II SA/Wa 1856/24

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Andrzej Góraj, Sędzia WSA Andrzej Wieczorek (spr.), Asesor WSA Arkadiusz Koziarski, , Protokolant referent Magdalena Morawiec, po rozpoznaniu na rozprawie w dniu 13 maja 2025 r. sprawy ze skargi [...] z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] września 2024 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę Prezes Urzędu Ochrony Danych Osobowych (dalej Organ/Prezes UODO) decyzją z dnia [...] września 2024 roku nr [...] po przeprowadzeniu postępowania administracyjnego w sprawie skargi Pana P. H. (dalej Skarżący), na nieprawidłowości w procesie przetwarzania jego danych osobowych przez [...] S.A. w [...] (dalej Bank), nakazał Bankowi, usunięcie danych osobowych Skarżącego, w zakresie wynikającym z zapytania kredytowego z dnia [...] kwietnia 2022 r. Do Prezesa UODO wpłynęła skarga Skarżącego, na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Bank. Skarżący w skardze do organu wskazał, że Bank bezprawnie przetwarza jego dane osobowe w związku z zapytaniem kredytowym z dnia [...] kwietnia 2022 r., które nie zakończyło się zawarciem umowy o kredyt. Podniósł, że nigdy nie stał się klientem tego Banku i nie łączyła go z Bankiem żadna umowa (dowód: skarga z dnia 3 stycznia 2023 r. wraz z załącznikami). Ustalono, że Skarżący w dniu [...] kwietnia 2022 r. złożył wniosek o kredyt, w wysokości 200.000,00 zł. Wniosek spowodował wysłanie zapytania do bazy Biura Informacji Kredytowej S.A. (dalej: BIK). Bank zaoferował Skarżącemu udzielenie kredytu w wysokości 42.112,00 zł. Bank wyjaśnił, że nie podjął decyzji o odmowie zawarcia umowy kredytu ze Skarżącym w zakresie przedmiotowego wniosku z dnia [...] kwietnia 2022 r. - to Skarżący zrezygnował z zawarcia umowy. Bank nie uwzględnił wniosku Skarżącego z dnia 21 grudnia 2022 r. o zaprzestanie dalszego przetwarzania jego danych osobowych. W dniu 2 stycznia 2023 r. Skarżący otrzymał pismo, z którego wynika, że jego wniosek nie został uwzględniony, a jego dane będą przetwarzane jeszcze przez 5 lat (dowód: skarga z dnia 3 stycznia 2023 r. wraz z załącznikami). Bank wyjaśnił, że pozyskał dane Skarżącego w zakresie przedmiotowego zapytania kredytowego w dniu [...] kwietnia 2022 r. bezpośrednio od niego oraz w związku ze złożonym przez Skarżącego w oddziale Banku wnioskiem o kredyt. Dane te zostały pozyskane w celu realizacji ww. wniosku, w tym oceny zdolności kredytowej i analizy ryzyka. Bank pozyskał dane osobowe Skarżącego w zakresie: imię, nazwisko, PESEL, datę urodzenia, typ dokumentu, seria i numer dokumentu tożsamości, nazwa zakładu pracy, NIP, Regon, adres pracodawcy, telefon, branżę, rodzaj miejsca pracy, zawód wykonywany, okres uzyskiwania dochodu, data zatrudnienia, rodzaj umowy, stanowisko, miesięczny dochód, zobowiązania, stan cywilny, wykształcenie, status mieszkaniowy, liczbę osób w gospodarstwie. Bank wskazał, że aktualnie przetwarza dane osobowe Skarżącego w zakresie wniosku z dnia [...] kwietnia 2022 r. oraz raportu będącego odpowiedzią na zapytanie Banku w celach archiwalnych (dowód: wyjaśnienia Banku z dnia 15 lutego 2023 r. wraz z załącznikami). Wskazał, że Skarżący w dniu [....] kwietnia 2022 r. złożył wniosek o kredyt w wysokości 200.000,00 PLN w Oddziale Banku. Skarżącemu zaoferowano udzielenie kredytu w wysokości 42.112,00 PLN. Bank wyjaśnił, że nie podjął decyzji o odmowie zawarcia umowy kredytu ze Skarżącym w zakresie przedmiotowego wniosku z dnia [...] kwietnia 2022 r. ale to Skarżący zrezygnował z zawarcia umowy. Pracownik Banku w tym samym dniu, tj. [...] kwietnia 2022 r., odznaczył w systemie Banku, że Skarżący zgłosił rezygnację z kredytu w zaproponowanej przez Bank wysokości (dowód: wyjaśnienia Banku z dnia 17 kwietnia 2023 r. wraz z załącznikami oraz wyjaśnienia Banku z dnia 18 maja 2023 r.). Bank wyjaśnił, że aktualną podstawą przetwarzania danych pochodzących z wniosku kredytowego jest: a) art. 6 ust. 1 lit. f) rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35; dalej: RODO) w zw. z art. 70a ust 1 Prawa bankowego oraz w zw. z art. 118 ustawy z dnia 23 kwietnia 1964 r. Kodeks cywilny (t.j. Dz. U. z 2022 r. poz. 1360 ze zm.; dalej: k.c.) - Bank wskazał, że na tej podstawie będzie przetwarzał dane osobowe Skarżącego przez okres 3 lat, tj. do dnia [...] kwietnia 2025 r.; b) prowadzenie niniejszego postępowania - Bank wyjaśnił, że przetwarza dane osobowe Skarżącego w związku z procesowaniem niniejszego postępowania, prowadzonego przed Prezesem UODO. Dane wynikające z prowadzenia niniejszego postępowania są aktualnie przetwarzane na jego użytek; c) zrealizowanie obowiązku wynikającego z art. 70a ust 1 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz.U.2024.1646 t.j. z dnia 12 listopada 2024 dalej Prawo bankowe) oraz możliwość obrony swoich praw w przypadku zaskarżenia przez Skarżącego wyniku przeprowadzonego przez Bank procesu kredytowego na zasadach ogólnych sformułowanych w powszechnie obowiązujących przepisach prawa; d) art. 6 ust. 1 lit. c RODO w związku z art. 105a ust. 1-1c Prawa bankowego, stanowiący samodzielną podstawę prawną przetwarzania danych w zakresie budowy i stosowania modeli statystycznych, wykonywania obowiązków nałożonych tymi przepisami, przepisami rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 575/2013 z 26 czerwca 2013 r. w sprawie wymogów ostrożnościowych dla instytucji kredytowych i firm inwestycyjnych, zmieniającego rozporządzenie (UE) nr 648/2012 (Dz. Urz. UE L 176 z 27.06.2013, str. 1 ze zm.; dalej: CRR) oraz rekomendacjami Komisji Nadzoru Finansowego (dalej KNF) w tym korzystania z baz zewnętrznych. Bank jest uprawniony i zobowiązany do przeprowadzenia analizy ryzyka kredytowego. Ten cel polega na rozpoznaniu i ocenie ryzyka związanego z przyznaniem kredytu konkretnej osobie w konkretnej wysokości oraz oszacowanie ryzyka dla banku w szerszym kontekście i stosownie do wymagań CRR i rekomendacji KNF; e) art. 6 ust. 1 lit. c RODO w zw. z art. 144 ust. 1 lit. d, art. 145 ust. 1, art. 170 ust. 3 lit. a, art. 171 ust. 2 i art. 179 ust 1 lit. a oraz art. 181 ust. 2 CRR, wskazującymi na określone obowiązki w zakresie wymogów ostrożnościowych. Dla badania portfelowego ryzyka kredytowego potrzebne jest korzystanie z zaawansowanych metod statystycznych czyli tzw. metod scoringowych. Pozwalają one na stałe monitorowanie ryzyka kredytowego dla banku czy nawet całej grupy kapitałowej w oparciu z jednej strony o dane na temat konkretnych zobowiązań, z drugiej o dane makroekonomiczne; f) art. 6 ust. 1 lit. c RODO w zw. z art. 105 ust. 4 Prawa bankowego, który nakłada na Bank obowiązek korzystania z zewnętrznej bazy danych do oceny zdolności kredytowej i analizy ryzyka kredytowego. Badając zdolność kredytową i dokonując analizy kredytowej Bank musi mieć następnie dowód przeprowadzenia tych czynności. Zgodnie z treścią tego przepisu wymiana informacji służy nie tylko ocenie zdolności kredytowej danej osoby w chwili rozpatrywania wniosku, ale także stosowaniu metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej CRR; g) art. 6 ust.1 lit. c RODO w zw. z art. 33 ust. 2, art.3 3 ust. 3 pkt 6, art. 34 ust 1, art. 36, art. 46 oraz art. 49 ust. 1 i ust. 2, art. 35 ust. 1 pkt 1) oraz art. 39 ust. 1 ustawy z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (t.j. Dz. U. z 2022 r. poz. 593 ze zm.; dalej: AML), które nakładają na Bank obowiązek przetwarzania informacji, w tym danych osobowych w celu zapewnienia bezpieczeństwa obrotu gospodarczego poprzez przeprowadzenie identyfikacji, weryfikacji tożsamości i szczegółowego badania dot. klientów, w tym przyszłych klientów, jaki badania powiązań kapitałowo-osobowych (dowód: wyjaśnienia Banku z dnia 15 lutego 2023 r. wraz z załącznikami; wyjaśnienia Banku z dnia 18 maja 2023 r.). Bank przyjął, że dane Skarżącego są przetwarzane w BIK przez okres 12 miesięcy od dnia, w którym zostały przez Bank wysłane. Bank wyjaśnił, że dane Skarżącego zostały przekazane przez Bank do BIK w dniu [...] kwietnia 2022 r. w związku z realizacją procesu o udzielenie kredytu/pożyczki w celu przeprowadzenia oceny jego zdolności kredytowej (dowód: wyjaśnienia Banku z dnia 15 lutego 2023 r. wraz z załącznikami). Bank wyjaśnił, że Skarżący zwrócił się do Banku pismem z dnia 21 grudnia 2022 r. (doręczone do Banku w dniu 27 grudnia 2022 r.), zawierającym żądanie zaprzestania przetwarzania jego danych osobowych oraz usunięcia zapytania kredytowego z dnia [...] kwietnia 2022 r. Skarżący ponownie przesłał do Banku to samo pismo w dniu 9 stycznia 2023 r. Bank, w odpowiedzi na pismo z dnia 21 grudnia 2022 r., poinformował Skarżącego, że nie może spełnić jego żądania i że dane Skarżącego są przetwarzane w BIK przez okres 12 miesięcy od dnia, w którym zostały przez Bank wysłane. Po tym czasie zapytanie będzie przetwarzane przez 10 lat tylko do celów statystycznych, budowy modeli scoringowych. Wskazał, że inne banki nie będą dostawały tych informacji, więc nie będą ich mogły wykorzystać. W kolejnym piśmie, kierowanym do Skarżącego, Bank podtrzymał swoje stanowisko (dowód: wyjaśnienia Banku z dnia 15 lutego 2023 r. wraz z załącznikami). Bank nie wystąpił wobec Skarżącego z roszczeniem. Skarżący nie wystąpił wobec Banku z jakimikolwiek roszczeniami lub reklamacjami (dowód: dowód: wyjaśnienia Banku z dnia 17 kwietnia 2023 r. wraz z załącznikami). Zaskarżoną Decyzją Organ działając na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2024 r. poz. 572 ze zm.), art. 7 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781), oraz na podstawie art. 6 ust. 1 oraz art. 58 ust. 2 lit. c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35), po przeprowadzeniu postępowania administracyjnego w sprawie skargi Skarżącego, na nieprawidłowości w procesie przetwarzania jego danych osobowych przez Bank, polegające na przetwarzaniu jego danych osobowych w zakresie zapytania kredytowego z dnia [...] kwietnia 2022 r., które nie zakończyło się zawarciem umowy o kredyt, bez podstawy prawnej, Prezes Urzędu Ochrony Danych Osobowych nakazał Bankowi, usunięcie danych osobowych Skarżącego, w zakresie wynikającym z zapytania kredytowego z dnia [...] kwietnia 2022 r. Organ wskazał, że przepisem uprawniającym administratorów danych do przetwarzania zwykłych danych osób fizycznych jest art. 6 ust. 1 RODO, zgodnie z którym, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy spełniona jest jedna z przesłanek wskazanych w tym przepisie. Katalog przesłanek wymienionych w art. 6 ust. 1 RODO, jest zamknięty. Każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny. Dodatkowo, proces przetwarzania danych osobowych musi być zgodny z zasadami ustanowionymi w art. 5 ust. 1 RODO. Do zasad tych zalicza się między innymi ograniczenie celu (art. 5 ust. 1 lit. b RODO) oraz minimalizację danych (art. 5 ust. 1 lit. c RODO). Wspomniane zasady wymagają, by dane osobowe były zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami, a proces przetwarzania danych osobowych był adekwatny, stosowny oraz ograniczony do tego, co niezbędne do celów, w których są przetwarzane. W ocenie Organu zgodnie z art. 105a ust. 1 Prawa bankowego, przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów, instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d u.k.k., a także instytucje utworzone na podstawie art. 105 ust. 4, informacji stanowiących tajemnicę bankową i informacji udostępnionych przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d u.k.k., w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem art. 104, 105 i art. 106 - 106d Prawa bankowego w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Zgodnie zaś z art. 105a ust. 4 Prawa bankowego Banki oraz instytucje, o których mowa w art. 105 ust. 4, mogą przetwarzać stanowiące tajemnicę bankową informacje dotyczące osoby fizycznej po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której informacje dotyczą, do celów stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej CRR. Stosownie zaś do art. 105a ust. 5 Prawa bankowego przetwarzanie informacji stanowiących tajemnicę bankową w przypadkach, o których mowa w ust. 3, może być wykonywane przez okres nie dłuższy niż 5 lat od dnia wygaśnięcia zobowiązania, a w przypadku, o którym mowa w ust. 4, przez okres 12 lat od dnia wygaśnięcia zobowiązania. Ponadto stosownie do art. 70 ust. 1 Prawa bankowego, bank uzależnia przyznanie kredytu od zdolności kredytowej kredytobiorcy. Przez zdolność kredytową rozumie się zdolność do spłaty zaciągniętego kredytu wraz z odsetkami w terminach określonych w umowie. Wskazał także na treść ust. 3 powoływanego przez Bank art. 9 u.k.k. w zw. z art. 105 ust. 4 Prawa bankowego regulującego obowiązek oceny zdolności kredytowej konsumenta ubiegającego się o kredyt konsumencki, zgodnie z którym jeżeli kredytodawcą jest bank, albo inna instytucja ustawowo upoważniona do udzielania kredytów ocena zdolności kredytowej dokonywana jest zgodnie z art. 70 Prawa bankowego oraz innymi regulacjami obowiązującymi te podmioty, z uwzględnieniem ust. 1-3. W niniejszej sprawie Skarżący złożył do Banku zapytanie kredytowe w dniu [...] kwietnia 2022 r. Wobec powyższego Bank na podstawie art. 105a ust. 1 Prawa bankowego w zw. z art. 70 ust. 1 tej ustawy, był uprawniony do przetwarzania danych osobowych Skarżącego w celu oceny zdolności kredytowej. Podkreślił, że w wyniku powyższego nie doszło do zawarcia umów pomiędzy Skarżącym a Bankiem. W związku z powyższym odpadła przesłanka legalizująca dalsze przetwarzanie danych osobowych Skarżącego przez Bank. Przesłanki zawarte w art. 105a Prawa bankowego dotyczą bowiem przetwarzania informacji objętych tajemnicą bankową w okresie przed powstaniem zobowiązania, w trakcie jego trwania oraz po wygaśnięciu zobowiązania. Pomiędzy Bankiem a Skarżącym nie zawiązał się żaden stosunek zobowiązaniowy, który stosownie do art. 105a ust. 1-6 Prawa bankowego dawałby podstawę do dalszego przetwarzania danych osobowych Skarżącego. Celem przetwarzania danych osobowych Skarżącego była wyłącznie ocena zdolności kredytowej i analizy ryzyka kredytowego. W związku z dokonaniem przez Bank oceny zdolności kredytowej i analizy ryzyka kredytowego ww. cel przetwarzania danych osobowych Skarżącego został zrealizowany i brak jest podstaw prawnych do kontynuowania tego procesu. Organ poniósł, że powyższe stanowisko znajduje oparcie w wyroku Naczelnego Sądu Administracyjnego z dnia 27 sierpnia 2019 r., sygn. akt I OSK 2567/17, zgodnie z którym cyt: "(...) cel oceny zdolności kredytowej stanowi ocena zdolności do spłaty zaciągniętego kredytu wraz z odsetkami, co ma charakter czynności wstępnej do zawarcia stosownej umowy. Dalsze przetwarzanie danych uzyskanych w celu oceny zdolności kredytowej, w przypadku niezawarcia stosownej umowy pozostawałoby w oderwaniu od celu dla którego dane te uzyskano. (...) niedopuszczalne jest - przetwarzanie danych osobowych na przyszłość, a także na potrzeby budowy oceny zdolności kredytowej innych podmiotów, jeżeli nie można zrekonstruować wyraźnej podstawy prawnej takich działań." W ocenie Prezesa UODO za podstawę przetwarzania danych osobowych Skarżącego, nie mogą być również uznane wskazane przez Bank cele statystyczne i analizy, w tym cel stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia CRR. Podkreślił, że powołany przez Bank art. 105a ust. 4 Prawa bankowego daje podstawy do przetwarzania informacji dotyczących osoby fizycznej stanowiących tajemnicę bankową po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której te informacje dotyczą. Organ wskazał, że w przedmiotowej sprawie nie doszło do zawarcia umowy kredytu pomiędzy Skarżącym a Bankiem, a zatem nie powstał żaden stosunek zobowiązaniowy, o którym mowa w powyższym przepisie. W ocenie Organu także powołane przepisy CRR nie wykazują konkretnej przesłanki uprawniającej Bank do wykorzystania danych w zakresie zapytań kredytowych niezakończonych zawarciem umowy do indywidualnej oceny zdolności kredytowej, ani tym bardziej do wykorzystania tego rodzaju danych osobowych do modeli scoringowych. Odnosząc się do przywołanych rekomendacji Komisji Nadzoru Finansowego wskazał, że powoływane przez Bank rekomendacje Komisji Nadzoru Finansowego należą do nienormatywnych form działania administracji. Wydane przez Komisję Nadzoru Finansowego rekomendacje - podobnie jak inne uchwały ww. organu nadzoru - nie są źródłem ani powszechnie obowiązujących przepisów prawa, ani przepisów prawa o charakterze wewnętrznym. W ocenie organu przywołane rekomendacje nie stanowią podstawy prawnej legalizującej przetwarzanie danych osobowych w zakresie zapytań kredytowych niezakończonych zawarciem umowy kredytu, zaś ich stosowanie nie może naruszać przepisów RODO. Bank wskazał również jako cel przetwarzania danych osobowych Skarżącego, przeciwdziałanie przestępstwom oraz wykonywanie obowiązków w zakresie określonym w przepisach AML. W ocenie Organu zgodnie z brzmieniem art. 106d Prawa bankowego banki, inne instytucje ustawowo upoważnione do udzielania kredytów, izby rozliczeniowe utworzone na podstawie art. 67, instytucje utworzone na mocy art. 105 ust. 4, instytucje pożyczkowe, podmioty, których podstawowa działalność polega na udostępnianiu składników majątkowych na podstawie umowy leasingu, oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim (Dz.U.2024.1497 t.j. z dnia 2024.10.09 dalej u.k.k.), mogą przetwarzać i wzajemnie udostępniać informacje, w tym informacje objęte tajemnicą bankową, w przypadkach: 1) uzasadnionych podejrzeń, o których mowa w art. 106a ust. 3; 2) uzasadnionych podejrzeń popełnienia przestępstw dokonywanych na szkodę banków, innych instytucji ustawowo upoważnionych do udzielania kredytów, instytucji kredytowych, instytucji finansowych, instytucji pożyczkowych oraz podmiotów, o których mowa w art. 59du.k.k., i ich klientów, w celu i zakresie niezbędnym do zapobiegania tym przestępstwom; 3) wykonywania obowiązków w zakresie określonym w przepisach o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (ust. 1). Podmioty określone w ust. 1 mogą przetwarzać i wzajemnie udostępniać informacje, w tym informacje objęte tajemnicą bankową oraz informacje dotyczące wyroków skazujących, w przypadkach przestępstw dokonywanych na szkodę banków, innych instytucji ustawowo upoważnionych do udzielania kredytów, instytucji kredytowych, instytucji finansowych, instytucji pożyczkowych oraz podmiotów, o których mowa w art. 59d u.k.k., i ich klientów, w celu i zakresie niezbędnym do zapobiegania tym - przestępstwom (ust. 2). Zgodnie z art. 33 ust. 1 AML instytucje obowiązane stosują wobec swoich klientów środki bezpieczeństwa finansowego. Instytucje obowiązane rozpoznają ryzyko prania pieniędzy oraz finansowania terroryzmu związane ze stosunkami gospodarczymi lub z transakcją okazjonalną oraz oceniają poziom rozpoznanego ryzyka (art. 33 ust. 2 AML), natomiast środki te stosują w zakresie i z intensywnością uwzględniającymi rozpoznane ryzyko prania pieniędzy oraz finansowania terroryzmu związane ze stosunkami gospodarczymi lub z transakcją okazjonalną oraz jego ocenę (art. 33 ust. 4 AML). Na podstawie art. 35 ust 2 AML instytucje obowiązane stosują środki bezpieczeństwa finansowego również w odniesieniu do klientów, z którymi utrzymują stosunki gospodarcze, z uwzględnieniem rozpoznanego ryzyka prania pieniędzy oraz finansowania terroryzmu, w szczególności gdy: 1) doszło do zmiany uprzednio ustalonego charakteru lub okoliczności stosunków gospodarczych; 2) doszło do zmiany uprzednio ustalonych danych dotyczących klienta lub beneficjenta rzeczywistego; 3) instytucja obowiązana była w ciągu danego roku kalendarzowego zobowiązana na podstawie przepisów prawa do skontaktowania się z klientem w celu weryfikacji informacji dotyczących beneficjentów rzeczywistych, w szczególności gdy obowiązek taki wynikał z przepisów ustawy z dnia 9 marca 2017 r. o wymianie informacji podatkowych z innymi państwami. Zgodnie z art. 34 ust. 3 AML instytucje obowiązane dokumentują zastosowane środki bezpieczeństwa finansowego oraz wyniki bieżącej analizy przeprowadzanych transakcji. Na żądanie organów, o których mowa w art. 130, instytucje obowiązane wykazują, że przy uwzględnieniu poziomu rozpoznanego ryzyka prania pieniędzy oraz finansowania terroryzmu związanego z danymi stosunkami gospodarczymi lub transakcją okazjonalną zastosowały odpowiednie środki bezpieczeństwa finansowego. Na podstawie art. 49 ust. 2 AML instytucje obowiązane przechowują wyniki analiz, o których mowa w art. 34 ust. 3 AML, przez okres 5 lat, licząc od dnia ich przeprowadzenia. Organ wskazał, że jak wynika z treści powyższych przepisów uprawnienie do przechowywania danych osobowych związanych z zastosowaniem środków bezpieczeństwa jest powiązane z przeprowadzeniem transakcji. W przypadku zapytań kredytowych niezakończonych zawarciem umowy nie dochodzi ostatecznie do przeprowadzenia transakcji. Dodatkowo nie dochodzi również do nawiązania stosunków gospodarczych. Zgodnie z art. 35 ust. 1 pkt 1 AML instytucje obowiązane, w tym banki, stosują środki bezpieczeństwa finansowego w przypadku nawiązywania stosunków gospodarczych. W przypadku gdy instytucja obowiązana nie może zastosować jednego ze środków bezpieczeństwa finansowego, o których mowa w art. 34 ust. 1: nie nawiązuje stosunków gospodarczych lub rozwiązuje stosunki gospodarcze (art. 41 u. 1 pkt 1 i pkt 4 AML). W tym miejscu wskazać należy, że zgodnie z ustawową definicją stosunków gospodarczych, rozumieć przez nie należy stosunki instytucji obowiązanej z klientem związane z działalnością zawodową instytucji obowiązanej, które w chwili ich nawiązywania wykazują cechę trwałości (art. 2 ust. 2 pkt 20 AML). W ocenie Prezesa Urzędu Ochrony Danych Osobowych zapytania kredytowe, które spotkały się z decyzją odmowną w zakresie udzielenia kredytu nie posiadają cechy trwałości, które w aspekcie powyższych przepisów AML uzasadniałyby dalsze przetwarzanie powiązanych z nimi danych osobowych. W ocenie organu zebrany w sprawie materiał dowodowy nie wykazał, aby Bank mógł przetwarzać dane osobowe Skarżącego, dotyczące zapytania kredytowego z dnia [...] kwietnia 2022 r., na podstawie art. 106d Prawa bankowego w celach przeciwdziałania przestępstwom oraz wykonywania obowiązków w zakresie określonym w przepisach AML, gdyż w toku prowadzonego postępowania Bank nie wykazał, aby zaszła którakolwiek z przesłanek określonych w ww. przepisach. W szczególności nie wykazał, aby zaszły uzasadnione podejrzenia, o których mowa w art. 106d ust. 1 pkt 1-2, oraz nie wskazały także nałożonego na niego obowiązku określonego w przepisach o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu, o którym mowa w art. 106d ust. 1 pkt 3 Prawa bankowego. Odnosząc się do powołanego przez Bank celu ustalenia, dochodzenia lub obrony roszczeń Organ wskazał, że zebrany w niniejszym postępowaniu materiał dowodowy nie wykazał, aby Skarżący wystąpił z jakimkolwiek roszczeniem wobec Banku, które uzasadniałoby uprawnienie tych podmiotów do zachowania i przetwarzania jego danych osobowych dla celów dowodowych w związku z dochodzeniem przez Skarżącego tego roszczenia. Bank nie wskazał także na istnienie roszczeń, których dochodzi od Skarżącego. Podkreślił, że przesłanka z art. 6 ust. 1 lit. f RODO dotyczy sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia, potrzeba dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem. Prezes UODO wyjaśnił, że podziela ponadto stanowisko Naczelnego Sądu Administracyjnego odnoszące się do analogicznej do art. 6 ust. 1 lit. f RODO przesłanki wynikającej z art. 23 ust. 1 pkt 5 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. 2016 r. poz. 922 ze zm.; dalej: u.o.d.o), dotyczącej dopuszczalności przetwarzania danych osobowych dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, gdy przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Sąd ten w wyroku z dnia 6 marca 2019 r. w sprawie sygn. I OSK 994/17 (LEX nr 2670498) orzekł, cyt.: "Przepis art. 23 ust. 1 pkt 5 u.o.d.o. zezwala na przetwarzanie danych gdy jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Dokonując wykładni tego przepisu należy zatem zwrócić uwagę, że stosowanie ww. przepisu wymaga wykazania, że chodzi o realizowanie prawnie usprawiedliwionego celu, ale także dokonanie oceny czy dla realizacji tego celu niezbędne jest przekazanie danych, pomimo braku zgody osoby której dane te dotyczą. Ocena ta sprowadza się do wyważania racji i interesów osoby, której danych sprawa dotyczy, a która jest objęta ochroną prawną, a z drugiej administratora danych, również chronionego przez prawo w zakresie w jakim może realizować prawnie usprawiedliwione cele i uprawnienia." - Naczelny Sąd Administracyjny w wyroku z dnia 23 września 2005 r. (sygri. akt I OSK 712/05, CBOSA) wskazywał również, że rozstrzygając o legalności przetwarzania danych trzeba każdorazowo, ważąc interesy stron, znaleźć równowagę między prawami i wolnościami jednostki z jednej strony a prawnie usprawiedliwionym interesem osoby trzeciej z drugiej strony. Oznacza to obowiązek zapewnienia właściwej równowagi praw i interesów stron, w tym praw podstawowych. Zdaniem Naczelnego Sądu Administracyjnego przetwarzanie danych osobowych (...), który cofnął zgodę na ich przetwarzanie, nie jest niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez (...), a którym jest prawo do podjęcia obrony przed ewentualnymi roszczeniami lub zarzutami dotyczącymi przetwarzania danych (...) w celu obsługi wniosku kredytowego. Wskazać należy, że przepis art 23 ust. 1 pkt 5 ustawy na pierwszym miejscu wymienia warunek, że przetwarzanie danych winno być niezbędne dla wypełnienia prawnie usprawiedliwionych celów. Prawidłowe jest stanowisko Sądu pierwszej instancji, że niedopuszczalne jest przetwarzanie danych osobowych niejako "na zapas" z założeniem, że mogą być one ewentualnie przydatne w przyszłości. Zauważyć należy, że w rozpoznawanej sprawie znaczenie ma, a no co wskazał organ i Sąd pierwszej instancji, że (...) co prawda w 2012 r. złożył wniosek kredytowy ale strony nie zawarły umowy, a zatem nie powstał między stronami stosunek zobowiązaniowy. Pomiędzy stronami nie toczy się także żadne postępowanie reklamacyjne. Zatem przetwarzania danych strony, a więc na wszelki wypadek, nie można uznać za przetwarzanie niezbędne dla wypełnienia prawnie usprawiedliwionych celów. Zgodnie z art. 23 ust. 1 pkt 2 u.o.d.o. przetwarzanie danych osobowych jest dopuszczalne wtedy, gdy jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa. Przepis ten dopuszcza możliwość przetwarzania danych, uzależnia jednak legalność tego procesu od spełnienia dwóch istotnych wymogów, tj. istnienia odpowiedniego przepisu prawa, który przyznaje podmiotowi uprawnienie lub nakłada na niego obowiązek oraz niezbędności przetwarzania danych dla zrealizowania tego uprawnienia lub spełnienia obowiązku wynikającego z tego przepisu. Wymogi te powinny być spełnione łącznie.". Podkreślił, że przy przyjęciu odmiennej interpretacji ww. przepisów, Skarżący zostałby pozbawiony ochrony na gruncie RODO oraz ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781). Zaznaczył, że przyjęcie za prawidłowe stanowiska, iż przetwarzanie danych osobowych w celu uchylenia się od negatywnych skutków w przypadku zgłoszenia w przyszłości ewentualnego i nieokreślonego roszczenia, stanowi prawnie usprawiedliwiony cel w rozumieniu art. 6 ust. 1 lit. f RODO oznaczałoby, że dane osobowe Skarżącego mogą być przetwarzane przez Bank permanentnie, bez konieczności ich usunięcia. W ocenie Organu nie zaistniała żadna z wyrażonych w art. 6 ust. 1 RODO przesłanek, która stanowiłaby o legalności procesu przetwarzania danych osobowych Skarżącego przez Bank. Dlatego też, Organ korzystając z uprawnienia przewidzianego w art. 58 ust. 2 lit. c RODO, nakazał Bankowi usunięcie danych osobowych Skarżącego przetwarzanych w związku ze złożonym zapytaniem kredytowym z dnia [...] kwietnia 2022 r. Skargę na powyższą decyzję wniósł do Wojewódzkiego Sądu Administracyjnego w Warszawie skarżący, zarzucając naruszenie: 1. art.7, art.7b w zw. z art. 77 Kpa polegające na tym, że Prezes UODO zaniechał współdziałania w kwestiach istotnie specjalistycznych, a to współdziałania z Generalnym Inspektorem Informacji Finansowej w zakresie konsultacji obowiązków Skarżącego w wykonywaniu środków bezpieczeństwa finansowego wynikających z ustawy o przeciwdziałaniu praniu pieniędzy, oraz Komisji Nadzoru Finansowego w zakresie obowiązków warunków testowania modeli statystycznych, których podstawą zbudowania są rzeczywiste a nie fikcyjne dane; zaniechanie to zaowocowało niestety rażącą niezgodnością z przepisami prawa lub ich całkowitym pominięciem, co skutkuje niezastosowaniem wskazanych w skardze przepisów ustawy przepisów Rozporządzenia UE 575/2013 - co doprowadza do wniosków jakoby przetwarzanie danych na mocy tych przepisów w związku z art.6 ust. 1 lit. c) RODO naruszało prawa i wolności Uczestnika. 2. art. 7, art.77 kpa polegające na tym, że decyzja nie wskazuje na czym miałoby polegać naruszenie praw i wolności -Uczestnika przy przechowywaniu jego danych przez okres archiwizacji. Przecież Uczestnik zachował wszelkie prawa z art. 12-22 RODO wyjąwszy tylko prawo do usunięcia danych i to tylko dlatego, że w zakresie ich archiwizacji (czyli dokumentacji dokonanej czynności) są one niezbędne. Skarżący zwraca uwagę, że w praktyce dokumentowanie czynności może mieć znaczenie nie tylko w ramach zwykłych procesów cywilnych, ale także postępowań karnych. Naruszenia niżej wskazanych przepisów prawa materialnego, które miało wpływ na wynik sprawą 1. art. 6 ust.1 lit. c RODO w związku z art. 33 ust. 2, art. 33 ust.3 pkt 6, art.34 ust 1 pkt.1, art.34 ust.3-5, art.35 ust 1 pkt 1, art. 36 ust.1 pkt. 1, art. 46 ustawy AML albowiem dopiero znając te przepisy można, w ramach wykładni systemowej, ustalać znaczenie terminu wskazanego w art. 49 ust 1 i 2 ustawy AML; Wykładania RODO nie może doprowadzać do pominięcia innych dziedzin prawa, w których przetwarzanie danych jest albo obowiązkiem Skarżącego - tak jak w przypadku ustawy AML albo Jego uprawnieniem wykonywanym bez naruszania praw i wolności osoby fizycznej (jak w przypadku archiwizacji dokumentacji). 2. art.6 ust. 1 lit. c) RODO w związku z art.144 ust 1 lit. d), art.145 ust. 1, art.170 ust. 3 lit. a), art.171 ust.2 i art.179 ust. 1 lit. a) oraz art.181 ust.2 oraz o warunki testowania modeli np. art.190 ust.2 lita), art.195 ust.3 lita), art.221 ust.4 lit. g), art.286, art. 290, art. 292 ust.5 lit. a), art.370 lit. d) Rozporządzenia UE 575/2013 polegające na jego niestosowaniu i przyjęciu, że Skarżący nie legitymuje się przesłanką przetwarzania danych wynikającą z art.6 ust. 1 lit. e) RODO w związku z powyższymi przepisami CRR wskazującymi na określone obowiązki w zakresie wymogów ostrożnościowych; 3. art.6 ust. 1 lit. f) w związku z art.5 ust. 1 lit. e) RODO w związku z pominięciem art.117 § 21 k.c., albowiem wiedząc, że ww. przepis statuuje zasadę, że po upływie terminu przedawnienia nie można domagać się zaspokojenia roszczenia przeciwko konsumentowi nie sposób jednocześnie utrzymywać, że przetwarzanie danych w okresie archiwizacji oznacza, że dane mogą być przetwarzane "permanentnie, bez konieczności ich usunięcia" (s. 10 decyzji). 4. art.6 ust. 1 lit. f) w związku z art.5 ust. 1 lit. e) RODO w związku z art. 118 kodeksu cywilnego i innymi przepisami o przedawnieniu - poprzez przyjęcie, że dane osobowe które są danymi archiwalnymi i przetwarzane są właśnie w celu archiwalnym To rozumowanie nakazujące usunąć dane natychmiast, gdy zakończono daną czynność (tu: złożono zapytanie kredytowe) jest nie tylko sprzeczne z przepisami prawa nakazującym archiwować dane/dokumenty - ale także zawiera błędną przesłankę bowiem Prezes PUODO twierdzi, że przetwarzanie w (różnym dla różnych dokumentów) okresie archiwizacji byłoby uzasadnione, o ile podmiot tych danych przedstawiłby roszczenie przed rozpoczęciem okresu archiwizacji; zatem gdy takie roszczenie zostałoby przedstawione w okresie archiwizacji to administrator już tymi danymi nie dysponowałby, choć wówczas miałby zyskać podstawę ich przetwarzania. 5. art. 105a ust.5 Prawa bankowego poprzez pominięcie znaczenia przepisów wskazującego, że terminy wskazane w tym przepisie są terminami końcowymi a zwrot dot. przetwarzania, które "może być wykonywane przez okres nie dłuższy niż 5 lat od dnia wygaśnięcia zobowiązania, a w przypadku, o którym mowa w ust. 4, przez okres 12 lat od dnia wygaśnięcia zobowiązania" nie oznacza zakazu przetwarzania przed powstaniem zobowiązania, w szczególności, gdy na mocy odrębnych przepisów przetwarzanie to jest nakazane (ustawa AML, modele statystyczne) lub dozwolone (archiwizacja) bez naruszania praw i wolności Uczestnika. 6. art.6 ust. 1 lit. f) RODO w związku z Rekomendacjami 5, W i T Komisji Nadzoru Finansowego, polegające na jego niewłaściwym zastosowaniu i przyjęciu, że Skarżący nie legitymuje się przesłanką przetwarzania danych wynikającą z art.6 ust. 1 lit. f) RODO w związku z Rekomendacjami S, W i T Komisji Nadzoru Finansowego, podczas gdy przepisy te nakładają na banki oraz BIK (jako instytucję powołaną na mocy art.105 ust.4 prawa bankowego) określone wymagania nie tylko w związku z oceną poszczególnego wniosku kredytowego, ale także w związku z budową metod i modeli statystycznych (w tym scoringowych) oraz testowaniem warunków skrajnych. Wobec powyższych zarzutów, a szczególnie wobec zarzutu, że decyzja, jest i pozostanie niewykonalna [...] SA wnosił o skorzystanie przez Prezesa UODO z uprawnienia do uwzględnienia skargi, uchylenia zaskarżonej decyzji i wydania, w terminie określonym prawem, nowej decyzji stosownie do art.54 § 3 Prawa o postępowaniu przed sądami administracyjnymi, albowiem wykreślenie danych byłoby sprzeczne z przepisami prawa a to wskazanymi w skardze przepisami ustawy AML oraz rozporządzenia CRR, a także sprzeczne z art.6 ust. 1 lit. f) RODO w związku z archiwizacją danych bez naruszania praw i wolności Uczestnika. Ponadto zauważył, że zapytanie kredytowe nie jest obecnie widoczne dla innych banków działających w systemie BIK. W tym znaczeniu cel jakiego domagał się Uczestnik został już osiągnięty. Bank wskazał, że stan faktyczny decyzji nie jest sporny. Decyzja błędnie odwołuje się do orzecznictwa dotyczącego udzielania zgody jako podstawy przetwarzania. Przepisu prawa (i to zarówno RODO jak i Kart Praw Podstawowych) wskazują różne niezależne podstawy prawne przetwarzania danych, nie ograniczając się do zgody osoby zainteresowanej. W tej sprawie podstawą przetwarzania danych są przepisu prawa zobowiązujące Skarżącego (ustawa AML, CRR) oraz uprawniające Skarżącego (m.in, w związku z art.ll7 § 2.1kc) do przetwarzania danych w okresie archiwizacji, W tym ostatnim zakresie Prezes UODO nie wnosił o doręczenie testu równowagi wskazującego na równowagę praw i obowiązków Uczestnika. Uznał, że Decyzja jest sprzeczna z wskazanymi powyżej przepisami prawa materialnego. Natomiast uchybienia proceduralne, wynikły, zdaniem Skarżącego, z nie dość wnikliwej znajomości przepisów i ferowania tez, które w obszarze ustawy AML czy zasad działania metod i modeli statystycznych, najzwyczajniej nie dają się bronić. Zaznaczmy jeszcze, że poza polskim przepisem art.117 S21 kc, wszystkie omawiane tu regulacje to pośrednio lub bezpośrednio, ustawodawstwo unijne. Ta obserwacja ma o tyle znaczenie, zgodnie z utrwalonym orzecznictwem "przy dokonywaniu wykładni przepisu prawa [Unii] należy brać pod uwagę nie tylko jego brzmienie, kontekst oraz cele regulacji, której część on stanowi Jego zdaniem nie da się bowiem bronić tezy, że zgodnie z ww. przywołanymi przepisami ustawy AML Bank jest obowiązany dokonywać środków bezpieczeństwa finansowego tylko w związku z realizacją transakcji. Wskazane przepisy ustawy AML statuują obowiązek identyfikacji jako jednego ze środków bezpieczeństwa finansowego i nakazują jeszcze przed nawiązaniem stosunków gospodarczych zidentyfikować wnioskodawcę i zweryfikować jego tożsamość, a następnie zachować dowód przeprowadzenia tej czynności. Dopiero w tym kontekście należy odczytywać termin z art.49 ustawy AML jako termin końcowy. W ocenie Banku nie da się bronić tezy, że do modeli statystycznych mają być dodawane tylko te informacje, które wynikają z zawartych umów. Wskazał, że zakwestionowanie prawa do archiwizacji dokumentacji - i to właściwie pod pozorem obawy przetwarzania danych ad infinitum - to istotna wadliwość decyzji ograniczająca prawo strony przy jednoczesnym braku wskazania jakie to prawa i wolności Skarżący naruszył. Archiwizacja nie jest przetwarzaniem na zapas, na wszelki wypadek. Jest realizacją uprawnienia w określonym czasie, przy wymogu braku naruszenia praw i wolności jednostki. Zdaniem banku jest on zobowiązany wykonywać obowiązki, w tym przetwarzać dane osobowe w celu określonym ustawą AML (przeciwdziałanie praniu pieniędzy i finansowaniu terroryzmu). W ramach tej ustawy Banki jak i inne instytucje obowiązane są do zapewnienia bezpieczeństwa obrotu gospodarczego poprzez z jednej strony przeprowadzanie szczególnego badania na temat swoich klientów, w tym przyszłych klientów, jak i badania powiązań kapitałowo- osobowych. Ustawa przewiduje obowiązek stosowania tzw. środków bezpieczeństwa finansowego. Aby spełnić wszystkie wymienione w ww. przepisach obowiązki podejmuje się szereg czynności prowadzących do udokumentowania wywiązania się z obowiązków ustawy AML, m.in.: ■ pozyskiwanie danych osobowych, wraz z czynnościami identyfikacyjnymi i weryfikacyjnymi zgodnie z art.36 oraz 37 ustawy AML. ■ sprawdzenie poprawności danych osobowych: w tym wstępna weryfikacja autentyczności dokumentów i danych klienta, ■ sprawdzenie historii Uczestnika (osoby wnioskującej) np. w rejestrach kredytowych i innych publicznie dostępnych rejestrach, ■ monitorowanie zmian wszelkich parametrów. Wskazał, że zgodnie z art. 34 ust. 3 ustawy AML Skarżący ma obowiązek udokumentować, że podjął czynności identyfikacyjne. Czynności te nie są związane z transakcją a dot. samodzielnego czy też odrębnego obowiązku w zakresie środka bezpieczeństwa finansowego jakim jest identyfikacja i weryfikacja tożsamości. Jego zdaniem opisany środek bezpieczeństwa finansowego jest także przewidziany przez Dyrektywę 2015/849 (vide art.13 ust.1 lit. a)), zatem obowiązki nałożone ustawą są wynikiem transpozycji dyrektywy do polskiego obszaru prawnego. Uznał, że obowiązki wynikające z ustawy AML należy wykonać przed wykonywaniem operacji takich jak udzielenie kredytu czy wypłata środków. Należy podkreślić, że na tle ustawy AML bank jest zobowiązany przeprowadzić odpowiednie analizy przed zawarciem umowy kredytu. W związku z tym, informacje dotyczące ubiegania się o kredyt są także wykorzystywane dla celów wynikających z ustawy AML. Zgodnie z przepisem art. 49 ust. 1 ustawy AML, większość tych danych przechowuje się 5 lat licząc od pierwszego dnia roku następującego po roku, w którym zakończono stosunki gospodarcze z klientem lub w którym przeprowadzono transakcje okazjonalne. Jest to termin końcowy. Jego zdaniem mamy tu do czynienia z przepisem szczególnym. Po prostu nie jest możliwe, aby wykonać obowiązki identyfikacji i udowodnić przeprowadzenie identyfikacji Uczestnika jako wnioskodawcy, a następnie nie przetwarzać tych danych po wykonaniu tego środka bezpieczeństwa finansowego. Wskazał na naruszenie art.6 ust. 1 lit. c) RODO w związku z art.144 ust. 1 lit. d), art.145 ust.1, art.170 ust.3 lit. a), art.171 ust.2 i art.179 ust.1 lit a) oraz art.181 ust. 2 oraz o warunki testowania modeli np. art.190 ust.2 lita) art.195 ust.3 lit. a), art.221 ust.4 lit g), art.286, art.290, art.292 ust.5 lit. a), art.370 lit. d) rozporządzenia 575/2013 (CRR). Jego zdaniem odrębne cele przetwarzania informacji o niezrealizowanych wnioskach kredytowych i złożonych na ich podstawie zapytaniach kredytowych w zakresie analizy ryzyka kredytowego określają przepisy CRR. Dla badania portfelowego ryzyka kredytowego potrzebne jest korzystanie z zaawansowanych metod statystycznych czyli tzw. metod scoringowych i modeli analizy ryzyka. Pozwalają one na stałe monitorowanie ryzyka kredytowego dla banku, czy nawet całej grupy kapitałowej w oparciu z jednej strony o dane na temat konkretnych zobowiązań, z drugiej o dane makroekonomiczne. Podniósł, że ogólne zasady tworzenia modeli służących tym celom określa m.in. CRR oraz rekomendacje KNF. Szereg przepisów CRR, zakłada obowiązek badania zdolności i ryzyka kredytowego w oparciu o możliwie szeroki katalog informacji, w tym informacji historycznych. Ponadto banki, dla prawidłowego wypełnienia swoich obowiązków, zobowiązane są uwzględniać wszystkie istotne i aktualne informacje, które umożliwiają prognozowanie ekspozycji w późniejszym okresie (art.171 ust.2 oraz art.179 ust. 1 lit. a) CRR oraz art.144 ust. 1 lit. d) CRR. Uznał, że przyjmowane zgodnie z CRR modele statyczne muszą się wykazywać statystyczną poprawnością i dlatego odwzorowywać rzeczywiste dane i sytuacje a nie tylko te, w których dochodzi od zawarcia umowy. Stąd też ta wielka rola przepisów dot. testów warunków skrajnych (ocena nie dotyczy tylko danej osoby ale i ryzyka portfelowego). Jakość danych wykorzystywanych dla wypełnienia obowiązków wskazanych w przepisach CRR jest kwestią kluczową, co znajduje także potwierdzenie w wytycznych Europejskiego Urzędu Nadzoru Bankowego nr EBA/GL/2017/16, dotyczących szacowania wartości PD (prawdopodobieństwo niewykonania zobowiązania), szacowania wartości LGD (straty z tytułu niewykonania zobowiązania) oraz postępowania z ekspozycjami cechującymi się niewykonaniem zobowiązania. Urząd w punkcie 17 wytycznych stwierdza: "Aby dane wykorzystywanie do opracowania modelu i stosowania parametrów ryzyka jako parametry wejściowe do modelu spełniały wymogi dokładności, kompletności i trafności określone w art. 174 lit. b) rozporządzenia (UE) nr 575/2013, powinny one być wystarczająco precyzyjne, aby uniknąć ważniejszych zakłóceń wyniku klasyfikowania ekspozycji do klas lub pul dłużników lub instrumentów i nie powinny zawierać żadnych błędów, które sprawi, że dane nie będą nadawały się do określonego celu." Istotnym z perspektywy możliwości prawidłowej oceny dokonanej analizy i oceny prawidłowości modelu jest monitorowanie otoczenia banku, w tym sytuacji makroekonomicznej czy ilości odrzuconych wniosków oraz sytuacji majątkowej osób, którym nie udzielono finansowania. Bank musi bowiem powtórzyć analizę ryzyka na podstawie zgromadzonej wiedzy na temat wszystkich osób, które wnioskowały o kredyt - zarówno tych z przyznanym kredytem, jak i tych z odmową przyznania kredytu (powołany już pkt 17.5 lit. e Rekomendacji T wskazujący na konieczność analizy odsetka wniosków zaakceptowanych, odrzuconych, przełamanych, z podziałem na segmenty klientów, powody odrzucenia, sposoby dystrybucji, cechy produktu itp.) dla całego portfela zobowiązań. Może to zrobić samodzielnie lub z pomocą BIK. Do tego celu niezbędne jest wykorzystanie informacji świadczących o podwyższonym ryzyku niespłacenia zobowiązania, do których należy informacja o wielokrotnym ubieganiu się o kredyt. Osobnym obowiązkiem jest zachowanie spójności przyjętego modelu (scoringu). Zgodnie z przepisem art.145 ust.1 CRR, instytucja stosująca metodę IRB (tj. metodę wewnętrznych ratingów) ma korzystać w odniesieniu do danej kategorii ekspozycji IRB co najmniej przez trzy lata z systemów ratingowych, które odpowiadały w znacznym stopniu wymogom określonym w sekcji 6 CRR, dotyczącym wewnętrznego pomiaru ryzyka i zarządzania ryzykiem; obowiązek stosowania spójnego modelu jest następnie powtórzony w art.147 ust.5 lit. b) CRR. Co warto podkreślić, dane nie służą jedynie do zasilenia modelu, ale też jego pierwotnej budowy i dalszego monitorowania jego prawidłowości po wdrożeniu. Niemożliwe jest zatem, przy prawidłowym wypełnianiu obowiązków z CRR, dowolne modyfikowanie stosowanych modeli scoringowych w trakcie ich stosowania czy nagłe usuwanie danych (konieczność przeprowadzenia audytów podkreślono także w pkt 13.2 Rekomendacji W KNF). Dla możliwości monitorowania działania modelu, potrzebne jest porównywanie danych z różnych okresów. Innymi słowy, z uwagi na potwierdzenie wartości informacji dotyczących ubiegania się o kredyt i jej obecne wykorzystywanie w modelach banku, niemożliwe jest jej nieuwzględnienie przez okres, co najmniej 12 miesięcy, gdyż nagła zmiana modelu powoduje, że staje się on niewiarygodny i nie pozwala bankowi na porównywanie i skuteczne monitorowanie zmian swojej ekspozycji kredytowej. Zachowanie spójności modelu akcentowane jest również w Rekomendacji W KNF, zgodnie z którą bank powinien posiadać sformalizowane zasady określające role i odpowiedzialności zarządzania ryzykiem modeli oraz standardy w zakresie budowy, wdrażania, stosowania, weryfikacji jakości działania i dokumentacji modeli oraz procesu przygotowywania danych służących do budowy i bieżącego zasilania modeli (rekomendacja nr 5). Ponadto, bank nie ma podstaw do usunięcia informacji ze swoich modeli. Ich usunięcie byłoby zakwestionowane przez KNF i uniemożliwiłoby wykonywanie obowiązków wynikających z przepisów CRR. Nieuwzględnienie danych pochodzących z wniosków i zapytań kredytowych byłoby w tym kontekście niezrozumiałe i niecelowe. Zgodnie z art. 180 ust. 2 lit. e) CRR dotyczącym wymogów dotyczących szacowania wartości PD, długość bazowego okresu obserwacji historycznej wynosi co najmniej pięć lat dla co najmniej jednego źródła, leżeli w odniesieniu do któregokolwiek ze źródeł dostępny jest dłuższy okres obserwacji, a dane te są istotne, wówczas stosuje się ten dłuższy okres. Reasumując, z powołanych przepisów CRR wynika obowiązek wykorzystania danych o wnioskach i zapytaniach kredytowych w celu zachowania wymogów ostrożnościowych wynikających z CRR. Postawił i uzasadniał zarzut naruszenie art.105a ust.5 Prawa bankowego, który przewiduje, że przetwarzanie "może być wykonywane przez okres nie dłuższy niż 5 lat od dnia wygaśnięcia zobowiązania, a w przypadku, o którym mowa w ust 4, przez okres 12 lat od dnia wygaśnięcia zobowiązania" nie wynika żaden zakaz przetwarzania danych przed powstaniem zobowiązania. Jego zdaniem nie może być mowy o takim zakazie, gdy inne przepisy prawa nakazują identyfikację i weryfikację tożsamości osoby wnioskodawcy i przechowywanie dowodu dokonania tych czynności (ustawa AML) czy wpisania tych danych do określonego modelu statystycznego. Podobnie nie sposób odmówić Bankowi prawa do archiwizowania danych i dokumentów, gdyż jest to legalny cel przetwarzania danych i może być realizowany w ramach uzasadnionego interesu przewidzianego art.6 ust. 1 lit. f) RODO bez naruszania praw i wolności Uczestnika. Z tych względów, zdaniem Banku, nie można ograniczyć się do wykładni art.l05a Prawa bankowego, a już zupełnie niezrozumienie rzeczywistego stanu sprawy da nam stosowanie wyłącznie literalnej wykładni art. 105a Prawa bankowego . Jego zdaniem zasadny jest zarzut naruszenia art.7, art.7b w zw. z art.77 Kpa albowiem opinie zamieszczone w uzasadnieniu zaskarżonej decyzji świadczą o tym, że w tej sprawie Prezes UODO powinien skorzystać z wiedzy i doświadczenia organów wyspecjalizowanych. KNF jako organu wskazanego w art.10 ustawy AML w zakresie rozumienia środków bezpieczeństwa finansowego i obowiązku ich dokumentowania oraz KNF w zakresie budowy i funkcjonowania metod i modeli ryzyka, w tym testów warunków skrajnych. Wskazał, że zasadny jest zarzut naruszenia art.6 ust. 1 lit. f) RODO w zw. z Rekomendacjami S, W i T Komisji Nadzoru Finansowego. Uznał, że przetwarzanie przez Bank danych osobowych osób, które złożyły wniosek o kredyt, ale do zawarcia umowy nie doszło może być prowadzone przez Bank na mocy art.6 ust. 1 lit. f) RODO. Przetwarzanie takie odbywa się zgodnie z obowiązkami stosowania metod statystycznych czy oceny ryzyka i zdolności kredytowej, które wynikają z Rekomendacji S, W i T Komisji Nadzoru Finansowego. W rekomendacji T pkt. 12 przewiduje "Bank powinien określić zakres stosowania, sposób wykorzystania oraz interpretowania wyników uzyskanych przy pomocy modeli. W celu zapewnienia wiarygodnych, skutecznych modeli, bank regularnie weryfikuje ich wykorzystanie i skuteczność." Z kolei pkt.12.2 stwierdza się, że "Bank może, a bank istotnie zaangażowany powinien wspierać ocenę zdolności kredytowej modelami scoringowymi. Rekomendacje nie stanowią przepisów prawa, ale stanowią normę interpretującą pojęcie prawidłowego zarządu danym obszarem, podlegając ocenie w tym zakresie przez KNF, zatem z całą pewnością zastosowanie znajdzie tu przesłanka prawnie uzasadnionego interesu, o której mowa w przepisie art.6 ust. 1 lit f) RODO. Ocena występowania tej przesłanki opiera się nie tylko na stwierdzeniu istnienia prawnie uzasadnionego interesu, ale również braku nadrzędności interesów lub praw i wolności podmiotu danych wobec interesu administratora. W związku z powyższym wnosił o uchylenie zaskarżonej decyzji w całości. Wyznaczenie rozprawy celem rozpoznania niniejszej sprawy. Na podstawie art.61 §2 pkt.1 PPSA wnosił o wstrzymanie wykonania zaskarżonej decyzji w całości przez Prezesa UODO, a w przypadku, gdyby Organ ten nie uwzględnił tego wniosku, na podstawie art.61 § 3 PPSA wnosił o wstrzymanie wykonania zaskarżonej decyzji w całości przez Sąd, ze względu na niebezpieczeństwo spowodowania trudnych do odwrócenia skutków oraz niebezpieczeństwo wyrządzenia Bankowi znacznej szkody przyjąwszy, że decyzja nakazuje usunięcie danych Uczestnika, a więc trwałe zaprzestanie przetwarzania danych, podczas, gdy istnieją ustawowe podstawy przetwarzania danych Uczestnika, a sam dokument zapytania kredytowego został już usunięty. Na podstawie art. 200 PPSA wnosił o zasądzenie od organu na rzecz Skarżącego zwrotu kosztów postępowania według norm przepisanych. W odpowiedzi na skargę organ podtrzymał stanowisko. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Skarga nie zasługuje na uwzględnienie gdyż zaskarżona decyzja nie narusza prawa. Przedmiotem skargi jest decyzja Organu z dnia [...] września 2024 roku nr [...] nakazująca Bankowi, usunięcie danych osobowych Pana P. H., w zakresie wynikającym z zapytania kredytowego z dnia [...] kwietnia 2022 r. Zgodnie z art. 1 § 1 i 2 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (t.j. z dnia 2 grudnia 2022 r., Dz. U. z 2022 r., poz. 2492), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej, przy czym kontrola ta sprawowana jest pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej. W świetle powołanych przepisów cyt. ustawy, Wojewódzki Sąd Administracyjny w Warszawie, w zakresie swojej właściwości, ocenia zaskarżoną decyzję administracyjną, postanowienie, czy też inny akt lub czynność z zakresu administracji publicznej dotyczącą uprawnień lub obowiązków wynikających z przepisów prawa, z punktu widzenia ich zgodności z prawem materialnym i przepisami postępowania administracyjnego, według stanu faktycznego i prawnego obowiązującego w dacie wydania tego aktu lub podjęcia spornej czynności. Chodzi więc o kontrolę aktów lub czynności z zakresu administracji publicznej dokonywaną pod względem ich zgodności z prawem materialnym i przepisami procesowymi, nie zaś według kryteriów słuszności. Ponadto, co wymaga podkreślenia, Sąd rozstrzyga w granicach danej sprawy, nie będąc jednak związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną (vide: art. 134 § 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (t.j. z dnia 8 lutego 2023r., Dz. U. z 2023 r., poz. 259 -zwaną dalej P.p.s.a."). Stan faktyczny tej sprawy jest w istocie bezsporny. Przetwarzanie danych osobowych Skarżącego miało miejsce w 2022 r. Wymieniony złożył do Banku zapytanie kredytowe z dnia [...] kwietnia 2022 r. Bank wyjaśnił, że pozyskał dane Skarżącego w zakresie przedmiotowego zapytania kredytowego w dniu [...] kwietnia 2022 r. bezpośrednio od niego oraz w związku ze złożonym przez Skarżącego w oddziale Banku wnioskiem o kredyt. Dane te zostały pozyskane w celu realizacji ww. wniosku, w tym oceny zdolności kredytowej i analizy ryzyka. Bank pozyskał dane osobowe Skarżącego w zakresie: imię, nazwisko, PESEL, datę urodzenia, typ dokumentu, seria i numer dokumentu tożsamości, nazwa zakładu pracy, NIP, Regon, adres pracodawcy, telefon, branżę, rodzaj miejsca pracy, zawód wykonywany, okres uzyskiwania dochodu, data zatrudnienia, rodzaj umowy, stanowisko, miesięczny dochód, zobowiązania, stan cywilny, wykształcenie, status mieszkaniowy, liczbę osób w gospodarstwie. Bank wskazał, że aktualnie przetwarza dane osobowe Skarżącego w zakresie wniosku z dnia [...] kwietnia 2022 r. oraz raportu będącego odpowiedzią na zapytanie Banku w celach archiwalnych (dowód: wyjaśnienia Banku z dnia [...] lutego 2023 r. wraz z załącznikami). Dokonując oceny zgodności z prawem zaskarżonej decyzji należy wskazać, że zgodnie z motywem 40 RODO, aby przetwarzanie danych było zgodne z prawem, powinno się odbywać na podstawie zgody osoby, której dane dotyczą, lub na innej uzasadnionej podstawie przewidzianej prawem: albo w niniejszym rozporządzeniu, albo w innym akcie prawnym Unii lub w prawie państwa członkowskiego, o których mowa w niniejszym rozporządzeniu, w tym musi się ono odbywać z poszanowaniem obowiązku prawnego, któremu podlega administrator, lub z poszanowaniem umowy, której stroną jest osoba, której dane dotyczą, lub w celu podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy. Powyższe znalazło wyraz w art. 6 ust. 1 RODO określającym przesłanki legalności przetwarzania danych osobowych. Zgodnie z tym przepisem, przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy - i w takim zakresie, w jakim - spełniony jest co najmniej jeden z poniższych warunków: a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów; b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy; c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze; d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej; e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi; f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Akapit pierwszy lit. f) nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań. Zgodnie z art. 105a ust. 1 Prawa bankowego, przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów, instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, a także instytucje utworzone na podstawie art. 105 ust. 4, informacji stanowiących tajemnicę bankową i informacji udostępnionych przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem art. 104, art. 105 i art. 106-106d, w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Zgodnie zaś z art. 105a ust. 4 Prawa bankowego, banki oraz instytucje, o których mowa w art. 105 ust. 4, mogą przetwarzać stanowiące tajemnicę bankową informacje dotyczące osoby fizycznej po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której informacje dotyczą, do celów stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013. Jednocześnie zgodnie z art. 105a ust. 5 Prawa bankowego, przetwarzanie informacji stanowiących tajemnicę bankową w przypadkach, o których mowa w ust. 3, może być wykonywane przez okres nie dłuższy niż 5 lat od dnia wygaśnięcia zobowiązania, a w przypadku, o którym mowa w ust. 4, przez okres 12 lat od dnia wygaśnięcia zobowiązania. Zgodnie z art. 70 ust. 1 Prawa bankowego, bank uzależnia przyznanie kredytu od zdolności kredytowej kredytobiorcy. Przez zdolność kredytową rozumie się zdolność do spłaty zaciągniętego kredytu wraz z odsetkami w terminach określonych w umowie. Kredytobiorca jest obowiązany przedłożyć na żądanie banku dokumenty i informacje niezbędne do dokonania oceny tej zdolności. Należy zauważyć, że Bank, na podstawie art. 105a ust. 1 Prawa bankowego w zw. z art. 70 ust. 1 tej ustawy, był uprawniony do przetwarzania danych osobowych wnioskodawcy w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Biorąc pod uwagę, że w związku z zapytaniem kredytowym z dnia [...] kwietnia 2022 r. nie doszło do zawarcia umowy kredytowej (co nie jest sporne w tej sprawie), nie może być wątpliwości, że ocena zdolności kredytowej i analiza ryzyka kredytowego zostały dokonane (zrealizowane). Cel przetwarzania danych, dla którego zostały one zgromadzone w zapytaniu kredytowym, został osiągnięty. Zgodnie z art. 105a ust. 2 Prawa bankowego, z zastrzeżeniem ust. 3, instytucje, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową oraz informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, w zakresie dotyczącym osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, pod warunkiem uzyskania pisemnej zgody osoby, której informacje te dotyczą, z zastrzeżeniem ust. 2a. Zgoda ta może być w każdym czasie odwołana. Ust. 3 stanowi, że Banki, instytucje oraz podmioty, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową i informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ukk, dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ukk, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ukk, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank, inną instytucję ustawowo upoważnioną do udzielania kredytów, instytucję pożyczkową albo podmiot, o którym mowa w art. 59d ukk, o zamiarze przetwarzania dotyczących jej tych informacji, bez jej zgody. Kolejne przepisy wskazują, że banki oraz instytucje, o których mowa w art. 105 ust. 4, mogą przetwarzać stanowiące tajemnicę bankową informacje dotyczące osoby fizycznej po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której informacje dotyczą, do celów stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013 (ust. 4). Przetwarzanie informacji stanowiących tajemnicę bankową w przypadkach, o których mowa w ust. 3, może być wykonywane przez okres nie dłuższy niż 5 lat od dnia wygaśnięcia zobowiązania, a w przypadku, o którym mowa w ust. 4, przez okres 12 lat od dnia wygaśnięcia zobowiązania (ust. 5). Zakres przetwarzanych informacji, o których mowa w ust. 3 i 4, może obejmować dane dotyczące osoby fizycznej lub dane dotyczące zobowiązania (ust. 6). Podkreślenia jednak wymaga, że w sprawie tej nie doszło do zawarcia umowy kredytowej pomiędzy bankiem a Skarżącym. Skarżący wniósł następnie o usunięcie jego danych. Zgodzić należało się w związku z powyższym z organem, że odpadła przesłanka legalizująca dalsze przetwarzanie danych osobowych Skarżącego przez bank, które to przetwarzanie miało na celu – co wymaga podkreślenia i czego nie kwestionował organ – ocenę zdolności kredytowej i analizę ryzyka kredytowego (przed zawarciem umowy). Pomiędzy bankiem a wnioskodawcą nie nawiązał się żaden stosunek zobowiązaniowy, który stosownie do art. 105a ust. 1-6 Prawa bankowego dawałby podstawę do dalszego przetwarzania jego danych osobowych przez bank. Ustał cel przetwarzania, dla którego pozyskano dane osobowe wnioskodawcy i nie ma spełnionej przesłanki ich dalszego przetwarzania, co trafnie stwierdził w zaskarżonej decyzji organ. Z przedstawionych wyżej przepisów wynika, że przesłanki zawarte w art. 105a Prawa bankowego dotyczą przetwarzania informacji objętych tajemnicą bankową w okresie przed powstaniem zobowiązania, w trakcie jego trwania oraz po wygaśnięciu zobowiązania. Natomiast w sytuacji, gdy w następstwie złożenia wniosku kredytowego nie dochodzi do zawarcia umowy kredytowej z bankiem, jak miało to miejsce w niniejszej sprawie, brak jest ustawowych przesłanek legalizujących dalsze przetwarzanie danych osobowych wnioskodawcy zawartych w zapytaniu kredytowym z dnia [...] kwietnia 2022 r. Przetwarzane są one bowiem w celach wskazanych przez Bank (innych niż cele, dla których zostały zebrane, tj. oceny zdolności kredytowej i analizy ryzyka kredytowego) bez podstawy prawnej. W świetle powyższego trzeba też wskazać, że sposób sformułowania nakazu w decyzji nie stanowi o rażącym naruszeniu art. 107 § 1 k.p.a. Rozstrzygnięcie decyzji jest w ocenie Sądu na tyle jasne i precyzyjne, że nie wywołuje trudności w sferze wykonania. Nie ma przy tym wątpliwości, że nakaz usunięcia dotyczy danych osobowych Skarżącego zawartych w zapytaniu kredytowym z dnia [...] kwietnia 2022 r. Bank zna to zapytanie i zawarte w nim dane osobowe wymienionej osoby fizycznej. Dodanie przez organ w nakazach formuły "przetwarzanych bez podstawy prawnej" wiąże się ściśle ze stwierdzeniem przez organ w decyzji, że dane te po osiągnięciu przez Bank celu przetwarzania w postaci oceny zdolności kredytowej i ryzyka kredytowego, są przetwarzane w sposób naruszający RODO. Nakazy nie są więc nieprecyzyjne, a z całą pewnością nie można mówić o ich niewykonalności na gruncie tej sprawy i dokonanych ustaleń faktycznych. Nakazy mogły być oczywiście sformułowane w sposób bardziej szczegółowy, jednakże nie odnosiłyby się do innych danych niż dane osobowe Skarżącego zawarte w zapytaniu kredytowym z dnia [...] kwietnia 2022 r., które przetwarzane są przez Bank – po osiągnięciu celu – dla którego zostały zebrane – a więc bez podstawy prawnej. Nie budzi wątpliwości, że ocena zdolności kredytowej i ryzyka kredytowego ma charakter czynności wstępnych przed zawarciem umowy przez bank. Dalsze przetwarzanie danych, uzyskanych pierwotnie wyłącznie w celu oceny zdolności kredytowej i analizy ryzyka kredytowego, w przypadku braku zawarcia stosownej umowy, pozostaje w oderwaniu od celu, dla którego dane zostały zebrane. Na gruncie RODO niedopuszczalne jest – w takim stanie faktycznym, jak w niniejszej sprawie, gdy nie zawarto umowy kredytowej – przetwarzanie danych osobowych wnioskodawcy "na przyszłość" w zupełnie innych celach niż je zebrano, w tym na potrzeby oceny zdolności kredytowej innych osób, w sytuacji, gdy nie można zrekonstruować wyraźnej podstawy prawnej takich działań. W sprawie nie mamy do czynienia z sytuacją, w której nawiązano stosunek zobowiązaniowy i następnie dane przetwarzane są (w tym także udostępniane) przez administratora nie tylko w celu zasadniczym, tj. realizacji zawartej z klientem umowy, ale także w innych celach, które powstały w trakcie trwania stosunku zobowiązaniowego i które w ocenie administratora winny być, czy mogą być – w związku z trwającym stosunkiem prawnym - kwalifikowane jako jego "prawnie uzasadnione interesy" na gruncie RODO (art. 6 ust. 1 lit. f RODO). Sprawa niniejsza dotyczy – co wymaga raz jeszcze podkreślenia - przetwarzania danych osoby fizycznej, z którą bank nie zawarł żadnej umowy, ustał przy tym cel przetwarzania danych tej osoby fizycznej wynikający z art. 105a ust. 1 w zw. z art. 70 ust. 1 Prawa bankowego, osoba ta wniosła o zaprzestanie przetwarzania danych i ich usunięcie. Przesłanki do dalszego przetwarzania danych osobowych Skarżącego (na przyszłość i w innych wskazywanych obecnie przez bank celach) nie stanowi w tej sprawie, w jej okolicznościach faktycznych, dla banku żadna z przesłanek z art. 6 ust. 1 lit. a -f RODO. Nie można się przy tym zgodzić Organ naruszył m.in. również art. 6 ust. 1 lit. e) RODO, bowiem wbrew twierdzeniom skargi w sprawie tej nie mamy do czynienia z przetwarzaniem przez Bank jako spółki prawa handlowego danych osobowych (osoby z którą Bank nie zawarł umowy) w ramach zadania realizowanego w interesie publicznym, o czym jest mowa w art. 6 ust. 1 lit. e) RODO. Przetwarzanie danych osobowych przez bank nie ma miejsca na podstawie art. 6 ust. 1 lit. e) RODO, niezależnie od wyznaczanych sobie przez ten podmiot celów. Także określenie jako przedmiotu działalności gospodarczej "przetwarzanie danych" wymaga dla tego przetwarzania legalnej podstawy. Powołanie się na konieczność zabezpieczenia ekonomiczno-gospodarczego sektora bankowego, zapewnienie stabilności gospodarczej sektora bankowego jako uzasadnienie interesu publicznego, o którym mowa w art. 6 ust. 1 lit. e) RODO, w odniesieniu do przetwarzania danych zawartych w zapytaniu kredytowym osoby, z którą bank nie zawarł umowy nie jest trafne. Ustalenie organu w zakresie braku dopuszczalności przetwarzania danych wnioskodawcy zawartych w zapytaniu kredytowym wskazanym w decyzji jest zatem prawidłowe. Za nieuzasadnione Sąd uznał wszystkie zarzuty podniesione przez Bank w złożonych w tej sprawie skargach. W ocenie Sądu, organ zasadnie nakazał Bankowi usunięcie danych osobowych Pana P. H. zawartych w zapytaniu kredytowym z dnia [...] kwietnia 2022 r. przetwarzanych bez podstawy prawnej. Nietrafny, w świetle poczynionych wyżej ustaleń i rozważań, jest zarzut banku naruszenia art. 6 ust. 1 lit. c) RODO w zw. z art. 105 ust. 4, art. 105a ust. 1 Prawa bankowego. Podkreślenia wymaga przy tym, że organ nie kwestionował, że udzielanie kredytów jest czynnością bankową. Warto zwrócić przy tym uwagę, że art. 105 ust. 4 Prawa bankowego nie nakłada na bank obowiązku korzystania z zewnętrznej bazy zawierającej informacje o wnioskach z sektora bankowego oraz sektora pożyczkowego. Przyznaje jedynie bankom uprawnienie do tworzenia instytucji upoważnionych do gromadzenia, przetwarzania i udostępniania bankom informacji stanowiących tajemnicę bankową we wskazanym zakresie. Przesłanka z art. 6 ust. 1 lit. c) RODO nie znajduje zastosowania w okolicznościach niniejszej sprawy. Przepis ten dotyczy bowiem sytuacji, gdy przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego administratora danych, a nie realizacji uprawnienia, o którym mowa w art. 105 ust. 4 Prawa bankowego. Ponadto przepis art. 105 ust. 4 Prawa bankowego nie stanowi o dopuszczalności przetwarzania danych osobowych dotyczących wniosków kredytowych w sytuacji, gdy nie doszło do zawarcia umowy z bankiem. Przepis art. 105a ust. 1a, 1b, 1c Prawa bankowego dotyczy określenia warunków dopuszczalności zautomatyzowanego przetwarzania, w tym profilowania danych osobowych w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Powyższe przepisy w żaden sposób nie dają podstawy do przetwarzania "na przyszłość" danych osoby, z którą umowy nie zawarto, a cel, dla którego dane zebrano ustał. Brzmienie art. 105a Prawa bankowego nie daje podstaw do dalszego przetwarzania danych wnioskodawcy po zakończeniu oceny zdolności kredytowej i analizy ryzyka kredytowego, gdy umowy nie zawarto. Na podstawie powołanych przepisów bank nie ma uprawnienia do dalszego przetwarzania tych danych, albowiem umowy nie zawarto i nie wykazano przesłanki legalizującej to działanie. Sąd podziela pogląd Naczelnego Sądu Administracyjnego wyrażony w wyroku z dnia 27 sierpnia 2019 r. sygn. akt I OSK 2567/17 (orzeczenia.nsa.gov.pl), zgodnie z którym, "Gdyby podzielić stanowisko skarżącego, że pozyskanie danych na etapie złożenia wniosku kredytowego uprawnia bank do ich nieograniczonego w czasie przechowywania po odmowie zawarcia umowy kredytowej, to regulacje zawarte w art. 105 a ust. 2 i 3 i ust. 5 Prawa bankowego ograniczające w czasie przypadki przetwarzania danych klientów z umów kredytowych pozbawione byłyby sensu". Pogląd ten wyrażony został wprawdzie na gruncie poprzednio obowiązującej ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych i obowiązującej przed RODO Dyrektywy 95/46, jednakże w ocenie Sądu nie stracił na aktualności. Przepisy RODO wzmacniają jeszcze w porównaniu z Dyrektywą 95/46 ochronę danych osób fizycznych. Aktualności tego poglądu Naczelnego Sądu Administracyjnego nie zmienia także fakt, że BIK i bank, przyjęły w swej praktyce określone terminy dalszego przetwarzania danych osobowych osoby, z którą nie zawarto umowy kredytu. Zgodnie z art. 5 ust. 1 RODO, dane osobowe muszą być: a) przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą ("zgodność z prawem, rzetelność i przejrzystość"); b) zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami; dalsze przetwarzanie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych nie jest uznawane w myśl art. 89 ust. 1 za niezgodne z pierwotnymi celami ("ograniczenie celu"); c) adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane ("minimalizacja danych"); d) prawidłowe i w razie potrzeby uaktualniane; należy podjąć wszelkie rozsądne działania, aby dane osobowe, które są nieprawidłowe w świetle celów ich przetwarzania, zostały niezwłocznie usunięte lub sprostowane ("prawidłowość"); e) przechowywane w formie umożliwiającej identyfikację osoby, której dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane; dane osobowe można przechowywać przez okres dłuższy, o ile będą one przetwarzane wyłącznie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych na mocy art. 89 ust. 1, z zastrzeżeniem że wdrożone zostaną odpowiednie środki techniczne i organizacyjne wymagane na mocy niniejszego rozporządzenia w celu ochrony praw i wolności osób, których dane dotyczą ("ograniczenie przechowywania"); f) przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych ("integralność i poufność"). Przedstawione zasady przetwarzania danych nie pozwalają na arbitralne decydowanie przez administratora – w sytuacji braku do tego podstaw – o dalszym przetwarzaniu (a zatem ich m.in. ujawnianiu poprzez przesyłanie, udostępnianie, utrwalanie, organizowanie, adaptowanie, modyfikowanie) danych osobowych mimo ustania celu, dla którego dane w zapytaniu kredytowym były zebrane. Powyższe znajduje odniesienie do przetwarzania danych przez BIK jako administratora. Do podmiotu tego też mają zastosowanie zasady przetwarzania danych określone w art. 5 RODO. Przepis art. 5 ust. 2 RODO stanowi, że administrator jest odpowiedzialny za przestrzeganie ust. 1 i musi być w stanie wykazać ich przestrzeganie ("rozliczalność"). Z kolei zaakceptowanie wykładni przepisów Prawa bankowego, ustawy AML, rozporządzenia nr 575/2013 zaprezentowanej w skargach zarówno prowadziłaby do stwierdzenia, że na potrzeby oceny zdolności kredytowej i analizy ryzyka kredytowego bank ma prawo nieograniczonego w czasie przetwarzania danych osoby, z którą bank nie zawarł umowy o kredyt, zaś prawo to doznaje ograniczenia, gdy doszło do zawarcia takiej umowy. Wprawdzie Bank nie wskazywał, że przetwarzanie danych będzie nieograniczone w czasie, jednakże nie ma wątpliwości, że – wobec braku podstaw prawnych i ograniczeń czasowych przetwarzania danych wnioskodawcy w celach przyjętych przez ten podmiot (po dokonaniu oceny zdolności kredytowej i analizy ryzyka kredytowego) – można byłoby mówić o nieograniczonym w czasie przetwarzaniu tych danych. Narzucenie przez Bank sobie ograniczeń czasowych dla poszczególnych, przyjętych przez te podmioty nowych celów przetwarzania, potwierdza jedynie, że nie można mówić o takim samym poziomie ochrony danych osobowych na gruncie RODO, jak w przypadku osoby, z którą zawarto umowę. Sąd podziela pogląd wyrażony przez Naczelny Sąd Administracyjny w powołanym wyżej wyroku z dnia 27 sierpnia 2019 r., zgodnie z którym takich wyników wykładni art. 105a ust. 1 Prawa bankowego nie sposób zaakceptować, bowiem prowadzą one do skutków, których nie zakładałby racjonalny ustawodawca, a więc do przyznania szerszego uprawnienia do przetwarzania danych osobowych podmiotów, z którymi banku nie łączy żaden stosunek prawny. Przepis art. 105a ust. 1 Prawa bankowego, stanowi, że przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów oraz instytucje utworzone na podstawie art. 105 ust. 4, informacji stanowiących tajemnicę bankową w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem art. 104, art. 105 i art. 106 - 106d ustawy, w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Zgodnie z art. 105 ust. 1 pkt 1c Prawo bankowego, bank ma obowiązek udzielenia informacji stanowiących tajemnicę bankową wyłącznie instytucjom, o których mowa w ust. 4, w zakresie niezbędnym do stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w przepisach części trzeciej rozporządzenia nr 575/2013. Jak wskazywano już wyżej, zgodnie z art. 105 ust. 4 Prawa bankowego banki mogą, wspólnie z bankowymi izbami gospodarczymi, utworzyć instytucje upoważnione do gromadzenia, przetwarzania i udostępniania m.in. bankom oraz innym podmiotom określonym w tym przepisie informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013. Zasady przetwarzania danych objętych tajemnicą bankową określa art. 105a Prawa bankowego, którego możliwość uznania za podstawę przetwarzania danych osobowych w niniejszej sprawie została omówiona już wcześniej. Na gruncie tego przepisu należy oceniać zatem dopuszczalność przetwarzania poszczególnych danych osobowych w określonych ściśle celach. Niezasadne są zarzuty Banku dotyczące naruszenia art. 6 ust. 1 lit. c) RODO w związku z art.33 ust.2, art.33 ust.3 pkt 6, art.34 ust.1 pkt. 1, art.34 ust3-5, art.35 ust.1 pkt.1, art. 36 ust.1 pkt.1, art. 46 oraz art. 49 ustawy AML. Wskazać należy, że art. 33 ustawy AML nakłada na określony katalog "instytucji obowiązanych" obowiązek m.in. stosowania wobec swoich klientów środków bezpieczeństwa finansowego, których katalog znajduje się w art. 34 ustawy AML. Artykuł 35 ust. 1 ustawy AML wskazuje zaś sytuacje, w których banki są obowiązane stosować środki bezpieczeństwa finansowego. Art. 49 ust. 1 ustawy AML stanowi, że kopie dokumentów i informacje uzyskane w wyniku stosowania środków bezpieczeństwa finansowego a także dowody potwierdzające przeprowadzone transakcje i ewidencje transakcji, obejmujące oryginalne dokumenty lub kopie dokumentów konieczne do identyfikacji transakcji, przechowuje się przez okres 5 lat licząc od pierwszego dnia roku następującego po roku, w którym zakończono stosunki gospodarcze z klientem lub w którym przeprowadzono transakcje okazjonalne. Natomiast w przypadku dokonania analizy przeprowadzonej transakcji i udokumentowania jej analizy zgodnie z art. 34 ust. 3 ustawy AML, instytucja pożyczkowa na mocy art. 49 ust. 2 ustawy AML jest obowiązana do przechowywania jej wyników przez okres 5 lat, licząc od pierwszego dnia roku następującego po roku ich przeprowadzenia. W pierwszej kolejności należy wskazać, że jak wynika z treści powyższych przepisów uprawnienie do przechowywania danych osobowych związanych z zastosowaniem środków bezpieczeństwa jest powiązane z przeprowadzeniem transakcji. W przypadku zapytań kredytowych niezakończonych zawarciem umowy nie dochodzi ostatecznie do przeprowadzenia transakcji. Dodatkowo nie dochodzi również do nawiązania stosunków gospodarczych. Zgodnie z art. 35 ust. 1 pkt 1 ustawy AML instytucje obowiązane, w tym banki, stosują środki bezpieczeństwa finansowego w przypadku nawiązywania stosunków gospodarczych. W przypadku gdy instytucja obowiązana nie może zastosować jednego ze środków bezpieczeństwa finansowego, o których mowa w art. 34 ust. 1: nie nawiązuje stosunków gospodarczych lub rozwiązuje stosunki gospodarcze (art. 41 u. 1 pkt 1 i pkt 4 ustawy AML). W tym miejscu wskazać należy, że zgodnie z ustawową definicją stosunków gospodarczych, rozumieć przez nie należy stosunki instytucji obowiązanej z klientem związane z działalnością zawodową instytucji obowiązanej, które w chwili ich nawiązywania wykazują cechę trwałości (art. 2 ust. 2 pkt 20 ustawy AML). W ocenie Sądu zapytania kredytowe, które spotkały się z decyzją odmowną w zakresie udzielenia kredytu, nie posiadają cechy trwałości, która w aspekcie powyższych przepisów AML uzasadniałyby ich dalsze przetwarzanie. Powyższego nie przekreśla przytoczony przez Bank art. 34 ust. 3 ustawy AML regulujący obowiązek Banku udokumentowania, że podjął czynności identyfikacyjne. Powyższy przepis odsyła do sytuacji, o których mowa w art. 35 ust. 1 RODO, a które to nie miały zastosowania w niniejszej sprawie. Stosunki gospodarcze pomiędzy Bankiem a Skarżącym nie posiadały cechy trwałości lub nie mieściły się w katalogu transakcji okazjonalnych wskazanych w ww. przepisie. Cechę trwałości posiada taki stosunek gospodarczy jak np. umowa, na co wskazuje się doktrynie (cyt.) "W przypadku nawiązywania stosunków gospodarczych, a więc stosunków instytucji obowiązanej z klientem związanych z działalnością zawodową instytucji obowiązanej, które w chwili ich nawiązywania wykazują cechę trwałości (np. zawarcie umowy o świadczenie usług), instytucje obowiązane stosują środki bezpieczeństwa finansowego bez względu na wartość tych stosunków; w tym zakresie brak jest minimalnego limitu wartości, jak w przypadku transakcji okazjonalnych" (dr. hab. Marcin Dyl, dr hab. Michał Królikowski, Ustawa o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu. Komentarz, Legalis C.H. Beck, Wydawnictwo H. Beck, Warszawa 2021, wyd. 1). W treści swojej skargi Bank wskazał, że nawet jeśli nie dojdzie do przyznania finansowania, to Bank może je wykorzystać w kontekście innych produktów bankowych (cyt: " na tle ustawy AML bank jest zobowiązany przeprowadzić odpowiednie analizy przed zawarciem umowy kredytu. W związku z tym, informacje dotyczące ubiegania się o kredyt są także wykorzystywane dla celów wynikających z ustawy AML. Zgodnie z przepisem art. 49 ust.1 ustawy AML, większość tych danych przechowuje się 5 lat licząc od pierwszego dnia roku następującego po roku, w którym zakończono stosunki gospodarcze z klientem lub w którym przeprowadzono transakcje okazjonalne. Jest to termin końcowy. Mamy tu do czynienia z przepisem szczególnym. Po prostu nie jest możliwe, aby wykonać obowiązki identyfikacji i udowodnić przeprowadzenie identyfikacji Uczestnika jako wnioskodawcy, a następnie nie przetwarzać tych danych po wykonaniu tego środka bezpieczeństwa finansowego."). Należy jednak podkreślić, że w doktrynie zaznacza się, że przepisy AML nie powinny być interpretowane w sposób rozszerzający. Jak wskazuje się chociażby w kontekście art. 39 ust. 3 AML regulującego zastosowanie środków bezpieczeństwa finansowego w przypadku umów o prowadzenie rachunku bankowego, rachunku papierów wartościowych lub rachunku zbiorczego (cyt.) "właśnie ze względu na szczególny reżim nadzorczy, jakiemu podlegają te instytucje, ustawodawca zdecydował, że mogą one zawrzeć z klientem umowę o prowadzenie rachunku bankowego, rachunku papierów wartościowych lub rachunku zbiorczego pod warunkiem, że dwa pierwsze środki bezpieczeństwa finansowego zostaną zastosowane przed przeprowadzeniem transakcji z wykorzystaniem tych rachunków. Oznacza to, że relacje z klientem mogą zostać zawarte, rachunek bankowy, rachunek papierów wartościowych lub rachunek zbiorczy mogą zostać otwarte, lecz muszą zostać zablokowane do czasu skutecznego wykonania wskazanych środków bezpieczeństwa finansowego. (...) Jak każdy wyjątek w prawie, przepis ten nie może być interpretowany rozszerzające, a zatem będzie miał on zastosowanie jedynie do wskazanych tam instytucji i do wskazanych w nim typów rachunków, pod warunkiem zawarcia relacji z klientami i bezwzględnego zablokowania mu możliwości przeprowadzania jakichkolwiek transakcji na rachunku" (R. Obczyński [w:] Przeciwdziałanie praniu pieniędzy oraz finansowaniu terroryzmu. Komentarz, red. W. Kapica, Warszawa 2020, art. 39). Podzielając powyższe, uzasadnione jest stwierdzenie, że danych osobowych pozyskanych w ramach stosowania środków bezpieczeństwa finansowego, wbrew twierdzeniom Banku, nie można przetwarzać w sytuacji braku zaistnienia okoliczności wskazanych w art. 35 ust. 1 ustawy AML. Pozyskiwanie danych w ramach zastosowania ww. środków powinno odbywać się w konkretnych sytuacjach przewidzianych przez przepisy AML. W kontekście zbyt szerokiej interpretacji przepisów AML przez Bank, należy również podkreślić, że art. 49 ust. 1 ustawy AML stanowi, że okres przechowywania dokumentacji związanej z przeprowadzeniem środków bezpieczeństwa finansowego należy liczyć "od dnia zakończenia stosunków gospodarczych" oraz "przeprowadzenia transakcji okazjonalnej" a zatem sfinalizowanych czynności z klientem (tj. kiedy doszło do nawiązania stosunków gospodarczych np. przez zawarcie umowy lub doszło do transakcji okazjonalnej). W ocenie Sądu niezasadny jest zarzut dotyczący naruszenia prawa materialnego, które miało wpływ na wynik sprawy tj. art. 6 ust. 1 lit. c RODO w zw. z art. 144 ust. 1 lit. d, art. 145 ust. 1, art. 170 ust. 3 lit. a, art. 171 ust. 2 i art. 179 ust 1 lit. a oraz art. 181 ust. 2 CRR oraz o warunki testowania modeli np. art. 190 ust.2 lit. a), art.195 ust.3 lit. a), art. 221 ust.4 lit. g), art. 286, art. 290, art. 292 ust.5 lit. a), art. 370 lit. d) CRR, polegające na jego niestosowaniu i przyjęciu, że Bank nie legitymuje się przesłanką przetwarzania danych wynikającą z art.6 ust.1 lit. c) RODO w związku z powyższymi przepisami CRR wskazującymi na określone obowiązki w zakresie wymogów ostrożnościowych. Treść powyższych przepisów nie wskazuje na obowiązek zastosowania danych osobowych w zakresie zapytań kredytowych niezakończonych zawarciem umowy kredytu. Obowiązku przetwarzania danych osobowych związanych z zapytaniami kredytowymi niezakończonymi zawarciem umowy nie przewiduje również art. 170 ust. 3 lit. a CRR struktura systemów ratingowych dla ekspozycji detalicznych spełnia następujące wymogi: a) systemy ratingowe odzwierciedlają zarówno ryzyko dłużnika, jak i ryzyko transakcji oraz uwzględniają wszystkie istotne właściwości ryzyka dłużnika i ryzyka transakcji. Art. 171 ust. 2 natomiast stanowi, że klasyfikując dłużników i instrumenty do klas lub pul, instytucja uwzględnia wszystkie istotne informacje. Informacje te są aktualne i umożliwiają instytucji prognozowanie zachowania ekspozycji w późniejszym okresie. Im mniej informacji ma do dyspozycji instytucja, tym ostrożniej klasyfikuje ekspozycje do poszczególnych klas lub pul dłużników i instrumentów. Jak wynika z powyższych przepisów rozporządzenia CRR instytucja kredytowa jest obowiązana do zbierania informacji przydatnych do skutecznego zarządzania ryzykiem. Nie oznacza to jednak, że gromadzenie danych w systemach ratingowych może odbywać się z naruszeniem przepisów regulujących kwestie ochrony danych osobowych. Należy ponadto dodać, że inne przepisy rozporządzenia CRR konkretyzują jakie dane mogą być użyte przez instytucje kredytowe oraz firmy inwestycyjne przy realizacji wymogów ostrożnościowych. Zdaniem Sądu zarzut Banku, iż Organ naruszył art. 6 ust. 1 lit. f w związku z art. 5 ust. 1 lit. e RODO w związku z art. 118 kodeksu cywilnego i innymi przepisami o przedawnieniu - poprzez przyjęcie, że dane osobowe, które są danymi archiwalnymi i przetwarzane są właśnie w celu archiwalnym (w literaturze przedmiotu mowa o retencji danych) nie mogą być przetwarzane w okresie archiwizacji i w tym celu, o ile kontrahent/klient Banku nie przedstawił określonego roszczenia bankowi jest niezasadny. Powyższy zarzut prowadzi do konstatacji, iż przetwarzanie danych osobowych w celu archiwizacyjnym jest celem samym w sobie i nie musi znajdować oparcia w przepisach obowiązującego prawa. Stosownie do zasady uregulowanej w art. 5 ust. 1 lit. e RODO, powołanej przez Bank, dane osobowe muszą być przechowywane w formie umożliwiającej identyfikację osoby, której dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane; dane osobowe można przechowywać przez okres dłuższy, o ile będą one przetwarzane wyłącznie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych na mocy art. 89 ust. 1, z zastrzeżeniem że wdrożone zostaną odpowiednie środki techniczne i organizacyjne wymagane na mocy niniejszego rozporządzenia w celu ochrony praw i wolności osób, których dane dotyczą ("ograniczenie przechowywania"). Sąd podziela stanowisko organu wskazującego, że brak jest uzasadnienia dla przyjęcia, iż terminy dotyczące przedawnienia roszczeń wynikających ze stosunków zobowiązaniowych określają jednocześnie ramy czasowe, w których dane osobowe mogą być przetwarzane przez Bank w celach archiwalnych. Przedawnienie roszczenia nie wywołuje skutków na gruncie ochrony danych osobowych. W ocenie Sądu stanowisko Prezesa UODO, wskazującego, że niewłaściwy jest zarzut naruszenia przez organ art. 6 ust. 1 lit. f RODO w związku z Rekomendacjami SWiT, KNF. Bank był uprawniony do przetwarzania danych osobowych Skarżącego w celu oceny zdolności kredytowej. Podkreślenia jednak wymaga, że nie doszło do zawarcia umowy pomiędzy Skarżącym a Bankiem. W związku z powyższym odpadła przesłanka legalizująca dalsze przetwarzanie danych osobowych Skarżącego przez Bank. Podkreślenia również wymaga, że celem przetwarzania danych osobowych Skarżącego była ocena zdolności kredytowej i analizy ryzyka kredytowego. W związku z dokonaniem przez Bank oceny zdolności kredytowej i analizy ryzyka kredytowego ww. cel przetwarzania danych osobowych Skarżącego został zrealizowany i brak jest podstaw prawnych do kontynuowania tego procesu. Ponadto Organ słusznie podkreślił, że powoływane przez Bank Rekomendacje KNF należą do nienormatywnych form działania administracji. Wydane przez KNF rekomendacje - podobnie jak inne uchwały ww. organu nadzoru - nie są źródłem ani powszechnie obowiązujących przepisów prawa, ani przepisów prawa o charakterze wewnętrznym. Zdaniem Sądu zasadnie podkreślono, że Podkreślić również należy, że w Polsce jedynym właściwym i wyspecjalizowanym w sprawach dotyczących ochrony danych osobowych organem jest Prezes UODO, który ma status i kompetencje organu nadzorczego określone obecnie w RODO. Z tego względu Prezes Urzędu Ochrony Danych Osobowych uprawniony jest do samodzielnego dokonywania interpretacji przepisów prawa w zakresie dotyczącym ochrony danych osobowych. W konsekwencji sytuacja Skarżącego, tj. osoba, która zwróciła się z zapytaniem kredytowym i z którą nie zawarto umowy kredytowej, jest z punktu widzenia ochrony danych osobowych, biorąc pod uwagę przepisy Prawa bankowego, sytuacją "gorszą" niż sytuacja osoby, która zawarła umowę kredytową i jej zobowiązanie wygasło. W tym drugim bowiem przypadku dla dalszego przetwarzania danych po wygaśnięciu zobowiązania wynikającego z danej umowy niezbędna jest zgoda osoby, której dane dotyczą. Zgodę taką można nadto w każdym czasie odwołać. Zwrócić należy uwagę, że przedmiotem niniejszej sprawy i kompetencji organu nie jest ustalenie możliwego sposobu realizacji przez bank obowiązków nakładanych na te podmioty przez instytucje nadzorcze w zakresie prowadzonej działalności. Nie ma przeszkód i jest wskazane, aby realizację tych obowiązków wykonywać z poszanowaniem RODO. Przedmiotem oceny organu ochrony danych osobowych była w tej sprawie wyłącznie kwestia oceny zgodności z prawem "dalszego" przetwarzania danych osobowych konkretnej osoby fizycznej w konkretnych okolicznościach faktycznych. Sąd nie znalazł podstaw do zakwestionowania tej oceny organu. Podkreślenia wymaga, że w demokratycznym państwie prawnym nie jest dopuszczalne dowolne rozszerzanie uprawnień jakiegokolwiek podmiotu, ani organu władzy ani spółki prawa handlowego, ani żadnego innego podmiotu będącego administratorem w zakresie przetwarzania danych osobowych (art. 47, art. 51 Konstytucji RP). Dane osobowe mogą być przetwarzane co do zasady w celach, w jakich zostały zebrane. Powinny być adekwatne, stosowne oraz ograniczone do tego co niezbędne do osiągnięcia celów, w których zostały zebrane, są przetwarzane (art. 5 ust. 1 lit. c RODO). Przetwarzanie przez Bank "na przyszłość" danych zawartych w zapytaniu kredytowym, w sytuacji, gdy nie zawarto umowy, nie znajduje umocowania w żadnej przesłance z art. 6 ust. 1 RODO. Sąd podziela prezentowane w orzecznictwie sądowoadministracyjnym poglądy, zgodnie z którymi dalsze przetwarzanie danych uzyskanych w celu oceny zdolności kredytowej, w przypadku nie zawarcia stosownej umowy pozostawałoby w oderwaniu od celu, dla którego je uzyskano. Niedopuszczalne jest dalsze przetwarzanie danych osobowych na przyszłość, a także na potrzeby budowy oceny zdolności kredytowej innych podmiotów, jeżeli nie można zrekonstruować wyraźnej podstawy prawnej takich działań, jak miało to miejsce w niniejszej sprawie (por. wyrok NSA z dnia 27 sierpnia 2019 r. sygn. akt I OSK 2567/17, wyroki Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 25 kwietnia 2023 r. sygn. akt II SA/Wa 1942/22 oraz z dnia 5 czerwca 2023 r. sygn. akt II SA/Wa 1736/22; orzeczenia.nsa.gov.pl). Zdaniem Sądu należy jednocześnie uznać, iż organ wyczerpująco zbadał istotne okoliczności faktyczne związane z niniejszą sprawą. W ocenie Wojewódzkiego Sądu Administracyjnego w Warszawie organ rozstrzygając sprawę - oparł się na materiale prawidłowo zebranym, i dokonał jego wszechstronnej oceny. Ponadto należy uznać, iż stanowisko wyrażone w zaskarżonej decyzji, organ uzasadnił w sposób wymagany przez normę prawa określoną w przepisie art. 107 § 3 k.p.a. Mając powyższe na uwadze, Wojewódzki Sąd Administracyjny w Warszawie na podstawie art. 151 p.p.s.a. orzekł jak w sentencji.