II SA/Wa 942/22

Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Ewa Radziszewska-Krupa, Sędzia WSA Ewa Kwiecińska, Sędzia WSA Iwona Maciejuk (spr.), Protokolant sekretarz sądowy Marcin Rusinowicz-Borkowski po rozpoznaniu na rozprawie w dniu 13 stycznia 2023 r. sprawy ze skarg [...] Bank Polska S.A. z siedzibą w W. i B. S.A. z siedzibą w W. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] marca 2022 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargi

Prezes Urzędu Ochrony Danych Osobowych decyzją z dnia [...] marca 2022 r. nr [...], na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960r. Kodeks postępowania administracyjnego (Dz. U. z 2021 r. poz. 735), zwanej dalej k.p.a., w zw. z art. 7 ust. 1 i 2 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych ( t. j. Dz. U. z 2019 r., poz. 1781) i art. 6 ust. 1 oraz art. 58 ust. 2 lit. c rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dziennik Urzędowy Unii Europejskiej, L 119, 4 maja 2016, str. 1, Dziennik Urzędowy Unii Europejskiej, L127 z 23 maja 2018, str. 2 oraz dziennik Urzędowy Unii Europejskiej, L 74 z 4 marca 2021, str. 35) zwanego dalej RODO wskazując na przeprowadzenie postępowania administracyjnego w sprawie skargi G. K. na nieprawidłowości w procesie przetwarzania jej danych osobowych przez [...] Bank Polska S.A. z siedzibą w [...] polegające na przetwarzaniu jej danych osobowych w zakresie zapytania kredytowego niezakończonego udzieleniem kredytu, bez podstawy prawnej, w tym w Biurze Informacji Kredytowej S. A. z siedzibą w [...] oraz na odmowie spełnienia żądania wymienionej w zakresie usunięcia przez Bank informacji o tym zapytaniu, nakazał w pkt 1 [...] Bank Polska z siedzibą w [...] usunięcie danych osobowych G. K. w zakresie zapytania kredytowego z [...] lutego 2021 r., niezakończonego udzieleniem kredytu oraz w pkt 2 nakazał Biuru Informacji Kredytowej S. A. z siedzibą w [...] usunięcie danych osobowych G. K. w zakresie zapytania kredytowego z [...] lutego 2021 r., niezakończonego udzieleniem kredytu, przekazanych przez [...] Polska S. A. z siedzibą w [...].

W uzasadnieniu Prezes UODO wskazał, że w dniu [...] kwietnia 2021 r. wpłynęła skarga G. K. na nieprawidłowości w procesie przetwarzania jej danych osobowych przez [...] Bank Polska S.A. z siedzibą w [...] polegające na przetwarzaniu danych osobowych wymienionej w zakresie zapytania kredytowego niezakończonego udzieleniem kredytu, bez podstawy prawnej, w tym w Biurze Informacji Kredytowej S. A. z siedzibą w [...] oraz na odmowie spełnienia żądania skarżącej w zakresie usunięcia przez Bank informacji o tym zapytaniu.

Prezes UODO ustalił następujący stan faktyczny:

1. wnioskodawczyni w skardze wskazała, że Bank przetwarza bez podstawy prawnej jej dane osobowe wynikające z zapytania kredytowego niezakończonego zawarciem umowy. Wskazał, że cyt. "W korespondencji kierowanej do Banku została cofnięta zgoda na przetwarzanie moich danych osobowych w zakresie zapytania kredytowego. Jednocześnie zwróciłam się z prośbą o wykreślenie moich danych osobowych z bazy BIK. Istotnym pozostaje, iż w przedmiotowym Banku nie posiadam żadnego zobowiązania (w tym kredytowego), jak również nie posiadam rachunku osobistego ani innych produktów bankowych." Wobec powyższego wnioskodawczyni wniosła o nakazanie Bankowi usunięcia jej danych osobowych,

2. w wyjaśnieniach Bank wskazał, że dane osobowe wnioskodawczyni pozyskał bezpośrednio od wymienionej, która [...] lutego 2021 r. złożyła wniosek kredytowy. Bank wskazał, że w związku z tym pozyskał dane wnioskodawczyni w zakresie: imię, nazwisko, nazwisko panieńskie matki, data urodzenia, miejsce urodzenia, adres zameldowania i adres zamieszkania, nr PESEL, obywatelstwo, nr telefonu, numer i serię dowodu osobistego, wizerunek, stanowisko, osiągany dochód, adres miejsca pracy,

3. Bank wskazał, że podstawę prawną przetwarzania danych osobowych pozyskanych w związku ze złożonym przez wnioskodawczynię wnioskiem stanowił art. 5 ust. 1 pkt 3 w zw. z art. 70 ust 1 w zw. z art. 105 ust. 4 w zw. z art. 105 ust. 1 pkt 1 c ustawy z 29 sierpnia 1997 r. Prawo bankowe (Dz.U. 2021 poz. 2439), zwanej dalej Prawem bankowym. Bank wskazał, że przetwarzanie danych osobowych w związku ze złożonym zapytaniem kredytowymi, dotyczącym wniosków, które nie zakończyły się udzieleniem kredytu, jest niezbędne dla następujących celów, jakie Bank jest zobowiązany realizować w związku z szeregiem obowiązków o charakterze regulacyjnym: a. realizacja prawa do wyjaśnienia oceny zdolności kredytowej - zgodnie z art. 70a ust. 1 PB Bank. (...); b. wykonywanie obowiązków związanych z przeciwdziałaniem praniu pieniędzy i finansowaniu terroryzmu, przeciwdziałanie popełnianiu innych przestępstw, w tym przestępstw na szkodę banków, - zgodnie z właściwymi przepisami rozdziału: 5,7,8 ustawy z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (Dz. U. z 2021 r., poz. 1132, ze zm.), zwanej dalej także ustawą AML, tj. w zakresie obowiązku stosowania środków bezpieczeństwa finansowego, gromadzenia i przekazywania odpowiednim instytucjom informacji przewidzianych przez ustawę lub blokowania określonych transakcji, oraz zgodnie z art. 106d PB. Obowiązki wykonać należy przed wykonaniem operacji takich jak m.in. udzielenie kredytu; c. ocena ryzyka kredytowego, w tym ocena globalnego ryzyka kredytowego, m.in. na podstawie art. 105a ust. 1-1c PB, d. realizacja wymogów ostrożnościowych, tj. ocena ogólnej ekspozycji oraz ryzyka ekspozycji Banku, na podstawie właściwych przepisów rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 575/2013 z 26 czerwca 2013 r. w sprawie wymogów ostrożnościowych dla instytucji kredytowych oraz zmieniające rozporządzenie (UE) nr 648/2012 w zw. z art. 105 ust. 4 PB ,

4. Bank wskazał nadto, że podstawą prawną do przetwarzania danych osobowych wnioskodawczyni są przepisy: art. 33 ust. 1-2 oraz 4 ustawy AML, art. 35 ust. 2 AML, art. 34 ust. 3 AML oraz art. 106 ust. 1 i art. 106d ust. 1 Prawa bankowego. Bank wskazał również, że na podstawie art. 49 ust. 2 AML instytucje obowiązane przechowują wyniki analiz, o których mowa w art. 34 ust. 3 AML, przez okres 5 lat, licząc od pierwszego dnia roku następującego po roku ich przeprowadzenia,

5. Bank wskazał, że przyjął 2-letni okres przetwarzania danych osobowych w związku z zapytaniem kredytowym (nie zakończonym udzieleniem kredytu). Bank zatem będzie przetwarzał dane osobowe Skarżącej do [...] lutego 2023 r.

6. Bank wskazał, że udostępnił dane osobowe wnioskodawczyni do BIK w dniu [...] lutego 2021 r. w zakresie: imię, nazwisko, nr PESEL oraz seria i nr dowodu osobistego. Bank wyjaśnił, że przekazanie danych osobowych przez Bank do BIK było realizowane w celu oceny zdolności kredytowej wnioskodawczyni w Banku. Bank wskazał również, że podstawą prawną złożenia przez Bank powyższych zapytań w BIK były przepisy art. 5 ust. 1 pkt 3 w zw. z art. 70 ust. 1 w zw. z art. 105 ust. 4 w zw. z art. 105 ust. 1 pkt. 1 c Prawa bankowego,

7. Bank wskazał również cyt. "Skarżąca zwróciła się do Banku o skasowanie jej zapytania kredytowego z [...] lutego 2021 r. Bank ze względu na wyżej wymienione podstawy prawne odmówił realizacji żądania",

8. w wyjaśnieniach BIK wskazał, że pozyskał dane osobowe wnioskodawczyni od Banku na podstawie art. 105 ust. 4, art. 105a ust. 1 Prawa bankowego oraz na podstawie łączącej Bank i BIK umowy. BIK wskazał, że przetwarza dane jej w zakresie zapytania kredytowego z dnia [...] lutego 2021 r. BIK wskazał, że przetwarza dane pochodzące z zapytań kredytowych przez okres 12 miesięcy od dnia złożenia zapytania w celu oceny zdolności kredytowej i analizy ryzyka kredytowego konkretnego klienta (indywidualna ocena zdolności kredytowej) oraz w celu przeciwdziałania przestępstwom oraz wykonywania obowiązków w zakresie określonym w przepisach o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu. BIK wyjaśnił, że będzie przetwarzał dane osobowe wnioskodawczyni w związku ze złożonym zapytaniem kredytowym w celu budowy modeli scoringowych tj. narzędzi wykorzystywanych przez banki do oceny zdolności kredytowej i analizy ryzyka kredytowego przez okres 5 lat od dnia złożenia zapytania, w celu statystycznym i analiz przez okres nie dłuższy niż 10 lat od dnia przekazania zapytania do BIK oraz w celu rozpatrywania ewentualnych reklamacji i roszczeń odszkodowawczych — do momentu przedawnienia potencjalnych roszczeń wynikających z zapytania; oraz z uwagi na konieczność wypełnienia ustawowego obowiązku wynikającego z art. 15 RODO w przypadku wystąpienia przez osobę, której dane dotyczą z wnioskiem o udzielenie informacji. Jednocześnie BIK wskazał, że wnioskodawczyni nie wystąpiła z żądaniem opartym o art. 15 RODO, ani nie wystąpiła do niego z żadnym konkretnym roszczeniem, jak również BIK nie wystąpił wobec niej i nie zamierza występować z takim roszczeniem.

Rozstrzygając w niniejszej sprawie Prezes UODO wskazał m.in., że co do zasady w odniesieniu do przetwarzania danych osobowych klientów podstawą prawną przetwarzania danych osobowych przez Bank i BIK może być obecnie art. 6 ust. 1 lit. f RODO, gdy przetwarzanie to jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora.

Organ wskazał, że BIK jest instytucją utworzoną na podstawie art. 105 ust. 4 Prawa bankowego. Przytoczył treść powołanego przepisu. Przytoczył przepis art. 105 a ust. 1, 4 i 5 oraz art. 70 ust. 1 Prawa bankowego.

Organ wskazał, że wnioskodawczyni w dniu [...] lutego 2021 r. wystąpiła do Banku z wnioskiem o udzielenie kredytu. Stwierdził, że wobec powyższego Bank oraz BIK, na podstawie art. 105a ust. 1 Prawa bankowego w zw. z art. 70 ust. 1 tej ustawy, były uprawnione do przetwarzania danych osobowych jej w celu oceny zdolności kredytowej. Organ podkreślił, że nie doszło do zawarcia umowy kredytu pomiędzy G. K. a Bankiem. W związku z powyższym odpadła przesłanka legalizująca dalsze przetwarzanie danych osobowych wymienionej przez Bank oraz BIK. Przesłanki zawarte w art. 105a Prawa bankowego dotyczą bowiem przetwarzania informacji objętych tajemnicą bankową w okresie przed powstaniem zobowiązania, w trakcie jego trwania oraz po wygaśnięciu zobowiązania. Pomiędzy Bankiem a wymienioną osobą nie zawiązał się żaden stosunek zobowiązaniowy, który stosownie do art. 105a ust. 1-6 Prawa bankowego dawałby podstawę do dalszego przetwarzania jej danych osobowych. Prezes UODO podkreślił, że celem przetwarzania danych osobowych G. K. była ocena zdolności kredytowej i analizy ryzyka kredytowego. W związku z dokonaniem przez Bank oceny zdolności kredytowej i analizy ryzyka kredytowego ww. cel przetwarzania danych osobowych wymienionej został zrealizowany i brak jest podstaw prawnych do kontynuowania tego procesu. Na poparcie powyższego stanowiska organ powołał się na wyrok NSA z dnia 27 sierpnia 2019 r., sygn. akt I OSK 2567/17.

Prezes UODO stwierdził, że za podstawę przetwarzania danych osobowych skarżącej, nie mogą być również uznane wskazane przez BIK cele statystyczne i analizy, w tym cel stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013. Zdaniem organu powołany przez BIK art. 105a ust. 4 Prawa bankowego daje podstawy do przetwarzania informacji dotyczących osoby fizycznej stanowiących tajemnicę bankową po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której te informacje dotyczą. Organ raz jeszcze wskazał, że w przedmiotowej sprawie nie doszło do zawarcia umowy kredytu pomiędzy wymienioną a Bankiem, a zatem nie powstał żaden stosunek zobowiązaniowy, o którym mowa w powyższym przepisie.

Organ podniósł, że zarówno Bank, jak i BIK, wskazały również jako cel przetwarzania danych osobowych skarżącej, przeciwdziałanie przestępstwom oraz wykonywanie obowiązków w zakresie określonym w przepisach ustawy AML. Przytoczył art. 106 d Prawa bankowego oraz art. 33 ust. 1, 2, 4, art. 34 ust. 3, art. 35 ust. 2 oraz art. 49 ust. 2 ustawy AML.

W ocenie Prezesa UODO zebrany w sprawie materiał dowodowy nie wykazał, że zarówno Bank jak i BIK mogły przetwarzać dane osobowe G. K. dotyczące zapytania kredytowego z [...] lutego 2021 r. na podstawie art. 106d Prawa bankowego w celach przeciwdziałania przestępstwom oraz wykonywania obowiązków w zakresie określonym w przepisach AML, albowiem w toku prowadzonego postępowania nie wykazały, aby zaszła którakolwiek z przesłanek określonych w ww. przepisach. W szczególności nie wykazały, aby zaszły uzasadnione podejrzenia, o których mowa w art. 106d ust. 1 pkt 1-2, oraz nie wskazały także nałożonego na nie obowiązku określonego w przepisach o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu, o którym mowa w art. 106d ust. 1 pkt 3.

Odnosząc się do powołanego zarówno przez Bank, jak i przez BIK celu ustalenia, dochodzenia lub obrony roszczeń Prezes UODO stwierdził, że zebrany w niniejszym postępowaniu materiał dowodowy nie wykazał, aby G. K. wystąpiła z jakimkolwiek roszczeniem wobec Banku lub BIK, które uzasadniałoby uprawnienie tych podmiotów do zachowania i przetwarzania jej danych osobowych dla celów dowodowych w związku z dochodzeniem roszczenia. Organ podkreślił, że przesłanka z art. 6 ust. 1 lit. f RODO dotyczy sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia, potrzeba dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem. Prezes UODO przytoczył stanowisko Wojewódzkiego Sądu Administracyjnego w Warszawie przedstawione w wyroku z dnia 1 grudnia 2010 r. o sygn. akt II SA/Wa 1212/10, odnoszące się do analogicznej do art. 6 ust. 1 lit. f RODO przesłanki wynikającej z art. 23 ust. 1 pkt 5 ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych (Dz. U. 2016 r. poz. 922 ze zm.), dotyczące dopuszczalności przetwarzania danych osobowych dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, gdy przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Sąd ten orzekł, cyt.: "W niniejszej sprawie, organ podniósł, iż skarżący kierował pod adresem spółki zastrzeżenia odnośnie legalności przetwarzania jego danych i zapowiedzi skierowania sprawy na drogę sądową. Stąd też spółka uprawniona była do utrwalenia danych skarżącego i zachowania ich dla celów dowodowych na wypadek dochodzenia przez skarżącego ewentualnych roszczeń. Zdaniem Sądu, powyższe okoliczności nie wypełniają przesłanki prawnie usprawiedliwionych celów przetwarzania danych skarżącego. Należy bowiem zwrócić uwagę, iż przesłanka z art. 23 ust. 1 pkt 5 ustawy dotyczy sytuacji już istniejącej i pewnej, a więc przypadku, gdy istnieje potrzeba udowodnienia, potrzeba dochodzenia roszczenia z tytułu prowadzonej działalności gospodarczej, nie zaś sytuacji, gdy dane są przetwarzane na wypadek ewentualnego procesu i ewentualnej potrzeby udowodnienia, iż dane osobowe pozyskane bez zgody osoby, której dotyczą są przetwarzane zgodnie z prawem. Należy również podkreślić, iż skarżący jedynie zapowiedział i nie zrealizował swoich zapowiedzi odnośnie skierowania sprawy na drogę sądową. Stąd też spółka, zdaniem Sądu, nie może przetwarzać danych osobowych skarżącego tylko w celu zabezpieczenia się przed ewentualnym przyszłym i niepewnym roszczeniem skarżącego. W przeciwnym bowiem razie może pojawić się wątpliwość jak długo należy przetwarzać dane osobowe skarżącego jeżeli nie zrealizuje on swoich zapowiedzi."

Organ zaznaczył, że przy przyjęciu odmiennej interpretacji w/w przepisów, G. K. zostałaby pozbawiona ochrony na gruncie RODO oraz ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych. Przyjęcie za prawidłowe stanowiska, iż przetwarzanie danych osobowych w celu uchylenia się od negatywnych skutków w przypadku zgłoszenia w przyszłości ewentualnego i nieokreślonego roszczenia, stanowi prawnie usprawiedliwiony cel w rozumieniu art. 6 ust. 1 lit. f RODO oznaczałoby, że dane osobowe wymienionej mogą być przetwarzane przez Bank i BIK permanentnie, bez konieczności ich usunięcia. Zdaniem organu teoretycznie możliwym jest by wymieniona zwróciła się do Banku lub BIK z roszczeniem po upływie terminu przedawnienia roszczenia. Prowadziłoby to tym samym do uznania, że przetwarzanie danych osobowych wymienionej przez Bank i BIK ma uzasadnienie w przesłance określonej art. 6 ust. 1 lit. f RODO w celu realizacji prawa do obrony przed ewentualnym roszczeniem skarżącej również po upływie w/w terminu.

Organ stwierdził, że brak jest uzasadnienia dla przyjęcia, że terminy dotyczące przedawnienia roszczeń wynikających ze stosunków zobowiązaniowych określają jednocześnie ramy czasowe, w których dane osobowe mogą być przetwarzane przez Bank i BIK. Organ podkreślił, że przedawnienie roszczenia nie wywołuje skutków na gruncie ochrony danych osobowych, nie wpływa bowiem na fakt istnienia roszczenia, a powoduje jedynie zmianę w sferze zarzutów procesowych w postaci możliwości podniesienia okoliczności przedawnienia w sporze sądowym. Okolicznością usprawiedliwiającą przetwarzanie danych osobowych w celu dochodzenia roszczeń jest sam fakt istnienia roszczenia oraz zamiar jego dochodzenia, nie jest nią natomiast zmiana w uprawnieniach procesowych podmiotu pozwanego.

W ocenie Prezesa UODO brak jest uzasadnienia dla przyjęcia, że BIK jest uprawniony do przetwarzania danych osobowych pozyskanych w związku z zapytaniem złożonym przez Bank w dniu [...] lutego 2021 r., w związku z koniecznością ewentualnego wypełnienia obowiązku wynikającego z art. 15 RODO. Skoro bowiem skarżąca zażądała usunięcia jej danych osobowych na podstawie art. 17 ust. 1 RODO, należy przyjąć, że nie jest zainteresowana realizacją prawa dostępu do przetwarzanych jej danych osobowych. Ponadto usunięcie przez administratora danych osobowych nie uniemożliwia mu wykonania obowiązku uregulowanego w art. 15 RODO, gwarantującego osobie, której dane dotyczą, prawa do uzyskania od administratora informacji, czy jej dane są przetwarzane, a w przypadku pozytywnej odpowiedzi na tak postawione pytanie - uprawnienie do dostępu do danych na swój temat oraz uzyskania informacji o okolicznościach przetwarzania danych. Jeśli bowiem, administrator nie przetwarza danych dotyczących osoby, która zwraca się z żądaniem udzielenia informacji, to działanie administratora ogranicza się do odpowiedzi przeczącej i nie ma on obowiązku podawać podmiotowi danych innych informacji.

W ocenie organu ochrony danych osobowych w niniejszej sprawie brak jest celu uzasadniającego przetwarzanie danych osobowych G. K. zawartych w przedmiotowym zapytaniu kredytowym zarówno przez Bank, jak i przez BIK. Organ wskazał nadto, że Bank w związku z pozyskaniem danych osobowych skarżącej w celu oceny zdolności kredytowej stał się administratorem tych danych osobowych. Natomiast BIK stał się administratorem danych osobowych G. K. z uwagi na przekazanie tych danych przez Bank. W związku z powyższym Bank oraz BIK są odrębnymi administratorami. Każdy z tych podmiotów przetwarza bowiem dane osobowe wymienionej we własnych celach i samodzielnie ustala sposoby ich przetwarzania. W odniesieniu do kwestionowanego przez wymienioną przetwarzania jej danych osobowych przez Bank i BIK zdaniem organu nie zaistniała żadna przesłanka z wymienionych w art. 6 ust. 1 RODO, która stanowiłaby o legalności tego procesu.

Decyzja Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] marca 2022 r. nr [...] stała się przedmiotem skarg do Wojewódzkiego Sądu Administracyjnego w Warszawie: 1. [...] Bank Polska S.A. z siedzibą w [...], który zaskarżył punkt 1 decyzji (sprawa zarejestrowana została pod sygn. akt II SA/Wa 942/22) oraz 2. Biura Informacji Kredytowej S.A. z siedzibą w [...], które zaskarżyło punkt 2 decyzji (sprawa zarejestrowana została pod sygn. akt II SA/Wa 953/22).

[...] Bank Polska S.A. (zwany dalej też Bankiem, skarżącym), reprezentowany przez radcę prawnego, wnosząc o uchylenie wymienionej decyzji w zakresie jej punktu 1 i zasądzenie zwrotu kosztów postępowania, w tym kosztów zastępstwa procesowego, według norm przepisanych, zarzucił:

1. naruszenie przepisów postępowania, które miało istotny wpływ na wynik sprawy, to jest:

- art. 7 w związku z art. 77 i art. 80 k.p.a. w związku z w zw. z art. 7 ust. 1 ustawy z dnia 10 maja 2018 r. o ochronie danych osobowych, które polegało na niewyczerpującym zebraniu i rozpatrzeniu całego materiału dowodowego i niepodjęciu wszelkich kroków niezbędnych do dokładnego wyjaśnienia stanu faktycznego w załatwieniu sprawy, czego wynikiem był nakaz usunięcia danych osobowych G. K. przez skarżącą w zakresie wskazanym w zaskarżonej decyzji,

- art. 7b k.p.a., które polegało na zaniechaniu zwrócenia się do Komisji Nadzoru Finansowego, jako organu właściwego w sprawach związanych z rynkiem finansowym i jego regulowaniem tj. m.in. z badaniem zdolności kredytowej i analizą ryzyka kredytowego, w tym budową modeli scoringowych w zakresie wykorzystywania do realizacji tych zadań danych, w tym danych osobowych o niezrealizowanych zapytaniach kredytowych,

2. naruszenie prawa materialnego, które miało wpływ na wynik sprawy, to jest:

- art. 6 ust. 1 lit. c RODO w związku z art. 105a ust. 1-1c Prawa bankowego - polegające na jego niewłaściwym zastosowaniu i przyjęciu, że Bank nie legitymuje się przesłanką przetwarzania danych wynikającą z art. 6 ust. 1 lit. c RODO w związku z art. 105a ust. 1-1c Prawa bankowego, podczas gdy Bank wykazuje cel przetwarzania danych osobowych polegający na przetwarzaniu informacji niezbędnych do oceny zdolności kredytowej i analizy ryzyka kredytowego,

- art. 6 ust. 1 lit. c RODO w związku z art. 106d Prawa bankowego - które polegało na jego niewłaściwym zastosowaniu i przyjęciu, że skarżący nie legitymuje się przesłanką przetwarzania danych wynikającą z art. 6 ust. 1 lit. c RODO w związku z art. 106d Prawa bankowego, podczas gdy skarżący wykazuje cel przetwarzania danych osobowych polegający na analizie danych podanych we wniosku kredytowym i analizie zapytań kredytowych złożonych skarżącemu w określonym czasie w celu wykrycia nieścisłości oraz powzięcia informacji mogących stanowić o uzasadnionym podejrzeniu popełnienia przestępstw, o których mowa w art. 106d Prawa bankowego,

- art. 6 ust. 1 lit. c RODO w związku z art. 106d ust. 1 pkt 3 Prawa bankowego, art. 33 ust. 1, art. 33 ust 2, art. 33 ust. 3 pkt 6, art. 34 ust. 1 pkt 4, art. 36, art. 46 oraz art. 49 ust. 1 ustawy AML - polegające na jego niewłaściwym zastosowaniu i przyjęciu, że skarżący nie legitymuje się przesłanką przetwarzania danych wynikającą z art. 6 ust. 1 lit. c RODO w związku z art. 106d ust. 1 pkt 3 Prawa bankowego, art. 33 ust. 1 art. 33 ust 2, art. 33 ust. 3 pkt 6, art. 34 ust. 1 pkt 4, art. 36, art. 46 oraz art. 49 ust. 1 ustawy AML, podczas gdy przepisy te nakładają na banki obowiązek przetwarzania danych osobowych w celu zapewnienia bezpieczeństwa obrotu gospodarczego poprzez przeprowadzenie szczegółowego badania na temat klientów, w tym przyszłych klientów, a także badania powiązań kapitałowo-osobowych, w tym - w zakresie danych dostarczanych przez G. K.,

- art. 6 ust. 1 lit. c RODO w związku z art. 106d ust. 1 pkt 3 Prawa bankowego i art. 35 ust 1 pkt 1, art. 49 ust 1 i 2, art. 34 ust 3 ustawy AML - polegające na niewłaściwym zastosowaniu i przyjęciu, że skarżący nie legitymuje się przesłanką przetwarzania wynikającą z art. 6 ust. 1 lit. c RODO w związku z art. 106d ust. 1 pkt 3 Prawa bankowego i art. 35 ust 1 pkt 1, art. 49 ust 1 i 2, art. 34 ust 3 ustawy AML podczas gdy przepisy te nakładają na banki obowiązek zapewnienia bezpieczeństwa finansowego w przypadku nawiązywania stosunków gospodarczych, co prowadzi w dalszej kolejności do obowiązku przetwarzania danych osobowych przez Bank,

- art. 6 ust. 1 lit. c RODO w związku z art. 144 ust. 1 lit. d, art. 145 ust. 1, art. 170 ust. 3 lit. a, art. 171 ust. 2 i art. 179 ust 1 lit. a rozporządzenia Parlamentu Europejskiego i Rady nr 575/2013 z dnia 26 czerwca 2013 r. w sprawie wymogów ostrożnościowych dla instytucji kredytowych i firm inwestycyjnych, zmieniające rozporządzenie (UE) nr 648/2012 (Dz. Urz. UE L 2013 Nr 176, str. 1 - dalej także jako rozporządzenie nr 575/2013 lub CRR, ) - które polegało na jego niewłaściwym zastosowaniu i przyjęciu, że skarżący nie legitymuje się przesłanką przetwarzania danych wynikającą z art. 6 ust. 1 lit. c RODO w związku z powyższymi przepisami CRR wskazującymi na określone obowiązki w zakresie wymogów ostrożnościowych, podczas gdy przepisy te m. in. nakładają na banki konieczność gromadzenia i przechowywania danych, aby zapewnić skuteczne wsparcie procesów pomiaru ryzyka kredytowego oraz zarządzania ryzykiem kredytowym,

- art. 6 ust. 1 lit. c RODO w związku z art. 70a ust. 1 i 2 Prawa bankowego - które polegało na jego niewłaściwym zastosowaniu i przyjęciu, że skarżąca nie legitymuje się podstawą prawną przetwarzania danych osobowych, podczas gdy przepisy te nakładają na banki obowiązek wyjaśniania decyzji kredytowych, a wyjaśnienie to musi obejmować dane przetwarzane i dostarczane przez osobę której postępowanie wyjaśniające dotyczy,

- art. 6 ust. 1 lit. f RODO w związku z Rekomendacjami S, W i T Komisji Nadzoru Finansowego - które polegało na jego niewłaściwym zastosowaniu i przyjęciu, że Skarżąca nie legitymuje się przesłanką przetwarzania danych wynikającą z art. 6 ust. 1 lit. f RODO w związku z Rekomendacjami S, W i T Komisji Nadzoru Finansowego, podczas gdy przepisy te nakładają na banki, określone wymagania, które następnie podlegają egzekwowaniu przez Komisję Nadzoru Finansowego na podstawie bezwzględnie obowiązujących przepisów prawa,

- art. 6 ust. 1 lit. f RODO w związku z art. 117 § 2 i § 21, art. 118 i art. 119 ustawy z dnia 23 kwietnia 1964 r. - Kodeks cywilny (tekst jednolity Dz. U. z 2020 r., poz.) - polegające na jego niewłaściwym zastosowaniu i przyjęciu, że przechowywanie danych przez okres przedawnienia roszczeń, również w przypadku, gdy ani administrator ani osoba, której dane dotyczą nie zgłosiła jeszcze roszczenia, nie stanowi prawnie uzasadnionego interesu skarżącego Banku, w rozumieniu art. 6 ust. 1 lit. f RODO, podczas gdy przepisy te uprawniają Bank do przetwarzania danych osobowych w celu ustalenia, dochodzenia i ochrony przed roszczeniami.

W uzasadnieniu pełnomocnik rozszerzył argumentację podniesionych zarzutów. Wskazał m.in., że organ pominął w toku rozstrzygania sprawy przez Prezesa UODO potrzebę dokonania wyważenia interesów administratora danych w aspekcie prawa i wolności osoby, której dane dotyczą przy uwzględnieniu celu RODO. Podniósł m.in., że prawnie uzasadnione interesy Banku w postaci realizacji wewnętrznych zasad oceny kredytowej potencjalnych kredytobiorców przeważają nad interesami podmiotu danych osobowych który domaga się usunięcia jego danych po negatywnej ocenie jego zdolności kredytowej. Pełnomocnik wskazał też, że wbrew twierdzeniom PUODO, poprzez złożenie wniosku o przyznanie kredytu nawiązał się pomiędzy Bankiem a wnioskują stosunek zobowiązaniowy, który miał na celu chociażby rozpatrzenie tego konkretnego wniosku kredytowego co daje podstawę do dalszego przetwarzania danych osobowych wnioskującej o kredyt. Pełnomocnik wskazał też m.in., że przepisy ustawy AML nakładają na banki obowiązek przetwarzania danych osobowych w celu zapewnienia bezpieczeństwa obrotu gospodarczego poprzez przeprowadzenie szczegółowego badania na temat klientów, w tym przyszłych klientów, a także badania powiązań kapitałowo-osobowych, w tym w zakresie danych dostarczanych przez Panią G. K. we wniosku kredytowym nawet w sytuacji, gdy nie doszło do przyznania tego kredytu. Ponieważ informacje np. na temat danych podanych na poprzednich wnioskach kredytowych osoby składającej wniosek kredytowy mogą wskazywać na próbę manipulacji mającą na celu pranie pieniędzy lub finansowanie terroryzmu, czy też ukrycie określonych powiązali osobowych, a Bank pozyskuje dane na temat wniosków kredytowych w celu wykluczenia takich prób. Wskazano nadto m.in., że zakwestionowanie prawnie uzasadnionego interesu, jako przesłanki przetwarzania danych przez Bank spowodowałoby daleko idące negatywne skutki dla Banku, a nawet dla rynku finansowego, w tym doprowadziłoby niewątpliwie do zakwestionowania sensu Rekomendacji KNF. Tak więc, przetwarzanie danych pochodzących z wniosków i zapytań kredytowych przez sektor bankowy jest niezbędne, aby w praktyce wykonać zalecenia KNF, co powoduje w konsekwencji, że przetwarzanie tych danych na podstawie wskazanych rekomendacji powinno zostać uznane za prawnie uzasadniony interes administratora.

Prezes Urzędu Ochrony Danych Osobowych w odpowiedzi na skargę Banku wniósł o jej oddalenie, podtrzymując stanowisko zaprezentowane w zaskarżonej decyzji. Odniósł się do zarzutów skargi Banku wskazując na ich niezasadność.

Biuro Informacji Kredytowej S.A., zwane dalej BIK, skarżącym, reprezentowane przez adwokata, zaskarżając punkt 2 decyzji wniosło o jej uchylenie w tym zakresie oraz zasądzenie zwrotu kosztów postępowania, w tym kosztów zastępstwa procesowego według norm przepisanych ( w tym zwrotu opłaty skarbowej od pełnomocnictwa w kwocie 17 zł). Pełnomocnik zarzucił:

1. naruszenie prawa materialnego, tj.:

- art. 6 ust. 1 lit. c) RODO w zw. z art. 105 ust. 1 pkt. 1c w zw. z art. 105 ust. 4 i w zw. z art. 105a w zw. z art. 70 i art. 5 ust. 1 pkt. 3 Prawa bankowego poprzez jego niewłaściwe zastosowanie i w konsekwencji nieuzasadnione przyjęcie, że BIK nie posiada ww. podstawy prawnej do przetwarzania danych zawartych we wniosku kredytowym w przypadku nie zawarcia umowy kredytowej, podczas gdy BIK jest ustawowo zobowiązany do realizacji obowiązku prawnego wynikającego z ww. przepisów polegającego na gromadzeniu, przetwarzaniu i udostępnianiu bankom oraz podmiotom szczegółowo wskazanym w przepisie informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych w postaci oceny zdolności kredytowej oraz analizy ryzyka kredytowego konkretnego klienta (indywidualna ocena zdolności kredytowej) oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013;

ewentualnie, na wypadek nieuwzględnienia ww. zarzutu, zarzucił naruszenie art. 6 ust. 1 lit. f RODO poprzez jego niewłaściwą wykładnię i w konsekwencji niezastosowanie wskutek przyjęcia, że BIK nie posiada podstawy prawnej przetwarzania danych G. K. opartej na prawnie uzasadnionym interesie administratora oraz podmiotów trzecich wskazanych w art. 105 ust. 4 pkt. 1-5 Prawa bankowego, w postaci realizacji obowiązku gromadzenia, przetwarzania oraz udostępnienia bankom oraz podmiotom wskazanym w ww. przepisie informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych w postaci oceny zdolności kredytowej oraz analizy ryzyka kredytowego konkretnego klienta (indywidualna ocena zdolności kredytowej) oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013;

- art. 6 ust. 1 lit. c RODO w zw. z art. 70a w zw. z art. 105 ust. 4 pkt. 1 i 2 oraz w zw. z art. 105a Prawa bankowego poprzez jego niezastosowanie wskutek uznania, że BIK nie posiada podstawy prawnej do przetwarzania danych G. K. w sytuacji nie zawarcia umowy kredytowej, podczas gdy BIK posiada podstawę prawną przetwarzania z uwagi na niezbędność przetwarzania do wykonania obowiązku prawnego przez banki i BIK, w postaci obowiązku przekazania osobie ubiegającej się o kredyt w formie pisemnej na jego wniosek wyjaśnień dotyczących dokonanej oceny zdolności kredytowej wnioskującego;

- art. 6 ust. 1 lit. e RODO poprzez jego niezastosowanie wskutek uznania, że BIK nie posiada podstawy prawnej do przetwarzania danych uczestniczki w sytuacji nie zawarcia umowy kredytowej, podczas gdy BIK posiada podstawę prawną przetwarzania z uwagi na niezbędność przetwarzania dla realizacji zadania w interesie publicznym przez banki i BIK w postaci zabezpieczenia ekonomiczno-gospodarczego sektora bankowego, w tym depozytariuszy i zapewnienia stabilności ekonomiczno- gospodarczej sektora bankowego, a w ujęciu makro zapobieganiu kryzysom gospodarczym;

- art. 6 ust. 1 lit. f RODO poprzez jego niewłaściwe zastosowanie i w konsekwencji nieuzasadnione przyjęcie, że prawnie uzasadniony interes administratora danych nie może opierać się na przesłance ewentualnego zabezpieczenia roszczeń, podczas gdy istotą uzasadnionego interesu prawnego administratora jest możliwość przetwarzania danych przez okres przedawnienia roszczeń na wypadek konieczności obrony lub dochodzenia ewentualnych roszczeń, które mogą się pojawić w określonym czasie po przeprowadzeniu stosownej analizy zdolności kredytowej oraz analizie ryzyka kredytowego, które to Skarżący zobowiązany jest gromadzić, przetwarzać i udostępniać bankom dla realizacji celów ustawowych badania zdolności kredytowej;

- art. 6 ust. 1 lit. f RODO poprzez błędne uznanie, że wskutek braku zawarcia umowy kredytowej, BIK nie posiada prawnie uzasadnionego interesu w przetwarzaniu danych G. K., podczas gdy istnieje prawnie uzasadniony interes BIK w przetwarzaniu tych informacji pomimo nie zawarcia umowy kredytowej, polegający na realizacji działań z zakresu opracowania, utrzymania aktualności i funkcjonalności zbudowanych modeli scoringowych w zgodzie z treścią Rekomendacji W, S i T Komisji Nadzoru Finansowego w zakresie dobrych praktyk i zarządzania ryzykiem kredytowym;

- art. 6 ust. 1 lit. f RODO poprzez jego niezastosowanie wskutek uznania, że BIK nie posiada podstawy prawnej do przetwarzania danych G. K., podczas gdy BIK posiada podstawę prawną przetwarzania z uwagi na konieczność zapewnienia rozliczalności działań Skarżącego jako administratora danych osobowych na zasadzie art. 5 ust. 2 RODO w postaci wykazania przestrzegania przepisów dotyczących jakości danych,

2. naruszenie przepisów postępowania, które miało istotny wpływ na wynik sprawy, tj.:

- art. 7 w związku z art. 77 i art. 80 k.p.a. poprzez niewyczerpujące zebranie, nierozpatrzenie i błędną ocenę całokształtu materiału dowodowego przejawiającego się w zaniechaniu dokonania wyczerpującej analizy charakteru, zakresu oraz celów gospodarczo - ekonomicznych dla jakich zostało powołane Biuro Informacji Kredytowej S.A. oraz obowiązków prawnych i obowiązków wynikających z zawartych przez BIK umów z bankami, skutkującą wadliwą i niepełną oceną stanu faktycznego sprawy oraz charakteru działania skarżącego, co w konsekwencji skutkowało nieuzasadnionym wydaniem przez organ nakazu usunięcia danych osobowych G. K.;

- art. 7b k.p.a. w zw. z art. 7 k.p.a. w zw. z art. 77 k.p.a. w zw. z art. 7 UODO poprzez niedokładne wyjaśnienie stanu faktycznego i prawnego koniecznego do podjęcia przez organ stosownych czynności, a w szczególności niezwrócenie się do Komisji Nadzoru Finansowego w celu kompleksowego wyjaśniania stanu faktycznego sprawy oraz współdziałania w zakresie niezbędnym do dokładnego wyjaśnienia stanu prawnego, mając na względzie interes społeczny i słuszny interes obywateli w postaci ustalenia należytych zasad, celów i zakresu przetwarzania danych osobowych o niezrealizowanych zapytaniach kredytowych tak, by procesy przetwarzania danych czyniły zadość zarówno przepisom prawa o ochronie danych osobowych, jak i przepisom szeroko pojętego prawa bankowego, w szczególności dla zapewnienia ochrony wartości, których gwarancje ochrony wynikają z ww. przepisów zgodnie z zasadą proporcjonalności;

- art. 7 k.p.a., art. 77§ 1 k.p.a. i art. 80 k.p.a. poprzez zaniechanie dokonania oceny Rekomendacji S, W i T Komisji Nadzoru Finansowego jako organu właściwego do sprawowania nadzoru nad instytucjami krajowymi w rozumieniu przepisów UE (regulatora rynku finansowego), które to regulacje nakładają na banki, a w konsekwencji na BIK, jako instytucję gromadzącą dane służące do oceny zdolności kredytowej oraz budującą modele scoringowe służące bankom, określone wymagania, które podlegają nadzorowi i egzekwowaniu przez Komisję Nadzoru Finansowego na podstawie bezwzględnie obowiązujących przepisów prawa, co w konsekwencji doprowadziło do zaniechania przez organ oceny podstaw prawnych i celów dla jakich BIK oraz banki są upoważnione do przetwarzania danych w zakresie zdolności kredytowej również w przypadku nie zawarcia umowy kredytowej dla zabezpieczenia interesów banków oraz stabilności rynku gospodarczo-finansowego,

- art. 7 k.p.a., art. 77 k.p.a. w zw. z art. 80 k.p.a. poprzez zaniechanie wyczerpującego zebrania i rozpatrzenia materiału dowodowego, a w szczególności przejawiającego się brakiem analizy podstawowych zasad funkcjonowania stabilnego sektora finansowego w tym pod kątem istnienia - po stronie banków, a w konsekwencji BIK jako instytucji gromadzącej dane służące do oceny zdolności kredytowej oraz budującej modele scoringowe służące bankom - oczywistego interesu prawnego przejawiającego się w odmowie udzielenia kredytu wynikającego z braku istnienia zdolności kredytowej po stronie G. K., co prowadzi do zabezpieczenia interesu banków przed nieodpowiedzialną polityką udzielania kredytów osobom, które nie mają szans na ich spłacenie oraz do zapewnienia stabilności gospodarczo-ekonomicznej sektora bankowego, a w ujęciu makro zapobieganiu kryzysom gospodarczym,

- art. 7 k.p.a., art. 77 k.p.a. w zw. z art. 80 k.p.a. poprzez niezbadanie przez organ wszystkich podstaw prawnych dalszego przetwarzania danych o zapytaniach kredytowych, w sytuacji nieudzielenia kredytu, pomimo, iż przepisy prawa upoważniają skarżącego do przetwarzania tych danych, co w konsekwencji doprowadziło do błędnego nakazania BIK usunięcia danych osobowych wobec błędnego przyjęcia przez organ braku istnienia podstawy prawnej do przetwarzania danych;

- art. 8 § 1 i § 2 k.p.a. poprzez odstąpienie przez organ od utrwalonej praktyki rozstrzygania spraw w takim samym stanie faktycznym i prawnym, co z kolei narusza zasadę pogłębiania zaufania obywateli do władzy publicznej.

W uzasadnieniu pełnomocnik rozszerzył argumentację podniesionych zarzutów skargi. Powołując się na art. 105 ust. 4 pkt 1 w zw. z art. 105 ust. 1 Prawa Bankowego wskazał m.in., że BIK jest ex lege zobligowany do przetwarzania informacji stanowiących tajemnicę bankową, w tym danych osobowych m.in. w zakresie, w jakim przepisy wymagają od Skarżącego stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013 lub współuczestniczenia w stosowaniu tych metod i modeli przez inne jednostki sektora bankowego, w zakresie w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych.

Pełnomocnik podniósł też m.in., że dla dokonania oceny zdolności kredytowej stosuje się metody ratingu ryzyka, tzw. metody scoringowe. Modele te pozwalają na skuteczne zabezpieczenie sektora finansowego, w szczególności banków, a w ujęciu makroekonomicznym całej gospodarki przed udzielaniem kredytów osobom, które nie mają szans na ich spłatę, ergo stosowanie poprawnie działających modeli scoringowych przeciwdziała nieodpowiedzialnej polityce udzielania kredytów. Brak ostrożności w zakresie udzielania finansowania podmiotom niewypłacalnym, w tym wynikający z braku odpowiednio dokładnej weryfikacji zdolności do spłaty zobowiązania przez podmiot otrzymujący finansowanie, był przyczyną wielu głębokich nowożytnych kryzysów gospodarczych, w tym kryzysu gospodarczego w Stanach Zjednoczonych w latach 2007-2009. Pełnomocnik podniósł, że nie sposób zgodzić się ze stanowiskiem Prezesa UODO, że brak zawarcia umowy kredytowej wynikający z negatywnej oceny zdolności indywidualnego ryzyka kredytowego powoduje automatyczne odpadnięcie przesłanki legitymującej BIK do przetwarzania danych osobowych. Każda informacja, zarówno pozytywna jak i negatywna, jest istotna dla funkcjonalnego opisania rzeczywistości i realiów gospodarczych, w których funkcjonuje sektor bankowy. Pełnomocnik stwierdził, że wypełnienie nakazu PUODO w postaci usunięcia danych osobowych G. K. w zakresie zapytania kredytowego z dnia [...] lutego 2021 r. przekazanego przez Bank prowadziłoby zdaniem skarżącego do rażącego naruszenia prawa powszechnie obowiązującego, zatem w swojej istocie jest niewykonalne. Podniesiono m.in., że poprawnie funkcjonujące, odpowiadające rzeczywistości i kompletne modele scoringowe stanowią skuteczne zabezpieczenie sektora finansowego, w szczególności banków i sektora bankowego, a w ujęciu makroekonomicznym całej gospodarki, przed udzielaniem kredytów osobom, które nie mają szans na ich spłatę. Sektor bankowy pełni bardzo ważną rolę w zapewnieniu stabilności gospodarczej państwa. Nieodpowiedzialna polityka finansowania powoduje mniej lub bardziej istotne zachwiania stabilności gospodarczej, co prowadzi do trudnych i długotrwałych kryzysów, skutkując realnym zagrożeniem lub szkodą na dobrobycie każdego z nas (zob. A. Dobrzańska, E. Kosycarz, B. Pietrzak [w:] A. Alińska, K. Wasiak (red.). Mechanizmy stabilności systemu finansowego, C.H. Beck 2017, str. 20). Skarżący wskazał też na konieczność zapewnienia stabilności ekonomiczno-gospodarczej poprzez skuteczne zabezpieczenie sektora finansowego, w szczególności banków i sektora bankowego, a w ujęciu makroekonomicznym całej gospodarki, przed skutkami nieodpowiedzialnej polityki udzielania kredytów osobom, które nie mają szans na ich spłatę (powołał się na art. 6 ust. 1 lit. e RODO). Zarzucono też m.in., że PUODO nie podjął konsultacji z KNF celem ustalenia, jakie dane, w jakim zakresie i przez jaki czas muszą być przetwarzane przez BIK w związku z realizacją przez BIK zadań w charakterze instytucji sektora bankowego. Pełnomocnik uzasadniając zarzut naruszenia art. 8 k.p.a. wskazał, że organ nie wziął pod uwagę utrwalonej praktyki rozstrzygania spraw w takim samym stanie faktycznym i prawnym. Wskazano na wyrok WSA z dnia 29 października 2021 r. sygn. akt. II SA/Wa 506/21 i wyrok WSA z dnia 28 września 2021 r. sygn. akt II SA/Wa 474/21).

Prezes Urzędu Ochrony Danych Osobowych w odpowiedzi na skargę BIK wniósł o jej oddalenie, podtrzymując stanowisko zawarte w zaskarżonej decyzji. Organ odniósł się do zarzutów skargi wskazując na ich niezasadność.

Pełnomocnik BIK w piśmie procesowym z dnia [...] września 2022 r., stanowiącym replikę na odpowiedź na skargę, podtrzymał w całości skargę BIK i prezentowane w niej stanowisko. Odniósł się do twierdzeń organu zawartych w odpowiedzi na skargę. Podniósł m.in., że odpowiedź organu na skargę BIK nie zawiera żadnego merytorycznego odniesienia się do zarzutów naruszenia art. 7, art. 7b, art. 77, art. 80 k.p.a. Nie sposób zgodzić się z twierdzeniem PUODO jakoby wyczerpująco zebrał i rozpatrzył materiał dowodowy. Podniesiono przy tym, że treść skargi do PUODO nie może determinować kierunku podejmowania decyzji procesowej przez organ administracji publicznej. Pełnomocnik zakwestionował argumentację organu wyrażoną w odpowiedzi na skargę, w odniesieniu do poszczególnych zarzutów swojej skargi. Raz jeszcze podkreślił, że nie sposób zgodzić się ze stanowiskiem PUODO, że brak zawarcia umowy kredytowej wynikający z negatywnej oceny zdolności indywidualnego ryzyka kredytowego powoduje automatyczne odpadnięcie przesłanki legitymującej BIK do przetwarzania danych osobowych. Każda informacja, zarówno pozytywna jak i negatywna, jest istotna dla funkcjonalnego opisania rzeczywistości i realiów gospodarczych, w których funkcjonuje sektor bankowy.

Wojewódzki Sąd Administracyjny w Warszawie na rozprawie w dniu 13 stycznia 2013 r. połączył sprawę ze skargi Banku i BIK do łącznego rozpoznania i rozstrzygnięcia oraz prowadzenia pod sygn. akt II SA/Wa 942/22.

Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje.

Skargi Banku i BIK nie podlegały uwzględnieniu. Zaskarżona decyzja Prezesa UODO z dnia [...] marca 2022 r. w całości, a zatem zarówno w części dotyczącej rozstrzygnięcia zawartego w punkcie 1 jak i 2, nie narusza prawa. Organ podjął w tej sprawie decyzję po dokonaniu pełnych ustaleń stanu faktycznego niezbędnych do jej rozstrzygnięcia. Sprawa niniejsza prawidłowo rozpatrzona i rozstrzygnięta została na podstawie RODO.

W sprawie jest bezsporne, że przetwarzanie danych osobowych G. K. przez Bank i BIK miało miejsce w czasie obowiązywania RODO, tj. w 2021 r. Wymieniona złożyła do Banku wniosek kredytowy w dniu [...] lutego 2021 r., co jest bezsporne. Bank wskazał w toku postępowania, że pozyskał w ten sposób i przetwarza dane wymienionej w zakresie: imię, nazwisko, nazwisko panieńskie matki, data urodzenia, miejsce urodzenia, adres zameldowania i adres zamieszkania, nr PESEL, obywatelstwo, nr telefonu, numer i serię dowodu osobistego, wizerunek, stanowisko, osiągany dochód, adres miejsca pracy. Niesporny jest też ustalony cel pozyskania danych wymienionej, tj. ocena zdolności kredytowej i ryzyka kredytowego. Cele dalszego przetwarzania przez Bank danych osobowych wymienionej wyżej osoby, z którą Bank nie zawarł umowy, w zakresie zapytania kredytowego, organ przedstawił w ustaleniach faktycznych decyzji, opartych na wyjaśnieniach Banku, które to ustalenia są bezsporne. Wskazać należy, że obejmują one takie cele jak: realizację prawa do wyjaśnienia oceny zdolności kredytowej, wykonywanie obowiązków związanych z przeciwdziałaniem praniu pieniędzy i finansowaniu terroryzmu, przeciwdziałanie popełnianiu innych przestępstw, w tym przestępstw na szkodę banków w zakresie obowiązku stosowania środków bezpieczeństwa finansowego, gromadzenia i przekazywania odpowiednim instytucjom informacji przewidzianych przez ustawę lub blokowania określonych transakcji, ocena ryzyka kredytowego, w tym ocena globalnego ryzyka kredytowego, realizacja wymogów ostrożnościowych na podstawie właściwych przepisów rozporządzenia nr 575/2013. Bank wskazał, co organ ustalił na podstawie jego wyjaśnień, że tak pozyskane dane osobowe wymienionej w związku z zapytaniem kredytowym nie zakończonym udzieleniem kredytu, będzie przetwarzał przez 2 lata.

W sprawie jest także bezsporne, że BIK pozyskał dane osobowe G. K. w zakresie zapytania kredytowego z dnia [...] lutego 2021 r. od Banku, na podstawie art. 105 ust. 4, art. 105a ust. 1 Prawa Bankowego oraz umowy zawartej między BIK i Bank.

Cele natomiast przetwarzania przez BIK danych G. K. pozyskanych od Banku w zakresie zapytania kredytowego zostały wskazane przez organ w ustaleniach faktycznych decyzji, na podstawie wyjaśnień uzyskanych od BIK i obejmują takie cele jak: ocena zdolności kredytowej i analizy ryzyka kredytowego (indywidualna ocena zdolności kredytowej), w tym zakresie BIK przyjął, że tak pozyskane dane wymienionej będzie przetwarzał okres 12 lat od dnia złożenia zapytania kredytowego; przeciwdziałanie przestępstwom oraz wykonywanie obowiązków w zakresie określonym w przepisach o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu; przetwarzanie w celu budowania modeli scoringowych i analizy ryzyka kredytowego przez przyjęty przez BIK okres nie krócej niż 5 lat i nie dłużej niż 10 lat od dnia złożenia zapytania kredytowego; cele statystyczne i analizy (mające na celu dostarczenie bankom analiz m.in. pozwalających ocenić jakość polityki kredytowej na tle rynku) przez okres nie dłuższy niż – jak wskazano 10 lat od dnia złożenia zapytania (BIK wskazał, że termin ten odpowiada cyklowi koniunkturalnemu dla Polski – wyjaśnienia BIK z [...] lipca 2021 r.– karta 33 akt adm.); jako cel przetwarzania danych osobowych G. K. BIK wskazał też ewentualne reklamacje i roszczenia odszkodowawcze. BIK określił, że przetwarzanie danych osobowych uczestniczki postępowania w tym celu będzie trwało do momentu przedawnienia potencjalnych roszczeń wynikających z zapytania; oraz jako cel przetwarzania wskazano także konieczność wypełnienia ustawowego obowiązku wynikającego z art. 15 RODO w przypadku wystąpienia przez osobę, której dane dotyczą z wnioskiem o udzielenie informacji. Z wyjaśnień BIK z dnia [...] lipca 2021 r. (karta 31 akt adm.) wynika też, że BIK – w związku z zobowiązaniem wynikającym z umów między BIK a bankami – zobowiązany jest do przetwarzania danych przesyłanych przez banki we wsadach informacyjnych i zapytaniach, w tym także udostępniania tych danych bankom, czy podmiotom uprawnionym (w celach określonych w umowie zawartej między BIK a bankami oraz ustawie Prawo bankowe) przez okres nie dłuższy niż 2 lata od dnia otrzymania zapytania. Okres ten został uwzględniony przez BIK i banki. Jednakże, jak wskazano, BIK mając na uwadze treść art. 5 RODO w szczególności ust. 1 lit. e przyjął maksymalny okres przetwarzania danych osobowych klientów przekazanych przez banki w zapytaniach kredytowych ustalając okres przetwarzania na 12 miesięcy. Podkreślono przy tym, że ewentualne skrócenie tego terminu (czy wręcz nieuwzględnienie zapytań kredytowych, które nie zakończyły się zawarciem umowy kredytowej) może spowodować zaburzenia w stabilności systemu bankowego i doprowadzić do nieodwracalnych zmian w polityce kredytowej banków i innych instytucji finansowych. Jako jeden z celów przetwarzania danych uczestniczki wymieniono też przeciwdziałanie przestępstwom oraz wykonywanie obowiązków w zakresie określonym w przepisach ustawy AML. Z wyjaśnień BIK wynika też, że uczestniczka nie wystąpiła do BIK z odrębnym żądaniem usunięcia jej danych osobowych zawartych w zapytaniu kredytowym, a wystosowała je w żądaniu złożonym w Banku. W sprawie jest bezsporne również, że G. K. nie wystąpiła do BIK z żadnym żądaniem opartym o art. 15 RODO prawo do uzyskania potwierdzenia przetwarzania i dostępu do danych (ustalenie dokonane na podstawie wyjaśnień BIK). Jest też bezsporne, że wymieniona nie wystąpiła do BIK z żadnym roszczeniem, także BIK nie wystąpił do G. K. z żadnym roszczeniem i nie zamierza występować z takim roszczeniem, co wynika z wyjaśnień BIK złożonych w postępowaniu administracyjnym. W sprawie jest też bezsporne, że uczestniczka postępowania 1 marca 2021 r., a zatem 2 tygodnie po złożeniu wniosku kredytowego "indywidualnego" zażądała pismem skierowanym do Banku zaprzestania przetwarzania jej danych osobowych w związku z zapytaniem kredytowym, nieudostępniania ich BIK, zażądała ich usunięcia z BIK, co nie zostało uwzględnione. Bank poinformował wymienioną [...] marca 2021 r. (karta-28 akt adm.), że w nawiązaniu do jej żądania wycofania zapytań kredytowych nie może zrealizować prośby. Wskazano m.in. na art. 17 ust. 1 lit.b RODO. Podniesiono też m.in., że przetwarzanie danych osobowych pochodzących z zapytań kredytowych (w tym niezrealizowanych zapytań kredytowych, tj. takich, które nie zakończyły się udzieleniem kredytu) jest jednak celowe, jeśli wziąć pod uwagę realizację obowiązku prawnego spoczywającego na Banku (art. 6 ust. 1 lit.c RODO), co jak wskazano potwierdzają decyzje wydane przez Prezesa UODO, jak również prawnie uzasadniony interes Banku (art. 6 ust. 1 lit. f RODO). Wskazano też na przepisy Prawa bankowego i ustawy AML.

W skardze do Prezesa UODO G. K. podkreśliła, że w Banku nie posiada żadnego zobowiązania (w tym kredytowego), nie posiada w Banku rachunku osobistego ani innych produktów bankowych.

Dokonując oceny zgodności z prawem zaskarżonej decyzji w zakresie punktu 1 i 2, którą Prezes UODO nakazał Bankowi i BIK usunięcie danych osobowych G. K. w zakresie zapytania kredytowego z [...] lutego 2021 r. niezakończonego udzieleniem kredytu, wskazać na wstępie należy, że zgodnie z motywem 40 RODO, aby przetwarzanie danych było zgodne z prawem, powinno się odbywać na podstawie zgody osoby, której dane dotyczą, lub na innej uzasadnionej podstawie przewidzianej prawem: albo w niniejszym rozporządzeniu, albo w innym akcie prawnym Unii lub w prawie państwa członkowskiego, o których mowa w niniejszym rozporządzeniu, w tym musi się ono odbywać z poszanowaniem obowiązku prawnego, któremu podlega administrator, lub z poszanowaniem umowy, której stroną jest osoba, której dane dotyczą, lub w celu podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy.

Powyższe znalazło wyraz w art. 6 ust. 1 RODO określającym przesłanki legalności przetwarzania danych osobowych. Zgodnie z tym przepisem, przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy - i w takim zakresie, w jakim - spełniony jest co najmniej jeden z poniższych warunków: a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów; b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy; c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze; d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej; e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi; f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Akapit pierwszy lit. f) nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań.

Zgodnie z art. 105a ust. 1 Prawa bankowego, przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów, instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, a także instytucje utworzone na podstawie art. 105 ust. 4, informacji stanowiących tajemnicę bankową i informacji udostępnionych przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem art. 104, art. 105 i art. 106-106d, w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Zgodnie zaś z art. 105a ust. 4 Prawa bankowego, banki oraz instytucje, o których mowa w art. 105 ust. 4, mogą przetwarzać stanowiące tajemnicę bankową informacje dotyczące osoby fizycznej po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której informacje dotyczą, do celów stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013. Jednocześnie zgodnie z art. 105a ust. 5 Prawa bankowego, przetwarzanie informacji stanowiących tajemnicę bankową w przypadkach, o których mowa w ust. 3, może być wykonywane przez okres nie dłuższy niż 5 lat od dnia wygaśnięcia zobowiązania, a w przypadku, o którym mowa w ust. 4, przez okres 12 lat od dnia wygaśnięcia zobowiązania. Zgodnie z art. 70 ust. 1 Prawa bankowego, bank uzależnia przyznanie kredytu od zdolności kredytowej kredytobiorcy. Przez zdolność kredytową rozumie się zdolność do spłaty zaciągniętego kredytu wraz z odsetkami w terminach określonych w umowie. Kredytobiorca jest obowiązany przedłożyć na żądanie banku dokumenty i informacje niezbędne do dokonania oceny tej zdolności.

Nie ma w świetle powyższego wątpliwości i nie było kwestionowane przez Prezesa UODO, że Bank oraz BIK, na podstawie art. 105a ust. 1 Prawa bankowego w zw. z art. 70 ust. 1 tej ustawy, były uprawnione do przetwarzania danych osobowych G. K. w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Pogląd ten podziela Sąd rozpoznający niniejszą sprawę.

Zwrócić trzeba uwagę, że zgodnie z art. 105a ust. 2 Prawa bankowego, z zastrzeżeniem ust. 3, instytucje, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową oraz informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, w zakresie dotyczącym osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, pod warunkiem uzyskania pisemnej zgody osoby, której informacje te dotyczą, z zastrzeżeniem ust. 2a. Zgoda ta może być w każdym czasie odwołana. Ust. 3 stanowi, że Banki, instytucje oraz podmioty, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową i informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank, inną instytucję ustawowo upoważnioną do udzielania kredytów, instytucję pożyczkową albo podmiot, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, o zamiarze przetwarzania dotyczących jej tych informacji, bez jej zgody. Kolejne przepisy wskazują, jak podniesiono to już wyżej, że banki oraz instytucje, o których mowa w art. 105 ust. 4, mogą przetwarzać stanowiące tajemnicę bankową informacje dotyczące osoby fizycznej po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której informacje dotyczą, do celów stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013 (ust. 4). Przetwarzanie informacji stanowiących tajemnicę bankową w przypadkach, o których mowa w ust. 3, może być wykonywane przez okres nie dłuższy niż 5 lat od dnia wygaśnięcia zobowiązania, a w przypadku, o którym mowa w ust. 4, przez okres 12 lat od dnia wygaśnięcia zobowiązania (ust. 5). Zakres przetwarzanych informacji, o których mowa w ust. 3 i 4, może obejmować dane dotyczące osoby fizycznej lub dane dotyczące zobowiązania (ust. 6).

Podkreślenia jednak wymaga, że w sprawie tej nie doszło do zawarcia umowy kredytowej pomiędzy wymienioną a Bankiem. Wymieniona po 2 tygodniach od złożenia wniosku o kredyt wniosła o zaprzestanie przetwarzania jej danych i ich usunięcie.

Zgodzić należało się w związku z powyższym z Prezesem UODO, że odpadła przesłanka legalizująca dalsze przetwarzanie danych osobowych G. K. przez Bank oraz BIK, które to przetwarzanie miało na celu – co wymaga podkreślenia – ocenę zdolności kredytowej i analizę ryzyka kredytowego (przed zawarciem umowy). Pomiędzy Bankiem a wymienioną osobą fizyczną nie zawiązał się żaden stosunek zobowiązaniowy, który stosownie do art. 105a ust. 1 -6 Prawa bankowego dawałby podstawę do dalszego przetwarzania jej danych osobowych zarówno przez Bank jak i BIK. Ustał cel przetwarzania, dla którego pozyskano dane osobowe G. K. i nie ma spełnionej przesłanki ich dalszego przetwarzania, co trafnie stwierdził organ powołany do spraw ochrony danych osobowych.

Z przedstawionych wyżej przepisów wynika, że przesłanki zawarte w art. 105a Prawa bankowego dotyczą przetwarzania informacji objętych tajemnicą bankową w okresie przed powstaniem zobowiązania, w trakcie jego trwania oraz po wygaśnięciu zobowiązania. Natomiast w sytuacji, gdy w następstwie złożenia wniosku kredytowego nie dochodzi do zawarcia umowy kredytowej z Bankiem, jak miało to miejsce w niniejszej sprawie, brak jest ustawowych przesłanek legalizujących dalsze przetwarzanie danych osobowych G. K. w zakresie zapytania kredytowego przez Bank i BIK.

Nie zachodzi przy tym żadna inna przesłanka dopuszczalności przetwarzania przez Bank i BIK danych wymienionej osoby zawartych w zapytaniu kredytowym.

Nie może budzić wątpliwości, że ocena zdolności kredytowej i ryzyka kredytowego ma charakter czynności wstępnych przed zawarciem umowy przez bank. Dalsze przetwarzanie danych, uzyskanych pierwotnie wyłącznie w celu oceny zdolności kredytowej i analizy ryzyka kredytowego, w przypadku braku zawarcia stosownej umowy, pozostaje w oderwaniu od celu, dla którego dane zostały zebrane. Na gruncie RODO niedopuszczalne jest – w takim stanie faktycznym, jak w niniejszej sprawie, gdy nie zawarto umowy kredytowej – przetwarzanie danych osobowych G. K. "na przyszłość" w zupełnie innych celach niż je zebrano, w tym na potrzeby oceny zdolności kredytowej innych innych podmiotów, w sytuacji, gdy nie można zrekonstruować wyraźnej podstawy prawnej takich działań.

W sprawie nie mamy do czynienia z sytuacją, w której nawiązano stosunek zobowiązaniowy i następnie dane przetwarzane są (w tym także udostępniane) przez administratora nie tylko w celu zasadniczym, tj. realizacji zawartej z klientem umowy,

ale także w innych celach, które powstały w trakcie trwania stosunku zobowiązaniowego i które w ocenie administratora winny być, czy mogą być – w związku z trwającym stosunkiem prawnym - kwalifikowane jako jego "prawnie uzasadnione interesy" na gruncie RODO (art. 6 ust. 1 lit.f RODO). Przypadek taki nie zachodzi w niniejszej sprawie.

Sprawa niniejsza dotyczy – co wymaga raz jeszcze podkreślenia - przetwarzania danych osoby fizycznej, z którą Bank nie zawarł żadnej umowy, ustał przy tym cel przetwarzania jej danych osobowych wynikający z art. 105a ust. 1 w zw. z art. 70 ust. 1 Prawa bankowego, osoba ta wniosła o zaprzestanie przetwarzania danych i ich usunięcie. Przesłanki do dalszego przetwarzania danych osobowych wymienionej (na przyszłość i w innych wskazywanych obecnie przez Bank i BIK celach) nie stanowi w tej sprawie, w jej okolicznościach faktycznych, ani dla Banku ani dla BIK żadna z przesłanek z art. 6 ust. 1 lit.a -f RODO (czyli nie jest to ani zgoda, ani przetwarzanie niezbędne do wykonania umowy lub działań przed zawarciem umowy, ani wypełnienie obowiązku prawnego ciążącego na administratorze, ani niezbędność dla ochrony żywotnych interesów osoby fizycznej lub innej osoby, ani wykonanie zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej, ani niezbędność do celów wynikających z prawnie uzasadnionych interesów). Nie można się przy tym zgodzić z BIK, że organ naruszył m.in. również art. 6 ust. 1 lit.e RODO, albowiem wbrew twierdzeniom skargi w sprawie tej nie mamy do czynienia z przetwarzaniem przez BIK i Bank jako spółki prawa handlowego danych osobowych (osoby z którą Bank nie zawarł umowy) w ramach zadania realizowanego w interesie publicznym, o czym jest mowa w art. 6 ust. 1 lit.e RODO. Przetwarzanie danych osobowych przez Bank i BIK, jako spółki prawa handlowego nie ma miejsca na podstawie art. 6 ust. 1 lit e RODO, niezależnie od wyznaczanych sobie przez te podmioty celów. Także określenie jako przedmiotu działalności "przetwarzanie danych" wymaga dla tego przetwarzania legalnej podstawy. Powołanie się na konieczność zabezpieczenia ekonomiczno-gospodarczego sektora bankowego, zapewnienie stabilności gospodarczej sektora bankowego jako uzasadnienie interesu publicznego, o którym mowa w art. 6 ust. 1 lit.e, w odniesieniu do przetwarzania danych zawartych w zapytaniu kredytowym osoby, z którą bank nie zawarł umowy nie jest trafne. Ustaleń Sądu w tym zakresie nie zmienia analiza treści znajdującej się w aktach administracyjnych umowy zawartej między wskazanymi spółkami prawa handlowego, jak i Regulaminu.

Ustalenie Prezesa UODO w zakresie braku dopuszczalności przetwarzania danych G. K. w zakresie zapytania kredytowego wskazanego w decyzji jest prawidłowe. Nakaz zawarty zarówno w punkcie 1 jak i 2 decyzji jest przy tym jasny, nie ma wątpliwości co do jego zakresu i jest wykonalny.

Za nieuzasadnione Sąd uznał wszystkie zarzuty podniesione przez Bank i BIK w złożonych w tej sprawie skargach. W ocenie Sądu organ zasadnie nakazał w punkcie 1 decyzji Bankowi, a w punkcie 2 decyzji BIK usunięcie danych osobowych G. K. w zakresie zapytania kredytowego z [...] lutego 2021 r. niezakończonego udzieleniem kredytu.

Nietrafny, w świetle poczynionych wyżej ustaleń i rozważań, jest zarzut Banku naruszenia art. 6 ust. 1 lit. c RODO w zw. z art. 105a ust. 1-1c Prawa bankowego, jak również zarzut BIK dotyczący naruszenia art. 6 ust. 1 lit. c (ewentualnie art. 6 ust. 1 lit.f) RODO w zw. z art. 105 ust. 1 pkt. 1c w zw. z art. 105 ust. 4 i w zw. z art. 105a w zw. z art. 70 i art. 5 ust. 1 pkt. 3 Prawa bankowego. Podkreślenia wymaga przy tym, że Prezes UODO nie kwestionował, że udzielanie kredytów jest czynnością bankową. Warto zwrócić przy tym uwagę, że art. 105 ust. 4 Prawa bankowego nie nakłada na Bank obowiązku korzystania z zewnętrznej bazy zawierającej informacje o wnioskach z sektora bankowego oraz sektora pożyczkowego. Przyznaje jedynie bankom uprawnienie do tworzenia instytucji upoważnionych do gromadzenia, przetwarzania i udostępniania bankom informacji stanowiących tajemnicę bankową we wskazanym zakresie.

Przesłanka z art. 6 ust. 1 lit. c RODO nie znajduje zastosowania w okolicznościach niniejszej sprawy. Przepis ten dotyczy bowiem sytuacji, gdy przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego administratora danych, a nie realizacji uprawnienia, o którym mowa w art. 105 ust. 4 Prawa bankowego. Ponadto przepis art. 105 ust. 4 Prawa bankowego nie stanowi o dopuszczalności przetwarzania danych osobowych dotyczących wniosków kredytowych w sytuacji, gdy nie doszło do zawarcia umowy z Bankiem.

Prezes UODO nie kwestionował w tej sprawie, że Bank i BIK miał uprawnienie do przetwarzania danych osobowych G. K. w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Cel ten jednak ustał. Przepis art. 105a ust. 1a, 1b, 1c Prawa bankowego, na który powołuje się skarżący, dotyczy określenia warunków dopuszczalności zautomatyzowanego przetwarzania, w tym profilowania danych osobowych w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Powyższe przepisy w żaden sposób nie dają podstawy do przetwarzania "na przyszłość" danych osoby, z którą umowy nie zawarto, a cel, dla którego dane zebrano ustał. Brzmienie art. 105a Prawa bankowego nie daje podstaw do dalszego przetwarzania danych po zakończeniu oceny zdolności kredytowej i analizy ryzyka kredytowego, a także wówczas, gdy wnioskodawca zrezygnował z zaciągnięcia kredytu. Na podstawie powołanych przepisów Bank a także BIK nie tylko nie ma obowiązku ich dalszego przetwarzania, ale nie ma również uprawnienia w tym zakresie w sytuacji, gdy umowy nie zawarto i nie wykazano przesłanki legalizującej to działanie.

Sąd podziela pogląd Naczelnego Sądu Administracyjnego wyrażony w wyroku z dnia 27 sierpnia 2019 r. sygn. akt I OSK 2567/17 (orzeczenia.nsa.gov.pl), zgodnie z którym, "Gdyby podzielić stanowisko skarżącego, że pozyskanie danych na etapie złożenia wniosku kredytowego uprawnia bank do ich nieograniczonego w czasie przechowywania po odmowie zawarcia umowy kredytowej, to regulacje zawarte w art. 105 a ust. 2 i 3 i ust. 5 Prawa bankowego ograniczające w czasie przypadki przetwarzania danych klientów z umów kredytowych pozbawione byłyby sensu".

Pogląd ten wyrażony został wprawdzie na gruncie poprzednio obowiązującej ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych i obowiązującej przed RODO Dyrektywy 95/46 WE, jednakże w ocenie Sądu nie stracił na aktualności. Przepisy RODO wzmacniają jeszcze w porównaniu z Dyrektywą 95/46 ochronę danych osób fizycznych. Aktualności tego poglądu Naczelnego Sądu Administracyjnego nie zmienia także fakt, że BIK i Bank, przyjęły w swej praktyce określone terminy dalszego przetwarzania danych osobowych osoby, z którą nie zawarto umowy kredytu.

Trzeba podkreślić, że zgodnie z art. 5 ust. 1 RODO, dane osobowe muszą być: a) przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą ("zgodność z prawem, rzetelność i przejrzystość"); b) zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami; dalsze przetwarzanie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych nie jest uznawane w myśl art. 89 ust. 1 za niezgodne z pierwotnymi celami ("ograniczenie celu"); c) adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane ("minimalizacja danych"); d) prawidłowe i w razie potrzeby uaktualniane; należy podjąć wszelkie rozsądne działania, aby dane osobowe, które są nieprawidłowe w świetle celów ich przetwarzania, zostały niezwłocznie usunięte lub sprostowane ("prawidłowość"); e) przechowywane w formie umożliwiającej identyfikację osoby, której dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane; dane osobowe można przechowywać przez okres dłuższy, o ile będą one przetwarzane wyłącznie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych na mocy art. 89 ust. 1, z zastrzeżeniem że wdrożone zostaną odpowiednie środki techniczne i organizacyjne wymagane na mocy niniejszego rozporządzenia w celu ochrony praw i wolności osób, których dane dotyczą ("ograniczenie przechowywania"); f) przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych ("integralność i poufność").

Przedstawione zasady przetwarzania danych nie pozwalają na arbitralne decydowanie przez administratora – w sytuacji braku do tego podstaw – o dalszym przetwarzaniu (a zatem ich m.in. ujawnianiu poprzez przesyłanie, udostępnianie, utrwalanie, organizowanie, adaptowanie, modyfikowanie) danych osobowych mimo ustania celu, dla którego dane w zapytaniu kredytowym były zebrane. Powyższe znajduje odniesienie również do przetwarzania danych przez BIK jako administratora. Do podmiotu tego też mają zastosowanie zasady przetwarzania danych określone w art. 5 RODO. Przepis art. 5 ust. 2 RODO stanowi, że administrator jest odpowiedzialny za przestrzeganie ust. 1 i musi być w stanie wykazać ich przestrzeganie ("rozliczalność"). W ocenie BIK ze względu na tę właśnie rozliczalność ma on podstawę w art. 6 ust. 1 lit.f RODO do przetwarzania danych G. K.. Skoro Bank i BIK nie dysponuje przesłanką legalności przetwarzania danych zawartych w zapytaniu kredytowym wymienionej osoby po tym, gdy wniosła ona o usunięcie tych danych, co zasadnie stwierdził Prezes UODO, to nie można przyjąć, aby same zasady określone w RODO mogą wykreować (stanowić) przesłankę legalności przetwarzania danych.

Przetwarzanie zgodnie z art. 4 pkt 2 RODO oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie.

Kwestia sposobu funkcjonowania w Banku, czy w BIK systemu oceny zdolności kredytowej, którego to systemu nie przedstawiono, nie może stanowić sama w sobie podstawy do przetwarzania danych osobowych na przyszłość.

Zaakceptowanie wykładni przepisów Prawa bankowego, ustawy AML, rozporządzenia nr 575/2013 zaprezentowanej w skargach zarówno przez Bank jak i BIK prowadziłaby do stwierdzenia, że na potrzeby oceny zdolności kredytowej i analizy ryzyka kredytowego bank i BIK ma prawo nieograniczonego w czasie przetwarzania danych osoby, z którą Bank nie zawarł umowy o kredyt, zaś prawo to doznaje ograniczenia, gdy doszło do zawarcia takiej umowy. Sąd podziela pogląd wyrażony przez Naczelny Sąd Administracyjny w powołanym już wyżej wyroku, zgodnie z którym takich wyników wykładni art. 105a ust. 1 Prawa bankowego nie sposób zaakceptować, bowiem prowadzą one do skutków, których nie zakładałby racjonalny ustawodawca, a więc do przyznania szerszego uprawnienia do przetwarzania danych osobowych podmiotów, z którymi banku nie łączy żaden stosunek prawny (wyrok NSA z dnia 27 sierpnia 2019 r. sygn.. akt 2567/17).

Raz jeszcze wskazania wymaga, że w sprawie jest niesporne, co wskazywano już wyżej, że BIK, tak jak i Bank, od którego BIK pozyskał dane osobowe G. K. w zakresie zapytania kredytowego, był uprawniony do przetwarzania danych osobowych w celu oceny zdolności kredytowej i analizy ryzyka kredytowego.

Przepis art. 105a ust. 1 Prawa bankowego, stanowi, że przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów oraz instytucje utworzone na podstawie art. 105 ust. 4, informacji stanowiących tajemnicę bankową w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem art. 104, art. 105 i art. 106 - 106d ustawy, w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Zgodnie z art. 105 ust. 1 pkt 1c Prawo bankowego, bank ma obowiązek udzielenia informacji stanowiących tajemnicę bankową wyłącznie instytucjom, o których mowa w ust. 4, w zakresie niezbędnym do stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w przepisach części trzeciej rozporządzenia nr 575/2013.

Jak wskazywano już wyżej, zgodnie z art. 105 ust. 4 Prawa bankowego banki mogą, wspólnie z bankowymi izbami gospodarczymi, utworzyć instytucje upoważnione do gromadzenia, przetwarzania i udostępniania m.in. bankom oraz innym podmiotom określonym w tym przepisie informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013. Zdaniem BIK organ niewłaściwie przyjął w decyzji, że BIK w tych okolicznościach nie posiada podstawy prawnej do przetwarzania danych G. K. zawartych w zapytaniu kredytowym wobec nie zawarcia umowy kredytowej.

Podkreślenia wymaga, że przepis art. 105 ust. 4 Prawa bankowego jest przepisem o charakterze ogólnym, który stanowi o możliwości utworzenia wspólnie z bankowymi izbami gospodarczymi, instytucji upoważnionych do gromadzenia, przetwarzania i udostępniania danych.

Przepis ten nie daje podstaw do nieograniczonego przetwarzania wszelkich danych osobowych przez utworzone instytucje. Zasady przetwarzania danych objętych tajemnicą bankową określa art. 105a Prawa bankowego, którego możliwość uznania za podstawę przetwarzania danych osobowych w niniejszej sprawie została omówiona już wcześniej. Na gruncie tego przepisu należy oceniać zatem dopuszczalność przetwarzania poszczególnych danych osobowych w określonych ściśle celach. Podstawy prawnej przetwarzania danych osobowych G. K. w niniejszej sprawie przez BIK, po tym, jak wniosła ona o usunięcie danych osobowych, nie zawarła z Bankiem umowy kredytowej, nie mógł stanowić zatem art. 105 ust. 4 Prawa bankowego samodzielnie, ani też w powiązaniu z wszystkimi innymi powołanymi przez BIK we wskazanym wyżej zakresie w skardze przepisami Prawa bankowego.

Powołane przepisy nie dają ani Bankowi ani BIK podstawy do dalszego przetwarzania danych osobowych wymienionej wyżej, zawartych w zapytaniu kredytowym. W świetle powyższego przesłanka z art. 6 ust. 1 lit. c RODO nie znajduje zastosowania w okolicznościach niniejszej sprawy. Przepis ten dotyczy bowiem sytuacji, gdy przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego administratora danych, a nie realizacji uprawnienia, o którym mowa w art. 105 ust. 4 Prawa bankowego. Przepis art. 105 ust. 4 Prawa bankowego nie stanowi o dopuszczalności przetwarzania danych osobowych dotyczących wniosków kredytowych w sytuacji, gdy nie doszło do zawarcia umowy z bankiem. Uznanie takiego procesu przetwarzania danych za legalny wymaga podstawy prawnej, której nie stanowią wewnętrzne regulacje, wytyczne ani umowy zawierane między poszczególnymi instytucjami i bankami.

Niezasadny jest też zarzut Banku dotyczący naruszenia art. 6 ust. 1 lit.c RODO w zw. z art. 106d ust. 1 pkt 3 Prawa bankowego, art. 33 ust. 1, art. 33 ust 2, art. 33 ust. 3 pkt 6, art. 34 ust. 1 pkt 4, art. 36, art. 46 oraz art. 49 ust. 1 ustawy AML. Naruszenie tych przepisów Bank uzasadnił wynikającym z tych przepisów obowiązkiem przetwarzania danych osobowych w celu zapewnienia bezpieczeństwa obrotu gospodarczego poprzez przeprowadzenie szczegółowego badania na temat klientów, w tym przyszłych klientów, a także badania powiązań kapitałowo-osobowych, w tym - w zakresie danych dostarczanych przez G. K..

Zgodnie z art. 106d ust. 1 Prawa bankowego Banki, inne instytucje ustawowo upoważnione do udzielania kredytów, izby rozliczeniowe utworzone na podstawie art. 67, instytucje utworzone na mocy art. 105 ust. 4, instytucje pożyczkowe, podmioty, których podstawowa działalność polega na udostępnianiu składników majątkowych na podstawie umowy leasingu, oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, mogą przetwarzać i wzajemnie udostępniać informacje, w tym informacje objęte tajemnicą bankową, w przypadkach: 1) uzasadnionych podejrzeń, o których mowa w art. 106a ust. 3; 2) uzasadnionych podejrzeń popełnienia przestępstw dokonywanych na szkodę banków, innych instytucji ustawowo upoważnionych do udzielania kredytów, instytucji kredytowych, instytucji finansowych, instytucji pożyczkowych oraz podmiotów, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, i ich klientów, w celu i zakresie niezbędnym do zapobiegania tym przestępstwom; 3) wykonywania obowiązków w zakresie określonym w przepisach o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu. Art. 106a ust. 3 Prawa bankowego, do którego odwołano się w art. 106d ust. 1 pkt 1 stanowi, że w przypadku powzięcia uzasadnionego podejrzenia, że zgromadzone na rachunku bankowym środki, w całości lub w części pochodzą lub mają związek z przestępstwem skarbowym lub przestępstwem innym niż przestępstwo, o którym mowa w art. 165a lub art. 229 Kodeksu karnego, bank jest uprawniony do dokonania blokady środków na tym rachunku. Blokada może nastąpić wyłącznie do wysokości zgromadzonych na rachunku środków, co do których zachodzi takie podejrzenie.

Przepis art. 33 ust. 1 ustawy AML nakłada na instytucje obowiązane obowiązek m.in. stosowania wobec swoich klientów środków bezpieczeństwa finansowego, których zakres (katalog) znajduje się w art. 34 ustawy AML. Artykuł 34 ust. 1 ustawy AML odnosi się m.in. do bieżącego monitorowania stosunków gospodarczych klienta (w tym analizę transakcji przeprowadzanych w ramach stosunków gospodarczych, badanie źródła pochodzenia wartości majątkowych będących w dyspozycji klienta - w przypadkach uzasadnionych okolicznościami, zapewnienie, że posiadane dokumenty, dane lub informacje dotyczące stosunków gospodarczych są na bieżąco aktualizowane). Art. 36 AML dotyczy kwestii identyfikacji klienta, a art. 46 ustawy AML odnosi się do kwestii nawiązywania stosunków gospodarczych z osobą zajmującą eksponowane stanowisko polityczne, w ust. 2 ustawodawca wskazał m.in., że w przypadku stosunków gospodarczych z osobą zajmującą eksponowane stanowisko polityczne instytucje obowiązane stosują wobec tych osób środki bezpieczeństwa finansowego oraz podejmują następujące działania. Na podstawie art. 49 ust. 1 ustawy AML kopie dokumentów i informacje uzyskane w wyniku stosowania środków bezpieczeństwa finansowego a także dowody potwierdzające przeprowadzone transakcje i ewidencje transakcji, obejmujące oryginalne dokumenty lub kopie dokumentów konieczne do identyfikacji transakcji, przechowuje się przez okres 5 lat licząc od pierwszego dnia roku następującego po roku, w którym zakończono stosunki gospodarcze z klientem lub w którym przeprowadzono transakcje okazjonalne. W przypadku dokonania analizy przeprowadzonej transakcji i udokumentowania jej analizy zgodnie z art. 34 ust. 3 ustawy AML, instytucja pożyczkowa na mocy art. 49 ust. 2 ustawy AML jest obowiązana do przechowywania jej wyników przez okres 5 lat, licząc od pierwszego dnia roku następującego po roku ich przeprowadzenia.

Z wymienionych wyżej przepisów prawa niewątpliwie wynika uprawnienie do monitorowania stosunków gospodarczych klienta i stosowania odpowiednich środków bezpieczeństwa finansowego, co nie ma zupełnie odniesienia do niniejszej sprawy. Bank nie wskazał jakie działania (w sferze stosunków gospodarczych niedoszłego klienta, osoby, z którą nie zawarł umowy kredytowej) chciałby monitorować. Nie jest dla Sądu działaniem zrozumiałym powoływanie się przez Bank w kontekście tych przepisów na konieczność monitorowania niedookreślonych stosunków gospodarczych między Bankiem a osobą, z którą umowy kredytowej nie zawarto i która nadto, klientem Banku nie jest, na co jednoznacznie wskazywała. Ogólne twierdzenia Banku o celu w postaci "zapewnienia bezpieczeństwa obrotu gospodarczego" nie mogą stanowić – w stanie faktycznym tej sprawy – podstawy legalizującej rozszerzanie podstaw i celów przetwarzania danych osobowych G. K.. Z akt sprawy i wyjaśnień Banku w żaden sposób nie wynika, aby wyżej wymienioną łączyły stosunki gospodarcze z Bankiem. Powołana ustawa w art. 2 ust. 2 pkt 2 stanowi, że przez stosunki gospodarcze rozumie się stosunki instytucji obowiązanej z klientem związane z działalnością zawodową instytucji obowiązanej, które w chwili ich nawiązywania wykazują cechę trwałości. Z akt sprawy i wyjaśnień Banku nie wynika przy tym, aby wymieniona była klientem Banku w rozumieniu tego pojęcia ujętym w ustawie AML.

W przypadku braku nawiązaniu stosunków gospodarczych pomiędzy Bankiem a wymienioną wyżej osobą fizyczną brak jest zaistnienia zdarzeń wymienionych w art. 49 ust. 1 ustawy AML tj. zakończenia stosunków gospodarczego z klientem lub przeprowadzenia transakcji okazjonalnej, od wystąpienia których można dopiero liczyć wskazany w ww. przepisie termin przetwarzania danych osobowych.

Zdaniem Sądu rozszerzanie przez Bank dopuszczalności przetwarzania danych (zawartych w zapytaniu kredytowym) osoby, z którą nie zawarto umowy kredytowej, z powołaniem się na "zapewnienie bezpieczeństwa finansowego w przypadku nawiązywania stosunków gospodarczych", a zatem szeroko rozumiane, ogólne cele, nie znajduje podstawy na gruncie RODO i jest wprost sprzeczne z zasadą ograniczenia celu (art. 5 ust. 1 lit. b RODO), w sytuacji, gdy nie ma mowy o nawiązaniu stosunku zobowiązaniowego.

Z kolei z następnych powołanych przez Bank w skardze przepisów art. 144 ust. 1 lit. d, art. 145 ust 1, art. 170 ust. 3 lit. a, art. 171 ust. 2 i art. 179 ust 1 lit. a CRR (rozporządzenie 575/2013), także nie wynika podstawa prawna do dalszego przetwarzania danych osobowych uczestniczki postępowania przez Bank i BIK. Zgodnie z art. 144 ust. 1 lit. d CRR, właściwy organ wydaje zezwolenie na mocy art. 143 na stosowanie przez instytucję metody IRB, w tym na stosowanie własnych oszacowań LGD i współczynników konwersji, wyłącznie wtedy, gdy właściwy organ stwierdzi, że wymogi przewidziane w niniejszym rozdziale są spełnione, w szczególności wymogi przewidziane w sekcji 6, oraz że posiadane przez instytucję systemy w zakresie zarządzania oraz oceny ekspozycji na ryzyko kredytowe są należyte i zostały spójnie wdrożone, w szczególności gdy instytucja wykazała w sposób zadowalający właściwym organom spełnienie następujących norm: (...) d) instytucja gromadzi i przechowuje wszystkie odpowiednie dane, aby zapewnić skuteczne wsparcie procesów pomiaru ryzyka kredytowego oraz zarządzania ryzykiem kredytowym. Stosownie do art. 145 ust. 1 CRR, jest wymagane, aby instytucja ubiegająca się o możliwość stosowania metody IRB korzystała, w odniesieniu do omawianych kategorii ekspozycji IRB, co najmniej przez trzy lata poprzedzające zakwalifikowanie się do stosowania metody IRB, z systemów ratingowych, które odpowiadały w znacznym stopniu wymogom określonym w sekcji 6 dotyczącym wewnętrznego pomiaru ryzyka i zarządzania ryzykiem. Z kolei art. 170 ust. 3 lit. a CRR stanowi, że struktura systemów ratingowych dla ekspozycji detalicznych spełnia następujące wymogi: a) systemy ratingowe odzwierciedlają zarówno ryzyko dłużnika, jak i ryzyko transakcji oraz uwzględniają wszystkie istotne właściwości ryzyka dłużnika i ryzyka transakcji. Zgodnie z art. 171 ust. 2 klasyfikując dłużników i instrumenty do klas lub pul, instytucja uwzględnia wszystkie istotne informacje. Informacje te są aktualne i umożliwiają instytucji prognozowanie zachowania ekspozycji w późniejszym okresie. Im mniej informacji ma do dyspozycji instytucja, tym ostrożniej klasyfikuje ekspozycje do poszczególnych klas lub pul dłużników i instrumentów. Jeżeli instytucja stosuje rating zewnętrzny jako główny czynnik decydujący o przyznaniu wewnętrznego ratingu, instytucja ta zapewnia uwzględnienie innych istotnych informacji oraz stosownie do art. 179 ust. 1 lit. a CRR przy przeprowadzaniu kwantyfikacji parametrów ryzyka związanego z poszczególnymi klasami lub pulami ratingowymi instytucje stosują następujące wymogi: a) oszacowania własne instytucji dotyczące parametrów ryzyka PD, LGD, współczynnika konwersji i EL uwzględniają wszelkie istotne dane, informacje i metody. Oszacowań dokonuje się na podstawie zarówno doświadczeń z przeszłości, jak i dowodów empirycznych, nie zaś wyłącznie w oparciu o osąd własny. Oszacowania te są wiarygodne i intuicyjne oraz opierają się na istotnych czynnikach odpowiednich parametrów ryzyka. Im mniej danych ma do dyspozycji instytucja, tym ostrożniejsze są jej oszacowania.

Powołane przepisy rozporządzenia 575/2013 nie stanowią podstawy do przetwarzania danych osobowych zawartych w zapytaniach kredytowych osoby, z którą nie zawarto umowy kredytu.

Zdaniem Sądu, obowiązek zbierania informacji przydatnych w zarządzaniu ryzykiem nie może opierać się na naruszeniu przez Bank, czy inną instytucję finansową (BIK) na gruncie RODO praw osoby fizycznej, która przekazała Bankowi swoje dane osobowe wyłącznie w celu oceny zdolności kredytowej i analizy ryzyka kredytowego, która to czynność nie zakończyła się zawarciem umowy kredytowej. Przepisy powołanego rozporządzenia 575/2013 nie stanowią podstawy do "dalszego" przetwarzania danych zawartych w zapytaniu kredytowym w sytuacji nie nawiązania stosunku zobowiązaniowego. Sąd podziela twierdzenie Prezesa UODO zawarte w odpowiedzi na skargę, że nieuzasadnione jest uznanie, iż konstruowanie skutecznych i poprawnie działających modeli (scoringu) może być oparte na przetwarzaniu danych osobowych nawet w przypadku, gdy nie można zrekonstruować wyraźnej podstawy prawnej takich działań. Odnosząc się do zarzutów BIK w tym zakresie wskazania wymaga, że Prezes UODO nie kwestionował stosowania rozporządzenia nr 575/2013 – w ramach oceny zdolności kredytowej i analizy ryzyka kredytowego, a zatem w związku z wykonywaniem czynności bankowych co do zasady. Stwierdził jedynie, że nie wynika z nich podstawa prawna do przetwarzania danych osobowych zawartych w zapytaniu kredytowym osoby, z którą umowy kredytowej nie zawarto.

Nadto, co Sąd podkreślał już wcześniej, nie można tracić z pola widzenia, że Prawo bankowe ściśle określa cele i zasady przetwarzania danych osobowych, w tym stanowi, w jakich przypadkach i dla jakich ściśle określonych celów jest dopuszczalne "dalsze" przetwarzanie danych bez zgody osoby fizycznej (po wygaśnięciu zobowiązania). W art. 105a ust. 4 wyraźnie ustawodawca wskazał na cele stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013. Prawo bankowe określa też przez jaki czas mogą być przetwarzane dane stanowiące tajemnicę bankową po wygaśnięciu zobowiązania. Rozciąganie uprawnienia – tak w odniesieniu do Banku, jak i BIK – do dalszego przetwarzania danych osobowych zawartych w zapytaniu kredytowym z [...] lutego 2021 r. w przypadku, gdy nie powstało zobowiązanie nie może spotkać się w świetle przepisów RODO i Prawa bankowego z akceptacją Sądu. Także wszystkie pozostałe wymienione w skardze Banku i BIK przepisy prawa, o których była już mowa, nie stanowią odrębnej podstawy do zalegalizowania "dalszego" przetwarzania danych G. K., które zebrane zostały w ściśle określonym celu (o którym miała wiedzę), czyli w celu oceny zdolności kredytowej i analizy ryzyka kredytowego.

Odnosząc się do kolejnego zarzutu Banku i BIK dotyczącego naruszenia art. 6 ust. 1 lit.c RODO wskazania wymaga, że zgodnie z art. 70a ust. 1 Prawa bankowego, banki i inne instytucje ustawowo upoważnione do udzielania kredytów na wniosek osoby fizycznej, prawnej lub jednostki organizacyjnej niemającej osobowości prawnej, o ile posiada zdolność prawną, ubiegającej się o kredyt przekazują, w formie pisemnej, wyjaśnienie dotyczące dokonanej przez siebie oceny zdolności kredytowej wnioskującego. Zgodnie z art. 70 ust. 2, wyjaśnienie, o którym mowa w ust. 1, obejmuje informacje na temat czynników, w tym danych osobowych wnioskującego, które miały wpływ na dokonaną ocenę zdolności kredytowej.

W świetle powyższego wskazania wymaga, że powstanie obowiązku, o którym mowa w art. 70a ust. 1 Prawa bankowego, uzależnione jest od złożenia stosownego wniosku przez osobę ubiegającą się o kredyt. Wniosek taki został złożony. W sprawie jest jednak bezsporne, że G. K. wniosła o zaprzestanie przetwarzania i usunięcie jej danych w zakresie zapytania kredytowego z dnia [...] lutego 2021 r. po 2 tygodniach od tego zapytania. W związku z odmową w tym zakresie podjęła też działania przed Prezesem UODO. Z akt sprawy i całokształtu okoliczności nie wynika, aby wymieniona osoba wystąpiła do Banku, czy BIK o jakiekolwiek wyjaśnienie dotyczące dokonanej oceny zdolności kredytowej. Wynika zaś, że złożyła żądanie usunięcia danych, w tym również w bazie BIK. Nie może być więc mowy o tym, aby w sprawie nadal znajdował zastosowanie art. 70a ust. 1 i 2 Prawa bankowego. Dodatkowo jedynie wskazania wymaga, że kwestia przekazania przez Bank do BIK tego żądania (związana z realizacją umowy między Bankiem a BIK) nie ma wpływu na wynik sprawy.

Odnosząc się do zarzutu Banku i BIK naruszenia art. 6 ust. 1 lit.f RODO w zw. z Rekomendacjami S, W i T Komisji Nadzoru Finansowego wskazania wymaga, że także ten zarzut nie jest zasadny. Powoływane Rekomendacje Komisji Nadzoru Finansowego nie są źródłem prawa powszechnie obowiązującego. Nie ma przy tym podstaw, aby w tym przypadku, w stanie faktycznym tej sprawy, wywodzić z Rekomendacji KNF – wobec osoby, z którą nie zawarto umowy kredytowej i która zażądała usunięcia danych – prawnie uzasadnione interesy Banku i BIK, o których jest mowa w art. 6 ust. 1 lit.f RODO.

Nadto, podkreślenia wymaga, że Rekomendacje KNF, które jak wskazał Bank, zawierają konkretne wymagania regulacyjne wobec narzędzi używanych przez banki, nie powinny być interpretowane w sprzeczności z RODO w zakresie legalności przetwarzania danych (w zakresie zapytań kredytowych) osób, z którymi nie zawarto umów kredytowych, nie mogą być wykładane w sposób prowadzący do nieuprawnionego przetwarzania takich danych. Twierdzenie Banku, że powyższe przetwarzanie "powinno zostać uznane za prawnie uzasadniony interes administratora", albowiem zakwestionowanie prawnie uzasadnionego interesu "doprowadziłoby niewątpliwie do zakwestionowania sensu Rekomendacji KNF", nie daje podstaw do stwierdzenia o dopuszczalności "dalszego" przetwarzania na gruncie RODO danych zawartych w zapytaniu kredytowym osoby, z którą żadnej umowy nie zawarto. Także powoływana przez BIK, w nawiązaniu do wymienionej Rekomendacji potrzeba realizacji działań z zakresu opracowania, utrzymania aktualności i funkcjonalności zbudowanych modeli scoringowych, nie stanowi w stanie faktycznym tej sprawy przetwarzania – w odniesieniu do danych osoby, z którą nie zawarto umowy kredytowej – w celu wynikającym z prawnie uzasadnionych interesów BIK.

Nietrafny jest przy tym zarzut naruszenia art. 7b k.p.a. poprzez niezwrócenie się przez Prezesa UODO do KNF w zakresie informacji o wykorzystywaniu do realizacji zadań instytucji finansowych danych osobowych o niezrealizowanych zapytaniach kredytowych. BIK w tym aspekcie wskazał przy tym, że powyższe zwrócenie się było konieczne w celu kompleksowego wyjaśnienia stanu faktycznego sprawy, w celu ustalenia należytych zasad, celów i zakresu przetwarzania danych osobowych o niezrealizowanych zapytaniach kredytowych.

Zgodnie z powołanym przepisem, w toku postępowania organy administracji publicznej współdziałają ze sobą w zakresie niezbędnym do dokładnego wyjaśnienia stanu faktycznego i prawnego sprawy, mając na względzie interes społeczny i słuszny interes obywateli oraz sprawność postępowania, przy pomocy środków adekwatnych do charakteru, okoliczności i stopnia złożoności sprawy. W sprawie niniejszej Prezes UODO nie miał obowiązku zwracania się do KNF ani w zakresie dokonywanych ustaleń stanu faktycznego ani w zakresie wyjaśnień stanu prawnego.

Prezes UODO jest wyspecjalizowanym organem ochrony danych osobowych, jedynym powołanym i uprawnionym do monitorowania i egzekwowania RODO, a nadto do upowszechniania wśród administratorów i podmiotów przetwarzających wiedzę o obowiązkach spoczywających na nich na mocy RODO (art. 51, art. 52, art. 57, motyw 123, motyw 129 RODO, v. podobnie wyrok WSA w Warszawie z dnia 21 kwietnia 2022 r., sygn. akt II SA/Wa 3131/21, wyrok WSA z dnia 5 maja 2021 r. sygn. akt II SA/Wa 1982/20, orzeczenia.nsa.gov.pl). Zdaniem Sądu nie ma przy tym wątpliwości, że Prezes UODO dokonał w tej sprawie niezbędnych dla jej rozstrzygnięcia ustaleń faktycznych. W zakresie mającym znaczenie dla sprawy zebrał niezbędny materiał dowodowy, zwracał się do stron o udzielenie stosownych wyjaśnień, strony wyjaśnień tych udzieliły. Organ zgromadzony materiał dowodowy rozpatrzył wszechstronnie i należycie, a ocena tego materiału na gruncie przepisów RODO nie budzi zdaniem Sądu zastrzeżeń, jest prawidłowa. Odmienna ocena zarówno Banku, jak i BIK w zakresie wykładni i zastosowania powołanych przez organ przepisów prawa nie stanowi o naruszeniu przepisów postępowania, w tym art. 7, 77 i 80 k.p.a. Zarzut naruszenia powołanych przepisów, podniesiony przez BIK, poprzez brak analizy przez PUODO podstawowych zasad funkcjonowania stabilnego sektora finansowego – w tym pod kątem istnienia po stronie banków i BIK – oczywistego interesu prawnego przejawiającego się w odmowie udzielenia kredytu wynikającego z braku istnienia zdolności kredytowej po stronie G. K., nie jest zasadny. Prezes UODO nie kwestionował w zaskarżonej decyzji uprawnień instytucji finansowych w tym Banku i BIK do dokonywania ustaleń i ocen w zakresie zdolności kredytowej. Przedmiotem sprawy była ocena zgodności z prawem "dalszego" przetwarzania danych osobowych wymienionej wyżej osoby zawartych w zapytaniu kredytowym z [...] lutego 2021 r., albowiem to przetwarzanie danych było przez G. K. kwestionowane. Uprawnienie do dokonania oceny w tym przedmiocie Prezes UODO bezspornie posiada na gruncie RODO, jako organ wyspecjalizowany. Gromadząc materiał dowodowy nie był obowiązany do dokonania analizy funkcjonowania sektora finansowego pod kątem wskazywanym w skargach, albowiem aspekt uprawnienia Banku i BIK do oceny zdolności kredytowej nie budził żadnych wątpliwości u Prezesa UODO, co znalazło wyraz w uzasadnieniu zaskarżonej decyzji.

Sąd nie kwestionuje "postulatu" BIK, że należy dążyć do tego, aby procesy przetwarzania danych osobowych czyniły zadość zarówno przepisom prawa o ochronie danych osobowych, jak i przepisom szeroko pojętego prawa bankowego, z uwzględnieniem zasady proporcjonalności, jednakże w ocenie Sądu osiągnięcie tego celu w niniejszej sprawie – przy uwzględnieniu obowiązujących regulacji prawnych – nie jest możliwe w inny sposób, jak poprzez realizację nakazów usunięcia danych zawartych w punkcie 1 i 2 zaskarżonej decyzji Prezesa UODO.

Za niezasadny Sąd uznał także zarzut naruszenia art. 8 k.p.a. poprzez nieuwzględnienie przez organ dotychczas wydanych wyroków przez WSA w Warszawie (sygn. akt II SA/Wa 506/21, II SA/Wa 474/21). Każda sprawa rozstrzygana jest przez organ indywidualnie. Sąd rozpoznający niniejszą sprawę podziela odmienne poglądy od zaprezentowanych w powołanych przez BIK orzeczeniach sądowoadministracyjnych (dla przykładu wskazać można na wyrok WSA w Warszawie o sygn. akt II SA/Wa 3131/21, II SA/Wa 1014/22, II SA/Wa 1982/20, II SA/Wa 1128/21, wyrok NSA sygn. akt I OSK 2567/17, I OSK 994/17).

Odnosząc się ponownie do zarzutu naruszenia art. 6 ust. 1 lit f. RODO, tym razem w zw. z przytoczonymi w skardze przepisami k.c. i w nawiązaniu do wskazywanej przez Bank i BIK potrzeby przechowywania danych (w zakresie zapytania kredytowego z [...] lutego 2021 r.) osoby, z którą nie zawarto umowy kredytowej w celu "ustalenia, dochodzenia i ochrony przed roszczeniami", "ewentualnego zabezpieczenia roszczeń", "na wypadek konieczności obrony lub dochodzenia ewentualnych roszczeń, które mogą się pojawić w określonym czasie po przeprowadzeniu stosownej analizy zdolności kredytowej oraz analizie ryzyka kredytowego" wskazania wymaga, że art. 6 ust. 1 lit.f RODO stanowi o uprawnieniu do przetwarzania, gdy jest ono niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Za usprawiedliwiony cel w rozumieniu powołanego przepisu nie może zostać uznane przetwarzanie danych osobowych na wypadek ewentualnego dochodzenia lub obrony roszczeń. Z akt sprawy nie wynika, aby G. K., która zażądała usunięcia danych w zakresie zapytania kredytowego, miała jakiekolwiek roszczenie na drodze cywilnoprawnej do Banku lub BIK. Prezes UODO nie miał w tym zakresie obowiązku dopytywania wymienionej, czy z roszczeniami będzie występować, tym bardziej, że jednoznacznie wskazała Prezesowi UODO, że w Banku nie posiada żadnego zobowiązania (w tym także kredytowego), nie posiada rachunku osobistego ani innych produktów bankowych i jednoznacznie nie była ostatecznie (po 2 tygodniach od zapytania kredytowego) zainteresowana zawarciem jakiejkolwiek umowy. Z tego względu nie jest dopuszczalne przyjęcie, że to art. 6 ust. 1 lit.f RODO mógłby stanowić podstawę dla Banku, czy BIK do "dalszego" przetwarzania jej danych na wypadek ewentualnego dochodzenia roszczeń. Odnosząc się do argumentacji Banku wskazania wymaga, że Bank w toku postępowania administracyjnego nie wykazał, nie wynika też ze skargi, jakich ewentualnie roszczeń chciałby dochodzić od osoby, która ostatecznie, po 2 tygodniach od zapytania kredytowego, zażądała usunięcia swoich danych w zakresie tego zapytania kredytowego i z którą to osobą fizyczną nie zawarto umowy. Wskazania wymaga, że z art. 3531 k.c. wynika zasada swobody umów. Strony mogą zatem w ramach autonomii woli kształtować stosunki cywilnoprawne mocą własnych decyzji Przepis art. 3531 k.c. wskazuje na podstawowy element, jaki dla swobody umów obligacyjnych ma kompetencja stron w zakresie kształtowania treści zobowiązania. Umowy nie zawarto, zobowiązanie nie powstało. BIK wyjaśnił przy tym wprost przed Prezesem UODO, że G. K. nie wystąpiła do niego z żadnym roszczeniem, jak też BIK nie wystąpił wobec wymienionej i nie zamierza występować z takim roszczeniem.

Ważąc interesy uczestniczki postępowania, która żądała respektowania jej praw do ochrony danych osobowych wynikające z RODO i interesy Banku i BIK przedstawiane już wyżej, w sytuacji, gdy nie zawarto umowy kredytowej, brak jest podstaw do przyjęcia, że spełniona została przesłanka z art. 6 ust. 1 lit.f RODO. Sąd rozpoznający niniejszą sprawę podziela pogląd Naczelnego Sądu Administracyjnego, zgodnie z którym niedopuszczalne jest przetwarzanie danych osobowych niejako "na zapas" z założeniem, że mogą być one ewentualnie przydatne w przyszłości, na przykład z odwołaniem się do przepisów dotyczących przedawnienia roszczeń (v. wyrok NSA z dnia 27 marca 2018 r. sygn. akt I OSK 1459/16, orzeczenia.nsa.gov.pl). Wywodzenie zatem także z kwestii przedawnienia roszczeń samodzielnej podstawy do przetwarzania danych – w sytuacji, gdy mowa o danych osoby, z którą Bank nie zawarł umowy kredytowej nie jest uprawnione i nie stanowi przesłanki do ich dalszego przetwarzania.

Celem RODO, tak, jak poprzednio Dyrektywy 95/46/WE, jest ochrona prywatności, która powinna być rozpatrywana także w świetle art. 8 Konwencji o Ochronie Praw Człowieka i Podstawowych Wolności. W sprawie tej nie istnieje tego rodzaju powiązanie pomiędzy osobą, której dane dotyczą a Bankiem, jak również pomiędzy tą osobą a BIK, które pozwalałoby "wyprowadzić" istnienie prawnie uzasadnionego interesu po stronie BIK i Banku w "dalszym" przetwarzaniu danych tej osoby. Z okoliczności sprawy nie wynika przy tym, aby osoba ta mogła spodziewać się w czasie, gdy pozyskiwano od niej dane w celu oceny zdolności kredytowej i ryzyka kredytowego, że będą one "dalej" przetwarzane pomimo nie zawarcia umowy kredytowej (v. motyw 47 RODO).

Podkreślenia wymaga, że gdy chodzi o podnoszony przez Bank cel przetwarzania danych wymienionej osoby po tym, gdy nie zawarto umowy, tj. wskazywane ogólnie wykrycie nieścisłości oraz powzięcie informacji mogących stanowić o uzasadnionym podejrzeniu popełnienia przestępstw, o których mowa w art. 106d Prawa bankowego, to Bank nie wykazał, aby przypadek taki miał miejsce w tej sprawie.

Bank wskazuje w skardze, że Prezes UODO pominął w toku rozstrzygania sprawy potrzebę ważenia interesów administratora danych w aspekcie praw i wolności osoby, której dane dotyczą (test równowagi interesów). Bank powołał się na swoje interesy w realizacji wewnętrznych wymogów w zakresie oceny ryzyka kredytowego i możliwości spłaty zadłużenia. Zdaniem Banku przesądza to o dalszej możliwości przetwarzania danych G. K.. Powyższe nie wskazuje jednak na uzasadniony interes administratora w dalszym przetwarzaniu danych zawartych w zapytaniu kredytowym w przypadku, gdy nie zawarto umowy. W ocenie Sądu, w sprawie tej, w jej okolicznościach faktycznych, to prawa i wolności osoby fizycznej, mają nadrzędny charakter nad interesami Banku, jak również BIK. Pamiętać trzeba bowiem, że celem udostępnienia danych osobowych przez osobę fizyczną było rozpatrzenie konkretnego wniosku kredytowego (cel był ściśle określony), zgodnie z przepisami Prawa bankowego, o czym była już mowa wyżej. Powyższe nie daje podstaw do dalszego przetwarzania danych "na przyszłość" po zakończeniu oceny zdolności kredytowej i analizy ryzyka kredytowego.

Podkreślenia wymaga, że niezależnie od zrozumienia dla argumentacji Banku i BIK co do wskazywanych potrzeb, zamierzeń, czy celów, jakie podmioty te chciałyby osiągnąć w działalności gospodarczej poprzez "dalsze" przetwarzanie danych osobowych zawartych w zapytaniu kredytowym osoby, z którą Bank umowy kredytowej nie zawarł, a które zostały jednoznacznie wskazane zarówno w postępowaniu przed organem, jak i w skargach do Sądu, zaskarżona decyzja (zarówno w zakresie punktu 1, jak i 2) nie narusza prawa.

W sprawie tej cel przetwarzania legalnie zebranych danych osobowych osoby fizycznej (zebranych w celu oceny zdolności kredytowej i analizy ryzyka kredytowego ) ustał. Podkreślić trzeba, że każde przetwarzanie danych osobowych, tj. a tym samym nie tylko zebranie danych, ale także kontynuowanie ich przetwarzania w innych celach musi znajdować podstawę prawną. W sprawie tej, co wykazano już wyżej takiej podstawy prawnej, stanowiącej przesłankę do "dalszego" przetwarzania danych osobowych wymienionej osoby fizycznej, w sprawie tej nie wykazano. W ocenie Sądu niedopuszczalna jest taka interpretacja powołanych w skargach przepisów Prawa bankowego, ustawy AML, k.c., czy rozporządzenia 575/2013, która czyniłaby uprawnionym na gruncie RODO dalsze przetwarzanie danych osobowych zawartych w zapytaniu kredytowym osoby, z którą nie zawarto umowy (a zatem w celach innych niż cele, w jakich je zebrano), w sytuacji, gdy Prawo bankowe wyraźnie reguluje dopuszczalność przetwarzania danych osobowych przed powstaniem zobowiązania, w trakcie jego trwania i po wygaśnięciu.

Przyjęcie interpretacji zaprezentowanej w skargach prowadziłoby do tego, że w odniesieniu do kategorii osób (których dane zawarte zostały w zapytaniu kredytowym), z którymi nie zawarto umowy kredytowej istniałaby pełna dowolność tak w zasadach ich przetwarzania (bez zgody osoby (jak należy wnioskować ze stanowisk Banku i BIK), bez informacji przedstawianej przed pozyskaniem danych o innych celach przetwarzania (niż ocena zdolności kredytowej i ryzyka kredytowego) zarówno przez Bank jak i BIK, jak również dowolne ustalenia w odniesieniu do czasu ich przetwarzania (te kwestie byłyby bowiem (i są) i jak wynika z akt administracyjnych, tj. wyjaśnień Banku i BIK, ustalane samodzielnie przez te podmioty – z uwzględnieniem przyjmowanych przez nie celów służących co do zasady spełnieniu, jak wskazywano w postępowaniu, określonych wymagań organu nadzoru nad rynkiem finansowym.

Sytuacja zatem osoby, która zwróciła się z zapytaniem kredytowym i z którą nie zawarto umowy kredytowej, jest z punktu widzenia ochrony danych osobowych, biorąc pod uwagę przepisy Prawa bankowego, sytuacją "gorszą" niż sytuacja osoby, która zawarła umowę kredytową i jej zobowiązanie wygasło. W tym drugim bowiem przypadku dla dalszego przetwarzania danych w BIK po wygaśnięciu zobowiązania wynikającego z danej umowy niezbędna jest zgoda osoby, której dane dotyczą. Zgodę taką można nadto w każdym czasie odwołać.

Zwrócić należy uwagę, że przedmiotem niniejszej sprawy i kompetencji Prezesa UODO nie jest ustalenie możliwego sposobu realizacji przez Bank i BIK obowiązków nakładanych na te podmioty przez instytucje nadzorcze w zakresie prowadzonej działalności. Nie ma przeszkód i jest wskazane, aby realizację tych obowiązków wykonywać z poszanowaniem RODO. Przedmiotem oceny organu ochrony danych osobowych była w tej sprawie wyłącznie kwestia oceny zgodności z prawem "dalszego" przetwarzania danych osobowych konkretnej osoby fizycznej w konkretnych okolicznościach faktycznych. Sąd nie znalazł podstaw do zakwestionowania tej oceny organu.

Podkreślenia wymaga, że w demokratycznym państwie prawnym nie jest dopuszczalne dowolne rozszerzanie uprawnień jakiegokolwiek podmiotu, ani organu władzy ani spółki prawa handlowego, ani żadnego innego podmiotu będącego administratorem w zakresie przetwarzania danych osobowych (art. 47, art. 51 Konstytucji RP). Dane osobowe mogą być przetwarzane co do zasady w celach, w jakich zostały zebrane. Powinny być adekwatne, stosowne oraz ograniczone do tego co niezbędne do osiągnięcia celów, w których zostały zebrane, są przetwarzane (art. 5 ust. 1 lit.c RODO). Przetwarzanie przez Bank i BIK "na przyszłość" danych zawartych w zapytaniu kredytowym, w sytuacji, gdy nie zawarto umowy, nie znajduje umocowania w żadnej przesłance z art. 6 ust. 1 RODO.

Sąd podziela te poglądy prezentowane w orzecznictwie sądowoadministracyjnym, zgodnie z którymi dalsze przetwarzanie danych uzyskanych w celu oceny zdolności kredytowej, w przypadku nie zawarcia stosownej umowy pozostawałoby w oderwaniu od celu, dla którego je uzyskano. Niedopuszczalne jest dalsze przetwarzanie danych osobowych na przyszłość, a także na potrzeby budowy oceny zdolności kredytowej innych podmiotów, jeżeli nie można zrekonstruować wyraźnej podstawy prawnej takich działań, jak miało to miejsce w niniejszej sprawie (v. wyrok NSA z dnia 27 sierpnia 2019 r. sygn. akt 2567/17, orzeczenia.nsa.gov.pl).

Mając na uwadze powyższe, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz. U. z 2022 r., poz. 329 ze zm.), orzekł jak w wyroku.