II SA/Wa 34/25

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Łukasz Krzycki (spr.), Sędzia WSA Ewa Radziszewska-Krupa, Asesor WSA Anna Pośpiech-Kłak, , Protokolant specjalista Monika Gieroń po rozpoznaniu na rozprawie w dniu 24 lipca 2025 r. sprawy ze skargi [...] S.A. na punkt 1 decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] października 2024 r. nr [...] w przedmiocie przetwarzania danych osobowych 1. uchyla zaskarżoną decyzję w punkcie 1, 2. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz [...] S.A. kwotę 697 zł (słownie: sześćset dziewięćdziesiąt siedem złotych) tytułem zwrotu kosztów postępowania. Zaskarżoną decyzją – przywołując art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. – Kodeks postępowania administracyjnego (Dz.U. z 2024 r. poz. 572), zwanej dalej "K.p.a.", w zw. art. 58 ust. 2 lit. c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.Urz. UE L. nr 119. str. 1, ze zm.), zwanego dalej "RODO", wobec skargi p. E. W. (dalej "Wnioskodawca") na nieprawidłowości w procesie przetwarzania jej danych osobowych przez [...] w upadłości, zwany dalej "Bankiem", polegające na przetwarzaniu jej danych osobowych w zakresie informacji o ogłoszeniu upadłości konsumenckiej bez podstawy prawnej w bazie Biura Informacji Kredytowej S.A., zwanego dalej "BIK" - nakazano BIK w pkt. 1 usunięcie danych osobowych Wnioskodawcy w zakresie informacji o ogłoszeniu upadłości konsumenckiej pozyskanych od Banku. W uzasadnieniu decyzji przywołano następujące okoliczności faktyczne i prawne uwarunkowania sprawy: - wobec wpływu skargi Wnioskodawcy ustalono w toku postępowania następujący stan faktyczny: - Wnioskodawca wskazał, że skarga dotyczy nieprawidłowego przetwarzania jego danych osobowych w BIK przez Bank w zakresie przekazania do BIK – [...] marca 2022 r. - informacji o upadłości konsumenckiej Wnioskodawcy; Sąd Rejonowy w [...]- postanowieniem z [...] lutego 2022 r. (sygn. akt [...]), zwanym dalej "Postanowieniem z 2022 roku" - umorzył zobowiązanie Wnioskodawcy wobec Banku - z tytułu umowy kredytu nr [...] z [...] czerwca 2008 r., zwanej dalej "Umową Kredytu"; pismem z [...] maja 2022 r. Wnioskodawca wystąpił do Banku o wykreślenie jego danych z systemu bankowego; w odpowiedzi otrzymał od Banku informacje, że wyraził zgodę na przetwarzanie danych osobowych przez okres 5 lat od daty wygaśnięcia zobowiązania; następnie - pismem z [...] czerwca 2022 r. - Wnioskodawca wystąpił do Banku o wycofanie zgody indywidulanej, przeniesienie zobowiązania do tzw. części statystycznej w BIK oraz usunięcie jego danych z systemu Banku; Bank odmówił realizacji żądania Wnioskodawcy; tenże pobrał zaś raport z BIK, z którego wynikało, że Bank usunął informacje w zakresie zobowiązania, pojawiła się natomiast informacja o upadłości konsumenckiej Wnioskodawcy; na skutek tego Bank otrzymał od niego – [...] sierpnia 2022 r. - żądanie usunięcia jego danych osobowych z BIK w zakresie informacji o upadłości konsumenckiej; odpowiedź Banku była negatywna; zdaniem Wnioskodawcy, odmowa usunięcia jego danych osobowych była bezzasadna; podniósł, że wpis o upadłości konsumenckiej Bank umieścił już po odnotowaniu w BIK daty ustania relacji - po usunięciu informacji o zobowiązaniu Wnioskodawcy z BIK i po umorzeniu jego zobowiązań przez sąd upadłościowy; Bank nie dokonał wpisu w chwili złożenia przez Wnioskodawcę wniosku o ogłoszenie upadłości lecz dopiero po jej zakończeniu i po usunięciu zobowiązania z BIK, - Bank wskazał: w związku z ogłoszeniem [...] czerwca 2016 r. w stosunku do Wnioskodawcy upadłości konsumenckiej - Bank pozyskał jego dane osobowe – właśnie dotyczące ogłoszenia w stosunku doń upadłości - wobec otrzymanego [...] sierpnia 2016 r. pisma syndyka masy upadłości; informacja o ogłoszeniu upadłości Wnioskodawcy zamieszczono w Monitorze Sądowym nr [...] z [...] sierpnia 2016 r.; [...] marca 2022 r. Bank otrzymał odpis - prawomocnego z dniem [...] marca 2022 r. - Postanowienia z 2022 roku o umorzeniu zobowiązań, powstałych przed dniem ogłoszenia upadłości; w związku z tym rzeczywiste odpięcie Wnioskodawcy w głównym systemie transakcyjnym Banku od Umowy Kredytu nastąpiło [...] lipca 2022 r.; data ta odnosi się wyłącznie do czynności techniczno-administracyjnej, dokonanej w Banku (tak: pismo Banku z [...] lipca 2023 r. wraz z załącznikami i jego pismo z [...] sierpnia 2023 r.); aktualnie Wnioskodawca nie ma w Banku żadnych umów o produkty lub usługi; ogłoszenie przezeń upadłości konsumenckiej i powzięcie przez Bank wiedzy o powyższym stanowiło przyczynę wygaśnięcia zobowiązania, wynikającego z Umowy Kredytu (tak: pismo Banku z [...] lipca 2023 r. wraz z załącznikami); [...] marca 2022 r. przekazał informację do BIK o umorzeniu postępowania upadłościowego względem Wnioskodawcy, nie przekazując wówczas niestety omyłkowo informacji w zakresie ogłoszenia jego upadłości; BIK - będący osobnym administratorem danych osobowych Wnioskodawcy - skierował do Banku prośbę o dokonanie do BIK korekty wpisu w zakresie upadłości; Bank dokonał korekty [...] listopada 2022 r.; przekazanie przez Bank do BIK tych danych dotyczyło upadłości konsumenckiej Wnioskodawcy w zakresie: imię i nazwisko, numer PESEL, numer i seria dokumentu tożsamości; nastąpiło na podstawie art. 105 ust. 4 ustawy z dnia 29 sierpnia 1997 r. - Prawo bankowe (Dz. U. z 2023 r. poz. 2488) - jako informacje istotne z punktu widzenia przetwarzania danych osobowych przez BIK w celu oceny zdolności kredytowej i analizy ryzyka kredytowego - oraz w oparciu o umowę z [...] maja 2006 r., zawartą przez Bank z BIK w sprawie gromadzenia, przetwarzania i udostępniania informacji (tak: pismo Banku z [...] lipca 2023 r. wraz z załącznikami); w zakresie wynikającego z Umowy Kredytu zobowiązania Wnioskodawcy – w związku, z którym Bank pozyskał informacje o ogłoszeniu upadłości konsumenckiej przez Wnioskodawcę - nie przetwarza on jego danych osobowych w celu oceny zdolności kredytowej i analizy ryzyka; Bank – po uzyskaniu informacji, dotyczącej ogłoszenia upadłości konsumenckiej względem Wnioskodawcy - usunął jego dane osobowe z BIK; skutkuje to tym, jakoby Wnioskodawca nie był nigdy kredytobiorcą; jednakże Bank umieścił w BIK informację, że ogłoszono w stosunku do Wnioskodawcy upadłość; w związku z tym - z uwagi na ogłoszenie upadłości konsumenckiej względem Wnioskodawcy i zakończeniem jego aktywnej relacji produktowej z Bankiem - nie ma podstaw do zastosowania przesłanki z art. 105a ust. 3 ustawy - Prawo bankowe; przepis ten dotyczy spłaty umowy kredytowej a nie faktu upadłości konsumenckiej (tak: pismo Banku z [...] sierpnia 2023 r.); - BIK wskazał: aktualnie przetwarza dane o upadłości konsumenckiej Wnioskodawcy; dane te przekazał do BIK Bank; w ten sposób pozyskano dane Wnioskodawcy w zakresie identyfikującym (imię, nazwisko, PESEL) oraz dotyczące upadłości konsumenckiej - w tym datę ogłoszenia upadłości konsumenckiej oraz informację o wydaniu postanowienia o zakończeniu postępowania upadłościowego; imię, nazwisko oraz PESEL Wnioskodawcy BIK posiadał już wcześniej - w związku z przetwarzaniem danych na temat jego historii kredytowej (informacje o zapytaniach i zobowiązaniach); dane dotyczące upadłości konsumenckiej BIK pozyskał w celu wykonywania czynności bankowych - w szczególności oceny zdolności kredytowej i analizy ryzyka kredytowego oraz w celach statystycznych i analiz, których wynikiem nie są dane osobowe i wynik ten nie służy za podstawę podejmowania decyzji dotyczących konkretnych osób fizycznych; dane w zakresie upadłości - obejmujące datę ogłoszenia upadłości konsumenckiej oraz informację o wydaniu postanowienia o zakończeniu postępowania upadłościowego - Bank przekazał do BIK [...] listopada 2022 r. - na skutek dokonanej przez Bank korekty; BIK przetwarzał dane Wnioskodawcy - wynikające z Umowy Kredytu, zawartej między Bankiem a Wnioskodawcą; wynikające z tego zobowiązania dane Bank usunął - w trybie on-line - [...] lipca 2022 r.; BIK odnotował to w tej samej dacie (tak: pismo BIK z [...] listopada 2022 r. wraz z załącznikami i jego pismo z [...] listopada 2023 r. wraz z załącznikami); dane osobowe Wnioskodawcy w zakresie upadłości konsumenckiej BIK pozyskał w celu wykonywania czynności bankowych - w szczególności oceny zdolności kredytowej i analizy ryzyka kredytowego na podstawie art. 6 ust. 1 lit. f RODO w zw. z art. 70 ust. 1, art. 105 ust. 4 oraz art. 105a ust. 1 ustawy - Prawo bankowe oraz w zawiązku z umowami, zawartymi pomiędzy bankami; prawnie uzasadnionym interesem BIK jest w tym przypadku dostarczenie bankom informacji, niezbędnej do wykonywania czynności bankowych – w szczególności do oceny zdolności kredytowej i analizy ryzyka kredytowego; silnie powiązanym z oceną zdolności kredytowej procesem jest analiza ryzyka kredytowego; realizacja obowiązku zarządzania ryzykiem przez bank obejmuje również ocenę ryzyka kredytowego; jednym z elementów realizacji tego obowiązku jest z kolei wymiana danych pomiędzy bankami - dokonywana na podstawie art. 105 ust. 4 i art. 105 a ust. 1 - 1c ustawy - Prawo bankowe; prowadząc działalność kredytową, bank musi spełniać także obowiązki, wynikające z przepisów rozporządzenia Parlamentu Europejskiego i Rady nr 575/2013 z dnia 26 czerwca 2013 r. w sprawie wymogów ostrożnościowych dla instytucji kredytowych i firm inwestycyjnych, zmieniające rozporządzenie (UE) nr 648/2012 (Dz. Urz. UE L 2013 Nr 176, str. 1), zwanego dalej "CRR"; zgodnie z art. 176 ust. 5 CRR instytucje (banki) w ramach zarządzania danymi, dotyczącymi aspektów przyznawanych wewnętrznych ratingów, zobowiązano do gromadzenia i przetwarzania danych, wskazujących dłużników i ekspozycje cechujące się niewykonaniem zobowiązania; z kolei - zgodnie z art. 178 ust 3 lit. f CRR - za element, wskazujący na prawdopodobieństwo niedokonania płatności uznaje się wystąpienie przez dłużnika o ogłoszenie upadłości lub o przyznanie podobnej ochrony lub postawienie dłużnika w stan upadłości bądź przyznanie mu podobnej ochrony - jeżeli umożliwiłoby mu to uniknięcie lub opóźnienie spłaty zobowiązań kredytowych wobec instytucji, jednostki dominującej lub którejkolwiek z jej jednostek zależnych; zgodnie z wytycznymi, dotyczącymi stosowania definicji niewykonania zobowiązania - określonej w art. 178 CRR, wydanymi zaś przez Europejski Urząd Nadzoru Bankowego - banki do celów stwierdzenia prawdopodobieństwa niedokonania płatności powinny brać pod uwagę nie tylko informacje wewnętrzne banku, ale także inne dostępne w zewnętrznych bazach danych - w tym w rejestrach kredytowych; ustawodawca (ani polski, ani unijny) nie określił zamkniętego katalogu informacji, które są niezbędne do oceny zdolności kredytowej i analizy ryzyka kredytowego; to na bankach spoczywa obowiązek określenia, które informacje są niezbędne; one to bowiem ostatecznie ponoszą odpowiedzialność za niewypełnienie nałożonych na nie obowiązków; za taką niezbędną informację banki uznały informacje o ogłoszeniu upadłości konsumenckiej; same wobec tego przekazują ją do BIK i (na zasadzie wzajemności) oczekują jej gromadzenia przez BIK; bank musi wiedzieć, czy - podejmując decyzję kredytową - wchodzi w relację z osobą, która - z powodu niewypłacalności albo ryzyka niewypłacalności - ogłosiła upadłość konsumencką; informacja taka jest istotna również z punktu widzenia monitorowania ryzyka kredytowego w trakcie spłaty już udzielonych zobowiązań; dotyczące upadłości konsumenckiej dane Wnioskodawcy BIK będzie przetwarzał - w celu oceny zdolności kredytowej i analizy ryzyka kredytowego - przez 10 lat od dnia wydania postanowienia w przedmiocie ogłoszenia upadłości - do [...] czerwca 2026 r. włącznie; określając okres przetwarzania danych wzięto pod uwagę przepisy ustawy z dnia 28 lutego 2003 r. - Prawo upadłościowe (Dz.U. z 2022 r. poz. 1520) - w szczególności art. 369 ust 3 pkt 2 (tak: pismo BIK z [...] listopada 2022 r. wraz z załącznikami); pozyskane przez BIK, dotyczące upadłości konsumenckiej dane są również przetwarzane w celach statystycznych; podstawą prawną przetwarzania danych osobowych przez BIK w celach statystycznych jest prawnie uzasadniony interes administratora danych (art. 6 ust. 1 lit. f RODO) - wynikający z przepisów ustawy - Prawo bankowe (art. 105 ust. 1 i 105a ust. 4); polega on na dostarczaniu bankom analiz, pozwalających ocenić w szczególności jakość polityki kredytowej na tle rynku, trendy występujące w sektorze bankowym oraz identyfikować zagrożenia, płynące z zachowań kredytowych klientów w innych bankach, czy określić maksymalne kwoty kredytów i pożyczek, dla których bank może stosować uproszczone zasady oceny zdolności kredytowej; dostarczane bankom przez BIK analizy statystyczne obejmują m.in. takie informacje jak: a) jakość udzielonych kredytów w banku w określonym czasie wobec jakości kredytów udzielonych na całym rynku w tym okresie, b) jakość portfela kredytowego banku ogółem oraz w podziale na różne kryteria np. obszar geograficzny, typ produktu, cechy produktu - kwota, waluta, okres kredytowania, c) jakość obsługi zadłużenia przez klientów banku w tym banku oraz na całym rynku, d) łączne zadłużenie klientów banku w tym banku vs ich zadłużenie w pozostałych bankach, e) prognozowane ryzyko kredytowe wskazanych portfeli kredytowych, f) jakość portfela kredytowego w zależności od kwoty zaciągniętego zobowiązania; przetwarzanie danych w tym celu odbywa się przez okres nie dłuższy niż przetwarzanie danych do celu oceny zdolności kredytowej i analizy ryzyka kredytowego - maksymalnie przez 10 lat od dnia ogłoszenia upadłości (tak: pismo BIK z [...] listopada 2022 r. wraz z załącznikami); Bank nie zwracał się do BIK z żądaniem usunięcia danych Wnioskodawcy w zakresie upadłości konsumenckiej; także zainteresowany nie wystąpił do BIK o realizację jego praw z zakresu ochrony danych osobowych - w tym o usunięcie danych osobowych (tak: pismo BIK z [...] listopada 2022 r. wraz z załącznikami), - zgodnie z art. 6 ust. 1 RODO, przetwarzanie danych jest dopuszczalne tylko, gdy spełniono jedną z przesłanek, wskazanych w tym przepisie; ich katalog jest zamknięty; każda z legalizujących proces przetwarzania danych osobowych przesłanek ma charakter autonomiczny i niezależny; są wiec one – co do zasady – równoprawne; spełnienie co najmniej jednej z nich stanowi wobec tego o zgodnym z prawem przetwarzaniu danych osobowych; w konsekwencji zgoda osoby, której dane dotyczą, nie jest jedyną podstawą przetwarzania danych osobowych; proces przetwarzania danych będzie bowiem zgodny z RODO również wówczas, gdy administrator danych wykaże spełnienie innej przesłanki, - podstawą prawną przetwarzania danych osobowych w zasobach BIK jest obecnie - co do zasady - art. 6 ust. 1 lit. f RODO, gdy przetwarzanie zostanie uznane za niezbędne do celów, wynikających z prawnie uzasadnionych realizowanych przez administratora interesów, nadrzędnych nad interesami i prawami podstawowymi osoby, której dane dotyczą; Bank przekazuje również do BIK informacje na podstawie zawartej pomiędzy tymi podmiotami umowy, - zgodnie z motywem 47 RODO, podstawą prawną przetwarzania mogą być prawnie uzasadnione interesy administratora, w tym administratora, któremu mogą zostać ujawnione dane osobowe, lub strony trzeciej, o ile – w świetle rozsądnych oczekiwań osób, których dane dotyczą, opartych na ich powiązaniach z administratorem - nadrzędne nie są interesy lub podstawowe prawa i wolności osoby, której dane dotyczą; taki prawnie uzasadniony interes może istnieć, gdy zachodzi istotny i odpowiedni rodzaj powiązania między osobą, której dane dotyczą, a administratorem, np. gdy osoba, której dane dotyczą, jest klientem administratora lub działa na jego rzecz; aby stwierdzić istnienie prawnie uzasadnionego interesu, należy przeprowadzić w każdym przypadku dokładną ocenę, m.in. tego, czy - w czasie i w kontekście, w którym zbierane są dane osobowe - osoba, której dotyczą, ma rozsądne przesłanki aby spodziewać się, że może nastąpić przetwarzanie danych w tym celu; interesy i prawa podstawowe osoby, której dane dotyczą, mogą być nadrzędne wobec interesu administratora danych - w szczególności, gdy dane osobowe są przetwarzane w sytuacji, gdy osoby, których dotyczą, nie mają rozsądnych przesłanek, aby spodziewać się dalszego przetwarzania, - zgodnie też z określoną w art. 5 ust. 2 RODO zasadą rozliczalności, administratora zobowiązano do przestrzegania zasad, określonych w art. 5 ust. 1 RODO, i musi być w stanie to wykazać; zgodnie z zasadą ograniczenia celu przetwarzania (tak art. 5 ust. 1 lit. b RODO) dane osobowe należy zbierać w konkretnych, wyraźnych i prawnie uzasadnionych celach; nie można ich przetwarzać dalej w sposób niezgodny z tymi celami, - BIK jest instytucją, utworzoną na podstawie art. 105 ust. 4 ustawy - Prawo bankowe, który stanowi, że banki mogą - wspólnie z bankowymi izbami gospodarczymi - utworzyć instytucje, upoważnione do gromadzenia, przetwarzania i udostępniania bankom stanowiących tajemnicę bankową informacji - w zakresie, w jakim są one potrzebne, w związku z wykonywaniem czynności bankowych oraz ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej CRR (pkt 1), innym instytucjom ustawowo upoważnionym do udzielania kredytów informacji stanowiących tajemnicę bankową - w zakresie, w jakim informacje te są niezbędne w związku z udzielaniem kredytów, pożyczek pieniężnych, gwarancji bankowych i poręczeń (pkt 2), instytucjom kredytowym - informacji stanowiących tajemnicę bankową w zakresie niezbędnym do oceny zdolności kredytowej konsumenta (pkt 3), instytucjom pożyczkowym i podmiotom, o których mowa w przepisach o kredycie konsumenckim na zasadzie wzajemności - informacji stanowiących odpowiednio tajemnice bankową oraz informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w przepisach o kredycie konsumenckim, w zakresie niezbędnym do oceny zdolności kredytowej konsumenta i analizy ryzyka kredytowego (pkt 4), jednostce zarządzającej systemem ochrony lub bankowi zrzeszającemu – informacji, stanowiących tajemnicę bankową w zakresie, w jakim są one niezbędne dla realizacji jej zadań określonych w przepisach o funkcjonowaniu banków spółdzielczych, ich zrzeszaniu się i bankach zrzeszających (pkt 5), krajowym instytucjom płatniczym, małym instytucjom płatniczym, krajowym instytucjom pieniądza elektronicznego, unijnym instytucjom płatniczym lub unijnym instytucjom pieniądza elektronicznego, udzielającym kredytu płatniczego - stanowiących tajemnicę bankową informacji w zakresie niezbędnym do oceny zdolności kredytowej konsumenta (pkt 6), - zgodnie z art. 105a ust. 1 ustawy - Prawo bankowe przetwarzanie przez banki a także instytucje utworzone na podstawie art. 105 ust. 4, informacji, stanowiących tajemnicę bankową, i informacji udostępnionych przez instytucje pożyczkowe oraz podmioty, o których mowa w przepisach o kredycie konsumenckim, w zakresie dotyczącym osób fizycznych może być wykonywane - z zastrzeżeniem art. 104, art. 105 i art. 106-106d - w celu oceny zdolności kredytowej i analizy ryzyka kredytowego; w określonych w art. 105a ustawy - Prawo bankowe przypadkach, przetwarzanie danych może odbywać się również po wygaśnięciu zobowiązania, wynikającego z zawartej z bankiem umowy; zgodnie z art. 105a ust. 2 ustawy - Prawo bankowe z zastrzeżeniem ust. 3, instytucje, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową oraz informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których w przepisach o kredycie konsumenckim, w zakresie dotyczącym osób fizycznych po wygaśnięciu zobowiązania, wynikającego z umowy zawartej z bankiem - pod warunkiem uzyskania pisemnej zgody osoby, której informacje te dotyczą, z zastrzeżeniem ust. 2a; zgoda ta może być w każdym czasie odwołana; zgodnie zaś z art. 105a ust. 3 ustawy - Prawo bankowe banki, instytucje oraz podmioty, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową i informacje udostępnione przez instytucje pożyczkowe, dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia, wynikającego z umowy zawartej z bankiem, po zaistnieniu tych okoliczności upłynęło zaś co najmniej 30 dni od poinformowania tej osoby przez bank o zamiarze przetwarzania dotyczących jej tych informacji, bez jej zgody, - przetwarzanie danych osobowych w celu oceny zdolności kredytowej i analizy ryzyka kredytowego znajduje oparcie w art. 105a ust. 1, 2, 3 ustawy - Prawo bankowe, o ile przedmiotowe dane stanowią informacje objęte tajemnicą bankową; są zatem informacjami, związanymi z czynnościami bankowymi; jak wskazuje się w doktrynie, pojęcie i zakres objętych tajemnicą bankową informacji należy interpretować szeroko - zaliczać do nich nie tylko dane ujawnione w treści samej czynności bankowej, ale także inne czynności prawne, faktyczne czy nawet różnorakie okoliczności, o ile pozostają w związku z czynnością bankową; art. 105a ust. 1 ustawy - Prawo bankowe, może zatem stanowić podstawę prawną przetwarzania danych osobowych w celu oceny zdolności kredytowej i analizy ryzyka kredytowego jedynie tych, stanowiących informacje objęte tajemnicą bankową, - Bank pozyskał informacje o ogłoszeniu upadłości konsumenckiej Wnioskodawcy w związku z jego zobowiązaniem, wynikającym z Umowy Kredytu; [...] marca 2022 r. przekazał informację do BIK o umorzeniu postępowania upadłościowego względem Wnioskodawcy - nie przekazując wówczas omyłkowo informacji w zakresie ogłoszenia upadłości; BIK - będący osobnym administratorem danych osobowych Wnioskodawcy - skierował do Banku prośbę o korektę wpisu w zakresie upadłości w BIK; Bank dokonał korekty (zgodnie z jego wyjaśnieniami) [...] listopada 2022 r.); Bank – po uzyskaniu dotyczącej ogłoszenia upadłości konsumenckiej względem Wnioskodawcy informacji - usunął jego dane osobowe z BIK; dane wynikające ze wskazanego zobowiązania Bank usunął w trybie on-line [...] lipca 2022 r., - tym samym [...] listopada 2022 r. nie było już w BIK informacji o zobowiązaniu Wnioskodawcy, wynikającym z Umowy Kredytu; usunął je bowiem Bank; pomimo tego [...] listopada 2022 r. Bank przekazał do BIK informację o ogłoszeniu przez Wnioskodawcę upadłości konsumenckiej; jako podstawę prawną przekazania tych danych do przetwarzania w BIK, Bank wskazał art. 105 ust. 4 ustawy - Prawo bankowe; wywodził, że są to informacje istotne z punktu widzenia przetwarzania danych osobowych przez BIK - w celu oceny zdolności kredytowej i analizy ryzyka kredytowego, - stosownie do obowiązujących przepisów ustawy - Prawo bankowe, nie jest możliwe przetwarzanie danych osobowych w celu oceny zdolności kredytowej i analizy ryzyka kredytowego bez powiązania tych danych z jakąkolwiek czynnością bankową; oznacza to, że przekazanie [...] listopada 2022 r. przez Bank na rzecz BIK informacji o ogłoszeniu przez Wnioskodawcę upadłości konsumenckiej nie miało oparcia we wskazanych przez Bank przepisach ustawy - Prawo bankowe; tym samym nie znajdowało uzasadnienia w żadnej z przesłanek, określonych w art. 6 ust. 1 RODO; z tych samych przyczyn nieprawidłowy jest również obecny proces przetwarzania danych osobowych przez BIK - dokonywany w celu oceny zdolności kredytowej i analizy ryzyka kredytowego, dla którego BIK nieprawidłowo powołuje, jako podstawy prawne: art. 6 ust. 1 lit. f RODO, w zw. z art. 70 ust. 1, art. 105 ust. 4 oraz art. 105a ust. 1 ustawy - Prawo bankowe, - BIK nie wykazał, aby w powyższym zakresie istniał zatem konkretny, wyraźny i prawnie usprawiedliwiony cel przetwarzania danych osobowych Wnioskodawcy w zakresie informacji o upadłości konsumenckiej; nie można tym samym uznać, aby przetwarzanie danych osobowych w tym celu. mogło odbywać się w oparciu o wskazany przez BIK art. 6 ust. 1 lit. f RODO ani, aby zaistniała inna - spośród określonych w art. 6 ust. 1 RODO – z przesłanek legalizujących proces, - BIK wskazał ponadto, że przetwarza dane osobowe Wnioskodawcy w zakresie informacji o ogłoszeniu przezeń upadłości konsumenckiej w celach statystycznych; wyjaśnił, że podstawą prawną przetwarzania danych osobowych w celach statystycznych jest prawnie uzasadniony interes administratora danych (art. 6 ust. 1 lit. f RODO), wynikający z przepisów ustawy - Prawo bankowe - art. 105 ust. 1 i 105a ust. 4, polegający na dostarczaniu bankom analiz pozwalających ocenić w szczególności jakość polityki kredytowej na tle rynku, trendy występujące w sektorze bankowym oraz identyfikować zagrożenia, płynące z zachowań kredytowych klientów w innych bankach, czy też określić maksymalne kwoty kredytów i pożyczek, dla których bank może stosować uproszczone zasady oceny zdolności kredytowe, wynikający z przepisów ustawy - Prawo bankowe (art. 105 ust. 1 i 105a ust. 4); co wynika z art. 105a ust. 4 danego aktu banki oraz instytucje, o których mowa w art. 105 ust. 4, mogą przetwarzać stanowiące tajemnicę bankową informacje, dotyczące osoby fizycznej po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem bez zgody osoby, której informacje dotyczą, do celów stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej CRR; zgodnie z art. 105a ust. 5 ustawy - Prawo bankowe, przetwarzanie stanowiących tajemnicę bankową informacji - w przypadku, o którym mowa w ust. 4 - może być wykonywane przez 12 lat od dnia wygaśnięcia zobowiązania, - oparcie procesu przetwarzania danych osobowych do celów stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej CRR wobec art. 105a ust. 4 ustawy - Prawo bankowe możliwe jest wówczas, gdy dane te stanowią tajemnicę bankową oraz gdy administrator wykaże zaistnienie konkretnego zobowiązania, wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów; w niniejszej sprawie BIK - jak już wskazano - nie wykazał tymczasem, aby zaistniało konkretne zobowiązanie, wynikające z umowy zawartej przez Wnioskodawcę z Bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów; wobec tego warunek określony w art. 105a ust. 4 ustawy - Prawo bankowe nie jest spełniony; nie można tym samym uznać, aby BIK był uprawniony do przetwarzania danych osobowych Wnioskodawcy w zakresie informacji o ogłoszeniu upadłości konsumenckiej w oparciu o wskazany przepis; tym samym nie została spełniona wskazywana przez BIK przesłanka legalizująca - określona w art. 6 ust. 1 lit. f RODO, - każdy proces przetwarzania danych osobowych musi znajdować oparcie w wynikających z art. 6 ust. 1 RODO przesłankach; spełnienie, wskazanej przez BIK przesłanki z art. 6 ust. 1 lit. f RODO, uzależniono zaś od tego, czy przetwarzanie jest niezbędne do celów, wynikających z prawnie uzasadnionych interesów, realizowanych przez administratora lub przez stronę trzecią - z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą; przesłanka ta dotyczy sytuacji już istniejącej, w której administrator jest w stanie wykazać, że realizuje konkretny cel; w przypadku zatem przetwarzania danych przez BIK - w oparciu o art. 105a ust. 4 ustawy - Prawo bankowe - konieczne jest wykazanie ziszczenia się określonych w tym przepisie warunków, - administrator, jakim jest BIK, jest odpowiedzialny za przestrzeganie uregulowanych w art. 5 ust. 1 RODO zasad, zaś - stosownie do art. 5 ust. 2 RODO musi - być w stanie wykazać ich przestrzeganie, - także możliwość pozyskania danych osobowych, dotyczących upadłości konsumenckiej, z ogólnodostępnych rejestrów lub dzienników urzędowych - jak Monitor Sądowy i Gospodarczy - nie oznacza, że w procesie przetwarzania danych Bank - jako podmiot przetwarzający objęte tajemnicą bankową informacje - a także BIK, mający do nich dostęp, mogą pomijać wymogi, wynikające z przepisów ustawy - Prawo bankowe; przesłanka przetwarzania danych osobowych z art. 6 ust. 1 lit. f RODO - podobnie jak pozostałe, wymienione w art. 6 ust. 1 RODO - stanowi o zgodności z prawem procesu przetwarzania; chroni tym samym przede wszystkim osobę, której proces ten dotyczy, przed nieuprawnionym przetwarzaniem danych osobowych; oceniając na podstawie art. 6 ust. 1 lit. f RODO zasadność przetwarzania danych osobowych organ nie może opierać się wyłącznie na interesach gospodarczych przetwarzającego dane osobowe podmiotu - nie dostrzegając jednocześnie, że - z punktu widzenia ochrony danych osobowych - mogą być one wprawdzie przetwarzane do celów, wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, ale wyłącznie wówczas, gdy są nadrzędne nad interesami i prawami osoby, której dotyczą, - dokonywana przez organ ocena służy w każdym przypadku zbadaniu zasadności skierowania pod adresem określonego podmiotu nakazu, odpowiadającego dyspozycji art. 58 ust. 2 RODO, służącego przywróceniu stanu zgodnego z prawem w procesie przetwarzania danych; jest więc uzasadniona i potrzebna tylko o tyle, o ile nieprawidłowości istnieją; wobec stwierdzonego braku podstaw prawnych, uprawniających BIK do przetwarzania danych osobowych Wnioskodawcy - dotyczących ogłoszenia przezeń upadłości konsumenckiej, które BIK pozyskał od Banku - nakazano usunięcie danych osobowych. BIK, reprezentowany przez pełnomocnika – adwokata, zaskarżył kwestionowaną decyzje w pkt 1. Zarzucono jej wydanie z naruszeniem przepisów: - prawa materialnego - art. 6 ust. 1 lit. f RODO, w zw. z przepisami ustawy - Prawo bankowe, w szczególności art. 105a ust. 1, 2, 3 i 4, poprzez ich błędną wykładnię; w konsekwencji niezasadne przyjeto, że BIK może przetwarzać - w celu oceny zdolności kredytowej i analizy ryzyka kredytowego - wyłącznie informacje objęte tajemnicą bankową i tylko, gdy zaistnieje konkretne zobowiązanie, wynikające z umowy - zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów; przepisem tym tymczasem nie ograniczono w żaden sposób zakresu danych, które może przetwarzać BIK w celu oceny zdolności kredytowej i analizy ryzyka kredytowego; konstytuuje on wyłącznie podstawę prawną dla przetwarzania przez BIK danych, stanowiących tajemnicę bankową, o których mowa w art. 104 ust. 1 ustawy - Prawo bankowe, w zakresie w jakim są one potrzebne, w związku z wykonywaniem czynności bankowych - w postaci oceny zdolności kredytowej oraz analizy ryzyka kredytowego konkretnego klienta (indywidualna ocena zdolności kredytowej) oraz w związku z budowaniem i utrzymaniem modeli scoringowych, a więc narzędzi, wykorzystywanych przez banki do oceny zdolności kredytowej i analizy ryzyka kredytowego, oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej CRR; - art. 6 ust. 1 lit. f RODO, poprzez błędną wykładnię i w konsekwencji niezasadne przyjęcie, że BIK może przetwarzać w celach statystycznych wyłącznie informacje objęte tajemnicą bankową oraz wyłącznie, gdy zaistnieje konkretne zobowiązanie, wynikające z umowy, zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, w warunkach więc aktualizacji art. 105a ust. 4 ustawy - Prawo bankowe; przepisem tym tymczasem nie ograniczono w żaden sposób możliwości przetwarzania przez BIK danych w celach statystycznych, w tym nie uniemożliwiono BIK przetwarzania danych, nieobjętych tajemnicą bankową w celach statystycznych; przepis konstytuuje wyłącznie zasady wykorzystywania objętych tajemnicą bankową danych w celach innych niż do oceny zdolności kredytowej i analiza ryzyka kredytowego, - prawa procesowego: - art. 7, w zw. z art. 77 § 1 i art. 80 K.p.a., poprzez niewyczerpujące zebranie, nierozpatrzenie i błędną ocenę całokształtu materiału dowodowego; przejawiało się to w szczególności brakiem dokonania analizy: charakteru, zakresu oraz celów gospodarczo - ekonomicznych podejmowanej przez BIK działalności, w tym gospodarczej, w zakresie wykraczającym poza realizację obowiązków, nałożonych na BIK na mocy przepisów ustawy - Prawo bankowe oraz obowiązków, wynikających z zawartych przez BIK umów z bankami; skutkowało to wadliwą i niepełną oceną stanu faktycznego sprawy oraz charakteru działania BIK - w konsekwencji to nieuzasadnionym wydaniem nakazu usunięcia danych osobowych Wnioskodawcy; podstawowych zasad funkcjonowania BIK - nie tylko jako instytucji gromadzącej dane i objęte tajemnicą bankową informacje, służące do oceny zdolności kredytowej oraz budującej modele scoringowe służące bankom ale również , jako funkcjonującego - w ramach wolnego rynku - przedsiębiorcy; wiąże się to z istnieniem oczywistego interesu prawnego po stronie BIK - w postaci przetwarzania danych osobowych dla osiągania określonych celów - w ramach prowadzonej działalności gospodarczej; w konsekwencji skutkowało to nieprawidłowym uznaniem, że BIK nie legitymuje się podstawą do przetwarzania danych osobowych Wnioskodawcy; - art. 7, 77 § 1 oraz art. 80 w zw. z art. 107 § 3 K.p.a., poprzez niezbadanie wszystkich podstaw prawnych przetwarzania przez BIK danych o upadłości konsumenckiej, niewystarczające wyjaśnienia podstaw prawnych decyzji oraz brak oceny istotnych okoliczności sprawy; w konsekwencji doprowadziło to do błędnego nakazania BIK usunięcia danych osobowych Wnioskodawcy w zakresie informacji o ogłoszeniu upadłości konsumenckiej oraz uniemożliwiło zapoznanie się z powodami negatywnej oceny, wskazanych przez BIK podstaw przetwarzania. Wniesiono o: - uchylenie zaskarżonej decyzji w zaskarżonej części, - zasądzenie od organu rzecz BIK zwrotu kosztów postępowania, w tym kosztów zastępstwa procesowego. W szerokim uzasadnieniu rozwinięto powyższe zarzuty. W odpowiedzi na skargę organ wniósł o jej oddalenie, podtrzymując dotychczasową argumentację. Sąd zważył, co następuje. Skarga zasługuje na uwzględnienie, gdyż wydając orzeczenie naruszono przepisy prawa materialnego, zakreślające dopuszczalność przetwarzania danych osobowych jako niezbędnych wobec prawnie uzasadnionych interesów administratora (tu BIK ), zaś – na skutek tego - regulacje, statuujące właściwość organu wyspecjalizowanego w sprawach ochrony danych osobowych - w zakresie stosowania przezeń przepisów naprawczych. Miało to istotny wpływ na wynik sprawy. W następstwie tego nie wyjaśniono bowiem jej okoliczności faktycznych w szeregu istotnych aspektów. Stanowi to z kolei o naruszeniu stosownych przepisów postępowanie, mogło zaś mieć istotny wpływ na wynik sprawy. Organ właściwie wprawdzie opisał uwarunkowania prawne sprawy – w kontekście przytoczenia wynikających z RODO oraz ustawy – Prawo bankowe ogólnych reguł przetwarzania danych osobowych. Nie są także sporne fakty w zakresie ustalenia, że - na dzień wydania zaskarżonej decyzji - BIK przetwarzał nadal dane osobowe Wnioskodawcy w zakresie ogłoszenia przezeń upadłości konsumenckiej, zaś wcześniej jego dane pozyskał wobec zawarcia pomiędzy Wnioskodawcą a Bankiem Umowy Kredytu (w 2008 roku). Przywoływanie przez Sąd ponownie okoliczności sprawy w podanych kwestiach nie byłoby zasadne – wobec uprzedniego przytoczenia istotnych faktów, przy referowaniu przebiegu sprawy. Spór sprowadza się do tego, czy pojęcie "niezbędne dla realizacji uzasadnionych celów administratora", w rozumieniu art. 6 ust. 1 lit. f RODO, obejmuje dany przypadek przetwarzania danych przy powołaniu jako celu, oceny zdolności kredytowej i analizy ryzyka w rozumieniu przepisów ustawy - Prawo bankowe, wobec brzmienia regulacji szczególnych danego aktu. Zasadnie zarzucił BIK organowi, że orzekając w sprawie dokonał błędnej wykładni przepisów ustawy - Prawo bankowe, przyjmując jakoby z przepisów art. 104 oraz 105a tegoż aktu - można było wywieźć ogólny zakaz przetwarzania przez utworzono na podstawie art. 105 ust. 4 instytucje, innych informacji o klientach banków niż stanowiące tajemnice bankową, nawet gdyby służyło to realizacji celu, dla których powołano BIK. Wbrew stanowisku organu, intencji takiej nie sposób przypisać racjonalnemu prawodawcy. W powoływanych przez organ regulacjach doprecyzowano natomiast – co trafnie zauważa BIK – reguły przetwarzania informacji, stanowiących właśnie tajemnicę bankową (w pewnym zakresie bardzo szczegółowo). Nie mają one zaś charakteru przepisów, opisujacych wyczerpującego możliwość przetwarzania wszelkich danych osobowych przez instytucje, powołane na podstawie art. 105 ust. 4 ustawy - Prawo bankowe. Gdyby taka była w istocie intencja prawodawcy, musiałby ją wyrazić wprost, jej domniemanie zaś nie byłoby zasadne wobec założenia jego racjonalności, przy prostym przywołaniu rozpoznawanego przypadku. Co trafnie wywodził BIK w trakcie postępowania przed organem a potem w skardze, informacja o ogłoszeniu i przeprowadzeniu upadłości konsumenckiej – która jako dostępna w publikatorze sądowym nie stanowi tajemnicy - może mieć generalnie istotne znaczenie z perspektywy oceny wiarygodności kredytowej określonej osoby, czy oceny ryzyka udzielenia jej kredytu, Czyni to nieracjonalnym domniemanie ogólnego zakazu jej przetwarzania w danym celu. Z kolei. przy przetwarzani w celach statystycznych - w tym dla całych budowy modeli scoringowych, w myśl wymagań CRR - informacji o ogłoszeniu upadłości może także stanowić źródło istotnych wiadomości - w kontekście ryzyka oferowania produktów bankowych osobom o konkretnych cechach czy wobec pewnych uwarunkowań. Nie sposób wobec tego zakładać, aby w ogóle nie było wolą prawodawcy przetwarzanie danego rodzaju informacji - tylko dlatego, że nie stanowią one tajemnicy bankowej lecz są powszechnie dostępne. Nie sposób stąd oczywiście wywodzić, aby banki - czy działający na ich rzecz wyspecjalizowany podmiot (BIK), np. w ramach prowadzonej na własną rachunek działalności gospodarczej, był upoważniony do gromadzenia i przetwarzania wszelkich nie stanowiących tajemnicy bankowej informacji o klientach banków (w danym zakresie wywody skargi są chybione). Kwestia ta powinna być jednak w indywidualnych sprawach przedmiotem rozważanie wyspecjalizowanego organu – w kontekście racjonalnego ważenia względów "niezbędności dla celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora" oraz ewentualnie nadrzędnego charakteru interesów lub podstawowych praw osoby, której dane są przetwarzane, w rozumieniu art. 6 ust. 1 lit. f RODO. Oceniając to organ winien kierować się także względami, wymienionymi w przywołanym przezeń w uzasadnieniu skarżonego aktu motywie 47 RODO. W tym kontekście należy skonstatować, że pozostająca w określonej relacji z bankiem osoba - wobec zawarcia umowy kredytowej - z której ostatecznie nie wywiązała się wobec ogłoszenia upadłości konsumenckiej, winna racjonalnie zakładać dalsze przetwarzanie informacji o takim zdarzeniu (zresztą publicznie ogłaszanym), skoro generalnie banki - podejmując decyzję kredytowe - analizują informacje o wywiązywaniu się klientów z wcześniejszych zobowiązań, co - w znacznym zakresie - czynione jest w oparciu o dane przekazywane do BIK. Jak wynika z przywołanego stanu faktycznego, Wnioskodawca miał tego świadomość, skoro przywołał fakt samodzielnego dokonania sprawdzeń w BIK – pobrał raport. Organ, kwestionując legalność przetwarzania danych w kontekście reguł ogólnych RODO, nie wskazał więc po stronie Wnioskodawcy żadnych istotnych racji, które miałyby nadrzędny charakter wobec interesu instytucji, przetwarzającej dane w sprawie w zakresie niezbędnym dla realizacji uzasadnionych interesów - oceny zdolności kredytowej i ryzyka kredytowego. Chybione są również wywody organu, jakoby nie było dopuszczalne przetwarzanie wyłącznie informacji o ogłoszeniu upadłości konsumenckiej, bez równoczesnego przetwarzania informacji o samym zobowiązaniu. Nie powiązano tej ogólnej tezy z konkretną regulacją normatywną, z której należy ją wywodzić. Może być ona wprawdzie uzasadniona lecz jedynie w kontekście pewnych przypadków, gdyby wykazano równocześnie, że przetwarzanie danej, pojedynczej informacji, nie może być obiektywnie przydatne dla celów realizowanych przez BIK - oceny zdolności kredytowej i ryzyka kredytowego. Uzasadnionego stanowiska w danym zakresie organ w realiach rozpoznawanych sprawy jednak nie sformułował - poprzestał na ogólnym stwierdzeniu, że tego rodzaju praktyka nie jest w ogóle dopuszczalna. W realiach rozpoznawanej sprawy nie jest przy tym sporne, że przez BIK przetwarzana jest informacja o upadłości konsumenckiej Wnioskodawcy, jednakże był on uprzednio klientem Banku, usunięto zaś już dane o ciążącym na nim uprzednio zobowiązaniu. Skoro tej ostatniej wiadomości administrator danych nie uznał za niezbędną - w kontekście realizacji celów przetwarzania - nie sposób zarzucić, aby - nie zamieszczając jej - uchybił wymaganiom ogólnym RODO, w tym postulatowi minimalizacji danych (tak: art. 5 ust. 1 lit. c). Co przy tym wypada odnotować, zamieszczenie w części dotyczącej raportowania o klientach jedynie informacji o ogłoszeniu upadłości konsumenckiej, nie przesądza że informacje, których znacznikiem są właśnie dane Wnioskodawcy, nie są nadal przetwarzane np. dla celu tworzenia reguł ostrożnościowych. Pierwotne, skierowane do Banku żądanie Wnioskodawcy, dotyczyła zresztą w istocie przeniesienia jego danych do "części statystycznej". Z sentencji pkt 1 zaskarżonej decyzji wynika tymczasem wprost powinność pełnego usunięcia informacji o fakcie upadłości konsumenckiej Wnioskodawcy. Zdarzenie to nie mogłoby być więc wykorzystywane w kontekście przetwarzania danych o historii konkretnego kredytu. Nie sposób zaś zakładać a priori, że jest bez znaczenia - z perspektywy tworzenia modeli, służących ocenie ryzyka kredytowego. Reasumując, braku podstaw dla dalszego przetwarzania przez BIK danych Wnioskodawcy o ogłoszeniu o płatności konsumenckiej nie można wywodzić także z samego faktu, że publicznie dostępne raporty o kliencie nie zawierają żadnych informacji o wcześniejszym zobowiązaniu a informacja jest publicznie dostępna. Nie może mieć w tym kontekście znaczenia - podkreślana w uzasadnieniu oskarżonego aktu - okoliczność, że - w wyniku błędu - informację o upadłości zamieszczono w zasobach BIK dopiero po usunięciu danych o niezrealizowanym wobec Banku zobowiązaniu. W sprawie było bezsporne, że rzeczona informacja nie dotyczy przypadkowej osoby, lecz będącej uprzednio klientem Banku, która nie zrealizowała zresztą swego zobowiązania. Pewne błędy po stronie przetwarzających dane podmiotów - na etapie ich wprowadzania - nie mogę stanowić kryterium, wedle którego ocenia się ostatecznie legalność aktualnego procesu przetwarzania danych - jeżeli ma on obecnie stosowną podstawę (tu: art. 6 ust. 1 lit. f RODO). Odmienne stanowisko zdaje się prezentować natomiast organ - w świetle treści uzasadnienia, gdzie eksponowano chronologię zdarzeń na etapie wprowadzenia danych o upadłości konsumenckiej Wnioskodawcy. Wobec błędnej wykładni przepisów prawa materialnego, zakreślających przesłanki legalizujące przetwarzanie danych osobowych - przez bezzasadne przyjęcie, jakoby w myśl przepisów ustawy - Prawo bankowe, nie było dopuszczalne przetwarzanie przez BIK innych danych niż stanowiące tajemnice bankową, oraz, jakoby niedopuszczalne było wyłącznie przetwarzanie informacji o ogłoszeniu upadłości - uchybiono równocześnie przepisom prawa procesowego, w zakresie powinności właściwego wyjaśnienia sprawy w istotnych jej aspektach. Nie wykazano mianowicie - co musiałoby znaleźć odzwierciedlenie w treści uzasadnienia - jakoby przetwarzanie danych osobowych Wnioskodawcy w zakresie ogłoszenia przezeń upadłości konsumenckiej, nie było niezbędne dla wynikających z prawnie uzasadnionych interesów BIK celów - w kontekście przypisanych mu zadań - wspierania m.in. banków w ocenie zdolności kredytowej i ryzyka kredytowego - także wobec stanowiących w CRR obowiązków. Mogło mieć to natomiast istotny wpływ na wynik sprawy. Nie wyjaśniono jej w istotnym zakresie, co winno znaleźć wyraz w uzasadnieniu orzeczenia. Czyni to zasadnym zarzut naruszenia art. 7, 77 § 1, art. 80 oraz 107 § 3 w zw. z art. 8 § 1 i art. 11 K.p.a. Z przytoczonych wyżej przyczyn - na podstawie art. 145 § 1 pkt 1 lit. a i c ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2024 r., poz. 935 ze zm.) - orzeczono jak w pkt 1 sentencji. O zwrocie kosztów postępowania postanowiono w pkt 2 w myśl art. 200 w zw. z art. 205 § 2 powyższej ustawy oraz 14 ust. 1 pkt 1 lit. c rozporządzenia Ministra Sprawiedliwości z dnia 22 października 2015 r. w sprawie opłat za czynności adwokackie (Dz.U. z 2023 r. poz. 2631). Do kosztów zaliczono wynagrodzenia pełnomocnika w kwotach po 480 zł, wpis sądowy od skargi po 200 zł oraz 17 zł tytułem opłaty skarbowej od pełnomocnictwa. Rozpatrując ponownie sprawę organ administracji uwzględni sformułowaną w niniejszym uzasadnieniu ocenę prawną. ----------------------- 19