III OSK 252/24

Naczelny Sąd Administracyjny w składzie: Przewodniczący: sędzia NSA Rafał Stasikowski Sędziowie: sędzia NSA Tamara Dziełakowska sędzia del. WSA Tadeusz Kiełkowski (sprawozdawca) Protokolant: starszy asystent sędziego Łukasz Sielanko po rozpoznaniu w dniu 2 września 2026 r. na rozprawie w Izbie Ogólnoadministracyjnej skarg kasacyjnych A. S.A. z siedzibą w Warszawie i Biura Informacji Kredytowej S.A. z siedzibą w Warszawie od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 19 września 2023 r. sygn. akt II SA/Wa 2150/22 w sprawie ze skarg A. S.A. z siedzibą w Warszawie i Biura Informacji Kredytowej S.A. z siedzibą w Warszawie na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 21 września 2022 r. nr DS.523.1084.2020.FT.UD w przedmiocie przetwarzania danych osobowych 1. oddala skargi kasacyjne; 2. zasądza od A. S.A. z siedzibą w Warszawie na rzecz Prezesa Urzędu Ochrony Danych Osobowych kwotę 360 (trzysta sześćdziesiąt) złotych tytułem zwrotu kosztów postępowania kasacyjnego; 3. zasądza od Biura Informacji Kredytowej S.A. z siedzibą w Warszawie na rzecz Prezesa Urzędu Ochrony Danych Osobowych kwotę 360 (trzysta sześćdziesiąt) złotych tytułem zwrotu kosztów postępowania kasacyjnego.

Wyrokiem z dnia 19 września 2023 r., sygn. akt II SA/Wa 2150/22, Wojewódzki Sąd Administracyjny w Warszawie (dalej "WSA w Warszawie" lub "Sąd I instancji") oddalił skargi A. S.A. z siedzibą w Warszawie (dalej "Bank") oraz Biura Informacji Kredytowej S.A. z siedzibą w Warszawie (dalej "Biuro", "BIK") na decyzję Prezesa Urzędu Ochrony Danych Osobowych (dalej "organ", "Prezes UODO") z dnia 21 września 2022 r. nr DS.523.1084.2020.FT.UD w przedmiocie przetwarzania danych osobowych. Powyższy wyrok, od którego została złożona skarga kasacyjna, zapadł w następujących okolicznościach faktycznych i prawnych. Do Prezesa UODO w dniu 21 lutego 2020 r. wpłynęła skarga I.C., prowadzącej działalność gospodarczą pod Firmą [...] FHU z siedzibą w B. (dalej "wnioskodawczyni"), na nieprawidłowości w procesie przetwarzania jej danych osobowych przez Bank, polegające na przetwarzaniu danych osobowych bez podstawy prawnej oraz udostępnieniu danych osobowych na rzecz Biura. W treści skargi wnioskodawczyni wskazała, że w 2013 r. zawarła z Bankiem umowę na okres 24 miesięcy i po upływie tego terminu Bank na podstawie analizy jej sytuacji finansowej uznał, że limit ten nie zostanie przedłużony i zaproponował jego refinansowanie/ugodę na kredyt firmowy ratalny. Ugoda zawarta została na 30 miesięcy na kwotę 104 000 zł. Zobowiązanie było terminowo obsługiwane przez cały okres trwania ugody. Bank nie poinformował wnioskodawczyni o tym, że kredyt ten po spłacie zostanie uznany jako "odzyskany" i będzie raportowany do BIK w takiej właśnie formie. Prezes UODO, decyzją z dnia 21 września 2022 r. – na podstawie art. 104 § 1 k.p.a., art. 7 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781) oraz art. 6 ust. 1 i art. 58 ust. 2 lit. c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dziennik Urzędowy Unii Europejskiej, L 119, 4 maja 2016, dalej "RODO") w zw. z art. 105a ust. 2 i 3 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz. U. z 2019 r. poz. 2357, dalej "Prawo bankowe" lub "p.b.") – nakazał Bankowi zaprzestanie przetwarzania danych osobowych wnioskodawczyni, przetwarzanych bez podstawy prawnej po wygaśnięciu zobowiązania, w związku z umową z dnia 13 listopada 2013 r. numer [...](rachunek, na który zostało przeniesione zobowiązanie z rachunku [...]) w systemie Biura, w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. W uzasadnieniu decyzji organ wskazał, że Bank pozyskał dane wnioskodawczyni w związku z zawartą umową o produkt bankowy w zakresie: imienia, nazwiska, nazwiska rodowego, imienia ojca, imienia matki, nazwiska panieńskiego matki, peselu, daty urodzenia, miejsca urodzenia, kraju urodzenia, obywatelstwa, typu i nr dokumentu tożsamości, adresu zamieszkania, adresu korespondencyjnego, e-maila, nr telefonu. Dane osobowe wnioskodawczyni (w powiązaniu z firmą wnioskodawczyni) zostały następnie przekazane do BIK w związku z kredytem gotówkowym nr [...] na podstawie art. 105 ust. 4 p.b. na podstawie łączącej Bank i BIK umowy w sprawie zbierania i udostępniania informacji – i stąd, w ocenie Banku, nie miał w sprawie zastosowania art. 105a ust. 3 Prawa bankowego. W tych okolicznościach Prezes UODO wskazał, że zobowiązanie wnioskodawczyni wobec Banku, wynikające z umowy zawartej w dniu 13 listopada 2013 r., wygasło w dniu 20 czerwca 2018 r., a wnioskodawczyni w piśmie z dnia 9 października 2019 r. nie wyraziła zgody na przetwarzanie jej danych osobowych w BIK po wygaśnięciu zobowiązania wobec Banku. Z materiału dowodowego zgromadzonego w sprawie nie wynika fakt poinformowania wnioskodawczyni przez Bank w ustawowym terminie o zamiarze przetwarzania informacji dotyczących wnioskodawcy po wygaśnięciu zobowiązania bez jej zgody. Ponadto organ wyjaśnił, że nie można podzielić stanowiska Banku, zgodnie z którym art. 105a ust. 3 Prawa bankowego nie ma zastosowania do przetwarzania danych osobowych osób fizycznych prowadzących działalność gospodarczą. W tym kontekście organ przywołał w art. 4 pkt 1 RODO oraz art. 4 ust. 1 ustawy Prawo przedsiębiorców z dnia 6 marca 2018 r. (Dz. U. 2021 r., poz. 162). Prezes UODO końcowo zaznaczył, że po wygaśnięciu zobowiązania przetwarzanie danych jest możliwe tylko po spełnieniu przesłanek wynikających z art. 105a ust. 2 lub 3 Prawa bankowego. Skoro zaś Bank nie udowodnił ich spełnienia, koniecznym było wydanie przedmiotowej decyzji. Skargi do WSA w Warszawie na decyzję PUODO z dnia 21 września 2022 r. złożyli Bank i Biuro, wnosząc o uchylenie zaskarżonej decyzji i zasądzenie zwrotu kosztów postępowania, w tym kosztów zastępstwa procesowego, według norm przepisanych. Bank kwestionowanej decyzji zarzucił naruszenie przepisów prawa materialnego, które miało wpływ na wynik sprawy, tj.: 1) art. 105a ust 2 i 3 Prawa bankowego poprzez jego błędną wykładnię i uznanie, że normy prawne zawarte ww. przepisach mają zastosowanie do przedsiębiorcy (osoby fizycznej prowadzącej działalność gospodarczy), a w konsekwencji do uznania przez organ, że Bank nie może przetwarzać danych osobowych przedsiębiorcy (osoby fizycznej prowadzącej działalność gospodarczy), bez uprzedniego wykonania obowiązków wynikających z ww. norm; 2) art. 6 ust. 1 lit. b i c RODO w zw. z art. 105 ust. 4 Prawa bankowego, poprzez ich niezastosowanie ewentualnie ich błędną wykładnie, a w konsekwencji uznanie przez organ, że Bank przetwarza dane wnioskodawcy bez podstawy prawnej; 3) art. 58 ust. 2 lit c ROOO poprzez jego błędne zastosowanie i nakazanie Bankowi zaprzestania przetwarzania danych osobowych w sytuacji, w której przy prawidłowym ustaleniu stanu faktycznego i właściwej wykładni przepisów prawa materialnego organ winien uznać, że brak jest podstaw do nakazania Bankowi zaprzestania przetworzenia danych osobowych wnioskodawcy. Ponadto Bank zarzucił naruszenie przepisów postępowania, które mogło mieć wpływ na wynik sprawy, tj.: 1) art 8 § 2 k.p.a. poprzez odstąpienie przez organ od utrwalonej praktyki rozstrzygania spraw w takim samym stanie faktycznym i prawnym; 2) art. 7 k.p.a. w zw. z art. 77 § 1 k.p.a. w zw. art. 107 § 1 pkt 6 i § 3 k.p.a. w zw. z art. 80 k.p.a., poprzez nieuwzględnienie, że w dacie wydania zaskarżonej decyzji Bank przetwarzał dane wnioskodawcy jako osoby prowadzącej działalność gospodarczą, przetwarzał więc dane przedsiębiorcy, a nie dane wnioskodawcy jako konsumenta, co ma istotne znaczenie dla dokonania prawidłowej subsumpcji przepisów prawa materialnego. Z kolei Biuro zaskarżonemu rozstrzygnięciu zarzuciło naruszenie prawa materialnego: 1) art. 105a ust. 2 i 3 Prawa bankowe poprzez błędną wykładnię przepisu art. 105a ust. 2 i 3 Prawa bankowego i przyjęcie, że w zakresie podmiotowym użytego we wskazanym przepisie pojęcia "osób fizycznych", znajdują się osoby fizyczne prowadzące działalność gospodarczą, a w konsekwencji także przyjęcie, że Bank miał obowiązek wypełnić przesłanki legalizujące przetwarzanie danych osobowych wskazane w przepisie art. 105a ust. 2 i 3 Prawa bankowego, aby legalnie przetwarzać dane wnioskodawcy (w tym udostępnić je BIK); 2) art. 6 ust. 1 lit. c) RODO w zw. z art. 105 ust. 1 pkt. 1c w zw. z art. 105 ust. 4 i w zw. z art. 105a w zw. z art. 70 i art. 5 ust. 1 pkt. 3 Prawa bankowego poprzez jego niewłaściwe zastosowanie i w konsekwencji nakazanie zaprzestania przetwarzania danych osobowych wnioskodawcy w systemie BIK w celu oceny zdolności kredytowej i analizy ryzyka kredytowego – ewentualnie – art. 6 ust. 1 lit. f) RODO poprzez jego błędną wykładnię i w konsekwencji niezastosowanie skutkujące nakazaniem zaprzestania przetwarzania danych osobowych wnioskodawcy w systemie BIK w celu oceny zdolności kredytowej i analizy ryzyka kredytowego; 3) art. 6 ust. 1 lit. e) RODO poprzez jego niezastosowanie wskutek uznania, że Biuro jako administrator danych przetwarzanych w systemie BIK nie posiada podstawy prawnej do przetwarzania danych wnioskodawcy w systemie BIK w celu oceny zdolności kredytowej oraz analizy ryzyka kredytowego. BIK zarzucił również organowi naruszenie prawa procesowego, mające istotny wpływ na wynik sprawy, tj.: 1) art. 7, w zw. z art. 77 § 1 i w zw. z art. 80 k.p.a. w zw. z art. 7 UODO poprzez niewyczerpujące zebranie, nierozpatrzenie i błędną ocenę całokształtu materiału dowodowego przejawiającego się w zaniechaniu dokonania wyczerpującej analizy charakteru, zakresu oraz celów gospodarczo - ekonomicznych dla jakich zostało powołane Biuro oraz obowiązków prawnych i obowiązków wynikających z zawartych przez BIK umów z bankami, skutkującą wadliwą i niepełną oceną stanu faktycznego sprawy oraz charakteru działania BIK jako administratora danych osobowych przetwarzanych w systemie BIK, co w konsekwencji skutkowało nieuzasadnionym wydaniem przez organ nakazu usunięcia danych osobowych z systemu BIK; 2) art. 7 k.p.a., art. 77 k.p.a. w zw. z art. 80 k.p.a. poprzez: a) niezbadanie przez organ wszystkich podstaw prawnych dalszego przetwarzania danych o spłaconych (terminowo oraz nieterminowo) zobowiązaniach klientów banków, pomimo, iż przepisy prawa upoważniają BIK do przetwarzania tych danych, co w konsekwencji doprowadziło do błędnego nakazania Bankowi usunięcie danych osobowych z systemu BIK wobec błędnego przyjęcia przez organ braku istnienia podstawy prawnej do przetwarzania danych, b) brak wyczerpującej analizy stanu prawnego istotnego dla okoliczności sprawy, w szczególności z uwagi na brak analizy celowościowej, systemowej i historycznej art. 105a Prawa bankowego poprzez ograniczenie się wyłącznie do językowej wykładni przepisu, poprowadzonej przez pryzmat definicji danych osobowych z art. 4 pkt 1) RODO; 3) art. 8 § 1 i 2 k.p.a. poprzez odstąpienie przez organ od utrwalonej praktyki rozstrzygania spraw w takim samym stanie faktycznym i prawnym, co z kolei narusza zasadę pogłębiania zaufania obywateli do władzy publicznej. Odpowiadając na skargi Prezes UODO wniósł o ich oddalenie. W dniu 19 września 2023 r. WSA w Warszawie wydał opisany na wstępie wyrok, którym oddalił skargi. W uzasadnieniu tego wyroku Sąd I instancji wskazał, że istota sprawy w niniejszym postępowaniu sprowadzała się do oceny tego, czy przepisy art. 105a ust. 2 i 3 Prawa bankowe znajdują zastosowanie do osób fizycznych, prowadzących działalność gospodarczą. Zdaniem WSA w Warszawie okoliczność prowadzenia działalności gospodarczej przez osobę fizyczną nie pozbawia tej osoby przymiotów i przywilejów wynikających z faktu bycia osobą fizyczną – osoba ta posiada osobowość prawną. Nadal też jej nazwisko, nawet użyte w powiązaniu z nazwą prowadzonej działalności gospodarczej, umożliwia zidentyfikowanie właśnie konkretnej osoby fizycznej. Ponadto, zgodnie z definicją z ustawy Prawo przedsiębiorców, przedsiębiorcą jest m.in. osoba fizyczna wykonująca działalność gospodarczą. Skoro więc podjęcie działalności gospodarczej przez osobę fizyczną nie pozbawia jej osobowości prawnej (tzw. przedsiębiorstwo prowadzone przez osobę fizyczną nie uzyskuje samodzielnej, odrębnej od tej osoby, osobowości prawnej), w obrocie prawnym osoba prowadząca działalność gospodarczą nadal pozostaje osobą fizyczną ze wszelkimi, wynikającymi z tego faktu konsekwencjami. Sąd I instancji zauważył, że wykładnia przepisów nie może abstrahować od celu, którego realizacji dotyczą przepisy będące podstawą rozstrzygania w konkretnej sprawie. W konkluzji Sąd I instancji przytoczył art. 5 pkt 1 RODO, w myśl którego dane osobowe oznaczają wszelkie informacje o zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej ("osobie, której dane dotyczą"). Możliwa do zidentyfikowania osoba fizyczna to osoba, którą można bezpośrednio lub pośrednio zidentyfikować, w szczególności na podstawie identyfikatora takiego jak imię i nazwisko, numer identyfikacyjny, dane o lokalizacji, identyfikator internetowy lub jeden bądź kilka szczególnych czynników określających fizyczną, fizjologiczną, genetyczną, psychiczną, ekonomiczną, kulturową lub społeczną tożsamość osoby fizycznej. Skoro więc z przywołanej definicji wynika, iż imię i nazwisko osoby prowadzącej działalność gospodarczą (użyte nawet w powiązaniu z nazwą owej działalności) umożliwia identyfikację tej osoby, to osoba fizyczna, która prowadzi działalność gospodarczą, nadal korzysta z ochrony swoich danych osobowych jak każda osoba fizyczna. Definicja danych osobowych odnosi się zatem do osób fizycznych bez względu na rolę, jaką odgrywają (czy są konsumentami, przedsiębiorcami czy pracownikami itd.). Pismem z dnia 16 listopada 2023 r. Bank wniósł skargę kasacyjną od wyroku WSA w Warszawie z dnia 19 września 2023 r., zaskarżając go w całości. Bank zarzucił zaskarżonemu wyrokowi: I. naruszenie przepisów prawa materialnego, tj.: 1) art. 105a ust 2 i 3 Prawa bankowego, poprzez jego błędną wykładnię i uznanie, że normy prawne zawarte tych przepisach mają zastosowanie do przedsiębiorcy (osoby fizycznej prowadzącej działalność gospodarczą), a w konsekwencji do uznania przez Sąd I instancji, że organ zastosował prawidłową wykładnię, iż Bank nie może przetwarzać danych osobowych przedsiębiorcy (osoby fizycznej prowadzącej działalność gospodarczą), bez uprzedniego wykonania obowiązków wynikających z ww. norm, podczas gdy prawidłowa wykładnia art. 105a ust 2 i 3 Prawa Bankowego wskazuje, że przepisy te znajdują zastosowanie jedynie do konsumenta, a rozszerzenie ich skuteczności na przedsiębiorcę stoi w sprzeczności z wykładnią ww. przepisów; 2) art. 5 i art. 6 ust. 1 lit. b i c RODO w zw. z art. 105 ust 4 Prawa Bankowego, poprzez ich błędną wykładnię, a w konsekwencji uznanie przez Sąd I Instancji, iż organ zastosował prawidłową wykładnię, że Bank przetwarza dane wnioskodawcy bez podstawy prawnej, podczas gdy prawidłowe zastosowanie ww. przepisów winno doprowadzić Sąd I instancji do ustalenia, że Bank przetwarza dane osobowe wnioskodawczyni prowadzącej działalność gospodarczą na podstawie ww. przepisów prawa materialnego; II. naruszenie przepisów postępowania, które mogło mieć wpływ na wynik sprawy, tj.: art. 134 § 1 p.p.s.a. w zw. z art. 151 p.p.s.a. w zw. z art. 8 § 2 k.p.a. poprzez wadliwe dokonanie oceny zaskarżonej decyzji i niedostrzeżenie, że wydając decyzję organ odstąpił od utrwalonej praktyki rozstrzygania spraw w takim samym stanie faktycznym i prawnym. Bank wniósł o uchylenie zaskarżonego wyroku w całości oraz uchylenie zaskarżonej decyzji, ewentualnie uchylenie zaskarżonego wyroku w całości i przekazanie sprawy do ponownego rozpoznania Sądowi I instancji. Ponadto Bank wystąpił o zwrot kosztów postępowania, w tym kosztów zastępstwa procesowego, według norm prawem przepisanych. W uzasadnieniu skargi kasacyjnej przedstawiona została argumentacja na poparcie sformułowanych zarzutów i wniosków. W odpowiedzi na skargę kasacyjną Prezes UODO wniósł o jej oddalenie. Pismem z dnia 17 listopada 2023 r. Biuro wniosło skargę kasacyjną od wyroku WSA w Warszawie z dnia 19 września 2023 r., zaskarżając go w części oddalającej skargę Biura. Biuro zaskarżonemu wyrokowi zarzuciło: I. naruszenie przepisów postępowania mające istotny wpływ na wynik sprawy, tj.: 1) art. 141 § 4 p.p.s.a. poprzez niedostateczne wyjaśnienie przez WSA w Warszawie w treści uzasadnienia podstaw prawnych rozstrzygnięcia, przejawiające się w szczególności brakiem przeanalizowania podstaw prawnych przetwarzania danych wnioskodawcy przez BIK oraz odniesienia się do wszystkich zarzutów sformułowanych przez Biuro w skardze na decyzję Prezesa UODO, co mieć istotny wpływ na wynik sprawy gdyż w konsekwencji doprowadziło do braku rozpoznania sprawy w całości oraz uniemożliwiło BIK zapoznanie się z powodami oddalenia skargi; 2) art. 151 p.p.s.a. w związku z art. 7, w zw. z art. 77 § 1, w zw. z art. 80 k.p.a. w zw. z art. 7 UODO, poprzez niezasadne oddalenie skargi, wskutek uznania przez WSA w Warszawie, że organ prawidłowo zebrał i ocenił zgromadzony w sprawie materiał dowodowy, w sytuacji gdy zaskarżona decyzja została wydana z naruszeniem ww. przepisów, wobec: – zaniechania dokonania wyczerpującej analizy charakteru, zakresu oraz celów gospodarczo-ekonomicznych dla jakich zostało powołane Biuro oraz obowiązków prawnych i obowiązków wynikających z zawartych przez BIK umów z bankami, skutkującą wadliwą i niepełną oceną stanu faktycznego sprawy oraz charakteru działania BIK jako administratora danych osobowych przetwarzanych w systemie BIK, co w konsekwencji skutkowało nieuzasadnionym wydaniem przez organ nakazu usunięcia danych osobowych wnioskodawcy z systemu BIK, – braku zbadania wszystkich podstaw prawnych dalszego przetwarzania danych o spłaconych (terminowo oraz nieterminowo) zobowiązaniach klientów banków, pomimo, iż przepisy prawa upoważniają BIK do przetwarzania tych danych, co doprowadziło do wadliwej i niepełnej oceny stanu faktycznego skutkującej wadliwą oceną w zakresie ustalenia podstaw prawnych legitymujących BIK do przetwarzania danych osobowych; – niedokonania wyczerpującej analizy stanu prawnego istotnego dla okoliczności sprawy, w szczególności, z uwagi na brak analizy celowościowej, systemowej i historycznej art. 105a Prawa bankowego poprzez ograniczenie się wyłącznie do językowej wykładni przepisu, poprowadzonej przez pryzmat definicji danych osobowych z art. 4 pkt 1 RODO – co w konsekwencji doprowadziło do błędnego przyjęcia przez WSA w Warszawie braku istnienia podstawy prawnej do przetwarzania danych, zatem braku legitymacji BIK do przetwarzania danych osobowych wnioskodawcy; II. naruszenie przepisów prawa materialnego, tj.: 1. art. 105a ust. 2 i 3 Prawa bankowego poprzez błędną wykładnię przepisów art. 105a ust. 2 i 3 Prawa bankowego i przyjęcie, że w zakresie podmiotowym użytego we wskazanym przepisie pojęcia "osób fizycznych", znajdują się osoby fizyczne prowadzące działalność gospodarczą, a w konsekwencji przyjęcie, że Bank miał obowiązek wypełnić przesłanki legalizujące przetwarzanie danych osobowych wskazane w przepisie art. 105a ust. 2 i 3 Prawa bankowego, aby legalnie przetwarzać dane wnioskodawcy (w tym udostępnić je BIK), podczas gdy z prawidłowej wykładni przepisu art. 105a ust. 2 i 3 Prawa bankowego wynika, że ma on zastosowanie wyłącznie do osób fizycznych – konsumentów; 2. art. 6 ust. 1 lit. c RODO w zw. z art. 105 ust. 1 pkt 1c w zw. z art. 105 ust. 4 i w zw. z art. 105a w zw. z art. 70 i art. 5 ust. 1 pkt 3 Prawa bankowego poprzez jego niezastosowanie i w konsekwencji nakazanie zaprzestania przetwarzania danych osobowych wnioskodawcy w systemie BIK w celu oceny zdolności kredytowej i analizy ryzyka kredytowego, podczas gdy BIK jako administrator danych przetwarzanych w systemie BIK jest ustawowo zobowiązany do realizacji obowiązku prawnego wynikającego z ww. przepisów polegającego na gromadzeniu, przetwarzaniu i udostępnianiu bankom oraz podmiotom szczegółowo wskazanym w przepisie informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych w postaci oceny zdolności kredytowej oraz analizy ryzyka kredytowego konkretnego klienta (indywidualna ocena zdolności kredytowej) oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 575/2013 z dnia 26 czerwca 2013 r. w sprawie wymogów ostrożnościowych dla instytucji kredytowych i firm inwestycyjnych, zmieniające rozporządzenie (UE) nr 648/2012; 3. art. 6 ust. 1 lit. e RODO poprzez jego niezastosowanie wskutek uznania, że BIK jako administrator danych przetwarzanych w systemie BIK nie posiada podstawy prawnej do przetwarzania danych wnioskodawcy w systemie BIK w celu oceny zdolności kredytowej oraz analizy ryzyka kredytowego, podczas gdy BIK posiada podstawę prawną przetwarzania z uwagi na niezbędność przetwarzania dla realizacji zadania w interesie publicznym przez banki i BIK w postaci zabezpieczenia ekonomiczno-gospodarczego sektora bankowego, w tym depozytariuszy i zapewnienia stabilności ekonomiczno-gospodarczej sektora bankowego, a w ujęciu makro zapobieganiu kryzysom gospodarczym. Biuro wniosło o uchylenie zaskarżonego wyroku w części dotyczącej oddalenia skargi BIK i przekazanie sprawy do ponownego rozpoznania WSA w Warszawie oraz zasądzenie od organu na rzecz Biura kosztów postępowania, w tym kosztów zastępstwa procesowego i opłaty skarbowej od pełnomocnictwa, według norm prawem przepisanych. W uzasadnieniu skargi kasacyjnej przedstawiona została argumentacja na poparcie sformułowanych zarzutów i wniosków. W odpowiedzi na skargę kasacyjną Prezes UODO wniósł o jej oddalenie. Bank poparł skargę kasacyjną Biura. Naczelny Sąd Administracyjny zważył, co następuje. Zgodnie z art. 183 § 1 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz. U. z 2026 r. poz. 143, dalej p.p.s.a.) Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, bierze jednak z urzędu pod rozwagę nieważność postępowania. W niniejszej sprawie nie występują, enumeratywnie wyliczone w art. 183 § 2 p.p.s.a., przesłanki nieważności postępowania sądowoadministracyjnego. Z tego względu, przy rozpoznaniu sprawy, Naczelny Sąd Administracyjny związany był granicami skargi kasacyjnej. Granice skargi kasacyjnej wyznaczają wskazane w niej podstawy. Zgodnie z art. 174 p.p.s.a. skargę kasacyjną można oprzeć na następujących podstawach: 1) naruszeniu prawa materialnego przez błędną jego wykładnię lub niewłaściwe zastosowanie, 2) naruszeniu przepisów postępowania, jeżeli uchybienie to mogło mieć istotny wpływ na wynik sprawy. Rozpoznawszy skargi kasacyjne z uwzględnieniem powyższych uwarunkowań, Naczelny Sąd Administracyjny stwierdził, że nie mają one usprawiedliwionych podstaw i tym samym podlegają oddaleniu. Skargi kasacyjne zostały oparte na obu podstawach kasacyjnych, podniesiono w nich bowiem zarzuty naruszenia prawa materialnego, jak i zarzuty naruszenia przepisów postępowania. W takiej sytuacji co do zasady w pierwszej kolejności rozpoznaniu podlegają zarzuty naruszenia przepisów postępowania. Uchybienia przepisom postępowania mogą być skutecznie podnoszone, jeśli jednocześnie strona skarżąca kasacyjnie wykaże, że mogły mieć one istotny wpływ na wynik sprawy. Odnosząc się w pierwszej kolejności do podniesionego skardze kasacyjnej BIK zarzutu naruszenia art. 141 § 4 p.p.s.a., zauważyć trzeba, że przepis ten traktuje o elementach uzasadnienia wyroku i stanowi, że uzasadnienie to powinno zawierać zwięzłe przedstawienie stanu sprawy, zarzutów podniesionych w skardze, stanowisk pozostałych stron, podstawę prawną rozstrzygnięcia oraz jej wyjaśnienie. Jeżeli w wyniku uwzględnienia skargi sprawa ma być ponownie rozpatrzona przez organ administracji, uzasadnienie powinno ponadto zawierać wskazania co do dalszego postępowania. Zarzut naruszenia art. 141 § 4 p.p.s.a. może być skutecznie postawiony w dwóch przypadkach: gdy uzasadnienie wyroku nie zawiera wszystkich elementów, wymienionych w tym przepisie, i gdy w ramach przedstawienia stanu sprawy wojewódzki sąd administracyjny nie wskaże, jaki i dlaczego stan faktyczny przyjął za podstawę orzekania. Naruszenie to musi być przy tym na tyle istotne, aby mogło mieć wpływ na wynik sprawy (art. 174 pkt 2 p.p.s.a.). Za pomocą odnośnego zarzutu nie można skutecznie zwalczać ustaleń sądu co do stanu faktycznego ani kwestionować stanowiska sądu co do wykładni bądź zastosowania prawa materialnego. W ramach rozpatrywania zarzutu naruszenia art. 141 § 4 p.p.s.a. Naczelny Sąd Administracyjny zobowiązany jest jedynie do kontroli zgodności uzasadnienia zaskarżonego wyroku z wymogami wynikającymi ze statuowanej tym przepisem normy prawnej. Wadliwość uzasadnienia orzeczenia może stanowić przedmiot skutecznego zarzutu kasacyjnego z art. 141 § 4 p.p.s.a. w sytuacji, gdy sporządzone jest ono w taki sposób, że niemożliwa jest kontrola instancyjna zaskarżonego wyroku (por. wyrok NSA z dnia 27 września 2024 r., III OSK 2850/22). W ocenie Naczelnego Sądu Administracyjnego uzasadnienie zaskarżonego wyroku spełnia wymogi określone w art. 141 § 4 p.p.s.a., wyjaśnia motywy podjętego przez Sąd I instancji rozstrzygnięcia i tym samym sprawia, że poddaje się ono kontroli instancyjnej. W szczególności Sąd I instancji wyjaśnił powody, dla których uznał – a w tym tkwi istota niniejszej sprawy – że przetwarzanie danych osobowych wnioskodawczyni nie ma umocowania w przepisach prawa i nie jest niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez Bank i BIK. "Fakt, że stanowisko zajęte przez sąd administracyjny I instancji jest odmienne od prezentowanego przez wnoszącego skargę kasacyjną nie oznacza, iż uzasadnienie zaskarżonego wyroku zawiera wady konstrukcyjne, nie poddaje się kontroli kasacyjnej, czy też, że jest wadliwe w stopniu uzasadniającym uchylenie wydanego w sprawie rozstrzygnięcia. Co więcej, również brak odniesienia się przez wojewódzki sąd administracyjny do niektórych zarzutów lub twierdzeń zawartych w skardze sam w sobie nie stanowi uchybienia skutkującego koniecznością uchylenia zaskarżonego wyroku, albowiem jest, czy też może nim być – to jest uchybieniem stanowiącym uzasadnioną podstawę uchylenia wyroku – pominięcie zarzutów i argumentów istotnych oraz – co istotne – wykazanie w skardze kasacyjnej takiego właśnie ich charakteru, a mianowicie, że należycie je oceniając oraz prawidłowo identyfikując z ich punktu widzenia istotę spornego w sprawie zagadnienia, sąd ten mógłby jednak inaczej orzec w sprawie" (wyrok NSA z dnia 17 grudnia 2025 r., II GSK 1073/22). Zarzut naruszenia art. 141 § 4 p.p.s.a. nie mógł zatem odnieść zamierzonego skutku. Niezasadny jest sformułowany w skardze kasacyjnej BIK zarzut naruszenia art. 151 p.p.s.a. w zw. z art. 7, w zw. z art. 77 § 1, w zw. z art. 80 k.p.a. w zw. z art. 7 UODO, zmierzający do zakwestionowania podstawy faktycznej rozstrzygnięcia organu i Sądu I instancji. Wbrew temu zarzutowi, materiał dowodowy jest kompletny, a wszystkie istotne elementy stanu faktycznego sprawy zostały ustalone prawidłowo. Zgromadzone dowody związane z przetwarzaniem danych wnioskodawczyni, w tym również wyjaśnienia administratorów danych, zostały poddane wszechstronnej i odpowiadającej prawu ocenie; wyjaśniano również wyczerpująco podstawy prawne działania organu. Podkreślić w tym miejscu wypada, że w postępowaniu sądowoadministracyjnym sąd nie ustala stanu faktycznego, lecz bada, czy w trakcie postępowania administracyjnego zostały ujawnione wszystkie okoliczności istotne dla wydania decyzji, czy były one uwzględnione przy wydaniu decyzji i w jaki sposób zostały ocenione przez organ. Sąd I instancji prawidłowo wywiązał się z tego obowiązku, dokonał poprawnej oceny zaskarżonej decyzji i słusznie przyjął ustalony przez organ stan faktyczny za odpowiadający wymogom prawa. Organ prowadząc postępowanie w niniejszej sprawie podjął wszelkie niezbędne kroki do dokładnego wyjaśnienia stanu faktycznego sprawy; zebrał i rozpatrzył cały materiał dowodowy, wskazując podstawy podjętego rozstrzygnięcia, a ocena ta nie narusza zasady swobodnej oceny dowodów. W ramach realizacji zasady prawdy obiektywnej, wynikającej z art. 7 k.p.a., organ jest obowiązany z urzędu stwierdzić, jakie dowody są niezbędne w danej sprawie oraz również z urzędu dowody te przeprowadzić. Jednakże obowiązek wyczerpującego zebrania i zbadania całego materiału dowodowego należy odnieść do zakresu wynikającego z materialnoprawnej podstawy rozstrzygnięcia. Innymi słowy, organ nie ma obowiązku ustalania faktów niemających znaczenia dla rozstrzygnięcia sprawy. Ponadto należy zwrócić uwagę na specyfikę unormowań RODO w zakresie wyjaśniania istotnych okoliczności sprawy. Zgodnie z art. 31 RODO, administrator i podmiot przetwarzający oraz – gdy ma to zastosowanie – ich przedstawiciele na żądanie współpracują z organem nadzorczym w ramach wykonywania przez niego swoich zadań. Z przepisem tym koresponduje treść art. 58 ust. 1 lit. a i e RODO, z których wynika, że do kompetencji organu nadzorczego w zakresie prowadzonych postępowań należy "nakazanie administratorowi i podmiotowi przetwarzającemu, a w stosownym przypadku przedstawicielowi administratora lub podmiotu przetwarzającego, dostarczenia wszelkich informacji potrzebnych organowi nadzorczemu do realizacji swoich zadań" oraz "uzyskiwanie od administratora i podmiotu przetwarzającego dostępu do wszelkich danych osobowych i wszelkich informacji niezbędnych organowi nadzorczemu do realizacji swoich zadań", a – zgodnie z art. 5 ust. 2 RODO i wynikającej z niego zasady "rozliczalności" – administrator jest odpowiedzialny za przestrzeganie przepisów art. 5 ust. 1 RODO i musi być w stanie wykazać ich przestrzeganie, w czym przede wszystkim mieści się obowiązek przetwarzania danych osobowych zgodnie z prawem. Na tle tych regulacji wystąpienie przez organ nadzorczy do administratorów danych osobowych o dostarczenie wszelkich informacji potrzebnych organowi nadzorczemu do realizacji swoich zadań – co miało miejsce w realiach niniejszej sprawy – i skoncentrowanie się na ocenie przedłożonych wyjaśnień i dokumentacji stanowi wypełnienie obowiązków organu nadzorczego wynikających z zasady prawdy obiektywnej (por. wyrok NSA z dnia 15 maja 2026 r., III OSK 2636/23). Mając to na uwadze, w ocenie Naczelnego Sądu Administracyjnego, wszystkie istotne z punktu widzenia podstawy materialnoprawnej rozstrzygnięcia fakty zostały prawidłowo ustalone i prawidłowo ocenione w postępowaniu wyjaśniającym. Po przeprowadzeniu analizy akt administracyjnych sprawy nie sposób przyjąć, że doszło do wadliwości w procesie ustalania stanu faktycznego sprawy. Omawiany zarzut nie mógł zatem odnieść zamierzonego skutku. Nie zasługiwał na uwzględnienie podniesiony w skardze kasacyjnej Banku zarzut naruszenia art. 134 § 1 p.p.s.a. w zw. z art. 151 p.p.s.a. w zw. z art. 8 § 2 k.p.a. "poprzez wadliwe dokonanie oceny zaskarżonej decyzji i niedostrzeżenie, że wydając decyzję organ odstąpił od utrwalonej praktyki rozstrzygania spraw w takim samym stanie faktycznym i prawnym". Art. 8 § 2 k.p.a. stanowi, że organy administracji publicznej bez uzasadnionej przyczyny nie odstępują od utrwalonej praktyki rozstrzygania spraw w takim samym stanie faktycznym i prawnym. "Przez utrwaloną praktykę należy rozumieć zgodne z prawem, akceptowane przez sądy, stabilne, jednolite, ustandaryzowane i wieloletnie oraz znane publicznie postępowanie organów administracji publicznej przy rozstrzyganiu spraw tego samego rodzaju w takich samych stanach faktycznych i prawnych" (wyrok NSA z dnia 5 marca 2014 r., I OSK 2195/22). Ani poczynione w toku postępowania administracyjnego ustalenia, ani twierdzenia skargi kasacyjnej nie wskazują na to, aby istniała utrwalona praktyka rozstrzygania spraw powstałych na gruncie takiego stanu faktycznego i prawnego, jaki ma miejsce w sprawie niniejszej. O istnieniu takiej praktyki w założeniu nie świadczy – abstrahując od tożsamości czy też podobieństwa wchodzących w rachubę uwarunkowań – jedna ani nawet kilka decyzji podjętych uprzednio przez organ, zwłaszcza gdy nie były one poddane kontroli sądowej. Gdy idzie o zarzuty naruszenia prawa materialnego, to na plan pierwszy wysuwa się – wspólny dla obu skarg kasacyjnych – zarzut naruszenia art. 105a ust. 2 i 3 Prawa bankowego przez błędną wykładnię. Zgodnie z art. 105a ust. 2 Prawa bankowego, z zastrzeżeniem ust. 3, instytucje, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową oraz informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, w zakresie dotyczącym osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59 ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, pod warunkiem uzyskania pisemnej zgody osoby, której informacje te dotyczą, z zastrzeżeniem ust. 2a. Zgoda ta może być w każdym czasie odwołana. Art. 105a ust. 3 Prawa bankowego stanowi natomiast, że banki, instytucje oraz podmioty, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową i informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank, inną instytucję ustawowo upoważnioną do udzielania kredytów, instytucję pożyczkową albo podmiot, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, o zamiarze przetwarzania dotyczących jej tych informacji, bez jej zgody. Istota sporu o wykładnię powołanych przepisów (t.j. art. 105a ust. 2 i 3 Prawa bankowego), na którą wskazują zarzuty skarg kasacyjnych, sprowadza się do tego, czy przez "osobę fizyczną" należy tu rozumieć tylko osobą fizyczną będącą konsumentem, czy też każdą osobę fizyczną, w tym osobę fizyczną prowadzącą działalność gospodarczą (przedsiębiorcę). Sąd I instancji opowiedział się za tym drugim rozwiązaniem i Naczelny Sąd Administracyjny pogląd ten podziela. "Powszechne jest stanowisko, że w państwach demokratycznych wykładnia językowa i znaczenie literalne powinny zajmować pozycję uprzywilejowaną w stosunku do wykładni systemowej i funkcjonalnej, a za pierwszeństwem wykładni językowej przemawiają zarówno argumenty analityczne (wykładnia prawa jest wykładnią tekstów prawnych), jak i argumenty polityczne, albowiem w państwie praworządnym obywatele mają prawo polegać na tym, co prawodawca w tekście prawnym powiedział, a nie na tym, co zamierzał powiedzieć lub co powiedziałby, gdyby znał nowe okoliczności" (W. Jakimowicz, Wykładnia w prawie administracyjnym, Warszawa 2006, s. 428). Od wyników wykładni językowej można odstąpić w sytuacjach w założeniu wyjątkowych – ilekroć w świetle powszechnie akceptowanych wartości jawią się one jako rażąco niesłuszne lub niesprawiedliwe, sprzeczne z wartościami konstytucyjnymi względnie wskazują na oczywisty błąd legislacyjny (por. W. Jakimowicz, tamże). Literalne brzmienie art. 105a ust. 2 i 3 Prawa bankowego nie pozostawia wątpliwości co do tego, że hipotezy (zakresy podmiotowe) statuowanych nimi norm obejmują wszystkie osoby fizyczne. Odnośne przepisy nie wprowadzają wyraźnie ani też w sposób możliwy do zidentyfikowania nie nawiązują do rozróżnienia osób fizycznych na te, które prowadzą działalność gospodarczą, i te, które takiej działalności nie prowadzą (przedsiębiorców i konsumentów). "Art. 105a Prawa bankowego odnosi się do przetwarzania objętych tajemnicą bankową danych osób fizycznych, lege non distinguente zarówno konsumentów, jak i przedsiębiorców" (L. Kociucki, w: B. Bajor, L. Kociucki, J. M. Kondek, K. Królikowska, Prawo bankowe – komentarz do przepisów cywilnoprawnych, Warszawa 2020, s. 984). W ocenie Naczelnego Sądu Administracyjnego wyniki wykładni językowej są jednoznaczne i zarazem nie występują żadne wyjątkowe okoliczności, które pozwalałyby je odrzucić. Chodzi przy tym o regulację, która ma zastosowanie w obliczu kolizji wartości – ochrony dóbr osobistych i danych osobowych z jednej strony i możliwości oceny zdolności kredytowej i analizy ryzyka kredytowego z drugiej strony. Nie ma podstaw, aby z powołaniem się tylko na tę drugą wartość kwestionować to, co wyraźnie wynika z literalnego brzmienia przepisu. W kontekście art. 105a Prawa bankowego w orzecznictwie Naczelnego Sądu Administracyjnego podkreśla się, że wszelkie regulacje znoszące ochronę danych osobowych "muszą być odczytywane i wykładane ściśle, z uwzględnieniem funkcji jakiej mają służyć" (zob. np. wyrok NSA z dnia 17 grudnia 2024 r., III OSK 7477/21). Niezależnie od powyższego, warto zauważyć, że przepisy art. 105a ust. 2 i 3 Prawa bankowego – w pierwotnym brzemieniu – traktowały o "osobach fizycznych (konsumentach)". Nadanie tym przepisom obecnego brzmienia, w którym nie ma już mowy o "konsumentach", jest zmianą nader sugestywną, której w procesie ich wykładni również nie sposób pomijać – przy czym przemawia ona za wykładnią przyjętą przez Sąd I instancji. W ocenie Naczelnego Sądu Administracyjnego, zaprezentowana w skargach kasacyjnych argumentacja, odwołująca się do wykładni historycznej i naprowadzająca na odmienne wyjaśnienie nowelizacji art. 105a Prawa bankowego, a także wskazująca na aspekty systemowe (art. 70 i 70a Prawa bankowego) – nie pozwala na podważenie wyników wykładni literalnej i funkcjonalnej. Zarzuty naruszenia art. 105a ust. 2 i 3 Prawa bankowego przez błędną wykładnię okazały się zatem niezasadne (por. analogiczną argumentację zaprezentowaną w wyroku NSA z dnia 25 kwietnia 2025 r., III OSK 7370/21). Zdaniem Naczelnego Sądu Administracyjnego, nie doszło również do naruszenia art. 5 i art. 6 ust. 1 lit. b i c RODO w zw. z art. 105 ust. 4 Prawa bankowego. Wbrew stanowisku Banku, powołującego się na te przepisy, nie mogły one stanowić podstawy do przetwarzania danych wnioskodawczyni. Art. 105 ust. 4 Prawa bankowego jest przepisem o charakterze ogólnym, który stanowi o możliwości utworzenia wspólnie z bankowymi izbami gospodarczymi, instytucji upoważnionych do gromadzenia, przetwarzania i udostępniania danych. Przepis ten nie daje jednak podstaw do nieograniczonego przetwarzania wszelkich danych osobowych przez utworzone instytucje. Zasady przetwarzania danych objętych tajemnicą bankową określa art. 105a Prawa bankowego i na gruncie tego przepisu należy oceniać dopuszczalność przetwarzania poszczególnych danych osobowych w określonych ściśle celach. Skoro w niniejszej sprawie ma zastosowanie art. 105a ust. 2 i 3 Prawa bankowego (a o tym była mowa wyżej), to art. 105 ust. 4 Prawa bankowego w związku z odnośnymi przepisami RODO nie mógł stanowić samoistnej przesłanki legalizującej przetwarzanie danych (por. powołany wyżej wyrok NSA z dnia 25 kwietnia 2025 r., III OSK 7370/21). Odnosząc się do zarzutów skargi kasacyjnej Biura, w których wskazano na "niezastosowanie" określonych przepisów prawa materialnego (art. 6 ust. 1 lit. c RODO w zw. z art. 105 ust. 1 pkt 1c w zw. z art. 105 ust. 4 i w zw. z art. 105a w zw. z art. 70 i art. 5 ust. 1 pkt 3 Prawa bankowego; art. 6 ust. 1 lit. e RODO), zauważyć należy, że w orzecznictwie Naczelnego Sądu Administracyjnego prezentowane jest stanowisko, zgodnie z którym nie jest dopuszczalne w świetle brzmienia art. 174 p.p.s.a. formułowanie zarzutu skargi kasacyjnej jako naruszenie przepisu prawa "poprzez jego niezastosowanie" czy "pominięcie". Zgodnie jednak z dominującym poglądem w ramach pierwszej podstawy kasacyjnej możliwe jest również kwestionowanie niezastosowania określonego przepisu prawa, z tym jednak zastrzeżeniem, że jeżeli strona skarżąca kasacyjnie podnosi, że Sąd rozpoznający sprawę zastosował nie ten przepis prawa materialnego, który powinien być zastosowany, to powinna wskazać przepis właściwy jako podstawę materialną rozstrzygnięcia i uzasadnić, dlaczego ten właśnie przepis powinien lec u podstaw kwestionowanego rozstrzygnięcia, tj. dlaczego powinien być zastosowany. Zarzut niewłaściwego zastosowania prawa materialnego w postaci pozytywnej, czyli zarzucenia zastosowania normy prawnej, która nie powinna być w danej sprawie zastosowana, a także w postaci negatywnej, czyli zarzucenia niezastosowania normy prawnej, która w ocenie wnoszącego skargę kasacyjną powinna być zastosowana, wymaga należytej precyzji w jego konstruowaniu w konkretnej sprawie. Niezastosowany przez sąd w procesie kontroli przepis prawa materialnego może stanowić podstawę skargi kasacyjnej, jeżeli w konkretnym stanie faktycznym istniały podstawy do dokonania subsumcji, a sąd nie dostrzegając właściwej podstawy oparł swoje rozstrzygnięcie na podstawie niewłaściwej. Należy zatem stwierdzić, że wskazanie przez stronę skarżącą kasacyjnie na "niezastosowanie" odnośnych przepisów nie dyskwalifikowałoby omawianych zarzutów skargi kasacyjnej jedynie wtedy, gdyby jednocześnie przywołała ona przepis lub przepisy, które zostały wadliwie zastosowane zamiast przepisów przez nią wskazywanych wraz z podaniem uzasadnienia tego stanowiska. Jednak wymogu tego skarga kasacyjna Biura nie spełnia, co czyni podnoszone zarzuty "niezastosowania" przepisów prawa materialnego nieskutecznymi (por. powołany wyżej wyrok NSA z dnia 15 maja 2026 r., III OSK 2636/23, oraz wskazane tam orzecznictwo i piśmiennictwo). Na marginesie warto też zauważyć, że w odnośnych zarzutach część przepisów została powołana w sposób nieprecyzyjny – bez wskazania konkretnej jednostki redakcyjnej (dotyczy to, przykładowo, art. 105a i art. 70 Prawa bankowego). Niezależnie od powyższego, stwierdzić należy, że w powołanych przez Biuro przepisach nie sposób upatrywać normy mogącej w okolicznościach niniejszej sprawy (do których należy przede wszystkim wygaśnięcie zobowiązania wynikającego z umowy zawartej z bankiem) legalizować przetwarzanie danych osobowych – co jednoznacznie wynika z poczynionych już rozważań. W okolicznościach niniejszej sprawy mają zastosowanie przepisy art. 105a ust. 2 i 3 Prawa bankowego – a przesłanki, od których uzależniają one dopuszczalność przetwarzania danych osobowych, nie zostały spełnione. Dodatkowo warto wskazać, że zgodnie z art. 6 ust. 1 lit. c RODO, przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy – i w takim zakresie, w jakim – spełniony jest co najmniej m.in. warunek, zgodnie z którym "przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze". Ochrona osób fizycznych w związku z przetwarzaniem ich danych osobowych gwarantowana przez RODO jest wyrazem ochrony prawnej na poziomie konstytucyjnym jednego z istotnych aspektów prawa do prywatności, bowiem z art. 51 ust. 1 Konstytucji RP wynika, że "Nikt nie może być obowiązany inaczej niż na podstawie ustawy do ujawniania informacji dotyczących jego osoby". Wykładnia przesłanek umożliwiających konieczne ze względu na inne wartości osłabienie tej ochrony powinna być ścisła. Jeśli pod pojęciem obowiązku prawnego rozumie się rodzaj zachowania, które norma prawna nakazuje lub zakazuje zrealizować swojemu adresatowi, to obowiązek prawny ciążący na administratorze powinien znajdować podstawę prawną w wyraźnie skierowanym do niego w akcie rangi ustawowej nakazie lub zakazie określonego zachowania. Ograniczenia w zakresie korzystania z konstytucyjnych wolności i praw mogą być ustanawiane tylko w ustawie i tylko wtedy, gdy są konieczne w demokratycznym państwie dla jego bezpieczeństwa lub porządku publicznego, bądź dla ochrony środowiska, zdrowia i moralności publicznej, albo wolności i praw innych osób. Ograniczenia te nie mogą naruszać istoty wolności i praw (art. 31 ust. 3 Konstytucji). Obowiązek prawny, o jakim mowa w art. 6 ust. 1 lit. c RODO, musi mieć podstawę w akcie rangi ustawy. Niezasadne są argumenty Biura nawiązujące do Rozporządzenia Parlamentu Europejskiego i rady nr 575/2013 z dnia 26 czerwca 2013 r. w sprawie wymogów ostrożnościowych dla instytucji kredytowych i firm inwestycyjnych, zmieniające rozporządzenie (UE) nr 648/2012. Przedmiotem oceny organu, a następnie Sądu I instancji była zgodność z prawem przetwarzania danych osobowych w świetle uprawnień przyznanych skarżącym kasacyjnie przez ustawę – Prawo bankowe, a nie sposobu funkcjonowania mechanizmów kredytowych i ustalania, jakie dane są potrzebne Bankowi i BIK dla zapewnienia prawidłowego działania tych mechanizmów. Instrumenty służące dokonaniu oceny ryzyka kredytowego przez banki muszą być stosowane z poszanowaniem przepisów prawa normujących uprawnienie banków do przetwarzania danych osobowych potencjalnych klientów przy uwzględnieniu generalnych zasad przetwarzania danych osobowych (art. 5 ust. 1 i ust. 2 RODO). W okolicznościach niniejszej sprawy nie można też uznać, aby Biuro realizowało zadania w interesie publicznym lub działało w ramach sprawowania władzy publicznej, do których to przesłanek odwołuje się art. 6 ust. 3 RODO (por. wyrok NSA z dnia 17 lipca 2026 r., III OSK 3176/23). Z tych przyczyn Naczelny Sąd Administracyjny, na podstawie art. 184 p.p.s.a., oddalił skargi kasacyjne jako pozbawione usprawiedliwionych podstaw. O kosztach postępowania kasacyjnego orzeczono na podstawie art. 204 pkt 1 p.p.s.a.