II SA/Wa 2081/23

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Ewa Radziszewska-Krupa (spr.), Sędzia WSA Joanna Kruszewska-Grońska, Asesor WSA Arkadiusz Koziarski, Protokolant specjalista Elwira Sipak po rozpoznaniu na rozprawie w dniu 5 czerwca 2024 r. sprawy ze skarg [...] Bank [...] S.A. z siedzibą w [...]. i [...] S.A. z siedzibą w [...]. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] sierpnia 2023 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargi I. Stan sprawy przedstawia się następująco: 1. Prezes Urzędu Ochrony Danych Osobowych (zwany dalej "Prezesem UODO") decyzją z [...] sierpnia 2023r. nr [...] - po przeprowadzeniu postępowania administracyjnego w sprawie skargi K. B. (zwany dalej "Uczestnikiem") z [...] stycznia 2023r., uzupełnionej pismem z [...] kutego 2023 r. na nieprawidłowości w procesie przetwarzania jego danych osobowych przez BNP [...] Bank S.A. z siedzibą w [...] (zwany dalej "Bankiem"), w tym w Biurze Informacji Kredytowej S.A. z siedzibą w [...] (zwany dalej "BIK"), polegające na przetwarzaniu danych osobowych bez podstawy prawnej w zakresie zapytań kredytowych z [...] marca i [...] kwietnia 2022r., które nie zakończyły się zawarciem umów kredytowych 1) nakazał Bankowi usunięcie danych osobowych Uczestnika w zakresie wynikającym z ww. zapytań kredytowych; 2) nakazał BIK usunięcie danych osobowych Uczestnika w zakresie wynikającym z ww. zapytań kredytowych, przekazanych przez Bank. W podstawie prawnej decyzji Prezes UODO powołał m.in. art. 104 § 1 ustawy z 14 czerwca 1960r. Kodeks postępowania administracyjnego (Dz.U. z 2023r., poz. 775 ze zm., zwana dalej "k.p.a."), art. 7 ust. 1 i 2 ustawy z 10 maja 2018r. o ochronie danych osobowych (Dz.U. z 2019r., poz. 1781, zwana dalej "u.o.d.o."), art. 6 ust. 1 i art. 58 ust. 2 lit. c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych - Dz.Urz.UE L 119 z 4.05.2016, str. 1, Dz.Urz.UE L 127 z 23.05.2018, str. 2 oraz Dz.Urz.UE L 74 z 4.03.2021, str. 35, zwane dalej "RODO"), Prezes UODO w toku postępowania wyjaśniającego ustalił, że: Uczestnik w skardze do Prezesa UODO wskazał, że Bank przetwarza jego dane osobowe w zakresie ww. zapytań kredytowych z [...] marca i [...] kwietnia 2022 r. w bazie BIK. Bank nie chce usunąć jego danych, w związku z ww. zapytaniami kredytowymi, pomimo że Skarżący nie ma wobec Banku żadnych zobowiązań, bo jego wnioski kredytowe nie zakończyły się zawarciem umowy o kredyt. Skarżący wyjaśnił, że przetwarzanie jego danych osobowych w związku z ww. zapytaniami kredytowymi powoduje ograniczenie dostępu Skarżącemu do produktów finansowych. Wobec tego Skarżący zażądał nakazania Bankowi usunięcia jego danych osobowych, w tym danych przetwarzanych w systemie BIK. Bank wyjaśnił, że; pozyskał dane osobowe Uczestnika, bezpośrednio od Niego, w związku z wnioskami o udzielenie kredytu, złożonymi w Banku m.in. [...] marca 2022r. (na zakup w sklepie stacjonarnym) oraz [...] kwietnia 2022r. (na zakup w sklepie stacjonarnym). Oba ww. wnioski kredytowe nie zakończyły się udzieleniem wnioskowanych produktów kredkowych. W ramach pierwszego z ww. wniosków Bank pozyskał dane osobowe Uczestnika: imię, nazwisko, numer PESEL, datę urodzenia, obywatelstwo, rodzaj, seria, numer i data ważności dokumentu tożsamości, nazwisko rodowe, nazwisko rodowe matki (dane identyfikujące), adres zameldowania, adres zamieszkania (korespondencyjny), numer telefonu, adres e-mail (dane kontaktowe); status rezydencji podatkowej, stan cywilny, liczba dzieci, wykształcenie, informacje o rodzaju i wysokości dochodów, stanowisku, okresie zatrudnienia oraz danych identyfikacyjnych i kontaktowych zakładu pracy (dane dotyczące sytuacji rodzinnej i finansowej) oraz dane związane z wnioskowanym kredytem, w tym kwota i rodzaj produktu kredytowego (dane finansowe). W ramach drugiego wniosku kredytowego Bank pozyskał dane osobowe Uczestnika w postaci: imię, nazwisko, numer PESEL, data urodzenia, obywatelstwo, rodzaj, seria, numer, data wydania i data ważności dokumentu tożsamości, nazwisko rodowe matki (dane identyfikacyjne), adres zameldowania, adres zamieszkania (korespondencyjny), numer telefonu, adres e-mail (dane kontaktowe), status rezydencji podatkowej, stan cywilny, liczba dzieci, wykształcenie, informacje o rodzaju i wysokości dochodów, stanowisku, okresie zatrudnienia oraz danych identyfikacyjnych i kontaktowych zakładu pracy (dane dotyczące sytuacji rodzinnej i finansowej) oraz dane finansowe związane z wnioskowanym kredytem (kwota i rodzaj produktu kredytowego). Bank wskazał, że pozyskał dane osobowe Skarżącego w ramach ww. wniosków kredytowych w celach: zawarcia i wykonania umowy produktowej (na podstawie art. 6 ust. 1 lit. b) RODO, określenia ryzyka kredytowego i zdolności do spłaty zadłużenia oraz oszacowania możliwości zaoferowania Uczestnikowi produktów bankowych na określonych warunkach, a także w związku z koniecznością spełnienia wymogów prawnych spoczywających na Banku, m.in. w związku z przepisami ustawy z dnia 1 marca 2018r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (Dz.U. z 2023r., poz. 1124; zwana dalej "AML"). Bank wyjaśnił, że przekazał BIK dane osobowe Uczestnika, kierując do BIK ww. zapytania kredytowe, w celu oceny zdolności kredytowej Uczestnika w Banku. Wśród danych osobowych Uczestnika przekazanych do BIK w ramach ww. zapytań kredytowych były: dane identyfikacyjne (obywatelstwo, numer PESEL, rodzaj, seria i numer dokumentu tożsamości, imię, nazwisko, płeć, data urodzenia), dane adresowe (adres zamieszkania: kod kraju zamieszkania, kod pocztowy, miejscowość, ulica) oraz dane socjo-demograficzne (m.in. powód złożenia zapytania, liczba wnioskodawców, waluta wniosku, relacja Uczestnika do wniosku; typ transakcji, kwota kredytu, numer NIP zakładu pracy). Bank wskazał, że aktualnie przetwarza dane osobowe Uczestnika na podstawie art. 6 ust: li lit. c) RODO w związku z art. 6 ust. 1 lit. f) RODO, z uwagi na konieczność spełniania przez Bank wymogów: - art. 70 ust. 1 ustawy z 29 sierpnia 1997r. Prawo bankowe (Dz.U. z 2022r. poz. 2324; zwana dalej "u.P.b."), w związku z którym Bank uzależnia przyznanie kredytu od zdolności kredytowej kredytobiorcy, a kredytobiorca jest obowiązany przedłożyć na żądanie banku dokumenty i informacje niezbędne do dokonania oceny tej zdolności; - art. 70a i 105a u.P.b., w związku z koniecznością zagwarantowania możliwości uzyskania wyjaśnień dotyczących dokonanej przez Bank oceny zdolności kredytowej (art. 70a u.P.b.) lub w związku z koniecznością zapewnienia prawa do otrzymania stosownych wyjaśnień Banku, co do podstaw decyzji podejmowanych w trybie art. 105a ust. 1 u.P.b.; - w zakresie stosowania modeli wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 575/2013 z 26 czerwca 2013r. w sprawie wymogów ostrożnościowych dla instytucji kredytowych i firm inwestycyjnych, zmieniającego rozporządzenie (UE) nr 648/2012 (Dz.Urz.UE L 176 z 27.06.2013, str. 1, ze zm.; zwana dalej "CRR"), w związku z art. 105 ust. 4 pkt 1 u.P.b. oraz art. 105a ust. 4 u.P.b. - m.in. wymogów kapitałowych określonych w część III ww. rozporządzenia - art. 147 ust. 5 w związku z art. 147 ust. 2 lit. d) CRR (dotyczących metod klasyfikowania ekspozycji do poszczególnych kategorii ekspozycji) lub art. 171 CRR (dotyczących klasyfikacji do klas lub pul), - w związku z wymogami określonymi przez Komisję Nadzoru Finansowego (zwana dalej "KNF") w Rekomendacji T, dotyczącej dobrych praktyk w zakresie zarządzania ryzykiem detalicznych ekspozycji kredytowych, - oceny ryzyka kredytowego, w tym oceny globalnego ryzyka kredytowego, m.in. na podstawie art. 105a ust. 1 -1 c i 105a ust. 4 u.P.b. w zw. z ww. przepisami rozporządzenia CRR, a także w związku z wymogami określonymi przez KNF w Rekomendacji T, - koniecznością uwzględnienia możliwości dochodzenia przez Uczestnika od Banku ewentualnych roszczeń związanych z przedmiotem postępowania, tj. na podstawie art. 6 ust. 1 lit. f) RODO w zw. z art. 118 ustawy z 23 kwietnia 1964r. - Kodeks cywilny (Dz.U. z 2022r., poz. 1360; zwana dalej "k.c.") w zw. z art. 82 RODO oraz związanej z tym konieczności umożliwienia Bankowi obrony przed ewentualnymi roszczeniami (art. 6 ust. lit. f) RODO), - koniecznością zapewnienia Prezesowi UODO dostępu do informacji niezbędnych do przeprowadzenia postępowania w sprawie, w związku z art. 58 ust. 1 lit. e) RODO. Bank wyjaśnił, że podstawą prawną złożenia przez Bark ww. zapytań kredytowych w BIK - art. 5 ust. 1 pkt 3 w zw. z art. 70 ust. 1 w zw. z art. 105 ust. 4 w związku z art. 105 ust. 1 pkt 1 c) u.P.b. oraz art. 9 ust. 2 i 4 ustawy z 12 maja 2011 r. o kredycie konsumenckim (Dz.U. z 2023r., poz. 1028, zwana dalej "u.k.k.") oraz umowa między Bankiem a BIK. Bank wskazał, że prowadził z Uczestnikiem korespondencję w przedmiocie ww. zapytań kredytowych w związku ze zgłoszeniem Uczestnika z [...] kwietnia 2022r. i pismem z [...] kwietnia 2022 r. Bank udzielił Uczestnikowi odpowiedzi w zakresie wniosku o usunięcie z BIK ww. zapytania kredytowego z [...] kwietnia 2021r. Ponadto Uczestnik zwrócił się z dodatkowym tego typu wnioskiem dotyczącym zapytań kredytowych zrealizowanych przez Bank w BIK [...] marca i [...] kwietnia 2022r., w postaci pisma z [...] stycznia 2023r. Bank udzielił na nie odpowiedzi pismem z [...] stycznia 2023r. BIK w wyjaśnieniach wskazał, że pozyskał od Banku dane osobowe Uczestnika (imię, nazwisko, PESEL, serię i numer dowodu osobistego, datę urodzenia, obywatelstwo, płeć, dane z wniosków kredytowych dotyczących wnioskowanych zobowiązań i adres zamieszkania) w zakresie ww. zapytań kredytowych [...] marca i [...] kwietnia 2022r. Dane pozyskano na podstawie art.105 ust. 1 pkt 1c, art. 105 ust. 4 oraz art. 105a ust. 1 u.P.b. i umowy zawartej z Bankiem. BIK przetwarza dane pochodzące z ww. zapytań kredytowych przez 12 miesięcy od dnia złożenia zapytania w celu oceny zdolności kredytowej i analizy ryzyka kredytowego konkretnego klienta. BIK przetwarza dane osobowe Uczestnika w zakresie ww. zapytań kredytowych w celu budowy modeli scoringowych (narzędzi wykorzystywanych przez banki do oceny zdolności kredytowej i analizy ryzyka kredytowego) przez okres nie krócej niż 5 lat i nie dłużej niż 10 lat od dnia złożenia zapytania. Podstawą przetwarzania danych przez BIK, w celu oceny zdolności kredytowej i analizy ryzyka kredytowego jest art. 6 ust. 1 lit. c) RODO w związku z art. art. 105 ust. 4 oraz art. 105a ust. 1, 1 a i b u.P.b., art. 170 ust. 3 CRR, art. 171 ust. 2 CRR, 144 ust. 1 lit. d CRR, art. 145 ust. 1 CRR, art. 147 ust. 5 lit. b. CRR, art. 179 ust. la CRR oraz art. 180 ust. 2 lit. e CRR, art. 6 ust. 1 lit. c RODO w zw. z art. 105 ust. 4 i 105a ust. 1, art. 70 ust. 1 oraz art. 9b ust. 1 u.P.b. oraz rekomendacje KNF. BIK będzie przetwarzał dane Uczestnika dotyczące ww. zapytań kredkowych również w celach statystycznych i stosowania metod wewnętrznych oraz innych metod i modeli przez okres nie dłuższy niż 10 lat; w celu rozpatrywania ewentualnych reklamacji lub roszczeń odszkodowawczych klientów (termin przedawnienia, zgodnie z art. 118 k.c., wynosi 6 lat) oraz z uwagi na konieczność wypełnienia ustawowego obowiązku wynikającego z art. 15 RODO w przypadku wystąpienia przez osobę, której dane dotyczą z wnioskiem o udzielenie informacji. BIK będzie przetwarzał wyłącznie dane dotyczące ww. zapytań kredytowych przez 12 miesięcy, w celach przeciwdziałania przestępstwom i wykonywania obowiązków w zakresie określonym w przepisach CRR, na podstawie art. 106d u.P.b. i art. 33 ust; 2, art. 34 ust. 1 pkt 4, art. 36, art. 46 AML oraz w celu realizacji wniosków klientów banków dotyczących wyjaśnień co do dokonanej oceny zdolności kredytowej, na podstawie art. 70a u.P.b. BIK podniósł, że Bank nie zwracał się do BIK o usunięcie danych osobowych Uczestnika, dotyczących ww. zapytań kredytowych, a Uczestnik nie wystąpił do BIK z wnioskiem o realizację jego praw z zakresu ochrony danych osobowych, w tym o usunięcie jego danych osobowych dotyczących ww. zapytań kredytowych. Prezes UODO, rozpatrując sprawę wskazał, że przepisem uprawniającym administratorów danych do przetwarzania zwykłych danych osób fizycznych jest art. 6 ust. 1 RODO, zgodnie z którym, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy spełniona jest jedna z przesłanek wskazanych w tym przepisie. Katalog przesłanek, wymienionych w art. 6 ust. 1 RODO, jest zamknięty. Każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny. Dodatkowo, proces przetwarzania danych osobowych musi być zgodny z zasadami ustanowionymi w art. 5 ust. 1 RODO. Do zasad tych zalicza się m.in. ograniczenie celu (art. 5 ust. 1 lit. b RODO) i minimalizację danych (art. 5 ust. 1 lit. c RODO). Zasady te wymagają, by dane osobowe były zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami, a proces ich przetwarzania był adekwatny, stosowny oraz ograniczony do tego, co niezbędne do celów, w których są przetwarzane. Co do zasady podstawą prawną przetwarzania danych osobowych klientów przez Bank i BIK może być obecnie art. 6 ust. 1 lit. f RODO, gdy przetwarzanie to jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora. Prezes UODO, uzasadniając to stanowisko, odwołał się do art. 105a ust. 1 u.P.b., który stanowi, że przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów, instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d u.k.k., a także instytucje utworzone na podstawie art. 105 ust. 4 u.P.b. (a więc BIK), informacji stanowiących tajemnicę bankową i informacji udostępnionych przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d u.k.k., w zakresie dotyczącym osób fizycznych - może być wykonywane, z zastrzeżeniem art. 104, 105 i art. 106 - 106d u.P.b., w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. BIK jest instytucją utworzoną na podstawie art. 105 ust. 4 u.P.b. Stosownie do art. 105a ust. 4 u.P.b., banki oraz instytucje, o których mowa w art. 105 ust. 4 u.P.b., mogą przetwarzać stanowiące tajemnicę bankową informacje dotyczące osoby fizycznej po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której informacje dotyczą, do celów stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej CRR. Stosownie do art. 105a ust. 5 u.P.b., przetwarzanie informacji stanowiących tajemnicę bankową w przypadkach, o których mowa w ust. 3, może być wykonywane przez okres nie dłuższy niż 5 lat od dnia wygaśnięcia zobowiązania, a w przypadku, o którym mowa w ust. 4, przez okres 12 lat od dnia wygaśnięcia zobowiązania. Zgodnie z art. 70 ust. 1 u.P.b., bank uzależnia przyznanie kredytu od zdolności kredytowej kredytobiorcy. Przez zdolność kredytową rozumie się zdolność do spłaty zaciągniętego kredytu wraz z odsetkami w terminach określonych w umowie. Prezes UODO wskazał także na art. 9 ust. 3 u.k.k., regulujący obowiązek oceny zdolności kredytowej konsumenta, ubiegającego się o kredyt konsumencki, zgodnie z którym jeżeli kredytodawcą jest bank, albo inna instytucja ustawowo upoważniona do udzielania kredytów, ocena zdolności kredytowej dokonywana jest zgodnie z art. 70 u.P.b. oraz innymi regulacjami obowiązującymi te podmioty, z uwzględnieniem ust. 1-3. Zdaniem Prezesa UODO, Bank oraz BIK, na podstawie art. 105a ust. 1 w zw. z art. 70 ust. 1 u.P.b., były uprawnione do przetwarzania danych osobowych Uczestnika w celu oceny zdolności kredytowej w związku z zapytaniami kredytowymi złożonymi do Banku [...] marca i [...] kwietnia 2022r. Skoro nie doszło do zawarcia umowy kredytu, odpadła przesłanka legalizująca dalsze przetwarzanie danych osobowych przez Bank i BIK. Przesłanki zawarte w art. 105a u.P.b. dotyczą bowiem przetwarzania informacji objętych tajemnicą bankową w okresie przed powstaniem zobowiązania, w trakcie jego trwania i po wygaśnięciu zobowiązania. Pomiędzy Bankiem a Uczestnikiem nie zawiązał się stosunek zobowiązaniowy, który stosownie do art. 105a ust. 1 - 6 u.P.b. dawałby podstawę do dalszego przetwarzania danych osobowych Uczestnika. Celem przetwarzania danych osobowych Uczestnika była ocena zdolności kredytowej i analizy ryzyka kredytowego. W związku z dokonaniem przez Bank oceny zdolności kredytowej i analizy ryzyka kredytowego ww. cel przetwarzania danych osobowych zrealizowano i brak jest podstaw prawnych do kontynuowania tego procesu. Stanowisko to potwierdza wyrok NSA z 27 sierpnia 2019r. sygn. akt I OSK 2567/17, w którym wskazano, że "cel oceny zdolności kredytowej stanowi ocena zdolności do spłaty zaciągniętego kredytu wraz z odsetkami, co ma charakter czynności wstępnej do zawarcia stosownej umowy. Dalsze przetwarzanie danych uzyskanych w celu oceny zdolności kredytowej, w przypadku nie zawarcia stosownej umowy pozostawałaby w oderwaniu od celu dla którego dane te uzyskano. (...) niedopuszczalne jest przetwarzanie danych osobowych na przyszłość, a także na potrzeby budowy oceny zdolności kredytowej innych podmiotów, jeżeli nie można zrekonstruować wyraźnej podstawy prawnej takich działań". W ocenie Prezesa UODO, za podstawę przetwarzania danych osobowych Uczestnika nie mogą być również uznane, wskazane przez Bank i BIK, cele statystyczne i analizy, w tym cel stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej CRR. Powołany przez Bank i BIK art. 105a ust. 4 u.P.b. daje podstawy do przetwarzania informacji dotyczących osoby fizycznej, stanowiących tajemnicę bankową, po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której te informacje dotyczą. W sprawie nie doszło do zawarcia umowy kredytu, a zatem nie powstał stosunek zobowiązaniowy, o którym mowa w tym przepisie. Także powołane przepisy CRR nie wykazują konkretnej przesłanki uprawniającej BIK do wykorzystania danych w zakresie zapytań kredytowych, niezakończonych zawarciem umowy, do indywidualnej oceny zdolności kredytowej, ani tym bardziej do wykorzystania tego rodzaju danych osobowych do modeli scoringowych. Prezes UODO, odnosząc się do przywołanych rekomendacji KNF, wyjaśnił, że należą one do nienormatywnych form działania administracji i podobnie, jak inne uchwały ww. organu nadzoru - nie są źródłem ani powszechnie obowiązujących przepisów prawa, ani przepisów prawa o charakterze wewnętrznym. Rekomendacje KNF nie stanowią zatem podstawy prawnej legalizującej przetwarzanie danych osobowych w zakresie zapytań kredytowych niezakończonych zawarciem umowy kredytu, zaś ich stosowanie nie może naruszać przepisów RODO. Prezes UODO nie podzielił stanowiska BIK, że przetwarzanie danych osobowych Uczestnika ma na celu przeciwdziałanie przestępstwom i wykonywanie obowiązków w zakresie określonym w zakresie określonym w art. 106d u.P.b. i w przepisach AML. Organ przytoczył treść art. 106d u.P.b. oraz przepisy AML (m.in. art. 33 ust. 1, 2, 4, art. 34 ust. 1, 3 i art. 35 ust. 2, art. 49 ust. 2) i stwierdził, że Bank i BIK w toku postępowania nie wykazały, aby zaszła którakolwiek z przesłanek określonych w tych przepisach. Zapytania kredytowe, które spotkały się z decyzją odmowną w zakresie udzielenia kredytu nie posiadają cechy trwałości, które w aspekcie powyższych przepisów AML uzasadniałyby dalsze przetwarzanie wynikających z nich danych osobowych. W szczególności BIK nie wykazał, aby istniały uzasadnione podejrzenia, o których mowa w art. 106d ust. 1 pkt 1-2 u.P.b., oraz nie wskazał także nałożonego na BIK obowiązku określonego w przepisach AML, o którym mowa w art. 106d ust. 1 pkt 3 u.P.b. Prezes UODO, odnosząc się do powołanego zarówno przez Bank, jak i przez BIK, celu ustalenia, dochodzenia lub obrony roszczeń wskazał, że zebrany materiał dowodowy nie wykazał, aby Uczestnik wystąpił wobec Banku, czy BIK z roszczeniem, które uzasadniałoby uprawnienie tych podmiotów do zachowania i przetwarzania jego danych osobowych dla celów dowodowych, w związku z dochodzeniem przez Uczestnika tego roszczenia (art. 6 ust. 1 lit f RODO). Bank i BIK nie wskazały także na istnienie roszczeń, których dochodzą od Uczestnika. Choć BIK wskazał także na przetwarzanie danych Uczestnika w celu rozpatrywania ewentualnych reklamacji, ale zebrany materiał dowody nie wykazał, aby Skarżący wystąpił do BIK z reklamacją. Nie toczy się zatem postępowanie w przedmiocie reklamacji, które uzasadniałoby uprawnienie BIK do przetwarzania danych Uczestnika do celów związanych z ww. postępowaniem. Przesłanka legalizująca przetwarzanie danych osobowych, o której mowa w art. 6 ust. 1 lit. f RODO dotyczy sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia, potrzeba dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem lub rozpatrywania ewentualnych reklamacji. Prezes UODO podzielił ponadto stanowisko NSA zawarte w wyrokach z 6 marca 2019r. sygn. akt I OSK 994/17 (LEX nr 2670498) i z 23 września 2005r. sygn. akt l OSK 712/05, odnoszące się do analogicznej do art. 6 ust. 1 lit. f RODO przesłanki wynikającej z art. 23 ust. 1 pkt 5 u.o.d.o., dotyczącej dopuszczalności przetwarzania danych osobowych dla wypełnienia prawnie usprawiedliwionych celów, realizowanych przez administratorów danych albo odbiorców danych, gdy przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą (dostępne w CBOSA). Prezes UODO stwierdził, że przyjęcie za prawidłowe przeciwnego stanowiska, zgodnie z którym przetwarzanie danych osobowych w celu uchylenia się od negatywnych skutków w przypadku zgłoszenia w przyszłości ewentualnego i nieokreślonego roszczenia, stanowi prawnie usprawiedliwiony cel w rozumieniu art. 6 ust. 1 lit. f RODO, oznaczałoby, że dane osobowe Uczestnika mogłyby być przetwarzane przez Bank i BIK permanentnie, bez konieczności ich usunięcia. Teoretycznie możliwym jest by Uczestnik zwrócił się do Banku lub BIK z roszczeniem po upływie terminu przedawnienia roszczenia. Prowadziłoby to do uznania, że przetwarzanie ww. danych ma uzasadnienie w przesłance określonej w art. 6 ust. 1 lit. f RODO, w celu realizacji prawa do obrony przed ewentualnym roszczeniem, również po upływie ww. terminu. Prezes UODO dodał, że nie podziela stanowiska, zgodnie z którym terminy dotyczące przedawnienia roszczeń wynikających ze stosunków zobowiązaniowych określają jednocześnie ramy czasowe, w których dane osobowe mogą być przetwarzane przez Bank i BIK. Przedawnienie roszczenia nie wywołuje skutków na gruncie ochrony danych osobowych, nie wpływa bowiem na fakt istnienia roszczenia, a powoduje jedynie zmianę w sferze zarzutów procesowych w postaci możliwości podniesienia okoliczności przedawnienia w sporze sądowym. Okolicznością usprawiedliwiającą przetwarzanie danych osobowych w celu dochodzenia roszczeń jest sam fakt istnienia roszczenia oraz zamiar jego dochodzenia, nie jest nią zmiana w uprawnieniach procesowych podmiotu pozwanego. Zdaniem Prezesa UODO, brak jest ponadto uzasadnienia dla przyjęcia, że Bank i BIK są uprawnione do przetwarzania danych osobowych w związku z koniecznością ewentualnego wypełnienia obowiązku wynikającego z art. 70a ust. 1 i 2 u.P.b. Zgodnie z art. 70a ust. 1 u.P.b. banki i inne instytucje ustawowo upoważnione do udzielania kredytów na wniosek osoby fizycznej, prawnej lub jednostki organizacyjnej niemającej osobowości prawnej, o ile posiada zdolność prawną, ubiegającej się o kredyt przekazują, w formie pisemnej, wyjaśnienie dotyczące dokonanej przez siebie oceny zdolności kredytowej wnioskującego. Na mocy art. 70a ust. 2 u.P.b. wyjaśnienie, o którym mowa w ust. 1, obejmuje informacje na temat czynników, w tym danych osobowych wnioskującego, które miały wpływ na dokonaną ocenę zdolności kredytowej. Prezes UODO podzielił stanowisko, że "Jeśli zaś bank - w wyniku dokonanej oceny zdolności kredytowej (przeprowadzonej zgodnie z przyjętymi rekomendacjami KNF) - nie udzieli kredytu, zatem nie dojdzie do zawarcia umowy kredytu, stan taki nie rodzi po stronie ubiegającego się o kredyt żadnych roszczeń na drodze cywilnoprawnej. Ubiegającemu się o kredyt przysługuje tylko możliwość wnioskowania o przedstawienie na piśmie przyczyn odmowy" (B. Bajor [w:] L. Kociucki, J. M. Kondek, K. Królikowska, B. Bajor, Prawo bankowe. Komentarz do przepisów cywilnoprawnych. Warszawa 2020, art. 70(a). Art. 70a u.P.b. nie przewiduje terminu na złożenie wniosku o udzielenie informacji dotyczących odmowy udzielenia kredytu. Nie oznacza jednak, że można dane osobowe Uczestnika, wynikające z ww. zapytań kredytowych można przetwarzać bezterminowo, gdyż byłoby to sprzeczne z zasadą ograniczenia przechowywania, określoną w art. 5 ust. 1 lit. e) RODO. Ponadto powstanie obowiązku, o którym mowa w art. 70a ust. 1 u.P.b., uzależnione jest od złożenia stosownego wniosku przez osobę ubiegającą się o kredyt. W sprawie ustalono, że Uczestnik w związku z ww. zapytaniami kredytowymi ubiegał się o zawarcie z Bankiem umów, ale wnioski nie zakończyły się zawarciem umowy. Następnie Uczestnik zwrócił się do Banku z żądaniem usunięcia danych przetwarzanych w związku z ww. zapytaniami i usunięcia ich z BIK. Uczestnik zakwestionował proces przetwarzania danych osobowych związanych z ww. zapytaniami kredytowymi, domagając się ochrony danych osobowych. Uwzględnienie ww. żądania - usunięcia ww. danych - skutkować będzie brakiem możliwości udzielenia informacji wskazanych w art. 70a ust. 1 i 2 u.P.b., z czym Uczestnik, żądając usunięcia danych, musi się liczyć. W związku z tym, Uczestnik nie był i nie jest zainteresowany realizacją prawa do złożenia wniosku, o którym mowa w ww. przepisie, a tym samym nie można uznać, aby stanowił on podstawę przetwarzania Jego danych osobowych. Prezes UODO nie zgodził się też z zapatrywaniem, że BIK jest uprawniony do przetwarzania danych osobowych pozyskanych w związku z zapytaniami złożonymi przez Bank, z uwagi na konieczność ewentualnego wypełnienia obowiązku wynikającego z art. 15 RODO. Usunięcie przez administratora danych osobowych nie uniemożliwia mu wykonania obowiązku z tego przepisu, gwarantującego osobie, której dane dotyczą, prawo do uzyskania od administratora informacji, czy ww. dane są przetwarzane, a w przypadku pozytywnej odpowiedzi na tak postawione pytanie - uprawnienie do dostępu do danych na swój temat oraz uzyskania informacji o okolicznościach przetwarzania danych. Jeśli bowiem administrator nie przetwarza danych dotyczących osoby, która zwraca się z żądaniem udzielenia informacji, to działanie administratora ogranicza się do odpowiedzi przeczącej i nie ma on obowiązku podawać podmiotowi danych innych informacji (P. Fajgielski [w:] Ogólne rozporządzenie o ochronie danych. Ustawa o ochronie danych osobowych. Komentarz. Wolters Kluwer Polska, 2018). Prezes UODO, odnośnie stwierdzenia Banku, że do dnia wydania decyzji będzie przetwarzać dane osobowe Uczestnika w związku z postępowaniem, wskazał, że ww. przesłanka odpadnie w dacie zakończenia tego postępowania. Prezesa UODO w związku z tym przyjął, że Bank i BIK nie miała celu uzasadniającego dalsze przetwarzanie danych osobowych Uczestnika zawartych w ww. zapytaniach kredytowych. Bank w związku z pozyskaniem danych osobowych Uczestnika, w celu oceny zdolności kredytowej, stał się administratorem tych danych osobowych. Natomiast BIK stał się administratorem ww. danych osobowych, z uwagi na przekazanie tych danych przez Bank. Bank i BIK są odrębnymi administratorami i przetwarzają dane osobowe Uczestnika we własnych celach i samodzielnie ustalają sposoby ich przetwarzania. Skoro nie zaszła żadna z wyrażonych w art. 6 ust. 1 RODO przesłanek, która stanowiłaby o legalności procesu przetwarzania danych osobowych Uczestnika, na podstawie art. 58 ust. 2 lit. c RODO, konieczne było nakazanie Bankowi i BIK usunięcia danych osobowych Uczestnika przetwarzanych w związku z ww. zapytaniami kredytowymi. 2. Bank i BIK zaskarżyły do Wojewódzkiego Sądu Administracyjnego w Warszawie ww. decyzję Prezesa UODO dwiema skargami, z tym, że Bank złożył skargę na pkt 1 ww. decyzji (zarejestrowana pod sygn. akt II SA/Wa 2081/23), natomiast BIK wniósł skargę na pkt 2 ww. decyzji (zarejestrowana pod sygn. akt II SA/Wa 2102/23). Bank wniósł o uchylenie ww. decyzji w części dotyczącej pkt 1 i zasądzenie zwrotu kosztów postępowania, w tym kosztów zastępstwa procesowego według norm przepisanych oraz opłat skarbowych od pełnomocnictwa, zaś BIK wniósł o uchylenie ww. decyzji w części dotyczącej pkt 2 i zasądzenie zwrotu kosztów postępowania, w tym kosztów zastępstwa procesowego według norm przepisanych, w tym zwrotu opłaty skarbowej od pełnomocnictwa (17 zł). Bank zarzucił zaskarżonej decyzji naruszenie: 1) art. 7 w zw. z art. 77 oraz art. 80 k.p.a., polegające na niepodjęciu wszystkich czynności niezbędnych do dokładnego wyjaśnienia oraz załatwienia sprawy, na niewyczerpującym zebraniu i rozpatrzeniu materiału dowodowego, a także na braku wszechstronnej i merytorycznej oceny zgromadzonego materiału dowodowego; co skutkowało niezasadnym nakazaniem usunięcia przez Bank danych osobowych Uczestnika w zakresie wynikającym z ww. zapytań kredytowych, a w szczególności: - bezzasadnie pominięto, że po upływie 12 miesięcy od skierowania przez Bank do BIK ww. zapytań kredytowych są one przekazywane do tzw. części statystycznej BIK. Tym samym, w dniu wydania zaskarżonej decyzji informacja o ww. zapytaniach kredytowych nie była dostępna dla innych banków lub innych właściwych podmiotów czy instytucji w BIK oraz nie wpływała na ocenę zdolności kredytowej Uczestnika. Ma to istotne znaczenie, bo zarzuty Uczestnika sprowadzały się do tego, że przetwarzanie jego danych osobowych przez Bank i BIK ma negatywny wpływ na jego zdolność kredytową - a w związku z tym Uczestnik w skardze z [...] stycznia 2023r. wniósł m.in. o "przeniesienie" danych do "sekcji statystycznej BIK; - nie ustalił wszystkich celów przetwarzania danych osobowych Uczestnika i nie uwzględnił wszystkich okoliczności przetwarzania danych, w konsekwencji Organ błędnie nie uwzględnił wszystkich podstaw prawnych dalszego przetwarzania danych Uczestnika, gdy nie zostały zawarte umowy o kredyt - bezzasadnie pominął, że o ile analiza zdolności kredytowej dotyczy rozpoznania i oceny ryzyka związanego z przyznaniem kredytu konkretnej osobie w konkretnej wysokości, o tyle analiza ryzyka kredytowego wiąże się z koniecznością oszacowania ryzyka dla całego banku, związanego z danym portfelem zobowiązań. W celu ustalenia obiektywnych zasad akceptacji. Bank musi przeprowadzić analizę ryzyka kredytowego na podstawie zgromadzonej wiedzy na temat wszystkich osób, które wnioskowały o kredyt - zarówno tych, którym przyznano kredyt, jak i tych, którym odmówiono przyznania kredytu. Wyraźne rozróżnienie "zdolności kredytowej" i "ryzyka kredytowego" jest tym bardziej istotne w sprawie, że Prezes UODO powołał się na wyrok NSA z 27 sierpnia 2019r. sygn. akt I OSK 2567/17, w którym nie oceniono potrzeby wykorzystania danych pod kątem niezbędności do analizy ryzyka kredytowego a ponadto orzekał na podstawie nieobowiązujących już przepisów u.o.d.o. i nie analizował przepisów RODO; - bezzasadnie pominął, że bazy danych tworzone przez podmioty, które prowadzą działalność bankową, mają rozbudowaną strukturę, w tym zawierają szereg funkcji wyszukiwania oraz udostępniania raportów. Zróżnicowane mogą być również uprawnienia dostępu do zasobów informacji dla poszczególnych grup pracowników (z perspektywy wykonywanych przez nich zadań). Dopiero w takim szerokim kontekście należy rozważyć reguły przetwarzania danych osobowych. Bank był więc uprawniony do przetwarzania danych Uczestnika, a Prezes UODO powinien wyjaśnić co najwyżej, w jakim terminie i dla jakich celów takie przetwarzanie jest uprawnione, i którzy pracownicy Banku powinni mieć dostęp do tych danych (w zakresie niezbędnym do wykonywania przez nich zadań); - bezzasadnie założył, że skoro Uczestnik nie była dotychczas zainteresowany realizacją swojego prawa do domagania się od Banku wyjaśnień dotyczących oceny zdolności kredytowej, a jednocześnie zażądał usunięcia swoich danych osobowych związanych z zapytaniami kredytowymi, to musi się liczyć z tym, że uwzględnienie żądania usunięcia ww. danych skutkować będzie brakiem możliwości udzielenia informacji wskazanych w art. 70a ust. 1 i 2 u.P.b. Z materiału dowodowego nie wynika, aby Uczestnik "liczył się" lub był świadom takich skutków usunięcia danych osobowych. Do tej pory nie złożył też wniosków do Banku o udzielenie wyjaśnień dotyczących oceny zdolności kredytowej, co nie oznacza, że nie zdecyduje się na skierowanie takich wniosków w przyszłości - ustawowy obowiązek udzielenia wyjaśnień dotyczących dokonanej przez Bank oceny zdolności kredytowej nie jest ograniczony terminem; 2) art. 107 § 1 pkt 5, § 3 k.p.a. w zw. z art. 104 ust. 2 k.p.a. – przez niewskazanie i niewyjaśnienie, jakie dane osobowe Uczestnika i w jakim celu przetwarzane przez Bank, Prezes UODO uznaje za objęte zakresem wynikającym z ww. zapytań kredytowych, gdy osnowa decyzji powinna być skonstruowana tak precyzyjnie, aby Bank i BIK nie miały wątpliwości, co do zakresu powinności wynikających z tej decyzji. Osnowa zaskarżonej decyzji nie spełnia tego wymogu - wynika z niej jedynie, wobec jakich zdarzeń (ww. zapytania kredytowe) mają zostać usunięte dane osobowe Uczestnika. Również w uzasadnieniu decyzji nie wyjaśniono, jakie konkretnie dane osobowe i w jakim celu przetwarzane przez Bank, Prezes UODO uznaje za objęte zakresem wynikającym z ww. zapytań kredytowych; 3) art. 7, art. 7b w zw. z art. 8 i art. 77 k.p.a. - przez zaniechanie zwrócenia się do KNF (organ właściwy w sprawach związanych m.in. z badaniem zdolności kredytowej i analizą ryzyka kredytowego oraz budową modeli scoringowych) w zakresie wykorzystywania do realizacji tych zadań m.in. danych osobowych o niezrealizowanych zapytaniach kredytowych, co pozwoliłoby na dokładne wyjaśnienie stanu faktycznego i prawnego sprawy, mając na względzie interes społeczny i słuszny interes obywateli (ustalenia należytych zasad, celów i zakresu przetwarzania danych o niezrealizowanych zapytaniach kredytowych w taki sposób, aby - zgodnie z zasadą proporcjonalności - procesy przetwarzania danych czyniły zadość zarówno przepisom o ochronie danych osobowych, jak i przepisom szeroko pojętego prawa bankowego i zapewnieniu stabilności rynku gospodarczo-finansowego); 4) art. 6 ust. 1 lit. c RODO w zw. z art. 105 ust. 4 i art. 105a ust. 1 - 1c u.P.b. - przez jego niewłaściwe zastosowanie i przyjęcie, że Bank nie legitymuje się przesłanką przetwarzania, gdy z tych przepisów wynika obowiązek przetwarzania danych (też z zapytań kredytowych) przez banki i inne instytucje wymienione w art. 105 ust. 4 u.P.b., na zasadzie wzajemności i w zakresie, w jakim informacje te są potrzebne do wykonywania czynności bankowych, w tym oceny zdolności kredytowej i analizy ryzyka kredytowego; Celem art. 105 ust. 4 u.P.b. jest zatem nie tylko poinformowanie banku, który rozpatruje wniosek kredytowy, ale i przetwarzanie takiego zapytania przez określony czas i tym samym umożliwienie innemu bankowi (w związku z wnioskiem tej samej osoby złożonym w innym banku) otrzymanie informacji, czy wnioskodawca ubiegał się już o kredyt i z jakim skutkiem - co ma znaczenie do oceny zdolności i wiarygodności kredytowej dla innego banku. Przyjęcie jako właściwego stanowiska prezentowanego przez Prezesa UODO może ostatecznie doprowadzić do zakwestionowania wymiany informacji między bankami i BIK. Również obowiązki wynikające z art. 105a ust. 1 - 1c u.P.b. nie przestają istnieć wraz z wydaniem decyzji odmownej osobie wnioskującej o kredyt, a co za tym idzie, Bank i BIK są w dalszym ciągu objęte obowiązkiem przetwarzania danych w celu oceny zdolności kredytowej i analizy ryzyka kredytowego; 5) art. 6 ust. 1 lit. c RODO w zw. z art. 105 ust 1, 4 pkt 1, art. 5 ust. 1 pkt 3 i art. 70 ust 1 u.P.b. w zw. z art. 9 ust 2, 3 i 4 u.k.k. - przez ich niewłaściwe zastosowanie oraz nieuzasadnione przyjęcie, że Bank nie legitymuje się przesłanką przetwarzania danych, gdy cel przetwarzania danych polega na dostarczaniu Bankowi przez BIK informacji (w tym ocen i modeli scoringowych) niezbędnych do wykonywania czynności bankowych (art. 5 ust. 1 pkt 3 u.P.b.), w tym udzielania kredytów, przy czym ocena zdolności kredytowej jest obowiązkiem banków (art. 70 u.P.b. w zw. z art. 9 ust. 2, 3 i 4 u.k.k.). Ponadto brak danych wynikających z decyzji kredytowych wpłynąłby negatywnie na funkcjonujące i przyszłe modele scoringowe; 6) art. 6 ust. 1 lit. c RODO w zw. z art. 144 ust. 1 lit. d, art. 145 ust. 1, art. 170 ust. 3 lit. a, art. 171 ust. 2 i art. 179 ust. 1 lit. a, 181 ust. 2 CRR; w zw. z art. 105 ust. 4 pkt 1 u.P.b. oraz art. 105a ust. 4 u.P.b. - przez ich niewłaściwe zastosowanie i przyjęcie, że Bank nie legitymuje się przesłanką przetwarzania danych, wynikającą z art. 6 ust. 1 lit. c RODO w związku z ww. przepisami CRR, wskazującymi na określone obowiązki banków w zakresie wymogów ostrożnościowych i nakładają na Bank obowiązek tworzenia zaawansowanych modeli statystycznych z wykorzystaniem wszystkich istotnych i aktualnych informacji, natomiast Bank obowiązany jest do zachowania spójności modelu. Usunięcie danych osobowych Uczestnika w trakcie trzyletniego okresu ich przetwarzania na podstawie przepisów CRR prowadziłoby zaś do naruszenia tego obowiązku; 7) art. 6 ust. 1 lit. c RODO w zw. z art. 106d u.P.b. w zw. z art. 33 ust. 2, art. 33 ust. 3 pkt 6, art. 34 ust. 1 pkt 4, art. 36, art. 46 i art. 49 ust. 1 AML - przez ich niewłaściwe zastosowanie i nieuzasadnione przyjęcie, że Bank nie legitymuje się przesłanką przetwarzania danych wynikającą z ww. przepisów, które nakładają na Bank obowiązek przetwarzania informacji, w tym danych osobowych, w celu zapewnienia bezpieczeństwa obrotu gospodarczego, przez przeprowadzenie szczegółowego badania na temat klientów, w tym przyszłych klientów, jak i badania powiązań kapitałowo-osobowych; 8) art. 6 ust. 1 lit. c) RODO w zw. z art. 70a ust. 1 i 2 u.P.b. - przez niewłaściwe zastosowanie, a w konsekwencji nieuzasadnione przyjęcie, że art. 6 ust. 1 lit. c) RODO w zw. z art. 70a ust. 1 i 2 u.P.b. nie stanowi podstawy przetwarzania danych Uczestnika, skoro dotychczas nie był zainteresowany realizacją prawa do domagania się wyjaśnień dotyczących dokonanej przez Bank oceny zdolności kredytowej i musi liczyć się z tym, że po usunięciu danych, realizacja tego prawa nie będzie możliwa; tymczasem argumentacja w tym zakresie jest oparta na błędnym i nieuprawnionym założeniu, że usunięcie danych na żądanie Uczestnika zwalnia Bank z obowiązku udzielenia wyjaśnień dotyczących dokonanej oceny zdolności kredytowej; co nie wynika z art. 70a ust. 1 i 2 u.P.b., a ponadto obowiązek Banku w ww. przepisach nie jest ograniczony w czasie. Wykonanie tego obowiązku i udzielenie Uczestnikowi informacji podanych w art. 70a ust. 1 i 2 u.P.b. nie będzie możliwe, jeżeli dane osobowe zostaną usunięte, co przyznał Prezes UODO; 9) art. 6 ust. 1 lit. f RODO w zw. z art. 117 § 2 i § 21, art. 118 i art. 119 k.c. - przez jego niewłaściwe zastosowanie i przyjęcie, że przechowywanie danych przez okres przedawnienia roszczeń nie stanowi prawnie uzasadnionego interesu Banku w rozumieniu art. 6 ust. 1 lit. f) RODO, skoro w momencie wydawania decyzji ani Bank, ani Uczestnik nie zgłosili jeszcze roszczeń, gdy ww. przepisy uprawniają Bank do przetwarzania danych osobowych w celu rozpatrywania i dochodzenia ewentualnych reklamacji lub roszczeń – również gdy ani administrator danych osobowych, ani osoba, której dane dotyczą, nie zgłosiła jeszcze reklamacji lub roszczenia; 10) art. 6 ust. 1 lit. f RODO w związku z Rekomendacjami KNF - S, W i T - przez ich niewłaściwe zastosowanie i przyjęcie, że Bank nie legitymuje się przesłanką przetwarzania danych, gdy przepisy te nakładają na banki określone wymagania w związku z budową modeli statystycznych (w tym scoringowych), które następnie podlegają egzekwowaniu przez KNF na podstawie bezwzględnie obowiązujących przepisów prawa. Bank w uzasadnieniu skargi przedstawił argumentację na poparcie zarzutów. BIK w skardze zarzucił ww. decyzji Prezesa UODO naruszenie: 1) art. 6 ust. 1 lit. c RODO w zw. z art. 105 ust. 1 pkt 1c i ust. 4 w zw. z art. 105a, art. 70 i art. 5 ust. 1 pkt 3 u.P.b. - przez ich niezastosowanie i niezasadne przyjęcie, że BIK nie ma podstawy prawnej do przetwarzania danych zawartych w ww. zapytaniu kredytowym, gdy nie zawarto umowy kredytowej - gdy BIK jest ustawowo zobowiązany do realizacji obowiązku prawnego wynikającego z ww. przepisów, polegającego na gromadzeniu, przetwarzaniu i udostępnianiu bankom i podmiotom szczegółowo wskazanym informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych w postaci oceny zdolności kredytowej i analizy ryzyka kredytowego klienta (indywidualna ocena zdolności kredytowej) i w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej CRR; 2) ewentualnie, na wypadek nieuwzględnienia tego zarzutu, zarzucił naruszenie art. 6 ust. 1 lit. f RODO - przez jego niezastosowanie wskutek przyjęcia, że BIK nie ma podstawy prawnej przetwarzania danych Uczestnika opartej na prawnie uzasadnionym interesie administratora i podmiotów trzecich wskazanych w art. 105 ust. 4 pkt 1-5 u.P.b. - realizacji obowiązku gromadzenia, przetwarzania i udostępnienia bankom i podmiotom wskazanym w tym przepisie informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych w postaci indywidualnej oceny zdolności kredytowej i analizy ryzyka kredytowego, w celu budowy i utrzymania modeli scoringowych (narzędzi wykorzystywanych przez banki do oceny zdolności kredytowej i analizy ryzyka kredytowego) oraz w związku ze stosowaniem metod wewnętrznych i innych metod i modeli, o których mowa w części trzeciej CRR; 3) art. 6 ust. 1 lit. c RODO w zw. z art. 70a i art. 105 ust. 4 pkt 1 i 2 oraz w zw. z art. 105a u.P.b. - przez jego niezastosowanie wskutek uznania, że BIK nie ma podstawy prawnej do przetwarzania danych Uczestnika, gdy nie zawarto umowy kredytowej - gdy BIK posiada podstawę prawną przetwarzania, z uwagi na niezbędność przetwarzania do wykonania obowiązku prawnego przez banki i BIK - obowiązek przekazania osobie ubiegającej się o kredyt w formie pisemnej na jego wniosek wyjaśnień dotyczących dokonanej oceny zdolności kredytowej; 4) art. 6 ust. 1 lit. c RODO w zw. z art. 106d ust. 1 pkt 3 u.P.b. w zw. 39 ust. 1 w zw. z art. 33 ust. 2, art. 33 ust. 3 pkt 6, art. 34 ust. 1, art. 36 ust. 1 oraz art 49 ust. 1 AML w zw. z 105 ust. 1 lit. 1c i ust. 4 u.P.b. - przez ich niezastosowanie w skutek przyjęcia, że na BIK nie ciążą obowiązki wynikające z AML, gdy nie doszło do zawarcia umowy kredytowej między Uczestnikiem a Bankiem - gdy przepisy te nakładają na banki, jako instytucje obowiązane, a pośrednio na BIK, jako podmiot wspierający banki, obowiązek przetwarzania danych osobowych, w celu zapewnienia bezpieczeństwa obrotu gospodarczego - przez przeprowadzenie szczegółowego badania na temat klientów, w tym przyszłych klientów, jak i badania powiązań kapitałowo-osobowych, w tym także wtedy gdy pomiędzy Uczestnikiem a Bankiem nie zawarto umowy kredytowej; 5) art. 6 ust. 1 lit. e RODO - przez jego niezastosowanie wskutek uznania, że BIK nie ma podstawy prawnej do przetwarzania danych Uczestnika, gdy nie zawarto umowy kredytowej, a BIK posiada podstawę prawną przetwarzania, z uwagi na niezbędność przetwarzania do realizacji zadania w interesie publicznym przez banki i BIK - zabezpieczenie ekonomiczno-gospodarczego sektora bankowego, w tym depozytariuszy i zapewnienia stabilności ekonomiczno-gospodarczej sektora bankowego, a w ujęciu makro zapobieganiu kryzysom gospodarczym; 6) art. 6 ust. 1 lit. f RODO - przez jego niezastosowanie wskutek uznania, że przetwarzanie danych osobowych dla realizacji prawnie uzasadnionych interesów administratora danych, w celach zabezpieczenia roszczeń może dotyczyć wyłącznie roszczeń istniejących i aktualnie dochodzonych i w konsekwencji nieuzasadnione przyjęcie, że prawnie uzasadniony interes administratora danych nie istnieje w sytuacji konieczności przetwarzania danych osobowych do ochrony przed roszczeniami istniejącymi, ale nie dochodzonymi w chwili dokonywania oceny, gdy istotą uzasadnionego interesu administratora jest możliwość przetwarzania danych na wypadek konieczności obrony przed roszczeniami istniejącymi lub dochodzenia w przyszłości roszczeń istniejących, które w warunkach sprawy są związane z przetwarzaniem danych osobowych na potrzeby opracowania oceny scoringowej Uczestnika, niezbędnej do przeprowadzenia analizy zdolności kredytowej i analizy ryzyka kredytowego, które BIK zobowiązany jest gromadzić, przetwarzać i udostępniać bankom i instytucjom ustawowo upoważnionym do udzielania kredytów dla realizacji celów ustawowych badania zdolności kredytowej; 7) art. 6 ust. 1 lit. f RODO - przez jego niezastosowanie wskutek uznania, że w przypadku braku zawarcia umowy kredytowej BIK nie posiada prawnie uzasadnionego interesu w przetwarzaniu danych Uczestnika, gdy istnieje prawnie uzasadniony interes BIK w przetwarzaniu tych informacji, pomimo nie zawarcia umowy kredytowej, polegający na realizacji działań z zakresu opracowania, utrzymania aktualności i funkcjonalności zbudowanych modeli scoringowych, w zgodzie z treścią Rekomendacji KNF (W, S i T) w zakresie dobrych praktyk i zarządzania ryzykiem kredytowym; 8) art. 6 ust. 1 lit. f RODO - przez jego niezastosowanie wskutek uznania, że BIK nie ma podstawy prawnej do przetwarzania danych Uczestnika, gdy BIK posiada podstawę prawną przetwarzania, z uwagi na konieczność zapewnienia rozliczalności działań BIK, jako administratora danych osobowych na zasadzie art. 5 ust. 2 RODO w postaci wykazania przestrzegania przepisów dotyczących jakości danych; 9) art. 7, art. 77 § 1 i art. 80 k.p.a. w zw. z art. 7 u.o.d.o. - przez niewyczerpujące zebranie, nierozpatrzenie i błędną ocenę całokształtu materiału dowodowego i w konsekwencji zaniechanie dokonania wyczerpującej analizy charakteru, zakresu i celów gospodarczo-ekonomicznych, do jakich powołano BIK i obowiązków prawnych i wynikających z zawartych przez BIK umów z bankami, co skutkowało wadliwą i niepełną oceną stanu faktycznego i charakteru działania BIK oraz nieuzasadnionym wydaniem nakazu usunięcia danych osobowych Uczestnika; 10) art. 7b, art. 7 i art. 77 k.p.a. w zw. z art. 7 u.o.d.o. - przez niezwrócenie się do KNF w celu kompleksowego wyjaśniania stanu faktycznego sprawy i współdziałania w zakresie niezbędnym do dokładnego wyjaśnienia stanu prawnego, mając na względzie interes społeczny i słuszny interes obywateli (ustalenia należytych zasad, celów i zakresu przetwarzania danych osobowych o niezrealizowanych zapytaniach kredytowych) tak, by procesy przetwarzania danych czyniły zadość przepisom prawa o ochronie danych osobowych, jak i przepisom szeroko pojętego prawa bankowego - dla zapewnienia ochrony wartości, których gwarancje ochrony wynikają z ww. przepisów, zgodnie z zasadą proporcjonalności; 11) art. 7, art. 77 § 1 i art. 80 k.p.a. - przez zaniechanie dokonania oceny Rekomendacji KNF (S, W i T), które to nakładają na banki i BIK (instytucję gromadzącą dane służące do oceny zdolności kredytowej i budującą modele scoringowe służące bankom) określone wymagania, które podlegają nadzorowi i egzekwowaniu przez KNF, na podstawie bezwzględnie obowiązujących przepisów prawa, co doprowadziło do zaniechania przez organ oceny podstaw prawnych i celów, dla jakich BIK i banki są upoważnione do przetwarzania danych w zakresie zdolności kredytowej również w przypadku nie zawarcia umowy kredytowej dla zabezpieczenia interesów banków oraz stabilności rynku gospodarczo-finansowego; 12) art. 7, art. 77 w zw. z art. 80 k.p.a. - przez zaniechanie wyczerpującego zebrania i rozpatrzenia materiału dowodowego, przejawiające się w szczególności brakiem dokonania analizy podstawowych zasad funkcjonowania stabilnego sektora finansowego w tym pod kątem istnienia - po stronie banków, a w konsekwencji BIK jako instytucji gromadzącej dane służące do oceny zdolności kredytowej oraz budującej modele scoringowe służące bankom - oczywistego interesu prawnego przejawiającego się w odmowie udzielenia kredytu wynikającego z braku istnienia zdolności kredytowej po stronie Uczestnika, co prowadzi do zabezpieczenia interesu banków przed nieodpowiedzialną polityką udzielania kredytów osobom, które nie mają szans na ich spłacenie i do zapewnienia stabilności gospodarczo-ekonomicznej sektora bankowego, a w ujęciu makro zapobieganiu kryzysom gospodarczym; 13) art. 7, art. 77 w zw. z art. 80 i art. 107 § 3 k.p.a. w zw. z art. 7 ust. 1 u.o.d.o. - przez niezbadanie wszystkich wskazanych przez BIK podstaw prawnych przetwarzania danych osobowych Uczestnika, niewystarczające wyjaśnienia podstaw prawnych decyzji oraz brak oceny istotnych okoliczności sprawy, co w konsekwencji doprowadziło do błędnego nakazania BIK usunięcia przetwarzanych danych osobowych Uczestnika oraz uniemożliwiło BIK zapoznanie się z powodami braku uznania wskazanych przez BIK podstaw przetwarzania. BIK w uzasadnieniu skargi przedstawił argumentację na poparcie zarzutów. 3. Prezes UODO w odpowiedziach na ww. skargi wniósł o ich oddalenie, podtrzymując stanowisko zaprezentowane w zaskarżonej decyzji. 4. Wojewódzki Sąd Administracyjny w Warszawie na posiedzeniu 5 czerwca 2024r., na podstawie art. 111 § 2 ustawy z 30 sierpnia 2002r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2023r., poz. 1634 ze zm., zwana dalej "P.p.s.a.") zarządził połączenie sprawy o sygn. akt II SA/Wa 2102/23 (ze skargi BIK) ze sprawą o sygn. akt II SA/Wa 2081/23 (ze skargi Banku) w celu ich łącznego rozpoznania i rozstrzygnięcia oraz zarządził ich prowadzenie pod wspólną sygn. akt II SA/Wa 2081/23. II. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje. 1. Skargi są nieuzasadnione, gdyż zaskarżona decyzja Prezesa UODO zarówno w części dotyczącej rozstrzygnięcia zawartego w punkcie 1, jak i w punkcie 2, nie narusza prawa w stopniu umożliwiającym jej uchylenie. 2. Sąd, dokonując oceny zgodności z prawem zaskarżonej decyzji, wskazuje, że zgodnie z motywem 40 RODO, aby przetwarzanie danych było zgodne z prawem, to powinno się odbywać na podstawie zgody osoby, której dane dotyczą, lub na innej uzasadnionej podstawie, prawem przewidzianej: albo w RODO, albo w innym akcie prawnym Unii lub w prawie państwa członkowskiego, o których mowa w RODO, w tym musi się ono odbywać z poszanowaniem obowiązku prawnego, któremu podlega administrator, lub z poszanowaniem umowy, której stroną jest osoba, której dane dotyczą, lub w celu podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy. W świetle RODO, przetwarzanie danych osobowych uważa się za legalne, jeśli ich administrator spełni co najmniej jedną z przesłanek wskazanych w art. 6 ust. 1 tego aktu, a mianowicie: a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów, b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy, c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze, d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą lub innej osoby fizycznej, e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi, f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności, gdy osoba, której dane dotyczą, jest dzieckiem. W świetle dowodów wynikających z akt sprawy nie budzi wątpliwości oraz nie było kwestionowane przez Prezesa UODO w zaskarżonej decyzji, że zarówno Bank, jak i BIK, były uprawnione do przetwarzania danych osobowych ww. Uczestnika, na podstawie art. 105a ust. 1 i art. 70 ust. 1 u.P.b., w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Zgodnie z art. 105a ust. 1 u.P.b., przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów, instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d u.k.k., a także instytucje utworzone na podstawie art. 105 ust. 4 u.P.b., informacji stanowiących tajemnicę bankową i informacji udostępnionych przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d u.k.k., w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem art. 104, art. 105 i art. 106-106d u.P.b., w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Zgodnie zaś z art. 105a ust. 4 u.P.b., banki oraz instytucje, o których mowa w art. 105 ust. 4, mogą przetwarzać stanowiące tajemnicę bankową informacje dotyczące osoby fizycznej po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której informacje dotyczą, do celów stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej CRR. Zgodnie z art. 105a ust. 5 u.P.b., przetwarzanie informacji stanowiących tajemnicę bankową w przypadkach, o których mowa w ust. 3, może być wykonywane przez okres nie dłuższy niż 5 lat od dnia wygaśnięcia zobowiązania, a w przypadku, o którym mowa w ust. 4, przez okres 12 lat od dnia wygaśnięcia zobowiązania. Stosownie zaś do art. 70 ust. 1 u.P.b., bank uzależnia przyznanie kredytu od zdolności kredytowej kredytobiorcy. Przez zdolność kredytową rozumie się zdolność do spłaty zaciągniętego kredytu wraz z odsetkami w terminach określonych w umowie. Kredytobiorca jest obowiązany przedłożyć na żądanie banku dokumenty i informacje niezbędne do dokonania oceny tej zdolności. Sąd, mając powyższe przepisy na względzie uznaje, że Prezes UODO trafnie przyjął, że Bank i BIK, na podstawie ww. przepisów, a w szczególności art. 105a ust. 1 u.P.b. w związku z art. 70 ust. 1 u.P.b., były uprawnione do przetwarzania danych osobowych Uczestnika, w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Sąd stwierdza ponadto, że spór w sprawie sprowadza się natomiast do odpowiedzi na pytanie, czy w sytuacji, w której nie doszło do zawarcia umowy kredytu między Uczestnikiem a Bankiem, istniała podstawa do przetwarzania przez Bank i BIK danych osobowych Uczestnika. W związku z tym należy wskazać, że według art. 105a ust. 2 u.P.b., z zastrzeżeniem ust. 3, instytucje, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową oraz informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d u.k.k., w zakresie dotyczącym osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d u.k.k., pod warunkiem uzyskania pisemnej zgody osoby, której informacje te dotyczą, z zastrzeżeniem ust. 2a. Zgoda ta może być w każdym czasie odwołana. Stosownie do art. 105a ust. 3 u.P.b. banki, instytucje oraz podmioty, o których mowa w art. 105a ust. 1 u.P.b., mogą przetwarzać informacje stanowiące tajemnicę bankową i informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d u.k.k., dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d u.k.k., bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d u.k.k., a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank, inną instytucję ustawowo upoważnioną do udzielania kredytów, instytucję pożyczkową albo podmiot, o którym mowa w art. 59d u.k.k., o zamiarze przetwarzania dotyczących tych informacji, bez zgody. Zgodnie z art. 105a ust. 4 u.P.b., banki oraz instytucje, o których mowa w art. 105 ust. 4, mogą przetwarzać stanowiące tajemnicę bankową informacje dotyczące osoby fizycznej po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której informacje dotyczą, do celów stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej CRR. Na mocy art. 105a ust. 5 u.P.b. przetwarzanie informacji stanowiących tajemnicę bankową w przypadkach, o których mowa w ust. 3, może być wykonywane przez okres nie dłuższy niż 5 lat od dnia wygaśnięcia zobowiązania, a w przypadku, o którym mowa w ust. 4, przez okres 12 lat od dnia wygaśnięcia zobowiązania. Stosownie do art. 105a ust. 6 u.P.b. zakres przetwarzanych informacji, o których mowa w ust. 3 i 4, może obejmować dane dotyczące osoby fizycznej lub dane dotyczące zobowiązania. Sąd, mając powyższe przepisy na względzie, podziela stanowisko Prezesa UODO wyrażone w zaskarżonej decyzji, że skoro nie doszło do zawarcia umowy kredytu z ww. Uczestnikiem przez Bank, to odpadła przesłanka legalizująca dalsze przetwarzanie danych osobowych Uczestnika. Wbrew bowiem zarzutom obu skarg, przepis art. 105a u.P.b., w tym ust. 1, 1a, 1b, 1c, określa warunki dopuszczalności zautomatyzowanego przetwarzania, w tym profilowania danych osobowych w celu oceny zdolności kredytowej i analizy ryzyka kredytowego oraz nie daje podstaw do dalszego przetwarzania danych Uczestnika po zakończeniu oceny zdolności kredytowej i analizy ryzyka kredytowego, gdy umowy nie zawarto. Na podstawie ww. przepisów Bank, a także BIK nie ma więc uprawnienia do dalszego przetwarzania ww. danych osobowych Uczestnika, albowiem umów kredytowych w związku z ww. zapytaniami kredytowymi nie zawarto i tym samym nie wykazano przesłanki legalizującej działanie przetwarzania. Powołane przepisy art. 105a u.P.b. dotyczą bowiem przetwarzania informacji objętych tajemnicą bankową w okresie jedynie przed powstaniem zobowiązania, w trakcie jego trwania oraz po wygaśnięciu zobowiązania. W sytuacji natomiast, gdy w następstwie złożenia wniosku kredytowego nie dochodzi do zawarcia umowy kredytowej z bankiem – zobowiązanie nie powstaje – to brak jest podstaw prawnych - ustawowych przesłanek do odwołania się do art. 105a u.P.b., a tym samym do zalegalizowania dalsze przetwarzanie przez Bank oraz BIK w stanie faktycznym sprawy danych osobowych potencjalnego klienta (Uczestnika). Ocena zdolności kredytowej i ryzyka kredytowego ma charakter czynności wstępnych, które w rozpoznawanej sprawie nie doprowadziły do zawarcia umowy przez Bank. W związku z tym dalsze przetwarzanie danych osobowych Uczestnika, które uzyskano jedynie w celu oceny zdolności kredytowej, gdy nie doszło do zawarcia stosownej umowy, pozostawałoby w oderwaniu od celu, dla którego dane te uzyskano. Prawidłowe było zatem przyjęcie przez Prezesa UODO, że w takim przypadku niedopuszczalne było przetwarzanie danych osobowych Uczestnika na przyszłość, a także na potrzeby budowy oceny zdolności kredytowej innych podmiotów, gdy nie można zrekonstruować wyraźnej podstawy prawnej takich działań BIK i Banku. Zarówno Bank, jak i BIK w sposób nieuprawniony próbuje rozszerzyć stosowanie art. 105a ust. 1 u.P.b. na sytuacje, w których nie dochodzi do zawarcia umowy, a dane osobowe osoby wnioskującej o kredyt są przetwarzane w celu oceny ryzyka kredytowego. Sąd nie neguje, że ocena ryzyka kredytowego jest obowiązkiem banku. Instrumenty służące dokonaniu takiej oceny przez banki muszą jednak być stosowane z poszanowaniem przepisów prawa normujących uprawnienie banków do przetwarzania danych osobowych potencjalnych klientów. Słusznie zatem zauważa Prezes UODO, że prezentowana przez skarżących wykładnia art. 105a ust. 1 u.P.b. prowadziłaby do wniosku, że na potrzeby oceny zdolności kredytowej i analizy ryzyka kredytowego banki lub inne podmioty wymienione w tym przepisie byłyby uprawnione do przetwarzania danych osobowych potencjalnych klientów bez żadnego ograniczenia czasowego, mimo że nie zawarto umowy o kredyt. W przypadku zaś, gdyby doszło do zawarcia umowy banki byłyby uprawnione do przetwarzania danych osobowych po wygaśnięciu zobowiązania, bez zgody osoby, której informacje dotyczą, przez okres wskazany w art. 105a ust. 5 u.P.b. Takiego stanowiska zaakceptować nie sposób. Skoro bowiem ustawodawca w art. 105a ust. 1 u.P.b. nie wskazał okresu, przez, jaki mogą być przetwarzane informacje stanowiące tajemnicę bankową, a w art. 105a ust. 5 u.P.b. wskazał takie okresy w odniesieniu do sytuacji, w których wygasło zobowiązanie, to nie oznacza to, że okres przetwarzania tych informacji, w sytuacji gdy nie doszło do zawarcia umowy, jest nieograniczony. Przetwarzanie danych osobowych w oparciu o art. 105a ust. 1 u.P.b. jest uprawnione w odniesieniu do konkretnego zapytania kredytowego. Jeżeli nie dochodzi do zawarcia umowy, to uprawnienie do przetwarzania danych osobowych w oparciu o ten przepis wygasa. Powyższe stanowisko znajduje potwierdzenie w wyroku Naczelnego Sądu Administracyjnego z 27 lipca 2019r. sygn. akt I OSK 2567/17 (orzeczenia.nsa.gov.pl). W orzeczeniu tym podniesiono, że celem oceny zdolności kredytowej i analizy ryzyka kredytowego w odniesieniu do konkretnego klienta jest zawarcie umowy kredytowej na określonych warunkach. Skoro do niej nie dochodzi wskutek tej czynności banku, to nie ma podstaw prawnych do dalszego ich przechowywania. Gdyby podzielić stanowisko Banku, że pozyskanie danych na etapie złożenia wniosku kredytowego uprawnia bank do ich nieograniczonego w czasie przechowywania po odmowie zawarcia umowy kredytowej, to regulacje zawarte w art. 105 a ust. 2 i 3 i ust. 5 u.P.b., ograniczające w czasie przypadki przetwarzania danych klientów z umów kredytowych, pozbawione byłyby sensu. Skoro celem przetwarzania była ocena zdolności kredytowej i analizy ryzyka kredytowego, to cel ten odpadł z momentem jej dokonania. W przypadku osób, z którymi zawarto umowę kredytową, istnieje podstawa do dalszego ich przetwarzania, a w stosunku do tych, z którymi nie zawarto umowy, takiej podstawy nie sposób wywieść ani z przepisów obowiązującej wówczas ustawy, ani u.P.b. Pogląd ten wyrażony został wprawdzie na gruncie poprzednio obowiązującej u.o.d.o. sprzed wprowadzenia przepisów RODO, jednakże - w ocenie Sądu - nie stracił na aktualności. Przepisy RODO wzmacniają jeszcze, w porównaniu z Dyrektywą 95/46, ochronę danych osób fizycznych. Aktualności tego poglądu Naczelnego Sądu Administracyjnego nie zmienia także fakt, że BIK i Bank, przyjęły w swej praktyce określone terminy dalszego przetwarzania danych osobowych osoby, z którą nie zawarto umowy kredytu. Zdaniem Sądu, niezasadny jest również zarzut naruszenia art. 6 ust. 1 lit. c RODO w związku z art. 105 ust. 1 pkt 1c i w związku z art. 105 ust. 4 u.P.b. Bank, zgodnie z art. 105 ust. 1 pkt 1c u.P.b., ma obowiązek udzielenia informacji stanowiących tajemnicę bankową wyłącznie instytucjom, o których mowa w ust. 4, w zakresie niezbędnym do stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w przepisach części trzeciej CRR. Natomiast z art. 105 ust. 4 u.P.b. wynika, że banki mogą, wspólnie z bankowymi izbami gospodarczymi, utworzyć instytucje upoważnione do gromadzenia, przetwarzania i udostępniania, m.in. bankom oraz innym podmiotom określonym w tym przepisie, informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej CRR. W ocenie Sądu, przepis art. 105 ust. 4 u.P.b. jest przepisem o charakterze ogólnym, który nie nakłada na Bank obowiązku korzystania z zewnętrznej bazy zawierającej informacje o wnioskach z sektora bankowego oraz sektora pożyczkowego, a jedynie stanowi o możliwości utworzenia wspólnie z bankowymi izbami gospodarczymi, instytucji upoważnionych do gromadzenia, przetwarzania i udostępniania danych, a w konsekwencji nie daje podstaw do nieograniczonego przetwarzania wszelkich danych osobowych przez utworzone instytucje. Zasady przetwarzania danych objętych tajemnicą bankową określa art. 105a u.P.b., o którym mowa wyżej i który wskazuje na możliwość uznania za podstawę przetwarzania danych osobowych. Na gruncie tego przepisu należy oceniać zatem dopuszczalność przetwarzania poszczególnych danych osobowych, w określonych ściśle celach. Podstawy prawnej przetwarzania danych osobowych w rozpoznawanej sprawie nie mógł stanowić zatem art. 105 ust. 4 u.P.b. samodzielnie ani też w powiązaniu z art. 105 ust. 1 pkt 1c u.P.b. Sąd w związku z tym uznaje, że przesłanka z art. 6 ust. 1 lit. c RODO nie znajduje zastosowania w okolicznościach faktycznych sprawy. Przepis ten dotyczy bowiem sytuacji, gdy przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego administratora danych, a nie realizacji uprawnienia, o którym mowa w art. 105 ust. 4 u.P.b. Ponadto art. 105 ust. 4 u.P.b. nie stanowi o dopuszczalności przetwarzania danych osobowych dotyczących wniosków kredytowych w sytuacji, gdy nie doszło do zawarcia umowy z bankiem. Uznanie takiego procesu przetwarzania danych za legalny wymaga podstawy prawnej, której nie stanowią regulaminy ani umowy zawierane między poszczególnymi instytucjami a bankami. W ocenie Sądu, aktualny pozostaje pogląd wyrażony w wyroku NSA z 14 września 2005r. sygn. akt I OSK 39/05, wskazujący, że "Nie można zatem podzielić stanowiska, aby zezwalający na utworzenie instytucji zajmujących się szczególnym przetwarzaniem danych osobowych przepis stanowił zarazem podstawę do przetwarzania przez nie danych osobowych bez zgody osób, których dane dotyczą, gdyż nie tylko literalne brzmienie przepisu nie uzasadnia takiego przekazania, lecz i argumenty logiki prawniczej nie prowadzą do takiego wniosku. Nie można bowiem dowodzić, że w utworzonej zgodnie z prawem instytucji wolno działać w sposób, który sama uzna za odpowiadający jej celom, gdyż zezwolenie na utworzenie nie jest równoznaczne z zezwoleniem na działanie bez ograniczeń." Wprawdzie ww. wyrok NSA opiera się na innym brzmieniu art. 105 u.P.b., to istota poglądu wyrażonego przez NSA w odniesieniu do przetwarzania danych osobowych, jako instytucji utworzonej na podstawie art. 105 ust. 4 u.P.b., nie straciła na aktualności. Zmiana brzmienia art. 105 u.P.b. na przestrzeni lat, jakie minęły od czasu wydania ww. orzeczenia NSA, dodatkowo utwierdza w trafności poglądu wyrażonego przez NSA, a także trafności stanowiska Prezesa UODO zaprezentowanego w zaskarżonej decyzji, że gdy ani Bank, ani BIK nie wykazały przesłanki legalizującej dalsze przetwarzanie danych osobowych Uczestnika, po osiągnięciu pierwotnego celu przetwarzania - w postaci oceny zdolności kredytowej i ryzyka kredytowego – to konieczne było podjęcie przez Prezesa UODO czynności, o których mowa w pkt 1 i 2 zaskarżonej decyzji. Zdaniem Sądu na uwzględnienie nie zasługiwał też zarzut naruszenia art. 6 ust. 1 lit. f RODO w związku z przytoczonymi w skargach przepisami k.c. i w nawiązaniu do potrzeby przechowywania danych (zawartych w ww. zapytaniach kredytowych) Uczestnika - osoby, z którą nie zawarto umowy kredytowej - w celu ustalenia, dochodzenia i ochrony przed roszczeniami, ewentualnego zabezpieczenia roszczeń, na wypadek konieczności obrony lub dochodzenia ewentualnych roszczeń, które mogą się pojawić w określonym czasie po przeprowadzeniu stosownej analizy zdolności kredytowej oraz analizie ryzyka kredytowego. Przepis art. 6 ust. 1 lit. f RODO stanowi bowiem o uprawnieniu do przetwarzania danych, gdy jest ono niezbędne do celów wynikających z prawnie uzasadnionych interesów, realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności, gdy osoba, której dane dotyczą, jest dzieckiem. Za usprawiedliwiony cel w rozumieniu ww. przepisu art. 6 ust. 1 lit. f RODO nie może zostać uznane przetwarzanie danych osobowych na wypadek ewentualnego dochodzenia lub obrony roszczeń. Z akt sprawy nie wynika, aby Uczestnik, który zażądał usunięcia danych w zakresie ww. zapytań kredytowych, miał jakiekolwiek roszczenia na drodze cywilnoprawnej do Banku lub BIK. Z akt sprawy i wyjaśnień Banku nie wynika, aby ww. osoba posiadała w Banku zobowiązania (w tym także kredytowe), czy była posiadaczem rachunku osobistego lub innych produktów bankowych. Uczestnik natomiast jednoznacznie żądał usunięcia swoich danych osobowych, przetwarzanych, w jego ocenie, bez podstawy prawnej. W tym kontekście na uwzględnienie nie zasługiwały zarzuty o naruszeniu ww. przepisów prawa procesowego. Prezes UODO przed wydaniem zaskarżonej decyzji poczynił niezbędne w sprawie ustalenia faktyczne, jak również rozważył wszystkie wynikające z akt sprawy okoliczności faktyczne w kontekście obowiązujących i powołanych przez obu skarżących przepisów prawa, które mogły być brane pod uwagę. Z tego względu nie jest dopuszczalne przyjęcie, że naruszono w sprawie art. 7, art. 77, art. 80, art. 107 k.p.a. Prezes UODO trafnie też przyjął, że art. 6 ust. 1 lit. f RODO nie mógłby stanowić podstawy do dalszego przetwarzania przez Bank i BIK danych osobowych Uczestnika na wypadek ewentualnego dochodzenia przyszłych i niepewnych roszczeń. Warto też podnieść, że przepisy dotyczące przedawnienia dotyczą zobowiązań, a umowa kredytowa nie została zawarta z Uczestnikiem przez Bank, więc niemożliwe jest odwoływanie się do wskazanych w skargach przepisów art. 117 § 2 i § 21, art. 118 i art. 119 k.c. Wyjaśnić też należy, że w toku postępowania administracyjnego nie wykazano ponadto, ani nie wynika to ze skarg, jakich ewentualnie roszczeń możnaby dochodzić od osoby, która ostatecznie zażądała usunięcia swoich danych w zakresie ww. zapytań kredytowych osoby fizycznej, z którą nie zawarto umowy kredytowej. Z art. 3531 k.c. wynika zasada swobody umów. Strony mogą zatem w ramach autonomii woli kształtować stosunki cywilnoprawne mocą własnych decyzji. Przepis art. 3531 k.c. wskazuje na podstawowy element, jaki dla swobody umów obligacyjnych ma kompetencja stron w zakresie kształtowania treści zobowiązania. Umowy nie zawarto, zobowiązanie nie powstało. BIK i Bank nie wskazały, aby Uczestnik kierował do nich jakiekolwiek roszczenia (zażądał jedynie usunięcia własnych danych osobowych, w związku z tym, że ustał cel ich przetwarzania). Ważąc interesy Uczestnika, który żądał respektowania swoich praw do ochrony danych osobowych, wynikających z RODO, jak również uwzględniając interesy Banku oraz BIK, w sytuacji, gdy nie zawarto umowy kredytowej, należało więc uznać, że nie było podstaw do przyjęcia, że spełniona została przesłanka z art. 6 ust. 1 lit. f RODO. Sąd podziela pogląd Naczelnego Sądu Administracyjnego, zgodnie z którym niedopuszczalne jest przetwarzanie danych osobowych niejako "na zapas" z założeniem, że mogą być one ewentualnie przydatne w przyszłości, na przykład z odwołaniem się do przepisów dotyczących przedawnienia roszczeń (por. wyrok NSA z 27 marca 2018r. sygn. akt I OSK 1459/16, orzeczenia.nsa.gov.pl). Wywodzenie zatem także z kwestii przedawnienia roszczeń samodzielnej podstawy do przetwarzania danych – w sytuacji, gdy mowa o danych osoby, z którą Bank nie zawarł umowy kredytowej - nie jest uprawnione i nie stanowi przesłanki do ich dalszego przetwarzania. Niezasadne są też zarzuty dotyczące naruszenia art. 6 ust. 1 lit. c RODO w związku z art. 106d u.P.b., jak i w związku z przepisami AML (art. 33 ust. 1 - 3, art. 34 ust. 36, 46, 49). Zgodnie z art. 106d ust. 1 u.P.b., banki, inne instytucje ustawowo upoważnione do udzielania kredytów, izby rozliczeniowe utworzone na podstawie art. 67, instytucje utworzone na mocy art. 105 ust. 4 u.P.b., instytucje pożyczkowe, podmioty, których podstawowa działalność polega na udostępnianiu składników majątkowych na podstawie umowy leasingu, oraz podmioty, o których mowa w art. 59d u.k.k., mogą przetwarzać i wzajemnie udostępniać informacje, w tym informacje objęte tajemnicą bankową, w przypadkach: 1) uzasadnionych podejrzeń, o których mowa w art. 106a ust. 3; 2) uzasadnionych podejrzeń popełnienia przestępstw dokonywanych na szkodę banków, innych instytucji ustawowo upoważnionych do udzielania kredytów, instytucji kredytowych, instytucji finansowych, instytucji pożyczkowych oraz podmiotów, o których mowa w art. 59d u.k.k., i ich klientów, w celu i zakresie niezbędnym do zapobiegania tym przestępstwom; 3) wykonywania obowiązków w zakresie określonym w przepisach o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu. Art. 106a ust. 3 u.P.b., do którego odwołano się w art. 106d ust. 1 pkt 1 u.P.b., stanowi, że w przypadku powzięcia uzasadnionego podejrzenia, że zgromadzone na rachunku bankowym środki, w całości lub w części pochodzą lub mają związek z przestępstwem skarbowym lub przestępstwem innym niż przestępstwo, o którym mowa w art. 165a lub art. 229 Kodeksu karnego, bank jest uprawniony do dokonania blokady środków na tym rachunku. Blokada może nastąpić wyłącznie do wysokości zgromadzonych na rachunku środków, co do których zachodzi takie podejrzenie. Z materiału dowodowego sprawy, w tym z wyjaśnień stron udzielonych w toku postępowania administracyjnego, nie wynika, aby w rozpoznawanej sprawie któryś z powyższych przypadków miał miejsce, w szczególności, aby występowało "uzasadnione podejrzenie", co do okoliczności określonych w ww. przepisach. Przepis art. 33 ust. 1 AML na instytucje obowiązane nakłada obowiązek m.in. stosowania wobec swoich klientów środków bezpieczeństwa finansowego, których zakres (katalog) znajduje się w art. 34 AML. Art. 34 ust. 1 AML odnosi się m.in. do bieżącego monitorowania stosunków gospodarczych klienta (w tym analizę transakcji przeprowadzanych w ramach stosunków gospodarczych, badanie źródła pochodzenia wartości majątkowych będących w dyspozycji klienta - w przypadkach uzasadnionych okolicznościami, zapewnienie, że posiadane dokumenty, dane lub informacje dotyczące stosunków gospodarczych są na bieżąco aktualizowane). Art. 35 AML wskazuje sytuacje, w których bank jest obowiązany stosować środki bezpieczeństwa finansowego, natomiast art. 36 AML dotyczy kwestii identyfikacji klienta. Na podstawie art. 49 ust. 1 AML, kopie dokumentów i informacje uzyskane w wyniku stosowania środków bezpieczeństwa finansowego, a także dowody potwierdzające przeprowadzone transakcje i ewidencje transakcji, obejmujące oryginalne dokumenty lub kopie dokumentów konieczne do identyfikacji transakcji, przechowuje się przez okres 5 lat licząc od pierwszego dnia roku następującego po roku, w którym zakończono stosunki gospodarcze z klientem, lub w którym przeprowadzono transakcje okazjonalne. W przypadku dokonania analizy przeprowadzonej transakcji i udokumentowania jej analizy, zgodnie z art. 34 ust. 3 AML, instytucja pożyczkowa na mocy art. 49 ust. 2 AML jest obowiązana do przechowywania jej wyników przez okres 5 lat, licząc od pierwszego dnia roku następującego po roku ich przeprowadzenia. Z ww. przepisów wynika uprawnienie do monitorowania stosunków gospodarczych klienta i stosowania odpowiednich środków bezpieczeństwa finansowego. Nie ma jedna odniesienia do stanu faktycznego sprawy, gdyż nie doszło do zawarcia umowy kredytowej. Żaden ze skarżących podmiotów nie wskazał, jakie działania (w sferze stosunków gospodarczych niedoszłego klienta, osoby, z którą nie zawarto umowy kredytowej) chciałby monitorować. Nie jest dla Sądu działaniem zrozumiałym powoływanie się w kontekście ww. przepisów, na konieczność monitorowania niedookreślonych stosunków gospodarczych między Bankiem a osobą, z którą umowy kredytowej nie zawarto i która nadto, klientem Banku nie jest. Ogólne twierdzenia o celu w postaci zapewnienia bezpieczeństwa obrotu gospodarczego nie mogą stanowić – w stanie faktycznym sprawy – podstawy legalizującej rozszerzanie podstaw i celów przetwarzania danych osobowych Uczestnika. Z akt sprawy i zebranych przez Prezesa UODO wyjaśnień nie wynika, aby Uczestnika łączyły stosunki gospodarcze z Bankiem, a nadto, aby Bank powziął podejrzenia, czy stwierdził próbę manipulacji. Art. 2 ust. 2 pkt 2 AML stanowi, że przez stosunki gospodarcze rozumie się stosunki instytucji obowiązanej z klientem związane z działalnością zawodową instytucji obowiązanej, które w chwili ich nawiązywania wykazują cechę trwałości. Z akt sprawy nie wynika, aby Uczestnik był klientem Banku w rozumieniu art. 2 ust. 2 pkt 2 AML. W przypadku braku nawiązania stosunków gospodarczych pomiędzy Bankiem a ww. osobą fizyczną (Uczestnikiem) brak jest zdarzeń wymienionych w art. 49 ust. 1 AML, tj. zakończenia stosunków gospodarczego z klientem lub przeprowadzenia transakcji okazjonalnej, od wystąpienia których można dopiero liczyć wskazany w ww. przepisie termin przetwarzania danych osobowych. Zdaniem Sądu, rozszerzanie zatem przez podmioty skarżące dopuszczalności przetwarzania danych (zawartych w ww. zapytaniach kredytowych) osoby fizycznej, z którą nie zawarto umowy kredytowej, z powołaniem się na zapewnienie bezpieczeństwa finansowego w przypadku nawiązywania stosunków gospodarczych, a zatem szeroko rozumiane, ogólne cele, nie znajduje podstawy na gruncie RODO i jest wprost sprzeczne z zasadą ograniczenia celu (art. 5 ust. 1 lit. b RODO), gdy nie ma mowy o nawiązaniu stosunku zobowiązaniowego. Niezasadne są tym samym popodnoszone w skargach zarzuty naruszenia art. 6 ust. 1 lit. c RODO w zw. z art. 70a u.P.b. Zgodnie z art. 70a ust. 1 u.P.b., banki i inne instytucje ustawowo upoważnione do udzielania kredytów, na wniosek osoby fizycznej, prawnej lub jednostki organizacyjnej niemającej osobowości prawnej, o ile posiada zdolność prawną, ubiegającej się o kredyt, przekazują, w formie pisemnej, wyjaśnienie dotyczące dokonanej przez siebie oceny zdolności kredytowej wnioskującego. Zgodnie z art. 70 ust. 2 u.P.b. wyjaśnienie, o którym mowa w ust. 1, obejmuje informacje na temat czynników, w tym danych osobowych wnioskującego, które miały wpływ na dokonaną ocenę zdolności kredytowej. Powstanie więc obowiązku, o którym mowa w art. 70a ust. 1 u.P.b., uzależnione jest od złożenia stosownego wniosku przez osobę ubiegającą się o kredyt. Wniosek taki nie został złożony, a Uczestnik po odmownej decyzji kredytowej, wniósł o usunięcie swoich danych. W związku z odmową w tym zakresie, podjął też działania przed Prezesem UODO. Z akt sprawy i całokształtu okoliczności nie wynika ponadto, aby ww. osoba wystąpiła do Banku, czy BIK o jakiekolwiek wyjaśnienie dotyczące dokonanej oceny zdolności kredytowej. Wynika natomiast, że Uczestnik złożył żądanie usunięcia danych. Nie może być więc mowy o tym, aby w sprawie znajdował zastosowanie art. 70a ust. 1 i 2 u.P.b., uprawniający Bank do przetwarzania danych osobowych Uczestnika w związku z koniecznością ewentualnego wypełnienia obowiązku wynikającego z art. 70a ust. 1 i ust. 2 u.P.b. Nie jest też trafny zarzut skarg dotyczący naruszenia art. 6 ust. 1 lit. f RODO w związku z Rekomendacjami KNF (S, W i T). Rację miał bowiem Prezes UODO, wskazując w uzasadnieniu zaskarżonej decyzji, że rekomendacje KNF nie są źródłem prawa powszechnie obowiązującego. Nie ma przy tym podstaw, aby w stanie faktycznym sprawy, wywodzić z Rekomendacji KNF – wobec osoby, z którą nie zawarto umowy kredytowej i która zażądała usunięcia danych – prawnie uzasadnione interesy Banku (i BIK), o których jest mowa w art. 6 ust. 1 lit. f RODO. Rekomendacje KNF, które zawierają konkretne wymagania regulacyjne, wobec narzędzi używanych przez banki, nie powinny być interpretowane w sprzeczności z RODO w zakresie legalności przetwarzania danych (w zakresie zapytań kredytowych) osób, z którymi nie zawarto umów kredytowych. Ponadto nie można ich wykładać w sposób prowadzący do nieuprawnionego przetwarzania danych osobowych osób fizycznych, które nie nawiązały z bankiem stosunku umownego. Twierdzenie, że wypełnienie nakazu Prezesa UODO, w postaci usunięcia danych osobowych Uczestnika przetwarzanych niezgodnie z prawem, prowadziłoby do uniemożliwienia Bankowi realizacji Rekomendacji, nie daje podstaw do stwierdzenia o dopuszczalności "dalszego" przetwarzania na gruncie RODO danych zawartych w zapytaniu kredytowym osoby, z którą Bank umowy nie zawarł, a jednocześnie nie uzyskał zgody tej osoby na dalsze przetwarzanie jej danych osobowych w celach innych niż te, w jakich je zgromadził. Sąd wskazuje, że z powodów wyżej wskazanych niezasadne okazały się sformułowane w skardze BIK zarzuty naruszenia m.in. art. 6 ust. 1 lit. c RODO w zw. z art. 105 ust. 1 pkt 1c w zw. z art. 105 ust. 4 u.P.b. oraz w zw. z art. 105a i art. 70 i art. 5 ust. 1 pkt 3 u.P.b. Sąd w tym zakresie odwołuje się do przedstawionego wyżej stanowiska dotyczącego art. 105 ust. 4 u.P.b., uznając je za aktualne również wobec zarzutów BIK. Sąd podnosi ponadto, że art. 105 ust. 1 pkt 1c u.P.b. stanowi, że bank ma obowiązek udzielenia informacji stanowiących tajemnicę bankową wyłącznie instytucjom, o których mowa w ust. 4, w zakresie niezbędnym do stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w przepisach części trzeciej RCC. Przepis ten stanowi o obowiązku udzielania przez banki informacji, stanowiących tajemnicą bankową, BIK. Przepis ten nie odnosi się do przetwarzania danych przez BIK w zakresie niezbędnym do stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w przepisach części trzeciej CRR. O przetwarzaniu danych przez BIK w tym celu stanowi ww. art. 105a ust. 4 u.P.b., który, przypomnieć należy, uprawnia do tego BIK bez zgody osoby, której informacje dotyczą, ale "po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów". Umowa taka nie została zawarta z Uczestnikiem. Jak już wskazywano, art. 70 u.P.b. stanowi natomiast wyłącznie o badaniu przez banki zdolności kredytowej i nie zawiera regulacji dotyczących przetwarzania danych osobowych. Z kolei art. 5 ust. 1 pkt 3 u.P.b. wskazuje, że czynnością bankową jest udzielanie kredytów. Z tego wynika, że art. 105 ust. 4 u.P.b. nie mógł stanowić podstawy przetwarzania danych osobowych Uczestnika przez BIK zarówno samodzielnie, jak i w powiązaniu z art. 105 ust. 1 pkt 1c, art. 105a, art. 70 i art. 5 ust. 1 pkt 3 u.P.b. BIK w zarzutach wskazywał też na naruszenie art. 6 ust. 1 lit. f RODO w związku z art. 105 ust. 4 u.P.b. Argumentacja dotycząca art. 105 ust. 4 u.P.b., wskazująca na charakter tego przepisu, nie pozwala jednak z ww. podanych powodów, na uznanie, że przepis ten określa prawnie uzasadniony interes realizowany przez BIK lub przez stronę trzecią, a który mógłby być rozważny w kontekście art. 6 ust. 1 lit. f RODO. Tak jak podniesiono wyżej, sam w sobie art. 105 ust. 4 u.P.b. nie może stanowić podstawy prawnej przetwarzania danych osoby ubiegającej się o kredyt. W treści tego przepisu nie można więc poszukiwać prawnie usprawiedliwionego interesu w przetwarzaniu danych osobowych Uczestnika – osoby fizycznej, której w związku z zapytaniem kredytowym nie udzielono kredytu. Postawiony w tym kontekście zarzut naruszenia art. 6 ust. 1 lit. f RODO jest niezasadny. Na uwzględnienie nie zasługiwał również zarzut BIK dotyczący naruszenia art. 6 ust. 1 lit. c RODO w zw. z art. 70a u.P.b. w zw. z art. 105 ust. 4 pkt 1 i 2 u.P.b. Wyrażone wyżej stanowisko Sądu dotyczące art. 70a u.P.b., jako podstawy przetwarzania danych osobowych Uczestnika przez Bank, aktualne jest również w kontekście zarzutów sformułowanych przez BIK. Dodać jedynie należy, że art. 70a u.P.b. nakłada na banki i inne instytucje ustawowo upoważnione do udzielania kredytów obowiązek przekazywania osobie fizycznej ubiegającej się o kredyt wyjaśnień dotyczących dokonanej oceny zdolności kredytowej wnioskującego. Tego rodzaju obowiązku przepis ten nie nakłada na instytucje, o których mowa w art. 105 ust 4 u.P.b. Sąd, odnosząc się do zarzutu naruszenia art. 6 ust. 1 lit. e RODO, w kontekście argumentów podniesionych w skardze BIK, należy zauważyć, że przepis ten przewiduje dwie przesłanki legalizujące przetwarzanie danych osobowych. Może być ono niezbędne do wykonania zadania realizowanego w interesie publicznym lub niezbędne w ramach sprawowania władzy publicznej powierzonej administratorowi. W obu przypadkach zarówno zadanie, jak i sprawowanie władzy publicznej, muszą zostać sprecyzowane w przepisach, o których mowa w art. 6 ust. 3 RODO. Art. 6 ust. 3 RODO stanowi bowiem, że podstawa przetwarzania, o którym mowa w ust. 1 lit. c) i e), musi być określona: a) w prawie Unii lub b) w prawie państwa członkowskiego, któremu podlega administrator. Cel przetwarzania musi być określony w tej podstawie prawnej lub - w przypadku przetwarzania, o którym mowa w ust. 1 lit. e) - musi być ono niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi. Podstawa prawna może zawierać przepisy szczegółowe dostosowujące stosowanie przepisów RODO, w tym: ogólne warunki zgodności z prawem przetwarzania przez administratora; rodzaj danych podlegających przetwarzaniu; osoby, których dane dotyczą; podmioty, którym można ujawnić dane osobowe; cele, w których można je ujawnić; ograniczenia celu; okresy przechowywania oraz operacje i procedury przetwarzania, w tym środki zapewniające zgodność z prawem i rzetelność przetwarzania, w tym i w innych szczególnych sytuacjach związanych z przetwarzaniem, o których mowa w rozdziale IX. Prawo Unii lub prawo państwa członkowskiego muszą służyć realizacji celu leżącego w interesie publicznym, oraz być proporcjonalne do wyznaczonego, prawnie uzasadnionego celu. BIK powołał się w zakresie tej podstawy przetwarzania danych osobowych na rolę w zabezpieczeniu ekonomiczno-gospodarczego sektora bankowego, w tym depozytariuszy i zapewnienia stabilności ekonomiczno-gospodarczej sektora bankowego, a w ujęciu makro - zapobieganiu kryzysom gospodarczym. Podnieść w związku z tym należy, że w odróżnieniu od przesłanki z art. 6 ust. 1 lit. c – RODO w art. 6 ust. 3 nie wymaga się określenia w podstawie prawnej celu przetwarzania, a jedynie takiej jej konstrukcji, z której wynika niezbędność przetwarzania do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi (zob. E. Bielak-Jomaa (red.), D. Lubasz (red.), "RODO. Ogólne rozporządzenie o ochronie danych. Komentarz", Lex). Zdaniem Sądu, analizowane wyżej art. 70, art. 70a, art. 105 ust. 4 i art. 105a u.P.b. nie wskazują na niezbędność przetwarzania przez BIK danych osobowych osoby ubiegającej się o kredyt w sytuacji, w której nie doszło do zawarcia umowy. Zarzut naruszenia art. 6 ust. 1 lit. e RODO nie zasługiwał zatem na uwzględnienie. Nie jest również uzasadniony zarzut BIK, co do naruszenia art. 6 ust. 1 lit. f RODO przez nieuzasadnione przyjęcie, że prawnie uzasadniony interes administratora danych nie może opierać się na przesłance ewentualnego zabezpieczenia roszczeń oraz błędne uznanie, że wskutek braku zawarcia umowy kredytowej, BIK nie posiada prawnie uzasadnionego interesu w przetwarzaniu danych Uczestnika, gdy nie zawarto umowy kredytowej, polegający na realizacji działań z zakresu opracowania, utrzymania aktualności i funkcjonalności zbudowanych modeli scoringowych, w zgodzie z treścią Rekomendacji KNF (W, S i T) w zakresie dobrych praktyk zarządzania ryzykiem kredytowym. Kwestię zabezpieczenia roszczeń i ww. rekomendacji KNF omówiono wyżej, w odniesieniu do zarzutów podniesionych przez Bank. Zbędne jest zatem powtarzane tej argumentacji w odniesieniu do zarzutów BIK. Także powoływana potrzeba realizacji działań z zakresu opracowania, utrzymania aktualności i funkcjonalności zbudowanych modeli scoringowych, nie stanowi w stanie faktycznym sprawy podstawy przetwarzania – w odniesieniu do danych osoby, z którą nie zawarto umowy kredytowej – w celu wynikającym z prawnie uzasadnionych interesów BIK. Celem RODO, tak, jak poprzednio Dyrektywy 95/46/WE, jest ochrona prywatności, która powinna być rozpatrywana także w świetle art. 8 Konwencji o Ochronie Praw Człowieka i Podstawowych Wolności. W sprawie nie istnieje tego rodzaju powiązanie pomiędzy osobą, której dane dotyczą, a Bankiem, jak również pomiędzy tą osobą, a BIK, które pozwalałoby "wyprowadzić" istnienie prawnie uzasadnionego interesu po stronie BIK i Banku w dalszym przetwarzaniu danych osobowych Uczestnika. Z okoliczności sprawy nie wynika przy tym, aby osoba ta mogła spodziewać się w czasie, gdy pozyskiwano od niej dane, w celu oceny zdolności kredytowej i ryzyka kredytowego, że będą one dalej przetwarzane, pomimo nie zawarcia umowy kredytowej (motyw 47 RODO). Odnosząc się do argumentacji BIK w zakresie wykładni art. 6 ust. 1 lit. f RODO i możliwości jego zastosowania, w kontekście obowiązującej wcześniej przesłanki z art. 23 ust. 1 pkt 5 u.o.d.o., z powołaniem się na prezentowane w skardze poglądy doktryny, można zgodzić się, że użyte w art. 6 ust. 1 lit. f RODO pojęcie "interesu" jest pojęciem szerszym od pojęcia "celu" z art. 23 ust. 1 pkt 5 u.o.d.o. Nie zmienia to jednak tego, że jako prawnie uzasadniony interes administratora, na gruncie art. 6 ust. 1 lit. f RODO, nie może być rozumiana każda potrzeba wygenerowana przez danego administratora w związku z prowadzoną działalnością gospodarczą. Przyjęcie takiej koncepcji poddawałoby w wątpliwość funkcjonowanie wszystkich pozostałych przesłanek legalności przetwarzania danych ujętych w RODO, skoro sama potrzeba, pojawiająca się dynamicznie w ramach prowadzonej działalności gospodarczej (handlowej), czyniłaby dopuszczalnym przetwarzanie danych osobowych. Niewątpliwie ten prawnie uzasadniony interes administratora nie może pozbawiać jednostki prawa do dysponowania własnymi danymi osobowymi i ochrony prywatności. Z art. 7 lit. f nieobowiązującej już Dyrektywy 95/46/WE, którą u.o.d.o. implementowała (art. 23 ust. 1 pkt 5) wynika, że przetwarzanie danych jest konieczne dla potrzeb wynikających z uzasadnionych interesów administratora danych lub osoby trzeciej lub osobom, którym dane są ujawniane, z wyjątkiem sytuacji, kiedy interesy takie podporządkowane są interesom związanym z podstawowymi prawami i wolnościami osoby, której dane dotyczą, które gwarantują ochronę na podstawie art. 1 ust. 1. W ww. Dyrektywie mowa była zatem o uzasadnionych interesach administratora danych. Stąd też poglądy przywołane przez Prezesa UODO w decyzji, a prezentowane w orzecznictwie NSA z powołaniem się na tę przesłankę, nie straciły na aktualności. Warto też wskazać, że w orzecznictwie Trybunału Sprawiedliwości przyjmuje się – i pogląd ten prezentuje także Sąd rozpoznający niniejszą sprawę - że "Ze względu na to, że RODO uchyliło i zastąpiło dyrektywę 95/46, a właściwe przepisy tego rozporządzenia mają w istocie zakres identyczny, jak właściwe przepisy tej dyrektywy, orzecznictwo Trybunału dotyczące wspomnianej dyrektywy znajduje również co do zasady zastosowanie w odniesieniu do tego rozporządzenia" (por. wyrok Trybunału Sprawiedliwości z 17 czerwca 2021r., C-597/19, punkt 107). W okolicznościach faktycznych rozpoznawanej sprawy, to prawa i wolności osoby fizycznej, mają nadrzędny charakter nad interesami Banku i BIK, więc zarzut naruszenia art. 7 i art. 7b k.p.a. jest niezasadny. Celem udostępnienia danych osobowych przez osobę fizyczną było bowiem rozpatrzenie konkretnego wniosku kredytowego (cel był ściśle określony), zgodnie z przepisami u.P.b., o czym mowa wyżej. Nie daje to podstaw do dalszego przetwarzania danych "na przyszłość", po zakończeniu oceny zdolności kredytowej i analizy ryzyka kredytowego. Samo powołanie się na zasadę rozliczalności (art. 5 ust. 2 RODO) nie legalizuje przetwarzania jakichkolwiek danych. Konieczne jest bowiem, aby w pierwszej kolejności przetwarzanie danych było zgodne z prawem. Sąd, niezależnie zatem od zrozumienia argumentacji Banku i BIK, co do wskazywanych potrzeb, zamierzeń czy celów, jakie podmioty te chciałyby osiągnąć w działalności gospodarczej - przez dalsze przetwarzanie danych osobowych zawartych w zapytaniach kredytowych Uczestnika (osoby, z którą Bank umowy kredytowej nie zawarł), a które wskazano zarówno w postępowaniu przed organem, jak i w skargach do Sądu, przyjął, że zaskarżona decyzja Prezesa UODO w punkcie 1 i 2 nie narusza prawa. Cel przetwarzania legalnie zebranych danych osobowych Uczestnika - osoby fizycznej (zebranych w celu oceny zdolności kredytowej i analizy ryzyka kredytowego) ustał i nie wykazano innej podstawy prawnej, stanowiącej przesłankę do "dalszego" przetwarzania danych osobowych tej osoby fizycznej. W ocenie Sądu, niedopuszczalna jest interpretacja powołanych w skargach przepisów u.P.b., AML, k.c., CRR, która czyniłaby uprawnionym na gruncie RODO dalsze przetwarzanie danych osobowych zawartych w zapytaniu kredytowym osoby, z którą nie zawarto umowy (a zatem w celach innych niż cele, w jakich je zebrano), w sytuacji, gdy u.P.b. wyraźnie reguluje dopuszczalność przetwarzania danych osobowych przed powstaniem zobowiązania, w trakcie jego trwania i po wygaśnięciu. Przyjęcie interpretacji zaprezentowanej w skargach prowadziłoby do tego, że w odniesieniu do osób, których dane zawarte zostały w zapytaniu kredytowym, a z którymi nie zawarto umowy kredytowej, istniałaby pełna dowolność tak w zasadach ich przetwarzania - bez zgody osoby (jak należy wnioskować ze stanowisk Banku i BIK), bez informacji przedstawianej przed pozyskaniem danych o innych celach przetwarzania niż ocena zdolności kredytowej i ryzyka kredytowego, zarówno przez Bank jak i BIK - jak również dowolne ustalenia w odniesieniu do czasu ich przetwarzania (te kwestie byłyby bowiem i są, jak wynika z akt administracyjnych, tj. wyjaśnień Banku i BIK, ustalane samodzielnie przez te podmioty, z uwzględnieniem przyjmowanych przez nie celów służących, co do zasady spełnieniu, jak wskazywano w postępowaniu, określonych wymagań organu nadzoru nad rynkiem finansowym). Sytuacja osoby, która zwróciła się z zapytaniem kredytowym i z którą nie zawarto umowy kredytowej, jest z punktu widzenia ochrony danych osobowych, biorąc pod uwagę przepisy u.P.b., byłaby sytuacją "gorszą" niż sytuacja osoby, która zawarła umowę kredytową i jej zobowiązanie wygasło. W tym drugim bowiem przypadku, dla dalszego przetwarzania danych w BIK po wygaśnięciu zobowiązania wynikającego z danej umowy, niezbędna jest zgoda osoby, której dane dotyczą. Zgodę taką można nadto w każdym czasie odwołać. Podkreślenia wymaga, że w demokratycznym państwie prawnym nie jest dopuszczalne dowolne rozszerzanie uprawnień jakiegokolwiek podmiotu - ani organu władzy, ani spółki prawa handlowego, ani innego administratora w zakresie przetwarzania danych osobowych (art. 47, art. 51 Konstytucji RP). Dane osobowe mogą być przetwarzane co do zasady w celach, w jakich zostały zebrane. Uprawnienia te powinny być adekwatne, stosowne oraz ograniczone do tego, co niezbędne do osiągnięcia celów, w których zostały zebrane i są przetwarzane (art. 5 ust. 1 lit. c RODO). Przetwarzanie przez Bank i BIK "na przyszłość" danych zawartych w ww. zapytaniach kredytowych, gdy nie zawarto umów kredytowych, nie znajduje umocowania w żadnej przesłance z art. 6 ust. 1 RODO. Sąd podziela też poglądy prezentowane w orzecznictwie Sądów administracyjnych, zgodnie z którymi dalsze przetwarzanie danych, uzyskanych w celu oceny zdolności kredytowej w przypadku nie zawarcia stosownej umowy, pozostawałoby w oderwaniu od celu, dla którego je uzyskano. Niedopuszczalne jest dalsze przetwarzanie danych osobowych na przyszłość, a także na potrzeby budowy oceny zdolności kredytowej innych podmiotów, jeżeli nie można zrekonstruować wyraźnej podstawy prawnej takich działań, jak miało to miejsce w sprawie (por. wyrok NSA z 27 sierpnia 2019r. sygn. akt 2567/17, orzeczenia.nsa.gov.pl). Zdaniem Sądu w świetle akt sprawy były więc nieuzasadnione zarzuty skarg dotyczące naruszenia przepisów prawa procesowego: art. 7, art. 77 § 1 oraz art. 80 k.p.a., bowiem organ prawidłowo zebrał i ocenił zgromadzony w sprawie materiał dowodowy, w tym opierając się na wyjaśnieniach Banku oraz BIK dotyczących przetwarzania danych osobowych Uczestnika zawartych we wnioskach kredytowych. Odmienna ocena zarówno Banku, jak i BIK w zakresie wykładni i zastosowania powołanych przez organ przepisów prawa, nie stanowi o naruszeniu przepisów postępowania, w tym art. 7, art. 77 i art. 80 k.p.a. W ocenie Sądu, uzasadnienie zaskarżonej decyzji odpowiada ponadto wymogom określonym w art. 107 § 3 k.p.a. Nieuzasadniony jest również zarzut naruszenia art. 7b k.p.a. przez zaniechanie zwrócenia się przez Prezesa UODO do KNF, jako organu właściwego w sprawach związanych m.in. z badaniem zdolności kredytowej i analizy ryzyka kredytowego, a także budową modeli scoringowych i w konsekwencji niedostateczne wyjaśnienie stanu faktycznego sprawy. Zgodnie bowiem z art. 7b k.p.a., w toku postępowania organy administracji publicznej współdziałają ze sobą w zakresie niezbędnym do dokładnego wyjaśnienia stanu faktycznego i prawnego sprawy, mając na względzie interes społeczny i słuszny interes obywateli oraz sprawność postępowania, przy pomocy środków adekwatnych do charakteru, okoliczności i stopnia złożoności sprawy. W ocenie Sądu, stan faktyczny i prawny sprawy został przez Prezesa UODO prawidłowo ustalony i należycie rozpatrzony w oparciu o zgromadzony materiał dowodowy, w tym w oparciu o wyjaśnienia Banku oraz BIK. Nie zachodziły więc przesłanki do podjęcia przez Prezesa UODO współdziałania z innymi organami administracji publicznej w oparciu o art. 7b k.p.a., w celu wydania decyzji w sprawie. Prezes UODO jest niezależnym i wyspecjalizowanym organem w sprawach dotyczących ochrony danych osobowych, który ma status i kompetencje organu nadzorczego, określone w przepisach RODO. Z tego względu Prezes UODO jest uprawniony do samodzielnego dokonywania interpretacji przepisów prawa w zakresie dotyczącym ochrony danych osobowych. Stanowisko to znajduje potwierdzenie w art. 51 oraz w motywach 117, 122 oraz 123 RODO. Sąd stwierdza, że przesłanki do przetwarzania danych osobowych Uczestnika (na przyszłość i w innych celach wskazywanych przez Bank i BIK) nie stanowił w okolicznościach faktycznych sprawy żaden z art. 6 ust. 1 lit. a-f RODO (bo nie uzyskano zgody, ani nie zwracano się do Uczestnika o zgodę na przetwarzanie Jego danych osobowych w przyszłości, w celach innych niż ocena zdolności kredytowej i ryzyka kredytowego; bo nie wykazano, że przetwarzanie było niezbędne do wykonania umowy lub działań przed zawarciem umowy, ani do wypełnienia obowiązku prawnego ciążącego na administratorze; okoliczności faktyczne nie wskazywały na niezbędność przetwarzania dla ochrony żywotnych interesów osoby fizycznej lub innej osoby; nie można też mówić o wykonaniu zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej, ani o niezbędność do celów wynikających z prawnie uzasadnionych interesów). Powołanie się na konieczność zabezpieczenia ekonomiczno-gospodarczego sektora bankowego, zapewnienie stabilności gospodarczej sektora bankowego, jako uzasadnienie interesu publicznego, o którym mowa w art. 6 ust. 1 lit. e RODO, w odniesieniu do przetwarzania danych zawartych w zapytaniu kredytowym osoby, z którą Bank nie zawarł umowy, nie jest trafne. Ustaleń Sądu w tym zakresie nie zmienia analiza treści umowy zawartej między BIK i Bankiem, bo umowa ta nie stanowi samoistnej podstawy legalności przetwarzania danych osobowych Uczestnika, w celach wskazywanych obecnie przez wymienione podmioty. Stosowanie RODO nie może zostać wyłączone przez zapis umowy. Ustalenie Prezesa UODO, w zakresie braku dopuszczalności przetwarzania danych Uczestnika zawartych w ww. zapytaniach kredytowych wskazanych w decyzji, jest prawidłowe. Nakaz, zawarty zarówno w punkcie 1, jak i 2 decyzji, jest przy tym jasny, nie ma wątpliwości co do jego zakresu i jest wykonalny. Sąd, podsumowując, stwierdza, że zaskarżona decyzja Prezesa UODO jest zgodna z prawem, zaś zarzuty skarg nie zasługują na uwzględnienie. Organ zasadnie nakazał w punkcie 1 zaskarżonej decyzji Bankowi, a w punkcie 2 zaskarżonej decyzji BIK, usunięcie danych osobowych Uczestnika w zakresie wynikającym z ww. zapytań kredytowych. 3. Sąd, mając na względzie powyższe, na podstawie art. 151 P.p.s.a., orzekł, jak w sentencji wyroku.