II SA/Wa 169/24

II SA/Wa 169/24 - Wyrok WSA w Warszawie
Data orzeczenia
2024-11-19
orzeczenie nieprawomocne
Data wpływu
2024-02-05
Sąd
Wojewódzki Sąd Administracyjny w Warszawie
Sędziowie
Iwona Maciejuk /sprawozdawca/
Karolina Kisielewicz-Sierakowska
Łukasz Krzycki /przewodniczący/
Symbol z opisem
647  Sprawy związane z ochroną danych osobowych
Hasła tematyczne
Ochrona danych osobowych
Skarżony organ
Generalny Inspektor Ochrony Danych Osobowych
Treść wyniku
Oddalono skargi
Powołane przepisy
Dz.U. 2024 poz 935
art. 151
Ustawa z dnia 30 sierpnia 2002 r. Prawo o postępowaniu przed sądami administracyjnymi (t. j.)
Dz.U. 2022 poz 2324
art. 105a ust. 1 w zw. z art. 70 ust. 1, art. 105 ust. 4
Ustawa z dnia 29 sierpnia 1997 r. - Prawo bankowe (t. j.)
Dz.U.UE.L 2016 nr 119 poz 1 art. 4, art. 6, art. 5
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z  przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE
Sentencja
Wojewódzki Sąd Administracyjny w Warszawie w składzie następującym: Przewodniczący Sędzia WSA Łukasz Krzycki, Sędzia WSA Iwona Maciejuk (spr.), Sędzia WSA Karolina Kisielewicz-Sierakowska, Protokolant specjalista Joanna Głowala po rozpoznaniu na rozprawie w dniu 19 listopada 2024 r. sprawy ze skarg B. S.A. z siedzibą w W. i [...] Bank Polska S.A. z siedzibą w W. na decyzję Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] listopada 2023 r. nr [...] w przedmiocie przetwarzania danych osobowych oddala skargi.
Uzasadnienie
Prezes Urzędu Ochrony Danych Osobowych decyzją z dnia [...] listopada 2023 r. nr [...]., na podstawie art. 104 § 1 ustawy z dnia 14 czerwca 1960 r. Kodeks postępowania administracyjnego (Dz.U. z 2023 r., poz. 775 ze zm.), w zw. z art. 7 ust. 1 i ust. 2 ustawy z 10 maja 2018 r. o ochronie danych osobowych (Dz.U. z 2019 r., poz. 1781), art. 6 ust. 1 oraz art. 58 ust. 2 lit. c Rozporządzenia Parlamentu Europejskiego i Rady (UE) 2016/679 z 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (Dz. Urz. UE L 74 z 4.03.2021, s. 35), po przeprowadzeniu postępowania administracyjnego w sprawie ze skargi R. J., zwany dalej wnioskodawcą/uczestnikiem, na nieprawidłowości w procesie przetwarzania danych osobowych przez [...] Bank Polska S.A polegające na przetwarzaniu jego danych osobowych w zakresie zapytania kredytowego z dnia [...] lutego 2021 r., w tym w B. S.A. bez podstawy prawnej, Prezes UODO w pkt 1 nakazał B. S.A. zaprzestanie przetwarzania danych osobowych R. J. w zakresie wynikającym z zapytania kredytowego z dnia [...] lutego 2021 r. przekazanych przez [...] Bank Polska S.A., przetwarzanych bez podstawy prawnej, w pkt. 2 nakazał [...] Bank Polska S.A. zaprzestanie przetwarzania danych osobowych R. J. w zakresie wynikającym z zapytania kredytowego z dnia [...] lutego 2021 r., bez podstawy prawnej.
Decyzja ta została sprostowana postanowieniem Prezesa Urzędu Ochrony Danych Osobowych z dnia [...] stycznia 2024 r. poprzez wpisanie w miejsce dotychczasowej sygnatury- sygnatury [...].
Prezes UODO w uzasadnieniu wskazał, że Urzędu Ochrony Danych Osobowych wpłynęła skarga R. J. na nieprawidłowości w procesie przetwarzania danych osobowych przez [...] Bank Polska S.A. polegające na przetwarzaniu jego danych osobowych w zakresie zapiania kredytowego z dnia [...] lutego 2021 r., w tym w B. S.A. bez podstawy prawnej.\
Prezes UODO ustalił, że R. J. w treści przedmiotowej skargi wskazał, że Bank bezpodstawnie przetwarza jego dane osobowe w zakresie wynikającym z przedmiotowego zapytania kredytowego, w tym w bazie B., mimo, że nie doszło do zawarcia umowy pomiędzy nim a Bankiem, podkreślił, że nie wyraził zgody na przetwarzanie jego danych w bazie B., ponadto zwrócił się do Banku z żądaniem usunięcia jego danych osobowych z bazy B.. Bank jednak nie zrealizował żądania wnioskodawcy. R. J. do przedmiotowej skargi załączył pisma Banku odnoszące się do jego żądania a dotyczące przetwarzania jego danych dot. zapytania kredytowego z dnia [...] lutego 2021 r. Wobec powyższego wniósł o nakazanie zaprzestania przetwarzania jego danych osobowych przez Bank, w tym przetwarzania w B.. (dowód: skarga z dnia [...] listopada 2021 r. z załącznikami). Bank wyjaśnił, że pozyskał dane osobowe wnioskodawcy w związku z wnioskiem kredytowym złożonym przez niego w Banku [...] lutego 2021 r. (wniosek o udzielenie kredytu gotówkowego), który to wniosek nie zakończył się udzieleniem przez Bank wnioskowanego produktu kredytowego. W związku z ww. wnioskiem Bank pozyskał od wnioskodawcy następujące kategorie danych osobowych: dane identyfikacyjne (imiona, nazwisko, numer PESEL, seria, numer i data ważności dokumentu tożsamości), dane kontaktowe (adres zameldowania, adres zamieszkania (korespondencyjny), dane dot. sytuacji rodzinnej i finansowej (stan cywilny, liczba dzieci, informacja o rozdzielności majątkowej, wykształcenie, informacje o rodzaju i wysokości dochodów). Bank wskazał, że pozyskał dane osobowe R. J. w celach: zawarcia i wykonania umowy produktowej (na podstawie art. 6 ust. 1 lit. b) RODO), określenia ryzyka kredytowego i zdolności do spłaty zadłużenia oraz oszacowania możliwości zaoferowania wnioskodawcy produktów bankowych na określonych warunkach, a także w związku z koniecznością spełnienia wymogów prawnych spoczywających na Banku. Bank nadmienił, że pozyskał dane osobowe wnioskodawcy również w związku z innym wnioskiem kredytowym złożonym w Banku w grudniu 2021 r., a także w związku z umową ramową dla firm zawartą przez Bank z wnioskodawcą 6 września 2021 r., w ramach prowadzonej przez wnioskodawcę działalności gospodarczej (dowód wyjaśnienia Banku z dnia [...] grudnia wraz z załącznikami). Bank wskazał, że dane osobowe wnioskodawcy są przetwarzane w zakresie zapytania kredytowego z [...] lutego 2021 r. przez Bank na podstawie art. 6 ust. 1 lit. c) RODO w związku z art. 6 ust. 1 lit. f) RODO, z uwagi na konieczność spełnienia przez Bank następujących wymogów: a) art. 70 ust. 1 ustawy z 29 sierpnia 1997 r. Prawo bankowe, w związku z którym Bank uzależnia przyznanie kredytu od zdolności kredytowej kredytobiorcy, a kredytobiorca jest obowiązany przedłożyć na żądanie banku dokumenty i informacje niezbędne do dokonania oceny tej zdolności; b) art. 70a i 105a Prawa bankowego, w związku z koniecznością zagwarantowania możliwości uzyskania wyjaśnień dotyczących dokonanej przez Bank oceny zdolności kredytowej (art. 70a Prawa bankowego) lub w związku z koniecznością zapewnienia prawa do otrzymania stosownych wyjaśnień Banku co do podstaw decyzji podejmowanych w trybie art. 105a ust. 1 Prawa bankowego; c) w zakresie stosowania modeli wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 575/2013 z 26 czerwca 2013 r. w sprawie wymogów ostrożnościowych dla instytucji kredytowych i firm inwestycyjnych, zmieniającego rozporządzenie (UE) nr 648/2012 (Dz. Urz. UE L 176 z 27.06.2013, str. 1, z póżn. zm.), w zw. z art. 105 ust. 4 pkt 1 Prawa bankowego strona 2 z 4 oraz art. 105a ust. 4 Prawa bankowego, tj. m.in. wymogów kapitałowych określonych w część III ww. rozporządzenia - art. 147 ust. 5 w zw. z art. 147 ust. 2 lit. d) (dotyczących metod klasyfikowania ekspozycji do poszczególnych kategorii ekspozycji) lub art. 171 (dot. klasyfikacji do klas lub pul); d) w związku z wymogami określonymi przez Komisję Nadzoru Finansowego w Rekomendacji T dotyczącej dobrych praktyk w zakresie zarządzania ryzykiem detalicznych ekspozycji kredytowych. Zgodnie z rekomendacją nr 6 wydaną w ramach Rekomendacji T Przed podjęciem przez bank decyzji o zaangażowaniu się w detaliczną ekspozycję kredkową, konieczne jest zbadanie zdolności kredytowej klienta pod względem ilościowym i jakościowym. W przypadku detalicznych ekspozycji kredytowych posiadanie zdolności kredytowej powinno być podstawowym czynnikiem determinującym możliwość zaciągnięcia przez klienta detalicznego zobowiązania kredytowego w banku. W ramach ww. rekomendacji nr 6 na uwagę zasługuje m.in. pkt 6.10.c) zgodnie z którym Analiza cech jakościowych klienta detalicznego obejmuje m.in.(...) c) analizę historii kredytowej klienta w oparciu o informacje dostępne w zewnętrznych, w tym międzybankowych bazach danych, budowanych przez instytucje, o których mowa w art. 105 ust. 4 ustawy z dnia 29 sierpnia 1997 r. - Prawo bankowe ( Dz.U. z 2023 r. poz. 2488) a gdy to jest uzasadnione, również dane dostępne w bazach danych gospodarczych. Zgodnie z rekomendacją nr 10 wydaną w ramach Rekomendacji T. W ramach procesu oceny zdolności kredytowej klienta detalicznego konieczne jest każdorazowe korzystanie przez banki z zewnętrznych baz danych, w tym w szczególności międzybankowych baz danych budowanych przez instytucje, o których mowa w art. 105 ust. 4 ustawy Prawo bankowe Banki powinny, gdy to jest uzasadnione, korzystać z danych dostępnych w bazach danych gospodarczych. Zgodnie z pkt. 10.3 ww. rekomendacji nr 10 Banki powinny aktywnie uczestniczyć w zasilaniu międzybankowych baz danych przekazując kompletne i aktualne informacje na temat wszystkich zobowiązań kredytowych klientów; e) oceny ryzyka kredytowego, w tym oceny globalnego ryzyka kredkowego, m.in. na podstawie art. 105a ust. 1-1c i 105a ust. 4 Prawa bankowego w zw. z powołanymi powyżej przepisami rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 575/2013 z 26 czerwca 2013 r. w sprawie wymogów ostrożnościowych dla instytucji kredytowych oraz zmieniającego rozporządzenie (UE) nr 648/2012, a także w związku z wymogami określonymi przez Komisję Nadzoru Finansowego w Rekomendacji T, określonymi powyżej; f) koniecznością uwzględnienia możliwości dochodzenia przez Skarżącego od Banku ewentualnych roszczeń związanych z przedmiotem niniejszego postępowania, tj. na podstawie art. 6 ust. 1 lit. f) RODO w zw. z art. 118 ustawy z 23 kwietnia 1964 r. Kodeks cywilny (dalej jako "KC"), w zw. z art. 82 RODO oraz związanej z tym konieczności umożliwienia Bankowi obrony przed ewentualnymi roszczeniami (art. 6 ust. lit. f) RODO); g) koniecznością zapewnienia Prezesowi UODO dostępu do informacji niezbędnych do przeprowadzenia postępowania w niniejszej sprawie, w związku z art. 58 ust. 1 lit. e) RODO. (dowód: wyjaśnienia Banku z dnia 23 listopada 2022 r.). Bank wskazał, iż dane osobowe wnioskodawcy dotyczące wniosku kredytowego z dnia [...] lutego 2021 r., w tym dotyczące zapytania kredytowego zrealizowanego przez Bank w B. w związku z procesowaniem tego wniosku kredytowego, są przetwarzane przez Bank przez okres 2 lat od daty [...] lutego 2021 r. Ponadto dane osobowe wnioskodawcy będą przetwarzane przez Bank przez 6 lat od daty prawomocnego zakończenia niniejszego postępowania prowadzonego przez Prezesa UODO (dowód: wyjaśnienia Banku z dnia [...] listopada 2022 r.). W dniu [...] października 2021 r. wnioskodawca zwrócił się do Banku z pierwszym wnioskiem o zaprzestanie przetwarzania danych oraz usunięcia ich z bazy B. w związku z zapytaniem kredytowym z dnia [...] lutego 2021 r. Bank w odpowiedzi z dnia 13 października 2021 r. wskazał, że nie może zrealizować wniosku wnioskodawcy. Bank odmówił zrealizowania wniosku także w kolejnych pismach z dnia [...] października 2021 r. oraz z dnia [...] listopada 2021 r. (dowód: wyjaśnienia Banku z dnia [...] grudnia 2021 r. wraz z załącznikami). B. w treści wyjaśnień wskazał, że przetwarza obecnie dane osobowe wnioskodawcy przekazane przez Bank w związku z zapytaniem kredytowym z dnia [...] lutego 2021 r. Dane osobowe wnioskodawcy zostały przekazane do B. przez Bank na podstawie art. 105 ust. 1 pkt 1c, art. 105 ust. 4 oraz 105a ust. 1 ustawy Prawa bankowego oraz na podstawie łączącej Bank i B. umowy (dowód: wyjaśnienia B. z dnia 26 stycznia 2022 r.). B. wyjaśnił, że aktualnie przetwarza dane wnioskodawcy w zakresie zapytania kredytowego z dnia [...] lutego 2021 r. w następujących celach: a) nie krócej niż 5 lat i nie dłużej niż 10 lat od dnia złożenia zapytania, w celu budowy modeli scoringowych, a więc narzędzi wykorzystywanych przez banki do celów oceny zdolności kredytowej i analizy ryzyka kredytowego. B. buduje przedmiotowe modele w oparciu o przetwarzane w zbiorze B. dane, w tym dane o złożonych zapytaniach. Okres maksymalnie 10 lat przetwarzania danych od dnia złożenia zapytania w celu budowy modeli scoringowych wynika z art. 105a ust. 4 i ust. 5 ustawy Prawo bankowego. Przepis ten literalnie odnosi się do przetwarzania danych o wygasłych zobowiązaniach, ale potrzeba przetwarzania danych przez ten okres ma zastosowanie również do przetwarzania danych o zapytaniach kredytowych do budowania modeli scoringowych, w tym w celu stosowania metod i modeli, o których mowa w Rozporządzenia Parlamentu Europejskiego i rady nr 575/2013 z dnia 26 czerwca 2013 r. w sprawie wymogów ostrożnościowych dla instytucji kredytowych i firm inwestycyjnych, zmieniające rozporządzenie (UE) nr 648/2012 (Dz. Urz. UE L 2013 Nr 176, str. 1, (dalej jako "CRR") i do innych analiz statystycznych wykonywanych przez B.. B. zaznaczył, że na konieczność wykorzystania własnych i zewnętrznych baz danych przy ocenie zdolności kredytowej wskazuje również Komisja Nadzoru Finansowego w Rekomendacji T dotyczącej dobrych praktyk w zakresie zarządzania ryzykiem detalicznych ekspozycji kredytowych, powołując się na Rekomendacje 10, 16.4,1.4 a) tiret drugie, 1.4 b) tiret drugie, 17.5 e) oraz wstęp do Rekomendacji). Ponadto procesem silnie powiązanym z oceną zdolności kredytowej jest analiza ryzyka kredytowego. Zgodnie z art. 9 ust. 1 Prawa bankowego w banku musi funkcjonować system zarządzania. W ramach tego systemu funkcjonuje co najmniej system zarządzania ryzykiem oraz system kontroli wewnętrznej. Na system zarządzania ryzykiem banku składają się identyfikacja, pomiar, kontrola oraz monitorowanie ryzyka występującego w działalności banku służące zapewnieniu prawidłowości działania banku (art. 9b ust. 1 Prawa bankowego). Realizacja obowiązku zarządzanie ryzykiem przez bank obejmuje również ocenę ryzyka kredkowego. Jednym z elementów realizacji tego obowiązku jest z kolei wymiana danych pomiędzy bankami dokonywana na podstawie art. 105 ust. 4 ustawy i art. 105 a ust. 1 - 1c, a także realizacja obowiązków wynikających z przepisów CRR. b) w celach statystycznych oraz stosowania metod wewnętrznych oraz innych metod i modeli; c) w celu rozpatrywania ewentualnych reklamacji lub roszczeń odszkodowawczych klientów, których termin przedawnienia zgodnie z art. 118 Kodeksu cywilnego wynosi 6 lat (cele dowodowe). B. wskazał, że podstawę prawną stanowi w tym przypadku art. 6 ust. 1 lit. f RODO, a dodatkową przesłanką jest konieczność wypełnienia ustawowego obowiązku wynikającego z art. 15 RODO w przypadku wystąpienia przez osobę, której dane dotyczą z wnioskiem o udzielenie informacji. B. podkreślił, że dane z zapytania kredytowego z dnia [...] lutego 2021 r. nie są przetwarzane do celu indywidulanej oceny zdolności kredytowej i analizy ryzyka kredytowego wnioskodawcy - dane te nie są przekazywane bankom w raportach kredytowych, udostępnianych na wniosek tych podmiotów w związku z rozpatrywaniem wniosków kredytowych wnioskodawcy (dowód: wyjaśnienia B. z dnia 30 listopada 2022 r.). B. wskazał również, że ani wnioskodawca ani Bank nie zwracali się do B. z wnioskiem o usunięcie danych o zapytaniu kredytowym z dnia [...] lutego 2021 r. (dowód: wyjaśnienia B. z dnia 26 stycznia 2022 r.).
Prezes UODO, po zapoznaniu się całością materiału dowodowego, na wstępie odwołał się do treści art. 6 ust. 1 RODO oraz art. 5 ust. 1 lit. b i c RODO. Wskazał, że podstawą prawną przetwarzania danych osobowych klientów przez Bank i B. może być obecnie art. 6 ust. 1 lit. f RODO, w przypadku, gdy przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora. B. jest instytucją utworzoną na podstawie art. 105 ust. 4 Prawa bankowego, który stanowi, że banki mogą, wspólnie z bankowymi izbami gospodarczymi, utworzyć instytucje upoważnione do gromadzenia, przetwarzania i udostępniania bankom informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013, innym instytucjom ustawowo upoważnionym do udzielania kredytów informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są niezbędne w związku z udzielaniem kredytów, pożyczek pieniężnych, gwarancji bankowych i poręczeń (pkt 2), instytucjom kredkowym informacji stanowiących tajemnicę bankową w zakresie niezbędnym do oceny zdolności kredytowej konsumenta, o której mowa w art. 9 ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim (pkt 3), instytucjom pożyczkowym i podmiotom, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim na zasadzie wzajemności, informacji stanowiących odpowiednio tajemnice bankową oraz informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, w zakresie niezbędnym do oceny zdolności kredytowej konsumenta, o której mowa w art. 9 tej ustawy, i analizy ryzyka kredytowego (pkt 4). Prezes UODO odwołał się do treści art. 105a ust. 1, 4 i 5 oraz art. 70 ust. 1 Prawa bankowego.
Prezes UODO mając powyższe na względzie wskazał, że R. J. w dniu [...] lutego 2021 r. wystąpił do Banku z wnioskiem o udzielenie kredytu, w wyniku czego Bank skierował do B. zapytanie kredytowe, wobec czego Bank oraz B., na podstawie art. 105a ust. 1 Prawa bankowego w zw. z art. 70 ust. 1 tej ustawy, były uprawnione do przetwarzania danych osobowych wnioskodawcy w celu oceny zdolności kredytowej. Nie doszło do zawarcia umowy kredytu pomiędzy wnioskodawcą a Bankiem. W związku z powyższym odpadła przesłanka legalizująca dalsze przetwarzanie danych osobowych wnioskodawcy przez Bank oraz B.. Przesłanki zawarte w art. 105a Prawa bankowego dotyczą bowiem przetwarzania informacji objętych tajemnicą bankową w okresie przed powstaniem zobowiązania, w trakcie jego trwania oraz po wygaśnięciu zobowiązania. Pomiędzy Bankiem a wnioskodawcą nie zawiązał się żaden stosunek zobowiązaniowy, który stosownie do art. 105a ust. 1-6 Prawa bankowego dawałby podstawę do dalszego przetwarzania danych osobowych wnioskodawcy. Celem przetwarzania danych osobowych wnioskodawcy była ocena zdolności kredytowej i analizy ryzyka kredytowego. W związku z dokonaniem przez Bank oceny zdolności kredytowej i analizy ryzyka kredytowego ww. cel przetwarzania danych osobowych wnioskodawcy został zrealizowany i brak jest podstaw prawnych do kontynuowania tego procesu. Prezes UODO odwołał się do w wyroku Naczelnego Sądu Administracyjnego z dnia 27 sierpnia 2019 r., sygn. akt I OSK 2567/17, zgodnie z którym "(...) cel oceny zdolności kredytowej stanowi ocena zdolności do spłaty zaciągniętego kredytu wraz z odsetkami, co ma charakter czynności wstępnej do zawarcia stosownej umowy. Dalsze przetwarzanie danych uzyskanych w celu oceny zdolności kredytowej, w przypadku nie zawarcia stosownej umowy pozostawałaby w oderwaniu od celu dla którego dane te uzyskano. (...) niedopuszczalne jest przetwarzanie danych osobowych na przyszłość, a także na potrzeby budowy oceny zdolności kredytowej innych podmiotów, jeżeli nie można zrekonstruować wyraźnej podstawy prawnej takich działań".
Bank wyjaśnił, że dane osobowe wnioskodawcy dotyczące wniosku kredytowego z dnia [...] lutego 2021 r., w tym dotyczące zapytania kredytowego zrealizowanego przez Bank w B. w związku z procesowaniem tego wniosku kredytowego, przetwarzane były przez Bank przez okres 2 lat od daty [...] lutego 2021 r., zatem okres ten upłynął, niemniej Bank wyjaśnił, że dane osobowe wnioskodawcy będzie przetwarzał przez 6 lat od daty prawomocnego zakończenia postępowania prowadzonego przez Prezesa UODO. Wobec powyższego Bank nadal kontynuuje proces przetwarzania danych osobowych wnioskodawcy w kwestionowanym zakresie. Z wyjaśnień B. wynika, że dane z zapytania kredytowego z dnia [...] lutego 2021 r. nie są przetwarzane do celu indywidulanej oceny zdolności kredytowej i analizy ryzyka kredytowego wnioskodawcy - dane te nie są przekazywane bankom w raportach kredytowych, udostępnianych na wniosek tych podmiotów w związku z rozpatrywaniem wniosków kredytowych wnioskodawcy. B. wskazał poza ww. celem przetwarzania także inne cele, w których kontynuuje proces przetwarzania danych osobowych wnioskodawcy.
Prezes UODO ocenił, iż za podstawę przetwarzania danych osobowych wnioskodawcy nie mogą być uznane wskazane przez B. cele statystyczne i analizy, w tym cel stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013. Powołany przez B. art. 105a ust. 4 Prawa bankowego daje podstawy do przetwarzania informacji dotyczących osoby fizycznej stanowiących tajemnicę bankową po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której te informacje dotyczą. W przedmiotowej sprawie nie doszło do zawarcia umowy kredytu pomiędzy wnioskodawcą a Bankiem, a zatem nie powstał żaden stosunek zobowiązaniowy, o którym mowa w powyższym przepisie. Zebrany w niniejszym postępowaniu materiał dowodowy nie wykazał, aby wnioskodawca wystąpił z jakimkolwiek roszczeniem wobec Banku czy B., które uzasadniałoby uprawnienie tego podmiotu do zachowania i przetwarzania jego danych osobowych dla celów dowodowych w związku z dochodzeniem przez wnioskodawcę tego roszczenia. Bank oraz B. nie wskazali także na istnienie roszczeń, których dochodzą od wnioskodawcy. Przesłanka z art. 6 ust. 1 lit. f RODO dotyczy sytuacji już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia, potrzeba dochodzenia lub obrony przed roszczeniem istniejącym, nie zaś sytuacji, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem.
Prezes UODO podzielił stanowisko Naczelnego Sądu Administracyjnego odnoszące się do przesłanki wynikającej z art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych dotyczącej dopuszczalności przetwarzania danych osobowych dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, gdy przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Sąd ten w wyroku z dnia 6 marca 2019 r. w sprawie sygn. I OSK 994/17 (LEK nr 2670498) orzekł "Przepis art. 23 ust. 1 pkt 5 u.o.d.o. zezwala na przetwarzanie danych gdy jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą. Dokonując wykładni tego przepisu należy zatem zwrócić uwagę, że stosowanie ww. przepisu wymaga wykazania, że chodzi o realizowanie prawnie usprawiedliwionego celu, ale także dokonanie oceny czy dla realizacji tego celu niezbędne jest przekazanie danych, pomimo braku zgody osoby której dane te dotyczą. Ocena ta sprowadza się do wyważania racji i interesów osoby, której danych sprawa dotyczy, a która jest objęta ochroną prawną, a z drugiej administratora danych, również chronionego przez prawo w zakresie w jakim może realizować prawnie usprawiedliwione cele i uprawnienia. Naczelny Sąd Administracyjny w wyroku z dnia 23 września 2005 r. (sygn. akt I OSK 712/05,CBOSA) już wskazywał, że rozstrzygając o legalności przetwarzania danych trzeba każdorazowo, ważąc interesy stron, znaleźć równowagę między prawami i wolnościami jednostki z jednej strony a prawnie usprawiedliwionym interesem osoby trzeciej z drugiej strony. Oznacza to obowiązek zapewnienia właściwej równowagi praw i interesów stron w tym praw podstawowych. Zdaniem Naczelnego Sądu Administracyjnego przetwarzanie danych osobowych (...), który cofnął zgodę na ich przetwarzanie, nie jest niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez (...), a którym jest prawo do podjęcia obrony przed ewentualnymi roszczeniami lub zarzutami dotyczącymi przetwarzania danych (...) w celu obsługi wniosku kredytowego. Wskazać, należy że przepis art. 23 ust. 1 pkt 5 ustawy na pierwszym miejscu wymienia warunek, że przetwarzanie danych winno być niezbędne dla wypełnienia prawnie usprawiedliwionych celów. Prawidłowe jest stanowisko Sądu pierwszej instancji, że niedopuszczalne jest przetwarzanie danych osobowych niejako "na zapas" z założeniem, że mogą być one ewentualnie przydatne w przyszłości. Zauważyć należy, że w rozpoznawanej sprawie znaczenie ma, a no co wskazał organ i Sąd pierwszej instancji, że (...) co prawda w 2012 r. złożył wniosek kredytowy ale strony nie zawarły umowy, a zatem nie powstał między stronami stosunek zobowiązaniowy. Pomiędzy stronami nie toczy się także żadne postępowanie reklamacyjne. Zatem przetwarzania danych strony, a więc na wszelki wypadek, nie można uznać za przetwarzanie niezbędne dla wypełnienia prawnie usprawiedliwionych celów. Zgodnie z art. 23 ust. 1 pkt 2 u.o.d.o. przetwarzanie danych osobowych jest dopuszczalne wtedy, gdy jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa. Przepis ten dopuszcza możliwość przetwarzania danych, uzależnia jednak legalność tego procesu od spełnienia dwóch istotnych wymogów, tj. istnienia odpowiedniego przepisu prawa, który przyznaje podmiotowi uprawnienie lub nakłada na niego obowiązek oraz niezbędności przetwarzania danych dla zrealizowania tego uprawnienia lub spełnienia obowiązku wynikającego z tego przepisu. Wymogi te powinny być spełnione łącznie.". Powyższe stanowisko pozostaje aktualne także w obecnym stanie prawnym w odniesieniu do przesłanki wynikającej z art. 6 ust. 1 RODO. Przy przyjęciu odmiennej interpretacji ww. przepisów. Wnioskodawca zostałby pozbawiony ochrony na gruncie RODO oraz ustawy o ochronie danych osobowych. Przyjęcie za prawidłowe stanowiska, iż przetwarzanie danych osobowych w celu uchylenia się od negatywnych skutków w przypadku zgłoszenia w przyszłości ewentualnego i nieokreślonego roszczenia, stanowi prawnie usprawiedliwiony cel w rozumieniu art. 6 ust. 1 lit. f RODO oznaczałoby, że dane osobowe wnioskodawcy mogą być przetwarzane przez Bank i B. permanentnie, bez konieczności ich usunięcia. Teoretycznie możliwym jest by wnioskodawca zwrócił się do Banku i B. z roszczeniem po upływie terminu przedawnienia roszczenia. Prowadziłoby to tym samym do uznania, że przetwarzanie danych osobowych wnioskodawcy przez Bank i B. ma uzasadnienie w przesłance określonej art. 6 ust. 1 lit. f RODO w celu realizacji prawa do obrony przed ewentualnym roszczeniem wnioskodawcy również po upływie ww. terminu.
Prezes UODO zaznaczył, że brak jest uzasadnienia dla przyjęcia, iż terminy dotyczące przedawnienia roszczeń wynikających ze stosunków zobowiązaniowych określają jednocześnie ramy czasowe, w których dane osobowe mogą być przetwarzane przez Bank i B.. Przedawnienie roszczenia nie wywołuje skutków na gruncie ochrony danych osobowych, nie wpływa bowiem na fakt istnienia roszczenia, a powoduje jedynie zmianę w sferze zarzutów procesowych w postaci możliwości podniesienia okoliczności przedawnienia w sporze sądowym. Okolicznością usprawiedliwiającą przetwarzanie danych osobowych w celu dochodzenia roszczeń jest sam fakt istnienia roszczenia oraz zamiar jego dochodzenia, nie jest nią natomiast zmiana w uprawnieniach procesowych podmiotu pozwanego.
Prezes UODO zaznaczył, że w odniesieniu do wskazanego przez B. celu realizacji wymogów ostrożnościowych tj. oceny ogólnej ekspozycji oraz ryzyka ekspozycji banku wynikających z Rozporządzenia Parlamentu Europejskiego I Rady (UE) nr 575/2013 z dnia 26 czerwca 2013 roku w sprawie wymogów ostrożnościowych dla instytucji kredytowych i firm inwestycyjnych, zmieniające 14 rozporządzenie (UE) nr 648/2012 (dalej: CRR) tj., (art. 6 pkt 1. lit. c) RODO, z przepisów tych nie wynika uprawnienie do przetwarzania danych osobowych w zakresie zapytań kredytowych niezakończonych zawarciem umowy. Artykuł 144 ust. 1 lit. d stanowi, że (cyt.): "Właściwy organ wydaje zezwolenie na mocy art. 143 na stosowanie przez instytucję metody IRB, w tym na stosowanie własnych oszacowań LGD i współczynników konwersji, wyłącznie wtedy, gdy właściwy organ stwierdzi, że wymogi przewidziane w niniejszym rozdziale są spełnione, w szczególności wymogi przewidziane w sekcji 6, oraz że posiadane przez instytucję systemy w zakresie zarządzania oraz oceny ekspozycji na ryzyko kredytowe są należne i zostały spójnie wdrożone, w szczególności gdy instytucja wykazała w sposób zadowalający właściwym organom spełnienie następujących norm: d) instytucja gromadzi i przechowuje wszystkie odpowiednie dane, aby zapewnić skuteczne wsparcie procesów pomiaru ryzyka kredytowego oraz zarządzania ryzykiem kredytowym". Kolejny przywołany przez B. przepis, tj. art. 145 ust. 1 CRR stanowi zaś, iż "jest wymagane, aby instytucja ubiegająca się o możliwość stosowania metody IRB korzystała, w odniesieniu do omawianych kategorii ekspozycji IRB, co najmniej przez trzy lata poprzedzające zakwalifikowanie się do stosowania metody IRB, z systemów ratingowych, które odpowiadały w znacznym stopniu wymogom określonym w sekcji 6 dotyczącym wewnętrznego pomiaru ryzyka i zarządzania ryzykiem", natomiast art. 147 ust. 5 lit. b CRR stanowi, że "aby ekspozycje mogły kwalifikować się do kategorii ekspozycji detalicznych przewidzianej w ust. 2 lit. d), spełniają następujące kryteria: są traktowane przez instytucję w procesie zarządzania ryzykiem w sposób spójny w długim okresie". Obowiązku zastosowania powyższego rodzaju zapytań kredytowych nie przewiduje również art. 170 ust. 3 lit. a oraz ust. 4 lit. a CRR: (cyt.) "Struktura systemów ratingowych dla ekspozycji detalicznych spełnia następujące wymogi: a) systemy ratingowe odzwierciedlają zarówno ryzyko dłużnika, jak i ryzyko transakcji oraz uwzględniają wszystkie istotne właściwości ryzyka dłużnika i ryzyka transakcji", "Instytucje biorą pod uwagę następujące czynniki ryzyka podczas klasyfikacji ekspozycji do odpowiednich kategorii lub pul: a ) charakterystykę ryzyka dłużnika"; art. 171 ust. 2 (cyt.) "Klasyfikując dłużników i instrumenty do klas lub pul, instytucja uwzględnia wszystkie istotne informacje. Informacje te są aktualne i umożliwiają instytucji prognozowanie zachowania ekspozycji w późniejszym okresie. Im mniej informacji ma do dyspozycji instytucja, tym ostrożniej klasyfikuje ekspozycje do poszczególnych klas lub pul dłużników i instrumentów. Jeżeli instytucja stosuje rating zewnętrzny jako główny czynnik decydujący o przyznaniu wewnętrznego ratingu, instytucja ta zapewnia uwzględnienie innych istotnych informacji" oraz art. 179 ust. 1 lit. a CRR, który stanowi, że "przy przeprowadzaniu kwantyfikacji parametrów ryzyka związanego 15 z poszczególnymi klasami lub pulami ratingowymi instytucje stosują następujące wymogi: a) oszacowania własne instytucji dotyczące parametrów ryzyka PD, LGD, współczynnika konwersji i EL uwzględniają wszelkie istotne dane, informacje i metody. Oszacowań dokonuje się na podstawie zarówno doświadczeń z przeszłości, jak i dowodów empirycznych, nie zaś wyłącznie w oparciu o osąd własny. Oszacowania te są wiarygodne i intuicyjne oraz opierają się na istotnych czynnikach odpowiednich parametrów ryzyka. Im mniej danych ma do dyspozycji instytucja, tym ostrożniejsze są jej oszacowania". Jak wynika z powyższych przepisów instytucja kredytowa jest obowiązana do zbierania informacji przydatnych do skutecznego zarządzania ryzykiem. Nie oznacza to jednak, że gromadzenie danych w systemach ratingowych może odbywać się z naruszeniem innych przepisów regulujących kwestie ochrony danych osobowych. Należy ponadto dodać, że inne przepisy rozporządzenia CRR zawierają konkretyzację danych, które mogą być użyte przez instytucje kredytowe oraz firmy inwestycyjne przy realizacji wymogów ostrożnościowych. W przedmiotowym rozporządzeniu wprost wskazano, że za elementy wskazujące na prawdopodobieństwo niedokonanie płatności uznaje się sytuacje takie jak m. in. złożenie przez instytucję wniosku o postawienie dłużnika w stan upadłości lub podobnego wniosku w odniesieniu do zobowiązań kredytowych dłużnika wobec instytucji, jednostki dominującej lub którejkolwiek z jej jednostek zależnych (art. 178 ust. 3 lit. e) lub wystąpienie przez dłużnika o ogłoszenie upadłości lub o przyznanie podobnej ochrony lub postawienie dłużnika w stan upadłości bądź przyznanie mu podobnej ochrony, jeżeli umożliwiłoby mu to uniknięcie lub opóźnienie spłaty zobowiązań kredytowych wobec instytucji, jednostki dominującej lub którejkolwiek z jej jednostek zależnych (art. 178 ust. 3 lit. f). W CRR natomiast nie dokonano takiego konkretnego wskazania w przypadku zapytań kredytowych niezakończonych zawarciem umowy, tym samym nie sposób uznać, że przewiduje ono podstawy prawnej do przetwarzania danych w nich zawartych.
W ocenie Prezesa UODO, Bank niewłaściwie wskazywał jako podstawę przetwarzania danych wnioskodawcy Rekomendację T Komisji Nadzoru Finansowego dotyczącą dobrych praktyk w zakresie zarządzania ryzykiem detalicznych ekspozycji kredytowych w związku z badaniem zdolności kredkowej, korzystania z zewnętrznych baz danych, posiadania narzędzi analitycznych wspierających pomiar poziomu ryzyka związanego z detalicznymi ekspozycjami kredytowymi. Bank był uprawniony do przetwarzania danych osobowych wnioskodawcy w celu oceny zdolności kredytowej. Podkreślił, że nie doszło do zawarcia umowy pomiędzy wnioskodawcą a Bankiem. W związku z powyższym odpadła przesłanka legalizująca dalsze przetwarzanie danych osobowych wnioskodawcy przez Bank. Celem przetwarzania danych osobowych wnioskodawcy była ocena zdolności kredytowej i analiza ryzyka kredytowego. W związku z dokonaniem przez Bank oceny zdolności kredytowej i analizy ryzyka kredytowego ww. cel przetwarzania danych osobowych wnioskodawcy został zrealizowany, wobec czego brak było podstaw prawnych do kontynuowania tego procesu. W tym miejscu podzielić należy pogląd wyrażony w wyroku Naczelnego Sądu Administracyjnego z dnia 27 sierpnia 2019 r., sygn. akt I OSK 2567/17, zgodnie z którym cyt.: "(...) cel oceny zdolności kredytowej stanowi ocena zdolności do spłaty zaciągniętego kredytu wraz z odsetkami, co ma charakter czynności wstępnej do zawarcia stosownej umowy. Dalsze przetwarzanie danych uzyskanych w celu oceny zdolności kredytowej, w przypadku nie zawarcia stosownej umowy pozostawałaby w oderwaniu od celu dla którego dane te uzyskano. (...) niedopuszczalne jest przetwarzanie danych osobowych na przyszłość, a także na potrzeby budowy oceny zdolności kredytowej innych podmiotów, jeżeli nie można zrekonstruować wyraźnej podstawy prawnej takich działań.".
Prezes UODO odnosząc się do wskazania przez Bank, że będzie przetwarzał dane osobowe wnioskodawcy przez 6 lat od daty prawomocnego zakończenia niniejszego postępowania prowadzonego przez Prezesa UODO wskazał, że dane osobowe w myśl zasady ograniczonego celu, o której mowa w art. 5 ust. 1 lit. b RODO mogą być zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami, ponadto w myśl zasady ograniczenia przechowywania, dane osobowe mogą być przechowywane w formie umożliwiającej identyfikację osoby, której dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane. Mając powyższe na uwadze wskazał, że dane osobowe wnioskodawcy przetwarzane przez Bank w związku z udziałem w niniejszym postępowaniu mogą być przetwarzane do czasu zrealizowania ww. celu, tj. do czasu jego zakończenia.
Wobec powyższego, w ocenie Prezesa UODO, w niniejszej sprawie brak jest celu uzasadniającego dalsze przetwarzanie danych osobowych wnioskodawcy zawartych w przedmiotowych zapytaniach kredytowych zarówno przez Bank, jak i przez B.. Bank w związku z pozyskaniem danych osobowych wnioskodawcy w celu oceny zdolności kredytowej stał się administratorem tych danych osobowych. Natomiast B. stało się administratorem danych osobowych wnioskodawcy z uwagi na przekazanie tych danych przez Bank. W związku z powyższym, że Bank oraz B. są odrębnymi administratorami. Każdy z tych podmiotów przetwarza dane osobowe wnioskodawcy we własnych celach i samodzielnie ustala sposoby ich przetwarzania. W odniesieniu do kwestionowanego przez wnioskodawcę przetwarzania jego danych osobowych przez Bank i B. nie zaistniała żadna z wyrażonych w art. 6 ust. 1 RODO przesłanka, która stanowiłaby o legalności tego procesu. Dlatego też korzystając z uprawnienia przewidzianego w art. 58 ust. 2 lit. c RODO, Prezes UODO skierował do Banku i B., będących administratorami danych osobowych wnioskodawcy, przedmiotowe nakazy dotyczące danych osobowych wnioskodawcy przetwarzanych w związku ze złożonym zapytaniem kredytowym z dnia [...] lutego 2021 r.
B. S.A., reprezentowany przez pełnomocnika, w skardze do Wojewódzkiego Sądu Administracyjnego w Warszawie na punkt 1 decyzji Prezesa UODO z dnia [...] listopada 2023 r. nr [...] wniósł o uchylenie pkt. 1 decyzji Prezesa UODO z dnia [...] listopada 2023 r., zasądzenie od organu zwrotu kosztów postępowania według norm przepisanych, w tym kosztów zastępstwa procesowego. Pełnomocnik zarzucił naruszenie art. 6 ust. 1 lit. c) RODO w zw. z art. 105 ust. 1 pkt. 1c w zw. z art. 105 ust. 4 i w zw. z art. 105a w zw. z art. 70 i art. 5 ust. 1 pkt. 3 ustawy Prawo bankowe poprzez jego niezastosowanie i w konsekwencji niezasadne przyjęcie, że skarżący nie posiada ww. podstawy prawnej do przetwarzania danych zawartych w zapytaniu kredytowym w przypadku nie zawarcia umowy kredytowej, podczas gdy B. jest ustawowo zobowiązany do realizacji obowiązku prawnego wynikającego z ww. przepisów polegającego na gromadzeniu, przetwarzaniu i udostępnianiu bankom oraz podmiotom szczegółowo wskazanym w przepisie informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych w postaci oceny zdolności kredytowej oraz analizy ryzyka kredytowego konkretnego klienta (indywidualna ocena zdolności kredytowej) oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 575/2013 z dnia 26 czerwca 2013 r. w sprawie wymogów ostrożnościowych dla instytucji kredytowych i firm inwestycyjnych, zmieniające rozporządzenie (UE) nr 648/2012, ewentualnie, na wypadek nieuwzględnienia ww. zarzutu, zarzucił naruszenie art. 6 ust. 1 lit. f) RODO poprzez jego niezastosowanie wskutek przyjęcia, że skarżący nie posiada podstawy prawnej przetwarzania danych wnioskodawcy opartej na prawnie uzasadnionym interesie administratora oraz podmiotów trzecich wskazanych w art. 105 ust. 4 pkt. 1-5 Prawa bankowego, w postaci realizacji obowiązku gromadzenia, przetwarzania oraz udostępnienia bankom oraz podmiotom wskazanym w ww. przepisie informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych w postaci oceny zdolności kredytowej oraz analizy ryzyka kredytowego konkretnego klienta (indywidualna ocena zdolności kredytowej), w celu budowy i utrzymania modeli scoringowych, a więc narzędzi wykorzystywanych przez banki do oceny zdolności kredytowej i analizy ryzyka kredytowego oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013; art. 6 ust. 1 lit. c) RODO w zw. z art. 70a w zw. z art. 105 ust. 4 pkt. 1 i 2 oraz w zw. z art. 105a Prawa bankowego poprzez jego niezastosowanie wskutek uznania, że skarżący nie posiada podstawy prawnej do przetwarzania danych wnioskodawcy w sytuacji nie zawarcia umowy kredytowej, podczas gdy skarżący posiada podstawę prawną przetwarzania z uwagi na niezbędność przetwarzania do wykonania obowiązku prawnego przez banki i B., w postaci obowiązku przekazania osobie ubiegającej się o kredyt w formie pisemnej na jego wniosek wyjaśnień dotyczących dokonanej oceny zdolności kredytowej wnioskującego; art. 6 ust. 1 lit. e) RODO poprzez jego niezastosowanie wskutek uznania, że skarżący nie posiada podstawy prawnej do przetwarzania danych wnioskodawcy w sytuacji nie zawarcia umowy kredytowej, podczas gdy skarżący posiada podstawę prawną przetwarzania z uwagi na niezbędność przetwarzania dla realizacji zadania w interesie publicznym przez banki i B. w postaci zabezpieczenia ekonomiczno-gospodarczego sektora bankowego, w tym depozytariuszy i zapewnienia stabilności ekonomicznogospodarczej sektora bankowego, a w ujęciu makro zapobieganiu kryzysom gospodarczym; art. 6 ust. 1 lit. f) RODO poprzez jego niezastosowanie wskutek uznania, że przetwarzanie danych osobowych dla realizacji prawnie uzasadnionych interesów administratora danych w celach zabezpieczenia roszczeń może dotyczyć wyłącznie roszczeń istniejących i aktualnie dochodzonych i w konsekwencji nieuzasadnione przyjęcie, że prawnie uzasadniony interes administratora danych nie istnieje, podczas gdy istotą uzasadnionego interesu administratora jest możliwość przetwarzania danych na wypadek konieczności obrony przed roszczeniami istniejącymi lub dochodzenia w przyszłości roszczeń istniejących, które w warunkach niniejszej sprawy są związane z przetwarzaniem danych osobowych na potrzeby opracowania oceny scoringowej wnioskodawcy niezbędnej do przeprowadzenia analizy zdolności kredytowej oraz analizy ryzyka kredytowego, które to skarżący zobowiązany jest gromadzić, przetwarzać i udostępniać bankom i instytucjom ustawowo upoważnionym do udzielania kredytów dla realizacji celów ustawowych badania zdolności kredytowej; art. 6 ust. 1 lit. f) RODO poprzez jego niezastosowanie wskutek uznania, że w przypadku braku zawarcia umowy kredytowej, B. nie posiada prawnie uzasadnionego interesu w przetwarzaniu danych wnioskodawcy podczas gdy istnieje prawnie uzasadniony interes wnioskodawcy w przetwarzaniu tych informacji pomimo nie zawarcia umowy kredytowej, polegający na realizacji działań z zakresu opracowania, utrzymania aktualności i funkcjonalności zbudowanych modeli scoringowych w zgodzie z treścią Rekomendacji W, S i T Komisji Nadzoru Finansowego w zakresie dobrych praktyk i zarządzania ryzykiem kredytowym; art. 6 ust. 1 lit. f) RODO poprzez jego niezastosowanie wskutek uznania, że skarżący nie posiada podstawy prawnej do przetwarzania danych wnioskodawcy, podczas gdy skarżący posiada podstawę prawną przetwarzania z uwagi na konieczność zapewnienia rozliczalności działań skarżącego jako administratora danych osobowych na zasadzie art. 5 ust. 2 RODO w postaci wykazania przestrzegania przepisów dotyczących jakości danych; art. 107 § 1 k.p.a. w związku z naruszeniem art. 8 § 1 i 2 k.p.a., poprzez wydanie decyzji nakładającej na skarżącego nieprecyzyjnie określone w osnowie obowiązki, których wykonanie jest obiektywnie niemożliwe bez podjęcia dalszych działań i prób sprecyzowania treści obowiązku wynikającego z nakazu zawartego w osnowie wydanej decyzji, co w sposób oczywisty stoi w sprzeczności z zasadą precyzyjnego określenia obowiązków nałożonych na adresata decyzji administracyjnej; art. 7 k.p.a., art. 77 k.p.a. w zw. z art. 80 k.p.a. w zw. z art. 107 § 3 k.p.a. w zw. z art. 7 ust. 1 u.o.d.o. poprzez niezbadanie przez organ aktualnych podstaw przetwarzania danych wnioskodawcy przez skarżącego, niewystarczające wyjaśnienia podstaw prawnych decyzji oraz brak oceny istotnych okoliczności sprawy, co w konsekwencji uniemożliwiło skarżącemu zapoznanie się z powodami negatywnej oceny wskazanych przez skarżącego podstaw przetwarzania oraz doprowadziło do błędnego nakazania skarżącemu zaprzestania przetwarzania danych osobowych wnioskodawcy bez podstawy prawnej; art. 7, w zw. z art. 77 § 1 i w zw. z art. 80 k.p.a., w zw. z art. 7 u.o.d.o., poprzez niewyczerpujące zebranie, nierozpatrzenie i błędną ocenę całokształtu materiału dowodowego przejawiającego się w zaniechaniu dokonania wyczerpującej analizy charakteru, zakresu oraz celów gospodarczo - ekonomicznych dla jakich zostało powołane B. S.A. oraz obowiązków prawnych i obowiązków wynikających z zawartych przez B. umów z bankami oraz całkowite pominięcie wskazywanych przez skarżącego na etapie postępowania administracyjnego podstaw prawnych przetwarzania danych osób składających wnioski kredytowe wynikających z ustawy z dnia 1 marca 2018 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (t.j. Dz. U. z 2023 r. poz. 1124), co w konsekwencji skutkowało wadliwą i niepełną oceną stanu faktycznego sprawy oraz charakteru działania skarżącego prowadzącą do nakazania zaprzestania przetwarzania danych osobowych wnioskodawcy; art. 7b k.p.a. w zw. z art. 7 k.p.a. w zw. z art. 77 k.p.a. w zw. z art. 7 u.o.d.o. poprzez niedokładne wyjaśnienie stanu faktycznego i prawnego koniecznego do podjęcia przez organ stosownych czynności, a w szczególności niezwrócenie się do Komisji Nadzoru Finansowego w celu kompleksowego wyjaśniania stanu faktycznego sprawy oraz współdziałania w zakresie niezbędnym do dokładnego wyjaśnienia stanu prawnego, mając na względzie interes społeczny i słuszny interes obywateli w postaci ustalenia należytych zasad, celów i zakresu przetwarzania danych osobowych o niezrealizowanych zapytaniach kredytowych tak, by procesy przetwarzania danych czyniły zadość zarówno przepisom prawa o ochronie danych osobowych, jak i przepisom szeroko pojętego prawa bankowego, w szczególności dla zapewnienia ochrony wartości, których gwarancje ochrony wynikają z ww. przepisów zgodnie z zasadą proporcjonalności; art. 7 k.p.a., art. 77 § 1 k.p.a. i art. 80 k.p.a. poprzez zaniechanie dokonania oceny Rekomendacji S, W i T Komisji Nadzoru Finansowego jako organu właściwego do sprawowania nadzoru nad instytucjami krajowymi w rozumieniu przepisów UE, które to regulacje nakładają na banki, a w konsekwencji na B., jako instytucję gromadzącą dane służące do oceny zdolności kredytowej oraz budującą modele scoringowe służące bankom, określone wymagania, które podlegają nadzorowi i egzekwowaniu przez Komisję Nadzoru Finansowego na podstawie bezwzględnie obowiązujących przepisów prawa, co w konsekwencji doprowadziło do zaniechania przez organ oceny podstaw prawnych i celów dla jakich B. oraz banki są upoważnione do przetwarzania danych w zakresie zdolności kredytowej również w przypadku nie zawarcia umowy kredytowej dla zabezpieczenia interesów banków oraz stabilności rynku gospodarczo-finansowego; art. 7 k.p.a., art. 77 k.p.a. w zw. z art. 80 k.p.a. poprzez zaniechanie wyczerpującego zebrania i rozpatrzenia materiału dowodowego, przejawiające się w szczególności brakiem dokonania analizy podstawowych zasad funkcjonowania stabilnego sektora finansowego w tym pod kątem istnienia - po stronie banków, a w konsekwencji B. jako instytucji gromadzącej dane służące do oceny zdolności kredytowej oraz budującej modele scoringowe służące bankom - oczywistego interesu prawnego przejawiającego się w odmowie udzielenia kredytu wynikającego z braku istnienia zdolności kredytowej po stronie wnioskodawcy, co prowadzi do zabezpieczenia interesu banków przed nieodpowiedzialną polityką udzielania kredytów osobom, które nie mają szans na ich spłacenie oraz do zapewnienia stabilności gospodarczo-ekonomicznej sektora bankowego, a w ujęciu makro zapobieganiu kryzysom gospodarczym.
Pełnomocnik skarżącego w uzasadnieniu przytoczył przebieg postępowania oraz szerzej omówił zarzuty skargi, przytaczając na ich poparcie orzecznictwo sądów administracyjnych. Wskazał m.in., że informacja o fakcie udzielenia bądź nieudzielania finansowania konkretnemu podmiotowi jest jedną z kluczowych zmiennych wpływających na budowę modeli scoringowych. Z jednej strony, stanowi ona element konstrukcyjny modeli scoringowych wykorzystywanych bezpośrednio przez skarżącego, z drugiej strony, na zasadzie art. 105 ust. 1 pkt 1-1c w zw. z art. 105 ust. 4 oraz w zw. z art. 105a ust. 1 Prawa bankowego, jest informacją ujawnianą przez skarżącego bankom i instytucjom kierującym odpowiednie zapytania do skarżącego - w ramach realizacji przez skarżącego obowiązków prawnych wynikających z ww. przepisów. Każda informacja, zarówno pozytywna jak i negatywna, jest istotna dla funkcjonalnego opisania rzeczywistości i realiów gospodarczych, w których funkcjonuje sektor bankowy. Informacja o braku udzielenia finansowania osobie ubiegającej się o finansowanie, o powodach negatywnej oceny indywidualnego ryzyka kredytowego, o kryteriach i zmiennych, jakie zostały wzięte pod uwagę podczas dokonywania oceny, jest informacją niezwykle istotną dla budowania poprawnych, funkcjonalnych i skutecznych modeli scoringowych, jako że kryteria i zasady dokonania oceny indywidualnego ryzyka kredytowego pozostają składową budującą model scoringowy, niezależnie od tego, czy finansowanie w formie kredytu ostatecznie zostało czy nie zostało udzielone. Wobec powyższego Skarżący pozostaje zobligowany do przetwarzania danych osobowych wnioskodawcy w celu stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013, w tym budowy skutecznych i poprawnie działających modeli scoringowych.
Pełnomocnik B. wyjaśnił, że przy dokonywaniu oceny wniosków kredytowych uwzględniane są cechy osoby wnioskującej o kredyt, tj. m.in. osiągane dochody, stabilność zatrudnienia, wykształcenie, sytuacja rodzinna, które są poświadczane bankowi przez samą osobę wnioskującą o kredyt lub w oparciu o dane zgromadzone w B.. Spotykaną praktyką jest, że z uwagi na negatywną decyzję jednego banku, potencjalny klient składa kolejny wniosek kredytowy z innymi, zmodyfikowanymi danymi. Nieścisłości te często dotyczą wysokości dochodów, statusu zatrudnienia czy innych informacji, wpływających zarówno na ocenę zdolności kredytowej, jak i na analizę ryzyka kredytowego. Przyznawanie finansowania, w sytuacji, w której Bank oraz B. pozbawieni byliby dostępu do istotnych informacji wsadowych, uniemożliwiałoby tym podmiotom dochowanie należytej staranności m.in. w zakresie analizy zdolności i ryzyka kredytowego, a tym samym mogłoby prowadzić do przyznania kredytów, których spłacenie byłoby dla klientów trudne lub niemożliwe. Dlatego tak istotne jest przeprowadzanie analizy danych podanych we wnioskach kredytowych i analizy zapytań kredytowych złożonych w B. w określonym czasie, w którym nie powinno dojść do zmian w sytuacji osoby ubiegającej się o kredyt - pozwala to bowiem na wykrycie potencjalnych nieścisłości i uniknięcie udzielania finansowanie osobom, które nie mają możliwości spłacenia kredytu. Podkreślił, że skarżący, z uwagi na upływ okresu retencji, nie przetwarza aktualnie danych wnioskodawcy w powyższym celu. Wypełnienie nakazu Prezesa UODO w postaci zaprzestania przetwarzania danych osobowych wnioskodawcy w zakresie zapytania kredytowego w okresie przed upływem 12 miesięcy od dnia złożenia zapytania kredytowego stanowi rażące naruszenie prawa powszechnie obowiązującego przez skarżącego.
Skarżący jako instytucja będąca integralnym elementem sektora bankowego, również jest zobowiązany do realizacji zadań spoczywających na instytucjach sektora bankowego. Przetwarzanie danych osobowych wnioskodawcy pozostaje niezbędne do realizacji zadania spoczywającego na skarżącym jako instytucji sektora bankowego w postaci zapewnienia stabilności ekonomiczno-gospodarczej poprzez skuteczne zabezpieczenie sektora finansowego, w szczególności banków i sektora bankowego, a w ujęciu makroekonomicznym całej gospodarki, przed skutkami nieodpowiedzialnej polityki udzielania kredytów osobom, które nie mają szans na ich spłatę, na podstawie art. 6 ust. 1 lit. e) RODO w zw. z art. 9b Prawa bankowego oraz art. 2 ustawy z dnia 21 lipca 2006 r. o nadzorze nad rynkiem finansowym.
Pełnomocnik B. zwrócił uwagę, że od dołączenia do akt sprawy ostatniego pisma wyjaśniającego skarżącego do wydania decyzji upłynął rok. W tym okresie Prezes UODO nie podejmował czynności mających na celu ustalenie ewentualnych zmian stanu faktycznego, w tym zmian w zakresie celów w jakich skarżący przetwarza dane osobowe wnioskodawcy. Skarżący powołał się na wyrok WSA w Warszawie z dnia 4 września 2023 r. sygn. akt II SA/Wa 1875/22.
Pełnomocnik B. odwołując się do art. 2 oraz art. 4 pkt 1 ustawy o nadzorze nad rynkiem finansowym wskazał, że choć wytyczne KNF nie są źródłem prawa powszechnie obowiązującego w rozumieniu art. 87 Konstytucji Rzeczpospolitej Polskiej, z uwagi na charakter i rolę sprawowaną przez KNF, są zbiorem podstawowych zasad bezwzględnie obowiązujących dla wszystkich instytucji sektora finansowego, w tym również skarżącego poprzez oddziaływanie pośrednie na skarżącego jako integralny element tego sektora. KNF wielokrotnie w swoich wytycznych reguluje kwestie związane z zarządzaniem ryzykiem udzielania finansowania przez podmioty rynku finansowego, w tym sektora bankowego. Najważniejsze z nich to Rekomendacje W, S i T w zakresie dobrych praktyk i zarządzania ryzykiem kredytowym. Wskazane rekomendacje obejmują działania bazujące nie tylko na informacjach związanych z udzielonym finansowaniem, ale również na informacjach i danych wynikających ze zdarzeń i sytuacji, gdy nie zawarto umów kredytowych z jakichkolwiek względów. Wszelkie nieprawidłowości i niezgodność działań podejmowanych przez instytucje sektora bankowego podlegają sankcjom wymierzanym bezpośrednio przez KNF na podstawie przepisów Prawa bankowego i ustawy o nadzorze nad rynkiem finansowym. Stąd też skarżący jako instytucja sektora bankowego, musi realizować rekomendacje wydawane przez KNF i odpowiada za brak ich realizacji. Wobec powyższego, przetwarzanie danych osobowych wnioskodawcy przez skarżącego nawet w sytuacji, gdy nie doszło pomiędzy Bankiem i wnioskodawcą do zawarcia umowy kredytowej, jest niezbędne dla realizacji rekomendacji W, S i T KNF.
Skarżący podkreślił, że jednym z celów jego powołania jest wsparcie banków i innych instytucji uprawnionych do udzielania kredytów w zakresie wykonywania przez te instytucje czynności bankowych. Art. 70 Prawa bankowego stanowi o badaniu przez banki zdolności kredytowej, przy czym skarżący podkreślił, że badanie to jest obowiązkiem, nie uprawnieniem banków. Skarżący uczestniczy w procesie badania zdolności kredytowej. Z uwagi na rolę skarżącego w procesie badania indywidualnej zdolności kredytowej wnioskującego, obowiązek opisany w art. 70a Prawa bankowego rozciąga się również na skarżącego, w szczególności przekazując podmiotom wyniki indywidualnego scoringu osoby wnioskującej o udzielenie finansowania, opracowanego przez skarżącego na podstawie własnych modeli scoringowych, skarżący uczestniczy w procesie wyjaśniania tym wnioskującym podstaw opracowania oceny scoringowej wnioskującego. Obowiązek ten nie wynika więc w swojej istocie wprost z art. 70a Prawa bankowego, ale z art. 70a w zw. z art. 105 ust. 4 w zw. z art. 105a Prawa bankowego. Mając na uwadze powyższe skarżący pozostaje zobligowany do przetwarzania danych osobowych wnioskodawcy w celu umożliwienia uzyskania wyjaśnień w zakresie czynników, w tym danych osobowych wnioskującego, które miały wpływ na dokonaną ocenę zdolności kredytowej, na podstawie art. 6 ust. 1 lit. c) RODO w zw. z art. 70a w zw. z art. 105 ust. 4 pkt. 1 i 2 oraz w zw. z art. 105a w zw. z art. 105 ust. 4 pkt. 1 i 2 Prawa bankowego.
Pełnomocnik skarżącego podkreślił również, iż ograniczenie przesłanki możliwości przetwarzania danych osobowych dla zabezpieczenia roszczeń wyłącznie do sytuacji, w których roszczenia są już dochodzone, powoduje istotne ograniczenie w korzystaniu przez skarżącego z zagwarantowanego w Konstytucji Rzeczpospolitej Polskiej prawa do sądu. Gdyby bowiem uznać interpretację PUODO za poprawną, abstrahując od pozostałych celów i podstaw prawnych przetwarzania danych osobowych wnioskodawcy przez skarżącego, skarżący powinien był usunąć dane wnioskodawcy bezpośrednio po wykonaniu oceny ryzyka kredytowego wnioskodawcy. Uniemożliwiłoby to skarżącemu efektywną obronę swoich praw w razie jakiegokolwiek postępowania zainicjowanego przez wnioskodawcę, w tym postępowania będącego następstwem skargi wnioskodawcy do Prezesa UODO oraz niniejszego postępowania.
Prezes UODO w odpowiedzi na skargę wniósł o jej oddalenie podtrzymując stanowisko wyrażone w zaskarżonej decyzji. Organ w uzasadnieniu dodał m.in., że uzależnienie wydania decyzji przez Prezesa UODO od zwrócenia się przez organ do KNF, rodzi ryzyko nieuprawnionej ingerencji w niezależność Prezesa UODO jako organu nadzorczego, ustanowionego zgodnie z przepisami RODO oraz u.o.d.o. Ponadto w ocenie Prezesa UODO nie może mieć miejsca przetwarzanie danych osobowych związanych z zapytaniami kredytowymi, które nie zakończyły się przyznaniem kredytu, w oparciu o wskazany przez B. art. 6 ust. 1 lit. f RODO z uwagi na konieczność zapewniania rozliczalności działań B. jako administratora danych osobowych na zasadzie art. 5 ust. 2 RODO. Takie działanie byłoby niezgodne z art. 5 ust. 1 lit. e RODO, który stanowi iż dane osobowe muszą być przechowywane w formie umożliwiającej identyfikację osoby, której dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane. Skoro zatem dane osobowe nie są już niezbędne do celów, w których są przetwarzane, brak jest podstaw by uznać, że można je zachować wyłącznie w celu wykazania przestrzegania przepisów art. 5 ust. 1 RODO.
[...] Bank Polska S.A., reprezentowany przez pełnomocnika, w skardze do Wojewódzkiego Sądu Administracyjnego w Warszawie na pkt. 2 decyzji Prezesa UODO z dnia [...] listopada 2023 r. nr [...] umorzenie postępowania wobec Banku, zasądzenie od organu zwrotu kosztów postępowania według norm przepisanych oraz przeprowadzenie dowodów uzupełniających z wydruku zrzutu ekranu z wewnętrznego systemu Banku, dedykowanego do przeglądu m.in. zapytań kredytowych zrealizowanych przez Bank w B., wykonanego w dniu [...] grudnia 2023 r. przez pracownika Banku z Obszaru Ryzyka - w celu wykazania, że skarżący nie przetwarza już danych osobowych wnioskodawcy w zakresie wynikającym z zapytania kredytowego z dnia [...] lutego 2021 r. - dane te zostały usunięte przez Bank, wydruku wiadomości mailowej z dnia 22 grudnia 2023 r. (godz. 11:41), przesłanej przez pracownika Banku z Obszaru Ryzyka do pracownika Banku z Zespołu [...] - w celu wykazania, że Bank usunął zapytania kredytowe starsze niż 1 marca 2021 r. (a więc także zapytanie kredytowe z dnia [...] lutego 2021 r., dotyczące wnioskodawcy) w dniu 18 marca 2023 r. Pełnomocnik zarzucił naruszenie art. 105 § 1 k.p.a. poprzez brak umorzenia postępowania w sytuacji, gdy stało się ono bezprzedmiotowe - w toku postępowania prowadzonego przez Prezesa UODO (w dniu 18 marca 2023 r.) Bank usunął dane osobowe wnioskodawcy w zakresie wynikającym z zapytania kredytowego z dnia [...] lutego 2021 r., w nauce prawa i orzecznictwie nie budzi wątpliwości, że postępowanie może stać się bezprzedmiotowe z przyczyn natury faktycznej - ma to miejsce w przypadku takich zmian w stanie faktycznym sprawy, które czynią niemożliwym dalszy tok postępowania – w niniejszej sprawie dane osobowe wnioskodawcy w zakresie wynikającym z zapytania kredytowego z dnia [...] lutego 2021 r. zostały usunięte w dniu 18 marca 2023 r., a zatem jeszcze przed wydaniem zaskarżonej decyzji, organ prowadzący postępowanie powinien z urzędu badać, czy stało się ono z jakiejkolwiek przyczyny bezprzedmiotowe, w chwili, gdy postępowanie stało się bezprzedmiotowe, organ obowiązany jest je zakończyć w formie decyzji o umorzeniu postępowania; naruszenie art. 7, art. 12 oraz art. 77 § 1 k.p.a. w zw. z art. 6 k.p.a., polegające na niezastosowaniu przez organ zasady prawdy obiektywnej, zasady szybkości i prostoty postępowania oraz zasady oficjalności postępowania, co skutkowało także naruszeniem zasady praworządności, postępowanie przed Prezesem DODO trwało dwa lata, wydając decyzję dopiero po dwóch latach od momentu złożenia skargi przez wnioskodawcę, Prezes UODO powinien mieć na uwadze, że w tak długim przedziale czasu okoliczności niniejszej sprawy uległy zmianie, organ nie podjął jednak wszystkich czynności niezbędnych do prawidłowego ustalenia stanu faktycznego oraz do dokładnego i wnikliwego wyjaśnienia sprawy, w konsekwencji Prezes UODO nie ustalił kluczowej okoliczności, że w dniu wydawania zaskarżonej decyzji ([...] listopada 2023 r.) skarżący nie przetwarzał już danych osobowych wnioskodawcy wynikających z zapytania kredytowego z dnia [...] lutego 2021 r., gdyż zostały one usunięte przez Bank w dniu 18 marca 2023 r., również zebrany w niniejszej sprawie materiał dowodowy nie był wyczerpujący ani nie został dostatecznie rozpatrzony przez Prezesa UODO; naruszenie art. 7 oraz art. 7b w zw. z art. 8 i art. 77 § 1 k.p.a., polegające na zaniechaniu zwrócenia się przez Prezesa UODO do Komisji Nadzoru Finansowego jako organu właściwego w sprawach związanych m.in. z badaniem zdolności kredytowej i analizą ryzyka kredytowego oraz budową modeli scoringowych w zakresie wykorzystywania do realizacji tych zadań danych, w tym danych osobowych o niezrealizowanych zapytaniach kredytowych; tymczasem zwrócenie się przez Organ do KNF pozwoliłoby na dokładne wyjaśnienie stanu faktycznego i prawnego sprawy, mając na względzie interes społeczny oraz słuszny interes obywateli w postaci ustalenia należytych zasad, celów oraz zakresu przetwarzania danych o niezrealizowanych zapytaniach kredytowych w taki sposób, aby - zgodnie z zasadą proporcjonalności - procesy przetwarzania danych czyniły zadość zarówno przepisom o ochronie danych osobowych, jak i przepisom szeroko pojętego prawa bankowego oraz zapewnieniu stabilności rynku gospodarczo-finansowego; naruszenie art. 6 ust. 1 lit c) RODO w zw. z art. 105 ust. 4 oraz art. 105a ust 1 - 1c ustawy Prawo bankowe poprzez niewłaściwe zastosowanie, a w konsekwencji nieuzasadnione przyjęcie, że Bank (przed usunięciem danych osobowych wnioskodawcy w zakresie wynikającym z zapytania kredytowego z dnia [...] lutego 2021 r.) nie legitymował się przesłanką przetwarzania danych osobowych wnioskodawcy wynikającą z art. 6 ust. 1 lit. c) RODO w zw. z art. 105 ust. 4 oraz art. 105a ust. 1 -1 c Prawa bankowego, podczas gdy z tych przepisów wynika obowiązek przetwarzania danych osobowych (również danych z zapytań kredytowych) przez banki i inne instytucje wymienione w art. 105 ust. 4 Prawa bankowego, na zasadzie wzajemności i w zakresie, w jakim informacje te są potrzebne bankom do wykonywania czynności bankowych, w tym oceny zdolności kredytowej i analizy ryzyka kredytowego, celem art. 105 ust. 4 Prawa bankowego jest zatem nie tylko poinformowanie banku, który rozpatruje wniosek kredytowy, ale również przetwarzanie takiego zapytania przez określony czas i tym samym umożliwienie innemu bankowi (w związku z wnioskiem tej samej osoby złożonym w innym banku) otrzymanie informacji, czy wnioskodawca ubiegał się już o kredyt i z jakim skutkiem - co ma znaczenie dla oceny zdolności i wiarygodności kredytowej dla innego banku, zdaniem skarżącego przyjęcie jako właściwego stanowiska prezentowanego przez Prezesa UODO może natomiast ostatecznie doprowadzić do zakwestionowania wymiany jakichkolwiek informacji między bankami a B., ponadto, wbrew ocenie przedstawionej przez organ obowiązki wynikające z art. 105a ust. 1 - 1c Prawa bankowego nie przestają istnieć wraz z wydaniem decyzji odmownej osobie wnioskującej o kredyt, naruszenie art. 6 ust. 1 lit. c) RODO w zw. z art. 105 ust. 1, art. 105 ust. 4 pkt. 1, art. 5 ust. 1 pkt. 3 oraz art. 70 ust. 1 Prawa bankowego w zw. z art. 9 ust. 2, 3 i 4 ustawy o kredycie konsumenckim poprzez jego niewłaściwe zastosowanie i nieuzasadnione przyjęcie, że skarżący (przed usunięciem danych osobowych wnioskodawcy w zakresie wynikającym z zapytania kredytowego z dnia [...] lutego 2021 r.) nie legitymował się przesłanką przetwarzania danych wynikającą z art. 6 ust. 1 lit. c) RODO w zw. z art. 105 ust. 1, art. 105 ust. 4 pkt. 1, art. 5 ust. 1 pkt. 3 oraz art. 70 ust. 1 Prawa bankowego w zw. z art. 9 ust. 2, 3 i 4 ustawy o kredycie konsumenckim, podczas gdy cel przetwarzania danych polegał na dostarczaniu Bankowi przez B. informacji (w tym ocen i modeli scoringowych) niezbędnych do wykonywania czynności bankowych (art. 5 ust. 1 pkt 3 Prawa bankowego), w tym udzielania kredytów, przy czym ocena zdolności kredytowej jest obowiązkiem banków (art. 70 Prawa bankowego w zw. z art. 9 ust. 2, 3 i 4 ustawy o kredycie konsumenckim); naruszenie art. 6 ust. 1 lit. c) RODO w zw. z art. 144 ust. 1 lit d), art. 145 ust. 1, art. 170 ust. 3 lit a), art. 171 ust. 2, art. 179 ust. 1 lit a) oraz art. 181 ust. 2 rozporządzenia Parlamentu Europejskiego i Rady nr 575/2013 z dnia 26 czerwca 2013 r. w sprawie wymogów ostrożnościowych dla instytucji kredytowych i firm inwestycyjnych, zmieniające rozporządzenie (UE) nr 648/2012 (Dz. Urz. UE. L 176/1 z dnia 27 czerwca 2013 r.; dalej jako: "CRR") poprzez niewłaściwe zastosowanie oraz przyjęcie, że Bank (przed usunięciem danych osobowych wnioskodawcy w zakresie wynikającym z zapytania kredytowego z dnia [...] lutego 2021 r.) nie legitymował się przesłanką przetwarzania danych wynikającą z art. 6 ust. 1 lit. c) RODO w zw. z przepisami CRR, podczas gdy te przepisy wskazują na określone obowiązki banków w zakresie wymogów ostrożnościowych i nakładają na skarżącego obowiązek tworzenia zaawansowanych modeli statystycznych z wykorzystaniem wszystkich istotnych, aktualnych informacji, natomiast Bank jest obowiązany do zachowania spójności modelu. Usunięcie danych osobowych natychmiast po wydaniu decyzji o odmowie udzielenia kredytu prowadziłoby zaś do naruszenia tego obowiązku; naruszenie art. 6 ust. 1 lit c) RODO w zw. z art. 106d ust. 3 Prawa bankowego, art. 33 ust. 2, art. 33 ust. 3 pkt. 6, art. 34 ust. 1 pkt 4, art. 36, art. 46 oraz art. 49 ust. 1 ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu poprzez brak zastosowania tych przepisów, a w konsekwencji brak ustalenia, że Bank (przed usunięciem danych wnioskodawcy w zakresie wynikającym z zapytania kredytowego z dnia [...] lutego 2021 r.) legitymował się przesłanką przetwarzania danych wynikającą z przywołanych wyżej przepisów ustawy AML, albowiem ww. przepisy nakładają na skarżącego obowiązek przetwarzania informacji (w tym również danych osobowych) w celu zapewnienia bezpieczeństwa obrotu gospodarczego, poprzez przeprowadzenie szczegółowego badania na temat klientów, w tym przyszłych klientów, jak i badania powiązań kapitałowo-osobowych; naruszenie art. 6 ust. 1 lit. c) RODO w zw. z art. 70a ust. 1 i 2 Prawa bankowego poprzez brak zastosowania tych przepisów, a w konsekwencji brak ustalenia, że art. 6 ust. 1 lit. c) RODO w zw. z art. 70a ust. 1 i 2 Prawa bankowego (przed usunięciem danych osobowych wnioskodawcy w zakresie wynikającym z zapytania kredytowego z dnia [...] lutego 2021 r.) stanowił podstawę przetwarzania danych osobowych wnioskodawcy, tymczasem w dniu złożenia skargi przez wnioskodawcę do Prezesa UODO (9 listopada 2021 r.) obowiązek Banku, przewidziany w art. 70a ust. 1 i 2 Prawa bankowego, nie był ograniczony w czasie. W związku z tym sam fakt, że przed złożeniem skargi do organu, wnioskodawca nie domagał się od skarżącego wyjaśnień dotyczących oceny zdolności kredytowej, nie musiał oznaczać, że wnioskodawca nie zdecyduje się na skierowanie takiego wniosku w przyszłości, aktualnie termin na złożenie wniosku o udzielenie wyjaśnień dotyczących dokonanej oceny zdolności kredytowej wynosi rok od dnia otrzymania przez wnioskującego takiej oceny, zatem ustawodawca nie przyjął, że dane powinny być usuwane niezwłocznie po wydaniu decyzji o odmowie udzielenia kredytu, ponadto nie wprowadził ograniczenia, że uprawnienie z art. 70a Prawa bankowego "wygasa’', jeżeli dana osoba wcześniej (przed upływem roku) zażąda usunięcia swoich danych; naruszenie art. 6 ust. 1 lit. f) RODO w zw. z art. 117 § 2 i 21, art. 118 i art. 119 ustawy z dnia 23 kwietnia 1964 r. - Kodeks cywilny poprzez ich niewłaściwe zastosowanie oraz nieuzasadnione przyjęcie, że przechowywanie danych przez okres przedawnienia roszczeń nie stanowi prawnie uzasadnionego interesu skarżącego w rozumieniu art. 6 ust. 1 lit. f) RODO, tymczasem przepisy art. 6 ust. 1 lit. f) RODO w zw. z art. 117 § 2 i 21 , art. 118 i art. 119 k.c. uprawniają Bank do przetwarzania danych osobowych w celu rozpatrywania oraz dochodzenia ewentualnych reklamacji lub roszczeń - również w sytuacji, gdy ani administrator danych osobowych (tu: Bank), ani osoba, której dane dotyczą (tu: wnioskodawca), nie zgłosiła jeszcze reklamacji lub roszczenia; naruszenie art. 6 ust. 1 lit. f) RODO w zw. z następującymi rekomendacjami wydanymi przez KNF: (i) Rekomendacją T z lutego 2013 r., dotyczącą dobrych praktyk w zakresie zarządzania ryzykiem detalicznych ekspozycji kredytowych (załącznik do uchwały KNF nr 59/2013 z dnia 26 lutego 2013 r. (Dz. Urz. KNF z 2013 r., poz. 11): dalej jako: "Rekomendacja T"); (ii) Rekomendacją W z lipca 2015 r., dotyczącą zarządzania ryzykiem modeli w bankach (załącznik do uchwały KNF nr 332/2015 z dnia 21 lipca 2015 r. (Dz. Urz. KNF z 2015 r., poz. 49); dalej jako: "Rekomendacja W"); (iii) Rekomendacją S z grudnia 2019 r., dotyczącą dobrych praktyk w zakresie zarządzania ekspozycjami kredytowymi zabezpieczonymi hipotecznie (załącznik do uchwały KNF nr 492/2019 z dnia 3 grudnia 2019 r. (Dz. Urz. KNF z 2019 r., poz. 39); dalej jako: "Rekomendacja S") - poprzez niewłaściwe zastosowanie i niezasadne przyjęcie, że Bank (przed usunięciem danych osobowych wnioskodawcy w zakresie wynikającym z zapytania kredytowego z dnia [...] lutego 2021 r.) nie legitymował się przesłanką przetwarzania wynikającą z art. 6 ust. 1 lit. f) RODO w zw. z ww. rekomendacjami KNF podczas gdy ww. rekomendacje KNF nakładają na banki oraz Biuro (jako instytucję powołaną na mocy art. 105 ust. 4 Prawa bankowego) określone wymagania nie tylko w związku z oceną danego, konkretnego wniosku kredytowego, ale także w odniesieniu do budowy metod oraz modeli statystycznych (w tym scoringowych); te wymagania podlegają następnie wyegzekwowaniu przez KNF na podstawie bezwzględnie obowiązujących przepisów prawa.
Pełnomocnik skarżącego w uzasadnieniu przytoczył przebieg postępowania oraz szerzej omówił zarzuty skargi przytaczając na ich poparcie orzecznictwo sądów administracyjnych. Pełnomocnik wskazał ponadto, że w toku postępowania prowadzonego przez Prezesa UODO Bank usunął dane osobowe wnioskodawcy, wynikające z ww. zapytania kredytowego. W związku z tym postępowanie stało się bezprzedmiotowe, co Prezes UODO powinien zbadać z urzędu i w konsekwencji umorzyć postępowania wobec Banku. Pełnomocnik zaakcentował, iż Bank ani B. nie są obowiązane do usuwania danych niezwłocznie po wydaniu decyzji o odmowie udzielenia kredytu. Fakt, że dane osobowe wnioskodawcy w zakresie wynikającym z zapytania kredytowego z dnia [...] lutego 2021 r. ostatecznie zostały usunięte przez Bank w dniu 18 marca 2023 r., wynika wyłącznie z tego, że z uwagi na upływ czasu dane te stały się już zbędne do realizacji celów, dla których zostały zebrane. W ocenie Banku, do czasu usunięcia danych osobowych wnioskodawcy wynikających z zapytania kredytowego (co miało miejsce w dniu 18 marca 2023 r.) był on uprawniony do przetwarzania danych wnioskodawcy. Pełnomocnik skarżącego, wyjaśniając przyczynę bezprzedmiotowości postępowania z art. 105 § 1 k.p.a., odwołał się m.in. do wyroku Naczelnego Sądu Administracyjnego z dnia 31 stycznia 2006 r., sygn. akt I OSK 978/05. Pełnomocnik skarżącego stwierdził, że skoro Prezes UODO nie umorzył postępowania - pomimo że stało się ono bezprzedmiotowe wraz z usunięciem przez Bank danych osobowych wnioskodawcy w zakresie wynikającym z zapytania kredytowego z dnia [...] lutego 2021 r. - to pkt. 2 zaskarżonej decyzji powinien zostać uchylony (art. 145 § 1 pkt. 1) lit. c) p.p.s.a.), a postępowanie administracyjne wobec Banku umorzone przez Sąd (art. 145 § 3 p.p.s.a.).
Pełnomocnik skarżącego zwrócił uwagę, że postępowanie przed Prezesem UODO trwało dwa lata – skarga wnioskodawcy wpłynęła do organu w dniu 26 listopada 2021 r. Prezes UODO w piśmie z dnia 9 grudnia 2022 r. wskazał, że w jego ocenie zgromadzony materiał jest wystarczający do wydania decyzji - niemniej, zapadła ona rok później, tj. w dniu [...] listopada 2023 r. Prezes UODO powinien mieć na uwadze, że w tak długim przedziale czasu okoliczności niniejszej sprawy uległy zmianie. Organ nie podjął jednak wszystkich czynności niezbędnych do dokładnego oraz wnikliwego wyjaśnienia i załatwienia sprawy. Brak zastosowania przez Prezesa UODO kluczowych zasad postępowania administracyjnego - tj. zasady prawdy obiektywnej (art. 7 k.p.a.), zasady szybkości i prostoty postępowania (art. 12 k.p.a.) oraz zasady oficjalności postępowania (art. 77 § 1 k.p.a.) doprowadził do wydania decyzji, pomimo że w toku postępowania stało się ono bezprzedmiotowe.
Pełnomocnik podzielił stanowisko wyrażone w wyroku Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 28 września 2021 r., sygn. akt II SA/Wa 474/21, w którym Sąd wskazał, że "z uwagi na stopień skomplikowania tej sprawy, która nie ogranicza się do prostej subsumcji przepisu, który literalnie wskazywałby prawo do przetwarzania danych przed nawiązaniem stosunku gospodarczego, specjalistyczny charakter wiedzy wynikających zarówno z przepisów Prawa bankowego, innych przepisów prawa w tym rozporządzenia CRR, jak i wymogów organu nadzoru rynku finansowego (i to nadzorów światowych czuwających nad całym rynkiem finansowym) – Komisji Nadzoru Finansowego (dalej zwaną KNF), wymagał współdziałania Prezesa UODO z KNF.". Wobec powyższego stwierdził, iż Prezes UODO powinien był w niniejszej sprawie współdziałać z KNF jako organem właściwym w kwestiach związanych m.in. z badaniem zdolności kredytowej i analizą ryzyka kredytowego oraz budową modeli scoringowych w zakresie wykorzystywania do realizacji tych zadań danych, w tym danych osobowych o niezrealizowanych zapytaniach kredytowych.
Pełnomocnik wyjaśnił, że banki są zobowiązane do udostępniania informacji objętych tajemnicą bankową, w tym danych osobowych, podmiotom wskazanym w art. 105 ust. 1 Prawa bankowego. B. jest natomiast instytucją utworzoną na podstawie art. 105 ust. 4 Prawa bankowego, zaś jego powołanie miało służyć przede wszystkim sprawnej wymianie informacji w sektorze bankowym. Wymiana informacji za pośrednictwem B. przyczynia się do tego, że banki – realizując swoje obowiązki z art. 105 ust. 1 Prawa bankowego - dysponują nie tylko własnymi informacjami, ale również informacjami z całego, sektora. Celem art. 105 ust. 4 Prawa bankowego jest nie tylko poinformowanie banku, który rozpatruje wniosek kredytowy, ale i przetwarzanie takiego zapytania przez określony czas i tym samym umożliwienie innemu bankowi (w związku z wnioskiem tej samej osoby złożonym w innym banku) otrzymanie informacji, czy wnioskodawca ubiegał się już o kredyt i z jakim skutkiem - co ma znaczenie dla oceny zdolności i wiarygodności kredytowej dla innego banku. Dla badania portfelowego ryzyka kredytowego jest niezbędne korzystanie z zaawansowanych metod statystycznych, czyli tzw. metod scoringowych, które pozwalają na stałe monitowanie ryzyka kredytowego dla Banku (czy nawet całej grupy kapitałowej) w oparciu o - z jednej strony - dane na temat konkretnych zobowiązań, a z drugiej - dane makroekonomiczne. Ogólne zasady tworzenia modeli służących tym celom określają właśnie m.in. przepisy CRR oraz rekomendacje KNF. Informacje podane w poprzednich wnioskach kredytowych mogą wskazywać na próbę manipulacji, która ma na celu pranie pieniędzy lub finansowanie terroryzmu czy ukrycie określonych powiązań osobowych. Natomiast Bank może przetwarzać dane osobowe zawarte w poprzednich wnioskach kredytowych m.in. właśnie w celu wykluczenia takich prób.
Pełnomocnik skarżącego wskazał, że termin na złożenie wniosku o udzielenie wyjaśnień dotyczących dokonanej oceny zdolności kredytowej wynosi rok od dnia otrzymania przez wnioskującego takiej oceny. Art. 70a Prawa bankowego w zmienionym brzmieniu obowiązuje od 29 września 2023 r. Przez rok osoba ubiegająca się o kredyt może złożyć wniosek o udzielenie wyjaśnień dotyczących dokonanej oceny zdolności kredytowej, a banki powinny udzielić odpowiedzi niezwłocznie, nie później jednak niż w terminie 30 dni od dnia otrzymania wniosku. A zatem z nowej regulacji jasno wynika, że w tym czasie banki mogą przetwarzać dane osobowe na podstawie ww. przepisów. W związku z tym podkreślił, że ustawodawca nie przyjął, że dane powinny być usuwane niezwłocznie po wydaniu decyzji o odmowie udzielenia kredytu. Ponadto, nie wprowadził ograniczenia, że uprawnienie z art. 70a Prawa bankowego "wygasa", jeżeli dana osoba wcześniej (przed upływem roku) zażąda usunięcia swoich danych.
Pełnomocnik skarżącego przywołał wyrok Wojewódzkiego Sądu Administracyjnego w Warszawie z dnia 31 marca 2022 r., sygn. akt II SA/Wa 3561/21, w którym Sąd stwierdził: "nie sposób uznać, aby przesłanka z art. 6 ust. 1 lit. f RODO dotyczyła sytuacji wyłącznie już istniejącej, w której celem wynikającym z prawnie uzasadnionych interesów realizowanych przez administratora jest konieczność udowodnienia, potrzeba dochodzenia lub obrony przed roszczeniem istniejącym, albowiem obejmuje ona również sytuacje, gdy dane są przetwarzane w celu zabezpieczenia się przed ewentualnym roszczeniem mogącymi powstać w przyszłości.". Zaznaczył, że wprawdzie wyrok ten nie odnosił się do danych wynikających z zapytań kredytowych, jednak skarżąca spółka wskazywała - tak, jak Bank w niniejszej sprawie - jako cel przetwarzania obronę przed ewentualnymi roszczeniami i argumentowała, że usunięcie danych osobowych uniemożliwi podjęcie takiej obrony.
Prezes UODO w odpowiedzi na skargę wniósł o jej oddalenie podtrzymując dotychczasowe stanowisko. W uzasadnieniu organ odnosząc się do zarzutu Banku dotyczącego bezprzedmiotowości postępowania wskazał, że zarzuty Banku dotyczące bezprzedmiotowości postępowania w ww. sprawie wobec Banku, w związku z usunięciem przez Bank danych osobowych wnioskodawcy wynikających z zapytania kredytowego z dnia [...] lutego 2021 r. przed wydaniem zaskarżonej decyzji, są chybione. Organ wskazał, że wydanie decyzji administracyjnej w niniejszej sprawie zostało poprzedzone dokładnym zbadaniem jej okoliczności faktycznych oraz zebraniem niezbędnego i wystarczającego materiału dowodowego. Organ podniósł m.in., że związany jest zakresem skargi, zaś w niniejszym postępowaniu wnioskodawca domagał się usunięcia jego danych osobowych, wynikających z przedmiotowego zapytania kredytowego, które w jego ocenie przetwarzane były bez podstawy prawnej przez Bank i w bazie B.. W ocenie Prezesa UODO, ocena stanu faktycznego jak i prawnego była prawidłowa i pozostawała aktualna na dzień wydania rozstrzygnięcia w niniejszej sprawie. W celu zweryfikowania zarzutów wnioskodawcy względem Banku oraz B., Prezes UODO, korzystając z instrumentów prawnych określonych w art. 58 ust. 1 lit. a i e RODO, wielokrotnie zwracał się do Banku oraz B. o złożenie pisemnych wyjaśnień w sprawie oraz potwierdzających je dowodów. Pytania zadane Bankowi w pismach Prezesa UODO zmierzały do ustalenia celów i podstaw przetwarzania danych osobowych wnioskodawcy. Prezes Urzędu wtoku niniejszego postępowania zwracał się do Banku o złożenie wyjaśnień w sprawie, m.in. pismami z dnia: 17 grudnia 2021 r. oraz z dnia 17 listopada 2022 r. Organ podał, że Bank w wyjaśnianiach wskazał, że dane osobowe wnioskodawcy wynikające z zapytania kredytowego z dnia [...] lutego 2021 r. będą przetwarzane przez Bank przez okres dwóch lat od daty złożenia wniosku, tj. do dnia 10 lutego 2023 r. Jednakże Bank w wyjaśnieniach z dnia 23 listopada 2022 r. wyjaśnił, że nadal przetwarza dane osobowe wnioskodawcy wynikające z ww. zapytania kredytowego, wskazał dodatkowe przesłanki przetwarzania ww. danych oraz nie wskazał do kiedy dane wnioskodawcy będą przetwarzane w oparciu o ww. dodatkowe przesłanki. Ponadto do dnia wydania decyzji Bank nie poinformował organu, że usunął dane osobowe wnioskodawcy, którą to okoliczność podniósł dopiero na etapie skargi na decyzję organu. Organ wskazał, że na podstawie art. 10 k.p.a. zapewnił stronom czynny udział w każdym stadium postępowania, a przed wydaniem decyzji umożliwił im wypowiedzenie się co do zebranych dowodów i materiałów oraz zgłoszonych żądań. Pismem z dnia 9 grudnia 2022 r. Bank został poinformowany przez organ, że w sprawie został zgromadzony materiał dowodowy wystarczający do wydania decyzji administracyjnej oraz o możliwości zapoznania się ze zgromadzonym materiałem dowodowym, a także możliwości wypowiedzenia się co do zebranych dowodów i materiałów oraz zgłoszonych żądań. Powyższe pismo zostało odebrane przez Bank w dniu 13 grudnia 2022 r. co wynika z potwierdzenia odbioru znajdującego się w aktach sprawy. Organ zauważył, ze Bank wskazał, że dokonał usunięcia danych osobowych wnioskodawcy, jednakże nie poinformował o tym fakcie Prezesa Urzędu, chociaż dysponował wiedzą, że toczy się w tej sprawie postępowanie administracyjne, a także, że okoliczność ta może mieć wpływ na wynik sprawy. Zdaniem organu niezasadne jest stwierdzenie, że Prezes UODO nie podjął wszystkich czynności niezbędnych do dokładnego wyjaśnienia oraz załatwienia sprawy. Organ podkreślił, że na administratorze spoczywa stosownie do postanowień art. 31 RODO obowiązek dostarczenia wszelkich informacji potrzebnych organowi nadzorczemu do realizacji swoich zadań. Organ wskazał nadto, że uzależnienie wydania decyzji przez Prezesa UODO od zwrócenia się przez organ do KNF rodzi ryzyko nieuprawnionej ingerencji w niezależność Prezesa UODO jako organu nadzorczego, ustanowionego zgodnie z przepisami RODO oraz ustawy z 2018 r. Stanowisko Banku, jakoby niezależny organ nadzorczy nie mógł samodzielnie orzekać w sprawach dotyczących przetwarzania danych osobowych niedoszłych klientów banków bez uprzedniej konsultacji w tej sprawie z organem nadzoru nad sektorem finansowym, jest w ocenie Prezesa UODO nieuprawniona i bezpodstawna. Narzucenie na organ takiego obowiązku oznaczałoby pozbawienie go niezależności i byłoby niezgodne z RODO. Co istotne pozbawiałoby ponadto osoby, których dane dotyczą prawa do złożenia i rozpatrzenia skargi na niezgodne z RODO przetwarzanie ich danych osobowych przez niezależny organ nadzorczy, co przepisy RODO osobom tym gwarantują.
Wojewódzki Sąd Administracyjny w Warszawie na rozprawie w dniu 19 listopada 2024 r. połączył sprawę ze skargi B. i Banku do łącznego rozpoznania i rozstrzygnięcia oraz prowadzenia pod sygn. akt II SA/Wa 169/24.
Sąd na podstawie artykułu 106 § 3 ustawy - Prawo o postępowaniu przed sądami administracyjnymi nie uwzględnił wniosku dowodowego Banku zawartego w skardze.
Zgodnie z art. 106 § 3 P.p.s.a. Sąd może z urzędu lub na wniosek stron przeprowadzić dowody uzupełniające z dokumentów, jeżeli jest to niezbędne do wyjaśnienia istotnych wątpliwości i nie spowoduje nadmiernego przedłużenia postępowania w sprawie". Oznacza to, że przeprowadzenie postępowania dowodowego przed sądem administracyjnym jest dopuszczalne wyjątkowo, jedynie w sytuacji wystąpienia wskazanych wyżej przesłanek.
Przesłanki te nie zaistniały w niniejszej sprawie. Przede wszystkim w sprawie nie wystąpiły istotne wątpliwości, o których mowa w powołanym przepisie.
Nadto, wydruki wiadomości e-mailowych, tj. wskazany w skardze wydruk zrzutu ekranu z wewnętrznego systemu Banku, dedykowanego do przeglądu m.in. zapytań kredytowych zrealizowanych przez Bank w B., wykonanego w dniu [...] grudnia 2023 r. przez (pracownika Banku z Obszaru Ryzyka) i wydruk wiadomości e-mailowej z dnia 22 grudnia 2023 r. (godz. 11:41), przesłanej przez (pracownika Banku z Obszaru Ryzyka) do (pracownika Banku z Zespołu Ochrony Danych Osobowych) i (Inspektora Ochrony Danych w Banku) - w celu wykazania, że Bank usunął zapytania kredytowe starsze niż 1 marca 2021 r. (a więc także zapytanie kredytowe z dnia [...] lutego 2021 r., dotyczące Wnioskodawcy) w dniu 18 marca 2023 r., nie stanowią dokumentów, o których jest mowa w art. 106 § 3 P.p.s.a. W sprawie nie ma podstaw do przeprowadzenia uzupełniającego postepowania dowodowego z wydruków korespondencji e-mailowej prowadzonej między pracownikami Banku.
Wojewódzki Sąd Administracyjny w Warszawie zważył, co następuje.
Skargi B. i Banku nie podlegały uwzględnieniu. Zaskarżona decyzja Prezesa UODO z dnia [...] listopada 2023 r. nr [...] (nr decyzji po sprostowaniu postanowieniem organu z dnia [...] stycznia 2024 r.) w całości, a zatem zarówno w części dotyczącej rozstrzygnięcia zawartego w punkcie 1 jak i 2, nie narusza prawa. Organ podjął w tej sprawie decyzję po dokonaniu pełnych ustaleń stanu faktycznego niezbędnych do jej rozstrzygnięcia. Sprawa niniejsza prawidłowo rozpatrzona i rozstrzygnięta została na podstawie RODO.
W sprawie jest bezsporne, że przetwarzanie danych osobowych R. J. (wnioskodawcy) przez Bank i B. miało miejsce w czasie obowiązywania RODO, tj. w 2021 r. Wymieniony złożył do Banku wniosek kredytowy w dniu [...] lutego 2021 r., co jest bezsporne. Bank wskazał w toku postępowania, że pozyskał w ten sposób i przetwarza dane wymienionego w zakresie: seria, numer i data ważności dokumentu tożsamości), dane kontaktowe (adres zameldowania, adres zamieszkania (korespondencyjny), dane dot. sytuacji rodzinnej i finansowej (stan cywilny, liczba dzieci, informacja o rozdzielności majątkowej, wykształcenie, informacje o rodzaju i wysokości dochodów). Niesporny jest też ustalony cel pozyskania danych wymienionej, tj. ocena zdolności kredytowej i ryzyka kredytowego. Cele dalszego przetwarzania przez Bank danych osobowych wymienionej wyżej osoby, z którą Bank nie zawarł umowy, w zakresie zapytania kredytowego, organ przedstawił w ustaleniach faktycznych decyzji, opartych na wyjaśnieniach Banku, które to ustalenia są bezsporne. Bank wskazał też na pozyskanie danych wnioskodawcy w związku z innym wnioskiem kredytowym wnioskodawcy złożonym w grudniu 2021 r. i umową ramową dla firm zawartą z wnioskodawcą we wrześniu 2021 r., co nie jest przedmiotem niniejszej sprawy. Wskazać należy, że dane przetwarzane w zapytaniu kredytowym z [...] lutego 2021 r. obejmują także takie cele jak: realizację prawa do wyjaśnienia oceny zdolności kredytowej, wykonywanie obowiązków związanych z przeciwdziałaniem praniu pieniędzy i finansowaniu terroryzmu, przeciwdziałanie popełnianiu innych przestępstw, w tym przestępstw na szkodę banków w zakresie obowiązku stosowania środków bezpieczeństwa finansowego, gromadzenia i przekazywania odpowiednim instytucjom informacji przewidzianych przez ustawę lub blokowania określonych transakcji, ocena ryzyka kredytowego, realizacja wymogów ostrożnościowych na podstawie właściwych przepisów rozporządzenia nr 575/2013, prowadzenia przez Prezesa Urzędu postępowania w niniejszej sprawie. Bank wskazał, co organ ustalił na podstawie jego wyjaśnień, że tak pozyskane dane osobowe wymienionej w związku z zapytaniem kredytowym nie zakończonym udzieleniem kredytu, będzie przetwarzał przez 2 lata. Ponadto dane osobowe wnioskodawcy jak wskazał Bank będą przetwarzane przez 6 lat od daty prawomocnego zakończenia niniejszego prowadzonego przez Prezesa UODO.
W sprawie jest także bezsporne, że B. pozyskał dane osobowe wnioskodawcy w zakresie zapytania kredytowego z dnia [...] lutego 2021 r. od Banku, na podstawie art. 105 ust. 4, ust. 1 pkt 1c, art. 105a ust. 1 Prawa Bankowego oraz umowy zawartej między B. i Bank.
Cele natomiast przetwarzania przez B. danych wnioskodawcy pozyskanych od Banku w zakresie zapytania kredytowego zostały wskazane przez organ w ustaleniach faktycznych decyzji, na podstawie wyjaśnień uzyskanych od B. i obejmują takie cele jak: budowa modeli scoringowych, a więc narzędzi wykorzystywanych przez banki do celów oceny zdolności kredytowej i analizy ryzyka kredytowego, w tym zakresie B. przyjął, że tak pozyskane dane wnioskodawcy będzie przetwarzał nie krócej niż 5 lat i nie dłużej niż 10 lat od dnia złożenia zapytania kredytowego, B. powołał się na art. 105a ust. 4 i 5 Prawa bankowego, B. podkreślił, że dane z zapytania kredytowego z [...] lutego 2021 r. nie są przetwarzane przez B. w celu indywidualnej oceny zdolności kredytowej i analizy ryzyka kredytowego wnioskodawcy i nie są przekazywane bankom w raportach kredytowych. B. wskazał jednocześnie, że procesem silnie powiązanym z oceną zdolności kredytowej jest analiza ryzyka kredytowego. Wskazał że w banku musi funkcjonować system zarządzania w ramach tego systemu funkcjonuje co najmniej system zarządzania ryzykiem oraz system kontroli wewnętrznej. Wskazano, że realizacja obowiązku zarządzania ryzykiem przez bank obejmuje również ocenę ryzyka kredytowego. B. podkreślił, że jednym z elementów realizacji obowiązku zarządzania ryzykiem jest wymiana danych pomiędzy bankami. Jako cel wskazano też cele statystyczne oraz stosowanie metod wewnętrznych oraz innych metod i modeli, jako cel przetwarzania danych osobowych B. wskazał też ewentualne reklamacje i roszczenia odszkodowawcze. B. określił, że przetwarzanie danych osobowych w tym celu będzie trwało do momentu przedawnienia potencjalnych roszczeń wynikających z zapytania; wskazano, że dodatkową przesłanką jest konieczność wypełnienia ustawowego obowiązku wynikającego z art. 15 RODO w przypadku wystąpienia przez osobę, której dane dotyczą z wnioskiem o udzielenie informacji.
Dokonując oceny zgodności z prawem zaskarżonej decyzji w zakresie punktu 1 i 2, którą Prezes UODO nakazał B. i Bankowi zaprzestanie przetwarzania danych osobowych R. J. w zakresie wynikającym z zapytania kredytowego z dnia [...] lutego 2021 r. Sąd stwierdził, że zaskarżona decyzja nie narusza prawa materialnego, a także prawa procesowego. Organ podjął w tej sprawie decyzję po dokonaniu pełnych ustaleń stanu faktycznego niezbędnych do jej rozstrzygnięcia. Organ nie naruszył art. 7, art. 77 § 1, art. 80, czy art. 107 § 3 k.p.a. Ustalenia faktyczne poczynione przez organ w zaskarżonej decyzji są prawidłowe i opierają się na wyjaśnieniach Banku i B. udzielonych w tej sprawie organowi ochrony danych osobowych. Uzasadnienie decyzji przedstawia ustalenia faktyczne w sposób wystarczająco wyczerpujący, odnoszący się do istoty sprawy. Ustalenia organu znajdują odzwierciedlenie w aktach postępowania administracyjnego.
Niezasadny jest zarzut Banku naruszenia art. 105 § 1 k.p.a. Z akt postępowania administracyjnego nie wynika, aby postępowanie zakończone zaskarżoną decyzją stało się bezprzedmiotowe, czy to w odniesieniu do Banku, czy B.. Podnoszona przez Bank w skardze okoliczność. że postępowanie przed Prezesem UODO trwało dwa lata nie ma wpływu na wynik niniejszej sprawy. Bank wiedział, że toczy się w odniesieniu do niego postępowanie administracyjne przed Prezesem UODO. Przepisy P.p.s.a. przewidują możliwość kwestionowania braku działania, czy opieszałości organu. Kwestia czasu trwania postępowania pozostaje bez wpływu na wynik niniejszej sprawy. W sprawie nie było przeszkód (nie wynikają one z akt postępowania administracyjnego), aby Bank informował organ o wszystkich zmieniających się w jego ocenie okolicznościach, jak też korzystał z prawa strony do zapoznawania się z aktami sprawy. Bank o zmianach w stanie faktycznym nie informował organu. Sąd zauważa, że podniesiona w skardze okoliczność, iż Bank "usunął dane wnioskodawcy w zakresie wynikającym z zapytania kredytowego z dnia [...] lutego 2021 r." w dniu 18 marca 2023 r. (czego w postępowaniu administracyjnym nie wykazano) poprzez, co wymaga podkreślenia, "usunięcie zapytań kredytowych starszych niż 1 marca 2021 r.", nie stanowi o niezgodności z prawem zawartego w decyzji nakazu zaprzestania przetwarzania przez Bank danych osobowych wnioskodawcy w zakresie wynikającym z zapytania kredytowego z [...] lutego 2021 r.
W sprawie zostało bowiem jednoznacznie i bezspornie ustalone przez organ, że Bank przetwarza dane osobowe wnioskodawcy (w zakresie wynikającym z zapytania kredytowego z [...] lutego 2021 r., co należy podkreślić a nie samo zapytanie kredytowe) nie tylko w celu oceny zdolności kredytowej. Nawet ewentualna kwestia usunięcia przez Bank samego "zapytania kredytowego" o czym jest mowa w skardze opierającej się w tym zakresie na wydrukach e-maili pracowników skarżącego (z których to e-maili Sąd nie przeprowadzał postępowania dowodowego) nie oznacza, że Bank nie przetwarza danych osobowych wnioskodawcy w zakresie wynikającym z tego zapytania kredytowego bez podstawy prawnej, o czym jest mowa w nakazie ujętym w punkcie 2 decyzji. Biorąc pod uwagę wyjaśnienia Banku złożone w toku postępowania administracyjnego i ujęte w ustaleniach faktycznych zaskarżonej decyzji w sprawie nie ma wątpliwości, że Bank wskazał jako cel przetwarzania danych wnioskodawcy zawartych w zapytaniu z [...] lutego 2021 r. nie tylko ocenę zdolności kredytowej, ale także inne cele, ujęte w punkcie 3 ustaleń faktycznych decyzji Prezesa UODO. Niezależnie od prezentowanych przez Bank na etapie postępowania sądowego twierdzeń o usunięciu samego zapytania z [...] lutego 2021 r. (czego nie wykazano w postępowaniu administracyjnym mimo pełnych możliwości prezentowania przez Bank swojego stanowiska), nakaz ujęty w decyzji nie stał się nieuprawniony, czy nieaktualny. Nadaje się też do wykonania.
W sprawie tej nie wystąpiła w toku postępowania administracyjnego przesłanka umorzenia postępowania. Zgodnie z art. 105 § 1 k.p.a., gdy postępowanie
z jakiejkolwiek przyczyny stało się bezprzedmiotowe w całości albo w części, organ
administracji publicznej wydaje decyzję o umorzeniu postępowania
odpowiednio w całości albo w części. W doktrynie wskazuje się, że bezprzedmiotowość postępowania administracyjnego, o której mowa w art. 105 § 1 k.p.a., oznacza, że brak jest któregoś z elementów materialnego stosunku prawnego, a wobec tego nie można wydać decyzji załatwiającej sprawę przez rozstrzygnięcie jej co do istoty (B. Adamiak, J. Borkowski "Kodeks postępowania administracyjnego. Komentarz", Warszawa 2017 r. str. 563). Bezprzedmiotowość postępowania oznacza brak podstaw prawnych do merytorycznego rozpoznania danej sprawy. Wiąże się to z brakiem któregoś z elementów stosunku materialnoprawnego, co skutkuje tym, że nie można załatwić sprawy przez jej rozstrzygnięcie co do istoty. Zachodzi ona zatem w sytuacjach, gdy w świetle prawa materialnego i ustalonego stanu faktycznego nie mamy do czynienia ze sprawą administracyjną mogącą być przedmiotem postępowania (v. wyrok NSA z dnia 6 lipca 2020 r. sygn. akt II OSK 818/20; publ. CBOSA). Jest to trwała i nieusuwalna przeszkoda w prowadzeniu postępowania. Brak podstawy prawnej postępowania może wynikać z przyczyn podmiotowych lub przedmiotowych. Sytuacja taka w niniejszej sprawie nie wystąpiła. Raz jeszcze podkreślenia wymaga, że zaskarżona decyzja nie nakazuje Bankowi czy B. usunięcia zapytania kredytowego, jak wynikałoby ze skargi. Decyzja nakazuje zaprzestanie przetwarzania danych osobowych uczestnika w zakresie wynikającym z zapytania kredytowego z [...] lutego 2021 r. przetwarzanych bez podstawy prawnej. Nakaz jest prawidłowy w ustalonym stanie faktycznym i prawnym nawet gdyby przyjąć, że Bank usunął fizycznie samo zapytanie kredytowe.
Dokonując oceny zgodności z prawem zaskarżonej decyzji w zakresie punktu 1 i 2, którą Prezes UODO nakazał B. i Bankowi usunięcie danych osobowych uczestnika postępowania zawartych w zapytaniu kredytowym z dnia [...] lutego 2021 r. przetwarzanych bez podstawy prawnej, wskazać na wstępie należy, że zgodnie z motywem 40 RODO, aby przetwarzanie danych było zgodne z prawem, powinno się odbywać na podstawie zgody osoby, której dane dotyczą, lub na innej uzasadnionej podstawie przewidzianej prawem: albo w niniejszym rozporządzeniu, albo w innym akcie prawnym Unii lub w prawie państwa członkowskiego, o których mowa w niniejszym rozporządzeniu, w tym musi się ono odbywać z poszanowaniem obowiązku prawnego, któremu podlega administrator, lub z poszanowaniem umowy, której stroną jest osoba, której dane dotyczą, lub w celu podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy.
Powyższe znalazło wyraz w art. 6 ust. 1 RODO określającym przesłanki legalności przetwarzania danych osobowych. Zgodnie z tym przepisem, przetwarzanie jest zgodne z prawem wyłącznie w przypadkach, gdy - i w takim zakresie, w jakim - spełniony jest co najmniej jeden z poniższych warunków: a) osoba, której dane dotyczą wyraziła zgodę na przetwarzanie swoich danych osobowych w jednym lub większej liczbie określonych celów; b) przetwarzanie jest niezbędne do wykonania umowy, której stroną jest osoba, której dane dotyczą, lub do podjęcia działań na żądanie osoby, której dane dotyczą, przed zawarciem umowy; c) przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze; d) przetwarzanie jest niezbędne do ochrony żywotnych interesów osoby, której dane dotyczą, lub innej osoby fizycznej; e) przetwarzanie jest niezbędne do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi; f) przetwarzanie jest niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Akapit pierwszy lit. f) nie ma zastosowania do przetwarzania, którego dokonują organy publiczne w ramach realizacji swoich zadań.
Zgodnie z art. 105a ust. 1 Prawa bankowego, przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów, instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, a także instytucje utworzone na podstawie art. 105 ust. 4, informacji stanowiących tajemnicę bankową i informacji udostępnionych przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem art. 104, art. 105 i art. 106-106d, w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Zgodnie zaś z art. 105a ust. 4 Prawa bankowego, banki oraz instytucje, o których mowa w art. 105 ust. 4, mogą przetwarzać stanowiące tajemnicę bankową informacje dotyczące osoby fizycznej po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której informacje dotyczą, do celów stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013. Jednocześnie zgodnie z art. 105a ust. 5 Prawa bankowego, przetwarzanie informacji stanowiących tajemnicę bankową w przypadkach, o których mowa w ust. 3, może być wykonywane przez okres nie dłuższy niż 5 lat od dnia wygaśnięcia zobowiązania, a w przypadku, o którym mowa w ust. 4, przez okres 12 lat od dnia wygaśnięcia zobowiązania. Zgodnie z art. 70 ust. 1 Prawa bankowego, bank uzależnia przyznanie kredytu od zdolności kredytowej kredytobiorcy. Przez zdolność kredytową rozumie się zdolność do spłaty zaciągniętego kredytu wraz z odsetkami w terminach określonych w umowie. Kredytobiorca jest obowiązany przedłożyć na żądanie banku dokumenty i informacje niezbędne do dokonania oceny tej zdolności.
Nie ma w świetle powyższego wątpliwości i nie było kwestionowane przez Prezesa UODO w zaskarżonej decyzji, że Bank oraz B., na podstawie art. 105a ust. 1 Prawa bankowego w zw. z art. 70 ust. 1 tej ustawy, były uprawnione do przetwarzania danych osobowych uczestnika postępowania (wnioskodawcy) w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Pogląd ten podziela Sąd rozpoznający niniejszą sprawę. Prezes UODO wskazał w decyzji, że Bank był uprawniony do przetwarzania danych wnioskodawcy w celu oceny zdolności kredytowej, jednakże wprost wskazał jednocześnie, że "W związku z dokonaniem przez Bank oceny zdolności kredytowej i analizy ryzyka kredytowego ww. cel przetwarzania danych osobowych (...) został zrealizowany i brak jest podstaw do kontynuowania tego procesu". Biorąc pod uwagę, że między wnioskodawcą a Bankiem nie nawiązał się stosunek prawny, nie została zawarta umowa kredytu, cel przetwarzania danych, dla którego zostały one zgromadzone w zapytaniu kredytowym ustał, a wnioskodawca jednoznacznie zażądał od Banku zaprzestania przetwarzania jego danych osobowych zawartych w zapytaniu kredytowym z [...] lutego 2021 r . i zwrócił się do banku o usunięcie jego danych osobowych z bazy B.. Nie może być wątpliwości, że ocena zdolności kredytowej i analiza ryzyka kredytowego zostały dokonane (zrealizowane). Zgodnie z art. 105a ust. 2 Prawa bankowego, z zastrzeżeniem ust. 3, instytucje, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową oraz informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, w zakresie dotyczącym osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, pod warunkiem uzyskania pisemnej zgody osoby, której informacje te dotyczą, z zastrzeżeniem ust. 2a. Zgoda ta może być w każdym czasie odwołana. Ust. 3 stanowi, że Banki, instytucje oraz podmioty, o których mowa w ust. 1, mogą przetwarzać informacje stanowiące tajemnicę bankową i informacje udostępnione przez instytucje pożyczkowe oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, dotyczące osób fizycznych po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, bez zgody osoby, której informacje dotyczą, gdy osoba ta nie wykonała zobowiązania lub dopuściła się zwłoki powyżej 60 dni w spełnieniu świadczenia wynikającego z umowy zawartej z bankiem, inną instytucją ustawowo upoważnioną do udzielania kredytów, instytucją pożyczkową lub podmiotem, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, a po zaistnieniu tych okoliczności upłynęło co najmniej 30 dni od poinformowania tej osoby przez bank, inną instytucję ustawowo upoważnioną do udzielania kredytów, instytucję pożyczkową albo podmiot, o którym mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, o zamiarze przetwarzania dotyczących jej tych informacji, bez jej zgody. Kolejne przepisy wskazują, że banki oraz instytucje, o których mowa w art. 105 ust. 4, mogą przetwarzać stanowiące tajemnicę bankową informacje dotyczące osoby fizycznej po wygaśnięciu zobowiązania wynikającego z umowy zawartej z bankiem lub inną instytucją ustawowo upoważnioną do udzielania kredytów bez zgody osoby, której informacje dotyczą, do celów stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013 (ust. 4). Przetwarzanie informacji stanowiących tajemnicę bankową w przypadkach, o których mowa w ust. 3, może być wykonywane przez okres nie dłuższy niż 5 lat od dnia wygaśnięcia zobowiązania, a w przypadku, o którym mowa w ust. 4, przez okres 12 lat od dnia wygaśnięcia zobowiązania (ust. 5). Zakres przetwarzanych informacji, o których mowa w ust. 3 i 4, może obejmować dane dotyczące osoby fizycznej lub dane dotyczące zobowiązania (ust. 6).
Podkreślenia jednak wymaga, że w sprawie tej nie doszło do zawarcia umowy kredytowej pomiędzy Bankiem a wnioskodawcą. Wnioskodawca wniósł o usunięcie jego danych zawartych w zapytaniu kredytowym.
Zgodzić należało się w związku z powyższym z Prezesem UODO, że odpadła przesłanka legalizująca dalsze przetwarzanie danych osobowych wnioskodawcy przez Bank oraz B., które to przetwarzanie miało na celu – co wymaga podkreślenia i czego nie kwestionował organ – ocenę zdolności kredytowej i analizę ryzyka kredytowego (przed zawarciem umowy). Pomiędzy Bankiem a wymienioną osobą fizyczną nie nawiązał się żaden stosunek zobowiązaniowy, który stosownie do art. 105a ust. 1 -6 Prawa bankowego dawałby podstawę do dalszego przetwarzania jego danych osobowych zarówno przez Bank jak i B.. Ustał cel przetwarzania, dla którego pozyskano dane osobowe wnioskodawcy i nie ma spełnionej przesłanki ich dalszego przetwarzania, co trafnie stwierdził w zaskarżonej decyzji organ powołany do spraw ochrony danych osobowych.
Z przedstawionych wyżej przepisów wynika, że przesłanki zawarte w art. 105a Prawa bankowego dotyczą przetwarzania informacji objętych tajemnicą bankową w okresie przed powstaniem zobowiązania, w trakcie jego trwania oraz po wygaśnięciu zobowiązania. Natomiast w sytuacji, gdy w następstwie złożenia wniosku kredytowego nie dochodzi do zawarcia umowy kredytowej z Bankiem, jak miało to miejsce w niniejszej sprawie, brak jest ustawowych przesłanek legalizujących dalsze przetwarzanie danych osobowych wnioskodawcy zawartych w zapytaniu kredytowym z dnia [...] lutego 2021 r. Przetwarzane są one bowiem w celach wskazanych przez Bank i B. (innych niż cele, dla których zostały zebrane, tj. oceny zdolności kredytowej i analizy ryzyka kredytowego) bez podstawy prawnej.
W świetle powyższego trzeba też wskazać, że sposób sformułowania nakazu w decyzji nie stanowi o naruszeniu art. 107 § 1 w zw. z art. 8 § 1 i 2 k.p.a. Rozstrzygnięcie decyzji jest w ocenie Sądu na tyle jasne i precyzyjne, że nie wywołuje trudności w sferze wykonania. Nie ma przy tym wątpliwości, że nakaz zaprzestania przetwarzania dotyczy danych osobowych wnioskodawcy zawartych w zapytaniu kredytowym z dnia [...] lutego 2021 r. Zarówno Bank jak i B. mają wiedzę jakie dane osobowe wnioskodawcy ujęte były w zapytaniu kredytowym. Dodanie przez organ w nakazach formuły "przetwarzanych bez podstawy prawnej" wiąże się ściśle ze stwierdzeniem przez organ w decyzji, że dane te po osiągnięciu przez B. i Bank celu przetwarzania w postaci oceny zdolności kredytowej i ryzyka kredytowego, są przetwarzane w sposób naruszający RODO. Nakazy nie są nieprecyzyjne, a z całą pewnością nie można mówić o ich niewykonalności na gruncie tej sprawy i dokonanych ustaleń faktycznych.
Nie może budzić wątpliwości, że ocena zdolności kredytowej i ryzyka kredytowego ma charakter czynności wstępnych przed zawarciem umowy przez bank. Dalsze przetwarzanie danych, uzyskanych pierwotnie wyłącznie w celu oceny zdolności kredytowej i analizy ryzyka kredytowego, w przypadku braku zawarcia stosownej umowy, pozostaje w oderwaniu od celu, dla którego dane zostały zebrane. Na gruncie RODO niedopuszczalne jest – w takim stanie faktycznym, jak w niniejszej sprawie, gdy nie zawarto umowy kredytowej (a wnioskodawca nie wyraża zgody na dalsze przetwarzanie jego danych osobowych w innych celach niż cele, dla których dane w zapytaniu przekazał Bankowi) – przetwarzanie danych osobowych wnioskodawcy zawartych w zapytaniu kredytowym z [...] lutego 2021 r. "na przyszłość" w zupełnie innych celach niż je zebrano, w tym na potrzeby oceny zdolności kredytowej innych osób, tj. jak wskazuje w skardze B., "w celu analizy ryzyka kredytowego konkretnego klienta (...), w celu budowy i utrzymania modeli scoringowych, a więc narzędzi wykorzystywanych przez banki (...), "w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli (...)", na potrzeby tworzenia, jak wskazał Bank w zarzutach skargi, zaawansowanych modeli statystycznych w celu zachowania "spójności modelu", w celu zapewnienia "bezpieczeństwa obrotu gospodarczego", w sytuacji, gdy nie można zrekonstruować wyraźnej podstawy prawnej takich działań.
W sprawie nie mamy do czynienia z sytuacją, w której nawiązano stosunek zobowiązaniowy i następnie dane przetwarzane są (w tym także udostępniane) przez administratora nie tylko w celu zasadniczym, tj. realizacji zawartej z klientem umowy,
ale także w innych celach, które powstały w trakcie trwania stosunku zobowiązaniowego i które w ocenie administratora winny być, czy mogą być – w związku z trwającym stosunkiem prawnym - kwalifikowane jako jego "prawnie uzasadnione interesy" na gruncie RODO (art. 6 ust. 1 lit.f RODO). Przypadek taki nie zachodzi w niniejszej sprawie.
Sprawa niniejsza dotyczy – co wymaga raz jeszcze podkreślenia - przetwarzania danych osoby fizycznej zawartych w zapytaniu kredytowym z [...] lutego 2021 r., z którą Bank nie zawarł umowy kredytowej, ustał przy tym cel przetwarzania danych tej osoby fizycznej wynikający z art. 105a ust. 1 w zw. z art. 70 ust. 1 Prawa bankowego, osoba ta wniosła o zaprzestanie przetwarzania danych i ich usunięcie. Przesłanki do dalszego przetwarzania danych osobowych wnioskodawcy (na przyszłość i w innych wskazywanych obecnie przez Bank i B. celach) nie stanowi w tej sprawie, w jej okolicznościach faktycznych, ani dla Banku ani dla B. żadna z przesłanek z art. 6 ust. 1 lit.a -f RODO (czyli nie jest to ani zgoda (zgody takiej bowiem nie uzyskano i z akt sprawy nie wynika, aby zwracano się do wnioskodawcy o zgodę na przetwarzanie w przyszłości jego danych osobowych w celach innych niż ocena zdolności kredytowej i ryzyka kredytowego), ani przetwarzanie niezbędne do wykonania umowy lub działań przed zawarciem umowy, ani wypełnienie obowiązku prawnego ciążącego na administratorze, ani niezbędność dla ochrony żywotnych interesów osoby fizycznej lub innej osoby, ani wykonanie zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej, ani niezbędność do celów wynikających z prawnie uzasadnionych interesów). Nie można się przy tym zgodzić z B., że organ naruszył m.in. również art. 6 ust. 1 lit.e RODO, albowiem wbrew twierdzeniom skargi w sprawie tej nie mamy do czynienia z przetwarzaniem przez B. i Bank jako spółki prawa handlowego danych osobowych (osoby z którą Bank nie zawarł umowy) w ramach zadania realizowanego w interesie publicznym, o czym jest mowa w art. 6 ust. 1 lit.e RODO. Przetwarzanie danych osobowych przez Bank i B., jako spółki prawa handlowego nie ma miejsca na podstawie art. 6 ust. 1 lit e RODO, niezależnie od wyznaczanych sobie przez te podmioty celów. Także określenie jako przedmiotu działalności gospodarczej "przetwarzanie danych" wymaga dla tego przetwarzania legalnej podstawy. Powołanie się na konieczność zabezpieczenia ekonomiczno-gospodarczego sektora bankowego, zapewnienie stabilności gospodarczej sektora bankowego jako uzasadnienie interesu publicznego, o którym mowa w art. 6 ust. 1 lit.e, w odniesieniu do przetwarzania danych zawartych w zapytaniu kredytowym osoby, z którą bank nie zawarł umowy nie jest trafne. Ustaleń Sądu w tym zakresie nie zmienia fakt umowy między wskazanymi spółkami prawa handlowego (B. i Bankiem). Tego rodzaju umowa między B. a Bankiem nie stanowi podstawy legalności przetwarzania danych osobowych wnioskodawcy zawartych w zapytaniu kredytowym z [...] lutego 2021 r. w celach wskazywanych obecnie przez wymienione podmioty. Administratorzy danych nie mogą rozporządzać danymi osobowymi osoby fizycznej poza jej wiedzą i z wyłączeniem RODO.
Ustalenie Prezesa UODO w zakresie braku dopuszczalności przetwarzania danych wnioskodawcy zawartych w zapytaniu kredytowym wskazanym w decyzji jest prawidłowe. Nakaz zawarty zarówno w punkcie 1 jak i 2 decyzji jest przy tym, jak wskazano już wyżej, jasny, nie ma wątpliwości co do jego zakresu i jest wykonalny.
W ocenie Sądu wszystkie zarzuty podniesione przez Bank i B. w złożonych skargach są niezasadne. Organ trafnie, w prawidłowo poczynionych ustaleniach faktycznych i prawnych, nakazał w punkcie 1 decyzji B., a w punkcie 2 decyzji Bankowi zaprzestanie przetwarzania danych osobowych wnioskodawcy zawartych w zapytaniu kredytowym z dnia [...] lutego 2021 r. przetwarzanych bez podstawy prawnej.
Nietrafny, w świetle poczynionych wyżej ustaleń i rozważań, jest zarzut Banku naruszenia art. 6 ust. 1 lit. c RODO w zw. z art. 105 ust. 4, art. 105a ust. 1 Prawa bankowego, jak również zarzut B. dotyczący naruszenia art. 6 ust. 1 lit. c (ewentualnie art. 6 ust. 1 lit.f) RODO w zw. z art. 105 ust. 1 pkt 1c w zw. z art. 105 ust. 4 i w zw. z art. 105a w zw. z art. 70 i art. 5 ust. 1 pkt 3 Prawa bankowego. Podkreślenia wymaga przy tym, że Prezes UODO nie kwestionował, że udzielanie kredytów jest czynnością bankową. Warto zwrócić przy tym uwagę, że art. 105 ust. 4 Prawa bankowego nie nakłada na Bank obowiązku korzystania z zewnętrznej bazy zawierającej informacje o wnioskach z sektora bankowego oraz sektora pożyczkowego. Przyznaje jedynie bankom uprawnienie do tworzenia instytucji upoważnionych do gromadzenia, przetwarzania i udostępniania bankom informacji stanowiących tajemnicę bankową we wskazanym zakresie.
Przesłanka z art. 6 ust. 1 lit. c RODO nie znajduje zastosowania w okolicznościach niniejszej sprawy. Przepis ten dotyczy bowiem sytuacji, gdy przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego administratora danych, a nie realizacji uprawnienia, o którym mowa w art. 105 ust. 4 Prawa bankowego. Ponadto przepis art. 105 ust. 4 Prawa bankowego nie stanowi o dopuszczalności przetwarzania danych osobowych dotyczących wniosków kredytowych w sytuacji, gdy nie doszło do zawarcia umowy z Bankiem.
Raz jeszcze podkreślenia wymaga, że Prezes UODO nie kwestionował w tej sprawie, że Bank i B. miał uprawnienie do przetwarzania danych osobowych wnioskodawcy w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Cel ten jednak ustał. Przepis art. 105a ust. 1a, 1b, 1c Prawa bankowego dotyczy określenia warunków dopuszczalności zautomatyzowanego przetwarzania, w tym profilowania danych osobowych w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Powyższe przepisy w żaden sposób nie dają podstawy do przetwarzania "na przyszłość" danych osoby, z którą umowy nie zawarto, a cel, dla którego dane zebrano ustał. Wbrew zarzutom obu skarg brzmienie art. 105a Prawa bankowego nie daje podstaw do dalszego przetwarzania danych wnioskodawcy po zakończeniu oceny zdolności kredytowej i analizy ryzyka kredytowego, gdy umowy nie zawarto. Na podstawie powołanych przepisów Bank a także B. nie ma uprawnienia do dalszego przetwarzania tych danych, albowiem umowy nie zawarto i nie wykazano przesłanki legalizującej to działanie.
Sąd za trafny i aktualny uznaje pogląd Naczelnego Sądu Administracyjnego wyrażony w wyroku z dnia 27 sierpnia 2019 r. sygn. akt I OSK 2567/17 (orzeczenia.nsa.gov.pl), zgodnie z którym, "Gdyby podzielić stanowisko skarżącego, że pozyskanie danych na etapie złożenia wniosku kredytowego uprawnia bank do ich nieograniczonego w czasie przechowywania po odmowie zawarcia umowy kredytowej, to regulacje zawarte w art. 105 a ust. 2 i 3 i ust. 5 Prawa bankowego ograniczające w czasie przypadki przetwarzania danych klientów z umów kredytowych pozbawione byłyby sensu".
Pogląd ten wyrażony został wprawdzie na gruncie poprzednio obowiązującej ustawy z dnia 29 sierpnia 1997 r. o ochronie danych osobowych i obowiązującej przed RODO Dyrektywy 95/46, jednakże w ocenie Sądu nie stracił na aktualności. Przepisy RODO wzmacniają jeszcze w porównaniu z Dyrektywą 95/46 ochronę danych osób fizycznych. Aktualności tego poglądu Naczelnego Sądu Administracyjnego nie zmienia także fakt, że B. i Bank, przyjęły w swej praktyce określone terminy dalszego przetwarzania danych osobowych osoby, z którą nie zawarto umowy kredytu.
Trzeba podkreślić, że zgodnie z art. 5 ust. 1 RODO, dane osobowe muszą być: a) przetwarzane zgodnie z prawem, rzetelnie i w sposób przejrzysty dla osoby, której dane dotyczą ("zgodność z prawem, rzetelność i przejrzystość"); b) zbierane w konkretnych, wyraźnych i prawnie uzasadnionych celach i nieprzetwarzane dalej w sposób niezgodny z tymi celami; dalsze przetwarzanie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych nie jest uznawane w myśl art. 89 ust. 1 za niezgodne z pierwotnymi celami ("ograniczenie celu"); c) adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane ("minimalizacja danych"); d) prawidłowe i w razie potrzeby uaktualniane; należy podjąć wszelkie rozsądne działania, aby dane osobowe, które są nieprawidłowe w świetle celów ich przetwarzania, zostały niezwłocznie usunięte lub sprostowane ("prawidłowość"); e) przechowywane w formie umożliwiającej identyfikację osoby, której dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane; dane osobowe można przechowywać przez okres dłuższy, o ile będą one przetwarzane wyłącznie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych na mocy art. 89 ust. 1, z zastrzeżeniem że wdrożone zostaną odpowiednie środki techniczne i organizacyjne wymagane na mocy niniejszego rozporządzenia w celu ochrony praw i wolności osób, których dane dotyczą ("ograniczenie przechowywania"); f) przetwarzane w sposób zapewniający odpowiednie bezpieczeństwo danych osobowych, w tym ochronę przed niedozwolonym lub niezgodnym z prawem przetwarzaniem oraz przypadkową utratą, zniszczeniem lub uszkodzeniem, za pomocą odpowiednich środków technicznych lub organizacyjnych ("integralność i poufność").
Przedstawione zasady przetwarzania danych nie pozwalają na arbitralne decydowanie przez administratora – w sytuacji braku do tego podstaw – o dalszym przetwarzaniu (a zatem ich m.in. ujawnianiu poprzez przesyłanie, udostępnianie, utrwalanie, organizowanie, adaptowanie, modyfikowanie) danych osobowych mimo ustania celu, dla którego dane w zapytaniu kredytowym były zebrane. Powyższe znajduje odniesienie do przetwarzania danych przez B. jako administratora. Do podmiotu tego też mają zastosowanie zasady przetwarzania danych określone w art. 5 RODO. Przepis art. 5 ust. 2 RODO stanowi, że administrator jest odpowiedzialny za przestrzeganie ust. 1 i musi być w stanie wykazać ich przestrzeganie ("rozliczalność"). W ocenie B. ze względu na tę właśnie rozliczalność ma on podstawę w art. 6 ust. 1 lit.f RODO do przetwarzania danych wnioskodawcy. Skoro Bank i B. nie dysponuje przesłanką legalności przetwarzania danych zawartych w zapytaniu kredytowym wymienionej osoby po tym, gdy wniosła ona do Banku o zaprzestanie ich przetwarzania, w tym w bazie B., co zasadnie stwierdził Prezes UODO, to nie można przyjąć, aby same zasady określone w RODO mogły wykreować (stanowić) przesłankę legalności przetwarzania danych.
Przetwarzanie zgodnie z art. 4 pkt 2 RODO oznacza operację lub zestaw operacji wykonywanych na danych osobowych lub zestawach danych osobowych w sposób zautomatyzowany lub niezautomatyzowany, taką jak zbieranie, utrwalanie, organizowanie, porządkowanie, przechowywanie, adaptowanie lub modyfikowanie, pobieranie, przeglądanie, wykorzystywanie, ujawnianie poprzez przesłanie, rozpowszechnianie lub innego rodzaju udostępnianie, dopasowywanie lub łączenie, ograniczanie, usuwanie lub niszczenie.
Podkreślenia wymaga, że kwestia oceny zdolności kredytowej i ryzyka kredytowego wnioskodawcy nie stanowi sama w sobie podstawy do dalszego przetwarzania jego danych osobowych na przyszłość.
Zaakceptowanie wykładni przepisów Prawa bankowego, AML, rozporządzenia nr 575/2013, zaprezentowanej w skargach zarówno przez Bank jak i B. prowadziłaby do stwierdzenia, że na potrzeby oceny zdolności kredytowej i analizy ryzyka kredytowego Bank i B. mają prawo nieograniczonego w czasie przetwarzania danych osoby, z którą Bank nie zawarł umowy o kredyt, zaś prawo to doznaje ograniczenia, gdy doszło do zawarcia takiej umowy. Wprawdzie ani Bank ani B. nie wskazywały, że przetwarzanie danych będzie nieograniczone w czasie, jednakże nie ma wątpliwości, że – wobec braku podstaw prawnych i ograniczeń czasowych przetwarzania danych wnioskodawcy w celach przyjętych przez te podmioty (po dokonaniu oceny zdolności kredytowej i analizy ryzyka kredytowego) – można byłoby mówić o nieograniczonym w czasie przetwarzaniu tych danych. Narzucenie przez Bank i B. samym sobie ograniczeń czasowych dla poszczególnych, przyjętych przez te podmioty nowych celów przetwarzania, potwierdza jedynie, że nie można mówić o takim samym poziomie ochrony danych osobowych na gruncie RODO, jak w przypadku osoby, z którą zawarto umowę.
Sąd podziela pogląd wyrażony przez Naczelny Sąd Administracyjny w powołanym już wyżej wyroku, zgodnie z którym takich wyników wykładni art. 105a ust. 1 Prawa bankowego nie sposób zaakceptować, bowiem prowadzą one do skutków, których nie zakładałby racjonalny ustawodawca, a więc do przyznania szerszego uprawnienia do przetwarzania danych osobowych podmiotów, z którymi banku nie łączy żaden stosunek prawny (wyrok NSA z dnia 27 sierpnia 2019 r. sygn. akt 2567/17).
Raz jeszcze wskazania wymaga, że w sprawie jest niesporne, co wskazywano już wyżej, że B., tak jak i Bank, od którego B. pozyskał dane osobowe wnioskodawcy w zakresie zapytania kredytowego z [...] lutego 2021 r., był uprawniony do przetwarzania danych osobowych w celu oceny zdolności kredytowej i analizy ryzyka kredytowego.
Przepis art. 105a ust. 1 Prawa bankowego, stanowi, że przetwarzanie przez banki, inne instytucje ustawowo upoważnione do udzielania kredytów oraz instytucje utworzone na podstawie art. 105 ust. 4, informacji stanowiących tajemnicę bankową w zakresie dotyczącym osób fizycznych może być wykonywane, z zastrzeżeniem art. 104, art. 105 i art. 106 - 106d ustawy, w celu oceny zdolności kredytowej i analizy ryzyka kredytowego. Zgodnie z art. 105 ust. 1 pkt 1c Prawo bankowego, bank ma obowiązek udzielenia informacji stanowiących tajemnicę bankową wyłącznie instytucjom, o których mowa w ust. 4, w zakresie niezbędnym do stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w przepisach części trzeciej rozporządzenia nr 575/2013.
Jak wskazywano już wyżej, zgodnie z art. 105 ust. 4 Prawa bankowego banki mogą, wspólnie z bankowymi izbami gospodarczymi, utworzyć instytucje upoważnione do gromadzenia, przetwarzania i udostępniania m.in. bankom oraz innym podmiotom określonym w tym przepisie informacji stanowiących tajemnicę bankową w zakresie, w jakim informacje te są potrzebne w związku z wykonywaniem czynności bankowych oraz w związku ze stosowaniem metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013. Zdaniem B. organ niewłaściwie przyjął w decyzji, że B. w tych okolicznościach nie posiada podstawy prawnej do przetwarzania danych wnioskodawcy zawartych w zapytaniu kredytowym z dnia [...] lutego 2021 r. (w sytuacji, gdy umowy kredytowej nie zawarto). Wbrew twierdzeniom skargi B., organ dokonał oceny istotnych okoliczności sprawy, wyjaśnił podstawę prawną decyzji. Okoliczność, że skarżący nie podzielają stanowiska organu i wbrew istniejącym regulacjom prawnym i woli wnioskodawcy (podmiotu danych) próbują wykazać potrzebę dalszego przetwarzania jego danych osobowych na potrzeby prowadzonej działalności gospodarczej, nie oznacza, że decyzja Prezesa UODO jest wadliwa.
Podkreślenia wymaga, że przepis art. 105 ust. 4 Prawa bankowego jest przepisem o charakterze ogólnym, który stanowi o możliwości utworzenia wspólnie z bankowymi izbami gospodarczymi, instytucji upoważnionych do gromadzenia, przetwarzania i udostępniania danych.
Przepis ten nie daje podstaw do nieograniczonego przetwarzania wszelkich danych osobowych przez utworzone instytucje. Zasady przetwarzania danych objętych tajemnicą bankową określa art. 105a Prawa bankowego, którego możliwość uznania za podstawę przetwarzania danych osobowych w niniejszej sprawie została omówiona już wcześniej. Na gruncie tego przepisu należy oceniać zatem dopuszczalność przetwarzania poszczególnych danych osobowych w określonych ściśle celach. Podstawy prawnej przetwarzania danych osobowych wnioskodawcy w niniejszej sprawie przez B., po tym, jak wniósł do Banku o zaprzestanie przetwarzania jego danych osobowych, nie zawarł z Bankiem umowy kredytowej, nie mógł stanowić zatem art. 105 ust. 4 Prawa bankowego samodzielnie, ani też w powiązaniu z wszystkimi innymi powołanymi przez B. we wskazanym wyżej zakresie w skardze przepisami Prawa bankowego, jak również pozostałymi przywołanymi przez skarżących regulacjami prawnymi.
Sąd rozpoznający niniejszą sprawę za trafny uznaje pogląd Naczelnego Sądu Administracyjnego wyrażony w wyroku z dnia 14 września 2005 r. sygn. akt I OSK 39/05, zgodnie z którym "Nie można zatem podzielić stanowiska, aby zezwalający na utworzenie instytucji zajmujących się szczególnym przetwarzaniem danych osobowych przepis stanowił zarazem podstawę do przetwarzania przez nie danych osobowych bez zgody osób, których dane dotyczą, gdyż nie tylko literalne brzmienie przepisu nie uzasadnia takiego przekazania, lecz i argumenty logiki prawniczej nie prowadzą do takiego wniosku. Nie można bowiem dowodzić, że w utworzonej zgodnie z prawem instytucji wolno działać w sposób, który sama uzna za odpowiadający jej celom, gdyż zezwolenie na utworzenie nie jest równoznaczne z zezwoleniem na działanie bez ograniczeń".
Mimo, że powołany wyrok opiera się na innym brzmieniu przepisu art. 105 Prawa bankowego, co podniósł B. w piśmie procesowym z dnia 4 kwietnia 2023 r., w ocenie WSA w Warszawie, istota poglądu wyrażonego przez NSA w odniesieniu do przetwarzania danych osobowych przez B., jako instytucję utworzoną na podstawie art. 105 ust. 4 Prawa bankowego, nie straciła na aktualności. Zmiana brzmienia art. 105 Prawa bankowego na przestrzeni lat, jakie minęły od czasu wydania powołanego wyroku, dodatkowo utwierdza w trafności poglądu wyrażonego przez NSA w wymienionym wyroku a także trafności stanowiska Prezesa UODO zaprezentowanego w zaskarżonej decyzji w sytuacji, gdy ani Bank ani B. nie wykazały przesłanki legalizującej dalsze przetwarzanie danych osobowych wnioskodawcy zawartych w zapytaniu kredytowym z dnia [...] lutego 2021 r., po osiągnięciu celu w postaci oceny zdolności kredytowej i ryzyka kredytowego.
Niezasadne są też zarzuty dotyczące naruszenia art. 6 ust. 1 lit.c RODO w zw. z art. 106d Prawa bankowego, jak i w zw. z przepisami AML. Naruszenie to uzasadniono między innymi obowiązkiem przetwarzania danych osobowych w celu zapewnienia bezpieczeństwa obrotu gospodarczego poprzez przeprowadzenie szczegółowego badania na temat klientów, w tym przyszłych klientów, jak i badania powiązań kapitałowo-osobowych, w tym w zakresie danych dostarczanych przez skarżącego, w tym także wtedy, gdy ostatecznie między stronami nie została zawarta umowa.
Zgodnie z art. 106d ust. 1 Prawa bankowego Banki, inne instytucje ustawowo upoważnione do udzielania kredytów, izby rozliczeniowe utworzone na podstawie art. 67, instytucje utworzone na mocy art. 105 ust. 4, instytucje pożyczkowe, podmioty, których podstawowa działalność polega na udostępnianiu składników majątkowych na podstawie umowy leasingu, oraz podmioty, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, mogą przetwarzać i wzajemnie udostępniać informacje, w tym informacje objęte tajemnicą bankową, w przypadkach: 1) uzasadnionych podejrzeń, o których mowa w art. 106a ust. 3; 2) uzasadnionych podejrzeń popełnienia przestępstw dokonywanych na szkodę banków, innych instytucji ustawowo upoważnionych do udzielania kredytów, instytucji kredytowych, instytucji finansowych, instytucji pożyczkowych oraz podmiotów, o których mowa w art. 59d ustawy z dnia 12 maja 2011 r. o kredycie konsumenckim, i ich klientów, w celu i zakresie niezbędnym do zapobiegania tym przestępstwom; 3) wykonywania obowiązków w zakresie określonym w przepisach o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu. Art. 106a ust. 3 Prawa bankowego, do którego odwołano się w art. 106d ust. 1 pkt 1 stanowi, że w przypadku powzięcia uzasadnionego podejrzenia, że zgromadzone na rachunku bankowym środki, w całości lub w części pochodzą lub mają związek z przestępstwem skarbowym lub przestępstwem innym niż przestępstwo, o którym mowa w art. 165a lub art. 229 Kodeksu karnego, bank jest uprawniony do dokonania blokady środków na tym rachunku. Blokada może nastąpić wyłącznie do wysokości zgromadzonych na rachunku środków, co do których zachodzi takie podejrzenie.
Przepis art. 33 ust. 1 AML nakłada na instytucje obowiązane obowiązek m.in. stosowania wobec swoich klientów środków bezpieczeństwa finansowego, których zakres (katalog) znajduje się w art. 34 ustawy AML. Artykuł 34 ust. 1 ustawy AML odnosi się m.in. do bieżącego monitorowania stosunków gospodarczych klienta (w tym analizę transakcji przeprowadzanych w ramach stosunków gospodarczych, badanie źródła pochodzenia wartości majątkowych będących w dyspozycji klienta - w przypadkach uzasadnionych okolicznościami, zapewnienie, że posiadane dokumenty, dane lub informacje dotyczące stosunków gospodarczych są na bieżąco aktualizowane). Art. 35 wskazuje sytuacje, w których bank jest obowiązany stosować środki bezpieczeństwa finansowego. Art. 36 AML dotyczy kwestii identyfikacji klienta. Na podstawie art. 49 ust. 1 AML kopie dokumentów i informacje uzyskane w wyniku stosowania środków bezpieczeństwa finansowego a także dowody potwierdzające przeprowadzone transakcje i ewidencje transakcji, obejmujące oryginalne dokumenty lub kopie dokumentów konieczne do identyfikacji transakcji, przechowuje się przez okres 5 lat licząc od pierwszego dnia roku następującego po roku, w którym zakończono stosunki gospodarcze z klientem lub w którym przeprowadzono transakcje okazjonalne. W przypadku dokonania analizy przeprowadzonej transakcji i udokumentowania jej analizy zgodnie z art. 34 ust. 3 ustawy AML, instytucja pożyczkowa na mocy art. 49 ust. 2 ustawy AML jest obowiązana do przechowywania jej wyników przez okres 5 lat, licząc od pierwszego dnia roku następującego po roku ich przeprowadzenia.
Z wymienionych wyżej przepisów prawa niewątpliwie wynika uprawnienie do monitorowania stosunków gospodarczych klienta i stosowania odpowiednich środków bezpieczeństwa finansowego, co nie ma zupełnie odniesienia do niniejszej sprawy. Bank nie wskazał jakie działania (w sferze stosunków gospodarczych niedoszłego klienta, osoby, z którą nie zawarł umowy kredytowej) chciałby monitorować. Nie jest dla Sądu działaniem zrozumiałym powoływanie się przez Bank w kontekście tych przepisów na konieczność monitorowania niedookreślonych stosunków gospodarczych między Bankiem a osobą, z którą umowy kredytowej nie zawarto i która nadto, klientem Banku nie jest. Ogólne twierdzenia Banku o celu w postaci "zapewnienia bezpieczeństwa obrotu gospodarczego" nie mogą stanowić – w stanie faktycznym tej sprawy – podstawy legalizującej rozszerzanie podstaw i celów przetwarzania danych osobowych wnioskodawcy. Z akt sprawy i wyjaśnień Banku w żaden sposób nie wynika, aby wyżej wymienionego łączyły stosunki gospodarcze z Bankiem, a nadto, aby Bank powziął podejrzenia, czy stwierdził próbę manipulacji. Powołana ustawa w art. 2 ust. 2 pkt 2 stanowi, że przez stosunki gospodarcze rozumie się stosunki instytucji obowiązanej z klientem związane z działalnością zawodową instytucji obowiązanej, które w chwili ich nawiązywania wykazują cechę trwałości. Z akt sprawy i wyjaśnień Banku nie wynika przy tym, aby wnioskodawca był klientem Banku w rozumieniu tego pojęcia ujętym w AML.
W przypadku braku nawiązaniu stosunków gospodarczych pomiędzy Bankiem a wymienioną wyżej osobą fizyczną brak jest zaistnienia zdarzeń wymienionych w art. 49 ust. 1 AML tj. zakończenia stosunków gospodarczego z klientem lub przeprowadzenia transakcji okazjonalnej, od wystąpienia których można dopiero liczyć wskazany w ww. przepisie termin przetwarzania danych osobowych.
Zdaniem Sądu rozszerzanie przez Bank dopuszczalności przetwarzania danych (zawartych w zapytaniu kredytowym) osoby, z którą nie zawarto umowy kredytowej, z powołaniem się na "zapewnienie bezpieczeństwa finansowego w przypadku nawiązywania stosunków gospodarczych", a zatem szeroko rozumiane, ogólne cele, nie znajduje podstawy na gruncie RODO i jest wprost sprzeczne z zasadą ograniczenia celu (art. 5 ust. 1 lit. b RODO), w sytuacji, gdy nie ma mowy o nawiązaniu stosunku zobowiązaniowego.
Z kolei z następnych powołanych przez Bank w skardze przepisów art. 144 ust. 1 lit. d, art. 145, art. 147 ust. 5 lit. b, art. 170 ust. 3 lit. a, ust. 4 lit. a, art. 171 ust. 2 i art. 179 ust 1 lit. a CRR (rozporządzenie 575/2013), także nie wynika podstawa prawna do dalszego przetwarzania danych osobowych wnioskodawcy przez Bank i B.. Zgodnie z art. 144 ust. 1 lit. d powołanego rozporządzenia, właściwy organ wydaje zezwolenie na mocy art. 143 na stosowanie przez instytucję metody IRB, w tym na stosowanie własnych oszacowań LGD i współczynników konwersji, wyłącznie wtedy, gdy właściwy organ stwierdzi, że wymogi przewidziane w niniejszym rozdziale są spełnione, w szczególności wymogi przewidziane w sekcji 6, oraz że posiadane przez instytucję systemy w zakresie zarządzania oraz oceny ekspozycji na ryzyko kredytowe są należyte i zostały spójnie wdrożone, w szczególności gdy instytucja wykazała w sposób zadowalający właściwym organom spełnienie następujących norm: (...) d) instytucja gromadzi i przechowuje wszystkie odpowiednie dane, aby zapewnić skuteczne wsparcie procesów pomiaru ryzyka kredytowego oraz zarządzania ryzykiem kredytowym. Stosownie do art. 145 ust. 1 tego rozporządzenia, jest wymagane, aby instytucja ubiegająca się o możliwość stosowania metody IRB korzystała, w odniesieniu do omawianych kategorii ekspozycji IRB, co najmniej przez trzy lata poprzedzające zakwalifikowanie się do stosowania metody IRB, z systemów ratingowych, które odpowiadały w znacznym stopniu wymogom określonym w sekcji 6 dotyczącym wewnętrznego pomiaru ryzyka i zarządzania ryzykiem. Art. 147 ust. 5 lit. b stanowi zaś, że aby ekspozycje mogły kwalifikować się do kategorii ekspozycji detalicznych przewidzianej w ust. 2 lit. d), spełniają następujące kryteria: są traktowane przez instytucję w procesie zarządzania ryzykiem w sposób spójny w długim okresie. Z kolei art. 170 ust. 3 lit. a, stanowi, że struktura systemów ratingowych dla ekspozycji detalicznych spełnia następujące wymogi: a) systemy ratingowe odzwierciedlają zarówno ryzyko dłużnika, jak i ryzyko transakcji oraz uwzględniają wszystkie istotne właściwości ryzyka dłużnika i ryzyka transakcji. Zgodnie z art. 171 ust. 2 klasyfikując dłużników i instrumenty do klas lub pul, instytucja uwzględnia wszystkie istotne informacje. Informacje te są aktualne i umożliwiają instytucji prognozowanie zachowania ekspozycji w późniejszym okresie. Im mniej informacji ma do dyspozycji instytucja, tym ostrożniej klasyfikuje ekspozycje do poszczególnych klas lub pul dłużników i instrumentów. Jeżeli instytucja stosuje rating zewnętrzny jako główny czynnik decydujący o przyznaniu wewnętrznego ratingu, instytucja ta zapewnia uwzględnienie innych istotnych informacji oraz stosownie do art. 179 ust. 1 lit. a, przy przeprowadzaniu kwantyfikacji parametrów ryzyka związanego z poszczególnymi klasami lub pulami ratingowymi instytucje stosują następujące wymogi: a) oszacowania własne instytucji dotyczące parametrów ryzyka PD, LGD, współczynnika konwersji i EL uwzględniają wszelkie istotne dane, informacje i metody. Oszacowań dokonuje się na podstawie zarówno doświadczeń z przeszłości, jak i dowodów empirycznych, nie zaś wyłącznie w oparciu o osąd własny. Oszacowania te są wiarygodne i intuicyjne oraz opierają się na istotnych czynnikach odpowiednich parametrów ryzyka. Im mniej danych ma do dyspozycji instytucja, tym ostrożniejsze są jej oszacowania.
Powołane przepisy rozporządzenia 575/2013 nie stanowią podstawy do przetwarzania danych osobowych zawartych w zapytaniach kredytowych osoby, z którą nie zawarto umowy kredytu. Odnosząc się do zarzutów skargi B. wskazania wymaga jednocześnie, że zaskarżona decyzja Prezesa UODO w żaden sposób nie pozostaje w opozycji do potrzeby odmowy udzielenia kredytu w sytuacji braku istnienia zdolności kredytowej po stronie wnioskodawcy. Z wnioskodawca umowy kredytu nie zawarto (wniosek kredytowy z [...] lutego 2021 r.), jak ustalono bezspornie w tej sprawie.
Zdaniem Sądu, obowiązek zbierania informacji przydatnych w zarządzaniu ryzykiem nie może opierać się na naruszeniu przez Bank, czy inną instytucję finansową (B.) na gruncie RODO praw osoby fizycznej, która przekazała Bankowi swoje dane osobowe wyłącznie w celu oceny zdolności kredytowej i analizy ryzyka kredytowego, która to czynność nie zakończyła się zawarciem umowy kredytowej. Przepisy powołanego rozporządzenia 575/2013 nie stanowią podstawy do "dalszego" przetwarzania danych zawartych w zapytaniu kredytowym w sytuacji nie nawiązania stosunku zobowiązaniowego. Konstruowanie skutecznych i poprawnie działających modeli, o których mowa w powołanym rozporządzeniu 575/2013 może następować wyłącznie w oparciu o dane osobowe pozyskane i przetwarzane w sposób legalny.
Dodatkowo wskazania wymaga, że Prezes UODO nie kwestionował stosowania rozporządzenia nr 575/2013 – w ramach oceny zdolności kredytowej i analizy ryzyka kredytowego – a zatem w związku z wykonywaniem czynności bankowych co do zasady. Stwierdził jedynie, że nie wynika z nich podstawa prawna do przetwarzania danych osobowych zawartych w zapytaniu kredytowym wnioskodawcy, a zatem osoby, z którą umowy kredytowej nie zawarto.
Nadto, co Sąd podkreślał już wcześniej, nie można tracić z pola widzenia, że Prawo bankowe ściśle określa cele i zasady przetwarzania danych osobowych, w tym stanowi, w jakich przypadkach i dla jakich ściśle określonych celów jest dopuszczalne "dalsze" przetwarzanie danych bez zgody osoby fizycznej (po wygaśnięciu zobowiązania). W art. 105a ust. 4 Prawa bankowego ustawodawca wyraźnie wskazał na cele stosowania metod wewnętrznych oraz innych metod i modeli, o których mowa w części trzeciej rozporządzenia nr 575/2013. Prawo bankowe określa też przez jaki czas mogą być przetwarzane dane stanowiące tajemnicę bankową po wygaśnięciu zobowiązania. Rozciąganie uprawnienia – tak w odniesieniu do Banku, jak i B. – do dalszego przetwarzania danych osobowych zawartych w zapytaniu kredytowym z [...] lutego 2021 r. w przypadku, gdy nie powstało zobowiązanie nie może spotkać się w świetle przepisów RODO i Prawa bankowego z akceptacją Sądu. Także wszystkie pozostałe wymienione w skardze Banku i B. przepisy prawa, o których była już mowa, nie stanowią odrębnej podstawy do zalegalizowania "dalszego" przetwarzania danych wnioskodawcy, które zebrane zostały w ściśle określonym celu (o którym miał wiedzę), czyli w celu oceny zdolności kredytowej i analizy ryzyka kredytowego.
Odnosząc się do kolejnego zarzutu Banku i B. dotyczącego naruszenia art. 6 ust. 1 lit.c RODO wskazania wymaga, że zgodnie z art. 70a ust. 1 Prawa bankowego, banki i inne instytucje ustawowo upoważnione do udzielania kredytów na wniosek osoby fizycznej, prawnej lub jednostki organizacyjnej niemającej osobowości prawnej, o ile posiada zdolność prawną, ubiegającej się o kredyt przekazują, w formie pisemnej, wyjaśnienie dotyczące dokonanej przez siebie oceny zdolności kredytowej wnioskującego. Zgodnie z art. 70 ust. 2, wyjaśnienie, o którym mowa w ust. 1, obejmuje informacje na temat czynników, w tym danych osobowych wnioskującego, które miały wpływ na dokonaną ocenę zdolności kredytowej.
W świetle powyższego wskazania wymaga, że powstanie obowiązku, o którym mowa w art. 70a ust. 1 Prawa bankowego, uzależnione jest od złożenia stosownego wniosku przez osobę ubiegającą się o kredyt. Wniosek taki nie został złożony, a wnioskodawca wniósł do Banku o usunięcie (zaprzestanie przetwarzania) swoich danych zawartych w zapytaniu kredytowym z [...] lutego 2021 r. W związku z odmową w tym zakresie podjął też działania przed Prezesem UODO. Z akt sprawy i całokształtu okoliczności nie wynika, aby wymieniona osoba wystąpiła do Banku, czy B. o jakiekolwiek wyjaśnienie dotyczące dokonanej oceny zdolności kredytowej. Wynika zaś, że złożyła do Banku żądanie usunięcia danych, w tym również w bazie B.. Nie może być więc mowy o tym, aby w sprawie znajdował zastosowanie art. 70a ust. 1 i 2 Prawa bankowego. Kwestia zmiany brzmienia powołanego przepisu, o czym jest mowa w skardze Banku nie ma znaczenia dla rozstrzygnięcia niniejszej sprawy. Przepis art. 70a w brzmieniu wynikającym ze zmiany dokonanej art. 5 pkt 23 ustawy z dnia 16 sierpnia 2023 r. o zmianie niektórych ustaw w związku z zapewnieniem rozwoju rynku finansowego oraz ochrony inwestorów na tym rynku (Dz. U. z 2023 r., poz. 1723), nie miał zastosowania w niniejszej sprawie i nie wpływa na jej wynik. Wynikająca z nowego brzmienia przepisu kwestia terminu roku na złożenie wniosku w sprawie wyjaśnienia dotyczącego dokonanej oceny zdolności kredytowej powiązana jest ściśle przede wszystkim z momentem przekazania osobie fizycznej informacji o dokonanej ocenie zdolności kredytowej. W czasie, gdy wnioskodawcę poinformowano o braku zdolności kredytowej, powołany przepis nie zakreślał terminu na udzielenie informacji wnioskodawcy. Nadto, w sprawie tej termin, o którym mowa w obecnie obowiązującym art. 70 a Prawa bankowego dawno minął, a wnioskodawca jednoznacznie żądał od Banku usunięcia danych zawartych w zapytaniu kredytowym (także w bazie B.).
Odnosząc się do zarzutów Banku i B. naruszenia art. 6 ust. 1 lit.f RODO w zw. z Rekomendacjami S, W i T Komisji Nadzoru Finansowego wskazania wymaga, że także ten zarzut nie jest zasadny. Powoływane Rekomendacje Komisji Nadzoru Finansowego nie są źródłem prawa powszechnie obowiązującego. Nie ma przy tym podstaw, aby w tym przypadku, w stanie faktycznym tej sprawy, wywodzić z Rekomendacji KNF – wobec osoby, z którą nie zawarto umowy kredytowej i która zażądała usunięcia danych – prawnie uzasadnione interesy Banku i B., o których jest mowa w art. 6 ust. 1 lit.f RODO.
Nadto, podkreślenia wymaga, że Rekomendacje KNF, które zawierają konkretne wymagania regulacyjne wobec narzędzi używanych przez banki, nie powinny być interpretowane w sprzeczności z RODO w zakresie legalności przetwarzania danych (w zakresie zapytań kredytowych) osób, z którymi nie zawarto umów kredytowych, nie mogą być wykładane w sposób prowadzący do nieuprawnionego przetwarzania takich danych. Twierdzenie, że wypełnienie nakazu Prezesa UODO w postaci nakazu zaprzestania przetwarzania danych osobowych wnioskodawcy, przetwarzanych bez podstawy prawnej prowadziłoby do uniemożliwienia B. realizacji Rekomendacji nie daje podstaw do stwierdzenia o dopuszczalności "dalszego" przetwarzania na gruncie RODO danych zawartych w zapytaniu kredytowym osoby, z którą Bank umowy nie zawarł, a jednocześnie nie uzyskał zgody tej osoby na dalsze przetwarzanie jej danych osobowych w celach innych niż te, w jakich je zgromadził. Także powoływana potrzeba realizacji działań z zakresu opracowania, utrzymania aktualności i funkcjonalności zbudowanych modeli scoringowych, nie stanowi w stanie faktycznym tej sprawy podstawy przetwarzania – w odniesieniu do danych osoby, z którą nie zawarto umowy kredytowej – w celu wynikającym z prawnie uzasadnionych interesów B..
Nietrafny jest przy tym zarzut naruszenia art. 7b k.p.a. poprzez niezwrócenie się przez Prezesa UODO do KNF jako organu właściwego w sprawach związanych m.in. z badaniem zdolności kredytowej i analizy ryzyka kredytowego, a także budową modeli scoringowych. Skarżący podniósł, że powyższe zwrócenie się do KNF było konieczne w celu kompleksowego wyjaśnienia stanu faktycznego sprawy oraz współdziałania w zakresie niezbędnym do dokładnego wyjaśnienia stanu prawnego, mając na względzie interes społeczny i słuszny interes obywateli, w postaci ustalenia m.in. należytych zasad, celów i zakresu przetwarzanych danych osobowych o niezrealizowanych zapytaniach kredytowych.
Zgodnie z powołanym przepisem, w toku postępowania organy administracji publicznej współdziałają ze sobą w zakresie niezbędnym do dokładnego wyjaśnienia stanu faktycznego i prawnego sprawy, mając na względzie interes społeczny i słuszny interes obywateli oraz sprawność postępowania, przy pomocy środków adekwatnych do charakteru, okoliczności i stopnia złożoności sprawy. W sprawie niniejszej Prezes UODO nie miał obowiązku zwracania się do KNF czy innego organu ani w zakresie dokonywanych ustaleń stanu faktycznego ani w zakresie wyjaśnień stanu prawnego.
Prezes UODO jest wyspecjalizowanym organem ochrony danych osobowych, jedynym powołanym i uprawnionym do monitorowania i egzekwowania RODO, a nadto do upowszechniania wśród administratorów i podmiotów przetwarzających wiedzę o obowiązkach spoczywających na nich na mocy RODO (art. 51, art. 52, art. 57, motyw 123, motyw 129 RODO, v. podobnie wyrok WSA w Warszawie z dnia 21 kwietnia 2022 r., sygn. akt II SA/Wa 3131/21, wyrok WSA z dnia 5 maja 2021 r. sygn. akt II SA/Wa 1982/20, orzeczenia.nsa.gov.pl). Zdaniem Sądu nie ma przy tym wątpliwości, że Prezes UODO dokonał w tej sprawie niezbędnych dla jej rozstrzygnięcia ustaleń faktycznych. W zakresie mającym znaczenie dla sprawy organ zebrał niezbędny materiał dowodowy, zwracał się do stron o udzielenie stosownych wyjaśnień, strony wyjaśnień tych udzieliły. Organ zgromadzony materiał dowodowy rozpatrzył wszechstronnie i należycie, a ocena tego materiału na gruncie przepisów RODO nie budzi zdaniem Sądu zastrzeżeń, jest prawidłowa. Odmienna ocena zarówno Banku, jak i B. w zakresie wykładni i zastosowania powołanych przez organ przepisów prawa nie stanowi o naruszeniu przepisów postępowania, w tym art. 7, 77 i 80 k.p.a. Stanowisko w kwestii prawidłowości procedowania przez organ przedstawione zostało też już we wstępnej części rozważań Sądu. Sąd zauważa, że od czasu poinformowania przez organ Banku o zgromadzeniu materiału dowodowego (Bank poinformowany został pismem z dnia 9 grudnia 2022 r., doręczone 13 grudnia 2022 r.) do czasu wydania decyzji minął prawie rok, jednakże powyższe nie stanowiło przeszkody do realizowania przez stronę swoich uprawnień procesowych, zapoznania się z materiałem, czy informowania o ewentualnych zmianach okoliczności. Poza tym, Prezes UODO uzasadniając rozstrzygnięcie decyzji wskazał na upływ terminu 2 lat od daty [...] lutego 2021 r., jednakże zasadnie wziął pod uwagę cały materiał dowodowy i wyjaśnienia Banku, w których Bank wskazywał na dalsze przetwarzanie w innych celach danych wnioskodawcy w kwestionowanym przez niego zakresie.
W odniesieniu do zarzutu braku analizy przez organ pod kątem istnienia po stronie banków i B. oczywistego interesu prawnego przejawiającego się w odmowie udzielenia kredytu wynikającego z braku istnienia zdolności kredytowej po stronie wnioskodawcy, nie jest zasadny, o czym była już mowa wyżej.
Prezes UODO nie kwestionował w zaskarżonej decyzji uprawnień instytucji finansowych w tym Banku i B. do dokonywania ustaleń i ocen w zakresie zdolności kredytowej. Przedmiotem sprawy była ocena zgodności z prawem "dalszego" przetwarzania danych osobowych wymienionej wyżej osoby zawartych w zapytaniu kredytowym z [...] lutego 2021 r., albowiem to przetwarzanie danych było przez wnioskodawcę w sposób jednoznaczny kwestionowane. Uprawnienie do dokonania oceny w tym przedmiocie Prezes UODO bezspornie posiada na gruncie RODO, jako organ wyspecjalizowany. Gromadząc materiał dowodowy nie był przy tym obowiązany do dokonania analizy funkcjonowania sektora finansowego pod kątem wskazywanym w skargach, albowiem aspekt uprawnienia Banku i B. do oceny zdolności kredytowej i analizy ryzyka kredytowego nie budził żadnych wątpliwości u Prezesa UODO, co znalazło wyraz w uzasadnieniu zaskarżonej decyzji.
Sąd nie kwestionuje twierdzenia Banku, że należy dążyć do tego, aby procesy przetwarzania danych osobowych czyniły zadość zarówno przepisom prawa o ochronie danych osobowych, jak i przepisom szeroko pojętego prawa bankowego, z uwzględnieniem zasady proporcjonalności, jednakże w ocenie Sądu osiągnięcie tego celu w niniejszej sprawie – przy uwzględnieniu obowiązujących regulacji prawnych – nie jest możliwe w inny sposób, jak poprzez realizację nakazów zaprzestania przetwarzania danych wnioskodawcy w zakresie zapytania kredytowego z dnia [...] lutego 2021 r., w sytuacji, gdy ani Bank ani B. nie dysponowały zgodą wymienionego na dalsze przetwarzanie jego danych osobowych i nie znajduje zastosowania żadna inna przesłanka.
Odnosząc się ponownie do zarzutu naruszenia art. 6 ust. 1 lit f. RODO, tym razem w zw. z przytoczonymi w skardze przepisami k.c. i w nawiązaniu do wskazywanej przez Bank i B. potrzeby przechowywania danych (zawartych w zapytaniu kredytowym z [...] lutego 2021 r.) osoby, z którą nie zawarto umowy kredytowej w celu ustalenia, dochodzenia i ochrony przed roszczeniami, ewentualnego zabezpieczenia roszczeń, na wypadek konieczności obrony lub dochodzenia ewentualnych roszczeń, które mogą się pojawić w określonym czasie po przeprowadzeniu stosownej analizy zdolności kredytowej oraz analizie ryzyka kredytowego wskazania wymaga, że art. 6 ust. 1 lit.f RODO stanowi o uprawnieniu do przetwarzania, gdy jest ono niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem. Za usprawiedliwiony cel w rozumieniu powołanego przepisu nie może zostać uznane przetwarzanie danych osobowych na wypadek ewentualnego dochodzenia lub obrony roszczeń. Z akt sprawy nie wynika, aby wnioskodawca, który zażądał usunięcia danych w zakresie zapytania kredytowego, miał jakiekolwiek roszczenie na drodze cywilnoprawnej do Banku lub B.. Wnioskodawca żądał natomiast usunięcia danych przetwarzanych bez podstawy prawnej. Z tego względu nie jest dopuszczalne przyjęcie, że to art. 6 ust. 1 lit.f RODO mógłby stanowić podstawę dla Banku, czy B. do "dalszego" przetwarzania jego danych na wypadek ewentualnego dochodzenia roszczeń. W toku postępowania administracyjnego nie wykazano, nie wynika też ze skargi, jakich ewentualnie roszczeń Bank czy B. chciałby dochodzić od osoby, która zażądała usunięcia swoich danych w zakresie tego zapytania kredytowego i z którą to osobą fizyczną nie zawarto umowy. Wskazania wymaga, że z art. 3531 k.c. wynika zasada swobody umów. Strony mogą zatem w ramach autonomii woli kształtować stosunki cywilnoprawne mocą własnych decyzji Przepis art. 3531 k.c. wskazuje na podstawowy element, jaki dla swobody umów obligacyjnych ma kompetencja stron w zakresie kształtowania treści zobowiązania. Umowy nie zawarto, zobowiązanie nie powstało. B. i Bank nie wskazały, aby wnioskodawca kierował do nich jakiekolwiek roszczenia (zażądał jedynie usunięcia własnych danych osobowych, których jest wyłącznym dysponentem, w związku z tym, że ustał cel ich przetwarzania).
Ważąc interesy wnioskodawcy, który żądał respektowania jego praw do ochrony danych osobowych wynikających z RODO i interesy Banku i B. przedstawiane już wyżej, w sytuacji, gdy nie zawarto umowy kredytowej, brak jest podstaw do przyjęcia, że spełniona została przesłanka z art. 6 ust. 1 lit.f RODO. Sąd rozpoznający niniejszą sprawę podziela pogląd Naczelnego Sądu Administracyjnego, zgodnie z którym niedopuszczalne jest przetwarzanie danych osobowych niejako "na zapas" z założeniem, że mogą być one ewentualnie przydatne w przyszłości, na przykład z odwołaniem się do przepisów dotyczących przedawnienia roszczeń (v. wyrok NSA z dnia 27 marca 2018 r. sygn. akt I OSK 1459/16, orzeczenia.nsa.gov.pl). Wywodzenie zatem także z kwestii przedawnienia roszczeń samodzielnej podstawy do przetwarzania danych – w sytuacji, gdy mowa o danych osoby, z którą Bank nie zawarł umowy kredytowej, nie jest uprawnione i nie stanowi przesłanki do ich dalszego przetwarzania.
Celem RODO, tak, jak poprzednio Dyrektywy 95/46/WE, jest ochrona prywatności, która powinna być rozpatrywana także w świetle art. 8 Konwencji o Ochronie Praw Człowieka i Podstawowych Wolności. W sprawie tej nie istnieje tego rodzaju powiązanie pomiędzy osobą, której dane dotyczą a Bankiem, jak również pomiędzy tą osobą a B., które pozwalałoby "wyprowadzić" istnienie prawnie uzasadnionego interesu po stronie B. i Banku w "dalszym" przetwarzaniu danych tej osoby w zakresie wynikającym z zapytania kredytowego z dnia [...] lutego 2021 r.
W doktrynie podkreśla się, iż "w motywie 47 preambuły do RODO wskazano, że interesy i prawa podstawowe osoby, której dane dotyczą mogą być nadrzędne wobec interesu administratora danych, w szczególności w przypadkach, gdy dane osobowe są przetwarzane, w sytuacji w której osoby, których dane dotyczą, nie mają rozsądnych przesłanek by spodziewać się dalszego przetwarzania" (v. P.Litwiński, P.Barta, M.Kawecki, Rozporządzenie UE w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i swobodnym przepływem takich danych. Komentarz, Warszawa 2018, str. 308).
W motywie 47 RODO wprost wskazuje się, że "Aby stwierdzić istnienie prawnie uzasadnionego interesu, należałoby w każdym przypadku przeprowadzić dokładną ocenę, w tym ocenę tego, czy w czasie i w kontekście, w którym zbierane są dane osobowe, osoba, której dane dotyczą, ma rozsądne przesłanki by spodziewać się, że może nastąpić przetwarzanie danych w tym celu. Interesy i prawa podstawowe osoby, której dane dotyczą, mogą być nadrzędne wobec interesu administratora danych w szczególności w przypadkach, gdy dane osobowe są przetwarzane w sytuacji, w której osoby, których dane dotyczą, nie mają rozsądnych przesłanek, by spodziewać się dalszego przetwarzania".
Z okoliczności sprawy nie wynika, aby wnioskodawca mógł spodziewać się w czasie, gdy pozyskiwano od niego dane (w tym dane dotyczące m.in. sytuacji rodzinnej i finansowej, stan cywilny, liczba dzieci, informacja o rozdzielności majątkowej, wykształcenie, informacje o rodzaju i wysokości dochodów) w celu oceny zdolności kredytowej i ryzyka kredytowego, że będą one "dalej" przetwarzane nie tylko przez Bank, ale i przez B., pomimo nie zawarcia umowy kredytowej (v. motyw 47 RODO). Odnosząc kwestię pozyskania i przetwarzania przez Bank i B. tak ściśle osobistych, dotykających prywatności danych wnioskodawcy w ramach zapytania kredytowego z dnia [...] lutego 2021 r., nie sposób uznać za uprawnione ich dalsze przetwarzanie bez zgody wnioskodawcy, w sytuacji, gdy bezspornie żadne z powołanych przez Bank i B. przepisów prawa nie dają podstaw do ich dalszego przetwarzania, i jak wynika z ustaleń faktycznych nie sposób mówić o tym, że wnioskodawca mógł się spodziewać ich dalszego przetwarzania.
Odnosząc się do argumentacji B. w zakresie wykładni art. 6 ust. 1 lit. f RODO i możliwości jego zastosowania, w kontekście obowiązującej wcześniej przesłanki z art. 23 ust. 1 pkt 5 nieobowiązującej już ustawy o ochronie danych osobowych z 1997 r., z powołaniem się na prezentowane w skardze poglądy doktryny, można się zgodzić, że użyte w art. 6 ust. 1 lit. f RODO pojęcie "interesu" jest pojęciem szerszym od pojęcia "celu" z art. 23 ust. 1 pkt 5 ustawy o ochronie danych osobowych z 1997 r. Nie zmienia to jednak tego, że jako prawnie uzasadniony interes administratora na gruncie art. 6 ust. 1 lit. f RODO nie może być rozumiana każda potrzeba wygenerowana przez danego administratora w związku z prowadzoną działalnością gospodarczą. Przyjęcie takiej koncepcji poddawałoby w wątpliwość funkcjonowanie wszystkich pozostałych przesłanek legalności przetwarzania danych ujętych w RODO, skoro sama potrzeba, pojawiająca się dynamicznie w ramach prowadzonej działalności gospodarczej (handlowej) czyniłaby dopuszczalnym przetwarzanie danych osobowych. Niewątpliwie zaś ten prawnie uzasadniony interes administratora nie może pozbawiać jednostki prawa do dysponowania własnymi danymi osobowymi i ochrony prywatności. Nadto, wskazać należy na brzmienie art. 7 lit. f nieobowiązującej już Dyrektywy 95/46/WE, którą ustawa z 1997 r. implementowała (art. 23 ust. 1 pkt 5 ustawy z 1997 r.), a stanowił on, że przetwarzanie danych jest konieczne dla potrzeb wynikających z uzasadnionych interesów administratora danych lub osoby trzeciej, lub osobom, którym dane są ujawniane, z wyjątkiem sytuacji, kiedy interesy takie podporządkowane są interesom związanym z podstawowymi prawami i wolnościami osoby, której dane dotyczą, które gwarantują ochronę na podstawie art. 1 ust. 1. W Dyrektywie mowa była zatem o uzasadnionych interesach administratora danych. Stąd też poglądy przywołane przez organ w decyzji, a prezentowane w orzecznictwie NSA z powołaniem się na tę przesłankę nie straciły na aktualności.
Podnieść należy przy tym, że w orzecznictwie Trybunału Sprawiedliwości przyjmuje się i pogląd ten prezentuje także Sąd rozpoznający niniejszą sprawę, że "Ze względu na to, że RODO uchyliło i zastąpiło dyrektywę 95/46, a właściwe przepisy tego rozporządzenia mają w istocie zakres identyczny jak właściwe przepisy tej dyrektywy, orzecznictwo Trybunału dotyczące wspomnianej dyrektywy znajduje również co do zasady zastosowanie w odniesieniu do tego rozporządzenia (v. wyrok Trybunału Sprawiedliwości z dnia 17 czerwca 2021 r. C-597/19, punkt 107).
Zwrócić należy przy tym uwagę, że w sprawie niniejszej, w jej okolicznościach faktycznych, to prawa i wolności osoby fizycznej - wnioskodawcy, mają nadrzędny charakter nad interesami Banku, jak również B.. Pamiętać trzeba bowiem, że celem udostępnienia danych osobowych przez osobę fizyczną było rozpatrzenie konkretnego wniosku kredytowego z [...] lutego 2021 r. (cel był ściśle określony), zgodnie z przepisami Prawa bankowego, o czym była już mowa wyżej. Powyższe nie daje podstaw do dalszego przetwarzania danych "na przyszłość" po zakończeniu oceny zdolności kredytowej i analizy ryzyka kredytowego. Trzeba też zwrócić uwagę na nierównowagę występującą między administratorem danych a osobą, której dane dotyczą. Samo powołanie się na rozliczalność (art. 5 ust. 2 RODO) nie legalizuje przetwarzania jakichkolwiek danych. Konieczne jest bowiem, aby w pierwszej kolejności przetwarzanie danych było zgodne z prawem.
Podkreślenia wymaga, że niezależnie od zrozumienia dla argumentacji Banku i B. co do wskazywanych potrzeb, zamierzeń, czy celów, jakie podmioty te chciałyby osiągnąć w działalności gospodarczej poprzez "dalsze" przetwarzanie danych osobowych zawartych w zapytaniu kredytowym wnioskodawcy, z którym Bank umowy kredytowej nie zawarł, a które zostały jednoznacznie wskazane zarówno w postępowaniu przed organem, jak i w skargach do Sądu, zaskarżona decyzja (zarówno w zakresie punktu 1, jak i 2) nie narusza prawa.
W sprawie tej cel przetwarzania legalnie zebranych danych osobowych osoby fizycznej (zebranych w celu oceny zdolności kredytowej i analizy ryzyka kredytowego) ustał. Podkreślić trzeba, że każde przetwarzanie danych osobowych, tj. a tym samym nie tylko zebranie danych, ale także kontynuowanie ich przetwarzania w innych celach musi znajdować podstawę prawną. W sprawie tej, co wykazano już wyżej takiej podstawy prawnej, stanowiącej przesłankę do "dalszego" przetwarzania danych osobowych wymienionej osoby fizycznej, w sprawie tej nie wykazano. W ocenie Sądu niedopuszczalna jest taka interpretacja powołanych w skargach przepisów Prawa bankowego, AML, k.c., czy rozporządzenia 575/2013, która czyniłaby uprawnionym na gruncie RODO dalsze przetwarzanie danych osobowych zawartych w zapytaniu kredytowym osoby, z którą nie zawarto umowy (a zatem w celach innych niż cele, w jakich je zebrano), w sytuacji, gdy Prawo bankowe wyraźnie reguluje dopuszczalność przetwarzania danych osobowych przed powstaniem zobowiązania, w trakcie jego trwania i po wygaśnięciu.
Przyjęcie interpretacji zaprezentowanej w skargach prowadziłoby do tego, że w odniesieniu do kategorii osób (których dane zawarte zostały w zapytaniu kredytowym), z którymi nie zawarto umowy kredytowej istniałaby pełna dowolność tak w zasadach ich przetwarzania (bez zgody osoby (jak należy wnioskować ze stanowisk Banku i B.), bez informacji przedstawianej przed pozyskaniem danych o innych celach przetwarzania (niż ocena zdolności kredytowej i ryzyka kredytowego) zarówno przez Bank jak i B., jak również dowolne ustalenia w odniesieniu do czasu ich przetwarzania (te kwestie byłyby bowiem (i są) i jak wynika z akt administracyjnych, tj. wyjaśnień Banku i B., ustalane samodzielnie przez te podmioty – z uwzględnieniem przyjmowanych przez nie celów służących co do zasady spełnieniu, jak wskazywano w postępowaniu, określonych wymagań organu nadzoru nad rynkiem finansowym.
Sytuacja zatem wnioskodawcy, tj. osoby, która zwróciła się z zapytaniem kredytowym i z którą nie zawarto umowy kredytowej, jest z punktu widzenia ochrony danych osobowych, biorąc pod uwagę przepisy Prawa bankowego, sytuacją "gorszą" niż sytuacja osoby, która zawarła umowę kredytową i jej zobowiązanie wygasło. W tym drugim bowiem przypadku dla dalszego przetwarzania danych w B. po wygaśnięciu zobowiązania wynikającego z danej umowy niezbędna jest zgoda osoby, której dane dotyczą. Zgodę taką można nadto w każdym czasie odwołać.
Zwrócić należy uwagę, że przedmiotem niniejszej sprawy i kompetencji Prezesa UODO nie jest ustalenie możliwego sposobu realizacji przez Bank i B. obowiązków nakładanych na te podmioty przez instytucje nadzorcze w zakresie prowadzonej działalności. Nie ma przeszkód i jest wskazane, aby realizację tych obowiązków wykonywać z poszanowaniem RODO. Przedmiotem oceny organu ochrony danych osobowych była w tej sprawie wyłącznie kwestia oceny zgodności z prawem "dalszego" przetwarzania danych osobowych konkretnej osoby fizycznej w konkretnych okolicznościach faktycznych. Sąd nie znalazł podstaw do zakwestionowania tej oceny organu.
Podkreślenia wymaga, że w demokratycznym państwie prawnym nie jest dopuszczalne dowolne rozszerzanie uprawnień jakiegokolwiek podmiotu, ani organu władzy ani spółki prawa handlowego, ani żadnego innego podmiotu będącego administratorem w zakresie przetwarzania danych osobowych (art. 47, art. 51 Konstytucji RP). Dane osobowe mogą być przetwarzane co do zasady w celach, w jakich zostały zebrane. Powinny być adekwatne, stosowne oraz ograniczone do tego co niezbędne do osiągnięcia celów, w których zostały zebrane, są przetwarzane (art. 5 ust. 1 lit.c RODO). Przetwarzanie przez Bank i B. "na przyszłość" danych zawartych w zapytaniu kredytowym, w sytuacji, gdy nie zawarto umowy, nie znajduje umocowania w żadnej przesłance z art. 6 ust. 1 RODO.
Sąd podziela te poglądy prezentowane w orzecznictwie sądowoadministracyjnym, zgodnie z którymi dalsze przetwarzanie danych uzyskanych w celu oceny zdolności kredytowej, w przypadku nie zawarcia stosownej umowy pozostawałoby w oderwaniu od celu, dla którego je uzyskano. Niedopuszczalne jest dalsze przetwarzanie danych osobowych na przyszłość, a także na potrzeby budowy oceny zdolności kredytowej innych podmiotów, jeżeli nie można zrekonstruować wyraźnej podstawy prawnej takich działań, jak miało to miejsce w niniejszej sprawie (v. wyrok NSA z dnia 27 sierpnia 2019 r. sygn. akt 2567/17, orzeczenia.nsa.gov.pl).
Mając na uwadze powyższe, Wojewódzki Sąd Administracyjny w Warszawie, na podstawie art. 151 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (t.j. Dz. U. z 2024 r., poz. 935), orzekł jak w wyroku.