II SA/Wa 3467/21

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Joanna Kube, Sędzia WSA Iwona Maciejuk, Sędzia WSA Łukasz Krzycki (spr.), , Protokolant specjalista Elwira Sipak, po rozpoznaniu na rozprawie w dniu 7 lipca 2022 r. sprawy ze skarg Biura Informacji Kredytowej S.A. z siedzibą w W. i [...] Banku [...] S.A. z siedzibą w K. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] lipca 2021 r. nr [...] w przedmiocie przetwarzania danych osobowych 1. uchyla zaskarżoną decyzję; 2. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz Biura Informacji Kredytowej S.A. z siedzibą w W. kwotę 697 zł (sześćset dziewięćdziesiąt siedem złotych), tytułem zwrotu kosztów postępowania; 3. zasądza od Prezesa Urzędu Ochrony Danych Osobowych na rzecz [...] Banku [...] S.A. z siedzibą w K. kwotę 697 zł (sześćset dziewięćdziesiąt siedem złotych), tytułem zwrotu kosztów postępowania. Zaskarżoną decyzją - przywołując, art. 5 ust. 1 lit. b i c, art. 6 ust. 1 oraz art. 58 ust. 2 lit. c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.Urz. UE L. nr 119. str. 1, ze zm.), zwanego dalej "RODO", wobec skargi p. K. W., zwanej dalej "Wnioskodawcą", na nieprawidłowości w procesie przetwarzania jej danych osobowych polegające na: - udostępnieniu przez [...] Bank [...] S.A., zwany dalej Bankiem, danych osobowych Wnioskodawcy do Biura Informacji Kredytowej S.A., zwanego dalej "Biurem", - odmowie usunięcia zapytania kredytowego z [...] czerwca 2018 r., zwanego dalej "Zapytaniem", przetwarzanego przez Biuro - nakazano: - Bankowi: usunięcie danych osobowych Wnioskodawcy w zakresie zapytania kredytowego z [...] czerwca 2018 r. przetwarzanych przez Biuro (w pkt 1), - Biuru: usunięcie danych osobowych Wnioskodawcy w zakresie Zapytania, przekazanego przez Bank (w pkt 2). W uzasadnieniu decyzji przywołano następujące okoliczności faktyczne i prawne uwarunkowania sprawy: - do organu wpłynęła skarga Wnioskodawcy, - w toku postępowania administracyjnego, ustalono następujący stan faktyczny: - Wnioskodawca wskazał w skardze, że na przełomie maja i czerwca 2018 roku złożył w Banku wniosek kredytowy; oświadczył wówczas, że przyjął do wiadomości, że Bank jest uprawniony przekazania do Biura stanowiących tajemnicę bankową informacji - w celu oceny zdolności kredytowej i analizy ryzyka kredytowego - a także wyraża zgodę, aby Biuro przetwarzało te dane przez okres 2 lat od daty otrzymania zapytania; zgodę tę Wnioskodawca wycofał [...] października 2018 r.; dane osobowe Wnioskodawcy są nadal przetwarzane przez Biuro w celu oceny i analizy ryzyka kredytowego - pomimo, że nie doszło do zwarcia umowy kredytu pomiędzy Wnioskodawcą a Bankiem; Wnioskodawca wniósł więc o usunięcie jego danych osobowych w zakresie Zapytania, przetwarzanych w systemie Biura (tak: treść skargi z [...] października 2018 r. wraz z załącznikami - załącznik nr 10-12 wyjaśnień Banku z [...] stycznia 2019 r.); - Bank pozyskał dane osobowe Wnioskodawcy bezpośrednio od niego - w związku z zawarciem umów o świadczenie usług bankowych z [...] kwietnia 2015 r. oraz złożonym [...] maja 2018 r. wnioskiem kredytowym; Bank pozyskał dane osobowe Wnioskodawcy w zakresie: nazwisko, imię, numer PESEL, przedmiotu zabezpieczenia, telefon kontaktowy, zakres pokrewieństwa, rozliczenie inwestycji, adres e-mail, numer telefonu komórkowego, nazwisko rodowe matki, miejsce urodzenia, seria i numer dowodu osobistego, data ważności dowodu osobistego, stan cywilny, wykształcenie, status mieszkaniowy, adres zamieszkania, kraj zamieszkania, podstawa osiągania dochodu, staż pracy, liczba osób w gospodarstwie, miesięczne wydatki gospodarstwa domowego, informacja o posiadanych zobowiązaniach, zaświadczenie o źródle i wysokości miesięcznych dochodów - nazwa, pracodawcy, nr NIP i REGON, adres siedziby, stanowisko, średni dochód netto (tak: wyjaśnienia Banku z [...] stycznia 2019 r. wraz z załącznikami); - Bank wyjaśnił, że przetwarza obecnie dane osobowe Wnioskodawcy w związku z wnioskiem o kredyt hipoteczny z [...] maja 2018 r. w celu oceny zdolności kredytowej i - na podstawie art.70 ustawy z dnia 29 sierpnia 1997 r. - Prawo bankowe (Dz. U. z 2020 r., poz. 1896 ze zm.) - udostępnił Biuru dane osobowe Wnioskodawcy; dane te będą przetwarzane przez Bank przez 6 lat - na podstawie art. 118 ustawy z 23 kwietnia 1964 r. - Kodeks cywilny (Dz.U. z 2020 r., poz. 1740 ze zm.), zwanej dalej "K.c." (tak: wyjaśnienia Banku z [...] stycznia 2019 r. wraz z załącznikami); - dane pochodzące z Zapytania będą udostępniane przez Biuro bankom w raportach kredytowych przez 12 miesięcy - od złożenia Zapytania - w celu dokonania indywidualnej oceny zdolności kredytowej Wnioskodawcy; po tym okresie nie będą udostępniane w tym celu; jego dane osobowe są przetwarzane przez Biuro również do celów statystycznych i analiz - w tym dla stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia Parlamentu Europejskiego i Rady nr 575/2013 z dnia 26 czerwca 2013 r. w sprawie wymogów ostrożnościowych dla instytucji kredytowych i firm inwestycyjnych, zmieniające rozporządzenie (UE) nr 648/2012 (Dz.Urz. UE L 2013 Nr 176, str. 1), zwanego dalej "CRR" - na podstawie art. 105a ust. 4 i 5 ustawy - Prawo bankowe (tak: treść skargi z [...] października 2018 r. wraz z załącznikami oraz wyjaśnienia Banku z [...] stycznia 2019 r. wraz z załącznikami); - Biuro wyjaśniło, że przetwarza - na podstawie art. 105 ust. 4 ustawy - Prawo bankowe - dane pochodzące z Zapytania przez 12 miesięcy od dnia złożenia zapytania - w celu oceny zdolności kredytowej i analizy ryzyka kredytowego konkretnego klienta (indywidualna ocena zdolności kredytowej); w przypadku Wnioskodawcy wyżej wymienione zapytania kredytowe nie są przetwarzane - w tych celach - ze względu na upływ 12 miesięcy od dnia złożenia zapytań; Biuro będzie przetwarzało jego dane osobowe w związku ze złożonymi zapytaniami kredytowymi w celu budowy modeli scoringowych - narzędzi wykorzystywanych przez banki do oceny zdolności kredytowej i analizy ryzyka kredytowego przez okres 5 lat od dnia złożenia zapytania, w celu statystycznym i analiz przez okres nie dłuższy niż 10 lat od dnia przekazania zapytania do Biura, w celu rozpatrywania ewentualnych reklamacji i roszczeń odszkodowawczych — do momentu przedawnienia potencjalnych roszczeń, wynikających z zapytań oraz w celu wypełnienia obowiązku wynikającego z art. 15 RODO, w przypadku wystąpienia przez osobę, której dane dotyczą z wnioskiem o udzielenie informacji (tak: wyjaśnienia Biura z [...] stycznia 2019 r.); - Bank wskazał, że Wnioskodawca [...] października 2018 r. zażądał zaprzestanie przetwarzania jego danych osobowych w Biurze - w związku z brakiem zawarcia umowy kredytowej; Bank udzielił mu – [...] października 2018 r. - odpowiedzi, że nie ma podstaw do usunięcia jego danych osobowych, przetwarzanych w związku ze złożonym Zapytaniem (tak: treść skargi z [...] października 2018 r. wraz z załącznikami oraz wyjaśnienia Banku z [...] stycznia 2019 r. wraz z załącznikami), - przepisem uprawniającym administratorów do przetwarzania zwykłych danych osób fizycznych jest art. 6 ust. 1 RODO; zgodnie z nim, ich przetwarzanie jest dopuszczalne tylko, gdy jest spełniona jedna z przesłanek wskazanych w tym przepisie; ich katalog jest zamknięty; każda z legalizujących proces przetwarzania danych osobowych przesłanek ma charakter autonomiczny i niezależny; proces przetwarzania danych osobowych musi być też zgodny z zasadami ustanowionymi w art. 5 ust. 1 RODO; zalicza się do nich m.in. ograniczenie celu (art. 5 ust. 1 lit. b RODO) oraz minimalizację danych (art. 5 ust. 1 lit. c RODO); wedle wspomnianych zasad dane osobowe muszą być gromadzone w konkretnych, wyraźnych i prawnie uzasadnionych celach i nie mogą być przetwarzane dalej w sposób niezgodny z tymi celami; proces przetwarzania danych osobowych musi być adekwatny, stosowny oraz ograniczony do tego, co niezbędne do celów, w których są przetwarzane, - co do zasady, podstawą prawną przetwarzania danych osobowych klientów przez Bank i Biuro jest obecnie art. 6 ust. 1 f RODO - przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora, - Biuro jest instytucją utworzoną na podstawie art. 105 ust. 4 ustawy - Prawo bankowe; stanowi on, że banki mogą, wspólnie z bankowymi izbami gospodarczymi, utworzyć instytucje upoważnione do gromadzenia, przetwarzania i udostępniania bankom informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej CRR, innym instytucjom ustawowo upoważnionym do udzielania kredytów informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są niezbędne w związku z udzielaniem kredytów, pożyczek pieniężnych, gwarancji bankowych i poręczeń (pkt 2), instytucjom kredytowym informacji stanowiących tajemnicę bankową w zakresie niezbędnym do oceny zdolności kredytowej konsumenta, o której mowa w art. 9 ust. 3 ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim (Dz.U. z 2019 r. poz. 1083 ze zm.), zwanej dalej ustawą o kredycie, instytucjom pożyczkowym i podmiotom, o których mowa w art. 59d ustawy o kredycie na zasadzie wzajemności, informacji stanowiących odpowiednio tajemnice bankową oraz informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy o kredycie, w zakresie niezbędnym do oceny zdolności kredytowej konsumenta, o której mowa w art. 9 ust. 4 tej ustawy, i analizy ryzyka kredytowego, - zgodnie z art. 105a ust. 1 ustawy - Prawo bankowe, przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów, instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy o kredycie, a także instytucje utworzone na podstawie art. 105 ust. 4 Prawa bankowego, informacji stanowiących tajemnicę bankową i informacji udostępnionych przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy o kredycie, w zakresie dotyczącym osób fizycznych może być wykonywane - z zastrzeżeniem art. 104, 105 i art. 106-106d ustawy - Prawa bankowego - w celu oceny zdolności kredytowej i analizy ryzyka kredytowego; zgodnie zaś z art. 105a ust. 4 ustawy - Prawo bankowe, banki oraz instytucje, o których mowa w art. 105 ust. 4, mogą przetwarzać stanowiące tajemnicę bankową informacje dotyczące osoby fizycznej po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której informacje dotyczą, do celów stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej CRR; stosownie zaś do art. 105a ust. 5 ustawy - Prawo bankowe, przetwarzanie informacji stanowiących tajemnicę bankową w przypadkach, o których mowa w ust. 3, może być wykonywane przez okres nie dłuższy niż 5 lat od dnia wygaśnięcia zobowiązania, a w przypadku, o którym mowa w ust. 4, przez okres 12 lat od dnia wygaśnięcia zobowiązania, - wobec powyższego trzeba uwzględnić, że Wnioskodawca wystąpił [...] maja 2018 r. do Banku z wnioskiem o udzielenie kredytu; wobec tego Bank oraz Biuro, na - podstawie art. 105 a ust. 1 w zw. z art. 70 ust. 1 ustawy - Prawo bankowe, były uprawnione do przetwarzania jego danych osobowych w celu oceny zdolności kredytowej; nie doszło jednak do zawarcia umowy kredytu pomiędzy Wnioskodawcą a Bankiem; odpadła więc przesłanka legalizująca dalsze przetwarzanie danych osobowych przez Bank oraz Biuro; przesłanki zawarte w art. 105a ustawy - Prawo bankowe dotyczą bowiem przetwarzania informacji objętych tajemnicą bankową w okresie przed powstaniem zobowiązania, w trakcie jego trwania oraz po wygaśnięciu zobowiązania; pomiędzy Bankiem a Wnioskodawcą nie zawiązał się żaden stosunek zobowiązaniowy, który - stosownie do art. 105a ust. 1-6 ustawy - Prawo bankowe dawałby podstawę do dalszego przetwarzania danych osobowych; celem przetwarzania danych osobowych Wnioskodawcy była ocena zdolności kredytowej i analizy ryzyka kredytowego; w związku z dokonaniem przez Bank oceny zdolności kredytowej i analizy ryzyka kredytowego ten cel przetwarzania danych osobowych Wnioskodawcy zrealizowano; nie ma więc podstaw prawnych do kontunuowania tego procesu, - stanowisko takie znajduje oparcie w wyroku Naczelnego Sądu Administracyjnego z 27 sierpnia 2019 r. (sygn. akt I OSK 2567/17 – dostępny na stronie internetowej orzeczenia.nsa.gov.pl/cbo/query - w Centralnej Bazie Orzeczeń Sądów Administracyjnych, zwanej dalej "CBOSA"), gdzie wskazano: "(...) cel oceny zdolności kredytowej stanowi ocena zdolności do spłaty zaciągniętego kredytu wraz z odsetkami, co ma charakter czynności wstępnej do zawarcia stosownej umowy. Dalsze przetwarzanie danych uzyskanych w celu oceny zdolności kredytowej, w przypadku nie zawarcia stosownej umowy pozostawałaby w oderwaniu od celu dla którego dane te uzyskano. (...) niedopuszczalne jest przetwarzanie danych osobowych na przyszłość, a także na potrzeby budowy oceny zdolności kredytowej innych podmiotów, jeżeli nie można zrekonstruować wyraźnej podstawy prawnej takich działań.", - zgodnie z art. 7 ust. 3 RODO osoba, której dane dotyczą, ma prawo w dowolnym momencie wycofać zgodę; wycofanie zgody nie wpływa na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej wycofaniem; jak stanowi art. 17 ust. 1 lit. b RODO osoba, której dane dotyczą, ma prawo żądania od administratora niezwłocznego usunięcia dotyczących jej danych osobowych, a administrator ma obowiązek bez zbędnej zwłoki usunąć dane osobowe, jeżeli: - osoba, której dane dotyczą, cofnęła zgodę, na której opiera się przetwarzanie zgodnie z art. 6 ust. 1 lit. a i - nie ma innej podstawy prawnej przetwarzania, - Bank twierdził, że udostępnił dane osobowe Wnioskodawcy do Biura w oparciu o udzieloną przez niego – [...] maja 2018 r. – zgodę; jednakże - co wynika jedynie z przesłanych przez Bank dowodów (stanowiących oświadczenia związane z wnioskiem o zawarcie umowy) - Wnioskodawca przyjął do wiadomości: "Bank, na podstawie art. 105 ust. 4 ustawy Prawo bankowe, jest uprawniony do przekazania do Biura Informacji Kredytowej S.A. (BIK S.A.) z siedzibą w W. ul. [...] informacji stanowiących tajemnicę bankową w celu oceny zdolności kredytowej i analizy ryzyka kredytowego i wyrażam zgodę, aby BIK S.A. przetwarzał te dane przez okres 2 lat od daty otrzymania zapytania zgodę na zwrócenie się do biur informacji gospodarczej oraz instytucji utworzonej na podstawie art. 105 ust. 4 ustawy Prawo bankowe (..)"; - skoro [...] października 2018 r. wycofano zgodę na udostępnienie danych osobowych do Biura, związanych z Zapytaniem, nie sposób uznać, że Bank dysponował zgodą Wnioskodawcy w tym zakresie, - za podstawę przetwarzania danych osobowych Wnioskodawcy, nie mogą być również uznane wskazane przez Bank cele statystyczne i analizy, w tym cel stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej CRR; powołany przez Bank art. 105a ust. 4 ustawy - Prawo bankowe "daje podstawy do przetwarzania informacji dotyczących osoby fizycznej, stanowiących tajemnicę bankową, po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby.". - w rozpatrywanej sprawie nie wystąpiły przesłanki przewidziane przepisami ustawy - Prawo bankowe; zgodnie z nimi Bank może przetwarzać stanowiące tajemnicę bankową informacje, dotyczące osób fizycznych bez ich zgody w celu oceny zdolności kredytowej i analizy ryzyka kredytowego - po wygaśnięciu zobowiązania wynikającego z umowy; w toku prowadzonego postępowania administracyjnego nie stwierdzono również okoliczności, uprawniających Bank do przetwarzania danych osobowych Wnioskodawcy w oparciu o wskazana wcześniej podstawę prawną w powyższym celu, - dlatego - korzystając z uprawnienia przewidzianego w art. 58 ust. 2 lit. c RODO - nakazano zarówno Bankowi jak i Biuru, będącymi administratorami, usunięcie danych osobowych Wnioskodawcy - przetwarzanych w związku ze złożonym Zapytaniem. Bank zarzucił wydanie skarżonej decyzji z naruszeniem przepisów: - postępowania: - art. 107 ust. 1 pkt. 4 w związku z art. 6 i 7 ustawy z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego (Dz.U. z 2021 r., poz. 735), zwanej dalej "K.p.a.", upatrywane w tym, że decyzja zawiera jedynie pozornie powołanie podstawy prawnej; żaden ze wskazanych w niej przepisów nie mógł stanowić podstawy rozstrzygnięcia - nakazu usunięcie dokumentu w postaci zapytania kredytowego Banku - albowiem: art. 5 ust. 1 lit. b i c RODO stanowią ogólną dyrektywę interpretacyjną; w tej sprawie nie występuje ani z ograniczenie celu ani minimalizacją danych; chodzi zaś o nakaz usunięcia określonego dokumentu; powołanie ogólnych dyrektyw przetwarzania danych mogłoby stanowić co najwyżej pomocnicze wskazanie takiej podstawy, gdyby decyzja zawierała inne przepisy "prezentujące dokładną podstawę prawną", art. 6 ust. 1 RODO - bez wskazania, któregokolwiek z podpunktów - jest ogólnym przepisem, normującym dopuszczalne prawem podstawy przetwarzania danych osobowych; nie dotyczy on usuwania danych; nawet gdyby organ uznał, że przepis ten może stanowić podstawę prawną decyzji o nakazie usunięcie, to musiałaby ona wskazywać konkretną normę prawną i brak istnienia którejkolwiek z pięciu podstaw przetwarzania danych - spośród przewidzianych art.6 ust. 1 RODO, dla zastosowania art. 58 ust. 2 lit. c RODO wymagane jest wskazanie przepisu, dotyczącego uprawnień, wynikających z RODO lub innych przepisów prawa, które miałyby przysługiwać Wnioskodawcy w dacie wydania decyzji i które miałyby zostać naruszone skoro nie jest sporne, że: w dacie złożenia wniosku o kredyt ([...] maja 2018 r.) Bank i Biuro przetwarzały te dane w celu oceny zdolności kredytowej i analizy ryzyka i miały po temu podstawę prawną, w dacie wydania decyzji dane osobowe z Zapytania nie były przetwarzane w Biurze w celu oceny indywidualnej zdolności kredytowej Wnioskodawcy oraz związanej z nim oceny ryzyka kredytowego; jak bowiem wynika z akt sprawy, mogły być przetwarzane w tym celu nie dłużej niż 2 lata od dnia złożenia wniosku kredytowego; okres ten upłynął [...] maja 2020 r.; decyzja, którą wydano [...] lipca 2021 r. jest więc bezprzedmiotowa w tym zakresie, dane Wnioskodawcy w Biurze mogą być - na mocy art.105 ust. 4 ustawy - Prawo bankowe, przetwarzane w celu stosowania metod wewnętrznych oraz metod i modeli, o których mowa w CRR; ta podstawa prawna nie była właściwie w ogóle rozważana przez organ - nie jest przedmiotem uzasadnienia decyzji, - art. 107 ust. 1 pkt. 5 K.p.a., poprzez niejasne rozstrzygnięcie; zgodnie z pkt. 1 decyzji nakazano bowiem Bankowi usunięcie danych osobowych (...) przetwarzanych przez Biuro; przez to rozstrzygnięcie w danym punkcie tworzy wątpliwości, jakie obowiązki nałożono na Bank, który przecież nie może usunąć danych "przetwarzanych przez Biuro Informacji Kredytowej S.A."; z kolei – z uwagi na inne, wskazane w skardze, przepisy prawa i inne cele przetwarzania danych - nie jest dopuszczalnym usunięcie przez Bank danych z Zapytania; nie jest wykluczone, że byłby to czyn karalny, prowadzący do niedopuszczalnych zmian w dokumentacji kredytowej – stworzono by stan, jakby nie istniało zapytanie kredytowe, - art. 7 i 7b w zw. z art. 77 K.p.a., wobec niepodjęcia wszelkich niezbędnych czynności, koniecznych do dokładnego wyjaśnienia i załatwienia sprawy; zaniechano przede wszystkim zwrócenia się do Komisji Nadzoru Finansowego (dalej, jako "KNF") - jako organu nadzoru nad rynkiem finansowym - dla ustalenia zasady wymiany informacji prowadzonej przez instytucję działającą w oparciu o art. 105 ust.4 ustawy - Prawo bankowe; powinno być przy tym poza dyskusją, że art. 105 ust.4 pkt. 1 ustawy - Prawo bankowe – gdzie przewidziano uprawnienie do gromadzenia, przetwarzania i udostępniania informacji innemu bankowi - nie można wykładać, aby prowadziło o to do wręcz absurdalnego rezultatu - że gdy umowy kredytowej nie zawarto, nakazuje się kasować zapytania kredytowe zaraz po ich przesłaniu do Biura; celem instytucji z art.105 ust. 4 ustawy - Prawo bankowe jest nie tylko poinformowanie banku, który rozpatruje wniosek kredytowy, ale i przetwarzanie takiego zapytania przez określony czas i tym samym umożliwienie innemu bankowi (w związku z innym wnioskiem tej samej osoby złożonym w innym banku) otrzymanie informacji, czy wnioskodawca ubiegał się już o kredyt i z jakim skutkiem, co ma znaczenie dla oceny zdolności i wiarygodności kredytowej dla innego banku; - naruszenie art. 7, 77, 80 K.p.a., poprzez rozstrzygnięcie o nakazie usunięcia przez Bank danych osobowych Wnioskodawcy w zakresie Zapytania, jako czynności sprzecznej z art. 105 ust. 4 Prawa bankowego; zapytanie takie było bowiem w pełni uzasadnione, zaś w dniu wydania decyzji ([...] lipca 2021 r.) dane Wnioskodawcy nie były przetwarzane przez Bank ani Biuro w celu indywidulanej oceny zdolności kredytowej i analiz ryzyka kredytowego; w dniu wydania decyzji - według najlepszej wiedzy Banku - dane Wnioskodawcy były natomiast przetwarzane - zgodnie z prawem - przez Biuro w celu archiwalnym, a także mogły być przetwarzane w celu wykonywania obowiązków dotyczących metod wewnętrznych i modeli przewidzianych CRR; - naruszenie art. 7b i 80 K.p.a., wobec zaniechania zwrócenia się do KNF, jako organu właściwego w sprawach związanych m.in. z badaniem zdolności kredytowej i analizą ryzyka kredytowego, a także budową modeli statystycznych w zakresie wykorzystywania danych do realizacji tych zadań, w tym danych osobowych, dotyczących zapytaniach kredytowych, - prawa materialnego: - art. 6 ust. 1 lit. c RODO, w zw. z art. 105 ust. 4 oraz art. 70 ustawy - Prawo bankowe, polegające na jego niezastosowaniu i przyjęciu, że Bank nie legitymuje się przesłanką przetwarzania danych, wynikającą z art. 6 ust. 1 lit. c RODO, w zw. z art. 105 ust. 4 ustawy - Prawo bankowe; przepisy te tymczasem - jak także ich wykładnia nadzoru bankowego w drodze rekomendacji T - nakładają na Bank obowiązek korzystania z zewnętrznej bazy danych, o której mowa w art. 105 ust. 4 ustawy - Prawo bankowe do oceny zdolności kredytowej i analizy ryzyka kredytowego; - art. 6 ust. 1 lit. f RODO w związku z rekomendacjami KNF S, W i T, polegające na jego niewłaściwym zastosowaniu i przyjęciu, że Bank nie legitymuje się przesłanką przetwarzania danych wynikającą z art. 6 ust. 1 lit. f RODO w związku z tymi Rekomendacjami; przepisy te nakładają tymczasem na banki oraz Biuro (jako instytucję powołaną na mocy art. 105 ust.4 ustawy - Prawo bankowe) określone wymagania nie tylko w związku z oceną poszczególnego wniosku kredytowego ale także wobec budowy metod i modeli statystycznych (w tym scoringowych); - art. 6 ust. 1 lit. c RODO, w zw. z art. 144 ust. 1 lit. d, art. 145 ust. 1, art. 170 ust. 3 lit a, art. 171 ust. 2 i art. 179 ust 1 lit. a oraz 181 ust. 2 CRR, przez niestosowanie i przyjęciu, że Bank nie legitymuje się przesłanką przetwarzania danych, wynikającą z art. 6 ust. 1 lit. c RODO, w związku z powyższymi przepisami, wskazującymi na określone obowiązki w zakresie wymogów ostrożnościowych; - art. 6 ust. 1 lit. c RODO, w zw. z art. 33 ust. 2, art. 33 ust. 3 pkt 6, art. 34 ust. 1 pkt 4, art. 36, art. 46 oraz art. 49 ust. 1 i 2 ustawy z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (Dz.U. z 2020 r., poz. 971), zwanej dalej: "ustawą AML", polegające na jego niewłaściwym zastosowaniu i przyjęciu, że Bank nie legitymuje się przesłanką przetwarzania danych wynikającą ze wskazanych przepisów; nakładają one tymczasem na Bank obowiązek przetwarzania informacji, w tym danych osobowych - w celu zapewnienia bezpieczeństwa obrotu gospodarczego - poprzez przeprowadzenie szczegółowego badania na temat klientów, w tym przyszłych klientów, jak i badania powiązań kapitałowo-osobowych, - art. 6 ust. 1 lit. c RODO, w zw. z art. 70a ust. 1 i 2 ustawy - Prawo bankowe, polegające na jego niewłaściwym zastosowaniu i przyjęciu, że Bank nie legitymuje się podstawą prawną przetwarzania danych osobowych; przepisy te nakładają tymczasem na banki obowiązek wyjaśniania decyzji kredytowych, osobie (podmiotowi) ubiegającej się o kredyt; przy tym wyjaśnienie musi obejmować dane przetwarzane i dostarczane przez Wnioskodawcę; w przypadku Zapytania kredytowego, znaczenie będą miały także informacje zawarte w zapytaniu i odpowiedzi Biura. Biuro, reprezentowane przez pełnomocnika – radcę prawnego, zarzuciło wydanie skarżonej decyzji z naruszeniem przepisów: - postępowania: . - art. 7 w zw. z art. 77 i 80 K.p.a., polegające na niewyczerpującym zebraniu i rozpatrzeniu całego materiału dowodowego i niepodjęciu wszelkich kroków niezbędnych do dokładnego wyjaśnienia stanu faktycznego i załatwienia sprawy; skutkowało to nakazem usunięcia danych osobowych Wnioskodawcy przez Biuro oraz Bank w zakresie wskazanym w zaskarżonej decyzji; . - art. 7b K.p.a., polegające na zaniechaniu zwrócenia się do KNF, jako organu właściwego w sprawach związanych m.in. z badaniem zdolności kredytowej i analizą ryzyka kredytowego, a także budową modeli scoringowych w zakresie wykorzystywania do realizacji tych zadań danych - w tym danych osobowych o niezrealizowanych zapytaniach kredytowych; . - art. 8 K.p.a., polegające na odstąpieniu bez uzasadnionej przyczyny od utrwalonej praktyki rozstrzygania spraw w takim samym stanie faktycznym i prawnym; narusza to zasadę pogłębiania zaufania obywateli do władzy publicznej; uprzednią praktyka organu było zobowiązanie do usunięcia danych jedynie Banków, na rzecz których działa Biuro (wskazano przykłady orzeczeń do 2020 roku); . - art. 107 § 3 K.p.a., upatrywane w niedostatecznym i niepełnym uzasadnieniu decyzji; w szczególności brak w uzasadnieniu części zdania, odnoszącego się do kluczowej w sprawie kwestii - wyjaśnienia, dlaczego w ocenie organu za podstawę przetwarzania danych osobowych Wnioskodawcy nie mogą być uznane wskazane przez Bank cele statystyczne i analizy, w tym cel stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej CRR, - prawa materialnego, . - art. 6 ust. 1 lit. c RODO, w zw. z art. 105 ust. 4 ustawy - Prawo bankowe, polegające na jego niewłaściwym zastosowaniu i przyjęciu, że Biuro nie legitymuje się przesłanką przetwarzania danych, wynikającą ze wskazanych regulacji; przepisy te tymczasem nakładają na Biuro obowiązek przetwarzania danych osobowych, w tym danych z zapytań kredytowych, przekazanych przez banki i inne instytucje - wymienione w art. 105 ust. 4 ustawy - Prawo bankowe - na zasadzie wzajemności i w zakresie, w jakim informacje te potrzebne są bankom do wykonywania czynności bankowych - w tym oceny zdolności kredytowej i analizy ryzyka kredytowego oraz innym instytucjom (instytucjom pożyczkowym) w zakresie niezbędnym do oceny zdolności kredytowej i analizy ryzyka kredytowego; . - art. 6 ust. 1 lit. f RODO w związku z rekomendacjami KNF S, W i T, polegające na jego niewłaściwym zastosowaniu i przyjęciu, że Biuro nie legitymuje się przesłanką przetwarzania danych, wynikającą z art. 6 ust. 1 lit. f RODO w związku z rekomendacjami S, W i T; przepisy te nakładają tymczasem na banki - a w konsekwencji na Biuro, jako instytucję gromadzącą dane, służące do oceny zdolności kredytowej oraz budującą służące bankom modele scoringowe - określone wymagania, które następnie podlegają egzekwowaniu przez KNF na podstawie bezwzględnie obowiązujących przepisów prawa; . - art. 6 ust. 1 lit. c RODO w związku z art. 105 ust. 4 pkt 1, art. 5 ust. 1 pkt 3 oraz art. 70 ust. 1 ustawy - Prawo bankowe, polegające na jego niewłaściwym zastosowaniu i przyjęciu, że Biuro nie legitymuje się przesłanką przetwarzania danych wynikającą z art. 6 ust. 1 lit. c RODO w zw. z art. 105 ust. 4 pkt 1 ustawy - Prawo bankowe, Biuro wykazuje natomiast cel przetwarzania danych osobowych polegający na dostarczaniu bankom informacji (w tym ocen i modeli scoringowych), niezbędnych do wykonywania czynności bankowych (art. 5 ust. 1 pkt 3 ustawy - Prawo bankowe), w tym udzielania kredytów; ocena zdolności kredytowej jest przy tym obowiązkiem banków (art. 70 ust. 1 ustawy - Prawo bankowe); . - art. 6 ust. 1 lit. c RODO w związku z art. 105a ust. 1-1c ustawy - Prawo bankowe, polegające na jego niewłaściwym zastosowaniu i przyjęciu, że Biuro nie legitymuje się przesłanką przetwarzania danych wynikającą z tych regulacji; Biuro wykazuje zaś cel przetwarzania danych osobowych, polegający na przekazywaniu bankom, w tym Bankowi, informacji niezbędnych do oceny zdolności kredytowej i analizy ryzyka kredytowego; . - art. 6 ust. 1 lit. c RODO, w zw. z art. 106d ustawy - Prawo bankowe, polegające na jego niewłaściwym zastosowaniu i przyjęciu, że Biuro nie legitymuje się przesłanką przetwarzania danych, wynikającą z tych przepisów; Biuro tymczasem wykazuje cel przetwarzania danych osobowych - analiza danych podanych we wnioskach kredytowych i analizie zapytań kredytowych złożonych w Biurze w określonym czasie w celu wykrycia nieścisłości oraz powzięcia informacji, mogących stanowić o uzasadnionym podejrzeniu popełnienia przestępstw, o których mowa w art. 106d ustawy - Prawo bankowe; . - art. 6 ust. 1 lit. c RODO, w zw. z art. 106d ust. 1 pkt 3 ustawy - Prawo bankowe, art. 33 ust. 2, art. 33 ust. 3 pkt 6, art. 34 ust. 1 pkt 4, art. 36, art. 46 oraz art. 49 ust. 1 ustawy AML, polegające na jego niewłaściwym zastosowaniu i przyjęciu, że Biuro nie legitymuje się przesłanką przetwarzania danych wynikającą ze wskazanych regulacji; przepisy te nakładają tymczasem na banki i Biuro obowiązek przetwarzania danych osobowych w celu zapewnienia bezpieczeństwa obrotu gospodarczego, poprzez przeprowadzenie szczegółowego badania na temat klientów, w tym przyszłych klientów, jak i badania powiązań kapitałowo-osobowych, w tym w zakresie danych dostarczanych przez Biuro; . - art. 58 ust. 2 lit. c RODO, polegające na jego błędnym zastosowaniu i przyjęciu, że Biuro powinno spełnić żądanie i usunąć dane osobowe Wnioskodawcy: Biuro przetwarza tymczasem jego dane osobowe w innych celach - w oparciu o przesłanki przetwarzania, wynikające z art. 6 ust. 1 RODO, w tym w związku z przepisami CRR; . - art. 6 ust. 1 lit. c RODO, w zw. z art. 144 ust. 1 lit. d, art. 145 ust. 1, art. 170 ust. 3 lit. a, art. 171 ust. 2 i art. 179 ust 1 lit. a CRR, polegające na jego niewłaściwym zastosowaniu i przyjęciu, że Biuro nie legitymuje się przesłanką przetwarzania danych, wynikającą z powyższych przepisów, wskazujących na określone obowiązki w zakresie wymogów ostrożnościowych; . - art. 6 ust. 1 lit. c RODO, w zw. z art. 70a ust. 1 i 2 ustawy - Prawo bankowe, polegające na jego niewłaściwym zastosowaniu i przyjęciu, że Biuro nie legitymuje się podstawą prawną przetwarzania danych osobowych; przepisy te nakładają tymczasem na banki obowiązek wyjaśniania decyzji kredytowych, a wyjaśnienie to musi obejmować dane przetwarzane i dostarczane przez Biuro; . - art. 6 ust. 1 lit. f RODO, w zw. z art. 117 § 2 i § 21, art. 118 i 119 K.c., polegające na jego niewłaściwym zastosowaniu i przyjęciu, że przechowywanie danych przez okres przedawnienia roszczeń - również, gdy ani administrator ani osoba, której dane dotyczą nie zgłosiła jeszcze roszczenia - nie stanowi prawnie uzasadnionego interesu Biura oraz Banku w rozumieniu art. 6 ust. 1 lit. f RODO; przepisy te uprawniają tymczasem do przetwarzania danych osobowych w celu rozpatrywania i dochodzenia ewentualnych reklamacji lub roszczeń. W uzasadnieniu obu skarg szeroko rozwinięto przywołane wyżej zarzuty. Wskazywano m.in., że - co potwierdzają stosowne analizy - sama ilość składanych wniosków o uzyskanie kredytu przez konkretną osobę – niezależnie, czy procedura zakończy się wydanie decyzji kredytowej - może opisywać potencjalną wiarygodność kredytobiorcy. Dlatego przetwarzanie danych o niezrealizowanych – w formie zawarcia umowy - wnioskach ma znaczenie dla oceny wiarygodności potencjalnych kredytobiorców, w ramach procedur ostrożnościowych. Gromadzenie i przetwarzanie informacji w danym zakresie jest też wymagane w świetle stosownych regulacji normatywnych w tym rekomendacji KNF. Bank i Biuro wnosiły o uchylenie zaskarżonej decyzji oraz zasądzenie zwrotu kosztów postępowania sądowego. W odpowiedzi na skargę organ wniósł o jej oddalenie, podtrzymując dotychczasową argumentację. Wywodził m.in, że reguła przejrzystości i rozliczalności przetwarzanie danych wymaga, aby to administrator umiał zdefiniować i wskazywał organowi regulacyjnemu podstawy i cele przetwarzania określonych danych osobowych. Nie jest rolą wyspecjalizowanego organu poszukiwanie podstaw przetwarzania. W trakcie rozprawy (k. 101) pełnomocnik Biura wskazywał, że - wobec wielu spraw o analogicznym przedmiocie - organowi powinien być znany z urzędu zespół regulacji, stanowiących podstawę przetwarzania danych osobowych przez samo Biuro i banki. Nie może się powoływać na brak ich przywołania przez administratora. W nawiązaniu do kwestii wykonania decyzji wyjaśniał, że o celach i środkach przetwarzania zawartych w zapytaniach kredytowych danych osobowych decyduje Bank a nie Biuro. Decyduje ono jednak o przetwarzaniu danych osobowych zawartych w zapytaniach kredytowych w innych celach niż udzielenie kredytu konkretnej osobie fizycznej. Jeśli Bank usunie dane osobowe potencjalnego klienta zawarte w zapytaniu kredytowym to Biuro nie będzie mogło wykonać decyzji - nie będzie już przetwarzało (posiadało) danych osobowych w ramach zapytania kredytowego. Biuro tworzy własne zbiory danych osobowych - zawierające m.in.: dane potencjalnych klientów, wnioskujących o kredyt tożsame z danymi zawartymi w zapytaniu kredytowym - w innych celach niż związane z udzieleniem kredytu - np. do prowadzenia analiz statystycznych i budowania modeli. Ustanowiony na rozprawie pełnomocnik Banku – radca prawny - oświadczył, że dane osobowe zwracających się o kredyt osób są wykorzystywane do budowy modeli i jako takie pozostają, aby modele te były wiarygodne. Natomiast wykorzystane do budowy modeli - związane z osobami - informacje nie są potem dostępne dla celu oceny wiarygodności kredytowej danej osoby. Dane w Biurze są przechowywane przez trzy okresy do różnych celów: pierwszy to okres zapytania kredytowego 6 miesięcy, dla celów wykonywania obowiązków informacyjnych na rzecz innych banków 2 lata (choć wedle organu 1 rok), i dla celów budowania modeli statystycznych 12 lat. Dane o wnioskach kredytowych nie są dostępne bezpośrednio dla obsługujących klientów pracowników Banku, lecz są zarchiwizowane. Historia klienta jest dostępna dla udzielającego kredytu pracownika przez 2 lata. Pełnomocnik organu wyjaśniał, że intencją organu było jedynie usunięcie danych osobowych, związanych z Zapytaniem. Sąd zważył, co następuje. Skargi zasługują na uwzględnienie, gdyż zaskarżoną decyzję wydano z naruszeniem przepisów prawa procesowego, co do nakazu konstruowania treści orzeczenia precyzyjnie - aby po stronie obowiązanego podmiotu nie istniały, wątpliwości, dotyczące zakresu wynikających z danego aktu powinności (art. 107 § 1 pkt 3 wobec art. 104 § 2 K.p.a.). Jeżeli natomiast przyjąć, że z treści decyzji wynika dla Banku i Biura obowiązek usunięcia wszelkich danych osobowych Wnioskodawcy, wobec konkretnego Zapytania - co oznaczałoby w praktyce konieczność usunięcia danych o zdarzeniu identyfikowanym osobą Wnioskodawcy - wydając tego rodzaju rozstrzygnięcie naruszonoby przepisy prawa materialnego, zakreślające możliwość przetwarzania danych osobowych wobec prawnie uzasadnionych interesów administratorów (Banku i Biura), oraz regulacji statuujących właściwość organu, wyspecjalizowanego w sprawach ochrony danych osobowych – w zakresie stosowania przezeń przepisów naprawczych. W pewnych aspektach sprawy też prawidłowo nie wyjaśniono, co stanowi o naruszeniu stosownych przepisów postępowanie. Ocena orzeczenia w tym zakresie wymaga jednak wpierw prawidłowego ustalenia ram prawnych sprawy - reguł materialnoprawnych. Organ właściwie wprawdzie opisał uwarunkowania prawne sprawy w kontekście wynikających z RODO reguły przetwarzania danych osobowych. Nie sporne są także fakty zakresie ustalenia, że - na dzień wydania zaskarżonej decyzji - dane osobowe Wnioskodawcy w związku z Zapytaniem były nadal przetwarzane w pewnych celach przez Bank i Biura (tak ustalenia organu, potwierdzone w treści skarg). Przywoływanie przez Sąd ponownie okoliczności sprawy w podanych zakresach nie byłoby zasadne wobec uprzedniego przytoczenia istotnych faktów - przy referowaniu sprawy. Odnosząc się wpierw do kwestii prawidłowego skonstruowania treści rozstrzygnięcia trzeba zarysować specyfikę procesu przetwarzania danych osobowych w ramach złożonych zbiorów. Otóż tworzone przez podmioty, prowadzące działalność bankowa, bazy danych mają rozbudowaną strukturę - z szeregiem funkcji wyszukiwania i udostępniania raportów. Zróżnicowane mogą być też uprawnienie dostępu do zasobów informacji dla poszczególne grup pracowników - z perspektywy wykonywanych przez nich zadań. Jest to fakt powszechnie znany - nie wymaga więc dowodzenia. Pośrednio potwierdza to także wypowiedź pełnomocnika Banku na rozprawie (patrz: różne okresy przetwarzania tożsamych danych do różnych celów). Wobec takich uwarunkowań faktycznych należy rozważać dopiero wynikające z RODO - zaś zasadnie przywołany przez organ – ogólne reguły przetwarzania danych osobowych - jak ich minimalizacji (tak art. 5 ust. 1 lit. c). Winny być one dostępne jedynie dla osób w zakresie niezbędnym do wykonywanie przez nie zadań. Dotyczy to zarówno reguły przetwarzania ze względu na słuszny interes administratora jak i wobec wynikającej z prawa powinności w rozumieniu art. 6 ust. 1 lit. c i f RODO. Uchybienie przywołanym przez organ w podstawie prawnej decyzji regułom materialnoprawnym przetwarzania danych osobowych może stanowić podstawę wydania decyzji naprawczej – o obowiązku usunięcia danych osobowych wnoszącego skargę do organu - wszelkich lub jako dostępnych do przetwarzania dla realizacji określonego celu, czy w pewnym zbiorze informacji. W danym zakresie chybione są wywody skargi Banku, jakoby przepisy regulujące ramy przetwarzanie danych nie mogły stanowić samodzielnej podstawy wydania orzeczenia o ich usunięciu. Jak wskazano możliwym jest nakazanie usunięcia wszelkich danych osobowych określonej osoby z wszelkich zbiorów danych podmiotu. Może mieć to miejsce, gdy nie ma żadnych podstaw ich przetwarzania w jakimkolwiek zakresie przewidzianym w art. 6 ust. 1 RODO. Możliwym jest więc także nakazanie usunięcia danych osobowych w węższym zakresie - służących osiąganiu przez administratora konkretnych celów (np. wedle pewnych kryteriów wyszukiwania) lub w kontekście niektórych informacji powiązanych z osobą, której danej osobowe są przetwarzane przez administratora. Odnosząc te uwagi do realiów rozpoznawanej sprawy należy wskazać, że osnowa skarżonego aktu nie jest precyzyjna. Wynika zeń wyłącznie wobec jakiego zdarzenia (tu Zapytanie) mają zostać usunięte dane Wnioskodawcy. Nie wskazano zaś dokładnie, w jakim zakresie - przy przetwarzaniu, do jakich celów. Ma to z kolei kluczowe znaczenie w sprawie, wobec trafnie powołanych w skargach uwarunkowań formalno-prawnych przetwarzanie danych osobowych, związanych z zapytaniami kredytowymi przez Bank i Biuro. Jeżeli mianowicie nakazy wynikające z pkt 1 i 2 decyzji rozumieć, jako powinność usunięcia wszelkich danych osobowych Wnioskodawcy wobec konkretnego Zapytania, z wszelkich baz danych administratorów, oznaczałoby to brak po ich stronie jakiejkolwiek dokumentacji danego zdarzenia, które dla opisu musi być wszak oznaczone - powiązane - z konkretna osobą. Intencję, aby taki był skutek decyzji można odczytywać także wobec treści uzasadnienia skarżonej decyzji, jak i stanowiska organu po wniesieniu skargi - w odpowiedzi na skargę i na rozprawie. W takiej sytuacji trafne są zarzuty obu skarg, gdzie wywodzono, że uzasadniony interes administratora przemawiał za dalszym przetwarzaniem danych osobowych Wnioskodawcy, będących niejako niezbędnym znacznikiem identyfikującym zdarzenie - skierowania konkretnego Zapytania przez Bank do Biura i ewentualnego udzielenia nań odpowiedzi. Nie budzi wątpliwości trafność wywodów skarżących stron, gdzie wskazano, że informacje o określonym zdarzeniu mogą mieć istotne znaczenie zarówno w kontekście obowiązku informacyjnego, zakreślonego art. 70a ustawy – Prawo bankowe (dla Banku), jak i wobec ewentualnych roszczeń, z którymi względem banków i Biura mogą występować ich niedoszli klienci, w związku z domniemanymi nieprawidłowościami (np. błędne informacje z Biura lub od Banku), w kontekście rozpatrywanie ich wniosków kredytowych oraz ewentualnie negatywnymi ich następstwami z perspektywy ich interesów. Roszczenia mogą dotyczyć także domniemanych nieprawidłowości w zakresie przetwarzanie danych osobowych wnioskujących o kredyt - na etapie procedury rozpoznawanie ich wniosków. W tym kontekście nie do zaakceptowania jest przyjęta przez organ wąska wykładnia reguł ustawy - Prawo bankowe – w szczególności sposobu rozumienia przezeń znaczenia regulacji art. 105a tego aktu, jako przepisu generalnie wykluczającego przetwarzanie danych osobowych osób, z którymi banki nie były związane umową. Nie sposób przyjąć, aby przepis ten - gdzie wymieniono szereg szczegółowych przypadków przetwarzania danych osobowych klientów przez banki i inne instytucje finansowe - miał być rozumiany jako lex specialis – regulacja wyłączająca uprawnienia, wynikające z ogólnych reguł K.c., w kwestii przedawnienia roszczeń bądź je modyfikująca. Intencji takiej nie sposób przypisać racjonalnemu prawodawcy na gruncie reguły ogólnej, wyrażonej art. 6 ust. 1 RODO, w szczególności w lit. f tego aktu - w kontekście ewentualnego realnego i drastycznego ograniczenia ochrony przed dochodzeniem potencjalnych roszczeń. Trafnie zauważa Bank i Biuro, że uznanie, jakoby – wobec nie zawarcia umowy kredytu - obowiązkiem obu instytucji było usunięcie danych niedoszłego klienta, wyłączałoby w istocie możliwość ochrony przed jego roszczeniami jeszcze przed ich przedawnieniem. Mogłoby też prowadzić do istotnego ograniczenia praw samych klientów banków – np. wobec braku stosownej dokumentacji po stronie wyspecjalizowanych podmiotów rynku finansowego. Inaczej mówiąc, prezentowane przez organ rozumienie przepisów, dotyczących ram przetwarzania danych osobowych niedoszłych klientów banków, gdy nie zawarto umów, pozbawiałby obie strony praw, wynikających wprost z generalnych reguł prawa materialnego - K.c. Miałoby to wpływ na realia obrotu gospodarczego. Intencji wprowadzenia tak głębokiej modyfikacji w relacje między niedoszłymi kontrahentami - w kontekście sektora bankowego - nie sposób przypisać prawodawcy, wobec aktualnego brzmienia regulacji w danym zakresie. Musiałby ją wyrazić wprost. Analogiczne stanowisko wyraził zresztą tutejszy Sąd w nieprawomocnym wyroku z 13 grudnia 2021 r. (sygn. akt II SA/Wa 1528/21 – dostępny w CBOSA). Trafnie wprawdzie organ przywołuje fragmenty orzeczenia o sygn. akt I OSK 2567/17, gdzie ogólnie odnotowano brak podstaw przetwarzania danych, gdy nie doszło do zawarcia umowy. Pomija jednak część końcową cytowanego fragmentu, gdzie wskazano wprost, że bezprawność to dotyczy przypadków, gdy administrator nie może wskazać prawnie uzasadnionych celów przetwarzania. Przetwarzanie informacji dla celów archiwalnych - wobec potencjalnego ryzyka roszczeń w celu zabezpieczenia przed nimi - stanowi taki cel, w myśl art. 6 ust. 1 lit. f RODO. Organ nie odniósł się z kolei stosownie wyczerpująco do innych możliwych - a zdaniem stron skarżących wymaganych - celów przetwarzania danych osobowych, wynikających m.in z CRR bądź ustawy AML. Nie można uznać za wystarczające przyjęcie przez organ, że dalsze przetwarzanie danych o zapytaniu nie jest wymagane mimo powoływania przez strony reguł ostrożnościowych, stanowionych na szczeblu ustawodawstwa Unii Europejskiej (w CRR) - w oparciu o wąskie położenie wszelkich możliwości przetwarzania danych osobowych przez banki i instytucje bankowe (Biuro), jako wyczerpująco wymienionych w art. 105a ustawy - Prawo bankowe, a więc tylko w przypadku zawarcia umowy. Uchybienia te nie ma to jednak kluczowego znaczenia dla wyniku danej sprawy skoro generalnie dalsze przetwarzanie danych osobowych Wnioskodawcy wobec Zapytania jest dopuszczalne w pewnych zakresach. Jeżeli bowiem następstwem nakazu sformułowanego w zaskarżonej decyzji jest powinność usunięcia wszelkich danych o zdarzeniu Zapytania, identyfikowanym w istocie osobą Wnioskodawcy, orzeczenie wydano z naruszeniem przepisów prawa materialnego – art. 58 ust. 2 lit. c wobec treści art. 6 ust. 1 lit. f RODO. Przedwczesnym byłoby z kolei zajmowanie przez Sąd stanowiska, czy tak rozumiane rozstrzygnięcie organu naruszałoby również regułę art. 6 ust. 1 lit. c RODO oraz stosowne powołane w skardze regulacja prawa materialnego, z których miałby wynikać obowiązek dalszego przetwarzania danych Wnioskodawcy, w tym rekomendacji KNF. Musiałby w tej kwestii ewentualnie zająć wpierw wyczerpujące stanowisko organ. Trzeba przy tym podkreślić, że już samo sformułowanie sentencji decyzji nieprecyzyjnie - gdy nie jest możliwe jednoznaczne określenie zakresu nałożonych obowiązków - skutkuje potrzebą wyeliminowania danego aktu z obrotu prawnego. Gdyby z kolei uznać, że intencją organu było wyłącznie nakazanie usunięcia danych osobowych Wnioskodawcy, jako dostępnych wobec zapytań - w ramach bieżącej oceny zdolności kredytowej czy ryzyka kredytowego Wnioskodawcy na potrzeby operacji bieżących Banku bądź innych banków przy wykorzystaniu zasobów Biura – ocena takiego rozstrzygnięcia byłaby przedwczesna. Z uzasadnienia skarżonego aktu nie wynika bowiem, jakie ustalenia w danym zakresie poczynił organ. Czy mianowicie dane osobowe Wnioskodawcy w związku Zapytaniem były nadal przetwarzane w danym celu w stosownych bazarach na dzień orzekania w sprawie. Wobec wyjaśnień stron - sformułowanych w skargach oraz na rozprawie - może to budzić uzasadnione wątpliwości. Jeżeli było tak w istocie nie ustalono z kolei precyzyjnie, czy przetwarzanie przez określony czas danych o Zapytaniu (a wiec także osobowych Wnioskodawcy) – dla celu oceny ryzyka kredytowego oraz zdolności kredytowej konkretnej osoby - pomimo nie zawarcia umowy, nie jest powinnością Banku czy Biura wobec wymagań reguł ostrożnościowych, stanowionych na szczeblu prawodawstwa Unii Europejskiej. Z treści uzasadnienia nie wynika w szczególności, aby organ czynił stosowne ustalenie w danym zakresie, odnosząc wynikające powinności do uwarunkowań rozpoznawanej sprawy. Jak już wskazano, nie może być tu wystarczający samo powołanie reguły normatywnej art. 105a ustawy - Prawo bankowe. Nie mogłaby ona ograniczać wymagań, wynikających wprost i jednoznacznie z aktu ustanowionego na szczeblu Unii Europejskiej. W takim przypadku organ obowiązany byłby zastosować przepisy CRR wprost. W danym zakresie nie można więc także uznać sprawy za właściwie wyjaśnioną, co czyni zasadnym zarzuty naruszenia art. 7, 77 § 1 i art. 80 K.p.a. Chybiony są natomiast inne zarzuty skarg z następujących powodów: - ponieważ Biuro przetwarza dane osobowe Wnioskodawcy, jako administrator także we własnych celach (m.in. dla realizacji reguł ostrożnościowych - tak również wyjaśnienia na rozprawie), zasadne mogło być nałożenie także na ten podmiot obowiązku usunięcia określonych danych osobowych - gdyby zachodziły ku temu merytoryczne przesłanki, czego w sprawie dotąd nie ustalono; zmiana praktyki orzeczniczej może być w tym przypadku uzasadniona i nie jest niezbędne w każdej decyzje indywidualnej, kierowanej obecnie do Biura, wskazywanie przyczyn zmiany praktyki orzeczniczej; nawet gdyby uznać, że było to konieczne uchybienie takiemu wymogowi nie mogłoby mieć istotnego znaczenia w sprawie, - chybiona jest argumentacja, jakoby wykonanie decyzji w pkt 1 czyniło nie wykonalnym realizację pkt 2; skoro Biuro prowadzi częściowo operacje na danych osobowych na rzecz Banku w części zaś dla wykonywania własnych celów (np. budowa modeli scoriningowych), rolą Banku byłoby zlecenie usunięcia danych w zakresie, w jakim są one gromadzone wobec realizacji celów łączących strony umów, zaś Biuro dokonałoby czynności wobec danych administrowanych samodzielnie, - organ nie był obowiązany występować do innej wyspecjalizowanej instytucji - np. KNF - w celu ustalenia ram obowiązków, ciążących na Banku i Biurze, wobec stosownych reguł wewnętrznych, dotyczących funkcjonowania sektora bankowego; określają je bowiem także stosowne ramy normatywne, z uwzględnieniem charakteru rekomendacji; może natomiast zasięgnąć stosownej opinii, o ile poweźmie określone wątpliwości; ostateczna ocena ram prawnych przetwarzania danych osobowych przez sektor bankowy pozostaje w indywidualnej kompetencji organu wyspecjalizowanego w sprawach ochrony danych osobowych. Kluczowego znaczenia nie może też mieć, że informacje o ilości składanych wniosków kredytowych mogą być istotne z perspektywy oceny przez banki czy Biuro wiarygodności wnioskodawców. Oznacza to tylko tyle, że w interesie sektora bankowego może być szerokie przetwarzanie takich danych, dla bieżącej oceny kolejnych wniosków - np. przez znaczny okres. Sama użyteczność w danym kontekście nie przesądza jednak, że działania te są nakazane w ramach reguł ostrożnościowych, stanowionych w regulacjach szczególnych. Jeżeli nie jest to wskazane wprost w stosownych, wiążących Bank i Biuro, aktach (w danej kwestii organ nie zajął dotąd wyczerpującego stanowiska), przeszkodę dla ich przetwarzania w danym celu będzie stanowić na obszarze kraju wprost art. 105a ustawy - Prawo bankowe. Jednocześnie, jak można wnosić, intencją Wnioskodawcy było właśnie zaprzestanie przetwarzanie danych osobowych przez Bank oraz Biuro jedynie w celu oceny jego dalszych wniosków kredytowych. W tym zakresie może więc koncentrować się dalsze postępowanie organu wobec konkretnej skargi. Nie musi okazać się konieczna ocena wszelkich aspektów przetwarzania danych Wnioskodawcy przez Bank i Biuro – np. w celach archiwalnych (w tym ochrona przed roszczeniami, realizacji obowiązków), czy w celu tworzenie modeli ostrożnościowych (scoriningu). Z przytoczonych wyżej przyczyn, na podstawie art. 145 § 1 pkt 1 lit. a i b ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2022 r., poz. 329 ze zm.), orzeczono jak w pkt 1 sentencji. O zwrocie kosztów postępowania Sąd orzekł jak w pkt 2 i 3 sentencji, w myśl art. 200 w zw. z art. 205 § 2 powyższej ustawy oraz § 14 ust. 1 pkt 1 lit. c rozporządzenia Ministra Sprawiedliwości z dnia 22 października 2015 r. w sprawie opłat za czynności adwokackie (Dz.U. poz. 1800 ze zm.) i § 14 ust. 1 pkt 1 lit. c rozporządzenia Ministra Sprawiedliwości z dnia 22 października 2015 r. w sprawie opłat za czynności radców prawnych (Dz.U. z 2018 r., poz. 265). Do kosztów zaliczono wynagrodzenia pełnomocników w kwocie po 480 zł, wpisy sądowe od skargi - 200 zł oraz po 17 zł tytułem opłaty skarbowej od pełnomocnictw. Rozpatrując ponownie sprawę organ administracji uwzględni ocenę prawną, sformułowaną w niniejszym uzasadnieniu. ----------------------- 3