II SA/Wa 2060/23

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Łukasz Krzycki, Sędzia WSA Ewa Radziszewska-Krupa (spr.), Asesor WSA Mateusz Rogala, Protokolant st. sekr. sądowy Maryla Wiśniewska po rozpoznaniu na rozprawie w dniu 15 maja 2024 r. sprawy ze skargi [...] S.A. z siedzibą w [...] na punkt 2 decyzji Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] sierpnia 2023 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę I. Stan sprawy przedstawia się następująco. 1. Prezes Urzędu Ochrony Danych Osobowych (zwany dalej "Prezes UODO") w punkcie 2 decyzji z [...] sierpnia 2023r. znak: [...] nakazał Biuru Informacji Kredytowej S.A. z siedzibą w [...] (zwane dalej "BIK") usunięcie danych osobowych S. K. (zwany dalej "Uczestnikiem") w zakresie wynikającym z zapytania kredytowego z [...] lutego 2020r., niezakończonego udzieleniem kredytu, przekazanych przez [...] Bank [...] S.A. z siedzibą w [...] (zwany dalej "Bankiem"). W podstawie prawnej decyzji wskazano art. 104 § 1 ustawy z 14 czerwca 1960r. Kodeks postępowania administracyjnego (Dz.U. z 2023r., poz. 775 ze zm., zwana dalej "k.p.a.") w związku z art. 7 ust. 1 i 2 ustawy z 10 maja 2018r. o ochronie danych osobowych (Dz.U. z 2019r., poz. 1781), art. 6 ust. 1 oraz art. 58 ust. 2 lit. b i c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych - Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35, zwane dalej "RODO"). Prezes UODO w uzasadnieniu decyzji zauważył, że w Uczestnik wskazał, że Bank przetwarza bez podstawy prawnej jego dane osobowe, pochodzące z ww. zapytania kredytowego, w następstwie którego nie doszło do zawarcia umowy. Uczestnik zwrócił się do Banku o usunięcie ww. danych osobowych z baz Banku oraz BIK. Bank nie uwzględnił żądania Uczestnika. Bank wyjaśnił, że pozyskał dane osobowe Uczestnika (imię i nazwisko, numer PESEL, nazwisko rodowe matki, datę urodzenia, płeć, kraj urodzenia, miejsce urodzenia, datę urodzenia, obywatelstwo, adres zamieszkania, adres korespondencyjny, adres poczty elektronicznej, seria i numer dowodu osobistego, seria i numer paszportu, numer telefonu komórkowego, status podatkowy, status dewizowy, status zatrudnienia, zajmowane stanowisko, rodzaj umowy zatrudnienia, osiągane dochody, nazwę i dane identyfikacyjne pracodawcy) w związku z szeregiem umów zawartych przez niego z Bankiem i w związku z wnioskiem o pożyczkę gotówkową z [...] lutego 2020r. Bank nie przetwarza obecnie danych osobowych Uczestnika w zakresie zapytania kredytowego z [...] lutego 2020r., gdyż upłynął okres przechowywania tego zapytania, ale przetwarza je w celach archiwalnych, w celu budowy i stosowania modeli statystycznych, wykonywania obowiązków nałożonych przepisami rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 575/2013 z 26 czerwca 2013r. w sprawie wymogów ostrożnościowych dla instytucji kredytowych i firm inwestycyjnych, zmieniające rozporządzenie (UE) nr 648/2012 (zwane dalej "Rozporządzeniem 575/2013") oraz rekomendacjami KNF, przeprowadzenia analizy ryzyka kredytowego, realizacji wymogów ostrożnościowych, a także w celu sporządzania wyjaśnień dokonanej oceny zdolności kredytowej na wniosek osoby ubiegającej się o kredyt. BIK w wyjaśnieniach wskazał, że pozyskał dane Uczestnika od Banku w związku z ww. zapytaniem kredytowym, na podstawie art. 105 ust. 4 i art. 105a ust. 1 ustawy z 29 sierpnia 1997r. Prawo bankowe (Dz.U. z 2023r., poz.2488, ze zm., zwana dalej "u.P.b."), a także na podstawie łączącej BIK i Bank umowy. Uczestnik nie wystąpił do BIK z żądaniem usunięcia danych osobowych, a BIK nie otrzymał od Banku wniosku o usunięcie tych danych w zakresie ww. zapytania. BIK przetwarza (lub przetwarzał - z uwagi na upływ okresu retencji) dane pochodzące z ww. zapytania kredytowego, obejmujące: dane identyfikujące (imię, nazwisko, numer PESEL, serię i numer dowodu osobistego, datę urodzenia, obywatelstwo, płeć), dane z wniosku kredytowego dotyczącego zobowiązania (powód złożenia zapytania, relacja klienta do rachunku, typ transakcji, kwota kredytu, waluta, numer wniosku, kurs waluty, liczba uczestników transakcji) i adres zamieszkania, w celach: - oceny indywidualnej zdolności kredytowej i analizy ryzyka kredytowego klienta; - budowy modeli scoringowych; statystycznych i stosowania metod i modeli; - rozpatrywania ewentualnych reklamacji i roszczeń odszkodowawczych; - realizacji wniosków klientów banków dotyczących wyjaśnień dokonanej oceny zdolności kredytowej, na podstawie art. 70a u.P.b.; - realizacji obowiązków wynikających z art. 15 RODO w przypadku wystąpienia przez osobę, której dane dotyczą z wnioskiem o udzielenie informacji. Bank przedłożył do akt kopię wniosku Uczestnika z [...] maja 2020r., w którym żądano zaprzestania przetwarzania danych osobowych zawartych w ww. zapytaniu kredytowym. (data wpływu do Banku [...] maja 2020r.). Bank w odpowiedzi z [...] maja 2020r. poinformował o nieuwzględnieniu żądania. Prezes UODO po zapoznaniu się z materiałem dowodowym sprawy zaznaczył, że przepisem uprawniającym administratorów danych do przetwarzania zwykłych danych osób fizycznych jest art. 6 ust. 1 RODO, zgodnie z którym, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy spełniona jest jedna z przesłanek wskazanych w tym przepisie. Katalog przesłanek wymienionych w art. 6 ust. 1 RODO, jest zamknięty. Każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny. Dodatkowo proces przetwarzania danych osobowych musi być zgodny z zasadami ustanowionymi w art. 5 ust. 1 RODO. Do zasad tych zalicza się między innymi ograniczenie celu (art. 5 ust. 1 lit. b RODO) oraz minimalizację danych (art. 5 ust. 1 lit. c RODO). Zasady te wymagają, by dane osobowe były zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z celami, a proces przetwarzania powinien być adekwatny, stosowny oraz ograniczony do tego, co niezbędne do celów, w których są przetwarzane. Podstawą prawną przetwarzania danych osobowych klientów Banku i BIK, co do zasady, może być art. 6 ust. 1 lit. f RODO, gdy przetwarzanie to jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora. BIK jest instytucją utworzoną na podstawie art. 105 ust. 4 u.P.b., który stanowi, że banki mogą, wspólnie z bankowymi izbami gospodarczymi, utworzyć instytucje upoważnione do gromadzenia, przetwarzania i udostępniania bankom informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej Rozporządzenia 575/2013, innym instytucjom ustawowo upoważnionym do udzielania kredytów informacji, stanowiących tajemnicę bankową w zakresie, w jakim informacje te są niezbędne w związku z udzielaniem kredytów, pożyczek pieniężnych, gwarancji bankowych i poręczeń (pkt 2), instytucjom kredytowym informacji stanowiących tajemnicę bankową w zakresie niezbędnym do oceny zdolności kredytowej konsumenta, o której mowa w art. 9 ustawy z 12 maja 2011r. o kredycie konsumenckim (Dz.U. z 2022r., poz. 246, zwana dalej "u.k.k.") (pkt 3), instytucjom pożyczkowym i podmiotom, o których mowa w art. 59d u.k.k. na zasadzie wzajemności, informacji stanowiących odpowiednio tajemnice bankową oraz informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d u.k.k., w zakresie niezbędnym do oceny zdolności kredytowej konsumenta, o której mowa w art. 9 tej ustawy, i analizy ryzyka kredytowego (pkt 4). Zgodnie z art. 105a ust. 1 u.P.b., przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów, instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d u.k.k., a także instytucje utworzone na podstawie art. 105 ust. 4 u.P.b., informacji stanowiących tajemnicę bankową i informacji udostępnionych przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d u.k.k., w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem art. 104, 105 i art. 106 - 106d u.P.b., w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Banki oraz instytucje, o których mowa w art. 105 ust. 4 u.P.b., zgodnie z art. 105a ust. 4 u.P.b., mogą przetwarzać stanowiące tajemnicę bankową informacje dotyczące osoby fizycznej po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której informacje dotyczą, do celów stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej Rozporządzenia 575/2013. Stosownie do art. 105a ust. 5 u.P.b. przetwarzanie informacji stanowiących tajemnicę bankową w przypadkach, o których mowa w ust. 3, może być wykonywane przez okres nie dłuższy niż 5 lat od dnia wygaśnięcia zobowiązania, a w przypadku, o którym mowa w ust. 4, przez okres 12 lat od dnia wygaśnięcia zobowiązania. Stosownie do art. 70 ust. 1 u.P.b., bank uzależnia przyznanie kredytu od zdolności kredytowej kredytobiorcy. Przez zdolność kredytową rozumie się zdolność do spłaty zaciągniętego kredytu wraz z odsetkami w terminach określonych w umowie. Skoro Uczestnik [...] lutego 2020r. złożył wniosek o udzielenie pożyczki gotówkowej, to Bank i BIK były uprawnione do przetwarzania danych osobowych Uczestnika, na podstawie art. 105a ust. 1 i art. 70 ust. 1 u.P.b., w celu oceny zdolności kredytowej. Brak zawarcia umowy pomiędzy Uczestnikiem a Bankiem powoduje, że odpadła przesłanka legalizująca dalsze przetwarzanie przez Bank i BIK danych osobowych Uczestnika. Przesłanki zawarte w art. 105a u.P.b. dotyczą bowiem przetwarzania informacji objętych tajemnicą bankową w okresie przed powstaniem zobowiązania, w trakcie jego trwania i po jego wygaśnięciu. Między Bankiem a Uczestnikiem nie zawiązał się stosunek zobowiązaniowy, wynikający z ww. zapytania kredytowego, który stosownie do art. 105a ust. 1-6 u.P.b. dawałby podstawę do dalszego przetwarzania danych jego osobowych. Celem przetwarzania danych osobowych Uczestnika była wyłącznie ocena zdolności kredytowej i analizy ryzyka kredytowego. W związku z dokonaniem przez Bank oceny zdolności kredytowej i analizy ryzyka kredytowego, ww. cel przetwarzania danych osobowych Uczestnika został zrealizowany i należało wskazać na brak podstaw prawnych do kontynuowania tego procesu po dokonaniu oceny zdolności kredytowej. W ocenie Prezesa UODO za podstawę przetwarzania danych osobowych Uczestnika, nie mogły być uznane wskazane przez BIK cele statystyczne i analizy, w tym cel stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej Rozporządzenia 575/2013. Art. 105a ust. 4 u.P.b. daje podstawy do przetwarzania informacji dotyczących osoby fizycznej, stanowiących tajemnicę bankową po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której to informacje dotyczą, ale w sprawie nie doszło do zawarcia umowy kredytu. Nie powstał zatem stosunek zobowiązaniowy, o którym mowa w ww. przepisie. Powołane przepisy Rozporządzenia 575/2013 nie wykazały konkretnej przesłanki uprawniającej BIK do wykorzystania danych w zakresie zapytań kredytowych, niezakończonych zawarciem umowy, do indywidualnej oceny zdolności kredytowej, ani tym bardziej do wykorzystania tego rodzaju danych osobowych do modeli scoringowych. Prezes UODO, odnosząc się do powoływanych przez BIK, rekomendacji KNF, wskazał, że należą one do nienormatywnych form działania administracji i podobnie, jak inne uchwały KNF – nie są źródłem powszechnie obowiązujących przepisów prawa, ani przepisów prawa o charakterze wewnętrznym. Rekomendacje KNF nie stanowią więc podstawy prawnej legalizującej przetwarzanie danych osobowych w zakresie zapytań kredytowych niezakończonych zawarciem umowy kredytu, a ich stosowanie nie może naruszać przepisów RODO. Prezes UODO, odnosząc się do powołanego przez BIK celu ustalenia, dochodzenia lub obrony przed ewentualnymi roszczeniami, wskazał, że zebrany materiał dowodowy nie wykazał, aby Uczestnik wystąpił z roszczeniem wobec BIK, które uzasadniałoby uprawnienie do zachowania i przetwarzania jego danych osobowych dla celów dowodowych w związku z dochodzeniem przez Uczestnika tego roszczenia. BIK nie wskazał też na istnienie roszczeń, których dochodzi od Uczestnika. Przesłanka z art. 6 ust. 1 lit. f RODO dotyczy sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia potrzeby dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem. Prezes UODO podzielił stanowisko NSA wyrażone w wyroku z 6 marca 2019r. sygn. akt I OSK 994/17, odnoszące się wprawdzie do przesłanki wynikającej z art. 23 ust. 1 pkt 5 ustawy z 29 sierpnia 1997r. o ochronie danych osobowych (Dz.U. z 2016r., poz. 922 ze zm., zwana dalej "u.o.d.o."), ale analogicznej do art. 6 ust. 1 lit. f) RODO - dopuszczalności przetwarzania danych osobowych dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, gdy przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Chodzi o realizowanie prawnie usprawiedliwionego celu, ale także o dokonanie oceny czy dla realizacji tego celu niezbędne jest przekazanie danych, pomimo braku zgody osoby, której dane te dotyczą. Ocena ta sprowadza się do wyważania racji i interesów osoby, której dane dotyczą, a która jest objęta ochroną prawną, a z drugiej administratora danych, również chronionego przez prawo w zakresie, w jakim może realizować prawnie usprawiedliwione cele i uprawnienia. Prezes UODO, odwołując się do stanowiska NSA zawartego w wyroku z 23 września 2005r. sygn. akt I OSK 712/05, wskazał, że rozstrzygając o legalności przetwarzania danych trzeba każdorazowo, ważąc interesy stron, znaleźć równowagę między prawami i wolnościami jednostki z jednej strony, a prawnie usprawiedliwionym interesem osoby trzeciej z drugiej strony. Art. art. 23 ust. 1 pkt 5 u.o.d.o. na pierwszym miejscu wymienia warunek, że przetwarzanie danych winno być niezbędne dla wypełnienia prawnie usprawiedliwionych celów. Zgodnie z art. 23 ust. 1 pkt 2 u.o.d.o. przetwarzanie danych osobowych jest dopuszczalne wtedy, gdy jest to niezbędne do zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa. Przyjęcie odmiennej interpretacji ww. przepisów RODO i u.o.d.o., oznaczałoby pozbawienie Uczestnika ochrony. Przyjęcie za prawidłowe stanowiska, że przetwarzanie danych osobowych w celu uchylenia się od negatywnych skutków, w przypadku zgłoszenia w przyszłości ewentualnego i nieokreślonego roszczenia, stanowi prawnie usprawiedliwiony cel w rozumieniu art. 6 ust. 1 lit. f RODO - oznaczałoby, że dane osobowe Uczestnika mogą być przetwarzane przez BIK permanentnie, bez konieczności ich usunięcia. Teoretycznie możliwa jest sytuacja, w której Uczestnik zwróci się do Banku lub BIK z roszczeniem po upływie terminu przedawnienia roszczenia. Prowadziłoby to tym samym do uznania, że przetwarzanie danych osobowych Uczestnika ma uzasadnienie w przesłance z art. 6 ust. 1 lit. f RODO - w celu realizacji prawa do obrony przed ewentualnym roszczeniem. Brak jednak uzasadnienia, że terminy dotyczące przedawnienia roszczeń wynikających ze stosunków zobowiązaniowych określają ramy czasowe, w których dane osobowe mogą być przetwarzane przez BIK. Prezes UODO podzielił bowiem stanowisko doktryny, że jeśli bank - w wyniku dokonanej oceny zdolności kredytowej (przeprowadzonej zgodnie z przyjętymi rekomendacjami KNF) - nie udzieli kredytu, zatem nie dojdzie do zawarcia umowy kredytu, stan taki nie rodzi po stronie ubiegającego się o kredyt żadnych roszczeń na drodze cywilnoprawnej. Ubiegającemu się o kredyt przysługuje tylko możliwość wnioskowania o przedstawienie na piśmie przyczyn odmowy (B. Bajor [w:] L. Kociucki, J. M. Kondek, K. Królikowska, B. Bajor, Prawo bankowe. Komentarz do przepisów cywilnoprawnych. Warszawa 2020, art. 70a). Skoro art. 70a u.P.b. nie przewiduje terminu na złożenie wniosku o udzielenie informacji dotyczących odmowy udzielenia kredytu, a powstanie obowiązku z ww. przepisu uzależnione jest od złożenia stosownego wniosku przez osobę ubiegającą się o kredyt, zaś Uczestnik nie złożył takiego wniosku, ale zwrócił się do Banku o usunięcie jego danych w Banku i w BIK, to należało uznać, że Uczestnik nie był i nie jest zainteresowany realizacją prawa do złożenia wniosku, o którym mowa w art. 70a u.P.b. Prezes UODO uznał, że ww. przepis nie stanowił więc podstawy do przetwarzania danych osobowych Uczestnika. Prezes UODO podkreślił również, że brak było uzasadnienia do przyjęcia, że BIK jest uprawniony do przetwarzania danych osobowych pozyskanych w związku z ww. zapytaniem kredytowym w związku z koniecznością ewentualnego wypełnienia obowiązku wynikającego z art. 15 RODO. Skoro dane osobowe Uczestnika pozyskano w celu oceny Jego zdolności kredytowej, to BIK stał się administratorem danych osobowych Uczestnika, z uwagi na przekazanie tych danych przez Bank, BIK mógł więc przetwarzać ww. dane we własnych celach i samodzielnie ustalać sposoby ich przetwarzania. Prezes UODO zasygnalizował, że jego decyzje służą przywróceniu stanu zgodnego z prawem, na podstawie art. 58 ust. 2 RODO. Skoro BIK przetwarza dane osobowe Uczestnika bez podstaw z wyrażonych w art. 6 ust. 1 RODO, które stanowiłaby o legalności tego procesu, proces ten jest kontynuowany, to należało skorzystać z uprawnienia przewidzianego w art. 58 ust. 2 lit. c RODO i nakazać BIK usunięcie danych osobowych Uczestnika wynikających z ww. zapytania kredytowego 2. BIK, reprezentowany przez profesjonalnego pełnomocnika wniósł [...] września 2023r. do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na punktu 2 ww. decyzji Prezesa UODO z [...] sierpnia 2023r., zarzucając naruszenie: a) art. 6 ust. 1 lit. c) RODO w związku z art. 105 ust. 1 pkt 1c, art. 105 ust. 4, art. 105a, art. 70 i art. 5 ust. 1 pkt 3 art. 70a u.P.b. - przez ich niezastosowanie i niezasadne przyjęcie, że BIK nie posiada podstawy prawnej do przetwarzania danych zawartych w ww. zapytaniu kredytowym, gdy nie zawarto umowy kredytowej, gdy BIK jest ustawowo zobowiązany do realizacji obowiązku prawnego wynikającego z ww. przepisów, polegającego na gromadzeniu, przetwarzaniu i udostępnianiu bankom i podmiotom szczegółowo wskazanym informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych w postaci oceny zdolności kredytowej i analizy ryzyka kredytowego klienta (indywidualna ocena zdolności kredytowej) oraz w związku ze stosowaniem metod wewnętrznych i innych metod i modeli, o których mowa w części trzeciej rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 575/2013 z 26 czerwca 2013r. w sprawie wymogów ostrożnościowych dla instytucji kredytowych i firm inwestycyjnych, zmieniające rozporządzenie (UE) nr 648/2012 (zwane dalej "Rozporządzeniem 575/2013"); b) ewentualnie, na wypadek nieuwzględnienia zarzutu z pkt a), naruszenie art. 6 ust. 1 lit. f) RODO - przez jego niezastosowanie wskutek przyjęcia, że BIK nie posiada podstawy prawnej przetwarzania danych Uczestnika opartej na prawnie uzasadnionym interesie administratora oraz podmiotów trzecich wskazanych w art. 105 ust. 4 pkt 1-5 art. 70a u.P.b., w postaci realizacji obowiązku gromadzenia, przetwarzania oraz udostępnienia bankom oraz podmiotom wskazanym w ww. przepisie informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych w postaci oceny zdolności kredytowej oraz analizy ryzyka kredytowego klienta (indywidualna ocena zdolności kredytowej), w celu budowy i utrzymania modeli scoringowych, a więc narzędzi wykorzystywanych przez banki do oceny zdolności kredytowej i analizy ryzyka kredytowego oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej Rozporządzenia 575/2013; c) art. 6 ust. 1 lit. c) RODO w zw. z art. 70a, art. 105 ust. 4 pkt 1 i 2 i art. 105a u.P.b. - przez ich niezastosowanie wskutek uznania, że BIK nie posiada podstawy prawnej do przetwarzania danych Uczestnika, gdy podstawa ta istnieje, z uwagi na niezbędność przetwarzania do wykonania obowiązku prawnego przez banki i BIK - obowiązek przekazania osobie ubiegającej się o kredyt w formie pisemnej na jego wniosek wyjaśnień dotyczących dokonanej oceny zdolności kredytowej; d) art. 6 ust. 1 lit. c) RODO w zw. z art. 106d ust. 1 pkt 3 u.P.b. w zw. 39 ust. 1 w zw. z art. 33 ust. 2, art. 33 ust. 3 pkt 6, art 34 ust. 1 pkt., art. 36 ust. 1 i art 49 ust. 1 ustawy z 1 marca 2018r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (Dz.U. z 2023r., poz. 1124, zwana dalej "AML") w zw. z art. 105 ust 1 lit. 1c i art. 105 ust 4 u.P.b. - przez ich niezastosowanie, gdy nakładają one pośrednio na BIK (podmiot wspierający banki w realizacji obowiązków instytucji obowiązanej), obowiązek przetwarzania danych osobowych, w celu zapewnienia bezpieczeństwa obrotu gospodarczego przez przeprowadzenie szczegółowego badania na temat klientów, w tym przyszłych klientów, jak i badania powiązań kapitałowo-osobowych, w tym także, gdy nie zawarto umowy kredytowej między Uczestnikiem a Bankiem; e) art. 6 ust. 1 lit. e) RODO - przez jego niezastosowanie wskutek uznania, że BIK nie posiada podstawy prawnej do przetwarzania danych Uczestnika, gdy nie zawarto umowy kredytowej, gdy BIK posiada taką podstawę, z uwagi na niezbędność przetwarzania do realizacji zadania w interesie publicznym - zabezpieczenie ekonomiczno-gospodarczego sektora bankowego, w tym depozytariuszy i zapewnienie stabilności ekonomiczno-gospodarczej sektora bankowego, a w ujęciu makro zapobieganiu kryzysom gospodarczym; f) art. 6 ust. 1 lit. f) RODO - przez jego niezastosowanie wskutek uznania, że przetwarzanie danych osobowych do realizacji prawnie uzasadnionych interesów administratora danych w celach zabezpieczenia roszczeń może dotyczyć wyłącznie roszczeń istniejących i aktualnie dochodzonych i w konsekwencji nieuzasadnione przyjęcie, że prawnie uzasadniony interes administratora danych nie istnieje w sytuacji konieczności przetwarzania danych osobowych do ochrony przed roszczeniami istniejącymi, ale nie dochodzonymi w chwili dokonywania oceny, gdy istotą uzasadnionego interesu administratora jest możliwość przetwarzania danych na wypadek konieczności obrony przed roszczeniami istniejącymi lub dochodzenia w przyszłości roszczeń istniejących, które w warunkach sprawy są związane z przetwarzaniem danych osobowych na potrzeby opracowania oceny scoringowej Uczestnika, niezbędnej do przeprowadzenia analizy zdolności kredytowej oraz analizy ryzyka kredytowego, które BIK zobowiązany jest gromadzić przetwarzać i udostępniać bankom i instytucjom ustawowo upoważnionym do udzielania kredytów do realizacji celów ustawowych badania zdolności kredytowej; g) art. 6 ust. 1 lit. f) RODO - przez jego niezastosowanie wskutek uznania, że w przypadku braku zawarcia umowy kredytowej, BIK nie posiada prawnie uzasadnionego interesu w przetwarzaniu danych Uczestnika, gdy interes istnieje, choć umowy kredytowej nie zawarto i polega na realizacji działań z zakresu opracowania, utrzymania aktualności i funkcjonalności zbudowanych modeli scoringowych, w zgodzie z Rekomendacją KNF W. S i T w zakresie dobrych praktyk i zarządzania ryzykiem kredytowym; h) art. 6 ust. 1 lit. f) RODO - przez jego niezastosowanie wskutek uznania, że BIK nie posiada podstawy prawnej do przetwarzania danych Uczestnika, gdy ją posiada, z uwagi na konieczność zapewnienia rozliczalności działań BIK, jako administratora danych osobowych, na zasadzie art. 5 ust. 2 RODO, w postaci wykazania przestrzegania przepisów dotyczących jakości danych; i) art. 7, art. 77 § 1 i art. 80 k.p.a. w zw. z art. 7 u.o.d.o. - przez niewyczerpujące zebranie, nierozpatrzenie i błędną ocenę całokształtu materiału dowodowego przejawiającego się w zaniechaniu dokonania wyczerpującej analizy charakteru, zakresu i celów gospodarczo-ekonomicznych, do jakich powołano BIK i obowiązków prawnych oraz wynikających z umów zawartych przez BIK z bankami - skutkującą wadliwą i niepełną oceną stanu faktycznego sprawy i charakteru działania BIK, co skutkowało nieuzasadnionym nakazem usunięcia danych osobowych Uczestnika; j) art. 7b, art. 7 i art. 77 k.p.a. w zw. z art. 7 u.o.d.o. - przez niedokładne wyjaśnienie stanu faktycznego i prawnego koniecznego do podjęcia przez organ stosownych czynności, a w szczególności niezwrócenie się do KNF, w celu kompleksowego wyjaśniania stanu faktycznego sprawy i współdziałania w zakresie niezbędnym do dokładnego wyjaśnienia stanu prawnego, mając na względzie interes społeczny i słuszny interes obywateli w postaci ustalenia należytych zasad, celów i zakresu przetwarzania danych osobowych o niezrealizowanych zapytaniach kredytowych tak, by procesy przetwarzania danych czyniły zadość zarówno przepisom prawa o ochronie danych osobowych, jak i przepisom szeroko pojętego prawa bankowego, w szczególności dla zapewnienia ochrony wartości, których gwarancje ochrony wynikają z ww. przepisów zgodnie z zasadą proporcjonalności; k) art. 7, art. 77 § 1 i art. 80 k.p.a. - przez zaniechanie dokonania oceny Rekomendacji KNF (organu właściwego do sprawowania nadzoru nad instytucjami krajowymi w rozumieniu przepisów UE, regulatora rynku finansowego) S, W i T, które nakładają na BIK, jako instytucję gromadzącą dane służące do oceny zdolności kredytowej i budującą modele scoringowe, służące bankom, określone wymagania, które podlegają nadzorowi i egzekwowaniu przez KNF na podstawie bezwzględnie obowiązujących przepisów prawa, co doprowadziło do zaniechania oceny podstaw prawnych i celów, dla jakich BIK jest upoważniony do przetwarzania danych w zakresie zdolności kredytowej również, gdy nie zawarto umowy kredytowej, dla zabezpieczenia interesów banków oraz stabilności rynku gospodarczo-finansowego; l) art. 7, art. 77 i art. 80 k.p.a. - przez zaniechanie wyczerpującego zebrania i rozpatrzenia materiału dowodowego, a w szczególności brak analizy podstawowych zasad funkcjonowania stabilnego sektora finansowego, w tym pod kątem istnienia po stronie banków, a w konsekwencji BIK (instytucji gromadzącej dane służące do oceny zdolności kredytowej oraz budującej modele scoringowe służące bankom) oczywistego interesu prawnego w postaci zabezpieczenia banków przed nieodpowiedzialną polityką udzielania kredytów osobom, które nie mają szans na ich spłacenie oraz do zapewnienia stabilności gospodarczo-ekonomicznej sektora bankowego, a w ujęciu makro zapobieganiu kryzysom gospodarczym; m) art. 7, art. 77, art. 80 i art. 107 § k.p.a. w zw. z art. 7 ust. 1 u.o.d.o. - przez niezbadanie wszystkich wskazanych przez BIK podstaw prawnych przetwarzania danych osobowych Uczestnika, niewystarczające wyjaśnienia podstaw prawnych decyzji i brak oceny istotnych okoliczności sprawy, co doprowadziło do błędnego nakazania BIK usunięcia przetwarzanych danych osobowych Uczestnika oraz uniemożliwiło zapoznanie się z powodami negatywnej oceny wskazanych przez BIK podstaw przetwarzania. BIK, mając powyższe zarzuty na uwadze, wniósł o uchylenie decyzji w części zaskarżonej (pkt 2) i o zasądzenie od Prezesa UODO na rzecz BIK zwrotu kosztów postępowania, w tym zastępstwa procesowego oraz o wstrzymanie wykonania pkt 2 ww. decyzji. BIK nie wyraził zgody na rozpoznanie sprawy w trybie uproszczonym, wnosząc o przeprowadzenie rozprawy. BIK w uzasadnieniu skargi nadmienił, że jest instytucją, o której mowa w art. 105 ust. 4 pkt 1 u.P.b., powołaną w celu zapewnienia sprawnej wymiany informacji w sektorze bankowym i pozostaje organizacyjnym i technologicznym wsparciem banków, instytucją służebną wobec banków, a jednocześnie integralnym elementem sektora bankowego, który umożliwia im realizację obowiązku wymiany informacji (art. 105 ust. 1 u.P.b.). Celem działalności BIK jest gromadzenie, przetwarzanie i udostępnianie bankom informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych i w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej Rozporządzenia 575/2013. Jest więc zobligowany do przetwarzania informacji stanowiących tajemnicę bankową, w tym danych osobowych, m.in.: w zakresie, w jakim przepisy wymagają od BIK stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej Rozporządzenia 575/2013 lub współuczestniczenia w stosowaniu tych metod i modeli przez inne jednostki sektora bankowego, w zakresie w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych. Zgodnie z art. 5 ust. 1 pkt 3 u.P.b. jedną z czynności bankowych jest udzielanie kredytów. Na zasadzie art. 70 ust. 1 u.P.b.: "Bank uzależnia przyznanie kredytu od zdolności kredytowej kredytobiorcy". Poprawna ocena zdolności kredytowej wymaga gromadzenia i przetwarzania danych wsadowych niezbędnych do ustalenia i dostarczenia bankom informacji, które następnie wykorzystywane są w procesach decyzyjnych dotyczących udzielenia bądź odmowy udzielenia kredytu. Do dokonania oceny zdolności kredytowej stosuje się metody ratingu ryzyka, tzw. metody scoringowe. Modele te pozwalają na skuteczne zabezpieczenie sektora finansowego, w szczególności banków, a w ujęciu makroekonomicznym całej gospodarki przed udzielaniem kredytów osobom, które nie mają szans na ich spłatę. Stosowanie poprawnie działających modeli scoringowych przeciwdziała nieodpowiedzialnej polityce udzielania kredytów. Brak ostrożności w zakresie udzielania finansowania podmiotom niewypłacalnym, w tym wynikający z braku odpowiednio dokładnej weryfikacji zdolności do spłaty zobowiązania przez podmiot otrzymujący finansowanie, był przyczyną wielu głębokich nowożytnych kryzysów gospodarczych, w tym kryzysu gospodarczego w [...] w latach 2007-2009. Informacja o udzieleniu bądź nieudzieleniu finansowania konkretnemu podmiotowi jest jedną z kluczowych zmiennych wpływających na budowę modeli scoringowych. Z jednej strony, stanowi ona element konstrukcyjny modeli scoringowych wykorzystywanych bezpośrednio przez BIK, z drugiej, na zasadzie art. 105 ust. 1 pkt 1-1 c w zw. z art. 105 ust. 4 oraz w zw. z art. 105a ust. 1 u.P.b. – jest informacją ujawnianą przez BIK bankom i instytucjom, kierującym zapytania do BIK, w ramach realizacji przez niego obowiązków prawnych wynikających z ww. przepisów. Brak zawarcia umowy kredytowej nie powoduje automatycznego odpadnięcia przesłanki legitymującej BIK do przetwarzania danych osobowych, a tak interpretacja Prezesa UODO godzi w podstawowe zasady konstruowania skutecznych i poprawnie działających modeli oceny ryzyka kredytowego - przez pozbawienie jednostki sektora bankowego możliwości bazowania na całokształcie informacji opisujących stan rynku. Każda informacja, zarówno pozytywna jak i negatywna, jest istotna dla funkcjonalnego opisania rzeczywistości i realiów gospodarczych, w których funkcjonuje sektor bankowy. Informacja o braku udzielenia finansowania osobie ubiegającej się o finansowanie, o powodach negatywnej bądź pozytywnej oceny indywidualnego ryzyka kredytowego, o kryteriach i zmiennych, jakie zostały wzięte pod uwagę podczas dokonywania oceny, jest informacją niezwykle istotną dla budowania poprawnych, funkcjonalnych i skutecznych modeli scoringowych, jako że kryteria i zasady dokonania oceny indywidualnego ryzyka kredytowego pozostają składową budującą model scoringowy, niezależnie od tego, czy finansowanie w formie kredytu ostatecznie zostało czy nie zostało udzielone. Skoro BIK należy do instytucji z art. 105 ust. 4 pkt 1 u.P.b., to był zobligowany do przetwarzania danych osobowych Uczestnika w celu stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej Rozporządzenia 575/2013, w tym budowy skutecznych i poprawnie działających modeli scoringowych, na podstawie art. 6 ust. 1 lit. c) RODO w zw. z art. 105 ust. 1 pkt. 1c w zw. z art. 105 ust. 4 i w zw. z art. 105a w zw. z art. 70 i art. 5 ust. 1 pkt. 3 u.P.b. i w zw. z przepisami Rozporządzenia 575/2013. Wypełnienie nakazu Prezesa UODO w postaci usunięcia danych osobowych Uczestnika w zakresie wynikającym z ww. zapytania kredytowego prowadziłoby do rażącego naruszenia prawa powszechnie obowiązującego, więc jest niewykonalne. Prezes UODO nie dokonał pełnej analizy podstawy przetwarzania danych osobowych Uczestnika i nie wyjaśnił, z jakich względów uznał, że proces ten nie znajduje uzasadnienia we wskazanych przez Skarżącego przepisach Rozporządzenia 575/2013. Prezes UODO ograniczył się do stwierdzenia, iż ww. przepisy nie wykazywały konkretnej przesłanki uprawniającej BIK do wykorzystania danych w zakresie zapytań kredytowych niezakończonych zawarciem umowy kredytowej, nie odniósł się jednak do argumentacji podniesionej w wyjaśnieniach z [...] lutego 2023r. oraz wskazanych tam przepisów. Nie dokonał pełnej analizy podstawy przetwarzania danych w celu stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej Rozporządzenia 575/2013, w tym budowy skutecznych i poprawnie działających modeli scoringowych, w szczególności zaś, formułując wyjaśnienie podstawy prawnej decyzji, nie uwzględnił i nie odniósł się do argumentacji wskazanej w pismach składanych przez Skarżącego w ramach podstępowania administracyjnego. BIK jako podmiot wspierający banki w realizacji obowiązków instytucji obowiązanej, przetwarza dane osobowe osób, z którymi Bank nie zawarł umowy na produkt bankowy, w tym także dane osobowe Uczestnika, w celu zapewnienia bezpieczeństwa obrotu gospodarczego przez przeprowadzenie szczegółowego badania na temat klientów, w tym przyszłych klientów, jak i badania powiązań kapitałowo-osobowych. Powołując się na art. 106d ust. 1 pkt 3 u.P.b. zaznaczył, że banki i inne instytucje, w tym instytucje utworzone na podstawie art. 105 ust. 4 u.P.b., czyli także BIK, mogą przetwarzać i wzajemnie udostępniać informacje, w tym informacje objęte tajemnicą bankową, w przypadkach m.in. wykonywania obowiązków w zakresie określonym w przepisach o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu. Wskazał, że obowiązki te wynikają m.in. z przepisów art. 33 i 34 AML, które to regulują. Przy dokonywaniu oceny wniosków kredytowych uwzględniane są cechy osoby wnioskującej, m.in. osiągane dochody, stabilność zatrudnienia, wykształcenie, sytuacja rodzinna, które są poświadczane przez osobę wnioskującą o kredyt lub w oparciu o dane zgromadzone w BIK. Prezes UODO nie przeanalizował tej podstawy przetwarzania danych, ograniczając się do stwierdzenia, że z wyjaśnień złożonych przez BIK wynika, iż BIK nie przetwarza obecnie danych osobowych Uczestnika w celu przeciwdziałania przestępstwom oraz wykonywania obowiązków w zakresie określonym w przepisach o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu, z uwagi na upływ okresu retencji. Zdaniem BIK wypełnienie nakazu usunięcia danych osobowych Uczestnika w zakresie ww. zapytania przed upływem 12 miesięcy od dnia złożenia zapytania kredytowego, prowadziłoby do rażącego naruszenia prawa powszechnie obowiązującego. Przetwarzanie danych osobowych Uczestnika było niezbędne do realizacji zadania spoczywającego na nim (jako instytucji sektora bankowego) obowiązku zapewnienia stabilności ekonomiczno-gospodarczej przez skuteczne zabezpieczenie sektora finansowego, w szczególności banków i sektora bankowego, a w ujęciu makroekonomicznym całej gospodarki, przed skutkami nieodpowiedzialnej polityki udzielania kredytów osobom, które nie mają szans na ich spłatę, na podstawie art. 6 ust. 1 lit. e) RODO w zw. z art. 9b u.P.b. oraz art. 2 ustawy z 21 lipca 2006r. o nadzorze nad rynkiem finansowym (Dz.U. z 2023r., poz. 753, z późn. zm.). Prezes UODO nie zgromadził ponadto wyczerpujących materiałów, które były niezbędne dla ustalenia wszystkich okoliczności faktycznych, mających znaczenie w sprawie, więc nie miał możliwości dokonania kompleksowej analizy okoliczności przetwarzania przez BIK danych osobowych, w tym podstaw prawnych przetwarzania danych przez BIK. Prezes UODO nie wziął pod uwagę m.in. poważnych konsekwencji dla stabilności rynku finansowego, wynikających z ewentualnego nieuwzględnienia danych Uczestnika jako danych wsadowych w procesie budowania modelu scoringowego. KNF wielokrotnie w wytycznych wskazywała kwestie związane z zarządzaniem ryzykiem udzielania finansowania przez podmioty rynku finansowego, w tym sektora bankowego. Najważniejsze z nich to Rekomendacje W, S i T w zakresie dobrych praktyk i zarządzania ryzykiem kredytowym. Wskazane rekomendacje obejmują działania bazujące nie tylko na informacjach związanych z udzielonym finansowaniem, ale również na informacjach i danych wynikających ze zdarzeń i sytuacji, gdy nie zawarto umów kredytowych z jakichkolwiek względów. Przetwarzanie danych osobowych Uczestnika nawet wsytuacji, gdy nie doszło pomiędzy Bankiem i Uczestnikiem do zawarcia umowy kredytowej, było niezbędne dla realizacji rekomendacji W, S i T KNF. Jednym z celów BIK jest wsparcie banków i innych instytucji uprawnionych do udzielania kredytów w zakresie wykonywania przez te instytucje czynności bankowych. Wobec powyższego, biorąc pod uwagę, że Skarżący jest instytucją, o której mowa w art. 105 ust. 4 pkt 1 u.P.b. i uwzględniając, że czynnikami determinującymi dokonywaną indywidualną ocenę ryzyka kredytowego są modele scoringowe oraz informacje dotyczące bezpośrednio osoby ubiegającej się o finansowanie, które to były oceniane w przypadku Uczestnika przez BIK, w związku ze złożonym zapytaniem kredytowym – BIK był zobligowany do przetwarzania danych osobowych Uczestnika w celu umożliwienia uzyskania wyjaśnień w zakresie czynników, w tym danych osobowych wnioskującego, które miały wpływ na dokonaną ocenę zdolności kredytowej, na podstawie art. 6 ust. 1 lit. c) RODO w zw. z art. 70a w zw. z art. 105 ust. 4 pkt. 1 i 2 oraz w zw. z art. 105a w zw. z art. 105 ust. 4 pkt. 1 i 2 Prawa bankowego. BIK podkreślił, że na dzień opracowania skargi okres 12 miesięcy (liczony od dnia złożenia ww. zapytania kredytowego) upłynął, więc dane Uczestnika nie są już przetwarzane, w związku z upływem okresu retencji danych. Nie zmienia to faktu, że wypełnienie nakazu o usunięcia danych osobowych Uczestnika w zakresie ww. zapytania przed upływem 12 miesięcy od złożenia zapytania – prowadziłoby do rażącego naruszenia prawa powszechnie obowiązującego, zatem byłoby niewykonalne w istocie. Brak skorzystania przez Uczestnika z uprawnień nie mógł z góry wykluczać podstawy prawnej BIK, jako administratora danych, do przetwarzania danych osobowych Uczestnika na tej właśnie podstawie, zaś złożenie przez Uczestnika wniosku o usuniecie danych nie może być traktowane równoważnie z brakiem zamiaru skorzystania z prawa przysługującego na mocy art. 70a u.P.b. BIK niezależnie od bycia instytucją sektora bankowego, jest podmiotem, od którego każda osoba, której indywidualna ocena ryzyka kredytowego została przeprowadzona, na podstawie modelu scoringowego, opracowanego przez BIK lub na podstawie informacji ujawnionych na mocy przepisów u.P.b., może dochodzić swoich praw. Uczestnik był bezpośrednio związany z działaniami, w tym przetwarzaniem danych osobowych, którego BIK już dokonał, a które związane były bezpośrednio z ww. zapytaniem kredytowym, niezakończonym udzieleniem kredytu. Nie można zatem mówić o potencjalnych, abstrakcyjnych roszczeniach przysługujących Uczestnikowi, bo one istnieją, a niektóre z nich są aktualnie dochodzone w ramach postępowania. Uczestnik nie zrzekł się żadnego z uprawnień i nie zapewnił, że praw tych nie będzie dochodził. W przypadku praw o charakterze dóbr osobistych (do integralności informacyjnej, prywatności i ochrony danych osobowych czy godności lub dobrego imienia) zrzeczenie, nawet gdyby zostało złożone, byłoby nieskuteczne – bowiem prawa te pozostają niezbywalne. BIK nie zgodził się z interpretacją Prezesa UODO, że przetwarzanie danych osobowych w celu zabezpieczenia roszczeń nie może opierać się na przesłance prawnie uzasadnionego interesu administratora danych. Odmienna interpretacja prowadziłaby do braku możliwości dalszego przetwarzania informacji w postaci danych osobowych Uczestnika w zakresie ww. zapytania kredytowego, m.in. dla potrzeb postępowania. Ograniczenie przesłanki możliwości przetwarzania danych osobowych dla zabezpieczenia roszczeń wyłącznie do sytuacji, w których roszczenia są już dochodzone, powoduje istotne ograniczenie w korzystaniu przez Skarżącego z zagwarantowanego w Konstytucji RP prawa do Sądu. BIK nie zgodził się z Prezesem UODO, że możliwość przetwarzania danych osobowych dla zabezpieczenia istniejących, acz niedochodzonych aktualnie roszczeń powoduje pozbawienie ochrony na gruncie RODO. Gdy dochodzi do przedawnienia możliwości dochodzenia roszczeń, do zabezpieczenia interesów BIK wystarczającą informacją pozostaje data, gdy roszczenia te uległy przedawnieniu. Po upływie okresu przedawnienia ewentualnych roszczeń dalsze przetwarzanie danych osobowych nie jest niezbędne dla ewentualnego wykazania, że roszczenie przedawniono – wystarczającą informacją są w tym przypadku ramy czasowe, które jako informacja mogą funkcjonować skutecznie w oderwaniu od jakichkolwiek danych osobowych. W związku z tym przetwarzanie danych osobowych Uczestnika było niezbędne do realizacji prawnie uzasadnionych interesów BIK - zabezpieczenia roszczeń, tj. możliwości ustalenia, dochodzenia lub obrony przed roszczeniami mogącymi mieć związek z dokonaną indywidualna oceną ryzyka kredytowego, na podstawie art. 6 ust. 1 lit. f) RODO. Wypełnienie nakazu usunięcia danych osobowych Uczestnika w zakresie wynikającym z ww. zapytania kredytowego prowadziłoby do uniemożliwienia BIK skutecznej obrony praw w jakimkolwiek postępowaniu, w tym w postępowaniu będącym następstwem skargi Uczestnika do PUODO oraz niniejszym postępowaniu. Na BIK, jako na administratorze danych osobowych, ciążył też obowiązek wykazania, że działania podejmowane przez BIK są zgodne z przepisami, w tym z przepisami RODO. Rozliczalność działań administratora jest wymagana na mocy art. 5 ust. 2 RODO. Zapewnia on m.in. możliwość udokumentowania, że dane osobowe Uczestnika są i były przez BIK przetwarzane z poszanowaniem podstawowych zasad jakości danych osobowych, o których mowa w art. 5 RODO, oraz że dochowano wszystkich obowiązków, jakie RODO nakłada na administratora. BIK musiał więc przetwarzać dane osobowe Uczestnika do realizacji prawnie uzasadnionych interesów - wykazania rozliczalności działań BIK, zgodnie z przepisami powszechnie obowiązującym, w tym z RODO, na podstawie art. 6 ust. 1 lit. f) RODO. Pozbawienie BIK możliwości przetwarzania danych osobowych Uczestnika przez wykonanie nakazu usunięcia danych osobowych Uczestnika w zakresie wynikającym z ww. zapytania kredytowego, prowadziłoby do uniemożliwienia BIK wykazania, że jego działania były i są podejmowane z uwzględnieniem wszystkich obowiązków na nim spoczywających, jako administratorze danych osobowych. 3. Prezes UODO w odpowiedzi na skargę wniósł o jej oddalenie, podtrzymując dotychczasowe stanowisko w sprawie. II. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: 1. Skarga nie zasługuje na uwzględnienie. 2. Sąd na wstępie zauważa, że Sądy administracyjne, zgodnie z art. 1 § 1 i 2 ustawy z 25 lipca 2002r. Prawo o ustroju sądów administracyjnych (Dz.U. z 2022r., poz. 2492) oraz art. 3 § 1 ustawy z 30 sierpnia 2002r. - Prawo o postępowaniu przed sadami administracyjnymi (Dz.U. z 2023r., poz. 1634 ze zm.), sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej, a kontrola ta sprawowana jest pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej. W związku z tym Sąd administracyjny kontroluje zaskarżoną decyzję w aspekcie jej zgodności z prawem i może ją wzruszyć, jeśli zachodzi jedna z wad wskazanych w art. 145 § 1 pkt 1 lub pkt 2 P.p.s.a. Oznacza to, że w postępowaniu sądowym badaniu podlega prawidłowość zastosowania przez organy administracji publicznej przepisów prawa w odniesieniu do istniejącego w sprawie stanu faktycznego oraz trafność zastosowania wykładni tych przepisów. Tym samym Sąd administracyjny nie ocenia decyzji pod kątem jej (słuszności, czy też celowości, jak również nie rozpatruje sprawy kierując się zasadami współżycia społecznego, ale w zakresie kontroli dokonywanej z punktu widzenia legalności. W związku z tym Sąd zobowiązany jest zbadać, czy organ administracyjny nie naruszył m.in. prawa materialnego w stopniu mogącym mieć wpływ na wynik sprawy, bądź prawa procesowego w stopniu mogącym mieć istotny wpływ na wynik sprawy. W przypadku niezasadności skargi, Sąd, stosownie do art. 151 P.p.s.a., oddala skargę. 3. Sąd, mając powyższe na względzie, uznał, że zaskarżony punkt 2 ww. decyzji Prezesa UODO nie narusza ani prawa procesowego ani materialnego w stopniu mogącym lub mającym istotny wpływ na wynik sprawy. Prezes UODO, wbrew twierdzeniom zawartym w skardze, podjął czynności zmierzające do należytego ustalenia istotnych w sprawie okoliczności faktycznych, niezbędnych do jej rozstrzygnięcia, opierając się na wyjaśnieniach m.in. BIK, które dotyczyły przetwarzania danych osobowych Uczestnika zawartych w ww. wniosku kredytowym. Przetwarzanie danych osobowych Uczestnika przez BIK miało miejsce ponadto w czasie obowiązywania RODO - w 2020r., gdyż Uczestnik złożył wniosek kredytowy [...] lutego 2020r. Niesporny był też ustalony cel pozyskania danych Uczestnika: ocena zdolności kredytowej i ryzyka kredytowego. BIK pozyskał dane osobowe Uczestnika w zakresie ww. zapytania kredytowego od Banku, na podstawie art. 105 ust. 4, art. 105a ust. 1 u.P.b. oraz umowy zawartej między BIK i Bank. Dokonując oceny zgodności z prawem ww. punktu 2 decyzji należy wskazać, że zgodnie z motywem 40 RODO, aby przetwarzanie danych było zgodne z prawem, powinno się odbywać na podstawie zgody osoby, której dane dotyczą, lub na innej uzasadnionej podstawie przewidzianej prawem: albo w niniejszym rozporządzeniu, albo w innym akcie prawnym Unii lub w prawie państwa członkowskiego, o których mowa w niniejszym rozporządzeniu, w tym musi się ono odbywać z poszanowaniem obowiązku prawnego, któremu podlega administrator, lub z poszanowaniem umowy, której stroną jest osoba, której dane dotyczą, lub w celu podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy. Powyższe znalazło wyraz w art. 6 ust. 1 RODO, określającym przesłanki legalności przetwarzania danych osobowych. Zgodnie z tym przepisem, przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy - i w takim zakresie, w jakim - spełniony jest co najmniej jeden z poniższych warunków: a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów; b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy; c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze; d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej; e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi; f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Akapit pierwszy lit. f) nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań. Zgodnie z art. 105a ust. 1 u.P.b. przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów, instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d u.k.k., a także instytucje utworzone na podstawie art. 105 ust. 4 u.P.b., informacji stanowiących tajemnicę bankową i informacji udostępnionych przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d u.k.k., w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem art. 104, art. 105 i art. 106-106d u.P.b., w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Zgodnie zaś z art. 105a ust. 4 u.P.b., banki oraz instytucje, o których mowa w art. 105 ust. 4 u.P.b., mogą przetwarzać stanowiące tajemnicę bankową informacje dotyczące osoby fizycznej po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której informacje dotyczą, do celów stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013. Jednocześnie zgodnie z art. 105a ust. 5 u.P.b., przetwarzanie informacji stanowiących tajemnicę bankową w przypadkach, o których mowa w ust. 3, może być wykonywane przez okres nie dłuższy niż 5 lat od dnia wygaśnięcia zobowiązania, a w przypadku, o którym mowa w ust. 4, przez okres 12 lat od dnia wygaśnięcia zobowiązania. Zgodnie z art. 70 ust. 1 u.P.b., bank uzależnia przyznanie kredytu od zdolności kredytowej kredytobiorcy. Przez zdolność kredytową rozumie się zdolność do spłaty zaciągniętego kredytu wraz z odsetkami w terminach określonych w umowie. Kredytobiorca jest obowiązany przedłożyć na żądanie banku dokumenty i informacje niezbędne do dokonania oceny tej zdolności. W świetle ww. przepisów, a w szczególności na podstawie art. 105a ust. 1 i art. 70 ust. 1 u.P.b. uprawnione było przetwarzania danych osobowych Uczestnika w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Warto jednak podkreślić, że w związku z ww. zapytaniem kredytowym Uczestnika nie doszło do zawarcia umowy kredytowej (co nie jest sporne w tej sprawie), nie może być wątpliwości, że ocena zdolności kredytowej i analiza ryzyka kredytowego zostały dokonane (zrealizowane). Cel przetwarzania danych, dla którego zostały one zgromadzone w zapytaniu kredytowym, został osiągnięty. Zgodnie z art. 105a ust. 2 u.P.b., z zastrzeżeniem ust. 3, instytucje, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową oraz informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011r. o kredycie konsumenckim, w zakresie dotyczącym osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d u.k.k., pod warunkiem uzyskania pisemnej zgody osoby, której informacje te dotyczą, z zastrzeżeniem ust. 2a. Zgoda ta może być w każdym czasie odwołana. Z art. 105a ust. 3 u.P.b. stanowi, że Banki, instytucje oraz podmioty, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową i informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d u.k.k., dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d u.k.k., bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d u.k.k., a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank, inną instytucję ustawowo upoważnioną do udzielania kredytów, instytucję pożyczkową albo podmiot, o którym mowa w art. 59d u.k.k., o zamiarze przetwarzania dotyczących jej tych informacji, bez jej zgody. Instytucje, o których mowa w art. 105 ust. 4 u.P.b., mogą przetwarzać stanowiące tajemnicę bankową informacje dotyczące osoby fizycznej po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której informacje dotyczą, do celów stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013. Przetwarzanie informacji stanowiących tajemnicę bankową w przypadkach, o których mowa w ust. 3, może być wykonywane przez okres nie dłuższy niż 5 lat od dnia wygaśnięcia zobowiązania, a w przypadku, o którym mowa w ust. 4, przez okres 12 lat od dnia wygaśnięcia zobowiązania (ust. 5). Zakres przetwarzanych informacji, o których mowa w ust. 3 i 4, może obejmować dane dotyczące osoby fizycznej lub dane dotyczące zobowiązania (ust. 6). Podkreślenia jednak wymaga, że w sprawie nie doszło do zawarcia umowy kredytowej pomiędzy Bankiem a Uczestnikiem, który w związku z tym wniósł o usunięcie jego danych dostępnych w BIK. W związku z tym należało zgodzić się z Prezesem UODO, że odpadła przesłanka legalizująca dalsze przetwarzanie danych osobowych Uczestnika przez BIK, które to przetwarzanie miało na celu – co wymaga podkreślenia i na co prawidłowo powołał się organ – ocenę zdolności kredytowej i analizę ryzyka kredytowego (przed zawarciem umowy). Skoro nie doszło do nawiązania stosunku zobowiązaniowego, który stosownie do art. 105a ust. 1-6 u.P.b. dawałby podstawę do dalszego przetwarzania danych osobowych Uczestnika przez BIK, to należało uznać, tak jak prawidłowo przyjął Prezes UODO, że ustał cel przetwarzania danych osobowych Uczestnika pozyskanych tylko i wyłącznie w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Z ww. przepisów wynika, że przesłanki zawarte w art. 105a u.P.b. dotyczą przetwarzania informacji objętych tajemnicą bankową w okresie przed powstaniem zobowiązania, w trakcie jego trwania oraz po wygaśnięciu zobowiązania. Natomiast w sytuacji, gdy w następstwie złożenia wniosku kredytowego nie dochodzi do zawarcia umowy kredytowej z bankiem, jak miało to miejsce w sprawie, brak jest ustawowych przesłanek legalizujących przetwarzanie danych osobowych Uczestnika, zawartych w ww. zapytaniu kredytowym. Przetwarzane są one bowiem bez podstawy prawnej, w celach innych niż te, w których zostały zebrane, tj. oceny zdolności kredytowej i analizy ryzyka kredytowego. W świetle powyższego trzeba też wskazać, że sposób sformułowania nakazu w decyzji nie stanowi o rażącym naruszeniu art. 107 § 1 k.p.a. Rozstrzygnięcie decyzji jest w ocenie Sądu na tyle jasne i precyzyjne, że nie wywołuje trudności w sferze wykonania. Nie ma przy tym wątpliwości, że nakaz usunięcia dotyczy danych osobowych Uczestnika zawartych w ww. zapytaniu kredytowym. BIK zna to zapytanie i zawarte w nim dane osobowe Uczestnika. Nie budzi wątpliwości, że ocena zdolności kredytowej i ryzyka kredytowego ma charakter czynności wstępnych przed zawarciem umowy kredytowej. Dalsze przetwarzanie danych, uzyskanych wyłącznie w celu oceny zdolności kredytowej i analizy ryzyka kredytowego, w przypadku braku zawarcia stosownej umowy, pozostaje w oderwaniu od celu, dla którego dane zebrano. Na gruncie RODO niedopuszczalne jest – w takim stanie faktycznym, jak w sprawie, gdy nie zawarto umowy kredytowej – przetwarzanie danych osobowych "na przyszłość", w innych celach niż je zebrano, w tym na potrzeby oceny zdolności kredytowej innych osób, gdy nie można zrekonstruować wyraźnej podstawy prawnej takich działań w odniesieniu do Uczestnika. Skoro w sprawie nie mamy do czynienia z sytuacją, w której nawiązano stosunek zobowiązaniowy i dane te są przetwarzane (w tym także udostępniane) przez administratora nie tylko w celu zasadniczym (w celu realizacji umowy), ale także w innych celach, które powstały w trakcie trwania stosunku zobowiązaniowego i które w ocenie administratora winny być, czy mogą być uznane za związane ze stosunkiem prawnym i tym samym kwalifikowane jako "prawnie uzasadnione interesy", to należało uznać, że trafnie Prezes UODO uznał, że brak jest podstaw do uznania, że zachodzi przesłanka z art. 6 ust. 1 lit. f RODO. Sprawa niniejsza dotyczy – co wymaga raz jeszcze podkreślenia - przetwarzania danych osoby fizycznej, z którą nie zawarto umowy kredytowej, ustał więc cel przetwarzania danych tej osoby fizycznej, wynikający z art. 105a ust. 1 w związku z art. 70 ust. 1 u.P.b. Osoba ta wniosła też o zaprzestanie przetwarzania danych i ich usunięcie. Dalsze przetwarzanie danych osobowych Uczestnika na przyszłość, i w innych celach wskazywanych obecnie przez BIK nie stanowi przesłanek z art. 6 ust. 1 lit. a -f RODO w okolicznościach faktycznych sprawy. Prezes UODO nie naruszył więc powołanych w skardze przepisów art. 6 ust. 1 RODO, w tym w szczególności lit. e) tego przepisu, bo BIK przetwarza dane osobowe Uczestnika, z którym nie zawarto umowy kredytowej, jako spółka prawa handlowego, a nie w celu niezbędnym do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej BIK. Powołanie się na konieczność zabezpieczenia ekonomiczno-gospodarczego sektora bankowego, zapewnienie stabilności gospodarczej sektora bankowego jako uzasadnienie interesu publicznego, o którym mowa w art. 6 ust. 1 lit. e) RODO, w odniesieniu do przetwarzania danych zawartych w zapytaniu kredytowym osoby, z którą bank nie zawarł umowy nie jest trafne. Umowa zawarta przez BIK z Bankiem nie stanowi samoistnej podstawy legalności przetwarzania danych osobowych Uczestnika, gdyż stosowanie przepisów RODO nie może zostać wyłączone przez zapis umowy. Tym samym również z tego względu za prawidłowe należało uznać zobowiązanie przez Prezesa UODO BIK do usunięcie danych osobowych Uczestnika w zakresie wynikającym z ww. zapytania kredytowego. Sąd za nieuzasadnione uznał wszystkie zarzuty podniesione przez BIK w skardze. Prezes UODO nie kwestionował, że udzielanie kredytów jest czynnością bankową, a zwrócił uwagę, że art. 105 ust. 4 u.P.b. przyznaje bankom jedynie uprawnienie do tworzenia instytucji upoważnionych do gromadzenia, przetwarzania i udostępniania bankom informacji stanowiących tajemnicę bankową we wskazanym zakresie. Warto też podkreślić, że art. 105a ust. 1a, 1b, 1c u.P.b. dotyczy określenia warunków dopuszczalności zautomatyzowanego przetwarzania, w tym profilowania danych osobowych w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Należy więc przyjąć, że rację miał Prezes UODO, że ww. przepisy nie dają podstawy do przetwarzania "na przyszłość" danych osoby, z którą umowy nie zawarto, a cel, dla którego dane zebrano ustał. Tym samym nie można uznać, że przesłanka z art. 6 ust. 1 lit. c) RODO mogła znaleźć zastosowanie w okolicznościach sprawy. Przepis ten dotyczy bowiem sytuacji, gdy przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego administratora danych, a nie realizacji uprawnienia, o którym mowa w art. 105 ust. 4 u.P.b. Ponadto art. 105 ust. 4 u.P.b. nie stanowi o dopuszczalności przetwarzania danych osobowych dotyczących wniosków kredytowych w sytuacji, gdy nie doszło do zawarcia umowy z bankiem. Wbrew zarzutom skargi art. 105a u.P.b. nie daje też podstaw do dalszego przetwarzania danych Uczestnika już po zakończeniu oceny zdolności kredytowej i analizy ryzyka kredytowego, gdy umowy kredytowej nie zawarto. Tym samym BIK, choć powołuje ww. przepisy, nie ma na ich podstawie uprawnienia do dalszego przetwarzania ww. danych, albowiem umowy kredytowej nie zawarto i nie wykazano przesłanki legalizującej działanie BIK. Sąd podziela pogląd Naczelnego Sądu Administracyjnego wyrażony w wyroku z 27 sierpnia 2019r. sygn. akt I OSK 2567/17, że gdyby podzielić stanowisko skarżącego, że pozyskanie danych na etapie złożenia wniosku kredytowego uprawnia bank do ich nieograniczonego w czasie przechowywania danych, także po odmowie zawarcia umowy kredytowej, to regulacje zawarte w art. 105 a ust. 2 i 3 i ust. 5 u.P.b., ograniczające w czasie przypadki przetwarzania danych klientów z umów kredytowych pozbawione byłyby sensu (dostępny na orzeczenia.nsa.gov.pl). Jakkolwiek pogląd ten wyrażono na gruncie poprzednio obowiązującej u.o.d.o. i Dyrektywy 95/46, to nie stracił on na aktualności. Przepisy RODO wzmacniają bowiem w porównaniu z Dyrektywą 95/46 ochronę danych osób fizycznych. Aktualności ww. poglądu NSA nie zmienia także to, że BIK przyjął w swej praktyce określone terminy dalszego przetwarzania danych osobowych osoby, z którą nie zawarto umowy kredytu. Zgodnie z art. 5 ust. 1 RODO, dane osobowe muszą być: a) przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą ("zgodność z prawem, rzetelność i przejrzystość"); b) zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami; dalsze przetwarzanie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych nie jest uznawane w myśl art. 89 ust. 1 za niezgodne z pierwotnymi celami ("ograniczenie celu"); c) adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane ("minimalizacja danych"); d) prawidłowe i w razie potrzeby uaktualniane; należy podjąć wszelkie rozsądne działania, aby dane osobowe, które są nieprawidłowe w świetle celów ich przetwarzania, zostały niezwłocznie usunięte lub sprostowane ("prawidłowość"); e) przechowywane w formie umożliwiającej identyfikację osoby, której dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane; dane osobowe można przechowywać przez okres dłuższy, o ile będą one przetwarzane wyłącznie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych na mocy art. 89 ust. 1, z zastrzeżeniem że wdrożone zostaną odpowiednie środki techniczne i organizacyjne wymagane na mocy niniejszego rozporządzenia w celu ochrony praw i wolności osób, których dane dotyczą ("ograniczenie przechowywania"); f) przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych ("integralność i poufność"). Ww. zasady przetwarzania danych osobowych nie pozwalają na arbitralne decydowanie przez administratora – w sytuacji braku wyraźnej podstawy prawnej – o dalszym przetwarzaniu (a zatem m.in. ich ujawniania przez przesyłanie, udostępniania, utrwalania, organizowania, adaptowania, modyfikowania), mimo ustania celu, dla którego dane w zapytaniu kredytowym były zebrane. Do BIK, jako administratora, mają zastosowanie ww. zasady przetwarzania danych określone w art. 5 RODO. Przepis art. 5 ust. 2 RODO stanowi, że administrator jest odpowiedzialny za przestrzeganie ust. 1 i musi być w stanie wykazać, że przestrzega ww. zasad ("rozliczalność"). Zdaniem Sądu, wbrew zarzutom skargi o naruszeniu art. 6 ust. 1 lit. c) i f) RODO, Prezes UODO wskazał w toku postępowania, że BIK nie wykazał w toku postępowania, że dysponuje przesłanką legalności przetwarzania danych osobowych Uczestnika, zawartych w ww. zapytaniu kredytowym, po tym, gdy Uczestnik wniósł o usunięcie jego danych osobowych oraz gdy nie zawarto umowy kredytowej. Stanowisko BIK zaprezentowane w skardze, że należało w sprawie sięgnąć do wykładni przepisów u.P.b, AML i Rozporządzenia 575/2013, prowadziłaby do stwierdzenia, że na potrzeby oceny zdolności kredytowej i analizy ryzyka kredytowego, BIK ma prawo nieograniczonego w czasie przetwarzania danych osoby, z którą bank nie zawarł umowy o kredyt, zaś prawo to doznaje ograniczenia, gdy doszło do zawarcia takiej umowy. Wprawdzie BIK nie wskazał, że przetwarzanie danych osobowych Uczestnika będzie nieograniczone w czasie, jednakże – wobec braku podstaw prawnych i ograniczeń czasowych przetwarzania danych osobowych Uczestnika - w celach przyjętych przez BIK (już po tym, jak nie zawarto umowy kredytowej i po dokonaniu oceny zdolności kredytowej i analizy ryzyka kredytowego) – można byłoby mówić o nieograniczonym w czasie przetwarzaniu tych danych. Narzucenie przez BIK ograniczeń czasowych dla poszczególnych, przyjętych przez te podmioty nowych celów przetwarzania, potwierdza jedynie, że nie można mówić o takim samym poziomie ochrony danych osobowych na gruncie RODO, jak w przypadku osoby, z którą zawarto umowę. Sąd podziela pogląd wyrażony przez Naczelny Sąd Administracyjny w ww. wyroku z 27 sierpnia 2019r., zgodnie z którym takich wyników wykładni art. 105a ust. 1 u.P.b. nie sposób zaakceptować, bowiem prowadzą one do skutków, których nie zakładałby racjonalny ustawodawca, a więc do przyznania szerszego uprawnienia do przetwarzania danych osobowych podmiotów, z którymi banku nie łączy żaden stosunek prawny. Przepis art. 105a ust. 1 u.P.b., stanowi, że przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów oraz instytucje utworzone na podstawie art. 105 ust. 4 u.P.b., informacji stanowiących tajemnicę bankową w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem art. 104, art. 105 i art. 106 - 106d u.P.b., w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Zgodnie z art. 105 ust. 1 pkt 1c u.P.b., bank ma obowiązek udzielenia informacji stanowiących tajemnicę bankową wyłącznie instytucjom, o których mowa w ust. 4, w zakresie niezbędnym do stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w przepisach części trzeciej Rozporządzenia 575/2013. Skoro zgodnie z art. 105 ust. 4 u.P.b. banki mogą, wspólnie z bankowymi izbami gospodarczymi, utworzyć instytucje upoważnione do gromadzenia, przetwarzania i udostępniania m.in. bankom oraz innym podmiotom określonym w tym przepisie informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013. Zdaniem BIK organ niewłaściwie przyjął w punkcie 2 decyzji, że BIK w tych okolicznościach nie posiada podstawy prawnej do przetwarzania danych osobowych Uczestnika zawartych w ww. zapytaniu kredytowym, gdy umowy kredytowej nie zawarto. Tym niemniej podkreślenia wymaga, że art. 105 ust. 4 u.P.b. jest przepisem o charakterze ogólnym, który stanowi o możliwości utworzenia wspólnie z bankowymi izbami gospodarczymi, instytucji upoważnionych do gromadzenia, przetwarzania i udostępniania danych. Przepis ten nie daje podstaw do nieograniczonego przetwarzania wszelkich danych osobowych przez utworzone instytucje. Zasady przetwarzania danych objętych tajemnicą bankową określa art. 105a u.P.b., którego możliwość uznania za podstawę przetwarzania danych osobowych w sprawie omówiono już wcześniej. Na gruncie tego przepisu należy oceniać zatem dopuszczalność przetwarzania poszczególnych danych osobowych w ściśle określonych celach. Podstawy prawnej przetwarzania danych osobowych Uczestnika przez BIK, po tym, jak Uczestnik ten wniósł o usunięcie danych osobowych i nie zawarł z Bankiem umowy kredytowej, nie mógł samodzielnie stanowić art. 105 ust. 4 u.P.b., ani też w powiązaniu z wszystkimi innymi powołanymi przez BIK w skardze przepisami u.P.b. Niezasadne są też zarzuty banku dotyczące naruszenia art. 6 ust. 1 lit. c) RODO w zw. z art. 106d u.P.b. i w związku z przepisami AML. Nie może być mowy o celu w postaci wykrycia nieścisłości oraz powzięcia informacji mogących stanowić o uzasadnionym podejrzeniu popełnienia przestępstw, o których mowa w art. 106d u.P.b., jak również o celu zapewnienia bezpieczeństwa obrotu gospodarczego przez przeprowadzenie szczegółowego badania na temat klientów, w tym przyszłych klientów, jak i badania powiązań kapitałowo-osobowych, gdy z Uczestnikiem nie zawarto umowy kredytowej. Zgodnie z art. 106d ust. 1 u.P.b. Banki, inne instytucje ustawowo upoważnione do udzielania kredytów, izby rozliczeniowe utworzone na podstawie art. 67, instytucje utworzone na mocy art. 105 ust. 4, instytucje pożyczkowe, podmioty, których podstawowa działalność polega na udostępnianiu składników majątkowych na podstawie umowy leasingu, oraz podmioty, o których mowa w art. 59d u.k.k., mogą przetwarzać i wzajemnie udostępniać informacje, w tym informacje objęte tajemnicą bankową, w przypadkach: 1) uzasadnionych podejrzeń, o których mowa w art. 106a ust. 3; 2) uzasadnionych podejrzeń popełnienia przestępstw dokonywanych na szkodę banków, innych instytucji ustawowo upoważnionych do udzielania kredytów, instytucji kredytowych, instytucji finansowych, instytucji pożyczkowych oraz podmiotów, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, i ich klientów, w celu i zakresie niezbędnym do zapobiegania tym przestępstwom; 3) wykonywania obowiązków w zakresie określonym w przepisach o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu. Art. 106a ust. 3 Prawa bankowego, do którego odwołano się w art. 106d ust. 1 pkt 1 stanowi, że w przypadku powzięcia uzasadnionego podejrzenia, że zgromadzone na rachunku bankowym środki, w całości lub w części pochodzą lub mają związek z przestępstwem skarbowym lub przestępstwem innym niż przestępstwo, o którym mowa w art. 165a lub art. 229 Kodeksu karnego, bank jest uprawniony do dokonania blokady środków na tym rachunku. Blokada może nastąpić wyłącznie do wysokości zgromadzonych na rachunku środków, co do których zachodzi takie podejrzenie. Należy zauważyć, że art. 33 ust. 1 AML nakłada na instytucje obowiązane obowiązek m.in. stosowania wobec swoich klientów środków bezpieczeństwa finansowego, których zakres (katalog) znajduje się w art. 34 AML. Art. 34 ust. 1 AML odnosi się m.in. do bieżącego monitorowania stosunków gospodarczych klienta (w tym analizę transakcji przeprowadzanych w ramach stosunków gospodarczych, badanie źródła pochodzenia wartości majątkowych będących w dyspozycji klienta – w przypadkach uzasadnionych okolicznościami, zapewnienie, że posiadane dokumenty, dane lub informacje dotyczące stosunków gospodarczych są na bieżąco aktualizowane). Art. 35 AML wskazuje sytuacje, w których bank jest obowiązany stosować środki bezpieczeństwa finansowego. Art. 36 AML dotyczy kwestii identyfikacji klienta. Na podstawie art. 49 ust. 1 AML, kopie dokumentów i informacje uzyskane w wyniku stosowania środków bezpieczeństwa finansowego a także dowody potwierdzające przeprowadzone transakcje i ewidencje transakcji, obejmujące oryginalne dokumenty lub kopie dokumentów konieczne do identyfikacji transakcji, przechowuje się przez okres 5 lat licząc od pierwszego dnia roku następującego po roku, w którym zakończono stosunki gospodarcze z klientem lub w którym przeprowadzono transakcje okazjonalne. W przypadku dokonania analizy przeprowadzonej transakcji i udokumentowania jej analizy, zgodnie z art. 34 ust. 3 AML, instytucja pożyczkowa, na mocy art. 49 ust. 2 AML, jest obowiązana do przechowywania jej wyników przez 5 lat, licząc od pierwszego dnia roku następującego po roku ich przeprowadzenia. Z ww. przepisów wynika uprawnienie do monitorowania stosunków gospodarczych klienta i stosowania odpowiednich środków bezpieczeństwa finansowego. Nie ma to jednak odniesienia do rozpoznawanej sprawy, gdy nie zawarto umowy kredytowej i nie można mówić o transakcji. Ogólne twierdzenia o celu w postaci "zapewnienia bezpieczeństwa obrotu gospodarczego" nie mogą stanowić – w stanie faktycznym tej sprawy – podstawy legalizującej rozszerzanie podstaw i celów przetwarzania danych osobowych Uczestnika. W art. 2 ust. 2 pkt 2 AML wskazano, że przez stosunki gospodarcze rozumie się stosunki instytucji obowiązanej z klientem związane z działalnością zawodową instytucji obowiązanej, które w chwili ich nawiązywania wykazują cechę trwałości. Rozszerzanie zatem BIK dopuszczalności przetwarzania danych (zawartych w zapytaniu kredytowym) osoby, z którą nie zawarto umowy kredytowej, z powołaniem się na "zapewnienie bezpieczeństwa obrotu gospodarczego", a zatem szeroko rozumiane, ogólne cele, nie znajduje podstawy na gruncie RODO i jest wprost sprzeczne z zasadą ograniczenia celu (art. 5 ust. 1 lit. b RODO), w sytuacji, gdy nie ma mowy o nawiązaniu stosunku zobowiązaniowego. Zdaniem Sądu z art. 144 ust. 1 lit. d), art. 145, art. 147 ust. 5 lit. b), art. 170 ust. 3 lit. a), ust. 4 lit. a), art. 171 ust. 2 i art. 179 ust 1 lit. a) Rozporządzenie 575/2013 nie wynika podstawa prawna do dalszego przetwarzania danych osobowych Uczestnika. Zgodnie z art. 144 ust. 1 lit. d) ww. Rozporządzenia, właściwy organ wydaje zezwolenie na mocy art. 143 na stosowanie przez instytucję metody IRB, w tym na stosowanie własnych oszacowań LGD i współczynników konwersji, wyłącznie wtedy, gdy właściwy organ stwierdzi, że wymogi przewidziane w niniejszym rozdziale są spełnione, w szczególności wymogi przewidziane w sekcji 6, oraz że posiadane przez instytucję systemy w zakresie zarządzania oraz oceny ekspozycji na ryzyko kredytowe są należyte i zostały spójnie wdrożone, w szczególności gdy instytucja wykazała w sposób zadowalający właściwym organom spełnienie następujących norm: (...) d) instytucja gromadzi i przechowuje wszystkie odpowiednie dane, aby zapewnić skuteczne wsparcie procesów pomiaru ryzyka kredytowego oraz zarządzania ryzykiem kredytowym. Stosownie do art. 145 ust. 1 ww. Rozporządzenia, jest wymagane, aby instytucja ubiegająca się o możliwość stosowania metody IRB korzystała, w odniesieniu do omawianych kategorii ekspozycji IRB, co najmniej przez trzy lata poprzedzające zakwalifikowanie się do stosowania metody IRB, z systemów ratingowych, które odpowiadały w znacznym stopniu wymogom określonym w sekcji 6 dotyczącym wewnętrznego pomiaru ryzyka i zarządzania ryzykiem. Art. 147 ust. 5 lit. b stanowi zaś, że aby ekspozycje mogły kwalifikować się do kategorii ekspozycji detalicznych przewidzianej w ust. 2 lit. d), spełniają następujące kryteria: są traktowane przez instytucję w procesie zarządzania ryzykiem w sposób spójny w długim okresie. Z kolei art. 170 ust. 3 lit. a, stanowi, że struktura systemów ratingowych dla ekspozycji detalicznych spełnia następujące wymogi: a) systemy ratingowe odzwierciedlają zarówno ryzyko dłużnika, jak i ryzyko transakcji oraz uwzględniają wszystkie istotne właściwości ryzyka dłużnika i ryzyka transakcji. Zgodnie z art. 171 ust. 2 klasyfikując dłużników i instrumenty do klas lub pul, instytucja uwzględnia wszystkie istotne informacje. Informacje te są aktualne i umożliwiają instytucji prognozowanie zachowania ekspozycji w późniejszym okresie. Im mniej informacji ma do dyspozycji instytucja, tym ostrożniej klasyfikuje ekspozycje do poszczególnych klas lub pul dłużników i instrumentów. Jeżeli instytucja stosuje rating zewnętrzny jako główny czynnik decydujący o przyznaniu wewnętrznego ratingu, instytucja ta zapewnia uwzględnienie innych istotnych informacji oraz stosownie do art. 179 ust. 1 lit. a, przy przeprowadzaniu kwantyfikacji parametrów ryzyka związanego z poszczególnymi klasami lub pulami ratingowymi instytucje stosują następujące wymogi: a) oszacowania własne instytucji dotyczące parametrów ryzyka PD, LGD, współczynnika konwersji i EL uwzględniają wszelkie istotne dane, informacje i metody. Oszacowań dokonuje się na podstawie zarówno doświadczeń z przeszłości, jak i dowodów empirycznych, nie zaś wyłącznie w oparciu o osąd własny. Oszacowania te są wiarygodne i intuicyjne oraz opierają się na istotnych czynnikach odpowiednich parametrów ryzyka. Im mniej danych ma do dyspozycji instytucja, tym ostrożniejsze są jej oszacowania. Powołane przepisy rozporządzenia 575/2013 nie stanowią podstawy do przetwarzania danych osobowych zawartych w zapytaniach kredytowych osoby, z którą nie zawarto umowy kredytu. Zdaniem Sądu, obowiązek zbierania informacji przydatnych w zarządzaniu ryzykiem nie może opierać się na naruszeniu przez BIK na gruncie RODO praw osoby fizycznej, która przekazała Bankowi swoje dane osobowe wyłącznie w celu oceny zdolności kredytowej i analizy ryzyka kredytowego, gdy czynność ta nie zakończyła się zawarciem umowy kredytowej. Przepisy powołanego rozporządzenia 575/2013 nie stanowią podstawy do "dalszego" przetwarzania danych zawartych w zapytaniu kredytowym w sytuacji nienawiązania stosunku zobowiązaniowego. Sąd podziela twierdzenie organu zawarte w odpowiedzi na skargę, że konstruowanie skutecznych i poprawnie działających modeli, o których mowa w powołanym rozporządzeniu 575/2013 może następować wyłącznie w oparciu o dane osobowe pozyskane i przetwarzane w sposób legalny. Prezes UODO nie kwestionował stosowania Rozporządzenia 575/2013 – w ramach oceny zdolności kredytowej i analizy ryzyka kredytowego – a zatem w związku z wykonywaniem czynności bankowych co do zasady. Stwierdził jedynie, że nie wynika z nich podstawa prawna do przetwarzania danych osobowych zawartych w ww. zapytaniu kredytowym, a zatem osoby, z którą umowy kredytowej nie zawarto. Prawo bankowe, o czym mowa wyżej, ściśle określa cele i zasady przetwarzania danych osobowych, w tym stanowi, w jakich przypadkach i dla jakich ściśle określonych celów jest dopuszczalne "dalsze" przetwarzanie danych bez zgody osoby fizycznej (po wygaśnięciu zobowiązania). W art. 105a ust. 4 u.P.b. wyraźnie wskazano na cele stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej Rozporządzenia 575/2013. Prawo bankowe określa też, przez jaki czas mogą być przetwarzane dane stanowiące tajemnicę bankową po wygaśnięciu zobowiązania. Rozciąganie uprawnienia BIK do dalszego przetwarzania danych osobowych zawartych w ww. zapytaniu kredytowym, gdy nie powstało zobowiązanie nie może spotkać się w świetle przepisów RODO i u.P.b. z akceptacją Sądu. Także pozostałe w skardze BIK przepisy prawa, o których była już mowa, nie stanowią odrębnej podstawy do zalegalizowania "dalszego" przetwarzania danych wnioskodawcy, które zebrano w ściśle określonym celu - oceny zdolności kredytowej i analizy ryzyka kredytowego. Sąd, odnosząc się do zarzutu naruszenia art. 6 ust. 1 lit. c) RODO, wskazuje, że art. 70a ust. 1 u.P.b., banki i inne instytucje ustawowo upoważnione do udzielania kredytów na wniosek osoby fizycznej, prawnej lub jednostki organizacyjnej niemającej osobowości prawnej, o ile posiada zdolność prawną, ubiegającej się o kredyt przekazują, w formie pisemnej, wyjaśnienie dotyczące dokonanej przez siebie oceny zdolności kredytowej wnioskującego. Zgodnie z art. 70 ust. 2 u.P.b., wyjaśnienie, o którym mowa w ust. 1, obejmuje informacje na temat czynników, w tym danych osobowych wnioskującego, które miały wpływ na dokonaną ocenę zdolności kredytowej. Powstanie obowiązku, o którym mowa w art. 70a ust. 1 u.P.b., uzależnione jest od złożenia wniosku o przedłożenie wyjaśnień dotyczących dokonanej oceny zdolności kredytowej. Z akt nie wynika, aby Uczestnik złożył taki wniosek. Uczestnik zwrócił się natomiast o usunięcie danych osobowych związanych z zapytaniem kredytowym i w związku z odmową w tym zakresie podjął działania przed Prezesem UODO. Nie może być więc mowy o tym, aby w sprawie znajdował zastosowanie art. 70a ust. 1 i 2 u.P.b. Sąd, odnosząc się do zarzutów naruszenia art. 6 ust. 1 lit. f) RODO w zw. z Rekomendacjami KNF S, W i T, uznaje go za niezasadny, podnosząc – na co trafnie zwrócił uwagę Prezes UODO, że Rekomendacje KNF nie są źródłem prawa powszechnie obowiązującego. Nie ma przy tym podstaw, aby w tym przypadku, w stanie faktycznym sprawy, wywodzić z Rekomendacji KNF – wobec osoby, z którą nie zawarto umowy kredytowej i która zażądała usunięcia danych – prawnie uzasadnione interesy BIK, o których jest mowa w art. 6 ust. 1 lit. f) RODO. Należy podkreślić, że Rekomendacje KNF, które zawierają konkretne wymagania regulacyjne wobec narzędzi używanych przez banki, nie powinny być interpretowane w sprzeczności z RODO w zakresie legalności przetwarzania danych (w zakresie zapytań kredytowych) osób, z którymi nie zawarto umów kredytowych, nie mogą być wykładane w sposób prowadzący do nieuprawnionego przetwarzania takich danych. Twierdzenie, że wypełnienie nakazu organu w postaci usunięcia danych osobowych Uczestnika, przetwarzanych bez uzasadnionej podstawy prawnej prowadziłoby do uniemożliwienia BIK realizacji ww. Rekomendacji KNF, nie daje podstaw do stwierdzenia o dopuszczalności "dalszego" przetwarzania na gruncie RODO danych zawartych w zapytaniu kredytowym osoby, z którą Bank nie zawarł umowy, a jednocześnie nie uzyskał zgody tej osoby na dalsze przetwarzanie jej danych osobowych, w celach innych niż te, w jakich je zgromadził. Także powoływana potrzeba realizacji działań z zakresu opracowania, utrzymania aktualności i funkcjonalności zbudowanych modeli scoringowych, nie stanowi w stanie faktycznym tej sprawy podstawy przetwarzania – w odniesieniu do danych osoby, z którą nie zawarto umowy kredytowej – w celu wynikającym z prawnie uzasadnionych interesów BIK. Nietrafny jest przy tym zarzut naruszenia art. 7b k.p.a. w związku z art. 7 i art. 77 k.p.a. - przez niezwrócenie się przez Prezesa UODO do KNF jako organu właściwego w sprawach związanych m.in. z badaniem zdolności kredytowej i analizy ryzyka kredytowego, a także budową modeli scoringowych, w celu kompleksowego wyjaśnienia stanu faktycznego sprawy oraz współdziałania w zakresie niezbędnym do dokładnego wyjaśnienia stanu prawnego, mając na względzie interes społeczny i słuszny interes obywateli, w postaci ustalenia m.in. należytych zasad, celów i zakresu przetwarzanych danych osobowych o niezrealizowanych zapytaniach kredytowych. Zgodnie z art. 7b k.p.a., w toku postępowania organy administracji publicznej współdziałają ze sobą w zakresie niezbędnym do dokładnego wyjaśnienia stanu faktycznego i prawnego sprawy, mając na względzie interes społeczny i słuszny interes obywateli oraz sprawność postępowania, przy pomocy środków adekwatnych do charakteru, okoliczności i stopnia złożoności sprawy. W sprawie niniejszej Prezes UODO nie miał obowiązku zwracania się do KNF ani w zakresie dokonywanych ustaleń stanu faktycznego ani w zakresie wyjaśnień stanu prawnego. Prezes UODO jest wyspecjalizowanym organem ochrony danych osobowych, jedynym powołanym i uprawnionym do monitorowania i egzekwowania RODO, a nadto do upowszechniania wśród administratorów i podmiotów przetwarzających wiedzę o obowiązkach spoczywających na nich na mocy RODO (art. 51, art. 52, art. 57, motyw 123, motyw 129 RODO; wyroki WSA w Warszawie z 21 kwietnia 2022r. sygn. akt II SA/Wa 3131/21; 5 maja 2021r. sygn. akt II SA/Wa 1982/20 - orzeczenia.nsa.gov.pl). Zdaniem Sądu, nie ma wątpliwości, że Prezes UODO dokonał niezbędnych w sprawie ustaleń faktycznych i zebrał niezbędny materiał dowodowy, zwracał się też do BIK o udzielenie stosownych wyjaśnień i je otrzymał. Organ rozpatrzył wszechstronnie i należycie zgromadzony materiał dowodowy, a ocena tego materiału na gruncie przepisów RODO nie budzi - zdaniem Sądu – zastrzeżeń oraz jest prawidłowa. Odmienna ocena BIK w zakresie wykładni i zastosowania powołanych przez organ przepisów prawa nie stanowi o naruszeniu przepisów postępowania, w tym art. 7, art. 77 i art. 80 k.p.a. Zarzut naruszenia powołanych przepisów, podniesiony przez BIK nie jest więc zasadny. Organ zbadał istnienie interesu prawnego BIK do przetwarzania danych osobowych Uczestnika i uznał, że w świetle obowiązujących przepisów prawa nie zachodził. Prezes UODO nie kwestionował w zaskarżonej decyzji uprawnień instytucji finansowych, w tym BIK, do dokonywania ustaleń i ocen w zakresie zdolności kredytowej. Przedmiotem sprawy była ocena zgodności z prawem "dalszego" przetwarzania danych osobowych Uczestnika zawartych w ww. zapytaniu kredytowym, bowiem to przetwarzanie danych było kwestionowane. Prezes UODO bezspornie posiada uprawnienie do dokonania oceny w tym przedmiocie na gruncie RODO, jako organ wyspecjalizowany. Gromadząc materiał dowodowy organ ten nie był przy tym obowiązany do dokonania analizy funkcjonowania sektora finansowego pod kątem wskazywanym w skardze, bo aspekt uprawnienia BIK do oceny zdolności kredytowej i analizy ryzyka kredytowego nie budził wątpliwości, co znalazło wyraz w uzasadnieniu zaskarżonej decyzji. Sąd nie kwestionuje przy tym "postulatu" BIK, że należy dążyć do tego, aby procesy przetwarzania danych osobowych czyniły zadość zarówno przepisom prawa o ochronie danych osobowych, jak i przepisom szeroko pojętego prawa bankowego, z uwzględnieniem zasady proporcjonalności, jednak - w ocenie Sądu - osiągnięcie tego celu w sprawie – przy uwzględnieniu obowiązujących regulacji prawnych – nie jest możliwe w inny sposób, jak przez realizację nakazów usunięcia danych Uczestnika, zawartych w zaskarżonym punkcie 2 decyzji, w sytuacji, gdy BIK nie dysponowały zgodą Uczestnika na dalsze przetwarzanie jego danych osobowych. Sąd, odnosząc się ponownie do zarzutu naruszenia art. 6 ust. 1 lit f) RODO, tym razem w związku z przytoczonymi w skardze przepisami k.c. i w nawiązaniu do wskazywanej przez BIK potrzeby przechowywania danych (zawartych w ww. zapytaniu kredytowym) osoby, z którą nie zawarto umowy kredytowej, w celu ustalenia, dochodzenia i ochrony przed roszczeniami, ewentualnego zabezpieczenia roszczeń, na wypadek konieczności obrony lub dochodzenia ewentualnych roszczeń, które mogą się pojawić w określonym czasie po przeprowadzeniu stosownej analizy zdolności kredytowej oraz analizie ryzyka kredytowego wskazania wymaga, że art. 6 ust. 1 lit. f) RODO stanowi o uprawnieniu do przetwarzania, gdy jest ono niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Za usprawiedliwiony cel w rozumieniu ww. przepisu nie może zostać uznane przetwarzanie danych osobowych na wypadek ewentualnego dochodzenia lub obrony roszczeń. Z akt sprawy nie wynika, aby Uczestnik, który zażądał usunięcia danych w zakresie zapytania kredytowego, miał jakiekolwiek roszczenie na drodze cywilnoprawnej do BIK. Z akt sprawy nie wynika też, aby Uczestnik posiadał jakiekolwiek zobowiązania (w tym także kredytowe), czy był posiadaczem rachunku osobistego lub innych produktów bankowych. Jednoznacznie żądał usunięcia swoich danych osobowych, powołując się na ich przetwarzanie bez podstawy prawnej. Z tego względu nie jest dopuszczalne przyjęcie, że to art. 6 ust. 1 lit. f) RODO mógłby stanowić podstawę dla BIK do "dalszego" przetwarzania ww. danych, na wypadek ewentualnego dochodzenia roszczeń. W toku postępowania administracyjnego nie wykazano i nie wynika to też ze skargi, jakich ewentualnie roszczeń mógłby dochodzić Uczestnik, która zażąda usunięcia swoich danych w zakresie ww. zapytania kredytowego i z którą to osobą fizyczną nie zawarto umowy kredytowej. BIK nie wskazał, aby Uczestnik kierował jakiekolwiek roszczenia (zażądał jedynie usunięcia własnych danych osobowych w związku z tym, że ustał cel ich przetwarzania). Ważąc interesy zatem Uczestnika, który żądał respektowania jego praw do ochrony danych osobowych, wynikających z RODO, oraz interesy BIK przedstawiane w postępowaniu administracyjnym i w skardze, w sytuacji, gdy Bank nie zawarł z Uczestnikiem umowy kredytowej, należało uznać, że brak było podstaw do przyjęcia, że spełniona została przesłanka z art. 6 ust. 1 lit. f) RODO. Sąd rozpoznający sprawę podziela pogląd Naczelnego Sądu Administracyjnego, zgodnie z którym niedopuszczalne jest przetwarzanie danych osobowych niejako "na zapas" z założeniem, że mogą być one ewentualnie przydatne w przyszłości, na przykład z odwołaniem się do przepisów dotyczących przedawnienia roszczeń (por. wyrok NSA z 27 marca 2018r. sygn. akt I OSK 1459/16, orzeczenia.nsa.gov.pl). Wywodzenie zatem także z kwestii przedawnienia roszczeń samodzielnej podstawy do przetwarzania danych – w sytuacji, gdy mowa o danych osoby, z którą Bank nie zawarł umowy kredytowej, nie jest uprawnione i nie stanowi przesłanki do ich dalszego przetwarzania. Celem RODO, tak, jak poprzednio Dyrektywy 95/46/WE, jest ochrona prywatności, która powinna być rozpatrywana także w świetle art. 8 Konwencji o Ochronie Praw Człowieka i Podstawowych Wolności. W sprawie tej nie istnieje tego rodzaju powiązanie pomiędzy osobą, której dane dotyczą a bankiem, jak również pomiędzy tą osobą a BIK, które pozwalałoby "wyprowadzić" istnienie prawnie uzasadnionego interesu po stronie BIK w "dalszym" przetwarzaniu danych tej osoby. Z okoliczności sprawy nie wynika przy tym, aby osoba ta mogła spodziewać się w czasie, gdy pozyskiwano od niej dane w celu oceny zdolności kredytowej i ryzyka kredytowego, że będą one "dalej" przetwarzane mimo nie zawarcia umowy kredytowej (por. motyw 47 RODO). Jako prawnie uzasadniony interes administratora na gruncie art. 6 ust. 1 lit. f) RODO nie może być rozumiana każda potrzeba wygenerowana przez danego administratora w związku z prowadzoną działalnością gospodarczą. Przyjęcie takiej koncepcji poddawałoby w wątpliwość funkcjonowanie wszystkich pozostałych przesłanek legalności przetwarzania danych ujętych w RODO, skoro sama potrzeba, pojawiająca się dynamicznie w ramach prowadzonej działalności gospodarczej (handlowej) czyniłaby dopuszczalnym przetwarzanie danych osobowych. Niewątpliwie zaś ten prawnie uzasadniony interes administratora nie może pozbawiać jednostki prawa do dysponowania własnymi danymi osobowymi i ochrony prywatności. Podkreślenia wymaga nadto, że gdy chodzi o podnoszony przez BIK cel przetwarzania danych Uczestnika po tym, gdy nie zawarto umowy, o których mowa w art. 106d u.P.b., to należy wyjaśnić, że BIK nie wykazał, aby przypadek taki miał miejsce w tej sprawie. Prawa i wolności osoby fizycznej w okolicznościach faktycznych sprawy mają natomiast nadrzędny charakter nad interesami BIK. Pamiętać trzeba bowiem, że celem udostępnienia danych osobowych przez osobę fizyczną było rozpatrzenie konkretnego wniosku kredytowego (cel był ściśle określony), zgodnie z przepisami u.P.b. Powyższe nie daje podstaw do dalszego przetwarzania danych "na przyszłość" po zakończeniu oceny zdolności kredytowej i analizy ryzyka kredytowego. Samo powołanie się na zasadę rozliczalności (art. 5 ust. 2 RODO) nie legalizuje przetwarzania jakichkolwiek danych. Konieczne jest bowiem, aby w pierwszej kolejności przetwarzanie danych było zgodne z prawem. Podkreślenia wymaga też, że niezależnie od zrozumienia dla argumentacji BIK, co do potrzeb, zamierzeń, czy celów, jakie chciałyby osiągnąć w działalności gospodarczej przez "dalsze" przetwarzanie danych osobowych zawartych w ww. zapytaniu kredytowym Uczestnika, a które wskazano w postępowaniu administracyjnym i w skardze do Sądu, zaskarżony pkt 2 decyzji nie narusza prawa. Cel przetwarzania legalnie zebranych danych osobowych osoby fizycznej - ocena zdolności kredytowej i analizy ryzyka kredytowego - ustał. Tym samym każde inne przetwarzanie danych osobowych, w tym w innych celach niż pierwotnie przewidziane, musi mieć wyraźną podstawę prawną. Prezes UODO wykazał natomiast, że takiej podstawy prawnej, stanowiącej przesłankę do "dalszego" przetwarzania danych osobowych Uczestnika, z którym nie zawarto umowy kredytowej, nie wykazano. Sąd zgadza się, z Prezesem UODO w tym zakresie, wskazując, że podstawy tej nie stanowią też powoływane w skardze przepisy u.P.b., AML, k.c., czy Rozporządzenia 575/2013, bo wynikających z nich przetworzeń danych osobowych dokonuje się w celach innych niż cele, w jakich ww. dane zebrano od Uczestnika. W demokratycznym państwie prawnym nie jest dopuszczalne dowolne rozszerzanie uprawnień jakiegokolwiek podmiotu, ani organu władzy ani spółki prawa handlowego, ani żadnego innego podmiotu będącego administratorem w zakresie przetwarzania danych osobowych (art. 47, art. 51 Konstytucji RP). Dane osobowe mogą być przetwarzane co do zasady w celach, w jakich je zebrano. Cele te powinny być adekwatne i ograniczone do tego co niezbędne do ich osiągnięcia, w których zostały zebrane (art. 5 ust. 1 lit. c RODO). Przetwarzanie przez BIK "na przyszłość" danych zawartych w zapytaniu kredytowym, w sytuacji, gdy nie zawarto umowy kredytowej z Uczestnikiem, nie znajduje umocowania w żadnej przesłance z art. 6 ust. 1 RODO. Przyjęcie natomiast interpretacji zaprezentowanej w skardze prowadziłoby do tego, że wobec osoby, której dane zawarto w zapytaniu kredytowym i z którą nie zawarto umowy kredytowej, istniałaby dowolność, tak co do zasad przetwarzania jej danych osobowych (bez jej zgody, jak można wnioskować ze stanowiska BIK zawartego w skardze), jak również co do przedstawienia innych celów przetwarzania, których nie ujawniono wprost przed pozyskaniem danych (innych niż ocena zdolności kredytowej i ryzyka kredytowego) oraz co do dowolnego ustalenia przez BIK czasu przetwarzania danych z uwzględnieniem przyjmowanych celów, które służą określonym wymogom organu nadzoru nad rynkiem finansowym. Zdaniem Sądu, gdyby Prezes UODO nie wydał zaskarżonego punktu 2 decyzji, to sytuacja Uczestnika – osoby fizycznej, która zwróciła się z zapytaniem kredytowym i z którą nie zawarto umowy kredytowej – byłaby gorsza z punktu widzenia ochrony danych osobowych przewidzianych w RODO i odczytywanych łącznie z ww. przepisami u.P.b., niż sytuacja osoby, która zawarła umowę kredytową i jej zobowiązanie wygasło. W tym drugim bowiem przypadku, po wygaśnięciu zobowiązania wynikającego z danej umowy, do dalszego przetwarzania danych w BIK niezbędna byłaby zgoda osoby, której dane dotyczą, odwołalna w każdym czasie. Uczestnik, który zażądał natomiast usunięcia swoich danych osobowych, byłby pozbawiony ochrony, choć przetwarzano jego dane w celu, który nie jest ściśle związany z konkretną czynnością, w związku z którą uzyskano i przetwarzano dane. Sąd w związku z tym uznaje, że BIK, chcąc realizować obowiązki nałożone przez instytucje nadzorcze, w zakresie prowadzonej działalności, a jednocześnie chcąc przetwarzać dane osobowe konkretnej osoby fizycznej w konkretnych okolicznościach faktycznych – Uczestnika, który w związku z zapytaniem kredytowym stanowiącym podstawę do zebrania i przetwarzania danych, nie uzyskał kredytu - powinien przestrzegać przepisów RODO w zakresie "dalszego" przetwarzania, które nie wiąże się z oceną zdolności kredytowej i analizą ryzyka. Sąd podziela bowiem prezentowane w orzecznictwie poglądy, zgodnie z którymi dalsze przetwarzanie danych, uzyskanych w celu oceny zdolności kredytowej, w przypadku nie zawarcia tej umowy, pozostawałoby w oderwaniu od celu, dla którego uzyskano i przetwarzano dane osobowe Uczestnika. Tym samy niedopuszczalne jest dalsze przetwarzanie danych osobowych na przyszłość, a także na potrzeby budowy oceny zdolności kredytowej innych podmiotów, jeżeli nie można zrekonstruować wyraźnej podstawy prawnej takich działań, jak miało to miejsce w sprawie (por. wyrok NSA z 27 sierpnia 2019r. sygn. akt I OSK 2567/17, wyroki WSA w Warszawie z: 25 kwietnia 2023r. sygn. akt II SA/Wa 1942/22 i 5 czerwca 2023r. sygn. akt II SA/Wa 1736/22 – dostępne na orzeczenia.nsa.gov.pl). Zdaniem Sądu w świetle uzasadnienia zawartego w ww. decyzji Prezesa UODO, odnoszącego się do punktu 2 tej decyzji za nieuzasadnione należało uznać zarzuty skargi co do naruszenia art. 7, art. 77 § 1 i art. 80 k.p.a., bowiem organ prawidłowo zebrał i ocenił zgromadzony w sprawie materiał dowodowy, opierając się m.in. na wyjaśnieniach BIK, dotyczących przetwarzania danych osobowych Uczestnika. Rozważył wszystkie istotne w sprawie okoliczności i odniósł się do podnoszonych przez BIK argumentów. Odmienna ocena BIK w zakresie wykładni i zastosowania powołanych przez organ przepisów prawa, nie stanowi o naruszeniu przepisów postępowania, w tym art. 7, art. 77 i art. 80 k.p.a., szczególnie, gdy organ uzasadniając swoje stanowisko powołał się na obowiązujące przepisy i w sposób logiczny i spójny uzasadnił swoje stanowisko, konstruując uzasadnienie decyzji w zakresie punktu 2 zgodnie z wymogami określonymi w art. 107 § 3 k.p.a. 4. Sąd, mając powyższe na uwadze, na podstawie art. 151 P.p.s.a. orzekł, jak w sentencji.