nie dopuścił się naruszenia przepisów o ochronie danych osobowych, a przetwarzanie przez Bank danych uczestniczki jest niezbędne w celu realizacji zgodnych z prawem celów Banku". Na podstawie powyższych zarzutów B. wniósł o uchylenie zaskarżonego wyroku w całości oraz rozpoznanie skargi i wydanie wyroku reformatoryjnego, uwzględniającego skargę Banku i uchylającego decyzję organu w zakresie rozstrzygnięcia zawartego w jej pkt 1, alternatywnie uchylenie zaskarżonego wyroku w całości i przekazanie sprawy do ponownego rozpoznania przez WSA, zasądzenie kosztów sądowych od organu, w tym kosztów zastępstwa procesowego według norm przepisanych, żądając rozpoznania sprawy na rozprawie. Opisane wyżej zarzuty znalazły swoje rozwinięcie w uzasadnieniu. W odpowiedziach na skargi kasacyjne, organ reprezentowany przez pracownika, wniósł o ich oddalenie, podtrzymując dotychczasowe stanowisko w sprawie, jednocześnie odnosząc się do poszczególnych zarzutów kasacyjnych. Naczelny Sąd Administracyjny zważył, co następuje: Stosownie do art. 183 § 1 p.p.s.a., Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach złożonej skargi kasacyjnej, uwzględniając z urzędu jedynie nieważność postępowania. W rozpoznawanej sprawie nie zachodzi żadna z okoliczności skutkujących nieważnością postępowania, o jakich mowa w art. 183 § 2 p.p.s.a., czy też żadna z przesłanek, wymienionych w art. 189 p.p.s.a., rozważanych przez Naczelny Sąd Administracyjny z urzędu dokonując kontroli zaskarżonego skargą kasacyjną wyroku. Tym samym, to wskazane w treści skargi kasacyjnej przyczyny wadliwości prawnej zaskarżonego wyroku determinują zakres kontroli realizowanej przez NSA, który w odróżnieniu od Sądu pierwszej instancji nie bada całokształtu sprawy, lecz tylko weryfikuje zasadność zarzutów podniesionych w skardze kasacyjnej. I. Odnosząc się do skargi kasacyjnej BIK należy po pierwsze wskazać, że niedopuszczalny jest zarzut "niezbadania przez organ wszystkich podstaw prawnych dalszego przetwarzania danych uczestnika w związku z zapytaniem o kredyt", w sytuacji braku zawarcia umowy, jak to czyni autor skargi kasacyjnej. Skarżący kasacyjnie może podnosić kwestie niewłaściwego zastosowania w ustalonym stanie faktycznym przepisów prawa materialnego wyłącznie w ramach zarzutów naruszenia prawa materialnego. Tak sformułowany zarzut nie mógł odnieść oczekiwanego skutku. Zdaniem Naczelnego Sądu Administracyjnego, zarzuty wskazane jako naruszenie przepisów art. 7 w zw. z art. 77 § 1 w zw. z art. 80 oraz art. 7b k.p.a. w zw. z art. 7 UODO nie znajdują usprawiedliwienia w okolicznościach sprawy. Sąd wojewódzki trafnie uznał, że zebrany materiał dowodowy był wystarczający dla rozstrzygnięcia sprawy, a Prezes UODO dokonał pełnej i właściwej jego oceny w odniesieniu do przesłanek zgodności przetwarzania danych osobowych z prawem, o których mowa w art. 6 RODO, nawiązując także do tych przepisów prawa, które powoływało BIK w swoich wyjaśnieniach. Nie można zgodzić się ze skarżącym kasacyjnie, że organ nie rozważył dostatecznie charakteru, zakresu oraz celów gospodarczo-ekonomicznych dla jakich zostało powołane B. S.A. Z zaskarżonej decyzji wynika, że organ uwzględnił w swoich rozważaniach cel działalności i charakter instytucji BIK utworzonej, jak podał, na podstawie art. 105 ust. 4 Prawa bankowego. Należy zaznaczyć, że istotnym i podstawowym ustaleniem w sprawie było to, że z klientem Banku nie doszło do zawarcia umowy. Natomiast odrębną kwestią jest analiza podstaw prawnych pozostawania jego danych w Biurze Informacji Kredytowej w sytuacji, gdy nie doszło do zawarcia umowy kredytu. Ten ostatni aspekt nie stanowi jednak elementu ustalania stanu faktycznego sprawy. Zasadnym jest zwrócenie uwagi, że w postępowaniu administracyjnym, którego przedmiotem jest sprawa zgodności z prawem przetwarzania danych osobowych badaniu podlega kwestia, czy administrator przetwarza dane osobowe w sposób prawidłowy i zgodny z przepisami o ochronie danych osobowych. Reguły przetwarzania danych osobowych zostały ujęte w art. 5 ust. 1 i ust. 2 RODO. Według art. 5 ust. 2 RODO, administrator jest odpowiedzialny za przestrzeganie przepisów ust. 1 i musi być w stanie wykazać ich przestrzeganie ("rozliczalność"). Oznacza to, że m.in. BIK, jako administrator danych osobowych wnioskodawcy żądającego ich usunięcia, zgodnie z zasadą rozliczalności (art. 5 ust. 2 RODO) był zobowiązany do wykazania przed organem nadzoru, że dane osobowe przetwarzane są zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą (art. 5 ust. 1 pkt a) oraz, że zarówno zakres, jak i sposób przetwarzania danych osobowych jest adekwatny do obranego przez niego celu i warunków jego realizacji - zasada ograniczonego celu przetwarzania (art. 5 ust. 1 lit. b RODO) i zasady minimalizacji przetwarzania danych (art. 5 ust. 1 lit. c RODO). Wbrew twierdzeniom skarżącego kasacyjnie, organ nadzoru właściwie oparł się na wyjaśnieniach administratora danych i rzetelnie je ocenił. Nie był przy tym zobowiązany do "poszukiwania" za przetwarzającego dane administratora podstaw i przesłanek dalszego przetwarzania danych osobowych uczestniczki, poza tymi, które wykazał w swoim stanowisku BIK. Ostatecznie organ nie uznał powołanych przez BIK podstaw za wystarczające do uznania, że przetwarzanie danych osobowych uczestniczki, w stanie faktycznym sprawy, odbywa się zgodnie prawem. Odnosząc się do zarzutu naruszenia art. 7b k.p.a. należy wskazać, że organ prawidłowo wyjaśnił, że zwrócenie się do Komisji Nadzoru Finansowego nie przyczyniłoby się do szybszego załatwienia sprawy, gdyż sprawa nie ma charakteru skomplikowanego. Dodatkowo podkreślił, co słusznie zaakceptował Sąd wojewódzki, że to Prezes UODO, a nie Komisja Nadzoru Finansowego, jest organem administracyjnym oceniającym prawidłowość stosowania przepisów o ochronie danych osobowych przez administratorów danych. Uzyskanie stanowiska Komisji Nadzoru Finansowego w tym zakresie nie było niezbędne oraz nie byłoby dla organu wiążące. Zgodzić należy się z Sądem pierwszej instancji, że Prezes UODO jest wyspecjalizowanym i niezależnym organem w sprawach ochrony danych osobowych, który ma status i kompetencje organu nadzorczego określone w przepisach RODO. Zadania i uprawnienia organu nadzoru regulują przepisy art. 57 i art. 58 RODO. Jak wynika z ich treści, na podstawie art. 58 ust. 2 lit. c RODO, Prezesowi UODO przysługuje samodzielne i odrębne uprawnienie naprawcze w postaci nakazania administratorowi lub podmiotowi przetwarzającemu spełnienia żądania osoby, której dane dotyczą, wynikającego z praw przysługujących jej na mocy tego rozporządzenia. Stanowisko o niezależności organu znajduje potwierdzenie również w art. 51 RODO oraz w pkt 117 preambuły RODO, w którym wskazano, że zasadniczym elementem ochrony osób fizycznych w związku z przetwarzaniem danych osobowych jest utworzenie w państwach członkowskich organów nadzorczych, uprawnionych do wypełniania zadań i wykonywania uprawnień w sposób całkowicie niezależny. Niewątpliwie na tle uregulowań RODO, Prezes UODO w zakresie przypisanych mu kompetencji jest uprawniony do samodzielnego dokonywania interpretacji przepisów prawa stosowanych w postępowaniu w zakresie dotyczącym ochrony danych osobowych. Wobec powyższego za uprawnione należało uznać stanowisko Sądu wojewódzkiego, że Prezes UODO w tego rodzaju sprawie nie miał obowiązku zwracania się do Komisji Nadzoru Finansowego, ani w zakresie dokonywanych ustaleń stanu faktycznego, ani w zakresie wyjaśnień stanu prawnego, na zasadzie art. 7b k.p.a. W tym stanie rzeczy nie można było organowi skutecznie zarzucić naruszenia art. 7b k.p.a. Wbrew zarzutowi skarżącego kasacyjnie, organ nie uchybił regułom postępowania poprzez zaniechanie oceny Rekomendacji Komisji Nadzoru Finansowego. Trafne jest stanowisko organu oraz Sądu wojewódzkiego, że powoływane Rekomendacje należą do nienormatywnych form działania administracji i nie były wiążące dla organu nadzoru. Rekomendacje nie są źródłem powszechnie obowiązujących przepisów prawa. Naczelny Sąd Administracyjny dostrzega, że skarżący kasacyjnie powołuje Rekomendacje jako regulacje bezwzględnie go obwiązujące, nakładające m.in. egzekwowalny przez Komisję wymóg gromadzenia danych w celach budowania modeli scoringowych, niezbędnych dla oceny zdolności kredytowej oraz ryzyka kredytowego oraz stabilności i bezpieczeństwa sektora bankowego. Jednakże elementy te nie są wartościami nadrzędnymi wobec prawa osoby fizycznej do ochrony danych osobowych. Prawo do ochrony danych osobowych jest prawem gwarantowanym w unijnym porządku prawnym (RODO) oraz w prawie krajowym, znajdującym oparcie również w art. 51 Konstytucji RP. Dodatkowo Naczelny Sąd Administracyjny stwierdził, że wnoszący skargę kasacyjną nie wykazał, zgodnie z art. 174 pkt 2 p.p.s.a., w jaki sposób zarzucane uchybienia przepisom postępowania mogły mieć istotny wpływ na wynik sprawy. Dla wypełnienia tego obowiązku nie jest wystarczające zawarcie w skardze kasacyjnej formuły o naruszeniu przepisów postępowania mającym wpływ na wynik sprawy. Dla skuteczności tego rodzaju zarzutów konieczne jest uzasadnienie wpływu zarzucanego naruszenia na wynik sprawy. Przechodząc do zarzutów naruszenia prawa materialnego należy podkreślić, że ich istota sprowadza się do kwestionowania stanowiska WSA o braku podstaw prawnych do przetwarzania przez BIK danych osobowych uczestniczki w zakresie wynikającym z zapytania kredytowego, niezakończonego zawarciem umowy kredytowej z instytucją upoważnioną do udzielania kredytów. Przypomnieć trzeba, że przetwarzanie danych osobowych uważa się za legalne, jeśli ich administrator spełni co najmniej jedną z przesłanek wskazanych w art. 6 ust. 1 RODO, który określa ogólne materialne przesłanki przetwarzania danych osobowych. Zgodnie z tą regulacją, przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy - i w takim zakresie, w jakim - spełniony jest co najmniej jeden z poniższych warunków: a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów; b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą lub do podjęcia działań na żądanie osoby, której dane dotyczą przed zawarciem umowy; c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze; d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą lub innej osoby fizycznej; e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi; f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą jest dzieckiem. Akapit pierwszy lit. f nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań. Wymienione przesłanki mają charakter generalny i odnoszą się do wszelkich form przetwarzania danych, w tym zarówno do przetwarzania "na własne potrzeby" administratora, jak i "na zewnątrz". Są one, co do zasady, równoprawne, mają charakter autonomiczny i niezależny, co oznacza, że wystarczy wystąpienie jednej z nich, by przetwarzanie danych mogło być uznane za usprawiedliwione. Zdaniem Naczelnego Sądu Administracyjnego, trafne zajął stanowisko Sąd wojewódzki, że w okolicznościach faktycznych sprawy nie wystąpiła żadna z przesłanek umożliwiająca uznanie za legalne dalsze przetwarzanie przez BIK danych osobowych uczestniczki, a na które powołuje się BIK wskazując art. 6 ust. 1 lit. c, e i f RODO. Zasadny jest wniosek, że skoro nie doszło do zawarcia umowy kredytowej to ocena zdolności kredytowej uczestniczki i analiza ryzyka kredytowego zostały już dokonane (zrealizowane). W konsekwencji cel przetwarzania danych, dla którego zostały one zgromadzone został tym samym osiągnięty, a zatem odpadła przesłanka legalizująca dalsze przetwarzanie danych osobowych wnioskodawczyni przez stronę skarżącą kasacyjnie. Nie mógł więc odnieść oczekiwanego skutku zarzut naruszenia art. 6 ust. 1 lit. c RODO w zw. z art. 105 ust. 1 pkt 1c w zw. z art. 105 ust. 4 i w zw. z art. 105a w zw. z art. 70 i art. 5 ust. 1 pkt 3 Prawa bankowego. Prawidłowo Sąd wojewódzki rozstrzygnął, że nie stanowi w tej sprawie przesłanki zgodnego z prawem przetwarzania danych wnioskodawczyni art. 6 ust. 1 lit. c RODO. Interpretacja użytego w art. 6 ust. 1 lit. c RODO wyrażenia "obowiązku prawnego", który ciąży na administratorze, wymaga takiego przyjęcia jego rozumienia, zgodnie z którym, obowiązkiem prawnym jest tylko taki obowiązek, który wynika wyraźnie z przepisów ustawy lub z przepisów do ustaw wykonawczych. Skarżący kasacyjnie powołuje się na przepisy Prawa bankowego. Jednak w sytuacji w której nie doszło do zawarcia przez uczestniczkę umowy o kredyt z Bankiem nie mogą one stanowić podstawy legalności dalszego przetwarzania danych osobowych niedoszłego klienta, rozumianej jako wypełnienie obowiązku prawnego ciążącego na administratorze. Przepis art. 105 ust. 4 Prawa bankowego stanowi o tym, że banki mogą, wspólnie z bankowymi izbami gospodarczymi, utworzyć instytucje upoważnione do gromadzenia, przetwarzania i udostępniania: 1) bankom - informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013; 2) innym instytucjom ustawowo upoważnionym do udzielania kredytów - informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są niezbędne w związku z udzielaniem kredytów, pożyczek pieniężnych, gwarancji bankowych i poręczeń; 3) instytucjom kredytowym - informacji stanowiących tajemnicę bankową w zakresie niezbędnym do oceny zdolności kredytowej konsumenta, o której mowa w art. 9 ustawy z 12 maja 2011 r. o kredycie konsumenckim; 4) instytucjom pożyczkowym i podmiotom, o których mowa w art. 59d ustawy z 12 maja 2011 r. o kredycie konsumenckim (...); 5) jednostce zarządzającej systemem ochrony lub bankowi zrzeszającemu (...). Zasadnie WSA podkreślił, że art. 105 ust. 4 Prawa bankowego jest przepisem o charakterze ogólnym, który stanowi o możliwości utworzenia wspólnie z bankowymi izbami gospodarczymi, instytucji upoważnionych do gromadzenia, przetwarzania i udostępniania danych. Przepis ten nie daje podstaw do nieograniczonego przetwarzania wszelkich danych osobowych przez utworzone instytucje i nie stanowi o dopuszczalności przetwarzania danych osobowych dotyczących wniosków kredytowych w sytuacji, gdy nie doszło do zawarcia umowy. Należy zaznaczyć, że ww. przepis jest podstawą kompetencyjną do utworzenia instytucji do gromadzenia, przetwarzania i udostępniania bankom informacji stanowiącej tajemnicę bankową, którą jest BIK. W ten sposób wyznaczony został zarazem zakres działania BIK. Przepis ten jest również szczególną normą materialną zezwalającą na jednostronne ograniczanie praw jednostki w zakresie jej danych osobowych. Nie wynika jednak z niego pełna, szczególna podstawa prawna przetwarzania danych osobowych, gdyż zakres upoważnienia do przetwarzania danych osobowych określony został ogólnie przez wskazanie, że chodzi o dane objęte tajemnicą bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa we wskazanym akcie normatywnym. Dopiero z dalszych regulacji wynika szczegółowy zakres danych osobowych, które mogą być legalnie przetwarzane przez banki oraz inne podmioty rynku okołobankowego, w tym instytucje utworzone na podstawie art. 105 ust. 4 Prawa bankowego, jaką jest BIK. Zakres danych, które mogą być przetwarzane, zasady i czas przetwarzania wynikają z przepisów art. 105a Prawa bankowego. Przepisy art. 105a ust. 1 i 1a wskazują cele, którym może służyć przetwarzanie danych osobowych, przepis ust. 1b kategorie danych osobowych, które mogą być przetwarzane, przepis ust. 2 - przesłankę legalizującą przetwarzanie danych w postaci zgody osoby fizycznej, przepis ust. 3 - warunki przetwarzania danych osobowych bez zgody osoby fizycznej, przepis ust. 4 - warunki i cele przetwarzania danych osobowych bez zgody osoby fizycznej po wygaśnięciu zobowiązania, przepis ust. 5 - czas przetwarzania danych osobowych, a przepis ust. 6 - zakres przetwarzanych danych obejmujący dane o osobie fizycznej oraz o treści zobowiązania. Naczelny Sąd Administracyjny stoi na stanowisku, że wszelkie regulacje znoszące ochronę danych osobowych muszą być odczytywane i wykładane ściśle, z uwzględnieniem funkcji jakiej mają służyć. Istotne jest podkreślenie, że analizowane przepisy odnoszą się wyłącznie do przetwarzania danych osobowych klientów banku, instytucji ustawowo upoważnionych do udzielania kredytów, czy instytucji pożyczkowych z którymi doszło do nawiązania relacji prawnej o charakterze zobowiązaniowym. Zatem uprawniony jest wniosek, że w sytuacji, gdy w następstwie złożenia wniosku kredytowego nie dochodzi do zawarcia umowy kredytowej brak jest ustawowych przesłanek legalizujących dalsze przetwarzanie danych osobowych wnioskującego o zawarcie umowy produktowej w zakresie zapytania kredytowego przez Bank, a następczo BIK. Bank ani podmiot, o którym mowa w art. 105 ust. 4 Prawa bankowego nie ma "obowiązku prawnego" w rozumieniu art. 6 ust. 1 lit. c RODO przetwarzania danych osobowych klienta, z którym nie doszło do nawiązania relacji prawnej zobowiązaniowej, gdyż przepisy art. 105a ust. 1-6 Prawa bankowego nie zawierają upoważnienia dla administratora do przetwarzania danych osobowych takiego klienta, ograniczając swój zakres wyłącznie do klientów, którzy zawarli umowę z bankiem. Z kolei art. 70 Prawa bankowego, który powołano również w zarzutach skargi kasacyjnej, stanowi wyłącznie o badaniu przez banki zdolności kredytowej, zdefiniowanej w ust. 1 jako "zdolność kredytobiorcy do spłaty zaciągniętego kredytu wraz z odsetkami w terminach określonych w umowie" i nie odnosi się do zagadnień dotyczących przetwarzania danych osobowych. Brak jest również uzasadnienia dla przyjęcia, jak to słusznie ocenił WSA, że BIK jest uprawnione do dalszego przetwarzania danych osobowych uczestniczki w związku z koniecznością ewentualnego wypełnienia obowiązku wynikającego z art. 70a ust. 1 i ust. 2 Prawa bankowego. Zgodnie z tym przepisem, banki i inne instytucje ustawowo upoważnione do udzielania kredytów na wniosek osoby fizycznej, prawnej lub jednostki organizacyjnej niemającej osobowości prawnej, o ile posiada zdolność prawną, ubiegającej się o kredyt przekazują w formie pisemnej, wyjaśnienie dotyczące dokonanej przez siebie oceny zdolności kredytowej wnioskującego (ust. 1). Wyjaśnienie, o którym mowa w ust. 1, obejmuje informacje na temat czynników, w tym danych osobowych wnioskującego, które miały wpływ na dokonaną ocenę zdolności kredytowej (ust. 2). Jak wynika z treści przywołanych norm, powstanie obowiązku o którym mowa w art. 70a ust. 1 Prawa bankowego, uzależnione jest od złożenia wniosku o przedłożenie wyjaśnień dotyczących dokonanej oceny zdolności kredytowej. Tymczasem akta sprawy nie potwierdzają, aby został złożony taki wniosek. Uczestniczka zwróciła się natomiast o usunięcie jej danych osobowych związanych z zapytaniem kredytowym i w związku z odmową w tym zakresie podjęła działania przed Prezesem UODO. Przyjąć więc należy, że nie jest zainteresowana realizacją prawa do wyjaśnienia dotyczącego dokonanej oceny zdolności kredytowej. Z powyższych przyczyn jako niezasadny należało również ocenić zarzut dotyczący naruszenia art. 6 ust. 1 lit. c RODO w zw. z art. 70a w zw. z art. 105 ust. 4 pkt 1 i 2 oraz w zw. z art. 105a Prawa bankowego. Nie mogły odnieść skutku również pozostałe zarzuty naruszenia prawa materialnego wskazane jako naruszenie art. 6 ust. 1 lit. e i f RODO. Naczelny Sąd Administracyjny, odnosząc się do zarzutu naruszenia art. 6 ust. 1 lit. f RODO w nawiązaniu do wskazywanej przez stronę skarżącą kasacyjnie potrzeby przechowywania danych zawartych w zapytaniu kredytowym osoby, z którą nie zawarto umowy kredytowej, na wypadek ewentualnych przyszłych roszczeń wskazuje, że art. 6 ust. 1 lit. f RODO stanowi o uprawnieniu do przetwarzania, gdy jest ono niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą jest dzieckiem. Za usprawiedliwiony cel w rozumieniu ww. przepisu nie może zostać uznane przetwarzanie danych osobowych na wypadek ewentualnego dochodzenia lub obrony przyszłych, hipotetycznych roszczeń. Z akt sprawy nie wynika, aby wnioskodawczyni, która zażądała usunięcia danych w zakresie zapytania kredytowego, miała jakiekolwiek roszczenie na drodze cywilnoprawnej do instytucji BIK. Natomiast jednoznacznie zażądała usunięcia swoich danych osobowych, powołując się na ich przetwarzanie bez podstawy prawnej. Z tego względu nie jest dopuszczalne przyjęcie, że to art. 6 ust. 1 lit. f RODO mógłby stanowić podstawę do dalszego przetwarzania danych, na wypadek ewentualnego dochodzenia roszczeń. W toku postępowania administracyjnego jak i w skardze nie wykazano - jakich ewentualnie roszczeń mógłby dochodzić podmiot, który zażądał usunięcia swoich danych w zakresie zapytań kredytowych, z którym nie zawarto umowy kredytowej. Sąd w składzie rozpoznającym sprawę podziela wyrażony już w orzecznictwie pogląd, zgodnie z którym, niedopuszczalne jest przetwarzanie danych osobowych niejako "na zapas" z założeniem, że mogą być one ewentualnie przydatne w przyszłości, na przykład z odwołaniem się do przepisów dotyczących przedawnienia roszczeń (por. wyrok NSA z 1 października 2025 r., III OSK 872/22). Ponownie należy wskazać, że Rekomendacje S, W i T Komisji Nadzoru Finansowego na które powołuje się autor skargi kasacyjnej w związku z wykazywanym naruszeniem art. 6 ust. 1 lit. f RODO nie stanowią obowiązujących przepisów prawa, zatem nie mogły mieć znaczenia dla rozstrzygnięcia podjętego w niniejszej sprawie. Rekomendacje nie odnoszą się do przetwarzania danych osobowych w zakresie zapytań kredytowych w sytuacji, gdy umowa pomiędzy bankiem, a potencjalnym klientem nie została zawarta. Nie mógł zostać uznany za skuteczny zarzut naruszenia art. 6 ust. 1 lit. f RODO w związku z uznaniem przez WSA, że nie zachodzi podstawa prawna do przetwarzania danych osobowych uczestniczki postępowania z uwagi na konieczność "zapewnienia rozliczalności działań skarżącego". Rację ma Sąd pierwszej instancji, że przetwarzanie danych w celu udokumentowania prawidłowości ich przetwarzania nie stanowi celu, który wynika z prawnie uzasadnionego interesu, o którym mowa w art. 6 ust. 1 lit. f RODO. W ocenie Naczelnego Sądu Administracyjnego, skarżąca kasacyjnie nie zdołała również wykazać, że w sprawie doszło do naruszenia art. 6 ust. 1 lit. e RODO w zakresie w jakim organ nie uznał tej normy za podstawę legalnego przetwarzania danych osobowych wnioskodawczyni. Jak trafnie zauważył WSA, przesłanka ujęta w tej regulacji nie była przedmiotem analizy organu w zaskarżonej decyzji. Ponadto, w ocenie Naczelnego Sądu Administracyjnego, nie można uznać aby w rozpoznawanej sprawie BIK realizowało zadania w interesie publicznym lub działało w ramach sprawowania władzy publicznej, do których to przesłanek odwołuje się art. 6 ust. 3 RODO. Podsumowując, skoro wnioskodawczyni zażądała respektowania prawa do ochrony danych osobowych wynikających z RODO, a administrator danych osobowych jakim jest BIK nie wykazało podstawy legalizującej czynności przetwarzania danych, to Prezes UODO miał podstawę nakazać BIK zaprzestania przetwarzania danych osobowych uczestniczki w zakresie jej wniosku kredytowego oraz ich usunięcia, co prawidłowo ocenił Sąd pierwszej instancji w kwestionowanym wyroku. II. Niezasadna okazała się również skarga kasacyjna wniesiona przez Bank. W ramach zarzutu naruszenia art. 151 p.p.s.a. w zw. z art. 7, art. 77 § 1 i art. 80 k.p.a. Bank zarzuca, że PUODO nie wyjaśnił dokładnie stanu faktycznego, nie ocenił wszechstronnie wyjaśnień skarżącej 2, ograniczył postępowanie do kwestii przekazania danych do BIK i nie ustalił aktualnych podstaw przetwarzania danych na dzień wydania decyzji. W szczególności Bank twierdzi, że organ powinien był ustalić, czy upłynął termin przedawnienia potencjalnych roszczeń. Analizowany zarzut w istocie nie dotyczy braków dowodowych, lecz odmiennej oceny prawnej bezspornego stanu faktycznego. Dla rozstrzygnięcia sprawy kluczowe były trzy fakty: pozyskanie danych w celu oceny zdolności kredytowej, przekazanie danych do BIK oraz brak zawarcia umowy kredytowej. Te okoliczności były znane i nie wymagały dalszego postępowania dowodowego. Nie można skutecznie zarzucać organowi naruszenia art. 7, art. 77 § 1 i art. 80 k.p.a. tylko dlatego, że organ nie podzielił stanowiska Banku co do podstaw prawnych dalszego przetwarzania danych. Spór nie polegał na tym, jakie dane skarżąca 2 posiadała, ale na tym, czy po nie zawarciu umowy kredytowej istnieje podstawa prawna ich dalszego przetwarzania. To jest zagadnienie ze sfery prawa materialnego, a nie postępowania dowodowego. W ramach rozpoznania i rozstrzygnięcia sprawy nie było potrzeby czynienia ustaleń odnoszących się do terminu przedawnienia potencjalnych roszczeń. Sam upływ albo brak upływu terminu przedawnienia nie tworzy podstawy przetwarzania danych osobowych. Warunkiem powołania się na cel obrony przed roszczeniami jest wykazanie realnego, konkretnego roszczenia albo przynajmniej skonkretyzowanego sporu, a nie abstrakcyjnej możliwości, że takie roszczenie może kiedyś powstać. Konsekwentnie nie było podstaw do uwzględnienia zarzutu naruszenia art. 6 ust. 1 lit. f RODO w zw. z art. 117 § 2 i 2¹, art. 118 i 119 k.c. oraz przepisami nowelizującymi k.c. Bank zarzuca, że WSA błędnie przyjął, iż kwestia ewentualnych roszczeń klienta nie ma znaczenia dla możliwości przetwarzania danych do upływu terminu przedawnienia. Oczywiście, w pewnych sytuacjach administrator może przetwarzać dane w celu dochodzenia lub obrony przed roszczeniami. Nie oznacza to jednak, że może przechowywać dane każdej osoby do końca potencjalnego terminu przedawnienia, tylko dlatego że hipotetycznie może pojawić się spór. Bank powinien wykazać konkretne roszczenie, spór albo realną i skonkretyzowaną potrzebę procesową. W tej sprawie nie wykazano, aby uczestniczka dochodziła roszczeń wobec skarżącej 2 albo aby Bank dochodził roszczeń wobec uczestniczki. Samo żądanie usunięcia danych nie jest jeszcze roszczeniem cywilnoprawnym uzasadniającym dalszą retencję pełnych danych kredytowych. Przyjęcie stanowiska Banku prowadziłoby do przetwarzania danych "na zapas". Naczelny Sąd Administracyjny wielokrotnie potwierdzał, że bank nie może przetwarzać danych osobowych na podstawie art. 6 ust. 1 lit. f RODO wyłącznie w celu obrony przed ewentualnymi przyszłymi roszczeniami, jeżeli nie wykazano konkretnego sporu – wyrok NSA z 8 stycznia 2025 r., sygn., akt. III OSK 4868/21. Bank twierdzi, że PUODO powinien był zwrócić się do KNF jako organu właściwego w sprawach rynku finansowego, badania zdolności kredytowej, analizy ryzyka kredytowego i modeli scoringowych – zarzut naruszenia art. 151 p.p.s.a. w zw. z art. 7b k.p.a. Zdaniem skarżącej 2 brak współdziałania z KNF doprowadził do błędnego przyjęcia, że Bank nie ma podstawy prawnej do dalszego przetwarzania danych. Należy zwrócić uwagę, że postanowienia art. 7b k.p.a. nie nakładały w tej sprawie na organ obowiązku zasięgnięcia stanowiska KNF. PUODO jest organem właściwym do oceny legalności przetwarzania danych osobowych i może samodzielnie dokonywać wykładni przepisów RODO oraz krajowych przepisów dotyczących podstaw przetwarzania danych. Rola KNF w nadzorze nad sektorem bankowym nie oznacza, że PUODO musi w każdej sprawie dotyczącej banku uzyskiwać jej opinię. Co ważniejsze, stanowisko KNF nie mogłoby stworzyć podstawy prawnej przetwarzania danych. Rekomendacje KNF mogą mieć znaczenie praktyczne lub ostrożnościowe, ale nie są źródłem prawa powszechnie obowiązującego. Nie mogą więc samodzielnie uzasadniać ani obowiązku prawnego z art. 6 ust. 1 lit. c RODO, ani prawnie uzasadnionego interesu w rozumieniu art. 6 ust. 1 lit. f RODO w zakresie sprzecznym z zasadami RODO. Zarzut nie wykazuje też istotnego wpływu na wynik sprawy. Nawet gdyby KNF potwierdził znaczenie modeli scoringowych i zarządzania ryzykiem kredytowym, nie zmieniałoby to faktu, że dane konkretnej osoby, z którą nie zawarto umowy kredytowej, nie mogą być dalej przetwarzane bez wyraźnej podstawy prawnej. Z powyższym zarzutem bezpośrednio łączy się zarzut naruszenia art. 6 ust. 1 lit. f RODO w związku z Rekomendacjami S, W i T KNF. Bank twierdzi, że przestrzeganie wymienionych Rekomendacji KNF stanowi jego prawnie uzasadniony interes, a więc podstawę przetwarzania danych na gruncie art. 6 ust. 1 lit. f RODO. Naczelny Sąd Administracyjny potwierdza, iż można przyjąć, że Bank ma interes w zarządzaniu ryzykiem kredytowym i zgodności z rekomendacjami nadzorczymi. To jednak nie wystarcza. Treść art. 6 ust. 1 lit. f RODO wymaga łącznie: istnienia prawnie uzasadnionego interesu, niezbędności przetwarzania danych do realizacji tego interesu oraz braku nadrzędnego charakteru praw i wolności osoby, której dane dotyczą. Bank nie wykazał niezbędności dalszego przetwarzania danych uczestniczki po zakończeniu procedury kredytowej. Rekomendacje KNF nie są źródłem prawa powszechnie obowiązującego i nie mogą przełamać zasad RODO: ograniczenia celu, minimalizacji danych oraz ograniczenia przechowywania. Interes skarżącej 2 w jakości modeli ryzyka nie może prowadzić do retencji danych osoby, która nie stała się klientem kredytowym, jeżeli cel pierwotny został zakończony. Analogicznie NSA przyjął, że po nie zawarciu umowy odpada cel przetwarzania, jakim jest badanie zdolności kredytowej, a bank i BIK muszą zaprzestać przetwarzania danych dotyczących takich zapytań. Uzasadniając zarzut naruszenia art. 6 ust. 1 RODO w zw. z art. 70a ust. 1 Prawa bankowego, art. 105a ust. 1–1c i 3 Prawa bankowego, art. 106d Prawa bankowego, AML i CRR Bank eksponuje, że wymienione przepisy formułują obowiązki prawne, których realizacja wymaga dalszego przetwarzania danych uczestniczki. Zarzut ten został sformułowany szeroko, przez odwołanie do art. 6 ust. 1 RODO ogólnie, a więc do katalogu podstaw przetwarzania. Artykuł 6 ust. 1 RODO zawiera zamknięty katalog autonomicznych podstaw legalizujących przetwarzanie danych. Administrator musi wykazać konkretną przesłankę przetwarzania, a nie ogólnie powołać się na "zgodne z prawem cele Banku". Treść art. 70a Prawa bankowego może uzasadniać określone obowiązki informacyjne banku wobec osoby ubiegającej się o kredyt, ale nie tworzy generalnego uprawnienia do dalszego przechowywania danych osoby, z którą nie zawarto umowy. Podobnie art. 105a Prawa bankowego nie może być wykładany rozszerzająco. Jeżeli procedura kredytowa zakończyła się bez zawarcia umowy to nie powstało zobowiązanie, którego istnienie, trwanie albo wygaśnięcie mogłoby uzasadniać dalsze przetwarzanie danych. Również art. 106d Prawa bankowego i przepisy AML nie legalizują automatycznie przetwarzania danych w każdej sprawie kredytowej. Bank musiałby wykazać konkretną potrzebę przetwarzania danych uczestniczki dla przeciwdziałania przestępczości, praniu pieniędzy lub finansowaniu terroryzmu. Z akt sprawy nie wynika, by takie konkretne przesłanki zostały wykazane. PUODO w uzasadnieniu decyzji wskazywał, że nie wykazano okoliczności z art. 106d Prawa bankowego ani konkretnego obowiązku AML uzasadniającego dalsze przetwarzanie. Bank zarzuca, że przepisy CRR dotyczące wymogów ostrożnościowych, modeli i metod wewnętrznych tworzą obowiązki prawne, których wykonanie wymaga przetwarzania danych uczestniczki – zarzut naruszenia art. 6 ust. 1 lit. c RODO w zw. z przepisami CRR: art. 144, 145, 170, 171 i 179 rozporządzenia 575/2013. Przepisy CRR nie stanowią wystarczająco konkretnej podstawy prawnej do dalszego przetwarzania danych osobowych osoby, z którą nie doszło do zawarcia umowy kredytowej. CRR reguluje wymogi ostrożnościowe i modele ryzyka, ale nie przesądza, że bank może bez ograniczeń czasowych zachowywać dane wszystkich niedoszłych klientów. Nie można utożsamiać obowiązku zarządzania ryzykiem kredytowym z prawem do dalszego przetwarzania danych osobowych konkretnej osoby po zakończeniu celu, dla którego dane zostały zebrane. W tej sprawie cel pierwotny — ocena zdolności kredytowej w związku z konkretnym wnioskiem — został zrealizowany. Wobec nie zawarcia umowy dalsze wykorzystywanie danych w celach modelowych, statystycznych albo ostrożnościowych wymagałoby odrębnej, wyraźnej podstawy prawnej. W orzecznictwie sądów administracyjnych w analogicznych sprawach wskazywano, że art. 70, art. 105 ust. 4 i art. 105a Prawa bankowego nie legalizują dalszego przetwarzania danych, gdy wniosek kredytowy nie zakończył się zawarciem umowy; tym bardziej takiej podstawy nie można wyprowadzać pośrednio z ogólnych wymogów ostrożnościowych. Zarzut naruszenia art. 151 p.p.s.a. w zw. z art. 58 ust. 2 lit. b, art. 6 ust. 1 i art. 5 ust. 1 RODO ma charakter konsekwencyjny. Bank twierdzi, że skoro - jego zdaniem - posiadał podstawę przetwarzania danych to nie naruszył RODO, a decyzja nakazująca usunięcie danych była niezasadna. Skoro jednak zarzuty dotyczące podstaw przetwarzania danych okazały się niezasadne, to prawidłowa jest również ocena, że Bank naruszył przepisy RODO przez dalsze przetwarzanie danych bez podstawy prawnej. W takiej sytuacji Prezes UODO mógł zastosować środek naprawczy polegający na nakazaniu usunięcia danych. W sprawie zachodziła przesłanka z art. 17 ust. 1 lit. a RODO: dane osobowe nie były już niezbędne do celów, dla których zostały zebrane. Dane zostały pozyskane w celu oceny zdolności kredytowej w związku z konkretnym wnioskiem, a po nie zawarciu umowy cel ten wygasł. Skoro Bank nie wykazał innej podstawy z art. 6 ust. 1 RODO, nakaz usunięcia danych był prawidłowy. W wykazanym stanie sprawy, wobec negatywnej weryfikacji zarzutów obu skarg kasacyjnych, Naczelny Sąd Administracyjny działając na podstawie art. 184 p.p.s.a. oddalił skargi kasacyjne. O kosztach postępowania orzeczono na podstawie art. 204 pkt 1 p.p.s.a.