II SA/Wa 1513/23

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Izabela Głowacka-Klimas, Sędzia WSA Tomasz Szmydt (spr.), Sędzia WSA Andrzej Wieczorek, Protokolant referent Edyta Brzezicka, po rozpoznaniu na rozprawie w dniu 15 kwietnia 2024 r. sprawy ze skarg [...] Bank S.A. z siedzibą w [...] oraz B. S. A. z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] czerwca 2023 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargi Prezes Urzędu Ochrony Danych Osobowych (dalej: PUODO) decyzją nr [...] z [...] czerwca 2023 r., działając na podstawie art. 104 § 1 ustawy z 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (Dz.U. z 2023 r., poz. 775, dalej: k.p.a.) w zw. z art. 7 ust. 1 i 2 ustawy z 10 maja 2018 r. o ochronie danych osobowych (Dz.U. z 2019 r., poz. 1781, dalej: u.o.d.o.), art. 6 ust. 1 oraz art. 58 ust. 2 lit. c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzanie danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 127 z 23 maja 2018 r., str. 2, oraz Dz. Urz. UE L 74 z 4 marca 2021 r., str. 35; dalej: RODO): 1) nakazał [...] z siedzibą w W. (dalej: Bank) usunięcie danych osobowych T.M. (dalej: Uczestnik), zam. w D. przy ul. S. w zakresie wynikającym z zapytania kredytowego z [...] marca 2022 r. niezakończonego zawarciem umowy kredytowej; 2) nakazał B. S.A. z siedzibą w W. (dalej: B[...[) przy ul. M. usunięcie danych osobowych Uczestnika w zakresie wynikającym z zapytania kredytowego z [...] marca 2022 r. niezakończonego zawarciem umowy kredytowej, przekazanych przez Bank. Wydaniu powyższej decyzji towarzyszył następujący stan sprawy. Uczestnik pismem z [...] października 2022 r. (uzupełnionym pismem z [...] listopada 2022 r.) złożył skargę na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Bank polegające na przetwarzaniu danych osobowych zawartych w zapytaniu kredytowym z [...] marca 2022 r., które nie zakończyło się zawarciem umowy kredytowej, w B[...], bez podstawy prawnej. Uczestnik wskazał, że [...] marca 2022 r. złożył w Banku wniosek o udzielenie kredytu. Wyjaśnił, że decyzja Banku była negatywna, przez co wniosek, który był przetwarzany, został zamknięty i nie doszło do nawiązania relacji między nim a Bankiem. Kilkukrotnie żądał od Banku usunięcia zapytań kredytowych, jednak Bank każdorazowo odmawiał spełnienia żądania. Nie zgodził się ze stanowiskiem Banku, w związku z powyższym wniósł o nakazanie usunięcia jego danych osobowych związanych z ww. zapytaniem kredytowym, w tym z B[...]. W pismach z [...] listopada i [...] grudnia 2022 r. Bank wskazał, że dane osobowe Uczestnika pozyskał w związku ze złożeniem przez niego wniosku o zawarcie umowy kredytu ratalnego z [...] marca 2022 r. o numerze [...], która nie zakończyła się zawarciem umowy. W związku z powyższym Bank wskazał, że przetwarza dane osobowe Uczestnika w zakresie: imienia i nazwiska, numeru PESEL, danych dokumentu tożsamości (data urodzenia, seria i numer dowodu osobistego, data wydania i ważności dowodu osobistego), danych teleadresowe (adres zameldowania, adres korespondencyjny, numer telefonu, adres email), danych zakładu pracy, a także danych niezbędnych do oceny zdolności kredytowej: stanu cywilnego, informacji o dochodzie i jego źródle, danych o obciążeniach gospodarstwa domowego Uczestnika. Podał, że dane osobowe Uczestnika w zakresie ww. zapytania kredytowego przetwarza w następujących celach: a) realizacji wymogów ostrożnościowych tj. oceny ogólnej ekspozycji oraz ryzyka ekspozycji Banku wynikających z rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 575/2013 z dnia 26 czerwca 2013 roku w sprawie wymogów ostrożnościowych dla instytucji kredytowych i firm inwestycyjnych, zmieniające rozporządzenie (UE) nr 648/2012, zwanego dalej "rozporządzeniem nr 575/2013", tj. art. 6 pkt 1 lit. c RODO, b) wykonywania obowiązków związanych z przeciwdziałaniem praniu pieniędzy i finansowaniu terroryzmu (art. 6 pkt 1. lit. c RODO), c) analizy (indywidualnego i portfelowego) ryzyka kredytowego (art. 105a ust. 1-1c ustawy z dnia 29 sierpnia 1997 r. – Prawo bankowe (Dz.U. z 2022 r. poz. 2434 ze zm.; dalej Prawo bankowe) w zw. art. 6 pkt 1 lit. c RODO, d) realizacji prawa do wyjaśnienia oceny zdolności kredytowej na podstawie art. 70a Prawa bankowego (art. 6 pkt 1 lit. c RODO), e) rozpatrywania reklamacji oraz ustalania, obrony i dochodzenia roszczeń - podstawą prawną jest realizacja prawnie uzasadnionego interesu Banku (art. 6 pkt 1 lit. f RODO). Bank wyjaśnił, że przekazał dane osobowe Uczestnika do B[...] na podstawie umowy zawartej pomiędzy Bankiem a B[...]. Bank wysłał zapytania w celu przeprowadzenia oceny zdolności kredytowej i analizy ryzyka kredytowego na podstawie art. 70 ust. 1 w zw. z art. 105 ust. 4 oraz 105a ust. 1 Prawa bankowego. Wskazał, że Uczestnik w dniu [...] lipca 2022 r. zwrócił się do Banku telefonicznie z żądaniem usunięcia usunięcie z B[...] zapytania kredytowego. Bank w odpowiedzi w dniu [...] lipca 2022 r. odmówił usunięcia danych. Uczestnik ponownie w dniu [...] lipca 2022 r. skierował do Banku żądanie usunięcia zapytania w bazie B[...]. Bank w odpowiedzi z [...] sierpnia 2022 r. podtrzymał swoje stanowisko wyrażone w poprzedniej odpowiedzi. Uczestnik kolejny raz nawiązał kontakt z Bankiem w dniu [...] sierpnia 2022 r. oraz [...] września 2022 r. i ponowił swoje żądanie w zakresie usunięcia zapytania w B[...]. Bank w odpowiedzi z [...] września 2022 r. oraz z [...] września 2022 r. odmówił usunięcia informacji o zapytaniu kredytowym. Bank wyjaśnił, że nie występował wobec Uczestnika z roszczeniami i na dzień złożenia odpowiedzi nie zamierza występować. Bank wskazał, że nie może wykluczyć, że takie roszczenia powstaną w przyszłości. W piśmie z [...] grudnia 2022 r. B[...] wskazał, że dane w zakresie zapytania kredytowego z [...] marca 2022 r. pozyskał od Banku, na podstawie art. 105 ust. 1 pkt 1c, art. 105 ust. 4 oraz art. 105a ust. 1 Prawa bankowego, a także na podstawie łączącej Bank i B[...] umowy. B[...] wskazał, że przetwarza dane Uczestnika w zakresie danych identyfikujących (imienia, nazwiska, numeru PESEL, serii i numeru dowodu osobistego, daty urodzenia, obywatelstwa, płci), danych z wniosku kredytowego dotyczącego wnioskowanego zobowiązania i adresu zamieszkania ww. zapytań w następujących celach: a) w celu oceny zdolności kredytowej i analizy ryzyka kredytowego: przez okres 12 miesięcy od dnia złożenia zapytania w celu oceny zdolności kredytowej i analizy ryzyka kredytowego konkretnego klienta (indywidualna ocena zdolności kredytowej); nie krócej niż 5 lat i nie dłużej niż 10 lat od dnia złożenia zapytania, w celu budowy modeli scoringowych, a więc narzędzi wykorzystywanych przez banki do oceny zdolności kredytowej i analizy ryzyka kredytowego; B[...] buduje przedmiotowe modele w oparciu o przetwarzane w zbiorze B[...] dane, w tym dane o złożonych zapytaniach; B[...] wskazał, że na konieczność wykorzystania własnych i zewnętrznych baz danych przy ocenie zdolności kredytowej wskazuje również Komisja Nadzoru Finansowego w Rekomendacji T dotyczącej dobrych praktyk w zakresie zarządzania ryzykiem detalicznych ekspozycji kredytowych, powołując się na Rekomendacje 10,16.4,1.4 a) tiret drugie, 1.4 b) tiret drugie, 17.5 e) oraz wstęp do Rekomendacji, b) w celach statystycznych oraz stosowania metod wewnętrznych oraz innych metod i modeli, c) w celach przeciwdziałania przestępstwom oraz wykonywania obowiązków w zakresie określonym w przepisach o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu, d) w celu rozpatrywania ewentualnych reklamacji lub roszczeń odszkodowawczych klientów, których termin przedawnienia zgodnie z art. 118 Kodeksu cywilnego wynosi 6 lat (cele dowodowe); B[...] wskazał, że podstawę prawną stanowi w tym przypadku art. 6 ust. 1 lit. f RODO, a dodatkową przesłanką jest konieczność wypełnienia ustawowego obowiązku wynikającego z art. 15 RODO w przypadku wystąpienia przez osobę, której dane dotyczą z wnioskiem o udzielenie informacji, e) w celu realizacji wniosków klientów banków dotyczących wyjaśnień dokonanej oceny zdolności kredytowej na podstawie art. 70a Prawa bankowego B[...] wyjaśnił że Uczestnik, ani Bank nie zwracali się do B[...] z wnioskiem o usunięcie danych o zapytaniu z [...] marca 2022 r. W uzasadnieniu zaskarżonej decyzji PUODO wskazał, że przepisem uprawniającym administratorów danych do przetwarzania zwykłych danych osób fizycznych jest art. 6 ust. 1 RODO, zgodnie z którym, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy spełniona jest jedna z przesłanek wskazanych w tym przepisie. Katalog przesłanek wymienionych w art. 6 ust. 1 RODO jest zamknięty. Każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny. Dodatkowo, proces przetwarzania danych osobowych musi być zgodny z zasadami ustanowionymi w art. 5 ust. 1 RODO. Do zasad tych zalicza się między innymi ograniczenie celu (art. 5 ust. 1 lit. b RODO) oraz minimalizację danych (art. 5 ust. 1 lit. c RODO). Wspomniane zasady wymagają, by dane osobowe były zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami, a proces przetwarzania danych osobowych był adekwatny, stosowny oraz ograniczony do tego, co niezbędne do celów, w których są przetwarzane. Co do zasady podstawą prawną przetwarzania danych osobowych klientów przez Bank i B[...] może być obecnie art. 6 ust. 1 lit. f RODO, gdy przetwarzanie to jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora. PUODO wskazał, że B[...] jest instytucją utworzoną na podstawie art. 105 ust. 4 Prawa bankowego, który stanowi, że banki mogą, wspólnie z bankowymi izbami gospodarczymi, utworzyć instytucje upoważnione do gromadzenia, przetwarzania i udostępniania bankom informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013, innym instytucjom ustawowo upoważnionym do udzielania kredytów informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są niezbędne w związku z udzielaniem kredytów, pożyczek pieniężnych, gwarancji bankowych i poręczeń (pkt 2), instytucjom kredytowym informacji stanowiących tajemnicę bankową w zakresie niezbędnym do oceny zdolności kredytowej konsumenta, o której mowa w art. 9 ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim (Dz.U. 2022 poz. 246 ze zm.), zwanej dalej "ustawą o kredycie konsumenckim" (pkt 3), instytucjom pożyczkowym i podmiotom, o których mowa w art. 59d tej ustawy na zasadzie wzajemności, informacji stanowiących odpowiednio tajemnice bankową oraz informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d, w zakresie niezbędnym do oceny zdolności kredytowej konsumenta, o której mowa w art. 9 tej ustawy, i analizy ryzyka kredytowego (pkt 4). Zgodnie z art. 105a ust. 1 Prawa bankowego przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów, instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy o kredycie konsumenckim, a także instytucje utworzone na podstawie art. 105 ust. 4, informacji stanowiących tajemnicę bankową i informacji udostępnionych przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy o kredycie konsumenckim, w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem art. 104, 105 i art. 106 - 106d Prawa bankowego w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Zgodnie zaś z art. 105a ust. 4 Prawa bankowego banki oraz instytucje, o których mowa w art. 105 ust. 4, mogą przetwarzać stanowiące tajemnicę bankową informacje dotyczące osoby fizycznej po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której informacje dotyczą, do celów stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013. Stosownie zaś do art. 105a ust. 5 Prawa bankowego przetwarzanie informacji stanowiących tajemnicę bankową w przypadkach, o których mowa w ust. 3, może być wykonywane przez okres nie dłuższy niż 5 lat od dnia wygaśnięcia zobowiązania, a w przypadku, o którym mowa w ust. 4, przez okres 12 lat od dnia wygaśnięcia zobowiązania. Ponadto stosownie do art. 70 ust. 1 Prawa bankowego, bank uzależnia przyznanie kredytu od zdolności kredytowej kredytobiorcy. Przez zdolność kredytową rozumie się zdolność do spłaty zaciągniętego kredytu wraz z odsetkami w terminach określonych w umowie. Mając powyższe na uwadze PUODO wskazał, że Uczestnik w dniu [...] marca 2022 r. wystąpił do Banku z wnioskiem o udzielenie kredytu. Wobec powyższego Bank oraz B[...], na podstawie art. 105a ust. 1 w zw. z art. 70 ust. 1 Prawa bankowego, były uprawnione do przetwarzania danych osobowych Uczestnika w celu oceny zdolności kredytowej. Nie doszło jednak do zawarcia umowy kredytu pomiędzy Uczestnikiem a Bankiem. W związku z powyższym odpadła przesłanka legalizująca dalsze przetwarzanie danych osobowych Uczestnika przez Bank oraz B[...]. Przesłanki zawarte w art. 105a Prawa bankowego dotyczą bowiem przetwarzania informacji objętych tajemnicą bankową w okresie przed powstaniem zobowiązania, w trakcie jego trwania oraz po wygaśnięciu zobowiązania. Pomiędzy Bankiem a Uczestnikiem nie zawiązał się żaden stosunek zobowiązaniowy, który stosownie do art. 105a ust. 1-6 Prawa bankowego dawałby podstawę do dalszego przetwarzania danych osobowych Uczestnika. PUODO podkreślił, że celem przetwarzania danych osobowych Uczestnika była ocena zdolności kredytowej i analiza ryzyka kredytowego. W związku z dokonaniem przez Bank oceny zdolności kredytowej i analizy ryzyka kredytowego ww. cel przetwarzania danych osobowych został zrealizowany i brak jest podstaw prawnych do kontunuowania tego procesu. Powyższe stanowisko znajduje zdaniem PUODO oparcie w wyroku Naczelnego Sądu Administracyjnego z dnia 27 sierpnia 2019 r., sygn. akt I OSK 2567/17 (publikowany w CBOSA), zgodnie z którym cyt.: "(...) cel oceny zdolności kredytowej stanowi ocena zdolności do spłaty zaciągniętego kredytu wraz z odsetkami, co ma charakter czynności wstępnej do zawarcia stosownej umowy. Dalsze przetwarzanie danych uzyskanych w celu oceny zdolności kredytowej, w przypadku nie zawarcia stosownej umowy pozostawałaby w oderwaniu od celu dla którego dane te uzyskano. (...) niedopuszczalne jest przetwarzanie danych osobowych na przyszłość, a także na potrzeby budowy oceny zdolności kredytowej innych podmiotów, jeżeli nie można zrekonstruować wyraźnej podstawy prawnej takich działań." W ocenie PUODO za podstawę przetwarzania danych osobowych Uczestnika, nie mogą być również uznane wskazane przez B[...] cele statystyczne i analizy, w tym cel stosowania metod wewnętrznych oraz innych metod i modeli. Powołany przez B[...] art. 105a ust. 4 Prawa bankowego daje podstawy do przetwarzania informacji dotyczących osoby fizycznej stanowiących tajemnicę bankową po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której te informacje dotyczą. W przedmiotowej sprawie nie doszło jednak do zawarcia umowy kredytu pomiędzy Uczestnikiem a Bankiem, a zatem nie powstał żaden stosunek zobowiązaniowy, o którym mowa w powyższym przepisie. Zarówno Bank, jak i B[...], wskazały również jako cel przetwarzania danych osobowych Uczestnika, przeciwdziałanie przestępstwom oraz wykonywanie obowiązków w zakresie określonym w przepisach AML. Zgodnie z brzmieniem art. 106d Prawa bankowego banki, inne instytucje ustawowo upoważnione do udzielania kredytów, izby rozliczeniowe utworzone na podstawie art. 67, instytucje utworzone na mocy art. 105 ust. 4, instytucje pożyczkowe, podmioty, których podstawowa działalność polega na udostępnianiu składników majątkowych na podstawie umowy leasingu, oraz podmioty, o których mowa w art. 59d ustawy o kredycie konsumenckim, mogą przetwarzać i wzajemnie udostępniać informacje, w tym informacje objęte tajemnicą bankową, w przypadkach: 1) uzasadnionych podejrzeń, o których mowa w art. 106a ust. 3; 2) uzasadnionych podejrzeń popełnienia przestępstw dokonywanych na szkodę banków, innych instytucji ustawowo upoważnionych do udzielania kredytów, instytucji kredytowych, instytucji finansowych, instytucji pożyczkowych oraz podmiotów, o których mowa w art. 59d ustawy o kredycie konsumenckim, i ich klientów, w celu i zakresie niezbędnym do zapobiegania tym przestępstwom; 3) wykonywania obowiązków w zakresie określonym w przepisach o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (ust. 1). Podmioty określone w ust. 1 mogą przetwarzać i wzajemnie udostępniać informacje, w tym informacje objęte tajemnicą bankową oraz informacje dotyczące wyroków skazujących, w przypadkach przestępstw dokonywanych na szkodę banków, innych instytucji ustawowo upoważnionych do udzielania kredytów, instytucji kredytowych, instytucji finansowych, instytucji pożyczkowych oraz podmiotów, o których mowa w art. 59d ustawy o kredycie konsumenckim, i ich klientów, w celu i zakresie niezbędnym do zapobiegania tym przestępstwom (ust. 2). Zgodnie z art. 33 ust. 1 AML instytucje obowiązane stosują wobec swoich klientów środki bezpieczeństwa finansowego. Instytucje obowiązane rozpoznają ryzyko prania pieniędzy oraz finansowania terroryzmu związane ze stosunkami gospodarczymi lub z transakcją okazjonalną oraz oceniają poziom rozpoznanego ryzyka (art. 33 ust. 2 AML), natomiast środki te stosują w zakresie i z intensywnością uwzględniającymi rozpoznane ryzyko prania pieniędzy oraz finansowania terroryzmu związane ze stosunkami gospodarczymi lub z transakcją okazjonalną oraz jego ocenę (art. 33 ust. 4 AML). Na podstawie art. 35 ust. 2 AML instytucje obowiązane stosują środki bezpieczeństwa finansowego również w odniesieniu do klientów, z którymi utrzymują stosunki gospodarcze, z uwzględnieniem rozpoznanego ryzyka prania pieniędzy oraz finansowania terroryzmu, w szczególności gdy: 1) doszło do zmiany uprzednio ustalonego charakteru lub okoliczności stosunków gospodarczych; 2) doszło do zmiany uprzednio ustalonych danych dotyczących klienta lub beneficjenta rzeczywistego; 3) instytucja obowiązana była w ciągu danego roku kalendarzowego obowiązana na podstawie przepisów prawa do skontaktowania się z klientem w celu weryfikacji informacji dotyczących beneficjentów rzeczywistych, w szczególności gdy obowiązek taki wynikał z przepisów ustawy z dnia 9 marca 2017 r. o wymianie informacji podatkowych z innymi państwami. Zgodnie z art. 34 ust. 3 AML instytucje obowiązane dokumentują zastosowane środki bezpieczeństwa finansowego oraz wyniki bieżącej analizy przeprowadzanych transakcji. Na żądanie organów, o których mowa w art. 130, instytucje obowiązane wykazują, że przy uwzględnieniu poziomu rozpoznanego ryzyka prania pieniędzy oraz finansowania terroryzmu związanego z danymi stosunkami gospodarczymi lub transakcją okazjonalną zastosowały odpowiednie środki bezpieczeństwa finansowego. Na podstawie art. 49 ust. 2 AM instytucje obowiązane przechowują wyniki analiz, o których mowa w art. 34 ust. 3 AML, przez okres 5 lat, licząc od dnia ich przeprowadzenia. Zebrany w sprawie materiał dowodowy zdaniem PUODO nie wykazał, aby Bank lub B[...] mogły przetwarzać dane osobowe Uczestnika dotyczące zapytania kredytowego z [...] marca 2022 r. na podstawie art. 106d Prawa bankowego w celach przeciwdziałania przestępstwom oraz wykonywania obowiązków w zakresie określonym w przepisach AML, albowiem w toku prowadzonego postępowania nie wykazały, aby zaszła którakolwiek z przesłanek określonych w ww. przepisach. W szczególności nie wykazały, aby zaszły uzasadnione podejrzenia, o których mowa w art. 106d ust. 1 pkt 1-2 oraz nie wskazały także nałożonego na nie obowiązku określonego w przepisach o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu, o którym mowa w art. 106d ust. 1 pkt 3. Odnosząc się do powołanego zarówno przez Bank, jak i przez B[...], celu ustalenia, dochodzenia lub obrony roszczeń, PUODO wskazał, że zebrany w niniejszym postępowaniu materiał dowodowy nie wykazał, aby Uczestnik wystąpił z jakimkolwiek roszczeniem wobec Banku czy B[...], które uzasadniałoby uprawnienie tych podmiotów do zachowania i przetwarzania jego danych osobowych dla celów dowodowych w związku z dochodzeniem przez Uczestnika tego roszczenia. Bank i B[...] nie wskazały także na istnienie roszczeń, których dochodzą od Uczestnika. PUODO podkreślił, że przesłanka z art. 6 ust. 1 lit. f RODO dotyczy sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia, potrzeba dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem. PUODO podzielił ponadto stanowisko Naczelnego Sądu Administracyjnego odnoszące się do art. 23 ust. 1 pkt 5 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. 2016 r. poz. 922 ze zm.), dotyczącej dopuszczalności przetwarzania danych osobowych dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, gdy przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Sąd ten w wyroku z dnia 6 marca 2019 r. w sprawie sygn. I OSK 994/17 (LEX nr 2670498) orzekł, cyt.: "Przepis art. 23 ust. 1 pkt 5 u.o.d.o. zezwala na przetwarzanie danych gdy jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Dokonując wykładni tego przepisu należy zatem zwrócić uwagę, że stosowanie ww. przepisu wymaga wykazania, że chodzi o realizowanie prawnie usprawiedliwionego celu, ale także dokonanie oceny czy dla realizacji tego celu niezbędne jest przekazanie danych, pomimo braku zgody osoby której dane te dotyczą. Ocena ta sprowadza się do wyważania racji i interesów osoby, której danych sprawa dotyczy, a która jest objęta ochroną prawną, a z drugiej administratora danych, również chronionego przez prawo w zakresie w jakim może realizować prawnie usprawiedliwione cele i uprawnienia. Naczelny Sąd Administracyjny w wyroku z dnia 23 września 2005 r. (sygn. akt I OSK 712/05, CBOSA) już wskazywał, że rozstrzygając o legalności przetwarzania danych trzeba każdorazowo, ważąc interesy stron, znaleźć równowagę między prawami i wolnościami jednostki z jednej strony a prawnie usprawiedliwionym interesem osoby trzeciej z drugiej strony. Oznacza to obowiązek zapewnienia właściwej równowagi praw i interesów stron w tym praw podstawowych. Zdaniem Naczelnego Sądu Administracyjnego przetwarzanie danych osobowych (...), który cofnął zgodę na ich przetwarzanie, nie jest niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez (...), a którym jest prawo do podjęcia obrony przed ewentualnymi roszczeniami lub zarzutami dotyczącymi przetwarzania danych (...) w celu obsługi wniosku kredytowego. Wskazać, należy że przepis art. 23 ust. 1 pkt 5 ustawy na pierwszym miejscu wymienia warunek, że przetwarzanie danych winno być niezbędne dla wypełnienia prawnie usprawiedliwionych celów. Prawidłowe jest stanowisko Sądu pierwszej instancji, że niedopuszczalne jest przetwarzanie danych osobowych niejako "na zapas" z założeniem, że mogą być one ewentualnie przydatne w przyszłości. Zauważyć należy, że w rozpoznawanej sprawie znaczenie ma, a no co wskazał organ i Sąd pierwszej instancji, że (...) co prawda w 2012 r. złożył wniosek kredytowy ale strony nie zawarły umowy, a zatem nie powstał między stronami stosunek zobowiązaniowy. Pomiędzy stronami nie toczy się także żadne postępowanie reklamacyjne. Zatem przetwarzania danych strony, a więc na wszelki wypadek, nie można uznać za przetwarzanie niezbędne dla wypełnienia prawnie usprawiedliwionych celów. Zgodnie z art. 23 ust. 1 pkt 2 u.o.d.o. przetwarzanie danych osobowych jest dopuszczalne wtedy, gdy jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa. Przepis ten dopuszcza możliwość przetwarzania danych, uzależnia jednak legalność tego procesu od spełnienia dwóch istotnych wymogów, tj. istnienia odpowiedniego przepisu prawa, który przyznaje podmiotowi uprawnienie lub nakłada na niego obowiązek oraz niezbędności przetwarzania danych dla zrealizowania tego uprawnienia lub spełnienia obowiązku wynikającego z tego przepisu. Wymogi te powinny być spełnione łącznie.". Zdaniem PUODO przy przyjęciu odmiennej interpretacji ww. przepisów Uczestnik zostałby pozbawiony ochrony na gruncie RODO oraz ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych. Przyjęcie za prawidłowe stanowiska, że przetwarzanie danych osobowych w celu uchylenia się od negatywnych skutków w przypadku zgłoszenia w przyszłości ewentualnego i nieokreślonego roszczenia, stanowi prawnie usprawiedliwiony cel w rozumieniu art. 6 ust. 1 lit. f RODO, oznaczałoby, że dane osobowe Uczestnika mogą być przetwarzane przez Bank i B[...] permanentnie, bez konieczności ich usunięcia. Teoretycznie możliwym jest przecież by Uczestnik zwrócił się do Banku lub B[...] z roszczeniem po upływie terminu przedawnienia roszczenia. Prowadziłoby to tym samym do uznania, że przetwarzanie danych osobowych Uczestnika przez Bank i B[...] ma uzasadnienie w przesłance określonej w art. 6 ust. 1 lit. f RODO w celu realizacji prawa do obrony przed ewentualnym roszczeniem Uczestnika również po upływie ww. terminu. Brak jest uzasadnienia dla przyjęcia, że terminy dotyczące przedawnienia roszczeń wynikających ze stosunków zobowiązaniowych określają jednocześnie ramy czasowe, w których dane osobowe mogą być przetwarzane przez Bank i B[...]. Przedawnienie roszczenia nie wywołuje skutków na gruncie ochrony danych osobowych, nie wpływa bowiem na fakt istnienia roszczenia, a powoduje jedynie zmianę w sferze zarzutów procesowych w postaci możliwości podniesienia okoliczności przedawnienia w sporze sądowym. Okolicznością usprawiedliwiającą przetwarzanie danych osobowych w celu dochodzenia roszczeń jest sam fakt istnienia roszczenia oraz zamiar jego dochodzenia, nie jest nią natomiast zmiana w uprawnieniach procesowych podmiotu pozwanego. Brak jest ponadto zdaniem PUODO uzasadnienia dla przyjęcia, że Bank i B[...] są uprawnione do przetwarzania danych osobowych w związku z koniecznością ewentualnego wypełnienia obowiązku wynikającego z art. 70a ust. 1 i ust. 2 Prawa bankowego. Stosownie do art. 70a ust. 1 tej ustawy banki i inne instytucje ustawowo upoważnione do udzielania kredytów na wniosek osoby fizycznej, prawnej lub jednostki organizacyjnej niemającej osobowości prawnej, o ile posiada zdolność prawną, ubiegającej się o kredyt przekazują, w formie pisemnej, wyjaśnienie dotyczące dokonanej przez siebie oceny zdolności kredytowej wnioskującego. Stosownie zaś do art. 70a ust. 2 Prawa bankowego wyjaśnienie, o którym mowa w ust. 1, obejmuje informacje na temat czynników, w tym danych osobowych wnioskującego, które miały wpływ na dokonaną ocenę zdolności kredytowej. PUODO podzielił również wskazywane w doktrynie stanowisko, zgodnie z którym (cyt.): "Jeśli zaś bank - w wyniku dokonanej oceny zdolności kredytowej (przeprowadzonej zgodnie z przyjętymi rekomendacjami KNF) - nie udzieli kredytu, zatem nie dojdzie do zawarcia umowy kredytu, stan taki nie rodzi po stronie ubiegającego się o kredyt żadnych roszczeń na drodze cywilnoprawnej. Ubiegającemu się o kredyt przysługuje tylko możliwość wnioskowania o przedstawienie na piśmie przyczyn odmowy" (B. Bajor [w:] L. Kociucki, J. M. Kondek, K. Królikowska, B. Bajor, Prawo bankowe. Komentarz do przepisów cywilnoprawnych. Warszawa 2020, art. 70(a)). Przepis art. 70a Prawa bankowego nie przewiduje żadnego terminu na złożenie wniosku o udzielenie informacji dotyczących odmowy udzielenia kredytu. Powyższe nie oznacza jednak w ocenie organu, że można jego dane osobowe przetwarzać bezterminowo, gdyż byłoby to sprzeczne z zasadą ograniczenia przechowywania, określoną w art. 5 ust. 1 lit. e RODO. Ponadto zdaniem PUODO powstanie obowiązku, o którym mowa w art. 70a ust. 1 Prawa bankowego, uzależnione jest od złożenia stosownego wniosku przez osobę ubiegającą się o kredyt. W niniejszej sprawie ustalono, że Uczestnik [...] marca 2022 r. składał zapytanie kredytowe do Banku, które ostatecznie nie zakończyło się zawarciem umowy z Bankiem. Uczestnik dwukrotnie zwracał się do Banku o usunięcie jego danych osobowych z B[...], w zakresie dotyczącym ww. zapytania kredytowego. Proces przetwarzania danych osobowych związanych z ww. zapytaniem kredytowym zakwestionował następnie w niniejszym postępowaniu, domagając się ochrony danych osobowych. Uwzględnienie żądania Uczestnika usunięcia przedmiotowych danych skutkować będzie brakiem możliwości udzielenia informacji wskazanych w art. 70a ust. 1 i 2 Prawa bankowego, z czym Uczestnik, żądając usunięcia danych, musi się liczyć. Uczestnik nie był więc i nie jest zainteresowany realizacją prawa do złożenia wniosku, o którym mowa w powyższym przepisie, a tym samym nie można uznać, aby stanowił on podstawę przetwarzania jego danych osobowych. Brak jest uzasadnienia dla przyjęcia, że B[...] jest uprawniony do przetwarzania danych osobowych pozyskanych w związku z zapytaniami złożonymi przez Bank z [...] marca 2022 r. w związku z koniecznością ewentualnego wypełnienia obowiązku wynikającego z art. 15 RODO. Usunięcie przez administratora danych osobowych nie uniemożliwia mu wykonania obowiązku uregulowanego w art. 15 RODO, gwarantującego osobie, której dane dotyczą, prawa do uzyskania od administratora informacji, czy jej dane są przetwarzane, a w przypadku pozytywnej odpowiedzi na tak postawione pytanie - uprawnienie do dostępu do danych na swój temat oraz uzyskania informacji o okolicznościach przetwarzania danych. Jeśli bowiem, administrator nie przetwarza danych dotyczących osoby, która zwraca się z żądaniem udzielenia informacji, to działanie administratora ogranicza się do odpowiedzi przeczącej i nie ma on obowiązku podawać podmiotowi danych innych informacji (tak również: Paweł Fajgielski [w:] Ogólne rozporządzenie o ochronie danych. Ustawa o ochronie danych osobowych. Komentarz. Wolters Kluwer Polska, 2018). W odniesieniu do wskazanego przez Bank celu realizacji wymogów ostrożnościowych, tj. oceny ogólnej ekspozycji oraz ryzyka ekspozycji Banku wynikających z rozporządzenia nr 575/2013, tj. art. 6 pkt 1 lit. c RODO, PUODO wskazał, że z przepisów tych nie wynika uprawnienie do przetwarzania danych osobowych w zakresie zapytań kredytowych niezakończonych zawarciem umowy i przywołał na tę okoliczność stosowne regulacje. W ocenie PUODO Bank niewłaściwie wskazał jako podstawę przetwarzania danych Uczestnika Rekomendację T Komisji Nadzoru Finansowego dotyczącą dobrych praktyk w zakresie zarządzania ryzykiem detalicznych ekspozycji kredytowych w związku z badaniem zdolności kredytowej, korzystania z zewnętrznych baz danych, posiadania narzędzi analitycznych wspierających pomiar poziomu ryzyka związanego z detalicznymi ekspozycjami kredytowymi. Bank był uprawniony do przetwarzania danych osobowych Uczestnika w celu oceny zdolności kredytowej. Nie doszło jednak do zawarcia umowy pomiędzy Uczestnikiem a Bankiem. W związku z powyższym odpadła przesłanka legalizująca dalsze przetwarzanie jego danych osobowych przez Bank. Celem przetwarzania danych osobowych była ocena zdolności kredytowej i analiza ryzyka kredytowego. W związku z dokonaniem przez Bank oceny zdolności kredytowej i analizy ryzyka kredytowego ww. cel przetwarzania danych osobowych Uczestnika został zrealizowany, wobec czego brak jest podstaw prawnych do kontynuowania tego procesu. W konkluzji PUODO stwierdził, że w niniejszej sprawie brak jest celu uzasadniającego dalsze przetwarzanie danych osobowych Uczestnika zawartych w zapytaniu kredytowym zarówno przez Bank, jak i przez B[...]. Bank w związku z pozyskaniem danych osobowych Uczestnika w celu oceny zdolności kredytowej stał się administratorem tych danych osobowych. Natomiast B[...] stał się administratorem danych osobowych Uczestnika z uwagi na przekazanie tych danych przez Bank. Co za tym idzie, Bank oraz B[...] są odrębnymi administratorami. Każdy z tych podmiotów przetwarza bowiem dane osobowe Uczestnika we własnych celach i samodzielnie ustala sposoby ich przetwarzania. W odniesieniu do kwestionowanego przez Uczestnika przetwarzania jego danych osobowych przez Bank i B[...] nie zaistniała żadna z wyrażonych w art. 6 ust. 1 RODO przesłanka, która stanowiłaby o legalności tego procesu. Dlatego też, korzystając z uprawnienia przewidzianego w art. 58 ust. 2 lit. c RODO, nakazano Bankowi i B[...] usunięcie danych osobowych Uczestnika przetwarzanych w związku ze złożonym zapytaniem kredytowym z 10 marca 2022 r. Pismem z [...] czerwca 2023 r. Bank wniósł do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na decyzję z [...] czerwca 2023 r., zarzucając naruszenie następujących przepisów postępowania, a mianowicie: 1) art. 7, art. 77 §1 i art. 80 k.p.a. polegające na niewyczerpującym rozpatrzeniu materiału dowodowego oraz na jego dowolnej ocenie przejawiającej się w uznaniu, że Bank nie dysponuje przesłankami legalizującymi przetwarzanie danych osobowych Uczestnika, pomimo że przetwarzanie tych danych osobowych jest niezbędne do realizacji obowiązków prawnych ciążących na Banku oraz do realizacji prawnie uzasadnionych interesów Banku, 2) art. 7b k.p.a. polegające na braku zwrócenia się do Komisji Nadzoru Finansowego jako organu właściwego w sprawach związanych m.in. z badaniem zdolności kredytowej i analizą ryzyka kredytowego, a także budową modeli scoringowych oraz do Generalnego Inspektora Informacji Finansowej jako organu właściwego w sprawach związanych z m.in. przeciwdziałaniem praniu pieniędzy i finansowaniu terroryzmu w zakresie wykorzystywania do realizacji tych zadań danych, w tym danych osobowych o niezrealizowanych zapytaniach kredytowych, co uniemożliwiło dokładne wyjaśnienie stanu faktycznego sprawy, a ponadto prawa materialnego w postaci: 3) art. 6 ust. 1 lit. f RODO w zw. z art. 117 §1, 2 i § 21 oraz art. 118 ustawy z dnia 23 kwietnia 1964 r. - Kodeks cywilny, poprzez ich błędną wykładnię, polegającą na uznaniu, że obrona i dochodzenie roszczeń mogą dotyczyć wyłącznie już istniejących roszczeń oraz stwierdzeniu, że prawnie uzasadnionym interesem administratora nie może być obrona przed roszczeniami lub dochodzenie roszczeń jeszcze nieskonkretyzowanymi w postaci wezwania lub pozwu, 4) art. 6 ust. 1 lit. c RODO w zw. z art. 39 ust. 1 w zw. z art. 34 ust. 1, art. 34 ust. 3, art. 35 ust. 1, 36 ust. 1, oraz 49 ustawy z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu ("AML") poprzez ich niewłaściwą wykładnię polegającą na przyjęciu, że na Banku nie ciążą obowiązki związane z przeciwdziałaniem praniu pieniędzy oraz finansowaniu terroryzmu wówczas, gdy nie doszło do zawarcia umowy pomiędzy bankiem a klientem, podczas gdy banki, jako instytucje obowiązane w rozumieniu przepisów AML, mają obowiązek wykonania środków bezpieczeństwa finansowego oraz udokumentowania ich zastosowania przed nawiązaniem stosunków gospodarczych, a więc jeszcze przed ewentualnym powstaniem cechy trwałości tychże stosunków, a następnie przechowywania tych informacji przez terminy wskazane w art. 49 ust. 1 i 2 AML, 5) art. 6 ust. 1 lit. c RODO w zw. z art. 105a ust. 1 i ust. 1a w zw. z art. 105a ust. 2 i 3 Prawa bankowego poprzez ich błędną wykładnię i przyjęcie, że Bank jest jedynie obowiązany do dokonania oceny zdolności kredytowej klientów, podczas gdy z tego przepisu wynika obowiązek dokonania także analizy ryzyka kredytowego, która dotyczy całego portfela kredytowego Banku, a nie ogranicza się wyłącznie do oceny zdolności kredytowej konkretnej osoby wnioskującej o kredyt, ani też nie dotyczy wyłącznie powstałych już zobowiązań, a ocena ta służy do zapewnienia bezpieczeństwa i stabilności całego sektora finansowego oraz bezpieczeństwa finansowego osób wnioskujących o kredyt, 6) art. 6 ust. 1 lit. c RODO w zw. z art. 144 ust. 1 lit. d, art. 145, art. 147 ust. 5 lit. b, art. 170 ust. 3 lit. a, ust. 4 lit. a, 171 ust. 2 oraz art. 179 ust. 1 lit. a rozporządzenia nr 575/2013 poprzez ich błędną wykładnię i przyjęcie, że na Banku nie ciążą obowiązki związane z analizą ryzyka kredytowego wówczas, gdy nie doszło do zawarcia umowy pomiędzy Bankiem a klientem, 7) art. 6 ust. 1 lit. c RODO w zw. z art. 70a Prawa bankowego poprzez ich niewłaściwe zastosowanie skutkujące przyjęciem, że Bank może dokonać wyjaśnienia dotyczącego dokonanej oceny zdolności kredytowej wnioskującego bez otrzymanych i przetwarzanych danych osobowych klienta, tylko wtedy, gdy zawarł on umowę z bankiem, 8) art. 6 ust. 1 lit. c RODO w zw. z art. 106d Prawa bankowego poprzez ich niewłaściwe zastosowanie skutkujące przyjęciem, że Bank nie jest uprawniony do przetwarzania danych, w tym danych osobowych zawartych we wnioskach kredytowych celem wypełnienia obowiązków wynikających z Prawa bankowego, podczas gdy wykazuje on cel przetwarzania danych osobowych polegający na analizie danych podanych we wnioskach kredytowych i analizie zapytań kredytowych złożonych w B[...] w określonym czasie w celu wykrycia nieścisłości oraz powzięcia informacji mogących stanowić o uzasadnionym podejrzeniu popełnienia przestępstw, o których mowa w art. 106d Prawa bankowego, 9) art. 6 ust. 1 lit. f RODO poprzez jego błędne zastosowanie, polegające na przyjęciu, że prawnie uzasadnionym interesem Banku nie jest stosowanie Rekomendacji S, W i T, wydanych przez Komisję Nadzoru Finansowego, podczas gdy zawierają one listę konkretnych oczekiwań, które winny być spełnione przez każdy bank i zostały wydane przez organ nadzorczy, któremu kontroli podlegają, a prawnie uzasadniony interes nie musi wynikać z przepisów powszechnie obowiązującego prawa. Bank wniósł o uchylenie pkt 1 zaskarżonej decyzji oraz o wstrzymanie jej wykonania w zakresie pkt 1. W obszernym uzasadnieniu skargi Bank rozwinął argumentację na rzecz sformułowanych w niej zarzutów. B[...] wywiodło skargę na podaną na wstępie decyzję, zarzucając jej naruszenie następujących przepisów prawa materialnego, a mianowicie: 1) art. 6 ust. 1 lit. c RODO w zw. z art. 105 ust. 1 pkt. 1c w zw. z art. 105 ust. 4 i w zw. z art. 105a w zw. z art. 70 i art. 5 ust. 1 pkt 3 Prawa bankowego poprzez jego niewłaściwe zastosowanie i w konsekwencji nieuzasadnione przyjęcie, że nie posiada ww. podstawy prawnej do przetwarzania danych zawartych we wniosku kredytowym w przypadku nie zawarcia umowy kredytowej, podczas gdy B[...] jest ustawowo zobowiązany do realizacji obowiązku prawnego wynikającego z ww. przepisów polegającego na gromadzeniu, przetwarzaniu i udostępnianiu bankom oraz podmiotom szczegółowo wskazanym w przepisie informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych w postaci oceny zdolności kredytowej oraz analizy ryzyka kredytowego konkretnego klienta (indywidualna ocena zdolności kredytowej) oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013, ewentualnie, na wypadek nieuwzględnienia ww. zarzutu, naruszenie art. 6 ust. 1 lit. f RODO poprzez jego niewłaściwą wykładnię i w konsekwencji niezastosowanie wskutek przyjęcia, że B[...] nie posiada podstawy prawnej przetwarzania danych Uczestnika opartej na prawnie uzasadnionym interesie administratora oraz podmiotów trzecich wskazanych w art. 105 ust. 4 pkt. 1-5 Prawa bankowego, w postaci realizacji obowiązku gromadzenia, przetwarzania oraz udostępnienia bankom oraz podmiotom wskazanym w ww. przepisie informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych w postaci oceny zdolności kredytowej oraz analizy ryzyka kredytowego konkretnego klienta (indywidualna ocena zdolności kredytowej), w celu budowy i utrzymania modeli scoringowych, a więc narzędzi wykorzystywanych przez banki do oceny zdolności kredytowej i analizy ryzyka kredytowego oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013, 2) art. 6 ust. 1 lit. c RODO w zw. z art. 70a w zw. z art. 105 ust. 4 pkt. 1 i 2 oraz w zw. z art. 105a Prawa bankowego poprzez jego niezastosowanie wskutek uznania, że B[...] nie posiada podstawy prawnej do przetwarzania danych Uczestnika w sytuacji nie zawarcia umowy kredytowej, podczas gdy B[...] posiada podstawę prawną przetwarzania z uwagi na niezbędność przetwarzania do wykonania obowiązku prawnego przez banki i B[...], w postaci obowiązku przekazania osobie ubiegającej się o kredyt w formie pisemnej na jego wniosek wyjaśnień dotyczących dokonanej oceny zdolności kredytowej wnioskującego, 3) art. 6 ust. 1 lit. c RODO w zw. z art. 106d ust. 1 pkt.3 Prawa bankowego w zw. 39 ust. 1 w zw. z art. 33 ust. 2, art. 33 ust. 3 pkt 6, art. 34 ust. 1 pkt., art. 36 ust. 1 oraz art 49 ust. 1 ustawy z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (AML) poprzez jego niezastosowanie wskutek przyjęcia, iż na B[...] nie ciążą obowiązki związane z przeciwdziałaniem praniu pieniędzy oraz finansowaniu terroryzmu, w sytuacji gdy nie doszło do zawarcia umowy kredytowej pomiędzy Uczestnikiem a Bankiem - podczas gdy przepisy te nakładają na banki, a pośrednio na B[...], jako instytucję wspierającą banki w realizacji obowiązków instytucji obowiązanej, obowiązek przetwarzania danych osobowych w celu zapewnienia bezpieczeństwa obrotu gospodarczego poprzez przeprowadzenie szczegółowego badania na temat klientów, w tym przyszłych klientów, jak i badania powiązań kapitałowo-osobowych, w tym także wtedy gdy ostatecznie pomiędzy Uczestnikiem a Bankiem nie została zawarta umowa kredytowa, 4) art. 6 ust. 1 lit. e RODO poprzez jego niezastosowanie wskutek uznania, że B[...] nie posiada podstawy prawnej do przetwarzania danych Uczestnika w sytuacji nie zawarcia umowy kredytowej, podczas gdy B[...] posiada podstawę prawną przetwarzania z uwagi na niezbędność przetwarzania dla realizacji zadania w interesie publicznym przez banki i B[...] w postaci zabezpieczenia ekonomiczno-gospodarczego sektora bankowego, w tym depozytariuszy i zapewnienia stabilności ekonomiczno-gospodarczej sektora bankowego, a w ujęciu makro zapobieganiu kryzysom gospodarczym, 5) art. 6 ust. 1 lit. f RODO poprzez jego niezastosowanie wskutek uznania, że przetwarzanie danych osobowych dla realizacji prawnie uzasadnionych interesów administratora danych w celach zabezpieczenia roszczeń może dotyczyć wyłącznie roszczeń istniejących i aktualnie dochodzonych i w konsekwencji nieuzasadnione przyjęcie, że prawnie uzasadniony interes administratora danych nie istnieje w sytuacji konieczności przetwarzania danych osobowych do ochrony przed roszczeniami istniejącymi, ale nie dochodzonymi w chwili dokonywania oceny, podczas gdy istotą uzasadnionego interesu administratora jest możliwość przetwarzania danych na wypadek konieczności obrony przed roszczeniami istniejącymi lub dochodzenia w przyszłości roszczeń istniejących, które w warunkach niniejszej sprawy są związane z przetwarzaniem danych osobowych na potrzeby opracowania oceny scoringowej Uczestnika niezbędnej do przeprowadzenia analizy zdolności kredytowej oraz analizy ryzyka kredytowego, które to B[...] zobowiązany jest gromadzić, przetwarzać i udostępniać bankom i instytucjom ustawowo upoważnionym do udzielania kredytów dla realizacji celów ustawowych badania zdolności kredytowej, 6) art. 6 ust. 1 lit. f RODO poprzez jego niezastosowanie wskutek uznania, że w przypadku braku zawarcia umowy kredytowej, B[...] nie posiada prawnie uzasadnionego interesu w przetwarzaniu danych Uczestnika, podczas gdy istnieje prawnie uzasadniony interes B[...] w przetwarzaniu tych informacji pomimo nie zawarcia umowy kredytowej, polegający na realizacji działań z zakresu opracowania, utrzymania aktualności i funkcjonalności zbudowanych modeli scoringowych w zgodzie z treścią Rekomendacji W, S i T Komisji Nadzoru Finansowego w zakresie dobrych praktyk i zarządzania ryzykiem kredytowym, 7) art. 6 ust. 1 lit. f RODO poprzez jego niezastosowanie wskutek uznania, że B[...] nie posiada podstawy prawnej do przetwarzania danych Uczestnika, podczas gdy B[...] posiada podstawę prawną przetwarzania z uwagi na konieczność zapewnienia rozliczalności działań jako administratora danych osobowych na zasadzie art. 5 ust. 2 RODO w postaci wykazania przestrzegania przepisów dotyczących jakości danych. Ponadto zarzucono naruszenie prawa procesowego, mającego istotny wpływ na wynik sprawy, w postaci: 1) art. 7 w zw. z art. 77 § 1 i w zw. z art. 80 k.p.a. w zw. z art. 7 u.o.d.o. poprzez niewyczerpujące zebranie, nierozpatrzenie i błędną ocenę całokształtu materiału dowodowego przejawiającego się w zaniechaniu dokonania wyczerpującej analizy charakteru, zakresu oraz celów gospodarczo-ekonomicznych dla jakich zostało powołane B[...] oraz obowiązków prawnych i obowiązków wynikających z zawartych przez B[...] umów z bankami, skutkującą wadliwą i niepełną oceną stanu faktycznego sprawy oraz charakteru działania B[...], co w konsekwencji skutkowało nieuzasadnionym wydaniem przez organ nakazu usunięcia danych osobowych Uczestnika, 2) art. 7b w zw. z art. 7 w zw. z art. 77 k.p.a. w zw. z art. 7 u.o.d.o. poprzez niedokładne wyjaśnienie stanu faktycznego i prawnego koniecznego do podjęcia przez organ stosownych czynności, a w szczególności niezwrócenie się do Komisji Nadzoru Finansowego w celu kompleksowego wyjaśniania stanu faktycznego sprawy oraz współdziałania w zakresie niezbędnym do dokładnego wyjaśnienia stanu prawnego, mając na względzie interes społeczny i słuszny interes obywateli w postaci ustalenia należytych zasad, celów i zakresu przetwarzania danych osobowych o niezrealizowanych zapytaniach kredytowych tak, by procesy przetwarzania danych czyniły zadość zarówno przepisom prawa o ochronie danych osobowych, jak i przepisom szeroko pojętego prawa bankowego, w szczególności dla zapewnienia ochrony wartości, których gwarancje ochrony wynikają z ww. przepisów zgodnie z zasadą proporcjonalności, 3) art. 7, 77 § 1 i 80 k.p.a. poprzez zaniechanie dokonania oceny Rekomendacji S, W i T Komisji Nadzoru Finansowego jako organu właściwego do sprawowania nadzoru nad instytucjami krajowymi w rozumieniu przepisów UE (regulatora rynku finansowego), które to regulacje nakładają na banki, a w konsekwencji na B[...], jako instytucję gromadzącą dane służące do oceny zdolności kredytowej oraz budującą modele scoringowe służące bankom, określone wymagania, które podlegają nadzorowi i egzekwowaniu przez Komisję Nadzoru Finansowego na podstawie bezwzględnie obowiązujących przepisów prawa, co w konsekwencji doprowadziło do zaniechania przez organ oceny podstaw prawnych i celów dla jakich B[...] oraz banki są upoważnione do przetwarzania danych w zakresie zdolności kredytowej również w przypadku nie zawarcia umowy kredytowej dla zabezpieczenia interesów banków oraz stabilności rynku gospodarczo-finansowego, 4) art. 7, 77 w zw. z 80 k.p.a. poprzez zaniechanie wyczerpującego zebrania i rozpatrzenia materiału dowodowego, a w szczególności przejawiającego się brakiem analizy treści skargi złożonej do PUODO przez Uczestnika pod kątem istnienia - po stronie banków, a w konsekwencji B[...] jako instytucji gromadzącej dane służące do oceny zdolności kredytowej oraz budującej modele scoringowe służące bankom - oczywistego interesu prawnego przejawiającego się w odmowie udzielenia kredytu wynikającego z braku istnienia zdolności kredytowej po stronie Uczestnika, co prowadzi do zabezpieczenia interesu banków przed nieodpowiedzialną polityką udzielania kredytów osobom, które nie mają szans na ich spłacenie oraz do zapewnienia stabilności gospodarczo-ekonomicznej sektora bankowego, a w ujęciu makro zapobieganiu kryzysom gospodarczym, 5) art. 7, 77 w zw. z 80 k.p.a. poprzez niezbadanie przez organ wszystkich podstaw prawnych dalszego przetwarzania danych o zapytaniach kredytowych, w sytuacji nieudzielenia kredytu, pomimo, iż przepisy prawa upoważniają B[...] do przetwarzania tych danych, co w konsekwencji doprowadziło do błędnego nakazania B[...] usunięcia przetwarzanych danych osobowych wobec błędnego przyjęcia przez organ braku istnienia podstawy prawnej do przetwarzania danych. Mając na uwadze wskazane zarzuty, wniesiono o uchylenie decyzji w zaskarżonej części (pkt 2), o wstrzymanie jej wykonania w zakresie nakazu zawartego w pkt 2 decyzji. W udzielonych odpowiedziach na skargi PUODO wniósł o ich oddalenie. Postanowieniem z [...] lipca 2023 r. PUODO odmówił wstrzymania wykonania zaskarżonej decyzji w zakresie pkt 1, zaś postanowieniem z [...] sierpnia 2023 r. odmówił wstrzymania zaskarżonej decyzji w zakresie pkt 2. Postanowieniami z 4 i 28 września 2023 r. Sąd wstrzymał wykonanie zaskarżonej decyzji odpowiednio wobec Banku oraz B[...]. Sąd postanowieniem z 18 grudnia 2023 r. połączył sprawy o sygn. akt II SA/Wa 1513/23 (ze skargi Banku) i II SA/Wa 1683/23 (ze skargi B[...]) do wspólnego rozpoznania i rozstrzygnięcia i postanowił o ich rozpoznaniu pod sygn. II SA/Wa 1513/23. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje. W świetle art. 1 § 1 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (t.j. Dz. U. z 2022 r. poz. 2492 ze zm.), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej, przy czym stosownie do § 2 art. 1 powołanej ustawy kontrola ta sprawowana jest pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej. Skargi Banku i B[...] oceniane według podanych kryteriów kontroli nie zasługują na uwzględnienie. Zaskarżona decyzja PUODO z [...] czerwca 2023 r. zarówno w części dotyczącej rozstrzygnięcia zawartego w punkcie 1 jak i 2, nie narusza prawa. Organ podjął w tej sprawie decyzję po dokonaniu wymaganych ustaleń stanu faktycznego niezbędnych do jej rozstrzygnięcia oraz swoje stanowisko należycie uzasadnił. W sprawie jest bezsporne, że przetwarzanie danych osobowych Uczestnika przez Bank i B[...] powinno odbywać się z poszanowaniem przepisów RODO. Uczestnik [...] marca 2022 r. złożył do Banku wniosek o udzielenie kredytu, co jest bezsporne. Bank wskazał w toku postępowania, że pozyskał w ten sposób i przetwarza dane wymienionego w zakresie: imienia, nazwiska, daty urodzenia, nr PESEL, serii i nr dowodu osobistego, płci, danych z wniosków kredytowych dotyczących wnioskowanych zobowiązań i adresu zamieszkania. Niesporny jest też ustalony cel pozyskania danych Uczestnika, tj. ocena zdolności kredytowej i ryzyka kredytowego. Cele dalszego przetwarzania przez Bank danych osobowych Uczestnika, z którym Bank nie zawarł umowy, w zakresie zapytania kredytowego, organ przedstawił w ustaleniach faktycznych decyzji, opartych na wyjaśnieniach Banku, które to ustalenia są bezsporne. Wskazać należy, że obejmują one takie cele jak: realizacja prawa do wyjaśnienia oceny zdolności kredytowej, wykonywanie obowiązków związanych z przeciwdziałaniem praniu pieniędzy i finansowaniu terroryzmu, przeciwdziałanie popełnianiu innych przestępstw, w tym przestępstw na szkodę banków w zakresie obowiązku stosowania środków bezpieczeństwa finansowego, gromadzenia i przekazywania odpowiednim instytucjom informacji przewidzianych przez ustawę lub blokowania określonych transakcji, ocena ryzyka kredytowego, w tym ocena globalnego ryzyka kredytowego, realizacja wymogów ostrożnościowych na podstawie właściwych przepisów rozporządzenia nr 575/2013, ewentualne dochodzenie przez uczestnika postępowania roszczeń wobec Banku. W sprawie jest także bezsporne, że B[...] pozyskał dane osobowe Uczestnika w zakresie wskazanego zapytania kredytowego od Banku, na podstawie art. 105 ust. 4, art. 105a ust. 1 Prawa bankowego oraz umowy zawartej między B[...] i Bank, jak podał B[...], w celu: oceny zdolności kredytowej i analizy ryzyka kredytowego (przed okres 12 lat), przeciwdziałania przestępstwom oraz wykonywania obowiązków w zakresie określonym w przepisach o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu, statystycznym i analizy (w celu dostarczenia bankom analiz m.in. pozwalających ocenić jakość polityki kredytowej na tle rynku) przez okres nie dłuższy niż – jak wskazano 10 lat od dnia złożenia zapytania oraz rozpatrywania ewentualnych reklamacji lub roszczeń odszkodowawczych klientów. Podstawy przetwarzania danych osobowych Uczestnika wymienione podmioty finansowe upatrują w przesłance legalizującej z art. 6 ust. 1 lit. f RODO, dodatkowo też w art. 6 ust. 1 lit. c RODO. Dokonując oceny zgodności z prawem zaskarżonej decyzji w zakresie punktu 1 i 2, którą Prezes UODO nakazał Bankowi i B[...] usunięcie danych osobowych Uczestnika w zakresie wniosku kredytowego z [...] marca 2022 r., którego rozpatrzenie nie zakończyło się udzieleniem kredytu, wskazać na wstępie należy, że zgodnie z motywem 40 RODO, aby przetwarzanie danych było zgodne z prawem, powinno się odbywać na podstawie zgody osoby, której dane dotyczą, lub na innej uzasadnionej podstawie przewidzianej prawem: albo w niniejszym rozporządzeniu, albo w innym akcie prawnym Unii lub w prawie państwa członkowskiego, o których mowa w niniejszym rozporządzeniu, w tym musi się ono odbywać z poszanowaniem obowiązku prawnego, któremu podlega administrator, lub z poszanowaniem umowy, której stroną jest osoba, której dane dotyczą, lub w celu podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy. Powyższe znalazło wyraz w art. 6 ust. 1 RODO określającym przesłanki legalności przetwarzania danych osobowych. Zgodnie z tym przepisem, przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy - i w takim zakresie, w jakim - spełniony jest co najmniej jeden z poniższych warunków: a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów; b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy; c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze; d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej; e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi; f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Akapit pierwszy lit. f) nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań. Zgodnie z art. 105a ust. 1 Prawa bankowego, przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów, instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy o kredycie konsumenckim, a także instytucje utworzone na podstawie art. 105 ust. 4, informacji stanowiących tajemnicę bankową i informacji udostępnionych przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy o kredycie konsumenckim, w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem art. 104, art. 105 i art. 106-106d, w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Zgodnie z art. 70 ust. 1 Prawa bankowego, bank uzależnia przyznanie kredytu od zdolności kredytowej kredytobiorcy. Przez zdolność kredytową rozumie się zdolność do spłaty zaciągniętego kredytu wraz z odsetkami w terminach określonych w umowie. Kredytobiorca jest obowiązany przedłożyć na żądanie banku dokumenty i informacje niezbędne do dokonania oceny tej zdolności. Analiza powyższych przepisów wskazuje, że Bank oraz B[...], na podstawie art. 105a ust. 1 Prawa bankowego w zw. z art. 70 ust. 1 tej ustawy, były uprawnione do przetwarzania danych osobowych Uczestnika w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Niemniej art. 105a ust. 2 Prawa bankowego stanowi, że instytucje, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową oraz informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy o kredycie konsumenckim, w zakresie dotyczącym osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d tej ustawy, pod warunkiem uzyskania pisemnej zgody osoby, której informacje te dotyczą, z zastrzeżeniem ust. 2a. Zgoda ta może być w każdym czasie odwołana. Ust. 3 zaś stanowi, że Banki, instytucje oraz podmioty, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową i informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy o kredycie konsumenckim, dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d tej ustawy, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy o kredycie konsumenckim, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank, inną instytucję ustawowo upoważnioną do udzielania kredytów, instytucję pożyczkową albo podmiot, o którym mowa w tym przepisie, o zamiarze przetwarzania dotyczących jej tych informacji, bez jej zgody. Kolejne przepisy wskazują, że banki oraz instytucje, o których mowa w art. 105 ust. 4, mogą przetwarzać stanowiące tajemnicę bankową informacje dotyczące osoby fizycznej po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której informacje dotyczą, do celów stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013 (ust. 4). Przetwarzanie informacji stanowiących tajemnicę bankową w przypadkach, o których mowa w ust. 3, może być wykonywane przez okres nie dłuższy niż 5 lat od dnia wygaśnięcia zobowiązania, a w przypadku, o którym mowa w ust. 4, przez okres 12 lat od dnia wygaśnięcia zobowiązania (ust. 5). Zakres przetwarzanych informacji, o których mowa w ust. 3 i 4, może obejmować dane dotyczące osoby fizycznej lub dane dotyczące zobowiązania (ust. 6). W analizowanym przypadku nie doszło jednak do zawarcia umowy kredytowej pomiędzy Uczestnikiem a Bankiem. Zgodzić się należy w związku z powyższym z PUODO, że odpadła przesłanka legalizująca dalsze przetwarzanie danych osobowych Uczestnika przez Bank oraz B[...], które to przetwarzanie miało na celu – co wymaga podkreślenia – ocenę zdolności kredytowej i analizę ryzyka kredytowego (przed zawarciem umowy). Pomiędzy Bankiem a wymienioną osobą fizyczną nie zawiązał się żaden stosunek zobowiązaniowy, który stosownie do art. 105a ust. 1 - 6 Prawa bankowego dawałby podstawę do dalszego przetwarzania jej danych osobowych zarówno przez Bank jak i B[...]. Ustał cel przetwarzania, dla którego pozyskano dane osobowe wymienionego i nie ma spełnionej przesłanki ich dalszego przetwarzania, co trafnie stwierdził organ właściwy do spraw ochrony danych osobowych. Z przedstawionych wyżej przepisów wynika, że przesłanki zawarte w art. 105a Prawa bankowego dotyczą przetwarzania informacji objętych tajemnicą bankową w okresie przed powstaniem zobowiązania, w trakcie jego trwania oraz po wygaśnięciu zobowiązania. Natomiast w sytuacji, gdy w następstwie złożenia wniosku kredytowego nie dochodzi do zawarcia umowy kredytowej z Bankiem, jak miało to miejsce w niniejszej sprawie, brak jest ustawowych przesłanek legalizujących dalsze przetwarzanie danych osobowych wnioskującego o zawarcie i wykonanie umowy produktowej w zakresie zapytania kredytowego przez Bank, a następczo B[...]. Wobec braku zgody osoby zainteresowanej produktem finansowym Banku na przetwarzanie jej danych osobowych po negatywnym rozpatrzeniu jej wniosku o kredyt (art. 6 ust. 1 lit. a RODO), odpadła przesłanka dopuszczalności przetwarzania przez Bank i B[...] danych wymienionej osoby zawartych w zapytaniu kredytowym. Nie może bowiem budzić wątpliwości, że ocena zdolności kredytowej i ryzyka kredytowego ma charakter czynności wstępnych przed zawarciem umowy przez bank. Dalsze przetwarzanie danych, uzyskanych pierwotnie wyłącznie w celu oceny zdolności kredytowej i analizy ryzyka kredytowego, w przypadku braku zawarcia stosownej umowy, pozostaje w oderwaniu od celu, dla którego dane zostały zebrane. Na gruncie RODO niedopuszczalne jest – w takim stanie faktycznym, jak w niniejszej sprawie, gdy nie zawarto umowy kredytowej – przetwarzanie danych osobowych "na przyszłość" w zupełnie innych celach niż je zebrano, w tym na potrzeby oceny zdolności kredytowej innych podmiotów, w sytuacji, gdy nie można zrekonstruować wyraźnej podstawy prawnej takich działań. W sprawie niewątpliwie nie mamy do czynienia z sytuacją, w której nawiązano stosunek zobowiązaniowy i następnie dane przetwarzane są (w tym także udostępniane) przez administratora nie tylko w celu zasadniczym, tj. realizacji zawartej z klientem umowy, ale także w innych celach, które powstały w trakcie trwania stosunku zobowiązaniowego i które w ocenie administratora winny być, czy mogą być – w związku z trwającym stosunkiem prawnym - kwalifikowane jako jego "prawnie uzasadnione interesy" na gruncie RODO (art. 6 ust. 1 lit. f RODO). Przypadek taki nie zachodzi w niniejszej sprawie. Sprawa przedmiotowa dotyczy – co wymaga raz jeszcze podkreślenia - przetwarzania danych osoby fizycznej, z którą Bank nie zawarł umowy. Ustał tym samym cel przetwarzania jej danych osobowych wynikający z art. 105a ust. 1 w zw. z art. 70 ust. 1 Prawa bankowego, albowiem po odmowie przyznania produktu finansowego osoba zainteresowana wniosła o zaprzestanie przetwarzania danych i ich usunięcie. Podstawy do dalszego przetwarzania danych osobowych Uczestnika (na przyszłość i w innych wskazywanych obecnie przez Bank i B[...] celach) nie stanowi w tej sprawie, w jej okolicznościach faktycznych, dla Banku jak też B[...] żadna z przesłanek z art. 6 ust. 1 lit. b - f RODO. W szczególności nie stanowi takiej przesłanki art. 6 ust. 1 lit. c RODO. Przepis ten dotyczy bowiem sytuacji, gdy przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego administratora danych, a nie realizacji uprawnienia, o którym mowa w art. 105 ust. 4 Prawa bankowego. Ponadto przepis art. 105 ust. 4 Prawa bankowego nie stanowi o dopuszczalności przetwarzania danych osobowych dotyczących wniosków kredytowych w sytuacji, gdy nie doszło do zawarcia umowy z Bankiem. W tym przypadku ustał cel oceny zdolności kredytowej i analizy ryzyka kredytowego. Przepis art. 105a ust. 1a, 1b, 1c Prawa bankowego, dotyczy określenia warunków dopuszczalności zautomatyzowanego przetwarzania, w tym profilowania danych osobowych w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Powyższe przepisy w żaden sposób nie dają podstawy do przetwarzania "na przyszłość" danych osoby, z którą umowy nie zawarto, a cel, dla którego dane zebrano ustał. Brzmienie art. 105a Prawa bankowego nie daje podstaw do dalszego przetwarzania danych po zakończeniu oceny zdolności kredytowej i analizy ryzyka kredytowego, a także wówczas, gdy wnioskodawca zrezygnował z zaciągnięcia kredytu. Na podstawie powołanych przepisów Bank, a także B[...], nie tylko nie ma obowiązku ich dalszego przetwarzania, ale nie ma również uprawnienia w tym zakresie w sytuacji, gdy umowy nie zawarto i nie wykazano przesłanki legalizującej to działanie. Powyższa konkluzja pozostaje w zgodzie z akceptowaną w pełni przez skład orzekający w niniejszej sprawie ugruntowaną linią orzeczniczą sądów administracyjnych, której przykładem jest m.in. wyrok Naczelnego Sądu Administracyjnego z dnia 27 sierpnia 2019 r., sygn. akt I OSK 2567/17, zgodnie z którym cyt.: "(...) cel oceny zdolności kredytowej stanowi ocena zdolności do spłaty zaciągniętego kredytu wraz z odsetkami, co ma charakter czynności wstępnej do zawarcia stosownej umowy. Dalsze przetwarzanie danych uzyskanych w celu oceny zdolności kredytowej, w przypadku nie zawarcia stosownej umowy pozostawałaby w oderwaniu od celu dla którego dane te uzyskano. (...) niedopuszczalne jest przetwarzanie danych osobowych na przyszłość, a także na potrzeby budowy oceny zdolności kredytowej innych podmiotów, jeżeli nie można zrekonstruować wyraźnej podstawy prawnej takich działań". Pogląd ten wyrażony został wprawdzie na gruncie poprzednio obowiązującej ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych i obowiązującej przed RODO Dyrektywy 95/46 WE, jednakże w ocenie Sądu nie stracił na aktualności. Przepisy RODO wzmacniają jeszcze w porównaniu z Dyrektywą 95/46 ochronę danych osób fizycznych. Aktualności tego poglądu Naczelnego Sądu Administracyjnego nie zmienia także fakt, że B[...] i Bank, przyjęły w swej praktyce określone terminy dalszego przetwarzania danych osobowych osoby, z którą nie zawarto umowy kredytu. Zatem ustalenia PUODO odnośnie do braku dopuszczalności przetwarzania danych Uczestnika w zakresie zapytania kredytowego wskazanego w decyzji są prawidłowe. Nakaz zawarty zarówno w punkcie 1, jak i 2 decyzji jest przy tym jasny, nie ma wątpliwości co do jego zakresu i jest wykonalny. Zakres usunięcia danych osobowych wymienionego obejmuje dane osobowe zgromadzone w celu rozpatrzenia wniosku kredytowego. Szczegółowo dane te zostały precyzyjnie wskazane przez Bank i B[...] w pismach wyjaśniających złożonych do akt sprawy w postępowaniu administracyjnym. Wymaga w tym miejscu podkreślenia, że zgodnie z art. 5 ust. 1 RODO, dane osobowe muszą być: a) przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą ("zgodność z prawem, rzetelność i przejrzystość"); b) zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami; dalsze przetwarzanie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych nie jest uznawane w myśl art. 89 ust. 1 za niezgodne z pierwotnymi celami ("ograniczenie celu"); c) adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane ("minimalizacja danych"); d) prawidłowe i w razie potrzeby uaktualniane; należy podjąć wszelkie rozsądne działania, aby dane osobowe, które są nieprawidłowe w świetle celów ich przetwarzania, zostały niezwłocznie usunięte lub sprostowane ("prawidłowość"); e) przechowywane w formie umożliwiającej identyfikację osoby, której dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane; dane osobowe można przechowywać przez okres dłuższy, o ile będą one przetwarzane wyłącznie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych na mocy art. 89 ust. 1, z zastrzeżeniem że wdrożone zostaną odpowiednie środki techniczne i organizacyjne wymagane na mocy niniejszego rozporządzenia w celu ochrony praw i wolności osób, których dane dotyczą ("ograniczenie przechowywania"); f) przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych ("integralność i poufność"). Przedstawione zasady przetwarzania danych nie pozwalają na arbitralne decydowanie przez administratora – w sytuacji braku do tego podstaw – o dalszym przetwarzaniu (a zatem ich m.in. ujawnianiu poprzez przesyłanie, udostępnianie, utrwalanie, organizowanie, adaptowanie, modyfikowanie) danych osobowych mimo ustania celu, dla którego dane w zapytaniu kredytowym były zebrane. Kwestia sposobu funkcjonowania w Banku, czy w B[...] systemu oceny zdolności kredytowej nie może stanowić sama w sobie podstawy do przetwarzania danych osobowych na przyszłość. Stanowiłoby to nieuprawnione rozszerzenie stosowania normy wskazanej w art. 105a ust. 1 Prawa bankowego na sytuacje, w których nie dochodzi do zawarcia umowy, a dane osobowe osoby wnioskującej o kredyt są przetwarzane w celu oceny ryzyka kredytowego. Bank wskazuje bowiem, że dla takiej oceny istotna jest informacja o składanych wcześniej przez daną osobę wnioskach kredytowych i fakcie nieudzielenie jej kredytu. Bank podkreśla przy tym, że analiza ryzyka kredytowego jest jego obowiązkiem. Sąd nie neguje, że ocena ryzyka kredytowego jest obowiązkiem Banku. Instrumenty służące dokonaniu takiej oceny przez banki muszą jednak być stosowane z poszanowaniem przepisów prawa normujących uprawnienie banków do przetwarzania danych osobowych potencjalnych klientów pry uwzględnieniu generalnych zasad przetwarzania danych osobowych (art. 5 RODO). Odnosząc się do zarzutów i twierdzeń Banku i B[...], iż legitymują się przesłanką przetwarzania danych wynikającą z art. 6 ust. 1 lit. f RODO w związku z Rekomendacjami S, W i T Komisji Nadzoru Finansowego, które to Rekomendacje nakładają na banki określone wymagania, które następnie podlegają egzekwowaniu przez Komisję Nadzoru Finansowego, na podstawie bezwzględnie obowiązujących przepisów, stwierdzić należy, iż zarzuty te nie zasługują – w ocenie Sądu – na uwzględnienie. Wskazać w tym miejscu należy, że źródłami powszechnie obowiązującego prawa w Rzeczypospolitej Polskiej są: Konstytucja, ustawy, ratyfikowane umowy międzynarodowe oraz rozporządzenia (art. 87 ust. 1 Konstytucji RP). Nie ulega zatem wątpliwości, że rekomendacje KNF nie są aktami prawa powszechnie obowiązującego. Nie mieszczą się bowiem w zamkniętym katalogu źródeł powszechnie obowiązującego prawa Rzeczypospolitej Polskiej, określonym w art. 87 Konstytucji RP. Ponadto wydaje je organ, który nie ma stosownego umocowania konstytucyjnego. W świetle dychotomiczności i konstytucyjnego systemu źródeł prawa problem stanowi jednak również klasyfikacja rekomendacji jako przepisów prawa o charakterze wewnętrznym w rozumieniu art. 93 ust. 1 Konstytucji RP. Za uznaniem rekomendacji jako elementu systemu aktów prawa wewnętrznego opowiedział się Sąd Najwyższy w postanowieniu z 7 grudnia 1999 r., sygn. akt I CKN 796/99, LEX nr 38875, odnoszącym się do Komisji Nadzoru Bankowego (poprzednika KNF). Jednakże duża część doktryny reprezentuje stanowisko, że rekomendacje KNF nie mają charakteru normatywnego (jako akty prawa wewnętrznego w rozumieniu art. 93 Konstytucji RP), lecz – stanowiąc jedynie postulat pod adresem banków dotyczący prawidłowej organizacji banku i bezpiecznego – charakter nie władczych form działania administracji (Agnieszka Mikos-Sitek (red.), Zapadka Piotr (red.), "Prawo bankowe. Komentarz", WKP 2022, teza 3 do art. 137). W świetle powyższego brak jest podstaw do przyjęcia, że wskazane w skardze B[...] i Banku Rekomendacje mogą stanowić źródło obowiązku prawnego ciążącego na administratorze, o którym mowa w art. 6 ust. 1 lit. c RODO lub źródło prawnie uzasadnionych interesów realizowanych przez administratora w rozumieniu art. 6 ust. 1 lit. f RODO. Z tego też względu za całkowicie chybiony uznać należy zarzut naruszenia art. 7b k.p.a., polegającego na zaniechaniu zwrócenia się przez Prezesa UODO do Komisji Nadzoru Finansowego jako organu właściwego w sprawach związanych z rynkiem finansowym i jego regulowaniem w celu kompleksowego wyjaśnienia stanu faktycznego sprawy oraz współdziałania w zakresie niezbędnym do dokładnego wyjaśnienia stanu prawnego. Za prawnie usprawiedliwiony cel w rozumieniu art. 6 ust. 1 lit. f RODO nie może zostać uznane przetwarzanie danych osobowych na wypadek ewentualnego dochodzenia lub obrony roszczeń. Zebrany w niniejszym postępowaniu materiał dowodowy nie wykazał, aby Uczestnik wystąpił z jakimkolwiek roszczeniem wobec Banku lub B[...], które uzasadniałoby uprawnienie tych podmiotów do zachowania i przetwarzania jego danych osobowych dla celów dowodowych w związku z dochodzeniem przez Uczestnika tego roszczenia. Bank nie wskazał także na istnienie roszczeń, których dochodzi od Uczestnika. Okolicznością usprawiedliwiającą przetwarzanie danych osobowych w celu dochodzenia roszczeń jest sam fakt istnienia roszczenia oraz rzeczywisty zamiar jego dochodzenia. Przyjęcie poglądu Banku skutkowałoby tym, że dane osobowe Uczestnika mogłyby być przetwarzane w nieskończoność, gdyż upływ terminu przedawnienia nie uniemożliwia dochodzenia roszczeń, skoro nie powoduje ich wygaśnięcia (wywołuje przecież wyłącznie zmianę w sferze zarzutów procesowych). Na uwzględnienie nie zasługuje również zarzut Banku dotyczący naruszenia art. 6 ust. 1 lit. c RODO w zw. z art. 144 ust. 1 lit. d, art. 145 ust. 1, art. 170 ust. 3 lit. a, 171 ust. 2 oraz art. 179 ust. 1 lit. a rozporządzenia nr 575/2013. Zauważyć bowiem należy, że zgodnie z art. 105a ust. 4 banki oraz instytucje, o których mowa w art. 105 ust. 4, mogą przetwarzać stanowiące tajemnicę bankową informacje dotyczące osoby fizycznej po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której informacje dotyczą, do celów stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013. W niniejszej sprawie nie doszło zaś do powstania zobowiązania. Poszukiwanie zatem uprawnienia do przetwarzania danych osobowych w takiej sytuacji w przepisach ww. rozporządzenia jest nieuzasadnione. B[...] w swojej skardze zarzucił w pierwszej kolejności naruszenie art. 6 ust. 1 lit. c RODO w zw. z art. 105 ust. 1 pkt 1c w zw. z art. 105 ust. 4 oraz w zw. z art. 105a w zw. z art. 70 i art. 5 ust. 1 pkt 3 Prawa bankowego. Odnośnie do tego zarzutu podnieść należy, że przedstawione wyżej stanowisko Sądu dotyczące art. 105a Prawa bankowego jest aktualne również wobec zarzutu postawionego przez B[...]. Natomiast art. 105 ust. 1 pkt 1c Prawa bankowego stanowi, że bank ma obowiązek udzielenia informacji stanowiących tajemnicę bankową wyłącznie instytucjom, o których mowa w ust. 4, w zakresie niezbędnym do stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w przepisach części trzeciej rozporządzenia nr 575/2013. Przepis ten stanowi o obowiązku udzielania przez banki informacji stanowiących tajemnicą bankową podmiotowi, jakim jest B[...]. Przepis ten nie odnosi się do przetwarzania danych przez B[...] w zakresie niezbędnym do stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w przepisach części trzeciej rozporządzenia nr 575/2013. O przetwarzaniu danych przez B[...] w tym celu stanowi powołany wyżej art. 105a ust. 4 Prawa bankowego, który, przypomnieć należy, uprawnia do tego B[...] bez zgody osoby, której informacje dotyczą, ale "po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów". Przepis art. 70 Prawa bankowego stanowi natomiast wyłącznie o badaniu przez banki zdolności kredytowej i nie zawiera regulacji dotyczących przetwarzania danych osobowych. Natomiast art. 5 ust. 1 pkt 3 tej ustawy wskazuje, że czynnością bankową jest udzielanie kredytów. Zaś art. 105 ust. 4 Prawa bankowego nie mógł zatem stanowić w niniejszej sprawie podstawy przetwarzania danych osobowych Uczestnika przez B[...] zarówno samodzielnie, jak i w powiązaniu z art. 105 ust. 1 pkt 1c, art. 105a, art. 70 i art. 5 ust. 1 pkt 3 Prawa bankowego. B[...] zarzucił w skardze również naruszenie art. 6 ust. 1 lit e RODO powołując się na niezbędność przetwarzania danych osobowych dla realizacji zadania w interesie publicznym wywodzonym z potrzeby zabezpieczenia ekonomiczno-gospodarczego sektora publicznego. Przepis ten przewiduje dwie przesłanki legalizujące przetwarzanie danych osobowych. Może być ono niezbędne do wykonania zadania realizowanego w interesie publicznym lub niezbędne w ramach sprawowania władzy publicznej powierzonej administratorowi. W obu przypadkach zarówno zadanie, jak i sprawowanie władzy publicznej muszą zostać sprecyzowane w przepisach, o których mowa w art. 6 ust. 3 RODO. Art. 6 ust. 3 RODO stanowi bowiem, że podstawa przetwarzania, o którym mowa w ust. 1 lit. c i e, musi być określona: a) w prawie Unii; lub b) w prawie państwa członkowskiego, któremu podlega administrator. Cel przetwarzania musi być określony w tej podstawie prawnej lub, w przypadku przetwarzania, o którym mowa w ust. 1 lit. e - musi być ono niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi. Podstawa prawna może zawierać przepisy szczegółowe dostosowujące stosowanie przepisów niniejszego rozporządzenia, w tym: ogólne warunki zgodności z prawem przetwarzania przez administratora; rodzaj danych podlegających przetwarzaniu; osoby, których dane dotyczą; podmioty, którym można ujawnić dane osobowe; cele, w których można je ujawnić; ograniczenia celu; okresy przechowywania; oraz operacje i procedury przetwarzania, w tym środki zapewniające zgodność z prawem i rzetelność przetwarzania, w tym w innych szczególnych sytuacjach związanych z przetwarzaniem, o których mowa w rozdziale IX. Prawo Unii lub prawo państwa członkowskiego muszą służyć realizacji celu leżącego w interesie publicznym, oraz być proporcjonalne do wyznaczonego, prawnie uzasadnionego celu. Podnieść należy, że w odróżnieniu od przesłanki z art. 6 ust. 1 lit. c, RODO w art. 6 ust. 3 nie wymaga określenia w podstawie prawnej celu przetwarzania, a jedynie takiej jej konstrukcji, z której wynika niezbędność przetwarzania do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi (zob. E. Bielak-Jomaa (red.), D. Lubasz (red.), "RODO. Ogólne rozporządzenie o ochronie danych. Komentarz", Lex). Zdaniem Sądu analizowane powyżej przepisy art. 70, art. 70a, art. 105 ust. 4 i art. 105a Prawa bankowego nie wskazują na niezbędność przetwarzania przez B[...] danych osobowych osoby ubiegającej się o kredyt w sytuacji, gdy nie doszło do zawarcia umowy. Oznacza to, że zarzut naruszenia przez organ art. 6 ust. 1 lit. e RODO nie jest zasadny. Wbrew twierdzeniom skarżących, samo przetwarzanie danych w celu udokumentowania prawidłowości ich przetwarzania nie stanowi celu, który wynika z prawnie uzasadnionego interesu. Mając powyższe na uwadze, w ocenie Sądu, w niniejszej sprawie nie została spełniona żadna z przesłanek wskazanych w zarzutach skargi (art. 6 ust. 1 lit. c, e, f RODO), która legitymizowałaby przetwarzanie danych osobowych Uczestnika po zakończeniu procesu rozpatrywania wniosku kredytowego. Nieuzasadnione są również zarzuty skarg dotyczące naruszenia przepisów prawa procesowego, tj. art. 7, art. 77 § 1 oraz art. 80 k.p.a., bowiem organ prawidłowo zebrał i ocenił zgromadzony w sprawie materiał dowodowy, opierając się na wyjaśnieniach Banku oraz B[...] dotyczących przetwarzania danych osobowych Uczestnika zawartych we wniosku kredytowym. Uzasadnienie decyzji odpowiada zaś wymogom określonym w art. 107 § 3 k.p.a.. W szczególności nieuzasadniony jest również, o czym wspomniano powyżej, zarzut naruszenia art. 7b k.p.a. poprzez zaniechanie zwrócenia się do Komisji Nadzoru Finansowego w celu kompleksowego wyjaśnienia stanu faktycznego sprawy. Zgodnie z art. 7b k.p.a. w toku postępowania organy administracji publicznej współdziałają ze sobą w zakresie niezbędnym do dokładnego wyjaśnienia stanu faktycznego i prawnego sprawy, mając na względzie interes społeczny i słuszny interes obywateli oraz sprawność postępowania, przy pomocy środków adekwatnych do charakteru, okoliczności i stopnia złożoności sprawy. W ocenie Sądu stan faktyczny i prawny sprawy został przez organ prawidłowo ustalony i należycie rozpatrzony w oparciu o zgromadzony materiał dowodowy, w tym w oparciu o wyjaśnienia Banku oraz B[...]. Nie zachodziły więc przesłanki do podjęcia przez PUODO współdziałania z innymi organami administracji publicznej w oparciu o ww. przepis w celu wydania rozstrzygnięcia w sprawie. Sąd zauważa, że PUODO jest wyspecjalizowanym w sprawach dotyczących ochrony danych osobowych i niezależnym organem, który ma status i kompetencje organu nadzorczego określone w przepisach RODO. Z tego względu PUODO jest uprawniony do samodzielnego dokonywania interpretacji przepisów prawa w zakresie dotyczącym ochrony danych osobowych. Stanowisko to znajduje potwierdzenie w art. 51 oraz w motywach 117, 122 oraz 123 RODO. Reasumując Sąd stwierdza, że decyzja PUODO jest zgodna z prawem, zaś zarzuty skarg nie zasługiwały na uwzględnienie. Mając na względzie powyższe, Sąd na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz.U. z 2023 r. poz. 1634 ze zm.) orzekł jak w sentencji wyroku.