II SA/Wa 1735/24

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Joanna Kruszewska-Grońska, Sędzia WSA Izabela Głowacka-Klimas (spr.), Asesor WSA Arkadiusz Koziarski, , Protokolant specjalista Marcin Kwiatkowski po rozpoznaniu na rozprawie w dniu 8 maja 2025 r. sprawy ze skargi Biura Informacji Kredytowej S. A. z siedzibą w [...] na pkt 2 decyzji Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] sierpnia 2024 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę Prezes Urzędu Ochrony Danych Osobowych (dalej: Prezes UODO) decyzją z [...] sierpnia 2024 r. nr [...], działając na podstawie art. 104 § 1 ustawy z 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (Dz.U. z 2024 r. poz. 572 ze zm.; dalej "Kpa."), art. 7 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz.U. z 2019 r. poz. 1781) w zw. z art. 6 ust. 1 oraz art. 58 ust. 2 lit. c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzanie danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 127 z 23 maja 2018 r., str. 2, oraz Dz. Urz. UE L 74 z 4 marca 2021 r., str. 35; dalej "RODO"), po przeprowadzeniu postępowania w sprawie skargi Pana T. B., zwanego także "uczestnikiem", na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Bank [...] S.A. z siedzibą w [...], zwany dalej "Bankiem", polegające na udostępnieniu jego danych osobowych w zakresie wynikającym z zapytań kredytowych z [...] stycznia 2021 r., [...] stycznia 2021 r., [...] lutego 2021 r., [...] marca 2021 r. i [...] maja 2021 r., które nie zakończyły się zawarciem umowy kredytowej w tym w Biurze Informacji Kredytowej S.A. z siedzibą w [...], zwanym dalej "Biurem", "skarżącym", bez podstawy prawnej: 1. nakazał Bankowi usunięcie danych osobowych T. B. w zakresie wynikającym z zapytań kredytowych z [...] stycznia 2021 r., [...] stycznia 2021 r., [...] lutego 2021 r., [...] marca 2021 r. i [...] maja 2021 r., które nie zakończyły się zawarciem umowy kredytowej, 2. nakazał Biuru usunięcie danych osobowych T. B. w zakresie wynikającym z zapytań kredytowych z [...] stycznia 2021 r., [...] stycznia 2021 r., [...] lutego 2021 r., [...] marca 2021 r. i [...] maja 2021 r., które nie zakończyły się zawarciem umowy kredytowej przekazanych przez Bank. Wydaniu powyższej decyzji towarzyszył następujący stan sprawy. Do Prezesa UODO wpłynęła skarga uczestnika na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Bank, polegające na udostępnieniu jego danych osobowych w zakresie zapytań kredytowych z [...] stycznia 2021 r., [...] stycznia 2021 r., [...] lutego 2021 r., [...] marca 2021 r. i [...] maja 2021 r., które nie zakończyły się zawarciem umowy kredytowej w tym w Biurze, bez podstawy prawnej. W skardze poinformował, że [...] maja 2021 r. zwrócił się do Banku o usunięcie jego zapytań kredytowych. Bank natomiast [...] maja 2021 r. potwierdził złożenie przez uczestnika zapytań kredytowych (przywołano daty) oraz wyjaśnił podstawy prawne przetwarzania jego danych osobowych, czas przetwarzania oraz cele w jakich dane są przetwarzane. Bank odmówił ich wykreślenia oraz poinformował o przysługującym prawie złożenia skargi do Prezesa UODO. W kolejnym piśmie do Banku z [...] czerwca 2021 r. uczestnik skonkretyzował żądanie o usunięcie następujących wpisów: [...] maja 2021 r. z godz. 11:26, [...] marca 2021 r. godz. 13:13, [...] lutego 2021 r. godz. 11:11:06, [...] stycznia 2021 r. godz. 14:53, [...] stycznia 2021 r. godz. 11:50. Bank odpowiedział na ww. pismo [...] czerwca 2021 r. potwierdzając swoje wcześniejsze stanowisko również odnośnie do zapytania z [...] maja 2021 r. Uczestnik wyjaśnił również, że jego prośby o usunięcie wpisów w Biurze dotyczących jego zapytań kredytowych umieszczonych przez inne banki zostały spełnione. Zrobiły to: [...] Bank, [...] Bank oraz Bank [...]. Wobec powyższego uczestnik zwrócił się do Prezesa UODO z żądaniem usunięcia przez Bank zapytań kredytowych zamieszczonych w bazie danych Biura. W złożonych [...] listopada 2021 r. wyjaśnieniach Bank wskazał, że pozyskał dane osobowe bezpośrednio od uczestnika [...] stycznia 2021 r. w ramach realizacji procesu o udzielenie mu kredytu. Podstawą pozyskania danych była niezbędność przetwarzania do podjęcia działań na żądanie uczestnika, tj. art. 6 ust. 1 lit. b RODO, w związku z art. 70 ust. 1, art. 105a ust. 1, 1a i 1b oraz art. 105 ust. 4 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz.U. 2022 r. pozy. 2324 ze zm.; dalej "Pr.bank."), Bank pozyskał dane osobowe uczestnika w zakresie: imienia i nazwiska, daty urodzenia, numeru PESEL, statusu mieszkaniowego, stanu cywilnego, wykształcenia, liczby dzieci, serii i numeru dokumentu tożsamości, danych kontaktowych: adresu korespondencyjnego, danych dotyczących sytuacji ekonomicznej w tym danych dotyczących dochodów i zatrudnienia. Z Biura Bank pozyskał dane w zakresie dotyczącym zobowiązań finansowych i oceny punktowej (scoring) uczestnika. Bank wskazał, że "(...) obciążony jest szeregiem obowiązków regulacyjnych, dla wypełnienia których przetwarzanie danych pochodzących z wniosków i zapytań kredytowych, w tym z niezakończonych zawarciem umowy zapytań kredytowych jest niezbędne. Do wskazanych celów, w kontekście aktualnych podstaw przetwarzania przez Bank danych Skarżącego, w odniesieniu do ww. zapytania kredytowego, należą: 1) ocena ryzyka kredytowego, w tym ocena globalnego ryzyka kredytowego, bowiem przetwarzanie danych pochodzących z niezrealizowanych wniosków kredytowych konieczne jest m.in. do tworzenia modeli scoringowych; podkreślić przy tym należy, iż analiza, czy ocena ryzyka kredytowego nie jest tożsama z oceną zdolności kredytowej, pomimo wskazania na oba te cele w jednym przepisie Prawa bankowego - przetwarzanie danych odbywa się zgodnie z art. 105a ust. 1 -1c Prawa bankowego, a wobec braku uregulowania okresu przetwarzania w kontekście wskazanych celów oceny zdolności kredytowej i analizy ryzyka kredytowego, przyjęty został okres 5 lat przetwarzania danych dla celów związanych z analizą ryzyka kredytowego, natomiast okres 12 miesięcy dla celów związanych z oceną zdolności kredytowej; 2) realizacja wymogów ostrożnościowych tj. ocena ogólnej ekspozycji oraz ryzyka ekspozycji Banku, do czego służy stosowanie wewnętrznych metod oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013 - dane są przetwarzane przez okres do 12 lat zgodnie z art. 105a ust. 4-6 Prawa bankowego; 3) wykonywanie obowiązków związanych z przeciwdziałaniem praniu pieniędzy oraz finansowaniu terroryzmu, w szczególności wynikających z rozdziałów 5, 7 i 8 ustawy o przeciwdziałaniu praniu pieniędzy, a także wykonywanie obowiązków związanych z przeciwdziałaniem popełnianiu innych przestępstw, w tym przestępstw na szkodę banków zgodnie z art. 106d Prawa bankowego"; nie wskazano jednak konkretnego przepisu prawa będącego podstawą zastosowania środków bezpieczeństwa finansowego z art. 35 ustawy z dnia 1 marca 2018 r. przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (Dz.U. z 2023 r. poz. 1124; dalej "ustawa AML"); dla okresu, przez który Bank przetwarzał będzie dane osobowe uczestnika w tym celu, wskazano na art. 49 ust. 1 ustawy AML (art. 6 ust. 1 lit. f RODO w zw. z jego art. 6 ust 1 lit. c), nie przekracza on 5 lat; 4) realizacja prawa do wyjaśnienia oceny zdolności kredytowej - dane są przetwarzane przez okres 6 lat, zgodnie z art. 70a Pr.bank. w związku z art. 118 oraz 4421 ustawy z dnia 23 kwietnia 1964 r. Kodeks cywilny (dalej "K.c."), taki 6-letni okres w korelacji z ogólnymi przepisami dotyczącymi przedawnienia roszczeń, przyjęto z uwagi na fakt, iż przepisy Pr.bank. nie określają okresu przechowywania danych dla realizacji obowiązku z art. 70a danego aktu, niemniej przyjęcie zbyt krótkiego okresu retencji powodowałoby brak możliwości skorzystania przez klienta ze wspomnianego uprawnienia, bowiem w przypadku zbyt szybkiego usunięcia danych, Bank nie miałby podstaw do ich analizy i wyjaśnienia wątpliwości klienta. Bank wskazał również, że przetwarza dane uczestnika w odniesieniu do przedmiotowych zapytań kredytowych również w celu związanym z zabezpieczeniem możliwości ustalenia, dochodzenia lub obrony przed roszczeniami, na podstawie art. 6 ust. 1 lit. c lub f RODO, w związku z art. 118 oraz art. 4421 K.c. Bank wyjaśnił jednocześnie, że aktualnie nie toczą się postępowania, z których wynikają roszczenia Banku wobec uczestnika, a jedynym postępowaniem jakie toczy się z ich udziałem jest niniejsze postępowanie przed Prezesem UODO. Bank wskazał nadto, że podstawą prawną przekazania przez Bank danych uczestnika do Biura był art. 105 ust. 4 Pr.bank. Ponadto, dane uczestnika w zakresie obejmującym imię, nazwisko, numer PESEL, rodzaj, serię i numer dokumentu tożsamości, w celu przeprowadzenia oceny jego zdolności kredytowej, zostały przekazane przez Bank do Biura - na podstawie art. 6 ust. 1 lit. b RODO w związku z art. 70 ust. 1, art. 105a ust. 1 i 1b oraz art. 105 ust. 4 Pr.bank. - w dniu [...] stycznia 2021 r., [...] stycznia 2021 r., [...] lutego 2021 r., [...] marca 2021 r., [...] maja 2021 r. oraz [...] lipiec 2021 r. w związku z realizacją procesu o udzielenie kredytu/pożyczki. Jak wynika ze złożonych przez Biuro [...] listopada 2021 r. oraz [...] października 2022 r. wyjaśnień, pozyskało ono dane osobowe uczestnika od Banku na podstawie art. 105 ust. 1 pkt 1c, art. 105 ust. 4, art. 105a ust. 1 Pr.bank. oraz na podstawie łączącej Bank i Biuro umowy. Biuro przetwarza dane uczestnika w zakresie powołanych zapytań kredytowych. Przetwarza dane pochodzące z zapytań kredytowych przez okres 12 miesięcy od dnia złożenia zapytania w celu oceny zdolności kredytowej i analizy ryzyka kredytowego konkretnego klienta (indywidualna ocena zdolności kredytowej) oraz w celu przeciwdziałania przestępstwom oraz wykonywania obowiązków w zakresie określonym w przepisach o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu. Biuro wyjaśniło, że będzie przetwarzało dane osobowe uczestnika w związku ze złożonymi zapytaniami kredytowymi w celu budowy modeli scoringowych, tj. narzędzi wykorzystywanych przez banki do oceny zdolności kredytowej i analizy ryzyka kredytowego przez okres 5 lat od dnia złożenia zapytania, w celu statystycznym i analiz przez okres nie dłuższy niż 10 lat od dnia przekazania zapytania do Biura. Na konieczność wykorzystania własnych i zewnętrznych baz danych przy ocenie zdolności kredytowej wskazuje również Komisja Nadzoru Finansowego w Rekomendacji T dotyczącej dobrych praktyk w zakresie zarządzania ryzykiem detalicznych ekspozycji kredytowych, powołując się na Rekomendacje 16.4,1.4 a) tiret drugie, 1.4 b) tiret drugie, 17.5 e) oraz wstęp do Rekomendacji. Biuro wyjaśniło także, że przetwarza dane uczestnika w celu rozpatrywania ewentualnych reklamacji i roszczeń odszkodowawczych, przez okres 6 lat. Uczestnik nie wystosował do Biura konkretnego roszczenia, reklamacji, wniosku czy odwołania. Biuro także nie wystosowało do uczestnika konkretnego roszczenia związanego z przedmiotowymi zapytaniami kredytowymi. Biuro przetwarza dane uczestnika również z uwagi na konieczność wypełnienia ustawowego obowiązku wynikającego z art. 15 RODO w przypadku wystąpienia przez osobę, której dane dotyczą z wnioskiem o udzielenie informacji. Przetwarza dane osobowe w związku z przedmiotowymi zapytaniami kredytowymi w celu realizacji wniosków klientów banków dotyczących wyjaśnień dokonanej oceny zdolności kredytowej na podstawie art. 70a Pr.bank. W wyjaśnieniach zwrócono uwagę na konieczności realizacji obowiązków wynikających z przepisów rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 575/2013 z dnia 26 czerwca 2013 r. w sprawie wymogów ostrożnościowych dla instytucji kredytowych oraz zmieniające rozporządzenie (UE) nr 648/2012 (Dz.U. L 2013.176.1 ze zm.; dalej "CRR"). W tym celu, jak wskazano, Biuro będzie przetwarzało dane uczestnika przez okres 10 lat od momentu złożenia każdego z zapytań kredytowych. Ponadto, uczestnik nie zwracał się wobec Biura z wnioskiem o usunięcie danych osobowych przetwarzanych w jego systemach. W uzasadnieniu wymienionej na wstępie decyzji Prezes UODOD wyjaśnił, że przepisem uprawniającym administratorów danych do przetwarzania zwykłych danych osób fizycznych jest art. 6 ust. 1 RODO, zgodnie z którym, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy spełniona jest jedna z przesłanek wskazanych w tym przepisie. Katalog przesłanek wymienionych w art. 6 ust. 1 RODO, jest zamknięty. Każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny. Dodatkowo, proces przetwarzania danych osobowych musi być zgodny z zasadami ustanowionymi w art. 5 ust. 1 RODO. Do zasad tych zalicza się między innymi ograniczenie celu (art. 5 ust. 1 lit. b RODO) oraz minimalizację danych (art. 5 ust. 1 lit. c RODO). Wspomniane zasady wymagają, by dane osobowe były zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami, a proces przetwarzania danych osobowych był adekwatny, stosowny oraz ograniczony do tego, co niezbędne do celów, w których są przetwarzane. Co do zasady podstawą prawną przetwarzania danych osobowych klientów przez Bank i Biuro może być obecnie art. 6 ust. 1 lit. f RODO, gdy przetwarzanie to jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora. Prezes UODO wskazał, że Biuro jest instytucją utworzoną na podstawie art. 105 ust. 4 Pr.bank., który stanowi, że banki mogą, wspólnie z bankowymi izbami gospodarczymi, utworzyć instytucje upoważnione do gromadzenia, przetwarzania i udostępniania bankom informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia CRR, innym instytucjom ustawowo upoważnionym do udzielania kredytów informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są niezbędne w związku z udzielaniem kredytów, pożyczek pieniężnych, gwarancji bankowych i poręczeń (pkt 2), instytucjom kredytowym informacji stanowiących tajemnicę bankową w zakresie niezbędnym do oceny zdolności kredytowej konsumenta, o której mowa w art. 9 ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim (Dz.U. 2022 poz. 246 ze zm.; dalej "ustawa o kredycie konsumenckim") (pkt 3), instytucjom pożyczkowym i podmiotom, o których mowa w art. 59d ustawy o kredycie konsumenckim na zasadzie wzajemności, informacji stanowiących odpowiednio tajemnicę bankową oraz informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d tej ustawy, w zakresie niezbędnym do oceny zdolności kredytowej konsumenta, o której mowa w art. 9 ustawy, i analizy ryzyka kredytowego (pkt 4). Zgodnie z art. 105a ust. 1 Pr.bank., przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów, instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy o kredycie konsumenckim, a także instytucje utworzone na podstawie art. 105 ust. 4, informacji stanowiących tajemnicę bankową i informacji udostępnionych przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy o kredycie konsumenckim, w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem art. 104, 105 i art. 106 - 106d Prawa bankowego w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Zgodnie zaś z art. 105a ust. 4 Prawa bankowego banki oraz instytucje, o których mowa w art. 105 ust. 4, mogą przetwarzać stanowiące tajemnicę bankową informacje dotyczące osoby fizycznej po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której informacje dotyczą, do celów stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia CRR. Stosownie zaś do art. 105a ust. 5 Prawa bankowego przetwarzanie informacji stanowiących tajemnicę bankową w przypadkach, o których mowa w ust. 3, może być wykonywane przez okres nie dłuższy niż 5 lat od dnia wygaśnięcia zobowiązania, a w przypadku, o którym mowa w ust. 4, przez okres 12 lat od dnia wygaśnięcia zobowiązania. Ponadto stosownie do art. 70 ust. 1 Pr.bank., bank uzależnia przyznanie kredytu od zdolności kredytowej kredytobiorcy. Przez zdolność kredytową rozumie się zdolność do spłaty zaciągniętego kredytu wraz z odsetkami w terminach określonych w umowie. Wobec powyższego wskazano, że uczestnik [...] stycznia 2021 r., oraz kolejno [...] stycznia 2021 r., [...] lutego 2021 r., [...] marca 2021 r. i [...] maja 2021 r. wystąpił do Banku z wnioskami o udzielenie kredytu. Wobec czego Bank oraz BIK, na podstawie art. 105a ust. 1 Pr.bank. w zw. z art. 70 ust. 1 tej ustawy, były uprawnione do przetwarzania jego danych osobowych w celu oceny zdolności kredytowej. Na podstawie wyżej wymienionych wniosków, a następnie złożonych zapytań kredytowych, nie doszło do zawarcia umowy kredytu pomiędzy uczestnikiem a Bankiem. W konsekwencji odpadła przesłanka legalizująca dalsze przetwarzanie danych osobowych Uczestniczki przez Bank oraz BIK. Przesłanki zawarte w art. 105a Pr.bank. dotyczą bowiem przetwarzania informacji objętych tajemnicą bankową w okresie przed powstaniem zobowiązania, w trakcie jego trwania oraz po wygaśnięciu zobowiązania. Pomiędzy Bankiem a uczestnikiem nie zawiązał się żaden stosunek zobowiązaniowy, który stosownie do art. 105a ust. 1-6 Pr.bank. dawałby podstawę do dalszego przetwarzania jego danych osobowych. Podkreślono, że celem przetwarzania danych osobowych była ocena zdolności kredytowej i analizy ryzyka kredytowego. W związku z dokonaniem przez Bank oceny zdolności kredytowej i analizy ryzyka kredytowego wspomniany cel przetwarzania danych osobowych uczestnika został zrealizowany i brak jest podstaw prawnych do kontunuowania tego procesu. Jak podano, powyższe stanowisko organu znajduje oparcie w wyroku Naczelnego Sądu Administracyjnego z dnia 27 sierpnia 2019 r., sygn. akt I OSK 2567/17, zgodnie z którym, tu cyt. "(...) cel oceny zdolności kredytowej stanowi ocena zdolności do spłaty zaciągniętego kredytu wraz z odsetkami, co ma charakter czynności wstępnej do zawarcia stosownej umowy. Dalsze przetwarzanie danych uzyskanych w celu oceny zdolności kredytowej, w przypadku braku zawarcia stosownej umowy pozostawałoby w oderwaniu od celu dla którego dane te uzyskano. (...) niedopuszczalne jest przetwarzanie danych osobowych na przyszłość, a także na potrzeby budowy oceny zdolności kredytowej innych podmiotów, jeżeli nie można zrekonstruować wyraźnej podstawy prawnej takich działań." Ponadto przytoczone przez Bank i BIK przepisy rozporządzenia CRR również nie stanowią podstawy prawnej do dalszego przetwarzania danych osobowych uczestnika, gdy w wyniku podjętych czynności sprawdzających nie doszło do zawarcia umowy kredytowej. Powołane przepisy powyższego rozporządzenia nie wykazują konkretnej przesłanki uprawniającej Biuro do wykorzystania danych w zakresie zapytań kredytowych niezakończonych zawarciem umowy do indywidualnej oceny zdolności kredytowej, ani tym bardziej do wykorzystania tego rodzaju danych osobowych do modeli scoringowych. W ocenie Prezes UODO przywołane rekomendacje nie stanowią podstawy prawnej legalizującej przetwarzanie danych osobowych w zakresie zapytań kredytowych niezakończonych zawarciem umowy kredytu, zaś ich stosowanie nie może naruszać przepisów RODO. Zgodnie z brzmieniem art. 106d Pr.bank. banki, inne instytucje ustawowo upoważnione do udzielania kredytów, izby rozliczeniowe utworzone na podstawie art. 67, instytucje utworzone na mocy art. 105 ust. 4, instytucje pożyczkowe, podmioty, których podstawowa działalność polega na udostępnianiu składników majątkowych na podstawie umowy leasingu, oraz podmioty, o których mowa w art. 59d ustawy o kredycie konsumenckim, mogą przetwarzać i wzajemnie udostępniać informacje, w tym informacje objęte tajemnicą bankową, w przypadkach: 1) uzasadnionych podejrzeń, o których mowa w art. 106a ust. 3; 2) uzasadnionych podejrzeń popełnienia przestępstw dokonywanych na szkodę banków, innych instytucji ustawowo upoważnionych do udzielania kredytów, instytucji kredytowych, instytucji finansowych, instytucji pożyczkowych oraz podmiotów, o których mowa w art. 59d ustawy o kredycie konsumenckim, i ich klientów, w celu i zakresie niezbędnym do zapobiegania tym przestępstwom; 3) wykonywania obowiązków w zakresie określonym w przepisach o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (ust. 1). Podmioty określone w ust. 1 mogą przetwarzać i wzajemnie udostępniać informacje, w tym informacje objęte tajemnicą bankową oraz informacje dotyczące wyroków skazujących, w przypadkach przestępstw dokonywanych na szkodę banków, innych instytucji ustawowo upoważnionych do udzielania kredytów, instytucji kredytowych, instytucji finansowych, instytucji pożyczkowych oraz podmiotów, o których mowa w art. 59d ustawy o kredycie konsumenckim, i ich klientów, w celu i zakresie niezbędnym do zapobiegania tym przestępstwom (ust. 2). Jak wynika z powołanych przepisów ustawy AML uprawnienie do przechowywania danych osobowych związanych z zastosowaniem środków bezpieczeństwa jest powiązane z przeprowadzeniem transakcji. W przypadku zapytań kredytowych niezakończonych zawarciem umowy nie dochodzi ostatecznie do przeprowadzenia transakcji. Dodatkowo nie dochodzi również do nawiązania stosunków gospodarczych. Zgodnie z art. 35 ust. 1 pkt 1 ustawy AML instytucje obowiązane, w tym banki, stosują środki bezpieczeństwa finansowego w przypadku nawiązywania stosunków gospodarczych. W przypadku gdy instytucja obowiązana nie może zastosować jednego ze środków bezpieczeństwa finansowego, o których mowa w art. 34 ust. 1: nie nawiązuje stosunków gospodarczych lub rozwiązuje stosunki gospodarcze (art. 41 ust. 1 pkt 1 i pkt 4 ustawy AML). Zgodnie z ustawową definicją stosunków gospodarczych, rozumieć przez nie należy stosunki instytucji obowiązanej z klientem związane z działalnością zawodową instytucji obowiązanej, które w chwili ich nawiązywania wykazują cechę trwałości (art. 2 ust. 2 pkt 20 ustawy AML). W ocenie Prezesa UODO zapytania kredytowe, które spotkały się z decyzją odmowną w zakresie udzielenia kredytu nie posiadają cechy trwałości, które w aspekcie powyższych przepisów AML uzasadniałyby dalsze przetwarzanie powiązanych z nimi danych osobowych. Jak podano, zebrany w sprawie materiał dowodowy nie wykazał, by Bank lub Biuro mogły przetwarzać dane osobowe uczestnika dotyczące powołanych zapytań kredytowych na podstawie art. 106d Pr.bank. w celach przeciwdziałania przestępstwom oraz wykonywania obowiązków w zakresie określonym w przepisach ustawy AML, albowiem w toku prowadzonego postępowania nie wykazały, aby zaszła którakolwiek z przesłanek określonych w tych przepisach. W szczególności nie wykazały, aby zaszły uzasadnione podejrzenia, o których mowa w art. 106d ust. 1 pkt 1-2, oraz nie wskazały także nałożonego na nie obowiązku określonego w przepisach o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu, o którym mowa w art. 106d ust. 1 pkt 3. W związku z zapytaniami kredytowymi, które nie zakończyły się zawarciem umowy kredytu, nie zostały nawiązane stosunki gospodarcze, nie doszło także do dokonania jakiejkolwiek transakcji, o której mowa w przepisach ustawy AML. Prezes UODO podzielił stanowisko Naczelnego Sądu Administracyjnego odnoszące się do analogicznej do art. 6 ust. 1 lit. f RODO przesłanki wynikającej z art. 23 ust. 1 pkt 5 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.U. 2016 r. poz. 922 ze zm.), dotyczącej dopuszczalności przetwarzania danych osobowych dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, gdy przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Sąd ten w wyroku z dnia 6 marca 2019 r. w sprawie o sygn. I OSK 994/17 (LEX nr 2670498) orzekł, tu cyt.: "Przepis art. 23 ust. 1 pkt 5 u.o.d.o. zezwala na przetwarzanie danych gdy jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Dokonując wykładni tego przepisu należy zatem zwrócić uwagę, że stosowanie ww. przepisu wymaga wykazania, że chodzi o realizowanie prawnie usprawiedliwionego celu, ale także dokonanie oceny czy dla realizacji tego celu niezbędne jest przekazanie danych, pomimo braku zgody osoby której dane te dotyczą. Ocena ta sprowadza się do wyważania racji i interesów osoby, której danych sprawa dotyczy, a która jest objęta ochroną prawną, a z drugiej administratora danych, również chronionego przez prawo w zakresie w jakim może realizować prawnie usprawiedliwione cele i uprawnienia. Naczelny Sąd Administracyjny w wyroku z dnia 23 września 2005 r. (sygn. akt I OSK 712/05, CBOSA) już wskazywał, że rozstrzygając o legalności przetwarzania danych trzeba każdorazowo, ważąc interesy stron, znaleźć równowagę między prawami i wolnościami jednostki z jednej strony a prawnie usprawiedliwionym interesem osoby trzeciej z drugiej strony. Oznacza to obowiązek zapewnienia właściwej równowagi praw i interesów stron w tym praw podstawowych. Zdaniem Naczelnego Sądu Administracyjnego przetwarzanie danych osobowych (...), który cofnął zgodę na ich przetwarzanie, nie jest niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez (...), a którym jest prawo do podjęcia obrony przed ewentualnymi roszczeniami lub zarzutami dotyczącymi przetwarzania danych (...) w celu obsługi wniosku kredytowego. Wskazać należy, że przepis art. 23 ust. 1 pkt 5 ustawy na pierwszym miejscu wymienia warunek, że przetwarzanie danych winno być niezbędne dla wypełnienia prawnie usprawiedliwionych celów. Prawidłowe jest stanowisko Sądu pierwszej instancji, że niedopuszczalne jest przetwarzanie danych osobowych niejako "na zapas" z założeniem, że mogą być one ewentualnie przydatne w przyszłości. Zauważyć należy, że w rozpoznawanej sprawie znaczenie ma, a no co wskazał organ i Sąd pierwszej instancji, że (...) co prawda w 2012 r. złożył wniosek kredytowy ale strony nie zawarły umowy, a zatem nie powstał między stronami stosunek zobowiązaniowy. Pomiędzy stronami nie toczy się także żadne postępowanie reklamacyjne. Zatem przetwarzania danych strony, a więc na wszelki wypadek, nie można uznać za przetwarzanie niezbędne dla wypełnienia prawnie usprawiedliwionych celów. Zgodnie z art. 23 ust. 1 pkt 2 u.o.d.o. przetwarzanie danych osobowych jest dopuszczalne wtedy, gdy jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa. Przepis ten dopuszcza możliwość przetwarzania danych, uzależnia jednak legalność tego procesu od spełnienia dwóch istotnych wymogów, tj. istnienia odpowiedniego przepisu prawa, który przyznaje podmiotowi uprawnienie lub nakłada na niego obowiązek oraz niezbędności przetwarzania danych dla zrealizowania tego uprawnienia lub spełnienia obowiązku wynikającego z tego przepisu. Wymogi te powinny być spełnione łącznie." Przy przyjęciu odmiennej interpretacji ww. przepisów, uczestnik zostałaby pozbawiony ochrony na gruncie RODO oraz ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych. Przyjęcie za prawidłowe stanowiska, iż przetwarzanie danych osobowych w celu uchylenia się od negatywnych skutków w przypadku zgłoszenia w przyszłości ewentualnego i nieokreślonego roszczenia, stanowi prawnie usprawiedliwiony cel w rozumieniu art. 6 ust 1 lit. f RODO oznaczałoby, że dane osobowe uczestnika mogą być przetwarzane przez Bank i Biuro permanentnie, bez konieczności ich usunięcia. Teoretycznie możliwym jest przecież, by uczestnik zwrócił się do Banku lub Biura z roszczeniem po upływie terminu przedawnienia roszczenia. Prowadziłoby to tym samym do uznania, że przetwarzanie jego danych osobowych przez Bank i BIK ma uzasadnienie w przesłance określonej art. 6 ust. 1 lit. f RODO w celu realizacji prawa do obrony przed ewentualnym roszczeniem uczestnika również po upływie ww. terminu. Zdaniem Prezesa UODOD brak jest uzasadnienia dla przyjęcia, że terminy dotyczące przedawnienia roszczeń wynikających ze stosunków zobowiązaniowych określają jednocześnie ramy czasowe, w których dane osobowe mogą być przetwarzane przez Bank i BIK. Przedawnienie roszczenia nie wywołuje skutków na gruncie ochrony danych osobowych, nie wpływa bowiem na fakt istnienia roszczenia, a powoduje jedynie zmianę w sferze zarzutów procesowych w postaci możliwości podniesienia okoliczności przedawnienia w sporze sądowym. Okolicznością usprawiedliwiającą przetwarzanie danych osobowych w celu dochodzenia roszczeń jest sam fakt istnienia roszczenia oraz zamiar jego dochodzenia, nie jest nią natomiast zmiana w uprawnieniach procesowych podmiotu pozwanego. Brak jest uzasadnienia dla przyjęcia, że Biuro jest uprawnione do przetwarzania danych osobowych pozyskanych w związku z zapytaniami złożonymi przez Bank, w związku z koniecznością ewentualnego wypełnienia obowiązku wynikającego z art. 15 RODO. Usunięcie przez administratora danych osobowych nie uniemożliwia mu wykonania obowiązku uregulowanego w art. 15 RODO, gwarantującego osobie, której dane dotyczą, prawa do uzyskania od administratora informacji, czyjej dane są przetwarzane, a w przypadku pozytywnej odpowiedzi na tak postawione pytanie – uprawnienie do dostępu do danych na swój temat oraz uzyskania informacji o okolicznościach przetwarzania danych. Jeśli bowiem, administrator nie przetwarza danych dotyczących osoby, która zwraca się z żądaniem udzielenia informacji, to działanie administratora ogranicza się do odpowiedzi przeczącej i nie ma on obowiązku podawać podmiotowi danych innych informacji (tak również: Paweł Fajgielski [w:] Ogólne rozporządzenie o ochronie danych. Ustawa o ochronie danych osobowych. Komentarz. Wolters Kluwer Polska, 2018). Brak jest ponadto uzasadnienia dla przyjęcia, że Bank jest uprawniony do przetwarzania danych osobowych w związku z koniecznością ewentualnego wypełnienia obowiązku wynikającego z art. 70a ust. 1 i ust. 2 Pr.bank. Stosownie do art. 70a ust. 1 Pr.bank. banki i inne instytucje ustawowo upoważnione do udzielania kredytów na wniosek osoby fizycznej, prawnej lub jednostki organizacyjnej niemającej osobowości prawnej, o ile posiada zdolność prawną, ubiegającej się o kredyt przekazują, w formie pisemnej, wyjaśnienie dotyczące dokonanej przez siebie oceny zdolności kredytowej wnioskującego. Stosownie zaś do art. 70a ust. 2 Pr.bank. wyjaśnienie, o którym mowa w ust. 1, obejmuje informacje na temat czynników, w tym danych osobowych wnioskującego, które miały wpływ na dokonaną ocenę zdolności kredytowej. Prezes UODO podzielił wskazywane w doktrynie stanowisko, zgodnie z którym, tu cyt. "Jeśli zaś bank - w wyniku dokonanej oceny zdolności kredytowej (przeprowadzonej zgodnie z przyjętymi rekomendacjami KNF) - nie udzieli kredytu, zatem nie dojdzie do zawarcia umowy kredytu, stan taki nie rodzi po stronie ubiegającego się o kredyt żadnych roszczeń na drodze cywilnoprawnej. Ubiegającemu się o kredyt przysługuje tylko możliwość wnioskowania o przedstawienie na piśmie przyczyn odmowy" (B. Bajor [w:] L. Kociucki, J. M. Kondek, K. Królikowska, B. Bajor, Prawo bankowe. Komentarz do przepisów cywilnoprawnych, Warszawa 2020, art. 70(a)). Podkreślił, że art. 70a Pr.bank. nie przewiduje żadnego terminu na złożenie wniosku o udzielenie informacji dotyczących odmowy udzielenia kredytu. Powyższe nie oznacza jednak, w ocenie Prezesa UODO, że można jego dane osobowe przetwarzać bezterminowo, gdyż byłoby to sprzeczne z zasadą ograniczenia przechowywania, określoną w art. 5 ust. 1 lit. e RODO. Ponadto powstanie obowiązku, o którym mowa w art. 70a ust. 1 Prawa bankowego, uzależnione jest od złożenia stosownego wniosku przez osobę ubiegającą się o kredyt. W niniejszej sprawie ustalono, że Uczestniczka składała do Banku wnioski kredytowe, w wyniku których Bank skierował do BIK przedmiotowe zapytania kredytowe, i które ostatecznie nie zakończyły się zawarciem umowy z Bankiem. Uczestniczka zwracała się do Banku o usunięcie jej danych osobowych w zakresie dotyczącym ww. zapytań kredytowych. Proces przetwarzania danych osobowych związanych z ww. zapytaniami kredytowymi zakwestionowała następnie w niniejszym postępowaniu, domagając się ochrony danych osobowych. Uwzględnienie żądania usunięcia przedmiotowych danych skutkować będzie brakiem możliwości udzielenia informacji wskazanych w art. 70a ust. 1 i 2 Prawa bankowego, z czym Uczestniczka, żądając usunięcia danych, musi się liczyć. Uczestniczka nie była więc i nie jest zainteresowana realizacją prawa do złożenia wniosku, o którym mowa w powyższym przepisie, a tym samym nie można uznać, aby stanowił on podstawę przetwarzania jej danych osobowych. Wobec powyższego, w ocenie Prezesa UODO, w niniejszej sprawie brak jest celu uzasadniającego przetwarzanie danych osobowych uczestnika zawartych w złożonych przez niego zapytaniach kredytowych, zarówno przez Bank, jak i przez Biuro. Bank w związku z pozyskaniem danych osobowych uczestnika w celu oceny zdolności kredytowej stał się administratorem tych danych. Natomiast Biuro stało się administratorem danych osobowych uczestnika z uwagi na przekazanie tych danych przez Bank. W związku z powyższym należy stwierdzić, że Bank oraz BIK są odrębnymi administratorami. Każdy z tych podmiotów przetwarza bowiem dane osobowe uczestnika we własnych celach i samodzielnie ustala sposoby ich przetwarzania. W odniesieniu do kwestionowanego przetwarzania danych osobowych przez Bank i BIK, nie zaistniała żadna z wyrażonych w art. 6 ust. 1 RODO przesłanek, która stanowiłaby o legalności tego procesu. Dlatego też, korzystając z uprawnienia przewidzianego w art. 58 ust. 2 lit. c RODO, nakazano zarówno Bankowi, jak i BIK, będącymi administratorami, usunięcie danych osobowych uczestnika przetwarzanych w związku ze złożonymi przez niego zapytaniami kredytowymi. Biuro wniosło do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na pkt 2 powołanej na wstępie decyzji Prezesa UODO z [...] sierpnia 2024 r. 2023 r., zarzucając naruszenie następujących przepisów postępowania, a mianowicie: 1. "naruszenie prawa materialnego, tj.: 1) art. 6 ust. 1 lit. c RODO w zw. z art. 105 ust. 1 pkt. 1c w zw. z art. 105 ust. 4 i w zw. z art. 105a w zw. z art. 70 i art. 5 ust. 1 pkt. 3 Prawa bankowego poprzez jego niewłaściwe zastosowanie i przyjęcie, że Skarżący nie posiada ww. podstawy prawnej do przetwarzania danych zawartych w zapytaniu kredytowym w przypadku nie zawarcia umowy kredytowej, podczas gdy BIK jest ustawowo zobowiązany do realizacji obowiązku prawnego wynikającego z ww. przepisów 0 polegającego na gromadzeniu, przetwarzaniu i udostępnianiu bankom oraz podmiotom szczegółowo wskazanym w przepisie informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych w postaci oceny zdolności kredytowej oraz analizy ryzyka kredytowego konkretnego klienta (indywidualna ocena zdolności kredytowej) oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 575/2013 z dnia 26 czerwca 2013 r. w sprawie wymogów ostrożnościowych dla instytucji kredytowych i firm inwestycyjnych, zmieniające rozporządzenie (UE) nr 648/2012 (dalej jako: rozporządzenia CRR); ewentualnie, na wypadek nieuwzględnienia ww. zarzutu, BIK zarzucił naruszenie art. 6 ust. 1 lit. f RODO poprzez jego niewłaściwe zastosowanie i przyjęcie, że BIK nie posiada podstawy prawnej przetwarzania danych Skarżącego, opartej na prawnie uzasadnionym interesie administratora oraz podmiotów trzecich wskazanych w art. 105 ust. 4 pkt. 1-5 Prawa bankowego, w postaci realizacji obowiązku gromadzenia, przetwarzania oraz udostępnienia " bankom oraz podmiotom wskazanym w ww. przepisie informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych w postaci oceny zdolności kredytowej oraz analizy ryzyka kredytowego konkretnego klienta (indywidualna ocena zdolności kredytowej), w celu budowy i utrzymania modeli scoringowych, a więc narzędzi wykorzystywanych przez banki do oceny zdolności kredytowej i analizy ryzyka kredytowego oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia CRR; 2) art. 6 ust. 1 lit. c RODO w zw. z art. 70a w zw. z art. 105 ust. 4 pkt. 1 i 2 oraz w zw. z art. 105a Prawa bankowego poprzez jego niewłaściwe zastosowanie i przyjęcie, że BIK nie posiada podstawy prawnej do przetwarzania danych Skarżącego w sytuacji nie zawarcia umowy kredytowej, podczas gdy BIK posiada podstawę prawną przetwarzania z uwagi na niezbędność przetwarzania do wykonania obowiązku prawnego przez banki i BIK, w postaci obowiązku przekazania osobie ubiegającej się o kredyt w formie pisemnej na jego wniosek wyjaśnień dotyczących dokonanej oceny zdolności kredytowej wnioskującego; 3) art. 6 ust. 1 lit. c) RODO w zw. z art. 106d ust. 1 pkt.3 Prawa bankowego w zw. z art. 39 ust. 1 w zw. z art. 33 ust. 2, art. 33 ust. 3 pkt 6, art. 34 ust. 1 pkt., art. 36 ust. 1 oraz art. 49 ust. 1 ustawy z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (t.j. Dz. U. z 2023 r. poz. 1124) (dalej jako: "AML") poprzez jego niezastosowanie i uznanie, iż na BIK nie ciążą obowiązki związane z przeciwdziałaniem praniu pieniędzy oraz finansowaniu terroryzmu, w sytuacji gdy nie doszło do zawarcia umowy kredytowej pomiędzy Uczestnikiem 2 a Bankiem - podczas gdy przepisy te nakładają na banki, a pośrednio na BIK, jako instytucję wspierającą banki w realizacji obowiązków instytucji obowiązanej, obowiązek przetwarzania danych osobowych w celu zapewnienia bezpieczeństwa obrotu gospodarczego poprzez przeprowadzenie szczegółowego badania na temat klientów, w tym przyszłych klientów, jak i badania powiązań kapitałowo-osobowych, w tym także wtedy gdy ostatecznie pomiędzy Uczestnikiem 2 a Bankiem nie została zawarta umowa kredytowa; 4) art. 6 ust. 1 lit. f RODO poprzez jego niewłaściwe zastosowanie i przyjęcie, że przetwarzanie danych osobowych dla realizacji prawnie uzasadnionych interesów administratora danych w celach zabezpieczenia roszczeń może dotyczyć wyłącznie roszczeń istniejących i aktualnie dochodzonych, i w konsekwencji nieuzasadnione przyjęcie, że prawnie uzasadniony interes administratora danych nie istnieje w sytuacji konieczności przetwarzania danych osobowych do ochrony przed roszczeniami istniejącymi, ale nie dochodzonymi w chwili dokonywania oceny, podczas gdy istotą uzasadnionego interesu administratora jest możliwość przetwarzania danych na wypadek konieczności obrony przed roszczeniami istniejącymi lub dochodzenia w przyszłości roszczeń istniejących, które w warunkach niniejszej sprawy są związane z przetwarzaniem danych osobowych na potrzeby opracowania oceny scoringowej Skarżącego niezbędnej do przeprowadzenia analizy zdolności kredytowej oraz analizy ryzyka kredytowego, które to BIK zobowiązany jest gromadzić, przetwarzać i udostępniać bankom i instytucjom ustawowo upoważnionym do udzielania kredytów dla realizacji celów ustawowych badania zdolności kredytowej; 5) art. 6 ust. 1 lit. f RODO poprzez jego niewłaściwe zastosowanie i przyjęcie, że w przypadku braku zawarcia umowy kredytowej, BIK nie posiada prawnie uzasadnionego interesu w przetwarzaniu danych Skarżącego, podczas gdy istnieje prawnie uzasadniony interes BIK w przetwarzaniu tych informacji, pomimo nie zawarcia umowy kredytowej, polegający na realizacji działań z zakresu opracowania, utrzymania aktualności i funkcjonalności zbudowanych modeli scoringowych w zgodzie z treścią Rekomendacji W, S i T Komisji Nadzoru Finansowego w zakresie dobrych praktyk i zarządzania ryzykiem kredytowym; 2. naruszenie prawa procesowego, mającego istotny wpływ na wynik sprawy, tj.: 1) art. 7 ustawy z dnia 14 czerwca 1960 r. Kodeksu postępowania administracyjnego (t.j. Dz.U. z 2024 r. poz. 572 ze zm.; dalej: k.p.a.), art. 77 k.p.a. w zw. z art. 80 k.p.a. w zw. z art. 107 § 3 k.p.a. w zw. z art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (t.j. Dz.U. z 2019 r. poz. 1781 ze zm.; dalej: u.o.d.o. poprzez niezbadanie przez Organ wszystkich podstaw prawnych dalszego przetwarzania danych o zapytaniach kredytowych, w sytuacji nieudzielenia kredytu, pomimo, iż przepisy prawa . upoważniają BIK do przetwarzania tych danych, niewystarczające wyjaśnienia podstaw prawnych decyzji oraz brak oceny istotnych okoliczności sprawy, co w konsekwencji doprowadziło do błędnego nakazania BIK usunięcia przetwarzanych danych osobowych Skarżącego oraz uniemożliwiło BIK zapoznanie się z powodami negatywnej oceny wskazanych przez BIK podstaw przetwarzania; 2) art. 7 k.p.a. w zw. z art. 77 § 1 iw zw. z art. 80 k.p.a. w zw. z art. 7 u.o.d.o., poprzez niewyczerpujące zebranie, nierozpatrzenie i błędną ocenę całokształtu materiału dowodowego, przejawiającego się w zaniechaniu dokonania wyczerpującej analizy charakteru, zakresu oraz celów gospodarczo — ekonomicznych, dla jakich zostało powołane BIK oraz obowiązków prawnych i obowiązków wynikających z zawartych przez BIK umów z bankami, skutkującą wadliwą i niepełną oceną stanu faktycznego sprawy oraz charakteru działania BIK, co w konsekwencji skutkowało nieuzasadnionym wydaniem przez Organ nakazu usunięcia danych osobowych Skarżącego; 3) art. 7b k.p.a. w zw. z art. 7 k.p.a. w zw. z art. 77 k.p.a. w zw. z art. 7 u.o.d.o. poprzez niedokładne wyjaśnienie stanu faktycznego i prawnego, koniecznego do podjęcia przez Organ stosownych czynności, a w szczególności niezwrócenie się do Komisji Nadzoru Finansowego w celu kompleksowego wyjaśniania stanu faktycznego sprawy oraz współdziałania w zakresie niezbędnym do dokładnego wyjaśnienia stanu prawnego, mając na względzie interes społeczny i słuszny interes obywateli w postaci ustalenia należytych zasad, celów i zakresu przetwarzania danych osobowych o niezrealizowanych zapytaniach kredytowych tak, by procesy przetwarzania danych czyniły zadość zarówno przepisom prawa o ochronie danych osobowych, jak i przepisom szeroko pojętego prawa bankowego, w szczególności dla zapewnienia- ochrony wartości, których gwarancje ochrony wynikają z ww. przepisów zgodnie z zasadą proporcjonalności; 4) art. 7 k.p.a., art. 77 § 1 k.p.a. i art. 80 k.p.a. poprzez zaniechanie dokonania oceny Rekomendacji S, W i T Komisji Nadzoru Finansowego jako organu właściwego do sprawowania nadzoru nad instytucjami krajowymi w rozumieniu przepisów UE (regulatora rynku finansowego), które to regulacje nakładają na banki, a w konsekwencji na BIK, jako instytucję gromadzącą dane służące do oceny zdolności kredytowej oraz budującą modele scoringowe służące bankom, określone wymagania, które podlegają nadzorowi i egzekwowaniu przez Komisję Nadzoru Finansowego na podstawie bezwzględnie obowiązujących przepisów prawa, co w konsekwencji doprowadziło do zaniechania przez Organ oceny podstaw prawnych i celów dla jakich BIK oraz banki są upoważnione do przetwarzania danych w zakresie zdolności kredytowej również w przypadku nie zawarcia umowy kredytowej dla zabezpieczenia interesów banków oraz stabilności rynku gospodarczo- finansowego; 5) art. 7 k.p.a., art. 77 k.p.a. w zw. z art. 80 k.p.a. poprzez zaniechanie wyczerpującego zebrania i rozpatrzenia materiału dowodowego, przejawiające się w szczególności brakiem dokonania analizy podstawowych zasad funkcjonowania stabilnego sektora finansowego w tym pod kątem istnienia - po stronie banków, a w konsekwencji BIK jako instytucji gromadzącej dane służące do oceny zdolności kredytowej oraz budującej modele scoringowe służące bankom - oczywistego interesu prawnego, przejawiającego się w odmowie udzielenia kredytu, wynikającego z braku istnienia zdolności kredytowej po stronie Skarżącego, co prowadzi do zabezpieczenia interesu banków przed nieodpowiedzialną polityką udzielania kredytów osobom, które nie mają szans na ich spłacenie oraz do zapewnienia stabilności gospodarczo- ekonomicznej sektora bankowego, a w ujęciu makro zapobieganiu kryzysom gospodarczym. W przedmiotowej skardze na decyzję organu BIK wniósł o: 1) uchylenie decyzji w zaskarżonej w zakresie pkt 2, na podstawie art. 145 § 1 pkt 1 lit. a) i c) p.p.s.a.; 2) zasądzenie od Organu na rzecz BIK zwrotu kosztów postępowania według norm przepisanych, w tym kosztów zastępstwa procesowego (w tym zwrotu opłaty skarbowej od pełnomocnictwa w kwocie 17 zł), na podstawie art. 200 p.p.s.a.; 3) wstrzymanie wykonania zaskarżonej decyzji w części, tj. w zakresie nakazu zawartego w pkt. 2) decyzji; W odpowiedzi na skargę Prezes UODO wniósł o jej oddalenie i odniósł się do postawionych w niej zarzutów. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje. W świetle art. 1 § 1 ustawy z dnia 25 lipca 2002 r. – Prawo o ustroju sądów administracyjnych (t.j. Dz. U. z 2022 r. poz. 2492 ze zm.), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej, przy czym stosownie do § 2 art. 1 powołanej ustawy kontrola ta sprawowana jest pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej. Skarga BIK oceniana według podanych kryteriów kontroli nie zasługuje na uwzględnienie. Zaskarżona decyzja Prezesa UODO z [...] sierpnia 2024 r. w części dotyczącej rozstrzygnięcia zawartego w punkcie 2, nie narusza prawa. Organ podjął w tej sprawie decyzję po dokonaniu wymaganych ustaleń stanu faktycznego niezbędnych do jej rozstrzygnięcia oraz swoje stanowisko należycie uzasadnił. W sprawie jest bezsporne, że przetwarzanie danych osobowych Uczestnika przez BIK powinno odbywać się z poszanowaniem przepisów RODO. Uczestnik złożył do Banku zapytania kredytowe, co jest bezsporne. Bank wskazał w toku postępowania, że pozyskał w ten sposób i przetwarza jego dane w zakresie m.in.: : imienia i nazwiska, daty urodzenia, numeru PESEL, statusu mieszkaniowego, stanu cywilnego, wykształcenia, liczby dzieci, serii i numeru dokumentu tożsamości, danych kontaktowych: adresu korespondencyjnego, danych dotyczących sytuacji ekonomicznej w tym danych dotyczących dochodów i zatrudnienia. Z BIK Bank pozyskał dane Skarżącego w zakresie dotyczącym zobowiązań finansowych i oceny punktowej (scoring) Skarżącego, Niesporny jest też ustalony cel pozyskania tych danych, tj. ocena zdolności kredytowej i ryzyka kredytowego. W sprawie jest także bezsporne, że BIK pozyskał dane osobowe Uczestnika w zakresie wskazanych zapytań kredytowych od Banku, na podstawie art.105 ust.1 pkt 1c,art 105 ust. 4, art. 105a ust. 1 Prawa bankowego oraz umowy zawartej między BIK i Bank, jak podał BIK, dane Uczestnika były przetwarzane w celu: oceny zdolności kredytowej i analizy ryzyka kredytowego( przez okres 12 miesięcy od dnia złożenia zapytania kredytowego), przeciwdziałania przestępstwom oraz wykonywania obowiązków w zakresie określonym w przepisach o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu, statystycznym i analizy (w celu dostarczenia bankom analiz m.in. pozwalających ocenić jakość polityki kredytowej na tle rynku) przez okres nie dłuższy niż – jak wskazano 10 lat od dnia złożenia zapytania oraz rozpatrywania ewentualnych reklamacji lub roszczeń odszkodowawczych klientów. Jednocześnie BIK wyjaśnił, że Skarżący nie wystosował do BIK konkretnego roszczenia, reklamacji, wniosku czy odwołania. BIK także nie wystosował do Skarżącego konkretnego roszczenia związanego z przedmiotowymi zapytaniami kredytowymi. BIK przetwarza dane Skarżącego również z uwagi na konieczność wypełnienia ustawowego obowiązku wynikającego z art. 15 RODO w przypadku wystąpienia przez osobę, której dane dotyczą z wnioskiem o udzielenie informacji. BIK wyjaśnił także, że przetwarza dane osobowe Skarżącego w związku z przedmiotowymi zapytaniami kredytowymi w celu realizacji wniosków klientów banków dotyczących wyjaśnień dokonanej oceny zdolności kredytowej na podstawie art. 70a ustawy Prawa bankowego. Ponadto w wyjaśnieniach BIK zostało zawarte odniesienie do konieczności realizacji przezeń obowiązków wynikających z przepisów rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 575/2013 z dnia 26 czerwca 2013 r. w sprawie wymogów ostrożnościowych dla instytucji kredytowych oraz zmieniające rozporządzenie (UE) nr 648/2012 (DZ. U. L 2013.176.1 ze zm.), zwane dalej CRR. W tym celu, jak wskazał BIK, będzie on przetwarzał dane Skarżącego przez okres 10 lat od momentu złożenia każdego z zapytań kredytowych. Ponadto Skarżący nie zwracał się wobec BIK z wnioskiem o usunięcie danych osobowych przetwarzanych w systemach BIK (dowód: wyjaśnienia BIK z dnia [...] listopada 2021 r. oraz wyjaśnienia BIK z dnia [...] października 2022 r.). Podstawy przetwarzania danych osobowych Uczestnika wymienione podmioty finansowe upatrują w przesłance legalizującej z art. 6 ust. 1 lit. f RODO, dodatkowo też w art. 6 ust. 1 lit. c RODO. Dokonując oceny zgodności z prawem zaskarżonej decyzji w zakresie 2, którą Prezes UODO nakazał BIK usunięcie danych osobowych Uczestnika w zakresie wynikającym z zapytań kredytowych – przetwarzanych pomimo braku zawarcia z uczestnikiem umowy kredytowej– wskazać na wstępie należy, że zgodnie z motywem 40 RODO, aby przetwarzanie danych było zgodne z prawem, powinno się odbywać na podstawie zgody osoby, której dane dotyczą, lub na innej uzasadnionej podstawie przewidzianej prawem: albo w niniejszym rozporządzeniu, albo w innym akcie prawnym Unii lub w prawie państwa członkowskiego, o których mowa w niniejszym rozporządzeniu, w tym musi się ono odbywać z poszanowaniem obowiązku prawnego, któremu podlega administrator, lub z poszanowaniem umowy, której stroną jest osoba, której dane dotyczą, lub w celu podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy. Powyższe znalazło wyraz w art. 6 ust. 1 RODO określającym przesłanki legalności przetwarzania danych osobowych. Zgodnie z tym przepisem, przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy - i w takim zakresie, w jakim - spełniony jest co najmniej jeden z poniższych warunków: a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów; b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy; c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze; d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej; e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi; f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Akapit pierwszy lit. f) nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań. Zgodnie z art. 105a ust. 1 Prawa bankowego, przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów, instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy o kredycie konsumenckim, a także instytucje utworzone na podstawie art. 105 ust. 4, informacji stanowiących tajemnicę bankową i informacji udostępnionych przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy o kredycie konsumenckim, w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem art. 104, art. 105 i art. 106-106d, w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Zgodnie z art. 70 ust. 1 Prawa bankowego, bank uzależnia przyznanie kredytu od zdolności kredytowej kredytobiorcy. Przez zdolność kredytową rozumie się zdolność do spłaty zaciągniętego kredytu wraz z odsetkami w terminach określonych w umowie. Kredytobiorca jest obowiązany przedłożyć na żądanie banku dokumenty i informacje niezbędne do dokonania oceny tej zdolności. Analiza powyższych przepisów wskazuje, że BIK, na podstawie art. 105a ust. 1 Prawa bankowego w zw. z art. 70 ust. 1 tej ustawy, były uprawniony do przetwarzania danych osobowych Uczestnika w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Niemniej art. 105a ust. 2 Prawa bankowego stanowi, że instytucje, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową oraz informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy o kredycie konsumenckim, w zakresie dotyczącym osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d tej ustawy, pod warunkiem uzyskania pisemnej zgody osoby, której informacje te dotyczą, z zastrzeżeniem ust. 2a. Zgoda ta może być w każdym czasie odwołana. Ust. 3 zaś stanowi, że Banki, instytucje oraz podmioty, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową i informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy o kredycie konsumenckim, dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d tej ustawy, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy o kredycie konsumenckim, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank, inną instytucję ustawowo upoważnioną do udzielania kredytów, instytucję pożyczkową albo podmiot, o którym mowa w tym przepisie, o zamiarze przetwarzania dotyczących jej tych informacji, bez jej zgody. Kolejne przepisy wskazują, że banki oraz instytucje, o których mowa w art. 105 ust. 4, mogą przetwarzać stanowiące tajemnicę bankową informacje dotyczące osoby fizycznej po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której informacje dotyczą, do celów stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 575/2013 z dnia 26 czerwca 2013 roku w sprawie wymogów ostrożnościowych dla instytucji kredytowych i firm inwestycyjnych, zmieniające rozporządzenie (UE) nr 648/2012; dalej "rozporządzenie nr 575/2013" (ust. 4). Przetwarzanie informacji stanowiących tajemnicę bankową w przypadkach, o których mowa w ust. 3, może być wykonywane przez okres nie dłuższy niż 5 lat od dnia wygaśnięcia zobowiązania, a w przypadku, o którym mowa w ust. 4, przez okres 12 lat od dnia wygaśnięcia zobowiązania (ust. 5). Zakres przetwarzanych informacji, o których mowa w ust. 3 i 4, może obejmować dane dotyczące osoby fizycznej lub dane dotyczące zobowiązania (ust. 6). W analizowanym przypadku nie doszło jednak do zawarcia umowy kredytowej pomiędzy Uczestnikiem a Bankiem. Zgodzić się należy w związku z powyższym z Prezesem UODO, że odpadła przesłanka legalizująca dalsze przetwarzanie danych osobowych Uczestnika przez Bank oraz BIK, które to przetwarzanie miało na celu – co wymaga podkreślenia – ocenę zdolności kredytowej i analizę ryzyka kredytowego (przed zawarciem umowy). Pomiędzy Bankiem a wymienioną osobą fizyczną nie zawiązał się żaden stosunek zobowiązaniowy, który stosownie do art. 105a ust. 1 - 6 Prawa bankowego, dawałby podstawę do dalszego przetwarzania jego danych osobowych zarówno przez Bank jak i BIK. Ustał cel przetwarzania, dla którego pozyskano dane osobowe i nie ma spełnionej przesłanki ich dalszego przetwarzania, co trafnie stwierdził organ właściwy do spraw ochrony danych osobowych. Z przedstawionych wyżej przepisów wynika, że przesłanki zawarte w art. 105a Prawa bankowego dotyczą przetwarzania informacji objętych tajemnicą bankową w okresie przed powstaniem zobowiązania, w trakcie jego trwania oraz po wygaśnięciu zobowiązania. Natomiast w sytuacji, gdy w następstwie złożenia wniosku kredytowego nie dochodzi do zawarcia umowy kredytowej z Bankiem, jak miało to miejsce w niniejszej sprawie, brak jest ustawowych przesłanek legalizujących dalsze przetwarzanie danych osobowych wnioskującego o zawarcie i wykonanie umowy produktowej w zakresie zapytania kredytowego przez Bank, a następczo BIK. Wobec braku zgody osoby zainteresowanej produktem finansowym Banku na przetwarzanie jej danych osobowych po negatywnym rozpatrzeniu jej wniosku o kredyt (art. 6 ust. 1 lit. a RODO), odpadła przesłanka dopuszczalności przetwarzania przez BIK danych wymienionej osoby zawartych w zapytaniu kredytowym. Nie może bowiem budzić wątpliwości, że ocena zdolności kredytowej i ryzyka kredytowego ma charakter czynności wstępnych przed zawarciem umowy przez Bank. Dalsze przetwarzanie danych, uzyskanych pierwotnie wyłącznie w celu oceny zdolności kredytowej i analizy ryzyka kredytowego, w przypadku braku zawarcia stosownej umowy, pozostaje w oderwaniu od celu, dla którego dane zostały zebrane. Na gruncie RODO niedopuszczalne jest – w takim stanie faktycznym, jak w niniejszej sprawie, gdy nie zawarto umowy kredytowej – przetwarzanie danych osobowych "na przyszłość" w zupełnie innych celach niż je zebrano, w tym na potrzeby oceny zdolności kredytowej innych podmiotów, w sytuacji, gdy nie można zrekonstruować wyraźnej podstawy prawnej takich działań. W sprawie niewątpliwie nie mamy do czynienia z sytuacją, w której nawiązano stosunek zobowiązaniowy i następnie dane przetwarzane są (w tym także udostępniane) przez administratora nie tylko w celu zasadniczym, tj. realizacji zawartej z klientem umowy, ale także w innych celach, które powstały w trakcie trwania stosunku zobowiązaniowego i które w ocenie administratora winny być, czy mogą być – w związku z trwającym stosunkiem prawnym - kwalifikowane jako jego "prawnie uzasadnione interesy" na gruncie RODO (art. 6 ust. 1 lit. f RODO). Przypadek taki nie zachodzi w niniejszej sprawie. Rozpatrywana sprawa dotyczy – co wymaga raz jeszcze podkreślenia – przetwarzania danych osoby fizycznej, z którą Bank nie zawarł umowy. Ustał tym samym cel przetwarzania jej danych osobowych wynikający z art. 105a ust. 1 w zw. z art. 70 ust. 1 Prawa bankowego, albowiem po odmowie przyznania produktu finansowego osoba zainteresowana wniosła o zaprzestanie przetwarzania danych i ich usunięcie. Podstawy do dalszego przetwarzania danych osobowych Uczestnika (na przyszłość i w innych wskazywanych obecnie przez BIK celach) nie stanowi w tej sprawie, w jej okolicznościach faktycznych, dla BIK żadna z przesłanek z art. 6 ust. 1 lit. b - f RODO. W szczególności nie stanowi takiej przesłanki art. 6 ust. 1 lit. c RODO. Przepis ten dotyczy bowiem sytuacji, gdy przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego administratora danych, a nie realizacji uprawnienia, o którym mowa w art. 105 ust. 4 Prawa bankowego. Ponadto przepis art. 105 ust. 4 Prawa bankowego nie stanowi o dopuszczalności przetwarzania danych osobowych dotyczących wniosków kredytowych w sytuacji, gdy nie doszło do zawarcia umowy z Bankiem. W tym przypadku ustał cel oceny zdolności kredytowej i analizy ryzyka kredytowego. Przepis art. 105a ust. 1a, 1b, 1c Prawa bankowego, dotyczy określenia warunków dopuszczalności zautomatyzowanego przetwarzania, w tym profilowania danych osobowych w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Powyższe przepisy w żaden sposób nie dają podstawy do przetwarzania "na przyszłość" danych osoby, z którą umowy nie zawarto, a cel, dla którego dane zebrano ustał. Brzmienie art. 105a Prawa bankowego nie daje podstaw do dalszego przetwarzania danych po zakończeniu oceny zdolności kredytowej i analizy ryzyka kredytowego, a także wówczas, gdy wnioskodawca zrezygnował z zaciągnięcia kredytu. Na podstawie powołanych przepisów BIK, nie tylko nie ma obowiązku ich dalszego przetwarzania, ale nie ma również uprawnienia w tym zakresie w sytuacji, gdy umowy nie zawarto i nie wykazano przesłanki legalizującej to działanie. Powyższa konkluzja pozostaje w zgodzie z akceptowaną w pełni przez skład orzekający w niniejszej sprawie ugruntowaną linią orzeczniczą sądów administracyjnych, której przykładem jest m.in. wyrok Naczelnego Sądu Administracyjnego z dnia 27 sierpnia 2019 r., sygn. akt I OSK 2567/17, zgodnie z którym cyt.: "(...) cel oceny zdolności kredytowej stanowi ocena zdolności do spłaty zaciągniętego kredytu wraz z odsetkami, co ma charakter czynności wstępnej do zawarcia stosownej umowy. Dalsze przetwarzanie danych uzyskanych w celu oceny zdolności kredytowej, w przypadku nie zawarcia stosownej umowy pozostawałaby w oderwaniu od celu dla którego dane te uzyskano. (...) niedopuszczalne jest przetwarzanie danych osobowych na przyszłość, a także na potrzeby budowy oceny zdolności kredytowej innych podmiotów, jeżeli nie można zrekonstruować wyraźnej podstawy prawnej takich działań". Pogląd ten wyrażony został wprawdzie na gruncie poprzednio obowiązującej ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych i obowiązującej przed RODO Dyrektywy 95/46 WE, jednakże w ocenie Sądu nie stracił na aktualności. Przepisy RODO wzmacniają jeszcze w porównaniu z Dyrektywą 95/46 ochronę danych osób fizycznych. Aktualności tego poglądu Naczelnego Sądu Administracyjnego nie zmienia także fakt, że BIK, przyjął w swej praktyce określone terminy dalszego przetwarzania danych osobowych osoby, z którą nie zawarto umowy kredytu. Zatem ustalenia Prezesa UODO odnośnie do braku dopuszczalności przetwarzania danych Uczestnika w zakresie zapytań kredytowych wskazanych w decyzji są prawidłowe. Nakaz zawarty zarówno w punkcie 2 decyzji jest przy tym jasny, nie ma wątpliwości co do jego zakresu i jest wykonalny. Zakres usunięcia danych osobowych obejmuje dane osobowe zgromadzone w celu rozpatrzenia wniosków kredytowych. Dane te zostały precyzyjnie wskazane przez Bank i BIK w pismach wyjaśniających złożonych do akt sprawy w postępowaniu administracyjnym. Wymaga w tym miejscu podkreślenia, że zgodnie z art. 5 ust. 1 RODO, dane osobowe muszą być: a) przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą ("zgodność z prawem, rzetelność i przejrzystość"); b) zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami; dalsze przetwarzanie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych nie jest uznawane w myśl art. 89 ust. 1 za niezgodne z pierwotnymi celami ("ograniczenie celu"); c) adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane ("minimalizacja danych"); d) prawidłowe i w razie potrzeby uaktualniane; należy podjąć wszelkie rozsądne działania, aby dane osobowe, które są nieprawidłowe w świetle celów ich przetwarzania, zostały niezwłocznie usunięte lub sprostowane ("prawidłowość"); e) przechowywane w formie umożliwiającej identyfikację osoby, której dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane; dane osobowe można przechowywać przez okres dłuższy, o ile będą one przetwarzane wyłącznie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych na mocy art. 89 ust. 1 z zastrzeżeniem, że wdrożone zostaną odpowiednie środki techniczne i organizacyjne wymagane na mocy niniejszego rozporządzenia w celu ochrony praw i wolności osób, których dane dotyczą ("ograniczenie przechowywania"); f) przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych ("integralność i poufność"). Przedstawione zasady przetwarzania danych nie pozwalają na arbitralne decydowanie przez administratora – w sytuacji braku do tego podstaw – o dalszym przetwarzaniu (a zatem ich m.in. ujawnianiu poprzez przesyłanie, udostępnianie, utrwalanie, organizowanie, adaptowanie, modyfikowanie) danych osobowych mimo ustania celu, dla którego dane w zapytaniu kredytowym były zebrane. Kwestia sposobu funkcjonowania BIK systemu oceny zdolności kredytowej nie może stanowić sama w sobie podstawy do przetwarzania danych osobowych na przyszłość. Stanowiłoby to nieuprawnione rozszerzenie stosowania normy wskazanej w art. 105a ust. 1 Prawa bankowego na sytuacje, w których nie dochodzi do zawarcia umowy, a dane osobowe osoby wnioskującej o kredyt są przetwarzane w celu oceny ryzyka kredytowego. BIK wskazuje bowiem, że dla takiej oceny istotna jest informacja o składanych wcześniej przez daną osobę wnioskach kredytowych i fakcie nieudzielenie jej kredytu. Sąd nie neguje, że ocena ryzyka kredytowego jest obowiązkiem Banku i dokonywana jest przy pomocy BIK. Instrumenty służące dokonaniu takiej oceny przez Banki i BIK muszą jednak być stosowane z poszanowaniem przepisów prawa normujących uprawnienie do przetwarzania danych osobowych potencjalnych klientów pry uwzględnieniu generalnych zasad przetwarzania danych osobowych (art. 5 RODO). Odnosząc się do zarzutów i twierdzeń BIK, że legitymują się przesłanką przetwarzania danych wynikającą z art. 6 ust. 1 lit. f RODO w związku z rekomendacjami S, W i T Komisji Nadzoru Finansowego, które to nakładają na banki określone wymagania, które następnie podlegają egzekwowaniu przez Komisję Nadzoru Finansowego, na podstawie bezwzględnie obowiązujących przepisów, stwierdzić należy, iż zarzuty te nie zasługują – w ocenie Sądu – na uwzględnienie. Wskazać w tym miejscu należy, że źródłami powszechnie obowiązującego prawa w Rzeczypospolitej Polskiej są: Konstytucja, ustawy, ratyfikowane umowy międzynarodowe oraz rozporządzenia (art. 87 ust. 1 Konstytucji RP). Nie ulega zatem wątpliwości, że rekomendacje KNF nie są aktami prawa powszechnie obowiązującego. Nie mieszczą się bowiem w zamkniętym katalogu źródeł powszechnie obowiązującego prawa Rzeczypospolitej Polskiej, określonym w art. 87 Konstytucji RP. Ponadto wydaje je organ, który nie ma stosownego umocowania konstytucyjnego. W świetle dychotomiczności i konstytucyjnego systemu źródeł prawa problem stanowi jednak również klasyfikacja rekomendacji jako przepisów prawa o charakterze wewnętrznym w rozumieniu art. 93 ust. 1 Konstytucji RP. Za uznaniem rekomendacji jako elementu systemu aktów prawa wewnętrznego opowiedział się Sąd Najwyższy w postanowieniu z 7 grudnia 1999 r., sygn. akt I CKN 796/99, LEX nr 38875, odnoszącym się do Komisji Nadzoru Bankowego (poprzednika KNF). Jednakże duża część doktryny reprezentuje stanowisko, że rekomendacje KNF nie mają charakteru normatywnego (jako akty prawa wewnętrznego w rozumieniu art. 93 Konstytucji RP), lecz – stanowiąc jedynie postulat pod adresem banków dotyczący prawidłowej organizacji banku – charakter nie władczych form działania administracji (Agnieszka Mikos-Sitek (red.), Zapadka Piotr (red.), "Prawo bankowe. Komentarz", WKP 2022, teza 3 do art. 137). W świetle powyższego brak jest podstaw do przyjęcia, że wskazane przez BIK rekomendacje mogą stanowić źródło obowiązku prawnego ciążącego na administratorze, o którym mowa w art. 6 ust. 1 lit. c RODO lub źródło prawnie uzasadnionych interesów realizowanych przez administratora w rozumieniu art. 6 ust. 1 lit. f RODO. Z tego też względu za całkowicie chybiony uznać należy zarzut naruszenia art. 7b Kpa., polegającego na zaniechaniu zwrócenia się przez Prezesa UODO do Komisji Nadzoru Finansowego jako organu właściwego w sprawach związanych z rynkiem finansowym i jego regulowaniem w celu kompleksowego wyjaśnienia stanu faktycznego sprawy oraz współdziałania w zakresie niezbędnym do dokładnego wyjaśnienia stanu prawnego. Za prawnie usprawiedliwiony cel w rozumieniu art. 6 ust. 1 lit. f RODO nie może zostać uznane przetwarzanie danych osobowych na wypadek ewentualnego dochodzenia lub obrony roszczeń. Zebrany w niniejszym postępowaniu materiał dowodowy nie wykazał, aby Uczestnik wystąpił z jakimkolwiek roszczeniem wobec BIK, które uzasadniałoby uprawnienie do zachowania i przetwarzania jego danych osobowych dla celów dowodowych w związku z dochodzeniem przez niego roszczenia. BIK nie wskazał także na istnienie roszczeń, których dochodzi od Uczestnika. Okolicznością usprawiedliwiającą przetwarzanie danych osobowych w celu dochodzenia roszczeń jest sam fakt istnienia roszczenia oraz rzeczywisty zamiar jego dochodzenia. Przyjęcie poglądu Banku skutkowałoby tym, że dane osobowe Uczestnika mogłyby być przetwarzane w nieskończoność, gdyż upływ terminu przedawnienia nie uniemożliwia dochodzenia roszczeń, skoro nie powoduje ich wygaśnięcia (wywołuje przecież wyłącznie zmianę w sferze zarzutów procesowych). BIK w swojej skardze zarzucił w pierwszej kolejności naruszenie art. 6 ust. 1 lit. c RODO w zw. z art. 105 ust. 1 pkt 1c w zw. z art. 105 ust. 4 oraz w zw. z art. 105a w zw. z art. 70 i art. 5 ust. 1 pkt 3 Prawa bankowego. Odnośnie do tego zarzutu podnieść należy, że przedstawione wyżej stanowisko Sądu dotyczące art. 105a Prawa bankowego jest aktualne również wobec zarzutu postawionego przez BIK. Natomiast art. 105 ust. 1 pkt 1c Prawa bankowego stanowi, że bank ma obowiązek udzielenia informacji stanowiących tajemnicę bankową wyłącznie instytucjom, o których mowa w ust. 4, w zakresie niezbędnym do stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w przepisach części trzeciej rozporządzenia nr 575/2013. Przepis ten stanowi o obowiązku udzielania przez banki informacji stanowiących tajemnicą bankową podmiotowi, jakim jest BIK. Przepis ten nie odnosi się do przetwarzania danych przez BIK w zakresie niezbędnym do stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w przepisach części trzeciej rozporządzenia nr 575/2013. O przetwarzaniu danych przez BIK w tym celu stanowi powołany wyżej art. 105a ust. 4 Prawa bankowego, który, przypomnieć należy, uprawnia do tego BIK bez zgody osoby, której informacje dotyczą, ale "po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów". Przepis art. 70 Prawa bankowego stanowi natomiast wyłącznie o badaniu przez banki zdolności kredytowej i nie zawiera regulacji dotyczących przetwarzania danych osobowych. Natomiast art. 5 ust. 1 pkt 3 tej ustawy wskazuje, że czynnością bankową jest udzielanie kredytów. Zaś art. 105 ust. 4 Prawa bankowego nie mógł zatem stanowić w niniejszej sprawie podstawy przetwarzania danych osobowych Uczestnika przez BIK zarówno samodzielnie, jak i w powiązaniu z art. 105 ust. 1 pkt 1c, art. 105a, art. 70 i art. 5 ust. 1 pkt 3 Prawa bankowego. Niezasadne są też zarzuty BIK dotyczące naruszenia art. 6 ust. 1 lit. c) RODO w zw. z art. 106d Prawa bankowego, jak i w związku z przepisami ustawy AML. Zgodnie z art. 106d ust. 1 Prawa bankowego Banki, inne instytucje ustawowo upoważnione do udzielania kredytów, izby rozliczeniowe utworzone na podstawie art. 67, instytucje utworzone na mocy art. 105 ust. 4, instytucje pożyczkowe, podmioty, których podstawowa działalność polega na udostępnianiu składników majątkowych na podstawie umowy leasingu, oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, mogą przetwarzać i wzajemnie udostępniać informacje, w tym informacje objęte tajemnicą bankową, w przypadkach: 1) uzasadnionych podejrzeń, o których mowa w art. 106a ust. 3; 2) uzasadnionych podejrzeń popełnienia przestępstw dokonywanych na szkodę banków, innych instytucji ustawowo upoważnionych do udzielania kredytów, instytucji kredytowych, instytucji finansowych, instytucji pożyczkowych oraz podmiotów, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, i ich klientów, w celu i zakresie niezbędnym do zapobiegania tym przestępstwom; 3) wykonywania obowiązków w zakresie określonym w przepisach o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu. Art. 106a ust. 3 Prawa bankowego, do którego odwołano się w art. 106d ust. 1 pkt 1 stanowi, że w przypadku powzięcia uzasadnionego podejrzenia, że zgromadzone na rachunku bankowym środki, w całości lub w części pochodzą lub mają związek z przestępstwem skarbowym lub przestępstwem innym niż przestępstwo, o którym mowa w art. 165a lub art. 229 Kodeksu karnego, bank jest uprawniony do dokonania blokady środków na tym rachunku. Blokada może nastąpić wyłącznie do wysokości zgromadzonych na rachunku środków, co do których zachodzi takie podejrzenie. Należy zauważyć, że art. 33 ust. 1 ustawy AML nakłada na instytucje obowiązane obowiązek m.in. stosowania wobec swoich klientów środków bezpieczeństwa finansowego, których zakres (katalog) znajduje się w art. 34 ustawy AML. Artykuł 34 ust. 1 ustawy AML odnosi się m.in. do bieżącego monitorowania stosunków gospodarczych klienta (w tym analizę transakcji przeprowadzanych w ramach stosunków gospodarczych, badanie źródła pochodzenia wartości majątkowych będących w dyspozycji klienta - w przypadkach uzasadnionych okolicznościami, zapewnienie, że posiadane dokumenty, dane lub informacje dotyczące stosunków gospodarczych są na bieżąco aktualizowane). Art. 35 wskazuje sytuacje, w których bank jest obowiązany stosować środki bezpieczeństwa finansowego. Art. 36 ustawy AML dotyczy kwestii identyfikacji klienta. Na podstawie art. 49 ust. 1 tej ustawy kopie dokumentów i informacje uzyskane w wyniku stosowania środków bezpieczeństwa finansowego a także dowody potwierdzające przeprowadzone transakcje i ewidencje transakcji, obejmujące oryginalne dokumenty lub kopie dokumentów konieczne do identyfikacji transakcji, przechowuje się przez okres 5 lat licząc od pierwszego dnia roku następującego po roku, w którym zakończono stosunki gospodarcze z klientem lub w którym przeprowadzono transakcje okazjonalne. W przypadku dokonania analizy przeprowadzonej transakcji i udokumentowania jej analizy zgodnie z art. 34 ust. 3 ustawy AML, instytucja pożyczkowa na mocy art. 49 ust. 2 ustawy AML jest obowiązana do przechowywania jej wyników przez okres 5 lat, licząc od pierwszego dnia roku następującego po roku ich przeprowadzenia. Z wymienionych wyżej przepisów prawa niewątpliwie wynika uprawnienie do monitorowania stosunków gospodarczych klienta i stosowania odpowiednich środków bezpieczeństwa finansowego, co nie ma zupełnie odniesienia do niniejszej sprawy. Bank nie wskazał jakie działania (w sferze stosunków gospodarczych niedoszłego klienta, osoby, z którą nie zawarł umowy kredytowej) chciałby monitorować. Nie jest dla Sądu działaniem zrozumiałym powoływanie się przez Bank w kontekście tych przepisów na konieczność monitorowania niedookreślonych stosunków gospodarczych między bankiem a osobą, z którą nie zawarto umowy kredytowej i która nie jest klientem banku. Ogólne twierdzenia Banku o celu w postaci "zapewnienia bezpieczeństwa obrotu gospodarczego" nie mogą stanowić – w stanie faktycznym tej sprawy – podstawy legalizującej rozszerzanie podstaw i celów przetwarzania danych osobowych wnioskodawcy. Z akt sprawy i wyjaśnień Banku w żaden sposób nie wynika, aby wyżej wymienionego łączyły stosunki gospodarcze z bankiem, a nadto, aby Bank powziął podejrzenia, czy stwierdził próbę manipulacji. Powołana ustawa w art. 2 ust. 2 pkt 2 stanowi, że przez stosunki gospodarcze rozumie się stosunki instytucji obowiązanej z klientem związane z działalnością zawodową instytucji obowiązanej, które w chwili ich nawiązywania wykazują cechę trwałości. Z akt sprawy i wyjaśnień Banku nie wynika przy tym, aby wnioskodawca był klientem Banku w rozumieniu tego pojęcia ujętym w ustawie AML. W przypadku braku nawiązaniu stosunków gospodarczych pomiędzy Bankiem a wnioskodawcą brak jest zaistnienia zdarzeń wymienionych w art. 49 ust. 1 ustawy AML, tj. zakończenia stosunków gospodarczych z klientem lub przeprowadzenia transakcji okazjonalnej, od wystąpienia których można dopiero liczyć wskazany w ww. przepisie termin przetwarzania danych osobowych. Z ww. przepisów wynika uprawnienie do monitorowania stosunków gospodarczych klienta i stosowania odpowiednich środków bezpieczeństwa finansowego. Nie ma to jednak odniesienia do rozpoznawanej sprawy, gdy nie zawarto umowy kredytowej i nie można mówić o transakcji. Ogólne twierdzenia o celu w postaci "zapewnienia bezpieczeństwa obrotu gospodarczego" nie mogą stanowić – w stanie faktycznym tej sprawy – podstawy legalizującej rozszerzanie podstaw i celów przetwarzania danych osobowych Uczestnika postępowania. W art. 2 ust. 2 pkt 2 AML wskazano, że przez stosunki gospodarcze rozumie się stosunki instytucji obowiązanej z klientem związane z działalnością zawodową instytucji obowiązanej, które w chwili ich nawiązywania wykazują cechę trwałości. Rozszerzanie zatem przez BIK dopuszczalności przetwarzania danych (zawartych w zapytaniu kredytowym) osoby, z którą nie zawarto umowy kredytowej, z powołaniem się na "zapewnienie bezpieczeństwa obrotu gospodarczego", a zatem szeroko rozumiane, ogólne cele, nie znajduje podstawy na gruncie RODO i jest wprost sprzeczne z zasadą ograniczenia celu (art. 5 ust. 1 lit. b RODO), w sytuacji, gdy nie ma mowy o nawiązaniu stosunku zobowiązaniowego. Mając powyższe na uwadze, w ocenie Sądu, w niniejszej sprawie nie została spełniona żadna z przesłanek wskazanych w zarzutach skargi (art. 6 ust. 1 lit. c, f RODO), która legitymizowałaby przetwarzanie danych osobowych Uczestniczki po zakończeniu procesu rozpatrywania jej wniosku kredytowego. Nieuzasadnione są również zarzuty skarg dotyczące naruszenia przepisów prawa procesowego, tj. art. 7, art. 77 § 1 oraz art. 80 Kpa., bowiem organ prawidłowo zebrał i ocenił zgromadzony w sprawie materiał dowodowy, opierając się na wyjaśnieniach Banku oraz BIK dotyczących przetwarzania danych osobowych Uczestnika zawartych we wniosku kredytowym. Uzasadnienie decyzji odpowiada zaś wymogom określonym w art. 107 § 3 Kpa.. W szczególności nieuzasadniony jest również, o czym wspomniano powyżej, zarzut naruszenia art. 7b Kpa. poprzez zaniechanie zwrócenia się do Komisji Nadzoru Finansowego w celu kompleksowego wyjaśnienia stanu faktycznego sprawy. Zgodnie z art. 7b Kpa. w toku postępowania organy administracji publicznej współdziałają ze sobą w zakresie niezbędnym do dokładnego wyjaśnienia stanu faktycznego i prawnego sprawy, mając na względzie interes społeczny i słuszny interes obywateli oraz sprawność postępowania, przy pomocy środków adekwatnych do charakteru, okoliczności i stopnia złożoności sprawy. W ocenie Sądu stan faktyczny i prawny sprawy został przez organ prawidłowo ustalony i należycie rozpatrzony w oparciu o zgromadzony materiał dowodowy, w tym w oparciu o wyjaśnienia Banku oraz BIK. Nie zachodziły więc przesłanki do podjęcia przez Prezesa UODO współdziałania z innymi organami administracji publicznej w oparciu o ww. przepis w celu wydania rozstrzygnięcia w sprawie. Wskazać należy, że Prezes UODO jest wyspecjalizowanym organem ochrony danych osobowych, jedynym powołanym i uprawnionym do monitorowania i egzekwowania RODO, a nadto do upowszechniania wśród administratorów i podmiotów przetwarzających wiedzę o obowiązkach spoczywających na nich na mocy RODO (art. 51, art. 52, art. 57, motyw 123, motyw 129 RODO, v. podobnie wyrok WSA w Warszawie z dnia 21 kwietnia 2022 r., sygn. akt II SA/Wa 3131/21, wyrok WSA z dnia 5 maja 2021 r. sygn. akt II SA/Wa 1982/20, orzeczenia.nsa.gov.pl). Zdaniem Sądu, nie ma wątpliwości, że organ dokonał w tej sprawie niezbędnych dla jej rozstrzygnięcia ustaleń faktycznych. W zakresie mającym znaczenie dla sprawy organ zebrał niezbędny materiał dowodowy, zwracał się do stron o udzielenie stosownych wyjaśnień, strony wyjaśnień tych udzieliły. Organ rozpatrzył wszechstronnie i należycie zgromadzony materiał dowodowy, a ocena tego materiału na gruncie przepisów RODO nie budzi zdaniem Sądu zastrzeżeń, jest prawidłowa. Odmienna ocena BIK w zakresie wykładni i zastosowania powołanych przez organ przepisów prawa nie stanowi o naruszeniu przepisów postępowania, w tym art. 7, 77 i 80 k.p.a. Organ nie kwestionował w zaskarżonej decyzji uprawnień instytucji finansowych w tym BIK do dokonywania ustaleń i ocen w zakresie zdolności kredytowej. Przedmiotem sprawy była ocena zgodności z prawem "dalszego" przetwarzania danych osobowych wymienionej wyżej osoby zawartych w pięciu zapytaniach kredytowych z dnia z [...] stycznia 2021 r., [...] stycznia 2021 r., [...] lutego 2021 r., [...] marca 2021 r. i [...] maja 2021 r., bowiem to przetwarzanie danych było przez wnioskodawcę kwestionowane. Uprawnienie do dokonania oceny w tym przedmiocie Prezes UODO bezspornie posiada na gruncie RODO, jako organ wyspecjalizowany. Gromadząc materiał dowodowy nie był przy tym obowiązany do dokonania analizy funkcjonowania sektora finansowego pod kątem wskazywanym w skargach, bowiem aspekt uprawnienia banku i BIK do oceny zdolności kredytowej i analizy ryzyka kredytowego nie budził żadnych wątpliwości u Prezesa UODO, co znalazło wyraz w uzasadnieniu zaskarżonej decyzji. Reasumując Sąd stwierdza, że decyzja Prezesa UODO jest zgodna z prawem, zaś zarzuty skarg nie zasługiwały na uwzględnienie. Orzecznictwo Wojewódzkiego Sądu Administracyjnego w Warszawie w tych sprawach jest jednolite i znajduje potwierdzenie w orzeczeniach Naczelnego Sadu Administracyjnego w Warszawie (patrz: III OSK 6563/21 wyrok Naczelnego Sądu Administracyjnego z dnia 13 lutego 2025r.). Mając na względzie powyższe, Sąd na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. – Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz.U. z 2023 r. poz. 1634 ze zm.) orzekł jak w sentencji wyroku.