II SA/Wa 630/25

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Ewa Radziszewska-Krupa (spr.), Sędzia WSA Łukasz Krzycki, Asesor WSA Anna Pośpiech-Kłak, , Protokolant referent Marta Stec, , po rozpoznaniu na rozprawie w dniu 16 stycznia 2026 r. sprawy ze skargi [...] S.A. z siedzibą w [...] na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] marca 2025 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargę I. Stan sprawy przedstawia się następująco: 1. Prezes Urzędu Ochrony Danych Osobowych (zwany dalej "Prezesem UODO") zaskarżoną do Wojewódzkiego Sądu Administracyjnego w Warszawie decyzją wydaną [...] marca 2025r. nr [...]., na mocy art. 104 § 1 ustawy z 14 czerwca 1960r. Kodeks postępowania administracyjnego (Dz.U. z 2024r., poz. 572, zwany dalej "k.p.a.") w związku z art. 7 ust. 1 i 2 ustawy z 10 maja 2018r. o ochronie danych osobowych (Dz.U. z 2019r., poz. 1781, zwana dalej "u.o.d.o.") oraz art. 6 ust. 1 i art. 58 ust. 2 lit. c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz.Urz.UEL 74 z 4.03.2021, str. 35, zwane "RODO") nakazał: 1) [...] S.A. z siedzibą w [...] (zwany dalej "Bankiem"), usunięcie danych osobowych D. P. (zwany dalej "Uczestnikiem") w zakresie wynikającym z zapytań kredytowych z [...] stycznia 2023r. i [...] marca 2023r.; 2) Biuru Informacji Kredytowej S.A. z siedzibą w [...] (zwany dalej "BIK") usunięcie danych osobowych Uczestnika, w zakresie wynikającym z zapytań kredytowych z [...] stycznia 2023r. i [...] marca 2023r., przekazanych przez Bank. W uzasadnieniu decyzji wskazano, że do organu wpłynęła skarga Uczestnika na nieprawidłowości w procesie przetwarzania Jego danych osobowych przez Bank iBIK w zakresie zapytań kredytowych z [...] stycznia i [...] marca 2023r., które nie zakończyły się zawarciem umowy kredytowej, bez podstawy prawnej. Uczestnik podniósł, że Bank przekazał te dane BIK, które też je przetwarza bez podstawy prawnej. Uczestnik telefonicznie [...] kwietnia 2023r. zwrócił się do Banku z żądaniem usunięcia ww. danych przez Bank i BIK. Bank pismem z 9 maja 2023r. odmówił spełnienia tego żądania. Wobec tego Uczestnik wniósł do Prezesa UODO o nakazanie usunięcia jego danych osobowych dotyczących ww. zapytań kredytowych. Bank w wyjaśnieniach wskazał, że pozyskał dane osobowe Uczestnika (imię i nazwisko, nr PESEL, dane dokumentu tożsamości (data urodzenia, seria i nr dowodu osobistego, data wydania i ważności dowodu osobistego), dane teleadresowe (adres zameldowania, adres korespondencyjny, nr telefonu, adres email), dane zakładu pracy, dane niezbędne do oceny zdolności kredytowej: stan cywilny, informacje o dochodzie i jego źródle, dane o obciążeniach gospodarstwa domowego) bezpośrednio od Niego w związku ze złożeniem wniosków o zawarcie umowy kredytu z [...] stycznia i [...] marca 2023r. Dane pozyskano na podstawie art. 6 ust. 1 lit. c i f RODO, w celu podjęcia działań na żądanie Uczestnika przed zawarciem umowy. Bank obecnie przetwarza ww. dane osobowe w celach: a) realizacji wymogów ostrożnościowych tj. oceny ogólnej ekspozycji i ryzyka ekspozycji Banku, wynikających z art. 144 ust. 1, 145 ust. 1, art. 147 ust. 5 lit. b), art. 170 ust. 3 lit. a, ust. 4 lit. a, art. 171 ust. 2, art. 174 lit. b, art. 179 ust. 1 lit. a rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 575/2013 z 26 czerwca 2013r. w sprawie wymogów ostrożnościowych dla instytucji kredytowych oraz zmieniające rozporządzenie (UE) nr 648/2012 (Dz.U.UE.L.2013.176.1 z 2013.06.27, zwane dalej "CRR"). Bank będzie przetwarzać dane w tym celu przez 6 lat od momentu rozpatrzenia wniosku, aby wywiązać się z obowiązków zarządzania ekspozycjami kredytowymi; b) w związku z wymogami określonymi przez Komisję Nadzoru Finansowego (zwana dalej "KNF") wynikających z Rekomendacji S,W i T, które określają sposoby szacowania ryzyka związanego z ekspozycją, poprzedzone zostaną pogłębioną i udokumentowaną analizą, popartą stosowną argumentacją. Przepisy prawa nie precyzują terminu przetwarzania danych w tym celu, więc Bank stosuje termin zgodnie z zasadami celowości i minimalizacji danych (art. 5 ust. 1. lit b) i c) RODO). Bank będzie przetwarzać dane w tym celu przez 6 lat od momentu rozpatrzenia wniosku, aby wywiązać się z obowiązków zarządzania ekspozycjami kredytowymi; c) wykonywania obowiązków związanych z przeciwdziałaniem praniu pieniędzy i finansowaniu terroryzmu wynikających z art. 35 (stosowanie środków bezpieczeństwa finansowego), art. 36 (identyfikacja i weryfikacja osoby fizycznej), art. 49 (obowiązek przechowywania dokumentacji w związku z stosowaniem środków bezpieczeństwa finansowego) ustawy z 1 marca 2018r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (Dz.U. z 2022r., poz. 593 ze zm., zwanej dalej "AML"). Zgodnie z art. 34 ust. 3 AML instytucje obowiązane dokumentują zastosowane środki bezpieczeństwa finansowego i przechowują je (zgodnie z art. 49 ust. 1 i 2) przez 5 lat (ust. 1 - licząc od dnia zakończenia stosunków gospodarczych z klientem; ust. 2 - licząc od dnia przeprowadzenia analiz, o których mowa w art. 34 ust. 3); d) analizy (indywidualnego i portfelowego) ryzyka kredytowego (art. 105a ust.1-1c ustawy z 29 sierpnia 1997r. Prawo bankowe - Dz.U. z 2024r., poz. 1646 ze zm.; zwana dalej "u.P.b." - przez 3 lata od momentu rozpatrzenia wniosku; e) realizacji prawa do wyjaśnienia oceny zdolności kredytowej, na podstawie art. 70a u.P.b. Termin przetwarzania na tej podstawie jest "nie dłuższy, niż przetwarzania danych w celu obrony roszczeń - w oparciu o terminy przedawnienia roszczeń na podstawie art. 118 ustawy z 23 kwietnia 1964 r. Kodeks cywilny (Dz.U. z 2022r., poz. 1360 ze zm., zwana dalej "k.c.") - 6 lat od dnia rozpatrzenia wniosku kredytowego; f) rozpatrywania reklamacji i ustalania, obrony i dochodzenia roszczeń - podstawą prawną jest realizacja prawnie uzasadnionego interesu Banku w oparciu o art. 118 k.c. - 6 lat od dnia rozpatrzenia wniosku. Bank udostępnił dane osobowe Uczestnika w celu przeprowadzenia oceny zdolności kredytowej i analizy ryzyka kredytowego na mocy art. 70 ust. 1 u.P.b. i art. 105 ust. 4 oraz 105a ust. 1 u.P.b. i na podstawie umowy zawartej z BIK. Bank wyjaśnił, że Uczestnik zwrócił się do Banku o usunięcie ww. danych w zakresie ww. zapytań kredytowych, ale Bank odmówił. Na moment składania wyjaśnień Bank nie wystąpił i nie zamierza wystąpić wobec Uczestnika z roszczeniami, ale nie wyklucza, że taka potrzeba może powstać w przyszłości. BIK wyjaśnił, że pozyskał od Banku dane osobowe Uczestnika, obejmujące: imię, nazwisko, PESEL, serię i nr dowodu osobistego, data urodzenia, obywatelstwo, płeć, dane majątkowe (dochód netto, częstotliwość dochodu, tryb zatrudnienia), dane z wniosków kredytowych dotyczących wnioskowanych zobowiązań i dane teleadresowe, w zakresie ww. zapytań kredytowych na podstawie art. 105 ust. 1 pkt 1c, art. 105 ust. 4 i art. 105a ust. 1 u.P.b. i umowy z Bankiem. W związku z tym przetwarza ww. dane w celach: a) oceny zdolności kredytowej i analizy ryzyka kredytowego Uczestnika (indywidualna ocena zdolności kredytowej) przez 12 miesięcy od złożenia zapytania i nie krócej niż 5 lat i nie dłużej niż 10 lat od dnia złożenia zapytania, w celu budowy modeli scoringowych, tj. narzędzi wykorzystywanych przez banki do oceny zdolności kredytowej i analizy ryzyka kredytowego. BIK buduje te modele w oparciu o przetwarzane w zbiorze BIK dane, w tym o ww. zapytaniach. Podstawę przetwarzania danych w celu oceny zdolności kredytowej i analizy ryzyka kredytowego jest art. 6 ust. 1 lit. c) RODO w zw. z art. art. 105 ust. 4 oraz art. 105a ust. 1, 1a i 1b u.P.b., art. 171 ust 2, art. 144 ust. 1 lit. d, art. 145 ust. 1 i art. 147 ust. 5 lit. b) CRR. BIK jest zobowiązany jest do gromadzenia i udostępniania bankom danych niezbędnych do realizacji wymogów określonych w przepisach u.P.b. (w szczególności art. 70), jak i w zaleceniach KNF w tym Rekomendacji T dotyczącej dobrych praktyk w zakresie zarządzania ryzykiem detalicznych ekspozycji kredytowych; b) statystycznych i stosowania metod wewnętrznych i innych metod i modeli: przez nie dłużej niż 10 lat (art. 6 ust 1 lit. f RODO w zw. z art. 105 ust. 1 i 105a ust. 4 u.P.b.); c) przeciwdziałania przestępstwom i wykonywania obowiązków w zakresie określonym w AML – na mocy art. 106d u.P.b. - przez 12 miesięcy, art. 33 ust. 2, art. 34 ust. 1 pkt 4 AML; d) rozpatrywania ewentualnych reklamacji lub roszczeń odszkodowawczych klientów, których termin przedawnienia, zgodnie z art. 118 k.c. wynosi 6 lat i z uwagi na konieczność wypełnienia ustawowego obowiązku wynikającego z art. 15 RODO w przypadku wystąpienia przez osobę, której dane dotyczą z wnioskiem o udzielenie informacji; e) realizacji wniosków klientów banków dotyczących wyjaśnień dokonanej oceny zdolności kredytowej na podstawie art. 70a u.P.b. BIK wskazał, że Bank nie zwrócił się do BIK o usunięcie danych osobowych Uczestnika dotyczących ww. zapytań, a Uczestnik [...] kwietnia 2023r. wystąpił do BIK o usunięcie danych dotyczących ww. zapytań kredytowych. BIK pismem z [...] kwietnia 2023r. odmówił realizacji ww. wniosku. Prezes UODO, wskazał w związku z tym, że przepisem uprawniającym administratorów danych do przetwarzania zwykłych danych osób fizycznych, w tym ich udostępniania, jest art. 6 ust. 1 RODO, zgodnie z którym, przetwarzanie danych jest dopuszczalne tylko wtedy, gdy spełniona jest jedna z przesłanek wskazanych w tym przepisie. Katalog przesłanek z art. 6 ust. 1 RODO, jest zamknięty. Każda z przesłanek legalizujących proces przetwarzania danych osobowych ma charakter autonomiczny i niezależny. Dodatkowo, proces przetwarzania danych osobowych musi być zgodny z zasadami ustanowionymi w art. 5 ust. 1 RODO, m.in. ograniczenie celu (art. 5 ust. 1 lit. b RODO) oraz minimalizację danych (art. 5 ust. 1 lit. c RODO). Zasady te wymagają, by dane osobowe były zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami, a proces przetwarzania danych osobowych był adekwatny, stosowny oraz ograniczony do tego, co niezbędne do celów, w których są przetwarzane. Co do zasady podstawą prawną przetwarzania przez Bank i BIK danych osobowych klientów może być art. 6 ust. 1 lit. f RODO, gdy przetwarzanie to jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora. BIK jest instytucją utworzoną na podstawie art. 105 ust. 4 u.P.b., który stanowi, że banki mogą, wspólnie z bankowymi izbami gospodarczymi, utworzyć instytucje upoważnione do gromadzenia, przetwarzania i udostępniania bankom informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych i w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej CRR, innym instytucjom ustawowo upoważnionym do udzielania kredytów informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są niezbędne w związku z udzielaniem kredytów, pożyczek pieniężnych, gwarancji bankowych i poręczeń (pkt 2), instytucjom kredytowym informacji stanowiących tajemnicę bankową w zakresie niezbędnym do oceny zdolności kredytowej konsumenta, o której mowa w art. 9 ustawy z 12 maja 2011r. o kredycie konsumenckim (zwany dalej "u.k.k.") (pkt 3), instytucjom pożyczkowym i podmiotom, o których mowa w art. 59d u.k.k. na zasadzie wzajemności, informacji stanowiących odpowiednio tajemnice bankową oraz informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d u.k.k., w zakresie niezbędnym do oceny zdolności kredytowej konsumenta, o której mowa w art. 9 u.k.k. i analizy ryzyka kredytowego (pkt 4). Zgodnie z art. 105a ust. 1 u.P.b., przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów, instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d u.k.k., a także instytucje utworzone na podstawie art. 105 ust. 4 u.P.b., informacji stanowiących tajemnicę bankową i informacji udostępnionych przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d u.k.k., w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem art. 104, 105 i art. 106 - 106d u.P.b., w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Zgodnie zaś z art. 105a ust. 4 u.P.b. Banki oraz instytucje, o których mowa w art. 105 ust. 4, mogą przetwarzać stanowiące tajemnicę bankową informacje dotyczące osoby fizycznej po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której informacje dotyczą, do celów stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej CRR. Stosownie zaś do art. 105a ust. 5 u.P.b. przetwarzanie informacji stanowiących tajemnicę bankową w przypadkach, o których mowa w ust. 3, może być wykonywane przez okres nie dłuższy niż 5 lat od dnia wygaśnięcia zobowiązania, a w przypadku, o którym mowa w ust. 4, przez okres 12 lat od wygaśnięcia zobowiązania. Bank uzależnia - stosownie do art. 70 ust. 1 u.P.b. - przyznanie kredytu od zdolności kredytowej kredytobiorcy, rozumianą jako zdolność do spłaty zaciągniętego kredytu z odsetkami, w terminach określonych w umowie. Skoro Uczestnik [...] stycznia i [...] marca 2023r. wystąpił do Banku z wnioskami o udzielenie kredytu, to Bank i BIK, na podstawie art. 105a ust. 1 i art. 70 ust. 1 u.P.b., były uprawnione do przetwarzania Jego danych osobowych, w celu oceny zdolności kredytowej. Nie doszło jednak do zawarcia ww. umów, więc odpadła przesłanka legalizująca dalsze przetwarzanie danych osobowych Uczestnika przez Bank i BIK. Przesłanki z art. 105a u.P.b. dotyczą bowiem przetwarzania informacji objętych tajemnicą bankową w okresie przed powstaniem zobowiązania, w trakcie jego trwania oraz po wygaśnięciu zobowiązania. Skoro między Bankiem a Uczestnikiem nie zawiązał się stosunek zobowiązaniowy, który stosownie do art. 105a ust. 1-6 u.P.b. dawałby podstawę do dalszego przetwarzania danych osobowych, a celem przetwarzania ww. danych była wyłącznie ocena zdolności kredytowej i analizy ryzyka kredytowego, to w związku z dokonaniem przez Bank oceny zdolności kredytowej i analizy ryzyka kredytowego ww. cel przetwarzania danych osobowych został zrealizowany i brak jest podstaw prawnych do kontynuowania tego procesu. Stanowisko Prezesa UODO ma potwierdzenie w wyroku NSA z 27 sierpnia 2019r. sygn. akt I OSK 2567/17, zgodnie z którym cel oceny zdolności kredytowej stanowi ocena zdolności do spłaty zaciągniętego kredytu wraz z odsetkami, co ma charakter czynności wstępnej do zawarcia stosownej umowy. Dalsze przetwarzanie danych uzyskanych w celu oceny zdolności kredytowej, w przypadku nie zawarcia umowy pozostawałoby w oderwaniu od celu, dla którego dane te uzyskano. Niedopuszczalne jest przetwarzanie danych osobowych na przyszłość, a także na potrzeby budowy oceny zdolności kredytowej innych podmiotów, jeżeli nie można zrekonstruować wyraźnej podstawy prawnej takich działań. W ocenie Prezesa UODO za podstawę przetwarzania danych osobowych Uczestnika nie mogą być uznane wskazane przez Bank i BIK cele statystyczne i analizy, w tym cel stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia CRR. Art. 105a ust. 4 u.P.b. daje podstawy do przetwarzania informacji dotyczących osoby fizycznej stanowiących tajemnicę bankową po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której te informacje dotyczą. W sprawie nie doszło do zawarcia umowy kredytu, więc nie powstał stosunek zobowiązaniowy, o którym mowa w ww. przepisie. Także powołane przepisy CRR nie wykazują konkretnej przesłanki uprawniającej BIK do dalszego wykorzystania danych w zakresie zapytań kredytowych niezakończonych zawarciem umowy do indywidualnej oceny zdolności kredytowej, ani do wykorzystania tego rodzaju danych osobowych do modeli scoringowych. Prezes UODO nie kwestionuje zasadności tworzenia ww. modeli, ale muszą być tworzone w taki sposób, by nie naruszało to prawa do ochrony danych osobowych osób, których dane dotyczą. Realizacji wymogów ostrożnościowych wynikających z CRR (art. 6 pkt 1 lit. c RODO) nie powoduje uprawnienia do przetwarzania danych osobowych w zakresie zapytań kredytowych niezakończonych zawarciem umowy. Art. 144 ust. 1 lit. d CRR stanowi, że właściwy organ wydaje zezwolenie, na mocy art. 143 na stosowanie przez instytucję metody IRB, w tym własne oszacowania LGD i współczynniki konwersji, gdy właściwy organ stwierdzi, że wymogi przewidziane w niniejszym rozdziale są spełnione, w szczególności wymogi z sekcji 6, oraz że posiadane przez instytucję systemy w zakresie zarządzania oraz oceny ekspozycji na ryzyko kredytowe są należyte i zostały spójnie wdrożone, w szczególności gdy instytucja wykazała, że gromadzi i przechowuje wszystkie odpowiednie dane, aby zapewnić skuteczne wsparcie procesów pomiaru ryzyka kredytowego oraz zarządzania ryzykiem kredytowym. Art. 145 ust. 1 CRR stanowi, że jest wymagane, aby instytucja ubiegająca się o możliwość stosowania metody IRB korzystała, w odniesieniu do omawianych kategorii ekspozycji IRB, co najmniej przez 3 lata poprzedzające zakwalifikowanie się do stosowania metody IRB, z systemów ratingowych, które odpowiadały w znacznym stopniu wymogom określonym w sekcji 6 dotyczącym wewnętrznego pomiaru ryzyka i zarządzania ryzykiem. Art. 147 ust. 5 lit. b CRR stanowi, że aby ekspozycje mogły kwalifikować się do kategorii ekspozycji detalicznych przewidzianej w ust. 2 lit. d), spełniają następujące kryteria: są traktowane przez instytucję w procesie zarządzania ryzykiem w sposób spójny w długim okresie. Obowiązku zastosowania ww. rodzaju zapytań kredytowych nie przewiduje art. 170 ust. 3 lit. a i ust. 4 lit. a CRR. Wskazuje on, że struktura systemów ratingowych dla ekspozycji detalicznych spełnia wymogi: a) systemy ratingowe odzwierciedlają zarówno ryzyko dłużnika, jak i ryzyko transakcji oraz uwzględniają wszystkie istotne właściwości ryzyka dłużnika i ryzyka transakcji. Instytucje biorą pod uwagę czynniki ryzyka podczas klasyfikacji ekspozycji do odpowiednich kategorii lub pul: a) charakterystykę ryzyka dłużnika. Art. 171 ust. 2 CRR stanowi, że klasyfikując dłużników i instrumenty do klas lub pul, instytucja uwzględnia wszystkie istotne informacje. Informacje te są aktualne i umożliwiają instytucji prognozowanie zachowania ekspozycji w późniejszym okresie. Im mniej informacji ma do dyspozycji instytucja, tym ostrożniej klasyfikuje ekspozycje do poszczególnych klas lub pul dłużników i instrumentów. Jeżeli instytucja stosuje rating zewnętrzny jako główny czynnik decydujący o przyznaniu wewnętrznego ratingu, instytucja ta zapewnia uwzględnienie innych istotnych informacji. Art. 179 ust. 1 lit. a CRR stanowi, że przy przeprowadzaniu kwantyfikacji parametrów ryzyka związanego z poszczególnymi klasami lub pulami ratingowymi instytucje stosują następujące wymogi: oszacowania własne instytucji dotyczące parametrów ryzyka PD, LGD, współczynnika konwersji i EL uwzględniają wszelkie istotne dane, informacje i metody. Oszacowań dokonuje się na podstawie zarówno doświadczeń z przeszłości, jak i dowodów empirycznych, nie zaś wyłącznie w oparciu o osąd własny. Oszacowania te są wiarygodne i intuicyjne oraz opierają się na istotnych czynnikach odpowiednich parametrów ryzyka. Im mniej danych ma do dyspozycji instytucja, tym ostrożniejsze są jej oszacowania. Zdaniem Prezesa UODO w ww. przepisów wynika, że instytucja kredytowa jest obowiązana do zbierania informacji przydatnych do skutecznego zarządzania ryzykiem. Nie oznacza to jednak, że gromadzenie danych w systemach ratingowych może odbywać się z naruszeniem innych przepisów regulujących kwestie ochrony danych osobowych. Inne przepisy rozporządzenia CRR zawierają konkretyzację danych, które mogą być użyte przez instytucje kredytowe oraz firmy inwestycyjne przy realizacji wymogów ostrożnościowych. W CRR wprost wskazano, że za elementy wskazujące na prawdopodobieństwo niedokonania płatności uznaje się sytuacje, takie jak m.in. złożenie przez instytucję wniosku o postawienie dłużnika w stan upadłości lub podobnego wniosku w odniesieniu do zobowiązań kredytowych dłużnika wobec instytucji, jednostki dominującej lub którejkolwiek z jej jednostek zależnych (art. 178 ust. 3 lit. e) lub wystąpienie przez dłużnika o ogłoszenie upadłości lub o przyznanie podobnej ochrony lub postawienie dłużnika w stan upadłości bądź przyznanie mu podobnej ochrony, jeżeli umożliwiłoby mu to uniknięcie lub opóźnienie spłaty zobowiązań kredytowych wobec instytucji, jednostki dominującej lub którejkolwiek z jej jednostek zależnych (art. 178 ust. 3 lit. f). W CRR natomiast nie dokonano takiego konkretnego wskazania do zapytań kredytowych niezakończonych zawarciem umowy, więc nie sposób uznać, że przewiduje ono podstawy prawne do przetwarzania danych w nich zawartych. Prezes UODO, odnosząc się do rekomendacji T KNF i wskazywanych przez Bank i BIK podstaw do przetwarzania w postaci dobrych praktyk w zakresie zarządzania ryzykiem detalicznych ekspozycji kredytowych w związku z badaniem zdolności kredytowej, korzystania z zewnętrznych baz danych, posiadania narzędzi analitycznych wspierających pomiar poziomu ryzyka związanego z detalicznymi ekspozycjami kredytowymi, wskazał, że skoro Bank był uprawniony do przetwarzania danych osobowych Uczestnika, w celu oceny zdolności kredytowej, ale nie doszło do zawarcia umowy kredytowej, to odpadła przesłanka legalizująca dalsze przetwarzanie ww. danych przez Bank. Celem przetwarzania danych osobowych Uczestnika była ocena zdolności kredytowej i analiza ryzyka kredytowego. Skoro Bank dokonał oceny zdolności kredytowej i analizy ryzyka kredytowego, to ww. cel przetwarzania danych osobowych Uczestnika zrealizowano i brak jest podstaw prawnych do kontynuowania tego procesu. Stanowisko to ma oparcie w ww. wyroku NSA z 27 sierpnia 2019r. sygn. akt I OSK 2567/17. Banki i BIK przy realizacji swoich zadań i stosowaniu zaleceń formułowanych przez organ nadzoru finansowego powinny uwzględniać ograniczenia w pozyskiwaniu i przetwarzaniu danych osobowych klientów, czy potencjalnych klientów wynikające z przepisów dotyczących ochrony danych osobowych. Za podstawę przetwarzania danych osobowych Uczestnika nie mogą być uznane wskazane przez BIK cele statystyczne i analizy, w tym cel stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej CRR. Art. 105a ust. 4 u.P.b. daje podstawy do przetwarzania informacji dotyczących osoby fizycznej stanowiących tajemnicę bankową po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której te informacje dotyczą. W sprawie nie doszło do zawarcia umowy kredytu między Uczestnikiem i Bankiem, więc nie powstał stosunek zobowiązaniowy, o którym mowa w tym przepisie. Zgodnie z art. 106d u.P.b. Banki, inne instytucje ustawowo upoważnione do udzielania kredytów, izby rozliczeniowe utworzone na podstawie art. 67, instytucje utworzone na mocy art. 105 ust. 4, instytucje pożyczkowe, podmioty, których podstawowa działalność polega na udostępnianiu składników majątkowych na podstawie umowy leasingu, oraz podmioty, o których mowa w art. 59d u.k.k., mogą przetwarzać i wzajemnie udostępniać informacje, w tym informacje objęte tajemnicą bankową, w przypadkach: 1) uzasadnionych podejrzeń, o których mowa w art. 106a ust. 3; 2) uzasadnionych podejrzeń popełnienia przestępstw dokonywanych na szkodę banków, innych instytucji ustawowo upoważnionych do udzielania kredytów, instytucji kredytowych, instytucji finansowych, instytucji pożyczkowych oraz podmiotów, o których mowa w art. 59d u.k.k., i ich klientów, w celu i zakresie niezbędnym do zapobiegania tym przestępstwom; 3) wykonywania obowiązków w zakresie określonym w przepisach o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (ust. 1). Podmioty określone w ust. 1 mogą przetwarzać i wzajemnie udostępniać informacje, w tym informacje objęte tajemnicą bankową oraz informacje dotyczące wyroków skazujących, w przypadkach przestępstw dokonywanych na szkodę banków, innych instytucji ustawowo upoważnionych do udzielania kredytów, instytucji kredytowych, instytucji finansowych, instytucji pożyczkowych oraz podmiotów, o których mowa w art. 59d u.k.k., i ich klientów, w celu i zakresie niezbędnym do zapobiegania tym przestępstwom (ust. 2). Prezes UODO po odwołaniu się do art. 33, ust. 1, 2, 4, art. 35 ust. 2, art. 34 ust. 3 AML i art. 49 ust. 2 AML wskazał, że instytucje przechowują wyniki analiz, o których mowa w art. 34 ust. 3 AML, przez 5 lat, licząc od dnia ich przeprowadzenia, a z ww. przepisów AML wynika, że uprawnienie do przechowywania danych osobowych związanych z zastosowaniem środków bezpieczeństwa jest powiązane z przeprowadzeniem transakcji. W przypadku zapytań kredytowych niezakończonych zawarciem umowy nie dochodzi ostatecznie do przeprowadzenia transakcji. Dodatkowo nie dochodzi też do nawiązania stosunków gospodarczych. Zgodnie z art. 35 ust 1 pkt 1 AML instytucje obowiązane, w tym banki, stosują środki bezpieczeństwa finansowego w przypadku nawiązywania stosunków gospodarczych. W przypadku, gdy instytucja obowiązana nie może zastosować jednego ze środków bezpieczeństwa finansowego, o których mowa w art. 34 ust. 1 AML: nie nawiązuje stosunków gospodarczych lub rozwiązuje stosunki gospodarcze (art. 41 ust. 1 pkt 1 i 4 AML). Przez stosunki gospodarcze rozumieć należy stosunki instytucji obowiązanej z klientem związane z działalnością zawodową instytucji obowiązanej, które w chwili ich nawiązywania wykazują cechę trwałości (art. 2 ust. 2 pkt 20 AML). W ocenie Prezesa UODO zapytania kredytowe, które spotkały się z decyzją odmowną w zakresie udzielenia kredytu nie posiadają cechy trwałości, które w aspekcie ww. przepisów AML uzasadniałyby dalsze przetwarzanie powiązanych z nimi danych osobowych. Materiał dowodowy sprawy nie wykazał, aby Bank i BIK mogły przetwarzać dane osobowe Uczestnika dotyczące ww. zapytań kredytowych w celach przeciwdziałania przestępstwom i wykonywania obowiązków w zakresie określonym w AML, bo w toku postępowania nie wykazali, aby zaszła którakolwiek z przesłanek określonych w ww. przepisach. W szczególności nie wykazali, aby zaszły uzasadnione podejrzenia, o których mowa w art. 106d ust. 1 pkt 1-2 u.P.b. oraz nie wykazali także nałożonego na nich obowiązku określonego w przepisach o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu, o którym mowa w art. 106d ust. 1 pkt 3 u.P.b. Prezes UODO, odnosząc się do ustalenia, dochodzenia lub obrony roszczeń wskazał, że materiał dowodowy nie wykazał, aby Uczestnik wystąpił z reklamacją lub z roszczeniem wobec Banku i BIK, które uzasadniałoby uprawnienie tych podmiotów do zachowania i przetwarzania jego danych osobowych dla celów dowodowych w związku z dochodzeniem przez Uczestnika tego roszczenia. BIK wskazał na przetwarzanie danych Skarżącego w celu rozpatrywania ewentualnych reklamacji, ale zebrany materiał nie wykazał, aby Uczestnik wystąpił do BIK z reklamacją. Nie toczy się żadne postępowanie w przedmiocie reklamacji, które uzasadniałoby uprawnienie BIK do przetwarzania danych Uczestnika do celów związanych z ww. postępowaniem. Przesłanka z art. 6 ust. 1 lit. f RODO dotyczy sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia, potrzeba dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem. Prezes UODO podzielił ponadto stanowisko NSA wyrażone w wyroku z 6 marca 2019r. sygn. akt I OSK 994/17, odnoszące się do analogicznej do art. 6 ust 1 lit. f RODO przesłanki wynikającej z art. 23 ust. 1 pkt 5 u.o.d.o., dotyczącej dopuszczalności przetwarzania danych osobowych, do wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, gdy przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Sąd ten (LEX nr 2670498) orzekł, że art. 23 ust. 1 pkt 5 u.o.d.o. zezwala na przetwarzanie danych gdy jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Dokonując wykładni tego przepisu zwrócił uwagę, że chodzi o realizowanie prawnie usprawiedliwionego celu, ale także dokonanie oceny czy dla realizacji tego celu niezbędne jest przekazanie danych, pomimo braku zgody osoby, której dane te dotyczą. Ocena ta sprowadza się do wyważania racji i interesów osoby, której danych sprawa dotyczy, a która jest objęta ochroną prawną, a z drugiej administratora danych, również chronionego przez prawo w zakresie w jakim może realizować prawnie usprawiedliwione cele i uprawnienia. NSA w wyroku z 23 września 2005r. sygn. akt I OSK 712/05 wskazywał też, że rozstrzygając o legalności przetwarzania danych trzeba każdorazowo, ważąc interesy stron, znaleźć równowagę między prawami i wolnościami jednostki z jednej strony a prawnie usprawiedliwionym interesem osoby trzeciej z drugiej strony. Oznacza to obowiązek zapewnienia właściwej równowagi praw i interesów stron, w tym praw podstawowych. Zdaniem NSA przetwarzanie danych osobowych osoby, która cofnęła zgodę na ich przetwarzanie, nie jest niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych, którym jest prawo do podjęcia obrony przed ewentualnymi roszczeniami lub zarzutami dotyczącymi przetwarzania danych, w celu obsługi wniosku kredytowego. Art. 23 ust. 1 pkt 5 u.o.d.o. na pierwszym miejscu wymienia warunek, że przetwarzanie danych winno być niezbędne dla wypełnienia prawnie usprawiedliwionych celów. Przetwarzanie danych osobowych niejako "na zapas" z założeniem, że mogą być one ewentualnie przydatne w przyszłości. Wprawdzie złożono wniosek kredytowy, ale strony nie zawarły umowy i nie powstał między stronami stosunek zobowiązaniowy. Pomiędzy stronami nie toczy się także żadne postępowanie reklamacyjne. Zatem przetwarzania danych strony, a więc na wszelki wypadek, nie można uznać za przetwarzanie niezbędne dla wypełnienia prawnie usprawiedliwionych celów. Zgodnie z art. 23 ust. 1 pkt 2 u.o.d.o. przetwarzanie danych osobowych jest dopuszczalne wtedy, gdy jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa. Przepis ten dopuszcza możliwość przetwarzania danych, uzależnia jednak legalność tego procesu od spełnienia dwóch istotnych wymogów, tj. istnienia odpowiedniego przepisu prawa, który przyznaje podmiotowi uprawnienie lub nakłada na niego obowiązek oraz niezbędności przetwarzania danych dla zrealizowania tego uprawnienia lub spełnienia obowiązku wynikającego z tego przepisu. Wymogi te powinny być spełnione łącznie. NSA w wyroku z 8 stycznia 2025r. sygn. akt III OSK 4868/21 podzielił powyższe stanowisko. Zdaniem Prezesa UODO przyjęcie odmiennej interpretacji ww. przepisów, powodowałoby, że Uczestnik zostałby pozbawiony ochrony na gruncie RODO i u.o.d.o. Przyjęcie za prawidłowe stanowiska, że przetwarzanie danych osobowych, w celu uchylenia się od negatywnych skutków w przypadku zgłoszenia w przyszłości ewentualnego i nieokreślonego roszczenia, stanowi prawnie usprawiedliwiony cel w rozumieniu art. 6 ust. 1 lit. f RODO oznaczałoby, że dane osobowe Uczestnika mogą być przetwarzane przez Bank i BIK permanentnie, bez konieczności ich usunięcia. Teoretycznie możliwym jest, by Uczestnik zwrócił się do Banku lub BIK z roszczeniem po upływie terminu przedawnienia roszczenia. Prowadziłoby to do uznania, że przetwarzanie danych osobowych ma uzasadnienie w przesłance z art. 6 ust. 1 lit. f RODO, w celu realizacji prawa do obrony przed ewentualnym roszczeniem Uczestnika również po upływie ww. terminu. Prezes UODO ocenił też, że brak jest uzasadnienia do przyjęcia, że terminy dotyczące przedawnienia roszczeń wynikających ze stosunków zobowiązaniowych określają ramy czasowe, w których dane osobowe mogą być przetwarzane przez Bank i BIK. Koniecznym jest by podnieść, że przedawnienie roszczenia nie wywołuje skutków na gruncie ochrony danych osobowych, nie wpływa bowiem na istnienie roszczenia, a powoduje jedynie zmianę w sferze zarzutów procesowych w postaci możliwości podniesienia okoliczności przedawnienia w sporze sądowym. Okolicznością usprawiedliwiającą przetwarzanie danych osobowych, w celu dochodzenia roszczeń jest istnienie roszczenia i zamiar jego dochodzenia, nie jest nią natomiast zmiana w uprawnieniach procesowych podmiotu pozwanego. Obecnie brak jest uzasadnienia do przyjęcia, że Bank lub BIK są uprawnione do przetwarzania danych osobowych Uczestnika w związku z koniecznością ewentualnego wypełnienia obowiązku wynikającego z art. 70a ust. 1 i ust. 2 u.P.b. w brzmieniu tych przepisów, obowiązującym w dacie pozyskania danych wynikających z ww. zapytań kredytowych. Stosownie do art. 70a ust. 1 u.P.b., banki i inne instytucje ustawowo upoważnione do udzielania kredytów na wniosek osoby fizycznej, prawnej lub jednostki organizacyjnej niemającej osobowości prawnej, o ile posiada zdolność prawną, ubiegającej się o kredyt przekazują, w formie pisemnej, wyjaśnienie dotyczące dokonanej przez siebie oceny zdolności kredytowej wnioskującego. Stosownie zaś do art. 70a ust. 2 u.P.b. wyjaśnienie, o którym mowa w ust. 1, obejmuje informacje na temat czynników, w tym danych osobowych wnioskującego, które miały wpływ na dokonaną ocenę zdolności kredytowej. Prezes UODO podzielił stanowisko doktryny, że jeśli bank - w wyniku dokonanej oceny zdolności kredytowej (przeprowadzonej zgodnie z przyjętymi rekomendacjami KNF) - nie udzieli kredytu, nie dojdzie do zawarcia umowy kredytu, to stan taki nie rodzi po stronie ubiegającego się o kredyt żadnych roszczeń na drodze cywilnoprawnej. Ubiegającemu się o kredyt przysługuje tylko możliwość wnioskowania o przedstawienie na piśmie przyczyn odmowy (B. Bajor [w:] L. Kociucki, J. M. Kondek, K. Królikowska, B. Bajor, Prawo bankowe. Komentarz do przepisów cywilnoprawnych, Warszawa 2020, art. 70(a). Art. 70a u.P.b. w dacie pozyskania danych osobowych, wynikających z ww. zapytań kredytowych, nie przewidywał terminu na złożenie wniosku o udzielenie informacji dotyczących odmowy udzielenia kredytu. Nie oznacza to, że dane osobowe można było przetwarzać bezterminowo, gdyż byłoby to sprzeczne z zasadą ograniczenia przechowywania, określoną w art. 5 ust. 1 lit. e). Powstanie obowiązku, o którym mowa w art. 70a ust. 1 u.P.b. uzależnione było od złożenia wniosku przez osobę ubiegającą się o kredyt. Uczestnik złożył do Banku ww. wnioski kredytowe i Bank skierował do BIK ww. zapytania kredytowe, które ostatecznie nie zakończyły się zawarciem umowy z Bankiem. Uczestnik zwracał się do Banku o usunięcie ww. danych w zakresie dotyczącym ww. zapytań kredytowych. Proces przetwarzania danych osobowych związanych z ww. zapytaniami kredytowymi zakwestionował następnie w postępowaniu, domagając się ochrony danych osobowych. Uwzględnienie żądania Uczestnika usunięcia ww. danych skutkować będzie brakiem możliwości udzielenia informacji wskazanych w art. 70a ust. 1 i 2 u.P.b., z czym Uczestnik, żądając usunięcia danych, musiał się liczyć. Uczestnik nie był i nie jest zainteresowany realizacją prawa do złożenia wniosku, o którym mowa w ww. przepisie. Ponadto art. 70a ust. 1 u.P.b. w brzmieniu obowiązującym w dacie pozyskania danych Uczestnika przez Bank, nie nakładał obowiązku na BIK, gdyż dotyczył wyłącznie banków i innych instytucji ustawowo upoważnionych do udzielania kredytów. Zdaniem Prezesa UODO brak jest także uzasadnienia do przyjęcia, że BIK jest uprawniony do przetwarzania danych osobowych pozyskanych w związku z ww. zapytaniami, w związku z koniecznością ewentualnego wypełnienia obowiązku wynikającego żart. 15 RODO. Usunięcie przez administratora danych osobowych nie uniemożliwia wykonania obowiązku z art. 15 RODO. Przepis ten gwarantuje osobie, której dane dotyczą, prawo do uzyskania od administratora informacji, czy jej dane są przetwarzane, a w przypadku pozytywnej odpowiedzi - uprawnienie do dostępu do danych i uzyskania informacji o okolicznościach przetwarzania danych. Jeśli administrator nie przetwarza danych dotyczących osoby, która zwraca się z żądaniem udzielenia informacji, to ogranicza się do odpowiedzi przeczącej i nie ma on obowiązku podawać innych informacji (tak: P. Fajgielski [w:] Ogólne rozporządzenie o ochronie danych. Ustawa o ochronie danych osobowych. Komentarz. Wolters Kluwer Polska, 2018). W ocenie Prezesa UODO w sprawie brak jest celu uzasadniającego dalsze przetwarzanie danych osobowych Uczestnika zawartych w ww. zapytaniach kredytowych przez Bank i BIK. Bank w związku z pozyskaniem danych osobowych Uczestnika, w celu oceny zdolności kredytowej stał się administratorem tych danych osobowych, a BIK stał się administratorem ww. danych osobowych, z uwagi na przekazanie ich przez Bank. W związku z tym Bank i BIK są odrębnymi administratorami, bo każdy z Nich przetwarza ww. dane osobowe samodzielnie i we własnych celach, ustalając sposoby ich przetwarzania. W odniesieniu do kwestionowanego przez Uczestnika przetwarzania jego danych osobowych przez Bank i BIK nie zaszła żadna z przesłanek wyrażonych w art. 6 ust. 1 RODO, która stanowiłaby o legalności tego procesu. Prezes UODO dlatego, korzystając z uprawnienia z art. 58 ust. 2 lit. c RODO, nakazał Bankowi i BIK usunięcie danych osobowych Uczestnika. 2. Bank w skardze do Wojewódzkiego Sądu Administracyjnego w Warszawie wniósł o uchylenie ww. decyzji Prezesa UODO w całości, zasądzenie na rzecz Banku kosztów postępowania sądowego, w tym kosztów zastępstwa procesowego, według norm przepisanych oraz opłaty skarbowej od pełnomocnictwa w wysokości 17 zł, zarzucając naruszenie: - art. 7, art. 77 §1 i art. 80 k.p.a. - polegające na niewyczerpującym rozpatrzeniu materiału dowodowego i na jego dowolnej ocenie przejawiającej się w uznaniu, że Bank i BIK nie dysponują przestankami legalizującymi przetwarzanie danych osobowych Uczestnika, choć przetwarzanie Jego danych osobowych jest niezbędne do realizacji obowiązków prawnych ciążących na Banku i BIK; - art. 7b k.p.a. - przez brak zwrócenia się do KNF, jako organu właściwego w sprawach związanych m.in. z badaniem zdolności kredytowej i analizą ryzyka kredytowego, a także budową modeli scoringowych oraz do Generalnego Inspektora Informacji Finansowej, jako organu właściwego w sprawach związanych m.in. z przeciwdziałaniem praniu pieniędzy i finansowaniu terroryzmu w zakresie wykorzystywania do realizacji tych zadań danych, w tym danych osobowych o niezrealizowanych zapytaniach kredytowych; - art. 6 ust. 1 lit. c RODO w zw. z art. 39 ust. 1 w zw. z art. 34 ust. 1, art. 35 ust. 1, 36 ust. 1, oraz 49 AML - przez ich niewłaściwe zastosowanie, polegające na przyjęciu, że na Banku nie ciążą obowiązki związane z przeciwdziałaniem praniu pieniędzy oraz finansowaniu terroryzmu, gdy nie doszło do zawarcia umowy pomiędzy Bankiem a klientem - gdy przepisy te nakładają na banki i BIK obowiązek przetwarzania danych osobowych w celu zapewnienia bezpieczeństwa obrotu gospodarczego przez przeprowadzenie szczegółowego badania na temat klientów, w tym przyszłych klientów, jak i badania powiązań kapitałowo-osobowych, w tym w zakresie danych dostarczanych przez Uczestnika, w tym także wtedy, gdy pomiędzy stronami nie została ostatecznie zawarta umowa; - art. 6 ust. 1 lit. c RODO w zw. z art. 105 ust. 4 i 105a ust. 1 u.P.b. - przez ich błędną wykładnię i przyjęcie, że Bank jest jedynie obowiązany do dokonania oceny zdolności kredytowej klientów, gdy z tego przepisu wynika obowiązek dokonania także analizy ryzyka kredytowego; - art. 6 ust. 1 lit. c RODO w zw. z art. 105 ust 4 u.P.b. - przez ich błędną wykładnię i przyjęcie, że Bank nie legitymuje się przesłanką do przetwarzania danych, gdy z tego przepisu wynika obowiązek przetwarzania danych, w tym danych z zapytań kredytowych, w zakresie, w jakim informacje te potrzebne są bankom do wykonywania czynności bankowych, w tym oceny zdolności kredytowej i analizy ryzyka kredytowego; - art. 6 ust. 1 lit. c RODO w zw. z art. 144 ust. 1 lit. d, art. 145, art. 147 ust. 5 lit. b, art. 170 ust. 3 lit. a, ust. 4 lit. a, 171 ust. 2 oraz art. 179 ust. 1 lit. a CRR - przez ich błędną wykładnię i przyjęcie, że na Banku nie ciążą obowiązki związane z analizą ryzyka kredytowego, gdy nie doszło do zawarcia umowy przez Bank z klientem; - art. 6 ust. 1 lit. c RODO w zw. z art. 70a u.P.b. - przez ich niewłaściwe zastosowanie, skutkujące przyjęciem, że Bank może dokonać wyjaśnienia dotyczącego dokonanej oceny zdolności kredytowej wnioskującego bez otrzymanych i przetwarzanych danych osobowych klienta, tylko wtedy, gdy zawarł on umowę z bankiem; - art. 6 ust. 1 lit. c RODO w zw. z art. 106d u.P.b. - przez ich niewłaściwe zastosowanie skutkujące przyjęciem, że Bank nie jest uprawniony do przetwarzania danych, w tym danych osobowych zawartych w ww. wniosku kredytowym, celem wypełnienia obowiązków wynikających z u.P.b., gdy wykazuje cel przetwarzania danych osobowych, polegający na analizie danych z wniosku i analizie zapytania kredytowego w BIK w określonym czasie, w celu wykrycia nieścisłości oraz powzięcia informacji mogących stanowić o uzasadnionym podejrzeniu popełnienia przestępstw, o których mowa w art. 106d u.P.b.; - art. 6 ust. 1 lit. c RODO w związku z Rekomendacjami S, W i T KNF - polegające na ich niewłaściwym zastosowaniu i przyjęciu, że Bank nie legitymuje się przesłanką przetwarzania danych wynikającą z art. 6 ust. 1 lit. c RODO w związku z Rekomendacjami S, W i T KNF, gdy rekomendacje te nakładają na banki, a w konsekwencji także na BIK, jako instytucję gromadzącą dane służące do oceny zdolności kredytowej oraz budującą modele scoringowe służące bankom, określone wymagania, które następnie podlegają egzekwowaniu przez KNF na podstawie bezwzględnie obowiązujących przepisów prawa. W szerokim uzasadnieniu skargi rozwinięto przywołane wyżej zarzuty. 3. Prezes UODO w odpowiedzi na skargę wniósł o jej oddalenie, podtrzymując dotychczasową argumentację. II. Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje. 1. Skarga nie zasługuje na uwzględnienie. 2. Należy wyjaśnić, że Sądy administracyjne, zgodnie z art. 1 § 1 i 2 ustawy z 25 lipca 2002r. - Prawo o ustroju sądów administracyjnych (Dz.U. z 2023r., poz. 2492 ze zm.) oraz art. 3 § 1 ustawy z 30 sierpnia 2002r. Prawo o postępowaniu przed sądami administracyjnymi (Dz.U. z 2024r., poz. 935 ze zm., zwana dalej "P.p.s.a."), sprawują wymiar sprawiedliwości przez kontrolę działalności administracji publicznej. Kontrola ta polega na ocenie zgodności zaskarżonego aktu z przepisami postępowania administracyjnego, a także prawidłowości zastosowania i wykładni norm prawa materialnego. Sąd, w myśl art. 134 § 1 P.p.s.a., rozstrzyga w granicach danej sprawy, nie będąc związany zarzutami i wnioskami skargi oraz powołaną podstawą prawną, z zastrzeżeniem art. 57a. Sąd nie może wydać orzeczenia na niekorzyść skarżącego, chyba że stwierdzi naruszenie prawa skutkujące stwierdzeniem nieważności zaskarżonego aktu lub czynności (§ 2). 3. Skarga oceniana w świetle ww. kryteriów nie zasługuje na uwzględnienie. Po pierwsze należy zauważyć, że przesłanką oddalenia skargi, co do pkt 2 zaskarżonej decyzji był brak po stronie Banku interesu prawnego – w rozumieniu art. 50 § 1 P.p.s.a., co do możliwości zakwestionowania nałożonego na inny podmiot - BIK – obowiązku usunięcie danych osobowych Uczestnika, w zakresie wynikającym z ww. zapytań kredytowych z [...] stycznia i [...] marca 2023r., przekazanego przez Bank do BIK. Według ustaleń Prezesa UODO zawartych w zaskarżonej decyzji, które nie zostały zresztą zakwestionowanych w skardze, BIK jest odrębnym administratorem danych osobowych Uczestnika, w rozumieniu art. 7 pkt 7 RODO i wykorzystuje te dane, według samodzielnie zdefiniowanych celów. Interes faktyczny Banku, wynikający z rzeczywistych korzyści, wiążących się z realizacją umowy pomiędzy Bankiem i BIK (stosunek obligacyjny) nie może stanowić przesłanki do ochrony interesu Banku w postępowaniu przed Sądem administracyjnym – co do powinności, nałożonych decyzją na inny podmiot - BIK. Uprawnienie do ochrony interesów Banku w danym zakresie przed Sądem administracyjnym nie wynika ponadto z odrębnych unormowań szczególnych. Tym samym skarga w tym zakresie podlegała oddaleniu, na mocy art. 151 P.p.s.a. Po drugie należy wskazać, że - zdaniem Sądu - Prezes UODO, wydając pkt 1 zaskarżonej decyzji, nie naruszył ani przepisów postępowania w zakresie powinności właściwego wyjaśnienia stanu faktycznego sprawy (w tym uzyskania stanowisk właściwych organów), czy w zakresie prawidłowego uzasadnienia zaskarżonej decyzji, ani też przepisów prawa materialnego, zakreślających ramy przetwarzania danych osobowych oraz zakres kompetencji wyspecjalizowanego organu administracji dla stosowania środków naprawczych - nakazu usunięcia danych osobowych Uczestnika przetwarzanych bez podstawy prawnej, na podstawie art. 58 ust. 2 lit. c RODO. W sprawie bezsporne są jej istotne okoliczności faktyczne - w zakresie, gdzie skierowana przez Uczestnika do wyspecjalizowanego organu (Prezesa UODO) skarga dotyczyła przetwarzania przez Bank i BIK danych osobowych Uczestnika (osoby, z którą nie zawarto umowy kredytowej) zgromadzonych przy rozpatrywaniu ww. wniosków kredytowych z [...] stycznia i [...] marca 2023r. Spór w sprawie sprowadzał się zatem do tego, czy - w takim stanie faktycznym - istnieje podstawa formalnoprawna do przetwarzania danych osobowych - upatrywana przez Bank w przesłankach wymienionych w art. 6 ust. 1 lit. c bądź f RODO. Zdaniem Sądu w uzasadnieniu zaskarżonej decyzji Prezes UODO trafnie wskazał oraz zaprezentował właściwą interpretację regulacji normatywnych, zakreślających ramy możliwości przetwarzania danych osobowych Uczestnika - gdy nie doszło do zawarcia umów kredytowych, a wnioski kredytowe zostały złożone. Wobec szerokiego zreferowania argumentacji organu w części wstępnej uzasadnienia jej powtarzanie jest bezzasadne. Sąd przyjmuje tę argumentację, uznając ją za prawidłową. Sąd, odnosząc się do poszczególnych zarzutów skargi, wskazuje, że są one nieuzasadnione. Sąd podkreśla ponadto, że Naczelny Sąd Administracyjny w analogicznej sprawie - wobec w istocie tożsamych zarzutów oddalił - wyrokiem z 1 października 2025r. sygn. akt III OSK 1552/22 (dostępny na www.oczeczenia.nsa.gov.pl) - skargę kasacyjną. W uzasadnieniu orzeczenia zawarto m.in. następujące stwierdzenia i oceny: - "Prezes UODO jest wyspecjalizowanym organem w sprawach ochrony danych osobowych, który ma status i kompetencje organu nadzorczego określone w przepisach RODO. Z tego względu [...] jest uprawniony do samodzielnego dokonywania interpretacji przepisów prawa w zakresie dotyczącym ochrony danych osobowych. W sprawie niniejszej [...] nie miał zatem obowiązku zwracania się do KNF ani w zakresie dokonywanych ustaleń stanu faktycznego, ani w zakresie wyjaśnień stanu prawnego." Zdaniem WSA w Warszawie, rozpatrującego sprawę ze skargi Banku na ww. decyzję Prezesa UODO z [...] marca 2025r., z tego samego względu Prezes UODO nie był uprawniony do występowania do Generalnego Inspektora Informacji Finansowej, jako organu właściwego w sprawach związanych m.in. z przeciwdziałaniem praniu pieniędzy i finansowaniu terroryzmu w zakresie wykorzystywania do realizacji tych zadań danych, w tym danych osobowych o niezrealizowanych zapytaniach kredytowych; - "przepisy prawa bankowego przewidują w art. 105 ust. 4 Prawa bankowego podmiot, który może przetwarzać dane osobowe uzyskiwane w trakcie świadczenia usług bankowych, zaś w art. 105a ust. 1-6 Prawa bankowego regulują szczegółowe warunki, zakres, okoliczności i czas przetwarzania tych danych osobowych. [...] przepisy te odnoszą się wyłącznie do przetwarzania danych osobowych klientów banku, z którymi doszło do nawiązania relacji prawnej o charakterze zobowiązaniowym. Interpretacja tych przepisów z zastosowaniem reguł wykładni językowej prowadzić musi do wniosku, iż nie jest dopuszczalne przetwarzanie danych osobowych klientów banków, z którymi nie doszło do nawiązania przez bank stosunku zobowiązaniowego. Bank ani podmiot, o którym mowa w art. 105 ust. 4 Prawa bankowego nie ma "obowiązku prawnego" w rozumieniu art. 6 ust. 1 lit. c RODO przetwarzania danych osobowych klienta banku, z którym nie doszło do nawiązania relacji prawnej zobowiązaniowej, gdyż przepisy art. 105a ust. 1-6 Prawa bankowego nie zawierają upoważnienia dla administratora do przetwarzania danych osobowych takiego klienta, ograniczając swój zakres wyłącznie do klientów, którzy zawarli umowę z bankiem."; - "przesłanki zawarte w art. 105a Prawa bankowego dotyczą przetwarzania informacji objętych tajemnicą bankową w okresie przed powstaniem zobowiązania, w trakcie jego trwania oraz po wygaśnięciu zobowiązania. [...] wszelkie regulacje znoszące ochronę danych osobowych muszą być odczytywane i wykładane ściśle, z uwzględnieniem funkcji jakiej mają służyć. Zatem w sytuacji, gdy w następstwie złożenia wniosku kredytowego nie dochodzi do zawarcia umowy kredytowej brak jest ustawowych przesłanek legalizujących dalsze przetwarzanie danych osobowych wnioskującego o zawarcie i wykonanie umowy produktowej w zakresie zapytania kredytowego przez [...]., a następczo BIK. Brak jest również uzasadnienia dla przyjęcia, że [...]. jest uprawniony do przetwarzania danych osobowych w związku z koniecznością ewentualnego wypełnienia obowiązku wynikającego z art. 70a ust. 1 i ust. 2 Prawa bankowego. Wnioskodawczyni w niniejszej sprawie wykazała w sposób jednoznaczny wolę usunięcia danych, a zatem przyjąć należy, że nie jest zainteresowana realizacją prawa do wyjaśnienia dotyczącego dokonanej oceny zdolności kredytowej, w myśl art. 70a ust. 1 i 2 Prawa bankowego." Zdaniem WSA w Warszawie rozpatrującego sprawę ze skargi Banku na ww. decyzję Prezesa UODO z [...] marca 2025r., Uczestnik również w sposób jednoznaczny wyraził wolę usunięcia swoich danych, a zatem przyjąć należy, że nie jest zainteresowany realizacją prawa do wyjaśnienia dotyczącego dokonanej oceny zdolności kredytowej, w myśl art. 70a ust. 1 i 2 u.P.b.; - "skoro nie doszło do zawarcia umowy kredytowej nie może być wątpliwości, że ocena zdolności kredytowej i analiza ryzyka kredytowego zostały dokonane (zrealizowane). Cel przetwarzania danych, dla którego zostały one zgromadzone w zapytaniach kredytowych, został tym samym osiągnięty. Odpadła przesłanka legalizująca dalsze przetwarzanie danych osobowych wnioskodawczyni przez [...] które to przetwarzanie miało na celu ocenę zdolności kredytowej i analizę ryzyka kredytowego (przed zawarciem umowy). Pomiędzy [...]. a wnioskodawczynią nie nawiązał się żaden stosunek zobowiązaniowy, który stosownie do art. 105a ust. 1-5 Prawa bankowego dawałby podstawę do dalszego przetwarzania jej danych osobowych [...] ocena zdolności kredytowej i ryzyka kredytowego ma charakter czynności wstępnych przed zawarciem umowy przez [...]. Dalsze przetwarzanie danych (uzyskanych pierwotnie wyłącznie w celu oceny zdolności kredytowej i analizy ryzyka kredytowego) w przypadku braku zawarcia stosownej umowy, pozostaje w oderwaniu od celu, dla którego dane zostały zebrane."; - "art. 105 ust. 4 Prawa bankowego jest przepisem o charakterze ogólnym, który stanowi o możliwości utworzenia wspólnie z bankowymi izbami gospodarczymi, instytucji upoważnionych do gromadzenia, przetwarzania i udostępniania danych. Przepis ten nie daje podstaw do nieograniczonego przetwarzania wszelkich danych osobowych przez utworzone instytucje. Ponadto przepis art. 105 ust. 4 Prawa bankowego nie stanowi o dopuszczalności przetwarzania danych osobowych dotyczących wniosków kredytowych w sytuacji, gdy nie doszło do zawarcia umowy z Bankiem [...]. Zasady przetwarzania danych objętych tajemnicą bankową określa art. 105a Prawa bankowego. Na gruncie tego przepisu należy oceniać zatem dopuszczalność przetwarzania poszczególnych danych osobowych w określonych ściśle celach. Nadto przepis art. 105 ust. 4 ww. ustawy nie jest przepisem samodzielnie wprowadzającym kolejny podmiot, który ma dostęp do danych stanowiących tajemnicę bankową."; - "Z art. 70a ust. 1c [Prawa bankowego] wynika, że wnioskujący o kredyt ma rok od dnia otrzymania oceny zdolności kredytowej, aby złożyć wniosek by otrzymać taką ocenę w formie pisemnej. Tym samym banki i instytucje ustawowo upoważnione do udzielania kredytów mogą przez ten okres przetwarzać dane wnioskodawcy, w zakresie jaki jest niezbędny, dla udostępnienia mu w formie pisemnej oceny jego zdolności kredytowej."; - "Za niezasadne uznać należy argumenty dotyczące naruszenia art. 6 ust. 1 lit. c RODO w związku z przepisami ustawy AML oraz przepisami rozporządzenia CRR. [...] przedmiotem oceny organu a następnie Sądu I instancji była zgodność z prawem przetwarzania danych osobowych w świetle uprawnień przyznanych skarżącym kasacyjnie przez ustawę - Prawo bankowe, a nie sposobu funkcjonowania mechanizmów kredytowych i ustalenia, jakie dane są potrzebne [...] i BIK dla zapewnienia prawidłowego działania tych mechanizmów. Również odwoływanie się do konieczności przetwarzania danych osobowych wnioskodawcy w zakresie pytań kredytowych po dokonaniu weryfikacji zdolności kredytowej dla potrzeb tworzenia modeli scoringowych jest nieuprawnione."; - "Odnosząc się z kolei do zarzutów w zakresie naruszenia art. 6 ust. 1 lit. f RODO w zw. z art. 1 ust. 2 pkt 1 oraz art. 2 ustawy o nadzorze nad rynkiem finansowym w związku z art. 137 ust. 1 pkt 5 Prawa bankowego w zw. z Rekomendacjami S, W i T Komisji Nadzoru Finansowego wyjaśnić należy, że źródłami powszechnie obowiązującego prawa w Rzeczypospolitej Polskiej są: Konstytucja, ustawy, ratyfikowane umowy międzynarodowe oraz rozporządzenia (art. 87 ust. 1 Konstytucji RP z dnia 2 kwietnia 1997 r.; Dz.U. Nr 78, poz. 483 ze zm.). Nie ulega zatem wątpliwości, że rekomendacje KNF nie są aktami prawa powszechnie obowiązującego. Nie mieszczą się bowiem w zamkniętym katalogu źródeł powszechnie obowiązującego prawa Rzeczypospolitej Polskiej, określonym w art. 87 Konstytucji RP. Ponadto wydaje je organ, który nie ma stosownego umocowania konstytucyjnego."; - "Naczelny Sąd Administracyjny docenia i rozumie kwestie związane z bezpieczeństwem depozytów, stabilnością sektora bankowego, koniecznością prowadzenia analiz statystycznych, dokonaniem oceny zdolności kredytowej oraz ryzyka kredytowego, tworzenia baz danych (także korzystania z zewnętrznych baz danych np. [...]), czy też budową modeli scoringowych. Elementy te nie są jednak wartościami nadrzędnymi wobec prawa osoby fizycznej do ochrony danych osobowych. Prawo do ochrony danych osobowych jest prawem gwarantowanym zarówno w krajowym, jak i unijnym porządku prawnym. Na płaszczyźnie krajowej regulacji prawo do ochrony danych osobowych znajduje oparcie w przepisie art. 51 Konstytucji RP. Przepis ten określa podstawowe uprawnienia składające się na prawo do ochrony danych osobowych, w kwestiach szczegółowych odsyłając do regulacji ustawowej."; - "Zarzut naruszenia art. 106d Prawa bankowego [...] z treści tego przepisu wynika, że dopuszcza on przetwarzanie danych osobowych w przypadku uzasadnionego podejrzenia łamania prawa lub działania na szkodę banku. W niniejszej sprawie takie okoliczności nie wystąpiły."; - "Jak zostało wykazane, skarżący kasacyjnie nie posiada wobec wnioskodawczyni żadnego aktywnego roszczenia cywilnoprawnego stąd powoływanie się na przepisy regulujące jego przedawnienie - art. 117 § 2 i 21, 118 i 119 Kodeksu cywilnego - jest z założenia nie skuteczne.". Wojewódzki Sąd Administracyjny w Warszawie, rozpoznając skargę Banku na ww. decyzję Prezesa UODO z [...] marca 2025r., w pełni podziela powyższe stanowisko Naczelnego Sądu Administracyjnego, uznając za własną przyjętą w ww. wyroku argumentację NSA, co do zarzutów podnoszonych przez Bank w niniejszej skardze. Sąd wskazuje ponadto, że w analogicznych stanach faktycznych (w zakresie zapytania kredytowego, które nie zakończyło się zawarciem umowy kredytowej) oraz w związku z analogicznymi zarzutami do podnoszonych w niniejszej skardze wypowiadały się inne składy Naczelnego Sądu Administracyjnego, a linia orzecznicza Sądu drugiej instancji jest jednolita (por. m.in. wyroki NSA w sprawach o sygn. akt III OSK 165/22, 984/22, III OSK 1522/22 oraz III OSK 1877/22 – dostępne na www.orzeczenia.nsa.gov.pl). Stanowisko to również należy podzielić i stwierdzić, że ma ono zastosowanie do podnoszonych w niniejszej skardze zarzutów, których z tego powodu nie można uznać za zasadne. Sąd, wydając w sprawie ze skargi Banku wyrok miał też na uwadze regułę pewności prawa, wyprowadzaną z konstytucyjnej zasady demokratycznego państwa prawa – z art. 2 Konstytucji RP - materializującej się m.in. w jednolitości orzecznictwa sądów w tożsamych sprawach. Stronami postępowań przed NSA były także osoby, żądające usunięcia swoich danych wobec nie zawarcia umowy kredytu, ale w związku z wystąpieniem z zapytaniem kredytowym. Sąd podziela wobec tego w pełni sformułowane w uzasadnieniu ww. wyroku NSA z 1 października 2025r. sygn. akt III OSK 1552/22 oceny prawne. Czyni to zarzuty skargi – zarówno, co do naruszenia przepisów prawa materialnego, jak i przepisów postępowania - chybionymi. Sąd wskazuje ponadto, że wobec zarzutów skargi, ani z urzędu, nie dopatrzył się w zaskarżonej decyzji wad, które przemawiałoby za jej wyeliminowaniem z obrotu prawnego. Przeszkodą dla dalszego przetwarzania danych osobowych klienta banku – Uczestnika - w sytuacji, gdy nie doszło do zawarcia umów kredytowych - do oceny ryzyka kredytowego, w tym tworzenia modeli scoringowych, w kontekście doskonalenia metod ostrożnościowych - jest w istocie obecne brzmienie przepisów u.P.b. (w szczególności art. 105a), które należy wykładać zgodnie z wyrażonymi wprost w Konstytucji RP zasadami ochrony danych osobowych. Ewentualne więc poszerzenie zakresu przetwarzania tych danych, jeżeli faktycznie wynika to z potrzeby realizacji nadrzędnego interesu publicznego, jako dobra chronionego także ustawą zasadniczą, wymaga wobec tego stosownych zmian regulacji na szczeblu ustawowym. Jest więc wyłącznie postulatem do prawodawcy - de lege ferenda. 4. Sąd, z przytoczonych wyżej przyczyn - na podstawie art. 151 P.p.s.a. - orzekł, jak w sentencji.