II SA/Wa 252/25

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Ewa Marcinkowska, Sędzia WSA Sławomir Antoniuk, Asesor WSA Anna Pośpiech-Kłak (spr.), Protokolant specjalista Maryla Wiśniewska po rozpoznaniu na rozprawie w dniu 12 września 2025 r. sprawy ze skargi [...] S.A. z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] grudnia 2024 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę Prezes Urzędu Ochrony Danych Osobowych decyzją z dnia [...] grudnia 2024 r. nr [...], na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2024 r. poz. 572 ze zm.), zw. dalej "k.p.a." w zw. z art. 7 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781), art. 6 ust. 1 oraz art. 58 ust. 2 lit. c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35), zw. dalej "RODO", po przeprowadzeniu postępowania administracyjnego w sprawie skargi W. R., zw. dalej "uczestnikiem", na nieprawidłowości w procesie przetwarzania jego danych osobowych przez [...] S.A. z siedzibą w [...], zw. dalej "Bank", polegające na przetwarzaniu danych osobowych uczestnika w zakresie zapytania kredytowego z dnia [...] czerwca 2023 r., które nie zakończyło się zawarciem umowy kredytowej w Biurze Informacji Kredytowej S.A. z siedzibą w [...], zw. dalej "BIK", bez podstawy prawnej: - nakazał Bankowi usunięcie danych osobowych uczestnika w zakresie wynikającym z zapytania kredytowego z dnia [...] czerwca 2023 r.; - nakazał BIK usunięcie danych osobowych uczestnika w zakresie wynikającym z zapytania kredytowego z dnia [...] czerwca 2023 r. przekazanego przez Bank. W uzasadnieniu decyzji PUODO wskazał, że wpłynęła do niego skarga na nieprawidłowości w procesie przetwarzania danych osobowych uczestnika przez Bank polegające na przetwarzaniu jego danych osobowych w zakresie zapytania kredytowego z dnia [...] czerwca 2023 r., które nie zakończyło się zawarciem umowy kredytowej w BIK, bez podstawy prawnej. W toku prowadzonego postępowania administracyjnego, PUODO ustalił, że w skardze inicjującej niniejsze postępowanie uczestnik wskazał, że zwrócił się do Banku z wnioskiem o zawarcie umowy kredytowej. Warunkiem rozpoznania tego wniosku było złożenie zapytania przez Bank do BIK, co miało miejsce w dniu [...] czerwca 2023 r. Ostatecznie nie doszło do zawarcia umowy kredytowej z Bankiem. Po pobraniu przez uczestnika raportu z BIK okazało się, że widnieje tam wymienione zapytanie kredytowe. W związku z powyższym uczestnik wystąpił do Banku z prośbą zaprzestanie przetwarzania jego danych osobowych oraz zwrócenie się do BIK o usunięcie udostępnionych danych. Bank w odpowiedzi na to pismo w dniu 3 lipca 2023 r. odmówił, wskazując jako podstawę przetwarzania art. 105 ust. 4 oraz art. 70 ust. 1 ustawy z dnia 29 sierpnia 1997 r. Prawo bankowe (Dz. U. z 2023 r. poz. 2488), zw. dalej "P.b." Uczestnik w kolejnym piśmie skierowanym do Banku z dnia 17 lipca 2023 r. ponownie wystosował swoją zgodę na przetwarzanie jego danych osobowych i zażądał ich usunięcia. Uczestnik zażądał zaprzestania przetwarzania i udostępniania jego danych przez Bank do BIK w zakresie ww. zapytania kredytowego oraz doprowadzenie do usunięcia z BIK jego danych osobowych. Bank w piśmie z dnia 19 grudnia 2023 r. wskazał, że dane osobowe uczestnika pozyskał bezpośrednio od niego w związku ze złożonym wnioskiem kredytowym z dnia [...] czerwca 2023 r. o numerze [...]. Podstawę prawną przetwarzania jego danych osobowych stanowił art. 6 ust. 1 lit. b RODO oraz art. 70 ust. 1 Pb. Zakres pozyskanych danych dotyczył: imienia, nazwiska, numeru PESEL, daty urodzenia, obywatelstwa, nazwiska rodowego matki, płci, miejsca urodzenia, statusu dewizowego, typu, serii i numeru dokumentu tożsamości, jego daty ważności, adresu zamieszkania, stanu cywilnego, statusu mieszkaniowego, wykształcenia, liczby osób w gospodarstwie, kosztów gospodarstwa domowego, numeru telefonu, adresu e-mail, informacji o dochodach, okresu uzyskiwania dochodu, rodzaju świadczenia, informacji o zobowiązaniach. Bank wskazał, że dane uczestnika są przetwarzane w celach archiwalnych na podstawie art. 6 ust. 1 lit. f RODO w zw. z art. 70 a ust. 1 Pb oraz art. 118 ustawy – Kodeks cywilny. Bank podał, że będzie przetwarzał dane osobowe z wniosku kredytowego przez okres 3 lat od jego rozpatrzenia tj. do dnia 30 czerwca 2026 r. oraz dane z raportu dotyczącego zapytania przez okres 3 lat od dnia otrzymania raportu z BIK tj. do dnia [...] czerwca 2026 r. Z kolei zapytanie jest przetwarzane przez okres 180 dni od dnia złożenia zapytania w BIK oznacza to, że zapytanie z dnia [...] czerwca 2023 r. jest przetwarzane przez Bank do dnia 19 grudnia 2023 r. Bank wskazał, że celem przetwarzania jest możliwość zrealizowania obowiązków wynikających z art. 70a ust. 1 Pb jak również możliwość obrony swoich praw w przypadku zaskarżenia przez uczestnika wyników przeprowadzonego przez Bank procesu kredytowego na zasadach ogólnych sformułowanych w powszechnie obowiązujących przepisach prawa. Natomiast przetwarzanie w celach archiwalnych odbywa się na wypadek wystąpienia ewentualnych roszczeń, wówczas - w przypadku zaistnienia roszczenia cywilnoprawnego - doszłoby do zmiany celu przetwarzania z dopuszczalnego prawem celu archiwizacyjnego na cel dochodzenia roszczeń lub obrony praw. Bank stwierdził, że nie można uznać, że jeśli dotychczas takie roszczenia nie wystąpiły, to nie wystąpią one w przyszłości. Wobec czego wywiódł, że na mocy art. 6 ust.1 lit. f RODO ma uprawnienie do przetwarzania danych w okresie i celu archiwizacyjnym, przy zachowaniu wymogu nie naruszania praw ani wolności osoby, której dane dotyczą. Dodatkowo, Bank wskazał, że przetwarza dane uczestnika również, w związku z procesowaniem niniejszego postępowania prowadzonego przed PUODO. Dane wynikające z prowadzenia niniejszego postępowania są aktualnie przetwarzane również w związku ze złożonymi zgłoszeniami/reklamacjami i będą przetwarzane w celu archiwalnym, na podstawie art. 6 ust. 1 lit. f) RODO m.in. w związku z art. 118 kodeksu cywilnego przez okres 6 lat. Bank wskazał, że podstawę prawną przetwarzania danych uczestnika (już archiwalnych) stanowi: - art. 6 ust. 1 lit. c RODO w związku z art. 105a ust. 1 -1 c Pb, stanowiący samodzielną podstawę prawną przetwarzania danych w zakresie budowy i stosowania modeli statystycznych, wykonywania obowiązków nałożonych tymi przepisami, przepisami Rozporządzenia CRR oraz rekomendacjami KNF, w tym korzystania z baz zewnętrznych. Bank jest uprawniony i zobowiązany do przeprowadzenia analizy ryzyka kredytowego. Ten cel polega na rozpoznaniu i ocenie ryzyka związanego z przyznaniem kredytu konkretnej osobie w konkretnej wysokości oraz oszacowanie ryzyka dla banku w szerszym kontekście i stosownie do wymagań Rozporządzenia CRR i rekomendacji KNF; - art. 6 ust. 1 lit. c RODO w związku z art. 144 ust. 1 lit. d, art. 145 ust. 1, art. 170 ust. 3 lita, art. 171 ust. 2 i art. 179 ust 1 lit. a oraz art. 181 ust. 2 Rozporządzenia UE 575/2013 (CRR) wskazującymi na określone obowiązki w zakresie wymogów ostrożnościowych. Dla badania portfelowego ryzyka kredytowego potrzebne jest korzystanie z zaawansowanych metod statystycznych czyli tzw. metod scoringowych. Pozwalają one na stałe monitorowanie ryzyka kredytowego dla banku czy nawet całej grupy kapitałowej w oparciu z jednej strony o dane na temat konkretnych zobowiązań, z drugiej o dane makroekonomiczne; - art. 6 ust. 1 lit. c RODO w związku z art. 105 ust. 4 Pb, który nakłada na Bank obowiązek korzystania z zewnętrznej bazy danych do oceny zdolności kredytowej i analizy ryzyka kredytowego. Badając zdolność kredytową i dokonując analizy kredytowej Bank musi mieć następnie dowód przeprowadzenia tych czynności. Zgodnie z treścią tego przepisu wymiana informacji służy nie tylko ocenie zdolności kredytowej danej osoby w chwili rozpatrywania wniosku, ale także stosowaniu metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej Rozporządzenia CRR; - art. 6 ust. 1 lit. c RODO w związku z art. 33 ust.2, art. 33 ust.3 pkt 6, art. 34 ust 1, art. 36, art. 46 oraz art. 49 ust.1 i ust.2 ustawy AML, które nakładają na Bank obowiązek przetwarzania informacji, w tym danych osobowych w celu zapewnienia bezpieczeństwa obrotu gospodarczego poprzez przeprowadzenie identyfikacji, weryfikacji tożsamości i szczegółowego badania dot. klientów, w tym przyszłych klientów, jak i badania powiązań kapitałowo-osobowych. Bank wskazał, że przekazał dane osobowe uczestnika do BIK w związku ze złożonym wnioskiem, w celu oceny zdolności kredytowej oraz analizy ryzyka kredytowego w dniu [...] czerwca 2023 r. Podstawą prawną przekazania przez Bank danych osobowych uczestnika do BIK dotyczących zapytania kredytowego był art. 70 ust. 1 Pb. Bank zawarł także z BIK umowę w sprawie gromadzenia, przetwarzania i udostępniania informacji zawartą w dniu [...] września 2016 r. Przekazane dane obejmowały: imię, nazwisko, pesel, serię i numer dokumentu tożsamości, płeć, datę urodzenia, adres: ulica, nr domu, kod pocztowy, miejscowość. Bank wskazał, że BIK jest odrębnym administratorem i dane dotyczące zapytań będą przez niego przetwarzane w okresie 10 lat z czego przez okres 12 m-cy w bazie służącej do oceny zdolności i analizy ryzyka, co oznacza, że przez ten czas będą widoczne dla innych Banków. Bank wyjaśnił również, że uczestnik zwrócił się do niego dwukrotnie w dniach 3 lipca 2023 r. (nr reklamacji [...]) oraz w 2 sierpnia 2023 r. (nr reklamacji [...]) z żądaniem usunięcia przez Bank w BIK informacji o zapytaniu kredytowym. Bank udzielił odpowiedzi pisemnej na te zgłoszenia. Wyjaśnił także, że nie przekazał do BIK informacji o wydaniu negatywnej decyzji kredytowej. BIK wskazał, że dane osobowe uczestnika w zakresie wskazanego zapytania kredytowego pozyskał z Banku w dniu [...] czerwca 2023 r. w zakresie: dane identyfikujące uczestnika (imię, nazwisko, PESEL, serię i numer dowodu osobistego, datę urodzenia, obywatelstwo, płeć), dane z wniosku kredytowego dotyczącego wnioskowanego zobowiązania i adres zamieszkania. Zostały one pozyskane na podstawie art. 105 ust. 1 pkt 1c, art. 105 ust. 4 oraz art. 105 a ust. 1 Pb oraz na podstawie umowy zawartej z Bankiem. Aktualnie BIK przetwarza te dane w następujących celach: 1) w celu oceny zdolności kredytowej i analizy ryzyka kredytowego: a) przez okres 12 miesięcy od dnia złożenia zapytania w celu oceny zdolności kredytowej i analizy ryzyka kredytowego konkretnego klienta (indywidualna ocena zdolności kredytowej uczestnika ); b) nie krócej niż 5 lat i nie dłużej niż 10 lat od dnia złożenia zapytania, w celu budowy modeli scoringowych, a więc narzędzi wykorzystywanych przez banki do oceny zdolności kredytowej i analizy ryzyka kredytowego. BIK buduje przedmiotowe modele w oparciu o przetwarzane w zbiorze BIK dane, w tym dane o złożonych zapytaniach. Podstawą przetwarzania danych przez BIK w celu oceny zdolności kredytowej i analizy ryzyka kredytowego jest art. 6 ust. 1 lit. c) RODO w zw. z art. art. 105 ust. 4 oraz art. 105a ust. 1, 1 a i 1 b Pb. W przypadku oceny zdolności kredytowej podstawą prawną przetwarzania danych jest również art. 70 ust. 1 Pb. Dodatkową przesłanką legalizującą przetwarzanie danych pochodzących z zapytań w celu budowy modeli scoringowych jest art. 6 ust. 1 lit. f) RODO ponieważ przetwarzanie danych w tym celu stanowi prawnie uzasadniony interes banków i BIK. BIK wskazał, że jest instytucją utworzoną na podstawie art. 105 ust. 4 Prawo bankowe. Podstawowym obowiązkiem, którego realizacji służą dane gromadzone przez BIK, w tym dane o zapytaniach kredytowych, jest obowiązek oceny zdolności kredytowej, co wynika z art. 70 ust. 1 Pb. BIK powołując się na konieczność wykorzystywania własnych i zewnętrznych baz danych przy ocenie zdolności kredytowej wskazał również na Rekomendację Komisji Nadzoru Finansowego dotyczącej dobrych praktyk w zakresie zarządzania ryzykiem detalicznych ekspozycji kredytowych. W procesie oceny zdolności kredytowej klienta detalicznego konieczne jest każdorazowe korzystanie przez banki z zewnętrznych baz danych. Z kolei procesem silnie powiązanym z oceną zdolności kredytowej jest analiza ryzyka kredytowego. Zgodnie z art. 9 ust. 1 Pb w banku musi funkcjonować system zarządzania. W ramach tego systemu funkcjonuje co najmniej system zarządzania ryzykiem oraz system kontroli wewnętrznej. Jednym z elementów realizacji tego obowiązku jest z kolei wymiana danych pomiędzy bankami dokonywana na podstawie art. 105 ust. 4 ustawy i art. 105 a ust. 1 - 1c, a także realizacja obowiązków wynikających z przepisów art. 171 ust. 2 CRR oraz art. 144 ust. 1 lit. d Rozporządzenie Parlamentu Europejskiego i Rady (UE) nr 575/2013 z dnia 26 czerwca 2013 r. w sprawie wymogów ostrożnościowych dla instytucji kredytowych oraz zmieniające rozporządzenie (UE) nr 648/2012 (DZ.U.L2013.176.1 z późn.zm.), (CRR). W oparciu o te zasady bank podejmuje decyzję, czy osoba wnioskująca o kredyt powinna go otrzymać czy też nie. Rolą BIK, jako międzybankowej bazy danych, jest realizacja obowiązku polegającego na dostarczaniu bankom informacji zgromadzonych od innych banków, co pozwala bankowi ocenić z poziomu sektora bankowego czy osoba wnioskująca o kredyt ma szanse spłaty kredytu w terminach ustalonych w umowie; - w celach statystycznych oraz stosowania metod wewnętrznych oraz innych metod i modeli - podstawą prawną przetwarzania danych osobowych jest prawnie uzasadniony interes administratora danych (art. 6 ust. 1 lit. f) RODO) wynikający z Prawa bankowego (w tym art. 105 ust. 1 i 105 a ust. 4), polegający na dostarczaniu bankom analiz pozwalających ocenić w szczególności jakość polityki kredytowej na tle rynku, trendy występujące w sektorze bankowym oraz identyfikować zagrożenia płynące z zachowań kredytowych klientów w innych bankach, czy określić maksymalne kwoty kredytów i pożyczek, dla których bank może stosować uproszczone zasady oceny zdolności kredytowej. Zarządzanie ryzykiem kredytowym przez banki może być realizowane na kilku poziomach; - w celach przeciwdziałania przestępstwom oraz wykonywania obowiązków w zakresie określonym w przepisach o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu - podstawą prawną przetwarzania danych w tym celu jest dla BIK art. 106d ustawy Prawo bankowe, art. 33 ust. 2 ustawy z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy i finansowaniu terroryzmu ("AML") oraz (art. 34 ust. 1 pkt 4 ustawy AML). - w celu rozpatrywania ewentualnych reklamacji lub roszczeń odszkodowawczych klientów, których termin przedawnienia zgodnie z art. 118 Kodeksu cywilnego wynosi 6 lat (cele dowodowe). Bardzo często zdarza się, że klient kwestionuje legalność złożenia przez bank do BIK zapytania sprzed 4 czy 5 lat. BIK posiadając dane dotyczące takiego zapytania ma możliwość udzielenia odpowiedzi, czy takie zapytanie zostało złożone oraz czego dotyczyło. Gdyby dane z takiego zapytania zostały usunięte, BIK nie miałby możliwości ustosunkowania się do zarzutów podniesionych przez Klienta banku. Podstawę prawną stanowi w tym przypadku art. 6 ust. 1 lit. f) RODO tj. usprawiedliwiony cel administratora danych. Dodatkową przesłanką jest konieczność wypełnienia ustawowego obowiązku wynikającego z art. 15 RODO w przypadku wystąpienia przez osobę, której dane dotyczą z wnioskiem o udzielenie informacji; - w celu realizacji wniosków klientów banków dotyczących wyjaśnień dokonanej oceny zdolności kredytowej na podstawie art. 70a ustawy Prawo bankowe. Podstawą prawną przetwarzania danych w tym celu jest dla BIK jest art. 70a ustawy Prawo bankowe. Dodatkową podstawą jest art. 6 ust, 1 lit. f) RODO w zw. z rekomendacjami oraz zaleceniami Komisji Nadzoru Finansowego; BIK podał, że uczestnik nie zwracał się z wnioskiem o usunięcie jego danych osobowych dotyczących wyżej wskazanego zapytania kredytowego. Ponadto również nie otrzymał od Banku informacji, że zapytanie kredytowe z dnia [...] czerwca 2023 r. nie zakończyło się zawarciem umowy kredytowej. Uczestnik wskazał, że nie jest w stanie podać daty w której otrzymał z Banku ocenę zdolności kredytowej, o której mowa w art. 70a ust. 1 Pb. Wskazał jedynie, że informacja ta została mu przekazana w rozmowie telefonicznej, dlatego nie posiada żadnego dokumentu na tę okoliczność. Nie zwracał się również do Banku z żądaniem wyjaśnienia dokonanej oceny zdolności kredytowej. Bank potwierdził, że uczestnik został poinformowany o podjęciu negatywnej decyzji kredytowej w dniu jej wydania to jest w dniu [...] czerwca 2023 r. podczas rozmowy telefonicznej. Wskazał, że dysponuje nagraniem tej rozmowy. Bank wskazał również, że uczestnik nie występował do Banku z wnioskiem o wyjaśnienie dokonanej analizy zdolności kredytowej w związku z zapytaniem kredytowym z dnia [...] czerwca 2023 r. Po zapoznaniu się z całością zgromadzonego w sprawie materiału dowodowego, PUODO wskazał, że przepisem uprawniającym administratorów danych do przetwarzania danych osób fizycznych jest art. 6 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35), zw. dalej "RODO", zgodnie z którym, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy spełniona jest jedna z przesłanek wskazanych w tym przepisie. Katalog przesłanek wymienionych w art. 6 ust. 1 RODO, jest zamknięty. Każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny. Dodatkowo, proces przetwarzania danych osobowych musi być zgodny z zasadami ustanowionymi w art. 5 ust. 1 RODO. Do zasad tych zalicza się między innymi ograniczenie celu (art. 5 ust. 1 lit. b RODO) oraz minimalizację danych (art. 5 ust. 1 lit. c RODO). Wspomniane zasady wymagają, by dane osobowe były zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami, a proces przetwarzania danych osobowych był adekwatny, stosowny oraz ograniczony do tego, co niezbędne do celów, w których są przetwarzane. Co do zasady podstawą prawną przetwarzania danych osobowych klientów przez Bank i BIK może być obecnie art. 6 ust. 1 lit. f RODO, gdy przetwarzanie to jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora. PUODO wskazał, że BIK jest instytucją utworzoną na podstawie art. 105 ust. 4 Pb, który stanowi, że banki mogą, wspólnie z bankowymi izbami gospodarczymi, utworzyć instytucje upoważnione do gromadzenia, przetwarzania i udostępniania m. in. bankom informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013, innym instytucjom ustawowo upoważnionym do udzielania kredytów informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są niezbędne w związku z udzielaniem kredytów, pożyczek pieniężnych, gwarancji bankowych i poręczeń (pkt 2), instytucjom kredytowym informacji stanowiących tajemnicę bankową w zakresie niezbędnym do oceny zdolności kredytowej konsumenta, o której mowa w art. 9 ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim (pkt 3), instytucjom pożyczkowym i podmiotom, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim na zasadzie wzajemności, informacji stanowiących odpowiednio tajemnicę bankową oraz informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, w zakresie niezbędnym do oceny zdolności kredytowej konsumenta, o której mowa w art. 9 tej ustawy, i analizy ryzyka kredytowego (pkt 4). Zgodnie z art. 105a ust. 1 Pb, przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów, instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, a także instytucje utworzone na podstawie art. 105 ust. 4, informacji stanowiących tajemnicę bankową i informacji udostępnionych przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem art. 104, 105 i art. 106 - 106d Pb w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Zgodnie zaś z art. 105a ust. 4 Pb Banki oraz instytucje, o których mowa w art. 105 ust. 4, mogą przetwarzać stanowiące tajemnicę bankową informacje dotyczące osoby fizycznej po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której informacje dotyczą, do celów stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013. Stosownie zaś do art. 105a ust. 5 Pb przetwarzanie informacji stanowiących tajemnicę bankową w przypadkach, o których mowa w ust. 3, może być wykonywane przez okres nie dłuższy niż 5 lat od dnia wygaśnięcia zobowiązania, a w przypadku, o którym mowa w ust. 4, przez okres 12 lat od dnia wygaśnięcia zobowiązania. Stosownie do art. 70 ust. 1 Pb, bank uzależnia przyznanie kredytu od zdolności kredytowej kredytobiorcy. Przez zdolność kredytową rozumie się zdolność do spłaty zaciągniętego kredytu wraz z odsetkami w terminach określonych w umowie. Mając powyższe na uwadze PUODO wskazał, że uczestnik w dniu [...] czerwca 2023 r. wystąpił do Banku z wnioskiem o udzielenie kredytu. Wobec powyższego Bank oraz BIK, na podstawie art. 105a ust. 1 Pb w zw. z art. 70 ust. 1 Pb, były uprawnione do przetwarzania danych osobowych uczestnika w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Podkreślenia jednak wymaga, że nie doszło do zawarcia umowy kredytu pomiędzy uczestnikiem a bankiem. W związku z powyższym odpadła przesłanka legalizująca dalsze przetwarzanie danych osobowych uczestnika przez Bank oraz BIK. Przesłanki zawarte w art. 105a Pb dotyczą bowiem przetwarzania informacji objętych tajemnicą bankową w okresie przed powstaniem zobowiązania, w trakcie jego trwania oraz po wygaśnięciu zobowiązania. Pomiędzy Bankiem, a uczestnikiem nie doszło do nawiązania żadnego stosunku zobowiązaniowego, który stosownie do art. 105a ust. 1-6 Pb dawałby podstawę do dalszego przetwarzania danych osobowych uczestnika. Podkreślenia również wymaga, że celem przetwarzania danych osobowych uczestnika była ocena zdolności kredytowej i analizy ryzyka kredytowego. W związku z dokonaniem przez Bank oceny zdolności kredytowej i analizy ryzyka kredytowego ww. cel przetwarzania danych osobowych uczestnika został zrealizowany i brak jest podstaw prawnych do kontunuowania tego procesu. W ocenie PUODO za podstawę przetwarzania danych osobowych uczestnika, nie mogą być również uznane wskazane przez Bank i BIK cele statystyczne i analizy, w tym cel stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia CRR. Powołany przez Bank i BIK art. 105a ust. 4 Pb daje podstawy do przetwarzania informacji dotyczących osoby fizycznej stanowiących tajemnicę bankową po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której te informacje dotyczą. W przedmiotowej sprawie nie doszło do zawarcia umowy kredytu pomiędzy uczestnikiem a Bankiem, a zatem nie powstał żaden stosunek zobowiązaniowy, o którym mowa w powyższym przepisie. Powołane przez Bank i BIK przepisy CRR nie wykazują konkretnej przesłanki uprawniającej BIK do wykorzystania danych w zakresie zapytań kredytowych niezakończonych zawarciem umowy do indywidualnej oceny zdolności kredytowej, ani tym bardziej do wykorzystania tego rodzaju danych osobowych do modeli scoringowych. Należy podkreślić, że przepisy rozporządzenia CRR zawierają konkretyzację danych, które mogą być użyte przez instytucje kredytowe oraz firmy inwestycyjne przy realizacji wymogów ostrożnościowych, natomiast nie uczyniono na gruncie ww. rozporządzenia tego samego w przypadku zapytań kredytowych niezakończonych zawarciem umowy, przez co nie sposób uznać, że przewiduje ono podstawy prawne do przetwarzania danych w nich zawartych. Artykuł 144 ust. 1 lit. d stanowi, że (cyt.): "Właściwy organ wydaje zezwolenie na mocy art. 143 na stosowanie przez instytucję metody IRB, w tym na stosowanie własnych oszacowań LGD i współczynników konwersji, wyłącznie wtedy, gdy właściwy organ stwierdzi, że wymogi przewidziane w niniejszym rozdziale są spełnione, w szczególności wymogi przewidziane w sekcji 6, oraz że posiadane przez instytucję systemy w zakresie zarządzania oraz oceny ekspozycji na ryzyko kredytowe są należyte i zostały spójnie wdrożone, w szczególności gdy instytucja wykazała w sposób zadowalający właściwym organom spełnienie następujących norm: (...) d) instytucja gromadzi i przechowuje wszystkie odpowiednie dane, aby zapewnić skuteczne wsparcie procesów pomiaru ryzyka kredytowego oraz zarządzania ryzykiem kredytowym". Kolejny przywołany przez BIK przepis, tj. art. 145 ust. 1 CRR stanowi zaś, iż "jest wymagane, aby instytucja ubiegająca się o możliwość stosowania metody IRB korzystała, w odniesieniu do omawianych kategorii ekspozycji IRB, co najmniej przez trzy lata poprzedzające zakwalifikowanie się do stosowania metody IRB, z systemów ratingowych, które odpowiadały w znacznym stopniu wymogom określonym w sekcji 6 dotyczącym wewnętrznego pomiaru ryzyka i zarządzania ryzykiem", natomiast art. 147 ust. 5 lit. b CRR stanowi, że "aby ekspozycje mogły kwalifikować się do kategorii ekspozycji detalicznych przewidzianej w ust. 2 lit. d), spełniają następujące kryteria: są traktowane przez instytucję w procesie zarządzania ryzykiem w sposób spójny w długim okresie". Obowiązku zastosowania powyższego rodzaju zapytań kredytowych nie przewiduje również art. 171 ust. 2 (cyt.) "Klasyfikując dłużników i instrumenty do klas lub pul, instytucja uwzględnia wszystkie istotne informacje. Informacje te są aktualne i umożliwiają instytucji prognozowanie zachowania ekspozycji w późniejszym okresie. Im mniej informacji ma do dyspozycji instytucja, tym ostrożniej klasyfikuje ekspozycje do poszczególnych klas lub pul dłużników i instrumentów. Jeżeli instytucja stosuje rating zewnętrzny jako główny czynnik decydujący o przyznaniu wewnętrznego ratingu, instytucja ta zapewnia uwzględnienie innych istotnych informacji". Z powyższych przepisów wynika, że instytucja kredytowa jest obowiązana do zbierania informacji przydatnych do skutecznego zarządzania ryzykiem. Nie oznacza to jednak, że gromadzenie danych w systemach ratingowych może odbywać się z naruszeniem innych przepisów regulujących kwestie ochrony danych osobowych. Inne przepisy rozporządzenia CRR zawierają konkretyzację danych, które mogą być użyte przez instytucje kredytowe oraz firmy inwestycyjne przy realizacji wymogów ostrożnościowych. W przedmiotowym rozporządzeniu wprost wskazano, że za elementy wskazujące na prawdopodobieństwo niedokonania płatności uznaje się sytuacje takie jak m. in. złożenie przez instytucję wniosku o postawienie dłużnika w stan upadłości lub podobnego wniosku w odniesieniu do zobowiązań kredytowych dłużnika wobec instytucji, jednostki dominującej lub którejkolwiek z jej jednostek zależnych (art. 178 ust 3 lit. e) lub wystąpienie przez dłużnika o ogłoszenie upadłości lub o przyznanie podobnej ochrony lub postawienie dłużnika w stan upadłości bądź przyznanie mu podobnej ochrony, jeżeli umożliwiłoby mu to uniknięcie lub opóźnienie spłaty zobowiązań kredytowych wobec instytucji, jednostki dominującej lub którejkolwiek z jej jednostek zależnych (art. 178 ust. 3 lit. f). W CRR natomiast nie dokonano takiego konkretnego wskazania w przypadku zapytań kredytowych niezakończonych zawarciem umowy, tym samym nie sposób uznać, że przewiduje ono podstawy prawne do przetwarzania danych w nich zawartych. Odnosząc się natomiast do przywołanych rekomendacji Komisji Nadzoru Finansowego PUODO wskazał, że należą do nienormatywnych form działania administracji. Nie są źródłem ani powszechnie obowiązujących przepisów prawa. W ocenie organu przywołane rekomendacje nie stanowią podstawy prawnej legalizującej przetwarzanie danych osobowych w zakresie zapytań kredytowych niezakończonych zawarciem umowy kredytu, zaś ich stosowanie nie może naruszać przepisów RODO. W ocenie PUODO, Bank oraz BIK niewłaściwie wskazują jako podstawę przetwarzania danych uczestnika Rekomendację T Komisji Nadzoru Finansowego dotyczącą dobrych praktyk w zakresie zarządzania ryzykiem detalicznych ekspozycji kredytowych w związku z badaniem zdolności kredytowej, korzystania z zewnętrznych baz danych, posiadania narzędzi analitycznych wspierających pomiar poziomu ryzyka związanego z detalicznymi ekspozycjami kredytowymi. Ponownie PUODO wskazał, że Bank był uprawniony do przetwarzania danych osobowych uczestnika w celu oceny zdolności kredytowej. Nie doszło do zawarcia umowy pomiędzy uczestnikiem a Bankiem. W związku z powyższym odpadła przesłanka legalizująca dalsze przetwarzanie danych osobowych uczestnika przez Bank. Celem przetwarzania danych osobowych uczestnika była ocena zdolności kredytowej i analiza ryzyka kredytowego. W związku z dokonaniem przez Bank oceny zdolności kredytowej i analizy ryzyka kredytowego ww. cel przetwarzania danych osobowych uczestnika został zrealizowany, wobec czego brak jest podstaw prawnych do kontynuowania tego procesu. Zarówno Bank, jak i BIK, wskazały również jako cel przetwarzania danych osobowych uczestnika, przeciwdziałanie przestępstwom oraz wykonywanie obowiązków w zakresie określonym w przepisach AML. Zgodnie z brzmieniem art. 106d Pb banki, inne instytucje ustawowo upoważnione do udzielania kredytów, izby rozliczeniowe utworzone na podstawie art. 67, instytucje utworzone na mocy art. 105 ust. 4, instytucje pożyczkowe, podmioty, których podstawowa działalność polega na udostępnianiu składników majątkowych na podstawie umowy leasingu, oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, mogą przetwarzać i wzajemnie udostępniać informacje, w tym informacje objęte tajemnicą bankową, w przypadkach: 1) uzasadnionych podejrzeń, o których mowa w art. 106a ust. 3; 2) uzasadnionych podejrzeń popełnienia przestępstw dokonywanych na szkodę banków, innych instytucji ustawowo upoważnionych do udzielania kredytów, instytucji kredytowych, instytucji finansowych, instytucji pożyczkowych oraz podmiotów, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, i ich klientów, w celu i zakresie niezbędnym do zapobiegania tym przestępstwom; 3) wykonywania obowiązków w zakresie określonym w przepisach o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (ust. 1). Podmioty określone w ust. 1 mogą przetwarzać i wzajemnie udostępniać informacje, w tym informacje objęte tajemnicą bankową oraz informacje dotyczące wyroków skazujących, w przypadkach przestępstw dokonywanych na szkodę banków, innych instytucji ustawowo upoważnionych do udzielania kredytów, instytucji kredytowych, instytucji finansowych, instytucji pożyczkowych oraz podmiotów, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, i ich klientów, w celu i zakresie niezbędnym do zapobiegania tym przestępstwom (ust. 2). Zgodnie z art. 33 ust. 1 AML instytucje obowiązane stosują wobec swoich klientów środki bezpieczeństwa finansowego. Instytucje obowiązane rozpoznają ryzyko prania pieniędzy oraz finansowania terroryzmu związane ze stosunkami gospodarczymi lub z transakcją okazjonalną oraz oceniają poziom rozpoznanego ryzyka (art. 33 ust. 2 AML), natomiast środki te stosują w zakresie i z intensywnością uwzględniającymi rozpoznane ryzyko prania pieniędzy oraz finansowania terroryzmu związane ze stosunkami gospodarczymi lub z transakcją okazjonalną oraz jego ocenę (art. 33 ust. 4 AML). Na podstawie art. 35 ust. 2 AML instytucje obowiązane stosują środki bezpieczeństwa finansowego również w odniesieniu do klientów, z którymi utrzymują stosunki gospodarcze, z uwzględnieniem rozpoznanego ryzyka prania pieniędzy oraz finansowania terroryzmu, w szczególności gdy: 1) doszło do zmiany uprzednio ustalonego charakteru lub okoliczności stosunków gospodarczych; 2) doszło do zmiany uprzednio ustalonych danych dotyczących klienta lub beneficjenta rzeczywistego; 3) instytucja obowiązana była w ciągu danego roku kalendarzowego zobowiązana na podstawie przepisów prawa do skontaktowania się z klientem w celu weryfikacji informacji dotyczących beneficjentów rzeczywistych, w szczególności gdy obowiązek taki wynikał z przepisów ustawy z dnia 9 marca 2017 r. o wymianie informacji podatkowych z innymi państwami. Zgodnie z art. 34 ust. 3 AML instytucje obowiązane dokumentują zastosowane środki bezpieczeństwa finansowego oraz wyniki bieżącej analizy przeprowadzanych transakcji. Na żądanie organów, o których mowa w art. 130, instytucje obowiązane wykazują, że przy uwzględnieniu poziomu rozpoznanego ryzyka prania pieniędzy oraz finansowania terroryzmu związanego z danymi stosunkami gospodarczymi lub transakcją okazjonalną zastosowały odpowiednie środki bezpieczeństwa finansowego. Na podstawie art. 49 ust. 2 AML instytucje obowiązane przechowują wyniki analiz, o których mowa w art. 34 ust. 3 AML, przez okres 5 lat, licząc od dnia ich przeprowadzenia. Zebrany w sprawie materiał dowodowy nie wykazał, by Bank lub BIK mogły przetwarzać dane osobowe uczestnika dotyczące zapytania kredytowego z dnia [...] czerwca 2023 r. na podstawie art. 106d Pb w celach przeciwdziałania przestępstwom oraz wykonywania obowiązków w zakresie określonym w przepisach AML, gdyż w toku prowadzonego postępowania nie wykazały, aby zaszła którakolwiek z przesłanek określonych w ww. przepisie. W szczególności nie wykazały, aby zaszły uzasadnione podejrzenia, o których mowa w art. 106d ust. 1 pkt 1-2, oraz nie wskazały także nałożonego na nie obowiązku określonego w przepisach o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu, o którym mowa w art. 106d ust. 1 pkt 3. Odnosząc się natomiast do celu ustalenia, dochodzenia lub obrony roszczeń PUODO wskazał, że zebrany materiał dowodowy nie wykazał, aby uczestnik wystąpił z jakimkolwiek roszczeniem wobec Banku lub BIK, które uzasadniałoby uprawnienie tych podmiotów do zachowania i przetwarzania jego danych osobowych dla celów dowodowych w związku z dochodzeniem przez uczestnika tego roszczenia. Podkreślenia wymaga, że przesłanka z art. 6 ust. 1 lit. f RODO dotyczy sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia, potrzeba dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem. Podkreślenia wymaga, że przy przyjęciu odmiennej interpretacji ww. przepisów, uczestnik zostałby pozbawiony ochrony na gruncie RODO oraz ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r., poz. 1781). Zaznaczyć bowiem należy, że przyjęcie za prawidłowe stanowiska, że przetwarzanie danych osobowych w celu uchylenia się od negatywnych skutków w przypadku zgłoszenia w przyszłości ewentualnego i nieokreślonego roszczenia, stanowi prawnie usprawiedliwiony cel w rozumieniu art. 6 ust. 1 lit. f RODO oznaczałoby, że dane osobowe uczestnika mogą być przetwarzane przez Bank i BIK permanentnie, bez konieczności ich usunięcia. Teoretycznie możliwym jest przecież, by uczestnik zwrócił się do Banku lub BIK z roszczeniem po upływie terminu przedawnienia roszczenia. Prowadziłoby to tym samym do uznania, że przetwarzanie danych osobowych uczestnika przez Bank i BIK ma uzasadnienie w przesłance określonej art. 6 ust. 1 lit. f RODO w celu realizacji prawa do obrony przed ewentualnym roszczeniem uczestnika również po upływie ww. terminu. Brak jest uzasadnienia dla przyjęcia, że terminy dotyczące przedawnienia roszczeń wynikających ze stosunków zobowiązaniowych określają jednocześnie ramy czasowe, w których dane osobowe mogą być przetwarzane przez Bank i BIK. Przedawnienie roszczenia nie wywołuje skutków na gruncie ochrony danych osobowych, nie wpływa bowiem na fakt istnienia roszczenia, a powoduje jedynie zmianę w sferze zarzutów procesowych w postaci możliwości podniesienia okoliczności przedawnienia w sporze sądowym. Podkreślenia wymaga, że okolicznością usprawiedliwiającą przetwarzanie danych osobowych w celu dochodzenia roszczeń jest sam fakt istnienia roszczenia oraz zamiar jego dochodzenia, nie jest nią natomiast zmiana w uprawnieniach procesowych podmiotu pozwanego. Brak jest ponadto uzasadnienia dla przyjęcia, że Bank i BIK są uprawnione do przetwarzania danych osobowych w związku z koniecznością ewentualnego wypełnienia obowiązku wynikającego z art. 70a ust. 1 i ust. 2 Pb. Stosownie do art. 70a ust. 1 Pb banki i inne instytucje ustawowo upoważnione do udzielania kredytów na wniosek osoby fizycznej, prawnej lub jednostki organizacyjnej niemającej osobowości prawnej, o ile posiada zdolność prawną, ubiegającej się o kredyt przekazują, w formie pisemnej, wyjaśnienie dotyczące dokonanej przez siebie oceny zdolności kredytowej wnioskującego. Stosownie zaś do art. 70a ust. 2 Pb wyjaśnienie, o którym mowa w ust. 1, obejmuje informacje na temat czynników, w tym danych osobowych wnioskującego, które miały wpływ na dokonaną ocenę zdolności kredytowej. Podzielić należy wskazywane w doktrynie stanowisko, zgodnie z którym (cyt.): "Jeśli zaś bank - w wyniku dokonanej oceny zdolności kredytowej (przeprowadzonej zgodnie z przyjętymi rekomendacjami KNF) - nie udzieli kredytu, zatem nie dojdzie do zawarcia umowy kredytu, stan taki nie rodzi po stronie ubiegającego się o kredyt żadnych roszczeń na drodze cywilnoprawnej. Ubiegającemu się o kredyt przysługuje tylko możliwość wnioskowania o przedstawienie na piśmie przyczyn odmowy" (B. Bajor (w:) L. Kociucki, J. M. Kondek, K. Królikowska, B. Bajor, Prawo bankowe. Komentarz do przepisów cywilnoprawnych, Warszawa 2020, art. 70(a)). Należy także podkreślić, że art. 70a Pb nie przewiduje żadnego terminu na złożenie wniosku o udzielenie informacji dotyczących odmowy udzielenia kredytu. Powyższe nie oznacza jednak w ocenie organu, że można jego dane osobowe przetwarzać bezterminowo, gdyż byłoby to sprzeczne z zasadą ograniczenia przechowywania, określoną w art 5 ust. 1 lit. e) RODO. Obecnie, po nowelizacji Prawa bankowego, taki termin na złożenie wniosku został przewidziany. Ponadto, powstanie obowiązku, o którym mowa w art. 70a ust. 1 Pb w brzmieniu obowiązującym w dacie wystąpienia przez uczestnika z wnioskiem o kredyt, uzależnione było od złożenia stosownego wniosku przez osobę ubiegającą się o kredyt. W niniejszej sprawie ustalono, że uczestnik złożył do Banku wniosek kredytowy, w wyniku którego Bank skierował do BIK przedmiotowe zapytanie kredytowe, które ostatecznie nie zakończyło się zawarciem umowy z Bankiem. Uczestnik zwracał się do Banku o usunięcie jego danych osobowych z BIK, w zakresie dotyczącym ww. zapytania kredytowego. Proces przetwarzania danych osobowych związanych z ww. zapytaniem kredytowym zakwestionował następnie w niniejszym postępowaniu, domagając się ochrony danych osobowych. Uwzględnienie żądania uczestnika usunięcia przedmiotowych danych skutkować będzie brakiem możliwości udzielenia informacji wskazanych w art. 70a ust. 1 i 2 Pb, z czym uczestnik, żądając usunięcia danych, musi się liczyć. Należy uznać więc, że uczestnik nie był i nie jest zainteresowany realizacją prawa do złożenia wniosku, o którym mowa w powyższym przepisie, a tym samym nie można uznać, aby stanowił on podstawę przetwarzania danych osobowych uczestnika. Ponadto PUODO podkreślił, że brak jest uzasadnienia dla przyjęcia, że BIK jest uprawniony do przetwarzania danych osobowych pozyskanych w związku z zapytaniem złożonym przez Bank w dniu 22 czerwca 2023 r. w związku z koniecznością ewentualnego wypełnienia obowiązku wynikającego z art. 15 RODO. Usunięcie przez administratora danych osobowych nie uniemożliwia mu wykonania obowiązku uregulowanego w art. 15 RODO, gwarantującego osobie, której dane dotyczą, prawa do uzyskania od administratora informacji, czy jej dane są przetwarzane, a w przypadku pozytywnej odpowiedzi na tak postawione pytanie - uprawnienie do dostępu do danych na swój temat oraz uzyskania informacji o okolicznościach przetwarzania danych. Jeśli bowiem, administrator nie przetwarza danych dotyczących osoby, która zwraca się z żądaniem udzielenia informacji, to działanie administratora ogranicza się do odpowiedzi przeczącej i nie ma on obowiązku podawać podmiotowi danych innych informacji (tak również: Paweł Fajgielski [w:] Ogólne rozporządzenie o ochronie danych. Ustawa o ochronie danych osobowych. Komentarz. Wolters Kluwer Polska, 2018). Wobec powyższego, w ocenie PUODO, w niniejszej sprawie brak jest celu uzasadniającego przetwarzanie danych osobowych uczestnika zawartych w przedmiotowym zapytaniu kredytowym zarówno przez Bank, jak i przez BIK. Wskazania w tym miejscu wymaga, że Bank w związku z pozyskaniem danych osobowych uczestnika w celu oceny zdolności kredytowej stał się administratorem tych danych osobowych. Natomiast BIK stał się administratorem danych osobowych uczestnika z uwagi na przekazanie tych danych przez Bank. W związku z powyższym należy stwierdzić, że Bank oraz BIK są odrębnymi administratorami. Każdy z tych podmiotów przetwarza bowiem dane osobowe uczestnika we własnych celach i samodzielnie ustala sposoby ich przetwarzania. W odniesieniu do kwestionowanego przez uczestnika przetwarzania jego danych osobowych przez Bank i BIK nie zaistniała żadna z wyrażonych w art. 6 ust. 1 RODO przesłanka, która stanowiłaby o legalności tego procesu. Dlatego też korzystając z uprawnienia przewidzianego w art. 58 ust. 2 lit. c RODO, PUODO nakazał zarówno Bankowi, jak i BIK, będącymi administratorami, usunięcie danych osobowych uczestnika przetwarzanych w zakresie wynikającym z zapytania kredytowego z dnia 22 czerwca 2023 r. Opisaną wyżej decyzję organu Bank zaskarżył w całości do Wojewódzkiego Sądu Administracyjnego w Warszawie, zarzucając naruszenie: I. przepisów postępowania administracyjnego, które miało istotny wpływ na wynik sprawy, a to: - art. 104 § 2 k.p.a., ponieważ zaskarżona decyzja nie rozstrzyga o istocie sprawy. Decyzja nakazuje "usunięcie danych (uczestnika postępowania) w zakresie wynikającym z zapytań kredytowych...". Jak wyjaśniono w toku postępowania, z "zapytań kredytowych" żadne dane już nie wynikają, natomiast dane wynikają (albo są zawarte) we wnioskach o kredyt) oraz "raportach z zapytań", jakie Bank otrzymał z BIK. Skoro żadne dane nie wynikają z zapytań kredytowych, organ nie rozpoznał istoty sprawy, bo przedmiotem sprawy nie jest problem zapytań kredytowych ani danych "z nich wynikających"; - art. 61 § 1 i § 4 k.p.a. gdyż PUODO nie wydał postanowienia o wszczęciu postępowania i nie zawiadomiło o tym Banku; - art. 61 § 1 i § 4 k.p.a., bo nie jest jasne, czy organ prowadził sprawę na wniosek - który to wniosek dotyczył "usunięcia z bazy BIK informacji dotyczących zapytań kredytowych" - czy też z urzędu, bowiem PUODO już w pierwszym piśmie procesowym z 27 marca 2023 r. żądał wyjaśnień o podstawach prawnych przetwarzania danych przez Bank, a nie przez BIK, zaś zgodnie z utrwalonym poglądem, niedopuszczalne jest mieszanie trybów postępowania, tj. traktowanie postępowania wszczętego na wniosek tak, jak postępowania wszczętego z urzędu; - art. 61 § 4 k.p.a., bo przedmiotem wniosku uczestnika postępowania było "usunięcie z bazy BIK informacji dotyczących zapytań kredytowych", a nie podstawy przetwarzania danych przez Bank, - art. 61 § 4 i art. 80 k.p.a., gdyż Bank powinien w toku postępowania otrzymać stanowisko BIK dotyczące usunięcia danych z jego bazy. Nadto skoro przedmiotem wniosku uczestnika postępowania nie były podstawy przetwarzania danych przez Bank, to rozstrzygnięcie powinno być skierowane do BIK, zaś jego uzasadnienie powinno dotyczyć zasadności usunięcia danych z bazy BIK (a nie usunięcia danych przetwarzanych przez Bank); - art. 7 i art. 7b w związku z art. 77 k.p.a., polegające na tym, że PUODO odmówił Bankowi uznania, iż przetwarza dane w okresie archiwizacji na podstawie uzasadnionego interesu, tj. art. 6 ust. 1 lit. f RODO, tym samym wszedł w rolę administratora, nie oceniając zarazem żadnego prawa ani wolności uczestnika postępowania, które miałyby zostać naruszone wskutek takiego przetwarzania, a nadto całkowicie pomijając właściwe przepisy prawa. Uczestnik zachował wszelkie prawa z art. 12-22 RODO, poza prawem do usunięcia danych i to tylko dlatego, że w zakresie ich archiwizacji (czyli dokumentacji dokonanej czynności) są one niezbędne. Bank zwrócił uwagę, że w praktyce dokumentowanie czynności może mieć znaczenie nie tylko w ramach zwykłych procesów cywilnych, ale także postępowań karnych, - art. 7, art. 7b w związku z art. 77 k.p.a. polegające na tym, iż PUODO zaniechał współdziałania w kwestiach istotnie specjalistycznych, a mianowicie współdziałania z Generalnym Inspektorem Informacji Finansowej w zakresie konsultacji obowiązków Banku w wykonywaniu środków bezpieczeństwa finansowego wynikających z AML, co jak się okazuje było niezbędne, skoro organ stawia tezę, iż uprawnienie do przechowywania danych "związanych z zastosowaniem środków bezpieczeństwa finansowego jest powiązane z transakcją" (s.10 decyzji), co stoi w oczywistej sprzeczności z całą systematyka AML, w szczególności art. 34 ust. 1 pkt 1, art. 35 ust. 1 pkt 1 i pkt 6 oraz art.35 ust. 2 pkt 2 AML, - art. 7, art. 7b w związku z art. 77 k.p.a. polegające na tym, że PUODO zaniechał współdziałania w kwestiach istotnie specjalistycznych - współdziałania z KNF w zakresie obowiązków warunków testowania modeli statystycznych, których podstawą są rzeczywiste, a nie fikcyjne dane; zaniechanie to skutkuje niezastosowaniem wskazanych w skardze przepisów CRR; II. naruszenie przepisów prawa materialnego, które miało wpływ na wynik sprawy, tj.: - art. 6 ust. 1 lit. c RODO w związku z art. 34 ust. 1 pkt 1 (obowiązek stosowania środków bezpieczeństwa finansowego w postaci identyfikacji i weryfikacji tożsamości) w związku z art. 34 ust. 3 (obowiązek dokumentowania środków bezpieczeństwa finansowego) oraz art. 35 ust. 1 pkt 1 (obowiązek stosowania środków bezpieczeństwa finansowego przy nawiązywaniu stosunków gospodarczych) AML, gdyż dopiero uwzględniając te przepisy można, w ramach wykładni systemowej, ustalać znaczenie terminu wskazanego w art. 49 ust. 1 i ust.2 AML. Wykładania RODO nie może doprowadzać do pominięcia innych dziedzin prawa, w których przetwarzanie danych jest albo obowiązkiem Banku - tak jak w przypadku AML albo jego uprawnieniem wykonywanym bez naruszania praw i wolności osoby fizycznej (jak w przypadku archiwizacji dokumentacji); - art. 6 ust. 1 lit. c RODO w związku z art. 144 ust. 1 lit. d, art.145 ust. 1, art. 170 ust. 3 lit. a, art. 171 ust. 2 i art. 179 ust. 1 lit. a oraz art. 181 ust. 2 oraz o warunki testowania modeli, np. art.190 ust. 2 lit. a, art. 195 ust. 3 lit. a, art. 221 ust. 4 lit. g, art. 286, art. 290, art. 292 ust. 5 lit. a, art. 370 lit. d CRR, polegające na niestosowaniu i przyjęciu, iż Bank nie legitymuje się przesłanką przetwarzania danych wynikającą z art. 6 ust. 1 lit. e RODO w związku z ww. przepisami CRR wskazującymi na określone obowiązki w zakresie wymogów ostrożnościowych; - art. 6 ust. 1 lit. f w związku z art. 5 ust. 1 lit. c i lit. e RODO w związku z art. 118 k.c. oraz innymi właściwymi przepisami o przedawnieniu - poprzez przyjęcie, że dane osobowe uwidocznione w dokumentach złożonych w Banku (wnioski) lub pozyskane wskutek analizy tych wniosków (raporty dotyczące zapytań) nie mogą być przetwarzane w celu archiwalnym przez okres do upływu terminu przedawnienia, który wynika z art. 117 § 21 k.c., w ramach wykonywania czynności archiwizacyjnych dotyczących ewidencjonowanego niepaństwowego zasobu archiwalnego powstałego i powstającego zgodnie z art. 42 pkt 4 ustawy z dnia 14 lipca 1983 r. o narodowym zasobie archiwalnym i archiwach. Rozumowanie nakazujące usunąć dane natychmiast, gdy zakończono daną czynność (np. odmówiono zawarcia umowy) narusza uprawnienie do archiwizacji danych w granicach określonych złożonymi przez uczestnika postępowania dokumentami w okresie, w którym upływa termin przedawnienia. Według Banku, wykładnia PUODO narusza niezbędny i prawnie usprawiedliwiony interes Banku, który z kolei nie narusza praw ani wolności uczestnika i nie ma nic wspólnego z wnioskiem uczestnika postępowania o wykreślenie jego danych z bazy BIK; - art. 105a ust. 5 Pb poprzez pominięcie, iż terminy wskazane w tym przepisie są terminami końcowymi, a zwrot dotyczący przetwarzania, które "może być wykonywane przez okres nie dłuższy niż 5 lat od dnia wygaśnięcia zobowiązania, a w przypadku, o którym mowa w ust. 4, przez okres 12 lat od dnia wygaśnięcia zobowiązania" nie oznacza zakazu przetwarzania przed powstaniem zobowiązania, w szczególności, gdy na mocy odrębnych przepisów przetwarzanie to jest nakazane (AML, modele statystyczne) lub dozwolone (archiwizacja) bez naruszania praw i wolności uczestnika postępowania, - art. 6 ust. 1 lit. c RODO w związku z art. 105 ust. 4 Pb polegające na jego niezastosowaniu i przyjęciu, że BIK nie legitymuje się przesłanką przetwarzania danych wynikającą z art. 6 ust. 1 lit. c RODO w związku z art. 105 ust. 4 Pb, co wpływa na interes prawny Banku, podczas gdy przepisy te (a także ich wykładnia dokonana przez nadzór bankowy w drodze rekomendacji T, wydanej na podstawie art. 137 ust. 1 pkt 5 Pb) nakładają na Bank obowiązek korzystania z zewnętrznej bazy danych, o której mowa w art. 105 ust. 4 Pb do oceny zdolności kredytowej i analizy ryzyka kredytowego; - art. 6 ust. 1 lit. f RODO w związku z Rekomendacjami S, W i T KNF (wydanymi w oparciu o art. 137 ust. 1 pkt 5 Pb), polegające na niewłaściwym zastosowaniu i przyjęciu, iż Bank nie legitymuje się przesłanką przetwarzania danych wynikającą z art. 6 ust. 1 lit. f RODO w związku z Rekomendacjami S, W i T KNF, podczas gdy przepisy te nakładają na banki oraz BIK (jako instytucję powołaną na mocy art. 105 ust. 4 Pb) określone wymagania nie tylko w związku z oceną poszczególnego wniosku kredytowego, ale także w związku z budową metod i modeli statystycznych (w tym scoringowych) oraz testowaniem warunków skrajnych. W świetle ww. zarzutów, Bank domagał się uchylenia zaskarżonej decyzji w całości i zasądzenia od organu na jego rzecz zwrotu kosztów postępowania według norm przepisanych. Nadto, na podstawie art. 61 § 3 ustawy z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2024 r., poz. 935 ze zm.), zw. dalej "p.p.s.a." wniósł o wstrzymanie wykonania zaskarżonej decyzji w całości przez Sąd, ze względu na niebezpieczeństwo spowodowania trudnych do odwrócenia skutków oraz niebezpieczeństwo wyrządzenia Bankowi znacznej szkody przyjąwszy, że decyzja nakazuje usunięcie danych uczestnika, a więc trwałe zaprzestanie przetwarzania danych, podczas, gdy istnieją ustawowe podstawy przetwarzania danych uczestnika, a sam dokument zapytania kredytowego został już usunięty. W odpowiedziach na skargę PUODO wniósł o jej oddalenie, podtrzymując stanowisko wyrażone w zaskarżonej decyzji. Postanowieniem wydanym w dniu [...] marca 2025 r. Wojewódzki Sąd Administracyjny w Warszawie, działając na podstawie art. 61 § 3 i § 5 p.p.s.a. wstrzymał wykonanie zaskarżonej decyzji. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: Skarga jest nieuzasadniona, gdyż zaskarżona decyzja PUODO odpowiada prawu. Zgodnie z motywem 40 RODO, aby przetwarzanie danych było zgodne z prawem, to powinno się odbywać na podstawie zgody osoby, której dane dotyczą, lub na innej uzasadnionej podstawie, prawem przewidzianej: albo w RODO, albo w innym akcie prawnym Unii lub w prawie państwa członkowskiego, o których mowa w RODO, w tym musi się ono odbywać z poszanowaniem obowiązku prawnego, któremu podlega administrator, lub z poszanowaniem umowy, której stroną jest osoba, której dane dotyczą, lub w celu podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy. W świetle RODO, przetwarzanie danych osobowych uważa się za legalne, jeśli ich administrator spełni co najmniej jedną z przesłanek wskazanych w art. 6 ust. 1 tego aktu, a mianowicie: a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów, b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy, c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze, d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą lub innej osoby fizycznej, e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi, f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności, gdy osoba, której dane dotyczą, jest dzieckiem. W niniejszej sprawie nie budzi wątpliwości oraz nie było kwestionowane przez organ w zaskarżonej decyzji, iż tak Bank, jak i BIK, były uprawnione do przetwarzania danych osobowych uczestnika w trybie art. 105a ust. 1 i art. 70 ust. 1 P.b., w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Stosownie do treści art. 105a ust. 1 P.b., przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów, instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim (Dz.U. z 2024 r., poz. 1497 ze zm.; zw. dalej "u.k.k."), a także instytucje utworzone na podstawie art. 105 ust. 4 P.b., informacji stanowiących tajemnicę bankową i informacji udostępnionych przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d u.k.k., w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem art. 104, art. 105 i art. 106-106d P.b., w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Przepis art. 105a ust. 4 P.b. stanowi, że banki oraz instytucje, o których mowa w art. 105 ust. 4, mogą przetwarzać stanowiące tajemnicę bankową informacje dotyczące osoby fizycznej po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której informacje dotyczą, do celów stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej CRR. Wedle art. 105a ust. 5 P.b., przetwarzanie informacji stanowiących tajemnicę bankową w przypadkach, o których mowa w ust. 3, może być wykonywane przez okres nie dłuższy niż 5 lat od dnia wygaśnięcia zobowiązania, a w przypadku, o którym mowa w ust. 4, przez okres 12 lat od dnia wygaśnięcia zobowiązania. Jak wskazuje art. 70 ust. 1 P.b., bank uzależnia przyznanie kredytu od zdolności kredytowej kredytobiorcy. Przez zdolność kredytową rozumie się zdolność do spłaty zaciągniętego kredytu wraz z odsetkami w terminach określonych w umowie. Kredytobiorca jest obowiązany przedłożyć na żądanie banku dokumenty i informacje niezbędne do dokonania oceny tej zdolności. Sąd, mając powyższe przepisy na względzie stwierdza, iż organ trafnie przyjął, że Bank i BIK, na podstawie ww. przepisów, a w szczególności art. 105a ust. 1 w związku z art. 70 ust. 1 P.b., były uprawnione do przetwarzania danych osobowych uczestnika w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Istota sporu między stronami postępowania sprowadza się do odpowiedzi na pytanie, czy w sytuacji, w której nie doszło do zawarcia umowy pożyczki między uczestnikiem postępowania a Bankiem, istniała podstawa do dalszego przetwarzania przez Bank i BIK danych osobowych uczestnika. W tym miejscu należy przywołać art. 105a ust. 2 P.b., stanowiący, iż z zastrzeżeniem ust. 3, instytucje, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową oraz informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d u.k.k., w zakresie dotyczącym osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d u.k.k., pod warunkiem uzyskania pisemnej zgody osoby, której informacje te dotyczą, z zastrzeżeniem ust. 2a. Zgoda ta może być w każdym czasie odwołana. Przepis art. 105a ust. 3 P.b. przewiduje, że banki, instytucje oraz podmioty, o których mowa w art. 105a ust. 1 P.b., mogą przetwarzać informacje stanowiące tajemnicę bankową i informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d u.k.k., dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d u.k.k., bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d u.k.k., a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank, inną instytucję ustawowo upoważnioną do udzielania kredytów, instytucję pożyczkową albo podmiot, o którym mowa w art. 59d u.k.k., o zamiarze przetwarzania dotyczących tych informacji, bez zgody. Sąd podziela stanowisko PUODO wyrażone w zaskarżonej decyzji, że skoro nie doszło do zawarcia umowy kredytu z uczestnikiem postępowania przez Bank, to odpadła przesłanka legalizująca dalsze przetwarzanie danych osobowych uczestnika. Wbrew zarzutom obu skarg, przepis art. 105a P.b., w tym ust. 1, ust. 1a, ust. 1b, i ust. 1c, określa warunki dopuszczalności zautomatyzowanego przetwarzania, w tym profilowania danych osobowych w celu oceny zdolności kredytowej i analizy ryzyka kredytowego oraz nie daje podstaw do dalszego przetwarzania danych osobowych uczestnika po zakończeniu oceny zdolności kredytowej i analizy ryzyka kredytowego, gdy umowy nie zawarto. Na podstawie ww. przepisów Bank i BIK nie mają uprawnienia do dalszego przetwarzania danych osobowych uczestnika postępowania, ponieważ nie zawarto umowy w związku z jego wnioskiem o kredyt, a tym samym nie wykazano przesłanki legalizującej proces dalszego przetwarzania. Przepisy art. 105a P.b. dotyczą przetwarzania informacji objętych tajemnicą bankową w okresie jedynie przed powstaniem zobowiązania, w trakcie jego trwania oraz po wygaśnięciu zobowiązania. W sytuacji zaś, gdy w następstwie złożenia wniosku kredytowego nie dochodzi do zawarcia umowy kredytowej z bankiem (zobowiązanie nie powstaje), to brak jest podstaw prawnych - ustawowych przesłanek do powołania się na art. 105a P.b., czyli zalegalizowania dalszego przetwarzania danych osobowych potencjalnego klienta przez Bank oraz BIK. Ocena zdolności kredytowej i ryzyka kredytowego ma charakter czynności wstępnych, które w rozpoznawanej sprawie nie doprowadziły do zawarcia umowy przez Bank. W związku z tym dalsze przetwarzanie danych osobowych uczestnika postępowania, które pozyskano jedynie w celu oceny zdolności kredytowej, gdy nie doszło do zawarcia stosownej umowy, pozostawałoby w oderwaniu od celu, dla którego dane te uzyskano. Prawidłowe było zatem przyjęcie przez organ, iż w takim przypadku niedopuszczalne było przetwarzanie danych osobowych uczestnika na przyszłość, a także na potrzeby budowy oceny zdolności kredytowej innych podmiotów, gdy nie można zrekonstruować wyraźnej podstawy prawnej takich działań BIK i Banku. Zarówno Bank, jak i BIK w sposób nieuprawniony próbuje rozszerzyć stosowanie art. 105a ust. 1 P.b. na sytuacje, w których nie dochodzi do zawarcia umowy, a dane osobowe osoby wnioskującej o kredyt są przetwarzane w celu oceny ryzyka kredytowego. Sąd nie neguje, że ocena ryzyka kredytowego jest obowiązkiem banku. Instrumenty służące dokonaniu takiej oceny przez banki muszą jednak być stosowane z poszanowaniem przepisów prawa normujących uprawnienie banków do przetwarzania danych osobowych potencjalnych klientów. Słusznie zatem zauważa organ, iż prezentowana przez Bank i BIK wykładnia art. 105a ust. 1 P.b. prowadziłaby do wniosku, że na potrzeby oceny zdolności kredytowej i analizy ryzyka kredytowego banki lub inne podmioty wymienione w tym przepisie byłyby uprawnione do przetwarzania danych osobowych potencjalnych klientów bez żadnego ograniczenia czasowego, mimo że nie zawarto umowy o kredyt. W przypadku zaś, gdyby doszło do zawarcia umowy, banki byłyby uprawnione do przetwarzania danych osobowych po wygaśnięciu zobowiązania, bez zgody osoby, której informacje dotyczą, przez okres wskazany w art. 105a ust. 5 P.b. Takiego stanowiska nie sposób zaakceptować. Skoro ustawodawca w art. 105a ust. 1 P.b. nie wskazał okresu, w ciągu którego mogą być przetwarzane informacje stanowiące tajemnicę bankową, a w art. 105a ust. 5 P.b. wskazał takie okresy w odniesieniu do sytuacji, w których wygasło zobowiązanie, to nie oznacza to, iż okres przetwarzania tych informacji, w sytuacji gdy nie doszło do zawarcia umowy, jest nieograniczony. Przetwarzanie danych osobowych w oparciu o art. 105a ust. 1 P.b. jest uprawnione w odniesieniu do konkretnego zapytania kredytowego. Jeżeli nie dochodzi do zawarcia umowy, to uprawnienie do przetwarzania danych osobowych w oparciu o ten przepis wygasa. Powyższe stanowisko znajduje potwierdzenie m.in. w wyrokach NSA z 27 lipca 2019 r., sygn. akt I OSK 2567/17, z 13 lutego 2025 r., sygn. akt III OSK 6563/21 i z 29 maja 2025 r., sygn. akt III OSK 984/22. Wskazano w nich, iż cel oceny zdolności kredytowej stanowi ocena zdolności do spłaty zaciągniętego kredytu wraz z odsetkami, co ma charakter czynności wstępnej do zawarcia stosownej umowy. Celem oceny zdolności kredytowej i analizy ryzyka kredytowego w odniesieniu do konkretnego klienta jest bowiem zawarcie umowy kredytowej na określonych warunkach. Skoro do niej nie dochodzi wskutek tej czynności banku, to nie ma podstaw prawnych do dalszego ich przechowywania. Dalsze przetwarzanie danych uzyskanych w celu oceny zdolności kredytowej, w przypadku niezawarcia stosownej umowy pozostawałaby w oderwaniu od celu, dla którego dane te uzyskano. Niedopuszczalne jest przetwarzanie danych osobowych na przyszłość, a także na potrzeby budowy oceny zdolności kredytowej innych podmiotów, jeżeli nie można zrekonstruować wyraźnej podstawy prawnej takich działań. Gdyby podzielić stanowisko Banku, że pozyskanie danych na etapie złożenia wniosku kredytowego, uprawnia go do ich nieograniczonego w czasie przechowywania po odmowie zawarcia umowy kredytowej, to regulacje zawarte w art. 105a ust. 2 i 3 i ust. 5 P.b., ograniczające w czasie przypadki przetwarzania danych klientów z umów kredytowych, byłyby pozbawione sensu. Skoro celem przetwarzania była ocena zdolności kredytowej i analizy ryzyka kredytowego, to cel ten odpadł z momentem jej dokonania. W przypadku osób, z którymi zawarto umowę kredytową, istnieje podstawa do dalszego ich przetwarzania, a w stosunku do tych, z którymi nie zawarto umowy, takiej podstawy nie sposób wywieść ani z przepisów obowiązującej wówczas ustawy o ochronie danych osobowych ani P.b. Pogląd ten nie stracił na aktualności. Przepisy RODO wzmacniają jeszcze, w porównaniu z dyrektywą 95/46, ochronę danych osób fizycznych. Nie ma także znaczenia fakt, iż BIK i Bank, przyjęły w swej praktyce określone terminy dalszego przetwarzania danych osobowych osoby, z którą nie zawarto umowy kredytu. Zdaniem Sądu, niezasadne są również zarzuty naruszenia art. 6 ust. 1 lit. c RODO w związku z art. 105 ust. 1 pkt 1c i w związku z art. 105 ust. 4 P.b. Bank, zgodnie z art. 105 ust. 1 pkt 1c P.b., ma obowiązek udzielenia informacji stanowiących tajemnicę bankową wyłącznie instytucjom, o których mowa w ust. 4, w zakresie niezbędnym do stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w przepisach części trzeciej CRR. Natomiast z art. 105 ust. 4 P.b. wynika, że banki mogą, wspólnie z bankowymi izbami gospodarczymi, utworzyć instytucje upoważnione do gromadzenia, przetwarzania i udostępniania, m.in. bankom oraz innym podmiotom określonym w tym przepisie, informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej CRR. Zdaniem Sądu, art. 105 ust. 4 P.b. jest przepisem o charakterze ogólnym, który nie nakłada na Bank obowiązku korzystania z zewnętrznej bazy zawierającej informacje o wnioskach z sektora bankowego oraz sektora pożyczkowego, a jedynie stanowi o możliwości utworzenia wspólnie z bankowymi izbami gospodarczymi, instytucji upoważnionych do gromadzenia, przetwarzania i udostępniania danych, a w konsekwencji nie daje podstaw do nieograniczonego przetwarzania wszelkich danych osobowych przez utworzone instytucje. Zasady przetwarzania danych objętych tajemnicą bankową określa art. 105a P.b., który wskazuje na możliwość uznania za podstawę przetwarzania danych osobowych. Na gruncie tego przepisu należy więc oceniać dopuszczalność przetwarzania poszczególnych danych osobowych, w określonych ściśle celach. Podstawy prawnej przetwarzania danych osobowych w rozpoznawanej sprawie nie mógł stanowić zatem art. 105 ust. 4 P.b. samodzielnie ani też w powiązaniu z art. 105 ust. 1 pkt 1c P.b. Sąd w związku z tym uznaje, iż przesłanka z art. 6 ust. 1 lit. c RODO nie znajduje zastosowania w okolicznościach faktycznych sprawy. Przepis ten dotyczy sytuacji, gdy przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego administratora danych, a nie realizacji uprawnienia, o którym mowa w art. 105 ust. 4 P.b. Ponadto art. 105 ust. 4 P.b. nie stanowi o dopuszczalności przetwarzania danych osobowych dotyczących wniosków kredytowych w sytuacji, gdy nie doszło do zawarcia umowy z bankiem. Uznanie takiego procesu przetwarzania danych za legalny wymaga podstawy prawnej, której nie stanowią regulaminy ani umowy zawierane między poszczególnymi instytucjami a bankami. Aktualny pozostaje również następujący pogląd wyrażony w wyroku NSA z 14 września 2005 r., sygn. akt I OSK 39/05 "Nie można zatem podzielić stanowiska, aby zezwalający na utworzenie instytucji zajmujących się szczególnym przetwarzaniem danych osobowych przepis stanowił zarazem podstawę do przetwarzania przez nie danych osobowych bez zgody osób, których dane dotyczą, gdyż nie tylko literalne brzmienie przepisu nie uzasadnia takiego przekazania, lecz i argumenty logiki prawniczej nie prowadzą do takiego wniosku. Nie można bowiem dowodzić, że w utworzonej zgodnie z prawem instytucji wolno działać w sposób, który sama uzna za odpowiadający jej celom, gdyż zezwolenie na utworzenie nie jest równoznaczne z zezwoleniem na działanie bez ograniczeń". Wprawdzie ww. wyrok opiera się na uprzednim brzmieniu art. 105 P.b., to istota poglądu wyrażonego przez NSA w odniesieniu do przetwarzania danych osobowych, jako instytucji utworzonej na podstawie art. 105 ust. 4 P.b., nie straciła na aktualności. Zmiana brzmienia art. 105 P.b. na przestrzeni lat od czasu wydania ww. orzeczenia dodatkowo utwierdza w trafności tego poglądu, a także trafności stanowiska PUODO zaprezentowanego w zaskarżonej decyzji. Niewykazanie przez Bank przesłanki legalizującej dalsze przetwarzanie danych osobowych uczestnika postępowania, po osiągnięciu pierwotnego celu przetwarzania - w postaci oceny zdolności kredytowej i ryzyka kredytowego - prawidłowo implikowało podjęcie przez PUODO czynności, o których mowa w pkt 1 i 2 zaskarżonej decyzji. Według Sądu, na uwzględnienie nie zasługiwał też zarzut naruszenia art. 6 ust. 1 lit. f RODO w związku z k.c. i w nawiązaniu do potrzeby przechowywania danych (zawartych w ww. zapytaniach kredytowych) uczestnika, z którym nie zawarto umowy kredytu - w celu ustalenia, dochodzenia i ochrony przed roszczeniami, ewentualnego zabezpieczenia roszczeń, na wypadek konieczności obrony lub dochodzenia ewentualnych roszczeń, które mogą się pojawić w określonym czasie po przeprowadzeniu stosownej analizy zdolności kredytowej oraz analizie ryzyka kredytowego. Za usprawiedliwiony cel w rozumieniu art. 6 ust. 1 lit. f RODO nie może zostać uznane przetwarzanie danych osobowych na wypadek ewentualnego dochodzenia lub obrony roszczeń. Z akt sprawy nie wynika, aby uczestnik postępowania, który zażądał usunięcia danych w zakresie ww. zapytań kredytowych, miał jakiekolwiek roszczenia na drodze cywilnoprawnej do Banku lub BIK. Z akt sprawy i wyjaśnień Banku nie wynika, aby ww. osoba posiadała w Banku zobowiązania, czy była posiadaczem rachunku osobistego lub innych produktów bankowych. Uczestnik jednoznacznie żądał usunięcia swoich danych osobowych, przetwarzanych, w jego ocenie, bez podstawy prawnej. W tym kontekście na uwzględnienie nie zasługiwały zarzuty o naruszeniu ww. przepisów prawa procesowego. Organ, przed wydaniem zaskarżonej decyzji, poczynił niezbędne w sprawie ustalenia faktyczne, jak również rozważył wszystkie wynikające z akt sprawy okoliczności faktyczne w kontekście obowiązujących i powołanych przez Bank przepisów prawa, które mogły być brane pod uwagę. Z tego względu nie doszło do naruszenia art. 7, art. 77, art. 80, art. 107 k.p.a. Przepis art. 6 ust. 1 lit. f RODO nie może stanowić podstawy do dalszego przetwarzania przez Bank i BIK danych osobowych uczestnika postępowania na wypadek ewentualnego dochodzenia przyszłych i niepewnych roszczeń. Przepisy dotyczące przedawnienia odnoszą się do zobowiązań, a z uczestnikiem Bank nie zawarł żadnej umowy. Ważąc interesy uczestnika postępowania, który żądał respektowania swoich praw do ochrony danych osobowych, wynikających z RODO, jak również uwzględniając interesy Banku oraz BIK, w sytuacji, gdy nie zawarto umowy kredytowej, należało uznać, iż nie było podstaw do przyjęcia, że spełniona została przesłanka z art. 6 ust. 1 lit. f RODO. Sąd podziela pogląd NSA, w myśl którego niedopuszczalne jest przetwarzanie danych osobowych niejako "na zapas" z założeniem, iż mogą być one ewentualnie przydatne w przyszłości (vide wyrok NSA z 27 marca 2018 r., sygn. akt I OSK 1459/16). Wywodzenie z kwestii przedawnienia roszczeń samodzielnej podstawy do przetwarzania danych - w przypadku danych osoby, z którą Bank nie zawarł umowy kredytowej - nie jest uprawnione i nie stanowi przesłanki do ich dalszego przetwarzania. Sąd nie dostrzega również naruszenia art. 6 ust. 1 lit. c RODO w związku z art. 106d P.b., jak i w związku z przepisami AML. Stosownie do treści art. 106d ust. 1 P.b., banki, inne instytucje ustawowo upoważnione do udzielania kredytów, izby rozliczeniowe utworzone na podstawie art. 67, instytucje utworzone na mocy art. 105 ust. 4 P.b., instytucje pożyczkowe, podmioty, których podstawowa działalność polega na udostępnianiu składników majątkowych na podstawie umowy leasingu, oraz podmioty, o których mowa w art. 59d u.k.k., mogą przetwarzać i wzajemnie udostępniać informacje, w tym informacje objęte tajemnicą bankową, w przypadkach: 1) uzasadnionych podejrzeń, o których mowa w art. 106a ust. 3; 2) uzasadnionych podejrzeń popełnienia przestępstw dokonywanych na szkodę banków, innych instytucji ustawowo upoważnionych do udzielania kredytów, instytucji kredytowych, instytucji finansowych, instytucji pożyczkowych oraz podmiotów, o których mowa w art. 59d u.k.k., i ich klientów, w celu i zakresie niezbędnym do zapobiegania tym przestępstwom; 3) wykonywania obowiązków w zakresie określonym w przepisach AML. Art. 106a ust. 3 P.b., do którego odwołano się w art. 106d ust. 1 pkt 1 P.b., stanowi, że w przypadku powzięcia uzasadnionego podejrzenia, iż zgromadzone na rachunku bankowym środki, w całości lub w części pochodzą lub mają związek z przestępstwem skarbowym lub przestępstwem innym niż przestępstwo, o którym mowa w art. 165a lub art. 229 Kodeksu karnego, bank jest uprawniony do dokonania blokady środków na tym rachunku. Blokada może nastąpić wyłącznie do wysokości zgromadzonych na rachunku środków, co do których zachodzi takie podejrzenie. Z materiału dowodowego sprawy, w tym z wyjaśnień stron udzielonych w toku postępowania administracyjnego, nie wynika, aby w rozpoznawanej sprawie którykolwiek z powyższych przypadków miał miejsce, w szczególności, aby występowało "uzasadnione podejrzenie" co do okoliczności określonych w ww. przepisach. Przepis art. 33 ust. 1 AML wymaga od instytucji obowiązanych m.in. stosowania wobec swoich klientów środków bezpieczeństwa finansowego, których zakres (katalog) znajduje się w art. 34 AML. W art. 33 ust. 2 AML podano, iż instytucje obowiązane rozpoznają ryzyko prania pieniędzy oraz finansowania terroryzmu związane ze stosunkami gospodarczymi lub z transakcją okazjonalną oraz oceniają poziom rozpoznanego ryzyka. Natomiast w art. 33 ust. 3 pkt 6 AML wskazano, że instytucje obowiązane dokumentują rozpoznane ryzyko prania pieniędzy oraz finansowania terroryzmu związane ze stosunkami gospodarczymi lub z transakcją okazjonalną oraz jego ocenę, uwzględniając w szczególności czynniki dotyczące celu, regularności lub czasu trwania stosunków gospodarczych. Art. 34 ust. 1 AML odnosi się m.in. do bieżącego monitorowania stosunków gospodarczych klienta (w tym analizę transakcji przeprowadzanych w ramach stosunków gospodarczych, badanie źródła pochodzenia wartości majątkowych będących w dyspozycji klienta - w przypadkach uzasadnionych okolicznościami, zapewnienie, że posiadane dokumenty, dane lub informacje dotyczące stosunków gospodarczych są na bieżąco aktualizowane). Art. 35 AML określa sytuacje, w których bank jest obowiązany stosować środki bezpieczeństwa finansowego, natomiast art. 36 AML dotyczy kwestii identyfikacji klienta. Zgodnie z art. 49 ust. 1 AML, kopie dokumentów i informacje uzyskane w wyniku stosowania środków bezpieczeństwa finansowego, a także dowody potwierdzające przeprowadzone transakcje i ewidencje transakcji, obejmujące oryginalne dokumenty lub kopie dokumentów konieczne do identyfikacji transakcji, przechowuje się przez okres 5 lat licząc od pierwszego dnia roku następującego po roku, w którym zakończono stosunki gospodarcze z klientem, lub w którym przeprowadzono transakcje okazjonalne. W przypadku dokonania analizy przeprowadzonej transakcji i udokumentowania jej analizy, w myśl art. 34 ust. 3 AML, instytucja pożyczkowa na mocy art. 49 ust. 2 AML jest obowiązana do przechowywania jej wyników przez okres 5 lat, licząc od pierwszego dnia roku następującego po roku ich przeprowadzenia. Z przytoczonych unormowań wynika uprawnienie do monitorowania stosunków gospodarczych klienta i stosowania odpowiednich środków bezpieczeństwa finansowego. Przepisy te nie mają jednak odniesienia do stanu faktycznego sprawy, gdyż nie doszło do zawarcia umowy kredytowej. Przepis art. 2 ust. 2 pkt 2 AML definiuje stosunki gospodarcze jako stosunki instytucji obowiązanej z klientem związane z działalnością zawodową instytucji obowiązanej, które w chwili ich nawiązywania wykazują cechę trwałości. Tymczasem uczestnik nie był klientem Banku w rozumieniu ww. przepisu. W przypadku braku nawiązania stosunków gospodarczych pomiędzy Bankiem a ww. osobą fizyczną, brak jest też zdarzeń wymienionych w art. 49 ust. 1 AML, tj. zakończenia stosunków gospodarczego z klientem lub przeprowadzenia transakcji okazjonalnej, od wystąpienia których można dopiero liczyć wskazany w ww. przepisie termin przetwarzania danych osobowych. Rozszerzanie dopuszczalności przetwarzania danych osoby fizycznej, z którą nie zawarto umowy kredytowej, z powołaniem się na zapewnienie bezpieczeństwa finansowego w przypadku nawiązywania stosunków gospodarczych, a zatem szeroko rozumiane, ogólne cele, nie znajduje podstawy na gruncie RODO i jest wprost sprzeczne z zasadą ograniczenia celu (art. 5 ust. 1 lit. b RODO), gdy nie ma mowy o nawiązaniu stosunku zobowiązaniowego. W myśl natomiast art. 70a ust. 1 P.b., banki i inne instytucje ustawowo upoważnione do udzielania kredytów, na wniosek osoby fizycznej, prawnej lub jednostki organizacyjnej niemającej osobowości prawnej, o ile posiada zdolność prawną, ubiegającej się o kredyt, przekazują, w formie pisemnej, wyjaśnienie dotyczące dokonanej przez siebie oceny zdolności kredytowej wnioskującego. Wedle art. 70 ust. 2 P.b. wyjaśnienie, o którym mowa w ust. 1, obejmuje informacje na temat czynników, w tym danych osobowych wnioskującego, które miały wpływ na dokonaną ocenę zdolności kredytowej. Powstanie obowiązku, o którym mowa w art. 70a ust. 1 P.b., uzależnione jest od złożenia stosownego wniosku przez osobę ubiegającą się o kredyt. Wniosek taki nie został złożony, a uczestnik postępowania po odmownej decyzji kredytowej, wniósł o usunięcie swoich danych. W związku z odmową w tym zakresie, podjął też działania przed PUODO. Z akt sprawy i całokształtu okoliczności nie wynika, aby uczestnik wystąpił do Banku czy BIK o jakiekolwiek wyjaśnienie dotyczące dokonanej oceny zdolności kredytowej. Natomiast uczestnik postępowania złożył żądanie usunięcia danych. Nie może być zatem mowy o tym, aby w sprawie znajdował zastosowanie art. 70a ust. 1 i 2 P.b., uprawniający Bank do przetwarzania danych osobowych w związku z koniecznością ewentualnego wypełnienia obowiązku wynikającego z art. 70a ust. 1 i ust. 2 P.b. Nie ma również podstaw, aby w stanie faktycznym sprawy, wywodzić z Rekomendacji KNF – wobec osoby, z którą nie zawarto umowy kredytowej i która zażądała usunięcia danych – prawnie uzasadnione interesy Banku (i BIK), o których jest mowa w art. 6 ust. 1 lit. f RODO. Rekomendacje KNF, które zawierają konkretne wymagania regulacyjne, wobec narzędzi używanych przez banki, nie powinny być interpretowane w sprzeczności z RODO w zakresie legalności przetwarzania danych (w zakresie zapytań kredytowych) osób, z którymi nie zawarto umów kredytowych. Ponadto nie można ich wykładać w sposób prowadzący do nieuprawnionego przetwarzania danych osobowych osób fizycznych, które nie nawiązały z bankiem stosunku umownego. Twierdzenie, że wypełnienie nakazu PUODO, w postaci usunięcia danych osobowych uczestnika postępowania, przetwarzanych niezgodnie z prawem, prowadziłoby do uniemożliwienia Bankowi realizacji Rekomendacji, nie daje podstaw do dalszego przetwarzania, na gruncie RODO, danych zawartych w zapytaniu kredytowym osoby, z którą Bank umowy nie zawarł, a jednocześnie nie uzyskał zgody tej osoby na dalsze przetwarzanie jej danych osobowych w celach innych niż te, w jakich je zgromadził. Zdaniem Sądu w świetle akt sprawy były więc nieuzasadnione zarzuty skarg dotyczące naruszenia przepisów prawa procesowego: art. 7, art. 77 § 1 oraz art. 80 k.p.a., bowiem organ prawidłowo zebrał i ocenił zgromadzony w sprawie materiał dowodowy, w tym opierając się na wyjaśnieniach Banku oraz BIK dotyczących przetwarzania danych osobowych uczestnika postępowania zawartych we wnioskach kredytowych. Odmienna ocena Banku w zakresie wykładni i zastosowania powołanych przez organ przepisów prawa, nie stanowi o naruszeniu przepisów proceduralnych. Uzasadnienie zaskarżonej decyzji odpowiada ponadto wymogom określonym w art. 107 § 3 k.p.a. Nietrafny jest też zarzut naruszenia art. 7b k.p.a. przez zaniechanie zwrócenia się przez PUODO do KNF, jako organu właściwego w sprawach związanych m.in. z badaniem zdolności kredytowej i analizy ryzyka kredytowego, a także budową modeli scoringowych i w konsekwencji niedostateczne wyjaśnienie stanu faktycznego sprawy. Zgodnie z art. 7b k.p.a., w toku postępowania organy administracji publicznej współdziałają ze sobą w zakresie niezbędnym do dokładnego wyjaśnienia stanu faktycznego i prawnego sprawy, mając na względzie interes społeczny i słuszny interes obywateli oraz sprawność postępowania, przy pomocy środków adekwatnych do charakteru, okoliczności i stopnia złożoności sprawy. W ocenie Sądu, stan faktyczny i prawny sprawy został przez organ prawidłowo ustalony i należycie rozpatrzony w oparciu o zgromadzony materiał dowodowy, w tym przede wszystkim w oparciu o wyjaśnienia Banku oraz BIK. Nie zachodziły więc przesłanki do podjęcia przez PUODO współdziałania z innymi organami administracji publicznej w trybie art. 7b k.p.a. w celu wydania decyzji w sprawie. PUODO jest niezależnym i wyspecjalizowanym organem w sprawach dotyczących ochrony danych osobowych, który ma status i kompetencje organu nadzorczego, określone w przepisach RODO. Jest zatem uprawniony do samodzielnego dokonywania interpretacji przepisów prawa w zakresie dotyczącym ochrony danych osobowych. Potwierdza to art. 51 oraz motywy 117, 122 i 123 RODO. W okolicznościach faktycznych przedmiotowej sprawy żaden z art. 6 ust. 1 lit. a-f RODO nie stanowił przesłanki przetwarzania danych osobowych uczestnika postępowania (na przyszłość i w innych celach wskazywanych przez Bank i BIK). Jak już wyjaśniono, nie jest trafne powołanie się na konieczność zabezpieczenia ekonomiczno-gospodarczego i zapewnienie stabilności gospodarczej sektora bankowego jako uzasadnienie interesu publicznego, o którym mowa w art. 6 ust. 1 lit. e RODO, w odniesieniu do przetwarzania danych zawartych w zapytaniu kredytowym osoby, z którą Bank nie zawarł umowy. Mając to na uwadze Sąd, na podstawie art. 151 p.p.s.a., orzekł jak w sentencji wyroku.