II SA/Wa 1072/24
Podsumowanie
Przejdź do pełnego tekstuWojewódzki Sąd Administracyjny w Warszawie rozpoznał skargę Biura Informacji Kredytowej S.A. (B.) na decyzję Prezesa Urzędu Ochrony Danych Osobowych (PUODO), która nakazała B. usunięcie danych osobowych klienta związanych z zapytaniem kredytowym, które nie zakończyło się zawarciem umowy. Klient złożył skargę do PUODO, twierdząc, że Bank nie usunął jego danych z rejestru B. mimo braku zawarcia umowy kredytowej. PUODO, po analizie, nakazał B. usunięcie tych danych, uznając, że odpadła podstawa prawna do ich dalszego przetwarzania po zakończeniu oceny zdolności kredytowej i braku zawarcia umowy. B. zaskarżył tę decyzję, podnosząc szereg zarzutów dotyczących naruszenia prawa materialnego i procesowego, w tym argumentując, że posiada podstawę prawną do przetwarzania danych w celach oceny ryzyka, budowy modeli scoringowych, przeciwdziałania praniu pieniędzy oraz zabezpieczenia roszczeń. Sąd administracyjny oddalił skargę B., podzielając stanowisko PUODO. Sąd podkreślił, że cel przetwarzania danych (ocena zdolności kredytowej i analiza ryzyka) został zrealizowany w momencie dokonania oceny, a brak zawarcia umowy kredytowej oznacza, że dalsze przetwarzanie danych nie ma podstawy prawnej w świetle RODO i Prawa bankowego. Sąd odrzucił argumenty B. dotyczące innych podstaw prawnych przetwarzania, w tym przepisów AML, prawa bankowego dotyczących budowy modeli scoringowych oraz zabezpieczenia roszczeń, uznając, że nie uzasadniają one dalszego przetwarzania danych osobowych w sytuacji braku zawarcia umowy i żądania ich usunięcia przez osobę, której dane dotyczą. Sąd podkreślił, że Rekomendacje KNF nie są źródłem prawa i nie mogą być interpretowane w sprzeczności z RODO. Ostatecznie Sąd uznał decyzję PUODO za zgodną z prawem.
Przeanalizuj tę sprawę w pełnym kontekście orzecznictwa.
Analiza orzecznictwa · odpowiedzi na pytania · badanie przepisów · drafting pism.
Wartość praktyczna
Siła precedensu: WysokaUzasadnienie braku podstawy prawnej do dalszego przetwarzania danych osobowych przez instytucje finansowe w przypadku niezawarcia umowy kredytowej, pomimo zebrania danych w celu oceny zdolności kredytowej.
Dotyczy sytuacji, gdy pierwotny cel zebrania danych został zrealizowany, a umowa nie została zawarta. Nie dotyczy sytuacji, gdy umowa została zawarta i wygasła, lub gdy istnieją inne, wyraźne podstawy prawne do dalszego przetwarzania.
Zagadnienia prawne (2)
Czy Biuro Informacji Kredytowej S.A. (B.) ma podstawę prawną do dalszego przetwarzania danych osobowych klienta, które zostały zebrane w związku z zapytaniem kredytowym, które nie zakończyło się zawarciem umowy kredytowej?Ratio decidendi
Odpowiedź sądu
Nie, B. nie ma podstawy prawnej do dalszego przetwarzania tych danych, ponieważ cel ich zebrania (ocena zdolności kredytowej i analiza ryzyka) został zrealizowany, a brak zawarcia umowy kredytowej oznacza, że dalsze przetwarzanie nie jest uzasadnione w świetle RODO i Prawa bankowego.
Uzasadnienie
Sąd uznał, że po zakończeniu oceny zdolności kredytowej i braku zawarcia umowy kredytowej, odpadła podstawa prawna do dalszego przetwarzania danych osobowych. Przepisy RODO i Prawa bankowego nie przewidują możliwości nieograniczonego przetwarzania danych w takich sytuacjach, a argumenty B. dotyczące innych celów przetwarzania nie uzasadniają legalności tego działania.
Czy przepisy Prawa bankowego (w tym dotyczące budowy modeli scoringowych, przeciwdziałania praniu pieniędzy) lub Rekomendacje KNF mogą stanowić podstawę do dalszego przetwarzania danych osobowych z zapytania kredytowego, które nie zakończyło się zawarciem umowy?Ratio decidendi
Odpowiedź sądu
Nie, przepisy te nie stanowią samoistnej podstawy do dalszego przetwarzania danych osobowych w sytuacji braku zawarcia umowy i żądania ich usunięcia przez osobę, której dane dotyczą. Rekomendacje KNF nie są źródłem prawa.
Uzasadnienie
Sąd wyjaśnił, że przepisy Prawa bankowego dotyczące budowy modeli scoringowych i przeciwdziałania praniu pieniędzy, a także Rekomendacje KNF, nie mogą być interpretowane w sposób sprzeczny z RODO i nie uzasadniają dalszego przetwarzania danych osobowych w sytuacji, gdy pierwotny cel ich zebrania ustał, a osoba, której dane dotyczą, żąda ich usunięcia.
Przepisy (31)
Główne
p.p.s.a. art. 151
Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi
RODO art. 6 § ust. 1
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679
Prawo bankowe art. 70 § ust. 1
Ustawa z dnia 29 sierpnia 1997 r. Prawo bankowe
Prawo bankowe art. 105a § ust. 1
Ustawa z dnia 29 sierpnia 1997 r. Prawo bankowe
Pomocnicze
p.p.s.a. art. 3 § § 1
Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi
Ustawa z dnia 25 lipca 2002 r. - Prawo o ustroju sądów administracyjnych art. 1 § § 1 i § 2
RODO art. 5 § ust. 1
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679
RODO art. 5 § ust. 2
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679
RODO art. 58 § ust. 2 lit. c
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679
k.p.a. art. 104 § § 1
Ustawa z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego
u.o.d.o. art. 7 § ust. 1 i 2
Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych
Prawo bankowe art. 105a § ust. 4
Ustawa z dnia 29 sierpnia 1997 r. Prawo bankowe
Prawo bankowe art. 105a § ust. 5
Ustawa z dnia 29 sierpnia 1997 r. Prawo bankowe
Prawo bankowe art. 105 § ust. 4
Ustawa z dnia 29 sierpnia 1997 r. Prawo bankowe
Prawo bankowe art. 105a § ust. 2
Ustawa z dnia 29 sierpnia 1997 r. Prawo bankowe
Prawo bankowe art. 105a § ust. 3
Ustawa z dnia 29 sierpnia 1997 r. Prawo bankowe
Prawo bankowe art. 106d § ust. 1
Ustawa z dnia 29 sierpnia 1997 r. Prawo bankowe
ustawa AML
Ustawa z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu
u.k.k. art. 9 § ust. 2 i 4
Ustawa z dnia 12 maja 2011 r. o kredycie konsumenckim
k.c. art. 118
Ustawa z dnia 23 kwietnia 1964 r. Kodeks cywilny
CRR
Rozporządzenie Parlamentu Europejskiego i Rady (UE) nr 575/2013
Prawo bankowe art. 70a
Ustawa z dnia 29 sierpnia 1997 r. Prawo bankowe
Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych
k.p.a. art. 7
Ustawa z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego
k.p.a. art. 77
Ustawa z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego
k.p.a. art. 80
Ustawa z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego
k.p.a. art. 107 § § 3
Ustawa z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego
UODO art. 7 § ust. 1
Ustawa z dnia 10 maja 2018 r. o ochronie danych osobowych
k.p.a. art. 7b
Ustawa z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego
Konstytucja Rzeczypospolitej Polskiej art. 47
Konstytucja Rzeczypospolitej Polskiej art. 51
Argumenty
Skuteczne argumenty
Po zakończeniu oceny zdolności kredytowej i braku zawarcia umowy kredytowej, odpadła podstawa prawna do dalszego przetwarzania danych osobowych. • Przepisy RODO i Prawa bankowego nie uzasadniają nieograniczonego przetwarzania danych w sytuacji braku umowy i żądania ich usunięcia. • Rekomendacje KNF nie są źródłem prawa i nie mogą być interpretowane w sprzeczności z RODO.
Odrzucone argumenty
B. posiadał podstawę prawną do dalszego przetwarzania danych w celach oceny ryzyka, budowy modeli scoringowych, przeciwdziałania praniu pieniędzy. • Przepisy Prawa bankowego, AML i Rozporządzenia 575/2013 uzasadniają dalsze przetwarzanie danych. • Przetwarzanie danych jest niezbędne do zabezpieczenia roszczeń i obrony przed nimi. • PUODO powinien był zwrócić się do KNF o wyjaśnienia.
Godne uwagi sformułowania
Dalsze przetwarzanie danych uzyskanych w celu oceny zdolności kredytowej, w przypadku nie zawarcia stosownej umowy pozostawałaby w oderwaniu od celu, dla którego dane te uzyskano. • Niedopuszczalne jest przetwarzanie danych osobowych na przyszłość, a także na potrzeby budowy oceny zdolności kredytowej innych podmiotów, jeżeli nie można zrekonstruować wyraźnej podstawy prawnej takich działań. • Przetwarzanie danych osobowych musi być zgodne z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą. • Dane osobowe muszą być zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami.
Skład orzekający
Andrzej Góraj
przewodniczący
Andrzej Wieczorek
członek
Arkadiusz Koziarski
sprawozdawca
Informacje dodatkowe
Wartość precedensowa
Siła: Wysoka
Powoływalne dla: "Uzasadnienie braku podstawy prawnej do dalszego przetwarzania danych osobowych przez instytucje finansowe w przypadku niezawarcia umowy kredytowej, pomimo zebrania danych w celu oceny zdolności kredytowej."
Ograniczenia: Dotyczy sytuacji, gdy pierwotny cel zebrania danych został zrealizowany, a umowa nie została zawarta. Nie dotyczy sytuacji, gdy umowa została zawarta i wygasła, lub gdy istnieją inne, wyraźne podstawy prawne do dalszego przetwarzania.
Wartość merytoryczna
Ocena: 7/10
Sprawa dotyczy powszechnego zagadnienia przetwarzania danych osobowych przez instytucje finansowe, a wyrok precyzuje granice legalnego przetwarzania danych w kontekście zapytań kredytowych, co jest istotne dla wielu konsumentów i przedsiębiorców.
“Czy Twoje dane z zapytania kredytowego mogą być przetwarzane bez końca? Sąd wyjaśnia.”
Twój asystent do analizy prawnej.
Zadaj pytanie prawne, zleć analizę orzecznictwa i przepisów, lub poproś o projekt pisma — AI przeszuka 1,4 mln orzeczeń i aktualne akty prawne.
- Analiza orzecznictwa i przepisów
- Drafting pism i dokumentów
- Odpowiedzi na pytania prawne
- Pogłębiona analiza z doktryny
Pełny tekst orzeczenia
Oryginalna treść postanowienia (niezmieniona). Otwiera się jako osobna strona.