III OSK 1298/23

Naczelny Sąd Administracyjny w składzie: Przewodniczący: Sędzia NSA Artur Kuś Sędziowie: Sędzia NSA Teresa Zyglewska Sędzia del. WSA Paweł Mierzejewski (sprawozdawca) Protokolant: Starszy asystent sędziego Edyta Kuczkowska po rozpoznaniu w dniu 20 maja 2026 r. na rozprawie w Izbie Ogólnoadministracyjnej skarg kasacyjnych B S.A. z siedzibą w W. oraz B1 S.A. z siedzibą w W. od wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 7 lutego 2023 r. sygn. akt II SA/Wa 895/22 w sprawie ze skarg B. S.A. z siedzibą w W. oraz B1 S.A. z siedzibą w W. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] marca 2022 r. nr [...] w przedmiocie przetwarzania danych osobowych 1. oddala skargi kasacyjne; 2. zasądza od B S.A. z siedzibą w W. na rzecz Prezesa Urzędu Ochrony Danych Osobowych 360 (trzysta sześćdziesiąt) złotych tytułem zwrotu kosztów postępowania kasacyjnego; 3. zasądza od B1 S.A. z siedzibą w W. na rzecz Prezesa Urzędu Ochrony Danych Osobowych 360 (trzysta sześćdziesiąt) złotych tytułem zwrotu kosztów postępowania kasacyjnego. Zaskarżonym wyrokiem z dnia 7 lutego 2023 r., sygn. akt II SA/Wa 895/22 Wojewódzki Sąd Administracyjny w Warszawie, po rozpoznaniu sprawy ze skarg Banku [...] S.A. z siedzibą w W. (dalej: "Bank") oraz B. S.A. z siedzibą w W. (dalej: "B.") na decyzję Prezesa Urzędu Ochrony Danych Osobowych (dalej: "Prezes UODO" albo "organ") z dnia [...] marca 2022 r. nr [...] w przedmiocie przetwarzania danych osobowych, oddalił skargi. U podstaw rozstrzygnięcia wydanego przez Sąd pierwszej instancji legły następujące ustalenia oraz ocena prawna. Decyzją z dnia [...] marca 2022 r. nr [...]. wydaną na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (Dz. U. z 2021 r., poz. 735 ze zm.), dalej: "k.p.a.", art. 7 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781), dalej: "u.o.d.o.", art. 6 ust. 1 oraz art. 58 ust. 2 lit. c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych; Dz. Urz. UE. L 119 z 04 maja 2016 r., str. 1, ze zm.), dalej "RODO", Prezes UODO, po przeprowadzeniu postępowania administracyjnego w sprawie skargi M. S. (dalej: "wnioskodawca") na nieprawidłowości w przetwarzaniu jego danych osobowych przez Bank [...] S.A. z siedzibą w W., dotyczących zapytania kredytowego z dnia 10 lipca 2020 r. bez podstawy prawnej, na niespełnieniu jego żądania zaprzestania przetwarzania danych osobowych dotyczące ww. zapytania kredytowego oraz udostępnieniu jego danych osobowych na rzecz B. S.A. z siedzibą w W.: - w pkt 1 nakazał B. S.A. z siedzibą w W. usunięcie danych osobowych M. S. w zakresie zapytania kredytowego z dnia 10 lipca 2020 r. przekazanego przez Bank [...] S.A. z siedzibą w W.; - w pkt 2 nakazał Bankowi [...] S.A. z siedzibą w W. usunięcie danych osobowych M. S. w związku z zapytaniem kredytowym z dnia 10 lipca 2020 r. W uzasadnieniu rozstrzygnięcia organ podał, że pismem z dnia 30 sierpnia 2020 r. M. S. skierował skargę na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Bank, polegające na przetwarzaniu jego danych osobowych dotyczących zapytania kredytowego z dnia 10 lipca 2020 r. bez podstawy prawnej, na niespełnieniu jego żądania zaprzestania przetwarzania danych osobowych dotyczących ww. zapytania kredytowego oraz udostępnieniu jego danych osobowych na rzecz B. Wnioskodawca podał, że zwrócił się do Banku o usunięcie jego danych osobowych przetwarzanych w związku ze złożonym wnioskiem kredytowym, jednakże Bank odmówił usunięcia danych osobowych uczestnika. Wnioskodawca nie zwracał się do B. o realizację jego praw z zakresu ochrony danych osobowych. Mając na uwadze wyjaśnienia Banku i B. złożone w toku postępowania Prezes UODO wskazał, że B. pozyskał od Banku dane osobowe w zakresie zapytania kredytowego z dnia 10 lipca 2020 r. w celu oceny zdolności kredytowej i analizy ryzyka kredytowego, na podstawie art. 6 ust. 1 lit. c RODO w zw. z art. 105 ust. 4 oraz art. 105a ust. 1 ustawy z dnia 29 sierpnia 1997 r. - Prawo bankowe (Dz. U. z 2020 r. poz.1896 ze zm.), dalej: "Prawo bankowe", oraz na podstawie łączącej Bank i B. umowy w sprawie gromadzenia, przetwarzania i udostępniania informacji w bazie [...] B. "Kredytobiorcy" z dnia 8 czerwca 2018 r. Zatem Bank oraz B., na podstawie art. 105a ust. 1 Prawa bankowego w zw. z art. 70 ust. 1 tej ustawy były uprawnione do przetwarzania danych osobowych uczestnika w celu oceny zdolności kredytowej. Nie doszło jednak do zawarcia umowy kredytu pomiędzy wnioskodawcą a Bankiem. W związku z tym odpadła przesłanka legalizująca dalsze przetwarzanie danych osobowych przez Bank oraz B. Organ argumentował, że przesłanki zawarte w art. 105a Prawa bankowego dotyczą bowiem przetwarzania informacji objętych tajemnicą bankową w okresie przed powstaniem zobowiązania, w trakcie jego trwania oraz po wygaśnięciu zobowiązania. Pomiędzy Bankiem a wnioskodawcą nie zawiązał się żaden stosunek zobowiązaniowy, który stosownie do art. 105a ust. 1-6 Prawa bankowego dawałby podstawę do dalszego przetwarzania danych osobowych. Celem przetwarzania danych osobowych wnioskodawcy była ocena zdolności kredytowej i analizy ryzyka kredytowego. W związku z dokonaniem przez Bank oceny zdolności kredytowej i analizy ryzyka kredytowego ww. cel przetwarzania danych osobowych wnioskodawcy został zrealizowany i brak jest podstaw prawnych do kontynuowania tego procesu. W ocenie organu za podstawę przetwarzania danych osobowych nie mogą być również uznane wskazane przez B. cele statystyczne i analizy, w tym cel stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia Parlamentu Europejskiego i Rady (UE) 575/2013 z dnia 26 czerwca 2013 r. w sprawie wymogów ostrożnościowych dla instytucji kredytowych i firm inwestycyjnych, zmieniającego rozporządzenie (UE) nr 648/2012 (Dziennik Urzędowy Unii Europejskiej, L 2013 z dnia 27 czerwca 2013 r., str. 176), dalej: "rozporządzenie nr 575/2013". Przywołany art. 105a ust. 4 Prawa bankowego daje podstawy do przetwarzania informacji dotyczących osoby fizycznej stanowiących tajemnicę bankową po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której te informacje dotyczą. W przedmiotowej sprawie nie doszło do zawarcia umowy kredytu pomiędzy wnioskodawcą a Bankiem, a zatem nie powstał żaden stosunek zobowiązaniowy, o którym mowa w powyższym przepisie. Zdaniem organu zebrany materiał dowodowy nie wykazał by B. mógł przetwarzać dane osobowe wnioskodawcy dotyczące zapytania kredytowego na podstawie art. 106d Prawa bankowego w celach przeciwdziałania przestępstwom oraz wykonywania obowiązków w zakresie określonym w przepisach o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu, albowiem w toku prowadzonego postępowania nie wykazał, aby zaszła którakolwiek z przesłanek określonych w ww. przepisie. W szczególności nie wykazał, aby zaszły uzasadnione podejrzenia, o których mowa w art. 106d ust. 1 pkt 1-2, oraz nie wykazał, aby w sprawie uczestnika zachodziły którekolwiek okoliczności określone w ustawie z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu (Dz. U. z 2020 r. poz. 971 ze zm.), o których mowa w art. 106d ust. 1 pkt 3 Prawa bankowego. Odnosząc się do powołanego przez Bank, jak i przez B., celu ustalenia, dochodzenia lub obrony roszczeń Prezes UODO wskazał, że zebrany w postępowaniu materiał dowodowy nie wykazał, aby wnioskodawca wystąpił z jakimkolwiek roszczeniem wobec Banku czy B., które uzasadniałoby uprawnienie tych podmiotów do zachowania i przetwarzania jego danych osobowych dla celów dowodowych w związku z dochodzeniem przez uczestnika tego roszczenia. Bank i B. nie wskazały także na istnienie roszczeń, których dochodzą od uczestnika. Prezes UODO zaznaczył, że przesłanka z art. 6 ust. 1 lit. f RODO dotyczy sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia, potrzeba dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem. Ponadto organ podkreślił, że brak jest uzasadnienia dla przyjęcia, że B. jest uprawniony do przetwarzania danych osobowych w związku z koniecznością ewentualnego wypełnienia obowiązku wynikającego z art. 15 RODO. Skoro bowiem wnioskodawca zażądał od Banku usunięcia jego danych osobowych na podstawie art. 17 ust. 1 RODO, to należy przyjąć, że nie jest zainteresowany realizacją prawa do dostępu do przetwarzanych jego danych osobowych. Ponadto usunięcie przez administratora danych osobowych nie uniemożliwia mu wykonania obowiązku uregulowanego w art. 15 RODO, gwarantującego osobie, której dane dotyczą, prawa do uzyskania od administratora informacji, czy jej dane są przetwarzane, a w przypadku pozytywnej odpowiedzi na tak postawione pytanie - uprawnienie do dostępu do danych na swój temat oraz uzyskania informacji o okolicznościach przetwarzania danych. Jeśli bowiem, administrator nie przetwarza danych dotyczących osoby, która zwraca się z żądaniem udzielenia informacji, to działanie administratora ogranicza się do odpowiedzi przeczącej i nie ma on obowiązku podawać podmiotowi danych innych informacji. Prezes UODO podniósł, że o legalności przetwarzania danych osobowych nie stanowią również przywołane przez Bank przepisy rozporządzenia nr 575/2013, tj. art. 145 ust. 1 i art. 180 ust. 2 lit. e, które nie stanowią podstawy do przetwarzania danych osobowych osób niebędących klientami Banku, z którymi nie nawiązano stosunków gospodarczych. Wobec powyższego organ stwierdził, że w niniejszej sprawie brak jest celu uzasadniającego dalsze przetwarzanie danych osobowych uczestnika zawartych w przedmiotowym zapytaniu kredytowym zarówno przez Bank, jak i przez B. W odniesieniu do kwestionowanego przez wnioskodawcę przetwarzania jego danych osobowych przez Bank i B. nie zaistniała żadna z wyrażonych w art. 6 ust. 1 RODO przesłanek, która stanowiłaby o legalności tego procesu. Na podstawie art. 58 ust. 2 lit. c RODO nakazano Bankowi i B., będącymi administratorami, usunięcie danych osobowych uczestnika przetwarzanych w związku ze złożonym zapytaniem kredytowym z dnia 10 lipca 2020 r. W skargach do Wojewódzkiego Sądu Administracyjnego w Warszawie na ww. decyzję organu Bank zaskarżył decyzję Prezesa UODO z dnia [...] marca 2022 r. w części obejmującej punkt 2, zaś B. zaskarżył tę decyzję w części dotyczącej punktu 1. Bank zaskarżonej decyzji zarzucił: 1. naruszenie przepisów postępowania, które miało istotny wpływ na wynik sprawy, tj. art. 7 w zw. z art. 77 i art. 80 k.p.a., polegające na niewyczerpującym zebraniu i rozpatrzeniu całego materiału dowodowego i niepodjęciu wszelkich kroków niezbędnych do dokładnego wyjaśnienia stanu faktycznego i załatwienia sprawy, co skutkowało nakazem usunięcia danych osobowych M. S. przez Bank oraz B. w zakresie wskazanym w zaskarżonej decyzji; 2. naruszenie przepisów postępowania, które miało istotny wpływ na wynik sprawy, tj. art. 7b k.p.a., polegające na zaniechaniu zwrócenia się do Komisji Nadzoru Finansowego jako organu właściwego w sprawach związanych m.in. z badaniem zdolności kredytowej i analizą ryzyka kredytowego, a także budową modeli scoringowych w zakresie wykorzystywania do realizacji tych zadań danych, w tym danych osobowych o niezrealizowanych zapytaniach kredytowych; 3. naruszenie prawa materialnego, które miało wpływ na wynik sprawy, tj. art. 6 ust. 1 lit. c RODO w zw. z art. 5 ust. 1, art. 6 i art. 9 ustawy z dnia 5 sierpnia 2015 r. o rozpatrywaniu reklamacji przez podmioty rynku finansowego, o Rzeczniku Finansowym i o Funduszu Edukacji Finansowej (tekst jedn. Dz. U. z 2022 r. poz. 187, ze zm.), dalej: "ustawa o rozpatrywaniu reklamacji", polegające na jego niewłaściwym zastosowaniu i przyjęciu, że na Banku jako podmiocie rynku finansowego nie spoczywają określone obowiązki w zakresie rozpatrywania i udzielania odpowiedzi bez ograniczeń czasowych na reklamacje klientów, co uprawnia Bank do przetwarzania danych osobowych na podstawie art. 6 ust. 1 lit. c RODO w celu realizacji tych obowiązków; 4. naruszenie prawa materialnego, które miało wpływ na wynik sprawy, art. 6 ust. 1 lit. c RODO w zw. z art. 70a ust. 1 i Prawo bankowe, polegające na jego niewłaściwym zastosowaniu i przyjęciu, że na Banku jako podmiocie rynku finansowego nie spoczywa obowiązek wyjaśnienia dokonanej oceny zdolności kredytowej wnioskującego, podczas gdy Bank wykazuje cel przetwarzania danych osobowych polegający na obowiązku prawnym wyjaśnienia dokonanej przez siebie oceny zdolności kredytowej, co uprawnia Bank do przetwarzania danych osobowych na podstawie art. 6 ust. lit. c RODO w celu realizacji tych obowiązków, niezależnie od tego czy doszło do zawarcia umowy kredytu; 5.naruszenie prawa materialnego, które miało wpływ na wynik sprawy, tj. art. 6 ust. 1 lit. c RODO w zw. z art. 105 ust. 4 pkt 1, art. 5 ust. 1 pkt 3 oraz art. 70 ust. 1 Prawa bankowego, polegające na jego niewłaściwym zastosowaniu i przyjęciu, że Bank nie legitymuje się przesłanką przetwarzania danych wynikającą z art. 6 ust. 1 lit. c RODO w związku z art. 105 ust. 4 pkt 1 Prawa bankowego, podczas gdy Bank wykazuje cel przetwarzania danych osobowych polegający na dokonywaniu ocen zdolności kredytowej i dostarczaniu innym bankom informacji niezbędnych do wykonywania czynności bankowych (art. 5 ust. 1 pkt 3 Prawa bankowego), w tym udzielania kredytów, przy czym ocena zdolności kredytowej jest obowiązkiem banków (art. 70 ust. Prawa bankowego); 6. naruszenie prawa materialnego, które miało wpływ na wynik sprawy, tj. art. 6 ust. 1 lit. c RODO w zw. z art. 105a ust. 1-1c Prawa bankowego, polegające na jego niewłaściwym zastosowaniu i przyjęciu, że Bank nie legitymuje się przesłanką przetwarzania danych wynikającą z art. 6 ust. 1 lit. c RODO w związku z art. 105a ust. 1-1c Prawa bankowego, podczas gdy Bank wykazuje cel przetwarzania danych osobowych polegający na przetwarzaniu i przekazywaniu innym bankom, informacji niezbędnych do oceny zdolności kredytowej i analizy ryzyka kredytowego; 7. naruszenie prawa materialnego, które miało wpływ na wynik sprawy, tj. art. 6 ust. 1 lit. f RODO w zw. z art. 117 § 2 i § 21, art. 118 i art. 119 ustawy z dnia 23 kwietnia 1964 r. Kodeks cywilny (Dz. U. z 2020 r. poz. 1740 z ze zm., dalej: "Kodeks cywilny"), polegające na jego niewłaściwym zastosowaniu i przyjęciu, że przechowywanie danych przez okres przedawnienia roszczeń, również w przypadku, gdy ani administrator, ani osoba, której dane dotyczą, nie zgłosiła jeszcze roszczenia, nie stanowi prawnie uzasadnionego interesu Banku w rozumieniu art. 6 ust. 1 lit. f RODO, podczas gdy przepisy te uprawniają Bank do przetwarzania danych osobowych w celu ustalenia, dochodzenia i ochrony przed roszczeniami. Bank wniósł o uchylenie zaskarżonej decyzji w całości oraz o zasądzenie zwrotu kosztów postępowania, w tym kosztów zastępstwa procesowego według norm przepisanych. B. zarzucił zaskarżonej decyzji naruszenie: I. prawa materialnego: 1.art. 6 ust. 1 lit. c RODO w zw. z art. 105 ust. 1 pkt 1 c w zw. z art. 105 ust. 4 i w zw. z art. 105a w zw. z art. 70 i art. 5 ust. 1 pkt 3 Prawo bankowe, poprzez jego niewłaściwe zastosowanie i w konsekwencji nieuzasadnione przyjęcie, że B. nie posiada ww. podstawy prawnej do przetwarzania danych zawartych we wniosku kredytowym w przypadku nie zawarcia umowy kredytowej, podczas gdy jest ustawowo zobowiązany do realizacji obowiązku prawnego wynikającego z ww. przepisów polegającego na gromadzeniu, przetwarzaniu i udostępnianiu bankom oraz podmiotom szczegółowo wskazanym w przepisie informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych w postaci oceny zdolności kredytowej oraz analizy ryzyka kredytowego konkretnego klienta (indywidualna ocena zdolności kredytowej) oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013; ewentualnie, na wypadek nieuwzględnienia ww. zarzutu, naruszenie art. 6 ust. 1 lit. f RODO, poprzez jego niewłaściwą wykładnię i w konsekwencji niezastosowanie wskutek przyjęcia, że B. nie posiada podstawy prawnej przetwarzania danych uczestnika postępowania opartej na prawnie uzasadnionym interesie administratora oraz podmiotów trzecich wskazanych w art. 105 ust. 4 pkt 1-5 Prawa bankowego, w postaci realizacji obowiązku gromadzenia, przetwarzania oraz udostępnienia bankom oraz podmiotom wskazanym w ww. przepisie informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych w postaci oceny zdolności kredytowej oraz analizy ryzyka kredytowego konkretnego klienta (indywidualna ocena zdolności kredytowej), w celu budowy i utrzymania modeli scoringowych, a więc narzędzi wykorzystywanych przez banki do oceny zdolności kredytowej i analizy ryzyka kredytowego oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013; 2. art. 6 ust. 1 lit. c RODO w zw. z art. 70a w zw. z art. 105 ust. 4 pkt 1 i 2 oraz w zw. z art. 105a Prawa bankowego, poprzez jego niezastosowanie wskutek uznania, że B. nie posiada podstawy prawnej do przetwarzania danych uczestnika postępowania w sytuacji nie zawarcia umowy kredytowej, podczas gdy B. posiada podstawę prawną przetwarzania z uwagi na niezbędność przetwarzania do wykonania obowiązku prawnego przez banki i B., w postaci obowiązku przekazania osobie ubiegającej się o kredyt w formie pisemnej na jego wniosek wyjaśnień dotyczących dokonanej oceny zdolności kredytowej wnioskującego; 3. art. 6 ust. 1 lit. e RODO, poprzez jego niezastosowanie wskutek uznania, że B. nie posiada podstawy prawnej do przetwarzania danych uczestnika postępowania w sytuacji nie zawarcia umowy kredytowej, podczas gdy B. posiada podstawę prawną przetwarzania z uwagi na niezbędność przetwarzania dla realizacji zadania w interesie publicznym przez banki i B. w postaci zabezpieczenia ekonomiczno-gospodarczego sektora bankowego, w tym depozytariuszy i zapewnienia stabilności ekonomiczno-gospodarczej sektora bankowego, a w ujęciu makro zapobieganiu kryzysom gospodarczym; 4. art. 6 ust. 1 lit. f RODO, poprzez jego niewłaściwe zastosowanie i w konsekwencji nieuzasadnione przyjęcie, że prawnie uzasadniony interes administratora danych nie może opierać się na przesłance ewentualnego zabezpieczenia roszczeń, podczas gdy istotą uzasadnionego interesu prawnego administratora jest możliwość przetwarzania danych przez okres przedawnienia roszczeń na wypadek konieczności obrony lub dochodzenia ewentualnych roszczeń, które mogą się pojawić w określonym czasie po przeprowadzeniu stosownej analizy zdolności kredytowej oraz analizie ryzyka kredytowego, które to B. zobowiązany jest gromadzić, przetwarzać i udostępniać bankom dla realizacji celów ustawowych badania zdolności kredytowej; 5. art. 6 ust. 1 lit. f RODO, poprzez błędne uznanie, że wskutek braku zawarcia umowy kredytowej, B. nie posiada prawnie uzasadnionego interesu w przetwarzaniu danych uczestnika postepowania, podczas gdy istnieje prawnie uzasadniony interes B. w przetwarzaniu tych informacji pomimo nie zawarcia umowy kredytowej, polegający na realizacji działań z zakresu opracowania, utrzymania aktualności i funkcjonalności zbudowanych modeli scoringowych w zgodzie z treścią Rekomendacji W, S i T Komisji Nadzoru Finansowego w zakresie dobrych praktyk i zarządzania ryzykiem kredytowym; 6. art. 6 ust. 1 lit. f RODO, poprzez jego niezastosowanie wskutek uznania, że B. nie posiada podstawy prawnej do przetwarzania danych uczestnika postępowania, podczas gdy B. posiada podstawę prawną przetwarzania z uwagi na konieczność zapewnienia rozliczalności działań B. jako administratora danych osobowych na zasadzie art. 5 ust. 2 RODO w postaci wykazania przestrzegania przepisów dotyczących jakości danych; II. naruszenie przepisów prawa procesowego, mającego istotny wpływ na wynik sprawy, tj.: 1. art. 7, art. 77 § 1, art. 80 k.p.a. w zw. z art. 7 u.o.d.o., poprzez niewyczerpujące zebranie, nierozpatrzenie i błędną ocenę całokształtu materiału dowodowego przejawiającego się w zaniechaniu dokonania wyczerpującej analizy charakteru, zakresu oraz celów gospodarczo-ekonomicznych dla jakich zostało powołane B. S.A. oraz obowiązków prawnych i obowiązków wynikających z zawartych przez B. umów z bankami, skutkującą wadliwą i niepełną oceną stanu faktycznego sprawy oraz charakteru działania B., co w konsekwencji skutkowało nieuzasadnionym wydaniem przez organ nakazu usunięcia danych osobowych uczestnika; 2. art. 7b k.p.a. w zw. z art. 7 k.p.a. w zw. z art. 77 k.p.a. w zw. z art. 7 u.o.d.o., poprzez niedokładne wyjaśnienie stanu faktycznego i prawnego koniecznego do podjęcia przez organ stosownych czynności, a w szczególności niezwrócenie się do Komisji Nadzoru Finansowego w celu kompleksowego wyjaśniania stanu faktycznego sprawy oraz współdziałania w zakresie niezbędnym do dokładnego wyjaśnienia stanu prawnego, mając na względzie interes społeczny i słuszny interes obywateli w postaci ustalenia należytych zasad, celów i zakresu przetwarzania danych osobowych o niezrealizowanych zapytaniach kredytowych tak, by procesy przetwarzania danych czyniły zadość zarówno przepisom prawa o ochronie danych osobowych, jak i przepisom szeroko pojętego prawa bankowego, w szczególności dla zapewnienia ochrony wartości, których gwarancje ochrony wynikają z ww. przepisów zgodnie z zasadą proporcjonalności; 3. art. 7 k.p.a., art. 77 § 1 k.p.a. i art. 80 k.p.a., poprzez zaniechanie dokonania oceny Rekomendacji S, W i T Komisji Nadzoru Finansowego, jako organu właściwego do sprawowania nadzoru nad instytucjami krajowymi w rozumieniu przepisów UE (regulatora rynku finansowego), które to regulacje nakładają na banki, a w konsekwencji na B., jako instytucję gromadzącą dane służące do oceny zdolności kredytowej oraz budującą modele scoringowe służące bankom, określone wymagania, które podlegają nadzorowi i egzekwowaniu przez Komisję Nadzoru Finansowego na podstawie bezwzględnie obowiązujących przepisów prawa, co w konsekwencji doprowadziło do zaniechania przez organ oceny podstaw prawnych i celów dla jakich B. oraz banki są upoważnione do przetwarzania danych w zakresie zdolności kredytowej również w przypadku nie zawarcia umowy kredytowej dla zabezpieczenia interesów banków oraz stabilności rynku gospodarczo-finansowego; 4. art. 7 k.p.a., art. 77 k.p.a. w zw. z art. 80 k.p.a., poprzez zaniechanie wyczerpującego zebrania i rozpatrzenia materiału dowodowego, a w szczególności przejawiającego się brakiem analizy treści skargi złożonej do Prezesa UODO przez uczestnika postępowania pod kątem istnienia - po stronie banków, a w konsekwencji B. jako instytucji gromadzącej dane służące do oceny zdolności kredytowej oraz budującej modele scoringowe służące bankom - oczywistego interesu prawnego przejawiającego się w odmowie udzielenia kredytu wynikającego z braku istnienia zdolności kredytowej po stronie uczestnika, co prowadzi do zabezpieczenia interesu banków przed nieodpowiedzialną polityką udzielania kredytów osobom, które nie mają szans na ich spłacenie oraz do zapewnienia stabilności gospodarczo-ekonomicznej sektora bankowego, a w ujęciu makro zapobieganiu kryzysom gospodarczym; 5. art. 7 k.p.a., art. 77 k.p.a. w zw. z art. 80 k.p.a., poprzez niezbadanie przez organ wszystkich podstaw prawnych dalszego przetwarzania danych o zapytaniach kredytowych, w sytuacji nieudzielenia kredytu, pomimo, iż przepisy prawa upoważniają B. do przetwarzania tych danych, co w konsekwencji doprowadziło do błędnego nakazania B. usunięcie danych osobowych wobec błędnego przyjęcia przez organ braku istnienia podstawy prawnej do przetwarzania danych; 6. art. 8 § 1 i 2 k.p.a., poprzez odstąpienie przez organ od utrwalonej praktyki rozstrzygania spraw w takim samym stanie faktycznym i prawnym, co z kolei narusza zasadę pogłębiania zaufania obywateli do władzy publicznej. W świetle powyższych zarzutów B. wniósł o uchylenie zaskarżonej decyzji w całości i zasądzenie zwrotu kosztów postępowania, w tym kosztów zastępstwa procesowego, według norm przepisanych. W odpowiedziach na skargi Prezes UODO wniósł o jej oddalenie, podtrzymując stanowisko zaprezentowane w zaskarżonej decyzji. W piśmie procesowym z dnia 1 lutego 2022 r. Bank przedstawił dodatkową argumentację na poparcie zarzutów skargi. Postanowieniem z dnia 7 lutego 2023 r. Wojewódzki Sąd Administracyjny w Warszawie połączył sprawy ze skargi [...] Bank S.A. z siedzibą w W. oraz ze skargi B. S.A. z siedzibą w W. w celu ich łącznego rozpoznania i rozstrzygnięcia pod sygn. akt II SA/Wa 895/22. W dniu 7 lutego 2023 r. Wojewódzki Sąd Administracyjny w Warszawie wydał opisany na wstępie wyrok. W uzasadnieniu wyroku Sądu pierwszej instancji wskazał, że celem przetwarzania danych osobowych wnioskodawcy była ocena zdolności kredytowej i analizy ryzyka kredytowego. W związku z dokonaniem przez Bank oraz B. tejże oceny powyższy cel przetwarzania danych osobowych został zrealizowany i brak jest podstaw prawnych do kontynuowania tego procesu. Trafne jest zatem stanowisko organu, że nie wystąpiła przesłanka legalizująca proces przetwarzania danych określona w art. 6 ust. 1 lit. c i lit. f RODO. Przepisy art. 70, art. 70a, art. 105 ust. 4 i art. 105a Prawa bankowego nie wskazują na niezbędność przetwarzania przez B. i Bank danych osobowych osoby ubiegającej się o kredyt w sytuacji, gdy nie doszło do zawarcia umowy. Zdaniem Sądu pierwszej instancji Bank w sposób nieuprawniony próbuje rozszerzyć stosowanie normy wskazanej w art. 105a ust. 1 Prawa bankowego na sytuacje, w których nie dochodzi do zawarcia umowy, a dane osobowe osoby wnioskującej o kredyt są przetwarzane w celu oceny ryzyka kredytowego. Bank wskazuje bowiem, że do takiej oceny istotna jest informacja o składanych wcześniej przez daną osobę wnioskach kredytowych i fakcie nieudzielenia jej kredytu. Jednakże, skoro celem przetwarzania była ocena zdolności kredytowej i analizy ryzyka kredytowego, to cel ten odpadł z momentem jej dokonania. W przypadku osób, z którymi zawarto umowę kredytową, istnieje podstawa do dalszego ich przetwarzania, a w stosunku do tych, z którymi nie zawarto umowy, takiej podstawy nie sposób wywieść ani z przepisów obowiązującej wówczas ustawy, ani z Prawa bankowego. W ocenie Sądu pierwszej instancji przesłanka przetwarzania danych z art. 6 ust. 1 lit. c RODO nie znajduje zastosowania w okolicznościach niniejszej sprawy. Przepis ten dotyczy sytuacji, gdy przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego administratora danych, a nie realizacji uprawnienia, o którym mowa w art. 105 ust. 4 Prawa bankowego. Ponadto przepis art. 105 ust. 4 Prawa bankowego nie stanowi o dopuszczalności przetwarzania danych osobowych dotyczących wniosków kredytowych w sytuacji, gdy nie doszło do zawarcia umowy z bankiem. Uznanie takiego procesu przetwarzania danych za legalny wymaga podstawy prawnej, której nie stanowią regulaminy ani umowy zawierane między poszczególnymi instytucjami a bankami. Sąd meriti nie podzielił nadto zarzutów naruszenia prawa materialnego podniesionych w skargach. Ponadto Sąd pierwszej instancji stwierdził, że nieuzasadnione są zarzuty skarg dotyczące naruszenia przepisów prawa procesowego, bowiem organ prawidłowo zebrał i ocenił zgromadzony w sprawie materiał dowodowy opierając się na wyjaśnieniach Banku oraz B. dotyczących przetwarzania danych osobowych uczestnika postępowania zawartych we wnioskach kredytowych. Uzasadnienie decyzji odpowiada zaś wymogom określonym w art. 107 § 3 k.p.a. Według Sądu pierwszej instancji nieuzasadniony jest zarzut naruszenia art. 7b k.p.a., poprzez zaniechanie zwrócenia się do Komisji Nadzoru Finansowego w celu kompleksowego wyjaśnienia stanu faktycznego sprawy, bowiem stan faktyczny i prawny sprawy został przez organ prawidłowo ustalony i należycie rozpatrzony w oparciu o zgromadzony materiał dowodowy, w tym w oparciu o wyjaśnienia Banku oraz B. Nie zachodziły więc przesłanki do podjęcia przez Prezesa UODO współdziałania z innymi organami administracji publicznej w oparciu o ww. przepis w celu wydania rozstrzygnięcia w sprawie. Sąd pierwszej instancji zwrócił uwagę, że Prezes UODO jest wyspecjalizowanym w sprawach dotyczących ochrony danych osobowych i niezależnym organem, który ma status i kompetencje organu nadzorczego określone w przepisach RODO. Z tego względu jest uprawniony do samodzielnego dokonywania interpretacji przepisów prawa w zakresie dotyczącym ochrony danych osobowych. Bank zaskarżył w całości wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 7 lutego 2023 r.; sygn. akt II SA/Wa 895/22. I. na podstawie art. 174 pkt 2 P.p.s.a. wyrokowi zarzucono naruszenie przepisów postępowania mające istotny wpływ na wynik sprawy, tj.: 1. art. 145 § 1 pkt 1 lit. c P.p.s.a. w zw. z art. 7, art. 77 § 1 i art. 80 k.p.a., polegające na nieuchyleniu decyzji Prezes UODO w całości pomimo, iż organ nie rozpatrzył w całości stanu faktycznego sprawy, tj. nie ustalił wszystkich podstaw prawnych i celów przetwarzania danych osobowych M. S., co doprowadziło Sąd do przyjęcia za organem, że z uwagi na brak zawarcia umowy między M. S. a Bankiem odpadła przesłanka legalizująca dalsze przetwarzanie danych osobowych podmiotu danych przez Bank, pomimo, że podstawa do przetwarzania danych istnieje niezależnie od tego, czy doszło do zawarcia umowy, a co w rezultacie skutkowało bezzasadnym oddaleniem skargi; 2. art. 145 § 1 pkt 1 lit. c P.p.s.a. w zw. z art. 7b k.p.a., poprzez uznanie przez WSA, że Prezes UODO zasadnie zaniechał zwrócenia się do KNF jako organu właściwego w sprawie obowiązków Banku związanych m.in. z oceną zdolności kredytowej i analizą ryzyka kredytowego, w zakresie wykorzystywania do realizacji tych obowiązków danych, w tym danych osobowych o niezrealizowanych zapytaniach kredytowych. Wyjaśnienie z Komisją Nadzoru Finansowego zakresu obowiązków Banku, jak również wpływu Rekomendacji S, W i T wydanych przez Komisję Nadzoru Finansowego na ich zakres, potwierdziłoby, że powyższe dane są niezbędne do realizacji obowiązków Banku, a Rekomendacje KNF nakładają na banki, w tym skarżącego kasacyjnie określone wymagania, które następnie podlegają egzekwowaniu przez KNF na podstawie bezwzględnie obowiązujących przepisów prawa przewidujących sankcje za ich nieprzestrzeganie, a co w rezultacie skutkowało bezzasadnym oddaleniem skargi; 3. art. 141 § 4 P.p.s.a., poprzez wadliwe uzasadnienie wyroku, polegające na: (i) całkowitym pominięciu podniesionego w skardze zarzutu naruszenia art. 6 ust. 1 lit. c) RODO w zw. z art. 5 ust. 1, art. 6 i art. 9 ustawy o rozpatrywaniu reklamacji, (ii) całkowitym pominięciu podniesionego w skardze zarzutu naruszenia art. 105a ust. 1-1c ustawy Prawo bankowe w odniesieniu do części uzasadnienia skargi, w której Bank wskazał, że ww. przepisy statuują obowiązek po stronie Banku w zakresie przetwarzania danych przed przyznaniem kredytu, w trakcie jego spłaty i przetwarzania danych przez minimalny okres w przypadku nieudzielenia kredytu - dla celu oszacowania ryzyka spłaty innych kredytów i w celu ustalenia zasad akceptacji ryzyka, a zatem ocena zdolności kredytowej i analiza ryzyka kredytowego są niezbędne z uwagi na bezpieczeństwo całego sektora finansowego, (iii) niepełnym (zdawkowym) odniesieniu się do przesłanki przetwarzania danych osobowych przez skarżącego kasacyjnie z uwagi na prawnie uzasadniony interes Banku w rozumieniu art. 6 ust. 1 lit. f RODO, polegający na dochodzeniu i obronie przed roszczeniami, (iv) niepełnym (zdawkowym) odniesieniu się do zarzutu naruszenia przepisów postępowania, tj. art. 7, art. 77 § 1 oraz art. 80 k.p.a., co miało istotny wpływ na wynik sprawy, ponieważ pozbawiło skarżącego kasacyjnie informacji o przesłankach rozstrzygnięcia i uniemożliwiło kontrolę instancyjną zaskarżonego wyroku. Na podstawie art. 174 pkt 1 P.p.s.a. wyrokowi zarzucono naruszenie prawa materialnego, które miało wpływ na wynik sprawy, tj.: 1. art. 6 ust. 1 lit. c RODO w zw. z art. 105 ust. 4, art. 105a ust. 1, art. 5 ust. 1 pkt 3 oraz art. 70 ust. 1 Prawa bankowego, polegające na ich niewłaściwym zastosowaniu przez WSA i przyjęciu, że skarżący kasacyjnie nie legitymuje się przesłanką przetwarzania danych wynikającą z art. 6 ust. 1 lit. c RODO w zw. z art. 105 ust. 4, art. 105a ust. 1, art. 5 ust. 1 pkt 3 oraz art. 70 ust. 1 Prawa bankowego, podczas gdy przepisy te nakładają na skarżącego kasacyjnie określone obowiązki, w tym obowiązek wykonywania czynności bankowych takich jak udzielanie kredytów, dokonywanie oceny zdolności kredytowej i analizy ryzyka kredytowego, z którymi wiąże się konieczność przetwarzania danych osobowych, w tym danych związanych z zapytaniami kredytowymi, co skutkowało bezzasadnym oddaleniem skargi; 2. art. 6 ust. 1 lit. c RODO w zw. z art. 105a ust. 1-1c Prawa bankowego, polegające na ich niewłaściwym zastosowaniu przez WSA i przyjęciu, że skarżący kasacyjnie nie legitymuje się przesłanką przetwarzania danych wynikającą z art. 6 ust. 1 lit. c RODO w zw. z art. 105a ust. 1-1c Prawa bankowego, podczas gdy skarżący kasacyjnie wykazuje cel przetwarzania danych osobowych polegający na dokonywaniu analizy ryzyka kredytowego oraz realizacji wymogów w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej Rozporządzenia Parlamentu Europejskiego i Rady nr 575/2013 z dnia 26 czerwca 2013 r. w sprawie wymogów ostrożnościowych dla instytucji kredytowych i firm inwestycyjnych (Dz. Urz. UE L 176 z 27.6.2013, str. 1, ze zm.), co skutkowało bezzasadnym oddaleniem skargi; 3. art. 6 ust. 1 lit. c RODO w zw. z art. 70a ust. 1 i 2 Prawa bankowego, polegające na ich niewłaściwym zastosowaniu przez WSA i przyjęciu, że skarżący kasacyjnie nie legitymuje się podstawą prawną przetwarzania danych osobowych M. S., podczas gdy przepisy te nakładają na banki, w tym skarżącego kasacyjnie obowiązek wyjaśniania dokonanej oceny zdolności kredytowej, a co w konsekwencji uprawnia skarżącego kasacyjnie do przetwarzania danych osobowych na podstawie art. 6 ust. 1 lit. c RODO w celu realizacji tych obowiązków, niezależnie od tego, czy doszło do zawarcia umowy kredytu, a co w rezultacie skutkowało bezzasadnym oddaleniem skargi; 4. art. 6 ust. 1 lit. f RODO w zw. z art. 117 § 2 i 2 art. 118 i art. 119 Kodeksu cywilnego, polegające na ich niewłaściwym zastosowaniu przez WSA i przyjęciu, że skarżący kasacyjnie w okresie przedawnienia roszczeń nie ma prawnie uzasadnionego interesu w przetwarzaniu danych osobowych M. S., a w rezultacie, iż nie legitymuje się przesłanką przetwarzania danych osobowych wynikającą z art. 6 ust. 1 lit. f RODO w związku z powyższymi przepisami Kodeksu cywilnego, w sytuacji gdy przepisy te uprawniają skarżącego kasacyjnie do przetwarzania danych osobowych M. S. w celu ustalenia, dochodzenia i obrony przed roszczeniami przez okres przedawnienia roszczeń, nawet jeśli takie roszczenie nie zostało jeszcze zgłoszone, a co w rezultacie skutkowało bezzasadnym oddaleniem skargi. W związku z powyższym wniesiono: 1. rozpoznanie skargi kasacyjnej, uchylenie zaskarżonego wyroku w całości oraz uchylenie decyzji Prezesa Urzędu Ochrony Danych Osobowych z dnia 31 marca 2022 r., sygn. [...] w części, tj. w punkcie drugim, w zakresie w jakim nakazuje skarżącemu kasacyjnie zaprzestania przetwarzania danych osobowych M. S. dotyczących wniosku kredytowego z dnia 10 lipca 2020 r., niezakończonego udzieleniem kredytu; względnie o uchylenie zaskarżonego wyroku w całości i przekazanie sprawy do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie; 2. zasądzenie zwrotu kosztów postępowania według norm przepisanych, w tym kosztów zastępstwa procesowego oraz kwoty 51 zł uiszczonej tytułem opłaty skarbowej od pełnomocnictwa. 3. rozpoznanie sprawy objętej niniejszą skargą kasacyjną na rozprawie. Pełnomocnik Banku wniósł o przeprowadzenie dowodu uzupełniającego z następujących dokumentów: protokołu kontroli Prezesa UODO z dnia 24 czerwca 2022 r.; sygn. [...], pisma Prezesa UODO z dnia 10 lutego 2023 r.; znak [...] na okoliczność, że Prezes UODO dokonując kontroli profilowania w Banku, w toku której kontrolował kwestię przetwarzania przez Bank danych osobowych podmiotów danych, których wnioski o udzielenie kredytu zostały rozpatrzone negatywnie, w tym kwestię okresu retencji danych, celu przetwarzania zakresu danych i podstawy prawnej przetwarzania, stwierdził, że w zakresie objętym kontrolą nie stwierdzono naruszenia przepisów o ochronie danych osobowych, które stanowiłyby podstawę do zastosowania art. 90 u.o.d.o., tj. wszczęcia postępowania w sprawie naruszenia, o którym mowa w art. 60 u.o.d.o. B. zaskarżył wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 7 lutego 2023 r.; sygn. akt II SA/Wa 895/22, w części oddalającej jego skargę na pkt 1 decyzji Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] marca 2022 r. ([...]). Zaskarżonemu wyrokowi zarzucono, na podstawie art. 174 pkt 2 P.p.s.a., naruszenie przepisów postępowania, mające istotny wpływ na wynik sprawy, tj.: 1. art. 145 § 1 pkt 1 lit. c P.p.s.a. w zw. z art. 7 w zw. z art. 77 § 1 w zw. z art. 80 k.p.a. w zw. z art. 7 u.o.d.o., poprzez uznanie przez Wojewódzki Sąd Administracyjny w Warszawie, że organ prawidłowo zebrał i ocenił zgromadzony w sprawie materiał dowodowy, podczas gdy organ ten: - zaniechał dokonania wyczerpującej analizy charakteru, zakresu oraz celów gospodarczo - ekonomicznych dla jakich zostało powołane B. S.A. oraz obowiązków prawnych i obowiązków wynikających z zawartych przez B. umów z bankami i instytucjami ustawowo upoważnionymi do udzielania kredytów, co doprowadziło do wadliwej i niepełnej oceny stanu faktycznego skutkującej wadliwą oceną w zakresie ustalenia podstaw prawnych legitymujących skarżącego do przetwarzania danych osobowych, - zaniechał dokonania oceny Rekomendacji S, W i T Komisji Nadzoru Finansowego jako organu właściwego do sprawowania nadzoru nad instytucjami krajowymi w rozumieniu przepisów UE (regulatora rynku finansowego), które to regulacje nakładają na banki i instytucje ustawowo upoważnione do udzielania kredytów, a w konsekwencji na B., jako instytucję gromadzącą dane służące do oceny zdolności kredytowej oraz budującą modele scoringowe służące bankom i tymże instytucjom, określone wymagania, które podlegają nadzorowi i egzekwowaniu przez Komisję Nadzoru Finansowego na podstawie bezwzględnie obowiązujących przepisów prawa, co doprowadziło do wadliwej oceny niezbędności przetwarzania przez skarżącego (B.- dopisek Naczelnego Sądu Administracyjnego) danych osobowych uczestnika 2 (wnioskodawca- dopisek Naczelnego Sądu Administracyjnego) w przypadku nie zawarcia umowy kredytowej dla zabezpieczenia interesów banków oraz stabilności rynku gospodarczo-finansowego i w konsekwencji do wadliwego uznania, że w ww. przypadku nie zachodzą przesłanki legitymujące skarżącego do przetwarzania danych osobowych uczestnika 2, - nie dokonał analizy podstawowych zasad funkcjonowania stabilnego sektora finansowego w tym pod kątem istnienia - po stronie banków, a w konsekwencji B. jako instytucji gromadzącej dane służące do oceny zdolności kredytowej oraz budującej modele scoringowe służące bankom - oczywistego interesu prawnego przejawiającego się w odmowie udzielenia kredytu i wynikającego z braku istnienia zdolności kredytowej po stronie uczestnika 2, co prowadzi do zabezpieczenia interesu banków przed nieodpowiedzialną polityką udzielania kredytów osobom, które nie mają szans na ich spłacenie oraz do zapewnienia stabilności gospodarczo-ekonomicznej sektora bankowego, a w ujęciu makro zapobieganiu kryzysom gospodarczym, co doprowadziło do wadliwej oceny niezbędności przetwarzania przez skarżącego danych osobowych uczestnika 2 w przypadku nie zawarcia umowy kredytowej dla zabezpieczenia interesów banków oraz stabilności rynku gospodarczo-finansowego i w konsekwencji do wadliwego uznania, że w ww. przypadku nie zachodzą przesłanki legitymujące skarżącego do przetwarzania danych osobowych uczestnika 2, - nie zbadał wszystkich podstaw prawnych dalszego przetwarzania danych o zapytaniach kredytowych, w sytuacji nie zawarcia umowy kredytu, pomimo, iż przepisy prawa upoważniają skarżącego do przetwarzania tych danych, co doprowadziło do wadliwej i niepełnej oceny stanu faktycznego skutkującej wadliwą oceną w zakresie ustalenia podstaw prawnych legitymujących skarżącego do przetwarzania danych osobowych, co w konsekwencji doprowadziło do oddalenia skargi przez WSA w skutek błędnego przyjęcia przez WSA braku istnienia podstawy prawnej do przetwarzania danych, zatem braku legitymacji skarżącego do przetwarzania danych osobowych uczestnika 2; 2. art. 145 §1 pkt 1 lit. c P.p.s.a. w zw. z art. 7b k.p.a. w zw. z art. 7 k.p.a. w zw. z art. 77 k.p.a. w zw. z art. 7 u.o.d.o., poprzez uznanie, iż organ wyjaśnił stan faktyczny i prawny konieczny do podjęcia przez organ stosownych czynności, w tym zasadnie zaniechał zwrócenia się do Komisji Nadzoru Finansowego, podczas gdy dla kompleksowego wyjaśnienia sprawy konieczne było zwrócenie się do KNF i współdziałanie w zakresie niezbędnym do dokładnego wyjaśnienia stanu prawnego, mając na względzie interes społeczny i słuszny interes obywateli w postaci ustalenia należytych zasad, celów i zakresu przetwarzania danych osobowych o niezrealizowanych zapytaniach kredytowych tak, by procesy przetwarzania danych czyniły zadość zarówno przepisom prawa o ochronie danych osobowych, jak i przepisom szeroko pojętego prawa bankowego, w szczególności dla zapewnienia ochrony wartości, których gwarancje ochrony wynikają z ww. przepisów zgodnie z zasadą proporcjonalności, wskutek czego Prezes UODO wydał zaskarżoną decyzję w niepełnym stanie faktycznym i prawnym, czego WSA nie dostrzegł oddalając skargę i w konsekwencji wydał wyrok w oparciu o ten sam niepełny stan faktyczny i prawny; 3. art. 141 § 4 P.p.s.a., poprzez brak wskazania w uzasadnieniu wyroku przez WSA podstawy prawnej rozstrzygnięcia, jak i jej wyjaśnienia w zakresie, w jakim Sąd nie ustosunkował się w uzasadnieniu wyroku do zarzutu naruszenia przez Prezes UODO art. 8 § 1 i § 2 k.p.a., poprzez odstąpienie przez organ od utrwalonej praktyki rozstrzygania spraw w takim samym stanie faktycznym i prawnym, co z kolei narusza zasadę pogłębiania zaufania obywateli do władzy publicznej, co w konsekwencji pozbawiło skarżącego możliwości odniesienia się do przesłanek jakimi kierował się WSA oceniając stan faktyczny i prawny sprawy. Zaskarżonemu wyrokowi, na podstawie art. 174 pkt 1 P.p.s.a., zarzucono także naruszenie przepisów prawa materialnego, tj.: 1. art. 6 ust. 1 lit. c RODO w zw. z art. 105 ust. 1 pkt. 1c w zw. z art. 105 ust. 4 i w zw. z art. 105a w zw. z art. 70 i art. 5 ust. 1 pkt 3 Prawo bankowe, poprzez ich niewłaściwe zastosowanie przejawiające się w przyjęciu, że w sytuacji, gdy nie doszło pomiędzy uczestnikiem 2 a Bank [...] S.A. z siedzibą w W. zawarcia umowy kredytowej, skarżący nie jest uprawniony do przetwarzania danych osobowych uczestnika 2, a w konsekwencji przyjęcie, że skarżący nie posiada ww. podstawy prawnej do przetwarzania danych zawartych we wniosku o udzielenie kredytu w przypadku nie zawarcia umowy kredytowej, podczas gdy B. jest ustawowo zobowiązany do realizacji obowiązku prawnego wynikającego z ww. przepisów polegającego na gromadzeniu, przetwarzaniu i udostępnianiu bankom oraz podmiotom szczegółowo wskazanym w przepisie informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych w postaci oceny zdolności kredytowej oraz analizy ryzyka kredytowego konkretnego klienta (indywidualna ocena zdolności kredytowej) oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013; 2. art. 6 ust. 1 lit. c RODO w zw. z art. 70a w zw. z art. 105 ust. 4 pkt 1 i 2 oraz w zw. z art. 105a Prawa bankowego, poprzez jego niezastosowanie wskutek uznania, iż przepisy prawa nie nakładają na skarżącego obowiązku przekazywania osobie fizycznej ubiegającej się o kredyt wyjaśnień dotyczących dokonanej oceny zdolności kredytowej, a w konsekwencji przyjęcie, że skarżący nie posiada podstawy prawnej do przetwarzania danych uczestnika 2 w sytuacji nie zawarcia umowy o kredytowej, podczas gdy skarżący posiada podstawę prawną przetwarzania z uwagi na niezbędność przetwarzania do wykonania obowiązku prawnego przez banki, instytucje ustawowo uprawnione do udzielania kredytów i B., w postaci obowiązku przekazania osobie ubiegającej się o kredyt w formie pisemnej na jej wniosek wyjaśnień dotyczących dokonanej oceny zdolności kredytowej wnioskującego; 3. art. 6 ust. 1 lit. e RODO, poprzez jego niezastosowanie wskutek uznania, że skarżący nie posiada podstawy prawnej do przetwarzania danych uczestnika 2 w sytuacji nie zawarcia umowy kredytowej, podczas gdy skarżący posiada podstawę prawną przetwarzania z uwagi na niezbędność przetwarzania dla realizacji zadania w interesie publicznym przez banki, instytucje ustawowo uprawnione do udzielania kredytów i B. w postaci zabezpieczenia ekonomiczno-gospodarczego sektora bankowego, w tym depozytariuszy i zapewnienia stabilności ekonomiczno-gospodarczej sektora bankowego, a w ujęciu makro zapobieganiu kryzysom gospodarczym; 4. art. 6 ust. 1 lit. f RODO, poprzez jego niewłaściwe zastosowanie wskutek uznania, że przetwarzanie danych osobowych dla realizacji prawnie uzasadnionych interesów administratora danych w celach zabezpieczenia roszczeń może dotyczyć wyłącznie roszczeń istniejących i aktualnie dochodzonych i w konsekwencji nieuzasadnione przyjęcie, że prawnie uzasadniony interes administratora danych nie istnieje w sytuacji konieczności przetwarzania danych osobowych do ochrony przed roszczeniami istniejącymi, ale nie dochodzonymi w chwili dokonywania oceny, podczas gdy istotą uzasadnionego interesu administratora jest możliwość przetwarzania danych na wypadek konieczności obrony przed roszczeniami istniejącymi lub dochodzenia w przyszłości roszczeń istniejących, które w warunkach niniejszej sprawy są związane z przetwarzaniem danych osobowych na potrzeby opracowania oceny scoringowej uczestnika 2 niezbędnej do przeprowadzenia analizy zdolności kredytowej oraz analizy ryzyka kredytowego, które to skarżący zobowiązany jest gromadzić, przetwarzać i udostępniać bankom i instytucjom ustawowo upoważnionym do udzielania kredytów dla realizacji celów ustawowych badania zdolności kredytowej; 5. art. 6 ust. 1 lit. f RODO, poprzez niewłaściwe zastosowanie poprzez przyjęcie, że wskutek braku zawarcia umowy kredytowej B. nie posiada prawnie uzasadnionego interesu w przetwarzaniu danych uczestnika 2, podczas gdy istnieje prawnie uzasadniony interes skarżącego w przetwarzaniu tych informacji pomimo nie zawarcia umowy kredytowej, polegający na realizacji działań z zakresu opracowania, utrzymania aktualności i funkcjonalności zbudowanych modeli scoringowych w zgodzie z treścią Rekomendacji W, S i T Komisji Nadzoru Finansowego w zakresie dobrych praktyk i zarządzania ryzykiem kredytowym; 6. art. 6 ust. 1 lit. f RODO, poprzez jego niezastosowanie wskutek uznania, że skarżący nie posiada podstawy prawnej do przetwarzania danych uczestnika 2, podczas gdy skarżący posiada podstawę prawną przetwarzania z uwagi na konieczność zapewnienia rozliczalności działań skarżącego jako administratora danych osobowych na zasadzie art. 5 ust. 2 RODO w postaci wykazania przestrzegania przepisów dotyczących jakości danych. Mając na uwadze wskazane zarzuty wniesiono o: - uchylenie wyroku w zaskarżonej części i przekazanie do ponownego rozpoznania Wojewódzkiemu Sądowi Administracyjnemu w Warszawie; - zasądzenie kosztów postępowania, w tym kosztów zastępstwa procesowego i opłaty skarbowej od pełnomocnictwa, według norm prawem przepisanych; - rozpoznanie skargi kasacyjnej na rozprawie. W odpowiedziach na skargi kasacyjne Banku i B. organ wniósł o ich oddalenie oraz o przeprowadzenie rozprawy. Postanowieniem z dnia 21 czerwca 2023 r. Naczelny Sąd Administracyjny wstrzymał wykonanie zaskarżonej decyzji w całości. Naczelny Sąd Administracyjny zważył, co następuje: Skargi kasacyjne nie mają usprawiedliwionych podstaw. W świetle art. 174 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (tekst jedn. Dz. U. z 2026 r. poz. 143 ze zm.), dalej: P.p.s.a.", skargę kasacyjną można oprzeć na następujących podstawach: 1) naruszeniu prawa materialnego przez błędną jego wykładnię lub niewłaściwe zastosowanie, 2) naruszeniu przepisów postępowania, jeżeli uchybienie to mogło mieć istotny wpływ na wynik sprawy. Naczelny Sąd Administracyjny jest związany podstawami skargi kasacyjnej, ponieważ w świetle art 183 § 1 P.p.s.a. rozpoznaje sprawę w granicach skargi kasacyjnej, biorąc z urzędu pod rozwagę jedynie nieważność postępowania. Jeżeli zatem nie wystąpiły przesłanki nieważności postępowania wymienione w art. 183 § 2 P.p.s.a., a w rozpoznawanej sprawie przesłanek tych brak, to Sąd związany jest granicami skarg kasacyjnych Oznacza to, że Sąd nie jest uprawniony do samodzielnego dokonywania konkretyzacji zarzutów skarg kasacyjnych, a upoważniony jest do oceny zaskarżonego orzeczenia wyłącznie w granicach przedstawionych we wniesionych skargach kasacyjnych. Rozpatrywane skargi kasacyjne oparte zostały na obydwu podstawach kasacyjnych uregulowanych w art. 174 pkt 1 i 2 P.p.s.a. Ze względu na dość ścisłe powiązanie zarzutów materialnych i formalnych zostaną one rozpoznane łącznie. W pierwszej kolejności omówieniu przez Naczelny Sąd Administracyjny podlega zarzut najdalej idący, to jest zarzut naruszenia art. 141 § 4 P.p.s.a., który został podniesiony w skardze kasacyjnej B., jak i w skardze kasacyjnej Banku. Wskazać należy, że przepis art. 141 § 4 P.p.s.a. określa wymogi formalne uzasadnienia wyroku sądu administracyjnego. Z jego treści wynika, że uzasadnienie to powinno zawierać zwięzłe przedstawienie stanu sprawy, zarzutów podniesionych w skardze, stanowisk pozostałych stron, podstawę prawną rozstrzygnięcia oraz jej wyjaśnienie, a jeżeli w wyniku uwzględnienia skargi sprawa ma być ponownie rozpatrzona przez organ administracji, uzasadnienie powinno ponadto zawierać wskazania co do dalszego postępowania. Wyjaśnić także należy, że kontrola przez sąd administracyjny działania organu administracji z punktu widzenia jego zgodności z prawem obejmuje: kontrolę rekonstrukcji i zastosowania przez organy administracji publicznej norm proceduralnych określających prawne wymogi ustalania faktów; kontrolę sposobu prawnej kwalifikacji tych faktów, co odnosi się do materialnoprawnych podstaw rozstrzygnięcia administracyjnego, w tym kontroli ich wykładni i zastosowania; przez pryzmat zaś przepisów ustaw procesowych określających prawne wymogi odnośnie do uzasadnienia decyzji administracyjnej, kontrolę konkretnego sposobu ustalenia w konkretnej sprawie faktycznych i prawnych podstaw rozstrzygnięcia (zob. w tej materii L. Leszczyński, Orzekanie przez sądy administracyjne a kontrola wykładni prawa, Zeszyty Naukowe Sądownictwa Administracyjnego 2010, nr 5-6, s. 267 i n.; wyrok Naczelnego Sądu Administracyjnego z dnia 30 września 2021 r.; sygn. akt III OSK 1131/21). Rezultat sądowoadministracyjnej kontroli działalności administracji publicznej, uwzględniając wskazaną złożoność tego procesu, powinien być więc rzetelnie odzwierciedlony w treści uzasadnienia orzeczenia sądowego, co wymaga wskazania przyjętych za podstawę wyrokowania faktów oraz wskazania i wyjaśnienia podstawy prawnej rozstrzygnięcia. Należy podkreślić, że zarzut naruszenia art. 141 § 4 P.p.s.a. może być skutecznie postawiony w dwóch przypadkach: gdy uzasadnienie wyroku nie zawiera wszystkich elementów, wymienionych w tym przepisie i gdy w ramach przedstawienia stanu sprawy, wojewódzki sąd administracyjny nie wskaże, jaki i dlaczego stan faktyczny przyjął za podstawę orzekania (zob. w tej materii m.in. uchwałę Naczelnego Sądu Administracyjnego z dnia 15 lutego 2010 r.; sygn. akt: II FPS 8/09; publ. ONSAiWSA 2010/3/39). Naruszenie to musi być przy tym na tyle istotne, aby mogło mieć wpływ na wynik sprawy (art. 174 pkt 2 P.p.s.a.). Za jego pomocą nie można skutecznie zwalczać prawidłowości przyjętego przez sąd stanu faktycznego, czy też stanowiska sądu co do wykładni bądź zastosowania prawa materialnego. Przepis art. 141 § 4 P.p.s.a. jest bowiem przepisem proceduralnym, regulującym wymogi sporządzenia pisemnego uzasadnienia wyroku. W ramach rozpatrywania zarzutu naruszenia tego przepisu Naczelny Sąd Administracyjny zobowiązany jest jedynie do kontroli zgodności uzasadnienia zaskarżonego wyroku z wymogami wynikającymi z powyższej normy prawnej. Dokonując kontroli uzasadnienia zaskarżonego wyroku w tak zakreślonych granicach stwierdzić należy, że zawiera ono przedstawienie stanu faktycznego sprawy, zarzutów podniesionych w skargach, stanowiska strony przeciwnej, podstawę prawną rozstrzygnięcia oraz jej wyjaśnienie. Sąd pierwszej instancji wskazał, jaki stan faktyczny i prawny przyjął jako podstawę orzekania. Z wywodów Sądu pierwszej instancji wynika, dlaczego w jego ocenie doszło do naruszenia prawa wnioskodawcy w zakresie przetwarzania danych osobowych i jakie przyjął znaczenie norm prawnych stosowanych w niniejszej sprawie, a także co stanowiło podstawę prawną rozstrzygnięcia zawartego w zaskarżonym wyroku. Zaskarżony wyrok poddaje się kontroli instancyjnej, co czyni zarzut naruszenia art. 141 § 4 P.p.s.a. bezskutecznym. Wymaga również wskazania, że art. 141 § 4 P.p.s.a. nie wymaga szczegółowego odniesienia się przez Sąd pierwszej instancji do wszystkich zarzutów skargi oraz podniesionej w niej argumentacji, ale wymaga odniesienia się do tych zarzutów, których zbadanie jest niezbędne do przeprowadzenia kontroli zaskarżonego aktu, co miało miejsce w realiach sprawy. Zarzutu naruszenia art. 141 § 4 P.p.s.a. nie może zatem skutecznie uzasadniać nieuwzględnieniem wszystkich zarzutów skargi, czy nieodniesieniem się przez sąd do wszystkich kwestii podnoszonych przez stronę. To, że Bank i B. nie są przekonane o trafności rozstrzygnięcia sprawy przez sąd, nie oznacza jeszcze wadliwości uzasadnienia wyroku. Brak przekonania o trafności rozstrzygnięcia sprawy, w tym co do przyjętego kierunku wykładni i zastosowania prawa, czy też oceny zgromadzonego w sprawie materiału dowodowego, która nie koresponduje z oczekiwaniami Banku i B., nie oznacza wadliwości uzasadnienia wyroku. Polemika z merytorycznym stanowiskiem sądu pierwszej instancji nie może czynić skutecznym zarzutu naruszenia art. 141 § 4 P.p.s.a. Odnosząc się do kolejnych zarzutów natury procesowej Naczelny Sąd Administracyjny wskazuje, że w skardze kasacyjnej Banku podniesiono zarzuty naruszenia art. 145 § 1 pkt 1 lit. c P.p.s.a. w zw. z art. 7, art. 77 § 1 i art. 80 k.p.a. (pkt I.1 petitum skargi kasacyjnej) oraz art. 145 § 1 pkt 1 lit. c P.p.s.a. w zw. z art. 7b k.p.a. (pkt II.2 petitum wniesionego środka odwoławczego). W skardze kasacyjnej B. sformułowano z kolei zarzut naruszenia art. 145 § 1 pkt 1 lit. c P.p.s.a. w zw. z art. 7 w zw. z art. 77 § 1 w zw. z art. 80 k.p.a. w zw. z art. 7 u.o.d.o. oraz art. 145 § 1 pkt 1 lit. c P.p.s.a. w zw. z art. 7b k.p.a. w zw. z art. 7 k.p.a. w zw. z art. 77 k.p.a. w zw. z art. 7 u.o.d.o. (pkt 1 i 2 petitum skargi kasacyjnej). W odniesieniu do tak sformułowanych zarzutów należy przede wszystkim podnieść, że ich konstrukcja jest częściowo wadliwa. Przepisy powołane w ramach zarzutów naruszenia przepisów postępowania regulują podstawy uwzględnienia skargi z uwagi na naruszenie przez organy przepisów postępowania - art. 145 § 1 pkt 1 lit. c P.p.s.a. oraz obowiązków organów dotyczących administracyjnego postępowania wyjaśniającego (przepisy k.p.a.). Ponadto należy zwrócić uwagę, że art. 7 u.o.d.o. składa się trzech jednostek redakcyjnych. Przepis reguluje kwestie proceduralne. W ust. 1 tego przepisu zawarte zostało odesłanie do Kodeksu postępowania administracyjnego, którego przepisy znajdują zastosowanie do postępowań administracyjnych prowadzonych przed Prezesem Urzędu Ochrony Danych Osobowych. Ustęp 2 artykułu stanowi, że postępowanie to jest postępowaniem jednoinstancyjnym. W ust. 3 wyłączona została możliwość stosowania przepisów o zażaleniu na postanowienia, natomiast w ust. 4 wskazano, że postanowienia mogą zostać zaskarżone do sądu administracyjnego. Wyjaśnić należy, że z art. 145 § 1 pkt 1 lit. c P.p.s.a. wynika, że sąd administracyjny uwzględnia skargę w sytuacji stwierdzenia naruszenia przepisów postępowania, które mogło mieć istotny wpływ na wynik sprawy. Wzruszenie zaskarżonego rozstrzygnięcia może mieć zatem miejsce w sytuacji, gdy sądowa kontrola wykaże naruszenie prawa procesowego, które mogło mieć istotny wpływ na wynik sprawy. Chodzi tu o naruszenie, które skutkuje przyjęciem, że bez jego popełnienia nie doszłoby do wydania rozstrzygnięcia określonej treści. Nawiązując do przywołanych w skargach kasacyjnych przepisów k.p.a. wskazać należy, że sąd administracyjny nie stosuje wprost przepisów regulujących postępowanie przed organami administracji publicznej, stąd też jego związanie tymi przepisami sprowadza się do obowiązku sformułowania oceny prawnej, czy proces podjęcia decyzji stosowania prawa przez organ administracji był prawidłowy. Nie budzi wątpliwości, że sformułowanie tej oceny wymaga odpowiedzi na szereg pytań, pytań takich samych jak te, na które musi odpowiedzieć organ administracji bezpośrednio stosujący te przepisy. To jednak nie wojewódzki sąd administracyjny stosuje te przepisy, lecz posługuje się nimi jedynie, jako swoistą matrycą porównawczą, w celu ustalenia, czy postępowanie organu w tym zakresie jest zgodne z ustalonym porządkiem prawnym (zob. w tej materii wyrok Naczelnego Sądu Administracyjnego z dnia 18 maja 2023 r.; sygn. akt III OSK 1251/21). Uchybienie przez sąd przepisom regulującym postępowanie organów administracji publicznej ma charakter pośredni i wynikać może jedynie z uchybienia przez sąd pierwszej instancji przepisom P.p.s.a. Mając na uwadze warstwę opisową powyższych zarzutów stwierdzić należy, że oscylują one wokół kwestii wadliwego działania Sądu meriti, polegającego na niewłaściwej ocenie materiału dowodowego, co skutkowało oddaleniem skarg. Należy wyjaśnić, że zgodnie z zasadą prawdy obiektywnej, która została skonstruowana w art. 7 k.p.a., w toku postępowania organy administracji publicznej z urzędu lub na wniosek stron podejmują wszelkie czynności niezbędne do dokładnego wyjaśnienia stanu faktycznego oraz do załatwienia sprawy. Organ administracji publicznej ma zatem obowiązek zebrania i rozpatrzenia materiału dowodowego w taki sposób, aby ustalić stan faktyczny sprawy zgodny z rzeczywistością. Zasada prawdy obiektywnej została skonkretyzowana w art. 77 § 1 k.p.a., zgodnie z którym organ administracji publicznej jest obowiązany w sposób wyczerpujący zebrać i rozpatrzyć cały materiał dowodowy. Natomiast zgodnie z art. 80 k.p.a. organ administracji publicznej ocenia na podstawie całokształtu materiału dowodowego, czy dana okoliczność została udowodniona. Biorąc pod uwagę treść przytoczonych wyżej przepisów należy uznać, że w postępowaniu administracyjnym obowiązuje zasada oficjalności postępowania dowodowego. Okoliczność, w której strona również ma prawo wykazywania inicjatywy dowodowej, nie zwalnia organu administracji publicznej z obowiązku podejmowania z urzędu czynności zmierzających do pełnego wyjaśnienia stanu faktycznego oraz do załatwienia sprawy. Organ administracji publicznej jest zaś obowiązany z urzędu: 1. ustalić, jakie okoliczności faktyczne mają znaczenie dla rozstrzygnięcia sprawy; 2. ustalić, jakie dowody powinny zostać przeprowadzone w celu ustalenia powyższych okoliczności; 3. przeprowadzić dowody, które uznał za niezbędne dla dokonania prawidłowych ustaleń w zakresie stanu faktycznego sprawy; 4. dokonać oceny przeprowadzonych dowodów zgodnie z zasadą swobodnej oceny dowodów (zob. w tej materii m.in. wyrok Naczelnego Sądu Administracyjnego z dnia 23 lutego 2012 r.; sygn. akt II GSK 118/12). Realizacja przez organ administracji publicznej powyższych obowiązków nie pozbawia oczywiście strony prawa do czynnego udziału w czynnościach postępowania dowodowego związanych z realizacją zasady czynnego udziału strony w postępowaniu. Prawo strony do czynnego udziału w każdym stadium postępowania jest realizowane w szczególności przez prawo do inicjatywy dowodowej, ukształtowanej w art. 78 k.p.a., prawo do brania czynnego udziału w czynnościach postępowania dowodowego (art. 79 k.p.a.), jak również prawo do wypowiedzenia się co do przeprowadzonych dowodów, wynikające z art. 10 § 1 i art. 81 k.p.a. Z zasadą prawdy obiektywnej wiąże się kwestia rozłożenia ciężaru dowodu (onus probandi) w postępowaniu administracyjnym. Zasada prawdy obiektywnej przenosi ciężar dowodu w postępowaniu administracyjnym na organ administracji publicznej prowadzący postępowanie w sprawie. Co do zasady gospodarzem postępowania administracyjnego jest organ administracji publicznej, który powinien je prowadzić zgodnie z zasadą oficjalności, jednak strona ma prawo do czynnego uczestnictwa w postępowaniu wyjaśniającym, a w szczególności prawo inicjatywy dowodowej, z którego powinna korzystać, chcąc uniknąć negatywnych konsekwencji związanych z poczynionymi przez organ ustaleniami w zakresie stanu faktycznego sprawy na podstawie znanych organowi środków dowodowych. Powyższe stanowisko dobrze ilustruje wyrok z dnia 8 listopada 2013 r. (sygn. akt II OSK 1291/12), w którym Naczelny Sąd Administracyjny stwierdził, że organ jest wprawdzie zobowiązany do wyczerpującego zebrania i rozpatrzenia całego materiału dowodowego, jednakże strona nie jest zwolniona od lojalnego współdziałania w wyjaśnianiu okoliczności faktycznych. Powinna ona bowiem przedstawić wszystkie informacje niezbędne do ustalenia stanu faktycznego sprawy, jak również udostępnić dowody znajdujące się w jej posiadaniu lub które tylko ona może przedstawić, potwierdzające okoliczności wskazane w uzasadnieniu wniosku wszczynającego postępowanie. Obowiązki te w żaden sposób nie wyłączają wymogu dążenia przez organ administracji do wyjaśnienia prawdy materialnej (art. 7 i art. 77 § 1 k.p.a.), niemniej jednak oznaczają, że składający wniosek powinien aktywnie współdziałać z organem w celu ustalenia wszystkich okoliczności sprawy. W sprawach, w których strona nie przedstawiła, jak też organ nie znalazł z urzędu dowodów potwierdzających fakty i zdarzenia, z których strona wywodzi dla siebie określone (z reguły korzystne) skutki prawne, przed wydaniem decyzji negatywnej organ administracji powinien zawsze wezwać stronę do uzupełnienia materiału dowodowego poprzez przedstawienie przez nią brakujących dowodów czy też sprecyzowania dotychczasowych niejasnych czy też ogólnikowych wyjaśnień. Należy zatem uznać, że obowiązki organów administracji publicznej w zakresie przeprowadzenia dowodów z urzędu celem odtworzenia prawdy obiektywnej nie sięgają tak daleko, by zwalniały stronę ze współudziału w zebraniu materiału dowodowego (zob. w tej materii wyroki Naczelnego Sądu Administracyjnego: z 17 lutego 2011 r.; sygn. akt II GSK 273/10 oraz z dnia 7 grudnia 2010 r.; sygn. akt II OSK 1677/10). W szczególności wówczas, gdy organ administracji publicznej dokonał pewnych ustaleń w zakresie stanu faktycznego na podstawie przeprowadzonych dowodów, a strona kwestionuje te dowody i ustalenia, przeciwdowód może być przeprowadzony z jej inicjatywy, organ nie ma natomiast obowiązku poszukiwania dowodów dla wykazania słuszności stanowiska strony (zob. w tej materii wyrok Naczelnego Sądu Administracyjnego z dnia 10 grudnia 2009 r.; sygn. akt II OSK 1933/08). Należy podkreślić, że w postępowaniu administracyjnym, którego przedmiotem jest sprawa zgodności z prawem przetwarzania danych osobowych badaniu podlega kwestia, czy administrator przetwarza dane osobowe w sposób prawidłowy i zgodny z przepisami o ochronie danych osobowych. Istotne znaczenie ma regulacja art. 5 ust. 1 i 2 RODO. Zgodnie z powyższym przepisem: 1. Dane osobowe muszą być: a) przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą ("zgodność z prawem, rzetelność i przejrzystość"); b) zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami; dalsze przetwarzanie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych nie jest uznawane w myśl art. 89 ust. 1 za niezgodne z pierwotnymi celami ("ograniczenie celu"); c) adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane ("minimalizacja danych"); d) prawidłowe i w razie potrzeby uaktualniane; należy podjąć wszelkie rozsądne działania, aby dane osobowe, które są nieprawidłowe w świetle celów ich przetwarzania, zostały niezwłocznie usunięte lub sprostowane ("prawidłowość"); e) przechowywane w formie umożliwiającej identyfikację osoby, której dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane; dane osobowe można przechowywać przez okres dłuższy, o ile będą one przetwarzane wyłącznie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych na mocy art. 89 ust. 1, z zastrzeżeniem że wdrożone zostaną odpowiednie środki techniczne i organizacyjne wymagane na mocy niniejszego rozporządzenia w celu ochrony praw i wolności osób, których dane dotyczą ("ograniczenie przechowywania"); f) przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych ("integralność i poufność"). 2. Administrator jest odpowiedzialny za przestrzeganie przepisów ust. 1 i musi być w stanie wykazać ich przestrzeganie ("rozliczalność"). Zgodnie z zasadą rozliczalności (art. 5 ust. 2 RODO) to na administratorze danych spoczywa obowiązek wykazania, że zarówno zakres, jak i sposób przetwarzania danych osobowych jest adekwatny do obranego przez niego celu i warunków jego realizacji - zasada ograniczonego celu przetwarzania (art. 5 ust. 1 lit. b RODO) i zasady minimalizacji przetwarzania danych (art. 5 ust. 1 lit. c RODO). Wymaga również wyjaśnienia, co trafnie podkreślił Sąd meriti, że Prezes UODO jest wyspecjalizowanym organem w sprawach ochrony danych osobowych, który ma status i kompetencje organu nadzorczego określone w przepisach RODO. Z tego względu Prezes UODO jest uprawniony do samodzielnego dokonywania interpretacji przepisów prawa w zakresie dotyczącym ochrony danych osobowych. W sprawie niniejszej Prezes UODO nie miał zatem obowiązku zwracania się do KNF ani w zakresie dokonywanych ustaleń stanu faktycznego ani w zakresie wyjaśnień stanu prawnego. Powyższe przesądza o bezzasadności zarzutów naruszenia przepisów postępowania sformułowanych przez Bank i B. Podnoszone okoliczności w ramach omawianych zarzutów są irrelewantne z punktu widzenia rozstrzygnięcia niniejszej sprawy. Zaznaczyć należy, że Prezes UODO zastosował się do zasad ogólnych postępowania administracyjnego: zasady praworządności, zasady prawdy obiektywnej i pogłębiania zaufania do władzy publicznej oraz nie przekroczył granic swobodnej oceny dowodów. Wbrew zarzutom skarg kasacyjnych, Sąd pierwszej instancji dokonał prawidłowej oceny zaskarżonej decyzji przez pryzmat wzorców sądowej kontroli i nie stwierdzając uchybień, miał podstawy do zastosowania regulacji zawartej w art. 151 P.p.s.a. Warto zaznaczyć, że art. 145 § 1 pkt 1 lit. c P.p.s.a. to przepis wynikowy stanowiący jedynie prawną podstawę orzeczenia uchylającego zaskarżoną decyzję (albo postanowienie) z uwagi na naruszenie przepisów postępowania jeżeli mogło ono mieć istotny wpływ na wynik sprawy. Tym samym przepis ten nie może stanowić samodzielnej podstawy kasacyjnej. Podkreślić nadto należy, że skuteczność zarzutu naruszenia tego przepisu zależy od wykazania zasadności pozostałych zarzutów skargi kasacyjnej, co w niniejszej sprawie nie nastąpiło. W realiach rozpatrywanej sprawy nie było zatem podstaw do uchylenia zaskarżonej decyzji na podstawie art. 145 § 1 pkt 1 lit. c. P.p.s.a. W związku z nieskutecznością podniesionych zarzutów przez Bank i B. w oparciu o drugą podstawę kasacyjną (art. 174 pkt 2 P.p.s.a.) Naczelny Sąd Administracyjny w procesie kontroli instancyjnej przyjmuje - jako niezakwestionowany punkt odniesienia - stan faktyczny i jego ocenę przyjęte przez Sąd pierwszej instancji. Przechodząc do zarzutów naruszenia prawa materialnego wskazać należy, że sprowadzają się one w istocie do zakwestionowania stanowiska WSA w Warszawie, że brak jest podstaw prawnych wynikających z art. 6 ust. 1 RODO do przetwarzania danych osobowych wnioskodawcy przez Bank i B. w zakresie wynikającym ze spornego zapytania kredytowego. Dla rozstrzygnięcia podniesionych zarzutów naruszenia prawa materialnego konieczne jest przypomnienie, aprobując stanowisko Naczelnego Sądu Administracyjnego wyrażone w uzasadnieniu wyroku z dnia 2 grudnia 2025 r., sygn. akt III OSK 1109/25, że prawo do ochrony danych osobowych jest prawem wolnościowym jednostki gwarantowanym zarówno w krajowym, jak i unijnym porządku prawnym. Na płaszczyźnie krajowej regulacji prawo do ochrony danych osobowych znajduje oparcie w przepisie art. 51 Konstytucji RP. Przepis ten określa podstawowe uprawnienia składające się na prawo do ochrony danych osobowych, w kwestiach szczegółowych odsyłając do regulacji ustawowej. Jak wskazał Naczelny Sąd Administracyjny w uzasadnieniu ww. wyroku, w piśmiennictwie przedmiotu przyjmuje się, że prawo do ochrony danych osobowych stanowi refleks ogólnej zasady autonomii informacyjnej człowieka i swego rodzaju emanację ogólnego prawa do prywatności, gwarantowanego w art. 47 Konstytucji RP, ze względu na to, że dane osobowe są częścią życia prywatnego bądź posługiwanie się danymi dotyczącymi innej osoby wkracza w przyznaną jej kompetencję do decydowania o swoim życiu osobistym (zob. w tej materii J. Barta, P. Fajgielski, R. Markiewicz, Ochrona danych osobowych. Komentarz, Warszawa 2015, s. 260–261). Wywodząca się z prawa niemieckiego koncepcja autonomii informacyjnej jednostki jest przyjmowana również na gruncie prawa polskiego, co dostrzec można zarówno w poglądach doktrynalnych, jak też w judykaturze. W wyroku z dnia 19 lutego 2002 r. (U 3/01, OTK-A 2002/1, poz. 3) Trybunał Konstytucyjny stwierdził, że tzw. autonomia informacyjna jednostki (gwarantowana w art. 51 Konstytucji RP), oznaczająca prawo do samodzielnego decydowania o ujawnianiu innym informacji dotyczących swojej osoby, a także prawo do sprawowania kontroli nad takimi informacjami znajdującymi się w posiadaniu innych podmiotów, są elementami składowymi prawa do ochrony prawnej życia prywatnego, gwarantowanego w art. 47 Konstytucji RP (na temat autonomii informacyjnej w orzecznictwie TK szerzej zob. w tej materii P. Litwiński, Zasada autonomii informacyjnej w orzecznictwie Trybunału Konstytucyjnego a stosowanie przepisów o ochronie danych osobowych [w:] Ochrona danych osobowych w Polsce z perspektywy dziesięciolecia, red. P. Fajgielski, Lublin 2008, s. 169–184). Zakres autonomii informacyjnej jednostki stale zmniejsza się, co jest spowodowane przesuwaniem ciężaru ochrony jednostki i jej prywatności w kierunku instytucjonalnych, publicznoprawnych instytucji i środków (M. Safjan, Prawo do prywatności i ochrona danych osobowych w społeczeństwie informatycznym, PiP 2002/6, s. 5). Nie znaczy to jednak, że zmniejszanie tej autonomii następować może bez ustawowej podstawy prawnej. Z kolei w porządku prawnym UE prawo do ochrony danych osobowych jest jednym z praw podstawowych, które zostało zagwarantowane w art. 8 ust. 1 Karty Praw Podstawowych UE oraz art. 16 ust. 1 TFUE, o czym przypomina motyw 1 preambuły. W myśl wskazanych powyżej przepisów każda osoba ma prawo do ochrony danych osobowych jej dotyczących. Zgodnie z art. 8 ust. 2 Karty Praw Podstawowych UE dane osobowe powinny być przetwarzane rzetelnie w określonych celach i za zgodą osoby zainteresowanej lub na innej uzasadnionej podstawie przewidzianej ustawą; każdy ma prawo dostępu do zebranych danych, które go dotyczą i prawo do dokonania ich sprostowania, natomiast ust. 3 wskazanego tu artykułu stanowi, iż przestrzeganie tych zasad podlega kontroli niezależnego organu. Przepis art. 16 ust. 2 TFUE uprawnia Parlament Europejski i Radę UE do tego, aby stanowiąc zgodnie ze zwykłą procedurą ustawodawczą, określiły zasady dotyczące ochrony osób fizycznych w zakresie przetwarzania danych osobowych przez instytucje, organy i jednostki organizacyjne Unii oraz przez państwa członkowskie w wykonywaniu działań wchodzących w zakres zastosowania prawa Unii, a także zasady dotyczące swobodnego przepływu takich danych. W odniesieniu do unijnych instytucji i organów zasady zostały określone w rozporządzeniu Parlamentu Europejskiego i Rady 2018/1725 z dnia 23 października 2018 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych przez instytucje, organy i jednostki organizacyjne Unii i swobodnego przepływu takich danych oraz uchylenia rozporządzenia (WE) nr 45/2001 i decyzji nr 1247/2002/WE (Dz. Urz. UE L 295, s. 39 i n.), natomiast zasady ochrony danych przez państwa członkowskie regulowane są przepisami RODO. Zmniejszanie się autonomii jednostki jest znakiem naszych czasów, jednak polski ustawodawca konstytucyjny wymaga, aby ograniczanie konstytucyjnych wolności i praw następowało w sposób określony w art. 31 ust. 3 Konstytucji RP. Podkreślić należy, że dane osobowe są elementem konstytucyjnego prawa do prywatności. Zatem wskazane przepisy prawa bankowego, czy przepis art. 6 ust. 1 RODO należy postrzegać w kategoriach regulacji prawnej wprowadzającej ograniczenia w zakresie prawa do prywatności, co pociąga za sobą dwie konsekwencje. Pierwszą odnoszoną do stanowienia prawa, drugą do stosowania prawa. Gdy idzie o stanowienie prawa, ramy dalszego ograniczania prawa przez ustawodawcę zwykłego, poza przypadkami wskazanymi w przepisach art. 6 ust. 1 RODO, nakłada przepis art. 31 ust. 3 Konstytucji RP. Dopuszcza on możliwość ograniczania praw uregulowanych w Konstytucji, pod warunkiem, że ograniczenia w zakresie korzystania z konstytucyjnych wolności i praw ustanawiane są w ustawach i tylko wtedy, gdy są konieczne w demokratycznym państwie dla jego bezpieczeństwa lub porządku publicznego, bądź dla ochrony środowiska, zdrowia i moralności publicznej, albo wolności i praw innych osób. Poza wymogami formalnymi i materialnym ograniczenia te nie mogą naruszać istoty wolności i praw. Przetwarzanie danych osobowych traktować więc należy za ograniczenie konstytucyjnego prawa jednostki, a to oznacza, że jest ono w świetle przepisu art. 31 ust. 3 Konstytucji dopuszczalne wyłącznie w sytuacjach wskazanych wyraźnie przez ustawę. Należy odnotować, że w niniejszej sprawie Bank w dniu 10 lipca 2020 r. wysłał zapytanie kredytowe do B. i w wyniku czego w bazie B. zaczęły być przetwarzane dane osobowe M. S. dotyczące tego zapytania. Wniosek ten nie zakończył się zawarciem umowy. Zatem celem przetwarzania danych osobowych wnioskodawcy była ocena zdolności kredytowej i analizy ryzyka kredytowego. W związku z dokonaniem przez Bank oraz B. tej oceny powyższy cel przetwarzania danych osobowych został zrealizowany i brak jest podstaw prawnych do kontynuowania tego procesu. Zdaniem Naczelnego Sądu Administracyjnego trafne jest stanowisko Prezesa UODO, że nie wystąpiła przesłanka legalizująca proces przetwarzania danych określona w art. 6 ust. 1 lit. f RODO. I tak, zgodnie z postanowieniami art. 6 ust. 1 RODO "[p]rzetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy - i w takim zakresie, w jakim - spełniony jest co najmniej jeden z poniższych warunków - lit. f - przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem". Jak zasadnie wskazał Naczelny Sąd Administracyjny w uzasadnieniu wyroku z dnia 8 stycznia 2025 r., sygn. akt III OSK 4868/21 zastosowanie art. 6 ust. 1 lit. f RODO jest uzasadnione, gdy łącznie spełnione są następujące przesłanki: 1) po stronie administratora istnieją cele, dla osiągnięcia których przetwarzanie danych osobowych jest niezbędne; 2) cele te wynikają z "prawnie uzasadnionych interesów" realizowanych przez administratora; 3) "prawnie uzasadnione interesy" realizowane przez administratora mają charakter nadrzędny wobec interesów lub podstawowych praw i wolności osoby, której dotyczą przetwarzane dane. Wskazać należy, że poprzez cel, dla osiągnięcia którego przetwarzanie danych osobowych jest niezbędne, należy rozumieć stan rzeczy, układ rzeczywistości, do którego dąży administrator poprzez to przetwarzanie. "Niezbędność" przetwarzania danych osobowych do osiągnięcia obranego przez administratora celu sprowadza się do ustalenia, że bez tego przetwarzania nie da się go zrealizować. Chodzi więc o wykazanie logicznie uzasadnionego i weryfikowalnego związku przyczynowo-skutkowego pomiędzy przetwarzaniem danych osobowych a realizacją stanu rzeczy, do którego dąży administrator. Ustalenie "niezbędności" przetwarzania danych osobowych dla celów administratora musi opierać się na przesłankach konkretnych, uwzględniających możliwie najszersze spektrum uwarunkowań jego realizacji. Przetwarzanie danych osobowych na podstawie art. 6 ust. 1 lit. f RODO wymaga od administratora wykazania, że jest to konieczne z uwagi na charakter celu, okoliczności faktyczne i prawne jego realizacji oraz relacje podmiotowe pomiędzy administratorem a osobą, której te dane dotyczą. Zgodnie z zasadą rozliczalności (art. 5 ust. 2 RODO) administrator będzie zobowiązany wykazać, że zarówno zakres, jak i sposób przetwarzania danych osobowych jest adekwatny do obranego przez niego celu i warunków jego realizacji - zasada ograniczonego celu przetwarzania (art. 5 ust. 1 lit. b RODO) i zasada minimalizacji przetwarzanych danych (art. 5 ust. 1 lit. c RODO). Kolejnym warunkiem przetwarzania danych osobowych na podstawie art. 6 ust. 1 lit. f RODO jest ustalenie, że cel, dla osiągnięcia którego przetwarzanie to jest niezbędne "wynika z prawnie uzasadnionych interesów realizowanych przez administratora (lub przez stronę trzecią)". Desygnatami "prawnie uzasadnionych interesów administratora" nie są przy tym wyłącznie te interesy, które ściśle wiążą się z realizacją praw i obowiązków wynikających z przepisów prawa. Takie wąskie rozumienie tego pojęcia prowadziłoby bowiem do częściowego zdublowania przesłanki przetwarzania danych osobowych z art. 6 ust. 1 lit. f z przesłanką określoną w art. 6 ust. 1 lit. c RODO; art. 6 ust. 1 lit. c RODO legitymizuje bowiem przetwarzanie danych osobowych, jeżeli "jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze". Prawnie uzasadniony interes administratora należy więc rozumieć jako interes prawnie dopuszczony, niesprzeczny z porządkiem prawnym. Do prawnie uzasadnionych interesów administratora danych osobowych prawodawca unijny odwołał się w motywie 47 preambuły RODO, w którym stwierdził, że "[t]aki prawnie uzasadniony interes może istnieć na przykład w przypadkach, gdy zachodzi istotny i odpowiedni rodzaj powiązania między osobą, której dane dotyczą, a administratorem, na przykład gdy osoba, której dane dotyczą, jest klientem administratora lub działa na jego rzecz. Aby stwierdzić istnienie prawnie uzasadnionego interesu, należałoby w każdym przypadku przeprowadzić dokładną ocenę, w tym ocenę tego, czy w czasie i w kontekście, w którym zbierane są dane osobowe, osoba, której dane dotyczą, ma rozsądne przesłanki by spodziewać się, że może nastąpić przetwarzanie danych w tym celu". Treść motywu 47 preambuły RODO nie wskazuje więc konkretnie, matrycowo, jakie warunki powinny zostać spełnione, aby można było stwierdzić, że administrator przetwarza dane osobowe zgodnie ze swoimi prawnie uzasadnionymi interesami. Podano jedynie przykładowo, iż może chodzić o szczególnego rodzaju relację pomiędzy administratorem a osobą, której dane są przetwarzane. W każdym konkretnym układzie należy rozstrzygnąć, czy treść i charakter tej relacji w sposób rozsądny uzasadnia takie przetwarzanie w określonym zakresie i czasie. Wyeksponować trzeba, że w motywie 47 prawodawca unijny w ogóle nie powiązał "prawnie uzasadnionych interesów" administratora z porządkiem prawnym. Akcent położył natomiast na charakter relacji łączącej administratora z osobą, której dane są przetwarzane, jej kontekstowość oraz wynikającą z jej indywidualnych uwarunkowań racjonalnie uzasadnioną potrzebę tego przetwarzania. Motyw 47 preambuły RODO w kontekście rekonstrukcji zakresu stosowania art. 6 ust. 1 lit. f RODO przesądza, że dopuszczalność przetwarzania danych osobowych na tej podstawie powinna być oceniana kauzalnie, z uwzględnieniem, że zasadnicze znaczenie w tym przedmiocie, powinny mieć uwarunkowania konkretnej relacji pomiędzy administratorem, a osobą której dotyczą przetwarzane dane. Porządek prawny - w tej przestrzeni formułowania ocen - należy traktować jako granicę dopuszczalności prawnie uzasadnionego interesu administratora, na którym opiera przetwarzanie danych osobowych. Porządek prawny może więc być przeszkodą do przetwarzania danych osobowych na podstawie art. 6 ust. 1 lit. f RODO, jeżeli interesu administratora nie da się z nim pogodzić - interes administratora będzie sprzeczny z porządkiem prawnym, a więc nie będzie prawnie uzasadniony. Porządek prawny nie stanowi ścisłej podstawy uzasadnionego interesu administratora do przetwarzania danych osobowych na podstawie art. 6 ust. 1 lit. f RODO, wyznacza natomiast granicę tego przetwarzania (zob. w tej materii wyrok Naczelnego Sądu Administracyjnego z dnia 8 stycznia 2025 r.; sygn. akt III OSK 4868/21). Odwołując się do regulacji ujętych w ustawie Prawo bankowe, należy podnieść, że przedmiot regulacji – przetwarzanie objętych tajemnicą bankową danych osób fizycznych – sytuował art. 105a jako przepis szczególny w stosunku do przepisów o ochronie danych osobowych, a od momentu wejścia w życie RODO – jako przepis wobec niego szczególny, z istotnymi jednak zastrzeżeniami wynikającymi z charakteru prawnego RODO. Mianowicie ogólny zasięg i bezpośrednia stosowalność RODO wyłącza jego transpozycję do prawa krajowego z wyjątkiem zakresu, który wynika wprost z samego rozporządzenia. Ponadto z mocy art. 4 ust. 3 Traktatu o Unii Europejskiej wszelkie przepisy krajowe wyłączające bądź osłabiające moc uprawnień nadanych jednostkom w rozporządzeniu – także w relacjach horyzontalnych, tj. pomiędzy jednostkami – muszą być pomijane przez organy krajowe w procesie stosowania prawa. Zatem norma zawarta w art. 105a Prawa bankowego ma charakter semiimperatywny wobec norm RODO. Jeżeli zakresy normowania i obowiązywania RODO i art. 105a Prawa bankowego pokrywają się, art. 105a znajduje zastosowanie tylko wtedy, gdy jest korzystniejszy dla osoby fizycznej, niż RODO. Ponadto art. 105a Prawa bankowego znajduje zastosowanie także w kwestiach nieuregulowanych w RODO; jednak w takim wypadku warunkiem zastosowania art. 105a Prawa bankowego jest zachowanie spójności aksjologicznej i prakseologicznej z RODO (zob. w tej materii: Lechosław Kociucki [w:] J. M. Kondek, K. Królikowska, B. Bajor, Prawo bankowe. Komentarz do przepisów cywilnoprawnych, Warszawa 2020; komentarz do art. 105(a); System Informacji Prawnej LEX/el). Z kolei zgodnie z art. 105a ust. 1 Prawa bankowego przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów oraz instytucje utworzone na podstawie art. 105 ust. 4, informacji stanowiących tajemnicę bankową w zakresie dotyczącym osób fizycznych może być wykonywane (...) w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Stosownie zaś do art. 105a ust. 2 Prawa bankowego, z zastrzeżeniem ust. 3, instytucje, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową oraz informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, w zakresie dotyczącym osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, pod warunkiem uzyskania pisemnej zgody osoby, której informacje te dotyczą, z zastrzeżeniem ust. 2a. Zgoda ta może być w każdym czasie odwołana. Natomiast art. 105a ust. 3 Prawa bankowego stanowi, że banki, instytucje oraz podmioty, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową i informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank, inną instytucję ustawowo upoważnioną do udzielania kredytów, instytucję pożyczkową albo podmiot, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, o zamiarze przetwarzania dotyczących jej tych informacji, bez jej zgody. Według art. 105a ust. 4 Prawa bankowego, banki oraz instytucje, o których mowa w art. 105 ust. 4, mogą przetwarzać stanowiące tajemnicę bankową informacje dotyczące osoby fizycznej po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której informacje dotyczą, do celów stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013. Natomiast ust. 5 art. 105a Prawa bankowego przewiduje, że przetwarzanie informacji stanowiących tajemnicę bankową w przypadkach, o których mowa w ust. 3, może być wykonywane przez okres nie dłuższy niż 5 lat od dnia wygaśnięcia zobowiązania, a w przypadku, o którym mowa w ust. 4, przez okres 12 lat od dnia wygaśnięcia zobowiązania. Zakres przetwarzanych informacji, o których mowa w ust. 3 i 4, może obejmować dane dotyczące osoby fizycznej lub dane dotyczące zobowiązania (art. 105a ust. 6). Z cytowanych przepisów wynika, że przesłanki zawarte w art. 105a Prawa bankowego dotyczą przetwarzania informacji objętych tajemnicą bankową w okresie przed powstaniem zobowiązania, w trakcie jego trwania oraz po wygaśnięciu zobowiązania. Zdaniem Naczelnego Sądu Administracyjnego skoro wszelkie regulacje znoszące ochronę danych osobowych muszą być odczytywane i wykładane ściśle, z uwzględnieniem funkcji jakiej mają służyć, to w sytuacji, gdy w następstwie złożenia wniosku kredytowego nie dochodzi do zawarcia umowy kredytowej z Bankiem brak jest ustawowych przesłanek legalizujących dalsze przetwarzanie danych osobowych wnioskującego o zawarcie i wykonanie umowy produktowej w zakresie zapytania kredytowego przez Bank, a następczo B. Brak jest również uzasadnienia dla przyjęcia, że Bank jest uprawniony do przetwarzania danych osobowych w związku z koniecznością ewentualnego wypełnienia obowiązku wynikającego z art. 70a ust. 1 i ust. 2 Prawa bankowego. Wnioskodawca w niniejszej sprawie wykazał w sposób jednoznaczny wolę usunięcia danych, a zatem przyjąć należy, że nie jest zainteresowany realizacją prawa do wyjaśnienia dotyczącego dokonanej oceny zdolności kredytowej w myśl art. 70a ust. 1 i 2 Prawa bankowego. Prawidłowe w realiach niniejszej sprawy - według Naczelnego Sądu Administracyjnego - jest zatem stanowisko Prezesa UODO, że samo pozyskanie danych osobowych wnioskodawcy przez Bank, a następnie udostępnienie ich do B. w zakresie zapytania kredytowego spełnia warunki legalnego przetwarzania danych osobowych, tak już przetwarzanie tych danych osobowych w B. po dokonaniu jego weryfikacji zdolności kredytowej nie ma podstaw prawnych, w tym narusza zasadę wynikającą z art. 5 ust.1 lit. e RODO, tj. zasadę ograniczonego przechowywania. W ocenie Naczelnego Sądu Administracyjnego jeśli nie doszło do zawarcia umowy kredytowej to nie może być wątpliwości, że ocena zdolności kredytowej i analiza ryzyka kredytowego zostały dokonane (zrealizowane). Cel przetwarzania danych, dla którego zostały one zgromadzone w zapytaniach kredytowych, został tym samym osiągnięty. Odpadła przesłanka legalizująca dalsze przetwarzanie danych osobowych wnioskodawcy przez Bank oraz B., które to przetwarzanie miało na celu ocenę zdolności kredytowej i analizę ryzyka kredytowego (przed zawarciem umowy). Pomiędzy Bankiem a wnioskodawcą nie nawiązał się bowiem żaden stosunek zobowiązaniowy, który stosownie do art. 105a ust. 1-5 Prawa bankowego dawałby podstawę do dalszego przetwarzania jego danych osobowych zarówno przez Bank, jak i B. Nie budzi wątpliwości, że ocena zdolności kredytowej i ryzyka kredytowego ma charakter czynności wstępnych przed zawarciem umowy przez Bank. Dalsze przetwarzanie danych, uzyskanych pierwotnie wyłącznie w celu oceny zdolności kredytowej i analizy ryzyka kredytowego, w przypadku braku zawarcia stosownej umowy, pozostaje w oderwaniu od celu, dla którego dane zostały zebrane. Podkreślenia wymaga, że w sprawie niewątpliwie nie mamy do czynienia z sytuacją, w której nawiązano stosunek zobowiązaniowy i następnie dane przetwarzane są (w tym także udostępniane) przez administratora nie tylko w celu zasadniczym, tj. realizacji zawartej z klientem umowy, ale także w innych celach, które powstały w trakcie trwania stosunku zobowiązaniowego i które w ocenie administratora winny być, czy mogą być – w związku z trwającym stosunkiem prawnym - kwalifikowane jako jego "prawnie uzasadnione interesy" na gruncie RODO (art. 6 ust. 1 lit. f RODO). Sprawa przedmiotowa dotyczy przetwarzania danych osoby fizycznej, z którą Bank - w danym momencie - nie zawarł umowy. W ocenie Naczelnego Sądu Administracyjnego w rozpoznawanej sprawie brak jest również podstaw do przyjęcia, że przesłanka z art. 6 ust. 1 lit. f RODO mogłaby stanowić podstawę do "dalszego" przetwarzania danych wnioskodawcy na wypadek ewentualnego dochodzenia roszczeń. W tym zakresie należy podkreślić, że przetwarzanie danych w celu dochodzenia roszczeń oraz obrony przed roszczeniami nie jest tożsame z przetwarzaniem na wypadek przyszłej i niepewnej ewentualnej konieczności dochodzenia roszczeń lub obrony przed nimi. Przesłanka z art. 6 ust. 1 lit. f RODO dotyczy bowiem sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia, potrzeba dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem. Zdaniem Naczelnego Sądu Administracyjnego przyjęcie odmiennej interpretacji oznaczałoby, że wnioskodawca zostałby pozbawiony ochrony na gruncie RODO oraz ustawy o ochronie danych osobowych. Należy również wskazać, że Prezes UODO wydając decyzję zobowiązany jest do rozstrzygania sprawy w oparciu o stan faktyczny istniejący w chwili wydania tej decyzji. Z ustaleń faktycznych sprawy wynika, że wobec Banku lub B. z żadnym roszczeniem nie wystąpiono. Wnioskodawca żądając usunięcia jego danych osobowych w zakresie zapytania kredytowego jednoznacznie zrezygnował z chęci podejmowania jakichkolwiek dalszych kroków na drodze prawnej w związku z tym zapytaniem. Ponadto Bank i B. nie wskazali jakichkolwiek roszczeń, z którymi nawet potencjalnie mieliby wystąpić przeciwko wnioskodawcy. Nie sposób więc uznać, że taki poziom abstrakcyjności sytuacji pozwala na przetwarzanie danych wnioskodawcy na podstawie art. 6 ust. 1 lit. f RODO. Zdaniem Naczelnego Sądu Administracyjnego brak jest także uzasadnienia dla przyjęcia, iż terminy dotyczące przedawnienia roszczeń wynikających ze stosunków zobowiązaniowych określają równocześnie ramy czasowe, w których dane osobowe mogą być przetwarzane przez bank na wypadek zaistnienia takich roszczeń w przyszłości. Podkreślenia wymaga, że zobowiązanie na skutek przedawnienia przekształca się w naturalne. Jak wskazał Sąd Najwyższy w postanowieniu z dnia 18 czerwca 2015 r., sygn. akt III CZ 27/15 "roszczenie to możliwość domagania się od konkretnej osoby, aby w stosunku do uprawnionego zachowała się w ten sposób, że spełni na jej rzecz świadczenie pieniężne lub niepieniężne, wykona pewną czynność, powstrzyma się od jakiegoś działania lub zniesie działanie uprawnionego. Powstaje ono w następstwie zaistnienia w relacjach między uprawnionym i zobowiązanym faktów, z którymi przepisy prawa wiążą konsekwencje determinujące treść poszczególnych roszczeń". Oznacza to, że zobowiązanie nadal istnieje a wierzyciel może podejmować szereg innych czynności windykacyjnych zmierzających do pozasądowej regulacji zobowiązania. Nie można natomiast utożsamiać ze sobą przetwarzania danych w celu dochodzenia roszczeń oraz obrony przed istniejącymi roszczeniami z przetwarzaniem na wypadek ewentualnego zaistnienia takich roszczeń w przyszłości. Okolicznością usprawiedliwiającą przetwarzanie danych osobowych w celu dochodzenia roszczeń jest sam fakt istnienia roszczenia oraz zamiar jego dochodzenia, nie jest nią natomiast zmiana w uprawnieniach procesowych podmiotu pozwanego. Zgodnie z powyższym znaczenie przy ocenie zasadności przetwarzania na mocy art. 6 ust. 1 lit. f RODO ma właśnie "ewentualność" dochodzenia roszczenia lub obrony przed nimi, co zostało już w orzecznictwie sądów administracyjnych zauważone (zob. w tej materii wyroki Naczelnego Sądu Administracyjnego: z dnia 27 marca 2018 r.; sygn. akt I OSK 1459/16 oraz z dnia 10 lipca 2025 r.; sygn. akt III OSK 1594/22). Należy nadto zauważyć, że na tle regulacji art. 23 ust. 1 pkt 5 uprzednio obowiązującej ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. z 2016 r. poz. 922 ze zm.), w której zapisana jest analogiczna przesłanka legalności przetwarzania danych osobowych co w art. 6 ust. 1 lit. f RODO, sądy administracyjne nie miały wątpliwości, że niedopuszczalne jest więc przetwarzanie danych osobowych niejako "na zapas" z założeniem, że mogą być one ewentualnie przydatne w przyszłości oraz z odwołaniem się przy tym do przepisów dotyczących przedawnienia roszczeń cywilnoprawnych (zob. w tej materii wyrok Naczelnego Sądu Administracyjnego z dnia 6 marca 2019 r.; sygn. akt I OSK 994/17). Niewątpliwie stanowisko to trzeba uznać za aktualne. Według Naczelnego Sądu Administracyjnego słuszne są wnioski Prezesa UODO, że podstawy do dalszego przetwarzania danych osobowych wnioskodawcy na przyszłość i w innych wskazywanych obecnie przez Bank i B. celach nie stanowi w okolicznościach faktycznych niniejszej sprawy dla Banku, jak też B. żadna z przesłanek z art. 6 ust. 1 lit. a - f RODO. W szczególności nie stanowi takiej przesłanki art. 6 ust. 1 lit. c RODO. Przepis ten dotyczy bowiem sytuacji, gdy przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego administratora danych, a nie realizacji uprawnienia, o którym mowa w art. 105 ust. 4 Prawa bankowego. Podkreślenia wymaga, że art. 105 ust. 4 Prawa bankowego jest przepisem o charakterze ogólnym, który stanowi o możliwości utworzenia wspólnie z bankowymi izbami gospodarczymi, instytucji upoważnionych do gromadzenia, przetwarzania i udostępniania danych. Przepis ten nie daje podstaw do nieograniczonego przetwarzania wszelkich danych osobowych przez utworzone instytucje. Ponadto przepis art. 105 ust. 4 Prawa bankowego nie stanowi o dopuszczalności przetwarzania danych osobowych dotyczących wniosków kredytowych w sytuacji, gdy nie doszło do zawarcia umowy z Bankiem. Zasady przetwarzania danych objętych tajemnicą bankową określa art. 105a Prawa bankowego. Na gruncie tego przepisu należy oceniać zatem dopuszczalność przetwarzania poszczególnych danych osobowych w określonych ściśle celach. Nadto przepis art. 105 ust. 4 ww. ustawy nie jest przepisem samodzielnie wprowadzającym kolejny podmiot, który ma dostęp do danych stanowiących tajemnicę bankową. W nawiązaniu do powyższych zapatrywań i stanowisk stron skarżących kasacyjnie wskazać również należy na okoliczności, w jakich doszło do nowelizacji art. 105 ustawy – Prawo bankowe dokonanej mocą ustawy z dnia 1 kwietnia 2004 r. o zmianie ustawy – Prawo bankowe oraz o zmianie innych ustaw (Dz. U. z 2004 r., Nr 91, poz. 870). Fundamentalne znaczenie ma tutaj druk nr 2513-A Sejmu Rzeczypospolitej Polskiej IV kadencji (2001 – 2005), będący dodatkowym sprawozdaniem Komisji Europejskiej o rządowym projekcie ustawy o zmianie ustawy - Prawo bankowe oraz o zmianie innych ustaw (druki nr 2116 i 2513). Druk ten zawiera poprawkę nr 17 przewidującą w art. 105 po ust. 4d dodanie ust. 4e oraz 4f. Proponowany przepis ust. 4e miał mieć następujące brzmienie "Instytucje, o których mowa w ust. 4 mogą przetwarzać dane osobowe klientów banków przez okres 5 lat od dnia wygaśnięcia zobowiązania". Z kolei proponowany ust. 4f miał otrzymać brzmienie "Instytucje o których mowa w ust. 4 mogą przetwarzać dane o zapytaniach banków o osoby, których wnioski o udzielenie kredytu zostały rozpatrzone negatywnie, przez okres jednego roku od dnia otrzymania zapytania". Komisja po rozpatrzeniu tej poprawki zaproponowała jej odrzucenie. Jednocześnie należy wskazać, że w piśmie Urzędu Komitetu Integracji Europejskiej nr Min. [...] z dnia 4 marca 2004 r. dotyczącym druku nr [...], skierowanym bezpośrednio do Przewodniczącego Komisji Europejskiej Sejmu wyrażono jednoznaczną opinię, że poprawka nr 17 jest niezgodna z art. 7 (f) Dyrektywy 1995/46/WE, ponieważ nie wypełnia warunków dotyczących przetwarzania danych osobowych w niej zawartych (warunek celowości przetwarzania danych). Sejm RP w dniu 4 marca 2004 r. przyjął w całości projekt w wersji zaproponowanej przez Komisję Europejską Sejmu RP (por. materiały sejmowe z 69 posiedzenia Sejmu RP w dniach 2, 3, 4 i 5 marca 2004 r; dostępność: www.sejm.gov.pl). W ocenie Naczelnego Sądu Administracyjnego gdyby podzielić stanowisko zaprezentowane w skargach kasacyjnych, że pozyskanie danych na etapie złożenia wniosku kredytowego uprawnia bank do ich nieograniczonego w czasie przechowywania po odmowie zawarcia umowy kredytowej, to regulacje zawarte w art. 105a Prawa bankowego ograniczające w czasie przypadki przetwarzania danych klientów z umów kredytowych pozbawione byłyby sensu. Powyższe stanowisko wpisuje się w zapatrywanie Naczelnego Sądu Administracyjnego wyrażone w wyroku z dnia 27 sierpnia 2019 r.; sygn. akt I OSK 2567/17, w którym stwierdzono, że cel oceny zdolności kredytowej stanowi ocena zdolności do spłaty zaciągniętego kredytu wraz z odsetkami, co ma charakter czynności wstępnej do zawarcia stosownej umowy. Celem oceny zdolności kredytowej i analizy ryzyka kredytowego w odniesieniu do konkretnego klienta jest bowiem zawarcie umowy kredytowej na określonych warunkach. Skoro do niej nie dochodzi wskutek tej czynności banku to nie ma podstaw prawnych do dalszego ich przechowywani. Dalsze przetwarzanie danych uzyskanych w celu oceny zdolności kredytowej, w przypadku nie zawarcia stosownej umowy pozostawałaby w oderwaniu od celu dla którego dane te uzyskano. (...) niedopuszczalne jest przetwarzanie danych osobowych na przyszłość, a także na potrzeby budowy oceny zdolności kredytowej innych podmiotów, jeżeli nie można zrekonstruować wyraźnej podstawy prawnej takich działań. Jakkolwiek pogląd ten wyrażony został na gruncie poprzednio obowiązującej ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych i obowiązującej przed RODO dyrektywy nr 95/46/WE, jednakże w ocenie Naczelnego Sądu Administracyjnego nie stracił na aktualności. Przepisy RODO wzmacniają bowiem w porównaniu z dyrektywą 95/46/WE ochronę danych osobowych osób fizycznych. W ocenie Naczelnego Sądu Administracyjnego na gruncie RODO niedopuszczalne jest – w stanie faktycznym niniejszej sprawy, gdy nie zawarto umowy kredytowej – przetwarzanie danych osobowych wnioskodawcy "na przyszłość" w zupełnie innych celach niż je zebrano, w tym na potrzeby oceny zdolności kredytowej innych osób, w sytuacji, gdy nie można zrekonstruować wyraźnej podstawy prawnej takich działań. Wskazać również należy, że w przedmiotowej sprawie nie można uznać, aby B. realizował zadania w interesie publicznym, a w konsekwencji był uprawniony do przetwarzania danych osobowych w oparciu o przesłankę ujętą w art. 6 ust. 1 lit. e RODO. W tej kwestii zasadnie Sąd pierwszej instancji podniósł, że B. nie przedstawił żadnej argumentacji, która pozwalałaby na uznanie, że powierzono zadania, które realizuje w interesie publicznym lub w ramach sprawowania władzy publicznej. Powyższe nie wynikało z powoływanych przez B. przepisów prawa. B. wywodził istnienie przesłanki z art. 6 ust. 1 lit e RODO wyłącznie ze swojego przekonania o doniosłości realizowanych zadań, co należy uznać za niedopuszczalne z uwagi na treść art. 6 ust. 3 RODO. Należy także zwrócić uwagę, że z motywu 50 preambuły RODO wynika, że przetwarzanie danych osobowych do celów innych niż cele, w których dane te zostały pierwotnie zebrane, jest dozwolone wyłącznie w przypadkach, gdy jest zgodne z celami, w których dane osobowe zostały pierwotnie zebrane. Ustalenie, czy pomiędzy pierwotnym celem przetwarzania a wtórnym celem przetwarzania zachodzi zgodność, wymaga uwzględnienia między innymi: wszelkich powiązań pomiędzy tymi celami; kontekstu, w którym dane osobowe zostały zebrane, w szczególności rozsądne przesłanki pozwalające osobom, których dane dotyczą, oczekiwać dalszego wykorzystania danych oparte na rodzaju ich powiązania z administratorem; charakter danych osobowych; konsekwencje zamierzonego dalszego przetwarzania dla osób, których dane dotyczą; oraz istnienie odpowiednich zabezpieczeń zarówno podczas pierwotnej, jak i zamierzonej operacji dalszego przetwarzania. Powołany motyw 50 preambuły RODO został rozwinięty w art. 6 ust. 4 RODO, w którym zastrzeżono, że przetwarzanie danych osobowych w celach innych niż ten, w którym dane osobowe zostały zebrane, jest dopuszczalne przy uwzględnieniu: a) wszelkich związków między celami, w których zebrano dane osobowe, a celami zamierzonego dalszego przetwarzania; b) kontekstu, w którym zebrano dane osobowe, w szczególności relację między osobami, których dane dotyczą, a administratorem; c) charakteru danych osobowych, w szczególności czy przetwarzane są szczególne kategorie danych osobowych zgodnie z art. 9 lub dane osobowe dotyczące wyroków skazujących i czynów zabronionych zgodnie z art. 10; d) ewentualnych konsekwencji zamierzonego dalszego przetwarzania dla osób, których dane dotyczą; e) istnienia odpowiednich zabezpieczeń, w tym ewentualnie szyfrowania lub pseudonimizacji. Uwzględnienie powołanych regulacji RODO potwierdza wnioski Sądu pierwszej instancji, że w sytuacji gdy w następstwie złożenia wniosku kredytowego nie dochodzi do zawarcia umowy kredytowej z bankiem, brak jest przesłanek ustawowych legalizujących dalsze przetwarzanie danych osobowych niedoszłego klienta. Nawiązując do argumentacji podniesionej w skargach kasacyjnych Naczelny Sąd Administracyjny podkreśla, że przedmiotem oceny organu a następnie Sądu pierwszej instancji była zgodność z prawem przetwarzania danych osobowych w świetle uprawnień przyznanych skarżącym kasacyjnie przez ustawę - Prawo bankowe, a nie sposobu funkcjonowania mechanizmów kredytowych i ustalenia, jakie dane są potrzebne Bankowi i B. dla zapewnienia prawidłowego działania tych mechanizmów. Zatem odwoływanie się do konieczności przetwarzania danych osobowych wnioskodawcy w zakresie pytań kredytowych po dokonaniu weryfikacji zdolności kredytowej dla potrzeb tworzenia modeli scoringowych jest nieuprawnione. Scoring kredytowy to metoda oceny wiarygodności podmiotu – zwykle osoby fizycznej lub przedsiębiorstwa – ubiegającego się o kredyt bankowy. Polega na określeniu wiarygodności kredytowej klienta na podstawie porównania jego profilu z profilem klientów, którzy już otrzymali kredyty i je spłacają. W niniejszej sprawie wnioskodawca po złożeniu zapytania kredytowego nie zawarł umowy kredytowej z Bankiem, a tym samym nie spłacał zaciągniętego kredytu, zatem jego dane zawarte w zapytaniu kredytowym (określające profil klienta) są nieprzydatne do tworzenia modeli scoringowych. Ponadto przedmiotem niniejszej sprawy i kompetencji Prezesa UODO nie jest ustalenie możliwego sposobu realizacji przez Bank i B. obowiązków nakładanych na te podmioty przez instytucje nadzorcze w zakresie prowadzonej działalności. Naczelny Sąd Administracyjny nie neguje, że ocena ryzyka kredytowego jest obowiązkiem Banku. Instrumenty służące dokonaniu takiej oceny przez banki muszą jednak być stosowane z poszanowaniem przepisów prawa normujących uprawnienie banków do przetwarzania danych osobowych potencjalnych klientów przy uwzględnieniu generalnych zasad przetwarzania danych osobowych (art. 5 ust. 1 i ust. 2 RODO). Z kolei uprawnienia do monitorowania stosunków gospodarczych klienta i stosowania odpowiednich środków bezpieczeństwa finansowego nie mają odniesienia do rozpoznawanej sprawy, gdy nie zawarto umowy kredytowej i nie można mówić o transakcji. Odnosząc się z kolei do zarzutów w zakresie naruszenia art. 6 ust. 1 lit. f RODO w zw. z Rekomendacjami S, W i T Komisji Nadzoru Finansowego wyjaśnić należy, że źródłami powszechnie obowiązującego prawa w Rzeczypospolitej Polskiej są: Konstytucja, ustawy, ratyfikowane umowy międzynarodowe oraz rozporządzenia (art. 87 ust. 1 Konstytucji RP z dnia 2 kwietnia 1997 r.; Dz. U. Nr 78, poz. 483 ze zm.). Nie ulega zatem wątpliwości, że rekomendacje KNF nie są aktami prawa powszechnie obowiązującego. Nie mieszczą się bowiem w zamkniętym katalogu źródeł powszechnie obowiązującego prawa Rzeczypospolitej Polskiej, określonym w art. 87 Konstytucji RP. Ponadto wydaje je organ, który nie ma stosownego umocowania konstytucyjnego. W związku z powyższym stwierdzić należy, że skoro wnioskodawca zażądał respektowania jego prawa do ochrony danych osobowych wynikających z RODO i Konstytucji RP, a administrator danych nie wykazał innej podstawy legalizującej czynności przetwarzania, to Prezes UODO miał podstawę nakazać Bankowi zaprzestania przetwarzania danych osobowych wnioskodawcy w zakresie zapytania kredytowego w systemie B. W ocenie Naczelnego Sądu Administracyjnego w realiach niniejszej sprawy bezpieczeństwo depozytów oraz "wiedza sektora bankowego" nie może być wartością nadrzędną wobec prawa osoby fizycznej do ochrony danych osobowych. W nawiązaniu do twierdzeń odnośnie konieczności zapewniania bezpieczeństwa depozytów i całego sektora za racjonalny uznać należy argument, że w określonych realiach nie można wykluczyć sytuacji związanej z próbą wyłudzenia kredytu przez daną osobę. Niemniej przetwarzanie danych osobowych w celu uchylenia się od negatywnych skutków w przypadku zgłoszenia w przyszłości ewentualnego i nieokreślonego roszczenia nie stanowi prawnie usprawiedliwionego celu w rozumieniu art. 6 ust. 1 lit. f RODO. Przyjęcie przeciwnego zapatrywania oznaczałoby, że dane osobowe osoby fizycznej mogłyby być przetwarzane permanentnie, bez konieczności ich usunięcia. Według Naczelnego Sądu Administracyjnego przyjęcie interpretacji zaprezentowanej w skargach kasacyjnych prowadziłoby nadto do tego, że wobec osoby, której dane zawarto w zapytaniu kredytowym i z którą nie zawarto umowy kredytowej, istniałaby dowolność, tak co do zasad przetwarzania jej danych osobowych (bez jej zgody, jak można wnioskować ze stanowiska B. zawartego w skardze), jak również co do przedstawienia innych celów przetwarzania, których nie ujawniono wprost przed pozyskaniem danych (innych niż ocena zdolności kredytowej i ryzyka kredytowego) oraz co do dowolnego ustalenia czasu przetwarzania danych z uwzględnieniem przyjmowanych celów, które służą określonym wymogom organu nadzoru nad rynkiem finansowym. W konsekwencji, sytuacja osoby, która zwróciła się z zapytaniami kredytowymi i z którą nie zawarto umów kredytowych, jest z punktu widzenia ochrony danych osobowych, biorąc pod uwagę przepisy Prawa bankowego, sytuacją "gorszą" niż sytuacja osoby, która zawarła umowę kredytową i jej zobowiązanie wygasło. W tym drugim bowiem przypadku dla dalszego przetwarzania danych w B. po wygaśnięciu zobowiązania wynikającego z danej umowy niezbędna jest zgoda osoby, której dane dotyczą. Zgodę taką można nadto w każdym czasie odwołać. Przesłanka z art. 6 ust. 1 lit. f RODO dotyczy zaś sytuacji istniejącej, a nie sytuacji przyszłej, hipotetycznej. Nadto gdyby przyjąć zapatrywania Banku i B. to prawo do bycia zapomnianym stanowiłoby fikcję (art. 17 RODO). Można przecież założyć sytuację, że sytuacja finansowa osoby fizycznej poprawi się i osoba ta już nigdy nie będzie występować do Banku o kredyt, albo uczyni to dopiero po kilku latach od wcześniejszego wnioskowania. Konkludując, przytoczona argumentacja w żaden sposób nie podważa prawidłowości oceny dokonanej przez Sąd pierwszej instancji, który w sposób dostateczny wyjaśnił, z jakich powodów rozstrzygnięcie organu jest zgodne z prawem. W ocenie Naczelnego Sądu Administracyjnego argumentacja zaprezentowana w uzasadnieniach skarg kasacyjnych stanowi w istocie przejaw polemiki z prawidłowymi ustaleniami faktycznymi i oceną prawną poczynionymi przez Prezesa UODO, które prawidłowo zostały zaaprobowane przez Sąd pierwszej instancji. Finalnie wskazać należy, nawiązując do zawartego w skardze kasacyjnej Banku wniosku o przeprowadzenie dowodów, że zgodnie z przepisami P.p.s.a. Naczelny Sąd Administracyjny nie prowadzi postępowania dowodowego, co wynika z faktu związania tego sądu granicami skargi kasacyjnej. W postępowaniu wywołanym skargą kasacyjną Naczelny Sąd Administracyjny ocenia wyłącznie prawidłowość działania sądu administracyjnego pierwszej instancji w granicach podstaw kasacyjnych. Wprawdzie przepis art. 106 § 3 P.p.s.a. przewiduje możliwość uzupełnienia w postępowaniu sądowoadministracyjnym materiału dowodowego przez dopuszczenie dowodu z dokumentów, lecz ta instytucja może nastąpić wyłącznie w trybie art. 106 § 3 P.p.s.a. w zw. z art. 193 P.p.s.a., a zatem dotyczy dowodów uzupełniających z dokumentów i wyznacza ścisłe granice wykorzystania w postępowaniu sądowoadministracyjnym nowych dowodów. Z regulacji tej wynika, że nie każdy dowód może być dopuszczony w tym postępowaniu, lecz jedynie dowód z konkretnie oznaczonych dokumentów, przy czym ma to być dowód uzupełniający, a więc taki, który nie był przedstawiony i oceniony w postępowaniu administracyjnym zakończonym zaskarżoną decyzją. Z przepisu tego wynika także, że dopuszczenie dowodu z dokumentu jest uprawnieniem, a nie obowiązkiem sądu. W orzecznictwie prezentowano również stanowisko, że przepis ten ma zastosowanie przed sądem pierwszej instancji (zob. w tej materii wyrok Naczelnego Sądu Administracyjnego z dnia 6 lipca 2016 r.; sygn. akt II OSK 847/16 oraz z dnia 6 lutego 2019 r.; sygn. akt II GSK 5434/16). Podkreślenia wymaga, że w postępowaniu sądowoadministracyjnym sąd nie ustala stanu faktycznego sprawy, nie prowadzi postępowania dowodowego, a jedynie kontroluje ustalenia faktyczne dokonane przez właściwe organy. Należy przypomnieć, że zgodnie z art. 1 § 1 i § 2 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (tekst jedn. Dz. U. z 2024 r., poz. 1267) sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej, sprawowaną zasadniczo pod względem zgodności z prawem. Są więc sądami prawa, a nie faktu, co sprawia, że orzekają na podstawie akt sprawy (art. 133 § 1 P.p.s.a.) i nie prowadzą postępowania dowodowego oraz nie ustalają stanu faktycznego, a jedynie kontrolują proceduralną prawidłowość ustalenia przez organy administracji publicznej faktycznej podstawy podejmowanych przez nie rozstrzygnięć. Dlatego też chybione jest oczekiwanie, że sąd administracyjny, a już zwłaszcza sąd administracyjny drugiej instancji, będzie czynił ustalenia faktyczne i od rezultatu tych czynności uzależniał podejmowane rozstrzygnięcie sądowoadministracyjne (zob. w tej materii wyroki Naczelnego Sądu Administracyjnego: z dnia 27 kwietnia 2021 r.; sygn. akt III FSK 2330/21 oraz z dnia 9 września 2025 r.; sygn. akt III OSK 1395/22). Uwzględniając powyższe uznać należy, że zawarty w skardze kasacyjnej Banku wniosek o przeprowadzenie dowodów nie zasługiwał na uwzględnienie. Jak wskazano na wstępie, przytoczone w środku odwoławczym przyczyny wadliwości prawnej zaskarżonego wyroku determinują zakres kontroli dokonywanej przez sąd drugiej instancji, który w odróżnieniu od sądu pierwszej instancji nie bada całokształtu sprawy, lecz tylko weryfikuje zasadność zarzutów podniesionych we wniesionym środku odwoławczym. W realiach rozpatrywanej sprawy Naczelny Sąd Administracyjny uznał, że skargi kasacyjne nie zawierają usprawiedliwionych podstaw, w związku z czym, na podstawie art. 184 P.p.s.a., orzekł jak w punkcie pierwszym sentencji wyroku, o ich oddaleniu. O zasądzeniu zwrotu kosztów postepowania kasacyjnego od skarżących kasacyjnie na rzecz organu orzeczono jak w punkcie drugim i trzecim sentencji wyroku na podstawie art. 209 w zw. z art. 204 pkt 1 i art. 205 § 2 P.p.s.a.