II SA/Wa 1777/24

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Łukasz Krzycki (spr.), Sędzia WSA Andrzej Wieczorek, Asesor WSA Anna Pośpiech-Kłak, , Protokolant starszy specjalista Bogumiła Kobierska po rozpoznaniu na rozprawie w dniu 6 maja 2025 r. sprawy ze skarg [...] Bank Polska S.A. z siedzibą w [...] oraz Biur[...] S.A. z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] sierpnia 2024 r. nr [...] w przedmiocie przetwarzania danych osobowych 1) uchyla zaskarżoną decyzję; 2) zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz [...] Bank Polska S.A. z siedzibą w [...] kwotę 697 (słownie sześćset dziewięćdziesiąt siedem) złotych, tytułem zwrotu kosztów postępowania; 3) zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz [...] S.A. z siedzibą w [...] kwotę 697 (słownie sześćset dziewięćdziesiąt siedem) złotych, tytułem zwrotu kosztów postępowania. Zaskarżoną decyzją – przywołując art. 58 ust. 2 lit. b i c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.Urz. UE L. nr 119. str. 1, ze zm.), zwanego dalej "RODO", wobec skargi p. C. O., (dalej "Wnioskodawca") na nieprawidłowości w procesie przetwarzania jego danych osobowych przez [...] Bank [...] S.A., (dalej "Bank"), polegające na przetwarzaniu danych osobowych dotyczących zapytań kredytowych z [...] i [...] marca 2020 r. (odpowiednio jako "Zapytanie I" i "Zapytanie II"), bez podstawy prawnej w Biurze Informacji Kredytowej S.A. (dalej "BIK"): – udzielono Bankowi upomnienia za naruszenia art. 6 ust 1 RODO, polegające na przetwarzaniu bez podstawy prawnej danych osobowych Wnioskodawcy, wynikających z: - Zapytania II, które nie zakończyło się zawarciem umowy kredytowej – w okresie [...] kwietnia 2020 r. – [...] marca 2021 r. (tak pkt 1); - Zapytania I, które nie zakończyło się zawarciem umowy kredytowej – w okresie [...] marca 2020 r. - [...] marca 2021 r. (tak pkt 2), - nakazano BIK usunięcie danych osobowych Wnioskodawcy, wynikających z Zapytań I i II, które nie zakończyły się zawarciem umowy kredytowej - przekazanych przez Bank (tak pkt 3). W uzasadnieniu decyzji przywołano następujące okoliczności faktyczne i prawne uwarunkowania sprawy: - do organu wpłynęła skarga Wnioskodawcy, - w toku postępowania ustalono następujący stan faktyczny: - Wnioskodawca - w skardze inicjującej postępowanie - wskazał, że Bank przetwarza jego dane osobowe w związku z zapytaniami kredytowymi - niezakończonymi udzieleniem kredytu; w kwietnia 2020 r. Wnioskodawca zwrócił się do Banku z żądaniem zaprzestania przetwarzania jego danych osobowych i usunięcia zapytań kredytowych z bazy BIK; wskazał, że Bank udzielił mu odpowiedzi w maju - odmawiając usunięcia wpisów z bazy BIK; wobec tego Wnioskodawca zwrócił się do organu o pomoc w egzekwowaniu jego praw, (tak: skarga z 16 lipca 2020 r.); - wedle Banku, pozyskał on dane osobowe Wnioskodawcy [...] maja 2019 r. w związku z zawarciem umowy ramowej: rachunków bankowych, Karty, Elektronicznych Kanałów Dostępu; pozyskał też dane osobowe, wynikające z Zapytań I i II, oraz przetwarzał je na podstawie art. 70a ustawy z dnia 29 sierpnia 1997 r. - Prawo bankowe (Dz.U. z 2022 r., poz. 2324 ze zm.); na jego podstawie banki i inne instytucje ustawowo upoważnione do udzielania kredytów na wniosek osoby fizycznej, prawnej lub jednostki organizacyjnej niemającej osobowości prawnej, o ile posiada zdolność prawną, ubiegającej się o kredyt przekazują, w formie pisemnej, wyjaśnienie dotyczące dokonanej przez siebie oceny zdolności kredytowej wnioskującego; Bank wskazał: "Z uwagi na to, że dane osobowe z zapytań kredytowych w BIK przetwarzanych w celu oceny zdolności kredytowej udostępniane są przez 12 miesięcy, a później przesuwane do części statystycznej w związku z tym Bank przetwarza ww. dane przez okres 12 miesięcy. Po okresie 12 miesięcy zapytania w BIK nie mają już wpływu na ocenę zdolności kredytowej."; Bank wskazał, że Wnioskodawca zwrócił się do niego z żądaniem z [...] kwietnia 2020 r. o usunięcie danych osobowych, wynikających z Zapytań I i II, lecz Bank odmówił jego realizacji (tak wyjaśnienia Banku: z 29 września 2020 r. z załącznikami oraz z 3 marca 2021 r.); - Bank wskazał, że Zapytanie I, w związku z którym skierowano zapytanie do BIK z [...] marca 2020 r. anulowano; nie doszło zatem do podjęcia decyzji; decyzję w sprawie Zapytania II, w związku z którym skierowano zapytanie do BIK z [...] marca 2020 r., podjęto [...] marca 2020 r.; zapytania kredytowe przekazano do BIK odpowiednio [...] i [...] marca 2020 r.; Bank wskazał: "Informacja o podjęciu decyzji kredytowej nie została przekazana do BIK. Wnioskodawca lub jego pośrednik został poinformowany o decyzji prawdopodobnie w dniu wydania decyzji." (tak: wyjaśnienia Banku z 16 lutego 2024 r.), - Bank wyjaśnił również, że aktualnie nie przetwarza danych osobowych Wnioskodawcy w zakresie Zapytań I i II; datami zaprzestania ich przetwarzania jest odpowiednio [...] i [...] marca 2021 r. (tak: wyjaśnienia Banku z 2 października 2023 r. oraz 6 lutego 2024 r.); - w złożonych wyjaśnieniach BIK wskazał, że pozyskał od Banku dane osobowe Wnioskodawcy co do Zapytań I i II - w zakresie imię, nazwisko, PESEL, seria i numer dowodu osobistego, data urodzenia, płeć, obywatelstwo, adres zamieszkania oraz danych z wniosków kredytowych dotyczących wnioskowanych zobowiązań: powód złożenia zapytania, relacja klienta do rachunku, typ transakcji, kwota kredytu, waluta, liczba uczestników transakcji, kurs waluty; BIK wskazał, że dane te - dotyczące wskazanych zapytań kredytowych - Bank przekazał do BIK na podstawie art. 105 ust. 4 i art. 105a ust. 1 ustawy - Prawo bankowe oraz na podstawie łączącej Bank i BIK umowy z 26 lipca 2016 r. (tak: wyjaśnienia BIK z 1 września 2020 r. oraz z 29 marca 2021 r.); - BIK wskazał, że aktualnie przetwarza dane osobowe Wnioskodawcy w związku ze złożonymi zapytaniami kredytowymi w celach: budowy modeli scoringowych – narzędzi, wykorzystywanych przez banki do oceny zdolności kredytowej i analizy ryzyka kredytowego przez okres nie krócej niż 5 lat i nie dłużej niż 10 lat od dnia złożenia zapytania; podstawą przetwarzania danych w celu oceny zdolności kredytowej i analizy ryzyka kredytowego jest art. 6 ust. 1 lit. c RODO w zw. z art. 105 ust. 4 oraz art. 105a ust. 1,1a i 1b ustawy - Prawo bankowe.; w przypadku oceny zdolności kredytowej, podstawą prawną przetwarzania danych jest również art. 70 ust. 1 ustawy - Prawo bankowe; wskazano również, że dodatkową przesłanką, legalizującą przetwarzanie danych pochodzących z zapytań w celu budowy modeli scoringowych, jest art. 6 ust. 1 lit. f RODO; przetwarzanie danych w tym celu stanowi bowiem prawnie uzasadniony interes banków i BIK; procesem silnie powiązanym z oceną zdolności kredytowej jest analiza ryzyka kredytowego; przeprowadza się ją zgodnie z wytycznymi Rekomendacji T Komisji Nadzoru Finansowego (dalej KNF); ogólne zasady tworzenia modeli, służących celom oceny zdolności kredytowej i analizy ryzyka kredytowego, określono m. in. w rozporządzeniu Parlamentu Europejskiego i Rady (UE) nr 575/2013 z dnia 26 czerwca 2013 r. w sprawie wymogów ostrożnościowych dla instytucji kredytowych i firm inwestycyjnych, zmieniającym rozporządzenie (UE) nr 648/2012 (Dz. Urz. UE. L 176 str. 1), zwanym dalej "CRR" oraz rekomendacjach KNF; przywołano obowiązki, wynikające z art. 171 ust. 2, art. 144 ust. 1 lit. d, art. 145 ust. 1 oraz art. 147 ust. 5 lit. b. CRR, statystycznych oraz stosowania metod wewnętrznych oraz innych metod i modeli przez okres nie dłuższy niż 10 lat - na podstawie art. 6 ust. 1 lit. f RODO - w związku z prawnie uzasadnionym interesem administratora danych, wynikającym z ustawy - Prawo bankowego, w tym art. 105 ust. 1 i art. 105 a ust. 4; rozpatrywania ewentualnych reklamacji lub roszczeń odszkodowawczych klientów, których termin przedawnienia - zgodnie z art. 118 ustawy z dnia 23 kwietnia 1964 r. - Kodeks cywilny (Dz.U. z 2023 r., poz. 1610), zwanej dalej "K.c." - wynosi 6 lat; (tak: wyjaśnienia BIK z 6 października 2023 r.); - BIK wskazał, że Bank nie zwracał się o usunięcie przedmiotowych danych, jak również Wnioskodawca nie zwracał się do BIK o usunięcie jego danych osobowych, dotyczących zapytań ze zbioru danych BIK (tak: wyjaśnienia BIK z 1 września 2020 r.), - przepisem, uprawniającym administratorów danych do przetwarzania zwykłych danych osób fizycznych, w tym ich udostępniania, jest art. 6 ust. 1 RODO; zgodnie z nim, przetwarzanie danych dopuszczono tylko przy spełnieniu jednej ze wskazanych w tym przepisie przesłanek; ich katalog - wymieniony w art. 6 ust. 1 RODO - jest zamknięty; każda z nich ma charakter autonomiczny i niezależny; proces przetwarzania danych osobowych musi być też zgodny z zasadami, ustanowionymi w art. 5 ust. 1 RODO; zalicza się do nich m.in. ograniczenie celu (lit. b) oraz minimalizację danych (lit. c), - wedle wspomnianych zasad, dane osobowe mają być zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach; nie można dalej ich przetwarzać niezgodnie z tymi celami, zaś proces ten ma być adekwatny, stosowny oraz ograniczony do tego, co niezbędne - do celów przetwarzania, - co do zasady, podstawą prawną przetwarzania danych osobowych klientów przez Bank i BIK może być obecnie art. 6 ust. 1 lit. f RODO - gdy przetwarzanie to jest niezbędne do celów, wynikających z realizowanych przez administratora prawnie uzasadnionych interesów, - BIK jest instytucją, utworzoną na podstawie art. 105 ust. 4 ustawy - Prawo bankowe; stanowi on, że banki mogą - wspólnie z bankowymi izbami gospodarczymi - utworzyć instytucje, upoważnione do gromadzenia, przetwarzania i udostępniania bankom informacji, stanowiących tajemnicę bankową - w zakresie, w jakim są one potrzebne w związku z wykonywaniem czynności bankowych oraz ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej CRR, innym instytucjom ustawowo upoważnionym do udzielania kredytów informacji stanowiących tajemnicę bankową w zakresie, w jakim są niezbędne w związku z udzielaniem kredytów, pożyczek pieniężnych, gwarancji bankowych i poręczeń (pkt 2), instytucjom kredytowym stanowiących tajemnicę bankową informacji w zakresie niezbędnym do oceny zdolności kredytowej konsumenta, o której mowa w przepisach o kredycie konsumenckim (pkt 3), instytucjom pożyczkowym i podmiotom, o których mowa w przepisach o kredycie konsumenckim na zasadzie wzajemności, informacji stanowiących tajemnice bankową – w zakresie niezbędnym do oceny zdolności kredytowej konsumenta i analizy ryzyka kredytowego (pkt 4), - zgodnie z art. 105a ust. 1 ustawy - Prawo bankowe, banki, a także instytucje utworzone na podstawie art. 105 ust. 4, mogą przetwarzać stanowiące tajemnicę bankową informacje w zakresie dotyczącym osób fizycznych – z zastrzeżeniem art. 104, 105 i art. 106-106d danego aktu - w celu oceny zdolności kredytowej i analizy ryzyka kredytowego; zgodnie zaś z art. 105a ust. 4 wskazanej ustawy, banki oraz instytucje, o których mowa w art. 105 ust. 4, mogą przetwarzać stanowiące tajemnicę bankową informacje, dotyczące osoby fizycznej po wygaśnięciu zobowiązania, wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów, bez zgody osoby, której informacje dotyczą, do celów stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej CRR; stosownie zaś do art. 105a ust. 5 ustawy - Prawo bankowe, przetwarzanie stanowiących tajemnicę bankową informacji w przypadkach, o których mowa w ust. 3, może być wykonywane przez okres nie dłuższy niż 5 lat od wygaśnięcia zobowiązania zaś - przypadku, o którym mowa w ust. 4 - przez 12 lat od wygaśnięcia zobowiązania, - wedle art. 70 ust. 1 ustawy - Prawo bankowe, bank uzależnia przyznanie kredytu od zdolności kredytowej kredytobiorcy; przez zdolność kredytową rozumie się możliwość spłaty zaciągniętego kredytu wraz z odsetkami w określonych w umowie terminach, - Wnioskodawca - [...] i [...] marca 2020 r. złożył do Banku wnioski kredytowe; w związku z tym Bank oraz BIK - na podstawie art. 105a ust. 1 w zw. z art. 70 ust. 1 ustawy - Prawo bankowe były uprawnione do przetwarzania jego danych osobowych w celu oceny zdolności kredytowej; nie doszło jednak do zawarcia umowy pożyczki pomiędzy Wnioskodawcą a Bankiem; ponadto Wnioskodawca anulował wniosek z [...] marca 2020 r.; Bank nie wydał wobec tego w stosunku do niego decyzji kredytowej; w związku z tym odpadła przesłanka legalizująca dalsze przetwarzanie danych osobowych Wnioskodawcy przez Bank oraz BIK; przesłanki zawarte w art. 105a ustawy - Prawo bankowe dotyczą bowiem przetwarzania objętych tajemnicą bankową informacji w okresie przed powstaniem zobowiązania, w trakcie jego trwania oraz po wygaśnięciu zobowiązania; pomiędzy Bankiem a Wnioskodawcą nie zawiązał się żaden stosunek zobowiązaniowy, który - stosownie do art. 105a ust. 1-6 ustawy - Prawo bankowe dawałby podstawę do dalszego przetwarzania danych osobowych; celem przetwarzania danych osobowych Wnioskodawcy była ocena zdolności kredytowej i analizy ryzyka kredytowego; w związku z dokonaniem przez Bank oceny zdolności kredytowej i analizy ryzyka kredytowego, wskazany cel przetwarzania danych osobowych zrealizowano; brak więc podstaw prawnych do kontynuowania tego procesu, - niewłaściwie BIK wskazał podstawy przetwarzania danych Wnioskodawcy - powołując się na Rekomendację T KNF, dotyczącą dobrych praktyk w zakresie zarządzania ryzykiem detalicznych ekspozycji kredytowych w związku z badaniem zdolności kredytowej, korzystania z zewnętrznych baz danych, posiadania narzędzi analitycznych wspierających pomiar poziomu ryzyka związanego z detalicznymi ekspozycjami kredytowymi; Bank był uprawniony do przetwarzania danych osobowych Wnioskodawcy w celu oceny zdolności kredytowej; nie doszło jednak do zawarcia umowy pomiędzy Wnioskodawcą a Bankiem; w związku z tym odpadła przesłanka legalizująca dalsze przetwarzanie jego danych osobowych przez Bank; celem przetwarzania danych osobowych Wnioskodawcy była ocena zdolności kredytowej i analiza ryzyka kredytowego; w związku z dokonaniem przez Bank oceny zdolności kredytowej i analizy ryzyka kredytowego wskazany cel przetwarzania danych osobowych zrealizowano; wobec tego nie ma podstaw prawnych do kontynuowania tego procesu; organ podziela pogląd wyrażony w wyroku Naczelnego Sądu Administracyjnego z 27 sierpnia 2019 r. (sygn. akt I OSK 2567/17, dostępny na stronie internetowej orzeczenia.nsa.gov.pl/cbo/query – w Centralnej Bazie Orzeczeń Sądów Administracyjnych, zwanej dalej "CBOSA"); zgodnie z nim: "(...) cel oceny zdolności kredytowej stanowi ocena zdolności do spłaty zaciągniętego kredytu wraz z odsetkami, co ma charakter czynności wstępnej do zawarcia stosownej umowy. Dalsze przetwarzanie danych uzyskanych w celu oceny zdolności kredytowej, w przypadku nie zawarcia stosownej umowy pozostawałaby w oderwaniu od celu dla którego dane te uzyskano. (...) niedopuszczalne jest przetwarzanie danych osobowych na przyszłość, a także na potrzeby budowy oceny zdolności kredytowej innych podmiotów, jeżeli nie można zrekonstruować wyraźnej podstawy prawnej takich działań.", - za podstawę przetwarzania danych osobowych Wnioskodawcy można również uzać wskazanych przez BIK celów statystycznych i analiz, w tym cel stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej CRR; powołany przez BIK art. 105a ust. 4 ustawy - Prawo bankowe daje podstawy do przetwarzania informacji, dotyczących osoby fizycznej stanowiących tajemnicę bankową po wygaśnięciu zobowiązania, wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której te informacje dotyczą; w przedmiotowej sprawie nie doszło jednak do zawarcia umowy kredytu pomiędzy Wnioskodawcą a Bankiem; nie powstał zatem żaden stosunek zobowiązaniowy, o którym mowa w powyższym przepisie, - przytoczone zatem przez BIK przepisy CRR nie stanowią podstawy prawnej do dalszego przetwarzania danych osobowych Wnioskodawcy, gdy - w wyniku podjętych czynności sprawdzających - nie doszło do zawarcia umowy kredytowej; w przepisach tego rozporządzenia zawarto jedynie ogólne zasady tworzenia modeli, służących ocenie ryzyka kredytowego; organ nie kwestionuje zasadności tworzenia takich modeli; muszą być one jednak tworzone tak, aby nie naruszało to prawa do ochrony danych osobowych osób, których dane dotyczą, - art. 144 ust. 1 lit. d CRR stanowi: "Właściwy organ wydaje zezwolenie na mocy art. 143 na stosowanie przez instytucję metody IRB, w tym na stosowanie własnych oszacowań LGD i współczynników konwersji, wyłącznie wtedy, gdy właściwy organ stwierdzi, że wymogi przewidziane w niniejszym rozdziale są spełnione, w szczególności wymogi przewidziane w sekcji 6, oraz że posiadane przez instytucję systemy w zakresie zarządzania oraz oceny ekspozycji na ryzyko kredytowe są należyte i zostały spójnie wdrożone, w szczególności gdy instytucja wykazała w sposób zadowalający właściwym organom spełnienie następujących norm: (...) d) instytucja gromadzi i przechowuje wszystkie odpowiednie dane, aby zapewnić skuteczne wsparcie procesów pomiaru ryzyka kredytowego oraz zarządzania ryzykiem kredytowym"; kolejny przywołany przepis - art. 145 ust. 1 CRR – stanowi: "jest wymagane, aby instytucja ubiegająca się o możliwość stosowania metody IRB korzystała, w odniesieniu do omawianych kategorii ekspozycji IRB, co najmniej przez trzy lata poprzedzające zakwalifikowanie się do stosowania metody IRB, z systemów ratingowych, które odpowiadały w znacznym stopniu wymogom określonym w sekcji 6 dotyczącym wewnętrznego pomiaru ryzyka i zarządzania ryzykiem", art. 147 ust. 5 lit. b CRR stanowi natomiast: "aby ekspozycje mogły kwalifikować się do kategorii ekspozycji detalicznych przewidzianej w ust. 2 lit. d), spełniają następujące kryteria: są traktowane przez instytucję w procesie zarządzania ryzykiem w sposób spójny w długim okresie"; obowiązku zastosowania powyższego rodzaju zapytań kredytowych nie przewidziano również w art. 171 ust. 2 CRR: "Klasyfikując dłużników i instrumenty do klas lub pul, instytucja uwzględnia wszystkie istotne informacje. Informacje te są aktualne i umożliwiają instytucji prognozowanie zachowania ekspozycji w późniejszym okresie. Im mniej informacji ma do dyspozycji instytucja, tym ostrożniej klasyfikuje ekspozycje do poszczególnych klas lub pul dłużników i instrumentów. Jeżeli instytucja stosuje rating zewnętrzny jako główny czynnik decydujący o przyznaniu wewnętrznego ratingu, instytucja ta zapewnia uwzględnienie innych istotnych informacji", - co wynika z powyższych przepisów, instytucja kredytowa jest obowiązana do zbierania informacji przydatnych do skutecznego zarządzania ryzykiem; nie oznacza to jednak, że gromadzenie danych w systemach ratingowych może odbywać się z naruszeniem przepisów w zakresie ochrony danych osobowych, - odnosząc się do powołanego BIK celu rozpatrywania ewentualnych reklamacji lub obrony przed roszczeniami, wskazano: zebrany w postępowaniu materiał dowodowy nie wykazał, aby Wnioskodawca wystąpił z jakimkolwiek roszczeniem wobec Banku lub BIK, które uzasadniałoby uprawnienie tych podmiotów do zachowania i przetwarzania jego danych osobowych dla celów dowodowych - w związku z dochodzeniem przez Wnioskodawcę roszczenia; przesłanka z art. 6 ust. 1 lit. f RODO dotyczy sytuacji już istniejącej, w której - wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora - celem jest konieczność udowodnienia, potrzeba dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś, gdy dane przetwarza się w celu zabezpieczenia się przed ewentualnym roszczeniem, - organ podziela stanowisko Naczelnego Sądu Administracyjnego, odnoszące się do analogicznej do art. 6 ust. 1 lit. f RODO przesłanki, wynikającej z art. 23 ust. 1 pkt 5 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.U. 2016 r. poz. 922 ze zm.), dotyczącej dopuszczalności przetwarzania danych osobowych dla wypełnienia prawnie usprawiedliwionych celów, realizowanych przez administratorów danych albo odbiorców danych, gdy przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą; w wyroku z 6 marca 2019 r. (sygn. akt I OSK 994/17 – dostępny w CBOSA) wskazano: "(...) art. 23 ust. 1 pkt 5 u.o.d.o. zezwala na przetwarzanie danych gdy jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Dokonując wykładni tego przepisu należy zatem zwrócić uwagę, że stosowanie ww. przepisu wymaga wykazania, że chodzi o realizowanie prawnie usprawiedliwionego celu, ale także dokonanie oceny czy dla realizacji tego celu niezbędne jest przekazanie danych, pomimo braku zgody osoby której dane te dotyczą. Ocena ta sprowadza się do wyważania racji i interesów osoby, której danych sprawa dotyczy, a która jest objęta ochroną prawną, a z drugiej administratora danych, również chronionego przez prawo w zakresie w jakim może realizować prawnie usprawiedliwione cele i uprawnienia. Naczelny Sąd Administracyjny w wyroku z dnia 23 września 2005 r. (sygn. akt I OSK 712/05, CBOSA) już wskazywał, że rozstrzygając o legalności przetwarzania danych trzeba każdorazowo, ważąc interesy stron, znaleźć równowagę między prawami i wolnościami jednostki z jednej strony a prawnie usprawiedliwionym interesem osoby trzeciej z drugiej strony. Oznacza to obowiązek zapewnienia właściwej równowagi praw i interesów stron w tym praw podstawowych. Zdaniem Naczelnego Sądu Administracyjnego przetwarzanie danych osobowych (...), który cofnął zgodę na ich przetwarzanie, nie jest niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez (...), a którym jest prawo do podjęcia obrony przed ewentualnymi roszczeniami lub zarzutami, dotyczącymi przetwarzania danych (...) w celu obsługi wniosku kredytowego. Wskazać, należy że przepis art. 23 ust. 1 pkt 5 ustawy na pierwszym miejscu wymienia warunek, że przetwarzanie danych winno być niezbędne dla wypełnienia prawnie usprawiedliwionych celów. Prawidłowe jest stanowisko Sądu pierwszej instancji, że niedopuszczalne jest przetwarzanie danych osobowych niejako "na zapas" z założeniem, że mogą być one ewentualnie przydatne w przyszłości. Zauważyć należy, że w rozpoznawanej sprawie znaczenie ma, a no co wskazał organ i Sąd pierwszej instancji, że (...) co prawda w 2012 r. złożył wniosek kredytowy ale strony nie zawarły umowy, a zatem nie powstał między stronami stosunek zobowiązaniowy. Pomiędzy stronami nie toczy się także żadne postępowanie reklamacyjne. Zatem przetwarzania danych strony, a więc na wszelki wypadek, nie można uznać za przetwarzanie niezbędne dla wypełnienia prawnie usprawiedliwionych celów. Zgodnie z art. 23 ust. 1 pkt 2 u.o.d.o. przetwarzanie danych osobowych jest dopuszczalne wtedy, gdy jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa. Przepis ten dopuszcza możliwość przetwarzania danych, uzależnia jednak legalność tego procesu od spełnienia dwóch istotnych wymogów, tj. istnienia odpowiedniego przepisu prawa, który przyznaje podmiotowi uprawnienie lub nakłada na niego obowiązek oraz niezbędności przetwarzania danych dla zrealizowania tego uprawnienia lub spełnienia obowiązku wynikającego z tego przepisu. Wymogi te powinny być spełnione łącznie.", - przy przyjęciu odmiennej interpretacji wskazanych przepisów, pozbawionoby Wnioskodawcę ochrony na gruncie RODO; przyjęcie za prawidłowe stanowiska - jakoby przetwarzanie danych osobowych w celu uchylenia się od negatywnych skutków w przypadku zgłoszenia w przyszłości ewentualnego i nieokreślonego roszczenia, stanowiło prawnie usprawiedliwiony cel, w rozumieniu art. 6 ust. 1 lit. f RODO - oznaczałoby, że dane osobowe Bank może przetwarzać permanentnie - bez konieczności usunięcia; teoretycznie jest wszak możliwe, że Wnioskodawca zwróci się do Banku z roszczeniem po upływie terminu jego przedawnienia; prowadziłoby to do uznania, że przetwarzanie danych osobowych przez Bank ma uzasadnienie w przesłance określonej art. 6 ust. 1 lit f RODO - w celu realizacji prawa do obrony przed ewentualnym roszczeniem - również po upływie terminu przedawnienia; nie ma uzasadnienia dla przyjęcia, że terminy - dotyczące przedawnienia wynikających ze stosunków zobowiązaniowych roszczeń - określają jednocześnie ramy czasowe, w których Bank może przetwarzać dane osobowe; przedawnienie roszczenia nie wywołuje skutków na gruncie ochrony danych osobowych; nie wpływa bowiem na fakt istnienia roszczenia, powoduje zaś jedynie zmianę w sferze zarzutów procesowych – w postaci możliwości podniesienia okoliczności przedawnienia w sporze sądowym; okolicznością, usprawiedliwiającą przetwarzanie danych osobowych w celu dochodzenia roszczeń, jest sam fakt ich istnienia oraz zamiar ich dochodzenia; nie jest nią natomiast zmiana w uprawnieniach procesowych podmiotu pozwanego, - nie ma również uzasadnienia dla przyjęcia, że Bank jest uprawniony do przetwarzania danych osobowych w związku z koniecznością ewentualnego wypełnienia obowiązku, wynikającego z art. 70a ust. 1 i ust. 2 ustawy - Prawo bankowe, w brzmieniu obowiązującym w datach pozyskania danych z przedmiotowych zapytań kredytowych; stosownie do art. 70a ust. 1 banki i inne instytucje, ustawowo upoważnione do udzielania kredytów, na wniosek osoby fizycznej, prawnej lub jednostki organizacyjnej niemającej osobowości prawnej, o ile posiada zdolność prawną, ubiegającej się o kredyt przekazują, w formie pisemnej, wyjaśnienie dotyczące dokonanej przez siebie oceny zdolności kredytowej wnioskującego; stosownie zaś do art. 70a ust. 2 ustawy – Prawo bankowe wyjaśnienie, o którym mowa w ust. 1, obejmuje informacje na temat czynników, w tym danych osobowych wnioskującego, które miały wpływ na dokonaną ocenę zdolności kredytowej - przepis ten nie będzie miał zastosowania w odniesieniu do Zapytania I – w związku z którym skierowano do BIK zapytanie z [...] marca 2020 r.; anulował je bowiem sam Wnioskodawca; Bank nie oceniał zatem jego zdolności kredytowej, która stała się podstawą decyzji kredytowej – do jej wydania ostatecznie nie doszło, - powstanie obowiązku, o którym mowa w art. 70a ust. 1 ustawy - Prawo bankowe, uzależniono od złożenia stosownego wniosku - przez osobę ubiegającą się o kredyt; w sprawie ustalono, że - w związku z zapytaniami kredytowymi - nie doszło do zawarcia umowy z Bankiem; wobec tego Wnioskodawca - pismem z [...] kwietnia 2020 r. - zwrócił się do Banku o usunięcie jego zapytań kredytowych; proces przetwarzania danych osobowych, związanych z tymi zapytaniami kredytowymi zakwestionował następnie w niniejszym postępowaniu - domagając się ochrony danych osobowych; uwzględnienie żądania Wnioskodawcy - usunięcia przedmiotowych danych - będzie skutkować brakiem możliwości udzielenia informacji, wskazanych w art. 70a ust. 1 i 2 ustawy - Prawo bankowe; Wnioskodawca - żądając usunięcia danych - musi się z tym liczyć; należy uznać więc, że Wnioskodawca nie był i nie jest zainteresowany realizacją prawa do złożenia wniosku, o którym mowa w powyższym przepisie; tym samym nie można uznać, aby regulacja ta stanowiła podstawę przetwarzania jego danych osobowych. - w niniejszej sprawie brak jest więc celu, uzasadniającego przetwarzanie danych osobowych Wnioskodawcy, zawartych w Zapytaniach I i II - zarówno przez Bank, jak i przez BIK; Bank - w związku z pozyskaniem danych osobowych Wnioskodawcy w celu oceny zdolności kredytowej - stał się ich administratorem; BIK stał się natomiast administratorem danych osobowych z uwagi na przekazanie ich przez Bank; w związku z tym Bank oraz BIK są odrębnymi administratorami; każdy z tych podmiotów przetwarza bowiem dane osobowe we własnych celach i samodzielnie ustala sposoby ich przetwarzania, - co do kwestionowanego przez Wnioskodawcę przetwarzania jego danych osobowych przez Bank i BIK nie zaistniała żadna z wyrażonych w art. 6 ust. 1 RODO przesłanka, która stanowiłaby o legalności tego procesu; Bank przetwarzał dane osobowe wynikające z zapytań I i II przez okres roku - odpowiednio do [...] marca 2021 r. oraz [...] marca 2021 r. - w oparciu o art. 70a ustawy - Prawo bankowe; nie był do tego uprawniony; przy tym - w odniesieniu do Zapytania I brak podstaw do przetwarzania danych istniał od momentu jego anulowania [...] marca 2020 r., zaś w odniesieniu do Zapytania II od momentu zażądania przez Wnioskodawcę usunięcia jego danych osobowych - przetwarzanych w związku z tym zapytaniem - od [...] kwietnia 2020 r., - obecnie proces przetwarzania nie jest przez Bank kontynuowany; w zakresie tym doszło zatem do naruszenia przepisów o ochronie danych osobowych; niemniej aktualnie nie ma podstaw faktycznych, jak i prawnych do wydania w sprawie jakiegokolwiek nakazu - na podstawie art. 58 ust. 2 RODO; zgodnie z nim organ - w przypadku naruszenia przepisów o ochronie danych osobowych, z urzędu lub na wniosek osoby zainteresowanej, w drodze decyzji administracyjnej - nakazuje przywrócenie stanu zgodnego z prawem; naruszenie przepisów, do którego doszło w niniejszej sprawie - polegające na nieuprawnionym przetwarzaniu danych osobowych Wnioskodawcy - ma bowiem charakter nieodwracalny; organowi przysługują - na podstawie art. 58 ust. 2 RODO - uprawnienia naprawcze, w tym udzielanie upomnień administratorowi lub podmiotowi przetwarzającemu w razie naruszenia przepisów niniejszego rozporządzenia przez operacje przetwarzania (lit. b); mając to na uwadze - w realiach niniejszej sprawy, z uwagi na charakter naruszenia przepisów oraz jego nieodwracalność - właściwe jest zastosowanie wobec Banku upomnienia za stwierdzone naruszenie przepisów o ochronie danych osobowych, - wobec zaś kontynuowanego przez BIK procesu przetwarzania danych osobowych Wnioskodawcy, wynikających z Zapytań I i II - korzystając z uprawnienia, przewidzianego w art. 58 ust. 2 lit. c RODO - nakazano usunięcie danych osobowych Wnioskodawcy w skarżonym zakresie. Bank, reprezentowany przez pełnomocnika – radcę prawnego, zarzucił wydanie skarżonej decyzji w pkt 1 i 2 z naruszeniem przepisów: - postępowania: - art. 8 § 1 i 2 ustawy - Kodeks postępowania administracyjnego (Dz.U. z 2023 r., poz. 775) zwanej dalej K.p.a. oraz art. 14 ustawy z dnia 6 marca 2018 r. - Prawo przedsiębiorców (Dz.U. poz. 646 ze zm.), poprzez odejście od ustalonej praktyki rozstrzygania spraw; polegała ona na udzieleniu Bankowi kary upomnienia; w analogicznych sprawach tymczasem - jak również w niniejszej sprawie w stosunku do BIK, który przetwarzał te same dane osobowe Wnioskodawcy - nie udzielono podmiotowi administrującemu danymi upomnienia; ograniczono się do nakazania usunięcia danych osobowych; - art. 7 w zw. z art. 77 oraz. 80 K.p.a., polegające na niepodjęciu wszystkich czynności, niezbędnych do dokładnego wyjaśnienia oraz załatwienia sprawy, na niewyczerpującym zebraniu i rozpatrzeniu materiału dowodowego, a także na braku wszechstronnej i merytorycznej oceny zgromadzonego materiału dowodowego; skutkowało to niezasadnym udzieleniem Bankowi upomnienia; w szczególności: (i) nie ustalono wszystkich celów przetwarzania danych osobowych Wnioskodawcy, jak również nie uwzględniono wszystkich okoliczności przetwarzania tych danych; w konsekwencji błędnie nie uwzględniono wszystkich podstaw prawnych dalszego przetwarzania danych Wnioskodawcy, gdy nie zostały zawarte umowy o kredyt, (ii) bezzasadnie pominięto, że - o ile analiza zdolności kredytowej dotyczy rozpoznania oraz oceny ryzyka związanego z przyznaniem kredytu konkretnej osobie w konkretnej wysokości, o tyle - analiza ryzyka kredytowego wiąże się z koniecznością oszacowania ryzyka dla całego banku - związanego z danym portfelem zobowiązań; w celu ustalenia obiektywnych zasad akceptacji, Bank musi przeprowadzić analizę ryzyka kredytowego - na podstawie zgromadzonej wiedzy na temat wszystkich osób, które wnioskowały o kredyt - zarówno tych, którym przyznano kredyt, jak i tych, którym tego odmówiono; rozróżnienie "zdolności kredytowej" i "ryzyka kredytowego" jest bardzo istotne w sprawie, skoro w decyzji powołano wyrok o sygn. akt I OSK 2567/17; w orzeczeniu tym Sąd nie oceniał potrzeby wykorzystania danych pod kątem niezbędności do analizy ryzyka kredytowego, a ponadto orzekał na podstawie nieobowiązujących już przepisów i nie analizował RODO, (iii) bezzasadnie pominięto, że bazy danych - tworzone przez podmioty, które prowadzą działalność bankową - mają rozbudowaną strukturę - w tym zawierają szereg funkcji wyszukiwania oraz udostępniania raportów; zróżnicowane mogą być również uprawnienia dostępu do zasobów informacji dla poszczególnych grup pracowników - z perspektywy wykonywanych przez nich zadań; dopiero w takim szerokim kontekście należy rozważyć reguły przetwarzania danych osobowych; Bank jest uprawniony do przetwarzania danych Wnioskodawcy, zaś organ winien wyjaśnić co najwyżej, w jakim terminie i dla jakich celów takie przetwarzanie jest uprawnione, oraz którzy pracownicy Banku powinni mieć dostęp do tych danych – w zakresie niezbędnym do wykonywania przez nich zadań; (iv) bezzasadnie założono, że - skoro Wnioskodawca nie był dotychczas zainteresowany realizacją swojego prawa do domagania się od Banku wyjaśnień, dotyczących oceny zdolności kredytowej, a jednocześnie zażądał usunięcia swoich danych osobowych, związanych z zapytaniami kredytowymi - musi się liczyć, że brak będzie możliwości uwzględnienia jego żądania udzielenia informacji, wskazanych w art. 70a ust. 1 i 2 ustawy - Prawo bankowe; z materiału dowodowego nie wynika tymczasem, aby Wnioskodawca istotnie "liczył się" lub był świadomy takich skutków usunięcia swoich danych osobowych; w dniu wydania zaskarżonej decyzji ustawowy obowiązek udzielenia wyjaśnień, co do oceny zdolności kredytowej, nie był ponadto ograniczony żadnym terminem; w związku z tym sam fakt, że Wnioskodawca nie zażądał do tej pory od Banku wyjaśnień, dotyczących oceny zdolności kredytowej, nie musiał oznaczać, że nie zdecyduje się na skierowanie takich wniosków w przyszłości, - art. 7 oraz 7b w zw. z art. 8 i 77 K.p.a., polegające na zaniechaniu zwrócenia się przez organ do KNF - jako organu właściwego w sprawach związanych m.in. z badaniem zdolności kredytowej i analizą ryzyka kredytowego oraz budową modeli scoringowych - w zakresie wykorzystywania do realizacji tych zadań danych, w tym danych osobowych o niezrealizowanych zapytaniach kredytowych; pozwoliłoby to tymczasem dokładnie wyjaśnić stan faktyczny i prawny sprawy - mając na względzie interes społeczny oraz słuszny interes obywateli w postaci ustalenia należytych zasad, celów oraz zakresu przetwarzania danych o niezrealizowanych zapytaniach kredytowych - tak, aby - zgodnie z zasadą proporcjonalności - procesy przetwarzania danych czyniły zadość zarówno przepisom o ochronie danych osobowych, jak i przepisom szeroko pojętego prawa bankowego oraz zapewnieniu stabilności rynku gospodarczo-finansowego, - prawa materialnego: - art. 6 ust. 1 lit. c RODO, w zw. z art. 105 ust. 4 ustawy - Prawo bankowe, (poprzez niewłaściwe zastosowanie; w konsekwencji bezzasadnie przyjęto, że Bank - przed usunięciem danych osobowych Wnioskodawcy, wynikających z Zapytań I i II - nie legitymował się przesłanką przetwarzania danych osobowych, wskazaną w art. 6 ust. 1 lit. c RODO w zw. z art. 105 ust. 4 ustawy - Prawo bankowe; z przepisów tych wynika tymczasem obowiązek przetwarzania danych osobowych (również z zapytań kredytowych) przez banki oraz inne instytucje wymienione w art. 105 ust. 4 ustawy - Prawo bankowe, na zasadzie wzajemności i w zakresie, w jakim informacje te są potrzebne bankom do wykonywania czynności bankowych - w tym oceny zdolności kredytowej i analizy ryzyka kredytowego; celem art. 105 ust. 4 ustawy - Prawo bankowe jest zatem nie tylko poinformowanie banku, który rozpatruje wniosek kredytowy, ale i przetwarzanie takiego zapytania przez określony czas – tym samym umożliwienie innemu bankowi (w związku z wnioskiem tej samej osoby, złożonym w innym banku) otrzymanie informacji, czy wnioskodawca ubiegał się już o kredyt i z jakim skutkiem; ma to znaczenie dla oceny zdolności i wiarygodności kredytowej dla innego banku; przyjęcie jako właściwego prezentowanego przez organ stanowiska może ostatecznie doprowadzić do zakwestionowania wymiany jakichkolwiek informacji między bankami a BIK; - art. 6 ust. 1 lit. c RODO, w zw. z art. 105 ust. 1, art. 105 ust. 4 pkt. 1, art. 5 ust. 1 pkt. 3 oraz art. 70 ust. 1 ustawy - Prawo bankowe wobec z art. 9 ust. 2, 3 i 4 ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim (Dz.U. z 2023 r., poz. 1028 ze zm.), zwanej dalej: "ustawą o kredycie konsumenckim", poprzez jego niewłaściwe zastosowanie; bezzasadnie przyjęto, że Bank - przed usunięciem danych osobowych Wnioskodawcy, wynikających z Zapytań I i II - nie legitymował się przesłanką przetwarzania danych, wynikającą ze wskazanych przepisów; cel przetwarzania danych polegał tymczasem na dostarczaniu Bankowi przez BIK informacji (w tym ocen i modeli scoringowych), niezbędnych do wykonywania czynności bankowych (art. 5 ust. 1 pkt 3 ustawy - Prawo bankowe) - w tym udzielania kredytów; przy tym ocena zdolności kredytowej jest obowiązkiem banków (art. 70 ustawy - Prawo bankowe, w zw. z art. 9 ust. 2, 3 i 4 ustawy o kredycie konsumenckim); - art. 6 ust. 1 lit. c RODO, w zw. z art. 144 ust 1 lit d, art. 145 ust 1 , art. 170 ust. 3 lit. a, art. 171 ust. 2, art. 179 ust. 1 lit a oraz art. 181 ust. 2 CRR, poprzez niewłaściwe zastosowanie; przyjęto, że Bank - przed usunięciem danych osobowych Wnioskodawcy, wynikających z Zapytań I i II – nie legitymował się przesłanką przetwarzania danych, wynikającą z art. 6 ust. 1 lit. c) RODO w zw. z przepisami CRR; w przepisach tych ustanowiono tymczasem dla banków określone obowiązki - w zakresie wymogów ostrożnościowych - i nałożono na Bank obowiązek tworzenia zaawansowanych modeli statystycznych z wykorzystaniem wszystkich istotnych, aktualnych informacji; Bank jest natomiast obowiązany zachować spójności modelu; usunięcie danych natychmiast po wydaniu decyzji o odmowie udzielenia kredytu albo cofnięciu wniosku prowadziłoby do naruszenia tego obowiązku; - art. 6 ust. 1 lit. c RODO, w zw. z art. 106d ust. 3 ustawy - Prawo bankowe wobec art. 33 ust. 2, art. 33 ust. 3 pkt. 6, art. 34 ust. 1 pkt 4, art. 36, art. 46 oraz art. 49 ust. 1 ustawy z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (Dz. U. z 2023 r., poz. 1124), zwanej dalej: "ustawą AML", poprzez brak zastosowania tych przepisów; w konsekwencji nie ustalono, że Bank - przed usunięciem danych Wnioskodawcy, wynikających z Zapytań I i II - legitymował się przesłanką przetwarzania danych, wynikającą z przywołanych wyżej przepisów ustawy AML; nałożono nimi na Bank obowiązek przetwarzania informacji (w tym również danych osobowych), w celu zapewnienia bezpieczeństwa obrotu gospodarczego - poprzez przeprowadzenie szczegółowego badania na temat klientów, w tym przyszłych, jak i badania powiązań kapitałowo-osobowych; - art. 6 ust. 1 lit. c RODO w zw. z art. 70a ust. 1 i 2 ustawy - Prawo bankowe, poprzez niewłaściwe zastosowanie; w konsekwencji bezzasadnie przyjęto, że art. 6 ust. 1 lit. c) RODO w zw. z art. 70a ust. 1 i 2 Prawa bankowego - przed usunięciem danych osobowych Wnioskodawcy wynikających z Zapytań I i II - nie stanowił podstawy przetwarzania danych osobowych Wnioskodawcy; w dniu złożenia skargi przez Wnioskodawcę do organu (16 lipca 2020 r.) obowiązek Banku, przewidziany w art. 70a ust. 1 i 2 ustawy - Prawo bankowe, nie był tymczasem ograniczony w czasie; w związku z tym sam fakt, że – przed złożeniem skargi do organu - Wnioskodawca nie domagał się od Banku wyjaśnień, dotyczących oceny zdolności kredytowej, nie musiał oznaczać, że nie zdecyduje się on na skierowanie takiego wniosku w przyszłości; aktualnie termin na złożenie wniosku o udzielenie wyjaśnień, dotyczących dokonanej oceny zdolności kredytowej, wynosi rok od dnia otrzymania odmownej decyzji; ustawodawca nie przyjął zatem, że dane powinny być usuwane niezwłocznie - po wydaniu decyzji o odmowie udzielenia kredytu; ustawodawca nie wprowadził też ograniczenia, że uprawnienie z art. 70a ustawy - Prawo bankowe "wygasa", jeżeli dana osoba wcześniej (przed upływem roku) zażąda usunięcia swoich danych; - art. 6 ust. 1 lit. f RODO, w zw. z art. 117 § 2 i 21, art. 118 i 119 K.c. poprzez ich niewłaściwe zastosowanie; bezzasadnie przyjęto, że przechowywanie danych przez okres przedawnienia roszczeń nie stanowi prawnie uzasadnionego interesu Banku, w rozumieniu art. 6 ust. 1 lit. f RODO; wskazane przepisy uprawniają tymczasem Bank do przetwarzania danych osobowych w celu rozpatrywania oraz dochodzenia ewentualnych reklamacji lub roszczeń - również, gdy ani administrator danych osobowych (tu: Bank), ani osoba, której dane dotyczą (tu: Wnioskodawca), nie zgłosiła jeszcze reklamacji lub roszczenia; - art. 6 ust. 1 lit. f RODO, w zw. z rekomendacjami wydanymi przez KNF: - T W i S - poprzez niewłaściwe zastosowanie; niezasadnie przyjęto że Bank – przed usunięciem danych osobowych Wnioskodawcy, wynikających z Zapytań I i II - nie legitymował się przesłanką przetwarzania, wynikającą z art. 6 ust. 1 lit. f RODO, wobec wskazanych rekomendacji KNF; nałożono nimi tymczasem na banki oraz BIK (jako instytucję powołaną na mocy art. 105 ust. 4 ustawy - Prawo bankowe) określone wymagania - nie tylko w związku z oceną danego, konkretnego wniosku kredytowego, ale także w odniesieniu do budowy metod oraz modeli statystycznych (w tym scoringowych); wymagania te podlegają następnie wyegzekwowaniu przez KNF - na podstawie bezwzględnie obowiązujących przepisów. Wniesiono o: - uchylenie zaskarżonej decyzji w części – co do pkt 1 i 2 - oraz umorzenie wobec Banku postępowania; - zasądzenie od organu rzecz Banku zwrotu kosztów postępowania, w tym kosztów zastępstwa procesowego według norm przepisanych oraz opłat skarbowych od pełnomocnictwa. W szerokim uzasadnieniu rozwinięto powyższe zarzuty. BIK, reprezentowany przez pełnomocnika – adwokata, zarzucił wydanie skarżonej decyzji w pkt 3 z naruszeniem przepisów prawa: - materialnego: - art. 6 ust. 1 lit. c RODO, w zw. z art. 105 ust. 1 pkt. 1c, art. 105 ust. 4 i art. 105a wobec art. 70 i art. 5 ust. 1 pkt. 3 ustawy - Prawo bankowe, poprzez jego niewłaściwe zastosowanie; w konsekwencji niezasadnie przyjęto, że BIK nie posiada wskazanej podstawy prawnej do przetwarzania danych zawartych w Zapytanch I i II w razie nie zawarcia umowy kredytowej; BIK jest tymczasem ustawowo zobowiązany realizować obowiązek prawny, wynikający z tych przepisów; polega on na gromadzeniu, przetwarzaniu i udostępnianiu bankom oraz szczegółowo wskazanym w przepisie podmiotom informacji, stanowiących tajemnicę bankową - w zakresie, w jakim są one potrzebne w związku z wykonywaniem czynności bankowych w postaci oceny zdolności kredytowej oraz analizy ryzyka kredytowego konkretnego klienta (indywidualna ocena zdolności kredytowej) oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej CRR; ewentualnie - na wypadek nieuwzględnienia tego zarzutu - naruszono art. 6 ust. 1 lit. f RODO, poprzez jego niewłaściwe zastosowanie; przyjęto bowiem, że BIK nie ma podstawy prawnej przetwarzania danych Wnioskodawcy na prawnie uzasadnionym interesie administratora oraz podmiotów trzecich, wskazanych w art. 105 ust. 4 pkt. 1-5 ustawy - Prawo bankowe - w postaci realizacji obowiązku gromadzenia, przetwarzania oraz udostępnienia bankom (oraz podmiotom wskazanym w tym przepisie) stanowiących tajemnicę bankową informacji - w zakresie, w jakim są one potrzebne do wykonywania czynności bankowych, w postaci oceny zdolności kredytowej oraz analizy ryzyka kredytowego konkretnego klienta (indywidualna ocena zdolności kredytowej), w celu budowy i utrzymania modeli scoringowych (narzędzi wykorzystywanych przez banki do oceny zdolności kredytowej) i analizy ryzyka kredytowego oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej CRR; - art. 6 ust. 1 lit. c RODO, w zw. z art. 70a oraz art. 105 ust. 4 pkt. 1 i 2 wobec art. 105a ustawy - Prawo bankowe, poprzez jego niewłaściwe zastosowanie; uznano bowiem, że BIK nie ma podstawy prawnej przetwarzania danych Wnioskodawcy wobec nie zawarcia umowy kredytowej; BIK ma zaś podstawę prawną przetwarzania z uwagi na niezbędność dla wykonania obowiązku prawnego przez banki i BIK - przekazania ubiegającej się o kredyt osobie (w formie pisemnej) - na jej wniosek - wyjaśnień, dotyczących dokonanej oceny zdolności kredytowej; - art. 6 ust. 1 lit. c RODO w zw. z art. 106d ust. 1 pkt 3 ustawy - Prawo bankowe wobec art. 39 ust. 1 w zw. z art. 33 ust. 2 i 3 pkt 6, art 34 ust. 1, art. 36 ust. 1 oraz art 49 ust. 1 ustawy AML, poprzez jego niezastosowanie; przyjęto bowiem, że na BIK nie ciążą obowiązki, związane z przeciwdziałaniem praniu pieniędzy oraz finansowaniu terroryzmu, gdy nie doszło do zawarcia umowy kredytowej pomiędzy Wnioskodawcą a Bankiem; przepisami tymi nałożono zaś na banki - jako instytucje obowiązane, a pośrednio na BIK, jako podmiot wspierający banki w realizacji obowiązków instytucji obowiązanej - obowiązek przetwarzania danych osobowych w celu zapewnienia bezpieczeństwa obrotu gospodarczego - poprzez przeprowadzenie szczegółowego badania na temat klientów, w tym przyszłych klientów, jak i badania powiązań kapitałowo-osobowych, w tym także gdy ostatecznie pomiędzy Wnioskodawcą a bankiem nie zawarto umowy kredytowej; - art. 6 ust. 1 lit. f RODO, poprzez jego niewłaściwe zastosowanie wskutek uznania, że przetwarzanie danych osobowych dla realizacji prawnie uzasadnionych interesów administratora danych w celu zabezpieczenia roszczeń może dotyczyć wyłącznie istniejących i aktualnie dochodzonych; w konsekwencji bezzasadnie przyjęto, że prawnie uzasadniony interes administratora danych nie istnieje, gdy konieczność przetwarzania danych osobowych dotyczy ochrony przed roszczeniami istniejącymi, ale nie dochodzonymi - w chwili dokonywania oceny; istotą uzasadnionego interesu administratora jest natomiast możliwość przetwarzania danych na wypadek konieczności obrony przed roszczeniami, istniejącymi lub dochodzenia w przyszłości roszczeń istniejących, które są związane – w warunkach niniejszej sprawy - z przetwarzaniem danych osobowych na potrzeby opracowania oceny scoringowej Wnioskodawcy - niezbędnej do przeprowadzenia analizy zdolności kredytowej oraz analizy ryzyka kredytowego; BIK zobowiązany jest je gromadzić, przetwarzać i udostępniać bankom i instytucjom ustawowo upoważnionym do udzielania kredytów dla realizacji celów ustawowych - badania zdolności kredytowej; - art. 6 ust. 1 lit. f RODO, poprzez jego niewłaściwe zastosowanie wskutek uznania, że – w razie nie zawarcia umowy kredytowej - BIK nie ma prawnie uzasadnionego interesu w przetwarzaniu danych Wnioskodawcy; istnieje tymczasem prawnie uzasadniony interes BIK w przetwarzaniu tych informacji pomimo nie zawarcia umowy kredytowej; polega on na realizacji działań z zakresu opracowania, utrzymania aktualności i funkcjonalności zbudowanych modeli scoringowych – w zgodzie z treścią Rekomendacji KNF W, S i T w zakresie dobrych praktyk i zarządzania ryzykiem kredytowym, - procesowego: - art. 7, 77, 80 oraz art. 107 § 3 K.p.a., poprzez: niezbadanie wszystkich podstaw prawnych dalszego przetwarzania danych o zapytaniach kredytowych, w razie nieudzielenia kredytu, pomimo, że w szeregu przepisów upoważniono BIK do przetwarzania tych danych, niewystarczające wyjaśnienia podstaw prawnych decyzji oraz brak oceny istotnych okoliczności sprawy; w konsekwencji doprowadziło to do błędnego nakazania BIK usunięcia przetwarzanych danych osobowych Wnioskodawcy oraz uniemożliwiło BIK zapoznanie się z powodami negatywnej oceny wskazanych przezeń podstaw przetwarzania; - art. 7, 77 § 1 oraz art. 80 K.p.a., poprzez niewyczerpujące zebranie, nierozpatrzenie i błędną ocenę całokształtu materiału dowodowego; przejawiało się to w zaniechaniu wyczerpującej analizy charakteru, zakresu oraz celów gospodarczo – ekonomicznych, dla jakich powołano BIK oraz obowiązków prawnych i obowiązków, wynikających z zawartych przez BIK umów z bankami; skutkowało to wadliwą i niepełną oceną stanu faktycznego sprawy oraz charakteru działania BIK; w konsekwencji bezzasadnie wydano nakaz usunięcia danych osobowych Wnioskodawcy; - art. 7b w zw. z art. 7 i 77 K.p.a., poprzez niedokładne wyjaśnienie stanu faktycznego i prawnego koniecznego do podjęcia stosownych czynności; w szczególności nie zwrócono się do KNF w celu kompleksowego wyjaśniania stanu faktycznego sprawy oraz jej współdziałania - w zakresie niezbędnym do dokładnego wyjaśnienia stanu prawnego, mając na względzie interes społeczny i słuszny interes obywateli - w postaci ustalenia należytych zasad, celów i zakresu przetwarzania danych osobowych o niezrealizowanych zapytaniach kredytowych - tak, aby procesy przetwarzania danych czyniły zadość zarówno przepisom o ochronie danych osobowych, jak i szeroko pojętego prawa bankowego - w szczególności dla zapewnienia ochrony wartości, których gwarancje ochrony wynikają ze wskazanych przepisów - zgodnie z zasadą proporcjonalności; - art. 7, 77 § 1 i art. 80 K.p.a., poprzez zaniechanie: oceny rekomendacji KNF S, W i T, jako organu właściwego do sprawowania nadzoru nad instytucjami krajowymi, w rozumieniu przepisów UE (regulatora rynku finansowego); regulacjami tymi nałożono na banki - w konsekwencji na BIK, jako instytucję gromadzącą dane służące do oceny zdolności kredytowej oraz budującą modele scoringowe służące bankom - określone wymagania; podlegają one nadzorowi i egzekwowaniu przez KNF – na podstawie bezwzględnie obowiązujących przepisów; w konsekwencji doprowadziło to do zaniechania oceny podstaw prawnych i celów dla jakich upoważniono BIK oraz banki do przetwarzania danych w zakresie zdolności kredytowej - również w razie nie zawarcia umowy kredytowej – dla zabezpieczenia interesów banków oraz stabilności rynku gospodarczo-finansowego, wyczerpującego zebrania i rozpatrzenia materiału dowodowego; przejawiało się to w szczególności brakiem analizy podstawowych zasad funkcjonowania stabilnego sektora finansowego, w tym pod kątem istnienia po stronie banków - w konsekwencji BIK, jako instytucji gromadzącej dane, służące do oceny zdolności kredytowej oraz budującej modele scoringowe dla banków - oczywistego interesu prawnego; przejawia się on w odmowie udzielenia kredytu, wynikającego z braku istnienia zdolności kredytowej po stronie Wnioskodawcy; prowadzi to do zabezpieczenia interesu banków przed nieodpowiedzialną polityką udzielania kredytów osobom, które nie mają szans na ich spłacenie oraz do zapewnienia stabilności gospodarczo-ekonomicznej sektora bankowego - w ujęciu makro zapobieganiu kryzysom gospodarczym. W szerokim uzasadnieniu skargi rozwinięto przywołane wyżej zarzuty. Wniesiono o uchylenie zaskarżonej decyzji w pkt 3 oraz zasądzenie zwrotu kosztów postępowania sądowego. W odpowiedzi na skargę organ wniósł o jej oddalenie, podtrzymując dotychczasową argumentację. W trakcie rozprawy (k. 246v) pełnomocnik Banku zwracał uwagę, że jego mandant przetwarzał dane wnioskującego o kredyt jedynie przez rok, chociaż prawodawca ograniczył wynikającą z art. 70a ustawy - Prawo bankowego powinność, co do udzielania informacji o wnioskach kredytowych, dopiero później. Mimo tego zastosowano sankcję upomnienia. Pełnomocnik organu podniósł zaś, że zastosowana sankcja upomnienia należy do najmniej dolegliwych instrumentów. Sąd zważył, co następuje. Skarga zasługuje na uwzględnienie, gdyż wydając orzeczenie naruszono przepisy prawa materialnego, zakreślające dopuszczalność przetwarzania danych osobowych wobec prawnie uzasadnionych interesów administratorów (tu Banku i BIK ), oraz realizacji ciążącego na administratorze obowiązku prawnego, zaś – na skutek tego - regulacje, statuujące właściwość organu wyspecjalizowanego w sprawach ochrony danych osobowych - w zakresie stosowania przezeń przepisów dyscyplinujących i naprawczych. Miało to istotny wpływ na wynik sprawy. W następstwie tego nie wyjaśniono bowiem jej okoliczności faktycznych w szeregu istotnych aspektów. Stanowi to z kolei o naruszeniu stosownych przepisów postępowanie, zaś mogło mieć istotny wpływ na wynik sprawy. Ocena orzeczenia w tym zakresie wymaga jednak wpierw prawidłowego ustalenia ram prawnych sprawy - reguł materialnoprawnych. Organ właściwie wprawdzie opisał uwarunkowania prawne sprawy – w kontekście przytoczenia wynikających z RODO ogólnych reguł przetwarzania danych osobowych. Nie są także sporne fakty w zakresie ustalenia, że - na dzień wydania zaskarżonej decyzji - dane osobowe Wnioskodawcy w związku z Zapytaniami I i II nie były już w konkretnym zakresie przetwarzane przez Bank, zaś czynił to nadal w pewnych celach BIK (tak stanowisko tychże w toku postępowania). Przywoływanie przez Sąd ponownie okoliczności sprawy w podanych kwestiach nie byłoby zasadne - wobec uprzedniego przytoczenia istotnych faktów, przy referowaniu sprawy. Skoro decyzją nakazano usunięcie danych osobowych Wnioskodawcy wobec konkretnych zapytań kredytowych - z wszelkich baz danych administratora, który je jeszcze posiada (BIK) - oznaczałoby to brak po stronie obu podmiotów (BIK i Banku, który może w pewnych zakresach korzystać z zasobów BIK) jakiejkolwiek dokumentacji poszczególnych zdarzeń, które - choćby dla zarchiwizowania - musiałyby być wszak oznaczone przez powiązanie z konkretną osobą. Złożenie dwóch wniosków kredytowych do Banku (choć jeden z nich następnie anulowano), skutkowało - co bezsporne - skierowaniem zapytań do BIK i udzieleniem przezeń informacji. Usunięcie informacji o fakcie skierowania konkretnych zapytań (identyfikowanych wszak jedynie danymi osobowymi Wnioskodawcy), oznaczałoby usunięcie danych o podstawie wykonania przez oba podmioty pewnych czynności faktycznych - sprawdzeń. Orzekając w sprawie organ błędnie wyłożył znaczenie normatywne przepisów, zakreślających granice uprawnienia do przetwarzania danych osobowych - zamieszczonych w art. 105a ustawy - Prawo bankowe. Przepis ten kreuje przy tym stosowne ramy prawne przetwarzania danych zarówno dla Banku jak i - wykonującego z jego pouczenia szereg zadań BIK (w kontekście reguły art. 105 ust. 4 ustawy - Prawo bankowe), a więc dla obu stron skarżących. Otóż - wedle stanowiska organu - w razie nie zawarcia umowy kredytowej, granice możliwości przetwarzania danych osobowych wnioskodawców przez oba skarżące podmioty dla celów oceny zdolności kredytowej oraz ryzyka kredytowego –- wyczerpująco określa art. 105a ust. 3-7 ustawy - Prawo bankowe. Stanowisko to nie jest trafne, przy zastosowaniu prawidłowej wykładni przedmiotowych regulacji. Otóż prawodawca - doprecyzowując w ust. 3-7 reguły przetwarzania danych osobowych dla celu zdolności kredytowej oraz ryzyka kredytowego także bez zgody zainteresowanych – odniósł to expressis verbis jedynie do przypadków, gdy doszło do zawarcia umowy kredytowej. Nie można jednak zakładać, aby wobec tego ustawodawca generalne wyłączył tymi przepisami możliwości przetwarzania danych - dla tych samych celów – w razie nie zawarcia takiej umowy. Wniosek taki determinuje wręcz treść innych regulacji samej ustawy - Prawo bankowe - w tym jej art. 70a, po którego dodaniu nie zmodyfikowano treści art. 105a W świetle tego przepisu natomiast, każdy klient banku jest uprawniony zwrócić się o wyjaśnienie przesłanek rozpoznania jego wniosku – dokonanej oceny zdolności kredytowej (tak ust. 1). W okresie, gdy dane Wnioskodawcy przetwarzał także Bank, nie weszła jeszcze w życie regulacja, którą ograniczono czas, gdy uprawnienie to mogło być realizowane przez wnioskujących o kredyt (stosowna kolejna nowela ustawy - Prawo bankowe). Do urzeczywistnienia danego prawa po stronie klientów niezbędne jest oczywiście przetwarzanie danych osobowych przez Bank (bądź na jego rzecz w BIK) - w zakresie wykraczającym poza granice, przewidziane art. 105a ust. 3-7 dalej ustawy, także gdy umowy kredytowej nie zawarto. Nie sposób natomiast przyjąć, aby wolą prawodawcy – wyrażoną przez stosowne sformułowanie art. 105a (wedle organu wąskie, w razie nie zawarcia umowy kredytowej) - było przypisanie takiego uprawnienia jedynie osobom, których wnioski rozpoznano pozytywnie i zawarto z nimi umowę kredytową (tylko dla nich istniałaby dokumentacja w Banku czy BIK). Przeczyłoby to racjonalności prawodawcy. Co oczywiste bowiem, najczęściej zainteresowanymi przyczynami konkretnej oceny, będą osoby, których wnioski rozpatrzono negatywnie. Nie do zaakceptowania jest przy tym argumentacja organu, jakoby – wobec żądania Wnioskodawcy usunięcia jego danych osobowych - Bank (bądź gromadzący na jego rzecz dane BIK), mógł się uważać zwolnionym od realizacji stanowionego na szczeblu ustawy obowiązku. Skoro uprawnienia do rezygnacji dla klientów nie przewidziano wprost w akcie stosownego rzędu, nie sposób domniemywać, aby każda żądająca usunięcia swoich danych (np. bezpośrednio po rozpatrzeniu wniosku) osoba miała świadomość utraty konkretnego, stanowionego ustawą uprawnienia. Prezentowana w danym zakresie przez organ interpretacja znaczenia reguły legalizującej przetwarzanie danych - wskazanej art 6 ust. 1 lit. C RODO - wypacza sens danej regulacji w przyjętym brzmieniu. Przy takim rozumieniu przepisu, w każdym bowiem przypadku, gdzie normatywnie przewidziano podstawę przetwarzania danych, konieczne byłoby rozważanie, czy - wobec stanowiska zainteresowanej osoby (jej żądań) - należy konkretną, stanowioną prawem, powinność wymagającą przetwarzania danych nadal uwzględnić. Takie rozumienie danej regulacji jest sprzeczne z jej treścią normatywną. W danym zakresie zarzuty skarg – pominięcia przy wyłożeniu znaczenia art. 105a treści normatywnej art. 70a ustawy - Prawo bankowe - są oczywiście zasadne. Równocześnie - wbrew stanowisku organu - z samego brzmienia art. 105a ust. 1 i 1a ustawy - Prawo bankowe, nie wynika, aby ustanowiono nim prawną podstawę przetwarzania danych tylko w okresie od złożenia konkretnego wniosku do jego rozpoznania. Zakreślono tam bowiem wyłącznie cel, gdy dopuszczono przetwarzanie danych osobowych - to ocena zdolności kredytowej i analizy ryzyka kredytowego. Gdyby - jak wywodzi to organ - warunki przetwarzania danych osobowych bez zgody zainteresowanego dla tych celów określono wyczerpująco w przywołanym art. 105a ust. 3-7 ustawy - Prawo bankowe, nie istniałaby żadna podstawa do przetwarzania danych na etapie rozpoznawania wniosków – w tym informowania nawzajem banków o złożeniu wniosków równoległych. Uzasadnia to konstatację, że w początkowych przepisach art. 105a ustawy - Prawo bankowe, ustanowiono uprawnienie do przetwarzania danych osobowych w konkretnych celach - oceny zdolności kredytowej oraz ryzyka kredytowego, zaś w dalszych ustępach tej jednostki redakcyjnej określono warunki tego procesu - jednak tylko w pewnych - sprecyzowanych przez ustawodawcę - sytuacjach. Wobec wskazanych uwarunkowań - z woli prawodawcy - na szczeblu ustawowym uregulowano szczegółowo zasady przetwarzania danych osobowych klientów banków (innych instytucji kredytowych) dla potrzeb oceny zdolności kredytowej oraz ryzyka kredytowego (w tym okres przechowywania informacji), jedynie co do przypadków, gdy doszło do zawarcia umowy kredytowej. W pozostałych zaś sytuacjach, oceniając istnienie podstawy przetwarzania danych, należy odnieść się do reguł ogólnych tego rodzaju procesów - w tym powinności ważenia słusznego interesu osoby, której dane są przetwarzane, oraz ich administratora. Trzeba mieć też na uwadze zakres ciążących na banku (instytucji bankowej), powinności z mocy regulacji szczególnych - w tym CRR, o czym w dalszej części uzasadnienia. Reasumując, w art. 105a ust. 3-7 ustawy - Prawo bankowe nie ustanowiono zamkniętego katalogu przypadków, gdy można przetwarzać dane osobowe występującego o kredyt bez jego zgody - lecz jedynie warunki działań w tym zakresie, gdy kredytu udzielono. W ocenie Sądu w tym składzie nie jest trafne stanowisko, wyrażone przez Naczelny Sąd Administracyjny w uzasadnieniu wyroku z 13 lutego 2025 r. (sygn. akt III OSK 6563/21 - dostępny w CBOSA). Uznano tam, że - dla wyłożenia treści normatywnej art. 105a ustawy - Prawo bankowe – może być zasadna próba odtworzenia intencji samego - prawodawcy w oparciu o proces legislacyjny, w toku nowelizacji ustawy - Prawo bankowe w 2004 roku (przywołano druk nr 2513-A Sejmu Rzeczypospolitej Polskiej IV kadencji). Podkreślany fakt rezygnacji ówcześnie z poprawki, gdzie określono by precyzyjnie termin przechowywania danych w razie nie zawarcia umowy (proponowany ust. 4f), dowodzi wyłącznie o braku woli prawodawcy aby przesądzić daną kwestię. Z kolei przywołane, wyrażone wówczas stanowiska organu wyspecjalizowanych w kwestii prowadzenia procesów integracyjnych (pismo Urzędu Komitetu Integracji Europejskiej nr Min. DH-856/04/tlk z 4 marca 2004 r. dotyczące druku nr 2513-A, skierowane bezpośrednio do Przewodniczącego Komisji Europejskiej Sejmu) - gdzie sformułowano ocenę, jakoby przetwarzanie danych w tym zakresie (gdy nie zawarto umowy o kredyt) wykraczało poza ramy celowości, w rozumieniu ówczesnych przepisów UE, gdzie określono ramy przetwarzania danych osobowych - nie mieściło się oczywiście przedmiotowo w zagadnieniu analizy zgodności reguł prawa krajowego z regulacjami, stanowionymi na szczeblu UE. Organ wyspecjalizowany w danym zakresie, dokonał bowiem oceny merytorycznej w zakresie, gdzie należało uwzględnić odpowiednie ważenie uzasadnionych interesów instytucji sektora bankowego oraz jego klientów – w kontekście przetwarzania ich danych osobowych jedynie w niezbędnym rozmiarze. Instytucja, formująca wówczas stanowisko (Urząd Komitetu Integracji Europejskiej), nie była właściwa w tym względzie - nie dysponując stosowną wiedzą ekspercką, co do reguł systemu oceny w ramach metod ostrożnościowych, czy innych realnych potrzeb sektora bankowego. Kwestii zakazu bądź czasu przetwarzania danych przez banki (inne instytucje kredytowe) w razie nie zawarcia umów nie regulowały zaś wprost szczegółowe przypisy, stanowione na szczeblu UE - w tym zaś obszarze kompetentny był organ, który sformułował stanowisko. Trzeba mieć także na względzie, że w późniejszym czasie – jak już wskazano - doszło do nowelizacji ustawy - Prawo bankowe. W 2019 roku – art. 46 pkt 4 ustawy z dnia 21 lutego 2019 r. o zmianie niektórych ustaw w związku z zapewnieniem stosowania rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) - dodano art. 70a, statuujący powinność udzielania informacji także wobec wniosków kredytowych rozpoznanych negatywnie - pierwotnie bez zakreślenia terminu. Przepis ten czyni niewątpliwie zasadnym przetwarzania danych, dotyczących wniosków rozpatrzonych negatywnie (w rozumieniu art. 6 ust. 1 lit. f RODO), a nawet w istocie tworzy taką powinność (tak: art. 6 ust. 1 lit. c). W przeciągu wielu lat zmienił się także zakres narzędzi, którymi dysponują banki dla realizacji celu legalizującego przetwarzanie danych, określonego w art. 105a ust. 1 ustawy - Prawo bankowe - w kontekście sposobów oceny zdolności kredytowej i analizy ryzyka kredytowego nastąpił znaczny rozwój narzędzi informatycznych. W tym świetle, wyrażona – zresztą poza zakresem właściwości wyspecjalizowanego organu - opinia, co do braku celowości przetwarzania danych, gdy dotyczy to nie udzielonych kredytów, nie może być uznana za adekwatną wobec obecnych uwarunkowań faktycznych (szerokie stosowania instrumentów informatycznych w ramach oceny zdolności kredytowej i analizy ryzyka kredytowego) jak i prawnych – tak: dodanie regulacji, statuującej powinność udzielenia informacji osobom, z którymi nie zawarto umowy kredytowej. Jednocześnie jak wskazano wcześniej, prawodawca - nie określając szczegółowych zasad przetwarzania danych osobowych klientów, z którymi nie zawarto umowy - nie wyraził w ten sposób zakazu ich przetwarzania - tak brzmienie całego art. 105a. ustawy - Prawo bankowe. Na szczeblu danej ustawy, nie przesądzono jedynie szczegółowo, jakie są ramy (np. co do cezury czasu), gdy ogólnie jest to dopuszczalne. Wniosek taki potwierdza brak nowelizacji art. 105a na etapie ustanowienia powinności, wynikającej z art. 70a, dla której realizacji niezbędne jest przetwarzanie danych w zakresie szerszym niż przewidziany w art. 105a ust. 3-7. Zasadne jest wobec tego przyjęcie, że podstawy przetwarzania takich danych mogą wynikać także z reguł odrębnych – np. ochrony słusznych interesów Banku czy BIK w obrocie gospodarczym. W tym kontekście należy wskazać, że trafne są zarzuty skarg, gdzie podnoszono, że uzasadniony interes administratorów (Banku i BIK) przemawiał za okresowym (w przypadku Banku) lub dalszym (przypadek BIK) przetwarzaniem danych osobowych Wnioskodawcy, będących niejako niezbędnym znacznikiem identyfikującym zdarzenie - skierowania konkretnych Zapytań I i II oraz ewentualnego udzielenia nań odpowiedzi przez Bank, a także udziału w tych czynnościach BIK. Nie budzi wątpliwości trafność wywodów stron skarżących, gdzie wskazano, że informacje o określonym zdarzeniu mogą mieć istotne znaczenie zarówno w kontekście przywołanego już obowiązku informacyjnego (tak art. 70a ustawy – Prawo bankowe), jak i wobec ewentualnych roszczeń, z którymi mogą wobec Banku występować ich niedoszli klienci - w związku z domniemanymi nieprawidłowościami, w kontekście rozpatrywania ich wniosków kredytowych - oraz ewentualnie negatywnymi ich następstwami z perspektywy swoich interesów (nie udzielenie kredytu bądź zaproponowanie go na warunkach, nieakceptowalnych dla konkretnego klienta). Roszczenia mogą dotyczyć także domniemanych nieprawidłowości w zakresie przetwarzanie danych osobowych wnioskujących o kredyt - na etapie procedury rozpoznawania ich wniosków – a więc także obsługi konkretnych Zapytań I i II przez Bank czy BIK. Wbrew stanowisku organu, nie może mieć kluczowego znaczenia, że pomiędzy Bankiem i Wnioskodawcą nie doszło do zawarcia umowy. Podstawą roszczeń może być bowiem zarówno odpowiedzialność kontraktowa jak i deliktowa. Nie jest trafne generalne stanowisko organu, jakoby możliwość przetwarzania danych osobowych - w kontekście potencjalnych przyszłych roszczeń - mogła być ograniczona wyłącznie do przypadków, gdy toczą się stosowne postępowania - organ wyjaśniał wyłącznie kwestie w tym zakresie i szczegółowo się do niej odnosił – nawet, gdy taka teza bywa prezentowana w judykaturze. Sąd w tym składzie poglądu tego nie podziela. Uważa natomiast za trafne stanowisko wyrażone w wyroku Naczelnego Sądu Administracyjnego z 20 lutego 2024 r (sygn. akt III OSK 2700/22 – dostępne w CBOSA). W jego uzasadnieniu wskazano m.in.: "Wyłączenie stosowania art. 6 ust. 1 lit f RODO, gdy administrator przetwarza dane osobowe na wypadek ewentualnego sporu sądowego, wyłącznie z uwagi na jego potencjalność jest nieuzasadnione. Taka interpretacja art. 6 ust. 1 lit. f RODO byłaby zbyt formalistyczna i nieznajdująca potwierdzenia w przyjętym sposobie jego rozumienia.", zaś dalej: "Jeżeli łącząca te dwa podmioty relacja zawiera w sobie prawnie dopuszczalne roszczenie, które może być dochodzone na drodze sądowej, to nie można z góry wyłączyć dopuszczalności przetwarzania danych osobowych na podstawie art. 6 ust. 1 lit. f RODO, wyłącznie z uwagi na potencjalność realizacji tego roszczenia.[...] relacja łącząca administratora z osobą której dane za jej zgodą są przetwarzane może ulec zmianie, przekształceniu, wygaśnięciu, co może się wiązać z powstaniem innej, (nowej) relacji, w ramach której uprzednio wyrażona zgoda na przetwarzanie nie będzie już adekwatna. Istotą tej "nowej" relacji może być potencjalny i zarazem prawnie dopuszczalny spór sądowy wynikający z niewłaściwej realizacji praw i obowiązków będących przedmiotem relacji "starej". Nie można w takim układzie wykluczyć, że przetwarzanie danych osobowych przez administratora do czasu wystąpienia przez którąkolwiek ze stron z roszczeniem na drogę sądową, lub do czasu przedawnienia tego roszczenia, będzie zgodne z art. 6 ust. 1 lit. f RODO. Celem administratora wynikającym z jego prawnie uzasadnionych interesów będzie zabezpieczenie się na wypadek konieczności wejścia w spór sądowy.". Sąd w pełni te oceny podziela. Nie można stąd uznać, że możliwość przetwarzania danych osobowych – w kontekście potencjalnych przyszłych roszczeń - ograniczono wyłącznie do przypadków, gdy toczy się stosowne postępowanie lub przetwarzający dane planuje wystąpić z konkretnym roszczeniem. Intencji ograniczenia możliwości przetwarzania danych osobowych klientów przez podmioty prowadzące profesjonalnie działalność gospodarczą (np. banki) - co do ochrony przed ich potencjalnymi roszczeniami, czy możliwości dochodzenia własnych, ujawnionych później - nie sposób przypisać racjonalnemu prawodawcy na gruncie ogólnej reguły, wyrażonej art. 6 ust. 1 RODO - w szczególności sformułowania użytego w lit. f tego aktu – w kontekście ewentualnego, realnego i drastycznego ograniczenia ochrony praw podmiotów w obrocie gospodarczym. Analogiczne reguły nie dotyczą bowiem będących klientami osób fizycznych – tak przechowywanie danych o transakcjach, operacjach, należnościach na potrzeby własne. Uznanie, jakoby – wobec negatywnego rozpatrzenia wniosku o zawarcie umowy kredytowej – obowiązkiem Banku (odpowiednio BIK) było usunięcie danych tego klienta, ograniczałoby lub wręcz w istocie wyłączało możliwość ochrony przed ewentualnymi, późniejszymi roszczeniami - jeszcze przed ich przedawnieniem w świetle reguł K.c. Mogłoby też prowadzić do istotnego ograniczenia praw samych klientów Banku – wobec braku stosownej dokumentacji po stronie wyspecjalizowanego podmiotu, świadczącego usługi - w kontekście dokumentacji, która z określonych przyczyn nie jest w dyspozycji jego klienta. Reasumując, prezentowane przez organ rozumienie przepisów, określających ramy przetwarzania danych osobowych klientów podmiotów, prowadzących działalność gospodarczą – w tym banków (odpowiednio BIK), ograniczałoby – bądź wręcz w niektórych przypadkach pozbawiałby - prawa obu stron, wynikającego wprost z generalnych reguł prawa materialnego (K.c.). Miałoby to znaczny wpływ na zmianę istotnych realiów obrotu gospodarczego. Intencji wprowadzenia tak głębokiej modyfikacji w relacje między kontrahentami nie sposób przypisać prawodawcy na szczeblu UE, wobec aktualnego brzmienia regulacji RODO w danym zakresie - w szczególności, gdy ma być to efektem pewnej ich wykładni. Wolę ustanowienia takich zmian musiałby prawodawca wyrazić wprost. Nie jest trafna argumentacja organu, jakoby odnoszenie się do kwestii przedawnienia roszczeń - w kontekście podstaw prawnych przetwarzania danych osobowych - było niezasadne, skoro upływ terminu nie powoduje wygaśnięcia roszczeń. Po upływie terminu przedawnienia możliwość dochodzenia roszczeń jest bowiem znacznie ograniczona (instytucja zarzutu przedawnienia). Oceny występowania podstaw przetwarzania danych osobowych dokonuje się zaś w kontekście niezbędności dla celów, wynikających z prawnie uzasadnionych interesów, realizowanych przez administratora (tak art. 6 ust. 1 lit. f RODO). Przetwarzanie więc danych – gdy realizacja potencjalnych roszczeń obu stron nie jest faktycznie prawdopodobna – nie znajduje w istocie racjonalnych podstaw. Istnieje więc obiektywna cezura czasowa, gdy odpada podstawa do dalszego przetwarzania danych dla określonego celu. Nie można więc wywodzić, jakoby - przy przyjęciu danej interpretacji – ochrona przed bezterminowym przetwarzaniem danych osobowych stawała się iluzoryczna. Wypada w końcu zauważyć, że prezentowane tu przez Sąd rozumienie przepisów RODO, określających ramy dopuszczalności przetwarzania danych osobowych, nie jest sprzeczne z brzmieniem regulacji tego rozporządzenia ani wyrażonymi celami jego wydania. Otóż, przetwarzanie danych osobowych klientów, z którymi profesjonalne podmioty gospodarcze wchodzą w relacje – gdy służyć ma ochronie przed ewentualnymi roszczeniami, czy dochodzeniu własnych, o ile ujawnią się w przyszłości - nie godzi - z perspektywy powszechnie akceptowanego systemu wartości - w żadne, mające nadrzędny charakter interesy klientów lub ich podstawowe prawa i wolności, w rozumieniu art. 6 ust. 1 pkt 1 lit. f in fine RODO. Rzecz dotyczy natomiast tego, czy gromadzenie danych odbywa się jedynie w tym celu oraz zabezpieczono je - przy zastosowaniu odpowiednich procedur (w tym warunków dostępu uprawnionych pracowników podmiotu) i środków technicznych - aby nie można było ich wykorzystać w inny sposób. W tej jednak kwestii organ nie formułował żadnych zarzutów bądź wskazań. Jeżeli natomiast dane właściwie zabezpieczono nie sposób zakładać, aby klienci podmiotów gospodarczych nie mogli oczekiwać, że są one przechowywane - zgodnie z akceptowaną dotychczas praktyką - gdzie racjonalnie ważono interesy podmiotów gospodarczych (ochrony przed roszczeniami oraz własnych potencjalnych roszczeń) oraz ich klientów. Przetwarzanie danych w przedmiotowym zakresie nie sprzeciwia się w szczególności regule, wyrażonej w motywie 47 RODO. Wskazano tam, że dopuszczalność przetwarzania danych bez zgody zainteresowanych – wobec uzasadnionego interesu administratora - wyznaczają także ramy "rozsądnych oczekiwań", że administrator to czyni. Przy formułowaniu oceny zakresu stanowionej przepisami RODO ochrony należy więc – z woli samego prawodawcy - odnosić się w istocie do powszechnej praktyki w danym względzie (tak: rozsądne oczekiwania). Nie sposób więc zakładać, aby intencją tegoż prawodawcy - stanowiącego przepisy w zakresie ochrony danych osobowych w RODO - było ingerowanie w praktyki gospodarcze (ich istotna modyfikacja) – na przykład ograniczenie możliwości dochodzenia roszczeń przed terminem ich przedawnienia. Chodziło natomiast, aby – w ramach tych, stosowanych powszechnie praktyk - dane osobowe były zabezpieczone – m.in. przez minimalizację ich przetwarzania jedynie do niezbędnych granic. Nie sposób wywodzić wobec tego z reguł RODO, aby aktem tym wprowadzono ograniczenia, co do przetwarzania danych osobowych w zakresie przydatnym dla racjonalnego - opartego na powszechnej praktyce - prowadzenia obrotu gospodarczego. Zamieszczone tam reguły mają zaś służyć ograniczeniu przetwarzania danych osobowych poza tymi ramami, także przez ich stosowne zabezpieczenie - przy zastosowaniu środków technicznych i procedur dostępu - przed wykorzystaniem, wykraczającym poza cele, dla których je gromadzono. Nie jest w końcu racjonalne założenie, jakoby ramy przetwarzania danych osobowych - w kontekście ochrony przed roszczeniami bądź dochodzenia potencjalnych własnych - należało ograniczać każdorazową analizą przypadków wszystkich klientów, czy istnieje realne prawdopodobieństwo ich przydatności - realność roszczeń obu stron. Praktyka taka determinowałaby po stronie podmiotów, prowadzących działalność gospodarczą w relacjach z wieloma osobami fizycznymi (tu banków, BIK), potrzebę ustanowienia procedur analizy każdego przypadku i budowy modeli postępowania w oparciu o kryteria prawdopodobieństwa. Intencji obciążenia przedsiębiorców tego rodzaju powinnościami nie sposób wywieść z przepisów, dotyczących ochrony danych osobowych, gdzie umożliwiano ich przetwarzanie, gdy jest to racjonalnie uzasadnione i nie godzi w chronione interesy zainteresowanych osób, w rozumieniu art. 6 ust. 1 lit. f in fine RODO. Bezpodstawne byłoby zaś przyjęcie, że przypadek godzenia w te interesy ma miejsce zawsze, gdy gromadzone (a więc przetwarzane) dane osobowe mogą być jedynie potencjalnie przydatne (wedle określenia "gromadzenie na zapas"). Chybiona jest więc ocena, jakoby podstawą przetwarzania przez Bank czy BIK danych Wnioskodawcy nie mogła być potrzeba ochrony przed ewentualnymi jego roszczeniami czy możliwość zaspokojenia przyszłych, własnych. Osobną kwestią jest natomiast istnienie po stronie administratorów stosownych środków, gwarantujących bezpieczeństwo danych - możliwość ich wykorzystania jedynie dla zakładanych celów. Jak z kolei wskazano wcześniej art. 105 ust. 3-7 ustawy - Prawo bankowe - gdzie wymieniono szereg szczegółowych przypadków i warunków przetwarzania danych osobowych klientów przez banki i inne instytucje finansowe – nie może być rozumiany jako lex specialis – regulacja wyłączająca uprawnienia, wynikające z ogólnych reguł K.c., w kwestii przedawnienia roszczeń bądź je modyfikująca. Trafnie wprawdzie organ przywołuje fragmenty orzeczenia o sygn. akt I OSK 2567/17, gdzie ogólnie odnotowano brak podstaw przetwarzania danych, gdy nie doszło do zawarcia umowy. Pomija jednak część końcową cytowanego fragmentu. Wskazano tam wprost, że bezprawność ta dotyczy przypadków, gdy administrator nie może wskazać prawnie uzasadnionych celów przetwarzania. Przetwarzanie informacji dla celów archiwalnych - wobec powinności z art. 70a ustawy - Prawo bankowe, czy potencjalnego ryzyka roszczeń w celu zabezpieczenia przed nimi - stanowi taki cel, w myśl art. 6 ust. 1 lit. f RODO. Wadliwie oceniając ustawowe ramy dopuszczalności przetwarzania danych wobec treści art. 105a ustawy - Prawo bankowe, organ bezzasadnie wywiódł, jakoby zakres gromadzenia danych dla potrzeb tzw. reguł ostrożnościowych (ocena zdolności kredytowej oraz ryzyka kredytowego), nie mógł wynikać z zasad określonych stosownymi rekomendacjami KNF. Prowadziło to do uchybienia przepisom postępowania, co do powinności właściwego wyjaśnienia sprawy w danym kontekście - w stosownych ramach prawnych, także co do budowy tzw. modeli scoringowych. Z uzasadnienia zaskarżonej decyzji nie wynika, aby organ ogólnie kwestionował przydatność przetwarzania danych Wnioskodawcy, pozyskanych przy obsłudze operacji Zapytania I i II, dla oceny zdolności kredytowej i ryzyka kredytowego – także w kontekście budowy tzw. modeli scoringowych. Wobec błędnego wyłożenia treści normatywnej przepisów prawa bankowego wywodził jedynie, że – po stronie Banku - nie występuje w danym zakresie obowiązek prawny bądź nie jest to niezbędne dla celów, wynikających z prawnie uzasadnionych interesów. Nie sposób przyjąć, jakoby problematyka ilości wniosków kredytowych konkretnej osoby, niezakończonych zawarciem umowy, nie miała znaczenia dla oceny zdolności kredytowej, bądź ryzyka kredytowego, gdy odmienne stanowisko prezentują podmioty rynku finansowego - zajmujące się profesjonalnie obsługą kredytów. Rozstrzygnięcie danej kwestii może wymagać wiedzy specjalnej. Zasadna jest tu ponowna analiza - przy właściwym rozumieniu treści normatywnej stosownych regulacji. Przedwczesne byłoby więc zajmowanie przez Sąd stanowiska, czy rozstrzygnięcie organu narusza również regułę art. 6 ust. 1 lit. c RODO oraz stosowne - powołane w skardze - regulacje prawa materialnego, z których miałby wynikać obowiązek dalszego przetwarzania danych Wnioskodawcy, w tym rekomendacje KNF. Musiałby w tej kwestii wpierw wypowiedzieć się wyczerpująco organ, wydając orzeczenie w sprawie, zainicjowanej skargą Wnioskodawcy. Wobec wadliwego wyłożenia treści normatywnej przepisów, zakreślających możliwość przetwarzania danych osobowych Wnioskodawcy, sprawy nie wyjaśniono także w innym, istotnym aspekcie. Co wynika z uzasadnienia decyzji, Bank w okresie roku zaś BIK do dnia wydania zaskarżonej decyzji przetwarzały dane Wnioskodawcy w bardzo szerokim zakresie - m.in. dane identyfikacyjne, jak seria i numer dowodu osobistego, adres zamieszkania itd. W kontekście podstaw, legalizujących przetwarzania tych danych - powinności bądź uzasadnionego interesu prawnego - wymaga wyjaśnienia, czy: - cały ich zakres jest w istocie niezbędny dla realizacji dopuszczalnych celów przetwarzania oraz - są one gromadzone w sposób umożliwiający dostęp do nich tylko dla realizacji zadań, znajdujących oparcie w art. 6 ust. 1 lit. c lub f RODO. Powinnością Banku i BIK jest bowiem minimalizacja przetwarzania danych osobowych wyłącznie do zakresu niezbędnych oraz stosowne ich zabezpieczenie - aby wykluczyć ich wykorzystanie w celach innych niż są nadal legalnie przetwarzane. Jeżeli BIK przetwarzają nadal dane Wnioskodawcy, w zakresie gdzie wykracza to poza uprawnione cele (np. w bazach gdzie możliwy jest do nich szeroki dostęp), organ jest uprawniony - wobec skargi Wnioskodawcy – wydać w stosownym zakresie decyzję naprawczą. Orzeczenie o charakterze dyscyplinującym mógł organ wydać także wobec Banku, jeżeli w okresie roku przetwarzano dane w zakresie wykraczającym poza uzasadnione w - rozumieniu art. 6 ust. 1 RODO cele – przy uwzględnieniu reguły minimalizacji przetwarzania danych (tak art. 5 ust. 1 lit. c danego aktu). W końcu za uzasadnione należy uznać zarzuty skarg, dotyczące braku właściwego wyjaśnienia sprawy w kontekście powinności przetwarzania danych osobowych Wnioskodawcy, wynikających z ustawy AML. Pomimo, że zarówno Bank jak i BIK przywoływały w toku postępowania - jako podstawę przetwarzania - obowiązki, związane z przeciwdziałaniem praniu pieniędzy oraz finansowaniu terroryzmu (tak pismo BIK k. 11 oraz pismo Banku k. 18 akt administracyjnych), organ nie odnotował tego w uzasadnieniu referując stan faktyczny, ani też nie ocenił danej podstawy - przez odniesienie we fragmentach, gdzie sformułowano merytoryczne konkluzje. W powyższych zakresach nie można więc uznać sprawy za właściwie wyjaśnioną, także w kontekście sformułowania stosownego uzasadnienia, co czyni zasadnym zarzuty naruszenia art. 7, 77 § 1 i art. 80 oraz 107 § 3 wobec art. 8 ust. 1 i art. 11 K.p.a. Uchybienie to mogło mieć wpływ na wynik sprawy skoro orzeczono o bezpodstawności przetwarzania danych osobowych Wnioskodawcy, wynikających z Zapytania I i II, oraz odpowiednio o powinności ich usunięcia. Wobec wskazanych uwarunkowań, Sąd nie mógł uwzględnić wniosku Banku o umorzenie postępowania przed organem - w myśl art. 145 § 3 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2024 r., poz. 935 ze zm.). Sprawa wymaga bowiem nadal wyjaśnienia wobec żądania Wnioskodawcy. Chybione są natomiast inne zarzuty skarg z następujących powodów: - organ nie był obowiązany występować do innej wyspecjalizowanej instytucji - np. KNF - w celu ustalenia ram ciążących na Banku i BIK obowiązków, wobec stosownych reguł wewnętrznych, dotyczących funkcjonowania sektora bankowego; określają je bowiem także stosowne akty normatywne, z uwzględnieniem charakteru rekomendacji; może natomiast zasięgnąć stosownej opinii, o ile poweźmie określone wątpliwości; ostateczna ocena ram prawnych przetwarzania danych osobowych przez sektor bankowy pozostaje w indywidualnej kompetencji organu wyspecjalizowanego w sprawach ochrony danych osobowych, - poprzez zastosowanie instytucji upomnienia organ nie naruszył zasady ustanowionej art. 8 § 2 K.p.a.; gdyby trafnie wywiedziono, że Bank uchybił regułom przetwarzania danych osobowych Wnioskodawcy, organ może udzielić upomnienia, także w razie nie stosowania takiej praktyki dotychczas; dobór środków dyscyplinujących - w kontekście okoliczności sprawy - przypisano właśnie wyspecjalizowanemu organowi; w razie ustalenia, że określone naruszenie - pomimo kwestionowania danej praktyki przez organ - występuje nadal w analogicznych sprawach, za zasadne można uznać zastosowanie właściwych środków, prowadzących do zapewnienia przestrzegania prawa; jak zaś zauważył pełnomocnik organu na rozprawie - upomnienie stanowi jeden z mniej dolegliwych; sankcja upomnienia (w myśl art. 58 ust. 2 lit. b RODO) może być też traktowana jako środek ekwiwalentny wobec nakazu usunięcia nieprawidłowości (wedle art. 58 ust. 2 lit. c danego aktu), który także potwierdza jej wystąpienie (analogicznie do upomnienia); w przypadku Banku zaś ten ostatni instrument naprawczy nie mógł znaleźć zastosowania; gdyby więc sformułowane przez organ oceny - w kwestii wystąpienia nieprawidłowości - były trafne, zastosowanie sankcji upomnienia nie wykraczałoby poza granice uznania administracyjnego, zakreślone treścią art. 7 K.p.a. - ważenia słusznego interesu strony oraz publicznego. Nie ma też z kolei kluczowego znaczenia, że informacje o osobach wnoszących o udzielnie kredytu, z którymi nie zawarto umowy, mogą być istotne z perspektywy oceny dla potrzeb banków i innych instytucji finansowych zdolności kredytowej czy ryzyka kredytowego. Oznacza to tyle, że w interesie sektora bankowego może pozostawać szerokie przetwarzanie takich danych - dla bieżącej oceny kolejnych wniosków (tych samych osób bądź innych - wobec budowy stosownych modeli) - np. przez znaczny czas. Sama użyteczność danych w tym kontekście nie przesądza jednak, że działania te są nakazane w ramach reguł ostrożnościowych, stanowionych w regulacjach szczególnych – co należy wyjaśnić. Jeżeli nie jest to wskazane wprost w stosownych, wiążących Bank (odpowiednio BIK) aktach, sama przydatność danych nie może determinować legalności przetwarzania w rozumieniu art. 6 ust. 1 lit. c RODO. Przy ocenie, czy przetwarzanie danych Wnioskodawcy jest niezbędne do celów, wynikających z prawnie uzasadnionych interesów (w myśl art. 6 ust. 1 lit. f RODO), należy mieć z kolei na względzie, że - o ile przetwarzanie informacji o osobach, gdy kredytu nie udzielono, ma istotne znaczenie z perspektywy ograniczenia ryzyka kredytowego - działania to może być nie tylko w partykularnym interesie sektora bankowego lecz także publicznym - w kontekście ograniczenia kosztów kredytów, jako następstwa redukcji ryzyka – wyższej skuteczności narzędzi ostrożnościowych. Jeżeli intencją Wnioskodawcy było jedynie zaprzestanie przetwarzania danych osobowych przez Bank i BIK w celu oceny jego dalszych wniosków kredytowych – w tym udostępnianie informacji o Zapytaniach I i II podmiotom trzecim, dalsze postępowanie organu może koncentrować się w tym zakresie – wobec konkretnej skargi. Nie musi okazać się konieczna ocena wszelkich aspektów przetwarzania danych Wnioskodawcy przez Bank i BIK – np. w celach archiwalnych (w tym ochrona przed roszczeniami, realizacji innych obowiązków), czy w celu tworzenie ogólnych modeli ostrożnościowych (scoringu). Z przytoczonych wyżej przyczyn, na podstawie art. 145 § 1 pkt 1 lit. a i c ustawy - Prawo o postępowaniu przed sądami administracyjnymi, orzeczono jak w pkt 1 sentencji. O zwrocie kosztów postępowania postanowiono: - w pkt 2 w myśl art. 200 w zw. z art. 205 § 2 powyższej ustawy oraz § 14 ust. 1 pkt 1 lit. c rozporządzenia Ministra Sprawiedliwości z dnia 22 października 2015 r. w sprawie opłat za czynności radców prawnych (Dz.U. z 2018 r., poz. 265), - w pkt 3 w myśl art. 200 w zw. z art. 205 § 2 powyższej ustawy oraz 14 ust. 1 pkt 1 lit. c rozporządzenia Ministra Sprawiedliwości z dnia 22 października 2015 r. w sprawie opłat za czynności adwokackie (Dz.U. z 2023 r. poz. 2631). Do kosztów zaliczono wynagrodzenia pełnomocników w kwotach po 480 zł, wpisy sądowe od skarg – po 200 zł oraz po 17 zł tytułem opłaty skarbowej od pełnomocnictwa. Rozpatrując ponownie sprawę organ administracji uwzględni ocenę prawną, sformułowaną w niniejszym uzasadnieniu. ----------------------- 19