III OSK 2636/22

Naczelny Sąd Administracyjny w składzie: Przewodniczący sędzia NSA Sławomir Wojciechowski Sędziowie: sędzia NSA Mirosław Wincenciak sędzia del. WSA Hanna Knysiak-Sudyka (spr.) Protokolant starszy asystent sędziego Dawid Piaskowski po rozpoznaniu w dniu 13 listopada 2025 r. na rozprawie w Izbie Ogólnoadministracyjnej skargi kasacyjnej Prezesa Urzędu Ochrony Danych Osobowych od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 27 lipca 2022 r., sygn. akt II SA/Wa 3709/21 w sprawie ze skargi B. S.A. z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 20 sierpnia 2021 r., nr ZSPR.440.367.2019.FT.MI.135992, 135993 w przedmiocie nakazu usunięcia danych osobowych 1. uchyla zaskarżony wyrok i oddala skargę; 2. zasądza od B. S.A. z siedzibą w [...] na rzecz Prezesa Urzędu Ochrony Danych Osobowych kwotę 460 (czterysta sześćdziesiąt) złotych tytułem zwrotu kosztów postępowania kasacyjnego.

Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 27 lipca 2022 r., sygn. akt II SA/Wa 3709/21, po rozpoznaniu sprawy ze skargi B. S.A. z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 20 sierpnia 2021 r., nr ZSPR.440.367.2019.FT.MI.135992,135993 w przedmiocie nakazu usunięcia danych osobowych: uchylił zaskarżoną decyzję (pkt 1), zasądził od Prezesa Urzędu Ochrony Danych Osobowych na rzecz B. S.A. z siedzibą w [...] kwotę 697 zł tytułem zwrotu kosztów postępowania (pkt 2). Wyrok zapadł w następującym stanie faktycznym i prawnym sprawy. M.K. (dalej: "wnioskodawca"), wystąpił do Prezesa Urzędu Ochrony Danych Osobowych (dalej: "organ" lub "PUODO") ze skargą na nieprawidłowości w procesie przetwarzania jego danych osobowych przez B. S.A. z siedzibą w [...] (dalej: "skarżący" lub "B. S.A."), polegające na przetwarzaniu danych osobowych bez podstawy prawnej w zakresie zapytań kredytowych. W skardze wnioskodawca wskazał, że pismem z dnia 6 listopada 2018 r. zwrócił się do B. S.A. o zaprzestanie przetwarzania jego danych osobowych w związku z cyt.: "(...) zapytaniami instytucji kredytowych (...), które w rezultacie nie udzieliły mi kredytu lub też pożyczki (...)". Wobec powyższego wnioskodawca zwrócił się z żądaniem zaprzestania przetwarzania jego danych osobowych w B. S.A. w zakresie zapytań kredytowych. W odpowiedzi B. S.A. odmówił jego realizacji. Prezes Urzędu Ochrony Danych Osobowych decyzją z dnia 20 sierpnia 2021 r., nr ZSPR.440.367.2019.FT.MI.135992,135993, przywołując art. 6 ust. 1 oraz art. 58 ust. 2 lit. c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.Urz. UE L. nr 119. str. 1, ze zm.; dalej: "RODO"), uznał zasadność skargi M.K. na nieprawidłowości w procesie przetwarzania jego danych osobowych przez B. S.A., polegające na czynieniu tego bez podstawy prawnej w zakresie zapytań kredytowych, nakazując B. S.A. usunięcie danych osobowych wnioskodawcy w zakresie zapytań kredytowych, które nie zakończyły się zawarciem umów. Uzasadniając swoje stanowisko organ w wskazał, że toku prowadzonego postępowania B. S.A. w piśmie z dnia 10 maja 2019 r. złożyło wyjaśnienia, iż pozyskało dane osobowe M.K. od banków oraz firm pożyczkowych na podstawie art. 105 ust. 4 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (t.j. Dz.U. z 2020 r. poz. 1896 ze zm.; dalej: "u.P.b.") oraz na podstawie umów łączących B. S.A. z ww. podmiotami. Dane osobowe wnioskodawcy są przetwarzane przez B. S.A. w bazie o nazwie "Kredytobiorca" w zakresie 15 rachunków przekazanych przez banki i firmy pożyczkowe (12 rachunków przetwarzanych jest na podstawie art. 105a ust. 1 i art. 105a ust. 2 u.P.b. w celu oceny zdolności kredytowej i analizy ryzyka kredytowego, 3 rachunki przetwarzane są przez B. na podstawie art. 105a ust. 4 i 5 u.P.b. w celu stosowania metod wewnętrznych oraz innych metod i modeli), 35 zapytań kredytowych złożonych przez banki i firmy pożyczkowe (7 nowych zapytań złożonych przez firmy pożyczkowe po dacie wycofania przez skarżącego zgody na przetwarzanie danych o zapytaniach, 28 zapytań złożonych przez banki), 12 zapytań zarządzanie klientem złożonych przez banki. B. S.A. wskazało, iż usunęło 7 zapytań przekazanych przez firmy pożyczkowe. B. S.A. potwierdziło, że M.M. zwracał się do niego pismami z dnia 6 listopada 2018 r. oraz 27 grudnia 2018 r., na które B. S.A. udzieliło odpowiedzi, wskazując na brak podstaw prawnych do usunięcia zapytań przekazanych przez banki. Pismem z dnia 9 stycznia 2019 r. B. S.A poinformowało wnioskodawcę o braku możliwości odznaczenia w systemie jego sprzeciwu w zakresie przetwarzania danych o przyszłych zapytaniach. Zgodnie z wyjaśnieniami B. S.A., dane z zapytań przekazanych przez firmy pożyczkowe są przetwarzane na podstawie zgody, której klient udziela firmie pożyczkowej przed przekazaniem jego danych do B. S.A., a po odwołaniu tej zgody B. S.A. zobowiązane jest do realizacji dyspozycji klienta odnośnie usunięcia danych osobowych z zapytań. Dane pochodzące z zapytań kredytowych przekazywanych przez banki przetwarzane są w B. S.A. przez okres 12 miesięcy od dnia złożenia zapytania w celu oceny zdolności kredytowej i analizy ryzyka kredytowego w oparciu o art. 105 ust. 4 u.P.b., gdyż dane te są przetwarzane w związku z wykonywaniem czynności bankowych przez banki. B. S.A. przetwarza te dane również dla celów statystycznych, w tym do stosowania metod wewnętrznych oraz innych metod i modeli na podstawie art. 105a ust. 4 i 5 u.P.b. Dane te nie są udostępniane bankom dla celów oceny zdolności kredytowej i analizy ryzyka kredytowego, a wyłącznie osobom, których dotyczą. Organ wskazał, że w piśmie z dnia 21 czerwca 2019 r. B. S.A. wyjaśnił, że cyt.: "Należy (...) zaznaczyć, że ocena zdolności kredytowej i analiza ryzyka kredytowego to faktycznie dwa odrębne cele ale ściśle ze sobą powiązane przede wszystkim z uwagi na wykorzystywanie dla ich realizacji modeli scoringowych opartych na tych samych zakresach danych (...). B. buduje modele scoringowe zgodnie z wymogami spójności (art. 292 CRR) i w związku z tym modele te zawierają takie same dane - niezależnie od tego czy służą indywidualnej ocenie zdolności kredytowej, czy ryzyka banku w skali makro". Organ przypomniał, że wnioskodawca wystąpił do banków oraz instytucji kredytowych z wnioskami o udzielenie kredytu, wobec czego B. S.A., na podstawie art. 105a ust. 1 u.P.b. w zw. z art. 70 ust. 1 tej ustawy, było uprawnione do przetwarzania danych osobowych M.M. w celu oceny zdolności kredytowej. Organ zaznaczył jednak, że nie doszło do zawarcia umowy kredytów pomiędzy wnioskodawcą, a bankami oraz instytucjami pożyczkowymi. W związku z powyższym odpadła przesłanka legalizująca dalsze przetwarzanie danych osobowych wnioskodawcy przez B. S.A. Przesłanki zawarte w art. 105a u.P.b. dotyczą bowiem przetwarzania informacji objętych tajemnicą bankową w okresie przed powstaniem zobowiązania, w trakcie jego trwania oraz po wygaśnięciu zobowiązania. Pomiędzy jakimkolwiek bankiem a wnioskodawcą nie zawiązał się żaden stosunek zobowiązaniowy, który stosownie do art. 105a ust. 1-6 u.P.b. dawałby podstawę do dalszego przetwarzania jego danych osobowych. Podkreślenia również wymaga, że celem przetwarzania danych osobowych wnioskodawcy była ocena zdolności kredytowej i analizy ryzyka kredytowego. Prezes UODO wskazał, że powyższe stanowisko organu znajduje oparcie w wyroku Naczelnego Sądu Administracyjnego z dnia 27 sierpnia 2019 r., sygn. akt I OSK 2567/17, zgodnie z którym "cel oceny zdolności kredytowej stanowi ocena zdolności do spłaty zaciągniętego kredytu wraz z odsetkami, co ma charakter czynności wstępnej do zawarcia stosownej umowy. Dalsze przetwarzanie danych uzyskanych w celu oceny zdolności kredytowej, w przypadku nie zawarcia stosownej umowy pozostawałaby w oderwaniu od celu dla którego dane te uzyskano. (...) niedopuszczalne jest przetwarzanie danych osobowych na przyszłość, a także na potrzeby budowy oceny zdolności kredytowej innych podmiotów, jeżeli nie można zrekonstruować wyraźnej podstawy prawnej takich działań.". Ponadto Prezes UODO podzielił pogląd WSA w Warszawie wyrażony w wyroku z dnia 12 lipca 2017 r. (sygn. II SA/Wa 2221/16), zgodnie z którym odwoływanie się do konieczności przetwarzania danych osobowych wnioskodawcy w zakresie pytań kredytowych po dokonaniu weryfikacji zdolności kredytowej dla potrzeb tworzenia modeli scoringowych jest nieuprawnione. Sąd wskazał, że scoring kredytowy to metoda oceny wiarygodności podmiotu - zwykle osoby fizycznej lub przedsiębiorstwa - ubiegającego się o kredyt bankowy. Polega on na określeniu wiarygodności kredytowej klienta na podstawie porównania jego profilu z profilem klientów, którzy już otrzymali kredyty i je spłacają. W niniejszej sprawie wnioskodawca po złożeniu zapytań kredytowych nie zawarł umowy kredytowej z poszczególnymi bankami, a tym samym nie spłacał zaciągniętego kredytu, zatem jego dane zawarte w zapytaniu kredytowym (określające profil klienta) są nieprzydatne do tworzenia modeli scoringowych. Zdaniem Prezesa UODO, wobec braku właściwej umowy łączącej M.M. z poszczególnymi bankami, przesłanki z art. 105 i 105a u.P.b. nie mają w tym przypadku zastosowania, a zatem zasadnym jest nakazanie zaprzestania przetwarzania jego danych osobowych przez B. S.A. w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Wobec powyższego w ocenie organu B. S.A. bezpodstawnie, tj. po wygaśnięciu stosownego upoważnienia, nadal przetwarza dane osobowe wnioskodawcy w zakresie jego danych osobowych widniejących w informacji. Reasumując, o ile zdaniem organu samo pozyskanie danych osobowych M.M. przez banki i instytucje finansowe udzielające kredytów, a następnie udostępnienie ich do B.S.A. spełnia warunki legalnego przetwarzania danych osobowych, to jednak już przetwarzanie tych danych w B.S.A. po dokonaniu weryfikacji zdolności kredytowej, nie ma podstaw prawnych, w tym narusza art. 6. ust. 1 lit. f RODO. W ocenie organu za podstawę przetwarzania danych osobowych wnioskodawcy – który nie zawarł umowy na usługi finansowe - nie mogą być również uznane wskazane przez B. S.A. cele statystyczne i analizy, w tym cel stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013. Na powyższe rozstrzygnięcie B. S.A. złożyło skargę do Wojewódzkiego Sądu Administracyjnego w Warszawie, który w przywołanym powyżej wyroku z 27 lipca 2022 r., w oparciu o art. 145 § 1 pkt 1 lit. a i b ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz.U. z 2022 r., poz. 329 ze zm.; dalej: "p.p.s.a."), uwzględnił ją, uchylając zaskarżoną decyzję (pkt 1) oraz zasądzając na rzecz skarżącego od organu zwrot kosztów postępowania (pkt 2). W ocenie Sądu pierwszej instancji skarga zasługiwała na uwzględnienie, bowiem zaskarżoną decyzję wydano z naruszeniem przepisów prawa procesowego co do nakazu precyzyjnego konstruowania treści orzeczenia - aby po stronie obowiązanego podmiotu nie istniały wątpliwości dotyczące zakresu wynikających z danego aktu powinności (art. 107 § 1 pkt 3 wobec art. 104 § 2 k.p.a.). Jeżeli natomiast przyjąć, że z treści decyzji wynika dla B. S.A. obowiązek usunięcia wszelkich danych osobowych wnioskodawcy, wobec konkretnego zapytania - co oznaczałoby w praktyce konieczność usunięcia danych o zdarzeniu identyfikowanym osobą wnioskodawcy - wydając tego rodzaju rozstrzygnięcie naruszono by przepisy prawa materialnego, zakreślające możliwość przetwarzania danych osobowych wobec prawnie uzasadnionych interesów administratorów (B. S.A.) oraz regulacje statuujące właściwość organu, wyspecjalizowanego w sprawach ochrony danych osobowych – w zakresie stosowania przezeń przepisów naprawczych. W pewnych aspektach sprawy też prawidłowo nie wyjaśniono, co stanowi o naruszeniu stosownych przepisów postępowania. Zdaniem Sądu pierwszej instancji osnowa skarżonego aktu jest nieprecyzyjna. Wynika zeń wyłącznie, wobec jakich zdarzeń mają zostać usunięte dane wnioskodawcy (tu zapytania kredytowe, gdy nie zawarto umowy kredytu). Nie wskazano zaś dokładnie, w jakim zakresie - przy przetwarzaniu, do jakich celów. W ocenie Sądu pierwszej instancji ma to z kolei kluczowe znaczenie w sprawie, wobec trafnie powołanych w skardze uwarunkowań formalno-prawnych przetwarzania przez B. S.A. danych osobowych, związanych z zapytaniami kredytowymi. Sąd podkreślił, że jeżeli nakaz wynikający z decyzji należy rozumieć jako powinność usunięcia wszelkich danych osobowych wnioskodawcy wobec konkretnego rodzaju zapytań, z wszelkich baz danych administratora, oznaczałoby to brak po jego stronie jakiejkolwiek dokumentacji danych zdarzeń, które choćby dla zarchiwizowania musi być wszak oznaczone - powiązane - z konkretną osobą. Intencję, aby taki był skutek decyzji, można odczytywać także wobec treści uzasadnienia zaskarżonej decyzji, choć jednocześnie - w pewnym jego fragmencie - wskazano także, że "zasadnym jest nakazanie zaprzestania przetwarzania danych osobowych skarżącego przez B. S.A. w celu oceny zdolności kredytowej i analizy ryzyka kredytowego". Może więc chodzić także o usunięcie danych przetwarzanych (w tym udostępnianych) do konkretnego celu. Zakresu obowiązku usunięcia danych w decyzji jednoznacznie więc nie sprecyzowano. Może z niej jednak wywodzić też powinność usunięcia wszelkich danych identyfikujących osobę wnioskodawcy, jako klienta występującego o kredyty, wobec czego kierowano do B. S.A. pytania. W takiej sytuacji zdaniem WSA w Warszawie trafne są zarzuty skargi, w których podniesiono, że uzasadniony interes administratora przemawiał za dalszym przetwarzaniem danych osobowych wnioskodawcy, będących niejako niezbędnym znacznikiem identyfikującym zdarzenie - kierowania konkretnych zapytań kredytowych przez banki oraz inne instytucje finansowe i ewentualnego udzielenia nań odpowiedzi przez skarżącego. Nie budzi wątpliwości trafność wywodów skarżącego, w których wskazano, że informacje o określonym zdarzeniu mogą mieć istotne znaczenie zarówno w kontekście obowiązku informacyjnego, zakreślonego art. 70a u.P.b., jak i wobec ewentualnych roszczeń, z którymi względem skarżącego, jak i obsługiwanych przez nie banków i innych instytucji finansowych mogą występować ich niedoszli klienci, w związku z domniemanymi nieprawidłowościami (np. błędne informacje z B. S.A. lub od banków i innych instytucji finansowych), w kontekście rozpatrywania ich wniosków kredytowych oraz ewentualnie negatywnymi ich następstwami z perspektywy interesów klientów. Roszczenia mogą dotyczyć także domniemanych nieprawidłowości w zakresie przetwarzania danych osobowych wnioskujących o kredyt - na etapie procedury rozpoznawania ich wniosków – a wiec także obsługi konkretnych zapytań przez B. S.A. Wobec tego nie do zaakceptowania jest przyjęta przez organ wąska wykładnia reguł u.P.b., w szczególności sposobu rozumienia przezeń znaczenia regulacji art. 105a tego aktu jako przepisu generalnie wykluczającego przetwarzanie danych osobowych osób, z którymi banki nie były związane umową. Nie sposób przyjąć, aby przepis ten - gdzie wymieniono szereg szczegółowych przypadków przetwarzania danych osobowych klientów przez banki i inne instytucje finansowe - miał być rozumiany jako lex specialis – regulacja wyłączająca uprawnienia, wynikające z ogólnych reguł wyrażonych w ustawie z dnia 23 kwietnia 1964 r. Kodeks cywilny (t.j. Dz. U. z 2022 r., poz. 1360; dalej: "k.c.") w kwestii przedawnienia roszczeń bądź je modyfikująca. Sąd pierwszej instancji zgodził się ze stanowiskiem skarżącego, że uznanie, jakoby – wobec nie zawarcia umowy kredytu – jego obowiązkiem było usunięcie danych niedoszłego klienta, wyłączałoby w istocie możliwość ochrony przed jego roszczeniami jeszcze przed ich przedawnieniem. Mogłoby też prowadzić do istotnego ograniczenia praw samych klientów banków i innych instytucji finansowych – np. wobec braku stosownej dokumentacji po stronie wyspecjalizowanych podmiotów rynku finansowego, której cześć gromadzi B. S.A., jako instytucja wobec nich służebna. Inaczej mówiąc, prezentowane przez organ rozumienie przepisów, określających ramy przetwarzania danych osobowych niedoszłych klientów banków i innych instytucji finansowych, gdy nie zawarto umów, pozbawiałby obie strony praw, wynikających wprost z generalnych reguł prawa materialnego - k.c. Miałoby to wpływ na realia obrotu gospodarczego. Intencji wprowadzenia tak głębokiej modyfikacji w relacje między niedoszłymi kontrahentami - w kontekście sektora bankowego - nie sposób przypisać prawodawcy, wobec aktualnego brzmienia regulacji w danym zakresie. Musiałby ją wyrazić wprost. Konkludując Sąd pierwszej instancji wskazał, że już samo nieprecyzyjne sformułowanie sentencji decyzji, uniemożliwiające jednoznaczne określenie zakresu nałożonych obowiązków - skutkuje potrzebą wyeliminowania danego aktu z obrotu prawnego. Z kolei gdyby uznać, że intencją organu było wyłącznie nakazanie usunięcia danych osobowych wnioskodawcy, jako dostępnych wobec zapytań - w ramach bieżącej oceny zdolności kredytowej czy ryzyka kredytowego wnioskodawcy na potrzeby operacji bieżących banków bądź innych instytucji finansowych – ocena takiego rozstrzygnięcia także byłaby przedwczesna. Z uzasadnienia skarżonego aktu nie wynika bowiem, jakie ustalenia w danym zakresie poczynił organ. Czy mianowicie dane osobowe M.M. w związku z zapytaniami kredytowymi były nadal przetwarzane w danym celu na dzień orzekania w sprawie. W uzasadnieniu przywołano wyłącznie wyjaśnienia skarżącego, nie odnosząc się w istocie do nich. Jeżeli dane o zapytaniach były nadal w istocie przetwarzane, nie wypowiedziano się stosownie wyczerpująco, czy przetwarzanie przez określony czas danych o zapytaniach (a więc także osobowych wnioskodawcy) – dla celu oceny ryzyka kredytowego oraz zdolności kredytowej konkretnej osoby - pomimo nie zawarcia umowy, nie jest powinnością B. S.A. wobec wymagań reguł ostrożnościowych, stanowionych na szczeblu prawodawstwa Unii Europejskiej - CRR. Z treści uzasadnienia nie wynika w szczególności, aby organ czynił stosowne ustalenie w danym zakresie, odnosząc wynikające powinności (nie opisano ich zakresu) do uwarunkowań rozpoznawanej sprawy. Zdaniem Sądu pierwszej instancji nie może być tu wystarczające samo powołanie reguły normatywnej art. 105a u.P.b. Nie mogłaby ona ograniczać wymagań, wynikających wprost i jednoznacznie z aktu ustanowionego na szczeblu Unii Europejskiej. W takim przypadku organ obowiązany byłby zastosować przepisy CRR wprost. Sąd pierwszej instancji stanął zatem na stanowisku, że w danym zakresie nie można uznać sprawy za właściwie wyjaśnioną, co czyni zasadnym zarzuty naruszenia art. 7, 77 § 1 i art. 80 k.p.a., a w konsekwencji przemawia za koniecznością uchylenia zaskarżonej decyzji. Od powyższego wyroku Prezes UODO wywiódł skargę kasacyjną do Naczelnego Sądu Administracyjnego, zarzucając orzeczeniu naruszenie: 1) przepisu postępowania mające istotny wpływ na wynik sprawy art. 145 § 1 pkt 1 lit. b p.p.s.a., poprzez jego błędne zastosowanie, gdyż w uzasadnieniu zaskarżonego wyroku Wojewódzki Sąd Administracyjny w Warszawie nie wskazał jakiegokolwiek naruszenia prawa dającego podstawę do wznowienia postępowania administracyjnego; 2) przepisów postępowania mające istotny wpływ na wynik sprawy art. 145 § 1 pkt 1 lit. c p.p.s.a. w zw. z art. 7, 77 § 1 oraz art. 107 § 3 k.p.a., poprzez niezastosowanie art. 145 § 1 pkt 1 lit. c p.p.s.a. przy jednoczesnym niezasadnym uznaniu, że Prezes UODO wydając uchyloną decyzję naruszył ww. przepisy postępowania i nie wyjaśnił sprawy w sposób właściwy, co w konsekwencji doprowadziło do uchylenia zaskarżonej decyzji w oparciu o błędną podstawę prawną, t.j. art. 145 § 1 pkt 1 lit. b p.p.s.a. zamiast art. 145 § 1 pkt 1 lit. c p.p.s.a.; 3) przepisów postępowania mające istotny wpływ na wynik sprawy art. 145 § 1 pkt 1 lit. c p.p.s.a. w zw. z art. 107 § 1 pkt 5 k.p.a., poprzez niezastosowanie art. 145 § 1 pkt 1 lit. c p.p.s.a. przy jednoczesnym niezasadnym uznaniu, że rozstrzygnięcie zawarte w sentencji uchylonej decyzji Prezesa UODO było nieprecyzyjne, podczas gdy sentencja decyzji została skonstruowana w sposób prawidłowy i niebudzący wątpliwości, co w konsekwencji doprowadziło do uchylenia zaskarżonej decyzji w oparciu o błędną podstawę prawną tj. art. 145 § 1 pkt 1 lit. b p.p.s.a. zamiast art. 145 § 1 pkt 1 lit. c p.p.s.a.; 4) przepisu prawa materialnego art. 70a ust. 1 u.P.b., poprzez jego błędną wykładnię polegającą na przyjęciu, że przesądza on o istnieniu prawnego interesu administratora jako podstawy przetwarzania danych osobowych, o której mowa w art. 6 ust. 1 lit. f RODO, co miało istotne znaczenie dla wydania zaskarżonego wyroku; 5) przepisu prawa materialnego art. 6 ust. 1 lit. f RODO, polegające na jego nieprawidłowej wykładni, poprzez uznanie, że przetwarzanie danych osobowych na wypadek ewentualnych, przyszłych i niepewnych roszczeń stanowi prawnie uzasadniony interes administratora, o ile przetwarzanie to odbywa się w terminach przedawnienia roszczeń uregulowanych w ustawie z dnia 23 kwietnia 1964 r. Kodeks cywilny (t.j. Dz.U. z 2022 r., poz. 1360). Wobec powyższych zarzutów skarżący kasacyjnie wniósł na podstawie art. 188 p.p.s.a. o uchylenie w całości zaskarżonego wyroku WSA w Warszawie i oddalenie skargi w przypadku uznania, że istota sprawy jest dostatecznie wyjaśniona, ewentualnie na podstawie art. 185 § 1 p.p.s.a. o uchylenie w całości zaskarżonego wyroku i przekazanie sprawy do ponownego rozpoznania Sądowi pierwszej instancji. Jednocześnie skarżący kasacyjnie wniósł o zasądzenie kosztów postępowania, w tym kosztów zastępstwa procesowego, na rzecz organu według norm przepisanych oraz rozpoznanie sprawy na rozprawie. Powyższe zarzuty rozwinięto w uzasadnieniu skargi kasacyjnej. W odpowiedzi na skargę kasacyjną skarżący wniósł o jej oddalenie oraz zasądzenie od organu na jego rzecz zwrotu kosztów postępowania, w tym kosztów zastępstwa procesowego, według norm prawem przepisanych. Zarządzeniem Przewodniczącego Wydziału II WSA w Warszawie z dnia 20 października 2022 r., odpowiedź na skargę wraz z odpisami została zwrócona skarżącemu na podstawie art. 66 § 1 i 3 p.p.s.a. Naczelny Sąd Administracyjny zważył, co następuje: Zgodnie z treścią art. 183 § 1 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz.U. z 2024 r., poz. 935; dalej: "p.p.s.a.") Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, bierze jednak z urzędu pod rozwagę nieważność postępowania. W sprawie nie występują, enumeratywnie wyliczone w art. 183 § 2 p.p.s.a., przesłanki nieważności postępowania sądowoadministracyjnego. Z tego względu, przy rozpoznaniu sprawy, Naczelny Sąd Administracyjny związany był granicami skargi kasacyjnej. Skargę kasacyjną można oprzeć na następujących podstawach: 1) naruszeniu prawa materialnego przez błędną jego wykładnię lub niewłaściwe zastosowanie, 2) naruszeniu przepisów postępowania, jeżeli uchybienie to mogło mieć istotny wpływ na wynik sprawy (art. 174 p.p.s.a.). Granice skargi kasacyjnej wyznaczają wskazane w niej podstawy. W skardze kasacyjnej zarzucono naruszenie prawa materialnego, jak i naruszenie przepisów postępowania. W sytuacji, gdy skarga kasacyjna zarzuca naruszenie prawa materialnego oraz naruszenie przepisów postępowania, co do zasady w pierwszej kolejności rozpoznaniu podlegają zarzuty naruszenia przepisów postępowania (por. wyroki NSA z 27 czerwca 2012 r., II GSK 819/11, LEX nr 1217424; z 26 marca 2010 r., II FSK 1842/08, LEX nr 596025; z 4 czerwca 2014 r., II GSK 402/13, LEX nr 1488113; z 17 lutego 2023 r., II GSK 1458/19; z 1 marca 2023 r., I FSK 375/20). Dopiero bowiem po przesądzeniu, że stan faktyczny przyjęty przez sąd w zaskarżonym wyroku jest prawidłowy, albo nie został dostatecznie podważony, można przejść do skontrolowania procesu subsumcji danego stanu faktycznego pod zastosowany przez sąd pierwszej instancji przepis prawa materialnego. Dla uznania za usprawiedliwioną podstawę kasacyjną z art. 174 pkt 2 p.p.s.a. nie wystarcza samo wskazanie naruszenia przepisów postępowania, ale nadto wymagane jest, aby skarżący wykazał, że następstwa stwierdzonych wadliwości postępowania były tego rodzaju lub skali, iż kształtowały one lub współkształtowały treść kwestionowanego w sprawie orzeczenia (por. wyroki NSA: z 5 maja 2004 r., FSK 6/04, LEX nr 129933; z 26 lutego 2014 r., II GSK 1868/12, LEX nr 1495116; z 29 listopada 2022 r., I OSK 931/22). W odniesieniu do zarzutu oznaczonego jako 1) trafnie podniósł skarżący kasacyjnie, że Sąd pierwszej instancji wskazał jako podstawę rozstrzygnięcia w szczególności art. 145 § 1 pkt 1 lit. b p.p.s.a., podczas gdy w uzasadnieniu zaskarżonego wyroku nie wskazano żadnego naruszenia prawa dającego podstawę do wznowienia postępowania administracyjnego. To naruszenie nie miało jednak wpływu na wynik sprawy, gdyż niezależnie od prawidłowości powołania podstawy rozstrzygnięcia – art. 145 § 1 pkt 1 lit. a czy b p.p.s.a. – rozstrzygnięcie to polegałoby na uchyleniu zaskarżonej decyzji. Zasadny jest natomiast zarzut oznaczony jako 2), to jest zarzut naruszenia przez Sąd pierwszej instancji art. 145 § 1 pkt 1 lit. c p.p.s.a. w związku z art. 7, art. 77 § 1 oraz art. 107 § 3 k.p.a. Sąd pierwszej instancji nie powołał w podstawie prawnej rozstrzygnięcia art. 145 § 1 pkt 1 lit. c p.p.s.a., co powinien był uczynić, opierając się na wskazanych wyżej przepisach i wytykając organowi ich naruszenie. Sąd pierwszej instancji powiązał naruszenie powyższych przepisów k.p.a. także z nieprawidłowym sformułowaniem sentencji decyzji i jej uzasadnienia, co zostało objęte zarzutem nr 3) skargi kasacyjnej. Należy jednak przypomnieć, że w ramach realizacji zasady prawdy obiektywnej, wynikającej z art. 7 k.p.a., organ jest obowiązany z urzędu stwierdzić, jakie dowody są niezbędne w danej sprawie oraz również z urzędu dowody te przeprowadzić. Jednakże obowiązek wyczerpującego zebrania i zbadania całego materiału dowodowego nie powoduje, że strona jest zwolniona z realizacji tego obowiązku. Po przeprowadzeniu analizy akt administracyjnych sprawy nie sposób przyjąć, że doszło do wadliwości w procesie ustalania stanu faktycznego sprawy. W uzasadnieniu Sądu pierwszej instancji brak jest w istocie wskazania luk w ustalonym stanie faktycznym, które mogłyby uzasadniać twierdzenie o braku realizacji zasady prawdy obiektywnej. W sprawie jest niesporne, że B. S.A. pozyskało dane osobowe M.M. w związku z zapytaniami kredytowymi, w przypadku których nie doszło do zawarcia umów. Niesporne jest również, że skarżący był podmiotem uprawnionym do przetwarzania danych osobowych M.M. w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Powyższe okoliczności nie były sporne, a jednocześnie to one determinowały zakres rozpoznania sprawy. Dlatego też ocena Sądu pierwszej instancji, iż stan faktyczny został ustalony w sposób niepełny, jest błędna. Zdaniem Naczelnego Sądu Administracyjnego nie ma wątpliwości, że Prezes UODO dokonał niezbędnych w sprawie ustaleń faktycznych i zebrał niezbędny materiał dowodowy. Organ rozpatrzył wszechstronnie i należycie zgromadzony materiał dowodowy, a ocena tego materiału na gruncie przepisów RODO nie budzi zastrzeżeń oraz jest prawidłowa. Odmienna ocena w zakresie wykładni i zastosowania powołanych przez organ przepisów prawa nie stanowi o naruszeniu przepisów postępowania, w tym art. 7, art. 77 § 1 i art. 107 § 3 k.p.a. Organ zbadał istnienie interesu prawnego skarżącego do przetwarzania danych osobowych M.M. i uznał, że w świetle obowiązujących przepisów prawa interes ten nie zachodził. Prezes UODO nie kwestionował w zaskarżonej decyzji uprawnień instytucji finansowych do dokonywania ustaleń i ocen w zakresie zdolności kredytowej. Przedmiotem sprawy była ocena zgodności z prawem "dalszego" przetwarzania danych osobowych zawartych w zapytaniach kredytowych, bowiem to przetwarzanie danych było kwestionowane. Prezes UODO bezspornie posiada uprawnienie do dokonania oceny w tym przedmiocie na gruncie RODO, jako organ wyspecjalizowany. Zdaniem Naczelnego Sądu Administracyjnego prawidłowe jest stanowisko, że skoro nie doszło do zawarcia umowy kredytu, to odpadła przesłanka legalizująca dalsze przetwarzanie danych osobowych, o czym będzie jeszcze mowa niżej. Błędne jest także stanowisko Sądu pierwszej instancji w kwestii oceny rozstrzygnięcia zawartego w zaskarżonej decyzji. Trzeba bowiem pamiętać, że uzasadnienie decyzji stanowi jej integralną część, zatem treść sentencji decyzji należy odczytywać z uwzględnieniem treści jej uzasadnienia. Rozstrzygnięcie decyzji w sposób niewątpliwy dotyczyło usunięcia wszelkich danych osobowych M.M. w zakresie dotyczącym zapytań kredytowych, które nie zakończyły się zawarciem umów. Nie było zatem potrzeby jakiegokolwiek "uszczegóławiania" rozstrzygnięcia. Przechodząc do oceny zarzutów naruszenia prawa materialnego należy podnieść, że zgodnie z motywem 40 RODO, aby przetwarzanie danych było zgodne z prawem, powinno się odbywać na podstawie zgody osoby, której dane dotyczą, lub na innej uzasadnionej podstawie przewidzianej prawem: albo w niniejszym rozporządzeniu, albo w innym akcie prawnym Unii lub w prawie państwa członkowskiego, o których mowa w niniejszym rozporządzeniu, w tym musi się ono odbywać z poszanowaniem obowiązku prawnego, któremu podlega administrator lub z poszanowaniem umowy, której stroną jest osoba, której dane dotyczą, lub w celu podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy. Powyższe znalazło wyraz w art. 6 ust. 1 RODO, określającym przesłanki legalności przetwarzania danych osobowych. Zgodnie z tym przepisem, przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy - i w takim zakresie, w jakim - spełniony jest co najmniej jeden z poniższych warunków: a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów; b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy; c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze; d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej; e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi; f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Akapit pierwszy lit. f nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań. Zgodnie z art. 105a ust. 1 u.P.b. przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów, instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim (t.j. Dz.U. z 2024 r., poz. 1497; dalej: "u.k.k."), a także instytucje utworzone na podstawie art. 105 ust. 4 u.P.b., informacji stanowiących tajemnicę bankową i informacji udostępnionych przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d u.k.k., w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem art. 104, art. 105 i art. 106-106d u.P.b., w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Zgodnie zaś z art. 105a ust. 4 u.P.b., banki oraz instytucje, o których mowa w art. 105 ust. 4 u.P.b., mogą przetwarzać stanowiące tajemnicę bankową informacje dotyczące osoby fizycznej po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której informacje dotyczą, do celów stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013. Jednocześnie zgodnie z art. 105a ust. 5 u.P.b., przetwarzanie informacji stanowiących tajemnicę bankową w przypadkach, o których mowa w ust. 3, może być wykonywane przez okres nie dłuższy niż 5 lat od dnia wygaśnięcia zobowiązania, a w przypadku, o którym mowa w ust. 4, przez okres 12 lat od dnia wygaśnięcia zobowiązania. Zgodnie z art. 70 ust. 1 u.P.b., bank uzależnia przyznanie kredytu od zdolności kredytowej kredytobiorcy. Przez zdolność kredytową rozumie się zdolność do spłaty zaciągniętego kredytu wraz z odsetkami w terminach określonych w umowie. Kredytobiorca jest obowiązany przedłożyć na żądanie banku dokumenty i informacje niezbędne do dokonania oceny tej zdolności. W świetle ww. przepisów, a w szczególności na podstawie art. 105a ust. 1 i art. 70 ust. 1 u.P.b. uprawnione było przetwarzanie danych osobowych M.M. w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Należy jednak podkreślić, że w związku z zapytaniami kredytowymi nie doszło do zawarcia umowy kredytowej, a powyższa okoliczność nie była kwestionowana w toku postępowania. Nie może być wątpliwości, że ocena zdolności kredytowej i analiza ryzyka kredytowego zostały dokonane (zrealizowane). Cel przetwarzania danych, dla którego zostały one zgromadzone w zapytaniu kredytowym, został osiągnięty. Nadto M.M. wniósł o zaprzestanie przetwarzania jego danych w związku z zapytaniami kredytowymi, w rezultacie których nie udzielono mu kredytu ani pożyczki. Wobec tego należy zgodzić się ze stanowiskiem skarżącego kasacyjnie organu, że odpadła przesłanka legalizująca dalsze przetwarzanie danych osobowych M.M. przez B. S.A., które to przetwarzanie miało na celu - co wymaga raz jeszcze podkreślenia - ocenę zdolności kredytowej i analizę ryzyka kredytowego - przed zawarciem umowy. Skoro nie doszło do nawiązania stosunku zobowiązaniowego, który stosownie do art. 105a ust. 1-6 u.P.b. dawałby podstawę do dalszego przetwarzania danych osobowych przez B. S.A., to należało uznać, tak jak prawidłowo przyjął PUODO, że ustał cel przetwarzania danych osobowych pozyskanych tylko i wyłącznie w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Z ww. przepisów wynika, że przesłanki zawarte w art. 105a u.P.b. dotyczą przetwarzania informacji objętych tajemnicą bankową w okresie przed powstaniem zobowiązania, w trakcie jego trwania oraz po wygaśnięciu zobowiązania. Natomiast w sytuacji, gdy w następstwie złożenia wniosku kredytowego nie dochodzi do zawarcia umowy kredytowej z bankiem, jak miało to miejsce w sprawie, brak jest ustawowych przesłanek legalizujących przetwarzanie danych osobowych zawartych w zapytaniu kredytowym. Przetwarzane są one bowiem bez podstawy prawnej, w celach innych niż te, w których zostały zebrane, tj. oceny zdolności kredytowej i analizy ryzyka kredytowego. Powracając raz jeszcze do kwestii prawidłowości sformułowania rozstrzygnięcia decyzji należy wskazać, że sposób sformułowania w niej nakazu jest prawidłowy. Rozstrzygnięcie decyzji jest w ocenie Naczelnego Sądu Administracyjnego na tyle jasne i precyzyjne, że nie wywołuje trudności w sferze wykonania. Nie ma przy tym wątpliwości, że nakaz usunięcia dotyczy danych osobowych M.M. zawartych w zapytaniach kredytowych, które nie zakończyły się zawarciem umów. Skarżący zna te zapytania i zawarte w nich dane osobowe. Nie budzi wątpliwości, że ocena zdolności kredytowej i ryzyka kredytowego ma charakter czynności wstępnych przed zawarciem umowy kredytowej. Dalsze przetwarzanie danych, uzyskanych wyłącznie w celu oceny zdolności kredytowej i analizy ryzyka kredytowego, w przypadku braku zawarcia stosownej umowy, pozostaje w oderwaniu od celu, dla którego dane zebrano. Na gruncie RODO niedopuszczalne jest - w takim stanie faktycznym, jak w sprawie, gdy nie zawarto umowy kredytowej - przetwarzanie danych osobowych "na przyszłość", w innych celach niż je zebrano, w tym na potrzeby oceny zdolności kredytowej innych osób, gdy nie można zrekonstruować wyraźnej podstawy prawnej takich działań w odniesieniu do M.M.. Skoro w sprawie nie mamy do czynienia z sytuacją, w której nawiązano stosunek zobowiązaniowy, to należało uznać, że trafnie Prezes UODO uznał, że brak jest podstaw do uznania, że zachodzi przesłanka z art. 6 ust. 1 lit. f RODO, o czym jeszcze będzie mowa niżej. Odnosząc się do zarzutu naruszenia prawa materialnego, a to art. 70a ust. 1 u.P.b. należy wskazać, że zgodnie z tym przepisem banki i inne instytucje ustawowo upoważnione do udzielania kredytów na wniosek osoby fizycznej, prawnej lub jednostki organizacyjnej niemającej osobowości prawnej, o ile posiada zdolność prawną, ubiegającej się o kredyt przekazują, w formie pisemnej, wyjaśnienie dotyczące dokonanej przez siebie oceny zdolności kredytowej wnioskującego. Zgodnie zaś z art. 70a ust. 2 u.P.b., wyjaśnienie, o którym mowa w ust. 1, obejmuje informacje na temat czynników, w tym danych osobowych wnioskującego, które miały wpływ na dokonaną ocenę zdolności kredytowej. Powstanie obowiązku, o którym mowa w art. 70a ust. 1 u.P.b., uzależnione jest od złożenia wniosku o przedłożenie wyjaśnień dotyczących dokonanej oceny zdolności kredytowej. Z akt nie wynika, aby został złożony taki wniosek. M.M. zwrócił się natomiast o usunięcie danych osobowych związanych z zapytaniem kredytowym i w związku z odmową w tym zakresie podjął działania przed Prezesem UODO. Dodać również należy, że art. 70a u.P.b. nakłada na banki i inne instytucje ustawowo upoważnione do udzielania kredytów obowiązek przekazywania osobie fizycznej ubiegającej się o kredyt wyjaśnień dotyczących dokonanej oceny zdolności kredytowej wnioskującego. Tego rodzaju obowiązku przepis ten nie nakłada na instytucje, o których mowa w art. 105 ust. 4 u.P.b. Nie może być więc mowy o tym, aby podstawę do dalszego przetwarzania danych osobowych M.M. przez B. S.A. stanowił art. 70a ust. 1 u.P.b. Omawiany zarzut skargi kasacyjnej jest zatem uzasadniony. Naczelny Sąd Administracyjny, odnosząc się ponownie do zarzutu naruszenia art. 6 ust. 1 lit. f RODO, tym razem w nawiązaniu do wskazywanej przez stronę skarżącą potrzeby przechowywania danych zawartych w zapytaniu kredytowym osoby, z którą nie zawarto umowy kredytowej, na wypadek ewentualnych przyszłych roszczeń wskazuje, że art. 6 ust. 1 lit. f RODO stanowi o uprawnieniu do przetwarzania, gdy jest ono niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Za usprawiedliwiony cel w rozumieniu ww. przepisu nie może zostać uznane przetwarzanie danych osobowych na wypadek ewentualnego dochodzenia lub obrony roszczeń. Z akt sprawy nie wynika, aby wnioskodawca, który zażądał usunięcia danych w zakresie zapytania kredytowego, miał jakiekolwiek roszczenie na drodze cywilnoprawnej do strony skarżącej. Natomiast jednoznacznie zażądał usunięcia swoich danych osobowych, powołując się na ich przetwarzanie bez podstawy prawnej. Z tego względu nie jest dopuszczalne przyjęcie, że to art. 6 ust. 1 lit. f RODO mógłby stanowić podstawę do "dalszego" przetwarzania danych, na wypadek ewentualnego dochodzenia roszczeń. W toku postępowania administracyjnego nie wykazano - i nie wynika to też ze skargi - jakich ewentualnie roszczeń mógłby dochodzić podmiot, który zażądał usunięcia swoich danych w zakresie zapytań kredytowych i z którym nie zawarto umowy kredytowej. Ważąc zatem interesy M.M., który żądał respektowania jego praw do ochrony danych osobowych, wynikających z RODO, oraz interesy strony skarżącej przedstawiane w postępowaniu administracyjnym i w skardze, w sytuacji, gdy nie zawarto z M.M. umowy kredytowej, należało uznać, że brak było podstaw do przyjęcia, że spełniona została przesłanka z art. 6 ust. 1 lit. f RODO. Sąd w składzie rozpoznającym sprawę podziela pogląd Naczelnego Sądu Administracyjnego, zgodnie z którym niedopuszczalne jest przetwarzanie danych osobowych niejako "na zapas" z założeniem, że mogą być one ewentualnie przydatne w przyszłości, na przykład z odwołaniem się do przepisów dotyczących przedawnienia roszczeń (por. wyroki NSA: z 27 marca 2018 r., I OSK 1459/16 i z 1 października 2025 r., III OSK 872/22). Wywodzenie zatem także z kwestii przedawnienia roszczeń samodzielnej podstawy do przetwarzania danych - w sytuacji, gdy mowa o danych osoby, z którą nie zawarto umowy kredytowej czy umowy pożyczki, nie jest uprawnione i nie stanowi przesłanki do ich dalszego przetwarzania. Celem RODO, tak, jak poprzednio Dyrektywy 95/46/WE, jest ochrona prywatności, która powinna być rozpatrywana także w świetle art. 8 Konwencji o Ochronie Praw Człowieka i Podstawowych Wolności. W sprawie tej nie istnieje tego rodzaju powiązanie pomiędzy osobą, której dane dotyczą a bankiem, jak również pomiędzy tą osobą a stroną skarżącą, które pozwalałoby "wyprowadzić" istnienie prawnie uzasadnionego interesu po stronie strony skarżącej w "dalszym" przetwarzaniu danych tej osoby. Z okoliczności sprawy nie wynika przy tym, aby osoba ta mogła spodziewać się w czasie, gdy pozyskiwano od niej dane w celu oceny zdolności kredytowej i ryzyka kredytowego, że będą one "dalej" przetwarzane mimo nie zawarcia umowy kredytowej (por. motyw 47 RODO). Jako prawnie uzasadniony interes administratora na gruncie art. 6 ust. 1 lit. f RODO nie może być rozumiana każda potrzeba wygenerowana przez danego administratora w związku z prowadzoną działalnością gospodarczą. Przyjęcie takiej koncepcji poddawałoby w wątpliwość funkcjonowanie wszystkich pozostałych przesłanek legalności przetwarzania danych ujętych w RODO, skoro sama potrzeba, pojawiająca się dynamicznie w ramach prowadzonej działalności, czyniłaby dopuszczalnym przetwarzanie danych osobowych. Niewątpliwie zaś ten prawnie uzasadniony interes administratora nie może pozbawiać jednostki prawa do dysponowania własnymi danymi osobowymi i ochrony prywatności. Pamiętać trzeba również, że celem udostępnienia danych osobowych przez osobę fizyczną było rozpatrzenie konkretnego wniosku kredytowego (cel był ściśle określony), zgodnie z przepisami u.P.b. Powyższe nie daje podstaw do dalszego przetwarzania danych "na przyszłość", po zakończeniu oceny zdolności kredytowej i analizy ryzyka kredytowego. Samo powołanie się na zasadę rozliczalności (art. 5 ust. 2 RODO) nie legalizuje przetwarzania jakichkolwiek danych. Konieczne jest bowiem, aby w pierwszej kolejności przetwarzanie danych było zgodne z prawem. W demokratycznym państwie prawnym nie jest dopuszczalne dowolne rozszerzanie uprawnień jakiegokolwiek podmiotu, ani organu władzy, ani spółki prawa handlowego, ani żadnego innego podmiotu będącego administratorem w zakresie przetwarzania danych osobowych (art. 47, art. 51 Konstytucji RP). Dane osobowe mogą być przetwarzane co do zasady w celach, w jakich je zebrano. Cele te powinny być adekwatne i ograniczone do tego co niezbędne do ich osiągnięcia, w których zostały zebrane (art. 5 ust. 1 lit. c RODO). Przetwarzanie "na przyszłość" danych zawartych w zapytaniach kredytowych, w sytuacji, gdy nie zawarto umowy kredytowej, nie znajduje umocowania w żadnej przesłance z art. 6 ust. 1 RODO. Przyjęcie odmiennej interpretacji prowadziłoby do tego, że wobec osoby, której dane zawarto w zapytaniu kredytowym i z którą nie zawarto umowy kredytowej, istniałaby dowolność, tak co do zasad przetwarzania jej danych osobowych, jak również co do przedstawienia innych celów przetwarzania, których nie ujawniono wprost przed pozyskaniem danych (innych niż ocena zdolności kredytowej i ryzyka kredytowego) oraz co do dowolnego ustalenia przez podmiot dysponujący danymi czasu przetwarzania danych z uwzględnieniem przyjmowanych celów, które służą określonym wymogom organu nadzoru nad rynkiem finansowym. Ponadto należy zauważyć, że nie brak jest w aktualnym stanie prawnym przepisów, które zobowiązują niektóre podmioty do przetwarzania danych osobowych przez okres przedawnienia roszczeń z tytułu zawartych umów. Tytułem przykładu przytoczyć można art. 29 ust. 10 ustawy z dnia 11 września 2015 r. o działalności ubezpieczeniowej i reasekuracyjnej (t.j. Dz.U. z 2024 r. poz. 838), zgodnie z którym zakład ubezpieczeń przechowuje informacje i dokumenty, o których mowa w ust. 6 (tj. informacje i dokumenty gromadzone w celu ustalenia odpowiedzialności zakładu ubezpieczeń lub wysokości odszkodowania lub świadczenia) do czasu upływu terminu przedawnienia roszczeń z umowy ubezpieczenia. A contrario skoro ustawodawca nie zobowiązał wszystkich przedsiębiorców do przechowywania danych osobowych byłych klientów przez czas przedawnienia roszczeń w celu ustalenia odpowiedzialności lub wysokości odszkodowania, to tym samym zgodnie z zasadą racjonalnego ustawodawcy nie można takiej konstrukcji rozciągać na inne regulacje prawne. Tekst aktu prawodawczego służy ustawodawcy do sformułowania określonych norm postępowania świadczących o tym, że prawodawca zna i uwzględnia reguły języka danej społeczności, a jeśli od nich odstępuje, odpowiednio to zaznacza, np. przez definicje legalne. Przyjmuje się, że prawodawca formułuje takie normy, które według jego wiedzy w danym układzie społecznym nadają się do tego, by wpływać na zachowanie adresatów i nie ustanawia norm niezgodnych między sobą. Postępowanie adresatów zgodne z ustanawianymi normami prowadzi – według jego wiedzy – do rezultatów optymalnych, a w każdym razie aprobowanych na gruncie przypisywanego prawodawcy systemu wartości (por. M. Augustyniak, Zasady racjonalnego prawodawcy w kontekście teorii i praktyki prawniczej, Aktualne problemy prawa, tom 1, nr 4, kwiecień 2020, s. 37-41). Przyjęcie odmiennego od prezentowanego w skardze kasacyjnej stanowiska prowadziłoby do tego, że sytuacja osoby fizycznej, która zwróciła się z zapytaniem kredytowym i z którą nie zawarto umowy kredytowej byłaby gorsza z punktu widzenia ochrony danych osobowych przewidzianych w RODO i odczytywanych łącznie z ww. przepisami u.P.b., niż sytuacja osoby, która zawarła umowę kredytową i jej zobowiązanie wygasło. W tym drugim bowiem przypadku, po wygaśnięciu zobowiązania wynikającego z danej umowy, do dalszego przetwarzania danych niezbędna byłaby zgoda osoby, której dane dotyczą, odwołalna w każdym czasie. Podmiot, który zażądał usunięcia swoich danych osobowych, byłby pozbawiony ochrony, choć przetwarzano jego dane w celu, który nie jest ściśle związany z konkretną czynnością, w związku z którą uzyskano i przetwarzano dane. Zdaniem Naczelnego Sądu Administracyjnego chcąc realizować obowiązki nałożone przez instytucje nadzorcze w zakresie prowadzonej działalności, a jednocześnie chcąc przetwarzać dane osobowe konkretnej osoby fizycznej w konkretnych okolicznościach faktycznych (dane osoby, która w związku z zapytaniem kredytowym stanowiącym podstawę do zebrania i przetwarzania danych, nie uzyskała kredytu) należy przestrzegać przepisów RODO w zakresie "dalszego" przetwarzania, które nie wiąże się z oceną zdolności kredytowej i analizą ryzyka. Naczelny Sąd Administracyjny podziela bowiem prezentowane w orzecznictwie poglądy, zgodnie z którymi dalsze przetwarzanie danych, uzyskanych w celu oceny zdolności kredytowej, w przypadku nie zawarcia tej umowy, pozostawałoby w oderwaniu od celu, dla którego uzyskano i przetwarzano dane osobowe osoby fizycznej. Tym samym niedopuszczalne jest dalsze przetwarzanie danych osobowych na przyszłość, a także na potrzeby budowy oceny zdolności kredytowej innych podmiotów, jeżeli nie można zrekonstruować wyraźnej podstawy prawnej takich działań, jak miało to miejsce w sprawie (por. wyrok NSA z 27 sierpnia 2019 r. , I OSK 2567/17). Mając na uwadze, że zarzuty skargi kasacyjnej okazały się uzasadnione, a istota sprawy została dostatecznie wyjaśniona, Naczelny Sąd Administracyjny na podstawie art. 188 p.p.s.a. uchylił zaskarżony wyrok i w oparciu o art. 151 p.p.s.a. w związku z art. 193 p.p.s.a. oddalił skargę. O kosztach postępowania kasacyjnego orzeczono zgodnie z zasadą odpowiedzialności za wynik postępowania, w oparciu o art. 203 pkt 2 p.p.s.a. w związku z art. 205 § 2 p.p.s.a.