II SA/Wa 257/25

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Andrzej Góraj, Sędzia WSA Izabela Głowacka- Klimas (spr.), Asesor WSA Mateusz Rogala, Protokolant starszy specjalista Ewa Kielak-Niedźwiedzka po rozpoznaniu na rozprawie w dniu 4 listopada 2025 r. sprawy ze skargi [...] Bank [...] S.A. w W. na punkt 1 decyzji Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] grudnia 2024 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę Prezes Urzędu Ochrony Danych Osobowych (dalej: Prezes UODO) decyzją z [...] grudnia 2024 r. nr [...], działając podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz. U. z 2024 r. poz. 572 ze zm.), w zw. z art. 7 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych (Dz. U. z 2019 r. poz. 1781) oraz art. 6 ust. 1 oraz art. 58 ust. 2 lit. c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (DZ. Urz. UE L119 z 4.05.2016 str. 1, Dz. Urz. UE L 127 z 23.05.2018,str.2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35) dalej RODO, po przeprowadzeniu postępowania administracyjnego w sprawie skargi M. C. (dalej: "uczestniczka"), na nieprawidłowości w procesie przetwarzania jej danych osobowych przez [...] Bank [...] S.A. z siedzibą we W. (dalej: "skarżący", "Bank"), polegające na przetwarzaniu jej danych osobowych w zakresie wynikającym z zapytania kredytowego z [...] kwietnia 2022r., które nie zakończyły się zawarciem umowy kredytowej w Biurze Informacji Kredytowej S.A. z siedzibą w W. przy ul. [...] bez podstawy prawnej, Prezes Urzędu Ochrony Danych Osobowych: 1. udzielił [...] Bank [...] S.A. 2: siedzibą w W., przy ul. [...] upomnienia za naruszenia art. 6 ust. 1 rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE L 119 z 4.05.2016, str. 1, Dz. Urz. UE L 127 z 23.05.2018, str. 2 oraz Dz. Urz. UE L 74 z 4.03.2021, str. 35), polegające na przetwarzaniu bez podstawy prawnej danych osobowych Pani M. C., w zakresie wynikającym z zapytania kredytowego z dnia [...] kwietnia 2022 r., które nie zakończyło się zawarciem umowy kredytowej, w okresie od dnia [...] maja 2022 r., do dnia [...] lipca 2024 r.; 2. nakazał Biuru Informacji Kredytowej S.A. dalej "BIK" lub "Biuro"), z siedzibą w W. przy ul. [...], usunięcie danych osobowych Pani M. C. zam. w K. przy ul. [...] w zakresie wynikającym z zapytania kredytowego z dnia [...] kwietnia 2022 r., przekazanego przez [...] Bank [...] S.A., z siedzibę w W. przy ul. [...]. Wydaniu powyższej decyzji towarzyszył następujący stan sprawy. Na wstępie należy zaznaczyć, że przedmiotem rozważań Sądu będzie pkt. 1 decyzji Prezesa PUODO, gdyż tylko na ten pkt. decyzji została wywiedziona skarga do Wojewódzkiego Sądu Administracyjnego w Warszawie. Do Prezesa UODO wpłynęła skarga M. C. na nieprawidłowości w procesie przetwarzania jej danych osobowych przez Bank, polegające na udostępnieniu jej danych osobowy ci w zakresie zapytania kredytowego z [...] kwietnia 2022r. które nie zakończyło się zawarciem umowy kredytowej w BIK bez podstawy prawnej. W piśmie inicjującym postępowanie Uczestniczka wskazała, że składa skargę na bezprawne przetwarzanie jej danych osobowych przez Bank w BIK w związku z zapytaniem kredytowym z dnia [...] kwietnia 2022 r. W ocenie Uczestniczki Bank przetwarza jej dane osobowe bez podstawy prawnej. Bank odmawia zaprzestania dalszego raportowania do BIK, co powoduje ograniczenie dostępu Uczestniczce do produktów finansowych. Uczestniczka wniosła o nakazanie usunięcia jej danych osobowych na mocy art. 17 RODO (dowód: skarga z dnia 12 maja 2022 r., otrzymana przez tut. Urząd w dniu 20 czerwca 2022 r.; uzupełnienie skargi datowane na dzień 12 maja 2022 r. a otrzymane p-zez tut. Urząd w dniu 14 lipca 2022 r.). Bank wskazał, że pozyskał dane osobowe M. C. w związku z wnioskiem o udzielenie kredytu na zakup pojazdu złożonym przez Uczestniczkę w Banku w dniu [...] kwietnia 2022 r. Wniosek był składany u pośrednika kredytowego jednak nie zakończył się udzieleniem kredytu. W ramach przedmiotowego wniosku Bank pozyskał od Uczestniczki następujące kategorie danych osobowych: dane identyfikacyjne (imię, nazwisko, nazwisko rodowe, nazwisko rodowe matki, numer PESEL, data i miejsce urodzenia, obywatelstwo, rodzaj, seria, numer, data wydania i data ważności dokumentu tożsamości), dane kontaktowe (adres zameldowania, adres zamieszkania (korespondencyjny), numer telefonu), dane dot. sytuacji rodzinnej i finansowej (stan cywilny, liczba dzieci, wykształcenie, wysokość i rodzaj dochodów, stanowisko, zawód) oraz dane finansowe związane z wnioskowanym kredytem, w tym kwota i rodzaj produktu kredytowego (dowód/wyjaśnienia Banku z dnia 30 sierpnia 2022 r. wraz z załącznikami). Bank pozyskał dane osobowe Uczestniczki w ramach wniosku kredytowego z dnia [...] kwietnia 2022 r. w celach: zawarcia i wykonania umowy produktowej (na podstawie art. 6 ust. 1 lit b) RODO, określenia ryzyka kredytowego i zdolności do spłaty zadłużenia oraz oszacowania możliwości zaoferowania Uczestniczce produktów bankowych na określonych warunkach, a także w związku z koniecznością spełnienia wymogów prawnych spoczywających na Banku, m.in. w związku z przepisami ustawy z 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (dalej: AML) (dowód: wyjaśnienia Banku z dnia 30 sierpnia 2022 r. wraz z załącznikami). Bank wyjaśnił, że przetwarzał dane osobowe Uczestniczki w ramach zapytania kredytowego zrealizowanego przez Bank w BIK w związku z procesowaniem 'wniosku kredytowego Skarżącej z dnia [...] kwietnia 2022 r. przez okres 2 lat od daty realizacji przez Bank zapytania kredytowego w BIK (w przypadku Uczestniczki był to okres 2 lat od dnia [...] kwietnia 2022 r.). Okres ten wynika z przyjętego przez w Banku 2-letniego terminu przechowywania tego typu kategorii danych osobowych, związanego z koniecznością spełniania przez Bank poniższych wymogów prawnych (tj. na podstawie art. 6 ust. 1 lit. c) RODO: art. 70 ust. 1 ustawy Prawa bankowego, w związku z którym Bank uzależnia przyznanie kredytu od zdolności kredytowej kredytobiorcy, a kredytobiorca jest - obowiązany przedłożyć na żądanie banku dokumenty i informacje niezbędne do dokonania oceny tej zdolności; b) art. 70a i 105a Prawa bankowego, w związku z koniecznością zagwarantowania możliwości uzyskania wyjaśnień dotyczących dokonanej przez Bank oceny zdolności kredytowej (art. 70a Prawa bankowego) lub w związku z koniecznością zapewnienia prawa do otrzymania stosownych wyjaśnień Banku co do podstaw decyzji podejmowanych w trybie art. 105a ust. 1 Prawa bankowego. W ramach ww. podstawy prawnej przetwarzania danych osobowych Bank zwraca uwagę na okoliczność, że art. 70a Prawa bankowego w zmienionym brzmieniu obowiązuje od 29 września 2023 r. i przed tą datą nie zawierał ograniczenia w postaci terminu na złożenie wniosku o udzielenie przez Bank wyjaśnień dotyczących dokonanej oceny zdolności kredytowej; c) w zakresie stosowania modeli wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia CRR w zw. z art. 105 ust. 4 pkt 1) Prawa bankowego oraz art. T35a ust. 4 Prawa bankowego, tj. m.in. wymogów kapitałowych określonych w części III ww. rozporządzenia -144 ust. 1 lit. d, art. 145 ust. 1, art. 147 ust. 5 w zw. z art. 147 ust. 2 lit. d) oraz art. art. 170 ust. 3 lit. a, art. 171 ust. 2 i ar:. 179 ust 1 lit. a CRR; d) w związku z wymogami określonymi przez Komisję Nadzoru Finansowego w Rekomendacji T dotyczącej dobrych praktyk w zakresie zarządzania ryzykiem detalicznych ekspozycji kredytowych z lutego 2013 r.; e) oceny ryzyka kredytowego, w tym oceny globalnego ryzyka kredytowego, m.in. na podstawie art. 105a ust. 1-1c i 105a ust. 4 Prawa bankowego w związku z powołanymi powyżej przepisami rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 575/2013 z 26 czerwca 2013 r. w sprawie wymogów ostrożnościowych cha instytucji kredytowych oraz zmieniającego rozporządzenie (UE) nr 648/2012 a także w związku z wymogami określonymi przez Komisję Nadzoru Finansowego w Rekomendacji T We wcześniejszych wyjaśnieniach z dnia 30 sierpnia 2022 r Bank wskazał ponadto, iż przetwarza dane osobowe Uczestniczki w zakresie wynikającym z zapytania kredytowego z dnia [...] kwietnia 2022 r. na podstawie art. 6 ust. 1 lit. f) RODO w związku: a) z koniecznością uwzględnienia możliwości dochodzenia przez Uczestniczkę od Banku ewentualnych roszczeń związanych z przedmiotem niniejszego postępowania; b) koniecznością zapewnienia Prezesowi Urzędu Ochrony Danych Osobowych dostępu do informacji niezbędnych do przeprowadzenia postępowania w niniejszej sprawie, w związku z art. 58 ust. 1 lit. e) RODO. Bank wyjaśnił, że nie posiada informacji, aby na dzień złożenia wyjaśnień Uczestniczki wystąpiła w stosunku do Banku z roszczeniem lub Bank wystąpił w stosunku do Uczestniczki z roszczeniami w związku z wnioskiem kredytowym z dnia [...] kwietnia 2022 r. Inspektor Ochrony Danych Banku nie otrzymał informacji o innych, nowych zgłoszeniach reklamacyjnych dokonanych przez Uczestniczkę i dotyczących przedmiotu niniejszego postępowania, poza zgłoszeniem wskazanym i dołączonym do pisma Banku z dnia 30 sierpnia 2022 r. (dowód: wyjaśnienia Banku z dnia 15 marca 2024 r. wraz z załącznikami). Przekazanie danych osobowych Uczestniczki przez Bank do BIK, do jakiego doszło w ramach zapytania kredytowego z dnia [...] kwietnia 2022 r. związanego z procesowaniem przez Bank wniosku kredytowego z dnia [...] kwietnia 2022 r., zostało zrealizowane w celu oceny zdolności kredytowej Uczestniczki w Banku. Do przekazania danych osobowych Uczestniczki do BIK w ramach powyższego zapytania kredytowego doszło [...] kwietnia 2022 r. Wśród danych osobowych Uczestniczki przekazanych w ramach przedmiotowego zapytania do BIK były następujące kategorie danych osobowych: dane identyfikacyjne (numer PESEL, imiona, nazwisko, dane dotyczące dokumentów tożsamości (rodzaj, seria i numer), data urodzenia, obywatelstwo, płeć), dane adresowe (kod kraju zamieszkania, kod pocztowy, miejscowość, ulica, numer domu i numer lokalu) oraz dane ... socjodemograficzne (m.in. powód złożenia zapytania, liczba wnioskodawców, waluta t wniosku, relacja Uczestniczki do wniosku, typ transakcji, kwota kredytu). W związku z powyższym podstawą prawną złożenia przez Bank powyższego zapytania w BIK były przepisy: art. 5 ust. 1 pkt 3 w zw. z art. 70 ust. 1 w zw. z art. 105 ust. 4 w zw. z art. 105 ust. 1 pkt 1c) Prawa bankowego oraz art. 9 ust 2 i 4 ustawy z 12 maja 2011 r. o kredycie konsumenckim (dowód: wyjaśnienia Banku z dnia 30 sierpnia 2022 r. wraz z załącznikami). Bank przedłożył wraz z wyjaśnieniami umowę z dnia 26 lipca 2016 r. zawartą z BIK w sprawie gromadzenia, przetwarzania i udostępniania informacji w bazie SI BIK (dowód: załącznik do wyjaśnień Banku z dnia 30 sierpnia 2022 r.) 7 Bank wskazał, że przedmiotowe zapytanie kredytowe pozostaje aktualnie widoczne w BIK dla innych banków lub innych właściwych podmiotów lub instytucji, natomiast po upływie 12 miesięcy od jego przekazania przez Bank do BIK zostanie ono przeniesione do tzw. części statystycznej BIK. W konsekwencji tego, po dniu [...] kwietnia 2023 r., powyższe zapytanie kredkowe nie będzie wpływać na ocenę zdolności kredytowej Uczestniczki oraz nie będzie widoczne dla innych banków lub innych właściwych podmiotów lub instytucji w BIK (dowód: wyjaśnienia Banku z dnia 30 sierpnia 2022 r. wraz z załącznikami). Bank prowadził z Uczestniczką korespondencję w przedmiocie ww. zapytania kredytowego zrealizowanego w BIK. W związku ze zgłoszeniem Uczestniczki z dnia 12 maja 2022 r., które Bank odebrał w dniu 20 maja 2024 r., udzielił Uczestniczce odpowiedzi w formie pisma z dnia 30 maja 2022 r. W zakresie w jakim pismo Uczestniczki z dnia 12 maja 2022 r. zostało zaewidencjonowane i przeprocesowane w Banku jako wniosek o skorzystanie uprawnień w zakresie wniosków o usunięcie danych osobowych oraz sprzeciwu wobec przetwarzania jego danych osobowych w celach marketingowych. Bank udzielił na nie dodatkowej odpowiedzi w powyższym zakresie, w postaci pisma z dnia 30 maja 2022 r. Dodatkowo Bank prowadził ze Uczestniczką korespondencję, która została zaewidencjonowana w formie zgłoszenia reklamacyjnego - w związku z pismem Uczestniczki datowanym również na dzień 12 maja 2022 r., Bank udzielił Uczestniczce odpowiedzi w formie dodatkowego pisma z dnia 24 sierpnia 2022 r. (dowód: wyjaśnienia Banku z dnia 30 sierpnia 2022 r. wraz z załącznikami, wyjaśnienia Banku z dnia 18 października 2022 r. wraz z załącznikami). Z danych systemowych Banku wynika, że decyzja kredytowa dotycząca wniosku kredytowego z dnia [...] kwietnia 2022 r. została wydana przez Bank w tej samej dacie, tj. w dniu [...] kwietnia 2022 r. Jednocześnie Bank nie odnotował wpływu wniosków Uczestniczki, które zostałyby przeprocesowane w trybie art. 70a Prawa bankowego (dowód: wyjaśnienia Banku z dnia 15 marca 2024 r. wraz z załącznikami). Jak wynika z akt sprawy Bank nie zwracał się do BIK o usunięcie danych Uczestniczki w związku z zapytaniem kredytowym z dnia [...] kwietnia 2022r., jak również sama Uczestniczka nie zwracała się do BIK o usunięcie jej danych osobowych. Ponadto BIK również nie wystosował do Skarżącej żadnego roszczenia w tym przedmiocie. Bank nie poinformował BIK o podjęciu negatywnej decyzji kredytowej w zakresie zapytania kredytowego z dnia [...] kwietnia 2022 r. (dowód: wyjaśnienia BIK z dnia 21 marca 2024 r wraz z załącznikami). Jak wskazał Prezes PUODO Bank nie przetwarza już danych osobowych Uczestniczki w związku z zapytaniem kredytowym z [...] kwietnia 2022r. Do usunięcia ww. zapytania kredytowego doszło 1 lipca 2024 r. Bank wyjaśnił, iż termin usunięcia ww. zapytania kredytowego wynika z obowiązującego w banku 2 - letniego okresu przechowywania zapytań kredytowych i związanych z tym okresem terminów koniecznych prac informatycznych - tzw. okien serwisowych, na dowód czego. Bank przesyłał zrzut ekranowy z 2 lipca 2024 r. z systemu bankowego służącego do przeglądu zapytań kredytowych zrealizowanych przez Bank w BIK z widocznym wynikiem wyszukiwania zapytań kredytowych dla numeru PESEL Uczestniczki w przedziale czasowym między [...] kwietnia 2022 r. a [...] kwietnia 2022 r. (dowód: wyjaśnienia Banku z dnia 3 lipca 2024 r. wraz z załącznikami). W dalszej części uzasadnienia decyzji organ przywołał wyjaśnienia BIK złożone w niniejszym postępowaniu. W uzasadnieniu wymienionej na wstępie decyzji Prezes UODO wyjaśnił, że przepisem uprawniającym administratorów danych do przetwarzania zwykłych danych osób fizycznych jest art. 6 ust. 1 RODO, zgodnie z którym, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy spełniona jest jedna z przesłanek wskazanych w tym przepisie. Katalog przesłanek wymienionych w art. 6 ust. 1 RODO, jest zamknięty. Każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny. Dodatkowo, proces przetwarzania danych osobowych musi być zgodny z zasadami ustanowionymi w art. 5 ust. 1 RODO. Do zasad tych zalicza się między innymi ograniczenie celu (art. 5 ust. 1 lit b RODO) oraz minimalizację danych (art. 5 ust. 1 lit. c RODO). Wspomniane zasady wymagają, by dane osobowe były zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami, a proces przetwarzania danych osobowych był adekwatny, stosowny oraz ograniczony do tego, co niezbędne do celów, w których są przetwarzane. Co do zasady podstawą prawną przetwarzania danych osobowych klientów przez Bank i Biuro może być obecnie art. 6 ust. 1 lit. f RODO, gdy przetwarzanie to jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora. Prezes UODO wskazał, że Biuro jest instytucją utworzoną na podstawie art. :105 ust. 4 Prawa bankowego, który stanowi, że banki mogą, wspólnie z bankowymi izbami gospodarczymi, utworzyć instyti.ee upoważnione do gromadzenia, przetwarzania i udostępniania bankom informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia CRR, innym instytucjom ustawowo upoważnionym do udzielania kredytów informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są niezbędne w związku z udzielaniem kredytów, pożyczek pieniężnych, gwarancji bankowych i poręczeń (pkt 2), instytucjom kredytowym informacji stanowiących tajemnicę bankową w zakresie niezbędnym do oceny zdolności kredytowej konsumenta, o której mowa w art. 9 ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim (Dz.U. 2022 poz. 246 ze zm.; dalej "ustawa o kredycie konsumenckim") (pkt 3), instytucjom pożyczkowym i podmiotom, o których mowa w art. 59d ustawy o kredycie konsumenckim na zasadzie wzajemności, informacji stanowiących odpowiednio tajemnicę bankową oraz informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w ant. 59d tej ustawy, w zakosie niezbędnym do oceny zdolności kredytowej konsumenta, o której mowa w art. 9 ustawy, i analizy ryzyka kredytowego. Zgodnie z art. 105a ust. 1 Prawa bankowego, przetwarzanie przez banki, inne instytucje ustawowo upoważnione dc udzielania kredytów, instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy o kredycie konsumenckim, a także instytucje utworzone na podstawie art. 105 ust. 4, informacji stanowiących tajemnicę bankową i informacji udostępnionych przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy o kredycie konsumenckim, w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem art. 104, 105 i art. 106 - 106d Prawa bankowego w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Zgodnie zaś z art. 105a ust. 4 Prawa bankowego banki oraz instytucje, o których mowa w art. 105 ust. 4, mocą przetwarzać stanowiące tajemnicę bankową informacje dotyczące osoby fizycznej po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której informacje dotyczą, do celów stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013 dalej CRF. Stosownie zaś do art. 105a ust. 5 Prawa bankowego przetwarzanie informacji stanowiących tajemnicę bankową w przypadkach, o których mowa w ust. 3, może być wykonywane przez okres nie dłuższy niż 5 lat od dnia wygaśnięcia zobowiązania, a w przypadku, o którym mowa w ust. 4, przez okres 12 lat od dnia wygaśnięcia zobowiązania. Ponadto stosownie do art. 70 ust. 1 Prawa bankowego, bank uzależnia przyznanie kredytu od zdolności kredytowej kredytobiorcy. Przez zdolność kredytową rozumie się zdolność do spłaty zaciągniętego kredytu wraz z odsetkami w terminach określonych w umowie. Z ustalonego przez Prezesa PUC DO w niniejszej sprawie stanu faktycznego wynika, że Uczestniczka w dniu [...] kwietnia 2022 r. wystąpiła do Banku z wnioskiem kredytowym złożonym u pośrednika kredytowego. Bank przekazał pozyskane we wniosku kredytowym dane osobowe Uczestniczki do BIK w ramach zapytania kredytowego dotyczącego Uczestniczki. W związku z powyższym Bank oraz BIK, na podstawie art. 105a ust. 1 Prawa bankowego w zw. z art. 70 ust. 1 tej ustawy, były uprawnione do przetwarzania danych osobowych Uczestniczki w celu oceny zdolności kredytowej. Podkreślenia jednak wymaga, że nie doszło do zawarcia umowy kredytu pomiędzy Uczestniczką a Bankiem, a Uczestniczka w dniu 12 maja 2022 r. zwróciła się do Banku z wnioskiem o usunięcie jej danych osobowych w zakresie ww. zapytania kredytowego z BIK. W konsekwencji odpadła przesłanka legalizująca dalsze przetwarzanie danych osobowych Uczestniczki przez Bank oraz BIK. Przesłanki zawarte w art. 105a Prawa bankowego dotyczą bowiem przetwarzania informacji objętych tajemnicą bankową w okresie przed powstaniem zobowiązania, w trakcie jego trwania oraz po wygaśnięciu zobowiązania. Pomiędzy Bankiem a Uczestniczką nie zawiązał się żaden stosunek zobowiązaniowy, który stosownie do art. 105a ust. 1-6 Prawa bankowego dawałby podstawę do dalszego przetwarzania jego danych osobowych. Podkreślono, 7 że celem przetwarzania danych osobowych była ocena zdolności kredytowej i analizy ryzyka kredytowego. W związku z dokonaniem przez Bank oceny zdolności kredytowej i analizy ryzyka kredytowego wspomniany cel przetwarzania danych osobowych uczestnika został zrealizowany i brak jest podstaw prawnych do kontunuowania tego procesu. Jak podano, powyższe stanowisko organu znajduje oparcie w wyroku Naczelnego Sądu Administracyjnego z dnia 27 sierpnia 2019 r., sygn. akt I OSK 2567/17, zgodnie z którym, tu cyt. "(...) cel oceny zdolności kredytowej stanowi ocena zdolności do spłaty zaciągniętego kredytu wraz z odsetkami, co ma charakter czynności wstępnej do zawarcia stosownej umowy. Dalsze przetwarzanie danych uzyskanych w celu oceny zdolności. kredytowej, w przypadku braku zawarcia stosownej umowy pozostawałoby w oderwaniu od celu dla którego dane te uzyskano. (...) niedopuszczalne jest przetwarzanie danych osobowych na przyszłość, a także na potrzeby budowy oceny zdolności kredytowej innych podmiotów, jeżeli nie można zrekonstruować wyraźnej podstawy prawnej takich działań." W ocenie organu za podstawę przetwarzania danych osobowych Uczestniczki, nie mogą być również uznane wskazane przez Bank oraz BIK cele statystyczne i analizy, w tym cel stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej CRR . Wskazany art. 144 ust. 1 lit. d stanowi, że właściwy organ wydaje zezwolenie na mocy art. 143 na stosowanie przez instytucję metody IRB, w tym na stosowanie własnych oszacowań LGD i współczynników' konwersji, wyłącznie wtedy, gdy właściwy organ stwierdzi, że wymóg przewidziane w niniejszym rozdziale są spełnione, w szczególności wymogi przewidziane w sekcji 6, oraz że posiadane przez instytucję systemy w zakresie zarządzania oraz oceny ekspozycji na ryzyko kredytowe są należyte i zostały spójnie wdrożone, w szczególności gdy instytucja wykazała w sposób zadowalający właściwym organom spełnienie następujących norm: d) instytucja gromadzi i przechowuje wszystkie odpowiednie dane, aby zapewnić skuteczne wsparcie procesów pomiaru ryzyka kredytowego oraz zarządzania ryzykiem kredytowym. Kolejny przywołany przez Bank przepis tj. art. 145 ust. 1 Rozporządzenia CRR sitarowi zaś, iż jest wymagane, aby instytucja ubiegająca się o możliwość stosowania metody IRB korzystała, w odniesieniu do omawianych kategorii ekspozycji IRE, co najmniej przez trzy lata poprzedzające zakwalifikowanie się do stosowania metody IRB, z systemów ratingowych, które odpowiadały w znacznym stopniu wymogom określonym w sekcji 6 dotyczącym wewnętrznego pomiaru ryzyka i zarządzania ryzykiem. Obowiązku przetwarzania danych osobowych związanych z: zapytaniami kredytowymi niezakończonymi zawarciem umowy nie przewiduje również, art. 170 ust. 3 lit. a Rozporządzenia CRR, zgodnie z którym struktura systemów ratingowych dla ekspozycji detalicznych spełnia następujące wymogi: a) systemy ratingowe odzwierciedlają zarówno ryzyko dłużnika, jak i ryzyko transakcji oraz uwzględniają wszystkie istotne właściwości ryzyka dłużnika i ryzyka transakcji. Art 171 ust. 2 natomiast stanowi, że" klasyfikując dłużników i instrumenty do klas lub pul, instytucja uwzględnia wszystkie istotne informacje. Informacje te są aktualne i umożliwiają instytucji prognozowanie zachowania ekspozycji w późniejszym okresie. Im mniej informacji ma do dyspozycji instytucja, tym ostrożniej klasyfikuje ekspozycje do poszczególnych klas lub pul dłużników i instrumentów. Jeżeli instytucja stosuje rating zewnętrzny jako główny czynnik decydujący o przyznaniu wewnętrznego ratingu, instytucja ta zapewnia uwzględnienie innych istotnych informacji". . Jak wynika z powyższych przepisów instytucja kredytowa jest obowiązana do zbierania informacji przydatnych do skutecznego zarządzania ryzykiem. Jednak gromadzenie to nie może odbywać się z naruszeniem innych przepisów dotyczących ochrony danych osobowych. Zarówno Bank, jak i BIK, wskazał/ również jako cel przetwarzania danych osobowych Uczestniczki, przeciwdziałanie przestępstwom oraz wykonywanie obowiązków w zakresie określonym w przepisach AML. Zgodnie z brzmieniem art. 106d Prawa bankowego Banki, inne instytucje ustawowo upoważnione do udzielania kredytów, izby rozliczeniowe utworzone na podstawie art. 67, instytucje utworzone na mocy art. 105 ust. 4, instytucje pożyczkowe, podmioty, których podstawowa działalność polega na udostępnianiu składników majątkowych na podstawie umowy leasingu, oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, mogą przetwarzać i wzajemnie udostępniać informacje, w tym informacje objęte tajemnicą bankową, w przypadkach: 1) uzasadnionych podejrzeń, o których mowa w art. 106a ust. 3; 2) uzasadnionych podejrzeń popełnienia przestępstw dokonywanych na szkodę banków, innych instytucji ustawowo upoważnionych do udzielania kredytów, instytucji kredytowych, instytucji finansowych, instytucji pożyczkowych oraz podmiotów, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, i ich klientów, w celu i zakresie niezbędnym do zapobiegania tym przestępstwom; 3) wykonywania 'obowiązków w zakresie określonym w przepisach o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (ust. 1). Podmioty określone w ust. 1 mogą przetwarzać i wzajemnie udostępniać informacje, w tym informacje objęte tajemnicą bankową oraz informacje dotyczące wyroków skazujących, w przypadkach przestępstw dokonywanych na szkodę banków, innych instytucji ustawowo upoważnionych do udzielania kredytów, instytucji kredytowych, instytucji finansowych, instytucji pożyczkowych oraz podmiotów, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, i ich klientów, w celu i zakresie niezbędnym do zapobiegania tym przestępstwom (ust. 2). Zgodnie z art. 33 ust. 1 AML instytucje obowiązane stosują wobec swoich klientów środki bezpieczeństwa finansowego. Instytucje obowiązane rozpoznają ryzyko prania pieniędzy oraz finansowania terroryzmu związane ze stosunkami gospodarczymi lub z transakcją okazjonalną oraz oceniają poziom rozpoznanego ryzyka (art. 33 ust. 2 AML), natomiast środki te stosują w zakresie i z intensywnością uwzględniającymi rozpoznane ryzyko prania pieniędzy oraz finansowania terroryzmu związane ze stosunkami gospodarczymi lub z transakcją okazjonalną oraz jego ocenę (art. 33 ust. 4 AML). Na podstawie art. 35 ust. 2 AML instytucje obowiązane stosują środki bezpieczeństwa finansowego również w odniesieniu do klientów, z którymi utrzymują stosunki gospodarcze, z uwzględnieniem rozpoznanego ryzyka prania pieniędzy oraz finansowania terroryzmu, w szczególności gdy: 1) doszło do zmiany uprzednio ustalonego charakteru lub okoliczności stosunków gospodarczych; 2) doszło do zmiany uprzednio ustalonych danych dotyczących klienta lub beneficjenta rzeczywistego; 3) instytucja obowiązana była w ciągu danego roku kalendarzowego zobowiązana na podstawie przepisom/ prawa do skontaktowania się z klientem w celu weryfikacji informacji dotyczących beneficjentów rzeczywistych, w szczególności gdy obowiązek taki wynikał z przepisów ustawy z dnia 9 marca 2017 r. o wymianie informacji podatkowych z innymi państwami. Zgodnie z art. 34 ust. 3 AML instytucje obowiązane dokumentują zastosowane środki bezpieczeństwa finansowego oraz wyniki bieżącej analizy przeprowadzanych transakcji. Na żądanie organów, o których mowa w art. 130, instytucje obowiązane wykazują, że przy uwzględnieniu poziomu rozpoznanego ryzyka prania pieniędzy oraz finansowania terroryzmu związanego ż danymi stosunkami gospodarczymi lub transakcją okazjonalną zastosowały odpowiednie środki bezpieczeństwa finansowego. Na podstawie art. 49 ust 2 AML instytucje obowiązane przechowują wyniki analiz, o których mowa w art. 34 ust. 3 AML, przez okres 5 lat, licząc od dnia ich przeprowadzenia. . Jak podano, zebrany w sprawie materiał dowodowy nie wykazał, by Bank mógł przetwarzać dane osobowe Uczestniczki dotyczące powołanych zapytań kredytowych na podstawie art. 106d P-awa bankowego w celach przeciwdziałania przestępstwom oraz wykonywania obowiązków w zakresie określonym w przepisach ustawy AML, albowiem w toku prowadzonego postępowania nie wykazany, aby zaszła którakolwiek z przesłanek określonych w tych przepisach. W szczególności nie wykazały, aby zaszły uzasadnione podejrzenia, o których mowa w art. 106d ust. 1 pkt 1-2, oraz nie wskazały także nałożonego na nie obowiązku określonego w przepisach o przeciwdziałaniu prań u pieniędzy oraz finansowaniu terroryzmu, o którym mowa w art. 106d ust. 1 pkt 3. W szczególności nie wykazały, aby zaszły uzasadnione podejrzenia, o których mowa w art. 106d ust. 1 pkt 1-2, oraz nie wskazały, aby obecnie wykonywały obowiązki określone w przepisach o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu, o którym mowa w art. 106d ust. 1 pkt 3. Podkreślono, że Uczestniczka nie wystąpiła zarówno do Banku jak i BIK z roszczeniami, które uzasadniałoby uprawnienie tych podmiotów do zachowania i przetwarzania jej danych osobowych dla celów dowodowych w związku z dochodzeniem roszczeń. Prezes UODO podzielił stanowisko Sądu Administracyjnego odnoszące się do analogicznej do art. 6 ust. 1 lit. f RODO przesłanki wynikającej z art. 23 ust. 1 pkt 5 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz.U. 2016 r. poz. 922 ze zm.), dotyczącej dopuszczalności przetwarzania danych osobowych dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, gdy przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Sąd ten w wyroku z dnia 6 marca 2019 r. w sprawie o sygn. I OSK 994/17 (LEX nr 2670498) orzekł, tu cyt.: "Przepis art. 23 ust. 1 pkt 5 u.o.d.o. zezwala na przetwarzanie danych gdy jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, 5 której dane dotyczą. Dokonując wykładni tego przepisu należy zatem zwrócić uwagę, . że stosowanie ww. przepisu wymaga wykazania, że chodzi o realizowanie prawnie usprawiedliwionego celu, ale także dokonanie oceny czy dla realizacji tego celu niezbędne jest przekazanie danych, pomimo braku zgody osoby której dane te dotyczą. Ocena ta sprowadza się do wyważania racji i interesów osoby, której danych sprawa dotyczy, a która jest objęta ochroną prawną, a z drugiej administratora danych, również chronionego przez prawo w zakresie w jakim może realizować prawnie usprawiedliwione cele i uprawnienia. Naczelny Sąd Administracyjny w wyroku z dnia 23 września 2005 r. (sygn. akt I OSK 712/05, CBOSA) już wskazywał, że rozstrzygając o legalności przetwarzania ‘ danych trzeba każdorazowo, ważąc interesy stron, znaleźć równowagę między prawami i wolnościami jednostki z jednej strony a prawnie usprawiedliwionym interesem osoby trzeciej z drugiej strony Oznacza to obowiązek zapewnienia właściwej równowagi praw i interesów stron w tym praw podstawowych. Zdaniem Naczelnego Sądu Administracyjnego przetwarzanie danych osobowych (...), który cofnął zgodę na ich przetwarzanie, nie jes1 niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez (...), a którym jest prawo do podjęcia obrony przed ewentualnymi roszczeniami lub zarzutami dotyczącymi przetwarzania danych (...) w celu obsługi wniosku kredytowego. Wskazać należy, że przepis art. 23 ust. 1 pkt 5 ustawy na pierwszym miejscu wymienia warunek, że przetwarzanie danych winno być niezbędne dla wypełnienia prawnie usprawiedliwionych celów. Prawidłowe jest stanowisko Sądu pierwszej instancji, że niedopuszczalne jest przetwarzanie danych osobowych niejako "na zapas" z założeniem, że mogą być one ewentualnie przydatne w przyszłości Zauważyć należy, że w rozpoznawanej sprawie znaczenie ma, a no co wskazał organ i Sąd pierwszej instancji, że (...) co prawda w 2012 r. złożył wniosek kredytowy ale strony nie zawarły umowy, a zatem nie powstał między stronami stosunek zobowiązaniowy. Pomiędzy stronami nie toczy się także żadne postępowanie reklamacyjne. Zatem przetwarzania danych strony, a więc na wszelki wypadek, nie można uznać za przetwarzanie niezbędne dla wypełnienia prawnie usprawiedliwionych celów. Zgodnie z art. 23 ust. 1 pkt 2 u.o.d.o. przetwarzanie danych osobowych jest dopuszczalne wtedy, gdy jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa. Przepis ten dopuszcza możliwość przetwarzania danych, uzależnia jednak legalność tego procesu od spełnienia dwóch istotnych wymogów, tj. istnienia odpowiedniego przepisu prawa, który przyznaje podmiotowi uprawnienie lub nakłada na niego obowiązek oraz niezbędności przetwarzania danych dla zrealizowania tego uprawnienia lub spełnienia obowiązku wynikającego z tego przepisu. Wymogi te powinny być spełnione łącznie." Przy przyjęciu odmiennej interpretacji ww. przepisów, Uczestniczka zostałaby pozbawiona ochrony na gruncie RODO oraz ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych. Przyjęcie za prawidłowe stanowiska, iż przetwarzanie danych osobowych w celu uchylenie się od negatywnych skutków w przypadku zgłoszenia w przyszłości ewentualnego nieokreślonego roszczenia, stanowi prawnie usprawiedliwiony cel w rozumieniu art 6 ust 1 lit. f RODO oznaczałoby, że dane osobowe Uczestniczki mogą być przetwarzane przez Bank i Biuro permanentnie, bez konieczności ich usunięcia. Teoretycznie możliwym jest przecież, by Uczestniczka zwróciła się do Banku lub Biura z roszczeniem po upływie terminu przedawnienia roszczenia. Prowadziłoby to tym samym do uznania, że przetwarzanie jej danych osobowych przez Bank i BIK ma uzasadnienie w przesłance określonej art. 6 ust. 1 lit. f RODO w celu realizacji prawa do obrony przed ewentualnym roszczeniem Uczestniczki również po upływie ww. terminu. Zdaniem Prezesa UODO brak jest uzasadnienia dla przyjęcia, że terminy dotyczące przedawnienia roszczeń wynikających ze stosunków zobowiązaniowych określają jednocześnie ramy czasowe, w których dane osobowe mogą być przetwarzane przez Bank i BIK. Przedawnienie roszczenia nie wywołuje skutków na gruncie ochrony danych osobowych, nie wpływa bowiem na fakt istnienia roszczenia, a powoduje jedynie zmianę w sferze zarzutów procesowych w postaci możliwości podniesienia okoliczności w sporze sądowym. Okolicznością usprawiedliwiającą przetwarzanie danych osobowych w celu dochodzenia roszczeń jest sam fakt istnienia roszczenia oraz zamiar jego dochodzenia, nie jest nią natomiast zmiana w uprawnieniach procesowych podmiotu pozwanego. Brak jest ponadto uzasadnienia dla przyjęcia, że Bank jest uprawniony do przetwarzania danych osobowych w związku z koniecznością ewentualnego wypełnienia obowiązku wynikającego z art. 70a ust. 1 i ust. 2 Prawa bankowego Stosownie do art. 70a ust. 1 Pr. bank. banki i inne instytucje ustawowo upoważnione do udzielania kredytów na wniosek osoby fizycznej, prawnej lub jednostki organizacyjnej niemającej osobowości prawnej, o ile posiada zdolność prawną, ubiegającej się o kredyt przekazują, w formie pisemnej, wyjaśnienie dotyczące 7 dokonanej przez siebie oceny zdolności kredytowej wnioskującego. Stosownie zaś do art. 70a ust. 2 Pr. bank. wyjaśnienie, o którym mowa w ust. 1, obejmuje informacje na temat czynników, w tym danych osobowych wnioskującego, które miały wpływ na dokonaną ocenę zdolności kredytowej. Prezes UODO podzielił wskazywane w doktrynie stanowisko, zgodnie z którym, tu cyt. "Jeśli zaś bank - w wyniku dokonanej oceny zdolności kredytowej (przeprowadzonej zgodnie z przyjętymi rekomendacjami KNF) - nie udzieli kredytu, zatem nie dojdzie do zawarcia umowy kredytu, stan taki nie rodzi po stronie .ubiegającego się o kredyt żadnych roszczeń na drodze cywilnoprawnej. : Ubiegającemu się o kredyt przysługuje tylko możliwość wnioskowania o r przedstawienie na piśmie przyczyn odmowy" (B. Bajor [w:] L. Kociucki, J. M. Kondek, K. Królikowska, B. Bajor, Prawo bankowe. Komentarz do przepisów cywilnoprawnych, Warszawa 2020, art. 70(a)). Podkreślił, że art. 70a Pr. bank. nie przewiduje żadnego terminu na złożenie wniosku o udzielenie informacji dotyczących odmowy udzielenia kredytu. Powyższe nie oznacza jednak, w ocenie Prezesa UODO, że można jego dane osobowe przetwarzać bezterminowo, gdyż byłoby to sprzeczne z zasadą ograniczenia przechowywania, określoną w art. 5 ust. 1 lit. e RODO. Ponadto powstanie obowiązku, o którym mowa w art. 70a ust. 1 Prawa bankowego, uzależnione jest od złożenia stosownego wniosku przez osobę ubiegającą się o kredyt. W niniejszej sprawie ustalono, że Uczestniczka składała £ do Banku wnioski kredytowe, w wyniku których Bank skierował do BIK przedmiotowe zapytania kredytowe, i które ostatecznie! nie zakończyły się zawarciem umowy z Bankiem. Uczestniczka zwracała się do Banku o usunięcie jej danych osobowych w zakresie dotyczącym ww. zapytania kredytowego. Proces przetwarzania danych osobowych związanych z ww. zapytaniem kredytowym zakwestionowała następnie w niniejszym postępowaniu, domagając się ochrony danych osobowych. Uwzględnienie żądania usunięcia przedmiotowych danych skutkować będzie brakiem możliwości udzielenia informacji wskazanych w art. 70a ust. 1 i 2 Prawa bankowego, z czym Uczestniczka, żądając usunięcia danych, musi się liczyć. Uczestniczka nie była więc i nie jest zainteresowany realizacją prawa do złożenia wniosku, o którym mowa w powyższym przepisie, a tym samym nie można uznać, aby stanowił on podstawę przetwarzanie jego danych osobowych. Wobec powyższego, w ocenie Prezesa UODO, w niniejszej sprawie brak jest celu uzasadniającego dalsze przetwarzanie danych osobowych Uczestniczki zawartych w przedmiotowym zapylaniu kredytowym przez BIK. Wyjaśnienia przedłożone przez Bank nie pozwolił/ na uznanie, że proces był legalny przed dniem 1 lipca 2024 r. Wskazania w tym miejscu wymaga, że Bank w związku z pozyskaniem danych osobowych Uczestniczki w celu oceny zdolności kredytowej stał się administratorem tych danych osobowych. Natomiast BIK stał się administratorem danych osobowych Uczestniczki z uwagi na przekazanie tych danych przez Bank. W związku z powyższym należy stwierdzić, że Bank oraz BIK są odrębnymi administratorami. Każdy z tych podmiotów przetwarza bowiem dane osobowe Uczestniczki we własnych celach i samodzielnie ustala sposoby ich przetwarzania. W odniesieniu do kwestionowanego przetwarzania danych osobowych przez Bank i BIK, nie zaistniała żadna z w/rażonych w art. 6 ust. 1 RODO przesłanek, która stanowiłaby o legalności tego procesu. Dlatego też, korzystając z uprawnienia przewidzianego w art. 58 ust. 2 lit. c RODO, nakazano zarówno Bankowi, jak i BIK, będącymi administratorami, usunięcie danych osobowych uczestnika przetwarzanych w związku ze złożonymi przez niego zapytaniami kredytowymi. W powyższym zakresie doszło zatem do naruszenia przepisów o ochronie danych osobowych przez Bank i BIK. Niemniej jednak aktualnie brak jest podstaw faktycznych, jak i prawnych do wydania w sprawie w stosunku do Banku jakiegokolwiek nakazu, na podstawie art. 58 ust. 2 RODO. Powyższe wynika z okoliczności, że obecnie proces przetwarzania danych osobowych Uczestnika wynikających z przedmiotowego zapytania kredytowego nie jest przez Bank kontynuowany. Niemniej na podstawie art. 58 ust. 2 RODO Prezesowi Urzędu Ochrony Danych Osobowych przysługują uprawnienia naprawcze, w tym udzielanie upomnień administratorowi lub podmiotowi przetwarzającemu w przypadku naruszenia przepisów niniejszego rozporządzenia przez operacje przetwarzania (lit. b). Mając powyższe na uwadze, Prezes Urzędu uznał, że w realiach niniejszej sprawy z uwagi na charakter naruszenia przepisów oraz jego nieodwracalność, właściwe jest zastosowanie wobec Banku upomnienia za stwierdzone naruszenie przepisów o ochronie danych osobowych, tj. art. 6 ust. 1 RODO, polegające na przetwarzaniu bez podstawy prawnej danych osobowych Uczestniczki wynikających z zapytania kredytowego z dnia [...] kwietnia 2022 r., które nie zakończyło się - zawarciem umowy kredytowej, w okresie od dnia 21 maja 2022 r., bowiem w dniu 20 maja 2022 r. Bank otrzymał żądanie usunięcia danych osobowych Uczestniczki, do dnia 1 lipca 2024 r., w którym to dniu usunął jej dane. Bank [...] S.A. wniósł o do Wojewódzkiego Sądu Administracyjnego w Warszawie skargę na punkt 1 decyzji Prezesa UODO z [...] grudnia 2024 r. zarzucając naruszenie następujących przepisów postępowania, a mianowicie: 1. Naruszenie przepisów postępowania, mające istotny wpływ na wynik sprawy, a to: 1. naruszenie art. 8 § 1 i 2 Kodeks postępowania administracyjnego (tekst jedn. Dz. U. z 2023 r., poz. 775; całej jako: "k.p.a.") oraz art. 14 ustawy z dnia 6 marca 2018 r. - Prawo przedsiębiorców (Dz. U. poz. 646 z póżn. zm.; dalej jako "Prawo przedsiębiorców") poprzez odejście od ustalonej praktyki' rozstrzygania spraw polegającej na udzieleniu Bankowi kar upomnienia w sytuacji, gdy w analogicznych sprawach (jak również w niniejszej sprawie w stosunku do BIK-u, który przetwarzał te same dane osobowe- Wnioskodawczyni) Prezes UODO nie udziela podmiotowi administrującemu danymi upomnienia, ograniczając się do nakazania usunięcia danych osobowych; 2. naruszenie art. 7 w zw. z art. 77 oraz art. 80 k.p.a., polegające na niepodjęciu wszystkich czynności niezbędnych do dokładnego wyjaśnienia oraz załatwienia sprawy, na niewyczerpującym zebraniu i rozpatrzeniu materiału dowodowego, a także na braku wszechstronnej i merytorycznej oceny zgromadzonego materiału dowodowego; powyższe skutkowało niezasadnym udzieleniem Bankowi upomnienia przez: Prezesa UODO za przetwarzanie danych osobowych z zapytania kredytowego ż dnia [...] kwietnia 2022 r. W szczególności Prezes UODO: i) nie ustalił wszystkich celów przetwarzania danych osobowych Wnioskodawczyni, jak również nie uwzględnił w Decyzji wszystkich okoliczności przetwarzania tych danych. W konsekwencji Organ błędnie nie uwzględnił wszystkich podstaw prawnych dalszego przetwarzania danych Wnioskodawczyni w sytuacji, gdy nie została zawarta umowa o kredyt; ii) bezzasadnie pominął, ż:e o ile analiza zdolności kredytowej dotyczy rozpoznania oraz oceny ryzyka związanego z przyznaniem kredytu konkretnej osobie w konkretnej wysokości, o tyle analiza ryzyka kredytowego wiąże się z koniecznością oszacowania ryzyka dla całego Banku, związanego z danym portfelem zobowiązań. W celu ustalenia obiektywnych zasad akceptacji, Bank musi przeprowadzić analizę ryzyka kredytowego na podstawie zgromadzonej wiedzy na temat wszystkich osób, które wnioskować o kredyt - zarówno tych, którym przyznano kredyt, jak i tych, którym odmówiono przyznania kredytu. Wyraźne rozróżnienie "zdolności kredytowej" i "ryzyka kredytowego" jest tym bardziej istotne w niniejszej sprawie, albowiem Organ powołał się w Decyzji przede wszystkim na wyrok z dnia 27 sierpnia 2019 r., sygn. akt I OSK 2567/17, podczas gdy w tym orzeczeniu Naczelny Sad Administracyjny nie oceniał potrzeby wykorzystania danych pod kątem niezbędności do analizy ryzyka kredytowego, a ponadto orzekał na podstawie nieobowiązujących już przepisów ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (tekst jedn. Dz. U. z 2016 r., poz. 922 z późn. zm.) i nie analizował przepisów RODO; . iii) bezzasadnie pominął, że bazy danych tworzone przez podmioty, które prowadzą działalność bankową, mają rozbudowaną strukturę, w tym zawierają szereg funkcji wyszukiwania oraz udostępniania raportów. Zróżnicowane mogą być również uprawnienia dostępu do zasobów informacji dla poszczególnych grup pracowników (z perspektywy wykonywanych przez nich zadań). Dopiero w takim szerokim kontekście należy rozważyć reguły przetwarzania danych osobowych. W ocenie Banku jest on uprawniony do przetwarzania danych Wnioskodawczyni, a Prezes UODO powinien wyjaśnić co najwyżej, w jakim terminie i dla jakich celów takie przetwarzanie jest uprawnione oraz którzy pracownicy Skarżącego powinni mieć dostęp do tych danych (w zakresie niezbędnym do wykonywania przez nich zadań); 3. naruszenie art. 7 oraz art. 7b w zw. z art. 8 i art. 77 k.p.a., polegające na zaniechaniu zwrócenia się przez Prezesa UODO do Komisji Nadzoru Finansowego (dalej jako: "KNF") jako organu właściwego w sprawach związanych m.in. z badaniem zdolności kredytowej i analizą ryzyka kredytowego oraz budową modeli scoringowych w zakresie wykorzystywania do realizacji tych zadań danych, w tym danych osobowych o niezrealizowanych zapytaniach kredytowych; tymczasem zwrócenie się przez Organ do KNF pozwoliłoby na dokładne wyjaśnienie stanu faktycznego i prawnego sprawy, mając na względzie interes społeczny oraz słuszny interes obywateli w postaci ustalenia należytych zasad, celów oraz zakresu przetwarzania danych o niezrealizowanych zapytaniach kredytowych w taki sposób, aby - zgodnie z zasadą proporcjonalności - procesy przetwarzania danych czyniły zadość zarówno przepisom o ochronie danych osobowych, jak i przepisom szeroko pojętego prawa bankowego oraz zapewnieniu stabilności rynku gospodarczo-finansowego. Naruszenie przepisów prawa materialnego, mające istotny wpływ na wynik sprawy, a to: 1. naruszenie art. 6 ust. 1 lit. c) rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych) (Dz. Urz. UE. L 119/1 z dnia 4 maja 2016 r.; dalej jako: "RODO") w zw. z art. 105 ust. 4 ustawy z dnia 29 sierpnia 1997 r. - Prawo bankowe (tekst jedn. Dz. U. z 2022 r., poz. 2324 z późn. zm; dalej jako: "Prawo bankowe") poprzez mew ssawę zastosowanie, a w konsekwencji nieuzasadnione przyjęcie, że Bank (przed usunięciem danych osobowych Wnioskodawczyni wynikających z zapytania kredytowego z dnia [...] kwietnia 2022 r.) nie legitymował się przesłanką przetwarzania danych osobowych Wnioskodawczyni wynikającą z art. 6 ust. 1 lit. c) RODO w zw. z art. 105 ust. 4 Prawa bankowego, podczas gdy z tych przepisów wynika obowiązek przetwarzania danych osobowych (również danych z zapytań kredytowych) przez banki oraz inne instytucje wymienione w art. 105 ust. 4 Prawa bankowego, na zasadzie wzajemności i w zakresie, w jakim informacje te są potrzebne bankom do wykonywania czynności bankowych, w tym oceny zdolności kredytowej i analizy ryzyka kredytowego. Celem art. 105 ust. 4 Prawa bankowego jest zatem nie tylko Doinformowanie banku, który rozpatruje wniosek kredytowy, ale i przetwarzanie takiego zapytania przez określony czas i tym samym umożliwienie innemu bankowi (w związku z wnioskiem tej samej osoby złożonym w innym banku) otrzymanie informacji, czy wnioskodawca ubiegał się już o kredyt i z jakim skutkiem - co ma znaczenie dla oceny zdolności i wiarygodności kredytowej dla innego banku. Zdaniem Skarżącego przyjęcie jako właściwego stanowiska prezentowanego przez Prezesa UODO może natomiast ostatecznie doprowadzić do zakwestionowania wymiany jakichkolwiek informacji między bankami a Biurem Informacji Kredytowej S.A. (dalej jako: "BIK" lub "Biuro"). 2. naruszenie art. 6 ust. 1 lit. c) RODO w zw. z art. 105 ust 4 oraz art. 105a ust. 1 - 6 Prawa bankowego oraz art. 70 Lisi. 1 Prawa bankowego w zw. z art. 9 ust. 2, 3 i 4 ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim (tekst jedn. Dz. U. z 2023 r., poz. 1028 z póżn. zm.; dalej jako: "ustawa o kredycie konsumenckim") poprzez niewłaściwe zastosowanie, a w konsekwencji nieuzasadnione przyjęcie, że Bank nie legitymuje się przesłanką przetwarzania danych osobowych Wnioskodawcy wynikającą z art. 6 ust. 1 lit. c) RODO w zw. z art. 105 ust. 1, art. 105 ust. 4 pkt. 1, art. 5 ust. 1 pkt. 3 oraz art. 70 ust. 1 Prawa bankowego w zw. z art. 9 ust. 2, 3 i 4 ustawy o kredycie konsumenckim, podczas gdy z tych przepisów wynika obowiązek przetwarzania danych (również danych z zapytań kredytowych) przez banki oraz me instytucje wymienione wart. 105 ust. 4 Prawa bankowego, na zasadzie wzajemności i w zakresie, w jakim informacje te są potrzebne bankom do wykonywania czynności bankowych, w tym oceny zdolności kredytowej i analizy ryzyka kredytowego. Celem art. 105 ust. 4 Prawa bankowego jest zatem nie tylko poinformowanie banku, który rozpatruje wniosek kredytowy, ale i przetwarzanie takiego zapytania przez określony czas i tym samym umożliwienie innemu bankowi (w związku z wnioskiem tej samej osoby złożonym w innym banku) otrzymanie informacji, czy wnioskodawca ubiegał się już o kredyt i z jakim skutkiem - co ma znaczenie dla oceny zdolności i wiarygodności kredytowej dla innego banku. Zdaniem Skarżącego przyjęcie jako właściwego stanowiska prezentowanego przez Prezesa UODO może natomiast ostatecznie doprowadzić do zakwestionowania wymiany jakichkolwiek informacji między bankami i BIK. Ponadto, wbrew ocenie przedstawionej przez Organ, również obowiązki wynikające z art. 105a ust. 1 - 1c Prawa bankowego nie przestają istnieć wraz z wydaniem decyzji odmownej osobie wnioskującej o kredyt, a co za tym idzie, Bank i BIK są w dalszym ciągu objęte obowiązkiem przetwarzania danych w celu oceny zdolności kredytowej i analizy ryzyka kredytowego, a także przetwarzania danych osobowych w celu wykonania niezbędnych czynności bankowych (art. 5 ust. 1 pkt 3 Prawa bankowego), w tym udzielania kredytów, przy czym ocena zdolności kredytowej jest obowiązkiem banków (art. 70 Prawa bankowego w zw. z art. 9 ust. 2, 3 i 4 ustawy o kredycie konsumenckim); 3. naruszenie art. 6 ust. 1 lit. c) RODO w zw. z art. 144 ust. 1 lit. d), art. 145 ust. 1 , art. 170 ust. 3 lit. a), art. 171 ust. 2, art. 179 ust. 1 lit. a) oraz art. 181 ust 2 rozporządzenia Parlamentu Europejskiego i Rady nr 575/2013 z dnia 26 czerwca 2013 r. w sprawie wymogów ostrożnościowych dla instytucji kredytowych i firm inwestycyjnych, zmieniające rozporządzenie (UE) nr 648/2012 (Dz. Urz. UE. L 176/1 z dnia 27 czerwca 2013 r.; dalej jako: "CRR") poprzez niewłaściwe zastosowanie oraz przyjęcie, że Bank (przed usunięciem danych osobowych Wnioskodawczyni) nie legitymował się przesłanką przetwarzania danych wynikającą z art. 6 ust. 1 lit. c) RODO w zw. z przepisami CRR, podczas gdy te przepisy wskazują na określone obowiązki banków w zakresie wymogów ostrożnościowych i nakładają na Bank obowiązek tworzenia zaawansowanych modeli statystycznych z wykorzystaniem wszystkich istotnych, aktualnych informacji, natomiast Skarżący jest obowiązany do zachowania spójności modelu. Usunięcie danych natychmiast po wydaniu decyzji o odmowie udzielenia kredytu albo cofnięciu wniosku prowadziłoby zaś do naruszenia tego obowiązku, 4. naruszenie art. 6 ust. 1 lit. c) RODO w zw. z art. 106d ust. 3 Prawa bankowego, art. 33 ust. 2, art. 33 ust. 3 pkt. (i, art. 34 ust. 1 pkt 4, art. 36, art. 46 oraz art. 49 ust. 1 ustawy z dnia 1 marca 231€ r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (tekst jedn. Dz. U. z 2023 r., poz. 1124; dalej jako: "ustawa AML") poprzez brak zastosowania tych przepisów, a w konsekwencji brak ustalenia, że Bank (przed usunięciem danych Wnioskodawczyni wynikających z zapytania kredytowego) legitymował się przesłanką przetwarzania danych wynikającą z przywołanych wyżej przepisów ustawy AML, albowiem ww. przepisy nakładają na Skarżącego obowiązek przetwarzania informacji (w tym również danych osobowych) w celu zapewnienia bezpieczeństwa obrotu gospodarczego, poprzez przeprowadzenie szczegółowego badania na temat klientów, w tym przyszłych klientów, jak i badania powiązań kapitałowo-osobowych; 5. naruszenie art. 6 ust. 1 lit. c) F.ODO w zw. z art. 70a ust, 1 i 2 Prawa bankowego poprzez brak zastosowania tych przepisów, a w konsekwencji brak ustalenia, że na podstawie art. 6 ust. 1 lit. c) RODO w zw. z art. 70a ust. 1 i 2 Prawa bankowego (przed usunięciem danych osobowych Wnioskodawczyni wynikających z zapytania kredkowego) Bank legitymował się przesłanką przetwarzania danych wynikającą z przywołanych wyżej przepisów Prawa bankowego albowiem ww. przepisy nakładają na Skarżącego (w przypadku złożenia wniosku przez osobę fizyczną) obowiązku udzielenia wyjaśnienia dotyczące dokonanej przez siebie oceny zdolności kredytowej wnioskującego, warto także odnotować, że aktualnie termin na złożenie wniosku o udzielenie wyjaśnień dotyczących dokonanej oceny zdolności kredytowej wynosi rok od dnia otrzymania odmownej decyzji (w dniu składania wniosku kredkowego przepis nie przywidywał terminu na złożenie wniosku). A zatem ustawodawca nie przyjął, że dane powinny być usuwane niezwłocznie po wydaniu decyzji o odmowie udzielenia kredytu. 6. naruszenie art. 6 ust. 1 lit. f) RODO w zw. z art. 117 § 2 i 2, art. 118 i art. 119 ustawy z dnia 23 kwietnia 1964 r. - Kodeks cywilny (tekst jedn. Dz. U. z 2023 r., poz. 1610; dalej jako: "k.c.") poprzez ich niewłaściwe zastosowanie oraz nieuzasadnione przyjęcie, że przechowywanie danych przez okres przedawnienia roszczeń nie stanowi prawnie uzasadnionego interesu Skarżącego w rozumieniu art. 6 ust. 1 lit. f) RODO; tymczasem przepisy art. 6 ust. 1 lit. f) RODO w zw. z art. 117 § 2 i 21, art. 118 i art. 119 k.c. uprawniają Bank do przetwarzania danych osobowych w celu rozpatrywania oraz dochodzenia ewentualnych reklamacji lub roszczeń - również w sytuacji, gdy ani administrator danych osobowych (tu: Bank), ani osoba, której dane dotyczą (tu: Wnioskodawczyni), nie zgłosiła jeszcze reklamacji lub roszczenia, naruszenie art. 6 ust. 1 lit. f) RODO wzw. z następującymi rekomendacjami wydanymi przez KNF: (i) Rekomendacją T z lutego 2013 r., dotyczącą dobrych praktyk w zakresie zarządzania ryzykiem detalicznych ekspozycji kredytowych (załącznik do uchwały KNF nr 59/2013 z dnia 26 lutego 2013 r. (Dz. Urz. KNF z 2013 r., poz. 11); dalej jako: "Rekomendacja T’’); (ii) Rekomendacją W z lipca 2015 r., dotyczącą zarządzania ryzykiem modeli w bankach (załącznik do uchwały KNF nr 332/2015 z dnia 21 lipca 2015 r. (Dz. Urz. KNF z 2015 r., poz. 49); dalej jako: "Rekomendacja W"); (iii) Rekomendacją S z grudnia 2019 r., dotyczącą dobrych praktyk w zakresie zarządzania ekspozycjami kredytowymi zabezpieczonymi hipotecznie (załącznik clo uchwały KNF nr 492/2019 z dnia 3 grudnia 2019 r. (Dz. Urz. KNF z 2019 r., poz. 39); dalej jako: "Rekomendacja S") ' - poprzez niewłaściwe zastosowanie i niezasadne przyjęcie, że Bank (przed ' usunięciem danych osobowych Wnioskodawczyni wynikających z zapytania kredytowego) nie legitymował się przesłanką przetwarzania wynikającą z art. 6 ust. 1 lit. f) RODO w zw. z ww. rekomendacjami KNF, podczas gdy ww. rekomendacje KNF nakładają na banki oraz Biuro (jako instytucję powołaną na mocy art. 105 ust. 4 Prawa bankowego) określone wymagania nie tylko w związku z oceną danego, konkretnego wniosku kredytowego, ale także w odniesieniu do budowy metod oraz modeli statystycznych (w tym scoringowych); te wymagania podlegają następnie wyegzekwowaniu przez KNF na podstawie bezwzględnie obowiązujących przepisów' prawa. Bank wniósł na podstawie art. 145 § 1 pkt 1) lit. a) i c) p.p.s.a. oraz art. 145 § 3 p.p.s.a. o uchylenie Decyzji w zaskarżonej czyści (tj. pkt 1 Decyzji) oraz umorzenie postępowania wobec Banku jak również o zasądzenie od Prezesa UODO na rzecz Banku kosztów postępowania, w tym kosztów zastępstwa prawnego według norm przepisanych oraz opłat skarbowych od pełnomocnictwa. W uzasadnieniu skargi, Bank szeroko i dokładnie omówił wszystkie zarzuty zawarte we wstępie skargi. W odpowiedzi na skargę Prezes UODO wniósł o jej oddalenie i odniósł się do postawionych w niej zarzutów. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje: W świetle art. 1 § 1 ustawy z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych (t.j. Oz. U. z 2022 r. poz. 2492 ze zm.), sądy administracyjne sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej, przy czym stosownie do § 2 art. 1 powołanej ustawy kontrola ta sprawowana jest pod względem zgodności z prawem, jeżeli ustawy nie stanowią inaczej. Skarga oceniana według podanych kryteriów kontroli nie zasługuje na uwzględnienie. Zaskarżona decyzja Prezesa UODO z [...] grudnia 2024 r. w części dotyczącej rozstrzygnięcia zawartego w punkcie 1, nie narusza prawa. Organ podjął w tej sprawie decyzję po dokonane wymaganych ustaleń stanu faktycznego niezbędnych do jej rozstrzygnięcia oraz swoje stanowisko należycie uzasadnił. W sprawie jest bezsporne, że przetwarzanie danych osobowych Uczestniczki przez Bank powinno odbywać się z poszanowaniem przepisów RODO. Uczestniczka złożył do Banku zapytania kredytowe, co jest bezsporne. Bank wskazał w toku postępowania, że pozyskał w ten sposób i przetwarza jej dane w zakresie danych identyfikacyjnych (imię, nazwisko, nazwisko rodowe, nazwisko rodowe matki, numer PESEL, data i miejsce urodzenia, obywatelstwo, rodzaj, seria, numer, data wydania i data ważności dokumentu tożsamości), dane kontaktowe (adres zameldowania, adres zamieszkania (korespondencyjny), numer telefonu), dane dot. sytuacji rodzinnej i finansowej (stan cywilny, liczba dzieci, wykształcenie, wysokość i rodzaj dochodów, stanowisko, zawód) oraz dane finansowe związane z wnioskowanym kredytem, w tym kwotę i rodzaj produktu kredytowego Niesporny jest też ustalony cel pozyskania tych danych, tj. ocena zdolności kredytowej i ryzyka kredytowego. W sprawie jest także bezsporne, że BIK pozyskał dane osobowe Uczestniczki w zakresie wskazanych zapytań kredytowych od Banku, na podstawie art. 105 ust.1 pkt 1c,art 105 ust. 4, art. 105a ust. 1 Prawa bankowego oraz umowy zawartej między BIK i Bank. [pic] Dokonując oceny zgodności z prawem zaskarżonej decyzji należy wskazać, że zgodnie z motywem 40 RODO, aby przetwarzanie danych było zgodne z prawem, powinno się odbywać na podstawie zgody osoby, której dane dotyczą, lub na innej uzasadnionej podstawie przewidzianej prawem: albo w niniejszym rozporządzeniu, albo w innym akcie prawnym Unii lub w prawie państwa członkowskiego, o których mowa w niniejszym rozporządzeniu, w tym musi się ono odbywać z poszanowaniem obowiązku prawnego, któremu podlega administrator, lub z poszanowaniem umowy, której stroną jest osoba, której dane dotyczą, lub w celu podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy. Powyższe znalazło wyraz w art. 6 ust. 1 RODO określającym przesłanki legalności przetwarzania danych osobowych. Zgodnie z tym przepisem, przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy - i w takim zakresie, w jakim - spełniony jest co najmniej jeden z poniższych warunków: a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów; b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy; c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze; d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej; e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi; f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Akapit pierwszy lit. f) nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań. Zgodnie z art. 105a ust. 1 Prawa bankowego, przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów, instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawmy o kredycie konsumenckim, a także instytucje utworzone na podstawie art. 105 ust. 4, informacji stanowiących tajemnicę bankową i informacji udostępnionych przez instytucję pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy o kredycie konsumenckim, w zakresie dotyczącym osób fizycznych może być wykonywane z zastrzeżeniem art. 104, art. 105 i art. 106- 106d, w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Zgodnie z art. 70 ust. 1 Prawa bankowego, bank uzależnia przyznanie kredytu od zdolności kredytowej kredytobiorcy. Przez zdolność kredytową rozumie się zdolność do spłaty zaciągniętego kredytu wraz z odsetkami w terminach określonych w umowie. Kredytobiorca jest obowiązany przedłożyć na żądanie banku dokumenty i informacje niezbędne do dokonania oceny tej zdolności. Analiza powyższych przepisów wskazuje, że Bank, na podstawie art. 105a ust. 1 Prawa bankowego w zw. z at 70 ust. 1 tej ustawy, były uprawniony do przetwarzania danych osobowych Uczestniczki w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Podkreślenia wymaga, że cel przetwarzania danych, dla którego zostały one zgromadzone w zapytaniu kredytowym, został osiągnięty. Niemniej art. 105a ust. 2 Prawa bankowego stanowi, że instytucje, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową oraz informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 rnąja 2011 r. o kredycie konsumenckim, w zakresie dotyczącym osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d tej ustawy, pod warunkiem uzyskania pisemnej zgody osoby, której informacje te dotyczą, z zastrzeżeniem ust. 2a. Zgoda ta może być w każdym czasie odwołana. Ust. 3 zaś stanowi, że Banki, instytucje oraz podmioty, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową i informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 596 ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank, inną instytucję ustawowo upoważnioną do udzielania kredytów, instytucję pożyczkową albo podmiot, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, o zamiarze przetwarzania dotyczących jej tych informacji, bez jej zgody. Kolejne przepisy wskazują, że banki oraz instytucje, o których mowa w art. 105 ust. 4, mogą przetwarzać stanowiące tajemnicę bankową informacje dotyczące osoby fizycznej po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której informacje dotyczą, do celów stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 575/2013 z dnia 26 czerwca 2013 roku w sprawie wymogów ostrożnościowych dla instytucji kredytowych i firm inwestycyjnych, zmieniające rozporządzenie (UE) nr 648/2012.; dalej "rozporządzenie nr 575/2013" (ust. 4). Przetwarzanie informacji stanowiących tajemnicę bankową w przypadkach, o których mowa w ust. 3, może być wykonywane przez okres nie dłuższy niż 5 lat od dnia wygaśnięcia zobowiązania, a w przypadku, o którym mowa w ust. 4, przez okres 12 lat od dnia wygaśnięcia zobowiązania (ust. 5). Zakres przetwarzanych informacji, o których mowa w ust. 3 i 4, może obejmować dane dotyczące osoby fizycznej lub dane dotyczące zobowiązania (ust. 6). W analizowanym przypadku nie doszło jednak do zawarcia umowy kredytowej pomiędzy Uczestniczką a Bankiem. Zgodzić się należy w związku z powyższym z Prezesem UODO, że odpadła przesłanka legalizująca dalsze przetwarzanie danych osobowych Uczestniczki przez Bank, które to przetwarzanie miało na celu - co wymaga podkreślenia - ocenę zdolności kredkowej i analizę ryzyka kredytowego (przed zawarciem umowy). Pomiędzy Bankiem a wymienioną osobą fizyczną nie zawiązał się żaden stosunek zobowiązaniowy, który stosownie do art. 105a ust. 1 - 6 Prawa bankowego, dawałby podstawę do dalszego przetwarzania jego danych osobowych przez Bank. Ustał cel przetwarzania, dla którego pozyskano dane osobowe i nie ma spełnionej przesłanki ich dalszego przetwarzania, co trafnie stwierdził organ właściwy do spraw ochrony danych osobowych. Z przedstawionych wyżej przepisów wynika, że przesłanki zawarte w art. 105a Prawa bankowego dotyczą przetwarzania informacji objętych tajemnicą bankową w okresie przed powstaniem zobowiązania, w trakcie jego trwania oraz po wygaśnięciu zobowiązania. Natomiast w sytuacji, gdy w następstwie złożenia wniosku kredytowego nie dochodzi do zawarcia urnowy kredytowej z Bankiem, jak miało to miejsce w niniejszej sprawie, brak jest ustawowych przesłanek legalizujących dalsze przetwarzanie danych osobowych wnioskującego o zawarcie i wykonanie umowy produktowej w zakresie zapytania kredytowego przez Bank. Nie może bowiem budzić wątpliwości, że ocena zdolności kredytowej i ryzyka kredytowego ma charakter czynności wstępnych przed zawarciem umowy przez Bank. Dalsze przetwarzanie danych, uzyskanych pierwotnie wyłącznie w celu oceny zdolności kredytowej i analizy ryzyka kredytowego, w przypadku braku zawarcia stosownej umowy, pozostaje w oderwaniu od celu, dla którego dane zostały zebrane. Na gruncie RODO niedopuszczalne jest - w takim stanie faktycznym, jak w niniejszej sprawie, gdy nie zawarto umowy kredytowej - przetwarzanie danych osobowych "na przyszłość" w zupełnie innych celach niż je; zebrano. Przechodząc do omówienia poszczególnych zarzutów skargi należy wskazać, że są one co do zasady nietrafne. Sąd nie dopatrzył się naruszenia art. 8 § 1 i 2 k.p.a. oraz art. 14 ustawy z dnia 6 marca 2018 r. - Prawo przedsiębiorców ponieważ w stosunku do obu podmiotów Banku i BIK zastosowano środki naprawcze przewidziane w art. 58 ust.2 RODO adekwatne do ich sytuacji związanej z przetwarzaniem danych osobowych Uczestniczki. W stosunku do Banku zastosowano środek naprawczy w postaci upomnienia, gdyż Bank w dacie wydania decyzji nie przetwarzał danych osobowych Uczestniczki w ramach zapytania kredytowego jednak wcześniej dane te były przetwarzane w sposób wadliwy. Natomiast BIK pomimo braku podstawy prawnej nadal przetwarzał dane osobowe Uczestniczki i dlatego zastosowano wobec niego środek naprawczy w postaci nakazania zaprzestania przetwarzania tych danych. Sąd nie dopatrzył się również naruszenia wskazanych w skardze przepisów postępowania, gdyż w sprawie zostało wydane rozstrzygniecie znajdujące podstawy w ustalonym w sprawie stanie faktycznym i prawnym. Prezes PUODO odniósł się w zaskarżonej decyzji do wszystkich celów przetwarzania danych osobowych Uczestniczki postępowania podnieś cnych przez Bank i wyjaśnił dlaczego w jego ocenie wskazane przez Bank podstawy prawne nie legitymowały procesu przetwarzania danych osobowych Uczestniczki pozyskanych w związku z zapytaniem kredytowym, które nie zakończyło się zawarciem umowy kredytowej. Prezes Urzędu Ochrony Danych Osobowych prowadząc postępowanie w niniejszej sprawie podjął niezbędne i wystarczające działania, konieczne dla wyjaśnienia stanu faktycznego sprawy. W ocenie Sądu organ w sposób prawidłowy dokonał analizy art. 105 ust. 1,2 i 3 regulującego uprawnienie do przetwarzania danych osobowych zarówno w celu oceny zdolności kredytowej jak i analizy ryzyka kredytowego. Jak wskazuje się w doktrynie ww. regulacja wyraźnie wskazuje zakres przedmiotowy uprawnienia, który odnosi się do obu ww. pojęć nawet przy uwzględnieniu, że oba ww. pojęcia nie są tożsame (cyt.) "Przez określenie w tym przepisie celów przetwarzania informacji stanowiących tajemnicę bankową wyznaczono jednocześnie przedmiotowe granice przetwarzania takich informacji. Jest to dopuszczalne jedynie w zakresie dotyczącym osób fizycznych oraz w celu oceny zdolności kredytowej i analizy ryzyka kredytowego (...). Pojęcie zdolności kredytowej zostało zdefiniowane w art. 70 ust. 1 pr. bank, i‘ oznacza zdolność do spłaty zaciągniętego kredytu wraz z odsetkami w terminach określonych w umowie. Pojęcie ryzyka kredytowego jest kilkakrotnie używane w przepisach prawa bankowego (na. 6a ust. 3 pkt 1, art. 71 ust. 4), ale nie jest zdefiniowane. (...) Uznano w piśmiennictwie, że analiza ryzyka kredytowego jest szerszą oceną do oceny zdolności kredytowej, ponieważ ocena ryzyka kredytowego powinna dotyczyć transakcji na tle całego portfela kredytowego banku i jego skutków dla banku jako całości, natomiast ocena zdolności kredytowej jest indywidualną oceną możliwości spłaty przez kredytobiorcę kredytu w określonych terminach spłaty wraz z odsetkami i prowizjami. Z zestawienia wyżej przywołanych definicji ustawowych wynika jednak, że w każdym przypadku ocena sprowadza się do ustalenia możliwości spłaty kredytu (kredytu konsumenckiego) przez konkretnego kredytobiorcę (konsumenta)." (Z. Ofiarski [w:] Prawo bankowe. Komentarz, Warszawa 2013, art. 105(a)). Niezasadny jest również zarzut Eanku odnośnie naruszenia prawa materialnego, które miało wpływ na wynik sprawy tj. art. 6 ust. 1 lit. c RODO w zw. z art. 105 ust. 4 Prawa bankowego. Art. 6 ust. 1 lit. c RODO dotyczy sytuacji, gdy przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego administratora danych, a nie realizacji uprawnienia, o którym mowa w art. 105 ust 4 Prawa bankowego. Ponadto przepis art. 105 ust. 4 Prawa bankowego nie stanowi o dopuszczalności przetwarzania danych osobowych dotyczących wniosków kredytowych w sytuacji, gdy nie doszło do zawarcia umowy z Bankiem. W tym przypadku ustał cel oceny zdolności kredytowej i analizy ryzyka kredytowego. Za niezasadny należy również uznać zarzut naruszenia art. 6 ust. 1 lit. c RODO w zw. z art. 105 ust. 4 oraz art. 105a ust. 1-6 Prawa bankowego oraz art. 70 ust. 1 Prawa bankowego w zw. z art. 9 us:. 2, 3 i 4 ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim. Powyższe przepisy w żaden sposób nie dają podstawy do przetwarzania "na przyszłość" danych osoby, z którą umowy nie zawarto, a cel, dla którego dane zebrano ustał. Brzmienie art. 105a Prawa bankowego nie daje podstaw do dalszego przetwarzania danych po zakończeniu oceny zdolności kredytowej i analizy ryzyka kredytowego. Na podstawie powołanych przepisów Bank, nie tylko nie ma obowiązku ich dalszego przetwarzania, ale nie ma również uprawnienia w tym zakresie w sytuacji, gdy umowy nie zawarto i nie wskazano przesłanki legalizującej to działanie. Powyższa konkluzja pozostaje w zgodzie z akceptowaną w pełni przez skład orzekający w niniejszej sprawie ugruntowaną linią orzeczniczą sądów administracyjnych, której przykładem jest m.in. wyrok Naczelnego Sądu Administracyjnego z dnia 27 sierpnia 2019 r., sygn. akt I OSK 2567/17, zgodnie z którym cyt.: "(...) cel oceny zdolności kredytowej stanowi ocena zdolności do spłaty zaciągniętego kredytu wraz z odsetkami, co ma charakter czynności wstępnej do zawarcia stosownej umowy. Dalsze przetwarzanie danych uzyskanych w celu oceny zdolności kredytowej, w przypadku nie zawarcia stosownej umowy pozostawałaby w oderwaniu od celu dla którego dane te uzyskano. (...) niedopuszczalne jest przetwarzanie danych osobowych na przyszłość, a także na potrzeby budowy oceny zdolności kredytowej innych podmiotów, jeżeli nie można zrekonstruować wyraźnej podstawy prawnej takich działań". Pogląd ten wyrażony został wprawdzie na gruncie poprzednio obowiązującej ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych i obowiązującej przed RODO Dyrektywy 95/46 WE, jednakże w ocenie Sądu nie stracił na aktualności. Sąd nie podziela również zarzutu Banku dotyczącego naruszenia prawa materialnego, które miało wpływ na wynik sprawy tj. art, 6 ust 1 lit. c RODO w zw. z art. 144 ust. 1 lit. d, art. 145 ust. 1 , Eirt. 170 ust. 3 lit. a, art. 171 ust. 2, art. 179 ust. 1 lit. a oraz art. 181 ust. 2 Rozporządzenia CRR poprzez niewłaściwe zastosowanie oraz nieuzasadnione przyjęcie, że Bank nie legitymuje się przesłanką przetwarzania danych wynikającą z art. 6 ust. 1 lit. c RODO w zw. z przepisami Rozporządzenia CRR, podczas gdy te przepisy wskazująca określone obowiązki banków w zakresie wymogów ostrożnościowych. W ocenie Sądu z powołanych przepisów CRR nie wynika podstawa do dalszego przetwarzania danych osobowych Uczestniczki. W celu wykazania, że nie przywołane przez Bank w powyższym zarzucie przepisy CRR nie stanowią podstawy prawnej do przetwarzania danych osobowych Uczestniczki postępowania, z którą nie zawarto umowy kredytu Sad poniżej wskazuje na ich treść. Z art. 144 ust. 1 lit. d) powołanego rozporządzenia, właściwy organ wydaje zezwolenie na mocy art. 143 na stosowanie przez instytucję metody IRB, w tym na stosowanie własnych oszacowań LGD i współczynników konwersji, wyłącznie wtedy, gdy właściwy organ stwierdzi, że wymogi przewidziane w niniejszym rozdziale są spełnione, w szczególności wymogi przewidziane w sekcji 6, oraz że posiadane przez instytucję systemy w zakresie zarządzania oraz oceny ekspozycji' na ryzyko kredytowe są należyte i zostały spójnie wdrożone, w szczególności gdy instytucja wykazała w sposób zadowalający właściwym organom spełnienie następujących norm: (...) d) instytucja gromadzi i przechowuje wszystkie odpowiednie dane, aby zapewnić skuteczne wsparcie procesów pomiaru ryzyka kredytowego oraz zarządzania ryzykiem kredytowym. Stosownie do art. 145 ust. 1 tego rozporządzenia, jest wymagane, aby instytucja ubiegająca się o możliwość stosowania metody IRB korzystała, w odniesieniu do omawianych kategorii ekspozycji IRB, co najmniej przez trzy lata poprzedzające zakwalifikowanie się do stosowania metody IRB, z systemów ratingowych, które odpowiadały w znacznym stopniu wymogom określonym w sekcji 6 dotyczącym wewnętrznego pomiaru ryzyka i zarządzania ryzykiem. Z kolei art. 170 ust. 3 lit. a, stanowi, że struktura systemów ratingowych dla ekspozycji detalicznych spełnia następujące wymogi: a) systemy ratingowe odzwierciedlają zarówno ryzyko dłużnika, jak i ryzyko transakcji oraz uwzględniają wszystkie istotne właściwości ryzyka dłużnika i ryzyka transakcji. Zgodnie z art. 171 ust. 2 klasyfikując dłużników i instrumenty do klas lub pul, instytucja uwzględnia wszystkie istotne informacje. Informacje te są aktualne i umożliwiają instytucji prognozowanie zachowania ekspozycji w późniejszym okresie. Im mniej informacji ma do dyspozycji instytucja, tym ostrożniej klasyfikuje ekspozycje do poszczególnych klas lub pul dłużników instrumentów. Jeżeli instytucja stosuje rating zewnętrzny jako główny czynnik decydujący o przyznaniu wewnętrznego ratingu, instytucja ta zapewnia uwzględnienie innych istotnych informacji oraz stosownie do art. 179 ust. 1 lit. a, przy przeprowadzaniu kwantyfikacji parametrów ryzyka związanego z poszczególnymi klasami lub pulami ratingowymi instytucje stosują następujące wymogi: a) oszacowania własne instytucji dotyczące parametrów ryzyka PD, LGD, współczynnika konwersji i EL uwzględniają wszelkie istotne dane, informacje i metody. Oszacowań dokonuje się na podstawie zarówno doświadczeń z przeszłości, jak i dowodów empirycznych, nie zaś wyłącznie w oparciu o osąd własny. Oszacowania te są wiarygodne i intuicyjne oraz opierają się na istotnych czynnikach odpowiednich parametrów ryzyka. Im mniej danych ma do dyspozycji instytucja, tym ostrożniejsze są jej oszacowania. W myśl zaś art. 181 ust. 2 rozporządzenia, w odniesieniu do ekspozycji detalicznych instytucje mogą podjąć następujące działania: a) przeprowadzić oszacowania wartości LGD na podstawie zrealizowanych strat i odpowiednich oszacowań PD; b) uwzględniać kwoty do wykorzystania w przyszłości w swoich współczynnikach konwersji lub oszacowaniach LGD; c) w przypadku nabytych wierzytelności detalicznych stosować zewnętrzne i wewnętrzne dane źródłowe do oszacowań LGD. W przypadku ekspozycji detalicznych oszacowania LGD opierają się na danych z okresu co najmniej pięciu lat. Instytucja nie musi przypisywać równej wagi do danych historycznych, jeżeli późniejsze dane stanowią lepszy predyktor wskaźników straty. Przy wdrażaniu metody IRB instytucje mogą, pod warunkiem uzyskania zezwolenia właściwych organów, korzystać z odpowiednich danych obejmujących okres dwóch lat. Okres ten ulega co roku wydłużeniu o jeden rok do momentu, gdy istotne dane będą obejmować okres pięciu lat. Jak wynika z powyższych regulacji rozporządzenia CRR instytucja kredytowa jest obowiązana do zbierania informacji przydatnych do skutecznego zarządzania ryzykiem. Nie oznacza to jednak, że gromadzenie danych w systemach ratingowych może odbywać się z naruszeniem przepisów regulujących kwestie ochrony danych osobowych. Sąd nie podziela również zarzutu Banku odnośnie naruszenia prawa materialnego, które miało wpływ na wynik sprawy tj. art. 6 ust. 1 lit. c RODO w zw. z art. 106d ust. 3 Prawa bankowego, art. 33 ust. 2, art. 33 ust. 3 pkt. 6, art. 34 ust. 1 pkt 4, art. 36, art. 46 oraz art. 49 ust. 1 ustawy AML poprzez jego niezastosowanie wobec Banku, a w konsekwencji pominięcie, że Bank legitymuje się przesłanką przetwarzania danych wynikającą z prz/wołanych wyżej przepisów, które nakładają na Bank obowiązek przetwarzania informacji, w tym danych osobowych, w celu zapewnienia bezpieczeństwa obrotu gospodarczego, poprzez przeprowadzenie szczegółowego badania na temat klientów, w tym przyszłych klientów, jak i badania powiązań kapitałowo-osobowych. . Z wymienionych w powyższym zarzucie przepisów prawa niewątpliwie wynika uprawnienie do monitorowania stosunków gospodarczych klienta i stosowania odpowiednich środków bezpieczeństwa finansowego, co nie ma zupełnie odniesienia do niniejszej sprawy. Bank nie wskazał jakie działania (w sferze stosunków gospodarczych niedoszłego klienta, osoby, z którą nie zawarł umowy kredytowej) chciałby monitorować. Jak wskazał Prezes PUODO w odpowiedzi na skargę, które to stanowisko Sad orzekający w sprawie w pełni podziela akceptuje, możliwe jest przetwarzanie danych osobowych klientów w celu identyfikacji oraz weryfikacji ich tożsamości, zgodnie z przepisami ustawy AML, przed nawiązaniem stosunków gospodarczych lub przeprowadzeniem transakcji okazjonalnej (art. 39 ust. 1 AML). Należy jednak podkreślić, że dane osobowe mogą być przetwarzane przez okres niezbędny do realizacji celu, zatem zakończenie ww. czynności, w wyniku których nie doszło do nawiązania stosunków gospodarczych lub przeprowadzenia transakcji okazjonalnej powoduje wygaśnięcie tego celu przetwarzania, a tym samym obowiązek usunięcia danych osobowych. Jak wynika z treści powyższych przepisów ustawy AML, uprawnienie do dopuszczalne jest przechowywania danych osobowych związanych z zastosowaniem środków bezpieczeństwa jest powiązane z przeprowadzeniem transakcji. W przypadku zapytań kredytowymi niezakończonych zawarciem umowy nie dochodzi ostatecznie do przeprowadzenia transakcji. Dodatkowo nie dochodzi również do nawiązania stosunków gospodarczych. Zgodnie z art. 35 ust 1 pkt 1 ustawy AML instytucje obowiązane, w tym banki, stosują środki bezpieczeństwa finansowego w przypadku nawiązywania stosunków gospodarczych. W tym miejscu wskazać należy, że zgodnie z ustawową definicją stosunków gospodarczych, rozumieć przez nie należy stosunki instytut obowiązanej z klientem związane z działalnością zawodową instytucji obowiązanej, które w chwili ich nawiązywania wykazują cechę trwałości (art. 2 ust. 2 pkt 20 ustawy AML). W ocenie Prezesa Urzędu Ochrony Danych Osobowych zapytania kredytowe, które spotkały się z decyzją odmowną w zakresie udzielenia kredytu nie posiadają cechy trwałości, które w aspekcie powyższych przepisów AML uzasadniałyby ich dalsze przetwarzanie. Cecha trwałości stosunku gospodarczego pojawia się dopiero w wyniku m.in. zawarcia umowy, na co wskazuje się doktrynie (cyt.) "W przypadku nawiązywania stosunków gospodarczych, a więc stosunków instytucji obowiązanej z klientem związanych z działalnością zawodową instytucji obowiązanej, które w chwili ich nawiązywania wykazują cechę trwałości (np. zawarcie umowy o świadczenie usług), instytucje obowiązane stosują środki Bezpieczeństwa finansowego bez względu na wartość tych stosunków; w tym zakresie brak jest minimalnego limitu wartości, jak w przypadku transakcji okazjonalnych" (clr. hab. Marcin Dyl, dr hab. Michał Królikowski, Ustawa o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu. Komentarz, legalis C.H. Beck, Wydawnictwo H. Beck, Warszawa 2021, wyd. 1). W ocenie Sądu nie zasługuje również na akceptację zarzut Banku dotyczący naruszenia art. 6 ust. 1 lit. c RODO w zw. z art. 70a ust. 1 i 2 Prawa bankowego, art. 70a ust. 1 Prawa bankowego banki i inne instytucje ustawowo upoważnione do udzielania kredytów na wniosek osoby fizycznej, prawnej lub jednostki organizacyjnej niemającej osobowości prawnej, o ile posiada zdolność prawną, ubiegającej się o kredyt przekazują, w formie pisemnej, wyjaśnienie dotyczące dokonanej przez siebie oceny zdolności kredytowej wnioskującego. Stosownie zaś do art. 70a ust. 2 Prawa bankowego wyjaśnienie, o którym mowa w ust. 1, obejmuje informacje na. temat czynników, w tym danych osobowych wnioskującego, które miały wpływ na dokonaną ocenę zdolności kredytowej. Powstanie obowiązku, o którym mowa w art. 70a ust. 1 Prawa bankowego, uzależnione jest od złożenia stosownego wniosku przez osobę ubiegającą się o kredyt. Jak wynika z akt sprawy Uczestniczka postępowania zwróciła się do Banku z wnioskiem o usuniecie jej danych osobowych, należy więc uznać, że nie jest zainteresowana realizacją, o którym mewa w powyższym przepisie. Niezasadny jest również zarzut Banku odnośnie naruszenia prawa materialnego, które miało wpływ na wynik sprawy tj. art. 6 ust. 1 lit. f RODO w zw. z art. 117 § 2 i § 21, 118k.c. i art. 119 k.c. Na wstępie należy zauważyć, że art. 6 ust. 1 lit. f) RODO stanowi o uprawnieniu do przetwarzania, gdy jest ono niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Za usprawiedliwiony cel w rozumieniu powołanego przepisu nie może zostać uznane przetwarzanie danych osobowych na wypadek ewentualnego dochodzenia lub obrony roszczeń. Z akt sprawy nie wynika, aby Uczestniczka, która zażądała usunięcia danych w zakresie zapytania kredytowego, miała jakiekolwiek roszczenie na drodze cywilnoprawnej do banku. Z tego względu nie jest dopuszczalne przyjęcie, że to art. 6 ust. 1 lit. f) RODO mógłby stanowić podstawę dla banku, do "dalszego" przetwarzania jej danych na wypadek ewentualnego dochodzenia roszczeń. W tym miejscu można również przywołać stanowisko doktryny, z którego wynika, że "Jeśli zaś bank - w wyniku dokonanej oceny zdolności kredytowej (przeprowadzonej zgodnie z przyjętymi rekomendacjami KNF) - nie udzieli kredytu, zatem nie dojdzie do zawarcia umowy kredytu, stan taki nie rodzi po stronie ubiegającego się o kredyt żadnych roszczeń na drodze cywilnoprawnej. Ubiegającemu się o kredyt przysługuje tylko możliwość wnioskowania o przedstawienie na piśmie przyczyn odmowy" (B. Bajor [w:] L. Kociucki, J. M. Kondek, K. Królikowska, B. Bajor, Prawo bankowe. Komentarz do przepisów cywilnoprawnych, Warszawa 2020, art. 70(a)). Sad podziela w pełni stanowisko Prezesa PUODO zawarte w odpowiedzi na skargę gdzie wskazano, ze "Skoro odmowa udzielenia kredytu nie skutkuje powstaniem roszczeń cywilnoprawnych, ni a sposób przyznać Bankowi racji, że koniecznym jest przetwarzanie danych osobowych dotyczących dokonanych zapytania dla celu ewentualnego dochodzenia roszczeń lub konieczności obrony przed ewentualnymi roszczeniami w przyszłości ze strony Skarżącej. Przepisy prawa nie przewidują bowiem roszczenia cywilnoprawnego, które przysługiwałoby Skarżącej w związku z nieudzieleniem kredytu przez Bank." Sąd rozpoznający niniejszą sprawę podziela pogląd Naczelnego Sądu Administracyjnego, zgodnie z którym niedopuszczalne jest przetwarzanie danych osobowych niejako "na zapas" z założeniem, że mogą być one ewentualnie przydatne w przyszłości, na przykład z odwołaniem się do przepisów dotyczących przedawnienia roszczeń (por. wyrok NSA z dnia 27 marca 20.18 r. sygn. akt I OSK 1459/16, orzeczenia.nsa.gov.pl). Wywodzenie z:atem także z kwestii przedawnienia roszczeń samodzielnej podstawy do przetwarzania danych - w sytuacji, gdy mowa o danych osoby, z którą bank nie zawarł umów kredytowej, nie jest uprawnione i nie stanowi przesłanki do ich dalszego przetwarzania. Sąd nie podziela również zarzutu Banku dotyczącego naruszenia prawa materialnego, tj. art. 6 ust. 1 lit. f RODO w związku z Rekomendacjami S, W i T Komisji Nadzoru Finansowego, polegające na przyjęciu, że Bank nie legitymuje się przesłanką przetwarzania danych wynikającą z art. 6 ust. 1 lit. f RODO w związku z Rekomendacjami S, W i T Komisji Nadzoru Finansowego. Po pierwsze powołane Rekomendacjami S, W i T Komisji Nadzoru Finansowego nie są źródłem prawa powszechnie obowiązującego. Po drugie Rekomendacje te winny być interpretowane przez pryzmat RODO i w żaden sposób nie da się z nich wyprowadzi wobec osoby, z którą nie zawarto umowy kredytowej i która zażądała usunięcia danych - prawnie uzasadnionego interesu banku ,o których jest mowa w art. 6 ust. 1 lit. f) RODO Reasumując Sąd podziela prezentowane w orzecznictwie sądowoadministracyjnym poglądy, zgodnie z którymi dalsze przetwarzanie danych uzyskanych w celu oceny zdolności kredytowej, w przypadku nie zawarcia stosownej umowy pozostawałoby w oderwaniu od celu, dla którego je uzyskano. Niedopuszczalne jest dalsze przetwarzanie danych osobowych na przyszłość, a także na potrzeby budowy oceny zdolności kredytowej innych podmiotów, jeżeli nie można zrekonstruować wyraźnej podstawy prawnej takich działań, jak miało to miejsce w niniejszej sprawie (por. wyrok NSA z dnia 27 sierpnia 2019 r. sygn. akt I OSK 2567/17, wyroki Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 25 kwietnia 2023 r. sygn. akt II SA/Wa 1942/22 , z dnia,5 czerwca 2023 r. sygn. akt II SA/Wa 1736/22 oraz z dnia 15 maja 2024 r. sygn. akt II SA/Wa 1752/23 orzeczenia.nsa.gov.pl). Mając powyższe na uwadze, Wojewódzki Sąd Administracyjny w Warszawie na podstawie art. 151 p.p.s.a. orzekł jak w sentencji. ----------------------- Sygn. akt II SA/Wa 257/25 Sygn. akt II SA/Wa 257/25 # # Sygn. akt II SA/Wa 257/25 Sygn. akt II SA/Wa 257/25 . # # Sygn. akt II SA/Wa 257/25 Sygn. akt II SA/Wa 257/25 # # Sygn. akt II SA/Wa 257/25 . Sygn. akt II SA/Wa 257/25 . # # Sygn. akt II SA/Wa 257/25 Sygn. akt II SA/Wa 257/25 # # Sygn. akt II SA/Wa 257/25 Sygn. akt II SA/Wa 257/25 Sygn. akt II SA/Wa 257/25 Sygn. akt II SA/Wa 257/25 . , . # # Sygn. akt II SA/Wa 257/25 Sygn. akt II SA/Wa 257/25 # # Sygn. akt II SA/Wa 257/25 , # Sygn. akt II SA/Wa 257/25 J nf Sygn. akt II SA/Wa 257/25 J # # Sygn. akt II SA/Wa 257/25 Sygn. akt II SA/Wa 257/25 # Sygn. akt II SA/Wa 257/25 Sygn. akt II SA/Wa 257/25 # # Sygn. aktll SA/Wa 257/25 ' #