II SA/Wa 172/24

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Joanna Kube, Sędzia WSA Sławomir Antoniuk, Sędzia WSA Ewa Radziszewska-Krupa (spr.), Protokolant specjalista Monika Gieroń po rozpoznaniu na rozprawie w dniu 22 sierpnia 2024 r. sprawy ze skarg [...] S.A. z siedzibą w [...] oraz [...] S. A. z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] listopada 2023 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargi I. Stan sprawy przedstawia się następująco: 1. Prezes Urzędu Ochrony Danych Osobowych (zwany dalej "Prezesem UODO") decyzją z [...] listopada 2023r. nr [...], działając na podstawie art. 104 § 1 ustawy z 14 czerwca 1960r. Kodeks postępowania administracyjnego (Dz.U. z 2023r., poz. 775 ze zm., zwana dalej "k.p.a."), art. 7 ust. 1 i 2 ustawy z 10 maja 2018r. o ochronie danych osobowych (Dz.U. z 2019r., poz. 1781, zwanej dalej "u.o.d.o."), art. 6 ust. 1 i art. 58 ust. 2 lit. c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych - Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35, zwane dalej "RODO"), po przeprowadzeniu postępowania administracyjnego w sprawie ze skargi P. G. (zwany dalej "Uczestnikiem") na nieprawidłowości w procesie przetwarzania jego danych osobowych: 1) nakazał B. S.A. z siedzibą w [...] (zwany dalej "Bankiem") usunięcie danych osobowych Uczestnika, w zakresie wynikającym z zapytań kredytowych z: [...] lutego, [...] marca i [...] czerwca 2021r. - niezakończonych zawarciem umowy kredytowej; 2) nakazał B. z siedzibą w [...] (zwany dalej "B.") usunięcie danych osobowych Uczestnika w zakresie wynikającym z zapytań kredytowych z: 1 lutego, 12 marca i 7 czerwca 2021r. - niezakończonych udzieleniem kredytu, przekazanych przez Bank. W uzasadnieniu decyzji Prezes UODO wskazał, że Uczestnik w skardze z 10 stycznia 2022r. podniósł, że Bank przetwarza bez podstawy prawnej jego dane osobowe wynikające z ww. zapytań kredytowych, które nie zakończyły się zawarciem umów kredytowych. Bank przekazał ponadto te dane do B., który też przetwarza te dane bez podstawy prawnej. Uczestnik [...] lutego, [...] marca i [...] czerwca 2021r. złożył w Banku wnioski o udzielenie kredytu, ale z Bankiem nie łączy go umowa. W związku z tym Uczestnik wniósł do Prezesa UODO o nakazanie usunięcia jego danych osobowych dotyczących ww. zapytań kredytowych. Bank w wyjaśnieniach wskazał, że dane osobowe Uczestnika (dane identyfikacyjne: imię, nazwisko, nazwisko rodowe matki, numer PESEL, data urodzenia, obywatelstwo, rodzaj, seria, numer, data wydania i data ważności dokumentu tożsamości; dane kontaktowe: adres zameldowania, adres zamieszkania/korespondencyjny; numer telefonu, adres e-mail; dane dotyczące sytuacji rodzinnej i finansowej: stan cywilny, status rezydencji podatkowej, wykształcenie, informacje o rodzaju i wysokości dochodów, stanowisku, okresie zatrudnienia oraz numer NIP zakładu pracy; dane finansowe związane z wnioskowanym kredytem, w tym kwota i rodzaj produktu kredytowego oraz cel jego udzielenia) pozyskał od Uczestnika, w związku z ww. zapytaniami kredytowymi, które nie zakończyły się zawarciem umowy z Bankiem. Ww. dane są przetwarzane na podstawie art. 6 ust. 1 lit. c) RODO w związku z art. 6 ust. 1 lit. f) RODO, z uwagi na konieczność spełniania przez Bank wymogów: a) wynikających z art. 70 ust. 1 ustawy z 29 sierpnia 1997r. Prawo bankowe (Dz.U. z 2022r., poz. 2324 ze zm., zwana dalej "u.P.b."), w związku z którym Bank uzależnia przyznanie kredytu od zdolności kredytowej kredytobiorcy, a kredytobiorca jest obowiązany przedłożyć na żądanie banku dokumenty i informacje niezbędne do dokonania oceny tej zdolności; b) w związku z art. 70a i 105a u.P.b., w związku z koniecznością zagwarantowania możliwości uzyskania wyjaśnień dotyczących dokonanej przez Bank oceny zdolności kredytowej (art. 70a u.P.b.) lub w związku z koniecznością zapewnienia prawa do otrzymania stosownych wyjaśnień Banku co do podstaw decyzji podejmowanych w trybie art. 105a ust. 1 u.P.b., c) w zakresie stosowania modeli wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 575/2013 z 26 czerwca 2013r. w sprawie wymogów ostrożnościowych dla instytucji kredytowych i firm inwestycyjnych, zmieniającego rozporządzenie (UE) nr 648/2012 (Dz. Urz. UE L 176 z 27.06.2013, str. 1, ze zm. zwana dalej "CRR"), w związku z art. 105 ust. 4 pkt 1 i art. 105a ust. 4 u.P.b. - m.in. wymogów kapitałowych określonych w część III CRP - art. 147 ust. 5 w zw. z art. 147 ust. 2 lit. d) (dotyczących metod klasyfikowania ekspozycji do poszczególnych kategorii ekspozycji) lub art. 171 (dot. klasyfikacji do klas lub pul), d) w związku z wymogami określonymi przez Komisję Nadzoru Finansowego (zwana dalej "KNF") w Rekomendacji T dotyczącej dobrych praktyk w zakresie zarządzania ryzykiem detalicznych ekspozycji kredytowych, e) oceny ryzyka kredytowego, w tym oceny globalnego ryzyka kredytowego, m.in. na podstawie art. 105a ust. 1-1c i 105 a ust. 4 u.P.b. w zw. ww. przepisami CRP oraz zmieniającego rozporządzenie (UE) nr 648/2012, a także w związku z wymogami określonymi przez KNF w Rekomendacji T, określonymi powyżej, f) uwzględnienia możliwości dochodzenia przez Uczestnika od Banku ewentualnych roszczeń związanych z przedmiotem postępowania - na podstawie art. 6 ust. 1 lit. f RODO w zw. z art. 118 ustawy z 23 kwietnia 1964r. Kodeks cywilny (Dz.U. z 2022r., poz. 1360 ze zm., zwany dalej "k.c.") w zw. z art. 82 RODO oraz związanej z tym konieczności umożliwienia Bankowi obrony przed ewentualnymi roszczeniami; g) wynikających z przepisów ustawa z 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (Dz.U. z 2022r., poz. 593 ze zm., zwana dalej "AML"). Bank wyjaśnił również, że przekazał ww. dane osobowe Uczestnika do B. w celu oceny zdolności kredytowej. Podstawą prawną złożenia przez Bank zapytań w B. były: art. 5 ust. 1 pkt 3 w zw. z art. 70 ust. 1 w zw. z art. 105 ust. 4 w zw. z art. 105 ust 1 pkt 1c u.P.b., art. 9 ust. 2 i 4 ustawy z 12 maja 2011r. o kredycie konsumenckim (tj. Dz. U. z 2022 r. poz. 246 ze zm., zwana dalej "u.k.k."). Bank podał też, że prowadził z Uczestnikiem korespondencję w przedmiocie zapytań kredytowych zrealizowanych w B. i udzielił odpowiedzi pismem z 2 sierpnia 2021r. Dodatkowe zgłoszenie Uczestnika z [...] sierpnia 2021r. Bank zaewidencjonował i przeprocesował jako reklamację i udzielił na odpowiedzi pismem z 21 września 2021r. Pismo Uczestnika z 12 sierpnia 2021r. Bank zaewidencjonował i przeprocesował jako wniosek o skorzystanie z uprawnień w zakresie wniosków o usunięcie danych osobowych i sprzeciw wobec przetwarzania danych osobowych w celach marketingowych oraz udzielił na nie odpowiedzi pismem z 16 września 2021r. B. w wyjaśnieniach podał, że pozyskał od Banku dane identyfikujące Uczestnika (imię, nazwisko, PESEL, rodzaj, serię i numer dowodu osobistego, datę urodzenia, obywatelstwo), dane z ww. wniosków kredytowych dotyczące zobowiązań i adres zamieszkania, w zakresie ww. zapytań kredytowych, na podstawie art. 105 ust. 1 pkt 1c, art. 105 ust. 4 oraz art. 105a ust. 1 u.P.b., a także na podstawie umowy łączącej Bank i B.. B. przetwarza dane Uczestnika w zakresie ww. zapytań w celach: a) wykonywania czynności bankowych, w szczególności oceny zdolności kredytowej i analizy ryzyka kredytowego, w tym z wykorzystaniem profilowania; b) statystycznych i analiz, których wynikiem nie są dane osobowe i wynik ten nie służy za podstawę podejmowania decyzji dotyczących konkretnych osób fizycznych; c) stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w art. 105a ust. 4 u.P.b.; d) wynikających z art. 106d u.P.b. - przeciwdziałania przestępstwom i wykonywania obowiązków w zakresie określonym w przepisach AML. B. przetwarza dane osobowe Uczestnika w zakresie wynikającym z ww. zapytań kredytowych w celu: a) oceny zdolności kredytowej i analizy ryzyka kredytowego: przez 12 miesięcy od dnia złożenia zapytania, w celu oceny zdolności kredytowej i analizy ryzyka kredytowego konkretnego klienta (indywidualna ocena zdolności kredytowej); nie krócej niż 5 lat i nie dłużej niż 10 lat od dnia złożenia zapytania, w celu budowy modeli scoringowych (narzędzi wykorzystywanych przez banki do oceny zdolności kredytowej i analizy ryzyka kredytowego). B. buduje ww. modele w oparciu o przetwarzane w zbiorze B. dane, w tym dane o złożonych zapytaniach. Podstawą przetwarzania jest art. 6 ust. 1 lit. c) RODO w związku z art. 105 ust. 4 i art. 105a ust. 1, 1a, 1b u.P.b., art. 171 ust. 2, art. 144 ust. 1 lit. d, art. 145 ust. 1, art. 147 ust. 5 lit. b) CRR. Na konieczność wykorzystania własnych i zewnętrznych baz danych przy ocenie zdolności kredytowej wskazuje też KNF w Rekomendacji T dotyczącej dobrych praktyk w zakresie zarządzania ryzykiem detalicznych ekspozycji kredytowych, powołując się na Rekomendacje 10, 16.4, 1.4 a) tiret drugie, 1.4 b) tiret drugie, 17.5 e) oraz wstęp do Rekomendacji); b) w celach statystycznych oraz stosowania metod wewnętrznych oraz innych metod i modeli; c) w celu rozpatrywania ewentualnych reklamacji lub roszczeń odszkodowawczych klientów, których termin przedawnienia zgodnie z art. 118 k.c. wynosi 6 lat (cele dowodowe). Podstawą przetwarzania jest art. 6 ust. 1 lit. f RODO, a dodatkową przesłanką konieczność wypełnienia ustawowego obowiązku wynikającego z art. 15 RODO w przypadku wystąpienia przez osobę, której dane dotyczą z wnioskiem o udzielenie informacji. B. poinformował również, że Bank nie zwracał się z żądaniem usunięcia danych w ww. zapytaniach, a także, że wnioskodawca nie zwracał się do B. z wnioskiem o usunięcie danych pochodzących z tych zapytań. Uczestnik i B. nie wystosowali wobec siebie roszczeń związanych z ww. zapytaniami kredytowymi. Prezes UODO w związku z tym wskazał, że przepisem uprawniającym administratorów danych do przetwarzania zwykłych danych osób fizycznych jest art. 6 ust. 1 RODO, zgodnie z którym, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy spełniona jest jedna z przesłanek wskazanych w tym przepisie. Katalog przesłanek wymienionych w art. 6 ust. 1 RODO, jest zamknięty. Każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny. Dodatkowo, proces przetwarzania danych osobowych musi być zgodny z zasadami ustanowionymi w art. 5 ust. 1 RODO. Do zasad tych zalicza się m.in. ograniczenie celu (art. 5 ust. 1 lit. b RODO) oraz minimalizację danych (art. 5 ust. 1 lit. c RODO). Zasady te wymagają, by dane osobowe były zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami, a proces przetwarzania danych osobowych był adekwatny, stosowny oraz ograniczony do tego, co niezbędne do celów, w których są przetwarzane. Co do zasady podstawą prawną przetwarzania danych osobowych klientów przez Bank i B. może być obecnie art. 6 ust. 1 lit. f RODO, gdy przetwarzanie to jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora. Prezes UODO wskazał, że B. jest instytucją utworzoną na podstawie art. 105 ust. 4 u.P.b. i odwołał się do treści tego przepisu oraz do treści art. 105a, art. 70 ust. 1 u.P.b. Podniósł też, że skoro Uczestnik [...] lutego, [...] marca i [...] czerwca 2021r. wystąpił do Banku z wnioskami o kredyt, to Bank i B., na podstawie art. 105a ust. 1 i art. 70 ust. 1 u.P.b. były uprawnione do przetwarzania danych osobowych Uczestnika, w celu oceny zdolności kredytowej. W sytuacji jednak, gdy nie doszło do zawarcia ww. umów pomiędzy Uczestnikiem a Bankiem odpadła przesłanka legalizująca dalsze przetwarzanie danych osobowych Uczestnika przez Bank oraz B.. Przesłanki zawarte w art. 105a u.P.b. dotyczą bowiem przetwarzania informacji objętych tajemnicą bankową w okresie przed powstaniem zobowiązania, w trakcie jego trwania oraz po wygaśnięciu zobowiązania. Skoro między Bankiem, a Uczestnikiem w związku z ww. zapytaniami kredytowymi nie zawiązał się stosunek zobowiązaniowy, który stosownie do art. 105a ust. 1-6 u.P.b. dawałby podstawę do dalszego przetwarzania danych osobowych wynikających z ww. zapytań, to brak jest podstaw prawnych do kontynuowania procesu oceny zdolności kredytowej i analizy ryzyka kredytowego. ww. cel przetwarzania danych osobowych Uczestnika został zrealizowany. Prezes UODO na poparcie ww. stanowiska powołał się na wyrok NSA z 27 sierpnia 2019r. sygn. akt I OSK 2567/17, zgodnie z którym cel oceny zdolności kredytowej stanowi ocena zdolności do spłaty zaciągniętego kredytu wraz z odsetkami, co ma charakter czynności wstępnej do zawarcia stosownej umowy. Dalsze przetwarzanie danych uzyskanych w celu oceny zdolności kredytowej, w przypadku niezawarcia stosownej umowy pozostawałoby w oderwaniu od celu dla którego dane te uzyskano. (...) niedopuszczalne jest przetwarzanie danych osobowych na przyszłość, a także na potrzeby budowy oceny zdolności kredytowej innych podmiotów, jeżeli nie można zrekonstruować wyraźnej podstawy prawnej takich działań." Prezes UODO, odnosząc się do procesu przetwarzania danych osobowych Uczestnika przez B., wskazał, że z wyjaśnień B., wprawdzie wynika, że przetwarzał On dane osobowe Uczestnika wynikające z ww. zapytań kredytowych, w celu oceny zdolności kredytowej i analizy ryzyka kredytowego przez 12 miesięcy od dnia złożenia zapytań, ale później też kontynuował proces przetwarzania tych danych w pozostałych wskazanych przez siebie w toku postępowania celach. Zdaniem Prezesa UODO cele statystyczne i analizy, w tym cel stosowanie metod wewnętrznych oraz innych metod i modeli nie może być uznane za podstawę przetwarzania danych osobowych Uczestnika, gdyż art. 105a ust. 4 u.P.b. daje podstawy do przetwarzania informacji dotyczących osoby fizycznej stanowiących tajemnicę bankową po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której te informacje dotyczą. W sprawie nie doszło do zawarcia umowy kredytu w związku ze ww. zapytaniami kredytowymi, więc nie powstał stosunek zobowiązaniowy, o którym mowa w ww. przepisie. Dodatkowo przesłanka z art. 6 ust. 1 lit. f RODO dotyczy sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia, potrzeba dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś sytuacja, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem. Stanowisko to ma potwierdzenie w wyrokach NSA z: 6 marca 2019r. sygn. akt I OSK 994/17; 23 września 2005r. sygn. akt I OSK 712/05. Z ostatniego z ww. orzeczeń wynika, że należy ważyć interesy stron, znaleźć równowagę między prawami i wolnościami jednostki z jednej strony a prawnie usprawiedliwionym interesem osoby trzeciej z drugiej strony. Oznacza to obowiązek zapewnienia właściwej równowagi praw i interesów stron w tym praw podstawowych. Cofnięcie zgodę na przetwarzanie danych osobowych nie jest niezbędne dla wypełnienia prawnie usprawiedliwionych celów, którym jest prawo do podjęcia obrony przed ewentualnymi roszczeniami lub zarzutami dotyczącymi przetwarzania danych w celu obsługi wniosku kredytowego. Niedopuszczalne jest stanowisko przetwarzania danych osobowych niejako "na zapas", z założeniem, że mogą one być ewentualnie przydatne w przyszłości. Zdaniem Prezesa UODO przyjęcie za prawidłowe odmiennej interpretacji, że przetwarzanie danych osobowych w celu uchylenia się od negatywnych skutków w przypadku zgłoszenia w przyszłości ewentualnego i nieokreślonego roszczenia, stanowi prawnie usprawiedliwiony cel w rozumieniu art. 6 ust. 1 lit. f RODO, oznaczałoby, że dane osobowe Uczestnika mogą być przetwarzane przez Bank i B. permanentnie, bez konieczności ich usunięcia. Teoretycznie możliwym jest, by Uczestnik zwrócił się do Banku lub B. z roszczeniem po upływie terminu przedawnienia roszczenia. Prowadziłoby to tym samym do uznania, że przetwarzanie Jego danych osobowych ma uzasadnienie w przesłance określonej art. 6 ust. 1 lit. f RODO, w celu realizacji prawa do obrony przed ewentualnym roszczeniem wnioskodawcy również po upływie ww. terminu. Brak jest też uzasadnienia do przyjęcia, że terminy dotyczące przedawnienia roszczeń wynikających ze stosunków zobowiązaniowych określają ramy czasowe, w których dane osobowe mogą być przetwarzane przez Bank i B.. Przedawnienie roszczenia nie wywołuje skutków na gruncie ochrony danych osobowych, nie wpływa na istnienie roszczenia, a powoduje jedynie zmianę w sferze zarzutów procesowych w postaci możliwości podniesienia okoliczności przedawnienia w sporze sądowym. Okolicznością usprawiedliwiającą przetwarzanie danych osobowych, w celu dochodzenia roszczeń jest istnienie roszczenia i zamiar jego dochodzenia, nie jest nią natomiast zmiana w uprawnieniach procesowych podmiotu pozwanego. W ocenie Prezesa UODO brak jest też uzasadnienia do przyjęcia, że Bank jest uprawniony do przetwarzania danych osobowych w związku z koniecznością ewentualnego wypełnienia obowiązku wynikającego z art. 70a ust. 1 i ust. 2 u.P.b. - przekazania w formie pisemnej, wyjaśnień dotyczących dokonanej przez siebie oceny zdolności kredytowej Uczestnika. W doktrynie wskazywane stanowisko, które Prezes UODO podzielił, że jeśli bank - w wyniku dokonanej oceny zdolności kredytowej (przeprowadzonej zgodnie z przyjętymi rekomendacjami KNF) - nie udzieli kredytu, zatem nie dojdzie do zawarcia umowy kredytu, stan taki nie rodzi po stronie ubiegającego się o kredyt żadnych roszczeń na drodze cywilnoprawnej. Ubiegającemu się o kredyt przysługuje tylko możliwość wnioskowania o przedstawienie na piśmie przyczyn odmowy (B. Bajor [w:] L. Kociucki, J. M. Kondek, K. Królikowska, B. Bajor, Prawo bankowe. Komentarz do przepisów cywilnoprawnych, Warszawa 2020, art. 70(a)). Art. 70a u.P.b. nie przewiduje też terminu na złożenie wniosku o udzielenie informacji dotyczących odmowy udzielenia kredytu. Nie oznacza to jednak, że można dane osobowe Uczestnika, wynikające z ww. zapytań kredytowych przetwarzać bezterminowo, bo byłoby to sprzeczne z zasadą ograniczenia przechowywania, określoną w art. 5 ust. 1 lit. e) RODO. Ponadto powstanie obowiązku, o którym mowa w art. 70a ust. 1 u.P.b., uzależnione jest od złożenia wniosku przez osobę ubiegającą się o kredyt. W sprawie Uczestnik w związku z ww. zapytaniami kredytowymi ubiegał się o zawarcie z Bankiem umów kredytowych, ale bezskutecznie. Uczestnik zwrócił się więc do Banku o usunięcie jego danych przetwarzanych także z B., a następnie zakwestionował proces przetwarzania danych osobowych w niniejszym postępowaniu, domagając się ochrony danych osobowych. Uwzględnienie żądania Uczestnika usunięcia ww. danych skutkować będzie brakiem możliwości udzielenia informacji wskazanych w art. 70a ust. 1 i 2 u.P.b., z czym Uczestnik musi się liczyć. Skoro Uczestnik nie był i nie jest zainteresowany realizacją prawa do złożenia wniosku, o którym mowa w ww. przepisie, to nie można uznać, aby stanowił on podstawę przetwarzania Jego danych osobowych. Prezes UODO zwrócił też uwagę na art. 70 ust. 1c i 1d u.P.b. – termin 1 roku od otrzymania oceny zdolności kredytowej - na wniesienie wniosku o uzyskanie informacji z art. 70 ust. 1 u.P.b. Zdaniem Prezesa UODO brak jest także uzasadnienia do przyjęcia, że B. jest uprawniony do przetwarzania danych osobowych pozyskanych w związku z ww. zapytaniami w związku z koniecznością ewentualnego wypełnienia obowiązku wynikającego z art. 15 RODO. Usunięcie przez administratora ww. danych osobowych nie uniemożliwia mu wykonania obowiązku z art. 15 RODO. Przepis te gwarantuje osobie, której dane dotyczą, prawo do uzyskania od administratora informacji, czy jej dane są przetwarzane, a w przypadku pozytywnej odpowiedzi na tak postawione pytanie - uprawnienie do dostępu do danych na swój temat oraz uzyskania informacji o okolicznościach przetwarzania danych. Jeśli administrator nie przetwarza danych dotyczących osoby, która zwraca się z żądaniem udzielenia informacji, to działanie administratora ogranicza się do odpowiedzi przeczącej i nie ma on obowiązku podawania podmiotowi danych innych informacji. Prezes UODO, odnosząc się do powoływanych przez B. wymogów z CRR, wskazał, że z przepisów tych nie wynika uprawnienie do przetwarzania danych osobowych w zakresie ww. zapytań kredytowych. Organ przytoczył treść art. 144 ust. 1 lit. d, art. 145 ust. 1, art. 147 ust. 5 lit. b), art. 170 ust. 3 lit. a i ust. 4 lit. a, art. 171 ust. 2 i art. 179 CRR i wskazał, że choć z ww. przepisów wynika, że instytucja kredytowa jest obowiązana do zbierania informacji przydatnych do skutecznego zarządzania ryzykiem, to nie oznacza to, że gromadzenie danych w systemach ratingowych może odbywać się z naruszeniem innych przepisów regulujących kwestie ochrony danych osobowych. Ponadto inne przepisy CRR zawierają konkretyzację danych, które mogą być użyte przez instytucje kredytowe oraz firmy inwestycyjne przy realizacji wymogów oszczędnościowych. W CRR wprost wskazano, np. w art. 178 ust. 3 lit. e) i f) na podstawy prawne przetwarzania danych. Nie należą do nich zapytania kredytowe niezakończone zawarciem umowy. Tym samym CRR nie przewiduje podstaw prawnych do przetwarzania danych zawartych w ww. zapytaniach kredytowych. Prezesa UODO przyjął też, że zarówno Bank, jak i B. niewłaściwie wskazują jako podstawę przetwarzania danych Uczestnika Rekomendację T KNF dotyczącą dobrych praktyk w zakresie zarządzania ryzykiem detalicznych ekspozycji kredytowych w związku z badaniem zdolności kredytowej, korzystania z zewnętrznych baz danych, posiadania narzędzi analitycznych wspierających pomiar poziomu ryzyka związanego z detalicznymi ekspozycjami kredytowymi. Skoro Bank był uprawniony do przetwarzania danych osobowych Uczestnika, w celu oceny zdolności kredytowej i analizy ryzyka kredytowego, a nie doszło do zawarcia umowy kredytowej, to odpadła przesłanka legalizująca dalsze przetwarzanie danych osobowych Uczestnika. W tym zakresie organ powołał się na wyrok NSA z 27 sierpnia 2019r. sygn. akt I OSK 2567/17 i uznał, że niedopuszczalne było przetwarzanie danych osobowych Uczestnika na przyszłość, a także na potrzeby oceny zdolności kredytowej innych podmiotów, jeżeli nie można zrekonstruować wyraźnej podstawy prawnej takich działań. Zdaniem Prezesa UODO Bank i B. przy realizacji swoich zadań i przy realizacji zaleceń sformułowanych przez KNF powinny uwzględniać ograniczenia w pozyskiwaniu i przetwarzaniu danych osobowych klientów i potencjalnych klientów, które wynikają z przepisów dotyczących ochrony danych osobowych. W sprawie brak jest celu uzasadniającego dalsze przetwarzanie danych osobowych Uczestnika zawartych w ww. zapytaniach kredytowych zarówno przez Bank (administrator danych Uczestnika w związku pozyskaniem danych w celu oceny zdolności kredytowej) i B. (administrator danych Uczestnika z uwagi na przekazanie ww. danych przez Bank), bo nie zaszła żadna przesłanka wskazana w art. 6 ust. 1 RODO. Prezes UODO w związku z tym, korzystając z uprawnienia przewidzianego w art. 58 ust. 2 lit. c RODO, nakazał Bankowi i B. usunięcie danych osobowych Uczestnika przetwarzanych w związku z ww. zapytaniami kredytowymi. 2. Bank w skardze do Wojewódzkiego Sądu Administracyjnego w Warszawie na rozstrzygnięcie zawarte w punkcie 1 ww. decyzji Prezesa UODO z [...] listopada 2023r. zarzucił naruszenie: - art. 105 § 1 k.p.a. - przez brak umorzenia postępowania, gdy stało się ono bezprzedmiotowe, gdy Bank w toku postępowania prowadzonego przez Prezesa UODO usunął dane osobowe Uczestnika wynikające z ww. zapytań kredytowych. Skoro dane osobowe Uczestnika dotyczące zapytania kredytowego z [...] lutego 2021r. - usunięto 18 marca 2023r., a dotyczące zapytań kredytowych z [...] marca i [...] czerwca 2021r. - usunięto 12 lipca 2023r. - jeszcze przed wydaniem zaskarżonej decyzji – należało umorzyć postępowanie z tego zakresu. Organ powinien z urzędu badać, czy stało się ono z jakiejkolwiek przyczyny bezprzedmiotowe. Jak wskazuje prof. dr hab. Barbara Adamiak: "dalsze prowadzenie postępowania w takim przypadku stanowiłoby o jego wadliwości, mającej istotny wpływ na wynik sprawy"; - art. 7, art. 12 i art. 77 § 1 k.p.a. w zw. z art. 6 k.p.a. - przez niezastosowanie zasady prawdy obiektywnej, zasady szybkości i prostoty postępowania i zasady oficjalności postępowania, co skutkowało naruszeniem zasady praworządności. Postępowanie przed Prezesem UODO trwało prawie dwa lata i dotyczyło zapytań kredytowych z 2021r., więc wydanie decyzję po dwóch latach od momentu złożenia skargi powinno uwzględniać zmianę okoliczności sprawy. Organ nie podjął więc wszystkich czynności niezbędnych do prawidłowego ustalenia stanu faktycznego i do dokładnego i wnikliwego wyjaśnienia sprawy. Nie ustalił kluczowej okoliczności, że Bank w dniu wydawania zaskarżonej decyzji (28 listopada 2023r.) nie przetwarzał już danych osobowych Uczestnika wynikających z ww. zapytań kredytowych, bo je usunął. Materiał dowodowy nie był też wyczerpujący ani nie został dostatecznie rozpatrzony przez Prezesa UODO. - art. 7 i art. 7b w zw. z art. 8 i art. 77 § 1 k.p.a. – przez zaniechanie zwrócenia się przez Prezesa UODO do KNF (organ właściwy w sprawach związanych m.in. z badaniem zdolności kredytowej i analizą ryzyka kredytowego oraz budową modeli scoringowych w zakresie wykorzystywania do realizacji tych zadań danych, w tym danych osobowych o niezrealizowanych zapytaniach kredytowych), co pozwoliłoby na dokładne wyjaśnienie stanu faktycznego i prawnego sprawy, mając na względzie interes społeczny i słuszny interes obywateli w postaci ustalenia należytych zasad, celów oraz zakresu przetwarzania danych o niezrealizowanych zapytaniach kredytowych w taki sposób, aby - zgodnie z zasadą proporcjonalności - procesy przetwarzania danych czyniły zadość zarówno przepisom o ochronie danych osobowych, jak i przepisom szeroko pojętego prawa bankowego oraz zapewnieniu stabilności rynku gospodarczo-finansowego. - art. 6 ust. 1 lit. c) RODO w zw. z art 105 ust. 4 i art. 105a ust. 1 - 1c u.P.b. - przez niewłaściwe zastosowanie, a w konsekwencji nieuzasadnione przyjęcie, że Bank (przed usunięciem danych osobowych wynikających z ww. zapytań kredytowych) nie legitymował się przesłanką przetwarzania danych osobowych Uczestnika, wynikającą z art. 6 ust. 1 lit. c) RODO w zw. z art. 105 ust. 4 i art. 105a ust. 1 - 1c u.P.b., gdy z tych przepisów wynika obowiązek przetwarzania danych osobowych (również danych z zapytań kredytowych) przez banki i inne instytucje wymienione w art. 105 ust. 4 u.P.b, na zasadzie wzajemności i w zakresie, w jakim informacje te są potrzebne bankom do wykonywania czynności bankowych, w tym oceny zdolności kredytowej i analizy ryzyka kredytowego. Celem art. 105 ust. 4 u.P.b. jest zatem nie tylko poinformowanie banku, który rozpatruje wniosek kredytowy, ale i przetwarzanie takiego zapytania przez określony czas i tym samym umożliwienie innemu bankowi (w związku z wnioskiem tej samej osoby złożonym w innym banku) otrzymanie informacji, czy wnioskodawca ubiegał się już o kredyt i z jakim skutkiem - co ma znaczenie dla oceny zdolności i wiarygodności kredytowej dla innego banku. Przyjęcie jako właściwego stanowiska Prezesa UODO może ostatecznie doprowadzić do zakwestionowania wymiany jakichkolwiek informacji między bankami a B.. Ponadto obowiązki wynikające z art. 105a ust. 1 - 1 c u.P.b. nie przestają istnieć wraz z wydaniem decyzji odmownej osobie wnioskującej o kredyt; - art. 6 ust. 1 lit. c) RODO w zw. z art. 105 ust. 1, art. 105 ust. 4 pkt. 1, art. 5 ust. 1 pkt. 3 oraz art. 70 ust. 1 u.P.b. w zw. z art. 9 ust. 2, 3 i 4 u.k.k. - przez jego niewłaściwe zastosowanie i nieuzasadnione przyjęcie, że Bank (przed usunięciem danych osobowych Uczestnika wynikających z ww. zapytań kredytowych) nie legitymował się przesłanką przetwarzania danych wynikającą z art. 6 ust. 1 lit. c) RODO w zw. z art. 105 ust. 1, art. 105 ust. 4 pkt. 1, art. 5 ust. 1 pkt. 3 i art. 70 ust. 1 u.P.b. w zw. z art. 9 ust. 2, 3 i 4 u.k.k., gdy cel przetwarzania danych polegał na dostarczaniu Bankowi przez B. informacji (w tym ocen i modeli scoringowych) niezbędnych do wykonywania czynności bankowych (art. 5 ust. 1 pkt 3 u.P.b.), w tym udzielania kredytów, przy czym ocena zdolności kredytowej jest obowiązkiem banków (art. 70 u.P.b. w zw. z art. 9 ust. 2, 3 i 4 u.k.k.); - art. 6 ust. 1 lit. c) RODO w zw. z art. 144 ust 1 lit. d), art. 145 ust. 1 , art. 170 ust. 3 lit. a), art. 171 ust. 2, art. 179 ust. 1 lit. a) oraz art. 181 ust. 2 CRR - przez niewłaściwe zastosowanie i przyjęcie, że Bank (przed usunięciem danych osobowych Uczestnika wynikających z ww. zapytań kredytowych) nie legitymował się przesłanką przetwarzania danych wynikającą z art. 6 ust. 1 lit. c) RODO w zw. z przepisami CRR, gdy te przepisy wskazują na określone obowiązki banków w zakresie wymogów ostrożnościowych i nakładają na Bank obowiązek tworzenia zaawansowanych modeli statystycznych z wykorzystaniem wszystkich istotnych, aktualnych informacji, natomiast skarżący jest obowiązany do zachowania spójności modelu. Usunięcie danych natychmiast po wydaniu decyzji o odmowie udzielenia kredytów prowadziłoby zaś do naruszenia tego obowiązku; - art. 6 ust. 1 lit. c) RODO w zw. z art. 106d ust. 3 u.P.b., art. 33 ust. 2, art. 33 ust. 3 pkt. 6, art. 34 ust. 1 pkt 4, art. 36, art. 46, art. 49 ust. 1 AML - przez brak zastosowania tych przepisów, a w konsekwencji brak ustalenia, że Bank (przed usunięciem danych Uczestnika wynikających z ww. zapytań) legitymował się przesłanką przetwarzania danych wynikającą z przywołanych wyżej przepisów AML, bo ww. przepisy nakładają na Bank obowiązek przetwarzania informacji (w tym danych osobowych) w celu zapewnienia bezpieczeństwa obrotu gospodarczego, przez przeprowadzenie szczegółowego badania na temat klientów, w tym przyszłych klientów, jak i badania powiązań kapitałowo-osobowych; - art. 6 ust. 1 lit. c) RODO w zw. z art. 70a ust. 1 i 2 u.P.b. - przez niewłaściwe zastosowanie, a w konsekwencji nieuzasadnione przyjęcie, że art. 6 ust. 1 lit. c) RODO w zw. z art. 70a ust. 1 i 2 u.P.b. (przed usunięciem danych osobowych wnioskodawcy wynikających z ww. zapytań kredytowych) nie stanowił podstawy przetwarzania danych osobowych wnioskodawcy; tymczasem w dniu złożenia skargi przez Uczestnika (10 stycznia 2022r.) obowiązek Banku, przewidziany w art. 70a ust. 1 i 2 u.P.b., nie był ograniczony w czasie. W związku z tym fakt, że przed złożeniem skargi Uczestnik nie domagał się od Banku wyjaśnień dotyczących oceny zdolności kredytowej, nie musi oznaczać, że Uczestnik nie zdecyduje się na skierowanie takiego wniosku w przyszłości. Aktualnie termin na złożenie wniosku o udzielenie wyjaśnień dotyczących dokonanej oceny zdolności kredytowej wynosi rok od dnia otrzymania przez wnioskującego takiej oceny - na co zwrócił uwagę Prezes UODO. Ustawodawca nie przyjął, że dane powinny być usuwane niezwłocznie po wydaniu decyzji o odmowie udzielenia kredytu. Ponadto - wbrew argumentacji Prezesa UODO - ustawodawca nie wprowadził ograniczenia, że uprawnienie z art. 70a u.P.b. "wygasa", jeżeli dana osoba wcześniej (przed upływem roku) zażąda usunięcia swoich danych; - art. 6 ust. 1 lit. f) RODO w zw. z art. 117 § 2 i 21, art. 118 i art. 119 k.c. - przez ich niewłaściwe zastosowanie i nieuzasadnione przyjęcie, że przechowywanie danych przez okres przedawnienia roszczeń nie stanowi prawnie uzasadnionego interesu Banku w rozumieniu art. 6 ust. 1 lit. f) RODO; tymczasem art. 6 ust. 1 lit. f) RODO w zw. z art. 117 § 2 i 21, art. 118 i art. 119 k.c. uprawniają Bank do przetwarzania danych osobowych, w celu rozpatrywania i dochodzenia ewentualnych reklamacji lub roszczeń - również gdy ani administrator danych osobowych (Bank), ani osoba, której dane dotyczą (Uczestnik), nie zgłosiła jeszcze reklamacji lub roszczenia; - art. 6 ust. 1 lit. f) RODO w zw. z następującymi rekomendacjami wydanymi przez KNF: Rekomendacją T z lutego 2013r. (dotyczącą dobrych praktyk w zakresie zarządzania ryzykiem detalicznych ekspozycji kredytowych - załącznik do uchwały KNF z 26 lutego 2013r. nr 59/2013 - Dz.Urz. KNF z 2013 r., poz. 11); Rekomendacją W z lipca 2015r. (dotyczącą zarządzania ryzykiem modeli w bankach - załącznik do uchwały KNF z 21 lipca 2015r. nr 332/2015 - Dz. Urz. KNF z 2015 r., poz. 49); Rekomendacją S z grudnia 2019r. (dotyczącą dobrych praktyk w zakresie zarządzania ekspozycjami kredytowymi zabezpieczonymi hipotecznie - załącznik do uchwały KNF nr 492/2019 z 3 grudnia 2019r. - Dz.Urz.KNF z 2019r., poz. 39); - przez niewłaściwe zastosowanie i niezasadne przyjęcie, że Bank (przed usunięciem danych osobowych Uczestnika wynikających z ww. zapytań kredytowych) nie legitymował się przesłanką przetwarzania wynikającą z art. 6 ust. 1 lit. f) RODO w zw. z ww. rekomendacjami KNF, gdy ww. rekomendacje KNF nakładają na banki i B. (instytucję powołaną na mocy art. 105 ust. 4 u.P.b.) określone wymagania nie tylko w związku z oceną danego, konkretnego wniosku kredytowego, ale także w odniesieniu do budowy metod oraz modeli statystycznych (w tym scoringowych); te wymagania podlegają następnie wyegzekwowaniu przez KNF na podstawie bezwzględnie obowiązujących przepisów prawa. Bank w związku z ww. zarzutami wniósł o uchylenie decyzji Prezes UODO w zaskarżonej części (w zakresie pkt 1) i zasądzenie od organu kosztów postępowania, w tym kosztów zastępstwa prawnego według norm przepisanych. Bank w uzasadnieniu skargi przedstawił obszerną argumentację na poparcie zarzutów. 3. B. w skardze skierowanej do WSA w Warszawie na rozstrzygnięcie zawarte w punkcie 2 ww. decyzji Prezesa UODO z [...] listopada 2023r. zarzuciło naruszenie: - art. 6 ust. 1 lit. c) RODO w zw. z art. 105 ust. 1 pkt. 1c w zw. z art. 105 ust. 4 i w zw. z art. 105a w zw. z art. 70 i art. 5 ust. 1 pkt. 3 u.P.b. - przez jego niezastosowanie i w konsekwencji niezasadne przyjęcie, że B. nie posiada ww. podstawy prawnej do przetwarzania danych zawartych w zapytaniu kredytowym w przypadku nie zawarcia umowy kredytowej, gdy jest ustawowo zobowiązany do realizacji obowiązku prawnego wynikającego z ww. przepisów polegającego na gromadzeniu, przetwarzaniu i udostępnianiu bankom oraz podmiotom szczegółowo wskazanym w przepisie informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych w postaci oceny zdolności kredytowej oraz analizy ryzyka kredytowego konkretnego klienta (indywidualna ocena zdolności kredytowej) oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej CRR; - art. 6 ust. 1 lit. f) RODO - przez jego niezastosowanie wskutek przyjęcia, że B. nie posiada podstawy prawnej przetwarzania danych Uczestnika opartej na prawnie uzasadnionym interesie administratora oraz podmiotów trzecich wskazanych w art. 105 ust. 4 pkt. 1-5 u.P.b., w postaci realizacji obowiązku gromadzenia, przetwarzania oraz udostępnienia bankom oraz podmiotom wskazanym w ww. przepisie informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych w postaci oceny zdolności kredytowej oraz analizy ryzyka kredytowego konkretnego klienta (indywidualna ocena zdolności kredytowej), w celu budowy i utrzymania modeli scoringowych, a więc narzędzi wykorzystywanych przez banki do oceny zdolności kredytowej i analizy ryzyka kredytowego oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej CRR; - art. 6 ust. 1 lit. c) RODO w zw. z art. 70a w zw. z art. 105 ust. 4 pkt. 1 i 2 w zw. z art. 105a u.P.b. - przez jego niezastosowanie wskutek uznania, że B. nie posiada podstawy prawnej do przetwarzania danych Uczestnika w sytuacji niezawarcia umowy kredytowej, gdy B. posiada podstawę prawną przetwarzania, z uwagi na niezbędność przetwarzania do wykonania obowiązku prawnego przez banki i B., w postaci obowiązku przekazania osobie ubiegającej się o kredyt w formie pisemnej na jego wniosek wyjaśnień dotyczących dokonanej oceny zdolności kredytowej; - art. 6 ust. 1 lit. c) RODO w zw. z art. 106d ust. 1 pkt 3 u.P.b. w zw. 39 ust. 1 w zw. z art. 33 ust. 2, art. 33 ust. 3 pkt 6, art 34 ust. 1 pkt., at. 36 ust. 1 oraz art. 49 ust. 1 AML w zw. z 105 ust. 1 lit. 1c oraz art. 105 ust. 4 u.P.b. - przez jego niezastosowanie w skutek przyjęcia, iż na B. nie ciążą obowiązki związane z przeciwdziałaniem praniu pieniędzy oraz finansowaniu terroryzmu, w sytuacji gdy nie doszło do zawarcia umowy kredytowej pomiędzy Uczestnikiem a Bankiem - gdy przepisy te nakładają na banki jako instytucje obowiązane, a pośrednio na B. (podmiot wspierający banki w realizacji obowiązków instytucji obowiązanej) obowiązek przetwarzania danych osobowych w celu zapewnienia bezpieczeństwa obrotu gospodarczego przez przeprowadzenie szczegółowego badania na temat klientów, w tym przyszłych klientów, jak i badania powiązań kapitałowo-osobowych, w tym także wtedy gdy ostatecznie pomiędzy Uczestnikiem a Bankiem nie została zawarta umowa kredytowa; - art. 6 ust. 1 lit. e) RODO - przez jego niezastosowanie wskutek uznania, że B. nie posiada podstawy prawnej do przetwarzania danych Uczestnika w sytuacji nie zawarcia umowy kredytowej, gdy B. posiada podstawę prawną przetwarzania, z uwagi na niezbędność przetwarzania dla realizacji zadania w interesie publicznym przez banki i B. - w postaci zabezpieczenia ekonomiczno-gospodarczego sektora bankowego, w tym depozytariuszy i zapewnienia stabilności ekonomiczno- gospodarczej sektora bankowego, a w ujęciu makro zapobieganiu kryzysom gospodarczym; - art. 6 ust. 1 lit. f) RODO - przez jego niezastosowanie wskutek uznania, że przetwarzanie danych osobowych dla realizacji prawnie uzasadnionych interesów administratora danych w celach zabezpieczenia roszczeń może dotyczyć wyłącznie roszczeń istniejących i aktualnie dochodzonych i w konsekwencji nieuzasadnione przyjęcie, że prawnie uzasadniony interes administratora danych nie istnieje w sytuacji konieczności przetwarzania danych osobowych do ochrony przed roszczeniami istniejącymi, ale nie dochodzonymi w chwili dokonywania oceny, podczas gdy istotą uzasadnionego interesu administratora jest możliwość przetwarzania danych na wypadek konieczności obrony przed roszczeniami istniejącymi lub dochodzenia w przyszłości roszczeń istniejących, które w warunkach niniejszej sprawy są związane z przetwarzaniem danych osobowych na potrzeby opracowania oceny scoringowej wnioskodawcy niezbędnej do przeprowadzenia analizy zdolności kredytowej oraz analizy ryzyka kredytowego, które to B. zobowiązany jest gromadzić, przetwarzać i udostępniać bankom i instytucjom ustawowo upoważnionym do udzielania kredytów dla realizacji celów ustawowych badania zdolności kredytowej; - art. 6 ust. 1 lit. f) RODO - przez jego niezastosowanie wskutek uznania, że w przypadku braku zawarcia umowy kredytowej, B. nie posiada prawnie uzasadnionego interesu w przetwarzaniu danych wnioskodawcy, gdy istnieje prawnie uzasadniony interes B. w przetwarzaniu tych informacji, pomimo nie zawarcia umowy kredytowej, polegający na realizacji działań z zakresu opracowania, utrzymania aktualności i funkcjonalności zbudowanych modeli scoringowych w zgodzie z treścią Rekomendacji W, S i T KNF w zakresie dobrych praktyk i zarządzania ryzykiem kredytowym; - art. 6 ust. 1 lit. f) RODO - przez jego niezastosowanie wskutek uznania, że B. nie posiada podstawy prawnej do przetwarzania danych Uczestnika, gdy B. posiada podstawę prawną przetwarzania, z uwagi na konieczność zapewnienia rozliczalności działań B. jako administratora danych osobowych na zasadzie art. 5 ust. 2 RODO w postaci wykazania przestrzegania przepisów dotyczących jakości danych; - art. 7, art. 77 k.p.a w zw. z art. 80 k.p.a. w zw. z art. 107 § 3 k.p.a. w zw. z art. 7 ust. 1 u.o.d.o. - przez niezbadanie aktualnych podstaw przetwarzania danych Uczestnika przez B., niewystarczające wyjaśnienie podstaw prawnych decyzji oraz brak oceny istotnych okoliczności sprawy, co w konsekwencji doprowadziło do błędnego nakazania B. usunięcia przetwarzanych danych osobowych Uczestnika oraz uniemożliwiło B. zapoznanie się z powodami negatywnej oceny wskazanych przez B. podstaw przetwarzania; - art. 7, art. 77 § 1 i art. 80 k.p.a. w zw. z art. 7 u.o.d.o. - przez niewyczerpujące zebranie, nierozpatrzenie i błędną ocenę całokształtu materiału dowodowego przejawiającego się w zaniechaniu dokonania wyczerpującej analizy charakteru, zakresu oraz celów gospodarczo-ekonomicznych dla jakich B. i obowiązków prawnych i obowiązków wynikających z zawartych przez B. umów z bankami - skutkującą wadliwą i niepełną oceną stanu faktycznego sprawy oraz charakteru działania B., co w konsekwencji skutkowało nieuzasadnionym wydaniem przez organ nakazu usunięcia danych osobowych Uczestnika; - art. 7b, art. 7 k.p.a w zw. z art. 77 k.p.a w zw. z art. 7 u.o.d.o. - przez niedokładne wyjaśnienie stanu faktycznego i prawnego koniecznego do podjęcia przez organ stosownych czynności, a w szczególności niezwrócenie się do KNF, w celu kompleksowego wyjaśniania stanu faktycznego sprawy oraz współdziałania w zakresie niezbędnym do dokładnego wyjaśnienia stanu prawnego, mając na względzie interes społeczny i słuszny interes obywateli w postaci ustalenia należytych zasad, celów i zakresu przetwarzania danych osobowych o niezrealizowanych zapytaniach kredytowych tak, by procesy przetwarzania danych czyniły zadość zarówno przepisom prawa o ochronie danych osobowych, jak i przepisom szeroko pojętego prawa bankowego, w szczególności dla zapewnienia ochrony wartości, których gwarancje ochrony wynikają z ww. przepisów zgodnie z zasadą proporcjonalności; - art. 7, art. 77 § 1 i art. 80 k.p.a. - przez zaniechanie dokonania oceny Rekomendacji S, W i T KNF (organu właściwego do sprawowania nadzoru nad instytucjami krajowymi w rozumieniu przepisów UE - regulatora rynku finansowego), które nakładają na banki, a w konsekwencji na B. (instytucję gromadzącą dane służące do oceny zdolności kredytowej oraz budującą modele scoringowe służące bankom) określone wymagania, które podlegają nadzorowi i egzekwowaniu przez KNF na podstawie bezwzględnie obowiązujących przepisów prawa, co w konsekwencji doprowadziło do zaniechania oceny podstaw prawnych i celów, do jakich B. i banki są upoważnione do przetwarzania danych w zakresie zdolności kredytowej również w przypadku nie zawarcia umowy kredytowej dla zabezpieczenia interesów banków oraz stabilności rynku gospodarczo-finansowego; - art. 7, art. 77 i art. 80 k.p.a. - przez zaniechanie wyczerpującego zebrania i rozpatrzenia materiału dowodowego, przejawiające się w szczególności brakiem dokonania analizy podstawowych zasad funkcjonowania stabilnego sektora finansowego w tym pod kątem istnienia - po stronie banków, a w konsekwencji B. oczywistego interesu prawnego przejawiającego się w odmowie udzielenia kredytu wynikającego z braku istnienia zdolności kredytowej po stronie Uczestnika, co prowadzi do zabezpieczenia interesu banków przed nieodpowiedzialną polityką udzielania kredytów osobom, które nie mają szans na ich spłacenie oraz do zapewnienia stabilności gospodarczo-ekonomicznej sektora bankowego, a w ujęciu makro zapobieganiu kryzysom gospodarczym. Powyższe zarzuty zostały rozwinięte w uzasadnieniu skargi. B. w związku z ww. zarzutami wniósł o uchylenie decyzji Prezesa UODO w zaskarżonej części (w zakresie pkt 2) oraz zasądzenie od organu kosztów postępowania, w tym kosztów zastępstwa prawnego według norm przepisanych. 4. W odpowiedzi na skargi Prezes UODO wniósł o ich oddalenie, podtrzymując stanowisko prezentowane w zaskarżonej decyzji. 5. Wojewódzki Sąd Administracyjny w Warszawie postanowieniem z 22 sierpnia 2024r., działając na podstawie art. 111 § 1 ustawy z 30 sierpnia 2002r. Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2024r., poz. 935), połączył do wspólnego i rozstrzygnięcia sprawy ze skargi Banku o sygn. akt II SA/Wa 173/24 i ze skargi B. o sygn. akt II SA/Wa 172/24 i postanowił je prowadzić pod sygn. akt II SA/Wa 172/24. II. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje. 1. Skargi są nieuzasadnione, gdyż zaskarżona decyzja Prezesa UODO zarówno w części dotyczącej rozstrzygnięcia zawartego w punkcie 1, jak i w punkcie 2, nie narusza prawa w stopniu umożliwiającym jej uchylenie. 2. Sąd, dokonując oceny zgodności z prawem zaskarżonej decyzji, wskazuje, że zgodnie z motywem 40 RODO, aby przetwarzanie danych było zgodne z prawem, to powinno się odbywać na podstawie zgody osoby, której dane dotyczą, lub na innej uzasadnionej podstawie, prawem przewidzianej: albo w RODO, albo w innym akcie prawnym Unii lub w prawie państwa członkowskiego, o których mowa w RODO, w tym musi się ono odbywać z poszanowaniem obowiązku prawnego, któremu podlega administrator, lub z poszanowaniem umowy, której stroną jest osoba, której dane dotyczą, lub w celu podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy. W świetle RODO, przetwarzanie danych osobowych uważa się za legalne, jeśli ich administrator spełni co najmniej jedną z przesłanek wskazanych w art. 6 ust. 1 tego aktu, a mianowicie: a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów, b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy, c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze, d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą lub innej osoby fizycznej, e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi, f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności, gdy osoba, której dane dotyczą, jest dzieckiem. W świetle dowodów wynikających z akt sprawy nie budzi wątpliwości oraz nie było kwestionowane przez Prezesa UODO w zaskarżonej decyzji, że zarówno Bank, jak i B., były uprawnione do przetwarzania danych osobowych ww. Uczestnika, na podstawie art. 105a ust. 1 i art. 70 ust. 1 u.P.b., w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Zgodnie z art. 105a ust. 1 u.P.b., przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów, instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d u.k.k., a także instytucje utworzone na podstawie art. 105 ust. 4 u.P.b., informacji stanowiących tajemnicę bankową i informacji udostępnionych przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d u.k.k., w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem art. 104, art. 105 i art. 106-106d u.P.b., w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Zgodnie zaś z art. 105a ust. 4 u.P.b., banki oraz instytucje, o których mowa w art. 105 ust. 4, mogą przetwarzać stanowiące tajemnicę bankową informacje dotyczące osoby fizycznej po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której informacje dotyczą, do celów stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej CRR. Zgodnie z art. 105a ust. 5 u.P.b., przetwarzanie informacji stanowiących tajemnicę bankową w przypadkach, o których mowa w ust. 3, może być wykonywane przez okres nie dłuższy niż 5 lat od dnia wygaśnięcia zobowiązania, a w przypadku, o którym mowa w ust. 4, przez okres 12 lat od dnia wygaśnięcia zobowiązania. Stosownie zaś do art. 70 ust. 1 u.P.b., bank uzależnia przyznanie kredytu od zdolności kredytowej kredytobiorcy. Przez zdolność kredytową rozumie się zdolność do spłaty zaciągniętego kredytu wraz z odsetkami w terminach określonych w umowie. Kredytobiorca jest obowiązany przedłożyć na żądanie banku dokumenty i informacje niezbędne do dokonania oceny tej zdolności. Sąd, mając powyższe przepisy na względzie uznaje, że Prezes UODO trafnie przyjął, że Bank i B., na podstawie ww. przepisów, a w szczególności art. 105a ust. 1 u.P.b. w związku z art. 70 ust. 1 u.P.b., były uprawnione do przetwarzania danych osobowych Uczestnika, w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Sąd stwierdza ponadto, że spór w sprawie sprowadza się natomiast do odpowiedzi na pytanie, czy w sytuacji, w której nie doszło do zawarcia umowy kredytu między Uczestnikiem a Bankiem, istniała podstawa do przetwarzania przez Bank i B. danych osobowych Uczestnika. W związku z tym należy wskazać, że według art. 105a ust. 2 u.P.b., z zastrzeżeniem ust. 3, instytucje, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową oraz informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d u.k.k., w zakresie dotyczącym osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d u.k.k., pod warunkiem uzyskania pisemnej zgody osoby, której informacje te dotyczą, z zastrzeżeniem ust. 2a. Zgoda ta może być w każdym czasie odwołana. Stosownie do art. 105a ust. 3 u.P.b. banki, instytucje oraz podmioty, o których mowa w art. 105a ust. 1 u.P.b., mogą przetwarzać informacje stanowiące tajemnicę bankową i informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d u.k.k., dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d u.k.k., bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d u.k.k., a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank, inną instytucję ustawowo upoważnioną do udzielania kredytów, instytucję pożyczkową albo podmiot, o którym mowa w art. 59d u.k.k., o zamiarze przetwarzania dotyczących tych informacji, bez zgody. Zgodnie z art. 105a ust. 4 u.P.b., banki oraz instytucje, o których mowa w art. 105 ust. 4, mogą przetwarzać stanowiące tajemnicę bankową informacje dotyczące osoby fizycznej po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której informacje dotyczą, do celów stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej CRR. Na mocy art. 105a ust. 5 u.P.b. przetwarzanie informacji stanowiących tajemnicę bankową w przypadkach, o których mowa w ust. 3, może być wykonywane przez okres nie dłuższy niż 5 lat od dnia wygaśnięcia zobowiązania, a w przypadku, o którym mowa w ust. 4, przez okres 12 lat od dnia wygaśnięcia zobowiązania. Stosownie do art. 105a ust. 6 u.P.b. zakres przetwarzanych informacji, o których mowa w ust. 3 i 4, może obejmować dane dotyczące osoby fizycznej lub dane dotyczące zobowiązania. Sąd, mając powyższe przepisy na względzie, podziela stanowisko Prezesa UODO wyrażone w zaskarżonej decyzji, że skoro nie doszło do zawarcia umowy kredytu z ww. Uczestnikiem przez Bank, to odpadła przesłanka legalizująca dalsze przetwarzanie danych osobowych Uczestnika. Wbrew bowiem zarzutom obu skarg, przepis art. 105a u.P.b., w tym ust. 1, 1a, 1b, 1c, określa warunki dopuszczalności zautomatyzowanego przetwarzania, w tym profilowania danych osobowych w celu oceny zdolności kredytowej i analizy ryzyka kredytowego oraz nie daje podstaw do dalszego przetwarzania danych Uczestnika po zakończeniu oceny zdolności kredytowej i analizy ryzyka kredytowego, gdy umowy nie zawarto. Na podstawie ww. przepisów Bank, a także B. nie ma więc uprawnienia do dalszego przetwarzania ww. danych osobowych Uczestnika, albowiem umów kredytowych w związku z ww. zapytaniami kredytowymi nie zawarto i tym samym nie wykazano przesłanki legalizującej działanie przetwarzania. Powołane przepisy art. 105a u.P.b. dotyczą bowiem przetwarzania informacji objętych tajemnicą bankową w okresie jedynie przed powstaniem zobowiązania, w trakcie jego trwania oraz po wygaśnięciu zobowiązania. W sytuacji natomiast, gdy w następstwie złożenia wniosku kredytowego nie dochodzi do zawarcia umowy kredytowej z bankiem – zobowiązanie nie powstaje – to brak jest podstaw prawnych - ustawowych przesłanek do odwołania się do art. 105a u.P.b., a tym samym do zalegalizowania dalsze przetwarzanie przez Bank oraz B. w stanie faktycznym sprawy danych osobowych potencjalnego klienta (Uczestnika). Ocena zdolności kredytowej i ryzyka kredytowego ma charakter czynności wstępnych, które w rozpoznawanej sprawie nie doprowadziły do zawarcia umowy przez Bank. W związku z tym dalsze przetwarzanie danych osobowych Uczestnika, które uzyskano jedynie w celu oceny zdolności kredytowej, gdy nie doszło do zawarcia stosownej umowy, pozostawałoby w oderwaniu od celu, dla którego dane te uzyskano. Prawidłowe było zatem przyjęcie przez Prezesa UODO, że w takim przypadku niedopuszczalne było przetwarzanie danych osobowych Uczestnika na przyszłość, a także na potrzeby budowy oceny zdolności kredytowej innych podmiotów, gdy nie można zrekonstruować wyraźnej podstawy prawnej takich działań B. i Banku. Zarówno Bank, jak i B. w sposób nieuprawniony próbuje rozszerzyć stosowanie art. 105a ust. 1 u.P.b. na sytuacje, w których nie dochodzi do zawarcia umowy, a dane osobowe osoby wnioskującej o kredyt są przetwarzane w celu oceny ryzyka kredytowego. Sąd nie neguje, że ocena ryzyka kredytowego jest obowiązkiem banku. Instrumenty służące dokonaniu takiej oceny przez banki muszą jednak być stosowane z poszanowaniem przepisów prawa normujących uprawnienie banków do przetwarzania danych osobowych potencjalnych klientów. Słusznie zatem zauważa Prezes UODO, że prezentowana przez skarżących wykładnia art. 105a ust. 1 u.P.b. prowadziłaby do wniosku, że na potrzeby oceny zdolności kredytowej i analizy ryzyka kredytowego banki lub inne podmioty wymienione w tym przepisie byłyby uprawnione do przetwarzania danych osobowych potencjalnych klientów bez żadnego ograniczenia czasowego, mimo że nie zawarto umowy o kredyt. W przypadku zaś, gdyby doszło do zawarcia umowy banki byłyby uprawnione do przetwarzania danych osobowych po wygaśnięciu zobowiązania, bez zgody osoby, której informacje dotyczą, przez okres wskazany w art. 105a ust. 5 u.P.b. Takiego stanowiska zaakceptować nie sposób. Skoro bowiem ustawodawca w art. 105a ust. 1 u.P.b. nie wskazał okresu, przez, jaki mogą być przetwarzane informacje stanowiące tajemnicę bankową, a w art. 105a ust. 5 u.P.b. wskazał takie okresy w odniesieniu do sytuacji, w których wygasło zobowiązanie, to nie oznacza to, że okres przetwarzania tych informacji, w sytuacji gdy nie doszło do zawarcia umowy, jest nieograniczony. Przetwarzanie danych osobowych w oparciu o art. 105a ust. 1 u.P.b. jest uprawnione w odniesieniu do konkretnego zapytania kredytowego. Jeżeli nie dochodzi do zawarcia umowy, to uprawnienie do przetwarzania danych osobowych w oparciu o ten przepis wygasa. Powyższe stanowisko znajduje potwierdzenie w wyroku Naczelnego Sądu Administracyjnego z 27 lipca 2019r. sygn. akt I OSK 2567/17 (dostępne na orzeczenia.nsa.gov.pl). W orzeczeniu tym podniesiono, że celem oceny zdolności kredytowej i analizy ryzyka kredytowego w odniesieniu do konkretnego klienta jest zawarcie umowy kredytowej na określonych warunkach. Skoro do niej nie dochodzi wskutek tej czynności banku, to nie ma podstaw prawnych do dalszego ich przechowywania. Gdyby podzielić stanowisko Banku, że pozyskanie danych na etapie złożenia wniosku kredytowego uprawnia bank do ich nieograniczonego w czasie przechowywania po odmowie zawarcia umowy kredytowej, to regulacje zawarte w art. 105 a ust. 2 i 3 i ust. 5 u.P.b., ograniczające w czasie przypadki przetwarzania danych klientów z umów kredytowych, pozbawione byłyby sensu. Skoro celem przetwarzania była ocena zdolności kredytowej i analizy ryzyka kredytowego, to cel ten odpadł z momentem jej dokonania. W przypadku osób, z którymi zawarto umowę kredytową, istnieje podstawa do dalszego ich przetwarzania, a w stosunku do tych, z którymi nie zawarto umowy, takiej podstawy nie sposób wywieść ani z przepisów obowiązującej wówczas ustawy, ani u.P.b. Pogląd ten wyrażony został wprawdzie na gruncie poprzednio obowiązującej u.o.d.o. sprzed wprowadzenia przepisów RODO, jednakże - w ocenie Sądu - nie stracił na aktualności. Przepisy RODO wzmacniają jeszcze, w porównaniu z Dyrektywą 95/46, ochronę danych osób fizycznych. Aktualności tego poglądu Naczelnego Sądu Administracyjnego nie zmienia także fakt, że B. i Bank, przyjęły w swej praktyce określone terminy dalszego przetwarzania danych osobowych osoby, z którą nie zawarto umowy kredytu. Zdaniem Sądu, niezasadne są również zarzuty naruszenia art. 6 ust. 1 lit. c RODO w związku z art. 105 ust. 1 pkt 1c i w związku z art. 105 ust. 4 u.P.b. Bank, zgodnie z art. 105 ust. 1 pkt 1c u.P.b., ma obowiązek udzielenia informacji stanowiących tajemnicę bankową wyłącznie instytucjom, o których mowa w ust. 4, w zakresie niezbędnym do stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w przepisach części trzeciej CRR. Natomiast z art. 105 ust. 4 u.P.b. wynika, że banki mogą, wspólnie z bankowymi izbami gospodarczymi, utworzyć instytucje upoważnione do gromadzenia, przetwarzania i udostępniania, m.in. bankom oraz innym podmiotom określonym w tym przepisie, informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej CRR. W ocenie Sądu, przepis art. 105 ust. 4 u.P.b. jest przepisem o charakterze ogólnym, który nie nakłada na Bank obowiązku korzystania z zewnętrznej bazy zawierającej informacje o wnioskach z sektora bankowego oraz sektora pożyczkowego, a jedynie stanowi o możliwości utworzenia wspólnie z bankowymi izbami gospodarczymi, instytucji upoważnionych do gromadzenia, przetwarzania i udostępniania danych, a w konsekwencji nie daje podstaw do nieograniczonego przetwarzania wszelkich danych osobowych przez utworzone instytucje. Zasady przetwarzania danych objętych tajemnicą bankową określa art. 105a u.P.b., o którym mowa wyżej i który wskazuje na możliwość uznania za podstawę przetwarzania danych osobowych. Na gruncie tego przepisu należy oceniać zatem dopuszczalność przetwarzania poszczególnych danych osobowych, w określonych ściśle celach. Podstawy prawnej przetwarzania danych osobowych w rozpoznawanej sprawie nie mógł stanowić zatem art. 105 ust. 4 u.P.b. samodzielnie ani też w powiązaniu z art. 105 ust. 1 pkt 1c u.P.b. Sąd w związku z tym uznaje, że przesłanka z art. 6 ust. 1 lit. c RODO nie znajduje zastosowania w okolicznościach faktycznych sprawy. Przepis ten dotyczy bowiem sytuacji, gdy przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego administratora danych, a nie realizacji uprawnienia, o którym mowa w art. 105 ust. 4 u.P.b. Ponadto art. 105 ust. 4 u.P.b. nie stanowi o dopuszczalności przetwarzania danych osobowych dotyczących wniosków kredytowych w sytuacji, gdy nie doszło do zawarcia umowy z bankiem. Uznanie takiego procesu przetwarzania danych za legalny wymaga podstawy prawnej, której nie stanowią regulaminy ani umowy zawierane między poszczególnymi instytucjami a bankami. W ocenie Sądu, aktualny pozostaje pogląd wyrażony w wyroku NSA z 14 września 2005r. sygn. akt I OSK 39/05, wskazujący, że "Nie można zatem podzielić stanowiska, aby zezwalający na utworzenie instytucji zajmujących się szczególnym przetwarzaniem danych osobowych przepis stanowił zarazem podstawę do przetwarzania przez nie danych osobowych bez zgody osób, których dane dotyczą, gdyż nie tylko literalne brzmienie przepisu nie uzasadnia takiego przekazania, lecz i argumenty logiki prawniczej nie prowadzą do takiego wniosku. Nie można bowiem dowodzić, że w utworzonej zgodnie z prawem instytucji wolno działać w sposób, który sama uzna za odpowiadający jej celom, gdyż zezwolenie na utworzenie nie jest równoznaczne z zezwoleniem na działanie bez ograniczeń." Wprawdzie ww. wyrok NSA opiera się na innym brzmieniu art. 105 u.P.b., to istota poglądu wyrażonego przez NSA w odniesieniu do przetwarzania danych osobowych, jako instytucji utworzonej na podstawie art. 105 ust. 4 u.P.b., nie straciła na aktualności. Zmiana brzmienia art. 105 u.P.b. na przestrzeni lat, jakie minęły od czasu wydania ww. orzeczenia NSA, dodatkowo utwierdza w trafności poglądu wyrażonego przez NSA, a także trafności stanowiska Prezesa UODO zaprezentowanego w zaskarżonej decyzji, że gdy ani Bank, ani B. nie wykazały przesłanki legalizującej dalsze przetwarzanie danych osobowych Uczestnika, po osiągnięciu pierwotnego celu przetwarzania - w postaci oceny zdolności kredytowej i ryzyka kredytowego – to konieczne było podjęcie przez Prezesa UODO czynności, o których mowa w pkt 1 i 2 zaskarżonej decyzji. Zdaniem Sądu na uwzględnienie nie zasługiwał też zarzut naruszenia art. 6 ust. 1 lit. f RODO w związku z przytoczonymi w skargach przepisami k.c. i w nawiązaniu do potrzeby przechowywania danych (zawartych w ww. zapytaniach kredytowych) Uczestnika - osoby, z którą nie zawarto umowy kredytowej - w celu ustalenia, dochodzenia i ochrony przed roszczeniami, ewentualnego zabezpieczenia roszczeń, na wypadek konieczności obrony lub dochodzenia ewentualnych roszczeń, które mogą się pojawić w określonym czasie po przeprowadzeniu stosownej analizy zdolności kredytowej oraz analizie ryzyka kredytowego. Przepis art. 6 ust. 1 lit. f RODO stanowi bowiem o uprawnieniu do przetwarzania danych, gdy jest ono niezbędne do celów wynikających z prawnie uzasadnionych interesów, realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności, gdy osoba, której dane dotyczą, jest dzieckiem. Za usprawiedliwiony cel w rozumieniu ww. przepisu art. 6 ust. 1 lit. f RODO nie może zostać uznane przetwarzanie danych osobowych na wypadek ewentualnego dochodzenia lub obrony roszczeń. Z akt sprawy nie wynika, aby Uczestnik, który zażądał usunięcia danych w zakresie ww. zapytań kredytowych, miał jakiekolwiek roszczenia na drodze cywilnoprawnej do Banku lub B.. Z akt sprawy i wyjaśnień Banku nie wynika, aby ww. osoba posiadała w Banku zobowiązania (w tym także kredytowe), czy była posiadaczem rachunku osobistego lub innych produktów bankowych. Uczestnik natomiast jednoznacznie żądał usunięcia swoich danych osobowych, przetwarzanych, w jego ocenie, bez podstawy prawnej. W tym kontekście na uwzględnienie nie zasługiwały zarzuty o naruszeniu ww. przepisów prawa procesowego. Prezes UODO przed wydaniem zaskarżonej decyzji poczynił niezbędne w sprawie ustalenia faktyczne, jak również rozważył wszystkie wynikające z akt sprawy okoliczności faktyczne w kontekście obowiązujących i powołanych przez obu skarżących przepisów prawa, które mogły być brane pod uwagę. Z tego względu nie jest dopuszczalne przyjęcie, że naruszono w sprawie art. 7, art. 77, art. 80, art. 107 k.p.a. Prezes UODO trafnie też przyjął, że art. 6 ust. 1 lit. f RODO nie mógłby stanowić podstawy do dalszego przetwarzania przez Bank i B. danych osobowych Uczestnika na wypadek ewentualnego dochodzenia przyszłych i niepewnych roszczeń. Warto też podnieść, że przepisy dotyczące przedawnienia dotyczą zobowiązań, a umowa kredytowa nie została zawarta z Uczestnikiem przez Bank, więc niemożliwe jest odwoływanie się do wskazanych w skargach przepisów art. 117 § 2 i § 21, art. 118 i art. 119 k.c. Wyjaśnić też należy, że w toku postępowania administracyjnego nie wykazano ponadto, ani nie wynika to ze skarg, jakich ewentualnie roszczeń możnaby dochodzić od osoby, która ostatecznie zażądała usunięcia swoich danych w zakresie ww. zapytań kredytowych osoby fizycznej, z którą nie zawarto umowy kredytowej. Z art. 3531 k.c. wynika zasada swobody umów. Strony mogą zatem w ramach autonomii woli kształtować stosunki cywilnoprawne mocą własnych decyzji. Przepis art. 3531 k.c. wskazuje na podstawowy element, jaki dla swobody umów obligacyjnych ma kompetencja stron w zakresie kształtowania treści zobowiązania. Umowy nie zawarto, zobowiązanie nie powstało. B. i Bank nie wskazały, aby Uczestnik kierował do nich jakiekolwiek roszczenia (zażądał jedynie usunięcia własnych danych osobowych, w związku z tym, że ustał cel ich przetwarzania). Ważąc interesy Uczestnika, który żądał respektowania swoich praw do ochrony danych osobowych, wynikających z RODO, jak również uwzględniając interesy Banku oraz B., w sytuacji, gdy nie zawarto umowy kredytowej, należało więc uznać, że nie było podstaw do przyjęcia, że spełniona została przesłanka z art. 6 ust. 1 lit. f RODO. Sąd podziela pogląd Naczelnego Sądu Administracyjnego, zgodnie z którym niedopuszczalne jest przetwarzanie danych osobowych niejako "na zapas" z założeniem, że mogą być one ewentualnie przydatne w przyszłości, na przykład z odwołaniem się do przepisów dotyczących przedawnienia roszczeń (por. wyrok NSA z 27 marca 2018r. sygn. akt I OSK 1459/16, orzeczenia.nsa.gov.pl). Wywodzenie zatem także z kwestii przedawnienia roszczeń samodzielnej podstawy do przetwarzania danych – w sytuacji, gdy mowa o danych osoby, z którą Bank nie zawarł umowy kredytowej - nie jest uprawnione i nie stanowi przesłanki do ich dalszego przetwarzania. Niezasadne są też zarzuty dotyczące naruszenia art. 6 ust. 1 lit. c RODO w związku z art. 106d u.P.b., jak i w związku z ww. przepisami AML. Zgodnie z art. 106d ust. 1 u.P.b., banki, inne instytucje ustawowo upoważnione do udzielania kredytów, izby rozliczeniowe utworzone na podstawie art. 67, instytucje utworzone na mocy art. 105 ust. 4 u.P.b., instytucje pożyczkowe, podmioty, których podstawowa działalność polega na udostępnianiu składników majątkowych na podstawie umowy leasingu, oraz podmioty, o których mowa w art. 59d u.k.k., mogą przetwarzać i wzajemnie udostępniać informacje, w tym informacje objęte tajemnicą bankową, w przypadkach: 1) uzasadnionych podejrzeń, o których mowa w art. 106a ust. 3; 2) uzasadnionych podejrzeń popełnienia przestępstw dokonywanych na szkodę banków, innych instytucji ustawowo upoważnionych do udzielania kredytów, instytucji kredytowych, instytucji finansowych, instytucji pożyczkowych oraz podmiotów, o których mowa w art. 59d u.k.k., i ich klientów, w celu i zakresie niezbędnym do zapobiegania tym przestępstwom; 3) wykonywania obowiązków w zakresie określonym w przepisach AML. Art. 106a ust. 3 u.P.b., do którego odwołano się w art. 106d ust. 1 pkt 1 u.P.b., stanowi, że w przypadku powzięcia uzasadnionego podejrzenia, że zgromadzone na rachunku bankowym środki, w całości lub w części pochodzą lub mają związek z przestępstwem skarbowym lub przestępstwem innym niż przestępstwo, o którym mowa w art. 165a lub art. 229 Kodeksu karnego, bank jest uprawniony do dokonania blokady środków na tym rachunku. Blokada może nastąpić wyłącznie do wysokości zgromadzonych na rachunku środków, co do których zachodzi takie podejrzenie. Z materiału dowodowego sprawy, w tym z wyjaśnień stron udzielonych w toku postępowania administracyjnego, nie wynika, aby w rozpoznawanej sprawie któryś z powyższych przypadków miał miejsce, w szczególności, aby występowało "uzasadnione podejrzenie", co do okoliczności określonych w ww. przepisach. Przepis art. 33 ust. 1 AML na instytucje obowiązane nakłada obowiązek m.in. stosowania wobec swoich klientów środków bezpieczeństwa finansowego, których zakres (katalog) znajduje się w art. 34 AML. W art. 33 ust. 2 AML wskazano, że instytucje obowiązane rozpoznają ryzyko prania pieniędzy oraz finansowania terroryzmu związane ze stosunkami gospodarczymi lub z transakcją okazjonalną oraz oceniają poziom rozpoznanego ryzyka. Natomiast w art. 33 ust. 3 pkt 6 AML wskazano, że instytucje obowiązane dokumentują rozpoznane ryzyko prania pieniędzy oraz finansowania terroryzmu związane ze stosunkami gospodarczymi lub z transakcją okazjonalną oraz jego ocenę, uwzględniając w szczególności czynniki dotyczące celu, regularności lub czasu trwania stosunków gospodarczych. Art. 34 ust. 1 AML odnosi się m.in. do bieżącego monitorowania stosunków gospodarczych klienta (w tym analizę transakcji przeprowadzanych w ramach stosunków gospodarczych, badanie źródła pochodzenia wartości majątkowych będących w dyspozycji klienta - w przypadkach uzasadnionych okolicznościami, zapewnienie, że posiadane dokumenty, dane lub informacje dotyczące stosunków gospodarczych są na bieżąco aktualizowane). Art. 35 AML wskazuje sytuacje, w których bank jest obowiązany stosować środki bezpieczeństwa finansowego, natomiast art. 36 AML dotyczy kwestii identyfikacji klienta. Na podstawie art. 49 ust. 1 AML, kopie dokumentów i informacje uzyskane w wyniku stosowania środków bezpieczeństwa finansowego, a także dowody potwierdzające przeprowadzone transakcje i ewidencje transakcji, obejmujące oryginalne dokumenty lub kopie dokumentów konieczne do identyfikacji transakcji, przechowuje się przez okres 5 lat licząc od pierwszego dnia roku następującego po roku, w którym zakończono stosunki gospodarcze z klientem, lub w którym przeprowadzono transakcje okazjonalne. W przypadku dokonania analizy przeprowadzonej transakcji i udokumentowania jej analizy, zgodnie z art. 34 ust. 3 AML, instytucja pożyczkowa na mocy art. 49 ust. 2 AML jest obowiązana do przechowywania jej wyników przez okres 5 lat, licząc od pierwszego dnia roku następującego po roku ich przeprowadzenia. Z ww. przepisów wynika uprawnienie do monitorowania stosunków gospodarczych klienta i stosowania odpowiednich środków bezpieczeństwa finansowego. Przepisy te nie mają jednak odniesienia do stanu faktycznego sprawy, gdyż nie doszło do zawarcia umowy kredytowej. Żaden ze skarżących podmiotów nie wskazał, jakie działania (w sferze stosunków gospodarczych niedoszłego klienta, osoby, z którą nie zawarto umowy kredytowej) chciałby monitorować. Nie jest dla Sądu działaniem zrozumiałym powoływanie się w kontekście ww. przepisów, na konieczność monitorowania niedookreślonych stosunków gospodarczych między Bankiem a osobą, z którą umowy kredytowej nie zawarto i która nadto, klientem Banku nie jest. Ogólne twierdzenia o celu w postaci zapewnienia bezpieczeństwa obrotu gospodarczego nie mogą stanowić – w stanie faktycznym sprawy – podstawy legalizującej rozszerzanie podstaw i celów przetwarzania danych osobowych Uczestnika. Z akt sprawy i zebranych przez Prezesa UODO wyjaśnień nie wynika, aby Uczestnika łączyły stosunki gospodarcze z Bankiem, a nadto, aby Bank powziął podejrzenia, czy stwierdził próbę manipulacji. Art. 2 ust. 2 pkt 2 AML stanowi, że przez stosunki gospodarcze rozumie się stosunki instytucji obowiązanej z klientem związane z działalnością zawodową instytucji obowiązanej, które w chwili ich nawiązywania wykazują cechę trwałości. Z akt sprawy nie wynika, aby Uczestnik był klientem Banku w rozumieniu art. 2 ust. 2 pkt 2 AML. W przypadku braku nawiązania stosunków gospodarczych pomiędzy Bankiem a ww. osobą fizyczną (Uczestnikiem) brak jest zdarzeń wymienionych w art. 49 ust. 1 AML, tj. zakończenia stosunków gospodarczego z klientem lub przeprowadzenia transakcji okazjonalnej, od wystąpienia których można dopiero liczyć wskazany w ww. przepisie termin przetwarzania danych osobowych. Zdaniem Sądu, rozszerzanie zatem przez podmioty skarżące dopuszczalności przetwarzania danych (zawartych w ww. zapytaniach kredytowych) osoby fizycznej, z którą nie zawarto umowy kredytowej, z powołaniem się na zapewnienie bezpieczeństwa finansowego w przypadku nawiązywania stosunków gospodarczych, a zatem szeroko rozumiane, ogólne cele, nie znajduje podstawy na gruncie RODO i jest wprost sprzeczne z zasadą ograniczenia celu (art. 5 ust. 1 lit. b RODO), gdy nie ma mowy o nawiązaniu stosunku zobowiązaniowego. Niezasadne są tym samym popodnoszone zarzuty naruszenia art. 6 ust. 1 lit. c RODO w zw. z art. 70a u.P.b. Zgodnie z art. 70a ust. 1 u.P.b., banki i inne instytucje ustawowo upoważnione do udzielania kredytów, na wniosek osoby fizycznej, prawnej lub jednostki organizacyjnej niemającej osobowości prawnej, o ile posiada zdolność prawną, ubiegającej się o kredyt, przekazują, w formie pisemnej, wyjaśnienie dotyczące dokonanej przez siebie oceny zdolności kredytowej wnioskującego. Zgodnie z art. 70 ust. 2 u.P.b. wyjaśnienie, o którym mowa w ust. 1, obejmuje informacje na temat czynników, w tym danych osobowych wnioskującego, które miały wpływ na dokonaną ocenę zdolności kredytowej. Powstanie więc obowiązku, o którym mowa w art. 70a ust. 1 u.P.b., uzależnione jest od złożenia stosownego wniosku przez osobę ubiegającą się o kredyt. Wniosek taki nie został złożony, a Uczestnik po odmownej decyzji kredytowej, wniósł o usunięcie swoich danych. W związku z odmową w tym zakresie, podjął też działania przed Prezesem UODO. Z akt sprawy i całokształtu okoliczności nie wynika ponadto, aby ww. osoba wystąpiła do Banku, czy B. o jakiekolwiek wyjaśnienie dotyczące dokonanej oceny zdolności kredytowej. Wynika natomiast, że Uczestnik złożył żądanie usunięcia danych. Nie może być więc mowy o tym, aby w sprawie znajdował zastosowanie art. 70a ust. 1 i 2 u.P.b., uprawniający Bank do przetwarzania danych osobowych Uczestnika w związku z koniecznością ewentualnego wypełnienia obowiązku wynikającego z art. 70a ust. 1 i ust. 2 u.P.b. Nie jest też trafny zarzut skarg dotyczący naruszenia art. 6 ust. 1 lit. f RODO w związku z Rekomendacjami KNF (S, W i T). Rekomendacje KNF nie są źródłem prawa powszechnie obowiązującego. Nie ma przy tym podstaw, aby w stanie faktycznym sprawy, wywodzić z Rekomendacji KNF – wobec osoby, z którą nie zawarto umowy kredytowej i która zażądała usunięcia danych – prawnie uzasadnione interesy Banku (i B.), o których jest mowa w art. 6 ust. 1 lit. f RODO. Rekomendacje KNF, które zawierają konkretne wymagania regulacyjne, wobec narzędzi używanych przez banki, nie powinny być interpretowane w sprzeczności z RODO w zakresie legalności przetwarzania danych (w zakresie zapytań kredytowych) osób, z którymi nie zawarto umów kredytowych. Ponadto nie można ich wykładać w sposób prowadzący do nieuprawnionego przetwarzania danych osobowych osób fizycznych, które nie nawiązały z bankiem stosunku umownego. Twierdzenie, że wypełnienie nakazu Prezesa UODO, w postaci usunięcia danych osobowych Uczestnika przetwarzanych niezgodnie z prawem, prowadziłoby do uniemożliwienia Bankowi realizacji Rekomendacji, nie daje podstaw do stwierdzenia o dopuszczalności "dalszego" przetwarzania na gruncie RODO danych zawartych w zapytaniu kredytowym osoby, z którą Bank umowy nie zawarł, a jednocześnie nie uzyskał zgody tej osoby na dalsze przetwarzanie jej danych osobowych w celach innych niż te, w jakich je zgromadził. Sąd wskazuje, że z powodów wyżej wskazanych niezasadne okazały się zarzuty naruszenia m.in. art. 6 ust. 1 lit. c RODO w zw. z art. 105 ust. 1 pkt 1c w zw. z art. 105 ust. 4 u.P.b. oraz w zw. z art. 105a i art. 70 i art. 5 ust. 1 pkt 3 u.P.b. Sąd w tym zakresie odwołuje się do przedstawionego wyżej stanowiska dotyczącego art. 105 ust. 4 u.P.b. Sąd podnosi ponadto, że art. 105 ust. 1 pkt 1c u.P.b. stanowi, że bank ma obowiązek udzielenia informacji stanowiących tajemnicę bankową wyłącznie instytucjom, o których mowa w ust. 4, w zakresie niezbędnym do stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w przepisach części trzeciej CRR. Przepis ten stanowi o obowiązku udzielania przez banki informacji, stanowiących tajemnicą bankową. Przepis ten nie odnosi się do przetwarzania danych przez B. w zakresie niezbędnym do stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w przepisach części trzeciej CRR. O przetwarzaniu danych przez B. w tym celu stanowi ww. art. 105a ust. 4 u.P.b., który, przypomnieć należy, uprawnia do tego B. bez zgody osoby, której informacje dotyczą, ale "po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów". Umowa taka nie została zawarta z Uczestnikiem, na co prawidłowo zwrócił uwagę Prezes UODO w uzasadnieniu zaskarżonej decyzji. Art. 70 u.P.b. stanowi natomiast wyłącznie o badaniu przez banki zdolności kredytowej i nie zawiera regulacji dotyczących przetwarzania danych osobowych. Z kolei art. 5 ust. 1 pkt 3 u.P.b. wskazuje, że czynnością bankową jest udzielanie kredytów. Z tego wynika, że art. 105 ust. 4 u.P.b. nie mógł stanowić podstawy przetwarzania danych osobowych Uczestnika przez B. zarówno samodzielnie, jak i w powiązaniu z art. 105 ust. 1 pkt 1c, art. 105a, art. 70 i art. 5 ust. 1 pkt 3 u.P.b. B. w zarzutach wskazywał też na naruszenie art. 6 ust. 1 lit. f RODO w związku z art. 105 ust. 4 u.P.b. Argumentacja dotycząca art. 105 ust. 4 u.P.b., wskazująca na charakter tego przepisu, nie pozwala jednak z ww. podanych powodów, na uznanie, że przepis ten określa prawnie uzasadniony interes realizowany przez B. lub przez stronę trzecią, a który mógłby być rozważny w kontekście art. 6 ust. 1 lit. f RODO. Tak jak podniesiono wyżej, sam w sobie art. 105 ust. 4 u.P.b. nie może stanowić podstawy prawnej przetwarzania danych osoby ubiegającej się o kredyt. W treści tego przepisu nie można więc poszukiwać prawnie usprawiedliwionego interesu w przetwarzaniu danych osobowych Uczestnika – osoby fizycznej, której w związku z zapytaniem kredytowym nie udzielono kredytu. Postawiony w tym kontekście zarzut naruszenia art. 6 ust. 1 lit. f RODO jest niezasadny. Na uwzględnienie nie zasługiwał również zarzut B. dotyczący naruszenia art. 6 ust. 1 lit. c RODO w zw. z art. 70a u.P.b. w zw. z art. 105 ust. 4 pkt 1 i 2 u.P.b. Wyrażone wyżej stanowisko Sądu dotyczące art. 70a u.P.b., jako podstawy przetwarzania danych osobowych Uczestnika przez Bank, aktualne jest również w kontekście zarzutów sformułowanych przez B.. Dodać jedynie należy, że art. 70a u.P.b. nakłada na banki i inne instytucje ustawowo upoważnione do udzielania kredytów obowiązek przekazywania osobie fizycznej ubiegającej się o kredyt wyjaśnień dotyczących dokonanej oceny zdolności kredytowej wnioskującego. Tego rodzaju obowiązku przepis ten nie nakłada na instytucje, o których mowa w art. 105 ust 4 u.P.b. Sąd, odnosząc się do zarzutu naruszenia art. 6 ust. 1 lit. e RODO, w kontekście argumentów podniesionych w skardze B., zauważa, że przepis ten przewiduje dwie przesłanki legalizujące przetwarzanie danych osobowych. Może być ono niezbędne do wykonania zadania realizowanego w interesie publicznym lub niezbędne w ramach sprawowania władzy publicznej powierzonej administratorowi. W obu przypadkach zarówno zadanie, jak i sprawowanie władzy publicznej, muszą zostać sprecyzowane w przepisach, o których mowa w art. 6 ust. 3 RODO. Art. 6 ust. 3 RODO stanowi bowiem, że podstawa przetwarzania, o którym mowa w ust. 1 lit. c) i e), musi być określona: a) w prawie Unii lub b) w prawie państwa członkowskiego, któremu podlega administrator. Cel przetwarzania musi być określony w tej podstawie prawnej lub - w przypadku przetwarzania, o którym mowa w ust. 1 lit. e) - musi być ono niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi. Podstawa prawna może zawierać przepisy szczegółowe dostosowujące stosowanie przepisów RODO, w tym: ogólne warunki zgodności z prawem przetwarzania przez administratora; rodzaj danych podlegających przetwarzaniu; osoby, których dane dotyczą; podmioty, którym można ujawnić dane osobowe; cele, w których można je ujawnić; ograniczenia celu; okresy przechowywania oraz operacje i procedury przetwarzania, w tym środki zapewniające zgodność z prawem i rzetelność przetwarzania, w tym i w innych szczególnych sytuacjach związanych z przetwarzaniem, o których mowa w rozdziale IX. Prawo Unii lub prawo państwa członkowskiego muszą służyć realizacji celu leżącego w interesie publicznym, oraz być proporcjonalne do wyznaczonego, prawnie uzasadnionego celu. B. powołał się w zakresie tej podstawy przetwarzania danych osobowych na interes publiczny widziany w kontekście roli w zabezpieczeniu ekonomiczno-gospodarczego sektora bankowego, w tym depozytariuszy i zapewnienia stabilności ekonomiczno-gospodarczej sektora bankowego, a w ujęciu makro - zapobieganiu kryzysom gospodarczym. Podnieść w związku z tym należy, że w odróżnieniu od przesłanki z art. 6 ust. 1 lit. c – RODO w art. 6 ust. 3 nie wymaga się określenia w podstawie prawnej celu przetwarzania, a jedynie takiej jej konstrukcji, z której wynika niezbędność przetwarzania do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi (zob. E. Bielak-Jomaa (red.), D. Lubasz (red.), "RODO. Ogólne rozporządzenie o ochronie danych. Komentarz", Lex). Zdaniem Sądu, analizowane wyżej art. 70, art. 70a, art. 105 ust. 4 i art. 105a u.P.b. nie wskazują na niezbędność przetwarzania przez B. danych osobowych osoby ubiegającej się o kredyt w sytuacji, w której nie doszło do zawarcia umowy. Zarzut naruszenia art. 6 ust. 1 lit. e RODO nie zasługiwał zatem na uwzględnienie. Nie są również uzasadnione zarzuty, co do naruszenia art. 6 ust. 1 lit. f RODO przez nieuzasadnione przyjęcie przez Prezesa UODO, że prawnie uzasadniony interes administratora danych nie może opierać się na przesłance ewentualnego zabezpieczenia roszczeń oraz błędne uznanie, że wskutek braku zawarcia umowy kredytowej nie ma prawnie uzasadnionego interesu w przetwarzaniu danych Uczestnika, gdy nie zawarto umowy kredytowej, polegający na realizacji działań z zakresu opracowania, utrzymania aktualności i funkcjonalności zbudowanych modeli scoringowych, w zgodzie z treścią Rekomendacji KNF (W, S i T) w zakresie dobrych praktyk zarządzania ryzykiem kredytowym. Kwestię zabezpieczenia roszczeń i ww. rekomendacji KNF omówiono wyżej. Zbędne jest zatem powtarzane tej argumentacji. Także powoływana potrzeba realizacji działań z zakresu opracowania, utrzymania aktualności i funkcjonalności zbudowanych modeli scoringowych, nie stanowi w stanie faktycznym sprawy podstawy przetwarzania – w odniesieniu do danych osoby, z którą nie zawarto umowy kredytowej – w celu wynikającym z prawnie uzasadnionych interesów B. czy Banku. Celem RODO jest ochrona prywatności, która powinna być rozpatrywana także w świetle art. 8 Konwencji o Ochronie Praw Człowieka i Podstawowych Wolności. W sprawie nie istnieje tego rodzaju powiązanie pomiędzy osobą, której dane dotyczą (Uczestnikiem), a Bankiem, jak również pomiędzy tą osobą, a B., które pozwalałoby "wyprowadzić" istnienie prawnie uzasadnionego interesu po stronie B. i Banku w dalszym przetwarzaniu danych osobowych Uczestnika. Z okoliczności sprawy nie wynika przy tym, aby osoba ta mogła spodziewać się w czasie, gdy pozyskiwano od niej dane, w celu oceny zdolności kredytowej i ryzyka kredytowego, że będą one dalej przetwarzane, pomimo nie zawarcia umowy kredytowej (motyw 47 RODO). Odnosząc się do argumentacji w zakresie wykładni art. 6 ust. 1 lit. f RODO i możliwości jego zastosowania, w kontekście obowiązującej wcześniej przesłanki z art. 23 ust. 1 pkt 5 u.o.d.o., z powołaniem się na poglądy doktryny, można zgodzić się, że użyte w art. 6 ust. 1 lit. f RODO pojęcie "interesu" jest pojęciem szerszym od pojęcia "celu" z art. 23 ust. 1 pkt 5 u.o.d.o. Nie zmienia to jednak tego, że jako prawnie uzasadniony interes administratora, na gruncie art. 6 ust. 1 lit. f RODO, nie może być rozumiana każda potrzeba wygenerowana przez danego administratora w związku z prowadzoną działalnością gospodarczą. Przyjęcie takiej koncepcji poddawałoby w wątpliwość funkcjonowanie wszystkich pozostałych przesłanek legalności przetwarzania danych ujętych w RODO, skoro sama potrzeba, pojawiająca się dynamicznie w ramach prowadzonej działalności gospodarczej (handlowej), czyniłaby dopuszczalnym przetwarzanie danych osobowych. Niewątpliwie ten prawnie uzasadniony interes administratora nie może pozbawiać jednostki prawa do dysponowania własnymi danymi osobowymi i ochrony prywatności. Z art. 7 lit. f nieobowiązującej już Dyrektywy 95/46/WE, którą u.o.d.o. implementowała (art. 23 ust. 1 pkt 5) wynika, że przetwarzanie danych jest konieczne dla potrzeb wynikających z uzasadnionych interesów administratora danych lub osoby trzeciej lub osobom, którym dane są ujawniane, z wyjątkiem sytuacji, kiedy interesy takie podporządkowane są interesom związanym z podstawowymi prawami i wolnościami osoby, której dane dotyczą, które gwarantują ochronę na podstawie art. 1 ust. 1. W ww. Dyrektywie mowa była zatem o uzasadnionych interesach administratora danych. Stąd też poglądy przywołane przez Prezesa UODO w zaskarżonej decyzji, a prezentowane w orzecznictwie NSA z powołaniem się na tę przesłankę, nie straciły na aktualności. Warto też wskazać, że w orzecznictwie Trybunału Sprawiedliwości przyjmuje się – i pogląd ten prezentuje także Sąd rozpoznający niniejszą sprawę - że "Ze względu na to, że RODO uchyliło i zastąpiło dyrektywę 95/46, a właściwe przepisy tego rozporządzenia mają w istocie zakres identyczny, jak właściwe przepisy tej dyrektywy, orzecznictwo Trybunału dotyczące wspomnianej dyrektywy znajduje również co do zasady zastosowanie w odniesieniu do tego rozporządzenia" (por. wyrok Trybunału Sprawiedliwości z 17 czerwca 2021r., C-597/19, punkt 107). W okolicznościach faktycznych rozpoznawanej sprawy, to prawa i wolności osoby fizycznej, mają nadrzędny charakter nad interesami Banku i B., więc zarzut naruszenia art. 7 i art. 7b k.p.a. jest niezasadny. Celem udostępnienia danych osobowych przez osobę fizyczną było bowiem rozpatrzenie konkretnego wniosku kredytowego (cel był ściśle określony), zgodnie z przepisami u.P.b., o czym mowa wyżej. Nie daje to podstaw do dalszego przetwarzania danych "na przyszłość", po zakończeniu oceny zdolności kredytowej i analizy ryzyka kredytowego. Samo powołanie się na zasadę rozliczalności (art. 5 ust. 2 RODO) nie legalizuje przetwarzania jakichkolwiek danych. Konieczne jest bowiem, aby w pierwszej kolejności przetwarzanie danych było zgodne z prawem. Sąd, niezależnie zatem od zrozumienia argumentacji Banku i B., co do wskazywanych potrzeb, zamierzeń czy celów, jakie podmioty te chciałyby osiągnąć w działalności gospodarczej - przez dalsze przetwarzanie danych osobowych zawartych w zapytaniach kredytowych Uczestnika (osoby, z którą Bank umowy kredytowej nie zawarł), a które wskazano zarówno w postępowaniu przed organem, jak i w skargach do Sądu, przyjął, że zaskarżona decyzja Prezesa UODO w punkcie 1 i 2 nie narusza prawa. Cel przetwarzania legalnie zebranych danych osobowych Uczestnika - osoby fizycznej (zebranych w celu oceny zdolności kredytowej i analizy ryzyka kredytowego) ustał i nie wykazano innej podstawy prawnej, stanowiącej przesłankę do "dalszego" przetwarzania danych osobowych tej osoby fizycznej. W ocenie Sądu, niedopuszczalna jest interpretacja powołanych w skargach przepisów u.P.b., AML, k.c., CRR, która czyniłaby uprawnionym na gruncie RODO dalsze przetwarzanie danych osobowych zawartych w zapytaniu kredytowym osoby, z którą nie zawarto umowy (a zatem w celach innych niż cele, w jakich je zebrano), w sytuacji, gdy u.P.b. wyraźnie reguluje dopuszczalność przetwarzania danych osobowych przed powstaniem zobowiązania, w trakcie jego trwania i po wygaśnięciu. Przyjęcie interpretacji zaprezentowanej w skargach prowadziłoby do tego, że w odniesieniu do osób, których dane zawarte zostały w zapytaniu kredytowym, a z którymi nie zawarto umowy kredytowej, istniałaby pełna dowolność tak w zasadach ich przetwarzania - bez zgody osoby (jak należy wnioskować ze stanowisk Banku i B.), bez informacji przedstawianej przed pozyskaniem danych o innych celach przetwarzania niż ocena zdolności kredytowej i ryzyka kredytowego, zarówno przez Bank jak i B. - jak również dowolne ustalenia w odniesieniu do czasu ich przetwarzania (te kwestie byłyby bowiem i są, jak wynika z akt administracyjnych, tj. wyjaśnień Banku i B., ustalane samodzielnie przez te podmioty, z uwzględnieniem przyjmowanych przez nie celów służących, co do zasady spełnieniu, jak wskazywano w postępowaniu, określonych wymagań organu nadzoru nad rynkiem finansowym). Sytuacja osoby, która zwróciła się z zapytaniem kredytowym i z którą nie zawarto umowy kredytowej, jest z punktu widzenia ochrony danych osobowych, biorąc pod uwagę przepisy u.P.b., byłaby sytuacją "gorszą" niż sytuacja osoby, która zawarła umowę kredytową i jej zobowiązanie wygasło. W tym drugim bowiem przypadku, dla dalszego przetwarzania danych w B. po wygaśnięciu zobowiązania wynikającego z danej umowy, niezbędna jest zgoda osoby, której dane dotyczą. Zgodę taką można nadto w każdym czasie odwołać. Podkreślenia wymaga, że w demokratycznym państwie prawnym nie jest dopuszczalne dowolne rozszerzanie uprawnień jakiegokolwiek podmiotu - ani organu władzy, ani spółki prawa handlowego, ani innego administratora w zakresie przetwarzania danych osobowych (art. 47, art. 51 Konstytucji RP). Dane osobowe mogą być przetwarzane co do zasady w celach, w jakich zostały zebrane. Uprawnienia te powinny być adekwatne, stosowne oraz ograniczone do tego, co niezbędne do osiągnięcia celów, w których zostały zebrane i są przetwarzane (art. 5 ust. 1 lit. c RODO). Przetwarzanie przez Bank i B. "na przyszłość" danych zawartych w ww. zapytaniach kredytowych, gdy nie zawarto umów kredytowych, nie znajduje umocowania w żadnej przesłance z art. 6 ust. 1 RODO. Sąd podziela też poglądy prezentowane w orzecznictwie Sądów administracyjnych, zgodnie z którymi dalsze przetwarzanie danych, uzyskanych w celu oceny zdolności kredytowej w przypadku nie zawarcia stosownej umowy, pozostawałoby w oderwaniu od celu, dla którego je uzyskano. Niedopuszczalne jest dalsze przetwarzanie danych osobowych na przyszłość, a także na potrzeby budowy oceny zdolności kredytowej innych podmiotów, jeżeli nie można zrekonstruować wyraźnej podstawy prawnej takich działań, jak miało to miejsce w sprawie (por. wyrok NSA z 27 sierpnia 2019r. sygn. akt 2567/17, orzeczenia.nsa.gov.pl). Zdaniem Sądu w świetle akt sprawy były więc nieuzasadnione zarzuty skarg dotyczące naruszenia przepisów prawa procesowego: art. 7, art. 77 § 1 oraz art. 80 k.p.a., bowiem organ prawidłowo zebrał i ocenił zgromadzony w sprawie materiał dowodowy, w tym opierając się na wyjaśnieniach Banku oraz B. dotyczących przetwarzania danych osobowych Uczestnika zawartych we wnioskach kredytowych. Odmienna ocena zarówno Banku, jak i B. w zakresie wykładni i zastosowania powołanych przez organ przepisów prawa, nie stanowi o naruszeniu przepisów postępowania, w tym art. 7, art. 77 i art. 80 k.p.a. W ocenie Sądu, uzasadnienie zaskarżonej decyzji odpowiada ponadto wymogom określonym w art. 107 § 3 k.p.a. Zdaniem Sądu niezasadny był też zarzut naruszenia przez Prezesa UODO art. 105 § 1 k.p.a. w związku z tym, że to Bank dysponując wszelkimi informacjami w zakresie wykreślenia danych Uczestnika z własnych rejestrów, mając obowiązek współdziałania z organem administracyjnym i mając zapewniony czynny udział w postępowaniu nie poinformował organu o istotnych i mających znaczenie w sprawie przesłankach, które stanowią podstawę do złożenia przez Bank wniosku o wznowienie postępowania. Nieuzasadniony jest również zarzut naruszenia art. 7b k.p.a. przez zaniechanie zwrócenia się przez Prezesa UODO do KNF, jako organu właściwego w sprawach związanych m.in. z badaniem zdolności kredytowej i analizy ryzyka kredytowego, a także budową modeli scoringowych i w konsekwencji niedostateczne wyjaśnienie stanu faktycznego sprawy. Zgodnie bowiem z art. 7b k.p.a., w toku postępowania organy administracji publicznej współdziałają ze sobą w zakresie niezbędnym do dokładnego wyjaśnienia stanu faktycznego i prawnego sprawy, mając na względzie interes społeczny i słuszny interes obywateli oraz sprawność postępowania, przy pomocy środków adekwatnych do charakteru, okoliczności i stopnia złożoności sprawy. W ocenie Sądu, stan faktyczny i prawny sprawy został przez Prezesa UODO prawidłowo ustalony i należycie rozpatrzony w oparciu o zgromadzony materiał dowodowy, w tym przede wszystkim w oparciu o wyjaśnienia Banku oraz B.. Nie zachodziły więc przesłanki do podjęcia przez Prezesa UODO współdziałania z innymi organami administracji publicznej w oparciu o art. 7b k.p.a., w celu wydania decyzji w sprawie. Prezes UODO jest niezależnym i wyspecjalizowanym organem w sprawach dotyczących ochrony danych osobowych, który ma status i kompetencje organu nadzorczego, określone w przepisach RODO. Z tego względu Prezes UODO jest uprawniony do samodzielnego dokonywania interpretacji przepisów prawa w zakresie dotyczącym ochrony danych osobowych. Stanowisko to znajduje potwierdzenie w art. 51 oraz w motywach 117, 122 oraz 123 RODO. Sąd stwierdza, że przesłanki do przetwarzania danych osobowych Uczestnika (na przyszłość i w innych celach wskazywanych przez Bank i B.) nie stanowił w okolicznościach faktycznych sprawy żaden z art. 6 ust. 1 lit. a-f RODO (bo nie uzyskano zgody, ani nie zwracano się do Uczestnika o zgodę na przetwarzanie Jego danych osobowych w przyszłości, w celach innych niż ocena zdolności kredytowej i ryzyka kredytowego; bo nie wykazano, że przetwarzanie było niezbędne do wykonania umowy lub działań przed zawarciem umowy, ani do wypełnienia obowiązku prawnego ciążącego na administratorze; okoliczności faktyczne nie wskazywały na niezbędność przetwarzania dla ochrony żywotnych interesów osoby fizycznej lub innej osoby; nie można też mówić o wykonaniu zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej, ani o niezbędność do celów wynikających z prawnie uzasadnionych interesów). Powołanie się na konieczność zabezpieczenia ekonomiczno-gospodarczego sektora bankowego, zapewnienie stabilności gospodarczej sektora bankowego, jako uzasadnienie interesu publicznego, o którym mowa w art. 6 ust. 1 lit. e RODO, w odniesieniu do przetwarzania danych zawartych w zapytaniu kredytowym osoby, z którą Bank nie zawarł umowy, nie jest trafne. Ustaleń Sądu w tym zakresie nie zmienia analiza treści umowy zawartej między B. i Bankiem, bo umowa ta nie stanowi samoistnej podstawy legalności przetwarzania danych osobowych Uczestnika, w celach wskazywanych obecnie przez wymienione podmioty. Stosowanie RODO nie może zostać wyłączone przez zapis umowy. Ustalenie Prezesa UODO, w zakresie braku dopuszczalności przetwarzania danych Uczestnika zawartych w ww. zapytaniach kredytowych wskazanych w decyzji, jest prawidłowe. Nakaz, zawarty zarówno w punkcie 1, jak i 2 decyzji, jest przy tym jasny, nie ma wątpliwości co do jego zakresu i jest wykonalny. Sąd, podsumowując, stwierdza, że zaskarżona decyzja jest zgodna z prawem, zaś zarzuty skarg nie zasługują na uwzględnienie. Organ zasadnie nakazał w punkcie 1 zaskarżonej decyzji Bankowi, a w punkcie 2 zaskarżonej decyzji B., usunięcie danych osobowych Uczestnika w zakresie wynikającym z ww. zapytań kredytowych. 3. Sąd, mając na względzie powyższe, na podstawie art. 151 P.p.s.a., orzekł, jak w sentencji wyroku.