III OSK 2636/23

Naczelny Sąd Administracyjny w składzie: Przewodniczący: Sędzia NSA Wojciech Jakimowicz (sprawozdawca) Sędziowie: Sędzia NSA Sławomir Wojciechowski Sędzia del. WSA Mariusz Kotulski Protokolant: starszy asystent sędziego Aleksandra Kraus po rozpoznaniu w dniu 15 maja 2026 r. na rozprawie w Izbie Ogólnoadministracyjnej skarg kasacyjnych C. S.A. z siedzibą we W. oraz B. S.A. z siedzibą w W. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 25 kwietnia 2023 r., sygn. akt II SA/Wa 1942/22 w sprawie ze skarg C. S.A. z siedzibą we W. oraz B. S.A. z siedzibą w W. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 26 sierpnia 2022 r., nr DS.523.6463.2021.FT.UD w przedmiocie przetwarzania danych osobowych 1. oddala skargi kasacyjne; 2. zasądza od C. S.A. z siedzibą we W. oraz B. S.A. z siedzibą w W. na rzecz Prezesa Urzędu Ochrony Danych Osobowych kwoty po 360 (trzysta sześćdziesiąt) złotych tytułem zwrotu kosztów postępowania kasacyjnego.

Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 25 kwietnia 2023 r., sygn. akt II SA/Wa 1942/22 oddalił skargi C S.A. z siedzibą we W. (dalej także jako: Bank) oraz B. S.A. z siedzibą w W. (dalej także jako: B. S.A.) na decyzję Prezesa Urzędu Ochrony Danych Osobowych (dalej także jako: organ, Prezes UODO) z dnia 26 sierpnia 2022 r., nr DS.523.6463.2021.FT.UD w przedmiocie przetwarzania danych osobowych. Wyrok ten zapadł w następującym stanie faktycznym i prawnym sprawy: Prezes Urzędu Ochrony Danych Osobowych, po przeprowadzeniu postępowania administracyjnego w sprawie skargi D. G. (dalej także jako: uczestnik postępowania) na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Bank polegające na przetwarzaniu jego danych osobowych w zakresie zapytania kredytowego z dnia 3 marca 2021 r., niezakończonego udzieleniem kredytu, bez podstawy prawnej, w tym w B. S.A. oraz na odmowie spełnienia żądania w zakresie usunięcia informacji o tym zapytaniu, na podstawie art. 104 § 1 Kodeksu postępowania administracyjnego w związku z art. 7 ust. 1 i 2 ustawy o ochronie danych osobowych oraz art. 6 ust. 1 oraz art. 58 ust. 2 lit. c rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych); dalej jako: "RODO", w punkcie 1 decyzji z dnia 26 sierpnia 2022 r., nr DS.523.6463.2021.FT.UD nakazał B. S.A. usunięcie danych osobowych uczestnika postępowania zawartych w zapytaniu kredytowym z dnia 3 marca 2021 r., przekazanym przez Bank, przetwarzanych bez podstawy prawnej, a w punkcie 2 nakazał Bankowi usunięcie danych osobowych uczestnika postępowania, zawartych w zapytaniu kredytowym z dnia 3 marca 2021 r., przetwarzanych bez podstawy prawnej. W uzasadnieniu decyzji Prezes UODO wskazał, że wpłynęła do niego skarga uczestnika postępowania na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Bank polegające na przetwarzaniu danych osobowych uczestnika postępowania w zakresie zapytania kredytowego z dnia 3 marca 2021 r., niezakończonego udzieleniem kredytu, bez podstawy prawnej, w tym w B. oraz na odmowie spełnienia żądania uczestnika postępowania w zakresie usunięcia przez Bank informacji o tym zapytaniu. Uczestnik postępowania wskazał w skardze, że Bank przetwarza jego dane osobowe w związku z zapytaniem kredytowym niezakończonym udzieleniem kredytu z dnia 3 marca 2021 r. Uczestnik postępowania dodał, że w dniu 11 września 2021 r. złożył do Banku reklamację w związku z przetwarzaniem jego danych dotyczących ww. zapytania kredytowego w B. Bank odmówił jednak usunięcia tych danych oraz wykreślenia ich z bazy B. Wobec tego uczestnik postępowania wniósł o nakazanie Bankowi zaprzestania przetwarzania jego danych dotyczących zapytania kredytowego z dnia 3 marca 2021 r. Prezes Urzędu Ochrony Danych Osobowych podał, że Bank w złożonych wyjaśnieniach wskazał, że pozyskał dane osobowe uczestnika postępowania bezpośrednio od niego w dniu 3 marca 2021 r. w związku ze złożeniem przez niego wniosku o zawarcie umowy kredytu gotówkowego o numerze [...]. W związku z powyższym Bank pozyskał dane osobowe uczestnika postępowania w zakresie: imię i nazwisko, PESEL, dane dokumentu tożsamości (data urodzenia, seria i numer dowodu osobistego, data wydania i ważności dowodu osobistego), dane teleadresowe uczestnika postępowania (adres zameldowania, adres korespondencyjny, numer telefonu, adres e-mail), dane zakładu pracy, dane niezbędne do oceny zdolności kredytowej: stan cywilny, informacje o dochodzie i jego źródle, dane o obciążeniach gospodarstwa domowego. Organ dodał, że Bank wyjaśnił, że obecnie przetwarza ww. dane osobowe uczestnika postępowania w następujących celach: rozpatrywania reklamacji oraz ustalania, obrony i dochodzenia roszczeń - podstawą prawną jest realizacja prawnie uzasadnionego interesu Banku (art. 6 pkt 1. lit. f RODO); analizy (indywidualnego i portfelowego) ryzyka kredytowego (art. 105a ustawy Prawo bankowe w związku z art. 6 pkt 1 lit. c RODO); tworzenia modeli scoringowych i przetwarzania danych pochodzących z zapytań kredytowych dla oceny innych osób, podstawą prawną jest prawnie uzasadniony interes Banku (art. 6 pkt 1. lit. c RODO), który znajduje potwierdzenie w treści przepisów art. 70 ust. 1 i 105 ust. 4 ustawy Prawo bankowe, Rekomendacji T KNF dotyczącej dobrych praktyk w zakresie zarządzania ryzykiem detalicznych ekspozycji kredytowych w związku z badaniem zdolności kredytowej, korzystania z zewnętrznych baz danych, posiadania narzędzi analitycznych wspierających pomiar poziomu ryzyka związanego z detalicznymi ekspozycjami kredytowymi; realizacji wymogów ostrożnościowych tj. oceny ogólnej ekspozycji oraz ryzyka ekspozycji Banku wynikających z rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 575/2013 z dnia 26 czerwca 2013 roku w sprawie wymogów ostrożnościowych dla instytucji kredytowych i firm inwestycyjnych, zmieniające rozporządzenie (UE) nr 648/2012 - dalej także jako: rozporządzenie nr 575/2013 (art. 6 pkt 1. lit. c RODO); wykonywania obowiązków związanych z przeciwdziałaniem praniu pieniędzy i finansowaniu terroryzmu (art. 6 pkt 1. lit. c RODO). Bank poinformował, że będzie przetwarzać dane w tym celu przez okres 5 lat zgodnie z art. 49 ust. 2 ustawy o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu, realizacji prawa do wyjaśnienia oceny zdolności kredytowej na podstawie art. 70a ustawy Prawo bankowe (art. 6 pkt 1. lit. c RODO). Bank dodał, że udostępnił dane osobowe uczestnika postępowania w celu przeprowadzenia oceny zdolności kredytowej i analizy ryzyka kredytowego na podstawie art. 70 ust. 1 ustawy Prawo bankowe w związku z art. 105 ust. 4 oraz 105a ust. 1 ustawy Prawo bankowe. Bank przekazał dane osobowe wymienionego na podstawie zawartej pomiędzy Bankiem a B. umowy z dnia 1 sierpnia 2016 r. Bank udostępnił dane osobowe uczestnika postępowania do B. w dniu 3 marca 2021 r. w zakresie: imię i nazwisko, PESEL, dane dokumentu tożsamości (data urodzenia, seria i numer dowodu osobistego, data wydania i ważności dowodu osobistego), dane teleadresowe (adres zameldowania, adres korespondencyjny, numer telefonu, adres e-mail), dane zakładu pracy, dane niezbędne do oceny zdolności kredytowej: stan cywilny, informacje o dochodzie i jego źródle, dane o obciążeniach gospodarstwa domowego uczestnika postępowania. Bank wyjaśnił ponadto, że uczestnik postępowania zwrócił się do niego w dniu 8 marca 2021 r. z żądaniem usunięcia jego danych osobowych z baz B. Jednak w odpowiedzi z dnia 26 marca 2021 r. Bank odmówił uczestnikowi postępowania usunięcia ww. danych informując go o braku podstaw uprawniających Bank do usunięcia jego danych osobowych. Uczestnik postępowania ponownie zwrócił się do Banku w dniu 11 września 2021 r. z żądaniem usunięcia jego danych osobowych z baz B. I tym razem Bank, w odpowiedzi z dnia 29 września 2021 r., ponownie odmówił usunięcia danych, informując uczestnika postępowania o braku podstaw uprawniających Bank do usunięcia jego danych osobowych. Bank na wezwanie Prezesa UODO nie wskazał, by skarżący wystąpił do Banku z konkretnym roszczeniem lub by Bank wystąpił lub zamierzał wystąpić z takim roszczeniem. Z kolei B. S.A. w treści wyjaśnień wskazał, że przetwarza obecnie dane osobowe uczestnika postępowania przekazane przez Bank w związku ze złożonym przez niego zapytaniem kredytowym z dnia 3 marca 2021 r. Dane osobowe uczestnika postępowania zostały przekazane do B. przez Bank na podstawie art. 105 ust. 4 oraz 105a ust. 1 ustawy Prawo bankowe oraz na podstawie łączącej Bank i B. umowy. B. wyjaśnił, że będzie przetwarzał dane osobowe uczestnika postępowania w związku ze złożonymi zapytaniami kredytowymi w celu budowy modeli scoringowych, tj. narzędzi wykorzystywanych przez banki do oceny zdolności kredytowej i analizy ryzyka kredytowego przez okres 5 lat od dnia złożenia zapytania; w celach statystycznych oraz stosowania metod wewnętrznych oraz innych metod i modeli przez okres nie dłuższy niż 10 lat od dnia przekazania zapytania do B.; w celach przeciwdziałania przestępstwom oraz wykonywania obowiązków w zakresie określonym w przepisach o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu, na podstawie art. 106d ustawy Prawo bankowe oraz przepisów ustawy o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu; w celu rozpatrywania ewentualnych reklamacji i roszczeń odszkodowawczych - do momentu przedawnienia potencjalnych roszczeń wynikających z zapytań oraz w celu wypełnienia obowiązku wynikającego z art. 15 RODO w przypadku wystąpienia przez osobę, której dane dotyczą z wnioskiem o udzielenie informacji. Jednocześnie B. wskazał, że uczestnik postępowania zwrócił się do niego z żądaniem usunięcia jego danych osobowych przetwarzanych bez podstawy prawnej, ale nie wykazał, by uczestnik postępowania wystąpił z żądaniem opartym o art. 15 RODO, ani nie wystąpił do niego z żadnym konkretnym roszczeniem, jak również B. nie wystąpił wobec uczestnika postępowania i nie zamierza występować z takim roszczeniem. Biorąc powyższe pod uwagę Prezes UODO wskazał m.in., że przepisem uprawniającym administratorów danych do przetwarzania zwykłych danych osób fizycznych, w tym ich udostępniania, jest art. 6 ust. 1 RODO, zgodnie z którym, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy spełniona jest jedna z przesłanek wskazanych w tym przepisie. Podkreślił przy tym, że katalog przesłanek wymienionych w art. 6 ust. 1 RODO jest zamknięty. Każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny. Dodatkowo, proces przetwarzania danych osobowych musi być zgodny z zasadami ustanowionymi w art. 5 ust. 1 RODO. Do zasad tych zalicza się między innymi ograniczenie celu (art. 5 ust. 1 lit. b RODO) oraz minimalizację danych (art. 5 ust. 1 lit. c RODO). Organ podkreślił, że wspomniane zasady wymagają, by dane osobowe były zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami, a proces przetwarzania danych osobowych był adekwatny, stosowny oraz ograniczony do tego, co niezbędne do celów, w których są przetwarzane. Następnie Prezes UODO wyjaśnił, że B. jest instytucją utworzoną na podstawie art. 105 ust. 4 ustawy Prawo bankowe. Przytoczył treść powołanego przepisu oraz art. 105a ust. 1 Prawa bankowego. Następnie wskazał, że zgodnie z art. 105a ust. 4 ustawy Prawo bankowe Banki oraz instytucje, o których mowa w art. 105 ust. 4, mogą przetwarzać stanowiące tajemnicę bankową informacje dotyczące osoby fizycznej po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której informacje dotyczą, do celów stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013. Stosownie zaś do art. 105a ust. 5 ustawy Prawo bankowe przetwarzanie informacji stanowiących tajemnicę bankową w przypadkach, o których mowa w ust. 3, może być wykonywane przez okres nie dłuższy niż 5 lat od dnia wygaśnięcia zobowiązania, a w przypadku, o którym mowa w ust. 4, przez okres 12 lat od dnia wygaśnięcia zobowiązania. Organ przytoczył również treść art. 106d ustawy Prawo bankowe i stwierdził, że zebrany w sprawie materiał dowodowy nie wykazał, by Bank lub B. S.A. mogły przetwarzać dane osobowe uczestnika postępowania dotyczące zapytania kredytowego z dnia 3 marca 2021 r. na podstawie art. 106d ustawy Prawo bankowe w celach przeciwdziałania przestępstwom oraz wykonywania obowiązków w zakresie określonym w przepisach ustawy o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu, albowiem w toku prowadzonego postępowania nie wykazały, aby zaszła którakolwiek z przesłanek określonych w ww. przepisie. W szczególności nie wykazały, aby zaszły uzasadnione podejrzenia, o których mowa w art. 106d ust. 1 pkt 1-2 ustawy Prawo bankowe oraz nie wskazał także nałożonego na niego obowiązku określonego w przepisach o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu, o którym mowa w art. 106d ust. 1 pkt 3. Ponadto, Prezes UODO dodał, że stosownie do art. 70 ust. 1 ustawy Prawo bankowe bank uzależnia przyznanie kredytu od zdolności kredytowej kredytobiorcy. Przez zdolność kredytową rozumie się zdolność do spłaty zaciągniętego kredytu wraz z odsetkami w terminach określonych w umowie. W związku z powyższym organ zwrócił uwagę na to, że uczestnik postępowania w dniu 3 marca 2021 r. wystąpił do Banku z wnioskiem o udzielenie kredytu, wobec czego Bank oraz B. S.A., na podstawie art. 105a ust. 1 w związku z art. 70 ust. 1 ustawy Prawo bankowe, były uprawnione do przetwarzania danych osobowych uczestnika postępowania w celu oceny zdolności kredytowej. Organ podkreślił jednak, że ostatecznie nie doszło do zawarcia żadnej umowy kredytu pomiędzy uczestnikiem postępowania a Bankiem. W związku z powyższym w ocenie Prezesa UODO odpadła przesłanka legalizująca dalsze przetwarzanie danych osobowych uczestnika postępowania przez Bank oraz B. S.A. Organ wyjaśnił bowiem, że przesłanki zawarte w art. 105a ustawy Prawo bankowe dotyczą bowiem przetwarzania informacji objętych tajemnicą bankową w okresie przed powstaniem zobowiązania, w trakcie jego trwania oraz po wygaśnięciu zobowiązania. Pomiędzy Bankiem a uczestnikiem postępowania nie zawiązał się żaden stosunek zobowiązaniowy, który stosownie do art. 105a ust. 1-6 ustawy Prawo bankowe dawałby podstawę do dalszego przetwarzania danych osobowych. Prezes UODO podkreślił, że celem przetwarzania danych osobowych uczestnika postępowania była ocena zdolności kredytowej i analizy ryzyka kredytowego. W związku z dokonaniem przez Bank oceny zdolności kredytowej i analizy ryzyka kredytowego ww. cel przetwarzania danych osobowych wnioskodawcy został zrealizowany i brak jest podstaw prawnych do kontynuowania tego procesu. W ocenie Prezesa UODO, Bank niewłaściwie wskazuje jako podstawę przetwarzania danych uczestnika postępowania Rekomendację T KNF dotyczącą dobrych praktyk w zakresie zarządzania ryzykiem detalicznych ekspozycji kredytowych w związku z badaniem zdolności kredytowej, korzystania z zewnętrznych baz danych, posiadania narzędzi analitycznych wspierających pomiar poziomu ryzyka związanego z detalicznymi ekspozycjami kredytowymi. Organ ponownie zaznaczył, że Bank był uprawniony do oceny zdolności kredytowej uczestnika postępowania, jednak do zawarcia umowy pomiędzy uczestnikiem postępowania a Bankiem nie doszło, a zatem odpadła przesłanka legalizująca dalsze przetwarzanie danych uczestnika postępowania. Organ podkreślił, że w związku z dokonaniem przez Bank oceny zdolności kredytowej i analizy ryzyka kredytowego cel przetwarzania danych osobowych uczestnika postępowania został zrealizowany, wobec czego brak jest podstaw prawnych do kontynuowania tego procesu. Na poparcie powyższego stanowiska organ powołał się na wyrok Naczelnego Sądu Administracyjnego z dnia 27 sierpnia 2019 r., sygn. akt I OSK 2567/17. W ocenie organu za podstawę przetwarzania danych osobowych uczestnika postępowania nie mogą być również uznane wskazane przez Bank i B. S.A. cele statystyczne i analizy, w tym cel stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013. Prezes UODO podkreślił, że powołany przez B. S.A. art. 105a ust. 4 ustawy Prawo bankowe daje podstawy do przetwarzania informacji dotyczących osoby fizycznej stanowiących tajemnicę bankową po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której te informacje dotyczą. Organ raz jeszcze wskazał, że w przedmiotowej sprawie nie doszło do zawarcia umowy kredytu pomiędzy uczestnikiem postępowania a Bankiem, a zatem nie powstał żaden stosunek zobowiązaniowy, o którym mowa w powyższym przepisie. Odnosząc się zaś do powołanego zarówno przez Bank, jak i przez B. S.A. celu rozpatrywania ewentualnych reklamacji lub obrony przed roszczeniami, Prezes UODO stwierdził, że zebrany w niniejszym postępowaniu materiał dowodowy nie wykazał, aby uczestnik postępowania wystąpił z reklamacją lub jakimkolwiek roszczeniem wobec Banku lub B. S.A., które uzasadniałoby uprawnienie tych podmiotów do zachowania i przetwarzania danych osobowych dla celów dowodowych w związku z dochodzeniem przez uczestnika postępowania roszczenia. Organ podkreślił, że przesłanka z art. 6 ust. 1 lit. f RODO dotyczy sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia, potrzeba dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem. Prezes UODO wskazał ponadto, że podziela stanowisko Naczelnego Sądu Administracyjnego wyrażone w wyroku z dnia 6 marca 2019 r., sygn. akt I OSK 994/17, odnoszące się do analogicznej do art. 6 ust. 1 lit. f RODO przesłanki określonej w art. 23 ust. 1 pkt 5 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych dotyczącej dopuszczalności przetwarzania danych osobowych dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, gdy przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Organ zaznaczył, że przy przyjęciu odmiennej interpretacji ww. przepisów niż zaprezentowana przez NSA w powołanym wyroku, wnioskodawca zostałby pozbawiony ochrony na gruncie RODO oraz ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych. Przyjęcie za prawidłowe stanowiska, iż przetwarzanie danych osobowych w celu uchylenia się od negatywnych skutków w przypadku zgłoszenia w przyszłości ewentualnego i nieokreślonego roszczenia, stanowi prawnie usprawiedliwiony cel w rozumieniu art. 6 ust. 1 lit. f RODO oznaczałoby, że dane osobowe uczestnika postępowania mogą być przetwarzane przez Bank i B. S.A. permanentnie, bez konieczności ich usunięcia. Zdaniem organu teoretycznie możliwe jest, by uczestnik postępowania zwrócił się do Banku lub B. S.A. z roszczeniem po upływie terminu przedawnienia roszczenia. Prowadziłoby to jednak do uznania, że przetwarzanie danych osobowych wymienionego przez Bank i B. ma uzasadnienie w przesłance określonej art. 6 ust. 1 lit. f RODO w celu realizacji prawa do obrony przed ewentualnym roszczeniem wnioskodawcy również po upływie ww. terminu. Organ stwierdził, że brak jest uzasadnienia dla przyjęcia, że terminy dotyczące przedawnienia roszczeń wynikających ze stosunków zobowiązaniowych określają jednocześnie ramy czasowe, w których dane osobowe mogą być przetwarzane przez Bank i B. S.A.. Organ podkreślił, że przedawnienie roszczenia nie wywołuje skutków na gruncie ochrony danych osobowych, nie wpływa bowiem na fakt istnienia roszczenia, a powoduje jedynie zmianę w sferze zarzutów procesowych w postaci możliwości podniesienia okoliczności przedawnienia w sporze sądowym. Prezes UODO zaznaczył, że okolicznością usprawiedliwiającą przetwarzanie danych osobowych w celu dochodzenia roszczeń jest sam fakt istnienia roszczenia oraz zamiar jego dochodzenia. Nie jest nią natomiast zmiana w uprawnieniach procesowych podmiotu pozwanego. W ocenie Prezesa UODO brak jest uzasadnienia dla przyjęcia, że B. S.A. jest uprawniony do przetwarzania danych osobowych w związku z koniecznością ewentualnego wypełnienia obowiązku wynikającego z art. 15 RODO. Organ dodał zresztą, że usunięcie przez administratora danych osobowych nie uniemożliwia mu wykonania obowiązku uregulowanego w art. 15 RODO, gwarantującego osobie, której dane dotyczą, prawa do uzyskania od administratora informacji, czy jego dane są przetwarzane, a w przypadku pozytywnej odpowiedzi na tak postawione pytanie - uprawnienie do dostępu do danych na swój temat oraz uzyskania informacji o okolicznościach przetwarzania danych. Jeśli bowiem, administrator nie przetwarza danych dotyczących osoby, która zwraca się z żądaniem udzielenia informacji, to działanie administratora ogranicza się do odpowiedzi przeczącej i nie ma on obowiązku podawać podmiotowi danych innych informacji. W konkluzji Prezes Urzędu Ochrony Danych Osobowych stwierdził, że w niniejszej sprawie brak jest celu uzasadniającego dalsze przetwarzanie danych osobowych uczestnika postępowania zawartych w zapytaniu kredytowym z dnia 3 marca 2021 r. zarówno przez Bank, jak i przez B. S.A. Organ wskazał nadto, że Bank w związku z pozyskaniem danych osobowych wymienionego w celu oceny zdolności kredytowej stał się administratorem tych danych osobowych. Natomiast B. S.A. stał się administratorem danych osobowych uczestnika postępowania z uwagi na przekazanie tych danych przez Bank. W związku z powyższym, w ocenie organu, Bank oraz B. S.A. są odrębnymi administratorami. Każdy z tych podmiotów przetwarza bowiem dane osobowe wymienionego we własnych celach i samodzielnie ustala sposoby ich przetwarzania. Organ uznał, że w odniesieniu do kwestionowanego przez uczestnika postępowania przetwarzania jego danych osobowych przez Bank i B. S.A. nie zaistniała żadna przesłanka z wymienionych w art. 6 ust. 1 RODO, która stanowiłaby o legalności tego procesu. Dlatego też, korzystając z uprawnienia przewidzianego w art. 58 ust. 2 lit. c RODO organ skierował do Banku i B. S.A. nakazy dotyczące danych osobowych uczestnika postępowania przetwarzanych w związku ze złożonym zapytaniem kredytowym z dnia 3 marca 2021 r. W dniu 21 września 2022 r. Bank wywiódł do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na powyższą decyzję organu i wnosząc o jej uchylenie w całości oraz zasądzenie od organu na rzecz Banku zwrotu kosztów postępowania sądowego, w tym kosztów zastępstwa procesowego, według norm przepisanych oraz opłat skarbowych od pełnomocnictw w łącznej wysokości 34 zł, zarzucił zaskarżonemu rozstrzygnięciu: 1. naruszenie przepisów postępowania, które mogło mieć istotny wpływ na wynik sprawy, tj.: art. 7, art. 77 § 1 i art. 80 Kodeksu postępowania administracyjnego polegające na niewyczerpującym rozpatrzeniu materiału dowodowego oraz na jego dowolnej ocenie przejawiającej się w uznaniu, że Bank i B. S.A. nie dysponują przesłankami legalizującymi przetwarzanie danych osobowych uczestnika postępowania, pomimo że przetwarzanie danych osobowych wymienionego jest niezbędne do realizacji obowiązków prawnych ciążących na Banku i B. S.A. oraz realizacji ich prawnie uzasadnionych interesów; 2. naruszenie przepisów postępowania, które miało istotny wpływ na wynik sprawy, tj.: art. 7b Kodeksu postępowania administracyjnego polegające na braku zwrócenia się do Komisji Nadzoru Finansowego jako organu właściwego w sprawach związanych m.in. z badaniem zdolności kredytowej i analizą ryzyka kredytowego, a także budową modeli scoringowych oraz do Generalnego Inspektora Informacji Finansowej jako organu właściwego w sprawach związanych m.in. z przeciwdziałaniem praniu pieniędzy i finansowaniu terroryzmu w zakresie wykorzystywania do realizacji tych zadań danych, w tym danych osobowych o niezrealizowanych zapytaniach kredytowych; 3. naruszenie prawa materialnego, które miało wpływ na wynik sprawy, tj. art. 6 ust. 1 lit. f RODO w związku z art. 117 § 2 i § 21, art. 118 oraz 119 Kodeksu cywilnego, poprzez ich niewłaściwe zastosowanie, polegające na uznaniu, że obrona i dochodzenie roszczeń mogą dotyczyć wyłącznie już istniejących roszczeń; 4. naruszenie prawa materialnego, które miało wpływ na wynik sprawy, tj. art. 6 ust. 1 lit. c RODO w związku z art. 39 ust. 1 w związku z art. 34 ust. 1, art. 35 ust. 1, art. 36 ust. 1 oraz 49 ustawy o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu, poprzez ich niewłaściwe zastosowanie polegające na przyjęciu, że na Banku nie ciążą obowiązki związane z przeciwdziałaniem praniu pieniędzy oraz finansowaniu terroryzmu wówczas, gdy nie doszło do zawarcia umowy pomiędzy Bankiem a klientem - podczas gdy przepisy te nakładają na banki i B. S.A. obowiązek przetwarzania danych osobowych w celu zapewnienia bezpieczeństwa obrotu gospodarczego poprzez przeprowadzenie szczegółowego badania na temat klientów, w tym przyszłych klientów, jak i badania powiązań kapitałowo-osobowych, w tym w zakresie danych dostarczanych przez uczestnika postępowania, w tym także wtedy, gdy ostatecznie pomiędzy stronami nie została ostatecznie zawarta umowa; 5. naruszenie prawa materialnego, które miało wpływ na wynik sprawy, tj. art. 6 ust. 1 lit. c RODO w związku z art. 105 ust. 4 i 105a ust. 1 ustawy Prawo bankowe, poprzez ich błędną wykładnię i przyjęcie, że Bank jest jedynie obowiązany do dokonania oceny zdolności kredytowej klientów, podczas gdy z tego przepisu wynika obowiązek dokonania także analizy ryzyka kredytowego; 6. naruszenie prawa materialnego, które miało wpływ na wynik sprawy, tj. art. 6 ust. 1 lit. c RODO w związku z art. 105 ust. 4 ustawy Prawo bankowe, poprzez ich błędną wykładnię i przyjęcie, że Bank nie legitymuje się przesłanką do przetwarzania danych podczas gdy z tego przepisu wynika obowiązek przetwarzania danych, w tym danych z zapytań kredytowych, w zakresie, w jakim informacje te potrzebne są bankom do wykonywania czynności bankowych, w tym oceny zdolności kredytowej i analizy ryzyka kredytowego; 7. naruszenie prawa materialnego, które miało wpływ na wynik sprawy, tj. art. 6 ust. 1 lit. c RODO w związku z art. 144 ust. 1 lit. d, art. 145, art. 147 ust. 5 lit. b, art. 170 ust. 3 lit. a, ust. 4 lit. a, art. 171 ust. 2 oraz art. 179 ust. 1 lit. a rozporządzenia nr 575/2013, poprzez ich błędną wykładnię i przyjęcie, że na Banku nie ciążą obowiązki związane z analizą ryzyka kredytowego wówczas, gdy nie doszło do zawarcia umowy pomiędzy Bankiem a klientem; 8. naruszenie prawa materialnego, które miało wpływ na wynik sprawy, tj. art. 6 ust. 1 lit. c RODO w związku z art. 70a ustawy Prawo bankowe, poprzez ich niewłaściwe zastosowanie skutkujące przyjęciem, że Bank może dokonać wyjaśnienia dotyczącego dokonanej oceny zdolności kredytowej wnioskującego bez otrzymanych i przetwarzanych danych osobowych klienta, tylko wtedy, gdy zawarł on umowę z bankiem; 9. naruszenie prawa materialnego, które miało wpływ na wynik sprawy, tj. art. 6 ust. 1 lit. c RODO w związku z art. 106d ustawy Prawo bankowe, poprzez ich niewłaściwe zastosowanie skutkujące przyjęciem, że Bank nie jest uprawniony do przetwarzania danych, w tym danych osobowych zawartych we wnioskach kredytowych celem wypełnienia obowiązków wynikających z Prawa bankowego; podczas gdy wykazuje on cel przetwarzania danych osobowych polegający na analizie danych podanych we wnioskach kredytowych i analizie zapytań kredytowych złożonych w B. w określonym czasie w celu wykrycia nieścisłości oraz powzięcia informacji mogących stanowić o uzasadnionym podejrzeniu popełnienia przestępstw, o których mowa w art. 106d ustawy Prawo bankowe; 10. naruszenie prawa materialnego, które miało wpływ na wynik sprawy, tj. art. 6 ust. 1 lit. f RODO w związku z Rekomendacjami S, W i T KNF, polegające na ich niewłaściwym zastosowaniu i przyjęciu, że Bank nie legitymuje się przesłanką przetwarzania danych wynikającą z art. 6 ust. 1 lit. f RODO w związku z Rekomendacjami S, W i T KNF, podczas gdy rekomendacje te nakładają na banki, a w konsekwencji także na B. S.A., jako instytucję gromadzącą dane służące do oceny zdolności kredytowej oraz budującą modele scoringowe służące bankom, określone wymagania, które następnie podlegają egzekwowaniu przez KNF na podstawie bezwzględnie obowiązujących przepisów prawa. Z kolei w piśmie z dnia 26 września 2022 r. B. S.A. wywiódł do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na pkt 1 ww. decyzji Prezesa Urzędu Ochrony Danych Osobowych i wnosząc o jej uchylenie w zaskarżonej części, a także o zasądzenie od organu na jego rzecz zwrotu kosztów postępowania według norm przepisanych, w tym kosztów zastępstwa procesowego (w tym zwrotu opłaty skarbowej od pełnomocnictwa w kwocie 17 złotych), zarzucił zaskarżonemu rozstrzygnięciu: I. naruszenie przepisów prawa materialnego, tj.: 1. art. 6 ust. 1 lit. c RODO w związku z art. 105 ust. 1 pkt 1c w związku z art. 105 ust. 4 i w związku z art. 105a w związku z art. 70 i art. 5 ust. 1 pkt 3 ustawy Prawo bankowe, poprzez jego niewłaściwe zastosowanie i w konsekwencji nieuzasadnione przyjęcie, że skarżący nie posiada ww. podstawy prawnej do przetwarzania danych zawartych we wniosku kredytowym w przypadku nie zawarcia umowy kredytowej, podczas gdy B. jest ustawowo zobowiązany do realizacji obowiązku prawnego wynikającego z ww. przepisów polegającego na gromadzeniu, przetwarzaniu i udostępnianiu bankom oraz podmiotom szczegółowo wskazanym w przepisie informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych w postaci oceny zdolności kredytowej oraz analizy ryzyka kredytowego konkretnego klienta (indywidualna ocena zdolności kredytowej) oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013; ewentualnie, na wypadek nieuwzględnienia ww. zarzutu, zarzucił naruszenie art. 6 ust. 1 lit. f RODO, poprzez jego niewłaściwą wykładnię i w konsekwencji niezastosowanie wskutek przyjęcia, że B.S.A. nie posiada podstawy prawnej przetwarzania danych uczestnika postępowania opartej na prawnie uzasadnionym interesie administratora oraz podmiotów trzecich wskazanych w art. 105 ust. 4 pkt. 1-5 ustawy Prawo bankowe, w postaci realizacji obowiązku gromadzenia, przetwarzania oraz udostępnienia bankom oraz podmiotom wskazanym w ww. przepisie informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych w postaci oceny zdolności kredytowej oraz analizy ryzyka kredytowego konkretnego klienta (indywidualna ocena zdolności kredytowej), w celu budowy i utrzymania modeli scoringowych, a więc narzędzi wykorzystywanych przez banki do oceny zdolności kredytowej i analizy ryzyka kredytowego oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013; 2. art. 6 ust. 1 lit. c RODO w związku z art. 70a w związku z art. 105 ust. 4 pkt 1 i 2 oraz w związku z art. 105a ustawy Prawo bankowe, poprzez jego niezastosowanie wskutek uznania, że B. nie posiada podstawy prawnej do przetwarzania danych uczestnika postępowania w sytuacji niezawarcia umowy kredytowej, podczas gdy B. S.A. posiada podstawę prawną przetwarzania z uwagi na niezbędność przetwarzania do wykonania obowiązku prawnego przez banki i B. S.A., w postaci obowiązku przekazania osobie ubiegającej się o kredyt w formie pisemnej na jego wniosek wyjaśnień dotyczących dokonanej oceny zdolności kredytowej wnioskującego; 3. art. 6 ust. 1 lit. e RODO, poprzez jego niezastosowanie wskutek uznania, że B. S.A. nie posiada podstawy prawnej do przetwarzania danych uczestnika postępowania w sytuacji niezawarcia umowy kredytowej, podczas gdy B. S.A. posiada podstawę prawną przetwarzania z uwagi na niezbędność przetwarzania dla realizacji zadania w interesie publicznym przez banki i B. S.A. w postaci zabezpieczenia ekonomiczno-gospodarczego sektora bankowego, w tym depozytariuszy i zapewnienia stabilności ekonomiczno-gospodarczej sektora bankowego, a w ujęciu makro zapobieganiu kryzysom gospodarczym; 4. art. 6 ust. 1 lit. f RODO, poprzez jego niewłaściwe zastosowanie i w konsekwencji nieuzasadnione przyjęcie, że prawnie uzasadniony interes administratora danych nie może opierać się na przesłance ewentualnego zabezpieczenia roszczeń, podczas gdy istotą uzasadnionego interesu prawnego administratora jest możliwość przetwarzania danych przez okres przedawnienia roszczeń na wypadek konieczności obrony lub dochodzenia ewentualnych roszczeń, które mogą się pojawić w określonym czasie po przeprowadzeniu stosownej analizy zdolności kredytowej oraz analizie ryzyka kredytowego, które to B. S.A. zobowiązany jest gromadzić, przetwarzać i udostępniać bankom dla realizacji celów ustawowych badania zdolności kredytowej; 5. art. 6 ust. 1 lit. f RODO poprzez błędne uznanie, że wskutek braku zawarcia umowy kredytowej, B. S.A. nie posiada prawnie uzasadnionego interesu w przetwarzaniu danych uczestnika postępowania, podczas gdy istnieje prawnie uzasadniony interes B. S.A. w przetwarzaniu tych informacji pomimo nie zawarcia umowy kredytowej, polegający na realizacji działań z zakresu opracowania, utrzymania aktualności i funkcjonalności zbudowanych modeli scoringowych w zgodzie z treścią Rekomendacji W, S i T KNF w zakresie dobrych praktyk i zarządzania ryzykiem kredytowym; 6. art. 6 ust. 1 lit. f RODO, poprzez jego niezastosowanie wskutek uznania, że B. S.A. nie posiada podstawy prawnej do przetwarzania danych uczestnika postępowania, podczas gdy B. S.A. posiada podstawę prawną przetwarzania z uwagi na konieczność zapewnienia rozliczalności działań B. S.A. jako administratora danych osobowych na zasadzie art. 5 ust. 2 RODO w postaci wykazania przestrzegania przepisów dotyczących jakości danych. II. naruszenie przepisów prawa procesowego, mającego istotny wpływ na wynik sprawy, tj.: 1. art. 107 § 1 w związku z art. 8 § 1 i 2 Kodeksu postępowania administracyjnego, poprzez wydanie decyzji nakładającej na B. S.A. nieprecyzyjnie określone w osnowie obowiązki, których wykonanie jest obiektywnie niemożliwe bez podjęcia dalszych działań i prób sprecyzowania treści obowiązku wynikającego z nakazu zawartego w osnowie wydanej decyzji, co w sposób oczywisty stoi w sprzeczności z zasadą precyzyjnego określenia obowiązków nałożonych na adresata decyzji administracyjnej; 2. art. 7 w związku z art. 77 § 1 i w związku z art. 80 Kodeksu postępowania administracyjnego w związku z art. 7 ustawy o ochronie danych osobowych, poprzez niewyczerpujące zebranie, nierozpatrzenie i błędną ocenę całokształtu materiału dowodowego przejawiającego się w zaniechaniu dokonania wyczerpującej analizy charakteru, zakresu oraz celów gospodarczo-ekonomicznych dla jakich zostało powołany B. S.A. oraz obowiązków prawnych i obowiązków wynikających z zawartych przez B. S.A. umów z bankami, skutkującą wadliwą i niepełną oceną stanu faktycznego sprawy oraz charakteru działania B., co w konsekwencji skutkowało nieuzasadnionym wydaniem przez organ nakazu usunięcia danych osobowych uczestnika postępowania; 3. art. 7b w związku z art. 7 w związku z art. 77 Kodeksu postępowania administracyjnego w związku z art. 7 ustawy o ochronie danych osobowych, poprzez niedokładne wyjaśnienie stanu faktycznego i prawnego koniecznego do podjęcia przez organ stosownych czynności, a w szczególności niezwrócenie się do Komisji Nadzoru Finansowego w celu kompleksowego wyjaśniania stanu faktycznego sprawy oraz współdziałania w zakresie niezbędnym do dokładnego wyjaśnienia stanu prawnego, mając na względzie interes społeczny i słuszny interes obywateli w postaci ustalenia należytych zasad, celów i zakresu przetwarzania danych osobowych o niezrealizowanych zapytaniach kredytowych tak, by procesy przetwarzania danych czyniły zadość zarówno przepisom prawa o ochronie danych osobowych, jak i przepisom szeroko pojętego prawa bankowego, w szczególności dla zapewnienia ochrony wartości, których gwarancje ochrony wynikają z ww. przepisów zgodnie z zasadą proporcjonalności; 4. art. 7, art. 77 § 1 i art. 80 Kodeksu postępowania administracyjnego, poprzez zaniechanie dokonania oceny Rekomendacji S, W i T Komisji Nadzoru Finansowego jako organu właściwego do sprawowania nadzoru nad instytucjami krajowymi w rozumieniu przepisów UE (regulatora rynku finansowego), które to regulacje nakładają na banki, a w konsekwencji na B. S.A., jako instytucję gromadzącą dane służące do oceny zdolności kredytowej oraz budującą modele scoringowe służące bankom, określone wymagania, które podlegają nadzorowi i egzekwowaniu przez KNF na podstawie bezwzględnie obowiązujących przepisów prawa, co w konsekwencji doprowadziło do zaniechania przez organ oceny podstaw prawnych i celów dla jakich B. oraz banki są upoważnione do przetwarzania danych w zakresie zdolności kredytowej również w przypadku niezawarcia umowy kredytowej dla zabezpieczenia interesów banków oraz stabilności rynku gospodarczo-finansowego; 5. art. 7, art. 77 w związku z art. 80 Kodeksu postępowania administracyjnego, poprzez zaniechanie wyczerpującego zebrania i rozpatrzenia materiału dowodowego, a w szczególności przejawiającego się brakiem analizy treści skargi złożonej do Prezesa UODO przez uczestnika postępowania pod kątem istnienia - po stronie banków, a w konsekwencji B. S.A. jako instytucji gromadzącej dane służące do oceny zdolności kredytowej oraz budującej modele scoringowe służące bankom - oczywistego interesu prawnego przejawiającego się w odmowie udzielenia kredytu wynikającego z braku istnienia zdolności kredytowej po stronie uczestnika, co prowadzi do zabezpieczenia interesu banków przed nieodpowiedzialną polityką udzielania kredytów osobom, które nie mają szans na ich spłacenie oraz do zapewnienia stabilności gospodarczo-ekonomicznej sektora bankowego, a w ujęciu makro zapobieganiu kryzysom gospodarczym; 6. art. 7, art. 77 w związku z art. 80 Kodeksu postępowania administracyjnego, poprzez niezbadanie przez organ wszystkich podstaw prawnych dalszego przetwarzania danych o zapytaniach kredytowych, w sytuacji nieudzielenia kredytu, pomimo, iż przepisy prawa upoważniają B. S.A. do przetwarzania tych danych, co w konsekwencji doprowadziło do błędnego nakazania B. S.A. usunięcie danych osobowych wobec błędnego przyjęcia przez organ braku istnienia podstawy prawnej do przetwarzania danych; 9. art. 8 § 1 i 2 Kodeksu postępowania administracyjnego, poprzez odstąpienie przez organ od utrwalonej praktyki rozstrzygania spraw w takim samym stanie faktycznym i prawnym, co z kolei narusza zasadę pogłębiania zaufania obywateli do władzy publicznej. W odpowiedziach na skargi organ wniósł o ich oddalenie i podtrzymał stanowisko wyrażone w zaskarżonej decyzji. Wojewódzki Sąd Administracyjny w Warszawie wyrokiem z dnia 25 kwietnia 2023 r., sygn. akt II SA/Wa 1942/22 oddalił skargi Banku oraz B. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia 26 sierpnia 2022 r., nr DS.523.6463.2021.FT.UD w przedmiocie przetwarzania danych osobowych. W uzasadnieniu wyroku Sąd I instancji stwierdził, że skargi Banku i B. S.A. nie podlegały uwzględnieniu, gdyż zaskarżona decyzja Prezesa UODO z dnia 26 sierpnia 2022 r. w całości, a zatem zarówno w części dotyczącej rozstrzygnięcia zawartego w punkcie 1, jak i 2, nie narusza prawa. W ocenie Wojewódzkiego Sądu Administracyjnego w Warszawie organ podjął w tej sprawie decyzję po dokonaniu pełnych ustaleń stanu faktycznego niezbędnych do jej rozstrzygnięcia. Sprawa niniejsza prawidłowo rozpatrzona i rozstrzygnięta została na podstawie RODO. Dokonując oceny zgodności z prawem zaskarżonej decyzji w zakresie punktu 1 i 2, którą Prezes UODO nakazał B. S.A. i Bankowi usunięcie danych osobowych uczestnika postępowania zawartych w zapytaniu kredytowym z dnia 3 marca 2021 r. przetwarzanych bez podstawy prawnej, Sąd I instancji wskazał na wstępie, że zgodnie z motywem 40 RODO, aby przetwarzanie danych było zgodne z prawem, powinno się odbywać na podstawie zgody osoby, której dane dotyczą, lub na innej uzasadnionej podstawie przewidzianej prawem: albo w niniejszym rozporządzeniu, albo w innym akcie prawnym Unii lub w prawie państwa członkowskiego, o których mowa w niniejszym rozporządzeniu, w tym musi się ono odbywać z poszanowaniem obowiązku prawnego, któremu podlega administrator, lub z poszanowaniem umowy, której stroną jest osoba, której dane dotyczą, lub w celu podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy. Następnie Wojewódzki Sąd Administracyjny w Warszawie przywołał treść art. 6 ust. 1 RODO, art. 105a ust. 1, art. 105a ust. 4 i ust. 5, a także art. 70 ust. 1 ustawy Prawo bankowe. Biorąc powyższe pod uwagę Sąd I instancji wskazał, że nie ma w świetle powyższych przepisów wątpliwości i nie było kwestionowane przez Prezesa UODO w zaskarżonej decyzji (wbrew twierdzeniom Banku), że Bank oraz B. S.A., na podstawie art. 105a ust. 1 ustawy Prawo bankowe w związku z art. 70 ust. 1 tej ustawy, były uprawnione do przetwarzania danych osobowych uczestnika postępowania w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Wojewódzki Sąd Administracyjny w Warszawie dodał, że biorąc pod uwagę, że decyzja kredytowa w związku z zapytaniem kredytowym z dnia 3 marca 2021 r. zapadła w tym samym dniu, tj. 3 marca 2021 r., nie może być wątpliwości, że ocena zdolności kredytowej i analiza ryzyka kredytowego zostały dokonane (zrealizowane). W związku z powyższym Wojewódzki Sąd Administracyjny w Warszawie podkreślił, że cel przetwarzania danych, dla którego zostały one zgromadzone w zapytaniu kredytowym, został osiągnięty, ustał. W związku z powyższym Sąd I instancji zgodził się ze stanowiskiem wyrażonym przez organ, że tym samym odpadła przesłanka legalizująca dalsze przetwarzanie danych osobowych uczestnika postępowania przez Bank oraz B. S.A., które to przetwarzanie miało na celu – co wymaga podkreślenia i czego nie kwestionował organ – ocenę zdolności kredytowej i analizę ryzyka kredytowego (przed zawarciem umowy). Pomiędzy Bankiem a uczestnikiem postępowania nie nawiązał się żaden stosunek zobowiązaniowy, który stosownie do art. 105a ust. 1 -6 ustawy Prawo bankowe dawałby podstawę do dalszego przetwarzania jego danych osobowych zarówno przez Bank jak i B. S.A. Sąd I instancji podkreślił, że ustał cel przetwarzania, dla którego pozyskano dane osobowe uczestnika postępowania i nie ma spełnionej przesłanki ich dalszego przetwarzania, co trafnie stwierdził w zaskarżonej decyzji organ powołany do spraw ochrony danych osobowych. Wojewódzki Sąd Administracyjny w Warszawie zaznaczył, że przesłanki zawarte w art. 105a ustawy Prawo bankowe dotyczą przetwarzania informacji objętych tajemnicą bankową w okresie przed powstaniem zobowiązania, w trakcie jego trwania oraz po wygaśnięciu zobowiązania. Natomiast w sytuacji, gdy w następstwie złożenia wniosku kredytowego nie dochodzi do zawarcia umowy kredytowej z Bankiem, jak miało to miejsce w niniejszej sprawie, w ocenie Sądu I instancji brak jest ustawowych przesłanek legalizujących dalsze przetwarzanie danych osobowych uczestnika postępowania zawartych w zapytaniu kredytowym z dnia 3 marca 2021 r. Przetwarzane są one bowiem w celach wskazanych przez Bank i B. S.A. (innych niż cele, dla których zostały zebrane, tj. oceny zdolności kredytowej i analizy ryzyka kredytowego) bez podstawy prawnej. Sąd I instancji uznał także, że sposób sformułowania nakazu w decyzji nie stanowi o rażącym naruszeniu art. 107 § 1 Kodeksu postępowania administracyjnego, bowiem rozstrzygnięcie decyzji jest na tyle jasne i precyzyjne, że nie wywołuje trudności w sferze wykonania. Zdaniem Wojewódzkiego Sądu Administracyjnego w Warszawie nie ma przy tym wątpliwości, że nakaz usunięcia dotyczy danych osobowych uczestnika postępowania zawartych w zapytaniu kredytowym z dnia 3 marca 2021 r., a zarówno Bank jak i B. S.A. znają to zapytanie i zawarte w nim dane osobowe wymienionej osoby fizycznej. Sąd I instancji wyjaśnił, że dodanie przez organ w nakazach formuły "przetwarzanych bez podstawy prawnej" wiąże się ściśle ze stwierdzeniem przez organ w decyzji, że dane te po osiągnięciu przez B. S.A. i Bank celu przetwarzania w postaci oceny zdolności kredytowej i ryzyka kredytowego, są przetwarzane w sposób naruszający RODO. Nakazy nie są więc zdaniem Wojewódzkiego Sądu Administracyjnego w Warszawie nieprecyzyjne, a z całą pewnością nie można mówić o ich niewykonalności na gruncie tej sprawy i dokonanych ustaleń faktycznych. Następnie Sąd I instancji podkreślił, że na gruncie RODO niedopuszczalne jest – w takim stanie faktycznym, jak w niniejszej sprawie, gdy nie zawarto umowy kredytowej – przetwarzanie danych osobowych uczestnika postępowania "na przyszłość" w zupełnie innych celach niż je zebrano, w tym na potrzeby oceny zdolności kredytowej innych osób, w sytuacji, gdy nie można zrekonstruować wyraźnej podstawy prawnej takich działań. Jak wskazał Wojewódzki Sąd Administracyjny w Warszawie w sprawie nie mamy do czynienia z sytuacją, w której nawiązano stosunek zobowiązaniowy i następnie dane przetwarzane są (w tym także udostępniane) przez administratora nie tylko w celu zasadniczym, tj. realizacji zawartej z klientem umowy, ale także w innych celach, które powstały w trakcie trwania stosunku zobowiązaniowego i które w ocenie administratora winny być, czy mogą być – w związku z trwającym stosunkiem prawnym - kwalifikowane jako jego "prawnie uzasadnione interesy" na gruncie RODO (art. 6 ust. 1 lit. f RODO). Sąd I instancji uznał, że przypadek taki nie zachodzi w niniejszej sprawie. Sąd I instancji podkreślił, że przesłanki do dalszego przetwarzania danych osobowych uczestnika postępowania (na przyszłość i w innych wskazywanych obecnie przez Bank i B. S.A. celach) nie stanowi w tej sprawie, w jej okolicznościach faktycznych, ani dla Banku ani dla B. S.A. żadna z przesłanek z art. 6 ust. 1 lit. a-f RODO (czyli nie jest to ani zgoda (zgody takiej bowiem nie uzyskano i z akt sprawy nie wynika, aby zwracano się do uczestnika postępowania o zgodę na przetwarzanie w przyszłości jego danych osobowych w celach innych niż ocena zdolności kredytowej i ryzyka kredytowego), ani przetwarzanie niezbędne do wykonania umowy lub działań przed zawarciem umowy, ani wypełnienie obowiązku prawnego ciążącego na administratorze, ani niezbędność dla ochrony żywotnych interesów osoby fizycznej lub innej osoby, ani wykonanie zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej, ani niezbędność do celów wynikających z prawnie uzasadnionych interesów). Jednocześnie Sąd I instancji podkreślił, że nie można się przy tym zgodzić z B. S.A., że organ naruszył m.in. również art. 6 ust. 1 lit. e RODO, albowiem wbrew twierdzeniom skargi w sprawie tej nie mamy do czynienia z przetwarzaniem przez B. S.A. i Bank jako spółki prawa handlowego danych osobowych (osoby z którą Bank nie zawarł umowy) w ramach zadania realizowanego w interesie publicznym, o czym jest mowa w art. 6 ust. 1 lit. e RODO. Przetwarzanie danych osobowych przez Bank i B. S.A. jako spółki prawa handlowego nie ma miejsca na podstawie art. 6 ust. 1 lit. e RODO, niezależnie od wyznaczanych sobie przez te podmioty celów. Sąd I instancji dodał, że także określenie jako przedmiotu działalności gospodarczej "przetwarzanie danych" wymaga dla tego przetwarzania legalnej podstawy. Powołanie się na konieczność zabezpieczenia ekonomiczno-gospodarczego sektora bankowego, zapewnienie stabilności gospodarczej sektora bankowego jako uzasadnienie interesu publicznego, o którym mowa w art. 6 ust. 1 lit. e, w odniesieniu do przetwarzania danych zawartych w zapytaniu kredytowym osoby, z którą bank nie zawarł umowy nie jest trafne. Sąd I instancji podkreślił, że ustaleń w tym zakresie nie zmienia analiza treści znajdującej się w aktach administracyjnych umowy zawartej między wskazanymi spółkami prawa handlowego (B. S.A. i Bankiem). Umowa ta w ocenie Wojewódzkiego Sądu Administracyjnego w Warszawie nie stanowi samoistnej podstawy legalności przetwarzania danych osobowych uczestnika postępowania w celach wskazywanych obecnie przez wymienione podmioty. Jak zaznaczył Sąd I instancji stosowanie RODO nie może zostać wyłączone poprzez zapis umowy. Za nieuzasadnione Wojewódzki Sąd Administracyjny w Warszawie uznał wszystkie zarzuty podniesione przez Bank i B. S.A. w złożonych w tej sprawie skargach. Nietrafny, w świetle poczynionych wyżej ustaleń i rozważań, jest w ocenie Sądu I instancji zarzut Banku naruszenia art. 6 ust. 1 lit. c RODO w zw. z art. 105 ust. 4, art. 105a ust. 1 ustawy Prawo bankowe, jak również zarzut B. S.A. dotyczący naruszenia art. 6 ust. 1 lit. c (ewentualnie art. 6 ust. 1 lit. f) RODO w zw. z art. 105 ust. 1 pkt 1c w zw. z art. 105 ust. 4 i w zw. z art. 105a w zw. z art. 70 i art. 5 ust. 1 pkt 3 ustawy Prawo bankowe. Wojewódzki Sąd Administracyjny w Warszawie podkreślił, że organ nie kwestionował, że udzielanie kredytów jest czynnością bankową i zwrócił przy tym uwagę, że art. 105 ust. 4 ustawy Prawo bankowe nie nakłada na Bank obowiązku korzystania z zewnętrznej bazy zawierającej informacje o wnioskach z sektora bankowego oraz sektora pożyczkowego. Przyznaje jedynie bankom uprawnienie do tworzenia instytucji upoważnionych do gromadzenia, przetwarzania i udostępniania bankom informacji stanowiących tajemnicę bankową we wskazanym zakresie. Sąd I instancji zaznaczył, że wbrew zarzutom obu skarg brzmienie art. 105a ustawy Prawo bankowe nie daje podstaw do dalszego przetwarzania danych uczestnika postępowania po zakończeniu oceny zdolności kredytowej i analizy ryzyka kredytowego, gdy umowy nie zawarto. Zarówno Bank, jak i B. S.A. nie ma uprawnienia do dalszego przetwarzania tych danych, albowiem umowy nie zawarto i nie wykazano przesłanki legalizującej to działanie. Sąd I instancji zaznaczył, że przedstawione w art. 5 ust. 1 RODO zasady przetwarzania danych nie pozwalają na arbitralne decydowanie przez administratora – w sytuacji braku do tego podstaw – o dalszym przetwarzaniu (a zatem ich m.in. ujawnianiu poprzez przesyłanie, udostępnianie, utrwalanie, organizowanie, adaptowanie, modyfikowanie) danych osobowych mimo ustania celu, dla którego dane w zapytaniu kredytowym były zebrane. Wojewódzki Sąd administracyjny w Warszawie zaznaczył, że powyższe znajduje odniesienie do przetwarzania danych przez B. S.A. jako administratora. Do podmiotu tego też mają zastosowanie zasady przetwarzania danych określone w art. 5 RODO, a przepis art. 5 ust. 2 RODO stanowi, że administrator jest odpowiedzialny za przestrzeganie ust. 1 i musi być w stanie wykazać ich przestrzeganie ("rozliczalność"). Sąd I instancji uznał, że skoro Bank i B. S.A. nie dysponują przesłanką legalności przetwarzania danych zawartych w zapytaniu kredytowym wymienionej osoby po tym, gdy wniosła ona o usunięcie tych danych, co zasadnie stwierdził Prezes UODO, to nie można przyjąć, aby same zasady określone w RODO mogły wykreować (stanowić) przesłankę legalności przetwarzania danych. Wojewódzki Sąd Administracyjny w Warszawie uznał, że zaakceptowanie wykładni przepisów Prawa bankowego, ustawy o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu i rozporządzenia nr 575/2013 zaprezentowanej w skargach zarówno przez Bank jak i B. S.A. prowadziłaby do stwierdzenia, że na potrzeby oceny zdolności kredytowej i analizy ryzyka kredytowego Bank i B. S.A. mają prawo nieograniczonego w czasie przetwarzania danych osoby, z którą Bank nie zawarł umowy o kredyt, zaś prawo to doznaje ograniczenia, gdy doszło do zawarcia takiej umowy. Sąd I instancji przyznał, że wprawdzie ani Bank ani B. S.A. nie wskazywały, że przetwarzanie danych będzie nieograniczone w czasie, jednakże nie ma wątpliwości, że – wobec braku podstaw prawnych i ograniczeń czasowych przetwarzania danych uczestnika postępowania w celach przyjętych przez te podmioty (po dokonaniu oceny zdolności kredytowej i analizy ryzyka kredytowego) – można byłoby mówić o nieograniczonym w czasie przetwarzaniu tych danych. W ocenie Sądu I instancji narzucenie przez Bank i B. S.A. samym sobie ograniczeń czasowych dla poszczególnych, przyjętych przez te podmioty nowych celów przetwarzania, potwierdza jedynie, że nie można mówić o takim samym poziomie ochrony danych osobowych na gruncie RODO, jak w przypadku osoby, z którą zawarto umowę. Przepis art. 105a ust. 1 Prawa bankowego, stanowi, że przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów oraz instytucje utworzone na podstawie art. 105 ust. 4, informacji stanowiących tajemnicę bankową w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem art. 104, art. 105 i art. 106 - 106d ustawy, w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Zgodnie z art. 105 ust. 1 pkt 1c Prawo bankowego, bank ma obowiązek udzielenia informacji stanowiących tajemnicę bankową wyłącznie instytucjom, o których mowa w ust. 4, w zakresie niezbędnym do stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w przepisach części trzeciej rozporządzenia nr 575/2013. Sąd I instancji stanowczo zaznaczył, że podstawy prawnej przetwarzania danych osobowych uczestnika postępowania w niniejszej sprawie przez B. S.A., po tym, jak wniósł o usunięcie danych osobowych, nie zawarł z Bankiem umowy kredytowej, nie mógł stanowić art. 105 ust. 4 Prawa bankowego samodzielnie, ani też w powiązaniu z wszystkimi innymi powołanymi przez B. S.A. w skardze przepisami Prawa bankowego. Wojewódzki Sąd Administracyjny w Warszawie uznał także, że niezasadne są też zarzuty Banku dotyczące naruszenia art. 6 ust. 1 lit. c RODO w zw. z art. 106d Prawa bankowego, jak i w zw. z przepisami ustawy o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu, które Bank uzasadnił - w odniesieniu do art. 106d Prawa bankowego - celem w postaci wykrycia nieścisłości oraz powzięcia informacji mogących stanowić o uzasadnionym podejrzeniu popełnienia przestępstw, o których mowa w art. 106d Prawa bankowego, zaś w odniesieniu do przepisów ustawy o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu wskazał na wynikający z powołanych w skardze przepisów ww. ustawy obowiązek przetwarzania danych osobowych w celu zapewnienia bezpieczeństwa obrotu gospodarczego poprzez przeprowadzenie szczegółowego badania na temat klientów, w tym przyszłych klientów, jak i badania powiązań kapitałowo-osobowych, w tym w zakresie danych dostarczanych przez skarżącego, w tym także wtedy, gdy ostatecznie między stronami nie została zawarta umowa. W związku z powyższym Wojewódzki Sąd Administracyjny w Warszawie wyjaśnił, że z wymienionych wyżej przepisów prawa niewątpliwie wynika uprawnienie do monitorowania stosunków gospodarczych klienta i stosowania odpowiednich środków bezpieczeństwa finansowego, co jednak nie ma zupełnie odniesienia do niniejszej sprawy. Bank nie wskazał jakie działania (w sferze stosunków gospodarczych niedoszłego klienta, osoby, z którą nie zawarł umowy kredytowej) chciałby monitorować. Nie jest dla Sądu I instancji działaniem zrozumiałym powoływanie się przez Bank w kontekście tych przepisów na konieczność monitorowania niedookreślonych stosunków gospodarczych między Bankiem a osobą, z którą umowy kredytowej nie zawarto i która nadto, klientem Banku nie jest. Sąd I instancji uznał, że ogólne twierdzenia Banku o celu w postaci "zapewnienia bezpieczeństwa obrotu gospodarczego" nie mogą stanowić – w stanie faktycznym tej sprawy – podstawy legalizującej rozszerzanie podstaw i celów przetwarzania danych osobowych uczestnika postępowania. Wojewódzki Sąd Administracyjny w Warszawie zauważył, że z akt sprawy i wyjaśnień Banku w żaden sposób nie wynika, aby wyżej wymienionego łączyły stosunki gospodarcze z Bankiem, a nadto, aby Bank powziął podejrzenia, czy stwierdził próbę manipulacji. Sąd I instancji zaznaczył, że w przypadku braku nawiązaniu stosunków gospodarczych pomiędzy Bankiem a uczestnikiem postępowania brak jest również zaistnienia zdarzeń wymienionych w art. 49 ust. 1 ustawy o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu, tj. zakończenia stosunków gospodarczego z klientem lub przeprowadzenia transakcji okazjonalnej, od wystąpienia których można dopiero liczyć wskazany w ww. przepisie termin przetwarzania danych osobowych. Zdaniem Wojewódzkiego Sądu Administracyjnego w Warszawie rozszerzanie przez Bank dopuszczalności przetwarzania danych (zawartych w zapytaniu kredytowym) osoby, z którą nie zawarto umowy kredytowej, z powołaniem się na "zapewnienie bezpieczeństwa finansowego w przypadku nawiązywania stosunków gospodarczych", a zatem szeroko rozumiane, ogólne cele, nie znajduje podstawy na gruncie RODO i jest wprost sprzeczne z zasadą ograniczenia celu (art. 5 ust. 1 lit. b RODO), w sytuacji, gdy nie ma mowy o nawiązaniu stosunku zobowiązaniowego. Wojewódzki Sąd Administracyjny dodał, że podstawa prawna do dalszego przetwarzania danych osobowych uczestnika postępowania przez Bank i B. S.A. nie wynika także z następnych powołanych przez Bank w skardze przepisów art. 144 ust. 1 lit. d, art. 145, art. 147 ust. 5 lit. b, art. 170 ust. 3 lit. a, ust. 4 lit. a, art. 171 ust. 2 i art. 179 ust 1 lit. a rozporządzenia 575/2013, bowiem przepisy te nie stanowią podstawy do przetwarzania danych osobowych zawartych w zapytaniach kredytowych osoby, z którą nie zawarto umowy kredytu. Sąd I instancji podkreślił, że obowiązek zbierania informacji przydatnych w zarządzaniu ryzykiem nie może opierać się na naruszeniu przez Bank, czy inną instytucję finansową (B. S.A.) na gruncie RODO praw osoby fizycznej, która przekazała Bankowi swoje dane osobowe wyłącznie w celu oceny zdolności kredytowej i analizy ryzyka kredytowego, która to czynność nie zakończyła się zawarciem umowy kredytowej. Przepisy powołanego rozporządzenia 575/2013 nie stanowią podstawy do "dalszego" przetwarzania danych zawartych w zapytaniu kredytowym w sytuacji nienawiązania stosunku zobowiązaniowego. Sąd I instancji wskazał, że podziela twierdzenie Prezesa UODO zawarte w odpowiedzi na skargę, że konstruowanie skutecznych i poprawnie działających modeli, o których mowa w powołanym rozporządzeniu 575/2013 może następować wyłącznie w oparciu o dane osobowe pozyskane i przetwarzane w sposób legalny. Wojewódzki Sąd Administracyjny w Warszawie dodał, że organ nie kwestionował stosowania rozporządzenia nr 575/2013 – w ramach oceny zdolności kredytowej i analizy ryzyka kredytowego – a zatem w związku z wykonywaniem czynności bankowych co do zasady. Stwierdził jedynie, że nie wynika z nich podstawa prawna do przetwarzania danych osobowych zawartych w zapytaniu kredytowym uczestnika postępowania, a zatem osoby, z którą umowy kredytowej nie zawarto. Ponadto, Wojewódzki Sąd Administracyjny w Warszawie zauważył, że Prawo bankowe ściśle określa cele i zasady przetwarzania danych osobowych, w tym stanowi, w jakich przypadkach i dla jakich ściśle określonych celów jest dopuszczalne "dalsze" przetwarzanie danych bez zgody osoby fizycznej (po wygaśnięciu zobowiązania). W art. 105a ust. 4 Prawa bankowego ustawodawca wyraźnie wskazał na cele stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013. Prawo bankowe określa też przez jaki czas mogą być przetwarzane dane stanowiące tajemnicę bankową po wygaśnięciu zobowiązania. W związku z powyższym Sąd I instancji stwierdził, że rozciąganie uprawnienia – tak w odniesieniu do Banku, jak i B. S.A. – do dalszego przetwarzania danych osobowych zawartych w zapytaniu kredytowym z dnia 3 marca 2021 r. w przypadku, gdy nie powstało zobowiązanie nie może spotkać się w świetle przepisów RODO i Prawa bankowego z akceptacją Sądu. W ocenie Wojewódzkiego Sądu Administracyjnego w Warszawie, także wszystkie pozostałe wymienione w skardze Banku i B. S.A. przepisy prawa, o których była już mowa, nie stanowią odrębnej podstawy do zalegalizowania "dalszego" przetwarzania danych uczestnika postępowania, które zebrane zostały w ściśle określonym celu (o którym miał wiedzę), czyli w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Odnosząc się do kolejnego zarzutu Banku i B. S.A. Sąd I instancji wyjaśnił, że powstanie obowiązku, o którym mowa w art. 70a ust. 1 Prawa bankowego, uzależnione jest od złożenia stosownego wniosku przez osobę ubiegającą się o kredyt. Wniosek taki nie został natomiast złożony, a uczestnik niniejszego postępowania kilka dni po decyzji kredytowej, a kolejny raz po kilku miesiącach wniósł o usunięcie swoich danych. W związku z odmową w tym zakresie podjął też działania przed Prezesem UODO. Sąd I instancji zaznaczył więc, że z akt sprawy i całokształtu okoliczności nie wynika, aby wymieniona osoba wystąpiła do Banku, czy B. S.A. o jakiekolwiek wyjaśnienie dotyczące dokonanej oceny zdolności kredytowej. Wynika zaś, że złożyła żądanie usunięcia danych, w tym również w bazie B. S.A. W związku z powyższym Wojewódzki Sąd Administracyjny w Warszawie stwierdził, że nie może być więc mowy o tym, aby w sprawie znajdował zastosowanie art. 70a ust. 1 i 2 Prawa bankowego. Odnosząc się do zarzutów Banku i B. S.A. naruszenia art. 6 ust. 1 lit. f RODO w związku z Rekomendacjami S, W i T Komisji Nadzoru Finansowego Sąd I instancji stwierdzi, że także ten zarzut nie jest zasadny, bowiem powoływane Rekomendacje Komisji Nadzoru Finansowego nie są źródłem prawa powszechnie obowiązującego. W ocenie Wojewódzkiego Sądu Administracyjnego w Warszawie nie ma przy tym podstaw, aby w tym przypadku, w stanie faktycznym tej sprawy, wywodzić z Rekomendacji KNF – wobec osoby, z którą nie zawarto umowy kredytowej i która zażądała usunięcia danych – prawnie uzasadnione interesy Banku i B. S.A., o których jest mowa w art. 6 ust. 1 lit. f RODO. Ponadto, Sąd I instancji dodał, że Rekomendacje KNF, które zawierają konkretne wymagania regulacyjne wobec narzędzi używanych przez banki, nie powinny być interpretowane w sprzeczności z RODO w zakresie legalności przetwarzania danych (w zakresie zapytań kredytowych) osób, z którymi nie zawarto umów kredytowych. Nie mogą być wykładane w sposób prowadzący do nieuprawnionego przetwarzania takich danych. Twierdzenie, że wypełnienie nakazu Prezesa UODO w postaci usunięcia danych osobowych uczestnika postępowania przetwarzanych niezgodnie z prawem prowadziłoby do uniemożliwienia B. S.A. realizacji Rekomendacji w ocenie Sądu I instancji nie daje podstaw do stwierdzenia o dopuszczalności "dalszego" przetwarzania na gruncie RODO danych zawartych w zapytaniu kredytowym osoby, z którą Bank umowy nie zawarł, a jednocześnie nie uzyskał zgody tej osoby na dalsze przetwarzanie jej danych osobowych w celach innych niż te, w jakich je zgromadził. Także powoływana potrzeba realizacji działań z zakresu opracowania, utrzymania aktualności i funkcjonalności zbudowanych modeli scoringowych zdaniem Sądu I instancji nie stanowi w stanie faktycznym tej sprawy podstawy przetwarzania – w odniesieniu do danych osoby, z którą nie zawarto umowy kredytowej – w celu wynikającym z prawnie uzasadnionych interesów B. S.A. Sąd I instancji dodał, że nietrafny jest przy tym zarzut naruszenia art. 7b Kodeksu postępowania administracyjnego, poprzez niezwrócenie się przez Prezesa UODO do Komisji Nadzoru Finansowego jako organu właściwego w sprawach związanych m.in. z badaniem zdolności kredytowej i analizy ryzyka kredytowego, a także budową modeli scoringowych oraz do Generalnego Inspektora Informacji Finansowej jako organu właściwego w sprawach związanych m.in. z przeciwdziałaniem praniu pieniędzy i finansowaniu terroryzmu w zakresie wykorzystywania do realizacji tych zadań danych osobowych o niezrealizowanych zapytaniach kredytowych. Jak wyjaśnił Sąd I instancji, zgodnie z powołanym przepisem, w toku postępowania organy administracji publicznej współdziałają ze sobą w zakresie niezbędnym do dokładnego wyjaśnienia stanu faktycznego i prawnego sprawy, mając na względzie interes społeczny i słuszny interes obywateli oraz sprawność postępowania, przy pomocy środków adekwatnych do charakteru, okoliczności i stopnia złożoności sprawy. W sprawie niniejszej Prezes UODO nie miał obowiązku zwracania się do Komisji Nadzoru Finansowego czy Generalnego Inspektora Informacji Finansowej ani w zakresie dokonywanych ustaleń stanu faktycznego ani w zakresie wyjaśnień stanu prawnego, bowiem Prezes UODO jest wyspecjalizowanym organem ochrony danych osobowych, jedynym powołanym i uprawnionym do monitorowania i egzekwowania RODO, a nadto do upowszechniania wśród administratorów i podmiotów przetwarzających wiedzę o obowiązkach spoczywających na nich na mocy RODO. Zdaniem Sądu I instancji nie ma przy tym wątpliwości, że Prezes UODO dokonał w tej sprawie niezbędnych dla jej rozstrzygnięcia ustaleń faktycznych (omyłkowe wskazanie w samej odpowiedzi na skargę B. S.A. dat zapytań kredytowych, nie stanowi o błędnych ustaleniach faktycznych w tej sprawie). Sąd I instancji uznał, że w zakresie mającym znaczenie dla sprawy organ zebrał niezbędny materiał dowodowy, zwracał się do stron o udzielenie stosownych wyjaśnień, strony wyjaśnień tych udzieliły. Organ zgromadzony materiał dowodowy rozpatrzył wszechstronnie i należycie, a ocena tego materiału na gruncie przepisów RODO nie budzi zdaniem Sądu I instancji zastrzeżeń, jest prawidłowa. Wojewódzki Sąd Administracyjny w Warszawie stwierdził, że odmienna ocena zarówno Banku, jak i B. S.A. w zakresie wykładni i zastosowania powołanych przez organ przepisów prawa nie stanowi o naruszeniu przepisów postępowania, w tym art. 7, 77 i 80 Kodeksu postępowania administracyjnego. Sąd I instancji zauważył, że Prezes UODO nie kwestionował w zaskarżonej decyzji uprawnień instytucji finansowych w tym Banku i B. S.A. do dokonywania ustaleń i ocen w zakresie zdolności kredytowej. Przedmiotem sprawy była ocena zgodności z prawem "dalszego" przetwarzania danych osobowych wymienionej wyżej osoby zawartych w zapytaniu kredytowym z dnia 3 marca 2021 r., albowiem to przetwarzanie danych było przez uczestnika postępowania kwestionowane. Wojewódzki Sąd Administracyjny w Warszawie uznał przy tym, że uprawnienie do dokonania oceny w tym przedmiocie Prezes UODO bezspornie posiada na gruncie RODO, jako organ wyspecjalizowany. Gromadząc materiał dowodowy nie był przy tym obowiązany do dokonania analizy funkcjonowania sektora finansowego pod kątem wskazywanym w skargach, albowiem aspekt uprawnienia Banku i B. S.A. do oceny zdolności kredytowej i analizy ryzyka kredytowego nie budził żadnych wątpliwości u Prezesa UODO, co znalazło wyraz w uzasadnieniu zaskarżonej decyzji. Za niezasadny Sąd I instancji uznał także zarzut naruszenia art. 8 Kodeksu postępowania administracyjnego poprzez nieuwzględnienie przez organ dotychczas wydanych wyroków przez WSA w Warszawie i wyjaśnił, że każda sprawa rozstrzygana jest przez organ indywidualnie, a sąd rozpoznający niniejszą sprawę podziela odmienne poglądy od zaprezentowanych w powołanych przez B. S.A. orzeczeniach sądowoadministracyjnych. Następnie odnosząc się ponownie do zarzutu naruszenia art. 6 ust. 1 lit f. RODO, tym razem w związku z przytoczonymi w skardze przepisami Kodeksu cywilnego i w nawiązaniu do wskazywanej przez Bank i B. S.A. potrzeby przechowywania danych (zawartych w zapytaniu kredytowym z dnia 3 marca 2021 r.) osoby, z którą nie zawarto umowy kredytowej w celu ustalenia, dochodzenia i ochrony przed roszczeniami, ewentualnego zabezpieczenia roszczeń, na wypadek konieczności obrony lub dochodzenia ewentualnych roszczeń, które mogą się pojawić w określonym czasie po przeprowadzeniu stosownej analizy zdolności kredytowej oraz analizie ryzyka kredytowego Sąd I instancji podkreślił, że art. 6 ust. 1 lit. f RODO stanowi o uprawnieniu do przetwarzania, gdy jest ono niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Sąd I instancji zaznaczył, że za usprawiedliwiony cel w rozumieniu powołanego przepisu nie może zostać uznane przetwarzanie danych osobowych na wypadek ewentualnego dochodzenia lub obrony roszczeń. Wojewódzki Sąd Administracyjny w Warszawie podkreślił, że z akt sprawy nie wynika, aby uczestnik postępowania, który zażądał usunięcia danych w zakresie zapytania kredytowego, miał jakiekolwiek roszczenie na drodze cywilnoprawnej do Banku lub B. S.A. Z akt sprawy i wyjaśnień Banku nie wynika, aby wymieniony posiadał w Banku zobowiązania (w tym także kredytowe), czy był posiadaczem rachunku osobistego lub innych produktów bankowych. Jednoznacznie żądał natomiast usunięcia danych przetwarzanych bez podstawy prawnej. Z tego względu w ocenie Sądu I instancji nie jest dopuszczalne przyjęcie, że to art. 6 ust. 1 lit. f RODO mógłby stanowić podstawę dla Banku, czy B. do "dalszego" przetwarzania jego danych na wypadek ewentualnego dochodzenia roszczeń. Sąd I instancji dodał, że Bank w toku postępowania administracyjnego nie wykazał, nie wynika też ze skargi, jakich ewentualnie roszczeń chciałby dochodzić od osoby, która ostatecznie, najpierw po kilku dniach, a ponownie po kilku miesiącach od złożenia zapytania kredytowego, zażądała usunięcia swoich danych w zakresie tego zapytania kredytowego i z którą to osobą fizyczną nie zawarto umowy. Wojewódzki Sąd Administracyjny w Warszawie podkreślił, że z art. 3531 Kodeksu cywilnego wynika zasada swobody umów. Strony mogą zatem w ramach autonomii woli kształtować stosunki cywilnoprawne mocą własnych decyzji. Sąd I instancji podkreślił, że art. 3531 Kodeksu cywilnego wskazuje na podstawowy element, jaki dla swobody umów obligacyjnych ma kompetencja stron w zakresie kształtowania treści zobowiązania. W związku z powyższym Wojewódzki Sąd Administracyjny w Warszawie podkreślił, że umowy nie zawarto, zobowiązanie nie powstało, a zarówno B. S.A., jak i Bank nie wskazały, aby uczestnik postępowania kierował do nich jakiekolwiek roszczenia (zażądał jedynie usunięcia własnych danych osobowych w związku z tym, że ustał cel ich przetwarzania). Wojewódzki Sąd Administracyjny w Warszawie wyraźnie podkreślił, że ważąc interesy uczestnika postępowania, który żądał respektowania jego praw do ochrony danych osobowych wynikających z RODO i interesy Banku i B. S.A. przedstawiane już wyżej, w sytuacji, gdy nie zawarto umowy kredytowej, brak jest podstaw do przyjęcia, że spełniona została przesłanka z art. 6 ust. 1 lit. f RODO. Sąd I instancji wskazał, że podziela pogląd Naczelnego Sądu Administracyjnego wyrażony w wyroku z dnia 27 marca 2018 r., sygn. akt I OSK 1459/16, zgodnie z którym niedopuszczalne jest przetwarzanie danych osobowych niejako "na zapas" z założeniem, że mogą być one ewentualnie przydatne w przyszłości, na przykład z odwołaniem się do przepisów dotyczących przedawnienia roszczeń. Zdaniem Wojewódzkiego Sądu Administracyjnego w Warszawie wywodzenie zatem także z kwestii przedawnienia roszczeń samodzielnej podstawy do przetwarzania danych – w sytuacji, gdy mowa o danych osoby, z którą Bank nie zawarł umowy kredytowej, nie jest uprawnione i nie stanowi przesłanki do ich dalszego przetwarzania. Następnie Sąd I instancji dodał, gdy chodzi o podnoszony przez Bank cel przetwarzania danych wymienionej osoby po tym, gdy nie zawarto umowy, tj. wskazywane ogólnie wykrycie nieścisłości oraz powzięcie informacji mogących stanowić o uzasadnionym podejrzeniu popełnienia przestępstw, o których mowa w art. 106d Prawa bankowego, że Bank nie wykazał, aby przypadek taki miał miejsce w tej sprawie. Ponadto, Wojewódzki Sąd Administracyjny w Warszawie wskazał także, że samo powołanie się na zasadę rozliczalności (art. 5 ust. 2 RODO) nie legalizuje przetwarzania jakichkolwiek danych. Konieczne jest bowiem, aby w pierwszej kolejności przetwarzanie danych było zgodne z prawem. Sąd I instancji podkreślił, że niezależnie od zrozumienia dla argumentacji Banku i B. S.A. co do wskazywanych potrzeb, zamierzeń, czy celów, jakie podmioty te chciałyby osiągnąć w działalności gospodarczej poprzez "dalsze" przetwarzanie danych osobowych zawartych w zapytaniu kredytowym uczestnika postępowania (osoby, z którą Bank umowy kredytowej nie zawarł), a które zostały jednoznacznie wskazane zarówno w postępowaniu przed organem, jak i w skargach do Sądu, zaskarżona decyzja (zarówno w zakresie punktu 1, jak i 2) nie narusza prawa. Wojewódzki Sąd Administracyjny w Warszawie zaznaczył raz jeszcze, że w sprawie tej cel przetwarzania legalnie zebranych danych osobowych osoby fizycznej (zebranych w celu oceny zdolności kredytowej i analizy ryzyka kredytowego) ustał i stanowczo podkreślił, że każde przetwarzanie danych osobowych, tj. a tym samym nie tylko zebranie danych, ale także kontynuowanie ich przetwarzania w innych celach musi znajdować podstawę prawną. W ocenie Sądu I instancji w sprawie tej, co wykazano już wyżej takiej podstawy prawnej, stanowiącej przesłankę do "dalszego" przetwarzania danych osobowych wymienionej osoby fizycznej, w sprawie tej nie wykazano. Wojewódzki Sąd Administracyjny w Warszawie stwierdził, że niedopuszczalna jest taka interpretacja powołanych w skargach przepisów Prawa bankowego, ustawy o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu, Kodeksu cywilnego, czy rozporządzenia 575/2013, która czyniłaby uprawnionym na gruncie RODO dalsze przetwarzanie danych osobowych zawartych w zapytaniu kredytowym osoby, z którą nie zawarto umowy (a zatem w celach innych niż cele, w jakich je zebrano), w sytuacji, gdy Prawo bankowe wyraźnie reguluje dopuszczalność przetwarzania danych osobowych przed powstaniem zobowiązania, w trakcie jego trwania i po wygaśnięciu. Zdaniem Sądu I instancji przyjęcie interpretacji zaprezentowanej w skargach prowadziłoby do tego, że w odniesieniu do kategorii osób (których dane zawarte zostały w zapytaniu kredytowym), z którymi nie zawarto umowy kredytowej istniałaby pełna dowolność tak w zasadach ich przetwarzania (bez zgody osoby (jak należy wnioskować ze stanowisk Banku i B. S.A.), bez informacji przedstawianej przed pozyskaniem danych o innych celach przetwarzania (niż ocena zdolności kredytowej i ryzyka kredytowego) zarówno przez Bank jak i B. S.A., jak również dowolne ustalenia w odniesieniu do czasu ich przetwarzania (te kwestie byłyby bowiem (i są) i jak wynika z akt administracyjnych, tj. wyjaśnień Banku i B. S.A., ustalane samodzielnie przez te podmioty – z uwzględnieniem przyjmowanych przez nie celów służących co do zasady spełnieniu, jak wskazywano w postępowaniu, określonych wymagań organu nadzoru nad rynkiem finansowym. Wojewódzki Sąd Administracyjny w Warszawie zauważył, że sytuacja uczestnika postępowania, tj. osoby, która zwróciła się z zapytaniem kredytowym i z którą nie zawarto umowy kredytowej, jest z punktu widzenia ochrony danych osobowych, biorąc pod uwagę przepisy Prawa bankowego, sytuacją "gorszą" niż sytuacja osoby, która zawarła umowę kredytową i jej zobowiązanie wygasło. W tym drugim bowiem przypadku dla dalszego przetwarzania danych w B. S.A. po wygaśnięciu zobowiązania wynikającego z danej umowy niezbędna jest zgoda osoby, której dane dotyczą. Zgodę taką można nadto w każdym czasie odwołać. Odnosząc się do kwestii zaskarżenia przez Bank zarówno punktu 1 (nakazu skierowanego do B. S.A.), jak i punktu 2 decyzji (nakazu skierowanego do Banku) Sąd I instancji wskazał jedynie, że Bank i B. S.A. są odrębnymi administratorami. Prawidłowe jest dokonane w zaskarżonej decyzji ustalenie organu w tym zakresie. Konsekwencją powyższego, Sąd I instancji stwierdził, że niezależnie od występującego interesu faktycznego Banku w zakresie danych, jakie przetwarza B. S.A., brak jest podstaw, aby uznać, że po stronie Banku występuje interes prawny (legitymacja prawna) do kwestionowania nakazu wystosowanego przez organ do B. S.A.. Sąd I instancji podkreślił, że B. S.A. samodzielnie decyduje o celach i środkach przetwarzania danych w B. S.A. W związku z powyższym Wojewódzki Sąd Administracyjny w Warszawie uznał, że kwestia zaskarżenia przez Bank decyzji w całości pozostaje bez wpływu na wynik sprawy. Skarga kasacyjna od powyższego wyroku została wywiedziona przez B. S.A. Zaskarżając ten wyrok w części oddalającej skargę B. S.A. na punkt 1 decyzji organu z dnia 26 sierpnia 2022 r., nr DS.523.6463.2021.FT.UD i wnosząc o rozpoznanie skargi kasacyjnej na rozprawie, o uchylenie wyroku w zaskarżonej części i przekazanie do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie, a także zasądzenie kosztów postępowania, w tym kosztów zastępstwa procesowego i opłaty skarbowej od pełnomocnictwa, według norm prawem przepisanych, zaskarżonemu rozstrzygnięciu zarzucono: I. naruszenie przepisów postępowania mające istotny wpływ na wynik sprawy, tj.: 1. art. 145 § 1pkt 1 lit. c ustawy Prawo o postępowaniu przed sądami administracyjnymi w związku z art. 107 § 1 i art. 8 § 1 i § 2 Kodeksu postępowania administracyjnego, poprzez uznanie przez Wojewódzki Sąd Administracyjny w Warszawie, iż Prezes UODO precyzyjnie określił w osnowie decyzji obowiązki B. S.A., podczas gdy wykonanie nakazu zawartego w osnowie jest obiektywnie niemożliwe bez podjęcia dalszych działań i prób sprecyzowania treści obowiązku wynikającego z nakazu zawartego w osnowie wydanej decyzji, co w sposób oczywisty stoi w sprzeczności z zasadą precyzyjnego określenia obowiązków nałożonych na adresata decyzji administracyjnej, w konsekwencji czego zrealizowanie przez B. S.A. obowiązków wskazanych w decyzji Prezesa UODO pozostaje niemożliwe; 2. art. 145 § 1 pkt 1 lit. c ustawy Prawo o postępowaniu przed sądami administracyjnymi w związku z art. 7, art. 77 § 1 i art. 80 Kodeksu postępowania administracyjnego w związku z art. 7 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych, poprzez uznanie przez WSA, że organ prawidłowo zebrał i ocenił zgromadzony w sprawie materiał dowodowy, podczas gdy organ ten: - zaniechał dokonania wyczerpującej analizy charakteru, zakresu oraz celów gospodarczo-ekonomicznych dla jakich zostało powołane B. S.A. oraz obowiązków prawnych i obowiązków wynikających z zawartych przez B. S.A. umów z bankami i instytucjami ustawowo upoważnionymi do udzielania kredytów, co doprowadziło do wadliwej i niepełnej oceny stanu faktycznego skutkującej wadliwą oceną w zakresie ustalenia podstaw prawnych legitymujących B. S.A. do przetwarzania danych osobowych; - zaniechał dokonania oceny Rekomendacji S, W i T Komisji Nadzoru Finansowego jako organu właściwego do sprawowania nadzoru nad instytucjami krajowymi w rozumieniu przepisów UE (regulatora rynku finansowego), które to regulacje nakładają na banki i instytucje ustawowo upoważnione do udzielania kredytów, a w konsekwencji na B. S.A., jako instytucję gromadzącą dane służące do oceny zdolności kredytowej oraz budującą modele scoringowe służące bankom i tymże instytucjom, określone wymagania, które podlegają nadzorowi i egzekwowaniu przez Komisję Nadzoru Finansowego na podstawie bezwzględnie obowiązujących przepisów prawa, co doprowadziło do wadliwej oceny niezbędności przetwarzania przez B. S.A. danych osobowych uczestnika postępowania w przypadku niezawarcia umowy kredytowej dla zabezpieczenia interesów banków oraz stabilności rynku gospodarczo-finansowego i w konsekwencji do wadliwego uznania, że w ww. przypadku nie zachodzą przesłanki legitymujące B. S.A. do przetwarzania danych osobowych uczestnika postępowania; - nie dokonał analizy podstawowych zasad funkcjonowania stabilnego sektora finansowego w tym pod kątem istnienia - po stronie banków, a w konsekwencji B. S.A. jako instytucji gromadzącej dane służące do oceny zdolności kredytowej oraz budującej modele scoringowe służące bankom - oczywistego interesu prawnego przejawiającego się w odmowie udzielenia kredytu i wynikającego z braku istnienia zdolności kredytowej po stronie uczestnika postępowania, co prowadzi do zabezpieczenia interesu banków przed nieodpowiedzialną polityką udzielania kredytów osobom, które nie mają szans na ich spłacenie oraz do zapewnienia stabilności gospodarczo-ekonomicznej sektora bankowego, a w ujęciu makro zapobieganiu kryzysom gospodarczym, co doprowadziło do wadliwej oceny niezbędności przetwarzania przez B. S.A. danych osobowych uczestnika postępowania w przypadku nie zawarcia umowy kredytowej dla zabezpieczenia interesów banków oraz stabilności rynku gospodarczo-finansowego i w konsekwencji do wadliwego uznania, że w ww. przypadku nie zachodzą przesłanki legitymujące B. S.A. do przetwarzania danych osobowych uczestnika postępowania; - nie zbadał wszystkich podstaw prawnych dalszego przetwarzania danych o zapytaniach kredytowych, w sytuacji nie zawarcia umowy kredytu, pomimo, iż przepisy prawa upoważniają B. S.A. przetwarzania tych danych, co doprowadziło do wadliwej i niepełnej oceny stanu faktycznego skutkującej wadliwą oceną w zakresie ustalenia podstaw prawnych legitymujących B. S.A. do przetwarzania danych osobowych, co w konsekwencji doprowadziło do oddalenia skargi przez WSA wskutek błędnego przyjęcia przez WSA braku istnienia podstawy prawnej do przetwarzania danych, zatem braku legitymacji B. S.A. do przetwarzania danych osobowych uczestnika postępowania; 3. art. 145 § 1 pkt 1 lit. c ustawy Prawo o postępowaniu przed sądami administracyjnymi w związku z art. 7b i art. 7 w związku z art. 77 Kodeksu postępowania administracyjnego i art. 7 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych, poprzez uznanie, iż organ wyjaśnił stan faktyczny i prawny konieczny do podjęcia przez organ stosownych czynności, w tym zasadnie zaniechał zwrócenia się do Komisji Nadzoru Finansowego, podczas gdy dla kompleksowego wyjaśnienia sprawy konieczne było zwrócenie się do KNF i współdziałanie w zakresie niezbędnym do dokładnego wyjaśnienia stanu prawnego, mając na względzie interes społeczny i słuszny interes obywateli w postaci ustalenia należytych zasad, celów i zakresu przetwarzania danych osobowych o niezrealizowanych zapytaniach kredytowych tak, by procesy przetwarzania danych czyniły zadość zarówno przepisom prawa o ochronie danych osobowych, jak i przepisom szeroko pojętego prawa bankowego, w szczególności dla zapewnienia ochrony wartości, których gwarancje ochrony wynikają z ww. przepisów zgodnie z zasadą proporcjonalności, wskutek czego Prezes UODO wydał zaskarżoną decyzję w niepełnym stanie faktycznym i prawnym, czego WSA nie dostrzegł oddalając skargę i w konsekwencji wydał wyrok w oparciu o ten sam niepełny stan faktyczny i prawny; II. naruszenie prawa materialnego, tj.: 1. art. 6 ust. 1 lit. c RODO w związku z art. 105 ust. 1 pkt 1c w związku z art. 105 ust. 4 i art. 105a w związku z art. 70 i art. 5 ust. 1 pkt 3 ustawy Prawo bankowe, poprzez jego niezastosowanie przejawiające się w przyjęciu, że w sytuacji gdy nie doszło pomiędzy uczestnikiem postępowania a Bankiem do zawarcia umowy kredytowej, B. S.A. nie jest uprawniony do przetwarzania danych osobowych uczestnika postępowania, a w konsekwencji przyjęcie, że B. S.A. nie posiada ww. podstawy prawnej do przetwarzania danych zawartych we wniosku o udzielenie kredytu w przypadku niezawarcia umowy kredytowej, podczas gdy B. S.A. jest ustawowo zobowiązany do realizacji obowiązku prawnego wynikającego z ww. przepisów polegającego na gromadzeniu, przetwarzaniu i udostępnianiu bankom oraz podmiotom szczegółowo wskazanym w przepisie informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych w postaci oceny zdolności kredytowej oraz analizy ryzyka kredytowego konkretnego klienta (indywidualna ocena zdolności kredytowej) oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013; 2. art. 6 ust. 1 lit. c RODO w związku z art. 70a i art. 105 ust. 4 pkt 1 i 2 oraz związku z art. 105a ustawy Prawo bankowe, poprzez jego niezastosowanie wskutek uznania, iż przepisy prawa nie nakładają na B. S.A. obowiązku przekazywania osobie fizycznej ubiegającej się o kredyt wyjaśnień dotyczących dokonanej oceny zdolności kredytowej, a w konsekwencji przyjęcie, że B. S.A. nie posiada podstawy prawnej do przetwarzania danych uczestnika postępowania w sytuacji niezawarcia umowy kredytowej, podczas gdy B. S.A. posiada podstawę prawną przetwarzania z uwagi na niezbędność przetwarzania do wykonania obowiązku prawnego przez banki, instytucje ustawowo uprawnione do udzielania kredytów i B., w postaci obowiązku przekazania osobie ubiegającej się o kredyt w formie pisemnej na jej wniosek wyjaśnień dotyczących dokonanej oceny zdolności kredytowej wnioskującego; 3. art. 6 ust. 1 lit. e RODO, poprzez jego niezastosowanie wskutek uznania, że B. S.A. nie posiada podstawy prawnej do przetwarzania danych uczestnika postępowania w sytuacji niezawarcia umowy kredytowej, podczas gdy B. S.A. posiada podstawę prawną przetwarzania z uwagi na niezbędność przetwarzania dla realizacji zadania w interesie publicznym przez banki, instytucje ustawowo uprawnione do udzielania kredytów i B. w postaci zabezpieczenia ekonomiczno-gospodarczego sektora bankowego, w tym depozytariuszy i zapewnienia stabilności ekonomiczno-gospodarczej sektora bankowego, a w ujęciu makro zapobieganiu kryzysom gospodarczym; 4. art. 6 ust. 1 lit. f RODO, poprzez jego niewłaściwe zastosowanie wskutek uznania, że przetwarzanie danych osobowych dla realizacji prawnie uzasadnionych interesów administratora danych w celach zabezpieczenia roszczeń może dotyczyć wyłącznie roszczeń istniejących i aktualnie dochodzonych i w konsekwencji nieuzasadnione przyjęcie, że prawnie uzasadniony interes administratora danych nie istnieje w sytuacji konieczności przetwarzania danych osobowych do ochrony przed roszczeniami istniejącymi, ale niedochodzonymi w chwili dokonywania oceny, podczas gdy istotą uzasadnionego interesu administratora jest możliwość przetwarzania danych na wypadek konieczności obrony przed roszczeniami istniejącymi lub dochodzenia w przyszłości roszczeń istniejących, które w warunkach niniejszej sprawy są związane z przetwarzaniem danych osobowych na potrzeby opracowania oceny scoringowej uczestnika postępowania niezbędnej do przeprowadzenia analizy zdolności kredytowej oraz analizy ryzyka kredytowego, które to B. S.A. zobowiązany jest gromadzić, przetwarzać i udostępniać bankom i instytucjom ustawowo upoważnionym do udzielania kredytów dla realizacji celów ustawowych badania zdolności kredytowej; 5. art. 6 ust. 1 lit. f RODO, poprzez niewłaściwe zastosowanie poprzez przyjęcie, że wskutek braku zawarcia umowy kredytowej B. S.A. nie posiada prawnie uzasadnionego interesu w przetwarzaniu danych uczestnika postępowania, podczas gdy istnieje prawnie uzasadniony interes B. S.A. w przetwarzaniu tych informacji pomimo nie zawarcia umowy kredytowej, polegający na realizacji działań z zakresu opracowania, utrzymania aktualności i funkcjonalności zbudowanych modeli scoringowych w zgodzie z treścią Rekomendacji W, S i T Komisji Nadzoru Finansowego w zakresie dobrych praktyk i zarządzania ryzykiem kredytowym; 6. art. 6 ust. 1 lit. f RODO, poprzez jego niezastosowanie wskutek uznania, że B. S.A. nie posiada podstawy prawnej do przetwarzania danych uczestnika postępowania, podczas gdy B. S.A. posiada podstawę prawną przetwarzania z uwagi na konieczność zapewnienia rozliczalności działań B. S.A. jako administratora danych osobowych na zasadzie art. 5 ust. 2 RODO w postaci wykazania przestrzegania przepisów dotyczących jakości danych. W obszernym uzasadnieniu skargi kasacyjnej strona skarżąca kasacyjnie podkreśliła, że jest instytucją, o której mowa w art. 105 ust. 4 pkt 1 ustawy Prawo bankowe, powołaną w celu zapewnienia sprawnej wymiany informacji w sektorze bankowym. Pozostaje organizacyjnym i technologicznym wsparciem banków, instytucją służebną wobec banków, a jednocześnie integralnym elementem sektora bankowego, który umożliwia bankom realizację obowiązku wymiany informacji wynikającego wprost z art. 105 ust. 1 ustawy Prawo bankowe. Strona skarżąca kasacyjnie podkreśliła, że celem jej działalności jest gromadzenie, przetwarzanie i udostępnianie bankom informacji stanowiących tajemnicę bankową w zakresie w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013. W konsekwencji powyższego strona skarżąca kasacyjnie podkreśliła, że jest zobligowana ex lege do przetwarzania informacji stanowiących tajemnicę bankową. Strona skarżąca kasacyjnie wskazała, że podstawowe (choć nie wszystkie) cele przetwarzania danych osobowych przez B. S.A. są określane w bezpośrednim związku z faktem powołania B. S.A. na podstawie art. 105 ust. 4 Prawa bankowego. Natomiast podstawą prawną legitymującą B. S.A. do przetwarzania danych osobowych w ramach realizacji tych określonych celów przetwarzania danych osobowych jest w jego ocenie niezbędność przetwarzania danych dla realizacji obowiązków prawnych, jakie przepisy powszechnie obowiązujące nakładają na instytucje powołane na mocy art. 105 ust. 4 Prawa bankowego, a więc art. 6 ust. 1 lit. c RODO w związku z art. 105 ust. 4 Prawa bankowego w związku z adekwatnymi przepisami, dotyczącymi bezpośrednio realizacji przez B. S.A. działalności. Jednocześnie strona skarżąca kasacyjnie podkreśliła, że na żadnym etapie postępowania nie twierdziła, że fakt powołania stanowi wyłączną i zupełną regulację uprawniającą ją do przetwarzania danych osobowych uczestnika postępowania. Strona skarżąca kasacyjnie podniosła, że wyraźnie wskazywała art. 105 ust. 4 ustawy Prawo bankowe jako przepis uzupełniający, stanowiący jeden z elementów przyjmowanej przez B. S.A. podstawy prawnej przetwarzania danych osobowych uczestnika postępowania. Jednocześnie strona skarżąca kasacyjnie podkreśliła, że cel przetwarzania pozostaje zupełnie niezależny od tego, czy umowa kredytu została zawarta czy nie. W jej ocenie już sam wniosek uczestnika postępowania o udzielenie finansowania i dokonanie oceny ryzyka związanego z udzieleniem finansowania na podstawie tego wniosku jest informacją, która wpływa m.in. na budowanie modeli scoringowych przez B. S.A., które to modele, poprawnie i rzetelnie funkcjonujące, stanowią skuteczne zabezpieczenie sektora finansowego, w szczególności banków i sektora bankowego, a w ujęciu makroekonomicznym całej gospodarki, przed udzielaniem kredytów osobom, które nie mają szans na ich spłatę. B. S.A. jako istotny uczestnik sektora bankowego jest odpowiedzialny, w tym społecznie, za zapewnienie stabilności ekonomicznej sektora bankowego, a w konsekwencji również stabilności gospodarczej państwa. Strona skarżąca kasacyjnie podniosła, że wielokrotnie wykazywała w toku prowadzonego postępowania, że dane osobowe uczestnika postępowania są przetwarzane również w celach innych niż ocena zdolności kredytowej i analizy ryzyka kredytowego. Fakt niezawarcia przez uczestnika postępowania z Bankiem umowy kredytowej, w ocenie strony skarżącej kasacyjnie nie ma wpływu na to, iż B. S.A. jest w dalszym ciągu uprawniony do przetwarzania danych uczestnika postępowania m.in. w celu stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013, w tym budowy skutecznych i poprawnie działających modeli scoringowych przeznaczonych do oceny zdolności kredytowej i analizy ryzyka kredytowego. Ponadto, strona skarżąca kasacyjnie nie zgodziła się z twierdzeniem że skoro uczestnik postępowania złożył wniosek o usuniecie swoich danych to znaczy, że nie jest zainteresowany skorzystaniem z przysługującego mu prawa na mocy art. 70a Prawa bankowego. Zdaniem strony skarżącej kasacyjnie zarówno Prezes UODO jak i Sąd I instancji poczynili w tym zakresie nieprawidłowe ustalenie uznając, że skoro uczestnik postępowania domaga się ochrony danych osobowych w postępowaniu przed Prezesem UODO, to musi liczyć się z utratą możliwości uzyskania informacji wskazanych w art. 70a ust. 1 i 2 Prawa bankowego oraz że uczestnik postępowania nie był i nie jest zainteresowany realizacją prawa do złożenia wniosku, o którym mowa w art. 70a ust. 1 i 2 Prawa bankowego. Jak zaznaczyła strona skarżąca kasacyjnie ani organ ani Sąd I instancji nie ustalił istnienia ani nie przeprowadził żadnych dowodów mogących świadczyć o świadomości uczestnika postępowania w zakresie konsekwencji usunięcia danych osobowych dla realizacji uprawnień przysługujących mu z tytułu art. 70a ust. 1 i 2 Prawa bankowego. W ocenie strony skarżącej kasacyjnie nie sposób także zgodzić się z twierdzeniem jakoby Prezes UODO wyczerpująco zebrał i ocenił materiał dowodowy. Jak zauważyła strona skarżąca kasacyjnie skoro zdaniem Sądu I instancji materiałem dowodowym wystarczającym do wydania decyzji w postępowaniu administracyjnym były wyjaśnienia B. S.A. i Banku, to należałoby uznać, że sprawa jest na tyle nieskomplikowana, by wyjaśnienia te pozostawały wystarczającym dowodem w sprawie. Tymczasem praktyka oraz ilość spraw dotyczących podobnych okoliczności faktycznych pokazuje, że przedmiot sprawy nie jest oczywisty, a jej okoliczności nie są wystarczająco jednoznaczne, by za wystarczające dla ustalenia stanu faktycznego i prawnego uznać wyłącznie wyjaśnienia B. S.A. i Banku. Ponadto, strona skarżąca kasacyjnie podniosła, że organ zupełnie nie zbadał konsekwencji realizacji nakazu usunięcia danych dla produktów B. S.A. oferowanych bankom, ergo implikacji, jakie realizacja takiego nakazu, niesprecyzowanego co do zakresu i celu, będzie nieść właśnie dla sektora bankowego i dla stabilności gospodarczo-ekonomicznej. Prezes UODO w ocenie strony skarżącej kasacyjnie całkowicie zaniechał w prowadzonym przez siebie postępowaniu analizy skutków wydanej przez siebie decyzji. Strona skarżąca kasacyjnie wskazała także, że wbrew twierdzeniom Sądu I instancji w niniejszej sprawie nie można mówić o potencjalnych, abstrakcyjnych roszczeniach przysługujących uczestnikowi postępowania, bowiem roszczenia te istnieją, a niektóre z nich są aktualnie dochodzone w ramach niniejszego postępowania. Uprawnienia uczestnika postępowania do ochrony przysługujących mu praw, jak wskazała strona skarżąca kasacyjnie, zaktualizowały się w związku z działaniami już podjętymi przez B. S.A. na etapie realizacji przez B. S.A. jego obowiązków wynikających z przepisów Prawa bankowego i procedowania wniosku o finansowanie złożonego przez uczestnika postępowania w Banku. W ocenie strony skarżącej kasacyjnie jest to moment, w którym zaistniały po stronie uczestnika postępowania roszczenia, których to uczestnik postępowania może dochodzić wobec B. S.A. W konsekwencji, podstawy do dochodzenia roszczeń w celu ochrony praw przez uczestnika postępowania zdaniem strony skarżącej kasacyjnie niezaprzeczalnie istnieją (zarówno obecnie jak i w czasie prowadzenia postępowania administracyjnego i postępowania przed Sądem I instancji) i pozostają realne. Strona skarżąca kasacyjnie podniosła także, że wbrew twierdzeniom organu, powielonym przez Wojewódzki Sąd Administracyjny w Warszawie, przetwarzanie danych we wskazanych wyżej celu w oparciu o uzasadniony interes administratora nie prowadziłoby do przetwarzania przez B. S.A. danych uczestnika postępowania "w nieskończoność". Jak wskazała strona skarżąca kasacyjnie, ustawodawca unijny zabezpieczył interes podmiotu danych poprzez wprowadzenie zasady ograniczenia przechowywania danych. Okresy retencji danych są zdeterminowane zasadą ograniczenia przechowywania określoną w art. 5 lit. e RODO, zgodnie z którą dane muszą być przetwarzane przez okres nie dłuższy niż jest to niezbędne do celów, w których dane są przetwarzane. W przypadku przetwarzania danych w celu zabezpieczenia roszczeń jest to okres określony przepisami prawa dotyczącymi terminów przedawnienia roszczeń. Ponadto, B. S.A. jako administrator danych wewnętrznie ustalił terminy retencji w zakresie roszczeń na okres 6 lat, a tym samym bezpodstawne są twierdzenia jakoby dane osobowe mogły być przez niego przetwarzane "w nieskończoność". Reasumując, strona skarżąca kasacyjnie podkreśliła, że przetwarza (lub przetwarzała - z uwagi na upływ okresu retencji) dane osobowe uczestnika postępowania jako osoby, z którą Bank nie nawiązał stosunku zobowiązaniowego wskutek negatywnego wyniku indywidualnej oceny ryzyka kredytowego, dla realizacji następujących celów przetwarzania danych osobowych oraz w oparciu o następujące podstawy prawne przetwarzania: 1) w celu stosowanie metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013, w tym budowy skutecznych i poprawnie działających modeli scoringowych przeznaczonych do oceny zdolności kredytowej i analizy ryzyka kredytowego (na podstawie art. 6 ust. 1 lit. c RODO w związku z art. 105 ust. 1 pkt. 1c i art. 105 ust. 4 i w zw. z art. 105a w zw. z art. 70 i art. 5 ust. 1 pkt 3 Prawa bankowego i w zw. z przepisami rozporządzenia nr 575/2013); 2) w celu umożliwienia uzyskania wyjaśnień w zakresie czynników, w tym danych osobowych wnioskującego, które miały wpływ na dokonaną ocenę zdolności kredytowej (na podstawie art. 6 ust. 1 lit. c RODO w zw. z art. 70a w zw. z art. 105 ust, 4 pkt. 1 i 2 oraz w zw. z art. 105a w zw. z art. 105 ust. 4 pkt. 1 i 2 Prawa bankowego); 3) dla realizacji zadania spoczywającego na B. S.A. jako instytucji sektora bankowego w postaci zapewnienia stabilności ekonomiczno-gospodarczej poprzez skuteczne zabezpieczenie sektora finansowego, w szczególności banków i sektora bankowego, a w ujęciu makroekonomicznym całej gospodarki, przed skutkami nieodpowiedzialnej polityki udzielania kredytów osobom, które nie mają szans na ich spłatę (na podstawie art. 6 ust. 1 lit. e RODO w zw. z art. 9b Prawa bankowego oraz art. 2 ustawy o nadzorze nad rynkiem finansowym); 4) dla realizacji prawnie uzasadnionych interesów B. S.A. w postaci realizacji rekomendacji W, S i T KNF, a w konsekwencji zapewnienia narzędzi i możliwości zarzadzania ryzykiem kredytowym i realizacji dobrych praktyk obowiązujących w sektorze bankowym (na podstawie art. 6 ust. 1 lit. f RODO); 5) dla realizacji prawnie uzasadnionych interesów B. S.A. w postaci zabezpieczenia roszczeń, tj. możliwości ustalenia, dochodzenia lub obrony przed roszczeniami mogącymi mieć związek z dokonaną indywidualna oceną ryzyka kredytowego (na podstawie art. 6 ust. 1 lit. f RODO); 6) dla realizacji prawnie uzasadnionych interesów B. S.A. w postaci wykazania rozliczalności działań B. S.A. z przepisami powszechnie obowiązującym, w tym z przepisami RODO (na podstawie art. 6 ust. 1 lit. f RODO). Strona skarżąca kasacyjnie podniosła, że wypełnienie nakazu Prezesa UODO w postaci usunięcia danych osobowych uczestnika postępowania przetwarzanych w związku z zapytaniem kredytowym z dnia 3 marca 2021 r. przekazanych przez Bank prowadziłoby do rażącego naruszenia prawa powszechnie obowiązującego przez B. S.A. Co więcej, w ocenie strony skarżącej kasacyjnie realizacja tego nakazu kreuje realne ryzyko destabilizacji sektora bankowego i równowagi ekonomiczno-gospodarczej, co skutkować może zagrożeniem dla dobrobytu innych osób, w tym depozytariuszy, oraz może w szerszej perspektywie stanowić jeden z czynników, które potencjalnie będą wpływały na powstanie i pogłębianie się kryzysu gospodarczego o trudnych do określenia konsekwencjach. Z uwagi zatem na powyższe w ocenie skarżącego kasacyjnie usunięcie danych osobowych uczestnika postępowania jest niemożliwe, a nakaz Prezesa UODO został wydany z rażącym naruszeniem przepisów prawa powszechnie obowiązującego. Bank również wywiódł skargę kasacyjną od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 26 sierpnia 2022 r., sygn. akt II SA/Wa 1942/22 i zaskarżając ww. wyrok w części dotyczącej oddalenia skargi Banku oraz wnosząc o rozpoznanie skargi kasacyjnej na rozprawie, uchylenie zaskarżonego wyroku w części dotyczącej oddalenia skargi Banku oraz przekazanie sprawy w tym zakresie do ponownego rozpoznania Sądowi I instancji, a także o zasądzenie zwrotu kosztów postępowania, w tym kosztów zastępstwa procesowego i opłaty skarbowej od pełnomocnictwa od organu, według norm przepisanych, zarzucił zaskarżonemu rozstrzygnięciu: I. naruszenie przepisów postępowania, które mogło mieć istotny wpływ na wynik sprawy, tj.: 1. art. 151 ustawy Prawo o postępowaniu przed sądami administracyjnymi, poprzez jego niewłaściwe zastosowanie i w konsekwencji nieuwzględnienie skargi Banku, pomimo naruszenia przez organ przepisów art. 7, art. 77 oraz art. 80 Kodeksu postępowania administracyjnego w związku z art. 7 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych, poprzez uznanie, że organ wyczerpująco rozpatrzył materiał dowodowy oraz dokonał jego dowolnej oceny, przejawiającej się w: - uznaniu, że Bank nie dysponuje przesłankami legalizującymi przetwarzanie danych osobowych uczestnika postępowania, pomimo że to przetwarzanie danych osobowych jest niezbędne do realizacji prawnie uzasadnionych interesów Banku w związku z obroną przed roszczeniami i/lub ich dochodzeniem oraz realizacją rekomendacji S, W i T Komisji Nadzoru Finansowego; - uznaniu, że przetwarzanie danych osobowych uczestnika postępowania w celu obrony przed roszczeniami lub/i ich dochodzeniem skutkuje ich permanentnym przetwarzaniem mimo wskazania przez Bank wyraźnych ram czasowych takiego przetwarzania poprzez odniesienie do zasad przedawnienia roszczeń; - zaniechaniu zbadania okresów retencji danych osobowych obowiązujących w Banku, pomimo że wyznaczają one wyraźne granice przetwarzanie danych do każdego ze wskazanych przez Bank celów, w tym celów związanych z realizacją prawnie uzasadnionych interesów; - zaniechaniu zbadania realizacji przez Bank celów związanych z dokonywaniem analizy ryzyka kredytowego dla całego portfela kredytowego, podczas gdy należy je wyraźnie oddzielić od oceny zdolności kredytowej; - zaniechaniu zbadania wpływu usunięcia danych osobowych dotyczących niezrealizowanych wniosków kredytowych na stabilność sektora bankowego oraz możliwość realizacji obowiązków prawnych ciążących na Banku; - uznaniu, że Bank nie jest zobowiązany do realizacji obowiązków wynikających z ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu w sytuacji, gdy nie doszło do zawarcia umowy, podczas gdy Bank, jako instytucja obowiązana, jest zobowiązany do dokumentowania zastosowanych środków bezpieczeństwa finansowego w każdym przypadku; - zaniechaniu zbadania wpływu usunięcia danych osobowych dotyczących niezrealizowanych wniosków kredytowych na wiarygodność i skuteczność modeli scoringowych, które służą do oceny wiarygodności kredytowej klientów Banku; - uznaniu, że wniosek uczestnika postępowania o usunięcie jego danych osobowych jest jednoznaczny ze świadomością braku uzyskania wyjaśnień dokonanej oceny zdolności kredytowej wnioskującego; - uznaniu, że obowiązki wynikające rozporządzenia nr 575/2013 w zakresie monitorowania zmian swojej ekspozycji kredytowej są możliwe do realizacji po usunięciu danych osobowych dotyczących niezrealizowanych wniosków kredytowych; - zaniechaniu zbadania konsekwencji braku przestrzegania rekomendacji Komisji Nadzoru Finansowego przez Bank w związku z usunięciem danych osobowych uczestnika postępowania; w konsekwencji Sąd oddalił skargę Banku uznając, że Bank nie dysponuje przesłankami mogącymi legitymizować przetwarzanie danych osobowych uczestnika postępowania; 2. art. 151 ustawy Prawo o postępowaniu przed sądami administracyjnymi poprzez jego niewłaściwe zastosowanie i w konsekwencji nieuwzględnienie skargi Banku, pomimo naruszenia przez organ przepisów postępowania, które miało istotny wpływ na wynik sprawy, tj. art. 7b Kodeksu postępowania administracyjnego w związku z art. 7 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych, polegające na braku zwrócenia się do Komisji Nadzoru Finansowego jako organu właściwego w sprawach związanych m.in. z badaniem zdolności kredytowej i analizą ryzyka kredytowego, a także budową modeli scoringowych oraz do Generalnego Inspektora Informacji Finansowej jako organu właściwego w sprawach związanych z m.in. z przeciwdziałaniem praniu pieniędzy i finansowaniu terroryzmu w zakresie wykorzystywania do realizacji tych zadań danych, w tym danych osobowych o niezrealizowanych zapytaniach kredytowych w zakresie możliwym do pogodzenia z zasadami ochrony danych osobowych wynikającymi z RODO, co uniemożliwiło dokładne wyjaśnienie stanu faktycznego i prawnego sprawy, a tym samym uwzględnienie interesu społecznego i słusznego interesu obywateli polegającego na ustaleniu zasad, które umożliwiłyby realizację obowiązków prawnych ciążących na Banku oraz jego prawnie uzasadnionych interesów w zgodzie z zasadami ochrony danych osobowych; w konsekwencji Sąd oddalił skargę Banku w oparciu o niepełny stan faktyczny oraz prawny; II. naruszenie prawa materialnego, tj.: 1. art. 6 ust. 1 lit. c RODO w związku z art. 105a ust. 1 w związku z art. 9b ust. 1 oraz art. 9b ust. 2 pkt 2 ustawy Prawo bankowe, poprzez ich niezastosowanie i przyjęcie, że Bank jest jedynie obowiązany do dokonania oceny zdolności kredytowej klientów, podczas gdy z tego przepisu wynika obowiązek dokonania także analizy ryzyka kredytowego, która dotyczy całego portfela kredytowego Banku, a nie ogranicza się wyłącznie do oceny zdolności kredytowej konkretnej osoby wnioskującej o kredyt, ani też nie dotyczy wyłącznie powstałych już zobowiązań, a ocena ta służy do zapewnienia bezpieczeństwa i stabilności całego sektora finansowego oraz bezpieczeństwa finansowego osób wnioskujących o kredyt a także jest elementem systemu zarządzania ryzykiem, który stanowi obligatoryjny element systemu zarządzania w każdym banku; 2. art. 6 ust. 1 lit. c RODO w związku z art. 144 ust. 1 lit. d, art. 145, art. 147 ust. 5 lit. b, art. 170 ust. 3 lit. a, ust. 4 lit. a, art. 171 ust. 2 oraz art. 179 ust. 1 lit. a rozporządzenia nr 575/2013, poprzez ich niezastosowanie wskutek przyjęcia, że na Banku nie ciążą obowiązki wynikające z ww. rozporządzenia związane z analizą ryzyka kredytowego wówczas, gdy nie doszło do zawarcia umowy pomiędzy Bankiem a klientem, podczas gdy prawidłowe wypełnianie obowiązków wynikających z ww. rozporządzenia wyklucza dowolne modyfikowanie stosowanych modeli scoringowych w trakcie ich stosowania czy też usuwanie danych, a także wymaga przetwarzania danych osobowych pochodzących, między innymi, z niezrealizowanych wniosków kredytowych; 3. art. 6 ust. 1 lit. c RODO w związku z art. 39 ust. 1, art. 34 ust. 1 i ust. 3, art. 35 ust. 1 pkt 1, art. 36 ust. 1, art. 49 ust. 1 ustawy o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu w związku z art. 106d ust. 1 pkt 3 ustawy Prawo bankowe, poprzez ich niewłaściwą wykładnię, polegającą na przyjęciu, że na Banku nie ciążą obowiązki związane z przeciwdziałaniem praniu pieniędzy oraz finansowaniu terroryzmu wówczas, gdy nie doszło do zawarcia umowy pomiędzy bankiem a klientem, podczas gdy banki, jako instytucje obowiązane w rozumieniu przepisów ustawy o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu, mają obowiązek wykonania środków bezpieczeństwa finansowego oraz udokumentowania ich zastosowania przed nawiązaniem stosunków gospodarczych, a więc jeszcze przed ewentualnym powstaniem cechy trwałości tychże stosunków, a następnie przechowywania tych informacji przez terminy wskazane w art. 49 ust. 1 ustawy o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu; 4. art. 6 ust. 1 lit. c RODO w związku z art. 70a ust. 1 i ust. 2 ustawy Prawo bankowe, poprzez ich niezastosowanie wskutek uznania, że Bank nie jest obowiązany do przekazania pisemnych wyjaśnień dotyczących dokonanej oceny zdolności kredytowej wnioskującego w sytuacji, gdy ostatecznie nie zawarł on umowy z bankiem, podczas gdy obowiązek przekazania tych wyjaśnień nie jest ograniczony wyłącznie do przypadków, gdy finalnie dochodzi do zawarcia umowy z wnioskującym; 5. art. 6 ust. 1 lit. f RODO, poprzez jego niezastosowanie wskutek uznania, że: - obrona i dochodzenie roszczeń mogą dotyczyć wyłącznie już istniejących roszczeń; - prawnie uzasadnionym interesem administratora nie może być obrona przed roszczeniami lub dochodzenie roszczeń jeszcze nieskonkretyzowanych w postaci wezwania lub pozwu; - upływ terminu przedawnienia pozostaje bez znaczenia dla sytuacji zarówno wierzyciela, jak i dłużnika; Podczas gdy prawnie uzasadnionym interesem Banku jest konieczność zapewnienia sobie możliwości podjęcia skutecznej obrony w wypadku, gdy uczestnik postępowania wystosowałby wobec niego w przyszłości roszczenia związane z niezrealizowanym wnioskiem kredytowym lub w sytuacji, gdy takie roszczenie Banku powstałoby w przyszłości; 6. art. 6 ust. 1 lit. f RODO, poprzez jego niezastosowanie wskutek przyjęcia, że: - prawnie uzasadnionym interesem Banku nie jest stosowanie Rekomendacji S, W i T wydanych przez Komisję Nadzoru Finansowego, podczas gdy zawierają one listę konkretnych oczekiwań, które winny być spełnione przez każdy bank i zostały wydane przez organ nadzorczy, któremu kontroli podlegają, a prawnie uzasadniony interes nie musi wynikać z przepisów powszechnie obowiązującego prawa, musi być jedynie z nimi zgodny; - nadrzędny charakter wobec interesów Banku mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, podczas gdy brak wdrożenia rekomendacji KNF może skutkować podjęciem działań kontrolnych wobec Banku; w konsekwencji naruszeń wskazanych w pkt 1-6 powyżej Sąd I instancji błędne uznał, że Bank nie dysponuje przesłankami legalizującymi przetwarzanie danych osobowych uczestnika postępowania. W obszernym uzasadnieniu skargi kasacyjnej Bank – jako strona skarżąca kasacyjnie – podniósł, że nie zgadza się z treścią wyroku, jak i jego uzasadnieniem, bowiem jego zdaniem Wojewódzki Sąd Administracyjny w Warszawie ograniczył się do powtórzenia argumentacji przedstawionej przez organ, jedynie w niewielkim stopniu odnosząc się do argumentów przedstawianych przez Bank w toku postępowania. W ocenie strony skarżącej kasacyjnie, zaskarżona decyzja została wydana przez organ z naruszeniem obowiązku podjęcia wszelkich czynności niezbędnych do dokładnego wyjaśnienia stanu faktycznego oraz do załatwienia sprawy wobec naruszenia art. 7b Kodeksu postępowania administracyjnego w związku z art. 7 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych, polegającego na braku zwrócenia się do KNF jako organu właściwego w sprawach związanych m.in. z badaniem zdolności kredytowej i analizą ryzyka kredytowego, a także budową modeli scoringowych oraz do Generalnego Inspektora Informacji Finansowej jako organu właściwego w sprawach związanych z m.in. z przeciwdziałaniem praniu pieniędzy i finansowaniu terroryzmu w zakresie wykorzystywania do realizacji tych zadań danych, w tym danych osobowych o niezrealizowanych zapytaniach kredytowych. W konsekwencji zdaniem strony skarżącej kasacyjnie doprowadziło to do niesłusznego nakazania Bankowi usunięcia danych osobowych wobec braku podstawy prawnej do ich dalszego przetwarzania. Strona skarżąca kasacyjnie podniosła, że w niniejszej sprawie wymagana jest znajomość obowiązków spoczywających na bankach i B., wynikających zarówno z przepisów ustawy Prawo bankowe, jak i działań oraz oczekiwań organów nadzorczych, w tym KNF oraz wydawanych przez ten organ Rekomendacji dla sektora bankowego oraz Generalnego Inspektora Informacji Finansowej. Organ powinien zatem, badając cele przetwarzania danych po stronie Banku i B., zwrócić się do tych organów o wyjaśnienia w zakresie obowiązków regulacyjnych tych podmiotów, czego jednak nie uczynił, wypowiadając się w materii merytorycznie właściwej innym organom. Ponadto, w ocenie strony skarżącej kasacyjnie wskutek braku wskazanego współdziałania organ zaniechał zbadania konsekwencji braku przestrzegania rekomendacji Komisji Nadzoru Finansowego przez Bank w związku z usunięciem danych osobowych uczestnika postępowania, a także wpływu usunięcia danych osobowych dotyczących niezrealizowanych wniosków kredytowych na wiarygodność i skuteczność modeli scoringowych, które służą do oceny wiarygodności kredytowej klientów Banku. Ponadto, strona skarżąca kasacyjnie podniosła, że organ i Sąd I instancji dokonując interpretacji art. 105a ust. 1 ustawy Prawo bankowe zupełnie pominęły, że przetwarzanie informacji na jego podstawie odbywa się także w celu oceny ryzyka kredytowego, co jasno wynika z literalnego brzmienia ww. przepisu. W związku z powyższym strona skarżąca kasacyjnie podkreśliła, że pojęcia "zdolności kredytowej" i "ryzyka kredytowego" nie są tożsame, gdyż pierwsze z nich dotyczy rozpoznania i oceny ryzyka związanego z przyznaniem kredytu konkretnej osobie w konkretnej wysokości, zaś analiza "ryzyka kredytowego" wiąże się z koniecznością oszacowania ryzyka dla całego banku związanego z danym portfelem zobowiązań. O ile bowiem Bank (samodzielnie lub z pomocą B.) musi początkowo oszacować, jakiej wysokości kredyt może zaoferować konkretnej osobie, osobną kwestią jest oszacowanie, szczególnie dla zobowiązań średnio i długoterminowych czy prawdopodobne jest, że kredytobiorca będzie spłacał zobowiązanie przez cały okres jego trwania. Co ważne, strona skarżąca kasacyjnie podkreśliła, że nie jest to uprawnienie, ale obowiązek Banku. Osoba wnioskująca o kredyt, a nierzadko o kolejny kredyt, ma wiedzę wyłącznie o swojej bieżącej sytuacji finansowej, którą ocenia najczęściej dobrze. Natomiast Bank, niejako w imieniu osoby wnioskującej o kredyt, musi ustalić, czy ma ona szansę, również za wiele lat, spłacić kredyt i czy nie popadnie w poważne kłopoty finansowe z powodu zbyt dużego obciążenia kredytami. To zadanie ciążące na Banku jest określane jako analiza ryzyka kredytowego osoby wnioskującej o kredyt. Natomiast dla ułatwienia zadań związanych z analizą ryzyka kredytowego powołane zostały międzybankowe instytucje uprawnione do gromadzenia i wymiany danych objętych tajemnicą bankową. Strona skarżąca kasacyjnie podniosła, że analiza ryzyka wykonywana na podstawie informacji zgromadzonych w B. pokazuje, że jeśli osoba wielokrotnie wnioskuje o kredyt, to w przypadku udzielenia kredytu będzie ona miała częściej trudności w regularnej obsłudze zobowiązania, niż osoba o mniejszej historii wnioskowania o kredyt. Innymi słowy, strona skarżąca kasacyjnie wyjaśniła, że informacja na temat częstego ubiegania się o kredyt osoby wnioskującej wskazuje na zwiększone ryzyka udzielenia finansowania danemu klientowi dla banku. Strona skarżąca kasacyjnie podkreśliła, że ocena zdolności kredytowej oraz analiza ryzyka uzupełniają się wzajemnie i są procesami silnie związanymi, dlatego tak bardzo ważne jest gromadzenie i korzystanie z wiedzy na temat wnioskujących osób, którym przyznano kredyt, jak i tym, którym nie przyznano kredytu. Strona skarżąca kasacyjnie zwróciła także uwagę na to, że obowiązek wynikający z przepisu art. 105a ust. 1 i ust. 1a ustawy Prawo bankowe dotyczy przetwarzania danych osobowych przed przyznaniem kredytu, w trakcie jego spłaty i przetwarzania danych przez minimalny okres w przypadku nieudzielenia kredytu – dla oszacowania ryzyka spłaty innych kredytów. Dopiero kolejne obowiązku wynikające z przepisu art. 105a ustawy Prawo bankowe, tj. ust. 2 i ust. 3 regulują kwestie przetwarzania danych po wygaśnięciu zobowiązania, a więc odnoszą się do powstałych zobowiązań, co w swoich rozważaniach pominął Sąd I instancji. Strona skarżąca kasacyjnie dodała także, że wbrew twierdzeniom Wojewódzkiego Sądu Administracyjnego w Warszawie, Bank nie wywodzi w żądnym wypadku jakoby miał uprawnienie do nieograniczonego niczym przetwarzania danych osobowych uczestnika postępowania. Strona skarżąca kasacyjnie nie zgodziła się z konstatacją organu, powtórzoną przez Sąd I instancji, że omawiane przetwarzanie danych osobowych skutkowałoby przetwarzaniem danych osobowych w nieskończoność. Strona skarżąca kasacyjnie podkreśliła, że absolutnie nie można mówić tu o permanentnym przetwarzaniu danych osobowych, bowiem zasady retencji danych osobowych stosowane przez Bank wyznaczają okresy przedawnienia, co zostało pominięte zarówno przez organ, jak i Sąd I instancji. Strona skarżąca kasacyjnie dodała, że organ nie próbował ustalić, jakie zasady dotyczące retencji danych osobowych w takich wypadkach obowiązują w Banku, co powinien był zrobić w ramach wyczerpującego rozpatrzenia materiału dowodowego w sprawie. Gdyby organ dokonał ww. ustaleń, dowiedziałby się, że Bank wiąże z upływem okresu przedawnienia skutek w postaci usunięcia danych osobowych (oczywiście nie dotyczy to przypadków, w których Bank dysponuje innymi przesłankami legalizującymi takie przetwarzanie), Tym samym strona skarżąca kasacyjnie podniosła, że fałszywy jest wniosek, że dane uczestnika postępowania byłyby przetwarzane permanentnie. Zdaniem strony skarżącej kasacyjnie przetwarzanie danych osobowych w związku z dochodzeniem lub obroną przed roszczeniami jest w zasadzie modelowym przypadkiem, o którym mowa w art. 6 ust. 1 lit. f RODO – przetwarzanie jest bowiem niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora. Strona skarżąca kasacyjnie podniosła także, że jej zdaniem nie można zgodzić się z argumentacją zarówno organu, jak i Sądu I instancji, w zakresie uznania, że z uwagi na to, że uczestnik postępowania nie zgłosił na tym etapie żadnych roszczeń jest równoznaczny z ich brakiem. Po pierwsze, uczestnik postępowania wcale nie musi artykułować takich roszczeń na tym etapie. Po drugie -to, że tego nie zrobił, nie oznacza, że zrzekł się wobec Banku wszelkich roszczeń, które niekoniecznie muszą być w jakikolwiek uzasadnione prawnie lub faktycznie (lub mogą być uzasadnione błędnie). Strona skarżąca kasacyjnie podkreśliła, że uczestnik postępowania nie złożył wobec Banku oświadczenia o zrzeczeniu się roszczeń związanych ze złożonym zapytaniem kredytowym, a taki skutek wydają się błędnie sugerować zarówno organ, jak i Sąd I instancji. W odpowiedziach na skargi kasacyjne organ wniósł o przeprowadzenie w niniejszej sprawie rozprawy oraz o oddalenie skargi kasacyjnych podkreślając, że w pełni podziela stanowisko zajęte przez Wojewódzki Sąd Administracyjny w Warszawie w zaskarżonym wyroku i uznając zarzuty sformułowane w skargach kasacyjnych Banku oraz B. S.A. za bezzasadne. Odnosząc się do skargi kasacyjnej Banku organ podkreślił, że Bank był uprawniony do przetwarzania danych osobowych uczestnika postępowania w celu oceny zdolności kredytowej w trakcie rozpoznawania wniosków o udzielenie kredytu. Jednak w związku z tym, że nie doszło do zawarcia umowy pomiędzy uczestnikiem postępowania a Bankiem, odpadła przesłanka legalizująca dalsze przetwarzanie danych osobowych uczestnika postępowania przez Bank w zakresie zapytania kredytowego z dnia 3 marca 2021 r. W związku z dokonaniem przez Bank oceny zdolności kredytowej u analizy ryzyka kredytowego cel przetwarzania danych osobowych uczestnika postępowania został zrealizowany i brak jest podstaw prawnych do kontynuowania tego procesu. W nawiązaniu zaś do skargi kasacyjnej B. S.A. organ podkreślił, że powołanie się na przesłankę przetwarzania danych osobowych z art. 6 ust. 1 lit. c RODO implikuje niezbędność wskazania, że obowiązek dla wykonania którego proces przetwarzania jest niezbędny, musi być określony w prawie, któremu podlega administrator. Natomiast w ocenie organu powoływana przez B. S.A. konieczność przetwarzania danych osobowych uczestnika postępowania w zakresie zapytania kredytowego po dokonaniu weryfikacji zdolności kredytowej dla potrzeb tworzenia modeli scoringowych, nie znajduje uzasadnienia. Organ stanowczo podkreślił, że brak jest podstaw prawnych do tworzenia modeli scoringowych w niniejszej sprawie z uwagi na brak zawarcia umowy kredytowej i tym samym niespłacanie zaciągniętego kredytu. Organ dodał także, że niedopuszczalne jest przetwarzanie danych osobowych na przyszłość, a także na potrzeby budowy oceny zdolności kredytowej innych podmiotów, jeżeli nie można zrekonstruować wyraźnej podstawy prawnej takich działań. Organ zaznaczył także, że przesłanka określona w art. 6 ust. 1 lit. f RODO nie jest ukierunkowana na ochronę interesów sektora bankowego czy też gospodarczego. Legalność przetwarzania danych osobowych w oparciu o tę przesłankę uzależniona jest od tego, czy przetwarzanie to jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą. W ocenie organu, art. 6 ust. 1 RODO stanowi przesłankę zgodności z prawem procesu przetwarzania, a zatem chroni przede wszystkim osobę, której proces ten dotyczy przed nieuprawnionym przetwarzaniem jej danych osobowych. Nie można ponadto zdaniem organu mówić o zaistnieniu prawnie uzasadnionego interesu w przypadku, gdy dane osobowe przetwarzane są na zapas, na wypadek gdyby taki prawnie uzasadniony interes pojawić się mógł dopiero w przyszłości. W ocenie organu, strony skarżące kasacyjnie w niniejszej sprawie niezasadnie skupiły się na interesach gospodarczych podmiotów przetwarzających dane osobowe, nie dostrzegając jednocześnie, że z punktu widzenia ochrony danych osobowych dane te mogą być wprawdzie przetwarzane do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, ale wyłącznie wówczas, gdy są nadrzędne nad interesami i prawami osoby, której dane dotyczą. Tymczasem zdaniem organu sytuacja taka w niniejszej sprawie nie zachodziła, ponieważ ważąc interesy i podstawowe prawa i wolności osoby, której dane dotyczyły, takie jak chociażby gwarantowane (tak na gruncie prawa europejskiego. Konstytucji RP czy prawa cywilnego) prawo do prywatności, z interesem administratora, który dotyczy w tym wypadku zachowania w swych zasobach danych "na wszelki wypadek", tj. na wypadek tego, że mogą się okazać przydatne w przyszłości do dochodzenia lub obrony ewentualnych roszczeń, które obecnie nie istnieją, należało dojść do wniosku, że to interesy i podstawowe prawa i wolności osoby, której dane dotyczą są nadrzędne. Naczelny Sąd Administracyjny zważył, co następuje: Zgodnie z treścią art. 183 § 1 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (tj.: Dz.U. z 2026 r., poz. 143) - zwanej dalej p.p.s.a., Naczelny Sąd Administracyjny rozpoznaje sprawę w granicach skargi kasacyjnej, bierze jednak z urzędu pod rozwagę nieważność postępowania. W sprawie nie występują, enumeratywnie wyliczone w art. 183 § 2 p.p.s.a., przesłanki nieważności postępowania sądowoadministracyjnego. Z tego względu, przy rozpoznaniu sprawy, Naczelny Sąd Administracyjny związany był granicami skargi kasacyjnej. Skargę kasacyjną można oprzeć na następujących podstawach: 1) naruszeniu prawa materialnego przez błędną jego wykładnię lub niewłaściwe zastosowanie, 2) naruszeniu przepisów postępowania, jeżeli uchybienie to mogło mieć istotny wpływ na wynik sprawy (art. 174 p.p.s.a.). Granice skargi kasacyjnej wyznaczają wskazane w niej podstawy. W obu skargach kasacyjnych zarzucono naruszenie prawa materialnego, jak i naruszenie przepisów postępowania. Rozpoznając skargi kasacyjne w tak zakreślonych granicach, stwierdzić należy, że skargi te nie zasługują na uwzględnienie. W sytuacji, gdy skarga kasacyjna zarzuca naruszenie prawa materialnego oraz naruszenie przepisów postępowania, co do zasady w pierwszej kolejności rozpoznaniu podlegają zarzuty naruszenia przepisów postępowania (por. wyrok NSA z dnia 27 czerwca 2012 r., II GSK 819/11, LEX nr 1217424; wyrok NSA z dnia 26 marca 2010 r., II FSK 1842/08, LEX nr 596025; wyrok NSA z dnia 4 czerwca 2014 r., II GSK 402/13, LEX nr 1488113; wyrok NSA z dnia 17 lutego 2023 r., II GSK 1458/19; wyrok NSA z dnia 1 marca 2023 r., I FSK 375/20). Dopiero bowiem po przesądzeniu, że stan faktyczny przyjęty przez sąd w zaskarżonym wyroku jest prawidłowy, albo nie został dostatecznie podważony, można przejść do skontrolowania procesu subsumcji danego stanu faktycznego pod zastosowany przez sąd pierwszej instancji przepis prawa materialnego. Dla uznania za usprawiedliwioną podstawę kasacyjną z art. 174 pkt 2 p.p.s.a. nie wystarcza samo wskazanie naruszenia przepisów postępowania, ale nadto wymagane jest, aby skarżący wykazał, że następstwa stwierdzonych wadliwości postępowania były tego rodzaju lub skali, iż kształtowały one lub współkształtowały treść kwestionowanego w sprawie orzeczenia (por. wyrok NSA z dnia 5 maja 2004 r., FSK 6/04, LEX nr 129933; wyrok NSA z dnia 26 lutego 2014 r., II GSK 1868/12, LEX nr 1495116; wyrok NSA z dnia 29 listopada 2022 r., I OSK 931/22). Na podstawie zarzutów sformułowanych w ramach drugiej podstawy kasacyjnej strony skarżące kasacyjnie zarzuciły Wojewódzkiemu Sądowi Administracyjnemu w Warszawie naruszenie art. 151 p.p.s.a. w powiązaniu z art. 7, art. 77 oraz art. 80 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2025 r., poz. 1691 ze zm.), dalej jako: k.p.a. oraz art. 7 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781 ze zm.), dalej jako: u.o.d.o., a także w powiązaniu z art. 7b k.p.a. i art. 7 u.o.d.o. (skarga kasacyjna Banku), a ponadto naruszenie art. 145 § 1 pkt 1 lit. c p.p.s.a. w powiązaniu z art. 107 § 1 i art. 8 § 1 i 2 k.p.a., a także z art. 7, art. 77 § 1 i art. 80 k.p.a. w związku z art. 7 u.o.d.o. oraz z art. 7b w związku z art. 7 i art. 77 k.p.a. oraz art. 7 u.o.d.o. (skarga kasacyjna B. S.A.) Treść i argumentacja zarzutów naruszenia przepisów postępowania koncentruje się w obu skargach kasacyjnych na próbie wytknięcia nieprawidłowości w przeprowadzonym przez Prezesa Urzędu Ochrony Danych Osobowych postępowaniu, dotyczących zaniechania dokonania wyczerpującej analizy wszystkich okoliczności sprawy skutkujących nieprawidłowym stwierdzeniem przez organ, a następnie Sąd I instancji, braku przesłanek legalizujących przetwarzanie danych osobowych uczestnika postępowania przez Bank oraz B. S.A. Na podstawie omawianych zarzutów podniesiono ponadto zaniechanie organu w zakresie zwrócenia się do Komisji Nadzoru Finansowego oraz Generalnego Inspektora Informacji Finansowej w ramach współdziałania w celu dokładnego wyjaśnienia stanu faktycznego i prawnego sprawy, w sytuacji gdy w ocenie stron skarżących kasacyjnie było to niezbędne do kompleksowego wyjaśnienia sprawy. Ponadto, w skardze kasacyjnej B. S.A. zarzucił także nieprecyzyjnie określenie w osnowie decyzji obowiązków, do realizacji których go zobowiązano, co w jego ocenie uniemożliwia wykonanie zawartego w niej nakazu. Przede wszystkim odnosząc się do konstrukcji ww. zarzutów, na podstawie których strony skarżące kasacyjnie zarzucają naruszenie przez Wojewódzki Sąd Administracyjny w Warszawie art. 151 i art. 145 § 1 pkt 1 lit. c p.p.s.a. w powiązaniu z ww. przepisami k.p.a. oraz u.o.d.o. podkreślenia wymaga, że w orzecznictwie Naczelnego Sądu Administracyjnego ugruntowane jest stanowisko, że przepisy art. 151 i art. 145 § 1 pkt 1 lit. c p.p.s.a., podobnie zresztą jak art. 146 § 1, art. 147, art. 149 § 1, czy też art. 161 § 1 p.p.s.a. mają charakter ogólny (blankietowy) i określają kompetencje sądu administracyjnego w fazie orzekania. Tego typu przepisy nie mogą więc stanowić samodzielnej podstawy kasacyjnej. Strona skarżąca kasacyjnie chcąc powołać się na zarzut naruszenia art. 151, czy art. 145 § 1 pkt 1 lit. c p.p.s.a. zobowiązana jest więc bezpośrednio powiązać omawiany zarzut z zarzutem naruszenia konkretnych przepisów, którym – jej zdaniem – Sąd I instancji uchybił w toku rozpoznania sprawy. Naruszenie ww. przepisów jest zawsze następstwem uchybienia innym przepisom, czy to procesowym, czy też materialnym (por. wyroki NSA: z dnia 30 kwietnia 2015 r., I OSK 1701/14, z dnia 29 kwietnia 2015 r., I OSK 1595/14, z dnia 29 kwietnia 2015 r., I OSK 1596/14, z dnia 24 kwietnia 2015 r., I OSK 1088/14, z dnia 8 kwietnia 2015 r., I OSK 71/15, z dnia 9 stycznia 2015 r., I OSK 638/14). Niezależnie jednak od tego, z uwagi na to, że jedna ze stron skarżących kasacyjnie (B. S.A.) wytyka Sądowi I instancji naruszenie art. 145 § 1 pkt 1 lit. c p.p.s.a., podkreślenia wymaga to, że Wojewódzki Sąd Administracyjny w Warszawie oddalając skargę w niniejszej sprawie na podstawie art. 151 p.p.s.a., nie stosował art. 145 § 1 pkt 1 lit. c p.p.s.a. określającego kompetencje sądu w razie uwzględnienia skargi na decyzję lub postanowienie, a zatem przede wszystkim z tego powodu nie mógł naruszyć tego przepisu. Ponadto, w odniesieniu do treści omawianych zarzutów i wskazanych w nich przepisów powiązanych z zarzutami naruszenia art. 151 p.p.s.a. i art. 145 § 1 pkt 1 lit. c p.p.s.a. należy zwrócić uwagę, że w zakresie, w którym zarzucono m.in. naruszenie "art. 77", art. 107 § 1 k.p.a., czy "art. 7" u.o.d.o. nie zachowano wymogów konstrukcyjnych skargi kasacyjnej. Przez podstawę kasacyjną należy bowiem rozumieć konkretny przepis prawa, którego naruszenie przez Sąd I instancji zarzuca skarga kasacyjna. W odniesieniu do przepisu, który nie stanowi jednej zamkniętej całości, a składa się z ustępów, punktów i innych jednostek redakcyjnych, wymóg skutecznie wniesionej skargi kasacyjnej jest spełniony wówczas, gdy wskazuje ona konkretny przepis naruszony przez sąd pierwszej instancji, z podaniem numeru artykułu, ustępu, punktu i ewentualnie innej jednostki redakcyjnej przepisu. Warunek przytoczenia podstawy zaskarżenia i ich uzasadnienia nie jest spełniony, gdy skarga kasacyjna zawiera wywody zmuszające Sąd kasacyjny do domyślania się, który przepis skarżący miał na uwadze, podnosząc zarzut naruszenia prawa materialnego lub procesowego. Naruszony przez Sąd I instancji przepis musi być wyraźnie wskazany, gdyż w przeciwnym razie ocena zasadności skargi kasacyjnej nie jest możliwa. Naczelny Sąd Administracyjny jest związany granicami skargi kasacyjnej i nie ma w związku z tym kompetencji do dokonywania za wnoszącego skargę kasacyjną wyboru, który przepis prawa został naruszony i dlaczego. Stanowi to powinność autora skargi kasacyjnej, który jest profesjonalnym pełnomocnikiem strony. Tymczasem strony skarżące kasacyjnie nie dostrzegają, że zarówno art. 77 k.p.a. składa się z mniejszych jednostek redakcyjnych, tj. z czterech paragrafów, jak i art. 7 u.o.d.o. – z 4 ustępów, czy art. 107 § 1 k.p.a. – z 9 punktów i nie wskazują konkretnych jednostek redakcyjnych tych przepisów, które ich zdaniem zostały naruszone. Niezależnie od powyższego, odnosząc się do zarzutów naruszenia przepisów k.p.a. oraz art. 7 u.o.d.o., z którymi powiązano zarzuty naruszenia art. 151 i niestosowanego w sprawie art. 145 § 1 pkt 1 lit. c p.p.s.a., wskazać należy, że wbrew twierdzeniom skarżących kasacyjnie w rozpoznawanej sprawie wszystkie istotne okoliczności z punktu widzenia przedmiotu postępowania dotyczącego przetwarzania zarówno przez Bank, jak i B. S.A. danych osobowych uczestnika postępowania w zakresie zapytania kredytowego z dnia 3 marca 2021 r., niezakończonego udzieleniem kredytu zostały wyjaśnione, a zgromadzone dowody związane z ww. przetwarzaniem danych, w tym również wyjaśnienia administratorów danych przedstawione w tym zakresie, zostały poddane wszechstronnej i odpowiadającej prawu ocenie. W sprawie wyjaśniano również wyczerpująco podstawy prawne działania organu w sprawie. Podkreślenia w tym miejscu wymaga, że w postępowaniu sądowoadministracyjnym sąd nie ustala stanu faktycznego, lecz bada, czy w trakcie postępowania administracyjnego zostały ujawnione wszystkie okoliczności istotne dla wydania decyzji, czy były one uwzględnione przy wydaniu decyzji i w jaki sposób zostały ocenione przez organ (por. wyrok NSA z 16 maja 2008 r., II OSK 554/07). Sąd I instancji prawidłowo wywiązał się z tego obowiązku, dokonał poprawnej oceny zaskarżonej decyzji i słusznie przyjął ustalony przez organ stan faktyczny za odpowiadający wymogom prawa. Organ prowadząc postępowanie w niniejszej sprawie podjął wszelkie niezbędne kroki do dokładnego wyjaśnienia stanu faktycznego sprawy. Zebrał i rozpatrzył cały materiał dowodowy, wskazując podstawy podjętego rozstrzygnięcia, a ocena ta nie narusza zasady swobodnej oceny dowodów. W ramach realizacji zasady prawdy obiektywnej, wynikającej z art. 7 k.p.a., organ jest obowiązany z urzędu stwierdzić, jakie dowody są niezbędne w danej sprawie oraz również z urzędu dowody te przeprowadzić. Jednakże obowiązek wyczerpującego zebrania i zbadania całego materiału dowodowego należy odnieść do zakresu wynikającego z materialnoprawnej podstawy rozstrzygnięcia. Innymi słowy, organ nie ma obowiązku ustalania faktów niemających znaczenia dla rozstrzygnięcia sprawy. Ponadto należy zwrócić uwagę na specyfikę unormowań rozporządzenia Parlamentu Europejskiego i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych; Dz.U.UE.L.2016.119.1 z dnia 2016.05.040), dalej jako: "RODO" w zakresie wyjaśniania istotnych okoliczności sprawy. Zgodnie z art. 31 RODO, administrator i podmiot przetwarzający oraz - gdy ma to zastosowanie - ich przedstawiciele na żądanie współpracują z organem nadzorczym w ramach wykonywania przez niego swoich zadań. Z przepisem tym koresponduje treść art. 58 ust. 1 lit. a i e RODO, z których wynika, że do kompetencji organu nadzorczego w zakresie prowadzonych postępowań należy "nakazanie administratorowi i podmiotowi przetwarzającemu, a w stosownym przypadku przedstawicielowi administratora lub podmiotu przetwarzającego, dostarczenia wszelkich informacji potrzebnych organowi nadzorczemu do realizacji swoich zadań" oraz "uzyskiwanie od administratora i podmiotu przetwarzającego dostępu do wszelkich danych osobowych i wszelkich informacji niezbędnych organowi nadzorczemu do realizacji swoich zadań", a – zgodnie z art. 5 ust. 2 RODO i wynikającej z niego zasady "rozliczalności" administrator jest odpowiedzialny za przestrzeganie przepisów art. 5 ust. 1 RODO i musi być w stanie wykazać ich przestrzeganie, w czym przede wszystkim mieści się obowiązek przetwarzania danych osobowych zgodnie z prawem. Na tle tych regulacji wystąpienie przez organ nadzorczy do administratorów danych osobowych o dostarczenie wszelkich informacji potrzebnych organowi nadzorczemu do realizacji swoich zadań – co miało miejsce w realiach niniejszej sprawy – i skoncentrowanie się na ocenie przedłożonych wyjaśnień i dokumentacji, stanowi wypełnienie obowiązków organu nadzorczego wynikających z zasady prawdy obiektywnej (por. wyrok NSA z dnia 10 lipca 2025 r., III OSK 165/22). Mając to na uwadze, w ocenie Naczelnego Sądu Administracyjnego, wszystkie istotne z punktu widzenia podstawy materialnoprawnej rozstrzygnięcia fakty zostały prawidłowo ustalone i prawidłowo ocenione w postępowaniu wyjaśniającym. Po przeprowadzeniu analizy akt administracyjnych sprawy nie sposób przyjąć, że doszło do wadliwości w procesie ustalania stanu faktycznego sprawy. Odnosząc się zaś do zarzutu naruszenia w sprawie art. 7b k.p.a. poprzez zaniechanie organu w zakresie zwrócenia się do Komisji Nadzoru Finansowego oraz do Generalnego Inspektora Informacji Finansowej, w ramach współdziałania w celu dokładnego wyjaśnienia stanu faktycznego i prawnego sprawy, mimo że w ocenie stron skarżących kasacyjnie było to niezbędne do kompleksowego wyjaśnienia sprawy, podkreślenia wymaga, że zarzut ten jest bezzasadny. Zgodnie z art. 7b k.p.a., w toku postępowania organy administracji publicznej współdziałają ze sobą w zakresie niezbędnym do dokładnego wyjaśnienia stanu faktycznego i prawnego sprawy, mając na względzie interes społeczny i słuszny interes obywateli oraz sprawność postępowania, przy pomocy środków adekwatnych do charakteru, okoliczności i stopnia złożoności sprawy. Instytucja współdziałania organów określona we wskazanej regulacji znajduje zatem zastosowanie w sytuacjach, gdy w celu wyjaśnienia stanu faktycznego i prawnego sprawy organ powinien podjąć współpracę z innymi organami administracji publicznej, co do których istnieje przypuszczenie, że dysponują danymi lub informacjami, które mogą przyczynić się do wyjaśnienia stanu faktycznego lub prawnego sprawy. Organy administracji publicznej są obowiązane do współdziałania w celu "dokładnego wyjaśnienia stanu faktycznego i prawnego sprawy" w niezbędnym do tego zakresie. Organ prowadzący postępowanie jest obowiązany zwracać się w tym celu do właściwych organów administracji publicznej z odpowiednimi wnioskami i żądaniami, jeżeli poweźmie przypuszczenie, że posiadane przez te organy dane i informacje lub inne środki mogą przyczynić się do "dokładnego wyjaśnienia stanu faktycznego i prawnego sprawy" (A. Wróbel [w:] M. Jaśkowska, M. Wilbrandt-Gotowicz, A. Wróbel, Komentarz aktualizowany do Kodeksu postepowania administracyjnego, Warszawa 2024). Słuszne jest jednak stanowisko Sądu I instancji, że w niniejszej sprawie wystąpienie przez Prezesa Urzędu Ochrony Danych Osobowych – jako organu wyspecjalizowanego w zakresie przepisów dotyczących ochrony danych osobowych – nie było celowe oraz konieczne, a brak współpracy w tym zakresie nie stanowił naruszenia art. 7b k.p.a. Zgodnie z trafnymi poglądami wyrażanymi w orzecznictwie NSA "Prezes UODO jest wyspecjalizowanym organem w sprawach ochrony danych osobowych, który ma status i kompetencje organu nadzorczego określone w przepisach RODO. Z tego względu Prezes UODO jest uprawniony do samodzielnego dokonywania interpretacji przepisów prawa w zakresie dotyczącym ochrony danych osobowych. (...) Prezes UODO nie ma zatem obowiązku zwracania się do KNF ani w zakresie dokonywanych ustaleń stanu faktycznego, ani w zakresie wyjaśnień stanu prawnego. Jedynym zadaniem i celem Prezesa UODO jest kontrola, czy pozyskane przez administratora dane osobowe są przetwarzane w sposób prawidłowy i zgodny z przepisami o ich ochronie, tj. w sposób adekwatny do celu jakiemu mają one służyć oraz warunkom jego realizacji, a nie innym celom i potrzebom systemu bankowego" (por. wyrok NSA z dnia 10 lipca 2025 r., III OSK 165/22). W realiach niniejszej sprawy stan faktyczny i prawny sprawy został przez Prezesa Urzędu Ochrony Danych Osobowych prawidłowo ustalony i należycie rozpatrzony w ramach kompetencji nadzorczych organu, w oparciu o zgromadzony materiał dowodowy, w tym w oparciu o wyjaśnienia Banku i B. S.A., a więc nie zachodziły przesłanki do podjęcia współdziałania z innymi organami administracji publicznej w oparciu o art. 7b k.p.a. w celu wydania rozstrzygnięcia w sprawie. Organ ustosunkował się do wszelkich istotnych okoliczności wskazanych przez uczestnika postępowania, jak i Banku oraz B. S.A. będących administratorami jego danych osobowych, a w związku z tym, że ocena materiału dowodowego dokonana przez organ i zaakceptowana przez Sąd I instancji nie została w skargach kasacyjnych skutecznie podważona, to w konsekwencji powyższego należy przyjąć, że Sąd I instancji nie dostrzegając uchybień w powyższym zakresie prawidłowo, na podstawie art. 151 p.p.s.a. oddalił z tych przyczyn skargi Banku oraz B. S.A. W nawiązaniu zaś do zarzutu zawartego w skardze kasacyjnej dotyczącego braku precyzji w sformułowaniu przez organ osnowy zaskarżonej decyzji, której forma rzekomo uniemożliwia wykonanie nakazu w niej zawartego w zakresie zobowiązania B. S.A. do usunięcia danych osobowych uczestnika postępowania dodać należy, że wbrew twierdzeniom skargi kasacyjnej B. S.A. rozstrzygnięcie decyzji jest na tyle jasne i precyzyjne, że nie wywołuje trudności w sferze wykonania i nie stwarza wątpliwości co do zakresu danych osobowych, do których usunięcia zobowiązano administratorów w niniejszej sprawie. Tym samym zarzut naruszenia art. 107 § 1 k.p.a. również nie mógł odnieść skutku. W związku z nieskutecznością podniesionych przez autorów skargi kasacyjnej zarzutów w oparciu o drugą podstawę kasacyjną, wskazać należy, że zarzuty naruszenia przepisów postępowania służą m.in. kwestionowaniu ustaleń i ocen w zakresie stanu faktycznego sprawy, co oznacza, że brak tego rodzaju skutecznych zarzutów w niniejszej sprawie powoduje, że Naczelny Sąd Administracyjny w procesie kontroli instancyjnej przyjmuje, jako niezakwestionowany punkt odniesienia, stan faktyczny i jego ocenę przyjęte przez Sąd I instancji. Przechodząc do oceny zarzutów sformułowanych przez strony skarżące kasacyjnie w ramach pierwszej podstawy kasacyjnej przypomnieć należy, że naruszenie prawa materialnego może przejawiać się w dwóch postaciach: jako błędna wykładnia albo jako niewłaściwe zastosowanie określonego przepisu prawa. Podnosząc zarzut naruszenia prawa materialnego przez jego błędną wykładnię wykazać należy, że sąd mylnie zrozumiał stosowany przepis prawa, natomiast uzasadniając zarzut niewłaściwego zastosowania przepisu prawa materialnego wykazać należy, że sąd stosując przepis popełnił błąd subsumcji, czyli że niewłaściwie uznał, iż stan faktyczny przyjęty w sprawie odpowiada lub nie odpowiada stanowi faktycznemu zawartemu w hipotezie normy prawnej zawartej w przepisie prawa. W obu tych przypadkach autor skargi kasacyjnej wykazać musi, jak w jego ocenie powinna być rozumiana norma zawarta w stosowanym przepisie prawa, czyli jaka powinna być jego prawidłowa wykładnia. Jednocześnie należy podkreślić, że ocena zasadności zarzutu naruszenia prawa materialnego może być dokonana wyłącznie na podstawie ustalonego w sprawie stanu faktycznego, nie zaś na podstawie stanu faktycznego, który skarżący uznaje za prawidłowy (por. wyrok NSA z dnia 13 sierpnia 2013 r., II GSK 717/12, LEX nr 1408530; wyrok NSA z dnia 4 lipca 2013 r., I GSK 934/12, LEX nr 1372091). Zarzuty naruszenia prawa materialnego sformułowane przez strony skarżące kasacyjnie nie mogą odnieść skutku przede wszystkim z uwagi na ich błędną konstrukcję. Podkreślenia wymaga, że zarówno w skardze kasacyjnej Banku, jak i B. S.A. większość zarzutów zostało sformułowanych jako "niezastosowanie" przepisów RODO, tj. art. 6 ust. 1 lit. c, lit. e i lit. f w powiązaniu z przepisami ustawy z dnia 26 sierpnia 1997 r. Prawo bankowe (Dz. U. z 2026 r., poz. 38), tj. art. 9b ust. 1 i ust. 2 pkt 2, art. 105 ust. 1 pkt 1c, art. 105 ust. 4, art. 105a ust. 1, art. 106 d ust. 1 pkt 3, art. 70, art. 70a ust. 1 i 2 i art. 5 ust. 1 pkt 3 oraz Rozporządzenia Parlamentu Europejskiego i rady nr 575/2013 z dnia 26 czerwca 2013 r. w sprawie wymogów ostrożnościowych dla instytucji kredytowych i firm inwestycyjnych, zmieniające rozporządzenie (UE) nr 648/2012 (Dz. Urz. UE L 2013 Nr 176, str. 1, dalej jako: "CRR"), tj. art. 144 ust. 1 lit. d, art. 145, art. 147 ust. 5 lit. b, art. 170 ust. 3 lit. a, ust. 4 lit. a, art. 171 ust. 2, art. 179 ust. 1 lit. a. Abstrahując od (ponownej) nieprecyzyjności w przywoływaniu niektórych z przepisów, których naruszenie zarzuca się w skargach kasacyjnych, wskazać należy, że w orzecznictwie Naczelnego Sądu Administracyjnego prezentowane jest stanowisko, zgodnie z którym nie jest dopuszczalne w świetle brzmienia art. 174 p.p.s.a. formułowanie zarzutu skargi kasacyjnej jako naruszenie przepisu prawa "poprzez jego niezastosowanie" czy "pominięcie" (por. wyrok NSA z dnia 3 grudnia 2008 r., I OSK 1807/07, LEX nr 525973; wyrok NSA z dnia 14 maja 2007 r., I OSK 1247/06, LEX nr 342527; wyrok NSA z dnia 28 marca 2007 r., I OSK 31/07, LEX nr 327781; postanowienie NSA z dnia 2 marca 2012 r., I OSK 294/12, LEX nr 1136684). Zgodnie jednak z dominującym poglądem wyrażanym w orzecznictwie sądowoadministracyjnym, w ramach pierwszej podstawy kasacyjnej możliwe jest również kwestionowanie niezastosowania określonego przepisu prawa, z tym jednak zastrzeżeniem, że jeżeli strona skarżąca kasacyjnie podnosi w skardze kasacyjnej, że Sąd rozpoznający sprawę zastosował nie ten przepis prawa materialnego, który powinien być zastosowany, to powinna wskazać przepis właściwy jako podstawę materialną rozstrzygnięcia i uzasadnić, dlaczego ten właśnie przepis powinien lec u podstaw kwestionowanego rozstrzygnięcia, tj. dlaczego powinien być zastosowany (por. wyrok NSA z dnia 14 kwietnia 2004 r., OSK 121/04, Lex 120212; wyrok NSA z dnia 19 grudnia 2005 r., II OSK 299/05, LEX nr 190971; wyrok NSA z dnia 15 marca 2011 r., II OSK 323/10, LEX nr 1080252). Zarzut niewłaściwego zastosowania prawa materialnego w postaci pozytywnej, czyli zarzucenia zastosowania normy prawnej, która nie powinna być w danej sprawie zastosowana, a także w postaci negatywnej, czyli zarzucenia niezastosowania normy prawnej, która w ocenie wnoszącego skargę kasacyjną powinna być zastosowana, wymaga należytej precyzji w jego konstruowaniu w konkretnej sprawie (por. wyrok NSA z dnia 3 października 2013 r., II FSK 1020/12, LEX nr 1382183). Niezastosowany przez sąd w procesie kontroli przepis prawa materialnego może stanowić podstawę skargi kasacyjnej, jeżeli w konkretnym stanie faktycznym istniały podstawy do dokonania subsumcji (zob. B. Dauter: Prawo o postępowaniu przed sądami administracyjnymi. Komentarz do art. 174 Prawa o postępowaniu przed sądami administracyjnymi, teza 5, Lex 2013; wyrok NSA z dnia 16 marca 2011 r., II GSK 400/10, LEX nr 1080145), a sąd nie dostrzegając właściwej podstawy oparł swoje rozstrzygnięcie na podstawie niewłaściwej. Należy zatem stwierdzić, że nie dyskwalifikowałoby omawianych zarzutów skarg kasacyjnych wskazanie przez strony skarżące kasacyjnie na niezastosowanie ww. przepisów jedynie wtedy, gdyby strony skarżące kasacyjnie jednocześnie przywołały przepis lub przepisy, które w ich przekonaniu zostały wadliwie zastosowane zamiast przepisów przez nie wskazywanych wraz z podaniem uzasadnienia tego stanowiska. Jednak wymogu tego skargi kasacyjnie nie spełniają, co tym samym czyni podnoszone zarzuty niezastosowania przepisów prawa materialnego nieskutecznymi. Zarzuty niezastosowania powyższych przepisów są tym bardziej nieskuteczne w realiach niniejszej sprawy, gdy weźmie się pod uwagę, że jak wynika z uzasadnienia zaskarżonego wyroku, w procesie kontroli sądowoadministracyjnej Sąd I instancji analizował treść przeważającej większości wskazanych wyżej przepisów, w tym wszystkich ze wskazanych wyżej przepisów RODO, odnosił się do kwestii zarządzania ryzykiem (art. 9b ust. 1 i ust. 2 pkt 2 Prawa bankowego), w tym w zakresie czynności bankowych udzielania kredytów (art. 5 ust. 1 pkt 3 Prawa bankowego), w odniesieniu do stanu faktycznego sprawy i dokonanych w tym zakresie ustaleń i ocen organu nadzorczego, a zatem ponad wszelką wątpliwość stosował te przepisy w sposób właściwy dla kontroli sądowoadministracyjnej. Niezależnie od powyższego, o nieskuteczności zarzutów naruszenia prawa materialnego sformułowanych przez B. S.A. oraz Bank jako "niezastosowanie" wskazywanych w nich przepisów świadczy również ich treść, z której ewidentnie wynika, że strony skarżące kasacyjnie na podstawie wszystkich zarzutów niezastosowania wskazywanych przez nie przepisów kwestionują ustalenia i oceny w zakresie stanu faktycznego sprawy. Skarżący kasacyjnie Bank w treści tych zarzutów nr 1, 2, 4, 5, 6 podniesionych w ramach pierwszej podstawy kasacyjnej, odnosi się do interesów i obowiązków konkretnego Banku, tj. C. Spółka Akcyjna z siedzibą we W. w stanie faktycznym niniejszej sprawy. Również skarżący kasacyjnie B. S.A.w treści zarzutów nr 1, 2, 3, 6 podniesionych w ramach pierwszej podstawy kasacyjnej, odnosi się do obowiązków B. w związku z wnioskiem uczestnika postępowania D. G. i relacji prawnej tego uczestnika z Bankiem jako podstaw przetwarzania danych osobowych tego właśnie uczestnika. Kwestii poprawności oceny interesów i obowiązków (lub ich braku) stron skarżących kasacyjnie nie sposób zweryfikować, skoro w obydwu skargach kasacyjnych nie wskazano ani błędnego zastosowania ani błędnej wykładni przepisów, na których organ nadzoru oparł w tym zakresie swoje stanowisko następnie zaakceptowane przez Sąd I instancji. W związku z konstrukcją skarg kasacyjnych w omawianym zakresie należy podkreślić, że zgodnie z ugruntowanymi poglądami prezentowanymi w orzecznictwie Naczelnego Sądu Administracyjnego niedopuszczalne jest zastępowanie zarzutu naruszenia przepisów postępowania, zarzutem naruszenia prawa materialnego i za jego pomocą kwestionowanie ustaleń faktycznych. Próba zwalczenia ustaleń faktycznych poczynionych przez sąd pierwszej instancji nie może nastąpić przez zarzut naruszenia prawa materialnego (zob. wyrok NSA z dnia 29 stycznia 2013 r., I OSK 2747/12, LEX nr 1269660; wyrok NSA z dnia 6 marca 2013 r., II GSK 2327/11, LEX nr 1340137). Ocena zarzutu naruszenia prawa materialnego może być dokonana wyłącznie na podstawie konkretnego stanu faktycznego, nie zaś na podstawie stanu faktycznego, który skarżący uznaje za prawidłowy (zob. wyrok NSA z dnia 6 marca 2013 r., II GSK 2328/11, LEX nr 1340138; wyrok NSA z dnia 14 lutego 2013 r., II GSK 2173/11, LEX nr 1358369). Jeżeli strona skarżąca kasacyjnie uważa, że ustalenia faktyczne są błędne, to zarzut naruszenia prawa materialnego poprzez błędne zastosowanie (czy niezastosowanie) jest co najmniej przedwczesny, zaś zarzut naruszenia prawa przez błędną jego wykładnię – niezasadny. Zarzut naruszenia prawa materialnego nie może opierać się na wadliwym (kwestionowanym przez stronę) ustaleniu faktu (zob. wyrok NSA z dnia 13 marca 2013 r., II GSK 2391/11, LEX nr 1296051). Dlatego też omawiane zarzuty naruszenia prawa materialnego, poprzez ich niezastosowanie, sformułowane przez Bank oraz B. S.A., okazały się niezasadne również z tego powodu. Z tych samych powodów nie mogły zresztą odnieść skutku dwa z zarzutów skargi kasacyjnej B. S.A. sformułowane jako zarzuty niewłaściwego zastosowania art. 6 ust. 1 lit. f RODO (zarzut nr 4 i nr 6), a także zarzut ze skargi kasacyjnej Banku sformułowany jako zarzut dokonania błędnej wykładni art. 6 ust. 1 lit. c RODO w związku z art. 39 ust. 1, art. 34 ust. 1 i ust. 3 oraz art. 35 ust. 1 pkt 1, art. 36 ust. 1 oraz art. 49 ust. 1 ustawy z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (Dz. U. z 2025 r., poz. 644 ze zm.) – dalej także jako: "ustawa AML", w związku z art. 106d ust. 1 pkt 3 ustawy Prawo bankowe (zarzut nr 3). W odniesieniu do tych zarzutów należy dodatkowo podkreślić, że skoro niewłaściwe zastosowanie prawa materialnego oznacza błąd w zakresie subsumcji stanu faktycznego wobec treści stosowanej normy prawnej, to może być konsekwencją wcześniejszych błędnych ustaleń w zakresie stanu faktycznego, jak i błędnej wykładni prawa materialnego, ale może mieć miejsce również wtedy, gdy prawidłowe są ustalenia i oceny w zakresie stanu faktycznego oraz wykładnia prawa materialnego, a wadliwość przejawia się wyłącznie w zestawieniu stanu faktycznego ze stanem prawnym sprawy. W rozpatrywanych skargach kasacyjnych nie zakwestionowano skutecznie ustaleń i ocen w zakresie stanu faktycznego sprawy. Nie podważono również prawidłowości wykładni prawa materialnego stosowanego w realiach niniejszej sprawy, bowiem w skardze kasacyjnej B. S.A. w ogóle nie podniesiono zarzutu błędnej wykładni prawa materialnego, a treść zarzutu błędnej wykładni prawa materialnego podniesionego w skardze kasacyjnej Banku nie wykazuje błędów organu nadzorczego i Sądu I instancji w rozumieniu poszczególnych przepisów objętych zarzutem, a odnosi się do obowiązków konkretnego Banku, tj. C. Spółka Akcyjna z siedzibą we W. ze wskazaniem błędnego przyjęcia, że na Banku nie ciążą obowiązki związane z przeciwdziałaniem praniu pieniędzy oraz finasowaniu terroryzmu, wówczas gdy nie doszło do zawarcia umowy pomiędzy bankiem a klientem, podczas gdy Sąd I instancji w żadnym miejscu uzasadnienia nie wyraził takiego generalnego stanowiska stwierdzając, że "uprawnienie banku do monitorowania stosunków gospodarczych klienta i stosowania odpowiednich środków bezpieczeństwa finansowego, nie ma zupełnie odniesienia do niniejszej sprawy. Bank nie wskazał jakie działania (w sferze stosunków gospodarczych niedoszłego klienta, osoby, z którą nie zawarł umowy kredytowej) chciałby monitorować. Nie jest dla Sądu działaniem zrozumiałym powoływanie się przez Bank w kontekście tych przepisów na konieczność monitorowania niedookreślonych stosunków gospodarczych między Bankiem a osobą, z którą umowy kredytowej nie zawarto i która nadto, klientem Banku nie jest. Ogólne twierdzenia Banku o celu w postaci "zapewnienia bezpieczeństwa obrotu gospodarczego" nie mogą stanowić – w stanie faktycznym tej sprawy – podstawy legalizującej rozszerzanie podstaw i celów przetwarzania danych osobowych uczestnika. "Z akt sprawy i wyjaśnień Banku w żaden sposób nie wynika, aby wyżej wymienionego łączyły stosunki gospodarcze z Bankiem, a nadto, aby Bank powziął podejrzenia, czy stwierdził próbę manipulacji" (str. 37-38 uzasadnienia zaskarżonego wyroku). Skoro zatem w skargach kasacyjnych nie podważono prawidłowości dokonanej przez Sąd I instancji wykładni prawa materialnego ani prawidłowości ustaleń i ocen w zakresie stanu faktycznego sprawy, to oznacza to, że w realiach niniejszej sprawy dla oceny zasadności zarzutu niewłaściwego zastosowania prawa materialnego istotne jest zweryfikowanie, czy w podniesionym zarzucie niewłaściwego zastosowania prawa materialnego strona skarżąca kasacyjnie wykazała, że Sąd I instancji w przyjętym przez ten Sąd stanie faktycznym i prawnym sprawy dokonał ich wadliwego zestawienia. W ocenie Naczelnego Sądu Administracyjnego treść omawianych zarzutów niewłaściwego zastosowania prawa materialnego nie daje jednak podstaw do przyjęcia wypełnienia tego obowiązku przez stronę skarżącą kasacyjnie, co czyni omawiany zarzut nieskutecznym. W świetle niezakwestionowanej skutecznie wykładni prawa materialnego oraz niezakwestionowanych ustaleń i ocen w zakresie stanu faktycznego sprawy, dopuszczalne jest stwierdzenie przez Naczelny Sąd Administracyjny, że stanowisko Sądu I instancji w zakresie oceny procesu subsumcji prawa dokonanej przez organ nadzorczy jest konsekwentne i prawidłowe. Na tym tle należy zaakceptować dokonaną przez Sąd I instancji generalną ocenę istoty niniejszej sprawy, tj. dopuszczalności przetwarzania danych osobowych uczestnika postępowania zarówno przez Bank, jak i B. S.A. w celu oceny zdolności kredytowej, czy też jak podkreśla to Bank ryzyka kredytowego, w przypadku niezawarcia stosownej umowy z uczestnikiem postępowania kierującego uprzednio do Banku zapytanie kredytowe. Trafne jest stanowisko Wojewódzkiego Sądu Administracyjnego w Warszawie, który stwierdził, że takie przetwarzanie danych osobowych uczestnika postępowania pozostawałoby w oderwaniu od celu, dla którego dane te pozyskano, stanowiłoby przetwarzanie danych osobowych "na przyszłość" i nie znajdowałoby podstaw w art. 6 ust. 1 RODO określającym przesłanki legalności przetwarzania danych osobowych. Zgodnie z art. 6 ust. 1 lit. c RODO, przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy - i w takim zakresie, w jakim - spełniony jest co najmniej m.in. warunek, zgodnie z którym "przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze". Mając na uwadze, że ochrona osób fizycznych w związku z przetwarzaniem ich danych osobowych gwarantowana przez RODO jest wyrazem ochrony prawnej na poziomie konstytucyjnym jednego z istotnych aspektów prawa do prywatności, z treści art. 51 ust. 1 Konstytucji RP wynika, że "Nikt nie może być obowiązany inaczej niż na podstawie ustawy do ujawniania informacji dotyczących jego osoby", a także biorąc pod uwagę to, że unormowania RODO mają charakter publicznoprawny, należy przyjąć, że wykładnia przesłanek umożliwiających konieczne ze względu na inne wartości osłabienie tej ochrony, powinna być ścisła. Prawo do ochrony danych osobowych stanowi emanację prawa do autonomii informacyjnej, pozwalając jednostce w określonym zakresie kontrolować sposób i zakres udostępnianych informacji jej dotyczących. Prawo do ich ochrony - jak przyjmuje się w piśmiennictwie – stanowi swego rodzaju emanację ogólnego prawa gwarantowanego Konstytucją RP (art. 47). Spostrzeżenie to oparte jest na założeniu, że dane osobowe są niejako częścią życia prywatnego lub rodzinnego, względnie że posługiwanie się danymi dotyczącymi innej osoby wkracza w przyznaną jej kompetencję decydowania o swoim życiu osobistym (zob. J. Barta, P. Fajgielski, R. Markiewicz, Ustawa o ochronie danych osobowych. Komentarz, komentarz do art. 1; System Informacji Prawnej LEX/el). Zgodnie z treścią art. 51 ust. 4 Konstytucji RP, każdy ma prawo do żądania sprostowania oraz usunięcia informacji nieprawdziwych, niepełnych lub zebranych w sposób sprzeczny z ustawą. Brzmienie przywołanego przepisu nie pozostawia wątpliwości co do tego, że z jednej strony norma ta przewiduje swoiste roszczenie o modyfikację lub usunięcie danych nieprawdziwych, niepełnych lub zgromadzonych niezgodnie z ustawą, z drugiej natomiast kreuje po stronie organów lub podmiotów administrujących bazami danych obowiązek uwzględnienia oczekiwań obywatela, jeżeli rzeczywiście informacje te są obarczone wskazanymi wyżej wadami. Wobec tego każda norma hierarchicznie niższego rzędu (ustawa, rozporządzenie, akt prawa miejscowego), regulująca tego rodzaju kwestie, musi być interpretowana zgodnie z treścią przywołanego przepisu Konstytucji. Na tle powyższych spostrzeżeń należy przyjąć, że jeśli pod pojęciem obowiązku prawnego rozumie się rodzaj zachowania, które norma prawna nakazuje lub zakazuje zrealizować swojemu adresatowi, to obowiązek prawny ciążący na administratorze powinien znajdować podstawę prawną w wyraźnie skierowanym do niego w akcie rangi ustawowej nakazie lub zakazie określonego zachowania. Zgodnie z motywem 41 RODO "W przypadku gdy w niniejszym rozporządzeniu jest mowa o podstawie prawnej lub akcie prawnym, niekoniecznie wymaga to przyjęcia aktu prawnego przez parlament, z zastrzeżeniem wymogów wynikających z porządku konstytucyjnego danego państwa członkowskiego. Taka podstawa prawna lub taki akt prawny powinny być jasne i precyzyjne, a ich zastosowanie przewidywalne dla osób im podlegających - jak wymaga tego orzecznictwo Trybunału Sprawiedliwości Unii Europejskiej (zwanego dalej "Trybunałem Sprawiedliwości") i Europejskiego Trybunału Praw Człowieka". Powołanie się w RODO na "zastrzeżenie wymogów wynikających z porządku konstytucyjnego danego państwa członkowskiego" daje podstawę do stwierdzenia, że w polskim konstytucyjnym porządku prawnym, w którym, "Ograniczenia w zakresie korzystania z konstytucyjnych wolności i praw mogą być ustanawiane tylko w ustawie i tylko wtedy, gdy są konieczne w demokratycznym państwie dla jego bezpieczeństwa lub porządku publicznego, bądź dla ochrony środowiska, zdrowia i moralności publicznej, albo wolności i praw innych osób. Ograniczenia te nie mogą naruszać istoty wolności i praw" (art. 31 ust. 3 Konstytucji) obowiązek prawny, o jakim mowa w art. 6 ust. 1 lit. c RODO musi mieć podstawę w akcie rangi ustawy. Należy przy tym z naciskiem podkreślić, że nie jest konieczne, aby przepis prawa, z którego wynika obowiązek prawny, wyraźnie literalnie wskazywał na "przetwarzanie danych", wystarczające jest, że z przepisu prawa wynika obowiązek, do którego realizacji konieczne jest przetwarzanie danych, nawet jeśli przepis ten wyraźnie o przetwarzaniu danych nie wspomina. Innymi słowy, o ile obowiązek prawny ciążący na administratorze powinien znajdować podstawę prawną w wyraźnie skierowanym do niego w akcie rangi ustawowej nakazie lub zakazie określonego zachowania, o tyle nie jest konieczne, aby ten nakaz lub zakaz w swej treści odwoływał się in extenso do kwestii przetwarzania danych osobowych, wystarczające jest bowiem, że wiąże się on z koniecznością przetwarzania danych. Taka wykładnia art. 6 ust. 1 lit. c RODO znajduje uzasadnienie w treści motywu 45 preambuły RODO, w którym stwierdzono, że "rozporządzenie nie nakłada wymogu, aby dla każdego indywidualnego przetwarzania istniało szczegółowe uregulowanie prawne. Wystarczyć może to, że dane uregulowanie prawne stanowi podstawę różnych operacji przetwarzania wynikających z obowiązku prawnego, któremu podlega administrator" (por. P. Fajgielski, Ogólne rozporządzenie o ochronie danych. Ustawa o ochronie danych osobowych, warszawa 2025, str. 190). W realiach niniejszej sprawy należy podkreślić, że Rekomendacje S, W i T Komisji Nadzoru Finansowego nie tylko nie mają rangi aktu ustawowego, lecz w ogóle nie należą do źródeł powszechnie obowiązującego prawa w Rzeczypospolitej Polskiej, nie mieszczą się bowiem w zamkniętym katalogu źródeł powszechnie obowiązującego prawa Rzeczypospolitej Polskiej, określonym w art. 87 Konstytucji RP. Ponadto, wydaje je organ, który nie ma stosownego umocowania konstytucyjnego. Należy też przyjąć, że z zakresu pojęcia obowiązku, o jakim mowa art. 6 ust. 1 lit. c RODO należy wykluczyć, ze względu na ich ogólny i optymalizacyjny charakter, obowiązki wynikające wyłącznie z norm-zasad, a zatem nieskonkretyzowane w normach-regułach. Tylko bowiem wówczas zapewniony jest najwyższy standard ochrony danych osobowych, jaka jest emanacją prawa do prywatności. Tym bardziej obowiązki osłabiające ochronę prawną danych osobowych nie mogą znajdować źródła wyłącznie w czynnościach prawnych podejmowanych w ramach swobody kontraktowania. W orzecznictwie sądowoadministracyjnym wyrażono trafne stanowisko odnoszące się do istoty problemu, który wyłonił się również w realiach niniejszej sprawy, zgodnie z którym "(...) Przepisy prawa bankowego przewidują w art. 105 ust. 4 Prawa bankowego podmiot, który może przetwarzać dane osobowe uzyskiwane w trakcie świadczenia usług bankowych, zaś w art. 105a ust. 1-6 Prawa bankowego regulują szczegółowe warunki, zakres, okoliczności i czas przetwarzania tych danych osobowych. Przepisy ust. 1 i 1a wskazują cele, którym może służyć przetwarzanie danych osobowych, przepis ust. 1b kategorie danych osobowych, które mogą być przetwarzane, przepis ust. 2 - przesłankę legalizującą przetwarzanie danych w postaci zgody osoby fizycznej, przepis ust. 3 - warunki przetwarzania danych osobowych bez zgody osoby fizycznej, przepis ust. 4 - warunki i cele przetwarzania danych osobowych bez zgody osoby fizycznej po wygaśnięciu zobowiązania, przepis ust. 5 - czas przetwarzania danych osobowych, a przepis ust. 6 - zakres przetwarzanych danych obejmujący dane o osobie fizycznej oraz o treści zobowiązania. Istotne jest podkreślenie, iż przepisy te odnoszą się wyłącznie do przetwarzania danych osobowych klientów banku, z którymi doszło do nawiązania relacji prawnej o charakterze zobowiązaniowym. Interpretacja tych przepisów z zastosowaniem reguł wykładni językowej prowadzić musi do wniosku, iż nie jest dopuszczalne przetwarzanie danych osobowych klientów banków, z którymi nie doszło do nawiązania przez bank stosunku zobowiązaniowego. Bank, ani podmiot, o którym mowa w art. 105 ust. 4 Prawa bankowego nie ma "obowiązku prawnego" w rozumieniu art. 6 ust. 1 lit. c RODO przetwarzania danych osobowych klienta banku, z którym nie doszło do nawiązania relacji prawnej zobowiązaniowej, gdyż przepisy art. 105a ust. 1-6 Prawa bankowego nie zawierają upoważnienia dla administratora do przetwarzania danych osobowych takiego klienta, ograniczając swój zakres wyłącznie do klientów, którzy zawarli umowę z bankiem" (por. wyrok NSA z dnia 10 lipca 2025 r., III OSK 165/22). W świetle powyższych uwag, cel przetwarzania danych określony w art. 105a ust. 1 Prawa bankowego w formie koniunkcji jako "ocena zdolności kredytowej i analizy ryzyka kredytowego" nie daje podstaw do przyjęcia, że celem tym jest wyłącznie ocena analizy ryzyka kredytowego w oderwaniu od oceny zdolności kredytowej. Jeśli zatem został zrealizowany cel, jakim jest ocena zdolności kredytowej, to brak podstaw do przyjmowania, że cel przetwarzania danych istnieje nadal ze względu na ocenę analizy ryzyka kredytowego. Na marginesie należy podkreślić, że w realiach niniejszej sprawy, trafnie Sąd I instancji ocenił jako niezasadne argumenty dotyczące naruszenia art. 6 ust. 1 lit. c RODO w związku z przepisami ustawy AML oraz przepisami rozporządzenia CRR. Naczelny Sąd Administracyjny przypomina, że przedmiotem oceny organu, a następnie Sądu I instancji była zgodność z prawem przetwarzania danych osobowych w świetle uprawnień przyznanych skarżącym kasacyjnie przez ustawę - Prawo bankowe, a nie sposobu funkcjonowania mechanizmów kredytowych i ustalenia, jakie dane są potrzebne Bankowi i B. S.A. dla zapewnienia prawidłowego działania tych mechanizmów. Również odwoływanie się do konieczności przetwarzania danych osobowych wnioskodawcy w zakresie pytań kredytowych po dokonaniu weryfikacji zdolności kredytowej dla potrzeb tworzenia modeli scoringowych jest nieuprawnione. Scoring kredytowy to metoda oceny wiarygodności podmiotu – zwykle osoby fizycznej lub przedsiębiorstwa – ubiegającego się o kredyt bankowy. Polega na określeniu wiarygodności kredytowej klienta na podstawie porównania jego profilu z profilem klientów, którzy już otrzymali kredyty i je spłacają. W niniejszej sprawie wnioskodawca po złożeniu zapytań kredytowych nie zawarł umowy kredytowej z Bankiem, a tym samym nie spłacał zaciągniętego kredytu, zatem jego dane zawarte w zapytaniu kredytowym (określające profil klienta) są nieprzydatne do tworzenia modeli scoringowych. Ponadto, przedmiotem niniejszej sprawy i kompetencji Prezesa UODO nie jest ustalenie możliwego sposobu realizacji przez Bank obowiązków nakładanych na te podmioty przez instytucje nadzorcze w zakresie prowadzonej działalności. Naczelny Sąd Administracyjny nie neguje, że ocena ryzyka kredytowego jest obowiązkiem Banku. Instrumenty służące dokonaniu takiej oceny przez banki muszą jednak być stosowane z poszanowaniem przepisów prawa normujących uprawnienie banków do przetwarzania danych osobowych potencjalnych klientów przy uwzględnieniu generalnych zasad przetwarzania danych osobowych (art. 5 ust. 1 i ust. 2 RODO). Z kolei uprawnienia do monitorowania stosunków gospodarczych klienta i stosowania odpowiednich środków bezpieczeństwa finansowego nie mają odniesienia do rozpoznawanej sprawy, gdy nie zawarto umowy kredytowej i nie można mówić o transakcji. Według art. 6 ust. 1 lit. f RODO, przetwarzanie danych osobowych zgodnie z prawem jest dopuszczalne, gdy "przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem". Oznacza to, że przetwarzanie danych osobowych jest zgodne z prawem, gdy łącznie spełnione są następujące przesłanki: 1) po stronie administratora istnieją cele, dla osiągnięcia których przetwarzanie danych osobowych jest niezbędne; 2) cele te wynikają z "prawnie uzasadnionych interesów" realizowanych przez administratora; 3) "prawnie uzasadnione interesy" realizowane przez administratora mają charakter nadrzędny wobec interesów lub podstawowych praw i wolności osoby, której dotyczą przetwarzane dane. Poprzez cel, dla osiągnięcia którego przetwarzanie danych osobowych jest niezbędne, należy rozumieć stan rzeczy, układ rzeczywistości, do którego dąży administrator poprzez to przetwarzanie. "Niezbędność" przetwarzania danych osobowych do osiągnięcia obranego przez administratora celu sprowadza się do ustalenia, że bez tego przetwarzania nie da się go zrealizować. Chodzi więc o wykazanie logicznie uzasadnionego i weryfikowalnego związku przyczynowo-skutkowego pomiędzy przetwarzaniem danych osobowych a realizacją stanu rzeczy, do którego dąży administrator. Ustalenie "niezbędności" przetwarzania danych osobowych dla celów administratora musi opierać się na przesłankach konkretnych, uwzględniających możliwie najszersze spektrum uwarunkowań jego realizacji. Przetwarzanie danych osobowych na podstawie art. 6 ust. 1 lit. f RODO wymaga od administratora wykazania, że jest to konieczne z uwagi na charakter celu, okoliczności faktyczne i prawne jego realizacji oraz relacje podmiotowe pomiędzy administratorem a osobą, której te dane dotyczą. Zgodnie z zasadą rozliczalności (art. 5 ust. 2 RODO) administrator będzie zobowiązany wykazać, że zarówno zakres, jak i sposób przetwarzania danych osobowych jest adekwatny do obranego przez niego celu i warunków jego realizacji - zasada ograniczonego celu przetwarzania (art. 5 ust. 1 lit. b RODO) i zasada minimalizacji przetwarzanych danych (art. 5 ust. 1 lit. c RODO). Cel przetwarzania danych osobowych, aby uzasadniał przetwarzanie tych danych zgodnie z prawem, musi wynikać z "prawnie uzasadnionych interesów realizowanych przez administratora (lub przez stronę trzecią)". Pojęcie "prawnie uzasadnionych interesów" jest szersze od kategorii interesu prawnego, tj. interesu znajdującego bezpośrednią podstawę w normie prawa materialnego. Prawnie uzasadniony może być również taki interes faktyczny, który wprawdzie nie znajduje bezpośredniej podstawy w normie prawa materialnego, jednak oznacza korzystną sytuację jego posiadacza z punktu widzenia porządku prawnego, np. z punktu widzenia zasad prawnych, a zatem nie jest takim interesem faktycznym, który całkowicie abstrahuje od unormowań prawnych. Nie ma podstaw do utożsamiania pojęcia "prawnie uzasadnionych interesów realizowanych przez administratora (lub przez stronę trzecią)" z każdym (jakimkolwiek) interesem administratora. Taka wykładnia przesłanki "prawnie uzasadnionych interesów realizowanych przez administratora (lub przez stronę trzecią)" znajduje również uzasadnienie w treści motywu 47 preambuły RODO. Zgodnie z tym motywem, "prawnie uzasadniony interes może istnieć na przykład w przypadkach, gdy zachodzi istotny i odpowiedni rodzaj powiązania między osobą, której dane dotyczą, a administratorem, na przykład gdy osoba, której dane dotyczą, jest klientem administratora lub działa na jego rzecz. Aby stwierdzić istnienie prawnie uzasadnionego interesu, należałoby w każdym przypadku przeprowadzić dokładną ocenę, w tym ocenę tego, czy w czasie i w kontekście, w którym zbierane są dane osobowe, osoba, której dane dotyczą, ma rozsądne przesłanki by spodziewać się, że może nastąpić przetwarzanie danych w tym celu". W każdym konkretnym układzie należy zatem rozstrzygnąć, czy treść i charakter relacji wyznaczonej kategorią interesów realizowanych przez administratora (lub przez stronę trzecią) w sposób rozsądny uzasadnia przetwarzanie danych osobowych w określonym zakresie i czasie. Rozstrzyga zatem charakter relacji łączącej administratora z osobą, której dane są przetwarzane, jej kontekstowość oraz wynikająca z jej indywidualnych uwarunkowań racjonalnie uzasadnioną potrzebę tego przetwarzania, z punktu widzenia zgodności z szeroko rozumianym porządkiem prawnym. Motyw 47 preambuły RODO w kontekście rekonstrukcji zakresu stosowania art. 6 ust. 1 lit. f RODO przesądza, że dopuszczalność przetwarzania danych osobowych na tej podstawie powinna być oceniana kauzalnie, z uwzględnieniem, że zasadnicze znaczenie w tym przedmiocie, powinny mieć uwarunkowania konkretnej relacji pomiędzy administratorem, a osobą której dotyczą przetwarzane dane. Porządek prawny - w tej przestrzeni formułowania ocen - należy traktować jako granicę dopuszczalności prawnie uzasadnionego interesu administratora, na którym opiera przetwarzanie danych osobowych. Porządek prawny może więc być przeszkodą do przetwarzania danych osobowych na podstawie art. 6 ust. 1 lit. f RODO, jeżeli interesu administratora nie da się z nim pogodzić - interes administratora będzie sprzeczny z porządkiem prawnym, a więc nie będzie prawnie uzasadniony. Porządek prawny nie stanowi ścisłej podstawy uzasadnionego interesu administratora do przetwarzania danych osobowych na podstawie art. 6 ust. 1 lit. f RODO, wyznacza natomiast granicę tego przetwarzania (zob. w tej materii wyrok Naczelnego Sądu Administracyjnego z dnia 8 stycznia 2025 r., sygn. akt III OSK 4868/21, wyrok NSA z dnia 13 lutego 2025 r., sygn. akt III OSK 6563/21, wyrok NSA z dnia 10 lipca 2025 r., III OSK 165/22). Tak rozumiana kategoria "prawnie uzasadnionych interesów realizowanych przez administratora (lub przez stronę trzecią)" pozostaje nadal kategorią interesu, który w prawie publicznym, zwłaszcza administracyjnym, charakteryzuje się tym, że jest aktualny, realny, a nie potencjalny czy hipotetyczny. Wbrew zatem twierdzeniom zawartym w skargach kasacyjnych art. 6 ust. 1 lit. f RODO nie może stanowić podstawy przetwarzania danych osobowych "na zapas", w celu zabezpieczenia się przed ewentualnym (przyszłym i niepewnym) roszczeniem, zgłaszanym ewentualnie w przyszłości. Nie jest możliwa akceptacja takiej interpretacji przywołanego przepisu, która legalizowałaby przetwarzanie danych osobowych wyłącznie z uwagi na hipotetyczną i domniemaną konieczność ustalenia, dochodzenia lub obrony roszczeń. Zgromadzony w niniejszym postępowaniu materiał dowodowy nie wykazał natomiast, aby uczestnik postepowania, który zresztą zażądał usunięcia jego danych osobowych z baz Banku oraz B. S.A., wystąpił z jakimkolwiek roszczeniem wobec skarżących kasacyjnie, a zatem w sprawie słusznie stwierdzono brak podstawy legalizującej przetwarzanie danych osobowych uczestnika postępowania, w zakresie objętym decyzją, w sytuacji niezawarcia przez niego umowy kredytowej. Tym samym prawidłowe jest stanowisko wyrażone w zaskarżonym wyroku, że przetwarzanie danych osobowych uczestnika postępowania nie ma umocowania w przepisach prawa. W świetle przywoływanych zarówno przez organ, Sąd I instancji, jak i skarżących kasacyjnie przepisów, a w szczególności na podstawie art. 105a ust. 1 i art. 70 ust. 1 ustawy Prawo bankowe, uprawnione było przetwarzanie danych osobowych uczestnika postępowania w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Należy jednak raz jeszcze podkreślić, na co zresztą wielokrotnie zwracano uwagę w toku postępowania, że w związku z zapytaniem kredytowym uczestnika postępowania z dnia 3 marca 2021 r. nie doszło do zawarcia umowy kredytowej, a powyższa okoliczność nie była kwestionowana w toku postępowania przez żadną ze stron. Nie może być zatem wątpliwości, że ocena zdolności kredytowej i analiza ryzyka kredytowego zostały dokonane (zrealizowane). Słusznie zatem stwierdził organ, a następnie Wojewódzki Sąd Administracyjny w Warszawie, że cel przetwarzania danych, dla którego zostały one zgromadzone w zapytaniu kredytowym, został osiągnięty. Ponadto, uczestnik postępowania wniósł o zaprzestanie przetwarzania jego danych w związku z zapytaniem kredytowym, w rezultacie którego nie udzielono mu kredytu. Wobec tego należy zgodzić się ze stanowiskiem, że odpadła przesłanka legalizująca dalsze przetwarzanie danych osobowych uczestnika postępowania, które to przetwarzanie miało na celu - co wymaga raz jeszcze podkreślenia - ocenę zdolności kredytowej i analizę ryzyka kredytowego - przed zawarciem umowy. Skoro nie doszło do nawiązania stosunku zobowiązaniowego, który stosownie do art. 105a ust. 1-6 ustawy Prawo bankowe dawałby podstawę do dalszego przetwarzania danych osobowych przez skarżących kasacyjnie, to należało uznać, tak jak prawidłowo przyjął Prezes UODO oraz Wojewódzki Sąd Administracyjny w Warszawie, że tym samym ustał cel przetwarzania danych osobowych pozyskanych tylko i wyłącznie w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. W ocenie NSA, w niniejszej sprawie występuje interes uczestnika postępowania wymagający ochrony danych osobowych, który przeważa nad interesem Banku, czy B. S.A., który ma aktualnie charakter wyłącznie hipotetyczny, potencjalny i jedynie domniemany. Dodatkowo należy wskazać, na co zresztą słusznie zwrócono uwagę w odpowiedzi na skargę kasacyjną, że przesłanka określona w art. 6 ust. 1 lit. f rozporządzenia RODO nie jest ukierunkowana na pełną ochronę interesów sektora gospodarczego (finansowego), ale uzależniona jest od tego, czy przetwarzanie to jest "niezbędne" do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą. Regulacja ta nie odnosi się zatem do ochrony wszelkich interesów sektora gospodarczego (finansowego). Przede wszystkim ma za zadanie chronić osoby, których proces ten dotyczy przed nieuprawnionym przetwarzaniem ich danych osobowych. Nie można twierdzić, że przetwarzanie danych osobowych "na wszelki wypadek", czy "na zapas" lub w odniesieniu do "ewentualnych i potencjalnych roszczeń" stanowi "prawnie uzasadniony interes" Banku. Każdej osobie przysługuje własne indywidualne prawo do prywatności, chroniące prywatną sferę tej osoby i uprawniające ją do samodzielnego decydowania o ujawnieniu informacji pochodzących z tej sfery (por. wyrok SN z 26 maja 2017 r., sygn. akt I CSK 557/16). Ponadto należy zauważyć, że w aktualnym stanie prawnym można wskazać na przepisy, które zobowiązują niektóre podmioty do przetwarzania danych osobowych przez okres przedawnienia roszczeń z tytułu zawartych umów. Tytułem przykładu przytoczyć można art. 29 ust. 10 ustawy z dnia 11 września 2015 r. o działalności ubezpieczeniowej i reasekuracyjnej (Dz.U. z 2024 r. poz. 838), zgodnie z którym zakład ubezpieczeń przechowuje informacje i dokumenty, o których mowa w ust. 6 (tj. informacje i dokumenty gromadzone w celu ustalenia odpowiedzialności zakładu ubezpieczeń lub wysokości odszkodowania lub świadczenia) do czasu upływu terminu przedawnienia roszczeń z umowy ubezpieczenia. A contrario, skoro ustawodawca nie zobowiązał wszystkich przedsiębiorców do przechowywania danych osobowych byłych klientów przez czas przedawnienia roszczeń w celu ustalenia odpowiedzialności lub wysokości odszkodowania, to tym samym zgodnie z interpretacyjnym założeniem racjonalnego ustawodawcy nie można takiej konstrukcji rozciągać na inne regulacje prawne. Tekst aktu prawodawczego służy ustawodawcy do sformułowania określonych norm postępowania świadczących o tym, że prawodawca zna i uwzględnia reguły języka danej społeczności, a jeśli od nich odstępuje, odpowiednio to zaznacza, np. przez definicje legalne. Przyjmuje się, że prawodawca formułuje takie normy, które według jego wiedzy w danym układzie społecznym nadają się do tego, by wpływać na zachowanie adresatów i nie ustanawia norm niezgodnych między sobą. Postępowanie adresatów zgodne z ustanawianymi normami prowadzi – według jego wiedzy – do rezultatów optymalnych, a w każdym razie aprobowanych na gruncie przypisywanego prawodawcy systemu wartości (por. M. Augustyniak, Zasady racjonalnego prawodawcy w kontekście teorii i praktyki prawniczej, Aktualne problemy prawa, tom 1, nr 4, kwiecień 2020, s. 37-41). Z tych wszystkich powodów skargi kasacyjne Banku oraz B. S.A. nie mogły zostać uwzględnione. Ze wskazanych wyżej przyczyn, Naczelny Sąd Administracyjny na podstawie art. 184 p.p.s.a. oddalił skargi kasacyjne jako pozbawione usprawiedliwionych podstaw. O kosztach postępowania kasacyjnego rozstrzygnięto na podstawie art. 204 pkt 1 p.p.s.a.