II SA/Wa 1726/24

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Ewa Radziszewska-Krupa (spr.), Sędzia WSA Izabela Głowacka-Klimas, Asesor WSA Arkadiusz Koziarski, , Protokolant referent Joanna Mazur po rozpoznaniu na rozprawie w dniu 8 maja 2025 r. sprawy ze skargi [...] S.A. z siedzibą w [...] na pkt 2 decyzji Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] sierpnia 2024 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę I. Stan sprawy przedstawia się następująco: 1. Prezes Urzędu Ochrony Danych Osobowych (zwany dalej "Prezesem UODO") w punkcie 2 decyzji z [...] sierpnia 2023r. nr [...] nakazał Biuru Informacji Kredytowej S.A. z siedzibą w [...] (zwany dalej "BIK") usunięcie danych osobowych K. W. (zwana dalej "Uczestnikiem") w zakresie wynikającym z zapytania kredytowego z [...] czerwca 2018r. niezakończonego zawarciem umowy kredytowej, przekazanych przez [...] S.A. z siedzibą w [...] (zwany dalej "Bankiem"). Ww. decyzję wydano po przeprowadzeniu postępowania administracyjnego w sprawie skargi Uczestniczki na nieprawidłowości w procesie przetwarzania jej danych osobowych przez Bank i BIK, polegające na przetwarzaniu danych osobowych bez podstawy prawnej w zakresie zapytania kredytowego z [...] czerwca 2018r., które nie zakończyło się zawarciem umowy kredytowej. Prezes UODO powołał w podstawie prawnej decyzji m.in. art. 104 § 1 ustawy z 14 czerwca 1960r. Kodeks postępowania administracyjnego (Dz.U. z 2024r., poz. 572 ze zm., zwana dalej "k.p.a."), art. 7 ust. 1 i 2 ustawy z 10 maja 2018r. o ochronie danych osobowych (Dz.U. z 2019r., poz. 1781, zwana dalej "u.o.d.o."), art. 6 ust. 1 i art. 58 ust. 2 lit. c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych - Dz.Urz.UE L 119 z 4.05.2016, s. 1, Dz.Urz.UE L 127 z 23.05.2018, s. 2 i Dz.Urz.UE L 74 z 4.03.2021, s. 35, zwane dalej "RODO"). Prezes UODO w toku postępowania wyjaśniającego ustalił, że: Uczestniczka w skardze wskazała, że Bank przetwarza jej dane osobowe w zakresie ww. zapytania kredytowego, w tym w bazie BIK, choć nie doszło do zawarcia umowy z Bankiem, w związku z negatywną oceną zdolności kredytowej Uczestniczki. Bank, mimo żądania Uczestniczki z [...] października 2018r. nie chce usunąć jego danych, w związku z ww. zapytaniem kredytowym, pomimo że Uczestniczka nie ma wobec Banku zobowiązań, bo jej wniosek nie zakończył się zawarciem umowy o kredyt. Bank pozyskał dane osobowe Uczestniczki (adres e-mail, dane adresowe: miejscowość, ulica, nr domu, nr lokalu, kod pocztowy, dane o zatrudnieniu, datę urodzenia, imię i nazwisko, imię matki, imię ojca, miejsce urodzenia, miejsce zatrudnienia, nazwisko rodowe matki, nazwisko rodowe, numer PESEL, numer telefonu prywatny i służbowy, obywatelstwo, płeć, serię i numer dokumentu tożsamości, stan cywilny, wykształcenie, informację o wykonywanym zawodzie) w związku z zawarciem umowy o prowadzenie rachunku [...] z [...] czerwca 2005r. i "Umowy o Kartę [...]". Podstawa prawną pozyskania ww. danych był art. 23 ust. 1 pkt 3 u.o.d.o. Ww. konto zamknięto [...] lutego 2008r. (dowód: pisma Banku z: 14 grudnia 2018r. i 8 czerwca 2020r. z załącznikami). Bank na podstawie ww. wniosku z [...] czerwca 2018r. o udzielenie kredytu mieszkaniowego pozyskał również dane osobowe Uczestniczki (adres e-mail, dane adresowe (miejscowość, ulica, nr domu, nr lokalu, kod pocztowy), dane o zatrudnieniu, imię i nazwisko, informacje o dochodach, informacje o kredytowanej nieruchomości, informacje o mieszkaniu i wydatkach gospodarstwa domowego, informacje o nieruchomości stanowiącej zabezpieczenie kredytu, informacje o wnioskodawcy, informacje o zobowiązaniach, miejsce zatrudnienia, numer PESEL, numer telefonu, obywatelstwo, płeć, prawne zabezpieczenie spłaty kredytu, informacja na temat rozdzielności majątkowej, serię i numer dokumentu tożsamości, stan cywilny, warunki finansowania kredytu, wykształcenie, informację o wykonywanym zawodzie), w celu oceny Jej zdolności kredytowej. Podstawą prawną pozyskania danych był art. 6 ust. 1 lit. b RODO, w związku z art. 70 ust. 1, art. 105a ust. 1, art. 105 ust. 1a, art. 105 ust. 1b oraz art. 105 ust. 4 ustawy z 29 sierpnia 1997r. Prawo bankowe (Dz.U. z 2023r., poz. 2488, zwanej dalej "u.P.b."). Bank na podstawie art. 6 ust. 1 lit. b RODO pozyskał także dane Uczestniczki z BIK w zakresie dotyczącym zobowiązań finansowych i oceny punktowej (scoring). Bank przekazał do BIK ww. zapytanie kredytowe dotyczące wniosku Uczestniczki z [...] czerwca 2018r. (dowód: pismo Banku z dnia 8 czerwca 2020r. wraz z załącznikami). Bank przetwarza dane osobowe Uczestniczki dotyczące ww. zapytania kredytowego na mocy art. 6 ust. 1 lit. c lub f RODO, w związku z toczącym się postępowaniem administracyjnym przed Prezesem UODO. Podstawą do przetwarzania ww. danych są: - art. 105a ust. 4-6 u.P.b. w związku z realizacją wymogów ostrożnościowych tj. oceny ogólnej ekspozycji i ryzyka ekspozycji Banku, do czego służy stosowanie wewnętrznych metod oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia Parlamentu Europejskiego i Rady (UE) z 26 czerwca 2013r. nr 575/2013 w sprawie wymogów ostrożnościowych dla instytucji kredytowych i firm inwestycyjnych, zmieniające rozporządzenie (UE) nr 648/2012 (Dz.U.UE.L. z 2013r. Nr 176, str. 1 ze zm., zwane dalej "CRR"), dane są przetwarzane przez okres do 12 lat od daty rozwiązania umowy, - art. 118 oraz art. 4421 ustawy z 23 kwietnia 1964r. Kodeks cywilny (Dz.U. z 2023r., poz. 1610 ze zm., zwana dalej "k.c."), w ogólnym celu, związanym z zabezpieczeniem możliwości ustalenia, dochodzenia lub obrony przed roszczeniami - z zastosowaniem 6-letniego terminu przedawnienia, którego koniec przypada na ostatni dzień roku kalendarzowego, licznego od daty podjęcia decyzji kredytowej - od [...] czerwca 2018r. Dane Uczestniczki nie są już przetwarzane dla oceny zdolności kredytowej, ani nie podlegają ujawnieniu innym bankom i instytucjom finansowym, z uwagi na upływ 12-miesięcznego okresu od ich przekazania do BIK (dowód: pisma Banku z: 14 grudnia 2018r. z załącznikami; 8 czerwca 2020r. z załącznikami; 7 marca 2024r.). Uczestniczka wnioskowała o usunięcie danych dotyczących ww. zapytania kredytowego wpisanych do bazy BIK. Bank pismem z 31 października 2018r. udzielił Uczestniczce odpowiedzi odmownej. Uczestniczka 14 listopada 2018r. złożyła pisemną reklamację w odpowiedzi na pismo Banku, odrzucające wniosek o usunięcie danych z BIK. Bank udzielił odpowiedzi na reklamację pismem z 17 grudnia 2018r., podtrzymując dotychczasowe stanowisko (dowód: pismo Banku z 8 czerwca 2020r. z załącznikami). BIK wyjaśnił, że przetwarza w związku z ww. zapytaniem kredytowym, skierowanym przez Bank następujące dane Uczestniczki (imię, nazwisko, PESEL, seria i nr dowodu osobistego, obywatelstwo, data urodzenia, płeć, adres zamieszkania i dane z wniosku kredytowego dotyczącego wnioskowanego zobowiązania). Dane te nie są przetwarzane przez BIK do celu indywidulanej oceny zdolności kredytowej i analizy ryzyka kredytowego Uczestniczki, ale w celach: - nie krócej niż 5 lat i nie dłużej niż 10 lat od dnia złożenia zapytania, w celu budowy modeli scoringowych, a więc narzędzi wykorzystywanych przez banki do celów oceny zdolności kredytowej i analizy ryzyka kredytowego (na mocy art. 145 ust. 1, art. 147 ust. 5 lit. b, art. 171 ust. 2 i art. 144 ust. 1 lit. d) CRR i zgodnie z treścią rekomendacji W i T Komisji Nadzoru Finansowego), - statystycznych i stosowania metod wewnętrznych i innych metod i modeli na mocy art. 6 ust. 1 lit. f RODO w zw. z art. 105 ust. 1 i art. 105a ust. 4 u.P.b., - rozpatrywania ewentualnych reklamacji lub roszczeń odszkodowawczych, których termin przedawnienia, zgodnie z art. 118 k.c., wynosi 6 lat (cele dowodowe), - wypełnienia ustawowego obowiązku wynikającego z art. 15 RODO w przypadku wystąpienia przez osobę, której dane dotyczą z wnioskiem o udzielenie informacji. W związku z tym, dane Uczestniczki będą przetwarzane przez BIK do [...] czerwca 2028r. włącznie. Usunięcie danych z bazy BIK nastąpi po upływie 10 lat (okres przetwarzania), licząc od dnia złożenia zapytania kredytowego - do [...] czerwca 2028r. (dowód: pisma BIK z: 2 stycznia 2019r., 29 marca 2021r., 5 marca 2024r.). Prezes UODO na podstawie materiału dowodowego, zgromadzonego w toku postępowania, wskazał, że przepisem uprawniającym administratorów danych do przetwarzania zwykłych danych osób fizycznych jest art. 6 ust. 1 RODO, zgodnie z którym przetwarzanie danych jest dopuszczalne tylko wtedy, gdy spełniona jest jedna z przesłanek wskazanych w tym przepisie. Katalog przesłanek wymienionych w art. 6 ust. 1 RODO, jest zamknięty. Każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny. Dodatkowo, proces przetwarzania danych osobowych musi być zgodny z zasadami ustanowionymi w art. 5 ust. 1 RODO. Do zasad tych zalicza się m.in. ograniczenie celu (art. 5 ust. 1 lit. b RODO) i minimalizację danych (art. 5 ust. 1 lit. c RODO). Ww. zasady wymagają, by dane osobowe były zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami, a proces przetwarzania danych osobowych był adekwatny, stosowny oraz ograniczony do tego, co niezbędne do celów, w których są przetwarzane. Co do zasady podstawą prawną przetwarzania danych osobowych klientów przez Bank w BIK jest art. 6 ust. 1 f RODO, gdy przetwarzanie to jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora. BIK jest instytucją utworzoną, na podstawie art. 105 ust. 4 u.Pb., który stanowi, że banki mogą, wspólnie z bankowymi izbami gospodarczymi, utworzyć instytucje upoważnione do gromadzenia, przetwarzania i udostępniania bankom informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej CRR, innym instytucjom ustawowo upoważnionym do udzielania kredytów informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są niezbędne w związku z udzielaniem kredytów, pożyczek pieniężnych, gwarancji bankowych i poręczeń (pkt 2), instytucjom kredytowym informacji stanowiących tajemnicę bankową w zakresie niezbędnym do oceny zdolności kredytowej konsumenta, o której mowa w art. 9 ustawy z 12 maja 2011r. o kredycie konsumenckim (Dz.U. z 2023r., poz. 1028, zwana dalej "u.k.k.") (pkt 3), instytucjom pożyczkowym i podmiotom, o których mowa w art. 59d u.k.k. na zasadzie wzajemności, informacji stanowiących odpowiednio tajemnice bankową oraz informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d u.k.k., w zakresie niezbędnym do oceny zdolności kredytowej konsumenta, o której mowa w art. 9 u.k.k., i analizy ryzyka kredytowego (pkt 4). Zgodnie z art. 105a ust. 1 u.P.b., przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów, instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d u.k.k., a także instytucje utworzone na podstawie art. 105 ust. 4, informacji stanowiących tajemnicę bankową i informacji udostępnionych przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d u.k.k., w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem art. 104, art. 105 i art. 106 - 106d u.P.b. w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Zgodnie zaś z art. 105a ust. 4 u.P.b. Banki oraz instytucje, o których mowa w art. 105 ust. 4, mogą przetwarzać stanowiące tajemnicę bankową informacje dotyczące osoby fizycznej po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której informacje dotyczą, do celów stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej CRR. Stosownie zaś do art. 105a ust. 5 u.P.b. przetwarzanie informacji stanowiących tajemnicę bankową w przypadkach, o których mowa w ust 3, może być wykonywane przez okres nie dłuższy niż 5 lat od dnia wygaśnięcia zobowiązania, a w przypadku, o którym mowa w ust. 4, przez okres 12 lat od dnia wygaśnięcia zobowiązania. Ponadto stosownie do art. 70 ust. 1 u.P.b., bank uzależnia przyznanie kredytu od zdolności kredytowej kredytobiorcy. Przez zdolność kredytową rozumie się zdolność do spłaty zaciągniętego kredytu wraz z odsetkami w terminach określonych w umowie. Skoro Uczestniczka [...] czerwca 2018r. wystąpiła do Banku z wnioskiem o udzielenie kredytu, w wyniku czego Bank skierował do BIK zapytanie kredytowe, to podstawą przetwarzania danych osobowych przez Bank i BIK był art. 105a ust. 1 u.P.b. w zw. z art. 70 ust. 1 u.P.b., jedynie w celu oceny zdolności kredytowej. Podkreślenia wymaga, że nie doszło do zawarcia umowy kredytu pomiędzy Uczestniczką a Bankiem. W związku z tym odpadła przesłanka legalizująca dalsze przetwarzanie danych osobowych Uczestniczki przez Bank i BIK. Przesłanki zawarte w art. 105a u.P.b. dotyczą bowiem przetwarzania informacji objętych tajemnicą bankową w okresie przed powstaniem zobowiązania, w trakcie jego trwania oraz po wygaśnięciu zobowiązania. Pomiędzy Bankiem a Uczestniczką nie zawiązał się żaden stosunek zobowiązaniowy, który stosownie do art. 105a ust. 1-6 u.P.b. dawałby podstawę do dalszego przetwarzania danych osobowych Uczestniczki. Celem przetwarzania danych osobowych Uczestniczki była ocena zdolności kredytowej i analizy ryzyka kredytowego. W związku z dokonaniem przez Bank oceny zdolności kredytowej i analizy ryzyka kredytowego ww. cel przetwarzania danych osobowych Uczestniczki zrealizowano i brak jest podstaw prawnych do kontynuowania tego procesu. Powyższe stanowisko ma oparcie w wyroku NSA z 27 sierpnia 2019r. sygn. akt I OSK 2567/17, zgodnie z którym cel oceny zdolności kredytowej stanowi ocena zdolności do spłaty zaciągniętego kredytu wraz z odsetkami, co ma charakter czynności wstępnej do zawarcia stosownej umowy. Dalsze przetwarzanie danych uzyskanych w celu oceny zdolności kredytowej, w przypadku niezawarcia stosownej umowy pozostawałaby w oderwaniu od celu, dla którego dane te uzyskano. (...) niedopuszczalne jest przetwarzanie danych osobowych na przyszłość, a także na potrzeby budowy oceny zdolności kredytowej innych podmiotów, jeżeli nie można zrekonstruować wyraźnej podstawy prawnej takich działań. Jak wyjaśniły Bank i BIK, dane osobowe Uczestniczki, dotyczące ww. zapytania kredytowego zrealizowanego przez Bank w BIK przetwarzane były przez BIK przez 12 miesięcy od daty [...] czerwca 2018r., zatem okres ten upłynął. Niemniej BIK wyjaśnił, że dane osobowe Uczestniczki będzie przetwarzał przez 10 lat od daty złożenia zapytania kredytowego, w celach statystycznych i analiz wewnętrznych. Skoro BIK nadal kontynuuje proces przetwarzania danych osobowych Uczestniczki, a z Jego wyjaśnień wynika, że dane te nie są przetwarzane do celu indywidulanej oceny zdolności kredytowej i analizy ryzyka kredytowego (dane te nie są przekazywane bankom w raportach kredytowych, udostępnianych na wniosek tych podmiotów w związku z rozpatrywaniem wniosków kredytowych Uczestniczki), to zdaniem Prezesa UODO za podstawę przetwarzania danych osobowych Uczestniczki nie mogą być uznane wskazane przez BIK i Bank cele statystyczne i analizy, w tym cel stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej CRR. Prezes UODO, odnosząc się do wskazanego przez Bank i BIK celu realizacji wymogów ostrożnościowych (oceny ogólnej ekspozycji i ryzyka ekspozycji Banku wynikających z CRR), wskazał, że z przepisów tych nie wynika uprawnienie do przetwarzania danych osobowych w zakresie zapytań kredytowych niezakończonych zawarciem umowy. Art. 144 ust. 1 lit. d CRR stanowi, że właściwy organ wydaje zezwolenie na mocy art. 143 na stosowanie przez instytucję metody IRB, w tym na stosowanie własnych oszacowań LGD i współczynników konwersji, wyłącznie wtedy, gdy właściwy organ stwierdzi, że wymogi przewidziane w niniejszym rozdziale są spełnione, w szczególności wymogi przewidziane w sekcji 6, oraz że posiadane przez instytucję systemy w zakresie zarządzania oraz oceny ekspozycji na ryzyko kredytowe są należyte i zostały spójnie wdrożone, w szczególności gdy instytucja wykazała w sposób zadowalający właściwym organom spełnienie następujących norm: (...) d) instytucja gromadzi i przechowuje wszystkie odpowiednie dane, aby zapewnić skuteczne wsparcie procesów pomiaru ryzyka kredytowego oraz zarządzania ryzykiem kredytowym. Kolejny przywołany przez BIK art. 145 ust. 1 CRR stanowi zaś, że jest wymagane, aby instytucja ubiegająca się o możliwość stosowania metody IRB korzystała, w odniesieniu do omawianych kategorii ekspozycji IRB, co najmniej przez trzy lata poprzedzające zakwalifikowanie się do stosowania metody IRB, z systemów ratingowych, które odpowiadały w znacznym stopniu wymogom określonym w sekcji 6 dotyczącym wewnętrznego pomiaru ryzyka i zarządzania ryzykiem. Art. 147 ust 5 lit. b CRR stanowi, że aby ekspozycje mogły kwalifikować się do kategorii ekspozycji detalicznych przewidzianej w ust. 2 lit. d), spełniają następujące kryteria: są traktowane przez instytucję w procesie zarządzania ryzykiem w sposób spójny w długim okresie. Obowiązku zastosowania powyższego rodzaju zapytań kredytowych nie przewiduje również art. 171 ust. 2 CRR, który stanowi, że klasyfikując dłużników i instrumenty do klas lub pul, instytucja uwzględnia wszystkie istotne informacje. Informacje te są aktualne i umożliwiają instytucji prognozowanie zachowania ekspozycji w późniejszym okresie. Im mniej informacji ma do dyspozycji instytucja, tym ostrożniej klasyfikuje ekspozycje do poszczególnych klas lub pul dłużników i instrumentów. Jeżeli instytucja stosuje rating zewnętrzny jako główny czynnik decydujący o przyznaniu wewnętrznego ratingu, instytucja ta zapewnia uwzględnienie innych istotnych informacji. Zdaniem Prezesa UODO z ww. przepisów wynika, że instytucja kredytowa jest obowiązana do zbierania informacji przydatnych do skutecznego zarządzania ryzykiem. Nie oznacza to jednak, że gromadzenie danych w systemach ratingowych może odbywać się z naruszeniem innych przepisów regulujących kwestie ochrony danych osobowych. Inne przepisy CRR zawierają konkretyzację danych, które mogą być użyte przez instytucje kredytowe i firmy inwestycyjne przy realizacji wymogów ostrożnościowych. W CRR wprost wskazano, że za elementy wskazujące na prawdopodobieństwo niedokonania płatności uznaje się sytuacje takie, jak m.in. złożenie przez instytucję wniosku o postawienie dłużnika w stan upadłości lub podobnego wniosku w odniesieniu do zobowiązań kredytowych dłużnika wobec instytucji, jednostki dominującej lub którejkolwiek z jej jednostek zależnych (art. 178 ust. 3 lit. e CRR), lub wystąpienie przez dłużnika o ogłoszenie upadłości lub o przyznanie podobnej ochrony lub postawienie dłużnika w stan upadłości bądź przyznanie mu podobnej ochrony, jeżeli umożliwiłoby mu to uniknięcie lub opóźnienie spłaty zobowiązań kredytowych wobec instytucji, jednostki dominującej lub którejkolwiek z jej jednostek zależnych (art. 178 ust. 3 lit. f CRR). W CRR natomiast nie dokonano takiego konkretnego wskazania w przypadku zapytań kredytowych niezakończonych zawarciem umowy, tym samym nie sposób uznać, że przewiduje ono podstawy prawne do przetwarzania danych w nich zawartych. Prezes UODO stwierdził też, że powołany przez BIK oraz Bank art. 105a ust. 4 u.P.b. daje podstawy do przetwarzania informacji dotyczących osoby fizycznej stanowiących tajemnicę bankową po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której te informacje dotyczą. Jednak w sprawie nie doszło do zawarcia umowy kredytu pomiędzy Uczestniczką a Bankiem, a zatem nie powstał żaden stosunek zobowiązaniowy, o którym mowa w ww. przepisie. Prezes UODO, odnosząc się do powołanego przez Bank i BIK celu ustalenia, dochodzenia lub obrony roszczeń, wskazał, że materiał dowodowy zebrany w postępowaniu nie wykazał, aby Uczestniczka wystąpiła z jakimkolwiek roszczeniem wobec Banku, czy BIK, które uzasadniałoby uprawnienie tych podmiotów do zachowania i przetwarzania Jej danych osobowych dla celów dowodowych w związku z dochodzeniem tego roszczenia. Bank i BIK nie wskazały także na istnienie roszczeń, których dochodzą od Uczestniczki. Przesłanka z art. 6 ust. 1 lit. f RODO dotyczy sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia, potrzeba dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem. Prezes UODO podzielił ponadto stanowisko NSA wyrażone w wyroku z 6 marca 2019r. sygn. akt I OSK 994/17 (LEX nr 2670498), odnoszące się do przesłanki wynikającej z art. 23 ust. 1 pkt 5 u.o.d.o., dotyczącej dopuszczalności przetwarzania danych osobowych dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, gdy przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Zdaniem Sądu art. 23 ust. 1 pkt 5 u.o.d.o. zezwala na przetwarzanie danych, gdy jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Dokonując wykładni tego przepisu należy zatem zwrócić uwagę, że stosowanie ww. przepisu wymaga wykazania, że chodzi o realizowanie prawnie usprawiedliwionego celu, ale także dokonanie oceny czy dla realizacji tego celu niezbędne jest przekazanie danych, pomimo braku zgody osoby której dane te dotyczą. Ocena ta sprowadza się do wyważania racji i interesów osoby, której danych sprawa dotyczy, a która jest objęta ochroną prawną, a z drugiej administratora danych, również chronionego przez prawo w zakresie w jakim może realizować prawnie usprawiedliwione cele i uprawnienia. NSA w wyroku z 23 września 2005r. sygn. akt I OSK 712/05 wskazywał, że rozstrzygając o legalności przetwarzania danych trzeba każdorazowo, ważąc interesy stron, znaleźć równowagę między prawami i wolnościami jednostki z jednej strony a prawnie usprawiedliwionym interesem osoby trzeciej z drugiej strony. Oznacza to obowiązek zapewnienia właściwej równowagi praw i interesów stron w tym praw podstawowych. Zdaniem NSA przetwarzanie danych osobowych osoby, która cofnęła zgodę na ich przetwarzanie, nie jest niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych, a którym jest prawo do podjęcia obrony przed ewentualnymi roszczeniami lub zarzutami dotyczącymi przetwarzania danych, w celu obsługi wniosku kredytowego. Art. 23 ust. 1 pkt 5 u.o.d.o. na pierwszym miejscu wymienia warunek, że przetwarzanie danych winno być niezbędne dla wypełnienia prawnie usprawiedliwionych celów. Prawidłowe jest stanowisko Sądu, że niedopuszczalne jest przetwarzanie danych osobowych niejako "na zapas" z założeniem, że mogą być one ewentualnie przydatne w przyszłości. Znaczenie ma, że (...) co prawda w 2012r. złożył wniosek kredytowy, ale strony nie zawarły umowy, a zatem nie powstał między stronami stosunek zobowiązaniowy. Pomiędzy stronami nie toczy się także żadne postępowanie reklamacyjne. Zatem przetwarzania danych strony, a więc na wszelki wypadek, nie można uznać za przetwarzanie niezbędne dla wypełnienia prawnie usprawiedliwionych celów. Zgodnie z art. 23 ust. 1 pkt 2 u.o.d.o. przetwarzanie danych osobowych jest dopuszczalne wtedy, gdy jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa. Przepis ten dopuszcza możliwość przetwarzania danych, uzależnia jednak legalność tego procesu od spełnienia dwóch istotnych wymogów, tj. istnienia odpowiedniego przepisu prawa, który przyznaje podmiotowi uprawnienie lub nakłada na niego obowiązek oraz niezbędności przetwarzania danych dla zrealizowania tego uprawnienia lub spełnienia obowiązku wynikającego z tego przepisu. Wymogi te powinny być spełnione łącznie. Zdaniem Prezesa UODO przy przyjęciu odmiennej interpretacji ww. przepisów, Uczestniczka zostałby pozbawiona ochrony na gruncie RODO i u.o.d.o. Przyjęcie za prawidłowe stanowiska, że przetwarzanie danych osobowych w celu uchylenia się od negatywnych skutków w przypadku zgłoszenia w przyszłości ewentualnego i nieokreślonego roszczenia, stanowi prawnie usprawiedliwiony cel w rozumieniu art. 6 ust. 1 lit. f RODO oznaczałoby, że dane osobowe Uczestniczki mogą być przetwarzane przez Bank i BIK permanentnie, bez konieczności ich usunięcia. Teoretycznie możliwym jest przecież by Uczestniczka zwróciła się do Banku lub BIK z roszczeniem po upływie terminu przedawnienia roszczenia. Prowadziłoby to tym samym do uznania, że przetwarzanie Jej danych osobowych ma uzasadnienie w przesłance określonej art. 6 ust. 1 lit. f RODO, w celu realizacji prawa do obrony przed ewentualnym roszczeniem, również po upływie ww. terminu. Zdaniem Prezesa UODO brak jest uzasadnienia dla przyjęcia, że terminy dotyczące przedawnienia roszczeń wynikających ze stosunków zobowiązaniowych określają jednocześnie ramy czasowe, w których dane osobowe mogą być przetwarzane przez Bank i BIK. Koniecznym jest by podnieść, że przedawnienie roszczenia nie wywołuje skutków na gruncie ochrony danych osobowych, nie wpływa bowiem na fakt istnienia roszczenia, a powoduje jedynie zmianę w sferze zarzutów procesowych w postaci możliwości podniesienia okoliczności przedawnienia w sporze sądowym. Okolicznością usprawiedliwiającą przetwarzanie danych osobowych, w celu dochodzenia roszczeń jest istnienie roszczenia i zamiar jego dochodzenia, nie jest nią natomiast zmiana w uprawnieniach procesowych podmiotu pozwanego. Ponadto brak jest uzasadnienia dla przyjęcia, że BIK jest uprawniony do przetwarzania danych osobowych pozyskanych w związku z zapytaniem kredytowym z [...] czerwca 2018r. w związku z koniecznością ewentualnego wypełnienia obowiązku wynikającego z art. 15 RODO. Usunięcie przez administratora danych osobowych nie uniemożliwia mu wykonania obowiązku uregulowanego w art. 15 RODO, gwarantującego osobie, której dane dotyczą, prawa do uzyskania od administratora informacji, czyjej dane są przetwarzane, a w przypadku pozytywnej odpowiedzi na tak postawione pytanie - uprawnienie do dostępu do danych na swój temat oraz uzyskania informacji o okolicznościach przetwarzania danych. Jeśli bowiem, administrator nie przetwarza danych dotyczących osoby, która zwraca się z żądaniem udzielenia informacji, to działanie administratora ogranicza się do odpowiedzi przeczącej i nie ma on obowiązku podawać podmiotowi danych innych informacji (por. P. Fajgielski [w:] Ogólne rozporządzenie o ochronie danych. Ustawa o ochronie danych osobowych. Komentarz. Wolters Kluwer Polska, 2018). Prezes UODO, odnosząc się do przywołanych przez BIK rekomendacji KNF, wskazał, że należą one do nienormatywnych form działania administracji. Rekomendacje te, podobnie jak inne uchwały ww. organu nadzoru, nie są źródłem ani powszechnie obowiązujących przepisów prawa, ani przepisów prawa o charakterze wewnętrznym, więc nie stanowią podstawy prawnej legalizującej przetwarzanie danych osobowych w zakresie zapytań kredytowych niezakończonych zawarciem umowy kredytu, a ich stosowanie nie może naruszać przepisów RODO. Prezes UODO, odnosząc się do przetwarzania danych osobowych Uczestniczki przez Bank na potrzeby toczącego się przed Prezesem UODO postępowania administracyjnego, wskazał, że przesłanka ta upadnie wraz z zakończeniem sprawy. Podstawa procesu przetwarzania danych wynikających z ww. zapytania kredytowego jest zatem ograniczona w czasie i nie może legitymować procesu przetwarzania danych osobowych w okresie po zakończeniu postępowania prowadzonego przez Prezesa UODO w sprawie wszczętej na skutek skargi Uczestniczki. Wobec tego, w ocenie Prezesa UODO, w sprawie brak jest celu uzasadniającego dalsze przetwarzanie danych osobowych Uczestniczki zawartych w ww. zapytaniu kredytowym przez Bank i przez BIK. Bank w związku z pozyskaniem danych osobowych Uczestniczki w celu oceny zdolności kredytowej stał się ich administratorem. Natomiast BIK stał się administratorem ww. danych osobowych, z uwagi na ich przekazanie przez Bank. Bank i BIK są odrębnymi administratorami. Każdy z tych podmiotów przetwarza dane osobowe Uczestniczki we własnych celach i samodzielnie ustala sposoby ich przetwarzania. W odniesieniu do przetwarzania danych osobowych Uczestniczki przez Bank i BIK nie istniała żadna z przesłanek wyrażonych w art. 6 ust. 1 RODO, która stanowiłaby o legalności któregokolwiek z tych procesów. Prezes UODO, korzystając z uprawnienia przewidzianego w art. 58 ust. 2 lit. c RODO, skierował w ww. decyzji do Banku i BIK - administratorów danych osobowych Uczestniczki - ww. nakazy. 2. BIK zaskarżył do Wojewódzkiego Sądu Administracyjnego w Warszawie punkt 2 ww. decyzji Prezesa UODO, zarzucając naruszenie: 1) art. 6 ust. 1 lit. c) RODO w związku z art. 105 ust. 1 pkt 1c u.P.b. w związku z art. 105 ust. 4, art. 105a, art. 70 i art. 5 ust. 1 pkt 3 u.P.b. - przez jego niewłaściwe zastosowanie i przyjęcie, że BIK nie posiada ww. podstawy prawnej do przetwarzania danych zawartych w zapytaniach kredytowych w przypadku nie zawarcia umowy kredytowej, gdy BIK jest ustawowo zobowiązany do realizacji obowiązku prawnego wynikającego z ww. przepisów polegającego na gromadzeniu, przetwarzaniu i udostępnianiu bankom i podmiotom szczegółowo wskazanym w przepisie informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych w postaci oceny zdolności kredytowej oraz analizy ryzyka kredytowego konkretnego klienta (indywidualna ocena zdolności kredytowej) oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej CRR; 2) ewentualnie, na wypadek nieuwzględnienia ww. zarzutu, BIK zarzucił naruszenie art. 6 ust. 1 lit. f) RODO - przez jego niewłaściwe zastosowanie i przyjęcie, że BIK nie posiada podstawy prawnej przetwarzania danych Uczestnika - opartej na prawnie uzasadnionym interesie administratora oraz podmiotów trzecich wskazanych w art. 105 ust. 4 pkt. 1-5 u.P.b., bankom oraz podmiotom wskazanym w ww. przepisie informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych w postaci oceny zdolności kredytowej oraz analizy ryzyka kredytowego konkretnego klienta (indywidualna ocena zdolności kredytowej), w celu budowy i utrzymania modeli scoringowych, a więc narzędzi wykorzystywanych przez banki do oceny zdolności kredytowej i analizy ryzyka kredytowego oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013; 3) art. 6 ust. 1 lit. c) RODO w zw. z art. 70a i art. 105 ust. 4 pkt. 1 i 2 i art. 105a u.P.b. - przez jego niewłaściwe zastosowanie i przyjęcie, że BIK nie posiada podstawy prawnej do przetwarzania danych Uczestnika w sytuacji niezawarcia umowy kredytowej, gdy BIK posiada podstawę prawną przetwarzania, z uwagi na niezbędność przetwarzania do wykonania obowiązku prawnego przez banki i BIK, w postaci obowiązku przekazania osobie ubiegającej się o kredyt w formie pisemnej na jego wniosek wyjaśnień dotyczących dokonanej oceny zdolności kredytowej wnioskującego; 4) art. 6 ust. 1 lit. f) RODO - przez jego niewłaściwe zastosowanie i przyjęcie, że przetwarzanie danych osobowych dla realizacji prawnie uzasadnionych interesów administratora danych w celach zabezpieczenia roszczeń może dotyczyć wyłącznie roszczeń istniejących i aktualnie dochodzonych i w konsekwencji nieuzasadnione przyjęcie, że prawnie uzasadniony interes administratora danych nie istnieje w sytuacji konieczności przetwarzania danych osobowych do ochrony przed roszczeniami istniejącymi, ale nie dochodzonymi w chwili dokonywania oceny, gdy istotą uzasadnionego interesu administratora jest możliwość przetwarzania danych na wypadek konieczności obrony przed roszczeniami istniejącymi lub dochodzenia w przyszłości roszczeń istniejących, które w warunkach niniejszej sprawy są związane z przetwarzaniem danych osobowych na potrzeby opracowania oceny scoringowej Uczestnika niezbędnej do przeprowadzenia analizy zdolności kredytowej oraz analizy ryzyka kredytowego, które to BIK zobowiązany jest gromadzić, przetwarzać i udostępniać bankom i instytucjom ustawowo upoważnionym do udzielania kredytów dla realizacji celów ustawowych badania zdolności kredytowej; 5) art. 6 ust. 1 lit. f) RODO - przez jego niewłaściwe zastosowanie i przyjęcie, że w przypadku braku zawarcia umowy kredytowej, BIK nie posiada prawnie uzasadnionego interesu w przetwarzaniu danych Uczestnika, gdy istnieje prawnie uzasadniony interes BIK w przetwarzaniu tych informacji, mimo niezawarcia umowy kredytowej, polegający na realizacji działań z zakresu opracowania, utrzymania aktualności i funkcjonalności zbudowanych modeli scoringowych w zgodzie z treścią Rekomendacji KNF - W, S i T w zakresie dobrych praktyk i zarządzania ryzykiem kredytowym; 6) art. 7, art. 77, art. 80 i art. 107 § 3 k.p.a. w związku z art. 7 ust. 1 u.o.d.o. - przez niezbadanie wszystkich podstaw prawnych dalszego przetwarzania danych o zapytaniach kredytowych, w sytuacji nieudzielenia kredytu, choć przepisy prawa upoważniają BIK do przetwarzania tych danych, niewystarczające wyjaśnienia podstaw prawnych decyzji oraz brak oceny istotnych okoliczności sprawy, co w konsekwencji doprowadziło do błędnego nakazania BIK usunięcia przetwarzanych danych osobowych Uczestnika oraz uniemożliwiło zapoznanie się z powodami negatywnej oceny wskazanych przez Skarżącego podstaw przetwarzania; 7) art. 7, art. 77 § 1 i art. 80 k.p.a. w związku z art. 7 u.o.d.o. przez niewyczerpujące zebranie, nierozpatrzenie i błędną ocenę całokształtu materiału dowodowego przejawiającego się w zaniechaniu dokonania wyczerpującej analizy charakteru, zakresu oraz celów gospodarczo – ekonomicznych, dla jakich powołano BIK i obowiązków prawnych i obowiązków wynikających z zawartych przez BIK umów z bankami, skutkującą wadliwą i niepełną oceną stanu faktycznego sprawy oraz charakteru działania BIK, co w konsekwencji skutkowało nieuzasadnionym wydaniem przez Organ nakazu usunięcia danych osobowych Uczestnika; 8) art. 7b, art. 7 i art. 77 k.p.a. w związku z art. 7 u.o.d.o. - przez niedokładne wyjaśnienie stanu faktycznego i prawnego koniecznego do podjęcia stosownych czynności, a w szczególności niezwrócenie się do KNF w celu kompleksowego wyjaśniania stanu faktycznego sprawy oraz współdziałania w zakresie niezbędnym do dokładnego wyjaśnienia stanu prawnego, mając na względzie interes społeczny i słuszny interes obywateli w postaci ustalenia należytych zasad, celów i zakresu przetwarzania danych osobowych o niezrealizowanych zapytaniach kredytowych tak, by procesy przetwarzania danych czyniły zadość zarówno przepisom prawa o ochronie danych osobowych, jak i przepisom szeroko pojętego prawa bankowego, w szczególności dla zapewnienia ochrony wartości, których gwarancje ochrony wynikają z ww. przepisów zgodnie z zasadą proporcjonalności; 9) art. 7, art. 77 § 1 i art. 80 k.p.a. - przez zaniechanie dokonania oceny Rekomendacji KNF - S, W i T, jako organu właściwego do sprawowania nadzoru nad instytucjami krajowymi w rozumieniu przepisów UE (regulatora rynku finansowego), które to regulacje nakładają na banki, a w konsekwencji na BIK, jako instytucję gromadzącą dane służące do oceny zdolności kredytowej oraz budującą modele scoringowe służące bankom, określone wymagania, które podlegają nadzorowi i egzekwowaniu przez KNF na podstawie bezwzględnie obowiązujących przepisów prawa, co w konsekwencji doprowadziło do zaniechania oceny podstaw prawnych i celów, dla jakich BIK oraz banki są upoważnione do przetwarzania danych w zakresie zdolności kredytowej również w przypadku nie zawarcia umowy kredytowej dla zabezpieczenia interesów banków oraz stabilności rynku gospodarczo-finansowego; 10) art. 7, art. 77 i art. 80 k.p.a. - przez zaniechanie wyczerpującego zebrania i rozpatrzenia materiału dowodowego, przejawiające się w szczególności brakiem dokonania analizy podstawowych zasad funkcjonowania stabilnego sektora finansowego w tym pod kątem istnienia - po stronie banków, a w konsekwencji BIK jako instytucji gromadzącej dane służące do oceny zdolności kredytowej oraz budującej modele scoringowe służące bankom - oczywistego interesu prawnego przejawiającego się w odmowie udzielenia kredytu wynikającego z braku istnienia zdolności kredytowej po stronie Uczestnika, co prowadzi do zabezpieczenia interesu banków przed nieodpowiedzialną polityką udzielania kredytów osobom, które nie mają szans na ich spłacenie oraz do zapewnienia stabilności gospodarczo-ekonomicznej sektora bankowego, a w ujęciu makro zapobieganiu kryzysom gospodarczym. BIK w związku z ww. zarzutami wniósł o uchylenie pkt 2 ww. decyzji Prezesa UODO oraz o zasądzenie od Prezesa UODO na rzecz BIK zwrotu kosztów postępowania według norm przepisanych, w tym kosztów zastępstwa procesowego (w tym zwrotu opłaty skarbowej od pełnomocnictwa - 17 zł). BIK w obszernym uzasadnieniu skargi przedstawił stan faktyczny sprawy i rozwinął ww. zarzuty. 3. Prezes UODO w odpowiedzi na skargę wniósł o jej oddalenie, podtrzymując stanowisko prezentowane w ww. decyzji. II. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje. 1. Skarga jest nieuzasadniona, gdyż ww. decyzja Prezesa UODO w zaskarżonej części nie narusza prawa w stopniu umożliwiającym jej uchylenie. 2. Sąd, dokonując oceny zgodności z prawem punktu 2 zaskarżonej decyzji, wskazuje, że zgodnie z motywem 40 RODO, aby przetwarzanie danych było zgodne z prawem, powinno się odbywać na podstawie zgody osoby, której dane dotyczą, lub na innej uzasadnionej podstawie, prawem przewidzianej: albo w RODO, albo w innym akcie prawnym Unii lub w prawie państwa członkowskiego, o których mowa w RODO, w tym musi się ono odbywać z poszanowaniem obowiązku prawnego, któremu podlega administrator, lub z poszanowaniem umowy, której stroną jest osoba, której dane dotyczą, lub w celu podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy. W świetle RODO, przetwarzanie danych osobowych uważa się za legalne, jeśli ich administrator spełni co najmniej jedną z przesłanek wskazanych w art. 6 ust. 1 tego aktu, a mianowicie: a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów, b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy, c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze, d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą lub innej osoby fizycznej, e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi, f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności, gdy osoba, której dane dotyczą, jest dzieckiem. W świetle dowodów wynikających z akt sprawy nie budzi wątpliwości oraz nie było kwestionowane przez Prezesa UODO w ww. decyzji, że BIK był uprawniony do przetwarzania danych osobowych ww. Uczestniczki, na podstawie art. 105a ust. 1 i art. 70 ust. 1 u.P.b., w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Zgodnie z art. 105a ust. 1 u.P.b., przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów, instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d u.k.k., a także instytucje utworzone na podstawie art. 105 ust. 4 u.P.b., informacji stanowiących tajemnicę bankową i informacji udostępnionych przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d u.k.k., w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem art. 104, art. 105 i art. 106-106d u.P.b., w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Zgodnie zaś z art. 105a ust. 4 u.P.b., banki oraz instytucje, o których mowa w art. 105 ust. 4, mogą przetwarzać stanowiące tajemnicę bankową informacje dotyczące osoby fizycznej po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której informacje dotyczą, do celów stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej CRR. Zgodnie z art. 105a ust. 5 u.P.b., przetwarzanie informacji stanowiących tajemnicę bankową w przypadkach, o których mowa w ust. 3, może być wykonywane przez okres nie dłuższy niż 5 lat od dnia wygaśnięcia zobowiązania, a w przypadku, o którym mowa w ust. 4, przez okres 12 lat od dnia wygaśnięcia zobowiązania. Stosownie zaś do art. 70 ust. 1 u.P.b., bank uzależnia przyznanie kredytu od zdolności kredytowej kredytobiorcy. Przez zdolność kredytową rozumie się zdolność do spłaty zaciągniętego kredytu wraz z odsetkami w terminach określonych w umowie. Kredytobiorca jest obowiązany przedłożyć na żądanie banku dokumenty i informacje niezbędne do dokonania oceny tej zdolności. Sąd, mając powyższe przepisy na względzie uznaje, że Prezes UODO trafnie przyjął, że BIK, na podstawie ww. przepisów, a w szczególności art. 105a ust. 1 u.P.b. w związku z art. 70 ust. 1 u.P.b., był uprawniony do przetwarzania danych osobowych Uczestniczki, w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Sąd stwierdza ponadto, że spór w sprawie sprowadza się natomiast do odpowiedzi na pytanie, czy w sytuacji, w której nie doszło do zawarcia umowy kredytu między Uczestniczką a Bankiem, istniała podstawa do przetwarzania przez BIK danych osobowych Uczestniczki. W związku z tym należy wskazać, że według art. 105a ust. 2 u.P.b., z zastrzeżeniem ust. 3, instytucje, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową oraz informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d u.k.k., w zakresie dotyczącym osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d u.k.k., pod warunkiem uzyskania pisemnej zgody osoby, której informacje te dotyczą, z zastrzeżeniem ust. 2a. Zgoda ta może być w każdym czasie odwołana. Stosownie do art. 105a ust. 3 u.P.b. banki, instytucje oraz podmioty, o których mowa w art. 105a ust. 1 u.P.b., mogą przetwarzać informacje stanowiące tajemnicę bankową i informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d u.k.k., dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d u.k.k., bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d u.k.k., a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank, inną instytucję ustawowo upoważnioną do udzielania kredytów, instytucję pożyczkową albo podmiot, o którym mowa w art. 59d u.k.k., o zamiarze przetwarzania dotyczących tych informacji, bez zgody. Zgodnie z art. 105a ust. 4 u.P.b., banki oraz instytucje, o których mowa w art. 105 ust. 4, mogą przetwarzać stanowiące tajemnicę bankową informacje dotyczące osoby fizycznej po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której informacje dotyczą, do celów stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej CRR. Na mocy art. 105a ust. 5 u.P.b. przetwarzanie informacji stanowiących tajemnicę bankową w przypadkach, o których mowa w ust. 3, może być wykonywane przez okres nie dłuższy niż 5 lat od dnia wygaśnięcia zobowiązania, a w przypadku, o którym mowa w ust. 4, przez okres 12 lat od dnia wygaśnięcia zobowiązania. Stosownie do art. 105a ust. 6 u.P.b. zakres przetwarzanych informacji, o których mowa w ust. 3 i 4, może obejmować dane dotyczące osoby fizycznej lub dane dotyczące zobowiązania. Sąd, mając powyższe przepisy na względzie, podziela stanowisko Prezesa UODO wyrażone w ww. decyzji, że skoro nie doszło do zawarcia umowy kredytu z ww. Uczestniczką przez Bank, to odpadła przesłanka legalizująca dalsze przetwarzanie Jej danych osobowych. Wbrew bowiem zarzutom skargi, przepis art. 105a u.P.b., w tym ust. 1, 1a, 1b, 1c, określa warunki dopuszczalności zautomatyzowanego przetwarzania, w tym profilowania danych osobowych w celu oceny zdolności kredytowej i analizy ryzyka kredytowego oraz nie daje podstaw do dalszego przetwarzania danych Uczestniczki po zakończeniu oceny zdolności kredytowej i analizy ryzyka kredytowego, gdy umowy nie zawarto. Na podstawie ww. przepisów BIK nie ma więc uprawnienia do dalszego przetwarzania ww. danych osobowych Uczestniczki, albowiem nie zawarto umowy kredytowej w związku z ww. zapytaniami kredytowymi i tym samym nie wykazano przesłanki legalizującej działanie przetwarzania. Art. 105a u.P.b. dotyczy bowiem przetwarzania informacji objętych tajemnicą bankową w okresie jedynie przed powstaniem zobowiązania, w trakcie jego trwania oraz po wygaśnięciu zobowiązania. W sytuacji natomiast, gdy w następstwie złożenia wniosku kredytowego nie dochodzi do zawarcia umowy kredytowej z bankiem – zobowiązanie nie powstaje – to brak jest podstaw prawnych - ustawowych przesłanek do odwołania się do art. 105a u.P.b., a tym samym do zalegalizowania dalsze przetwarzanie przez BIK w stanie faktycznym sprawy danych osobowych potencjalnego klienta (Uczestniczki). Ocena zdolności kredytowej i ryzyka kredytowego ma charakter czynności wstępnych, które w rozpoznawanej sprawie nie doprowadziły do zawarcia umowy przez Bank. W związku z tym dalsze przetwarzanie danych osobowych Uczestniczki, które uzyskano jedynie w celu oceny zdolności kredytowej, gdy nie doszło do zawarcia stosownej umowy, pozostawałoby w oderwaniu od celu, dla którego dane te uzyskano. Prawidłowe było zatem przyjęcie przez Prezesa UODO, że w takim przypadku niedopuszczalne było przetwarzanie danych osobowych Uczestniczki na przyszłość, a także na potrzeby budowy oceny zdolności kredytowej innych podmiotów, gdy nie można zrekonstruować wyraźnej podstawy prawnej takich działań BIK. Zdaniem Sądu prawidłowo również Prezes UODO przyjął w uzasadnieniu ww. decyzji, że nieuprawnione jest rozszerzania stosowanie art. 105a ust. 1 u.P.b. na sytuacje, w których nie dochodzi do zawarcia umowy, a dane osobowe osoby wnioskującej o kredyt są przetwarzane jedynie w celu oceny ryzyka kredytowego. Skoro pomiędzy Bankiem a Uczestniczką nie zawiązał się żaden stosunek zobowiązaniowy, który stosownie do art. 105a ust. 1-6 u.P.b. dawałby podstawę do dalszego przetwarzania danych osobowych Uczestniczki, to celem przetwarzania danych osobowych Uczestniczki mogła być jedynie ocena zdolności kredytowej i analizy ryzyka kredytowego. W związku z dokonaniem przez Bank oceny zdolności kredytowej i analizy ryzyka kredytowego ww. cel przetwarzania danych osobowych Uczestniczki zrealizowano i brak jest podstaw prawnych do kontynuowania tego procesu. Słusznie zatem zauważył Prezes UODO, że wykładnia art. 105a ust. 1 u.P.b. prowadziłaby do wniosku, że na potrzeby oceny zdolności kredytowej i analizy ryzyka kredytowego banki lub inne podmioty wymienione w tym przepisie byłyby uprawnione do przetwarzania danych osobowych potencjalnych klientów bez żadnego ograniczenia czasowego, mimo że nie zawarto umowy o kredyt. W przypadku zaś, gdyby doszło do zawarcia umowy banki byłyby uprawnione do przetwarzania danych osobowych po wygaśnięciu zobowiązania, bez zgody osoby, której informacje dotyczą, przez okres wskazany w art. 105a ust. 5 u.P.b. Takiego stanowiska zaakceptować nie sposób. Skoro bowiem ustawodawca w art. 105a ust. 1 u.P.b. nie wskazał okresu, przez, jaki mogą być przetwarzane informacje stanowiące tajemnicę bankową, a w art. 105a ust. 5 u.P.b. wskazał takie okresy w odniesieniu do sytuacji, w których wygasło zobowiązanie, to nie oznacza to, że okres przetwarzania tych informacji, w sytuacji gdy nie doszło do zawarcia umowy, jest nieograniczony. Przetwarzanie danych osobowych w oparciu o art. 105a ust. 1 u.P.b. jest uprawnione w odniesieniu do konkretnego zapytania kredytowego. Jeżeli nie dochodzi do zawarcia umowy, to uprawnienie do przetwarzania danych osobowych w oparciu o ten przepis wygasa. Powyższe stanowisko, na co prawidłowo zwrócono uwagę w ww. decyzji Prezesa UODO, znajduje potwierdzenie w wyroku Naczelnego Sądu Administracyjnego z 27 lipca 2019r. sygn. akt I OSK 2567/17 (orzeczenia.nsa.gov.pl). W orzeczeniu tym podniesiono, że celem oceny zdolności kredytowej i analizy ryzyka kredytowego w odniesieniu do konkretnego klienta jest zawarcie umowy kredytowej na określonych warunkach. Skoro do niej nie dochodzi, to nie ma podstaw prawnych do dalszego ich przechowywania. Gdyby podzielić stanowisko BIK, że pozyskanie danych na etapie złożenia wniosku kredytowego daje uprawnienie do ich nieograniczonego w czasie przechowywania po odmowie zawarcia umowy kredytowej, to regulacje zawarte w art. 105a ust. 2 i 3 i ust. 5 u.P.b., ograniczające w czasie przypadki przetwarzania danych klientów z umów kredytowych, pozbawione byłyby sensu. Skoro celem przetwarzania danych osobowych Uczestniczki była ocena zdolności kredytowej i analizy ryzyka kredytowego, to cel ten odpadł z momentem ich dokonania. W przypadku osób, z którymi zawarto umowę kredytową, istnieje podstawa do dalszego ich przetwarzania, a w stosunku do tych, z którymi nie zawarto umowy, takiej podstawy nie sposób wywieść ani z u.P.b. ani przepisów u.o.d.o. obowiązującej wówczas. Sąd stwierdza, że jakkolwiek ww. pogląd NSA został wyrażony na gruncie poprzednio obowiązującej u.o.d.o., sprzed wprowadzenia przepisów RODO, to nie stracił na aktualności. Przepisy RODO wzmacniają jeszcze, w porównaniu z Dyrektywą 95/46, ochronę danych osób fizycznych. Aktualności tego poglądu Naczelnego Sądu Administracyjnego nie zmienia praktyka BIK przyjmująca określone terminy dalszego przetwarzania danych osobowych osoby, z którą nie zawarto umowy kredytu. Zdaniem Sądu prawidłowe było również przyjęcie przez Prezesa UODO, że powołany przez BIK art. 105a ust. 4 u.P.b. daje podstawy do przetwarzania informacji dotyczących osoby fizycznej stanowiących tajemnicę bankową po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której te informacje dotyczą. Jednak w sprawie nie doszło do zawarcia umowy kredytu pomiędzy Uczestniczką a Bankiem, a zatem nie powstał żaden stosunek zobowiązaniowy, o którym mowa w ww. przepisie. Tym samym również z tego względu uzasadnione było przyjęcie przez Prezesa UODO, że BIK nie miał podstaw prawnych do przetwarzania danych osobowych Uczestniczki. Sąd nie znalazł podstaw do uznania za zasadne podnoszonych w skardze zarzutów naruszenia ww. przepisów oraz związanych z nimi zarzutów naruszenia norm prawa procesowego. Doszło bowiem do prawidłowego i zgodnego z zasadą prawdy obiektywnej (art. 7, art. 77 § 1 k.p.a.) ustalenia okoliczności faktycznych sprawy, jak również ich subsumpcji w kontekście swobodnej oceny dowodów (art. 80 k.p.a.), a uzasadnienie ww. decyzji Prezesa UODO skonstruowano zgodnie z wymogami art. 107 § 1 i 3 k.p.a. oraz zasadą przekonywania (art. 11 k.p.a.), wyjaśniając BIK przesłanki, którymi kierował się organ wydając pkt 2 ww. decyzji. Zdaniem Sądu prawidłowe było uznanie przez Prezesa UODO w ww. decyzji, że za podstawę przetwarzania danych osobowych Uczestniczki nie mogą być uznane wskazane przez BIK i Bank cele statystyczne i analizy, w tym cel stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej CRR. Prezes UODO, odnosząc się do wskazanego przez BIK celu realizacji wymogów ostrożnościowych (oceny ogólnej ekspozycji i ryzyka ekspozycji Banku wynikających z CRR), wskazał, że z przepisów tych nie wynika uprawnienie do przetwarzania danych osobowych w zakresie zapytań kredytowych niezakończonych zawarciem umowy. Art. 144 ust. 1 lit. d CRR stanowi, że właściwy organ wydaje zezwolenie na mocy art. 143 na stosowanie przez instytucję metody IRB, w tym na stosowanie własnych oszacowań LGD i współczynników konwersji, wyłącznie wtedy, gdy właściwy organ stwierdzi, że wymogi przewidziane w niniejszym rozdziale są spełnione, w szczególności wymogi przewidziane w sekcji 6, oraz że posiadane przez instytucję systemy w zakresie zarządzania oraz oceny ekspozycji na ryzyko kredytowe są należyte i zostały spójnie wdrożone, w szczególności gdy instytucja wykazała w sposób zadowalający właściwym organom spełnienie następujących norm: (...) d) instytucja gromadzi i przechowuje wszystkie odpowiednie dane, aby zapewnić skuteczne wsparcie procesów pomiaru ryzyka kredytowego oraz zarządzania ryzykiem kredytowym. Art. 145 ust. 1 CRR stanowi zaś, że jest wymagane, aby instytucja ubiegająca się o możliwość stosowania metody IRB korzystała, w odniesieniu do omawianych kategorii ekspozycji IRB, co najmniej przez trzy lata poprzedzające zakwalifikowanie się do stosowania metody IRB, z systemów ratingowych, które odpowiadały w znacznym stopniu wymogom określonym w sekcji 6 dotyczącym wewnętrznego pomiaru ryzyka i zarządzania ryzykiem. Art. 147 ust 5 lit. b CRR stanowi, że aby ekspozycje mogły kwalifikować się do kategorii ekspozycji detalicznych przewidzianej w ust. 2 lit. d), spełniają następujące kryteria: są traktowane przez instytucję w procesie zarządzania ryzykiem w sposób spójny w długim okresie. Obowiązku zastosowania powyższego rodzaju zapytań kredytowych nie przewiduje również art. 171 ust. 2 CRR, który stanowi, że klasyfikując dłużników i instrumenty do klas lub pul, instytucja uwzględnia wszystkie istotne informacje. Informacje te są aktualne i umożliwiają instytucji prognozowanie zachowania ekspozycji w późniejszym okresie. Im mniej informacji ma do dyspozycji instytucja, tym ostrożniej klasyfikuje ekspozycje do poszczególnych klas lub pul dłużników i instrumentów. Jeżeli instytucja stosuje rating zewnętrzny jako główny czynnik decydujący o przyznaniu wewnętrznego ratingu, instytucja ta zapewnia uwzględnienie innych istotnych informacji. Zdaniem Sądu rację ma Prezes UODO wskazując w uzasadnieniu ww. decyzji, że z ww. przepisów wynika, że instytucja kredytowa jest obowiązana do zbierania informacji przydatnych do skutecznego zarządzania ryzykiem. Nie oznacza to jednak, że gromadzenie danych w systemach ratingowych może odbywać się z naruszeniem innych przepisów regulujących kwestie ochrony danych osobowych. Inne przepisy CRR zawierają konkretyzację danych, które mogą być użyte przez instytucje kredytowe i firmy inwestycyjne przy realizacji wymogów ostrożnościowych. W CRR wprost wskazano, że za elementy wskazujące na prawdopodobieństwo niedokonania płatności uznaje się sytuacje takie, jak m.in. złożenie przez instytucję wniosku o postawienie dłużnika w stan upadłości lub podobnego wniosku w odniesieniu do zobowiązań kredytowych dłużnika wobec instytucji, jednostki dominującej lub którejkolwiek z jej jednostek zależnych (art. 178 ust. 3 lit. e CRR), lub wystąpienie przez dłużnika o ogłoszenie upadłości lub o przyznanie podobnej ochrony lub postawienie dłużnika w stan upadłości bądź przyznanie mu podobnej ochrony, jeżeli umożliwiłoby mu to uniknięcie lub opóźnienie spłaty zobowiązań kredytowych wobec instytucji, jednostki dominującej lub którejkolwiek z jej jednostek zależnych (art. 178 ust. 3 lit. f CRR). W CRR natomiast nie dokonano takiego konkretnego wskazania w przypadku zapytań kredytowych niezakończonych zawarciem umowy. Tym samym nie sposób uznać, że przewiduje ono podstawy prawne do przetwarzania danych w nich zawartych. Sąd, mając powyższe rozważania na względzie nie uznał wiążących się z tym zagadnieniem podnoszonych w skardze i w jej uzasadnieniu zarzutów. Warto podkreślić, że Bank, zgodnie z art. 105 ust. 1 pkt 1c u.P.b., ma obowiązek udzielenia informacji stanowiących tajemnicę bankową wyłącznie instytucjom, o których mowa w ust. 4, w zakresie niezbędnym do stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w przepisach części trzeciej CRR. Natomiast z art. 105 ust. 4 u.P.b. wynika, że banki mogą, wspólnie z bankowymi izbami gospodarczymi, utworzyć instytucje upoważnione do gromadzenia, przetwarzania i udostępniania, m.in. bankom oraz innym podmiotom określonym w tym przepisie, informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej CRR. W ocenie Sądu, przepis art. 105 ust. 4 u.P.b. jest przepisem o charakterze ogólnym, który nie nakłada na Bank obowiązku korzystania z zewnętrznej bazy zawierającej informacje o wnioskach z sektora bankowego oraz sektora pożyczkowego, a jedynie stanowi o możliwości utworzenia wspólnie z bankowymi izbami gospodarczymi, instytucji upoważnionych do gromadzenia, przetwarzania i udostępniania danych, a w konsekwencji nie daje podstaw do nieograniczonego przetwarzania wszelkich danych osobowych przez utworzone instytucje. Zasady przetwarzania danych objętych tajemnicą bankową określa art. 105a u.P.b., o którym mowa wyżej i który wskazuje na możliwość uznania za podstawę przetwarzania danych osobowych. Na gruncie tego przepisu należy oceniać zatem dopuszczalność przetwarzania poszczególnych danych osobowych, w określonych ściśle celach. Podstawy prawnej przetwarzania danych osobowych w rozpoznawanej sprawie nie mógł stanowić zatem art. 105 ust. 4 u.P.b. samodzielnie ani też w powiązaniu z art. 105 ust. 1 pkt 1c u.P.b. Sąd w związku z tym uznaje, że przesłanka z art. 6 ust. 1 lit. c RODO, na co prawidłowo zwrócono uwagę w ww. decyzji Prezesa UODO, nie znajduje zastosowania w okolicznościach faktycznych sprawy. W tym kontekście podnoszone w skardze zarzuty natury materialnej i procesowej nie mogły być uznane za zasadne. Przepis art. 6 ust. 1 lit. c RODO dotyczy bowiem sytuacji, gdy przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego administratora danych, a nie realizacji uprawnienia, o którym mowa w art. 105 ust. 4 u.P.b. Ponadto art. 105 ust. 4 u.P.b. nie stanowi o dopuszczalności przetwarzania danych osobowych dotyczących wniosków kredytowych w sytuacji, gdy nie doszło do zawarcia umowy z bankiem. Uznanie takiego procesu przetwarzania danych za legalny wymaga podstawy prawnej, której nie stanowią regulaminy ani umowy zawierane między poszczególnymi instytucjami a bankami. W ocenie Sądu, aktualny pozostaje pogląd wyrażony w wyroku NSA z 14 września 2005r. sygn. akt I OSK 39/05, wskazujący, że "Nie można zatem podzielić stanowiska, aby zezwalający na utworzenie instytucji zajmujących się szczególnym przetwarzaniem danych osobowych przepis stanowił zarazem podstawę do przetwarzania przez nie danych osobowych bez zgody osób, których dane dotyczą, gdyż nie tylko literalne brzmienie przepisu nie uzasadnia takiego przekazania, lecz i argumenty logiki prawniczej nie prowadzą do takiego wniosku. Nie można bowiem dowodzić, że w utworzonej zgodnie z prawem instytucji wolno działać w sposób, który sama uzna za odpowiadający jej celom, gdyż zezwolenie na utworzenie nie jest równoznaczne z zezwoleniem na działanie bez ograniczeń." Wprawdzie ww. wyrok NSA opiera się na innym brzmieniu art. 105 u.P.b., to istota poglądu wyrażonego przez NSA w odniesieniu do przetwarzania danych osobowych, jako instytucji utworzonej na podstawie art. 105 ust. 4 u.P.b., nie straciła na aktualności. Zmiana brzmienia art. 105 u.P.b. na przestrzeni lat, jakie minęły od czasu wydania ww. orzeczenia NSA, dodatkowo utwierdza w trafności poglądu wyrażonego przez NSA, a także trafności stanowiska Prezesa UODO zaprezentowanego w ww. decyzji, że gdy BIK nie wykazał przesłanki legalizującej dalsze przetwarzanie danych osobowych Uczestniczki, po osiągnięciu pierwotnego celu przetwarzania - w postaci oceny zdolności kredytowej i ryzyka kredytowego – to konieczne było podjęcie przez Prezesa UODO czynności, o których mowa w pkt 2 ww. decyzji. Zdaniem Sądu na uwzględnienie nie zasługiwał też zarzut naruszenia art. 6 ust. 1 lit. f RODO w związku z przytoczonymi w skargach przepisami k.c. i w nawiązaniu do potrzeby przechowywania danych (zawartych w ww. zapytaniach kredytowych) Uczestniczki - osoby, z którą nie zawarto umowy kredytowej - w celu ustalenia, dochodzenia i ochrony przed roszczeniami, ewentualnego zabezpieczenia roszczeń, na wypadek konieczności obrony lub dochodzenia ewentualnych roszczeń, które mogą się pojawić w określonym czasie po przeprowadzeniu stosownej analizy zdolności kredytowej oraz analizie ryzyka kredytowego. Przepis art. 6 ust. 1 lit. f RODO stanowi bowiem o uprawnieniu do przetwarzania danych, gdy jest ono niezbędne do celów wynikających z prawnie uzasadnionych interesów, realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności, gdy osoba, której dane dotyczą, jest dzieckiem. Za usprawiedliwiony cel w rozumieniu ww. przepisu art. 6 ust. 1 lit. f RODO nie może zostać uznane przetwarzanie danych osobowych na wypadek ewentualnego dochodzenia lub obrony roszczeń. Z akt sprawy nie wynika, aby Uczestniczka, która zażądała usunięcia danych w zakresie ww. zapytania kredytowego, miała jakiekolwiek roszczenia na drodze cywilnoprawnej do BIK. Z akt sprawy i wyjaśnień BIK nie wynika, aby ww. osoba posiadała zobowiązania (w tym także kredytowe), czy była posiadaczem rachunku osobistego lub innych produktów bankowych. Uczestniczka natomiast jednoznacznie żądała usunięcia swoich danych osobowych, przetwarzanych, w jej ocenie, bez podstawy prawnej. W tym kontekście na uwzględnienie nie zasługiwały zarzuty o naruszeniu ww. przepisów prawa procesowego. Prezes UODO przed wydaniem zaskarżonej decyzji poczynił niezbędne w sprawie ustalenia faktyczne, jak również rozważył wszystkie wynikające z akt sprawy okoliczności faktyczne w kontekście obowiązujących i powołanych przez BIK przepisów prawa, które mogły być brane pod uwagę. Z tego względu nie jest dopuszczalne przyjęcie, że naruszono w sprawie art. 7, art. 77, art. 80, art. 107 k.p.a. Prezes UODO trafnie też przyjął, że art. 6 ust. 1 lit. f RODO nie mógłby stanowić podstawy do dalszego przetwarzania przez BIK danych osobowych Uczestniczki na wypadek ewentualnego dochodzenia przyszłych i niepewnych roszczeń. Warto też podnieść, że przepisy dotyczące przedawnienia dotyczą zobowiązań, a umowa kredytowa nie została zawarta z Uczestniczką, więc niemożliwe jest odwoływanie się do wskazanych w skardze przepisów k.c. Wyjaśnić też należy, że w toku postępowania administracyjnego nie wykazano ponadto, ani nie wynika to ze skargi i jej uzasadnienia, jakich ewentualnie roszczeń można by dochodzić od osoby, która ostatecznie zażądała usunięcia swoich danych w zakresie ww. zapytań kredytowych osoby fizycznej, z którą nie zawarto umowy kredytowej. Z art. 3531 k.c. wynika zasada swobody umów. Strony mogą zatem w ramach autonomii woli kształtować stosunki cywilnoprawne mocą własnych decyzji. Przepis art. 3531 k.c. wskazuje na podstawowy element, jaki dla swobody umów obligacyjnych ma kompetencja stron w zakresie kształtowania treści zobowiązania. Umowy nie zawarto, zobowiązanie nie powstało. BIK nie wskazał, aby Uczestniczka kierowała do BIK jakiekolwiek roszczenia (zażądał jedynie usunięcia własnych danych osobowych, w związku z tym, że ustał cel ich przetwarzania). Prawidłowo przyjął Prezes UODO, ważąc interesy Uczestniczki, która żądała respektowania swoich praw do ochrony danych osobowych, wynikających z RODO, jak również uwzględniając interesy BIK, że w sytuacji, gdy nie zawarto umowy kredytowej, nie było podstaw do przyjęcia, że spełniona została przesłanka z art. 6 ust. 1 lit. f RODO. Sąd podziela pogląd Naczelnego Sądu Administracyjnego, zgodnie z którym niedopuszczalne jest przetwarzanie danych osobowych niejako "na zapas" z założeniem, że mogą być one ewentualnie przydatne w przyszłości, na przykład z odwołaniem się do przepisów dotyczących przedawnienia roszczeń (por. wyrok NSA z 27 marca 2018r. sygn. akt I OSK 1459/16, orzeczenia.nsa.gov.pl). Wywodzenie zatem także z kwestii przedawnienia roszczeń samodzielnej podstawy do przetwarzania danych – w sytuacji, gdy mowa o danych osoby, z którą Bank nie zawarł umowy kredytowej - nie jest uprawnione i nie stanowi przesłanki do ich dalszego przetwarzania. Niezasadne są też pozostałe zarzuty skargi. Zgodnie bowiem z art. 106d ust. 1 u.P.b., banki, inne instytucje ustawowo upoważnione do udzielania kredytów, izby rozliczeniowe utworzone na podstawie art. 67, instytucje utworzone na mocy art. 105 ust. 4 u.P.b., instytucje pożyczkowe, podmioty, których podstawowa działalność polega na udostępnianiu składników majątkowych na podstawie umowy leasingu, oraz podmioty, o których mowa w art. 59d u.k.k., mogą przetwarzać i wzajemnie udostępniać informacje, w tym informacje objęte tajemnicą bankową, w przypadkach: 1) uzasadnionych podejrzeń, o których mowa w art. 106a ust. 3; 2) uzasadnionych podejrzeń popełnienia przestępstw dokonywanych na szkodę banków, innych instytucji ustawowo upoważnionych do udzielania kredytów, instytucji kredytowych, instytucji finansowych, instytucji pożyczkowych oraz podmiotów, o których mowa w art. 59d u.k.k., i ich klientów, w celu i zakresie niezbędnym do zapobiegania tym przestępstwom; 3) wykonywania obowiązków w zakresie określonym w przepisach o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu. Art. 106a ust. 3 u.P.b., do którego odwołano się w art. 106d ust. 1 pkt 1 u.P.b., stanowi, że w przypadku powzięcia uzasadnionego podejrzenia, że zgromadzone na rachunku bankowym środki, w całości lub w części pochodzą lub mają związek z przestępstwem skarbowym lub przestępstwem innym niż przestępstwo, o którym mowa w art. 165a lub art. 229 Kodeksu karnego, bank jest uprawniony do dokonania blokady środków na tym rachunku. Blokada może nastąpić wyłącznie do wysokości zgromadzonych na rachunku środków, co do których zachodzi takie podejrzenie. Z materiału dowodowego sprawy, w tym z wyjaśnień BIK udzielonych w toku postępowania administracyjnego, nie wynika, aby w rozpoznawanej sprawie któryś z powyższych przypadków miał miejsce, w szczególności, aby występowało "uzasadnione podejrzenie", co do okoliczności określonych w ww. przepisach. Zdaniem Sądu, rozszerzanie zatem dopuszczalności przetwarzania danych (zawartych w ww. zapytaniach kredytowych) osoby fizycznej, z którą nie zawarto umowy kredytowej, z powołaniem się na zapewnienie bezpieczeństwa finansowego w przypadku nawiązywania stosunków gospodarczych, a zatem szeroko rozumiane, ogólne cele, nie znajduje podstawy na gruncie RODO i jest wprost sprzeczne z zasadą ograniczenia celu (art. 5 ust. 1 lit. b RODO), gdy nie ma mowy o nawiązaniu stosunku zobowiązaniowego. Niezasadne są popodnoszone w skardze zarzuty naruszenia art. 6 ust. 1 lit. c RODO w zw. z art. 70a u.P.b. Zgodnie z art. 70a ust. 1 u.P.b., banki i inne instytucje ustawowo upoważnione do udzielania kredytów, na wniosek osoby fizycznej, prawnej lub jednostki organizacyjnej niemającej osobowości prawnej, o ile posiada zdolność prawną, ubiegającej się o kredyt, przekazują, w formie pisemnej, wyjaśnienie dotyczące dokonanej przez siebie oceny zdolności kredytowej wnioskującego. Zgodnie z art. 70 ust. 2 u.P.b. wyjaśnienie, o którym mowa w ust. 1, obejmuje informacje na temat czynników, w tym danych osobowych wnioskującego, które miały wpływ na dokonaną ocenę zdolności kredytowej. Powstanie więc obowiązku, o którym mowa w art. 70a ust. 1 u.P.b., uzależnione jest od złożenia stosownego wniosku przez osobę ubiegającą się o kredyt. Wniosek taki nie został złożony, a Uczestniczka po odmownej decyzji kredytowej, wniosła o usunięcie swoich danych. W związku z odmową w tym zakresie, podjął też działania przed Prezesem UODO. Z akt sprawy i całokształtu okoliczności nie wynika ponadto, aby ww. osoba wystąpiła do BIK o jakiekolwiek wyjaśnienie dotyczące dokonanej oceny zdolności kredytowej. Wynika natomiast, że Uczestniczka złożyła żądanie usunięcia danych. Nie może być więc mowy o tym, aby w sprawie znajdował zastosowanie art. 70a ust. 1 i 2 u.P.b., uprawniający Bank do przetwarzania danych osobowych Uczestnika w związku z koniecznością ewentualnego wypełnienia obowiązku wynikającego z art. 70a ust. 1 i ust. 2 u.P.b. Nie jest też trafny zarzut skarg dotyczący naruszenia art. 6 ust. 1 lit. f RODO w związku z Rekomendacjami KNF (S, W i T). Rację miał bowiem Prezes UODO, wskazując w uzasadnieniu ww. decyzji, że rekomendacje KNF nie są źródłem prawa powszechnie obowiązującego. Nie ma przy tym podstaw, aby w stanie faktycznym sprawy, wywodzić z Rekomendacji KNF – wobec osoby, z którą nie zawarto umowy kredytowej i która zażądała usunięcia danych – prawnie uzasadnione interesy BIK, o których jest mowa w art. 6 ust. 1 lit. f RODO. Rekomendacje KNF, które zawierają konkretne wymagania regulacyjne, wobec narzędzi używanych przez banki, nie powinny być interpretowane w sprzeczności z RODO w zakresie legalności przetwarzania danych (w zakresie zapytania kredytowego) osób, z którymi nie zawarto umów kredytowych. Ponadto nie można ich wykładać w sposób prowadzący do nieuprawnionego przetwarzania danych osobowych osób fizycznych, które nie nawiązały z bankiem stosunku umownego. Twierdzenie, że wypełnienie nakazu Prezesa UODO, w postaci usunięcia danych osobowych Uczestnika przetwarzanych niezgodnie z prawem, prowadziłoby do uniemożliwienia realizacji Rekomendacji, nie daje podstaw do stwierdzenia o dopuszczalności "dalszego" przetwarzania na gruncie RODO danych zawartych w zapytaniu kredytowym osoby, z którą Bank umowy nie zawarł, a jednocześnie nie uzyskano zgody tej osoby na dalsze przetwarzanie jej danych osobowych w celach innych niż te, w jakich doszło do zgromadzenia danych osobowych. Sąd wskazuje, że z powodów wyżej wskazanych niezasadne okazały się wszystkie sformułowane w skardze BIK zarzuty natury materialnoprawne, przypominając ponownie, że umowa kredytowa nie została zawarta z Uczestniczką. Jak już wskazywano, art. 70 u.P.b. stanowi wyłącznie o badaniu przez banki zdolności kredytowej i nie zawiera regulacji dotyczących przetwarzania danych osobowych. Z kolei art. 5 ust. 1 pkt 3 u.P.b. wskazuje, że czynnością bankową jest udzielanie kredytów. Z tego wynika, że art. 105 ust. 4 u.P.b. nie mógł stanowić podstawy przetwarzania danych osobowych Uczestnika przez BIK zarówno samodzielnie, jak i w powiązaniu z art. 105 ust. 1 pkt 1c, art. 105a, art. 70 i art. 5 ust. 1 pkt 3 u.P.b. Tak jak podniesiono wyżej art. 105 ust. 4 u.P.b. sam w sobie nie może stanowić podstawy prawnej przetwarzania danych osoby ubiegającej się o kredyt. W treści tego przepisu nie można więc poszukiwać prawnie usprawiedliwionego interesu w przetwarzaniu danych osobowych Uczestnika – osoby fizycznej, której w związku z zapytaniem kredytowym nie udzielono kredytu. Argumentacja dotycząca art. 105 ust. 4 u.P.b., wskazująca na charakter tego przepisu, nie pozwala także, z ww. podanych powodów, na uznanie, że przepis ten określa prawnie uzasadniony interes realizowany przez BIK lub przez stronę trzecią, a który mógłby być rozważny w kontekście art. 6 ust. 1 lit. f RODO. Na uwzględnienie nie zasługiwał również zarzut BIK dotyczący naruszenia art. 6 ust. 1 lit. c RODO w zw. z art. 70a u.P.b. w zw. z art. 105 ust. 4 pkt 1 i 2 u.P.b. Art. 70a u.P.b. nakłada na banki i inne instytucje ustawowo upoważnione do udzielania kredytów obowiązek przekazywania osobie fizycznej ubiegającej się o kredyt wyjaśnień dotyczących dokonanej oceny zdolności kredytowej wnioskującego. Tego rodzaju obowiązku przepis ten nie nakłada na instytucje, o których mowa w art. 105 ust 4 u.P.b. Sąd, odnosząc się do argumentów podniesionych w uzasadnieniu skargi w związku z pełnioną przez BIK rolą w zabezpieczeniu ekonomiczno-gospodarczego sektora bankowego, w tym depozytariuszy i zapewnienia stabilności ekonomiczno-gospodarczej sektora bankowego, a w ujęciu makro - zapobieganiu kryzysom gospodarczym, stwierdza, że prawidłowe było stanowisko Prezesa UODO wyrażone w uzasadnieniu ww. decyzji, że RODO wymaga określenia w podstawie prawnej niezbędności przetwarzania. Analizowane wyżej art. 70, art. 70a, art. 105 ust. 4 i art. 105a u.P.b. nie wskazują na niezbędność przetwarzania przez BIK danych osobowych osoby ubiegającej się o kredyt w sytuacji, w której nie doszło do zawarcia umowy. Zarzuty naruszenia ww. przepisów prawa materialnego nie zasługiwała zatem na uwzględnienie. Nie jest również uzasadniony zarzut BIK, co do naruszenia art. 6 ust. 1 lit. f RODO przez nieuzasadnione przyjęcie, że prawnie uzasadniony interes administratora danych nie może opierać się na przesłance ewentualnego zabezpieczenia roszczeń oraz błędne uznanie, że wskutek braku zawarcia umowy kredytowej, BIK nie posiada prawnie uzasadnionego interesu w przetwarzaniu danych Uczestniczki, gdy nie zawarto umowy kredytowej, polegający na realizacji działań z zakresu opracowania, utrzymania aktualności i funkcjonalności zbudowanych modeli scoringowych, w zgodzie z treścią Rekomendacji KNF (W, S i T) w zakresie dobrych praktyk zarządzania ryzykiem kredytowym. Kwestię zabezpieczenia roszczeń i ww. rekomendacji KNF omówiono wyżej. Także powoływana potrzeba realizacji działań z zakresu opracowania, utrzymania aktualności i funkcjonalności zbudowanych modeli scoringowych, nie stanowi w stanie faktycznym sprawy podstawy przetwarzania – w odniesieniu do danych osoby, z którą nie zawarto umowy kredytowej – w celu wynikającym z prawnie uzasadnionych interesów BIK. Celem RODO, tak, jak poprzednio Dyrektywy 95/46/WE, jest ochrona prywatności, która powinna być rozpatrywana także w świetle art. 8 Konwencji o Ochronie Praw Człowieka i Podstawowych Wolności. W sprawie nie istnieje tego rodzaju powiązanie pomiędzy osobą, której dane dotyczą, a Bankiem, jak również pomiędzy tą osobą, a BIK, które pozwalałoby "wyprowadzić" istnienie prawnie uzasadnionego interesu po stronie BIK w dalszym przetwarzaniu danych osobowych Uczestniczki. Z okoliczności sprawy nie wynika przy tym, aby osoba ta mogła spodziewać się w czasie, gdy pozyskiwano od niej dane, w celu oceny zdolności kredytowej i ryzyka kredytowego, że będą one dalej przetwarzane, pomimo nie zawarcia umowy kredytowej (motyw 47 RODO). Odnosząc się do argumentacji BIK w zakresie wykładni art. 6 ust. 1 lit. f RODO i możliwości jego zastosowania, w kontekście obowiązującej wcześniej przesłanki z art. 23 ust. 1 pkt 5 u.o.d.o., z powołaniem się na prezentowane w skardze poglądy doktryny, można zgodzić się, że użyte w art. 6 ust. 1 lit. f RODO pojęcie "interesu" jest pojęciem szerszym od pojęcia "celu" z art. 23 ust. 1 pkt 5 u.o.d.o. Nie zmienia to jednak tego, że jako prawnie uzasadniony interes administratora, na gruncie art. 6 ust. 1 lit. f RODO, nie może być rozumiana każda potrzeba wygenerowana przez danego administratora w związku z prowadzoną działalnością gospodarczą. Przyjęcie takiej koncepcji poddawałoby w wątpliwość funkcjonowanie wszystkich pozostałych przesłanek legalności przetwarzania danych ujętych w RODO, skoro sama potrzeba, pojawiająca się dynamicznie w ramach prowadzonej działalności gospodarczej (handlowej), czyniłaby dopuszczalnym przetwarzanie danych osobowych. Niewątpliwie ten prawnie uzasadniony interes administratora nie może pozbawiać jednostki prawa do dysponowania własnymi danymi osobowymi i ochrony prywatności. Z art. 7 lit. f nieobowiązującej już Dyrektywy 95/46/WE, którą u.o.d.o. implementowała (art. 23 ust. 1 pkt 5) wynika, że przetwarzanie danych jest konieczne dla potrzeb wynikających z uzasadnionych interesów administratora danych lub osoby trzeciej lub osobom, którym dane są ujawniane, z wyjątkiem sytuacji, kiedy interesy takie podporządkowane są interesom związanym z podstawowymi prawami i wolnościami osoby, której dane dotyczą, które gwarantują ochronę na podstawie art. 1 ust. 1. W ww. Dyrektywie mowa była zatem o uzasadnionych interesach administratora danych. Stąd też poglądy przywołane przez Prezesa UODO w ww. decyzji, a prezentowane w orzecznictwie NSA z powołaniem się na tę przesłankę, nie straciły na aktualności. Warto też wskazać, że w orzecznictwie Trybunału Sprawiedliwości przyjmuje się – i pogląd ten prezentuje także Sąd rozpoznający niniejszą sprawę - że "Ze względu na to, że RODO uchyliło i zastąpiło dyrektywę 95/46, a właściwe przepisy tego rozporządzenia mają w istocie zakres identyczny, jak właściwe przepisy tej dyrektywy, orzecznictwo Trybunału dotyczące wspomnianej dyrektywy znajduje również co do zasady zastosowanie w odniesieniu do tego rozporządzenia" (por. wyrok Trybunału Sprawiedliwości z 17 czerwca 2021r., C-597/19, punkt 107). W okolicznościach faktycznych rozpoznawanej sprawy, to prawa i wolności osoby fizycznej, mają nadrzędny charakter nad interesami BIK, więc zarzut naruszenia art. 7 i art. 7b k.p.a. jest niezasadny. Celem udostępnienia danych osobowych przez osobę fizyczną było bowiem rozpatrzenie konkretnego wniosku kredytowego (cel był ściśle określony), zgodnie z przepisami u.P.b., o czym mowa wyżej. Nie daje to podstaw do dalszego przetwarzania danych "na przyszłość", po zakończeniu oceny zdolności kredytowej i analizy ryzyka kredytowego. Samo powołanie się na zasadę rozliczalności (art. 5 ust. 2 RODO) nie legalizuje przetwarzania jakichkolwiek danych. Konieczne jest bowiem, aby w pierwszej kolejności przetwarzanie danych było zgodne z prawem. Sąd, niezależnie zatem od zrozumienia argumentacji BIK, co do wskazywanych potrzeb, zamierzeń czy celów, jakie podmiot ten chciałyby osiągnąć w działalności gospodarczej - przez dalsze przetwarzanie danych osobowych zawartych w zapytaniu kredytowym Uczestniczki (osoby, z którą Bank umowy kredytowej nie zawarł), a które wskazano zarówno w postępowaniu przed organem, jak i w skardze do Sądu, przyjął, że ww. decyzja Prezesa UODO w punkcie 2 nie narusza prawa. Cel przetwarzania legalnie zebranych danych osobowych Uczestniczki - osoby fizycznej (zebranych w celu oceny zdolności kredytowej i analizy ryzyka kredytowego) ustał i nie wykazano innej podstawy prawnej, stanowiącej przesłankę do "dalszego" przetwarzania danych osobowych tej osoby fizycznej. W ocenie Sądu, niedopuszczalna jest interpretacja powołanych w skargach przepisów u.P.b., k.c., CRR, która czyniłaby uprawnionym na gruncie RODO dalsze przetwarzanie danych osobowych zawartych w zapytaniu kredytowym osoby, z którą nie zawarto umowy (a zatem w celach innych niż cele, w jakich je zebrano), w sytuacji, gdy u.P.b. wyraźnie reguluje dopuszczalność przetwarzania danych osobowych przed powstaniem zobowiązania, w trakcie jego trwania i po wygaśnięciu. Przyjęcie interpretacji zaprezentowanej w skardze prowadziłoby do tego, że w odniesieniu do osób, których dane zawarte zostały w zapytaniu kredytowym, a z którymi nie zawarto umowy kredytowej, istniałaby pełna dowolność tak w zasadach ich przetwarzania - bez zgody osoby (jak należy wnioskować ze stanowiska BIK), bez informacji przedstawianej przed pozyskaniem danych o innych celach przetwarzania niż ocena zdolności kredytowej i ryzyka kredytowego, jak również dowolne ustalenia w odniesieniu do czasu ich przetwarzania. Sytuacja osoby, która zwróciła się z zapytaniem kredytowym i z którą nie zawarto umowy kredytowej, jest z punktu widzenia ochrony danych osobowych, biorąc pod uwagę przepisy u.P.b., byłaby sytuacją "gorszą" niż sytuacja osoby, która zawarła umowę kredytową i jej zobowiązanie wygasło. W tym drugim bowiem przypadku, dla dalszego przetwarzania danych w BIK po wygaśnięciu zobowiązania wynikającego z danej umowy, niezbędna jest zgoda osoby, której dane dotyczą. Zgodę taką można nadto w każdym czasie odwołać. Podkreślenia wymaga, że w demokratycznym państwie prawnym nie jest dopuszczalne dowolne rozszerzanie uprawnień jakiegokolwiek podmiotu - ani organu władzy, ani spółki prawa handlowego, ani innego administratora w zakresie przetwarzania danych osobowych (art. 47, art. 51 Konstytucji RP). Dane osobowe mogą być przetwarzane co do zasady w celach, w jakich zostały zebrane. Uprawnienia te powinny być adekwatne, stosowne oraz ograniczone do tego, co niezbędne do osiągnięcia celów, w których zostały zebrane i są przetwarzane (art. 5 ust. 1 lit. c RODO). Przetwarzanie przez BIK "na przyszłość" danych zawartych w ww. zapytaniu kredytowym, gdy nie zawarto umowy kredytowej, nie znajduje umocowania w żadnej przesłance z art. 6 ust. 1 RODO. Sąd podziela też poglądy prezentowane w orzecznictwie Sądów administracyjnych, zgodnie z którymi dalsze przetwarzanie danych, uzyskanych w celu oceny zdolności kredytowej w przypadku nie zawarcia stosownej umowy, pozostawałoby w oderwaniu od celu, dla którego je uzyskano. Niedopuszczalne jest dalsze przetwarzanie danych osobowych na przyszłość, a także na potrzeby budowy oceny zdolności kredytowej innych podmiotów, jeżeli nie można zrekonstruować wyraźnej podstawy prawnej takich działań, jak miało to miejsce w sprawie (por. wyroki NSA z: 13 lutego 2025r. sygn. akt III OSK 6563/21; 27 sierpnia 2019r. sygn. akt 2567/17 - dostępne na orzeczenia.nsa.gov.pl). Zdaniem Sądu w świetle akt sprawy były więc nieuzasadnione zarzuty skarg dotyczące naruszenia przepisów prawa procesowego: art. 7, art. 77 § 1 oraz art. 80 k.p.a., bowiem organ prawidłowo zebrał i ocenił zgromadzony w sprawie materiał dowodowy, w tym opierając się na wyjaśnieniach BIK dotyczących przetwarzania danych osobowych Uczestniczki zawartych we wniosku kredytowym. Odmienna ocena w zakresie wykładni i zastosowania powołanych przez organ przepisów prawa, nie stanowi o naruszeniu przepisów postępowania, w tym art. 7, art. 77 § 1 i art. 80 k.p.a. W ocenie Sądu, uzasadnienie ww. decyzji odpowiada ponadto wymogom określonym w art. 107 § 3 k.p.a. Nieuzasadniony jest również zarzut naruszenia art. 7b k.p.a. przez zaniechanie zwrócenia się przez Prezesa UODO do KNF, jako organu właściwego w sprawach związanych m.in. z badaniem zdolności kredytowej i analizy ryzyka kredytowego, a także budową modeli scoringowych i w konsekwencji niedostateczne wyjaśnienie stanu faktycznego sprawy. Zgodnie bowiem z art. 7b k.p.a., w toku postępowania organy administracji publicznej współdziałają ze sobą w zakresie niezbędnym do dokładnego wyjaśnienia stanu faktycznego i prawnego sprawy, mając na względzie interes społeczny i słuszny interes obywateli oraz sprawność postępowania, przy pomocy środków adekwatnych do charakteru, okoliczności i stopnia złożoności sprawy. W ocenie Sądu, stan faktyczny i prawny sprawy został przez Prezesa UODO prawidłowo ustalony i należycie rozpatrzony w oparciu o zgromadzony materiał dowodowy, w tym w oparciu o wyjaśnienia BIK. Nie zachodziły więc przesłanki do podjęcia przez Prezesa UODO współdziałania z innymi organami administracji publicznej w oparciu o art. 7b k.p.a., w celu wydania decyzji w sprawie. Prezes UODO jest niezależnym i wyspecjalizowanym organem w sprawach dotyczących ochrony danych osobowych, który ma status i kompetencje organu nadzorczego, określone w przepisach RODO. Z tego względu Prezes UODO jest uprawniony do samodzielnego dokonywania interpretacji przepisów prawa w zakresie dotyczącym ochrony danych osobowych. Stanowisko to znajduje potwierdzenie w art. 51 oraz w motywach 117, 122 oraz 123 RODO. Sąd stwierdza, że przesłanki do przetwarzania danych osobowych Uczestniczki (na przyszłość i w innych celach wskazywanych przez BIK) nie stanowił w okolicznościach faktycznych sprawy żaden z art. 6 ust. 1 lit. a-f RODO (bo nie uzyskano zgody, ani nie zwracano się do Uczestniczki o zgodę na przetwarzanie Jej danych osobowych w przyszłości, w celach innych niż ocena zdolności kredytowej i ryzyka kredytowego; bo nie wykazano, że przetwarzanie było niezbędne do wykonania umowy lub działań przed zawarciem umowy, ani do wypełnienia obowiązku prawnego ciążącego na administratorze; okoliczności faktyczne nie wskazywały na niezbędność przetwarzania dla ochrony żywotnych interesów osoby fizycznej lub innej osoby; nie można też mówić o niezbędność do celów wynikających z prawnie uzasadnionych interesów). Powołanie się na konieczność zabezpieczenia ekonomiczno-gospodarczego sektora bankowego, zapewnienie stabilności gospodarczej sektora bankowego, jako uzasadnienie interesu publicznego, o którym mowa w art. 6 ust. 1 lit. e RODO, w odniesieniu do przetwarzania danych zawartych w zapytaniu kredytowym osoby, z którą Bank nie zawarł umowy, nie jest trafne. Ustaleń Sądu w tym zakresie nie zmienia analiza treści umowy zawartej między BIK i Bankiem, bo umowa ta nie stanowi samoistnej podstawy legalności przetwarzania danych osobowych Uczestnika, w celach wskazywanych obecnie przez wymienione podmioty. Stosowanie RODO nie może zostać wyłączone przez zapis umowy. Ustalenie Prezesa UODO, w zakresie braku dopuszczalności przetwarzania danych Uczestniczki zawartych w ww. zapytaniu kredytowym jest prawidłowe. Nakaz, zawarty w punkcie 2 decyzji, jest przy tym jasny, nie ma wątpliwości co do jego zakresu i jest wykonalny. Sąd, podsumowując, stwierdza, że zaskarżona w zakresie punktu 2 ww. decyzja Prezesa UODO jest zgodna z prawem, zaś zarzuty skargi nie zasługują na uwzględnienie. Organ administracyjny bowiem zasadnie nakazał BIK w punkcie 2 zaskarżonej decyzji, usunięcie danych osobowych Uczestnika w zakresie wynikającym z ww. zapytania kredytowego. 3. Sąd, mając na względzie powyższe, na podstawie art. 151 P.p.s.a., orzekł, jak w sentencji wyroku.